Datenschutzerklärung

Gültig ab: 14. August 2026
Verantwortlicher: Noteastic OG, Anton-Baumgartner-Straße 44, C8/1504, 1230 Wien, Österreich (FN 644438 d; UID ATU81638239)
Sprache: Deutsch (österreichisch)

1. Begriffsbestimmungen und Auslegung

1.1 Begriffsbestimmungen

In dieser Erklärung haben die nachstehend definierten Begriffe die folgende Bedeutung. Begriffe, die in den Nutzungsbedingungen definiert sind, haben in dieser Erklärung dieselbe Bedeutung, soweit hier nicht eine abweichende Bedeutung festgelegt ist.

„Konto” bezeichnet das Nutzerkonto, das für den Zugang zur Anwendung erforderlich ist.
„Kontodaten” hat die in Abschnitt 5.1(a) festgelegte Bedeutung.
„Werbemessungsdaten” hat die in Abschnitt 5.1(k) festgelegte Bedeutung.
„Werbenetzwerke” bezeichnet gemeinsam die in Abschnitt 7.3(d) genannten Anbieter, über die wir unsere Werbung schalten und deren Wirksamkeit messen.
„Anwendung” oder „Noteastic-Anwendung” bezeichnet die Software-Anwendung Noteastic für Microsoft Windows, die über den Microsoft Store vertrieben wird.
„Attributionsdaten” hat die in Abschnitt 5.1(c) festgelegte Bedeutung.
„Abrechnungsdaten” hat die in Abschnitt 5.1(g) festgelegte Bedeutung.
„Kampagnenkennung” hat die in Abschnitt 5.1(l) festgelegte Bedeutung.
„Einwilligungsmodus” bezeichnet die in Abschnitt 11.4.3 beschriebene Technik, mit der wir die Einwilligungsentscheidung eines Website-Besuchers an die Werbenetzwerke signalisieren.
„Verantwortlicher” hat die in Art. 4 Nr. 7 DSGVO festgelegte Bedeutung.
„Korrespondenzdaten” hat die in Abschnitt 5.1(d) festgelegte Bedeutung.
„Betroffene Person” bezeichnet eine identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen.
„EWR” bezeichnet den Europäischen Wirtschaftsraum.
„Feedback-Daten” hat die in Abschnitt 5.1(e) festgelegte Bedeutung.
„DSGVO” bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 (Datenschutz-Grundverordnung).
„Microsoft Store” bezeichnet die von der Microsoft Corporation betriebene digitale Vertriebsplattform.
„Newsletter” bezeichnet unseren optionalen E-Mail-Newsletter, bestehend aus den in Abschnitt 5.1(j) beschriebenen thematischen Inhaltskategorien, der nur an Nutzer versendet wird, die ihn abonniert haben.
„Newsletter-Daten” hat die in Abschnitt 5.1(j) festgelegte Bedeutung.
„Noteastic”, „wir”, „uns” oder „unser” bezeichnet die Noteastic OG, die in Abschnitt 2 identifizierte juristische Person.
„Personenbezogene Daten” hat die in Art. 4 Nr. 1 DSGVO festgelegte Bedeutung.
„Erklärung” oder „Datenschutzerklärung” bezeichnet das vorliegende Dokument.
„Verarbeitung” (und verwandte Ausdrücke) hat die in Art. 4 Nr. 2 DSGVO festgelegte Bedeutung.
„Dienste” bezeichnet die Anwendung, die Website und alle damit zusammenhängenden Dienste, die wir erbringen, einschließlich der Abonnementverwaltung.
„Stripe” bezeichnet die Stripe Payments Europe Limited, ein irisches Unternehmen innerhalb der Stripe-Unternehmensgruppe, das als unser Zahlungsdienstleister fungiert.
„Sub-Auftragsverarbeiter” bezeichnet jeden von uns eingesetzten Verarbeiter, der personenbezogene Daten in unserem Auftrag verarbeitet.
„Abonnement” bezeichnet eine wiederkehrende Vereinbarung über den Zugang zum Pro-Plan gegen Zahlung einer wiederkehrenden Abonnementgebühr, wie in den Nutzungsbedingungen definiert.
„Telemetriedaten” hat die in Abschnitt 5.1(b) festgelegte Bedeutung.
„Nutzungsbedingungen” bezeichnet unsere gesondert veröffentlichten Nutzungsbedingungen, abrufbar unter https://www.noteastic.app/de/rechtliches/nutzungsbedingungen.
„Nutzer” oder „Sie” bezeichnet eine natürliche Person, die die Dienste nutzt.
„Währungs-Geolokalisierungsdaten” hat die in Abschnitt 5.1(i) festgelegte Bedeutung.
„Website” bezeichnet die unter noteastic.app und deren Subdomains erreichbare Website.
„Website-Analysedaten” hat die in Abschnitt 5.1(f) festgelegte Bedeutung.

1.2 Auslegung

(a) Überschriften dienen allein der Übersichtlichkeit und haben keinen Einfluss auf die Auslegung.
(b) Verweise auf einen Abschnitt sind, soweit nicht anders angegeben, Verweise auf einen Abschnitt dieser Erklärung.
(c) Der Singular umfasst den Plural und der Plural umfasst den Singular.

2. Identität des Verantwortlichen und Kontakt

Verantwortlicher für die unter dieser Erklärung verarbeiteten personenbezogenen Daten ist:

Noteastic OG
Anton-Baumgartner-Straße 44, C8/1504
1230 Wien, Österreich

Firmenbuchnummer: FN 644438 d (Handelsgericht Wien)
Umsatzsteuer-Identifikationsnummer (UID): ATU81638239
Datenschutz-Kontakt: privacy@noteastic.app
Allgemeiner Kontakt: office@noteastic.app

Wir haben keinen Datenschutzbeauftragten bestellt. Wir sind hierzu nach Art. 37 DSGVO angesichts unserer Größe, unserer Struktur und unserer Verarbeitungstätigkeiten nicht verpflichtet. Die vorstehende Datenschutz-Kontaktadresse ist die designierte Anlaufstelle für sämtliche datenschutzrechtlichen Angelegenheiten.

3. Geltungsbereich dieser Erklärung

Diese Erklärung gilt für sämtliche von uns vorgenommenen Verarbeitungen personenbezogener Daten im Zusammenhang mit:

(a) der Anwendung, einschließlich der vor und nach der Erstellung eines Kontos erhobenen Telemetriedaten;
(b) Ihrem Konto;
(c) der Abonnement- und Einmalkaufmechanik in Bezug auf den Pro-Plan, einschließlich der Zahlungsabwicklung über Stripe;
(d) der Website;
(e) unserer Korrespondenz mit Ihnen; und
(f) eingehendem Feedback über öffentliche Kanäle (siehe Abschnitt 14).

Diese Erklärung gilt nicht für:

(g) Informationen, die Sie freiwillig über Drittplattformen veröffentlichen (zum Beispiel in Subreddits oder auf der Bewertungsoberfläche des Microsoft Store), soweit wir die Plattform nicht kontrollieren; oder
(h) Verarbeitungen, die von Stripe, Microsoft, Google, Reddit oder sonstigen Dritten als eigenständige Verantwortliche in Bezug auf ihre eigenen Dienste vorgenommen werden. Solche Verarbeitungen unterliegen den Datenschutzerklärungen dieser Dritten.

4. Mindestalter

4.1 Mindestalter von sechzehn Jahren

Die Anwendung ist weder an Personen unter sechzehn (16) Jahren gerichtet noch für diese bestimmt. Sie müssen mindestens 16 Jahre alt sein, um die Dienste zu nutzen.

4.2 Keine wissentliche Erhebung bei Minderjährigen

Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Werden wir darauf aufmerksam, dass wir personenbezogene Daten einer Person unterhalb dieser Altersgrenze erhoben haben, löschen wir diese unverzüglich und schließen ein etwaiges zugehöriges Konto.

4.3 Höhere örtliche Schwellen

Sieht das Recht in Ihrem Wohnsitzstaat ein höheres Mindestalter für die Nutzung von Online-Diensten oder für die Preisgabe personenbezogener Daten vor, gilt für Sie dieses höhere Alter.

5. Von uns verarbeitete personenbezogene Daten

5.1 Kategorien

Wir verarbeiten die folgenden Kategorien personenbezogener Daten:

(a) Kontodaten — Informationen, die Sie im Rahmen der Erstellung und Pflege eines Kontos angeben oder die dabei erzeugt werden: E-Mail-Adresse, Vorname, Familienname, gehashtes Passwort (soweit anwendbar), eindeutige anonyme Nutzer-Kennung, die Quelle des Identitätsdienstes (E-Mail/Passwort, Google OAuth, Microsoft OAuth), Status der E-Mail-Verifizierung, Zeitstempel der Kontoerstellung, Zeitstempel der letzten Anmeldung sowie ein bei der Kontoerstellung aus der IP-Adresse abgeleiteter Ländercode (Abschnitt 6.1, Zeile 20).

(b) Telemetriedaten — Daten zu Leistung, Stabilität und Nutzung der Anwendung:

Absturzberichte und Diagnoseprotokolle;
Ereignisse zum Anwendungsstart und zur Anwendungsbeendigung;
anonymisierte Ereignisse zur Feature-Nutzung (einschließlich, ab dem Stichtag, Nutzungsereignisse zu Pro-Plan-Funktionen);
Geräte-Metadaten: Gerätefamilie, Geräteformfaktor, Version des Betriebssystems;
Netzwerk-Metadaten: IP-Adresse (für analytische Verarbeitungen verkürzt, soweit dies möglich ist; vollständig vorgehalten, soweit dies für Diagnosezwecke erforderlich ist), Sprache, anhand der IP-Adresse näherungsweise ermittelte Standortinformationen;
eine eindeutige anonyme Nutzer-Kennung (die Sie im Zusammenhang mit einer Supportanfrage mit uns teilen können, jedoch nicht müssen).

(c) Attributionsdaten — Ihre Antworten, sofern Sie diese erteilen, auf die in der Anwendung gestellte Attributionsfrage („Wo haben Sie von uns erfahren?”) sowie auf die in der Anwendung gestellte Frage nach Ihrem Studierendenstatus (ob Sie Studierender sind und Ihr Studienfach).

(d) Korrespondenzdaten — der Inhalt jeder Kommunikation, die Sie an office@noteastic.app, an privacy@noteastic.app oder an eine andere veröffentlichte Adresse senden, zusammen mit der E-Mail-Adresse des Absenders und dem Zeitstempel.

(e) Feedback-Daten — Feedback, das Sie freiwillig über den in der Anwendung integrierten Feedback-Mechanismus übermitteln, einschließlich der wörtlichen Nachricht sowie, sofern Sie diese angeben, einer E-Mail-Adresse, unter der wir nachfassen können.

(f) Website-Analysedaten — Daten, die bei Ihrem Besuch der Website über PostHog zu Analysezwecken erhoben werden: Seitenaufrufe, Klickereignisse, Sitzungsdauer, Browser-Metadaten, IP-Adresse, Sprache, Referrer und die UTM-Parameter der aufgerufenen Adresse (Source, Medium, Campaign, Owner). Die Erhebung beginnt mit dem ersten Seitenaufruf und damit, bevor Sie über das Banner der Website entschieden haben; Abschnitt 11.2(b) beschreibt, wie sich Ihre Entscheidung auf sie auswirkt.

(g) Abrechnungsdaten — Daten, die durch den Lebenszyklus des Abonnements oder des Einmalkaufs erzeugt werden und für diesen erforderlich sind:

eine Stripe-Kundenkennung, die im Datensatz Ihres Kontos hinterlegt ist;
berechtigungsbezogene Datensätze, die jeweils enthalten: den Code des Plans, die Berechtigungsart (Abonnement, Einmalkauf oder Kulanzgewährung), den Berechtigungsstatus (etwa aktiv, Probezeitraum oder Kulanzfrist), das Enddatum der laufenden Abrechnungsperiode, soweit anwendbar (ein Einmalkauf ist unbefristet und hat kein Enddatum einer Abrechnungsperiode), sowie eine Stripe-Referenzkennung (eine Abonnement-Kennung bei einem Abonnement oder eine Payment-Intent-Kennung bei einem Einmalkauf);
ein Webhook-Ereignisregister, das die rohen, von uns empfangenen Stripe-Ereignisnachrichten zur idempotenten Verarbeitung und zur Auditierung enthält.

(h) Gesetzliche Aufzeichnungen — Rechnungen und damit zusammenhängende Abrechnungsunterlagen, aufbewahrt gemäß § 132 der österreichischen Bundesabgabenordnung (BAO) (Abschnitt 9.4).

(i) Währungs-Geolokalisierungsdaten — die IP-Adresse des Geräts, mit dem Sie auf die Preis- oder Checkout-Oberfläche zugreifen, sei es in der Anwendung oder auf der Website. Diese IP-Adresse wird vorübergehend und ausschließlich zu dem Zweck verarbeitet, das ihr zugeordnete Land zu ermitteln, damit Ihnen Preise in der für Sie voraussichtlich einschlägigen Währung angezeigt werden können. Die IP-Adresse wird gegen eine lokal vorgehaltene Offline-Geolokalisierungsdatenbank aufgelöst, die innerhalb unserer eigenen Infrastruktur abgefragt wird; sie wird zu diesem Zweck an keinen Dritten übermittelt. Es wird ausschließlich das Land ermittelt (keine feiner aufgelöste Standortbestimmung wie Region oder Stadt erfolgt), es werden nur das ermittelte Land und die daraus abgeleitete Währung zurückgegeben, und die IP-Adresse wird im Zusammenhang mit diesem Zweck nicht gespeichert, nicht protokolliert und nicht mit Ihnen verknüpft. (Ein hiervon getrennter, einmalig bei der Kontoerstellung abgeleiteter Ländercode wird als Kontodaten gespeichert; siehe Abschnitt 5.1(a).) Die so ermittelte Währung ist lediglich ein Standardvorschlag; Sie können beim Checkout eine andere verfügbare Währung wählen.

(j) Newsletter-Daten — sofern Sie unseren optionalen Newsletter abonnieren, die zur Verwaltung und Zustellung dieses Newsletters erzeugten und erforderlichen Daten:

die von Ihnen ausgewählten Inhaltskategorien, nämlich eine oder mehrere von: Produktneuigkeiten, Tipps und Tricks, technische Ankündigungen, Unternehmensnachrichten und Mitteilungen zum Beta-Programm;
die Zeitstempel Ihrer Einwilligung und der letzten Änderung Ihrer Newsletter-Einstellungen;
ein dauerhafter, eindeutiger Abmelde-Token, der die Abmeldung mit einem Klick aus jeder Newsletter-E-Mail ermöglicht, ohne dass eine Anmeldung erforderlich ist;
ein je Empfänger erzeugter Zustellungsdatensatz für jeden Newsletter-Versand, der eine Momentaufnahme der E-Mail-Adresse des Empfängers und der Sprach- bzw. Locale-Einstellung zum Sendezeitpunkt, den Zustellstatus, die Anzahl der Zustellversuche sowie den Zeitpunkt der erfolgreichen Zustellung enthält.

(k) Werbemessungsdaten — Daten, die an die Werbenetzwerke übermittelt werden, damit wir die Wirksamkeit unserer bezahlten Werbung messen können (Abschnitt 11.4):

auf der Website: die aufgerufene Seite, der Referrer, die Sprache, die IP-Adresse, die Browserkennung (User Agent), technische Angaben zu Gerät und Browser, die UTM-Parameter der aufgerufenen Adresse, das gemessene Ereignis (Abschnitt 11.4.1) sowie Werbekennungen einschließlich der Kennung eines vorangegangenen Anzeigenklicks;
in der Anwendung: der Anwendungsstart und der Abschluss eines Pro-Plan-Kaufs, im Kauffall mit dem erworbenen Plan, dem Kaufbetrag und der Währung, zusammen mit der IP-Adresse und den vom eingesetzten Microsoft-Werbemess-Baustein erzeugten oder gelesenen Werbekennungen.

Welche dieser Werbemessungsdaten im Einzelfall übermittelt werden, hängt von Ihrer Einwilligung ab; Abschnitt 11.4 beschreibt, was mit und was ohne Einwilligung übermittelt wird.

(l) Kampagnenkennung — ein kurzer Textwert, der die Kampagne bezeichnet, über die Sie auf die Website gelangt sind, und der bei entsprechender Einwilligung auf Ihrem Gerät gespeichert wird (Abschnitt 11.3).

5.2 Was wir NICHT speichern

Wir speichern auf unseren eigenen Systemen keine der folgenden Angaben, die ausschließlich bei Stripe verbleiben:

(a) Kartennummern, die letzten vier Stellen von Kartennummern, Ablaufdaten oder Kartenprüfwerte (CVC);
(b) Zahlungsmittel-Tokens, die über die abstrakten Stripe-Referenzen in Abschnitt 5.1(g) hinausgehen;
(c) Rechnungsadressdetails, die über das für die Erstellung einer Rechnung Erforderliche hinausgehen;
(d) Steuer-Identifikationsnummern (der Pro-Plan wird derzeit ausschließlich B2C verkauft);
(e) Bankkontonummern oder SEPA-Mandatsangaben.

5.3 Keine besonderen Kategorien personenbezogener Daten

Wir verarbeiten keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO (etwa Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, genetische Daten, biometrische Daten, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung).

6. Zwecke und Rechtsgrundlagen der Verarbeitung

6.1 Übersicht

Für jeden Verarbeitungszweck führen wir nachstehend die verarbeiteten Kategorien personenbezogener Daten und die Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO an.

#	Zweck	Kategorien personenbezogener Daten	Rechtsgrundlage
1	Erstellung, Authentifizierung und Pflege Ihres Kontos	Kontodaten	Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
2	Bereitstellung der Anwendung für Sie	Kontodaten; Telemetriedaten	Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
3	Verifizierung Ihrer E-Mail-Adresse	Kontodaten	Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
4	Versand transaktionaler Mitteilungen im Zusammenhang mit dem Konto (z. B. E-Mail-Verifizierung, Willkommensnachricht)	Kontodaten	Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
5	Diagnose und Behebung von Fehlern und Mängeln in der Anwendung	Telemetriedaten	Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Aufrechterhaltung eines zuverlässigen Dienstes)
6	Statistische Auswertung der Feature-Nutzung zur Produktverbesserung (einschließlich der Nutzung von Pro-Plan-Funktionen)	Telemetriedaten; Attributionsdaten	Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Verbesserung der Anwendung)
7	Statistische Auswertung der Website-Nutzung und der Akquisekanäle	Website-Analysedaten	Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, sobald Sie in die Kategorie Analyse eingewilligt haben; bis zu Ihrer Entscheidung und im Fall der Ablehnung Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Verständnis der Website-Nutzung in eingeschränktem Umfang, Abschnitt 11.2(b))
8	Auswertung der in der Anwendung erfassten Attributionsantworten	Attributionsdaten; Telemetriedaten	Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Verständnis, wie Nutzer auf die Anwendung aufmerksam werden)
9	Berücksichtigung und Umsetzung von Nutzer-Feedback	Feedback-Daten; Korrespondenzdaten	Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Verbesserung der Anwendung)
10	Versand unseres optionalen Newsletters (Produktneuigkeiten, Tipps und Tricks, technische Ankündigungen, Unternehmensnachrichten und Mitteilungen zum Beta-Programm) an Nutzer, die die jeweiligen Inhaltskategorien abonniert haben	Kontodaten (E-Mail, Vorname); Newsletter-Daten	Art. 6 Abs. 1 lit. a DSGVO — Einwilligung
11	Zahlungsabwicklung und Durchführung des Vertrags über das Abonnement oder den Einmalkauf (einschließlich Erstkauf, Verwaltung des Probezeitraums, automatische Verlängerung, Planwechsel, Kündigung und Erstattung)	Abrechnungsdaten; Kontodaten (E-Mail)	Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
12	Versand transaktionaler abonnement- oder einmalkaufbezogener Mitteilungen (Kaufquittung, Verlängerungsquittung, Mitteilung über das Ende des Probezeitraums, Verlängerungserinnerung, Mitteilung über Zahlungsausfälle, Mitteilung über bald ablaufende Karten, Kündigungsbestätigung, Erstattungsbestätigung, Mitteilung über Preisänderungen) unmittelbar oder über Stripe	Kontodaten (E-Mail); Abrechnungsdaten	Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
13	Ausstellung von Rechnungen sowie Aufbewahrung von Rechnungen und sonstigen Abrechnungsunterlagen	Abrechnungsdaten; gesetzliche Aufzeichnungen	Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (§ 132 BAO)
14	Ermittlung, Erhebung und Abfuhr der Umsatzsteuer über das EU-One-Stop-Shop-Verfahren	Abrechnungsdaten	Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung
15	Betrugsprävention und Risikomanagement im Hinblick auf Abonnement- oder Einmalkauf-Zahlungen (über Stripe Radar, Stufe Base)	Abrechnungsdaten; Transaktions-Metadaten (auf Stripe-Seite: IP-Adresse, Geräte-Fingerabdruck, Verhaltenssignale)	Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Verhinderung betrügerischer Transaktionen; Wahrung der Integrität des Zahlungsmechanismus)
16	Ermittlung der Währung, in der Ihnen Preise angezeigt werden, durch Auflösung der IP-Adresse des Geräts, mit dem auf die Preis- oder Checkout-Oberfläche zugegriffen wird (in der Anwendung oder auf der Website), zum zugehörigen Land gegen eine lokal vorgehaltene Offline-Geolokalisierungsdatenbank	Währungs-Geolokalisierungsdaten (IP-Adresse, vorübergehend verarbeitet)	Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Anzeige der Preise in der für Sie voraussichtlich einschlägigen Währung und Verringerung von Missverständnissen am Verkaufspunkt; Sie können beim Checkout eine andere verfügbare Währung wählen)
17	Einhaltung weiterer, nicht von den Zeilen 13 oder 14 erfasster rechtlicher Verpflichtungen	Je nach Erforderlichkeit	Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung
18	Begründung, Ausübung oder Verteidigung von Rechtsansprüchen	Je nach Erforderlichkeit	Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen
19	Aufbewahrung eines Nachweises Ihrer Newsletter-Einwilligung und eines etwaigen späteren Widerrufs (Abmeldung), einschließlich des dauerhaften Abmelde-Tokens, um die Rechtmäßigkeit der Newsletter-Verarbeitung nachweisen und Ihren Widerruf durch Unterdrückung weiterer Newsletter-E-Mails umsetzen zu können	Newsletter-Daten (Einwilligungs- und Widerrufsnachweis)	Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Rechenschaftspflicht nach Art. 7 Abs. 1 DSGVO und Umsetzung Ihres Widerrufs)
20	Bereitstellung von Kontext für den Nutzersupport und die Nutzerunterstützung (das der bei der Anmeldung verwendeten IP-Adresse zugeordnete Land)	Kontodaten (Ländercode der Anmeldung)	Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (kontextbezogene Unterstützung; ein grobes, ungeprüftes Signal, das nicht für Entscheidungen über Sie verwendet wird)
21	Messung der Wirksamkeit unserer bezahlten Werbung auf der Website, einschließlich der Zuordnung eines Klicks auf einen Verweis zum Microsoft Store zu einem vorangegangenen Anzeigenklick (Abschnitt 11.4.1)	Werbemessungsdaten	Art. 6 Abs. 1 lit. a DSGVO — Einwilligung in die Kategorie Werbemessung; in den in Abschnitt 11.4.3 beschriebenen Fällen Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (wirtschaftlicher Einsatz eines knappen Werbebudgets)
22	Messung der Wirksamkeit unserer bezahlten Werbung in der Anwendung, einschließlich der Zuordnung eines Anwendungsstarts und eines Pro-Plan-Kaufs zu einem vorangegangenen Anzeigenklick (Abschnitt 11.4.2)	Werbemessungsdaten	Art. 6 Abs. 1 lit. a DSGVO — Einwilligung
23	Zuordnung Ihres Besuchs zu der Kampagne, über die Sie auf die Website gelangt sind, einschließlich der Weitergabe dieser Zuordnung an den Microsoft Store, wenn Sie einem Verweis dorthin folgen (Abschnitt 11.3)	Kampagnenkennung	Art. 6 Abs. 1 lit. a DSGVO — Einwilligung in die Kategorie Werbemessung
24	Aufnahme in Werbe-Zielgruppen und personalisierte Auslieferung von Anzeigen durch die Werbenetzwerke (Abschnitt 12.3)	Werbemessungsdaten	Art. 6 Abs. 1 lit. a DSGVO — Einwilligung in die Kategorie Personalisierte Werbung; in den in Abschnitt 11.4.3 beschriebenen Fällen Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (wirtschaftlicher Einsatz eines knappen Werbebudgets)

6.2 Bereitstellung personenbezogener Daten ist freiwillig, aber vertraglich erforderlich

Die Bereitstellung von Kontodaten und (in Bezug auf den Pro-Plan) von Abrechnungsdaten ist freiwillig, ohne sie können wir den Vertrag jedoch nicht erfüllen: ein Konto kann ohne die einschlägigen Kontodaten nicht erstellt werden, und ein Pro-Abonnement oder ein Einmalkauf kann ohne die einschlägigen Abrechnungsdaten nicht abgeschlossen werden.

6.3 Telemetriedaten vor der Kontoerstellung

Die in Abschnitt 5.1(b) beschriebenen Telemetriedaten werden vor und unabhängig von der Erstellung eines Kontos auf dem Gerät erhoben, auf dem die Anwendung installiert ist. Die Interessenabwägung, auf die wir uns hierfür stützen, kann auf Anfrage unter privacy@noteastic.app abgerufen werden.

Das Abonnement des Newsletters (Abschnitt 5.1(j)) ist vollständig freiwillig. Es ist keine Bedingung für die Erstellung eines Kontos, die Nutzung der Anwendung oder den Erwerb oder die Aufrechterhaltung des Pro-Plans, und wir machen die Erfüllung eines Vertrags nicht von Ihrer Einwilligung in den Erhalt des Newsletters abhängig. Sie können den Newsletter frei ab- oder zuwählen; alleinige Rechtsgrundlage für dessen Versand ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO (Art. 7 Abs. 4 DSGVO — Kopplungsverbot).

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen und sich abmelden, ohne dass die Rechtmäßigkeit der bis zum Widerruf versendeten Newsletter-E-Mails berührt wird. Jede Newsletter-E-Mail enthält einen Ein-Klick-Abmeldemechanismus, der ohne Anmeldung funktioniert; Sie können Ihre Einwilligung außerdem durch Anpassung Ihrer Newsletter-Einstellungen in der Anwendung oder durch Kontaktaufnahme unter privacy@noteastic.app widerrufen. Ein nach Ihrer Abmeldung aufbewahrter Datensatz beschränkt sich auf das, was zur Umsetzung Ihres Widerrufs und zum Nachweis der Rechtskonformität erforderlich ist (Abschnitt 6.1, Zeile 19, sowie Abschnitt 9.2).

6.5 Interessenabwägung zur Website-Analyse und zur Werbemessung

Soweit wir uns für die in Abschnitt 6.1, Zeilen 7, 21 und 24 beschriebenen Verarbeitungen auf Art. 6 Abs. 1 lit. f DSGVO stützen, haben wir die dafür erforderliche Abwägung zwischen unseren Interessen und Ihren Interessen, Rechten und Freiheiten dokumentiert. Sie kann auf Anfrage unter privacy@noteastic.app abgerufen werden.

Sie können diesen Verarbeitungen nach Art. 21 Abs. 1 DSGVO aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Richtet sich eine Verarbeitung auf Direktwerbung, steht Ihnen der Widerspruch nach Art. 21 Abs. 2 DSGVO ohne weitere Begründung zu. Abschnitt 11.6 beschreibt, wie ein Widerspruch auf der Website und in der Anwendung tatsächlich wirksam wird, und benennt offen, wo die uns zur Verfügung stehenden Mittel begrenzt sind.

7. Empfänger und Sub-Auftragsverarbeiter

7.1 Vertraulichkeit und Verträge

Soweit wir personenbezogene Daten an Sub-Auftragsverarbeiter weitergeben, erfolgt dies auf Grundlage eines schriftlichen Vertrags, der den Sub-Auftragsverarbeiter verpflichtet, personenbezogene Daten ausschließlich auf unsere dokumentierten Weisungen zu verarbeiten, die Vertraulichkeit zu wahren, geeignete technische und organisatorische Maßnahmen umzusetzen und den Sub-Auftragsverarbeiter-Pflichten aus Art. 28 DSGVO nachzukommen.

7.2 Sub-Auftragsverarbeiter

Die folgenden Sub-Auftragsverarbeiter verarbeiten personenbezogene Daten in unserem Auftrag:

Sub-Auftragsverarbeiter	Rolle	Verarbeitete personenbezogene Daten	Ort
Microsoft Ireland Operations Ltd (Azure App Service)	Hosting der Backend-API	Kontodaten; Korrespondenzdaten; Telemetriedaten während der Übertragung; Abrechnungsdaten während der Übertragung	EWR (Irland)
Microsoft Ireland Operations Ltd (Azure Database for PostgreSQL)	Primärdatenbank	Kontodaten; Abrechnungsdaten	EWR (Irland)
Microsoft Ireland Operations Ltd (Azure Monitor, Application Insights)	Telemetrie-Erfassung; Diagnoseprotokollierung; Fehlerberichterstattung	Telemetriedaten	EWR (Irland)
Microsoft Ireland Operations Ltd (Azure Communication Services)	Versand transaktionaler E-Mails (Konto und Abonnement) und, sofern abonniert, Zustellung unseres optionalen Newsletters über denselben E-Mail-Relay	Kontodaten (E-Mail, Vorname); Newsletter-Daten	EWR (Region Europa)
Microsoft Ireland Operations Ltd (Azure Key Vault, Entra ID, Static Web Apps, Azure DNS)	Unterstützende Infrastruktur (Secrets-Verwaltung, Administratoren-Identitäten, Website-Hosting, DNS)	Geringfügige beiläufige Exposition	EWR (Irland)
Stripe Payments Europe Limited (Irland)	Zahlungsabwicklung, Abonnement-Abrechnung, Stripe Tax, Customer Portal, Stripe Radar (Base), Stripe Billing, transaktionale abrechnungsbezogene Mitteilungen	Abrechnungsdaten; Kontodaten (E-Mail); Transaktions-Metadaten; IP-Adresse; Geräte-Fingerabdruck	EWR (Irland); zu etwaigen Weiterübermittlungen an die Stripe, Inc. (Vereinigte Staaten) siehe Abschnitt 8
PostHog Inc. (zugegriffen über einen First-Party-Reverse-Proxy unter anal.noteastic.app)	Website-Analyse	Website-Analysedaten	EWR (PostHog Cloud EU, Frankfurt)
Grafana Labs, Inc.	Observability und Log-Aggregation	Telemetriedaten	EWR (EU-Cloud-Stack)
Google LLC (Google Workspace / Gmail)	Empfang und Speicherung eingehender E-Mails	Korrespondenzdaten	EWR (Google-Workspace-EU-Datenresidenz)

7.3 Eigenständige Verantwortliche

Bestimmte Dritte verarbeiten personenbezogene Daten als eigenständige Verantwortliche in Bezug auf ihre eigenen Dienste und nicht in unserem Auftrag. Insbesondere:

(a) Stripe handelt als eigenständige Verantwortliche zu folgenden Zwecken:

(i) Betrugsprävention und Risikobewertung im Rahmen von Stripe Radar (in Bezug auf jene Bestandteile dieser Verarbeitung, die außerhalb des Umfangs unserer Weisungen liegen);
(ii) Erfüllung regulatorischer Pflichten, einschließlich Know-Your-Customer- (KYC), Geldwäsche- und Sanktionsprüfpflichten, die Stripe nach unionsrechtlichem und mitgliedstaatlichem Finanzdienstleistungsrecht obliegen; und
(iii) Versand von Stripe-direkten E-Mails an Sie (Kaufquittung, Verlängerungsquittung, Erstattungsbestätigung, Mitteilung über Zahlungsausfälle, Verlängerungserinnerung, Mitteilung über das Ende des Probezeitraums, Mitteilung über bald ablaufende Karten).

In dieser Eigenschaft verarbeitet Stripe personenbezogene Daten nach Maßgabe seiner eigenen veröffentlichten Datenschutzerklärung. Wir empfehlen, diese unter https://stripe.com/privacy einzusehen.

(b) Microsoft Corporation handelt als eigenständige Verantwortliche in Bezug auf Microsoft-Store-Dienste, die Ihnen als Inhaber eines Microsoft-Store-Kontos zur Verfügung gestellt werden, einschließlich Microsoft-Store-Rezensionen und der uns über Partner Center zur Verfügung stehenden Microsoft-Store-Telemetrie.

(c) Google LLC und Microsoft Corporation handeln als eigenständige Verantwortliche in Bezug auf die in Abschnitt 15 angesprochenen Drittanbieter-Authentifizierungsabläufe.

(d) Die folgenden Werbenetzwerke handeln als eigenständige Verantwortliche in Bezug auf die Werbemessungsdaten, die sie unmittelbar von Ihrem Gerät empfangen. Sie legen die Zwecke und Mittel dieser Verarbeitung selbst fest, verwenden die Daten auch für eigene Zwecke, darunter die Verbesserung ihrer eigenen Dienste, und verarbeiten sie nicht auf unsere Weisung. Wir schließen mit ihnen für diese Verarbeitung keinen Auftragsverarbeitungsvertrag, weil sie nicht als Auftragsverarbeiter tätig werden. Wir übermitteln ihnen keine Kunden- oder Interessentenlisten:

Werbenetzwerk	Betroffene Oberfläche	Datenschutzhinweis des Empfängers
Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland (Microsoft Advertising)	Anwendung	https://privacy.microsoft.com/de-de/privacystatement
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Ads)	Website	https://business.safety.google/privacy/
Reddit Netherlands B.V., Keizersgracht 62, 1015 CS Amsterdam, Niederlande (Reddit Ads)	Website	https://www.reddit.com/policies/privacy-policy

Diese Rolle ist von den übrigen Beziehungen zu denselben Unternehmensgruppen zu unterscheiden: Die Microsoft-Dienste in Abschnitt 7.2 werden in unserem Auftrag erbracht, und die Rollen nach den vorstehenden Buchstaben (b) und (c) betreffen den Microsoft Store und die Anmeldung über Drittanbieter. Keine dieser Beziehungen erfasst die Werbemessung.

7.4 Gesetzlich vorgeschriebene Offenlegungen

Wir können personenbezogene Daten gegenüber Behörden offenlegen, soweit wir hierzu aufgrund einer verbindlichen Anordnung einer zuständigen Behörde oder nach anwendbarem Recht verpflichtet sind.

7.5 Änderungen der Sub-Auftragsverarbeiter-Liste

Wir können Sub-Auftragsverarbeiter hinzufügen oder ersetzen. Erfolgt dies im Zusammenhang mit kostenpflichtigen Abonnements, aktualisieren wir diesen Abschnitt 7.2 vor jeder neuen Verarbeitung.

8. Internationale Datenübermittlung

8.1 Primäre EWR-Residenz

Personenbezogene Daten, die wir oder unsere Sub-Auftragsverarbeiter verarbeiten, werden innerhalb des EWR verarbeitet. Unsere wesentlichen Sub-Auftragsverarbeiter operieren aus dem EWR, mit Datenresidenz in Irland oder in einem anderen EWR-Mitgliedstaat (siehe Abschnitt 7.2). Für die Werbemessungsdaten, die unmittelbar von Ihrem Gerät an die Werbenetzwerke gelangen, gilt Abschnitt 8.4.

8.2 Weiterübermittlungen in Bezug auf Stripe

Auch wenn die Stripe Payments Europe Limited unsere Vertragspartnerin ist und aus Irland heraus operiert, kann es im Rahmen der Bereitstellung des Abonnement-Abrechnungsdienstes durch Stripe zu bestimmten Weiterübermittlungen an die Stripe, Inc. (Vereinigte Staaten) oder an andere Stripe-Konzerngesellschaften außerhalb des EWR kommen. Soweit solche Übermittlungen stattfinden:

(a) stützt sich Stripe auf die von der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO erlassenen Standardvertragsklauseln; und, soweit anwendbar,
(b) ist die Stripe, Inc. unter dem EU–U.S. Data Privacy Framework oder dessen Nachfolgeinstrument zertifiziert; nähere Informationen hierzu veröffentlicht Stripe unter https://stripe.com/en-at/legal/data-privacy-framework.

8.3 PostHog und Grafana

Die PostHog Inc. und die Grafana Labs, Inc. sind in den Vereinigten Staaten errichtet, betreiben die Verarbeitung jedoch auf EWR-Infrastruktur. Für etwaige Zugriffe der Muttergesellschaft, die einer Übermittlung gleichkommen würden, gelten Standardvertragsklauseln.

8.4 Werbenetzwerke

Für die Übermittlung der Werbemessungsdaten an die in Abschnitt 7.3(d) genannten Werbenetzwerke, die für die Rechtmäßigkeit ihrer eigenen Weiterübermittlungen selbst einstehen, gilt Folgendes:

(a) Microsoft Advertising. Unsere Vertragspartnerin ist die Microsoft Ireland Operations Limited mit Sitz in Irland. Für Übermittlungen innerhalb der Microsoft-Unternehmensgruppe, einschließlich solcher in die Vereinigten Staaten, gilt der in Abschnitt 7.3(d) angeführte Datenschutzhinweis von Microsoft.

(b) Google Ads. Unsere Vertragspartnerin ist die Google Ireland Limited mit Sitz in Irland. Google ordnet die Übermittlung europäischer Daten an diese Gesellschaft nach seinen für eigenständig Verantwortliche geltenden Vertragsbedingungen als Übermittlung innerhalb des EWR ein, für die es keiner Standardvertragsklauseln bedarf. Für Weiterübermittlungen innerhalb der Google-Unternehmensgruppe steht Google als eigenständig Verantwortliche ein.

(c) Reddit Ads. Unsere Vertragspartnerin ist die Reddit Netherlands B.V. mit Sitz in den Niederlanden; die Verarbeitung der übermittelten Ereignisdaten findet bei der Reddit, Inc. in den Vereinigten Staaten statt. Reddit sichert für diese Übermittlung die Einhaltung des EU–U.S. Data Privacy Framework zu. Für den Fall, dass dieses nicht greift oder außer Kraft tritt, gelten zwischen uns und Reddit die von der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO erlassenen Standardvertragsklauseln als vereinbart.

8.5 Schrems-II-Bewusstsein

Wir sind uns der vom Gerichtshof der Europäischen Union in Schrems II (C-311/18) gesetzten Grenzen für Übermittlungen in Hoheitsgebiete bewusst, die geringere Schutzstandards bieten. Wir stützen uns auf die vorstehend genannten Sub-Auftragsverarbeiter, weil sie die nach Art. 46 DSGVO geforderten Garantien für etwaige Weiterübermittlungen bieten. Für die Übermittlungen nach Abschnitt 8.4 gilt diese Einschätzung nur eingeschränkt: Dort beschränkt sich unsere Einwirkungsmöglichkeit darauf, ob und unter welchen Voraussetzungen wir die Übermittlung überhaupt veranlassen.

9. Aufbewahrungsfristen

9.1 Allgemeine Grundsätze

Wir bewahren personenbezogene Daten nur so lange auf, wie dies für den Zweck, zu dem sie verarbeitet wurden, erforderlich ist, sofern nicht eine längere Aufbewahrungsfrist gesetzlich vorgeschrieben oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

9.2 Konkrete Aufbewahrungsfristen

Kategorie	Aufbewahrungsfrist
Kontodaten	Für die Dauer des Kontos; mit Kontobeendigung gelöscht (sofortige Hard-Deletion, ohne Kulanzfrist), vorbehaltlich der Ausnahme in Abschnitt 9.4
Telemetrie- und Diagnosedaten	365 Tage ab Erhebung
Währungs-Geolokalisierungsdaten	Keine Speicherung. Die IP-Adresse wird vorübergehend im Arbeitsspeicher verarbeitet, um das zugehörige Land zu ermitteln, und unmittelbar danach verworfen; sie wird zu diesem Zweck nicht aufbewahrt, nicht protokolliert und nicht mit Ihnen verknüpft
Beim Sub-Auftragsverarbeiter (PostHog) vorgehaltene Website-Analysedaten	1 Jahr ab Erhebung
Werbemessungsdaten bei Google Ads	90 Tage ab Erhebung
Werbemessungsdaten bei Microsoft Advertising und bei Reddit Ads	Von diesen Empfängern bestimmt; maßgeblich sind die in Abschnitt 7.3(d) angeführten Datenschutzhinweise
Ihre auf Ihrem Endgerät gespeicherte Entscheidung über die Cookie-Kategorien (Abschnitt 11.2)	1 Jahr ab der Entscheidung; danach fragen wir erneut
Weitere auf Ihrem Endgerät gespeicherte eigene Kennungen: die Kampagnenkennung (Abschnitt 11.3) und die vom Microsoft-Werbemess-Baustein in der Anwendung angelegte Kennung (Abschnitt 11.4.2)	Ohne zeitliche Begrenzung, bis Sie sie entfernen. Für diese Einträge ist derzeit weder ein Ablaufdatum noch eine automatische Löschung vorgesehen; Abschnitt 11.6 beschreibt, wie Sie sie entfernen
Von den Werbenetzwerken auf Ihrem Endgerät gesetzte Kennungen	Nach Maßgabe des jeweiligen Werbenetzwerks; siehe die in Abschnitt 7.3(d) angeführten Datenschutzhinweise
Feedback-Archive (Reddit, Microsoft-Store-Rezensionen, externe Kanäle)	3 Jahre ab dem Datum der zugrunde liegenden Kommunikation
E-Mail-Korrespondenz an veröffentlichten Kontaktadressen	3 Jahre ab Erhalt
Newsletter-Abonnement und Einwilligungsnachweis (ausgewählte Kategorien, Zeitstempel der Einwilligung und Änderung, Abmelde-Token)	Für die Dauer Ihres Kontos. Bei Abmeldung wird der Datensatz als Nachweis Ihrer Einwilligung und deren Widerrufs (Abschnitt 6.1, Zeile 19) aufbewahrt und mit Beendigung Ihres Kontos gelöscht
Newsletter-Zustellungsdatensätze (Versandprotokoll je Empfänger: Momentaufnahme von E-Mail und Locale, Zustellstatus, Zustellversuche, Versandzeitpunkt)	30 Tage ab dem Versand des betreffenden Newsletters; danach wird der Datensatz gelöscht oder anonymisiert
Abrechnungsdaten (Stripe-Kundenkennung, Abonnement- und Einmalkauf-Datensätze, Webhook-Ereignisregister, Transaktionshistorie)	7 Jahre ab Ende des Geschäftsjahres, in dem die zugrunde liegende Transaktion abgeschlossen wurde, gemäß § 132 BAO; siehe Abschnitt 9.4
Rechnungen	7 Jahre ab Ende des Geschäftsjahres, in dem die Rechnung ausgestellt wurde, gemäß § 132 BAO
Personenbezogene Daten, die nach anderem anwendbaren Recht aufbewahrt werden müssen (z. B. zu steuerlichen Zwecken oder Auditzwecken)	Für den nach diesem Recht vorgeschriebenen Zeitraum

9.3 Anonymisierung als Alternative zur Löschung

Können Telemetriedaten oder Website-Analysedaten im Sinne von Erwägungsgrund 26 DSGVO wirksam anonymisiert werden, können wir die daraus resultierenden nicht-personenbezogenen Daten zu statistischen Zwecken unbefristet aufbewahren.

9.4 Ausnahme für Abrechnungsdaten und gesetzliche Aufbewahrungspflichten

Die siebenjährige Aufbewahrungspflicht nach § 132 BAO stellt eine rechtliche Verpflichtung im Sinne von Art. 6 Abs. 1 lit. c DSGVO dar. Ungeachtet jeder anderen Regelung dieser Erklärung und ungeachtet einer Ausübung Ihres Rechts auf Löschung nach Art. 17 DSGVO werden Abrechnungsdaten und Rechnungen für den gesetzlichen Zeitraum aufbewahrt; im Anschluss werden sie gelöscht oder, soweit dies möglich ist, vollständig anonymisiert. Diese Ausnahme ist nach Art. 17 Abs. 3 lit. b DSGVO zulässig (Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung).

10. Ihre Rechte als betroffene Person

10.1 Auflistung der Rechte

Unter den in der DSGVO festgelegten Bedingungen und Ausnahmen stehen Ihnen die folgenden Rechte in Bezug auf Ihre personenbezogenen Daten zu:

(a) das Auskunftsrecht gemäß Art. 15 DSGVO;
(b) das Recht auf Berichtigung gemäß Art. 16 DSGVO;
(c) das Recht auf Löschung („Recht auf Vergessenwerden”) gemäß Art. 17 DSGVO, vorbehaltlich Abschnitt 9.4;
(d) das Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO;
(e) das Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO;
(f) das Widerspruchsrecht gegen eine Verarbeitung auf Grundlage berechtigter Interessen oder zu Zwecken der Direktwerbung gemäß Art. 21 DSGVO;
(g) das Recht, eine Einwilligung jederzeit gemäß Art. 7 Abs. 3 DSGVO zu widerrufen, ohne dass dadurch die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird; und
(h) das Recht auf Beschwerde bei einer Aufsichtsbehörde, wie in Abschnitt 19 näher beschrieben.

10.2 Ausübung

Zur Ausübung dieser Rechte wenden Sie sich bitte an uns unter privacy@noteastic.app. Wir antworten innerhalb der in Art. 12 Abs. 3 DSGVO festgelegten Fristen. Vor unserer Antwort können wir Informationen anfordern, die vernünftigerweise erforderlich sind, um Ihre Identität zu bestätigen.

10.3 Keine Gebühr

Wir erheben keine Gebühr für die Ausübung von Betroffenenrechten, sofern ein Antrag nicht offenkundig unbegründet oder exzessiv ist; in diesem Fall können wir gemäß Art. 12 Abs. 5 DSGVO eine angemessene Gebühr verlangen oder den Antrag ablehnen.

10.4 Löschung und gesetzliche Aufbewahrung

Das Recht auf Löschung nach Art. 17 DSGVO wird durch Art. 17 Abs. 3 lit. b DSGVO eingeschränkt, der jene Verarbeitungen aufrechterhält, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind, der der Verantwortliche unterliegt. Üben Sie Ihr Recht auf Löschung aus, gilt dementsprechend:

(a) Kontodaten, Telemetriedaten, Korrespondenzdaten, Feedback-Daten, Attributionsdaten und Ihnen zurechenbare Website-Analysedaten werden gemäß Abschnitt 9 gelöscht (oder anonymisiert);
(b) Abrechnungsdaten und Rechnungen werden für den nach § 132 BAO vorgeschriebenen Zeitraum aufbewahrt (siehe Abschnitt 9.4) und im Anschluss gelöscht.

10.5 Rechte gegenüber eigenständig Verantwortlichen

Soweit ein Dritter personenbezogene Daten als eigenständig Verantwortlicher verarbeitet (Abschnitt 7.3), können wir Ihre Rechte insoweit nicht an seiner Stelle erfüllen. Das betrifft namentlich die Werbemessungsdaten, welche die Werbenetzwerke unmittelbar von Ihrem Gerät empfangen. Für diese Daten richten Sie Ihr Anliegen bitte unmittelbar an den jeweiligen Empfänger; die dafür vorgesehenen Wege sind in den in Abschnitt 7.3(d) angeführten Datenschutzhinweisen beschrieben.

11. Cookies und ähnliche Technologien

11.1 Anwendung

Die Anwendung verwendet keine Cookies. Telemetriedaten werden über native Betriebssystem-Mechanismen erhoben und unterliegen Abschnitt 5.1(b) und Abschnitt 6.1. Haben Sie der Werbemessung in der Anwendung zugestimmt, legt der hierfür eingesetzte Baustein von Microsoft Kennungen auf Ihrem Gerät an; Abschnitt 11.4.2 beschreibt dies.

11.2 Website

Die Website verwendet Cookies und ähnliche Technologien in vier Kategorien. Über die drei einwilligungsbedürftigen Kategorien entscheiden Sie im Banner der Website getrennt voneinander; Sie können also einzelnen von ihnen zustimmen und die übrigen ablehnen.

(a) Notwendig — für den technischen Betrieb der Website erforderlich; hierzu zählt auch die Speicherung Ihrer Entscheidung über die übrigen Kategorien, damit wir Sie nicht bei jedem Besuch erneut fragen müssen. Diese Kategorie ist nicht abwählbar und wird ohne Einwilligung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO und der entsprechenden Ausnahme der ePrivacy-Richtlinie eingesetzt.

(b) Analyse — betrifft die Erhebung von Website-Analysedaten über PostHog (Abschnitt 5.1(f)). Die Erhebung beginnt bereits mit dem ersten Seitenaufruf und damit, bevor Sie entschieden haben; bis zu Ihrer Entscheidung sowie im Fall der Ablehnung erfolgt sie ohne Cookies und ohne dauerhafte Kennung auf Ihrem Gerät, gestützt auf Art. 6 Abs. 1 lit. f DSGVO (Abschnitt 6.5). Willigen Sie ein, wird sie mit Cookies fortgeführt; Rechtsgrundlage ist ab diesem Zeitpunkt Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und das entsprechende Einwilligungserfordernis nach der ePrivacy-Richtlinie.

(c) Werbemessung — betrifft die Werbekennungen, mit denen die Werbenetzwerke messen, welche unserer Anzeigen zu einem Besuch und zu einem Klick auf einen Verweis zum Microsoft Store geführt haben (Abschnitt 11.4.1). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und das entsprechende Einwilligungserfordernis nach der ePrivacy-Richtlinie, vorbehaltlich der in Abschnitt 11.4.3 beschriebenen Voreinstellungen.

(d) Personalisierte Werbung — erlaubt den Werbenetzwerken darüber hinaus, Sie anhand Ihres Besuchs in Werbe-Zielgruppen aufzunehmen und Ihnen Anzeigen personalisiert auszuliefern (Abschnitt 12.3). Diese Kategorie ist von der Werbemessung unabhängig wählbar: Sie können der Messung zustimmen und die Personalisierung ablehnen. Rechtsgrundlage und Vorbehalt entsprechen Buchstabe (c).

11.3 Kampagnenkennung

Die Kampagnenkennung (Abschnitt 5.1(l)) bezeichnet die Kampagne, über die Sie auf die Website gelangt sind, also deren Urheber, Quelle, Kanal und Bezeichnung. Sie enthält keine Angaben zu Ihrer Person und wird nicht zufällig erzeugt; sie ist für alle Besucher derselben Kampagne identisch und ermöglicht für sich genommen keine Wiedererkennung Ihrer Person.

Folgen Sie anschließend von der Website einem Verweis zum Microsoft Store, hängen wir die Kampagnenkennung an die aufgerufene Store-Adresse an; sie gelangt dadurch zu Microsoft.

Gespeichert wird die Kampagnenkennung nur, wenn Sie in die Kategorie Werbemessung eingewilligt haben (Abschnitt 11.2(c)). Willigen Sie erst nach dem Aufruf der Seite ein, wird sie in diesem Moment nachgetragen, solange Sie sich noch auf der Website befinden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Abschnitt 6.1, Zeile 23) und das entsprechende Einwilligungserfordernis nach der ePrivacy-Richtlinie. Abschnitt 11.6 beschreibt, wie Sie sie entfernen.

11.4 Werbemessung

Wir bewerben Noteastic bezahlt und messen, welche dieser Werbung zu Installationen und Käufen führt. Hierfür gelangen Werbemessungsdaten (Abschnitt 5.1(k)) unmittelbar von Ihrem Gerät zu den in Abschnitt 7.3(d) genannten Werbenetzwerken.

11.4.1 Auf der Website

Die Website bindet über einen Tag-Manager von Google die Werbe-Bausteine von Google Ads und von Reddit Ads ein. Als Erfolg gemessen wird Ihr Klick auf einen Verweis zum Microsoft Store; darüber hinaus melden die Bausteine den Aufruf einer Seite als solchen.

Liegt Ihre Einwilligung in die Werbemessung vor, dürfen die Werbenetzwerke dabei Werbekennungen auf Ihrem Gerät setzen und lesen und die Kennung eines vorangegangenen Anzeigenklicks auswerten. Haben Sie zusätzlich in die personalisierte Werbung eingewilligt, dürfen sie die so gewonnenen Daten überdies zu den in Abschnitt 12.3 beschriebenen Zwecken verwenden. Welche Verarbeitung daran anschließt, bestimmen die Werbenetzwerke als eigenständige Verantwortliche selbst (Abschnitt 7.3(d)).

Liegt Ihre Einwilligung nicht vor, gilt Abschnitt 11.4.3.

11.4.2 In der Anwendung

Die Anwendung übermittelt Werbemessungsdaten an Microsoft Advertising, wenn Sie dem in den Einstellungen der Anwendung zugestimmt haben. Die Funktion ist standardmäßig ausgeschaltet. Ohne Ihre Zustimmung wird der hierfür vorgesehene Baustein nicht in Betrieb genommen, und es wird nichts übermittelt.

Haben Sie zugestimmt, wird beim Start der Anwendung sowie beim Abschluss eines Pro-Plan-Kaufs eine Meldung an Microsoft Advertising gesendet; beim Kauf enthält sie zusätzlich den erworbenen Plan, den Kaufbetrag und die Währung. Der Baustein stammt von Microsoft und legt zur Wiedererkennung Ihres Geräts Kennungen darauf an. Welche Angaben er im Einzelnen überträgt und wie lange Microsoft sie vorhält, bestimmt Microsoft; maßgeblich ist der in Abschnitt 7.3(d) angeführte Datenschutzhinweis.

11.4.3 Einwilligungsmodus und regionale Voreinstellungen

Ihre Entscheidungen zu den Kategorien Werbemessung und Personalisierte Werbung werden den Google-Bausteinen als getrennte Signale übergeben (der „Einwilligungsmodus”). Solange keine Einwilligung in die Werbemessung vorliegt, werden nach unserer Konfiguration keine Werbekennungen auf Ihrem Gerät gesetzt oder gelesen, und die Kennung eines vorangegangenen Anzeigenklicks wird unterdrückt.

Die Google-Bausteine werden gleichwohl geladen. Dabei werden Ihre IP-Adresse, Ihre Browserkennung, der Referrer, die aufgerufene Adresse, der Zeitpunkt und der Stand Ihrer Einwilligungsentscheidung an Google übermittelt. Diese Übermittlung findet auch dann statt, wenn Sie abgelehnt haben; sie dient uns dazu, den Erfolg unserer Werbung wenigstens in zusammengefasster, geschätzter Form zu erkennen. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO (Abschnitt 6.5).

Der Baustein von Reddit Ads wird demgegenüber ohne Ihre Einwilligung nicht ausgeführt. Solange sie nicht vorliegt, empfängt Reddit von der Website keine Daten.

In den Vereinigten Staaten, in Kanada mit Ausnahme der Provinz Québec, in Australien, in Neuseeland und in Japan ist die Einwilligung voreingestellt erteilt, weil in diesen Märkten das Widerspruchsmodell die dort vorgesehene Gestaltung ist; dort werden die in Abschnitt 11.4.1 beschriebenen Werbekennungen bereits ab dem ersten Seitenaufruf gesetzt und gelesen. Das Banner wird auch in diesen Märkten angezeigt, und eine Ablehnung wirkt dort unmittelbar und in gleichem Umfang wie überall sonst. Sendet Ihr Browser ein Signal nach dem Global-Privacy-Control-Standard, greift die Voreinstellung nicht.

11.5 Bezahlvorgang Abonnement

Stripe Checkout, das im Rahmen des Abschlusses eines Pro-Plan-Abonnements verwendet wird, kann auf seiner gehosteten Checkout-Domain Cookies gemäß dem eigenen veröffentlichten Cookie-Hinweis von Stripe setzen. Diese Cookies werden weder von uns gesetzt noch unterliegen sie unserer Kontrolle.

11.6 Widerruf, Widerspruch und die Grenzen beider

11.6.1 Website

Über den Eintrag „Cookie-Einstellungen” im Fußbereich der Website können Sie das Banner jederzeit erneut aufrufen und Ihre Entscheidung für jede Kategorie einzeln ändern. Ein Widerruf wirkt ab dem Zeitpunkt, zu dem Sie ihn erklären; die Rechtmäßigkeit der bis dahin auf Ihre Einwilligung gestützten Verarbeitung bleibt unberührt. Unabhängig davon fragen wir nach einem Jahr erneut.

Damit Sie einschätzen können, was ein Widerruf leistet, benennen wir offen, was er nicht leistet:

(a) Bereits an die Werbenetzwerke übermittelte Daten können wir nicht zurückholen; über deren weitere Verarbeitung entscheiden diese als eigenständige Verantwortliche.
(b) Kennungen, die vor dem Widerruf auf Ihrem Gerät angelegt wurden, entfernen wir nicht von sich aus.
(c) Eine bereits gespeicherte Kampagnenkennung (Abschnitt 11.3) entfernen wir durch einen Widerruf nicht; künftig gespeichert wird sie danach jedoch nicht mehr.
(d) Die in Abschnitt 11.4.3 beschriebene Übermittlung an Google findet auch nach einer Ablehnung weiter statt.

Wirksam unterbinden können Sie die unter (b) bis (d) genannten Vorgänge deshalb nur auf Ihrem Gerät selbst: indem Sie die für die Website gespeicherten Daten in den Einstellungen Ihres Browsers löschen und die betreffenden Skripte oder Domains blockieren, etwa über die Schutzfunktionen Ihres Browsers oder eine entsprechende Erweiterung. Wir halten diesen Hinweis für ehrlicher als das Versprechen eines Widerspruchsweges, den wir technisch nicht einlösen könnten.

11.6.2 Anwendung

Die Werbemessung in der Anwendung können Sie in deren Einstellungen jederzeit ausschalten. Ab diesem Zeitpunkt wird nichts mehr an Microsoft Advertising übermittelt. Kennungen, die der Baustein von Microsoft zuvor auf Ihrem Gerät angelegt hat, werden dadurch nicht entfernt.

11.6.3 Widerspruch nach Art. 21 DSGVO

Gegen die Verarbeitungen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen, können Sie unter privacy@noteastic.app Widerspruch erheben (Abschnitt 6.5). Für Verarbeitungen, die an Ihr Konto anknüpfen, setzen wir einen Widerspruch unmittelbar um. Für die in den Abschnitten 11.3 und 11.4.3 beschriebenen Vorgänge auf der Website können wir dies nicht: Sie sind uns gegenüber dort nicht identifizierbar, sodass uns keine Kennung vorliegt, anhand derer wir Sie künftig ausnehmen könnten. Insoweit verweisen wir auf die in Abschnitt 11.6.1 beschriebenen Mittel auf Ihrem Gerät.

12. Automatisierte Entscheidungsfindung und Profiling

12.1 Keine Art.-22-Entscheidungen durch uns

Wir treffen Ihnen gegenüber keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen im Sinne von Art. 22 Abs. 1 DSGVO.

12.2 Stripe Radar

Im Rahmen der Zahlungsabwicklung betreibt Stripe das Betrugspräventionssystem Stripe Radar, das jeder Transaktion eine Risikobewertung zuordnet. Stripe kann Transaktionen auf Grundlage dieser Bewertung ablehnen. Wir kontrollieren die Bewertung nicht und treffen Entscheidungen über die Zahlungsannahme nicht allein auf deren Grundlage; lehnt Stripe eine Transaktion ab, können wir die Ablehnung in geeigneten Fällen prüfen und die Transaktion nach manueller Prüfung wieder einsetzen. Die Rolle von Stripe Radar wird in Abschnitt 7.3 näher beschrieben.

12.3 Profiling zu Werbezwecken

Liegt Ihre Einwilligung in die Kategorie Personalisierte Werbung vor (Abschnitt 11.2(d)) oder greift in Ihrem Markt die Voreinstellung nach Abschnitt 11.4.3, führen die Werbenetzwerke die von ihnen empfangenen Werbemessungsdaten mit den Profilen zusammen, die sie über Sie führen, und nutzen sie zur Bildung von Zielgruppen und zur personalisierten Auslieferung von Anzeigen. Dies ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Lehnen Sie diese Kategorie ab, während Sie der Werbemessung zustimmen, findet diese Zusammenführung nicht statt.

Es führt nicht zu einer Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO: Es bestimmt allein, welche Werbung Ihnen außerhalb der Dienste angezeigt wird, und wirkt sich weder auf Ihren Zugang zu den Diensten noch auf die Ihnen angebotenen Konditionen oder Preise aus. Wir selbst nehmen kein Profiling vor und erhalten von den Werbenetzwerken keine personenbezogenen Auswertungen, sondern zusammengefasste Kampagnenberichte.

13. Sicherheit

13.1 Technische und organisatorische Maßnahmen

Wir setzen geeignete technische und organisatorische Maßnahmen um, um personenbezogene Daten vor unbefugter oder unrechtmäßiger Verarbeitung, versehentlichem Verlust, Zerstörung oder Beschädigung zu schützen, unter Berücksichtigung der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der Risiken für natürliche Personen. Zu diesen Maßnahmen zählen:

(a) Hashing personenbezogener Daten, die zur Telemetrie-Attribution genutzt werden, soweit dies technisch möglich ist;
(b) Verschlüsselung während der Übertragung (TLS) für sämtliche Datenflüsse zwischen der Anwendung, der Backend-API und den Sub-Auftragsverarbeitern;
(c) Verschlüsselung im Ruhezustand für die Primärdatenbank und für Sicherungen;
(d) Beschränkung des Administratoren-Zugriffs auf Produktivsysteme über Microsoft Entra ID nach dem Prinzip der geringsten Rechte;
(e) Betrieb der Primärdatenbank in einem privaten Netzwerk ohne öffentliche Internet-Exposition;
(f) Funktionstrennung zwischen den Datenflüssen für Abonnement- bzw. Abrechnungsdaten und jenen für Kontodaten; und
(g) regelmäßige Überprüfung von Zugriffsprotokollen und Infrastruktur-Audit-Ereignissen.

13.2 Meldung von Verletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten benachrichtigen wir die zuständige Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntniserlangung gemäß Art. 33 DSGVO und benachrichtigen die betroffenen Personen unverzüglich, sofern die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat, gemäß Art. 34 DSGVO.

14. Feedback aus externen Kanälen

Wir verarbeiten personenbezogene Daten, die auf den folgenden Kanälen öffentlich verfügbar gemacht werden, zum Zweck der Berücksichtigung von nutzerseitig übermitteltem Feedback in der Weiterentwicklung der Anwendung:

(a) Reddit: Benutzernamen, Beitrags- oder Kommentarinhalte sowie Direktnachrichten, die Meinungen, Anliegen oder Feedback zu Noteastic zum Ausdruck bringen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen).

(b) E-Mail-Korrespondenz an veröffentlichten Kontaktadressen: wie in den Abschnitten 5.1(d) und 9.2 dargestellt.

(c) Microsoft-Store-Rezensionen: Rezensionsinhalt und Anzeigename des Rezensenten, soweit dieser in Partner Center sichtbar ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen).

Feedback-Daten werden in einer manuell geführten Tabellenkalkulation außerhalb der Konto-Umgebung archiviert und nicht mit den Kontodaten eines Nutzers verknüpft, sofern Sie sich nicht für diesen Zweck ausdrücklich zu erkennen geben.

15. Authentifizierung über Drittanbieter

Erstellen Sie Ihr Konto über Google OAuth oder Microsoft OAuth oder melden Sie sich darüber an, übermittelt der jeweilige Anbieter uns eine begrenzte Auswahl an Profilattributen (typischerweise E-Mail-Adresse, Vorname und Familienname) zum Zweck der Einrichtung Ihres Kontos. Wir empfangen diese Daten als Verantwortlicher und verarbeiten sie als Kontodaten; der Anbieter verarbeitet seinen eigenen Datenfluss als eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung.

16. Microsoft Store

Soweit im Zusammenhang mit dem Microsoft-Store-Vertrieb der Anwendung Datenflüsse von der Microsoft Corporation zu uns über Partner Center erfolgen (zum Beispiel aggregierte Akquisedaten, demografische Aggregate und Metadaten zu Absturzberichten), handelt Microsoft als eigenständige Verantwortliche, und wir verarbeiten die uns zur Verfügung gestellten Daten als Verantwortlicher zu den in Abschnitt 6 dargestellten Zwecken.

17. Änderungen dieser Erklärung

17.1 Änderungsrecht

Wir können diese Erklärung jederzeit ändern.

17.2 Ankündigung wesentlicher Änderungen

(a) Bei wesentlichen Änderungen kündigen wir die Änderung mindestens dreißig (30) Kalendertage im Voraus per E-Mail an die mit Ihrem Konto verbundene E-Mail-Adresse sowie, soweit praktikabel, durch einen Hinweis innerhalb der Anwendung an.
(b) Soweit die Rechtsgrundlage einer neuen Verarbeitungstätigkeit die Einwilligung ist, holen wir diese Einwilligung ein, bevor die neue Verarbeitung beginnt.

17.3 Nicht wesentliche Änderungen

Bei nicht wesentlichen Änderungen tritt die geänderte Erklärung mit ihrer Veröffentlichung in Kraft.

17.4 Stichtag

Der Stichtag der aktuellen Fassung ist im Kopf dieser Erklärung angegeben.

18. So erreichen Sie uns

In allen Angelegenheiten, die diese Erklärung betreffen, einschließlich der Ausübung Ihrer Rechte als betroffene Person, wenden Sie sich bitte an unseren Datenschutz-Kontakt unter privacy@noteastic.app oder schreiben Sie an:

Noteastic OG, Anton-Baumgartner-Straße 44, C8/1504, 1230 Wien, Österreich

19. Aufsichtsbehörde

Sie haben das Recht, gemäß Art. 77 DSGVO Beschwerde bei einer Aufsichtsbehörde zu erheben. Die für den Verantwortlichen zuständige Aufsichtsbehörde am Ort seiner Niederlassung ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien, Österreich
www.dsb.gv.at

Sind Sie in einem anderen Mitgliedstaat der Europäischen Union oder im Europäischen Wirtschaftsraum ansässig, können Sie wahlweise auch bei der Aufsichtsbehörde Ihres Wohnsitzstaats oder Ihres Arbeitsorts Beschwerde erheben.

20. Salvatorische Klausel und anwendbares Recht

(a) Sollte eine Bestimmung dieser Erklärung für unwirksam, nicht durchsetzbar oder nichtig erklärt werden, behalten die übrigen Bestimmungen ihre volle Gültigkeit und Wirksamkeit.
(b) Diese Erklärung unterliegt dem Recht der Republik Österreich, unbeschadet der Anwendung der DSGVO und sonstigen anwendbaren Unionsrechts sowie unbeschadet des Rechts betroffener Personen nach Art. 79 DSGVO, einen gerichtlichen Rechtsbehelf vor den Gerichten ihres gewöhnlichen Aufenthalts geltend zu machen.

Ende der Datenschutzerklärung.