KISSA TEA GmbH · Österreich
MDM-Datenschutzinformation für Beschäftigte der KISSA TEA GmbH
Verwaltung betrieblicher Apple-Geräte (Mac, iPhone, iPad)
Diese Information gilt für Beschäftigte der KISSA TEA GmbH in Österreich, die ein betriebliches Apple-Gerät (Mac, iPhone oder iPad) nutzen. Sie erklärt, welche personenbezogenen Daten bei der Verwaltung dieser Geräte verarbeitet werden, zu welchen Zwecken und welche Rechte Sie haben.
1. Worum es geht
Die KISSA TEA GmbH stellt betriebliche Apple-Geräte zur Verfügung. Diese Geräte werden zentral verwaltet (Mobile Device Management, kurz MDM). Die Verwaltung erfolgt in der gemeinsam genutzten Microsoft-365-Umgebung, die die zentrale IT der AIYA Europe GmbH betreibt. Dafür werden drei Dienste genutzt:
- Apple Business registriert neue Firmengeräte automatisch für die Verwaltung (Automated Device Enrollment).
- Microsoft Intune konfiguriert und schützt die Geräte und stellt Firmen-Apps bereit.
- Microsoft Entra ID verwaltet Ihr Microsoft-Konto und die Anmeldung, auch die Anmeldung am Mac (Platform SSO).
Die private Nutzung der Firmengeräte ist im Rahmen der Nutzungsrichtlinie für betriebliche Apple-Geräte erlaubt. Was das für Ihre Daten bedeutet, steht in Abschnitt 9.
2. Verantwortlicher
KISSA TEA GmbH
Stiftgasse 6/2/1, 1070 Wien, Österreich
Vertreten durch den Geschäftsführer Thomas Grömer
Firmenbuch: FN 437047 t, Handelsgericht Wien
Sie erreichen die Verantwortliche schriftlich unter der oben genannten Anschrift oder über den Datenschutzbeauftragten.
3. Datenschutzbeauftragter
DataCo GmbH (DataGuard)
Dachauer Straße 65, 80335 München, Deutschland
E-Mail: datenschutz@dataguard.de
Für technische Fragen zur Geräteverwaltung erreichen Sie den IT-Support „AIYA Device Support“ unter mdm@aiya-europe.com. Diese Adresse ist kein Datenschutzkontakt.
4. Welche Daten verarbeitet werden
| Kategorie | Beispiele | Wann |
|---|---|---|
| Konto- und Zuordnungsdaten | Name, geschäftliche E-Mail-Adresse bzw. Benutzername, Kennung in Microsoft Entra ID, Gruppenzugehörigkeiten für die Zuteilung von Firmen-Apps und Einstellungen | bei Ausgabe und Registrierung des Geräts |
| Gerätedaten | Gerätename, Hersteller, Modell, Seriennummer, Betriebssystem und Version, Speicherplatz, Kennzeichnung als Unternehmensgerät, Registrierungsdatum, letzte Verbindung mit der Verwaltung, Netzwerkdaten wie IP- und WLAN-MAC-Adresse; bei iPhone und iPad zusätzlich IMEI, SIM-Kennung (ICCID) und Telefonnummer | während der Verwaltung |
| Sicherheitsstatus | ob die Verschlüsselung aktiv ist, ob ein Gerätecode gesetzt ist (nicht der Code selbst), Erkennung von Jailbreak, Einhaltung der Mindestversion des Betriebssystems, beim Mac Firewall und Systemschutz | während der Verwaltung |
| App-Inventar | Namen und Versionen der installierten Apps, auch privat installierter Apps | regelmäßiger Abgleich |
| Wiederherstellungs- und Verwaltungsdaten | beim Mac: Wiederherstellungsschlüssel der Festplattenverschlüsselung (FileVault) und Kennwort eines versteckten IT-Administratorkontos, das regelmäßig automatisch wechselt; bei iPhone und iPad ein technischer Schlüssel, mit dem die IT auf Ihre Anfrage einen vergessenen Gerätecode entfernen kann (der Code selbst ist nicht lesbar) | bei der Einrichtung, sicher in Intune hinterlegt |
| Standortdaten (nur iPhone und iPad) | Standort des Geräts – ausschließlich, wenn das Gerät nach einer Verlust- oder Diebstahlsmeldung in den Verlustmodus versetzt und gezielt geortet wird | nur im Einzelfall |
| Anmelde- und Protokolldaten | Anmeldungen an Microsoft-Diensten (Zeitpunkt, Gerät, App, IP-Adresse); Protokolle der Verwaltungsaktionen der IT (wer hat wann welche Aktion an welchem Gerät ausgelöst) | laufend |
| Supportanfragen | Inhalt Ihrer Anfragen an mdm@aiya-europe.com | bei Kontaktaufnahme |
Nicht verarbeitet werden: Inhalte Ihrer E-Mails und Nachrichten (z. B. iMessage, WhatsApp), Fotos, Dokumente, private Kontakte und Kalender, Anruf- und Browserverlauf, Dauer oder Häufigkeit der App-Nutzung, Inhalte Ihres privaten Apple Accounts und dessen Kennwort sowie Ihr Standort im Alltag. Ihren Gerätecode kann die Geräteverwaltung nicht auslesen.
5. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Ausgabe, Einrichtung und Verwaltung des Firmengeräts, Bereitstellung von Firmen-Apps, technischer Support | Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses) |
| Schutz von Unternehmensdaten und IT-Sicherheit: Verschlüsselung, Gerätecode, Mindestversion des Betriebssystems, Prüfung des Sicherheitsstatus, Regeln für den Datenaustausch zwischen Firmen-Apps und privaten Apps | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der IT und der Unternehmensdaten) sowie Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 32 DSGVO (Pflicht zu angemessenen Sicherheitsmaßnahmen) |
| App-Inventar: Erkennen von Sicherheitsrisiken, Prüfung von Lizenzen, Support | Art. 6 Abs. 1 lit. f DSGVO. Das Inventar wird nicht zur Leistungs- oder Verhaltenskontrolle verwendet |
| Verlust und Diebstahl: Sperren, Verlustmodus, Ortung (nur iPhone und iPad), Löschen | Art. 6 Abs. 1 lit. f DSGVO (Schutz von Eigentum und Daten); bei einer Verletzung des Schutzes personenbezogener Daten zusätzlich Art. 6 Abs. 1 lit. c i. V. m. Art. 33 und 34 DSGVO |
| IT-Administratorzugang und Wiederherstellung beim Mac | Art. 6 Abs. 1 lit. b und f DSGVO |
| Protokollierung von Anmeldungen und Verwaltungsaktionen (Nachvollziehbarkeit, Erkennen von Missbrauch) | Art. 6 Abs. 1 lit. f DSGVO sowie Art. 6 Abs. 1 lit. c i. V. m. Art. 5 Abs. 2 und Art. 32 DSGVO |
| Rückgabe, Weitergabe und Neuausgabe von Geräten | Art. 6 Abs. 1 lit. b DSGVO |
Berechtigte Interessen sind ein sicherer IT-Betrieb, der Schutz vertraulicher Unternehmensdaten und des Firmeneigentums sowie die Nachvollziehbarkeit administrativer Eingriffe. Ihre Interessen werden berücksichtigt:
- Inhalte werden nicht erfasst.
- Eine Ortung erfolgt nur im Verlustfall.
- Nur die IT-Administration hat technischen Zugriff.
- Die private Nutzung ist freiwillig.
Keine Einwilligung als Rechtsgrundlage: Die Geräteverwaltung beruht nicht auf einer datenschutzrechtlichen Einwilligung. Die Kenntnisnahme dieser Information und der Nutzungsrichtlinie ist keine Einwilligung.
Österreichisches Arbeitsrecht: Unberührt bleiben die Regeln für Kontrollmaßnahmen und Systeme zur Verarbeitung von Arbeitnehmerdaten (§§ 96 und 96a Arbeitsverfassungsgesetz, § 10 Arbeitsvertragsrechts-Anpassungsgesetz). Ist danach eine Betriebsvereinbarung oder Ihre Zustimmung erforderlich, wird sie vor der Registrierung Ihres Geräts eingeholt.
6. Wer Zugriff hat und an wen Daten gehen
- AIYA Europe GmbH, Am Sandtorkai 62, 20457 Hamburg, Deutschland: betreibt als zentrale IT die gemeinsam genutzte Microsoft-365-, Intune- und Apple-Business-Umgebung und führt die technische Verwaltung der Geräte durch.
- Technischen Zugriff haben nur Konten mit einer Administratorrolle in Microsoft 365 und Intune.
- Verwaltungsaktionen und Abrufe des Mac-Administratorkennworts werden protokolliert.
- Vorgesetzte erhalten keine Auswertungen der Geräte- oder App-Daten einzelner Beschäftigter.
- Microsoft: Microsoft stellt Intune und Entra ID für die gemeinsam genutzte Umgebung als Auftragsverarbeiter bereit (Grundlage: Microsoft Products and Services Data Protection Addendum). Ansprechpartner für den Datenschutz im Europäischen Wirtschaftsraum ist die Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland. Für eigene Geschäftsabläufe rund um die Bereitstellung der Dienste, etwa Abrechnung und Schutz vor Missbrauch, ist Microsoft selbst verantwortlich.
- Apple: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland, stellt Apple Business als Auftragsverarbeiter bereit (Grundlage: Apple Business Terms of Service). Apple erhält dabei Gerätedaten wie Modell, Seriennummer, IMEI und den Status der Aktivierungssperre; Ihren Namen oder Ihr Microsoft-Konto übermittelt die Geräteverwaltung nicht an Apple. Über den Apple-Push-Dienst werden Geräte nur aufgefordert, sich bei der Verwaltung zu melden; Inhalte werden darüber nicht übertragen. Ihre private Nutzung von Apple-Diensten mit Ihrem eigenen Apple Account richtet sich nach Ihrem Vertrag mit Apple; darauf hat die KISSA TEA GmbH keinen Einfluss.
- Behörden: nur, wenn eine gesetzliche Pflicht besteht.
Ihre Daten werden nicht verkauft und nicht für Werbung genutzt.
7. Übermittlung in Drittländer
Die Übermittlung an die AIYA Europe GmbH in Deutschland erfolgt innerhalb der Europäischen Union.
Der gemeinsam genutzte Microsoft-365-Mandant hat den Datenspeicherort EU. Microsoft verarbeitet die Daten von Intune und Entra ID grundsätzlich innerhalb der EU-Datengrenze (EU Data Boundary).
In von Microsoft dokumentierten Ausnahmefällen können Daten auch außerhalb der EU verarbeitet werden, vor allem in den USA, etwa bei Supportfällen, für die Sicherheit der Dienste oder für Teile der Verzeichnisdaten wie Benutzername und E-Mail-Adresse. Grundlage sind der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), nach dem die Microsoft Corporation zertifiziert ist, sowie die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
Apple kann Daten aus Apple Business auch außerhalb der EU verarbeiten. Grundlage sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
8. Speicherdauer
| Daten | Dauer |
|---|---|
| Geräte-, Inventar- und Statusdaten | während der Verwaltung des Geräts; nach dem Entfernen aus der Verwaltung löscht die IT den Gerätedatensatz in Intune und Entra ID innerhalb von 30 Tagen; Microsoft entfernt die Daten danach in der Regel innerhalb weiterer 30 Tage. In Apple Business bleibt das Gerät ohne Zuordnung zu Ihrer Person registriert, solange es dem Unternehmen gehört |
| Wiederherstellungsschlüssel und Administratorkennwörter | solange das Gerät verwaltet wird; das Administratorkennwort wechselt regelmäßig automatisch |
| Standortdaten | in Intune 24 Stunden, danach automatische Löschung; zusätzlich im Vorgang dokumentiert (siehe unten) |
| Protokolle der Verwaltungsaktionen | in Intune bis zu 2 Jahre; diese Frist legt Microsoft fest, vorzeitig löschen kann die IT die Protokolle nicht |
| Anmeldeprotokolle in Microsoft Entra ID | 30 Tage |
| Dokumentation von Vorgängen wie Verlust, Ortung oder Löschung | bis zu 12 Monate nach Abschluss des Vorgangs, länger nur, wenn sie für die Geltendmachung oder Abwehr von Rechtsansprüchen erforderlich ist |
| Supportanfragen | solange sie für die Bearbeitung und Nachvollziehbarkeit erforderlich sind |
9. Private Nutzung – das sollten Sie wissen
- App-Liste: Die IT sieht Namen und Versionen aller Apps auf Ihrem Gerät, auch privat installierter. Inhalte und Nutzung der Apps sieht sie nicht.
- Fernlöschung: Das Zurücksetzen per Fernzugriff löscht das gesamte Gerät, einschließlich Ihrer privaten Daten. Es erfolgt nur in den Fällen der Nutzungsrichtlinie und, außer bei Gefahr im Verzug, nach vorheriger Information.
- Ortung: Nur bei iPhone und iPad, nur im Verlustmodus nach einer Verlust- oder Diebstahlsmeldung. Den Verlustmodus erkennen Sie am gesperrten Bildschirm mit einer Nachricht der IT. Im Verlustmodus lässt sich das Gerät auch dann orten, wenn Sie die Ortungsdienste ausgeschaltet haben. Nach Ende des Verlustmodus zeigt das Gerät an, dass sein Standort abgerufen wurde.
- Hinweis von Apple: Auf betreuten iPhones und iPads zeigt Apple in den Einstellungen allgemein an, dass die Organisation den Internetverkehr überwachen und das Gerät orten kann. Der Internetverkehr wird nicht überwacht: Es gibt keinen Proxy, keinen VPN-Zwang und keinen Webfilter. Geortet wird nur wie oben beschrieben.
- Übernahme privater Apps: Haben Sie eine App privat installiert und wird dieselbe App später als Firmen-App bereitgestellt, kann das Gerät sie in die Verwaltung übernehmen. Wird sie später entfernt, werden auch ihre Daten gelöscht. Typische Privat-Apps werden deshalb nicht als Pflicht-Apps verteilt.
- Datensicherung: Sichern Sie private Daten selbst, zum Beispiel in Ihrer privaten iCloud. Private Daten werden nicht durch das Unternehmen gesichert.
- Trennung von Firmen- und Privatdaten auf iPhone und iPad: Konfiguriert sind folgende Regeln:
- Firmendokumente lassen sich nicht in privaten Apps öffnen.
- Kopiertes aus Firmen-Apps lässt sich nur in Firmen-Apps einfügen.
- AirDrop gilt als privat.
- Daten verwalteter Apps werden nicht mit iCloud synchronisiert.
Diese Regeln werden vor der Ausgabe an Beschäftigte auf Testgeräten praktisch geprüft.
10. Ihre Rechte
Sie haben das Recht auf:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16)
- Löschung (Art. 17)
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20)
Widerspruchsrecht (Art. 21 DSGVO): Sie können Verarbeitungen auf Grundlage berechtigter Interessen aus Gründen Ihrer besonderen Situation jederzeit widersprechen.
Wenden Sie sich dazu an die KISSA TEA GmbH (Anschrift siehe Abschnitt 2) oder an den Datenschutzbeauftragten (datenschutz@dataguard.de).
Sie können sich außerdem bei der österreichischen Datenschutzbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb@dsb.gv.at.
11. Pflicht zur Bereitstellung
Für die Nutzung eines Firmengeräts ist die Registrierung in der Geräteverwaltung erforderlich. Ohne diese Verarbeitung kann kein verwaltetes Firmengerät bereitgestellt werden. Weitere Nachteile entstehen Ihnen nicht.
12. Keine automatisierte Entscheidung
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.
13. Stand und Änderungen
Version 1.0 vom 25.10.2026. Wesentliche Änderungen werden Ihnen vorab mitgeteilt.