Datenschutzerklärung

Diese Datenschutzerklärung gilt für die Webseite firefly-technologies.io und für die Firefly Suite (Anmeldung, Konten und die Verbindung von Google- und Microsoft-Konten). Wir schreiben sie so, dass man sie versteht. Wenn etwas unklar ist, frag uns.

1. Wer ist verantwortlich?

Firefly Technologies
Manuel Hutter
Plüddemanngasse 56/2/37
8010 Graz, Österreich
E-Mail: manuel.hutter@firefly-technologies.io

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil wir dazu nicht verpflichtet sind. Für alle Fragen zum Datenschutz erreichst du uns unter der oben genannten Adresse.

2. Das Wichtigste in Kürze

• Wir verarbeiten nur die Daten, die wir für den jeweiligen Zweck brauchen.
• Wir verkaufen keine Daten und nutzen Daten aus der Firefly Suite nie für Werbung.
• Daten aus verbundenen Google- oder Microsoft-Konten verwenden wir ausschließlich, um die Funktion bereitzustellen, die du in der Suite eingeschaltet hast.
• Jeder Kunde der Firefly Suite bekommt einen eigenen Server in der EU.
• Inhalte deiner verbundenen Konten nutzen wir nicht zum Trainieren von KI-Modellen.

3. Webseite

3.1 Hosting und Server-Protokolle

Die Webseite läuft auf einem Server, den wir bei Hostinger in einem Rechenzentrum in Deutschland gemietet haben. Beim Aufruf jeder Seite speichert der Server automatisch technische Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem sowie die Seite, von der du kommst.

Wir brauchen diese Daten, um die Webseite sicher und stabil zu betreiben und Angriffe zu erkennen. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 14 Tagen gelöscht. Mit Hostinger besteht ein Auftragsverarbeitungsvertrag.

3.2 Schriftarten

Die Schriftarten der Webseite liegen auf unserem eigenen Server. Beim Aufruf werden keine Daten an Google Fonts oder andere Schriftanbieter übertragen.

3.3 Einwilligung, Cookies und lokaler Speicher

Technisch notwendig ist nur, dass sich die Webseite deine Entscheidung im Cookie-Hinweis merkt. Dafür speichern wir einen Eintrag im lokalen Speicher deines Browsers. Rechtsgrundlage ist § 165 Abs. 3 TKG 2021 in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO.

Alles andere setzen wir nur ein, wenn du zustimmst (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Deine Einwilligung kannst du jederzeit über den Link „Cookie-Einstellungen“ im Fußbereich jeder Seite ändern oder widerrufen.

Meta Pixel (nur mit Einwilligung „Marketing“). Wenn du zustimmst, laden wir das Meta Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Damit messen wir, ob unsere Werbung auf Facebook und Instagram zu Besuchen auf unserer Webseite führt, und können dir dort passende Werbung zeigen. Dabei werden Gerätedaten, deine IP-Adresse und die besuchten Seiten an Meta übertragen. Meta kann diese Daten auch in den USA verarbeiten; Meta ist nach dem EU-US Data Privacy Framework zertifiziert. Für die gemeinsame Verarbeitung besteht mit Meta eine Vereinbarung nach Art. 26 DSGVO. Ohne deine Einwilligung wird das Pixel nicht geladen.

3.4 YouTube-Videos

Auf der Seite „Videos“ zeigen wir unsere YouTube-Videos. Vorschaubilder liefern wir von unserem eigenen Server aus. Erst wenn du ein Video anklickst, wird es über youtube-nocookie.com von der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, geladen. Dabei werden deine IP-Adresse, Geräte- und Nutzungsdaten an Google übertragen, auch in die USA; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Mit dem Klick auf das Video willigst du in diese Übertragung ein (Art. 6 Abs. 1 lit. a DSGVO); darauf weisen wir vor dem Laden hin. Mehr dazu in der Datenschutzerklärung von Google: https://policies.google.com/privacy

3.5 Potenzialanalyse, Passungs-Check und Anfragen

Wenn du die Potenzialanalyse oder den Passungs-Check ausfüllst, verarbeiten wir deine Angaben zu deinem Unternehmen (z. B. Branche, Größe, genutzte Programme, Abläufe, Ziele, Zeitrahmen, Budgetrahmen) sowie deinen Vornamen, deine E-Mail-Adresse und den Namen deines Unternehmens.

Wofür: um dir die Auswertung zu erstellen, dich dazu zu kontaktieren und, falls du das möchtest, ein Gespräch zu vereinbaren.

Wie: Deine Angaben gehen an unseren eigenen Automatisierungsserver (n8n) und werden in unserem eigenen System für Vertrieb und Kundenbetreuung gespeichert. Für die Auswertung nutzen wir ein KI-Sprachmodell der OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland. OpenAI verarbeitet die Angaben nur, um die Auswertung zu erzeugen, und nutzt Daten aus der Schnittstelle nach eigenen Angaben nicht zum Training. Eine Übermittlung in die USA ist möglich; OpenAI ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten Standardvertragsklauseln.

Rechtsgrundlage: Durchführung vorvertraglicher Maßnahmen auf deine Anfrage (Art. 6 Abs. 1 lit. b DSGVO) und deine Einwilligung zur Kontaktaufnahme (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst.

Speicherdauer: Kommt keine Zusammenarbeit zustande, löschen wir deine Angaben 24 Monate nach dem letzten Kontakt. Wirst du Kunde, gelten die gesetzlichen Aufbewahrungsfristen (in der Regel sieben Jahre nach § 132 BAO für steuerrelevante Unterlagen).

3.6 Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine Nachricht und deine Kontaktdaten, um dir zu antworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Unsere E-Mail-Postfächer laufen über Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) und GMX (1&1 Mail & Media GmbH, Brauerstraße 48, 76135 Karlsruhe, Deutschland). Wir löschen Anfragen, wenn sie erledigt sind und keine Aufbewahrungspflicht besteht.

3.7 News, Blog und Videos

Die Inhalte der Seiten „News“, „Blog“ und „Videos“ lädt die Webseite aus unserem eigenen System. Dabei werden keine personenbezogenen Daten von dir übertragen. Bei News verlinken wir die Originalquelle; wenn du den Link öffnest, gilt die Datenschutzerklärung der jeweiligen Seite.

3.8 Reichweitenmessung

Um zu verstehen, welche Seiten gelesen werden und wo Interessenten in der Potenzialanalyse aussteigen, nutzen wir Umami. Umami läuft selbst gehostet auf unserem eigenen Server; es werden keine Daten an Dritte übertragen. Umami setzt keine Cookies und speichert nichts auf deinem Gerät. Die IP-Adresse wird nicht gespeichert; Besuche werden nur in zusammengefasster Form gezählt (aufgerufene Seite, Herkunftsseite, Browser, Betriebssystem, Gerätetyp, Land). Zusätzlich zählen wir einzelne Ereignisse ohne Bezug zu deiner Person, etwa den Start und die einzelnen Schritte der Potenzialanalyse, das Absenden von Potenzialanalyse und Passungs-Check, das Abspielen eines Videos, das Öffnen einer Bewerbung und das Anfordern des Ratgebers. Hast du in deinem Browser „Do Not Track“ eingeschaltet, findet keine Messung statt.

Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Messdaten speichern wir 13 Monate, damit wir Zeiträume über ein Jahr vergleichen können.

3.9 Ratgeber und Newsletter

Wenn du unseren Ratgeber anforderst, verarbeiten wir deinen Vornamen und deine E-Mail-Adresse, außerdem den Zeitpunkt der Anforderung und den Wortlaut deiner Einwilligung.

Wofür: um dir den Ratgeber per E-Mail zu schicken und dir unseren wöchentlichen Newsletter mit KI-News und Praxistipps zu senden. Den Ratgeber bekommst du im Gegenzug für die Anmeldung zum Newsletter. Vor der ersten Ausgabe bekommst du eine E-Mail, in der du deine Anmeldung bestätigst (Double-Opt-In). Ohne Bestätigung bekommst du keinen Newsletter. Abmelden kannst du dich jederzeit über den Link in jeder Ausgabe; den Ratgeber darfst du behalten.

Wie: Deine Angaben gehen an unseren eigenen Automatisierungsserver (n8n) und werden in unserem eigenen System gespeichert. Die E-Mail mit dem Ratgeber verschicken wir über unser Postfach bei Microsoft 365 (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland).

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst, etwa über den Abmeldelink in jedem Newsletter oder per E-Mail an uns.

Speicherdauer: Wir speichern deine Angaben, bis du dich vom Newsletter abmeldest. Bestätigst du die Anmeldung nicht, löschen wir sie nach 12 Monaten. Den Nachweis deiner Einwilligung bewahren wir nach der Abmeldung noch bis zu drei Jahre auf.

4. Firefly Suite

4.1 Wer ist für welche Daten verantwortlich?

Die Firefly Suite ist Unternehmenssoftware. Für die Geschäftsdaten, die ein Kunde in der Suite verarbeitet (z. B. Kunden, Rechnungen, Belege, Mitarbeiterdaten, E-Mails), ist der Kunde Verantwortlicher im Sinn der DSGVO. Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO, ausschließlich nach Weisung des Kunden und auf Grundlage eines Auftragsverarbeitungsvertrags. Wenn du als Mitarbeiter eines Kunden Fragen zu deinen Daten hast, wende dich zuerst an deinen Arbeitgeber.

Verantwortlich sind wir selbst für die Daten, die wir für Vertrag, Abrechnung und Betrieb der Suite brauchen, und für diese Datenschutzerklärung.

4.2 Wo die Daten liegen

Jeder Kunde bekommt einen eigenen Server in einem Rechenzentrum in Deutschland. Die Daten eines Kunden liegen nicht gemeinsam mit den Daten anderer Kunden. Sicherungen werden täglich auf einen getrennten Speicher in der EU geschrieben.

4.3 Benutzerkonto und Anmeldung

Für dein Benutzerkonto verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als verschlüsselter Hashwert), Angaben zur Zwei-Faktor-Anmeldung, Rollen und Rechte, Spracheinstellung sowie Anmeldeprotokolle (Zeitpunkt, IP-Adresse, fehlgeschlagene Versuche). Wir brauchen diese Daten, um dir den Zugang zu ermöglichen und die Suite vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. b und f DSGVO).

Anmeldung mit Google oder Microsoft. Du kannst dich auch mit deinem Google- oder Microsoft-Konto anmelden. Dann erhalten wir von Google bzw. Microsoft deinen Namen, deine E-Mail-Adresse, eine eindeutige Konto-Kennung und, falls vorhanden, dein Profilbild. Wir verwenden diese Daten nur, um dich anzumelden und dein Benutzerkonto zuzuordnen.

4.4 Verbindung mit Google-Konten (Gmail und Google Kalender)

In der Suite kannst du freiwillig ein Google-Konto verbinden, damit die Suite E-Mails empfangen und senden und Termine abgleichen kann. Die Verbindung richtest du selbst ein, du siehst vorher im Zustimmungsfenster von Google, welche Rechte die Suite anfragt, und du kannst sie jederzeit wieder trennen.

Welche Zugriffe wir anfragen und wofür:

Wie wir Google-Daten verwenden: ausschließlich, um die oben genannten Funktionen bereitzustellen und zu verbessern, die du in der Suite sehen und nutzen kannst. Die Suite kann eingehende E-Mails mit Hilfe eines KI-Sprachmodells auslesen und einordnen (z. B. „Ist das ein Beleg?“, „Welcher Kunde?“, „Welcher Betrag?“). Diese Verarbeitung dient nur dazu, dir einen Vorschlag in der Suite anzuzeigen. Entscheidungen über Buchungen, Zahlungen oder Antworten trifft immer ein Mensch.

Wie wir Google-Daten speichern: auf dem eigenen Server deines Unternehmens in der EU, verschlüsselt übertragen. Zugriffsschlüssel für dein Google-Konto werden verschlüsselt gespeichert. Gespeichert werden nur die E-Mails und Termine, die die Suite für die jeweilige Funktion braucht, nicht dein gesamtes Postfach.

Mit wem wir Google-Daten teilen: nur mit Dienstleistern, die wir zur Bereitstellung der Funktion brauchen und die vertraglich gebunden sind: Hostinger (Server in der EU) und Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich (KI-Auswertung mit Verarbeitung in der EU, ohne Nutzung zum Training). Darüber hinaus geben wir Google-Daten nur weiter, wenn du es ausdrücklich veranlasst, wenn es zur Erfüllung gesetzlicher Pflichten nötig ist oder im Rahmen einer Unternehmensübertragung mit vorheriger Information.

Was wir mit Google-Daten nie tun:

• verkaufen,
• für Werbung, Werbeprofile oder personalisierte Werbung verwenden,
• zur Bewertung der Kreditwürdigkeit oder für Kreditentscheidungen verwenden,
• zum Trainieren, Entwickeln oder Verbessern allgemeiner KI- oder Machine-Learning-Modelle verwenden,
• von Menschen lesen lassen, außer du stimmst für bestimmte Nachrichten ausdrücklich zu (z. B. bei einer Supportanfrage), es ist für die Sicherheit nötig (z. B. Untersuchung von Missbrauch), es ist gesetzlich vorgeschrieben, oder die Daten sind zusammengefasst und anonymisiert für den internen Betrieb.

Aufbewahrung und Löschung: Abgeholte E-Mails, Anhänge und Termine bleiben so lange in der Suite, wie sie für den jeweiligen Vorgang gebraucht werden oder dein Unternehmen sie aufbewahren muss (z. B. Belege für die Buchhaltung). Wenn du die Verbindung trennst, löschen wir die Zugriffsschlüssel sofort und holen keine neuen Daten mehr ab. Wenn dein Unternehmen den Vertrag beendet, löschen wir alle Daten nach den Regeln des Auftragsverarbeitungsvertrags spätestens nach 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Du kannst den Zugriff der Suite auch direkt in deinem Google-Konto entziehen: https://myaccount.google.com/permissions

Erklärung zur Einhaltung der Google-Richtlinien: Die Nutzung und Übertragung von Informationen, die die Firefly Suite über Google-APIs erhält, an andere Anwendungen erfolgt im Einklang mit der Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

4.5 Verbindung mit Microsoft-Konten (Outlook und Kalender)

Für Microsoft 365 gilt dasselbe wie in 4.4: Die Suite fragt nur die Rechte an, die sie für das Abholen und Senden von E-Mails in dem verbundenen Postfach und für den Kalenderabgleich braucht (Mail.Read, Mail.Send, Kalenderrechte), verwendet die Daten ausschließlich für diese Funktionen und speichert sie auf dem Server deines Unternehmens. Den Zugriff kannst du jederzeit in der Suite trennen oder unter https://myapps.microsoft.com entziehen.

4.6 KI-Funktionen

Die Suite nutzt KI-Sprachmodelle, um Belege und Texte auszulesen, Vorschläge zu machen, Zusammenfassungen zu schreiben und Fragen zu deinen Daten zu beantworten. Dafür werden die jeweils nötigen Inhalte an Mistral AI SAS, Paris, übermittelt und in der EU verarbeitet. Die Daten werden nicht zum Training von KI-Modellen verwendet. Die KI-Funktionen lassen sich je Gesellschaft abschalten. Jede KI-Aktion wird in der Suite protokolliert (wer, was, wann, mit welchen Daten). Über Geld, Steuer, Rechte und Personalentscheidungen entscheidet immer ein Mensch.

4.7 Zusatzdienste

Einige Funktionen nutzen externe Anbieter und sind nur aktiv, wenn dein Unternehmen sie bucht und einschaltet, z. B. Live-Bankanbindung, Versand von E-Rechnungen über Peppol, SMS, WhatsApp, Telefonassistent oder Gesprächsaufzeichnung. Welcher Anbieter welche Daten erhält, steht in der Anlage zum Auftragsverarbeitungsvertrag. Bevor ein solcher Dienst für dein Unternehmen eingeschaltet wird, nennen wir dir den Anbieter.

4.8 Vertrag und Abrechnung

Für Vertrag und Abrechnung verarbeiten wir Firmen- und Rechnungsdaten, Ansprechpersonen, gebuchte Pakete und Zahlungsdaten (Art. 6 Abs. 1 lit. b und c DSGVO). Diese Unterlagen bewahren wir aufgrund der gesetzlichen Pflichten sieben Jahre auf (§ 132 BAO).

5. Empfänger im Überblick

6. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage unseres berechtigten Interesses (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreib uns dazu einfach an die Adresse in Abschnitt 1.

Wenn du meinst, dass wir deine Daten nicht richtig verarbeiten, kannst du dich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, https://www.dsb.gv.at

7. Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Die Suite verlangt eine Zwei-Faktor-Anmeldung, trennt die Daten jedes Kunden auf einem eigenen Server, vergibt Rechte nach Rollen und protokolliert Änderungen und KI-Aktionen. Zugangsschlüssel zu verbundenen Konten werden verschlüsselt gespeichert.

8. Änderungen

Wenn sich unsere Angebote oder die rechtlichen Vorgaben ändern, passen wir diese Erklärung an. Die jeweils aktuelle Fassung findest du immer unter firefly-technologies.io/datenschutz.

---

Google API Services – Disclosure (English)

This section summarizes how the Firefly Suite, operated by Firefly Technologies (Manuel Hutter, Plüddemanngasse 56/2/37, 8010 Graz, Austria), handles Google user data.

Data accessed. When a user connects a Google account, the Firefly Suite requests: basic profile information (openid, email, profile) to sign the user in; read access to Gmail (gmail.readonly) to retrieve incoming emails from the mailbox the user connected for a specific purpose (receipts, customer inquiries, support requests); send access to Gmail (gmail.send) to send emails the user or their team triggers in the Suite (quotes, invoices, ticket replies, reminders); and Google Calendar access (calendar.events) to create and sync appointments created in the Suite.

Data usage. Google user data is used solely to provide and improve user-facing features of the Firefly Suite that are visible in the application: creating receipts, inquiries and tickets from incoming emails, sending emails on the user's behalf, and syncing appointments. Incoming emails may be processed by a large language model (Mistral AI, Paris, via API, processing within the EU, under a data processing agreement) solely to extract and classify information for the requesting user; decisions are always made by a human.

Data storage. Data is stored on a dedicated server per customer within the European Union, encrypted in transit; OAuth tokens are stored encrypted. Only the emails and events needed for the respective feature are stored.

Data sharing. Google user data is shared only with service providers necessary to provide the feature (hosting provider in the EU; Mistral AI for processing within the EU without model training), when the user explicitly requests it, to comply with applicable law, or as part of a merger or acquisition with prior notice. We do not sell Google user data.

Restrictions. We do not use Google user data for advertising, retargeting or personalized ads; we do not use it to determine creditworthiness or for lending purposes; we do not use it to develop, improve or train generalized AI or machine-learning models; and humans do not read it unless the user gives affirmative consent for specific messages, it is necessary for security purposes, it is required by law, or the data is aggregated and anonymized for internal operations.

Retention and deletion. Data is kept as long as needed for the respective business process or as required by statutory retention obligations of the customer. When a user disconnects their Google account, OAuth tokens are deleted immediately and no further data is retrieved. After termination of the contract, all customer data is deleted within 30 days unless statutory retention applies. Users can revoke access at any time at https://myaccount.google.com/permissions or request deletion via manuel.hutter@firefly-technologies.io.

Limited Use. The Firefly Suite's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), including the Limited Use requirements.