ventopay Datenschutzerklärung

Datenschutzerklärung für die Nutzung der Website/App

Stand [Juli 2026]

ventopay gmbh mit Sitz in Hagenberg und der Geschäftsanschrift Softwarepark 49, 4232 Hagenberg, eingetragen im Firmenbuch des Handelsgerichts Linz zu FN 372161 („Verantwortlicher„) bietet unter https://mocca.ventopay.com eine Website („Website„) und eine im Google Playstore und dem Apple Appstore verfügbare App („mocca.app“) (gemeinsam kurz „mocca„) an, welche es Mitarbeitern und/oder Kunden (gemeinsam kurz „Kunden„) ermöglicht, Menüpläne und Nährstoffangaben von im Restaurant oder in Kantinen des Verantwortlichen konsumierten Speisen einzusehen, empfohlene Nährstoffmengen (anhand der eigenen Körperparameter) abzurufen, an Bonusprogrammen teilzunehmen, Zahlungen durchzuführen und Rechnungen abzurufen.

1. Allgemeine Informationen

1.1

Verantwortlicher der Datenverarbeitungen ist die ventopay gmbh, Softwarepark 49, 4232 Hagenberg, E-Mail: office@ventopay.com.

1.2

Der Verantwortliche ist sich bewusst, dass der Schutz und der sorgfältige Umgang mit den personenbezogenen Daten des Kunden (im Folgenden kurz „Daten“) sehr wichtig sind. Diese Datenschutzerklärung klären über die Art, den Umfang und die Zwecke der Erhebung und Verwendung von Daten der Kunden durch den Verantwortlichen auf.

1.3

Der Verantwortliche wird Angaben, Informationen und Daten, die Kunden bekanntgeben, ausschließlich entsprechend den europäischen rechtlichen Vorgaben, dieser Datenschutzerklärung und gegebenenfalls der Einwilligung der Kunden verwenden.

1.4

Der Kunde hat das Recht, seine angegebenen Daten zu bearbeiten, zu ersetzen und/oder zu ändern. Der Kunde hat die Pflicht, seine angegebenen Daten aktuell und korrekt zu halten.

2. Erhebung der Daten

2.1

Nachstehende personenbezogene Daten des Kunden werden verarbeitet bzw. können verarbeitet werden:

• Nummer der Bezahlkarte;
• Passwort;
• Standortdaten;
• Logdaten (Aktion auf der Website);
• IP-Adresse;
• Personalnummer;
• Vor- Nachname.

Optional/Freiwillig

• Geburtsdatum;
• Größe;
• Gewicht;
• Geschlecht;
• E-Mailadresse;
• Benutzername;
• Bild.

Nachstehende Daten werden im Auftrag des Verantwortlichen durch Auftragsdatenverarbeiter erhoben. Der Verantwortliche erhebt und speichert diese Daten nicht.

• Kreditkartennummer;
• Sicherheitscode;
• Ablaufdatum der Kreditkarte;
• IBAN;

Im Rahmen der Nutzung der App werden aus technischen Gründen auch folgende gerätebezogene Informationen verarbeitet.

• Geräte-IDs;
• Device Tokens;
• IP-Adressen;
• App-Events;
• technische Verbindungs- und Nutzungsdaten;
• gegebenenfalls Sicherheits- und Authentifizierungsinformationen.

3. Speicherdauer

Der Verantwortliche speichert die Daten nur so lange, wie dies zur Erfüllung der jeweiligen Verarbeitungszwecke erforderlich ist.

Der Verantwortliche löscht die gesamten Daten des Kunden grundsätzlich nach Beendigung des Vertragsverhältnisses, spätestens jedoch nach Ablauf der gesetzlichen Aufbewahrungspflichten, insbesondere gemäß den handels- und steuerrechtlichen Rechnungslegungsvorschriften. Das unter Punkt 8.2. dieser Datenschutzerklärung dargestellte Recht auf Löschung bleibt hiervon unberührt.

4. Zweck der Erhebung und Rechtsgrundlage

4.1

Die Erstellung des Nutzerkontos erfolgt anhand der Nummer, die sich auf der Bezahlkarte des Kunden befindet, anhand eines Codes, der dem Mitarbeiter bekannt ist oder anhand eines an der Kassa übergebenen Codes. Die Nummer auf der Bezahlkarte oder ein dem Mitarbeiter bekannter Code oder ein an der Kasse übergebener Code dient zum Zeitpunkt der Erstellung des Nutzerkontos als Benutzername und auch als Passwort.

Der Kunde hat nach erfolgreicher Erstellung eines Nutzerkontos (=Vertragsabschluss) die Möglichkeit, das Passwort und einen Benutzernamen, jederzeit freiwillig individuell abzuändern.

Der Benutzername und das Passwort werden zum Zwecke der Vertragsabwicklung, konkret, der Erstellung eines individuellen persönlichen Nutzerkontos und der Verifizierung der Identität des Nutzers erhoben. Der Benutzername und das Passwort sind für die Erfüllung des Vertrages erforderlich.

4.2

Logdaten werden verarbeitet, um technische Fehler eruieren bzw eingrenzen zu können, und um den Wartungspflichten nachkommen zu können. Logdaten sind zur Erfüllung des Vertrages erforderlich.

4.3

Die E-Mailadresse kann freiwillig eingegeben werden. Sie dient insbesondere dazu, dem Kunden ein neues Passwort zusenden zu können, falls dieser sein bestehendes Passwort vergessen hat.

Die Erhebung der E-Mailadresse ist zur Wahrung des berechtigten Interesses des Verantwortlichen erforderlich, weil andernfalls eine Vielzahl von unbenutzbaren Nutzerkonten bestehen würde, auf die mangels Kenntnis des Passwortes niemand zugreifen kann. Insbesondere liegt die Erhebung der E-Mailadresse auch im Interesse des Kunden, weil dieser ohne Passwort nicht auf mocca und das Nutzerkonto seiner Bezahlkarte zugreifen kann.

4.4

Der Vor- und Nachname sowie die Personalnummer des Kunden werden zur Erfüllung des vertraglichen Zweckes benötigt, um eine Bezahlkarte einem bestimmten Mitarbeiter abgesichert zuordnen und den Mitarbeiter identifizieren zu können. Der Vor- und Nachname werden darüber hinaus zur Zahlungsabwicklung benötigt.

4.5

Der Kunde kann freiwillig ein Nutzerbild hochladen. Das Nutzerbild kann jederzeit mit sofortiger Wirkung entfernt oder abgeändert werden. Dies kann einfach durch Eingabe und/oder Löschung der Daten und anschließender Speicherung vorgenommen werden. Es bedarf nicht der Kontaktaufnahme mit dem Verantwortlichen.

Nutzer können freiwillig ein Profilbild hochladen. Die Verarbeitung des Profilbildes erfolgt ausschließlich auf Grundlage einer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Die Einwilligung wird durch aktive Bestätigung eines entsprechenden Einwilligungsfeldes vor dem Hochladen des Bildes erteilt. Das Profilbild kann jederzeit gelöscht oder ersetzt werden. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

4.6

Mocca bietet dem Kunden die Möglichkeit, ein persönliches Nährstofftagebuch zu führen. Der Kunde kann freiwillig sein Geschlecht, Geburtsdatum, Größe und sein Körpergewicht angeben und mocca berechnet die empfohlenen Tages-, Wochen- und Monatsmengen an Nährstoffen. Zusätzlich speichert mocca die mit der Bezahlkarte oder über mocca bezahlten Speisen und Getränke und rechnet die konsumierten Nährstoffe auf den jeweiligen Bedarf an.

4.7

Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO, die gegenüber dem Nutzer rechtliche Wirkung entfaltet oder diesen in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt.

Die im Rahmen des Nährstofftagebuchs vorgenommenen Berechnungen dienen ausschließlich Informationszwecken und stellen keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO dar.

4.8

Die Angabe von Körpergewicht, Körpergröße, Geschlecht, Geburtsdatum sowie die Nutzung des Nährstofftagebuchs erfolgen ausschließlich auf freiwilliger Basis. Soweit durch die Verarbeitung dieser Informationen Gesundheitsdaten im Sinne des Art. 9 DSGVO verarbeitet werden, erfolgt die Verarbeitung ausschließlich auf Grundlage der ausdrücklichen Einwilligung des Nutzers gemäß Art. 9 Abs. 2 lit. a DSGVO.

4.9

Die Erteilung der Einwilligung zur Verarbeitung der im Rahmen des Nährstofftagebuchs eingegebenen Gesundheitsdaten ist vollkommen freiwillig. Die Nutzung der übrigen Funktionen der App ist nicht von der Erteilung dieser Einwilligung abhängig. Nutzer können ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass ihnen daraus Nachteile hinsichtlich der sonstigen Nutzung der App entstehen.

4.10

Die Standortdaten werden erhoben, um dem Kunden die Distanz zu den beteiligten Restaurants und Kantinen anzeigen zu können. Standortdaten werden nur nach ausdrücklicher Einwilligung des Kunden erhoben. Nach Anlegung des Nutzerkontos hat der Kunde die Möglichkeit, durch ein aufscheinendes Pop-up Feld die Verwendung seiner Standortdaten zuzulassen oder den Zugriff zu verweigern. Die Einwilligung kann jederzeit in den technischen Einstellungen widerrufen werden.

4.11

Die Abwicklung elektronischer Zahlungsvorgänge erfolgt über den beauftragten Payment-Service Provider („Payment Service Provider„) als Zahlungsdienstleister. Die für die Durchführung der Zahlung erforderlichen Zahlungsdaten (insbesondere Kreditkarten-, Debitkarten- oder Kontodaten) werden direkt durch den Paymentserviceprovider verarbeitet. Ventopay übermittelt hierfür lediglich eine Transaktions-ID sowie den jeweiligen Zahlungsbetrag und erhält im Gegenzug ausschließlich jene Informationen, die zur Bestätigung, Durchführung und Zuordnung der Zahlungstransaktion erforderlich sind. Die Verarbeitung der Zahlungsdaten erfolgt zum Zweck der Vertragsabwicklung und der Bereitstellung der bargeldlosen Zahlungsfunktion. Nähere Informationen zur Datenverarbeitung durch den Paymentserviceprovider finden Sie in deren Datenschutzerklärung.

Die Daten werden nur von jenem Zahlungsanbieter verarbeitet den der Nutzer ausgewählt hat.

Der Verantwortliche erhebt und speichert keine Zahlungsdaten (Kreditkartennummer etc.) des Nutzers. Der Verantwortliche bzw dessen Auftragsverarbeiter wird von dem Payment Service Provider nur darüber informiert, ob für eine bestimmte Transaktions-ID eine Zahlung erfolgt ist.

4.12 Cookies, Tracking und technische Daten

Bei Nutzung der Website und der App werden technisch erforderliche Informationen verarbeitet, insbesondere IP-Adresse, Geräteinformationen, Betriebssystem, Browsertyp, Zugriffszeitpunkt, Fehlerprotokolle sowie technische Nutzungsdaten.

Soweit Cookies, Analysewerkzeuge, Push-Benachrichtigungen, Software Development Kits (SDKs) oder vergleichbare Technologien eingesetzt werden, erfolgt deren Nutzung ausschließlich im Einklang mit den geltenden datenschutz- und telekommunikationsrechtlichen Bestimmungen.

Die Verarbeitung erfolgt darüber hinaus zur Gewährleistung der Sicherheit der App, zur Verhinderung missbräuchlicher Nutzungen, zur technischen Fehleranalyse, zur Stabilitätsüberwachung sowie zur Bereitstellung technischer Funktionen der mobilen Anwendung.

4.13 Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten an Empfänger außerhalb des Europäischen Wirtschaftsraums (EWR) erfolgt nur, soweit dies zur Erfüllung unserer vertraglichen oder gesetzlichen Verpflichtungen, zur Bereitstellung unserer Dienste oder aufgrund Ihrer Einwilligung erforderlich ist. Dabei werden die Voraussetzungen der Art. 44 ff DSGVO eingehalten. Ein angemessenes Datenschutzniveau wird insbesondere durch Angemessenheitsbeschlüsse der Europäischen Kommission oder geeignete Garantien gemäß Art. 46 DSGVO, insbesondere Standardvertragsklauseln, sichergestellt.

5. Auftragsdatenverarbeiter

5.1

Die technische Umsetzung des mocca Systems erfolgt durch die ventopay GmbH, FN 372161 x, Softwarepark 49, 4232 Hagenberg („ventopay„) als Auftragsdatenverarbeiter. Diese ist vertraglich verpflichtet, die erhobenen Daten zu löschen, wenn diese zur Vertragserfüllung nicht mehr benötigt werden und die Daten nicht für eigene Zwecke zu verwenden.

5.2

Die Zahlungsabwicklung erfolgt durch den Payment Service Provider (Punkt 4.11) als Subauftragsdatenverarbeiter.

6. Einsatz von Firebase-Diensten (Google)

6.1

Zur Sicherstellung der Funktionalität, Sicherheit, Stabilität und Verfügbarkeit unserer mobilen Anwendungen setzen wir verschiedene Dienste der Firebase-Plattform ein, die von der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, bereitgestellt werden. Google verarbeitet die hierbei anfallenden personenbezogenen Daten als (Auftragsverarbeiter bzw. als von uns eingesetzter Unterauftragsverarbeiter und ausschließlich im Rahmen der vertraglich vereinbarten Zwecke.

6.2

Dabei können insbesondere Gerätekennungen und Installations-IDs, Kommunikations- und Nutzungsdaten, Fehler- und Diagnosedaten, Absturzberichte, Geräte- und Systeminformationen, Dateimetadaten, Zugriffsinformationen sowie Sicherheits-, Integritäts- und Authentifizierungsdaten verarbeitet werden. Die Verarbeitung dieser Daten erfolgt ausschließlich zu den genannten Zwecken, insbesondere zur Gewährleistung eines sicheren und störungsfreien Betriebs der Anwendung, zur Fehleranalyse und Fehlerbehebung, zur Bereitstellung von Benachrichtigungen sowie zum Schutz vor Missbrauch und Sicherheitsvorfällen.

6.3

Soweit im Rahmen der Nutzung der Firebase-Dienste personenbezogene Daten an Unternehmen der Google-Unternehmensgruppe außerhalb des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies ausschließlich unter Einhaltung der datenschutzrechtlichen Vorgaben der DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 45 DSGVO oder geeigneter Garantien gemäß Art. 46 DSGVO. Weitere Informationen zur Datenverarbeitung durch Google finden Sie in den Datenschutzhinweisen von Google.

6.4

Weitere Informationen zur Verarbeitung personenbezogener Daten durch Google und zu den bestehenden Schutzmaßnahmen für internationale Datenübermittlungen finden Sie in den Datenschutzinformationen von Google sowie in den Firebase Data Processing and Security Terms (Privacy and Security in Firebase).

7. Änderung der Datenschutzerklärung

Der Verantwortliche behält sich vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte rechtliche, technische oder organisatorische Rahmenbedingungen anzupassen. Maßgeblich ist jeweils die aktuelle Fassung der Datenschutzerklärung, die auf der Website veröffentlicht wird. Diese Datenschutzerklärung gilt ab dem jeweils auf der Website ausgewiesenen Standdatum.

8. Rechte des Kunden

8.1

Sie können jederzeit Auskunft über die zu Ihrer Person gespeicherten personenbezogenen Daten verlangen. Für weitere Informationen wenden Sie sich bitte per E-Mail an office@ventopay.com oder postalisch an ventopay gmbh, Softwarepark 49, 4232 Hagenberg.

8.2

Betroffenen Personen stehen die gesetzlich vorgesehenen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten zu. Darüber hinaus haben betroffene Personen das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Zur Ausübung dieser Rechte kann jederzeit Kontakt mit der ventopay GmbH aufgenommen werden.

8.3

Sie haben das Recht, bei der Österreichischen Datenschutzbehörde, Hohenstaufengasse 3, 1010 Wien, +43 1 531 15-202525, E-Mail: dsb@dsb.gv.at eine Beschwerde einzulegen, wenn Ihre Rechte zum Datenschutz verletzt werden.

Alternativ für Deutschland:

8.3

Sie haben das Recht, bei einer zuständigen Datenschutzaufsichtsbehörde Beschwerde einzulegen, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die Datenschutz-Grundverordnung (DSGVO) oder sonstige datenschutzrechtliche Vorschriften verstößt. Eine Übersicht der zuständigen Datenschutzaufsichtsbehörden in Deutschland finden Sie auf den Internetseiten der jeweiligen Landesdatenschutzbehörden bzw. der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI).

Ihr Cookie-Auswahl-Verlauf

für UID:

Folgende Cookies werden auf dieser Website gesetzt:

Auf dieser Webseite werden mit der SalesViewer®-Technologie der SalesViewer® GmbH auf Grundlage berechtigter Interessen des Webseitenbetreibers (Art. 6 Abs.1 lit.f DSGVO) Daten zu Marketing-, Marktforschungs- und Optimierungszwecken gesammelt und gespeichert.

Hierzu wird ein javascript-basierter Code eingesetzt, der zur Erhebung unternehmensbezogener Daten und der entsprechenden Nutzung dient. Die mit dieser Technologie erhobenen Daten werden über eine nicht rückrechenbare Einwegfunktion (sog. Hashing) verschlüsselt. Die Daten werden unmittelbar pseudonymisiert und nicht dazu benutzt, den Besucher dieser Webseite persönlich zu identifizieren.

Die im Rahmen von Salesviewer gespeicherten Daten werden gelöscht, sobald sie für ihre Zweckbestimmung nicht mehr erforderlich sind und der Löschung keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Der Datenerhebung und -speicherung kann jederzeit mit Wirkung für die Zukunft widersprochen werden, indem Sie bitte diesen Link https://www.salesviewer.com/opt-out anklicken, um die Erfassung durch SalesViewer® innerhalb dieser Webseite zukünftig zu verhindern. Dabei wird ein Opt-out-Cookie für diese Webseite auf Ihrem Gerät abgelegt. Löschen Sie Ihre Cookies in diesem Browser, müssen Sie diesen Link erneut anklicken.

Die ventopay ist bestrebt, ein Informationssicherheitsmanagement (ISMS) zu betreiben, das den Anforderungen aller interessierter Parteien gerecht wird. Das ISMS gilt für das gesamte Unternehmen/die gesamte ventopay und dessen/deren Produkte und Kundenlösungen sowie die Betreuung und den Betrieb der IT- und Kommunikationssysteme lt. Statement of Applicability vom 12.09.2023.

ventopay ist ein Full-Service-Dienstleister für Kassen-, Bezahl- und Abrechnungs- sowie Bestellsysteme und Employer Branding-Lösungen. In der hausinternen Entwicklungsabteilung wird die mocca® Produktlinie fortlaufend weiterentwickelt und um neue Funktionen, auch auf Kundenwunsch, ergänzt. Bevor Software-Updates ausgerollt werden, werden sie in einer eigenen Abteilung für Qualitätssicherung ausführlich getestet und das Projektmanagement kümmert sich um die Projektabwicklung. Der Support unterstützt Kunden für einen reibungslosen Betrieb.

Qualität, Zuverlässigkeit und reibungslose Abläufe sind essenzielle Versprechen an die Kunden, weshalb der Schutz der dabei generierten und ausgetauschten Daten und Informationen vor unberechtigtem Zugriff und vor unerlaubter Änderung von existenzieller Bedeutung ist. Auch ein Ausfall von Kernsystemen muss in diesem Zusammenhang so gut als möglich verhindert werden und jedenfalls kurzfristig kompensierbar sein. Informationssicherheit spielt dabei eine Schlüsselrolle.

Kontinuierliche Verbesserung soll ein angemessenes Sicherheits- und Datenschutzniveau und einen entsprechenden Stand der Technik im Einklang mit der organisatorischen und technischen Entwicklung der ventopay und dem Produkt sicherstellen. Außerdem stärkt das ISO/IEC 27001 Zertifikat die Marktposition der ventopay und unterstützt die Mission des Unternehmens.

Text entstammt im Original der IS-Leitlinie

Technisch-organisatorische Maßnahmen nach Artikel 32 DSGVO

Stand [Juli 2026]

Die nachstehend angeführten technischen und organisatorischen Maßnahmen (TOMs) sind Strategien zur Erfüllung der Anforderungen nach Artikel 32 und Erwägungsgrund 78 der DSGVO und weisen die Einhaltung derer nach.