Datenschutzerklärung

1. Verantwortlicher für den Betrieb der Anwendung

[ Name oder Firma ], [ Anschrift ], E-Mail: [ Kontaktadresse ]. Die vollständigen Angaben stehen im Impressum.

Ein Datenschutzbeauftragter ist [ benannt / nicht benannt – bitte prüfen ]. Die Benennung ist nach § 38 BDSG unter anderem dann Pflicht, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind.

2. Verantwortlicher für die Beschäftigtendaten

Das Unternehmen, das den Zugang eingerichtet hat. Beschäftigte richten Auskunfts-, Berichtigungs- und Löschverlangen zu ihren Schicht-, Urlaubs- und Abwesenheitsdaten an ihren Arbeitgeber – in der Regel an die Personalabteilung oder die Betriebsleitung. Erreicht ein solches Verlangen den Betreiber, leitet er es an das Unternehmen weiter und beantwortet es nicht selbst.

3. Welche Daten verarbeitet werden

Stammdaten der Beschäftigten:

• Vor- und Nachname
• E-Mail-Adresse (nur wenn ein Zugang eingerichtet werden soll)
• Telefonnummer, sofern das Unternehmen sie einträgt
• Personalnummer
• Abteilung
• Rolle in der Anwendung (Mitarbeiter, Schichtleitung, Administration)
• Qualifikationen, soweit für die Besetzungsplanung hinterlegt

Planungs- und Abwesenheitsdaten:

• Schichtzuordnung, Rotationsgruppe und einzelne Schichtzuweisungen je Tag
• Urlaubsanspruch, genommene und beantragte Urlaubstage, Resturlaub
• V-Tage (Freischichten) mit demselben Kontostand
• Urlaubsanträge samt Zeitraum, Art, Status und freiwilligem Kommentar
• Abwesenheiten mit Grund in der Kategorie krank, Urlaub, Freischicht oder frei

Zu Krankheitstagen wird ausschließlich die Tatsache der Abwesenheit gespeichert – keine Diagnose, keine ärztliche Bescheinigung und kein sonstiger Gesundheitsbefund. Die Anwendung sieht für solche Angaben bewusst kein Feld vor.

Zugangs- und technische Daten:

• E-Mail-Adresse und ein Passwort-Hash für die Anmeldung; das Passwort selbst wird nicht gespeichert
• Zeitpunkt der letzten Anmeldung und der letzten Aktivität
• Server-Protokolle der eingesetzten Dienstleister mit IP-Adresse, Zeitpunkt, aufgerufenem Pfad und Browserkennung

Es findet keine Reichweitenmessung, kein Tracking und keine Werbung statt. Es werden keine Daten an Dritte verkauft oder für fremde Zwecke ausgewertet.

4. Zwecke der Verarbeitung

• Schicht- und Urlaubsplanung einschließlich Prüfung der Mindestbesetzung
• Bearbeitung und Genehmigung von Urlaubsanträgen
• Führung der Urlaubs- und Freischichtkonten
• Einrichtung und Absicherung der Zugänge
• Betrieb, Fehlersuche und Absicherung der Anwendung

5. Rechtsgrundlagen

• Beschäftigtendaten: § 26 Abs. 1 BDSG in Verbindung mit Art. 88 DSGVO – die Verarbeitung ist für die Durchführung des Beschäftigungsverhältnisses erforderlich. Ergänzend Art. 6 Abs. 1 lit. b DSGVO.
• Abwesenheit wegen Krankheit: Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG – Erfüllung arbeitsrechtlicher Pflichten. Der Zugriff ist auf Schichtleitung und Administration des eigenen Unternehmens beschränkt.
• Konto des registrierenden Unternehmens: Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Nutzungsvertrags.
• Protokolldaten und technische Absicherung: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb.

6. Wer die Daten zu sehen bekommt

Innerhalb der Anwendung ist jedes Unternehmen technisch vollständig von allen anderen getrennt. Die Trennung wird nicht im Browser, sondern in der Datenbank durchgesetzt (Row Level Security in PostgreSQL): jede Abfrage wird serverseitig auf das Unternehmen der angemeldeten Person eingegrenzt. Eine Abfrage über Unternehmensgrenzen hinweg ist damit auch dann nicht möglich, wenn jemand die Anfrage manipuliert.

Innerhalb eines Unternehmens gilt:

• Beschäftigte sehen ihre eigenen Daten und den Schichtplan ihrer eigenen Schichtgruppe
• die Schichtleitung sieht zusätzlich die Anträge und Abwesenheiten ihres Bereichs
• die Administration sieht alle Daten des eigenen Unternehmens

7. Auftragsverarbeiter

Für Betrieb und Auslieferung werden zwei Dienstleister eingesetzt. Mit beiden bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

• Supabase (Supabase, Inc.) – Datenbank, Anmeldung und Dateiablage. Die Datenbank dieses Projekts liegt in der Region eu-west-1 (Irland, Europäische Union). Hier liegen alle oben genannten Stamm-, Planungs- und Abwesenheitsdaten.
• Vercel (Vercel, Inc.) – Auslieferung der Anwendung. Die Serverfunktionen dieses Projekts laufen derzeit in der Region iad1 (Washington, D.C., USA). Dabei werden die zur Beantwortung einer Anfrage nötigen Daten in den USA verarbeitet.

Übermittlung in die USA: Die Verarbeitung durch Vercel stützt sich auf einen Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework) beziehungsweise auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

8. Speicherdauer

• Stammdaten, Planungs- und Abwesenheitsdaten bleiben gespeichert, solange das Unternehmen die Anwendung nutzt. Scheidet eine Person aus, wird ihr Personalstammsatz üblicherweise auf inaktiv gesetzt, damit vergangene Pläne nachvollziehbar bleiben; das endgültige Löschen entscheidet das Unternehmen.
• Urlaubskonten werden je Kalenderjahr geführt und für die Nachvollziehbarkeit vergangener Jahre aufbewahrt. Aufbewahrungsfristen ergeben sich aus dem Arbeits-, Steuer- und Handelsrecht und legt das Unternehmen fest.
• Nach Ende des Vertrags mit dem Betreiber werden die Daten des Unternehmens nach Wahl des Unternehmens herausgegeben oder gelöscht (siehe Auftragsverarbeitungsvertrag).
• Server-Protokolle der Dienstleister werden nach deren Vorgaben nach kurzer Zeit automatisch gelöscht.

9. Cookies und lokale Speicherung

Die Anwendung setzt keine Cookies zu Werbe- oder Analysezwecken. Gespeichert wird nur, was für den Betrieb nötig ist:

• sb-… – Sitzungscookies von Supabase, ohne die keine Anmeldung möglich ist
• sp_letzte_aktivitaet – Zeitpunkt der letzten Aktivität, damit die Sitzung nach 30 Minuten ohne Nutzung automatisch endet
• schichtplan.theme und schichtplan.install-hint – im lokalen Speicher des Browsers, für die Farbdarstellung und einen einmaligen Installationshinweis

Alle genannten Einträge sind für den ausdrücklich gewünschten Dienst erforderlich. Eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht nötig; ein Cookie-Banner entfällt.

10. Rechte der betroffenen Personen

Gegenüber der jeweils verantwortlichen Stelle bestehen die Rechte auf

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO)

Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist die Behörde am Wohnsitz, am Arbeitsplatz oder am Sitz der verantwortlichen Stelle.

Anfragen zu Beschäftigtendaten richten Sie bitte an Ihren Arbeitgeber (Abschnitt 2), Anfragen zum Betrieb der Anwendung an [ Kontaktadresse ].

11. Keine automatisierte Entscheidung im Einzelfall

Die Anwendung prüft rechnerisch, ob durch einen Urlaubsantrag die Mindestbesetzung einer Schicht unterschritten würde, und zeigt das Ergebnis an. Über Genehmigung oder Ablehnung entscheidet immer ein Mensch – Schichtleitung oder Administration. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

12. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert – etwa beim Wechsel eines Dienstleisters oder einer Serverregion. Maßgeblich ist die hier veröffentlichte Fassung mit dem oben genannten Stand.