Die Plattform „Nisty" (nisty.at) wird von zwei Gesellschaften gemeinsam betrieben. Für die über die Plattform verarbeiteten personenbezogenen Daten sind diese beiden Gesellschaften gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO:
Strategie Manufaktur Unternehmensberatung e.U.
Romatschachen 86, 8212 Pischelsdorf, Österreich
vertreten durch den Inhaber Bernd Steiner, MA BA
Risk-Vision GmbH
Südsiedlung 1/1, 8401 Kalsdorf, Österreich
vertreten durch den Geschäftsführer Manuel Rieger, MA MBA
Gemeinsame E-Mail-Adresse: office@nisty.at
Beide Gesellschaften legen gemeinsam die Zwecke und Mittel der Verarbeitung fest und haben eine Vereinbarung gemäß Art. 26 DSGVO geschlossen, in der ihre jeweiligen Aufgaben und Verantwortlichkeiten festgelegt sind. Das Wesentliche dieser Vereinbarung: Strategie Manufaktur e.U. und Risk-Vision GmbH erbringen den Plattformbetrieb gleichrangig; sie haften gegenüber betroffenen Personen gesamtschuldnerisch. Zentrale Anlaufstelle für die Wahrnehmung Ihrer Betroffenenrechte (siehe Abschnitt 14) und für sämtliche Anfragen ist die oben genannte gemeinsame E-Mail-Adresse. Sie können Ihre Rechte gemäß Art. 26 Abs. 3 DSGVO gegenüber jeder der beiden Gesellschaften geltend machen.
Doppelrolle: Soweit Sie als Kundenunternehmen in der Plattform personenbezogene Daten Dritter verarbeiten (z. B. Daten Ihrer Lieferanten, Mitarbeitenden oder gemeldeter Vorfälle), sind Sie der Verantwortliche und die beiden Gesellschaften handeln insoweit als Auftragsverarbeiter in Ihrem Auftrag. Für diese Konstellation gilt der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
Die Verarbeitung erfolgt auf Grundlage von:
Die Plattform wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Unternehmenssitz) gehostet. Die Datenverarbeitung erfolgt ausschließlich in den deutschen Rechenzentren von Hetzner (Standorte Nürnberg und Falkenstein). Hetzner verarbeitet die Daten ausschließlich als unser Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Rechtsgrundlage des Hostings: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Zahlungen werden über Stripe (Stripe Payments Europe Ltd., Irland, sowie Stripe Inc., USA) abgewickelt. Zahlungsdaten (Kreditkartennummer etc.) werden ausschließlich von Stripe verarbeitet und nie auf unseren Servern gespeichert. Stripe ist hinsichtlich der Zahlungsdaten eigenständig (mit-)verantwortlich. Soweit eine Übermittlung in die USA erfolgt, ist diese durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert. Datenschutzerklärung von Stripe: stripe.com/privacy
Diese Plattform setzt keine Tracking- oder Marketing-Cookies und keine externen Analyse-Tools (z. B. Google Analytics) ein. Für die Anmeldung und die automatische Abmeldung bei Inaktivität nutzt sie keine Cookies, sondern den Sitzungsspeicher (Session Storage) Ihres Browsers: Dort liegen Ihre Sitzungs-Token (nicht Ihr Passwort), Angaben zu Ihrem Konto für die Anzeige (z. B. Name, E-Mail-Adresse, Rolle) und ein Zeitstempel der letzten Aktivität; den Zeitstempel legen auch öffentliche Seiten wie der Betroffenheitscheck an. Der Sitzungsspeicher wird geleert, wenn Sie den Tab schließen.
Der Betroffenheitscheck setzt keine Cookies. Wechseln Sie aus dem Ergebnis des Betroffenheitschecks zur Registrierung, hält die Registrierungsseite Ihre Einstufung und den Sektor im Sitzungsspeicher dieses Tabs bereit (bis Sie den Tab schließen oder sich darin anmelden), damit beides mit Ihrer Registrierung übernommen wird.
Damit Sie nach der Bestätigung Ihrer E-Mail-Adresse — auch in einem neuen Tab — an der gewählten Stelle weitermachen können, legt die Registrierungsseite nach erfolgreicher Registrierung — sofern damit eine Aktion verbunden ist — diese Aktion und die Check-Kennung im lokalen Speicher (Local Storage) Ihres Browsers ab. Der Eintrag ist 24 Stunden gültig und wird bei Ihrer nächsten Anmeldung in diesem Browser entfernt. Ein abgelaufener Eintrag wird nicht mehr verwendet; er bleibt gespeichert, bis die Anmeldeseite ihn bei einem späteren Aufruf oder bei Ihrer nächsten Anmeldung entfernt oder Sie die Website-Daten Ihres Browsers löschen.
Rufen Sie die Website über einen Partner-Link auf, speichert sie die Partner-Kennung im lokalen Speicher, um eine Registrierung innerhalb von 30 Tagen dem Partner zuzuordnen; danach wird sie nicht mehr verwendet, bleibt aber gespeichert, bis Sie die Website-Daten Ihres Browsers löschen oder ein anderer Partner-Link sie ersetzt. Die Opt-out-Markierung der Webanalyse ist in Abschnitt 10 beschrieben.
Sämtliche Datenübertragungen erfolgen über eine verschlüsselte HTTPS-Verbindung (TLS 1.2 oder höher).
Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt. Kontodaten werden nach Kontolöschung innerhalb von 30 Tagen gelöscht. Server-Logs werden maximal 90 Tage aufbewahrt. Abweichende Speicherfristen für Telemetrie-, Betroffenheitscheck- und Audit-Daten sind in den Abschnitten 9, 10a und 11 geregelt. Gelöschte Daten können in Datensicherungen bis zu deren turnusmäßiger Überschreibung noch enthalten sein.
Zur Verbesserung der Plattform und zur Funnel-Analyse erfassen wir technische Nutzungsereignisse innerhalb der Nisty-Plattform. Diese Verarbeitung ist interne Telemetrie — wir geben keine Daten an externe Analyse-Dienstleister weiter (kein Google Analytics, Mixpanel, Posthog o. Ä.).
Wenn Sie zwischen Modulen der Plattform navigieren, erfassen wir den Modul-Aufruf als Aggregat pro Mandant — ohne Ihre Nutzer-ID. Diese Information dient ausschließlich der Erkennung, welche Module von KMU-Compliance-Teams bevorzugt genutzt werden, nicht der Beobachtung individueller Mitarbeiter.
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung und Conversion-Analyse). Eine Interessenabwägung (Legitimate Interest Assessment) ist intern dokumentiert und wird auf schriftliche Anfrage an office@nisty.at übermittelt.
24 Monate ab Erfassung. Danach erfolgt eine automatische Anonymisierung: die Nutzer-ID, die Ereignis-Detailinformation und der Sitzungs-Hash werden auf NULL bzw. leer gesetzt. Bei Löschung Ihres Mandanten werden alle zugehörigen Ereignisdaten unverzüglich mitgelöscht.
Sie können der Erfassung jederzeit über einen Schalter in Ihren Kontoeinstellungen widersprechen. Bei Widerspruch werden ab sofort keine weiteren Ereignisse mit Bezug zu Ihrer Nutzer-ID erfasst, und bereits erfasste Ereignisdaten zu Ihrer Nutzer-ID werden rückwirkend anonymisiert.
Wir setzen auf den öffentlichen Seiten dieser Website (nicht im eingeloggten Plattform-Bereich) die Open-Source-Webanalyse-Software Umami ein, die wir ausschließlich auf unseren eigenen Servern in der EU betreiben. Umami verwendet keine Cookies und legt keine Kennungen auf Ihrem Endgerät ab; es liest lediglich übliche technische Angaben Ihres Browsers (z. B. Bildschirmgröße, Spracheinstellung) und — falls gesetzt — Ihre Opt-out-Markierung. Zur Unterscheidung von Besuchen wird ein gekürzter, nicht rückrechenbarer Hash-Wert aus technischen Verbindungsdaten (u. a. IP-Adresse, Browser-Typ) mit einem monatlich wechselnden Zufallswert gebildet; Ihre IP-Adresse selbst wird nicht gespeichert. Vor dem Verwerfen der IP-Adresse wird aus ihr eine ungefähre geografische Zuordnung (Land, Region, Stadt) abgeleitet und ausschließlich in statistischer Form gespeichert; ein Rückschluss auf Ihre Person ist daraus nicht möglich. Es werden ausschließlich aggregierte Statistiken erstellt (z. B. Seitenaufrufe, Besucherzahlen und die Nutzung unseres Betroffenheitschecks — etwa welche Fragen aufgerufen und welche Erklärungen geöffnet wurden, welche Ergebnisse je Regelwerk angezeigt und welche Aktionen gewählt wurden; die erfassten Seitenadressen können vorbelegte Angaben wie eine gewählte Mitarbeiterspanne und beim Wechsel zur Registrierung Ihre Einstufung und den Sektor enthalten, nicht jedoch die Check-Kennung); eine Zusammenführung mit Konto- oder Vertragsdaten findet nicht statt, Daten werden nicht an Dritte weitergegeben. Rechtsgrundlage ist unser berechtigtes Interesse an der Reichweitenmessung und Verbesserung unseres öffentlichen Webangebots (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherung der Antworten und Ergebnisse des Betroffenheitschecks selbst ist in Abschnitt 10a beschrieben.
Sie können der Webanalyse jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO). Nutzen Sie dazu den folgenden Schalter — die Erfassung wird dann für diesen Browser deaktiviert. Dabei wird ausschließlich auf Ihren Wunsch eine Opt-out-Markierung in Ihrem Browser gespeichert, die keine Analyse ermöglicht, sondern sie unterbindet; löschen Sie Ihre Website-Daten, müssen Sie den Widerspruch erneut setzen. Zusätzlich respektieren wir die „Do Not Track"-Einstellung Ihres Browsers. Bereits erhobene Statistikdaten sind keiner Person zuordenbar und können daher nachträglich weder beauskunftet noch gelöscht werden (Art. 11 Abs. 2 DSGVO).
Auf den öffentlichen Seiten dieser Website können Sie ohne Anmeldung prüfen, welche Regelwerke — NIS-2 (NISG 2026), DSGVO, KI-Verordnung und Cyber Resilience Act — für Ihr Unternehmen voraussichtlich gelten („Betroffenheitscheck“, auf der Website „Pflichten-Check“).
Zur Berechnung Ihres Ergebnisses übermittelt Ihr Browser Ihre Antworten an unseren Server. Je Durchlauf speichern wir:
Unabhängig davon entstehen beim Aufruf der Website technisch bedingt Server-Logs mit IP-Adresse, Zeitpunkt, aufgerufener Adresse, verweisender Adresse (Referrer) und Browser-Typ (Abschnitte 2 und 8). Die Adressen können vorbelegte Angaben enthalten und — wenn Sie aus dem Ergebnis zur Registrierung oder Anmeldung wechseln — auch die Check-Kennung, die gewählte Aktion sowie Einstufung und Sektor. Zum Schutz vor Missbrauch zählen unser Server und der vorgeschaltete Webserver Anfragen je IP-Adresse außerdem kurzzeitig im Arbeitsspeicher; diese Zähler werden nicht dauerhaft gespeichert. Wir führen diese Daten nicht mit den Daten des Betroffenheitschecks zusammen.
Wir verarbeiten Ihre Antworten, um Ihnen das Ergebnis anzuzeigen. Die gespeicherten Durchläufe werten wir ausschließlich zusammengefasst aus: für Statistik (z. B. welche Branchen und Unternehmensgrößen den Check nutzen und wie sich die Ergebnisse auf die Regelwerke verteilen) und zur Verbesserung des Checks und unseres Angebots, einschließlich der Nachvollziehbarkeit unserer Bewertungslogik je Rechtsstand. Eine Auswertung zu einzelnen Unternehmen oder Personen, eine Kontaktaufnahme oder Werbung auf Grundlage des Checks findet nicht statt.
Die gespeicherten Angaben enthalten keine Namen, Kontaktdaten oder IP-Adressen; wir können sie daher in aller Regel keiner Person zuordnen. Soweit im Einzelfall dennoch ein Personenbezug besteht (etwa bei Einzelunternehmen), ist Rechtsgrundlage unser berechtigtes Interesse an der Bereitstellung des Checks, an der statistischen Auswertung und an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO).
Wählen Sie im Ergebnis eine Aktion („In NISty erledigen“) oder den Haupt-Button, übergeben wir der Registrierungsseite in der Adresse die Check-Kennung, Ihre Einstufung (NIS-2-Betroffenheit und Sektor) und gegebenenfalls die gewählte Aktion; die Registrierungsseite entfernt die Check-Kennung sofort wieder aus der Adresszeile. Mit Ihrer Registrierung übernehmen wir Einstufung und Sektor in Ihr Unternehmensprofil, damit Sie diese nicht erneut eingeben müssen; den Sektor können Sie in den Kontoeinstellungen jederzeit ändern. Rechtsgrundlage dafür ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Die Check-Kennung wird dabei nicht in Ihrem Konto gespeichert und nicht mit ihm verknüpft; wie Ihr Browser die gewählte Aktion und die Check-Kennung bis zur Anmeldung bereithält, steht in Abschnitt 6. Sind Sie bereits angemeldet, führen die Aktionen direkt zum jeweiligen Bereich der Plattform, ohne dass die Check-Kennung übergeben wird.
Die Funktion „Selbsteinschätzung drucken / als PDF speichern“ und die Beispielrechnungen am Seitenende laufen ausschließlich in Ihrem Browser; dabei werden keine Antworten an uns übermittelt. Dass diese Funktionen genutzt wurden, erfassen wir lediglich statistisch in der Webanalyse (Abschnitt 10). Folgen Sie einem Link zu externen Angeboten (z. B. zum Unternehmensserviceportal des Bundes), gelten dort deren Datenschutzbestimmungen; Ihre Antworten werden dabei nicht übermittelt.
Die Durchläufe werden 24 Monate ab Erfassung gespeichert und danach gelöscht (zu Datensicherungen siehe Abschnitt 8).
Die bis zum 07.10.2026 eingesetzte frühere Version des Betroffenheitschecks hat je Durchlauf Zeitpunkt, Branche, Mitarbeiter- und Umsatzklasse, Angaben zu Lieferbeziehungen und Kundenanforderungen, Land, Ergebnis und Einschätzungssicherheit gespeichert, zusätzlich einen gekürzten Hash-Wert der IP-Adresse. Zweck war die statistische Auswertung der Nutzung; Rechtsgrundlage war Art. 6 Abs. 1 lit. f DSGVO. Diese Speicherung endet mit der vollständigen Abschaltung der Vorgängerversion; bis dahin können noch Durchläufe aus zuvor geöffneten Browserfenstern eingehen, die ebenso behandelt werden. Die Hash-Werte werden spätestens am 31.12.2026 gelöscht; die übrigen Angaben werden ohne Hash-Wert höchstens 24 Monate ab Erfassung zu statistischen Zwecken aufbewahrt und danach gelöscht (zu Datensicherungen siehe Abschnitt 8).
Da wir zu den Durchläufen keine Angaben speichern, die Sie identifizieren, können wir einzelne Durchläufe in der Regel keiner Person zuordnen; die Rechte nach Art. 15 bis 20 DSGVO sind insoweit nicht anwendbar (Art. 11 Abs. 2 DSGVO). Nennen Sie uns die Check-Kennung Ihres Durchlaufs — sie steht als „Prüf-ID“ auf dem Ausdruck Ihrer Selbsteinschätzung —, können wir den Durchlauf zuordnen; Sie können dann Ihre Rechte nach Abschnitt 14 geltend machen, insbesondere Auskunft und Löschung verlangen oder der Speicherung widersprechen (Art. 21 DSGVO). Anfragen an office@nisty.at.
Zusätzlich zur Nutzungsanalyse führen wir ein manipulationsgesichertes Audit-Log über sicherheits- und compliance-relevante Aktionen innerhalb Ihres Mandanten (Login-Vorgänge, MFA-Ereignisse, Erstellung/Änderung/Löschung von Richtlinien, Lieferanten-Bewertungen, Incident-Meldungen, Schulungs-Versendung, Compliance-Statusberichts-Erstellung).
Erfüllung der Rechenschafts- und Nachweispflichten gegenüber NIS-2-Aufsichtsbehörden (Art. 21 + Art. 23 RL 2022/2555), ISO 27001:2022 Stage-2-Auditoren (A.5.33) sowie Wirtschaftsprüfern. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
policy.generated), Outcome (success/failure/denied)6 Jahre (orientiert an § 132 BAO und ISO 27001 A.5.33). Die Tabelle ist append-only — Einträge können weder geändert noch gelöscht werden, außer bei vollständiger Mandanten-Löschung.
Als Tenant-Administrator können Sie über Ihre Kontoeinstellungen ein vollständiges Audit-Log Ihres Mandanten als JSON oder CSV herunterladen, inklusive Hash-Chain-Anker für unabhängige Verifikation durch Ihre Auditoren.
Sämtliche Kerndaten der Nisty-Plattform werden ausschließlich auf Servern der Hetzner Online GmbH in Deutschland (Nürnberg/Falkenstein) verarbeitet. Ein Drittlandtransfer findet grundsätzlich nicht statt. Ausnahmen:
Für die Verarbeitung von Daten, die Sie als Kundenunternehmen in der Plattform speichern, gilt der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Folgende Unter-Auftragsverarbeiter sind eingebunden:
Sie haben das Recht auf:
Zur Ausübung Ihrer Rechte wenden Sie sich an die zentrale Anlaufstelle der gemeinsam Verantwortlichen: office@nisty.at
Sie haben das Recht, eine Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzureichen, insbesondere bei der Österreichischen Datenschutzbehörde, Barichgasse 40-42, 1030 Wien (www.dsb.gv.at).
Stand: Oktober 2026
© 2026 Strategie Manufaktur Unternehmensberatung e.U. & Risk-Vision GmbH