Datenschutz­erklärung

Datenschutzerklärung von incaseof.law GmbH

incaseof.law GmbH (nachfolgend: „ICO“, „wir“ oder „uns“) ist die Sicherheit Ihrer Daten und der Schutz Ihrer Privatsphäre bei der Verarbeitung personenbezogener Daten ein wichtiges Anliegen. Aus diesem Grund möchten wir Sie darüber informieren, wie wir mit Ihren Daten verfahren und welche Rechte Ihnen gesetzlich zugesichert sind. Dabei bilden sowohl die österreichischen als auch die europäischen Datenschutzbestimmungen die rechtliche Grundlage – insbesondere die Datenschutz-Grundverordnung (DSGVO), das Datenschutzgesetz (DSG) sowie das Telekommunikationsgesetz (TKG).

1. Personenbezogene Daten

Personenbezogene Daten umfassen alle Informationen, die sich auf eine identifizierte oder identifizierbare lebende natürliche Person (die „betroffene Person“) beziehen. Zu diesen Informationen zählen beispielsweise Ihr Name, Ihre Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Alter, Geschlecht und Sozialversicherungsnummer. Es existieren zudem besondere Kategorien von personenbezogenen Daten, welche häufig als „sensible Daten“ bezeichnet werden. Gemäß der DSGVO fallen darunter beispielsweise Gesundheitsdaten oder Daten, die im Kontext von Strafverfahren stehen.

2. Erhebung und Verarbeitung personenbezogener Daten

Im Rahmen dieser Datenschutzerklärung wollen wir Ihnen verständlich, transparent und übersichtlich erläutern, welche Daten bei der ordnungsgemäßen Nutzung unserer Plattform im Rahmen der von uns angebotenen Dienstleistungen erhoben und zu welchem Zweck sie von uns genutzt und verarbeitet werden.

Wir verwenden Ihre Daten auch, um zu analysieren, wie Sie unsere Website nutzen, damit wir die Nutzererfahrung kontinuierlich verbessern können (siehe Punkt 8). Darüber hinaus setzen wir personenbezogene Daten ein, um Werbung und Newsletter zu versenden, soweit dies gesetzlich erlaubt ist.

Dabei verarbeiten wir sowohl Daten, die Sie uns zur Verfügung stellen, als auch solche, die im Rahmen der Geschäftsbeziehung entstehen oder die wir von Dritten erheben.

Weiters erfahren Sie durch diese Erklärung, welche Möglichkeiten Sie haben, Ihre Daten zu schützen.

2a. Datenquellen bei Anbindung über Connector-Partner

Neben Daten, die Sie uns direkt mitteilen, können wir im Rahmen des Connector-Modells Daten aus folgenden Quellen erhalten:

Connector-Partnerplattformen: Sofern Sie sich über eine mit incaseof.law kooperierend angebundene Drittplattform (Connector-Partner, z. B. ibana Software GmbH, WinChim Software Engineering GmbH, TPA-CONNECT) bei incaseof.law registrieren oder Forderungsdaten über eine solche Plattform übermitteln, erhalten wir von dieser Plattform Stammdaten (Name, Unternehmensname, Adresse, E-Mail-Adresse, UID) sowie die übermittelten Forderungsdaten. Die Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Ihre gegenüber dem Connector-Partner erteilte Einwilligung zur Datenweitergabe an incaseof.law.

Authentifizierungsdaten bei SSO-Anbindung: Bei Nutzung des Single-Sign-On (SSO)-Verfahrens über OAuth 2.0 erhalten wir vom Connector-Partner einen Authentifizierungs-Token sowie die in Ihrem dortigen Profil hinterlegten Stammdaten in dem Umfang, der für die Kontoanlage bei incaseof.law erforderlich ist. Die Weiterverarbeitung dieser Daten erfolgt ausschließlich zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Eine darüber hinausgehende Nutzung der SSO-Token-Daten findet nicht statt.

Zeitpunkt der Information: Über die Herkunft von Daten, die wir nicht direkt von Ihnen erhalten, informieren wir Sie innerhalb der Fristen des Art. 14 Abs. 3 DSGVO: spätestens innerhalb eines Monats nach Erhalt, bei Verwendung zur Kommunikation mit Ihnen spätestens bei der ersten Kommunikation, bei einer Offenlegung an andere Empfänger spätestens bei der ersten Offenlegung. Die Information erfolgt über den bei uns für Sie hinterlegten Kommunikationsweg; der beim ersten Login angezeigte Consent-Screen ergänzt diese Information.

3. Verantwortlicher

Verantwortlich für die Verarbeitung der Daten unserer Kunden, Partner, Interessenten und Website-Besucher sowie für die an uns abgetretenen Ansprüche auf Inkassokosten und Verzugszinsen ist:

incaseof.law GmbH, Rathausstraße 21/13, 1010 Wien, Österreich

E-Mail: [email protected]

Webseite: www.incaseof.law

Soweit wir Daten von Schuldnern zur Einziehung der Hauptforderung im Auftrag unserer Kunden verarbeiten, ist der jeweilige Gläubiger Verantwortlicher; wir sind insoweit Auftragsverarbeiter (Art. 28 DSGVO). Einzelheiten finden Sie unter Punkt 6.3a.

4. Datensicherheit

Unser Ziel ist es, Ihre Daten mit höchster Sorgfalt zu verwalten und technische und organisatorische Sicherheitsmaßnahmen zu treffen, um Ihre Daten vor Verlust und Missbrauch zu schützen.

Der Zugang zu unserer Website und unseren Portalen erfolgt ausschließlich verschlüsselt über HTTPS (TLS). Das bedeutet, dass die Kommunikation zwischen Ihrem Endgerät und unseren Servern verschlüsselt erfolgt.

Sollten Sie mit uns per E-Mail in Kontakt treten, weisen wir darauf hin, dass die Vertraulichkeit der übermittelten Informationen nicht gewährleistet ist. Der Inhalt von herkömmlichen E-Mails kann aufgrund ihrer technischen Konzeption von Dritten eingesehen werden. Zur Sicherstellung einer angemessenen Informations- und Systemsicherheit und zur Erkennung von Schadsoftware speichern wir Protokolldaten zum E-Mailverkehr.

5. Zwecke und Rechtsgrundlage der Datenverarbeitung

ICO bietet Unternehmen außergerichtliches und gerichtliches Forderungsmanagement (Inkasso) an. Ist eine Forderung begründet bestritten, vermitteln wir auf Wunsch des Kunden Partner-Rechtsanwält:innen, die nach dessen Freigabe im Einzelfall hinzugezogen werden. Eine Rechtsberatung erbringen wir nicht.

Unser Leistungsspektrum wendet sich zum einen an Unternehmen, die ihre offenen Forderungen außergerichtlich und gerichtlich durchsetzen möchten. Gleichzeitig richtet sich unser Leistungsangebot auch an Geschäftspartner unserer Kunden (Schuldner), die über unsere Plattform mit uns in Kontakt treten, Zahlungen leisten oder zahlungsrelevante Vereinbarungen treffen können.

6. Datenarten

6.1 Partner-Rechtsanwält:innen

Wenn Sie als Rechtsanwältin oder Rechtsanwalt mit uns zusammenarbeiten und im Einzelfall für die anwaltliche Durchsetzung von Forderungen hinzugezogen werden, verarbeiten wir von Ihnen folgende Daten:

• Name und Kanzleiname
• Kanzleisitz und Adresse
• Telefonnummer und E-Mail-Adresse
• Berufsbezeichnung und Titel
• Rechtsanwaltskammer und Rechtsanwaltsnummer/-code
• R-Code für den Elektronischen Rechtsverkehr (ERV)
• Umsatzsteueridentifikationsnummer
• Berufshaftpflichtversicherungsdaten
• Bankverbindung (IBAN und Kontoinhaber)

6.2 Kunden

Wenn Sie als Vertreter einer Organisation (Unternehmen) oder Suborganisation Dienstleistungen von ICO in Anspruch nehmen, verarbeiten wir im Zuge der Geschäftsbeziehung folgende Daten:

• Vor- und Nachname der handelnden Person(en)
• E-Mail-Adresse der handelnden Person(en)
• Telefonnummer der handelnden Person(en)
• Geschlecht bzw. Anrede der handelnden Person(en)
• Position oder Funktion der handelnden Person(en) innerhalb der (Sub-)Organisation
• Firmenname der Organisation bzw. Suborganisation
• Unternehmensanschrift der Organisation oder Suborganisation
• Falls abweichend, Rechnungsadresse der Organisation oder Suborganisation
• Gegebenenfalls Umsatzsteueridentifikationsnummer (UID-Nummer) der Organisation oder Suborganisation
• Details des beauftragten oder in Anspruch genommenen Dienstleistungsumfangs inkl. Rechnungsinformationen (und die darin ggf. enthaltenen personenbezogenen Schuldnerdaten) im Fall der Inanspruchnahme des ICO Forderungsmanagement-Tools
• Preise und Zahlungsmodalitäten der in Anspruch genommenen Dienstleistungen
• Ausgewählte Zahlungsart für die Dienstleistungen sowie Bankverbindungen (IBAN/BIC)
• Vornahme rechtswirksamer Handlungen (z. B. Fallerstellung, Einleitung/Einreichung von Mahnklagen/Exekutionsanträgen mittels ERV)
• Informationen zum Stand und zur Abwicklung der Dienstleistung (z. B. Fallstatus)
• Bei Anbindung über einen Connector-Partner: Authentifizierungsdaten (OAuth 2.0 Token, Session-Cookies) sowie die vom Connector-Partner übermittelten Stammdaten im Umfang des jeweiligen OAuth-Scopes; Protokolldaten über die Erteilung und den Zeitpunkt der Connector-Einwilligung (Zeitstempel, User-ID, IP-Adresse, angezeigte Einwilligungstext-Version).

6.3 Schuldner

Nachstehend listen wir mögliche Daten auf, die wir in Zusammenhang mit Schuldnern erheben oder aus den erhobenen Daten ableiten. Bitte beachten Sie, dass das nicht zwangsläufig bedeutet, dass wir diese Daten von Schuldnern auch konkret verarbeiten.

Personenstammdaten:

• Name und Vorname / Firma
• Geburtsdatum, soweit für die Identifizierung oder ein gerichtliches Verfahren erforderlich
• Anrede

Kontaktdaten:

• Anschrift
• E-Mail-Adresse
• Telefonnummer

Identifikationsdaten:

• Firmenbuchnummer bzw. Registernummer bei Unternehmen

Forderungs- und Zahlungsdaten:

• Bonitätsauskünfte aus Einzelabfragen (siehe Punkt 6.3a)
• Forderungshöhe und Forderungsgrund
• Konto- und Zahlungsinformationen des Schuldners
• Informationen über bestehende Zahlungsvereinbarungen
• Verzugsinformationen und Mahnhistorie

Je nach Forderung können auch besondere Kategorien personenbezogener Daten betroffen sein, insbesondere Gesundheitsdaten bei Forderungen aus Gesundheits- und Pflegeleistungen. Wir verarbeiten sie nur, soweit dies für die Einziehung erforderlich ist.

6.3a Informationen für Schuldner gemäß Art. 14 DSGVO

Wenn Sie als Schuldner von incaseof.law kontaktiert werden, wurden Ihre Daten nicht direkt bei Ihnen, sondern bei dem Gläubiger (Auftraggeber von incaseof.law) sowie gegebenenfalls bei externen Datenbanken erhoben. Gemäß Art. 14 DSGVO informieren wir Sie hiermit über folgende Aspekte der Verarbeitung:

Verantwortlicher: Für die Einziehung der Hauptforderung ist der Gläubiger Verantwortlicher; incaseof.law verarbeitet Ihre Daten dabei als Auftragsverarbeiter (Art. 28 DSGVO). Für die an incaseof.law abgetretenen Ansprüche auf Inkassokosten und Verzugszinsen ist incaseof.law selbst Verantwortlicher.

Datenquellen: Ihre Stammdaten (Name, Adresse) sowie die Forderungsdaten wurden uns von dem Gläubiger im Rahmen eines Inkassoauftrags übermittelt. Darüber hinaus können wir Ihre Adress- und Bonitätsdaten bei der CRIF GmbH (Österreich) oder vergleichbaren Auskunfteien abfragen.

Zweck und Rechtsgrundlage: Die Verarbeitung erfolgt zur Durchsetzung berechtigter Forderungsansprüche des Gläubigers sowie, für die abgetretenen Inkassokosten und Verzugszinsen, unserer eigenen Ansprüche (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse). Eine Interessenabwägung wurde vorgenommen; das berechtigte Interesse an der Forderungsdurchsetzung überwiegt in aller Regel die Interessen des Schuldners, da es sich um die Geltendmachung rechtlich entstandener Forderungsansprüche handelt. Zu automatisierten Entscheidungen bei Ratenzahlungsvereinbarungen siehe Punkt 9c.

Speicherdauer: Schuldnerdaten werden für die Dauer der Bearbeitung des Forderungsfalls sowie im Rahmen der gesetzlichen Aufbewahrungsfristen gespeichert.

Widerspruchsrecht: Sie haben gemäß Art. 21 DSGVO das Recht, der Verarbeitung Ihrer Daten auf Basis von Art. 6 Abs. 1 lit. f DSGVO zu widersprechen. Ein solcher Widerspruch berührt nicht die rechtliche Zulässigkeit der Forderung selbst und kann zur Weiterleitung des Falls an den Gläubiger oder dessen Rechtsanwalt führen.

Kontakt: Für Anfragen zur Datenverarbeitung als Schuldner wenden Sie sich bitte an [email protected].

6.4 Technisch erforderliche Daten

Aus technischen Gründen übermittelt Ihr Browser bei jedem Zugriff auf unsere Webseite bestimmte Informationen an unsere Webserver. Diese Informationen erheben wir ausschließlich zu statistischen und technischen Zwecken, um zum Beispiel einen störungsfreien Betrieb unserer Dienstleistungen sicherzustellen. Die folgenden Daten werden dabei erfasst:

• IP-Adresse des zugreifenden Geräts
• Datum und Uhrzeit des Zugriffs.

Anmeldung mit Google-Konto: Wenn Sie sich im Kundenportal optional mit Ihrem Google-Konto registrieren oder anmelden, erhalten wir von Google Ihren Namen, Ihre E-Mail-Adresse und Ihr Profilbild (Art. 6 Abs. 1 lit. b DSGVO). Die Anmeldung selbst verarbeitet Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, in eigener Verantwortung nach der Datenschutzerklärung von Google; eine Verarbeitung außerhalb der EU ist dabei möglich.

7. Rechtsgrundlage der Datenverarbeitung

7.1 Vertragliche Pflichten – Art. 6 Abs. 1 lit. b DSGVO

Sowohl mit unseren Kunden, also Organisationen und deren Vertretern, als auch mit den Partner-Rechtsanwält:innen, die wir im Einzelfall hinzuziehen, bestehen vertragliche Beziehungen. Aus diesen Verträgen resultieren bestimmte Pflichten, deren Erfüllung die Verarbeitung von personenbezogenen Daten unumgänglich macht.

7.2 Rechtliche Pflichten – Art. 6 Abs. 1 lit. c DSGVO

Das Verarbeiten von personenbezogenen Daten kann rechtlich erforderlich sein, weil die incaseof.law GmbH (ICO) rechtlich dazu verpflichtet ist. Dazu gehören insbesondere Erfüllung steuerrechtlicher Dokumentations- und Meldepflichten sowie Bearbeitung von Auskunftsersuchen durch Strafverfolgungsbehörden oder andere staatliche Institutionen im Rahmen ihrer gesetzlichen Befugnisse.

7.3 Berechtigtes Interesse – Art. 6 Abs. 1 lit. f DSGVO

Die Verarbeitung von personenbezogenen Daten kann auf der Rechtsgrundlage des Art. 6 Abs. 1 lit. f DSGVO beruhen, wenn sie zur Wahrung eines berechtigten Interesses der incaseof.law GmbH oder eines Dritten erforderlich ist und nicht die Interessen oder Grundrechte und -freiheiten der betroffenen Person überwiegen.

Wir sehen ein berechtigtes Interesse in folgenden Fällen:

• Sicherstellung des Betriebs und der Verwaltung unserer Webseite
• Beantwortung von Anfragen, die über unser Kontaktformular eingehen
• Durchführung von Direktmarketingmaßnahmen
• Auswertung, über welche Werbe- und Informationskanäle Anfragen und Registrierungen entstehen
• Einsatz von Webanalyse-Tools zur Optimierung unserer Online-Dienste
• Gewährleistung von Netzwerk- und Datensicherheit
• Erbringung von technischem Support für unsere Nutzer
• Durchsetzung berechtigter Forderungsansprüche gegenüber Schuldnern im Rahmen des Inkassomandats

8. Cookies

Auf unserer Webseite setzen wir Cookies ein. Ein Cookie ist eine kleine Datei, die spezifische Interneteinstellungen speichert und beim ersten Besuch einer Webseite von Ihrem Webbrowser auf Ihrem Endgerät heruntergeladen wird. Bei einem wiederholten Besuch der Webseite mit dem gleichen Gerät wird das Cookie mit den gespeicherten Daten entweder an unsere Webseite zurückgesandt (First Party Cookie) oder an eine andere Webseite, zu der es gehört (Third Party Cookie).

Über „Cookie-Einstellungen“ im Seitenfuß können Sie Ihre Auswahl jederzeit ändern. Wir speichern die Auswahl für bis zu zwölf Monate lokal in Ihrem Browser. Optionale Messdienste werden erst nach Ihrer entsprechenden Einwilligung geladen.

Technisch notwendige Cookies setzen wir auf Grundlage von § 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 2 TDDDG ein. Alle übrigen Cookies und vergleichbaren Technologien verwenden wir nur mit Ihrer Einwilligung (§ 165 Abs. 3 TKG 2021, § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie über die Cookie-Einstellungen jederzeit widerrufen können.

Im Kundenportal (app.incaseof.law) und im Schuldnerportal (payment.incaseof.law) setzen wir ausschließlich technisch notwendige Cookies ein. Reichweiten- oder Werbemessdienste Dritter (insbesondere Google Tag Manager, Google Analytics, Google Ads) werden dort nicht eingesetzt; sie sind auf die Marketing-Website www.incaseof.law beschränkt und laden nur nach Ihrer Einwilligung.

Zur Fehleranalyse setzen wir in den Portalen Sentry ein (Verarbeitung in der EU, siehe Punkt 11). Bei einem Teil der Sitzungen werden Bedienvorgänge aufgezeichnet; Texteingaben und Inhalte sind dabei maskiert.

Statistik und Werbeerfolgsmessung

Mit Ihrer Einwilligung verwenden wir Google Analytics 4 zur Auswertung von Seitenaufrufen, Klicks auf Schaltflächen, der Nutzung unserer Rechner und Vorlagen, erfolgreich übermittelten Kontaktanfragen und Einstiegen in die Registrierung. Mit Ihrer gesonderten Einwilligung verwenden wir Google Ads, um den Erfolg unserer Werbung zu messen und Kontaktanfragen Werbeklicks zuzuordnen. Google Tag Manager steuert diese Einbindung. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei können insbesondere technische Geräte- und Browserinformationen, die IP-Adresse, Cookie-Kennungen und Angaben zu Werbeklicks verarbeitet werden. Eine Verarbeitung in den USA ist möglich.

Die Messereignisse der Kontaktanfrage enthalten weder Namen, E-Mail-Adressen und Telefonnummern noch den Nachrichtentext. Ohne Einwilligung können Sie die Website und das Kontaktformular weiterhin nutzen. Weitere Informationen: Datenschutzerklärung von Google.

Herkunft von Anfragen und Registrierungen

Wenn Sie uns eine Kontaktanfrage senden oder sich im Kundenportal registrieren, speichern wir zu Ihrer Anfrage beziehungsweise zu Ihrem Unternehmenskonto, über welche Kampagne Sie gekommen sind (Quelle, Medium, Kampagne, Anzeigengruppe, Suchbegriff, soweit der aufgerufene Link solche Angaben enthält), auf welcher Seite und über welche Schaltfläche. Ohne Ihre Einwilligung werden dafür keine Informationen in Ihrem Browser gespeichert. Haben Sie in „Statistik“ eingewilligt, speichern wir zusätzlich die erste besuchte Seite und die Domain der Website, von der Sie zu uns gekommen sind; haben Sie in „Marketing“ eingewilligt, bei Kontaktanfragen außerdem die Google-Klick-Kennung (gclid). Bei der Registrierung können Sie freiwillig angeben, wie Sie von uns erfahren haben. Zweck ist die Auswertung, welche Werbe- und Informationskanäle zu Anfragen und Kunden führen. Rechtsgrundlage ist unser berechtigtes Interesse an der Steuerung unseres Marketings (Art. 6 Abs. 1 lit. f DSGVO), für Angaben, die wir nur mit Ihrer Einwilligung erheben, Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie über die Cookie-Einstellungen jederzeit widerrufen können. Gespeichert werden die Angaben im Kundenportal und in Pipedrive (Punkt 9a); an Google werden sie nicht übermittelt. Wir löschen sie mit der Anfrage beziehungsweise dem Benutzer- oder Unternehmenskonto; die Kopie in unserem Kundenbeziehungsmanagement (Pipedrive) unterliegt den Aufbewahrungsregeln nach Punkt 12.

9. Übermittlung von Daten an Dritte

ICO zieht zur Abwicklung bestimmter komplexer Prozesse der Datenverarbeitung auch die Leistungen von Dritten heran. Diese Dienstleister, die als Auftragsverarbeiter tätig sind, verpflichten sich vertraglich dazu, Ihre personenbezogenen Daten vertraulich zu behandeln und ausschließlich im Rahmen ihrer Aufgabenerfüllung zu verarbeiten.

Die Weitergabe Ihrer personenbezogenen Daten erfolgt stets auf der Grundlage gesetzlicher Bestimmungen oder entsprechend vertraglicher Absprachen. So übermitteln wir Ihre Daten insbesondere an Unternehmen, die in unserem Auftrag Dienstleistungen rund um die Auftragsabwicklung (Fallbearbeitung), den Kundenservice, Marketingaktivitäten, die Versendung von E-Mail-Newslettern, die Optimierung unserer Website sowie Zahlungsdienstleistungen erbringen.

Darüber hinaus werden personenbezogene Daten gegebenenfalls an Strafverfolgungsbehörden weitergegeben, sofern dies aufgrund gesetzlicher Vorschriften erforderlich ist.

Connector-Partner als Datenquelle und Datenempfänger: Im Rahmen von Connector-Partnerschaften agieren die jeweiligen Connector-Partner sowohl als Datenquelle (Übermittlung von Kundenstamm- und Forderungsdaten an ICO) als auch – soweit der Connector-Partner Fallstatusinformationen von ICO empfängt – als Datenempfänger. Der Zugang von Connector-Partnern zu Falldaten bei ICO beschränkt sich auf die Daten der von ihnen vermittelten Kunden. Eine Liste der aktiven Connector-Partner und der jeweils übertragenen Datenkategorien ist auf Anfrage an [email protected] erhältlich.

9a. Anfragen über die Website und Newsletter

Wenn Sie unser Kontaktformular nutzen, verarbeiten wir die von Ihnen angegebenen Kontaktdaten, Unternehmensangaben, das Anliegen und Ihre Nachricht zur Bearbeitung der Anfrage. Zur Speicherung und Bearbeitung nutzen wir Pipedrive (Pipedrive OÜ, Estland). Kontaktanfragen betreffen ausschließlich Interessenten; Fall-, Forderungs- oder Schuldnerdaten werden über diesen Dienst nicht verarbeitet. Eine Kontaktanfrage begründet kein Newsletter-Abonnement und löst keine Bestätigungs-E-Mail für den Newsletter aus; bestehende Abonnements bleiben davon unberührt. Wenn Sie unseren Newsletter abonnieren, verarbeiten wir Ihre E-Mail-Adresse und, soweit angegeben, Ihren Namen zum Versand (Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit über den Abmeldelink). Für den Versand nutzen wir Mailchimp (Intuit Inc., USA); die Verarbeitung erfolgt in den USA auf Grundlage des EU-U.S. Data Privacy Framework und von Standardvertragsklauseln. Newsletter enthalten keine Kunden-, Fall- oder Schuldnerdaten; solche Daten werden nicht an Mailchimp übermittelt.

Pipedrive: Datenschutzhinweise von Pipedrive. Mailchimp: Datenschutzerklärung von Intuit.

9b. KI-gestützte Verarbeitung von Belegen

Zur Erfassung von Rechnungsdaten aus Belegen, die Auftraggeber im Kundenportal hochladen, setzen wir eine KI-gestützte Texterkennung ein (Google Cloud Vertex AI, Region europe-west3, Frankfurt am Main). Außerdem lesen wir mit dieser Texterkennung gerichtliche Verbesserungsaufträge aus; das Ergebnis wird ausschließlich Mitarbeitern angezeigt. Die übermittelten Inhalte werden vom Anbieter nicht zum Training von KI-Modellen verwendet. Belege und Dokumente, die von Auftraggebern oder Connector-Partnern über die Programmierschnittstelle (API) übermittelt werden, sowie Nachweise im Bestreitensfall werden nicht automatisiert ausgewertet, sondern ausschließlich von Mitarbeitern des Fallteams gelesen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

9c. Automatisierte Entscheidungen bei Ratenzahlungsvereinbarungen

Schuldner können im Schuldnerportal eine Ratenzahlungsvereinbarung beantragen. Der Antrag wird automatisiert anhand fester, für alle Schuldner gleicher Kriterien geprüft: Laufzeit von 3, 6, 9 oder 12 Monaten, Mindestrate von 50 Euro monatlich, Stand des Verfahrens sowie keine laufende oder bereits abgeschlossene Vereinbarung zur selben Forderung. Eine Bewertung der Person, etwa durch ein Scoring oder eine Auswertung des bisherigen Zahlungsverhaltens, findet nicht statt. Sind die Kriterien erfüllt, kommt die Vereinbarung mit Zahlung der ersten Rate zustande. Wird eine Rate nicht fristgerecht bezahlt, tritt nach Ablauf der in der Vereinbarung genannten Nachfrist automatisch Terminsverlust ein. Rechtsgrundlage ist Art. 22 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Sie können jederzeit über das Ticketing im Schuldnerportal verlangen, dass ein Mitarbeiter die Entscheidung überprüft, Ihren Standpunkt darlegen und die Entscheidung anfechten.

9d. Spotify-Player

Auf einzelnen Seiten unserer Website, etwa im Autorenprofil, binden wir Podcast-Episoden über einen Player von Spotify ein. Der Player wird erst geladen, wenn Sie ihn anklicken; vorher werden keine Daten an Spotify übermittelt. Nach dem Klick verarbeitet Spotify AB, Regeringsgatan 19, 111 53 Stockholm, Schweden, insbesondere Ihre IP-Adresse, Geräte- und Browserinformationen sowie gegebenenfalls Cookies; eine Verarbeitung in den USA ist möglich. Rechtsgrundlage ist Ihre Einwilligung durch das Anklicken (Art. 6 Abs. 1 lit. a DSGVO). Spotify: Datenschutzrichtlinie von Spotify.

10. Übermittlung von Daten in Drittstaaten

Sämtliche Auftragsverarbeiter, die wir für Fall-, Vertrags- oder Schuldnerdaten einsetzen, betreiben die für uns genutzten Rechenzentren innerhalb der Europäischen Union; Speicherung und reguläre Verarbeitung dieser Daten erfolgen dort (Verarbeitungsstandort je Anbieter unter Punkt 11). Einige dieser Anbieter haben ihren Sitz in den USA; im Rahmen von Support- oder Wartungszugriffen kann es im Einzelfall zu einem Fernzugriff aus den USA auf diese Daten kommen. Solche Zugriffe sind auf das für den jeweiligen Zweck Erforderliche beschränkt und durch die unter Punkt 11 genannten Garantien abgesichert. Unser Newsletter (Punkt 9a) wird über einen US-Anbieter unter den dort beschriebenen Garantien versendet, beim optionalen Spotify-Player (Punkt 9d) ist eine Verarbeitung in den USA möglich. Sofern die besagten Datenempfänger nicht im Europäischen Wirtschaftsraum (EWR) ansässig sind und für das betreffende Drittland kein Angemessenheitsbeschluss der EU-Kommission vorliegt, gewährleistet ICO, dass jede Datenübermittlung auf der Grundlage von Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission erfolgt oder dass andere geeignete Garantien im Sinne der Art. 46, 47 oder 49 DSGVO bereitgestellt werden. Soweit Anbieter mit Sitz in den USA nach dem EU-U.S. Data Privacy Framework zertifiziert sind, stützen wir uns zusätzlich auf den Angemessenheitsbeschluss der Kommission vom 10. Juli 2023.

11. Subauftragnehmer

Aufgrund unseres Geschäftsmodells sowie der Komplexität heutiger Datenverarbeitungsprozesse ist es unerlässlich, dass wir Dritte als Subauftragnehmer mit der Verarbeitung personenbezogener Daten beauftragen. Diese Drittanbieter unterstützen uns unter anderem beim Hosting unserer Website und Applikation, der Kommunikation, der Code-Verwaltung, dem Datenbankmanagement, der Zustellung von Emails, der Authentifizierung, dem Task Management, dem Ticketing-System, der Nutzung von Cloud-Services, dem File-Upload und der Zahlungsabwicklung. Die folgende Aufstellung ist deckungsgleich mit Anlage 3 unseres Auftragsverarbeitungsvertrages und nennt je Subauftragnehmer Sitz, Leistung und Verarbeitungsstandort.

Subauftragnehmer (Stand 04.10.2026):

• Supabase Inc., San Francisco (USA) — Datenbank, Authentifizierung, Dateiablage der Plattform — Verarbeitungsstandort: AWS eu-west-1, Irland (Test: eu-north-1, Stockholm) — EU-Region; Data Privacy Framework, SCC
• Railway Corp., San Francisco (USA) — Anwendungsserver (API, ERV-Gateway, PDF-Erzeugung, Datenbank) — Verarbeitungsstandort: Google Cloud europe-west4, Niederlande — EU-Region; SCC
• Vercel Inc., San Francisco (USA) — Web-Anwendungen (Kundenportal, Schuldnerportal, Website, API-Dokumentation) — Verarbeitungsstandort: fra1, Frankfurt (DE) — EU-Region; Data Privacy Framework, SCC
• Google Cloud EMEA Ltd., Dublin (IE) — KI-gestützte Belegextraktion (Vertex AI) — Verarbeitungsstandort: europe-west3, Frankfurt (DE); keine Nutzung zu Trainingszwecken — EU-Verarbeitung; Google Cloud DPA
• Twilio Ireland Ltd., Dublin (IE) — SMS, Einmalcodes, Portal-Chat — Verarbeitungsstandort: Region IE1, Irland — EU-Region; Twilio DPA
• Twilio SendGrid (Twilio Ireland Ltd.), Dublin (IE) — Transaktionaler E-Mail-Versand — Verarbeitungsstandort: EU-Datenresidenz — EU-Region; Twilio DPA
• Functional Software Inc. (Sentry), San Francisco (USA) — Fehler- und Leistungsüberwachung einschließlich maskierter Sitzungsaufzeichnung (Session Replay) — Verarbeitungsstandort: EU-Region, Frankfurt (DE) — EU-Region; Data Privacy Framework, SCC
• Cloudflare Inc., San Francisco (USA) — Netzwerk-Proxy, Schutz vor Angriffen, Bot-Prüfung (Transit) — Verarbeitungsstandort: Verarbeitung an EU-Standorten; kein Speichern von Inhaltsdaten — Data Privacy Framework, SCC
• DIMOCO Payments GmbH, Wien (AT) — Zahlungsabwicklung im Schuldnerportal — Verarbeitungsstandort: Österreich — EU
• Österreichische Post AG (Einfach-Brief), Wien (AT) — Druck und Postversand von Schreiben — Verarbeitungsstandort: Österreich — EU
• MANZ Solutions GmbH, Wien (AT) — Elektronischer Rechtsverkehr Österreich (webERV) — Verarbeitungsstandort: Österreich — EU
• procilon GmbH, Taucha (DE) — Elektronischer Rechtsverkehr Deutschland (EGVP/EDA), ab Inbetriebnahme — Verarbeitungsstandort: Deutschland — EU
• maesn GmbH, Berlin (DE) — Anbindung von Buchhaltungssystemen (sevDesk, Business Central, Odoo, Xero), nur bei Nutzung durch den Auftraggeber — Verarbeitungsstandort: EU — EU
• Pipedrive OÜ, Tallinn (EE) — Kundenbeziehungsmanagement (Stammdaten der Auftraggeber, keine Schuldnerdaten) — Verarbeitungsstandort: EU — EU
• Slack Technologies Ltd., Dublin (IE) — Interne Systembenachrichtigungen ohne personenbezogene Falldaten — Verarbeitungsstandort: EU/USA — Data Privacy Framework, SCC
• Eingetragene Rechtsanwält:innen, die nach vorheriger Freigabe durch den Auftraggeber im Einzelfall für anwaltliches außergerichtliches oder gerichtliches Forderungsmanagement hinzugezogen werden (Österreich, Deutschland).

Sollte eine Übermittlung Ihrer personenbezogenen Daten in Länder außerhalb des Europäischen Wirtschaftsraums notwendig sein, treffen wir geeignete Schutzmaßnahmen, insbesondere den Einsatz von Standarddatenschutzklauseln der EU-Kommission gemäß Art. 46 DSGVO.

12. Aufbewahrung der Daten

ICO bewahrt Ihre personenbezogenen Daten so lange auf, wie es für die Erfüllung der Zwecke, zu denen sie erhoben wurden, notwendig ist. In bestimmten Fällen können wir jedoch verpflichtet sein, Daten aufgrund gesetzlicher oder vertraglicher Anforderungen über einen vorgegebenen Zeitraum zu speichern.

13. Ihre Datenschutzrechte

Sie haben das Recht, jederzeit Auskunft über die bei ICO gespeicherten personenbezogenen Daten zu erhalten. Dazu gehört auch das Recht zu erfahren, woher diese Daten stammen, an wen sie übermittelt werden und zu welchem Zweck sie verarbeitet werden. Zusätzlich haben Sie das Recht auf Berichtigung, Datenübertragbarkeit und, unter bestimmten Umständen, auf Widerspruch sowie auf Einschränkung der Datenverarbeitung oder Löschung Ihrer Daten.

Besonderheiten bei Connector-Anbindung: Wenn Ihre Daten von einem Connector-Partner an ICO übermittelt wurden, haben Sie das Recht, von ICO Auskunft über den Umfang dieser Übermittlung zu erhalten. Das Recht auf Löschung (Art. 17 DSGVO) bezieht sich auf die bei ICO gespeicherten Daten; die Datenlöschung beim Connector-Partner ist gegenüber diesem separat geltend zu machen. Beachten Sie, dass eine Löschung der bei ICO gespeicherten Daten im laufenden Inkassoverfahren aufgrund gesetzlicher Aufbewahrungspflichten eingeschränkt sein kann.

Falls Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die Datenschutzvorschriften verstößt oder Ihre Datenschutzrechte anderweitig verletzt worden sind, können Sie sich bei der zuständigen Aufsichtsbehörde beschweren.

Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, Telefon: +43 1 52 152-0, E-Mail: [email protected]

Sie können sich auch an die Aufsichtsbehörde des EU-Mitgliedstaats Ihres gewöhnlichen Aufenthalts oder Ihres Arbeitsplatzes wenden (Art. 77 DSGVO), in Deutschland an die Datenschutzaufsichtsbehörde Ihres Bundeslandes.

14. Kontaktmöglichkeit

Wenn Sie Fragen zur Verarbeitung Ihrer personenbezogenen Daten haben, Ihre Datenschutzrechte ausüben möchten oder sonstige Anliegen im Bereich Datenschutz haben, wenden Sie sich bitte an:

incaseof.law GmbH, Rathausstraße 21/13, 1010 Wien, Österreich

Dr. Maximilian Kindler, LL.M., MBA

E-Mail: [email protected]

15. Änderungen der Datenschutzerklärung

ICO behält sich vor, diese Datenschutzerklärung zu aktualisieren oder zu ändern, um sie an technische Entwicklungen oder rechtliche Änderungen anzupassen oder im Zuge der Einführung neuer Dienste oder Produkte. Änderungen werden stets auf unserer Website veröffentlicht.

incaseof.law GmbH — Version 2.4 / 2026

Soweit wir personenbezogene Daten im Auftrag unserer Auftraggeber verarbeiten, schließen wir mit diesen einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Der Vertragstext ist hier abrufbar: Auftragsverarbeitungsvertrag (AVV, Deutsch) und Englisch.

Frühere Fassungen

• Version 2.3 / 2026 (PDF)
• Version 2.2 / 2026 (PDF)