Privacy.
Datenschutz.

1 · Verantwortlicher

Patrick Kaufmann

Einzelunternehmer · Kaufmann Installationen / ChainMandate

Aistgasse 19 · 1210 Wien · Österreich

office@installateur1210.at · +43 664 216 05 25

Eine gesonderte Datenschutzbeauftragten-Kontaktstelle ist nicht öffentlich benannt. Datenschutzanfragen sind an die oben angeführte E-Mail-Adresse zu richten.

2 · Website-Auslieferung und Sicherheit

Beim Aufruf der Website verarbeiten die Hosting-, CDN- und Sicherheitsinfrastruktur technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderten Pfad, Antwortstatus, User-Agent und einen vom Browser übermittelten Referrer. Zweck ist die Auslieferung, Absicherung, Missbrauchserkennung und Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und zuverlässigen Betrieb des Dienstes.

Die Daten werden nach den für Sicherheits- und Fehleranalyse erforderlichen Fristen der eingesetzten Infrastruktur gelöscht oder aggregiert. Vor einer kommerziellen Aktivierung werden Anbieter, Regionen und konkrete Log-Aufbewahrungsfristen im Verzeichnis der Verarbeitungstätigkeiten abschließend dokumentiert.

Bei einer Kontaktaufnahme per E-Mail oder Telefon werden die übermittelten Kontakt- und Inhaltsdaten zur Beantwortung, für angeforderte vorvertragliche Schritte und gegebenenfalls zur Rechtsverteidigung verarbeitet. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO. Die Daten werden gelöscht, sobald die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungs- oder überwiegenden Nachweisgründe mehr bestehen.

3 · Öffentliche Demos

Die Entscheidungs- und Netzwerkdemos senden die eingegebenen strukturierten Testwerte an gleich-originige Endpunkte, um die angeforderte Antwort zu berechnen. Sie legen kein Konto an, verbinden keine Wallet und speichern den JSON-Request-Body nicht in einer Anwendungsdatenbank. Technische Request-Metadaten können in Sicherheitslogs anfallen.

Keine personenbezogenen Daten, Wallet-Zuordnungen, Kundendaten, privaten Schlüssel, Seed-Phrases oder vertraulichen Transaktionsdaten eingeben. Die Demos sind unsigniert und besitzen keine Produktionsautorität.

4 · B2B-Checkout und Abrechnung – nur nach Aktivierung

Wenn der Builder-Checkout ausdrücklich aktiviert ist, verarbeitet ChainMandate für Vertragsanbahnung, Vertragserfüllung und Abrechnung Organisationsname, geschäftliche E-Mail-Adresse, ausgewählten Plan sowie Stripe-Kunden-, Checkout-Session- und Abonnementkennungen, Zahlungs- und Abonnementstatus und Zeitstempel. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO für Betrugsabwehr, Nachweis und sichere Bereitstellung.

Die Zahlung erfolgt auf einer von Stripe gehosteten Seite. Zahlungsinstrument-, Konto- oder vollständige Kartendaten werden direkt von Stripe verarbeitet und nicht in der ChainMandate-Datenbank gespeichert. Stripe kann Transaktions-, Geräte- und Verbindungsdaten einschließlich technisch erforderlicher Cookies für Zahlung, Authentifizierung und Betrugsprävention verarbeiten. Je nach Verarbeitung handelt Stripe als Auftragsverarbeiter und für eigene gesetzliche beziehungsweise sicherheitsbezogene Zwecke als eigener Verantwortlicher. Es gelten die Stripe-Datenschutzerklärung, das Stripe Data Processing Agreement und die dort beschriebenen Übermittlungsmechanismen.

5 · Tenant, API-Schlüssel und Service-Nutzung

Nach einem erfolgreich bestätigten B2B-Abonnement können Tenant-Kennung, Organisation, geschäftliche Kontaktadresse, Plan und Nutzungslimits verarbeitet werden. API- und Admin-Schlüssel werden logisch getrennt erzeugt, im Klartext nur beim kontrollierten Claim ausgegeben und serverseitig ausschließlich als kryptografische Hashwerte gespeichert.

Bei der Nutzung können Policies, erlaubte Wallet- und Instrumentkennungen, strukturierte Intents, Entscheidungen, Findings, Zeitstempel, Idempotenzkennungen, Verbrauchszähler und signierte beziehungsweise manipulationsnachweisbare Receipts in einem tenant-isolierten Audit-Verlauf gespeichert werden. Zweck ist die vertragliche Policy-Prüfung, Zugriffskontrolle, Missbrauchsabwehr, Abrechnung, Fehleranalyse und Nachweisführung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO sowie, soweit erforderlich, lit. c.

ChainMandate speichert keine privaten Wallet-Schlüssel und führt keine Transaktion aus. Kunden dürfen personenbezogene Daten in produktiven Intents nur nach dokumentierter Freigabe und – wenn ChainMandate insoweit Auftragsverarbeiter ist – nach Abschluss einer Vereinbarung gemäß Art. 28 DSGVO übermitteln. Bis dahin ist der Dienst ausschließlich mit nicht personenbezogenen Test- und Betriebsdaten zu verwenden.

6 · Webhooks und Nachweise

Zur idempotenten Verarbeitung von Stripe-Ereignissen speichert ChainMandate die Stripe-Event-ID, einen Hash des validierten Event-Payloads, Verarbeitungsstatus und Zeitstempel. Vollständige Webhook-Payloads werden nicht als eigener Datensatz archiviert. Claim-, API- und Admin-Geheimnisse werden nicht im Klartext gespeichert.

7 · Empfänger und Drittlandübermittlungen

Empfängerkategorien sind Hosting-, CDN-, Server-, Sicherheits- und technische Supportanbieter, Stripe als Zahlungsdienstleister, gegebenenfalls Steuerberatung, Buchhaltung und Rechtsberatung sowie Behörden bei gesetzlicher Verpflichtung. Zugriff erhalten nur Stellen, die ihn für den jeweiligen Zweck benötigen.

Einzelne Dienstleister können Daten außerhalb des EWR verarbeiten. Für Stripe können insbesondere das EU-US Data Privacy Framework und, soweit erforderlich, die Standardvertragsklauseln samt Data Transfers Addendum eingesetzt werden. Für weitere Infrastruktur wird vor kommerzieller Aktivierung geprüft und dokumentiert, ob eine Angemessenheitsentscheidung oder geeignete Garantien nach Art. 46 DSGVO bestehen.

8 · Speicherdauer

• Öffentliche Demo-Payloads: keine Speicherung in einer Anwendungsdatenbank.
• API- und Admin-Schlüssel: Klartext nur beim einmaligen Claim; danach nur Hash bis Rotation, Sperre oder Löschung des Tenants.
• Tenant-, Abonnement- und Auditdaten: für die Vertragsdauer und anschließend nur solange dies für Abwicklung, Sicherheit, vereinbarte Nachweisführung oder Rechtsansprüche erforderlich ist. Die konkrete Produktionsfrist wird im Auftrag festgelegt.
• Rechnungs- und steuerrelevante Unterlagen: grundsätzlich sieben Jahre ab Ende des maßgeblichen Kalenderjahres; bei anhängigen Verfahren länger, soweit gesetzlich erforderlich.
• Stripe-Daten: nach den gesetzlichen und vertraglichen Aufbewahrungskriterien von Stripe; Stripe weist darauf hin, dass bestimmte Zahlungsdaten regelmäßig fünf Jahre oder länger aufbewahrt werden können.

Der aktuelle Pilot besitzt keine Self-Service-Löschfunktion. Vor der Verarbeitung personenbezogener Produktionsdaten müssen die konkrete Audit-Retention und ein Lösch-/Exportprozess vertraglich festgelegt sein.

9 · Rechte und Beschwerde

Betroffene Personen haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine auf Einwilligung gestützte Verarbeitung kann mit Wirkung für die Zukunft widerrufen werden. Zur Ausübung genügt eine Nachricht an den Verantwortlichen; zur Vermeidung unbefugter Offenlegung kann ein Identitätsnachweis erforderlich sein.

Eine Beschwerde kann bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, eingebracht werden.

10 · Bereitstellung, Cookies und automatisierte Entscheidungen

Die Bereitstellung geschäftlicher Kontakt- und Abrechnungsdaten ist für einen Vertrag erforderlich; ohne sie kann kein Abonnement bereitgestellt werden. Die öffentliche Site verwendet keine Marketing-Cookies. Auf einer aktivierten Stripe-Checkout-Domain können technisch erforderliche Zahlungs-, Authentifizierungs- und Betrugspräventions-Cookies gesetzt werden.

Die öffentliche Demo und die API erzeugen deterministische technische Policy-Ergebnisse. ChainMandate trifft damit keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung über eine natürliche Person im Sinn des Art. 22 DSGVO. Ein Customer-Agent oder Customer-Signer darf ein Ergebnis nur innerhalb der eigenen, rechtmäßig eingerichteten Kontrollprozesse verwenden.

English summary

The controller is Patrick Kaufmann at the contact details above. The public Site processes necessary delivery and security metadata and does not persist demo request bodies in an application database. If commercial checkout is activated, Stripe hosts the payment page; ChainMandate stores business contact, subscription and Stripe reference identifiers but no complete card or bank details. Production intents must not contain personal data until retention and an Article 28 data-processing arrangement have been agreed where required. The German text above is the complete notice.