Diurna: Datenschutzerklärung

Stand: 16. Oktober 2026

1. Verantwortlicher für die Datenverarbeitung

Für die Kontodaten der Nutzer:innen von Diurna ist Verantwortlicher im Sinne der DSGVO:

Name: OVVIO Solutions

Adresse: Nieuwe Rijn 55B, Leiden, Niederlande

Handelsregisternummer (KvK): 75292807

E-Mail: privacy@diurna.eu

Bei Fragen zu dieser Datenschutzerklärung kontaktieren Sie uns bitte unter privacy@diurna.eu.

Rollen bei der Verarbeitung:

Kontodaten (Anmeldung, Name, E-Mail-Adresse, Rolle, Abrechnung, Einwilligungsnachweise, Sicherheitsprotokolle): OVVIO Solutions ist Verantwortliche.
Daten der Mitarbeiter:innen (Arbeitszeiten, Dienstpläne, Abwesenheiten, Grundlagen der Lohnverrechnung): Verantwortlicher ist das Kundenunternehmen als Dienstgeber. Die Lohnverrechnungskanzlei verarbeitet diese Daten in dessen Auftrag und ist Auftragsverarbeiterin. OVVIO Solutions verarbeitet sie im Auftrag der Lohnverrechnungskanzlei als weitere Auftragsverarbeiterin (Unterauftragsverarbeiterin).
Eigenverwaltende Unternehmen (Unternehmen, die Diurna selbst für ihr eigenes Personal nutzen, ohne Lohnverrechnungskanzlei): Das Unternehmen ist Verantwortlicher, OVVIO Solutions ist seine Auftragsverarbeiterin.

Die Auftragsverarbeitungsvereinbarung besteht daher zwischen der Lohnverrechnungskanzlei (als Auftragsverarbeiterin im Namen ihrer Kundenunternehmen) und OVVIO Solutions als weiterer Auftragsverarbeiterin. Bei eigenverwaltenden Unternehmen besteht er zwischen dem Unternehmen (Verantwortlicher) und OVVIO Solutions (Auftragsverarbeiterin). Die Lohnverrechnungskanzlei muss mit jedem ihrer Kundenunternehmen eine eigene Auftragsverarbeitungsvereinbarung abschließen; Diurna ersetzt diese nicht.

2. Daten, die wir erheben

Kontodaten (alle Nutzer:innen):

Vorname, Nachname, E-Mail-Adresse
Rolle (Administrator:in der Lohnverrechnungskanzlei, Kanzleimitarbeiter:in, Plattformbetreiber:in)
Zugehörigkeit zur Lohnverrechnungskanzlei/Organisation
Profilfoto (optional)
Zeitstempel des Zugriffs, Spracheinstellung

Daten der Organisation (Lohnverrechnungskanzlei) (Administrator:innen):

Firmenwortlaut, UID-Nummer
Name und Kontaktdaten der vertretungsbefugten Person
Rechnungs-E-Mail-Adresse
Unternehmensadresse

Daten der Kundenunternehmen (verwaltet von den Lohnverrechnungskanzleien):

Firmenwortlaut, Steuernummer, UID-Nummer
Vorname, Nachname und Geburtsdatum der vertretungsbefugten Person
Kontakt-E-Mail-Adresse, Mobiltelefonnummer
Branche, Zahlungsintervall

Daten der Mitarbeiter:innen (verwaltet von Kanzleimitarbeiter:innen im Auftrag der Kundenunternehmen):

Vorname, Nachname
Sozialversicherungsnummer
E-Mail-Adresse, Telefonnummer (optional)
Personalnummer
Vertragsart, Vertragsbedingungen, Wochenstunden
Beginn und Ende des Vertrags, Abteilung, Funktion
Beschäftigungsstatus, Grund für die Beendigung

Anwesenheits- und Planungsdaten:

Erfassung von Abwesenheiten (Krankenstand, Urlaub, Überstunden usw.)
Planung von Abrufeinsätzen
Datum, Uhrzeiten, Stunden und Anmerkungen

Aktivitäts- und Auditdaten:

Handlungen der Nutzer:innen auf der Plattform (Aktivitätsprotokoll)
E-Mail-Zustellprotokolle (Empfänger:in, Ereignistyp, Status)
Aufzeichnungen über die Einwilligung in rechtliche Dokumente (Dokumenten-ID, Version, Zeitstempel, IP-Adresse)

Daten des KI-Chats (optionales Modul, pro Kundenunternehmen aktivierbar):

Mit dem KI-Assistenten (HR-Assistent) ausgetauschte Chatnachrichten und der bisherige Gesprächsverlauf
Namen der Mitarbeiter:innen des Kunden (damit Angaben wie „Maria hat 8 Stunden gearbeitet“ der richtigen Person zugeordnet werden können)
Die Unterhaltungen werden in Diurna gespeichert (Aufbewahrung siehe Abschnitt 5)

3. Wie wir Ihre Daten verwenden

Zweck	Rechtsgrundlage (Art. 6 DSGVO)
Bereitstellung des Dienstes Diurna	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Authentifizierung und Zugriffskontrolle	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Verarbeitung von Anwesenheits- sowie Lohn- und Gehaltsdaten	Vertragserfüllung und rechtliche Verpflichtung (Art. 6 Abs. 1 lit. b und c DSGVO)
Versand transaktionaler E-Mails (Einladungen, Hinweise, Benachrichtigungen)	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)
KI-gestützte Dateneingabe per Chat	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), betriebliche Effizienz
Nachvollziehbarkeit (Audit-Trail) und Aktivitätsprotokoll	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), Sicherheit und Rechtskonformität
Abrechnungs- und Nutzungskennzahlen (aggregiert)	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

4. Drittanbieter (Unterauftragsverarbeiter)

Wir nutzen die folgenden Dienste für den Betrieb von Diurna:

Dienst	Anbieter	Zweck	Weitergegebene Daten
Supabase	Supabase Inc.	Datenbank, Authentifizierung, serverlose Funktionen	Alle Anwendungsdaten (bei der Übertragung und im Ruhezustand verschlüsselt); Hosting in der Region West EU (Irland)
Brevo	Brevo (vormals Sendinblue)	Zustellung transaktionaler E-Mails	E-Mail-Adresse der Empfänger:innen, Name, Inhalt der Benachrichtigung
Mistral AI	Mistral AI SAS (Paris, Frankreich)	KI-Chatassistent für die Dateneingabe (optionales Modul)	Chatnachrichten, bisheriger Gesprächsverlauf, Namen der Mitarbeiter:innen

Alle Unterauftragsverarbeiter sind durch Auftragsverarbeitungsverträge (Art. 28 DSGVO) gebunden und verarbeiten Daten nur auf Weisung.

KI-Chat-Assistent: Die Daten werden von Mistral AI SAS in der EU verarbeitet. Mistral AI verwendet diese Daten nicht, um seine Modelle zu trainieren oder zu verbessern; die entsprechende Einstellung ist für das Konto von Diurna deaktiviert. Der Chat zeigt dauerhaft einen Hinweis, dass keine Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) eingegeben werden sollen, zum Beispiel Diagnosen oder den Grund eines Krankenstands. Der Chat ist für solche Daten nicht vorgesehen.

5. Aufbewahrung der Daten

Datenkategorie	Aufbewahrungsdauer
Daten der Mitarbeiter:innen (Arbeitszeiten, Dienstpläne, Abwesenheiten, Grundlagen der Lohnverrechnung)	Österreich: 7 Jahre ab dem Ende des Kalenderjahres, in dem das Dienstverhältnis geendet hat (§ 132 BAO). Für italienische Unternehmen gilt die italienische Regel: 10 Jahre ab Ende des Dienstverhältnisses.
Daten des Kundenunternehmens	Bis die Aufbewahrungsfrist der zuletzt ausgeschiedenen Mitarbeiter:innen abgelaufen ist
Konto- und Profildaten (Nutzer:innen, Profil) einer geschlossenen Lohnverrechnungskanzlei bzw. eines geschlossenen Unternehmens	Löschung 1 Jahr nach Schließung des Kontos
Einwilligungsnachweise (Datum, Dokumentversion, Inhalt der Einwilligung, IP-Adresse)	3 Jahre nach Löschung des Nutzer:innenkontos, danach gelöscht
Aktivitätsprotokolle (Audit-Trail)	7 Jahre; der Name der betroffenen Person wird bei Löschung des Nutzer:innenkontos entfernt
Protokolle zur E-Mail-Zustellung	2 Jahre
Verlauf des KI-Chats	2 Jahre nach der letzten Nachricht der Unterhaltung

Gelöschte Daten verschwinden innerhalb von 90 Tagen auch aus den Sicherungskopien.

Ende des Dienstverhältnisses ist das Austrittsdatum der jeweiligen Mitarbeiter:innen. Wird das Kundenunternehmen deaktiviert oder schließt die Lohnverrechnungskanzlei ihr Konto, gilt dieses Datum für die betroffenen Mitarbeiter:innen als Ende des Dienstverhältnisses. Die Löschung erfolgt nach Ablauf der jeweiligen Frist automatisch einmal im Monat; ein Antrag ist nicht erforderlich.

Kontolöschung und Datenexport:

Eigenverwaltende Unternehmen können ihr Konto selbst löschen (Kontoadministrator:in, in den Einstellungen der App, am Handy und im Web). Die Löschung erfolgt sofort: Das Unternehmen, seine Nutzer:innen und die Daten seiner Mitarbeiter:innen werden unverzüglich gelöscht. Nur der Einwilligungsnachweis bleibt für 3 Jahre erhalten.
Vor der Löschung wird ein kostenloser Datenexport angeboten (CSV-Dateien: Mitarbeiter:innen, Anwesenheiten, Abwesenheiten, Bereitschaftsdienste, Dienstpläne, Schichten), und zwar in jedem Tarif. Die Aufbewahrung von Unterlagen für die eigenen gesetzlichen Pflichten liegt danach in der Verantwortung des Unternehmens als Verantwortlichem.
Lohnverrechnungskanzleien schließen ihr Konto über den Support. Danach gelten die oben genannten Fristen: Daten der Mitarbeiter:innen bis zum Ablauf der gesetzlichen Frist, Kontodaten 1 Jahr nach der Schließung.

6. Datensicherheit

Alle Daten werden per HTTPS/TLS-Verschlüsselung übertragen
Im Ruhezustand verschlüsselte Datenbank (verwaltet von Supabase)
Row-Level Security (RLS) für die strikte Trennung der Daten in mandantenfähigen Systemen
Plattformbetreiber:innen können nicht auf personenbezogene Daten von Kundenunternehmen oder Mitarbeiter:innen zugreifen (Privacy Wall)
Passwörter werden ausschließlich als bcrypt-Hash gespeichert
JWT-basierte Authentifizierung mit rollenbasierter Zugriffskontrolle

7. Ihre Rechte (DSGVO)

Nach der Datenschutz-Grundverordnung haben Sie das Recht auf:

Auskunft über Ihre personenbezogenen Daten
Berichtigung unrichtiger Daten
Löschung Ihrer Daten („Recht auf Vergessenwerden“), vorbehaltlich gesetzlicher Aufbewahrungspflichten
Einschränkung der Verarbeitung unter bestimmten Umständen
Datenübertragbarkeit: Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten
Widerspruch gegen die Verarbeitung auf Grundlage eines berechtigten Interesses
Widerruf der Einwilligung jederzeit (sofern die Verarbeitung auf einer Einwilligung beruht)

Die Rechte der Mitarbeiter:innen und Nutzer:innen in Bezug auf Daten der Mitarbeiter:innen sind gegenüber dem Verantwortlichen (dem Dienstgeber) auszuüben; OVVIO Solutions unterstützt den Verantwortlichen und die Lohnverrechnungskanzlei bei der Beantwortung. Anfragen zu Kontodaten richten Sie bitte an privacy@diurna.eu. Wir antworten innerhalb eines Monats.

Sie haben außerdem das Recht, eine Beschwerde bei der Datenschutzbehörde unter www.dsb.gv.at einzubringen.

8. Internationale Datenübermittlungen

Ihre Daten werden in der Europäischen Union gehostet (Supabase, Region West EU, Irland). Bei Supabase Inc. und anderen Anbietern mit Muttergesellschaft in den USA sind Übermittlungen in Drittländer durch Standardvertragsklauseln bzw. das EU-U.S. Data Privacy Framework abgesichert, wie in der Auftragsverarbeitungsvereinbarung festgehalten.

9. Speicherung im Browser

Diurna verwendet keine Tracking-Cookies, Analyse-Cookies oder Marketing-Cookies.

Wir nutzen den localStorage des Browsers für folgende Zwecke:

Authentifizierungssitzung: verwaltet durch das SDK von Supabase zur Aufrechterhaltung der Sitzung
Chatverlauf: Wenn das optionale KI-Chat-Modul aktiv ist, speichert die App eine Kopie Ihrer letzten 20 Unterhaltungen im Browserspeicher Ihres eigenen Geräts, als Zwischenspeicher für die geöffnete Unterhaltung. Beim Abmelden wird die geöffnete Unterhaltung in Diurna gespeichert und die Kopie im Browser gelöscht; nach der erneuten Anmeldung sehen Sie Ihre Unterhaltungen wieder (aus Diurna geladen). In Diurna werden Unterhaltungen 2 Jahre nach der letzten Nachricht aufbewahrt

Es werden keine Daten über die Browserspeicherung an Dritte weitergegeben.

10. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. In diesem Fall aktualisieren wir das Datum unter „Zuletzt aktualisiert“ und benachrichtigen Sie über die Plattform. Die fortgesetzte Nutzung von Diurna nach den Änderungen gilt als Zustimmung zu den Änderungen.