Datenschutzerklärung

Fassung: 30. Oktober 2026. Diese Erklärung gilt für PaperPlane-Website, Anwendung, Support, Abrechnung, Dokumentverarbeitung, Integrationen, Freigaben und Signaturen.

1. Verantwortlicher und Kontakt

code & comments kg
Hörnesgasse 19/16, 1030 Wien, Österreich
E-Mail: hello@codeandcomments.at

Derzeit ist kein Datenschutzbeauftragter bestellt. Datenschutzanfragen können an die genannte Adresse gesendet werden. Wird eine Bestellung erforderlich, veröffentlichen wir die gesonderten Kontaktdaten an dieser Stelle.

2. Unsere Rollen

Wir sind Verantwortlicher für Website, Kundenkonten, Authentifizierung, Abonnements, Rechnungen, Zahlungen, Support, Sicherheit, Betrugsprävention, Servicekommunikation und private Arbeitsbereiche.

Bei einem geschäftlichen Arbeitsbereich ist der Geschäftskunde regelmäßig Verantwortlicher für personenbezogene Daten in Dokumenten, Importen, Ordnern, Notizen, Freigaben, Empfängern und Signaturabläufen. Wir verarbeiten diese Daten nach seinen Weisungen als Auftragsverarbeiter gemäß unserer Auftragsverarbeitungsvereinbarung. Der Geschäftskunde muss betroffenen Personen eigene Datenschutzinformationen bereitstellen.

Für betriebliche Konto-, Abrechnungs-, Sicherheits- und Compliance-Daten bleiben wir auch bei Geschäftskunden Verantwortlicher.

3. Daten, Zwecke und Rechtsgrundlagen

Website und Kontakt

Beim Aufruf verarbeiten Infrastruktursysteme IP-Adresse, Zeitpunkt, aufgerufene Ressource, Antwortstatus, Referrer, User-Agent und technische Sicherheitsereignisse. Dies ist für Auslieferung und Schutz der Website erforderlich (Art. 6 Abs. 1 lit. f DSGVO). Bei Kontaktaufnahme verarbeiten wir Name, Kontaktdaten, Nachricht und Korrespondenz zur Bearbeitung (Art. 6 Abs. 1 lit. b oder f).

Die Marketing-Website speichert nur das gewählte Farbschema im Local Storage. Derzeit werden keine Werbe- oder Analyse-Tracker eingesetzt. Details enthält die Cookie- und Browser-Speicher-Information.

Konten, Anmeldung und Arbeitsbereiche

Wir verarbeiten Kennung des Identitätsanbieters, Name, E-Mail-Adresse, Sprache, Login- und Sicherheitsdaten, Mitgliedschaften, Rollen, Einladungen, verknüpfte Identitäten und Kontolebenszyklusereignisse zur Vertragserfüllung (Art. 6 Abs. 1 lit. b); Sicherheit und Missbrauchsprävention beruhen zusätzlich auf Art. 6 Abs. 1 lit. f. Die Authentifizierung erfolgt über eine von PaperPlane betriebene Keycloak-Installation.

Dokumente und Archivfunktionen

Je nach Nutzung verarbeiten wir hochgeladene oder importierte Dateien, Dateinamen, Ordnerpfade, Metadaten, extrahierten Text, OCR-Ergebnisse, Vorschaubilder, Notizen, Suchindizes, Vektoreinbettungen, KI-Fragen und erzeugte Antworten. Dokumente können beliebige vom Nutzer gewählte personenbezogene Daten enthalten, auch besondere Kategorien oder strafrechtliche Daten. Bei privaten Arbeitsbereichen ist die Verarbeitung zur Leistungserbringung erforderlich (Art. 6 Abs. 1 lit. b); für Daten Dritter im Archiv benötigt der Nutzer eine Rechtsgrundlage. Bei geschäftlichen Arbeitsbereichen verarbeiten wir nach dokumentierter Weisung des Kunden.

OCR und regelbasierte Extraktion laufen in unserer Hosting-Umgebung. Zur semantischen Indexierung werden Textpassagen an den konfigurierten KI-Anbieter gesendet. Bei Archivfragen werden Frage und ausgewählte relevante Passagen an den Chat-Anbieter gesendet. Eine optionale automatische KI-Metadatenextraktion sendet, falls aktiviert, einen begrenzten Teil des extrahierten Texts. Die KI-Verarbeitung trifft keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.

Integrationen

Bei Aktivierung verarbeiten wir Verbindungstyp, Kennung des Remotekontos, ausgewählte Ordner, verschlüsselte Zugriffs- und Aktualisierungstoken, Synchronisationsstände, importierte Dateien, Dateinamen oder E-Mail-Anhänge sowie Auftragsstatus und Fehler. Google Drive und Gmail werden nur lesend verwendet; entsprechende Lese-/Importzugriffe gelten für Microsoft, Dropbox, IMAP, SFTP und FTP. Die Verarbeitung erfüllt den gewünschten Import (Art. 6 Abs. 1 lit. b) oder folgt den Weisungen des Geschäftskunden.

Beim Trennen werden PaperPlane-Verbindungsdaten gelöscht oder ungültig gemacht, soweit der Ablauf dies zulässt. Bereits importierte Kopien bleiben im Archiv, bis sie dort gelöscht werden. Drittanbieter verarbeiten Daten nach ihren eigenen Bedingungen und Datenschutzerklärungen.

Freigaben und Signaturen

Wir verarbeiten Freigabegeheimnisse, Zugriffsart, Ablauf und Zugriffsereignisse; Empfänger-E-Mails, Prüfcodes und Prüfstatus; Signaturanfragen, Unterzeichner, Status, Einwilligungsnachweise, Signaturbilder, signierte Dokumente und Auditereignisse. Dies erfüllt den gewünschten Freigabe- oder Signaturablauf (Art. 6 Abs. 1 lit. b) und schützt Integrität und Nachweis (Art. 6 Abs. 1 lit. f). Bei Empfängern ohne Konto stammen die Daten vom Nutzer, der die Anfrage adressiert hat.

Daten für qualifizierte Signaturen werden nur bei aktivierter und gewählter Funktion an den bezeichneten Vertrauensdiensteanbieter gesendet. Die aktuelle Produktionskonfiguration bietet diesen Ablauf nicht an.

Abrechnung, Steuern und Zahlungen

Wir verarbeiten Kundentyp, Rechnungsname, Organisation, Adresse, E-Mail, Land, UID und Prüfergebnis, Tarif, Preise, Steuer- und Standortnachweise, Abonnement- und Zahlungskennungen, Rechnungen, Guthaben, Zustimmungsnachweise und Zahlungsstatus. Zwecke sind Vertragserfüllung (Art. 6 Abs. 1 lit. b), Rechnungslegungs- und Steuerpflichten (Art. 6 Abs. 1 lit. c) sowie Betrugs-, Anspruchs- und Zahlungssicherheit (Art. 6 Abs. 1 lit. f).

Mollie verarbeitet Checkout und Zahlungsdaten. Wir erhalten grundsätzlich Status und Kennungen, nicht vollständige Karten- oder Bankzugangsdaten. Mollie handelt als regulierter Zahlungsanbieter auch aufgrund eigener gesetzlicher Pflichten.

Sicherheit, Audit und Missbrauchsprävention

Wir verarbeiten Login-, Zugriffs-, Änderungs- und Auditereignisse; soweit verfügbar IP- und Geräte-/Netzinformationen; Ratenbegrenzungsdaten; Empfehlungszuordnung und verschlüsselte Anti-Fraud-Hashes; Vorfall- und Supportdaten. Dies schützt Nutzer, verhindert Missbrauch, weist Änderungen nach und dient Rechtsansprüchen (Art. 6 Abs. 1 lit. f); teilweise bestehen gesetzliche Pflichten (Art. 6 Abs. 1 lit. c).

Wir verkaufen keine personenbezogenen Daten und verwenden sie nicht für Werbung Dritter.

4. Empfänger und Dienstleister

Mitarbeiter und Auftragnehmer erhalten nur Zugriff, soweit dies für Betrieb, Support, Sicherheit, Buchhaltung oder Rechtspflichten erforderlich ist. Wesentliche Anbieter und Verarbeitungsorte enthält das Dienstleister- und Subunternehmerverzeichnis. Dazu gehören:

• Scaleway für EU-Infrastruktur, Objektspeicher, Datenbanksicherungen und Transaktions-E-Mail;
• OpenAI für konfigurierte KI-Embeddings und Chat-Verarbeitung;
• Mollie für Zahlungen; und
• vom Nutzer gewählte Google-, Microsoft- und Dropbox-Quellen.

Wir legen Daten Beratern, Behörden oder Gerichten offen, wenn dies gesetzlich verlangt oder zur Rechtsdurchsetzung erforderlich ist. Kundeninhalte werden nicht auf informelle Anfrage an Strafverfolgungsbehörden herausgegeben; Rechtsgrundlage und Umfang bindender Anfragen werden geprüft.

5. Internationale Übermittlungen

Produktive Kern-Rechenleistung, Datenbank, Suche und Objektspeicher laufen in der EU. Transaktions-E-Mail wird aus Paris, Frankreich, erbracht.

Der aktuell konfigurierte OpenAI-Dienst kann Daten außerhalb des EWR verarbeiten. Soweit kein Angemessenheitsbeschluss gilt, beruhen Übermittlungen auf den Standardvertragsklauseln der Europäischen Kommission und ergänzenden vertraglichen und technischen Maßnahmen des Anbietervertrags. Solange diese Konfiguration verwendet wird, darf keine ausschließliche EU-Datengrenze zugesagt werden.

Vom Nutzer gewählte Remoteanbieter können Daten nach dem dortigen Nutzerkonto und ihren Bedingungen in anderen Ländern verarbeiten. Details enthält das Subunternehmerverzeichnis.

6. Speicherdauer

Eine Löschung im Livesystem entfernt Daten nicht sofort aus einer rotierenden Sicherung. Sicherungskopien altern aus und sind von normaler Nutzung isoliert; nach einer Wiederherstellung werden Löschregeln erneut angewendet. Bei gesetzlicher Sperre, Aufbewahrungspflicht oder Streit können eingeschränkte Datensätze länger aufbewahrt werden.

7. Sicherheit

Maßnahmen umfassen verschlüsselte Netzwerkübertragung, rollenbasierte Arbeitsbereichszugriffe, Mandantenprüfungen, Keycloak-Authentifizierung, geschützte Sitzungscookies, verschlüsselte Verbindungszugänge, verwaltete Geheimnisse, Netzwerkrichtlinien, Auditereignisse, Ratenbegrenzungen, Objektversionierung und tägliche Datenbanksicherungen. Zugriffe werden nach Rolle und betrieblichem Bedarf beschränkt. Kein Internetdienst kann absolute Sicherheit garantieren; Maßnahmen werden risikoorientiert weiterentwickelt.

Bei einem voraussichtlich riskanten Datenschutzverstoß informieren wir die zuständige Behörde unverzüglich und, soweit erforderlich, binnen 72 Stunden nach Bekanntwerden. Betroffene werden informiert, wenn das Gesetz dies verlangt. Geschäftskunden erhalten Unterstützung nach der AVV.

8. Ihre Rechte

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Empfängerinformation. Einer Verarbeitung aufgrund berechtigter Interessen kann widersprochen werden. Eine Einwilligung kann für die Zukunft widerrufen werden. Zudem besteht das Recht, keiner ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden; PaperPlane trifft derzeit keine solchen Entscheidungen.

Anfragen senden Sie an hello@codeandcomments.at. Wir dürfen die Identität prüfen und leiten Anfragen, soweit ein Geschäftskunde die Daten kontrolliert, an diesen weiter oder unterstützen ihn.

Beschwerden sind bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, dsb.gv.at (öffnet eine externe Seite), oder einer anderen zuständigen Aufsichtsbehörde, insbesondere im EWR-Wohn- oder Arbeitsstaat, möglich.

9. Kinder

PaperPlane-Verträge richten sich an Erwachsene ab 18 Jahren. Der Dienst wird nicht wissentlich direkt Kindern angeboten. Wenn ein Kind Daten ohne ausreichende Befugnis bereitgestellt hat, kontaktieren Sie uns.

10. Änderungen

Wir aktualisieren diese Erklärung bei Änderungen der Dienste, Anbieter oder Rechtslage. Wesentliche Änderungen werden angemessen im Dienst oder per E-Mail angekündigt. Prüfdatum und Fassung stehen am Seitenanfang; frühere vertragsrelevante Fassungen können per E-Mail angefordert werden.