Verantwortlicher für die in dieser Datenschutzerklärung beschriebenen Verarbeitungen ist:

CROWDPROJECT | Crops by Cwaes
Rechtsform: e.U.
Inhaber / vertretungsberechtigt: CWAES e.U.
Ketschelenstrasse 1
6800 Feldkirch
Österreich
E-Mail: portal@vrimpressum.com

Je nach Nutzung verarbeitet VRI insbesondere Stamm- und Kontaktdaten, Vertrags- und Tarifdaten, Login-, Geräte-, Sitzungs- und Kontodaten einschließlich sicherheitsrelevanter IP- und Zeitinformationen, Identitäts- und Verifikationsdaten, VRI-Adress- und Postfachzuordnungen, Absender- und Sendungsdaten, Fotos der Sendungsaußenseite, Kundenaufträge, Kommunikationsdaten, Zahlungs- und Abrechnungsstatus, Supportdaten, Sicherheits- und Nachweisprotokolle, Cookie-Einstellungen sowie Daten aus Rücktritts- und Beschwerdevorgängen.

VRI verarbeitet nur Daten, die für den jeweiligen Zweck erforderlich sind.

Daten stammen unmittelbar vom Kunden, von vertretungsberechtigten Personen, von Absendern und Zustelldiensten, von zugeordneten VRI-Standorten, von Zahlungs- und Identitätsdiensten sowie aus der Nutzung der VRI-Website und des Kundenbereichs.

Bei eingehender Post können personenbezogene Daten Dritter, insbesondere Absenderdaten, ohne unmittelbare Erhebung bei der betroffenen Person anfallen. Diese Daten werden nur zur Zuordnung und Durchführung des Postprozesses verarbeitet.

Für Registrierung, Vertragsabschluss, Kontoführung, Leistungsbereitstellung, Abrechnung, Verlängerung, Kündigung und Support werden die dafür erforderlichen Daten verarbeitet. Rechtsgrundlage ist insbesondere Art. 6 Abs. 1 lit. b DSGVO. Soweit gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen, erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Zur sicheren Aktivierung und Nutzung der VRI-Adresse werden Identitäts-, Kontakt- und gegebenenfalls Vertretungsdaten geprüft. Die Verarbeitung dient der Vertragsdurchführung, der Verhinderung von Identitätsmissbrauch und dem Schutz der Kunden und Standorte.

Für die Identitätsprüfung kann der in dieser Datenschutzerklärung genannte Identitätsprüfdienst eingesetzt werden. VRI verarbeitet nur die für Kontozuordnung, Berechtigungsprüfung und Nachweis der Verifikation erforderlichen Daten und Prüfergebnisse.

Zur Zuordnung eingehender Sendungen verarbeitet VRI insbesondere Empfänger- und Absenderangaben, Sendungskennzeichen, Eingangszeitpunkt, Standort, Status und erforderliche Fotos der Sendungsaußenseite. Diese Daten dienen der Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO.

Geschlossene Sendungsinhalte werden nicht allein aufgrund der Annahme geöffnet oder inhaltlich ausgewertet. Eine weitergehende Verarbeitung erfolgt nur aufgrund eines konkreten Kundenauftrags und einer ausreichenden rechtlichen Grundlage.

Absenderangaben oder Sendungsinformationen können im Einzelfall Rückschlüsse auf besondere Kategorien personenbezogener Daten zulassen. VRI erhebt solche Angaben nicht zu eigenen Analysezwecken und verwendet sie nicht für Profiling oder Werbung. Sie werden nur verarbeitet, soweit dies unvermeidbar mit der Zuordnung, sicheren Verwahrung oder Durchführung eines Kundenauftrags verbunden ist und eine hierfür erforderliche Rechtsgrundlage besteht.

Autorisierte Standortpartner und Mitarbeitende erhalten nur Zugriff auf Daten, die sie für ihre zugewiesenen Standorte und Aufgaben benötigen. Berechtigungen werden rollen- und standortbezogen vergeben und protokolliert.

Investoren und Landes-Hauptstandorte erhalten allein aufgrund ihrer wirtschaftlichen Stellung keinen Zugriff auf operative Kunden- oder Sendungsdaten.

Die VRI Scanner App ist eine betriebliche Android-Fachanwendung für die VRI-Zentrale sowie ausdrücklich freigegebene Standortpartner und Standortmitarbeitende. Sie dient der sicheren Erfassung, Zuordnung und Dokumentation eingehender Postsendungen und der Übergabe dieser Vorgänge an das VRI Control Center.

Die App ist nicht als frei nutzbarer öffentlicher Dienst ausgestaltet. Für die Nutzung sind ein bestehendes berechtigtes VRI-Benutzerkonto, ein freigegebener VRI-Standort, die erforderliche Rollen- und Funktionsberechtigung, die für den Scannerzugang vorgesehene Identitätsprüfung sowie eine erfolgreiche Geräteverknüpfung erforderlich. Ein eigenständiges öffentliches Scanner-Konto wird innerhalb der App nicht angelegt.

Je nach Rolle und Verarbeitung stützt sich die Verarbeitung insbesondere auf Art. 6 Abs. 1 lit. b DSGVO zur Durchführung vertraglicher und organisatorischer Leistungen, auf Art. 6 Abs. 1 lit. c DSGVO bei gesetzlichen Pflichten sowie auf Art. 6 Abs. 1 lit. f DSGVO für Zugriffssteuerung, IT-Sicherheit, Missbrauchsprävention, Nachweisbarkeit und Schutz des Postprozesses.

Die Scanner App verwendet die Kamera, wenn eine autorisierte Person die Scan- oder Aufnahmefunktion auslöst. Dabei können Fotos der Außenseite von Postsendungen aufgenommen werden. Auf diesen Bildern können insbesondere Empfänger- und Absenderangaben, Anschriften, Versandkennzeichen, Sendungsnummern, Barcodes oder sonstige auf dem Kuvert oder Paket sichtbare Angaben enthalten sein.

Soweit die jeweilige App-Version Barcode- oder Texterkennung verwendet, können daraus erkannte oder anschließend manuell bestätigte Sendungskennzeichen und sonstige für den Postvorgang erforderliche Angaben verarbeitet werden. Die Kamera wird nicht für Werbeprofile oder eine verdeckte Überwachung eingesetzt. Geschlossene Sendungsinhalte werden durch die Scannerfunktion nicht allein aufgrund der Annahme geöffnet oder fotografiert.

Die Bild- und Sendungsdaten werden ausschließlich für die sichere Zuordnung, Dokumentation, Benachrichtigung und weitere Bearbeitung des betreffenden Postvorgangs verwendet.

Zur sicheren Geräteverknüpfung verarbeitet VRI eine von der App verwendete Gerätekennung im UUID-Format sowie die dem Gerät zugeordneten Konto-, Partner- und Standortinformationen. Zusätzlich können Gerätebezeichnung, Plattform, Android-/Betriebssystemversion, App-Version, Build-Nummer, Pairing-Zeitpunkt, letzter erfolgreicher Kontakt, Widerrufsstatus und technische Sitzungsinformationen verarbeitet werden.

Die Geräteverknüpfung erfolgt über kurzlebige Einmalcodes beziehungsweise kryptografische Pairing-Challenges. Für authentifizierte App-Sitzungen werden Zugriffs- und Erneuerungsinformationen verwendet. Serverseitig werden Authentifizierungstoken nicht im Klartext, sondern als kryptografische Prüfsummen gespeichert. Eine Geräteverknüpfung kann widerrufen werden; danach werden die zugehörigen Zugriffsmöglichkeiten gesperrt.

Für die Scannerberechtigung verarbeitet VRI insbesondere Benutzerkennung, Anzeigename, Rolle, zugeordneten Standortbetreiber, freigegebene VRI-Betriebsstätte und die für das jeweilige Konto erteilten Funktionsberechtigungen. Bei Standortmitarbeitenden wird geprüft, ob das Konto dem betreffenden Standort tatsächlich zugeordnet und für die Scannerfunktion freigegeben ist.

Der in der App und im Backend verwendete Begriff Standort bezeichnet die organisatorisch zugewiesene VRI-Betriebsstätte. Diese Zuordnung ist keine fortlaufende GPS-Ortung des Smartphones. Für die hier beschriebene Scanner-Kernfunktion ist keine dauerhafte Standortverfolgung des Geräts erforderlich.

Bei einem Scanvorgang können insbesondere Kunden- bzw. Postfachzuordnung, VRI-Standort, ausführende Person, Gerätezuordnung, Scan-Sitzungskennung, Aufnahme- bzw. Uploadreferenz, Sendungsart, optional eine Sendungs- oder Trackingnummer, Erfassungszeitpunkt, Bearbeitungsstatus, Benachrichtigungsstatus sowie die zugehörige Vorgangs- oder Ticketreferenz verarbeitet werden.

Bei Mehrbrief- oder Sammelvorgängen können mehrere Poststücke einer gemeinsamen Eingangserfassung und einer Scanner-Sitzung zugeordnet werden. Diese technischen Referenzen dienen insbesondere der eindeutigen Zuordnung, der Vermeidung von Doppelverarbeitungen, der revisionsfähigen Dokumentation und der sicheren Fortsetzung des Postprozesses.

Die Scanner App überträgt die für den jeweiligen Vorgang erforderlichen Daten an die VRI-Server. Die Übertragung erfolgt über eine verschlüsselte HTTPS/TLS-Verbindung. Kuvertfotos werden serverseitig in einem geschützten, nicht für den allgemeinen öffentlichen Medienzugriff vorgesehenen Dateibereich gespeichert und mit dem betreffenden Postvorgang verknüpft.

Temporäre Uploads, die keinem abgeschlossenen Postvorgang zugeordnet werden, besitzen eine kurze technische Ablaufzeit und werden anschließend automatisiert bereinigt. Erfolgreich zugeordnete Fotos und Vorgangsdaten werden entsprechend dem Zweck des Postprozesses, den Nachweiserfordernissen und den in dieser Datenschutzerklärung beschriebenen Aufbewahrungsgrundsätzen gespeichert.

Zum Schutz der Scanner-Schnittstellen und zur Nachvollziehbarkeit betrieblicher Vorgänge verarbeitet VRI technische Sicherheits- und Betriebsdaten. Dazu können insbesondere App- und Betriebssystemversion, letzter erfolgreicher Gerätekontakt, Authentifizierungs- und Pairingstatus, serverseitige Zugriffs- und Zeitinformationen, Rate-Limit- und Fehlerzustände sowie Audit-Einträge zu Pairing, Gerätewiderruf, Kundenabgleich und Sendungserfassung gehören.

Diese Daten werden nicht für Werbung oder eine Bewertung des persönlichen Verhaltens von Mitarbeitenden verwendet. Sie dienen der Systemsicherheit, Fehleranalyse, Missbrauchsprävention, Berechtigungsprüfung und dem Nachweis ordnungsgemäßer Postprozesse.

Operative Scanner-Daten werden innerhalb des VRI-Systems nur den Personen und Stellen zugänglich gemacht, die sie für den konkreten Postprozess benötigen. Dazu können die VRI-Zentrale, der zuständige Standortbetreiber, ausdrücklich berechtigte Standortmitarbeitende, das betroffene Kundenkonto sowie die in dieser Datenschutzerklärung genannten Hosting- und IT-Dienstleister gehören. Eine Nutzung oder Veräußerung der Scanner-Daten für fremde Werbezwecke findet nicht statt.

Die VRI Scanner App kann über Google Play oder über einen von VRI bereitgestellten signierten Android-Download bezogen werden. Bei einem Bezug über Google Play verarbeitet Google im Zusammenhang mit Store-Bereitstellung, Installation, Updates, Gerätesicherheit und Play-Diensten Daten nach den hierfür geltenden Google-Datenschutzbestimmungen und in eigener Verantwortung. Diese Store-Verarbeitung ist von der operativen Übertragung der VRI-Post- und Scanner-Daten an das VRI-Backend zu unterscheiden.

Eine verbundene Scanner-Installation kann im VRI-System widerrufen werden; dabei werden die für weitere authentifizierte Zugriffe benötigten Token gesperrt. Die Deinstallation der App auf dem Smartphone löscht nicht automatisch solche serverseitigen Vertrags-, Post-, Sicherheits- oder Nachweisdaten, die weiterhin für die Leistungserbringung, gesetzliche Pflichten oder berechtigte Rechtsansprüche benötigt werden.

Nicht mehr erforderliche Geräte-, Sitzungs- und Scanner-Daten werden nach den jeweils einschlägigen Lösch- und Aufbewahrungsregeln gelöscht oder anonymisiert. Betroffenenrechte können über die in dieser Datenschutzerklärung angegebenen Kontaktwege ausgeübt werden.

Für Zahlungen und Abonnements werden die für Betrag, Währung, Zahlungsstatus, Vertragszuordnung, Rechnung und Rückerstattung erforderlichen Daten verarbeitet. Zahlungsinstrumentdaten werden, soweit ein externer Zahlungsdienst eingesetzt wird, grundsätzlich unmittelbar durch diesen verarbeitet.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Vertragsabwicklung und Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Buchführungs- und Nachweispflichten.

Bei Nutzung der Pseudonymfunktion speichert VRI die Zuordnung zwischen tatsächlicher Identität, Kundenkonto, gebuchtem Pseudonym und Abo-Status. Diese Zuordnung bleibt intern erhalten und wird nicht dadurch aufgehoben, dass öffentlich oder in freigegebenen Ansichten ein Pseudonym verwendet wird.

Die Pseudonymfunktion wird nur freigeschaltet, wenn ein sachlich nachvollziehbares berechtigtes Nutzungs- oder Schutzinteresse dargelegt und erforderlichenfalls nachgewiesen wird. Zur Prüfung können insbesondere Angaben zum Nutzungszweck sowie geeignete Nachweise verarbeitet werden, beispielsweise ein Nachweis einer Tätigkeit als Autorin oder Autor unter einem Pseudonym oder vergleichbare Unterlagen. Es werden nur solche Nachweise erhoben und gespeichert, die für Prüfung, Freischaltung, Missbrauchsprävention und gegebenenfalls die Durchsetzung oder Abwehr von Rechtsansprüchen erforderlich sind.

Die Bezeichnung „berechtigtes Interesse“ beschreibt hier die vertragliche Freischaltungsvoraussetzung für die Pseudonymfunktion. Die datenschutzrechtliche Rechtsgrundlage für die jeweilige Verarbeitung richtet sich unabhängig davon nach Art. 6 DSGVO, insbesondere nach Vertragsdurchführung, gesetzlichen Verpflichtungen und – soweit einschlägig – berechtigten Interessen an Missbrauchsprävention, Sicherheit und Nachweisbarkeit.

Bei elektronischen Rücktrittserklärungen verarbeitet VRI Name, E-Mail-Adresse, Vertrags- oder Bestellreferenz, betroffene Leistung, Umfang der Erklärung, Inhalt, Eingangszeitpunkt und eine Vorgangsreferenz. Die Daten dienen der Bearbeitung und dem Nachweis der Erklärung.

Beschwerden und Kündigungen werden mit den hierfür erforderlichen Kontakt-, Vertrags- und Kommunikationsdaten bearbeitet.

Kontakt- und Kommunikationsdaten werden verarbeitet, um vertragliche Benachrichtigungen, Sicherheitsinformationen, Posteingangshinweise, Rücktrittsbestätigungen und Supportkommunikation zu versenden. Rechtsgrundlage ist je nach Nachricht Art. 6 Abs. 1 lit. b, lit. c oder lit. f DSGVO.

Werbliche elektronische Kommunikation erfolgt nur auf einer dafür zulässigen Grundlage.

VRI protokolliert sicherheits- und revisionsrelevante Vorgänge, insbesondere Anmeldungen, Rollen- und Berechtigungsänderungen, Post- und Kundenaufträge, Vertragsannahmen, Zahlungsstatus und administrative Änderungen. Zweck ist der Schutz vor Missbrauch, die Fehleranalyse, die Nachweisbarkeit von Vorgängen und die Wahrung berechtigter Rechtsansprüche.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; soweit eine gesetzliche Nachweispflicht besteht, zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

Technisch notwendige Speicherungen und Zugriffe werden nur eingesetzt, soweit sie für den ausdrücklich gewünschten Dienst erforderlich sind. Optionale Präferenz-, Statistik-, Marketing- oder externe Medienfunktionen werden erst nach einer wirksamen Einwilligung aktiviert.

Einwilligungen können jederzeit unter Cookie-Einstellungen mit Wirkung für die Zukunft geändert oder widerrufen werden. Einzelheiten enthält die Cookie-Information.

Empfänger personenbezogener Daten können im erforderlichen Umfang autorisierte VRI-Standorte, Hosting- und IT-Dienstleister, E-Mail-Dienstleister, Zahlungsanbieter, Identitätsprüfdienste, Signatur- und Dokumentendienste, Post- und Transportdienstleister, Rechts- und Steuerberatung sowie Behörden und Gerichte bei entsprechender Rechtsgrundlage sein.

Hosting: Eigenbetrieb
E-Mail: Eigenbetrieb
Identitätsprüfung: Didit (sofern im VRI-System aktiviert)
Zahlung: Stripe (für hierfür konfigurierte direkte Zahlungen)

Mit Auftragsverarbeitern werden die erforderlichen Vereinbarungen nach Art. 28 DSGVO abgeschlossen.

Auskunft an Behörden und Gerichte: VRI erteilt personenbezogene Auskünfte nicht allein aufgrund einer formlosen Anfrage. Vor einer Offenlegung werden soweit möglich Identität, Zuständigkeit, Umfang und Rechtsgrundlage des Ersuchens geprüft. Liegt eine gesetzliche Verpflichtung, eine wirksame behördliche oder gerichtliche Anordnung oder eine andere ausreichende Rechtsgrundlage vor, werden die für das konkrete Ersuchen erforderlichen Daten im notwendigen Umfang übermittelt. Dies kann bei einer gebuchten Pseudonymfunktion insbesondere die tatsächliche Identität und die Zuordnung zum verwendeten Pseudonym umfassen. Soweit rechtlich zulässig und mit dem Zweck der Maßnahme vereinbar, wird die betroffene Person über die Offenlegung informiert. Gesetzliche Geheimhaltungs- oder Benachrichtigungsverbote bleiben unberührt.

Werden Dienstleister außerhalb des Europäischen Wirtschaftsraums eingesetzt oder greifen solche Dienstleister auf Daten aus einem Drittland zu, erfolgt die Übermittlung nur auf einer nach Kapitel V DSGVO zulässigen Grundlage. Dazu können ein Angemessenheitsbeschluss, geeignete Garantien wie Standardvertragsklauseln oder eine gesetzliche Ausnahme im Einzelfall gehören.

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungs- und Nachweispflichten bestehen.

Rechnungs- und steuerrelevante Unterlagen werden grundsätzlich entsprechend den gesetzlichen Aufbewahrungsfristen aufbewahrt. Vertrags- und Kommunikationsdaten können darüber hinaus bis zum Ablauf einschlägiger Verjährungs- und Rechtsdurchsetzungsfristen gespeichert werden. Sendungsfotos, operative Statusdaten, Identitätsnachweise, Sicherheitsprotokolle und Rücktrittsvorgänge werden nach Zweck, Risiko und Nachweiserfordernis gelöscht oder anonymisiert, sobald eine weitere Speicherung nicht mehr erforderlich ist.

VRI verarbeitet personenbezogene Daten insbesondere zur Vertragserfüllung und Durchführung vorvertraglicher Maßnahmen nach Art. 6 Abs. 1 lit. b DSGVO, zur Erfüllung rechtlicher Verpflichtungen nach Art. 6 Abs. 1 lit. c DSGVO, aufgrund berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO und bei optionalen Einwilligungsfunktionen auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

Berechtigte Interessen bestehen insbesondere an IT- und Informationssicherheit, Missbrauchsprävention, Nachweisbarkeit von Geschäftsvorgängen, Schutz von Standorten und Kunden sowie Geltendmachung oder Abwehr von Rechtsansprüchen.

Stamm-, Kontakt-, Vertrags- und Identitätsdaten, die als Pflichtangaben abgefragt werden, sind erforderlich, um einen Vertrag sicher abzuschließen und die gebuchten Leistungen zu erbringen. Ohne diese Daten kann VRI den betreffenden Vertrag oder die betreffende Funktion nicht bereitstellen.

VRI trifft keine ausschließlich automatisierten Entscheidungen, die gegenüber Kunden rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen. Automatisierte Sicherheits- und Plausibilitätsprüfungen können Hinweise oder vorläufige Schutzmaßnahmen auslösen; erhebliche Folgen werden einem überprüfbaren Prozess zugeführt.

Bei eingehenden Sendungen können personenbezogene Daten von Absendern, Zustellpersonen, Ansprechpartnern oder sonstigen Dritten verarbeitet werden, obwohl diese Personen die Daten nicht unmittelbar an VRI übermittelt haben. Verarbeitet werden nur die für Zuordnung, sichere Verwahrung, Dokumentation und Durchführung des Postprozesses erforderlichen Angaben.

Diese Datenschutzerklärung stellt die allgemeinen Informationen über solche Verarbeitungen bereit. Soweit im Einzelfall eine zusätzliche individuelle Information nach Art. 14 DSGVO erforderlich ist und keine gesetzliche Ausnahme eingreift, erfolgt diese in geeigneter Form.

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Anfragen richten Sie an portal@vrimpressum.com.

Informationen zur Löschung personenbezogener Daten, zu gesetzlichen Aufbewahrungspflichten und zur Antragstellung finden Sie unter Daten löschen. Dort können Sie nachvollziehen, welche Daten nach einem berechtigten Löschantrag entfernt werden, welche Daten vorübergehend weiter aufbewahrt werden müssen und wie Sie die Löschung beantragen.

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. In Österreich ist dies die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, E-Mail: dsb@dsb.gv.at, Website: dsb.gv.at.

VRI setzt angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, unbefugtem Zugriff, Veränderung und unzulässiger Offenlegung zu schützen. Dazu gehören insbesondere rollenbasierte Zugriffe, Protokollierung, geschützte Übertragung, Berechtigungsprüfung und sicherheitsbezogene Systemkontrollen.

Diese Datenschutzerklärung wird angepasst, wenn sich Verarbeitungen, Dienstleister oder rechtliche Anforderungen wesentlich ändern. Die jeweils veröffentlichte Fassung trägt einen dokumentierten Versionsstand.