Datenschutzerklärung

Radical Personas GmbH · Schillerstraße 12, 4020 Linz, Österreich · FN 684660d (Landesgericht Linz) · UID ATU83511549

Fassung vom 12. September 2026

Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und 14 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO”) und dem österreichischen Datenschutzgesetz (DSG) über die Verarbeitung personenbezogener Daten durch die Radical Personas GmbH. Sie gilt einheitlich für die Website radicalpersonas.com (Teil B) und die Anwendung app.radicalpersonas.com (Teil C).

---

Teil A — Allgemeines

§ 1 Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO ist:

Radical Personas GmbH
Schillerstraße 12
4020 Linz, Österreich

Vertretung	Ing. Martin Kocijaz und Dipl.-Ing. Thomas Kasper, Geschäftsführer
Telefon	+43 660 5032953
E-Mail	contact@radicalpersonas.com
Firmenbuch	FN 684660d, Landesgericht Linz
UID	ATU83511549

Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO nicht zu bestellen. Für alle Datenschutzanfragen wenden Sie sich bitte an die oben angeführte E-Mail-Adresse.

Wechsel der Verantwortlichkeit: Bis zum 30. Juli 2026 war die Radical Innovators GmbH Verantwortliche für die Verarbeitungen rund um Radical Personas. Mit der Ausgründung und der Eintragung der Radical Personas GmbH im Firmenbuch am 31. Juli 2026 ist die Verantwortlichkeit auf die Radical Personas GmbH übergegangen. Zwecke, Rechtsgrundlagen und Speicherdauern blieben dadurch unverändert. Betroffenenrechte richten Sie an contact@radicalpersonas.com.

§ 2 Geltungsbereich und Abgrenzung

(1) Diese Erklärung gilt für:

• die Website radicalpersonas.com einschließlich aller dort angebotenen Funktionen (Teil B), und
• die Anwendung (SaaS-Produkt) unter app.radicalpersonas.com nach Registrierung bzw. Anmeldung (Teil C).

(2) Die Teile D bis F (Betroffenenrechte, Empfänger und Drittlandtransfers, Speicherdauern, Sicherheit, Änderungen) gelten für beide Bereiche.

(3) Die Website radical-innovators.com wird von einer eigenen Verantwortlichen (Radical Innovators GmbH, Gesellschafterin) betrieben; deren Datenschutzerklärung gilt dort und nicht für Radical Personas. Umgekehrt gilt die vorliegende Erklärung nicht für radical-innovators.com.

(4) Das Angebot richtet sich ausschließlich an Unternehmer (B2B); auch der kostenlose Einstiegstarif setzt die Bestätigung der Unternehmereigenschaft bei der Registrierung voraus (§ 11 Abs. 3). Soweit dennoch personenbezogene Daten natürlicher Personen verarbeitet werden (z. B. von Ansprechpersonen, Nutzerinnen und Nutzern eines Unternehmens-Accounts oder Website-Besuchern), gilt diese Erklärung uneingeschränkt.

§ 3 Rechtsgrundlagen im Überblick

Wir verarbeiten personenbezogene Daten nur auf Grundlage von:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung,
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und vorvertragliche Maßnahmen,
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtungen (insbesondere steuer- und unternehmensrechtliche Aufbewahrungs- und Nachweispflichten, z. B. § 132 BAO, § 212 UGB),
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (insbesondere IT-Sicherheit, Missbrauchsabwehr, Produktverbesserung, Betrugsprävention).

Für Speicher- und Zugriffsvorgänge auf Endeinrichtungen gilt ergänzend § 165 Abs. 3 TKG 2021 (technisch notwendige Speicherung).

---

Teil B — Website (radicalpersonas.com)

§ 4 Bereitstellung der Website, Hosting und Server-Logfiles

(1) Bei jedem Aufruf der Website erhebt der Webserver automatisch technische Informationen, die Ihr Browser übermittelt:

• IP-Adresse des anfragenden Endgeräts,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene URL / Inhalt der Anforderung,
• HTTP-Statuscode,
• Referrer-URL (zuvor besuchte Seite),
• Browsertyp und -version, Sprache, Betriebssystem.

(2) Zweck: Bereitstellung der Website, Gewährleistung der IT-Sicherheit, Erkennung und Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem technisch fehlerfreien und sicheren Betrieb).

(3) Speicherdauer: 7 Tage; eine längere Aufbewahrung erfolgt nur im Einzelfall, soweit sie zur Analyse eines Sicherheitsvorfalls erforderlich ist.

(4) Die Website wird bei einem Webhoster mit Serverstandort in der Europäischen Union betrieben. Mit dem Hoster besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO; der Hoster verarbeitet die Logdaten strikt weisungsgebunden und ausschließlich zur Bereitstellung und Absicherung der Website. Eine Übermittlung in Drittländer findet dabei nicht statt.

§ 5 Cookies und lokaler Speicher (Website)

(1) Die Website setzt keine Tracking-, Analyse- oder Marketing-Cookies. Es findet kein Cross-Site-Tracking statt; es werden keine Werbeprofile gebildet. Die Reichweitenmessung nach § 6 arbeitet cookielos.

(2) Gesetzt werden ausschließlich technisch notwendige Speicherwerte, ohne die die Grundfunktion der Website nicht gewährleistet ist (z. B. eine Session-Kennung oder die Speicherung der gewählten Menü-Position). Diese Daten verlassen Ihren Browser nicht.

(3) Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.

§ 6 Reichweitenmessung mit Matomo (selbst gehostet, cookielos)

(1) Zur statistischen Auswertung der Website-Nutzung setzen wir die Open-Source-Software Matomo ein. Matomo läuft auf unserem eigenen Server innerhalb der EU; es werden keine Analysedaten an Dritte oder in Drittländer übermittelt.

(2) Die Messung erfolgt ohne Cookies: Es wird kein dauerhaftes Wiedererkennungsmerkmal auf Ihrem Endgerät gespeichert. Ihre IP-Adresse wird gekürzt (Anonymisierung der letzten 2 Byte) und nicht im Klartext gespeichert. Es werden keine personenbezogenen Profile gebildet und kein Cross-Site-Tracking betrieben.

(3) Verarbeitete Daten (anonymisiert/aggregiert): aufgerufene Seiten, Datum und Uhrzeit, ungefähre Herkunftsregion (aus der gekürzten IP), Verweisquelle (Referrer), Browser- und Gerätetyp.

(4) Zweck: bedarfsgerechte Gestaltung, Verbesserung und Reichweitenmessung der Website. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; für die Endgeräte-Vorgänge § 165 Abs. 3 TKG 2021.

(5) Speicherdauer: Die Statistikdaten werden nach spätestens 180 Tagen gelöscht.

(6) Widerspruch: Sie können der Messung jederzeit über den Opt-out-Schalter auf der Datenschutzseite der Website widersprechen. Die Opt-out-Entscheidung wird in einem technisch notwendigen Cookie gespeichert, damit sie auf Ihrem Browser dauerhaft beachtet wird.

(7) Die Anwendung (Teil C) setzt Matomo nicht ein; dort gilt ausschließlich § 16.

§ 7 Kontaktaufnahme (E-Mail, Kontaktformular)

(1) Wenn Sie uns per E-Mail oder über ein Kontaktformular kontaktieren, verarbeiten wir die von Ihnen übermittelten Daten (Name, E-Mail-Adresse, Unternehmen, Nachrichtentext, gegebenenfalls Telefonnummer) zur Bearbeitung Ihrer Anfrage.

(2) Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

(3) Technische Umsetzung: Der Versand von Formularanfragen erfolgt über den Dienst Resend, Inc. (USA), mit dem ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO besteht; die Datenspeicherung erfolgt in der EU-Datenregion eu-west-1 (Irland). Soweit dabei personenbezogene Daten in die USA übermittelt werden, ist der Transfer über Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sowie das EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert (§ 25).

(4) Speicherdauer: Reine Anfragedaten werden bis zu 6 Monate nach Abschluss der Korrespondenz gelöscht; entsteht aus der Anfrage eine Geschäftsbeziehung, gelten die gesetzlichen Aufbewahrungsfristen (7 Jahre gemäß § 132 BAO).

§ 8 Newsletter

Wir versenden keine Marketing-Newsletter. Sollten wir künftig eine Produkt- oder Release-Mitteilung anbieten, erfolgt die Aufnahme nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); über Zweck, Versand-Tool und Widerrufsmöglichkeit informieren wir dann gesondert im Anmeldeformular.

§ 9 Zielkunden-Analyse-Tool (öffentlich, ohne Anmeldung)

(1) Auf der Website steht ein öffentlich nutzbares Analyse-Tool zur Verfügung, mit dem Sie die Passung einer von Ihnen eingegebenen Website-Adresse (URL) zu typischen Zielkunden-Profilen prüfen können. Dabei finden folgende Verarbeitungen statt:

• Abruf und Extraktion der von Ihnen eingegebenen URL: Die dort öffentlich abrufbaren Inhalte werden von unseren Systemen abgerufen und für die Analyse aufbereitet.
• KI-Auswertung der extrahierten Inhalte über die in § 13 beschriebene Infrastruktur (AWS Bedrock, ausschließlich EU-Regionen).
• Ergebnis-Cache: Das Analyseergebnis wird für 24 Stunden zwischengespeichert, um wiederholte Anfragen zur selben URL effizient zu beantworten.
• Rate-Limiting: Zur Missbrauchsabwehr wird Ihre IP-Adresse in gekürzter Form (Maskierung auf Netzebene, bei IPv6 auf /64) in einem Zugriffs-Kontingent-Register verarbeitet.
• Aggregatstatistik: Nutzungszahlen werden ausschließlich in aggregierter, nicht personenbezogener Form erfasst.

(2) Rechtsgrundlage für die Verarbeitungen nach Abs. 1: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung des Tools, an der Funktionsfähigkeit und an der Missbrauchsabwehr).

(3) Speicherung der vollständigen Analyse: Eine über den 24-Stunden-Cache hinausgehende Speicherung Ihrer Analyse erfolgt nur, wenn Sie dem im Tool ausdrücklich zustimmen (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (§ 22).

(4) Die Einträge des Zugriffs-Kontingent-Registers und der Ergebnis-Cache werden nur so lange gespeichert, wie es für die Zwecke nach Abs. 1 erforderlich ist, und anschließend gelöscht.

(5) Geben Sie eine URL ein, deren Inhalte personenbezogene Daten Dritter enthalten, verarbeiten wir diese ausschließlich zur Erstellung der Analyse; eine anderweitige Nutzung findet nicht statt.

§ 9a Unternehmensseite auf LinkedIn

(1) Wir betreiben eine Unternehmensseite auf dem beruflichen Netzwerk LinkedIn (www.linkedin.com/company/radical-personas). Anbieter von LinkedIn und Verantwortlicher für die Datenverarbeitung durch LinkedIn ist für Nutzerinnen und Nutzer in der EU, im EWR und in der Schweiz die LinkedIn Ireland Unlimited Company (Irland, „LinkedIn”).

(2) Seitenstatistiken (Page Insights): Wenn Sie unsere Unternehmensseite aufrufen, ihr folgen oder mit ihr interagieren, verarbeitet LinkedIn personenbezogene Daten, um uns daraus Statistiken über die Nutzung der Seite bereitzustellen. Einbezogen werden Angaben, die Mitglieder LinkedIn gegenüber gemacht haben (etwa Tätigkeitsbereich, Land, Branche, Karrierestufe und Unternehmensgröße), sowie Informationen über die Interaktionen mit der Seite. Wir erhalten ausschließlich zusammengefasste Auswertungen und keinen Zugriff auf personenbezogene Daten einzelner Mitglieder.

(3) Gemeinsame Verantwortlichkeit: Für die Verarbeitung zu den Seitenstatistiken sind wir und LinkedIn gemeinsam Verantwortliche nach Art. 26 DSGVO. Die Einzelheiten regelt die Vereinbarung „Page Insights Joint Controller Addendum” von LinkedIn (legal.linkedin.com/pages-joint-controller-addendum). Danach ist LinkedIn für die Bereitstellung der Seitenstatistiken verantwortlich, informiert die Mitglieder über die Verarbeitung und setzt die Betroffenenrechte um, insbesondere Auskunft und Löschung. Diese Rechte können Sie in den Einstellungen Ihres LinkedIn-Kontos oder direkt gegenüber LinkedIn geltend machen. Wenden Sie sich an uns (§ 20), leiten wir Ihr Anliegen an LinkedIn weiter. Federführende Aufsichtsbehörde für diese Verarbeitung ist die irische Data Protection Commission; Ihr Beschwerderecht nach § 23 bleibt davon unberührt.

(4) Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung unseres Unternehmens, an der Kommunikation mit Interessierten und an der Auswertung der Reichweite unserer Unternehmensseite).

(5) Nachrichten über LinkedIn: Schreiben Sie uns über LinkedIn eine Nachricht, verarbeiten wir Ihre Angaben zur Bearbeitung Ihrer Anfrage; § 7 Abs. 2 und 4 gelten entsprechend.

(6) Verarbeitung durch LinkedIn in eigener Verantwortung: Über die Seitenstatistiken hinaus verarbeitet LinkedIn Ihre Daten in eigener Verantwortung nach seiner Datenschutzrichtlinie (www.linkedin.com/legal/privacy-policy). LinkedIn verarbeitet Daten nach eigener Angabe innerhalb und außerhalb der USA und stützt sich für Übermittlungen auf gesetzlich vorgesehene Mechanismen. Auf diese Verarbeitung haben wir keinen Einfluss.

(7) Links auf der Website: Unsere Website verweist auf die Unternehmensseite und auf die LinkedIn-Profile der Geschäftsführer ausschließlich mit einfachen Links. LinkedIn-Plugins, -Skripte oder -Tracking-Pixel sind nicht eingebunden; beim Besuch unserer Website werden keine Daten an LinkedIn übermittelt. Erst wenn Sie einem solchen Link folgen, gelangen Sie zu LinkedIn, und es gilt dessen Datenschutzrichtlinie.

---

Teil C — Anwendung (app.radicalpersonas.com)

§ 10 Hosting und Server-Logfiles (Anwendung)

(1) Die Anwendung wird bei OVH im Rechenzentrum Frankfurt am Main (Deutschland, EU) betrieben. Mit dem Hoster besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

(2) Beim Aufruf erhebt der Server automatisch: IP-Adresse, Browsertyp und -version, Betriebssystem, Referrer-URL, Zugriffsdatum und -zeit sowie aufgerufene Pfade.

(3) Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Stabilität). Speicherdauer: 7 Tage, danach automatische Löschung. Eine Übermittlung in Drittländer findet dabei nicht statt.

§ 11 Registrierung, Konto und Authentifizierung

(1) Zur Registrierung und Anmeldung verarbeiten wir Firmenname (Unternehmensbezeichnung), Name, E-Mail-Adresse und ein selbst gewähltes Passwort. Das Passwort wird ausschließlich als kryptographischer Hash (Argon2id) gespeichert; wir haben zu keinem Zeitpunkt Kenntnis vom Klartext-Passwort. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: für die Dauer des Kontobestands (Löschung: § 19).

(2) Anmeldung über Google oder Microsoft (OAuth): Alternativ können Sie sich über ein bestehendes Google- oder Microsoft-Konto anmelden. Wir erhalten vom gewählten Anbieter Ihre E-Mail-Adresse und Ihren Namen zur Kontoerstellung; im anschließenden Onboarding erheben wir zusätzlich den Firmennamen und die Unternehmer-Bestätigung (Abs. 3). Für die Verarbeitung im Rahmen des jeweiligen Anmeldedienstes ist der Anbieter selbst datenschutzrechtlich Verantwortlicher; es gelten zusätzlich dessen Datenschutzbestimmungen. Für die Sitzung setzen wir ein technisch notwendiges Authentifizierungs-Cookie (kurzlebiges JWT; das Refresh-Token wird serverseitig gehalten).

(3) Unternehmereigenschaft: Das Angebot richtet sich ausschließlich an Unternehmer. Bei der Registrierung bestätigen Sie, dass Sie als Unternehmer im Rahmen Ihrer geschäftlichen Tätigkeit handeln; diese Bestätigung wird zu Nachweiszwecken zusammen mit den Kontodaten gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Nachweisinteresse).

§ 12 Review- und Persona-Inhalte

(1) Bei der Nutzung der Anwendung verarbeiten wir die von Ihnen eingegebenen oder hochgeladenen Inhalte (z. B. URLs, Texte, Bilder, Dokumente, gegebenenfalls Profile) sowie die daraus erzeugten Personas, Bewertungsergebnisse und Chat-Eingaben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Daten liegen im Workspace des jeweiligen Kunden und sind anderen Kunden nicht zugänglich (Workspace-Isolation).

(2) Website-Analysen: Geben Sie eine URL zur Analyse an, rufen unsere Systeme die dort öffentlich abrufbaren Inhalte automatisiert ab. Dabei werden Bildschirmaufnahmen der Seite (Desktop- und Mobil-Ansicht), Textinhalte (bis zu etwa 15.000 Zeichen) sowie Struktur- und Metadaten (Überschriften, Meta-Angaben) erfasst und für die Auswertung aufbereitet.

(3) Ihre Verantwortung: Betrifft ein bewertetes Objekt identifizierbare reale Personen (z. B. ein Profil), sind Sie dafür verantwortlich, dass eine zulässige Rechtsgrundlage vorliegt (eigenes Profil, Einwilligung oder sonstige Berechtigung). Bringen Sie keine streng vertraulichen Inhalte und keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) in die Anwendung ein.

(4) Speicherdauer: bis Sie die Inhalte löschen oder Ihr Konto geschlossen wird (§ 19).

§ 13 KI-Auswertung (AWS Bedrock, EU-Regionen)

(1) Die KI-Auswertungen der Anwendung (Reviews, Zusammenfassungen, Persona-Chat) sowie die KI-Auswertung des Website-Tools nach § 9 werden über AWS Bedrock erzeugt. Vertragspartner ist Amazon Web Services EMEA SARL (Luxemburg); mit AWS besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

(2) Die Verarbeitung erfolgt ausschließlich in EU-Regionen von AWS: Die EU-Geografie ist technisch erzwungen; der Anfrage-Endpunkt liegt in Frankfurt am Main, die Inferenz erfolgt in einem Pool aus sechs EU-Regionen. Zum Einsatz kommen von AWS betriebene Sprachmodelle; Ihre Inhalte werden nicht an den Modellanbieter übermittelt und nach den AWS-Bedingungen für Bedrock weder gespeichert noch zum Training von Modellen verwendet.

(3) KI-Porträtbilder: Die Porträt-Illustrationen der Personas entstehen im Rahmen der redaktionellen Erstellung der Persona-Bibliothek in einem eigenen Content-Prozess, der keine Kundendaten verarbeitet; im Rahmen der Bereitstellung der Persona-Bibliothek werden keine personenbezogenen Daten der Kunden an Bildgenerierungs-Dienste übermittelt.

(4) Kennzeichnung: KI-generierte Inhalte (Personas, Bewertungen, Chat-Antworten, Persona-O-Töne, Porträtbilder) werden — auch bei Ausgabe über Integrationen — in der Anwendung und in den erzeugten Berichten als KI-generiert gekennzeichnet (Art. 50 der Verordnung (EU) 2024/1689, „KI-Verordnung”).

(5) Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (für Verarbeitungen im Rahmen der Anwendung) bzw. Art. 6 Abs. 1 lit. f DSGVO (für das öffentliche Website-Tool nach § 9).

§ 14 Zahlungsabwicklung (Stripe)

(1) Kostenpflichtige Tarife werden über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Dublin, Irland) abgewickelt. Die Zahlung erfolgt auf einer von Stripe betriebenen Bezahlseite (Stripe Checkout) bzw. im Stripe-Kundenportal. Zahlungsmitteldaten (z. B. Kartennummern) geben Sie direkt bei Stripe ein — sie erreichen unsere Server nicht.

(2) Datenflüsse: Wir übermitteln an Stripe Ihre E-Mail-Adresse und eine interne Kundenkennung. Im Bezahlvorgang erhebt Stripe zusätzlich Name und Rechnungsadresse (Pflichtangaben) sowie optional Ihre Umsatzsteuer-Identifikationsnummer. Von Stripe erhalten wir den Zahlungs- und Abo-Status, Rechnungsdokumente sowie die für die Steuerberechnung erforderlichen Angaben — keine vollständigen Zahlungsmitteldaten.

(3) UID-Prüfung: Eine von Ihnen angegebene Umsatzsteuer-Identifikationsnummer wird serverseitig über das MIAS/VIES-System der Europäischen Kommission auf Gültigkeit geprüft; dabei wird die UID-Nummer an dieses System übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (umsatzsteuerrechtliche Pflichten) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

(4) Stripe verarbeitet die Zahlungsdaten für die Zahlungsabwicklung sowie darüber hinaus zur Betrugsverhinderung und zur Erfüllung eigener gesetzlicher Pflichten (z. B. Geldwäsche-Prävention) in eigener Verantwortung; Näheres regelt die Datenschutzerklärung von Stripe (stripe.com/privacy). Bei der Verarbeitung können Daten an verbundene Stripe-Unternehmen in den USA übermittelt werden; dies ist über Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert (§ 25).

(5) Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung), Art. 6 Abs. 1 lit. c DSGVO (steuer- und unternehmensrechtliche Pflichten) sowie hinsichtlich der Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO.

(6) Speicherdauer: Rechnungs- und Buchungsdaten bewahren wir entsprechend den gesetzlichen Fristen auf (in Österreich grundsätzlich 7 Jahre, § 132 BAO). Diese Daten sind von der Konto-Löschung nach § 19 ausgenommen.

§ 15 E-Mail-Versand (Verifizierung, Benachrichtigungen)

(1) Für Verifizierungs-, Passwort- und Benachrichtigungs-E-Mails nutzen wir den Versanddienst Resend, Inc. (USA; Datenspeicherung in der EU-Datenregion eu-west-1, Irland), mit dem ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO besteht. Übermittelte Daten: E-Mail-Adresse, Name (sofern angegeben), Inhalt der jeweiligen Nachricht (z. B. Bestätigungs- oder Zurücksetzungs-Link).

(2) Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Soweit dabei personenbezogene Daten in die USA übermittelt werden, ist der Transfer über Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert (§ 25).

§ 16 Nutzungs- und Funnel-Analyse (eigenes Verfahren)

(1) Zur Verbesserung des Produkts erfassen wir Nutzungs- und Funnel-Ereignisse (z. B. welche Schritte eines Ablaufs genutzt werden). Dies erfolgt mit einem selbst betriebenen Verfahren auf unseren eigenen Servern; es kommt kein externes Analyse-Tool und kein Cookie zum Einsatz.

(2) Eine Sitzungs-Kennung wird im sessionStorage Ihres Browsers gehalten und entfällt beim Schließen des Tabs. Nach der Anmeldung kann ein Ereignis Ihrer Nutzer- bzw. Workspace-Kennung zugeordnet werden.

(3) Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes). Speicherdauer: Die Ereignisdaten werden nur so lange gespeichert, wie es für die Auswertung erforderlich ist, und im Übrigen aggregiert bzw. gelöscht. Eine Übermittlung an Dritte oder in Drittländer findet nicht statt.

§ 17 Missbrauchsschutz (E-Mail-Hash)

(1) Zum Schutz vor Missbrauch des kostenlosen Kontingents (insbesondere wiederholtes Anlegen neuer Konten) speichern wir einen gesalzenen Einweg-Hash (SHA-256) Ihrer E-Mail-Adresse. Dieser Hash lässt keinen Rückschluss auf die Klartext-Adresse zu.

(2) Der Hash wird bewusst auch über eine Konto-Löschung hinaus aufbewahrt, solange dies zur Aufrechterhaltung der Schutzfunktion erforderlich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Missbrauchsvermeidung).

§ 18 Cookies (Anwendung) und Schriftarten

(1) Die Anwendung verwendet ausschließlich technisch notwendige Cookies (Session-Authentifizierung, § 11 Abs. 2). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021. Es findet kein Tracking durch Drittanbieter statt; die Nutzungs-Analyse nach § 16 arbeitet ohne Cookie.

(2) Google Fonts: Zur Darstellung der Schriften lädt die Anwendung Schriftdateien von Google Fonts (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Beim Laden wird Ihre IP-Adresse an Google-Server übermittelt; Cookies werden dabei nicht gesetzt. Eine Übermittlung an Google-Server in den USA kann dabei nicht ausgeschlossen werden; sie ist über Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert (§ 25). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen, performanten Darstellung). Die Website (Teil B) ist davon nicht betroffen; dort werden alle Schriften selbst gehostet.

§ 19 Datenexport, Löschung und Backups

(1) Datenexport (Selbstbedienung): Über die Konto-Funktion „Datenexport” können Sie jederzeit selbst einen Export Ihrer Daten in einem strukturierten, gängigen und maschinenlesbaren Format anstoßen (Art. 20 DSGVO).

(2) Konto-Löschung: Löschen Sie Ihr Konto aktiv, werden das Konto und die zugehörigen Workspace-Inhalte (Personas, Reviews, hochgeladene Inhalte) unmittelbar und endgültig gelöscht. Hiervon ausgenommen bleiben ausschließlich der E-Mail-Hash nach § 17 sowie Rechnungs- und Buchungsdaten nach § 14 Abs. 6 (gesetzliche Aufbewahrung).

(3) Vertragsende ohne aktive Löschung: Endet der Vertrag (z. B. durch Kündigung), ohne dass Sie das Konto aktiv löschen, halten wir Ihre Inhalte noch 30 Tage für einen Export bereit; danach werden sie gelöscht. Abs. 2 Satz 2 gilt entsprechend.

(4) Backups: Gelöschte Daten werden im Zuge der regulären Backup-Rotation auch aus den Sicherungskopien entfernt; bis dahin sind sie ausschließlich für Wiederherstellungszwecke gesperrt und werden nicht anderweitig verarbeitet.

---

Teil D — Ihre Rechte als betroffene Person

§ 20 Betroffenenrechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) — Bestätigung, ob und welche personenbezogenen Daten wir über Sie verarbeiten;
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger oder Vervollständigung unvollständiger Daten;
• Löschung (Art. 17 DSGVO) — nach Maßgabe der gesetzlichen Voraussetzungen;
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO) — in der Anwendung auch direkt über die Selbstbedienungs-Funktion „Datenexport” (§ 19 Abs. 1);
• Widerspruch (Art. 21 DSGVO, § 21 dieser Erklärung);
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO, § 22 dieser Erklärung).

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an contact@radicalpersonas.com. Wir beantworten Anfragen innerhalb der gesetzlichen Frist (Art. 12 Abs. 3 DSGVO — in der Regel ein Monat).

§ 21 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) beruht, Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Widerspruch ist formlos an contact@radicalpersonas.com möglich; der Matomo-Reichweitenmessung können Sie zusätzlich direkt über den Opt-out-Schalter widersprechen (§ 6 Abs. 6).

§ 22 Widerruf von Einwilligungen

Soweit eine Verarbeitung auf Ihrer Einwilligung beruht (Art. 6 Abs. 1 lit. a DSGVO), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Der Widerruf ist formlos an contact@radicalpersonas.com möglich.

§ 23 Beschwerderecht bei der Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde in Österreich:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien, Österreich
Telefon: +43 1 52 152-0 · E-Mail: dsb@dsb.gv.at · www.dsb.gv.at

Alternativ können Sie sich an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

---

Teil E — Empfänger und Drittlandtransfers

§ 24 Empfänger und Auftragsverarbeiter

(1) Personenbezogene Daten werden nur insoweit an Dritte weitergegeben, als dies zur Erbringung der jeweiligen Leistung erforderlich ist oder eine gesetzliche Verpflichtung besteht.

(2) Eingesetzte Auftragsverarbeiter (Art. 28 DSGVO):

Empfänger	Leistung	Sitz / Verarbeitungsort
EU-Webhoster der Website	Hosting radicalpersonas.com	EU
OVH	Hosting der Anwendung	Frankfurt am Main, Deutschland (EU)
Amazon Web Services EMEA SARL	KI-Inferenz (AWS Bedrock)	Luxemburg; Verarbeitung ausschließlich EU-Regionen
Resend, Inc.	E-Mail-Versand (Formulare, Verifizierung, Benachrichtigungen)	USA; Datenregion eu-west-1 (Irland); Transferabsicherung § 25

Die Auftragsverarbeiter OVH, Amazon Web Services EMEA SARL und Resend, Inc. sind zugleich die Subprozessoren der Anlage 1 zum Auftragsverarbeitungsvertrag; der Webhoster der Website betrifft ausschließlich den Betrieb der Website im eigenen Verantwortungsbereich und ist daher nicht Teil der Anlage 1.

(3) Weitere Empfänger:

• Stripe Payments Europe, Ltd. (Dublin, Irland) — Zahlungsabwicklung (§ 14); hinsichtlich Betrugsprävention und eigener gesetzlicher Pflichten in eigener Verantwortung;
• Google / Microsoft — nur bei Nutzung der OAuth-Anmeldung (§ 11 Abs. 2), als eigene Verantwortliche;
• Google Ireland Limited — Bereitstellung von Schriftdateien in der Anwendung (§ 18 Abs. 2);
• LinkedIn Ireland Unlimited Company (Irland) — Unternehmensseite auf LinkedIn (§ 9a); für die Seitenstatistiken als gemeinsam Verantwortliche nach Art. 26 DSGVO, im Übrigen in eigener Verantwortung;
• Steuerberatung / Buchhaltung (Österreich) — zur Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO);
• Behörden und Gerichte, soweit eine gesetzliche Verpflichtung besteht.

(4) Die vollständige, versionierte Subprozessoren-Liste (Anlage 1 zum Auftragsverarbeitungsvertrag) wird in ihrer jeweils aktuellen Fassung auf unserer Website veröffentlicht (Art. 28 Abs. 2 DSGVO); Änderungen erfolgen nach dem im Auftragsverarbeitungsvertrag geregelten Verfahren. Auf Anfrage stellen wir die Liste zusätzlich direkt zur Verfügung.

§ 25 Datenübermittlung in Drittländer

(1) Die Kernverarbeitungen (Hosting Website und Anwendung, Datenbanken, KI-Inferenz, Reichweitenmessung, Nutzungs-Analyse) finden ausschließlich in der EU statt.

(2) In Drittländer — insbesondere die USA — werden personenbezogene Daten nur in folgenden Fällen übermittelt: E-Mail-Versand über Resend, Inc. (§§ 7, 15), mögliche Übermittlungen an verbundene Stripe-Unternehmen in den USA (§ 14 Abs. 4) sowie der Abruf von Schriftdateien in der Anwendung (§ 18 Abs. 2). Zu Übermittlungen, die LinkedIn in eigener Verantwortung vornimmt, siehe § 9a Abs. 6.

(3) Grundlage dieser Transfers sind Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO sowie — soweit der Empfänger zertifiziert ist — der Angemessenheitsbeschluss zum EU-US Data Privacy Framework nach Art. 45 DSGVO. Eine Kopie der Garantien stellen wir auf Anfrage bereit.

---

Teil F — Speicherdauern, Sicherheit, Änderungen

§ 26 Speicherdauern (Übersicht)

Datenkategorie	Speicherdauer
Server-Logfiles (Website und Anwendung)	7 Tage (§§ 4, 10)
Reine Kontaktanfragen ohne Geschäftsbezug	bis zu 6 Monate (§ 7)
Anfragen über LinkedIn-Nachrichten	wie Kontaktanfragen, bis zu 6 Monate (§§ 7, 9a Abs. 5)
Matomo-Statistikdaten (Website)	180 Tage (§ 6)
Ergebnis-Cache Zielkunden-Analyse	24 Stunden (§ 9)
Konto- und Workspace-Daten	Dauer des Kontobestands (§ 19)
Inhalte nach Vertragsende ohne aktive Löschung	30 Tage Export-Fenster, danach Löschung (§ 19 Abs. 3)
Rechnungs- und Buchungsdaten	7 Jahre gemäß § 132 BAO (§ 14 Abs. 6)
E-Mail-Hash Missbrauchsschutz	über die Konto-Löschung hinaus, solange die Schutzfunktion es erfordert (§ 17)
Einwilligungsbasierte Daten	bis zum Widerruf (§ 22)

§ 27 Datensicherheit (technische und organisatorische Maßnahmen)

Wir setzen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen. Dazu zählen unter anderem:

• Transport-Verschlüsselung (TLS 1.3) auf allen Verbindungen,
• Verschlüsselung sensibler Daten im Ruhezustand (at rest),
• Rollen- und Least-Privilege-Konzept, Zwei-Faktor-Authentifizierung für Administrationszugänge,
• regelmäßige Sicherheits-Updates und Patch-Management,
• versioniertes Backup-Konzept mit getrennten Wiederherstellungspfaden,
• Penetrationstest-Berichte auf Anfrage für Kunden.

§ 28 Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Die KI-Auswertungen der Anwendung (§ 13) bewerten die von Ihnen eingebrachten Objekte (z. B. Websites, Texte); sie treffen keine Entscheidungen über natürliche Personen.

§ 29 Aktualisierung dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn Änderungen unserer Verarbeitungstätigkeiten oder rechtliche Rahmenbedingungen dies erfordern. Die jeweils aktuelle Fassung ist auf der Website und in der Anwendung abrufbar; maßgeblich ist das im Kopf angegebene Fassungsdatum.

---

Radical Personas GmbH · Schillerstraße 12, 4020 Linz · FN 684660d (Landesgericht Linz) · UID ATU83511549 · contact@radicalpersonas.com

Fassung vom 12. September 2026