Datenschutzerklärung
Ich verarbeite personenbezogene Daten auf Grundlage der DSGVO, des DSG und des TKG 2021.
Verantwortlicher
Alexander Aufreiter
Am Stadlfeld 10, 4040 Linz, Österreich
E-Mail: aufreiter-caa@pm.me
Telefon: 0699 11856676
Hosting und Server-Protokolldaten
Diese Webseite wird bei Hostinger International Ltd. gehostet. Die Server stehen in der EU. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art 28 DSGVO. Beim Aufruf der Webseite verarbeitet der Hoster technisch notwendige Zugriffsdaten, etwa IP-Adresse, Zeitpunkt, aufgerufene Seite und Browsertyp. Rechtsgrundlage ist mein berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art 6 Abs 1 lit f DSGVO). Die Daten werden gelöscht, sobald sie für den sicheren Betrieb nicht mehr erforderlich sind.
Microsoft 365
Ich nutze Microsoft 365 (Microsoft Ireland Operations Ltd.) als IT-Dienstleister, etwa für E-Mail, Dateispeicherung, Videogespräche und Terminbuchung. Microsoft verarbeitet die Daten in meinem Auftrag (Art 28 DSGVO) und speichert sie grundsätzlich in der EU (EU Data Boundary). In bestimmten Fällen, etwa bei Sicherheitsvorfällen oder im technischen Support, können Daten in die USA übermittelt werden. Dies stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art 45 DSGVO) und ergänzend auf Standardvertragsklauseln (Art 46 Abs 2 lit c DSGVO).
Cookies
Diese Webseite setzt keine Cookies und verwendet keine Analyse- oder Tracking-Dienste.
Kontakt per E-Mail oder Telefon
Ich verarbeite Ihre Angaben zur Bearbeitung Ihrer Anfrage (Art 6 Abs 1 lit b bzw lit f DSGVO). Anfragen, aus denen kein Auftrag entsteht, lösche ich, sobald sie erledigt sind und keine Rückfragen mehr zu erwarten sind. E-Mails an meine Adresse empfängt Proton Mail (Proton AG, Schweiz) als Auftragsverarbeiter und leitet sie an mein Microsoft-365-Konto weiter. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art 45 DSGVO). Kommt es zu einer Beauftragung, gelten die Angaben unter „Beauftragung“.
Terminbuchung
Nach Ihrer Anfrage erhalten Sie von mir einen Link zur Terminbuchung. Die Terminbuchung läuft über mein Microsoft-365-Konto (siehe oben). Ich verarbeite die Angaben aus dem Buchungsformular, um den Termin zu vereinbaren (Art 6 Abs 1 lit b DSGVO). Für Cookies, die Microsoft auf der Buchungsseite setzt, gelten die Bestimmungen von Microsoft.
Beauftragung (ITIN-Antrag als Certifying Acceptance Agent)
Daten und Zweck. Wenn Sie mich beauftragen, verarbeite ich Identitäts- und Kontaktdaten, Angaben zu Staatsangehörigkeit und Aufenthaltsstatus, Kopien Ihrer Ausweisdokumente, Notizen aus dem Identitätsgespräch sowie die für den Antrag nötigen Steuerdaten. Ich prüfe Ihre Originaldokumente, bestätige Identität und ausländischen Status gegenüber dem IRS (Certificate of Accuracy) und übermittle den Antrag mit Kopien der Dokumente an den Internal Revenue Service (IRS), die US-Steuerbehörde. Mitteilungen des IRS zum Antrag speichere ich in der Mandatsakte.
Rechtsgrundlagen. Die Verarbeitung beruht auf der Erfüllung des Vertrags mit Ihnen (Art 6 Abs 1 lit b DSGVO) und auf meinem berechtigten Interesse, die Pflichten aus meinem Vertrag mit dem IRS als Certifying Acceptance Agent zu erfüllen (Art 6 Abs 1 lit f DSGVO).
Identitätsgespräch und Originale. Das Identitätsgespräch führe ich persönlich oder per Videogespräch. Bei einem Videogespräch muss ich Ihre Originaldokumente während des Gesprächs in Händen haben, damit ich die Sicherheitsmerkmale prüfen kann. Sie senden mir die Originale dazu vorab per Post oder Kurier, und ich sende sie nach der Prüfung unverzüglich an Sie zurück. In bestimmten Fällen, vor allem bei Kindern, verlangt der IRS Originale oder von der ausstellenden Behörde beglaubigte Kopien. Diese gehen mit dem Antrag an den IRS, der sie an Sie zurückschickt.
Empfänger. Empfänger sind der IRS, meine IT-Dienstleister Microsoft und Proton (siehe oben) sowie Post- und Kurierdienste.
Übermittlung an den IRS (USA). Für den IRS besteht kein Angemessenheitsbeschluss. Die Übermittlung ist zur Erfüllung des Vertrags mit Ihnen erforderlich (Art 49 Abs 1 lit b DSGVO; für Familienangehörige, die nicht Vertragspartner sind: lit c). Soweit Sie im Auftragsschreiben ausdrücklich zugestimmt haben, nachdem ich Sie über die Risiken einer Übermittlung ohne Angemessenheitsbeschluss und ohne geeignete Garantien informiert haben, stützt sie sich zusätzlich auf Ihre Einwilligung (lit a); dies gilt auch für die Vorlage der Mandatsakte bei Prüfungen durch den IRS, TIGTA oder GAO (siehe unten). Ihre Rechte als betroffene Person können in den USA eingeschränkt sein.
Zugriff durch den IRS und US-Aufsichtsstellen. Der IRS sowie die US-Aufsichtsstellen Treasury Inspector General for Tax Administration (TIGTA) und Government Accountability Office (GAO) können im Rahmen von Prüfungen meines Acceptance Agent Agreement Einsicht in die Mandatsakten nehmen. Ich bin vertraglich verpflichtet, die Unterlagen vorzulegen. Der IRS kann sich zur Überprüfung auch direkt an Sie wenden.
Pflicht zur Bereitstellung. Die Angabe Ihrer Daten ist vertraglich und nach den Vorgaben des IRS erforderlich. Ohne sie kann ich den Antrag nicht einreichen.
Daten Dritter. Beantragen Sie eine ITIN auch für Ehegatten oder Kinder, erhalte ich deren Daten von Ihnen. Bitte informieren Sie diese Personen über diese Erklärung.
Speicherung und Sicherheit
Ich speichere die Mandatsakte elektronisch in meinem Microsoft-365-Konto (siehe oben) und schützen sie durch technische und organisatorische Maßnahmen nach Art 32 DSGVO, insbesondere durch Verschlüsselung und Zugriffsbeschränkung. Papierunterlagen scanne ich ein; Originale erhalten Sie zurück. Bitte senden Sie Kopien Ihrer Ausweisdokumente nur über den sicheren Upload-Link, den Sie von mir erhalten, nicht per E-Mail.
Speicherdauer. Ich bewahre die Mandatsakte bis zum Ablauf des dritten Kalenderjahres nach dem Jahr der Antragsübermittlung oder, wenn später, der letzten IRS-Mitteilung zum Antrag auf. Damit erfülle ich die Aufbewahrungspflicht nach den Vorgaben des IRS. Wird der Antrag zum Beispiel 2026 übermittelt und kommt die letzte Mitteilung des IRS ebenfalls 2026, bewahre ich die Akte bis 31.12.2029 auf. Danach lösche ich sie. Wird der Antrag nicht übermittelt, lösche ich die Akte nach Beendigung des Auftrags. Technisch bedingte Kopien (z. B. im Papierkorb) werden im Rahmen der Löschfristen meines IT-Dienstleisters automatisch endgültig entfernt. Rechnungen und Buchungsbelege bewahre ich 7 Jahre auf (§ 132 Abs 1 BAO; § 11 UStG).
Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft. Die Rechtmäßigkeit der bisherigen Verarbeitung bleibt vom Widerruf unberührt. Bei Löschungsverlangen zur Mandatsakte berücksichtige ich meine Aufbewahrungspflicht gegenüber dem IRS (siehe „Speicherdauer“). Ich treffe keine automatisierten Entscheidungen einschließlich Profiling.
Widerspruchsrecht
Soweit ich Daten auf Grundlage berechtigter Interessen (Art 6 Abs 1 lit f DSGVO) verarbeiten, können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Schreiben Sie dazu an aufreiter-caa@pm.me.
Beschwerde
Sie können sich bei mir (aufreiter-caa@pm.me) oder bei der Datenschutzbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb.gv.at.