Die Plattform „Nisty" (nisty.at) wird von zwei Gesellschaften gemeinsam betrieben. Für die über die Plattform verarbeiteten personenbezogenen Daten sind diese beiden Gesellschaften gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO:
Strategie Manufaktur Unternehmensberatung e.U.
Romatschachen 86, 8212 Pischelsdorf, Österreich
vertreten durch den Inhaber Bernd Steiner, MA BA
Risk-Vision GmbH
Südsiedlung 1/1, 8401 Kalsdorf, Österreich
vertreten durch den Geschäftsführer Manuel Rieger, MA MBA
Gemeinsame E-Mail-Adresse: office@nisty.at
Beide Gesellschaften legen gemeinsam die Zwecke und Mittel der Verarbeitung fest und haben eine Vereinbarung gemäß Art. 26 DSGVO geschlossen, in der ihre jeweiligen Aufgaben und Verantwortlichkeiten festgelegt sind. Das Wesentliche dieser Vereinbarung: Strategie Manufaktur e.U. und Risk-Vision GmbH erbringen den Plattformbetrieb gleichrangig; sie haften gegenüber betroffenen Personen gesamtschuldnerisch. Zentrale Anlaufstelle für die Wahrnehmung Ihrer Betroffenenrechte (siehe Abschnitt 14) und für sämtliche Anfragen ist die oben genannte gemeinsame E-Mail-Adresse. Sie können Ihre Rechte gemäß Art. 26 Abs. 3 DSGVO gegenüber jeder der beiden Gesellschaften geltend machen.
Doppelrolle: Soweit Sie als Kundenunternehmen in der Plattform personenbezogene Daten Dritter verarbeiten (z. B. Daten Ihrer Lieferanten, Mitarbeitenden oder gemeldeter Vorfälle), sind Sie der Verantwortliche und die beiden Gesellschaften handeln insoweit als Auftragsverarbeiter in Ihrem Auftrag. Für diese Konstellation gilt der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
Die Verarbeitung erfolgt auf Grundlage von:
Die Plattform wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Unternehmenssitz) gehostet. Die Datenverarbeitung erfolgt ausschließlich in den deutschen Rechenzentren von Hetzner (Standorte Nürnberg und Falkenstein). Hetzner verarbeitet die Daten ausschließlich als unser Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Rechtsgrundlage des Hostings: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Zahlungen werden über Stripe (Stripe Payments Europe Ltd., Irland, sowie Stripe Inc., USA) abgewickelt. Zahlungsdaten (Kreditkartennummer etc.) werden ausschließlich von Stripe verarbeitet und nie auf unseren Servern gespeichert. Stripe ist hinsichtlich der Zahlungsdaten eigenständig (mit-)verantwortlich. Soweit eine Übermittlung in die USA erfolgt, ist diese durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert. Datenschutzerklärung von Stripe: stripe.com/privacy
Diese Plattform verwendet ausschließlich technisch notwendige Session-Cookies. Es werden keine Tracking-Cookies, Marketing-Cookies oder externe Analyse-Tools (z. B. Google Analytics) eingesetzt.
Sämtliche Datenübertragungen erfolgen über eine verschlüsselte HTTPS-Verbindung (TLS 1.2 oder höher).
Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt. Kontodaten werden nach Kontolöschung innerhalb von 30 Tagen gelöscht. Server-Logs werden maximal 90 Tage aufbewahrt. Abweichende Speicherfristen für Telemetrie- und Audit-Daten sind in den Abschnitten 9 und 11 geregelt.
Zur Verbesserung der Plattform und zur Funnel-Analyse erfassen wir technische Nutzungsereignisse innerhalb der Nisty-Plattform. Diese Verarbeitung ist interne Telemetrie — wir geben keine Daten an externe Analyse-Dienstleister weiter (kein Google Analytics, Mixpanel, Posthog o. Ä.).
Wenn Sie zwischen Modulen der Plattform navigieren, erfassen wir den Modul-Aufruf als Aggregat pro Mandant — ohne Ihre Nutzer-ID. Diese Information dient ausschließlich der Erkennung, welche Module von KMU-Compliance-Teams bevorzugt genutzt werden, nicht der Beobachtung individueller Mitarbeiter.
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung und Conversion-Analyse). Eine Interessenabwägung (Legitimate Interest Assessment) ist intern dokumentiert und wird auf schriftliche Anfrage an office@nisty.at übermittelt.
24 Monate ab Erfassung. Danach erfolgt eine automatische Anonymisierung: die Nutzer-ID, die Ereignis-Detailinformation und der Sitzungs-Hash werden auf NULL bzw. leer gesetzt. Bei Löschung Ihres Mandanten werden alle zugehörigen Ereignisdaten unverzüglich mitgelöscht.
Sie können der Erfassung jederzeit über einen Schalter in Ihren Kontoeinstellungen widersprechen. Bei Widerspruch werden ab sofort keine weiteren Ereignisse mit Bezug zu Ihrer Nutzer-ID erfasst, und bereits erfasste Ereignisdaten zu Ihrer Nutzer-ID werden rückwirkend anonymisiert.
Wir setzen auf den öffentlichen Seiten dieser Website (nicht im eingeloggten Plattform-Bereich) die Open-Source-Webanalyse-Software Umami ein, die wir ausschließlich auf unseren eigenen Servern in der EU betreiben. Umami verwendet keine Cookies und greift nicht auf Informationen in Ihrem Endgerät zu. Zur Unterscheidung von Besuchen wird ein gekürzter, nicht rückrechenbarer Hash-Wert aus technischen Verbindungsdaten (u. a. IP-Adresse, Browser-Typ) mit einem monatlich wechselnden Zufallswert gebildet; Ihre IP-Adresse selbst wird nicht gespeichert. Vor dem Verwerfen der IP-Adresse wird aus ihr eine ungefähre geografische Zuordnung (Land, Region, Stadt) abgeleitet und ausschließlich in statistischer Form gespeichert; ein Rückschluss auf Ihre Person ist daraus nicht möglich. Es werden ausschließlich aggregierte Statistiken erstellt (z. B. Seitenaufrufe, Besucherzahlen, Nutzung unseres Betroffenheitschecks); eine Zusammenführung mit Konto- oder Vertragsdaten findet nicht statt, Daten werden nicht an Dritte weitergegeben. Rechtsgrundlage ist unser berechtigtes Interesse an der Reichweitenmessung und Verbesserung unseres öffentlichen Webangebots (Art. 6 Abs. 1 lit. f DSGVO).
Sie können der Webanalyse jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO). Nutzen Sie dazu den folgenden Schalter — die Erfassung wird dann für diesen Browser deaktiviert. Dabei wird ausschließlich auf Ihren Wunsch eine Opt-out-Markierung in Ihrem Browser gespeichert, die keine Analyse ermöglicht, sondern sie unterbindet; löschen Sie Ihre Website-Daten, müssen Sie den Widerspruch erneut setzen. Zusätzlich respektieren wir die „Do Not Track"-Einstellung Ihres Browsers. Bereits erhobene Statistikdaten sind keiner Person zuordenbar und können daher nachträglich weder beauskunftet noch gelöscht werden (Art. 11 Abs. 2 DSGVO).
Zusätzlich zur Nutzungsanalyse führen wir ein manipulationsgesichertes Audit-Log über sicherheits- und compliance-relevante Aktionen innerhalb Ihres Mandanten (Login-Vorgänge, MFA-Ereignisse, Erstellung/Änderung/Löschung von Richtlinien, Lieferanten-Bewertungen, Incident-Meldungen, Schulungs-Versendung, Compliance-Statusberichts-Erstellung).
Erfüllung der Rechenschafts- und Nachweispflichten gegenüber NIS-2-Aufsichtsbehörden (Art. 21 + Art. 23 RL 2022/2555), ISO 27001:2022 Stage-2-Auditoren (A.5.33) sowie Wirtschaftsprüfern. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
policy.generated), Outcome (success/failure/denied)6 Jahre (orientiert an § 132 BAO und ISO 27001 A.5.33). Die Tabelle ist append-only — Einträge können weder geändert noch gelöscht werden, außer bei vollständiger Mandanten-Löschung.
Als Tenant-Administrator können Sie über Ihre Kontoeinstellungen ein vollständiges Audit-Log Ihres Mandanten als JSON oder CSV herunterladen, inklusive Hash-Chain-Anker für unabhängige Verifikation durch Ihre Auditoren.
Sämtliche Kerndaten der Nisty-Plattform werden ausschließlich auf Servern der Hetzner Online GmbH in Deutschland (Nürnberg/Falkenstein) verarbeitet. Ein Drittlandtransfer findet grundsätzlich nicht statt. Ausnahmen:
Für die Verarbeitung von Daten, die Sie als Kundenunternehmen in der Plattform speichern, gilt der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Folgende Unter-Auftragsverarbeiter sind eingebunden:
Sie haben das Recht auf:
Zur Ausübung Ihrer Rechte wenden Sie sich an die zentrale Anlaufstelle der gemeinsam Verantwortlichen: office@nisty.at
Sie haben das Recht, eine Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzureichen, insbesondere bei der Österreichischen Datenschutzbehörde, Barichgasse 40-42, 1030 Wien (www.dsb.gv.at).
Stand: August 2026
© 2026 Strategie Manufaktur Unternehmensberatung e.U. & Risk-Vision GmbH