Entwurf — noch nicht rechtlich geprüft
Dieser Text wurde nach dem tatsächlichen Stand der Software verfasst und ist eine Arbeitsgrundlage, keine Rechtsberatung. Vor der Veröffentlichung muss er von einer Rechtsanwältin oder einem Rechtsanwalt geprüft und an das Unternehmen angepasst werden. Rot markierte Stellen sind noch auszufüllen, gelb markierte Anmerkungen richten sich an die Prüfung.
15 Angabe(n) fehlen noch
- Firmenwortlaut laut Gewerberegister/Firmenbuch, z. B. »Max Mustermann e. U.«
- Rechtsform, z. B. »Einzelunternehmen (e. U.)« oder »GmbH«
- Name der Inhaberin / des Inhabers bzw. der vertretungsbefugten Person
- Straße und Hausnummer der Geschäftsanschrift
- Postleitzahl
- Ort
- Telefonnummer (§ 5 ECG verlangt eine schnelle elektronische Kontaktmöglichkeit)
- Unternehmensgegenstand in einem Satz, z. B. »Entwicklung und Betrieb von Software für Gastronomiebetriebe«
- UID-Nummer (ATU…) — falls keine vorhanden ist, hier ausdrücklich »keine UID (Kleinunternehmer)« eintragen
- Firmenbuchnummer (FN …) — bei nicht eingetragenen Einzelunternehmen »nicht im Firmenbuch eingetragen« eintragen
- Firmenbuchgericht — sonst »entfällt«
- Wortlaut der Gewerbeberechtigung, z. B. »Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik«
- Zuständige Gewerbebehörde (Bezirksverwaltungsbehörde bzw. Magistrat)
- Kammerzugehörigkeit: Wirtschaftskammer + Landeskammer + Fachgruppe
- Aufsichtsbehörde nach § 5 ECG (in der Regel die Gewerbebehörde)
Alle Angaben stehen zentral in lib/rechtstexte.ts.
Datenschutzerklärung
Information nach Art. 13 und 14 DSGVO für Besucherinnen und Besucher dieser Website sowie für Kundenbetriebe, die Venheim nutzen. Stand: 08.08.2026.
1. Verantwortlicher und Kontakt
Verantwortlich für die auf dieser Seite beschriebenen Verarbeitungen ist [BITTE AUSFÜLLEN: Firmenwortlaut laut Gewerberegister/Firmenbuch, z. B. »Max Mustermann e. U.«], [BITTE AUSFÜLLEN: Straße und Hausnummer der Geschäftsanschrift], [BITTE AUSFÜLLEN: Postleitzahl] [BITTE AUSFÜLLEN: Ort], Österreich, E-Mail office@venheim.com.
Anfragen zum Datenschutz richten Sie bitte an office@venheim.com. Ein Datenschutzbeauftragter ist nicht bestellt; eine Bestellpflicht nach Art. 37 DSGVO besteht nach derzeitiger Einschätzung nicht. VOR VERÖFFENTLICHUNG PRÜFEN: Bestellpflicht eines Datenschutzbeauftragten (Art. 37 Abs. 1 lit. b/c DSGVO) vor dem Start prüfen lassen — sie hängt von Art und Umfang der Verarbeitung ab und ist hier bewusst nicht selbst entschieden.
2. Zwei unterschiedliche Rollen
Wir verarbeiten personenbezogene Daten in zwei klar getrennten Rollen. Welche Rolle gilt, entscheidet darüber, an wen sich Betroffene wenden.
| Rolle | Worum es geht | Wer ist Verantwortlicher |
|---|---|---|
| Eigener Verantwortlicher | Besuch dieser Seiten, Registrierung, Kundenkonto, Abo und Zahlung, Partnerprogramm, Kommunikation mit uns | wir (Angaben unter Ziffer 1) |
| Auftragsverarbeiter (Art. 28 DSGVO) | alle Daten, die ein Kundenbetrieb und sein Team in der Anwendung erfassen — Dienstpläne, Arbeitszeiten, Nachweise, Chat, Warenwirtschaft | der jeweilige Kundenbetrieb |
Für Beschäftigte von Kundenbetrieben
Wenn Sie die Anwendung als Mitarbeiterin oder Mitarbeiter eines Betriebs nutzen, ist Ihr Betrieb der Verantwortliche für Ihre Daten — nicht wir. Auskunft, Berichtigung oder Löschung fordern Sie bitte dort an; wir unterstützen den Betrieb dabei nach den Regeln des Auftragsverarbeitungsvertrags. Welche Daten dabei verarbeitet werden, steht dort in der Anlage.
3. Verarbeitungen im Einzelnen
3.1 Aufruf dieser Seiten und der Anwendung
Beim Aufruf verarbeiten unsere Hosting- und Datenbank-Dienstleister technisch notwendige Verbindungsdaten — insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser- und Gerätekennung. Ohne diese Daten kann die Seite nicht ausgeliefert werden. Wir selbst legen dabei keine eigenen Besuchsprotokolle an und setzen keine Analyse-, Tracking- oder Werbedienste ein. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb).
3.2 Registrierung eines Betriebs und Missbrauchsabwehr
Für die Registrierung verarbeiten wir Betriebsname, Kürzel, Art des Betriebs, Name und E-Mail-Adresse der registrierenden Person, den Zeitpunkt sowie — falls über einen Empfehlungslink gekommen — den Code des werbenden Partners. Das Passwort speichert unser Anmeldedienst ausschließlich als Hash.
Der Betrieb wird erst angelegt, wenn der Bestätigungslink in der E-Mail geöffnet wird. Nie bestätigte Anfragen löschen wir samt dem angelegten Zugang nach 30 Tagen.
Um Massen-Registrierungen und E-Mail-Belästigung abzuwehren, sind Registrierung, Anmeldung und Passwort-Rücksetzung gedrosselt. Dafür speichern wir für 24 Stunden ausschließlich einen mit einem geheimen Wert gesalzenen Hash der IP-Adresse bzw. der Zieladresse, die Aktion und den Zeitpunkt — nie die Klar-IP und nie die Klaradresse. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) und lit. f (berechtigtes Interesse an der Abwehr von Missbrauch).
3.3 Kundenkonto und Anmeldung
Zur Anmeldung verarbeiten wir E-Mail-Adresse und Passwort-Hash sowie — wenn die Zwei-Faktor-Anmeldung eingerichtet wurde — die dafür nötigen Angaben. Anmelde-Sitzungen werden über Cookies gehalten (Ziffer 4). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
3.4 Vertrag, Abo und Zahlung
Für die Vertragsverwaltung speichern wir bei der Organisation des Kunden: Tarif, Status, Ende der Testphase (30 Tage), bezahlt bis, die Kundennummer und die Abonnement-Nummer bei Stripe sowie einen etwaigen Partner-Code. An Stripe übermitteln wir beim Bezahlvorgang die E-Mail-Adresse der bestellenden Person, die Anzahl der Standorte, Tarif und Intervall sowie die Organisations-Kennung. Karten- und Kontodaten geben Sie unmittelbar bei Stripe ein; sie erreichen unsere Systeme nie. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c (Aufbewahrungs- und Rechnungslegungspflichten).
VOR VERÖFFENTLICHUNG PRÜFEN: Ob Stripe für diese Verarbeitung als Auftragsverarbeiter, als eigener Verantwortlicher oder in Teilbereichen als beides auftritt, ist noch nicht verbindlich geklärt (siehe docs/DSGVO.md Abschnitt 3). Die Einordnung muss vor der Veröffentlichung hier eingetragen werden.
3.5 Partnerprogramm
Von Vertriebspartnern speichern wir Code, Name, E-Mail-Adresse, Provisionssatz, Status und Notizen sowie die Zuordnung geworbener Kunden. Der Empfehlungs-Code aus dem Werbelink wird für 90 Tage im Speicher Ihres Browsers gemerkt (Ziffer 4) und beim Absenden der Registrierung mitgeschickt; er wird bei uns gegen die Partnerliste geprüft. Ist er unbekannt, wird er verworfen. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und lit. c DSGVO.
3.6 E-Mails
Über unseren Versanddienstleister verschicken wir Registrierungs- und Passwort-Mails sowie — auf Veranlassung des jeweiligen Betriebs — Hygiene-Monatsberichte, Bestellmails an Lieferanten und das Steuerberater-Monatspaket. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und lit. f DSGVO; im Auftrag eines Kundenbetriebs handeln wir insoweit als Auftragsverarbeiter. Werbliche Newsletter versenden wir nicht.
3.7 Benachrichtigungen (Push)
Push-Benachrichtigungen sind freiwillig und werden im Profil ausdrücklich eingeschaltet. Dabei wird die vom Browser erzeugte Push-Adresse gespeichert. Sie können die Zustimmung jederzeit im Profil oder in den Browsereinstellungen widerrufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.
3.8 Optionale KI-Erklärhilfe
Auf ausdrücklichen Klick kann sich die Leitung eine bereits berechnete Vorschlagsliste in zwei bis drei Sätzen zusammenfassen lassen. Übermittelt werden dabei Personen-Kürzel (etwa »AB«), Datum und Uhrzeit der offenen Schicht sowie die berechnete Eignung mit kurzer Begründung — keine Namen, keine Kontaktdaten, keine Nachweisdaten und nicht der Grund des Ausfalls. Die Entscheidung selbst trifft immer die Regel-Logik der Anwendung; unplausible Antworten werden verworfen. Weder Anfrage noch Antwort werden bei uns gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Angefragt wird zuerst Groq; nur wenn dieser Dienst nicht antwortet, Google (Gemini) — beide mit Sitz in den USA. Diese Reihenfolge ist bewusst so gewählt: Groq schließt eine Verwendung der Daten zum Training aus und speichert Anfragen nicht dauerhaft, während Google für den kostenlosen Tarif ausweist, dass Eingaben zur Verbesserung eigener Produkte verwendet werden können. Die Funktion bleibt zudem optional: ohne Klick verlässt kein Datensatz die Anwendung, und die Vorschläge stehen auch ohne sie vollständig zur Verfügung.
3.9 Kontaktaufnahme
Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO) und bewahren die Korrespondenz auf, solange dies zur Bearbeitung und zur Erfüllung gesetzlicher Aufbewahrungspflichten nötig ist.
4. Cookies und Speicherung auf Ihrem Endgerät
Wir verwenden keine Cookies zu Werbe- oder Analysezwecken. Gespeichert wird:
| Was | Wozu | Dauer |
|---|---|---|
| Anmelde-Cookies | halten die angemeldete Sitzung aufrecht — ohne sie ist keine Anmeldung möglich | bis zur Abmeldung bzw. bis zum Ablauf der Sitzung |
| Technischer Merker der installierten App | erkennt, dass die Anwendung als installierte App gestartet wurde, damit sie direkt zur Anmeldung führt und nicht auf die Infoseite | ein Jahr; enthält nur einen Ja-Wert ohne Personenbezug |
| Empfehlungs-Code (Browser-Speicher) | merkt einen Partner-Werbelink, damit die Empfehlung auch bei späterer Registrierung zugeordnet wird | 90 Tage |
| Bedienungs-Einstellungen (Browser-Speicher) | Favoriten, Ansichts-Modus und ein lokaler Vormerkzettel bei der Zählung — verbleiben auf dem Gerät | bis zum Löschen der Browserdaten |
VOR VERÖFFENTLICHUNG PRÜFEN: Einwilligungspflicht nach § 165 Abs. 3 TKG 2021 klären: Anmelde-Cookies sind unbedingt erforderlich, der 90-Tage-Merker für den Empfehlungs-Code ist es möglicherweise nicht. Falls eine Einwilligung nötig ist, braucht es dafür einen Hinweis- oder Zustimmungsdialog — dieser Entwurf enthält keinen.
5. Empfänger und Dienstleister
Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen die datenschutzrechtlich gebotenen Verträge abgeschlossen werden. Über die Leistungserbringung hinaus geben wir keine Daten weiter; gesetzliche Auskunftspflichten gegenüber Behörden bleiben unberührt.
| Dienstleister | Wofür | Sitz / Region |
|---|---|---|
| Supabase | Datenbank, Anmeldung (Auth) und Dateiablage (private Buckets für Belege, Nachweise, Profilbilder) | Daten in der EU (Irland, Region eu-west-1); Vertragspartner Supabase Pte. Ltd. mit Sitz in Singapur |
| Vercel | Betrieb und Auslieferung der Anwendung, zeitgesteuerte Läufe (Cron) VOR VERÖFFENTLICHUNG PRÜFEN: Der Vertrag gilt laut Anwendungsbereich nur für Pro- und Enterprise-Pläne. Vor der Öffnung für Kundenbetriebe ist der Wechsel auf Vercel Pro erforderlich. | US-Anbieter (Vercel Inc.); die Ausführung ist auf die EU-Region »dub1« (Dublin) festgelegt |
| Resend | E-Mail-Versand: Registrierungs- und Passwort-Mails, Hygiene-Monatsversand, Bestellmails an Lieferanten, Steuerberater-Monatspaket | US-Anbieter (Plus Five Five, Inc.) |
| Stripe | Zahlungsabwicklung, Abo-Verwaltung, Kundenportal, Rechnungen VOR VERÖFFENTLICHUNG PRÜFEN: Stripe handelt laut Vertrag teils als Auftragsverarbeiter, teils als eigener Verantwortlicher (Betrugserkennung, Compliance, Produktentwicklung). Beides gilt nebeneinander; die formale Zuordnung im Kundenvertrag ist noch einzutragen. | Stripe Payments Europe (Irland), Konzernmutter in den USA |
| Push-Dienste der Browser-Hersteller | Zustellung der Benachrichtigungen, wenn eine Person Push ausdrücklich einschaltet | je nach verwendetem Browser/Betriebssystem |
| Groq (zuerst) bzw. Google/Gemini (nur als Ausweichweg) — bei Nutzung der optionalen KI-Erklärhilfe | formuliert auf ausdrücklichen Klick eine bereits berechnete Vorschlagsliste in zwei bis drei Sätze; die Entscheidung selbst trifft immer die Regel-Logik der App VOR VERÖFFENTLICHUNG PRÜFEN: Erledigt am 08.08.2026: Groq wird zuerst gefragt, der Ausfallgrund wird nicht mehr übertragen, und der Auftragsverarbeitungsvertrag mit Groq gilt bereits (Fassung 15.10.2025, per Verweis Teil des Services Agreement, mit EU-Standardvertragsklauseln). Für Google/Gemini besteht kein solcher Vertrag — der Dienst ist deshalb nur Ausweichweg. Details in docs/DSGVO.md (V10 und Abschnitt 3). | US-Anbieter |
Die Liste gilt zugleich als Verzeichnis der Unterauftragsverarbeiter für Kundenbetriebe; sie ist als Anlage 1 zum Auftragsverarbeitungsvertrag maßgeblich.
6. Übermittlung in Drittländer
Datenbank, Anmeldung und Dateiablage werden in der Europäischen Union betrieben; die Ausführung der Anwendung ist auf eine EU-Region festgelegt. Einzelne Dienstleister sind Unternehmen mit Sitz in den USA oder mit Konzernmutter dort. Soweit dabei Daten in ein Drittland gelangen, stützen wir dies auf die Standardvertragsklauseln der Europäischen Kommission bzw. auf einen Angemessenheitsbeschluss.
VOR VERÖFFENTLICHUNG PRÜFEN: Für jeden Dienstleister ist zu prüfen und zu dokumentieren, worauf die Übermittlung konkret gestützt wird (Angemessenheitsbeschluss oder Standardvertragsklauseln samt Transfer-Folgenabschätzung). Die Verträge sind vor dem Start abzuschließen (offener Punkt in docs/DSGVO.md Abschnitt 3).
7. Speicherdauer
| Daten | Dauer |
|---|---|
| Zeilen der Missbrauchsbremse (nur Hashes) | 24 Stunden |
| nie bestätigte Registrierungs-Anfragen samt Zugang | 30 Tage |
| Kundenkonto und Vertragsdaten | für die Dauer des Vertrags; danach bis zum Ablauf gesetzlicher Aufbewahrungsfristen (Rechnungsbelege sieben Jahre, BAO) |
| Daten eines Kundenbetriebs in der Anwendung | bis der Betrieb sie löscht oder der Vertrag endet (siehe AGB Ziffer 6.4 und Auftragsverarbeitungsvertrag) |
| Partnerdaten | Dauer der Partnerschaft zuzüglich steuerlicher Fristen |
| Push-Abonnements | bis zur Deaktivierung |
VOR VERÖFFENTLICHUNG PRÜFEN: Für die plattformeigenen Protokolle (Abo-Ereignisse, Systemfehler) ist noch keine Löschfrist festgelegt — offener Punkt 9 in docs/DSGVO.md Abschnitt 6.
8. Ihre Rechte
- Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16)
- Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20)
- Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21)
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)
Kundenbetriebe können viele dieser Rechte unmittelbar in der Anwendung ausüben: Daten berichtigen, einen vollständigen Export herunterladen und den gesamten Betrieb löschen. Beschäftigte eines Kundenbetriebs wenden sich bitte an ihren Betrieb (siehe Ziffer 2).
Sie haben zudem das Recht auf Beschwerde bei einer Aufsichtsbehörde. In Österreich ist das die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.
9. Keine automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Planungs- und Auswertungsfunktionen erstellen Vorschläge; die Entscheidung trifft immer ein Mensch im jeweiligen Betrieb.
10. Was wir bewusst nicht verarbeiten
- keine Karten- oder Kontodaten (diese gibt der Kunde direkt bei Stripe ein)
- keine Lohnverrechnung und keine Registrierkassen-Daten
- keine Gäste- oder Endkundendaten der Betriebe
- keine Gesundheitsdaten über den reinen Terminfakt einer Krankmeldung hinaus — keine Diagnosen
- keine Standortverfolgung: beim Stempeln wird nur die Entfernung zum Betrieb geprüft und gespeichert, nie Koordinaten und nie außerhalb des Stempel-Vorgangs
- keine Klar-IP-Adressen in der Missbrauchsbremse, nur gesalzene Hashes
- keine Analyse-, Tracking- oder Werbedienste
11. Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich die Anwendung, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.
Stand: 08.08.2026