Datenschutzerklärung
1. Verantwortlicher
Frank Löffler
Festerbachstraße 32
65329 Hohenstein-Holzhausen über Aar
Deutschland
E-Mail: kontakt@pick2ship.de
Telefon: +49 163 4339060
Diese Datenschutzerklärung betrifft die Website, den Unternehmenszugang, die Desktop-Anwendung und die mobile App Mitarbeiterabruf.
Für die Verarbeitung von Beschäftigtendaten ist grundsätzlich der jeweilige Betrieb verantwortlich. Dieser entscheidet über den Einsatz der Anwendung, die vergebenen Berechtigungen und die rechtlichen Grundlagen. Wir verarbeiten diese Daten zur Bereitstellung der Anwendung im Auftrag des Betriebs.
Für unsere eigene Vertragsverwaltung, den Websitebetrieb und die Bearbeitung eigener Supportanfragen sind wir verantwortlich.
2. Website und technische Bereitstellung
Bei der Nutzung werden technisch notwendige Verbindungsdaten verarbeitet. Dazu können IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Ressourcen, Browser- und Betriebssysteminformationen sowie Fehler- und Sicherheitsinformationen gehören.
Die Verarbeitung dient der Bereitstellung der Funktionen, der Anmeldung, der Fehlerbehebung und dem Schutz vor unberechtigten Zugriffen. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO für vertraglich vereinbarte Leistungen und Art. 6 Abs. 1 Buchst. f DSGVO für den sicheren und zuverlässigen Betrieb.
Wix
Die Website, der Unternehmensbereich und die eingebettete Desktop-Oberfläche werden über Wix bereitgestellt. Anbieter ist Wix.com Ltd., Israel, mit verbundenen Unternehmen und eingesetzten Dienstleistern.
Informationen: https://www.wix.com/about/privacy
Supabase
Die Anwendungsdatenbank und die serverseitigen Anwendungsfunktionen werden über Supabase bereitgestellt. Anbieter ist Supabase Pte. Ltd., Singapur.
Die primäre Datenbank unseres Projekts befindet sich in der Region eu-west-1 in Irland. Die mobile App verbindet sich mit den serverseitigen Supabase-Funktionen. Anfragen der eingebetteten Desktop-Anwendung werden über das Wix-Backend an diese Funktionen weitergegeben.
Der Datenbankstandort ist keine Zusicherung, dass sämtliche Betriebs-, Support- und Sicherheitsverarbeitung ausschließlich in Irland stattfindet.
Informationen: https://supabase.com/privacy
3. Unternehmenskonto und Lizenzverwaltung
Für Registrierung, Bestellung, Freischaltung und Lizenzverwaltung verarbeiten wir insbesondere:
-
Unternehmensname sowie Kontakt- und Rechnungsdaten;
-
E-Mail-Adresse des Unternehmenskontos;
-
Unternehmens- und Stationskennungen;
-
gebuchte Zugänge und Kontingente;
-
Vertrags-, Testzeitraum- und Lizenzstatus.
Die Verarbeitung erfolgt zur Durchführung des Vertrags und vorvertraglicher Maßnahmen nach Art. 6 Abs. 1 Buchst. b DSGVO sowie zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 Buchst. c DSGVO.
Mitarbeiter benötigen zur Anmeldung in der App keine persönliche E-Mail-Adresse. Ein verwendeter Alias kann trotzdem einer Person zugeordnet werden und ist deshalb nicht automatisch anonym.
4. Einsatzplanung und Benutzerzugänge
Die Anwendung verarbeitet die für die Organisation der Einsätze erforderlichen Angaben. Hierzu gehören insbesondere angezeigte Namen oder Aliasse, Benutzer- und Stationskennungen, Unternehmenszuordnung, Rollen, Berechtigungen, Sitzungsdaten, Aufgaben, Schichtzeiten, Beschreibungen, Zusagen, Ersatzanfragen und Statusänderungen.
Bei Überführungsaufgaben können Start- und Zielangaben sowie die erforderliche Führerscheinklasse hinzukommen.
Die Verarbeitung dient der Einsatzplanung, der Besetzung offener Aufgaben und dem betrieblichen Informationsaustausch. Der jeweilige Betrieb bestimmt die anwendbare Rechtsgrundlage. In Deutschland kommt insbesondere § 26 Abs. 1 BDSG in Betracht.
Freitextfelder sollen ausschließlich notwendige betriebliche Angaben enthalten. Diagnosen und andere nicht erforderliche sensible Informationen gehören nicht in Aufgabenbeschreibungen oder Mitteilungen.
5. Rollen und Zugriffsrechte
Der Zugriff richtet sich nach der zugewiesenen Rolle und Station:
-
Mitarbeiter erhalten Zugriff auf ihre zugewiesenen Einsätze und die für sie verfügbaren offenen Aufgaben.
-
Counter verwalten Aufgaben und Zusagen ihrer Station im Rahmen ihrer Berechtigungen.
-
Administratoren verwalten zusätzlich Teamrollen und Stationszugänge.
-
Logistik erhält Zugriff auf ausdrücklich zugeordnete Stationen und die dafür vorgesehenen Planungs- und Mitteilungsfunktionen.
-
Noch nicht freigeschaltete Zugänge haben eingeschränkte Rechte.
Der Betrieb ist dafür verantwortlich, Berechtigungen passend zu den Aufgaben der jeweiligen Person zu vergeben und bei Bedarf zu entziehen.
Technisch erforderliche Zugriffe durch uns oder unsere Dienstleister erfolgen zur Bereitstellung, Absicherung und Betreuung der Anwendung.
6. Krankmeldungen und Abwesenheiten
Bei einer Krankmeldung werden der betroffene Benutzer, die Station sowie Beginn und Ende des gemeldeten Zeitraums verarbeitet.
Ein Krankheitsgrund, eine Diagnose oder ein ärztliches Dokument wird hierfür nicht abgefragt. Auch die Information über eine krankheitsbedingte Abwesenheit ohne Diagnose ist ein Gesundheitsdatum.
Die Verarbeitung dient dazu, die Verfügbarkeit zu berücksichtigen, betroffene Schichten zur Neubesetzung freizugeben und Zuweisungen während einer gemeldeten Abwesenheit zu verhindern.
Die Stationsverwaltung erhält einen allgemeinen Hinweis auf eine Abwesenheit. Andere Mitarbeiter können über wieder verfügbare Aufgaben informiert werden. Push-Mitteilungen enthalten keine Diagnosen oder Krankheitsgründe.
Der Betrieb benötigt hierfür zusätzlich eine Rechtsgrundlage nach Art. 9 DSGVO. Soweit die Voraussetzungen erfüllt sind, kommt in Deutschland Art. 9 Abs. 2 Buchst. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG in Betracht. Die Prüfung obliegt dem jeweiligen Betrieb.
Abwesenheitseinträge unterliegen nicht der automatischen Monatslöschung für Aufgaben. Der Betrieb muss ihre weitere Erforderlichkeit prüfen und die Löschung nicht mehr benötigter Angaben veranlassen. Bei Löschung des Mitarbeiterzugangs werden seine zugehörigen Abwesenheitseinträge aus der aktiven Anwendungsdatenbank entfernt.
7. Push-Mitteilungen
Nach Freigabe von Mitteilungen auf dem Gerät kann die App einen Push-Token registrieren. Verarbeitet werden der Token, die Plattform, die Zuordnung zur Sitzung und technische Versandinformationen.
Mitteilungen informieren beispielsweise über neue oder zugewiesene Aufgaben, Statusänderungen, Ersatzbedarf oder allgemeine Stationsmeldungen.
Der Versand erfolgt über Expo, einen Dienst von 650 Industries, Inc., USA, und anschließend über Apple Push Notification service beziehungsweise bei Android über Firebase Cloud Messaging von Google.
Übermittelt werden technische Zustellinformationen und allgemeine Benachrichtigungstexte. Unsere Push-Nutzlast enthält keine Namen, Stationscodes, Aufgabenbeschreibungen, Diagnosen oder Krankheitsgründe. Die Einzelheiten werden nach Anmeldung in der Anwendung angezeigt.
Informationen zu Expo: https://expo.dev/privacy
Mitteilungen können in den Geräteeinstellungen deaktiviert werden. Informationen müssen dann durch Öffnen der App abgerufen werden. Die Erlaubnis für Push-Mitteilungen ist keine Einwilligung in die Verarbeitung von Gesundheitsdaten.
Fehlgeschlagene Sendungen werden begrenzt wiederholt. Versandaufträge werden spätestens beim nächsten Bereinigungslauf nach 24 Stunden entfernt. Beim Abmelden wird die zugehörige Push-Registrierung entfernt.
8. Sitzungen und Speicherung auf dem Gerät
Technisch notwendige Browser- und Gerätespeicher ermöglichen die Anmeldung, die Wiedererkennung einer Sitzung und den Schutz des Zugangs.
Die Desktop-Sitzung ist auf höchstens acht Stunden begrenzt. Neuladen im selben Browser-Tab erfordert während einer gültigen Sitzung keine erneute Verbindung. Nach Abmelden oder Ablauf der Sitzung ist eine neue Anmeldung erforderlich.
Mobile Sitzungen können länger bestehen. Ablauf und Berechtigungen werden serverseitig geprüft. Auf gemeinsam genutzten Geräten sollte nach der Nutzung eine ausdrückliche Abmeldung erfolgen.
Soweit auf der Website zusätzliche einwilligungspflichtige Technologien eingesetzt werden, erfolgt deren Verwendung entsprechend der Auswahl im Einwilligungsbanner. Eine erteilte Einwilligung kann über die entsprechenden Datenschutzeinstellungen widerrufen werden.
9. Speicherdauer und Löschung
Eine tägliche automatische Prüfung entfernt vergangene Schichten sowie abgeschlossene oder stornierte Aufgaben aus der aktiven Anwendungsdatenbank, sobald ein Kalendermonat seit dem maßgeblichen Ende verstrichen ist.
Maßgeblich ist der spätere Zeitpunkt aus geplantem Einsatzende und dokumentiertem Abschluss beziehungsweise Storno. Zugehörige Zusagen und Versandaufträge werden ebenfalls entfernt. Zukünftige Einsätze und weiterhin aktive sonstige Aufgaben werden durch diesen Lauf nicht gelöscht.
Für bereits vor Einführung des Abschlusszeitstempels abgeschlossene oder stornierte Aufgaben gilt eine einmalige Übergangsfrist von einem Monat ab dem 4. November 2026. Die tatsächliche Entfernung erfolgt beim jeweils nächsten täglichen Lauf.
Andere Daten werden entsprechend ihrem Zweck und geltenden Aufbewahrungspflichten gespeichert. Die Monatslöschung für Einsätze umfasst nicht automatisch Konto-, Vertrags-, Abwesenheits- oder Protokolldaten.
Der Betrieb muss das Ausscheiden von Mitarbeitern berücksichtigen und nicht mehr erforderliche Zugänge entfernen beziehungsweise die Löschung veranlassen.
Sicherungskopien und technische Anbieterprotokolle unterliegen gesonderten Aufbewahrungs- und Löschverfahren. Ausgedruckte oder als PDF exportierte Einsatzpläne werden durch eine serverseitige Löschung nicht nachträglich entfernt. Für solche Kopien ist der exportierende Betrieb verantwortlich.
Du kannst deinen Zugang in der App unter Einstellungen → Eigenen Zugang löschen entfernen. Wenn du keinen Zugriff mehr auf die App hast, kannst du die Löschung per E-Mail an kontakt@pick2ship.de beantragen. Nenne dazu bitte den Betrieb beziehungsweise die Station und deinen Alias, damit wir den Zugang zuordnen können. Passwörter und Wiederherstellungscodes benötigen wir nicht. Bei der Löschung werden der Zugang und die zugehörigen Gerätedaten entfernt; noch offene Einsätze werden freigegeben.
10. Support und internationale Verarbeitung
Bei Supportanfragen verarbeiten wir die übermittelten Kontaktdaten, den Inhalt der Anfrage und erforderliche technische Angaben. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b oder f DSGVO.
Bitte übermittle keine Passwörter, Wiederherstellungscodes oder medizinischen Unterlagen.
Technische Dienstleister erhalten Daten, soweit dies für ihre jeweilige Leistung erforderlich ist. Bei Wix, Supabase, Expo, Apple und Google können Verarbeitungen außerhalb des Europäischen Wirtschaftsraums stattfinden.
Für solche Übermittlungen gelten die Voraussetzungen der Art. 44 ff. DSGVO. Je nach Empfänger und Verarbeitung kommen Angemessenheitsbeschlüsse oder geeignete Garantien, insbesondere EU-Standardvertragsklauseln, in Betracht. Informationen zu den jeweils geltenden Garantien können über die oben genannten Kontaktdaten angefragt werden.
11. Deine Rechte
Nach Maßgabe der gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.
Soweit eine Verarbeitung auf berechtigten Interessen beruht, kannst du aus Gründen deiner besonderen Situation widersprechen.
Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
Bei betrieblichen Beschäftigtendaten ist grundsätzlich dein Betrieb Ansprechpartner. Für unsere eigene Verarbeitung kannst du dich an die oben genannten Kontaktdaten wenden.
Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Für den Betreiber in Hessen ist insbesondere der Hessische Beauftragte für Datenschutz und Informationsfreiheit erreichbar: