Datenschutzerklärung

1. Verantwortlicher

Sortex
Inh. Julius Sorgner
Hochstraße 8
35510 Butzbach
Deutschland
Telefon: +49 152 55612505
E-Mail: support@sortexai.com

Ein Datenschutzbeauftragter ist gemäß § 38 BDSG nicht bestellt, da die Schwellenwerte nicht erreicht werden. Anfragen zum Datenschutz richten Sie bitte direkt an die oben genannte E-Mail-Adresse.

2. Zweck der Verarbeitung

ShiftGuard wird von Reinigungs- und Dienstleistungsunternehmen eingesetzt, um Schichteinsätze zu planen, anzukündigen und deren Wahrnehmung zu bestätigen. Die Datenverarbeitung dient folgenden Zwecken:

• Zuordnung und Bestätigung konkreter Arbeitseinsätze
• Erinnerung an anstehende Schichten per E-Mail (und optional SMS)
• Eskalation an den zuständigen Vorgesetzten, wenn eine Schicht nicht bestätigt oder abgesagt wird (telefonisch durch automatisierten Anruf)
• Bereitstellung des Login-Bereichs für Administrator:innen
• Abwehr von Missbrauch (Rate-Limiting, Fehler- und Zugriffsprotokolle)
• Vertragsabwicklung und Abrechnung (nur bei kostenpflichtiger Nutzung)

3. Verantwortungsverhältnis bei Beschäftigtendaten

Für die Verarbeitung der Daten seiner Mitarbeiterinnen und Mitarbeiter ist der jeweilige Arbeitgeber (das Unternehmen, das ShiftGuard einsetzt) der datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Sortex Inh. Julius Sorgner agiert insoweit als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags.

Für die Daten der Administrator-Accounts (d. h. der Personen, die bei ShiftGuard einen Login besitzen und Schichten planen) ist Sortex Inh. Julius Sorgner selbst Verantwortlicher im Sinne der DSGVO.

4. Rechtsgrundlagen

Je nach Datenkategorie stützen wir die Verarbeitung auf unterschiedliche Rechtsgrundlagen:

• Beschäftigtendaten (Mitarbeitende der Kundenunternehmen): § 26 Abs. 1 Satz 1 BDSG — Verarbeitung zur Durchführung des Beschäftigungsverhältnisses. Diese Norm ist gegenüber Art. 6 Abs. 1 DSGVO als spezielleres deutsches Recht anzuwenden (lex specialis nach Art. 88 DSGVO).
• Administrator-Daten (Kundenkonten): Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
• Sicherheits- und Missbrauchsabwehr (IP-Logs, Rate-Limit): Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem sicheren, stabilen Betrieb des Dienstes.
• Protokoll- und Nachweispflichten (Audit-Logs): Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 2 DSGVO — Rechenschaftspflicht.
• Abrechnungsdaten: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB — handels- und steuerrechtliche Aufbewahrungspflichten.

5. Verarbeitete Datenkategorien

• Vor- und Nachname
• E-Mail-Adresse
• Telefonnummer (für Eskalationsanrufe)
• Zugeordnete Schichten: Datum, Uhrzeit, Einsatzort, Bestätigungsstatus und Zeitpunkt der Bestätigung oder Absage
• Administrative Daten der Kundenkonten: Name, dienstliche E-Mail-Adresse, Passwort-Hash, Rolle (Owner, Admin)
• Technische Nutzungsdaten: IP-Adresse (zum Zweck des Rate-Limitings pseudonymisiert per Hash), Request-ID, Zeitpunkt des Zugriffs, verwendeter Browser (User-Agent)
• Bei kostenpflichtiger Nutzung: Rechnungsdaten und Zahlungsinformationen (verarbeitet durch Stripe, siehe Ziffer 7)

6. Herkunft der Daten (Art. 14 DSGVO)

Beschäftigtendaten werden nicht bei der betroffenen Person selbst erhoben. Stamm­daten von Mitarbeitenden (Name, E-Mail, Telefonnummer) sowie die Schichtzuordnungen werden ausschließlich vom jeweiligen Arbeitgeber (Administrator des Kundenkontos) in ShiftGuard eingetragen. Die Daten stammen folglich aus dem Beschäftigungsverhältnis zwischen Arbeitgeber und betroffener Person.

Sortex Inh. Julius Sorgner selbst erhebt keine personenbezogenen Daten direkt bei den betroffenen Mitarbeitenden.

7. Empfänger und Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir folgende technische Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten. Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Drittlandübermittlungen sind in Ziffer 9 beschrieben.

• Supabase Inc. (USA) — Datenbank und Authentifizierung. Daten­verarbeitung verschlüsselt in der EU-Region Frankfurt (Encryption at Rest und in Transit). EU-Standardvertragsklauseln.
• Vercel Inc. (USA) — Hosting der Webanwendung. Auslieferung und Server-Verarbeitung in der EU-Region Frankfurt (fra1). EU-Standardvertragsklauseln.
• Resend Inc. (USA) — E-Mail-Versand der Schichtbestätigungen und Passwort-Reset-Mails. EU-Standardvertragsklauseln.
• Twilio Inc. (USA) — Telefonische Eskalationsanrufe bei fehlender Bestätigung oder Absage durch Mitarbeitende. EU-Standardvertragsklauseln.
• Upstash Inc. (USA/EU-Region) — Rate-Limiting zum Schutz vor Missbrauch. Es werden ausschließlich gehashte IP-Adressen als Schlüssel verarbeitet. EU-Standardvertragsklauseln.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Abonnement- und Zahlungsabwicklung, sofern eine kostenpflichtige Nutzung aktiv ist. Verarbeitung überwiegend in der EU; Stripe ist selbst Verantwortlicher für regulatorische Pflichten nach Zahlungsdiensterecht.
• Sentry (Functional Software Inc.) (USA) — Fehler- und Performance-Monitoring zur Stabilitätssicherung. Personenbezogene Daten werden vor der Übermittlung pseudonymisiert (E-Mail-Adressen, Telefonnummern und Bestätigungs-Tokens werden redigiert). EU-Standardvertragsklauseln.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange wie erforderlich. Die folgenden Fristen gelten:

• Mitarbeiter-Stammdaten (Name, E-Mail, Telefon): Während der Dauer der Zuordnung zum jeweiligen Arbeitgeber-Account. Nach Entfernen durch den Arbeitgeber erfolgt eine sofortige Soft-Deletion; vollständige Löschung spätestens nach 30 Tagen.
• Schichten und Bestätigungen (inkl. Token, Status, Zeitstempel): Standardmäßig 90 Tage nach Schichtende. Tokens selbst werden unmittelbar mit Ablauf unbrauchbar. Der jeweilige Arbeitgeber kann abweichende Aufbewahrungsfristen im Kundenbereich konfigurieren.
• Audit-Logs (wer hat wann was geändert): 24 Monate, anschließend automatisierte Löschung. Die Logs sind durch eine Hash-Chain gegen nachträgliche Veränderung geschützt.
• IP-basierte Rate-Limit-Daten: Maximal 60 Minuten, dann automatische Verwerfung.
• Sentry-Fehlermeldungen: 90 Tage, Anschluss-Löschung durch Sentry.
• Administrator-Accounts: Für die Dauer des Vertragsverhältnisses; nach Vertragsende 30 Tage Grace Period, anschließend vollständige Löschung.
• Rechnungs- und Abrechnungsdaten: 10 Jahre gemäß § 147 Abs. 3 AO und § 257 HGB.

Darüber hinausgehende Löschungswünsche nach Art. 17 DSGVO bearbeiten wir unverzüglich, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9. Drittlandübermittlung

Einige unserer Auftragsverarbeiter haben ihren Sitz in den USA. Die Datenübermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO bzw. — soweit die jeweilige Organisation zertifiziert ist — auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023, Art. 45 DSGVO). Die primäre Datenverarbeitung findet, wo technisch möglich, in EU-Regionen statt (Supabase Frankfurt, Vercel fra1).

Trotz dieser Maßnahmen besteht bei Übermittlungen in die USA grundsätzlich ein gegenüber der EU erhöhtes Risiko des Zugriffs durch US-Sicherheitsbehörden (Schrems-II-Urteil, EuGH C-311/18). Wir haben dieses Risiko in einer Transfer Impact Assessment bewertet und für die konkret betroffenen Datenkategorien als zumutbar eingeschätzt.

10. Cookies und Tracking

ShiftGuard setzt ausschließlich technisch notwendige Cookies ein, die für die Bereitstellung des Dienstes zwingend erforderlich sind. Hierzu gehören insbesondere Session- und Authentifizierungs-Cookies (Supabase Auth). Für diese Cookies ist gemäß § 25 Abs. 2 Nr. 2 TTDSG keine Einwilligung erforderlich.

Wir setzen keine Analyse-, Marketing- oder Tracking-Cookies und kein Drittanbieter-Werbe-Tracking ein. Social-Media-Plugins werden ebenfalls nicht eingebunden.

11. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt. Bestätigungs-Workflows sind regelbasiert (z. B. „Erinnerung 24 h vor Schichtbeginn“, „Eskalation bei ausbleibender Bestätigung 30 Minuten vor Schichtstart“) und bewirken keine rechtlichen oder ähnlich erheblichen Wirkungen gegenüber der betroffenen Person im Sinne der Vorschrift.

12. Pflicht zur Bereitstellung der Daten

Die Bereitstellung der Beschäftigtendaten (Name, E-Mail, Telefonnummer, Schichtzuordnung) ist für die Nutzung des Schichtbestätigungs-Systems erforderlich. Ohne diese Daten kann der Arbeitgeber keine Bestätigungs- oder Eskalationsabläufe mittels ShiftGuard durchführen. Eine Pflicht zur Bereitstellung dieser Daten gegenüber Sortex Inh. Julius Sorgner selbst besteht nicht; sie ergibt sich ausschließlich aus dem Verhältnis zum Arbeitgeber.

13. Ihre Rechte

Sofern die Voraussetzungen vorliegen, haben Sie die folgenden Rechte gegenüber dem Verantwortlichen (Arbeitgeber bei Beschäftigtendaten, Sortex Inh. Julius Sorgner bei Administrator-Daten):

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Beschwerde bei der zuständigen Aufsichtsbehörde (Art. 77 DSGVO) — für Sortex Inh. Julius Sorgner ist das der Hessische Beauftragte für Datenschutz und Informationsfreiheit, datenschutz.hessen.de

Zur Ausübung Ihrer Rechte gegenüber Sortex Inh. Julius Sorgner wenden Sie sich bitte an support@sortexai.com oder postalisch an die in Ziffer 1 genannte Adresse.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Fassung.