1. Parteien und Gegenstand

Diese Vereinbarung wird geschlossen zwischen dem Kunden von DIRIKON als Verantwortlichem im Sinne des Art. 4 Z 7 DSGVO (nachfolgend „Verantwortlicher") und Mark Pucher, STRUKTURWERK GASTRO®, Einzelunternehmen, Feldgasse 56, 8750 Judenburg, Österreich, E-Mail: info@strukturwerk-gastro.at, Telefon: +43 660 7727919, UID-Nummer: ATU83286668 als Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter").

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung von DIRIKON gemäß Hauptvertrag (AGB), einschließlich gebuchter Zusatzmodule wie des Moduls HACCP oder des Moduls Unterweisung. Die Vereinbarung gilt für die Laufzeit des Hauptvertrags zuzüglich der Löschfrist von 90 Tagen nach Vertragsende.

2. Art, Zweck und Umfang der Verarbeitung

Zweck ist die Erfassung, Speicherung, Berechnung und Auswertung betrieblicher Kennzahlen des Verantwortlichen sowie die Verwaltung der zugehörigen Nutzerzugänge. Die Verarbeitung umfasst Erheben, Speichern, Verändern, Auslesen, Übermitteln an den Verantwortlichen und Löschen.

Mit dem Zusatzmodul HACCP kommt die Dokumentation der Eigenkontrolle nach dem Lebensmittelrecht dazu: Temperaturmessungen, Reinigungs- und Kontrollnachweise, Wareneingangskontrolle und Abweichungen mit Beurteilung und Maßnahme.

Mit dem Zusatzmodul Unterweisung kommt die Unterweisung der Mitarbeitenden und ihr Nachweis dazu: Personalstamm, Funktionen mit Pflichtunterweisungen, Unterweisungstexte in Fassungen, Nachweise mit Unterschrift, Fristen und Register.

3. Kategorien betroffener Personen und Datenarten

• Betroffene Personen: Mitarbeitende und Führungskräfte des Verantwortlichen mit Zugang zu DIRIKON; mittelbar Mitarbeitende, deren Anwesenheit in aggregierten Kennzahlen abgebildet wird. Im Zusatzmodul HACCP außerdem Mitarbeitende, die Einträge erfassen, schließen oder als verantwortlich eingetragen sind, mit Zugang oder über ihr Kürzel an einem gemeinsam genutzten Gerät, und mittelbar Personen, die in Freitextfeldern genannt werden. Im Zusatzmodul Unterweisung Mitarbeitende, die im Personalstamm geführt und unterwiesen werden, auch ohne eigenen Zugang, sowie Unterweisende, Übersetzende und Vortragende von außen, deren Namen am Nachweis stehen, und mittelbar Personen, die in Anlass, neuer Regel, Storno-Grund oder den Texten genannt werden.
• Datenarten: Name, E-Mail-Adresse, Rolle im Betrieb, Passwort (ausschließlich als kryptografischer Hash), Anmeldezeitpunkte; betriebliche Kennzahlen ohne unmittelbaren Personenbezug (Umsätze, Kosten, Zählwerte, Prüfpunkte); vom Verantwortlichen hochgeladene Inhalte (Betriebslogo). Im Zusatzmodul HACCP: Messwerte, Quittierungen, Wareneingangskontrollen und Abweichungen mit Zeitpunkt, erfassender Person und Kürzel, Freitext-Bemerkungen, Messstellen, Kontrollpunkte und die Kürzelliste des Teams. Ohne Netz erfasste Einträge liegen bis zur Übertragung im Speicher des Geräts. Im Zusatzmodul Unterweisung: Name, Abteilung, Funktion, Eintritt, Austritt und Sprache der Mitarbeitenden und gegebenenfalls der Verweis auf ihren Zugang, die Unterweisungstexte mit den Einträgen des Betriebs und je Nachweis Unterweisung, Fassung, Datum, Uhrzeit, Dauer, Ort, Sprache, die Namen von Unterweiser, Übersetzer und Vortragendem, Anlass und neue Regel, Storno mit Grund, anlegende, abschließende und stornierende Person, je Person die Art der Verständnisprüfung, der Zeitpunkt und die Unterschriften als Bild, bei externen Kursen Kursdatum, Stunden, Ausbildungsstelle und Vermerk zur Kursbestätigung. Der Text einer geöffneten Unterweisung liegt bis zum Abmelden im Speicher des Geräts, nach dem Schließen des Fensters ohne Abmelden spätestens bis zum nächsten Öffnen der App.
• Keine besonderen Kategorien: Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Krankenstände werden ausschließlich als anonyme Tageszahl ohne Namensbezug erfasst. Das Modul HACCP fragt keine Angaben zur Gesundheit von Mitarbeitenden ab; in seine Freitextfelder gehören keine Gesundheitsangaben zu einzelnen Personen. Das Modul Unterweisung fragt keine Gesundheitsangaben ab, und in seine Felder für Anlass, neue Regel und Storno-Grund gehören keine; bei der Gesundheitsbelehrung hält es nur fest, dass belehrt wurde. Unterschriften werden als Bild gespeichert und nicht abgeglichen.
• Keine Zahlungsdaten: Zahlungsdaten werden ausschließlich von Stripe verarbeitet und sind dem Auftragsverarbeiter nicht zugänglich. Er erhält lediglich die Bestellbestätigung mit Name, E-Mail-Adresse, Rechnungsanschrift und Betriebsnamen.

4. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Anwendungsfunktionen durch den Verantwortlichen gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

5. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs 3 lit b DSGVO). Derzeit erfolgt die Verarbeitung ausschließlich durch den Inhaber des Einzelunternehmens.

6. Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO trifft der Auftragsverarbeiter insbesondere folgende Maßnahmen:

• Hosting der Datenbank ausschließlich in der Europäischen Union (Region Irland).
• Transportverschlüsselung sämtlicher Verbindungen (TLS/HTTPS).
• Mandantentrennung auf Datenbankebene durch Row Level Security: Jeder Betrieb kann ausschließlich die eigenen Daten lesen und schreiben. Die Trennung wird vom Datenbanksystem erzwungen, nicht nur von der Anwendung.
• Zugriff nur nach Authentifizierung; rollenbasierte Berechtigungen für Inhaber, Geschäftsführung (dem Inhaber gleichgestellt), Schichtleitung und Mitarbeiter; Passwörter ausschließlich als Hash gespeichert.
• Administrative Eingriffe in Nutzerkonten nur über serverseitige, berechtigungsgeprüfte Funktionen.
• Tägliche Datensicherung mit 7 Tagen Aufbewahrung; Verschlüsselung der gespeicherten Daten im Rechenzentrum; Protokollierung wesentlicher Systemereignisse.
• Administrative Zugänge zu Datenbank und Hosting mit Zwei-Faktor-Anmeldung; geheime Schlüssel liegen ausschließlich serverseitig.
• Keine fremden Dienste in der Anwendung: keine Analyse- oder Werbewerkzeuge, keine Cookies, Schriften und Bibliotheken auf eigenem Hosting.
• Im Modul HACCP trägt jeder Eintrag die erfassende Person und den Zeitpunkt, an einem gemeinsam genutzten Gerät ein Pflicht-Kürzel. Einträge sind bis Mitternacht des Erfassungstages änderbar, danach gesperrt; ein korrigierter Messwert überschreibt den alten nicht. Zusatzmodule werden nur serverseitig nach der Zahlung freigeschaltet.
• Im Modul Unterweisung nimmt die Datenbank Unterschriften erst an, wenn der Verantwortliche bestätigt hat, dass die Mitarbeitenden informiert sind. Ein Nachweis lässt sich nur am Tag seiner Anlage und nur mit der Unterschrift des Unterweisers abschließen und ist danach gesperrt; korrigiert wird nur durch Storno mit Grund. Die Schichtleitung sieht nur Personen und Nachweise ihrer Abteilung. Die Bestätigung gilt einmal für den Betrieb; ob später angelegte Mitarbeitende informiert wurden, prüft die Datenbank nicht.
• Der Auftragsverarbeiter darf die Maßnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

Die vollständige Liste der Maßnahmen (TOM-Liste) und das Löschkonzept stellt der Auftragsverarbeiter auf Anfrage zur Verfügung.

7. Subunternehmer

Der Verantwortliche erteilt nach Art. 28 Abs 2 und 4 DSGVO die allgemeine Genehmigung zur Einschaltung folgender Subunternehmer:

Über beabsichtigte Änderungen, also die Hinzuziehung oder Ersetzung eines Subunternehmers, informiert der Auftragsverarbeiter vorab in Textform. Der Verantwortliche kann aus wichtigem Grund binnen 14 Tagen widersprechen. Mit Subunternehmern werden Verträge nach Art. 28 DSGVO geschlossen; bei Verarbeitung außerhalb der EU oder des EWR werden geeignete Garantien nach Kapitel V DSGVO vereinbart, insbesondere Standardvertragsklauseln.

Stripe Payments Europe Ltd., Dublin, wickelt die Zahlungen zwischen dem Verantwortlichen und dem Auftragsverarbeiter ab. Stripe ist dafür eigener Verantwortlicher und kein Subunternehmer im Sinne dieser Vereinbarung. Daten aus DIRIKON erhält Stripe nicht.

8. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen nach Art. 12 bis 23 DSGVO sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

9. Löschung und Rückgabe

Nach einer Kündigung sind Schreibzugriffe gesperrt. Lesen und Sichern der Daten bleibt bis 30 Tage nach Ablauf des bezahlten Zeitraums möglich. Auf Anfrage stellt der Auftragsverarbeiter vor der Löschung einen vollständigen Export in einem maschinenlesbaren Format (CSV oder JSON) bereit.

90 Tage nach Vertragsende werden sämtliche personenbezogenen Daten des Verantwortlichen gelöscht: Kennzahlen, Aufzeichnungen und Einrichtung des Moduls HACCP, Personalstamm, Texte und Nachweise des Moduls Unterweisung, Abteilungen, Zugänge, Profile, Sicherungskopien des Betriebs und das Betriebslogo. Die täglichen Datensicherungen des Hostings laufen 7 Tage später aus. Die Löschung wird protokolliert; das Protokoll enthält keine personenbezogenen Daten. Auf Wunsch bestätigt der Auftragsverarbeiter die Löschung in Textform.

Endet nur ein Zusatzmodul, sind dessen Schreibzugriffe gesperrt. Lesen bleibt bis 30 Tage nach dem Ende möglich, 90 Tage nach dem Ende werden die Daten des Zusatzmoduls gelöscht. Aufzeichnungen des Moduls HACCP löscht die Datenbank während der Laufzeit nach der Vorjahresregel: am 1. Jänner alle Einträge des vorletzten Kalenderjahres. Ohne Netz erfasste Einträge im Browser werden nach der Übertragung entfernt. Nachweise des Moduls Unterweisung löscht die Datenbank nach der Fünfjahresregel: am 1. Jänner die Nachweise aus dem sechsten Kalenderjahr davor und früher; der jeweils letzte Nachweis einer Unterweisung bei einer Person, die noch im Betrieb ist, bleibt. Den Stammsatz einer ausgetretenen Person löscht sie mit ihrem letzten Nachweis, spätestens am 1. Jänner des sechsten Jahres nach dem Austrittsjahr. Endet das Modul Unterweisung, wird mit seinen Daten auch der Personalstamm gelöscht. Der Text einer Unterweisung im Browser wird beim Abmelden entfernt, nach dem Schließen des Fensters ohne Abmelden beim nächsten Öffnen der App.

Rechnungsdaten liegen nicht in DIRIKON, sondern bei Stripe und in der Buchhaltung, und unterliegen der gesetzlichen Aufbewahrungspflicht.

10. Nachweis und Kontrolle

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung. Kontrollen erfolgen vorrangig durch Auskünfte und geeignete Nachweise. Vor-Ort-Kontrollen erfolgen nur nach Ankündigung zu üblichen Geschäftszeiten und ohne Störung des Betriebs.

11. Schlussbestimmungen

Es gilt österreichisches Recht. Im Übrigen gelten die Bestimmungen des Hauptvertrags. Diese Vereinbarung geht bei Widersprüchen den AGB in datenschutzrechtlichen Fragen vor.