Stand / Version: 05.07.2026 · Version 1.3
Mit dieser Datenschutzerklärung informieren wir Sie (im Folgenden „Nutzer") über die Verarbeitung personenbezogener Daten bei der Nutzung der Plattform SpoolPilot (https://app.spoolpilot.at) gemäß der Datenschutz-Grundverordnung (DSGVO) und dem österreichischen Datenschutzgesetz (DSG).
1. Verantwortlicher
Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO ist:
Luca Brecher (Betreiber der Plattform SpoolPilot) Waldrasterstraße 21, A-6166 Fulpmes im Stubaital, Tirol / Österreich E-Mail: info@spoolpilot.at
Zur Bestellung eines Datenschutzbeauftragten sind wir gesetzlich nicht verpflichtet; ein Datenschutzbeauftragter wurde daher nicht bestellt. Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannten Kontaktdaten.
2. Begriffe und allgemeine Hinweise
Die in dieser Erklärung verwendeten Begriffe (z. B. „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter") entsprechen den Definitionen in Art. 4 DSGVO. Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung einer funktionsfähigen Plattform und unserer Leistungen erforderlich ist oder Sie eingewilligt haben.
3. Rechtsgrundlagen der Verarbeitung
Wir verarbeiten personenbezogene Daten auf Grundlage folgender Bestimmungen:
- Art. 6 Abs. 1 lit. b DSGVO – zur Erfüllung des Nutzungsvertrags bzw. zur Durchführung vorvertraglicher Maßnahmen (z. B. Konto, Bereitstellung der Funktionen, Zahlungsabwicklung);
- Art. 6 Abs. 1 lit. c DSGVO – zur Erfüllung rechtlicher Verpflichtungen (z. B. steuer- und handelsrechtliche Aufbewahrungspflichten);
- Art. 6 Abs. 1 lit. f DSGVO – zur Wahrung berechtigter Interessen (z. B. IT-Sicherheit, Missbrauchs- und Betrugsprävention, Stabilität und Funktionssicherheit der Plattform);
- Art. 6 Abs. 1 lit. a DSGVO – auf Grundlage Ihrer Einwilligung, soweit eine solche eingeholt wird (z. B. Web-Push-Benachrichtigungen).
Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
4. Bereitstellung der Plattform und Server-Logfiles
4.1 Beim Aufruf der Plattform werden durch den eingesetzten Reverse-Proxy bzw. Webserver technisch notwendige Daten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Ressource, Statuscode, übertragene Datenmenge, Referrer sowie Browser- und Geräteinformationen (User-Agent).
4.2 Diese Verarbeitung ist erforderlich, um die Plattform auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb) sowie Art. 6 Abs. 1 lit. b DSGVO.
4.3 Sicherheits- und Zugriffsprotokolle werden nur so lange gespeichert, wie dies für die genannten Zwecke erforderlich ist (in der Regel 30 Tage), und danach gelöscht oder anonymisiert, soweit nicht im Einzelfall eine längere Speicherung zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich ist.
5. Registrierung und Benutzerkonto
5.1 Für die Nutzung von SpoolKit ist ein Benutzerkonto erforderlich. Dabei verarbeiten wir insbesondere: Name, E-Mail-Adresse, Authentifizierungsdaten sowie ggf. weitere von Ihnen freiwillig angegebene Daten.
5.2 Passwörter werden ausschließlich als kryptografischer Hash (Argon2id) gespeichert; eine Speicherung im Klartext erfolgt nicht. Sofern Sie Passkeys (WebAuthn) oder eine Zwei-Faktor-Authentifizierung (TOTP) nutzen, werden die zugehörigen Daten verarbeitet; sicherheitsrelevante Geheimnisse werden verschlüsselt gespeichert.
5.3 Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie für Sicherheitsfunktionen Art. 6 Abs. 1 lit. f DSGVO.
5.4 Die Kontodaten werden für die Dauer des Bestehens des Kontos verarbeitet. Nach Löschung des Kontos werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (siehe Punkt 13).
6. Nutzungs- und Inhaltsdaten
6.1 Im Rahmen der Nutzung verarbeiten wir die von Ihnen eingestellten Inhalte und Nutzungsdaten, insbesondere Spulen, Filamente, Hersteller, Vorlagen, Druckprotokolle, Verbrauchshistorien und daraus erstellte Statistiken sowie Konfigurationen.
6.2 Diese Verarbeitung dient der Bereitstellung der vertraglich vereinbarten Funktionen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
7. Team- und Enterprise-Konten / Auftragsverarbeitung
7.1 Bei Team- und Enterprise-Konten verarbeiten wir die Daten der angelegten Mitglieder (z. B. Anzeigename, E-Mail, Rolle/Berechtigungen) zum Zweck der Team- und Rechteverwaltung.
7.2 Soweit ein Kunde über SpoolKit personenbezogene Daten Dritter verarbeitet und wir dabei in seinem Auftrag tätig werden, handeln wir als Auftragsverarbeiter im Sinne des Art. 28 DSGVO. In diesem Fall ist der Kunde Verantwortlicher; es wird ein gesonderter Auftragsverarbeitungsvertrag (AVV) geschlossen, der die Einzelheiten regelt.
8. Zahlungsabwicklung (Stripe)
8.1 Die Abwicklung kostenpflichtiger Leistungen erfolgt über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Irland, sowie Stripe, Inc., USA).
8.2 Dabei werden die für die Zahlung erforderlichen Daten unmittelbar durch Stripe verarbeitet. Vollständige Zahlungsdaten (z. B. Kreditkartennummern) werden von uns nicht gespeichert. Wir erhalten von Stripe lediglich die zur Vertrags- und Abrechnungsverwaltung erforderlichen Informationen (z. B. Zahlungsstatus, Rechnungsdaten).
8.3 Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung steuer- und handelsrechtlicher Pflichten). Es gilt zusätzlich die Datenschutzerklärung von Stripe.
8.4 Zur Datenübermittlung in die USA siehe Punkt 12.
9. Bot- und Missbrauchsschutz, DNS (Cloudflare)
9.1 Zum Schutz vor automatisierten Angriffen und Missbrauch (z. B. bei Anmeldung und Registrierung) setzen wir Cloudflare Turnstile (Cloudflare, Inc., USA) ein. Dabei werden technische Informationen (u. a. IP-Adresse, Geräte- und Browserdaten) an Cloudflare übermittelt, um Anfragen als menschlich oder automatisiert einzustufen.
9.2 Die Namensauflösung (DNS) für die Domain erfolgt ebenfalls über Cloudflare. Ein Routing des inhaltlichen Datenverkehrs über das Cloudflare-Proxy-Netzwerk findet nicht statt; die Plattform wird direkt über unsere eigene Infrastruktur ausgeliefert.
9.3 Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Angriffen und am sicheren Betrieb). Zur Datenübermittlung in die USA siehe Punkt 12.
10. Benachrichtigungen (E-Mail und Web-Push)
10.1 E-Mail. Zur Erfüllung des Vertrags und für sicherheitsrelevante Mitteilungen (z. B. Registrierungsbestätigung, Passwort-/Sicherheitshinweise, Rechnungen) versenden wir E-Mails. Hierfür wird der E-Mail-Versanddienst SMTP2GO (Anbieter mit Sitz in Neuseeland) über dessen EU-Rechenzentrum (Amsterdam) eingesetzt, sodass Versand und Speicherung der E-Mail-Daten innerhalb der EU erfolgen. Für Neuseeland besteht zudem ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.
10.2 Web-Push. Sofern Sie Web-Push-Benachrichtigungen aktivieren, verarbeiten wir die hierfür erforderlichen technischen Daten (Push-Endpunkt/Token Ihres Browsers, Schlüssel). Die Zustellung erfolgt über den Push-Dienst Ihres Browser- bzw. Geräteanbieters (z. B. Google, Mozilla, Apple). Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO; Sie können die Benachrichtigungen jederzeit in den Einstellungen bzw. im Browser deaktivieren.
11. SpoolConnector-Hardware (IoT)
11.1 Sofern Sie SpoolConnector-Geräte verwenden, verarbeiten wir die für Betrieb und Sicherheit erforderlichen Daten, insbesondere Geräte-Identifikatoren, Authentifizierungsinformationen (z. B. HMAC-basierte Geräteauthentifizierung), Firmware-/Versionsstände sowie die vom Gerät übermittelten Nutzungsdaten (z. B. Spulen-/Verbrauchsdaten).
11.2 Diese Verarbeitung dient der Bereitstellung der Gerätefunktionen, der sicheren Kommunikation sowie der Bereitstellung von Firmware-Updates (OTA). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie für Sicherheitszwecke Art. 6 Abs. 1 lit. f DSGVO.
12. Hosting und Datenübermittlung in Drittländer
12.1 Hosting. Die Plattform wird auf Infrastruktur eines Anbieters mit Serverstandort in der Europäischen Union (Hetzner, Deutschland) betrieben. Mit dem Hosting-Anbieter besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
12.2 Drittlandübermittlung. Einzelne der unter Punkt 8 und 9 genannten Dienstleister haben ihren Sitz bzw. Konzernverbindungen in den USA. Eine Übermittlung personenbezogener Daten in die USA erfolgt nur auf Grundlage geeigneter Garantien:
- soweit der jeweilige Empfänger unter dem EU-US Data Privacy Framework (DPF) zertifiziert ist, auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission gemäß Art. 45 DSGVO;
- ergänzend bzw. ersatzweise auf Grundlage von Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO sowie ggf. zusätzlicher Schutzmaßnahmen.
12.3 Trotz dieser Garantien kann nach derzeitigem Stand nicht in jedem Fall ein dem EU-Recht vollständig gleichwertiges Datenschutzniveau garantiert werden; insbesondere können US-Behörden unter bestimmten Voraussetzungen auf Daten zugreifen. Mit der Nutzung der entsprechenden Funktionen nehmen Sie diese Restrisiken zur Kenntnis.
13. Speicherdauer und Löschung
13.1 Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.
13.2 Kontodaten werden für die Dauer des Kontos verarbeitet. Nach Vertragsende bzw. Kontolöschung haben Sie für einen Zeitraum von [z. B. 30] Tagen die Möglichkeit, Ihre Daten zu exportieren; danach werden die Daten gelöscht, soweit keine Aufbewahrungspflichten entgegenstehen.
13.3 Rechnungs- und steuerrelevante Unterlagen werden gemäß den gesetzlichen Aufbewahrungsfristen aufbewahrt (in Österreich grundsätzlich 7 Jahre gemäß § 132 BAO). Die Verarbeitung beschränkt sich in diesem Zeitraum auf die Erfüllung dieser Pflichten.
14. Empfänger und Kategorien von Empfängern
Personenbezogene Daten werden nur an Empfänger weitergegeben, soweit dies erforderlich ist, insbesondere an:
- den Hosting-Anbieter (Auftragsverarbeiter, EU),
- den Zahlungsdienstleister (Stripe),
- den Anbieter des Bot-Schutzes/DNS (Cloudflare),
- den E-Mail-Versanddienst sowie Push-Dienste der Browser-/Geräteanbieter,
- Behörden und Gerichte, soweit eine gesetzliche Verpflichtung besteht.
Mit Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO.
15. Sicherheit der Verarbeitung
Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um Ihre Daten zu schützen, insbesondere Transportverschlüsselung (TLS/HTTPS), Verschlüsselung sicherheitsrelevanter Geheimnisse, sichere Passwort-Hashing-Verfahren (Argon2id), Zugriffsbeschränkungen, Rate-Limiting sowie eine Sicherheitsarchitektur mit Content-Security-Policy und HSTS. Die Maßnahmen werden laufend an den Stand der Technik angepasst.
16. Keine automatisierte Entscheidungsfindung
Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung gemäß Art. 22 DSGVO findet nicht statt.
17. Daten von Minderjährigen
Unser Angebot richtet sich an voll geschäftsfähige Personen. Minderjährige dürfen kostenpflichtige Leistungen nur mit Zustimmung ihrer gesetzlichen Vertreter nutzen. Wir verarbeiten wissentlich keine Daten von Kindern ohne die erforderliche Einwilligung.
18. Ihre Rechte als betroffene Person
Sie haben – jeweils nach Maßgabe der gesetzlichen Voraussetzungen – folgende Rechte:
- Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
- Berichtigung unrichtiger Daten (Art. 16 DSGVO),
- Löschung (Art. 17 DSGVO),
- Einschränkung der Verarbeitung (Art. 18 DSGVO),
- Datenübertragbarkeit (Art. 20 DSGVO),
- Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO),
- Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Zur Ausübung dieser Rechte genügt eine Mitteilung an die unter Punkt 1 genannten Kontaktdaten.
19. Beschwerderecht bei der Aufsichtsbehörde
Unbeschadet anderer Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Die in Österreich zuständige Behörde ist:
Österreichische Datenschutzbehörde Barichgasse 40–42, 1030 Wien https://www.dsb.gv.at
20. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der rechtlichen Rahmenbedingungen dies erforderlich machen. Es gilt jeweils die auf der Plattform veröffentlichte aktuelle Fassung.