VisionAlpin GmbH
Zillingberg 7, 5300 Hallwang, Österreich
E-Mail: datenschutz@planetcarescan.at
Die Gesellschaft ist im österreichischen Firmenbuch eingetragen:
FN 634140p beim Handelsgericht Salzburg
Datenschutzbeauftragter:
Nicht verpflichtend nach Art. 37 DSGVO, da unter 20 Mitarbeitende und kein risikoreicher Verarbeitungsbereich im Sinne des Art. 37 Abs. 1 DSGVO.
| Datenkategorie | Konkrete Daten | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Zugangsdaten | E-Mail-Adresse, verschlüsselter Passwort-Hash | Kontoerstellung, Authentifizierung | Art. 6 Abs. 1 lit. b DSGVO |
| Profildaten | Anzeigename (optional), Region (AT/DE/CH), Sprache | Personalisierung, DACH-Inhalte | Art. 6 Abs. 1 lit. b DSGVO |
| Einwilligungen | Zeitpunkt, Version, IP-Präfix (/24), User-Agent | Nachweispflicht Art. 7 DSGVO | Art. 6 Abs. 1 lit. c DSGVO |
| Session-Daten | Pseudonymisierter Geräte-Hash, Gerätetype, OS | Sicherheit, Remote-Logout | Art. 6 Abs. 1 lit. b + f DSGVO |
| Datenkategorie | Konkrete Daten | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Scan-Verlauf | EAN/GTIN, Produktname, Score, Zeitstempel | Cloud-Sync, persönliche Historie | Art. 6 Abs. 1 lit. a DSGVO |
| Personalisierung | Scan-Muster (aggregiert) | Produktempfehlungen | Art. 6 Abs. 1 lit. a DSGVO |
| Newsletter | E-Mail-Adresse, Versandzeitpunkt | Marketing-Kommunikation | Art. 6 Abs. 1 lit. a DSGVO |
Bei Pro-Abonnement werden Zahlungsdaten ausschließlich bei unserem Zahlungsdienstleister verarbeitet. Wir speichern auf unseren Servern nur:
Kreditkartendaten, IBAN oder sonstige Zahlungsinformationen erreichen unsere Server nie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Steuerliche Aufbewahrung: 7 Jahre gemäß § 132 BAO.
Aus Sicherheitsgründen (Art. 32 DSGVO) protokollieren wir:
Diese Daten enthalten keine vollständigen IP-Adressen — wir speichern nur das /24-Subnetz (z.B. 192.168.1.xxx). Aufbewahrung: 3 Jahre (reguläre Events), 7 Jahre (sicherheitskritische Events).
| Verarbeitung | Rechtsgrundlage | Begründung |
|---|---|---|
| Kontoerstellung und -verwaltung | Art. 6 Abs. 1 lit. b | Zur Erfüllung des Nutzungsvertrags notwendig |
| Rechnungslegung und Steuer | Art. 6 Abs. 1 lit. c | Gesetzliche Pflichten (BAO) |
| Sicherheit, Missbrauchsschutz | Art. 6 Abs. 1 lit. f | Berechtigtes Interesse an IT-Sicherheit |
| Einwilligungsnachweis (Art. 7) | Art. 6 Abs. 1 lit. c | Gesetzliche Nachweispflicht |
| Scan-Historie Cloud-Sync | Art. 6 Abs. 1 lit. a | Ausdrückliche Einwilligung (opt-in) |
| Newsletter | Art. 6 Abs. 1 lit. a | Ausdrückliche Einwilligung (opt-in) |
| Personalisierung | Art. 6 Abs. 1 lit. a | Ausdrückliche Einwilligung (opt-in) |
| Datenkategorie | Frist | Begründung |
|---|---|---|
| Profildaten, Scan-Verlauf | Bis zur Kontolöschung | Vertragserfüllung |
| Einwilligungsprotokolle | 3 Jahre nach Widerruf | Nachweispflicht Art. 7 DSGVO |
| Zahlungsbelege, Rechnungen | 7 Jahre | Steuerrecht AT (§ 132 BAO) |
| Audit-Log (regulär) | 3 Jahre | Zivilrechtliche Verjährungsfrist |
| Audit-Log (Sicherheitsvorfälle) | 7 Jahre | Art. 33 DSGVO, Strafrecht |
| Löschanfragen-Protokoll | 3 Jahre nach Abschluss | Nachweispflicht |
| Inaktive Geräte | 30 Tage nach Deaktivierung | Datenminimierung |
| Temporäre Export-Dateien | 24 Stunden nach Erstellung | Sicherheit |
| Inaktive Konten (keine Aktivität) | 3 Jahre → Benachrichtigung + Löschung | Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung) |
Dienstleister: Supabase Inc., 970 Trestle Glen Rd, Oakland, CA 94610, USA
Infrastruktur: Amazon Web Services (AWS), Region eu-central-1, Frankfurt am Main, Deutschland
Verarbeitungsort: Alle Daten werden ausschließlich in der EU verarbeitet (Frankfurt).
Rechtsgrundlage: Art. 28 DSGVO (Auftragsverarbeitung) — AVV abgeschlossen
Zweck: Datenbankhosting, Authentifizierung, Datenspeicherung
Supabase handelt als Auftragsverarbeiter. Zwischen PlanetCareScan und Supabase besteht ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
Dienstleister: Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA
EU-Niederlassung: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland
Datenübermittlung: In die USA — abgesichert durch EU-Standardvertragsklauseln (SCCs) und Stripe's DPA
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 46 Abs. 2 lit. c DSGVO (SCCs)
Zweck: Zahlungsabwicklung für Pro-Abonnements
Datenschutzerklärung Stripe: stripe.com/de/privacy
PlanetCareScan integriert keine Analytics-Dienste, keine Tracking-Pixel, keine Social-Media-Buttons und keinerlei Drittanbieter-Tracking ohne Einwilligung. Es werden keine Nutzungsdaten an Werbetreibende übermittelt.
Sie haben gegenüber PlanetCareScan / VisionAlpin GmbH folgende Rechte nach der DSGVO:
| Recht | Grundlage | Frist | Ausübung |
|---|---|---|---|
| Auskunft | Art. 15 DSGVO | 30 Tage | App → Einstellungen → Meine Daten |
| Berichtigung | Art. 16 DSGVO | 30 Tage | App → Profil bearbeiten |
| Löschung | Art. 17 DSGVO | 30 Tage | App → Einstellungen → Konto löschen |
| Einschränkung | Art. 18 DSGVO | 30 Tage | E-Mail: datenschutz@planetcarescan.at |
| Datenportabilität | Art. 20 DSGVO | 30 Tage | App → Einstellungen → Daten exportieren |
| Widerspruch | Art. 21 DSGVO | Sofort | App oder E-Mail |
| Einwilligungswiderruf | Art. 7 Abs. 3 DSGVO | Sofort | App → Einstellungen → Einwilligungen |
Unter Einstellungen → Daten exportieren können Sie jederzeit einen vollständigen Export im Format JSON oder CSV anfordern. Bereitstellung als Download-Link per E-Mail innerhalb von 24 Stunden (Link gültig 24 Stunden).
Unter Einstellungen → Konto löschen stehen zwei Optionen zur Verfügung:
| Bezeichnung | Zweck | Laufzeit |
|---|---|---|
sb-auth-token |
Supabase Session-Token (Authentifizierung) | Session / 7 Tage |
sb-refresh-token |
Automatische Session-Verlängerung | 30 Tage |
pcs_region |
Gewählte Region (AT/DE/CH) — nur localStorage | Persistent |
pcs_theme |
Anzeigeeinstellungen — nur localStorage | Persistent |
Diese Einträge sind für den technischen Betrieb der App zwingend erforderlich. Eine Einwilligung ist hierfür nicht notwendig.
PlanetCareScan verwendet keine Analytics-Dienste und kein Tracking. Es werden keine Nutzungsdaten an Dritte weitergegeben und keine Cookies zu Analysezwecken gesetzt.
| Maßnahme | Umsetzung |
|---|---|
| Verschlüsselung | TLS 1.3 in Transit, AES-256 at Rest (AWS) |
| Passwort-Hashing | bcrypt (Supabase Auth) — Klartextpasswörter nie gespeichert |
| Row Level Security | Jeder Nutzer sieht nur eigene Daten (PostgreSQL RLS) |
| Zugriffsminimierung | Anon-Rolle ohne Datenzugriff; Service-Role nur serverseitig |
| Audit-Trail | Vollständige Protokollierung sicherheitsrelevanter Ereignisse |
| Geräte-Management | Remote-Logout einzelner Geräte möglich |
| IP-Anonymisierung | Nur /24-Subnetz gespeichert (z.B. 192.168.1.xxx) |
| Datenpannen-Protokoll | Art. 33 DSGVO: Meldung an Behörde innerhalb 72h |
| Datenminimierung | Alle Felder mit DSGVO-Zweck dokumentiert, kein Datenüberschuss |
Das österreichische Datenschutzgesetz (DSG) gilt ergänzend zur DSGVO. PlanetCareScan richtet sich nicht an Personen unter 14 Jahren. Zuständige Aufsichtsbehörde: Datenschutzbehörde (DSB), Wien.
§ 25 TDDDG: Zugriff auf Endgeräte-Informationen (Cookies) nur mit Einwilligung, außer technisch notwendig. Mindestalter für eigenständige Einwilligung: 16 Jahre.
Das neue Schweizer Datenschutzgesetz (DSG, SR 235.1) ist seit 1. September 2023 in Kraft. Privacy by Design und Privacy by Default sind implementiert. Zuständige Behörde: EDÖB, Bern.
Sie haben das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren:
Österreich (primär zuständig):
Datenschutzbehörde (DSB)
Barichgasse 40–42, 1030 Wien
E-Mail: dsb@dsb.gv.at | Web: dsb.gv.at
Schweiz:
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Web: edoeb.admin.ch
Bei wesentlichen Änderungen informieren wir Sie per E-Mail an die hinterlegte Adresse sowie durch In-App-Benachrichtigung. Die jeweils aktuelle Version ist unter planetcarescan.at/datenschutz.html abrufbar.
Stand: 3. Oktober 2026 | Version 1.1 | Zuständige Aufsichtsbehörde: Datenschutzbehörde (DSB), Wien