Datenschutzerklärung
Stand: 21. Oktober 2026
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:
Hugaro GmbH – Betreiberin und Eigentümerin von WerkoApp und Werko Office
Loeschenkohlgasse 39/L, 1150 Wien, Österreich
FN 688945 f (Handelsgericht Wien)
Telefon: +43 699 19014873
E-Mail: support@werko.app
2. Erhobene Daten
Im Rahmen der Nutzung der Plattform werden folgende Daten verarbeitet:
- Registrierungsdaten: Firmenname, Name, E-Mail-Adresse, Benutzername
- Nutzungsdaten: IP-Adresse, Zeitpunkt des Zugriffs, genutzte Funktionen, Geräte- und Browserinformationen
- Geschäftsdaten: Kunden-, Projekt-, Rechnungs- und Dokumentendaten, die der Nutzer in die Plattform eingibt
- Kommunikationsdaten: Nachrichten im Team-Messenger, E-Mail-Inhalte bei Nutzung des integrierten E-Mail-Clients
- Mediendaten: Fotos, Dokumente und Dateien, die der Nutzer hochlädt (verschlüsselt gespeichert)
- Standortdaten: GPS-Koordinaten bei aktiviertem Tracking (nur mit ausdrücklicher Zustimmung des Nutzers)
- Push-Abonnements: Technische Endpunkt-Daten für Push-Benachrichtigungen auf mobilen Geräten
3. Zweck der Datenverarbeitung
- Bereitstellung und Betrieb der Plattform
- Benutzerkontenverwaltung und Authentifizierung
- Abrechnung und Zahlungsabwicklung
- Zustellung von Push-Benachrichtigungen und E-Mails
- Support und Kommunikation
- Sicherheit, Missbrauchsprävention und Betrugserkennung
4. Rechtsgrundlage
Die Verarbeitung erfolgt auf Grundlage von:
- Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung der Plattform)
- Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (Sicherheit, Missbrauchsprävention, Plattformverbesserung)
- Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (Push-Benachrichtigungen, GPS-Tracking, optionale Funktionen)
- Art. 6 Abs. 1 lit. c DSGVO — Gesetzliche Verpflichtung (steuerrechtliche Aufbewahrungspflichten)
5. Verschlüsselung und Datensicherheit
Wir setzen umfangreiche technische Maßnahmen zum Schutz Ihrer Daten ein:
- Transport: TLS/SSL-Verschlüsselung (HTTPS) für alle Datenübertragungen
- Speicherung: AES-256-GCM-Verschlüsselung für alle hochgeladenen Dateien (Fotos, Dokumente, Anhänge)
- Zugriff: Mandantenisolierte Datenhaltung — strikte Trennung aller Kundendaten auf Datenbankebene
- Authentifizierung: Optionale Zwei-Faktor-Authentifizierung (TOTP) für zusätzlichen Kontoschutz
- Backups: Tägliche automatische Datensicherung auf getrennten Speichersystemen
Hinweis: Trotz dieser Maßnahmen kann absolute Sicherheit nicht garantiert werden. Der Nutzer wird auf die allgemeinen Risiken der Internetnutzung hingewiesen und empfohlen, regelmäßig eigene Datensicherungen durchzuführen (vgl. AGB § 8.3).
6. Speicherdauer
Personenbezogene Daten werden so lange gespeichert, wie das Nutzerkonto aktiv ist. Nach Kündigung werden die Daten innerhalb von 90 Tagen unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
Gesetzliche Aufbewahrungsfristen (insb. § 132 BAO in Österreich: 7 Jahre für buchungsrelevante Unterlagen; § 147 AO in Deutschland: 10 Jahre) bleiben unberührt.
7. Empfänger der Daten
Eine Weitergabe an Dritte erfolgt nur, soweit dies zur Vertragserfüllung oder aus gesetzlichen Gründen erforderlich ist:
- Hosting: Hetzner Online GmbH, Nürnberg, Deutschland (Server und Speicher)
- E-Mail-Versand: Brevo (Sendinblue), Paris, Frankreich (transaktionale E-Mails und Newsletter)
- Zahlungsabwicklung: Stripe, Inc. (bei kostenpflichtigen Plänen)
- Push-Benachrichtigungen: Apple Push Notification Service (APNs), Google Firebase Cloud Messaging (FCM) — nur technische Endpunkt-Zustellung
- Anmeldung mit Google (optional): Google Ireland Ltd., Dublin – Bestätigung Ihrer Identität (siehe Abschnitt 11)
- KI-Assistent (optional, nur bei Nutzung über das werko.app-Konto): Anthropic, PBC, San Francisco, USA – Verarbeitung der übermittelten Texte ohne Speicherung (Standardvertragsklauseln)
Alle Dienstleister sind vertraglich zur Einhaltung der DSGVO verpflichtet (Auftragsverarbeitung gem. Art. 28 DSGVO). Es findet keine Datenübermittlung in Drittstaaten außerhalb der EU/des EWR statt, sofern nicht durch Standardvertragsklauseln abgesichert.
8. Rechte der Betroffenen
Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:
- Auskunft (Art. 15 DSGVO) — Welche Daten über Sie gespeichert sind
- Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
- Löschung (Art. 17 DSGVO) — „Recht auf Vergessenwerden"
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten in maschinenlesbarem Format
- Widerspruch (Art. 21 DSGVO) — gegen die Verarbeitung auf Basis berechtigter Interessen
- Widerruf der Einwilligung — jederzeit mit Wirkung für die Zukunft
Zur Ausübung Ihrer Rechte wenden Sie sich an: support@werko.app
Sie haben zudem das Recht, Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen:
Österreich: Datenschutzbehörde (dsb.gv.at)
Deutschland: Zuständiger Landesbeauftragter für Datenschutz
9. Cookies und lokale Speicherung
Die Plattform verwendet ausschließlich technisch notwendige Cookies für die Sitzungsverwaltung, Authentifizierung und CSRF-Schutz. In der App selbst werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt. Auf den öffentlichen Seiten (Startseite, Registrierung) setzen wir den Meta-Pixel nur mit Ihrer Einwilligung ein (siehe Abschnitt 13); Ihre Auswahl speichern wir im Cookie „werko_marketing“ (12 Monate).
Zusätzlich wird die HTML5 localStorage-API für Benutzereinstellungen (z. B. Theme, Push-Benachrichtigungs-Präferenzen) verwendet. Diese Daten verlassen das Gerät des Nutzers nicht.
10. Push-Benachrichtigungen
Die Plattform bietet optionale Push-Benachrichtigungen auf mobilen Geräten und Desktop-Browsern. Die Aktivierung erfordert die ausdrückliche Zustimmung des Nutzers (Opt-in). Die Abmeldung ist jederzeit möglich.
Für die Zustellung werden technische Endpunkt-URLs und kryptografische Schlüssel (Web Push Protocol) gespeichert. Nachrichteninhalte werden Ende-zu-Ende an den Browser des Empfängers übermittelt.
11. Werko Office, Anmeldung mit Google und Gmail
Konto. Für Werko Office (Werko Text, Tabelle, Show, PDF, Mail) ist ein kostenloses Konto nötig. Wir verarbeiten dafür Ihre E-Mail-Adresse, Ihren Namen und – bei der Anmeldung mit Google – Ihre Google-Konto-ID (Kennung „sub“). Je verbundenem Gerät speichern wir eine zufällige Geräte-ID, Gerätename, Betriebssystem, Programmversion und den Zeitpunkt der letzten Verbindung. Zweck: Anmeldung, Lizenzstufe, Sicherheit (Geräte abmelden) und Updates. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Ihre Dokumente (Texte, Tabellen, Präsentationen, PDFs, E-Mails) werden auf Ihrem Gerät gespeichert und nie an uns übertragen.
Anmeldung mit Google. Wenn Sie „Mit Google anmelden“ wählen, erhalten wir von Google nur Name, E-Mail-Adresse, die Bestätigung der E-Mail-Adresse und die Google-Konto-ID (Berechtigungen „openid“, „email“, „profile“).
Gmail in Werko Mail. Wenn Sie in Werko Mail ein Gmail-Konto mit „Mit Google anmelden“ verbinden, erteilen Sie Werko Mail die Berechtigung https://mail.google.com/, um E-Mails zu lesen, zu senden, zu verschieben und zu löschen – so wie jedes E-Mail-Programm (IMAP/SMTP). Dabei gilt:
- Die E-Mails werden direkt zwischen Ihrem Gerät und Google übertragen. Inhalte Ihrer E-Mails erreichen unsere Server nie.
- Das Zugangs-Token (Refresh-Token) wird einmalig an Ihr Gerät übergeben und dort verschlüsselt im Schlüsselspeicher des Betriebssystems abgelegt. Unser Server speichert es nicht; er erneuert auf Anfrage Ihres Geräts nur kurzlebige Zugriffs-Tokens, weil das dafür nötige Google-Client-Geheimnis nicht im Programm stehen darf. Diese Tokens werden nicht gespeichert und nicht protokolliert.
- Wir verwenden Daten aus Gmail nicht für Werbung, verkaufen sie nicht, geben sie nicht weiter und nutzen sie nicht zum Trainieren von KI-Modellen. Menschen lesen sie nicht.
- Sie können den Zugriff jederzeit widerrufen: in Werko Mail das Konto entfernen und unter myaccount.google.com/permissions „Werko Office“ entfernen.
Eingeschränkte Nutzung (Limited Use). Die Nutzung und Übertragung von Informationen, die Werko Office von Google-APIs erhält, an andere Apps erfolgt gemäß der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use requirements).
KI-Assistent. Nur wenn Sie ihn ausdrücklich verwenden, wird der markierte bzw. ausgewählte Text direkt von Ihrem Gerät an den von Ihnen gewählten und selbst eingerichteten KI-Anbieter gesendet (z. B. Anthropic, OpenAI, Google Gemini, Mistral, OpenRouter, Azure oder ein eigener bzw. lokaler Server) – mit Ihrem eigenen Schlüssel und nach dessen Datenschutzbestimmungen. werko.app erhält diese Inhalte nicht. Inhalte aus Gmail werden nur dann an einen KI-Anbieter gesendet, wenn Sie dies für eine einzelne Nachricht ausdrücklich auslösen.
English summary – Werko Office and Google user data
Werko Office requires a free account. With “Sign in with Google” we receive only your name, email address, email verification status and Google account ID (scopes openid, email, profile). If you connect a Gmail account in Werko Mail, the app uses the scope https://mail.google.com/ to read, send, organise and delete email like any email client (IMAP/SMTP). Email content travels directly between your device and Google and never reaches our servers. The refresh token is handed to your device once and stored encrypted only there; our server only exchanges it for short-lived access tokens (it holds the Google client secret) and neither stores nor logs them. We do not use Gmail data for advertising, do not sell or share it, do not use it to train AI models, and no human reads it. You can revoke access at any time at myaccount.google.com/permissions.
Werko Office's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
12. Newsletter
Wenn Sie den Newsletter abonnieren (Haken bei der Registrierung oder Formular auf unserer Website), verarbeiten wir Ihre E-Mail-Adresse und – freiwillig – Ihren Vornamen, um Ihnen Tipps, Neuigkeiten und Angebote zu WerkoApp und Werko Office zu senden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021). Wir verwenden das Double-Opt-in-Verfahren: Der Versand beginnt erst, nachdem Sie Ihre Adresse über einen Bestätigungslink bestätigt haben. Zum Nachweis speichern wir Zeitpunkt, IP-Adresse und Wortlaut der Einwilligung.
Um den Newsletter zu verbessern, erfassen wir, ob eine Ausgabe geöffnet (Zählpixel) und ob ein Link angeklickt wurde. Diese Auswertung erfolgt nur bezogen auf die jeweilige Ausgabe. Sie können den Newsletter und diese Auswertung jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an support@werko.app beenden; danach löschen wir Ihre Adresse aus dem Verteiler bzw. sperren sie gegen erneuten Versand. Der Versand erfolgt über Brevo (siehe Abschnitt 7).
13. Meta-Pixel und Conversions API (Werbemessung)
Auf unseren öffentlichen Seiten (Startseite, Registrierung) setzen wir – nur mit Ihrer Einwilligung über das Cookie-Banner – den Meta-Pixel der Meta Platforms Ireland Ltd., Dublin, ein. Damit messen wir, ob Besucher über unsere Werbung auf Facebook und Instagram zu uns kommen und sich registrieren, und können die Werbung an ähnliche Personen ausspielen. Dabei werden u. a. aufgerufene Seiten, Zeitpunkt, IP-Adresse, Browser-Kennung und Cookie-IDs an Meta übertragen; eine Übermittlung in die USA ist möglich (EU-US Data Privacy Framework).
Haben Sie eingewilligt, übermitteln wir zusätzlich serverseitig (Conversions API) das Ereignis „Registrierung“ bzw. „Testzeitraum gestartet“ mit Ihrer E-Mail-Adresse und Ihrem Namen nur in gehashter (verschlüsselter) Form. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Für die gemeinsame Verarbeitung mit Meta besteht eine Vereinbarung nach Art. 26 DSGVO (Meta Controller Addendum). Ohne Einwilligung findet keine Übertragung statt.
Sie können Ihre Einwilligung jederzeit widerrufen: Meta-Pixel deaktivieren · Cookie-Einstellungen erneut anzeigen.
14. Keine Haftung für Datensicherheit
Trotz aller technischen und organisatorischen Maßnahmen kann der Betreiber keine absolute Sicherheit der gespeicherten Daten garantieren. Der Nutzer wird ausdrücklich darauf hingewiesen, dass:
- Kein IT-System vollständig vor Cyberangriffen, Sicherheitslücken oder unberechtigtem Zugriff geschützt ist
- Der Betreiber keine Haftung für Datenverluste oder unbefugten Datenzugriff übernimmt, soweit er die nach dem Stand der Technik angemessenen Schutzmaßnahmen getroffen hat
- Der Nutzer eigenverantwortlich für regelmäßige Datensicherungen zuständig ist
Weitergehende Haftungsausschlüsse finden sich in unseren AGB (§ 8).
15. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, insbesondere bei Änderungen der Rechtslage, neuen Funktionen oder geänderten Verarbeitungszwecken. Die aktuelle Fassung ist stets unter werko.app/datenschutz/ abrufbar.
16. Kontakt
Bei Fragen zum Datenschutz erreichen Sie uns unter:
support@werko.app