Datenschutzerklärung

Verantwortlicher

conui GmbH Austraße 96, 6800 Feldkirch, Österreich FN 245231 i, Landesgericht Feldkirch, UID ATU72781849 Geschäftsführer: Thomas Kohler Telefon: +43 650 3031114 E-Mail: hello@conui.org Web: impactsteps.ai · conui.org

Ein Datenschutzbeauftragter ist für die conui GmbH gesetzlich nicht vorgeschrieben und wurde nicht benannt. Bei datenschutzrechtlichen Fragen wenden Sie sich bitte direkt an die oben genannten Kontaktdaten.

---

Überblick: Wen diese Erklärung betrifft

Wir verarbeiten personenbezogene Daten von drei Gruppen. Der jeweils einschlägige Teil steht unten:

Teil D betrifft Daten, die wir nicht bei Ihnen selbst erheben. Teil E erklärt unseren KI-Einsatz. Die Abschnitte 1–5 am Ende gelten für alle Gruppen.

---

Teil A · Kund:innen

A.1 Verarbeitete Daten

• Name und Firma, Rechtsform, Firmenbuchnummer, UID-Nummer
• Ansprechperson, Funktion im Unternehmen
• Geschäftsanschrift und sonstige Adressen
• Kontaktdaten (Telefonnummer, E-Mail-Adresse)
• Zugangsdaten und Kontoinformationen der Plattform
• Vertrags-, Bestell- und Abrechnungsdaten, Bankverbindung
• Nutzungsdaten der Plattform (aufgerufene Funktionen, erstellte und freigegebene Impact Profile, Freigabeprotokolle)
• Inhalte, die Sie einbringen (Angebotsbeschreibungen, Bilder, Angaben zu Ihrem Betrieb)
• Kommunikation mit uns, einschließlich Kundenserviceanfragen

A.2 Zwecke und Rechtsgrundlagen

Vertragserfüllung und vorvertragliche Maßnahmen (Art 6 Abs 1 lit b DSGVO)

Bereitstellung und Betrieb der Plattform, Erstellung und Veröffentlichung von Impact Profilen, Auslieferung von Widgets, Nutzerverwaltung, Support und Kundenbetreuung, Abrechnung, Vertragsabwicklung. Ohne diese Daten können wir den Vertrag nicht abschließen und die Leistungen nicht erbringen.

Rechtliche Verpflichtungen (Art 6 Abs 1 lit c DSGVO)

Buchhaltung, Rechnungslegung, steuerliche Aufzeichnungs- und Aufbewahrungspflichten (insbesondere § 212 UGB, § 132 BAO).

Berechtigte Interessen (Art 6 Abs 1 lit f DSGVO)

Einwilligung (Art 6 Abs 1 lit a DSGVO)

Nur für: Zusendung von Newslettern und Werbung in elektronischer Form (zusätzlich § 174 TKG 2021) sowie die Nennung als Referenz unter Angabe Ihres Namens oder Logos.

Sie können eine erteilte Einwilligung jederzeit widerrufen. Der Widerruf wirkt für die Zukunft und berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Eine Abmeldung vom Newsletter ist außerdem über den Link in jeder Aussendung möglich.

---

Teil B · Website und Widgets

B.1 Server-Logs

Beim Aufruf von impactsteps.ai und beim Laden eines Impact-Steps-Widgets werden automatisch Daten übermittelt und in Server-Logfiles gespeichert: IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, übertragene Datenmenge, Referrer-URL, Browsertyp und -version, Betriebssystem.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art 6 Abs 1 lit f DSGVO). Löschung nach 30 Tagen, soweit keine sicherheitsrelevante Auswertung erforderlich ist.

B.2 Widgets auf Seiten Dritter

Impact Profile werden als Widget oder iFrame auch auf Websites Dritter dargestellt – etwa in Erlebnisshops, Buchungsstrecken oder auf Websites von Destinationen. Beim Laden eines solchen Widgets wird technisch bedingt Ihre IP-Adresse an unseren Server übermittelt.

Wir verwenden diese Daten nur zur Auslieferung und zur Sicherstellung des Betriebs. Für die Website, auf der das Widget eingebettet ist, ist deren Betreiber verantwortlich; dort gilt dessen Datenschutzerklärung.

B.3 Google Analytics

Wir verwenden Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Google Analytics verwendet Cookies und ähnliche Technologien, die eine Analyse Ihrer Nutzung der Website ermöglichen. Erfasst werden unter anderem aufgerufene Seiten, Verweildauer, Herkunftsquelle, ungefährer Standort auf Basis der IP-Adresse, Gerätetyp und Browser. Wir nutzen diese Auswertung, um zu verstehen, welche Inhalte genutzt werden, und um die Website zu verbessern.

Rechtsgrundlage ist ausschließlich Ihre Einwilligung (Art 6 Abs 1 lit a DSGVO, § 165 Abs 3 TKG 2021). Google Analytics wird erst geladen, nachdem Sie im Cookie-Banner zugestimmt haben. Sie können Ihre Einwilligung jederzeit über [Cookie-Einstellungen] widerrufen.

Übermittlung in die USA: Daten können an die Google LLC in den USA übermittelt werden. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln.

Einstellungen: Die IP-Anonymisierung ist in Google Analytics 4 standardmäßig aktiv. Wir haben Google Signals deaktiviert und die Datenaufbewahrung auf 14 Monate gesetzt. Ein Browser-Add-on zur Deaktivierung stellt Google unter tools.google.com/dlpage/gaoptout bereit.

Weitere Informationen: policies.google.com/privacy

B.4 Cookies

Wir setzen technisch notwendige Cookies ein, die für den Betrieb der Website und der Anmeldung erforderlich sind (Art 6 Abs 1 lit f DSGVO). Analyse-Cookies (Teil B.3) setzen wir nur mit Ihrer Einwilligung. Eine Übersicht der eingesetzten Cookies samt Speicherdauer finden Sie unter [Cookie-Einstellungen].

B.5 Anmeldung über Google

Für die Anmeldung an der Plattform bieten wir die Option „Mit Google anmelden" an. Dabei übermittelt Google uns Ihre E-Mail-Adresse, Ihren Namen und Ihre Google-Konto-ID. Rechtsgrundlage ist die Vertragserfüllung bzw. Ihre Kontoeröffnung (Art 6 Abs 1 lit b DSGVO). Ein Google-Konto ist nicht erforderlich; die Anmeldung ist auch per E-Mail möglich.

---

Teil C · Impact Check und Impact Profile

C.1 Was verarbeitet wird

Wenn Sie den Impact Check ausfüllen, verarbeiten wir:

• Ihre Angaben dazu, welche Impact Steps Sie umgesetzt haben
• das betroffene Erlebnis und den Zeitpunkt
• Fotos, die Sie freiwillig hochladen, einschließlich der darin enthaltenen Metadaten
• eine E-Mail-Adresse, wenn Sie an der Verlosung teilnehmen
• technische Daten nach Teil B.1

Eine Registrierung ist nicht erforderlich. Wir legen kein Profil über Sie an.

C.2 Zwecke und Rechtsgrundlagen

C.3 Fotos

Der Upload ist freiwillig. Ihre Fotos werden nicht öffentlich angezeigt – weder im Impact Profil noch auf unserer Website noch in sozialen Netzwerken.

Zugänglich gemacht werden sie der Anbieter:in des jeweiligen Erlebnisses und, sofern das Erlebnis einer Destination zugeordnet ist, dieser Destination. Beide sind uns gegenüber vertraglich verpflichtet, die Fotos ausschließlich zur Auswertung der Wirkung und zur Weiterentwicklung des Angebots zu verwenden und sie weder zu veröffentlichen noch für Werbung zu nutzen noch an Dritte weiterzugeben.

Löschung: Wir löschen Ihre Fotos spätestens 6 Monate nach dem Upload. Sie können die Löschung jederzeit früher verlangen; wir geben das Löschverlangen an Anbieter:in und Destination weiter. Ihre übrigen Angaben aus dem Impact Check (welche Impact Steps Sie umgesetzt haben, das Erlebnis und der Zeitpunkt) löschen wir nach 24 Monaten.

Wer wofür verantwortlich ist: Für die Erhebung Ihrer Angaben, für die Einholung Ihrer Einwilligung, für die Speicherung und für die Weitergabe ist die conui GmbH verantwortlich. Ab dem Empfang sind Anbieter:in und Destination jeweils eigenständig verantwortlich; sie sind uns gegenüber an die oben genannte Zweckbindung und an die Löschfrist gebunden. Sie können sich mit Ihren Rechten jederzeit an uns wenden – wir leiten Ihr Anliegen weiter.

Kein KI-Training: Wir verwenden Ihre Fotos nicht, um KI-Modelle zu trainieren.

C.4 Punkte und Verlosung

Die im Impact Check angezeigten Punkte sind eine Rückmeldung im Ablauf. Sie stellen keine Bewertung Ihrer Person und kein Scoring dar; es wird daraus keine Entscheidung über Sie abgeleitet.

In der Pilotphase erhöhen gesammelte Punkte die Gewinnchance bei einer Verlosung. Ihre E-Mail-Adresse verwenden wir dafür ausschließlich zur Durchführung der Verlosung und löschen sie mit deren Abschluss, spätestens 4 Wochen nach der Ziehung. Es gelten die gesonderten Teilnahmebedingungen.

C.5 Minderjährige

Den Impact Check können Sie ab 14 Jahren selbst nutzen (§ 4 Abs 4 DSG). Sind Sie jünger, nutzen Sie ihn bitte gemeinsam mit einer erziehungsberechtigten Person.

---

Teil D · Daten, die wir nicht bei Ihnen erheben

Um Impact Profile zu erstellen, wertet unsere Plattform öffentlich zugängliche Informationen über ein Angebot aus – insbesondere die Angebotsseite der Anbieter:in, deren Website sowie öffentlich zugängliche Informationen über die Region.

Dabei können personenbezogene Daten verarbeitet werden, die wir nicht bei Ihnen selbst erhoben haben: etwa Namen von Guides, Mitarbeitenden, Kooperationspartner:innen oder Kontaktpersonen, die auf diesen Seiten genannt sind.

• Datenkategorien: Name, Funktion, berufliche Kontaktdaten, Angaben zur Tätigkeit im Rahmen des Angebots
• Quelle: öffentlich zugängliche Websites, insbesondere die von der Anbieter:in angegebene Angebotsseite
• Zweck und Rechtsgrundlage: Erstellung von Textvorschlägen für das Impact Profil der Anbieter:in; berechtigtes Interesse an der Erbringung unserer vertraglichen Leistung (Art 6 Abs 1 lit f DSGVO)
• Ihre Rechte: Sie können der Verarbeitung jederzeit nach Art 21 DSGVO widersprechen und Auskunft oder Löschung verlangen (Abschnitt 3)

Veröffentlicht wird ein Impact Profil erst nach Freigabe durch die Anbieter:in; für den veröffentlichten Inhalt ist diese verantwortlich.

---

Teil E · Einsatz künstlicher Intelligenz

Impact Steps erstellt Textvorschläge mithilfe automatisierter und KI-gestützter Verfahren. Damit Sie einschätzen können, was dabei geschieht:

Was die Verfahren auswerten: öffentlich zugängliche Informationen über ein Angebot und dessen Region sowie die Angaben, die eine Anbieter:in selbst einbringt.

Was sie nicht tun: Sie bewerten keine Personen, erstellen keine Persönlichkeitsprofile und treffen keine Entscheidungen über Personen.

Automatisierte Entscheidungen im Einzelfall: Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Jedes Impact Profil wird vor der Veröffentlichung von der jeweiligen Anbieter:in geprüft und freigegeben.

Wo die Verarbeitung stattfindet: Die eingesetzten Sprachmodelle werden auf Servern in der Schweiz betrieben (Infomaniak Network SA, Rechenzentren Genf und Zürich). Es handelt sich um offene Modelle; die übermittelten Inhalte werden dort nach Angaben des Anbieters weder gespeichert noch zum Training der Modelle verwendet. Für die Recherche zu Destinationen setzen wir ergänzend Dienste ein, die in der Empfängertabelle unter Abschnitt 1 aufgeführt sind.

---

Für alle Gruppen

1. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, die vertraglich zur Vertraulichkeit und zur Verarbeitung ausschließlich nach unserer Weisung verpflichtet sind (Art 28 DSGVO).

Eine Weitergabe an sonstige Dritte erfolgt nur, wenn dies zur Vertragserfüllung erforderlich ist, wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben. Zur Weitergabe von Fotos aus dem Impact Check siehe Teil C.3.

Übermittlung in Drittländer: Anwendung und Verarbeitungs-Pipeline werden in Deutschland betrieben. Die KI-Modelle laufen in der Schweiz; für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission, eine zusätzliche Garantie ist daher nicht erforderlich. Soweit einzelne Dienste Daten in den USA verarbeiten, stützen wir uns auf das EU-US Data Privacy Framework oder auf Standardvertragsklauseln der Europäischen Kommission samt ergänzender Maßnahmen. Eine Kopie der Garantien stellen wir auf Anfrage zur Verfügung.

2. Speicherdauer

Backups: Aus Sicherheitsgründen erstellen wir regelmäßig Sicherungskopien. Wird ein Datensatz gelöscht, entfällt er in den Sicherungskopien mit dem regulären Sicherungszyklus von 30 Tagen. Während dieser Zeit sind die Daten für die laufende Verarbeitung gesperrt.

3. Ihre Rechte

Ihnen stehen die Rechte auf Auskunft (Art 15), Berichtigung (Art 16), Löschung (Art 17), Einschränkung der Verarbeitung (Art 18), Datenübertragbarkeit (Art 20) und Widerspruch (Art 21) zu. Wenden Sie sich dafür an die oben genannten Kontaktdaten. Wir antworten innerhalb der gesetzlichen Frist von einem Monat.

Widerspruchsrecht nach Art 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer Daten Widerspruch einzulegen, soweit diese auf Art 6 Abs 1 lit f DSGVO beruht. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Ihre Daten für Direktwerbung, können Sie jederzeit ohne Angabe von Gründen widersprechen. Wir verarbeiten Ihre Daten danach nicht mehr für diesen Zweck.

4. Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei der Aufsichtsbehörde beschweren. In Österreich ist zuständig:

Österreichische Datenschutzbehörde Barichgasse 40–42, 1030 Wien Telefon: +43 1 52 152-0 · E-Mail: dsb@dsb.gv.at www.dsb.gv.at

5. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die rechtlichen Vorgaben ändern. Es gilt die jeweils auf impactsteps.ai veröffentlichte Fassung. Das Datum der letzten Änderung steht oben.

---

conui GmbH · Austraße 96, 6800 Feldkirch · FN 245231 i · impactsteps.ai