1. Parteien und Gegenstand

Diese Vereinbarung wird geschlossen zwischen dem Kunden von DIRIKON als Verantwortlichem im Sinne des Art. 4 Z 7 DSGVO (nachfolgend „Verantwortlicher") und Mark Pucher, STRUKTURWERK GASTRO®, Einzelunternehmen, Feldgasse 56, 8750 Judenburg, Österreich, E-Mail: pucher@strukturwerk-gastro.at, Telefon: +43 660 7727919, UID-Nummer: ATU83286668 als Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter").

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung von DIRIKON gemäß Hauptvertrag (AGB). Die Vereinbarung gilt für die Laufzeit des Hauptvertrags zuzüglich der Löschfrist von 90 Tagen nach Vertragsende.

2. Art, Zweck und Umfang der Verarbeitung

Zweck ist die Erfassung, Speicherung, Berechnung und Auswertung betrieblicher Kennzahlen des Verantwortlichen sowie die Verwaltung der zugehörigen Nutzerzugänge. Die Verarbeitung umfasst Erheben, Speichern, Verändern, Auslesen, Übermitteln an den Verantwortlichen und Löschen.

3. Kategorien betroffener Personen und Datenarten

• Betroffene Personen: Mitarbeitende und Führungskräfte des Verantwortlichen mit Zugang zu DIRIKON; mittelbar Mitarbeitende, deren Anwesenheit in aggregierten Kennzahlen abgebildet wird.
• Datenarten: Name, E-Mail-Adresse, Rolle im Betrieb, Passwort (ausschließlich als kryptografischer Hash), Anmeldezeitpunkte; betriebliche Kennzahlen ohne unmittelbaren Personenbezug (Umsätze, Kosten, Zählwerte, Prüfpunkte); vom Verantwortlichen hochgeladene Inhalte (Betriebslogo).
• Keine besonderen Kategorien: Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Krankenstände werden ausschließlich als anonyme Tageszahl ohne Namensbezug erfasst.
• Keine Zahlungsdaten: Zahlungsdaten werden ausschließlich von Stripe verarbeitet und sind dem Auftragsverarbeiter nicht zugänglich. Er erhält lediglich die Bestellbestätigung mit Name, E-Mail-Adresse, Rechnungsanschrift und Betriebsnamen.

4. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Anwendungsfunktionen durch den Verantwortlichen gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

5. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs 3 lit b DSGVO). Derzeit erfolgt die Verarbeitung ausschließlich durch den Inhaber des Einzelunternehmens.

6. Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO trifft der Auftragsverarbeiter insbesondere folgende Maßnahmen:

• Hosting der Datenbank ausschließlich in der Europäischen Union (Region Irland).
• Transportverschlüsselung sämtlicher Verbindungen (TLS/HTTPS).
• Mandantentrennung auf Datenbankebene durch Row Level Security: Jeder Betrieb kann ausschließlich die eigenen Daten lesen und schreiben. Die Trennung wird vom Datenbanksystem erzwungen, nicht nur von der Anwendung.
• Zugriff nur nach Authentifizierung; rollenbasierte Berechtigungen für Inhaber, Führung und Mitarbeiter; Passwörter ausschließlich als Hash gespeichert.
• Administrative Eingriffe in Nutzerkonten nur über serverseitige, berechtigungsgeprüfte Funktionen.
• Regelmäßige Datensicherungen; Protokollierung wesentlicher Systemereignisse.
• Der Auftragsverarbeiter darf die Maßnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

7. Subunternehmer

Der Verantwortliche erteilt nach Art. 28 Abs 2 und 4 DSGVO die allgemeine Genehmigung zur Einschaltung folgender Subunternehmer:

Über beabsichtigte Änderungen, also die Hinzuziehung oder Ersetzung eines Subunternehmers, informiert der Auftragsverarbeiter vorab in Textform. Der Verantwortliche kann aus wichtigem Grund binnen 14 Tagen widersprechen. Mit Subunternehmern werden Verträge nach Art. 28 DSGVO geschlossen; bei Verarbeitung außerhalb der EU oder des EWR werden geeignete Garantien nach Kapitel V DSGVO vereinbart, insbesondere Standardvertragsklauseln.

8. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen nach Art. 12 bis 23 DSGVO sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich.

9. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter auf Anfrage einen vollständigen Export der Daten in einem gängigen, maschinenlesbaren Format bereit. Sämtliche personenbezogenen Daten des Verantwortlichen werden 90 Tage nach Vertragsende gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

10. Nachweis und Kontrolle

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung. Kontrollen erfolgen vorrangig durch Auskünfte und geeignete Nachweise. Vor-Ort-Kontrollen erfolgen nur nach Ankündigung zu üblichen Geschäftszeiten und ohne Störung des Betriebs.

11. Schlussbestimmungen

Es gilt österreichisches Recht. Im Übrigen gelten die Bestimmungen des Hauptvertrags. Diese Vereinbarung geht bei Widersprüchen den AGB in datenschutzrechtlichen Fragen vor.