BARVIO – DATENSCHUTZINFORMATION ZUR SHOP-EINRICHTUNG UND BEGRENZTEN MITARBEITERORGANISATION Dokumentfassung: barvio-shop-privacy-dec20-limited-staff-20261103-r2 Stand: 3. November 2026 — Vertragsfassung zur versionierten Veröffentlichung 1. Verantwortliche Person und Kontakt Für die von Barvio selbst bestimmten Verarbeitungen ist Hüseyin Bozkurt, Leystraße 104/6/52, 1200 Wien, Österreich, verantwortlich. Datenschutzanliegen: privacy@barvio.at. Barvio ist die Produktbezeichnung; sie ersetzt nicht die verantwortliche Person. Diese Information betrifft echte Shops und begrenzte echte Mitarbeiterorganisation bei ausschließlich synthetischen Kunden- und Buchungsfällen. Ihre Bereitstellung allein ersetzt keine persönliche Vereinbarung oder Shopannahme. Die Aufnahme echter Mitarbeiterdaten setzt die zugeordneten wirksamen persönlichen und Shopdokumente, den AVV sowie die konkret betroffenen Anbieter-, Übermittlungs-, Sicherheits- und Betriebsfreigaben voraus. 2. Verantwortlichkeit nach Zweck Der Betreiber verantwortet eigene Authentifizierung, persönliche Beta-Einladungen und Zulassung, minimale Einrichtung und Kontaktaufnahme, Plattformschutz, Support sowie notwendige Dokument- und Annahmenachweise. Ein eigenes echtes Konto bleibt personenbezogen, auch wenn die eingegebenen Testtermine erfunden sind. Der Shop bestimmt Zwecke und Rechtsgrundlage seiner Mitarbeiterorganisation und ist hierfür Verantwortlicher. Soweit Barvio die zugehörigen Mitarbeiterprofile, Rollen, Verfügbarkeiten und neutralen Abwesenheitsintervalle ausschließlich nach dokumentierter Weisung verarbeitet, handelt Barvio als Auftragsverarbeiter auf Grundlage eines wirksamen AVV. Für eigene Konto-, Zulassungs- und Sicherheitszwecke bleibt der Betreiber getrennt verantwortlich. Ein Shop-Login, die App-Rolle „Inhaber“ oder ein TEST_ONLY-Beleg ersetzt diese Zuordnung nicht. Der Shop muss seinen Mitarbeitern die Angaben über seine konkrete Verarbeitung und ihre Rechtsgrundlage bereitstellen. Diese Barvio-Information ersetzt die Arbeitgeberinformation nicht; die Teilnahme oder App-Nutzung ist keine pauschale Beschäftigteneinwilligung. Echte Kunden, reale Kundentermine und Kundenkontaktlisten sind ausgeschlossen. Auch vorhandene Kontakte dürfen nicht importiert oder unter leicht veränderten Namen als angebliche Testkunden verwendet werden. Kunden- und Buchungsszenarien bleiben erfunden; ein darin zugeordneter echter Mitarbeiter bleibt personenbezogen. Bis zur Betriebsfreigabe des Mitarbeiterumfangs werden auch Mitarbeiterabläufe ausschließlich synthetisch getestet. 3. Daten, Herkunft und Zwecke Für das persönliche Konto und die Zulassung werden insbesondere Konto-ID, Anzeigename, E-Mail-Adresse, Bestätigungs- und Sitzungsinformationen, Rolle sowie erforderliche Einladungs-, Ablauf- und Sicherheitsangaben verarbeitet. Diese Daten stammen von der betroffenen Person, der persönlichen Einladung und den beim Anmelden entstehenden technischen Vorgängen. Bei der Einrichtung eines echten Shops entstehen Shop-ID, Anzeigename, geschäftlicher Standort und erforderliche Kontakt- und Berechtigungsangaben. Eine geschäftliche Adresse kann zugleich personenbezogen sein. Die Eingabe einer Adresse zur Standortzuordnung kann eine Anfrage an einen Kartendienst auslösen; synthetische Kundenfälle machen diese echte Adressverarbeitung nicht anonym. Für die vorgesehene Mitarbeiterorganisation liefert der Shop den erforderlichen beruflichen Anzeigenamen, Shop-/Mitarbeiterzuordnung, Rolle, Aktiv-/Zugangsstatus, Dienstleistungszuordnung, Buchbarkeit innerhalb synthetischer Tests, übliche Arbeitszeiten, Pausen und neutrale Abwesenheitsintervalle. Mitarbeiter können über ein eigenes Konto verbunden sein; nicht jedes Mitarbeiterprofil hat App-Zugang. Eine Shop-Einladung verwendet die vorgesehene Konto-E-Mail. Dies erlaubt keine darüber hinausgehenden privaten Kontaktverzeichnisse. Abwesenheitsgründe, Gesundheitsdaten, Lohn- und Gehaltsdaten, Personalakten, Leistungsbewertungen, private Anschriften und Telefonnummern gehören nicht zum Umfang. Das Feld „Grund (optional)“ muss für echte Mitarbeiter leer bleiben. Dieses Feld kann dennoch bis zu 160 Zeichen annehmen, speichern und anzeigen; eine inhaltliche Gesundheitsdaten-Sperre wird nicht zugesagt. Auch andere Freitextfelder dürfen nicht zum Eintragen ausgeschlossener Daten genutzt werden. Für einen Dokumentnachweis werden die handelnde Person mit Konto-ID, Anzeigename und verifizierter E-Mail, die vertretene Partei und Anschrift, die Shop-ID, die gesonderte Vertretungserklärung, beobachtete technische Rolle, Zeitpunkt und Dokumentversionen mit Hashes verarbeitet. Eine technische Rolle bestätigt keine rechtliche Vertretungsmacht. Die Zustellung einer Datenschutzinformation wird als Zustellung vermerkt und nicht als pauschale Einwilligung. Bei Website-, App- und API-Zugriffen fallen erforderliche Verbindungs-, Geräte-, Fehler- und Sicherheitsdaten an. Support umfasst die freiwillig übermittelten Kontakt- und Nachrichteninhalte. Zugangsdaten, echte Kundendaten und nicht erforderliche sensible Angaben sollen nicht in Supportnachrichten oder Testfelder aufgenommen werden. 4. Rechtsgrundlagen und Erforderlichkeit Erforderliche Konto- und Teilnahmedaten natürlicher Vertragspartner werden zur Durchführung der angefragten kostenlosen Teilnahme nach Art. 6 Abs. 1 lit. b DSGVO verarbeitet. Bei Vertretung einer Organisation tragen das berechtigte Interesse an ordnungsgemäßer Geschäftskommunikation, Zuordnung und Vertretungsdokumentation die hierfür erforderlichen Daten nach Art. 6 Abs. 1 lit. f DSGVO. Sicherheit, Missbrauchsschutz und begrenzte Rechtsverteidigung beruhen auf den jeweils konkret erforderlichen berechtigten Interessen. Eine tatsächlich anwendbare gesetzliche Pflicht kann Art. 6 Abs. 1 lit. c DSGVO begründen. Optionale Geräteberechtigungen und eine erforderliche gesonderte Einwilligung werden nicht durch die Shopvereinbarung ersetzt. Eine Betriebssystemfreigabe entscheidet nicht automatisch über sämtliche Rechtsgrundlagen bei Plattformanbietern. Es gibt keine pauschale Einwilligung in beliebige künftige Verarbeitungen. Ohne notwendige Identitäts- und Zulassungsdaten ist der persönliche Zugang nicht möglich; ohne erforderliche Zuordnungsdaten kann der Shop nicht eingerichtet werden. Die Rechtsgrundlage für Mitarbeiterplanung bestimmt der Shop für seinen konkreten Zweck; sie wird nicht durch die kostenlose Beta oder eine allgemeine Einwilligungsklausel ersetzt. Freiwilliges Feedback und optionale Benachrichtigungen bleiben getrennt. Es erfolgen keine Barvio-eigenen Werbe- oder Analyseprofile, keine Werbung, Zahlungen, Abonnements oder automatische kostenpflichtige Umwandlung. 5. Empfänger und technische Dienste Hetzner Online GmbH stellt die Barvio-Infrastruktur einschließlich der operativen Shop-/Termin-Datenbank bereit. Die Barvio-API und operative Datenbank werden in Nürnberg/Deutschland gehostet. Hetzners AVV v1.2 hat den Fassungsstand 16.02.2026. Supabase, Inc. verarbeitet persönliche Authentifizierungsdaten wie Konto-E-Mail, Anmeldung, Sitzungen und Sicherheitsmetadaten. Die konfigurierte Projektregion ist eu-west-1/Irland. Für die Kontoauthentifizierung gelten die einschlägigen Supabase-DPA-Bedingungen; die operative Barvio-Datenbank liegt nicht bei Supabase. Der Projektstandort garantiert keinen europäischen Ort für sämtliche Metadaten. Resend (Plus Five Five, Inc.) stellt transaktionale Authentifizierungs- und Zulassungsnachrichten zu. Inhalte und Zustell-/Kontometadaten können unabhängig von der Versandregion in den USA verarbeitet werden. Für die Nutzung gelten die Resend-DPA-Bedingungen. Der untersuchte Shop-Mitarbeitereinladungsweg belegt keinen Resend-Versand. Migadu-Mail GmbH betreibt Kontaktpostfächer und Warnmeldungen. Die Migadu DPA v1.2 (Fassungsstand 01.09.2026) liegt unterschrieben vor. Sie nennt den Kunden als Verantwortlichen und regelt nicht ausdrücklich Barvios zusätzliche Rolle als Auftragsverarbeiter eines Shops. Laut Anbieterantwort liegen Rechenzentren einschließlich Sicherungen in Frankreich und den Niederlanden; Mailboxinhalte, Nachrichten, Aliase und Mailserverlogs würden ausschließlich im EWR/der Schweiz verarbeitet. Unteranbieter außerhalb dieser Gebiete hätten laut Anbieter keinen Zugriff auf Mailboxinhalte. Das sind Anbieterangaben, keine technische Prüfung. Shop-Personalexporte und Abwesenheitsgründe dürfen nicht per gewöhnlicher E-Mail übermittelt werden. Backblaze B2 erhält täglich clientseitig verschlüsselte vollständige Datenbanksicherungen. Das konfigurierte B2-Ziel ist EU Central (eu-central-003). Die Sicherungen können Mitarbeiterprofile, Arbeitszeiten und Abwesenheiten einschließlich versehentlich eingetragener Gründe enthalten; ein Kategorienfilter ist nicht belegt. Die Anbieterbedingungen beziehen eine DPA für geschäftliche Nutzung ein. Für Shop-Auftragsdaten ist Backblaze nach dem veröffentlichten DPA Modul 3 als Unterauftragsverarbeiter zugeordnet; Einzelheiten und Übermittlungsgarantien stehen im folgenden Abschnitt. Diese Information beschreibt den Dienst, erteilt aber keine Shop-Unteranbieterfreigabe. Google Maps verarbeitet Geschäftsadressen für Geocoding und kann bei App-Nutzung Karten-, Geräte- und technische Anfragedaten erhalten. Apple-Kartendienste sind je Plattform getrennt zu betrachten. Sie werden nicht pauschal als Barvio-Unterauftragsverarbeiter genehmigt. 650 Industries, Inc. (Expo), USA, wird für transaktionale Push-Mitteilungen eingesetzt. Die Zustellung erfolgt über Expo Push und anschließend über Apple Push Notification Service (APNs) beziehungsweise Firebase Cloud Messaging (FCM). Übermittelt werden Push-Token, generische Ereignistexte sowie erforderliche Routingdaten wie Shop- und Buchungskennung und gegebenenfalls Terminbeginn. Namen, Abwesenheitsgründe, Gesundheitsangaben und Personalakten sind nicht Bestandteil der vorgesehenen Push-Nachrichten. Vertragsgrundlage ist die von Expo am 2. November 2026 und vom Betreiber am 3. November 2026 unterzeichnete DPA; die Rücksendung wurde am 3. November 2026 vom Betreiber bestätigt. Build- und Update-Dienste sind davon getrennt zu beurteilen. Cloudflare Turnstile gehört zum beschriebenen Bot- und Missbrauchsschutz. Berechtigte Shopmitglieder sehen nur tatsächlich freigegebene Shopdaten entsprechend ihrer Rolle. Die konkrete Sichtbarkeit muss vor Betriebsfreigabe geprüft werden; eine technische Beschränkung sämtlicher Mitarbeiterdaten auf den Inhaber wird nicht behauptet. Behörden erhalten Daten nur auf entsprechender rechtlicher Grundlage. Personenbezogene Daten werden nicht für fremde Werbung verkauft. 6. Verarbeitungsorte und Drittlandübermittlungen Die operative Barvio-Infrastruktur liegt bei Hetzner in Nürnberg/Deutschland. Supabase Auth verwendet die konfigurierte Projektregion eu-west-1/Irland. B2-Sicherungen werden im Gebiet EU Central (eu-central-003) gespeichert. Backblaze nennt Interxion Netherlands B.V./Digital Realty in Amsterdam für EU-Central Customer Files sowie Datastax und Rookout an US-Orten für bestimmte Customer Files. Diese Angaben beschreiben mögliche Dienstleister, keine einzelnen Zugriffe auf Barvio-Dateien. Eine EU-Projektregion oder B2-Zielregion belegt nicht, dass sämtliche Metadaten oder Unteranbieter ausschließlich im EWR liegen. Resend hat USA-Bezug für gespeicherte Inhalte und Zustell-/Kontometadaten unabhängig von der Versandregion. Expo-Push hat USA-Bezug und Weiterleitung an Apple/Google. Migadu nennt Rechenzentren in Frankreich/Niederlanden einschließlich Sicherungen; Mailboxinhalte, Nachrichten, Aliase und Mailserverlogs lägen laut Anbieterantwort im EWR/der Schweiz und seien für Unteranbieter außerhalb dieses Gebiets nicht zugänglich. Diese Angaben sind Anbieterangaben, keine technische Standortprüfung. Für Backblaze gilt bei Verarbeitung im Shopauftrag die am 3. November 2026 öffentlich abgerufene Data Processing Agreement Addendum – Module 3 – Processor to Processor: Barvio handelt als Auftragsverarbeiter des Shops, Backblaze als Unterauftragsverarbeiter. Die Anlage umfasst ausdrücklich Beschäftigte und enthält Standardvertragsklauseln nach Beschluss (EU) 2021/914, Modul 3, für entsprechende Drittlandübermittlungen. Die Zuordnung stützt sich nicht allein auf die DPF-Zertifizierung. Die erforderliche Prüfung der konkreten Übermittlung und ergänzender Schutzmaßnahmen bleibt bestehen. Quelle: https://f001.backblazeb2.com/file/backblaze-policies/Backblaze-DPA-Module-3-P2P-with-Transfer-Terms.docx.pdf . Die Annahme durch den Shop und seine Genehmigung werden gesondert dokumentiert. Die Expo-DPA benennt den Kunden in §3.1 als Verantwortlichen und Expo als Auftragsverarbeiter. Eine ausdrückliche Regelung für den Kunden als Auftragsverarbeiter eines Shops enthält sie nicht. Expo hat eine Ergänzung und eine Auslegung des Ausschlusses von Beschäftigungsinformationen in §§1.1(j), 3.3 abgelehnt. Die Entscheidung des Betreibers, den bestehenden Push-Dienst fortzuführen, ist keine Bestätigung, dass diese Auslegungsfragen rechtlich geklärt sind; zwingende Datenschutzpflichten und die Verantwortung des Auftragnehmers bleiben unberührt. Für konkrete Drittlandübermittlungen müssen Empfänger, Kategorien, Orte, Rollen und die jeweils einschlägige Grundlage samt erforderlichen Garantien zugeordnet sein. DPF-Angabe, DPA, Verschlüsselung oder EU-Region allein ersetzen diese Zuordnung nicht. Nähere Angaben zu einschlägigen Garantien können über privacy@barvio.at angefordert werden. 7. Zweckbezogene Aufbewahrung und Grenzen der technischen Durchsetzung Die folgenden zweckbezogenen Regeln sind keine Bestätigung bereits durchgeführter Löschungen: - Konto- und Profildaten bleiben während der Teilnahme erforderlich. Nach verifizierter Löschanfrage ist die Zugriffssperre vorgesehen; die manuelle Löschbearbeitung folgt der bestehenden 30-Tage-Regel. Pseudonymisierung allein ist keine Löschung oder Anonymisierung. - Persönliche Shop-Mitgliedschaftsdaten sowie nicht mehr erforderliche Mitgliedschafts- und inaktive Mitarbeiterprofildaten werden innerhalb von 30 Tagen nach Ende der jeweiligen Mitgliedschaft entfernt, wenn der Shop weiter teilnimmt. Historische Arbeitszeiten und Abwesenheitsintervalle folgen einer getrennten, vor Beginn dokumentierten Weisung des Shops zu Erforderlichkeit, Dauer und Löschung; sie dürfen nicht unbefristet fortbestehen. Einladungs- und Routingdaten folgen nach Ablehnung, Ablauf oder abgeschlossenem Onboarding derselben 30-Tage-Regel; eine weiterhin erforderliche persönliche Zulassungsbindung ist davon gesondert zu behandeln. - Supportinhalte und Anhänge folgen der Regel von 90 Tagen nach Fallabschluss; Sicherheits- und Laufzeitprotokolle höchstens 30 Tagen, Metriken ohne persönliche Labels sieben Tagen. Bei Migadu werden aktive Systeme nach Ende des Migadu-Dienstvertrags binnen 30 Tagen gelöscht; verschlüsselte Sicherungen können bis zu 60 Tage fortbestehen. Das ist keine Frist für einzelne Supportnachrichten während des laufenden Vertrags und verlängert keine Barvio-Rückgabe-/Löschpflicht. - Die bestehende Drei-Jahres-Regel nach Teilnahmeende beziehungsweise Abschluss einer Datenschutzanfrage betrifft nur erforderliche minimale, zugriffsbeschränkte Nachweise. Sie ist keine gesetzliche Mindestfrist und keine pauschale Aufbewahrung aller Identitätsdaten, vollständigen Kopien oder exportierten Inhalte. - Tägliche B2-Sicherungen folgen einer aktivierten logischen 35-Tage-Regel ohne monatliche Beta-Archive. Die letzte brauchbare Wiederherstellungskopie kann länger vorgehalten werden. Keine Garantie physischer Löschung aller Objekte oder verborgenen Versionen nach 35 Tagen. Der für Shopdaten vorgesehene Auftragsverarbeitungsvertrag legt für Primärdaten und von Barvio kontrollierte Arbeitskopien spätestens 30 Tage nach Shopende oder einer hinreichend bestimmten, verifizierten Weisung Rückgabe oder Löschung fest. Diese Pflicht gilt für den jeweiligen Shop erst nach wirksamem Vertragsabschluss. Sicherungsausnahmen werden getrennt ausgewiesen. Nicht mehr erforderliche Mitgliedschafts- und inaktive Mitarbeiterprofildaten werden bei Ende der Mitgliedschaft innerhalb von 30 Tagen entfernt. Für historische Arbeitszeiten und Abwesenheitsintervalle legt der Shop getrennt und vor Beginn der Verarbeitung Erforderlichkeit, Dauer und Löschweisung fest. Deaktivierung oder Zugangsentzug allein löscht keine historischen Zeitdaten. Echte Kundenabläufe bleiben ausgeschlossen. Eine einzeln begründete gesetzliche Pflicht, Sicherheitsuntersuchung oder offene Rechtsangelegenheit kann nur die hierfür nötigen Daten beschränkt sperren. Umfang und Erforderlichkeit sind nach der bestehenden Regel mindestens alle 30 Tage zu prüfen. Ein funktionsfähiger Warnkanal, synthetische Löschtests oder eine isolierte Restore-Prüfung belegen nicht den Abschluss eines konkreten Löschfalls. Wiederhergestellte Bestände bleiben bis zum geprüften Abgleich mit der aktuellen Lösch- und Sperrhistorie vom aktiven Dienst getrennt. Eine durchgängig automatisierte Wiederherstellungsbereinigung wird nicht zugesagt. 8. Rechte und Kontaktweg Nach Maßgabe der DSGVO bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Soweit eine Verarbeitung auf Einwilligung beruht, kann diese für die Zukunft widerrufen werden. Bei Verarbeitung auf berechtigter Interessenbasis kann aus Gründen der besonderen Situation widersprochen werden. Anfragen zu eigenen Barvio-Kontozwecken sind an privacy@barvio.at oder die angegebene Postanschrift möglich. Sie werden innerhalb der gesetzlichen Fristen behandelt; nötige Identitätsprüfungen müssen verhältnismäßig sein. Für Mitarbeiterdaten im Shopauftrag ist der Shop zuständig; Barvio unterstützt und leitet entsprechende Anfragen weiter. Der persönliche Kontoexport ersetzt keinen vollständigen Export aller Mitarbeiterprofile, Arbeitszeiten und Abwesenheiten. Der ergänzende sichere Bearbeitungsweg für Auskunft, Rückgabe, Einschränkung und Löschung dieser Daten muss vor der Betriebsfreigabe nachgewiesen sein. Eine funktionierende Mailantwort ist noch keine abgeschlossene Datenschutzfallbearbeitung. Eine Beschwerde kann insbesondere an die Österreichische Datenschutzbehörde gerichtet werden: https://www.dsb.gv.at/ . Es erfolgt keine durch diese Shopteilnahme veranlasste ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung. 9. Teilnahmeende und Dokumentversion Das gemeinsame Feldtestfenster vom 1. November bis einschließlich 20. Dezember 2026 in Europe/Vienna ist geplant, nicht allein durch diese Information aktiviert. Der gemeinsame exklusive Endzeitpunkt ist 2026-12-20T23:00:00Z; eine persönliche Zulassung kann früher ablaufen. Das Ende eines Zugangs ist nicht automatisch der Abschluss sämtlicher datenschutzrechtlicher Pflichten. Historische Dokumente und TEST_ONLY-Belege bleiben unverändert. Eine neue Shopinformation ist als eigene unveränderliche Version bereitzustellen und ihr Erhalt getrennt von vertraglichen Annahmen nachzuweisen. Die erforderlichen persönlichen Customer-/Partner-Vereinbarungen und Informationen sowie Shopbedingungen und AVV müssen für den neuen Umfang zusammenpassen. Ihr Wechsel wertet keine alten Belege rückwirkend auf und erteilt keine automatische Einladung, Fristverlängerung oder neue Zugangsrechte.