Datenschutzerklärung

Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO:
VR the Fans GmbH
Gastgebgasse 3/243, 1230 Wien, Österreich
Telefon: +43 664 389 91 38
E-Mail: office@vrthefans.com

Datenschutzkontakt: office@vrthefans.com

Stand: 2026-10-21

1. Überblick

Diese Erklärung informiert Sie darüber, welche personenbezogenen Daten wir bei der Nutzung unserer Web-Anwendung „Orange Octo — easy accounting“ verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage, an welche Empfänger und welche Rechte Ihnen nach der Datenschutz-Grundverordnung (DSGVO), dem österreichischen Datenschutzgesetz (DSG) und dem Telekommunikationsgesetz 2021 (TKG) zustehen.

2. Umfang und Zwecke der Verarbeitung

2.1 Zugangs- und Login-Daten

• Daten: E-Mail-Adresse, Passwort-Hash, Rolle, Anzeige-Name, Log-in-Zeitpunkte, IP-Adresse und User-Agent zur Sicherung der Session.
• Zweck: Authentifizierung, Zugriffsschutz, Missbrauchserkennung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit).
• Speicherdauer: Für die Dauer des Nutzungsvertrages; Sicherheits-Logs längstens 12 Monate.

2.2 Stammdaten und Nutzungsdaten der Anwendung

• Daten: Rechnungen, Angebote, Rechnungs- und Leistungspositionen, Kunden- und Lieferantenstammdaten (Name, Adresse, UID, E-Mail, Bankverbindung, Telefon), Produkte/Leistungsvorlagen, Bankbewegungen (Betrag, Datum, Buchungstext, IBAN, BIC), Belege (PDF/Bilddateien).
• Zweck: Erstellung, Verwaltung und Archivierung von Rechnungen und Angeboten; Abgleich mit Bankbewegungen; Belegverwaltung; Erfüllung steuer- und handelsrechtlicher Aufzeichnungspflichten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag / vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, insbesondere § 132 BAO, § 212 UGB, Rechnungslegungs- und Aufbewahrungspflichten).
• Speicherdauer: Bis zum Ablauf der gesetzlichen Aufbewahrungsfristen (in der Regel 7 Jahre gem. § 132 BAO, in bestimmten Fällen bis zu 22 Jahre bei Immobilien-bezogenen Unterlagen gem. § 18 Abs. 10 UStG).

2.3 KI-gestützte Funktionen (Belegauslesung, Assistent, Textvorschläge)

• Daten: Inhalt hochgeladener Belege (Bilder/PDFs) einschließlich darin enthaltener personenbezogener Daten (z.B. Name, Adresse, IBAN von Lieferanten oder Kundschaft), dazugehörige Metadaten, sowie Eingaben in KI-gestützte Funktionen (Chat-Assistent, Ausfüllvorschläge für Kunden- und Firmendaten, Übersetzungen, Angebots-Designs, Import von Fremddaten), einschließlich darin enthaltener personenbezogener Daten.
• Zweck: Automatisierte Auslesung strukturierter Felder (Betrag, Datum, Empfänger, USt) zur Vereinfachung der Belegerfassung sowie Bereitstellung der von Ihnen aktiv aufgerufenen KI-Funktionen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Belegverarbeitung); Art. 6 Abs. 1 lit. b DSGVO, soweit Sie die KI-Funktion als Teil des Leistungsumfangs aktiv nutzen; soweit Gesundheits- oder sonstige besondere Kategorien enthalten sein könnten, wird der Nutzer angehalten, entsprechende Belege nicht hochzuladen.
• Empfänger/Auftragsverarbeiter:Die Auslesung erfolgt über das KI-Modell „Claude“. Derzeit wird dieses über die direkte Schnittstelle von Anthropic, PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA, angesprochen. Alternativ kann die Verarbeitung über AWS Bedrock (Amazon Web Services) in der EU-Region Frankfurt (eu-central-1) erfolgen; in diesem Fall verbleibt die KI-Verarbeitung innerhalb der EU.
• Drittlandübermittlung: Bei Nutzung der direkten Anthropic-Schnittstelle erfolgt eine Übermittlung in die USA auf Basis der EU-Standardvertragsklauseln (SCC) der Europäischen Kommission (Durchführungsbeschluss 2021/914) und unter ergänzenden Schutzmaßnahmen (Verschlüsselung im Transit, Verbot der Nutzung zu Trainingszwecken gemäß Anthropic Commercial Terms). Bei Verarbeitung über AWS Bedrock (EU-Region Frankfurt) findet keine Speicherung in einem Drittland statt; ein etwaiger administrativer Support-Zugriff aus einem Drittland stützt sich auf die EU-SCC.

2.4 Cookies, Local- und Session-Storage

Wir setzen technisch notwendige Cookies bzw. Browser-Storage- Einträge ein, die für Login, Session-Handhabung und Speicherung der aktiven Unternehmens- und Sprachauswahl erforderlich sind (insbesondere Supabase-Auth-Cookies, activeCompanyId, currentUserName im Local Storage).

• Rechtsgrundlage: § 165 Abs. 3 TKG 2021 iVm Art. 6 Abs. 1 lit. f DSGVO (unbedingt erforderlich für den vom Nutzer gewünschten Dienst — keine Einwilligung erforderlich).
• Tracking, Werbung, Analyse-Cookies: Der Analyse-Dienst Umami (cookielose, pseudonyme Reichweitenmessung) sowie — nur nach gesonderter Aktivierung — Meta Pixel werden ausschließlich nach Ihrer ausdrücklichen Einwilligung über unser Consent-Banner geladen (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Bis zur Einwilligung wird kein entsprechendes Skript nachgeladen und es findet kein Tracking statt („Reject-All“ ≡ keine Analyse-/Marketing-Dienste). Umami setzt keine Cookiesund speichert keine personenbezogenen Kennungen; das Browser-Signal „Do Not Track“ wird zusätzlich respektiert. Sie können Ihre Einwilligung jederzeit über das Consent-Banner mit Wirkung für die Zukunft widerrufen.
• Speicherdauer: Session- bzw. Login-Dauer; Auth-Cookies in der Regel bis zu 7 Tage (Refresh-Token). Ihre Consent-Entscheidung wird bis zu 12 Monate im Local Storage gespeichert (Re-Consent danach).

Eingesetzte Analyse- und Marketing-Dienste (nur nach Einwilligung):

2.5 Server-Logs (Hosting)

• Daten: IP-Adresse, Zeitstempel, URL/Pfad, User-Agent, HTTP-Status, Referrer.
• Zweck: Sicherstellung des Betriebs, Missbrauchs- und Angriffsabwehr, Fehleranalyse.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit, Funktionsfähigkeit).
• Speicherdauer: In der Regel bis zu 30 Tage, bei Sicherheitsvorfällen länger bis zur Aufklärung.

2.6 Verarbeitung von Interessenten- und Lead-Daten

Wir verarbeiten Kontaktdaten von Unternehmen und Funktionspostfächern (z.B. info@, office@) zum Zweck der Geschäftsanbahnung auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO). Daten stammen aus öffentlich zugänglichen Quellen (Unternehmens-Websites, Handelsregister, B2B-Verzeichnisse). Sie können der Verarbeitung jederzeit unter office@vrthefans.com widersprechen. Erfolgt kein Geschäftsabschluss, werden die Daten nach maximal 12 Monaten gelöscht.

2.7 Zahlungsabwicklung, E-Mail-Versand und KI-Bildgenerierung

• Zahlungsabwicklung (Abonnements): Zur Abwicklung kostenpflichtiger Abonnements verarbeiten wir über den Zahlungsdienstleister Stripe Name, E-Mail-Adresse, Zahlungs- bzw. Kartendaten und den Abo-Status. Die Kartendaten werden direkt von Stripe erhoben; wir speichern keine vollständigen Kartennummern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Soweit Stripe Daten zur Betrugsprävention sowie zur Erfüllung eigener gesetzlicher Pflichten (z.B. Geldwäscheprävention) verarbeitet, ist Stripe hierfür eigenständig Verantwortlicher; es gilt die Datenschutzerklärung von Stripe (https://stripe.com/at/privacy).
• Versand von System-E-Mails: Für den Versand von System- und Benachrichtigungs-E-Mails (z.B. Einladungen, Benutzerverwaltung) nutzen wir den Dienst Resend. Verarbeitet werden E-Mail-Adresse, Name und der jeweilige Mailinhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an funktionierender Nutzerkommunikation).
• KI-Bildgenerierung für Angebots-Designs: Wenn Sie diese Funktion nutzen, wird der von Ihnen eingegebene Bild-Text (Freitext-Prompt, der Personenbezug enthalten kann) an den Dienst Replicate zur Erzeugung von Bildern für Angebots-Designs übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Gestaltung von Angeboten). Bitte geben Sie keine besonderen Kategorien personenbezogener Daten in den Bild-Text ein.

3. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen Auftragsverarbeitungsverträge nach Art. 28 DSGVO abgeschlossen wurden:

Eine Übermittlung an weitere Dritte findet nicht statt. Ein Verkauf personenbezogener Daten findet nicht statt.

4. Drittlandübermittlung

Die Datenbank-, Authentifizierungs- und Datei-Speicherung bei Supabase erfolgt in der EU (AWS-Region Frankfurt, eu-central-1); es findet insoweit keine Speicherung in einem Drittland statt. Erfolgt die KI-Verarbeitung über AWS Bedrock (EU-Region Frankfurt), verbleibt auch diese in der EU.

Folgende Auftragsverarbeiter haben Unternehmenssitz bzw. verarbeiten teilweise in den USA: Vercel (Hosting), Anthropic (KI-Belegauslesung bei Nutzung der direkten Schnittstelle), Resend (E-Mail-Versand), Replicate (KI-Bildgenerierung) sowie Stripe, Inc. (Zahlungsabwicklung; Vertragspartner ist die Stripe Payments Europe, Ltd. mit Sitz in Irland). Ebenso kann ein administrativer Support-Zugriff durch Supabase Inc. bzw. AWS Inc. aus einem Drittland erfolgen. Diese Übermittlungen erfolgen auf Grundlage der Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914, ergänzt durch technische und organisatorische Maßnahmen (insbesondere Transportverschlüsselung TLS 1.2+, Zugangskontrolle, Pseudonymisierung, soweit möglich). Soweit Anbieter unter das EU-U.S. Data Privacy Framework (DPF) zertifiziert sind (u.a. Stripe), stützen wir uns zusätzlich auf den Angemessenheitsbeschluss der Kommission vom 10.07.2023.

5. Automatisierte Entscheidungen, Profiling

Es findet keine automatisierte Entscheidung im Einzelfall einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Die KI-gestützte Belegauslesung erzeugt Vorschläge; verbindliche Entscheidungen trifft stets ein menschlicher Nutzer.

6. Speicherdauer / Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die genannten Zwecke erforderlich ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Nach Ablauf der Aufbewahrungspflicht werden die Daten routinemäßig gelöscht oder anonymisiert.

7. Ihre Rechte als Betroffene*r

Sie haben jederzeit — unentgeltlich und formlos per E-Mail an office@vrthefans.com oder office@vrthefans.com — folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) — soweit keine gesetzliche Aufbewahrungspflicht besteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Sie haben zudem das Recht, sich bei der österreichischen Datenschutzbehörde (Barichgasse 40-42, 1030 Wien, dsb.gv.at) zu beschweren (Art. 77 DSGVO).

8. Pflicht zur Bereitstellung

Die Bereitstellung der zur Authentifizierung und Rechnungsführung erforderlichen Daten ist für die Nutzung der Anwendung und zur Erfüllung gesetzlicher Aufzeichnungspflichten notwendig. Ohne diese Daten kann die Anwendung nicht bereitgestellt werden.

9. Sicherheit

Wir setzen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, insbesondere Transportverschlüsselung (TLS), verschlüsselte Datenspeicherung, rollenbasierte Zugriffskontrolle (RLS in Supabase), Passwort-Hashing, Protokollierung sicherheitsrelevanter Ereignisse sowie regelmäßige Updates.

10. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung an aktuelle rechtliche und technische Entwicklungen anzupassen. Die jeweils aktuelle Version ist unter /datenschutz abrufbar.

11. Kontakt

Fragen zum Datenschutz richten Sie bitte an:
E-Mail: office@vrthefans.com (Fallback: office@vrthefans.com)
Post: VR the Fans GmbH, Datenschutz, Gastgebgasse 3/243, 1230 Wien, Österreich