Auftragsverarbeitungsvertrag (AVV) für ShiftPlaner (vormals GetShifty)

Fassung: 2026-10-10 (Stand 10.10.2026)

Vereinbarung zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO zwischen dem Betrieb, der in ShiftPlaner ein Konto anlegt („Verantwortlicher“), und CodeTemple, Markus Menke, Klosterstraße 9, 53123 Bonn, Deutschland („Auftragsverarbeiter“).

Der Vertrag kommt zustande, indem der Besitzer des Kontos ihn beim Anlegen des Kontos in der App bestätigt. Der Auftragsverarbeiter speichert Zeitpunkt und Fassung der Bestätigung am Konto. Die jeweils bestätigte Fassung ist unter shiftplaner.de/avv abrufbar; Änderungen werden dort veröffentlicht und beim nächsten Anlegen eines Kontos erneut bestätigt.

1. Gegenstand und Dauer

1. Der Auftragsverarbeiter betreibt für den Verantwortlichen den ShiftPlaner-Server: Sicherung der in der App erfassten Planungsdaten und, mit dem Modul „Team & Geräte“, Abgleich zwischen den Geräten und Personen des Kontos sowie, mit dem Modul „Mitarbeiter-Link“, die Seite „Verfügbarkeiten per Link“ für Mitarbeiter mit dem vom Verantwortlichen freigegebenen Dienstplan sowie, mit dem Modul „Zeiterfassung“, das Ein- und Ausstempeln der Mitarbeiter auf dieser Seite und die Aufbewahrung der Stempelzeiten sowie, mit dem Modul „API & Integrationen“, den lesenden Abruf von Daten des Kontos durch Systeme, denen der Verantwortliche einen API-Schlüssel gibt, und Meldungen über Änderungen an diese Systeme (Webhooks, Nr. 6) sowie, mit dem Modul „Website“, die Aufbewahrung von Texten, Bildern und Videos zu Veranstaltungen und ihre Bereitstellung für die Website des Verantwortlichen über Zugänge mit Token (Nr. 6a) sowie, mit dem Modul „Website“, das Hosting seiner Website (Nr. 6b).
2. Der Vertrag gilt, solange das Konto besteht. Er endet mit dem Löschen des Kontos durch den Besitzer oder durch die automatische Löschung nach über einem Jahr ohne Zugriff (nur Konten ohne gebuchtes Modul und ohne ShiftPlaner Pro).
3. Ohne Konto findet keine Auftragsverarbeitung statt; die Daten bleiben dann allein auf den Geräten des Verantwortlichen.

2. Art und Zweck der Verarbeitung

Speichern, Sichern, Abgleichen zwischen Geräten und Personen, Anzeigen im Browser über persönliche Mitarbeiter-Links (einschließlich des freigegebenen Dienstplans), Benachrichtigen der Mitarbeitenden, die das auf ihrer Seite einschalten, Erfassen von Arbeitszeiten (Ein- und Ausstempeln über den Mitarbeiter-Link, Zeitpunkt vom Server gesetzt) und automatisches Schließen vergessener Stempelungen, Bereitstellen zum lesenden Abruf über API-Schlüssel des Verantwortlichen und Melden von Änderungen an die Systeme, die damit abrufen (Webhooks), Bereitstellen der vom Verantwortlichen zur Veröffentlichung bestimmten Veranstaltungsangaben samt Bildern und Videos für seine Website (Nr. 6a), Löschen. Der Auftragsverarbeiter wertet die Daten nicht aus, nutzt sie nicht für eigene Zwecke und gibt sie nicht weiter – außer an Empfänger, denen der Verantwortliche selbst einen API-Schlüssel gibt (Nr. 6), und an die Besucher seiner Website, soweit er Veranstaltungen dort veröffentlicht (Nr. 6a).

3. Art der Daten und Kategorien betroffener Personen

Betroffene: Beschäftigte und sonstige Mitarbeitende des Verantwortlichen; Mitglieder des Kontos (Planer, Admins, Nur-Lese-Zugänge).

Daten der Mitarbeitenden: Name und Anzeigefarbe; Rollen, Betriebe, Teams und frei benannte Merkmale; Verfügbarkeiten (verfügbar / nicht verfügbar je Tag); Schichten (Datum, Uhrzeit, Rolle, Betrieb, Veranstaltung); Anstellung (Anstellungsart festangestellt oder Aushilfe, Soll- bzw. Höchststunden im Monat); mit dem Modul „Zeiterfassung“ Stempelzeiten (Arbeitstag, Kommen und Gehen, Betrieb, Bezug zur Schicht, Herkunft, Notiz, Hinweis auf automatisches Schließen, Korrekturprotokoll mit ursprünglichen Zeiten, Zeitpunkt der Korrektur und Name bzw. Kennung der korrigierenden oder nachtragenden Person); Vorlieben zu Veranstaltungsarten und Regeln (z.B. höchstens 8 Schichten im Monat); Bewertungen der Zusammenarbeit zwischen zwei Mitarbeitenden (-2 bis +2); bei Nutzung eines Mitarbeiter-Links: Hash des Links, Zeitpunkte der Nutzung und welcher Zeitraum geändert wurde; je Betrieb das Datum, bis zu dem der Dienstplan für die Mitarbeiter-Seite freigegeben ist; bei „Ersatz gesucht“: wer sich über seinen Link wann für welche Schicht gemeldet hat; ist es freigeschaltet, die Vorlieben je Event-Tag, die der Mitarbeiter über seinen Link selbst einträgt (mit dem Hinweis, dass und wann er sie geändert hat); schaltet er Benachrichtigungen ein: je Gerät die Adresse beim Push-Dienst seines Browsers und zwei Schlüssel zum Verschlüsseln sowie der zuletzt gemeldete Stand seiner Schichten und der ihm angebotenen „Ersatz gesucht“-Schichten.

Daten der Mitglieder: Benutzerkennung, E-Mail-Adresse, Anzeigename, Rolle und Rechte, Beitrittszeitpunkt; für das Gerät des Besitzers eine zufällige Gerätekennung und der Rechnername.

Daten zu API-Schlüsseln und Webhooks (Modul „API & Integrationen“): je Schlüssel Name, Hash, die ersten Zeichen, die gewählten Bereiche, Zeitpunkt und Benutzerkennung der Anlage samt Bestätigung nach Nr. 6 Abs. 3, letzte Nutzung (auf die Stunde) und Widerruf; je Webhook die Zieladresse, die abonnierten Ereignisse, ein Geheimnis zum Signieren und der Zustand der Zustellung; je Meldung Art und Kennung des geänderten Eintrags und der Zeitpunkt.

Daten zur Website (Modul „Website“): je Vorlage, Veranstaltung oder Termin die zur Veröffentlichung bestimmten Angaben (Sichtbarkeit, Titel, Teaser, Beschreibung, Beginn, Link) und Bilder und Videos als Dateien samt Maßen, Größe und Dauer – Angaben zur Veranstaltung, keine Daten einzelner Mitarbeitender; je Zugang Name, Hash des Tokens, die ersten Zeichen, gegebenenfalls der Betrieb, Zeitpunkt und Benutzerkennung der Anlage, letzter Abruf (auf die Stunde). IP-Adressen der Besucher der Website des Verantwortlichen nur kurzzeitig im Arbeitsspeicher zur Begrenzung der Aufrufe (Anlage 1).

Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen. Merkmale sind Freitext; der Verantwortliche trägt dort keine Gesundheitsangaben, Religion oder ähnliche Daten ein, soweit dafür keine Rechtsgrundlage besteht.

4. Pflichten des Auftragsverarbeiters

1. Weisung. Er verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisung ist die Nutzung der App und der Kontofunktionen (Anlegen, Einladen, Rechte, Löschen, Support-Freigabe, API-Schlüssel – Nr. 6, Veröffentlichung von Veranstaltungen und Zugänge für die Website – Nr. 6a). Hält er eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.
2. Vertraulichkeit. Zugang zu den Daten hat allein der Auftragsverarbeiter persönlich; weitere Personen werden nur nach Verpflichtung auf die Vertraulichkeit eingesetzt.
3. Sicherheit. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
4. Unterauftragsverarbeiter. Er setzt nur die in Anlage 2 genannten Unterauftragsverarbeiter ein. Änderungen kündigt er unter shiftplaner.de/avv und per E-Mail an den Besitzer des Kontos mindestens 30 Tage vorher an; der Verantwortliche kann in dieser Frist widersprechen und das Konto löschen.
5. Betroffenenrechte. Er unterstützt den Verantwortlichen bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Anfragen Betroffener, die ihn direkt erreichen, leitet er an den Verantwortlichen weiter. Berichtigen und Löschen kann der Verantwortliche selbst in der App; eine Kopie aller Daten des Kontos stellt der Auftragsverarbeiter auf Anfrage als JSON-Datei bereit.
6. Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die E-Mail-Adresse des Kontobesitzers, mit den Angaben nach Art. 33 Abs. 3 DSGVO. Er unterstützt bei Datenschutz-Folgenabschätzung und Konsultation der Aufsichtsbehörde.
7. Löschung und Rückgabe. Mit dem Löschen des Kontos werden alle Daten sofort vom Server entfernt; in Sicherungen sind sie spätestens nach 14 Tagen nicht mehr enthalten. Einzeln gelöschte Einträge bleiben bis zu 90 Tage als „gelöscht“ markiert (damit auch nicht verbundene Geräte die Löschung übernehmen) und werden dann endgültig entfernt. Vor dem Löschen kann der Verantwortliche eine Kopie anfordern (Nr. 5).
8. Nachweise. Er stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen. Diese erfolgen in der Regel durch Auskunft und Vorlage der Unterlagen; Prüfungen vor Ort nach Ankündigung mit angemessener Frist.
9. Ort der Verarbeitung. Ausschließlich in der Europäischen Union (Rechenzentrum Frankfurt am Main). Eine Übermittlung in Drittländer findet durch den Auftragsverarbeiter nicht statt.

5. Pflichten des Verantwortlichen

Er ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage gegenüber seinen Beschäftigten, deren Information (Art. 13 DSGVO – auch über die Mitarbeiter-Links) und die Löschung nicht mehr benötigter Daten. Er vergibt Einladungen und Rechte im Konto sorgfältig und gibt Mitarbeiter-Links nur an die jeweilige Person weiter. Gibt er den Dienstplan für die Mitarbeiter-Seite frei, informiert er seine Beschäftigten, dass Kollegen desselben Betriebs dort ihre Namen und Schichten im freigegebenen Zeitraum sehen. Nutzt er die Zeiterfassung, entscheidet er über Zweck und Rechtsgrundlage (z.B. Aufzeichnungspflichten nach Arbeitszeit- oder Mindestlohngesetz), informiert seine Beschäftigten darüber, prüft Korrekturen und automatisch geschlossene Stempelungen und prüft selbst, ob die Aufzeichnung den für ihn geltenden Pflichten genügt und ob die gesetzte Aufbewahrungsfrist (Anlage 1, Löschung) zu seinen Pflichten passt.

6. Zugriff über API-Schlüssel (Integrationen)

1. Mit dem Modul „API & Integrationen“ kann der Verantwortliche API-Schlüssel erzeugen. Mit einem API-Schlüssel können Systeme, die der Verantwortliche selbst betreibt oder die Dritte für ihn betreiben („Empfänger“), Daten des Kontos im Umfang der vom Verantwortlichen gewählten Bereiche lesen und sich über Änderungen benachrichtigen lassen (Webhooks). Ändern können Empfänger nichts.
2. Erzeugung und Weitergabe eines API-Schlüssels sowie die Auswahl der Bereiche erfolgen ausschließlich auf Weisung des Verantwortlichen im Sinne von Art. 28 Abs. 3 lit. a DSGVO. Jeder Abruf mit einem gültigen API-Schlüssel gilt als Weisung des Verantwortlichen, die betreffenden Daten an den Empfänger zu übermitteln.
3. Empfänger sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Für die Auswahl des Empfängers, die Rechtsgrundlage der Übermittlung und – soweit erforderlich – den Abschluss eines Vertrags zur Auftragsverarbeitung mit dem Empfänger ist allein der Verantwortliche verantwortlich. Dies bestätigt er beim Erzeugen jedes Schlüssels; der Auftragsverarbeiter speichert Zeitpunkt, Fassung der Bestätigung und Benutzerkennung.
4. Der Verantwortliche hält API-Schlüssel geheim und widerruft sie unverzüglich, wenn sie nicht mehr benötigt werden oder Unbefugten bekannt geworden sein könnten. Der Auftragsverarbeiter speichert API-Schlüssel nur in nicht umkehrbarer Form (Hash). Endet das Modul, beantwortet der Server keine Abrufe mit API-Schlüsseln mehr und verteilt keine neuen Meldungen.

6a. Veröffentlichung von Veranstaltungen auf der Website des Verantwortlichen

1. Mit dem Modul „Website“ bestimmt der Verantwortliche, welche Veranstaltungen mit welchen Texten, Bildern und Videos öffentlich erscheinen. Der Auftragsverarbeiter stellt diese Angaben über Zugänge mit Token bereit (Feed, Kalender, Einbett-Skript, Medien); ein Zugang wird vom Verantwortlichen erzeugt, in seine Website eingebunden und von ihm widerrufen. Jeder Abruf über einen gültigen Zugang gilt als Weisung, die veröffentlichten Angaben an den Abrufenden zu übermitteln.
2. Die veröffentlichten Angaben sind Angaben zur Veranstaltung. Personenbezogene Daten der Mitarbeitenden (Namen, Schichten, Verfügbarkeiten, Stempelzeiten) werden darüber nicht bereitgestellt. Trägt der Verantwortliche in Texte, Bilder oder Videos personenbezogene Daten ein (z.B. Namen von Künstlern, Fotos von Personen), ist er für deren Veröffentlichung allein verantwortlich.
3. Für die Einbindung auf seiner Website ist der Verantwortliche als deren Betreiber verantwortlich, einschließlich der Information seiner Besucher darüber, dass Inhalte vom Server des Auftragsverarbeiters geladen werden. Der Auftragsverarbeiter verarbeitet die dabei anfallenden IP-Adressen der Besucher nur zur Beantwortung der Anfrage und zur Abwehr von Überlastung, ohne Protokollierung, Cookies oder Profile.
4. Der Auftragsverarbeiter speichert Zugangs-Tokens nur in nicht umkehrbarer Form (Hash). Endet das Modul, beantwortet der Server die Abrufe nicht mehr; Texte und Medien bleiben für den Verantwortlichen erhalten.

6b. Hosting der Website des Verantwortlichen

1. Mit dem Modul „Website“ erstellt der Verantwortliche seine Website in ShiftPlaner (Name, Design, Texte, Bilder und Videos je Betrieb, Öffnungszeiten, Kontakt, Impressum, Datenschutzerklärung, veröffentlichte Veranstaltungen); der Auftragsverarbeiter liefert sie unter einer Vorschau-Adresse und auf Weisung unter der Domain des Verantwortlichen an jedermann aus. Das Eintragen der Domain, das Veröffentlichen und das Zurücknehmen durch den Verantwortlichen gelten als Weisung.
2. Inhalt und Rechtmäßigkeit der Website (Impressum, Datenschutzerklärung, Bild-, Marken- und Persönlichkeitsrechte, Angaben zu Personen) verantwortet allein der Verantwortliche. Der Auftragsverarbeiter darf eine Website vom Netz nehmen, wenn ihr Inhalt offensichtlich rechtswidrig ist oder Dritte berechtigte Ansprüche geltend machen; er informiert den Verantwortlichen unverzüglich.
3. Beim Abruf der Website verarbeitet der Auftragsverarbeiter IP-Adressen der Besucher nur zur Auslieferung und zur Abwehr von Überlastung – ohne Protokollierung, Cookies, eingebundene Dienste Dritter oder Profile. Für die Information der Besucher ist der Verantwortliche zuständig; der Auftragsverarbeiter stellt dafür einen Mustertext bereit.
4. Zertifikate für die Domain des Verantwortlichen beantragt der Auftragsverarbeiter automatisch bei Let's Encrypt (Internet Security Research Group, USA); dabei wird nur der öffentliche Hostname übermittelt. Endet das Modul, liefert der Auftragsverarbeiter die Website nicht mehr aus; die Inhalte bleiben für den Verantwortlichen erhalten, die Zuordnung der Domain wird gelöscht.

7. Haftung, Vergütung, Schlussbestimmungen

1. Es gelten Art. 82 DSGVO und die gesetzlichen Regeln.
2. Eine gesonderte Vergütung für die Auftragsverarbeitung fällt nicht an; sie ist mit der Nutzung von ShiftPlaner bzw. den gebuchten Modulen (oder einem früher gekauften ShiftPlaner Pro) abgegolten.
3. Nebenabreden bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam; an die Stelle tritt die gesetzliche Regelung.
4. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutritt und Zugang

• Server in einem zertifizierten Rechenzentrum von Oracle in Frankfurt am Main (Zutrittskontrolle durch den Betreiber).
• Verwaltungszugang zum Server nur per SSH mit Schlüssel; die Datenbank ist nur vom Server selbst erreichbar (nicht aus dem Internet).
• Anmeldung der Nutzer über Microsoft Entra External ID mit E-Mail und Einmalcode; die App speichert das Anmelde-Token auf dem Gerät verschlüsselt (Windows DPAPI). Der Server speichert keine Passwörter.

Zugriff und Trennung

• Jedes Konto ist ein eigener Mandant; der Server filtert jede Abfrage und Änderung nach der Mandanten-Kennung aus der Anmeldung. Mitglied ist nur, wer vom Konto eingeladen wurde.
• Rollen je Mitglied (Admin, Planer, Nur lesen) und ausblendbare Bereiche (Zusammenarbeit, Vorlieben, Merkmale, Links, Zeiterfassung, Website); der Server liefert ausgeblendete Bereiche nicht aus.
• Support-Zugriff des Auftragsverarbeiters über die App nur nach Freigabe durch einen Admin des Kontos, für höchstens 7 Tage, nur lesend; jeder Zugriff wird gespeichert und allen Mitgliedern angezeigt. Der administrative Zugang zur Datenbank bleibt dem Betrieb des Servers vorbehalten (Fehlersuche, Sicherung, Wiederherstellung) und wird nicht zur Einsicht in Kundendaten genutzt.
• Mitarbeiter-Links: 256 Bit Zufall, auf dem Server nur als SHA-256-Hash gespeichert; die Seite zeigt nur die Daten des einen Mitarbeiters, dazu offene Schichten mit „Ersatz gesucht“ in seinen Betrieben und Rollen (ohne Namen), - nur wenn der Verantwortliche es freischaltet - seine Vorlieben je Event-Tag und - nur soweit der Verantwortliche ihn je Betrieb freigibt - den Dienstplan seiner Betriebe ab heute mit Namen, Rolle und Uhrzeit. Freigeben dürfen nur Mitglieder mit Schreibrecht.
• Benachrichtigungen (Web Push): nur wenn der Mitarbeiter sie auf seiner Seite selbst einschaltet. Jede Nachricht wird Ende-zu-Ende verschlüsselt (RFC 8291) und über den Push-Dienst seines Browsers zugestellt; dieser sieht nur die verschlüsselte Nachricht und eine zufällige Geräteadresse. Nachrichten nennen keine anderen Mitarbeitenden.
• Zeiterfassung: nur mit gebuchtem Modul; das Gerät des Mitarbeiters meldet nur „kommen“ bzw. „gehen“, den Zeitpunkt setzt der Server. Kein Standort, keine Fotos. Höchstens eine offene Stempelung je Mitarbeiter. Korrekturen durch Mitglieder bewahren die ursprünglich gestempelten Zeiten samt Zeitpunkt und Urheber der Korrektur; Mitglieder mit „Nur lesen“ können nichts ändern.
• Gehostete Website: Zertifikate je Hostname automatisch (On-Demand-TLS) nur für Vorschau-Adressen und per DNS geprüfte Domains; jede Website antwortet nur unter ihrem Hostnamen (Host-Routing, kein Zugriff auf Abgleich, API oder Kontofunktionen über eine Kunden-Domain); Seiten ohne Skripte und ohne Inhalte Dritter (Content-Security-Policy); kein Zugriffsprotokoll für Kunden-Domains.
• Website: Zugangs-Tokens für den Feed nur mit gebuchtem Modul und nur von Admins anzulegen und zu widerrufen; 256 Bit Zufall, auf dem Server nur als SHA-256-Hash gespeichert und nur einmal beim Anlegen angezeigt. Der Feed liefert nur die vom Verantwortlichen zur Veröffentlichung bestimmten Angaben des einen Kontos, nie Daten der Mitarbeitenden; Abrufe sind je Besucheradresse begrenzt (300 je Minute), ohne Zugriffsprotokoll und ohne Cookies. Bilder und Videos liegen in einem eigenen Ordner je Konto, nur unter zufälligen Kennungen; Dateinamen oder Pfade des Hochladenden werden nicht übernommen, die Art wird am Inhalt geprüft.
• API-Schlüssel: nur mit gebuchtem Modul, nur von Admins des Kontos anzulegen und zu widerrufen; 256 Bit Zufall, auf dem Server nur als SHA-256-Hash gespeichert und nur einmal beim Anlegen angezeigt. Ein Schlüssel liest nur die gewählten Bereiche des einen Kontos und kann nichts ändern; er gilt nur für die Schnittstelle unter /api, nicht für Abgleich oder Kontofunktionen. Abrufe je Schlüssel sind begrenzt (120 je Minute). Webhooks gehen nur an HTTPS-Adressen im öffentlichen Netz (keine internen Adressen), sind mit einem Geheimnis signiert (HMAC-SHA256) und enthalten keine Inhalte, nur Art und Kennung der Änderung.

Übertragung

• Ausschließlich HTTPS (TLS, Zertifikate von Let's Encrypt), HSTS. Die App bietet den Abgleich nur mit einer HTTPS-Adresse an und prüft Zertifikate.

Eingabe und Protokollierung

• Je Datensatz werden Benutzerkennung und Zeitpunkt von Anlage und letzter Änderung gespeichert.
• Der Server führt keine Zugriffsprotokolle mit IP-Adressen. IP-Adressen werden nur kurzzeitig im Arbeitsspeicher gezählt (Schutz vor Durchprobieren von Codes und Links). Fehlermeldungen enthalten keine Planungsdaten.

Verfügbarkeit und Wiederherstellung

• Tägliche Sicherung der Datenbank auf dem Server; Sicherungen werden nach 14 Tagen gelöscht. Vor dem Einspielen einer neuen Server-Version wird sie auf einer getrennten Testumgebung mit Testdaten geprüft.
• Die Daten liegen zusätzlich auf den Geräten des Verantwortlichen (Offline-Kopie).

Löschung

• Löschen einzelner Einträge: nach 90 Tagen endgültig; danach bleibt nur eine zufällige Kennung (2 Jahre).
• Konto löschen: sofort vollständig; Sicherungen spätestens nach 14 Tagen bereinigt.
• Konten ohne gebuchtes Modul (und ohne ShiftPlaner Pro) und ohne Zugriff seit über einem Jahr: automatische Löschung.
• Abgelaufene Einladungscodes werden täglich entfernt; Meldungen über Änderungen per Mitarbeiter-Link nach 90 Tagen.
• Website: Bilder und Videos, auf die kein Eintrag mehr verweist, werden nach einem Tag gelöscht (täglich); alle Medien und Zugänge mit dem Konto. Die Medien werden mit der Datenbank täglich gesichert (14 Tage).
• Meldungen für „Ersatz gesucht“: gelöscht, sobald der Abend vorbei ist (täglich), die Suche zurückgenommen wird oder der Mitarbeiter sie zurückzieht.
• Mitarbeiter-Links: 7 Tage nach Ablauf des Moduls „Mitarbeiter-Link“ automatisch gelöscht (täglich).
• Freigabe des Dienstplans: bis der Verantwortliche sie ändert oder zurücknimmt, mit dem Konto; der Plan selbst wird nicht zusätzlich gespeichert, sondern beim Aufruf berechnet.
• Benachrichtigungen: das Abo eines Geräts mit dem Ausschalten, mit dem Link (ersetzt, gesperrt, Ende des Moduls, Konto gelöscht) oder sobald der Push-Dienst es nicht mehr kennt; der gemerkte Stand mit dem letzten Abo, vergangene Tage täglich.
• Stempelzeiten: zwei Jahre nach dem Arbeitstag automatisch gelöscht (täglich; danach wie einzeln gelöschte Einträge nach 90 Tagen endgültig), mit dem Mitarbeiter oder vorher durch den Verantwortlichen. Stempelungen, die länger als 16 Stunden offen sind, schließt der Server mit 16 Stunden und markiert sie als „automatisch beendet“ (alle 15 Minuten).
• API-Schlüssel und Webhooks: mit dem Konto; ein widerrufener Schlüssel bleibt zur Auskunft (ohne Wirkung) in der Liste des Kontos. Meldungen über Änderungen und ihre Zustellungen: 7 Tage nach Zustellung bzw. Aufgabe (laufend geprüft).

Organisation

• Die App sendet keine Nutzungsstatistiken, es gibt keine Analyse- oder Absturzdienste Dritter.
• Getrennte Umgebungen für Test (Staging, nur Testdaten) und Betrieb.
• Geheimnisse (Datenbank-Passwort, Zugangsdaten zum Store) liegen nur auf dem Server, nicht im Quellcode.

Anlage 2: Unterauftragsverarbeiter

Mit beiden bestehen Auftragsverarbeitungsverträge (Oracle Data Processing Agreement, Microsoft Products and Services Data Protection Addendum). Der Microsoft Store (Bezahlung, Verteilung der App) handelt als eigener Verantwortlicher und ist kein Unterauftragsverarbeiter.

Benachrichtigungen an Mitarbeitende laufen über den Push-Dienst, den ihr Browser vorgibt (z.B. Google Firebase Cloud Messaging, Apple Push Notification Service, Mozilla Push Service; teils außerhalb der EU). Den Dienst wählt nicht der Auftragsverarbeiter, sondern der Browser des Mitarbeiters, der ihn beim Einschalten selbst anmeldet; übermittelt wird nur die Ende-zu-Ende verschlüsselte Nachricht an eine zufällige Geräteadresse. Diese Dienste werden daher nicht als Unterauftragsverarbeiter geführt.

Empfänger, denen der Verantwortliche einen API-Schlüssel gibt (Nr. 6), wählt der Verantwortliche selbst; sie sind keine Unterauftragsverarbeiter des Auftragsverarbeiters.

Änderungen

• 2026-10-12: Modul „Website“, gehostete Website: Hosting der Website des Verantwortlichen unter Vorschau-Adresse oder eigener Domain – neue Nr. 6b (Weisung durch Domain und Veröffentlichen, Verantwortung für Inhalte und Sperrung, Besucher-Adressen, Zertifikate über Let's Encrypt), Gegenstand und Anlage 1 ergänzt.
• 2026-10-10.2: Modul „Website“: Veranstaltungsangaben samt Bildern und Videos für die Website des Verantwortlichen über Zugänge mit Token – neue Nr. 6a (Weisung, keine Mitarbeiterdaten, Verantwortung für die Einbindung, Besucher-Adressen), Gegenstand, Zweck, Daten und Anlage 1 ergänzt.
• 2026-10-10: Modul „API & Integrationen“: lesender Abruf über API-Schlüssel und Meldungen über Änderungen (Webhooks) an Systeme, die der Verantwortliche selbst wählt – neue Nr. 6 (Weisung, keine Unterauftragsverarbeiter, Verantwortung und Bestätigung beim Erzeugen, Geheimhaltung und Widerruf); Gegenstand, Zweck, Daten, Weisung, Schutzmaßnahmen, Löschung und Anlage 2 ergänzt. Bisherige Nr. 6 wird Nr. 7.
• 2026-10-06: Modul „Zeiterfassung“: Ein- und Ausstempeln über den Mitarbeiter-Link mit Server-Zeit, Korrekturprotokoll, ausblendbarer Bereich, automatisches Schließen nach 16 Stunden, Löschung zwei Jahre nach dem Arbeitstag (Gegenstand, Zweck, Daten, Pflichten, Schutz, Löschung ergänzt). Anstellungsart und Stunden im Monat als Daten der Mitarbeitenden ergänzt. Statt ShiftPlaner Pro werden einzelne Module gebucht („Team & Geräte“, „Mitarbeiter-Link“ u.a.); ein früher gekauftes ShiftPlaner Pro gilt weiter (Gegenstand, automatische Löschung, Vergütung, Löschung der Links angepasst).
• 2026-09-30: Die Software heißt jetzt ShiftPlaner (vormals GetShifty), das Abo ShiftPlaner Pro; Anbieter, Server und Inhalte unverändert.
• 2026-09-29.6: Dienstplan als PDF-Link entfällt; stattdessen zeigt die Mitarbeiter-Seite den vom Verantwortlichen je Betrieb freigegebenen Dienstplan mit Namen (Gegenstand, Daten, Pflichten, Schutz, Löschung angepasst).
• 2026-09-29.5: Benachrichtigungen an Mitarbeitende (Web Push, wenn sie es einschalten): Zweck, Daten, Schutz, Löschung und Push-Dienste der Browser ergänzt.
• 2026-09-29.4: Vorlieben per Mitarbeiter-Link (wenn freigeschaltet); Löschung von Mitarbeiter-Links und geteilten Dienstplänen 7 Tage nach Ablauf von Pro.
• 2026-09-29.3: „Ersatz gesucht“: Mitarbeiter melden sich über ihren Link für offene Schichten (Daten, Anzeige, Löschung ergänzt).
• 2026-09-29.2: Dienstplan als PDF-Link teilen (ShiftPlaner Pro): Gegenstand, Daten, Schutzmaßnahmen und Löschfrist ergänzt.
• 2026-09-29: Änderungen bei Unterauftragsverarbeitern werden per E-Mail an den Kontobesitzer angekündigt (statt „in der App“); die Datenkopie (Nr. 4.5) wird als JSON-Datei bereitgestellt.
• 2026-09-28: Erste Fassung.

Startseite · Datenschutz · Impressum