Datenschutzerklärung

Stand: 25. September 2026

1. Verantwortlicher im Sinne der DSGVO

web-crossing GmbH
Eduard-Bodem-Gasse 9
6020 Innsbruck, Österreich
Firmenbuchnummer FN 331547w (LG Innsbruck), UID ATU65173607
Telefon: +43 512 206567
E-Mail: info@web-crossing.com

2. Zwecke der Verarbeitung und Rollen

Newstool ist ein SaaS-Tool zum Versand von Newslettern. Wir, die web-crossing GmbH, sind Auftragsverarbeiter im Sinne des Art. 28 DSGVO gegenüber den Mandant:innen, die Newstool einsetzen. Die Mandant:innen sind datenschutzrechtlich Verantwortliche für die Empfänger-Daten, die sie hochladen oder per API übermitteln.

Besucher:innen dieser Website (Startseite, Impressum, Datenschutz, Kontakt-Formular, Abmeldelinks und Newsletter-Archiv-Ansicht) verarbeiten wir direkt als Verantwortliche.

3. Verarbeitungen auf dieser Website

3.1 Aufruf der Website (Server-Logs)

Beim Aufruf jeder Seite werden vom Webserver folgende Daten in einer Logdatei gespeichert:

IP-Adresse (anonymisiert nach 7 Tagen)
Datum und Uhrzeit des Aufrufs
angeforderte URL und HTTP-Status
User-Agent (Browser/Betriebssystem)
Referrer (Vorgängerseite, falls übermittelt)

Zweck: technischer Betrieb, Sicherheit, Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Speicherdauer: 7 Tage im Klartext, danach Anonymisierung; aggregierte Logs maximal 90 Tage.

3.2 Kontakt-Formular „Anfrage senden"

Über das Anfrage-Formular auf der Startseite verarbeiten wir die von Ihnen eingegebenen Daten (Name, ggf. Firma, E-Mail-Adresse, ggf. Telefonnummer, Nachricht) sowie die IP-Adresse zum Zeitpunkt der Übermittlung.

Zweck: Bearbeitung Ihrer Anfrage und Kontaktaufnahme. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Speicherdauer: bis zur abschließenden Bearbeitung der Anfrage und anschließend sechs Monate als E-Mail-Korrespondenz im Postfach; bei Vertragsanbahnung gelten die handelsrechtlichen Aufbewahrungsfristen (§ 132 BAO, idR sieben Jahre). Übermittlung in Drittländer: keine.

3.3 Nutzung des Admin-Panels

Beim Login in das Admin-Panel auf /admin/login verarbeiten wir E-Mail-Adresse, Passwort-Hash, IP-Adresse und Anmeldezeitpunkt im Rahmen der Authentifizierung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. f DSGVO (Sicherheit der Anwendung).

4. Verarbeitung im Auftrag der Mandant:innen (Auftragsverarbeitung)

Im Rahmen des Newsletter-Versands für unsere Mandant:innen verarbeiten wir nach deren Weisung folgende Daten:

Empfänger-Daten (E-Mail, optional Anrede, Vor-/Nachname, Geburtsdatum, Telefon, Adresse, Sprache (für mehrsprachige Newsletter), Tags, Benutzerdefinierte Felder): von den Mandant:innen hochgeladen oder per API übermittelt.
Tracking-Daten bei Newsletter-Versand: Öffnungen, Klicks, Abmeldungen, pseudonymisierte IP-Adresse (letztes Oktett entfernt), User-Agent, Zeitstempel. Klicks werden dabei über einen signierten, newsletterspezifischen Link der einzelnen Empfängerin / dem einzelnen Empfänger zugeordnet (Empfänger-ID plus Signatur im Link), damit Mandant:innen sehen können, wer welchen Link geöffnet hat.
Bounce-/Complaint-Daten: vom Mailprovider gemeldete Zustellprobleme, je Empfänger:in erfasst. Hard-Bounces führen zu einer Blacklist-Eintragung.

Vor produktivem Einsatz schließen wir mit jeder Mandantin / jedem Mandanten einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Dieser regelt die eingesetzten Subauftragnehmer (Mailprovider, Hosting), die technisch-organisatorischen Maßnahmen (TOM) sowie das Vorgehen bei Datenschutzvorfällen.

4.1 KI-Funktionen (KI-Entwürfe, Übersetzung, Schreibprüfung, Textwerkstatt)

Newstool bietet optionale KI-Funktionen an, die Mandant:innen im Admin-Panel je Mandant aktivieren: KI-Entwürfe für Newsletter-Texte, Betreffzeilen-Vorschläge, Text umschreiben/kürzen/im Ton anpassen ("KI-Aktionen am Textblock"), automatische Übersetzung mehrsprachiger Newsletter sowie eine Schreibprüfung im Versand-Check vor dem Versand. Dabei werden die betroffenen Newsletter-Texte an ein Sprachmodell übermittelt.

Als Anbieter stehen zur Wahl: Claude über AWS Bedrock (Amazon Web Services EMEA SARL, Verarbeitung im EU-Inference-Profil in der Region eu-central-1, Frankfurt am Main) sowie - falls die Mandantin / der Mandant einen eigenen API-Key hinterlegt - OpenAI, Anthropic (Claude direkt) oder Google Gemini. Bei AWS Bedrock über den von web-crossing bereitgestellten zentralen Zugang sind wir Auftragsverarbeiter, die Verarbeitung erfolgt in der EU; ein Drittlandtransfer findet dabei nicht statt. Hinterlegt eine Mandantin / ein Mandant stattdessen einen eigenen API-Key bei OpenAI, Anthropic oder Google, wählt und verantwortet sie/er diesen Anbieter selbst; die Verarbeitung erfolgt dann auf Grundlage des eigenen Vertragsverhältnisses der Mandantin / des Mandanten mit diesem Anbieter, ggf. mit Verarbeitung in den USA auf Basis von Standardvertragsklauseln (SCCs).

Maskierung personenbezogener Daten (PII-Scrubbing): Bevor ein Text an ein Sprachmodell übermittelt wird, werden erkennbare personenbezogene Daten (u. a. E-Mail-Adressen, IBAN, Kreditkartennummern, Telefonnummern) automatisch durch Platzhalter ersetzt und erst in der Antwort wieder eingesetzt; das Sprachmodell selbst bekommt diese Daten nie zu sehen.

4.2 Brand-Import aus einer Website-URL

Auf Wunsch der Mandantin / des Mandanten kann Newstool Logo, Farben, Schriften und Textproben von einer im Admin-Panel angegebenen Website abrufen, um daraus einen Gestaltungs- und Textvorschlag für Newsletter-Vorlagen zu erstellen. Dabei ruft unser Server die angegebene Seite sowie darauf referenzierte Stylesheets und Bilddateien serverseitig ab; abgesicherte Grenzen (u. a. maximale Größe, Anzahl Unterabrufe, Zeitbudget) verhindern einen Missbrauch dieser Funktion. Verarbeitet werden dabei keine Daten von Newsletter-Empfänger:innen, sondern öffentlich zugängliche Inhalte der angegebenen Website. Für die Tonalitäts- Analyse des abgerufenen Textes kann optional ein KI-Anbieter gemäß Punkt 4.1 herangezogen werden.

5. Speicherdauer

Empfänger-Daten: solange die Mandant:innen sie pflegen, längstens bis zum Vertragsende plus gesetzliche Aufbewahrungsfristen.
Tracking-Events: 36 Monate aus Analyse-Gründen, danach anonymisierte Aggregation.
Blacklist-Einträge: unbefristet (gehashter Wert plus Quelle und Zeitpunkt), um unerwünschte Kontaktaufnahme zu verhindern. Rechtsgrundlage: Art. 21 Abs. 3 DSGVO.
Server-Logs: siehe 3.1.
Anfragen über das Kontakt-Formular: siehe 3.2.

6. Cookies und Tracking auf dieser Website

Wir setzen ausschließlich technisch unbedingt erforderliche Cookies ein:

newstool_session - Session-Cookie für CSRF-Schutz und, im Admin-Panel, für die Aufrechterhaltung der Sitzung. Lebensdauer: bis zum Schließen des Browsers bzw. zum Logout.
XSRF-TOKEN - CSRF-Token zur Absicherung von Formularen.

Diese Cookies sind nach § 165 Abs. 3 Telekommunikationsgesetz 2021 (TKG 2021, Umsetzung der ePrivacy-Richtlinie in Österreich) ohne Einwilligung zulässig, weil sie für die vom/von der Nutzer:in ausdrücklich gewünschte Funktion (Formular-Übermittlung, Login) unbedingt erforderlich sind. Ein Einwilligungs-Banner („Cookie-Banner") ist daher nicht erforderlich und wird bewusst nicht eingesetzt.

Wir verwenden kein Google Analytics, kein Meta-Pixel, keine Tracking-Pixel auf dieser Website, keine Werbe- oder Re-Targeting-Cookies und keine externen Tag-Manager. Schriften und Bilder auf dieser Website werden selbst gehostet, ohne Einbindung eines externen Font- oder Bild-CDNs und ohne zusätzliche Cookie-Setzung.

Im Admin-Panel wird, wenn eine Mandantin / ein Mandant den Editor-Modus „Unlayer" für einen Newsletter wählt, das Editor-Skript von editor.unlayer.com nachgeladen (siehe Punkt 7). Im Editor-Modus „GrapeJS" lädt die Vorschau-Fläche die Schriften für die Newsletter-Gestaltung von fonts.bunny.net (siehe Punkt 7). Auf der öffentlichen Website ist beides nicht der Fall.

7. Eingesetzte Drittanbieter und Datenflüsse

Folgende Dienstleister verarbeiten Daten in unserem Auftrag oder im Rahmen unserer Infrastruktur:

Hosting: Eigener Server der web-crossing GmbH in Innsbruck, Österreich. Verarbeitungsort EU. Kein Drittlandtransfer.
Mailprovider (für Newsletter-Versand der Mandant:innen): wird je nach Mandanten-Konfiguration ausgewählt; aktuelle Liste auf Anfrage. Mit dem jeweiligen Provider besteht ein AVV gemäß Art. 28 DSGVO.
Schriften (Webfonts): auf der öffentlichen Website selbst gehostet auf unserem Server (u. a. „Inter"), ohne externes Font-CDN.
Bunny Fonts (BunnyWay d.o.o., Slowenien, EU): nur im Admin-Panel, wenn der GrapeJS-Editor geöffnet wird - die Vorschau lädt dort Schriften von fonts.bunny.net. Übermittelt wird dabei die IP-Adresse der angemeldeten Nutzerin bzw. des angemeldeten Nutzers; Bunny Fonts setzt nach eigener Angabe keine Cookies und protokolliert keine IP-Adressen. Verarbeitungsort EU.
AWS Bedrock (Amazon Web Services EMEA SARL, Luxemburg; Verarbeitung im EU-Inference-Profil in der Region eu-central-1, Frankfurt am Main): KI-Funktionen (siehe Punkt 4.1), sofern über den von web-crossing bereitgestellten zentralen Zugang genutzt. Verarbeitungsort EU, kein Drittlandtransfer. AVV verfügbar.
KI-Provider mit mandanteneigenem Key (OpenAI, Anthropic, Google Gemini): nur dann, wenn eine Mandantin / ein Mandant im Admin-Panel einen eigenen API-Key hinterlegt und die KI-Texthilfe aktiviert. Die Mandantin / der Mandant wählt und verantwortet diesen Anbieter selbst; Verarbeitung ggf. in den USA auf Basis von Standardvertragsklauseln (SCCs).
editor.unlayer.com (Unlayer Inc., USA): wird nur nachgeladen, wenn im Admin-Panel der Editor-Modus „Unlayer" für einen Newsletter aktiviert wird. Betroffen ist dabei die IP-Adresse der Person, die den Editor im Admin-Panel bedient - nicht die Daten von Newsletter-Empfänger:innen. Bilder werden über den mandanteneigenen Medien-Speicher hochgeladen, nicht in Unlayers eigener Speicherinfrastruktur.
Sentry (selbst gehostet auf sentry.web-crossing.com): technisches Fehler-Monitoring. Verarbeitungsort EU. Kein Drittlandtransfer.

8. Blacklist nach Widerspruch oder Bounce

Wenn eine E-Mail-Adresse sich abmeldet, einen Hard-Bounce auslöst oder als Spam markiert wird, tragen wir sie in eine Blacklist ein. Die Adresse wird gehasht gespeichert (kein Klartext); zusätzlich werden Quelle und Zeitpunkt vermerkt. Zweck: Verhinderung zukünftiger unerwünschter Kontaktaufnahme. Rechtsgrundlage: Art. 21 Abs. 3 DSGVO und Art. 6 Abs. 1 lit. f DSGVO.

9. Ihre Rechte

Sie haben jederzeit folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Recht auf Auskunft (Art. 15 DSGVO)
Recht auf Berichtigung (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO)
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruchsrecht (Art. 21 DSGVO)
Recht auf Beschwerde bei der österreichischen Datenschutzbehörde (www.dsb.gv.at)

Zur Geltendmachung Ihrer Rechte erreichen Sie uns unter info@web-crossing.com.

10. Abmeldung vom Newsletter

Jede über Newstool versendete E-Mail enthält einen eindeutig signierten Abmeldelink sowie einen RFC-8058-konformen List-Unsubscribe-Header für One-Click-Unsubscribe. Ein Klick darauf entfernt Sie unverzüglich aus dem aktiven Empfängerkreis. Zusätzlich werden Sie in die Blacklist aufgenommen (siehe Punkt 8), damit eine erneute Zusendung durch denselben Mandanten nicht versehentlich möglich ist.

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich Verarbeitungen, Gesetzeslage oder eingesetzte Dienste ändern. Maßgeblich ist die zum Zeitpunkt des Aufrufs verfügbare Version dieser Seite.