Datenschutzerklärung

Stand: 26. Oktober 2026. Diese Erklärung gilt für die Website www.clustoria.com und die Anwendung app.clustoria.com. Sie folgt der EU-Datenschutz-Grundverordnung (DSGVO) und dem österreichischen Datenschutzgesetz (DSG).

1. Einleitung

Clustoria ist eine Software, mit der Unternehmen Kundenfeedback lesen und beantworten. Diese Erklärung sagt Ihnen, welche personenbezogenen Daten wir dabei verarbeiten, warum wir das tun und welche Rechte Sie haben.

1.1 Verantwortlicher

Verantwortlicher im Sinne der DSGVO und sonstiger nationaler Datenschutzgesetze der Mitgliedstaaten sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Clustoria, Einzelunternehmen Kilian Frischauf
Grinzinger Straße 93/2
1190 Wien, Österreich
E-Mail: kontakt@clustoria.com
Telefon: +43 677 6310 2127

Für alle Anliegen rund um den Datenschutz erreichen Sie uns unter den oben genannten Kontaktdaten. Einen Datenschutzbeauftragten haben wir nicht benannt; nach unserer Prüfung besteht dafür derzeit keine Pflicht.

1.2 Was personenbezogene Daten sind

Personenbezogene Daten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 4 Nr. 1 DSGVO). Bei uns sind das zum Beispiel ein Name, eine E-Mail-Adresse, eine Telefonnummer, eine IP-Adresse, ein Benutzername oder der Text einer Nachricht.

1.3 Wer wofür verantwortlich ist

Clustoria hat zwei Seiten: unsere eigene Website samt Geschäftsbetrieb und die Anwendung, die wir für unsere Geschäftskunden betreiben. Wer für eine Verarbeitung verantwortlich ist, hängt davon ab, auf welcher Seite sie stattfindet.

Wo wir Auftragsverarbeiter sind, regelt ein Auftragsverarbeitungsvertrag mit dem jeweiligen Kunden die Einzelheiten (Art. 28 DSGVO). Rechtsgrundlage der Verarbeitung im Auftrag ist Art. 28 DSGVO in Verbindung mit diesem Vertrag; die vertragliche Beziehung zu unseren Geschäftskunden selbst stützt sich auf Art. 6 Abs. 1 lit. b DSGVO. Welche Rechtsgrundlage der Kunde gegenüber seinen Endkunden und Beschäftigten wählt, bestimmt der Kunde als Verantwortlicher.

1.4 Unsere Grundsätze

Wir verarbeiten personenbezogene Daten grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt nur nach Einwilligung der betroffenen Person oder wenn die Verarbeitung durch gesetzliche Vorschriften gestattet ist.

Wir treffen technische und organisatorische Sicherheitsmaßnahmen, um Ihre Daten vor unberechtigtem Zugriff, Missbrauch, Verlust und Manipulation zu schützen (Abschnitt 9). Es werden keine Daten verkauft und keine Werbung geschaltet.

2. Datenverarbeitungen und Zwecke

Hier steht für jedes Angebot, welche Daten wir verarbeiten und wozu. Zu jeder Verarbeitung nennen wir die Rechtsgrundlage, die Empfänger, die Speicherdauer und ob Sie die Angaben machen müssen.

2.1 Besuch der Website

Beim Besuch von www.clustoria.com entstehen technische Zugriffsdaten. Sie dienen nur dem stabilen Betrieb und der Sicherheit der Website.

Welche Daten das sind und wie lange sie bleiben, steht in Abschnitt 4 (Server-Logs). Die Website setzt keine Cookies (Abschnitt 5) und lädt keine Inhalte von fremden Servern (Abschnitt 6). Eine Auswertung zu Werbe- oder Profilzwecken findet nicht statt.

Rechtsgrundlage: berechtigtes Interesse am sicheren und störungsfreien Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Empfänger: unser Hosting-Dienstleister (Abschnitt 3). Bereitstellung: Die Zugriffsdaten fallen technisch an; ohne sie kann die Seite nicht ausgeliefert werden.

2.2 Kontaktaufnahme und Demo-Termin

Sie können uns per E-Mail oder Telefon erreichen und über einen Link einen Demo-Termin buchen. Wir verarbeiten dabei nur das, was Sie uns selbst mitteilen.

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (Name, E-Mail-Adresse, Inhalt der Nachricht) ausschließlich zur Bearbeitung Ihrer Anfrage. Bei einem Anruf verarbeiten wir Ihre Rufnummer und das, was Sie uns sagen, ebenfalls nur zur Bearbeitung Ihres Anliegens. Für Anfragen gibt es außer E-Mail und Telefon kein weiteres Werkzeug; unsere E-Mails liegen in unserem Postfach bei Google Workspace (Abschnitt 3).

Für die Buchung von Demo-Terminen verlinken wir auf den Terminplanungsdienst Zeeg (zeeg.me). Zeeg ist auf unserer Website nur verlinkt und nicht eingebunden; beim bloßen Besuch unserer Website erhält Zeeg keine Daten. Die Buchungsseite betreibt Zeeg in eigener Verantwortung; Zeeg ist nicht unser Auftragsverarbeiter, und einen Auftragsverarbeitungsvertrag mit Zeeg gibt es nicht. Bei einer Buchung verarbeitet Zeeg die von Ihnen angegebenen Daten (Name, E-Mail-Adresse, gewählter Termin) zur Terminvereinbarung und Bestätigung. Wir erhalten die Buchung per E-Mail in unser Postfach. Einzelheiten, auch zu Sitz und Verarbeitungsort, stehen in den Datenschutzhinweisen von Zeeg; für die Buchungsseite gelten diese.

Rechtsgrundlage: Erfüllung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO); bei allgemeinen Anfragen ohne Vertragsbezug unser berechtigtes Interesse an deren Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Empfänger: unser Postfach bei Google Workspace (Abschnitt 3). Eine Demo-Buchung geben Sie unmittelbar bei Zeeg ab; dafür ist Zeeg selbst verantwortlich, nicht als unser Auftragsverarbeiter. Speicherdauer: Kontaktanfragen ohne Vertragsabschluss löschen wir 6 Monate nach der letzten Kommunikation; kommt ein Vertrag zustande, gilt Abschnitt 2.9. Bereitstellung: freiwillig; ohne Ihre Kontaktdaten können wir Ihnen aber nicht antworten.

2.3 Selbst-Registrierung und Freischaltung eines Kontos

Unter app.clustoria.com/registrieren kann sich ein Unternehmen selbst für Clustoria anmelden. Wir prüfen jede Registrierung und schalten das Konto von Hand frei.

Daten: Firmenname, Kontakt-E-Mail-Adresse, gewählter Benutzername und Passwort. Das Passwort speichern wir nie im Klartext, sondern nur als Hash (Argon2id).

Ablauf: Über die Registrierung werden wir per E-Mail benachrichtigt und schalten das Konto über einen signierten Link frei. Die neue Administration erhält eine Freischalt-Bestätigung mit einem Bestätigungslink für ihre E-Mail-Adresse; er ist 24 Stunden gültig. Erst die bestätigte Adresse wird zur Anmeldekennung und zur Adresse für das Zurücksetzen des Passworts. Registriert sich jemand mit einer Adresse, die bereits als bestätigte Anmeldeadresse bekannt ist, legen wir kein zweites Konto an, sondern schicken eine Nachricht an genau diese Adresse (höchstens drei je Tag). Um Missbrauch zu verhindern, sind Registrierungen je IP-Adresse auf fünf pro Stunde begrenzt; auch Anmeldeversuche sind je IP-Adresse begrenzt, und ein Konto wird nach fünf Fehlversuchen für 15 Minuten gesperrt. Die IP-Adresse, von der eine Registrierung kommt, steht dafür im Anmelde-Protokoll (Abschnitt 2.4) und wird dort nach 90 Tagen genullt. Beim ersten Login wird die Administration einmalig gefragt, ob sie die Zwei-Faktor-Authentifizierung einrichten möchte (Abschnitt 2.4).

Rechtsgrundlage: berechtigtes Interesse an der Bearbeitung eingehender Registrierungen und Anfragen (Art. 6 Abs. 1 lit. f DSGVO); nach Vertragsabschluss die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Empfänger: unser Hosting-Dienstleister (Rechenzentrum Frankfurt) und der Kanal für unsere System-Mails (Abschnitt 3). Speicherdauer: Nie freigeschaltete Registrierungen werden samt Kontakt-E-Mail nach 90 Tagen automatisch gelöscht; lehnen wir eine Registrierung ab, löschen wir sie sofort. Bereitstellung: Ohne diese Angaben kann kein Konto angelegt werden.

2.4 Benutzerkonten, Anmeldung und Protokolle in der Anwendung

Beschäftigte unserer Kunden melden sich mit einem persönlichen Konto an. Wir verarbeiten diese Kontodaten im Auftrag des Kunden, damit nur berechtigte Personen Zugang zu seinen Rückmeldungen haben.

Daten: Benutzername; optional eine E-Mail-Adresse (zweites Anmeldemerkmal und Adresse für das Zurücksetzen des Passworts und für Einladungen); Passwort-Hash (Argon2id); bei eingerichteter Zwei-Faktor-Authentifizierung das verschlüsselte TOTP-Geheimnis und die Wiederherstellungscodes; Rolle sowie Zuweisungen zu Filialen, Bezirken und Themen; Sitzungen mit IP-Adresse und Browserkennung; dazu die vier folgenden Protokolle.

• Anmelde-Protokoll: Zeitpunkt, Ergebnis, IP-Adresse, Anmeldename und Browserkennung jedes Anmeldeversuchs. Es schützt vor Missbrauch (zu viele Fehlversuche sperren vorübergehend) und belegt Anmeldungen. Eine unbekannte oder unbestätigte Kennung steht darin nur als Hash mit Schlüssel, nie im Klartext; so landet kein versehentlich ins Namensfeld getipptes Passwort im Protokoll. IP-Adresse, Anmeldename und Browserkennung werden nach 90 Tagen genullt, die Zeile bleibt de-identifiziert stehen.
• Zugriffsprotokoll: wer welchen Vorgang wann im Klartext gesehen hat (Benutzerkennung, IP-Adresse, Zeitpunkt und die Stelle in der Anwendung). Die IP-Adresse wird nach 90 Tagen genullt; die Zeile mit der Benutzerkennung bleibt bis zum Vertragsende. In eine Auskunft an eine Endkundin oder einen Endkunden gehen daraus nur Zeitpunkt und Zweck, nie Benutzerkennung, Benutzername oder IP-Adresse.
• Rechteprotokoll: jede Änderung an Rolle, Filial- und Bezirkszuordnung, Themen-Zuständigkeit oder Bezirksverantwortung mit dem handelnden Administrator, der betroffenen Person und dem alten und neuen Stand. Es enthält keine Endkundendaten und bleibt bis zum Vertragsende.
• Protokoll der automatischen Antworten: wer die automatischen Antworten auf Google-Rezensionen eingeschaltet, geändert, ausgeschaltet oder per Not-Aus gestoppt hat, mit Zeitpunkt, den Einstellungen vorher und nachher und der Fassung des bestätigten Einwilligungstexts samt Prüfsumme und dem Firmennamen, der darin stand. Bricht jemand eine einzelne geplante automatische Antwort ab, steht sein Anmeldename an diesem Plan. Schaltet der Clustoria-Betrieb auf Grundlage einer schriftlichen Einwilligung ein oder ändert er auf dieser Grundlage die Einstellungen, steht dessen Anmeldename im Protokoll, dazu das Datum der Einwilligung, Name und Funktion der Person, die sie für das Unternehmen unterschrieben hat, und ein Verweis auf das Dokument. Nimmt der Clustoria-Betrieb die Freischaltung der Funktion für ein Unternehmen zurück, während sie eingeschaltet ist oder automatische Antworten geplant sind, steht sein Anmeldename als Not-Aus im Protokoll. Das Protokoll weist die Einwilligung des Kunden nach, enthält keine Endkundendaten und bleibt bis zum Vertragsende.

Sitzungen: Eine Anmeldung gilt längstens 12 Stunden und endet nach 60 Minuten ohne Bedienung. Die Sitzungszeilen werden 30 Tage nach Ablauf gelöscht.

Zwei-Faktor-Authentifizierung: Die Zwei-Faktor-Authentifizierung (TOTP mit Wiederherstellungscodes) ist je Mandant einstellbar: erforderlich, optional oder aus. Der Vorgabewert der Datenbank ist erforderlich; bei einer Selbst-Registrierung startet ein neuer Mandant dagegen auf optional, und die Administration wird beim ersten Login einmalig gefragt, ob sie die Zwei-Faktor-Authentifizierung einrichten möchte; sie kann das ablehnen. Erzwungen wird der zweite Faktor nur, wenn zusätzlich ein Schalter der jeweiligen Installation gesetzt ist. Welchen Wert ein bestimmter Mandant trägt, sagen wir Geschäftskunden auf Anfrage verbindlich zu; wir behaupten ihn hier nicht pauschal.

Löschen eines Kontos: Ein Administrator des Kunden kann ein Konto in der Anwendung deaktivieren oder endgültig löschen. Beim Löschen werden Anmeldename, Anmelde-Adresse, Passwort-Hash und zweiter Faktor entfernt, alle Sitzungen beendet sowie Wiederherstellungscodes, Filial-, Bezirks- und Themenzuordnungen und offene Einladungs- und Zurücksetzungs-Links gelöscht. Bestehen bleiben die Nachweiszeilen, die festhalten, wer wann welche Handlung ausgeführt hat (etwa eine Löschung oder Auskunft ausgelöst, eine Regel gegen Werbemails angelegt oder automatische Antworten eingeschaltet hat), sowie Kontaktangaben, die dieselbe Person als verantwortliche Person oder Eskalationskontakt eines Bezirks oder als Kontakt einer Filiale hinterlassen hat; die Anwendung nennt jede Fundstelle beim Löschen, übertragen muss der Kunde sie selbst.

Rolle und Rechtsgrundlage: Wir verarbeiten diese Daten als Auftragsverarbeiter des Kunden (Art. 28 DSGVO); die Rechtsgrundlage gegenüber seinen Beschäftigten bestimmt der Kunde. Empfänger: unser Hosting-Dienstleister (Rechenzentrum Frankfurt); Einladungen, Bestätigungs- und Zurücksetzungslinks gehen über den Kanal für unsere System-Mails (Abschnitt 3); lädt eine Person in der Statistik das Kartenbild von Google, erhält Google ihre IP-Adresse und technische Browserangaben (Abschnitt 6). Drittland: keine Übermittlung, ausgenommen dieses Kartenbild (Abschnitt 3.3). Bereitstellung: Benutzername und Passwort sind für ein Konto erforderlich, die E-Mail-Adresse ist optional. Ihre Rechte üben Beschäftigte gegenüber ihrem Arbeitgeber aus; wir unterstützen ihn dabei (Abschnitt 10).

2.5 Kundenfeedback in der Plattform (im Auftrag unserer Kunden)

Clustoria liest die Rückmeldungen ein, die Kundinnen und Kunden einem Unternehmen schicken oder als Rezension hinterlassen, und hilft dem Unternehmen beim Antworten. Dabei handeln wir als Auftragsverarbeiter; verantwortlich ist das Unternehmen, das Sie angeschrieben oder bewertet haben.

Betroffene: Endkundinnen und Endkunden des Kunden, die per E-Mail schreiben, eine Rezension hinterlassen oder deren Rückmeldung Beschäftigte des Kunden von Hand erfassen. Daneben Beschäftigte des Kunden, die an einer internen Rückfrage beteiligt sind oder eine Kundenmail an das verbundene Postfach weiterleiten.

Quellen: das dedizierte Feedback-Postfach des Kunden (Gmail; alternativ ein Microsoft-365-Postfach oder ein per IMAP angebundenes Postfach), die Rezensionen des Google-Unternehmensprofils des Kunden und, falls verbunden, Trusted-Shops-Rezensionen. Abgefragt wird nur der vereinbarte Umfang des Postfachs, also ein Opt-in-Etikett oder ein dediziertes Postfach, nicht das übrige Mail-Aufkommen; einzige Ausnahme sind Antworten auf Rückfragen, die am festen Betreff erkannt werden. Vierte Quelle sind Rückmeldungen, die Beschäftigte des Kunden selbst eintippen, weil sie ohne Schnittstelle ankamen (Instagram, Telefon, vor Ort, Sonstige); dieser Text wird vor dem Speichern maskiert, ein Autor wird nicht erfasst und es entsteht keine Kopie im Tresor.

Daten: Feedback-Text, Absender-E-Mail-Adresse und Anzeigename (soweit vorhanden; bei Rezensionen in der Regel nur der öffentliche Anzeigename), Sternebewertung, Zeitstempel, Anhänge eingehender Nachrichten (verschlüsselt im Tresor) sowie im Text enthaltene Kontaktdaten wie Namen, Adressen, Telefonnummern, E-Mail-Adressen oder Bankverbindungen.

Dabei gelten folgende Grundsätze:

• Maskierung vor jeder KI-Verarbeitung: Personenbezogene Daten wie Namen, Adressen, Telefonnummern und Bankverbindungen werden unmittelbar beim Einlesen automatisch durch Platzhalter ersetzt. Die Erkennung läuft auf unseren Servern in der EU, ohne Beteiligung Dritter. Sie ist wirksam, aber nicht fehlerfrei; deshalb liest ein Mensch jede Antwort, bevor sie hinausgeht, außer bei automatischen Antworten auf Google-Rezensionen, die ein Kunde ausdrücklich eingeschaltet hat. Dort prüft die Anwendung den Antworttext vor dem Senden automatisch; auch diese Prüfung ist nicht fehlerfrei. KI-Systeme erhalten Feedbacktexte ausschließlich maskiert; welche weiteren Angaben in einen Antwortentwurf einfließen, steht in Abschnitt 2.7.
• Verschlüsselte Aufbewahrung: Die wiederherstellbaren Originalwerte liegen verschlüsselt in einer getrennten Datenbank (Tresor). Wiederherstellbare Originaldaten werden nach spätestens 90 Tagen automatisch gelöscht. Für die Suche nach dem Absender speichert die Plattform zusätzlich gesalzene Hashwerte der Absenderadresse und der Wörter des Absendernamens, keine Klartexte. Die Hashwerte des Namens werden mit den Originaldaten nach 90 Tagen gelöscht; danach ist eine Rückmeldung über den Namen nicht mehr auffindbar. Der Hashwert der Adresse bleibt, damit eine Auskunfts- oder Löschanfrage die Rückmeldung weiter findet.
• Eine benannte Ausnahme: Setzt ein Bearbeiter eine Absenderadresse auf die Sperr- oder Freigabeliste gegen Werbemails, steht diese Adresse im Klartext in der Hauptdatenbank; die Löschung der betroffenen Person entfernt sie mit.
• Menschliche Freigabe als Grundregel: Antworten werden von berechtigten Mitarbeitenden des Kunden geprüft und freigegeben, bevor sie versendet werden. E-Mails und Rückfragen versendet die Anwendung nie automatisch; einzige Ausnahme sind Antworten auf Google-Rezensionen, wenn der Kunde sie ausdrücklich eingeschaltet hat (nächster Punkt). Für die Anrede leitet die Anwendung aus dem Vornamen eine wahrscheinliche Anredeform ab; sie wird nicht als eigenes Feld gespeichert, steht aber im Antwortentwurf und in der gesendeten Antwort. Bei unbekannten oder geschlechtsneutralen Vornamen bleibt die Anrede neutral.
• Automatische Antworten auf Google-Rezensionen (nur nach Einwilligung des Kunden): Ab Werk ist diese Funktion aus. Schaltet ein Kunde sie mit seiner ausdrücklichen Einwilligung ein, beantwortet die Anwendung neue Google-Rezensionen der Art, die er gewählt hat (etwa 5 Sterne ohne kritischen Text), ohne Freigabe im Einzelfall öffentlich unter der Rezension, zu einer zufälligen Zeit in den von ihm gewählten Uhrzeiten, in der Regel innerhalb der von ihm gewählten Spanne nach Eingang, und höchstens bis zu seinem Tageslimit. Den Text entwirft das Sprachmodell wie jeden Entwurf auf dem maskierten Text (Abschnitt 2.7), und die Anwendung prüft ihn vor dem Senden automatisch. Nicht automatisch beantwortet wird eine Rezension, zu der eine Person des Kunden seit Eingang einen Entwurf angefordert, einen Vermerk geschrieben, Status, Filiale oder Spam-Markierung geändert, selbst geantwortet oder die automatische Antwort abgebrochen hat. Unmittelbar vor dem Senden liest die Anwendung den aktuellen Stand der Rezension bei Google und sendet nicht, wenn sie nicht mehr besteht, sich geändert hat oder schon eine Antwort trägt; dieser Stand wird nur im Arbeitsspeicher verglichen und nicht gespeichert. Schreibt jemand in den Sekunden zwischen diesem Lesen und dem Senden direkt bei Google eine Antwort, kann die automatische Antwort sie ersetzen, weil Google kein bedingtes Senden anbietet. Keine Rezension wird zweimal automatisch beantwortet. Jede automatisch gesendete Antwort steht mit Zeitpunkt im Verlauf des Vorgangs. Über Rezensierende werden dabei keine weiteren Angaben erhoben als bisher; neu ist nur der Plan zu ihrer Rezension (Stufe, Zeitpunkte, Ausgang), der mit dem Vorgang gelöscht wird. Empfänger sind wie bei jeder Antwort auf eine Google-Rezension die Öffentlichkeit, Google als Plattform, über die veröffentlicht wird, und für den Entwurf Mistral AI (Abschnitt 3); neue Empfänger kommen nicht hinzu. Die Rechtsgrundlage gegenüber den Rezensierenden bestimmt der Kunde als Verantwortlicher (Abschnitt 1.3); wir handeln auf seine Weisung als Auftragsverarbeiter.
• Interne Rückfrage: Ein Bearbeiter kann zu einem Vorgang eine Rückfrage an einen vom Kunden benannten Filialkontakt oder an eine für den Einzelfall eingetippte Adresse schicken. Hinaus geht nur maskierter Text, in dem die Platzhalter durch „[entfernt]“ ersetzt sind; die Antwort des Kontakts wird zum Vorgang gespeichert, maskiert wie jeder andere Text, das Original verschlüsselt im Tresor.
• Weitergeleitete Kundenmails: Leitet eine Filiale eine Kundenmail an das verbundene Gmail-Postfach weiter, speichern wir Anzeigename und Mailadresse der weiterleitenden Person verschlüsselt zum Vorgang; bei einer freigegebenen Antwort steht ihre Adresse für den Endkunden sichtbar in Kopie. Bei einem Microsoft-365-Postfach wird eine Weiterleitung nicht erkannt; dort gilt die weiterleitende Person als Absender der Rückmeldung.
• Löschung (Art. 17 DSGVO): Auf Verlangen einer betroffenen Person wird der zu ihr gehörende Datenschlüssel vernichtet; die damit versiegelten Originaltexte, Anhänge und Antwort-Originale sind danach auch aus einer wiederhergestellten Datensicherung heraus unlesbar. Die zugehörigen Tresorzeilen werden zusätzlich gelöscht und fallen mit der siebentägigen Aufbewahrung auch aus den Datensicherungen. Die maskierte Vorgangszeile selbst bleibt bestehen, verliert aber Anzeigename, E-Mail-Hash, die Hashwerte der Absendersuche und den Zeiger in den Tresor und wird aus dem Posteingang und allen Auswertungen ausgeblendet; der Löschvermerk auf ihr verhindert, dass ein erneutes Einlesen derselben Rückmeldung die Person wieder zuordnet. Der Vorgang wird pseudonymisiert protokolliert (gesalzener Hash statt Klardaten).
• Zugriffsschutz: Persönliche Benutzerkonten mit Passwort-Hashing (Argon2id), verschlüsselte Übertragung (TLS), protokollierte Anmeldevorgänge und ein Zugriffsprotokoll über Anzeigen im Klartext (Abschnitt 2.4). Der Zugriff folgt der Rolle: Bedienende sehen ihre Filialen oder Bezirke, Fachabteilungen nur Vorgänge ihrer Themen, Leitung und Administration die ganze Kette.

Empfänger: die berechtigten Mitarbeitenden des Kunden; bei einer freigegebenen Antwort per E-Mail die Endkundin oder der Endkunde; bei Google-Rezensionen wird eine freigegebene Antwort oder, wenn der Kunde es eingeschaltet hat, eine automatische Antwort unter der Rezension veröffentlicht, Empfänger ist dort auch die Öffentlichkeit; Trusted-Shops-Rezensionen und von Hand erfasste Rückmeldungen werden über Clustoria nicht beantwortet (Abschnitt 2.6); dazu die Auftragsverarbeiter nach Abschnitt 3. Rechtsgrundlage: Art. 28 DSGVO in Verbindung mit dem Auftragsverarbeitungsvertrag; die Rechtsgrundlage gegenüber den Endkunden bestimmt der Kunde. Speicherdauer: Abschnitt 8. Ihre Rechte als Endkundin oder Endkunde: Wenden Sie sich an das Unternehmen, dem Sie geschrieben haben, oder an uns; wir leiten Ihre Anfrage weiter (Abschnitt 10).

2.6 Verbundene Postfächer und Rezensionsquellen, Google-Nutzerdaten

Ein Kunde verbindet sein Postfach und sein Google-Unternehmensprofil selbst über den offiziellen Anmeldevorgang des Anbieters (OAuth 2.0). Wir erhalten dabei genau die Berechtigungen, die in den Tabellen stehen, und nutzen sie nur für die genannten Zwecke.

Gmail-Postfach. Verbindet ein Kunde ein Gmail-Postfach, erteilt er Clustoria Zugriff mit genau diesen Berechtigungen:

Google-Unternehmensprofil. Verbindet ein Kunde sein Google-Unternehmensprofil, erteilt er in einem eigenen Anmeldevorgang diese Berechtigung:

Wir nutzen diese Berechtigung ausschließlich für die genannten Zwecke. Sie ist von Google nicht feiner teilbar und erlaubt technisch mehr, als wir tun; vertraglich sind wir auf die genannten Zwecke beschränkt, und unsere Software ruft nur die dafür nötigen Schnittstellen auf (Standortliste, Rezensionen samt Antwortstand, Veröffentlichen einer Antwort). Dazu liest sie die Liste der Geschäftskonten, auf die die Freigabe Zugriff hat, und von jedem Konto nur Kennung und Art: beim Verbinden, um die Kennung der Verbindung zu bestimmen, und, wenn es für den Kunden eingeschaltet ist, bei jedem Abgleich, um auch Standorte in Unternehmensgruppen und Organisationen des Kunden zu finden.

Microsoft-365-Postfach (optional). Dieser Kanal ist gebaut, wird aber erst aktiv, wenn ein Kunde ihn ausdrücklich verbindet; derzeit ist er bei keinem Kunden verbunden, und wir richten ihn erst ein, wenn ein Vertrag den E-Mail-Kanal umfasst. Angefordert werden dann diese Berechtigungen:

Trusted Shops (optional). Die Anbindung an Trusted Shops (eTrusted) ist technisch vorhanden, derzeit bei keinem Kunden verbunden und wird nur auf Weisung des Kunden eingerichtet. Abgerufen werden dann die öffentlichen Trusted-Shops-Rezensionen des Kunden; sie lassen sich in der Anwendung ansehen und auswerten, nicht beantworten.

Für alle verbundenen Dienste gilt:

• OAuth-Zugangsdaten werden verschlüsselt in unserem Tresor gespeichert und niemals an Dritte weitergegeben. Aus dem laufenden Betrieb entfernt werden sie, wenn die Verbindung in den Einstellungen getrennt wird oder wenn wir den Mandanten am Vertragsende abmelden. Ein Widerruf im Google-Konto beendet den Zugriff sofort, löst bei uns aber keine Löschung aus: die Zeile wird dann nur als widerrufen markiert.
• Gmail-Daten werden ausschließlich zur Bereitstellung der oben beschriebenen Funktionen verwendet, niemals für Werbung, und niemals verkauft.
• Menschen lesen diese Daten nur, soweit es sich um berechtigte Mitarbeitende des jeweiligen Kunden handelt, oder soweit dies für Sicherheit und Rechtspflichten unumgänglich ist.
• Die Verbindung kann jederzeit in den Einstellungen der Anwendung getrennt werden, solange der Zugang des Kunden aktiv ist. Die gespeicherten Zugangsdaten werden dabei aus unserem Tresor gelöscht und fallen mit der siebentägigen Aufbewahrung auch aus den Datensicherungen. Bei Google widerruft das Trennen die Berechtigung zusätzlich beim Anbieter, wenn es die letzte aktive Google-Verbindung des Kunden ist (Postfach oder Unternehmensprofil); bleibt eine weitere bestehen, bleibt die Berechtigung stehen, weil Google sie nur als Ganzes widerruft. Ob widerrufen wurde, zeigt die Anwendung nach dem Trennen; wurde nicht widerrufen, entzieht der Kunde die Berechtigung unter myaccount.google.com/permissions, dort sofort für alle Berechtigungen, die dieser Anwendung erteilt wurden. Das Trennen eines Microsoft-365-Postfachs widerruft die Berechtigung bei Microsoft nicht; sie entfernt der Kunde in seinem Microsoft-Konto.

Die Verwendung und Übertragung von Informationen, die Clustoria von Google-APIs erhält, richtet sich nach der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen.
Clustoria's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

2.7 KI-Unterstützung, automatisierte Entscheidungen und Profiling

Ein Sprachmodell hilft beim Einordnen von Rückmeldungen und beim Entwerfen von Antworten. Es erhält Kundentexte nur maskiert. Über jede Antwort entscheidet ein Mensch, außer bei automatischen Antworten auf Google-Rezensionen, die ein Kunde ausdrücklich eingeschaltet hat (Abschnitt 2.5).

Eine ausschließlich automatisierte Entscheidung im Einzelfall, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt. Auch eine automatische Antwort auf eine Google-Rezension ist keine solche Entscheidung, sondern eine öffentliche Antwort des Unternehmens auf eine öffentliche Bewertung. Die in der Plattform eingesetzte künstliche Intelligenz dient der Unterstützung; nur bei diesen automatischen Antworten geht ihr Text ohne Freigabe im Einzelfall hinaus:

• Antwortentwürfe: Die KI schlägt auf Grundlage des maskierten Verlaufs des Vorgangs eine mögliche Antwort vor. Ob, wie und mit welchem Inhalt geantwortet wird, entscheidet eine berechtigte Person; ohne ihre Freigabe wird nichts versendet. Ausgenommen sind nur Google-Rezensionen der Art, für die der Kunde automatische Antworten eingeschaltet hat: Dort entscheidet seine Einstellung, ob geantwortet wird, das Sprachmodell schreibt den Text, und eine automatische Prüfung tritt an die Stelle der Freigabe (Abschnitt 2.5).
• Screening, Triage und Kategorieneinordnung: Rückmeldungen werden für Auswertungen automatisch festen Betriebskategorien (etwa Freundlichkeit, Wartezeit, Sauberkeit) mit einer Stimmung je Kategorie zugeordnet; zusätzlich wird vorgeschlagen, ob zur Klärung die betroffene Filiale eingebunden werden sollte oder das Service-Team direkt antworten kann. Die Kategorieneinordnung läuft über die eingelesenen Vorgänge aller Kanäle, die Triage-Einschätzung über die noch offenen oder in Arbeit befindlichen Vorgänge; Vorgänge im Papierkorb, gelöschte Vorgänge und Vorgänge, deren Maskierung noch nachgeprüft wird, bleiben von diesen Läufen ausgenommen, als Werbung erkannte Nachrichten zusätzlich von Kategorieneinordnung und Triage. Ein zusätzliches Inhalts-Screening findet nur bei Google-Rezensionen statt. Das alles geschieht über denselben EU-Dienstleister, der auch die Antwortentwürfe erstellt (Mistral AI, siehe Abschnitt 3), auf dem maskierten Text. Diese Einordnung trifft keine Entscheidung über einzelne Personen. Sie ist informativ und dient bei eingeschalteten automatischen Antworten zusätzlich als Sperre: In den Stufen, die nur unauffällige Rezensionen beantworten, geht eine automatische Antwort auf eine Rezension mit Text nur hinaus, wenn Screening, Triage und Kategorien vorliegen und die Rezension als unauffällig und positiv einordnen, und schlägt eine dieser Einordnungen an, auch ohne Text nicht; in der Stufe für alle 5-Sterne-Rezensionen verlangt ein Text das Screening. In allen Stufen sperrt ein Screening-Befund auf Fälschung oder Spam. Gespeichert werden nur die abgeleiteten Kategorien, nie Text.

Der eingelesene Feedbacktext wird vor jeder KI-Verarbeitung maskiert; ein Sprachmodell erhält ihn niemals unmaskiert. Die übergebenen Daten werden nicht zum Training von Modellen verwendet: Wir haben unsere Daten in unserem Konto beim Dienstleister vom Training abgemeldet, und sein Auftragsverarbeitungsvertrag schließt das Training für ein abgemeldetes Konto aus. An das Sprachmodell gehen drei Arten von Angaben:

• (a) Der maskierte Text des Vorgangs, und zwar für die Kategorieneinordnung und die Triage-Einschätzung automatisch nach dem Einlesen, für das Inhalts-Screening bei Google-Rezensionen und für Antwortentwürfe auf Anforderung eines Bearbeiters und, wenn der Kunde automatische Antworten eingeschaltet hat, ohne Zutun eines Bearbeiters für jede zur automatischen Antwort eingeplante Google-Rezension kurz vor dem geplanten Sendezeitpunkt, bei einem neuen Versuch erneut, auch wenn danach nicht gesendet wird. Für Screening, Triage und Kategorieneinordnung ist das der einzelne Vorgang; für einen Antwortentwurf geht der gesamte maskierte Verlauf mit, also die weiteren Nachrichten desselben Vorgangs, die bereits gesendeten Antworten und eine interne Rückfrage samt der Antwort des Filialkontakts. Auch diese Teile sind maskiert. Dazu kommen der Name der betroffenen Filiale, das Eingangsdatum und die zuvor erkannten Kategorien.
• (b) Die vom Kunden in den Einstellungen gepflegten Textbausteine, Filialangaben und Vorgaben, die in den System-Prompt eines Entwurfs einfließen. Diese Bausteine sind Freitext des Kunden und werden nicht maskiert; sie sollen bewusst Angaben wie eine Filial-Telefonnummer enthalten können, damit die Antwort einen richtigen Kontaktweg nennt. Endkunden-Personendaten gehören nicht hinein.
• (c) Beispiele früherer Antworten desselben Unternehmens (Stilproben), damit der Entwurf nach dem Haus klingt: je Beispiel eine Antwort des Unternehmens und, soweit vorhanden, ein kurzer maskierter Auszug der Rückmeldung, auf die sie sich bezieht, dazu die daraus abgeleiteten Hausstil-Regeln. Eine Stilprobe entsteht auf einem von vier Wegen: aus einer freigegebenen und gesendeten Antwort; aus einer gesendeten Antwort, die eine berechtigte Person ohne Entwurf selbst geschrieben hat; aus einer Übungsantwort, die eine berechtigte Person des Unternehmens zu einer echten oder zu einer erfundenen Rückmeldung schreibt und die nie versendet wird; oder aus einer Datei früherer Antworten, die das Unternehmen hochlädt. Auch diese Texte sind maskiert. Eine Stilprobe lebt nie länger als die Rückmeldung, aus der sie stammt: sie geht nicht an das Sprachmodell, solange die Rückmeldung im Papierkorb liegt oder ihre Maskierung noch nachgeprüft wird, und wird mit ihr gelöscht. Eine Stilprobe aus einer Freigabe wird außerdem spätestens nach 24 Monaten mit dem Entwurf gelöscht, aus dem sie entstanden ist; eine Übungsantwort zu einer echten Rückmeldung und eine ohne Entwurf selbst geschriebene Antwort hängen an keinem Entwurf und bleiben so lange wie diese Rückmeldung. Stilproben aus einer hochgeladenen Datei und Übungsantworten zu einer erfundenen Rückmeldung gehören zu keiner Rückmeldung; sie bleiben, bis das Unternehmen sie löscht oder wir den Mandanten am Vertragsende abmelden. Stilproben verlassen das Unternehmen nie, und der Kunde kann sie in den Einstellungen abschalten und löschen.

Qualitätsmessung (eigener Zweck): Über die Bearbeitung des Kundenfeedbacks hinaus verarbeiten wir zu einem eigenen Zweck, den wir hier und im Auftragsverarbeitungsvertrag ausdrücklich benennen: Zur Qualitätsmessung unserer Kategorieneinordnung halten wir eine Tabelle mit maskierten Rezensionstexten samt Bewertung und Rezensionsnummer der Quelle. Für diese Tabelle sind wir selbst verantwortlich (Abschnitt 1.3). Rechtsgrundlage: berechtigtes Interesse an der Qualität unserer Kategorieneinordnung und damit am störungsfreien Betrieb und an der Verbesserung der Anwendung (Art. 6 Abs. 1 lit. f DSGVO); gegenüber dem Kunden zugleich die Unterstützung aus dem Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Speicherkriterium: Eine Löschung nach Art. 17 DSGVO und das Vertragsende erfassen die Zeilen, die einem Kunden zugeordnet sind; sie stehen in der Auskunft nach Art. 15 DSGVO. Aufbewahrt werden die zugeordneten Zeilen längstens bis zum Vertragsende. Zeilen aus dem Altbestand ohne Mandantenkennung erreichen diese Löschungen nicht. Lässt sich eine solche Zeile einem Kunden eindeutig zuordnen, tragen wir seine Kennung nach, und sie folgt von da an denselben Regeln. Zeilen, die sich keinem Kunden eindeutig zuordnen lassen, bleiben gespeichert: Sie enthalten den Rezensionstext nur maskiert, wir nutzen sie ausschließlich für die Qualitätsmessung unserer Kategorieneinordnung, verwenden sie für keinen Kunden und geben sie nicht heraus; nur für einen Messlauf erhält Mistral AI den maskierten Text wie bei der Kategorieneinordnung im Regelbetrieb (Abschnitt 3.1).

2.8 Meldefunktion in der Anwendung

Über den Knopf „Problem melden“ können Beschäftigte unserer Kunden uns Fehler, Fragen und Vorschläge schicken. Die Meldung geht als eine einzige E-Mail an uns und wird in der Anwendung nicht gespeichert.

Daten: Kategorie der Meldung, Name und Kennung des Mandanten, Benutzername und Rolle der meldenden Person, die hinterlegte E-Mail-Adresse ihres Zugangs als Antwortweg (falls vorhanden), aufgerufene Seite, Browserkennung und der eingegebene Freitext (bis 4000 Zeichen). Der Freitext wird weder maskiert noch geprüft; er kann Angaben aus einem Vorgang enthalten, wenn sie hineinkopiert werden. Bitte fügen Sie keine Kundendaten ein. Je Mandant sind fünf Meldungen pro Stunde möglich.

Rolle: Hier sind wir Verantwortlicher (Abschnitt 1.3). Rechtsgrundlage: berechtigtes Interesse am störungsfreien Betrieb und an der Verbesserung der Anwendung (Art. 6 Abs. 1 lit. f DSGVO); gegenüber dem Kunden zugleich die Unterstützung aus dem Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Empfänger: unser Postfach, zugestellt über den Kanal für unsere System-Mails (Abschnitt 3). Speicherdauer: In der Anwendung bleibt nur eine inhaltslose Zeile mit Mandantenkennung und Zeitstempel, die das Limit durchsetzt; sie wird nach rund zwei Stunden beim nächsten Melde-Aufruf desselben Mandanten entfernt, spätestens mit dem Vertragsende. Die E-Mail in unserem Postfach löschen wir 6 Monate nach der letzten Kommunikation zu der Meldung, wie eine Kontaktanfrage (Abschnitt 2.2). Bereitstellung: freiwillig.

2.9 Verträge, Rechnungen und Geschäftspost

Mit unseren Geschäftskunden schließen wir Verträge und stellen Rechnungen. Dafür verarbeiten wir die geschäftlichen Kontaktdaten der Ansprechpersonen.

Daten: Name, Firma, Anschrift, E-Mail-Adresse und Telefonnummer der Ansprechpersonen sowie Vertrags- und Rechnungsdaten. Rechnungen schreiben wir ohne einen eigenen Abrechnungs- oder Zahlungsdienst.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für die Aufbewahrung von Rechnungen und Belegen eine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §132 BAO und §212 UGB). Empfänger: unser Postfach bei Google Workspace (Abschnitt 3); Behörden und Gerichte, soweit eine Rechtspflicht besteht. Speicherdauer: 7 Jahre nach Vertragsbeendigung (Aufbewahrungspflicht gemäß §132 BAO und §212 UGB). Bereitstellung: für den Vertragsabschluss erforderlich.

3. Weitergabe und Empfänger

Wir geben personenbezogene Daten nur weiter, wenn es dafür einen der vier Gründe gibt, die hier stehen. Verkauft werden Daten nie, und Werbung schalten wir nicht.

• Einwilligung: wenn Sie ausdrücklich zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO).
• Vertrag: wenn die Weitergabe zur Erfüllung eines Vertrags oder einer vorvertraglichen Maßnahme nötig ist (Art. 6 Abs. 1 lit. b DSGVO), etwa der Versand einer Antwort an die Endkundin oder den Endkunden im Auftrag des Kunden.
• Rechtspflicht: wenn ein Gesetz, eine Behörde oder ein Gericht die Weitergabe verlangt (Art. 6 Abs. 1 lit. c DSGVO).
• Berechtigtes Interesse: an Dienstleister, die uns beim Betrieb unterstützen und als Auftragsverarbeiter an unsere Weisungen gebunden sind (Art. 6 Abs. 1 lit. f DSGVO).

3.1 Eingesetzte Auftragsverarbeiter

Die folgende Aufstellung nennt die Auftragsverarbeiter der Plattform und unseres eigenen Betriebs; sie entspricht der Anlage Unterauftragsverarbeiter zu unserem Auftragsverarbeitungsvertrag. Zwei der genannten Kanäle (Microsoft, Trusted Shops) sind gebaut, werden aber erst aktiv, wenn ein Kunde sie ausdrücklich verbindet. Der Terminplanungsdienst Zeeg für Demo-Buchungen steht nicht in der Tabelle: Zeeg ist nicht unser Auftragsverarbeiter, sondern betreibt die Buchungsseite in eigener Verantwortung; wir erhalten die Buchung per E-Mail (Abschnitte 2.2 und 7).

Mit den eingesetzten Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO; die in der Tabelle als derzeit bei keinem Kunden verbunden gekennzeichneten Kanäle werden erst durch eine ausdrückliche Verbindung des Kunden aktiv; ihre vertragliche Grundlage muss vor der ersten Nutzung vorliegen. Das Kundenpostfach selbst liegt beim Mail-Anbieter des Kunden; dieser ist Dienstleister des Kunden, nicht unser Auftragsverarbeiter.

3.2 Dienstleister ohne Zugriff auf personenbezogene Kundendaten

Drei weitere Dienstleister helfen uns beim Betrieb, sehen aber keine Inhalte und keine Kundendaten. Wir nennen sie der Vollständigkeit halber.

3.3 Übermittlung in Drittländer

Die Plattform selbst läuft in der EU. Einen Bezug zu den USA haben nur die vom Kunden verbundenen Anbieter-Schnittstellen von Google und Microsoft und das Kartenbild von Google, das Ihr Browser erst auf Ihre Wahl hin lädt.

Speicherung und Verarbeitung der Vorgangsdaten in der Plattform selbst, also Hosting, Datenbanken und KI-Unterstützung, erfolgen in der EU (Region Frankfurt beziehungsweise EU-Endpunkt des KI-Dienstleisters). Daneben stehen die Zeilen der Tabelle mit Drittlandbezug: Die Anbindung des Kundenpostfachs und des Google-Unternehmensprofils läuft über Schnittstellen von Google LLC, über die genau die Vorgangsdaten gehen, also eingehende Feedback-Mails, Rezensionen und ausgehende Antworten; Entsprechendes gilt für den alternativen Postfach-Kanal über Microsoft, der derzeit bei keinem Kunden verbunden ist. Wählt eine berechtigte Person in der Statistik „Kartenbild von Google laden“ (Abschnitt 6), fragt ihr Browser das Kartenbild direkt bei Google LLC in den USA an; Google erhält dabei ihre IP-Adresse und technische Browserangaben, keine Vorgangsdaten. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023), für Übermittlungen aus der Schweiz nach dem Swiss-US Data Privacy Framework; dazu kommen Standardvertragsklauseln. Übermittlungen in ein Drittland stützen wir auf einen Angemessenheitsbeschluss oder auf Standardvertragsklauseln gemäß Art. 46 DSGVO. Für Google-Nutzerdaten gelten zusätzlich die Limited-Use-Anforderungen aus Abschnitt 2.6. Die Buchungsseite für Demo-Termine ist nicht Teil der Plattform; Zeeg betreibt sie in eigener Verantwortung, und für sie gelten die Datenschutzhinweise von Zeeg (Abschnitte 2.2 und 7).

4. Server-Logs

Beim Aufruf unserer Seiten speichert der Hosting-Dienstleister technische Zugriffsdaten. Wir brauchen sie, um Störungen und Angriffe zu erkennen.

Beim Besuch unserer Website werden technisch notwendige Daten automatisch durch unseren Hosting-Provider erfasst:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Seite
• Verwendeter Browser und Betriebssystem
• Referrer-URL

Diese Daten dienen ausschließlich dem stabilen Betrieb und der Sicherheit der Website. Rechtsgrundlage: berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO. Diese Logs liegen im Log-Speicher unseres Hosting-Providers und werden nach dessen Aufbewahrungsfrist automatisch gelöscht (derzeit 30 Tage). Eine Auswertung zu Werbe- oder Profilzwecken findet nicht statt.

Für die Anwendung (app.clustoria.com, api.clustoria.com) gilt dasselbe für die Zugriffsprotokolle des Hosting-Dienstleisters. Unsere eigenen Anwendungsprotokolle enthalten nur technische Kennungen und Zählwerte, nie Feedback-Inhalte; jede Zeile läuft zusätzlich durch eine Schicht, die E-Mail-Adressen, Telefonnummern und Bankverbindungen unkenntlich macht. Betriebs-Logs liegen bei Google Cloud Logging (Abschnitt 3) und unterliegen derselben Frist von derzeit 30 Tagen; Alarm-Benachrichtigungen an uns laufen über Cloud Monitoring und tragen nur technische Kennungen, keine Inhalte.

5. Cookies und Browser-Speicher

Die Website www.clustoria.com setzt keine Cookies. Die Anwendung app.clustoria.com setzt nur zwei technisch notwendige Cookies, deshalb gibt es keinen Cookie-Banner. Beide setzt unsere Schnittstelle api.clustoria.com, mit der die Anwendung spricht.

Es kommen keine Tracking- oder Werbe-Cookies zum Einsatz. Da nur technisch notwendige Cookies verwendet werden, ist keine Einwilligung erforderlich und es wird kein Cookie-Banner eingeblendet. Sie können Cookies jederzeit über die Einstellungen Ihres Browsers löschen oder blockieren; ohne das Sitzungs-Cookie ist eine Anmeldung allerdings nicht möglich. Rechtsgrundlage: Die Cookies gehören zu den Benutzerkonten und Verbindungsvorgängen der Anwendung; wir setzen sie als Auftragsverarbeiter des jeweiligen Kunden (Art. 28 DSGVO, Abschnitte 1.3 und 2.4). Die Vertragsbeziehung zum Geschäftskunden selbst stützt sich auf Art. 6 Abs. 1 lit. b DSGVO.

Im Sitzungsspeicher Ihres Browsers liegt außerdem je geöffnetem Vorgang der noch nicht gesendete Antwortentwurf samt dem dazu gespeicherten KI-Vorschlag und einigen kurzlebigen Marken. Er stirbt mit dem Browser-Tab; der Entwurf wird beim Senden gelöscht, und beim Abmelden sowie bei einer Löschung der Rückmeldung wird alles entfernt, was der Browser zu dem Vorgang gemerkt hat. Im lokalen Speicher bleiben Bedienungseinstellungen und Arbeitsstände: die Wahl des Dunkelmodus, die Breite der Spalten, der Zeitpunkt des letzten Abgleichs, die zuletzt gewählten Filter von Inbox und Statistik (Filiale oder Bezirk, Zeitraum, Quelle und Thema, nur als Kennungen und Kalendertage, ohne Namen), der Entwurf eines Berichts unter „Berichte“ (Titel, Verfasser, Zusammenfassung, Notizen und die übernommenen Auswertungen mit ihren Tabellen, etwa Filialen und Werte je Thema) und, wenn Sie es gewählt haben, dass dieser Browser das Kartenbild der Statistik von Google laden darf (Abschnitt 6). Filter und Berichtsentwurf gelten je Person. Alle drei bleiben auch nach dem Abmelden in diesem Browser: die Filter, bis Sie „Zurücksetzen“ wählen oder eine andere Person hier Inbox oder Statistik öffnet; der Berichtsentwurf, bis Sie seine Auswertungen entfernen und die Felder leeren; die Wahl zum Kartenbild, bis Sie „Kartenbild nicht mehr laden“ wählen. Von diesen Werten schickt die Anwendung nur die Filter mit jeder Abfrage der Daten an unsere Schnittstelle und den Berichtsentwurf, wenn Sie ihn als PDF oder Excel exportieren; dort entsteht daraus die Datei, gespeichert wird der Entwurf nicht. Die übrigen Werte verlassen Ihren Browser nicht.

6. Eingebundene Dienste Dritter

Die Website lädt keine Inhalte von fremden Servern. Die Anwendung lädt nur in einem Fall etwas von einem fremden Server: das Kartenbild von Google für die Karte in der Statistik, und das erst auf Ihre Wahl hin. Es gibt keine Analyse-Werkzeuge, keine Social-Media-Plugins, keine Videos und keine Schriften von Google.

Die Schrift der Website (Inter) liefern wir selbst aus. Die Sicherheitsrichtlinie der Website erlaubt Skripte nur von der eigenen Adresse; die Sicherheitsrichtlinie der Anwendung erlaubt nur die eigene Adresse und die eigene Schnittstelle und, sobald die Anwendung das Kartenbild anbietet, die Adressen der Google Maps Platform dafür. Eine Anmeldung über Konten Dritter (Single Sign-on) bieten wir nicht an; der Anmeldevorgang zum Verbinden eines Postfachs oder Unternehmensprofils (Abschnitt 2.6) ist keine Anmeldung bei Clustoria, sondern die Zustimmung des Kunden im Konto des jeweiligen Anbieters.

Karte in der Statistik (Google Maps). Die Statistik der Anwendung hat eine Ansicht Karte mit den Standorten des Kunden. Standorte, Werte und Namen zeichnet die Anwendung selbst; nur das Kartenbild darunter, also Skript und Kartenkacheln der Google Maps JavaScript API, kommt von Google LLC. Ihr Browser fragt es erst bei Google an, nachdem Sie in diesem Browser „Kartenbild von Google laden“ gewählt haben; bis dahin zeigt die Karte einen neutralen Hintergrund, und nichts geht an Google. Danach erhält Google bei jedem Laden des Kartenbilds Ihre IP-Adresse und technische Browserangaben, den Schlüssel der Anwendung, den Kartenausschnitt und die Adresse der Seite ohne Filterangaben; keine Feedback-Inhalte, keine Endkundendaten und keine Namen. Ihr Browser merkt sich die Wahl (Abschnitt 5), bis Sie unter der Karte „Kartenbild nicht mehr laden“ wählen. Ausgenommen ist die Vorschau unter vorschau.clustoria.com, die das Kartenbild ohne diese Wahl lädt, solange ihr Abbild einen Schlüssel trägt. Empfänger und Drittlandbezug stehen in Abschnitt 3.

Rechtsgrundlage: Die Karte gehört zur Anwendung, die wir als Auftragsverarbeiter des Kunden betreiben (Abschnitte 1.3 und 2.4); das Kartenbild lädt Ihr Browser nur auf Ihre Wahl hin, und Sie können sie jederzeit zurücknehmen.

7. Links zu anderen Websites

Einige Links führen zu Seiten anderer Anbieter, etwa zur Terminbuchung bei Zeeg, zu den Berechtigungen im Google-Konto oder zur Datenschutzbehörde. Für diese Seiten gelten die Datenschutzhinweise des jeweiligen Anbieters.

Auf die Verarbeitung dort haben wir keinen Einfluss. Beim Klick auf einen solchen Link erfährt die Zielseite durch unsere Referrer-Einstellung nur, dass Sie von clustoria.com kommen, nicht, welche Seite Sie zuvor gelesen haben.

Das gilt auch für die Buchungsseite für Demo-Termine: Zeeg betreibt sie in eigener Verantwortung, nicht als unser Auftragsverarbeiter; einen Auftragsverarbeitungsvertrag mit Zeeg gibt es nicht. Wir erhalten die Buchung per E-Mail (Abschnitt 2.2). Einzelheiten zur Verarbeitung auf der Buchungsseite stehen in den Datenschutzhinweisen von Zeeg.

Die Startseite verlinkt außerdem auf die LinkedIn-Profile der Teammitglieder: Erst beim Klick verarbeitet LinkedIn (LinkedIn Ireland Unlimited Company) Daten nach seinen eigenen Datenschutzhinweisen, vorher fließen keine Daten an LinkedIn.

8. Datenaufbewahrung

Wir speichern Daten nur so lange, wie der Zweck oder eine Rechtspflicht es verlangt. Danach löschen wir sie automatisch oder entfernen den Personenbezug.

Nach dem Vertragsende löschen wir die Daten des Kunden oder geben sie zurück, nach seiner Wahl; die Einzelheiten regeln der Auftragsverarbeitungsvertrag und seine Anlagen. Bestehen bleiben die Restbestände, die die Anlage Löschkonzept zu diesem Vertrag aufführt: unser Rechenschaftsprotokoll über die Mandantenverwaltung (Firmenname, Aktion, ausführende Person, Zählwerte), aufbewahrt bis zum Ende des Kalenderjahres, in dem seit Vertragsende drei Jahre vergangen sind; Zeilen des Anmelde-Protokolls über fehlgeschlagene Anmeldungen ohne Mandantenbezug, deren IP-Adresse, Anmeldename und Browserkennung nach 90 Tagen genullt werden (Abschnitt 2.4); technische Hashwerte gegen das Wiederverwenden von Anmeldeschritten und ein plattformweiter Betriebszähler, beide ohne Namen oder Kontaktangaben; die Betriebs-Logs bis zum Ablauf ihrer Frist von derzeit 30 Tagen (Abschnitt 4); sowie Zeilen unserer Qualitätsmessung aus dem Altbestand ohne Mandantenkennung, die sich keinem Kunden eindeutig zuordnen lassen; sie bleiben gespeichert und dienen ausschließlich der Qualitätsmessung (Abschnitt 2.7).

9. Datensicherheit

Alle Daten werden verschlüsselt übertragen, Originale und Zugangsdaten zusätzlich verschlüsselt gespeichert. Wir prüfen unsere Systeme selbst und sagen offen, welche Prüfungen durch Dritte noch fehlen.

Die Übertragung von Daten erfolgt verschlüsselt über HTTPS (TLS). Gespeicherte Originaldaten und Zugangsdaten werden zusätzlich verschlüsselt abgelegt, und zwar in einer von der Hauptdatenbank getrennten Tresor-Datenbank; die Schlüssel dafür liegen in einer dritten, wiederum getrennten Datenbank und werden mit einem Hauptschlüssel in der Schlüsselverwaltung des Hosting-Dienstleisters geschützt, der den Dienst nie verlässt. Jede Abfrage auf Daten eines Mandanten trägt dessen Kennung; die wenigen Abfragen, die absichtlich über alle Mandanten laufen (Anmeldung, Eindeutigkeitsprüfungen, Lösch- und Aufräumläufe), sind einzeln benannt und begründet, und eine automatische Prüfung bricht den Build ab, wenn eine andere Abfrage diese Trennung verletzt. Der Zugang zur Plattform erfolgt über persönliche Benutzerkonten mit Passwort-Hashing (Argon2id); die Regeln zur Zwei-Faktor-Authentifizierung stehen in Abschnitt 2.4.

Wir prüfen unsere Systeme und Prozesse selbst: durch eigene Sicherheitsprüfungen des Codes und der Konfiguration sowie durch eine automatisierte Prüfung der eingesetzten Software-Abhängigkeiten auf bekannte Schwachstellen in jedem Build. Bekannte Schwachstellen mit einem CVSS-Wert von 7 oder höher beheben wir innerhalb von 7 Tagen nach Bekanntwerden. Ein Sicherheitstest durch einen externen Dritten (Penetrationstest) hat noch nicht stattgefunden. Wir planen ihn nach dem Start mit dem ersten Geschäftskunden, gebündelt mit der externen Sicherheitsprüfung im Rahmen der Google-Verifizierung (CASA Tier 2); beauftragt ist beides noch nicht. Ein Prüfbericht eines Dritten liegt bislang nicht vor.

10. Ihre Rechte

Sie haben das Recht zu erfahren, welche Daten wir über Sie haben, und sie berichtigen oder löschen zu lassen. Dafür genügt eine formlose E-Mail an kontakt@clustoria.com.

Gemäß DSGVO und DSG stehen Ihnen folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)
• Recht auf Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO, Abschnitt 12)

Die Ausübung ist an keine Form gebunden. Ein Widerspruch gegen eine Verarbeitung, die wir auf unser berechtigtes Interesse stützen, ist aus Gründen möglich, die sich aus Ihrer besonderen Situation ergeben; eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

10.1 Wenn Sie Kundin oder Kunde eines Unternehmens sind, das Clustoria nutzt

Für Ihre Rückmeldung ist das Unternehmen verantwortlich, dem Sie geschrieben haben oder das Sie bewertet haben. Sie können sich an dieses Unternehmen oder an uns wenden; wir leiten Ihre Anfrage unverzüglich, spätestens binnen 3 Werktagen, an die Kontaktstelle des Unternehmens weiter und informieren Sie darüber.

Auskunft und Löschung nach Art. 15 und 17 DSGVO sind Funktionen der Plattform, die das Unternehmen selbst auslöst. Die Auskunft liefert die Daten einer Person als maschinenlesbare Datei (JSON, zugleich für die Datenübertragbarkeit) mit den Vorgängen, den gesendeten Antworten, den Rückfragen, den dazu erzeugten Antwortentwürfen, dem Plan einer automatischen Antwort, falls es einen gab (Stufe, Zustand, Grund und Zeiten), dem Anzeigenamen unter einer Rezension und dem Zugriffsprotokoll mit Zeitpunkt und Zweck jedes protokollierten Zugriffs auf Ihre Vorgänge (festgehalten ist ein Zugriff erst seit Einführung seiner Protokollierung, ältere Zeilen tragen keinen Zweck, und ein kurzes Protokoll bedeutet nicht, dass niemand die Rückmeldung angesehen hat); nicht enthalten sind Angaben, die eine dritte Person benennen. Benannt wird eine Person über ihre E-Mail-Adresse oder, bei Rezensionen ohne Absenderadresse, über die Rezension selbst. Was die Löschung bewirkt, steht in Abschnitt 2.5. Feedback-Texte sind Ihre eigenen Äußerungen und werden inhaltlich nicht verändert; eine Einschränkung der Verarbeitung setzt das Unternehmen um, indem es den Vorgang in den Papierkorb legt, wo keine weitere Bearbeitung und keine KI-Verarbeitung stattfindet.

10.2 Wenn Sie bei einem Unternehmen arbeiten, das Clustoria nutzt

Für Ihr Benutzerkonto ist Ihr Arbeitgeber verantwortlich. Wenden Sie sich an ihn; ein Administrator kann Ihr Konto in der Anwendung löschen (Abschnitt 2.4). Wir unterstützen Ihren Arbeitgeber bei allen Anfragen, und Sie können sich mit Fragen jederzeit auch an uns wenden.

11. Kontakt für Datenschutzanliegen

Für Fragen, Auskünfte und Beschwerden zum Datenschutz erreichen Sie uns direkt. Eine eigene Datenschutz-Adresse gibt es nicht; alle Anfragen gehen an unser allgemeines Postfach.

Clustoria, Einzelunternehmen Kilian Frischauf
Grinzinger Straße 93/2, 1190 Wien, Österreich
E-Mail: kontakt@clustoria.com
Telefon: +43 677 6310 2127

12. Beschwerdemöglichkeit

Wenn Sie meinen, dass wir Ihre Daten nicht rechtmäßig verarbeiten, können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren. Wir würden uns freuen, wenn Sie uns vorher die Gelegenheit geben, das Anliegen zu klären.

Zuständige Aufsichtsbehörde in Österreich:
Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, www.dsb.gv.at

Sie können sich auch an die Aufsichtsbehörde des EU-Mitgliedstaats wenden, in dem Sie wohnen oder arbeiten (Art. 77 DSGVO).

13. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich rechtliche Rahmenbedingungen oder unsere Leistungen ändern. Es gilt die jeweils hier veröffentlichte Fassung; das Datum unter „Stand“ am Seitenanfang weist die aktuelle Version aus.

Über wesentliche Änderungen, die bestehende Geschäftskunden betreffen, informieren wir zusätzlich aktiv, in der Regel per E-Mail.