Datenschutzerklärung

Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. Nachfolgend informieren wir Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten im Rahmen unseres Webauftritts gemäß der Datenschutz-Grundverordnung (EU-DSGVO) und dem österreichischen Datenschutzgesetz (DSG).

1. Verantwortliche Stelle

VIA Information Allmedia GmbH
Geibelgasse 14–16, 1150 Wien, Österreich
E-Mail: c.xell@viainfo.com
Telefon: +43 664 1599550

2. Ihre Rechte als betroffene Person

Ihnen stehen bezüglich der bei uns verarbeiteten Daten nach der DSGVO folgende Betroffenenrechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Bestätigung darüber, ob Daten verarbeitet werden, sowie Auskunft über Verarbeitungszwecke, Datenkategorien und Empfänger.
• Recht auf Berichtigung (Art. 16 DSGVO): Unverzügliche Korrektur unrichtiger oder Vervollständigung unvollständiger personenbezogener Daten.
• Recht auf Löschung (Art. 17 DSGVO): Entfernung gespeicherter Daten, sofern keine gesetzlichen Aufbewahrungsfristen oder Verarbeitungsgründe entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Begrenzung der Datennutzung unter den gesetzlichen Voraussetzungen.
• Mitteilungspflicht (Art. 19 DSGVO): Benachrichtigung der Empfänger über erfolgte Berichtigungen, Löschungen oder Einschränkungen nach Maßgabe der gesetzlichen Bestimmungen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Herausgabe der bereitgestellten Daten in einem gängigen, maschinenlesbaren Format unter den gesetzlichen Voraussetzungen.
• Widerspruchsrecht (Art. 21 DSGVO): Recht auf Widerspruch gegen die Datenverarbeitung, insbesondere bei Verarbeitungen auf Grundlage berechtigter Interessen oder zu Zwecken der Direktwerbung.
• Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO): Eine einmal erteilte Zustimmung kann jederzeit mit Wirkung für die Zukunft formlos widerrufen werden.

Wenn Sie annehmen, dass die Verarbeitung Ihrer Daten gegen Datenschutzrecht verstößt oder Ihre datenschutzrechtlichen Ansprüche verletzt wurden, steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu. In Österreich ist dies:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Web: https://www.dsb.gv.at/

3. Datensicherheit durch Transportverschlüsselung (TLS/HTTPS)

Um eingegebene Daten vor dem Zugriff unbefugter Dritter bei der Übertragung zu schützen, nutzt diese Webseite Transportverschlüsselung via TLS/HTTPS. Eine verschlüsselte Verbindung erkennen Sie am „https://“ in der Browseradresse.

4. Cookies und lokale Speicherung

Die öffentlichen Informationsseiten setzen selbst keine Cookies ein. Die Sprachwahl erfolgt über die Seitenadresse; sie wird nicht in einem Cookie oder im lokalen Browserspeicher gespeichert. Im gesonderten Community-Bereich werden nach dessen technischer Freischaltung notwendige Sicherheits- und Sitzungscookies verwendet (siehe Abschnitt 10). Der geschützte Buchungskalender und zusätzliche Community-Funktionen sind in Abschnitt 10 beschrieben. Wir verwenden keine Analyse- oder Marketing-Tracker und keinen Cookie-Banner für solche Dienste. Die nachfolgend beschriebene externe Schrift wird bereits beim Seitenaufruf geladen.

5. Website-Bereitstellung über Cloudflare

Für die Auslieferung und den Schutz dieser Website verwenden wir Cloudflare Workers und Workers Static Assets. Dabei erhält Cloudflare als Hosting- und Infrastrukturanbieter technische Verbindungsdaten, insbesondere die IP-Adresse, die angeforderte Seitenadresse, Zeitpunkt und technische Angaben zur Anfrage beziehungsweise zum Browser. Diese Verarbeitung dient der Bereitstellung der angeforderten Inhalte, der zuverlässigen Auslieferung und der Abwehr technischer Angriffe.

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einem sicheren, funktionsfähigen Webauftritt (Art. 6 Abs. 1 lit. f DSGVO). Empfänger ist Cloudflare, Inc. sowie die für den Dienst eingesetzten Cloudflare-Gesellschaften und Unterauftragsverarbeiter. Cloudflare betreibt ein globales Netzwerk; eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, ist möglich. Cloudflare veröffentlicht Informationen zu Verarbeitung und Schutzmaßnahmen in seiner Datenschutzerklärung und seinem Data Processing Addendum. Daraus folgt keine Zusicherung eines ausschließlich europäischen Datenstandorts.

Aufbewahrung und Löschung technischer Daten richten sich nach den eingesetzten Cloudflare-Diensten und der jeweiligen Hosting- und Sicherheitskonfiguration. Auskünfte zu den im konkreten Betrieb geltenden Fristen und Übermittlungsgarantien können bei der verantwortlichen Stelle angefragt werden.

6. Externe Schrift über Adobe Fonts

Wir laden die Schrift Loos über https://use.typekit.net/vjf5btj.css von Adobe Fonts. Beim Seitenaufruf verbindet sich Ihr Browser daher mit Adobe-Servern; Adobe erhält die IP-Adresse zur Schriftauslieferung. Laut Adobe wird diese IP-Adresse dabei nicht gespeichert und Adobe Fonts setzt für die Webfont-Auslieferung keine Cookies ein. Adobe kann außerdem technische Angaben zum Schriftprojekt und zur ausliefernden Website verarbeiten. Eine Verarbeitung außerhalb des EWR ist möglich.

Die Einbindung dient einer einheitlichen, gut lesbaren Gestaltung; zugrunde gelegt wird Art. 6 Abs. 1 lit. f DSGVO. Weitere Angaben enthält der Datenschutzhinweis zu Adobe Fonts.

7. Kontaktaufnahme per E-Mail

E-Mail-Links öffnen Ihr E-Mail-Programm. Wenn Sie uns schreiben, verarbeiten wir Ihre übermittelten Kontaktangaben und den Inhalt Ihrer Nachricht zur Bearbeitung der Anfrage. Je nach Inhalt erfolgt dies für vorvertragliche oder vertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder auf Grundlage unseres berechtigten Interesses an der Beantwortung anderer Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden so lange aufbewahrt, wie dies zur Bearbeitung erforderlich ist; einschlägige gesetzliche Aufbewahrungspflichten bleiben unberührt.

Für allgemeine rechtliche und datenschutzbezogene Anliegen verwenden Sie bitte c.xell@viainfo.com. Für Veranstaltungs- und Sonderbuchungsanfragen steht donxello@galeria-ideal.at zur Verfügung. Über die Website selbst wird keine Kontaktformular-Nachricht versandt.

8. Externe Links

TocaToca und weitere externe Angebote sind ausschließlich verlinkt. Es gibt keine eingebetteten Musikplayer oder Karten. Eine Verbindung zum jeweiligen verlinkten Angebot entsteht erst beim Folgen des Links; dort gelten die Datenschutzhinweise des jeweiligen Anbieters.

9. Weitere Auskünfte

Fragen zu den eingesetzten Empfängern, Speicherfristen oder den im Einzelfall einschlägigen Garantien bei Drittlandübermittlungen richten Sie bitte an die oben genannte verantwortliche Stelle. Die folgenden ergänzenden Hinweise beschreiben die implementierten Community-Funktionen. Diese bleiben bis zur technischen Einrichtung und rechtlichen Freigabe deaktiviert.

10. Registrierung, Anmeldung und Community

Stand und Freigabe: Die Community-Funktionen sind für einen gesonderten Preview-Test vorbereitet. Ohne aktivierte Funktionsschalter, Datenbank, Sicherheitsprüfung und E-Mail-Versand sind Registrierung und Anmeldung gesperrt. Die folgenden Angaben gelten bei ihrer Freischaltung. Kalender und die nachfolgend beschriebenen C2-Ergänzungen verwenden dieselbe Community-Anwendung. Ein öffentliches Mitgliederverzeichnis besteht nicht.

Daten und Zwecke

Für einen Mitgliedschaftsantrag verarbeiten wir Vorname, Nachname, normalisierte E-Mail-Adresse und Telefonnummer als Pflichtangaben, die gewählte Sprache, Registrierungs- und Bestätigungszeitpunkte, Freigabestatus und interne Rolle. Die Angaben dienen der Bearbeitung des Antrags, der persönlichen Freigabe, Kontaktaufnahme und Verwaltung der Mitgliedschaft. Nur Administratoren können die Mitgliederliste und Kontaktdaten einsehen. Noch nicht freigegebene Mitglieder sehen nach der Anmeldung nur ihren eigenen Status.

Zur Verifizierung und passwortlosen Anmeldung werden einmalige sechsstellige E-Mail-Codes versandt. Gespeichert werden ausschließlich kryptografisch mit einem geheimen Schlüssel geschützte Prüfsummen der Codes, deren Zweck, Ablauf und Fehlversuche. Codes gelten zehn Minuten und höchstens fünf Versuche. Auch bei unbekannten oder gesperrten Konten kann eine neutrale Code-Nachricht versandt werden, um keine Auskunft über bestehende Mitgliedschaften zu geben; daraus entsteht kein Zugang. Anfragen sind begrenzt.

Sitzungen werden serverseitig über zufällige Token mit gespeicherter Prüfsumme validiert. Das Cookie __Host-gi_session ist HttpOnly, Secure und SameSite=Strict; es gilt höchstens 30 Tage und serverseitig höchstens sieben Tage ohne Nutzung. Abmeldung widerruft die Sitzung. Das ebenfalls geschützte Cookie __Host-gi_csrf (höchstens eine Stunde) dient zusammen mit Herkunftsprüfungen dem Schutz vor fremdveranlassten Formularaktionen. Vertrauliche Angaben und Codes werden nicht in Local Storage oder Session Storage abgelegt. Personenbezogene Community-Antworten dürfen nicht öffentlich zwischengespeichert werden.

Für Missbrauchsschutz werden zeitlich begrenzte, mit geheimem Schlüssel pseudonymisierte Prüfsummen von E-Mail-Adresse und IP-Adresse mit Anfragenzählern gespeichert, keine zusätzlichen Klartext-IP-Protokolle der Anwendung. Ein internes Änderungsprotokoll enthält interne Mitgliedskennungen, Zeitpunkte und wesentliche Aktionen wie Bestätigung, Anmeldung und Statusänderung; keine Codes, Sitzungstoken oder Nachrichteninhalte.

Dienste und Empfänger

Cloudflare Workers führt die Anwendung aus; Cloudflare D1 speichert die Mitgliedsdaten. Die Datenbank wird vom Betreiber separat eingerichtet; eine EU-Jurisdiktion ist vorgesehen, aber vor ihrer tatsächlichen Bestätigung nicht zugesichert. Diese Einstellung allein umfasst nicht sämtliche Worker-, E-Mail-, Support- und Sicherheitsverarbeitungen.

Cloudflare Turnstile wird nur auf den gesonderten Registrierungs- und Anmeldeformularen zur Missbrauchsabwehr geladen. Cloudflare verarbeitet dabei technische Browser-, Geräte- und Verbindungsinformationen. Die Anwendung prüft die Turnstile-Token serverseitig. Weitere Angaben: Cloudflare Turnstile Privacy Addendum.

Cloudflare Email Sending ist für Bestätigungs- und Anmeldecodes, administrative Antragshinweise und Freigabenachrichten vorgesehen und muss vom Betreiber aktiviert werden. Dabei werden insbesondere Empfängeradresse, Betreff, Nachrichteninhalt und Zustellinformationen verarbeitet; E-Mail-Anbieter der Empfänger wirken an der Zustellung mit. Absender ist community@galeria-ideal.at, Antwortadresse donxello@galeria-ideal.at. Der lokale Entwicklungstest verwendet ausschließlich erfundene Daten, eine lokale D1 und ein nicht versendendes Testpostfach im Arbeitsspeicher. Brevo ist nicht eingebunden.

Löschung und Aufbewahrung

Die implementierte Bereinigung löscht unbestätigte Anträge nach sieben Tagen, noch wartende Anträge nach 90 Tagen, abgelehnte Anträge 30 Tage und gesperrte Mitgliedschaften 365 Tage nach der letzten Statusänderung. Aktive freigegebene Mitgliedschaften bleiben für ihre Verwaltung gespeichert; bei Beendigung oder einem Löschantrag ist eine gesonderte Prüfung und Löschung durch den Betreiber erforderlich.

Abgelaufene Codes werden spätestens beim nächsten Bereinigungslauf nach einem weiteren Tag entfernt. Entsprechendes gilt für abgelaufene, widerrufene oder wegen Inaktivität ungültige Sitzungen und abgelaufene Anfragezähler. Änderungsprotokolle sind auf 180 Tage und Benachrichtigungsaufträge auf 30 Tage begrenzt. Die Bereinigung läuft bei Aufrufen der eingerichteten Community-Seiten; für einen dauerhaft betriebenen Dienst ist ein dokumentierter täglicher Betreiberlauf erforderlich. Ohne Aufruf/Lauf erfolgt keine zeitgesteuerte Löschgarantie. Cloudflare-Sicherungen, Dienstprotokolle und bereits zugestellte E-Mails folgen den separat zu bestätigenden Anbieter- und Postfachregeln.

Community-Buchungen, Einladungen und Abschlüsse

Für Buchungen speichern wir Verantwortlichkeit, Termin in Wiener Ortszeit, Nutzungszweck, geplante Personenzahl, Veranstaltungstitel und Beschreibung, gegebenenfalls Informationslink und individuell vereinbarte Sonderkonditionen. Freigegebene Mitglieder sehen den Community-Kalender. Öffentlich erscheinen ausschließlich ausdrücklich bestätigte Veranstaltungstitel, Beschreibungen, Termine, Informationslinks und der Veranstaltungsort. Die Veröffentlichung ist freiwillig und kann zurückgenommen oder administrativ unterbunden werden; sie ist keine allgemeine Teilnahmeerlaubnis. Alte Veröffentlichungswünsche aus der ersten Kalenderfassung benötigen eine erneute ausdrückliche Bestätigung.

Verantwortliche oder Administratoren können nach Prüfung einer Vorschau persönliche Einladungen sowie Änderungs- oder Absagenachrichten ausdrücklich auslösen. Dafür verarbeiten wir normalisierte Empfängeradressen, Buchungsbezug und -version, auslösende Person, Versandzeit und Versandstatus. Die jeweilige Einladung nennt Name des Verantwortlichen, Titel, Termin und Ort. Jede Person erhält eine eigene zweisprachige Nachricht über das bereits beschriebene Cloudflare Email Sending; weitere Empfänger werden nicht offengelegt. Eine Providerannahme garantiert keine Zustellung. Einladungen erzeugen weder Mitgliedschaft noch Teilnahmebestätigung, Newsletter-Anmeldung oder Werbeeinwilligung. Einladungsadressen werden nicht für allgemeine Werbung verwendet.

Beim Abschluss speichern wir tatsächliche Personenzahl (einschließlich null), Endbetrag, gewählte externe Zahlungsart, Zustandserklärung oder Problembeschreibung, verantwortliche Person und Zeitpunkt. Eine gesonderte administrative Bestätigung erfasst den tatsächlichen Zahlungseingang mit Administrator und Zeitpunkt. Die Auswahl einer Zahlungsart ist keine Zahlungsbestätigung. Es besteht keine Zahlungsdienst-, Bank- oder Rechnungsintegration. Freigegebene Mitglieder sehen im Kalender ausschließlich, ob eine Buchung abgeschlossen wurde. Geplante und tatsächliche Personenzahlen, Beträge, Zahlungsarten und -eingänge sowie Problemkennzeichen und Problembeschreibungen sind ausschließlich für die verantwortliche Person und Administratoren sichtbar. Zahlungsverwaltung, Monats-CSV und administrative Korrekturprotokolle bleiben Administratoren vorbehalten. Die öffentliche Veranstaltungsausgabe enthält keine Kontakt-, Einladungs-, Teilnehmer-, Abschluss- oder Zahlungsdaten.

Für Buchungen, Versandansprüche, Abschluss-, Korrektur- und Zahlungsdaten besteht in C2 noch keine automatische Löschung und noch keine rechtlich freigegebene Speicherfrist. Die oben genannten Fristen für Mitgliedschaftscodes und Paket-B-Benachrichtigungen gelten nicht als Fristen für diese zusätzlichen Daten. Der Betreiber muss vor Aktivierung von C2 Zweck, Rechtsgrundlagen, Informationspflichten gegenüber eingeladenen Nichtmitgliedern, Aufbewahrung und dokumentierten Löschablauf bestätigen. Nach Ende einer Veranstaltung können Einladungsadressen und Versanddetails nach dieser Prüfung kontrolliert entfernt werden; aktive Einmalsperren dürfen dabei nicht zurückgesetzt werden. Etwaige gesetzliche Aufbewahrungspflichten für finanzielle Unterlagen sind gesondert zu prüfen. Zugestellte Nachrichten in Empfängerpostfächern können durch die Anwendung nicht gelöscht werden.

Rechtliche Freigabe noch erforderlich

Vor öffentlicher Aktivierung sind Rechtsgrundlagen, Erforderlichkeit der Telefonnummer, Interessenabwägung für Sicherheitsmaßnahmen und Turnstile, Cookie-Einordnung, Aufbewahrungsfristen, Auftragsverarbeitung, tatsächliche Datenjurisdiktion und Drittlandgarantien rechtlich zu bestätigen. Als zu prüfende Zuordnung kommen für Antrag und Mitgliedschaft Art. 6 Abs. 1 lit. b DSGVO und für technische Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO in Betracht. Diese Zuordnung ist noch keine rechtliche Freigabe. Eine verpflichtende Werbeeinwilligung oder Newsletter-Anmeldung wird nicht verlangt. Für Auskunft, Berichtigung, Beendigung und Löschanträge: c.xell@viainfo.com.