1 · VERANTWORTLICHER

1 · CONTROLLER

Verantwortlicher im Sinne des Art 4 Z 7 DSGVO ist:

The controller within the meaning of Art 4(7) GDPR is:

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art 37 DSGVO nicht vorliegen. Für alle Datenschutzanliegen ist die oben genannte E-Mail-Adresse zuständig.

No data protection officer has been appointed as the conditions of Art 37 GDPR are not met. The email address above is responsible for all data protection matters.

2 · ÜBERBLICK ÜBER DIE VERARBEITUNGEN

2 · OVERVIEW OF PROCESSING

Die folgende Tabelle fasst zusammen, welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden. Einzelheiten folgen in den nächsten Abschnitten.

The following table summarises which data is processed for which purpose and on which legal basis. Details follow in the next sections.

3 · AUFRUF DER WEBSITE

3 · ACCESSING THE WEBSITE

Beim Aufruf der Website werden vom Hostinganbieter automatisch Server-Protokolle erstellt. Diese enthalten die IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den übertragenen Datenumfang sowie Browser- und Betriebssystemkennung.

When the website is accessed, the hosting provider automatically creates server logs. These contain the IP address, date and time, the address requested, the volume of data transferred, and browser and operating system identifiers.

Diese Verarbeitung dient der technischen Bereitstellung, der Fehlersuche und der Abwehr von Angriffen. Rechtsgrundlage ist das berechtigte Interesse an einem sicheren Betrieb (Art 6 Abs 1 lit f DSGVO). Eine Zusammenführung mit anderen Daten oder eine Auswertung des Nutzungsverhaltens findet nicht statt.

This processing serves technical provision, troubleshooting and defence against attacks. The legal basis is the legitimate interest in secure operation (Art 6(1)(f) GDPR). No merging with other data or evaluation of usage behaviour takes place.

Die Protokolle werden spätestens nach sieben Tagen gelöscht, sofern nicht ein konkreter Sicherheitsvorfall eine längere Aufbewahrung erfordert.

Logs are deleted after seven days at the latest, unless a specific security incident requires longer retention.

4 · BENUTZERKONTO

4 · USER ACCOUNT

Die Werkzeuge im Browser sind ohne Konto nutzbar. Für den Bezug und die Verwaltung von Lizenzen kann ein Benutzerkonto angelegt werden. Erforderlich sind eine E-Mail-Adresse und ein Passwort; die Angabe eines Namens ist freiwillig.

The browser tools can be used without an account. A user account can be created to obtain and manage licences. An email address and a password are required; providing a name is optional.

Das Passwort wird niemals im Klartext gespeichert, sondern ausschließlich als Hashwert nach dem bcrypt-Verfahren. Eine Wiederherstellung des ursprünglichen Passworts ist technisch ausgeschlossen.

The password is never stored in plain text but exclusively as a hash using the bcrypt algorithm. Recovery of the original password is technically impossible.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art 6 Abs 1 lit b DSGVO). Das Konto kann jederzeit selbst im Kundenbereich gelöscht werden; dabei werden sämtliche zugehörigen Daten entfernt, mit Ausnahme jener Belege, die steuerrechtlich aufbewahrt werden müssen.

The legal basis is performance of the user contract (Art 6(1)(b) GDPR). The account can be deleted at any time in the customer area; all associated data is then removed, except records that must be retained for tax purposes.

5 · LIZENZEN UND GERÄTEAKTIVIERUNG

5 · LICENCES AND DEVICE ACTIVATION

Zum Schutz vor unberechtigter Weitergabe wird eine Lizenz an das Gerät gebunden, auf dem sie verwendet wird. Dazu wird lokal auf dem Gerät aus technischen Merkmalen ein Prüfwert nach dem Verfahren SHA-256 berechnet.

To protect against unauthorised distribution, a licence is bound to the device on which it is used. For this purpose a checksum is calculated locally on the device from technical characteristics using the SHA-256 algorithm.

Übertragen wird ausschließlich dieser Prüfwert — also eine Zeichenfolge fester Länge. Die zugrunde liegenden Gerätemerkmale verlassen das Gerät nicht und lassen sich aus dem Prüfwert nicht zurückrechnen. Es werden keine Seriennummern, keine Gerätenamen und keine Standortdaten erhoben.

Only this checksum is transmitted — that is, a fixed-length character string. The underlying device characteristics do not leave the device and cannot be reconstructed from the checksum. No serial numbers, device names or location data are collected.

Da der Prüfwert einem Konto zugeordnet ist, gilt er als personenbezogenes Datum. Rechtsgrundlage ist die Vertragserfüllung (Art 6 Abs 1 lit b DSGVO) sowie das berechtigte Interesse am Schutz vor Lizenzmissbrauch (Art 6 Abs 1 lit f DSGVO).

As the checksum is linked to an account it constitutes personal data. The legal basis is performance of the contract (Art 6(1)(b) GDPR) and the legitimate interest in protection against licence misuse (Art 6(1)(f) GDPR).

Gespeichert werden je Aktivierung der Prüfwert, eine frei wählbare Gerätebezeichnung und der Zeitpunkt. Die Löschung erfolgt mit der Deaktivierung des Geräts oder der Löschung des Kontos.

For each activation the checksum, a freely chosen device label and the timestamp are stored. Deletion occurs when the device is deactivated or the account is deleted.

6 · NEWSLETTER

6 · NEWSLETTER

Der Newsletter wird ausschließlich im Verfahren der doppelten Bestätigung versendet. Nach der Anmeldung wird eine E-Mail mit einem Bestätigungslink versandt; erst nach dessen Aufruf wird die Adresse in den Verteiler aufgenommen.

The newsletter is sent exclusively using the double opt-in procedure. After registration an email containing a confirmation link is sent; only once this has been followed is the address added to the distribution list.

Zum Nachweis der Einwilligung werden der Zeitpunkt der Anmeldung und der Bestätigung protokolliert. Rechtsgrundlage ist die Einwilligung (Art 6 Abs 1 lit a DSGVO in Verbindung mit § 174 TKG 2021).

To document consent, the times of registration and confirmation are logged. The legal basis is consent (Art 6(1)(a) GDPR in conjunction with § 174 of the Austrian Telecommunications Act 2021).

Die Einwilligung kann jederzeit ohne Angabe von Gründen widerrufen werden — über den Abmeldelink in jeder Nachricht oder formlos per E-Mail. Nach der Abmeldung wird die Adresse aus dem Verteiler gelöscht.

Consent can be withdrawn at any time without giving reasons — via the unsubscribe link in every message or informally by email. After unsubscribing the address is deleted from the distribution list.

Der Newsletter enthält keine Zählpixel und keine Erfolgsmessung. Es wird nicht erfasst, ob und wann eine Nachricht geöffnet wurde.

The newsletter contains no tracking pixels and no performance measurement. Whether and when a message was opened is not recorded.

7 · BESTELLUNG UND ZAHLUNG

7 · ORDERS AND PAYMENT

Bei einem Kauf werden die zur Vertragsabwicklung erforderlichen Daten verarbeitet: Name, Rechnungsanschrift, E-Mail-Adresse, gekauftes Produkt und Kaufzeitpunkt.

When a purchase is made, the data required to process the contract is processed: name, billing address, email address, product purchased and time of purchase.

Derzeit erfolgt die Zahlung per Überweisung auf Rechnung. Sobald im Kundenkonto angeboten, erfolgt die Kartenzahlung über den Zahlungsdienstleister. Vollständige Kreditkartendaten werden weder erhoben noch gespeichert; sie werden unmittelbar an den Zahlungsdienstleister übermittelt, der eigenständig Verantwortlicher für diese Verarbeitung ist.

Payment is currently made by bank transfer against invoice. Once offered in the customer account, card payments are processed via the payment service provider. Complete credit card data is neither collected nor stored; it is transmitted directly to the payment service provider, which is an independent controller for that processing.

Bei Warenbestellungen aus dem Shop kommt die Lieferadresse hinzu. Sie wird an das Versandunternehmen (Österreichische Post AG) übermittelt, soweit das für die Zustellung nötig ist (Art 6 Abs 1 lit b DSGVO). Wählen Sie PayPal, werden Betrag und Bestellbezug an PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, übermittelt; PayPal ist dafür eigenständig Verantwortlicher. Bestellungen per E-Mail werden im Postfach verarbeitet.

For goods ordered from the shop, the delivery address is added. It is passed to the carrier (Österreichische Post AG) as far as necessary for delivery (Art 6(1)(b) GDPR). If you choose PayPal, the amount and order reference are transmitted to PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxembourg, which is an independent controller for that processing. Orders by email are processed in the mailbox.

Rechnungen unterliegen der gesetzlichen Aufbewahrungspflicht von sieben Jahren nach § 132 BAO. Die Verarbeitung stützt sich insoweit auf eine rechtliche Verpflichtung (Art 6 Abs 1 lit c DSGVO). Ein Löschungsverlangen kann diese Frist nicht verkürzen; die Daten werden für diesen Zeitraum lediglich gesperrt weiterverarbeitet.

Invoices are subject to the statutory retention period of seven years under § 132 of the Austrian Federal Fiscal Code. To that extent processing is based on a legal obligation (Art 6(1)(c) GDPR). A deletion request cannot shorten this period; for that period the data is processed on a restricted basis only.

8 · EMPFÄNGER UND AUFTRAGSVERARBEITER

8 · RECIPIENTS AND PROCESSORS

Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Eine Übermittlung erfolgt ausschließlich an die folgenden Dienstleister, die ausschließlich weisungsgebunden tätig werden. Mit allen wurde ein Auftragsverarbeitungsvertrag nach Art 28 DSGVO geschlossen.

Data is neither sold nor passed on for advertising purposes. Transfers are made exclusively to the following service providers, which act solely on instructions. A data processing agreement under Art 28 GDPR has been concluded with all of them.

Soweit eine Verarbeitung in den Vereinigten Staaten stattfindet, stützt sich die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission und ergänzende Schutzmaßnahmen, gegebenenfalls in Verbindung mit einer Zertifizierung nach dem EU-US Data Privacy Framework.

Insofar as processing takes place in the United States, the transfer is based on the European Commission's standard contractual clauses and supplementary safeguards, where applicable in conjunction with certification under the EU-US Data Privacy Framework.

Darüber hinaus kann eine Weitergabe an Steuerberatung und Behörden erfolgen, soweit dies gesetzlich vorgeschrieben ist.

In addition, data may be passed to tax advisors and authorities where legally required.

9 · COOKIES UND LOKALE SPEICHERUNG

9 · COOKIES AND LOCAL STORAGE

Es werden keine Cookies für Werbung, Analyse oder Profilbildung gesetzt. Eine Einwilligungsabfrage für nicht erforderliche Cookies ist daher entbehrlich.

No cookies are set for advertising, analytics or profiling. A consent request for non-essential cookies is therefore unnecessary.

Für den Betrieb genutzt werden ausschließlich technisch erforderliche Speichermechanismen im Browser:

Only technically necessary storage mechanisms in the browser are used for operation:

• Anmeldemerkmal — hält die Sitzung nach dem Einloggen aufrecht. Wird beim Abmelden entfernt.
• Session token — maintains the session after logging in. Removed upon logout.
• Spracheinstellung — merkt sich die gewählte Sprache.
• Language preference — remembers the selected language.
• Werkzeug-Einstellungen — speichert Projektdaten der Web-Werkzeuge lokal im Browser. Diese Daten werden nicht an den Server übertragen.
• Tool settings — stores project data of the web tools locally in the browser. This data is not transmitted to the server.

Rechtsgrundlage ist § 165 Abs 3 TKG 2021, da die Speicherung für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Sämtliche lokal gespeicherten Daten können jederzeit über die Einstellungen des Browsers gelöscht werden.

The legal basis is § 165(3) of the Austrian Telecommunications Act 2021, as the storage is strictly necessary for the service expressly requested by the user. All locally stored data can be deleted at any time via the browser settings.

10 · KEINE ANALYSE, KEINE EXTERNEN INHALTE

10 · NO ANALYTICS, NO EXTERNAL CONTENT

Es kommen weder Google Analytics noch vergleichbare Reichweitenmessungen zum Einsatz. Es sind keine Schaltflächen sozialer Netzwerke, keine eingebetteten Videos und keine externen Kartendienste eingebunden.

Neither Google Analytics nor comparable audience measurement tools are used. No social network buttons, embedded videos or external map services are integrated.

Schriftarten werden vom eigenen Server ausgeliefert. Beim Aufruf der Seiten werden daher keine Verbindungen zu Servern Dritter aufgebaut und keine IP-Adressen an solche übermittelt.

Fonts are delivered from our own server. When the pages are accessed, no connections to third-party servers are established and no IP addresses are transmitted to them.

Die Web-Werkzeuge arbeiten vollständig im Browser. Erzeugte Klänge, Projekte und Einstellungen verbleiben auf dem Gerät und werden nicht übertragen.

The web tools operate entirely in the browser. Sounds, projects and settings created remain on the device and are not transmitted.

11 · IHRE RECHTE

11 · YOUR RIGHTS

Betroffenen Personen stehen nach der DSGVO folgende Rechte zu:

Data subjects have the following rights under the GDPR:

• Auskunft (Art 15) — welche Daten zu welchem Zweck verarbeitet werden.
• Access (Art 15) — which data is processed for which purpose.
• Berichtigung (Art 16) — Korrektur unrichtiger Daten.
• Rectification (Art 16) — correction of inaccurate data.
• Löschung (Art 17) — sofern keine Aufbewahrungspflicht entgegensteht.
• Erasure (Art 17) — unless a retention obligation applies.
• Einschränkung (Art 18) — Sperrung der Verarbeitung.
• Restriction (Art 18) — blocking of processing.
• Datenübertragbarkeit (Art 20) — Erhalt der Daten in einem gängigen Format.
• Portability (Art 20) — receipt of the data in a common format.
• Widerspruch (Art 21) — gegen Verarbeitungen auf Grundlage berechtigter Interessen.
• Objection (Art 21) — against processing based on legitimate interests.
• Widerruf der Einwilligung (Art 7 Abs 3) — mit Wirkung für die Zukunft.
• Withdrawal of consent (Art 7(3)) — with effect for the future.

Zur Ausübung genügt eine formlose Nachricht an office@signal-werk.eu. Anfragen werden innerhalb eines Monats beantwortet. Die Auskunft ist kostenlos.

An informal message to office@signal-werk.eu is sufficient to exercise these rights. Enquiries are answered within one month. Access is provided free of charge.

Es besteht ein Beschwerderecht bei der Aufsichtsbehörde: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

You have the right to lodge a complaint with the supervisory authority: Austrian Data Protection Authority, Barichgasse 40–42, 1030 Vienna, dsb.gv.at.

12 · DATENSICHERHEIT

12 · DATA SECURITY

Die Übertragung erfolgt durchgehend verschlüsselt über TLS. Passwörter werden ausschließlich als Hashwert gespeichert. Der Zugriff auf die Datenbank ist auf den Verantwortlichen beschränkt.

Transmission is encrypted throughout via TLS. Passwords are stored exclusively as hashes. Access to the database is limited to the controller.

Es werden nur jene Daten erhoben, die für den jeweiligen Zweck erforderlich sind. Nicht mehr benötigte Daten werden gelöscht.

Only data required for the respective purpose is collected. Data no longer needed is deleted.

13 · KINDER UND JUGENDLICHE

13 · CHILDREN AND YOUNG PEOPLE

Die Angebote richten sich an Personen ab 14 Jahren. Für die Einwilligung in die Verarbeitung durch Minderjährige gilt § 4 Abs 4 DSG, wonach Jugendliche ab dem vollendeten 14. Lebensjahr wirksam einwilligen können.

The offerings are aimed at persons aged 14 and over. For consent to processing by minors, § 4(4) of the Austrian Data Protection Act applies, under which young people aged 14 and over may give valid consent.

Für kostenpflichtige Verträge gelten zusätzlich die Bestimmungen über die Geschäftsfähigkeit nach dem ABGB.

For paid contracts, the provisions on legal capacity under the Austrian Civil Code additionally apply.

14 · ÄNDERUNGEN DIESER ERKLÄRUNG

14 · CHANGES TO THIS POLICY

Diese Erklärung wird angepasst, wenn sich die Verarbeitungen ändern oder neue Dienste hinzukommen. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen werden registrierte Nutzer gesondert informiert.

This policy will be adapted if processing activities change or new services are added. The version published on this page shall apply. Registered users are informed separately of material changes.

Stand dieser Fassung: 30.09.2026.

Version date: 30 September 2026.

AUSNAHME: KI-FUNKTIONEN MIT EIGENEM SCHLÜSSEL

Ein Werkzeug (SENDEWERK) kann auf Wunsch Textfunktionen eines externen Anbieters (Anthropic, api.anthropic.com) nutzen. Das geschieht nur, wenn du selbst einen eigenen API-Schlüssel einträgst und die Funktion auslöst. Dann verlässt der eingegebene Text dein Gerät und geht an diesen Anbieter; es gelten dessen Datenschutzbestimmungen. Der Schlüssel wird nicht an Signal-Werk übertragen und nicht in Showdateien gespeichert. Ohne eigenen Schlüssel findet keine Übertragung statt.

EXCEPTION: AI FEATURES WITH YOUR OWN KEY

One tool (SENDEWERK) can optionally use text features of an external provider (Anthropic, api.anthropic.com). This happens only if you enter your own API key and trigger the feature. The entered text then leaves your device and goes to that provider; their privacy terms apply. The key is not transmitted to Signal-Werk and not stored in show files. Without your own key, nothing is transmitted.