Datenschutzerklärung

1 · Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne von Art. 4 Nr. 7 DSGVO ist:

3 Hills IT GmbH
Am Spitz 12/7
1210 Wien, Österreich

Firmenbuchnummer: FN 587281z
Firmenbuchgericht: Handelsgericht Wien
Geschäftsführung: Florian Werksnies, Dietmar Schmid

E-Mail: office@3hillsit.com

Zur Unternehmensgruppe gehören drei weitere Gesellschaften, die eigene Firmenbuch- bzw. Handelsregistereinträge haben und in Ziffer 15 als Empfänger aufgeführt sind. Für eine Ausnahme — Bewerbungen — ist nicht die oben genannte Gesellschaft verantwortlich, sondern diejenige, die die Position ausschreibt; siehe Ziffer 13.

2 · Kontakt für Datenschutzanfragen

Ihre Anfragen zum Datenschutz und zur Ausübung Ihrer Rechte bearbeitet Cornelia Milz, Geschäftsführerin der 3 Hills Services GmbH.

datenschutz@3hillsit.com

Eine Datenschutzbeauftragte bzw. einen Datenschutzbeauftragten haben wir nicht benannt, weil die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) auf uns nicht zutreffen.

3 · Geltungsbereich und Grundsätze

Diese Erklärung gilt für diese Website und die darüber erreichbaren Formulare. Sie beschreibt ausschließlich Verarbeitungen, die tatsächlich stattfinden. Verfahren, die wir nicht einsetzen, sind hier nicht aufgeführt — auch nicht vorsorglich.

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb der Website und die Bearbeitung Ihrer Anfragen erforderlich ist. Eine Zusammenführung der in Ziffer 6 beschriebenen Protokolldaten mit anderen Datenquellen findet nicht statt.

4 · Ihre Rechte

Sie haben gegenüber uns folgende Rechte in Bezug auf Ihre personenbezogenen Daten:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21 DSGVO)
• Widerruf einer Einwilligung, soweit wir eine solche eingeholt haben, mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Eine Nachricht an datenschutz@3hillsit.com genügt. Wir antworten innerhalb der gesetzlichen Frist von einem Monat.

Wo wir eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO stützen, ist dies in der jeweiligen Ziffer ausdrücklich genannt — dort haben Sie ein Widerspruchsrecht.

5 · Aufsichtsbehörde

Sie können sich jederzeit bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien, Österreich
dsb@dsb.gv.at

Sie können sich auch an die Aufsichtsbehörde Ihres Wohnsitzes oder Arbeitsplatzes wenden.

6 · Hosting und Server-Protokolldaten

Diese Website wird auf einem Server in einem Rechenzentrum in Nürnberg, Deutschland, betrieben. Es handelt sich um einen von uns allein genutzten virtuellen Server, nicht um ein Content-Delivery-Network.

Bei jedem Aufruf speichert der Webserver automatisch folgende Daten in einer Protokolldatei:

• IP-Adresse des anfragenden Geräts, vollständig und nicht gekürzt
• Datum und Uhrzeit der Anfrage
• angeforderte Adresse (URL)
• HTTP-Statuscode und übertragene Datenmenge
• verweisende Seite (Referrer), sofern vom Browser übermittelt
• Browser- und Betriebssystemkennung (User-Agent)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb der Website sowie in der Erkennung und Abwehr von Missbrauch und automatisierten Angriffen.

Speicherdauer: 7 Tage. Danach werden die Protokolldateien automatisch gelöscht. Von diesem Server werden keine Backups und keine Snapshots erstellt; es bestehen daher keine Kopien, die über diese Frist hinaus fortbestehen.

Hinweis zur Reichweitenmessung: Die in Ziffer 10 beschriebene Reichweitenmessung wird über unseren eigenen Server vermittelt. Die zugehörigen Anfragen erscheinen deshalb ebenfalls in dieser Protokolldatei — mit vollständiger IP-Adresse, obwohl der eingesetzte Analysedienst selbst keine IP-Adressen speichert. Die für uns identifizierbarere der beiden Datenquellen ist damit unsere eigene Protokolldatei, nicht der Analysedienst.

7 · Transportverschlüsselung

Der Aufruf dieser Website erfolgt ausschließlich verschlüsselt über HTTPS (TLS). Die dafür erforderlichen Zertifikate beziehen wir von der Zertifizierungsstelle Let's Encrypt (Internet Security Research Group, Vereinigte Staaten). Übermittelt werden dabei ausschließlich unsere Domainnamen, keine Daten von Besucher:innen.

8 · Keine externen Ressourcen

Alle Schriftarten, Bilder, Stylesheets und Skripte dieser Website werden von unserem eigenen Server ausgeliefert. Beim Aufruf einer Seite werden keine Verbindungen zu Servern Dritter aufgebaut — insbesondere nicht zu Google Fonts, zu einem CDN oder zu Anbietern von Werbe- oder Trackingdiensten.

Unsere Website enthält Links zu Profilen in sozialen Netzwerken. Das sind reine Verweise. Es werden keine Inhalte dieser Netzwerke geladen und keine Daten an sie übermittelt, solange Sie einen solchen Link nicht anklicken.

9 · Cookies

Diese Website setzt keine Cookies. Es werden auch keine vergleichbaren Techniken zur Wiedererkennung eingesetzt, etwa Local Storage, Session Storage oder Fingerprinting. Ein Einwilligungsbanner ist deshalb nicht erforderlich.

10 · Reichweitenmessung

Wir verwenden Plausible Analytics des Anbieters Plausible Insights OÜ, Tartu, Estland, um zu verstehen, welche Inhalte gelesen werden. Die Daten werden ausschließlich auf Servern in Deutschland verarbeitet und gespeichert.

Der Dienst arbeitet ohne Cookies und ohne wiedererkennbare Kennungen. Erhoben werden:

• die aufgerufene Seite
• die verweisende Seite (Referrer)
• Browsertyp, Betriebssystem und Gerätekategorie
• das Herkunftsland

Alle Angaben werden ausschließlich aggregiert ausgewertet. Ein Rückschluss auf einzelne Personen ist nicht möglich, und es werden keine Profile gebildet.

Die Einbindung erfolgt über unseren eigenen Server. Ihr Browser baut daher keine Verbindung zum Anbieter auf. Unser Server übermittelt dem Anbieter Ihre IP-Adresse, damit dieser das Herkunftsland bestimmen und automatisierte Zugriffe herausfiltern kann. Der Anbieter speichert die IP-Adresse nicht; sie wird ausschließlich flüchtig verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer datensparsamen Auswertung der Nutzung unserer Inhalte. Sie können dieser Verarbeitung widersprechen (Ziffer 4).

Auftragsverarbeitung: Der Anbieter verarbeitet die Daten für uns als Auftragsverarbeiter. Die Vertragsbedingungen sind Bestandteil der Nutzungsbedingungen und öffentlich einsehbar.

11 · Kontaktaufnahme

11.1 Kontaktformular

Über das Formular auf /kontakt erheben wir:

Zusätzlich speichern wir den Zeitpunkt der Einsendung sowie die Fassung des Bestätigungstextes, den Sie beim Absenden bestätigt haben.

Zur Bestätigung beim Absenden: Die Bestätigung, dass Sie diese Datenschutzerklärung zur Kenntnis genommen haben, ist keine Einwilligung im Sinne von Art. 6 Abs. 1 lit. a DSGVO. Wir speichern Textfassung und Zeitpunkt allein, um nachweisen zu können, dass wir Sie informiert haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Verarbeitung ist zur Bearbeitung Ihrer Anfrage und zur Vorbereitung eines möglichen Vertragsverhältnisses erforderlich, das Sie mit Ihrer Anfrage selbst angebahnt haben. Für die anschließende Aufnahme in unser Kundenverwaltungssystem (Ziffer 12) stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO.

Was mit Ihrer Einsendung passiert, in dieser Reihenfolge:

1. Sie wird in einem Datenbestand auf unserem eigenen Server abgelegt.
2. Wir erhalten eine Benachrichtigung per E-Mail an office@3hillsit.com.
3. Sie wird in unser Kundenverwaltungssystem übertragen (Ziffer 12).

Eine automatische Bestätigungsmail an Sie versenden wir nicht.

Schutz vor automatisierten Einsendungen: Wir setzen ein für Menschen unsichtbares Zusatzfeld, eine Mindestbearbeitungszeit und eine Begrenzung der Einsendungen je IP-Adresse ein. Ihre IP-Adresse wird dabei kurzzeitig verarbeitet, aber nicht mit Ihrer Einsendung gespeichert. Sie erscheint ausschließlich in der Protokolldatei nach Ziffer 6.

Speicherdauer:

• Datenbestand auf unserem Server: 90 Tage, danach automatische Löschung
• Benachrichtigungsmail im Postfach office@3hillsit.com: 90 Tage
• Kundenverwaltungssystem: siehe Ziffer 12

11.2 E-Mail, Telefon und Post

Wenn Sie uns direkt schreiben oder anrufen, verarbeiten wir die dabei anfallenden Daten zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen, sonst Art. 6 Abs. 1 lit. f DSGVO.

Unser E-Mail-Dienst wird von Microsoft als Auftragsverarbeiter betrieben (Ziffer 15).

11.3 Terminbuchung

Auf /kontakt verlinken wir auf einen Terminkalender, der mit Microsoft Bookings betrieben wird. Der Link führt Sie auf eine Seite von Microsoft — auf unserer Website werden keine Inhalte von Microsoft geladen, solange Sie den Link nicht anklicken.

Der Kalender läuft in unserem eigenen Microsoft-365-Mandanten. Verantwortlich für die dort eingegebenen Daten sind daher wir, nicht Microsoft; Microsoft ist Auftragsverarbeiter.

Erhoben werden Name, E-Mail-Adresse, der gewählte Termin sowie Angaben, die Sie freiwillig im Nachrichtenfeld ergänzen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: 12 Monate nach dem Termin.

12 · Interessent:innen- und Kundenverwaltung

Anfragen über das Kontaktformular übertragen wir in unser Kundenverwaltungssystem (CRM). Wir setzen dafür Software der ADITO Software GmbH, Deutschland, ein. Das System wird für uns in einem Rechenzentrum in Deutschland betrieben; ein Auftragsverarbeitungsvertrag besteht.

Gespeichert werden die von Ihnen übermittelten Angaben, der Zeitpunkt der Anfrage und der weitere Verlauf des Kontakts.

Zugriff innerhalb der Unternehmensgruppe: Auf diese Daten können Beschäftigte aller vier in Ziffer 15 genannten Gesellschaften zugreifen. Grund dafür ist, dass Beratung und Betreuung je nach Standort und Thema aus unterschiedlichen Gesellschaften erfolgen. Die weiteren Gesellschaften handeln dabei nicht als Auftragsverarbeiter, sondern als Empfänger.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer einheitlichen Betreuung von Interessent:innen und Kund:innen innerhalb der Gruppe. Sie können dieser Verarbeitung widersprechen (Ziffer 4).

Speicherdauer:

• kommt kein Vertragsverhältnis zustande: 3 Jahre nach dem letzten Kontakt
• bei einem Vertragsverhältnis: für die Dauer der Geschäftsbeziehung, anschließend nach den gesetzlichen Aufbewahrungsfristen (§ 132 BAO, § 212 UGB — 7 Jahre)

Die Löschung nach Ablauf der Dreijahresfrist ist im System automatisiert eingerichtet.

13 · Bewerbungen

Verantwortlich für Bewerbungsdaten ist die Gesellschaft, die die Position ausschreibt:

• Positionen in Österreich: 3 Hills IT GmbH, Wien (FN 587281z)
• Positionen in Deutschland: 3 Hills IT GmbH, Landshut (HRB 14739)

Auf /karriere steht kein Formular und kein Upload zur Verfügung, sondern ausschließlich eine E-Mail-Adresse. Bewerbungsdaten gelangen nicht in unser Kundenverwaltungssystem. Sie werden ausschließlich im Postfach office@3hillsit.com verarbeitet und dort an die Verantwortlichen weitergeleitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 88 DSGVO sowie § 11 DSG (Österreich) bzw. § 26 BDSG (Deutschland) — Durchführung eines Bewerbungsverfahrens auf Ihre Veranlassung.

Speicherdauer: 6 Monate nach Abschluss des Verfahrens. Diese Frist berücksichtigt die Fristen zur Geltendmachung von Ansprüchen nach dem GlBG (Österreich) bzw. dem AGG (Deutschland). Eine längere Aufbewahrung, etwa in einem Talentpool, erfolgt nur mit Ihrer ausdrücklichen Einwilligung; wir führen derzeit keinen Talentpool.

Besondere Kategorien personenbezogener Daten: Wir fragen keine Angaben zu Gesundheit, Behinderung, Religion, Herkunft oder vergleichbaren Merkmalen ab. Wenn Sie solche Angaben unaufgefordert machen, verarbeiten wir sie nur, soweit dies für das Verfahren erforderlich ist.

14 · Auf dieser Website veröffentlichte personenbezogene Daten

• Team: Namen, Funktionen und Fotos unserer Mitarbeiter:innen auf /ueber-uns. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer nachvollziehbaren Darstellung der Ansprechbarkeit unseres Unternehmens; Fotos werden nur mit Einwilligung der abgebildeten Person veröffentlicht.
• Autor:innen von Beiträgen im Bereich /insights, einschließlich der ursprünglichen Autor:innen von Beiträgen, die wir mit Genehmigung von ADITO erneut veröffentlichen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO sowie urheberrechtliche Nennungspflichten.
• Namentliche Kundenstimmen auf /referenzen. Diese veröffentlichen wir ausschließlich mit dokumentierter Einwilligung der genannten Personen; Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit für die Zukunft widerrufen werden (Ziffer 4); wir entfernen die Kundenstimme dann.

15 · Empfänger und Auftragsverarbeiter

Gesellschaften unserer Gruppe (Empfänger, keine Auftragsverarbeiter — siehe Ziffer 12):

Auftragsverarbeiter:

Mit allen genannten Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Die Gesellschaft in Landshut hält die Verträge für Serverbetrieb und Reichweitenmessung und handelt insoweit als Auftragsverarbeiter für die in Ziffer 1 genannte Verantwortliche; Hetzner und Plausible sind in diesem Verhältnis Unterauftragsverarbeiter.

16 · Übermittlung in Drittländer

Für Anfragen über das Kontaktformular findet keine Übermittlung in ein Drittland statt. Der Webserver, der Datenbestand, der E-Mail-Versand und das Kundenverwaltungssystem werden sämtlich innerhalb der Europäischen Union betrieben.

Zwei Einschränkungen nennen wir ausdrücklich:

• Microsoft ist ein Unternehmen mit Konzernmutter in den Vereinigten Staaten. Vertragspartner ist die irische Gesellschaft, und die Daten werden innerhalb der EU verarbeitet (EU Data Boundary). Ein Zugriff aus einem Drittland, etwa im Rahmen von Support, lässt sich nicht vollständig ausschließen. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln.
• Let's Encrypt hat seinen Sitz in den Vereinigten Staaten. Übermittelt werden dabei ausschließlich unsere Domainnamen (Ziffer 7).

17 · Speicherdauern im Überblick

18 · Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

19 · Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die beschriebenen Verarbeitungen ändern — etwa wenn wir eine neue Funktion einführen. Die jeweils gültige Fassung ist auf dieser Seite abrufbar.

Stand: TODO(alex): Veröffentlichungsdatum