Datenschutzerklärung der Plattform intarim

Stand: 7. Oktober 2026

Diese Datenschutzerklärung gilt für die Plattform app.intarim.com. Für die Website www.intarim.com gilt eine eigene Datenschutzerklärung.

1. Verantwortliche und Geltungsbereich

1.1 Verantwortliche im Sinne des Art 4 Z 7 DSGVO für die auf der Plattform intarim (app.intarim.com, im Folgenden „Plattform“) beschriebenen Verarbeitungen ist die intarim GmbH (im Folgenden „intarim“, „wir“). Ein Datenschutzbeauftragter ist nicht bestellt.

1.2 Diese Datenschutzerklärung gilt für die Nutzung der Plattform einschließlich der zugehörigen Progressive Web App, für das mit der Registrierung begründete Nutzungsverhältnis sowie für das ohne Registrierung erreichbare Meldeformular nach dem Digital Services Act (Punkt 3.13).

1.3 Die Plattform richtet sich ausschließlich an Unternehmen (Einsatzbetriebe, im Folgenden „EB“, und Arbeitskräfteüberlasser, im Folgenden „AKÜ“). Personenbezogene Daten verarbeiten wir dabei vor allem von den Ansprechpersonen und Mitarbeitern dieser Unternehmen (Mitarbeiter-Logins) sowie von Personen, die das DSA-Meldeformular nutzen. Angaben zu Unternehmen als solchen (etwa Firmenwortlaut oder UID juristischer Personen) sind nur insoweit erfasst, als sie sich auf identifizierbare natürliche Personen beziehen (etwa bei eingetragenen Unternehmern).

1.4 intarim und die Nutzer sind hinsichtlich der jeweils zu eigenen Zwecken verarbeiteten Daten eigenständige Verantwortliche. Wie ein Nutzer die ihm über die Plattform zugänglich gemachten Daten (insbesondere die bei Annahme freigegebenen Kontaktdaten der Gegenseite) weiterverarbeitet, liegt in seiner eigenen datenschutzrechtlichen Verantwortung.

1.5 Arbeitskräfteprofile werden über die Plattform ausschließlich in anonymisierter Form übermittelt (keine Namen, Lichtbilder, Kontaktdaten oder sonstige unmittelbar identifizierende Angaben). Personenbezogene Daten überlassener Arbeitskräfte werden — außerhalb solcher anonymisierter Profile — nicht über die Plattform verarbeitet; ihre Übermittlung erfolgt unmittelbar zwischen AKÜ und EB außerhalb der Plattform.

1.6 Die Vormerkung für den Start wird auf www.intarim.com erhoben und ist in der Datenschutzerklärung der Website beschrieben.

2. Grundsätze

2.1 Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb der Plattform, die Durchführung des Nutzungsverhältnisses oder die Erfüllung gesetzlicher Pflichten erforderlich ist (Art 5 DSGVO, Datenminimierung).

2.2 Rechtsgrundlagen sind je nach Verarbeitung Art 6 Abs 1 lit a DSGVO (Einwilligung), Art 6 Abs 1 lit b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen), Art 6 Abs 1 lit c DSGVO (rechtliche Verpflichtung) und Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse). Soweit wir uns auf berechtigte Interessen stützen, sind diese bei der jeweiligen Verarbeitung benannt; Betroffene können der Verarbeitung nach Art 21 DSGVO widersprechen (Punkt 7).

2.3 Eine automatisierte Entscheidungsfindung im Sinne des Art 22 DSGVO findet nicht statt. Aggregierte Bewertungswerte (Scores) sind rechnerische Zusammenfassungen abgegebener Bewertungen über Unternehmen; sie entfalten keine automatisierte Rechtswirkung gegenüber natürlichen Personen.

3. Verarbeitungen im Einzelnen

3.1 Registrierung und Benutzerkonto

Daten

Unternehmensdaten (Firmenwortlaut, Rechtsform, Geschäftsanschrift, UID, Branche (nur bei Einsatzbetrieben), Rolle EB oder AKÜ), Daten der Ansprechpersonen und Mitarbeiter-Logins (Name, E-Mail-Adresse, Telefon/Mobil, Funktion als Unternehmens-Admin oder Mitarbeiter), Passwort (nur als kryptographischer Hash gespeichert), Zeitpunkte von Registrierung, E-Mail-Bestätigung und Logins.

Zwecke

Einrichtung und Verwaltung des Benutzerkontos, Authentifizierung, E-Mail-Bestätigung, Verwaltung der Mitarbeiter-Logins durch das Admin-Konto, Sicherstellung der Rollenbindung (ein Unternehmen ist entweder EB oder AKÜ).

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO (Nutzungsverhältnis); hinsichtlich der Daten von Mitarbeitern, die nicht selbst Vertragspartei sind, Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse an der Verwaltung unternehmensbezogener Zugänge).

Speicherdauer

Bis zur Löschung des Benutzerkontos, längstens 30 Tage nach Beendigung des Nutzungsverhältnisses; gesetzliche Aufbewahrungspflichten bleiben unberührt (Punkt 5).

3.2 Personalanfragen und Angebote

Daten

Inhalte von Personalanfragen (Positionen, Gewerk, Qualifikation, Stundenumfang, Einsatzzeitraum, Einsatzort, Zusatzangaben) und Angeboten (Stundensatz, abgedeckte Positionen, Anzahl, Zeitraum, Gültig-bis-Datum, optionale anonymisierte Arbeitskräfteprofile), Zuordnung zum erstellenden Mitarbeiter-Login, Zeitstempel und Statusverläufe.

Zwecke

Betrieb der Vermittlungsfunktion (Einstellen, Anzeigen, Filtern von Personalanfragen; Abgabe, Verwaltung und Verfall von Angeboten), Wahrung der Anonymität bis zur Annahme (vor der Annahme sieht die Gegenseite nur die Gemeinde des Einsatzorts, Inhalte, Verifizierungsmerkmal und aggregierte Bewertungswerte — keine Firmen- oder Kontaktdaten).

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO; hinsichtlich der Zuordnung zu Mitarbeiter-Logins Art 6 Abs 1 lit f DSGVO (Nachvollziehbarkeit unternehmensinternen Handelns).

Speicherdauer

Für die Dauer des Kontobestands; auftrags- und rechnungsbezogene Daten gemäß Punkt 5.

3.3 Annahme und Kontaktfreigabe

Daten

Annahmeerklärung (annehmender Mitarbeiter, Zeitpunkt, angenommener Umfang), die mit der Annahme gegenseitig und sofort freigegebenen Kontaktdaten beider Unternehmen (Firmenwortlaut, Anschrift, Ansprechpersonen, E-Mail, Telefon).

Zwecke

Zustandekommen und Dokumentation des Auftrags; Herstellung des direkten Kontakts zwischen EB und AKÜ zur Abwicklung des Überlassungsvertrags.

Rechtsgrundlage der Offenlegung

Die Freigabe der Kontaktdaten an die jeweilige Gegenseite beruht auf Art 6 Abs 1 lit b DSGVO — sie ist die vertragscharakteristische Leistung des Nutzungsverhältnisses und in den AGB beider Rollen ausdrücklich verankert (AKÜ-AGB und EB-AGB, jeweils in den Kapiteln „Annahme, Zustandekommen des Überlassungsvertrags, Freigabe der Kontaktdaten“ und „Datenschutz“); hinsichtlich der Daten von Ansprechpersonen, die nicht selbst Vertragspartei sind, zusätzlich Art 6 Abs 1 lit f DSGVO (überwiegendes berechtigtes Interesse beider Unternehmen an der Vertragsabwicklung). Vor der Annahme werden keine Kontaktdaten offengelegt.

Speicherdauer

Auftragsdaten für die Dauer des Kontobestands, rechnungsbegründende Bestandteile gemäß Punkt 5.

3.4 Rechnungs- und Mahnwesen

Daten

Rechnungs- und Gutschriftdaten (Rechnungsnummer, Beträge, Leistungs- und Ausstellungsdatum, Zahlungsstatus, Mahnstufen), Rechnungs-PDFs, Empfängerdaten des rechnungsempfangenden Unternehmens und seiner Ansprechpersonen, sämtliche Informationen gemäß § 11 Abs 2 UStG bei elektronischen Rechnungen.

Zwecke

Automatisierte Rechnungslegung und Mahnläufe im Zusammenhang mit über die Plattform zustande gekommenen Aufträgen, Erfüllung abgaben- und unternehmensrechtlicher Pflichten. Der Versand erfolgt von rechnung@intarim.com.

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO; Art 6 Abs 1 lit c DSGVO in Verbindung mit den abgabenrechtlichen Aufbewahrungs- und Rechnungslegungspflichten (§§ 131 f BAO, § 11 UStG, § 190 UGB).

Speicherdauer

Rechnungen, Gutschriften und rechnungsbezogene Belege werden gemäß § 132 BAO 7 Jahre ab Ende des Kalenderjahres, auf das sie sich beziehen, aufbewahrt, darüber hinaus solange, als sie für anhängige abgabenrechtliche Verfahren von Bedeutung sind. Bei elektronischen Rechnungen werden Echtheit der Herkunft, Unversehrtheit des Inhalts und Lesbarkeit für die Dauer der Aufbewahrung sichergestellt. Diese Daten bleiben auch bei Kontolöschung erhalten.

3.5 Verifizierungsnachweise (freiwillige Verifizierung)

Daten

Hochgeladene Nachweisdokumente (rollenbezogen: Gewerbeberechtigung, bei AKÜ zusätzlich die Berechtigung zur Arbeitskräfteüberlassung) samt der darin enthaltenen personenbezogenen Daten; Metadaten des Vorgangs (Dokumentart, Upload-Zeitpunkt, Entscheidung, Entscheidungszeitpunkt, prüfende Person).

Zwecke

Manuelle Prüfung für das freiwillige Vertrauensmerkmal („intarim-verifiziert“). Die Verifizierung schaltet keine Funktionen frei.

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO (vom Nutzer angestoßener Vorgang innerhalb des Nutzungsverhältnisses).

Speicherdauer

Die Dokumente werden 3 Monate nach der Verifizierungsentscheidung endgültig gelöscht; nicht abgeschlossene oder verwaiste Uploads 6 Monate nach dem Upload. Dauerhaft — für die Dauer des Kontobestands — verbleiben nur die Metadaten. Jede Löschung wird protokolliert. Eine erneute Verifizierung erfordert einen erneuten Upload.

3.6 Bewertungen und Moderation

Daten

Bewertungsinhalte (Sterne, Dimensionen, Freitext), Zuordnung zu Auftrag, bewertendem Unternehmen und erstellendem Mitarbeiter-Login, Moderationsstatus und Moderationsentscheidungen; aggregierte Bewertungswerte je Unternehmen.

Zwecke

Betrieb des beidseitigen, auftragsgebundenen Bewertungssystems als Vertrauenssignal; Moderation unzulässiger Inhalte; Anzeige aggregierter Werte gegenüber der jeweils berechtigten Marktseite (nicht öffentlich, nur eingeloggt und kontextbezogen).

Rechtsgrundlagen

Art 6 Abs 1 lit b und lit f DSGVO (berechtigtes Interesse aller Nutzer an einem funktionierenden Reputationssystem und an der Moderation rechtsverletzender Inhalte). Bewertungen betreffen Unternehmen; Freitexte dürfen keine personenbezogenen Daten überlassener Arbeitskräfte enthalten und werden insoweit moderiert.

Speicherdauer

Für die Dauer des Plattformbetriebs, auch über die Beendigung eines Nutzungsverhältnisses hinaus (Punkt „Bewertungssystem“ der AGB). Grundlage ist insoweit das berechtigte Interesse aller Nutzer an einem aussagekräftigen Reputationssystem (Art 6 Abs 1 lit f DSGVO).

3.7 Sperrlisten (Blacklist)

Daten

Vom Nutzer als Freitext eingetragener Firmenwortlaut, optionale UID, serverseitige Zuordnung zu einem registrierten Konto, Zeitstempel.

Zwecke

Interne Kennzeichnung unerwünschter Geschäftspartner („auf Ihrer Sperrliste“) ohne Ausblendung und ohne Preisgabe der Identität; die Einträge wirken ausschließlich für das eintragende Unternehmen.

Rechtsgrundlagen

Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse der Nutzer an der Berücksichtigung eigener negativer Geschäftserfahrungen); betroffen sind primär Unternehmensdaten, personenbezogene Daten nur bei eingetragenen Unternehmern.

Speicherdauer

Bis zur Löschung des Eintrags durch den Nutzer, längstens bis zur Löschung seines Benutzerkontos.

3.8 Geocoding (Nominatim / OpenStreetMap)

Daten

Die bei Registrierung bzw. Anfrageerstellung angegebene Adresse (Firmen- bzw. Einsatzadresse), die zur Auflösung der Gemeinde an den Geocoding-Dienst übermittelt wird.

Zwecke

Ableitung der Gemeinde als einziger vor der Annahme sichtbarer Standortangabe; Kartendarstellung mit Gemeinde-Pins.

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO; die Beschränkung der Sichtbarkeit auf die Gemeinde dient zugleich der Datenminimierung.

Empfänger

OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich, als Betreiberin des öffentlichen Nominatim-Dienstes. Übermittelt wird nur die Adresse, keine Konto- oder Kontaktdaten; zur Übermittlung in das Vereinigte Königreich siehe Punkt 4.3.

3.9 E-Mail-Versand (SMTP)

Daten

E-Mail-Adresse des Empfängers, Inhalt der jeweiligen transaktionalen Nachricht (z. B. Bestätigungslink, Benachrichtigung, Rechnung von rechnung@intarim.com), Versandprotokolle.

Zwecke

Transaktionale Kommunikation (Registrierungsbestätigung, Benachrichtigungen, Rechnungs- und Mahnversand, Verfahrensmitteilungen).

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO.

Empfänger

netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland, als Betreiberin der eingesetzten E-Mail-Infrastruktur (Punkt 4.2).

3.10 Hosting und Speicherinfrastruktur

Daten

Sämtliche in den Punkten 3.1 bis 3.9 genannten Daten werden auf Systemen unserer Hosting- und Infrastrukturdienstleister verarbeitet; zusätzlich fallen technische Server-Logdaten an (IP-Adresse, Zeitstempel, aufgerufene Ressource, User-Agent), die ohne personenbezogene Klartext-Inhalte geführt und kurzfristig vorgehalten werden.

Zwecke

Technischer Betrieb, Sicherheit und Nachvollziehbarkeit der Plattform (einschließlich des isolierten Audit-Protokolls ohne personenbezogene Klartextdaten).

Rechtsgrundlagen

Art 6 Abs 1 lit b und lit f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb).

Empfänger

Sämtliche Systeme der Plattform (Anwendung, Datenbanken, Objektspeicher) werden von der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland, betrieben. Die Verarbeitung erfolgt in deren Rechenzentrum Wien, Österreich. Weitere Cloud-Infrastrukturanbieter werden nicht eingesetzt; eine Verarbeitung außerhalb der Europäischen Union findet nicht statt.

Speicherdauer

Server-Logs 14 Tage; Audit-Protokolle gemäß TOM-Konzept.

3.11 Push-Benachrichtigungen

Daten

Je Gerät, auf dem Sie Push einschalten: die vom Push-Dienst Ihres Browsers vergebene Zustelladresse des Geräts (Endpoint) und die zugehörigen kryptographischen Schlüssel, die Zuordnung zu Ihrem Benutzerkonto und der Zeitpunkt der Einrichtung. Bei den Benachrichtigungen, für die eine E-Mail nur ersatzweise versendet wird (siehe Zwecke), vermerken wir den Zeitpunkt dieser Ersatz-E-Mail. Das Einrichten und Erneuern eines Push-Abos sowie sein Abschalten durch Sie werden im Audit-Protokoll vermerkt, ohne Zustelladresse und Schlüssel des Geräts. Lehnt der Push-Dienst eine Zustellung ab oder ist er nicht erreichbar, wird das in den Server-Logs festgehalten (Punkt 3.10).
Eine Push-Nachricht enthält den Titel der Benachrichtigung in Ihrer Sprache, die Art des Ereignisses und einen Verweis auf den betroffenen Vorgang in der Plattform — keine Angaben zur Marktgegenseite, keine Angebotsinhalte und keine Anhänge. Sie wird mit den Schlüsseln Ihres Geräts verschlüsselt übermittelt.
Auf dem Gerät selbst speichert die Plattform im lokalen Speicher des Browsers die Kennung des Benutzers, der Push eingeschaltet hat, damit das Push-Abo endet, sobald sich dort ein anderer Benutzer anmeldet, sowie gegebenenfalls den Vermerk, dass Sie den Hinweis auf Push-Benachrichtigungen ausgeblendet haben. Die Berechtigung, Benachrichtigungen anzuzeigen, erteilen und entziehen Sie in Ihrem Browser.

Zwecke

Zustellung von Benachrichtigungen der Plattform (z. B. neues Angebot, Annahme, Rechnung, Mahnung, Verfahrensmitteilungen) über die Web Push API an die Geräte, auf denen Sie Push eingeschaltet haben — zusätzlich zur E-Mail. Die E-Mail wird grundsätzlich immer versendet; Push ersetzt sie nicht, und rechtserhebliche Erklärungen erhalten Sie stets per E-Mail. Nur bei wenigen Benachrichtigungen ohne rechtliche Wirkung, etwa der Einladung zur Bewertung, wird die E-Mail ersatzweise versendet, wenn keines Ihrer Geräte die Push-Nachricht angenommen hat.

Rechtsgrundlagen

Art 6 Abs 1 lit b DSGVO; das Einrichten von Push auf einem Gerät ist freiwillig und jederzeit deaktivierbar.

Empfänger

Der Push-Dienst, den der Browser Ihres Geräts verwendet — etwa jener von Google, Mozilla oder Apple. Welcher Dienst das ist, legt der Browser fest; manche Browser nutzen den Dienst eines anderen Herstellers. Der Push-Dienst erhält die Zustelladresse des Geräts und die verschlüsselte Nachricht; zur Drittlandübermittlung siehe Punkt 4.3.

Speicherdauer

Das Push-Abo eines Geräts besteht über die Abmeldung hinaus. Schalten Sie Push für das Gerät ab, beendet der Browser das Push-Abo, und die Plattform löscht die Abo-Daten bei uns. Meldet sich auf dem Gerät ein anderer Benutzer an, beendet der Browser das Push-Abo bei dieser Anmeldung; entziehen Sie im Browser die Berechtigung, bei Ihrer nächsten Anmeldung. Abo-Daten, die dabei bei uns verbleiben, löschen wir, sobald der Push-Dienst bei einem Zustellversuch meldet, dass das Push-Abo nicht mehr besteht; bis dahin bleiben sie gespeichert.

3.12 Werbliche Kommunikation (Einwilligung, § 174 TKG 2021)

Daten

Einwilligungsstatus für werbliche elektronische Nachrichten samt protokolliertem Zeitpunkt der Erteilung und eines allfälligen Widerrufs.

Zwecke

Versand werblicher Nachrichten ausschließlich an Nutzer mit aktiver Einwilligung; Nachweisführung.

Rechtsgrundlagen

Art 6 Abs 1 lit a DSGVO in Verbindung mit § 174 TKG 2021. Die Einwilligung wird im Registrierungsvorgang über eine eigene, nicht vorangekreuzte Checkbox getrennt von der AGB-Zustimmung erhoben und kann jederzeit im Profil mit Wirkung für die Zukunft widerrufen werden; der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Transaktionale Nachrichten sind von der Einwilligung unabhängig.

Speicherdauer

Einwilligungs- und Widerrufsnachweise für die Dauer des Kontobestands und darüber hinaus, solange die Nachweisführung erforderlich ist.

3.13 DSA-Meldeverfahren (Art 16 und 17 DSA)

Daten

Name und E-Mail-Adresse der meldenden Person, Bezeichnung des gemeldeten Inhalts, Begründung, Erklärung über die Richtigkeit der Angaben in gutem Glauben, Bearbeitungsstatus, Entscheidung samt Begründung, Zeitpunkt der Mitteilungen.

Zwecke

Entgegennahme und Bearbeitung von Meldungen mutmaßlich rechtswidriger Inhalte über das auch ohne Anmeldung erreichbare Meldeformular; begründete Mitteilung an die Betroffenen bei Entfernung oder Sperre; Mitteilung der Entscheidung an die meldende Person (Art 16 Abs 5 DSA).

Rechtsgrundlagen

Art 6 Abs 1 lit c DSGVO in Verbindung mit Art 16 und 17 der Verordnung (EU) 2022/2065 (Digital Services Act).

Speicherdauer

3 Jahre, es sei denn, ein Verfahren ist anhängig, in dem die Meldung von Relevanz ist, dann bis zur rechtskräftigen Beendigung des Verfahrens.

3.14 Cookies und lokale Speicherung

Die Plattform verwendet ausschließlich technisch notwendige Cookies und vergleichbare Speichertechnologien: das Sitzungs-Cookie der Authentifizierung (HTTP-Only, Secure, SameSite=Strict), Sicherheits-Token (CSRF-Schutz) sowie die lokalen Speicherfunktionen der Progressive Web App (ohne authentifizierte Angebotsdaten). Diese sind für den Betrieb erforderlich (§ 165 Abs 3 TKG 2021; Art 6 Abs 1 lit b und f DSGVO) und bedürfen keiner Einwilligung. Reichweitenmessungs-, Tracking- oder Marketing-Cookies werden nicht eingesetzt.

Daneben setzt die Plattform bei der Anmeldung das Hinweis-Cookie „ww.signedin“ für die Domain intarim.com (HTTP-Only, Secure, SameSite=Lax). Es dient allein dazu, dass die Website www.intarim.com Sie als angemeldeten Benutzer beim Aufruf ihrer Startseite direkt in die Plattform weiterleiten kann. Das Cookie enthält ausschließlich den Wert „1“ — die Angabe, dass in diesem Browser eine Anmeldung besteht — und keine Kennung, keine Rolle und keine sonstigen Angaben zu Ihrer Person oder Ihrem Unternehmen; die Authentifizierung bleibt allein beim Sitzungs-Cookie. Es wird mit der Sitzung verlängert, bei der Abmeldung gelöscht und sobald die Plattform feststellt, dass Ihre Sitzung beendet ist; andernfalls läuft es spätestens 14 Tage nach Ihrer letzten Nutzung der Plattform ab. Das Cookie ist für diesen von Ihnen gewünschten Dienst unbedingt erforderlich und bedarf daher keiner Einwilligung (§ 165 Abs 3 TKG 2021); die Verarbeitung beruht auf unserem berechtigten Interesse, Sie ohne Umweg zur Plattform zu führen (Art 6 Abs 1 lit f DSGVO).

4. Empfänger, Auftragsverarbeiter, Drittlandübermittlung

4.1 Empfängerkategorien: die jeweilige Marktgegenseite (Kontaktfreigabe bei Annahme, Punkt 3.3; vorher nur anonymisierte bzw. aggregierte Angaben); IT-Dienstleister als Auftrags- und Unterauftragsverarbeiter (Punkt 4.2); die Betreiberin des Geocoding-Dienstes (Punkt 3.8) und die Push-Dienste, die der Browser des jeweiligen Geräts verwendet (Punkt 3.11); Behörden, Gerichte und rechtliche Vertreter, soweit gesetzlich geboten; Rechts- und Steuerberatung im Einzelfall.

4.2 Auftragsverarbeiter: Die cellcreek GmbH verarbeitet personenbezogene Daten ausschließlich weisungsgebunden für uns; die Verarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags nach Art 28 DSGVO. Die cellcreek GmbH setzt ihrerseits die netcup GmbH als Unterauftragsverarbeiterin ein (Art 28 Abs 2 und 4 DSGVO).

4.3 Drittlandübermittlung: Eine Übermittlung in Drittländer außerhalb des EWR findet nur statt, soweit dies bei einzelnen Diensten technisch bedingt ist — beim Geocoding (Punkt 3.8) und bei den Push-Diensten der Browser (Punkt 3.11) —, und nur auf Grundlage eines Angemessenheitsbeschlusses (etwa des EU-U.S. Data Privacy Framework) oder von Standardvertragsklauseln nach Art 46 DSGVO.

5. Speicherdauern (Übersicht)

6. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art 32 DSGVO, insbesondere: Transportverschlüsselung (HTTPS/HSTS) für sämtliche Verbindungen; Passwortspeicherung ausschließlich als salted Hash (BCrypt); HTTP-Only-Secure-Session-Cookies mit CSRF-Schutz; rollen- und rechtebasierte Zugriffskontrolle mit serverseitig durchgesetzten Sichtbarkeitsregeln (insbesondere Anonymität bis zur Annahme); Speicherung von Dokumenten in privaten Containern mit ausschließlich zeitlich begrenzten, signierten Abruf-URLs; Protokollierung sicherheitsrelevanter Ereignisse ohne personenbezogene Klartextdaten; Rate Limiting auf sensiblen Endpunkten; regelmäßige Sicherheitsüberprüfungen vor und nach Betriebsaufnahme. Einzelheiten sind im TOM-Konzept dokumentiert.

7. Betroffenenrechte

7.1 Betroffene Personen haben gegenüber intarim das Recht auf Auskunft (Art 15 DSGVO), Berichtigung (Art 16), Löschung (Art 17), Einschränkung der Verarbeitung (Art 18) und Datenübertragbarkeit (Art 20).

7.2 Sie haben das Recht, einer auf Art 6 Abs 1 lit f DSGVO gestützten Verarbeitung aus Gründen ihrer besonderen Situation zu widersprechen (Art 21 DSGVO); einer Verarbeitung zu Zwecken der Direktwerbung kann jederzeit ohne Angabe von Gründen widersprochen werden.

7.3 Eine erteilte Einwilligung (insbesondere die Werbe-Einwilligung nach Punkt 3.12) kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

7.4 Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an office@intarim.com. Zur Identitätsprüfung können wir zusätzliche Angaben verlangen, wenn begründete Zweifel an der Identität bestehen.

7.5 Betroffene haben das Recht auf Beschwerde bei einer Aufsichtsbehörde, in Österreich bei der Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at (Art 77 DSGVO).

7.6 Gesetzliche Aufbewahrungspflichten (insbesondere nach BAO und UGB) können einzelnen Löschbegehren entgegenstehen; in diesem Fall wird die Verarbeitung eingeschränkt statt gelöscht.

8. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitungen, die eingesetzten Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist auf der Plattform abrufbar; über wesentliche Änderungen informieren wir registrierte Nutzer über die hinterlegten Kommunikationskanäle.