Diese Datenschutzhinweise informieren über Verarbeitungen, für die die ROARK GmbH selbst Verantwortliche ist: den Betrieb dieser Website, geschäftliche Kontakte sowie Vertrags- und Kundenverwaltung.
Für SaaS-Produkte gelten zusätzlich produktspezifische Datenschutzhinweise. Personenbezogene Inhalte, die Unternehmenskunden in einem SaaS für eigene Zwecke verarbeiten, fallen nicht unter diese Information; insoweit ist grundsätzlich der jeweilige Kunde Verantwortlicher und ROARK Auftragsverarbeiter.
Verantwortliche
ROARK GmbH
Bossigasse 24/8
1130 Wien
Österreich
Geschäftsführerin: Juliamarie Curto
Geschäftsführer: Marcello Curto
E-Mail: datenschutz@roark.at
Telefon: +43 660 375 8455
Weitere Unternehmensangaben finden Sie im Impressum.
Geltungsbereich und Rollen
| Verarbeitungskontext | Rolle von ROARK | Maßgebliche Information |
|---|---|---|
| Aufruf und Nutzung dieser Website | Verantwortliche gemäß Art. 4 Z 7 DSGVO | Diese Datenschutzhinweise |
| Anfragen, Geschäftskontakte, Vertragsanbahnung, Abrechnung und Kundenverwaltung | Verantwortliche gemäß Art. 4 Z 7 DSGVO | Diese Datenschutzhinweise |
| Von ROARK festgelegte Konto-, Zugriffs-, Support- und Sicherheitsverarbeitung eines SaaS | Verantwortliche gemäß Art. 4 Z 7 DSGVO | Datenschutzhinweis des jeweiligen Produkts |
| Vom Kunden bestimmte Inhalte und Fachdaten innerhalb eines SaaS | Auftragsverarbeiter gemäß Art. 28 DSGVO | Datenschutzhinweise des Kunden sowie der abgeschlossene AVV mit individueller Leistungsbeschreibung |
Für die Tender Intelligence Platform ist der produktspezifische Hinweis unter tenderintelligenceplatform.com/de/datenschutz abrufbar. Für andere SaaS-Leistungen ist der jeweilige Produkthinweis maßgeblich; diese allgemeine Information ersetzt ihn nicht.
Das öffentliche AVV-Muster ist allein nicht vollständig und wird nicht automatisch Vertragsbestandteil. Die individuelle Leistungsbeschreibung als Bestandteil des verbindlichen AVV bezeichnet insbesondere das konkrete Produkt und Deployment, Verarbeitungszwecke, Datenarten, betroffene Personen, tatsächlich eingesetzte Unterauftragsverarbeiter, Verarbeitungsregionen, Drittlandtransfers sowie Lösch- und Backupfristen.
Kategorien betroffener Personen und Daten
- Besucherinnen und Besucher dieser Website
- Ansprechpartnerinnen und Ansprechpartner von Interessenten, Kundinnen und Kunden sowie Partnern
Dabei können insbesondere folgende Datenkategorien verarbeitet werden:
- Stammdaten (z. B. Name, Unternehmen, berufliche Kontaktdaten)
- Kommunikationsdaten (z. B. E-Mail-Inhalte, Metadaten)
- Nutzungs- und Protokolldaten (z. B. IP-Adresse, Zeitpunkt, URL, User-Agent)
- Vertrags- und Abrechnungsdaten
Verarbeitungen, Zwecke, Rechtsgrundlagen und Speicherdauer
| Verarbeitung | Zweck | Datenkategorien | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|---|
| Bereitstellung der Website (Server-Logs) | Stabilität, Sicherheit, Missbrauchsabwehr und Fehleranalyse | IP-Adresse, URL, Zeitstempel, User-Agent, Referrer | Art. 6 Abs. 1 lit. f DSGVO | Von uns einsehbare Hosting-Protokolle werden abhängig vom Hosting-Tarif für höchstens 30 Tage bereitgestellt. Bei einem konkreten Sicherheitsvorfall können betroffene Protokolle bis zu dessen Aufklärung und, soweit erforderlich, bis zum Ablauf anwendbarer Verjährungsfristen gesichert werden. |
| Kommunikation per E-Mail oder Telefon | Bearbeitung von Anfragen, Vertragsanbahnung und Kundenbetreuung | Kontaktdaten, Kommunikationsinhalte, Metadaten | Art. 6 Abs. 1 lit. b DSGVO, wenn die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen anfragt; andernfalls Art. 6 Abs. 1 lit. f DSGVO | Bis zum Abschluss der Bearbeitung; danach nur, solange die Kommunikation für eine Geschäftsbeziehung, gesetzliche Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist |
| Geschäftskontakt und Vertragsverwaltung | Vertragsanbahnung, Verwaltung von Kunden- und Partnerbeziehungen, Leistungserbringung, Support und Abrechnung | Stamm-, Kontakt-, Kommunikations-, Vertrags- und Abrechnungsdaten | Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen anfragt; bei Beschäftigten und sonstigen Ansprechpartnern Art. 6 Abs. 1 lit. f DSGVO; für gesetzliche Pflichten Art. 6 Abs. 1 lit. c DSGVO | Für die Dauer der Geschäftsbeziehung; anschließend bis zur Erledigung offener Ansprüche. Abrechnungsrelevante Unterlagen werden grundsätzlich 7 Jahre ab Ende des maßgeblichen Kalenderjahres aufbewahrt. |
| Compliance, Rechtsdurchsetzung und Buchhaltung | Erfüllung gesetzlicher Pflichten sowie Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen | Vertrags-, Abrechnungs- und Kommunikationsdaten | Art. 6 Abs. 1 lit. c und lit. f DSGVO | Grundsätzlich 7 Jahre ab Ende des maßgeblichen Kalenderjahres für abrechnungsrelevante Unterlagen; bei einem Rechtsstreit bis zu dessen rechtskräftigem Abschluss beziehungsweise bis zum Ablauf der maßgeblichen Verjährungsfrist |
Kundeninhalte in SaaS-Produkten
Personenbezogene Inhalte, die unsere Kundinnen und Kunden innerhalb eines SaaS für eigene Zwecke verarbeiten, verwenden wir nicht für eigene Zwecke. Wir verarbeiten sie ausschließlich nach dokumentierter Weisung als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die jeweilige Kundin oder der jeweilige Kunde entscheidet über Zweck und Mittel dieser Verarbeitung und ist grundsätzlich dafür verantwortlich, betroffene Personen zu informieren, eine Rechtsgrundlage festzulegen und Betroffenenrechte zu bearbeiten.
Konto-, Zugriffs-, Support- und Sicherheitsdaten, deren Zwecke und Mittel ROARK selbst festlegt, sind davon getrennt. Für diese Daten ist ROARK Verantwortliche; Einzelheiten ergeben sich aus dem produktspezifischen Datenschutzhinweis.
Nach Ende der Auftragsverarbeitung löschen oder geben wir Kundeninhalte nach Maßgabe des abgeschlossenen AVV und der individuellen Leistungsbeschreibung zurück. Der dort dokumentierte Lösch- und Backupzyklus ist maßgeblich; eine allgemeine, produktunabhängige Frist wird nicht behauptet.
Unsere berechtigten Interessen
Soweit wir eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO stützen, verfolgen wir folgende berechtigte Interessen:
- sicherer, stabiler und missbrauchsresistenter Betrieb dieser Website und unserer Systeme
- Erkennung und Behebung technischer Fehler
- effiziente Bearbeitung geschäftlicher Anfragen und verlässliche Kommunikation mit Ansprechpartnerinnen und Ansprechpartnern
- Verwaltung von Geschäftsbeziehungen und Bereitstellung vereinbarter Leistungen gegenüber Unternehmenskunden, einschließlich der Kommunikation mit deren Beschäftigten und sonstigen Ansprechpartnern
- Dokumentation geschäftlicher Vorgänge sowie Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen
Wir berücksichtigen dabei Art, Umfang und Auswirkungen der Verarbeitung sowie die vernünftigen Erwartungen der betroffenen Personen. Gegen diese Verarbeitungen können Sie nach Art. 21 DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen.
Herkunft der Daten
Wir erhalten personenbezogene Daten überwiegend unmittelbar von Ihnen, etwa wenn Sie uns kontaktieren oder als Ansprechperson auftreten.
Soweit wir Daten nicht unmittelbar bei Ihnen erheben, erhalten wir berufliche Kontaktdaten in der Regel von dem Unternehmen oder der Organisation, für die Sie tätig sind, oder von einem an der jeweiligen Geschäftsbeziehung beteiligten Vertrags- oder Projektpartner. Die Quellen produktspezifischer Konto- und Sicherheitsdaten werden im jeweiligen Produkthinweis beschrieben.
Pflicht zur Bereitstellung von Daten
- Die bei einem Websiteaufruf anfallenden Request- und Protokolldaten sind technisch erforderlich. Ohne ihre Verarbeitung kann die Website nicht ausgeliefert und geschützt werden.
- Angaben im Rahmen einer Anfrage sind freiwillig. Ohne die für eine Antwort erforderlichen Kontakt- und Inhaltsdaten können wir die Anfrage jedoch nicht bearbeiten.
- Vertrags- und Abrechnungsdaten sind erforderlich, soweit sie für den Abschluss oder die Durchführung eines Vertrags oder zur Erfüllung gesetzlicher Pflichten benötigt werden. Ohne diese Daten können wir den Vertrag gegebenenfalls nicht abschließen, die Leistung nicht erbringen oder nicht abrechnen.
Cookies
Diese Website setzt keine Cookies. Die Sprache ergibt sich ausschließlich aus der aufgerufenen URL.
Empfänger und Auftragsverarbeiter
Für die von dieser Information erfassten Website- und Kommunikationsverarbeitungen nutzen wir folgende Dienstleister. Die Tabelle ist ausdrücklich keine produktübergreifende SaaS-Unterauftragsverarbeiterliste. Tatsächlich eingesetzte SaaS-Unterauftragsverarbeiter und Regionen werden produktspezifisch offengelegt. Mit allen vertraglich erforderlichen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.
| Anbieter | Zweck | Datenkategorien | Rolle | Ort der Verarbeitung | Drittlandübermittlung / Schutzmechanismus | Aufbewahrung | AVV / DPA |
|---|---|---|---|---|---|---|---|
| bunny.net | Web-Hosting-, DNS- und Edge-Delivery-Services | Request- und Protokolldaten, DNS-Anfragen und technische Metadaten | Auftragsverarbeiter | EU und globale Edge-Standorte nach Routing | SCC und vertragliche Garantien gemäß Anbieterbedingungen | Nach Anbieter- und Projektkonfiguration | Ja |
| Migadu | E-Mail-Services | E-Mail-Inhalte und Metadaten, Kontaktdaten | Auftragsverarbeiter | Frankreich (Mail-Rechenzentren); Unternehmenssitz des Anbieters in der Schweiz | Speicherung der Maildaten in der EU; soweit ein Zugriff oder eine Übermittlung in die Schweiz erfolgt, gilt der Angemessenheitsbeschluss der EU-Kommission | Nach Mailbox-Konfiguration; nach Vertragsende löscht Migadu personenbezogene Daten grundsätzlich innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht oder ein besonderer Grund entgegensteht | Ja |
ROARK unterhält außerdem direkte Vertragsbeziehungen mit Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform (GCP) für Cloud-Leistungen. Diese Anbieter sind in unserer Vertragskette daher nicht lediglich Unterauftragsverarbeiter von Vercel. Ob und in welchem Umfang einer dieser Anbieter in einem konkreten SaaS-Deployment personenbezogene Daten verarbeitet, ergibt sich ausschließlich aus dem jeweiligen Produkthinweis und der individuellen Leistungsbeschreibung zum AVV. Eine direkte Vertragsbeziehung allein bedeutet nicht, dass der Anbieter bei jedem Produkt eingesetzt wird.
Soweit ROARK Convex für ein SaaS-Deployment einsetzt, befindet sich das Deployment in der Convex-Region EU West. Die Region US East wird für diese Verarbeitung nicht verwendet. Der jeweilige Produkthinweis und die individuelle Leistungsbeschreibung weisen aus, ob Convex für das konkrete Produkt eingesetzt wird.
Datenfluss in unserer Infrastruktur
- bunny.net liefert diese Website über globale Edge-Standorte aus und erhält beim Abruf technisch erforderliche Request- und Protokolldaten.
- bunny.net stellt die autoritativen DNS-Dienste für die Domain bereit; DNS-Anfragen können über globale Edge-Standorte geleitet werden.
- Migadu verarbeitet E-Mail-Inhalte und Metadaten in Mail-Rechenzentren in Frankreich, wenn Sie uns per E-Mail kontaktieren. Der Unternehmenssitz von Migadu befindet sich davon getrennt in der Schweiz.
- AWS, Azure und GCP können in SaaS-Deployments direkt durch ROARK eingesetzt werden; der konkrete Datenfluss und die Regionen werden produkt- und bereitstellungsspezifisch dokumentiert.
- Convex wird, soweit für ein Produkt eingesetzt, in der Region EU West betrieben.
Unterauftragsverarbeiter
Die jeweils aktuellen Unterauftragsverarbeiter der oben genannten Anbieter ergeben sich aus deren offiziellen Subprocessor- bzw. Privacy-Seiten. Änderungen an einer SaaS-Unterauftragsverarbeiterliste werden nach dem Mechanismus des jeweiligen AVV angekündigt; eine Änderung der allgemeinen Website-Dienstleisterliste ersetzt diese vertragliche Mitteilung nicht.
Soweit eine Drittlandübermittlung auf Standardvertragsklauseln oder anderen geeigneten Garantien beruht, können Sie unter datenschutz@roark.at Informationen zum anwendbaren Transfermechanismus und eine Kopie der maßgeblichen Garantien anfordern. Zum Schutz von Geschäftsgeheimnissen und Sicherheitsinformationen können nicht erforderliche Inhalte geschwärzt werden.
Weitergabe an weitere Empfänger
Eine darüber hinausgehende Weitergabe erfolgt nur,
- wenn sie gesetzlich zulässig ist,
- wenn sie zur Vertragserfüllung erforderlich ist,
- wenn wir rechtlich dazu verpflichtet sind oder
- wenn Sie eingewilligt haben.
Speicherdauer und Löschung
Wir speichern personenbezogene Daten bis zum Ablauf der in der Verarbeitungstabelle genannten Frist oder bis das dort beschriebene Löschkriterium eintritt. Gilt für einen Datensatz mehr als eine Frist, löschen oder anonymisieren wir ihn, sobald die letzte maßgebliche Frist abgelaufen ist, sofern keine gesetzliche Aufbewahrungspflicht oder erforderliche Sicherung für einen konkreten Rechtsstreit entgegensteht.
Relevante gesetzliche Fristen in Österreich können insbesondere aus BAO und UGB folgen (regelmäßig 7 Jahre für abrechnungsrelevante Unterlagen).
Datensicherheit
Wir treffen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um personenbezogene Daten vor Verlust, Manipulation und unbefugtem Zugriff zu schützen.
Ihre Rechte
Sie haben nach der DSGVO insbesondere das Recht auf
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter datenschutz@roark.at.
Beschwerderecht bei der Aufsichtsbehörde
Sie haben das Recht, eine Beschwerde bei einer Datenschutzaufsichtsbehörde einzubringen. In Österreich ist zuständig:
Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien
Website: https://www.dsb.gv.at/
E-Mail: dsb@dsb.gv.at
Aktualisierung dieser Datenschutzhinweise
Wir passen diese Datenschutzhinweise an, wenn sich Verarbeitungen, rechtliche Anforderungen oder eingesetzte Dienstleister wesentlich ändern.