Datenschutz · Stand 6. Oktober 2026

Datenschutzerklärung

Diese Erklärung beschreibt die tatsächlichen Datenverarbeitungen auf medi-fin.com, bei Kontaktanfragen, bei der digitalen Erstuntersuchung, im Vorsorgerechner und bei der Anmeldung zu MEDIFIN-Webinaren. Sie nennt außerdem ausdrücklich jene Dienste, die derzeit technisch deaktiviert sind.

1. Verantwortlicher und Kontakt

FIXKOSTENSENKER 360 GmbH
Hertha-Firnberg-Straße 10/2/401, 1100 Wien, Österreich
Firmenbuch: FN 501358t, Handelsgericht Wien
UID: ATU73934567
Geschäftsführer: Michael Kolar

Künftig: TailorMade Solutions GmbH, Stephansplatz 8/20, 1010 Wien (Umfirmierung und neue Anschrift sind beantragt).

Datenschutzanfragen: michael.kolar@medi-fin.com
Allgemeiner Kontakt: service@medi-fin.com

Die FIXKOSTENSENKER 360 GmbH betreibt die Website medi-fin.com und ist für die in dieser Erklärung beschriebenen Datenverarbeitungen verantwortlich, soweit in Punkt 5 nichts anderes steht. Weitere Angaben zur GmbH findest du im Impressum.

Ein Datenschutzbeauftragter ist nicht bestellt; eine gesetzliche Bestellpflicht nach Art. 37 DSGVO wird laufend geprüft. Diese Erklärung ist eine sorgfältig erstellte technische und organisatorische Dokumentation und stellt keine anwaltlich freigegebene Rechtsauskunft dar.

2. Hosting, Protokolldaten und Sicherheit

Beim Aufruf können technisch erforderliche Protokolldaten verarbeitet werden, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Seite, Referrer, Browser- und Geräteinformationen sowie Fehlerdaten. Zweck sind die sichere Bereitstellung, Fehleranalyse, Stabilität und Missbrauchsabwehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb.

Die Website wird über Vercel bereitgestellt. Hinweise zur Verarbeitung durch den Hosting-Dienst findest du in der Datenschutzerklärung von Vercel.

Die Schriftarten dieser Website (Cormorant Garamond, Karla) werden aus unserem eigenen Auslieferungspaket geladen. Es besteht dabei keine Verbindung zu Google Fonts (fonts.googleapis.com, fonts.gstatic.com); für die Schriften werden keine IP-Adressen an Google übermittelt.

3. Cookies, Local Storage und Consent-Verwaltung

Optionale Speicherungen und Zugriffe auf Endgeräteinformationen setzen wir nur mit deiner vorherigen Einwilligung nach § 165 Abs. 3 TKG 2021 und Art. 6 Abs. 1 lit. a DSGVO ein. Unbedingt erforderliche Speicherungen sind davon ausgenommen. Bis zu einer Entscheidung sind alle optionalen Kategorien deaktiviert und nicht vorausgewählt.

Deine Entscheidung speichern wir ausschließlich lokal in deinem Browser und bewusst ohne Nutzer-ID – gespeichert werden nur die Schema-Version (aktuell Version 5), der Zeitpunkt und die gewählten Kategorien. Ändern sich einwilligungspflichtige Kategorien oder Dienste, erhöhen wir die Version und fragen erneut. Weiterscrollen oder Schließen des Hinweises gilt nicht als Einwilligung.

Sendet dein Browser ein Datenschutzsignal (Global Privacy Control oder Do-Not-Track), behandeln wir dies restriktiv als Ablehnung optionaler Verarbeitungen, solange du nicht selbst ausdrücklich etwas anderes wählst.

Kategorien

  • Notwendig (immer aktiv): Sichere Bereitstellung der Website und Speicherung deiner Datenschutz-Entscheidung. Umfasst Server-Protokolldaten zur Betriebssicherheit, die Speicherung dieser Auswahl im Browser sowie kurzfristige Navigations- und Formularzustände. Keine Auswertung zu Werbezwecken. Rechtsgrundlage: § 165 Abs. 3 TKG 2021 (unbedingt erforderlich) und Art. 6 Abs. 1 lit. f DSGVO.
  • Präferenzen und Funktionalität (standardmäßig aus): Komfortfunktionen, die deine Einstellungen über den Besuch hinaus merken. Beispielsweise gemerkte Ansichten, Fortschritte im Rundgang oder Formularzwischenstände, die über die technische Notwendigkeit hinausgehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.
  • Statistik und Analyse (standardmäßig aus): Messung der Nutzung, um Inhalte und Struktur der Website zu verbessern. Dafür setzen wir Google Analytics 4 der Google Ireland Limited ein. Erst nach deiner Zustimmung lädt dein Browser den Google-Tag; er setzt die Cookies _ga und _ga_<Kennung> mit einer pseudonymen Kennung (rund 13 Monate) und übermittelt die bereinigte Seitenadresse, die Herkunft sowie Geräte- und Browserangaben; Google leitet daraus auch den ungefähren Standort ab. Werbefunktionen und Google-Signale sind ausgeschaltet. Eine Verarbeitung durch die Google LLC in den USA ist möglich (EU-US Data Privacy Framework, Standardvertragsklauseln). Ohne Zustimmung wird nichts geladen. Details in Punkt 4a der Datenschutzerklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.
  • Marketing (standardmäßig aus): Erfolgsmessung von Kampagnen und Ausspielung passender Inhalte. Derzeit ist kein Werbe- oder Conversion-Tracking aktiv. Ohne Zustimmung werden keine Pixel oder Werbe-IDs geladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.
  • Externe Medien (standardmäßig aus): Anzeige eingebetteter Inhalte externer Plattformen. Betrifft künftige Video- oder Social-Einbettungen (etwa YouTube oder Vimeo). Ohne Zustimmung erscheint nur ein lokaler Platzhalter, es wird keine Verbindung zur Plattform aufgebaut. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.
  • KI-Chat (standardmäßig aus): Beantwortung deiner eigenen Fragen im Chat durch die KI-Assistentin Larissa. Im Rundgang beantwortet die Website vorbereitete Themen lokal in deinem Browser; auf Kampagnenseiten setzen vorgeschlagene Fragen nur ihren Text ins Eingabefeld. Sendest du eine eigene Frage ab, gehen sie und der bisherige Chatverlauf an unsere LARISSA-Schnittstelle (api.larissaai.online) und von dort an OpenAI; die Website und die Schnittstelle speichern den Verlauf nicht. Die Einwilligung gibst du mit dem Absenden deiner ersten eigenen Frage, der Hinweis unter dem Eingabefeld informiert dich vorher. Widerrufst du sie hier, gilt erst deine nächste eigene Frage wieder als Einwilligung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.

Widerruf

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder einzelne Kategorien ändern:

Beim Widerruf deaktivieren wir optionale Skripte und löschen bekannte optionale Speicherungen, soweit diese von dieser Website aus löschbar sind. Cookies, die andere Anbieter unter ihren eigenen Domains gesetzt haben, können wir technisch nicht löschen. Nutze dafür bitte die Einstellungen deines Browsers oder die Angebote des jeweiligen Anbieters.

4. Derzeit tatsächlich eingesetzte Dienste

Nach dem aktuellen Stand unseres Code-Audits sind keine Werbetracker aktiv. Als Analysedienst setzen wir nur Google Analytics 4 ein, und zwar ausschließlich nach deiner Einwilligung (Punkt 4a). Aktiv sind ausschließlich:

  • Vercel (Hosting und Protokolldaten): Bereitstellung der Website, Betriebssicherheit, Fehleranalyse und Missbrauchsabwehr über Server-Protokolldaten. Beim Aufruf der Website. Datenschutzhinweis des Anbieters
  • Lokale Datenschutz-Einstellungen: Speicherung von Version, Zeitpunkt und Kategorien deiner Entscheidung im Browser-Speicher, ohne Nutzer-ID. Nach deiner Entscheidung im Consent-Center.
  • HubSpot (CRM-Übertragung abgesendeter Anfragen): Serverseitige Übertragung einer von dir aktiv abgesendeten Kontakt-, Erstuntersuchungs- oder Terminanfrage und einer Anfrage aus dem Vorsorgerechner samt MEDIFIN-Herkunftszuordnung zur Bearbeitung. Ablage als Kontakt mit Notizen; Unterlagen aus dem Vorsorgerechner als nicht öffentliche Dateien, sofern die Upload-Funktion freigeschaltet ist. Kein Tracking-Code, kein Chatflow, keine Newsletter-Einwilligung abgeleitet. Erst beim bewussten Absenden eines Formulars oder, sofern freigeschaltet, beim Hochladen einer Unterlage. Datenschutzhinweis des Anbieters
  • Zoom (externe Webinar-Anmeldung): Anmeldung und Durchführung von MEDIFIN-Webinaren. Beim Besuch unserer Seiten werden keine Daten an Zoom übermittelt. Erst wenn du den externen Anmeldelink bewusst öffnest. Datenschutzhinweis des Anbieters
  • LARISSA-Schnittstelle und OpenAI (KI-Chat mit Larissa): Beantwortung eigener Fragen im Chat: Deine Nachricht und der bisherige Chatverlauf gehen an unsere LARISSA-Schnittstelle (api.larissaai.online) und von dort an ein Sprachmodell von OpenAI. Details unter Punkt 11. Erst wenn du im Chat eine eigene Frage absendest. Auf Kampagnenseiten fragt die Website beim ersten Öffnen vorher nur ab, ob der Chat verfügbar ist, ohne Chatinhalte. Datenschutzhinweis des Anbieters
  • Google Analytics 4 (Google Ireland Limited): Reichweiten- und Nutzungsmessung, um Inhalte und Struktur der Website zu verbessern: aufgerufene Seiten mit bereinigter Adresse, Herkunft, Geräte- und Browserangaben, ungefährer Standort und eine pseudonyme Kennung in den Cookies _ga und _ga_<Kennung> (rund 13 Monate). Der Google-Tag (gtag.js) wird dafür von www.googletagmanager.com geladen. Keine Werbefunktionen, keine Google-Signale. Eine Verarbeitung durch die Google LLC in den USA ist möglich. Details unter Punkt 4a. Erst nach deiner Einwilligung in die Kategorie „Statistik und Analyse“; vorher wird nichts geladen. Widerruf jederzeit über die Datenschutz-Einstellungen. Datenschutzhinweis des Anbieters

4a. Statistik mit Google Analytics 4

Mit deiner Einwilligung in die Kategorie „Statistik und Analyse“ (Punkt 3) messen wir mit Google Analytics 4, wie diese Website genutzt wird: welche Seiten du aufrufst, über welche Website oder Kampagne du zu uns kommst und wie lange du Seiten nutzt. Wir sehen die Ergebnisse nur als zusammengefasste Statistik und nutzen sie, um Inhalte und Struktur der Website zu verbessern. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Ohne deine Einwilligung lädt die Website Google Analytics nicht: Es wird kein Code von Google geladen, keine Verbindung zu Google aufgebaut und kein Cookie gesetzt. Erst nach deiner Einwilligung lädt dein Browser den Google-Tag (gtag.js) von www.googletagmanager.com; einen Container des Google Tag Managers setzen wir nicht ein. Auf der Beraterfläche, auf den persönlichen Links des Vorsorgerechners (Punkt 5a) und auf der persönlichen Auswertung des Financial Health Checks läuft Google Analytics nie mit.

Verarbeitete Daten

  • eine zufällige, pseudonyme Kennung in den Cookies _ga und _ga_<Kennung> unserer Domain medi-fin.com;
  • die aufgerufenen Seiten mit bereinigter Adresse – ohne den Teil nach „#“ und ohne Abfrageparameter außer den Kampagnenparametern utm_source, utm_medium, utm_campaign, utm_content und utm_term – sowie der Seitentitel;
  • die Herkunft: bei Seiten dieser Website die bereinigte Adresse, bei fremden Websites nur deren Domain;
  • Geräte- und Browserangaben wie Gerätetyp, Betriebssystem, Browser und Sprache sowie Zeitpunkt und Dauer der Nutzung;
  • der ungefähre Standort (etwa Land, Region oder Stadt), den Google aus deiner IP-Adresse ableitet. Google Analytics 4 protokolliert und speichert IP-Adressen nach Angaben von Google nicht.

Inhalte aus Formularen, aus dem Vorsorgerechner, dem Financial Health Check oder dem Chat senden wir nicht an Google Analytics, ebenso keine Klick-Kennungen aus Werbeanzeigen (etwa gclid) und keine Nutzer-ID. Google-Signale, die Personalisierung von Werbung und Werbe-Cookies sind ausgeschaltet; die Speicherung für Werbezwecke lehnt die Website gegenüber Google technisch ab. Wir verknüpfen die Daten weder mit Google Ads noch mit Angaben aus deinen Anfragen.

Rechtsgrundlage und Widerruf

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021. Du kannst sie jederzeit mit Wirkung für die Zukunft in den Datenschutz-Einstellungen (Punkt 3) widerrufen. Dann schaltet die Website Google Analytics sofort ab, sendet keine Daten mehr und löscht die Cookies _ga und _ga_<Kennung> unserer Domain.

Speicherdauer

Die Cookies _ga und _ga_<Kennung> bleiben rund 13 Monate gespeichert, sofern du sie nicht vorher löschst oder deine Einwilligung widerrufst. Ereignisdaten mit Kennung bewahrt Google Analytics 2 Monate auf und löscht sie danach automatisch; Die Aufbewahrung für Nutzerdaten beträgt 14 Monate; bei erneuter Aktivität beginnt diese Frist erneut. Zusammengefasste Berichte ohne Kennung bleiben bestehen.

Empfänger und Drittland

Google verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage der Datenverarbeitungsbedingungen von Google für Mess- und Werbedienste. Die Google Ireland Limited kann Daten an die Google LLC in den USA übermitteln (Punkt 14). Hinweise des Anbieters findest du in der Datenschutzerklärung von Google.

5. Kontakt und digitale Erstuntersuchung

Bei einer Anfrage können Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Nachricht sowie ausgewählte Interessen-, Tätigkeits- und Prioritätsangaben verarbeitet werden. Zweck ist die Bearbeitung deiner Anfrage und die Vorbereitung eines gewünschten Kontakts oder einer Beratung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung); für Sicherheits- und Nachweiszwecke kann zusätzlich Art. 6 Abs. 1 lit. f DSGVO gelten.

Kontaktformular und digitale Erstuntersuchung sind getrennte Vorgänge mit jeweils eigener Zweckbindung. Eine Absendung ist keine Einwilligung in Newsletter, Werbung oder markenübergreifende Ansprache.

Wünschst du eine Beratung oder Vermittlung, geben wir die dafür nötigen Angaben an Michael Christian Dennis Kolar (Einzelunternehmen, Geschäftsbezeichnung MEDIFIN) weiter. Er erbringt die Vermögensberatung und Versicherungsvermittlung gewerberechtlich (siehe Impressum und Erstinformation) und verarbeitet die Angaben dafür als eigener Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Erreichbar ist er unter Gutheil-Schoder-Gasse 7A, 1100 Wien, service@medi-fin.com; dort kannst du deine Rechte nach Punkt 16 auch ihm gegenüber geltend machen.

Zur korrekten Zuordnung einer aktiv abgesendeten Anfrage dokumentieren wir MEDIFIN als Marke und Website sowie – soweit in der laufenden Seitensitzung verfügbar – Einstiegsseite, vorherige MEDIFIN-Seite, den Referrer ohne Abfrageparameter und ausdrücklich zugelassene Kampagnenparameter (UTM-Parameter sowie Kennungen von Google, Meta, Microsoft, TikTok und LinkedIn). Beliebige Abfrageparameter oder Inhalte aus fremden URLs werden nicht übernommen. Diese Angaben werden erst mit dem bewussten Absenden an HubSpot übertragen; davor wird dafür kein HubSpot-Tracking-Code geladen.

Der Financial Health Check und der Pensions-Kompass verarbeiten deine Antworten zunächst ausschließlich im aktuellen Browser-Tab und speichern sie dort vorübergehend in der Sitzungs-Speicherung. Beim Schließen des Tabs endet diese lokale Sitzung regelmäßig. Die PDF-Auswertung wird lokal aus diesen Angaben erstellt und nicht automatisch übertragen.

Nur wenn du bei der Kontaktaufnahme die gesonderte Auswahl aktivierst, übermitteln wir zusätzlich eine kompakte Ergebniszusammenfassung an HubSpot. Diese umfasst Gesamtwert, Datenklarheit, die vier Bereichswerte, den ermittelten Schwerpunkt, allgemeine Profilangaben und gegebenenfalls das Ergebnis des Pensions-Kompasses. Einzelne Rohantworten werden dabei nicht übertragen. Die Auswahl ist freiwillig und für die Kontaktaufnahme nicht erforderlich.

Bitte gib in freien Website- oder Chatfeldern keine Gesundheitsdaten, keine Versicherungsdetails und keine detaillierten Finanzdaten ein. Solche Angaben besprechen wir in einem geschützten, dafür vorgesehenen Rahmen.

5a. Vorsorgerechner

Mit dem Vorsorgerechner unter medi-fin.com/vorsorgerechner schätzt du deine Versorgung im Ruhestand und für den Fall, dass du nicht mehr arbeiten kannst. Der Rechner stellt keine Gesundheitsfragen. Für eine gewünschte Beratung gilt die Weitergabe nach Punkt 5.

Rechnen im Browser

Du gibst etwa Beruf, Bundesland, Geburtsjahr, Geschlecht, Berufsbeginn, Einkommen, gewünschtes Pensionsalter, dein Ziel, Werte aus Pensionskonto und Versorgungswerk sowie bestehende Vorsorge ein. Die Berechnung läuft in deinem Browser; deine Eingaben werden dabei nicht an uns übertragen. Damit sie beim Neuladen erhalten bleiben, liegen sie in der Sitzungs-Speicherung dieses Browser-Tabs. Diese Speicherung ist für den von dir genutzten Rechner unbedingt erforderlich (Punkt 3) und endet regelmäßig mit dem Schließen des Tabs.

Befund anfordern

Forderst du den ausführlichen Befund an, verarbeiten wir deinen Vornamen, deine E-Mail-Adresse, auf Wunsch deine Telefonnummer, alle Eingaben im Rechner, den Zeitpunkt, die Seite des Formulars und die Fassung des Bestätigungstextes. Wir legen diese Angaben in unserem Kundensystem HubSpot (Punkt 6) als Kontakt mit einer Notiz ab. Die Notiz enthält deine Eingaben, den vollständigen Befund und einen verschlüsselten Link, mit dem die Beratung deinen Fall öffnen kann. Ist deine E-Mail-Adresse bei uns schon bekannt, ändern wir die vorhandenen Kontaktdaten nicht; weicht der eingegebene Name ab, vermerken wir das nur zur Prüfung.

Zum Schutz vor automatisierten Anfragen holt das Formular beim Laden eine einmalige Formularmarke von unserem Server; sie enthält keine Angaben über dich. Außerdem begrenzt der Server die Zahl der Anfragen je IP-Adresse und je E-Mail-Adresse. Diese Werte hält er dafür nur als gekürzte Prüfsumme im Arbeitsspeicher und speichert sie nicht dauerhaft.

E-Mail und persönlicher Link

Derzeit ist der E-Mail-Versand nicht eingerichtet: Es geht keine E-Mail hinaus, und an Resend wird nichts übertragen (Punkt 10). Sobald der E-Mail-Versand eingerichtet ist, schicken wir dir den Befund mit deinem persönlichen Link über den E-Mail-Dienst Resend. Resend erhält dafür deine E-Mail-Adresse, deinen Vornamen, die Kennzahlen des Befunds und den Link; ist eine interne Kopie eingerichtet, geht sie an ein internes Postfach. Geht keine E-Mail hinaus, weil der Versand nicht eingerichtet ist oder fehlschlägt, gilt: Ist deine E-Mail-Adresse neu bei uns, zeigen wir dir den Link direkt auf der Website; ist sie schon bekannt, zeigen wir aus Sicherheitsgründen keinen Link an und melden uns persönlich.

Der Link enthält deine Eingaben und Kontaktdaten verschlüsselt im Teil nach dem Zeichen „#“. Diesen Teil senden Browser beim Aufruf einer Seite nicht mit. Zum Öffnen schickt die Seite ihn an unseren Server, der ihn entschlüsselt; gespeichert wird er dabei nicht. Der Link gilt 60 Tage; speicherst du darüber Änderungen, entsteht ein neuer Link, der wieder 60 Tage gilt. Wer den Link hat, kann deine Angaben sehen und ergänzen, bitte gib ihn deshalb nicht weiter. Weil der Link deine Angaben selbst enthält, können wir ihn vor Ablauf nicht einzeln sperren. Verlangst du die Löschung deiner Daten (Punkt 16), lösche bitte auch die E-Mail oder ein Lesezeichen mit dem Link. Speicherst du nach einer Löschung noch über einen gültigen Link, legen wir deine Angaben neu an.

Angaben ergänzen, Termin und Unterlagen

Über den Link kannst du Angaben ändern, eine Telefonnummer ergänzen und einen Terminwunsch mit kurzer Notiz senden. Geänderte Angaben und Terminwunsch speichern wir als weitere Notiz in HubSpot. Sofern die Upload-Funktion freigeschaltet ist, kannst du dort außerdem Unterlagen zu Pension, Einkommen und Vorsorge als PDF, JPG oder PNG hochladen. Wir legen sie als nicht öffentliche Datei bei deinem Kontakt in HubSpot ab und vermerken den Upload in einer Notiz. Abweichend von Punkt 5 sind hier Angaben und Unterlagen zu Pension, Einkommen und Vorsorge ausdrücklich vorgesehen; Gesundheitsangaben bleiben ausgeschlossen. Über einen Link, der dir nur auf der Website angezeigt wurde, ist das Hochladen gesperrt, weil deine E-Mail-Adresse dann nicht bestätigt ist.

Bitte lade keine Unterlagen mit Gesundheitsangaben hoch und schreib keine Gesundheitsdaten in die Notiz. Stehen etwa in einem Vorsorge- oder Versicherungsvertrag Gesundheitsfragen oder Risikozuschläge, schwärze diese Stellen vorher oder bring die Unterlage zur Erstuntersuchung mit.

PDF

Lädst du deinen Befund als PDF herunter, schickt die Seite deine Eingaben, beim persönlichen Link auch diesen Link, an unseren Server. Er erstellt daraus das PDF und gibt es an deinen Browser zurück. Wir speichern weder die Eingaben noch das PDF.

Beratung

Für eine gewünschte Beratung (Punkt 5) kann dein Fall über den Link in der HubSpot-Notiz in einem zugangsgeschützten Beraterbereich geöffnet werden; dieser Link gilt 180 Tage. Dort können Annahmen angepasst, Angaben korrigiert, Notizen ergänzt und dir ein neuer Link erstellt oder, sobald der E-Mail-Versand eingerichtet ist, per E-Mail geschickt werden. Auch das wird als Notiz in HubSpot gespeichert; dabei können deine Kontaktdaten in HubSpot aktualisiert werden.

Rechtsgrundlagen

Rechtsgrundlage für Befund, E-Mail, Link, Ergänzungen, Terminwunsch, Uploads, PDF und die Bearbeitung in der Beratung ist Art. 6 Abs. 1 lit. b DSGVO: Du forderst diese Leistungen selbst an, und sie bereiten auf deinen Wunsch eine Beratung vor. Für Formularmarke und Begrenzung der Anfragen gilt Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor automatisierten und massenhaften Anfragen. Mit dem Häkchen im Rechner bestätigst du deine Anfrage; eine Einwilligung in Newsletter oder Werbung leiten wir daraus nicht ab. Möchtest du zu deinem Befund nicht mehr kontaktiert werden, genügt eine kurze Nachricht an uns (Punkt 1).

Speicherdauer und Drittland

Kontakt, Notizen und hochgeladene Unterlagen in HubSpot bewahren wir nach den Kriterien in Punkt 15 auf: so lange, wie es für Befund, Beratung und Nachweis erforderlich ist, und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen, etwa nach UGB und BAO, wenn es zu einem Geschäft kommt. Ob HubSpot und, sobald der E-Mail-Versand eingerichtet ist, Resend Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, richtet sich nach Punkt 14.

6. HubSpot

Eine von dir aktiv abgesendete Kontakt-, Erstuntersuchungs- oder Terminanfrage und eine Anfrage aus dem Vorsorgerechner (Punkt 5a) werden serverseitig an HubSpot übertragen und dort als Kontakt- und Anfrageinformation mit Notizen geführt; Unterlagen, die du über den Vorsorgerechner hochlädst, liegen dort als nicht öffentliche Dateien. Zweck ist die Bearbeitung und Dokumentation der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Es ist kein HubSpot-Tracking-Code, kein Chatflow und kein eingebettetes HubSpot-Formular auf dieser Website eingebunden. Aus einer Anfrage leiten wir weder eine Newsletter- noch eine Tracking-Einwilligung ab. Hinweise findest du in der HubSpot-Datenschutzerklärung und im HubSpot-DPA.

7. Webinare und Zoom

Die MEDIFIN-Webinarseiten enthalten externe Registrierungslinks zu Zoom. Beim bloßen Besuch unserer Seiten werden keine Daten an Zoom übermittelt und keine Zoom-Skripte geladen. Erst wenn du den Link bewusst öffnest und das Zoom-Formular ausfüllst, verarbeitet Zoom insbesondere Name, E-Mail-Adresse, Registrierungsangaben, technische Nutzungsdaten und den verwendeten Quellenlink.

Registrierungs- und Teilnahmestatus können über die eingerichtete Integration an HubSpot übermittelt werden. Dazu können Webinarname, Registrierung, Teilnahme oder Nichtteilnahme, Ein- und Austrittszeit sowie Teilnahmedauer gehören. Zweck sind Organisation, Versand des persönlichen Zugangslinks, Durchführung, Support und Nachbereitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Werbliche Ansprache nach dem Webinar erfolgt nur auf einer dafür zulässigen, gesondert dokumentierten Grundlage.

Zoom beschreibt die Verarbeitung in seiner Datenschutzerklärung.

8. Aufzeichnung, Transkript, Fragen und Umfragen

Sofern ein MEDIFIN-Webinar aufgezeichnet oder automatisiert transkribiert wird, wird darauf vor Beginn beziehungsweise beim Beitritt sichtbar hingewiesen. Je nach Nutzung können Bild, Stimme, Anzeigename, Chat-, Q&A- und Umfragebeiträge sowie Zeit- und Teilnahmedaten verarbeitet werden. Bitte übermittle im Webinar keine vertraulichen Gesundheits-, Versicherungs- oder Finanzdetails.

Die Aufzeichnung dient der Dokumentation und – nur nach gesonderter Entscheidung und entsprechender Information – einer späteren Bereitstellung. Eine Veröffentlichung identifizierbarer Teilnehmerbeiträge erfolgt nicht ohne passende Rechtsgrundlage. Soweit für eine konkrete Aufzeichnung Einwilligung erforderlich ist, wird sie vor Beginn getrennt eingeholt und kann mit Wirkung für die Zukunft widerrufen werden.

9. Externe Links, externe Medien und Social Media

Unsere Verweise auf Facebook, Instagram, LinkedIn, TikTok und YouTube sind ausschließlich normale externe Links. Es sind keine Social-Plugins, Like-Buttons, Pixel oder Zählmarken dieser Plattformen eingebunden. Eine Datenübermittlung findet erst statt, wenn du den Link anklickst und die Plattform aufrufst; dann gilt deren Datenschutzerklärung.

Videos auf dieser Website werden derzeit aus unserem eigenen Auslieferungspaket bereitgestellt; es sind keine YouTube- oder Vimeo-Player eingebunden. Sollten künftig externe Player eingesetzt werden, erscheinen sie erst nach Einwilligung in die Kategorie „Externe Medien“ – vorher siehst du nur einen lokalen Platzhalter.

10. Derzeit nicht aktive Dienste mit möglicher späterer Aktivierung

Die folgenden Dienste sind in unserer zentralen Diensteregistrierung als „derzeit nicht aktiv“ geführt und technisch deaktiviert. Es wird kein Code geladen, keine Verbindung aufgebaut und kein Identifikator gesetzt. Die Nennung dient ausschließlich der Transparenz über mögliche künftige Nutzungen:

Vor einer Aktivierung prüfen wir jeweils Dienst, konkreten Zweck, Datenarten, Rechtsgrundlage, Speicherdauer, Empfänger, mögliche Drittlandtransfers, den erforderlichen Auftragsverarbeitungsvertrag und die Zuordnung zu einer Consent-Kategorie. Erst danach aktualisieren wir diese Erklärung; ist der Dienst einwilligungspflichtig, erhöhen wir auch die Consent-Version und fragen erneut. Wir holen keine Vorratseinwilligung für unbestimmte oder unbekannte Zwecke ein.

11. KI-Chat mit Larissa

Im digitalen Empfang der Website kannst du mit Larissa chatten, der KI-Assistentin von MEDIFIN. Dass Larissa eine KI ist, steht in ihrer Begrüßung und unter dem Eingabefeld. Die vorbereiteten Themen-Knöpfe, etwa „Was ist die Erstuntersuchung?“, beantwortet die Website direkt in deinem Browser mit vorbereiteten Texten; dabei wird nichts übertragen. Auf Kampagnenseiten wie /bzv setzen die vorgeschlagenen Fragen ihren Text dagegen nur in das Eingabefeld; sendest du ihn ab, ist er eine eigene Frage im Sinne dieses Punkts.

Sendest du Larissa eine eigene Frage, übertragen wir diese Nachricht zusammen mit den bisherigen Beiträgen dieses Chats (höchstens zwölf) verschlüsselt an die LARISSA-Schnittstelle unter api.larissaai.online. Diese Schnittstelle betreiben wir, die FIXKOSTENSENKER 360 GmbH, selbst; bereitgestellt wird sie wie diese Website über Vercel. Die Schnittstelle gibt deine Nachricht und den bisherigen Chatverlauf an die Programmierschnittstelle von OpenAI weiter, wo ein Sprachmodell die Antwort erzeugt. Außerdem verarbeitet die Schnittstelle technische Verbindungsdaten wie deine IP-Adresse und die aufrufende Website, um Missbrauch zu begrenzen und nur freigegebene Websites zuzulassen. Der Chat setzt dafür keine Cookies und verwendet keine Nutzerkennung.

Die Chatinhalte verarbeitet die OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland, als unser Auftragsverarbeiter (Art. 28 DSGVO). Grundlage ist das OpenAI Data Processing Addendum, das in die Geschäftsbedingungen von OpenAI für die Programmierschnittstelle (OpenAI Services Agreement) einbezogen ist. Daten, die über die Programmierschnittstelle an OpenAI gehen, verwendet OpenAI nach eigenen Angaben standardmäßig nicht zum Training oder zur Verbesserung seiner Modelle.

Rechtsgrundlage für die Übertragung deiner Fragen und des Chatverlaufs ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du erteilst sie, indem du eine eigene Frage absendest. Vorher informiert dich der Hinweis direkt unter dem Eingabefeld, dass Larissa eine KI von OpenAI ist, dass du mit dem Absenden in die Übertragung an OpenAI einwilligst und wo du widerrufen kannst; er verlinkt auf diese Erklärung. Mit dem Absenden deiner ersten eigenen Frage speichern wir die Einwilligung in der Kategorie „KI-Chat“ deiner Datenschutz-Einstellungen (Punkt 3). Dort kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Übertragung bleibt rechtmäßig. Nach einem Widerruf überträgt der Chat erst wieder Chatinhalte, wenn du erneut eine eigene Frage absendest; dieses Absenden ist dann eine neue Einwilligung. Die Einwilligung ist freiwillig; die übrige Website und die Formulare kannst du auch ohne sie nutzen.

Auf Kampagnenseiten wie /bzv, auf denen der Chat angeboten wird, fragt die Website beim ersten Klick auf „Frag Larissa“ bei der LARISSA-Schnittstelle ab, ob der Chat dort gerade verfügbar ist. Diese Statusabfrage geschieht, bevor du etwas schreibst und bevor eine Einwilligung vorliegt. Sie enthält weder Chatinhalte noch Cookies; übertragen werden nur technische Verbindungsdaten wie deine IP-Adresse, die aufrufende Website und Browserangaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, den Chat nur anzubieten, wenn er verfügbar ist, und dich sonst direkt zu Rechner und Erstuntersuchung zu leiten.

Die Website speichert den Chatverlauf nicht: Er besteht nur, solange die Seite geöffnet ist, und ist nach dem Neuladen oder Verlassen der Seite weg. Auch unsere LARISSA-Schnittstelle speichert die Chatinhalte nicht und fordert OpenAI auf, Anfrage und Antwort nicht für einen späteren Abruf abzulegen. OpenAI bewahrt Anfragen und Antworten nach eigenen Angaben nur auf, soweit das zur Erkennung und Abwehr von Missbrauch nötig ist, und löscht sie danach automatisch, sofern OpenAI nicht gesetzlich zu einer längeren Aufbewahrung verpflichtet ist. Für die Protokolldaten beim Aufruf der Schnittstelle gilt Punkt 2.

OpenAI kann die Chatinhalte auch außerhalb des Europäischen Wirtschaftsraums verarbeiten, insbesondere in den USA; Grundlage dafür sind EU-Standardvertragsklauseln (Punkt 14). Hinweise des Anbieters findest du in der Datenschutzerklärung von OpenAI.

Möchtest du über den Chat einen Termin anfragen, öffnet sich darin ein eigenes Formular. Diese Angaben gehen nicht an das Sprachmodell; wir übertragen sie wie eine Kontaktanfrage an HubSpot (Punkt 5 und 6).

Bitte schreib im Chat keine Gesundheits-, Konto-, Versicherungs- oder Vertragsdaten. Solche Angaben besprechen wir in einem geschützten, dafür vorgesehenen Rahmen.

12. Rechtsgrundlagen im Überblick

  • Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021 – Einwilligung für optionale Speicherungen, Analyse, Marketing, externe Medien und KI-Chat.
  • Art. 6 Abs. 1 lit. b DSGVO – Bearbeitung von Anfragen, Erstuntersuchung, Vorsorgerechner, Webinar- und Beratungsanbahnung.
  • Art. 6 Abs. 1 lit. f DSGVO – Betriebssicherheit, Protokolldaten, Missbrauchsabwehr, Nachweiszwecke.
  • Art. 6 Abs. 1 lit. c DSGVO – Erfüllung gesetzlicher Pflichten, etwa Aufbewahrung.

Wir fragen über diese Website bewusst keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO ab und bitten dich, solche Angaben auch nicht in freie Felder, in den Chat oder in hochgeladene Unterlagen aufzunehmen (Punkt 5, 5a und 11).

13. Empfänger und Auftragsverarbeitung

Empfänger sind nur die für den jeweiligen Zweck erforderlichen internen Personen, die oben unter Punkt 4 genannten Dienstleister und deren vertraglich eingesetzte Unterauftragnehmer sowie – nur für eine gewünschte Beratung oder Vermittlung – Michael Christian Dennis Kolar (Einzelunternehmen, MEDIFIN), siehe Punkt 5. Mit Auftragsverarbeitern schließen wir die nach Art. 28 DSGVO erforderlichen Vereinbarungen ab; die konkreten Vertragsstände und Kontoeinstellungen werden intern dokumentiert und bei Änderungen überprüft.

14. Drittlandtransfers

Bei den eingesetzten Anbietern kann eine Verarbeitung auch außerhalb des Europäischen Wirtschaftsraums stattfinden. Die Anbieter nennen dafür je nach Fall Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln.

Für den KI-Chat (Punkt 11) gilt: Übermittelt die OpenAI Ireland Ltd. Chatinhalte an andere OpenAI-Gesellschaften oder Dritte außerhalb des Europäischen Wirtschaftsraums, insbesondere in die USA, geschieht das laut OpenAI Data Processing Addendum auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Für Google Analytics 4 (Punkt 4a) gilt: Die Google Ireland Limited kann Daten an die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, übermitteln. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der Europäischen Kommission besteht (Art. 45 DSGVO); ergänzend sehen die Datenverarbeitungsbedingungen von Google EU-Standardvertragsklauseln vor (Art. 46 Abs. 2 lit. c DSGVO).

Prüfvorbehalt: Wir behaupten hier keine abgeschlossene eigene Prüfung einzelner Verträge, DPAs, Standardvertragsklauseln, Zertifizierungen oder Transfer-Impact-Assessments. Der jeweils maßgebliche Stand richtet sich nach den Vereinbarungen und Konfigurationen des MEDIFIN-Kontos und wird laufend nachgeführt.

15. Speicherdauer

Personenbezogene Daten werden nur so lange aufbewahrt, wie dies für Anfrage, Webinar, Beratung, Nachweis- und Sicherheitszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Kriterien sind der Abschluss des jeweiligen Vorgangs, die Dauer einer Geschäftsbeziehung, offene Ansprüche und gesetzliche Aufbewahrungsfristen.

Konkrete Fristen nennen wir hier nur, wenn sie tatsächlich festgelegt und technisch umgesetzt sind; erfundene oder pauschale Fristangaben vermeiden wir bewusst. Nicht mehr erforderliche Daten werden gelöscht oder anonymisiert. Die lokale Consent-Speicherung bleibt bis zu einer Änderung, einer Versionserhöhung oder bis zum Löschen der Browserdaten bestehen.

Die Gültigkeit der persönlichen Links aus dem Vorsorgerechner (Punkt 5a) ist keine Speicherdauer; Angaben in HubSpot bleiben nach den Kriterien oben gespeichert, auch wenn ein Link abgelaufen ist. Die Sitzungs-Speicherung von Financial Health Check, Pensions-Kompass und Vorsorgerechner endet regelmäßig mit dem Schließen des Browser-Tabs.

Für Google Analytics 4 gelten die Fristen aus Punkt 4a: Cookies rund 13 Monate, Ereignisdaten mit Kennung 2 Monate.

16. Deine Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen hast du Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird. Wende dich dazu an michael.kolar@medi-fin.com; Rechte gegenüber dem Einzelunternehmen (Punkt 5) kannst du auch über service@medi-fin.com geltend machen.

Du kannst dich außerdem bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, beschweren: dsb.gv.at.

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung nach Art. 22 DSGVO findet nicht statt.

17. Technische und organisatorische Maßnahmen

Wir setzen dem Risiko angemessene Maßnahmen nach Art. 32 DSGVO ein, insbesondere Transportverschlüsselung (HTTPS), Datenminimierung durch privacy-by-default-Voreinstellungen nach Art. 25 DSGVO, Zugriffsbeschränkungen auf das Erforderliche, serverseitige Verarbeitung von Formularübermittlungen ohne Weitergabe von Zugangsdaten an den Browser, Validierung von Eingaben sowie regelmäßige Überprüfung der eingesetzten Dienste.

18. Aktualisierung

Diese Datenschutzerklärung wird angepasst, wenn sich Website, Webinarablauf, Anbieter, Datenkategorien, Zwecke oder Consent-Kategorien ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.