Datenschutzerklärung - HEXLE Development & IT Solutions e.U.

1. Verantwortlicher für die Datenverarbeitung

Verantwortlicher im Sinne der Datenschutzgesetze ist:
HEXLE Development & IT Solutions e.U.
Inhaber: Benjamin Hauser
Adresse: Zehentstraße 9, 6830 Rankweil, Österreich
E-Mail: privacy@hexle.at
Telefon: +43 677 61670124
Firmenbuchnummer: FN 621822w
Umsatzsteuer-Identifikationsnummer: ATU80447107

2. Erhebung und Verarbeitung personenbezogener Daten

Sobald Sie als Benutzer unsere Webseite aufrufen oder besuchen, erfassen wir aus technischen Gründen und zur Gewährleistung der Funktionsfähigkeit und Sicherheit unserer Dienste bestimmte Daten. Die Verarbeitung dieser Daten stellt ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO dar.

IP-Adresse: Ihre IP-Adresse wird erfasst, um die Kommunikation zwischen Ihrem Browser und unserem Server zu ermöglichen. IP-Adressen sind personenbezogene Daten im Sinne der DSGVO (EuGH, Urteil vom 19.10.2016, C-582/14 – Breyer).
Beginn und Ende der Sitzung: Diese Daten dienen der Nachvollziehbarkeit technischer Abläufe und zur Erkennung potenzieller Sicherheitsrisiken.
Speicherdauer: Diese technischen Zugriffsdaten werden – einheitlich mit den unter Punkt 5 beschriebenen Server-Log-Daten – spätestens nach 30 Tagen gelöscht, sofern keine weitergehende Aufbewahrung zur Aufklärung konkreter Sicherheitsvorfälle erforderlich ist.

3. Kontaktaufnahme und Kommunikation

Wenn Sie uns per E-Mail, über ein Kontaktformular auf unserer Webseite oder telefonisch kontaktieren, werden die von Ihnen übermittelten Daten zur Bearbeitung Ihrer Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Die Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung oder vorvertragliche Maßnahmen) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung Ihrer Anfrage).

Umfang der Daten: Dies umfasst in der Regel Ihren Namen, Ihre E-Mail-Adresse, Telefonnummer und den Inhalt Ihrer Nachricht.
Speicherdauer: Die Daten werden für die Dauer der Bearbeitung Ihrer Anfrage und anschließend für sechs Monate gespeichert, um auf eventuelle Rückfragen reagieren zu können. Eine Weitergabe Ihrer Daten an Dritte ohne Ihre ausdrückliche Einwilligung erfolgt nicht.

4. Cookies und Tracking-Technologien

Unsere Webseite verwendet sogenannte Cookies. Dies sind kleine Textdateien, die von Ihrem Browser auf Ihrem Endgerät abgelegt werden und keinen Schaden anrichten. Cookies dienen dazu, unser Angebot nutzerfreundlicher, effektiver und sicherer zu machen. Technisch notwendige Cookies werden auf Grundlage von § 165 Abs. 3 TKG 2021 (Ausnahme von der Einwilligungspflicht) eingesetzt; die datenschutzrechtliche Rechtsgrundlage für die anschließende Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden Webauftritt). Für alle anderen Cookies (insbesondere Statistik- und Marketing-Cookies) holen wir Ihre ausdrückliche Einwilligung gemäß § 165 Abs. 1 TKG 2021 und Art. 6 Abs. 1 lit. a DSGVO ein. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Arten von Cookies:

Sitzungs-Cookies (Session Cookies): Diese sind temporär und werden automatisch gelöscht, wenn Sie Ihren Browser schließen. Sie ermöglichen es uns, wiederkehrende Besuche zu erkennen und die Webseite für die Dauer Ihrer Sitzung optimal zu gestalten.
Persistente Cookies: Diese Cookies bleiben auf Ihrem Endgerät gespeichert, bis Sie sie manuell löschen oder eine bestimmte Speicherdauer abläuft. Sie ermöglichen es uns, Ihren Browser bei Ihrem nächsten Besuch wiederzuerkennen.
Statistik-Cookies: Diese Cookies helfen uns zu verstehen, wie Besucher mit unserer Webseite interagieren. Der Dienst hierfür ist Microsoft Clarity, der pseudonymisierte Nutzungsdaten (Session-IDs, Klickverhalten, Scrollverhalten, gekürzte IP-Adressen) erhebt und in die USA überträgt. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework (DPF), unter dem Microsoft zertifiziert ist (Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO). Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Weitere Informationen finden Sie in der Datenschutzerklärung von Microsoft (Clarity).

Verwaltung von Cookies: Sie können Ihren Browser so einstellen, dass Sie über das Setzen von Cookies informiert werden und Cookies nur im Einzelfall erlauben, die Annahme von Cookies für bestimmte Fälle oder generell ausschließen sowie das automatische Löschen der Cookies beim Schließen des Browsers aktivieren. Sie können auch die Cookie-Einstellungen auf unserer Webseite nutzen, um die Cookie-Präferenzen einzustellen. Bitte beachten Sie, dass bei der Deaktivierung von Cookies die Funktionalität unserer Webseite eingeschränkt sein kann.

5. Server-Log-Dateien

Diese Webseite und der damit verbundene Provider erheben im Zuge der Webseitennutzung automatisch Informationen in sogenannten „Server-Log Files”. Diese Daten werden automatisch von Ihrem Browser übermittelt. Die Erhebung dieser Daten ist aus technischen Gründen für den Betrieb der Webseite und zur Gewährleistung der Systemsicherheit erforderlich und stellt ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO dar.

Erhobene Daten:

IP-Adresse oder Hostname
Verwendeter Browser (Browsertyp und -version)
Verwendetes Betriebssystem
Referrer URL (die zuvor besuchte Seite)
Hostname des zugreifenden Rechners
Uhrzeit der Serveranfrage
Aufgerufene Seiten der Webseite
Spracheinstellungen
„Leaving-Page” (auf welcher URL der Benutzer die Webseite verlassen hat)
ISP (Internet Service Provider)

Zweck der Datenverarbeitung: Diese Daten werden zur Sicherstellung des technischen Betriebs und zur Erkennung und Abwehr von Angriffen verarbeitet. Soweit die erhobenen Server-Log-Daten einen Personenbezug aufweisen (insbesondere IP-Adressen), werden sie spätestens nach 30 Tagen gelöscht. Im Falle konkreter Anhaltspunkte für rechtswidrige Aktivitäten ist HEXLE berechtigt, diese Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Aufklärung rechtswidriger Nutzung) für die Dauer der Aufklärung aufzubewahren und auszuwerten.

6. Datenverarbeitung im Rahmen unserer Produkte und Dienstleistungen

HEXLE bietet diverse Software- und IT-Lösungen an. Im Rahmen der Nutzung unserer Produkte und Dienstleistungen kann es zur Verarbeitung weiterer personenbezogener Daten kommen. Die Art und der Umfang der Datenverarbeitung hängen vom jeweiligen Produkt oder der Dienstleistung und der spezifischen Nutzung ab. Die Rechtsgrundlage ist in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung und Verbesserung der Dienste). Bei der Nutzung unserer Produkte und Dienstleistungen bleiben Sie als Kunde in der Regel der Verantwortliche im Sinne der DSGVO für die Daten Ihrer Nutzer oder Mitarbeiter. HEXLE agiert in diesen Fällen als Auftragsverarbeiter. In diesem Falle schließen wir mit Ihnen einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO ab.

Gemeinsame Hinweise zu allen Anwendungen: Unsere Anwendungen setzen keine Tracking-, Statistik- oder Marketing-Cookies ein. Verwendet werden ausschließlich ein funktionaler Cookie für die gewählte Darstellung (hell/dunkel) sowie technisch notwendiger Browserspeicher für die Anmeldung, für Oberflächeneinstellungen (z.B. Spalten- und Filterauswahl) und – bei einzelnen Produkten – für den Offlinebetrieb. Die Anmeldung erfolgt über ein einheitliches Verfahren (OAuth2 mit PKCE); Zugriffstoken werden ausschließlich im Arbeitsspeicher gehalten, das Erneuerungstoken wird in einem für JavaScript nicht auslesbaren HttpOnly-Cookie gespeichert. Die Speicherung und Verarbeitung erfolgt auf Servern in Österreich oder der Europäischen Union. In keinem unserer Produkte kommen Verfahren der künstlichen Intelligenz oder eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO zum Einsatz.

a) HEXLE Core (Benutzerkonto, Unternehmens- und Plattformverwaltung)

Verarbeitete Daten: Kontodaten (Benutzername, Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Titel, Beruf, Geschlecht, Sprache, Kontostatus, Zeitpunkt der letzten Aktivität, frühere Benutzernamen), Anmelde- und Sicherheitsdaten (Passwort ausschließlich in gehashter Form, optionale Zwei-Faktor-Authentifizierung per TOTP samt Backup-Codes), Unternehmensdaten (Firmenname, UID, Firmenbuchnummer, Rechtsform, Logo), Mitarbeiterstammdaten (Name, E-Mail, Telefon, Personalnummer, Eintrittsdatum), Adressdaten, Rollen- und Berechtigungszuordnungen, Rechnungs- und Zahlungsstatusdaten sowie hochgeladene Dateien.
Zweck der Verarbeitung: Bereitstellung und Absicherung des Benutzerkontos, Verwaltung von Unternehmen, Mitarbeitern, Teams und Berechtigungen, Abwicklung von Bestellungen und Rechnungsstellung sowie Bereitstellung der übrigen HEXLE-Produkte, für die HEXLE Core die gemeinsame Grundlage bildet.
Benachrichtigungen: Wir versenden betriebs- und sicherheitsrelevante Mitteilungen per E-Mail, ergänzend optional Browser-Push-Benachrichtigungen. Die technische Zustellung von Push-Nachrichten erfolgt zwingend über den Push-Dienst des von Ihnen eingesetzten Browsers bzw. Betriebssystems; dabei kann eine Übermittlung an Anbieter außerhalb der EU nicht ausgeschlossen werden. Sie können Push-Benachrichtigungen jederzeit im Browser deaktivieren.
Löschung: Die Kontolöschung erfolgt zweistufig über einen Bestätigungslink und kann bis zum Abschluss abgebrochen werden; wahlweise wird das Konto vollständig gelöscht oder es werden nur die persönlichen Daten entfernt, sofern Unternehmenszugehörigkeiten fortbestehen. Unternehmen werden nach einer Frist von 60 Tagen gelöscht bzw. anonymisiert; auch dieser Vorgang kann innerhalb der Frist abgebrochen werden.
Datenhoheit: Für Ihr eigenes Benutzerkonto ist HEXLE Verantwortlicher (Art. 6 Abs. 1 lit. b DSGVO). Für die Daten Ihrer Mitarbeiter, Kunden und sonstigen Betroffenen, die Sie in der Plattform verarbeiten, bleiben Sie Verantwortlicher; HEXLE agiert insoweit als Auftragsverarbeiter.

b) HEXLE LZE (Zeiterfassung /-management)

Verarbeitete Daten: Im Rahmen von HEXLE LZE werden personenbezogene Daten der Mitarbeiter erfasst, wie z.B. Name, Personalnummer, Arbeitszeiten (Beginn, Ende, Pausen), Abwesenheiten (Urlaub, Krankenstand), Projekte, Tätigkeiten. Hinzu kommen Monatsabrechnungen (Timesheets) einschließlich des Bestätigungs- und Freigabeverlaufs, Tätigkeits- und Leistungsberichte, Ziele samt Fortschrittsverlauf sowie wiederkehrende Team-Statusberichte.
Zweck der Verarbeitung: Diese Daten werden zur Zeiterfassung, Projektzeiterfassung, Urlaubsplanung, Lohn- und Gehaltsabrechnung und zur Einhaltung gesetzlicher Vorschriften (z.B. Arbeitszeitgesetze) verarbeitet. Hinweise der Software auf mögliche arbeitszeitrechtliche Auffälligkeiten sind ein reines Unterstützungswerkzeug zur Sichtprüfung und ersetzen keine rechtliche Prüfung.
Protokollierung: Zur Sicherheit und Nachvollziehbarkeit protokolliert die Plattform Anmeldeereignisse, sicherheitsrelevante Systemzugriffe und Änderungen an Datensätzen (Art. 6 Abs. 1 lit. f DSGVO).
Optionaler Desktop-Client: Für HEXLE LZE wird ein optionaler Desktop-Client angeboten, der auf dem Endgerät des Mitarbeiters läuft. Dieser erfasst in einstellbaren Intervallen den Namen des aktiven Fensters und des zugehörigen Prozesses, Inaktivitätszeiten sowie optional Git-Aktivität (Repository, Branch, Commits). Nicht erfasst werden Tastatureingaben, Inhalte der Zwischenablage oder Bildschirmfotos; bei der Inaktivitätsmessung wird ausschließlich der Zeitpunkt der letzten Eingabe gelesen, niemals die Eingabe selbst. Sämtliche dieser Rohdaten verbleiben lokal auf dem Endgerät und werden nicht automatisch an HEXLE übertragen. Aus ihnen erzeugt der Client lokal und regelbasiert Buchungsvorschläge. An HEXLE übermittelt wird ausschließlich derjenige Zeiteintrag (Zeitraum, Projekt, Beschreibung), den der Mitarbeiter selbst aus einem Vorschlag übernimmt; die zugrunde liegenden Rohdaten werden nicht übertragen. Der Mitarbeiter kann die Erfassung jederzeit pausieren, einen Privatmodus aktivieren, Prozesse und Fenstertitel von der Erfassung ausschließen und sämtliche lokalen Daten löschen. Für Einsatz, Konfiguration und arbeitsrechtliche Zulässigkeit des Desktop-Clients ist der Arbeitgeber als Verantwortlicher zuständig (Art. 88 DSGVO iVm § 12 DSG, § 96 Abs. 1 Z 3 bzw. § 96a ArbVG).
Datenhoheit: Als Kunde von HEXLE LZE bleiben Sie der Verantwortliche im Sinne der DSGVO für die Daten Ihrer Mitarbeiter. HEXLE agiert als Auftragsverarbeiter und verarbeitet die Daten ausschließlich nach Ihren Weisungen und auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

c) HEXLE Ticket (Ticketsystem für Events)

Verarbeitete Daten: Bei der Nutzung von HEXLE Ticket können Daten von Eventteilnehmern und Veranstaltern verarbeitet werden, z.B. Name, Kontaktdaten (E-Mail, Telefon), Ticketinformationen, Sitzplatzzuordnung sowie Zahlungsstatusdaten. Bei aktivierter Ticketpersonalisierung kommen Name, E-Mail-Adresse und – sofern der Veranstalter eine Altersgrenze festlegt – das Geburtsdatum der personalisierten Person hinzu; zusätzlich wird der Zeitpunkt der erteilten Zustimmung dokumentiert. Veranstalter können darüber hinaus frei definierbare Zusatzfelder einrichten; deren Inhalt bestimmt allein der Veranstalter, eine inhaltliche Prüfung oder Klassifizierung durch die Software findet nicht statt.
Zweck der Verarbeitung: Organisation und Verwaltung von Events, Ticketverkauf, Sitzplatzvergabe, Teilnehmerregistrierung, Einlasskontrolle und Kommunikation mit Teilnehmern.
Einlasskontrolle: Die Prüfung der Tickets erfolgt über QR-Codes in der Web-Anwendung oder in unserer Android-App. Der Kamerazugriff dient ausschließlich der Erkennung des QR-Codes und erfolgt lokal auf dem Gerät; Bild- oder Videodaten werden nicht an HEXLE übertragen und nicht gespeichert. Weitere Geräteberechtigungen (Standort, Bluetooth, NFC) werden nicht angefordert.
Zahlungen: Für Online-Zahlungen können Stripe und PayPal eingebunden werden (siehe Punkt 9); Zahlungen an der Abendkasse erfolgen ohne Einbindung eines Zahlungsdienstleisters.
Datenhoheit: Der Veranstalter ist der Verantwortliche für die Daten der Eventteilnehmer und insbesondere für Erforderlichkeit und Rechtsgrundlage der über Zusatzfelder erhobenen Daten. HEXLE agiert als Auftragsverarbeiter.

d) SELF Gastronomie (Reservierung, Bestellung, Kassensystem und Kantinenverpflegung) Das Produkt wurde bisher als „SELF Reservierungen” bezeichnet und um weitere Module erweitert.

Verarbeitete Daten: Daten von Gästen (z.B. Name, Kontaktdaten, Reservierungsdetails, Tischzuordnung, Bestellungen und Präferenzen), Daten von Kantinennutzern (Name, E-Mail-Adresse bzw. verknüpftes Konto, Vorbestellungen, Abholcodes) sowie Daten der Mitarbeiter des Betriebs (Name, Personalnummer, Anzeigename auf Belegen). Hinzu kommen Bestell-, Beleg- und Umsatzdaten aus dem Kassenmodul.
Angaben zu Allergenen und Unverträglichkeiten: Speisekarte, Bestellung, Reservierung und Kantinenplan sehen die Kennzeichnung von Allergenen und Diätangaben vor. Angaben einzelner Gäste zu Unverträglichkeiten können Gesundheitsdaten im Sinne des Art. 9 DSGVO darstellen. Für das Vorliegen einer Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO – regelmäßig die ausdrückliche Einwilligung des Gastes – ist der Betrieb als Verantwortlicher zuständig. HEXLE sichert für diese Datenkategorie durch besondere technische und organisatorische Maßnahmen ein angemessenes Schutzniveau zu.
Kantinenverpflegung und Minderjährige: Die Kantinenfunktion kann so konfiguriert werden, dass sie ausschließlich Angehörigen einer Einrichtung – ausdrücklich auch Schülerinnen und Schülern – offensteht. In diesem Fall werden Daten Minderjähriger verarbeitet; der Betreiber der Einrichtung ist als Verantwortlicher für Rechtsgrundlage, Information und erforderlichenfalls Einwilligung der Erziehungsberechtigten zuständig. Eine Vorbestellung ist je nach Konfiguration auch ohne Benutzerkonto über einen persönlichen Link möglich.
Terminal-Software und lokale Speicherung: Für den Kassenbetrieb wird eine Desktop-/Terminal-Anwendung bereitgestellt. Sie kommuniziert lokal mit angeschlossenen Bondruckern (über Serial/USB) und hält abgeschlossene Kassenvorgänge, Belege und Bestellungen im Offlinebetrieb in einem lokalen Speicher des Geräts vor, bis diese mit dem Server abgeglichen werden. Diese lokal gespeicherten Daten befinden sich im Verantwortungsbereich des Betriebs, der das Endgerät gegen unbefugten Zugriff zu sichern hat. Das Zugangsgeheimnis des Terminals wird verschlüsselt im Betriebssystem hinterlegt.
Marktplatz: Der Marktplatz ist ein von HEXLE selbst betriebenes Verzeichnis teilnehmender Betriebe; eine Übermittlung an externe Reservierungsportale findet nicht statt.
Datenhoheit: Der Gastronomiebetrieb bzw. der Betreiber der Einrichtung ist der Verantwortliche für die Daten seiner Gäste und Kantinennutzer. HEXLE agiert als Auftragsverarbeiter.

e) HEXLE Bookings (Buchungssystem für Kurse und Termine)

Verarbeitete Daten: Bei der Nutzung von HEXLE Bookings werden personenbezogene Daten von Buchenden, Teilnehmern und Dienstleistern verarbeitet, wie z.B. Name, E-Mail-Adresse, Buchungs- und Stornodetails sowie Zahlungsstatusdaten. Meldet ein Teilnehmer eine Abwesenheit, kann er angeben, dass er eine SMS-Benachrichtigung wünscht, und hierfür eine Telefonnummer hinterlegen. Diese Angaben werden derzeit ausschließlich gespeichert; ein SMS-Versand findet nicht statt, da keine Versandfunktion und kein SMS-Dienstleister eingebunden sind. Zusätzlich dokumentiert das System, welche Fassung der vom Veranstalter hinterlegten Dokumente (AGB, Kursvereinbarung, Widerrufsbelehrung) der Buchende akzeptiert hat, jeweils mit Zeitstempel.
Frei definierbare Zusatzfelder: Veranstalter können eigene Felder einrichten (Text, Zahl, Datum, Ja/Nein, Auswahl und Adresse) und deren Pflichtcharakter festlegen. Welche Daten damit erhoben werden, bestimmt allein der Veranstalter; eine inhaltliche Prüfung oder Klassifizierung durch die Software findet nicht statt. Für Erforderlichkeit, Datenminimierung und Rechtsgrundlage – insbesondere bei besonderen Kategorien nach Art. 9 DSGVO und bei Daten Minderjähriger – ist der Veranstalter als Verantwortlicher zuständig.
E-Mail-Versand: Nachrichten an Teilnehmer werden über die Mailinfrastruktur von HEXLE versendet (siehe Punkt 8).
Zweck der Verarbeitung: Verwaltung von Kurs- und Terminbuchungen, Wartelisten und Stornierungen, Anwesenheitserfassung per QR-Code, Kundenkommunikation, Abwicklung von Zahlungen.
Datenhoheit: Der Dienstleister bzw. Veranstalter ist der Verantwortliche für die Daten seiner Kunden. HEXLE agiert als Auftragsverarbeiter.

f) HEXLE Education (Schul- und Unterrichtsverwaltung)

Verarbeitete Daten: Stammdaten von Schülerinnen und Schülern (Vorname, Nachname, E-Mail-Adresse, Kennung aus dem Quellsystem, Aktiv-Status), Stammdaten von Lehrkräften (Vorname, Nachname, Kürzel, E-Mail-Adresse), Klassen- und Gruppenzugehörigkeiten mit Gültigkeitszeitraum, Schuljahre, Fächer sowie Pool-Perioden, Pool-Slots und die zugehörigen Buchungen. Über das verknüpfte Plattformkonto können zusätzlich Benutzername, Telefonnummer, Titel, Beruf, Geschlecht und Sprache verarbeitet werden.
Fehlzeiten und Entschuldigungen – besondere Kategorien: Zu Fehlzeiten werden Datum, Zeitraum, Fach, der Abwesenheitsgrund als Freitext und der Entschuldigungsstatus verarbeitet. Der Grund stammt aus dem Klassenbuch der Einrichtung und enthält regelmäßig Gesundheitsdaten im Sinne des Art. 9 DSGVO. Gleiches gilt für den Entschuldigungs-Workflow, in dem Begründungstexte und hochgeladene Belege (Foto oder Scan) erfasst werden können. Für das Vorliegen einer Ausnahme nach Art. 9 Abs. 2 DSGVO ist die Einrichtung als Verantwortliche zuständig; sie weist ihre Lehrkräfte an, in Freitextfeldern nur die erforderlichen Angaben zu erfassen. Technisch ist der Zugriff eingeschränkt: In Listen und Auswertungen für Lehrkräfte wird der Grund nicht ausgegeben; Schülerinnen und Schüler sehen ihren eigenen Grund.
Nicht verarbeitet: Die Software sieht keine Felder für Geburtsdatum, Staatsangehörigkeit, Muttersprache, Religionsbekenntnis, Förderbedarf, Adresse oder Sozialversicherungsnummer vor. Noten werden nicht aus WebUntis übernommen.
Minderjährige: Es werden regelmäßig Daten Minderjähriger verarbeitet. Verantwortlicher ist die Schule bzw. die Einrichtung; sie stellt die Rechtsgrundlage sicher und informiert die Betroffenen in altersgerechter Form (Art. 12 Abs. 1 DSGVO). Die Software enthält keine Altersprüfung, keine Verwaltung von Einwilligungen der Erziehungsberechtigten und keine eigene Rolle für Erziehungsberechtigte.
Datenherkunft: Datensätze werden manuell erfasst, aus WebUntis übernommen oder durch Selbstregistrierung über die Anmeldung angelegt. Die WebUntis-Anbindung erfolgt ausschließlich lesend; es werden keine Daten nach WebUntis zurückgeschrieben. Übernommen werden je nach Einrichtung Lehrkräfte, Klassen, Fächer, Räume, Schuljahre, Ferien, Schülerstammdaten, Stundenplandaten, Prüfungstermine, Abwesenheiten von Lehrkräften und Fehlzeiten von Schülerinnen und Schülern. Der Zugang zu WebUntis wird von der Einrichtung selbst konfiguriert und verantwortet (siehe Punkt 9); die Zugangsdaten werden verschlüsselt gespeichert.
Aktualisierung und Löschung: Datensätze, die WebUntis nicht mehr liefert, werden auf inaktiv gesetzt, aber nicht automatisch gelöscht. Eine in WebUntis nachträglich gelöschte oder korrigierte Fehlzeit wird in HEXLE nicht automatisch entfernt; entsprechende Korrekturen nimmt die Einrichtung selbst vor.
Export: Berechtigte Nutzer der Einrichtung können Listen – auch mit personenbezogenen Daten – lokal als Excel, CSV oder PDF exportieren. Mit dem Export verlassen die Daten den von HEXLE kontrollierten Bereich; der weitere Umgang liegt in der Verantwortung der Einrichtung.
Datenhoheit: Die Schule bzw. Einrichtung ist der Verantwortliche. HEXLE agiert als Auftragsverarbeiter.

g) HEXLE Editor (Saalpläne und Dokumentvorlagen)

Der HEXLE Editor ist kein eigenständiges Produkt, sondern eine in die Plattform integrierte Bearbeitungsoberfläche, mit der Saal- und Tischpläne (für HEXLE Ticket und SELF Gastronomie) sowie Vorlagen für Dokumente und Tickets erstellt werden.
Verarbeitete Daten: Verarbeitet werden im Wesentlichen Struktur- und Gestaltungsdaten (Ebenen, Bereiche, Reihen, Sitze, Tische, Kategorien, Layoutelemente, Feldplatzhalter) ohne Personenbezug. Personenbezogen sind lediglich die Kennung des zuletzt bearbeitenden Benutzers sowie die Anmeldedaten des Plattformkontos. In Dokumentvorlagen werden ausschließlich Platzhalter hinterlegt; die Befüllung mit tatsächlichen Daten erfolgt erst beim späteren Erzeugen des jeweiligen Dokuments im zugehörigen Produkt.
Datenhoheit: Es gelten die Regelungen des Produkts, für das die jeweilige Vorlage erstellt wird.

h) Individualentwicklungen (Websites, etc.)

Verarbeitete Daten: Im Rahmen von Individualentwicklungen kann die Verarbeitung von personenbezogenen Daten stark variieren und hängt vom jeweiligen Projekt ab. Dies kann Kundendaten, Nutzerdaten, etc. umfassen.
Zweck der Verarbeitung: Umsetzung kundenspezifischer Software- und Webprojekte.
Datenhoheit: Die Verantwortlichkeit für die verarbeiteten Daten wird jeweils im Rahmen des Projektvertrages und eines Auftragsverarbeitungsvertrages zwischen HEXLE und dem Kunden geregelt.

i) Domain- und Serververkäufe über Partner

Verarbeitete Daten: Bei der Vermittlung von Domain- und Serverdienstleistungen über Partner werden die für die Bestellung und Registrierung notwendigen Daten an den jeweiligen Partner übermittelt (z.B. Name, Adresse, Kontaktdaten des Domaininhabers/Nutzers).
Zweck der Verarbeitung: Vermittlung und Abwicklung von Domain- und Serverdiensten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Verantwortung für die Datenverarbeitung bei den Partnern liegt bei diesen Anbietern. Bitte beachten Sie deren Datenschutzerklärungen.

j) Hardwareverkäufe (PCs, Drucker, etc.)

Verarbeitete Daten: Bei Hardwareverkäufen werden zur Abwicklung des Kaufvertrages und der Lieferung die notwendigen Kundendaten (Name, Adresse, Kontaktdaten, Bestelldaten, Zahlungsdaten) verarbeitet.
Zweck der Verarbeitung: Abwicklung von Kaufverträgen, Lieferung, Rechnungsstellung, Gewährleistungsabwicklung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

7. Protokollierung, Fehleranalyse und Sicherheit

Zur Absicherung des Betriebs, zur Nachvollziehbarkeit von Änderungen und zur Abwehr von Missbrauch protokollieren unsere Anwendungen bestimmte Vorgänge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und nachvollziehbaren Betrieb), bei gesetzlich vorgeschriebenen Nachweispflichten Art. 6 Abs. 1 lit. c DSGVO.

Zugriffsprotokoll der Schnittstelle: Zeitpunkt, aufgerufene Funktion, Statuscode, Verarbeitungsdauer, Benutzer- und Unternehmenskennung, IP-Adresse und Browserkennung. Inhalte von Anfragen werden standardmäßig nicht gespeichert; erfasst wird lediglich eine Prüfsumme. Zugangsdaten werden von der Protokollierung ausgenommen. Speicherdauer: 90 Tage.
Anmeldeereignisse: Anmeldungen und Fehlversuche (einschließlich der dabei eingegebenen Benutzerkennung), Abmeldungen, Passwortänderungen und -zurücksetzungen, Vorgänge der Zwei-Faktor-Authentifizierung, verweigerte Berechtigungen sowie Sperren. Erfasst werden dabei ebenfalls IP-Adresse und Browserkennung. Speicherdauer: 730 Tage.
Änderungshistorie: Für bestimmte Datensätze wird festgehalten, wer sie wann angelegt, geändert oder gelöscht hat, einschließlich der alten und neuen Feldwerte. Speicherdauer: 730 Tage.
Systemvorgänge: Protokolle über Hintergrundläufe und Systemaktionen. Speicherdauer: 365 Tage.
Fehler- und Leistungsüberwachung: Zur Erkennung und Behebung von Störungen werden Fehlermeldungen und Leistungsdaten an eine von HEXLE selbst betriebene Instanz der Software Sentry übermittelt. Übertragen werden dabei technische Angaben zum Fehler, die aufgerufene Adresse und je nach Konfiguration die IP-Adresse des Aufrufs. Sicherheitsrelevante Kopfzeilen (etwa Anmeldeinformationen und Cookies) werden vor der Übermittlung entfernt. Eine Übermittlung an Dritte findet dabei nicht statt.

Diese Protokolle dienen ausschließlich der Sicherheit, Fehleranalyse und Nachvollziehbarkeit. Eine Verwendung zur Verhaltens- oder Leistungskontrolle von Beschäftigten durch HEXLE findet nicht statt.

8. E-Mail-Versand, Versandprotokoll und Support-Postfach

Versand: Systemnachrichten unserer Produkte (z.B. Bestätigungen, Erinnerungen, Rechnungen, Einladungen, Bescheinigungen) versenden wir über unsere eigene Mailinfrastruktur. Ein externer Versanddienstleister wird nicht eingesetzt.
Versandprotokoll: Zum Nachweis der Zustellung und zur Fehlersuche protokollieren wir versendete Nachrichten einschließlich Empfängeradresse, Betreff, Nachrichteninhalt und Anhängen.
Linkerfassung: Links in Systemnachrichten werden umgeschrieben. Beim Anklicken erfassen wir Zeitpunkt, IP-Adresse und Browserkennung, um die Zustellung und Nutzung nachvollziehen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Support-Postfach (Modul „Mail”): Buchen Kunden das gesondert lizenzierte Modul „Mail”, können sie ein eigenes E-Mail-Postfach hinterlegen. In diesem Fall rufen wir das Postfach über IMAP ab und versenden über dessen SMTP-Zugang. Die abgerufenen Nachrichten werden einschließlich Absender, Empfänger, Betreff, Inhalt, Kopfzeilen und Anhängen in unserem System gespeichert. Die Zugangsdaten des Postfachs werden verschlüsselt abgelegt und nicht über die Schnittstelle ausgegeben. Der jeweilige E-Mail-Anbieter des Kunden ist dessen eigener Dienstleister.

9. Datenübermittlung an Dritte und Sub-/Auftragsverarbeiter

Eine Übermittlung Ihrer personenbezogenen Daten an Dritte findet grundsätzlich nicht statt, es sei denn, dies ist zur Vertragserfüllung notwendig, Sie haben ausdrücklich eingewilligt oder eine gesetzliche Verpflichtung besteht.

Folgende Kategorien von Empfängern können Daten erhalten:

IT-Dienstleister und Hosting-Provider: Zur Bereitstellung und Wartung unserer IT-Infrastruktur und Dienste.

Zahlungsdienstleister: Zur Abwicklung von Zahlungen. Angebunden sind ausschließlich PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) und Stripe (Stripe, Inc., USA). Bei Stripe kann eine Verarbeitung in den USA stattfinden; die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework, ergänzend abgesichert durch Standardvertragsklauseln. Die Bezahlung selbst findet auf einer Seite des jeweiligen Anbieters statt – Karten- und Kontodaten gelangen zu keinem Zeitpunkt zu HEXLE; gespeichert werden nur Vorgangskennungen, Betrag, Gebühr und Status. Nutzt ein Kunde die Zahlungsanbindung in seinem eigenen Mandanten, hinterlegt er dafür seine eigenen Zugangsdaten beim Anbieter; der Zahlungsdienstleister ist dann sein eigener Vertragspartner. Weitere Bezeichnungen wie Bar, Karte, Überweisung, SEPA-Lastschrift, Klarna, Apple Pay oder Google Pay dienen der Erfassung und Auswertung der Zahlungsart; eine eigene Anbindung dieser Anbieter durch HEXLE besteht nicht.

Prüfung von Umsatzsteuer-Identifikationsnummern: Zur Prüfung einer im Bestellvorgang angegebenen UID wird diese an das Bestätigungsverfahren (MIAS/VIES) der Europäischen Kommission übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (Erfüllung umsatzsteuerlicher Pflichten).

Logistik- und Versanddienstleister: Zur Lieferung von Hardwareprodukten.

Rechts- und Steuerberater: Zur Erfüllung gesetzlicher Verpflichtungen (z.B. Buchhaltung, Steuerberatung).

Behörden: Wenn wir gesetzlich dazu verpflichtet sind (z.B. bei Vorliegen einer gerichtlichen Anordnung).

Sonstige Dritte: Nur mit Ihrer ausdrücklichen Einwilligung.

Wir setzen teilweise Dienstleister als Auftragsverarbeiter ein, die uns bei der Erfüllung unserer Aufgaben unterstützen (z.B. Hosting-Provider, IT-Dienstleister). Mit diesen Dienstleistern haben wir entsprechende Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen, die sicherstellen, dass Ihre Daten nur nach unseren Weisungen und unter Einhaltung strenger Sicherheitsmaßnahmen verarbeitet werden. Eine Übermittlung von Daten in Drittländer außerhalb der EU/des EWR erfolgt nur, wenn dies durch Angemessenheitsbeschlüsse der EU-Kommission genehmigt wurde oder entsprechende Standardvertragsklauseln und zusätzliche Schutzmaßnahmen implementiert wurden.

Kundenseitig konfigurierte Dienste: Einzelne Produkte erlauben es unseren Kunden, eigene Zugänge zu Drittdiensten zu hinterlegen oder Schnittstellen zu aktivieren – etwa die lesende Anbindung an WebUntis in HEXLE Education, ein eigenes E-Mail-Postfach für den Versand aus HEXLE Bookings oder einen externen Single-Sign-on-Anbieter. Diese Dienste werden nicht von HEXLE beauftragt, sondern vom jeweiligen Kunden ausgewählt und konfiguriert; sie sind daher keine Unterauftragsverarbeiter von HEXLE. Die datenschutzrechtliche Beziehung besteht unmittelbar zwischen dem Kunden und dem jeweiligen Anbieter.

Technische Zustellung von Push-Benachrichtigungen: Versendet eine unserer Anwendungen eine Push-Benachrichtigung an Ihren Browser oder Ihr Endgerät, erfolgt die Zustellung zwingend über den Push-Dienst des von Ihnen eingesetzten Browsers bzw. Betriebssystems. Übertragen werden dabei eine verschlüsselte Nachricht und eine geräteindividuelle Zustelladresse; eine Übermittlung an Anbieter außerhalb der EU lässt sich dabei nicht ausschließen. Auf die Auswahl dieses Dienstes haben wir keinen Einfluss, da sie durch Ihren Browser bestimmt wird.

Detaillierte Informationen zu den von uns eingesetzten Auftragsverarbeitern und Sub-Auftragsverarbeitern können Sie jederzeit unter https://docs.hexle.at/de/hexle_legal/4sub-processors einsehen.

10. Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur so lange, wie dies für die Erfüllung der jeweiligen Zwecke, für die sie erhoben wurden, erforderlich ist, oder wie es gesetzliche Aufbewahrungspflichten vorschreiben. Im Einzelnen gelten folgende Speicherdauern:

Technische Zugriffsdaten des Webservers / Server-Logs: 30 Tage
Zugriffsprotokoll der Schnittstelle (inkl. IP-Adresse): 90 Tage
Anmeldeereignisse (inkl. IP-Adresse): 730 Tage
Änderungshistorie an Datensätzen (alte und neue Werte): 730 Tage
Protokolle über Systemvorgänge: 365 Tage
Druckaufträge: 30 Tage
Sitzungs- und Erneuerungstoken: widerrufene Token 7 Tage, längstens 31 Tage
Kontaktanfragen: 6 Monate nach Abschluss der Bearbeitung
Vertragsdaten (Rechnungen, Buchhaltung): 7 Jahre (§ 132 BAO, § 212 UGB). Nach Ablauf dieser Frist werden die Empfängerdaten der Rechnung (Name, E-Mail-Adresse, UID, Rechnungsanschrift) überschrieben; der Buchungssatz selbst bleibt bestehen.
Löschung eines Benutzerkontos: Nach Bestätigung besteht eine Widerrufsfrist von 30 Tagen. Bei Löschung ausschließlich der persönlichen Daten erfolgt die Umsetzung nach 30 Tagen, bei vollständiger Löschung nach insgesamt 60 Tagen. Dabei werden Benutzername und E-Mail-Adresse unkenntlich gemacht, Zugangsdaten, Adressen und Sicherheitsmerkmale gelöscht sowie alle Sitzungen beendet.
Löschung eines Unternehmens: 60 Tage nach Beauftragung; der Vorgang kann innerhalb dieser Frist abgebrochen werden. Anschließend werden Mitarbeiter-, Kontakt- und Kundendaten unkenntlich gemacht. Rechnungsdaten bleiben aufgrund der gesetzlichen Aufbewahrungspflichten erhalten.
Daten im Rahmen unserer SaaS-Produkte: Für die Dauer des Vertragsverhältnisses; nach Vertragsende werden die Daten innerhalb von 90 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen
Cookie-Daten (Statistik-Cookies): Gemäß den Angaben des jeweiligen Dienstleisters (Microsoft Clarity: max. 13 Monate)
Lokal auf Endgeräten gespeicherte Daten: Daten, die ausschließlich auf einem Endgerät verbleiben – etwa die Aktivitätsdaten des optionalen HEXLE-LZE-Desktop-Clients oder die Offline-Warteschlange der SELF-Terminal-Anwendung – unterliegen nicht unserem Zugriff. Ihre Speicherdauer richtet sich nach den Einstellungen des jeweiligen Nutzers bzw. des Kunden; sie können dort jederzeit gelöscht werden.

Nach Ablauf der jeweiligen Fristen werden die Daten routinemäßig und sicher gelöscht.

11. Datensicherheit

Wir haben umfangreiche technische und organisatorische Maßnahmen implementiert, um Ihre personenbezogenen Daten vor Verlust, Missbrauch, unbefugtem Zugriff, Offenlegung, Veränderung oder Zerstörung zu schützen. Dazu zählen insbesondere Verschlüsselung bei Übertragung und Speicherung, Zugangs- und Zugriffskontrollen, eine rollenbasierte Rechtevergabe, die Trennung der Daten unterschiedlicher Mandanten sowie regelmäßige Datensicherungen.

Die einzelnen Maßnahmen können Sie hier einsehen: Technische und organisatorische Maßnahmen (TOM).

12. Ihre Rechte als betroffene Person

Als betroffene Person stehen Ihnen gemäß der DSGVO umfassende Rechte bezüglich der bei uns gespeicherten Daten zu:

Recht auf Auskunft (Art. 15 DSGVO): Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob personenbezogene Daten, die Sie betreffen, verarbeitet werden; ist dies der Fall, so haben Sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf weitere Informationen.
Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die unverzügliche Berichtigung unrichtiger personenbezogener Daten, die Sie betreffen, zu verlangen.
Recht auf Löschung („Recht auf Vergessenwerden”) (Art. 17 DSGVO): Sie haben das Recht, zu verlangen, dass personenbezogene Daten, die Sie betreffen, unverzüglich gelöscht werden, wenn bestimmte Gründe vorliegen (z.B. Zweckentfall, Widerruf der Einwilligung).
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, wenn bestimmte Voraussetzungen erfüllt sind (z.B. Richtigkeit der Daten bestritten wird).
Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen zu übermitteln.
Recht auf Widerspruch (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sofern die Verarbeitung auf Ihrer Einwilligung beruht, haben Sie das Recht, Ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.
Recht auf Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO): Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, haben Sie das Recht, jederzeit und ohne Angabe von Gründen Widerspruch gegen diese Verarbeitung einzulegen. HEXLE wird die betreffenden Daten dann nicht mehr für Zwecke der Direktwerbung verarbeiten.

Zur Geltendmachung Ihrer Rechte können Sie uns jederzeit unter den unter Punkt 1 genannten Kontaktdaten erreichen. Wir werden Ihre Anfrage unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang bearbeiten (Art. 12 Abs. 3 DSGVO).

13. Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen datenschutzrechtliche Bestimmungen verstößt, haben Sie das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren. In Österreich ist dies die:

Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien
E-Mail: dsb@dsb.gv.at
Telefon: +43 1 521 52-2564
Website: www.dsb.gv.at

14. Änderungen der Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie stets den aktuellen rechtlichen Anforderungen oder Änderungen unserer Leistungen anzupassen. Die jeweils aktuelle Version wird auf unserer Webseite veröffentlicht. Bitte informieren Sie sich regelmäßig über den Inhalt unserer Datenschutzerklärung.

Stand: September 2026