Klaus Martin Wöss
Römerstraße 4, 4020 Linz, Österreich
E-Mail: datenschutz@bookment.app
Bei Bookment gibt es zwei Rollen:
Betriebe und ihre Mitarbeiter: E-Mail-Adresse, Passwort (nur als Hash gespeichert, nicht im Klartext), Firmenname, die Bestätigung als Unternehmer:in samt AGB und Datenschutzerklärung, bei Anmeldung mit Google oder Microsoft die vom Anbieter übermittelten Kontodaten (Name, E-Mail-Adresse, Konto-Kennung, ggf. Profilbild), Anmeldeprotokolle, Angaben zur Abrechnung und im Support. Lädt dich ein Betrieb ein, erhalten wir deine E-Mail-Adresse von ihm. Verbindet ein Betrieb seinen Google-Kalender, verarbeiten wir beim Abgleich im Auftrag des Betriebs die E-Mail-Adresse des Google-Kontos, den Zugangstoken und die belegten Zeiten und Titel der Termine (zur Rolle von Google je nach Konto siehe Abschnitt 4).
Gäste einer Buchungsseite: Die Daten einer Buchung verarbeiten wir im Auftrag des Betriebs; sie sind in den Datenschutzhinweisen der jeweiligen Buchungsseite beschrieben.
Alle Besucher: Angaben im Kontaktformular, auf der Startliste und bei „Benachrichtigt mich“ (die beiden Listen nur mit deiner Einwilligung), technische Daten in Server-Protokollen, die Statistik (nur mit deiner Einwilligung) und der Nachweis deiner Cookie-Auswahl.
Pflicht zur Bereitstellung: Für die Registrierung brauchen wir E-Mail-Adresse, Passwort, Firmenname und die Bestätigung als Unternehmer:in; ohne diese Angaben können wir kein Konto anlegen und den Vertrag nicht erfüllen. Bei der Startliste, bei „Benachrichtigt mich“, im Kontaktformular und im Support sind die Angaben freiwillig; ohne E-Mail-Adresse können wir aber nicht antworten. Die Einwilligung in Cookies ist freiwillig und ohne Nachteil. Welche Angaben Gäste für eine Buchung machen müssen, legt der Betrieb fest.
Wir löschen personenbezogene Daten spätestens nach den folgenden Fristen, früher, sobald der Zweck entfällt.
| Verarbeitung | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Konto des Betriebs: E-Mail-Adresse, Passwort (nur als Hash), Firmenname | Bereitstellung der Plattform, Abwicklung, E-Mails | Vertrag (Art. 6 Abs. 1 lit. b DSGVO) | Dauer des Vertrags; danach wie unter „Nach Vertragsende“ |
| Zugänge der Mitarbeiter, Anmeldung (auch mit Google oder Microsoft) | Sicherer Zugang für die Mitarbeiter des Betriebs | Berechtigtes Interesse am sicheren Zugang für den Vertragspartner (lit. f); die Mitarbeiter sind nicht selbst Vertragspartei | Bis zum Ende des Vertrags; danach wie unter „Nach Vertragsende“ (die Zugänge der Mitarbeiter werden mit den Auftragsdaten gelöscht) |
| Anmeldeprotokolle: IP-Adresse und Browser-Kennung bei Registrierung und Anmeldung | Sicherheit der Konten | Berechtigtes Interesse (lit. f) | Höchstens 90 Tage |
| Server-Protokolle: IP-Adresse, Browser-Typ, aufgerufene Seite, Zeitpunkt | Sicherer Betrieb, Abwehr von Angriffen | Berechtigtes Interesse (lit. f) | Nur kurzzeitig, höchstens 14 Tage |
| Spamschutz, Begrenzung von Anfragen (nicht lesbarer Hashwert aus IP-Adresse oder E-Mail-Adresse), Login-Schutz (Zahl und Zeitpunkt der Fehlversuche je Konto) | Schutz von Formularen und Anmeldung vor Missbrauch | Berechtigtes Interesse (lit. f) | Nur kurzzeitig, höchstens 14 Tage; bei Terminanfragen von Gästen, solange die Anfrage offen ist (längstens sieben Tage ab Eingang, bei näherem Termin bis zu diesem) |
| Registrierungsschutz: nicht umkehrbarer Hashwert der E-Mail-Adresse | Testphase nur einmal je Betrieb | Berechtigtes Interesse (lit. f) | Höchstens 24 Monate, auch nach Löschung des Kontos |
| Bestätigung von AGB und Datenschutzerklärung bei der Registrierung (Zeitpunkt, Fassung, Weg), Abschluss des Auftragsverarbeitungsvertrags | Nachweis des Vertragsabschlusses | Berechtigtes Interesse an der Beweissicherung (lit. f), keine gesetzliche Pflicht | 7 Jahre nach Vertragsende |
| Rechnungs- und Abrechnungsunterlagen; Zahlungen für unsere Pakete (über Stripe, wir speichern keine Kartendaten) | Abrechnung, steuerliche Pflichten | Vertrag (lit. b); Aufbewahrung: rechtliche Verpflichtung (lit. c, § 132 BAO) | 7 Jahre ab dem Ende des Kalenderjahres, länger bei anhängigem Abgabenverfahren |
| Support-Anfragen: E-Mail-Adresse und Inhalt | Beantwortung | Vertrag (lit. b) | Höchstens 3 Jahre nach Abschluss |
| Kontaktformular: Name, E-Mail-Adresse, Nachricht (als E-Mail an uns, nicht in der Datenbank) | Beantwortung deiner Anfrage | Vorvertragliche Maßnahmen (lit. b), bei Nichtkunden berechtigtes Interesse (lit. f) | Ohne Kundenbeziehung höchstens 12 Monate nach der letzten Nachricht |
| Startliste von Bookment: E-Mail-Adresse | Information über den Start | Einwilligung (lit. a, § 174 Abs. 3 TKG 2021), jederzeit widerrufbar über den Abmeldelink oder per E-Mail | Bis zur Information über den Start oder zum Widerruf, höchstens 24 Monate |
| Benachrichtigung zu Betriebsarten („Benachrichtigt mich“): E-Mail-Adresse, gewählte Betriebsart, Nachweis deiner Einwilligung (Zeitpunkt, Wortlaut) | Information, sobald die gewählte Betriebsart verfügbar ist | Einwilligung (lit. a, § 174 Abs. 3 TKG 2021), jederzeit widerrufbar über den Abmeldelink oder per E-Mail | Bis zur Information oder zum Widerruf, höchstens 24 Monate; nicht bestätigte Einträge löschen wir nach 30 Tagen |
| Statistik (Umami): Seitenaufrufe, Gerät, Browser, Sprache, Land, Region, Stadt, Sitzungskennung; auf Informationsseiten Ablauf des Besuchs | Verbesserung unseres Angebots | Einwilligung (lit. a), jederzeit widerrufbar | Statistikdaten höchstens 14 Monate, Sitzungsaufzeichnungen höchstens 30 Tage |
| Nachweis deiner Cookie-Auswahl: Einwilligungs-ID, Zeitpunkt, Fassung, Kategorien, Art der Entscheidung | Nachweis erteilter und widerrufener Einwilligungen | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f i. V. m. Art. 7 Abs. 1 DSGVO) | Höchstens 3 Jahre |
| Rest des Kontos nach Vertragsende: Einstellungen, Inhaber-Zugang | Rückkehr erleichtern, Ansprüche nachweisen oder abwehren | Berechtigtes Interesse (lit. f) | Höchstens 12 Monate nach Löschung der Auftragsdaten |
| Datensicherungen | Schutz vor Datenverlust | Berechtigtes Interesse (lit. f) | Höchstens 90 Tage |
Benachrichtigt mich: Nach dem Eintragen senden wir dir eine E-Mail mit Bestätigungslink. Erst nach deiner Bestätigung informieren wir dich. Unbestätigte Einträge löschen wir nach 30 Tagen.
Nach Vertragsende kannst du deine Daten 30 Tage lang exportieren. Rückgabe und Löschung der Auftragsdaten richten sich nach Abschnitt 8 des Auftragsverarbeitungsvertrags (inaktive Gratis-Konten, die seit 12 Monaten weder angemeldet noch gebucht wurden, löschen wir nach einer Warnung per E-Mail 30 Tage später). Die Zugänge der Mitarbeiter werden mit den Auftragsdaten gelöscht. Das Rest-Konto, die Abrechnungsunterlagen und die Nachweise über den Vertragsabschluss bewahren wir nach der Tabelle auf. Auf Verlangen löschen wir das Rest-Konto unverzüglich; Abrechnungsunterlagen und Vertragsnachweise bleiben unberührt.
Datensicherungen: Gelöschte Daten können derzeit bis zu 90 Tage in Datensicherungen verbleiben; sie werden dort nicht verwendet und danach gelöscht.
Spamschutz und Anfragen-Begrenzung: Wir speichern dafür keine IP-Adresse im Klartext, sondern nur einen nicht lesbaren Hashwert; zu Server-Protokollen siehe die Tabelle.
Google-Kalender-Abgleich: Je nach Konto: Bei einem Google-Workspace-Konto mit dem Data Processing Amendment von Google erfolgt der Abgleich im Auftrag des Betriebs, bei einem privaten Google-Konto ist Google eigener Verantwortlicher; das verantwortet der Betrieb. Betroffen sind auch Dritte, die im Kalender eingetragen sind (ihre belegten Zeiten und die Titel ihrer Termine).
Bei Stripe, Google und Microsoft kann es zu einer Übermittlung von Daten in die USA kommen. Die US-Muttergesellschaften dieser Anbieter sind nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Soweit eine Zertifizierung nicht oder nicht mehr besteht oder der Angemessenheitsbeschluss entfällt, stützt sich die Übermittlung auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) im Vertrag mit dem jeweiligen Anbieter.
Buchungsdaten verarbeiten wir im Auftrag des jeweiligen Betriebs (Art. 28 DSGVO). Welche Dienste ein Betrieb auf seiner Buchungsseite einträgt (Google Analytics, Google Ads, Meta-Pixel) und welche Cookies dafür gelten, steht in den Datenschutzhinweisen dieser Buchungsseite.
Beim ersten Besuch fragt dich der Cookie-Hinweis, welche Kategorien du zulässt. Du kannst „Alle akzeptieren“ oder „Nur notwendige“ wählen oder in den „Einstellungen“ einzelne Kategorien ein- und ausschalten. Zustimmen und Ablehnen sind gleichwertig; die Seite bleibt auch ohne Zustimmung voll nutzbar. Cookies und ähnliche Speichereinträge, die nicht unbedingt erforderlich sind, setzen wir nur mit deiner Einwilligung (§ 165 Abs. 3 Telekommunikationsgesetz 2021); technisch notwendige Einträge brauchen sie nicht.
Auf den Seiten von Bookment werden folgende Cookies und Dienste eingesetzt:
| Name | Zweck | Dauer | Anbieter | Kategorie |
|---|---|---|---|---|
| bookment_cookie_consent Lokaler Speicher | Speichert deine Cookie-Auswahl: zufällige Einwilligungs-ID, Zeitpunkt, Fassung des Hinweises und gewählte Kategorien. | 12 Monate, danach wirst du erneut gefragt | Bookment (Klaus Martin Wöss, Linz) | Notwendig (ohne Einwilligung) |
| sb-…-auth-token Cookie | Hält dich in deinem Bookment-Konto angemeldet (Sitzung). | bis zur Abmeldung, höchstens 400 Tage | Bookment (Klaus Martin Wöss, Linz) | Notwendig (ohne Einwilligung) |
| bm_access Cookie | Zugang für eingeladene Betriebe vor dem Start. | 30 Tage | Bookment (Klaus Martin Wöss, Linz) | Notwendig (ohne Einwilligung) |
| bk-theme, bk-tools-open Lokaler Speicher | Merkt sich deine Darstellung im Dashboard (hell/dunkel, aufgeklappte Werkzeuge). | bis du die Einstellung änderst oder die Website-Daten löschst | Bookment (Klaus Martin Wöss, Linz) | Notwendig (ohne Einwilligung) |
| ALTCHA (Spamschutz) Kein Speicher im Browser | Spamschutz für öffentliche Formulare (technisch notwendig): Dein Browser löst beim Ausfüllen im Hintergrund eine kleine Rechenaufgabe, die der Server von Bookment stellt und beim Absenden prüft. Es werden keine Daten an Dritte übermittelt und kein Cookie oder Speichereintrag gesetzt. | nur beim Ausfüllen und Absenden eines Formulars | Bookment (selbst betrieben, Server in Deutschland) | Notwendig (ohne Einwilligung) |
| Umami (eigene Statistik) Kein Speicher im Browser | Bookment-eigene Statistik: zählt Seitenaufrufe ohne Buchungs- und Verwaltungscodes in der Adresse; auf unseren Informationsseiten zusätzlich Ablauf des Besuchs (Klicks, Scrollen, höchstens 5 Minuten, Eingaben unkenntlich). | setzt keine Cookies | Bookment (selbst betrieben, Server bei netcup in der EU) | Statistik (nur mit Einwilligung) |
Statistik (nur mit Einwilligung): Stimmst du der Kategorie „Statistik“ zu, laden wir unsere selbst betriebene Statistik Umami (Server bei netcup in der EU). Sie speichert dafür keine IP-Adresse; zu Server-Protokollen siehe Abschnitt 3. Buchungs- und Verwaltungscodes in der Seitenadresse werden vorher entfernt. Auf unseren Informationsseiten (z. B. Startseite, Kontakt, Branchen) zeichnet Umami zusätzlich den Ablauf deines Besuchs auf (u. a. Klicks, Scrollen und Seitenänderungen, höchstens 5 Minuten); Eingaben in Formularfeldern werden dabei unkenntlich gemacht. Im Buchungsformular, im Dashboard und bei der Anmeldung wird nichts aufgezeichnet. Ohne deine Einwilligung wird Umami nicht geladen. Google Analytics, Google Ads oder Meta-Pixel setzen wir auf unseren eigenen Seiten nicht ein.
Spamschutz (ALTCHA, technisch notwendig): Öffentliche Formulare schützen wir mit ALTCHA. Dein Browser löst dabei im Hintergrund eine kleine Rechenaufgabe, die unser eigener Server stellt und beim Absenden prüft. Es werden keine Daten an Dritte übermittelt, es wird kein Cookie und kein Speichereintrag in deinem Browser angelegt; ALTCHA speichert dafür keine IP-Adresse (zu Server-Protokollen siehe Abschnitt 3). Soweit die Rechenaufgabe auf dein Gerät zugreift, ist das unbedingt erforderlich im Sinne des § 165 Abs. 3 Telekommunikationsgesetz 2021, damit wir das von dir gewünschte Absenden des Formulars sicher bereitstellen können; eine Einwilligung brauchen wir dafür nicht.
Speicherung und Nachweis deiner Auswahl: Deine Entscheidung speichern wir im lokalen Speicher deines Browsers. Nach 12 Monaten oder wenn sich die eingesetzten Dienste oder diese Hinweise ändern, fragen wir erneut. Zusätzlich protokollieren wir jede Entscheidung auf unserem Server als Nachweis nach Art. 7 Abs. 1 DSGVO (Einwilligungs-ID, Bereich, Fassung des Hinweises, gewählte Kategorien, Art der Entscheidung und Zeitpunkt). Wir speichern dafür keine IP-Adresse; zu Server-Protokollen siehe Abschnitt 3. Die Einträge löschen wir nach 3 Jahren.
Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft ändern oder widerrufen: über den Link „Cookie-Einstellungen“ in der Fußzeile (im Dashboard in der Seitenleiste). Alternativ kannst du die gespeicherten Website-Daten dieser Seite in deinem Browser löschen; beim nächsten Besuch wirst du dann erneut gefragt.
Du hast das Recht auf:
Widerspruchsrecht (Art. 21 DSGVO): Soweit wir deine Daten aufgrund berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, dagegen Widerspruch einlegen, formlos per E-Mail an datenschutz@bookment.app.
Zur Ausübung deiner Rechte erreichst du uns unter: datenschutz@bookment.app. Zu Daten von Gästen wende dich bitte zuerst an den Betrieb, bei dem du gebucht hast (Abschnitt 1).
Stand: 2. November 2026