Datenschutz

1. Verarbeitungstätigkeit

Betrieb einer journalistischen Online-Plattform für (registrierte) Kunden
Vertrieb von kostenfreien und kostenpflichtigen Informationsangeboten, wie beispielsweise „Mitgliedschaften“, Gutscheinen und Druckwerken.
 

2. Verantwortlicher

Quo Vadis Veritas Redaktions GmbH, FN 469089m („QVV“) 
Halleiner Landesstraße 24, 5061 Elsbethen-Glasenbach
Anschrift der Redaktion: Postfach 0037, 1070 Wien
E-Mail: [email protected]
 

3. Kontaktdaten des Datenschutzverantwortlichen

Quo Vadis Veritas Redaktions GmbH
c/o Datenschutzverantwortlicher
Postfach 0037, 1070 Wien
[email protected]
 

4. Zwecke der Datenverarbeitung

• auf der Rechtsgrundlage der Meinungsäußerungsfreiheit: Der Hauptzweck der Datenverarbeitung durch den Verantwortlichen ist der Betrieb von objektivem und unabhängigem investigativen Journalismus und die objektive und unabhängige Informationsbeschaffung und -aufbereitung. Die Datenverarbeitung erfolgt daher auf der der konventions- und verfassungsrechtlich (Art 13 StGG und Art 10 EMRK) geschützten Grundlage der Presse-, Meinungs- und Kommunikationsfreiheit. Gemäß § 9 DSG (in der Fassung des Datenschutz-Deregulierungsgesetzes 2018) finden auf Medienunternehmen oder ihre Mitarbeiter bei Verarbeitungen, die zu journalistischen Zwecken erfolgen, das Datenschutzgesetz keine, von der DSGVO nur die Kapitel I., VIII., X. und XI. Anwendung.
• auf der Rechtsgrundlage der Vertragserfüllung oder -vorbereitung:
  • Abrufbarhaltung von journalistischen Inhalten über „Addendum“
  • Bereitstellung und Betrieb von Kommunikationskanälen zur Verbreitung der Inhalte und Servicierung des Kundenverhältnisses
  • Vertrieb von kostenpflichtigen Informationsangeboten und Leistungen, wie beispielsweise „Mitgliedschaften“, Gutscheine und Druckwerke
  • Bereitstellung eines Forums für Nutzer zum Meinungsaustausch
  • interessenbasierte Darstellung der Inhalte zur Verbesserung des individuellen Nutzungsverhaltens (siehe dazu die Ausführungen zu Browser- oder Device-Fingerprinting unter Punkt 6.)
• auf der Rechtsgrundlage des berechtigten Interesses:
  • Erhaltung und Erhöhung der Kundenzufriedenheit und der Kundenbindung durch Analyse des Nutzungsverhaltens mit dem Ziel der Verbesserung des Serviceangebotes
  • Erhebung der Nutzerzahlen zur Dokumentation der Reichweite
  • Übermittlung von elektronischen Identifikationsdaten des Nutzers über das Facebook-Pixel an die Facebook Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, auch zum Zwecke des Retargeting
  • Bereitstellung von (auch werbenden) Newsletter an Kunden auf der gesetzlichen Grundlage des § 107 Abs 3 TKG mit jederzeitiger Opt-out-Möglichkeit
  • Verarbeitung von personenbezogenen Daten, insbesondere der IP-Adresse, zur Wahrung der IT-Sicherheit
  • Ton- und Bildaufnahmen von Veranstaltungen des Verantwortlichen
     

5. Rechtsgrundlage der Datenverarbeitung

1. Online-Nutzung: Vertragserfüllung. Die Inanspruchnahme der Online-Medien und des Verantwortlichen basiert auf einem Vertrag iSd Art 6 Abs 1 lit b DS-GVO, durch eine Registrierung entsteht ein Registrierungsverhältnis, durch die Anmeldung zum redaktionellen Newsletter ein Abonnementvertrag.
2. Zusatzservices: Einwilligung. Für einzelne Services kann der Verantwortlich ausdrücklich Einwilligungen vom Kunden einholen. Diese Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
3. Mitgliedschaften und kostenpflichtige Leistung: Vertragserfüllung.
4. Überwiegende berechtigte Interessen (siehe Punkt 7.).
    

6. Zweckänderung

Browser- oder Device-Fingerprint: Der Verantwortliche liest die vom Browser des Kunden mitgesendeten Informationen aus und merkt sich diese, um den nicht registrierten Nutzer wieder zu erkennen. Der Zweck ist die verbesserte Darstellung von Inhalten nach den Interessen des Kunden. Der Kunde ist für den Verantwortlichen damit wiedererkennbar, aber nicht identifizierbar, sodass es sich bei dem„ Fingerprint“ um keine personenbezogenen Daten handelt.
 

7. Beschreibung der (überwiegenden) berechtigten Interessen zu Zwecken

• der IT-Sicherheit: Der Verantwortliche speichert die IP-Adressen seiner Kunden für die Dauer von sieben Tagen, um auf gezielte Angriffe in Form der Überlastung von Servern („Denial of service“-Angriffe) und andere Schädigungen der Systeme abwehren zu können. An dieser Datenverarbeitung zum Zwecke der Aufrechterhaltung der Funktionsfähigkeit seiner online bereitgestellten Dienste hat der Verantwortliche ein überwiegendes berechtigtes Interesse (Erwägungsgrund 49 der DSGVO).
• der Direktwerbung: Der Verantwortliche verarbeitet Kundendaten (nicht jedoch solche von Kindern oder besondere Kategorien von personenbezogenen Daten im Sinne des Art 9 DSGVO („sensible Daten“)) auch, um diese zu Zwecken der Direktwerbung für Produkte des Verantwortlichen zu nutzen oder das Interesse an seinen Produkten zu wecken. Dabei verarbeitet der Verantwortliche auch Daten, die er von Adressverlagen auf der Rechtsgrundlage des § 151 GewO bezieht. Der Verantwortliche hat an der Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung ein berechtigtes Interesse (Erwägungsgrund 47, letzter Satz der DSGVO). Vorrangiges Ziel der Datenverarbeitung ist die Kundengewinnung und Informationsverbreitung mit dem Ziel, damit in ein Vertragsverhältnis zu gelangen oder die Kundenbindung zu stärken. Dabei stützt sich der Verantwortliche auf seine konventions- und verfassungsrechtlich geschützte Erwerbsfreiheit (Art. 6 StGG) und Kommunikationsfreiheit (ins. Art 10 EMRK, der auch Werbemaßnahmen schützt) und auf die Rechte
  • zur Übermittlung von postalischer Information;
  • zur Vornahme von Werbeanrufen nach Einwilligung;
  • zur Übermittlung von elektronischer Post nach Einwilligung;
  • zur Übermittlung von elektronischer Post gemäß § 107 Abs 3 TKG;
  • zur Verarbeitung von Kundendaten von Adressverlagen (§ 151 GewO).
    Bei der Nutzung dieser Daten hält der Verantwortliche die kommunikationsrechtlichen Vorgaben, insbesondere § 107 TKG, ein.
• Ton- und Bildaufnahmen von Veranstaltungen: Bei seinen Veranstaltungen („Events“) nimmt der Verantwortliche den Ton und das Bild auf, um so die Veranstaltung und die Tätigkeit des Verantwortlichens dokumentieren, (live) berichten und bewerben zu können. Wiewohl das Hauptinteresse der Bühne oder dem Podium dient, kann nicht ausgeschlossen werden, dass auch Veranstaltungsteilnehmer von den Ton- und BIldaufnahmen erfasst werden. An den Ton- und Bildaufnahmen, die auf der der konventions- und verfassungsrechtlich (Art 13 StGG und Art 10 EMRK) geschützten Grundlage der Presse-, Meinungs- und Kommunikationsfreiheit beruhen, hat der Verantwortliche ein berechtigtes Interesse.
   

8. Bewertungen von persönlichen Aspekten des Kunden

Eine Bewertung von persönlichen Aspekten des Kunden findet nicht statt.
 

9. Pflicht zur Bereitstellung von Daten

Den Kunden trifft keine Pflicht zur Bereitstellung von Daten. Eine sinnvolle Nutzung von manchen Services ist ohne Bekanntgabe von Daten aber nicht vorstellbar. Für Warenlieferungen ist die Postanschrift bekannt zu geben und bei Änderungen zu aktualisieren.
 

10. Automatisierte Entscheidungsfindung

Der Kunde unterliegt keiner automatisierten Entscheidung, die ihm gegenüber rechtliche Wirkung entfaltet.
 

11. Verarbeitete Datenarten

Von Kunden bekannt gegeben: Name/Firma, akademischer Grad, Benutzername, Kennwort, Telefonnummer, E-Mail-Adresse, Anschrift, Nachrichteninhalte, Lichtbild, Video, Feedbacktext, Kommentartext, Kreditkarten- und Bankdaten.

Vom System des Verantwortlichen zusätzlich erhoben: IP-Adressen (Logfiles), Daten zum Endgerät, verwendeter Browser, verwendetes Gerät, Kommunikationsprotokoll, Informationen zur Kontonutzung (z.B. Erstelldatum, Anzahl Logins, Datum der letzten Anfrage), Informationen zum Newsletterabonnement, User-ID, Facebook-User-ID, Facebook-E-Mail-Adresse, Facebook-Profil-Link, Datum des letzten Facebook-Abgleichs, Standort, Herkunftsland der IP-Adresse, Browser-Header, Leseverhalten.

Vom Adressverlag bezogen: Anrede, Titel, Anredetitel, Vorname, Nachname, Straße, PLZ, Ort, Bundesland, Firmenname, Status (Kunde, privat, selbständig, usw.)
 

12. Datenquellen (soweit nicht vom Kunden bekannt gegeben oder vom Verantwortlichen erhoben)

• Mailchimp: IP-Standort, bevorzugter E-Mail-Client, Quelle der Anmeldung, Kampagnendetails (Empfang, Öffnung, Klick)
• Swat.io: Zusammenführung von Daten aus Social-Media Kanälen
• Shortlinker Service add.at adx.at (AWS Amazon Web Services): Browserheader, Gerätetyp, Uhrzeit
• Addendum.org Kommentarfunktion (AWS): Browserheader, Uhrzeit der Anfrage
• Content-Sharing-Pixel (AWS): Browserheader, Uhrzeit der Anfrage
• addendum.org (Nextlayer): Uhrzeit der Anfrage, Anonymisierte IP
• Feedbackformular (AWS): Browserheader, Uhrzeit, E-Mail-Adresse
• Social Logins (Facebook und Google): Name, User-ID, Provider-ID, Profilbild, Token
• Eventbrite: Informationen zu den gebuchten und besuchten Events, zur Beziehung zum Veranstalter und alle anderen personenbezogenen Daten, die der Veranstalter von den Verbrauchern erfragt
   

13. Externe Empfänger von Daten

A) Eigenständige Verantwortliche:

• Zahlungsabwicklung: Stripe Inc. 185 Berry Street Suite 550, San Francisco, CA 94107, United States, https://stripe.com/en-at/privacy
• Facebook-Pixel: Facebook Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2
• Eventbrite Inc., 155 5th Street, Floor 7, San Francisco, CA 94103, Reg. No. 4742147, USA; Vertretung zum Zweck der DSGVO: Eventbrite NL BV, Silodam 402, 1013AW, Amsterdam, Niederlande, https://www.eventbrite.de/support/articles/de/Troubleshooting/datenschutzrichtlinien-von-eventbrite?lg=de

B) Auftragsdatenverarbeiter:

• E-Mail-Kampagnenversand „Mailchimp“: The Rocket Science Group, LLC, 675 Ponce de Leon Ave NE, Suite 5000, Atlanta, GA 30308 USA, https://mailchimp.com/legal/privacy/
• Google Analytics (mit „anonymize IP“): Google LLC, 1600 Amphitheatre Parkway Mountain View, CA 94043, USA, https://policies.google.com/privacy?hl=de
• Videohosting „Brightcove“: Brightcove, Inc. 290 Congress Street Boston, Massachusetts 02210, https://www.brightcove.com/de/legal/privacy
• AWS Cloud / Cloudfront: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg mit Serverstandort Frankfurt, https://aws.amazon.com/de/privacy/
• Cloudflare: Cloudflare, Inc. 101 Townsend St San Francisco, CA 94107 [email protected], https://www.cloudflare.com/de-de/gdpr/introduction/
• Swat.io: „Die Socialisten“ Social Software Development GmbH, Andreasgasse 6/1. 1070 Wien, Österreich, https://swat.io/privacy-policy/
• Nextlayer: next layer Telekommunikationsdienstleistungs- und Beratungs GmbH, Mariahilfer Gürtel 37/7, 1150 Wien, Österreich, https://www.nextlayer.at/unternehmen/impressum/
• Buchhaltung: Red Bull GmbH Am Brunnen 1, 5330 Fuschl am See
  https://policies.redbull.com/policies/RedBull.com_Austria/202006080742/de/privacy.html
• Podcast-Anlaytics: Podigee GmbH, Ritterstraße 2a, 10969 Berlin, Deutschland https://www.podigee.com/de/about/privacy/
• Hotjar: Analyse von Userverhalten auf der Website. Hotjar Limited, Level 2, St Julian’s Business Centre, 3, Elia Zammit Street, St Julian’s STJ 1000, Malta https://www.hotjar.com/legal/policies/privacy/

14. Social-Media-Kanäle

Der Verantwortliche informiert, dass er zu Zwecken der Werbung und der Kommunikation mit den Kunden in Social-Media-Kanälen eigenständige Onlineauftritte abrufbar hält. Bei diesen Onlineauftritten können die Daten des Kunden außerhalb der Europäischen Union verarbeitet werden, wodurch ein erhöhtes Risiko auf Verletzung des Datenschutzes besteht. Die Betreiber der Social-Media-Kanäle haben sich, soweit sie in den USA ansässig sind, größtenteils dem EU-US-Privacy-Shield unterstellt.

Diese Onlineauftritte werden in der technischen Umgebung des jeweiligen Social-Media-Betreibers abrufbar gehalten. Die Social-Media-Betreiber nutzen den Besuch des Onlineauftritts durch den Kunden sodann für eigene Zwecke, insbesondere um (interessensbasierte) Werbung auszuspielen. Die Social-Media-Betreiber nutzen den Besuch, um „Cookies“ am Endgerät des Kunden abzulegen, bereits vorhandene Cookies/Identifier auszulesen, aus dem Nutzungsverhalten auf Interessen des Kunden zu schließen und damit das zum Kunden oder Identifier angelegte Nutzungsprofil anzureichern. Ziel ist dabei die Ausspielung von interessensbasierter Werbung an den Kunden, die auch auf später besuchten Websites dritter Anbieter erfolgen kann.

Die Verarbeitung der personenbezogenen Daten des Kunden erfolgt aufgrund der überwiegenden berechtigten Interessen des Verantwortlichen an den Werbemaßnahmen und der Kundenkommunikation, die durch die Erwerbsfreiheit (Art 6 StGG) und Kommunikationsfreiheit (ins. Art 10 EMRK, der auch Werbemaßnahmen schützt) konventions- und verfassungsrechtlich geschützt sind. Sind die Kunden Nutzer der Social-Media-Kanäle, so kann die Datenverarbeitung auch durch die Einwilligung des Kunden abgedeckt sein.

Der Verantwortliche informiert, dass sie auf die Daten des Kunden keinerlei Zugriff haben. Der Verantwortliche empfiehlt daher dem Kunden, sich im Falle der Geltendmachung seiner Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit direkt an den jeweiligen Social-Media-Kanal zu wenden. Die Nutzer von Social-Media-Kanälen können auch selbst im Bereich ihrer Privacy-Einstellungen Änderungen vornehmen. Der Verantwortliche unterstützt den Kunden dabei, sollte das erforderlich sein.

Weitergehende Informationen findet der Kunde unter:

• Facebook: Facebook Inc., 1601 S. California Ave, Palo Alto, CA 94304, USA, https://de-de.facebook.com/about/basics
• Instagram: Instagram LLC, 1601 Willow Rd, Menlo Park CA 94025, USA, https://help.instagram.com/
• Twitter Inc., 795 Folsom Street, Suite 600, San Francisco, CA 94107, USA, https://twitter.com/de/privacy
• WhatsApp Inc., 1601 Willow Road, Menlo Park, California 94025, USA, https://www.whatsapp.com/security/
   

15. Drittstaatentransfer

Folgende Daten werden im Zuge der Datenverarbeitung an Staaten außerhalb der EU übermittelt:

• USA (EU-US- Privacy-Shield): Google Analytics – anonymisierte IP-Adresse, Websitetitel, browserspezifische Informationen, Informationen über die Websitenutzung
• USA (EU-US- Privacy-Shield): Mailchimp – E-Mail-Versand: E-Mail-Adresse, Name, Newsletterlistenzugehörigkeit
• USA (EU-US- Privacy-Shield): Shortlinker add.at, adx.at – Browserheader, Devicetype (Smartphone / Tablet / Desktop), Klick-Uhrzeit
• USA (EU-US- Privacy-Shield): Feedback-Tool (Amazon AWS) – Browserheader, Uhrzeit, E-Mail-Adresse, IP für 7 Tage
• USA (EU-US- Privacy-Shield): Whatsapp-Newsletter-Anmeldung (Amazon AWS) – Telefonnummer, IP, Browserheader
• USA (EU-US-Privacy Shield): Eventbrite Inc. – Name, Adresse, E-Mail-Adresse, IP-Adresse, Merkmale des Zugriffsgeräts und/oder des Browsers, statistische Daten zu den Aktivitäten auf den Services, Finanzdaten, Angaben dazu, wie der Nutzer auf die Services zugreifen, und Daten, die über Cookies, Pixel-Tags, Local Shared Objects, Web Storage und ähnliche Technologien erhoben werden.
   

16. Speicherdauer

• Nicht registrierte Kunden: Die personenbezogenen Daten (insb. IP-Adresse) von (nicht registrierten) Online-Nutzern werden zum Zweck der IT-Sicherheit sieben Tage gespeichert.
• Registrierte Kunden: Die Daten von registrierten Kunden werden vom Verantwortlichen auf Grund der oben genannten Rechtsgrundlage auf Dauer des Vertragsverhältnisses verarbeitet. Die Daten können vom Nutzer jederzeit geändert und gelöscht werden. Der Nutzungsvertrag läuft unbefristet und endet jedenfalls durch Löschung des Accounts durch den Kunden.
• Kostenpflichtige Bestellungen:Die Daten werden vom Verantwortlichen auf Grund der oben genannten Rechtsgrundlage grundsätzlich bis 40 Monate nach Vertragsbeendigung (= 36 Monate mögliche vertragliche Schadenersatzansprüche + max. 4 Monate Zustelldauer einer Klage) personenbezogen verarbeitet und danach (jedenfalls der Personenbezug) gelöscht. Soweit eine gesetzliche Verpflichtung zur Aufbewahrung von Daten, insbesondere gemäß § 132 Abs 1 BAO, besteht, erfolgt eine personenbezogene Datenverarbeitung von abrechnungsrelevanten Daten noch bis zum Ende der gesetzlichen Aufbewahrungspflicht (derzeit grundsätzlich 7 Jahre nach dem Ende des Geschäftsjahres des Anfalls).
• Vertraulicher Kontakt: Die über den vertraulichen Kontakt übermittelten Daten werden dem journalistischen Zweck zugeführt und unbefristet aufgehoben.
   

17. Rechte des Betroffenen (Diese Rechte gelten gemäß § 9 DSG nicht für die Datenverarbeitungen zu journalistischen Zwecken.)

• Art 15 DSGVO „Auskunft“: Der Kunde hat das Recht, Auskunft darüber zu verlangen, ob personenbezogene Daten von ihm verarbeitet werden.
• Art 16 DSGVO „Berichtigung“: Der Kunde hat das Recht, unverzüglich die Berichtigung unrichtiger personenbezogener Daten oder deren Vervollständigung zu verlangen.
• Art 17 DSGVO „Löschung“: Der Kunde hat das Recht, zu verlangen, dass die personenbezogenen Daten unverzüglich gelöscht werden, soferne die in Art 17 Abs 1 DSGVO genannten Gründe erfüllt sind.
• Art 18 DSGVO „Einschränkung“: Der Kunde hat das Recht, zu verlangen, dass die Verarbeitung der personenbezogenen Daten eingeschränkt wird, soferne die in Art 18 Abs 1 DSGVO genannten Gründe erfüllt sind.
• Art 20 DSGVO „Datenübertragbarkeit“: Der Kunde hat das Recht, seine bekannt gegebenen personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Art 21 DSGVO „Widerspruch“: Der Kunde hat das Recht, jederzeit gegen die Verarbeitung seiner personenbezogenen Daten auf der Grundlage des überwiegenden berechtigten Interesses Widerspruch einzulegen.
   
  

18. Beschwerderecht

Art 77 DSGVO: Jeder Kunde hat das Recht auf Beschwerde bei der Aufsichtsbehörde, wenn er der Ansicht ist, dass die Verarbeitung der ihn betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
 

19. Aufsichtsbehörde

Österreichische Datenschutzbehörde
Barichgasse 40-42,  A-1030 Wien
Telefon: +43 1 52 152-0
E-Mail: [email protected]