Datenschutzerklärung

1. Einleitung und Überblick

Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen (DSGVO, österreichisches Datenschutzgesetz – DSG, TKG 2021). Diese Datenschutzerklärung gilt sowohl für unsere Website als auch für unsere webbasierte Händlersoftware („Plattform").

Dabei sind zwei Rollen zu unterscheiden: Für die Daten, die bei der Nutzung unserer Website sowie für Ihr Kunden- und Abrechnungskonto anfallen, sind wir Verantwortlicher. Für die Daten, die Sie als unser Kunde über Ihre eigenen Endkunden (z. B. Käuferdaten in Kaufverträgen) in die Plattform eingeben, sind wir hingegen Auftragsverarbeiter gemäß Art. 28 DSGVO – verantwortlich für diese Daten bleiben Sie (siehe Punkt 4).

2. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

3. Datenverarbeitung beim Besuch unserer Website

a) Hosting und Server-Logfiles

Unsere Website und Plattform werden auf Servern eines Auftragsverarbeiters innerhalb der EU betrieben (netcup GmbH, Karlsruhe, Deutschland; die Server stehen in Wien, Österreich). Beim Aufruf werden technisch notwendige Daten automatisch verarbeitet und in Server-Logfiles gespeichert: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite/Datei, übertragene Datenmenge, Browsertyp und Betriebssystem. Dies dient der technischen Bereitstellung, Stabilität und Sicherheit. Rechtsgrundlage ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.

b) Content-Delivery-Network / Proxy (Cloudflare)

Zur sicheren und performanten Auslieferung sowie zum Schutz vor Angriffen nutzen wir Cloudflare (Cloudflare, Inc., USA). Cloudflare verarbeitet dabei technische Verbindungsdaten (insbesondere die IP-Adresse). Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

c) Kontaktanfragen

Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir die von Ihnen übermittelten Daten (Name, E-Mail-Adresse, ggf. Telefonnummer sowie Ihre Nachricht) ausschließlich zur Bearbeitung Ihrer Anfrage. Für den Versand der E-Mails setzen wir einen Versanddienstleister ein (siehe Punkt 5). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung/Durchführung eines Vertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO (Beantwortung allgemeiner Anfragen).

d) Cookies

Wir setzen technisch notwendige Cookies ein (z. B. Sitzungs- und Sicherheits-/CSRF-Cookies), die für den Betrieb der Website und den geschützten Login erforderlich sind. Diese bedürfen keiner Einwilligung (Art. 6 Abs. 1 lit. f DSGVO bzw. § 165 Abs. 3 TKG 2021). Analyse-Cookies (Google Analytics, siehe Punkt e) setzen wir auf unseren öffentlichen Informationsseiten nur ein, wenn Sie über unseren Cookie-Banner zugestimmt haben. Ihre Entscheidung speichern wir im lokalen Speicher Ihres Browsers, damit der Banner nicht bei jedem Seitenaufruf erneut erscheint. Marketing- oder Werbe-Cookies setzen wir nicht ein.

Im geschützten Bereich der Plattform und auf den Kundenseiten (siehe Punkt 4) kommen außerdem folgende technisch notwendige Cookies zum Einsatz: das Sitzungs-Cookie (hält Ihre Anmeldung bzw. den Ablauf einer Unterschrift, endet mit dem Schließen des Browsers oder spätestens nach 8 Stunden), das CSRF-Cookie (Schutz vor gefälschten Anfragen) und das Sprach-Cookie pricaro_locale (merkt sich die gewählte Sprache, Laufzeit ein Jahr). Diese Cookies enthalten keine Werbe- oder Analysekennungen.

e) Webanalyse mit Google Analytics

Auf unseren öffentlichen Informationsseiten (pricaro.eu) nutzen wir – nur mit Ihrer Einwilligung – Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). In der Plattform selbst sowie in den Online-Showrooms unserer Kunden wird Google Analytics nicht eingesetzt.

Zweck ist die statistische Auswertung, wie Besucher unsere Website nutzen (z. B. aufgerufene Seiten, Verweildauer, Herkunft des Aufrufs, Geräte- und Browsertyp, ungefährer Standort), um unser Angebot zu verbessern. Dazu werden die Cookies _ga und _ga_<ID> mit einer Laufzeit von bis zu zwei Jahren gesetzt. IP-Adressen von Nutzern aus der EU werden laut Google nur zur Ableitung des ungefähren Standorts verwendet und anschließend sofort verworfen, nicht gespeichert. Google-Signale und die Personalisierung von Werbung sind deaktiviert. Die Analysedaten werden höchstens 14 Monate aufbewahrt.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Ohne Einwilligung wird Google Analytics nicht geladen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie im Seitenfuß auf „Cookie-Einstellungen" klicken und „Ablehnen" wählen.

Google verarbeitet die Daten als Auftragsverarbeiter. Eine Übermittlung an die Google LLC in den USA kann nicht ausgeschlossen werden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO besteht.

4. Datenverarbeitung bei Nutzung der Plattform

Als Verantwortlicher verarbeiten wir die zur Bereitstellung und Abrechnung Ihres Zugangs erforderlichen Daten: Stammdaten Ihres Betriebs, Benutzerkonten (Name, E-Mail), Zugangs- und Nutzungsdaten sowie Vertrags- und Zahlungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten).

Als Auftragsverarbeiter verarbeiten wir die Inhaltsdaten, die Sie selbst in die Plattform eingeben (z. B. Fahrzeug-, Kunden- und Vertragsdaten Ihrer Endkunden), ausschließlich weisungsgebunden zu dem Zweck, Ihnen die Funktionen der Software bereitzustellen. Grundlage hierfür ist ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO, den wir Ihnen auf Wunsch bzw. mit Vertragsabschluss zur Verfügung stellen. Verantwortlicher für diese Daten bleiben Sie.

KI-gestützte Belegerkennung (optional)

Wenn Sie in der Plattform eine Scan-Funktion nutzen (Auslesen eines Zulassungsscheins beim Fahrzeugankauf, Auslesen von Eingangsrechnungen und Belegen per Foto oder PDF), wird das von Ihnen hochgeladene Bild bzw. PDF zur Texterkennung an die KI-Schnittstelle von Anthropic übermittelt. Das geschieht ausschließlich, wenn Sie den Scan selbst auslösen.

Die Belege können personenbezogene Daten Dritter enthalten, zum Beispiel Name und Anschrift des Fahrzeughalters auf dem Zulassungsschein oder Angaben zu Lieferanten auf Rechnungen. Anthropic verarbeitet die Daten als unser Unterauftragsverarbeiter ausschließlich zur Erbringung dieses Dienstes und verwendet sie nach eigenen Angaben nicht zum Training seiner Modelle. Eingaben und Ergebnisse werden dort nach eigenen Angaben spätestens nach 30 Tagen gelöscht, ausgenommen Fälle von Verstößen gegen die Nutzungsrichtlinien oder gesetzliche Pflichten.

Die erkannten Werte werden Ihnen zur Prüfung angezeigt und erst nach Ihrer Bestätigung übernommen. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Laden Sie Daten Ihrer eigenen Kunden oder Lieferanten hoch, handeln wir wie oben beschrieben als Ihr Auftragsverarbeiter. Wenn Sie die Scan-Funktion nicht nutzen, werden keine Daten an Anthropic übermittelt.

Probefahrt: Unterschrift am eigenen Handy (QR-Code)

Bei einer Probefahrt kann der Händler dem Kunden einen QR-Code mit einem vierstelligen Code zeigen. Der Kunde öffnet damit am eigenen Handy eine öffentliche Seite, liest die Angaben zur Probefahrt und unterschreibt dort. Verantwortlich für diese Daten ist der Händler, wir verarbeiten sie als sein Auftragsverarbeiter (Punkt 1). Wenden Sie sich für Auskunft, Berichtigung und Löschung bitte an den Händler.

Auf der Seite stehen nach Eingabe des Codes Name, Anschrift, Geburtsdatum, Führerscheinnummer, Kontaktdaten und die Fahrtdaten (Fahrzeug, Kennzeichen, Zeit, Ziel, Zweck). Das Führerscheinfoto sehen Sie dort nicht, es verbleibt beim Händler. Als Nachweis der Unterschrift speichern wir Zeitpunkt, die verwendete Internetadresse (IP-Adresse), den Browser und eine Prüfsumme der unterschriebenen Angaben. Die Unterschrift gilt nur für den Stand, den Sie gelesen haben; ändert der Händler danach etwas, ist eine neue Unterschrift nötig.

Der Link ist zunächst 60 Minuten gültig. Nach der Unterschrift wartet er höchstens 24 Stunden auf den Abschluss durch den Händler und zeigt in dieser Zeit keine Personendaten. Nach dem Abschluss können Sie die Bescheinigung 7 Tage lang als PDF laden (ohne Führerscheinfoto); danach ist der Link nicht mehr abrufbar. Das abgeschlossene Dokument bewahrt der Händler in seinem Bestand auf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO des Händlers (Durchführung der Probefahrt, Nachweis gegenüber Behörden und Versicherung).

Datenexport

Der Inhaber eines Betriebs kann alle Daten seines Betriebs als ZIP-Datei herunterladen. Dafür bestätigt er die Anforderung mit seinem Passwort; den Download-Link senden wir ausschließlich an die E-Mail-Adresse seines Kontos. Der Link gilt 30 Tage, die Datei wird danach gelöscht. Jeder Abruf wird mit Zeitpunkt, IP-Adresse und Browser protokolliert, um Missbrauch aufzuklären. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und, soweit es um Daten der Kunden des Händlers geht, die Weisung des Händlers (Art. 28 DSGVO).

Anmeldung, Passwort-Zurücksetzen und Protokolle

Für die Anmeldung speichern wir E-Mail-Adresse, Name, Rolle, einen Passwort-Hash (nie das Passwort selbst) und den Zeitpunkt der letzten Anmeldung. Beim Zurücksetzen des Passworts senden wir einen einmaligen, zeitlich begrenzten Link an die Adresse des Kontos; die Antwort auf die Anforderung verrät nicht, ob zu einer Adresse ein Konto besteht. Wesentliche Vorgänge in der Plattform (z. B. Anlegen, Ändern und Löschen von Datensätzen, Exporte) werden mit Zeitpunkt und Benutzer protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Betrieb und Sicherheit der Plattform).

5. Empfänger und Drittlandübermittlung

Zur Erbringung unserer Leistung setzen wir sorgfältig ausgewählte Auftragsverarbeiter ein, mit denen entsprechende Verträge gemäß Art. 28 DSGVO bestehen:

• Hosting/Infrastruktur: netcup GmbH, Karlsruhe, Deutschland (Server in Wien, Österreich).
• CDN/Sicherheit und Sicherungen: Cloudflare, Inc., USA (EU-Standardvertragsklauseln). Cloudflare leitet den Datenverkehr zu unseren Servern und speichert unsere täglichen Datensicherungen; diese sind vor dem Hochladen mit einem Schlüssel verschlüsselt, den nur wir besitzen.
• E-Mail-Versand: Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland.
• Webanalyse (nur mit Einwilligung): Google Ireland Limited, Irland; mögliche Übermittlung an Google LLC, USA (EU-US Data Privacy Framework).
• Zahlungsabwicklung: Stripe Payments Europe, Ltd., Irland.
• Fahrzeugdaten-Abfrage (FIN/VIN): VINCARIO s.r.o., Tschechien – sofern diese Funktion genutzt wird.
• KI-gestützte Belegerkennung (nur wenn Sie die Scan-Funktion nutzen): Anthropic Ireland, Limited, Irland (Auftragsverarbeitungsvereinbarung gemäß Art. 28 DSGVO). Eine Verarbeitung in den USA durch die Anthropic, PBC und deren Unterauftragsverarbeiter kann erfolgen und ist durch EU-Standardvertragsklauseln abgesichert. Details unter Punkt 4.

Eine Übermittlung in Drittländer erfolgt nur, soweit ein Angemessenheitsbeschluss vorliegt oder geeignete Garantien (insbesondere EU-Standardvertragsklauseln) vereinbart sind. Eine darüber hinausgehende Weitergabe an Dritte findet nicht statt, außer wir sind gesetzlich dazu verpflichtet.

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist. Daten aus dem Vertragsverhältnis werden für dessen Dauer sowie bis zum Ablauf der gesetzlichen Verjährungs- und Aufbewahrungsfristen gespeichert. Steuerlich und unternehmensrechtlich relevante Unterlagen unterliegen einer Aufbewahrungsfrist von sieben Jahren (§ 132 BAO, § 212 UGB). Nach Ende der Aufbewahrungsfristen bzw. nach Beendigung des Vertrags werden die Daten gelöscht.

Im Einzelnen: Server-Protokolle (technische Zugriffsdaten) bewahren wir 14 Tage auf. Tägliche Datensicherungen liegen 14 Tage auf unserem Server und bis zu 30 Tage verschlüsselt außerhalb; gelöschte Daten verschwinden daher spätestens nach dieser Zeit auch aus den Sicherungen. Nach einer Kündigung bleibt der Zugriff bis zum Ende des bezahlten Zeitraums bestehen, danach stehen die Daten weitere 30 Tage zum Export bereit und werden dann gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Download-Links für Exporte und Probefahrten gelten nur so lange, wie in Punkt 4 genannt.

7. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine Nachricht an die unter Punkt 2 genannten Kontaktdaten. Darüber hinaus haben Sie das Recht auf Beschwerde bei der Aufsichtsbehörde:

8. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um Ihre Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen. Dazu zählen insbesondere die verschlüsselte Übertragung (TLS/HTTPS), Zugriffsbeschränkungen sowie regelmäßige Sicherheitsmaßnahmen. Unsere Maßnahmen werden laufend an den Stand der Technik angepasst.

9. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen entsprechen zu lassen oder Änderungen unserer Leistungen umzusetzen. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung. Stand dieser Erklärung: Oktober 2026.