Datenschutzerklärung

Stand 5. Oktober 2026

Hier steht, welche personenbezogenen Daten RegiLens verarbeitet, wozu, auf welcher Rechtsgrundlage, wie lange und welche Rechte du hast. Das betrifft zwei Gruppen: Besucher und Nutzer der Website und Personen, die in Registern eingetragen sind (zum Beispiel Geschäftsführer oder Gesellschafter). Für die zweite Gruppe gibt es eine eigene Seite: Personendaten.

• 1. Verantwortlicher
• 2. Registerdaten zu Unternehmen und Personen
• 3. Besuch der Website
• 4. Konto und Anmeldung · Bezahlung (Pro)
• 5. E-Mails
• 6. KI-Funktionen
• 7. Karten
• 8. Statistik mit Google Analytics
• 9. Widerspruch und Berichtigung
• 10. Cookies und Speicher im Browser
• 11. Empfänger und Drittländer
• 12. Deine Rechte
• 13. Keine automatisierten Entscheidungen

1. Verantwortlicher

schantastic e.U. (Inhaber Julian Schanta), Mattersburger Straße 26, 7000 Eisenstadt, Österreich, E-Mail contact@schantastic.com. Einen Datenschutzbeauftragten haben wir nicht bestellt; dazu sind wir nicht verpflichtet. Fragen zum Datenschutz bitte an dieselbe Adresse.

2. Registerdaten zu Unternehmen und Personen

RegiLens zeigt Angaben aus amtlichen Registern und offenen Daten (zum Beispiel Firmenbuch, Handelsregister, Companies House, Brønnøysundregistrene, GLEIF). Zu Unternehmen gehören dort auch Angaben zu Menschen: Name, Funktion (zum Beispiel Geschäftsführung, Prokura, Gesellschafter), Beginn und Ende der Funktion, Beteiligung, je nach Register auch Geburtsdatum und Wohnort.

• Zweck: Transparenz im Geschäftsverkehr – wer ein Unternehmen vertritt, wem es gehört, wie es wirtschaftlich dasteht. Genau dafür machen die Register diese Angaben öffentlich.
• Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) – unser Interesse und das Interesse unserer Nutzer an überprüfbaren Informationen über Geschäftspartner. Die Abwägung haben wir dokumentiert; die wichtigsten Schutzmaßnahmen stehen unter Personendaten.
• Herkunft: die Register und offenen Datenquellen, die bei jedem Wert und unter Quellen & Lizenzen genannt sind.
• Was wir öffentlich nicht zeigen: Geburtsdatum nur mit Monat und Jahr, Wohnort nur dort, wo das Register ihn selbst veröffentlicht (Deutschland), keine Privatanschriften. Personenseiten sind für Suchmaschinen gesperrt (noindex). Bei Einzelunternehmen zeigen wir keinen Score, keine Signale und keine Umsatzschätzung.
• Speicherdauer: solange die Angabe im Register veröffentlicht ist und für den Zweck nötig ist. Personen, die seit mehr als 10 Jahren in keinem Register mehr eine aktive Funktion haben, blenden wir öffentlich aus: Firmenprofile nennen dann nur noch Name und Rolle.
• Compliance-Abgleich (nur angemeldet): Namen werden mit Sanktionslisten (EU, UN, USA) und öffentlich bekannten politisch exponierten Personen (Wikidata) verglichen. Ein Treffer ist ein Hinweis auf Namensgleichheit, keine Feststellung.

3. Besuch der Website

Hosting und Server-Protokolle

Die Website läuft bei Vercel (Vercel Inc., USA); die Server-Funktionen laufen in Frankfurt am Main. Beim Aufruf verarbeitet Vercel technisch nötige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung. Das dient dem Ausliefern der Seiten und der Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Vercel speichert diese Protokolle nur kurz nach seinen Vorgaben.

Datenbank

Registerdaten, Konten und die hier beschriebenen Einträge liegen in einer Datenbank bei Neon (Neon Inc., USA) in der Region Frankfurt am Main (AWS eu-central-1).

Fehlerprotokoll

Bei einem unerwarteten Fehler speichern wir Fehler-ID, Zeit, Endpunkt (ohne Parameter) und die Fehlermeldung, bereinigt um E-Mail-Adressen und Schlüssel. Angemeldete Nutzer erscheinen dort nur als Hash (Pseudonym). Zweck: Fehler finden und beheben (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: 30 Tage.

Abruflimits

Damit niemand die Daten massenhaft ausliest, zählen wir Abrufe je IP-Adresse bzw. je Konto. Gespeichert wird dafür nur ein Hash der IP-Adresse oder Kontokennung mit Zähler und Zeit (Art. 6 Abs. 1 lit. f DSGVO). Bei der Anmeldung zählt die Anmeldefunktion zusätzlich Versuche je IP-Adresse. Diese Einträge löschen wir nach spätestens 2 Tagen.

4. Konto und Anmeldung

Ein Konto brauchst du nur für Kontofunktionen (beobachten, Meldungen, Mappen, Notizen, Export, KI). Wir speichern E-Mail-Adresse, Anlagedatum, deine Arbeitsdaten (beobachtete Firmen und Personen, Notizen, Mappen, Einstellungen) und für jede Anmeldung eine Sitzung mit IP-Adresse und Browserkennung. Rechtsgrundlage: Vertrag über die Nutzung (Art. 6 Abs. 1 lit. b DSGVO). Sitzungen enden spätestens nach 30 Tagen. Im Konto kannst du alle Daten herunterladen und das Konto löschen; dann löschen wir alles, was daran hängt.

Anmeldung mit Google oder mit E-Mail und Passwort (Firebase Authentication)

Für die Anmeldung mit Google oder mit E-Mail und Passwort nutzen wir Firebase Authentication (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Muttergesellschaft Google LLC, USA). Firebase verarbeitet E-Mail-Adresse, Passwort (nur als Hash bei Google, nie bei uns), eine Nutzerkennung, IP-Adresse und Gerätedaten, um dich anzumelden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Daten können in die USA übermittelt werden (Abschnitt 11). Wenn du dein Konto löschst, löschen wir auch den Zugang bei Firebase.

Passkeys und Anmeldelink

Alternativ meldest du dich mit einem Passkey (wir speichern nur den öffentlichen Schlüssel) oder mit einem Link per E-Mail an.

Tarif und Verbrauch

Für die Grenzen deines Tarifs zählen wir je Konto, wie oft du bestimmte Funktionen nutzt (zum Beispiel KI-Analysen im Monat, Exporte am Tag) – nur Art, Zeitraum und Anzahl, keine Inhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Zähler löschen wir nach 13 Monaten, mit dem Konto sofort.

Bezahlung mit Stripe (Tarif Pro)

Wenn du Pro buchst, läuft die Bezahlung über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Wir leiten dich auf die Bezahlseite von Stripe weiter; dort gibst du Zahlungsdaten, Name und Rechnungsadresse ein. Kartendaten sehen wir nie. Wir übermitteln an Stripe deine E-Mail-Adresse und eine interne Kontokennung; von Stripe erhalten wir Kundennummer, Abo-Stand (Tarif, Laufzeit, Kündigung, Zahlungsprobleme) und Rechnungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c (Aufbewahrungspflichten). Für Zahlungsabwicklung, Betrugsprävention und eigene gesetzliche Pflichten ist Stripe selbst Verantwortlicher (Datenschutzerklärung von Stripe). Stripe kann Daten an Stripe, Inc. in den USA übermitteln (Abschnitt 11).

Vor dem Weiterleiten speichern wir deine Erklärung zum sofortigen Beginn (Wortlaut und Zeitpunkt) als Nachweis nach dem Fern- und Auswärtsgeschäfte-Gesetz (Art. 6 Abs. 1 lit. c und f DSGVO); sie bleibt auch nach dem Löschen des Kontos ohne Bezug zu deinem Konto bis zu 7 Jahre erhalten. Rechnungen und Buchungsbelege bewahrt Stripe für uns 7 Jahre auf (§ 132 BAO). Löschst du dein Konto, beenden wir ein laufendes Abo sofort und löschen deinen Kundendatensatz bei Stripe; die Rechnungen bleiben für die gesetzliche Frist gespeichert.

5. E-Mails

E-Mails (Anmeldelinks, Meldungen zu beobachteten Firmen, wenn du sie einschaltest, Bestätigungen von Anfragen) versenden wir über Resend (USA). Verarbeitet werden Empfängeradresse und Inhalt der E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen nach Abschnitt 9 Art. 6 Abs. 1 lit. c DSGVO.

6. KI-Funktionen

Nur angemeldet und nur auf deinen Klick: Für die KI-Zusammenfassung und den Chat zu einer Firma senden wir das Firmenprofil in der öffentlichen Fassung (Geburtsdatum nur Monat und Jahr, ohne gesperrte Personen) und deine Fragen an Anthropic (USA), Anbieter des KI-Modells Claude. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Zusammenfassung speichern wir, bis sich das Profil ändert, und zeigen sie allen als KI-Text gekennzeichnet. Bitte gib im Chat keine persönlichen Daten ein, die nicht nötig sind.

7. Karten

Karten zeichnet dein Browser aus Kartendaten von OpenFreeMap (openfreemap.org, auf Grundlage von OpenStreetMap und OpenMapTiles): Kartenstil, Kacheln, Schriften und Symbole lädt er direkt von dort. Kann dein Browser keine Vektorkarten darstellen, lädt er stattdessen Kacheln von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich). Dabei erhält der jeweilige Anbieter deine IP-Adresse und die Browserkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Darstellung von Firmenstandorten). Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission. Adressen verorten wir auf dem Server (Nominatim von OpenStreetMap); dabei geht nur die Firmenanschrift an OpenStreetMap, nicht deine IP-Adresse.

8. Statistik mit Google Analytics

Nur wenn du im Cookie-Banner „Statistik“ erlaubst, nutzen wir Google Analytics 4 (Google Ireland Limited, Irland; Google LLC, USA). Damit sehen wir, welche Seiten wie oft genutzt werden. Google setzt dafür Cookies (_ga, _ga_…) und verarbeitet IP-Adresse, Geräte- und Browserangaben sowie die aufgerufenen Seiten. Personen, Suchbegriffe und Parameter senden wir nicht: Firmenseiten erscheinen mit ihrer Registerkennung, Personenseiten nur als „/person“.

• Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021).
• Einstellungen: Consent Mode v2, Werbefunktionen und Google-Signale aus, Aufbewahrung der Ereignisdaten 2 Monate, Cookies höchstens 180 Tage.
• Widerruf: jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite. Danach löschen wir die _ga-Cookies und laden Google Analytics nicht mehr.
• Ohne Einwilligung lädt die Seite nichts von Google Analytics.

9. Widerspruch, Berichtigung, Löschung, Auskunft

Über das Formular Widerspruch und Berichtigung verarbeiten wir die Angaben, die du machst (Art der Anfrage, Name, betroffene Firma oder Person, Begründung, E-Mail-Adresse), und ein Protokoll der Bearbeitung. Zweck: deine Anfrage bearbeiten und nachweisen, dass wir das getan haben (Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 12 bis 21 DSGVO). Unbestätigte Anfragen löschen wir nach 7 Tagen, abgeschlossene nach 3 Jahren.

10. Cookies und Speicher im Browser

Notwendige Cookies und Speicher brauchen keine Einwilligung (§ 165 Abs. 3 TKG 2021), weil die Funktion, die du nutzt, ohne sie nicht geht.

11. Empfänger und Drittländer

Für uns arbeiten als Auftragsverarbeiter: Vercel (Hosting), Neon (Datenbank), Resend (E-Mail), Google (Firebase Authentication, Google Analytics), Anthropic (KI) und Stripe (Bezahlung und Rechnungen, für die Zahlungsabwicklung selbst verantwortlich). Sie verarbeiten Daten nur nach unserer Weisung. Die Kartendaten lädt dein Browser direkt bei OpenFreeMap (ersatzweise OpenStreetMap). Registerdaten sind auf der Website für alle sichtbar; andere Daten geben wir nicht weiter, außer wir sind gesetzlich dazu verpflichtet.

Einige Anbieter haben ihren Sitz in den USA oder greifen von dort zu. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (10.07.2023), soweit der Anbieter danach zertifiziert ist (zum Beispiel Google LLC, Stripe, Inc.), und ergänzend auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

12. Deine Rechte

Du hast das Recht auf

• Auskunft über deine Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20) – für Kontodaten direkt im Konto unter „Daten herunterladen“,
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen, aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Am einfachsten über das Formular Widerspruch und Berichtigung oder per E-Mail an contact@schantastic.com. Wir antworten innerhalb eines Monats.

Du kannst dich bei der Aufsichtsbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at – oder bei der Aufsichtsbehörde deines Wohnsitzes.

13. Keine automatisierten Entscheidungen

Wir treffen keine automatisierten Entscheidungen und bewerten keine Menschen (kein Profiling im Sinne von Art. 22 DSGVO). Score und Signale beziehen sich nur auf Unternehmen, werden aus Registerdaten berechnet und sind als berechnet gekennzeichnet; bei Einzelunternehmen zeigen wir sie nicht. Sie sind keine Bonitätsauskunft.