Datenschutzerklärung

Verantwortlicher

Unter dieser Adresse erreichen Sie uns auch für alle Fragen zum Datenschutz, auf Deutsch oder Englisch.

Geltungsbereich und Rollen

LostFoundBot ist eine Software für Fundbüros und Fundstellen von Organisationen, etwa Hotels, Veranstaltungsorte, Verkehrsbetriebe, Krankenhäuser oder Hochschulen. Dabei gibt es zwei Rollen:

• Wir sind verantwortlich für unsere Website, die Benutzerkonten und die Anmeldung, Abonnements und Zahlungen, die Zustimmung zu AGB und AVV, unsere E-Mails an Kunden, das Kontaktformular und den sicheren Betrieb. Die Abschnitte „Website und Hosting“ bis „Cookies und lokale Speicherung“ beschreiben diese Verarbeitung.
• Die jeweilige Organisation ist verantwortlich für Fundstücke, Suchanfragen, Abholcodes, Suchaufträge und Abholungen, einschließlich der Dokumentation bei der Übergabe. Das gilt für das Such-Widget auf ihrer Website, ihre Suchseite unter www.lostfoundbot.com/suche/…, die eingebettete Suchseite unter www.lostfoundbot.com/embed/…, die Abholseiten und die Ausgabe im Fundbüro. Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Weisung der Organisation. Maßgeblich sind die Datenschutzhinweise der Organisation. Was die Plattform dabei technisch tut, beschreiben die Abschnitte „Daten im Auftrag von Organisationen“, „KI-Funktionen“ und „Abgleich und Entscheidung“.

Wenn Sie eine Frage zu einer Suche, einem Abholcode oder einem Fundstück haben, wenden Sie sich bitte zuerst an die Organisation. Erreicht uns eine solche Anfrage, leiten wir sie an die Organisation weiter.

Website und Hosting

Beim Aufruf unserer Website und des Dashboards werden technisch IP-Adresse, Zeitpunkt, aufgerufene Adresse, verweisende Seite, Browser- und Geräteangaben sowie Fehler- und Sicherheitsinformationen verarbeitet. Für das Widget und die Suchseiten einer Organisation gilt der Abschnitt „Daten im Auftrag von Organisationen“.

Die Anwendung läuft bei Vercel mit der Ausführungsregion Frankfurt am Main. Vercel liefert Inhalte über ein weltweites Netz aus und erstellt dabei Protokolle. Deren Aufbewahrung richtet sich nach dem Vertrag mit Vercel.

Schriften liefern wir selbst von www.lostfoundbot.com aus, auch die Google-Schriften, die Organisationen für ihr Widget wählen können. Eine Google-Schrift ruft unser Server einmal bei Google ab und speichert sie in unserem Speicher bei Cloudflare R2. Das ist eine Anfrage von Server zu Server: Google erhält dabei nur die Angaben zur angefragten Schrift und die IP-Adresse unseres Servers, keine Daten von Personen, die unsere Website, das Dashboard oder ein Widget aufrufen. Ihr Browser nimmt für Schriften keine Verbindung zu Google auf. Wir setzen keine Analyse-, Werbe- oder Social-Media-Dienste ein. Zu Google siehe außerdem „Konto und Anmeldung“ und „Google Maps im Dashboard“.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein funktionsfähiger und sicherer Dienst, einschließlich Fehleranalyse und Schutz vor Missbrauch.

Konto und Anmeldung

Für ein Konto verarbeiten wir Ihre E-Mail-Adresse, freiwillig Vor- und Nachname, Ihre Sprache und Darstellung sowie die Zeitpunkte von Registrierung, E-Mail-Bestätigung und letzter Anmeldung. Ihr Passwort speichern wir nur als Hash, nicht im Klartext.

Bei jeder Anmeldung legen wir eine Sitzung an. Dazu speichern wir einen Hash der Sitzungskennung, Ihre IP-Adresse und die Browserkennung (User-Agent), um Sitzungen zuzuordnen und Sicherheitsvorfälle nachvollziehen zu können.

Links zur Bestätigung der E-Mail-Adresse (gültig 24 Stunden), zum Zurücksetzen des Passworts (1 Stunde) und für Team-Einladungen (7 Tage) enthalten eine Zufallskennung. Davon speichern wir nur einen Hash.

Anmeldung mit Google: Wenn Sie sich mit Google anmelden oder registrieren, erhalten wir von Google Ihre Google-Kennung, Ihre E-Mail-Adresse und ob sie bestätigt ist, Vor- und Nachname sowie die Adresse Ihres Profilbilds. Das Profilbild lädt Ihr Browser im Kontomenü direkt von Google. Google erhält dabei Ihre IP-Adresse. Google verarbeitet den Anmeldevorgang auch nach eigenen Bedingungen. Die Anmeldung mit E-Mail und Passwort bleibt möglich.

Einladungen: Lädt eine Organisation Sie in ihr Team ein, erhalten wir Ihre E-Mail-Adresse und die vorgesehene Rolle von der einladenden Person.

Ohne E-Mail-Adresse und Passwort oder Google-Anmeldung kann kein Konto angelegt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartner sind. Handeln Sie für eine Organisation, stützen wir die Kontoverwaltung auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Durchführung des Vertrags mit der Organisation. Sitzungs- und Sicherheitsdaten verarbeiten wir nach Art. 6 Abs. 1 lit. f DSGVO zum Schutz der Konten.

Organisation und Zahlung

Zu einer Organisation speichern wir Name, Kurzname, Website und freiwillig Adresse, Telefonnummer, E-Mail-Adresse des Fundbüros, Logo, Abholadresse, Abholzeiten, Kontaktangaben und die Gestaltung des Widgets. Zu Teammitgliedern speichern wir E-Mail-Adresse, Name, Profilbild-Adresse, Rolle, Berechtigungen und die Zeitpunkte von Einladung und Beitritt.

Eigene Schriften: Lädt jemand für eine Organisation eine Schriftdatei für das Widget hoch, sendet der Browser die Datei direkt an unseren Speicher bei Cloudflare R2. Wir prüfen, ob es eine Schriftdatei ist, und liefern sie ohne Anmeldung von www.lostfoundbot.com an jeden Browser aus, der das Widget der Organisation anzeigt.

Zahlungen wickelt Mollie B.V., Amsterdam, Niederlande, ab. Wir übermitteln dazu den Namen der Organisation, die E-Mail-Adresse der bestellenden Person und eine interne Kennung der Organisation. Karten- oder Kontodaten geben Sie direkt auf der Bezahlseite von Mollie ein; wir speichern sie nicht. Wir speichern die Kennungen von Mollie zu Kunde, Mandat, Abonnement und Zahlung sowie Betrag, Status und gegebenenfalls den Grund einer fehlgeschlagenen Zahlung. Mollie kann Daten auch in eigener Verantwortung verarbeiten, etwa für gesetzliche Pflichten und zur Betrugsbekämpfung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Ansprechpersonen einer Organisation Art. 6 Abs. 1 lit. f DSGVO (Durchführung des Vertrags). Für die steuerliche Aufbewahrung gilt Art. 6 Abs. 1 lit. c DSGVO.

Zustimmung zu AGB und AVV: Stimmt jemand für eine Organisation den AGB oder dem Auftragsverarbeitungsvertrag zu, speichern wir Organisation, Benutzerkonto der zustimmenden Person, Dokument, Fassung, wo die Zustimmung gegeben wurde (beim Anlegen der Organisation, im Dashboard, bei der Buchung eines Plans oder beim Kauf eines Zusatzkontingents) und den Zeitpunkt. IP-Adresse und Browserkennung speichern wir dazu nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, nachweisen zu können, welche Fassung vereinbart wurde.

E-Mails und Kontaktformular

Wir versenden E-Mails über Resend (Plus Five Five, Inc., USA). Dazu gehören die Bestätigung der E-Mail-Adresse, das Zurücksetzen des Passworts, Team-Einladungen, Nachrichten zu Testzeitraum, Abonnement und Zahlungen an Inhaber und Administratoren einer Organisation sowie Nachrichten aus dem Kontaktformular an uns. Resend verarbeitet Empfänger, Betreff, Inhalt und Zustellinformationen; dabei findet auch Verarbeitung in den USA statt. Zeigt Ihr E-Mail-Programm Bilder an, lädt es das Logo von www.lostfoundbot.com oder, wenn die Organisation eines hinterlegt hat, deren Logo von der dort angegebenen Adresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Ansprechpersonen einer Organisation Art. 6 Abs. 1 lit. f DSGVO.

Wenn Sie uns an hallo@lostfoundbot.com schreiben, verarbeiten wir Ihre Kontaktangaben und den Inhalt, um Ihr Anliegen zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO).

Kontaktformular: Über das Kontaktformular senden Sie uns ein Thema, Ihre Nachricht, Ihre E-Mail-Adresse und, wenn Sie möchten, Ihren Namen; dazu übermittelt die Seite ihre Sprache. Die Anwendung schickt diese Angaben über Resend als E-Mail an hallo@lostfoundbot.com, mit Ihrer E-Mail-Adresse als Antwortadresse. In ihrer Datenbank speichert sie die Nachricht nicht. Die E-Mail liegt in unserem Postfach, solange es für Ihr Anliegen erforderlich ist. Das Formular ist auch der Meldeweg für rechtswidrige Inhalte (siehe Impressum).

Zum Schutz vor Missbrauch zählen wir 10 Minuten lang, wie viele Nachrichten von derselben IP-Adresse kommen. Dafür verwenden wir nicht die IP-Adresse selbst, sondern einen daraus abgeleiteten Wert, der nur im Arbeitsspeicher des Servers liegt. Scheitert der Versand oder kommen zu viele Nachrichten, vermerken wir das im Fehlerprotokoll mit dem gewählten Thema, aber ohne Name, E-Mail-Adresse und Nachricht.

Rechtsgrundlage für das Kontaktformular ist Art. 6 Abs. 1 lit. b oder f DSGVO, bei Meldungen rechtswidriger Inhalte Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 DSA. Unser berechtigtes Interesse ist, Anfragen und Meldungen zu beantworten und den Dienst vor Missbrauch zu schützen.

Fehlerprotokoll

Tritt ein Fehler auf, speichern wir Fehlercode, Zeitpunkt, aufgerufenen Pfad ohne Parameter, Browserkennung, Fehlermeldung und technischen Kontext. Bei angemeldeten Personen können Konto-Kennung, E-Mail-Adresse und Organisation dazugehören. Der technische Kontext kann in Einzelfällen Angaben aus dem betroffenen Vorgang enthalten. IP-Adressen speichert das Fehlerprotokoll nicht. Einträge löschen wir nach 90 Tagen (siehe „Speicherdauer“). Für Fehler im Widget und auf den Suchseiten gilt der Abschnitt „Daten im Auftrag von Organisationen“.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Fehler zu finden und zu beheben und den Dienst vor Missbrauch zu schützen.

Google Maps im Dashboard

Beim Anlegen oder Bearbeiten eines Fundstücks kann das Dashboard eine Karte mit Adresssuche von Google Maps laden. Ist sie aktiv, lädt Ihr Browser beim Öffnen dieser Seiten Programmcode und Kartendaten von Google. Google erhält dabei Ihre IP-Adresse, Browserangaben und Ihre Eingaben im Adressfeld; dabei findet auch Verarbeitung in den USA statt. Die gewählte Adresse und ihre Koordinaten speichern wir.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine schnelle und genaue Adresseingabe.

Cookies und lokale Speicherung

• Name

  __lfb_session

  Art

  Cookie

  Zweck

  Hält Sie angemeldet. Enthält eine Zufallskennung.

  Dauer

  30 Tage ab der Anmeldung; wird beim Abmelden gelöscht

• Name

  __lfb_oauth_return

  Art

  Cookie

  Zweck

  Merkt die Seite, zu der Sie nach der Google-Anmeldung zurückkehren.

  Dauer

  10 Minuten

• Name

  oauth2:<Kennung>

  Art

  Cookie

  Zweck

  Sichert den Anmeldevorgang mit Google ab.

  Dauer

  5 Minuten

• Name

  __lfb_legal_prompt

  Art

  Cookie

  Zweck

  Merkt, dass Sie den Hinweis zu AGB und AVV im Dashboard vorerst ausgeblendet haben. Enthält die Kennung der Organisation und die Fassungen der Dokumente. Wird nur gesetzt, wenn Sie „Vorerst ausblenden“ wählen.

  Dauer

  bis Sie den Browser schließen

• Name

  theme

  Art

  Lokaler Speicher

  Zweck

  Helle oder dunkle Darstellung

  Dauer

  bis Sie ihn im Browser löschen

• Name

  preferredLanguage, i18nextLng

  Art

  Lokaler Speicher

  Zweck

  Gewählte Sprache

  Dauer

  bis Sie ihn im Browser löschen

• Name

  lfb:handover-camera:scan, lfb:handover-camera:document

  Art

  Lokaler Speicher

  Zweck

  Merkt, welche Kamera an der Ausgabe für den QR-Code und für Ausweisfotos gewählt wurde. Enthält die Kennung, die der Browser dieser Kamera für diese Website gibt.

  Dauer

  bis Sie ihn im Browser löschen

• Name

  lfb:intro

  Art

  Sitzungsspeicher

  Zweck

  Merkt, dass die Logo-Animation in diesem Tab bereits lief

  Dauer

  bis Sie den Tab schließen

Die Cookies dienen der Anmeldung und merken, ob Sie den Hinweis zu AGB und AVV ausgeblendet haben. Die Einträge im Browser-Speicher merken Ihre Einstellungen, die gewählte Kamera und den Stand der Logo-Animation; sie liest nur die Website selbst. Wir verwenden keine Cookies oder vergleichbaren Techniken für Statistik, Werbung oder Tracking. Eine Einwilligung fragen wir nicht ab. Rechtsgrundlagen sind § 165 Abs. 3 TKG 2021 und Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine funktionierende Anmeldung und eine Darstellung nach Ihren Einstellungen.

Das Such-Widget auf Websites von Organisationen, die Suchseiten und die eingebettete Suchseite setzen keine Cookies und speichern nichts in Ihrem Browser.

Daten im Auftrag von Organisationen

Für die Daten in diesem Abschnitt ist die Organisation verantwortlich, deren Widget, Suchseite oder Dashboard verwendet wird. Sie legt Zwecke und Rechtsgrundlagen fest. Wir verarbeiten die Daten nur, um LostFoundBot für diese Organisation bereitzustellen.

Fundstücke: Mitarbeitende erfassen Fundstücke mit Titel, Beschreibung, Kategorie, Farbe, Material, Marke, Wert, Fundort, Funddatum, Fotos und Kontaktangaben der Fundstelle. Fundstücke und Fotos können Angaben zu Personen enthalten, etwa einen Namen auf einem Ausweis, im Einzelfall auch Gesundheitsdaten, etwa bei Medikamenten. Fotos liegen bei Cloudflare R2. Die Anwendung gibt keine öffentlichen Links zu Fotos heraus. Sie zeigt ein Foto erst, nachdem sie geprüft hat, dass die angemeldete Person zur jeweiligen Organisation gehört.

Laden des Widgets: Auf der Website einer Organisation und auf ihren Suchseiten ruft Ihr Browser beim Seitenaufruf Programmcode, Einstellungen und in der Regel Schriftarten von www.lostfoundbot.com ab. Dabei werden Ihre IP-Adresse, Browserangaben und die aufrufende Website übermittelt. Schriftarten lädt Ihr Browser nur von www.lostfoundbot.com, auch Google-Schriften und Schriftdateien, die die Organisation hochgeladen hat, nie von Google (siehe „Website und Hosting“). Ein Logo, das die Organisation hinterlegt hat, lädt der Browser von der dort angegebenen Adresse. Um Missbrauch zu begrenzen, zählen wir Anfragen je IP-Adresse; dieser Zähler liegt nur im Arbeitsspeicher des Servers und wird nicht in der Datenbank gespeichert. Tritt ein Fehler auf, speichern wir ihn mit der Kennung der Organisation, Pfad und Browserkennung, aber ohne Ihre Eingaben und ohne Ihre E-Mail-Adresse. Damit die Organisation im Dashboard prüfen kann, ob das Widget auf ihrer Website eingebunden ist, speichern wir außerdem, auf welcher Website das Widget zuletzt geladen wurde und wann: nur den Namen der Website, etwa www.beispiel.at, ohne Pfad, ohne IP-Adresse und ohne Angaben zu Ihnen, höchstens 50 Websites je Organisation. Zusätzlich entstehen die Protokolle von Vercel (siehe „Website und Hosting“).

Eingebettete Suchseite: Bindet die Organisation die Suche als Rahmen (iframe) in ihre Website ein, lädt Ihr Browser die Seite www.lostfoundbot.com/embed/… und darin dasselbe Widget wie oben. Auch dabei kommt alles von www.lostfoundbot.com, außer einem Logo der Organisation. Die Seite teilt der Website, in die sie eingebettet ist, nur ihre Höhe und die Kennung der Organisation mit, damit sich der Rahmen anpasst.

Plugins für Website-Systeme: Nutzt die Organisation eines unserer Plugins, etwa für WordPress, TYPO3 oder Shopware, fügt das Plugin nur das Skript von www.lostfoundbot.com in ihre Seiten ein; Ihr Browser lädt das Widget dann wie oben beschrieben. Das Plugin speichert im Website-System der Organisation keine personenbezogenen Daten, nur Einstellungen dazu, ob und wo das Widget erscheint, und sendet selbst keine Daten an uns.

Logo von LostFoundBot: Je nach Plan der Organisation zeigt das Widget unser Logo mit einem Link zu www.lostfoundbot.com. Das Logo ist Teil des Programmcodes und wird nicht gesondert geladen. Erst wenn Sie darauf klicken, öffnet sich unsere Website in einem neuen Tab; dafür gilt „Website und Hosting“.

Suche: Ihre Beschreibung und im Chat Ihre Antworten übermitteln wir zum Abgleich an OpenAI (siehe „KI-Funktionen“). Das ungefähre Verlustdatum nutzen wir, um infrage kommende Fundstücke vorab auszuwählen. Im Chat stellt der KI-Such-Assistent mindestens zwei Rückfragen, bevor er meldet, dass er nichts Passendes gefunden hat. Die Rückfragen betreffen den Gegenstand und die Umstände des Verlusts, etwa Zeit, Ort und Merkmale. Solange Sie keine E-Mail-Adresse angeben, speichern wir den Inhalt Ihrer Suche nicht in unserer Datenbank. Der Chatverlauf bleibt in Ihrem Browserfenster und wird mit jeder Nachricht erneut gesendet, höchstens die letzten 24 Nachrichten. Jede Antwort des Assistenten trägt eine Signatur, an der wir später erkennen, welche Rückfragen tatsächlich von uns stammen.

Abholcode: Findet der Abgleich einen möglichen Treffer, können Sie Ihre E-Mail-Adresse angeben. Wir speichern dann eine Abholanfrage mit Ihrer E-Mail-Adresse, Ihrer Beschreibung, dem Abholcode, dem Status und dem möglichen Fundstück. Sie erhalten im Namen der Organisation eine E-Mail mit Abholcode, QR-Code, Titel, Farbe, Kategorie und Funddatum des Gegenstands sowie Abholadresse und Abholzeiten. Die Seiten, auf die der Link und der QR-Code in dieser E-Mail führen, zeigen jeder Person mit dem Link Titel, Farbe, Kategorie, Funddatum, Status, Abholcode sowie die Zeitpunkte von Anfrage und Abholung.

Suchauftrag: Gibt es keinen Treffer oder ist der Abgleich gerade nicht möglich, können Sie einen Suchauftrag anlegen, in der Standardfassung des Widgets über „Ja, weitersuchen“. Ein fester Satz direkt davor nennt, was wir bis wann speichern und welche Zwischenstand-E-Mails folgen; welche das sind, legt die Organisation fest. Wir speichern dann Ihre E-Mail-Adresse, Ihre Beschreibung, das Verlustdatum, einen angegebenen Verlustort und die Sprache. Aus dem Chat speichern wir Ihre Nachrichten und, wenn die Organisation der aktuellen Fassung des Auftragsverarbeitungsvertrags zugestimmt hat, auch die Rückfragen des Assistenten mit Ihren Antworten. E-Mail-Adressen, Telefonnummern, IBAN und Ziffernfolgen ab sechs Stellen in Ihren Nachrichten ersetzen wir vorher durch „[entfernt]“. Sie erhalten eine Bestätigung per E-Mail. Ein Suchauftrag läuft so lange, wie der Plan der Organisation vorsieht, derzeit 60 Tage, auch wenn ihn ein Teammitglied angelegt hat.

Abgleich eines Suchauftrags: Wir gleichen Ihren Suchauftrag mit neu erfassten und mit bereits gespeicherten, noch nicht abgeholten Fundstücken derselben Organisation ab, nie mit denen anderer Organisationen, und speichern je Fundstück die Bewertung der KI mit Begründung. Bei einem eindeutigen Treffer (siehe „Abgleich und Entscheidung“) legen wir eine Abholanfrage an und schicken Ihnen eine E-Mail mit Abholcode, sofern die Organisation diese E-Mail nicht abgeschaltet hat. Andere mögliche Treffer prüft das Team der Organisation: Mitglieder mit der Berechtigung für Suchaufträge sehen dazu Ihre Beschreibung und Ihre Angaben aus dem Gespräch, Ihre E-Mail-Adresse nur gekürzt. Das Team kann Ihnen einen Abholcode schicken, Kontrollfragen stellen oder den möglichen Treffer verwerfen. Schickt es den Abholcode ohne bestandene Kontrollfragen, enthalten die E-Mail und die Abholseite keine Angaben zum Gegenstand; das Team zeigt ihn Ihnen bei der Abholung. Wie ein Abholcode aus einem Suchauftrag entstanden ist und wer ihn geschickt hat, hält ein Protokolleintrag an der Abholanfrage fest.

Kontrollfragen: Stellt das Team Kontrollfragen, erhalten Sie eine E-Mail mit einem Link, ohne die Fragen und ohne Angaben zum Gegenstand. Auf der Seite beantworten Sie einmal 3 bis 8 Fragen zum Gegenstand mit „Ja“, „Nein“ oder „Weiß nicht“. Der Link gilt 7 Tage, höchstens bis zum Ende des Suchauftrags, mindestens aber 24 Stunden. Die Fragen schlägt eine KI aus den Angaben zum Fundstück vor; das Team wählt und bearbeitet sie. Wir speichern die Fragen, die erwarteten Antworten, Ihre Antworten, die Zahl der abweichenden Antworten und den Zeitpunkt. Ist höchstens eine Antwort falsch oder „Weiß nicht“, erhalten Sie den Abholcode per E-Mail, sofern der Gegenstand noch verfügbar ist und keine andere Abholanfrage dafür offen ist. Ist eine offen, meldet sich das Team bei Ihnen; ist der Gegenstand nicht mehr verfügbar, bittet Sie die Seite, sich an die Organisation zu wenden. Sind mehr Antworten falsch oder „Weiß nicht“, zeigt die Seite Abholadresse und Abholzeiten, und Sie erhalten diese Angaben auch per E-Mail, wenn die Organisation das nicht abgeschaltet hat. Welche Antworten nicht gepasst haben, zeigen wir nicht an. Das Team kann Ihnen den Abholcode trotzdem schicken.

Zwischenstände und Verwaltung: Solange nichts Passendes gefunden wurde, schicken wir Ihnen im Namen der Organisation kurze Zwischenstände, jeweils ab 11 Uhr Wiener Zeit: an den ersten drei Tagen täglich, dann am 10., 17. und 24. Tag, 3 Tage vor dem Ende und am letzten Tag. Sie erhalten nur die Arten, die Ihnen beim Anlegen angekündigt wurden und die die Organisation noch eingeschaltet hat, und höchstens eine solche E-Mail je Tag und Adresse. Die E-Mails enthalten keine Werbung und kein Tracking. Jede E-Mail zu einem Suchauftrag enthält einen Link zu einer Seite, auf der Sie Zwischenstände abbestellen („Nur noch bei einem Treffer benachrichtigen“), den Suchauftrag beenden oder ihn beenden und Ihre Angaben löschen lassen können. Zwischenstände lassen sich außerdem mit einem Klick im E-Mail-Programm abbestellen. Bestätigungen von Suchaufträgen, die vor Einführung dieser Seite angelegt wurden, enthalten den Link noch nicht; einen solchen Suchauftrag beenden oder löschen wir, wenn Sie sich an die Organisation oder an uns wenden (hallo@lostfoundbot.com). Ein Suchauftrag endet auch, wenn der Gegenstand mit einem Abholcode aus diesem Suchauftrag abgeholt wurde.

Schutz vor Missbrauch: Je Organisation und E-Mail-Adresse laufen höchstens drei Suchaufträge gleichzeitig, und innerhalb von 24 Stunden gehen höchstens drei Bestätigungen hinaus; dafür zählen wir die gespeicherten Suchaufträge. Beenden Sie einen Suchauftrag, bestellen Sie Zwischenstände ab oder meldet unser E-Mail-Anbieter über eine signierte Benachrichtigung, dass eine E-Mail an Ihre Adresse nicht zugestellt werden konnte oder als Spam gemeldet wurde, speichern wir für diese Organisation einen mit einem geheimen Schlüssel gebildeten Prüfwert (Hash) Ihrer Adresse, nicht die Adresse selbst. Neue Suchaufträge für diese Adresse starten dann ohne Zwischenstände. Den Eintrag löschen wir 12 Monate nach dem letzten Anlass.

Durch Mitarbeitende erfasste Anfragen: Mitarbeitende können Abholanfragen und Suchaufträge auch selbst anlegen, etwa mit Name, Telefonnummer und Gesprächsnotizen. Legt das Team für Sie einen Suchauftrag an, bestätigt es, dass es Sie über die E-Mails und die Speicherdauer informiert hat und Sie einverstanden sind.

Abholung: Das Team der Organisation gibt eine Abholanfrage frei oder lehnt sie ab. An der Ausgabe kann ein Gerät der Organisation den QR-Code aus Ihrer E-Mail lesen; das erledigt der Browser auf dem Gerät, Kamerabilder werden dafür nicht übertragen. Bei der Übergabe speichern wir Zeitpunkt, ausgebendes Teammitglied und ob die Anfrage erst an der Ausgabe freigegeben wurde. Andere offene Anfragen zum selben Fundstück werden dabei abgelehnt.

Dokumentation der Übergabe: Je nach Einstellung der Organisation kann das Team außerdem festhalten, wer den Gegenstand abholt: den Namen (vorbelegt aus der Anfrage), ob die Person im Auftrag abholt, und welche Art von Ausweis sie vorgezeigt hat (Personalausweis, Reisepass, Führerschein, Aufenthaltstitel oder anderes Dokument), ohne Ausweisnummer. Das Gerät zeigt dazu die Datenschutzhinweise der Organisation an.

Unterschrift: Bietet die Organisation es an, können Sie den Empfang auf dem Gerät unterschreiben. Die Unterschrift ist freiwillig; Sie erhalten den Gegenstand auch ohne sie. Gespeichert werden ein Bild der Unterschrift sowie Fassung und Sprache des angezeigten Textes, nicht aber Druck oder Schreibverlauf. Der Text nennt als Rechtsgrundlage das berechtigte Interesse der Organisation, die Ausgabe nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO), und Ihr Recht, der Speicherung zu widersprechen. Bei öffentlichen Stellen verweist er auf deren Datenschutzhinweise.

Ausweisfoto: Nur wenn die Organisation Ausweisfotos ausdrücklich erlaubt hat und Sie auf dem Gerät einwilligen, nimmt das Team ein Foto der Vorderseite Ihres Personalausweises, Reisepasses, Führerscheins oder Aufenthaltstitels auf, mit der Kamera in der Seite. Die Einwilligung ist freiwillig; es genügt auch, den Ausweis nur vorzuzeigen. Vor dem Speichern können Nummern und die maschinenlesbare Zone mit Balken abgedeckt werden. Das Foto wird verkleinert, über die ganze Fläche mit „KOPIE · COPY“ und einem Hinweis auf seinen Zweck gekennzeichnet und ohne Metadaten wie den Aufnahmeort gespeichert. Das ungekennzeichnete Bild verlässt den Browser nicht. Wir speichern außerdem Fassung, Sprache und Zeitpunkt Ihrer Einwilligung. Sie können die Einwilligung jederzeit bei der Organisation widerrufen; das Foto wird dann gelöscht. Öffentliche Stellen können Ausweisfotos nicht einschalten.

Schutz und Zugriff: Unterschriften und Ausweisfotos speichern wir verschlüsselt bei Cloudflare R2 (siehe „Sicherheit“). Sie gehen nicht an OpenAI und nicht per E-Mail hinaus und werden nicht automatisiert ausgewertet, also weder mit Gesichts- noch mit Texterkennung. Name, Unterschrift und Ausweisfoto zeigt die Anwendung nach der Übergabe nur Mitgliedern der Organisation mit der Berechtigung für Übergabenachweise. Jede Anzeige wird mit Person und Zeitpunkt protokolliert. Das Protokoll hält außerdem fest, wer eine Anfrage entschieden, eine Übergabe gespeichert, einen Nachweis gelöscht oder die Einstellungen oder Zugriffsrechte dazu geändert hat.

Speicherdauer der Übergabedaten: Die Fristen legt die Organisation fest. Voreingestellt bleiben Name, Angabe zum Ausweis, Unterschrift und die Protokolleinträge zur Übergabe bis zum 31. Dezember des dritten auf die Ausgabe folgenden Jahres gespeichert; wählbar sind auch 6 Monate oder das Ende des ersten oder zweiten Folgejahres. Für Ausweisfotos gilt dieselbe Voreinstellung; wählbar sind auch 7, 30 oder 90 Tage oder das Ende des ersten oder zweiten Folgejahres. Ein Ausweisfoto wird spätestens mit den übrigen Übergabedaten gelöscht. Unabhängig davon werden Protokolleinträge darüber, wer eine Anfrage entschieden oder die Einstellungen oder Zugriffsrechte geändert hat, nach 1.461 Tagen (vier Jahren) gelöscht und Einträge, die eine Löschung belegen, nach 365 Tagen; sie enthalten weder Namen abholender Personen noch Bilddaten. Ab Fristablauf zeigt die Anwendung Unterschrift und Ausweisfoto nicht mehr an; gelöscht werden die Daten im nächsten täglichen Löschlauf. Die Organisation kann sie vorher löschen, etwa nach Ihrem Widerruf oder Widerspruch. Zeitpunkt der Übergabe, ausgebendes Teammitglied und die Angaben aus Ihrer Anfrage, etwa E-Mail-Adresse, Name und Telefonnummer, bleiben als Teil des Vorgangs bei der Organisation gespeichert. Gelöschte Daten können technisch bedingt noch bis zu 30 Tage in Sicherungen der Datenbank enthalten sein.

Ohne E-Mail-Adresse können wir Ihnen keinen Abholcode und keine Nachricht zu einem Suchauftrag schicken. Für die Rechtsgrundlagen und Ihre Rechte ist die Organisation zuständig.

KI-Funktionen

Auch diese Verarbeitung erfolgt im Auftrag der jeweiligen Organisation. Die KI-Funktionen nutzen die Programmierschnittstelle (API) von OpenAI. Die Anfragen werden in den USA verarbeitet. Übermittelt werden die folgenden Angaben; sie können personenbezogene Daten enthalten:

• Fotoanalyse: Fotos eines Fundstücks mit Fundort, genauem Fundort, Funddatum, Fundzeit, Abholadresse und Name der Organisation. Die KI schlägt Titel, Kategorie, Beschreibung und weitere Merkmale vor.
• Beschreibung überarbeiten: die Angaben zum Fundstück einschließlich der Kontaktangaben der Fundstelle.
• Übersetzen: Titel, Beschreibung, genauer Fundort und besondere Merkmale.
• Abgleich: Ihre Beschreibung und bis zu 40 infrage kommende Fundstücke mit Titel, Kategorie, Farbe, Material, Marke, Merkmalen, Fundort, Funddatum und dem Anfang der internen Beschreibung. Bei einem Suchauftrag sind es Ihre gespeicherte Beschreibung mit Verlustdatum und Verlustort und die Angaben neu erfasster oder bereits gespeicherter Fundstücke, höchstens 10 je Anfrage. Kommen für ein neu erfasstes oder geändertes Fundstück mehr als drei Suchaufträge infrage, vergleichen wir es zuerst in einer Anfrage mit den gespeicherten Beschreibungen von höchstens 10 dieser Suchaufträge derselben Organisation; diese Vorauswahl sortiert nur deutlich unpassende Suchaufträge aus und entscheidet nie über einen Treffer. Für die Bewertung eines einzelnen Fundstücks kommen zwei erfundene Vergleichsgegenstände hinzu, die keine realen Personen oder Gegenstände beschreiben; auch im Chat können solche Vergleichsgegenstände bewertet werden.
• Rückfragen im Chat: Ihre bisherigen Nachrichten im Chat und die Sprache. Die Rückfragen formuliert die KI; die Themen der ersten beiden Rückfragen stammen aus einer festen Liste je Art des Gegenstands.
• Kontrollfragen: Titel, Kategorie, Farbe, Material, Marke, besondere Merkmale und der Anfang der Beschreibung eines Fundstücks, nie die Beschreibung der suchenden Person. Die KI schlägt daraus Ja-Nein-Fragen vor und übersetzt die Fragen, die das Team verschickt, in die Sprache der suchenden Person.

Für die Verarbeitung bei OpenAI gelten zusätzlich dessen Bedingungen für die API. Eine sofortige Löschung bei OpenAI sagen wir nicht zu.

Abgleich und Entscheidung

Ob ein Fundstück zu einer Suche passt, bewertet eine KI. Im Widget gilt ein Fundstück nur dann als möglicher Treffer, wenn die Bewertung einen festen Schwellenwert erreicht, mindestens drei Merkmale übereinstimmen, keines widerspricht und kein zweites Fundstück fast gleich gut bewertet wird. Die suchende Person kann dann ohne Prüfung durch das Team einen Abholcode per E-Mail erhalten. Ein Fundstück, zu dem bereits Kontrollfragen verschickt wurden, zeigt das Widget nie als Treffer an. Sonst zeigt das Widget keinen Treffer an. Es bittet dann um genauere Angaben oder bietet einen Suchauftrag an.

Bei Suchaufträgen gelten strengere Regeln. Jedes Fundstück wird einzeln bewertet, neben zwei erfundenen Vergleichsgegenständen; bewertet die KI einen Vergleichsgegenstand hoch, entscheidet das Team. Jedes übereinstimmende Merkmal prüft unser Server gegen die Angaben zum Fundstück und die Aussagen der suchenden Person. Einen Abholcode schicken wir nur dann automatisch, wenn die Bewertung einen festen Schwellenwert erreicht, mindestens drei so geprüfte Merkmale des Gegenstands übereinstimmen, darunter ein unverwechselbares wie Inhalt, Markierungen oder besondere Kennzeichen (vier, wenn das Verlustdatum unbekannt ist), keines widerspricht, das Verlustdatum nahe am Funddatum liegt oder unbekannt ist, kein anderer Suchauftrag und kein anderes Fundstück fast gleich gut passt und die Angaben zu diesem Fundstück noch niemandem gezeigt wurden. Über alle anderen möglichen Treffer entscheidet das Team der Organisation.

Beantwortet die suchende Person Kontrollfragen, wertet LostFoundBot die Antworten automatisch aus: Ist höchstens eine Antwort falsch oder „Weiß nicht“, geht der Abholcode per E-Mail hinaus, sofern der Gegenstand noch verfügbar ist und keine andere Abholanfrage dafür offen ist. Ist eine offen, entscheidet das Team; ist der Gegenstand nicht mehr verfügbar, verweist die Seite an die Organisation. Diese Auswertung entscheidet nicht über die Herausgabe. Das Team kann den Abholcode auch nach einem nicht bestandenen Versuch schicken, und bei jeder Abholung prüft das Team selbst.

Der Abholcode allein berechtigt nicht zur Abholung. Ob ein Gegenstand herausgegeben wird, entscheidet das Team der Organisation. Die Übergabe lässt sich in LostFoundBot nur für eine freigegebene Anfrage bestätigen. Ist die Anfrage noch offen, kann ein Teammitglied sie an der Ausgabe freigeben und die Übergabe im selben Schritt bestätigen; dazu erklärt es, die Angaben mit dem Fundstück abgeglichen zu haben. Wie Ihre Angaben und Ihre Identität bei der Abholung geprüft werden, legt die Organisation fest. LostFoundBot prüft weder die Echtheit von Ausweisen noch Ihre Identität. Wenn Sie glauben, dass ein Gegenstand Ihnen gehört, obwohl kein Treffer angezeigt wurde, wenden Sie sich direkt an die Organisation.

Empfänger und Drittländer

Zugriff haben die jeweils berechtigten Personen, bei Daten einer Organisation deren Teammitglieder nach ihren Berechtigungen, sowie diese Dienstleister:

• Anbieter

  Vercel Inc., USA

  Zweck

  Betrieb der Anwendung, Auslieferung, Protokolle

  Ort der Verarbeitung

  Ausführung in Frankfurt am Main; weltweites Auslieferungsnetz

• Anbieter

  Neon (Databricks), USA

  Zweck

  Datenbank

  Ort der Verarbeitung

  Frankfurt am Main

• Anbieter

  Cloudflare, Inc., USA

  Zweck

  Speicher für Fotos, verschlüsselte Übergabenachweise und Schriftdateien für das Widget (R2)

  Ort der Verarbeitung

  Speicherort in der EU

• Anbieter

  Plus Five Five, Inc. (Resend), USA

  Zweck

  E-Mail-Versand, auch der Nachrichten aus dem Kontaktformular; Meldungen über nicht zustellbare E-Mails und Spam-Beschwerden

  Ort der Verarbeitung

  auch USA

• Anbieter

  OpenAI

  Zweck

  KI-Funktionen; keine Übergabenachweise

  Ort der Verarbeitung

  USA

• Anbieter

  Mollie B.V., Niederlande

  Zweck

  Zahlungen

  Ort der Verarbeitung

  EU

• Anbieter

  Google

  Zweck

  Anmeldung mit Google und Profilbild, Karte und Adresssuche im Dashboard

  Ort der Verarbeitung

  auch USA

Weitere Empfänger können unser E-Mail-Anbieter, Behörden oder zur Verschwiegenheit verpflichtete Berater sein, soweit das erforderlich ist.

Bei mehreren dieser Anbieter finden Verarbeitungen oder Zugriffe außerhalb des Europäischen Wirtschaftsraums statt, insbesondere in den USA. Ein europäischer Ausführungs- oder Speicherort schließt das nicht aus. Für eine solche Übermittlung müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein. Als Grundlage kommen ein Angemessenheitsbeschluss in Betracht, bei zertifizierten US-Empfängern das EU-US Data Privacy Framework, oder geeignete Garantien wie die EU-Standardvertragsklauseln. Nicht jeder Anbieter fällt unter dasselbe Instrument. Auf Anfrage an hallo@lostfoundbot.com teilen wir Ihnen mit, welche Grundlage für einen Anbieter gilt und wie Sie eine Kopie der Garantien erhalten.

Speicherdauer

Wir speichern Daten, solange der jeweilige Zweck es erfordert. Derzeit gilt:

• Konto und Organisation: solange sie bestehen. Auch nach dem Ende eines Abonnements bleiben die Daten gespeichert. Eine Löschfunktion im Dashboard gibt es derzeit nicht; wir löschen auf Anfrage, soweit keine Aufbewahrungspflicht entgegensteht.
• Zustimmung zu AGB und AVV: solange die Organisation besteht. Wird ein Benutzerkonto gelöscht, bleibt der Eintrag ohne Bezug zu diesem Konto bei der Organisation.
• Buchhaltung: Unterlagen, die für die Buchhaltung nötig sind, bewahren wir nach § 132 BAO sieben Jahre ab dem Ende des betreffenden Kalenderjahres auf, bei laufenden Verfahren länger.
• Sitzungen: Das Anmelde-Cookie gilt 30 Tage ab der Anmeldung. Der Sitzungseintrag mit IP-Adresse und Browserkennung läuft spätestens 30 Tage nach seiner letzten Nutzung ab und wird dann im nächsten täglichen Löschlauf gelöscht. Beim Abmelden löschen wir ihn sofort, beim Zurücksetzen des Passworts alle Ihre Sitzungen, beim Ändern des Passworts alle anderen.
• Bestätigungs- und Passwortlinks: Einträge mit dem Hash des Links und bei Bestätigungslinks der E-Mail-Adresse löschen wir 7 Tage, nachdem der Link abgelaufen ist oder verwendet oder durch einen neueren ersetzt wurde. Ein Bestätigungslink gilt 24 Stunden, ein Link zum Zurücksetzen des Passworts 1 Stunde.
• Team-Einladungen: Einladungen mit der E-Mail-Adresse der eingeladenen Person löschen wir 7 Tage, nachdem sie abgelaufen sind oder angenommen wurden. Eine Einladung gilt 7 Tage; eine zurückgezogene löschen wir 7 Tage nach ihrem Ablauf. Zeitpunkte von Einladung und Beitritt bleiben bei der Mitgliedschaft gespeichert.
• Fehlerprotokoll: Einträge löschen wir 90 Tage, nachdem sie entstanden sind.
• Täglicher Löschlauf: Die genannten Fristen setzt ein automatischer Lauf einmal täglich um, jeweils beim ersten Lauf nach Fristablauf. Er löscht in Teilmengen; eine größere Menge arbeitet er über mehrere Tage ab.
• Kontaktformular und E-Mails an uns: Nachrichten liegen in unserem Postfach, solange es für Ihr Anliegen erforderlich ist.
• Daten im Auftrag von Organisationen: Abholanfragen, die das Team nicht innerhalb von 30 Tagen freigibt, verfallen; die Abholanfrage selbst bleibt gespeichert. Eine Abholanfrage aus einem Suchauftrag enthält dessen Beschreibung (höchstens 2.000 Zeichen), aber keinen Chatverlauf. Fotos bleiben gespeichert, bis Mitarbeitende sie entfernen. Übergabedaten löschen wir automatisch nach der Frist, die die Organisation festlegt (siehe „Daten im Auftrag von Organisationen“). Weitere Löschungen nehmen wir auf Weisung der Organisation vor.
• Suchaufträge: Ein Suchauftrag endet nach der Laufzeit des Plans oder früher, wenn Sie oder das Team ihn beenden. 30 Tage nach dem Ende löschen wir ihn samt Abgleichsergebnissen, möglichen Treffern, Kontrollfragen und Antworten. Einen Suchauftrag, den Sie oder das Team vorzeitig beendet haben und zu dem weder ein Abholcode vergeben noch Kontrollfragen verschickt wurden, löschen wir schon im nächsten täglichen Löschlauf. Den Hash eines Links zu Kontrollfragen löschen wir 7 Tage nach der Antwort oder dem Ablauf des Links, Einträge zu Zwischenstand-E-Mails nach 30 Tagen, den Prüfwert einer abbestellten oder gesperrten Adresse 12 Monate nach dem letzten Anlass. Protokolleinträge darüber, wie ein Abholcode aus einem Suchauftrag vergeben wurde, löschen wir nach 1.461 Tagen.
• Widget auf Websites: Den Namen einer Website, auf der das Widget geladen wurde, löschen wir 90 Tage nach dem letzten Laden.
• Bei Dienstleistern: Protokolle, Sicherungen und Kopien bei den genannten Anbietern richten sich nach deren Bedingungen.

Sicherheit

• Die Übertragung erfolgt verschlüsselt über HTTPS. Anmelde-Cookies sind für Skripte nicht lesbar.
• Passwörter und Zufallskennungen für Sitzungen und Links speichern wir nur als Hash.
• Rollen und Berechtigungen steuern den Zugriff. Daten einer Organisation zeigt die Anwendung nur deren Mitgliedern. Ausgenommen sind die Angaben, die suchende Personen zu ihrer Abholanfrage erhalten (siehe „Abholcode“), und was das Widget zur Darstellung braucht, etwa Texte, Farben und Schriften.
• Unterschriften und Ausweisfotos verschlüsselt die Anwendung vor dem Speichern zusätzlich mit AES-256-GCM, mit einem eigenen Schlüssel je Datei. Diese Schlüssel sind mit einem Hauptschlüssel verschlüsselt, der nur in der Produktionsumgebung hinterlegt ist, nicht in der Datenbank und nicht im Dateispeicher. Zum Löschen wird zuerst der Schlüssel der Datei vernichtet.
• Name, Unterschrift und Ausweisfoto aus der Übergabe sehen nur Mitglieder mit einer eigenen Berechtigung dafür. Diese Berechtigung vergeben oder entziehen nur Inhaber einer Organisation. Jede Anzeige wird protokolliert. Seiten und Bilder mit Übergabedaten werden so ausgeliefert, dass der Browser sie nicht zwischenspeichert.
• Hochgeladene Fotos von Fundstücken prüft die Anwendung nach dem Hochladen und vor dem Speichern eines neuen Fundstücks auf Größe und Dateiart.
• Das Widget erhält keine Angaben zu Fundstücken.
• Links zu Kontrollfragen enthalten eine Zufallskennung mit 256 Bit, von der wir nur einen Hash speichern; beantworten lassen sie sich einmal. Links zum Verwalten eines Suchauftrags sind signiert und nur für diesen Zweck gültig. Das Öffnen solcher Links ändert nichts; eine Änderung erfordert einen Klick auf der Seite. Diese Seiten werden nicht zwischengespeichert und nicht indexiert, laden nichts von Dritten, und das Fehlerprotokoll speichert ihre Adressen ohne die Kennung.
• Die erwarteten Antworten auf Kontrollfragen sieht nur das Team; die suchende Person erhält sie nicht, auch nicht per E-Mail.
• Anfragen an das Widget, die Suchseiten, die Seiten zu Suchaufträgen und das Kontaktformular sind begrenzt.

Ihre Rechte

Sie haben nach den gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte Einwilligung können Sie jederzeit für die Zukunft widerrufen.

Widerspruch: Einer Verarbeitung auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) können Sie aus Gründen Ihrer besonderen Situation widersprechen.

Name, Sprache, Darstellung und Passwort können Sie im Dashboard selbst ändern. Für alle anderen Anliegen schreiben Sie bitte an hallo@lostfoundbot.com. Bei berechtigten Zweifeln an Ihrer Identität können wir einen Nachweis verlangen, damit wir keine fremden Daten herausgeben. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Bei komplexen oder zahlreichen Anträgen kann sich die Frist um bis zu zwei weitere Monate verlängern; das teilen wir Ihnen innerhalb des ersten Monats mit Begründung mit. Betrifft Ihr Anliegen Daten, die wir im Auftrag einer Organisation verarbeiten, leiten wir es an die Organisation weiter und unterstützen sie bei der Bearbeitung.

Beschwerde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat, in dem Sie wohnen oder arbeiten oder in dem der mutmaßliche Verstoß stattfand. In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, dsb.gv.at. Sie müssen sich dafür nicht zuerst an uns wenden.

Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Der aktuelle Stand steht oben.