Datenschutzerklärung

1. Verantwortlicher

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Website suncredia.com sowie für die Web-Applikation hub.suncredia.com (Suncredia Hub, Ratenkauf-Antragsstrecke „Suncredia Checkout" und Bestell-Tracking-Portal). Die Produktbezeichnungen „Suncredia Checkout" (Ratenkauf im Onlineshop) und „Suncredia Hub" (Antragsabwicklung beim Fachbetrieb) bezeichnen dabei Funktionen ein und derselben Plattform, die unter hub.suncredia.com betrieben wird; diese Erklärung gilt für beide gleichermaßen. Sie richtet sich an Besucher der Website, registrierte Geschäftskunden (Handelspartner und Fachbetriebe) samt deren Mitarbeitenden sowie an Privatkunden, deren Daten im Rahmen von Ratenkauf-Anträgen verarbeitet werden.

3. Rolle von Suncredia und Grundsätze

Suncredia betreibt die Plattform als technische und organisatorische Lösung zur Vertriebsunterstützung und zur strukturierten Übermittlung von Ratenkauf-Anträgen. Suncredia ist kein Kreditinstitut und kein Kreditvermittler, berät nicht zu Finanzierungen und trifft keine Kreditentscheidungen. Die Prüfung, Bewertung und Entscheidung über Anträge erfolgt ausschließlich durch den jeweiligen Finanzierungspartner beziehungsweise die kreditgebende Bank; Kreditverträge kommen ausschließlich zwischen dem Antragsteller und der Bank zustande.

4. Besuch der Website (suncredia.com)

Die Website wird derzeit über die Plattform Shopify betrieben (Shopify International Limited, Dublin, Irland). Beim Aufruf werden technische Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp) verarbeitet, um die Website bereitzustellen und ihre Sicherheit zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem sicheren, stabilen Betrieb). Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b DSGVO).

Interessenten-Anfragen (Vermittlung an Partnerbetriebe)

Über Anfrageformulare auf unserer Website (teilweise umgesetzt mit dem Dienst Heyflow) können Privatpersonen eine unverbindliche Anfrage für eine Anlage stellen. Die dabei angegebenen Daten (z. B. Name, Postleitzahl, Kontaktdaten, Interessensgebiet) verarbeiten wir, um die Anfrage einem passenden Partnerbetrieb oder Partner-Shop in der Region zuzuordnen, und geben sie zu diesem Zweck an diesen weiter, damit er Sie für ein Angebot kontaktieren kann (Art. 6 Abs. 1 lit. b DSGVO — Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage). Der Partnerbetrieb verarbeitet Ihre Daten anschließend in eigener Verantwortung. Wird innerhalb von sechs Monaten keine Geschäftsbeziehung angebahnt, löschen wir die Anfrage. Eine Weitergabe zu Kredit- oder Finanzierungszwecken findet in diesem Schritt nicht statt; ob und wie Sie eine Anlage bezahlen oder finanzieren, klären Sie mit dem Partnerbetrieb und gegebenenfalls dessen Bank.

5. Suncredia Hub und Antragsstrecke (hub.suncredia.com)

a) Betrieb und Speicherorte

Die Anwendung wird auf Infrastruktur des Anbieters Fly.io betrieben; die Ausführung erfolgt in der Region Frankfurt am Main. Die Datenbank wird bei Neon gehostet, hochgeladene Dateien werden bei Amazon Web Services (S3) gespeichert — jeweils am Serverstandort Frankfurt am Main. E-Mails im Zusammenhang mit Vorgängen werden über den Dienst Resend versendet.

b) Kategorien verarbeiteter Daten

• Unternehmens- und Nutzerdaten (B2B): Firmenname, Rechtsform, Anschrift, Kontaktdaten sowie Identitäts- und Legitimationsdaten vertretungsbefugter Personen
• Privatkundendaten (Ratenkauf-Anträge): persönliche Stammdaten, Kontakt- und Kommunikationsdaten, Anschrift einschließlich Voranschrift, Angaben zur beruflichen Situation, Einkommens- und Haushaltsdaten, Bank- und Zahlungsdaten sowie hochgeladene Dokumente (z. B. Ausweis, Reisepass, Gehaltsnachweise, Mietverträge, Kontounterlagen)
• Bestell- und Vorgangsdaten des jeweiligen Partner-Shops (Bestellreferenz, Warenkorb, Betrag)
• Technische Nutzungsdaten: Logfiles, IP-Adresse, Zeitstempel

c) Zwecke und Rechtsgrundlagen

Die Verarbeitung dient der Bereitstellung und dem Betrieb der Plattform, der Verwaltung von Nutzerkonten und Projekten, der strukturierten Erfassung, Zwischenspeicherung und Übermittlung von Ratenkauf-Anträgen, der Kommunikation zu Vorgängen sowie der Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. auf Anfrage der betroffenen Person eingeleitete vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und effizienten Plattformbetrieb) sowie — soweit erforderlich — Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

d) Zwischenspeicherung von Eingaben

Damit ein Antrag unterbrochen und später fortgesetzt werden kann, werden Eingaben bereits während des Ausfüllens gespeichert. Das dient ausschließlich der Benutzerfreundlichkeit.

e) Automatisierte Auslesung hochgeladener Dokumente

Die automatisierte Auslesung ist eine optionale Unterstützung und auf den freiwilligen Vorab-Upload beschränkt: Nutzt der Antragsteller zu Beginn des Antrags die Funktion „Dokumente vorab hochladen", können diese Dokumente automatisiert ausgelesen werden (Texterkennung), um Eingabefelder vorzubefüllen. Dafür setzen wir den Dienst Microsoft Azure OpenAI ein; die Verarbeitung erfolgt in der Region Schweden (EU). Die Inhalte werden dabei nicht zum Training von KI-Modellen verwendet. Es erfolgt keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO — über den Antrag entscheidet ausschließlich die Bank. Später im Antrag hochgeladene Nachweise werden nicht automatisiert ausgelesen, sondern ausschließlich gespeichert und im Rahmen des Antrags übermittelt.

f) Übermittlung im Rahmen des Antrags

Die im Antrag erfassten Daten werden — soweit für die Durchführung erforderlich — an den jeweiligen Handelspartner — dessen Shop-System erhält nur den Vorgangsstatus; im Händler-Portal kann der Handelspartner die zu seinen eigenen Vorgängen gehörenden Antragsangaben, abgegebenen Erklärungen und hochgeladenen Unterlagen einsehen, um den Ratenkauf abzuwickeln — insbesondere zur Vollständigkeitsprüfung, zur Anforderung fehlender Unterlagen und zur Übermittlung an den Finanzierungspartner — sowie an den Finanzierungspartner und dessen Bankpartner übermittelt — je nach Ausgestaltung des Prozesses unmittelbar aus der Antragsstrecke oder durch den Handelspartner über das Portal. Finanzierungspartner ist derzeit die DFP Service GmbH, Robert-Bosch-Str. 32, 63303 Dreieich, Deutschland; kreditgebende Bank für Anträge aus Deutschland ist derzeit die Volksbank Heuchelheim eG, Jahnstraße 4-8, 35452 Heuchelheim. Die jeweils zuständige Bank wird im Antragsprozess genannt. Mit der Übermittlung des Antrags wird die Kreditwürdigkeitsprüfung durch die Bank eingeleitet; dabei können Auskunfteien einbezogen und Score-Verfahren genutzt werden. Die ausführlichen Informationen der Bank zu diesen Verarbeitungen erhält der Antragsteller spätestens mit den Vertragsunterlagen (elektronische Signatur).

g) Speicherdauer und Löschung

Hochgeladene Nachweise bleiben für die Dauer der Antragsabwicklung gespeichert — etwa für Rückfragen der Bank oder das Nachreichen fehlender Unterlagen — und werden innerhalb von 30 Tagen nach vollständiger Abwicklung des Vorgangs (insbesondere nach Auszahlung, Ablehnung oder Abbruch) automatisiert gelöscht, spätestens jedoch sechs Monate nach der letzten Aktivität im Vorgang. Die Löschung wird ohne Inhalte protokolliert (Zeitpunkt, Vorgangs-ID). Ausweis- und Legitimationsdokumente werden in keinem Fall dauerhaft gespeichert; die Aufbewahrung der Kreditunterlagen obliegt Bank und Finanzierungspartner. Nach Abschluss des Vorgangs verbleiben im System nur die Stammdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer), die Eckdaten der Finanzierung (Betrag, Laufzeit, Rate, Rateneinzugstermin, Status, Vorgangsnummer und kreditgebende Bank) sowie die Bestelldaten, die der Handelspartner für Gewährleistung, eine etwaige Rückabwicklung und die Abrechnung benötigt. Unabhängig davon bewahren wir das Protokoll erteilter Einwilligungen (einschließlich etwaiger Widerrufe) sowie inhaltsfreie technische Prüfsummen zu Nachweiszwecken auf (Art. 7 Abs. 1 bzw. Art. 6 Abs. 1 lit. f DSGVO); dieses Protokoll löschen wir drei Jahre nach Abschluss des Vorgangs zum Jahresende; im Übrigen speichern wir Unternehmens- und Abrechnungsdaten gemäß den gesetzlichen Fristen (in Österreich in der Regel sieben Jahre).

6. Abrechnung von Geschäftskunden-Paketen

Kostenpflichtige Pakete rechnen wir über den Zahlungsdienstleister Stripe ab (Stripe Payments Europe Ltd., Dublin, Irland); dabei werden die für die Zahlungsabwicklung erforderlichen Daten an Stripe übermittelt.

7. Eingesetzte Dienstleister (Auftragsverarbeiter)

Zur Bereitstellung, Automatisierung und Abwicklung von Betrieb, Vertrieb und Kommunikation setzen wir folgende Dienstleister auf Grundlage von Auftragsverarbeitungsverträgen gemäß Art. 28 DSGVO ein; sie verarbeiten Daten ausschließlich nach unserer Weisung und im erforderlichen Umfang:

• Fly.io, Inc. (USA) — Hosting der Anwendung, Ausführungsregion Frankfurt am Main
• Neon, Inc. (USA) — Datenbank-Hosting, Serverstandort Frankfurt am Main
• Amazon Web Services EMEA SARL (Luxemburg) — Dateispeicher (S3), Region Frankfurt am Main
• Microsoft Ireland Operations Ltd. — Azure OpenAI Service zur Dokumentauslesung, Region Schweden (EU)
• Resend, Inc. (USA) — Versand von Transaktions- und Status-E-Mails
• Stripe Payments Europe Ltd. (Irland) — Zahlungsabwicklung für Geschäftskunden-Pakete
• Shopify International Ltd. (Irland) — Betrieb der Website suncredia.com, Formulare und Schnittstellen
• Heyflow GmbH (Deutschland) — Erfassung von Anfragen über Formular- und Funnelstrecken
• Pipedrive OÜ (Estland) — CRM zur Verwaltung von Anfragen, Projekten und Vertriebsprozessen
• Superchat / SuperX GmbH (Deutschland) — Kundenkommunikation über Messaging-Dienste
• WhatsApp Ireland Ltd. — direkte Kundenkommunikation und Terminabstimmung (WhatsApp Business)
• Klaviyo, Inc. (USA) — E-Mail- und Marketing-Automation, Service- und Informationskommunikation
• Zapier, Inc. (USA) — Automatisierung und Übertragung von Daten zwischen den eingesetzten Systemen
• Aitark GmbH — Entwicklung, Betrieb und Wartung der Plattform
• HoZe Social Business GmbH — Entwicklung, Betrieb und technischer Support der Plattform

8. Übermittlung in Drittländer

Soweit die genannten Anbieter Daten außerhalb der Europäischen Union verarbeiten (insbesondere Anbieter mit Sitz in den USA), erfolgt dies ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO — insbesondere EU-Standardvertragsklauseln oder einer Zertifizierung nach dem EU-US Data Privacy Framework. Verarbeitung und Speicherung erfolgen, soweit technisch vorgesehen, in EU-Regionen (Frankfurt am Main bzw. Schweden).

9. Cookies und vergleichbare Technologien

Wir verwenden Cookies und vergleichbare Technologien, die technisch erforderlich sind, um grundlegende Funktionen bereitzustellen (z. B. Login-Sessions, Sicherheitsfunktionen, Warenkorb- und Formular-Zwischenspeicher) — auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Sofern darüber hinaus optionale Cookies eingesetzt werden, geschieht dies ausschließlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

10. Datensicherheit

Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen — unter anderem Transportverschlüsselung, Zugriffsbeschränkungen und protokollierte Löschprozesse.

11. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gemäß Art. 15–21 DSGVO. Wenden Sie sich dazu jederzeit an office@suncredia.com. Ihnen steht außerdem ein Beschwerderecht bei der Aufsichtsbehörde zu; für uns zuständig ist die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, www.dsb.gv.at.

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich Verarbeitungen, Dienstleister oder Rechtsgrundlagen ändern. Es gilt die jeweils auf suncredia.com und hub.suncredia.com veröffentlichte Fassung.