Entwurf — noch nicht rechtlich geprüft

Dieser Text wurde nach dem tatsächlichen Stand der Software verfasst und ist eine Arbeitsgrundlage, keine Rechtsberatung. Vor der Veröffentlichung muss er von einer Rechtsanwältin oder einem Rechtsanwalt geprüft und an das Unternehmen angepasst werden. Rot markierte Stellen sind noch auszufüllen, gelb markierte Anmerkungen richten sich an die Prüfung.

25 Angabe(n) fehlen noch

Firmenwortlaut laut Gewerberegister/Firmenbuch, z. B. »Max Mustermann e. U.«
Rechtsform, z. B. »Einzelunternehmen (e. U.)« oder »GmbH«
Name der Inhaberin / des Inhabers bzw. der vertretungsbefugten Person
Straße und Hausnummer der Geschäftsanschrift
Postleitzahl
Ort
E-Mail-Adresse für rechtliche Anfragen (wird öffentlich angezeigt)
Telefonnummer (§ 5 ECG verlangt eine schnelle elektronische Kontaktmöglichkeit)
Adresse, unter der die App erreichbar ist, z. B. »cockpit.example.at«
Unternehmensgegenstand in einem Satz, z. B. »Entwicklung und Betrieb von Software für Gastronomiebetriebe«
UID-Nummer (ATU…) — falls keine vorhanden ist, hier ausdrücklich »keine UID (Kleinunternehmer)« eintragen
Firmenbuchnummer (FN …) — bei nicht eingetragenen Einzelunternehmen »nicht im Firmenbuch eingetragen« eintragen
Firmenbuchgericht — sonst »entfällt«
Wortlaut der Gewerbeberechtigung, z. B. »Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik«
Zuständige Gewerbebehörde (Bezirksverwaltungsbehörde bzw. Magistrat)
Kammerzugehörigkeit: Wirtschaftskammer + Landeskammer + Fachgruppe
Aufsichtsbehörde nach § 5 ECG (in der Regel die Gewerbebehörde)
E-Mail-Adresse für Datenschutz-Anfragen (darf dieselbe wie die Kontakt-Adresse sein)
Kontaktweg, über den Kunden eine Datenschutzverletzung gemeldet bekommen und melden können (Art. 33 DSGVO)
Umsatzsteuer-Angabe zu den Preisen: »zzgl. 20 % USt« ODER »umsatzsteuerbefreit als Kleinunternehmer gemäß § 6 Abs. 1 Z 27 UStG«
Frist in Tagen, nach der Kundendaten nach Vertragsende endgültig gelöscht werden (Vorschlag: 30)
Ankündigungsfrist in Tagen für Preis- oder AGB-Änderungen (Vorschlag: 60)
Frist in Tagen für den Widerspruch gegen einen neuen Unterauftragsverarbeiter (Vorschlag: 30)
Vereinbarter Gerichtsstand, z. B. »das sachlich zuständige Gericht in Wien«
Support-Weg und übliche Erreichbarkeit, z. B. »per E-Mail an support@…, Antwort an Werktagen«

Alle Angaben stehen zentral in lib/rechtstexte.ts.

Vertrag zur Auftragsverarbeitung

Nach Art. 28 Abs. 3 DSGVO. Dieser Vertrag wird zwischen dem Kundenbetrieb und dem Anbieter mit der Registrierung geschlossen und gilt für die gesamte Dauer der Nutzung von Venheim. Stand: 08.08.2026.

Vertragsparteien

Auftraggeber (Verantwortlicher): der Betrieb, der sich in der Anwendung registriert hat. Firma, Anschrift und vertretungsbefugte Person ergeben sich aus den Registrierungsdaten und aus der Verwaltung der Anwendung.

Auftragnehmer (Auftragsverarbeiter): [BITTE AUSFÜLLEN: Firmenwortlaut laut Gewerberegister/Firmenbuch, z. B. »Max Mustermann e. U.«], [BITTE AUSFÜLLEN: Straße und Hausnummer der Geschäftsanschrift], [BITTE AUSFÜLLEN: Postleitzahl] [BITTE AUSFÜLLEN: Ort], Österreich, E-Mail [BITTE AUSFÜLLEN: E-Mail-Adresse für Datenschutz-Anfragen (darf dieselbe wie die Kontakt-Adresse sein)].

VOR VERÖFFENTLICHUNG PRÜFEN: Formerfordernis prüfen: Art. 28 Abs. 9 DSGVO verlangt Textform. Ob der Abschluss über die Registrierung samt Hinweis genügt oder ein gesondert bestätigtes Dokument nötig ist, bitte anwaltlich klären — gegebenenfalls ist bei der Registrierung eine ausdrückliche Bestätigung samt Nachweis (Zeitpunkt, Fassung) zu speichern.

§ 1 Gegenstand, Dauer und Rangfolge

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dies zur Bereitstellung der Anwendung nach den AGB erforderlich ist.

(2) Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags. Der Auftraggeber kann diesen Vertrag jederzeit kündigen, wenn er zugleich den Nutzungsvertrag beendet.

(3) Bei Widersprüchen gehen die Regelungen dieses Vertrags den AGB vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Bereitstellung und Betrieb einer Betriebs-Software für Dienstplanung, Arbeitszeitaufzeichnung, Hygiene- und Instandhaltungs-Dokumentation, Warenwirtschaft mit Beleg-Ablage, interne Kommunikation, Ausbildung und Auswertung.

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an vom Auftraggeber bestimmte Empfänger (zum Beispiel Lieferanten oder die Steuerberatung), Einschränken, Löschen und Vernichten.

(3) Kategorien betroffener Personen: Beschäftigte des Kundenbetriebs (einschließlich Aushilfen, Reinigungs- und Hausmeister-Positionen), Gast-Zugänge sowie Ansprechpersonen von Lieferanten des Kundenbetriebs.

(4) Arten personenbezogener Daten:

Bereich	Daten
Personal- und Dienstplanung	Name, Kürzel, E-Mail, Telefon, Rolle/Position, Wochenstunden, Eintrittsdatum, geplante Dienste, Abwesenheiten (Urlaub, Zeitausgleich, Krankmeldung als reiner Terminfakt ohne Diagnose), Verfügbarkeiten, Stunden- und Urlaubssalden, freiwilliges Profilfoto
Arbeitszeitaufzeichnung (§ 26 AZG)	Stempel-Ereignisse mit Server-Zeitpunkt, Entfernung zum Betrieb in Metern samt Messgenauigkeit (keine Koordinaten), Korrektur- und Storno-Vermerke mit Begründung und bearbeitender Leitung
Hygiene- und Sicherheitsnachweise	Name und Zeitpunkt der erfassenden bzw. unterwiesenen Person, Messwerte, Maßnahmentexte, Schulungsnachweise
Warenwirtschaft und Belege	Buchungen mit Person und Zeitpunkt, Lieferanten-Stammdaten (Firma, E-Mail, Telefon), Beleg-Fotos und -Dateien
Interne Kommunikation und Ausbildung	Chat-Nachrichten zwischen Beteiligten, Lern-Antworten, Punktestände, Duell-Ergebnisse, Verkaufszählungen mit Person
Protokollierung	Änderungsprotokoll mit Person, Zeitpunkt und Vorher-/Nachher-Werten; freiwillige Push-Abonnements

(5) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Krankmeldungen werden ausschließlich als Terminfakt ohne Diagnose erfasst. Der Auftraggeber trägt dafür Sorge, dass sein Team keine Gesundheits- oder sonstigen besonderen Daten in Freitextfeldern erfasst.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag, die AGB sowie die Nutzung der Funktionen der Anwendung durch den Auftraggeber und die von ihm berechtigten Personen.

(2) Einzelweisungen erteilt der Auftraggeber in Textform an die in der Präambel genannte Adresse. Weisungsberechtigt sind der Inhaber sowie die von ihm dazu benannten Personen.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit; er darf die Ausführung bis zur Klärung aussetzen (Art. 28 Abs. 3 UAbs. 2 DSGVO).

(4) Verarbeitet der Auftragnehmer Daten für eigene Zwecke — insbesondere Vertrags- und Abrechnungsdaten des Auftraggebers —, handelt er insoweit als eigener Verantwortlicher; dafür gilt die Datenschutzerklärung.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Vorgaben vertraut sind (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).

(2) Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht.

(2) Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert der Auftragnehmer und teilt sie auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 1 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

(2) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht, und bleibt dem Auftraggeber gegenüber verantwortlich.

(3) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder zu wechseln, teilt er dies dem Auftraggeber mindestens [BITTE AUSFÜLLEN: Frist in Tagen für den Widerspruch gegen einen neuen Unterauftragsverarbeiter (Vorschlag: 30)] Tage vorher in Textform mit. Der Auftraggeber kann aus wichtigem, datenschutzbezogenem Grund innerhalb dieser Frist widersprechen; in diesem Fall sucht der Auftragnehmer eine Lösung oder der Auftraggeber kann den Nutzungsvertrag zum Zeitpunkt der Umstellung außerordentlich kündigen.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne Zugriff auf Auftragsdaten.

§ 7 Unterstützung bei Betroffenenrechten

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu erfüllen.

(2) Ein wesentlicher Teil davon ist bereits in der Anwendung umgesetzt: Der Auftraggeber kann Personendaten selbst berichtigen und deaktivieren, sich einen vollständigen Export seines Betriebs herunterladen und seinen Betrieb vollständig löschen.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, verweist er sie an den Auftraggeber und informiert diesen unverzüglich.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die dessen Auftragsdaten betrifft, unverzüglich (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung erfolgt an die im Kundenkonto hinterlegte Adresse des Inhabers und enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Anzahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.

(3) Meldungen des Auftraggebers an den Auftragnehmer richtet dieser an: [BITTE AUSFÜLLEN: Kontaktweg, über den Kunden eine Datenschutzverletzung gemeldet bekommen und melden können (Art. 33 DSGVO)].

(4) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Meldungen an die Aufsichtsbehörde und Benachrichtigungen der betroffenen Personen.

§ 9 Nachweise und Überprüfungen

(1) Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage nach — insbesondere durch Auskunft, durch die jeweils gültige Fassung der Anlage 2 und durch Bereitstellung der Nachweise seiner Unterauftragsverarbeiter, soweit ihm diese vorliegen.

(2) Reichen diese Nachweise nicht aus, kann der Auftraggeber nach angemessener Vorankündigung während der üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Der Auftragnehmer kann den durch umfangreiche Prüfungen entstehenden Aufwand angemessen in Rechnung stellen.

VOR VERÖFFENTLICHUNG PRÜFEN: Zertifizierungen oder Prüfberichte nach anerkannten Standards liegen nicht vor und werden hier bewusst nicht behauptet. Sollen sie zugesagt werden, ist dieser Paragraf anzupassen.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Nutzungsvertrags gibt der Auftragnehmer die Auftragsdaten nach Wahl des Auftraggebers zurück oder löscht sie (Art. 28 Abs. 3 lit. g DSGVO).

(2) Die Rückgabe erfolgt über die Exportfunktion der Anwendung: ein vollständiges Paket mit allen Datenbank-Inhalten des Betriebs als CSV je Bereich sowie allen hinterlegten Dateien (Belege, Nachweise, Profilbilder). Der Auftraggeber kann den Export jederzeit selbst auslösen, auch bei abgelaufenem Abo.

(3) Die Löschung kann der Auftraggeber jederzeit selbst auslösen; sie erfasst den gesamten Betrieb einschließlich der Zugänge und ist nicht umkehrbar. Löst er sie nicht selbst aus, löscht der Auftragnehmer die Daten [BITTE AUSFÜLLEN: Frist in Tagen, nach der Kundendaten nach Vertragsende endgültig gelöscht werden (Vorschlag: 30)] Tage nach Vertragsende.

(4) Verschlüsselte Sicherungskopien werden im Zuge der laufenden Rotation überschrieben; sie werden nicht wiederhergestellt, außer im Notfall zur Wiederherstellung des Betriebs.

Aufbewahrungspflichten bleiben beim Auftraggeber

Arbeitszeitaufzeichnungen (§ 26 AZG), Hygiene-Nachweise (LMSVG) und Belege (BAO) muss der Auftraggeber selbst aufbewahren. Innerhalb der Anwendung werden Nachweise deshalb nie gelöscht, sondern nur storniert oder korrigiert. Löscht der Auftraggeber seinen Betrieb, werden diese Daten beim Auftragnehmer jedoch vollständig entfernt — die Aufbewahrung erfüllt der Auftraggeber dann mit dem zuvor gezogenen Export. Deshalb steht der Export im Ablauf vor der Löschung und muss ausdrücklich bestätigt werden.

§ 11 Drittlandbezug

Eine Verarbeitung außerhalb der EU beziehungsweise des EWR findet nur nach Maßgabe der Anlage 1 und nur bei Vorliegen der Voraussetzungen des Kapitels V der DSGVO statt.

§ 12 Schlussbestimmungen

Änderungen bedürfen der Textform. Der Auftragnehmer kann die Anlagen fortschreiben, wenn sich die technischen Verhältnisse ändern; § 6 Abs. 3 bleibt unberührt.
Es gilt österreichisches Recht; im Übrigen gelten die Schlussbestimmungen der AGB.
Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Unterauftragsverarbeiter

Stand: 08.08.2026. Änderungen werden nach § 6 Abs. 3 mitgeteilt.

Dienstleister	Zweck	Verarbeitete Daten	Sitz / Region	Vertragsgrundlage
Supabase	Datenbank, Anmeldung (Auth) und Dateiablage (private Buckets für Belege, Nachweise, Profilbilder)	sämtliche in der App erfassten Daten des Kundenbetriebs	Daten in der EU (Irland, Region eu-west-1); Vertragspartner Supabase Pte. Ltd. mit Sitz in Singapur	Auftragsverarbeitungsvertrag Version 1 vom 01.08.2026, Bestandteil der Nutzungsbedingungen; EU-Standardvertragsklauseln enthalten
Vercel	Betrieb und Auslieferung der Anwendung, zeitgesteuerte Läufe (Cron)	Verbindungsdaten beim Aufruf sowie alle Daten, die während einer Anfrage verarbeitet werden	US-Anbieter (Vercel Inc.); die Ausführung ist auf die EU-Region »dub1« (Dublin) festgelegt	Auftragsverarbeitungsvertrag vom 17.03.2026 (wirksam 31.03.2026); EU-Standardvertragsklauseln und UK-Zusatz enthalten VOR VERÖFFENTLICHUNG PRÜFEN: Der Vertrag gilt laut Anwendungsbereich nur für Pro- und Enterprise-Pläne. Vor der Öffnung für Kundenbetriebe ist der Wechsel auf Vercel Pro erforderlich.
Resend	E-Mail-Versand: Registrierungs- und Passwort-Mails, Hygiene-Monatsversand, Bestellmails an Lieferanten, Steuerberater-Monatspaket	E-Mail-Adresse, Absender-/Empfängerangaben und der jeweilige Anhang bzw. Nachrichtentext	US-Anbieter (Plus Five Five, Inc.)	Auftragsverarbeitungsvertrag vom 31.12.2025, bindend mit dem Vertragsschluss; EU-Standardvertragsklauseln enthalten
Stripe	Zahlungsabwicklung, Abo-Verwaltung, Kundenportal, Rechnungen	E-Mail der bestellenden Person, Anzahl der Standorte, Tarif/Intervall, Organisations-Kennung; Zahlungsdaten gibt der Kunde direkt bei Stripe ein	Stripe Payments Europe (Irland), Konzernmutter in den USA	Auftragsverarbeitungsvertrag vom 18.11.2025, Bestandteil des Services Agreement; Drittlandtransfer über das Data Transfers Addendum mit EU-Standardvertragsklauseln VOR VERÖFFENTLICHUNG PRÜFEN: Stripe handelt laut Vertrag teils als Auftragsverarbeiter, teils als eigener Verantwortlicher (Betrugserkennung, Compliance, Produktentwicklung). Beides gilt nebeneinander; die formale Zuordnung im Kundenvertrag ist noch einzutragen.
Push-Dienste der Browser-Hersteller	Zustellung der Benachrichtigungen, wenn eine Person Push ausdrücklich einschaltet	die vom Browser erzeugte Push-Adresse und der Benachrichtigungstext	je nach verwendetem Browser/Betriebssystem	—
Groq (zuerst) bzw. Google/Gemini (nur als Ausweichweg) — bei Nutzung der optionalen KI-Erklärhilfe	formuliert auf ausdrücklichen Klick eine bereits berechnete Vorschlagsliste in zwei bis drei Sätze; die Entscheidung selbst trifft immer die Regel-Logik der App	Personen-KÜRZEL (z. B. »AB«) und berechnete Angaben: Datum und Uhrzeit der offenen Schicht, Eignungsstufe und kurze Begründungen — keine Namen, keine Kontaktdaten, keine Nachweisdaten und NICHT der Grund des Ausfalls (lib/ki-prompt.ts)	US-Anbieter	Groq: Auftragsverarbeitungsvertrag vom 15.10.2025, per Verweis Teil des Services Agreement, mit EU-Standardvertragsklauseln. Google/Gemini: kein Auftragsverarbeitungsvertrag. VOR VERÖFFENTLICHUNG PRÜFEN: Erledigt am 08.08.2026: Groq wird zuerst gefragt, der Ausfallgrund wird nicht mehr übertragen, und der Auftragsverarbeitungsvertrag mit Groq gilt bereits (Fassung 15.10.2025, per Verweis Teil des Services Agreement, mit EU-Standardvertragsklauseln). Für Google/Gemini besteht kein solcher Vertrag — der Dienst ist deshalb nur Ausweichweg. Details in docs/DSGVO.md (V10 und Abschnitt 3).

Mit allen genannten Dienstleistern besteht ein Auftragsverarbeitungsvertrag; er ist jeweils Bestandteil der Nutzungsbedingungen und wird mit dem Vertragsschluss bindend. Für Übermittlungen in Drittländer sind die Standardvertragsklauseln der Europäischen Kommission vereinbart. Die Angaben wurden am 08.08.2026 anhand der veröffentlichten Vertragstexte geprüft.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Beschrieben ist der tatsächliche Stand der Anwendung. Es werden keine Zertifizierungen behauptet und keine bestimmte Verfügbarkeit zugesagt.

Zugangskontrolle (wer darf sich anmelden)

Eigener Zugang je Person mit E-Mail und Passwort; Passwörter werden ausschließlich als Hash beim Anmeldedienst gespeichert, nie im Klartext.
Mindestlänge 8 Zeichen; nach einem Passwortwechsel werden alle anderen Sitzungen abgemeldet.
Zwei-Faktor-Anmeldung (TOTP) für Leitungs-Zugänge — durchgesetzt in der Datenbank selbst, nicht nur in der Oberfläche: ohne zweiten Faktor gibt die Datenbank auch bei direktem Zugriff nichts heraus.
Anmeldung, Registrierung und Passwort-Rücksetzung sind gedrosselt (je Adresse und je Herkunft, atomar über eine Datenbanksperre); gespeichert wird dabei nur ein gesalzener Hash, nie die Klar-IP-Adresse.

Zugriffskontrolle und Mandantentrennung (wer sieht was)

Row-Level-Security auf allen Tabellen: die Berechtigung hängt an der Datenbank, nicht an der Oberfläche.
Rollenmodell (Inhaber, Leitung, Stellvertretung, Team, Reinigung, Hausmeister, Gast); Geschäftsdaten wie Einstellungen, Lieferanten, Belege und Preise sind auf die Leitung beschränkt.
Strikte Trennung je Standort — auch zwischen Standorten desselben Betriebs.
Eigene Mandanten-Ebene »Organisation«: jede Zeile hängt an einer Organisation, ein Wechsel der Zugehörigkeit wird durch einen Datenbank-Trigger verhindert. Zwölf feste Prüfungen fahren bei jedem Testlauf Angriffe aus einer fremden Organisation gegen die eigene.
Auswertungen laufen über Sichten mit Rechteprüfung des aufrufenden Kontos; Zugriffe mit erweiterten Rechten filtern immer ausdrücklich auf den jeweiligen Standort.

Weitergabe- und Speicherkontrolle (Verschlüsselung)

Übertragung ausschließlich über HTTPS/TLS.
Dateiablagen (Belege, Nachweise, Profilbilder) sind privat: der Zugriff läuft nur über kurzlebige signierte Links, nicht über öffentliche Adressen.
Zugangsschlüssel und Geheimnisse liegen ausschließlich in serverseitigen Umgebungsvariablen, nie im Browser.
Sicherungskopien werden mit AES-256-GCM verschlüsselt abgelegt.
Datenminimierung: keine Diagnosen bei Krankmeldungen, kein Geburtsdatum und keine Privatanschrift, Profilfoto freiwillig, beim Stempeln nur die Entfernung zum Betrieb statt Koordinaten, bei der Missbrauchsbremse nur Hashes.

Eingabekontrolle und Nachvollziehbarkeit

Änderungsprotokoll (Audit) mit Vorher-/Nachher-Werten für nachweisrelevante Änderungen, samt Person und Zeitpunkt.
Nachweisdaten (Hygiene, Haltbarkeit, Zählungen, Belege, Arbeitszeit-Stempel) werden nicht gelöscht, sondern nur korrigiert oder storniert — jeweils mit Pflicht-Begründung.
Arbeitszeit-Stempel sind nur anfügbar: die ursprünglichen Werte sind durch einen Datenbank-Trigger unveränderlich, Korrekturen entstehen als eigener Vermerk.
Vier-Augen-Prinzip: Bestands-Buchungen und Zählungen des Teams wirken erst nach Freigabe durch die Leitung (im Datenbank-Trigger erzwungen).
Unbehandelte Serverfehler werden protokolliert.

Verfügbarkeit und Belastbarkeit

Tägliches Voll-Backup von Datenbank und Dateiablage über einen automatisierten Lauf, mit Rotation (14 Stände lokal, 30 Stände in der ausgelagerten Kopie).
Monatliche Wiederherstellungs-Probe: eine Sicherung wird testweise eingespielt, das Ergebnis wird protokolliert.
Zeitgesteuerte Aufgaben laufen je Standort getrennt mit Wiederholungs-Schutz, damit ein einzelner Fehler die Nachweiskette nicht abreißen lässt.
Jeder Kundenbetrieb kann seine Daten jederzeit selbst als vollständiges Paket exportieren (Datenbank-Inhalte als CSV plus alle Dateien) und ist damit nicht auf eine Wiederherstellung durch uns angewiesen.

VOR VERÖFFENTLICHUNG PRÜFEN: Die ausgelagerte Sicherungskopie ist erst betriebsbereit, wenn der Off-Site-Speicher eingerichtet ist (offener Betriebspunkt in docs/DSGVO.md Abschnitt 4). Bis dahin darf die Rotation »30 Stände ausgelagert« nicht behauptet werden.

Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d)

Automatisierte Prüfläufe vor jeder Veröffentlichung — darunter Sicherheits-Prüfungen, die unter simulierten Identitäten mit Rollback gegen die echte Datenbank laufen und unerlaubte Zugriffe gezielt versuchen.
Eigene Prüfungen für die Mandantentrennung und für die Frage, ob Nachweis- und Exportfunktionen trotz abgelaufenem Abo erreichbar bleiben.
Jede neue Tabelle muss die Sperren für Gast-Zugänge und Zwei-Faktor-Pflicht mitbringen; ein Katalog-Wächter schlägt an, wenn eine fehlt.

Löschung und Rückgabe

Der Inhaber eines Betriebs kann auf der Tarifseite jederzeit einen vollständigen Export ziehen und den gesamten Betrieb löschen; die Löschung läuft in einem Zug in der Datenbank und lässt keine Reste zurück.
Ausgeschiedene Personen werden zunächst deaktiviert; endgültig gelöscht werden sie nur, wenn in den geprüften Nachweis-Tabellen nichts mehr an ihnen hängt — sonst gehen gesetzliche Aufbewahrungspflichten vor.
Nie bestätigte Registrierungs-Anfragen werden nach 30 Tagen samt zugehörigem Zugang entfernt; die Zeilen der Missbrauchsbremse nach 24 Stunden.

Stand: 08.08.2026 · Anlagen und Stammdaten werden zentral gepflegt (lib/rechtstexte.ts).