§ 01Verantwortlicher
Verantwortlich im Sinne der DSGVO und des österreichischen Datenschutzgesetzes ist:
Ein Datenschutzbeauftragter ist nach § 5 Datenschutzgesetz nicht zwingend zu bestellen. Datenschutzanfragen werden direkt vom Vorstand bearbeitet.
§ 02Allgemeines zur Datenverarbeitung
Wir verarbeiten personenbezogene Daten unserer Nutzer/innen grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist.
Die Verarbeitung erfolgt auf Grundlage einer der folgenden Rechtsgrundlagen (Art. 6 DSGVO):
- Einwilligung (Art. 6 Abs. 1 lit. a) — z.B. Newsletter-Anmeldung
- Vertrag oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b) — z.B. Bewerbung für einen Austausch
- Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) — z.B. Aufbewahrungspflichten
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — z.B. IT-Sicherheit, Funktionsfähigkeit der Website
§ 03Bereitstellung der Website & Server-Logfiles
Bei jedem Aufruf unserer Website erfasst unser Hosting-Provider automatisch Daten und Informationen vom Computer des aufrufenden Systems.
Erfasste Daten
- IP-Adresse (gekürzt/anonymisiert, soweit technisch möglich)
- Datum und Uhrzeit des Zugriffs
- Aufgerufene Seite (URL)
- Übertragene Datenmenge
- Browser-Typ und Version
- Betriebssystem
- Referrer (zuvor besuchte Seite)
Zweck & Rechtsgrundlage
Diese Verarbeitung dient der technischen Bereitstellung der Website, der Sicherstellung der IT-Sicherheit und der Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
Speicherdauer
Logfiles werden in der Regel nach 7 Tagen gelöscht, sofern keine sicherheitsrelevanten Vorfälle eine längere Aufbewahrung erfordern.
Hosting-Anbieter
Die Website wird gehostet bei:
Cloudflare, Inc. (Cloudflare Pages)
101 Townsend Street, San Francisco, CA 94107, USA
EU-Vertretung: Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München
Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Cloudflare betreibt ein globales Content-Delivery-Network mit Rechenzentren in der EU; die Auslieferung erfolgt überwiegend über europäische Server.
Datenübermittlung in die USA: Erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Cloudflare ist gemäß dem DPF zertifiziert.
Weitere Informationen zum Datenschutz bei Cloudflare: cloudflare.com/privacypolicy
§ 04Verwendung von Cookies
Wir verwenden Cookies — kleine Textdateien, die auf Ihrem Endgerät gespeichert werden, um die Funktionsfähigkeit unserer Website zu gewährleisten.
Technisch notwendige Cookies
Diese Cookies sind für den Betrieb der Website erforderlich (z.B. Sprachauswahl, Sitzungs-Cookies). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Analyse- und Marketing-Cookies
Diese werden nur nach Ihrer ausdrücklichen Einwilligung gesetzt. Sie können Ihre Einwilligung jederzeit widerrufen.
Auf dieser Website gesetzte Cookies
Beim ersten Besuch werden Sie über ein Cookie-Banner um Ihre Einwilligung in nicht-essenzielle Cookies (insbesondere Webanalyse) gebeten. Ihre Einstellungen können Sie jederzeit über den Link "Cookie-Einstellungen" im Footer ändern.
§ 05Kontaktaufnahme
Wenn Sie uns per E-Mail oder Kontaktformular kontaktieren, verarbeiten wir die mitgeteilten Daten zur Bearbeitung Ihrer Anfrage.
Erfasste Daten
- Name
- E-Mail-Adresse
- Inhalt der Nachricht
- Datum und Uhrzeit der Übermittlung
Zweck & Rechtsgrundlage
Bearbeitung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) bzw. lit. f (berechtigtes Interesse an der Beantwortung).
Speicherdauer
Bis zur abschließenden Bearbeitung Ihrer Anfrage, längstens 24 Monate, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
§ 06Newsletter / Kohorten-Interessensliste
Wenn Sie sich für unsere Kohorten-Interessensliste anmelden, verwenden wir die angegebenen Daten zur Versendung von Informationen über kommende Austauschprogramme.
Erfasste Daten
- E-Mail-Adresse (verpflichtend)
- Vorname (optional)
- Altersgruppe (optional)
- Sprachen / Interessensgebiete (optional)
Double-Opt-In
Nach der Anmeldung erhalten Sie eine Bestätigungs-E-Mail zur Verifikation. Erst nach Bestätigung werden Sie in die Verteilerliste aufgenommen.
Rechtsgrundlage & Widerruf
Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit widerrufen — über den Abmelde-Link in jeder E-Mail oder per Nachricht an privacy@vjms-wien.eu.
Newsletter-Versand-Anbieter
Für den Versand verwenden wir Buttondown, LLC, einen unabhängigen Newsletter-Dienst mit Sitz in den USA und ausgesprochenem Fokus auf Datensparsamkeit (kein Tracking-Pixel-Standard, keine Drittanbieter-Werbung in E-Mails).
Mit Buttondown besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Die Übermittlung personenbezogener Daten in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln gemäß Art. 46 DSGVO.
Weitere Informationen zum Datenschutz bei Buttondown: buttondown.com/legal/privacy
§ 07Bewerbungsverfahren für Austauschprogramme
Diese Bestimmungen werden mit dem Start des ersten Austauschprogramms (geplant Q3 2026) aktiviert und vor Inbetriebnahme entsprechend konkretisiert.
Erwartete Datenkategorien
- Name, Geburtsdatum, Staatsangehörigkeit
- Kontaktdaten (Adresse, E-Mail, Telefon)
- Sprachkenntnisse
- Motivation und Eignungsangaben
- Daten für Reise- und Versicherungsabwicklung (im Auswahlfall)
Zweck & Rechtsgrundlage
Durchführung des Bewerbungsverfahrens und gegebenenfalls Vertragsabwicklung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Erasmus+ Berichtspflichten
Im Falle einer Teilnahme an Erasmus+ geförderten Programmen können bestimmte Daten zur Berichterstattung an die Nationalagentur (OeAD) bzw. die Europäische Kommission übermittelt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).
§ 08Webanalyse
Wir verwenden Google Analytics 4 (GA4), einen Webanalysedienst, um die Nutzung unserer Website besser zu verstehen und unser Angebot kontinuierlich zu verbessern.
Anbieter
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Vertreter in der EU).
Mutterunternehmen: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.
Erfasste Daten
- Gekürzte IP-Adresse (IP-Anonymisierung in GA4 ist standardmäßig aktiviert)
- Geräte- und Browser-Informationen (Betriebssystem, Browser-Typ, Bildschirmauflösung)
- Aufgerufene Seiten und Verweildauer
- Quelle des Website-Aufrufs (Referrer)
- Ungefährer geografischer Standort (Land/Stadt-Ebene, nicht präzise)
Rechtsgrundlage
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Verarbeitung erfolgt erst nach Ihrer ausdrücklichen Zustimmung über unser Cookie-Banner. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.
Datenübermittlung in die USA
Daten werden an Server von Google in den USA übertragen und dort verarbeitet. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Google LLC ist gemäß dem DPF zertifiziert.
Speicherdauer
Wir haben die Aufbewahrungsdauer der Nutzer- und Ereignisdaten in GA4 auf 14 Monate konfiguriert (Mindestwert in GA4).
Widerruf und Opt-out
Sie können der Datenerfassung jederzeit widersprechen, indem Sie:
- Ihre Cookie-Einstellungen über den Banner-Link im Footer anpassen, oder
- das Browser-Add-on von Google installieren: tools.google.com/dlpage/gaoptout
Auftragsverarbeitung
Mit Google besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
Weitere Informationen zum Datenschutz bei Google: policies.google.com/privacy
§ 09Einbindung externer Dienste
Google Fonts
Wir verwenden Schriftarten von Google Fonts. Beim Laden der Website werden die Schriftarten von Google-Servern abgerufen, wodurch Ihre IP-Adresse an Google übermittelt wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Hinweis: Eine selbst-gehostete Schriftarten-Lösung wird derzeit geprüft, um diese Übermittlung zu vermeiden.
Eingebettete Inhalte (YouTube, Vimeo, Social Media)
Sollten wir externe Inhalte einbetten (z.B. Video-Player, Social-Media-Posts), werden Daten erst nach Ihrer aktiven Zustimmung an die jeweiligen Anbieter übertragen ("Two-Click-Solution").
§ 10Empfänger der Daten
Personenbezogene Daten werden nicht an Dritte weitergegeben, außer:
- An Auftragsverarbeiter (Hosting, Newsletter, Analyse) gemäß Art. 28 DSGVO
- An Partnerorganisationen in Erasmus+ Projekten im notwendigen Umfang (z.B. Hosting-Organisation im Zielland)
- An die Nationalagentur (OeAD) bzw. die Europäische Kommission im Rahmen der Erasmus+ Berichtspflichten
- An Behörden bei gesetzlicher Verpflichtung
§ 11Datenübermittlung in Drittländer
Eine Übermittlung personenbezogener Daten in Länder außerhalb der EU/EWR erfolgt nur, wenn:
- Ein Angemessenheitsbeschluss der EU-Kommission vorliegt, oder
- Geeignete Garantien (z.B. EU-Standardvertragsklauseln, Binding Corporate Rules) bestehen, oder
- Ihre ausdrückliche Einwilligung vorliegt.
Bei US-amerikanischen Auftragsverarbeitern stützen wir uns auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln gemäß Art. 46 DSGVO.
§ 12Speicherdauer
Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist.
§ 13Ihre Rechte als betroffene Person
Sie haben gemäß DSGVO folgende Rechte:
Auskunft
Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten.
Berichtigung
Recht auf Berichtigung unrichtiger Daten.
Löschung
Recht auf Löschung Ihrer Daten ("Recht auf Vergessenwerden").
Einschränkung
Recht auf Einschränkung der Verarbeitung.
Datenübertragbarkeit
Recht auf Erhalt Ihrer Daten in strukturiertem Format.
Widerspruch
Widerspruchsrecht gegen Verarbeitungen auf Grundlage berechtigter Interessen.
Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter privacy@vjms-wien.eu. Wir antworten in der Regel innerhalb von 30 Tagen.
§ 14Beschwerderecht bei der Aufsichtsbehörde
Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren — insbesondere bei der österreichischen Aufsichtsbehörde, der Datenschutzbehörde:
§ 15Datensicherheit
Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten vor unberechtigtem Zugriff, Verlust oder Missbrauch zu schützen.
- SSL/TLS-Verschlüsselung der gesamten Website
- Zugriffsbeschränkungen auf Need-to-know-Basis
- Regelmäßige Aktualisierung der eingesetzten Software
- Auftragsverarbeitungsverträge mit allen Dienstleistern
§ 16Aktualität und Änderung dieser Erklärung
Diese Datenschutzerklärung ist aktuell gültig und hat den Stand 24. Mai 2026.
Durch die Weiterentwicklung unserer Website und Angebote oder aufgrund geänderter gesetzlicher oder behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung zu ändern. Die jeweils aktuelle Fassung ist jederzeit auf dieser Seite abrufbar.
§ 01Data controller
The data controller within the meaning of the GDPR and the Austrian Data Protection Act is:
§ 02General principles
We process personal data only to the extent necessary to provide a functional website and our content and services.
Processing is based on one of the following legal grounds (Art. 6 GDPR):
- Consent (Art. 6(1)(a)) — e.g. newsletter subscription
- Contract or pre-contractual measures (Art. 6(1)(b)) — e.g. exchange application
- Legal obligation (Art. 6(1)(c)) — e.g. retention requirements
- Legitimate interest (Art. 6(1)(f)) — e.g. IT security, website functionality
§ 03Server logs
Each visit to our website automatically generates server logs containing technical information.
Data collected
- IP address (anonymised where technically feasible)
- Date and time of access
- URL requested
- Amount of data transferred
- Browser type and version
- Operating system
- Referrer
Purpose & legal basis: Technical operation, IT security. Art. 6(1)(f) GDPR.
Retention: 7 days, unless security incidents require longer retention.
Hosting provider: Cloudflare, Inc. (Cloudflare Pages), 101 Townsend Street, San Francisco, USA. EU representative: Cloudflare Germany GmbH, Munich. A data processing agreement under Art. 28 GDPR is in place. US transfer basis: EU-US Data Privacy Framework. See cloudflare.com/privacypolicy.
§ 04Cookies
We use cookies — small text files stored on your device — to ensure the website functions and to analyse usage (with your consent).
Cookies set on this website
- Session cookies — technically necessary (e.g. language preference). Deleted when you close your browser.
- _ga — Google Analytics 4, distinguishes users. Retention: 2 years. Set only with your consent.
- _ga_[ID] — Google Analytics 4, maintains session state. Retention: 2 years. Set only with your consent.
- vjms_consent — stores your cookie banner preferences. Retention: 6 months.
On your first visit, a cookie banner asks for your consent to non-essential cookies (analytics). You can change your preferences at any time via the "Cookie settings" link in the footer.
§ 05Contact
If you contact us by email or via a contact form, we process the data you provide to handle your enquiry.
Data: name, email, message content, date/time.
Purpose & basis: handling your enquiry — Art. 6(1)(b) or (f) GDPR.
Retention: until resolution, max. 24 months.
§ 06Newsletter / cohort interest list
If you sign up for our cohort interest list, we use the data provided to send information about upcoming exchange programmes.
Data collected
- Email address (required)
- First name (optional)
- Age group (optional)
- Languages / interests (optional)
Double opt-in: after sign-up you receive a confirmation email; only after confirmation are you added to the list.
Legal basis & withdrawal: consent (Art. 6(1)(a) GDPR). You may withdraw consent at any time via the unsubscribe link in every email or by writing to privacy@vjms-wien.eu.
Newsletter provider: We use Buttondown, LLC (USA), an independent newsletter service with a focus on data minimization. A processor agreement under Art. 28 GDPR is in place. US transfer basis: EU-US Data Privacy Framework / EU Standard Contractual Clauses. See buttondown.com/legal/privacy.
§ 07Exchange programme applications
These provisions take effect when our first exchange programme launches (planned Q3 2026) and will be made specific before activation.
Expected data categories: name, date of birth, nationality, contact details, language skills, motivation, suitability information, and travel/insurance data if selected.
Legal basis: Art. 6(1)(b) GDPR (contract). Reporting obligations to the Austrian National Agency (OeAD) and the European Commission under Erasmus+ are based on Art. 6(1)(c) (legal obligation).
§ 08Web analytics
We use Google Analytics 4 (GA4) to understand how the website is used.
Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (EU representative). Parent: Google LLC, Mountain View, CA, USA.
Data collected: truncated IP address (anonymisation enabled by default in GA4), device/browser information, pages visited and duration, referrer, approximate location (country/city level).
Legal basis: Art. 6(1)(a) GDPR — consent. Processing occurs only after your explicit consent via our cookie banner. You may withdraw consent at any time.
Transfer to the USA: Data is transferred to Google servers in the USA on the basis of the EU-US Data Privacy Framework (EU Commission adequacy decision, 10 July 2023). Google LLC is DPF-certified.
Retention: Configured to 14 months (GA4 minimum).
Opt-out: Adjust your cookie settings via the footer link, or install Google's browser add-on at tools.google.com/dlpage/gaoptout.
Processor agreement: A data processing agreement under Art. 28 GDPR is in place with Google.
§ 09External services
Google Fonts
We use Google Fonts. When the site loads, fonts are fetched from Google's servers, transmitting your IP address to Google. A self-hosted fonts solution is under review.
Embedded content
Any embedded media (videos, social posts) is loaded only after your active consent ("two-click solution").
§ 10Recipients of data
Personal data is not transferred to third parties except:
- Processors (hosting, newsletter, analytics) under Art. 28 GDPR
- Erasmus+ partner organisations to the extent necessary for project delivery
- National Agency (OeAD) and European Commission for Erasmus+ reporting
- Authorities where legally required
§ 11Transfers to third countries
Personal data is only transferred outside the EU/EEA where an adequacy decision exists, appropriate safeguards (e.g. EU Standard Contractual Clauses) are in place, or you have explicitly consented.
For US-based processors we rely on the EU-US Data Privacy Framework or SCCs (Art. 46 GDPR).
§ 12Retention periods
We store personal data only as long as necessary for the relevant purposes. See the German version (§ 12) for the full retention table.
§ 13Your rights
Under the GDPR you have the rights to: access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20), and objection (Art. 21).
To exercise these rights, contact us at privacy@vjms-wien.eu. We respond within 30 days.
§ 14Right to complain
You have the right to lodge a complaint with a supervisory authority — in Austria, the Datenschutzbehörde:
Barichgasse 40–42, 1030 Wien · dsb@dsb.gv.at · www.dsb.gv.at
§ 15Security
We apply technical and organisational measures to protect your data from unauthorised access, loss, or misuse — including SSL/TLS encryption, need-to-know access controls, regular software updates, and processor agreements with all service providers.
§ 16Updates
This privacy policy is current as of 24 May 2026. It may be updated as our services and applicable law evolve. The current version is always available on this page.