Datenschutz · Stand 13. September 2026

Datenschutzerklärung

Diese Erklärung beschreibt die tatsächlichen Datenverarbeitungen auf medi-fin.com, bei Kontaktanfragen, bei der digitalen Erstuntersuchung und bei der Anmeldung zu MEDIFIN-Webinaren. Sie nennt außerdem ausdrücklich jene Dienste, die derzeit technisch deaktiviert sind.

1. Verantwortlicher und Kontakt

Michael Christian Dennis Kolar
Einzelunternehmen · MEDIFIN
Gutheil-Schoder-Gasse 7A, 1100 Wien, Österreich

Datenschutzanfragen: michael.kolar@medi-fin.com
Allgemeiner Kontakt: service@medi-fin.com

Ein Datenschutzbeauftragter ist nicht bestellt; eine gesetzliche Bestellpflicht nach Art. 37 DSGVO wird laufend geprüft. Diese Erklärung ist eine sorgfältig erstellte technische und organisatorische Dokumentation und stellt keine anwaltlich freigegebene Rechtsauskunft dar.

2. Hosting, Protokolldaten und Sicherheit

Beim Aufruf können technisch erforderliche Protokolldaten verarbeitet werden, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Seite, Referrer, Browser- und Geräteinformationen sowie Fehlerdaten. Zweck sind die sichere Bereitstellung, Fehleranalyse, Stabilität und Missbrauchsabwehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb.

Die Website wird über Lovable bereitgestellt. Hinweise des Dienstes finden Sie in der Lovable-Datenschutzerklärung und im Auftragsverarbeitungsvertrag.

Die Schriftarten dieser Website (Cormorant Garamond, Karla) werden aus unserem eigenen Auslieferungspaket geladen. Es besteht dabei keine Verbindung zu Google Fonts (fonts.googleapis.com, fonts.gstatic.com); es werden keine IP-Adressen an Google übermittelt.

3. Cookies, Local Storage und Consent-Verwaltung

Optionale Speicherungen und Zugriffe auf Endgeräteinformationen setzen wir nur mit Ihrer vorherigen Einwilligung nach § 165 Abs. 3 TKG 2021 und Art. 6 Abs. 1 lit. a DSGVO ein. Unbedingt erforderliche Speicherungen sind davon ausgenommen. Bis zu einer Entscheidung sind alle optionalen Kategorien deaktiviert und nicht vorausgewählt.

Ihre Entscheidung speichern wir ausschließlich lokal in Ihrem Browser und bewusst ohne Nutzer-ID – gespeichert werden nur die Schema-Version (aktuell Version 2), der Zeitpunkt und die gewählten Kategorien. Ändern sich Kategorien oder Dienste, erhöhen wir die Version und fragen erneut. Weiterscrollen oder Schließen des Hinweises gilt nicht als Einwilligung.

Sendet Ihr Browser ein Datenschutzsignal (Global Privacy Control oder Do-Not-Track), behandeln wir dies restriktiv als Ablehnung optionaler Verarbeitungen, solange Sie nicht selbst ausdrücklich etwas anderes wählen.

Kategorien

  • Notwendig (immer aktiv): Sichere Bereitstellung der Website und Speicherung deiner Datenschutz-Entscheidung. Umfasst Server-Protokolldaten zur Betriebssicherheit, die Speicherung dieser Auswahl im Browser sowie kurzfristige Navigations- und Formularzustände. Keine Auswertung zu Werbezwecken. Rechtsgrundlage: § 165 Abs. 3 TKG 2021 (unbedingt erforderlich) und Art. 6 Abs. 1 lit. f DSGVO.
  • Präferenzen und Funktionalität (standardmäßig aus): Komfortfunktionen, die deine Einstellungen über den Besuch hinaus merken. Beispielsweise gemerkte Ansichten, Fortschritte im Rundgang oder Formularzwischenstände, die über die technische Notwendigkeit hinausgehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.
  • Statistik und Analyse (standardmäßig aus): Messung der Nutzung, um Inhalte und Struktur der Website zu verbessern. Derzeit ist kein Analysedienst aktiv. Erst nach Zustimmung und nach vorheriger Aktualisierung dieser Erklärung könnten Reichweitenmessungen eingesetzt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.
  • Marketing (standardmäßig aus): Erfolgsmessung von Kampagnen und Ausspielung passender Inhalte. Derzeit ist kein Werbe- oder Conversion-Tracking aktiv. Ohne Zustimmung werden keine Pixel oder Werbe-IDs geladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.
  • Externe Medien (standardmäßig aus): Anzeige eingebetteter Inhalte externer Plattformen. Betrifft künftige Video- oder Social-Einbettungen (etwa YouTube oder Vimeo). Ohne Zustimmung erscheint nur ein lokaler Platzhalter, es wird keine Verbindung zur Plattform aufgebaut. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.
  • KI-Chat (standardmäßig aus): Betrieb eines KI-gestützten Dialogs (LARISSA) mit externem Sprachmodell. Der Empfangsdialog läuft derzeit ausschließlich lokal mit vorbereiteten Texten. Eine Anbindung an ein externes Sprachmodell erfolgt erst nach Zustimmung und nach Aktualisierung dieser Erklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.

Widerruf

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder einzelne Kategorien ändern:

Beim Widerruf deaktivieren wir optionale Skripte und löschen bekannte optionale Speicherungen, soweit diese von dieser Website aus löschbar sind. Cookies, die andere Anbieter unter ihren eigenen Domains gesetzt haben, können wir technisch nicht löschen. Nutzen Sie dafür bitte die Einstellungen Ihres Browsers oder die Angebote des jeweiligen Anbieters.

4. Derzeit tatsächlich eingesetzte Dienste

Nach dem aktuellen Stand unseres Code-Audits sind keine eigenen Analyse- oder Werbetracker aktiv. Aktiv sind ausschließlich:

  • Lovable (Hosting und Protokolldaten): Bereitstellung der Website, Betriebssicherheit, Fehleranalyse und Missbrauchsabwehr über Server-Protokolldaten. Beim Aufruf der Website. Datenschutzhinweis des Anbieters
  • Lokale Datenschutz-Einstellungen: Speicherung von Version, Zeitpunkt und Kategorien deiner Entscheidung im Browser-Speicher, ohne Nutzer-ID. Nach deiner Entscheidung im Consent-Center.
  • HubSpot (CRM-Übertragung abgesendeter Anfragen): Serverseitige Übertragung einer von dir aktiv abgesendeten Kontakt- oder Erstuntersuchungsanfrage samt MEDIFIN-Herkunftszuordnung zur Bearbeitung. Kein Tracking-Code, kein Chatflow, keine Newsletter-Einwilligung abgeleitet. Erst beim bewussten Absenden eines Formulars. Datenschutzhinweis des Anbieters
  • Zoom (externe Webinar-Anmeldung): Anmeldung und Durchführung von MEDIFIN-Webinaren. Beim Besuch unserer Seiten werden keine Daten an Zoom übermittelt. Erst wenn du den externen Anmeldelink bewusst öffnest. Datenschutzhinweis des Anbieters

5. Kontakt und digitale Erstuntersuchung

Bei einer Anfrage können Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Nachricht sowie ausgewählte Interessen-, Tätigkeits- und Prioritätsangaben verarbeitet werden. Zweck ist die Bearbeitung Ihrer Anfrage und die Vorbereitung eines gewünschten Kontakts oder einer Beratung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung); für Sicherheits- und Nachweiszwecke kann zusätzlich Art. 6 Abs. 1 lit. f DSGVO gelten.

Kontaktformular und digitale Erstuntersuchung sind getrennte Vorgänge mit jeweils eigener Zweckbindung. Eine Absendung ist keine Einwilligung in Newsletter, Werbung oder markenübergreifende Ansprache.

Zur korrekten Zuordnung einer aktiv abgesendeten Anfrage dokumentieren wir MEDIFIN als Marke und Website sowie – soweit in der laufenden Seitensitzung verfügbar – Einstiegsseite, vorherige MEDIFIN-Seite, den Referrer ohne Abfrageparameter und ausdrücklich zugelassene Kampagnenparameter (UTM-Parameter sowie Kennungen von Google, Meta, Microsoft, TikTok und LinkedIn). Beliebige Abfrageparameter oder Inhalte aus fremden URLs werden nicht übernommen. Diese Angaben werden erst mit dem bewussten Absenden an HubSpot übertragen; davor wird dafür kein HubSpot-Tracking-Code geladen.

Der Financial Health Check und der Pensions-Kompass verarbeiten Ihre Antworten zunächst ausschließlich im aktuellen Browser-Tab und speichern sie dort vorübergehend in der Sitzungs-Speicherung. Beim Schließen des Tabs endet diese lokale Sitzung regelmäßig. Die PDF-Auswertung wird lokal aus diesen Angaben erstellt und nicht automatisch übertragen.

Nur wenn Sie bei der Kontaktaufnahme die gesonderte Auswahl aktivieren, übermitteln wir zusätzlich eine kompakte Ergebniszusammenfassung an HubSpot. Diese umfasst Gesamtwert, Datenklarheit, die vier Bereichswerte, den ermittelten Schwerpunkt, allgemeine Profilangaben und gegebenenfalls das Ergebnis des Pensions-Kompasses. Einzelne Rohantworten werden dabei nicht übertragen. Die Auswahl ist freiwillig und für die Kontaktaufnahme nicht erforderlich.

Bitte geben Sie in freien Website- oder Chatfeldern keine Gesundheitsdaten, keine Versicherungsdetails und keine detaillierten Finanzdaten ein. Solche Angaben besprechen wir in einem geschützten, dafür vorgesehenen Rahmen.

6. HubSpot

Eine von Ihnen aktiv abgesendete Kontakt- oder Erstuntersuchungsanfrage wird serverseitig an HubSpot übertragen und dort als Kontakt- und Anfrageinformation geführt. Zweck ist die Bearbeitung und Dokumentation der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Es ist kein HubSpot-Tracking-Code, kein Chatflow und kein eingebettetes HubSpot-Formular auf dieser Website eingebunden. Aus einer Anfrage leiten wir weder eine Newsletter- noch eine Tracking-Einwilligung ab. Hinweise finden Sie in der HubSpot-Datenschutzerklärung und im HubSpot-DPA.

7. Webinare und Zoom

Die MEDIFIN-Webinarseiten enthalten externe Registrierungslinks zu Zoom. Beim bloßen Besuch unserer Seiten werden keine Daten an Zoom übermittelt und keine Zoom-Skripte geladen. Erst wenn Sie den Link bewusst öffnen und das Zoom-Formular ausfüllen, verarbeitet Zoom insbesondere Name, E-Mail-Adresse, Registrierungsangaben, technische Nutzungsdaten und den verwendeten Quellenlink.

Registrierungs- und Teilnahmestatus können über die eingerichtete Integration an HubSpot übermittelt werden. Dazu können Webinarname, Registrierung, Teilnahme oder Nichtteilnahme, Ein- und Austrittszeit sowie Teilnahmedauer gehören. Zweck sind Organisation, Versand des persönlichen Zugangslinks, Durchführung, Support und Nachbereitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Werbliche Ansprache nach dem Webinar erfolgt nur auf einer dafür zulässigen, gesondert dokumentierten Grundlage.

Zoom beschreibt die Verarbeitung in seiner Datenschutzerklärung.

8. Aufzeichnung, Transkript, Fragen und Umfragen

Sofern ein MEDIFIN-Webinar aufgezeichnet oder automatisiert transkribiert wird, wird darauf vor Beginn beziehungsweise beim Beitritt sichtbar hingewiesen. Je nach Nutzung können Bild, Stimme, Anzeigename, Chat-, Q&A- und Umfragebeiträge sowie Zeit- und Teilnahmedaten verarbeitet werden. Bitte übermitteln Sie im Webinar keine vertraulichen Gesundheits-, Versicherungs- oder Finanzdetails.

Die Aufzeichnung dient der Dokumentation und – nur nach gesonderter Entscheidung und entsprechender Information – einer späteren Bereitstellung. Eine Veröffentlichung identifizierbarer Teilnehmerbeiträge erfolgt nicht ohne passende Rechtsgrundlage. Soweit für eine konkrete Aufzeichnung Einwilligung erforderlich ist, wird sie vor Beginn getrennt eingeholt und kann mit Wirkung für die Zukunft widerrufen werden.

9. Externe Links, externe Medien und Social Media

Unsere Verweise auf Facebook, Instagram, LinkedIn und TikTok sind ausschließlich normale externe Links. Es sind keine Social-Plugins, Like-Buttons, Pixel oder Zählmarken dieser Plattformen eingebunden. Eine Datenübermittlung findet erst statt, wenn Sie den Link anklicken und die Plattform aufrufen; dann gilt deren Datenschutzerklärung.

Videos auf dieser Website werden derzeit aus unserem eigenen Auslieferungspaket bereitgestellt; es sind keine YouTube- oder Vimeo-Player eingebunden. Sollten künftig externe Player eingesetzt werden, erscheinen sie erst nach Einwilligung in die Kategorie „Externe Medien“ – vorher sehen Sie nur einen lokalen Platzhalter.

10. Derzeit nicht aktive Dienste mit möglicher späterer Aktivierung

Die folgenden Dienste sind in unserer zentralen Diensteregistrierung als „derzeit nicht aktiv“ geführt und technisch deaktiviert. Es wird kein Code geladen, keine Verbindung aufgebaut und kein Identifikator gesetzt. Die Nennung dient ausschließlich der Transparenz über mögliche künftige Nutzungen:

Vor einer Aktivierung prüfen wir jeweils Dienst, konkreten Zweck, Datenarten, Rechtsgrundlage, Speicherdauer, Empfänger, mögliche Drittlandtransfers, den erforderlichen Auftragsverarbeitungsvertrag und die Zuordnung zu einer Consent-Kategorie. Erst danach aktualisieren wir diese Erklärung und die Consent-Version. Wir holen keine Vorratseinwilligung für unbestimmte oder unbekannte Zwecke ein.

11. Geplanter KI-Chat (LARISSA)

Der Empfangsdialog LARISSA läuft derzeit ausschließlich lokal in Ihrem Browser mit vorbereiteten Texten. Es findet keine Übermittlung an ein externes Sprachmodell statt.

Wird künftig ein KI-Modell angebunden, geschieht dies erst nach Ihrer Einwilligung in die Kategorie „KI-Chat“, getrennt von Kontaktformular und Erstuntersuchung, und nach vorheriger Aktualisierung dieser Erklärung samt Angabe von Anbieter, Zweck, Datenarten, Speicherdauer, Empfängern und Drittlandfragen. Auch dann gilt: keine Gesundheits-, Versicherungs- oder detaillierten Finanzdaten in freie Chatfelder.

12. Rechtsgrundlagen im Überblick

  • Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021 – Einwilligung für optionale Speicherungen, Analyse, Marketing, externe Medien und KI-Chat.
  • Art. 6 Abs. 1 lit. b DSGVO – Bearbeitung von Anfragen, Erstuntersuchung, Webinar- und Beratungsanbahnung.
  • Art. 6 Abs. 1 lit. f DSGVO – Betriebssicherheit, Protokolldaten, Missbrauchsabwehr, Nachweiszwecke.
  • Art. 6 Abs. 1 lit. c DSGVO – Erfüllung gesetzlicher Pflichten, etwa Aufbewahrung.

Wir verarbeiten über diese Website bewusst keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO.

13. Empfänger und Auftragsverarbeitung

Empfänger sind nur die für den jeweiligen Zweck erforderlichen internen Personen sowie die oben unter Punkt 4 genannten Dienstleister und deren vertraglich eingesetzte Unterauftragnehmer. Mit Auftragsverarbeitern schließen wir die nach Art. 28 DSGVO erforderlichen Vereinbarungen ab; die konkreten Vertragsstände und Kontoeinstellungen werden intern dokumentiert und bei Änderungen überprüft.

14. Drittlandtransfers

Bei den eingesetzten Anbietern kann eine Verarbeitung auch außerhalb des Europäischen Wirtschaftsraums stattfinden. Die Anbieter nennen dafür je nach Fall Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln.

Prüfvorbehalt: Wir behaupten hier keine abgeschlossene eigene Prüfung einzelner Verträge, DPAs, Standardvertragsklauseln, Zertifizierungen oder Transfer-Impact-Assessments. Der jeweils maßgebliche Stand richtet sich nach den Vereinbarungen und Konfigurationen des MEDIFIN-Kontos und wird laufend nachgeführt.

15. Speicherdauer

Personenbezogene Daten werden nur so lange aufbewahrt, wie dies für Anfrage, Webinar, Beratung, Nachweis- und Sicherheitszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Kriterien sind der Abschluss des jeweiligen Vorgangs, die Dauer einer Geschäftsbeziehung, offene Ansprüche und gesetzliche Aufbewahrungsfristen.

Konkrete Fristen nennen wir hier nur, wenn sie tatsächlich festgelegt und technisch umgesetzt sind; erfundene oder pauschale Fristangaben vermeiden wir bewusst. Nicht mehr erforderliche Daten werden gelöscht oder anonymisiert. Die lokale Consent-Speicherung bleibt bis zu einer Änderung, einer Versionserhöhung oder bis zum Löschen der Browserdaten bestehen.

16. Ihre Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird. Wenden Sie sich dazu an michael.kolar@medi-fin.com.

Sie können sich außerdem bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, beschweren: dsb.gv.at.

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung nach Art. 22 DSGVO findet nicht statt.

17. Technische und organisatorische Maßnahmen

Wir setzen dem Risiko angemessene Maßnahmen nach Art. 32 DSGVO ein, insbesondere Transportverschlüsselung (HTTPS), Datenminimierung durch privacy-by-default-Voreinstellungen nach Art. 25 DSGVO, Zugriffsbeschränkungen auf das Erforderliche, serverseitige Verarbeitung von Formularübermittlungen ohne Weitergabe von Zugangsdaten an den Browser, Validierung von Eingaben sowie regelmäßige Überprüfung der eingesetzten Dienste.

18. Aktualisierung

Diese Datenschutzerklärung wird angepasst, wenn sich Website, Webinarablauf, Anbieter, Datenkategorien, Zwecke oder Consent-Kategorien ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.