Datenschutzerklärung

Stand: November 2026

Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen (DSGVO, DSG, TKG 2021). Diese Erklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung auf der Website und Plattform sentrivo.at.

1. Verantwortlicher

Gerhard Kienbauer
Riedauerstraße 4, 4753 Taiskirchen im Innkreis, Österreich
E-Mail: team@sentrivo.at

2. Rollenverteilung bei Unternehmenskunden

Sentrivo ist eine Plattform für Unternehmen. Registriert ein Unternehmen seine Mitarbeiterinnen und Mitarbeiter auf der Plattform, so ist das Unternehmen Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO für die Daten seiner Beschäftigten. Sentrivo verarbeitet diese Daten als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage einer Auftragsverarbeitungsvereinbarung, die Bestandteil des Nutzungsvertrags ist. Für den Besuch der öffentlichen Website und die Registrierung des Unternehmens-Administrators ist Sentrivo selbst Verantwortlicher.

3. Welche Daten wir verarbeiten

3.1 Besuch der Website (Server-Logs)

Beim Aufruf der Website verarbeitet unser Hosting-Anbieter automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp und Betriebssystem, Referrer-URL. Diese Daten dienen der technischen Bereitstellung, Stabilität und Sicherheit der Website (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse). Speicherdauer: Die Server-Logfiles werden nach 30 Tagen gelöscht.

3.2 Registrierung und Nutzerkonto

Bei der Registrierung verarbeiten wir: Name, E-Mail-Adresse, Passwort (ausschließlich als kryptografischer Hash), Unternehmensname, Rolle (Administrator/Mitarbeiter) und Zuordnung zum Unternehmen. Zweck: Bereitstellung des Nutzerkontos und Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

3.3 Schulungsdaten

Bei der Nutzung der Plattform verarbeiten wir: absolvierte Module, Quiz-Ergebnisse, erreichte Punkte (XP), Level, Abzeichen sowie Zeitstempel von Abschlüssen. Zweck: Nachweis der Schulung, Fortschrittsanzeige und Auswertungen für den Unternehmens-Administrator (Art. 6 Abs. 1 lit. b DSGVO bzw. für Beschäftigte: berechtigtes Interesse des Arbeitgebers an nachweisbarer Security-Awareness gemäß Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit gesetzlichen Sorgfaltspflichten, z.B. NIS-Gesetz).

Hinweis für Beschäftigte: Ihr Arbeitgeber (Unternehmens-Administrator) kann Ihren Schulungsfortschritt und Ihre Quiz-Ergebnisse einsehen. Eine Auswertung zu anderen Zwecken als der Schulungsnachweisführung findet durch Sentrivo nicht statt.

3.4 Einladungen

Lädt ein Administrator Beschäftigte ein, speichern wir die eingeladene E-Mail-Adresse und einen Einladungs-Token bis zur Annahme der Einladung bzw. maximal 30 Tage.

3.5 Kontaktaufnahme

Bei Kontaktaufnahme per E-Mail oder über das Kontaktformular auf unserer Website werden Ihre Angaben (Name, E-Mail-Adresse, optional Unternehmen und Telefonnummer, Anliegen und Nachricht) zur Bearbeitung der Anfrage und für Anschlussfragen gespeichert (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Anfragen über das Kontaktformular werden in unserer Datenbank (Supabase, siehe Abschnitt 5) gespeichert und per E-Mail an uns weitergeleitet. Zum Schutz vor Missbrauch (Spam) speichern wir für 30 Tage einen nicht rückführbaren Hashwert Ihrer IP-Adresse. Die Anfrage selbst löschen wir spätestens 12 Monate nach Abschluss der Bearbeitung, sofern keine gesetzlichen Aufbewahrungspflichten oder ein Vertragsverhältnis entgegenstehen.

3.6 Link- und Mail-Check

Im Kundenbereich können angemeldete Nutzer Links, denen sie nicht vertrauen, auf typische Merkmale von Phishing und Betrug prüfen lassen. Der eingegebene Link wird dabei nicht aufgerufen; geprüft wird ausschließlich die Adresse selbst. Zur Bewertung fragen wir bei der für die Domain zuständigen Registrierungsstelle über das standardisierte RDAP-Verfahren das Registrierungsdatum der Domain ab. Dabei wird nur der Domain-Name übermittelt, keine Angaben zu Ihrer Person.

Mail-Check: Nutzer können zudem eine verdächtige E-Mail als Datei prüfen lassen. Die Datei wird nicht hochgeladen, sondern direkt im Browser des Nutzers ausgewertet. Zur Bewertung an unseren Server übermittelt werden nur: Name und Adresse des Absenders, eine abweichende Antwort-Adresse, die Prüfergebnisse des empfangenden Mailservers (SPF, DKIM, DMARC), die in der Mail enthaltenen Links, Namen, Typen und Größen der Anhänge sowie Hinweise auf typische Betrugsmerkmale im Text in Form von Ja/Nein-Angaben (z. B. „Bitte um Überweisung“). Der Mailtext selbst, Betreff und Anhänge verlassen den Browser nicht. Um Absender zu erkennen, die sich als Kolleginnen oder Kollegen ausgeben, gleichen wir den Absendernamen mit den Namen der Nutzer Ihres Unternehmens auf der Plattform ab. Links und Anhänge werden nicht geöffnet. Diese Angaben werden nur für die Dauer der Prüfung verarbeitet und nicht gespeichert, mit Ausnahme der Absender-Domain wie im folgenden Absatz beschrieben.

Zu jeder Prüfung speichern wir die geprüfte Domain bzw. beim Mail-Check die Absender-Domain (nicht den vollständigen Link und keine Mailinhalte), das Ergebnis, den Zeitpunkt sowie die Zuordnung zu Ihrem Benutzerkonto und Unternehmen. Zweck: Begrenzung der Anzahl an Prüfungen zum Schutz vor Missbrauch sowie eine anonyme Auswertung für den Unternehmens-Administrator. Der Administrator sieht dabei nur Gesamtzahlen und auffällige Domains, nicht jedoch, wer welchen Link geprüft hat. Die Daten werden nach 90 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der vertraglich vereinbarten Leistung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und missbrauchsfreien Betrieb der Plattform und am Schutz des Unternehmens vor Betrugsversuchen).

3.7 Kontaktaufnahme mit Unternehmen (Direktwerbung)

Wir stellen unser Angebot Unternehmen, für deren berufliche Tätigkeit es relevant sein kann, gelegentlich per E-Mail vor – ausschließlich in Ländern, in denen dies gegenüber Unternehmen ohne vorherige Einwilligung zulässig ist. Dafür verarbeiten wir Daten aus öffentlich zugänglichen Quellen (Website des Unternehmens, Branchenverzeichnisse, Firmenregister): Firmenname, Anschrift, allgemeine geschäftliche E-Mail-Adresse und Telefonnummer, Website sowie gegebenenfalls Name und Funktion einer dort genannten Ansprechperson. Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot vorzustellen (Art. 6 Abs. 1 lit. f DSGVO).

Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO) – mit einer kurzen Antwort auf unsere E-Mail oder an team@sentrivo.at. Wir kontaktieren Sie dann nicht mehr und speichern nur noch einen Sperrvermerk (Firmenname und E-Mail-Adresse), damit das dauerhaft sichergestellt ist. Erhalten wir keine Antwort, löschen wir die Daten spätestens 12 Monate nach der letzten Kontaktaufnahme. Der Versand erfolgt über unser E-Mail-Postfach bei IONOS (siehe Abschnitt 5).

4. Cookies, lokale Speicherung und Google Ads

Für die Anmeldung wird ein Sitzungs-Token im lokalen Speicher Ihres Browsers (localStorage) abgelegt. Dieser ist technisch zwingend erforderlich, um Sie angemeldet zu halten, und wird bei Abmeldung gelöscht. Ebenso speichern wir dort Ihre Auswahl im Cookie-Banner (für 12 Monate). Eine Einwilligung ist hierfür nach § 165 Abs. 3 TKG 2021 nicht erforderlich. Analyse-Tools setzen wir nicht ein.

Google Ads Conversion-Tracking (nur mit Ihrer Einwilligung): Wenn Sie im Cookie-Banner auf „Akzeptieren“ klicken, laden wir auf den öffentlichen Seiten unserer Website (nicht in der Plattform nach der Anmeldung) den Google-Tag (gtag.js) von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit messen wir, ob Besucher über eine unserer Google-Anzeigen auf die Website gekommen sind und sich anschließend z. B. registriert haben. Dabei werden Cookies gesetzt (z. B. „_gcl_au“) und Daten wie IP-Adresse, Geräte- und Browserinformationen, aufgerufene Seiten, Zeitpunkt sowie die Klick-Kennung der Anzeige an Google übermittelt. Google verarbeitet diese Daten teilweise als eigenständig Verantwortlicher; es gelten die Datenschutzbedingungen von Google Ads für Verantwortliche. Google kann Daten auch an Google LLC in den USA übermitteln; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Ohne Einwilligung wird der Google-Tag nicht geladen und es werden keine Daten an Google übermittelt. Die Cookies werden je nach Art nach 90 Tagen bis höchstens 13 Monaten gelöscht. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Cookie-Einstellungen öffnen (auch über den Link „Cookie-Einstellungen“ im Fußbereich der Website). Mehr zum Datenschutz bei Google: policies.google.com/privacy

5. Empfänger und Auftragsverarbeiter

Eine Weitergabe an sonstige Dritte erfolgt nicht, außer an Google im Rahmen von Abschnitt 4 (nur mit Ihrer Einwilligung) oder wenn wir gesetzlich dazu verpflichtet sind.

6. Speicherdauer

Kontodaten und Schulungsdaten werden für die Dauer des Nutzungsvertrags gespeichert und nach dessen Ende bzw. auf Anweisung des Unternehmenskunden innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Schulungsnachweise können auf Wunsch des Unternehmens zur Dokumentation gegenüber Behörden oder Auditoren länger aufbewahrt werden. Protokolle des Link- und Mail-Checks (Abschnitt 3.6) werden nach 90 Tagen automatisch gelöscht. Daten aus der Kontaktaufnahme mit Unternehmen (Abschnitt 3.7) löschen wir spätestens 12 Monate nach dem letzten Kontakt; Sperrvermerke nach einem Widerspruch bewahren wir auf, solange wir Unternehmen per E-Mail kontaktieren.

7. Datensicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt (TLS). Passwörter werden nur als Hash gespeichert. Der Zugriff auf Daten ist über rollenbasierte Zugriffsregeln (Row Level Security) so beschränkt, dass jedes Unternehmen ausschließlich die eigenen Daten sehen kann.

8. Ihre Rechte

Ihnen stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) zu. Wenden Sie sich dazu an team@sentrivo.at. Beschäftigte eines Unternehmenskunden wenden sich in erster Linie an ihren Arbeitgeber als Verantwortlichen; wir unterstützen diesen bei der Beantwortung.

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen Datenschutzrecht verstößt, können Sie sich bei der Aufsichtsbehörde beschweren. In Österreich ist dies die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

9. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Rechtslage oder unsere Verarbeitungen ändern. Die jeweils aktuelle Fassung ist unter sentrivo.at/datenschutz abrufbar.

← Zurück zur Startseite Impressum