Datenschutzerklärung der Pickr-Plattform

Stand: Oktober 2026 — gültig ab Produktiv-Cutover Frankfurt

Diese Datenschutzerklärung gilt für die Webseite pickr.dev (Marketing-Seite und Blog) sowie die Anwendung app.pickr.dev (Plattform).

§ 1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG) ist:

Agusta GmbH (handelnd als Pickr)
Oberdorferstraße 4
6850 Dornbirn, Österreich

Geschäftsführer: Andreas Amann
E-Mail: datenschutz@pickr.dev

§ 2 Datenschutzbeauftragter

Die Agusta GmbH ist nach Art. 37 DSGVO in Verbindung mit § 5 DSG derzeit nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet, da die Voraussetzungen (insbesondere umfangreiche regelmäßige und systematische Überwachung betroffener Personen oder umfangreiche Verarbeitung besonderer Datenkategorien als Kerntätigkeit) nicht erfüllt sind.

Für datenschutzrechtliche Anfragen wenden Sie sich bitte an: datenschutz@pickr.dev

§ 3 Kategorien personenbezogener Daten

Im Rahmen der Bereitstellung und Nutzung der Plattform verarbeiten wir folgende Kategorien personenbezogener Daten:

3.1 Kandidatendaten

Daten von Bewerbern und Kandidaten, die von unseren Kunden in die Plattform eingegeben oder importiert werden:

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Postanschrift
• Bewerbungsdaten: Lebenslauf/CV, Berufserfahrung, Ausbildung, Qualifikationen, Sprachkenntnisse
• Gehaltserwartungen und Verfügbarkeit
• Video- und Audioaufnahmen von Interviews
• KI-generierte Interview-Transkriptionen
• KI-generierte Match-Scores und Scorecard-Bewertungen
• Kommunikationshistorie: E-Mail-Threads, WhatsApp-Nachrichten, LinkedIn-Nachrichten
• Notizen und Bewertungen durch Recruiter und Interviewer

3.2 Nutzer- und Mitarbeiterdaten

Daten der registrierten Nutzer der Plattform:

• Name, E-Mail-Adresse
• Rolle und Berechtigungsstufe innerhalb der Organisation
• Kalenderdaten (Interviewtermine)
• Login-Aktivitäten und Audit-Logs

3.3 Endkunden-Kontaktdaten (Agenturmodus)

Daten von Kontaktpersonen bei Endkunden, für die eine Agentur rekrutiert:

• Name, E-Mail-Adresse, Telefonnummer
• Stellenbeschreibungen, Anforderungsprofile, Hiring-Anforderungen

3.4 Audit-Nutzerdaten

Daten von Nutzern der kostenlosen Audit-Funktion (pickr.dev/audit):

• E-Mail-Adresse, Firmenname
• Übermittelte Prozessinformationen

§ 4 Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage folgender Rechtsgrundlagen gemäß Art. 6 Abs. 1 DSGVO:

4.1 Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

• Bereitstellung und Betrieb der Plattform gemäß dem Nutzungsvertrag (Nutzungsbedingungen)
• Verarbeitung von Kandidatendaten im Auftrag des Kunden (Auftragsverarbeitung gemäß Art. 28 DSGVO, geregelt im AVV unter pickr.dev/legal/avv)
• Zahlungsabwicklung und Rechnungsstellung
• Kundenkommunikation und Support

4.2 Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

• Gewährleistung der Sicherheit und Integrität der Plattform (Fraud Prevention, Missbrauchserkennung)
• Fehlerberichte der Anwendung (Sentry) für eine fehlerfreie und sichere Plattform (siehe § 12)
• Protokollierung von Zugriffen und Aktivitäten (Audit-Logging) zur Nachvollziehbarkeit und Fehlerbehebung
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen
• Automatische Transkription von Video-Interviews zur Erstellung von Interviewnotizen und Scorecards. Die Teilnehmer werden vor dem Beitritt zum Interviewraum hierüber informiert. Es besteht ein Widerspruchsrecht nach Art. 21 DSGVO (siehe § 11)

4.3 Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

• Aufzeichnung von Video-Interviews (Einwilligung der Interviewteilnehmer)
• Zusendung von Marketing-Kommunikation (Newsletter, Produktupdates), sofern der Nutzer ausdrücklich zugestimmt hat
• Produktanalyse und Reichweitenmessung (PostHog, Vercel Web Analytics), nur nachdem Sie „Alle akzeptieren“ gewählt haben (siehe § 12)

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

4.4 Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)

• Aufbewahrung von Rechnungen und Zahlungsdaten gemäß den steuer- und handelsrechtlichen Aufbewahrungspflichten (§ 132 BAO, § 212 UGB: 7 Jahre)

§ 5 Zwecke der Verarbeitung

Personenbezogene Daten werden für folgende Zwecke verarbeitet:

• Bereitstellung der Plattform und ihrer Kernfunktionen (ATS, Kandidatenverwaltung, Kommunikation)
• KI-gestützte Verarbeitung (Matching, Scoring, Transkription, Interview-Analyse) – siehe § 6
• Durchführung und Aufzeichnung von Video-Interviews
• Kommunikation mit Kandidaten über integrierte Kanäle (E-Mail, WhatsApp, LinkedIn)
• Zahlungsabwicklung und Abonnementverwaltung
• Sicherheitsmaßnahmen und Betrugsverhinderung
• Weiterentwicklung und Verbesserung der Plattform (siehe § 12)
• Erfüllung gesetzlicher Aufbewahrungspflichten

§ 6 KI-gestützte Verarbeitung

(1) Die Plattform setzt Künstliche Intelligenz für folgende Funktionen ein:

• Kandidaten-Matching und -Scoring mittels eines KI-Sprachmodells (standardmäßig Anthropic Claude, siehe Abs. 8): Abgleich von Kandidatenprofilen mit Anforderungsprofilen offener Positionen
• Interview-Analyse: KI-gestützte Auswertung von Interview-Inhalten zur Generierung von Scorecards und Bewertungsvorschlägen
• Transkription: Automatische Sprache-zu-Text-Umwandlung von Video-Interviews mittels Deepgram
• Generierung von Interview-Fragen auf Basis des Kandidatenprofils und der Stellenanforderungen

(2) Die KI-Verarbeitung erfolgt ausschließlich als Inference (Modell-Abfrage). Personenbezogene Daten werden zu keinem Zeitpunkt zum Training, Fine-Tuning oder zur Verbesserung von KI-Modellen verwendet – weder durch Pickr noch durch die eingesetzten KI-Unterauftragsverarbeiter (Anthropic, Deepgram). Dies ist vertraglich mit den Unterauftragsverarbeitern vereinbart.

(3) Die Ergebnisse der KI-Verarbeitung dienen ausschließlich als Entscheidungsunterstützung. Es werden keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen im Sinne von Art. 22 DSGVO getroffen. Die Verantwortung für alle Personalentscheidungen liegt beim Kunden.

(4) Bei der KI-Verarbeitung werden nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten an die KI-Dienste übermittelt (Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO).

(5) Das Kandidaten-Matching und -Scoring stellt ein Hochrisiko-KI-System im Sinne von Art. 6 Abs. 2 in Verbindung mit Anhang III Nr. 4 der Verordnung (EU) 2024/1689 (KI-Verordnung) dar, da es im Bereich Beschäftigung und Personalauswahl eingesetzt wird. Kandidaten werden vor oder bei der Nutzung eines solchen Systems im Auswahlverfahren darüber informiert (Art. 26 KI-Verordnung).

(6) Betroffene Personen haben das Recht auf eine klare und aussagekräftige Erläuterung der Rolle des KI-Systems im Entscheidungsprozess, sofern eine sie betreffende Entscheidung rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 86 KI-Verordnung). Wie in Abs. 3 dargestellt, trifft Pickr selbst keine derartigen Entscheidungen; das Recht auf Erläuterung richtet sich in diesem Fall an den verantwortlichen Kunden, an den wir entsprechende Anfragen weiterleiten.

(7) Sämtliche KI-gestützten Bewertungen werden im System protokolliert (ai_decision_log) und bleiben jederzeit menschlich nachvollziehbar und überprüfbar. Anfragen zur Erläuterung einer KI-gestützten Bewertung richten Sie bitte an: datenschutz@pickr.dev.

(8) KI-Anbieter: Standardmäßig werden KI-Anfragen über Anthropic (USA) verarbeitet. Eine Organisation kann in den Einstellungen Mistral AI (Paris, Frankreich) wählen, entweder für alle KI-Aufgaben oder nur für Aufgaben mit Kandidatendaten (Lebenslauf-Analyse, Kandidatenzusammenfassungen, Matching, Auswertung von Transkripten). Schlägt eine Anfrage bei Mistral AI fehl, wird diese Anfrage an Anthropic übermittelt; dieser Vorgang wird protokolliert. Embeddings für die semantische Suche werden immer über Mistral AI erstellt; Namen und Kontaktdaten werden vorher entfernt. KI-Telefonate (Vapi) verwenden unabhängig von dieser Einstellung Anthropic, Deepgram und ElevenLabs.

§ 7 Empfänger und Unterauftragsverarbeiter

Personenbezogene Daten werden an folgende Empfänger und Unterauftragsverarbeiter übermittelt, soweit dies für die Bereitstellung der Plattform erforderlich ist:

LinkedIn-Inbox-Zusatzmodul (Opt-in): Das Zusatzmodul ist standardmäßig deaktiviert. Es wird nur genutzt, wenn die Organisation es freischaltet und ein Nutzer nach ausdrücklicher Bestätigung der Nutzungshinweise sein eigenes LinkedIn-Konto verbindet. Die Anmeldung erfolgt auf einer Seite von Unipile; Zugangsdaten und Sitzung verbleiben bei Unipile, Pickr speichert ausschließlich eine Konto-ID. Pickr speichert nur Nachrichten, die mit Kandidaten der Organisation ausgetauscht werden; alle anderen Nachrichten werden ohne Speicherung verworfen. Antworten werden nur einzeln und vom Nutzer selbst getippt versendet. Automatisierter Versand, Massenversand, Kontaktanfragen, Profilaufrufe und Suchen über Unipile finden nicht statt. Der Nutzer kann die Verbindung jederzeit trennen; dabei wird das Konto bei Unipile gelöscht und die Konto-ID bei Pickr entfernt. Gespeicherte Nachrichten werden wie Nachrichten anderer Kanäle verarbeitet, einschließlich der KI-gestützten Verarbeitung nach § 6.

Unipile setzt laut seiner veröffentlichten Unterauftragsverarbeiterliste folgende weitere Unterauftragsverarbeiter ein: Scaleway SAS und OVH SAS (Hosting, Frankreich); Oxylabs UAB und Decodo UAB (Proxy-Dienste, Litauen); Bright Data Ltd. (Proxy-Dienste, Israel; Angemessenheitsbeschluss); Webshare Software Company (Proxy-Dienste, USA; EU-SCCs Modul 3 mit Transfer Impact Assessment); Infatica Pte. Ltd. (Proxy-Dienste, Singapur; EU-SCCs Modul 3 mit Transfer Impact Assessment); Crisp IM SAS (Support, Frankreich); Intercom R&D Unlimited Company (Support, Irland/USA; EU-US DPF). Pickr legt für jedes verbundene LinkedIn-Konto einen Proxy-Standort in der EU fest.

Sämtliche Unterauftragsverarbeiter unterliegen den Regelungen des Auftragsverarbeitungsvertrags (AVV), abrufbar unter pickr.dev/legal/avv.

Eine darüber hinausgehende Weitergabe personenbezogener Daten an Dritte erfolgt nicht, es sei denn, wir sind gesetzlich dazu verpflichtet (z. B. Auskunftspflichten gegenüber Strafverfolgungsbehörden oder Aufsichtsbehörden).

§ 8 Nutzung von Google API-Daten

(1) Pickr greift mit Ihrer ausdrücklichen Zustimmung auf bestimmte Google-Dienste zu, um Recruiting-Funktionen bereitzustellen. Im Einzelnen:

8.1 Google Gmail API

Zweck: Synchronisierung von E-Mail-Konversationen mit Kandidaten in den Pickr-Posteingang, Versand von E-Mails im Namen des Nutzers.

Zugegriffene Daten: E-Mail-Nachrichten, Betreffzeilen, Absender- und Empfängeradressen, Anhänge in Konversationen mit Kandidaten.

Speicherung: E-Mail-Inhalte werden in unserer Produktionsdatenbank in Frankfurt, Deutschland (Supabase/AWS eu-central-1) gespeichert und sind ausschließlich für die Organisation des Nutzers zugänglich.

Aufbewahrung: E-Mail-Daten werden gespeichert, solange das Nutzerkonto aktiv ist. Bei Kontolöschung werden alle synchronisierten E-Mail-Daten innerhalb von 30 Tagen gelöscht.

Weitergabe: E-Mail-Inhalte werden nicht an Dritte weitergegeben. Bei aktivierter KI-Unterstützung werden E-Mail-Inhalte zur Erstellung von Antwortentwürfen an unseren KI-Anbieter übermittelt, wobei personenbezogene Daten vorher anonymisiert werden (siehe § 6 KI-gestützte Verarbeitung).

8.2 Google Calendar API

Zweck: Anzeige der Kalenderverfügbarkeit für die Interview-Terminplanung, Erstellung von Kalendereinträgen für geplante Interviews.

Zugegriffene Daten: Verfügbarkeit/Belegtzeiten (keine Ereignisdetails), Erstellung neuer Kalendereinträge.

Speicherung: Kalenderdaten werden nicht dauerhaft gespeichert. Verfügbarkeitsinformationen werden nur zum Zeitpunkt der Terminplanung abgerufen.

Weitergabe: Kalenderdaten werden nicht an Dritte weitergegeben.

8.3 Google OAuth (Anmeldung)

Zweck: Authentifizierung und Anmeldung bei Pickr.

Zugegriffene Daten: Name, E-Mail-Adresse, Profilbild.

Speicherung: In der Nutzertabelle unserer Datenbank.

Weitergabe: Nicht an Dritte.

(2) Pickr's Nutzung von Google API-Daten entspricht den Google API Services User Data Policy, einschließlich der Limited Use Anforderungen. Wir verwenden Google-Nutzerdaten ausschließlich zur Bereitstellung der oben beschriebenen Funktionen und geben diese nicht für Werbezwecke oder andere nicht genehmigte Zwecke weiter.

Google API Limited Use Disclosure: Pickr's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

(3) Über Google APIs erhaltene Daten (Gmail, Google Kalender) werden zu keinem Zeitpunkt zur Entwicklung, Verbesserung oder zum Training allgemeiner KI- und/oder ML-Modelle verwendet — weder durch Pickr noch durch eingesetzte Unterauftragsverarbeiter.

(4) Sie können den Zugriff auf Ihre Google-Daten jederzeit widerrufen unter Einstellungen > Integrationen > Google trennen. Bereits synchronisierte Daten werden bei Trennung nicht automatisch gelöscht, können aber auf Anfrage entfernt werden.

§ 9 Drittlandtransfers

(1) Soweit personenbezogene Daten an Unterauftragsverarbeiter in den USA übermittelt werden, stützt sich die Übermittlung auf folgende Garantien gemäß Art. 44 ff. DSGVO:

• EU-US Data Privacy Framework (Art. 45 DSGVO) – sofern der Empfänger zertifiziert ist,
• Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO in der Fassung des Durchführungsbeschlusses (EU) 2021/914.

(2) Die primären Produktivdaten bei Supabase werden in Frankfurt, Deutschland, gespeichert. Supabase Pte. Ltd. und weitere nicht in der EU ansässige Empfänger sind über die EU-Standardvertragsklauseln und die ergänzenden Garantien ihres DPA eingebunden.

(3) Transfer Impact Assessments (TIAs) werden für sämtliche Drittlandtransfers durchgeführt und auf Anfrage zur Verfügung gestellt.

§ 10 Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

Nach Beendigung des Nutzungsvertrags werden personenbezogene Daten innerhalb von dreißig (30) Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Nicht selektiv veränderbare Sicherungskopien werden gesperrt und im dokumentierten Rotationszyklus überschrieben; nach einer Wiederherstellung werden zwischenzeitliche Löschungen vor Freigabe des Systems erneut ausgeführt.

§ 11 Betroffenenrechte

Betroffene Personen haben nach der DSGVO folgende Rechte:

Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu verlangen, einschließlich der Verarbeitungszwecke, Datenkategorien, Empfänger und Speicherdauer.

Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, sofern die Voraussetzungen des Art. 17 DSGVO vorliegen.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, wenn eine der in Art. 18 DSGVO genannten Voraussetzungen erfüllt ist.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die Sie betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln.

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen.

Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf einer Einwilligung beruht, haben Sie das Recht, die Einwilligung jederzeit zu widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien, Österreich
E-Mail: dsb@dsb.gv.at
Web: www.dsb.gv.at

Für die Ausübung Ihrer Rechte wenden Sie sich bitte an: datenschutz@pickr.dev. Wir werden Ihre Anfrage innerhalb eines Monats beantworten (Art. 12 Abs. 3 DSGVO).

Hinweis für Kandidaten: Wenn Sie als Kandidat (Bewerber) Ihre Rechte ausüben möchten, beachten Sie bitte, dass Pickr Ihre Daten in der Regel als Auftragsverarbeiter im Auftrag unseres Kunden (Ihres potenziellen Arbeitgebers oder der beauftragten Personalvermittlung) verarbeitet. In diesem Fall leiten wir Ihre Anfrage an den verantwortlichen Kunden weiter, der über die Verarbeitung Ihrer Daten entscheidet.

§ 12 Cookies und Tracking

(1) Technisch notwendige Cookies und Speicherwerte:

• Session-Cookie (Supabase Auth): Dient der Authentifizierung und Sitzungsverwaltung. Dieser Cookie ist für die Funktion der Plattform zwingend erforderlich und bedarf keiner Einwilligung gemäß § 165 Abs. 3 TKG 2021.
• Ihre Auswahl im Cookie-Hinweis („Nur essenzielle“ oder „Alle akzeptieren“) wird im lokalen Speicher Ihres Browsers gespeichert. In der App speichern wir Ihre Auswahl außerdem mit Datum und Uhrzeit in Ihrem Konto, damit wir Sie nur einmal fragen und Ihre Einwilligung nachweisen können. Ohne Auswahl gilt „Nur essenzielle“.

(2) Fehlerüberwachung:

• Sentry (Functional Software, Inc.; Datenverarbeitung in der EU, Frankfurt): Fehlerberichte aus dem Browser, außerdem pro Seitenaufruf ein Sitzungssignal ohne Nutzerkennung (für die Fehlerrate) und bei 10 % der Seitenaufrufe technische Ladezeiten. Dabei werden die Seitenadresse, die zuvor besuchte Seite und die Browserversion übermittelt. Sentry wird auf jeder Seite geladen, unabhängig von Ihrer Auswahl im Cookie-Hinweis, weil wir ohne Fehlerberichte Funktion und Sicherheit der Plattform nicht gewährleisten können. Sentry setzt keine Cookies und speichert nichts im lokalen Speicher Ihres Browsers. Sentry speichert Ihre IP-Adresse nicht und erhält keine Cookies, keine Formulareingaben und keine Sitzungsaufzeichnung. Zugangsdaten und Tokens werden vor der Übermittlung aus den Berichten entfernt. Fehler auf unseren Servern melden wir derzeit nicht an Sentry. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einer fehlerfreien und sicheren Plattform.

(3) Analyse nur mit Ihrer Einwilligung („Alle akzeptieren“):

• PostHog (PostHog, Inc.; Datenverarbeitung in der EU): Produktanalyse, zum Beispiel Seitenaufrufe, Klicks und Sitzungsaufzeichnungen; Eingabefelder werden dabei maskiert. PostHog wird erst geladen, nachdem Sie „Alle akzeptieren“ gewählt haben: auf der Website im Cookie-Hinweis, in der App beim ersten Anmelden oder unter Einstellungen > Profil. Ohne diese Einwilligung lädt Ihr Browser kein PostHog, es werden keine PostHog-Cookies gesetzt und keine Ereignisse gesendet, auch nicht von unserem Server. Nach Ihrer Einwilligung verwendet PostHog Cookies und den lokalen Speicher Ihres Browsers. Die Ereignisse aus Ihrem Browser leiten wir über unseren Server an PostHog weiter; dabei wird Ihre IP-Adresse übermittelt. In der App werden die Ereignisse mit Ihrer Nutzer-ID verknüpft, und einzelne Ereignisse (zum Beispiel „Stelle veröffentlicht“ oder „Kandidat in eine andere Phase verschoben“) meldet auch unser Server an PostHog. Auf Seiten ohne Cookie-Hinweis (zum Beispiel Karriereseiten, Interviewräume, Portale und die Anmeldeseite) erfasst PostHog nichts, auch wenn Sie diese Seiten aus der App heraus öffnen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 165 Abs. 3 TKG 2021).
• Vercel Web Analytics (Vercel, Inc.): Reichweitenmessung. Wird nur geladen, nachdem Sie „Alle akzeptieren“ gewählt haben (auf der Website oder in der App). Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

(4) Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: auf der Website über „Cookie-Einstellungen“ in der Fußzeile, in der App unter Einstellungen > Profil. Nach dem Widerruf stoppt PostHog in diesem Browser sofort, und seine Cookies und Speicherwerte werden gelöscht. Unser Server sendet spätestens nach zehn Sekunden keine Ereignisse mehr. Auf einem anderen Gerät gilt der Widerruf, sobald dort eine Seite der App neu geladen wird. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Google Analytics und Microsoft Clarity sind derzeit nicht aktiv. Wir setzen keine Werbe-Tracker ein.

§ 13 Sicherheitsmaßnahmen

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten gemäß Art. 32 DSGVO, insbesondere:

• Verschlüsselung aller Datenübertragungen mittels TLS 1.2 oder höher
• Verschlüsselung gespeicherter Daten mittels AES-256
• Multi-Faktor-Authentifizierung (MFA) mittels TOTP ist verfügbar und für administrative Pickr-Zugänge verpflichtend
• Rollenbasierte Zugriffskontrolle mit serverseitiger Validierung und Row-Level Security auf Datenbankebene
• Audit-Logging sicherheitsrelevanter Änderungen und administrativer Vorgänge
• Tägliche automatische Sicherungen der Datenbank durch den Hosting-Anbieter (Supabase), die 7 Tage aufbewahrt werden

Die vollständige Dokumentation der technischen und organisatorischen Maßnahmen (TOMs) ist in Anlage 1 des AVV (pickr.dev/legal/avv) enthalten.

§ 14 Änderungen dieser Datenschutzerklärung

(1) Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, insbesondere bei Änderungen der Plattformfunktionen, der eingesetzten Unterauftragsverarbeiter oder der Rechtslage.

(2) Die jeweils aktuelle Fassung ist unter pickr.dev/legal/privacy abrufbar.

(3) Über wesentliche Änderungen informieren wir registrierte Nutzer per E-Mail. Die fortgesetzte Nutzung der Plattform nach Inkrafttreten der Änderung gilt als Kenntnisnahme.

§ 15 Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Betroffenenrechte wenden Sie sich bitte an:

Agusta GmbH (Pickr)
Oberdorferstraße 4
6850 Dornbirn, Österreich
E-Mail: datenschutz@pickr.dev

Stand: Oktober 2026 · Agusta GmbH (Pickr), Oberdorferstraße 4, 6850 Dornbirn, Österreich · Web: pickr.dev