Datenschutzerklärung

1. Verantwortlicher

CertoClav Sterilizer GmbH
Peintner Straße 10, 4060 Leonding, Österreich
Firmenbuch: FN 122912d, Landesgericht Linz
Telefon: +43 732 674 278
E-Mail: contact@chatflamingo.com

Ansprechpartner für den Datenschutz ist Michael Simon. Sie erreichen ihn unter contact@chatflamingo.com oder unter der oben genannten Anschrift.

Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter im Sinne von Art. 37 DSGVO ist damit nicht bestellt; eine Pflicht dazu besteht nicht: Unsere Kerntätigkeit liegt weder in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen noch in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten.

2. Grundsatz

Wir verarbeiten personenbezogene Daten nur, soweit das für den Betrieb dieser Website und für die Erbringung unserer Leistung erforderlich ist. Für die Reichweitenmessung und für die Messung unserer Google-Anzeigen werden Cookies gesetzt — aber erst, nachdem Sie dem ausdrücklich zugestimmt haben. Vor Ihrer Zustimmung wird dafür nichts gespeichert und nichts an Google übermittelt; die Website funktioniert dabei unverändert. Einzelheiten in Punkt 3.3 und 3.4. Dazu kommt unser eigener Chat, der ohne Cookies auskommt, aber Einträge im Browser hinterlegt, damit ein Gespräch nicht bei jedem Seitenwechsel von vorn beginnt — Punkt 3.5. Tracking-Pixel Dritter setzen wir nicht ein.

3. Aufruf dieser Website

3.1 Hosting und Server-Protokolle

Diese Website wird über das Netzwerk von Cloudflare, Inc. ausgeliefert. Beim Aufruf verarbeitet der Betreiber der Infrastruktur technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statusmeldung und die vom Browser übermittelte Kennung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb der Website.

Cloudflare verarbeitet diese Daten als unser Auftragsverarbeiter. Grundlage ist der Auftragsverarbeitungsvertrag, den Cloudflare als Bestandteil seiner Geschäftsbedingungen stellt und der die Standardvertragsklauseln der Europäischen Kommission einschließt.

Eigene Server-Protokolle führen wir nicht. Die Verbindungsdaten fallen im Netzwerk von Cloudflare an und werden dort nur kurzzeitig zur Abwehr von Angriffen und zur Fehlersuche vorgehalten. Wir werten sie nicht aus und führen sie nicht mit anderen Daten zusammen.

3.2 Schriften

Die verwendeten Schriften werden von unserem eigenen Server ausgeliefert. Es findet keine Verbindung zu einem externen Schriftanbieter statt, insbesondere nicht zu Google Fonts.

3.3 Reichweitenmessung (Google Analytics) — nur mit Einwilligung

Wir setzen Google Analytics 4 ein, um zu sehen, welche Seiten aufgerufen werden und woher die Besucher kommen. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei werden ein Cookie auf Ihrem Endgerät gespeichert und eine zufällige Kennung, aufgerufene Seiten, Verweildauer, ungefährer Standort auf Länder- und Ortsebene, Gerätetyp, Browser und die verweisende Adresse verarbeitet. Die IP-Adresse wird von Google vor der Speicherung gekürzt; wir erhalten sie nicht.

Die Daten fließen in eine eigene Property, die ausschließlich diese Website erfasst (G-X3QY1REKPS). Sie werden nicht mit den Daten anderer Websites unseres Unternehmens zusammengeführt.

Das geschieht ausschließlich mit Ihrer Einwilligung — dieselbe Abfrage wie in Punkt 3.4, und derselbe Widerruf. Ohne Zustimmung steht analytics_storage im Einwilligungsmodus von Google auf abgelehnt: Es wird kein Cookie gesetzt. Rechtsgrundlage ist Ihre Einwilligung nach § 165 Abs. 3 TKG 2021 (Österreich) beziehungsweise § 25 Abs. 1 TDDDG (Deutschland) und Art. 6 Abs. 1 lit. a DSGVO.

Wir bilden kein Profil über fremde Websites hinweg. Die Funktion „Google-Signale", die Nutzer geräteübergreifend zusammenführt, ist in dieser Property abgeschaltet. Die Aufbewahrung der Ereignisdaten steht auf zwei Monaten — der kürzesten Frist, die Google zulässt. Zur Übermittlung in die Vereinigten Staaten siehe Punkt 9.

3.4 Anzeigenmessung (Google Ads) — nur mit Einwilligung

Wir bewerben diese Website über Google Ads. Um zu erkennen, welche Anzeige zu einer Registrierung führt, setzen wir das Conversion-Tracking von Google ein. Dabei speichert Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ein Cookie auf Ihrem Endgerät und liest die Kennung des Anzeigenklicks (gclid, gbraid oder wbraid) aus der aufgerufenen Adresse aus. Verarbeitet werden dabei diese Kennung, Datum und Uhrzeit, die aufgerufene Seite, Ihre IP-Adresse und die von Ihrem Browser übermittelte Kennung. Wir erfahren daraus nur, wie viele Registrierungen auf welche Anzeige entfallen — nicht, wer sich registriert hat.

Das geschieht ausschließlich mit Ihrer Einwilligung. Beim ersten Aufruf erscheint dazu eine Abfrage. Solange Sie nicht zugestimmt haben, steht der Einwilligungsmodus von Google („Consent Mode v2") auf abgelehnt: Es wird kein Cookie gesetzt und keine Kennung übermittelt. Lehnen Sie ab, bleibt es dauerhaft dabei.

Ihre Antwort merkt sich allein Ihr Browser (localStorage, Schlüssel cf-consent). Diese Angabe verlässt Ihr Gerät nicht. Sie ist der Einwilligungsmechanismus selbst und deshalb nach § 165 Abs. 3 Z 1 TKG 2021 beziehungsweise § 25 Abs. 2 TDDDG ohne Einwilligung zulässig.

Rechtsgrundlage für das Speichern und Auslesen von Informationen auf Ihrem Endgerät ist Ihre Einwilligung nach § 165 Abs. 3 TKG 2021 (Österreich) beziehungsweise § 25 Abs. 1 TDDDG (Deutschland), für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Dafür genügt der Knopf Einwilligung ändern am Fuß jeder Seite. Er gilt für beide Messungen, die nach Punkt 3.3 und die nach Punkt 3.4. Der Widerruf stellt sie sofort ab und löscht die dafür gesetzten Cookies (_ga*, _gcl*, _gac*). Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Soweit Daten für diese Messung erhoben und an Google übermittelt werden, sind wir dafür gemeinsam mit Google verantwortlich (Art. 26 DSGVO); Grundlage ist die Vereinbarung über gemeinsam Verantwortliche, die Google in seine Nutzungsbedingungen für Google Ads einbezieht. Für die anschließende eigene Verarbeitung ist Google allein verantwortlich. Zur Übermittlung in die Vereinigten Staaten siehe Punkt 9.

Das Wesentliche dieser Vereinbarung: Ihre Einwilligung einzuholen und Sie nach Art. 13 DSGVO zu informieren, ist unsere Aufgabe — das tut diese Seite. Für die Sicherheit der Verarbeitung und für die Betroffenenrechte in Bezug auf die bei ihm gespeicherten Daten steht Google ein. Nach Art. 26 Abs. 3 DSGVO können Sie Ihre Rechte gegenüber jedem von uns beiden geltend machen; wenden Sie sich an uns, leiten wir Ihr Anliegen an Google weiter.

3.5 Unser eigener Chat auf dieser Website

Auf dieser Website läuft ChatFlamingo selbst — dasselbe Widget, das wir anbieten. Es wird von cdn.chatflamingo.com geladen und spricht mit unserer eigenen Instanz unter cf-n5k368.chatflamingo.com. Ein Auftragsverarbeiter ist dafür nicht beteiligt; wir betreiben die Instanz selbst.

Was dabei auf Ihrem Endgerät gespeichert wird: keine Cookies, sondern Einträge im localStorage Ihres Browsers, alle mit dem Präfix certochat-. Das sind eine zufällige Sitzungskennung (certochat-session), die Herkunft Ihres Besuchs — verweisende Adresse und Einstiegsseite — (certochat-touch), der Gesprächsverlauf sowie die Angaben, die Sie im Chat selbst machen (etwa certochat-name und certochat-email). Der gesamte Satz wird nach sieben Tagen verworfen. Lässt Ihr Browser den localStorage nicht zu, weicht das Widget auf den sessionStorage und zuletzt auf den Arbeitsspeicher aus — dann ist nach dem Schließen des Tabs nichts mehr da.

Was dabei an uns übertragen wird: Sitzungskennung, die aufgerufene Adresse, die Sprache, verweisende Adresse und Einstiegsseite. Damit hält der Chat das Gespräch über Seitenwechsel hinweg zusammen und zeigt uns, worüber Sie gerade lesen, wenn Sie eine Frage stellen. Schreiben Sie in den Chat, verarbeiten wir zusätzlich den Inhalt Ihrer Nachrichten und die Angaben, die Sie freiwillig eintragen.

Rechtsgrundlage für das Speichern und Auslesen auf Ihrem Endgerät ist § 165 Abs. 3 Z 2 TKG 2021 beziehungsweise § 25 Abs. 2 Nr. 2 TDDDG: Die Einträge sind erforderlich, damit der von Ihnen aufgerufene Dienst — der Chat — überhaupt funktioniert. Für die anschließende Verarbeitung ist es unser berechtigtes Interesse an einer funktionierenden Beratung auf der eigenen Website (Art. 6 Abs. 1 lit. f DSGVO), bei einer Anfrage mit Vertragsbezug Art. 6 Abs. 1 lit. b DSGVO.

Sie können den Chat vollständig meiden: Er öffnet sich nicht von selbst mit Ihren Daten, und ohne Ihre Nachricht erfahren wir nichts über Sie außer dem oben Aufgezählten. Löschen können Sie die Einträge jederzeit über die Website-Daten Ihres Browsers.

4. Kontaktaufnahme

Wenn Sie uns schreiben oder anrufen, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage auf einen Vertrag gerichtet ist, sonst Art. 6 Abs. 1 lit. f DSGVO.

Anfragen und den zugehörigen Schriftverkehr löschen wir zwölf Monate nach der abschließenden Antwort. Führt die Anfrage zu einem Vertrag, gelten stattdessen die Fristen aus Punkt 10.

5. Konto und Nutzung des Dienstes

Für ein ChatFlamingo-Konto verarbeiten wir die Angaben, die Sie beim Anlegen machen — insbesondere E-Mail-Adresse, Anzeigename und die Adresse Ihrer Website — sowie Daten, die bei der Nutzung entstehen, etwa die Zahl der Anmeldungen und der verbrauchten KI-Antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Sind Sie über eine unserer Anzeigen gekommen, speichern wir zum Konto zusätzlich die Kennung des Anzeigenklicks und die Herkunftsangaben aus der aufgerufenen Adresse (Kampagne, Anzeigengruppe, Suchbegriff, Gerät). Damit werten wir aus, welche Anzeige neue Konten bringt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der wirtschaftlichen Steuerung unserer Werbung. Diese Angaben löschen wir spätestens 90 Tage nach der Registrierung. Sie können der Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen.

Ein kostenloses Konto, dessen Widget seit 90 Tagen nicht geladen wurde, wird nach vorheriger Ankündigung stillgelegt und die zugehörigen Daten gelöscht.

Buchen Sie ein kostenpflichtiges Paket, wickeln wir die Zahlung über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland ab. Stripe verarbeitet dabei Ihren Namen, Ihre E-Mail-Adresse, die Rechnungsanschrift und die Angaben zum gewählten Zahlungsmittel. Welche Zahlungsarten zur Verfügung stehen — Kreditkarte, PayPal, Klarna und weitere — hängt von Ihrem Land ab.

Zahlungsdaten wie Kartennummern sehen wir nicht. Sie werden unmittelbar bei Stripe eingegeben. Von Stripe erhalten wir nur, ob eine Zahlung erfolgreich war, welches Zahlungsmittel gewählt wurde und die Angaben, die wir für die Rechnung und für unsere steuerlichen Aufzeichnungen brauchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung der Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO.

Buchen Sie ChatFlamingo als App über den Shopify App Store, läuft die Abrechnung nicht über Stripe, sondern über Shopify. Die Beträge erscheinen dann auf Ihrer regulären Shopify-Rechnung und werden von der Shopify International Limited, The Sidings, 4th Floor, Grand Canal Quay, Dublin D02 E7K8, Irland, eingezogen. Shopify entscheidet dabei in eigener Verantwortung, welche Daten es dafür verarbeitet; es gilt Shopifys eigene Datenschutzerklärung. Von Shopify erfahren wir, für welchen Shop welches Paket gebucht ist und ob die Abrechnung aktiv ist. Ihr Zahlungsmittel und Ihre Zahlungsdaten sehen wir in diesem Fall ebenso wenig wie bei Stripe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung der Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO.

6. Daten Ihrer Website-Besucher

Setzen Sie ChatFlamingo auf Ihrer eigenen Website ein, sind Sie für die Daten Ihrer Besucher datenschutzrechtlich verantwortlich. Wir verarbeiten diese Daten ausschließlich in Ihrem Auftrag und nach Ihren Weisungen. Die Einzelheiten regelt der Auftragsverarbeitungsvertrag, der Bestandteil des Vertrags mit uns ist.

Im Auftrag verarbeitet werden insbesondere:

• Inhalte der Chat-Nachrichten und der Gesprächsverlauf
• Angaben, die Besucher freiwillig machen, etwa Name, E-Mail-Adresse oder Telefonnummer
• aufgerufene Seiten, Verweildauer, Browser und Betriebssystem
• ungefährer Standort aus der IP-Adresse — im Dashboard abschaltbar
• von Besuchern hochgeladene Dateien und Bilder

Die Gespräche liegen in einer Datenbank, die Ihrem Konto zugeordnet ist. Die Löschfristen für Anhänge und ganze Gespräche stellen Sie selbst ein.

7. Künstliche Intelligenz

Sollen Fragen automatisch beantwortet werden, wird der Inhalt der Frage, der bisherige Gesprächsverlauf und der passende Ausschnitt aus Ihrer Wissensbasis an unseren Anbieter für Sprachmodelle übermittelt, um die Antwort zu erzeugen.

Dafür setzen wir Sprachmodelle von Anthropic PBC, San Francisco, USA, und OpenAI Ireland Ltd., Dublin, Irland, ein. OpenAI verarbeitet dabei auch über die OpenAI, L.L.C. in den USA. Welches Modell antwortet, stellen Sie im Dashboard ein.

Beide Anbieter sind unsere Auftragsverarbeiter und — soweit Daten Ihrer Website-Besucher betroffen sind — Unterauftragsverarbeiter im Sinne des Auftragsverarbeitungsvertrags. Mit beiden bestehen Auftragsverarbeitungsverträge einschließlich der Standardvertragsklauseln der Europäischen Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Besucherdaten Ihre Weisung nach Art. 28 DSGVO.

Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet. Das ist in den Verträgen mit beiden Anbietern ausgeschlossen. Die Anbieter speichern die Inhalte nur vorübergehend zur Missbrauchskontrolle und löschen sie anschließend.

Der Bot weist auf Nachfrage darauf hin, dass es sich um eine KI handelt. Damit wird der Transparenzpflicht nach Art. 50 der KI-Verordnung (EU) 2024/1689 entsprochen.

8. Empfänger und Auftragsverarbeiter

Wir geben Daten nur an Dienstleister weiter, die wir als Auftragsverarbeiter nach Art. 28 DSGVO gebunden haben. Das sind:

Cloudflare, Inc.	Auslieferung dieser Website, Schutz vor Angriffen · San Francisco, USA · AVV mit Standardvertragsklauseln
Salesforce, Inc. (Heroku)	Betrieb der Anwendung und der Datenbanken · San Francisco, USA, Rechenzentrum in der EU · AVV mit Standardvertragsklauseln
Anthropic PBC	Sprachmodell für die Antworten der KI · San Francisco, USA · AVV mit Standardvertragsklauseln
OpenAI Ireland Ltd.	Sprachmodell für die Antworten der KI · Dublin, Irland · AVV mit Standardvertragsklauseln für die Verarbeitung in den USA
Stripe Payments Europe, Ltd.	Zahlungsabwicklung für kostenpflichtige Pakete · Dublin, Irland · AVV; die Verarbeitung durch die Stripe, Inc. in den USA ist über Standardvertragsklauseln abgedeckt

Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) verarbeitet Daten in zwei Rollen: für die Reichweitenmessung nach Punkt 3.3 als unser Auftragsverarbeiter nach Art. 28 DSGVO (Grundlage sind die Google-Analytics-Bedingungen zur Datenverarbeitung einschließlich der Standardvertragsklauseln), für die Anzeigenmessung nach Punkt 3.4 als mit uns gemeinsam Verantwortlicher nach Art. 26 DSGVO. Daten erreichen Google in beiden Fällen nur, wenn Sie zugestimmt haben.

Shopify International Limited (The Sidings, 4th Floor, Grand Canal Quay, Dublin D02 E7K8, Irland) steht nicht in der Tabelle, weil Shopify nicht unser Auftragsverarbeiter ist. Wer die App über den Shopify App Store bucht, steht dafür in einem eigenen Vertragsverhältnis mit Shopify; Shopify ist insoweit eigener Verantwortlicher nach Art. 4 Z 7 DSGVO. Das betrifft nur die Abrechnung nach Punkt 5 — wer ChatFlamingo ohne die Shopify-App nutzt, hat mit Shopify nichts zu tun.

Die Systeme, die Sie an Ihren Chat anbinden, sind keine Empfänger im Sinne dieser Tabelle. Legt Ihr Bot ein Ticket in Ihrem Helpdesk an, schreibt er einen Kontakt in Ihr CRM oder antwortet er in WhatsApp Business, Facebook Messenger oder Instagram, dann geschieht das auf Ihre Weisung und mit Ihren eigenen Zugängen. Verantwortlicher dafür sind Sie; wir verarbeiten insoweit in Ihrem Auftrag. Welche Anbieter Sie dabei einsetzen — für die drei genannten Kanäle die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland — entscheiden Sie selbst, und in Ihrer eigenen Datenschutzerklärung sind sie zu nennen. Unsere Unterauftragsverarbeiter bleiben die, die Anlage 2 des AV-Vertrags aufführt.

Eine externe Fehlerüberwachung setzen wir derzeit nicht ein. Kommen weitere Dienstleister hinzu, nennen wir sie hier, bevor sie eingesetzt werden.

Darüber hinaus geben wir Daten nur weiter, wenn wir dazu gesetzlich verpflichtet sind oder es zur Durchsetzung unserer Rechte erforderlich ist.

9. Übermittlung in Drittländer

Cloudflare, Salesforce, Anthropic, OpenAI und — bei erteilter Einwilligung in die Messung — Google verarbeiten Daten auch in den Vereinigten Staaten. Grundlage der Übermittlung sind die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Soweit ein Empfänger unter dem EU-US Data Privacy Framework zertifiziert ist, stützt sich die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der Kommission vom 10. Juli 2023 nach Art. 45 DSGVO.

Eine Kopie der Standardvertragsklauseln erhalten Sie bei uns: Schreiben Sie an contact@chatflamingo.com, wir senden sie Ihnen zu.

Ergänzend sind vereinbart: Verschlüsselung bei der Übertragung und bei der Speicherung, Beschränkung der übermittelten Daten auf das für die jeweilige Antwort Erforderliche und die Pflicht des Empfängers, uns über behördliche Auskunftsersuchen zu unterrichten, soweit das rechtlich zulässig ist.

10. Speicherdauer

Server-Protokolle	keine eigene Speicherung, siehe Punkt 3.1
Anfragen per E-Mail oder Telefon	12 Monate nach der abschließenden Antwort
Kontodaten	für die Dauer des Vertrags, danach 30 Tage, dann Löschung
Klick-Kennung und Herkunft der Anzeige	90 Tage nach der Registrierung
Cookie der Anzeigenmessung	Laufzeit von Google vorgegeben, längstens 90 Tage; beim Widerruf sofort gelöscht
Cookie der Reichweitenmessung	bis zu 2 Jahre; beim Widerruf sofort gelöscht
Einträge unseres Chats im Browser (certochat-*)	7 Tage, dann verwirft der Chat den ganzen Satz von selbst
Ereignisdaten in Google Analytics	2 Monate — die kürzeste Frist, die Google zulässt
Kostenloses Konto ohne Nutzung	90 Tage nach dem letzten Laden des Widgets, nach vorheriger Ankündigung
Gespräche Ihrer Website-Besucher	nach der Frist, die Sie im Dashboard einstellen; im kostenlosen Konto längstens 60 Tage
Rechnungen und Belege	7 Jahre nach Ablauf des Kalenderjahres (§ 212 UGB, § 132 BAO)

Läuft eine Frist ab, während ein Rechtsstreit anhängig ist oder droht, bewahren wir die betroffenen Daten bis zu dessen Erledigung eingeschränkt weiter auf.

11. Ihre Rechte

Sie haben nach der DSGVO das Recht auf

• Auskunft über die Sie betreffenden Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Wenden Sie sich dafür an contact@chatflamingo.com.

Sie haben außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde. Die für uns zuständige Behörde ist die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

12. Pflicht zur Bereitstellung

Für den Abschluss eines Vertrags und das Anlegen eines Kontos sind die dort abgefragten Angaben erforderlich. Ohne sie können wir die Leistung nicht erbringen.

13. Keine automatisierte Entscheidung im Einzelfall

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Die Antworten des Bots sind Auskünfte, keine Entscheidungen über Personen.

14. Änderungen

Stand dieser Erklärung: 26. September 2026. Wir passen sie an, wenn sich die Verarbeitung ändert.