Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO ist:

Name

Fabian Georg Schirgi, Einzelunternehmen (setnest)

Anschrift

Heislegasse 18, 6532 Ladis, Österreich

E-Mail

office@fabianschirgi.com

Telefon

+43 660 3436775

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt. Für alle Anliegen zum Datenschutz ist die oben genannte Adresse zuständig.

2. Zwei Rollen: eigene Daten und Projektinhalte

setnest verarbeitet zwei sehr unterschiedliche Arten von Daten, und die Rolle des Betreibers ist dabei jeweils eine andere:

• Konto- und Vertragsdaten (Name, E-Mail, Passwort-Hash, Lizenz- und Rechnungsdaten) sowie technische Protokolle, die wir für eigene Betriebs- und Sicherheitszwecke führen: Hier ist der Betreiber Verantwortlicher. Für diese Verarbeitung gilt die vorliegende Erklärung unmittelbar.
• Projektinhalte (alles, was Nutzerinnen und Nutzer in ihre Projekte eintragen — Crew- und Cast-Kontakte, Telefonnummern, Gagen, Notizen, Bilder, Drehorte, Dispositionen, Freigaben, dazu projektbezogene Aktivitätsdaten wie der Änderungsverlauf): Hier ist der Betreiber Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlich ist in der Regel die Produktion oder das Unternehmen, für das das Projekt geführt wird; Beschäftigte und andere Mitwirkende, die Daten eintragen, handeln dabei für diese Stelle und werden dadurch nicht selbst Verantwortliche. Arbeitet unser Vertragspartner seinerseits im Auftrag eines anderen, etwa eine Agentur für ihre Auftraggeberin, ist setnest weiterer Auftragsverarbeiter. Informationen über den Zweck einer konkreten Produktion erhältst du von der verantwortlichen Stelle; wir unterstützen sie bei der Bearbeitung deiner Rechte.

Für die Projektinhalte gilt der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Er wird als Anlage 1 zu den AGB mit dem Vertragsschluss geschlossen und ist dauerhaft unter setnest.app/avv abrufbar.

3. Welche Daten wir wozu verarbeiten

Die Bereitstellung von Name, E-Mail-Adresse und Passwort ist für den Vertragsschluss erforderlich. Ohne diese Angaben kann kein Konto angelegt und der Dienst nicht genutzt werden. Alle weiteren Angaben sind freiwillig.

4. Projektinhalte und Daten Dritter

In setnest werden regelmäßig Daten von Personen erfasst, die selbst kein Konto haben — insbesondere Crew und Cast. Dazu können gehören: Name, Funktion, Telefonnummer, E-Mail-Adresse, Tagesgage, Verfügbarkeiten, Porträtfotos, Unterschriften auf Übergabescheinen und Freigaben sowie freie Notizfelder.

Für solche Daten ist die Produktion bzw. das Unternehmen verantwortlich, für das das Projekt geführt wird (siehe Punkt 2). Diese Stelle braucht eine Rechtsgrundlage dafür, und die betroffenen Personen müssen insbesondere nach Art. 13 oder 14 DSGVO über die Verarbeitung informiert werden. Bitte trage in Freitextfelder keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO ein (z. B. Gesundheitsangaben), wenn dafür keine Rechtsgrundlage besteht. Sichtbarkeit und Bearbeitungsmöglichkeiten innerhalb eines Projekts hängen von der eingeräumten Rolle ab.

Private Notizen. Zeilenkommentare im Drehbuch lassen sich auf „Nur ich" stellen. Sie werden dann anderen Projektmitgliedern nicht angezeigt. Sie sind dennoch auf unserem Server gespeichert und in den Sicherungen enthalten; „privat" bedeutet eingeschränkte Sichtbarkeit in der Anwendung, keine Ende-zu-Ende-Verschlüsselung.

Öffentliche Links. Einige Funktionen erzeugen Links, die ohne Anmeldung abrufbar sind — etwa die Tagesdisposition zur Bestätigung durch die Crew, Leselinks für Drehplan und Herstellungsplan, Verfügbarkeitsanfragen, die Kundenfreigabe, Freigaben am Set, Kalender-Abos oder ein öffentliches Verleih-Widget. Wer einen solchen Link besitzt, sieht die dort enthaltenen Daten; bei der Tagesdisposition sind das unter anderem Namen, Funktionen und Telefonnummern der Crew. Ab 12 Uhr des Folgetags zeigt der Link der Tagesdisposition diese persönlichen Angaben nicht mehr. Bei einem Kalender-Abo ruft der von dir gewählte Kalenderdienst die freigegebenen Termine regelmäßig über den Abo-Link ab. Die Produktion entscheidet über Inhalt und Empfängerkreis. Bitte gib diese Links nur an den vorgesehenen Empfängerkreis weiter und widerrufe nicht mehr benötigte Links und Abos.

Kundenfreigaben. Bei Kundenfreigaben werden die von der einladenden Stelle hinterlegten oder von dir eingegebenen Namen und gegebenenfalls E-Mail-Adressen, deine Zuordnung und Rolle, Kommentare, Markierungen, Einschätzungen, Entscheidungen mit Zeitpunkt und Bestätigungsmethode sowie die zugehörigen Inhaltsstände verarbeitet. E-Mail-Adressen können auch für Einladungen, projektbezogene Nachrichten, Erinnerungen und Protokolle verwendet werden. Zusätzlich werden erster und letzter Aufrufzeitpunkt des verwendeten Zugangs vermerkt. Diese Vermerke belegen nicht, welche Person Inhalte tatsächlich gelesen hat. Innerhalb derselben Prüfstufe können andere Beteiligte deinen Namen, deine Kommentare und deine Entscheidung sehen. Berechtigte Projektmitglieder haben entsprechend ihren Zugriffsrechten Zugang zu den Freigabedaten. Die technische Verarbeitung von IP-Adressen und Browserangaben für Betrieb, Sicherheit und Fehlerbehebung ist gesondert in dieser Datenschutzerklärung beschrieben (Punkt 3).

Für projektbezogene Freigabeinhalte verarbeiten wir Daten im Auftrag innerhalb der vereinbarten Auftragskette. Den tatsächlich Verantwortlichen, seinen Kontakt und die für die konkrete Freigabe geltenden Informationen findest du bei der Einladung und auf der Freigabeseite. Für gesondert beschriebene eigene Betriebszwecke gelten die dort genannten Rollen und Rechtsgrundlagen. Links laufen zum angezeigten Datum ab, können verlängert oder widerrufen werden. Das beendet nicht automatisch die Speicherung der Freigabedokumentation.

Verleih-Widget. Ein auf einer fremden Website eingebettetes Verleih-Widget übermittelt Eingaben wie Name, Kontaktdaten und Wunschliste über setnest an die Vermietung, die das Widget betreibt. Für diese Anfrage ist regelmäßig die Vermietung verantwortlich; setnest übernimmt die technische Auslieferung.

Hochgeladene Dateien (Bilder, Dokumente, Unterschriften, Videos) liegen in einem privaten Objektspeicher bei Hetzner in Deutschland (siehe Punkt 5), bis zum vollständigen Umzug teils noch auf der Festplatte unseres Servers, jeweils unter zufällig erzeugten Namen. Sie sind nicht frei über das Internet abrufbar: Jeder Abruf läuft über unsere Anwendung und setzt eine gültige Anmeldung voraus. Ausnahmen sind die öffentlichen Links oben — dort prüfen wir statt der Anmeldung den Freigabe-Token und liefern nur Dateien aus, die zu genau dieser Freigabe gehören.

5. Hosting, Sicherung, Zahlung und E-Mail

Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Für den Betrieb sind die folgenden Dienstleister eingebunden:

E-Mail-Versand. Alle E-Mails (Einladungen, Freigaben, Erinnerungen, Verfügbarkeitsanfragen, Passwort-Zurücksetzen, Tagesdispo-Versand, Wetter-Mail am Vortag) werden über einen eigenen Mailserver auf derselben Infrastruktur an die Mailserver der Empfänger zugestellt. Ein externer Mailversanddienstleister kommt nicht zum Einsatz. Wohin der Mailserver der Empfängerin oder des Empfängers die Nachricht danach speichert, liegt bei deren Maildienst. Nachrichten, deren Versand eine Produktion auslöst, werden in ihrem Auftrag an die ausgewählten Empfänger übermittelt.

Wetter-Mail am Vortag. Auf Wunsch schicken wir am Vorabend eines Drehtags, zwischen 18 und 22 Uhr Ortszeit des Drehorts, eine E-Mail mit Wetter, Wolken, Wind und Sonnenzeiten je Motiv, Hinweisen zum Geländeschatten und einem Link zur Tagesdisposition. Eingeschaltet wird sie je Person und Projekt: Projektmitglieder mit Konto schalten sie in der Anwendung ein. Personen aus dem Tagesteam ohne Konto schalten sie auf ihrem persönlichen Dispo-Link ein; über den gemeinsamen Dispo-Link erst durch Klick auf einen Bestätigungslink, den wir an die bei der Produktion hinterlegte Adresse schicken und der 48 Stunden gültig ist. Gespeichert wird der Zeitpunkt der Einwilligung. Jede Wetter-Mail enthält einen signierten Link „Abbestellen“, der ohne Anmeldung wirkt; danach löschen wir den Einwilligungszeitpunkt und verschicken keine weitere Wetter-Mail. Die Wetterwerte rufen wir bei MET Norway ab (Punkt 6); an den Anbieter gehen dabei nur die Koordinaten des Drehorts, keine Angaben zu dir. Bei Personen ohne Konto gehören Name und Adresse zu den Projektinhalten der Produktion (Punkt 2); die Einwilligung zur Wetter-Mail gibst du selbst.

Darüber hinaus können Steuerberatung, Behörden und Gerichte die für ihre jeweilige Aufgabe erforderlichen Vertrags- und Abrechnungsdaten erhalten. Projektinhalte werden dafür nicht pauschal weitergegeben.

6. Karten, Gelände, Ortssuche und Wetter

Die folgenden Abrufe stellt unser Server, nicht dein Browser. Die Anbieter sehen dabei die IP-Adresse unseres Servers, nicht deine. Auch ohne Namen oder Konto können Koordinaten und Adressen je nach Zusammenhang auf Personen beziehbar sein. Übermittle über die Ortssuche deshalb keine vertraulichen Personenangaben oder geheimen Drehortinformationen.

Dein Standort. „Meinen Standort verwenden" fragt deinen Standort nur auf Klick und nur mit der Freigabe deines Browsers ab; die Koordinaten gehen an unseren Server. In einem Projekt wird der Standort ausschließlich als Koordinate des Drehorts gespeichert, den du damit setzt. Im „Sonnenstand" (ohne Projekt) dient er nur dazu, Zeitzone und Geländeprofil zu bestimmen; an Nominatim geht er dabei nicht. Gespeichert wird nur ein Geländeprofil für ein rund 45 m großes Rasterfeld, ohne Bezug zu deinem Konto. Die Liste „Zuletzt" liegt nur in deinem Browser und enthält deinen Standort nie. Die Freigabe kannst du im Browser jederzeit entziehen und stattdessen einen Ort eingeben.

Sonnenstand und Zeitzone werden auf unserem Server bzw. in deinem Browser berechnet; dafür geht nichts an Dritte.

7. Link-Vorschau, externe Medien und Navigation

Link-Vorschau. Fügst du in ein Board einen Link ein, ruft unser Server die angegebene Adresse auf, um Titel und Vorschaubild zu lesen. Der Zielserver erhält dabei die vollständige Adresse und die IP-Adresse unseres Servers. Eine Adresse kann selbst vertrauliche Kennungen enthalten — füge keine geheimen Freigabelinks ein, wenn deren Weitergabe nicht beabsichtigt ist.

Externe Bilder in Boards. Vorschaubilder von Link-Karten und Bilder, die über eine externe Adresse in ein Board eingebunden sind, holt unser Server vom fremden Server und liefert sie selbst aus. Der fremde Server erhält dabei die Bildadresse und die IP-Adresse unseres Servers, nicht deine. Die Bilder werden bis zu 7 Tage auf unserem Server zwischengespeichert.

Externe Audio- und Videodateien in Boards. Sie werden erst geladen, wenn du auf „Von … laden" klickst; die Karte nennt dabei den fremden Server. Erst dann lädt dein Browser die Datei direkt von dort, und der Anbieter erhält insbesondere deine IP-Adresse und Browserangaben. Anbieter und Standort hängen von der eingebundenen Adresse ab und können auch außerhalb der EU liegen. Die Freigabe gilt je Server und nur bis zum Schließen des Browser-Tabs.

YouTube-Videos in Boards. Die Link-Karte eines YouTube-Videos zeigt zunächst nur Titel und Vorschaubild, beides über unseren Server. Das Video selbst wird erst geladen, wenn du auf „Abspielen" klickst, und zwar im erweiterten Datenschutzmodus von YouTube (youtube-nocookie.com). Dann erhält Google Ireland Limited insbesondere deine IP-Adresse, Browserangaben und die Herkunft (Domain) von setnest. Ohne deinen Klick findet keine Übertragung an YouTube statt.

Navigation. Links zu Google Maps, Apple Maps oder anderen Kartenanwendungen öffnen sich erst durch deinen Klick. Der gewählte Dienst erhält dann die im Link enthaltene Adresse bzw. die Koordinaten und gegebenenfalls den Motivnamen sowie deine Verbindungsdaten.

8. KI-Erweiterung

Die optionale KI-Erweiterung ist derzeit abgeschaltet. Über setnest werden deshalb keine Inhalte an KI-Anbieter (Anthropic, OpenAI, Google oder Mistral) übermittelt. Vor einer Einschaltung wird diese Erklärung um Anbieter, Datenarten, Zwecke und Übermittlungsbedingungen ergänzt.

Bereits früher hinterlegte API-Schlüssel können bis zu ihrer Löschung verschlüsselt gespeichert sein. Sie werden bei abgeschalteter Erweiterung nicht für Anbieteranfragen verwendet. Löschanfragen können an office@fabianschirgi.com gerichtet werden.

9. Übermittlung in Drittländer

Der Server, auf dem setnest mit Datenbank und Dateien läuft, steht in Frankfurt am Main (Deutschland). Die ausgelagerten Sicherungen liegen bei Microsoft (OneDrive for Business) laut der für unseren Zugang zugesicherten Geografie im Ruhezustand in der EU/EFTA (Stand 30. September 2026). Zugriffe von Microsoft-Gesellschaften außerhalb der EU, etwa im Rahmen von Support, können nach Microsofts eigenen Bedingungen nicht vollständig ausgeschlossen werden. Auch der Zahlungsdienstleister Stripe kann Daten innerhalb seiner Unternehmensgruppe übermitteln.

Nominatim (Vereinigtes Königreich) sitzt in einem Staat, für den ein Angemessenheitsbeschluss der Europäischen Kommission besteht; MET Norway (Norwegen) gehört zum Europäischen Wirtschaftsraum. Bei der Link-Vorschau, bei externen Bildern und bei Audio- oder Videodateien, die du in einem Board zum Laden freigibst, hängt das Zielland von der eingegebenen Adresse ab (siehe Punkt 7).

Informationen zu den für eine konkrete Übermittlung geltenden Garantien nach Art. 44 ff. DSGVO und, soweit vorhanden, eine Kopie davon erhältst du über die oben genannte Kontaktadresse.

10. Speicherdauer

• Konto- und Projektdaten: bis zur Löschung des Kontos beziehungsweise bis zur Löschung durch die Nutzerin oder den Nutzer, soweit einzelne Daten nicht wegen gesetzlicher Pflichten länger aufbewahrt werden müssen. Für Projektinhalte gelten die Weisungen der Produktion und der AVV.
• Kontolöschung: Eigene Projekte mit weiteren Mitwirkenden müssen vor der Kontolöschung an ein bestehendes Mitglied übergeben werden. Eigene Projekte ohne weitere Mitwirkende werden mit dem Konto sofort endgültig gelöscht — dafür gibt es keinen Papierkorb. Beiträge in fremden Projekten bleiben bestehen, erscheinen aber als „Gelöschter Nutzer"; private Notizen werden gelöscht. Bitte exportiere benötigte Inhalte vorher.
• Projekt- und Addon-Einladungen: Nicht angenommene Einladungen einschließlich der eingeladenen E-Mail-Adresse werden 90 Tage nach Ablauf ihrer Gültigkeit endgültig gelöscht. Einladungen sind 14 Tage gültig.
• Sitzungs-/Refresh-Tokens: 30 Tage ab der letzten Nutzung, danach automatischer Ablauf.
• Bestätigung der E-Mail-Adresse: Nach der Registrierung senden wir eine E-Mail mit einem Bestätigungslink, um sicherzustellen, dass die angegebene Adresse tatsächlich zum Konto gehört (Vertragserfüllung und Missbrauchsvermeidung, Art. 6 Abs. 1 lit. b und f DSGVO); der zugehörige Token wird nur als Hash gespeichert, ist 48 Stunden gültig und wird bei jeder erneuten Zusendung überschrieben.
• Aktivitätsverlauf und Benachrichtigungen: Der Verlauf, wer in einem Projekt wann was geändert hat, wird ein Jahr (365 Tage) aufbewahrt. Benachrichtigungen werden gelöscht, sobald sie 90 Tage gelesen sind, spätestens jedoch nach einem Jahr (365 Tage). Beides entfernt ein täglich laufender Prozess automatisch; die Inhalte selbst — Projekte, Dokumente, Kontakte — sind davon nicht betroffen. Der Rückblick auf frühere Stände von Drehplan, Tagesdisposition und Budget, einschließlich des Namens der Person, die eine Änderung vorgenommen hat, wird ebenfalls ein Jahr aufbewahrt; ab dem 30. Tag bleibt je Ansicht und Tag nur ein Stand erhalten. In gespeicherten Fassungen der Tagesdisposition entfernt derselbe Prozess Telefonnummern und E-Mail-Adressen ab 12 Uhr des Folgetags.
• Prüfspur der Plattform-Verwaltung: drei Jahre ab dem Eintrag; danach entfernt sie ein täglich laufender Prozess automatisch. Einträge bleiben bis zum Ablauf dieser Frist auch dann erhalten, wenn ein betroffenes Konto gelöscht wird.
• Wetter-Mail: Der Einwilligungszeitpunkt bleibt gespeichert, bis du die Wetter-Mail abbestellst oder abschaltest. Versandvermerke bleiben bis zur Löschung des Drehtags oder Projekts bestehen.
• IP-Adressen im Missbrauchsschutz: nur flüchtig im Arbeitsspeicher für die Dauer eines kurzen Zeitfensters, keine dauerhafte Speicherung.
• Betriebsprotokolle: Die Protokolle der Server-Dienste, einschließlich der Fehlermeldungen aus dem Browser, werden nach Größe rotiert (je Dienst höchstens fünf Dateien zu 10 MB) und dabei überschrieben. Eine feste Frist in Tagen ergibt sich daraus nicht; wie lange ein Eintrag erhalten bleibt, hängt vom Aufkommen ab. Wiederkehrende Fehlerbilder werden zusätzlich gekürzt und ohne Adressen in einem Fehlerspeicher geführt und 30 Tage nach ihrem letzten Auftreten gelöscht.
• Rechnungen und Zahlungsbelege: sieben Jahre gemäß § 132 Bundesabgabenordnung. Diese Aufbewahrungspflicht geht einem Löschverlangen vor.
• Gelöschte Projekte und Inhalte: Wird ein Projekt, ein Dokument (Drehbuch/Notiz), Board, Kommentar, eine Szene, ein Shot, Kontakt, Drehtag, Motiv, eine Aufgabe, ein Budgetposten, eine Budgetkategorie oder ein Fahrzeug gelöscht, wandert es zunächst in einen Papierkorb und lässt sich dort 30 Tage lang wiederherstellen; danach wird es durch einen täglich laufenden Prozess endgültig aus dem Datenbestand entfernt. Zugehörige Inhalte bleiben während dieser Frist erhalten. Für einzeln gelöschte Dateien und Addon-Inhalte besteht kein Papierkorb. Für unterschriebene Freigaben gilt der nächste Punkt.
• Unterschriebene Freigaben (Model Release, Drehgenehmigung) speichern wir im Auftrag der jeweiligen Produktion. Wie lange die Zweitschrift aufbewahrt wird, legt die Produktion in ihren Produktions-Stammdaten fest: bis zur endgültigen Löschung des Projekts (gilt, solange nichts festgelegt ist) oder bis zu einer von ihr gewählten Zahl von Jahren (1 bis 30) ab der Unterschrift, auch über die Löschung des Projekts hinaus, längstens solange ihr Workspace besteht. Wird der Workspace gelöscht, etwa mit der Kontolöschung, werden die Zweitschriften mitgelöscht. Vor dem 30.09.2026 archivierte Freigaben bleiben unverändert, bis die Produktion eine Festlegung trifft oder wir im Einzelfall über sie entscheiden. Zusätzlich sichern wir die Zweitschriften täglich verschlüsselt; diese Sicherungen werden nach 30 Tagen gelöscht.
• Kundenfreigaben: Kommentare, Entscheidungen, gespeicherte Freigabestände und Protokolle der Kundenfreigabe sind projektbezogene Daten. Für ihre Aufbewahrung gelten die Weisungen des Verantwortlichen und die beschriebenen Verfahren für Rückgabe, Projektlöschung, Papierkorb und Sicherungen. Der Ablauf oder Widerruf eines Links löscht diese Daten nicht automatisch. Beim Übertragen eines Projekts kann dessen Dokumentation beim berechtigten neuen Eigentümer verbleiben. Nach endgültiger Löschung aus dem aktiven System können Daten bis zum vorgesehenen Ablauf noch in Sicherungen vorhanden sein. Bereits an Empfänger versandte oder von ihnen heruntergeladene Kopien werden durch eine Löschung bei setnest nicht zurückgerufen. Für Kundenfreigaben besteht kein gesondertes Archiv nach den Regeln für die Freigaben am Set.
• Sicherungen: Datenbank und hochgeladene Dateien werden täglich gesichert. Die Sicherungen bleiben auf dem Server 14 Tage und im ausgelagerten Speicher (OneDrive for Business) 30 Tage erhalten und werden danach aus dem Sicherungsbestand entfernt. Bereits gesicherte Daten verschwinden daher erst mit Ablauf dieser Fristen — auch dann, wenn sie im laufenden Betrieb schon gelöscht wurden. Ob und wie lange aus dem Sicherungsbestand entfernte Kopien danach noch in Papierkorb-, Versions- oder Aufbewahrungsebenen von OneDrive verbleiben, ist noch nicht abschließend geklärt.
• Daten auf deinem Gerät: Was die Anwendung lokal im Browser speichert (siehe Punkt 11), bleibt dort, bis du die Browserdaten löschst; die Vorräte des Set-Modus entfernt zusätzlich das ausdrückliche Abmelden, die Kopie der Tagesdisposition endet mit der dort genannten Frist. Eine Kontolöschung auf dem Server erreicht diese Kopien nicht.

11. Cookies und Speicherung auf deinem Gerät

setnest setzt ausschließlich technisch notwendige Cookies. Es gibt keine Analyse-, Marketing- oder Profilbildungs-Cookies — deshalb gibt es auch keinen Cookie-Banner und keine Einwilligungsabfrage. Der Zugriff auf deinen Gerätespeicher stützt sich auf die Ausnahme für unbedingt erforderliche, von dir gewünschte Funktionen nach § 165 Abs. 3 TKG 2021.

Auf gemeinsam genutzten Geräten, etwa einem Set-Tablet, melde dich nach der Nutzung ausdrücklich ab: Dabei entfernt setnest die Vorräte des Set-Modus vom Gerät. Noch nicht übertragene Änderungen gehen dabei verloren; die Anwendung fragt vorher nach.

12. Kein Tracking, keine Werbung

Es kommen keine Analyse-Werkzeuge, keine Zählpixel, keine Werbenetzwerke und keine Social-Media-Plug-ins zum Einsatz. Es findet keine Profilbildung und keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO statt.

Alle Schriftarten, Skripte und Kartenkacheln werden von unseren eigenen Servern ausgeliefert, ebenso extern in Boards eingebundene Bilder; es besteht keine Verbindung zu Google Fonts oder anderen externen Schrift-Diensten. Eine Ausnahme sind externe Audio- und Videodateien sowie YouTube-Videos in Boards, die dein Browser erst nach deinem Klick direkt vom fremden Server lädt (siehe Punkt 7), sowie Seiten Dritter, die du selbst über einen Link öffnest.

13. Datensicherheit

Es werden technische und organisatorische Maßnahmen nach Art. 32 DSGVO eingesetzt, unter anderem: verschlüsselte Übertragung (TLS), Speicherung von Passwörtern ausschließlich als starker Hash, kurzlebige Zugriffstoken und gehashte Sitzungstoken, Zwei-Faktor-Anmeldung auf Wunsch, rollenbasierte Rechteprüfung für Projektinhalte, Begrenzung der Anfragen zum Schutz vor automatisierten Angriffen, Abruf hochgeladener Dateien nur mit Anmeldung oder passender Freigabe sowie tägliche Datensicherungen. Einzelheiten und bekannte Lücken beschreibt die Anlage zu den technischen und organisatorischen Maßnahmen.

Sicherungskopien und ruhende Daten. Täglich werden Datenbank und hochgeladene Dateien gesichert und zusätzlich auf einen externen Speicher (Microsoft OneDrive for Business) ausgelagert. Die Wiederherstellung aus den ausgelagerten Kopien wurde zuletzt am 30. September 2026 erfolgreich getestet. Diese Sicherungen werden derzeit nicht vor der Übertragung zusätzlich verschlüsselt; verschlüsselt gesichert werden nur die Zweitschriften unterschriebener Freigaben. Eine Festplattenverschlüsselung des Servers im Ruhezustand (Full-Disk-Encryption) ist derzeit nicht aktiv; der physische Schutz der Serverhardware erfolgt durch den Hoster im Rahmen dessen technischer und organisatorischer Maßnahmen.

14. Deine Rechte

Dir stehen gegenüber dem Verantwortlichen folgende Rechte zu:

• Auskunft über die zu deiner Person verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf ein berechtigtes Interesse gestützt sind, aus Gründen deiner besonderen Situation (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt

Selbstbedienung im Konto. Unter Konto kannst du deine Kontodaten als JSON-Datei herunterladen und dein Konto löschen. Der Export umfasst unter anderem Kontodaten, Zustimmungen, die Liste deiner Projekte mit deiner Rolle, dein Adressbuch, Benachrichtigungen, Rechnungsdaten und deine eigenen Kommentare in allen Projekten einschließlich deiner privaten Notizen. Die Inhalte der Projekte selbst enthält er nicht; dafür nennt er je Projekt den Link zum vollständigen Projektexport (ZIP, Umfang je nach Rolle im Projekt), den du auch im Projekt selbst erstellen kannst. Aufbau und Formate beschreibt die Seite Datenexport. Zur Kontolöschung siehe „Speicherdauer".

Deine Rechte sind nicht auf diese Funktionen beschränkt. Für die Ausübung genügt eine formlose Nachricht an office@fabianschirgi.com. Die Bearbeitung erfolgt innerhalb eines Monats; bei besonders aufwendigen Anfragen kann sich diese Frist um bis zu zwei weitere Monate verlängern, worüber wir dich innerhalb des ersten Monats informieren. Bei begründeten Zweifeln an deiner Identität fragen wir nur die dafür erforderlichen Nachweise nach.

Betreffen deine Daten Projektinhalte, die eine andere Person oder ein Unternehmen in setnest eingetragen hat, ist dafür die jeweilige Produktion bzw. das Unternehmen verantwortlich, für das das Projekt geführt wird. Wir leiten dein Anliegen in diesem Fall unverzüglich weiter und unterstützen bei der Beantwortung.

Hinweise auf Produktneuigkeiten erscheinen ausschließlich innerhalb der Anwendung und lassen sich dort schließen. Eine Abmeldung ist nicht erforderlich, weil dafür keine E-Mails versendet werden.

15. Beschwerderecht

Unbeschadet anderer Rechtsbehelfe hast du das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Zuständige Behörde für den Verantwortlichen ist:

Behörde

Österreichische Datenschutzbehörde

Anschrift

Barichgasse 40–42, 1030 Wien, Österreich

E-Mail

dsb@dsb.gv.at

Web

dsb.gv.at

16. Änderungen dieser Erklärung

Diese Datenschutzerklärung wird angepasst, wenn sich die Verarbeitung ändert — etwa bei neuen Funktionen oder einem Wechsel von Dienstleistern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; das Stand-Datum steht am Seitenanfang. Bei wesentlichen Änderungen informieren wir zusätzlich in der Anwendung oder per E-Mail.