← X.ECO

Datenschutzerklärung

Stand: 23. August 2026

1. Verantwortlicher

Squarewave Engineering, Inhaber Robert Niederreiter
Aflingerstraße 19, A-6176 Völs, Österreich
E-Mail: office@squarewave.at · Telefon: +43 699 160 20 192
UID: ATU61774100 · GISA: 21602337

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Geltungsbereich

X.ECO ist eine Anwendung für Unternehmen zur Dokumentation und Abwicklung von Arbeitsvorgängen. Sie besteht aus einer mobilen App für iOS und Android sowie einem Web-Portal.

Diese Datenschutzerklärung gilt für beide sowie für die zugehörigen Server. Sie beschreibt die Verarbeitung personenbezogener Daten, für die Squarewave Engineering verantwortlich ist, und informiert darüber, welche Verarbeitungen in der Verantwortung des jeweils einsetzenden Unternehmens liegen (Punkt 3).

3. Wer wofür verantwortlich ist

X.ECO wird von Unternehmen für ihre eigene Arbeit eingesetzt. Daraus ergibt sich eine Trennung, die für Ihre Rechte wichtig ist:

Datenbereich Verantwortlich
Ihr Zugang — Konto, Anmeldung, Geräte wir (siehe Punkt 1)
Die Inhalte — Vorgänge, Fotos, Texte, Sprachnotizen, Adressen, Orts- und Zeitangaben das Unternehmen, das X.ECO einsetzt

Für die Inhalte handeln wir ausschließlich im Auftrag und nach Weisung dieses Unternehmens (Auftragsverarbeitung nach Art. 28 DSGVO). Wir verarbeiten sie zu keinem eigenen Zweck.

Betrifft Ihr Anliegen die Inhalte, ist das einsetzende Unternehmen Ihre Ansprechstelle. Wenden Sie sich dennoch an uns, leiten wir Ihr Anliegen unverzüglich dorthin weiter und benachrichtigen Sie darüber.

4. Welche Daten verarbeitet werden

4.1 Konto- und Zugangsdaten

E-Mail-Adresse, Anzeigename, Passwort (ausschließlich als kryptografischer Hash — wir kennen Ihr Passwort nicht), Zugehörigkeit zu einem oder mehreren Mandanten samt Rolle sowie der Kontostatus.

Zweck: Anmeldung, Rechtevergabe und die Zuordnung Ihrer Beiträge zu Ihrem Namen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags, in dessen Rahmen Ihr Zugang steht).

4.2 Geräte und Anmeldung

Je angemeldetem Gerät: eine Gerätekennung, eine Bezeichnung (z. B. „Pixel 8"), der Zeitpunkt der Einrichtung, der Zeitpunkt der letzten Nutzung sowie Ablauf bzw. Widerruf. Das Zugangsmittel selbst wird ausschließlich in gehashter Form gespeichert.

Zweck: Damit Sie sich nicht bei jedem Öffnen neu anmelden müssen, und damit der Zugang eines verlorenen Geräts entzogen werden kann.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Sicherheit der Zugänge).

4.3 Inhalte, die in X.ECO erfasst werden

Verantwortlich ist das einsetzende Unternehmen (Punkt 3). Je nach Nutzung sind das:

Rechtsgrundlage: die des einsetzenden Unternehmens — in der Regel Art. 6 Abs. 1 lit. b (Erfüllung seines Auftrags), lit. c (gesetzliche Dokumentationspflichten) oder lit. f (Nachweisführung und Qualitätssicherung).

Zu Bildaufnahmen: Fotos in X.ECO dienen der Dokumentation eines Arbeitsvorgangs. Nutzer sind angehalten, den Bildausschnitt auf das dokumentarisch Erforderliche zu beschränken und die Erfassung unbeteiligter Personen zu vermeiden.

4.4 Berechtigungen der App

Die App fragt Berechtigungen erst dann ab, wenn Sie eine Funktion nutzen, die sie benötigt, nicht beim Start. Sie können jede davon in den Einstellungen Ihres Geräts jederzeit widerrufen; die App bleibt nutzbar, die betreffende Funktion steht dann nicht zur Verfügung.

Berechtigung Wofür
Kamera Aufnahmen zur Dokumentation
Mikrofon Sprachnotizen
Standort (nur während der Nutzung) Verortung eines Vorgangs oder einer Handlung
Fotomediathek Auswahl bereits vorhandener Aufnahmen

Die App verlangt keine Berechtigung für Standort im Hintergrund, für Kontakte, für den Kalender oder für Telefonie.

4.5 Standortdaten

Ein Standort wird im Moment einer Handlung erfasst — wenn ein Foto aufgenommen, ein Vorgang verortet oder eine Zeitbuchung gestartet wird. Erfasst werden Koordinaten und begleitende Angaben zur Genauigkeit.

Nicht erfasst werden: Standorte bei geschlossener App, Bewegungsaufzeichnungen zwischen zwei Handlungen oder ein Standortverlauf.

Karten und Adresssuche laufen über einen von uns selbst betriebenen Kartendienst auf Basis von OpenStreetMap-Daten. Es sind keine Kartendienste Dritter eingebunden.

4.6 Zugriffsprotokolle

Beim Aufruf unserer Server wird ein Zugriffsprotokoll geschrieben mit IP-Adresse, Zeitpunkt, aufgerufener Adresse, HTTP-Status, übertragener Datenmenge und Browserkennung. Weitere Angaben aus dem Browser werden nicht protokolliert.

Zweck: Betrieb, Fehlersuche und Erkennung von Angriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Diese Daten werden nicht mit anderen Daten zusammengeführt und nicht zu Werbe- oder Analysezwecken verwendet.

4.7 Angriffserkennung

Zur Abwehr automatisierter Angriffe werden die Zugriffsprotokolle ausgewertet und auffällige Absender auf Netzwerkebene gesperrt. Löst eine IP-Adresse ein bekanntes Angriffsmuster aus, werden IP-Adresse, erkanntes Muster und Zeitpunkt an das Netzwerk des eingesetzten Angriffserkennungs-Anbieters (Sitz in Frankreich) gemeldet, der diese Angaben an andere Betreiber weiterverteilt. Die Anfrage selbst wird nicht übertragen. Betroffen sind damit nur Absender, die ein Angriffsmuster ausgelöst haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Netz- und Informationssicherheit, ErwG 49).

5. Nicht eingesetzte Verfahren und Dienste

Zur Klarstellung, welche in Anwendungen dieser Art verbreiteten Verarbeitungen hier nicht stattfinden:

6. Empfänger

Kategorie Wofür Was dabei anfällt Ort
Hosting-Dienstleister Betrieb von Server, Datenbank und Speicher Serverbetrieb; Fotos und Sprachnotizen ausschließlich verschlüsselt Deutschland
Anbieter zur Angriffserkennung siehe Punkt 4.7 IP-Adresse, Muster, Zeitpunkt Frankreich

Fotos und Sprachnotizen werden von unserem Server verschlüsselt, bevor sie den Speicheranbieter erreichen. Dieser erhält zu keinem Zeitpunkt einen Schlüssel und kann die Inhalte nicht einsehen.

Dienstleister werden sorgfältig ausgewählt, nur im erforderlichen Umfang eingebunden und unterliegen den Anforderungen der DSGVO. Die Namen der eingesetzten Dienstleister nennen wir Ihnen auf Anfrage.

Eine Übermittlung in Länder außerhalb der EU findet nicht statt.

Der Bezug der App über den Apple App Store oder Google Play ist ein davon getrenntes Verhältnis zwischen Ihnen und dem jeweiligen Anbieter, der dabei als eigener Verantwortlicher handelt.

7. Speicherdauer

Konto- und Zugangsdaten werden für die Dauer Ihres Zugangs verarbeitet.

Inhalte werden so lange verarbeitet, wie das einsetzende Unternehmen sie benötigt. Über die Dauer entscheidet dieses Unternehmen nach seinen vertraglichen und gesetzlichen Aufbewahrungspflichten — etwa nach § 132 BAO. Nach Beendigung des Vertragsverhältnisses werden die Daten nach Maßgabe der mit diesem Unternehmen getroffenen Vereinbarung gelöscht oder zurückgegeben.

Zugriffsprotokolle werden laufend rotiert und überschrieben. Sie sind zusätzlich in verschlüsselten Sicherungskopien enthalten, bis diese im regulären Sicherungszyklus überschrieben werden.

Zur Dokumentation: Änderungen werden versioniert geführt. Eine Änderung überschreibt den bisherigen Stand nicht, sondern wird als neue Fassung angelegt; frühere Fassungen bleiben Teil der Dokumentation. Für die Löschung gelten die gesetzlichen Grenzen, insbesondere Art. 17 Abs. 3 DSGVO.

8. Ihre Rechte

Ihnen stehen zu: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). In Österreich besteht zusätzlich das Grundrecht auf Geheimhaltung nach § 1 DSG.

So machen Sie sie geltend:

Zum Schutz Ihrer Daten prüfen wir vor einer Auskunft Ihre Identität.

Beschwerderecht: Sie können sich jederzeit bei der Aufsichtsbehörde beschweren — Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.

9. Sicherheit

Wir treffen technische und organisatorische Maßnahmen zum Schutz der Daten, insbesondere:

Hinweis zur Offline-Nutzung: Damit ohne Netzverbindung gearbeitet werden kann, hält die App eine lokale Kopie der Daten auf dem Gerät vor. Bitte sichern Sie Ihr Gerät durch Gerätesperre und Geräteverschlüsselung.

10. Kinder

X.ECO ist ein Werkzeug für den beruflichen Einsatz in Unternehmen und richtet sich nicht an Kinder. Zugänge werden ausschließlich durch das einsetzende Unternehmen für dessen Beschäftigte und Beauftragte eingerichtet; eine Registrierung durch Privatpersonen ist nicht vorgesehen.

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich das Produkt oder die Rechtslage ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung. Das Datum der letzten Änderung steht am Anfang.