Wie wir Ihre Daten verarbeiten

1. Wer ist für Ihre Daten verantwortlich?

Yam Grol, handelnd unter ShiftPriority, Dobmannstraße 12, 80993 München, Deutschland, ist verantwortlich für personenbezogene Daten beim Betrieb unserer Website, bei Kontoverwaltung, Abrechnung, Anfragen und Absicherung des Dienstes. Kontakt: [email protected]; Telefon: +49 176 42956906. Die Anwendung ist unter app.shiftpriority.com verfügbar.

Für Mitarbeiter- und sonstige Workspace-Daten ist das Kundenunternehmen verantwortlich; ShiftPriority verarbeitet sie im Auftrag nach dem Auftragsverarbeitungsvertrag. Ihr Arbeitgeber bestimmt Rechtsgrundlage, Zugriffsrechte, Aufbewahrung und Beschäftigteninformation. Anfragen zu Beschäftigungsunterlagen richten Sie bitte an Ihren Arbeitgeber; wir unterstützen ihn dabei.

2. Daten, Zwecke und Rechtsgrundlagen

2.1 Konten und erforderliche Kommunikation

Vereinbart ein berechtigter Workspace-Inhaber eine vorgeschlagene AGB-/AVV-Änderung ausdrücklich in der App, dokumentieren wir separat Version, Kennung des Vertreterkontos, Workspace-Name, Dokumentprüfsummen, Prüfsprache sowie tatsächlichen Annahme- und Wirksamkeitszeitpunkt. Diese Vertragsnachweise bleiben während des Bestehens des Workspace gespeichert; erforderliche gesetzliche oder Streitfallnachweise werden vor Workspace-Löschung gesondert zugriffsbeschränkt. Der ursprüngliche Registrierungsnachweis bleibt erhalten; Annahmen werden nicht rückdatiert.

Wir verarbeiten Namen, E-Mail-Adressen, Kontokennungen, Authentifizierungsdaten, Spracheinstellungen und Unternehmensangaben zur Einrichtung und Verwaltung von Konten. Bei Workspace-Erstellung werden akzeptierte AGB-/AVV-Version, Zeitpunkt, Konto und Registrierungsweg dokumentiert. Die Kontoverwaltung für unsere natürlichen Personen als Geschäftskunden beruht auf Art. 6 Abs. 1 lit. b DSGVO. Die Verwaltung von Konten geschäftlicher Ansprechpartner, Vertragsnachweise und erforderliche Dienst-, Sicherheits- und Rechtshinweise beruhen auf Art. 6 Abs. 1 lit. f DSGVO: unserem Interesse am Dienstbetrieb, an Kundenkommunikation und an Vertragsnachweisen. Gesetzliche Aufbewahrung beruht auf Art. 6 Abs. 1 lit. c DSGVO.

Erforderliche E-Mails, insbesondere Verifizierung, Passwortwiederherstellung, Einladungen, Abrechnung und wesentliche Rechtshinweise, sind von optionalen Produkthilfe-E-Mails getrennt. Eine Werbeabmeldung verhindert keine notwendigen Dienst- oder Rechtshinweise. Zur Dokumentation speichern wir Hinweisversion, Empfänger, Versandzeit, Anbieterkennung und Fehler. Der Erhalt eines Hinweises ist keine Einwilligung oder Zustimmung zu einem neuen Vertrag.

2.2 Mitarbeiter- und Betriebsdaten

Kunden und ihre Beschäftigten können Namen, Kontaktdaten, Geburtsdaten, Beschäftigungsangaben, Rollen, Abteilungen, Notizen, Stundensätze, Fotos, Dienstpläne, Verfügbarkeiten, Abwesenheitsanträge, Arbeitszeit- und Pausenaufzeichnungen, Freigabe-/Korrekturhistorie, Bargeld-Trinkgelderklärungen, Umsätze, Trinkgeldberechnungen und Auszahlungen angeben. Teammitteilungen, Chatnachrichten und Lesestatus werden ebenfalls gespeichert. Verbundene Kassensysteme liefern Umsatz-, Trinkgeld-, Bestell-/Artikel-, Bestands- und Mitarbeiterzuordnungsdaten. Beschäftigte können Namen, Fotos und veröffentlichte Schichten von Kollegen sehen, soweit der Arbeitgeber diesen Zugriff aktiviert; Entgelt- und andere eingeschränkte Daten folgen den Workspace-Berechtigungen.

Diese Daten verarbeiten wir nach dokumentierter Weisung des Kunden; wir bestimmen keine eigene Rechtsgrundlage für Beschäftigtendaten. Abwesenheitsdaten oder Freitextnotizen können Gesundheitsdaten oder andere besondere Kategorien offenbaren. Der Kunde muss erforderlichenfalls eine Bedingung nach Art. 9 DSGVO und eine nationale beschäftigungsrechtliche Rechtsgrundlage feststellen, Einträge minimieren und eine eigene Beschäftigteninformation bereitstellen. Laden Sie keine Diagnosen, medizinischen Unterlagen oder sachfremden sensiblen Angaben hoch.

2.3 Zeiterfassung und Standort

Gemeinsame Tablet-Zeiterfassung verwendet registrierte Geräte-Token und Hashwerte der Mitarbeiter-PINs. Smartphone-/NFC-Buchungen können je nach Arbeitgeber-Einstellung Standortkoordinaten, Genauigkeit, Entfernung zum Betrieb, Tag-/Gerätekennungen und Angaben zu Buchungen außerhalb des erlaubten Bereichs speichern. Der Browser fragt den Standort zur Buchung ab; ShiftPriority bietet keine fortlaufende Standortverfolgung im Hintergrund. Eine Browserfreigabe ist eine technische Berechtigung und allein keine Rechtsgrundlage für die Standortverarbeitung durch den Arbeitgeber. Vor Aktivierung muss dieser Erforderlichkeit, Beschäftigteninformation und etwaige Mitbestimmung prüfen.

2.4 Abrechnung

Stripe verarbeitet Checkout und Abonnementzahlungen und erhebt und speichert für Rechnungen und Steuerverwaltung Rechnungsanschriften einschließlich Land, Geschäftsnamen und gegebenenfalls angegebene geschäftliche Steuerkennungen. Wir speichern Kunden-/Abonnementkennungen, Tarif, Zahlungsstatus und zugehörige Abrechnungsverwaltung; keine vollständigen Kartennummern. Vertragsverwaltung beruht auf Art. 6 Abs. 1 lit. b, Verwaltung geschäftlicher Ansprechpartner auf lit. f und gesetzliche Buchführung auf lit. c DSGVO. Stripe verarbeitet bestimmte Zahlungs- und Betrugspräventionsdaten auch als eigener Verantwortlicher: Datenschutzerklärung von Stripe.

2.5 Anfragen, Support und Warteliste

Kontaktformulare erfassen Name, E-Mail-Adresse, Nachricht, Thema und Sprache. In-App-Support speichert Nachrichten, gegebenenfalls unterstützte Anhänge und den von Ihnen bereitgestellten Konto-/Workspace-Kontext. Dies dient der Antwort, Problemlösung und Kundenbetreuung: Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem Vertrag mit Ihnen, sonst lit. f bei geschäftlichen Anfragen. Eine optionale Warteliste beruht auf Einwilligung, Art. 6 Abs. 1 lit. a; Widerruf per E-Mail. Eine Anfrage meldet Sie nicht für Werbung an.

Aktualisierte Kontakt-/Support-E-Mail-Hinweise verlinken den authentifizierten App-/Admin-Posteingang, ohne Nachrichtentext zu kopieren. Frühere Hinweise können Nachrichtentext enthalten; für sie gelten die jeweiligen Anbieter-/Posteingangs-Aufbewahrung und Ihre Rechte. Direkte E-Mail-Anfragen durchlaufen weiterhin die unten beschriebenen Weiterleitungs- und Posteingangsanbieter.

2.6 Sicherheit und Missbrauchsprävention

Hosting-, Authentifizierungs- und Anwendungsdienste verarbeiten Verbindungsinformationen wie IP-Adressen, Browser-/Anfrageangaben, Zeitpunkte, Anmeldeereignisse und Rate-Limit-Daten zur Bereitstellung, Missbrauchserkennung und Untersuchung von Vorfällen. Cloudflare Turnstile kann Registrierungen prüfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser Interesse am Schutz von Konten und Verfügbarkeit. Für eine gewünschte Sicherheits-/Anmeldefunktion unbedingt notwendiger Gerätespeicher/-zugriff fällt unter § 25 Abs. 2 Nr. 2 TDDDG. Datenschutzerklärung von Cloudflare.

2.7 Adressen, Karten und Wetter

Adresssuche/-rückwärtssuche übermittelt Adress-/Ortsanfragen oder eine ausdrücklich angeforderte Geräteposition an Photon (komoot). Eingebettete Kartenkacheln werden von OpenStreetMap angefordert. Direkte Anfragen legen Verbindungsinformationen einschließlich IP-Adresse und den gesuchten Ort/Kartenausschnitt gegenüber dem Anbieter offen. Sie können die Betriebsadresse ohne Geräte-Standortfreigabe manuell eingeben. Ein gewählter externer Google-Maps-Link öffnet Googles Dienst nach dessen Datenschutzbedingungen.

Bei aktiviertem Betriebswetter sendet unser Backend auf zwei Dezimalstellen gerundete Betriebskoordinaten an MET Norway. Es übermittelt unsere Dienstkennung, keine Nutzer-IP, Kontodaten oder Mitarbeiter-Stempelpositionen. Vorhersagen werden zwischengespeichert und an Betriebszeitzone/Temperatureinheit angepasst. Dies dient gewünschten Adress-/Wetterfunktionen und verfolgt keine Mitarbeiter. Rechtsgrundlage eigener Verwaltung: Art. 6 Abs. 1 lit. f DSGVO; Mitarbeiterstandortdaten bleiben Arbeitgeberverantwortung. Siehe komoot-Datenschutz, OpenStreetMap-Datenschutz und MET-Norway-API-Bedingungen.

Während der Umstellung können ältere App-Versionen bis zum Neuladen/Aktualisieren noch Betriebswetter-/Ortssuchen direkt bei Open-Meteo anfordern; dabei erhält der Anbieter Betriebs-/Ortsanfragen und Browser-Verbindungsinformationen einschließlich IP-Adresse. Diese Integration wird eingestellt. Siehe Open-Meteo-Bedingungen/Datenschutz.

2.8 Optionaler KI-Import und Planungshilfen

Beim KI-Import werden eingereichte Texte, Bilder oder PDFs und notwendiger Kontext, etwa vorhandene Mitarbeiternamen, Sprache und Zeitzone, an die kommerzielle Anthropic-API zur Extraktion von Mitarbeiter-/Schichtdaten übermittelt. Ergebnisse und Importhistorie können im Workspace gespeichert werden. Anthropic erklärt, kommerzielle API-Eingaben und -Ausgaben standardmäßig nicht zum Modelltraining zu verwenden und üblicherweise binnen 30 Tagen zu löschen. Wegen möglicher Verstöße gegen Nutzungsregeln markierte Eingaben/Ausgaben können bis zu zwei Jahre, zugehörige Sicherheitsklassifizierungen bis zu sieben Jahre aufbewahrt werden; gesetzliche Ausnahmen oder gesonderte Aufbewahrungsvereinbarungen können ebenfalls gelten. Dies ist keine Zusage einer Speicherung von null Tagen. Aufbewahrungsinformationen von Anthropic.

Der Arbeitgeber bestimmt Einsatz und Rechtsgrundlage des KI-Imports. Anthropics Standard-AVV erfasst keine besonderen Datenkategorien. Entfernen Sie vor dem Senden Gesundheitsangaben (auch Krankmeldungen), andere besondere Datenkategorien und unnötige Details. Nach Anzeige dieser Beschränkung muss der Import ausdrücklich gesendet werden; die Bestätigung ist eine Kundenweisung, keine DSGVO-Einwilligung der Beschäftigten. Wir können nicht automatisch feststellen, ob jedes Bild, PDF oder jeder Text ausreichend bereinigt wurde. Er soll nur notwendige Informationen übermitteln und das Ergebnis vor Speicherung prüfen. Planungs- und Compliance-Werkzeuge erzeugen Vorschläge zur menschlichen Prüfung. ShiftPriority trifft selbst keine ausschließlich automatisierten Beschäftigungsentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung; der Arbeitgeber bleibt für seine Entscheidungen verantwortlich.

2.9 Gerätespeicher und optionales Angemeldet bleiben

Die App nutzt Browserspeicher für Anmeldesitzungen, gewünschte Tablet-/Gerätekopplung, Sprach-/Oberflächeneinstellungen, Versionsstatus und Datenschutzentscheidungen. Für den gewünschten Dienst oder das Merken Ihrer Datenschutzentscheidung unbedingt notwendiger Speicher fällt unter § 25 Abs. 2 Nr. 2 TDDDG. Datenschutzentscheidungen laufen nach 180 Tagen ab. App und Website speichern getrennte Analyse-/Diagnoseentscheidungen je Browser/Gerät; eine Änderung wirkt nicht automatisch auf die andere Oberfläche.

Bei neuen Besuchern bleibt die Anmeldung standardmäßig im aktuellen Tab. Die Auswahl „Angemeldet bleiben“ erhält die Sitzung nach Schließen des Browsers und speichert bis zu fünf Konto-E-Mail-Adressen und Anmeldemethoden als Verknüpfungen auf diesem Gerät. Diese bleiben nach Abmeldung erhalten, bis sie auf der Anmeldeseite entfernt oder die Browserdaten gelöscht werden. Abwahl bei der nächsten Anmeldung entfernt die Verknüpfung dieses Kontos und speichert die neue Sitzung im Tab. Ältere Browser können eine zuvor dauerhaft gespeicherte Sitzung bis zu einer neuen Auswahl oder Abmeldung behalten. Die App speichert keine Passwörter im Browser.

Bei aktivierter Option wird das Erstanbieter-Cookie sp_session_hint zwischen app.shiftpriority.com und shiftpriority.com geteilt, damit die Website einen Dashboard-Link anzeigen kann. Es enthält nur den Ablaufzeitpunkt des Zugriffstokens, kein Token und keine E-Mail-Adresse, und läuft spätestens dann ab; Browser-Abmeldung löscht es, Sitzungserneuerung aktualisiert es. Die App prüft weiterhin die tatsächliche Anmeldung. Während einer Weiterleitung zur sozialen Anmeldung kann die Anmeldemethode zudem vorübergehend in diesem Tab gespeichert werden.

Optionaler Speicher und zugehörige Verarbeitung für Angemeldet bleiben beruhen auf Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Widerrufen Sie durch Abmeldung, Entfernen gespeicherter Kontoverknüpfungen und Abwahl bei der nächsten Anmeldung oder Löschen des App-Browserspeichers und des Cookies sp_session_hint. Diese Auswahl ist unabhängig von Analyse-/Diagnoseeinwilligungen.

2.10 Eingestellte Plausible-Integration

Wir entfernen die Plausible-Statistik-Integration. Aktualisierte Website-/App-Versionen laden den Tracker nicht und senden keine zugehörigen Funktionsereignisse. Ältere geladene Versionen können Plausible bis zum Neuladen/Aktualisieren weiter kontaktieren. Bei unserer Kontoprüfung am 2. Oktober 2026 war die Testphase abgelaufen und die Erhebung neuer Statistik ausgesetzt. Die frühere Integration übermittelte Seitenpfade, Verweisquelle, Geräte-/Browserkategorien und grobe Funktionsereignisse, ohne Mitarbeiter-, Schicht-, Trinkgeld- oder Zahlungsunterlagen. Plausible erklärt, keine Analyse-Cookies oder dauerhaften Gerätekennungen zu verwenden, keine rohen IP-Adressen zu speichern und den täglichen Kennungs-Salt zu entfernen. Frühere Rechtsgrundlage war Art. 6 Abs. 1 lit. f DSGVO, unser Interesse am Verständnis der Nutzung. Bestehende Anbieterunterlagen unterliegen weiterhin dessen Löschbedingungen und Ihren anwendbaren Rechten. Plausible-Datenrichtlinie.

2.11 Google Analytics 4 mit Einwilligung

Erst nach Aktivierung von Website-Analyse laden wir Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Mess-ID G-2DHZB6S27V). Verarbeitet werden Seitenaufrufe, grundlegende Nutzungs-, Browser-/Geräte-, ungefähre Standort- und pseudonyme Client-/Sitzungsinformationen zur Verbesserung des Dienstes. Die automatische erweiterte Messung von Scrollen, externen Links, Suchparametern, Formularinteraktionen, Videos und Downloads ist deaktiviert. Wir senden nicht absichtlich Formularinhalte, Namen, E-Mail-Adressen, Mitarbeiter-/Organisationskennungen oder Betriebsdaten als Analyseereignisse. Seitenmeldungen beider Websites entfernen Query-Strings und Fragmente; App-Meldungen entfernen außerdem Einladungs-/Verifizierungs-/OAuth-Token. Der Referrer wird nicht mitgesendet. Automatische Seitenmeldungen aus Browser-Verlaufsänderungen bleiben deaktiviert.

Nach Einwilligung können _ga und _ga_<container-id> für bis zu 180 Tage ohne Verlängerung bei späteren Besuchen gesetzt werden. Werbespeicher, Werbenutzerdaten, Werbepersonalisierung und Google Signals sind in unserer Tag-Konfiguration deaktiviert. Vor einer ausdrücklichen Analyseentscheidung werden weder Google-Tag noch Mess-Pings angefordert. Rechtsgrundlagen: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Widerruf über Datenschutz-Einstellungen oder Einstellungen → Datenschutz; erreichbare Analyse-Cookies werden entfernt und der geladene Tag gestoppt. Google-Datenschutzerklärung und Datenverarbeitungsbedingungen von Google.

App und Website melden an dieselbe Analytics-Property. Google Signals und die Erhebung vom Nutzer bereitgestellter Daten („User-provided data“) sind nicht aktiviert. Detaillierte Geräte-/Standorterfassung ist aktiviert. Die Kontofreigaben erlauben zusammengefasste/de-identifizierte Modellierungs- und Geschäftserkenntnisse, technischen Support und geschäftliche Empfehlungen; die Freigabe für Google-Produkte/-Dienste ist deaktiviert. Werbepersonalisierung ist auf Property-Ebene aktiviert, während unsere Tags die oben genannten Werbenutzungen ablehnen.

2.12 Optionale Diagnose

Mit gesonderter Diagnoseeinwilligung nutzt die App Sentry für bereinigte technische Fehlerberichte: eine zugelassene Fehlerklasse, App-Version und Stellen in unseren gebauten JavaScript-Dateien. Freie Fehlermeldungen, Beschäftigtendaten, Anfragedetails, Nutzeridentitäten, Breadcrumbs, Anhänge, Leistungs-Traces und Sitzungsaufzeichnungen sind ausgeschlossen. Bei Übermittlung erhält der Anbieter weiterhin Verbindungsinformationen. Rechtsgrundlagen: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG bei Gerätezugriff/-speicherung. Widerruf über Datenschutz-Einstellungen oder Einstellungen → Datenschutz. Sentry-Datenschutzerklärung.

2.13 E-Mails, Bewertungen, Videos und Benachrichtigungen

Resend versendet notwendige Konto-, Einladungs- und Rechtshinweis-E-Mails. Eine kleine E-Mail-Stichprobe wird auf von Resend betriebener RunPod-Infrastruktur auf Missbrauch geprüft, ohne Modelltraining; gewöhnliche E-Mail-API-Daten werden nicht an Anthropic übermittelt. Versenden Sie darüber keine Gesundheitsunterlagen oder sensiblen Anhänge. Resend-Sicherheitsinformationen.

Optionale Einrichtungs-/Produkthilfe-E-Mails benötigen eine gesonderte Auswahl mit E-Mail-Bestätigung. Die Berechtigung verwendet vorhandene Workspace-Aktivität (Mitarbeiter, Schichten, POS, Trinkgeld/Umsatz) und Abonnementstatus, kein zusätzliches Klicktracking; nach sieben Tagen kann eine einmalige Inaktivitäts-E-Mail folgen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Jede optionale E-Mail enthält eine Abmeldemöglichkeit.

Eine neutrale In-App-Trustpilot-Aufforderung verwendet nach mindestens sieben Tagen dieselben vorhandenen Daten und speichert Anzeige-/Aufschub-/Abschlussstatus. Rechtsgrundlage: Art. 6 Abs. 1 lit. f, unser Interesse an fairem Feedback. Wir übermitteln Trustpilot keine Kundenidentität oder Berechtigungsdaten. Erst die Wahl des Bewertungslinks öffnet dessen Website nach eigener Datenschutzerklärung. YouTube-Demovideos kontaktieren Google/YouTube erst bei Aktivierung des externen Players; damit fordern Sie das Video an und der Anbieter erhält Verbindungs-/Wiedergabedaten. Die Analyseentscheidung ist davon getrennt.

Bei Aktivierung von Push-Nachrichten speichern wir Browser-Push-Endpunkt, Abonnementschlüssel, Geräte-/Browserinformationen, Sprache und Benachrichtigungseinstellungen. Ihr Browser-Push-Anbieter (beispielsweise Apple, Google oder Mozilla) liefert verschlüsselte Nachrichten und verarbeitet Verbindungs-/Zustellinformationen nach eigenen Bedingungen. Deaktivierung in der App oder in Browserberechtigungen. Workspace-Benachrichtigungen erfolgen nach Weisung des Kunden.

3. Empfänger und internationale Übermittlungen

Optionale Google-Kalender-Verbindung: Eine berechtigte Führungskraft kann ein Konto verbinden und einen Kalender zur ausschließlich lesenden Anzeige für Führungskräfte mit Dienstplanzugriff dieses Betriebs auswählen. Google gewährt technischen Lesezugriff auf Kalendertermine und die Kalenderliste; ShiftPriority liest die Liste zur Auswahl und importiert nur Termin-IDs, Titel, Orte, Anfangs-/Endzeiten oder ganztägige Datumsangaben und Quelllinks des ausgewählten Kalenders. Gästelisten und Terminbeschreibungen werden nicht importiert, Google wird nicht verändert und Termine ändern weder Schichten noch Verfügbarkeit oder automatische Planung. Wählen Sie einen Geschäftskalender: Private Termine darin werden ebenfalls für berechtigte Führungskräfte des Betriebs sichtbar. Der Kunde bestimmt Rechtsgrundlage und Berechtigungen dieser Workspace-Verarbeitung; die OAuth-Freigabe ist technischer Zugriff und begründet allein keine Rechtsgrundlage für personenbezogene Daten anderer Personen.

Verbindungskennungen, verschlüsselte serverseitige Zugangsdaten, Daten zum Änderungsabonnement und die letzte Terminkopie werden mit unseren bestehenden Supabase-Diensten gespeichert. Die Kopie umfasst ungefähr die vergangenen 30 Tage und das nächste Jahr, wird nach erfolgreicher Aktualisierung ersetzt und kann bei Anbieter- oder Netzwerkfehlern veraltet bleiben. Trennen, Kalenderwechsel oder Löschung des Betriebs entfernt die aktive Kopie; beim Trennen werden gespeicherte Zugangsdaten gelöscht. Google behält den ursprünglichen Kalender nach den Bedingungen des verbundenen Kontos. Die Bedingungen der Google Calendar API erlauben Google die Verarbeitung in den USA und anderen Ländern, in denen Google tätig ist; diese Verbindung bietet keine ausschließliche EWR-Verarbeitung. Kalenderdaten dienen ausschließlich dieser gewünschten Anzeige und ihrer Sicherheit/Unterstützung, nicht Werbung, Verkauf oder KI-Training. Nutzung und Weitergabe von Informationen aus Google APIs erfolgen gemäß der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Apple Kalender wird durch diese Umsetzung nicht aktiviert.

Berechtigte Servicepersonen und die folgenden Anbieter erhalten die für ihre Funktion nötigen Daten. Die Rolle hängt von der Verarbeitung ab: Zahlungs-/POS-Anbieter können eigene Verantwortliche sein; Lieferanten bei Workspace-Verarbeitung sind Unterauftragsverarbeiter.

Behörden und fachliche Berater können Daten erhalten, soweit gesetzlich erforderlich oder für Rechtsansprüche nötig. Wir verkaufen keine personenbezogenen Daten. Eine Datenbank in Frankfurt bedeutet nicht, dass jeder Anbieter ausschließlich in Deutschland verarbeitet. Übermittlungen außerhalb des EWR erfordern einen anwendbaren Angemessenheitsbeschluss (Art. 45 DSGVO) oder geeignete Garantien, etwa anwendbare Standardvertragsklauseln und ergänzende Maßnahmen (Art. 46). Informationen und Kopien der Garantien erhalten Sie über [email protected]; vertrauliche Angaben Dritter können geschwärzt werden.

4. Speicherdauer

• Konto-/Workspace-Daten bleiben für die Dienstbeziehung bis zur beantragten oder vom Kunden angewiesenen Löschung. Eine Abonnementkündigung löscht den Workspace nicht. Das Ausscheiden eines Mitarbeiters löscht nicht automatisch historische Beschäftigungsunterlagen; deren Aufbewahrung bestimmt der Arbeitgeber. Die Löschung eines persönlichen Kontos löscht nicht zwingend Arbeitgeberdaten oder andere Workspaces.
• Anfrage-/Supportdaten bleiben zur Bearbeitung oder Problemlösung gespeichert, anschließend nur soweit für Kundenbeziehung, gesetzliche Pflichten oder Rechtsansprüche erforderlich. Wartelistendaten bis Widerruf oder Wegfall des Zwecks.
• Deutsche gesetzliche Unterlagen werden nach Kategorie aufbewahrt: grundsätzlich acht Jahre für Buchungsbelege/Rechnungen, zehn Jahre für Bücher/Abschlüsse und sechs Jahre für Geschäftskorrespondenz (§ 147 AO, § 257 HGB), gerechnet ab dem gesetzlichen Fristbeginn und erforderlichenfalls verlängert. Diese Pflichten rechtfertigen keine pauschale Aufbewahrung aller Beschäftigtendaten.
• Vertragsnachweise bleiben solange erforderlich zum Nachweis der Beziehung und für Rechtsansprüche unter Beachtung gesetzlicher Fristen. Empfängernachweise von Rechtshinweisen werden täglich nach drei Jahren ab Ende des Versandjahrs bei Datenschutzhinweisen und sechs Jahren ab Ende dieses Jahrs bei Vertrags-/Unterauftragnehmerkorrespondenz entfernt; die Bereinigung kann bis zu einen Tag hinzufügen. Eine erforderliche Aufbewahrung für konkrete Rechtsstreitigkeiten oder gesetzliche Pflichten wird gesondert in zugriffsbeschränkten privaten Unterlagen dokumentiert. Workspace-bezogene optionale E-Mail-Einwilligung, Lebenszyklus- und Bewertungsstatus werden mit dem Workspace gelöscht. Empfängerdaten von Rechtshinweisen werden auch bei Kontolöschung entfernt.
• Datenschutzentscheidungen und unsere konfigurierten Analyse-Cookies gelten bis zu 180 Tage. Für Google-Analytics-Nutzer-/Ereignisdaten sind zwei Monate ohne Verlängerung bei neuer Aktivität eingestellt; Google löscht im monatlichen Verfahren. Diese Einstellung löscht zusammengefasste Standardberichte nicht nach zwei Monaten. Google-Aufbewahrungsinformationen.
• API-/Datenbank-Logs im Supabase-Free-Tarif werden einen Tag aufbewahrt. Resends aktueller Free-Tarif speichert E-Mail-/Log-Daten 30 Tage und Backups sieben Tage; Kundendaten werden vorbehaltlich gesetzlicher Ausnahmen binnen 90 Tagen nach Kontobeendigung gelöscht. Cloudflare-Pages-Functions-Debugging-Logs werden ohne dauerhafte Speicherung live gestreamt; Functions-Metriken bleiben bis zu drei Monate. Diese Fristen gelten nicht für sämtliche Sicherheits-, Authentifizierungs-, Konto- oder Sperrlisten-Daten der Anbieter. Anwendungs-Rate-Limit-Daten werden täglich entfernt, sobald ihr Zeitfenster älter als 24 Stunden ist (normalerweise innerhalb von 48 Stunden).
• Sentry-Diagnoseereignisse im Developer-Tarif werden ab Erhebung 30 Tage aufbewahrt. Frühere kostenpflichtige/Test-Kategorien können ihre bei Erhebung geltende 90-Tage-Frist behalten; Organisations-Audit-Logs zu unseren Administratoraktionen bleiben unbefristet. Produktionsereignis-Backups haben je Datentyp 30/90 Tage Aufbewahrung. Plausibles Bedingungen für abgelaufene Testphasen sehen die Löschung gespeicherter Statistik nach Ankündigung vor, ohne eine feste Tageszahl festzulegen. Diese Fristen sind von Browser-Datenschutzentscheidungen getrennt.
• Inaktive gemeinsame Wetter-Cache-Einträge werden täglich nach sieben Tagen entfernt, normalerweise innerhalb von acht Tagen. Sie enthalten gerundete Ortsschlüssel und öffentliche Vorhersagen, ohne Konto-/Mitarbeiterkennungen.
• Anthropic-API-Aufbewahrung ist in Abschnitt 2.8 beschrieben. Abgeschlossene Push-Outbox-Einträge werden nach 30 Tagen entfernt. Der aktuelle Supabase-Free-Tarif bietet keine für Kunden zugänglichen verwalteten Backups oder Point-in-Time-Wiederherstellung; dies bedeutet nicht, dass der Anbieter keine internen Backups hält. Backup-Kopien können gelöschte Daten bis zu ihrem geltenden Ablauf enthalten; Zugriff bleibt eingeschränkt und Löschungen müssen nach Wiederherstellung erneut angewendet werden. Sofortige Löschung aus allen Anbieter-Backups wird nicht zugesagt.

5. Auswahl und Rechte

Soweit die gesetzlichen Voraussetzungen vorliegen, haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 15–20 DSGVO). Einwilligungen können Sie jederzeit ohne Einfluss auf die Rechtmäßigkeit früherer Verarbeitung widerrufen. Bei Verarbeitung nach Art. 6 Abs. 1 lit. f können Sie aus Gründen Ihrer besonderen Situation widersprechen; gegen Direktwerbung ist der Widerspruch uneingeschränkt möglich (Art. 21 DSGVO).

Optionale Analyse/Diagnose verwalten Sie über Datenschutz-Einstellungen auf Website/App oder Einstellungen → Datenschutz in der App. Entscheidungen sind zwischen App, Website und Browsern/Geräten unabhängig. Optionale E-Mail-Einstellungen sind getrennt. Die Ablehnung optionaler Verarbeitung verhindert die Kernnutzung nicht.

Einstellungen → Datenschutz bietet einen JSON-Export der für Ihr angemeldetes Konto lesbaren Daten. Dieser ist allein keine vollständige gesetzliche Auskunft oder vollständige Workspace-Migration; für weitere Daten oder Exporthilfe kontaktieren Sie uns. Löschung erfolgt nach geprüfter Anfrage, nicht als sofortige automatische Komplettlöschung. Rechteanfragen beantworten wir grundsätzlich binnen eines Monats; eine gesetzlich zulässige Verlängerung erklären wir innerhalb dieses Monats. Eine verhältnismäßige Identitäts-/Berechtigungsprüfung kann nötig sein.

Für Daten in unserer Verantwortung: [email protected]. Für Beschäftigungsunterlagen: Ihr Arbeitgeber. Beschwerden sind bei einer Aufsichtsbehörde möglich, einschließlich Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), oder bei der Behörde Ihres gewöhnlichen Aufenthalts, Arbeitsplatzes oder des Orts eines vermuteten Verstoßes.

6. Erforderliche Angaben und Sicherheit

Konto-, Anmelde- und notwendige Abrechnungsangaben sind für den Dienst erforderlich; ohne sie können wir Konto oder kostenpflichtiges Abonnement nicht erstellen/verwalten. Andere Profilangaben und optionale Funktionen sind freiwillig, soweit der Arbeitgeber sie nicht aufgrund eigener rechtmäßiger Regelungen benötigt. Beschäftigtendaten stammen gegebenenfalls vom Arbeitgeber, Kollegen, eigenen Eingaben oder einem verbundenen Kassensystem/Import.

Wir verwenden HTTPS/TLS, anbieterseitige Verschlüsselung im Ruhezustand, mandantenbezogene Datenbankzugriffe, Rollenprüfungen und privaten Speicher für Fotos/Logos. Berechtigte Zugriffe und privilegierte Dienstvorgänge werden auf ihren Zweck begrenzt. Sicherheitskontrollen senken Risiken, garantieren aber keine absolute Sicherheit. Weitere Zusagen zu Kundendaten enthält der AVV.

7. Aktualisierungen

Wir veröffentlichen datierte Versionen und erklären wesentliche Änderungen in einem gesonderten Hinweis. Betroffene Kontoinhaber werden aktiv über wesentliche Datenschutzänderungen informiert, üblicherweise per E-Mail; Kunden müssen auch ihre Beschäftigteninformation aktuell halten. Neue Verarbeitungszwecke werden vor Beginn erklärt und erforderliche neue Einwilligungen eingeholt. Geplante wesentliche Änderungen kündigen wir üblicherweise mindestens 14 Tage vorher an; Klarstellungen bestehender Verarbeitung und dringende gesetzlich erforderliche Informationen können unverzüglich mitgeteilt werden. Rechtschreib-/rein redaktionelle Korrekturen benötigen üblicherweise keine Rundmail. Eine Datenschutzerklärung informiert und fordert keine Vertragsannahme.