Datenschutz · Stand 4. November 2026

Datenschutzerklärung

Diese Erklärung beschreibt die tatsächliche und vorbereitete Datenverarbeitung der Firmenwebseite, der Zeus-Tierwelt-App und des privaten Lieferantenimports. Nicht aktivierte Löschautomatiken werden nicht als umgesetzt dargestellt.

1. Verantwortlicher

Zeus Blitzblank Sauber e.U., Inhaber Stefan Steindler, Forsthubstraße 39, 4463 Großraming, Österreich, Telefon +43 664 3471899, E-Mail zeus.blitzblanksauber@gmail.com.

2. Firmenwebseite und Serverprotokolle

Die statische Webseite wird für die Veröffentlichung auf einem Netcup-Server in Deutschland vorbereitet. Beim Abruf verarbeitet der Server technisch erforderliche Daten wie IP-Adresse, Zeitpunkt, aufgerufene Adresse, HTTP-Status, übertragene Datenmenge sowie Browser- und Betriebssystemangaben. Zweck sind sichere Auslieferung, Fehleranalyse und Missbrauchsabwehr; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Die Webseite setzt selbst keine Cookies, verwendet weder Local Storage noch Session Storage, keine Analyse-, Werbe- oder Profilingdienste, keine externen Schriftarten, Skripte, Bilder oder eingebetteten Drittanbieterinhalte. Deshalb ist für den geprüften Stand kein Cookie-Banner erforderlich. Die vorbereitete Caddy-Konfiguration begrenzt künftige Website-Zugriffsprotokolle auf höchstens 14 Tage. Da sie noch nicht produktiv aktiviert ist, muss die wirksame Rotation beim freigegebenen Deployment geprüft werden.

3. Telefon, E-Mail und Kundenanfragen

Bei telefonischen oder elektronischen Anfragen verarbeiten wir die freiwillig mitgeteilten Kontakt- und Inhaltsdaten, um die Anfrage zu beantworten, ein Angebot vorzubereiten oder einen Vertrag anzubahnen bzw. abzuwickeln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen betrieblichen Anfragen Art. 6 Abs. 1 lit. f DSGVO. Unverbindliche Anfragen sollen nach Abschluss grundsätzlich sechs Monate aufbewahrt und anschließend manuell gelöscht werden, sofern kein Auftrag, offener Anspruch, Sicherheitsvorfall oder eine gesetzliche Pflicht eine längere Speicherung rechtfertigt. Eine automatische Löschung des Gmail-Postfachs ist nicht implementiert.

4. Google-Play-Verlinkungen

Google Play ist nur über normale externe Links und lokal erzeugte QR-Codes eingebunden. Beim bloßen Laden unserer Webseite entsteht dadurch keine Verbindung zu Google. Erst beim Anklicken oder Scannen ruft das Endgerät Google Play auf; Google verarbeitet dann insbesondere IP-Adresse, Geräte- und Nutzungsdaten nach eigener Verantwortlichkeit. Es werden keine eingebetteten Google-Play-Widgets verwendet.

5. Zeus-Tierwelt-Konto, App und Bestellungen

Für Registrierung und Anmeldung werden E-Mail-Adresse, technische Nutzer-ID sowie Authentifizierungs- und Sitzungsdaten verarbeitet. Freiwillig können Name, Telefon, Firma, UID sowie Liefer- und Rechnungsadresse gespeichert werden. Favoriten, Warenkorb, Gerätesynchronisierung und Bestellanfragen werden dem Konto zugeordnet. Bestellungen enthalten die zur Bearbeitung, Lieferung, Abrechnung und Nachweisführung erforderlichen Kontakt-, Adress-, Artikel-, Mengen-, Preis- und Übergabedaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und für aufbewahrungspflichtige Unterlagen Art. 6 Abs. 1 lit. c DSGVO.

Katalog- und Kontodaten können für die Offline-Nutzung lokal zwischengespeichert werden. Die Kamera wird nach Gerätefreigabe zur lokalen Barcodeerkennung verwendet; dabei wird kein Foto gespeichert. Eine optionale biometrische App-Sperre verarbeitet nur das lokale Prüfergebnis, keine biometrischen Rohdaten. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung statt.

6. Kontolöschung

Die Zeus-Tierwelt-App besitzt eine technisch implementierte, erneut authentifizierte Kontolöschung. Dabei werden das Auth-Konto sowie über Datenbankbeziehungen Profil, Adressen, Favoriten, Warenkorb, Synchronisierungsdaten und weitere kontogebundene App-Daten gelöscht. Lokale Zugangsdaten und App-Zwischendaten werden anschließend bereinigt. Bestell- und Geschäftsunterlagen werden vom Login getrennt und können für gesetzliche Aufbewahrung oder offene Ansprüche erhalten bleiben. Eine Löschanfrage ist außerdem über die im Konto verwendete E-Mail-Adresse möglich; zur Missbrauchsvermeidung kann eine Identitätsprüfung verlangt werden. Details stehen unter Konto und Daten löschen.

7. KI-gestützte Produktorientierung

Bei einer freiwilligen Anfrage werden Fragetext, angegebene Tierdaten und höchstens fünf bereits sicher gefilterte, veröffentlichte Produktdatensätze serverseitig an die OpenAI API übermittelt. Profilname, E-Mail-Adresse, Anschrift, Bestellungen, Einkaufspreise und interne Lieferanteninformationen werden nicht beigefügt. Nutzer sollen keine personenbezogenen Angaben in Freitextfragen schreiben. Die Funktion ersetzt keine tierärztliche Diagnose.

8. Gmail-Lesezugriff und Lieferantenimporte

Für den betrieblichen Lieferantenimport wird die Gmail API ausschließlich mit gmail.readonly für das eigene Firmenkonto verwendet. Der Zugriff erlaubt kein Senden, Ändern oder Löschen von E-Mails. Relevante Nachrichten mit PDF-, XLSX-, XLS- oder CSV-Anhängen werden anhand enger Lieferanten-, Absender-, Betreff-, Dateinamen- und Hashregeln ausgewählt. Nur passende Anhänge werden verarbeitet; die Gmail-Nachricht bleibt unverändert.

Für übernommene Dateien werden gehashte Nachrichten- und Anhangskennungen, Originaldateiname, MIME-Typ, Dateigröße, SHA-256-Prüfsumme, Empfangs- und Gültigkeitszeitpunkt, Lieferant, Verarbeitungsstatus und technische Auditereignisse gespeichert. Originaldateien, erkannte Artikel, private Einkaufspreise und Prüfergebnisse liegen in einem nicht öffentlichen Storage- und Datenbankbereich. Zugriff haben ausschließlich berechtigte Owner und erforderliche Backend-Komponenten. Der Stateless-Parser besitzt keine Gmail-, Datenbank- oder Service-Role-Zugangsdaten. Preislisten werden nicht automatisch veröffentlicht; ungeprüfte Zutaten- und Allergenaussagen werden nicht freigegeben.

Private Einkaufspreise sind vertrauliche Betriebsdaten und werden nicht über öffentliche Kundenrollen oder öffentliche APIs bereitgestellt. Soweit Lieferantendaten natürliche Personen betreffen, erfolgt die Verarbeitung zur sicheren Vertrags- und Lieferantenverwaltung auf Grundlage von Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

9. Aufbewahrung und tatsächlicher Löschstand

• Steuerlich relevante Belege und Geschäftspapiere: grundsätzlich sieben Jahre ab Ende des maßgeblichen Kalenderjahres; bei Grundstücksbezug, anhängigen Abgaben-/Gerichtsverfahren, offenen Ansprüchen oder anderen Sonderpflichten gegebenenfalls länger.
• Unverbindliche Kundenanfragen: betriebliche Frist von sechs Monaten nach Abschluss; derzeit manuelle Löschung.
• Website-Zugriffsprotokolle: betriebliche Frist von 14 Tagen; technische Rotation ist lokal vorbereitet und beim Deployment zu verifizieren.
• Fehlerhafte Lieferantenimporte: betrieblicher Vorschlag 30 Tage nach abgeschlossener Fehlerprüfung; nicht automatisiert.
• Abgelehnte Produktkandidaten: betrieblicher Vorschlag 90 Tage nach Ablehnung; nicht automatisiert.
• Ersetzte, nicht belegrelevante Lieferantenpreislisten: betrieblicher Vorschlag 12 Monate nach Ersetzung; nicht automatisiert.
• Kundenkonten: bis zur wirksamen Löschung; die Kontolöschung ist implementiert, gesetzlich erforderliche Bestellunterlagen bleiben getrennt erhalten.
• OAuth-Zugangsdaten: bis Widerruf, Kontowechsel oder Zweckfortfall; Widerruf bei Google und Entfernen der geschützten Serverdatei erfolgen derzeit manuell.

Für Importdateien, Importbatches, Kandidaten und Auditereignisse besteht noch keine automatische Löschung. Daten in bereits erstellten Sicherungen werden nicht unmittelbar durch eine Löschung im Livesystem entfernt; sie bleiben bis zum Ablauf der jeweiligen, noch verbindlich zu dokumentierenden Backup-Aufbewahrung geschützt und werden nur für Wiederherstellungszwecke verwendet.

10. Empfänger, Auftragsverarbeitung und Drittlandbezug

• Netcup: Hosting von Webseite, Backend, Datenbank, Authentifizierung, privaten Dateien und Betriebsprotokollen innerhalb der EU; der Abschluss und die Archivierung eines Auftragsverarbeitungsvertrags sind organisatorisch sicherzustellen.
• Google: E-Mail-Dienst, Gmail API, OAuth und Google Play. Beim Lieferantenimport werden nur die beschriebenen Daten abgerufen. Je nach Verarbeitung können Daten auch außerhalb des EWR verarbeitet werden.
• OpenAI: ausschließlich für freiwillige, datenminimierte KI-Produktanfragen; mögliche Verarbeitung außerhalb des EWR ist anhand der geltenden Vertrags- und Übermittlungsgrundlage abzusichern.
• Cloudflare R2: Auslieferung öffentlicher Produktbilder in der App; dabei können technische Abrufdaten verarbeitet und global übermittelt werden.

Für Übermittlungen außerhalb des EWR sind je nach Anbieter und konkreter Verarbeitung ein Angemessenheitsbeschluss, eine gültige Zertifizierung nach dem EU-US Data Privacy Framework oder EU-Standardvertragsklauseln samt ergänzender Prüfung zu verwenden. Vor Veröffentlichung bzw. produktiver Aktivierung sind die jeweils geltenden Auftragsverarbeitungsverträge, Regionen und Transfermechanismen zu dokumentieren.

11. Datensicherheit

Die Verbindung wird verschlüsselt bereitgestellt. Private Lieferantendateien und Einkaufspreise sind durch getrennte nicht öffentliche Speicherung, Rollen, RLS-Regeln und minimale Backend-Berechtigungen geschützt. Zugangsdaten werden nicht im Quellcode oder in öffentlichen Dateien gespeichert. Backups und OAuth-Secrets werden zugriffsbeschränkt behandelt.

12. Betroffenenrechte und Beschwerde

Betroffene Personen haben nach Maßgabe der DSGVO Rechte auf Information, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann für die Zukunft widerrufen werden, soweit eine Verarbeitung darauf beruht. Anfragen können an die oben genannte E-Mail-Adresse gerichtet werden; zur Identitätsprüfung können erforderliche Zusatzangaben verlangt werden.

Es besteht ein Beschwerderecht bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien. Maßgebliche Grundlagen sind insbesondere die Datenschutz-Grundverordnung, die WKO-Orientierung zu Speicherfristen und die USP-Information zur Aufbewahrungspflicht.