Datenschutzerklärung
Stand: wird automatisch aus den Firmendaten gepflegt
1. Verantwortlich
Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:
[Firmenname noch nicht hinterlegt]
[Straße]
[Ort]
E-Mail: [E-Mail] · Telefon: [Telefon]
2. Welche Daten wir verarbeiten
Diese Anwendung verarbeitet folgende Kategorien personenbezogener Daten:
- Stammdaten der Mitarbeitenden: Vor-/Nachname, Anschrift, Geburtsdatum, Telefon, E-Mail, Personalnummer, SV-Nummer, Steuer-ID, Krankenkasse, IBAN
- Beschäftigungsdaten: Eintrittsdatum, Beschäftigungsart, Wochenarbeitsstunden, Tarifgruppe, Stundenlohn, Qualifikationen (§34a, Sachkunde u.a.)
- Schichtplandaten: Einsatzort, Schichtzeiten, Vertretungen, Krank-/Urlaubszeiten, Frei-Wünsche, Verfügbarkeits-Erklärungen
- Standortdaten bei aktiver GPS-Check-In-Funktion: Geo-Koordinaten zum Zeitpunkt von Beginn/Ende der Schicht und bei Kontrollgängen
- Dokumente: Ausweis, Aufenthaltstitel, §34a-Nachweise, Führungszeugnis, Stundenzettel, Lohnabrechnungen
- Push-Benachrichtigungs-Abos (Endpoint-URL, Public-Key) wenn der MA Push aktiviert
- Server-Logs: Audit-Log (wer hat wann was geändert), Route-Hits (Seitenaufrufe), Error-Log
3. Zweck und Rechtsgrundlage
- Erfüllung des Arbeitsvertrags inkl. Lohnabrechnung (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG)
- Erfüllung gesetzlicher Pflichten (Bewacherregister, §34a GewO, Arbeitszeitgesetz)
- Berechtigtes Interesse an Beweissicherung (GPS-Check-In bei Kontrollgängen, Audit-Log) — Art. 6 Abs. 1 lit. f DSGVO
- Push-Benachrichtigungen nur nach ausdrücklicher Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
4. Speicherdauer
- Stammdaten + Lohnunterlagen: bis 10 Jahre nach Ablauf des Beschäftigungsverhältnisses (steuer-/handelsrechtlich)
- Schichtpläne: 3 Jahre (lohnrechtliche Verjährung)
- GPS-Standortdaten der Check-Ins: 6 Monate nach Schichtende, dann automatisch gelöscht
- Push-Subscriptions: solange aktiv, beim Logout oder MA-Löschung automatisch entfernt
- Audit-Log: 24 Monate
- Route-Hits / Error-Log: 90 Tage
5. Empfänger
Personenbezogene Daten werden ausschließlich von berechtigten internen Personen (Disponent, Geschäftsführung) und im Rahmen gesetzlicher Pflichten von Behörden eingesehen. Eine Weitergabe an Dritte zu Werbezwecken erfolgt nicht. Externe Auftragsverarbeiter:
- Hosting: Hetzner Online GmbH (Server in Deutschland, AV-Vertrag vorhanden)
- KI-Funktionen (optional): Anthropic (Modell „Claude") bei Nutzung des KI-Disponenten und Plan-Imports. Keine personenbezogenen Klardaten ohne ausdrückliche Notwendigkeit.
- Push-Provider: Web-Push über den Browser-Hersteller (Apple, Google, Mozilla)
6. Ihre Rechte
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch (Art. 21 DSGVO)
- Widerruf einer Einwilligung mit Wirkung für die Zukunft
- Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO)
7. GPS-/Standortdaten
Die GPS-Standortermittlung beim Schicht-Check-In ist eine technische Voraussetzung, um die Anwesenheit am Einsatzort zu prüfen und damit gesetzliche Dokumentationspflichten zu erfüllen. Die Erhebung erfolgt ausschließlich beim Klick auf „Check-In" / „Check-Out" durch den Mitarbeitenden — nicht im Hintergrund. Eine laufende Standort-Verfolgung findet nicht statt.
8. Cookies / Session
Wir verwenden ausschließlich technisch notwendige Cookies zur Aufrechterhaltung der Login-Session. Es findet kein Tracking durch Drittanbieter statt. Externe Inhalte (z.B. Karten) werden nur nach ausdrücklicher Interaktion geladen.
9. Datensicherheit
Übertragung ausschließlich verschlüsselt (HTTPS/TLS). Server-Hosting in Deutschland. Tägliche Backups, automatisches Frühwarnsystem (Watchdog, Synthetic Monitoring). Zugriff nur über Benutzer-Login + signierte Session-Cookies.
10. Verantwortliche Person
Datenschutzbeauftragte:r / Ansprechpartner:in:
[noch nicht benannt]
E-Mail: [E-Mail]
Diese Datenschutzerklärung ist ein Standard-Template. Für die rechtssichere Verwendung in deinem Betrieb solltest du sie durch eine:n Datenschutzbeauftragte:n oder Rechtsanwält:in prüfen lassen.