Datenschutz

1. 1. Verantwortlicher und Auftragsverarbeitung
2. 2. Anmeldung mit Microsoft oder Google
3. 3. Hosting
4. 4. Cookies
5. 5. Protokolle und Supportzugriffe
6. 6. Daten Ihrer Firma in der App
7. 7. Empfänger und Übermittlung in Drittländer
8. 8. Speicherdauer
9. 9. Keine automatisierten Entscheidungen, keine KI-Verarbeitung
10. 10. Datensicherheit
11. 11. Ihre Rechte
12. 12. Beschwerde bei der Datenschutzbehörde
13. 13. Änderungen

1. Verantwortlicher und Auftragsverarbeitung

Your Universe ist ein Produkt von Infino und wird von der WMinfra GmbH betrieben:

WMinfra GmbH
Gewerbestraße 4
4511 Allhaming, Österreich
vertreten durch Oliver Wagner
E-Mail: office@wminfra.com

Bei dieser Anwendung haben wir zwei Rollen:

• Auftragsverarbeiter (Art. 28 DSGVO) für alles, was Ihre Firma in der Anwendung führt, einschließlich der Benutzerkonten und der Angaben, die wir bei der Anmeldung von Microsoft oder Google erhalten. Verantwortlich dafür ist Ihre Firma, also Ihr Arbeitgeber. Anfragen zu Ihren Rechten richten Sie bitte zuerst dorthin; wir unterstützen Ihre Firma und leiten Anfragen, die bei uns eingehen, weiter.
• Eigener Verantwortlicher für den Betrieb des Dienstes: Verbindungsdaten und Sicherheitsprotokolle bei der Anmeldung (auch bei fehlgeschlagenen Anmeldungen, bevor ein Kunde zugeordnet werden kann), die notwendigen Cookies und Supportzugriffe unserer Plattform-Administratoren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO); für Cookies und ähnliche Speicherungen gilt § 165 Abs. 3 TKG 2021.

Einen Datenschutzbeauftragten müssen wir nach Art. 37 DSGVO nicht benennen.

2. Anmeldung mit Microsoft oder Google

Sie melden sich mit dem Konto Ihres Büros bei Microsoft (Entra ID) oder Google an. Die Anmeldung findet auf den Seiten des jeweiligen Anbieters statt. Wir erhalten von dort:

• Ihren Namen und Ihre E-Mail-Adresse,
• eine Kennung Ihres Kontos (bei Microsoft oid, bei Google sub),
• die Kennung Ihrer Organisation (bei Microsoft tid, bei Google die Domain hd) und bei Google die Angabe, ob Ihre E-Mail-Adresse bestätigt ist.

Ihr Passwort erhalten wir nie. Wir lesen weder Ihr Postfach noch Ihren Kalender oder Ihre Dateien. Mit diesen Angaben prüfen wir, ob Ihr Konto für die Anwendung freigeschaltet ist, und ordnen es Ihrer Firma und Ihren Rollen zu. Ist es nicht freigeschaltet, zeigen wir Ihnen Ihre E-Mail-Adresse und einen Support-Code an, mit dem wir den Fall nachvollziehen können.

Microsoft und Google sind für ihre Konten und für die Anmeldung auf ihren Seiten eigenständig Verantwortliche; dort gelten deren Datenschutzerklärungen. Beim Abmelden beenden wir nur Ihre Sitzung in Your Universe, Ihre Sitzung beim Anbieter bleibt bestehen.

3. Hosting

Die Anwendung läuft auf Google Cloud (Cloud Run, Cloud SQL, Cloud Storage, Cloud KMS, Secret Manager und Cloud Logging) in der Region europe-west4 (Niederlande). Google ist dabei unser Unterauftragsverarbeiter, siehe Abschnitt 7. Beim Aufruf der Anwendung verarbeitet die Google-Cloud-Plattform (Cloud Run) technisch bedingt Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode und die Browserkennung und schreibt sie in das Anfrageprotokoll in Cloud Logging, das nach 30 Tagen gelöscht wird.

4. Cookies

Wir setzen ausschließlich Cookies ein, die für den Betrieb oder für eine von Ihnen gewählte Einstellung notwendig sind. Es gibt kein Tracking, keine Analyse und keine Werbung.

tbfuniverse.auth

Ihre Anmeldesitzung (Kennung, Name, E-Mail-Adresse, Kunde, Firma, Rollen, Anmeldeanbieter und ein technisches Sitzungskennzeichen). Gültig höchstens 10 Stunden ab der letzten Nutzung; endet spätestens, wenn Sie den Browser schließen. Das Cookie ist für Skripte nicht lesbar und wird nur verschlüsselt übertragen.

.AspNetCore.Antiforgery.*

Schützt Formulare vor Fälschung. Gilt bis zum Ende der Browsersitzung.

.AspNetCore.Correlation.*, .AspNetCore.OpenIdConnect.Nonce.*

Sichern den Ablauf der Anmeldung bei Microsoft oder Google. Sie bestehen nur während der Anmeldung und werden danach gelöscht. Andernfalls verfällt das Correlation-Cookie nach 15 Minuten, das Nonce-Cookie (nur bei Microsoft) nach einer Stunde.

GAESA

Wird von Google Cloud Run gesetzt und leitet Ihren Browser wieder an dieselbe Serverinstanz, damit die laufende Verbindung der Anwendung erhalten bleibt (technisch notwendig). Gültig 30 Tage.

universe-sidebar

Merkt sich, ob Sie die Seitenleiste eingeklappt haben (notwendig für die von Ihnen gewählte Einstellung). Gültig 400 Tage.

universe:theme

Kein Cookie, sondern der lokale Speicher Ihres Browsers: merkt sich Ihre Wahl zwischen hellem und dunklem Erscheinungsbild, bis Sie ihn löschen.

5. Protokolle und Supportzugriffe

Wir protokollieren sicherheitsrelevante Vorgänge in Cloud Logging: erfolgreiche und fehlgeschlagene Anmeldungen, Zugriffe unserer Plattform-Administratoren auf einen Kunden im Support und die Simulation von Rollen zu Testzwecken. Eine Zeile enthält je nach Vorgang die Kennung oder die E-Mail-Adresse der handelnden Person, die Kennung des Kunden und den Anmeldeanbieter, bei fehlgeschlagenen Anmeldungen zusätzlich einen Support-Code und den Grund, aber keine Inhalte wie Beträge, Namen von Auftraggebern oder Rechnungstexte. Zweck ist die Sicherheit des Dienstes und die Nachvollziehbarkeit von Supportzugriffen (Art. 6 Abs. 1 lit. f DSGVO).

Plattform-Administratoren öffnen einen Kunden nur, um Störungen zu beheben oder Fragen des Kunden zu klären. Jeder dieser Zugriffe wird protokolliert. Die Protokolle werden nach 30 Tagen gelöscht.

6. Daten Ihrer Firma in der App

Alles, was Ihre Firma in Your Universe erfasst, etwa Stammdaten, Projekte, Angebote, Aufträge, Rechnungen, Dokumente und Feedback-Meldungen, gehört Ihrer Firma. Jeder Kunde hat eine eigene, von den anderen getrennte Datenbank; Dateien, sobald die Anwendung welche speichert, liegen in einem eigenen Bereich je Kunde. Wir verarbeiten diese Daten nur im Auftrag Ihrer Firma und auf Grundlage des mit ihr geschlossenen Auftragsverarbeitungsvertrags. Welche Daten Ihre Firma erfasst, wozu und auf welcher Rechtsgrundlage, teilt Ihnen Ihre Firma mit.

Feedback-Meldungen: Über den Knopf „Feedback geben“ melden Sie einen Fehler oder eine Idee. Gespeichert werden in der Datenbank Ihrer Firma die Art und der Text der Meldung, die Seite (Adresse und Titel), die von Ihnen markierte Stelle, das gerade geöffnete Element (nur dessen Kennung), Fenstergröße und Browserkennung, eine Fehlerkennung der Seite, falls vorhanden, die Version der Anwendung, der Zeitpunkt sowie Ihr Name, Ihre E-Mail-Adresse, Ihre Rollen und die gewählte Firma; dazu unsere Antworten, Ihre Ergänzungen und die Statuswechsel. Ein Bildschirmfoto wird nicht erstellt. Ihre eigenen Meldungen sehen Sie unter „Meine Meldungen“, die Geschäftsführung Ihrer Firma sieht alle Meldungen; antworten und den Status setzen nur unsere Plattform-Administratoren im protokollierten Supportzugriff. Bei jeder neuen Meldung und jeder Ergänzung erhalten wir eine E-Mail mit Art, Text, Seite, Kunde und Link; auf unsere Antwort und wenn eine Meldung umgesetzt oder abgelehnt ist, erhalten Sie eine E-Mail an Ihre Anmeldeadresse. Die E-Mails versenden wir über Brevo (Abschnitt 7).

7. Empfänger und Übermittlung in Drittländer

• Google Cloud (Google Cloud EMEA Limited) als Unterauftragsverarbeiter für das Hosting, siehe Abschnitt 3. Die Daten werden in der EU (Niederlande) gespeichert. Eine Übermittlung in die USA, etwa im Rahmen von Support, ist nicht ausgeschlossen. Sie stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend auf Standardvertragsklauseln (Art. 46 DSGVO).
• Brevo (Sendinblue SAS, Frankreich) als Unterauftragsverarbeiter für den Versand von E-Mails, derzeit der E-Mails zu Feedback-Meldungen (Abschnitt 6): Empfängeradresse und -name, Betreff und Text. Brevo hat seinen Sitz in der EU.
• Microsoft und Google als eigenständige Verantwortliche für Ihr Konto und die Anmeldung (Abschnitt 2).

Darüber hinaus geben wir keine Daten an Dritte weiter. Bevor wir weitere Dienste einsetzen, aktualisieren wir zuerst diese Erklärung.

8. Speicherdauer

• Protokolle einschließlich der Sicherheits- und Supportzeilen: 30 Tage.
• Feedback-Meldungen mit Antworten und Ergänzungen: bis zum Ende des Vertrags mit Ihrer Firma; gelöscht werden sie mit deren Datenbank, eine automatische Löschung vorher gibt es nicht.
• Daten Ihrer Firma und Benutzerkonten: solange Ihre Firma die Anwendung nutzt beziehungsweise das Konto besteht. Mit dem Ende des Vertrags werden die Daten nach dem Auftragsverarbeitungsvertrag zurückgegeben oder gelöscht.
• Sicherungen der Datenbank werden spätestens nach 90 Tagen gelöscht.
• Cookies: siehe Abschnitt 4.

9. Keine automatisierten Entscheidungen, keine KI-Verarbeitung

Wir treffen keine ausschließlich automatisierten Entscheidungen und erstellen keine Profile (Art. 22 DSGVO). Ihre Daten werden nicht von Systemen künstlicher Intelligenz verarbeitet.

10. Datensicherheit

Die Verbindung zur Anwendung und zur Datenbank ist verschlüsselt (TLS). Jeder Kunde hat eine eigene Datenbank, und die Zugriffsrechte der Anwendung sind auf das Nötige beschränkt. Schlüssel und Zugangsdaten liegen in Cloud KMS und im Secret Manager, nicht im Code. Innerhalb der Anwendung sehen Sie nur, was Ihre Rolle vorsieht, und Ihre Anmeldesitzung wird regelmäßig gegen Sperrungen geprüft.

11. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Für Daten, die Ihre Firma in der Anwendung führt, wenden Sie sich bitte zuerst an Ihre Firma; für den Betrieb des Dienstes (Abschnitt 1) an office@wminfra.com.

Widerspruchsrecht: Soweit wir Ihre Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Schreiben Sie dazu an office@wminfra.com.

12. Beschwerde bei der Datenschutzbehörde

Wenn Sie der Ansicht sind, dass wir Ihre Daten rechtswidrig verarbeiten, können Sie sich bei einer Aufsichtsbehörde beschweren, zum Beispiel bei der österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at, oder bei der Aufsichtsbehörde an Ihrem gewöhnlichen Aufenthaltsort.

13. Änderungen

Ändert sich die Anwendung, etwa durch neue Dienste oder Cookies, passen wir diese Erklärung im selben Zug an. Die jeweils gültige Fassung finden Sie unter dieser Adresse.

Stand: Oktober 2026