Datenschutzerklärung

Diese Plattform ist ein internes Werkzeug zur Mitarbeiter- und Betriebsverwaltung. Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten ist Ihr Arbeitgeber; der technische Betrieb erfolgt durch die DynaQ Solutions GmbH als Auftragsverarbeiter. Betroffen sind in erster Linie Beschäftigte. Soweit über öffentliche Formulare (z. B. Veranstaltungsanmeldung, Tischreservierung) auch Daten von Gästen oder Kund:innen verarbeitet werden, gelten ergänzend die Hinweise auf den jeweiligen öffentlichen Seiten.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
Hafnerbar GmbH & Co KG
Zur Autobahn 9
3250 Wieselburg/Erlauf
Österreich
Firmenbuchnummer: FN 585201 s, Landesgericht St. Pölten
UID-Nummer: ATU78592667
Telefon: +43 7416 / 20580
E-Mail: office@hafnerhotel.at

2. Datenschutzbeauftragter

Es wurde kein Datenschutzbeauftragter bestellt, da hierfür keine gesetzliche Verpflichtung besteht. Bei Fragen zum Datenschutz wenden Sie sich bitte an den oben genannten Verantwortlichen.

3. Auftragsverarbeiter und technischer Betrieb

Die Software wird im Auftrag des Verantwortlichen von der DynaQ Solutions GmbH, Schwefel 87, 6850 Dornbirn, Österreich betrieben. DynaQ verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

Das Hosting erfolgt bei der Hetzner Online GmbH; die Server stehen in einem Rechenzentrum innerhalb der Europäischen Union. Mit dem Hosting-Dienstleister besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

4. Eingesetzte Drittdienste

Zur Erbringung einzelner Funktionen werden folgende externe Dienstleister eingesetzt, die in unserem Auftrag (Art. 28 DSGVO) tätig werden:

Soweit personenbezogene Daten an Dienstleister mit Sitz in den USA übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien – insbesondere der EU-Standardvertragsklauseln (Art. 46 DSGVO) bzw. des EU-US Data Privacy Framework, sofern der jeweilige Anbieter zertifiziert ist.

5. Welche Daten wir verarbeiten

• Stammdaten (Name, dienstliche Kontaktdaten, Personalnummer, Abteilung, Funktion/Rolle)
• Vertrags- und Beschäftigungsdaten (Beschäftigungsart, Arbeitszeitmodell, Wochenstunden, Vertragszeitraum)
• Dienst- und Schichtplandaten
• Arbeitszeit- und Zeiterfassungsdaten (Kommt-/Geht-Zeiten, Pausen)
• Abwesenheits- und Urlaubsdaten (inkl. Krankenstand – siehe Punkt 6)
• Lohn- und Kostendaten (z. B. Stundensatz, Lohngruppe) – nur für berechtigte Personen sichtbar
• Qualifikationen und Tätigkeitsmerkmale
• Zugangstoken der Zeiterfassung (NFC-Kartennummer)
• Inhalte interner Kommunikation und Wissensbeiträge
• KI-Chatverläufe und zugehörige Nutzungsmetadaten
• Feedback- und Fehlermeldungen inkl. ggf. übermittelter Screenshots
• Technische Protokolldaten (z. B. Anmeldezeitpunkt, IP-Adresse) zur Sicherstellung und Absicherung des Betriebs

6. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Im Rahmen der Abwesenheitsverwaltung werden Krankenstände sowie hochgeladene Arbeitsunfähigkeitsbescheinigungen (Krankmeldungen) verarbeitet. Dabei handelt es sich um Gesundheitsdaten im Sinne des Art. 9 DSGVO. Die Verarbeitung erfolgt ausschließlich zur Erfüllung arbeits- und sozialrechtlicher Pflichten (Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 4 Abs. 3 DSG). Der Zugriff ist auf die Personalverwaltung beschränkt; die Dokumente werden gemeinsam mit dem zugehörigen Abwesenheitseintrag gelöscht.

Stimmungs- und Mitarbeiterbefragungen (z. B. WHO-5, COPSOQ) werden ausschließlich anonymisiert und aggregiert ausgewertet. Eine Zuordnung einzelner Antworten zu einer bestimmten Person ist technisch nicht vorgesehen; die Antworten werden ohne Personenbezug gespeichert.

Die NFC-/Kartenfunktion der Zeiterfassung verwendet ausschließlich eine Kartennummer als Zugangstoken. Biometrische Daten werden nicht verarbeitet.

7. KI-gestützte Funktionen

Die Plattform bietet KI-gestützte Funktionen (Chat-Assistent, Automatisierung, optional Sprachsteuerung). Hierfür werden Ihre Eingaben sowie relevante Kontextdaten an den KI-Dienstleister (Anthropic, USA – siehe Punkt 4) übermittelt. Der KI-Zugriff ist technisch von besonders sensiblen Daten (Gesundheits- und Befragungsdaten, Lohn- und Zugangsdaten) ausgeschlossen. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung findet nicht statt (siehe Punkt 12). Sprachfunktionen werden nur verarbeitet, sofern aktiviert.

8. Cookies und lokale Speicherung

Die Plattform setzt ausschließlich technisch notwendige Cookies (Sitzungs-Cookie für die Anmeldung, Zeitzonen-Cookie, Cookie zur Unternehmensauswahl). Zusätzlich werden im lokalen Speicher (localStorage) Ihres Browsers Ihre Anzeigeeinstellungen gespeichert (Sprache, helles/dunkles Design). Es werden keine Tracking-, Analyse- oder Werbe-Cookies und keine Drittanbieter-Dienste zu Analysezwecken eingesetzt. Für technisch notwendige Cookies ist keine Einwilligung erforderlich (§ 165 Abs. 3 TKG 2021).

9. Zwecke und Rechtsgrundlagen

• Durchführung des Beschäftigungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO; § 11 DSG)
• Erfüllung rechtlicher Verpflichtungen, insbesondere Arbeitszeitaufzeichnung (Art. 6 Abs. 1 lit. c DSGVO)
• Verarbeitung von Gesundheitsdaten im Beschäftigungskontext (Art. 9 Abs. 2 lit. b DSGVO; siehe Punkt 6)
• Wahrung berechtigter Interessen am sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO)
• Einwilligung, soweit gesondert erteilt (Art. 6 Abs. 1 lit. a DSGVO)

10. Empfänger der Daten

Zugriff auf die Daten haben befugte Mitarbeiter:innen des Verantwortlichen sowie die unter den Punkten 3 und 4 genannten Auftragsverarbeiter im Rahmen ihrer Leistungserbringung. Eine Weitergabe an Dritte zu deren eigenen Zwecken erfolgt nicht.

11. Speicherdauer

• Stamm- und Beschäftigungsdaten: für die Dauer des Beschäftigungsverhältnisses sowie anschließend im Rahmen gesetzlicher Aufbewahrungsfristen (z. B. 7 Jahre nach § 132 BAO für lohn- und abgabenrelevante Unterlagen).
• Technische Protokoll- und Fehlerdaten: in der Regel 30 bis 90 Tage.
• KI-Chatverläufe: in der Regel rund 90 Tage.
• Feedback-Daten: personenbezogene Angaben werden nach spätestens 90 Tagen entfernt; anonymisierte Auswertungen können verbleiben.
• Anmelde- bzw. IP-Daten der Missbrauchserkennung: nur wenige Minuten (Sperrfenster), danach automatische Löschung.

Darüber hinaus werden Daten gelöscht oder anonymisiert, sobald der Zweck entfällt und keine Aufbewahrungspflicht entgegensteht.

12. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch. Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt. Wenden Sie sich zur Ausübung Ihrer Rechte an den oben genannten Verantwortlichen. Darüber hinaus haben Sie das Recht auf Beschwerde bei der Aufsichtsbehörde:

Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.

Stand: Juni 2026