Datenschutz Allgemein

Datenschutzerklärung EmpCo-Check

Vorschau, Bestellung, KI-gestützte Durchsicht und Bericht

Stand: 1. September 2026 

1.  Verantwortliche

1. Verantwortlich für die Datenverarbeitung im Rahmen des EmpCo-Checks ist Manuela Machner, Waldgasse 11, 8700 Leoben, Österreich, tätig unter der Marke KiNET.ai. E-Mail: info@kinet.ai, Telefon: +43 664 3404936. Eine Datenschutzbeauftragte ist gesetzlich nicht vorgeschrieben und nicht bestellt. Fragen zum Datenschutz beantworten wir unter info@kinet.ai.

2.  Worum es geht

2. Worum es geht: Der EmpCo-Check ist ein Online-Dienst, der die öffentlich zugänglichen Seiten einer Website automatisiert liest und Umwelt- und Nachhaltigkeitsaussagen nach einem Kriterienkatalog vorsortiert. Er richtet sich ausschließlich an Unternehmen und Organisationen. Diese Datenschutzerklärung beschreibt, welche Daten dabei anfallen, wofür wir sie verwenden, wer sie erhält und wie lange sie gespeichert bleiben. Sie ergänzt die allgemeine Datenschutzerklärung von kinet.ai und gilt für die Kundenseite des EmpCo-Checks (derzeit unter scanner.kinet.ai/kunde, künftig unter empco.kinet.ai), für die Bestellabwicklung und für die E-Mails, die wir im Zuge eines Auftrags verschicken.

​

3.  Welche Daten wir verarbeiten

Gratis-Vorschau: Wer eine Vorschau startet, gibt die Adresse der Website und eine E-Mail-Adresse an. Wir speichern beides mit Zeitpunkt, einer Kennung der Vorschau und dem Ergebnis eines Abgleichs (ob die E-Mail-Domain zur Website passt). Weist die Adresse einen wahrscheinlichen Tippfehler auf, speichern wir den Hinweis und ob er bestätigt wurde. Die Vorschau selbst (gelesene Seiten, Fundstellen, Zahlen) wird unter dieser Kennung gespeichert, damit ihr sie über den Link in der Adresszeile wieder aufrufen könnt.

​

Bestellung: Für den Auftrag speichern wir zusätzlich den Namen des Betriebs oder der Organisation, den Namen der bestellenden Person, die Rechnungsanschrift (Straße, PLZ, Ort, Land), auf Wunsch die UID-Nummer (für die Umsatzsteuer bei Bestellungen aus dem Ausland), einen allfälligen Rabattcode, den Wortlaut und Zeitpunkt der Kenntnisnahme, die Auftragsnummer, den Status des Auftrags mit Zeitpunkten (Bestellung, Start, Fertigstellung, Zustellung, Stornierung), das Ergebnis des Abgleichs zwischen Bestellung und Website sowie bei einer Anfrage unsere Entscheidung darüber.

​

Zahlung: Die Zahlung läuft über Rechnung oder Stripe, soweit angeboten. Bei uns bleiben nur der bezahlte Betrag, die Währung, der Steuerbetrag und die Kennungen der Zahlung bei Stripe. Kartendaten, Rechnungsadresse, Rechnungsname und die im Zahlungsvorgang angegebene UID werden von Stripe verarbeitet und erreichen uns nicht vollständig.

Inhalte der Website: Zur Durchsicht rufen wir die öffentlich zugänglichen Seiten der angegebenen Website ab und speichern deren Texte, Meta-Angaben, Bildbeschreibungen und die Adressen von Bildern. Bilder, die als Siegel oder Auszeichnung in Frage kommen, werden zusätzlich abgerufen und geprüft. Diese Inhalte können personenbezogene Daten enthalten, die ihr selbst auf eurer Website veröffentlicht habt, zum Beispiel Namen im Impressum oder auf Teamseiten (siehe Abschnitt 8).

​

Bericht und Fundliste: Aus der Durchsicht entstehen der Bericht als PDF und die Fundliste als Excel-Datei. Beide enthalten die gefundenen Aussagen, deren Fundstellen (Adressen der Seiten), die Kategorie, das Feedback der KI-Modelle und Beispielsätze.

​

E-Mails: Bestätigung, Zahlungslink, Absage, Stornobestätigung und die Berichtsmail mit den Anhängen gehen an die bei der Bestellung angegebene Adresse. Eine Kopie jeder Mail bleibt in unserem Postfach.

Technische Protokolle: Beim Aufruf der Kundenseite und der Schnittstellen fallen am Server kurzzeitig IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browser-Kennung an.

 

4.  Wofür wir die Daten verwenden und auf welcher Grundlage

Vorschau, Bestellung, Durchsicht, Zustellung des Berichts, Stornierung und Rückerstattung: Vertragserfüllung und Maßnahmen vor Vertragsabschluss (Art. 6 Abs. 1 lit. b DSGVO).

Abgleich der Bestellung mit der Website (E-Mail-Domain, Name im Impressum): Schutz vor Bestellungen durch Unbefugte für fremde Websites und Sicherstellung, dass der Dienst nur an Unternehmen und Organisationen geht. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Kopie der Kundenmails, Auftragsverlauf und Nachversand des Berichts auf Wunsch: Nachweis der Vertragsabwicklung und Bearbeitung von Rückfragen. Vertragserfüllung und berechtigtes Interesse (Art. 6 Abs. 1 lit. b und f DSGVO).

Rechnungsdaten: gesetzliche Aufbewahrungspflicht (Art. 6 Abs. 1 lit. c DSGVO, § 132 BAO).

Technische Protokolle: Betrieb, Fehlersuche und Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Interne Auswertung von Ergebnissen zur Qualitätssicherung und Weiterentwicklung des Verfahrens (AGB C.11 Abs. 3): berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Dabei geht es um die Kategorisierung von Formulierungen, nicht um Personen.

Werbung: Die im EmpCo-Check angegebenen E-Mail-Adressen verwenden wir nicht für Werbung. Wollt ihr Informationen zu unseren Leistungen, könnt ihr sie eigens anfordern.

5.  Wer die Daten erhält

Hosting: Der EmpCo-Check läuft auf einem Server der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, im Rechenzentrum Falkenstein (Deutschland). Hetzner ist Auftragsverarbeiterin und verarbeitet die Daten nur nach unserer Weisung.

KI-Dienste: Die Inhalte der Website werden zur Kategorisierung an zwei KI-Anbieter übermittelt: Anthropic (Anthropic, PBC, San Francisco, USA, für Nutzende im Europäischen Wirtschaftsraum vertreten durch Anthropic Ireland, Limited, Dublin) und OpenAI (OpenAI, L.L.C., San Francisco, USA, für Nutzende im Europäischen Wirtschaftsraum vertreten durch OpenAI Ireland Ltd, Dublin). Übermittelt werden die Texte der gelesenen Seiten, deren Adressen und die geprüften Bilder. Eure Kontakt- und Bestelldaten werden nicht an die KI-Anbieter übermittelt. Beide Anbieter verarbeiten die Daten über ihre Programmierschnittstelle als Auftragsverarbeiter, verwenden sie nach ihren Bedingungen nicht zum Training ihrer Modelle und löschen sie nach einer kurzen Frist (Abschnitt 7).

Zahlung: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe verarbeitet die Zahlungsdaten als eigenständige Verantwortliche nach ihrer eigenen Datenschutzerklärung (stripe.com/privacy) und stellt die Rechnung aus. Wir erhalten von Stripe die Bestätigung der Zahlung mit Betrag, Steuerbetrag und Kennungen.

E-Mail: Der Versand läuft über unser Postfach bei Microsoft 365 (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) als Auftragsverarbeiterin.

Weitere Empfänger gibt es nicht. Berichte und Fundlisten geben wir nicht an Dritte weiter, veröffentlichen sie nicht und verwenden sie nicht für Werbe- oder Referenzzwecke (AGB C.11 Abs. 3). Beraterinnen und Berater, etwa für Recht oder Buchhaltung, sehen Daten nur, soweit das für ihre Aufgabe nötig ist und sie zur Verschwiegenheit verpflichtet sind.

 

6.  Übermittlung in die USA

Die KI-Anbieter Anthropic und OpenAI verarbeiten Daten auch in den USA. Übermittelt werden ausschließlich die Inhalte der geprüften Website und die Adressen ihrer Seiten, keine Kontakt-, Bestell- oder Zahlungsdaten. Grundlage der Übermittlung ist der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, soweit der jeweilige Anbieter darunter zertifiziert ist, im Übrigen die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil der Datenverarbeitungsvereinbarungen mit den Anbietern sind. Alle übrigen Daten bleiben in Deutschland, Irland und Österreich.

 

7.  Wie lange wir Daten speichern

Vorschau ohne Bestellung: Die gelesenen Seiten und das Ergebnis der Vorschau löschen wir 30 Tage nach dem Lauf. Die Adressliste der Vorschauen (E-Mail-Adresse, Website, Zeitpunkt) löschen wir nach zwölf Monaten.

Aufträge: Bestelldaten, Website-Inhalte, Bericht und Fundliste löschen wir zwölf Monate nach Zustellung des Berichts. In dieser Zeit können wir den Bericht auf Wunsch noch einmal an die Bestelladresse schicken. Danach bleiben nur die Angaben, die wir für Rechnung und Nachweis brauchen (Website, Betrag, Datum, Status, Stripe-Kennung), für sieben Jahre nach § 132 BAO.

Stornierte Aufträge: gleiche Fristen, die Rückerstattung läuft über Stripe.

E-Mails: Die Kopien der Kundenmails bleiben in unserem Postfach, solange sie für Rückfragen und Nachweise gebraucht werden, längstens für die Dauer der Aufbewahrungspflicht.

Technische Protokolle: Sie werden am Server laufend überschrieben und bleiben in der Regel nur wenige Tage bis Wochen bestehen.

Bei den KI-Anbietern: Anthropic und OpenAI speichern die über die Schnittstelle übermittelten Inhalte nach eigenen Angaben bis zu 30 Tage zur Missbrauchskontrolle und löschen sie danach.

Bei Stripe: nach den Regeln von Stripe und den gesetzlichen Aufbewahrungspflichten für Zahlungs- und Rechnungsdaten.

8.  Inhalte eurer Website und Daten Dritter

Wir lesen nur, was auf eurer Website öffentlich zugänglich ist. Enthalten diese Seiten personenbezogene Daten (etwa Namen von MitarbeiterInnen, GeschäftsführerInnen, LieferantInnen oder Personen in Gästestimmen), werden sie im Zuge der Durchsicht mitverarbeitet und können im Bericht als Teil eines Zitats erscheinen. Ihr bestätigt bei der Bestellung, dass ihr die Website betreibt oder zur Beauftragung ermächtigt seid (AGB C.4 und C.11). Für die Rechtmäßigkeit der Veröffentlichung dieser Daten auf eurer Website seid ihr verantwortlich, für die Verarbeitung im Zuge der Durchsicht wir, auf Grundlage des Vertrags mit euch und unseres berechtigten Interesses an der Erbringung des Dienstes (Art. 6 Abs. 1 lit. b und f DSGVO). Der Bericht dient ausschließlich eurer internen Verwendung.

Wenn ihr eine Website angebt, die ihr nicht betreibt und für die ihr nicht ermächtigt seid, schließen wir den Auftrag nicht ab. Bestellungen ohne erkennbaren Bezug zur Website werden von uns persönlich geprüft (Abschnitt 9).

9.  Keine automatisierte Entscheidung

Der Bericht ist eine Vorselektion von Formulierungen und keine Entscheidung mit rechtlicher Wirkung euch gegenüber. Die Beurteilung bleibt bei euch. Ob eine Bestellung direkt zur Zahlung geht oder zuerst als Anfrage bei uns landet, richtet sich nach dem Abgleich zwischen Bestellung und Website. Diese Weichenstellung hat keine rechtliche Wirkung: Eine Anfrage wird von uns persönlich geprüft und entweder mit einem Zahlungslink freigegeben oder abgelehnt, in beiden Fällen bekommt ihr eine Nachricht. Eine automatisierte Entscheidung im Sinn des Art. 22 DSGVO findet nicht statt.

10.  Cookies und Dienste Dritter auf der Kundenseite

Die Kundenseite des EmpCo-Checks setzt keine Cookies, verwendet keine Analyse- oder Werbewerkzeuge und lädt keine Schriften, Skripte oder Bilder von Dritten. Der Link zu einer laufenden Vorschau steht in der Adresszeile eures Browsers und enthält nur die Kennung der Vorschau. Die Zahlungsseite von Stripe, auf die ihr beim Bezahlen wechselt, setzt eigene, für die Zahlung notwendige Cookies nach den Regeln von Stripe.

11.  Sicherheit

Die Verbindung zur Kundenseite und zu den Schnittstellen ist verschlüsselt (HTTPS). Berichte und Fundlisten werden am Server zugriffsgeschützt gespeichert und ausschließlich per E-Mail an die bei der Bestellung angegebene Adresse verschickt. Es gibt keine Abrufseite und keinen öffentlichen Link zum Bericht. Der Stornolink in der Bestätigungsmail enthält einen zufälligen Schlüssel und funktioniert nur bis zum Start der Durchsicht. Zugriff auf die Auftragsdaten am Server hat nur Manuela Machner über einen passwortgeschützten Zugang.

12.  Eure Rechte

Ihr habt das Recht auf Auskunft über die zu eurer Person gespeicherten Daten, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie auf Widerspruch gegen Verarbeitungen, die auf ein berechtigtes Interesse gestützt sind. Eine Anfrage genügt an info@kinet.ai. Bitte gebt die Auftragsnummer oder die Website an, damit wir den Auftrag zuordnen können. Die Löschung eines laufenden Auftrags ist als Stornierung bis zum Start der Durchsicht möglich, danach mit Abschluss des Auftrags, soweit keine Aufbewahrungspflichten entgegenstehen.

Wenn ihr der Ansicht seid, dass die Verarbeitung eurer Daten gegen das Datenschutzrecht verstößt, könnt ihr euch bei der österreichischen Datenschutzbehörde beschweren: Datenschutzbehörde, Barichgasse 40 bis 42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at. Ihr könnt euch auch an die Aufsichtsbehörde eures Sitzlandes wenden.

13.  Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst, die eingesetzten Anbieter oder die Rechtslage ändern. Es gilt die jeweils unter www.kinet.ai/datenschutz veröffentlichte Fassung. Für einen laufenden Auftrag gilt die Fassung zum Zeitpunkt der Bestellung, spätere Änderungen betreffen ihn nur, soweit sie für euch günstiger sind.