Datenschutzerklärung^v2

1. Verantwortlicher für den Betrieb der Anwendung

[ Name oder Firma des Betreibers ], [ Anschrift ], E-Mail: [ Kontaktadresse ]. Die vollständigen Angaben stehen im Impressum.

Der Betreiber verantwortet eigenständig:

• das Kundenkonto: Name, E-Mail-Adresse und Unternehmensname der Person, die ein Unternehmen registriert, sowie die Nachweise der Zustimmung zu Nutzungsbedingungen, Auftragsverarbeitungsvertrag und die Kenntnisnahme dieser Erklärung (Zeitpunkt und Fassung)
• technische Betriebs- und Sicherheitsdaten: Zugriffsprotokolle der Hosting-Dienstleister, Ratenbegrenzung gegen automatisiertes Ausprobieren (Abschnitt 3)

Ein Datenschutzbeauftragter ist [ benannt (Kontakt) / nicht benannt – Pflicht nach § 38 BDSG prüfen ].

2. Verantwortlicher für die Beschäftigtendaten

Das Unternehmen, das den Zugang eingerichtet hat (Ihr Arbeitgeber). An diese Stelle richten Beschäftigte Auskunfts-, Berichtigungs-, Lösch- und sonstige Betroffenenanfragen zu ihren Schicht-, Urlaubs- und Abwesenheitsdaten. Erreicht ein solches Verlangen den Betreiber, leitet er es unverzüglich an das Unternehmen weiter, unterstützt dieses bei der Beantwortung und beantwortet es nicht selbst.

Das Unternehmen ist auch dafür zuständig, seine Beschäftigten nach Art. 13 DSGVO zu informieren, die Rechtmäßigkeit der Verarbeitung im eigenen Betrieb sicherzustellen (einschließlich einer etwaigen Beteiligung von Betriebsrat oder Personalvertretung) und die Angaben richtig zu halten. Diese Erklärung ergänzt, ersetzt aber nicht die Information durch den Arbeitgeber.

3. Welche Daten verarbeitet werden

Erforderliche Angaben zur Person (ohne sie lässt sich eine Person nicht in den Schichtplan aufnehmen):

• Vor- und Nachname, Personalnummer, Rolle in der Anwendung (Mitarbeiter, Schichtleitung, Administration)
• Schichtgruppe bzw. Rotationsmuster, Eintritts- und ggf. Austrittsdatum, Kennzeichen „Auszubildende/r“
• E-Mail-Adresse – nur, wenn für die Person ein Zugang eingerichtet werden soll (Anmeldung, Benachrichtigungen)

Freiwillige Angaben (ohne Nachteil verzichtbar; Änderung oder Löschung jederzeit beim Arbeitgeber bzw. – soweit vorgesehen – im eigenen Profil):

• Telefonnummer, Abteilung
• Geburtsdatum im Profil. Es wird für die rechnerische Ermittlung des Anspruchs auf Altersfreizeit (Sonderurlaub ab dem Jahr nach dem 55. Geburtstag) verwendet und ist für Schichtleitung und Administration sichtbar
• Begründung bei einem Urlaubsantrag (Freitext) und Notizen bei Fehlzeiten (höchstens 200 Zeichen)
• Kommentare im Schichtplan (Freitext, siehe Abschnitt 7)
• Freigaben zur Sichtbarkeit von Abwesenheitsgründen (Abschnitt 5)
• Darstellungseinstellungen, etwa ausgeblendete Kacheln auf der Startseite oder die beim Öffnen gewählte Startseite
• Persönlicher Kalender: eigene Termine, eigene Farben und eigene Einträge, geteilte Links mit eingeladenen Personen, Gruppen und Kalender-Abo (Abschnitt 8)

Planungs- und Abwesenheitsdaten:

• Schichtzuordnung je Tag, Besetzungsvorgaben, Qualifikationen, soweit für die Besetzungsplanung hinterlegt
• Urlaubsanspruch, genommene, geplante und beantragte Tage; V-Tage, Altersfreizeit und Stundenkonten einschließlich Korrekturen
• Anträge mit Zeitraum, Art, Status, Bearbeiter und Zeitpunkten
• Abwesenheiten mit Art (z. B. Urlaub, Freischicht, Schulung, krank)
• Fehlzeiten („früher gegangen“, „später gekommen“) mit Datum und Stunden; sie mindern V- oder Altersfreizeit-Konto. Diese Funktion ist derzeit auf die Administration beschränkt
• Benachrichtigungen in der Anwendung (z. B. zu Antragsentscheidungen)

Datenschutz-Einstellungen: gewählte Sichtbarkeit, Fassung dieser Erklärung und Zeitpunkt der Kenntnisnahme sowie Zeitpunkte, zu denen eine Freigabe erteilt oder zurückgenommen wurde.

Zugangs- und Sicherheitsdaten:

• E-Mail-Adresse, Passwort-Hash (das Passwort selbst wird nicht gespeichert), Sitzungs-Token, Zeitpunkt der letzten Anmeldung
• Änderungsprotokoll (Audit-Log): Änderungen an Anträgen, Urlaub und Abwesenheiten, Schichtwechseln, Konten, Mitteilungen, Urlaubssperren und Stammdaten, Rollen- und Aktivstatus-Änderungen, Löschungen, Änderungen der Datenschutz-Einstellungen und die Registrierung eines Unternehmens – jeweils mit Zeitpunkt, handelnder und betroffener Person. Inhalte von Kommentaren, Abwesenheitsgründen, Notizen oder Gesundheitsangaben werden nicht protokolliert; bei Krankmeldungen steht nur „Abwesenheit“
• Anmeldeprotokoll: Anmeldung und Abmeldung mit Zeitpunkt und grobem Gerätetyp (z. B. „iPhone · Safari“), automatische Abmeldung wegen Inaktivität, fehlgeschlagene Anmeldungen bei einem bestehenden Konto (mit der eingegebenen E-Mail-Adresse) sowie Fehlermeldungen, die in der Anwendung angezeigt wurden (Meldungstext und Seite). Es wird nicht protokolliert, welche Seiten jemand aufruft oder worauf geklickt wird
• Einsehen kann das Protokoll nur eine vom Unternehmen ausdrücklich dafür freigeschaltete Person der Administration, nicht jede Administration
• Ratenbegrenzung: für Anmeldung, Passwort-Zurücksetzen und Registrierung werden die Versuche mit einem gesalzenen Hashwert der IP-Adresse bzw. E-Mail-Adresse gezählt, nicht mit Klartext. Die Einträge werden nach spätestens einem Tag gelöscht
• Zugriffsprotokolle der Hosting-Dienstleister mit IP-Adresse, Zeitpunkt, aufgerufenem Pfad und Browserkennung

E-Mails: Systemmails (Bestätigung, Einladung, Passwort zurücksetzen) versendet der Authentifizierungsdienst über den dort eingerichteten Mailserver. Benachrichtigungen zu Anträgen werden zunächst in einem Postausgang (Empfänger, Betreff, Text, Status) zwischengespeichert und von dort versendet. Versanddienstleister: [ SMTP-Anbieter eintragen und Region prüfen ].

Live-Demo: Wer die Live-Demo startet, erhält ein befristetes Konto mit einer zufälligen Platzhalter-Adresse und einen eigenen Demo-Bereich mit Beispieldaten. Verarbeitet werden dabei nur Sitzungscookies (Abschnitt 11) und zur Begrenzung von Missbrauch ein gesalzener Hashwert der IP-Adresse (höchstens ein Tag). Konto und Demo-Bereich werden nach 24 Stunden automatisch gelöscht. Verantwortlich ist der Betreiber; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. f DSGVO.

Es findet keine Reichweitenmessung, kein Tracking und keine Werbung statt. Es werden keine Daten verkauft oder für fremde Zwecke ausgewertet.

4. Gesundheitsdaten (Krankheit)

Die Angabe, dass eine Person krank ist, kann ein Gesundheitsdatum im Sinne von Art. 9 DSGVO sein. Die Anwendung ist deshalb bewusst datensparsam gebaut:

• Gespeichert wird ausschließlich die Tatsache der Abwesenheit („krank“). Es gibt kein Feld für Diagnosen, Bescheinigungen oder Freitext; die Datenbank weist Notizen bei Krankheit ab
• Standardmäßig sehen Kolleginnen und Kollegen nur, dass jemand „abwesend“ ist – nicht den Grund
• Die Art der Abwesenheit einschließlich „krank“ sehen Schichtleitung und Administration des eigenen Unternehmens. Das ist technisch nicht auf die eigene Schichtgruppe beschränkt
• Im Änderungsprotokoll und in Benachrichtigungen an Dritte werden keine Krankheitsangaben ausgeschrieben

Bitte tragen Sie in Freitextfeldern (Kommentare, Begründungen, Notizen) keine Gesundheitsangaben ein. Das Unternehmen sollte seine Beschäftigten entsprechend anweisen.

5. Zwecke und Rechtsgrundlagen

Beschäftigtendaten (Verantwortlicher: Ihr Arbeitgeber)

• Schicht-, Urlaubs- und Stundenkontenplanung, Antragsbearbeitung, Mindestbesetzung: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beschäftigungsverhältnisses) und lit. f (berechtigtes Interesse an einer geordneten Betriebsorganisation), soweit anwendbar in Verbindung mit § 26 BDSG und Art. 88 DSGVO sowie kollektivrechtlichen Regelungen
• Abwesenheit „krank“: Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG (Ausübung von Rechten und Erfüllung von Pflichten aus dem Arbeitsrecht, z. B. Entgeltfortzahlung und Personalplanung)
• Freigabe von Abwesenheitsgründen für die eigene Schichtgruppe: freiwillige Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, für Krankheit zusätzlich Art. 9 Abs. 2 lit. a DSGVO in Verbindung mit § 26 Abs. 2 BDSG. Ohne Freigabe (Voreinstellung) entstehen keine Nachteile. Sie können jede Freigabe jederzeit unter Profil → Datenschutz mit Wirkung für die Zukunft zurücknehmen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO)
• Sicherheit und Nachvollziehbarkeit (Protokoll): Art. 6 Abs. 1 lit. f DSGVO

Daten, für die der Betreiber verantwortlich ist

• Kundenkonto und Nachweise der Zustimmung: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Kunden), Art. 6 Abs. 1 lit. f DSGVO (Nachweis der Vertragsannahme)
• Zugriffsprotokolle, Ratenbegrenzung, Missbrauchs- und Angriffsabwehr: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb)
• Aufbewahrungspflichten: Art. 6 Abs. 1 lit. c DSGVO

Die Abfrage beim ersten Anmelden einer neu angelegten Person dient nur dazu, die Kenntnisnahme dieser Erklärung festzuhalten (Art. 13 DSGVO). Sie ist keine Einwilligung in die Verarbeitung.

6. Wer welche Daten sehen kann

Die Trennung der Unternehmen und die Rechte der Rollen werden nicht (nur) in der Oberfläche, sondern in der Datenbank durchgesetzt (Row Level Security in PostgreSQL): jede Abfrage wird serverseitig auf das Unternehmen der angemeldeten Person eingegrenzt. Kein technisches System ist vollkommen unangreifbar; die Maßnahmen in Abschnitt 13 verringern das Risiko, ohne es auszuschließen.

Innerhalb eines Unternehmens gilt:

• Alle Beschäftigten sehen ihre eigenen Daten sowie im Schichtplan, wer in welcher Schicht eingeteilt ist, Feiertage und Schulferien und – bei Kolleginnen und Kollegen – dass jemand abwesend ist. Den Grund sehen sie nur, wenn die betroffene Person ihn für ihre Schichtgruppe freigegeben hat und das Unternehmen diese Anzeige zulässt (Betriebseinstellung; solange sie aus ist, sehen Gründe nur Schichtleitung und Administration). Krankheit ist getrennt einstellbar und standardmäßig privat
• Schichtleitung sieht unternehmensweit Anträge, Abwesenheiten einschließlich Art, Stammdaten (auch Telefon, E-Mail, Geburtsdatum) und Konten und kann Anträge bearbeiten sowie Abwesenheiten pflegen
• Administration sieht und verwaltet alle Daten des eigenen Unternehmens, einschließlich Fehlzeiten, Änderungsprotokoll und Benachrichtigungen im Unternehmen
• Der Betreiber nutzt keinen routinemäßigen Zugriff auf Beschäftigtendaten. Technischer Zugriff auf die Datenbank ist möglich und erfolgt nur zu Wartung, Support und Fehleranalyse auf Weisung des Kunden. Die Betreiber-Übersicht zeigt je Unternehmen Name, Anlagezeitpunkt, Stand der Zustimmungen und Zählwerte (z. B. Anzahl Mitarbeiter und Anträge) – keine Namen von Beschäftigten und keine Abwesenheitsinhalte

7. Kommentare im Schichtplan

Kommentare zu einem Tag können alle angemeldeten Personen des Unternehmens schreiben und lesen; gelöscht werden sie von der Autorin bzw. dem Autor sowie von Schichtleitung und Administration. Gespeichert werden Text, Datum, Name und Zeitpunkt. Ein Kommentar ist damit für das gesamte Unternehmen sichtbar. Bitte keine Gesundheitsangaben oder sonstigen sensiblen Informationen über Dritte eintragen.

8. Persönlicher Kalender, Teilen, Gruppen und Kalender-Abo

Unter Mein Kalender sieht jede Person ihren eigenen Plan und kann freiwillig zusätzliche Angaben machen. Alle diese Funktionen sind freiwillig; wer sie nicht nutzt, hat keinen Nachteil, und es werden dafür keine Daten gespeichert.

Eigene Termine: Titel, Datum (bei ganztägigen Terminen auf Wunsch bis zu einem Enddatum), Uhrzeit oder ganztägig, Wiederholung, Ort, Notiz (je mit Längenbegrenzung) und auf Wunsch eine Erinnerung. Die Termine sieht nur die Person selbst und – wenn sie das beim Teilen für eine eingeladene Person ausdrücklich einschaltet – diese Person. Kolleginnen und Kollegen, Schichtleitung und Administration des Unternehmens haben keinen Zugriff; die Datenbank lässt Abfragen darauf nur für die Person selbst zu.

To-dos: Eine Person kann sich Aufgaben notieren (Text, auf Wunsch ein Tag und eine Uhrzeit für die Erinnerung, erledigt ja/nein). To-dos sieht nur die Person selbst; sie erscheinen weder in geteilten Links noch in Gruppen noch im Kalender-Abo. Erledigte To-dos werden nach 30 Tagen automatisch gelöscht.

Vorschläge: Auf Wunsch gibt eine Person an, wofür sie den Kalender nutzt (Schule, Studium, angestellt, Schichtarbeit, Eltern, Sonstiges), und kann eigene Vorlagen für Termine speichern (Name, Symbol, Dauer). Das dient nur dazu, passende Vorschläge anzuzeigen; die Vorschläge stehen fest in der Anwendung, es gibt keine Auswertung und keine künstliche Intelligenz. Sieht nur die Person selbst.

Mitteilungen aufs Handy: Wer auf einem Gerät Mitteilungen erlaubt, bekommt als Push-Mitteilung: Erinnerungen an Termine und To-dos, die Benachrichtigungen der Glocke (z. B. Urlaub genehmigt oder abgelehnt, neuer Antrag für die Leitung, eingetragene Fehlzeit, Frage zum Einspringen), Änderungen des eigenen Plans durch die Schichtleitung (Datum und neue Schicht, mehrere Tage zusammengefasst) und Hinweise, wenn eingeladene oder verbundene Personen etwas eintragen, sich verbinden oder einer Gruppe beitreten. Jede Art lässt sich einzeln abschalten. Bis zum Versand (meist unter einer Minute) liegen Mitteilungen in einer Warteschlange, die nach 7 Tagen gelöscht wird. Dafür speichert die Anwendung je Gerät die vom Browser vergebene Zustelladresse mit den zugehörigen Schlüsseln und die Gerätart (z. B. „iPhone“), höchstens 10 Geräte je Person, sowie welche Erinnerung wann verschickt wurde (nach 3 Tagen gelöscht). Zugestellt wird über den Push-Dienst des Browser- bzw. Geräteherstellers (z. B. Apple, Google, Mozilla); an diesen geht der Inhalt der Mitteilung – Titel des Termins bzw. To-dos und der Zeitpunkt – verschlüsselt (Web-Push-Verschlüsselung nach RFC 8291), sodass der Dienst ihn nicht lesen kann. Mitteilungen lassen sich jederzeit unter den Einstellungen des Kalenders oder in den Einstellungen des Geräts abschalten; dann wird die Adresse gelöscht.

Eigene Farben und eigene Einträge: In der neueren Ansicht von Mein Kalender kann eine Person die Farben ihrer Schichten und Abwesenheiten für sich ändern und eigene Einträge anlegen, zum Beispiel „Nebenjob“ oder „Schicht getauscht“ (Name, Kürzel, Farbe, auf Wunsch eine Uhrzeit), und einzelnen Tagen zuordnen. Das ist eine rein persönliche Ergänzung: Der Schichtplan, die Besetzung, die Urlaubs- und Stundenkonten und die Auswertungen des Unternehmens werden davon nicht verändert. Die Farben und Einträge sieht nur die Person selbst – keine Kolleginnen und Kollegen, keine Schichtleitung und keine Administration des Unternehmens; die Datenbank lässt Abfragen und Änderungen darauf nur für die Person selbst zu. Sie erscheinen weder in geteilten Links noch in Gruppen. Nur im eigenen Kalender-Abo der Person erscheinen sie (siehe unten). Eigene Einträge sollten keine Gesundheitsangaben und keine Namen oder Angaben zu anderen Personen enthalten.

Teilen mit Personen (Partner, Familie, Freunde, Kollegen): Eine Person kann bis zu 20 Personen ihres Vertrauens einladen. Dafür speichert sie einen frei gewählten Namen (z. B. „Mama“), die Art der Beziehung und für jede Person, ob sie nur ansehen oder ansehen und eintragen darf und ob sie die eigenen Termine sieht. Die eingeladene Person öffnet einen Einladungslink, legt damit ein eigenes Konto an (Spitzname und Passwort) oder meldet sich an und ist danach mit der einladenden Person verbunden (siehe „Verbundene Konten“); die gewählten Rechte werden übernommen. Bis dahin ist sie als „eingeladen“ vermerkt. Früher verschickte Links ohne Konto gelten weiter, bis sie beendet werden; neue werden nicht mehr erstellt. Wer einen solchen früheren Link öffnet, braucht kein Konto und sieht ohne Anmeldung:

• den Vornamen der einladenden Person und deren Schichten (Früh, Spät, Nacht, frei)
• Abwesenheiten nur als „Urlaub“ bzw. frei – ohne Grund; eine Krankheit ist nicht erkennbar
• die eigenen Termine der einladenden Person nur, wenn diese es für diese Person erlaubt hat

Darf die eingeladene Person eintragen, kann sie über ihren Link eigene Arbeitstage (Kürzel wie Früh, Spät, Nacht, Urlaub) und eigene Termine eintragen. Diese Angaben sind nur für sie und die einladende Person sichtbar – nicht für andere eingeladene Personen. Gespeichert werden außerdem Zeitpunkt der Erstellung und der letzten Nutzung des Links (höchstens alle 5 Minuten aktualisiert). Keine IP-Adresse. Wird eine Person entfernt, werden auch die Tage und Termine gelöscht, die sie eingetragen hat. In der eigenen Ansicht lässt sich auswählen, wessen Schichten und Termine eingeblendet werden; diese Auswahl wird nur im Browser des Geräts gespeichert.

Gruppen: Personen, die selbst einen Schichtkalender nutzen (mit Konto eines Unternehmens oder als Privatperson), können eine Gruppe bilden (z. B. Familie, Freunde; bis zu 20 Personen) und per Einladungslink beitreten. In der Gruppe sehen die Mitglieder gegenseitig den Vornamen und für jeden Tag nur, ob gearbeitet wird (Früh, Spät, Nacht oder Arbeit) oder frei ist – Abwesenheiten ohne Grund, keine Termine, keine Kolleginnen und Kollegen. Gespeichert werden Name der Gruppe, Mitglieder und Beitrittszeitpunkt. Jede Person kann jederzeit austreten; tritt die letzte Person aus, wird die Gruppe gelöscht. Das Unternehmen hat keinen Zugriff auf Gruppen.

Verbundene Konten: Zwei Personen, die beide einen eigenen Kalender nutzen (mit Konto eines Unternehmens oder als Privatperson), können ihre Konten per Code, QR-Code oder Link verbinden. Der Code hat 6 Zeichen, gilt 24 Stunden – als Einladungslink an eine eingeladene Person 7 Tage – und nur einmal und wird nur als Hashwert gespeichert; Fehleingaben werden je Konto gezählt (gegen Durchprobieren) und nach einem Tag gelöscht. Die Einladungsseite zeigt ohne Anmeldung nur, ob der Link gilt, und den Vornamen der einladenden Person; die Aufrufe werden dafür je Netzwerkadresse als Hashwert gezählt (gegen Durchprobieren). Schichten erscheinen bei Verbundenen, in Gruppen und über frühere Links in den Farben, die die jeweilige Person dafür gewählt hat. Verbundene sehen gegenseitig den Vornamen und für jeden Tag, ob gearbeitet wird (Früh, Spät, Nacht oder Arbeit), frei ist oder Urlaub – ohne Grund. Jede Seite stellt selbst ein, ob die andere ihre Termine sieht und ob sie Termine bei ihr eintragen darf; solche Termine stehen im Kalender der Person, bei der eingetragen wurde, mit dem Vermerk, wer eingetragen hat. War die Person vorher über einen Link eingeladen, werden die über den Link eingetragenen Termine übernommen und die dort eingetragenen Schichten in ihr eigenes Privatkonto kopiert, wo dort noch nichts steht; der Link endet. Jede Seite kann die Verbindung jederzeit beenden. Das Unternehmen hat keinen Zugriff auf Verbindungen.

Kalender-Abo: Eine Person kann ihren Plan als Kalender-Link (iCalendar) in die Kalender-App ihres Handys übernehmen. Der Link enthält Schichten mit Uhrzeit sowie Urlaub, Schulung und sonstige Abwesenheit – letztere nur als „Abwesend“, ohne Grund, sowie die eigenen Termine aus Mein Kalender (nicht die eingeladener Personen) und die eigenen Einträge aus Mein Kalender (Name und Uhrzeit, z. B. „Nebenjob“). Keine Kolleginnen und Kollegen. Die Kalender-App ruft den Link regelmäßig ab; gespeichert wird nur, wann der Link erstellt, zuletzt abgerufen und beendet wurde. Was die Kalender-App des Handys bzw. deren Anbieter (z. B. Apple, Google) mit den abgerufenen Daten macht, richtet sich nach deren Bedingungen; die Daten verlassen dabei die Anwendung.

Schutz der Links: Geteilte Links und Kalender-Abo funktionieren ohne Anmeldung, der Link selbst ist der Schlüssel (Gruppen-Einladungen setzen zusätzlich ein eigenes Konto voraus). Er ist zufällig (192 Bit) und wird in der Datenbank nur als Hashwert gespeichert. Jeder Link lässt sich jederzeit erneuern (der alte wird sofort ungültig) oder beenden. Wer den Link kennt, sieht die genannten Daten – er sollte deshalb nicht weitergegeben werden.

Rechtsgrundlage: Einwilligung bzw. Wunsch der Person, Art. 6 Abs. 1 lit. a DSGVO; die Nutzung lässt sich jederzeit durch Beenden des Links und Löschen der Einträge zurücknehmen. [ Verantwortlichkeit für diese freiwilligen Kalenderdaten (Arbeitgeber oder Betreiber) festlegen und mit Betriebsrat abstimmen ]

8a. Persönlicher Schichtkalender ohne Unternehmen

Wer sich ohne Unternehmen für den persönlichen Schichtkalender registriert, nutzt ShiftNexo als Privatperson. Verantwortlich ist dann der Betreiber (Abschnitt 1), nicht ein Arbeitgeber; ein Arbeitgeber hat keinen Zugriff auf diese Daten.

• frei gewählter Spitzname (ein Klarname ist nicht nötig), Passwort (nur als Hash) und Zeitpunkt der Registrierung. Eine E-Mail-Adresse ist nicht erforderlich; wer möchte, hinterlegt sie freiwillig, damit „Passwort vergessen“ funktioniert. Ohne Adresse kann ein vergessenes Passwort nicht zurückgesetzt werden
• die eigenen Schichtarten (Name, Kürzel, Farbe, Uhrzeit, Stunden) und die eingetragenen Tage, Bundesland für die Feiertage, optional die Wochenstunden für die Auswertung
• optional Termine, geteilte Links, Gruppen und Kalender-Abo wie in Abschnitt 8 beschrieben. Ein Eintrag „Krank“ ist eine freiwillige eigene Angabe; eingeladene Personen und Gruppen sehen ihn nur als „Urlaub“ bzw. frei, das Kalender-Abo als „Abwesend“

Rechtsgrundlage ist die Bereitstellung des gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO), für eigene Angaben zu Krankheit die ausdrückliche Einwilligung durch das Eintragen selbst (Art. 9 Abs. 2 lit. a DSGVO), jederzeit widerrufbar durch Löschen des Eintrags. Die Daten bleiben gespeichert, bis die Person sie oder ihr Konto löscht; das Konto lässt sich unter Mehr → Konto löschen jederzeit selbst endgültig löschen. Es gibt keine Werbung, kein Tracking und keine Weitergabe.

9. Empfänger, Dienstleister und Drittlandbezug

Für Betrieb und Auslieferung setzt der Betreiber Dienstleister als Unterauftragsverarbeiter ein:

• Supabase (Supabase, Inc.) – Datenbank, Authentifizierung, Serverfunktionen für den Mailversand. Die Datenbank dieses Projekts liegt in der Region eu-west-1 (Irland, Europäische Union).
• Vercel (Vercel, Inc.) – Auslieferung der Anwendung. Die Serverfunktionen laufen in der Region dub1 (Dublin, Irland). Anfragen werden über das Edge-Netzwerk von Vercel geleitet; dort entstehen übliche Zugriffsprotokolle. Vercel speichert keine Stamm-, Planungs- oder Abwesenheitsdaten der Anwendung.
• Push-Dienste der Geräte- bzw. Browserhersteller (z. B. Apple, Google, Mozilla) – nur, wenn eine Person auf ihrem Gerät Mitteilungen erlaubt; der Inhalt geht verschlüsselt durch (Abschnitt 8). Diese Dienste können ihren Sitz auch außerhalb der EU haben.
• Mailversand: [ SMTP-Anbieter, Sitz, Region – oder streichen, falls kein externer Anbieter ]

Drittlandbezug: Supabase, Inc. und Vercel, Inc. haben Sitz in den USA. Die Verarbeitung erfolgt in der EU; soweit ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann, stützt er sich auf einen Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework) oder auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. [ Betreiber: Abschluss der Auftragsverarbeitungsverträge mit Supabase, Vercel und Mailanbieter sowie aktuellen Zertifizierungs-/Klauselstand prüfen und bestätigen ]

Eine Weitergabe an sonstige Dritte findet nicht statt, außer aufgrund einer gesetzlichen Pflicht.

10. Speicherdauer und Löschung

• Stamm-, Planungs- und Abwesenheitsdaten bleiben gespeichert, solange das Unternehmen die Anwendung nutzt und die Daten benötigt. Scheidet eine Person aus, wird sie üblicherweise auf inaktiv gesetzt, damit vergangene Pläne nachvollziehbar bleiben; über das endgültige Löschen entscheidet das Unternehmen. Beim Löschen einer Person entfernt die Anwendung Stammdaten, Zugang, Profil, Anträge, Abwesenheiten, Konten und Schichtzuordnungen; im Änderungsprotokoll bleibt nur vermerkt, dass gelöscht wurde, ohne Namen.
• Urlaubs- und Stundenkonten werden je Kalenderjahr geführt. Aufbewahrungsfristen aus Arbeits-, Steuer- und Handelsrecht legt das Unternehmen fest.
• Automatische Löschung: Demo-Bereiche der Live-Demo nach 24 Stunden, Ratenbegrenzungs-Zähler nach 1 Tag, Postausgang nach 30 Tagen, Benachrichtigungen nach 180 Tagen, Kommentare im Schichtplan 12 Monate nach dem Tag, auf den sie sich beziehen, Anmeldeprotokoll und angezeigte Fehlermeldungen nach 90 Tagen, Änderungsprotokoll nach 24 Monaten.
• Persönlicher Kalender (Abschnitt 8): eigene Termine, To-dos, Vorlieben für Vorschläge, eigene Farben und eigene Einträge sowie die Einträge eingeladener Personen bleiben, bis die Person sie löscht, die eingeladene Person entfernt oder ihr Zugang gelöscht wird. Die Mitgliedschaft in einer Gruppe endet mit dem Austreten. Ein beendeter Link oder ein beendetes Kalender-Abo funktioniert sofort nicht mehr.
• Nach Ende des Vertrags mit dem Betreiber werden die Daten des Unternehmens nach dessen Wahl herausgegeben und gelöscht (siehe Auftragsverarbeitungsvertrag). Sicherungskopien des Datenbankanbieters laufen turnusmäßig aus: [ Aufbewahrungsdauer der Sicherungen laut gebuchtem Tarif eintragen ].
• Zugriffsprotokolle der Hosting-Dienstleister werden nach deren Vorgaben nach kurzer Zeit automatisch gelöscht.

11. Cookies und lokale Speicherung

Es werden keine Cookies oder Speicher für Werbung, Analyse oder Reichweitenmessung verwendet. Gespeichert wird nur, was für den ausdrücklich gewünschten Dienst oder eine vom Nutzer gewählte Einstellung nötig ist:

• sb-… (Cookie) – Sitzung der Anmeldung (Authentifizierungsdienst)
• sp_letzte_aktivitaet (Cookie, bis zu 31 Tage) – Zeitpunkt der letzten Aktivität; die Sitzung endet je nach Rolle automatisch nach Inaktivität (Administration 15 Minuten, Schichtleitung 8 Stunden, Mitarbeiter 12 Stunden, Privatkonten ohne Firma 30 Tage)
• sp_frist (Cookie, bis zu 31 Tage) – die für die eigene Rolle geltende Zeit bis zur automatischen Abmeldung
• sp_start (Cookie, bis zu 1 Jahr) – die gewählte Startseite (mit der Benutzer-Kennung, nur für diese Person gültig), damit die App beim Öffnen gleich dorthin führt
• sp_geraet:… (lokaler Speicher, bis zu 14 Tage; wird beim Abmelden und auf der Anmeldeseite gelöscht) – der zuletzt geladene Stand der eigenen Schichten und Einträge im Kalender, bei Privatkonten außerdem die eigenen Schichtarten und die Feiertage, damit der Kalender beim Öffnen sofort erscheint und danach aufgefrischt wird. Es werden weder Daten anderer Personen noch Anträge oder Krankheitsgründe so gespeichert, und nichts davon wird an einen Server gesendet. Wer ein Gerät mit anderen teilt, sollte sich nach der Nutzung abmelden.
• schichtplan.theme, schichtplan.install-hint, seitenleiste-eingeklappt (lokaler Speicher, bis zum Löschen) – Farbdarstellung, ein einmaliger Installationshinweis, Zustand der Seitenleiste
• schichtplan.kalender-…, schichtplan.partner-zeigen.…, schichtplan.neu-gesehen.… (lokaler Speicher, bis zum Löschen) – ob die Einführung zum Kalender gesehen wurde, ob Partnereinträge angezeigt werden, Hinweis „Neu“ gesehen
• schichtplan:… und sp_ansicht (Sitzungsspeicher, endet mit dem Browser-Tab) – Scrollposition, gewählte Ansicht

Diese Zugriffe sind nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig; ein Cookie-Banner ist nicht erforderlich. Die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b bzw. f DSGVO.

12. Rechte der betroffenen Personen

Gegenüber der jeweils verantwortlichen Stelle bestehen die Rechte auf

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) – für die Freigaben unter Profil → Datenschutz jederzeit selbst möglich

Sie haben außerdem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), etwa am Wohnort, am Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. Für den Betreiber ist zuständig: [ zuständige Aufsichtsbehörde nach Sitz des Betreibers eintragen ].

Anfragen zu Beschäftigtendaten richten Sie an Ihren Arbeitgeber (Abschnitt 2), Anfragen zum Betrieb der Anwendung an [ Kontaktadresse ].

13. Schutzmaßnahmen

Der Betreiber trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem:

• verschlüsselte Übertragung (HTTPS mit HSTS) und Sicherheits-Header im Browser
• Mandantentrennung und Rollenrechte in der Datenbank (Row Level Security), serverseitige Prüfung aller Aktionen
• Partner- und Kalender-Links nur als Hashwert gespeichert, jederzeit erneuer- und beendbar
• Passwörter nur als Hash; Begrenzung von Anmelde-, Zurücksetzen- und Registrierungsversuchen
• automatische Abmeldung nach Inaktivität, je nach Rolle (Administration 15 Minuten, Schichtleitung 8 Stunden, Mitarbeiter 12 Stunden, Privatkonten ohne Firma 30 Tage)
• Datenschutz durch Voreinstellung: Gründe für Kollegen aus, Krankheit privat, keine Gesundheitsfreitexte
• Änderungs- und Anmeldeprotokoll ohne Gesundheitsinhalte, einsehbar nur für ausdrücklich freigeschaltete Personen
• automatisierte Prüfskripte für Zugriffsregeln und Mandantentrennung

Sicherheitsvorfälle: Ein Vorfall, der personenbezogene Daten eines Kunden betrifft, wird dem Kunden unverzüglich gemeldet, damit dieser seinen Pflichten nach Art. 33 und 34 DSGVO nachkommen kann.

14. Berechnungen sind Hilfsmittel, keine automatisierte Entscheidung

Die Anwendung rechnet Kontostände, prüft, ob ein Antrag die Mindestbesetzung unterschreiten würde, und zeigt das Ergebnis an. Über Genehmigung oder Ablehnung entscheidet immer ein Mensch – Schichtleitung oder Administration. Eine ausschließlich automatisierte Entscheidung mit Rechtswirkung im Sinne des Art. 22 DSGVO und ein Profiling finden nicht statt.

15. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert. Maßgeblich ist die hier veröffentlichte Fassung. Wird sie inhaltlich geändert, erhöht sich die Fassungsnummer, und die Änderung wird hier mit Datum veröffentlicht. Bereits angemeldete Personen werden dafür nicht erneut abgefragt; der Arbeitgeber informiert seine Beschäftigten selbst (Abschnitt 2). Die Zustimmung des Kunden zu Nutzungsbedingungen und Auftragsverarbeitungsvertrag wird dadurch nicht ersetzt.