Stand: 10.10.2026
ShiftPlaner arbeitet zunächst ausschließlich auf Ihrem Gerät: Alle Daten, die Sie eingeben, liegen in einer lokalen Datenbank, und die App sendet keine Nutzungsstatistiken. Nur wenn Sie sich in der App anmelden und ein Konto anlegen oder einem Konto beitreten, werden Ihre Planungsdaten verschlüsselt an unseren Server in Frankfurt am Main übertragen – als Sicherung und, mit dem Modul „Team & Geräte“, zum Abgleich zwischen mehreren Geräten und Personen. Ohne Konto bleibt alles auf Ihrem Gerät. Wir werten Ihre Daten nicht aus, nutzen sie nicht für Werbung und geben sie nicht weiter.
CodeTemple, Markus Menke
Klosterstraße 9, 53123 Bonn, Deutschland
Kontakt: markusmenke13@gmail.com
ShiftPlaner ist ein Werkzeug zur Planung von Veranstaltungen und Schichten. Auf Ihrem Gerät werden die Angaben gespeichert, die Sie selbst eintragen:
Die Daten liegen in einer Datenbankdatei im geschützten Anwendungsordner Ihres Windows-Benutzerkontos. Gesetzliche Feiertage berechnet die App selbst. Beim Export eines Dienstplans als PDF entsteht eine Datei an dem Ort, den Sie auswählen; was damit geschieht, liegt bei Ihnen.
Ohne Konto stellt die App keine Verbindung zu unserem Server her. Sie verlangt keine Anmeldung und liest keine Standortdaten, Kontakte, Kamera oder Mikrofon aus.
Für ein Konto melden Sie sich mit Ihrer E-Mail-Adresse und einem Einmalcode an. Die Anmeldung erfolgt über Microsoft Entra External ID (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). Dabei verarbeitet Microsoft Ihre E-Mail-Adresse und Ihren Anzeigenamen; wir erhalten diese Angaben sowie eine Benutzerkennung. Das Anmelde-Token wird verschlüsselt im Anwendungsordner gespeichert. Ergänzend gilt die Datenschutzerklärung von Microsoft. Der Anmeldedienst ist für Deutschland eingerichtet; Microsoft speichert die Anmeldedaten in Rechenzentren in Europa. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert, falls im Einzelfall (z.B. beim Support) doch Daten in die USA gelangen.
Die Übertragung erfolgt ausschließlich verschlüsselt (HTTPS). Der Server führt keine Zugriffsprotokolle mit IP-Adressen; technische Fehlermeldungen des Servers enthalten keine Inhalte Ihrer Planungsdaten. Zum Schutz vor dem Durchprobieren von Einladungscodes wird die Zahl der Versuche je Benutzer bzw. IP-Adresse kurzzeitig (10 Minuten) im Arbeitsspeicher gezählt.
Auf Ihrem Gerät protokolliert die App die Ergebnisse der Abgleiche (Zeitpunkt, Anzahl, Hinweise – darin auch Namen von Mitarbeitern, z.B. bei Doppelbelegungen – und Fehlermeldungen) in einer Datei im Anwendungsordner, ebenso die Meldungen der Glocke oben rechts. Die App überträgt diese Dateien nicht; Sie können sie uns selbst schicken (siehe „Support per E-Mail“).
Wir verarbeiten die Daten ausschließlich, um Ihre Daten zu sichern und zwischen den Geräten und Personen Ihres Kontos abzugleichen, sowie für die Verwaltung des Kontos und der gebuchten Module. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die kurzzeitige Zählung von Einladungsversuchen dient unserem berechtigten Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Der Server wird bei Oracle (Oracle Cloud Infrastructure, Rechenzentrum Frankfurt am Main, Deutschland) betrieben. Oracle ist als Auftragsverarbeiter nach Art. 28 DSGVO eingebunden; es gilt das Data Processing Agreement von Oracle. Eine Übermittlung in Länder außerhalb der EU findet durch uns nicht statt – ausgenommen verschlüsselte Benachrichtigungen an Mitarbeiter, die sie selbst einschalten (siehe „Verfügbarkeiten per Link“), und beim Buchen von Modulen im Browser die Kennung des Kontos an Paddle im Vereinigten Königreich (siehe „Module im Browser“).
Solange das Konto besteht. Ohne das Modul „Team & Geräte“ gleicht ein Konto auf einem Gerät (und im Browser) ab; endet das Modul, pausiert der Abgleich für weitere Geräte und eingeladene Personen, die Daten bleiben erhalten. Endet ein gebuchtes Modul, weil eine Zahlung scheitert oder das Abo endet, gilt er noch 7 Tage weiter; wählt der Besitzer ihn selbst ab, endet er sofort. Ausnahme: Stempelzeiten der Zeiterfassung löscht der Server zwei Jahre nach dem Arbeitstag (siehe „Zeiterfassung“). Der Server legt täglich eine Sicherung an; Sicherungen werden nach 14 Tagen gelöscht.
Konten ohne gebuchtes Modul (und ohne gültiges ShiftPlaner Pro), auf die über ein Jahr niemand zugegriffen hat (kein Abgleich eines Mitglieds, kein Aufruf eines Mitarbeiter-Links), löscht der Server automatisch mit allen Daten wie bei „Konto löschen“. Die Daten auf Ihren Geräten bleiben erhalten; die App bietet dann an, sie in ein neues Konto hochzuladen.
Der Besitzer kann das Konto in der App über das Profil oben rechts → „Konto löschen“ jederzeit löschen. Dabei werden alle Daten des Kontos, alle Mitgliedschaften und Einladungen sofort vom Server entfernt; in Sicherungen sind sie spätestens nach 14 Tagen nicht mehr enthalten. Mitglieder können ein Konto jederzeit verlassen; ihre Mitgliedschaft wird dann gelöscht. Die Daten auf Ihren Geräten bleiben erhalten, bis Sie sie dort löschen oder die App deinstallieren.
Löschen Sie in der App einzelne Einträge (z.B. einen Mitarbeiter samt seinen Verfügbarkeiten), verschwinden sie sofort aus der App und von allen Geräten des Kontos. Auf dem Server bleiben sie zunächst als „gelöscht“ markiert, damit auch Geräte, die gerade nicht verbunden sind, die Löschung übernehmen; nach 90 Tagen werden sie endgültig entfernt, in Sicherungen spätestens 14 Tage danach. Übrig bleibt nur eine zufällige Kennung ohne Inhalt, damit ein lange nicht verbundenes Gerät den Eintrag nicht wiederherstellt; auch sie wird nach zwei Jahren oder mit dem Konto gelöscht.
Bei einem Problem kann ein Admin des Kontos unter „Konto & Mitglieder“ dem ShiftPlaner-Support für 7 Tage erlauben, das Konto anzusehen (vorzeitig beendbar). Der Support sieht dann dieselben Daten wie ein Mitglied, kann aber nichts ändern. Ohne diese Freigabe hat der Support über die App keinen Zugang. Den administrativen Zugang zur Datenbank, den der Betrieb des Servers erfordert (Fehlersuche, Sicherung, Wiederherstellung), nutzen wir nicht zur Einsicht in Ihre Daten. Gespeichert werden die Freigabe (wer, wann, bis wann) und jeder Zugriff des Supports (Zeitpunkt, höchstens ein Eintrag je Stunde); die Zugriffe sehen alle Mitglieder auf der Kontoseite. Beides wird mit dem Konto gelöscht. Was der Support dabei auf seinen Rechner lädt, löscht die App beim Beenden der Ansicht. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bzw. die Vertragserfüllung (lit. b) bei Ihrer Anfrage.
Mit dem Modul „Mitarbeiter-Link“ kann der Betrieb für einzelne Mitarbeiter einen persönlichen Link erzeugen. Wer den Link öffnet, sieht im Browser den Namen des Mitarbeiters und des Kontos, seine eigenen Verfügbarkeiten (ab morgen für drei Monate) und seine eigenen kommenden Schichten (Datum, Uhrzeit, Rolle, Betrieb, Veranstaltung) und kann die Verfügbarkeiten ändern. Außerdem zeigt die Seite die geplanten Veranstaltungen seiner Betriebe (Datum, Name, Beginn) und eine Statistik seiner eigenen Einsätze der letzten drei Kalendermonate (Anzahl je Monat und je Rolle); beides wird beim Aufruf aus dem Dienstplan berechnet, nicht zusätzlich gespeichert. Daten anderer Mitarbeiter sieht er dort nur im freigegebenen Dienstplan (siehe unten). Eine Anmeldung gibt es nicht – der Link selbst ist der Zugang; bitte geben Sie ihn nur an den betreffenden Mitarbeiter weiter.
Der Server speichert dazu nur einen nicht umkehrbaren Hash des Links, wer ihn wann erzeugt hat und wann er zuletzt benutzt wurde. Damit die App den Betrieb auf Änderungen hinweisen kann, merkt sich der Server außerdem je Speichern, welcher Mitarbeiter wann welchen Zeitraum geändert hat; diese Einträge werden nach 90 Tagen gelöscht. Die Seite setzt keine Cookies und lädt nichts von Dritten nach. Sie lässt sich als App auf dem Startbildschirm ablegen; dafür hält der Browser die Seitenadresse, ein Symbol und ein kleines Skript ohne Daten (Service Worker) bereit. Tippt der Mitarbeiter bei diesem Hinweis „Nicht mehr zeigen“ oder bei der Frage nach Benachrichtigungen „Nein“, merkt sich nur sein Browser das. Arbeitet ein Mitarbeiter für mehrere Betriebe, die ShiftPlaner nutzen, und öffnet deren Links auf demselben Gerät, merkt sich sein Browser diese Links (mit dem Namen des Betriebs und seinem Namen), damit er zwischen ihnen wechseln kann und die Startseite „Ersatz gesucht“ und seine Schichten aller Betriebe zeigt. Das geschieht nur in seinem Browser; die Betriebe erfahren voneinander nichts, und der Server kennt die Links weiterhin nur als Hash. Hat er Benachrichtigungen eingeschaltet, speichert der Server die Push-Adresse seines Geräts bei jedem dieser Links; dass es dasselbe Gerät ist, werten wir nicht aus und zeigen es keinem Betrieb. Unter „Personalisieren“ kann er einen Betrieb jederzeit von seinem Gerät entfernen. Zum Schutz vor Missbrauch wird die Zahl der Aufrufe je IP-Adresse kurzzeitig (1 Minute) im Arbeitsspeicher gezählt. Der Betrieb kann den Link in der App jederzeit sperren oder durch einen neuen ersetzen; mit dem Löschen des Mitarbeiters oder des Kontos wird er ungültig. Betriebe sollten ihre Mitarbeiter über diese Möglichkeit informieren (siehe Abschnitt 7).
Vorlieben per Link: Hat der Betrieb es in der Konfiguration freigeschaltet, stellt der Mitarbeiter auf seiner Seite außerdem je Event-Tag (Art der Veranstaltung, z.B. „Techno“) ein, wie gern er dabei arbeitet: niemals, ungerne, neutral oder gerne. Das sind dieselben Angaben, die sonst der Betrieb in der App pflegt; die automatische Planung berücksichtigt sie. Gespeichert wird der Wert je Tag sowie, dass er über den Link geändert wurde, und wann; die App weist den Betrieb darauf hin.
Benachrichtigungen: Auf seiner Seite kann der Mitarbeiter Benachrichtigungen einschalten (freiwillig, mit Erlaubnis im Browser). Er erfährt dann, wenn er eingeteilt wird, eine Schicht entfällt oder sich ändert und wenn für eine Schicht, die er übernehmen könnte, Ersatz gesucht wird; Namen anderer Mitarbeiter enthalten die Nachrichten nicht. Der Server speichert dafür je Gerät und Link die Adresse beim Push-Dienst des Browsers und zwei Schlüssel sowie den zuletzt gemeldeten Stand seiner Schichten (bei Links mehrerer Betriebe auf einem Gerät nennt die Nachricht den Betrieb). Zugestellt wird über den Push-Dienst, den sein Browser vorgibt (z.B. Google, Apple oder Mozilla; diese können Server außerhalb der EU nutzen). Der Inhalt ist Ende-zu-Ende verschlüsselt (RFC 8291): der Push-Dienst sieht nur eine zufällige Geräteadresse, den Zeitpunkt und die verschlüsselte Nachricht. Das Abo endet mit dem Ausschalten, mit dem Link (ersetzt, gesperrt, Ende des Moduls) oder wenn der Push-Dienst es nicht mehr kennt. Rechtsgrundlage ist die Einwilligung des Mitarbeiters (Art. 6 Abs. 1 lit. a DSGVO), die er durch Ausschalten jederzeit widerrufen kann.
Ende des Moduls „Mitarbeiter-Link“: Endet das Modul, sind die Links nicht mehr nutzbar; 7 Tage nach dem Ablauf löscht der Server sie. Eine neue Buchung macht sie nicht wieder gültig – der Betrieb erzeugt dann neue Links.
Ersatz gesucht: Markiert der Betrieb offene Schichten als „Ersatz gesucht“, sieht ein Mitarbeiter sie ebenfalls auf seiner Seite – nur Schichten ab heute in Betrieben, für die er freigeschaltet ist, mit einer Rolle, die er dort hat (Datum, Uhrzeit, Rolle, Betrieb, Veranstaltung; keine Namen anderer Mitarbeiter). Mit „Ich kann“ meldet er sich; gespeichert wird, wer sich wann für welche Schicht gemeldet hat. Die Meldung sehen die Mitglieder des Kontos in der App; sie wird gelöscht, sobald der Abend vorbei ist, die Suche beendet wird oder der Mitarbeiter sie zurückzieht.
Dienstplan auf der Mitarbeiter-Seite: Gibt der Betrieb den Dienstplan in der App „bis“ zu einem Tag frei, sieht jeder Mitarbeiter mit Link unter „Dienstplan“ die Schichten seiner Betriebe ab heute bis zu diesem Tag – mit Datum, Uhrzeit, Rolle, Veranstaltung und den Namen der eingeteilten Kollegen, wie in einem ausgehängten Dienstplan. Gespeichert wird dafür nur das Freigabedatum je Betrieb; die Ansicht wird beim Aufruf aus dem Dienstplan berechnet. Was nach dem Datum geplant ist, bleibt unsichtbar – in Betrieben mit Freigabe auch die eigenen Schichten des Mitarbeiters. Der Betrieb kann die Freigabe jederzeit zurücknehmen. Betriebe sollten ihre Mitarbeiter darüber informieren (siehe Abschnitt 7).
Mit dem Modul „Zeiterfassung“ (setzt das Modul „Mitarbeiter-Link“ voraus) stempeln Mitarbeiter auf ihrer Mitarbeiter-Seite ein und aus. Das Handy schickt dabei nur „kommen“ bzw. „gehen“; die Uhrzeit setzt unser Server (auf die Minute). Es werden kein Standort und keine Fotos erfasst. Gespeichert wird je Stempelung: Mitarbeiter, Betrieb, gegebenenfalls die zugehörige Schicht, der Arbeitstag (wie im Dienstplan zählt Kommen vor 6 Uhr zum Vortag), Kommen und Gehen, die Herkunft (Mitarbeiter-Link, App oder vom Betrieb nachgetragen), eine freiwillige Notiz und ob der Server die Stempelung geschlossen hat, weil das Ausstempeln vergessen wurde (nach 16 Stunden). Ändert ein Mitglied des Kontos die Zeiten, bleiben die ursprünglich gestempelten Zeiten erhalten, dazu Zeitpunkt der Korrektur und wer korrigiert hat (Anmeldename bzw. Windows-Benutzername); bei nachgetragenen Einträgen wird vermerkt, wer sie nachgetragen hat. Der Mitarbeiter sieht auf seiner Seite nur seine eigenen Stempelungen des Abends.
In der App und im Browser sehen die Stempelzeiten nur Mitglieder des Kontos, denen der Bereich „Zeiterfassung“ nicht ausgeblendet ist (Konfiguration → Mitglieder & Rechte); anderen Mitgliedern liefert der Server sie nicht aus. Mitglieder mit Schreibrecht können Zeiten korrigieren, nachtragen und löschen. Die Zeiten lassen sich als CSV-Datei exportieren; was mit der Datei geschieht, liegt beim Betrieb.
Wir verarbeiten die Stempelzeiten im Auftrag des Betriebs (siehe Abschnitt 7). Der Betrieb entscheidet als Verantwortlicher, ob und wofür er die Zeiterfassung nutzt – etwa um Arbeitszeiten aufzuzeichnen und nachzuweisen (z.B. nach § 16 Abs. 2 Arbeitszeitgesetz oder nach dem Mindestlohngesetz) oder um sie abzurechnen. Als Rechtsgrundlage kommen dafür aus seiner Sicht insbesondere Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) bzw. lit. b DSGVO (Arbeitsvertrag), gegebenenfalls in Verbindung mit § 26 BDSG, in Betracht; ob die Aufzeichnung den für ihn geltenden Pflichten genügt, prüft der Betrieb selbst.
Der Server löscht Stempelzeiten automatisch zwei Jahre nach dem Arbeitstag (täglich geprüft); wie andere gelöschte Einträge bleiben sie danach noch bis zu 90 Tage als „gelöscht“ markiert und werden dann endgültig entfernt (siehe „Löschung“). Der Betrieb kann einzelne Einträge vorher löschen; mit dem Mitarbeiter werden auch seine Stempelzeiten gelöscht. Endet das Modul, ist das Stempeln nicht mehr möglich; die gespeicherten Zeiten bleiben für den Betrieb lesbar, korrigierbar und exportierbar, bis sie nach dieser Frist oder mit dem Konto gelöscht werden.
Mit dem Modul „API & Integrationen“ kann ein Admin des Kontos API-Schlüssel anlegen. Mit einem Schlüssel liest ein anderes System – etwa das Lohnbüro, ein Kassensystem oder ein eigenes Programm des Betriebs – Daten des Kontos, aber nur die Bereiche, die beim Anlegen gewählt wurden (z.B. Mitarbeiter mit Namen, Schichten, Verfügbarkeiten, Stempelzeiten); ändern kann es nichts. Das System kann sich außerdem melden lassen, dass sich etwas geändert hat (Webhooks); diese Meldungen enthalten nur Art und Kennung der Änderung, keine Inhalte.
Welches System einen Schlüssel bekommt und welche Daten es lesen darf, entscheidet allein der Betrieb als Verantwortlicher; er gibt den Schlüssel selbst weiter, und wir übermitteln die Daten auf seine Weisung an dieses System. Für die Verarbeitung dort ist der Betrieb bzw. der Betreiber des Systems verantwortlich, nicht wir. Beim Anlegen bestätigt der Admin diese Verantwortung; wir speichern, wer das wann bestätigt hat. Gespeichert werden außerdem Name, Hash und Bereiche des Schlüssels, die letzte Nutzung (auf die Stunde) und ein Widerruf, je Webhook die Zieladresse, die Ereignisse und der Zustand der Zustellung. Meldungen und Zustellungen löschen wir nach 7 Tagen, Schlüssel und Webhooks mit dem Konto; ein widerrufener Schlüssel wirkt sofort nicht mehr.
Mit dem Modul „Website“ versieht der Betrieb seine Veranstaltungen mit Titel, Texten, einem Link, einem Bild und einem Video – an der Vorlage, der Veranstaltung oder einem einzelnen Termin – und legt fest, welche davon auf seiner eigenen Website erscheinen. Diese Angaben betreffen die Veranstaltung, nicht einzelne Personen; Namen oder Schichten von Mitarbeitern gehören nicht dazu und werden nicht veröffentlicht. Bilder und Videos liegen als Dateien auf unserem Server (je Konto bis 500 MB); Texte werden wie andere Daten des Kontos abgeglichen.
Ein Admin des Kontos legt dafür einen Zugang an: eine zufällige Adresse mit Token, über die die Website des Betriebs die kommenden Termine abruft – als Feed, als Kalender oder über ein kleines Skript, das die Termine als Liste anzeigt. Wer diese Adresse kennt, kann die veröffentlichten Veranstaltungen lesen; der Betrieb entscheidet, wem er sie gibt, und kann den Zugang jederzeit widerrufen. Wir speichern vom Token nur einen Prüfwert (Hash), dazu Name, Betrieb, Zeitpunkt der Anlage, wer ihn angelegt hat und den letzten Abruf (auf die Stunde).
Besucher der Website des Betriebs: Ist das Skript oder ein Bild auf der Website eingebunden, ruft der Browser der Besucher diese Inhalte direkt von unserem Server ab. Dabei erhält unser Server die IP-Adresse des Besuchers und die üblichen technischen Angaben der Anfrage (Browser, abgerufene Adresse). Wir verarbeiten sie nur, um die Anfrage zu beantworten und Überlastung abzuwehren (Begrenzung der Aufrufe je Adresse und Minute, dafür bleibt die Adresse kurzzeitig im Arbeitsspeicher); wir führen kein Zugriffsprotokoll, setzen keine Cookies und erstellen keine Profile. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Für die Einbindung auf seiner Website ist der Betrieb als deren Betreiber verantwortlich; er nennt uns dort als Dienstleister für die Anzeige der Veranstaltungen. Ein Vorschlag für seine Datenschutzerklärung:
„Die Veranstaltungen auf dieser Seite werden von ShiftPlaner (Markus Menke, Deutschland, shiftplaner.de) bereitgestellt. Beim Laden der Seite ruft Ihr Browser die Liste, Bilder und Videos vom Server des Anbieters in Frankfurt am Main ab; dabei erhält dieser Ihre IP-Adresse, speichert sie aber nicht dauerhaft und setzt keine Cookies. Rechtsgrundlage ist unser berechtigtes Interesse an der Anzeige unserer Veranstaltungen (Art. 6 Abs. 1 lit. f DSGVO).“
Ersetzte oder nicht mehr verwendete Bilder und Videos löscht der Server nach einem Tag, alle Medien und Zugänge mit dem Konto. Endet das Modul, beantwortet der Server die Abrufe nicht mehr; Texte und Medien bleiben für den Betrieb erhalten.
Mit dem Modul „Website“ erstellt der Betrieb seine komplette Website in ShiftPlaner – Name, Design, Texte, Bilder und Videos je
Betrieb, Öffnungszeiten, Kontakt, Impressum, Datenschutzerklärung und die veröffentlichten Veranstaltungen – und wir liefern sie aus: unter
einer Vorschau-Adresse bei uns (<name>.sites.shiftplaner.de) und auf Wunsch unter seiner eigenen Domain. Die Inhalte
beschreiben den Betrieb und seine Veranstaltungen; Namen oder Schichten von Mitarbeitern gehören nicht dazu und werden nicht veröffentlicht.
Texte werden wie andere Daten des Kontos abgeglichen, Bilder und Videos liegen als Dateien auf unserem Server. Zur eigenen Domain speichern wir
den Hostnamen, das Konto sowie Ergebnis und Zeitpunkt der DNS-Prüfung; das Zertifikat für die Domain beantragt unser Server automatisch bei
Let's Encrypt (Internet Security Research Group, USA) – dabei wird nur der öffentliche Hostname übermittelt.
Besucher der Website des Betriebs: Beim Aufruf erhält unser Server die IP-Adresse des Besuchers und die üblichen technischen Angaben der Anfrage (Browser, abgerufene Adresse). Wir verarbeiten sie nur, um die Seiten auszuliefern und Überlastung abzuwehren (Begrenzung der Aufrufe je Adresse und Minute, dafür bleibt die Adresse kurzzeitig im Arbeitsspeicher); wir führen kein Zugriffsprotokoll, setzen keine Cookies, binden keine Inhalte anderer Anbieter ein und erstellen keine Profile. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Verantwortlich für die Website und ihre Inhalte ist der Betrieb als ihr Betreiber; wir sind insoweit sein Auftragsverarbeiter (AVV Nr. 6b). Er nennt uns in seiner Datenschutzerklärung als Hoster – der Assistent in ShiftPlaner bietet dafür ein Gerüst an.
Solange der Betrieb die Website nicht veröffentlicht hat oder sie vom Netz nimmt, zeigt seine Domain nur eine Hinweisseite ohne Inhalte. Endet das Modul, liefern wir die Website nicht mehr aus; die Inhalte bleiben für den Betrieb erhalten. Websites mit offensichtlich rechtswidrigen Inhalten dürfen wir vom Netz nehmen.
Die App teilt den Plan als Textnachricht: sie zeigt einen QR-Code, der WhatsApp auf dem Handy mit dem Text öffnet. Dabei geht nichts über unseren Server; für das Versenden gilt die Datenschutzerklärung von WhatsApp.
Die Web-Version ist eine weitere Oberfläche für Ihr Konto: Sie melden sich an wie in der App (siehe „Anmeldung“) und sehen dieselben Daten. Die Anwendung wird von unserem Server in Frankfurt geladen, läuft dann vollständig in Ihrem Browser und verbindet sich nur mit unserem Server (Abgleich) und mit Microsoft (Anmeldung). Dafür speichert der Browser auf Ihrem Gerät:
Diese Daten verlassen Ihr Gerät nur beim Abgleich mit unserem Server, wie in der App (und für die automatische Planung, siehe unten). Die Web-Version setzt keine Cookies, verwendet keine Tracker oder Analysedienste und lädt keine Inhalte von Dritten; für sie führt der Server kein Zugriffsprotokoll. Die Speicherung im Browser ist für die Nutzung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage der Verarbeitung ist wie beim Konto Art. 6 Abs. 1 lit. b DSGVO. Der Browser zählt nicht zur Grenze von einem Gerät ohne das Modul „Team & Geräte“.
Automatische Planung (Modul „Planungsregeln“): Auf Ihren Klick schickt die Web-Version die für die Planung nötigen Angaben des gewählten Zeitraums an unseren Server – Kennungen der Schichten und Mitarbeiter, wer jeweils in Frage kommt, Regeln und Gewichte, aber keine Namen von Mitarbeitern. Der Server berechnet die Einteilung, schickt sie zurück und speichert davon nichts.
Die Webseite wird auf demselben Server in Frankfurt ausgeliefert. Sie setzt keine Cookies, verwendet keine Tracker oder Analysedienste Dritter und lädt keine Inhalte von Dritten nach (auch das Microsoft-Store-Symbol liegt auf unserem Server). Der Server führt keine Zugriffsprotokolle mit IP-Adressen. Um zu sehen, wie oft die Seiten aufgerufen werden, protokolliert er je Seitenaufruf nur Zeitpunkt, aufgerufene Adresse (samt Angaben wie „utm_source=instagram“ aus Werbelinks), Antwortcode, Größe und Dauer – ohne IP-Adresse, ohne Browser- oder Geräteangaben und ohne die zuvor besuchte Seite. Daraus lässt sich keine Person erkennen; wir zählen nur Aufrufe je Tag. Das Protokoll wird nach 90 Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse, die Reichweite der Webseite zu messen (Art. 6 Abs. 1 lit. f DSGVO). Beim Klick auf den Link zum Microsoft Store gilt dort die Datenschutzerklärung von Microsoft. Einzige Ausnahme vom Nachladen: Die Kaufseite für die Module (shiftplaner.de/kaufen/) lädt das Bezahlfenster von Paddle (siehe „Module im Browser“).
„Problem melden“ und „Support kontaktieren“ (Einstellungen → Support, Profil-Menü) öffnen Ihr eigenes E-Mail-Programm mit einer Nachricht an support@shiftplaner.de; die App selbst sendet nichts. Die Nachricht enthält bereits App- und Windows-Version, Server, Name und Kennung des Kontos, Ihre Rolle und die gebuchten Module – Sie sehen und ändern sie vor dem Senden. Bei „Problem melden“ kann die App zusätzlich eine Diagnose-Datei auf Ihrem Desktop speichern: Abgleich-Protokoll, Meldungen der App (darin können Namen von Mitarbeitern stehen), dieselben Angaben zur Umgebung und die Namen der App-Einstellungen – keine Dienstpläne, keine Anmeldedaten. Ob Sie sie anhängen, entscheiden Sie. Wir nutzen Ihre Nachricht nur, um die Anfrage zu bearbeiten, und löschen sie nach Erledigung, spätestens nach 3 Jahren. Das Postfach liegt bei Google. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfrage zur Nutzung) bzw. lit. f (sonstige Anfragen).
Kostenlos sind die App und ein Konto mit Sicherung auf dem Server für einen PC (und den Browser), bis zu 30 Mitarbeiter und ein Betrieb. Darüber hinaus bucht der Besitzer eines Kontos monatlich einzelne Module – „Mitarbeiter-Link“, „Team & Geräte“, „Planungsregeln“, „Zeiterfassung“, „API & Integrationen“ und „Website“ – sowie bei mehr Mitarbeitern oder mehreren Betrieben einen größeren Tarif (31–60, 61–120 oder 121–250 Mitarbeiter). Gebucht wird ausschließlich im Browser (app.shiftplaner.de → „Store“) über Paddle (siehe unten).
Die App wird über den Microsoft Store bereitgestellt. Für Download, Updates sowie gegebenenfalls Absturz- und Diagnosedaten von Windows ist Microsoft verantwortlich; es gilt die Datenschutzerklärung von Microsoft. Wer früher ShiftPlaner Pro über den Microsoft Store gekauft hat, behält es; es zählt als „alle Module“. Zahlungsdaten erhalten wir dabei nicht. Damit der Server weiß, ob ein solcher Kauf gilt, übermittelt die App des Kontobesitzers einen vom Microsoft Store ausgestellten Nachweis; der Server fragt damit beim Microsoft Store nach, ob und bis wann ShiftPlaner Pro gültig ist, und speichert nur dieses Datum.
Im Browser (app.shiftplaner.de → „Store“) bucht der Besitzer eines Kontos die Module direkt. Verkäufer ist dann Paddle.com Market Ltd. (London, Vereinigtes Königreich) als Händler („Merchant of Record“): Paddle wickelt Bezahlung, Rechnung und Umsatzsteuer ab und ist dafür selbst verantwortlich; es gilt die Datenschutzerklärung von Paddle. Ihre Zahlungs- und Rechnungsdaten (z.B. Name, E-Mail-Adresse, Anschrift, Zahlungsart, USt-IdNr.) geben Sie direkt bei Paddle ein; wir erhalten sie nicht. Um den Kauf vorzubereiten, übermittelt unser Server an Paddle nur die Kennung Ihres Kontos und die gewählten Module bzw. Tarife (Preise). Ändern Sie die Buchung, schickt der Server Paddle die neue Liste; wählen Sie alles ab, kündigt er das Abo bei Paddle zum Ende des Abrechnungszeitraums. Paddle meldet uns jeweils den Stand des Abos: Kennung von Kunde und Abo bei Paddle, Status, Laufzeit, bezahlt bis, gegebenenfalls gekündigt zum sowie die enthaltenen Module und Tarife. Der Server speichert diese Angaben (je Modul bzw. Tarif die Preiskennung bei Paddle, den Status und bis wann er gilt), solange das Konto besteht, und löscht sie mit dem Konto. Für das Bezahlfenster lädt die Kaufseite shiftplaner.de/kaufen/ das Skript Paddle.js von Paddle; dabei erhält Paddle technisch bedingt Ihre IP-Adresse und Angaben zum Browser. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.
Wenn Sie mit ShiftPlaner Daten realer Beschäftigter verarbeiten (z.B. Namen, Verfügbarkeiten, Einteilungen, Kennzeichen und Bewertungen der Zusammenarbeit), sind Sie für diese Verarbeitung datenschutzrechtlich verantwortlich, etwa für die Information der Beschäftigten und die Löschung nicht mehr benötigter Daten. Bitte tragen Sie als Kennzeichen keine besonderen Kategorien personenbezogener Daten ein (z.B. Gesundheitsangaben), soweit dafür keine Rechtsgrundlage besteht. Nutzen Sie die Zeiterfassung, informieren Sie Ihre Beschäftigten auch darüber (Art. 13 DSGVO) und prüfen Sie, ob weitere Pflichten bestehen, z.B. die Beteiligung eines Betriebsrats.
Nutzen Sie ein Konto, verarbeiten wir diese Daten in Ihrem Auftrag. Dafür gilt unser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, den der Besitzer beim Anlegen des Kontos in der App bestätigt; Zeitpunkt und Fassung der Bestätigung speichern wir am Konto. Datenschutzerklärung und Vertrag sind in der App unter Einstellungen → Datenschutz verlinkt.
Soweit wir personenbezogene Daten über Sie verarbeiten (bei Nutzung eines Kontos), haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch (Art. 15–21 DSGVO). Wenden Sie sich dazu an die oben genannte Adresse. Ist ein Konto betrieblich genutzt, richten Beschäftigte ihre Anfragen zunächst an den Betrieb, der das Konto führt. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.
Änderungen dieser Erklärung werden an dieser Stelle veröffentlicht.
Last updated: 10 October 2026
ShiftPlaner works entirely on your device by default: everything you enter is stored in a local database, and the app sends no usage statistics. Only if you sign in and create or join an account is your planning data transmitted, encrypted, to our server in Frankfurt am Main, Germany – as a backup and, with the module „Team & Geräte“ (team and devices), to synchronise between several devices and people. Without an account, everything stays on your device. We do not analyse your data, use it for advertising or share it.
CodeTemple, Markus Menke, Klosterstraße 9, 53123 Bonn, Germany — markusmenke13@gmail.com
The app stores only what you enter: employees (name, display colour, assigned roles, venues and attributes), roles, venues and attributes, availability, collaboration ratings (-2 to +2 per pair), preferences and limits (e.g. "at most 8 shifts per month"), employment (type – permanent or casual – and target or maximum hours per month), events, templates and staffing rules, shifts (date, start time, role, assigned employee), clocked times (clock-in and clock-out per working day with venue, shift, note and corrections; clocking requires an account and the module „Zeiterfassung“, see below) and settings (e.g. colour scheme). The data is kept in a database file inside your Windows user account's protected application folder. Public holidays are calculated by the app. PDF exports are written to the location you choose.
Without an account the app does not connect to our server, requires no sign-in and reads no location, contacts, camera or microphone.
Sign-in: with your e-mail address and a one-time code via Microsoft Entra External ID (Microsoft Ireland Operations Ltd., Dublin, Ireland). Microsoft processes your e-mail address and display name; we receive these and a user identifier. The sign-in token is stored encrypted in the app folder. Microsoft's privacy statement also applies. The sign-in service is set up for Germany; Microsoft stores the sign-in data in data centres in Europe. Microsoft is certified under the EU-US Data Privacy Framework should data reach the USA in individual cases (e.g. support).
Stored on the server: all planning data of the account (not the device settings); the account's name, creation time, which modules and employee packages are booked and until when they (or a ShiftPlaner Pro bought earlier) are valid, and when and which version of the privacy policy and data processing agreement the owner accepted; for each person in the account their user identifier, e-mail address, display name, whether they are the owner, their rights (admin, planner or read-only and which areas are hidden from them) and join time – all members of an account can see the other members' e-mail addresses and display names; invitation codes with expiry and who redeemed them (expired invitations are deleted daily); for the owner's most recently active device a randomly generated device identifier and the computer name (e.g. "OFFICE-PC"), to enforce "one device without the module Team & Geräte" and to show other devices where synchronisation currently happens. For testers to whom we grant ShiftPlaner Pro (all modules) without a purchase: the e-mail address and until when the grant applies. Only for modules booked in the browser: Paddle's customer and subscription IDs, status, billing interval, paid until and cancelled as of, plus for each booked module or employee package Paddle's price ID, its status and until when it applies (see "Modules in the browser").
Transfers are always encrypted (HTTPS). The server keeps no access logs with IP addresses; technical error messages contain no planning data. To prevent guessing invitation codes, attempts per user or IP address are counted in memory for 10 minutes. On your device the app logs sync results (time, counts, hints – which may include employee names, e.g. for double bookings – and error messages) in a file inside the app folder, as well as the notifications shown under the bell icon; the app does not transmit these files; you can send them to us yourself (see "Support by e-mail").
Purpose and legal basis: backing up and synchronising your data between the devices and people of your account, and managing the account and the booked modules – performance of the contract (Art. 6(1)(b) GDPR). The short-term counting of invitation attempts serves our legitimate interest in secure operation (Art. 6(1)(f) GDPR).
Location: the server runs at Oracle (Oracle Cloud Infrastructure, Frankfurt am Main data centre, Germany), engaged as processor under Art. 28 GDPR under Oracle's Data Processing Agreement. We do not transfer data outside the EU – except encrypted notifications to employees who turn them on themselves (see "Availability by link") and, when modules are booked in the browser, the account ID to Paddle in the United Kingdom (see "Modules in the browser").
Retention: as long as the account exists. Without the module „Team & Geräte“ an account synchronises on one device (plus the browser); if the module ends, synchronisation pauses for additional devices and invited people while the data is kept. If a booked module ends because a payment fails or the subscription ends, it keeps working for 7 more days; if the owner deselects it, it ends immediately. Exception: the server deletes clocked times two years after the working day (see "Time tracking"). The server makes a daily backup; backups are deleted after 14 days. Accounts without a booked module (and without a valid ShiftPlaner Pro) that nobody has accessed for more than a year (no synchronisation by a member, no use of an employee link) are deleted automatically with all their data, as with „Konto löschen“; data on your devices remains and can be uploaded to a new account.
Deletion: the owner can delete the account at any time in the app (profile menu at the top right → „Konto löschen“ / "Delete account"). All data of the account, memberships and invitations are removed from the server immediately and are no longer contained in backups after 14 days at the latest. Members can leave an account at any time. Data on your devices remains until you delete it there or uninstall the app. Individual entries you delete in the app (e.g. an employee with their availability) disappear from the app and all devices of the account right away; on the server they are first kept marked as "deleted" so that devices currently offline also apply the deletion, and are removed for good after 90 days (from backups 14 days later at the latest). Only a random identifier without content remains so that a device that was offline for a long time does not restore the entry; it is deleted after two years or with the account.
Availability by link (module „Mitarbeiter-Link“): with this module the business can create a personal link for individual employees. Whoever opens it sees in the browser the employee's and the account's name, the employee's own availability (from tomorrow for three months) and own upcoming shifts, and can change the availability. The page also shows the planned events of the employee's businesses (date, name, start) and statistics of the employee's own shifts in the last three calendar months (count per month and per role); both are computed from the schedule when the page is opened, not stored separately. Other employees' data is shown only in the released schedule (see below). There is no sign-in – the link itself is the access, so it should only be given to that employee. The server stores only an irreversible hash of the link, who created it and when, and when it was last used. So the app can point out changes to the business, it also records per save which employee changed which period and when; these entries are deleted after 90 days. The page sets no cookies and loads no third-party content. It can be added to the home screen as an app; for that the browser keeps the page address, an icon and a small script without data (service worker). If the employee taps "don't show again" on that hint or "no" to notifications, only their browser remembers it. If an employee works for several businesses that use ShiftPlaner and opens their links on the same device, their browser remembers these links (with the business name and their own name) so they can switch between them and the start page shows "replacement wanted" and their shifts from all businesses. This happens only in their browser; the businesses learn nothing about each other, and the server still knows the links only as a hash. With notifications turned on, the server stores the push address of the device with each of these links; we do not evaluate that it is the same device and show it to no business. Under "Personalisieren" they can remove a business from their device at any time. To prevent abuse, requests per IP address are counted in memory for one minute. The business can revoke or replace the link in the app at any time; it becomes invalid when the employee or the account is deleted.
Preferences by link: if the business enables it in its configuration, the employee also sets on their page, per event tag (kind of event, e.g. "Techno"), how much they like working there: never, dislike, neutral or like – the same information the business otherwise maintains in the app; automatic planning takes it into account. The server stores the value per tag and that and when it was changed via the link; the app notifies the business.
Notifications: on their page the employee can turn on notifications (voluntary, with permission in the browser). They are then told when they are scheduled, when a shift is removed or changed and when a replacement is wanted for a shift they could take; messages contain no names of other employees. For this the server stores, per device, the address at the browser's push service and two keys, plus the last reported state of the employee's shifts. Delivery goes through the push service the browser uses (e.g. Google, Apple or Mozilla; these may use servers outside the EU). The content is end-to-end encrypted (RFC 8291): the push service only sees a random device address, the time and the encrypted message. The subscription ends when turned off, with the link (replaced, revoked, end of the module) or when the push service no longer knows it. Legal basis is the employee's consent (Art. 6(1)(a) GDPR), which they can withdraw at any time by turning it off.
End of the module „Mitarbeiter-Link“: when the module ends, the links stop working; 7 days after it expired the server deletes them. Booking it again does not revive them – the business creates new links.
Replacement wanted: if the business marks open shifts as "replacement wanted", an employee also sees them on their page – only shifts from today on, in businesses the employee is enabled for and with a role they have there (date, time, role, business, event; no names of other employees). With "I can" they volunteer; the server stores who volunteered for which shift and when. The account's members see this in the app; it is deleted once the evening is over, the search is cancelled or the employee withdraws.
Schedule on the employee page: if the business releases the schedule in the app "up to" a day, every employee with a link sees under "Dienstplan" the shifts of their businesses from today up to that day – with date, time, role, event and the names of the scheduled colleagues, like a posted schedule. Only the release date per business is stored; the view is computed from the schedule when the page is opened. Anything planned after that date stays invisible – in businesses with a release also the employee's own shifts. The business can withdraw the release at any time and should inform its employees (see section 7).
Time tracking (module „Zeiterfassung“): with this module (requires the module „Mitarbeiter-Link“) employees clock in and out on their employee page. The phone only sends "in" or "out"; our server sets the time (to the minute). No location and no photos are recorded. Stored per entry: employee, venue, the related shift if any, the working day (as in the schedule, clocking in before 6 a.m. counts towards the previous day), clock-in and clock-out, the source (employee link, app or added by the business), an optional note and whether the server closed the entry because clocking out was forgotten (after 16 hours). If a member of the account changes the times, the originally clocked times are kept, together with when and by whom they were corrected (sign-in name or Windows user name); for entries added afterwards it is recorded who added them. On their page the employee only sees their own entries of the evening. In the app and the browser only members for whom the area „Zeiterfassung“ is not hidden (configuration → members & rights) see the clocked times; the server does not deliver them to other members. Members with write access can correct, add and delete times; the times can be exported as a CSV file, and what happens to that file is up to the business.
We process the clocked times on behalf of the business (see section 7). As the controller, the business decides whether and for what purpose it uses time tracking – e.g. to record and prove working hours (such as under Section 16(2) of the German Working Hours Act or the Minimum Wage Act) or for payroll. From its point of view, possible legal bases are in particular Art. 6(1)(c) GDPR (legal obligation) or (b) (employment contract), where applicable in conjunction with Section 26 BDSG; the business itself checks whether the records meet the obligations that apply to it. The server deletes clocked times automatically two years after the working day (checked daily); like other deleted entries they then stay marked as "deleted" for up to 90 days before being removed for good. The business can delete individual entries earlier; deleting an employee also deletes their clocked times. When the module ends, clocking is no longer possible; stored times remain readable, correctable and exportable for the business until they are deleted after this period or with the account.
Connecting other systems (module „API & Integrationen“): with this module an admin of the account can create API keys. With a key another system – such as the payroll office, a point-of-sale system or the business's own software – reads data of the account, but only the areas chosen when the key was created (e.g. employees with names, shifts, availability, time entries); it cannot change anything. The system can also be notified that something has changed (webhooks); these notifications contain only the type and identifier of the change, no content. Which system receives a key and which data it may read is decided solely by the business as controller; it passes the key on itself, and we transmit the data to that system on its instructions. The business or the operator of that system, not we, is responsible for the processing there. When creating a key the admin confirms this responsibility; we store who confirmed it and when. We also store the key's name, hash and areas, its last use (to the hour) and any revocation, and for each webhook the target address, the events and the delivery status. Notifications and deliveries are deleted after 7 days, keys and webhooks with the account; a revoked key stops working immediately.
Events on the business's own website (module „Website“): with this module the business adds a title, texts, a link, an image and a video to its events – on the template, the event or a single date – and decides which of them appear on its own website. These details describe the event, not individual people; employee names or shifts are not part of it and are never published. Images and videos are stored as files on our server (up to 500 MB per account); texts are synchronised like other account data. An admin creates an access: a random address with a token through which the business's website fetches the upcoming dates – as a feed, a calendar or via a small script that renders them as a list. Anyone who knows the address can read the published events; the business decides whom it gives it to and can revoke it at any time. We store only a hash of the token, its name, organisation, creation time, creator and last use (to the hour). When the script or an image is embedded, the visitor's browser fetches these contents directly from our server, which thereby receives the visitor's IP address and the usual technical request data; we use them only to answer the request and to prevent overload (rate limit per address and minute, the address stays briefly in memory), keep no access log, set no cookies and build no profiles (Art. 6 (1) (f) GDPR). The business is responsible for the embedding on its website and names us there as the provider of the event listing. Replaced or unused images and videos are deleted after one day, all media and accesses with the account; when the module ends the server stops answering, texts and media remain for the business.
The business's own website (module „Website“, hosted website): with this module the business builds its complete
website in ShiftPlaner (name, design, texts, images and videos per organisation, opening hours, contact, imprint, privacy policy, the published
events) and we serve it under a preview address with us (<name>.sites.shiftplaner.de) and, on request, under the business's own
domain. The contents describe the business and its events, never employees. For the business's own domain we store the host name, the account
and the result and time of the DNS check; the certificate is requested automatically from Let's Encrypt (Internet Security Research Group, USA),
which only receives the public host name. When a visitor opens the website, our server receives the visitor's IP address and the usual technical
details of the request; we use them only to serve the pages and to prevent overload, keep no access log, set no cookies, embed no third-party
content and build no profiles (Art. 6 (1) (f) GDPR). The business is the operator of its website and responsible for its contents; we act as
its processor (DPA no. 6b). Until the business publishes the website, or after it takes it offline, its domain shows only a notice page; when
the module ends we stop serving the website and the contents remain with the business. We may take a website offline if its contents are
manifestly unlawful.
Sharing the schedule: the app shares the schedule as a text message via a QR code that opens WhatsApp on the phone – nothing passes through our server; WhatsApp's privacy policy applies to sending it.
Support access: an admin of the account can allow the ShiftPlaner support to view the account for 7 days (under „Konto & Mitglieder“, revocable at any time). The support then sees the same data as a member but cannot change anything; without this permission it has no access through the app. The administrative database access needed to run the server (troubleshooting, backup, restore) is not used to look at your data. The permission and each access (time, at most one entry per hour) are stored, shown to all members and deleted with the account.
The web version is another way to use your account: you sign in as in the app (see "Sign-in") and see the same data. The application is loaded from our server in Frankfurt, then runs entirely in your browser and connects only to our server (synchronisation) and to Microsoft (sign-in). For this, the browser stores on your device:
This data leaves your device only when synchronising with our server, as in the app (and for automatic planning, see below). The web version sets no cookies, uses no trackers or analytics and loads no third-party content; the server keeps no access log for it. Storing this data in the browser is strictly necessary to use the service (Section 25(2) No. 2 TDDDG); the legal basis for processing is, as for the account, Art. 6(1)(b) GDPR. The browser does not count towards the one-device limit without the module „Team & Geräte“.
Automatic planning (module „Planungsregeln“): when you click it, the web version sends the information needed for planning the chosen period to our server – IDs of shifts and employees, who is eligible for each shift, rules and weights, but no employee names. The server calculates the assignment, sends it back and stores none of it.
The website is served from the same server in Frankfurt. It sets no cookies, uses no third-party trackers or analytics and loads no third-party content (the Microsoft Store badge is hosted on our server as well). The server keeps no access logs with IP addresses. To see how often the pages are viewed, it records per page view only the time, the requested address (including parameters such as "utm_source=instagram" from ad links), status code, size and duration – no IP address, no browser or device details and no referring page. No person can be identified from this; we only count views per day. The log is deleted after 90 days. Legal basis is our legitimate interest in measuring the website's reach (Art. 6(1)(f) GDPR). When you follow the link to the Microsoft Store, Microsoft's privacy statement applies there. The only exception to loading third-party content: the purchase page for the modules (shiftplaner.de/kaufen/) loads Paddle's checkout window (see "Modules in the browser").
"Problem melden" and "Support kontaktieren" (Settings → Support, profile menu) open your own e-mail program with a message to support@shiftplaner.de; the app itself sends nothing. The message already contains app and Windows version, server, account name and ID, your role and the booked modules – you see and can edit it before sending. For "Problem melden" the app can also save a diagnostics file on your desktop: sync log, the app's notices (which may contain employee names), the same environment details and the names of the app settings – no schedules, no sign-in data. You decide whether to attach it. We use your message only to handle the request and delete it once resolved, at the latest after 3 years. The mailbox is hosted by Google. Legal basis: Art. 6(1)(b) GDPR (requests about using the app) or (f) (other requests).
Free of charge are the app and an account with server backup for one PC (plus the browser), up to 30 employees and one venue. Beyond that, the account owner books individual modules („Module“) per month – „Mitarbeiter-Link“ (employee link), „Team & Geräte“ (team and devices), „Planungsregeln“ (planning rules), „Zeiterfassung“ (time tracking), „API & Integrationen“ (API and integrations) and „Website“ – and, for more employees, an employee package (31–60, 61–120 or 121–250 employees). Bookings are made only in the browser (app.shiftplaner.de → „Store“) through Paddle (see below).
The app is distributed through the Microsoft Store. Microsoft is responsible for downloads, updates and any crash or diagnostic data collected by Windows; Microsoft's privacy statement applies. Anyone who bought ShiftPlaner Pro through the Microsoft Store earlier keeps it; it counts as "all modules". We receive no payment data for it. To know whether such a purchase is valid, the account owner's app passes a proof issued by the Microsoft Store to our server, which asks the Microsoft Store whether and until when ShiftPlaner Pro is valid and stores only that date.
In the browser (app.shiftplaner.de → „Store“) the owner of an account books the modules directly. The seller is then Paddle.com Market Ltd. (London, United Kingdom) as merchant of record: Paddle handles payment, invoicing and VAT and is responsible for this itself; Paddle's privacy policy applies. You enter your payment and billing details (e.g. name, e-mail address, address, payment method, VAT ID) directly with Paddle; we do not receive them. To prepare the purchase, our server sends Paddle only your account's ID and the chosen modules or packages (prices). If you change the booking, the server sends Paddle the new list; if you deselect everything, it cancels the subscription with Paddle at the end of the billing period. Paddle reports the state of the subscription to us each time: Paddle's customer and subscription IDs, status, billing interval, paid until, cancelled as of if applicable, and the modules and packages included. The server keeps this (for each module or package Paddle's price ID, its status and until when it applies) as long as the account exists and deletes it with the account. For the checkout window the purchase page shiftplaner.de/kaufen/ loads Paddle's script Paddle.js; for technical reasons Paddle receives your IP address and browser details. Legal basis is the performance of the contract (Art. 6(1)(b) GDPR). An adequacy decision of the EU Commission exists for the United Kingdom.
If you process data about real employees with ShiftPlaner, you are the controller for that processing, including informing the employees and deleting data that is no longer needed. Please do not enter special categories of personal data (e.g. health information) as attributes unless you have a legal basis for it. If you use time tracking, inform your employees about it as well (Art. 13 GDPR) and check whether further obligations apply, e.g. involving a works council. When you use an account, we process this data on your behalf under our data processing agreement under Art. 28 GDPR (German), which the owner accepts when creating the account; we store the time and version of that acceptance. Both documents are linked in the app under Einstellungen → Datenschutz.
Where we process personal data about you (when using an account), you have the right of access, rectification, erasure, restriction of processing, data portability and objection (Art. 15–21 GDPR). Contact us at the address above. For accounts used by a business, employees should first contact the business that runs the account. You also have the right to lodge a complaint with a data protection supervisory authority; the authority responsible for us is the LDI NRW (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Düsseldorf, www.ldi.nrw.de).
Changes to this policy will be published here.