Datenschutzerklärung

Stand: 10. September 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung der Website schichtbar.de und der Anwendung app.schichtbar.de verarbeitet werden.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht benannt. Eine Benennungspflicht besteht derzeit nicht: Mit der Verarbeitung personenbezogener Daten sind weniger als 20 Personen ständig beschäftigt (§ 38 Abs. 1 BDSG), und die Kerntätigkeit erfordert weder eine umfangreiche regelmäßige und systematische Überwachung noch die umfangreiche Verarbeitung besonderer Datenkategorien (Art. 37 Abs. 1 DSGVO).

2. Zwei getrennte Rollen

Schichtbar wird von Betrieben genutzt, um eigene Dienstpläne zu erstellen. Daraus ergeben sich zwei unterschiedliche Rollen:

• Für die Website und den eigenen Vertragsbetrieb ist der oben genannte Betreiber Verantwortlicher im Sinne der DSGVO.
• Für die Personaldaten innerhalb einer Kundenorganisation — Beschäftigte, Verfügbarkeiten, Dienstpläne — ist der jeweilige Kundenbetrieb Verantwortlicher. Schichtbar verarbeitet diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Beschäftigte richten Anfragen zu ihren Daten deshalb an ihren Arbeitgeber.

Die in der Tabelle in Abschnitt 6 genannten Dienstleister sind für diese Daten Unterauftragsverarbeiter des Kundenbetriebs. Sie werden nur eingesetzt, soweit der Vertrag mit dem Kundenbetrieb das vorsieht.

3. Besuch der Website

Die Website schichtbar.de ist eine rein statische Seite. Sie bindet keine externen Ressourcen ein: keine Skripte, keine externen Schriftarten, keine Karten, Videos oder Social-Media-Plugins. Sie setzt keine Cookies und speichert nichts auf Ihrem Endgerät.

Beim Aufruf verarbeitet der Hosting-Anbieter technisch notwendige Verbindungsdaten wie IP-Adresse, Zeitpunkt, abgerufene Adresse und übertragene Datenmenge, um die Seite ausliefern und den Betrieb absichern zu können. Rechtsgrundlage ist das berechtigte Interesse an einem sicheren und funktionsfähigen Angebot, Art. 6 Abs. 1 lit. f DSGVO. Die Logs des Hosting-Anbieters werden nach 7 Tagen gelöscht.

Wer die Adresse schichtbar.de ohne „www“ aufruft, wird über das Netzwerk der Cloudflare, Inc. auf www.schichtbar.de weitergeleitet. Dabei verarbeitet Cloudflare IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserangaben, um die Weiterleitung auszuführen und das eigene Netz abzusichern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Website selbst, die Anwendung und die Anmeldung werden nicht über Cloudflare ausgeliefert.

4. Kontaktaufnahme

Wenn Sie uns an hallo@schichtbar.de schreiben, verarbeiten wir Ihre Nachricht und Ihre Absenderdaten, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir speichern die Korrespondenz bis zur abschließenden Bearbeitung Ihrer Anfrage und löschen sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

5. Nutzung der Anwendung

5.1 Benutzerkonto

Für die Anmeldung verarbeiten wir E-Mail-Adresse, Anzeigename, Authentifizierungsdaten, den Kontostatus sowie den Zeitpunkt des ersten Logins. Die Anmeldung selbst läuft über den Dienstleister Auth0 (Abschnitt 6). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5.2 Daten in der Dienstplanung

Im Auftrag des jeweiligen Kundenbetriebs werden verarbeitet:

• Name der beschäftigten Person, Aktivstatus, optional E-Mail-Adresse für den Portalzugang,
• vertragliche Höchstarbeitszeit und Sollstunden,
• zugeordnete Standorte sowie Rollen und Qualifikationen,
• wöchentliche und datumsbezogene Verfügbarkeiten mit den Status „verfügbar“, „ungern“ und „nicht verfügbar“,
• geplante und veröffentlichte Schichtzuweisungen,
• Anfragen aus dem Mitarbeiter-Portal samt Bearbeitungsstatus.

Abwesenheiten werden ausschließlich als Zeitraum ohne Verfügbarkeit gespeichert. Ein Grund oder eine Kategorie der Abwesenheit wird nicht erhoben; insbesondere sieht das System keine Erfassung von Gesundheitsdaten vor.

Die Anwendung enthält zwei freie Textfelder — eine Notiz an der einzelnen Schichtzuweisung und einen Kommentar zu Portal-Anfragen. Diese Felder sind für organisatorische Hinweise gedacht. Angaben zu Gesundheit oder andere besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dürfen dort nicht eingetragen werden.

5.3 Protokollierung

Sicherheitsrelevante Änderungen werden mit auslösendem Benutzerkonto, Aktion, betroffenem Objekt und Zeitpunkt protokolliert, um Änderungen nachvollziehbar zu halten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Protokolleinträge werden nach 12 Monaten gelöscht.

5.4 Datensicherung

Vor einem Datenimport und vor einer Wiederherstellung wird automatisch eine Sicherung des Organisationsdatenbestands angelegt. Zusätzlich werden tägliche Sicherungen der gesamten Datenbank außerhalb der Hosting-Umgebung aufbewahrt. Diese Sicherungen sind verschlüsselt und werden nicht an Dritte übermittelt. Aus technischen Gründen können gelöschte Daten dort noch enthalten sein, bis die jeweilige Aufbewahrungsfrist abgelaufen ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO.

6. Empfänger und Auftragsverarbeiter

Die Domain schichtbar.de ist bei der INWX GmbH & Co. KG registriert. Die Domainregistrierung ist keine Auftragsverarbeitung: Über die dabei verarbeiteten Domaindaten entscheiden der jeweilige Registry-Betreiber und die ICANN. Eine Übermittlung an Registries außerhalb der Europäischen Union ist dabei möglich. Anwendungs- oder Personaldaten werden nicht an den Registrar übermittelt.

Die Namensauflösung (DNS) für schichtbar.de betreibt seit dem 10. September 2026 die Cloudflare, Inc. Sie beantwortet Anfragen danach, unter welcher Adresse Website, Anwendung und Anmeldung erreichbar sind; solche Anfragen stellt in der Regel der DNS-Server Ihres Internetanbieters, nicht Ihr Gerät. Außerdem führt Cloudflare die in Abschnitt 3 beschriebene Weiterleitung aus und ist dafür unser Auftragsverarbeiter; der Vertrag zur Auftragsverarbeitung ist Bestandteil der Nutzungsbedingungen von Cloudflare. Der Datenverkehr der Anwendung und der Anmeldung läuft nicht über Cloudflare. Anwendungs- oder Personaldaten werden an Cloudflare nicht übermittelt.

Mit Railway besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO einschließlich der Standardvertragsklauseln der Europäischen Kommission (Stand: 29. August 2026).

Mit allen genannten Empfängern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

7. Cookies und Speicherung auf Ihrem Endgerät

Die Website setzt weder Cookies noch speichert sie Daten auf Ihrem Endgerät. In der Anwendung werden ausschließlich technisch erforderliche Mittel eingesetzt:

• Anmelde-Cookies von Auth0. Ohne sie ist eine Anmeldung nicht möglich.
• Lokale Speicherung im Browser für Bedieneinstellungen: zuletzt gewählte Organisation, Ansichtsmodus und Gruppierung des Wochenkalenders, eingeblendete Kalenderelemente sowie der Experten-Modus in den Einstellungen. Diese Werte verbleiben in Ihrem Browser und werden nicht an uns übertragen.

Analyse-, Tracking- oder Werbedienste werden nicht eingesetzt. Da ausschließlich technisch erforderliche Speicherung stattfindet, ist keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich; die Verarbeitung stützt sich auf § 25 Abs. 2 Nr. 2 TDDDG.

8. Übermittlung in Drittländer

Die Anwendung und die Datenbank werden in einem Rechenzentrum in Amsterdam, Niederlande, betrieben. Die Daten liegen damit innerhalb der Europäischen Union.

Der Anbieter Railway Corporation hat seinen Sitz jedoch in den Vereinigten Staaten und kann für den Betrieb der Dienste aus den USA auf die Daten zugreifen. Für diese Übermittlung haben wir mit Railway einen Vertrag zur Auftragsverarbeitung geschlossen, in den die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO einbezogen sind. Ergänzend hat sich Railway unter anderem verpflichtet, behördliche Auskunftsersuchen an uns weiterzuleiten, uns über solche Ersuchen zu informieren und personenbezogene Daten nicht freiwillig an Behörden herauszugeben.

Die Anmeldung läuft seit dem 9. September 2026 über Auth0, einen Dienst von Okta. Der dafür genutzte Mandant liegt in der Europäischen Union; Anmeldedaten werden in Frankfurt am Main verarbeitet. Zuvor wurde hierfür PropelAuth, Inc. mit Sitz in den Vereinigten Staaten eingesetzt.

Vertragspartner ist die Okta, Inc. mit Sitz in San Francisco, Kalifornien. Obwohl die Daten in Frankfurt am Main gespeichert werden, liegt damit eine Übermittlung in die Vereinigten Staaten vor. Als Grundlage dienen die Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914 (Module 2 und 3), die Teil des geschlossenen Auftragsverarbeitungsvertrags sind.

Die Weiterleitung von schichtbar.de (Abschnitt 3) übernimmt die Cloudflare, Inc. mit Sitz in San Francisco, Kalifornien. Grundlage der Übermittlung sind die Standardvertragsklauseln der Europäischen Kommission, die Teil des Auftragsverarbeitungsvertrags von Cloudflare sind.

Für die Vereinigten Staaten besteht kein genereller Angemessenheitsbeschluss. Es lässt sich deshalb nicht ausschließen, dass US-Behörden auf Grundlage dortiger Gesetze auf diese Daten zugreifen und dass gegen einen solchen Zugriff kein den europäischen Standards entsprechender Rechtsbehelf zur Verfügung steht.

9. Speicherdauer

Kontodaten werden für die Dauer des Nutzungsverhältnisses gespeichert. Daten innerhalb einer Kundenorganisation werden nach Weisung des jeweiligen Kundenbetriebs gelöscht. Anschließend können sie noch für die Dauer der jeweiligen Aufbewahrungsfrist in Datensicherungen enthalten sein (Abschnitt 5.4). Gesetzliche Aufbewahrungspflichten bleiben unberührt.

10. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).

Sind Sie Beschäftigte oder Beschäftigter eines Betriebs, der Schichtbar einsetzt, richten Sie diese Anliegen bitte an Ihren Arbeitgeber. Wir unterstützen ihn dabei als Auftragsverarbeiter.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, Art. 77 DSGVO. Sie können sich an die Behörde Ihres Wohnorts oder an die für uns zuständige Stelle wenden:

11. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert, etwa durch neue Funktionen oder neue Dienstleister. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.

Zum Impressum