Schichtplaner

Der Schichtplaner dient dazu, Wochenplanung, Schichten, Mitarbeitende, Rotationen und administrative Einstellungen zu verwalten. Dabei werden nur Daten verarbeitet, die für Betrieb, Planung, Sicherheit und Kontaktaufnahme erforderlich sind.

Soweit die Anwendung im Beschäftigungskontext eingesetzt wird, kann zusätzlich zu den nachfolgend genannten Rechtsgrundlagen auch § 26 BDSG einschlägig sein.

Je nach Nutzung verarbeitet die Anwendung insbesondere folgende Daten:

• Namen von Mitarbeitenden, Schichten, Rotationsmuster und Schichtzuweisungen.
• Benutzerkonten, Rollen, Anmeldezeitpunkte, Sitzungsdaten und CSRF-Sicherheitsdaten.
• Audit-Protokolle zu Zuweisungen und Änderungen im Schichtplan.
• Kontaktangaben und Nachrichten aus dem Kontaktformular.
• Technische Daten wie User-Agent, Referrer-Domain und grobe Standortdaten, sofern diese durch die Infrastruktur übermittelt werden.

Wenn das Kontaktformular genutzt wird, speichern wir Name, Rückkontakt, Betreff und Nachricht, um die Anfrage bearbeiten zu können. Zusätzlich speichert die Anwendung einen aus IP-Adresse und User-Agent gebildeten Hash sowie den User-Agent, um Missbrauch zu begrenzen und Kontaktanfragen nachvollziehbar zu halten.

Die Benachrichtigung kann über Microsoft Graph an ein Microsoft-365- beziehungsweise Exchange-Online-Postfach zugestellt werden. Dabei werden die Inhalte der Kontaktanfrage an Microsoft übermittelt. Der Versand erfolgt über das konfigurierte Postfach; die von der anfragenden Person angegebene E-Mail-Adresse wird nur als Rückkontakt und, wenn sie eine gültige E-Mail-Adresse ist, als Antwortadresse der Nachricht verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage auf einen Vertrag oder vorvertragliche Maßnahmen gerichtet ist, ansonsten Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Bearbeitung eingehender Anfragen und dem sicheren Betrieb des Kontaktformulars.

Für geschützte Bereiche setzt die Anwendung technisch notwendige Cookies. Das Cookie session_token hält die Anmeldung für bis zu 30 Minuten aktiv und ist für JavaScript nicht lesbar. Das Cookie csrf_token schützt Formulare und API-Aufrufe vor missbräuchlicher Nutzung.

Fehlgeschlagene Anmeldeversuche werden zur Angriffserkennung begrenzt. Dafür kann die IP-Adresse temporär in einer Rate-Limit-Tabelle verarbeitet werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse liegt in Zugriffsschutz, Missbrauchsabwehr und Stabilität der Anwendung.

Im Browser werden einzelne Komforteinstellungen lokal gespeichert, zum Beispiel der gewählte Hell- oder Dunkelmodus, der zuletzt gelesene Versionshinweis und ob der Installationshinweis der Web-App ausgeblendet wurde. Diese Werte bleiben auf dem Gerät und werden nicht für Werbung oder externes Tracking genutzt.

Die Anwendung erfasst Seitenaufrufe, um Nutzung und technische Stabilität auszuwerten. Gespeichert werden Datum, Seitenpfad, User-Agent, Referrer-Domain, optional grobe Standortdaten aus Infrastruktur-Headern sowie ein täglich wechselnder HMAC-Hash aus IP-Adresse und User-Agent. Die IP-Adresse wird in der Statistikdatenbank nicht im Klartext gespeichert.

Die Statistik wird nicht für Werbung eingesetzt. Sie wird automatisch auf maximal 90 Tage begrenzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren, nachvollziehbaren und bedarfsgerechten Betrieb der Anwendung.

Wenn im Browser Do Not Track aktiviert ist, wird kein Besuchsaufruf an die Statistikroute gesendet.

Für die E-Mail-Zustellung kann Microsoft 365 beziehungsweise Microsoft Graph genutzt werden. Microsoft verarbeitet Daten dabei als Dienstleister im Rahmen der Microsoft Vertrags- und Datenschutzbedingungen. Soweit Daten außerhalb der EU oder des EWR verarbeitet werden, stützt sich Microsoft nach eigenen Angaben auf geeignete Garantien.

Feiertage und Schulferien werden serverseitig über die OpenHolidays API abgerufen. Dabei werden keine Namen, Kontaktanfragen oder Schichtzuweisungen an OpenHolidays übertragen; die Abfrage enthält im Wesentlichen Jahr, Zeitraum und Bundesland.

Schicht-, Benutzer- und Auditdaten werden gespeichert, solange sie für Planung, Nachvollziehbarkeit und Administration erforderlich sind. Kontaktanfragen werden so lange gespeichert, wie sie zur Bearbeitung und zur nachvollziehbaren Dokumentation der Anfrage benötigt werden.

Sitzungen laufen nach 30 Minuten Inaktivität ab. Login-Sperren und Rate-Limits werden nur temporär geführt. Besuchsstatistiken werden spätestens nach 90 Tagen bereinigt.

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen.

Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für Sachsen ist dies die Sächsische Datenschutz- und Transparenzbeauftragte .

Diese Datenschutzerklärung wird angepasst, wenn sich Datenflüsse, eingesetzte Dienste oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.