Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Martin Mühl
Trinkhausstrasse 10/1/29
1110 Wien
E-Mail: martin@rivetly.io
Telefon: +43 676 62 41 455

2. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten, deren Berichtigung, Löschung oder Einschränkung der Verarbeitung, das Recht auf Datenübertragbarkeit sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Wenden Sie sich hierzu an die oben genannte Kontaktadresse.

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei einer Aufsichtsbehörde beschweren. In Österreich ist das die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

3. Hosting und Server-Logfiles

Diese Website wird gehostet bei IONOS SE, Hauptstraße 68 D-02742 Friedersdorf. Beim Aufruf der Website erhebt unser Hosting-Anbieter technisch bedingt automatisch Informationen in sogenannten Server-Logfiles, die Ihr Browser übermittelt (u. a. IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Seite, verwendeter Browser). Diese Daten sind nicht bestimmten Personen zuordenbar und werden nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb der Website). Die Logfiles werden nach 30 Tagen automatisch gelöscht.

4. Newsletter-Anmeldung

Wenn Sie sich über das Formular auf dieser Website für Benachrichtigungen zum Launch von Rivetly anmelden, verwenden wir die von Ihnen angegebene E-Mail-Adresse, um Ihnen eine Bestätigungs-E-Mail zu senden (Double-Opt-in-Verfahren). Erst nach Bestätigung über den in dieser E-Mail enthaltenen Link wird Ihre Anmeldung aktiv. Zum Nachweis Ihrer Einwilligung speichern wir zusätzlich die IP-Adresse und den Zeitpunkt Ihrer Anmeldung sowie Ihrer Bestätigung.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den Abmeldelink in jeder E-Mail nutzen oder uns über die oben genannte Kontaktadresse kontaktieren. Ihre Daten werden gelöscht, sobald sie für den genannten Zweck nicht mehr erforderlich sind, spätestens mit Ihrer Abmeldung. Bestätigen Sie Ihre Anmeldung nicht, löschen wir Ihre E-Mail-Adresse und die zugehörigen Daten nach 30 Tagen automatisch.

Wird eine bereits angemeldete E-Mail-Adresse erneut in das Formular eingetragen, senden wir an diese Adresse einen Hinweis, dass die Anmeldung bereits besteht (höchstens einmal innerhalb von 24 Stunden). So erfährt nur die Inhaberin oder der Inhaber der Adresse, dass sie angemeldet ist, nicht aber Dritte über die Website. Rechtsgrundlage ist unser berechtigtes Interesse an einer transparenten und zugleich vertraulichen Verwaltung der Anmeldungen (Art. 6 Abs. 1 lit. f DSGVO).

Zum Schutz des Formulars vor Missbrauch, etwa durch massenhafte automatisierte Anmeldungen, speichern wir bei jeder Anmeldung einen pseudonymisierten Wert Ihrer IP-Adresse (mit einem geheimen Schlüssel gebildeter Hashwert). Die IP-Adresse selbst wird dafür nicht gespeichert. Der Wert wird nach 24 Stunden automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb des Formulars (Art. 6 Abs. 1 lit. f DSGVO).

5. Kundenbereich (app.rivetly.io)

Für Unternehmen, die Rivetly nutzen, legen wir ein Kundenkonto an und laden die verantwortliche Person per E-Mail ein. Dafür speichern wir den Namen des Unternehmens, Ihren Namen, Ihre E-Mail-Adresse und Ihre Rolle im Unternehmenskonto. Ihr Passwort speichern wir nicht im Klartext, sondern nur als nicht umkehrbaren Hashwert. Außerdem speichern wir den Zeitpunkt Ihrer letzten Anmeldung. Wir verarbeiten diese Daten, um Ihnen den Kundenbereich bereitzustellen. Rechtsgrundlage ist die Durchführung des Vertrags bzw. vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden gelöscht, sobald das Kundenkonto aufgelöst wird. Auf Wunsch löschen wir Ihr Konto auch früher, wenden Sie sich dazu an die oben genannte Kontaktadresse.

Beim Einrichten des Kontos schließt die Ansprechperson des Unternehmens mit uns den Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Als Nachweis speichern wir die Fassung des Vertrags, den Zeitpunkt, Name und E-Mail-Adresse der abschließenden Person und deren IP-Adresse. Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie unsere Pflicht, den Abschluss nachweisen zu können (Art. 6 Abs. 1 lit. c DSGVO). Der Nachweis wird mit der Auflösung des Kundenkontos gelöscht. Nach dem Abschluss und auf Ihre Anforderung im Kundenbereich senden wir Ihnen den Vertrag als PDF per E-Mail.

Wenn Sie sich mit einem Passkey anmelden möchten und einen hinzufügen, bleibt der private Schlüssel auf Ihrem Gerät bzw. bei Ihrem Passwortmanager. Wir speichern nur den zugehörigen öffentlichen Schlüssel, eine technische Kennung des Passkeys, einen Zähler zur Erkennung kopierter Schlüssel, den von Ihnen vergebenen Namen sowie den Zeitpunkt des Hinzufügens und der letzten Nutzung. Biometrische Daten wie Fingerabdruck oder Gesichtsbild erhalten wir nicht – diese Prüfung erfolgt ausschließlich auf Ihrem Gerät. Sie können Passkeys jederzeit unter „Konto“ entfernen, die Daten werden dann gelöscht, spätestens mit Auflösung des Kundenkontos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wir senden Ihnen E-Mails, die für die Nutzung des Kontos nötig sind: die Einladung (Link 7 Tage gültig), den abgeschlossenen Vertrag zur Auftragsverarbeitung, auf Anforderung einen Link zum Zurücksetzen des Passworts (60 Minuten gültig) und einen Hinweis, wenn Ihr Passwort geändert wurde. Die Links in diesen E-Mails speichern wir nur als Hashwert. Sie werden nach ihrer Verwendung oder mit Ablauf ihrer Gültigkeit gelöscht.

Zum Schutz der Konten vor unbefugtem Zugriff begrenzen wir die Zahl der Anmeldeversuche. Dafür speichern wir pseudonymisierte Werte (mit einem geheimen Schlüssel gebildete Hashwerte) Ihrer IP-Adresse und der eingegebenen E-Mail-Adresse. Diese werden nach 24 Stunden automatisch gelöscht. Zusätzlich protokollieren wir sicherheitsrelevante Vorgänge wie Anmeldungen, fehlgeschlagene Anmeldeversuche, Abmeldungen und Passwortänderungen mit Zeitpunkt, der internen Kontonummer und der IP-Adresse, damit wir Angriffe erkennen und nachvollziehen können. E-Mail-Adressen und Passwörter werden dabei nicht protokolliert. Diese Einträge werden nach 90 Tagen automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Benutzerkonten (Art. 6 Abs. 1 lit. f DSGVO).

6. Schutz von Anmeldung und Gewinnspielen vor Bots (ALTCHA)

Um die Anmeldung im Kunden- und im Admin-Bereich vor automatisierten Angriffen zu schützen, setzen wir das Open-Source-Verfahren ALTCHA ein. Beim Klick auf „Sicher anmelden“ lädt Ihr Browser dafür ein Skript von unserem eigenen Server, erhält von dort eine Rechenaufgabe, löst sie im Hintergrund und sendet die Lösung zusammen mit dem Anmeldeformular zurück. Die Aufgabe wird ausschließlich auf unserem Server erzeugt und geprüft. Es werden keine Daten an Dritte übermittelt, keine zusätzlichen Cookies gesetzt und keine weiteren personenbezogenen Daten erhoben. Die Aufgabe wird nur vorübergehend in Ihrer Sitzung vermerkt, ist höchstens fünf Minuten gültig und wird nach der Prüfung, spätestens mit dem Ende Ihrer Sitzung, gelöscht.

Auch die Teilnahmeformulare der Gewinnspiele (Punkt 7) sind so geschützt, dort jedoch ohne Sitzung und ohne Cookies: Damit eine gelöste Aufgabe nicht erneut verwendet werden kann, speichern wir nach der Prüfung einen Hashwert der Aufgabe (nicht Ihrer Daten) und löschen ihn nach Ablauf ihrer Gültigkeit, spätestens nach fünf Minuten.

Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Benutzerkonten und dem Schutz vor missbräuchlichen Anmeldeversuchen (Art. 6 Abs. 1 lit. f DSGVO).

7. Gewinnspiele unserer Kunden (play.rivetly.io)

Unternehmen, die Rivetly nutzen, veranstalten über Seiten unter play.rivetly.io Gewinnspiele (z. B. Rubbellose), die auch in ihre eigenen Websites eingebunden sein können. Für die Daten, die Sie dort angeben (z. B. E-Mail-Adresse, Name, Ergebnis Ihrer Teilnahme und eine etwaige Newsletter-Einwilligung), ist das jeweilige Unternehmen als Veranstalter verantwortlich. Wir verarbeiten diese Daten ausschließlich in dessen Auftrag und nach dessen Weisung (Art. 28 DSGVO). Name und Anschrift des Veranstalters, seine Datenschutzerklärung und die Teilnahmebedingungen sind auf jeder Gewinnspielseite und in jeder E-Mail zum Gewinnspiel verlinkt. Über den Link „Meine Daten löschen“ in diesen E-Mails können Sie Ihre Teilnahmedaten jederzeit selbst löschen. Ohne bestätigte Newsletter-Einwilligung werden sie spätestens mit Ablauf der vom Veranstalter festgelegten Frist (1 bis 12 Monate nach Ende des Gewinnspiels) automatisch gelöscht.

In eigener Verantwortung verarbeiten wir beim Aufruf dieser Seiten nur, was für ihren sicheren Betrieb nötig ist: Server-Logfiles wie unter Punkt 3 beschrieben, einen pseudonymisierten Wert Ihrer IP-Adresse zur Begrenzung der Teilnahmeversuche (nach 24 Stunden gelöscht) und den Schutz des Teilnahmeformulars vor Bots mit ALTCHA (siehe Punkt 6). Die Gewinnspielseiten setzen keine Cookies und laden keine Inhalte von Dritten. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und missbrauchsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

8. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies, die keine Rückschlüsse auf Ihre Person zulassen:

• Auf dieser Website schützt ein Session-Cookie das Anmeldeformular vor Missbrauch (CSRF-Schutz). Es wird beim Schließen des Browsers gelöscht.
• Im Kunden- und im Admin-Bereich hält ein Session-Cookie Sie nach der Anmeldung angemeldet. Die Sitzung endet mit der Abmeldung, im Kundenbereich nach 8 Stunden ohne Aktivität, spätestens nach 7 Tagen.
• Klappen Sie im Kunden- oder Admin-Bereich die Seitenleiste ein, merkt sich ein Cookie („sidebar“) diese Einstellung, damit sie beim nächsten Aufruf erhalten bleibt. Es enthält nur den Wert „eingeklappt“ und wird gelöscht, sobald Sie die Seitenleiste wieder ausklappen, spätestens nach einem Jahr.

Da diese Cookies für die von Ihnen ausdrücklich gewünschten Funktionen unbedingt erforderlich sind, ist für sie gemäß § 165 Abs. 3 TKG 2021 keine Einwilligung erforderlich. Es werden derzeit keine Analyse- oder Marketing-Cookies und keine Tracking-Dienste Dritter eingesetzt. Sollte sich das künftig ändern, holen wir vorab Ihre Einwilligung über einen Cookie-Banner ein.

9. Empfänger und Auftragsverarbeiter

Für den Versand unserer E-Mails (Bestätigungs-E-Mails zum Newsletter, Einladungen und Hinweise zum Kundenkonto sowie E-Mails zu Gewinnspielen im Auftrag unserer Kunden) nutzen wir den E-Mail-Dienst Brevo der Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland, einem Unternehmen der Brevo-Gruppe (Sendinblue SAS, Paris). Dafür übermitteln wir Brevo die Empfängeradresse und den Inhalt der jeweiligen E-Mail. Brevo speichert zu jeder E-Mail ein Versandprotokoll (u. a. Empfängeradresse, Zeitpunkt, Zustellstatus und technische Daten wie IP-Adressen der beteiligten Mailserver), damit wir die Zustellung nachweisen und Fehler beheben können. Diese Protokolle werden gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind, spätestens drei Monate nach Ende unseres Vertrags mit Brevo. Adressen, an die E-Mails dauerhaft nicht zugestellt werden können oder die eine E-Mail als Spam gemeldet haben, vermerkt Brevo auf einer Sperrliste, damit an sie keine weiteren E-Mails gehen. Rechtsgrundlage ist die jeweilige Rechtsgrundlage des Versands (siehe Punkte 4, 5 und 7) sowie unser berechtigtes Interesse an einer zuverlässigen Zustellung (Art. 6 Abs. 1 lit. f DSGVO).

Brevo speichert die Daten auf Servern in Frankreich und Belgien. Für Support, Wartung und den Schutz der Infrastruktur können Unternehmen der Brevo-Gruppe und Dienstleister von Brevo in Drittländern, insbesondere in den USA und in Indien, Zugriff auf Daten erhalten. Diese Übermittlungen sind durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert, bei Empfängern in den USA teilweise zusätzlich durch deren Zertifizierung nach dem EU-US Data Privacy Framework (Art. 45 DSGVO).

Unsere Websites werden bei IONOS SE gehostet (siehe Punkt 3). Mit allen Dienstleistern, die in unserem Auftrag personenbezogene Daten verarbeiten, haben wir Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) geschlossen.

10. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich unser Angebot oder die rechtlichen Vorgaben ändern.

Stand: 01.10.2026