Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) sowie sonstiger datenschutzrechtlicher Bestimmungen ist:
Helm Webmanufaktur
Inhaber: Alexander Helm
Rosa-Luxemburg-Straße 18
08280 Aue
Deutschland
Telefon: +49 1567 9827662
E-Mail: kontakt@helm-webmanufaktur.de
Internet: https://helm-webmanufaktur.de

2. Datenschutzkontakt

Für datenschutzrechtliche Anfragen, Auskunftsersuchen und zur Geltendmachung deiner Betroffenenrechte kannst du dich jederzeit direkt an uns wenden:
Helm Webmanufaktur
E-Mail: kontakt@helm-webmanufaktur.de

3. Verarbeitete personenbezogene Daten

3.1 Benutzerkonten

Die App erfasst zur Registrierung und Verwaltung des Benutzerkontos folgende Daten:

• E-Mail-Adresse
• Anzeigename
• Vorname und Nachname (optional)
• Profilbild (optional, lokal hochgeladen)
• Berufliche Rolle / Berufsbezeichnung (optional, z. B. „Pflegefachkraft")
• Kalender-Kürzel (z. B. „PF" für schnelle Erkennung im Plan)
• Spracheinstellung
• Zeitzone

Bewusst NICHT erfasst: Privatadresse, Geburtsdatum, Personalnummer, Telefonnummer, Gesundheitsdaten, Krankheitsgründe, Diagnosen, Patientendaten oder andere besondere Kategorien personenbezogener Daten.

3.2 Dienstplandaten

Wenn du Schichten einträgst oder verwaltest, werden folgende Daten gespeichert:

• Schichtdatum und Uhrzeit (Start und Ende)
• Schichttyp (z. B. Frühschicht, Nachtschicht) – gekennzeichnet durch Vorlagen
• Schichtort / Station (optional)
• Pausendauer
• Status der Schicht (geplant, bestätigt, abgelehnt)
• Private Notiz (max. 280 Zeichen) – nur für dich selbst sichtbar, keine Gesundheitsinformationen zulässig

3.3 Abwesenheiten

Für Abwesenheiten werden folgende neutrale Kategorien angeboten (keine medizinischen Gründe):

• Urlaub
• Frei
• Nicht verfügbar
• Abwesend

3.4 Anmeldung und Registrierung über Google (Google OAuth)

Wir bieten dir die Möglichkeit, dich schnell und unkompliziert mit deinem Google-Konto bei unserer Plattform anzumelden und zu registrieren (Single Sign-On). Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Wenn du dich für die Anmeldung mit Google entscheidest, wirst du zu Google weitergeleitet. Dabei werden ausschließlich die für die Authentifizierung erforderlichen Basisdaten übertragen:

• Eindeutige Google-Nutzer-ID
• E-Mail-Adresse (von Google verifiziert)
• Name / Anzeigename
• Profilbild (sofern bei Google hinterlegt)

Wir fordern keine weitergehenden Berechtigungen für dein Google-Konto an. Der Vorgang erfolgt rein serverseitig; es werden keine Tracking-Skripte von Google auf deinem Endgerät ausgeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen) sowie unser berechtigtes Interesse an einem nutzerfreundlichen Anmeldeverfahren gemäß Art. 6 Abs. 1 lit. f DSGVO.

3.4 Gruppenmitgliedschaften

Die App speichert:

• Zugehörigkeit zu Gruppen / Stationen
• Rolle innerhalb der Gruppe (Mitglied, Administrator)
• Beitrittsdatum
• Sichtbarkeitseinstellungen (wer sieht deinen Plan)

3.5 Tauschanfragen

Bei Schichttausch werden gespeichert:

• Schichten der beteiligten Personen
• Status des Tauschs (offen, akzeptiert, bestätigt, abgelehnt)
• Optionale Notiz zum Tauschangebot (max. 200 Zeichen)
• Zeitstempel von Anfrage und Annahme

3.6 Benachrichtigungen

Die App speichert:

• Benachrichtigungstyp (z. B. Neue Einladung, Tauschanfrage, Schichtänderung)
• Kurztitel und Nachrichtentext (bewusst ohne Dienstplandetails)
• Lesestatus
• Zeitstempel

Datenschutzfreundliches Design: Benachrichtigungen enthalten auf dem Sperrbildschirm keine sensiblen Dienstplandetails wie Namen, Stationen oder genaue Schichtzeiten.

3.7 Sitzungen und Authentifizierung

Die App speichert:

• Sitzungs-Token (gehashed, nicht im Klartext)
• Gerätelabel für die Sitzungsverwaltung (gekürzte Device-Info, keine eindeutige ID)
• Sitzungsbeginn und letzte Aktivität
• Ablauf- und Sperrzeit der Sitzung

Passwörter werden mit scrypt (moderne Hashfunktion) gespeichert, nicht im Klartext.

3.8 Audit-Protokolle

Die App protokolliert sicherheitsrelevante Ereignisse (z. B. Anmeldung, Rollenänderung, Löschanfragen). Diese Logs enthalten:

• Eventtyp
• Akteur (Benutzer-ID)
• Zeitstempel
• Betroffenes Objekt (ohne Dienstplandetails)

Keine Schichtinhalte in den Logs.

3.9 Lokale Speicherung (Service Worker Cache)

Der Service Worker speichert im Browser-Cache:

• Die zuletzt angesehene Kalenderansicht (zum Offline-Funktionieren)
• Statische App-Inhalte (HTML, CSS, Icons)
• API-Antworte vom letzten Laden

Wichtig: Der lokale Cache enthält KEINE dauerhaft gespeicherten Dienstplandaten über die aktuelle Sitzung hinaus. Bei Abmeldung wird der Cache gelöscht.

3.10 Webanalyse und Nutzungsmetriken (Vercel Web Analytics)

Zur bedarfsgerechten Optimierung, Sicherstellung der Systemstabilität und statistischen Auswertung der Nutzung binden wir den Dienst Vercel Web Analytics ein, bereitgestellt von:

Vercel Inc.
440 N Barranca Ave #4133
Covina, CA 91723, USA

Erfasste Nutzungsmetadaten:

• Aufgerufene URL / Pfad (z. B. /plan, /agb)
• Referrer-URL (zuvor besuchte Seite)
• Browsertyp und Browserversion
• Betriebssystem und Gerätetyp
• Bildschirmauflösung
• Ungefähre geografische Herkunft (abgeleitet auf Länder- bzw. Regionsebene, keine genaue Standortbestimmung)

Cookielose Funktionsweise: Vercel Web Analytics arbeitet vollständig cookielos. Es werden weder Tracking-Cookies auf deinem Endgerät gespeichert noch Daten im LocalStorage oder SessionStorage zu Tracking-Zwecken abgelegt. Es werden keine persistenten Gerätekennungen (Device Fingerprints) erzeugt und kein geräte- oder sitzungsübergreifendes Profiling durchgeführt.

Anonymisierung und IP-Verwerfung: Eingehende IP-Adressen werden unmittelbar nach dem Eintreffen auf den Servern von Vercel verworfen bzw. kryptografisch in täglich rotierende, nicht umkehrbare Hashwerte umgewandelt. Dies ermöglicht ausschließlich die Zählung eindeutiger Besucher und Seitenaufrufe innerhalb eines Kalendertags, ohne dass Rückschlüsse auf eine konkrete Person möglich sind (keine Speicherung von personenbezogenen Identifikatoren / PII).

Strikte Trennung von Dienstplaninhalten: Es besteht eine strikte technische Trennung zwischen der Anwendungslogik und den Telemetriedaten. Dienstplandaten, Schichtzeiten, Kalendereinträge, Gruppennamen, Stationen, Benutzernamen oder private Notizen werden unter keinen Umständen an Vercel Web Analytics übertragen.

Widerspruchsmöglichkeit (Do Not Track / GPC): Du kannst der statistischen Erfassung durch Vercel Web Analytics jederzeit widersprechen, indem du in deinem Browser die Einstellung „Do Not Track“ (DNT) oder das „Global Privacy Control“ (GPC)-Signal aktivierst. Vercel Web Analytics respektiert diese Signale und unterbindet in diesem Fall die Zählung.

4. Verarbeitungszwecke und Rechtsgrundlagen

4.1 Grundlegende Funktionen

Zweck: Bereitstellung und Verwaltung der App, Benutzerauthentifizierung, Dienstplanverwaltung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags bzw. Durchführung vorvertraglicher Maßnahmen) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Bereitstellung einer sicheren, nutzbaren App).

4.2 Sicherheit und Compliance

Zweck: Sicherheit des Systems, Schutz vor Missbrauch, Einhaltung gesetzlicher Anforderungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

4.3 Benachrichtigungen (optional)

Zweck: Erinnerungen an bevorstehende Schichten, Hinweise auf Tauschanfragen, Änderungen im Dienstplan.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) – diese kann in den Benachrichtigungseinstellungen jederzeit widerrufen werden.

4.4 Reichweitenmessung und Systemoptimierung

Zweck: Statistische Auswertung des Nutzungsverhaltens zur bedarfsgerechten Gestaltung, Fehlererkennung, Kapazitätsplanung und kontinuierlichen Optimierung der technischen Leistungsfähigkeit und Stabilität der Web-Applikation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Betreibers an der Bereitstellung eines stabilen, sicheren, fehlerfreien und performanten Dienstes).

Hinweis zum Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (§ 25 TDDDG): Da Vercel Web Analytics keine Informationen auf deinem Endgerät speichert (weder Cookies noch LocalStorage) und auch nicht auf im Endgerät gespeicherte Daten zugreift, liegt kein tatbestandlicher Eingriff im Sinne von § 25 Abs. 1 TDDDG vor. Eine gesonderte Einwilligung über ein Cookie-Banner ist daher nicht erforderlich.

5. Speicherdauer und Löschkonzept

Die Speicherdauer richtet sich nach dem Zweck und der Rechtsgrundlage:

5.1 Aktive Benutzerkonten

• Dienstplandaten: Standardmäßig 730 Tage (2 Jahre) nach dem letzten Eintrag, konfigurierbar pro Organisation (Minimum 30 Tage).
• Benutzerkonto: Solange das Konto aktiv ist. Gelöschte Konten werden nach 14 Tagen (Widerrufsfrist) anonymisiert.

5.2 Sitzungen und Authentifizierung

• Sitzungen: Automatisches Ende nach konfigurierbarer Inaktivität (empfohlen 15 Minuten) oder 30 Tagen Absoluttimeout.
• Verifikations-Token: 1 Tag nach Ablauf oder Verbrauch.

5.3 Benachrichtigungen

• 90 Tage nach Erstellung automatisch gelöscht.

5.4 Einladungen

• 30 Tage nach Ablauf des Gültigkeitsdatums automatisch gelöscht.

5.5 Audit-Logs

• Mindestens 365 Tage aufbewahrt, dann gelöscht (SPEC §23).

5.6 Lokale Caches (Browser)

• Service Worker Cache wird beim Abmelden geleert. Bei Geräteneustart oder App-Updates können alte Cache-Versionen entfernt werden.

6. Empfänger und Weitergabe von Daten

6.1 Interne Weitergabe

Dienstplandaten werden nur zwischen Mitgliedern der gleichen Gruppe geteilt, sofern die Sichtbarkeitseinstellungen dies vorsehen. Administatoren können auf aggregierte Daten ihrer Gruppe zugreifen.

6.2 Externe Dienstleister (Auftragsverarbeiter)

Die App kann externe Dienstleister einbinden. Mit jedem ist ein Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO abgeschlossen. Derzeit eingebundene Dienstleister:

• Hosting-Anbieter: [Name und Standort] – speichert Daten innerhalb [Standort, z. B. der EU / Deutschlands]
• Webanalyse & Edge-Infrastruktur: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA – Bereitstellung der Edge-Infrastruktur sowie cookielose Reichweitenmessung (Vercel Web Analytics) auf Grundlage eines Auftragsverarbeitungsvertrags (Data Processing Addendum, DPA gemäß Art. 28 DSGVO).
• E-Mail-Versand: [Name und Standort] – nur für Verifikations- und Benachrichtigungs-E-Mails
• Fehlertracking (optional): [Name] – nur nicht-sensible Fehlermeldungen, keine Schichtdaten

6.3 Rechtsanfragen und Behörden

Daten werden an Behörden weitergegeben, soweit dies gesetzlich erforderlich oder zur Verfolgung strafbarer Handlungen erforderlich ist.

7. Drittlandübermittlung

Die Anwendungsdatenbank und die Speicherung sämtlicher Dienstplandaten, Benutzerkonten und privaten Notizen verbleiben auf Servern innerhalb der Europäischen Union (EU) bzw. in Deutschland.

Im Rahmen der Einbindung von Vercel Web Analytics und des globalen Edge-Netzwerks von Vercel Inc. können jedoch aggregierte Metadaten und technische Telemetriedaten auf Servern von Vercel Inc. in den USA verarbeitet werden.

Die Übermittlung in die USA ist datenschutzrechtlich abgesichert:

• EU-US Data Privacy Framework (DPF): Vercel Inc. ist unter dem Datenschutzabkommen zwischen der Europäischen Union und den USA (Data Privacy Framework) zertifiziert. Für nach dem DPF zertifizierte US-Unternehmen besteht ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO, der ein dem EU-Recht angemessenes Datenschutzniveau bescheinigt.
• Standardvertragsklauseln (SCC): Ergänzend hat der Betreiber mit Vercel Inc. die Standardvertragsklauseln der EU-Kommission (Standard Contractual Clauses gemäß Art. 46 Abs. 2 lit. c DSGVO) im Rahmen des Data Processing Addendum (DPA) vereinbart, um geeignete Garantien für den Schutz personenbezogener Daten sicherzustellen.

Falls externe Dienstleister eingebunden sind, prüfe bitte deren Datenschutzrichtlinien:

• [Hosting-Anbieter Datenschutzerklärung]
• [E-Mail-Anbieter Datenschutzerklärung]
• Vercel Datenschutzerklärung

8. Betroffenenrechte

Du hast folgende Rechte gemäß DSGVO:

8.1 Auskunftsrecht (Art. 15 DSGVO)

Du kannst eine Auskunft über die zu deiner Person gespeicherten Daten anfordern (Recht auf Auskunft).

8.2 Berichtigungsrecht (Art. 16 DSGVO)

Du kannst unrichtige Daten berichtigen lassen (Recht auf Berichtigung).

8.3 Löschungsrecht (Art. 17 DSGVO)

Du kannst die Löschung deiner Daten fordern (Recht auf Vergessenwerden), soweit keine rechtlichen Aufbewahrungspflichten entgegenstehen.

8.4 Einschränkungsrecht (Art. 18 DSGVO)

Du kannst die Verarbeitung einschränken lassen (Recht auf Einschränkung).

8.5 Datenportabilität (Art. 20 DSGVO)

Du kannst deine Daten in strukturierter, gängiger und maschinenlesbarer Form erhalten (Recht auf Datenportabilität). Die App stellt einen Datenexport bereit.

8.6 Widerspruchsrecht (Art. 21 DSGVO)

Du kannst der Verarbeitung widersprechen, soweit diese auf berechtigtem Interesse basiert (Recht auf Widerspruch). Dies gilt insbesondere auch gegen die pseudonymisierte Reichweitenmessung über Vercel Web Analytics.

8.7 Widerruf der Einwilligung

Wenn eine Verarbeitung auf deiner Einwilligung beruht (z. B. Benachrichtigungen), kannst du diese jederzeit in den Einstellungen widerrufen.

8.8 Widerspruch gegen Webanalyse (Do-Not-Track & GPC)

Du kannst der statistischen Erfassung durch Vercel Web Analytics jederzeit widersprechen. Aktiviere hierzu in deinem Browser die Einstellung „Do Not Track“ (DNT) oder nutze das „Global Privacy Control“ (GPC)-Signal. Vercel Web Analytics respektiert diese Signale und unterbindet in diesem Fall jegliche Erfassung deiner Seitenaufrufe.

9. Ausübung von Rechten

Um eines dieser Rechte auszuüben, wende dich bitte an:
Helm Webmanufaktur
Rosa-Luxemburg-Straße 18, 08280 Aue, Deutschland
E-Mail: kontakt@helm-webmanufaktur.de

Dein Anliegen wird unverzüglich, spätestens innerhalb von 30 Tagen bearbeitet.

10. Cookies und lokale Speicher

10.1 Session-Cookie

Die App verwendet einen Session-Cookie zur Authentifizierung:

• Name: session
• Dauer: 30 Tage oder bis zum Logout
• Zweck: Benutzerauthentifizierung, Verwaltung aktiver Sitzungen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (notwendig für Vertragsdurchführung)

10.2 Lokale Speicher (LocalStorage)

Die App nutzt LocalStorage für Benutzereinstellungen (z. B. Theme-Preference, Install-Prompt-Status):

• pwa-install-dismissed: Merkt sich, ob der Install-Hinweis abgelehnt wurde
• theme: Speichert die Sichtbar keit (Light/Dark Mode)
• other UI preferences: Andere UI-Konfigurationen (nicht sensibel)

10.3 Service Worker Cache

Der Service Worker speichert zur Offline-Nutzung:

• App-Shell (HTML, CSS, JS)
• Zuletzt angesehene Kalenderansicht (API-Cache)
• Icons und statische Assets

Diese werden gelöscht, wenn du dich abmeldest oder die App-Daten in den Browser-Einstellungen löschst.

10.4 Keine Cookies oder LocalStorage für Webanalyse

Der Dienst Vercel Web Analytics setzt ausdrücklich weder Cookies noch Einträge im LocalStorage oder SessionStorage deines Endgeräts ein. Die statistische Erfassung erfolgt vollständig cookielos und speicherfrei auf deinem Browser.

11. Sicherheitsmaßnahmen

Die App schützt personenbezogene Daten durch:

• TLS-Verschlüsselung: Alle Verbindungen sind verschlüsselt (HTTPS)
• Sichere Authentifizierung: Passwörter werden mit scrypt gehashed
• Row-Level Security: Datenbankzugriffe sind auf den angeforderten Mandanten / die Gruppe beschränkt
• Rate Limiting: Brute-Force-Schutz bei Anmeldeversuchen
• Input-Validierung: Alle Benutzereingaben werden validiert
• Regelmäßige Sicherheitsupdates: Abhängigkeiten und Systeme werden aktualisiert

12. Datenschutzbeauftragter und Kontakt

Bei Fragen, Beschwerden oder zur Wahrnehmung von Betroffenenrechten erreichst du uns unter:
Helm Webmanufaktur
Inhaber: Alexander Helm
Rosa-Luxemburg-Straße 18
08280 Aue
Deutschland
E-Mail: kontakt@helm-webmanufaktur.de

13. Beschwerderecht

Du hast das Recht, dich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt:

• Bundesbehörde: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI)
  www.bfdi.bund.de
• Länderbehörden: Datenschutzbehörde des Bundeslandes (z. B.Berliner Beauftragte,Bayerischer Landesbeauftragter)

14. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann jederzeit angepasst werden, wenn sich die Datenverarbeitung ändert oder neue Verpflichtungen entstehen. Die aktuelle Fassung ist immer verfügbar unter /datenschutz.

Letzte Aktualisierung: September 2026