Information nach Artikel 13 und 14 der Datenschutz-Grundverordnung. Fassung vom 2. Oktober 2026.
| Verantwortlicher | SMAC FlexCo, Industriegasse 6, 2700 Wiener Neustadt, Österreich |
| Vertreten durch | Geschäftsführer Philipp Tikowsky |
| philipp@smac-academy.com | |
| Telefon | +43 676 9565759 |
Einen Datenschutzbeauftragten müssen wir nicht bestellen. Für alle Fragen zum Datenschutz schreib bitte direkt an die Adresse oben.
Bevor die Aufzählung kommt, der Punkt, der die meisten Datenschutzfragen hier erübrigt.
Auf dieser Seite gibt es keine Schrift von Google, kein Skript von einem fremden Anbieter, keine Reichweitenmessung und kein Werbenetzwerk. Auch die Datenbank spricht dein Browser nie direkt an. Jede Anfrage geht an smac-academy.com und wird dort beantwortet.
Daraus folgt: deine IP-Adresse gelangt beim bloßen Besuch zu keinem Dritten. Es gibt nichts, wozu wir dich um Zustimmung fragen müssten. Ein Zustimmungsfenster siehst du hier deshalb auch nicht.
Die Schriften und die Logos stecken direkt in der Seite. Das macht die Seite ein Stück größer und spart dafür jeden Aufruf bei einem fremden Server.
Die einzige Ausnahme ist die Bezahlung. Dafür schicken wir dich bewusst auf eine Seite von Stripe, weil wir Kartendaten gar nicht erst sehen wollen. Was dort passiert, steht weiter unten.
Jeder Aufruf einer Webseite hinterlässt technische Spuren. Unser Betreiber Vercel protokolliert dabei Zugriffszeit, angefragte Adresse, Statuscode, übertragene Menge, verweisende Seite, Browserkennung und IP-Adresse. Ohne diese Angaben kann kein Server eine Antwort zurückschicken.
Zweck: Auslieferung der Seite, Erkennung und Abwehr von Angriffen,
Fehlersuche.
Rechtsgrundlage: berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f
DSGVO an einem funktionierenden und sicheren Angebot.
Wir werten diese Protokolle nicht aus, um Personen wiederzuerkennen. Wir sehen hinein, wenn etwas kaputt ist oder wenn wir einem Angriff nachgehen.
Aufbewahrung: die Laufzeitprotokolle unseres Hosters werden in unserem Tarif nach einem Tag gelöscht. Wir selbst legen davon keine Kopie an.
Wir setzen genau zwei Cookies, beide erst nach deiner Anmeldung. Vorher setzen wir keines.
| Name | Wozu | Wie lange |
|---|---|---|
| __Host-smac_zugang | Hält deine angemeldete Sitzung, damit du nicht auf jeder Seite neu dein Passwort eingeben musst | 1 Stunde |
| __Host-smac_erneuerung | Verlängert die Sitzung still im Hintergrund, solange du die Seite benutzt | 30 Tage |
Beide tragen die Kennzeichen httpOnly, Secure und SameSite=Lax sowie den Präfix __Host-. Das bedeutet in dieser Reihenfolge: JavaScript im Browser kommt nicht an sie heran, sie werden nur über eine verschlüsselte Verbindung geschickt, sie werden bei Aufrufen von fremden Seiten aus nicht mitgesendet. Keine andere Unterseite dieser Domain kann uns damit eine Sitzung unterschieben.
Rechtsgrundlage: diese Cookies sind unbedingt erforderlich, damit ein von dir ausdrücklich gewünschter Dienst funktioniert. Nach § 165 Absatz 3 Telekommunikationsgesetz brauchen wir dafür keine Einwilligung. Ohne sie könntest du dich nicht anmelden.
Zur Reichweitenmessung, zur Werbung oder zur Wiedererkennung setzen wir keine Cookies. Weder eigene noch fremde.
Sobald du kaufst, legen wir ein Konto für dich an. Dafür verarbeiten wir:
Zweck: Erfüllung des Vertrags, also Anlage und Betrieb deines Zugangs.
Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe b DSGVO, Erfüllung eines
Vertrags.
Welche Einträge du in der Bibliothek ansiehst, zeichnen wir nicht auf. Es gibt keine Nutzungsstatistik je Person.
Damit niemand Passwörter durchprobieren kann, zählen wir fehlgeschlagene Anmeldeversuche. Das ist eine Verarbeitung, deshalb steht sie hier, auch wenn sie klein ist.
In der Datenbank landet dabei weder deine E-Mail-Adresse noch deine IP-Adresse. Gespeichert wird nur ein gesalzener Hash daraus, aus dem sich der Ausgangswert nicht zurückrechnen lässt, dazu ein Zähler und ein Zeitfenster. Diese Einträge werden nach zwei Stunden automatisch gelöscht.
Auf dieselbe Weise zählen wir Versuche bei unseren Formularen: Newsletter-Anmeldung, Zustimmung vor dem Kauf, Rückmeldungen, Rücktritt, Kündigung sowie Anfordern und Setzen eines Passworts. So kann niemand einer fremden Adresse laufend Bestätigungsmails schicken lassen oder ein Formular mit einem Skript überfluten. Auch dafür landet nur ein gesalzener Hash in der Datenbank.
Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe f DSGVO, berechtigtes Interesse an der Sicherheit der Konten unserer Mitglieder und unserer Formulare.
Die Zahlung läuft über Stripe. Beim Bezahlen bist du auf einer Seite von Stripe, nicht auf unserer. Kartennummer, Ablaufdatum und Prüfziffer gibst du dort ein. Diese Daten erreichen unseren Server zu keinem Zeitpunkt.
Von Stripe bekommen wir zurück: deine E-Mail-Adresse, deinen Namen, den bezahlten Betrag, das Land und den Ort aus der Rechnungsanschrift, die Kennung deines Kunden- und Abo-Eintrags sowie, falls du sie angegeben hast, eine Telefonnummer. Die vollständige Rechnungsanschrift bleibt bei Stripe, dort gehört sie steuerlich hin.
Zweck: Abwicklung der Zahlung, Rechnungslegung, Freischaltung deines
Zugangs.
Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe b DSGVO für die Abwicklung,
Artikel 6 Absatz 1 Buchstabe c DSGVO für die steuerliche Aufbewahrung.
Trägst du dich auf der Startseite für den Newsletter ein, verarbeiten wir deinen Vornamen, deine E-Mail-Adresse sowie deinen Nachnamen, falls du ihn angibst, um dir alle zwei Wochen den SMAC-Newsletter zu schicken. Die Anmeldung geht über unseren Server an HubSpot, wo der Newsletter verwaltet wird. Deine IP-Adresse geht dabei nicht an HubSpot. Erst wenn du den Link in der Bestätigungsmail anklickst, bekommst du ihn. HubSpot hält fest, wann du mit welchem Wortlaut eingewilligt hast. Beim Versand erfasst HubSpot, ob ein Newsletter zugestellt wurde, ob du ihn geöffnet und welche Links du angeklickt hast. Daran sehen wir, welche Themen ankommen.
Rechtsgrundlage: deine Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO. Du kannst sie jederzeit für die Zukunft zurückziehen, formlos per E-Mail oder über den Abmeldelink in jeder Nachricht.
Merkst du dir im Mitgliederbereich einen Eintrag, speichern wir das bei deinem Konto: welchen Eintrag, mit Titel und Zeitpunkt. So siehst du deine Merkliste auf jedem Gerät, auf dem du dich anmeldest. Niemand außer dir sieht sie im Mitgliederbereich. Die Liste wird mit deinem Konto gelöscht, einzelne Einträge nimmst du jederzeit selbst heraus. Damit die Herzen beim Laden sofort stimmen, liegt zusätzlich eine Kopie der Liste im Speicher deines Browsers, dazu dein Daumen unter den Einträgen, die du bewertet hast. Meldest du dich ab, löschen wir beides dort. Grundlage ist die Erfüllung des Vertrags nach Artikel 6 Absatz 1 Buchstabe b DSGVO.
Schickst du uns aus dem Mitgliederbereich eine Rückmeldung zu einem Eintrag, verarbeiten wir deinen Text, den betroffenen Eintrag, deine E-Mail-Adresse und das Datum deines Beitritts. Ohne die Adresse könnten wir dir nicht antworten. Gespeichert wird die Rückmeldung auf dem Server unserer Automatisierung. Bittest du um Hilfe, kommt sie zusätzlich gleich als E-Mail zu uns, deine Adresse steht darin nur als Antwortadresse. Einmal am Tag fassen wir zusammen, was eingegangen ist, diese Zusammenfassung enthält keine E-Mail-Adressen. Klickst du nur an, ob dir ein Eintrag geholfen hat, geht das ohne deine Adresse an uns. Grundlage ist unser berechtigtes Interesse an der Verbesserung der Bibliothek und die Erfüllung des Vertrags.
Zusätzlich zählen wir, wie oft ein Eintrag gemerkt oder kopiert wird. Gespeichert wird dafür nur eine Zahl je Eintrag und Tag, ohne deinen Namen, deine E-Mail-Adresse oder deine IP-Adresse. Grundlage ist unser berechtigtes Interesse an der Verbesserung der Bibliothek.
Wir arbeiten mit sechs Auftragsverarbeitern. Mit jedem besteht ein Vertrag nach Artikel 28 DSGVO. Keiner darf die Daten für eigene Zwecke verwenden. Dazu kommt Hostinger als Unterauftragsverarbeiter der Philipp Tik GmbH, auch dafür besteht ein solcher Vertrag.
| Dienst | Wofür und welche Daten |
|---|---|
| Vercel Inc. 440 N Barranca Ave #4133, Covina, CA 91723, USA |
Hosting. Auslieferung der Seite und Betrieb der Serverfunktionen. Verarbeitet werden Zugriffsprotokolle mit IP-Adresse und Browserkennung sowie alle Daten, die durch die Funktionen laufen. Unsere Serverfunktionen sind fest auf die Region Frankfurt gesetzt. Die ausgelieferten Dateien selbst liegen im weltweiten Auslieferungsnetz und werden von dem Standort geholt, der dir am nächsten ist. |
| Supabase Pte. Ltd. 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 |
Datenbank und Anmeldung. Speicherung von Konto, Passwort-Hash, Sitzungen und Mitgliedschaft. Unser Projekt liegt in einer Region in der Europäischen Union. Der Anbieter selbst weist darauf hin, dass Sicherungskopien und Protokolle davon abweichen können. |
| Stripe Payments Europe, Limited Irland, für Kunden im Europäischen Wirtschaftsraum |
Zahlung. Abwicklung der Zahlung, Rechnungen und das Kundenportal für deine Kündigung. Stripe gibt die Daten zur Verarbeitung an die Muttergesellschaft Stripe, LLC in den USA weiter, das ist Bestandteil der Leistung. |
| Philipp Tik GmbH Österreich |
Automatisierung. Betreibt für uns die Abläufe, die nach einem Kauf den Kontakt in unsere Kundenverwaltung schreiben, die Eingangsbestätigung verschicken, wenn du zurücktrittst, deine Rückmeldungen aus dem Mitgliederbereich entgegennehmen und uns einmal am Tag zusammenfassen, was passiert ist. Den Zugang selbst legt unsere Serverfunktion bei Vercel an. Verarbeitet werden dabei Name, E-Mail-Adresse, Telefonnummer, Betrag, Ort und Land, die Kennungen aus Stripe und der Zeitpunkt deiner Zustimmung vor dem Kauf, bei einem Rücktritt deine Erklärung, bei Rückmeldungen Text, Eintrag, E-Mail-Adresse und das Datum deines Beitritts. |
| Hostinger International Ltd. 61 Lordou Vironos str., 6023 Larnaca, Zypern |
Server für die Automatisierung. Auf diesem Server laufen die Abläufe, die die Philipp Tik GmbH für uns betreibt. Hostinger ist dabei ihr Unterauftragsverarbeiter. Über den Server laufen die Angaben aus einem Kauf und einem Rücktritt. Deine Rückmeldungen und der Nachweis eines Rücktritts werden dort gespeichert. Der Server steht in einem Rechenzentrum in Deutschland, in Frankfurt am Main. Hostinger setzt selbst weitere Unterauftragsverarbeiter ein und stützt sich für Übermittlungen außerhalb des Europäischen Wirtschaftsraums auf die Standardvertragsklauseln der Europäischen Kommission. |
| World4You Internet Services GmbH Wolfgang-Pauli-Straße 2, 4020 Linz, FN 232485s |
Mailversand. Verschickt unsere Systemmails: die Einladung nach dem Kauf, den Link zum Zurücksetzen des Passworts und die Bestätigung nach einem Rücktritt. Dazu kommen die Mails an uns selbst: deine Bitte um Hilfe und die tägliche Zusammenfassung. Verarbeitet werden deine E-Mail-Adresse und der Inhalt dieser Nachricht. Die Server stehen nach Angabe des Anbieters ausschließlich in Ländern der Europäischen Union. World4You gehört zur IONOS Group SE und setzt selbst Unterauftragsverarbeiter im Europäischen Wirtschaftsraum ein, darunter die IONOS SE. |
| HubSpot Germany GmbH Am Postbahnhof 17, 10243 Berlin |
Kundenverwaltung und Newsletter. Nach einem Kauf entsteht dort ein Kontakt mit Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Ort und Land. Trägst du dich nur für den Newsletter ein, enthält der Kontakt deinen Vornamen, deine E-Mail-Adresse und den Nachweis deiner Einwilligung, dazu deinen Nachnamen, falls du ihn angegeben hast. Schicken wir dir einen Newsletter, kommen die üblichen Versandangaben dazu: ob eine Nachricht zugestellt wurde, ob du sie geöffnet und ob du einen Link angeklickt hast. Vertragspartner für Österreich ist die deutsche Gesellschaft. Unabhängig davon verarbeitet die amerikanische Muttergesellschaft HubSpot, Inc. Nutzungs- und Analysedaten in den USA, dazu kommen Zugriffe des Supports. Das ist beim Anbieter so vorgesehen und lässt sich nicht abwählen. |
Außerhalb dieser Liste geben wir deine Daten nicht weiter. Verkauft werden sie nie. Behörden bekommen Auskunft nur, wenn wir dazu rechtlich verpflichtet sind.
Vier unserer Dienstleister sitzen außerhalb des Europäischen Wirtschaftsraums. Deshalb hier offen, worauf sich das jeweils stützt.
| Dienst | Grundlage der Übermittlung |
|---|---|
| Vercel, USA | Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss 2021/914. Das Unternehmen ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert, sein Auftragsverarbeitungsvertrag stützt sich aber ausdrücklich auf die Standardvertragsklauseln. |
| Supabase, Singapur | Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss 2021/914. Für Singapur besteht kein Angemessenheitsbeschluss. |
| Stripe, USA | Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework. Die US-Gesellschaft Stripe, LLC ist dort zertifiziert. Ergänzend gelten Standardvertragsklauseln, soweit dieser Beschluss einmal nicht greifen sollte. |
| HubSpot, USA und Indien | Beides zugleich: die Muttergesellschaft HubSpot, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Der Auftragsverarbeitungsvertrag zieht daneben die Standardvertragsklauseln ein. Zugriff hat auch die Konzerngesellschaft in Indien, für Betrieb und Unterstützung. |
Die Standardvertragsklauseln kannst du bei uns anfordern. Sie stehen außerdem öffentlich auf den Rechtsseiten der genannten Anbieter.
Beim Bezahlen verlässt du unsere Seite und bist auf einer Seite von Stripe unter checkout.stripe.com. Dort setzt Stripe eigene Cookies, auf die wir keinen Einfluss haben. Stripe nennt sie in der eigenen Cookie-Erklärung, es sind im Wesentlichen diese:
| Name | Wozu und wie lange |
|---|---|
| __stripe_mid | Betrugsabwehr, Einschätzung des Risikos einer Zahlung. Ein Jahr |
| __stripe_sid | Betrugsabwehr innerhalb eines Bezahlvorgangs. Dreißig Minuten |
| eid | Stripe testet damit Varianten der eigenen Bezahlseite. Zwei Monate |
Ein Zustimmungsfenster auf unserer Seite könnte dafür keine wirksame Einwilligung einholen, weil diese Cookies auf einer fremden Domain gesetzt werden. Deshalb steht hier der Hinweis darauf. Die Einzelheiten stehen bei Stripe unter stripe.com/legal/cookies-policy.
Dir stehen nach der DSGVO diese Rechte zu:
Schreib dafür einfach an philipp@smac-academy.com. Wir antworten innerhalb eines Monats. Eine besondere Form braucht es nicht, sag uns nur bitte, was genau du möchtest.
Dein Konto kannst du auch selbst beenden. In deinem Konto steht, wie das geht. Dabei kündigen wir dein Abo, löschen deinen Zugang und behalten nur die Belege, die wir steuerlich aufheben müssen.
Beschwerde: Wenn du meinst, dass wir deine Daten nicht richtig behandeln, kannst du dich bei der Aufsichtsbehörde beschweren. In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40 bis 42, 1030 Wien, dsb.gv.at. Uns wäre lieber, du schreibst uns vorher, das Recht steht dir aber ohne Umweg zu.
| Daten | Aufbewahrung |
|---|---|
| Konto und Zugangsdaten | Solange die Mitgliedschaft läuft. Nach dem Ende löschen wir das Konto innerhalb von dreißig Tagen |
| Rechnungen und Zahlungsbelege | Sieben Jahre. Das schreibt die Bundesabgabenordnung vor, daran können wir nichts ändern |
| Newsletter-Anmeldung | Bis du den Newsletter abbestellst. Danach bleibt bei HubSpot vermerkt, dass du abgemeldet bist, damit du nicht versehentlich wieder Post bekommst |
| Merkliste | Solange dein Konto besteht, einzelne Einträge bis du sie herausnimmst |
| Zähler, wie oft Einträge gemerkt und kopiert werden | Ohne Bezug zu einer Person, daher ohne Frist |
| Rückmeldungen aus dem Mitgliederbereich | Zwei Jahre, danach automatisch gelöscht |
| Nachweis eines Rücktritts: deine Erklärung mit Datum und Uhrzeit des Eingangs | Drei Jahre ab dem Eingang. So lange lassen sich Ansprüche aus dem Vertrag geltend machen. Ebenso lange müssen wir belegen können, was du erklärt hast |
| Meldungen über Käufe und Abos für unsere tägliche Zusammenfassung, ohne E-Mail-Adresse | Dreißig Tage nach der Zusammenfassung, danach automatisch gelöscht |
| Protokolle fehlgeschlagener Abläufe in der Automatisierung | Bis der Fehler behoben ist |
| Zähler der Anmelde- und Formulardrosselung | Zwei Stunden, danach automatisch gelöscht |
| Serverprotokolle | Nach der Aufbewahrungsfrist unseres Hosters, siehe oben |
Ohne E-Mail-Adresse können wir dir keinen Zugang anlegen und keine Rechnung schicken. Sie anzugeben ist keine gesetzliche Pflicht, ohne sie kommt der Vertrag aber nicht zustande.
Eine automatisierte Entscheidungsfindung oder ein Profiling nach Artikel 22 DSGVO findet bei uns nicht statt. Niemand wird hier von einem Programm bewertet.
Ändert sich etwas an unserem Aufbau, ändern wir diese Erklärung mit. Es gilt immer die Fassung, die hier steht. Das Datum oben sagt dir, wie alt sie ist.