Datenschutzerklärung

Datenschutzerklärung

1. Verantwortlicher
Verantwortlich für die Datenverarbeitung ist:
Hefti OG
Schillerstraße 53, 6700 Bludenz, Österreich
E-Mail: mail@hefti.at

2. Welche Daten wir verarbeiten
- Bestands- & Kontaktdaten (z. B. Name, E-Mail-Adresse) zur Bereitstellung des Kontos
- Nutzungsdaten (z. B. erstellte Inhalte, Einstellungen, Login-Zeitpunkte)
- Zahlungsdaten zur Abwicklung kostenpflichtiger Tarife (über den jeweiligen Zahlungsdienstleister)
- Geräte- & Benachrichtigungsdaten (z. B. Push-Abo, Browser-/Geräteangabe), nur wenn du Push-Benachrichtigungen aktivierst
- Mediendaten: von dir hochgeladene Bilder/Videos sowie per KI erzeugte Bilder, die du in der App verwendest
- Social-Media-Verbindungsdaten: wenn du ein Facebook-/Instagram-Konto verbindest, ID und Name deiner Facebook-Seite und deines Instagram-Business-Kontos, eine von Meta vergebene Nutzerkennung, Zugriffstoken sowie abgerufene Reichweiten-/Interaktions-/Follower-Statistiken (siehe Ziff. 4b)

3. Zwecke & Rechtsgrundlagen
Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Pflichten (lit. c) sowie auf Grundlage berechtigter Interessen (lit. f), etwa zur Sicherheit und Verbesserung des Dienstes.

3a. Push-Benachrichtigungen
Aktivierst du Benachrichtigungen, speichern wir die dafür technisch nötigen Abo-Daten (Push-Endpoint und Schlüssel) sowie zur Geräteverwaltung eine Browser-/Geräteangabe. Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie jederzeit in den Einstellungen oder am Gerät widerrufen.

3b. Cookies und lokale Speicherung (§ 165 Abs 3 TKG 2021)
Technisch notwendige Speicherung (keine Einwilligung erforderlich, § 165 Abs 3 TKG 2021):
- Session-Cookie der Anwendung: hält deinen Login aufrecht und wird mit dem Schließen des Browsers bzw. nach Ablauf der Sitzung ungültig.
- Lokaler Speicher (localStorage) deines Browsers: speichert deine App-Einstellungen (z. B. Hell-/Dunkel-Modus, Ansichts-Zustände) ausschließlich auf deinem Gerät.
- Service-Worker-Cache (PWA): legt Programmdateien lokal ab, damit die App schneller lädt und offline funktioniert.

Empfehlungs- und Kampagnen-Cookies (werden nur gesetzt, wenn du über einen Empfehlungs- oder Kampagnen-Link zu uns gelangst):
- "sp_ref": merkt sich den Empfehlungs-Code, damit eine Empfehlung korrekt zugeordnet werden kann (Laufzeit 30 Tage).
- "sp_src": merkt sich die Quelle/Kampagne deines Besuchs (Laufzeit 30 Tage).
- "sp_refclk_...": verhindert die Mehrfachzählung desselben Klicks (Laufzeit 1 Tag).
Diese Cookies werden ausschließlich von uns gesetzt (First-Party) und nicht zur geräte- oder seitenübergreifenden Nachverfolgung durch Dritte genutzt. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionierenden Empfehlungsprogramm (Art. 6 Abs. 1 lit. f DSGVO). Du kannst diese Cookies jederzeit in deinen Browsereinstellungen löschen.

Marketing-Cookies (nur nach deiner ausdrücklichen Einwilligung über den Hinweis auf unserer Startseite):
- "sp_consent": speichert deine Entscheidung zu diesem Hinweis, damit wir dich nicht bei jedem Besuch erneut fragen (Laufzeit 6 Monate). Dieses Cookie ist zur Umsetzung deiner Wahl erforderlich und wird auch dann gesetzt, wenn du ablehnst.
- "_fbc": ordnet deinen Besuch der Werbeanzeige zu, über die du zu uns gelangt bist (Laufzeit 90 Tage). Wird nur gesetzt, wenn du tatsächlich über eine solche Anzeige kommst.
- "_fbp": eine von uns selbst vergebene, zufällige Besucherkennung, damit mehrere Seitenaufrufe desselben Browsers zusammengeführt werden können (Laufzeit 90 Tage).
Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 1 TDDDG). Lehnst du ab oder widerrufst du, werden "_fbc" und "_fbp" gelöscht und es findet keine Messung statt. Näheres unter Ziff. 4c.
Du entscheidest im Hinweis auf unserer Startseite je Kategorie einzeln (Notwendig, Statistik, Marketing) und kannst deine Wahl jederzeit über das Cookie-Symbol unten links ändern. Dass du eine Wahl getroffen hast, halten wir zum Nachweis fest (Art. 7 Abs. 1 DSGVO): gespeichert werden die Auswahl, der Zeitpunkt und die Fassung dieser Texte, NICHT deine IP-Adresse.


Externe Inhalte (Demo-Video):
Auf unserer Startseite kann ein Demo-Video eingebunden sein. Ist es als YouTube- oder Vimeo-Video hinterlegt, wird es nicht automatisch geladen: Es erscheint zunächst nur ein Platzhalter und erst wenn du aktiv auf "Video laden" klickst, wird das Video vom jeweiligen Anbieter (YouTube/Google bzw. Vimeo, USA) geladen. Dabei werden Daten (u. a. deine IP-Adresse) an den Anbieter übertragen; Rechtsgrundlage ist deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO). Ein selbst gehostetes Video wird ohne Drittanbieter direkt von unserem Server ausgeliefert.


3d. Eigene Reichweitenmessung (ohne Cookies)
Damit wir wissen, wie unsere Seite genutzt wird, zählen wir Besuche selbst. Ein Analysedienst oder ein fremdes Skript ist dabei nicht im Spiel.
- Auf deinem Gerät wird nichts abgelegt und nichts ausgelesen.
- Erfasst werden: die aufgerufene Seite, die verweisende Seite, die Verweildauer, ob es ein Telefon oder ein Rechner ist, sowie ein etwaiger Kampagnen-Parameter in der Adresse.
- Um Besuche auseinanderzuhalten, berechnet der Server aus deiner IP-Adresse und deiner Browserkennung einen Prüfwert über eine Einwegfunktion, zusammen mit einem Streuwert, der TÄGLICH wechselt und nirgends gespeichert wird. Deine IP-Adresse selbst wird nie gespeichert. Am Folgetag ergibt dasselbe Gerät einen anderen Wert, du bist also über Tage hinweg nicht wiedererkennbar, auch für uns nicht.
- Rechtsgrundlage ist unser berechtigtes Interesse daran, die Nutzung unserer Seite zu verstehen und sie zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Da auf deinem Gerät nichts gespeichert und nichts ausgelesen wird, ist dafür keine Einwilligung nach § 25 TDDDG bzw. § 165 Abs. 3 TKG 2021 erforderlich.
- Die Daten werden zusammengefasst und nur in dieser Form ausgewertet. Eine Weitergabe findet nicht statt.

Herkunft eines Kontos
Legst du ein Konto an, halten wir zusätzlich fest, über welche Adresse du zu uns gekommen bist. Das ist die Adresse, mit der du die Seite aufgerufen hast, samt der darin enthaltenen Kampagnen-Parameter (utm_source, utm_medium, utm_campaign, utm_content, utm_term), einer etwaigen Klick-Kennung des Werbenetzwerks, der verweisenden Seite und der Angabe, ob es ein Telefon oder ein Rechner war.
- Zweck: Wir wollen wissen, welche unserer Werbeanzeigen tatsächlich zu Kunden führen, und welche wir abschalten können.
- Rechtsgrundlage ist unser berechtigtes Interesse an einer wirtschaftlichen Bewerbung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO).
- Deine IP-Adresse gehört NICHT dazu. Diese Angaben werden nicht weitergegeben und mit dem Konto gelöscht.

3c. Zugriff durch unser Team (Support, Optimierung & Sicherheit)
Mitarbeitende mit Administratorrechten können im erforderlichen Umfang auf die in deinem Konto gespeicherten Inhalte (z. B. deine Content-Bibliothek mit Ideen und Beiträgen) zugreifen. Ein solcher Zugriff erfolgt ausschließlich zu folgenden Zwecken: Bearbeitung von Support- und Hilfeanfragen, Behebung technischer Störungen und Fehler, Sicherstellung des ordnungsgemäßen Betriebs, Verbesserung und Optimierung unseres Dienstes sowie Wahrung der Sicherheit (z. B. Prüfung bei begründetem Missbrauchsverdacht). Der Zugriff ist auf einen kleinen Kreis berechtigter, zur Vertraulichkeit verpflichteter Personen beschränkt, erfolgt nur lesend und wird mit Angabe des Zugriffsgrunds protokolliert. Wir nutzen deine Inhalte dabei nicht für unbezogene Zwecke und geben sie nicht an Dritte weiter. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, stabilen und stetig verbesserten Dienst sowie an einem funktionierenden Support (Art. 6 Abs. 1 lit. f DSGVO); soweit der Zugriff zur Bearbeitung deiner Anfrage erforderlich ist, zusätzlich die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

4. Weitergabe an Dritte
Eine Weitergabe erfolgt nur, soweit dies zur Vertragserfüllung erforderlich ist (z. B. Hosting, externe Speicherung von Mediendateien, Zahlungsabwicklung, KI-Dienste zur Text- und Bilderzeugung) oder gesetzlich vorgeschrieben ist. Mit Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO.

4a. Speicherung von Mediendateien (Bilder/Videos)
Von dir hochgeladene sowie per KI erzeugte Bilder/Videos werden in unserem Auftrag in einem Objektspeicher innerhalb der EU (Auftragsverarbeiter mit Standort in Deutschland/EU) gespeichert. Die Auslieferung erfolgt über öffentlich abrufbare, nicht erratbare Links (zufällige Dateinamen); dies ist technisch erforderlich, um die Medien in der App anzuzeigen und auf den von dir gewählten Social-Media-Netzwerken zu veröffentlichen. Bitte lade dort nur Inhalte hoch, die zur Veröffentlichung bestimmt sind. Zur schnelleren Anzeige können zusätzlich kleine Vorschaubilder auf unserem Server gespeichert werden.
Verbindest du eine externe Cloud-Quelle (z. B. Google Drive oder OneDrive), verbleiben die Dateien in deiner eigenen Cloud; wir speichern lediglich den von dir freigegebenen, abrufbaren Link.
Für die KI-Bilderzeugung übermitteln wir die nötigen Eingaben an einen KI-Dienstleister (OpenAI, USA); der Drittlandtransfer ist über Standardvertragsklauseln / EU-US Data Privacy Framework abgesichert.

4b. Verbindung deiner Social-Media-Konten (Meta: Facebook & Instagram)
Wenn du dein Facebook-Seiten- und/oder Instagram-Business-Konto mit der App verbindest, verarbeiten wir über die offiziellen Programmierschnittstellen von Meta (Facebook Graph API / Instagram Graph API) die dafür erforderlichen Daten:
- Konto-Verknüpfungsdaten: ID und Name deiner Facebook-Seite, ID deines verbundenen Instagram-Business-Kontos, eine von Meta vergebene anwendungsbezogene Nutzerkennung (App-Scoped User ID) sowie die für die Verbindung technisch nötigen Zugriffstoken. Zugriffstoken werden geschützt gespeichert und ausschließlich zur Aufrechterhaltung der von dir gewünschten Verbindung verwendet.
- Veröffentlichungen: Inhalte, die du in der App erstellst und freigibst (Feed-Beiträge, Karussells, Reels, Storys), werden in deinem Auftrag auf den von dir gewählten Konten veröffentlicht.
- Statistiken/Insights: Auf deinen Wunsch rufen wir Reichweiten-, Interaktions- und Follower-Kennzahlen sowie konto- und beitragsbezogene Auswertungen ab, um sie dir in der App anzuzeigen.
Wir nutzen diese Daten ausschließlich zur Bereitstellung der von dir aktiv genutzten Funktionen (Planen, Veröffentlichen, Auswerten) und geben sie nicht zu werblichen Zwecken an Dritte weiter. Rechtsgrundlage ist die Erfüllung des mit dir geschlossenen Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
Du kannst die Verbindung jederzeit beenden: in den Einstellungen der App, in den Sicherheitseinstellungen deines Facebook-Kontos (Bereich „Mit Facebook angemeldet" bzw. „Business-Integrationen") oder durch Anforderung einer Datenlöschung. Trennst du die Verbindung, löschen bzw. sperren wir die gespeicherten Zugriffstoken. Die Löschung der bei uns gespeicherten Meta-Verbindungsdaten kannst du zudem jederzeit über unsere Datenlösch-Seite auslösen (erreichbar über den Link „Datenlöschung & Datenschutz"); dort erhältst du einen Bestätigungscode zur Nachverfolgung.
Anbieter der Plattform ist Meta Platforms Ireland Ltd. (Irland); eine Verarbeitung in den USA ist nicht ausgeschlossen und über geeignete Garantien (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework) abgesichert.

4d. Messung unserer Werbeanzeigen (Meta Conversions API)
Wir schalten Werbeanzeigen auf Facebook und Instagram. Damit wir sehen, ob diese Anzeigen zu Besuchen und Registrierungen führen, melden wir bestimmte Ereignisse an Meta.
- Gemeldete Ereignisse: der Aufruf unserer Startseite ("PageView") und der erfolgreiche Abschluss einer Registrierung ("Lead").
- Übermittelte Daten: deine IP-Adresse, die Kennung deines Browsers (User-Agent), die Adresse der aufgerufenen Seite, die Zuordnungs-Kennungen "_fbc" und "_fbp" sowie bei einer Registrierung deine E-Mail-Adresse ausschließlich als kryptografischer Prüfwert (SHA256-Hash). Deine E-Mail-Adresse im Klartext wird nicht übermittelt.
- Übertragungsweg: Die Meldung erfolgt von unserem Server aus über die "Conversions API" von Meta. In deinem Browser wird kein Skript von Meta ausgeführt.
- Zweck: Erfolgsmessung und Optimierung unserer Werbeanzeigen sowie die Bildung von Zielgruppen durch Meta.
- Rechtsgrundlage: ausschließlich deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung findet keinerlei Meldung statt.
- Empfänger: Meta Platforms Ireland Ltd., Irland. Für die Erhebung und Übermittlung sind wir und Meta gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO; die wesentlichen Punkte dieser Vereinbarung stellt Meta unter https://www.facebook.com/legal/controller_addendum bereit. Für die weitere Verarbeitung ist Meta allein verantwortlich.
- Drittlandübermittlung: Eine Verarbeitung in den USA ist nicht ausgeschlossen; sie ist über EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert.
- Speicherdauer: Die Ereignisse verarbeitet und löscht Meta nach dessen eigenen Vorgaben; die Zuordnungs-Kennungen in deinem Browser laufen nach 90 Tagen ab.
- Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Klicke dazu auf das Keks-Symbol unten links auf unseren öffentlichen Seiten und schalte "Marketing" ab, oder wähle im Hinweis "Nur das Nötige". Die bereits gesetzten Kennungen werden dabei sofort gelöscht. Informationen von Meta findest du unter https://www.facebook.com/privacy/policy.

5. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

5a. Datensicherung (Backups)
Zur Ausfallsicherheit erstellen wir automatisiert ein tägliches Backup der Datenbank. Diese Sicherungen werden in der Regel sieben (7) Tage vorgehalten und danach automatisch gelöscht. Sie dienen ausschließlich der Wiederherstellung im Stör- oder Notfall und unterliegen denselben technischen und organisatorischen Schutzmaßnahmen wie die Live-Daten. Nach einer Löschung deiner Daten können diese in zwischenzeitlich erstellten Sicherungen noch bis zu sieben (7) Tage enthalten sein, bevor die jeweilige Sicherung turnusmäßig gelöscht wird. Benötigst du darüber hinaus eine eigene Kopie deiner Daten, kannst du jederzeit die Exportfunktion in der Anwendung nutzen.

6. Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Zudem besteht ein Beschwerderecht bei der Österreichischen Datenschutzbehörde (dsb.gv.at).

7. Kontakt
Für Anfragen zum Datenschutz erreichst du uns unter: mail@hefti.at

Stand: 23.09.2026