Datenschutz

1. Allgemeines zur Datenverarbeitung

Wir achten sehr auf den Schutz und die Sicherheit Ihrer persönlichen Daten. Diese Webseite speichert und verarbeitet Daten ausschließlich im Sinne des geltenden Datenschutzrechts. Als Nutzer*in dieser Homepage stimmen Sie der Datenverarbeitung im Sinne einer Erklärung zu.

Diese Datenschutzerklärung bezieht sich nur auf die Webseite „Ecosocialmind.at“, für die wir verantwortlich sind. Sollten Sie über Links auf unserer Seite auf andere Seiten weitergeleitet werden (z.B. unter „Referenzen“), bitten wir Sie, sich auf der jeweilig anderen Webseite über den Datenschutz zu informieren. Wir verarbeiten personenbezogene Daten ausschließlich, soweit dies nach der DSGVO, dem österreichischen Datenschutzgesetz (DSG), dem Telekommunikationsrecht und sonstigen anwendbaren Rechtsvorschriften zulässig ist. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Die Verarbeitung erfolgt insbesondere auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO, sofern eine Einwilligung erteilt wurde;
• Art. 6 Abs. 1 lit. b DSGVO, sofern die Verarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist;
• Art. 6 Abs. 1 lit. c DSGVO, sofern gesetzliche Verpflichtungen bestehen;
• Art. 6 Abs. 1 lit. f DSGVO, sofern die Verarbeitung zur Wahrung berechtigter Interessen erforderlich ist und keine überwiegenden Interessen oder Grundrechte der betroffenen Personen entgegenstehen.

Soweit besondere Kategorien personenbezogener Daten verarbeitet werden, erfolgt dies nur, wenn eine zusätzliche Rechtsgrundlage nach Art. 9 DSGVO vorliegt, etwa eine ausdrückliche Einwilligung, arbeits- oder sozialrechtliche Erforderlichkeit oder eine andere gesetzlich vorgesehene Ausnahme.

2. Website, Hosting und technische Bereitstellung

Unsere Website wird mit WordPress betrieben. Hosting und Office-E-Mail-Konten liegen beim Hosting-Anbieter GreenWebspace in Wien; der Serverstandort ist aktuell Österreich/Wien. Die Website wird über HTTPS/SSL verschlüsselt betrieben.

Beim Aufruf der Website werden technisch notwendige Zugriffsdaten verarbeitet, um die Website sicher und stabil bereitzustellen. Dazu können insbesondere gehören:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene URL bzw. Datei
• Referrer-URL
• Browsertyp, Betriebssystem und User-Agent
• HTTP-Statuscode
• übertragene Datenmenge

Zweck der Verarbeitung dieser Zugriffsdaten ist die technische Bereitstellung, Stabilität, Sicherheit und Fehleranalyse der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb der Website. Diese Daten als „Server-Logfiles“ werden nach 30 Tagen vom Server des Server Hosts gelöscht. Mit dem Hosting-Anbieter ist zudem ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen.

3. Cookies und Consent Management

Unsere Website setzt keine Cookies.

4. Website-Statistik mit Independent Analytics

Zur datenschutzfreundlichen statistischen Auswertung der Website nutzen wir nach aktuellem Stand das WordPress-Plugin Independent Analytics. Das Tool ist lokal in WordPress eingebunden und setzt nach den vorliegenden Informationen des Anbieters keine Cookies. IP-Adressen werden laut Anbieter nicht dauerhaft direkt rückführbar gespeichert, sondern nur technisch bzw. statistisch verarbeitet.

Zweck der Verarbeitung ist die Reichweitenmessung, die technische und inhaltliche Verbesserung der Website sowie die Auswertung, welche Inhalte besonders genutzt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der datensparsamen Analyse und Optimierung unseres Online-Angebots. Nach aktuellem Stand erfolgt durch Independent Analytics keine bewusste Drittlandübermittlung von Besucher*innendaten über Frontend-Ressourcen.

5. Kontaktaufnahme und Kontaktformular

Wenn Sie über das Kontaktformular oder per E-Mail mit uns Kontakt aufnehmen, verarbeiten wir die von Ihnen übermittelten Daten zur Bearbeitung Ihrer Anfrage und zur Anschlusskommunikation.

Beim Kontaktformular über Fluent Forms / Fluent Forms Pro werden nach aktuellem Stand folgende Daten erhoben:

• Name
• E-Mail-Adresse
• Organisation
• Nachricht

Die Formulareingaben werden in der WordPress-Datenbank gespeichert und zusätzlich an die Office-Adresse von Ecosocial Mind über das eigene Hosting-/Mail-Setup übermittelt. Als Spam-Schutz wird ein Honeypot verwendet; ein externer Captcha-Dienst wird derzeit nicht eingesetzt.

Rechtsgrundlage ist je nach Inhalt der Anfrage Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage mit einem Vertrag oder vorvertraglichen Maßnahmen zusammenhängt, oder Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Bearbeitung von Anfragen. Soweit gesetzliche Aufbewahrungspflichten bestehen, ist Art. 6 Abs. 1 lit. c DSGVO einschlägig.

Wir löschen die Daten aus dem Kontaktformular nach 12 Monaten, sofern kein Vertragsverhältnis zustande kommt. Ansonsten gelten die steuerrechtlichen Aufbewahrungsfristen.

6. IT-Sicherheit und Sicherheitsprotokolle

Zur Absicherung der WordPress-Website wird nach aktuellem Stand Kadence Security eingesetzt. Das Sicherheits-Plugin dient insbesondere dem Login-Schutz, Brute-Force-Schutz, Sicherheitsprüfungen und der Protokollierung sicherheitsrelevanter Ereignisse.

Je nach Konfiguration können dabei insbesondere folgende Daten verarbeitet werden:

• IP-Adressen
• Loginversuche
• Benutzer*innenkennungen
• Lockout-Daten
• sicherheitsrelevante Ereignisse
• technische Systeminformationen

Zweck der Verarbeitung ist die Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit der Website sowie die Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz der Website, der Systeme und der verarbeiteten Daten. Die Speicherdauer der Daten aus dem Kadence-Security-Logs beträgt 30 Tage, sofern keine sicherheitsrelevante Notwendigkeit oder gesetzliche Pflicht für eine längere Speicherung besteht.

Im Zuge der Produktnutzung von Kadence-Security erfolgt eine Übermittlung der oben genannten Daten in ein Drittland (USA). Eine Übermittlung der Daten in Drittländer erfolgt ausschließlich unter Einhaltung der geltenden datenschutzrechtlichen Bestimmungen und unter Einhaltung von Standardvertragsklauseln, die das datenschutzrechtliche Niveau der EU sichern. Hier können Sie sich über die Datenverarbeitung durch Kadence-Security informieren: https://kadence.co/privacy-policygdpr/.

Daher besteht mit Kadence-Security ein Auftragsdatenverarbeitungsvertrag.

7. Caching und Performance über LiteSpeed Cache

Zur Verbesserung der Ladezeiten und der technischen Performance setzen wir LiteSpeed Cache ein. Das Caching erfolgt lokal auf unserem in Österreich gehosteten Server. Dabei werden technische Daten wie aufgerufene URLs und Zugriffsdaten serverseitig verarbeitet und temporär zwischengespeichert. Eine Übermittlung dieser Daten an Dritte oder in Drittländer findet nicht statt.

Zweck ist die schnelle, stabile und sichere Auslieferung der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der technischen Optimierung, Performance, Stabilität und Sicherheit der Website.

8. Backups über WPvivid und Dropbox Business

Für Backups wird nach aktuellem Stand WPvivid Backup Pro eingesetzt. Backups werden lokal am Webserver und zusätzlich in Dropbox Business gespeichert. Der Dropbox-Backup-Ordner ist intern nur für die Geschäftsführung zugänglich; der Dropbox-Account ist mit Zwei-Faktor-Authentifizierung geschützt.

Backups können personenbezogene Daten enthalten, insbesondere Kontaktformular-Einträge, WordPress-Benutzer*innendaten, Plugin- und Website-Einstellungen, Sicherheitslogs, Mediendateien und Datenbankinhalte. Die Database Encryption von WPvivid Pro ist aktiviert, wodurch die Datenbank im Backup verschlüsselt wird. Uploads und Dateien sind dadurch nicht automatisch vollständig verschlüsselt.

Zweck ist die Wiederherstellbarkeit, Ausfallsicherheit und Absicherung des Websitebetriebs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherung und Wiederherstellung unserer Systeme. Soweit gesetzliche Pflichten eine Sicherung erfordern, kann Art. 6 Abs. 1 lit. c DSGVO einschlägig sein.

Die Speicherdauer der lokalen Backups beträgt 180 Tage.

WPvivid Backup-Plugin erfasst selbst keine personenbezogenen Daten. Weil die Backups jedoch in einen Cloud-Speicher (Dropbox) hochgeladen werden, werden die personenbezogenen Daten an diesen Speicheranbieter übertragen. Hier können Sie sich über die Datenverarbeitung durch WPvivid informieren: https://wpvivid.com/privacy-policy.

Im Zuge der Produktnutzung von Dropbox Business erfolgt eine Übermittlung der oben genannten Daten in ein Drittland (USA). Eine Übermittlung der Daten in Drittländer erfolgt ausschließlich unter Einhaltung der geltenden datenschutzrechtlichen Bestimmungen und unter Einhaltung von Standardvertragsklauseln, die das datenschutzrechtliche Niveau der EU sichern. Hier können Sie sich über die Datenverarbeitung durch Dropbox Business informieren: https://www.dropbox.com/de/business/trust/privacy.

Daher besteht mit Dropbox Business ein Auftragsdatenverarbeitungsvertrag.

9. E-Mail-Kommunikation

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre E-Mail-Adresse, den Inhalt Ihrer Nachricht sowie die damit verbundenen technischen Metadaten, um Ihre Anfrage zu bearbeiten und mit Ihnen zu kommunizieren. Die Office-E-Mail-Konten liegen nach den vorliegenden Informationen beim selben Hosting-Anbieter wie die Website.

Rechtsgrundlage ist je nach Anlass Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO oder Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der effizienten Bearbeitung von Anfragen und in der Dokumentation geschäftlicher Kommunikation.

Die Speicherdauer der Daten aus den E-Mail-Anfragen beträgt solange wir Ihr Anliegen bearbeiten. Sollte kein Vertragsverhältnis zustande gekommen sein, löschen wir Ihre Daten nach Beantwortung Ihres Anliegens. Sollte ein Vertragsverhältnis zustande gekommen sein, gelten die steuerrechtlichen Aufbewahrungsfristen.

10. Newsletter

Nach aktuellem Stand gibt es keinen Newsletter, kein E-Mail-Marketing-Tool und keine automatisierte Marketingkommunikation über die Website.

11. Social Media und externe Inhalte

Nach aktuellem Stand sind keine Social-Media-Links, Social Plugins oder eingebetteten Social-Media-Feeds auf der Website eingebunden. Ebenso werden aktuell keine externen Frontend-Ressourcen geladen; Fonts werden lokal eingebunden.

12. Kund*innenbetreuung und Vertragsabwicklung

Wir verarbeiten personenbezogene Daten von Kund*innen und Vertragspartner*innen, soweit dies für die genannten Zwecke erforderlich ist. Die Verarbeitung erfolgt aufgrund Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage. Eine Weitergabe erfolgt nur, soweit dies zur Zweckerreichung erforderlich, gesetzlich vorgeschrieben oder durch eine Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO gedeckt ist.

Buchhaltungsunterlagen und Aufzeichnungen (Konten, Belege, Geschäftspapiere, Aufstellung der Einnahmen und Ausgaben etc.) werden von uns 7 Jahre laut §§ 131,132 BAO aufbewahrt. Der Fristenlauf startet mit Schluss des Kalenderjahres, für das die Verbuchung vorgenommen wurde bzw. auf das sich der Beleg bezieht.

Daten, die Sie uns im Zuge unseres Vertragsverhältnisses zur Erbringung einer Dienstleistung übermittelt haben, behandeln wir zum einen vertraulich und bewahren wir zum Zweiten für 3 Jahre ab Beendigung des Vertragsverhältnisses auf, um sie bestmöglich betreuen zu können und uns vor etwaigen Rechtsansprüchen zu schützen (Beweiszweck als berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f DSGVO).

13. Sozialprojekte / Projektteilnehmende

Ecosocial Mind OG ist die Trägerin des gemeinnützigen Sozialprojektes „Mutausbruch“. Wir bitten Sie sich über die Datenverarbeitung im Zuge des Projektes in der eigenen Datenschutzerklärung von „Mutausbruch“ zu informieren: https://www.mutausbruch.at/datenschutz/

14. Veranstaltungen

Workshops, Events, Schulungen, Webinare, Netzwerkveranstaltungen oder öffentliche Veranstaltungen, die von Ecosocial Mind OG veranstaltet werden, erfordern ebenfalls die Verarbeitung von personenbezogenen Daten. Die Rechtsgrundlagen zur Datenverarbeitung sind je nach Veranstaltungsart und Zweck zum einen die Einwilligungen der betroffenen Personen gem. Art. 6 Abs. 1 lit. a DSGVO, sowie unser berechtigtes Interesse an der reibungslosen Organisation der Veranstaltung sowie einer Dokumentation der Veranstaltung im Sinne eines berechtigten Interesses an der Öffentlichkeitsarbeit gem. Art. 6 Abs. 1 lit. f DSGVO.

Wir verarbeiten ausschließlich die personenbezogenen Daten, die zur Organisation und Abhaltung der jeweiligen Veranstaltungen notwendig sind. Nach der Veranstaltung löschen wir diese Daten, sofern nicht gesetzliche oder vertragsrechtliche Speichererfordernisse dem gegenüberstehen.

Wir verarbeiten die Daten nur, soweit dies für die genannten Zwecke erforderlich ist. Die Verarbeitung erfolgt auf der jeweils angeführten Rechtsgrundlage. Eine Weitergabe erfolgt nur, soweit dies zur Zweckerreichung erforderlich, gesetzlich vorgeschrieben oder durch eine Einwilligung gedeckt ist.

15. Bewerbungen

Wenn Sie uns freiwillig Ihre Bewerbungen via E-Mail an office@ecosocialmind.at übermitteln, verarbeiten wir Ihre somit übermittelten personenbezogenen Daten (z.B. Name, Adresse, Telefonnummer, Lebenslauf, Beruf & Qualifikationen und Interessen, E-Mail-Adresse o.Ä.), um Ihre Bewerbung entsprechend bearbeiten zu können und den gesetzlichen Vorgaben gerecht zu werden (gem. Art. 6 Abs. 1 lit. c, lit. f DSGVO). Bei Vorliegen einer Initiativbewerbung sowie einer Einwilligung zur Datenverarbeitung ist Art. 6 Abs. 1 lit. a DSGVO die anzuwendende Rechtsgrundlage zur Datenverarbeitung.

Wir weisen darauf hin, dass eine unverschlüsselte E-Mail-Übertragung mit Sicherheitsrisiken verbunden sein kann. Für die Übermittlung besonders sensibler Daten empfehlen wir den Postweg an unsere Adresse in Graz. Sie können uns dazu jederzeit kontaktieren und wir informieren Sie über die Datenverarbeitung im Zuge des Bewerbungsverfahrens.

Bei Initiativbewerbungen ohne Ausschreibung durch die Ecosocial Mind OG gilt, dass wir die Daten sofort löschen, außer Sie erteilen uns eine schriftliche Einwilligung zur Verarbeitung der Daten für eine Dauer von max. 6 Monaten. Bei Bewerbungen aufgrund einer Stellenausschreibung durch die Ecosocial Mind OG gilt ebenso eine Aufbewahrungsfrist von 6 Monaten gem. §§ 12, 15 GlBG. Der Fristbeginn startet ab dem Tag, an dem der betroffenen Person als Bewerber*in die Ablehnung zugegangen ist bzw. 7 Monate ab Bewerbungseingang.

Wir verarbeiten die oben genannten Daten, soweit dies für die genannten Zwecke erforderlich ist. Die Verarbeitung erfolgt auf der jeweils angeführten Rechtsgrundlage. Eine Weitergabe erfolgt nur, soweit dies zur Zweckerreichung erforderlich, gesetzlich vorgeschrieben oder durch eine Einwilligung gedeckt ist.

16. Mitarbeitendendaten

Wir verarbeiten die notwendigen personenbezogenen Daten unserer Mitarbeitenden im Zuge der Personalverwaltung, Lohnverrechnung, Arbeitszeiterfassung und weiterer HR-Prozesse, dem Onboarding, dem Offboarding, im Zuge der Verwaltung von IT-Berechtigungen und im Zuge der internen Kommunikation.

Betreffend die Datenverarbeitung von personenbezogenen Daten unserer Mitarbeitenden bestehen als Rechtsgrundlagen der einzelnen Datenverarbeitungen zum einen (in einzelnen Fällen Einwilligungen), vertragliche Pflichten, genauso wie gesetzliche Pflichten aus dem aktuell geltenden Arbeits- und Sozialrecht und ein berechtigtes Interesse (gem. Art. 6 Abs 1 lit. a, lit. b, lit. c, lit. f DSGVO).

Die Veröffentlichung der beruflichen Kontaktdaten von Mitarbeitenden erfolgt gem. Art. 6 Abs. 1 lit. b sowie lit. f DSGVO, um eine übliche Kommunikation im Geschäftsverkehr zu ermöglichen.

Die Veröffentlichung von Bildaufnahmen der Mitarbeitenden erfolgt jeweils auf Grundlage einer Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 78 UrhG. Diese Einwilligung kann jederzeit gegenüber der Geschäftsführung widerrufen werden. Die betreffenden Inhalte werden in diesem Fall unverzüglich von der Website entfernt.

17. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungs-, Dokumentations- oder Nachweispflichten bestehen. Nach Wegfall des Zwecks bzw. Ablauf einschlägiger Fristen werden Daten gelöscht oder anonymisiert, sofern keine berechtigten Gründe für eine weitere Speicherung bestehen. Wenn Sie Fragen zu einzelnen Speicherfristen und der Löschung Ihrer Daten haben, kontaktieren Sie uns bitte.

18. Empfänger*innen, Auftragsverarbeiter*innen und Drittlandübermittlungen

Wir geben personenbezogene Daten nur weiter, wenn dies für die genannten Zwecke erforderlich ist, eine gesetzliche Verpflichtung besteht, eine Einwilligung vorliegt oder ein berechtigtes Interesse besteht.

Dienstleister*innen, die personenbezogene Daten in unserem Auftrag verarbeiten, werden im Rahmen von Auftragsverarbeitungsverträgen gemäß Art. 28 DSGVO eingebunden.

Drittlandübermittlungen: Soweit personenbezogene Daten in Staaten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies nur nach Maßgabe der Art. 44 ff DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien wie Standardvertragsklauseln oder einer gesetzlichen Ausnahme.

19. Betroffenenrechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Recht auf Information und Auskunft
• Recht auf Berichtigung unrichtiger Daten
• Recht auf Löschung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Recht auf Widerspruch gegen bestimmte Verarbeitungen
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft
• Recht, nicht einer ausschließlich automatisierten Entscheidung einschließlich Profiling unterworfen zu werden, soweit anwendbar

Zur Ausübung Ihrer Rechte können Sie sich an die oben genannten Kontaktdaten wenden. Bitte beachten Sie, dass wir zur Bearbeitung Ihrer Anfrage gegebenenfalls einen Identitätsnachweis verlangen können, wenn Zweifel an Ihrer Identität bestehen.

20. Beschwerderecht bei der Datenschutzbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt oder Ihre Datenschutzrechte verletzt wurden, können Sie sich bei einer Aufsichtsbehörde beschweren. In Österreich ist dies die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, Website: https://www.dsb.gv.at.

21. Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten gegen Verlust, Missbrauch, unbefugten Zugriff, Offenlegung, Veränderung oder Zerstörung zu schützen. Dazu zählen nach aktuellem Stand insbesondere HTTPS/SSL, Zugriffsbeschränkungen, Sicherheitsprüfungen, Login-Schutz, Zwei-Faktor-Authentifizierung bei Dropbox Business sowie Backup- und Wiederherstellungsmaßnahmen.

22. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Website, eingesetzte Dienste, Verarbeitungstätigkeiten oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung ist auf unserer Website abrufbar.

23. Keine automatisierte Entscheidungsfindung & kein Profiling

Auf unserer Website findet keine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, statt.