Datenschutzerklärung

Information nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) für die Website kiato.at (Teil A) und die Anwendung unter app.kiato.at (Teil B). Fassung 2 · Stand: 16. Oktober 2026. Ihre Rechte stehen am Ende.

Verantwortlicher

FDM Software GmbH
Adelheid-Popp-Gasse 8/2/57, 1220 Wien, Österreich
Firmenbuch: FN 678054 p, Handelsgericht Wien
UID-Nummer: ATU83270238
E-Mail: office@fdm-software.at
Telefon: +43 1 928 444 21

Datenschutzbeauftragter: Wir haben keinen Datenschutzbeauftragten bestellt, da die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO) derzeit nicht vorliegen. Für alle Fragen zum Datenschutz erreichen Sie uns unter den oben genannten Kontaktdaten, insbesondere unter office@fdm-software.at.

Teil A: Website kiato.at

Diese Website

Die Website wird bei Vercel Inc. in der Region Frankfurt (fra1) betrieben. Schriften werden vom eigenen Server ausgeliefert. Beim Aufruf verarbeitet Vercel als unser Auftragsverarbeiter technisch notwendige Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Angaben) in Server-Logs, um die Website störungsfrei und sicher zu betreiben (Art. 6 Abs. 1 lit. f DSGVO). Die Logs werden nicht mit anderen Daten zusammengeführt und bis zu 90 Tage zur Erkennung und Aufklärung von Angriffen gespeichert; im Fall eines Sicherheitsvorfalls bis zu dessen Abschluss.

Cookies und Einwilligung

Diese Erklärung gilt für kiato.at und, was Cookie-Einwilligung und Messung betrifft, auch für die Anmelde- und Registrierungsseiten sowie die Anwendung unter app.kiato.at. Wir unterscheiden zwei Arten von Cookies und vergleichbaren Speichern im Browser:

• Technisch notwendig: Das Cookie „kiato_consent“ speichert Ihre Wahl im Hinweisband („Zulassen“ oder „Ablehnen“) für zwölf Monate. Es gilt für kiato.at und app.kiato.at, damit Sie nur einmal gefragt werden. In der Anwendung kommen die für die Anmeldung nötigen Cookies hinzu. Rechtsgrundlage: § 165 Abs. 3 TKG 2021 bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb der Website).
• Statistik und Werbemessung (nur mit Ihrer Einwilligung): Microsoft Clarity, Google Analytics und Google-Ads-Conversion-Tracking, jeweils unten beschrieben. Diese Dienste werden erst geladen, wenn Sie im Hinweisband auf „Zulassen“ klicken. Vorher und bei „Ablehnen“ wird keine Verbindung zu Microsoft oder Google aufgebaut und es werden keine solchen Cookies gesetzt. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021).

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über „Cookie-Einstellungen“ unten auf jeder Seite von kiato.at sowie auf der Anmelde- und Registrierungsseite und in den Einstellungen von app.kiato.at. Beim Widerruf werden die betroffenen Cookies auf unseren Domains gelöscht und die Dienste nicht mehr geladen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Webanalyse mit Microsoft Clarity (nur mit Ihrer Einwilligung)

Wenn Sie im Hinweisband auf „Zulassen“ klicken, nutzen wir auf kiato.at Microsoft Clarity, einen Dienst der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Clarity zeigt uns, wie Besucher diese Website nutzen, etwa Klicks, Scrollen und Mausbewegungen, als Heatmap und als Aufzeichnung einzelner Besuche, damit wir unklare Stellen erkennen und verbessern können. Dabei werden Angaben zu Gerät und Browser, die ungefähre Herkunft und Ihre Interaktionen mit der Seite verarbeitet; Texteingaben werden von Clarity verdeckt. Clarity setzt dafür Cookies (z. B. _clck, _clsk) mit einer Speicherdauer von bis zu einem Jahr; Aufzeichnungen und Nutzungsdaten speichert Microsoft für die von Microsoft für Clarity vorgesehene Standarddauer (siehe Datenschutzerklärung von Microsoft). In der Anwendung unter app.kiato.at wird Clarity nicht eingesetzt.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Eine Übermittlung in die USA ist möglich (siehe „Übermittlung in Drittländer“). Mehr dazu in der Datenschutzerklärung von Microsoft.

Google Analytics (nur mit Ihrer Einwilligung)

Nach Ihrer Einwilligung nutzen wir Google Analytics 4, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Zweck ist eine Reichweiten- und Nutzungsstatistik: wie viele Besucher kiato.at aufrufen, welche Seiten sie ansehen, woher sie kommen (z. B. über eine Anzeige oder eine Suche) und wie viele Besucher die Registrierung beginnen, ein Testkonto anlegen und ihr erstes Postfach verbinden.

Auf kiato.at werden Seitenaufrufe sowie das Ansehen der Preise und das erfolgreiche Absenden des Kontaktformulars gemessen; dabei wird nur erfasst, dass das Formular abgeschickt wurde, nicht dessen Inhalt. In der Anwendung unter app.kiato.at messen wir ausschließlich drei Ereignisse: Registrierung begonnen, Testkonto erstellt und erstes Postfach verbunden, ohne Seitenaufrufe, ohne Seitentitel und ohne Inhalte aus Ihrem Konto. Verarbeitet werden dabei: eine zufällige Kennung Ihres Browsers und Ihrer Sitzung, Datum und Uhrzeit, die aufgerufene Adresse (auf kiato.at einschließlich Kampagnen-Angaben einer Anzeige, in der Anwendung nur der Pfad), die zuvor besuchte Seite, Angaben zu Gerät, Browser, Bildschirm und Sprache, die aus der IP-Adresse abgeleitete ungefähre Region sowie der Einwilligungsstatus. Namen, E-Mail-Adressen, Formularinhalte oder Inhalte Ihrer E-Mails und Rechnungen werden nicht an Google übermittelt. IP-Adressen werden von Google Analytics nach Angaben von Google nicht gespeichert. Google Signals und personalisierte Werbung sind deaktiviert.

Cookies: _ga und _ga_<Kennung> (zur Unterscheidung von Besuchern und Sitzungen), Speicherdauer bis zu zwei Jahre. Die Ereignisdaten werden bei Google nach zwei Monaten gelöscht. Google verarbeitet die Daten für uns als Auftragsverarbeiter auf Grundlage der Datenverarbeitungsbedingungen von Google.

Google Ads Conversion-Tracking (nur mit Ihrer Einwilligung)

Wir schalten Anzeigen über Google Ads (Google Ireland Limited, Anschrift wie oben). Nach Ihrer Einwilligung messen wir, ob ein Klick auf eine unserer Anzeigen dazu geführt hat, dass ein Testkonto bei kiato erstellt wurde („Conversion“). So sehen wir, welche Anzeigen wirken und was eine Anmeldung kostet. Wir nutzen Google Ads nicht für Remarketing oder personalisierte Werbung.

Kommen Sie über eine Anzeige, hängt Google eine Klick-Kennung an die Adresse an. Diese wird in einem Cookie gespeichert und bei der Erstellung eines Testkontos zusammen mit einer zufälligen internen Kennung des Vorgangs an Google übermittelt. Verarbeitet werden außerdem: eine zufällige Kennung Ihres Browsers, Datum und Uhrzeit, die aufgerufene Seite und deren Titel, Angaben zu Gerät und Browser, die IP-Adresse sowie der Einwilligungsstatus. Namen, E-Mail-Adressen oder Inhalte aus Ihrem Konto werden nicht übermittelt.

Cookies und Speicher: _gcl_au und _gcl_aw sowie gegebenenfalls weitere _gcl_- und _gac_-Cookies (Klick- und Kampagnen-Angaben), Speicherdauer bis zu 90 Tage; dazu ein Eintrag „_gcl_ls“ im Speicher Ihres Browsers. Google kann zusätzlich Cookies auf eigenen Domains setzen (z. B. doubleclick.net, google.com); diese können nur Sie selbst in Ihrem Browser löschen. Für das Conversion-Tracking ist Google eigenständig verantwortlich; es gelten die Datenschutzbedingungen für Google Ads (Controller-Controller).

Kontaktaufnahme

Wenn Sie uns per E-Mail oder über das Kontaktformular auf der Startseite kontaktieren, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Inhalt der Nachricht) zur Beantwortung der Anfrage und für den Fall von Anschlussfragen (Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertragsabschluss geht, sonst Art. 6 Abs. 1 lit. f DSGVO). Das Kontaktformular wird über unsere Website (Hosting Vercel, Frankfurt) entgegengenommen und per E-Mail über Resend, Inc. (Region Irland) an uns zugestellt; beide handeln als unsere Auftragsverarbeiter. Anfragen bearbeiten wir per E-Mail und erfassen sie in einem internen, in der EU gehosteten Ticketsystem; externe Empfänger gibt es dafür nicht. Die Daten werden gelöscht, wenn die Anfrage abschließend erledigt ist, spätestens zwölf Monate nach dem letzten Kontakt, sofern daraus kein Vertrag entsteht.

Teil B: Anwendung app.kiato.at

Rollen: Verantwortliche und Auftragsverarbeiterin

In der Anwendung verarbeiten wir personenbezogene Daten in zwei Rollen. Als Verantwortliche verarbeiten wir die Daten, die wir für Vertrag und Betrieb selbst benötigen: Anmelde- und Kontodaten, Vertrags- und Abrechnungsdaten, Supportanfragen, Daten zum Missbrauchs- und Kostenschutz, technische Fehler- und Plattform-Protokolle sowie die Messung nach Einwilligung (Teil A). Dafür gilt dieser Teil B.

Alles, was ein Unternehmen mit kiato verarbeitet, also Mails und Anhänge der angebundenen Postfächer, Belege und deren Export an die Steuerberatung, Listen, Kalender und Buchungen, Wissen, Entwürfe, das Aktivitätsprotokoll des Unternehmenskontos und die KI-Verarbeitung, verarbeiten wir als Auftragsverarbeiterin im Auftrag dieses Unternehmens nach dem AV-Vertrag. Verantwortlich ist dann das Unternehmen, das kiato nutzt; es informiert die betroffenen Personen selbst. Wenn Sie etwa als Absender einer Mail an ein solches Unternehmen betroffen sind, wenden Sie sich bitte an dieses Unternehmen. Diese Daten verwenden wir nicht für eigene Zwecke und nicht zum Training von KI-Modellen.

Zwecke und Rechtsgrundlagen

• Registrierung, Anmeldung, Benutzerverwaltung und Bereitstellung der Anwendung: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Unternehmen); für Benutzer, die nicht selbst Vertragspartner sind, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, den Vertrag mit dem Unternehmen zu erfüllen).
• Nachweis der Zustimmung zu den Nutzungsbedingungen und der Bestätigung, für ein Unternehmen zu handeln (Zeitpunkt und Fassung): Art. 6 Abs. 1 lit. b und f DSGVO.
• Abschluss und Verwaltung des Abos, Zahlungsabwicklung über Stripe: Art. 6 Abs. 1 lit. b DSGVO.
• Rechnungslegung und Buchhaltung: Art. 6 Abs. 1 lit. c DSGVO (Aufbewahrungspflichten nach § 132 BAO und § 212 UGB).
• Support und Kommunikation zum Vertrag, System-, Anmelde- und Abo-Mails: Art. 6 Abs. 1 lit. b bzw. f DSGVO.
• Missbrauchs- und Kostenschutz (Bindung an die Domain, Kontingente, Tageslimits, Zählung des KI-Verbrauchs): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und wirtschaftlichen Betrieb).
• Fehleranalyse, Sicherheit und Nachvollziehbarkeit von Zugriffen der Plattform-Verwaltung: Art. 6 Abs. 1 lit. f DSGVO.
• Messung von drei Ereignissen in der Anwendung nach Einwilligung: Art. 6 Abs. 1 lit. a DSGVO (Teil A).

Welche Daten wir verarbeiten

• Kontodaten: Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert) bzw. Kennung des Microsoft-Kontos, Rolle und Rechte, Name und Domain des Unternehmens.
• Zustimmung: Zeitpunkt und Fassung der akzeptierten Nutzungsbedingungen und die Bestätigung, das Konto für ein Unternehmen anzulegen.
• Vertrags- und Abrechnungsdaten: Tarif, Laufzeit, Status des Abos, Kundennummer beim Zahlungsdienstleister, Rechnungen. Rechnungsadresse, UID-Nummer und Zahlungsmittel erfasst Stripe.
• Verbrauchsdaten: Zählerstände verarbeiteter Mails und Verbrauch der KI je Unternehmenskonto.
• Technische Daten: IP-Adresse, Browser- und Geräteangaben, Sitzungs-Cookies, Zeitpunkte von Anmeldungen, technische Fehlermeldungen.
• Kommunikationsinhalte: Ihre Anfragen an den Support und unsere Antworten. Support erfolgt per E-Mail; Anfragen werden in einem internen, in der EU gehosteten Ticketsystem erfasst.

Herkunft der Daten

Die meisten Daten erhalten wir von Ihnen selbst. Wurden Sie von einem Unternehmen zu kiato eingeladen, haben wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Rolle von diesem Unternehmen erhalten. Bei der Anmeldung mit Microsoft erhalten wir die unten genannten Angaben von Microsoft. Abrechnungsdaten erhalten wir teilweise von Stripe.

Anmeldung mit Microsoft

Wenn Sie sich mit Ihrem Microsoft-Konto registrieren oder anmelden, übermittelt Microsoft (Microsoft Ireland Operations Limited, Anschrift wie in Teil A) uns nach Ihrer Bestätigung Ihren Namen, Ihre E-Mail-Adresse und eine Kennung Ihres Kontos. Wir verwenden diese Angaben nur für Registrierung und Anmeldung (Art. 6 Abs. 1 lit. b DSGVO). Für den Anmeldevorgang bei Microsoft ist Microsoft selbst verantwortlich.

Anbindung von Postfächern und Kalendern

Den Zugriff auf Postfächer und Kalender, den ein Unternehmen kiato über Microsoft 365, Google Kalender oder IMAP/SMTP erteilt, nutzen wir als Auftragsverarbeiterin nach dem AV-Vertrag. Daten, die kiato über Schnittstellen von Microsoft oder Google erhält, verwenden wir ausschließlich für die vom Unternehmen eingerichteten Funktionen und nach den Vorgaben dieser Anbieter (bei Google: API Services User Data Policy einschließlich der Limited-Use-Anforderungen); sie werden nicht für Werbung und nicht zum Training von KI-Modellen verwendet. Mails, die kiato für das Unternehmen sendet, gehen über dessen eigenes Postfach hinaus.

System-, Anmelde- und Abo-Mails

Wir senden nur Mails, die für Vertrag und Betrieb erforderlich sind, etwa Bestätigungscodes, Einladungen, Hinweise zum Kontingent, zum Ende der Testphase, zu Abo und Kündigung sowie zur Löschung nach dem Vertragsende. Werbung oder Newsletter versenden wir nicht. Den Versand übernimmt Resend, Inc. in der Region Irland. Im Auftrag des Unternehmens versendet kiato über Resend außerdem Benachrichtigungs-Mails zu Aufgaben an dessen Mitarbeitende; sie können Angaben aus verarbeiteten Rechnungen und Mails enthalten, etwa Lieferant, Betrag, Fälligkeit und Betreff.

Empfänger

Wir setzen Dienstleister ein, die Daten in unserem Auftrag nach Art. 28 DSGVO verarbeiten. Soweit es um Inhalte geht, die wir im Auftrag eines Unternehmens verarbeiten, sind sie zugleich Subunternehmer nach dem AV-Vertrag (Anlage 2):

• Supabase (Vertragspartner Supabase Pte. Ltd., Singapur): Datenbank, Dateiablage und Sicherungen der Datenbank, Speicherung in der Region Irland (eu-west-1).
• Railway Corporation (USA): Betrieb der Schnittstelle und der Hintergrundverarbeitung, Region EU West (Amsterdam).
• Vercel Inc. (USA): Hosting und Auslieferung von Website und Web-Anwendung, Region Frankfurt (fra1); keine Speicherung von Kundendaten.
• Resend, Inc. (USA): Versand der System-, Anmelde- und Abo-Mails und, im Auftrag des Unternehmens, Versand von Belege-Exporten an dessen Steuerberatung sowie von Benachrichtigungs-Mails zu Aufgaben an dessen Mitarbeitende (mit Angaben aus verarbeiteten Rechnungen und Mails, etwa Lieferant, Betrag, Fälligkeit, Betreff); Zustellung des Kontaktformulars an uns; Region Irland (eu-west-1).
• Amazon Web Services EMEA SARL (Luxemburg) mit Amazon Bedrock und/oder Google Cloud EMEA Limited (Irland) mit Vertex AI: KI-Verarbeitung mit Claude-Modellen von Anthropic, ausschließlich in Rechenzentren in der EU. Wir können zwischen beiden Anbietern wechseln oder beide nebeneinander einsetzen. Die Anbieter verwenden die Daten nach ihren Vertragsbedingungen nicht zum Training von Modellen.

Weitere Empfänger:

• Stripe Payments Europe, Ltd. (Dublin, Irland): Abwicklung von Abos und Zahlungen; Stripe verarbeitet Zahlungsdaten auch als eigene Verantwortliche. Mehr dazu in der Datenschutzerklärung von Stripe.
• Microsoft: bei der Anmeldung mit Microsoft (siehe oben) und für die Messung mit Clarity nach Einwilligung (Teil A).
• Google: Messung nach Einwilligung (Teil A).
• Unsere Steuerberatung sowie Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind.

Übermittlung in Drittländer

Wir speichern und verarbeiten die Daten der Anwendung in der EU. Einige Dienstleister sind Gesellschaften in den USA bzw. Singapur oder haben dort Konzerngesellschaften, die für Support und Betrieb Zugriff erhalten können. Grundlage ist je Anbieter:

Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage unter office@fdm-software.at.

Speicherdauer

• Konto-, Verbrauchs- und Nutzungsdaten: für die Dauer des Vertrags. Nach dem Vertragsende bleiben sie 30 Tage erhalten; sieben Tage vor der Löschung erinnern wir per E-Mail. Danach werden sie zusammen mit dem Unternehmenskonto gelöscht.
• Testkonten ohne Abo: Die Daten bleiben nach dem Ende der Testphase erhalten, damit das Unternehmen später ohne Neueinrichtung mit einem Abo weiterarbeiten kann, und werden gelöscht, sobald das Unternehmen dies verlangt (E-Mail an office@fdm-software.at).
• Nie bestätigte Registrierungen: nach sieben Tagen.
• Rechnungen und Abrechnungsdaten: sieben Jahre ab Ende des Kalenderjahres (§ 132 BAO, § 212 UGB), länger nur, solange ein Verfahren anhängig ist, für das sie von Bedeutung sind.
• Nachweis der Zustimmung zu den Nutzungsbedingungen: für die Dauer des Vertrags und danach bis zum Ablauf der Verjährungsfristen für Ansprüche aus dem Vertrag (Nutzungsbedingungen Punkt 14 Abs. 3).
• Technische Fehlerprotokolle: 90 Tage nach dem letzten Auftreten.
• Aktivitätsprotokoll der FDM-Superadmins (Plattform-Verwaltung, enthält Handlungen der FDM-Administratoren): zwölf Monate. Supportkommunikation: bis zum Vertragsende und danach bis zum Ablauf der Verjährungsfristen, höchstens drei Jahre.
• Sicherungskopien der Datenbank: sieben Tage; gelöschte Daten sind danach auch aus den Sicherungen entfernt.
• Server-Logs: bis zu 90 Tage zur Erkennung und Aufklärung von Angriffen; im Fall eines Sicherheitsvorfalls bis zu dessen Abschluss.

Datensicherheit

Wir schützen die Daten unter anderem durch verschlüsselte Übertragung (TLS), Verschlüsselung der gespeicherten Daten beim Datenbankanbieter (AES-256), zusätzlich verschlüsselt gespeicherte Zugangsdaten zu Postfächern, Kalendern und eigenen Zielen (AES-256-GCM), eine technisch erzwungene Trennung der Unternehmenskonten in der Datenbank, Rollen und Rechte sowie eine Plattform-Verwaltung mit Zwei-Faktor-Anmeldung. Einzelheiten stehen in Anlage 1 des AV-Vertrags.

Keine automatisierte Entscheidung

Bei den Verarbeitungen, für die wir selbst verantwortlich sind, treffen wir keine ausschließlich automatisierten Entscheidungen einschließlich Profiling im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Was kiato im Auftrag eines Unternehmens mit dessen Mails automatisch erledigt, legt dieses Unternehmen fest.

Pflicht zur Bereitstellung

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die für Registrierung und Anmeldung erforderlichen Daten können wir jedoch keinen Vertrag schließen und die Anwendung nicht bereitstellen.

Ihre Rechte und Beschwerde

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Wenden Sie sich dazu an office@fdm-software.at. Betrifft Ihr Anliegen Daten, die wir im Auftrag eines Unternehmens verarbeiten (Teil B, Rollen), leiten wir es an dieses Unternehmen weiter.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), etwa Server-Logs, Missbrauchs- und Kostenschutz, Fehleranalyse oder Daten eingeladener Benutzer, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Widerspruch ist formfrei an office@fdm-software.at möglich.

Sie können sich außerdem bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien · dsb@dsb.gv.at · dsb.gv.at

Änderungen

Fassung 2 · Stand: 16. Oktober 2026. Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage oder Dienst ändern; die jeweils aktuelle Fassung steht auf dieser Seite. Siehe auch die Nutzungsbedingungen und den AV-Vertrag.

← Zurück zur Startseite