Datenschutzerklärung der Plattform intarim

Stand: 5. September 2026

Diese Datenschutzerklärung gilt für die Plattform app.intarim.com. Für die Website www.intarim.com gilt eine eigene Datenschutzerklärung.

1. Verantwortliche und Geltungsbereich

1.1 Verantwortliche im Sinne des Art 4 Z 7 DSGVO für die auf der Plattform intarim (app.intarim.com, im Folgenden „Plattform“) beschriebenen Verarbeitungen ist die intarim GmbH (im Folgenden „intarim“, „wir“). Ein Datenschutzbeauftragter ist nicht bestellt.

1.2 Diese Datenschutzerklärung gilt für die Nutzung der Plattform einschließlich der zugehörigen Progressive Web App, für das mit der Registrierung begründete Nutzungsverhältnis sowie für das ohne Registrierung erreichbare Meldeformular nach dem Digital Services Act (Punkt 3.13).

1.3 Die Plattform richtet sich ausschließlich an Unternehmen (Einsatzbetriebe, im Folgenden „EB“, und Arbeitskräfteüberlasser, im Folgenden „AKÜ“). Personenbezogene Daten verarbeiten wir dabei vor allem von den Ansprechpersonen und Mitarbeitern dieser Unternehmen (Mitarbeiter-Logins) sowie von Personen, die das DSA-Meldeformular nutzen. Angaben zu Unternehmen als solchen (etwa Firmenwortlaut oder UID juristischer Personen) sind nur insoweit erfasst, als sie sich auf identifizierbare natürliche Personen beziehen (etwa bei eingetragenen Unternehmern).

1.4 intarim und die Nutzer sind hinsichtlich der jeweils zu eigenen Zwecken verarbeiteten Daten eigenständige Verantwortliche. Wie ein Nutzer die ihm über die Plattform zugänglich gemachten Daten (insbesondere die bei Annahme freigegebenen Kontaktdaten der Gegenseite) weiterverarbeitet, liegt in seiner eigenen datenschutzrechtlichen Verantwortung.

1.5 Arbeitskräfteprofile werden über die Plattform ausschließlich in anonymisierter Form übermittelt (keine Namen, Lichtbilder, Kontaktdaten oder sonstige unmittelbar identifizierende Angaben). Personenbezogene Daten überlassener Arbeitskräfte werden — außerhalb solcher anonymisierter Profile — nicht über die Plattform verarbeitet; ihre Übermittlung erfolgt unmittelbar zwischen AKÜ und EB außerhalb der Plattform.

1.6 Die Vormerkung für den Start wird auf www.intarim.com erhoben und ist in der Datenschutzerklärung der Website beschrieben.

2. Grundsätze

2.1 Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb der Plattform, die Durchführung des Nutzungsverhältnisses oder die Erfüllung gesetzlicher Pflichten erforderlich ist (Art 5 DSGVO, Datenminimierung).

2.2 Rechtsgrundlagen sind je nach Verarbeitung Art 6 Abs 1 lit a DSGVO (Einwilligung), Art 6 Abs 1 lit b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen), Art 6 Abs 1 lit c DSGVO (rechtliche Verpflichtung) und Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse). Soweit wir uns auf berechtigte Interessen stützen, sind diese bei der jeweiligen Verarbeitung benannt; Betroffene können der Verarbeitung nach Art 21 DSGVO widersprechen (Punkt 7).

2.3 Eine automatisierte Entscheidungsfindung im Sinne des Art 22 DSGVO findet nicht statt. Aggregierte Bewertungswerte (Scores) sind rechnerische Zusammenfassungen abgegebener Bewertungen über Unternehmen; sie entfalten keine automatisierte Rechtswirkung gegenüber natürlichen Personen.

3. Verarbeitungen im Einzelnen

3.1 Registrierung und Benutzerkonto

Daten

Unternehmensdaten (Firmenwortlaut, Rechtsform, Geschäftsanschrift, UID, Branche (nur bei Einsatzbetrieben), Rolle EB oder AKÜ), Daten der Ansprechpersonen und Mitarbeiter-Logins (Name, E-Mail-Adresse, Telefon/Mobil, Funktion als Unternehmens-Admin oder Mitarbeiter), Passwort (nur als kryptographischer Hash gespeichert), Zeitpunkte von Registrierung, E-Mail-Bestätigung und Logins.

Zwecke

Einrichtung und Verwaltung des Benutzerkontos, Authentifizierung, E-Mail-Bestätigung, Verwaltung der Mitarbeiter-Logins durch das Admin-Konto, Sicherstellung der Rollenbindung (ein Unternehmen ist entweder EB oder AKÜ).

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO (Nutzungsverhältnis); hinsichtlich der Daten von Mitarbeitern, die nicht selbst Vertragspartei sind, Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse an der Verwaltung unternehmensbezogener Zugänge).

Speicherdauer

Bis zur Löschung des Benutzerkontos, längstens 30 Tage nach Beendigung des Nutzungsverhältnisses; gesetzliche Aufbewahrungspflichten bleiben unberührt (Punkt 5).

3.2 Personalanfragen und Angebote

Daten

Inhalte von Personalanfragen (Positionen, Gewerk, Qualifikation, Stundenumfang, Einsatzzeitraum, Einsatzort, Zusatzangaben) und Angeboten (Stundensatz, abgedeckte Positionen, Anzahl, Zeitraum, Gültig-bis-Datum, optionale anonymisierte Arbeitskräfteprofile), Zuordnung zum erstellenden Mitarbeiter-Login, Zeitstempel und Statusverläufe.

Zwecke

Betrieb der Vermittlungsfunktion (Einstellen, Anzeigen, Filtern von Personalanfragen; Abgabe, Verwaltung und Verfall von Angeboten), Wahrung der Anonymität bis zur Annahme (vor der Annahme sieht die Gegenseite nur die Gemeinde des Einsatzorts, Inhalte, Verifizierungsmerkmal und aggregierte Bewertungswerte — keine Firmen- oder Kontaktdaten).

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO; hinsichtlich der Zuordnung zu Mitarbeiter-Logins Art 6 Abs 1 lit f DSGVO (Nachvollziehbarkeit unternehmensinternen Handelns).

Speicherdauer

Für die Dauer des Kontobestands; auftrags- und rechnungsbezogene Daten gemäß Punkt 5.

3.3 Annahme und Kontaktfreigabe

Daten

Annahmeerklärung (annehmender Mitarbeiter, Zeitpunkt, angenommener Umfang), die mit der Annahme gegenseitig und sofort freigegebenen Kontaktdaten beider Unternehmen (Firmenwortlaut, Anschrift, Ansprechpersonen, E-Mail, Telefon).

Zwecke

Zustandekommen und Dokumentation des Auftrags; Herstellung des direkten Kontakts zwischen EB und AKÜ zur Abwicklung des Überlassungsvertrags.

Rechtsgrundlage der Offenlegung

Die Freigabe der Kontaktdaten an die jeweilige Gegenseite beruht auf Art 6 Abs 1 lit b DSGVO — sie ist die vertragscharakteristische Leistung des Nutzungsverhältnisses und in den AGB beider Rollen ausdrücklich verankert (AKÜ-AGB Punkt 8.4 und 15.3; EB-AGB Punkt 8.4 und 14.3); hinsichtlich der Daten von Ansprechpersonen, die nicht selbst Vertragspartei sind, zusätzlich Art 6 Abs 1 lit f DSGVO (überwiegendes berechtigtes Interesse beider Unternehmen an der Vertragsabwicklung). Vor der Annahme werden keine Kontaktdaten offengelegt.

Speicherdauer

Auftragsdaten für die Dauer des Kontobestands, rechnungsbegründende Bestandteile gemäß Punkt 5.

3.4 Rechnungs- und Mahnwesen

Daten

Rechnungs- und Gutschriftdaten (Rechnungsnummer, Beträge, Leistungs- und Ausstellungsdatum, Zahlungsstatus, Mahnstufen), Rechnungs-PDFs, Empfängerdaten des rechnungsempfangenden Unternehmens und seiner Ansprechpersonen.

Zwecke

Automatisierte Rechnungslegung und Mahnläufe im Zusammenhang mit über die Plattform zustande gekommenen Aufträgen, Erfüllung abgaben- und unternehmensrechtlicher Pflichten. Der Versand erfolgt von rechnung@intarim.com.

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO; Art 6 Abs 1 lit c DSGVO in Verbindung mit den abgabenrechtlichen Aufbewahrungs- und Rechnungslegungspflichten (§§ 131 f BAO, § 11 UStG, § 190 UGB).

Speicherdauer

7 Jahre gemäß § 132 BAO ab Ende des jeweiligen Kalenderjahres; diese Daten bleiben auch bei Kontolöschung erhalten.

3.5 Verifizierungsnachweise (freiwillige Verifizierung)

Daten

Hochgeladene Nachweisdokumente (rollenbezogen: Gewerbeberechtigung, bei AKÜ zusätzlich die Berechtigung zur Arbeitskräfteüberlassung) samt der darin enthaltenen personenbezogenen Daten; Metadaten des Vorgangs (Dokumentart, Upload-Zeitpunkt, Entscheidung, Entscheidungszeitpunkt, prüfende Person).

Zwecke

Manuelle Prüfung für das freiwillige Vertrauensmerkmal („intarim-verifiziert“). Die Verifizierung schaltet keine Funktionen frei.

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO (vom Nutzer angestoßener Vorgang innerhalb des Nutzungsverhältnisses).

Speicherdauer

Die Dokumente werden 3 Monate nach der Verifizierungsentscheidung endgültig gelöscht; nicht abgeschlossene oder verwaiste Uploads 6 Monate nach dem Upload. Dauerhaft — für die Dauer des Kontobestands — verbleiben nur die Metadaten. Jede Löschung wird protokolliert. Eine erneute Verifizierung erfordert einen erneuten Upload.

3.6 Bewertungen und Moderation

Daten

Bewertungsinhalte (Sterne, Dimensionen, Freitext), Zuordnung zu Auftrag, bewertendem Unternehmen und erstellendem Mitarbeiter-Login, Moderationsstatus und Moderationsentscheidungen; aggregierte Bewertungswerte je Unternehmen.

Zwecke

Betrieb des beidseitigen, auftragsgebundenen Bewertungssystems als Vertrauenssignal; Moderation unzulässiger Inhalte; Anzeige aggregierter Werte gegenüber der jeweils berechtigten Marktseite (nicht öffentlich, nur eingeloggt und kontextbezogen).

Rechtsgrundlagen

Art 6 Abs 1 lit b und lit f DSGVO (berechtigtes Interesse aller Nutzer an einem funktionierenden Reputationssystem und an der Moderation rechtsverletzender Inhalte). Bewertungen betreffen Unternehmen; Freitexte dürfen keine personenbezogenen Daten überlassener Arbeitskräfte enthalten und werden insoweit moderiert.

Speicherdauer

Für die Dauer des Plattformbetriebs; nach Beendigung eines Nutzungsverhältnisses verbleiben Bewertungen in anonymisierter Form.

3.7 Sperrlisten (Blacklist)

Daten

Vom Nutzer als Freitext eingetragener Firmenwortlaut, optionale UID, serverseitige Zuordnung zu einem registrierten Konto, Zeitstempel.

Zwecke

Interne Kennzeichnung unerwünschter Geschäftspartner („auf Ihrer Sperrliste“) ohne Ausblendung und ohne Preisgabe der Identität; die Einträge wirken ausschließlich für das eintragende Unternehmen.

Rechtsgrundlagen

Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse der Nutzer an der Berücksichtigung eigener negativer Geschäftserfahrungen); betroffen sind primär Unternehmensdaten, personenbezogene Daten nur bei eingetragenen Unternehmern.

Speicherdauer

Bis zur Löschung des Eintrags durch den Nutzer, längstens bis zur Löschung seines Benutzerkontos.

3.8 Geocoding (Nominatim / OpenStreetMap)

Daten

Die bei Registrierung bzw. Anfrageerstellung angegebene Adresse (Firmen- bzw. Einsatzadresse), die zur Auflösung der Gemeinde an den Geocoding-Dienst übermittelt wird.

Zwecke

Ableitung der Gemeinde als einziger vor der Annahme sichtbarer Standortangabe; Kartendarstellung mit Gemeinde-Pins.

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO; die Beschränkung der Sichtbarkeit auf die Gemeinde dient zugleich der Datenminimierung.

Empfänger

OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich, als Betreiberin des öffentlichen Nominatim-Dienstes. Übermittelt wird nur die Adresse, keine Konto- oder Kontaktdaten; zur Übermittlung in das Vereinigte Königreich siehe Punkt 4.3.

3.9 E-Mail-Versand (SMTP)

Daten

E-Mail-Adresse des Empfängers, Inhalt der jeweiligen transaktionalen Nachricht (z. B. Bestätigungslink, Benachrichtigung, Rechnung von rechnung@intarim.com), Versandprotokolle.

Zwecke

Transaktionale Kommunikation (Registrierungsbestätigung, Benachrichtigungen, Rechnungs- und Mahnversand, Verfahrensmitteilungen).

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO.

Empfänger

netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland, als Betreiberin der eingesetzten E-Mail-Infrastruktur (Punkt 4.2).

3.10 Hosting und Speicherinfrastruktur

Daten

Sämtliche in den Punkten 3.1 bis 3.9 genannten Daten werden auf Systemen unserer Hosting- und Infrastrukturdienstleister verarbeitet; zusätzlich fallen technische Server-Logdaten an (IP-Adresse, Zeitstempel, aufgerufene Ressource, User-Agent), die ohne personenbezogene Klartext-Inhalte geführt und kurzfristig vorgehalten werden.

Zwecke

Technischer Betrieb, Sicherheit und Nachvollziehbarkeit der Plattform (einschließlich des isolierten Audit-Protokolls ohne personenbezogene Klartextdaten).

Rechtsgrundlagen

Art 6 Abs 1 lit b und lit f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb).

Empfänger

Sämtliche Systeme der Plattform (Anwendung, Datenbanken, Objektspeicher) werden von der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland, betrieben. Die Verarbeitung erfolgt in deren Rechenzentrum Wien, Österreich. Weitere Cloud-Infrastrukturanbieter werden nicht eingesetzt; eine Verarbeitung außerhalb der Europäischen Union findet nicht statt.

Speicherdauer

Server-Logs 14 Tage; Audit-Protokolle gemäß TOM-Konzept.

3.11 Push-Benachrichtigungen und E-Mail-Fallback

Daten

Push-Abonnementdaten je Gerät (Endpoint, kryptographische Schlüssel), Zustellstatus, bei fehlgeschlagener Zustellung die Fallback-Zustellung per E-Mail.

Zwecke

Zustellung transaktionaler Benachrichtigungen (z. B. neues Angebot, Annahme, Verfahrensmitteilungen) über die Web Push API mit verpflichtendem E-Mail-Fallback.

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO; das Einrichten von Push auf einem Gerät ist freiwillig und jederzeit deaktivierbar.

Empfänger

Push-Dienste der jeweiligen Browser-Hersteller (Google, Mozilla, Apple), abhängig davon, welchen Browser das Gerät des Nutzers verwendet; zur Drittlandübermittlung siehe Punkt 4.3.

3.12 Werbliche Kommunikation (Einwilligung, § 174 TKG 2021)

Daten

Einwilligungsstatus für werbliche elektronische Nachrichten samt protokolliertem Zeitpunkt der Erteilung und eines allfälligen Widerrufs.

Zwecke

Versand werblicher Nachrichten ausschließlich an Nutzer mit aktiver Einwilligung; Nachweisführung.

Rechtsgrundlagen

Art 6 Abs 1 lit a DSGVO in Verbindung mit § 174 TKG 2021. Die Einwilligung wird im Registrierungsvorgang über eine eigene, nicht vorangekreuzte Checkbox getrennt von der AGB-Zustimmung erhoben und kann jederzeit im Profil mit Wirkung für die Zukunft widerrufen werden; der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Transaktionale Nachrichten sind von der Einwilligung unabhängig.

Speicherdauer

Einwilligungs- und Widerrufsnachweise für die Dauer des Kontobestands und darüber hinaus, solange die Nachweisführung erforderlich ist.

3.13 DSA-Meldeverfahren (Art 16 und 17 DSA)

Daten

Name und E-Mail-Adresse der meldenden Person, Bezeichnung des gemeldeten Inhalts, Begründung, Erklärung über die Richtigkeit der Angaben in gutem Glauben, Bearbeitungsstatus, Entscheidung samt Begründung, Zeitpunkt der Mitteilungen.

Zwecke

Entgegennahme und Bearbeitung von Meldungen mutmaßlich rechtswidriger Inhalte über das auch ohne Anmeldung erreichbare Meldeformular; begründete Mitteilung an die Betroffenen bei Entfernung oder Sperre.

Rechtsgrundlagen

Art 6 Abs 1 lit c DSGVO in Verbindung mit Art 16 und 17 der Verordnung (EU) 2022/2065 (Digital Services Act).

Speicherdauer

Für die Dauer der Bearbeitung und darüber hinaus so lange, wie dies zur Erfüllung der Pflichten nach Art 16 und 17 DSA sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

3.14 Cookies und lokale Speicherung

Die Plattform verwendet ausschließlich technisch notwendige Cookies und vergleichbare Speichertechnologien: das Sitzungs-Cookie der Authentifizierung (HTTP-Only, Secure, SameSite=Strict), Sicherheits-Token (CSRF-Schutz) sowie die lokalen Speicherfunktionen der Progressive Web App (ohne authentifizierte Angebotsdaten). Diese sind für den Betrieb erforderlich (§ 165 Abs 3 TKG 2021; Art 6 Abs 1 lit b und f DSGVO) und bedürfen keiner Einwilligung. Reichweitenmessungs-, Tracking- oder Marketing-Cookies werden nicht eingesetzt.

4. Empfänger, Auftragsverarbeiter, Drittlandübermittlung

4.1 Empfängerkategorien: die jeweilige Marktgegenseite (Kontaktfreigabe bei Annahme, Punkt 3.3; vorher nur anonymisierte bzw. aggregierte Angaben); IT-Dienstleister als Auftragsverarbeiter (Punkt 4.2); die Betreiberin des Geocoding-Dienstes (Punkt 3.8) und die Push-Dienste der Browser-Hersteller (Punkt 3.11); Behörden, Gerichte und rechtliche Vertreter, soweit gesetzlich geboten; Rechts- und Steuerberatung im Einzelfall.

4.2 Auftragsverarbeiter: Die nachstehenden Dienstleister verarbeiten personenbezogene Daten ausschließlich weisungsgebunden für uns; die Verarbeitung erfolgt auf Grundlage von Auftragsverarbeitungsverträgen nach Art 28 DSGVO.

4.3 Drittlandübermittlung: Eine Übermittlung in Drittländer außerhalb des EWR findet nur statt, soweit dies bei einzelnen Diensten technisch bedingt ist — beim Geocoding (Punkt 3.8) und bei den Push-Diensten der Browser-Hersteller (Punkt 3.11) —, und nur auf Grundlage eines Angemessenheitsbeschlusses (etwa des EU-U.S. Data Privacy Framework) oder von Standardvertragsklauseln nach Art 46 DSGVO.

5. Speicherdauern (Übersicht)

6. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art 32 DSGVO, insbesondere: Transportverschlüsselung (HTTPS/HSTS) für sämtliche Verbindungen; Passwortspeicherung ausschließlich als salted Hash (BCrypt); HTTP-Only-Secure-Session-Cookies mit CSRF-Schutz; rollen- und rechtebasierte Zugriffskontrolle mit serverseitig durchgesetzten Sichtbarkeitsregeln (insbesondere Anonymität bis zur Annahme); Speicherung von Dokumenten in privaten Containern mit ausschließlich zeitlich begrenzten, signierten Abruf-URLs; Protokollierung sicherheitsrelevanter Ereignisse ohne personenbezogene Klartextdaten; Rate Limiting auf sensiblen Endpunkten; regelmäßige Sicherheitsüberprüfungen vor und nach Betriebsaufnahme. Einzelheiten sind im TOM-Konzept dokumentiert.

7. Betroffenenrechte

7.1 Betroffene Personen haben gegenüber intarim das Recht auf Auskunft (Art 15 DSGVO), Berichtigung (Art 16), Löschung (Art 17), Einschränkung der Verarbeitung (Art 18) und Datenübertragbarkeit (Art 20).

7.2 Sie haben das Recht, einer auf Art 6 Abs 1 lit f DSGVO gestützten Verarbeitung aus Gründen ihrer besonderen Situation zu widersprechen (Art 21 DSGVO); einer Verarbeitung zu Zwecken der Direktwerbung kann jederzeit ohne Angabe von Gründen widersprochen werden.

7.3 Eine erteilte Einwilligung (insbesondere die Werbe-Einwilligung nach Punkt 3.12) kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

7.4 Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an office@intarim.com. Zur Identitätsprüfung können wir zusätzliche Angaben verlangen, wenn begründete Zweifel an der Identität bestehen.

7.5 Betroffene haben das Recht auf Beschwerde bei einer Aufsichtsbehörde, in Österreich bei der Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at (Art 77 DSGVO).

7.6 Gesetzliche Aufbewahrungspflichten (insbesondere nach BAO und UGB) können einzelnen Löschbegehren entgegenstehen; in diesem Fall wird die Verarbeitung eingeschränkt statt gelöscht.

8. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitungen, die eingesetzten Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist auf der Plattform abrufbar; über wesentliche Änderungen informieren wir registrierte Nutzer über die hinterlegten Kommunikationskanäle.