Datenschutzerklärung

Stand: Oktober 2026

Diese Datenschutzerklärung gilt für die App Schichtretter (iPhone, Android und Browser) und für die Website schichtretter.app. Sie erklärt, welche personenbezogenen Daten wir verarbeiten, wozu und welche Rechte du hast.

1. Verantwortlicher

[Name / Firma]
[Straße Hausnummer]
[PLZ Ort]
E-Mail: support@schichtretter.app

Wir sind gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Bei Fragen zum Datenschutz erreichst du uns unter der oben genannten Adresse.

Rolle gegenüber Firmen (Auftragsverarbeitung)

Schichtretter wird von Firmen eingesetzt, um Ersatz für ausgefallene Schichten zu finden. Für die Daten, die eine Firma über ihre Mitarbeiterinnen und Mitarbeiter in Schichtretter verarbeitet (z. B. Kompetenzen, Ersatzanfragen, Zusagen), ist in der Regel die jeweilige Firma als Arbeitgeber verantwortlich. Wir verarbeiten diese Daten dann in ihrem Auftrag nach Art. 28 DSGVO auf Grundlage eines Vertrags zur Auftragsverarbeitung. Anfragen zu diesen Daten kannst du an deinen Arbeitgeber oder an uns richten – wir leiten sie bei Bedarf weiter.

Für dein Benutzerkonto (Anmeldung), die Website und den technischen Betrieb sind wir selbst verantwortlich.

2. Daten in der App

Benutzerkonto

Für die Anmeldung speichern wir deine E-Mail-Adresse und ein Passwort (nur als kryptografischer Hash, nie im Klartext). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App, die du nutzen möchtest).

Firmenzugehörigkeit und Profil

Wenn du einer Firma beitrittst oder eine Firma anlegst, speichern wir:

• deinen Namen, deine Rolle (Schichtleiter oder Mitarbeiter) und ob dein Zugang aktiv ist,
• die Kompetenzen bzw. Berufe, die dir dein Schichtleiter zuordnet (z. B. „Staplerfahrer“),
• deine Benachrichtigungs-Einstellungen (z. B. „immer zusätzlich per E-Mail“),
• freiwillig deine Handynummer für SMS-Benachrichtigungen (siehe unten).

Schichtleiter sehen Namen, E-Mail-Adressen, Kompetenzen und Antworten der Mitarbeiter ihrer Firma, aber nicht deren Handynummer – nur, ob SMS möglich sind. Mitarbeiter sehen keine Daten ihrer Kollegen. Daten verschiedener Firmen sind strikt voneinander getrennt.

Ersatzanfragen und Antworten

Wir speichern Ersatzanfragen (Datum, Uhrzeit, Bezeichnung der Schicht, gesuchte Kompetenz, optionale Notiz), wer angefragt wurde und wer wann zugesagt oder abgesagt hat. Das ist der Kern der App.

Push-Nachrichten

Wenn du Mitteilungen erlaubst, speichern wir einen Push-Token deines Geräts und die Plattform (iOS oder Android). Push-Nachrichten verschicken wir über den Dienst Expo (650 Industries, Inc., USA), der sie an Apple Push Notification Service (Apple Inc.) bzw. Firebase Cloud Messaging (Google) weitergibt. Eine Ersatzanfrage enthält die Schichtdaten (Datum, Uhrzeit, Bezeichnung); die Benachrichtigung an den Schichtleiter über eine Antwort enthält zusätzlich den Namen der antwortenden Person und ihre Antwort. Beim Abmelden oder wenn das Gerät nicht mehr erreichbar ist, löschen wir den Token. Du kannst Push-Nachrichten jederzeit in den Einstellungen deines Geräts abschalten.

E-Mail und SMS

Erreicht dich keine Push-Nachricht – oder hast du „immer zusätzlich“ eingestellt –, schicken wir dir die Ersatzanfrage per E-Mail und, wenn du eine bestätigte Handynummer hinterlegt hast, per SMS. Beides enthält einen persönlichen Link, mit dem du ohne Anmeldung antworten kannst. Der Link ist zufällig erzeugt, wird bei uns nur als Prüfsumme (Hash) gespeichert und ist 14 Tage gültig.

Eine Handynummer wird erst verwendet, wenn du sie mit einem 6-stelligen Code bestätigt hast, den wir dir per SMS schicken. Der Code wird nur als Hash gespeichert und ist 10 Minuten gültig.

E-Mails und SMS verschicken wir über Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich). Dabei werden deine E-Mail-Adresse bzw. Handynummer, dein Name und der Nachrichteninhalt an Brevo übermittelt.

Missbrauchsschutz

Um Missbrauch zu verhindern (z. B. massenhafte SMS an fremde Nummern oder das Durchprobieren von Firmencodes), protokollieren wir, wann E-Mails, SMS, Bestätigungscodes und Anfragen verschickt wurden und wann ein Firmencode falsch eingegeben wurde – jeweils mit Benutzer- und Firmenkennung, ohne Inhalte. Diese Einträge werden nach 7 Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlagen

Soweit wir für Firmen tätig sind, verarbeiten wir die Daten nach deren Weisung (Art. 28 DSGVO); die Firma stützt sich dabei in der Regel auf Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 26 BDSG bzw. auf ihr berechtigtes Interesse an der Schichtplanung. Freiwillige Angaben wie die Handynummer verarbeiten wir auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst, indem du die Nummer im Profil entfernst.

Abo und Bezahlung

Für das Abo einer Firma speichern wir den gewählten Tarif, den Abrechnungszeitraum, den bezahlten Zeitraum und die Zahlungen (Betrag, Status, Datum) sowie die Anzahl der verschickten SMS pro Monat. Bezahlt wird über Mollie (Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande). Dazu übermitteln wir Mollie den Firmennamen und die E-Mail-Adresse des Schichtleiters, der das Abo abschließt. Die Zahlungsdaten (z. B. Kartennummer oder IBAN) gibst du direkt bei Mollie ein – wir erhalten sie nicht. Mollie verarbeitet diese Daten in eigener Verantwortung; Details stehen in der Datenschutzerklärung von Mollie. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Zahlungs- und Rechnungsdaten bewahren wir wegen gesetzlicher Aufbewahrungspflichten bis zu 10 Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

Wenn du auf der Website einen Link zur Abo-Verwaltung anforderst, prüfen wir, ob die E-Mail-Adresse zu einem Schichtleiter gehört, und schicken den Link dann per E-Mail (über Brevo).

Kein Tracking, keine Werbung

Die App enthält keine Werbung, keine Analyse- oder Tracking-Werkzeuge und gibt keine Daten zu Werbezwecken weiter.

3. Hosting der App-Daten

Die Daten der App werden bei Eurobase (eurobase.app) gespeichert, einem Datenbank- und Serverdienst mit Rechenzentren in der Europäischen Union. Eurobase verarbeitet die Daten als unser Auftragsverarbeiter. Alle Verbindungen sind verschlüsselt (HTTPS).

4. Diese Website

Die Website wird über GitHub Pages (GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA) bereitgestellt. Beim Aufruf verarbeitet GitHub technisch notwendige Daten wie deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite und Browserinformationen, um die Seite auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und stabilen Bereitstellung der Website (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen: Datenschutzerklärung von GitHub.

Die Website setzt keine Cookies, lädt keine externen Schriften oder Skripte und verwendet keine Analyse-Werkzeuge.

5. Übermittlung in Drittländer

Expo, Apple, Google und GitHub haben ihren Sitz in den USA. Eine Übermittlung dorthin erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und ergänzend auf Grundlage der EU-Standardvertragsklauseln.

6. Übersicht der Dienstleister

7. Speicherdauer

• Kontodaten, Profil und Firmenzugehörigkeit: bis zur Löschung des Kontos bzw. bis die Firma dich entfernt und die Löschung veranlasst.
• Ersatzanfragen und Antworten: solange die Firma Schichtretter nutzt, längstens bis zur Löschung der Firma.
• Nach Ende der Nutzung (Testphase oder Abo abgelaufen und nicht verlängert): alle Daten der Firma und die Konten ihrer Mitglieder werden 60 Tage danach automatisch gelöscht.
• Push-Tokens: bis zum Abmelden oder bis das Gerät nicht mehr erreichbar ist.
• Antwort-Links in E-Mail und SMS: 14 Tage gültig.
• SMS-Bestätigungscodes: 10 Minuten gültig.
• Protokolle zum Missbrauchsschutz: 7 Tage.
• Abo- und Zahlungsdaten: solange die Firma Schichtretter nutzt; Rechnungs- und Buchungsbelege gemäß den gesetzlichen Aufbewahrungsfristen (bis zu 10 Jahre).
• Links zur Abo-Verwaltung: 24 Stunden gültig.

Dein Konto kannst du jederzeit selbst in der App löschen (Profil → Konto löschen). Details stehen auf der Seite Konto löschen.

8. Deine Rechte

Du hast das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), z. B. in dem Bundesland, in dem du wohnst oder arbeitest.

Einen Auszug deiner Daten kannst du jederzeit selbst herunterladen: in der App unter Profil → Meine Daten exportieren. Für alles andere schreib uns an support@schichtretter.app.

9. Pflicht zur Bereitstellung

Ohne E-Mail-Adresse, Passwort und Namen kannst du Schichtretter nicht nutzen. Die Handynummer ist freiwillig. Ohne Push-Nachrichten, E-Mail oder SMS erfährst du nur beim Öffnen der App von neuen Ersatzanfragen.

10. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die rechtlichen Vorgaben ändern. Es gilt die jeweils hier veröffentlichte Fassung.