Datenschutzerklärung

Fassung vom 2026-09-28.

1. Verantwortlicher

Hoffrucht GmbH, Schlagenstraße 19d, 4810 Gmunden, Österreich. Geschäftsführer: Andreas Hoffelner · E-Mail: info@cultinode.com

Diese Erklärung gilt für die Website cultinode.com sowie die Web-Anwendung CultiNode (app.cultinode.com).

Doppelrolle: Für die Daten, die unsere Kunden (Betriebe) in CultiNode über ihre eigenen Mitarbeiter/Betriebsabläufe einstellen, sind wir Auftragsverarbeiter; der Kunde bleibt Verantwortlicher. Dafür gilt der gesonderte Auftragsverarbeitungsvertrag (AVV). Diese Datenschutzerklärung betrifft die Daten, für die wir selbst verantwortlich sind (Website-Besuch, Konto-/Vertragsdaten).

2. Welche Daten wir verarbeiten

Konto-/Nutzerdaten: Name, E-Mail-Adresse, verschlüsseltes Passwort, Rolle.
Vertrags-/Abrechnungsdaten: Firmenname, Anschrift, gebuchte Module.
Standort-Koordinaten der Betriebe: der Punkt, den ein Betriebs-Admin für einen Standort auf der Karte setzt (für Wetter und Prognose). Bei Einzelunternehmern kann das ein personenbezogenes Datum sein.
Nutzungs-/Protokolldaten: Zeitstempel, Aktionen in der App, technische Fehlerdaten (zur Sicherheit und Fehlerbehebung).
Server-Logs beim Website-Besuch: IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browser-/Gerätetyp.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeiten wir nicht.

3. Zwecke und Rechtsgrundlagen

Zweck	Rechtsgrundlage
Bereitstellung/Betrieb der App, Vertragserfüllung	Art. 6 Abs. 1 lit. b DSGVO
Sicherheit, Fehlerbehebung, Protokollierung	Art. 6 Abs. 1 lit. f DSGVO
Abrechnung, gesetzliche Aufbewahrung	Art. 6 Abs. 1 lit. c DSGVO

4. Empfänger / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter ein; mit allen bestehen Auftragsverarbeitungsverträge (DPAs):

Dienst	Zweck	Standort
Supabase Inc. (Datenbank, Auth)	Datenspeicherung	EU (Irland, eu-west-1)
Vercel Inc. (Hosting)	Auslieferung der App	EU-Region (Functions in EU, CDN global)
Sentry — Functional Software Inc. (de.sentry.io)	Fehler-Monitoring (sendDefaultPii=false)	EU
INWX GmbH & Co. KG (Mail/Domains)	E-Mail-Kommunikation	Deutschland

Drittlandübermittlung: Die Datenverarbeitung erfolgt in EU-Regionen. Für die Sub-Auftragsverarbeiter mit US-Muttergesellschaft gilt: Vercel Inc. und Sentry (Functional Software Inc.) sind unter dem EU-US Data Privacy Framework (DPF) zertifiziert; für zertifizierte Anbieter besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), ergänzt durch EU-Standardvertragsklauseln (SCC) in den jeweiligen DPAs. Supabase Inc. stützt die Übermittlung auf EU-Standardvertragsklauseln (SCC) nach Art. 46 DSGVO; die produktive Datenhaltung erfolgt in der EU.

4a. Karte und Adresssuche (OpenStreetMap)

Im Modul „Wetter & Prognose“ setzt der Betriebs-Admin unter Einstellungen → Wetter den Standort auf einer Karte. Kartenbild und Adresssuche kommen von OpenStreetMap (OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich). Beim Öffnen dieser Seite lädt der Browser die Kartenkacheln direkt von OpenStreetMap; dabei werden die IP-Adresse, Datum/Uhrzeit und Browser-Angaben übermittelt. Die Adresssuche (Nominatim) läuft nur, wenn jemand auf „Suchen“ drückt, und übermittelt zusätzlich den eingegebenen Suchbegriff. Andere Seiten der App laden nichts von OpenStreetMap.

Rechtsgrundlage ist unser berechtigtes Interesse, den Standort einfach auf einer Karte finden zu lassen (Art. 6 Abs. 1 lit. f DSGVO). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Datenschutzhinweise der OSMF: osmfoundation.org/wiki/Privacy_Policy.

Die Wetterdaten selbst (GeoSphere Austria, Deutscher Wetterdienst) ruft unser Server ab, nur mit den Koordinaten des Standorts und ohne Angaben zu Personen.

5. Speicherdauer

Wir richten uns nach der Art der Daten:

Nutzungs-, Anwendungs- und Kontodaten (z. B. Aktivitäts-/Protokolldaten, Nutzerkonten): Löschung zeitnah nach Vertragsende, spätestens innerhalb von 30 Tagen nach Vertragsende. Die kurze Frist dient der Datenmitnahme und -sicherung durch den Kunden.
Vertrags- und Abrechnungsdaten (z. B. Rechnungen, Vertragsunterlagen): Aufbewahrung entsprechend den gesetzlichen steuer- und handelsrechtlichen Pflichten — 7 Jahre gemäß § 132 BAO (Österreich) bzw. bis zu 10 Jahre gemäß § 147 AO (Deutschland), jeweils ab Ablauf des betreffenden Kalenderjahres.
Datensicherungen (Backups) werden im Rahmen des regulären Backup-Zyklus vorgehalten und turnusmäßig überschrieben.

6. Cookies

Wir setzen nur technisch notwendige Cookies bzw. vergleichbare Techniken (z. B. für die Anmeldung/Sitzung über Supabase Auth). Es findet kein Tracking und keine Werbe-Analyse statt; daher ist kein Cookie-Einwilligungsbanner erforderlich.

7. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Anfragen an: info@cultinode.com.

Beschwerderecht: Sie können sich bei der österreichischen Datenschutzbehörde (www.dsb.gv.at) beschweren.

Stand: September 2026.