DSGVO-Datenschutzrichtlinie

Interne Unternehmensrichtlinie der ALPSEAST GmbH

Stand: 22. Juli 2026

Diese Richtlinie ergänzt die veröffentlichte Datenschutzerklärung und dient als verbindlicher interner Rahmen für den Umgang mit personenbezogenen Daten.

1. Geltungsbereich

Diese Datenschutzrichtlinie gilt für die ALPSEAST GmbH sowie für alle Mitarbeiterinnen und Mitarbeiter, freien Mitarbeiter, Führungskräfte und sonstigen Personen, die im Auftrag von ALPSEAST personenbezogene Daten verarbeiten.

Sie gilt insbesondere für die Verarbeitung personenbezogener Daten von:

• Bewerberinnen und Bewerbern,
• Kandidatinnen und Kandidaten,
• Beschäftigten und überlassenen Arbeitskräften,
• Kunden und Interessenten,
• Ansprechpartnern bei Unternehmen,
• Lieferanten und Geschäftspartnern,
• Veranstaltungsteilnehmern,
• Besuchern unserer Website und Social-Media-Auftritte.

Diese Richtlinie ergänzt die auf der Website veröffentlichte Datenschutzerklärung.

2. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten ist:

ALPSEAST GmbH
Dresdner Straße 48–54/1/R1
1200 Wien
Österreich

Firmenbuchnummer: FN 645614 h
UID-Nummer: ATU81655415
Geschäftsführer: Hassan Terab
Telefon: +43 676 6626383
E-Mail: info@alpseast.com
Website: www.alpseast.com

Datenschutzanfragen sind an info@alpseast.com zu richten.

3. Zwecke der Datenverarbeitung

ALPSEAST verarbeitet personenbezogene Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke.

Dazu gehören insbesondere:

• Personalvermittlung,
• Arbeitskräfteüberlassung,
• Bewerber- und Kandidatenmanagement,
• Durchführung von Bewerbungs- und Auswahlverfahren,
• Kommunikation mit Kandidaten und Unternehmen,
• Erstellung und Abwicklung von Angeboten und Verträgen,
• Verwaltung von Kunden- und Geschäftspartnerdaten,
• Durchführung von Job-Events und Veranstaltungen,
• Erfüllung arbeits-, steuer-, sozialversicherungs- und unternehmensrechtlicher Pflichten,
• Betrieb und Sicherheit der Website,
• statistische Analyse der Website nach Einwilligung,
• Öffentlichkeitsarbeit und Social-Media-Kommunikation.

4. Verarbeitung von Kunden-, Partner- und Lieferantendaten

ALPSEAST verarbeitet Daten von Kunden, Interessenten, Geschäftspartnern und Lieferanten insbesondere zur:

• Bearbeitung von Anfragen,
• Erstellung von Angeboten,
• Durchführung von Personalvermittlungen,
• Durchführung von Arbeitskräfteüberlassungen,
• Vertragsabwicklung,
• Kundenbetreuung,
• Rechnungslegung und Buchhaltung,
• Erfüllung gesetzlicher Verpflichtungen.

Verarbeitet werden können insbesondere:

• Name und berufliche Kontaktdaten,
• Unternehmen und Position,
• Telefonnummer und E-Mail-Adresse,
• Angaben zum Personalbedarf,
• offene Stellen und Tätigkeitsbeschreibungen,
• Gesprächs- und Termindaten,
• Vertrags-, Rechnungs- und Zahlungsdaten.

Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b, c und f DSGVO.

5. Verarbeitung von Bewerber- und Kandidatendaten

Im Rahmen einer Bewerbung, Personalvermittlung oder Arbeitskräfteüberlassung verarbeitet ALPSEAST insbesondere:

• Namen und Kontaktdaten,
• Anschrift und Wohnort,
• Lebensläufe und Bewerbungsunterlagen,
• Ausbildung und Berufserfahrung,
• Sprachkenntnisse,
• Aufenthalts- und Arbeitsberechtigung,
• Führerschein und berufliche Berechtigungen,
• gewünschte Tätigkeit und Arbeitsort,
• Verfügbarkeit und Arbeitszeitwünsche,
• Bewerbungsstatus,
• Gesprächs- und Interviewnotizen,
• vom Bewerber freiwillig übermittelte Informationen.

Die Daten werden verarbeitet, um die Eignung für offene Stellen zu prüfen, Kandidaten zu kontaktieren, Gespräche durchzuführen und passende Kandidaten gegenüber möglichen Arbeitgebern oder Beschäftigerunternehmen vorzustellen.

Kandidatenprofile werden derzeit grundsätzlich nur nach vorheriger Abstimmung mit der betroffenen Person an Unternehmen in Österreich weitergegeben.

Bewerber- und Kandidatendaten werden grundsätzlich höchstens sieben Monate nach Abschluss des jeweiligen Bewerbungs- oder Vermittlungsverfahrens gespeichert. Eine längere Speicherung erfolgt nur, wenn:

• ein Vertrags- oder Beschäftigungsverhältnis zustande kommt,
• gesetzliche Aufbewahrungspflichten bestehen,
• die Daten zur Abwehr oder Geltendmachung von Rechtsansprüchen benötigt werden,
• eine gesonderte Einwilligung vorliegt.

6. Besondere Kategorien personenbezogener Daten

ALPSEAST fordert Bewerber grundsätzlich nicht dazu auf, Gesundheitsdaten, Angaben zur Religion, ethnischen Herkunft, politischen Meinung, Gewerkschaftszugehörigkeit oder andere besondere Kategorien personenbezogener Daten zu übermitteln.

Solche Daten werden nur verarbeitet, wenn dies für ein konkretes Beschäftigungs- oder Vertragsverhältnis erforderlich und gesetzlich zulässig ist.

7. Beschäftigten- und Mitarbeiterdaten

ALPSEAST verarbeitet personenbezogene Daten eigener Beschäftigter und überlassener Arbeitskräfte insbesondere zur:

• Begründung und Durchführung des Beschäftigungsverhältnisses,
• Lohn- und Gehaltsabrechnung,
• Arbeitszeitverwaltung,
• Einsatzplanung,
• Personaladministration,
• Erfüllung arbeits- und sozialversicherungsrechtlicher Pflichten,
• Kommunikation mit Kunden und Behörden,
• Dokumentation von Qualifikationen und Unterweisungen.

Daten können im erforderlichen Umfang an Steuerberatung, Lohnverrechnung, Sozialversicherungsträger, Behörden, Banken und Kundenunternehmen weitergegeben werden.

8. Website, Cookies und Google Analytics

Beim Besuch der Website können technische Daten wie IP-Adresse, Browser, Betriebssystem, Zugriffszeitpunkt und aufgerufene Seiten verarbeitet werden.

ALPSEAST verwendet Google Analytics 4 sowie eingebettete YouTube- und Social-Media-Inhalte nur entsprechend den in der Website-Datenschutzerklärung beschriebenen Bedingungen.

Nicht notwendige Analyse- und externe Mediendienste werden grundsätzlich erst nach einer entsprechenden Auswahl im Cookie-Banner aktiviert.

Eine bloße Nutzung der Website gilt nicht als Einwilligung in nicht notwendige Analyse- oder Marketingdienste.

9. Notion

ALPSEAST verwendet Notion insbesondere als:

• CRM-System,
• Bewerber- und Kandidatendatenbank,
• Bewerbermanagementsystem,
• Speicherort für Lebensläufe,
• Dokumentationssystem für Gesprächsnotizen und Bewerbungsstatus,
• Plattform für öffentliche Bewerbungs- und Veranstaltungsformulare.

Der Zugriff auf Notion-Daten wird auf jene Personen beschränkt, die diese Daten für ihre beruflichen Aufgaben benötigen.

Lebensläufe, Kandidatenprofile und Gesprächsnotizen dürfen nicht ohne dienstliche Notwendigkeit kopiert, heruntergeladen oder an Dritte weitergegeben werden.

10. E-Mail und easyname

ALPSEAST nutzt easyname für Website- und E-Mail-Hosting.

E-Mail-Kommunikation kann insbesondere Namen, Kontaktdaten, Bewerbungsunterlagen, Lebensläufe, Angebote, Verträge und geschäftliche Kommunikation enthalten.

Mitarbeiter müssen vor dem Versand personenbezogener Daten insbesondere kontrollieren:

• ob die Empfängeradresse korrekt ist,
• ob Anhänge für den Empfänger bestimmt sind,
• ob alle Empfänger die Daten erhalten dürfen,
• ob eine Weiterleitung tatsächlich erforderlich ist.

Personenbezogene Daten dürfen nicht an private E-Mail-Adressen weitergeleitet werden, sofern dies nicht ausdrücklich genehmigt und erforderlich ist.

11. WhatsApp

ALPSEAST verwendet WhatsApp für die freiwillige Kommunikation mit Bewerbern, Kandidaten, Interessenten und Geschäftspartnern.

Über WhatsApp können auch Lebensläufe und Bewerbungsunterlagen eingehen.

Relevante Unterlagen können in Notion oder das E-Mail-System übernommen werden. Sie sollen anschließend aus WhatsApp gelöscht werden, sobald sie dort für die Kommunikation nicht mehr erforderlich sind.

Die automatische Synchronisierung von Kontakten ist auf das geschäftlich erforderliche Maß zu beschränken. Private und geschäftliche Kontakte sollen nach Möglichkeit getrennt verwaltet werden.

Besonders sensible personenbezogene Daten sollen grundsätzlich nicht über WhatsApp angefordert werden.

12. Foto-, Video- und Interviewaufnahmen

Bei Veranstaltungen und Bewerbungsevents können Foto-, Video- und Interviewaufnahmen erstellt werden.

Erkennbare Einzelaufnahmen oder persönliche Interviews werden grundsätzlich nur veröffentlicht, wenn die betroffene Person zuvor ausreichend informiert wurde und eine geeignete Rechtsgrundlage besteht.

Eine Einwilligung in Foto- oder Videoaufnahmen muss freiwillig erfolgen und darf keine Voraussetzung für eine Bewerbung, Vermittlung oder Veranstaltungsteilnahme sein.

Aufnahmen können insbesondere auf der ALPSEAST-Website sowie auf LinkedIn, Facebook, Instagram, TikTok und YouTube veröffentlicht werden.

13. Grundsätze der Datenverarbeitung

Alle personenbezogenen Daten müssen nach folgenden Grundsätzen verarbeitet werden:

Rechtmäßigkeit und Transparenz

Jede Verarbeitung benötigt eine geeignete Rechtsgrundlage. Betroffene Personen sind verständlich über die Verarbeitung zu informieren.

Zweckbindung

Daten dürfen nur für festgelegte und rechtmäßige Zwecke verarbeitet werden. Eine Verwendung für andere Zwecke ist nur zulässig, wenn eine Rechtsgrundlage besteht.

Datenminimierung

Es dürfen nur jene personenbezogenen Daten erhoben und verarbeitet werden, die für den jeweiligen Zweck erforderlich sind.

Richtigkeit

Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls aktuell gehalten werden.

Speicherbegrenzung

Daten dürfen nicht länger gespeichert werden, als dies für den jeweiligen Zweck oder aufgrund gesetzlicher Aufbewahrungsfristen erforderlich ist.

Integrität und Vertraulichkeit

Daten müssen vor unbefugtem Zugriff, Verlust, Veränderung, Offenlegung und Zerstörung geschützt werden.

Diese Grundsätze entsprechen Art. 5 DSGVO und bilden den verbindlichen Rahmen für jede Verarbeitung personenbezogener Daten bei ALPSEAST.

14. Datengeheimnis und Mitarbeiterpflichten

Alle Mitarbeiterinnen und Mitarbeiter, die Zugang zu personenbezogenen Daten haben, sind verpflichtet:

• personenbezogene Daten vertraulich zu behandeln,
• Daten nur im Rahmen ihrer Aufgaben zu verwenden,
• Zugangsdaten und Passwörter geheim zu halten,
• Dokumente und Geräte vor unbefugtem Zugriff zu schützen,
• personenbezogene Daten nicht privat zu nutzen,
• keine Daten ohne Berechtigung weiterzugeben,
• mögliche Datenschutzverletzungen sofort zu melden.

Die Verpflichtung zur Vertraulichkeit gilt auch nach Ende des Beschäftigungs- oder Vertragsverhältnisses.

15. Technische und organisatorische Maßnahmen

ALPSEAST trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

Dazu gehören je nach Risiko insbesondere:

• individuelle Benutzerkonten,
• sichere Passwörter,
• Mehrfaktor-Authentifizierung, soweit verfügbar,
• rollenbasierte Zugriffsrechte,
• regelmäßige Softwareaktualisierungen,
• Schutz vor Schadsoftware,
• verschlüsselte Datenübertragung,
• Datensicherungen,
• Bildschirmsperren,
• sichere Aufbewahrung von Papierunterlagen,
• regelmäßige Prüfung und Löschung nicht mehr benötigter Daten,
• Beschränkung des Zugriffs auf erforderliche Mitarbeiter.

Die Sicherheitsmaßnahmen werden entsprechend der technischen Entwicklung, der Art der Daten und den Risiken der jeweiligen Verarbeitung regelmäßig überprüft und angepasst.

16. Auftragsverarbeiter

Externe Dienstleister dürfen personenbezogene Daten nur erhalten, wenn dies für ihre Leistung erforderlich und datenschutzrechtlich zulässig ist.

Zu den eingesetzten Dienstleistern können insbesondere gehören:

• easyname,
• Notion,
• Google,
• Steuerberatung und Lohnverrechnung,
• IT- und Wartungsdienstleister.

Soweit ein Dienstleister personenbezogene Daten im Auftrag von ALPSEAST verarbeitet, ist grundsätzlich eine Vereinbarung nach Art. 28 DSGVO abzuschließen.

17. Datenübermittlungen in Drittländer

Bei der Verwendung von Notion, Google, YouTube, WhatsApp und sozialen Netzwerken kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden.

Drittlandübermittlungen erfolgen nur unter Beachtung der gesetzlichen Voraussetzungen, insbesondere auf Grundlage:

• eines Angemessenheitsbeschlusses,
• geeigneter Standardvertragsklauseln,
• des EU-US Data Privacy Framework bei zertifizierten Empfängern,
• einer gesetzlichen Ausnahme oder ausdrücklichen Einwilligung.

Für internationale Übermittlungen sind die Vorgaben des Kapitels V der DSGVO einzuhalten.

18. Datenschutzverletzungen

Ein möglicher Datenschutzvorfall ist unverzüglich intern an die Geschäftsführung oder die Datenschutzkontaktstelle zu melden.

Beispiele sind:

• eine E-Mail mit einem Lebenslauf an den falschen Empfänger,
• Verlust eines Mobiltelefons oder Laptops,
• unberechtigter Zugriff auf Notion oder E-Mail,
• Verlust von Bewerbungsunterlagen,
• Veröffentlichung personenbezogener Daten ohne Berechtigung,
• Hackerangriff oder Schadsoftware,
• versehentliche Löschung oder Veränderung wichtiger Daten.

ALPSEAST dokumentiert den Vorfall, bewertet das Risiko und ergreift unverzüglich Maßnahmen zur Begrenzung des Schadens.

Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen, muss die Österreichische Datenschutzbehörde grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden informiert werden. Bei einem voraussichtlich hohen Risiko sind zusätzlich die betroffenen Personen zu informieren.

19. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft,
• Berichtigung,
• Löschung,
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerspruch,
• Widerruf einer Einwilligung,
• Beschwerde bei einer Aufsichtsbehörde.

Anfragen sind an info@alpseast.com zu richten.

Vor der Erteilung von Auskünften kann ALPSEAST einen geeigneten Identitätsnachweis verlangen, wenn begründete Zweifel an der Identität bestehen.

20. Datenschutzkontakt und Datenschutzbeauftragter

Datenschutzkontaktstelle der ALPSEAST GmbH ist:

ALPSEAST GmbH
E-Mail: info@alpseast.com
Telefon: +43 676 6626383

ALPSEAST prüft regelmäßig, ob die gesetzlichen Voraussetzungen für die verpflichtende Bestellung eines formellen Datenschutzbeauftragten gemäß Art. 37 DSGVO vorliegen.

Eine Pflicht besteht insbesondere bei umfangreicher regelmäßiger und systematischer Überwachung oder bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten.

Die bloße interne Benennung einer Kontaktstelle bedeutet nicht automatisch, dass ein Datenschutzbeauftragter im Sinne von Art. 37 DSGVO bestellt wurde.

21. Verzeichnis von Verarbeitungstätigkeiten

ALPSEAST führt ein Verzeichnis der Verarbeitungstätigkeiten, in dem insbesondere dokumentiert werden:

• Zweck der Verarbeitung,
• Kategorien betroffener Personen,
• Datenkategorien,
• Empfänger,
• Drittlandübermittlungen,
• Löschfristen,
• technische und organisatorische Maßnahmen.

Das Verzeichnis wird bei Änderungen der eingesetzten Systeme, Prozesse oder Dienstleister aktualisiert.

22. Datenschutz-Folgenabschätzung

Vor Einführung neuer Verfahren oder Systeme wird geprüft, ob diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen verursachen.

Ist dies der Fall, wird vor Beginn der Verarbeitung eine Datenschutz-Folgenabschätzung durchgeführt.

Dies kann beispielsweise relevant werden bei:

• umfangreichem Profiling,
• ausschließlich automatisierten Personalentscheidungen,
• umfangreicher Verarbeitung sensibler Daten,
• systematischer Überwachung.

23. Beschwerderecht

Betroffene Personen können sich bei der zuständigen Aufsichtsbehörde beschweren:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien
Österreich
E-Mail: dsb@dsb.gv.at
Website: www.dsb.gv.at

24. Kontrolle und Aktualisierung

Die Einhaltung dieser Datenschutzrichtlinie wird regelmäßig überprüft.

Die Richtlinie wird insbesondere angepasst, wenn:

• neue Software oder Dienstleister eingesetzt werden,
• sich die Geschäftstätigkeit ändert,
• neue Datenkategorien verarbeitet werden,
• gesetzliche Vorgaben geändert werden,
• Datenschutzvorfälle oder Prüfungen Verbesserungsbedarf zeigen.

25. Inkrafttreten

Diese Datenschutzrichtlinie tritt am 22. Juli 2026 in Kraft.

Sie ist von allen Personen einzuhalten, die im Rahmen ihrer Tätigkeit für ALPSEAST Zugang zu personenbezogenen Daten erhalten.