Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

• TOY GmbH
• Dr. Adolf-Schärf-Straße 1/2/24
• 2353 Guntramsdorf, Österreich
• UID-Nummer: ATU78882167
• E-Mail: support@tapradar.app
• Website: www.tapradar.app

Ein betrieblicher Datenschutzbeauftragter ist gesetzlich nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse; wir bearbeiten diese unverzüglich, spätestens jedoch innerhalb eines Monats ab Eingang.

2. Aufbau dieser Erklärung

Damit Sie sich rasch orientieren können, gliedert sich diese Datenschutzerklärung in einen allgemeinen Teil (Ziffern 1 bis 4), einen besonderen Teil, der die vier Funktionsbereiche der App sowie Standort- und Push-Daten im Detail beschreibt (Ziffern 5 bis 7), einen Teil zu Geschäftskunden, Zahlungen und Bewertungen (Ziffern 8 bis 12), einen Teil zu Website, Empfängern, Drittlandtransfer und Speicherdauer (Ziffern 13 bis 16) sowie einen Teil zu Ihren Rechten, Datensicherheit und sonstigen Hinweisen (Ziffern 17 bis 22). Ein Quellenverzeichnis mit amtlichen Fundstellen findet sich am Ende des Dokuments.

3. Allgemeine Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten unter Beachtung der Grundsätze der DSGVO, insbesondere der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit (Art. 5 DSGVO). Jede Verarbeitung personenbezogener Daten stützt sich auf mindestens eine der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung der betroffenen Person, insbesondere für die Freigabe von Standortdaten, den Erhalt von Push-Benachrichtigungen sowie die optionale Freunde- und Ranglistenfunktion
• Art. 6 Abs. 1 lit. b DSGVO – Erforderlichkeit zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen, etwa Bereitstellung der App-Funktionen Radar, Stempel, Karten und Home sowie Verwaltung von Abonnements
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung einer rechtlichen Verpflichtung, etwa steuer- und unternehmensrechtliche Aufbewahrungspflichten
• Art. 6 Abs. 1 lit. f DSGVO – Wahrung berechtigter Interessen, etwa Betrugs- und Missbrauchsprävention, IT-Sicherheit und Weiterentwicklung der Plattform, sofern diese nicht durch die Interessen oder Grundrechte der betroffenen Person überwogen werden

4. Übersicht: Wer verarbeitet was?

TapRadar verbindet zwei Nutzergruppen: Endkundinnen und Endkunden, die über die kostenlose App lokale Geschäfte entdecken und Stempel sammeln, sowie Geschäftskundinnen und Geschäftskunden, die über das kostenpflichtige Dashboard ihre Kundenbindung steuern. Beide Nutzergruppen erzeugen Daten, die teils ausschließlich von TOY GmbH, teils gemeinsam mit dem jeweiligen Vertragspartner verarbeitet werden. Die folgenden Ziffern 5 bis 12 beschreiben diese Datenflüsse im Detail, gegliedert nach den vier App-Bereichen sowie nach Standort-, Push-, Zahlungs- und Bewertungsdaten.

5.1 Radar – lokale Geschäfte entdecken

Im Bereich Radar zeigen wir Ihnen auf einer Karte TapRadar-Partnerbetriebe in Ihrer Nähe an. Sie können die Ansicht über Filter (Aktion, Gutschein, Belohnung, Top, Umkreis 500 Meter) sowie über Kategorien wie Café, Restaurant, Friseur oder Markt eingrenzen. Zu jedem Partnerbetrieb werden Öffnungszeiten, Bewertungen und ein Plan-Badge angezeigt, das den von diesem Betrieb gewählten Tarif (Bronze, Gold oder Platinum) kennzeichnet; dieses Badge betrifft ausschließlich den Geschäftskunden und stellt kein personenbezogenes Datum von Ihnen dar.

Zur Bereitstellung dieser Funktion verarbeiten wir Ihren Standort (siehe Ziffer 6), die von Ihnen gewählten Filter- und Kategorieeinstellungen sowie Ihre Interaktionen mit angezeigten Partnerbetrieben, etwa das Aufrufen eines Betriebsprofils. Diese Interaktionsdaten nutzen wir, um die Trefferanzeige zu verbessern und die Relevanz der angezeigten Partnerbetriebe zu erhöhen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO für die Standortfreigabe, Art. 6 Abs. 1 lit. b und lit. f DSGVO für die Filter-, Kategorie- und Interaktionsdaten.

5.2 Stempel – digitale Stempelkarten sammeln

Im Bereich Stempel können Sie durch Antippen eines NFC-Punkts oder alternativ durch Scannen eines QR-Codes am Kassentisch eines Partnerbetriebs automatisch einen digitalen Stempel erhalten. Ihr Fortschritt, etwa 7 von 10 Stempeln, wird unmittelbar angezeigt; bei Erreichen der erforderlichen Stempelanzahl können Sie die hinterlegte Belohnung, zum Beispiel einen Gratis-Kaffee oder einen Rabatt, einlösen. Für jeden Stempel erhalten Sie zusätzlich Punkte für Ihr Level im Bereich Home.

Wir verarbeiten hierzu Zeitpunkt und Ort jeder Stempelung, den betroffenen Partnerbetrieb, den aktuellen Stempelstand je Stempelkarte, eingelöste Belohnungen sowie den zugehörigen Einlösecode. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Zur Verifizierung, dass eine Stempelung tatsächlich vor Ort erfolgt ist, gleichen wir zusätzlich Ihren Gerätestandort ab; Näheres hierzu finden Sie in Ziffer 6.

5.3 Karten – digitale Brieftasche für bestehende Kundenkarten

Im Bereich Karten können Sie bereits bestehende Kundenkarten von Drittunternehmen, etwa von Billa, DM, H&M, Spar oder Hofer, digital in Ihrer TapRadar-Brieftasche hinterlegen, indem Sie den jeweiligen Barcode oder QR-Code einscannen oder manuell eingeben, und diesen anschließend an der Kasse vorzeigen. Die genannten Marken dienen ausschließlich als Beispiele für von Ihnen selbst gespeicherte Karten; TapRadar ist mit diesen Unternehmen nicht verbunden und steht mit ihnen in keinem Datenaustausch.

Die von Ihnen hinterlegten Karten- und Barcodedaten werden verschlüsselt gespeichert und ausschließlich zur Anzeige in Ihrer eigenen App verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, da Sie uns durch Anlegen der Karte gezielt mit der Speicherung beauftragen.

5.4 Home – Profil und Gamification

Im Bereich Home finden Sie Ihr Profil mit einem 20-stufigen Levelsystem von „Neuling" bis „Champion". Sie sammeln Punkte für gesetzte Stempel, abgegebene Bewertungen und eingeladene Freunde, verfolgen ein Wochenziel und profitieren von einem Streak-System, bei dem sieben aufeinanderfolgende aktive Tage einen Bonus auslösen. Zusätzlich können Sie Freundinnen und Freunde einladen und Ihren Fortschritt in einer Rangliste vergleichen.

Wir verarbeiten hierzu Ihren Punktestand, Ihr Level, den Zähler des Streak-Systems, Ihren Zielverlauf sowie – sofern Sie diese Funktion aktiv nutzen – die Liste der von Ihnen eingeladenen oder verbundenen Freunde und deren für Sie sichtbare, aggregierte Fortschrittsdaten, soweit diese Personen der gegenseitigen Sichtbarkeit ebenfalls zugestimmt haben. Rechtsgrundlage für die Kernfunktionen (Level, Punkte, Streak, Wochenziel): Art. 6 Abs. 1 lit. b DSGVO. Rechtsgrundlage für die optionale Freunde- und Ranglistenfunktion: Art. 6 Abs. 1 lit. a DSGVO, da hierdurch Daten gegenüber weiteren Personen sichtbar werden. Level, Punkte und Rangplätze haben keinen Geldwert und sind nicht übertragbar.

6. Standort- und GPS-Daten im Detail

TapRadar verwendet Standortdaten Ihres Endgeräts für zwei getrennte Zwecke: (a) die Radar-Funktion zur Anzeige von Partnerbetrieben in Ihrer Nähe und (b) die Verifizierung von Kundenbesuchen, indem der Standort Ihres Geräts zum Zeitpunkt einer NFC- oder QR-Stempelung mit dem hinterlegten Standort des Partnerbetriebs abgeglichen wird, um eine Stempelung ohne physische Anwesenheit zu verhindern.

Je nach Betriebssystem können Sie die Standortfreigabe granular steuern, etwa mit den Optionen „immer", „nur bei Nutzung der App" oder „einmalig". Für die Kernfunktion Stempel-Verifizierung genügt eine Freigabe während der Nutzung der App; eine dauerhafte Standortfreigabe im Hintergrund ist nur erforderlich, wenn Sie die Proximity-Werbung eines Platinum-Partnerbetriebs nutzen möchten (siehe Ziffer 7.2). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit den Berechtigungseinstellungen Ihres Betriebssystems, hilfsweise unser berechtigtes Interesse an der Betrugsprävention gemäß Art. 6 Abs. 1 lit. f DSGVO. Sie können die Standortfreigabe jederzeit über die Einstellungen Ihres Geräts widerrufen; einzelne Funktionen, insbesondere die Stempelverifizierung und die Proximity-Werbung, stehen dann nicht oder nur eingeschränkt zur Verfügung.

7.1 Service-Benachrichtigungen von TapRadar

Wir versenden Service-Push-Nachrichten in eigener Verantwortung, etwa zur Kontosicherheit, zu wesentlichen Änderungen der Plattform oder zur Bestätigung von Vorgängen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

7.2 Marketing- und Kampagnen-Push von Geschäftskunden

Geschäftskunden können über das Dashboard Kampagnen und Push-Benachrichtigungen an Endkundinnen und Endkunden versenden, die entweder bereits Kunde des jeweiligen Partnerbetriebs sind (mindestens ein gesetzter Stempel) oder sich – im Rahmen der ausschließlich im Platinum-Tarif verfügbaren Proximity-Werbung – in dessen Nähe befinden und hierfür eine Standortfreigabe erteilt haben. Push-Benachrichtigungen sind je nach Tarif auf eine bestimmte Frequenz begrenzt (Gold: bis zu 2 Bild-/PDF-Kampagnen pro Monat, keine Push-Benachrichtigungen; Platinum: bis zu 4 Kampagnen pro Monat zzgl. Push-Benachrichtigungen, Proximity-Auslösung, Kampagnen-Countdown und Retargeting innerhalb von 30 Tagen nach Ihrem letzten Besuch).

Sie können den Erhalt von Marketing- und Kampagnen-Push jederzeit vollständig oder je Partnerbetrieb über die Geräteeinstellungen oder die In-App-Einstellungen deaktivieren, ohne dass Ihnen hierdurch der Zugang zu den Kernfunktionen der App verwehrt wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 174 TKG 2021.

8. Registrierung und Nutzerkonto (Endkundinnen und Endkunden)

Bei der Registrierung in der TapRadar-App erheben wir E-Mail-Adresse, Passwort (verschlüsselt gespeichert), gewählten Anzeigenamen sowie optionale Profilangaben. Zweck: Einrichtung, Verwaltung und Absicherung Ihres Nutzerkontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Registrierung, Konto und Unternehmensdaten (Geschäftskundinnen und Geschäftskunden)

Für Geschäftskunden, die einen Bronze-, Gold- oder Platinum-Tarif abonnieren, verarbeiten wir zusätzlich: Firmenname, Rechtsform, Anschrift des Standorts, UID-Nummer, Ansprechpartner (Name, E-Mail, Telefonnummer), Öffnungszeiten, Kategorie und Beschreibung des Betriebs sowie hochgeladene Bild- und PDF-Werbematerialien und Kampagneninhalte. Zweck: Vertragserfüllung, Bereitstellung des Geschäftskunden-Dashboards, Rechnungsstellung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

10. Mitarbeiter-PIN-System

Geschäftskunden können je nach Tarif bis zu 15 (Platinum), 5 (Gold) bzw. 1 (Bronze) Mitarbeiterzugänge mit individuellem PIN-Code einrichten. Wir verarbeiten hierzu vom Geschäftskunden hinterlegte Mitarbeiter-Kürzel oder -Namen sowie ein automatisiert geführtes Aktivitätsprotokoll der über den jeweiligen PIN vorgenommenen Stempelungen und Einlösungen. Für die Rechtmäßigkeit dieser Verarbeitung gegenüber den betroffenen Mitarbeitenden ist der jeweilige Geschäftskunde als Arbeitgeber verantwortlich; TOY GmbH stellt insoweit die technische Infrastruktur zur Verfügung. Rechtsgrundlage aufseiten von TOY GmbH: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

11. Zahlungsabwicklung

Die Zahlungsabwicklung für kostenpflichtige Tarife erfolgt über unseren Zahlungsdienstleister Stripe. Wir selbst speichern keine vollständigen Zahlungskartendaten; diese werden ausschließlich von Stripe verarbeitet. Wir erhalten von Stripe Bestätigungen über den Zahlungsstatus und Rechnungsbeträge sowie gegebenenfalls die letzten vier Ziffern des verwendeten Zahlungsmittels zu Dokumentations- und Abrechnungszwecken. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO. Nähere Informationen zur Datenverarbeitung durch Stripe entnehmen Sie der Datenschutzerklärung von Stripe unter stripe.com/privacy.

12. Bewertungen

Wenn Sie als Endkundin oder Endkunde eine Bewertung zu einem Partnerbetrieb abgeben, verarbeiten wir den Bewertungstext, die Sternebewertung, den Zeitpunkt sowie den Nachweis eines verifizierten Besuchs (Stempelnachweis). Bewertungen werden dem Partnerbetrieb sowie anderen App-Nutzerinnen und -Nutzern mit Ihrem Anzeigenamen angezeigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO. Wird eine Bewertung als rechtswidrig gemeldet, etwa weil sie beleidigend ist oder erkennbar auf keinem tatsächlichen Besuch beruht, prüfen wir die Meldung und die betroffene Bewertung im Rahmen unseres Melde- und Prüfverfahrens und teilen der meldenden sowie der bewertenden Person das Ergebnis mit.

13. Nutzung der Website, Server-Logfiles und Cookies

Beim Aufruf unserer Website www.tapradar.app verarbeitet unser Hosting-Anbieter automatisch technische Zugriffsdaten (IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, verwendeter Browser und Betriebssystem, Referrer-URL) in Server-Logfiles. Zweck: Gewährleistung eines störungsfreien Betriebs und der IT-Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Website verwendet ausschließlich technisch notwendige Cookies, die für den Betrieb der Seite erforderlich sind; auf Tracking- oder Marketing-Cookies wird derzeit verzichtet. Sollte sich dies künftig ändern, werden wir Sie über ein Cookie-Consent-Banner um Ihre Einwilligung ersuchen.

14. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies zur Leistungserbringung erforderlich ist oder wir gesetzlich dazu verpflichtet sind. Zu unseren Auftragsverarbeitern bzw. Empfängern zählen insbesondere:

• Hosting- und Infrastrukturdienstleister (Server- und Datenbankbetrieb)
• Stripe (Zahlungsabwicklung)
• Anbieter von Push-Benachrichtigungsdiensten (z. B. Apple Push Notification Service, Firebase Cloud Messaging) für Service- und Kampagnen-Push
• E-Mail-Versanddienstleister (Transaktions- und Servicekommunikation)
• IT-Dienstleister im Rahmen von Wartung und Support

Mit allen Auftragsverarbeitern haben wir, soweit gesetzlich erforderlich, Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen. Sofern ein Partnerbetrieb (Geschäftskunde) Ihre Stempel-, Besuchs- oder Kampagnendaten im Rahmen der Vertragsdurchführung im Dashboard einsieht, handelt dieser insoweit als eigenständig Verantwortlicher bzw., im Fall von Push-Kampagnen, als gemeinsam Verantwortlicher gemäß Ziffer 7.2 dieser Erklärung.

15. Übermittlung in Drittländer

Soweit einzelne der oben genannten Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeiten, was insbesondere bestimmte Cloud- und Push-Dienste US-amerikanischer Anbieter betreffen kann, stellen wir durch geeignete Garantien sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist, insbesondere durch den Abschluss von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO oder die Zertifizierung des Empfängers nach dem EU-U.S. Data Privacy Framework, soweit einschlägig.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist:

• Kontodaten (Endkunden und Geschäftskunden): für die Dauer des Bestehens des Nutzerkontos bzw. Vertragsverhältnisses; nach Löschung des Kontos werden Daten grundsätzlich binnen 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Stempel-, Belohnungs- und Einlösedaten: für die Dauer des Kontos beim jeweiligen Partnerbetrieb; nach Kündigung des Geschäftskunden-Vertrags werden zugehörige Stempelkarten als inaktiv gekennzeichnet und nach 12 Monaten gelöscht
• Karten-Wallet-Daten (Ziffer 5.3): bis zur eigenständigen Löschung durch Sie oder bis zur Löschung Ihres Kontos
• Gamification-Daten (Level, Punkte, Streak, Wochenziel): für die Dauer des Bestehens Ihres Kontos
• Freundesverknüpfungen und Rangliste: bis zur Entfernung durch Sie oder bis zur Löschung Ihres Kontos
• Rechnungs- und Zahlungsdaten: gemäß § 132 BAO und § 212 UGB 7 Jahre
• Push-Zustell- und Interaktionsprotokolle: 12 Monate
• Server-Logfiles: in der Regel 30 bis 90 Tage
• Standortdaten zur Stempelverifizierung: keine dauerhafte Speicherung; Verarbeitung nur für die Dauer der Verifizierung, anschließend Reduktion auf ein Ereignisprotokoll (Zeitpunkt, Ergebnis)
• Support-Kommunikation: 3 Jahre ab Abschluss des Vorgangs, sofern keine längere Aufbewahrung gesetzlich geboten ist

17. Ihre Rechte als betroffene Person

Ihnen stehen nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an support@tapradar.app. Wir werden Ihr Anliegen unverzüglich, spätestens jedoch innerhalb eines Monats, bearbeiten; diese Frist kann bei komplexen oder zahlreichen Anfragen um weitere zwei Monate verlängert werden, worüber wir Sie informieren.

18. Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um Ihre Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen, darunter Verschlüsselung der Datenübertragung (TLS), Verschlüsselung besonders sensibler gespeicherter Daten wie Passwörter und Karten-Wallet-Daten, Zugriffsbeschränkungen nach dem Prinzip der geringsten Berechtigung, regelmäßige Sicherheitsupdates sowie Protokollierung sicherheitsrelevanter Ereignisse. Unsere Sicherheitsmaßnahmen werden fortlaufend an den Stand der Technik angepasst.

19. Keine automatisierte Entscheidungsfindung, eingeschränktes Profiling

Level, Punkte und Ranglisten innerhalb der App beruhen auf automatisierten, aber vollständig transparenten und nachvollziehbaren Regeln ohne rechtliche oder ähnlich erhebliche Wirkung im Sinne des Art. 22 DSGVO. Im Rahmen der Proximity-Werbung (Ziffer 7.2) findet eine begrenzte, standortbasierte Profilbildung statt, um Ihnen Benachrichtigungen von Partnerbetrieben in Ihrer Nähe anzuzeigen; diese Verarbeitung beruht ausschließlich auf Ihrer Einwilligung und hat keine rechtliche oder vergleichbar erhebliche Wirkung im Sinne des Art. 22 DSGVO. Eine automatisierte Entscheidungsfindung mit Rechtswirkung gegenüber Nutzerinnen und Nutzern findet nicht statt.

20. Schutz Minderjähriger

TapRadar richtet sich nicht gezielt an Kinder unter 14 Jahren. Sollten wir feststellen, dass ohne Einwilligung eines Erziehungsberechtigten personenbezogene Daten eines Kindes unter dem nach nationalem Recht maßgeblichen Mindestalter erhoben wurden, werden wir diese Daten unverzüglich löschen.

21. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder neue Funktionen der Plattform anzupassen. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs bzw. Ihrer Nutzung aktuelle, unter www.tapradar.app/datenschutz veröffentlichte Fassung. Bei wesentlichen Änderungen, die auf einer geänderten Rechtsgrundlage wie einer erstmaligen Einwilligung beruhen, holen wir diese Einwilligung erneut ein.

22. Kontakt und Beschwerderecht

Bei Fragen zum Datenschutz erreichen Sie uns unter support@tapradar.app. Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht zu, Beschwerde bei einer Aufsichtsbehörde einzulegen, insbesondere bei der für Österreich zuständigen Behörde:

• Österreichische Datenschutzbehörde
• Barichgasse 40-42, 1030 Wien, Österreich
• Website: www.dsb.gv.at

Quellenverzeichnis

Amtliche EU- und österreichische Fundstellen, die dieser Datenschutzerklärung zugrunde liegen:

• Datenschutz-Grundverordnung (DSGVO / GDPR), Verordnung (EU) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Österreichische Datenschutzbehörde: https://www.dsb.gv.at/