1. Verantwortlicher und Kontakt
Verantwortlicher für die Verarbeitung personenbezogener Daten auf x25pronto.at ist Management Consulting Mayr, Waldaustrasse 2, 9500 Wil SG, Schweiz. «x25pronto» und «x25pronto.at» sind Geschäfts- und Angebotsbezeichnungen des Verantwortlichen und keine davon getrennte Rechtsperson. Datenschutzanfragen können an info@x25pronto.ch oder +41 71 554 72 93 gerichtet werden. Für Nutzerinnen und Nutzer in Österreich gilt insbesondere die Datenschutz-Grundverordnung (DSGVO) sowie das österreichische Datenschutzgesetz (DSG), soweit anwendbar; für den Verantwortlichen in der Schweiz bleibt zusätzlich das schweizerische Datenschutzrecht vorbehalten.
2. Kategorien verarbeiteter Daten
Je nach Nutzung verarbeiten wir Stamm- und Kontaktdaten, Konto- und Sicherheitsdaten, E-Mail-Verifizierungs- und Aktivierungsstatus, Zeitpunkte und technische Nachweise der AGB-/Datenschutzbestätigung, Rechnungs- und Unternehmensdaten, Bewerbungs-, Kurierpartner-, Fahrzeug-, Versicherungs- und Nachweisdaten, Steuer- und Umsatzsteuerangaben, Zahlungs- und Auszahlungsdaten, Routen-, Termin- und Sendungsangaben, Preise, Buchungs-, Auftrags-, Beleg- und Reklamationsdaten, Abhol- und Zustellnachweise einschliesslich Fotos, Korrespondenz sowie technische Zugriffs-, Geräte-, Protokoll-, Analytics- und Sicherheitsdaten. Beim Empfehlungsprogramm können zusätzlich Daten der empfehlenden Person, die angegebene Empfängeradresse, Einladungs- und Aktivierungsstatus, Prämienstatus sowie technisch erfasste Versand-, Öffnungs- und Klickereignisse verarbeitet werden.
3. Zwecke und Rechtsgrundlagen
Die Verarbeitung dient insbesondere Website-, App- und Portalbetrieb, Registrierung, Kontoaktivierung, Authentifizierung und Sicherheit, Dokumentation von Zustimmungen, Adress- und Routenprüfung, Preisberechnung, Buchung und Zahlungsabwicklung, Auftragsdurchführung, Partnerzuweisung, Fahrerportal, Abrechnung und Auszahlung, Reklamationsbearbeitung, Empfehlungsprogramm, vertragsbezogener Kommunikation, zulässiger Kundenkommunikation, Buchhaltung, Nachweisführung, Missbrauchs- und Betrugsprävention, Fehleranalyse, Reichweitenmessung, gesetzlichen Pflichten sowie der Geltendmachung oder Abwehr von Rechtsansprüchen. Soweit die DSGVO anwendbar ist, erfolgt die Verarbeitung je nach Vorgang insbesondere zur Vertragsdurchführung oder vorvertraglichen Massnahme (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Pflichten (lit. c), aufgrund berechtigter Interessen an sicherem und ordnungsgemässem Betrieb, Missbrauchsschutz, Nachweis und Rechtsdurchsetzung (lit. f) oder auf Grundlage einer Einwilligung (lit. a).
4. Registrierung, AGB-Zustimmung und Kontoaktivierung
Bei der Registrierung wird technisch dokumentiert, ob die erforderliche AGB-/Datenschutzbestätigung abgegeben wurde und wann dies geschah. Neue Konten können bis zur Bestätigung der E-Mail-Adresse inaktiv bleiben. Für Aktivierungen, Passwortsetzung oder vergleichbare Sicherheitsvorgänge können einmalige Token erzeugt, nur in gehashter oder sonst technisch abgesicherter Form gespeichert, mit einem Ablaufzeitpunkt versehen und nach Verwendung entwertet werden. Der Status der E-Mail-Verifizierung dient Konto-, Sicherheits-, Nachweis- und Vertragszwecken.
5. Keine Werbeeinwilligung durch Kontoaktivierung
Die Aktivierung oder Verifizierung eines Kontos, eine Buchung, Bewerbung oder Kurierpartnerschaft gilt für sich allein nicht als Einwilligung in Werbung. Werbung per elektronischer Post erfolgt nur, soweit die gesetzlichen Voraussetzungen erfüllt sind, insbesondere nach § 174 TKG 2021. Abmeldungen, Suppression-Einträge, Sperrvermerke und «Do not contact»-Kennzeichen werden berücksichtigt, damit für entsprechende Kommunikation gesperrte Adressen nicht erneut verwendet werden. Vertrags-, Sicherheits- und zwingend erforderliche Kontomitteilungen bleiben hiervon getrennt.
6. Österreich als Leistungs- und Rechnungsland
Das Angebot von x25pronto.at ist auf Österreich ausgerichtet. Bei eingeloggten Konten und Buchungen kann das Rechnungs- bzw. Leistungsland serverseitig als ISO-Ländercode AT geführt werden. In der deutschen Oberfläche wird dies als «Österreich», in der englischen als «Austria» angezeigt. Serverseitige Vertrags-, Steuer- und Rechnungsdaten gehen manipulierten Browserwerten vor.
7. Buchungen, Fahrerportal und Kurierpartner
Für die Durchführung konkreter Transporte werden eingesetzten selbstständigen Kurierpartnern nur die dafür erforderlichen Auftrags-, Kontakt-, Routen-, Termin-, Sendungs- und Nachweisinformationen zugänglich gemacht. Im Fahrerportal können Unternehmens-, Kontakt-, Steuer-/Umsatzsteuer-, Rechnungs-, Fahrzeug-, Versicherungs-, Bank-/Auszahlungs-, Konditions-, Auftrags-, Nachweis-, Reklamations- und Abrechnungsdaten verarbeitet werden. Systemstatus, Zeitstempel, Annahmen, Ablehnungen, Abhol- und Zustellnachweise sowie vergleichbare Ereignisse können zur Vertragsabwicklung, Qualitätssicherung, Abrechnung, steuerlichen Einordnung, Reklamationsklärung und Missbrauchsprävention protokolliert werden.
8. Fahrerportal-Gebühr und steuerliche Nachweise
Für die Abrechnung von Fahrerportal- oder Partnerleistungen können insbesondere Unternehmereigenschaft, Unternehmenssitz, Rechnungsanschrift sowie Steuer- und Umsatzsteuerangaben verarbeitet und dokumentiert werden. Soweit bei einer grenzüberschreitenden B2B-Leistung die Steuerschuld auf den Leistungsempfänger übergeht, werden die hierfür erforderlichen Angaben zur Rechnungsstellung, Nachweisführung und allfälligen Korrektur verarbeitet. Die datenschutzrechtliche Verarbeitung entscheidet nicht selbst über die steuerrechtliche Qualifikation; massgebend sind die tatsächlichen Verhältnisse und die anwendbaren Steuervorschriften.
9. Empfehlungsprogramm
Beim Empfehlungsprogramm kann eine eingeloggte Person eine Empfängeradresse angeben und vor dem Versand eine Vorschau bzw. Bestätigung vornehmen. Zur Administration und Zuordnung können Empfehlende, Empfänger, Versandstatus, Kontoaktivierung und Prämienstatus sowie technische Öffnungs- und Klickereignisse verarbeitet werden. Automatisierte Abrufe, Sicherheits-Scanner oder vergleichbare technische Zugriffe können separat von menschlichen Interaktionen bewertet werden. Solche Daten dienen der Programmdurchführung, Zuordnung, Statistik, Sicherheit und Missbrauchserkennung. Eine Empfehlung ersetzt keine allenfalls erforderliche Einwilligung des Empfängers in weitergehende Werbung.
10. Zahlungsdaten
Kartenzahlungen werden über Stripe abgewickelt. x25pronto erhält die für Autorisierung, Zahlungsstatus, Verbuchung, Rückzahlung, Rechnungs- und Belegführung erforderlichen Transaktionsinformationen, nicht jedoch vollständige Kartendaten. Je nach Zahlungsart können Apple Pay oder Google Pay als Wallet innerhalb des Stripe-Zahlungswegs eingesetzt werden. Zahlungs- und Rechnungsstatus können zur automatischen Freischaltung vertraglich vorgesehener Portal- oder Leistungsfunktionen verarbeitet werden.
11. AI Bot
Der AI Bot verwendet freigegebene x25pronto-Inhalte als Wissensbasis. Fragen und die zur Antwort erforderliche Chat-Historie werden zur Generierung an den konfigurierten AI-Dienst übermittelt und können serverseitig für Betrieb, Qualität, Missbrauchsschutz und Administration protokolliert werden. Im Browser wird die sichtbare AI-Chat-Historie nur in sessionStorage gehalten, damit sie Seitenwechsel und Reloads innerhalb derselben Browser-Sitzung übersteht; sie ist nicht als dauerhafte lokale Historie vorgesehen. Bei eingeloggten Konten können zusätzliche Datenschutz- oder Funktionsschalter entsprechend dem Systemstatus gesetzt sein.
12. WhatsApp und elektronische Kommunikation
Beim Öffnen von WhatsApp wird die Nachricht an den von Ihnen gewählten WhatsApp-Dienst übergeben. Bis zum Öffnen bleibt der Entwurf lokal im Browser. Vertrags-, Konto-, Sicherheits-, Auftrags- und Partnerinformationen können an die im Konto hinterlegten Kontaktdaten elektronisch übermittelt werden. Zustell-, Bounce-, Öffnungs- oder vergleichbare technische Statusdaten können verarbeitet werden, soweit dies für Betrieb, Sicherheit, Nachweis, Zustellbarkeit oder zulässige Kommunikation erforderlich ist. Für die weitere Verarbeitung durch WhatsApp/Meta oder andere externe Kommunikationsanbieter gelten deren eigene Bedingungen und Datenschutzhinweise.
13. Eigene Statistik, Google Tag Manager und lokale Speicher
Eine datensparsame betriebliche Basisstatistik wird über die eigene x25pronto-Infrastruktur ohne optionale dauerhafte Browserkennung geführt. Eine optionale erweiterte eigene Analyse mit Besucher- und Sitzungskennung wird nur entsprechend der in den Cookie-Einstellungen getroffenen Wahl aktiviert. Bei entsprechender Einwilligung wird zusätzlich der Web-Container von Google Tag Manager (Container-ID GTM-5XQMWR58) freigegeben. Die Freigabe wird serverseitig über eine signierte Consent-Information geprüft; der GTM-Bootstrap wird erst nach erfolgreicher Backend-Prüfung über den x25pronto.at-Endpunkt /api/privacy/gtm.js ausgeliefert. Google Analytics ist auf x25pronto.at nicht eingerichtet. Werbe- und Personalisierungsspeicher bleiben durch x25pronto standardmässig gesperrt. Für das Speichern von oder den Zugriff auf Informationen in Endeinrichtungen gelten zusätzlich die Anforderungen des § 165 Abs. 3 TKG 2021.
14. Empfänger und Dienstleister
Daten können im erforderlichen Umfang an Hosting-, E-Mail-, Zahlungs-, Karten-/Routing-, Kommunikations-, AI- und IT-Dienstleister sowie an für einen konkreten Transport eingesetzte Kurierpartner übermittelt werden. Dienstleister erhalten nur diejenigen Daten, die für die jeweilige Funktion erforderlich sind. Bei Übermittlungen in Staaten ausserhalb EU/EWR bzw. in die Schweiz oder weitere Drittstaaten werden, soweit erforderlich, die nach DSGVO und anwendbarem schweizerischem Datenschutzrecht vorgesehenen Voraussetzungen und Schutzmechanismen berücksichtigt.
15. Aufbewahrung, Archivierung und Löschung
Daten werden nur so lange aufbewahrt, wie sie für den jeweiligen Zweck, Nachweis, Reklamationsbearbeitung, Sicherheit oder gesetzliche Aufbewahrungspflichten erforderlich sind. Buchhaltungs-, Vertrags-, Zahlungs-, Steuer-, Sicherheits- und Nachweisdaten können entsprechend länger gespeichert werden. Bei archivierten oder gelöschten Konten kann der aktive Zugang gesperrt und die aktuelle Kontaktadresse technisch ersetzt oder für operative Kommunikation unterdrückt werden. Daten, die aus gesetzlichen, buchhalterischen, sicherheitsbezogenen oder beweisrechtlichen Gründen weiter benötigt werden, können bis zum Wegfall des jeweiligen Zwecks in eingeschränkter Form erhalten bleiben.
16. Datensicherheit
Wir setzen angemessene technische und organisatorische Massnahmen ein, um personenbezogene Daten vor unbefugtem Zugriff, Verlust, Missbrauch oder unzulässiger Veränderung zu schützen. Dazu können insbesondere Zugriffsbeschränkungen, gehashte Einmal-Token, serverseitige Plausibilitäts- und Berechtigungsprüfungen, Protokollierung sicherheitsrelevanter Ereignisse und die Trennung aktiver von archivierten Konten gehören.
17. Rechte betroffener Personen
Soweit die DSGVO anwendbar ist, bestehen insbesondere die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch; erteilte Einwilligungen können mit Wirkung für die Zukunft widerrufen werden. Gesetzliche Aufbewahrungs- und Nachweispflichten sowie andere vorrangige Rechtsgründe bleiben vorbehalten. Betroffene Personen können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren, insbesondere bei der österreichischen Datenschutzbehörde, soweit diese zuständig ist. Datenschutzanfragen sind an info@x25pronto.ch zu richten.