Datenschutz

1. Verantwortlicher

SHIFTDECK
E-Mail: info@shiftdeck.de
Web: shiftdeck.de

2. Erhobene Daten & Zweck

Wir erheben und verarbeiten folgende personenbezogene Daten:

• Bestelldaten: Name, E-Mail, Adresse, Zahlungsinformationen – zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
• Kundenkonto: Login-Daten, Nutzungshistorie – zur Bereitstellung des Kundenportals
• Kommunikationsdaten: Support-Anfragen, E-Mails – zur Bearbeitung Ihrer Anfragen
• Technische Daten: IP-Adresse, Log-Daten – zur Systemsicherheit (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO)

3. KiTa-Modul und Eltern-App

Das KiTa-Modul von SHIFTDECK und die dazugehörige Eltern-App „SHIFTDECK · ELTERN" verarbeiten Daten von Kindern, Eltern und Beschäftigten einer Kindertagesstätte.

Wer ist verantwortlich? Datenschutzrechtlich verantwortlich für diese Daten ist die jeweilige Kindertagesstätte (Einrichtung), die die Software einsetzt — nicht SHIFTDECK. SHIFTDECK stellt lediglich die Software bereit. Betreibt die Einrichtung SHIFTDECK auf einem eigenen Server, hat SHIFTDECK keinerlei Zugriff auf die Daten. Nutzt die Einrichtung das optionale „SHIFTDECK Cloud"-Hosting, wird SHIFTDECK als Auftragsverarbeiter nach Art. 28 DSGVO tätig; ein Auftragsverarbeitungs-Vertrag wird geschlossen. Fragen zur konkreten Datenverarbeitung richten Eltern deshalb an ihre Kita.

Welche Daten verarbeitet werden:

• Stammdaten des Kindes: Name, Geburtsdatum, Geschlecht, Gruppe, Eintritts- und Austrittsdatum, Profilfoto — zur Organisation der Betreuung (Art. 6 Abs. 1 lit. b und lit. e DSGVO).
• Konto- und Kontaktdaten der Eltern: Name, E-Mail, Anmeldedaten — zur Bereitstellung des Eltern-Zugangs.
• Kommunikationsinhalte: Nachrichten, Bilder und Sprachnachrichten aus dem Eltern-Chat sowie Beiträge auf der Pinnwand und im Postfach — zur Kommunikation zwischen Einrichtung und Eltern (Art. 6 Abs. 1 lit. b DSGVO).
• Fotos: Bilder im Fotoalbum des Kindes und im Chat. Fotos des Kindes werden nur mit der von den Eltern erteilten Einwilligung verarbeitet, die jederzeit widerrufbar ist.
• Weitere Nutzerinhalte: Antworten auf Umfragen, Essens-An- und -Abmeldungen, Einträge zu Elternstunden.

Gesundheitsdaten (Art. 9 DSGVO): Die App verarbeitet besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO — insbesondere Allergien, Unverträglichkeiten und Krankmeldungen des Kindes. Diese Angaben dienen ausschließlich dem Schutz und der Betreuung des Kindes (z. B. der Berücksichtigung von Allergien beim Essen) und werden nur auf Grundlage einer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) bzw. zum Schutz lebenswichtiger Interessen (Art. 9 Abs. 2 lit. c DSGVO) verarbeitet. Sie werden nicht an Dritte weitergegeben und verlassen den Server der jeweiligen Einrichtung nicht.

Kein Tracking, keine Werbung: Die Eltern-App enthält keine Werbung, kein Tracking, keine Analyse-Werkzeuge und keine Fremdbibliotheken. Es findet kein Zugriff auf Standort, Kontakte oder Werbekennungen statt. Die im Chat und Postfach ausgetauschten Inhalte gehen ausschließlich an die eigene Einrichtung, nicht an Dritte.

Speicherung und Löschung: Die Daten liegen auf dem Server der jeweiligen Einrichtung. Sie werden gelöscht, sobald das Kind die Einrichtung verlässt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, oder sobald die Einwilligung widerrufen wird. Eltern können ihr Konto und die zugehörigen Inhalte über die Einrichtung löschen lassen.

4. Handwerk-&-Bau-Modul und Baustellen-App

Das Modul „Handwerk & Bau" von SHIFTDECK und die dazugehörige App „SHIFTDECK – BAUSTELLE" verarbeiten Daten von Beschäftigten eines Handwerks- oder Bauunternehmens.

Wer ist verantwortlich? Datenschutzrechtlich verantwortlich ist der jeweilige Betrieb (Arbeitgeber), der die Software einsetzt — nicht SHIFTDECK. Die App hat keine feste Serveradresse: Beim ersten Start trägt die beschäftigte Person die Adresse der SHIFTDECK-Installation ihres Betriebes ein. Alle Daten liegen ausschließlich dort. Betreibt der Betrieb SHIFTDECK auf einem eigenen Server, hat SHIFTDECK keinerlei Zugriff darauf. Nutzt er das optionale „SHIFTDECK Cloud"-Hosting, wird SHIFTDECK als Auftragsverarbeiter nach Art. 28 DSGVO tätig; ein Auftragsverarbeitungs-Vertrag wird geschlossen. Fragen zur konkreten Datenverarbeitung richten Beschäftigte deshalb an ihren Arbeitgeber.

Es gibt kein eigenes Benutzerkonto bei SHIFTDECK. Die Zugangsdaten vergibt der Betrieb. Eine Registrierung über die App ist nicht möglich und findet nicht statt.

Welche Daten verarbeitet werden:

• Konto- und Kontaktdaten: Name, E-Mail-Adresse, Anmeldedaten und Rolle im Betrieb — zur Anmeldung und zur Zuordnung von Einträgen (Art. 6 Abs. 1 lit. b DSGVO).
• Arbeitsbezogene Eingaben: Bautagebuch, Regieberichte, Aufmaße, Materialabrufe, Mängelmeldungen sowie Angaben zu Fahrten und Zulagen — zur Durchführung des Arbeitsverhältnisses und zur Auftragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG).
• Fotos (Kamera): Bilder für Bautagebuch, Aufmaß, Mängelmeldung und Gerätezustand. Die Kamera wird ausschließlich nach ausdrücklicher Auslösung durch die Person verwendet; sie wird außerdem zum Lesen der QR-Codes an Geräten und Maschinen benötigt. Es findet keine Aufnahme im Hintergrund statt.
• Unterschriften: Ein Fingerstrich bei der Abnahme einer Baustelle, als Bild zum jeweiligen Vorgang.
• Geräte- und Maschinendaten: Wer ein Gerät entnommen, wohin er es gebracht und in welchem Zustand er es zurückgegeben hat — zur Betriebsmittelverwaltung und zur Einhaltung der Prüffristen (u. a. DGUV Vorschrift 3).

Kein Zugriff auf den Standort des Telefons. Die App fordert keine Standortberechtigung an und liest den Ort des Gerätes zu keinem Zeitpunkt aus — es gibt keine Ortung im Hintergrund, keine Wegaufzeichnung und keine Anwesenheitskontrolle über den Standort. Für die Karte im Lageplan und für das Wetter wird allein die Anschrift der Baustelle verwendet, die im Büro eingetragen wurde; sie wird von Apple in Koordinaten umgerechnet. Der Aufenthaltsort der beschäftigten Person spielt dabei keine Rolle.

Wetterdaten: Für den Bautagesbericht kann das aktuelle Wetter zur Anschrift der Baustelle automatisch übernommen werden. Diese Angabe stammt von Apple WeatherKit; dabei wird der Ort der Baustelle an Apple übermittelt. Es werden keine personenbezogenen Daten und keine Kennung der Person mitgesendet. Die Übernahme muss jedes Mal ausgelöst werden und lässt sich durch Eintragen von Hand ersetzen.

Zwischenspeicher ohne Netz: Auf Baustellen ohne Mobilfunk werden Eingaben verschlüsselt auf dem Gerät zwischengespeichert und übertragen, sobald wieder eine Verbindung besteht. Der Zwischenspeicher liegt allein auf dem Telefon und wird nach der Übertragung geleert.

Kein Tracking, keine Werbung: Die App enthält keine Werbung, kein Tracking, keine Analyse-Werkzeuge und keine Fremdbibliotheken. Es findet kein Zugriff auf Kontakte, Werbekennungen oder das Adressbuch statt, und es werden keine Daten an Dritte weitergegeben oder verkauft. Die Verbindung erfolgt ausschließlich zum Server des eigenen Betriebes.

Speicherung und Löschung: Die Daten liegen auf dem Server des jeweiligen Betriebes und unterliegen dessen Löschfristen. Für Bautagebücher, Aufmaße und Regieberichte gelten die handels- und steuerrechtlichen Aufbewahrungsfristen sowie die Gewährleistungsfristen des Bauvertragsrechts. Beschäftigte können Auskunft und Löschung über ihren Arbeitgeber verlangen.

5. Zeiterfassung und die App „SHIFTDECK ZEIT"

Das Zeiterfassungs-Modul von SHIFTDECK und die dazugehörige App „SHIFTDECK ZEIT" verarbeiten Arbeitszeiten und Anwesenheiten von Beschäftigten.

Wer ist verantwortlich? Verantwortlich ist der jeweilige Betrieb (Arbeitgeber), der die Software einsetzt — nicht SHIFTDECK. Auch diese App hat keine feste Serveradresse: Die Adresse der SHIFTDECK-Installation des Betriebes wird beim ersten Start eingetragen oder als QR-Code eingescannt. Alle Daten liegen ausschließlich dort. Betreibt der Betrieb einen eigenen Server, hat SHIFTDECK keinerlei Zugriff; beim optionalen „SHIFTDECK Cloud"-Hosting wird SHIFTDECK Auftragsverarbeiter nach Art. 28 DSGVO.

Welche Daten verarbeitet werden:

• Konto- und Kontaktdaten: Name, E-Mail-Adresse, Anmeldedaten, Rolle im Betrieb.
• Arbeitszeitdaten: Beginn und Ende der Arbeitszeit, Pausen, Dienstpläne, Schichten, Überstunden, Urlaubs-, Krankheits- und Abwesenheitszeiten sowie Korrekturanträge — zur Durchführung des Arbeitsverhältnisses und zur Erfüllung der gesetzlichen Aufzeichnungspflicht (Art. 6 Abs. 1 lit. b und lit. c DSGVO, § 26 BDSG, § 16 Abs. 2 ArbZG).
• Kamera: ausschließlich zum Einlesen des QR-Codes mit der Serveradresse des Betriebes. Es werden keine Bilder gespeichert oder übertragen.

Standort beim Stempeln — freiwillig und abschaltbar. Auf Wunsch kann beim Stempeln festgehalten werden, wo die Arbeitszeit erfasst wurde. Dazu gilt:

• Es wird genau einmal um Zustimmung gebeten; die Antwort wird gemerkt und nie erneut abgefragt.
• Bei „nein" wird ohne Standort weitergestempelt — ohne Nachfrage und ohne Fehlermeldung.
• Die Entscheidung lässt sich jederzeit im Profil der App umstellen.
• Der Standort wird nur im Augenblick des Stempelns ermittelt. Es gibt keine Ortung im Hintergrund, keine Wegaufzeichnung und keine laufende Überwachung.
• Fehlt der Empfang, wird ohne Standort gestempelt. Die Erfassung der Arbeitszeit wird nie blockiert.

Ob der Betrieb diese Angabe überhaupt auswerten darf, richtet sich nach seiner Betriebsvereinbarung bzw. der Mitbestimmung des Betriebsrats.

Kein Tracking, keine Werbung: Die App enthält keine Werbung, kein Tracking, keine Analyse-Werkzeuge und keine Fremdbibliotheken. Es gibt keine Mitteilungen (Push), keinen Zugriff auf Kontakte und keine Weitergabe an Dritte.

Speicherung und Löschung: Die Daten liegen auf dem Server des Betriebes. Arbeitszeitnachweise unterliegen den gesetzlichen Aufbewahrungsfristen (u. a. § 16 ArbZG: mindestens zwei Jahre). Auskunft und Löschung verlangen Beschäftigte über ihren Arbeitgeber.

6. Weitergabe an Dritte

Eine Weitergabe Ihrer Daten an Dritte erfolgt nur, soweit dies zur Vertragserfüllung notwendig ist oder gesetzlich vorgeschrieben. Wir verkaufen Ihre Daten nicht.

7. Ihre Rechte (DSGVO)

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte: info@shiftdeck.de

8. Cookies & Local Storage

Standardmäßig setzen wir nur technisch notwendige Cookies ein (Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO + § 25 Abs. 2 Nr. 2 TTDSG). Marketing-Cookies von Google Ads (siehe Punkt 8) werden ausschließlich gesetzt, wenn Sie der Kategorie „Marketing" im Cookie-Banner aktiv zustimmen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG). Ohne Ihre Einwilligung wird kein Google-Script geladen.

Sie können diese Daten jederzeit über Ihre Browser-Einstellungen löschen.

9. Server-Logs (Apache Access-Log)

Unser Webserver protokolliert technisch notwendige Verbindungsdaten zur Sicherstellung des Betriebs und zur Erkennung von Angriffen (Art. 6 Abs. 1 lit. f DSGVO).

• IP-Adresse (anonymisiert nach 7 Tagen)
• Datum / Uhrzeit / aufgerufene URL
• HTTP-Status / Datenmenge
• Referrer / User-Agent

Speicherdauer: 30 Tage, danach automatische Löschung.

10. Eingesetzte Dienste & Auftragsverarbeiter

Für den Betrieb der Webseite und Software setzen wir folgende Dienste ein. Soweit personenbezogene Daten übermittelt werden, besteht ein Auftragsverarbeitungs-Vertrag (AVV) oder eine Standardvertragsklausel.

• Hosting: Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen — Webserver + Datenbank, Standort Deutschland (AVV gem. Art. 28 DSGVO).
• CDN & DDoS-Schutz: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA — Reverse-Proxy, TLS-Terminierung, Schutz vor DDoS-Angriffen und Bot-Traffic. Verarbeitet IP-Adressen, Request-Header und URL. Datentransfer in die USA erfolgt auf Basis der EU-Standardvertragsklauseln (SCC) und des Data Privacy Framework. Datenschutzerklärung: cloudflare.com/de-de/privacypolicy.
• Zahlungsabwicklung: Wir verarbeiten Zahlungen über folgende Wege: Banküberweisung (direkt zwischen Ihrer Hausbank und unserer Bank, keine Drittpartei), PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg — übermittelt werden Name, E-Mail, Bestellwert, Verwendungszweck; Datenschutzerklärung: paypal.com/de/privacy) und ggf. Kauf auf Rechnung (nach interner Bonitätsprüfung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Externe Online-Payment-Dienstleister (Mollie, Stripe etc.) setzen wir nicht ein.
• Backup-Storage: Hetzner Storage-Box (Standort Deutschland) — verschlüsselte Backups, AVV.
• E-Mail-Versand: Eigener Postfix-SMTP auf Hetzner-Server.
• Schriftarten: Google Fonts (Inter) — werden bei jedem Seitenaufruf von fonts.googleapis.com / fonts.gstatic.com geladen. Dabei wird Ihre IP an Google LLC übermittelt. Hinweis: Wir prüfen aktuell den Wechsel auf lokal gehostete Fonts.
• React-Bibliothek (CDN): Einige technische Helper werden über esm.sh geladen. Dabei wird Ihre IP an den CDN-Betreiber übermittelt.
• Video-Embeds: Wenn Videos eingebettet sind, nutzen wir youtube-nocookie.com (von Google LLC, Datenschutzlink: policies.google.com/privacy) — gesetzt werden nur Cookies bei tatsächlichem Abspielen.
• KI-Hilfe im FAQ-Bereich (Claude): Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA. Wenn Sie im „FAQ & Hilfe"-Fenster freiwillig den Knopf „Claude fragen" nutzen, wird ausschließlich Ihr eingegebener Fragetext an die Anthropic-API übermittelt, um eine Antwort rund um SHIFTDECK zu erzeugen (Art. 6 Abs. 1 lit. b/f DSGVO). Es werden keine Konto- oder Bestandsdaten mitgesendet; bitte geben Sie in das Fragefeld keine personenbezogenen Daten ein. Anthropic verwendet über die API übermittelte Daten laut eigener Zusage nicht zum Training seiner Modelle. Datentransfer in die USA auf Basis der EU-Standardvertragsklauseln. Datenschutzerklärung: anthropic.com/privacy.
• Google Ads (Conversion-Tracking): Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Wir messen damit den Erfolg unserer Werbeanzeigen (z. B. ob nach einem Anzeigenklick eine Demo angefragt oder bestellt wird). Verarbeitet werden u. a. eine pseudonyme Kennung, IP-Adresse, Klick-/Conversion-Informationen und Zeitstempel. Die Übermittlung erfolgt nur nach Ihrer ausdrücklichen Einwilligung (Kategorie „Marketing" im Cookie-Banner, Art. 6 Abs. 1 lit. a DSGVO). Wir verwenden den Google Consent Mode v2: ohne Einwilligung wird kein Google-Script geladen und es werden keine Daten übermittelt. Eine Datenübermittlung in die USA kann auf Basis der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework erfolgen. Sie können Ihre Einwilligung jederzeit über den Cookie-Button unten links widerrufen. Datenschutzerklärung: policies.google.com/privacy.

Keine Nutzung von: Google Analytics, Facebook Pixel, Matomo, Hotjar oder sonstigen Trackern. Google Ads (Conversion-Tracking) wird ausschließlich nach Ihrer Einwilligung geladen.

11. Sicherheitsmaßnahmen (Art. 32 DSGVO)

Wir treffen technische und organisatorische Maßnahmen (TOMs) zum Schutz Ihrer Daten:

• TLS 1.2+ verschlüsselte Übertragung (HTTPS-only, HSTS aktiv)
• Passwortlose Login-Methode für Admin-Bereich (Magic-Link per E-Mail, 15 Min gültig)
• Brute-Force-Schutz: 6 Fehlversuche → 30 Min IP-Sperre
• Audit-Log: jede sicherheitsrelevante Aktion wird protokolliert
• Master-Keys werden außerhalb des Webroots auf einer separaten Storage-Box gehalten
• Content-Security-Policy gegen XSS-Angriffe
• Vollständige Sicherheits-Übersicht: /sicherheit.html
• Sicherheitslücken-Meldung (Coordinated Disclosure): /.well-known/security.txt

12. Speicherdauer

• Kundendaten (Bestellung, Konto): solange aktive Geschäftsbeziehung + 10 Jahre nach Ende (gem. § 147 AO / § 257 HGB für Rechnungen)
• Handelsbriefe (Schriftverkehr zu Geschäftsvorfällen): 6 Jahre (§ 257 HGB)
• Server-Logs: 30 Tage
• Audit-Log: 12 Monate
• Newsletter-Abos: bis zur Abmeldung (Link in jeder Mail)
• Support-Tickets: 24 Monate nach Schließung
• AGB-Änderungs-Benachrichtigungen: einmaliger Versand, kein dauerhafter Verteiler — Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung gem. § 305 ff. BGB).

13. Beschwerderecht

Sie haben das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren. Zuständig für SHIFTDECK:
Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover · lfd.niedersachsen.de

Stand: 28.05.2026 · Änderungen behalten wir uns vor. Aktuelle Version stets unter shiftdeck.de/datenschutz.html.