Datenschutzerklärung

Information nach Art. 13 und 14 DSGVO für Besucherinnen und Besucher dieser Website sowie für Kundenbetriebe, die Venheim nutzen. Stand: 07.11.2026.

1. Verantwortlicher und Kontakt

Verantwortlich für die auf dieser Seite beschriebenen Verarbeitungen ist Michael Faix, Neubaugürtel 39, 1150 Wien, Österreich, E-Mail office@venheim.com.

Anfragen zum Datenschutz richten Sie bitte an office@venheim.com. Ein Datenschutzbeauftragter ist nicht bestellt. Eine Pflicht dazu besteht nach Art. 37 Abs. 1 DSGVO nicht: Unsere Kerntätigkeit ist weder eine umfangreiche regelmäßige und systematische Überwachung von Personen noch eine umfangreiche Verarbeitung besonderer Kategorien von Daten. Wir prüfen das erneut, sobald sich Art oder Umfang der Verarbeitung wesentlich ändern.

2. Zwei unterschiedliche Rollen

Wir verarbeiten personenbezogene Daten in zwei klar getrennten Rollen. Welche Rolle gilt, entscheidet darüber, an wen sich Betroffene wenden.

3. Verarbeitungen im Einzelnen

3.1 Aufruf dieser Seiten und der Anwendung

Beim Aufruf verarbeiten unsere Hosting- und Datenbank-Dienstleister technisch notwendige Verbindungsdaten — insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser- und Gerätekennung. Ohne diese Daten kann die Seite nicht ausgeliefert werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb).

Auf den öffentlichen Seiten und den Anmelde-/Registrierungsseiten nutzen wir die cookielose Reichweitenmessung Umami (Umami Software Inc., gehostet in der EU-Region). Dabei werden keine Cookies gesetzt und keine Informationen auf Ihrem Endgerät gespeichert. Ausgelesen wird nur, ob Sie die Messung in Ihrem Browser selbst abgeschaltet haben (Eintrag »umami.disabled«), damit Ihr Abschalten wirkt. Seitenaufrufe werden ohne dauerhafte Kennung gezählt, die IP-Adresse wird nicht gespeichert. Außerdem zählen wir einige Schritte, an denen sich zeigt, ob eine Seite ihren Zweck erfüllt: eine abgeschickte Registrierung, den Start der Live-Demo, eine abgeschlossene Hygieneschulung, das Drucken einer Vorlage aus den Werkzeugen, den Klick auf einen Tarif oder auf eines unserer Profile in sozialen Netzwerken und den Klick auf das Anmeldeformular des Newsletters. Ebenso zählen wir Klicks auf Knöpfe und Verweise unserer öffentlichen Seiten, etwa zur Registrierung, zur Live-Demo oder zum Preisvergleich, damit wir sehen, welche Wege genutzt werden. Erfasst wird dabei höchstens, welche Vorlage, welcher Tarif, welches Netzwerk oder welcher Knopf an welcher Stelle der Seite es war, nie ein Name, eine E-Mail-Adresse oder eine Eingabe aus einem Formular. Ein Personenbezug wird von uns weder hergestellt noch benötigt. Innerhalb der angemeldeten Anwendung findet keine Reichweitenmessung statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Nutzung unserer öffentlichen Seiten zu verstehen). Über diesen Abschalter hinaus greift Umami nicht auf Ihr Endgerät zu. Umami läuft unabhängig von Ihrer Cookie-Entscheidung und auch dann, wenn Sie unten alles ablehnen — genau deshalb haben wir uns dafür entschieden.

3.1a Google Analytics und Google Ads — nur mit Ihrer Einwilligung

Zusätzlich setzen wir auf den öffentlichen Seiten sowie auf den Anmelde- und Registrierungsseiten Google Analytics 4 ein, um zu verstehen, über welche Wege Betriebe zu uns finden und welche Inhalte gelesen werden. Dazu gehören dieselben Schritte wie bei Umami (Ziffer 3.1), ebenfalls ohne Namen, E-Mail-Adressen oder Formulareingaben. Dabei wird eine Kennung auf Ihrem Endgerät gespeichert (Cookies der Form _ga und _ga_<ID>). Wenn Sie zusätzlich »Marketing« zulassen, messen wir außerdem, welche Anzeige zu einer Anmeldung geführt hat, und Google darf die Daten für personalisierte Werbung verwenden. Mit »Marketing« merkt Ihr Browser außerdem den Code eines Partner-Empfehlungslinks (Ziffer 3.5).

Beides geschieht ausschließlich, wenn Sie im Cookie-Banner zugestimmt haben. Solange keine Zustimmung vorliegt, wird das Google-Skript gar nicht erst geladen; es wird nichts auf Ihrem Gerät gespeichert und nichts an Google übermittelt. Technisch setzen wir dafür den Google Consent Mode v2 ein: die Signale ad_storage, ad_user_data, ad_personalization und analytics_storage stehen von Anfang an auf »abgelehnt« und werden erst durch Ihre Entscheidung geändert.

Rechtsgrundlage für das Speichern und Auslesen auf Ihrem Endgerät: Ihre Einwilligung nach § 165 Abs. 3 TKG 2021 (Österreich) bzw. § 25 Abs. 1 TDDDG (Deutschland); für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO. Empfänger ist Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland); eine Übermittlung an Google LLC in den USA ist nicht ausgeschlossen — Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln. Trotz dieser Grundlagen bleibt ein Restrisiko, dass US-Behörden auf die Daten zugreifen; darauf weisen wir ausdrücklich hin.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Link »Cookie-Einstellungen« im Fußbereich jeder Seite. Der Widerruf ist genauso einfach wie die Erteilung und hat keinerlei Nachteile: die Seite funktioniert vollständig ohne Ihre Zustimmung. Ihre Entscheidung selbst speichern wir in einem technisch notwendigen Cookie (venheim_consent, sechs Monate) — ohne das müssten wir Sie bei jedem Aufruf erneut fragen. Ändert sich der Zweck, fragen wir neu.

3.1b Vorlesen

In der Hygieneschulung, im Ratgeber, im Lexikon, im Journal und im Website-Chat können Sie sich Texte vorlesen lassen — erst, wenn Sie auf »Vorlesen« bzw. »Artikel anhören« tippen. Die meisten Sätze sind vorab mit zwei künstlich erzeugten Stimmen (»Frau« und »Mann«) gesprochen; sie gehören keiner echten Person, und jede Aufnahme trägt ein unhörbares Wasserzeichen, das sie als künstlich erzeugt kennzeichnet. Ihr Browser lädt diese Aufnahmen von unseren Auslieferungsdiensten stimme-samt.venheim.workers.dev und stimme-bariton.venheim.workers.dev, die Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) für uns betreibt. Dabei verarbeitet Cloudflare technisch notwendige Verbindungsdaten — insbesondere IP-Adresse, Zeitpunkt und die angefragte Datei. Der vorgelesene Text selbst wird nicht übertragen: Ihr Browser fragt die Aufnahme über eine Kennung an, die er aus dem Satz errechnet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer gut verständlichen Vorlesefunktion). Cloudflare stützt die Übermittlung in die USA auf seine Zertifizierung unter dem EU-US Data Privacy Framework, ersatzweise auf die Standardvertragsklauseln; ein Restrisiko, dass US-Behörden auf die Verbindungsdaten zugreifen, bleibt.

Sätze, für die keine Aufnahme vorliegt — etwa Ihr Ergebnis am Ende der Schulung —, spricht die Stimme Ihres Geräts. Welche das ist, entscheidet Ihr Browser; manche Browser nutzen dafür Online-Stimmen ihres Herstellers, dann gelangt der Satz an diesen Hersteller, und es gilt dessen Datenschutzerklärung. Ihre Wahl von Stimme und Tempo merkt sich Ihr Browser (Ziffer 4).

3.1c Sprachdialog und Vorlesen in der Anwendung

Im Assistenten können Sie die Anwendung per Sprache fragen und sich Antworten vorlesen lassen. Das Mikrofon geht nur an, wenn Sie auf »Sprechen« tippen oder das Zeichen ✦ in der unteren Leiste gedrückt halten, und nach Ihrer Frage sofort wieder aus. Ihre Aufnahme wird, wo Ihr Gerät das zusichert, auf dem Gerät selbst erkannt und verlässt es nicht. Sonst schickt die Anwendung die Aufnahme über unseren Server an Groq (Sitz in den USA, Auftragsverarbeiter, Ziffer 3.8), die daraus Text macht; ist das nicht möglich, nutzt die Anwendung nach Ihrer ausdrücklichen Bestätigung den Spracherkennungsdienst Ihres Browsers (etwa Google bei Chrome oder Apple bei Safari) — dann gilt dessen Datenschutzerklärung. Weder Ton noch erkannter Text werden bei uns gespeichert; der Gesprächsverlauf steht nur auf der geöffneten Seite. Allein seine letzte Zeile (gekürzt, mit Uhrzeit) merkt sich Ihr Gerät, damit sie in der Liste »Gespräche« beim Assistenten steht — je Person getrennt, höchstens 7 Tage lang und beim Abmelden gelöscht; sie verlässt das Gerät nicht.

Antworten und Vorlese-Sätze in der Anwendung kann eine künstlich erzeugte Stimme von Microsoft Azure AI Speech sprechen (Microsoft Ireland Operations Limited, Rechenzentrum in Deutschland; zur Übermittlung Ziffer 6). Dafür übermitteln wir den jeweiligen Satz; Microsoft speichert weder den Text noch den erzeugten Ton. Steht dieser Dienst nicht zur Verfügung, spricht eine Stimme Ihres Geräts — in der Anwendung nur eine, die auf dem Gerät selbst spricht. Spracherkennung über unseren Server und die Stimme von Microsoft sind derzeit nur in den Betrieben des Plattformbetreibers eingeschaltet; Kundenbetriebe erhalten sie erst, wenn beide Dienste für diesen Zweck in Anlage 1 zum Auftragsverarbeitungsvertrag stehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer Bedienung ohne Tippen und einer gut verständlichen Sprachausgabe).

3.2 Registrierung eines Betriebs und Missbrauchsabwehr

Für die Registrierung verarbeiten wir Betriebsname, Kürzel, Art des Betriebs, Name und E-Mail-Adresse der registrierenden Person, den Zeitpunkt sowie — falls über einen Empfehlungslink gekommen — den Code des werbenden Partners. Das Passwort speichert unser Anmeldedienst ausschließlich als Hash.

Der Betrieb wird erst angelegt, wenn der Bestätigungslink in der E-Mail geöffnet wird. Nie bestätigte Anfragen löschen wir samt dem angelegten Zugang nach 30 Tagen.

Um Massen-Registrierungen und E-Mail-Belästigung abzuwehren, sind Registrierung, Anmeldung und Passwort-Rücksetzung gedrosselt. Dafür speichern wir für 24 Stunden ausschließlich einen mit einem geheimen Wert gesalzenen Hash der IP-Adresse bzw. der Zieladresse, die Aktion und den Zeitpunkt — nie die Klar-IP und nie die Klaradresse. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) und lit. f (berechtigtes Interesse an der Abwehr von Missbrauch).

3.3 Kundenkonto und Anmeldung

Zur Anmeldung verarbeiten wir E-Mail-Adresse und Passwort-Hash sowie — wenn die Zwei-Faktor-Anmeldung eingerichtet wurde — die dafür nötigen Angaben. Anmelde-Sitzungen werden über Cookies gehalten (Ziffer 4). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.4 Vertrag, Abo und Zahlung

Für die Vertragsverwaltung speichern wir bei der Organisation des Kunden: Tarif, Status, Ende der Testphase (30 Tage), bezahlt bis, die Kundennummer und die Abonnement-Nummer bei Stripe sowie einen etwaigen Partner-Code. An Stripe übermitteln wir beim Bezahlvorgang die E-Mail-Adresse der bestellenden Person, die Anzahl der Standorte, Tarif und Intervall sowie die Organisations-Kennung. Karten- und Kontodaten geben Sie unmittelbar bei Stripe ein; sie erreichen unsere Systeme nie. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c (Aufbewahrungs- und Rechnungslegungspflichten).

Stripe tritt dabei in einer Doppelrolle auf: für die Zahlungsabwicklung in unserem Auftrag als Auftragsverarbeiter, für Betrugserkennung, eigene Compliance-Pflichten und Produktverbesserung als eigener Verantwortlicher (so weist es Stripe in seinen Datenschutzhinweisen aus; geprüft am 23.08.2026). Für den zweiten Teil gelten die Datenschutzhinweise von Stripe.

3.5 Partnerprogramm

Von Vertriebspartnern speichern wir Code, Name, E-Mail-Adresse, Provisionssatz, Status und Notizen sowie die Zuordnung geworbener Kunden. Der Empfehlungs-Code aus dem Werbelink wird beim Absenden der Registrierung mitgeschickt. Für eine spätere Registrierung merkt ihn Ihr Browser 90 Tage lang, aber nur, wenn Sie der Kategorie »Marketing« zugestimmt haben (Ziffer 4, Rechtsgrundlage dafür Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021); er wird bei uns gegen die Partnerliste geprüft. Ist er unbekannt, wird er verworfen. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

3.6 E-Mails

Über unseren Versanddienstleister verschicken wir Registrierungs- und Passwort-Mails sowie — auf Veranlassung des jeweiligen Betriebs — Hygiene-Monatsberichte, Bestellmails an Lieferanten, das Monatspaket für den Steuerberater und die Mails der Online-Buchung an Gäste (Bestätigung, Storno-Bestätigung und eine Erinnerung am Vortag, jeweils mit Storno-Link — siehe Ziffer 3.10). Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und lit. f DSGVO; im Auftrag eines Kundenbetriebs handeln wir insoweit als Auftragsverarbeiter.

Während der kostenlosen Testphase erhalten Sie außerdem bis zu vier Begleit-Mails zu Ihrem eigenen Konto (Willkommen, Zwischenstand, Erinnerung vor Ablauf) — die späteren davon mit Hinweis auf die Bezahltarife. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO; jede dieser Mails enthält einen Abmelde-Link, mit dem Sie die Begleit-Mails jederzeit abbestellen (Art. 21 DSGVO). Einen Newsletter bekommen Sie nur, wenn Sie ihn selbst bestellen (Ziffer 3.6a).

Zu jeder versendeten Mail speichern wir Empfängeradresse, Betreff und Zustellstatus für 730 Tage — nur so können wir Zustellprobleme (z. B. eine unzustellbare Adresse) erkennen und nachweisen, dass Pflicht-Mails hinausgegangen sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3.6a Newsletter

Auf Wunsch schicken wir Ihnen einmal im Monat eine Mail mit dem Wichtigsten für Ihren Betrieb. Sie bekommen sie nur, wenn Sie sie selbst bestellen: über unser Anmeldeformular, das wir von dieser Website aus verlinken, oder mit einem eigenen Häkchen bei der Registrierung, das nicht vorausgewählt ist. Wer ein Konto hat, kann den Newsletter auch im Profil an- und abbestellen. Eingetragen sind Sie erst, wenn Sie den Link in der Bestätigungs-Mail öffnen (Double-Opt-in); der Link verfällt nach 30 Tagen.

Wir verarbeiten dafür nur Ihre E-Mail-Adresse und, als Nachweis Ihrer Einwilligung, die Zeitpunkte von Anmeldung, Bestätigungs-Mail und Bestätigung sowie den Inhalt der Bestätigungs-Mail. Melden Sie sich in Ihrem Konto an, vermerken wir zusätzlich, ob das bei der Registrierung oder im Profil geschah. In der Anwendung selbst speichern wir dazu nichts. Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Ob eine Ausgabe geöffnet und welcher Link darin angeklickt wurde, sehen wir nur als zusammengefasste Zahlen, ohne Bezug zu Ihrer E-Mail-Adresse.

Anmeldeformular und Versand laufen über unseren Versanddienst Brevo (Sendinblue SAS, 17 rue Salneuve, 75017 Paris, Frankreich). Brevo verarbeitet die Daten als Auftragsverarbeiter in unserem Auftrag und betreibt seine Server in Rechenzentren in Frankreich und Belgien. Einzelne Dienstleister von Brevo sitzen außerhalb des Europäischen Wirtschaftsraums, etwa in den USA; dafür gelten die Standardvertragsklauseln der Europäischen Kommission mit zusätzlichen Schutzmaßnahmen, für die USA auch das EU-US Data Privacy Framework. Beim Aufruf des Anmeldeformulars verarbeiten Brevo und sein Auslieferungsdienst Cloudflare technisch notwendige Verbindungsdaten, insbesondere die IP-Adresse.

Abbestellen können Sie jederzeit über den Link am Ende jeder Ausgabe, im Profil Ihres Kontos oder mit einer kurzen Nachricht an office@venheim.com. Der Widerruf wirkt für die Zukunft.

3.7 Benachrichtigungen (Push)

Push-Benachrichtigungen sind freiwillig und werden im Profil ausdrücklich eingeschaltet. Dabei wird die vom Browser erzeugte Push-Adresse gespeichert. Sie können die Zustimmung jederzeit im Profil oder in den Browsereinstellungen widerrufen. Konnte an ein Gerät 180 Tage lang keine Benachrichtigung zugestellt werden, löschen wir seine Push-Adresse automatisch. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

3.8 Optionale KI-Erklärhilfe

Auf ausdrücklichen Klick kann sich die Leitung eine bereits berechnete Vorschlagsliste in zwei bis drei Sätzen zusammenfassen lassen. Übermittelt werden dabei Personen-Kürzel (etwa »AB«), Datum und Uhrzeit der offenen Schicht sowie die berechnete Eignung mit kurzer Begründung — keine Namen, keine Kontaktdaten, keine Nachweisdaten und nicht der Grund des Ausfalls. Die Entscheidung selbst trifft immer die Regel-Logik der Anwendung; unplausible Antworten werden verworfen. Weder Anfrage noch Antwort werden bei uns gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Angefragt wird ausschließlich Groq mit Sitz in den USA. Groq schließt eine Verwendung der Daten zum Training aus und speichert Anfragen nicht dauerhaft; mit Groq besteht ein Auftragsverarbeitungsvertrag mit den Standardvertragsklauseln der Europäischen Kommission. Antwortet Groq nicht, wird kein anderer Dienst gefragt. Die Funktion bleibt zudem optional: ohne Klick verlässt kein Datensatz die Anwendung, und die Vorschläge stehen auch ohne sie vollständig zur Verfügung.

3.9 Kontaktaufnahme

Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO) und bewahren die Korrespondenz auf, solange dies zur Bearbeitung und zur Erfüllung gesetzlicher Aufbewahrungspflichten nötig ist.

3.10 Online-Buchung (im Auftrag des jeweiligen Betriebs)

Schaltet ein Kundenbetrieb seine öffentliche Buchungsseite frei, können Gäste dort einen Termin oder Tisch anfragen. Verarbeitet werden dabei die Angaben aus dem Buchungsformular: Name, E-Mail-Adresse, optional Telefonnummer, Personenzahl, Termin und eine freiwillige Notiz. Verantwortlicher für diese Daten ist der jeweilige Betrieb — wir verarbeiten sie ausschließlich in seinem Auftrag (Art. 28 DSGVO), um die Buchung abzuwickeln: Bestätigungs-Mail mit Storno-Link, eine Erinnerung am Vortag und die Tagesliste für das Team des Betriebs. Bitte tragen Sie in das Notizfeld keine Gesundheitsangaben ein; für Allergien sprechen Sie den Betrieb direkt an. 90 Tage nach dem Termin werden Name, Kontaktdaten und Notiz automatisch anonymisiert — es bleibt nur die anonyme Auslastungszahl. Rechtsgrundlage der Verarbeitung beim Betrieb: Art. 6 Abs. 1 lit. b DSGVO.

3.11 Kassen-Anbindung (im Auftrag des jeweiligen Betriebs)

Verbindet ein Betrieb sein Kassensystem (derzeit helloCash oder ready2order — oder per Datei-Import bzw. Schnittstelle), rufen wir in seinem Auftrag ausschließlich Tages- und Warengruppen-Summen ab (Bruttoumsatz und Beleganzahl je Tag) — keine einzelnen Belege, keine Artikelzeilen und keine Daten über Gäste oder Beschäftigte. Die Zugangsdaten zum Kassensystem speichern wir verschlüsselt (AES-256); nur der Server kann sie lesen, und der Betrieb kann die Anbindung jederzeit selbst löschen. Rechtsgrundlage beim Betrieb: Art. 6 Abs. 1 lit. b DSGVO.

3.12 Anruf und Videoanruf

Leitung und Team eines Standorts können sich aus der Anwendung anrufen — mit Ton oder mit Bild. Ton und Bild gehen verschlüsselt direkt von Gerät zu Gerät und laufen nicht über unsere Server; sie werden weder aufgezeichnet noch gespeichert. Über unsere Server und unseren Datenbank-Dienstleister läuft nur der Verbindungsaufbau: wer wen anruft, ob mit Ton oder Bild, ob angenommen, abgelehnt oder aufgelegt wird, und beim Anruf aus einem Eintrag (etwa einem Mangel) dessen Bezeichnung. Dabei erfahren die beiden Geräte die Netzwerkadressen des jeweils anderen. Ist die Anwendung bei der angerufenen Person geschlossen, weckt sie eine Benachrichtigung mit dem Namen der anrufenden Person (Ziffer 3.7). Mikrofon und Kamera nutzt die Anwendung nur während eines Gesprächs und nur mit Ihrer Erlaubnis im Browser; die Kamera geht erst an, wenn Sie einen Videoanruf starten oder annehmen oder sie im Gespräch einschalten.

Damit kein Anruf verloren geht, steht jeder Anruf als Eintrag im Chat-Verlauf der beiden Personen: wer wen wann angerufen hat, ob mit Ton oder Bild, ob angenommen (mit der Dauer), abgelehnt oder verpasst, und beim Anruf aus einem Eintrag dessen Bezeichnung. Ein Gesprächsinhalt ist nicht dabei. Diesen Eintrag sehen nur die beiden beteiligten Personen; die Leitung sieht fremde Anrufe nicht, und er ist weder im Daten-Export des Betriebs noch in einer Auswertung enthalten. Er wird nach 90 Tagen automatisch gelöscht.

Damit zwei Geräte einander finden, fragt jedes Gerät beim Verbindungsaufbau einen öffentlichen Vermittlungsdienst (STUN) von Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) nach seiner öffentlichen Adresse. Cloudflare erfährt dabei die IP-Adresse und den Port Ihres Geräts — nicht, wen Sie anrufen, und weder Ton noch Bild. Finden die Geräte keinen direkten Weg zueinander, etwa in manchen Mobilfunknetzen oder abgesicherten Firmennetzen, leitet ein Weiterleitungsdienst (TURN) von Cloudflare den Gesprächsstrom weiter. Der Strom bleibt dabei zwischen den beiden Geräten verschlüsselt: Cloudflare kann Ton und Bild nicht entschlüsseln und erfährt nur die IP-Adressen und Ports der beiden Geräte sowie Beginn, Dauer und Datenmenge der Weiterleitung, keine Namen. Für die Weiterleitung erhält jedes Gerät je Anruf eigene Zugangsdaten, die nach 12 Stunden verfallen. Cloudflare stützt die Übermittlung in die USA auf seine Zertifizierung unter dem EU-US Data Privacy Framework, ersatzweise auf die Standardvertragsklauseln; ein Restrisiko, dass US-Behörden auf diese Verbindungsdaten zugreifen, bleibt. Anrufe sind derzeit nur in den Betrieben des Plattformbetreibers freigeschaltet; Kundenbetriebe erhalten sie erst ab dem Tag, den Anlage 1 zum Auftragsverarbeitungsvertrag für Cloudflare nennt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen Abstimmung im laufenden Betrieb).

3.13 Chat auf dieser Website

Auf den öffentlichen Seiten beantwortet ein Chat Fragen zu Venheim. Seine Antworten stammen ausschließlich aus den Texten, die auf diesen Seiten veröffentlicht sind; ein KI-Modell arbeitet dabei nicht mit, und Daten eines Betriebs kennt der Chat nicht. Wir speichern jede Frage, die Seite, auf der die Unterhaltung begann, welche Antworten gezeigt wurden und wie der Chat die Frage eingeordnet hat, dazu für die Missbrauchsbremse einen gesalzenen Hash Ihrer IP-Adresse — nie die Adresse selbst. Die Kennung der Unterhaltung merkt sich nur der geöffnete Browser-Tab, bis Sie ihn schließen. Fragen, auf die der Chat keine Antwort hatte, lesen wir, um unsere Texte zu verbessern. Bitte geben Sie im Chat keine Gesundheitsangaben oder Daten anderer Personen ein. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Fragen zum eigenen Angebot rasch zu beantworten und die Antworten zu verbessern).

Hinterlassen Sie im Chat Ihre Kontaktdaten, damit wir uns melden, speichern wir Name, E-Mail-Adresse und, wenn Sie sie angeben, Betrieb und Nachricht, und eine Benachrichtigung geht an uns. Wir verwenden diese Angaben nur, um Ihre Anfrage zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfrage vor einem möglichen Vertrag). Wie lange wir all das aufbewahren, steht unter Ziffer 7.

3.14 Private Gespräche Ende-zu-Ende

Nachrichten zwischen zwei Personen im Chat der Anwendung werden auf dem Gerät verschlüsselt, bevor sie es verlassen, und erst auf dem Gerät der Empfängerin wieder entschlüsselt. Auf unseren Servern und bei unserem Datenbank-Dienstleister liegt nur der verschlüsselte Inhalt — weder wir noch der Betrieb noch seine Leitung können ihn lesen. Jedes Gerät erzeugt dafür eigene Schlüssel; der private Teil verlässt das Gerät nie und lässt sich auch dort nicht auslesen. Gespeichert werden bei uns nur die öffentlichen Schlüssel und ihr Fingerabdruck, für andere ohne Gerätenamen und ohne »zuletzt gesehen«. Eine Benachrichtigung zu einer privaten Nachricht nennt nur, von wem sie kommt, nie ihren Inhalt.

Was dabei sichtbar bleibt, sagen wir offen: Wer wem wann schreibt, wie groß eine Nachricht ungefähr ist und wie viele Geräte eine Person nutzt, sehen unsere Server. Ob ein Schlüssel wirklich zur Person gehört, prüft jedes Gerät selbst; wer ganz sicher sein will, vergleicht die zwölfstellige Sicherheitsnummer hinter dem Schloss mit der anderen Person. Ist die Nummer als geprüft markiert und ändert sie sich danach, hält die Anwendung das Senden an, bis Sie die neue Nummer annehmen; sonst steht ein Hinweis im Gespräch. Die Empfangsschlüssel wechseln alle 7 Tage und werden 30 Tage nach ihrer Ablösung vom Gerät gelöscht — wer später an ein Gerät kommt, öffnet damit ältere Nachrichten vom Server nicht mehr. Ein Gerät, das 90 Tage nicht genutzt wurde, bekommt keine Nachrichten mehr.

Nicht Ende-zu-Ende verschlüsselt sind Team-Themen und Räume (dort liest das Team gemeinsam, und der Assistent antwortet auf Nachfrage für alle sichtbar), Sprachnachrichten, Dienstnachrichten der Leitung aus dem Dienstplan und Nachrichten an eine Person, die noch kein Gerät mit Schlüssel hat — diese nur, wenn Sie es vor dem Senden ausdrücklich wählen. Jede solche Nachricht ist im Verlauf beschriftet. Nachrichten von vor der Einführung der Verschlüsselung bleiben unverändert lesbar und tragen den Hinweis »vor der Verschlüsselung«. Der Assistent liest keine privaten Gespräche. Die Suche in privaten Gesprächen und die Ablage für Zeiten ohne Empfang arbeiten nur auf Ihrem Gerät, mit den Nachrichten, die dieses Gerät bereits geöffnet hat.

Dafür liegen die Schlüssel und die geöffneten Nachrichten in der Datenbank Ihres Browsers (IndexedDB) — für die Funktion unbedingt erforderlich (§ 165 Abs. 3 TKG 2021). Beim Abmelden werden die geöffneten Nachrichten gelöscht, an einem geteilten Gerät und bei einer Fernsperre zusätzlich die Schlüssel. Ein verlorenes, entsperrtes Gerät zeigt aber, was es bereits geöffnet hat. Einen Verlauf, der auf ein neues Gerät umzieht, gibt es bewusst nicht: Ein neues Gerät liest private Nachrichten ab dem Zeitpunkt, zu dem es dazukommt. Die Verschlüsselung ist eine technische Schutzmaßnahme nach Art. 25 und 32 DSGVO; die Rechtsgrundlage des Chats selbst ist beim Betrieb Art. 6 Abs. 1 lit. b und f DSGVO.

3.15 Schlüsselbund und Notizen im Konto

Mit der ersten eigenen Notiz (oder auf Wunsch vorher im Profil) erzeugt das Gerät einen Schlüsselbund: einen Schlüssel, der nur dieser Person gehört. Bei uns liegt davon nur eine Kennung, und — sobald die Person sie anlegt — verschlossene Kopien: geöffnet werden sie mit dem Wiederherstellungs-Code, mit einem Passkey (Face ID, Fingerabdruck, Geräte-PIN) oder von einem anderen Gerät der Person per QR-Code. Solange es keinen Code und keinen Passkey gibt, öffnet den Schlüssel auf einem neuen Gerät nur ein anderes Gerät der Person. Den Code und den offenen Schlüssel bekommen wir nie zu sehen; geht der Code verloren und ist kein Gerät mehr entsperrt, kann auch niemand bei uns den Schlüssel wiederherstellen.

Mit dem Schlüsselbund liegen die eigenen Notizen im Konto und auf jedem Gerät, auf dem die Person ihn entsperrt hat. Jede Notiz wird vor dem Senden auf dem Gerät verschlüsselt; bei uns und bei unserem Datenbank-Dienstleister liegen nur der verschlüsselte Inhalt, eine Kennung, die weder den Text noch die Sache verrät, an der die Notiz hängt, ihre ungefähre Größe und der Zeitpunkt der letzten Änderung. Weder wir noch der Betrieb noch seine Leitung können die Notizen lesen, und der Assistent liest sie nicht auf unseren Servern. Abmelden löscht nur die Kopie auf dem Gerät; im Konto bleiben die Notizen, bis die Person sie dort löscht (übrig bleibt dann nur eine leere Marke ohne Inhalt, damit kein anderes Gerät die Notiz wieder hochlädt), einen neuen Schlüsselbund anlegt (dann werden die alten verschlüsselten Notizen bei uns gelöscht) oder das Konto aufgelöst wird. Kommt der Schlüsselbund nicht zustande (etwa ohne Verbindung), bleiben neue Notizen bis dahin nur auf dem Gerät und werden beim Abmelden gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die Funktion, die die Person selbst nutzt); die Verschlüsselung ist eine Schutzmaßnahme nach Art. 25 und 32 DSGVO.

3.16 Digitale Treuekarte (im Auftrag des jeweiligen Betriebs)

Bietet ein Betrieb eine digitale Treuekarte an, können Sie über seinen QR-Code eine Karte auf Ihrem Telefon anlegen — ohne Konto, ohne Namen, E-Mail-Adresse oder Telefonnummer. Bei uns liegen dafür nur eine Kartennummer, ein Prüfwert (Hash) der Kennung Ihrer Karte, die gesammelten Stempel und eingelösten Belohnungen mit ihrem Zeitpunkt und dem Hinweis, wer im Betrieb sie vergeben hat. Die Kennung selbst steht nur in einem Cookie auf Ihrem Telefon (Ziffer 4); damit erscheinen Ihre Stempel beim nächsten Besuch wieder. Um massenhaft angelegte Karten abzuwehren, ist das Anlegen gedrosselt — dafür gilt dasselbe wie in Ziffer 3.2: nur ein gesalzener Hash der IP-Adresse, nie die Klar-IP.

Verantwortlicher für diese Daten ist der jeweilige Betrieb — wir verarbeiten sie ausschließlich in seinem Auftrag (Art. 28 DSGVO), um sein Treueprogramm zu führen. Die Karte bleibt bestehen, solange der Betrieb diesen Standort bei uns führt — mit ihr verlören Sie Ihre Stempel; wird der Standort gelöscht, wird sie mit gelöscht. Löschen Sie das Cookie, ist die Karte auf diesem Telefon nicht mehr zu sehen, bis Sie sie über ihren Link wieder öffnen. Rechtsgrundlage der Verarbeitung beim Betrieb: Art. 6 Abs. 1 lit. b DSGVO.

4. Cookies und Speicherung auf Ihrem Endgerät

Analyse- und Werbe-Cookies setzen wir ausschließlich mit Ihrer Einwilligung über den Cookie-Dialog (Ziffer 3.1a — Google Analytics 4). Ohne Einwilligung wird das Google-Skript gar nicht geladen. Unabhängig davon wird gespeichert:

5. Empfänger und Dienstleister

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen die datenschutzrechtlich gebotenen Verträge abgeschlossen werden. Über die Leistungserbringung hinaus geben wir keine Daten weiter; gesetzliche Auskunftspflichten gegenüber Behörden bleiben unberührt.

Zusätzlich zu dieser Liste sind Empfänger die Messdienste der öffentlichen Seiten — Umami (Ziffer 3.1) und, nur mit Ihrer Einwilligung, Google Ireland Limited (Ziffer 3.1a), Cloudflare, Inc. als Auslieferer der Vorlese-Aufnahmen (Ziffer 3.1b) — sowie unser Newsletter-Versanddienst Brevo (Ziffer 3.6a). Für diese Verarbeitungen sind wir selbst Verantwortliche, weshalb die Dienste NICHT in der Unterauftrags-Liste der Kundenbetriebe stehen. Bei Anrufen ist Cloudflare, Inc. Empfänger der IP-Adresse und, wenn die Geräte keinen direkten Weg finden, Weiterleiter des verschlüsselten Gesprächsstroms (Ziffer 3.12); in der Liste oben steht der Dienst mit seinem Vermerk nach § 6 Abs. 3 des Auftragsverarbeitungsvertrags: Für Kundenbetriebe ist er erst ab dem dort genannten Tag im Einsatz. Beim Sprachdialog und Vorlesen in der Anwendung (Ziffer 3.1c) ist Microsoft Ireland Operations Limited Empfänger der Sätze, die die künstliche Stimme spricht, und Groq Empfänger der Aufnahme, wenn Ihr Gerät sie nicht selbst erkennt; auch das ist derzeit nur in den Betrieben des Plattformbetreibers eingeschaltet, deshalb stehen beide für diesen Zweck noch nicht in der Liste oben. Die Liste oben gilt zugleich als Verzeichnis der Unterauftragsverarbeiter für Kundenbetriebe; sie ist als Anlage 1 zum Auftragsverarbeitungsvertrag maßgeblich.

6. Übermittlung in Drittländer

Datenbank, Anmeldung und Dateiablage werden in der Europäischen Union betrieben; die Ausführung der Anwendung ist auf eine EU-Region festgelegt. Einzelne Dienstleister sind Unternehmen mit Sitz in den USA oder mit Konzernmutter dort. Soweit dabei Daten in ein Drittland gelangen, stützen wir dies auf die Standardvertragsklauseln der Europäischen Kommission bzw. auf einen Angemessenheitsbeschluss.

Die Stimme im Sprachdialog (Ziffer 3.1c) erzeugt Microsoft Ireland Operations Limited in einem Rechenzentrum in Deutschland; Microsoft sagt für diesen Dienst die Verarbeitung innerhalb der EU zu (EU Data Boundary). Soweit die Konzernmutter Microsoft Corporation in den USA dennoch Zugriff haben könnte, stützen wir uns auf ihre Zertifizierung unter dem EU-US Data Privacy Framework, ersatzweise auf die Standardvertragsklauseln. Für die Spracheingabe über Groq gilt dasselbe wie für die KI-Erklärhilfe (Ziffer 3.8). Solange ein Dienst nur in den Betrieben des Plattformbetreibers eingeschaltet ist, steht er nicht in Anlage 1; für Kundenbetriebe kommt er erst mit der Mitteilung nach dem Auftragsverarbeitungsvertrag hinzu.

Die Grundlage je Dienstleister (Auftragsverarbeitungsvertrag, Fassung und Standardvertragsklauseln) steht in Anlage 1 zum Auftragsverarbeitungsvertrag.

7. Speicherdauer

Daten, für die wir selbst verantwortlich sind (Ziffer 2):

Daten, die ein Kundenbetrieb und sein Team in der Anwendung erfassen, verarbeiten wir in seinem Auftrag (Ziffer 2). Einiges davon löscht die Plattform von selbst nach einer festen Frist:

Die automatische Löschung läuft täglich. Jede feste Frist in beiden Tabellen kommt aus demselben Katalog, nach dem dieser Lauf löscht — die Seite sagt nichts anderes zu, als technisch geschieht.

Newsletter (Ziffer 3.6a): Ihre E-Mail-Adresse steht bis zu Ihrer Abmeldung in der Empfängerliste bei Brevo. Danach bleibt sie dort gesperrt stehen, damit Sie keine Ausgabe mehr erhalten, und wird mit dem Nachweis Ihrer Einwilligung spätestens drei Jahre nach der Abmeldung gelöscht.

8. Ihre Rechte

• Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Kundenbetriebe können viele dieser Rechte unmittelbar in der Anwendung ausüben: Daten berichtigen, einen vollständigen Export herunterladen und den gesamten Betrieb löschen. Beschäftigte eines Kundenbetriebs wenden sich bitte an ihren Betrieb (siehe Ziffer 2).

Sie haben zudem das Recht auf Beschwerde bei einer Aufsichtsbehörde. In Österreich ist das die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

9. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Planungs- und Auswertungsfunktionen erstellen Vorschläge; die Entscheidung trifft immer ein Mensch im jeweiligen Betrieb.

10. Was wir bewusst nicht verarbeiten

• keine Karten- oder Kontodaten (diese gibt der Kunde direkt bei Stripe ein)
• keine Lohnverrechnung — die Anwendung erzeugt nur die Export-Datei für die Kanzlei; Abrechnung, Gehälter und Konten bleiben dort
• keine eigene Registrierkasse und keine einzelnen Kassenbelege — bei eingerichteter Kassen-Anbindung werden ausschließlich Tages- und Warengruppen-Summen ohne Personenbezug übernommen (Ziffer 3.11)
• keine Gäste-Profile: nutzt ein Betrieb die Online-Buchung, speichern wir in seinem Auftrag nur die Angaben zur konkreten Buchung und anonymisieren sie 90 Tage nach dem Termin (Ziffer 3.10) — kein Marketing, keine Auswertung über die Buchung hinaus
• keine Diagnosen — Gesundheitsangaben nur, wo das Arbeitsrecht sie verlangt: der Terminfakt einer Krankmeldung, die ärztliche Bestätigung zu Krankentagen im Urlaub (sieht nur die Leitung) und Schutz-Merkmale wie eine Schwangerschaft für die Schutzvorschriften im Dienstplan (sehen nur die Person und ihre Leitung)
• keinen Grund bei einer Pflegefreistellung (Österreich, § 16 Urlaubsgesetz): die Anwendung hält nur fest, dass es eine Pflegefreistellung ist und an welchen Tagen — nie, wen die Person pflegt oder woran jemand erkrankt ist; eine Notiz dazu nimmt die Datenbank nicht an. Gespeichert bleibt der Antrag wie jede andere Abwesenheit, bis der Betrieb ihn löscht oder der Vertrag endet (Ziffer 7)
• keine Standortverfolgung: beim Stempeln wird nur die Entfernung zum Betrieb geprüft und gespeichert, nie Koordinaten und nie außerhalb des Stempel-Vorgangs
• keine Klar-IP-Adressen in der Missbrauchsbremse, nur gesalzene Hashes
• in der angemeldeten Anwendung keinerlei Messung — weder die cookielose Besucher-Zählung noch Google Analytics laufen dort. Beides gibt es ausschließlich auf den öffentlichen Seiten (Ziffern 3.1 und 3.1a), Google zudem nur mit Ihrer Einwilligung. Über die Arbeit Ihrer Beschäftigten erfährt kein Messdienst etwas

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Anwendung, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: 07.11.2026