Zum Inhalt springen

Datenschutz

Der Schutz Ihrer Daten ist uns wichtig. Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir auf kreditdirekt.at und in unserer Plattform verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage das geschieht, wer diese Daten erhält, wie lange wir sie speichern und welche Rechte Ihnen zustehen.

KreditDirekt ist eine Plattform zur Vermittlung von Wohnbaufinanzierungen in Österreich. Die Vermittlung erfolgt durch einen ungebundenen Kreditvermittler. Wir erbringen dabei keine Beratungsdienstleistungen im Sinne des § 8 Abs. 6 HIKrG; wir bereiten Ihre Finanzierungsanfrage auf, prüfen sie und übermitteln sie an Kreditinstitute.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO ist:

  • FA – FinanzAktiv e.U., Inhaber Christian Kunz, MBA
  • Anschrift: Getreidegasse 3, 9020 Klagenfurt am Wörthersee, Österreich
  • E-Mail: office@kreditdirekt.at
  • Firmenbuchnummer: FN 322235 a, Firmenbuchgericht: Landesgericht Klagenfurt
  • UID-Nummer: ATU66310066
  • GISA-Zahl: 10720516 — die Eintragung ist im Gewerbeinformationssystem Austria (gisa.gv.at) online abrufbar
  • Gewerbeberechtigung: Gewerbliche Vermögensberatung mit den Berechtigungen zur Vermittlung von Lebens- und Unfallversicherungen in der Form Versicherungsagent; Vermittlung von Personal- und Hypothekarkrediten als ungebundener Kreditvermittler
  • Aufsichtsbehörde: Magistrat der Stadt Klagenfurt

Über Zwecke und Mittel der Verarbeitung entscheidet ausschließlich FA – FinanzAktiv e.U. Die technische Entwicklung und der technische Betrieb der Plattform sind ausgelagert; der Technikdienstleister handelt dabei ausschließlich weisungsgebunden als Auftragsverarbeiter (siehe Abschnitt 4).

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt. Bei Art und Umfang unserer Verarbeitungen besteht dafür keine Verpflichtung nach Art. 37 Abs. 1 DSGVO.

Für alle Fragen zum Datenschutz erreichen Sie uns unter office@kreditdirekt.at.

2. Grundsätze und Geltungsbereich

Diese Datenschutzerklärung gilt für die Website kreditdirekt.at, für den Finanzierungs-Funnel, für das Kundenkonto samt Dokumentencenter und für den KI-Assistenten der Plattform.

Wir halten uns an folgende Grundsätze:

  • Datenminimierung: Wir erheben nur, was für den jeweiligen Schritt erforderlich ist. Sie können den öffentlichen Kreditrechner und eine erste Einschätzung nutzen, ohne ein Konto anzulegen.
  • EU-Verarbeitung: Die Plattform, die Datenbank und der Dokumentenspeicher werden ausschließlich in der Europäischen Union betrieben. Zwei Verarbeitungen können darüber hinausgehen — der KI-Dienst und, nur mit Ihrer Einwilligung, die Webanalyse; beide beschreiben wir in Abschnitt 5 und 3.15.
  • Mensch entscheidet: Unsere KI bereitet Ihren Fall auf, strukturiert ihn und rechnet nachvollziehbar vor. Sie bewertet nicht, empfiehlt nicht und sagt nichts zu. Jede Entscheidung über Ihren Fall trifft ein Mensch (siehe Abschnitt 6).
  • Keine echten Daten in Testumgebungen: In Entwicklungs- und Testumgebungen werden ausschließlich synthetische Daten verwendet.

3. Die einzelnen Verarbeitungen

Die folgende Darstellung folgt den Verarbeitungstätigkeiten unseres Verzeichnisses nach Art. 30 DSGVO. Zu jeder Verarbeitung finden Sie Zweck, Rechtsgrundlage, Datenkategorien, Empfänger und Speicherdauer.

3.1 Betrieb der Website und Sicherheit

  • Zweck: Bereitstellung und Stabilität der Website, Abwehr von Missbrauch und Angriffen (unter anderem Begrenzung der Anfragehäufigkeit, Schutz vor Fälschung von Anfragen).
  • Daten: IP-Adresse, Browser- und Gerätekennung (User-Agent), Zeitstempel, aufgerufene Adresse und technische Metadaten der Anfrage.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb der Plattform sowie in der Abwehr von Angriffen und automatisiertem Missbrauch.
  • Empfänger: Hetzner (Hosting, EU).
  • Speicherdauer: Server- und Sicherheitsprotokolle 30 bis 90 Tage. Zugriffsprotokolle werden um sensible Bestandteile bereinigt (unter anderem Zugriffstoken).

3.2 Kundenkonto und Registrierung

  • Zweck: Einrichtung und Betrieb Ihres Zugangs, Zuordnung Ihrer Daten, Anmeldung und Wiederherstellung des Zugangs.
  • Daten: Name, E-Mail-Adresse, Telefonnummer, Anmeldedaten. Name und Telefonnummer werden in der Datenbank zusätzlich feldweise verschlüsselt gespeichert.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Plattformnutzung und Anbahnung der Vermittlung).
  • Empfänger: Hetzner (Hosting, EU); Versand von Bestätigungs- und Systemnachrichten über unseren E-Mail-Dienstleister.
  • Speicherdauer: Ein Konto ohne jeden Finanzierungsfall und ohne Aktivität wird nach 6 Monaten gelöscht. Besteht ein Fall, bleibt das Konto, solange der Fall besteht; danach gilt dieselbe Frist ab Ihrer letzten Kontoaktivität (siehe Abschnitt 7).

3.3 KI-Assistent, Bedarfserhebung und Finanzierungscheck

  • Zweck: Erhebung Ihres Finanzierungswunsches im Dialog, Beantwortung fachlicher Fragen, Begleitung durch den Prozess, Vorbereitung des persönlichen Vorgesprächs.
  • Daten: Ihre Freitexteingaben im Chat, Angaben zum Finanzierungsvorhaben (Objekt, Kaufpreis, Eigenmittel, Laufzeitwunsch), Angaben zu Einkommen und Haushalt, Verlauf der Konversation.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage). Ein Einwilligungskonstrukt verwenden wir hier bewusst nicht, weil der Dialog die von Ihnen angefragte Leistung selbst ist. Soweit Sie den Assistenten anonym nutzen, ohne dass ein Personenbezug entsteht, findet insoweit keine Verarbeitung personenbezogener Daten statt.
  • Kennzeichnung: Sie kommunizieren erkennbar mit einem KI-System. Dieser Hinweis ist dauerhaft in der Oberfläche angebracht (Transparenzpflicht nach Art. 50 der Verordnung (EU) 2024/1689 über künstliche Intelligenz).
  • Empfänger: OpenAI Ireland Ltd. als Auftragsverarbeiterin für die Sprachverarbeitung (keine Speicherung Ihrer Inhalte beim Anbieter, kein Training mit Ihren Daten); Hetzner (Speicherung des Verlaufs). Wo die Inhalte verarbeitet werden und welche Daten ein Drittlandbezug treffen kann, steht in Abschnitt 5.
  • Speicherdauer: Anonyme Konversationen ohne zugeordneten Fall werden nach 72 Stunden gelöscht. Gesprächsverläufe kurzlebiger Fälle (unverbindliche Anfrage, liegengebliebener Prozess, früh beendeter Fall ohne persönliches Gespräch) werden nach 90 Tagen gelöscht. Gesprächsverläufe laufender und vermittelter Fälle bewahren wir 7 Jahre ab Abschluss der Vermittlung auf — dieselbe Frist wie für das Gesprächsprotokoll, zu dem sie als Vermittlungsdokumentation gehören (siehe Abschnitt 7).
  • Bitte beachten Sie: Geben Sie im Chat keine Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten ein. Wir fragen solche Daten nicht ab, benötigen sie nicht und übernehmen sie nicht in strukturierte Felder (siehe Abschnitt 3.13).

3.4 Dokumenten-Upload und KI-gestützte Auswertung

  • Zweck: Erfassung der für die Finanzierung erforderlichen Unterlagen, automatische Zuordnung des Dokumenttyps und Auslesen der fachlich benötigten Werte, damit Sie diese nicht manuell erfassen müssen. Die ausgelesenen Werte werden Ihnen und der prüfenden Person zur Korrektur angezeigt.
  • Daten: Einkommensnachweise, Kontoauszüge, Kredit- und Leasingverträge, Kaufvertrag oder Kaufanbot, Grundbuchsauszug, Objektunterlagen, sowie — soweit das einreichende Kreditinstitut dies verlangt — Ausweisdokumente.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Erforderlichkeit wird je Dokumenttyp dokumentiert; Unterlagen, die das Institut nicht benötigt, werden nicht angefordert.
  • Ausweisdaten: Ausweisdokumente sind keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO: Ein Lichtbild wird zu einer biometrischen Datenkategorie erst dann, wenn es zur eindeutigen Identifizierung mit technischen Mitteln verarbeitet wird (Art. 4 Z 14, Erwägungsgrund 51) — eine biometrische Auswertung findet bei uns nicht statt. Auch die Staatsangehörigkeit ist für sich genommen keine Angabe über die rassische oder ethnische Herkunft. Wir behandeln diese Daten dennoch besonders geschützt: Ausweisdaten werden zusätzlich auf Anwendungsebene verschlüsselt gespeichert.
  • Sicherheitsprüfung: Jeder Upload durchläuft eine Prüfkette (Größe, tatsächlicher Dateityp, Virenprüfung, Bereinigung des Dokuments). Fällt eine Prüfstufe aus, wird der Upload abgelehnt und nicht gespeichert.
  • Empfänger: Hetzner (verschlüsselter Objektspeicher in der EU); OpenAI Ireland Ltd. für das Auslesen der Inhalte (Übergabe ausschließlich im Verarbeitungsvorgang, keine Speicherung beim Anbieter; siehe Abschnitt 5); Kreditinstitute bei Einreichung (siehe Abschnitt 3.6).
  • Speicherdauer: Ohne zustande gekommene Vermittlung 6 Monate. Nach Abschluss gelten getrennte Fristen: Ausweiskopien und die daraus ausgelesenen Ausweisdaten löschen wir 30 Tage nach der Kreditzusage bzw. dem endgültigen Abschluss Ihres Falls — die Kopie selbst, die Ausweisnummer und die übrigen reinen Ausweisangaben; erhalten bleibt nur der Vermerk, dass und wie die Ausweisprüfung stattgefunden hat. Ihre Antragsdaten — Name, Geburtsdatum, Anschrift und IBAN — sind davon nicht berührt: Sie stehen im Fall selbst und im Nachweis über die an die Bank übermittelte Mappe und folgen deshalb der Frist der Kernunterlagen. Die übrigen Unterlagen und die daraus ausgelesenen personenbezogenen Rohwerte löschen wir 2 Jahre nach Abschluss; die daraus abgeleiteten Rechenwerte — insbesondere die Haushaltsrechnung mit ihrem Rechenweg — bleiben 7 Jahre (siehe Abschnitt 7). Beim Löschen eines Falls werden auch die zugehörigen Dateien im Speicher entfernt.

3.5 Haushaltsrechnung und Vorprüfung der Leistbarkeit

  • Zweck: Nachvollziehbare Berechnung, welche Rate für Ihren Haushalt darstellbar ist, und Vorbereitung der Einreichung.
  • Daten: Einkommen, Ausgaben, bestehende Verbindlichkeiten, Haushaltsgröße, Vermögenswerte.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • So funktioniert es: Die Berechnung ist deterministisch und regelbasiert — sie folgt festen Rechenregeln, nicht einer Einschätzung der KI. Der vollständige Rechenweg wird gespeichert, sodass jederzeit nachvollziehbar ist, welche Ihrer Angaben zu welchem Ergebnis geführt hat. Es entsteht kein Score und keine automatische Ablehnung: Niemand wird durch das System ohne menschliche Prüfung aussortiert oder vom weiteren Verfahren ausgeschlossen (siehe Abschnitt 6).
  • Empfänger: keine externen — die Berechnung findet ausschließlich auf unseren Systemen bei Hetzner statt; es wird hierfür kein KI-Dienst eingesetzt.
  • Speicherdauer: 7 Jahre ab Abschluss der Vermittlung — der gespeicherte Rechenweg ist der Nachweis, wie wir gerechnet haben (siehe Abschnitt 7).
  • Folgenabschätzung: Für unsere Verarbeitungen mit voraussichtlich hohem Risiko — diese gehört dazu — haben wir eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erstellt und schreiben sie fort.

3.6 Auswahl der Kreditinstitute und Übermittlung Ihrer Unterlagen

  • Zweck: Kern der von Ihnen beauftragten Vermittlung — Einreichung Ihrer Finanzierungsanfrage bei geeigneten Kreditinstituten.
  • Daten: die vollständige Finanzierungsmappe (Selbstauskunft, Haushaltsrechnung, Objektdaten, die von Ihnen bereitgestellten Unterlagen).
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — ohne diese Übermittlung ist die Vermittlung nicht durchführbar.
  • Empfänger — bitte besonders beachten: Ihre Unterlagen werden an Kreditinstitute in Österreich übermittelt (unser Einreichkreis umfasst derzeit rund 22 Institute mit Schwerpunkt Kärnten). Ihre Daten gehen ausschließlich an die Kreditinstitute, die wir für Ihren konkreten Fall auswählen — nie an alle Partnerbanken. Eine aktuelle Liste dieser Partnerbanken stellen wir Ihnen auf Anfrage und demnächst auch auf dieser Website bereit. Bei einzelnen Kreditinstituten erfolgt die Einreichung über einen Vermittlungspartner, der Ihre Daten ausschließlich in unserem Auftrag und nach unseren Weisungen an das von uns bestimmte Kreditinstitut weiterleitet. Die Institute sind für die weitere Verarbeitung eigenständig Verantwortliche und wenden ihre eigenen Datenschutzbestimmungen an. Sie werden vor der Einreichung darüber informiert, an welche Institute Ihre Unterlagen gehen, und die Auswahl wird mit Ihnen abgestimmt.
  • Auswahl der Institute: Die Vorauswahl erfolgt regelbasiert anhand fachlicher Kriterien (etwa Objektart, Bundesland, Beleihung, Produktarten) — ohne Score und ohne KI-Bewertung. Die endgültige Entscheidung trifft die zuständige Person.
  • Übertragungsweg: Die Einreichung erfolgt per E-Mail an das jeweilige Institut, ergänzt um einen zugriffsgeschützten, befristeten Abrufweg für die Dokumente.
  • Speicherdauer: Der Nachweis, an welche Institute wann welche Unterlagen gingen, bleibt 7 Jahre ab Abschluss der Vermittlung — nur so können wir Ihnen auf Anfrage die konkreten Empfängerbanken nennen. Für die übermittelten Unterlagen selbst gelten die Fristen aus Abschnitt 3.4 (siehe Abschnitt 7).

3.7 Prüfung und Freigabe, Vermittlungsdokumentation, ESIS

  • Zweck: inhaltliche Prüfung Ihres Falls durch die zuständige Person, Prüfung des Europäischen Standardisierten Merkblatts (ESIS) des Kreditinstituts nach dem Hypothekar- und Immobilienkreditgesetz gegen das für Sie eingeholte und durchgerechnete Angebot samt Dokumentation festgestellter Abweichungen, Dokumentation des Vorgangs, Abrechnung der Vermittlung.
  • Daten: der gesamte Fall, das ESIS-Merkblatt und unsere Prüf- und Abweichungsdokumentation dazu, das Gesprächs- bzw. Vermittlungsprotokoll, Angaben zur Vergütung.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Vermittlung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen aus dem Hypothekar- und Immobilienkreditgesetz sowie aus den Standesregeln für Kreditvermittlung, BGBl. II Nr. 86/2016).
  • Hinweis zur Erstellung: Das ESIS-Merkblatt erhalten Sie im Regelfall vom Kreditinstitut, zusammen mit dem für Sie eingeholten Angebot; unsere Plattform kann ein eigenes Merkblatt erzeugen, tut das derzeit aber nicht. Rechtlich wirksame Dokumente wie das ESIS werden, soweit wir sie erzeugen, aus festen Vorlagen mit berechneten Werten erstellt; sie werden nicht frei von einer KI formuliert.
  • Empfänger: Hetzner (EU). Zustellung an Sie über unseren E-Mail-Dienstleister bzw. über Ihr Dokumentencenter.
  • Speicherdauer: 7 Jahre ab Abschluss der Vermittlung für das Gesprächs- bzw. Vermittlungsprotokoll, das ESIS und die Vergütungsangaben. Für Unterlagen und Gesprächsverläufe gelten deren eigene, kürzere Fristen (siehe Abschnitt 7).

3.8 Videogespräch mit Aufzeichnung (optional)

  • Zweck: Durchführung des persönlichen Vorgesprächs per Video und — nur wenn Sie ausdrücklich zustimmen — Aufzeichnung sowie Erstellung einer Mitschrift, aus der Gesprächspunkte für das Protokoll vorbefüllt werden.
  • Daten: Ton- bzw. Bildaufnahme, Mitschrift, daraus gewonnene Gesprächspunkte mit Fundstellen.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung. Ohne Einwilligung findet keine Aufzeichnung statt; das Gespräch ist auch ohne Aufzeichnung möglich. Ihre Einwilligung wird mit Textstand und Zeitstempel dokumentiert und ist jederzeit für die Zukunft widerrufbar.
  • Empfänger: ein Anbieter für die Umwandlung von Sprache in Text, der die Verarbeitung innerhalb der EU vornimmt und mit dem vor der Freischaltung ein Auftragsverarbeitungsvertrag geschlossen wird.
  • Speicherdauer: die für die jeweilige Datenart geltenden Fristen (siehe Abschnitt 7).
  • Hinweis: Diese Funktion ist derzeit nicht aktiv; sie wird erst mit ihrer Freischaltung aufgenommen. Wir nennen Ihnen den eingesetzten Anbieter dann an dieser Stelle.

3.9 Newsletter und Information über unsere Leistungen

Diese Verarbeitung ist derzeit noch nicht aktiv; sie wird erst mit dem Start des Newsletters aufgenommen.

  • Zweck: Zusendung von Informationen zu Finanzierungsthemen und zu unseren Leistungen.
  • Daten: E-Mail-Adresse, Anrede/Name, Interessensangaben, Anmeldezeitpunkt, Bestätigungsnachweis.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung, die wir im Bestätigungsverfahren (Double-Opt-in) einholen. Die Einwilligung ist jederzeit widerrufbar, etwa über den Abmeldelink in jeder Nachricht.
  • Speicherdauer: bis zum Widerruf. Nach einem Widerruf speichern wir eine Sperrliste (verschlüsselter Prüfwert Ihrer E-Mail-Adresse), damit Sie keine weiteren Nachrichten erhalten; Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. c bzw. lit. f DSGVO (Beachtung Ihres Widerspruchs).

3.10 Reichweitenmessung und technisches Monitoring

  • Zweck: Verstehen, an welchen Stellen unser Prozess abgebrochen wird und wie lange einzelne Schritte dauern, um die Plattform zu verbessern; Erkennen von technischen Fehlern und Leistungsproblemen.
  • Daten (eigener Trichter-Zähler): Ihr Browser sendet je Prozessschritt ausschließlich zwei Codes — den Schritt-Code und einen Ergebnis-Code (betreten, abgeschlossen, verlassen). Kein Cookie, keine Kennung, kein Zugriff auf Informationen in Ihrem Endgerät, keine Abfrage von Geräteinformationen. Auf unserem Server bilden wir aus der ohnehin übermittelten IP-Adresse, einem geheimen Schlüssel und einem groben Zeitfenster (zwei Stunden) einen nicht umkehrbaren Prüfwert (SHA-256), damit die Schritte einer Sitzung grob zusammengehalten werden können; die IP-Adresse selbst wird nicht gespeichert. Aus der ohnehin mitgesendeten Sprachangabe Ihres Browsers halten wir zusätzlich fest, in welcher Sprache der Schritt angezeigt wurde. Keine Namen, keine E-Mail-Adressen, keine Finanzbeträge. Für das Fehler-Monitoring werden personenbezogene Bestandteile technisch aus den Meldungen entfernt (Anfragedaten, Cookies, Anmeldedaten, Finanzfelder).
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der bedarfsgerechten Gestaltung und der technischen Fehlerfreiheit der Plattform. Da der Trichter-Zähler weder Informationen in Ihrem Endgerät speichert noch aus ihm ausliest — Ihr Browser sendet nur die zwei Codes —, ist nach unserer Einschätzung keine Einwilligung nach § 165 Abs. 3 TKG 2021 erforderlich (siehe Abschnitt 8). Für die einwilligungsbasierte Webanalyse gilt Abschnitt 3.15.
  • Empfänger: keine externen — der Trichter-Zähler läuft auf unseren eigenen Systemen bei Hetzner (EU); das Fehler-Monitoring läuft auf einem eigenen Server in der EU (selbst betriebene Installation, kein externer Dienstleister). Auswertungen mit sensiblem Bezug (etwa zu Chatinhalten) bleiben ausschließlich auf unseren eigenen Systemen.
  • Speicherdauer: Ereignisdaten des Funnels bis zu 24 Monate, Aggregatwerte nach Erforderlichkeit.
  • Widerspruch: Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Abschnitt 9).
  • Hinweis: Der Trichter-Zähler und das technische Fehler-Monitoring auf unserem eigenen Server laufen.

3.11 Protokollierung und Nachweise

  • Zweck: Erfüllung unserer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, Nachweis der menschlichen Prüfschritte, Nachweis von Statuswechseln, Zugriffen auf Dokumente und Gesprächsverläufe sowie aller Löschvorgänge.
  • Daten: Nutzerkennung, Ereigniscodes, Textversion und Zeitstempel von Einwilligungen. Das Protokoll ist frei von Klartext-Personendaten (technisch erzwungen: nur kurze Codes und Kennungen, kein Freitext), es wird nur ergänzt und nie verändert und ist über eine kryptografische Prüfkette gegen nachträgliche Manipulation gesichert.
  • Bei Einwilligungen speichern wir zusätzlich die IP-Adresse als Nachweismittel.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Nachweispflichten aus der DSGVO) und Art. 6 Abs. 1 lit. f DSGVO (Beweissicherung, Sicherheit).
  • Speicherdauer: Die IP-Adresse zu einer Einwilligung wird nach 365 Tagen entfernt, der Einwilligungsnachweis selbst bleibt bestehen. Das Protokoll selbst hat keine eigene Frist: Es enthält keine Klartext-Personendaten, sondern nur kurze Codes und Kennungen. Werden Daten gelöscht, verschwinden die zugehörigen Einträge mit ihnen; es bleiben Kennungen und Zählwerte ohne inhaltlichen Bezug, und die kryptografische Prüfkette wird neu verankert — genau das ist der Nachweis, dass gelöscht wurde.

3.12 Widerruf von Verträgen über den Widerrufsbutton

  • Zweck: Entgegennahme und Nachweis von Vertragswiderrufen über den gesetzlich vorgeschriebenen Widerrufsbutton, sofortige elektronische Eingangsbestätigung an Sie und Bearbeitung des Widerrufs.
  • Daten: Name, E-Mail-Adresse, Eingangszeitpunkt, optional das Datum des Vertragsabschlusses, eine Vertrags- oder Vorgangsbezeichnung und eine Mitteilung im Freitext.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung nach § 13a FAGG in der Fassung des VerbRÄG 2026 — Entgegennahme und Bestätigung des Widerrufs) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des widerrufenen Vertrags).
  • Der Zugang ist bewusst ohne Anmeldung möglich, damit Sie den Widerruf jederzeit erklären können. Der Beleg wird deshalb nicht mit Ihrem Fall verknüpft.
  • Empfänger: intern (zuständige Person, interne Benachrichtigung) sowie die von Ihnen angegebene E-Mail-Adresse (Eingangsbestätigung).
  • Speicherdauer: 3 Jahre ab dem Abschluss der Bearbeitung einschließlich der Rückabwicklung. Der Beleg ist im Streitfall der Nachweis über die Rechtzeitigkeit Ihres Widerrufs; danach wird er gelöscht. Ist über den Widerruf ein Streit anhängig, nehmen wir ihn bis zu dessen Erledigung von der Löschung aus (siehe Abschnitt 7).

3.13 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Wir erheben keine besonderen Kategorien personenbezogener Daten. Angaben zu Einkommen, Vermögen und Verbindlichkeiten sind zwar sehr sensibel, fallen aber nicht unter Art. 9 DSGVO.

Gesundheitsbezogene Angaben könnten theoretisch über zwei Wege entstehen: über Gesundheitsfragen zu Restschuld- oder Ablebensversicherungen und über freie Eingaben im Chat. Beides vermeiden wir bewusst: Ein Versicherungsantragsverfahren führen wir nicht auf dieser Plattform durch; der KI-Assistent fragt nicht nach Gesundheitsdaten; versehentliche Eingaben werden nicht in strukturierte Felder übernommen und nicht weiterverarbeitet. Zur Bewertung von Ausweisdokumenten siehe Abschnitt 3.4.

3.14 Kontaktaufnahme und Rückrufservice

  • Zweck: Beantwortung Ihrer Anfrage, Vereinbarung eines Rückrufs.
  • Daten: Name, E-Mail-Adresse, Telefonnummer, Inhalt Ihrer Anfrage, gewünschter Zeitraum.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage die Anbahnung der Vermittlung betrifft; sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung von Anfragen).
  • Speicherdauer: bis zur Erledigung der Anfrage; führt die Anfrage zu einem Fall, gelten die für die jeweilige Datenart geltenden Fristen (siehe Abschnitt 7).

3.15 Webanalyse mit Google Analytics 4 (nur mit Ihrer Einwilligung)

Diese Verarbeitung findet ausschließlich statt, sofern Sie im Einwilligungsbanner eingewilligt haben. Ohne Ihre Einwilligung wird kein Google-Dienst geladen, es werden keine Daten an Google übermittelt und keine Kennungen auf Ihrem Endgerät gespeichert oder ausgelesen.

  • Zweck: Auswertung der Nutzung unserer Website (aufgerufene Seiten, Verweildauer, ungefähre Herkunftsregion, Geräteklasse), um Inhalte und Kampagnen zu verbessern.
  • Daten: eine von Google vergebene Kennung, Ihre IP-Adresse (von Google nur zur groben Verortung ausgewertet und nicht als Datenfeld gespeichert), Angaben zu Browser und Gerät, aufgerufene Seiten und ausgelöste Ereignisse. Keine Namen, keine Finanzbeträge, keine Inhalte Ihrer Unterlagen.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung, für das Speichern und Auslesen von Informationen auf Ihrem Endgerät zusätzlich § 165 Abs. 3 TKG 2021.
  • Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, sowie deren Muttergesellschaft Google LLC, Vereinigte Staaten.
  • Drittlandtransfer: Eine Verarbeitung in den Vereinigten Staaten ist möglich. Sie stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US-Datenschutzrahmen (Data Privacy Framework), solange der Empfänger danach zertifiziert ist; andernfalls auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie dieser Garantien erhalten Sie auf Anfrage unter office@kreditdirekt.at.
  • Speicherdauer: Die Ereignisdaten werden bei Google längstens 14 Monate aufbewahrt. Ihre Einwilligungsentscheidung selbst wird mit Textstand und Zeitstempel in Ihrem Browser gespeichert und verlässt Ihr Gerät nicht.
  • Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Link „Cookie-Einstellungen“ im Seitenfuß unserer Website, etwa auf der Startseite. Danach wird der Dienst nicht mehr geladen.
  • Hinweis: Solange wir Google Analytics 4 nicht freigeschaltet haben, findet diese Verarbeitung auch bei erteilter Einwilligung nicht statt.

4. Empfänger Ihrer Daten

Ihre Daten werden nur an die folgenden Stellen weitergegeben:

  • Hetzner Online GmbH — Auftragsverarbeiterin, EU (Nürnberg, Falkenstein): Hosting der Anwendung, Datenbank, Dokumentenspeicher, verschlüsselte Sicherungskopien.
  • FPC GmbH, Bahnhofstraße 24/2, 9020 Klagenfurt am Wörthersee — Auftragsverarbeiterin, Österreich: technische Entwicklung, technischer Betrieb und Wartung der Plattform, ausschließlich weisungsgebunden.
  • OpenAI Ireland Ltd., Dublin, Irland — Auftragsverarbeiterin: Sprachverarbeitung für den KI-Assistenten und das Auslesen von Dokumenten; keine Speicherung der Inhalte beim Anbieter, kein Training mit Ihren Daten. Zum Verarbeitungsort und zum Drittlandbezug siehe Abschnitt 5.
  • Kreditinstitute (die für Ihren konkreten Fall ausgewählten Einreichbanken — nie alle Partnerbanken) — eigene Verantwortliche, Österreich/EU: Prüfung Ihrer Finanzierungsanfrage nach Einreichung.
  • Vermittlungspartner zur Einreichung von Finanzierungsanfragen — Auftragsverarbeiter, Österreich: Bei einzelnen Kreditinstituten erfolgt die Einreichung über einen Vermittlungspartner, der Ihre Daten ausschließlich in unserem Auftrag und nach unseren Weisungen an das von uns bestimmte Kreditinstitut weiterleitet.
  • World4You Internet Services GmbH — Auftragsverarbeiterin, Österreich: Versand von System-, Status- und Einreichungsnachrichten per E-Mail.
  • Google Ireland Limited (und deren Muttergesellschaft Google LLC, Vereinigte Staaten) — nur bei erteilter Einwilligung: Webanalyse mit Google Analytics 4 (siehe Abschnitt 3.15).
  • Fehler-Monitoring — kein externer Empfänger, EU: Erkennung technischer Fehler; die Installation läuft auf unserem eigenen Server.
  • Steuerberatung, Rechtsvertretung, Behörden — eigene Verantwortliche, Österreich: soweit gesetzlich vorgeschrieben oder zur Rechtsverfolgung erforderlich.

Mit unseren Auftragsverarbeitern schließen wir Verträge nach Art. 28 DSGVO ab.

5. Verarbeitung außerhalb der EU

Ihre Antragsdaten und Ihre Unterlagen bleiben in der Europäischen Union. Hosting, Datenbank, Dokumentenspeicher, E-Mail-Versand, Trichter-Zähler und Monitoring finden ausschließlich in der EU statt. Zwei Verarbeitungen können darüber hinausgehen: der KI-Dienst (sogleich) und — nur mit Ihrer Einwilligung — die Webanalyse (Abschnitt 3.15).

KI-Verarbeitung: Für den KI-Assistenten und das Auslesen von Dokumenten setzen wir OpenAI ein; Vertragspartnerin und Empfängerin ist die OpenAI Ireland Ltd. Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

  • Inhalte Ihrer Anfragen — Ihre Chatnachrichten und die Inhalte Ihrer Dokumente — werden in der Region Europa verarbeitet, sobald diese Verarbeitung für unser Konto eingerichtet ist. Wir schalten die KI-Funktionen erst frei, wenn die Verarbeitung in Europa eingerichtet ist; bis dahin bleiben sie ausgeschaltet.
  • Ihre Inhalte werden beim Anbieter nicht gespeichert und nicht für das Training von Modellen verwendet.
  • Konto-, Nutzungs-, Abrechnungs- und Supportdaten — also die Daten, die beim Betrieb unseres Zugangs anfallen — sind von der Regionszusage ausgenommen und können durch OpenAI in den Vereinigten Staaten verarbeitet werden. Ihre Antragsdaten und Ihre Unterlagen gehören nicht dazu.

Konzernbezug: Unsere Vertragspartner sind Gesellschaften mit Sitz in der EU, die zu Konzernen mit Mutterunternehmen in den Vereinigten Staaten gehören. Ein Zugriff aus einem Drittland — etwa im Rahmen von Administration oder Support — lässt sich allein durch die Standortwahl nicht vollständig ausschließen.

Grundlage für Übermittlungen in die Vereinigten Staaten: Soweit es zu solchen Übermittlungen kommt, stützen sie sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US-Datenschutzrahmen (Data Privacy Framework), solange der jeweilige Empfänger danach zertifiziert ist, andernfalls auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des jeweiligen Auftragsverarbeitungsvertrags sind. Eine Kopie dieser Garantien erhalten Sie auf Anfrage unter office@kreditdirekt.at.

6. Einsatz von künstlicher Intelligenz — und warum wir nicht automatisiert entscheiden

Wo KI eingesetzt wird: im Assistenten (Dialog, fachliche Auskünfte, Aufnahme Ihres Vorhabens), beim Zuordnen und Auslesen hochgeladener Dokumente, beim Zusammenfassen von Gesprächen und beim Erstellen von Textbausteinen für interne Zusammenfassungen.

Wo keine KI eingesetzt wird: bei der Haushaltsrechnung (feste Rechenregeln mit gespeichertem Rechenweg), bei der Vorauswahl der Kreditinstitute (regelbasiert), bei rechtlich wirksamen Dokumenten wie dem ESIS (Vorlagen mit berechneten Werten, soweit wir sie erzeugen — im Regelfall stammt das Merkblatt vom Kreditinstitut).

Kennzeichnung: Der KI-Assistent ist als solcher gekennzeichnet, wie es Art. 50 der Verordnung (EU) 2024/1689 über künstliche Intelligenz vorsieht.

Keine automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO): Es findet keine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Konkret bedeutet das:

  • Es wird kein Score über Sie gebildet.
  • Es findet kein automatisches Aussortieren statt — niemand wird durch das System abgelehnt oder vom weiteren Verfahren ausgeschlossen.
  • Jeder Fall wird von einer verantwortlichen Person inhaltlich geprüft, die abweichen kann und deren Prüfschritte protokolliert werden.
  • Die KI erzeugt keine Bewertung, keine Empfehlung und keine Zusage.
  • Die Entscheidung über die Kreditvergabe selbst trifft ausschließlich das jeweilige Kreditinstitut nach dessen eigenen Kriterien.

Recht auf Erklärung: Sie können jederzeit verlangen, dass wir Ihnen erklären, wie Ihre Angaben in die Vorprüfung eingeflossen sind. Weil der Rechenweg vollständig gespeichert wird, können wir Ihnen nachvollziehbar darstellen, welche Einnahme und welche Ausgabe zu welchem Zwischen- und Endergebnis geführt hat.

7. Wie lange wir Ihre Daten speichern

Wir löschen personenbezogene Daten, sobald der Zweck entfallen ist und keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung erfolgt automatisiert durch regelmäßige Löschläufe; jeder Lauf wird protokolliert.

  • Anonyme Chat-Konversation ohne zugeordneten Fall: 72 Stunden
  • Unverbindliche Anfrage, die nicht weitergeführt wurde (Status Entwurf): 90 Tage ab Ihrer letzten Aktivität
  • Gesprächsverlauf kurzlebiger Fälle: 90 Tage
  • Liegengebliebener Finanzierungsprozess vor Einreichung: 6 Monate ab Ihrer letzten Aktivität
  • Früh beendeter Fall ohne persönliches Gespräch: 6 Monate ab Ihrer letzten Aktivität
  • Hochgeladene Dokumente ohne zustande gekommene Vermittlung: 6 Monate
  • Gesprächsverlauf eines laufenden oder vermittelten Falls: 7 Jahre ab Abschluss der Vermittlung — dieselbe Frist wie für das Gesprächsprotokoll; einzelne Passagen, die die zuständige Person als entscheidungsrelevant in das Gesprächsprotokoll übernimmt, bleiben als Teil des Protokolls erhalten
  • Ausweiskopien und die daraus ausgelesenen Ausweisdaten (Ausweisnummer und übrige reine Ausweisangaben): 30 Tage nach der Kreditzusage bzw. dem endgültigen Abschluss des Falls — der Vermerk über die Ausweisprüfung bleibt, ebenso die Antragsdaten (Name, Geburtsdatum, Anschrift, IBAN) als Teil der Kernunterlagen
  • Übrige hochgeladene Unterlagen nach Abschluss (Einkommensnachweise, Kontoauszüge, Kaufvertrag, Grundbuchsauszug) samt der daraus ausgelesenen personenbezogenen Rohwerte: 2 Jahre
  • Haftungsrelevante Kernunterlagen — Gesprächs- und Vermittlungsprotokoll, ESIS, Belehrungen, Einwilligungsnachweise, Nachweis über den Versand der Bankmappe, Nachweis der Information von Mitantragstellern sowie die Haushaltsrechnung mit ihrem Rechenweg: 7 Jahre ab Abschluss der Vermittlung — gestützt auf unsere Dokumentationspflichten nach dem Hypothekar- und Immobilienkreditgesetz und den Standesregeln sowie auf unser berechtigtes Interesse an der Rechtsverteidigung
  • Kundenkonto: spätestens 6 Monate nach Ihrer letzten Kontoaktivität, sobald kein Fall mehr zu Ihrem Konto besteht
  • Abgelaufene Anmelde- und Bestätigungsartefakte: 24 Stunden nach Ablauf
  • Einwilligungsnachweise: so lange wie die Kernunterlagen des zugehörigen Falls, längstens bis zur Löschung Ihres Kundenkontos; die IP-Adresse zu einer Einwilligung wird bereits nach 365 Tagen entfernt
  • Ereignisdaten der Reichweitenmessung: bis zu 24 Monate
  • Server- und Sicherheitsprotokolle: 30 bis 90 Tage
  • Widerrufsbelege (§ 13a FAGG): 3 Jahre ab Abschluss der Bearbeitung einschließlich der Rückabwicklung
  • Protokoll unserer Nachweispflichten (Abschnitt 3.11): keine eigene Frist — es enthält keine Klartext-Personendaten, sondern nur kurze Codes und Kennungen; beim Löschen von Daten wird seine Prüfkette neu verankert

Steuerlich relevante Belege (Provisionsabrechnungen, Rechnungen, Zahlungsnachweise) speichern wir nicht in dieser Plattform; sie entstehen in der Buchhaltung des Vermittlers und unterliegen dort § 132 BAO — sieben Jahre ab dem Ende des Kalenderjahres, auf das sich der Beleg bezieht.

Was „Ihre letzte Aktivität“ bedeutet: Bei den kurzen Fristen zählt ausdrücklich nur eine Handlung von Ihnen — ein Dokument-Upload, eine Nachricht von Ihnen oder ein Beitrag von Ihnen im Chat. Ein bloßes Anmelden verlängert diese Fall-Fristen nicht (für Ihr Kundenkonto selbst zählt die Anmeldung dagegen als Aktivität). Eine Nachricht von uns an Sie und eine Antwort des KI-Assistenten verlängern die Speicherdauer nicht. Wir haben das bewusst so festgelegt, damit die Speicherdauer nicht durch unser eigenes Handeln beliebig verlängert wird (Art. 5 Abs. 1 lit. e DSGVO). Bei der Sieben-Jahres-Frist ist der Anknüpfungspunkt dagegen der Abschluss des Falls; sie wird durch spätere Zugriffe nicht verlängert.

Löschung trotz Aufbewahrungspflicht: Verlangen Sie die Löschung, bevor eine Vermittlung zustande gekommen ist, löschen wir vollständig. Ist die Vermittlung bereits erfolgt, dürfen wir die haftungsrelevanten Kernunterlagen nicht löschen — sie unterliegen unseren Dokumentationspflichten nach dem Hypothekar- und Immobilienkreditgesetz und den Standesregeln sowie unserem berechtigten Interesse an der Rechtsverteidigung; alles Übrige löschen wir nach den Fristen oben in diesem Abschnitt. Für die Kernunterlagen sperren wir die Daten (Einschränkung der Verarbeitung, Art. 18 DSGVO): Sie werden nur noch für Nachweiszwecke vorgehalten, nicht mehr operativ verwendet und nicht mehr durch KI verarbeitet. Nach Fristablauf werden sie automatisch gelöscht. Wir teilen Ihnen dabei mit, bis wann die Sperre dauert.

Wenn ein Auftrag noch läuft: Wartet Ihr Fall auf eine Entscheidung der Bank oder auf eine fehlende Unterlage, kennzeichnen wir ihn intern als laufenden Auftrag — mit Grund und Wiedervorlagedatum. Solange dieses Kennzeichen gilt, greifen die kurzen Fristen für nicht abgeschlossene Anfragen nicht. Es muss zur Wiedervorlage ausdrücklich bestätigt werden, endet spätestens nach 12 Monaten und wird protokolliert.

Löschsperre im Streitfall: Sind Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich (Art. 17 Abs. 3 lit. e DSGVO) — etwa bei einem Streit über die Rechtzeitigkeit eines Widerrufs —, nehmen wir genau diese Daten mit Begründung von der Löschung aus. Sie werden dann ausschließlich für diesen Zweck verwendet, nicht mehr operativ und nicht mehr durch KI. Setzen und Aufheben der Sperre werden protokolliert.

Sicherungskopien: Gelöschte Daten können für kurze Zeit noch in verschlüsselten Sicherungskopien enthalten sein; diese werden nach einem festen Zyklus überschrieben.

8. Cookies und Reichweitenmessung

Ohne Ihre Einwilligung setzen wir ausschließlich technisch notwendige Cookies ein. Für alles darüber hinaus — insbesondere für die Webanalyse mit Google Analytics 4 — fragen wir Sie vorab über ein Einwilligungsbanner. Ablehnen ist dort genauso einfach wie Annehmen; ohne Ihre Zustimmung wird kein solcher Dienst geladen.

Technisch notwendige Cookies und Speicherinhalte: Wir verwenden ausschließlich Cookies und vergleichbare Speicherinhalte, die für den Betrieb erforderlich sind — insbesondere zur Aufrechterhaltung Ihrer Anmeldung (Sitzungs-Cookie), zum Schutz vor gefälschten Anfragen und zum Speichern Ihrer Sprachwahl. Für diese ist nach § 165 Abs. 3 TKG 2021 keine Einwilligung erforderlich, weil sie zur Erbringung des von Ihnen ausdrücklich gewünschten Dienstes unbedingt erforderlich sind. Rechtsgrundlage der damit verbundenen Verarbeitung ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Reichweitenmessung ohne Cookies: Unser Trichter-Zähler arbeitet cookielos: Ihr Browser sendet je Prozessschritt als Nutzdaten nur zwei Codes (Schritt und Ergebnis); dazu kommen die bei jedem Seitenaufruf ohnehin übermittelten Angaben (IP-Adresse, Sprache), die wir wie in Abschnitt 3.10 beschrieben behandeln. Es werden keine Kennungen auf Ihrem Endgerät gespeichert oder ausgelesen und keine Geräteinformationen zu Analysezwecken abgefragt. Die Zuordnung mehrerer Schritte zu einer Sitzung entsteht erst auf unserem Server als gesalzener, nicht umkehrbarer Prüfwert aus IP-Adresse und Zeitfenster; die IP-Adresse selbst wird nicht gespeichert, ein Profil entsteht nicht. Weil damit kein Zugriff auf Ihr Endgerät im Sinne des § 165 Abs. 3 TKG 2021 stattfindet, ist nach unserer Einschätzung keine Einwilligung erforderlich; die Verarbeitung stützt sich auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen.

Einwilligungspflichtige Dienste: Google Analytics 4 (Abschnitt 3.15) wird ausschließlich nach Ihrer Einwilligung geladen. Ihre Entscheidung wird mit Textstand und Zeitstempel in Ihrem Browser gespeichert; Sie können sie jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß unserer Website ändern oder widerrufen. Werbe-Cookies zur Profilbildung setzen wir nicht ein.

9. Ihre Rechte

Sie haben nach der Datenschutz-Grundverordnung folgende Rechte:

  • Auskunft (Art. 15): Sie können Auskunft darüber verlangen, ob und welche Daten wir über Sie verarbeiten, zu welchen Zwecken, an welche Empfänger sie gehen — dazu gehört auch, welche Kreditinstitute Ihre Unterlagen erhalten haben — und wie lange wir sie speichern. Sie erhalten eine Kopie Ihrer Daten. Auf Wunsch erklären wir Ihnen, wie Ihre Angaben in die Vorprüfung eingeflossen sind (siehe Abschnitt 6).
  • Berichtigung (Art. 16): Sie können unrichtige Daten berichtigen und unvollständige Daten vervollständigen lassen. Aus Dokumenten ausgelesene Werte können Sie in der Plattform selbst korrigieren.
  • Löschung (Art. 17): Sie können die Löschung verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (siehe Abschnitt 7).
  • Einschränkung der Verarbeitung (Art. 18): Sie können verlangen, dass wir Ihre Daten nur noch speichern und nicht weiter verwenden.
  • Datenübertragbarkeit (Art. 20): Sie können die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten oder deren direkte Übermittlung an eine andere Stelle verlangen, soweit dies technisch machbar ist.
  • Widerspruch (Art. 21): Sie können der Verarbeitung, die wir auf ein berechtigtes Interesse stützen (Abschnitte 3.1, 3.10, 3.14), aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Gegen die Verwendung Ihrer Daten für Direktwerbung können Sie jederzeit und ohne Angabe von Gründen widersprechen; wir verarbeiten Ihre Daten danach nicht mehr für diesen Zweck.
  • Widerruf von Einwilligungen (Art. 7 Abs. 3): Haben Sie uns eine Einwilligung erteilt — etwa für die Aufzeichnung eines Videogesprächs oder für den Newsletter —, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. Der Widerruf ist so einfach wie die Erteilung.

Wenden Sie sich zur Ausübung Ihrer Rechte an office@kreditdirekt.at oder an die in Abschnitt 1 genannte Anschrift. Wir antworten Ihnen unverzüglich, spätestens innerhalb eines Monats.

Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO). Zuständig ist in Österreich:

  • Österreichische Datenschutzbehörde
  • Barichgasse 40–42, 1030 Wien
  • Telefon: +43 1 52 152-0
  • E-Mail: dsb@dsb.gv.at
  • Web: www.dsb.gv.at

10. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten zu schützen. Dazu gehören insbesondere:

  • Verschlüsselung der Übertragung (TLS) und der gespeicherten Daten; Dokumente werden zusätzlich anwendungsseitig verschlüsselt, Ausweisdaten sowie Name und Telefonnummer feldweise.
  • Prüfkette für Uploads: Größenprüfung, Prüfung des tatsächlichen Dateityps, Virenprüfung, Bereinigung des Dokuments — schlägt eine Stufe fehl oder ist der Virenscanner nicht verfügbar, wird der Upload abgelehnt.
  • Rollen- und Rechtekonzept: Sie sehen ausschließlich Ihre eigenen Daten; interne Zugänge sind nach Rollen getrennt und durch Zwei-Faktor-Authentifizierung geschützt.
  • Nur ergänzbares Protokoll mit kryptografischer Prüfkette über Zugriffe, Statuswechsel, KI-Aktionen und Löschvorgänge.
  • Verschlüsselte Sicherungskopien mit regelmäßig geprüfter Wiederherstellung.
  • Datenminimierung gegenüber der KI: An den KI-Dienst gehen nur die für den jeweiligen Schritt erforderlichen Angaben.
  • Synthetische Daten in allen Test- und Entwicklungsumgebungen.
  • Meldeprozess für Datenschutzverletzungen (Meldung an die Datenschutzbehörde binnen 72 Stunden, Art. 33 DSGVO).

11. Sind Sie zur Bereitstellung Ihrer Daten verpflichtet?

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben; Sie sind nicht verpflichtet, sie bereitzustellen.

Ohne bestimmte Angaben können wir die von Ihnen gewünschte Leistung allerdings nicht erbringen: Ohne Angaben zu Einkommen, Ausgaben und Vorhaben ist keine Haushaltsrechnung möglich, und ohne die von den Kreditinstituten geforderten Unterlagen kann Ihre Finanzierungsanfrage nicht eingereicht werden. Welche Unterlagen das jeweils sind, teilen wir Ihnen im Prozess mit.

Der öffentliche Kreditrechner und eine erste Einschätzung stehen Ihnen ohne Konto und ohne Angabe personenbezogener Daten zur Verfügung.

12. Woher wir Ihre Daten haben (Art. 14 DSGVO)

In der Regel erhalten wir Ihre Daten unmittelbar von Ihnen. In folgenden Fällen stammen Daten aus anderen Quellen:

  • Aus Ihren Unterlagen: Aus den von Ihnen hochgeladenen Dokumenten lesen wir die fachlich benötigten Werte aus. Enthalten diese Dokumente Angaben zu weiteren Personen — etwa zu einem Mitantragsteller, zu unterhaltsberechtigten Personen oder zu Vertragspartnern eines Kaufvertrags —, verarbeiten wir auch diese Angaben, soweit sie für die Finanzierung erforderlich sind.
  • Von einem Mitantragsteller: Beantragen Sie gemeinsam mit einer weiteren Person, erhalten wir deren Angaben teilweise über Sie und umgekehrt.
  • Von Kreditinstituten: Rückmeldungen zu Ihrer Anfrage, Angebote, Konditionen und Nachforderungen.

Wenn Sie Daten anderer Personen übermitteln, informieren Sie diese bitte über diese Datenschutzerklärung. Mitantragsteller informieren wir aktiv: Sobald uns die Daten einer zweiten antragstellenden Person übermittelt werden, erhält diese von uns eine eigene E-Mail — mit dem Hinweis, wer wir sind, dass wir ihre Daten vom Erstantragsteller erhalten haben und wozu wir sie verarbeiten — sowie einen Link, der ohne Anmeldung und ohne Suche unmittelbar zur Informationsseite für Mitantragsteller mit den vollständigen Angaben nach Art. 14 DSGVO führt.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Alle Fassungen werden versioniert und mit dem Datum ihres Inkrafttretens gespeichert; die jeweils geltende Fassung ist hier abrufbar. Welcher Fassung Sie im Prozess zugestimmt haben, wird mit Textstand und Zeitstempel dokumentiert.

Fassung 7 · Stand: 15.09.2026 · In Kraft ab Veröffentlichung auf kreditdirekt.at