Rechtsgrundlagen: DSGVO (EU) 2016/679, Datenschutzgesetz (DSG, Österreich), TKG 2021 (§ 165 Cookies).

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO:

NEPTIQ, Neu-Viechtwang 23/Top 2, 4644 Scharnstein, Österreich

E-Mail: datenschutz@neptiq.tech

Derzeit ist kein Datenschutzbeauftragter bestellt.

2. Allgemeines

Wir verarbeiten personenbezogene Daten im Einklang mit DSGVO und DSG. Daten eines Pferdes sind als solche keine personenbezogenen Daten; soweit sie einem Halter zuordenbar sind (Konto, UELN/Equidenpass), unterliegen sie als Daten des Halters dem Datenschutzrecht.

3. Verarbeitungstätigkeiten

3.1 Konto und Authentifizierung

Daten: Name, E-Mail, Authentifizierungsdaten, Rolle, Sprache/Währung, Land. Zweck: Bereitstellung des Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Auftragsverarbeiter: Neon, Neon Auth (Better Auth), Vercel.

3.2 Pferdeprofile

Daten: Name, Rasse, Geschlecht, Geburtsdatum, Stockmaß, Gewicht, BCS, Nutzungsart, Erkrankungen, Allergien, Medikationen, optional UELN, Bild. Zweck: Wissens-/Werkzeugfunktionen, Zuordnung von Bestellungen, Anamnese-Snapshots an gebuchte Anbieter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.3 Reiterbezogene Profil- und Gesundheitsdaten

Daten: Geburtsdatum, Reiterfahrung, Disziplin; nur bei ausdrücklicher Einwilligung reiterbezogene Gesundheitsdaten. Rechtsgrundlage: allgemeine Daten Art. 6 Abs. 1 lit. b; Gesundheitsdaten (Art. 9 Abs. 1) ausschließlich Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung). Widerruf jederzeit mit Wirkung für die Zukunft; Einwilligung wird mit Zeitpunkt und Version dokumentiert.

3.4 Marktplatz-Bestellungen und Zahlung

Daten: Bestelldaten, Liefer-/Rechnungsadresse, Betrag, Bestellnummer, Zahlungskennungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b, lit. c (Aufbewahrung), lit. f (Betrugsprävention). Empfänger: jeweiliger Anbieter, Stripe. Zahlung via Stripe Connect (Direct Charges); Stripe verarbeitet teils als eigener Verantwortlicher.

3.5 Anbieter-Onboarding und Nachweisdokumente

Daten: Firmen-/Personendaten, Steuer-ID/UID, Kontakt, Berufs-/Zulassungsnachweise, Stripe-Connect-Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b, lit. c, lit. f. Nachweisdokumente werden vertraulich behandelt und nur berechtigten Stellen zugänglich gemacht.

Verbindet ein Anbieter ein bereits bestehendes Stripe-Konto, speichern wir dessen Kontokennung und den Stand der Zahlungsfreischaltung. Den von Stripe eingeräumten Zugriff auf das Konto nutzen wir ausschließlich, um Zahlungen für Bestellungen und Buchungen über die Plattform anzulegen, abzubrechen und zu erstatten; weitere Daten aus dem Stripe-Konto werden nicht abgerufen oder gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.6 E-Mail-Versand

Daten: E-Mail, Name, Nachrichteninhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b; Newsletter Art. 6 Abs. 1 lit. a i. V. m. § 174 TKG 2021. Auftragsverarbeiter: Resend (EU).

3.6a Newsletter/Verteiler

Daten: E-Mail-Adresse, Sprache, Eintragungsquelle (z. B. Fußbereich), Zeitpunkt der Bestätigung. Ablauf: doppelte Bestätigung (Double-Opt-In) — ohne Aufruf des zugesandten Bestätigungslinks erfolgt kein Versand. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 174 TKG 2021. Nachweis der Einwilligung: gespeicherter Bestätigungszeitpunkt. IP-Adresse und Browserkennung werden hierfür nicht gespeichert. Widerruf jederzeit über den Abmeldelink in jeder Aussendung; nach Abmeldung wird die Adresse gesperrt geführt, um weitere Zusendungen zu verhindern (Art. 6 Abs. 1 lit. f), vollständige Löschung auf Verlangen nach Art. 17.

3.7 Fehler-Monitoring

Daten: Fehlerberichte, Geräte-/Browserinfo, Zeitstempel. Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Auftragsverarbeiter: Sentry (EU-Instanz). Es werden keine Session-Replays aufgezeichnet; Nutzerkennungen, Cookies, Kopfzeilen und Formulareingaben werden nicht übermittelt, die Übertragung läuft über einen eigenen Pfad der Website.

3.8 Hosting und Server-Logs

Daten: IP, abgerufene Ressourcen, Datum/Uhrzeit, Referrer, User-Agent. Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Auftragsverarbeiter: Vercel, Neon/AWS (Frankfurt).

3.9 Bild- und Dokument-Upload

Daten: hochgeladene Bilder/Dokumente. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f. Auftragsverarbeiter: Vercel Blob (EU).

3.10 Reichweiten- und Leistungsmessung

Die Reichweitenmessung findet in eigener Verantwortung und in unserer eigenen Datenbank statt (Neon, AWS eu-central-1 Frankfurt).

Gespeichert wird je Aufruf: die aufgerufene Seite ohne Abfrageteil, die Sprache, der Host der verweisenden Seite (nicht die vollständige Adresse), eine grobe Gerätekategorie (mobil/Rechner) sowie — bei bestimmten Handlungen wie „in den Warenkorb gelegt" oder „Bestellung abgeschickt" — die Bezeichnung dieser Handlung mit höchstens drei kurzen Zusatzangaben.

Zusätzlich wird ein Tageskennzeichen gebildet, um Aufrufe eines Tages zusammenzufassen. Dafür werden Ihre IP-Adresse und die Browserkennung mit dem Tagesdatum und einem geheimen Schlüssel zu einem nicht umkehrbaren Abdruck verrechnet. Die IP-Adresse selbst wird dabei nicht gespeichert. Das Kennzeichen wechselt täglich; eine Wiedererkennung über den Tag hinaus ist dadurch ausgeschlossen.

Die Reichweitenmessung selbst setzt keine Cookies und speichert oder liest keine Daten auf Ihrem Endgerät; eine Zusammenführung zu einem Nutzerprofil findet nicht statt. Eine Ausnahme betrifft allein den Aufruf eines Kundenlinks eines Anbieters (siehe den übernächsten Absatz und Punkt 6).

Händler und Dienstleister auf unserer Plattform erhalten für ihre eigenen Produkt- und Leistungsseiten zusammengefasste Zahlen: Aufrufe, Besucher, Herkunft, Gerätekategorie, Sprache und die Zahl der Warenkorb-Ablagen. Diese Zahlen enthalten keine Angaben zu einzelnen Personen; Gruppen mit weniger als drei verschiedenen Besuchern werden zusammengefasst und nicht einzeln ausgewiesen.

Kundenlinks. Ruft jemand den Kundenlink eines Anbieters auf (Adresse der Form /h/Handle), speichern wir diesen Aufruf wie jeden anderen mit der Seite /h/Handle, dem Host der verweisenden Seite und, soweit in der Adresse vorhanden, den Kampagnenangaben (utm_source, utm_medium, utm_campaign, utm_content), die der Absender des Links mitgegeben hat. Der Anbieter sieht davon nur die Anzahl der Klicks und Besucher. Außerdem setzt der Aufruf ein Cookie, das den Anbieter einer späteren Bestellung zuordnet, damit ihm der Nachlass auf die Provision für selbst gebrachte Kunden gutgeschrieben werden kann (Punkt 6).

Zweck: Messung der Reichweite und der technischen Auslieferungsqualität. Die Reichweite bestimmt außerdem den Provisionssatz, den Händler auf unserer Plattform zahlen — sie muss deshalb belegbar sein. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden, messbaren und gegenüber Händlern nachvollziehbaren Angebot); mangels Zugriff auf Endgeräte-Informationen im Sinne des § 165 Abs. 3 TKG 2021 ist eine Einwilligung nicht erforderlich. Speicherdauer: 14 Monate, danach automatische Löschung.

Daneben ist die cookielose Messung von Vercel (Web Analytics, Speed Insights, EU-Region) eingebunden; sie erfasst Seitenaufrufe und technische Leistungswerte (Ladezeiten) und bildet ebenfalls keine dauerhafte Kennung.

3.11 Meldungen nach Art. 16 DSA

Wer über das Meldeformular einen Inhalt beanstandet, gibt an: E-Mail-Adresse (Pflicht), optional den Namen, die beanstandete Adresse (URL), eine Kategorie und eine Begründung; dazu die Erklärung, dass die Angaben nach bestem Wissen richtig und vollständig sind (Art. 16 Abs. 2 lit. d DSA). Gespeichert werden zusätzlich das Aktenzeichen, die Sprache und die Zeitpunkte von Eingang, Eingangsbestätigung, Entscheidung und deren Zustellung.

Zweck: Entgegennahme und Bearbeitung der Meldung sowie der Nachweis, dass Eingangsbestätigung und begründete Entscheidung tatsächlich zugegangen sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 der Verordnung (EU) 2022/2065 (DSA) — die Bearbeitung ist gesetzlich vorgeschrieben.

Speicherdauer: Solange die Meldung offen ist, bleibt die Adresse gespeichert — ohne sie ließe sich die nach Art. 16 Abs. 5 DSA geschuldete Mitteilung nicht zustellen. Nach der Entscheidung wird die Adresse auf Löschverlangen entfernt; der Vorgang selbst (beanstandete Adresse, Begründung, Entscheidung) bleibt als Nachweis des Verfahrens bestehen.

3.12 Zustellprotokolle und Versandsperre

Unser E-Mail-Dienstleister meldet zurück, ob eine Nachricht zugestellt, abgelehnt oder als unerwünscht gemeldet wurde. Gespeichert werden Empfängeradresse, Art des Ereignisses, Zeitpunkt und die Rückmeldung des Dienstleisters.

Adressen, die dauerhaft nicht erreichbar sind (harte Rückläufer) oder von denen eine Beschwerde kam, werden in einer Versandsperre geführt: Adresse, Grund, Zeitpunkt. Vor jedem Versand wird genau diese Liste geprüft. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — ohne sie senden wir weiter an Adressen, die uns abgelehnt haben, und verlieren die Zustellbarkeit für alle übrigen Empfänger.

Die Versandsperre bleibt auch nach einem Löschverlangen bestehen. Sie zu löschen hieße, wieder zu senden — also genau das rückgängig zu machen, was damit erreicht werden sollte. Die Sperre umfasst nur Adresse, Grund und Zeitpunkt; über ihren Inhalt erteilen wir jederzeit Auskunft.

3.13 Schutz vor Missbrauch (Anfragebegrenzung und Bot-Erkennung)

Anfragebegrenzung. Um massenhafte Anfragen abzuwehren – etwa bei Anmeldung, Registrierung, Newsletter, Bestellung, Buchungsanfrage, Meldeformular und Reichweitenmessung –, zählen wir Anfragen je Herkunft in kurzen Zeitfenstern. Dafür wird die IP-Adresse (bei der Anmeldung zusätzlich die angegebene E-Mail-Adresse) mit einem geheimen Schlüssel zu einem nicht umkehrbaren Abdruck verrechnet; die IP-Adresse selbst wird dabei nicht gespeichert. Die Zählereinträge werden nach spätestens drei Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem vor Missbrauch geschützten Angebot).

Bot-Erkennung (Vercel BotID). Beim Absenden der Formulare für Kasse, Anmeldung, Registrierung und Passwort, Newsletter, Buchungs- und Terminanfrage, Meldung sowie Anbieter-Anfrage prüft ein Skript unseres Hosting-Anbieters Vercel, ob die Anfrage von einem Menschen oder einem automatisierten Programm stammt. Dabei werden technische Merkmale des Browsers und der Anfrage ausgewertet. Wir nutzen das Ergebnis allein, um automatisierte Anfragen abzuweisen (etwa Kartentests, Scheinbestellungen und Massenregistrierungen); ein Nutzerprofil bilden wir daraus nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; soweit dabei auf Informationen in Ihrem Endgerät zugegriffen wird, ist dies für den von Ihnen ausdrücklich angeforderten Dienst unbedingt erforderlich (§ 165 Abs. 3 TKG 2021). Diese Formulare lassen sich nur mit aktiviertem JavaScript absenden.

3.14 Schnittstelle für KI-Assistenten (API und MCP)

Unter /api/agent (REST-Schnittstelle) und /api/mcp (MCP-Server) stellen wir eine öffentliche, ausschließlich lesende Schnittstelle bereit, über die KI-Assistenten – etwa ChatGPT, Claude, Gemini oder eigene Programme der Nutzer – Wissensinhalte, Rechenwerkzeuge sowie Angebote freigegebener Anbieter abrufen können. Abrufe erfolgen ohne Anmeldung; Konto-, Profil- oder Pferdedaten werden darüber weder gelesen noch gespeichert. Es fallen die üblichen Server-Logdaten an (Punkt 3.8).

Rechenwerkzeuge. Gibt ein Assistent Angaben weiter, die Sie ihm mitgeteilt haben (etwa Gewicht und Körperkonditionswerte eines Pferdes), verwenden wir sie nur für die jeweilige Berechnung und speichern sie nicht.

Entwürfe. Ein Assistent kann einen Warenkorb- oder Terminentwurf als Link erstellen. Dabei wird nichts gespeichert, reserviert oder bestellt; der Link enthält nur Produktkennungen und Mengen bzw. Datum und Uhrzeit. Erst wenn Sie ihn öffnen und auf Equiterna selbst bestellen oder anfragen, gelten die Punkte 3.4 und 3.13.

Bestellstatus. Wer die Zugangskennung aus der Bestellbestätigung an einen Assistenten weitergibt, kann darüber Bestellnummer, Status, Versandstand, Anbieter und Betrag abrufen lassen. Name, Anschrift, E-Mail-Adresse und weitere Angaben zur Person werden darüber nicht ausgegeben.

Der von Ihnen genutzte KI-Dienst ist für die Verarbeitung Ihrer Eingaben bei sich selbst verantwortlich (eigener Verantwortlicher, kein Auftragsverarbeiter von Equiterna); maßgeblich sind dessen Datenschutzhinweise. Solche Dienste können ihren Sitz außerhalb der EU haben oder Abrufe aus Drittländern vornehmen. Rechtsgrundlage auf unserer Seite: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Inhalte und Angebote auch über KI-Assistenten auffindbar und nutzbar zu machen); beim Abruf des Bestellstatus Art. 6 Abs. 1 lit. b DSGVO.

4. Empfänger und Auftragsverarbeiter

Mit folgenden Dienstleistern bestehen Auftragsverarbeitungsverträge (Art. 28 DSGVO):

• Neon (Postgres) / AWS — Datenbank, EU (AWS eu-central-1 Frankfurt).
• Neon Auth (Better Auth) — Authentifizierung, EU (AWS eu-central-1 Frankfurt).
• Vercel — Hosting/Auslieferung, EU-Region (Frankfurt, fra1)
• Vercel Blob — Bild-/Dokumentspeicher, EU.
• Vercel Web Analytics / Speed Insights — cookielose Reichweiten- und Leistungsmessung, EU-Region.
• Vercel BotID — Erkennung automatisierter Anfragen beim Absenden bestimmter Formulare (siehe Punkt 3.13).
• Stripe — Zahlungsabwicklung, EU-Verarbeitung + USA (Konzern); Standardvertragsklauseln (SCC) und/oder EU-US Data Privacy Framework; teils eigener Verantwortlicher.
• Resend — E-Mail-Versand, EU.
• Sentry — Fehler-Monitoring, EU.

Nicht in diese Liste gehören KI-Dienste, die Sie selbst mit Equiterna verbinden (Punkt 3.14): Sie sind eigene Verantwortliche, keine Auftragsverarbeiter.

Drittlandtransfer (USA): Soweit über Stripe Daten in die USA übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien nach Art. 46 DSGVO (SCC) und/oder des EU-US Data Privacy Framework (Art. 45 DSGVO).

5. Speicherdauer

• Kontodaten: für die Dauer des Kontos; Löschung nach Schließung (vorbehaltlich Aufbewahrungspflichten).
• Pferdeprofile: bis Löschung durch Nutzer / Kontoschließung.
• Reiter-Gesundheitsdaten: bis Widerruf / Kontoschließung.
• Bestell-/Zahlungs-/Rechnungsdaten: 7 Jahre (§ 132 BAO, § 212 UGB).
• Anbieter-Nachweise: Dauer der Anbieterbeziehung zzgl. gesetzlicher Fristen.
• Server-/Fehlerlogs: kurzfristig, i. d. R. 30 Tage, danach Löschung/Anonymisierung.
• Abrufe über die Schnittstelle für KI-Assistenten (Punkt 3.14): keine Speicherung über die Server-Logs hinaus.

6. Cookies und lokale Speicherung

Technisch notwendige Cookies/Speicher (Login-Sitzung, Sprache, Sicherheit): Art. 6 Abs. 1 lit. f DSGVO bzw. § 165 Abs. 3 TKG 2021. Nicht notwendige Technologien nur mit vorheriger Einwilligung (Art. 6 Abs. 1 lit. a), jederzeit widerrufbar.

Es werden ausschließlich technisch notwendige Technologien eingesetzt. Ein Einwilligungsbanner ist daher nicht erforderlich; sobald Analyse- oder Marketing-Technologien hinzukommen, ändert sich das.

Die Einträge im lokalen Speicher liegen ausschließlich auf dem Gerät des Nutzers und werden nicht an uns übertragen. Sie lassen sich jederzeit über die Browsereinstellungen löschen; die Formularentwürfe entfernt zusätzlich jedes Abmelden.

Die Reichweitenmessung (Punkt 3.10) setzt selbst keine Cookies und bildet keine dauerhaften Kennungen; die beiden Cookies eq_ref und eq_nicht_zaehlen dienen nicht der Messung von Besuchern.

7. Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21), Widerruf von Einwilligungen (Art. 7 Abs. 3). Kontakt: siehe Punkt 1.

8. Beschwerderecht

Österreichische Datenschutzbehörde (DSB) — Barichgasse 40-42, 1030 Wien · +43 1 52 152-0 · dsb@dsb.gv.at · https://www.dsb.gv.at

9. Pflicht zur Bereitstellung

Bestimmte Daten sind für Konto/Bestellung/Buchung erforderlich; ohne sie ist der Dienst nicht erbringbar. Reiter-Gesundheitsdaten sind freiwillig.

10. Keine automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt.