BookinX by Xorbit

Datenschutzerklärung für BookinX

Stand: 2. Oktober 2026

Diese Datenschutzerklärung informiert darüber, wie personenbezogene Daten bei der Nutzung von BookinX, einem Online-Dienst zur Einrichtung und Verwaltung von Terminbuchungen, verarbeitet werden.

BookinX befindet sich derzeit im Testbetrieb.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die in dieser Datenschutzerklärung beschriebenen eigenen Verarbeitungstätigkeiten von BookinX ist:

Robert F. Craciun

Girardigasse 4/28

1060 Wien

Österreich

Telefon: +43 664 166 44 46

E-Mail: robert@x-orbit.app

BookinX ist ein Dienst der Xorbit-Produktfamilie (x-orbit.app). Betreiber und Verantwortlicher ist die oben genannte Person; Xorbit ist eine Produktbezeichnung, kein eigener Rechtsträger.

Eine Unternehmensgründung ist im Gange.

2. Datenschutzrechtliche Rollen bei BookinX

Bei BookinX muss zwischen zwei unterschiedlichen Verarbeitungssituationen unterschieden werden.

2.1 BookinX als Verantwortlicher

BookinX ist selbst Verantwortlicher, soweit personenbezogene Daten insbesondere für folgende Zwecke verarbeitet werden:

Für diese Verarbeitungstätigkeiten gelten die nachfolgenden Informationen unmittelbar.

2.2 BookinX als Auftragsverarbeiter

Kunden von BookinX können eigene Buchungsseiten einrichten und ihren Kunden, Interessenten oder sonstigen Personen die Buchung von Terminen ermöglichen.

Für personenbezogene Daten, die über eine solche Buchungsseite im Auftrag eines BookinX-Kunden verarbeitet werden, ist grundsätzlich der jeweilige BookinX-Kunde Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO.

BookinX verarbeitet diese Daten grundsätzlich als Auftragsverarbeiter gemäß Art. 4 Z 8 und Art. 28 DSGVO nach den Weisungen des jeweiligen Kunden.

Hierzu wird zwischen BookinX und dem Kunden ein gesonderter Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen.

Personen, die einen Termin über eine BookinX-Buchungsseite buchen, können sich hinsichtlich ihrer Datenschutzrechte grundsätzlich an den Anbieter der jeweiligen Buchungsseite wenden. BookinX unterstützt seine Kunden im Rahmen der gesetzlichen und vertraglichen Verpflichtungen bei der Bearbeitung entsprechender Anfragen.

Soweit BookinX personenbezogene Daten im Auftrag eines Kunden verarbeitet, erfolgt die Verarbeitung auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Dieser regelt insbesondere Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und betroffener Personen sowie die Rechte und Pflichten der Parteien.

3. Registrierung bei BookinX

Bei der Registrierung können insbesondere folgende Daten verarbeitet werden:

Die Verarbeitung erfolgt zur Einrichtung des gewünschten BookinX-Kontos, zur Durchführung vorvertraglicher Maßnahmen und zur Vorbereitung beziehungsweise Durchführung des Vertragsverhältnisses. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Soweit für bestimmte freiwillige Verarbeitungsvorgänge ausdrücklich eine Einwilligung eingeholt wird, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

Die zur Missbrauchsprävention und für Rate-Limits verwendete IP-Adresse wird auf Grundlage unseres berechtigten Interesses an der Sicherheit, Stabilität und Missbrauchsvermeidung des Dienstes gemäß Art. 6 Abs. 1 lit. f DSGVO verarbeitet.

Die hierfür gespeicherte IP-Adresse wird grundsätzlich nach 24 Stunden gelöscht beziehungsweise aus dem entsprechenden Rate-Limit-System entfernt.

Beim Aufruf der Registrierungsseite wird Ihre IP-Adresse lokal auf unserem Server mit der frei verfügbaren Datenbank „user-country“ des Projekts ip-location-db (gemeinfrei, PDDL) einem Land zugeordnet, um die Ländervorwahl des Telefonfelds vorzuschlagen; eine Weitergabe der IP-Adresse an Dritte erfolgt dabei nicht (Art. 6 Abs. 1 lit. f DSGVO).

Nicht bestätigte Registrierungen werden grundsätzlich nach 24 Stunden gelöscht.

4. Verwaltungs- und Benutzerkonten

Für die Verwaltung von BookinX können insbesondere folgende Daten verarbeitet werden:

Passwörter werden nicht im Klartext gespeichert. Es wird ausschließlich ein kryptografischer Passwort-Hash unter Verwendung von Argon2id beziehungsweise scrypt gespeichert. Die Verarbeitung dient der Authentifizierung, Kontoverwaltung, Zugriffskontrolle und sicheren Bereitstellung des Dienstes. Rechtsgrundlage ist, soweit die Verarbeitung für die Nutzung von BookinX erforderlich ist, Art. 6 Abs. 1 lit. b DSGVO.

Sicherheitsprotokollierung, Zugriffskontrolle und Audit-Logs erfolgen zusätzlich auf Grundlage unseres berechtigten Interesses an der Absicherung unserer Systeme, der Erkennung von Missbrauch und der nachvollziehbaren Administration gemäß Art. 6 Abs. 1 lit. f DSGVO. Im Verwaltungsbereich von BookinX endet eine Sitzung nach 30 Minuten ohne Aktivität, spätestens jedoch 12 Stunden nach der Anmeldung. Eine Aktivität verlängert ausschließlich die Inaktivitätsfrist; die maximale Sitzungsdauer von 12 Stunden bleibt davon unberührt.

Eine Sitzung in Xorbit endet spätestens 12 Stunden nach der Anmeldung. Bei einer Änderung des Passworts werden sämtliche bestehenden Sitzungen des betreffenden Kontos sofort beendet. Daten abgelaufener oder beendeter Sitzungen werden spätestens sieben Tage nach Ablauf oder Beendigung der Sitzung im Rahmen des nächsten Anmeldevorgangs endgültig gelöscht. Audit-Logs werden grundsätzlich für 12 Monate gespeichert und anschließend gelöscht, sofern keine längere Speicherung zur Aufklärung eines konkreten Sicherheitsvorfalls oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

5. Terminbuchungen

Bei einer Terminbuchung über BookinX können abhängig von der Konfiguration der jeweiligen Buchungsseite insbesondere folgende Daten verarbeitet werden:

Diese Daten werden verwendet, um den gewünschten Termin zu erfassen, zu verwalten und den beteiligten Personen bereitzustellen. Für die Verarbeitung der Buchungsdaten ist grundsätzlich der jeweilige Kunde, der die betreffende Buchungsseite betreibt, datenschutzrechtlich Verantwortlicher. Dieser bestimmt die Zwecke und Rechtsgrundlagen der Verarbeitung und ist für die Erfüllung der Informationspflichten gegenüber den buchenden Personen verantwortlich. BookinX verarbeitet die Buchungsdaten als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage des mit dem jeweiligen Kunden geschlossenen Auftragsverarbeitungsvertrags und dessen dokumentierten Weisungen. Weitere Informationen zur Verarbeitung der Buchungsdaten erhalten buchende Personen beim jeweiligen Verantwortlichen.

6. Kalenderintegration

BookinX ermöglicht es Nutzern optional, einen persönlichen Kalender von Microsoft Outlook / Microsoft 365, Google Kalender oder Apple Kalender mit BookinX zu verbinden. Die Verbindung erfolgt ausschließlich auf ausdrückliche Initiative des jeweiligen Nutzers.

Im Rahmen der Kalenderintegration können, abhängig vom gewählten Kalenderanbieter und der Art der Verbindung, insbesondere:

BookinX verarbeitet Kalenderdaten nur in dem Umfang, der für die vom Nutzer aktivierte Kalenderintegration erforderlich ist. Soweit für die Verbindung Zugriffstoken oder vergleichbare Authentifizierungsdaten erforderlich sind, werden diese geschützt gespeichert.

Die Kalenderverbindung kann vom Nutzer jederzeit getrennt werden. Nicht mehr für die Kalenderverbindung erforderliche, von BookinX gespeicherte Authentifizierungs- und Zugriffsdaten werden anschließend gelöscht beziehungsweise unbrauchbar gemacht.

Die Kalenderanbindung ist freiwillig. Soweit die Verarbeitung auf einer Einwilligung beruht, ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Microsoft Outlook / Microsoft 365

Für die Anbindung von Microsoft Outlook beziehungsweise Microsoft 365 wird Microsoft Graph verwendet. Im Rahmen der Kalenderintegration werden nur die für die bereitgestellten Kalenderfunktionen erforderlichen Berechtigungen verwendet.

Anbieter der Microsoft-Dienste für Nutzer im Europäischen Wirtschaftsraum ist grundsätzlich Microsoft Ireland Operations Limited. Im Rahmen der Bereitstellung der Dienste kann eine Verarbeitung personenbezogener Daten durch Microsoft und mit Microsoft verbundene Unternehmen erfolgen.

Google Kalender

Für die Anbindung von Google Kalender wird die Google Calendar API verwendet. Die Verbindung erfolgt nach Autorisierung durch den Nutzer und im Umfang der für die Kalenderintegration erforderlichen Berechtigungen.

Im Einzelnen gilt bei Google Kalender:

Anbieter der Google-Dienste für Nutzer im Europäischen Wirtschaftsraum ist grundsätzlich Google Ireland Limited. Im Rahmen der Bereitstellung der Dienste kann eine Verarbeitung personenbezogener Daten durch Google und mit Google verbundene Unternehmen erfolgen.

Apple Kalender

BookinX ermöglicht außerdem die Verbindung mit Apple Kalender. Abhängig von der technisch verwendeten Verbindung werden nur die für die Kalenderintegration erforderlichen Kalender- und Authentifizierungsdaten verarbeitet.

Im Einzelnen gilt bei Apple Kalender:

Soweit dabei Apple-Dienste in Anspruch genommen werden, kann eine Verarbeitung personenbezogener Daten durch Apple Distribution International Ltd. beziehungsweise mit Apple verbundene Unternehmen erfolgen.

Datenübermittlung durch Kalenderanbieter

Bei der Nutzung externer Kalenderanbieter kann nicht ausgeschlossen werden, dass personenbezogene Daten durch den jeweiligen Anbieter oder mit ihm verbundene Unternehmen auch außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Weitere Informationen zu Drittlandübermittlungen enthält der Abschnitt „Datenübermittlungen in Drittländer“ dieser Datenschutzerklärung.

7. Profilinformationen

Nutzer können ihr BookinX-Profil um zusätzliche Informationen ergänzen. Hierzu können insbesondere gehören:

Nutzer können außerdem einen QR-Code mit einer digitalen Kontaktkarte (vCard) erzeugen. Die Kontaktkarte enthält Name, Firma, Telefonnummer und E-Mail-Adresse des Nutzers sowie, soweit gewählt, einen Link zur Buchungsseite. Der QR-Code wird im Profil gespeichert und in der Terminvorbereitung angezeigt.

Ob das öffentliche Profil für Besucher sichtbar ist, legt der Nutzer selbst fest.

Diese Profilinformationen dienen der individuellen Gestaltung der Buchungsseite und können dort für Besucher und buchende Personen öffentlich sichtbar sein. Nutzer entscheiden selbst, ob sie diese freiwilligen Angaben hinterlegen, und können sie jederzeit ändern oder entfernen. Die Verarbeitung erfolgt zur Bereitstellung und Darstellung des vom Nutzer konfigurierten Buchungsprofils. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der vom Nutzer gewählten BookinX-Funktion erforderlich ist.

Soweit die Verarbeitung freiwilliger Profilinformationen auf einer Einwilligung beruht, ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

8. E-Mail-Versand

BookinX versendet transaktionale E-Mails, insbesondere im Zusammenhang mit:

Für den technischen E-Mail-Versand wird die netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, als Dienstleister eingesetzt.

Im Rahmen des E-Mail-Versands können insbesondere folgende personenbezogene Daten verarbeitet werden:

Die Verarbeitung der E-Mail-Inhalte durch den eingesetzten Mailserver erfolgt ausschließlich, soweit dies für die technische Übermittlung und Zustellung der jeweiligen Nachricht erforderlich ist. BookinX führt zusätzlich ein eigenes Mail-Zustellprotokoll. Dieses enthält insbesondere die Empfängeradresse, den Betreff, den Versandzeitpunkt und technische Zustellinformationen. Der Inhalt der jeweiligen E-Mail wird im BookinX-Zustellprotokoll nicht gespeichert.

Soweit der E-Mail-Versand für die Durchführung eines Vertragsverhältnisses oder einer Terminbuchung erforderlich ist, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit BookinX bei Buchungsdaten als Auftragsverarbeiter tätig wird, erfolgt die Verarbeitung auf Grundlage des mit dem jeweiligen Kunden geschlossenen Auftragsverarbeitungsvertrags und dessen dokumentierten Weisungen.

Die Verarbeitung technischer Versand- und Zustellinformationen erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht insbesondere in der Gewährleistung einer zuverlässigen E-Mail-Zustellung, der Fehleranalyse sowie der Sicherheit und Stabilität des Dienstes.

Personenbezogene Daten werden im Zusammenhang mit dem E-Mail-Versand nur so lange verarbeitet, wie dies für den jeweiligen Zweck erforderlich ist beziehungsweise gesetzliche Aufbewahrungspflichten bestehen.

9. Hosting

BookinX wird auf Serverinfrastruktur der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, betrieben. Im Rahmen des Hostings werden die für die Bereitstellung von BookinX erforderlichen personenbezogenen Daten sowie technische Protokolldaten verarbeitet. Letztere dienen insbesondere dem sicheren und stabilen Betrieb, der Fehlerdiagnose sowie der Erkennung und Abwehr von Angriffen und Missbrauch.

Die Verarbeitung erfolgt, soweit sie für die Bereitstellung des Dienstes erforderlich ist, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO sowie für Sicherheits- und Protokollierungszwecke auf Grundlage des berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO. Mit netcup besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

10. Videokonferenzen

BookinX kann optional die Durchführung beziehungsweise Verknüpfung von Videokonferenzen unterstützen. Je nach Konfiguration können hierfür insbesondere folgende Dienste verwendet werden:

Für die Einrichtung von Videokonferenzen nutzt BookinX einen internen Baustein auf denselben Servern. Dabei werden die E-Mail-Adresse der teilnehmenden Person, Beginn und Ende des Termins sowie der Konferenzlink verarbeitet, um die Einladung zu versenden und den Raum bereitzustellen. E-Mail-Adresse und Konferenzlink werden verschlüsselt gespeichert (AES-256-GCM). Es erfolgt keine Übermittlung an Dritte, außer bei Microsoft Teams (siehe 10.1).

10.1 Microsoft Teams

BookinX ermöglicht optional die Nutzung von Microsoft Teams für Videotermine. Je nach gewählter Funktion kann ein Teams-Termin über die Microsoft-Anbindung erstellt oder ein bestehender Teams-Link für einen Termin verwendet werden. Dabei können die für die Erstellung, Zuordnung und Durchführung des Termins erforderlichen Daten an Microsoft übermittelt beziehungsweise von Microsoft verarbeitet werden. Die Nutzung von Microsoft Teams ist optional. Für die Verarbeitung durch Microsoft gelten ergänzend die Datenschutzbestimmungen des jeweiligen Microsoft-Dienstes.

10.2 Xorbit Meeting

Für Videokonferenzen stellt BookinX eine eigene, unter meet.x-orbit.app betriebene Jitsi-Meet-Instanz bereit. Konferenzräume werden für gebuchte Termine bereitgestellt und sind über den jeweiligen Meeting-Link zugänglich. Eine Aufzeichnung findet nur statt, wenn die organisierende Person sie im Rahmen der optionalen Transkriptfunktion ausdrücklich startet (siehe 10.3). Während einer Videokonferenz werden die für die technische Bereitstellung erforderlichen Verbindungs- und Kommunikationsdaten verarbeitet, insbesondere zur Übertragung von Bild und Ton sowie zur Herstellung und Aufrechterhaltung der Verbindung. BookinX setzt innerhalb von Xorbit Meeting keine Analyse- oder Werbetracking-Dienste ein. Die Verarbeitung erfolgt ausschließlich zur Bereitstellung der Videokonferenzfunktion.

10.3 Aufnahme, Transkript und Zusammenfassung

BookinX bietet optional eine Transkriptfunktion für Videokonferenzen in Xorbit Meeting an. Die Aufnahme kann ausschließlich von der organisierenden Person eines Termins über die Schaltfläche „Transkript aufnehmen“ gestartet und beendet werden. Die organisierende Person ist verpflichtet, alle Teilnehmenden vor Beginn der Aufnahme darüber zu informieren und, soweit erforderlich, deren Einwilligung einzuholen. Solange aufgenommen wird, sehen alle Teilnehmenden in der Konferenz den Hinweis „Dieses Gespräch wird für ein Transkript aufgezeichnet.“

Ablauf und verarbeitete Daten:

Die Transkriptfunktion verarbeitet die Daten im Auftrag des jeweiligen BookinX-Kunden (siehe 2.2). Rechtsgrundlage auf Seiten des Kunden ist in der Regel die Einwilligung der Teilnehmenden (Art. 6 Abs. 1 lit. a DSGVO) oder ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); hierfür ist der Kunde als Verantwortlicher zuständig.

11. Cookies und Webanalyse

BookinX verwendet technisch notwendige Cookies, insbesondere ein Sitzungscookie zur sicheren Anmeldung und Nutzung des Verwaltungsbereichs. Im lokalen Browserspeicher können außerdem Anzeige- und Benutzereinstellungen gespeichert werden. Für die statistische Auswertung verwenden wir die selbst betriebene Webanalyse-Software Matomo unter stats.x-orbit.app. Matomo wird ausschließlich nach ausdrücklicher Einwilligung über das Cookie-Banner aktiviert. Ohne Einwilligung wird Matomo nicht geladen und es werden keine Analysedaten übertragen.

Erfasst werden Seitenaufrufe und ausgewählte Nutzungsvorgänge, beispielsweise die Auswahl eines Termins oder der Abschluss einer Buchung. IP-Adressen werden anonymisiert, „Do Not Track“ wird respektiert und Rohdaten werden nach 180 Tagen gelöscht. Eine Nutzung für personalisierte Werbung findet nicht statt. Die Einwilligung wird im Cookie bookinx_consent für bis zu 12 Monate gespeichert und kann jederzeit über „Cookie-Einstellungen“ im Footer geändert oder widerrufen werden. Rechtsgrundlage für die Webanalyse ist Art. 6 Abs. 1 lit. a DSGVO.

12. Werbung und Marketing

BookinX kann personenbezogene Daten eigener Kunden und Interessenten für Werbe- und Marketingzwecke verarbeiten, soweit hierfür eine gesetzliche Rechtsgrundlage besteht. Soweit eine Einwilligung erforderlich ist, erfolgt die Verarbeitung erst nach deren Erteilung. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Buchungsdaten, die BookinX als Auftragsverarbeiter für seine Kunden verarbeitet, werden von BookinX nicht für eigene Werbe- oder Marketingzwecke verwendet.

13. Empfänger und Auftragsverarbeiter

Personenbezogene Daten werden nur übermittelt, soweit dies für die Bereitstellung von BookinX erforderlich ist, eine gesetzliche Verpflichtung besteht oder eine andere Rechtsgrundlage nach der DSGVO vorliegt.

Zu den eingesetzten beziehungsweise möglichen Empfängern gehören insbesondere:

Die Einbindung von Microsoft, Google und Apple erfolgt nur, soweit die jeweilige Funktion vom Nutzer verwendet wird. BookinX verkauft keine personenbezogenen Daten.

14. Datenübermittlungen in Drittländer

Bei der Nutzung externer Dienste, insbesondere von Microsoft, Google oder Apple, kann es zu einer Verarbeitung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR) kommen. Eine Übermittlung in Drittländer erfolgt nur unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder geeigneter Garantien gemäß Art. 46 DSGVO.

Soweit Anbieter am EU-U.S. Data Privacy Framework teilnehmen und hierfür zertifiziert sind, kann die Datenübermittlung in die USA auf den entsprechenden Angemessenheitsbeschluss der Europäischen Kommission gestützt werden. Soweit dies nicht der Fall ist, werden erforderlichenfalls geeignete Garantien, insbesondere Standardvertragsklauseln der Europäischen Kommission, zugrunde gelegt.

15. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Konferenzdaten

Die für eine Videokonferenz gespeicherte E-Mail-Adresse der teilnehmenden Person wird 30 Tage nach dem Ende des Termins automatisch gelöscht. Der Konferenzlink wird mit der zugehörigen Buchung gelöscht.

Aufnahmen, Transkripte und Zusammenfassungen

Die Videodatei wird unmittelbar nach dem Ende der Aufnahme gelöscht, die Tonaufnahme sobald das Transkript gespeichert ist. Transkript, Zusammenfassung und Sprecherinformationen werden 30 Tage nach dem Ende der Aufnahme beziehungsweise des Termins automatisch gelöscht, je nachdem, was später eintritt.

Daten der Terminvorbereitung

Agenda-Ergänzungen und Gesprächsziele werden mit der jeweiligen Buchung gespeichert und gelöscht. Aufrufe der Seite zur Terminvorbereitung werden zur Anzeige für den BookinX-Kunden höchstens 365 Tage gespeichert.

Buchungsdaten

Buchungsdaten werden grundsätzlich für die Dauer des Vertragsverhältnisses mit dem jeweiligen BookinX-Kunden gespeichert und spätestens sechs Monate nach Vertragsende gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder dokumentierten Weisungen des Verantwortlichen entgegenstehen. Im Rahmen der Auftragsverarbeitung können Kunden nach Maßgabe des Auftragsverarbeitungsvertrags die Löschung beziehungsweise Rückgabe der in ihrem Auftrag verarbeiteten personenbezogenen Daten verlangen.

Nicht bestätigte Registrierungen

Nicht bestätigte Registrierungen werden nach 24 Stunden gelöscht.

Rate-Limit-Daten

Für Rate-Limits gespeicherte IP-Adressen werden nach 24 Stunden gelöscht beziehungsweise aus dem hierfür verwendeten System entfernt.

Sitzungsdaten

Im Verwaltungsbereich von BookinX endet eine Sitzung nach 30 Minuten ohne Aktivität, spätestens jedoch 12 Stunden nach der Anmeldung. Aktivität verlängert ausschließlich die Inaktivitätsfrist.

Eine Sitzung in Xorbit endet spätestens 12 Stunden nach der Anmeldung. Bei einer Änderung des Passworts werden sämtliche bestehenden Sitzungen des betreffenden Kontos sofort beendet.

Daten abgelaufener oder beendeter Sitzungen werden spätestens sieben Tage nach Ablauf oder Beendigung gelöscht.

Audit-Logs

Audit-Logs werden grundsätzlich für 12 Monate gespeichert. Dazu gehört auch das Änderungsprotokoll, das Administratoren eines BookinX-Kunden unter „Einstellungen > Protokoll“ einsehen können. Es hält fest, wer wann welche Einstellung, Terminart, Person oder Verfügbarkeit geändert hat, jedoch nicht die geänderten Inhalte selbst. Eine längere Speicherung erfolgt nur, soweit dies zur Untersuchung eines konkreten Sicherheitsvorfalls oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Vertrags- und Abrechnungsdaten

Für Vertrag und Abrechnung werden insbesondere Firmenname, Rechnungsadresse, Land, UID-Nummer, Rechnungs-E-Mail-Adresse, Ansprechperson der Buchhaltung, Lizenzanzahl, Abrechnungszeitraum und Rechnungsbeträge verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO. Rechnungen und sonstige steuerlich relevante Unterlagen werden entsprechend den gesetzlichen Aufbewahrungspflichten, insbesondere sieben Jahre gemäß § 132 BAO, gespeichert und anschließend gelöscht, sofern keine andere Rechtsgrundlage für eine weitere Speicherung besteht.

Backups

Personenbezogene Daten können vorübergehend auch in Sicherungskopien enthalten sein. Backups dienen ausschließlich der Sicherung und Wiederherstellung der Systeme und werden nicht für andere Zwecke verwendet. Gelöschte Daten können bis zur turnusmäßigen Überschreibung beziehungsweise Löschung der jeweiligen Sicherungskopie weiterhin in Backups enthalten sein.

16. Datensicherheit

BookinX trifft angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten vor Verlust, unberechtigtem Zugriff, Veränderung, Offenlegung und sonstiger unrechtmäßiger Verarbeitung zu schützen.

Dazu gehören insbesondere:

Die Sicherheitsmaßnahmen werden unter Berücksichtigung des Risikos und des Stands der Technik regelmäßig überprüft und bei Bedarf angepasst.

17. Pflicht zur Bereitstellung personenbezogener Daten

Bestimmte personenbezogene Daten sind erforderlich, damit ein BookinX-Konto eingerichtet, ein Vertrag durchgeführt oder ein Termin gebucht werden kann. Werden erforderliche Daten nicht bereitgestellt, kann die betreffende Funktion möglicherweise nicht genutzt beziehungsweise der gewünschte Vertrag oder Termin nicht durchgeführt werden. Freiwillige Angaben werden als solche behandelt und sind für die Nutzung der übrigen Funktionen grundsätzlich nicht erforderlich.

18. Betroffenenrechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

Beruht eine Verarbeitung auf einer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, kann diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf berührt die Rechtmäßigkeit der Verarbeitung, die aufgrund der Einwilligung bis zum Widerruf erfolgt ist, nicht. Anfragen zu Verarbeitungstätigkeiten, für die BookinX selbst Verantwortlicher ist, können gerichtet werden an: robert@x-orbit.app

Bei Daten, die BookinX lediglich im Auftrag eines Kunden verarbeitet, ist grundsätzlich der jeweilige BookinX-Kunde der datenschutzrechtlich Verantwortliche. Entsprechende Anfragen sollten daher vorrangig an diesen gerichtet werden. BookinX unterstützt den Verantwortlichen bei der Erfüllung seiner gesetzlichen Pflichten.

19. Widerspruch gegen Verarbeitungen aufgrund berechtigter Interessen

Soweit personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden, besteht nach Maßgabe von Art. 21 DSGVO das Recht, aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen. BookinX verarbeitet die betreffenden personenbezogenen Daten anschließend nicht mehr, sofern keine zwingenden schutzwürdigen Gründe für die Verarbeitung nachgewiesen werden können, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

20. Beschwerderecht bei der Datenschutzbehörde

Betroffene Personen haben gemäß Art. 77 DSGVO das Recht, Beschwerde bei einer Datenschutzaufsichtsbehörde einzulegen, wenn sie der Ansicht sind, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstößt.

In Österreich ist zuständig:

Österreichische Datenschutzbehörde

Barichgasse 40–42

1030 Wien

Österreich

E-Mail: dsb@dsb.gv.at

Telefon: +43 1 52 152-0

Das Recht, sich an eine andere nach der DSGVO zuständige Aufsichtsbehörde zu wenden, bleibt unberührt.

21. Automatisierte Entscheidungen und Profiling

BookinX führt keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen im Sinne von Art. 22 DSGVO durch, die gegenüber einer betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen. Ein Profiling zu Werbe-, Bonitäts- oder vergleichbaren Entscheidungszwecken findet nicht statt. Die Zusammenfassung von Transkripten (siehe 10.3) ist eine Arbeitshilfe für die organisierende Person; aus ihr werden keine Entscheidungen über Personen abgeleitet.

22. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich die Funktionen von BookinX, die eingesetzten Dienstleister, die Datenverarbeitungen oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung soll über BookinX zugänglich gemacht werden. Bei wesentlichen Änderungen, die registrierte Nutzer unmittelbar betreffen, kann zusätzlich innerhalb des Dienstes oder per E-Mail informiert werden.

Stand: 2. Oktober 2026