Datenschutzerklärung zur KIM Zeiterfassungs-App

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist nach der Datenschutz-Grundverordnung (DSGVO), nach den nationalen Datenschutzgesetzen der Mitgliedstaaten und nach den sonstigen datenschutzrechtlichen Bestimmungen:

Für die Datenverarbeitung durch die App ist das Unternehmen verantwortlich, bei dem Sie angestellt sind, also Ihr Arbeitgeber. Werden über die App auch Beschäftigte weiterer Firmen verwaltet (mandantenfähiger Betrieb), so ist für die Daten dieser Beschäftigten jeweils deren eigener Arbeitgeber verantwortlich.

2. Datenschutzbeauftragte(r)

Für die Verarbeitung im Rahmen dieser App haben wir eine/n Datenschutzbeauftragte/n benannt. Die App verarbeitet systematisch Standortdaten von Beschäftigten. Deshalb ist die Benennung nach § 38 Abs. 1 BDSG in Verbindung mit der Pflicht zur Datenschutz-Folgenabschätzung (siehe unten) verpflichtend. Auf die Zahl der Beschäftigten kommt es dabei nicht an.

Bei allen Fragen zum Datenschutz und immer dann, wenn Sie Ihre Rechte ausüben möchten, können Sie sich jederzeit direkt an unsere/n Datenschutzbeauftragte/n wenden.

3. Kurzüberblick zur App

Die KIM Zeiterfassungs-App hilft dabei, die Arbeitszeit im Betrieb zu erfassen und die Anwesenheit auf der Baustelle nachzuweisen. Sie hat im Wesentlichen diese Funktionen:

• einmalige, persönliche Registrierung („Enrollment“) im Büro mit einem QR-Code und einem Kurz-Code im Format „xxx-xxx“;
• Anzeige Ihres Tagesplans mit dem Positionscode im Format „PPP-AAA“ und dem Projekt sowie Ihrer Kolonne (Brigade) für den jeweiligen Tag;
• Erfassung Ihrer Schichten mit Beginn und Ende, dazu die Status „Urlaub“ und „frei“ sowie die Arbeitsberichte;
• Erfassung des Standorts ausschließlich im Moment von Schichtbeginn und Schichtende zum Nachweis der Anwesenheit an der zugewiesenen Baustelle;
• Kalenderansicht: eine Monatsübersicht Ihrer eigenen Schichten der letzten drei Monate, jeweils mit Datum, erfasster Dauer und Baustellenkürzel. Dazu kommen Ihre eigenen Tage „Urlaub“ und „Krank“ sowie der Überstunden-Saldo („Overtime“), den das Büro berechnet. Fremde Daten enthält diese Ansicht nicht.
• Krankmeldung: Sie melden dem Büro den Zeitraum Ihrer Arbeitsunfähigkeit und fotografieren dazu in der App Ihre Arbeitsunfähigkeitsbescheinigung (AU). Das ist die Funktion der App, die Gesundheitsdaten betrifft (siehe Abschnitt 6).
• Urlaubsantrag: Sie beantragen einen künftigen Urlaubszeitraum. Über den Antrag entscheidet immer ein Mensch im Büro (siehe Abschnitt 4 l).

4. Welche Daten wir verarbeiten und zu welchen Zwecken

Wir verarbeiten die folgenden Kategorien personenbezogener Daten. Welche Rechtsgrundlage dabei jeweils gilt, erklärt Abschnitt 5 genauer.

a) Identität und Geräte-Bindung (Registrierung / Anmeldung)

• Datenarten: Ihre interne Beschäftigten-Kennung, Ihre Rolle in der App mit der zugehörigen Berechtigungsstufe sowie ein Token, der auf Ihrem Gerät im geschützten Speicher des Betriebssystems (Keychain bzw. Keystore) liegt, fest an dieses Gerät gebunden ist und keinen lesbaren Inhalt hat. Dazu kommen die Registrierungsdaten (QR-Inhalt und Kurz-Code, genau einmal einlösbar), die Angabe zu Gerät und Plattform (iOS oder Android) samt der Angabe, aus welcher Quelle der Eintrag stammt, und der Name, den die App Ihnen anzeigt.
• Zweck: Wir stellen fest, wer Sie sind, und binden die App fest an ein einziges Gerät, das Sie persönlich registriert haben (BYOD, ohne MDM). Sie können damit ausschließlich Ihre eigenen Daten lesen und schreiben. So schützen wir die Daten davor, dass Unbefugte darauf zugreifen oder dass ein Gerät weitergegeben wird.
• Herkunft: Sie erhalten die Registrierungsdaten persönlich im Büro. Den Token erzeugt unser Server, sobald Sie diese Daten das eine Mal einlösen. Kennung und Rolle stammen aus den Personal-Stammdaten des Verantwortlichen.

b) Standortdaten: ereignisbezogen (bei Schichtbeginn/-ende)

• Datenarten: die genauen GPS-Koordinaten, erfasst ausschließlich beim Öffnen und beim Schließen einer Schicht; die Uhrzeit für Beginn und Ende der Schicht; dazu das Kennzeichen, ob Sie sich im Umkreis der Baustelle befanden. Dieses Kennzeichen berechnet unser Server, auf Ihrem Gerät wird es nicht gespeichert. Zusätzlich empfängt die App die Koordinaten der Baustelle und den Radius (100–300 m), und zwar nur für eine Anzeige auf dem Gerät.
• Zuverlässigkeitsmerkmale derselben Ortung: der Genauigkeitsradius der Ortung in Metern; das Kennzeichen für simulierte Standorte, das vom Betriebssystem kommt und angibt, ob eine Simulations-App („Mock-Provider“) die Koordinate vorgetäuscht hat; sowie der Zeitpunkt der GPS-Ortung. Diese Angaben fallen bei derselben Ortung an, die ohnehin stattfindet. Es findet keine zusätzliche Messung und keine zusätzliche Ortung statt.
• Quervergleich innerhalb der Kolonne: Wenn Sie eine Schicht öffnen, vergleicht unser Server Ihre Koordinate zusätzlich mit dem Mittelwert der Koordinaten der übrigen Kolonnenmitglieder, die an diesem Tag auf derselben Baustelle eine Schicht geöffnet haben. Gespeichert wird daraus nur der Abstand in Metern, keine fremden Koordinaten. Der Vergleich findet nur statt, wenn an diesem Tag mindestens zwei Kolleginnen oder Kollegen dort eine Koordinate übermittelt haben. Er dient demselben Zweck wie die Zuverlässigkeitsmerkmale: Er soll eine einzelne Ortung plausibel machen. Der Abstand ist ein Prüfhinweis für das Büro und löst für sich genommen keine Folge aus (Abschnitt 15). Er wird im Ereignisprotokoll gespeichert und unterliegt dessen Frist von 90 Tagen (Abschnitt 9).
• Zweck: Sie weisen bei Beginn und Ende der Schicht nach, dass Sie auf der zugewiesenen Baustelle waren. Wir gleichen die Arbeitszeiteinträge mit dem festgelegten Umkreis der Baustelle ab. Die Zuverlässigkeitsmerkmale und der Quervergleich dienen ausschließlich der Frage, wie belastbar eine einzelne Ortung ist. Das schützt auch Sie: Eine ungenaue Ortung (z. B. in einem Gebäude) lässt sich als solche erkennen und wird nicht als vermeintliche Abwesenheit fehlgedeutet. Und wenn die ganze Kolonne dieselbe Abweichung zeigt, liegt es erkennbar nicht an Ihnen.
• Näheres siehe Abschnitt 7 („Standortdaten“).

c) Schicht-/Arbeitszeitdaten

• Datenarten: je Person und Datum eine Zeile. Sie enthält den Status des Tages („anwesend“, „Urlaub“, „Krank“, „frei“, „versetzt“ oder „nicht zugewiesen“), Beginn und Ende der Schicht, das Projekt, die Kolonne, die Standortangaben nach b), eine technische Kennung des Eintrags und die Angabe, aus welcher Quelle er stammt. Wie die einzelnen Status entstehen: „anwesend“ setzen Sie selbst, indem Sie die Schicht öffnen. „Krank“ entsteht durch Ihre eigene Krankmeldung in der App (Abschnitt 6) und wird Ihnen in Ihrem Kalender angezeigt, anderen Beschäftigten nicht. „Urlaub“ entsteht nicht unmittelbar aus der App, sondern erst, wenn das Büro Ihren Urlaubsantrag genehmigt (Abschnitt 4 l). „frei“, „versetzt“ und „nicht zugewiesen“ setzt ausschließlich das Büro, aus der App werden diese Status nicht übermittelt.
• Uhrzeit vom Server: Beginn und Ende der Schicht werden nur erfasst, wenn eine Verbindung zu unserem Server besteht. Die maßgebliche Uhrzeit setzt unser Server selbst, und zwar in dem Moment, in dem die Meldung bei ihm eingeht. Die Uhr Ihres Geräts fließt damit nicht mehr in die Arbeitszeit ein. Früher haben wir zusätzlich Zeitstempel vom Gerät erhoben: die Gerätezeit, einen monotonen Betriebszeitzähler und die GPS-Ortungszeit als Zeitmerkmal, dazu die Abgleichmerkmale, die daraus abgeleitet wurden. Das entfällt vollständig (Datenminimierung). Die App übermittelt diese Angaben nicht, unser Server nimmt sie nicht mehr entgegen, und was davon aus der Zeit davor noch in der Datenbank lag, wurde gelöscht. Den Integritätsabgleich brauchen wir nicht mehr, weil keine ungeprüfte Gerätezeit in die Berechnung eingeht. Besteht ausnahmsweise keine Verbindung, wird die Schicht nicht in der App erfasst, sondern vom Büro von Hand nachgetragen (siehe unten).
• Geplanter Schichtbeginn und Abrechnungsbeginn: Für eine Baustelle kann ein geplanter Schichtbeginn hinterlegt sein (Soll-Start, z. B. 9:00 Uhr). Öffnen Sie die Schicht später, bilden wir daraus für die Entgeltberechnung den für die Vergütung maßgeblichen Beginn: Bei Verspätung wird der Beginn stufenweise aufgerundet. Öffnen Sie früher, gilt der geplante Beginn. Der tatsächliche Zeitpunkt, zu dem Sie geöffnet haben, bleibt davon unberührt gespeichert, denn er ist der Nachweis Ihrer Anwesenheit und Teil der gesetzlichen Arbeitszeiterfassung. Der abgeleitete Beginn fließt automatisch in die Entgeltberechnung ein. Was das für Sie bedeutet und welche Rechte Sie dagegen haben, steht in Abschnitt 15.
• Hinweis: Zu gesundheitsbezogenen Daten siehe Abschnitt 6.

d) Gesundheitsbezogene Daten: Krankmeldung und AU-Bescheinigung

• Datenarten: der Zeitraum der Arbeitsunfähigkeit, den Sie melden (von/bis), sowie das Foto der Arbeitsunfähigkeitsbescheinigung, das Sie in der App aufnehmen (die Ausfertigung für den Arbeitgeber, ohne Diagnose). Beides wird mit Ihrer internen Beschäftigten-Kennung und einem Zeitstempel gespeichert. Für die gemeldeten Tage wird in der Schichttabelle der Status „Krank“ gesetzt.
• Zweck: Sie erfüllen damit auf digitalem Weg Ihre Pflicht, eine Arbeitsunfähigkeit anzuzeigen und nachzuweisen (§ 5 EFZG). Außerdem können wir die Arbeitszeit korrekt erfassen und den Einsatz planen.
• Keine Diagnose: Die App erhebt in keiner Form Angaben zur Art der Erkrankung. Ein Feld dafür gibt es nicht, ein Freitextfeld ebenso wenig.
• Hinweis: Ihre eigenen Krankheitstage sehen Sie in der Kalenderansicht. Kolleginnen und Kollegen sowie dem Vorarbeiter werden sie nicht angezeigt. Ausführlich siehe Abschnitt 6.

e) Arbeitsberichte

• Datenarten: der Code für die Tätigkeit bzw. Leistung, die Menge, eine Notiz im freien Text sowie eine technische Kennung des Eintrags, jeweils je Person und Datum.
• Zweck: Wir dokumentieren je Beschäftigtem und Tag, welche Arbeit geleistet wurde. Das brauchen wir für den Projektfortschritt, für die Abrechnung und für die Auswertung von Produktivität und Takt.
• Hinweis zum Freitextfeld: Bitte geben Sie dort keine Gesundheitsdaten und keine besonders schützenswerten Angaben ein. Angaben zu Dritten (z. B. zu Kolleginnen und Kollegen) lassen Sie bitte möglichst ebenfalls weg.

f) Eigener Tagesplan (nur Lesen)

• Datenarten: Ihr eigener Tagesplan mit dem Positionscode „PPP-AAA“, dem Projekt und dem Datum.
• Zweck: Anzeige der eigenen Tageszuweisung, auch offline verfügbar.
• Speicherung: Der Plan liegt nur kurz auf dem Gerät, damit die App ihn anzeigen kann. Ältere Pläne sammeln sich dort nicht an. Melden Sie sich ab oder wird die Registrierung des Geräts aufgehoben, wird er gelöscht.

g) Kolonnen-/Kollegendaten

• Datenarten: die Liste Ihrer Brigade für das jeweilige Datum: Namen und Rollen der Kolleginnen und Kollegen, die Rolle in der Kolonne, die Kolonne selbst sowie der Bezug zu Projekt und Datum.
• Zweck: Anzeige der eigenen Kolonne für die Koordination auf der Baustelle.
• Ausführlich siehe Abschnitt 8.

h) Lokale technische Daten / Synchronisation

• Datenarten: eine technische Kennung je Schreibvorgang, die verhindert, dass derselbe Eintrag doppelt verarbeitet wird; eine Warteschlange auf dem Gerät („Outbox“) mit den Schreibvorgängen, die noch offen sind; die Angabe, aus welcher Quelle ein Eintrag stammt; der Verbindungsstatus; Version und Build der App; die Geräteplattform; die eingestellte Sprache.
• Zweck: Die Daten sollen zuverlässig übertragen werden, auch wenn Sie zwischendurch offline sind. Dieselbe Meldung wird dabei nicht doppelt verarbeitet. Wir können nachweisen, woher ein Eintrag stammt, und einfache technische Fehler eingrenzen.
• Hinweis: Dabei sind keine Drittanbieter eingebunden. Sämtliche technischen Daten bleiben zwischen der App und unserem eigenen Server.

i) Ereignisprotokoll auf dem Server

• Datenarten: je Ereignis ein Eintrag mit dem Zeitpunkt (Serverzeit), der Ereignisart, der handelnden Person sowie der betroffenen Baustelle, der Kolonne und dem Datum. Als Ereignis werden unter anderem festgehalten: Schichtbeginn, Schichtende, Planänderung, Änderungen an Stammdaten, Anmeldung im Verwaltungsportal sowie Ausgabe und Entzug einer Geräte-Registrierung. Bei Schichtbeginn und Schichtende kommen die Zeitstempel nach c) hinzu, dazu das Anwesenheits-Kennzeichen, der Genauigkeitsradius und das Kennzeichen für simulierte Standorte.
• Zweck: Nachvollziehbarkeit der Arbeitszeiterfassung und Klärung strittiger Schichten. Ausführlich siehe Abschnitt 9.
• Hinweis: Das Protokoll entsteht ausschließlich auf unserem Server und wird dort nur in der Datenbank geführt. Eine Protokolldatei auf dem Server legen wir bewusst nicht an. Auf Ihrem Gerät wird nichts davon gespeichert. Koordinaten speichert das Protokoll nicht zusätzlich. Wer es im Verwaltungsportal ansieht, bekommt die Koordinaten angezeigt, die für die jeweilige Schicht ohnehin schon nach b) erhoben wurden.

j) Pausen (Pause/Fortsetzen)

• Datenarten: Beginn und Ende einer Pause innerhalb der Schicht, wobei die Uhrzeit auch hier der Server setzt; der Bezug zur Schicht (Person und Datum); eine technische Kennung des Eintrags. Es wird dabei kein Standort erhoben, weder beim Pausieren noch beim Fortsetzen (siehe Abschnitt 7).
• Zweck: Wir erfassen die gesetzlichen Ruhepausen (§ 4 ArbZG: 30 Minuten bei mehr als 6 Stunden, 45 Minuten bei mehr als 9 Stunden Arbeitszeit) und ermitteln daraus die Netto-Arbeitszeit. Ist eine Pflichtpause nach ArbZG zu kurz erfasst, ist das lediglich ein Prüfhinweis für das Büro und führt zu keinem Abzug.
• Geplantes Mittagsfenster mit automatischem Abzug: Für eine Baustelle ist ein geplantes Mittagsfenster hinterlegt (Voreinstellung 12:00–13:00 Uhr, im Verwaltungsportal einstellbar). Dieses Fenster ziehen wir von der entgeltrelevanten Netto-Arbeitszeit automatisch ab, auch wenn Sie keine Pause gedrückt haben. Doppelt abgezogen wird nichts: Abgezogen wird die Zeit, die in Ihre tatsächlichen Pausen oder in das geplante Fenster fällt, jede Minute davon nur einmal. Der Abzug wirkt nur auf Schichten, die nach Einführung dieser Funktion geöffnet wurden. Für manuell erfasste Zeiten (Abschnitt 4 c) und für Zeiten, die der Vorarbeiter korrigiert hat (Abschnitt 4 k), gilt er nicht. Auch das ist eine automatisierte Entscheidung, die sich auf Ihr Entgelt auswirkt. Deshalb haben Sie dabei die Rechte aus Abschnitt 15.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO für die Erfassung der Arbeits- und Pausenzeiten; für den automatischen Abzug zusätzlich Art. 22 Abs. 2 lit. a DSGVO (Abschnitt 15).

k) Korrekturen durch den Vorarbeiter

• Funktion: Ist das Gerät eines Monteurs ausgefallen (z. B. leerer Akku) oder besteht keine Verbindung, kann der Vorarbeiter (Kolonnenführer) über seine App Schichtbeginn, Schichtende und Pausen nachtragen oder korrigieren. Das gilt nur für die Monteure seiner eigenen Kolonne und nur für den laufenden Tag.
• Datenarten: die korrigierten Zeiten (Beginn, Ende, Pausen), die Begründung im freien Text, die der Vorarbeiter zwingend angeben muss, die korrigierende Person, der Zeitpunkt der Korrektur nach Serverzeit sowie die Gegenüberstellung „alt → neu“. Der ursprünglich erfasste Wert wird nicht überschrieben, sondern als Vorfassung aufbewahrt. Es wird dabei kein Standort erhoben, weder beim Vorarbeiter noch beim betroffenen Monteur.
• Transparenz: Über jede Korrektur Ihrer Schicht benachrichtigt Sie die App darüber. Jede Korrektur wird im Ereignisprotokoll festgehalten (Abschnitt 9). Bei Unstimmigkeiten entscheidet das Büro.
• Keine automatisierte Entscheidung: Auf manuell korrigierte Zeiten wenden wir die automatische Rundung (Abschnitte 4 c und 15) nicht an, denn die Zeit hat ein Mensch festgelegt. Art. 22 DSGVO ist damit nicht berührt.
• Begründungsfeld: Die Begründung ist ein Pflichtfeld mit freiem Text. Wir bitten Sie ausdrücklich, dort keine Gesundheitsangaben und keine Angaben zu Dritten einzutragen. Die sachliche Ursache genügt, also etwa „Handy leer“ und nicht der Krankheitsgrund einer Kollegin oder eines Kollegen. Weil der Text frei eingegeben wird, kann die App das technisch nicht verhindern. Die Beschäftigten werden im Rahmen der betrieblichen Einweisung darauf hingewiesen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO für die Arbeitszeiterfassung. Dass der Vorarbeiter auf die Zeiten seiner Kolonne zugreifen kann, stützen wir auf Art. 6 Abs. 1 lit. f DSGVO mit Interessenabwägung (siehe Abschnitt 8).
• Speicherdauer: Korrektur und Begründung wirken sich auf das Entgelt aus und werden wie die Schichtdaten nach c) aufbewahrt. Der Protokolleintrag unterliegt der Frist von 90 Tagen nach Abschnitt 9.

l) Urlaubsanträge

• Funktion: Sie können in der App einen künftigen Urlaubszeitraum beantragen. Der Antrag wird dem Büro angezeigt und dort bearbeitet.
• Datenarten: der beantragte Zeitraum (von/bis), die Anzahl der darin liegenden Arbeitstage (Mo–Fr), die dafür angerechneten Stunden (8 Stunden je Arbeitstag). Dazu der Status des Antrags („offen“, „genehmigt“ oder „abgelehnt“), der Zeitpunkt der Antragstellung sowie der Zeitpunkt der Entscheidung und die Stelle, die sie getroffen hat. Einen Grund für den Urlaub erheben wir nicht, ein solches Feld existiert nicht.
• Entscheidung durch einen Menschen: Ein Antrag löst für sich genommen nichts aus. Erst wenn eine Person im Büro ihn ausdrücklich genehmigt, wird für die betroffenen Arbeitstage der Status „Urlaub“ eingetragen und der Überstunden-Saldo entsprechend verringert. Das Büro kann den Zeitraum bei der Genehmigung auch ändern. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.
• Transparenz: Sie sehen Ihre eigenen Anträge und deren Status in der App und werden über die Entscheidung benachrichtigt. Anträge anderer Beschäftigter werden Ihnen nicht angezeigt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Arbeitsverhältnisses und die Urlaubsgewährung; Art. 6 Abs. 1 lit. c DSGVO für die Dokumentation.
• Speicherdauer: Der Urlaub wird auf den Überstunden-Saldo angerechnet und wirkt sich damit auf das Entgelt aus. Die Daten werden deshalb wie die Schichtdaten nach c) aufbewahrt.

m) Mitteilungen in der App (Benachrichtigungen)

• Was Sie erhalten: eine Liste von Hinweisen zu Ihren eigenen Vorgängen: Der Vorarbeiter hat Ihre Schicht korrigiert (Abschnitt 4 k), Ihr Tagesplan wurde geändert, Ihr Urlaubsantrag wurde genehmigt oder abgelehnt.
• Zusätzlich für Kolonnenführer: Wer die Rolle des Vorarbeiters hat, erhält Hinweise zu den Schichten seiner eigenen Kolonne: Schicht geöffnet, Schicht geschlossen, Pause begonnen, Pause fortgesetzt sowie der Hinweis, dass eine Schicht zum geplanten Beginn noch nicht geöffnet wurde. Diese Hinweise nennen den Namen der betroffenen Person und die Uhrzeit. Sie dienen der Koordination der Kolonne und der Korrekturfunktion nach Abschnitt 4 k), nicht der Leistungsbewertung. Sie beziehen sich ausschließlich auf den laufenden Tag und werden nach dessen Ablauf gelöscht. Über mehrere Tage sammelt sich dabei nichts an.
• Datenarten: die Art des Hinweises, der Zeitpunkt, der Bezug auf Datum und Schicht, bei Hinweisen zur Kolonne der Name der betroffenen Person und die betreffende Uhrzeit sowie das Kennzeichen „gelesen“.
• Keine Push-Nachrichten: Die Hinweise holt die App beim Öffnen vom Server ab, sonst nicht. Push-Dienste (Firebase/FCM, APNs) setzen wir nicht ein. Auf Ihrem Gerät wird die Liste nicht dauerhaft gespeichert.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Hinweise zu eigenen Vorgängen, damit Sie wissen, welche Einträge Ihre Arbeitszeit betreffen. Die Hinweise zur Kolonne an den Vorarbeiter stützen wir auf Art. 6 Abs. 1 lit. f DSGVO: Wir haben ein berechtigtes Interesse daran, die Kolonne zu koordinieren und die Zeiterfassung vollständig zu halten.
• Speicherdauer: Hinweise zu Ihren eigenen Vorgängen bleiben 30 Tage ab dem Ereignis gespeichert, Hinweise zur Kolonne nur bis zum Ende des jeweiligen Tages. Danach werden sie jeweils automatisch gelöscht (Abschnitt 12).

n) Zugewiesene Betriebsmittel (Fahrzeug, Werkzeugcontainer)

• Datenarten: die Art des Betriebsmittels (Fahrzeug oder Werkzeugcontainer), die Bezeichnung, das Kennzeichen bzw. die Nummer und ein Hinweis zum Zustand. Das bezieht sich jeweils auf den laufenden Tag und beschränkt sich auf das, was Ihnen persönlich oder Ihrer Kolonne zugewiesen ist.
• Zweck: Die App zeigt Ihnen die Zuweisung für den Tag, also womit Sie an diesem Tag fahren bzw. arbeiten. Außerdem lässt sich zuordnen, wer für das überlassene Betriebsmittel verantwortlich ist.
• Personenbezug: Die Angaben betreffen Sachen. Weil sie Ihrer Person bzw. Ihrer Kolonne zugeordnet werden, sind sie mittelbar personenbezogen. Eine Ortung von Fahrzeugen findet nicht statt. Telematik gibt es nicht, Positionsdaten von Betriebsmitteln ebenso wenig.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Arbeitsverhältnisses; Art. 6 Abs. 1 lit. f DSGVO für die ordnungsgemäße Verwaltung der überlassenen Betriebsmittel.
• Speicherdauer: Wir bewahren die Zuweisung auf, solange sie gilt. Darüber hinaus bleibt sie so lange gespeichert, wie sie nötig ist, um Zuständigkeit und Verbleib des Betriebsmittels zu klären.

5. Rechtsgrundlagen der Verarbeitung

Wir stützen die Verarbeitung auf folgende Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Wir führen das Beschäftigungsverhältnis durch und erfassen dafür die Arbeitszeit. Dazu gehören die Angaben zu Ihrer Identität (Ihre interne Beschäftigten-Kennung und Ihre Rolle in der App), die Daten zu Schicht und Arbeitszeit, die Arbeitsberichte sowie die Anzeige Ihres eigenen Tagesplans.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Wir sind verpflichtet, die Arbeitszeit zu erfassen und aufzubewahren (vgl. Rechtsprechung des BAG, Beschluss vom 13.09.2022, 1 ABR 22/21, sowie Arbeitszeitgesetz).
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Wir weisen damit Standort und Anwesenheit nach, sichern die Bindung der App an ein Gerät, koordinieren die Kolonne über die Kolonnendaten und sorgen für eine zuverlässige Synchronisation. Unsere berechtigten Interessen sind insbesondere:
  • Wir wollen die Anwesenheit auf der zugewiesenen Baustelle nachweisen und fehlerhafte oder missbräuchliche Zeiteinträge vermeiden (Schutz vor Zeitbetrug);
  • die Anmeldung soll sicher sein und die App an ein einzelnes registriertes Gerät gebunden bleiben (Schutz vor unbefugtem Zugriff);
  • wir wollen die Arbeit ordnungsgemäß organisieren und die Kolonnen auf der Baustelle koordinieren;
  • die erfassten Arbeitszeiten sollen richtig und unverfälscht sein, und nachträglich veränderte Uhrzeiten sowie simulierte Standorte sollen erkennbar bleiben. Das liegt zugleich im Interesse der Beschäftigten, denn ihre korrekt erfassten Zeiten sind dadurch belastbar dokumentiert;
  • Eintragungen und Änderungen im System sollen nachvollziehbar bleiben, damit sich strittige Schichten klären lassen (Ereignisprotokoll, Abschnitt 9);
  • die App soll korrekt laufen, ohne Ausfälle und ohne doppelte Einträge;
  • wir prüfen eine einzelne Ortung auf Plausibilität, indem wir sie innerhalb der Kolonne quervergleichen (Abschnitt 4 b). Das schützt gerade auch Sie vor einem unbegründeten Verdacht, wenn die Abweichung die ganze Kolonne betrifft;
  • wir dokumentieren die erbrachten Leistungen je Projekt, um sie gegenüber dem Auftraggeber nachzuweisen und abzurechnen (Arbeitsberichte, Abschnitt 4 e);
  • Sie sollen Ihre Tageszuweisung auch bei schlechter Verbindung sehen können, damit auf der Baustelle klar ist, wer wo eingeteilt ist (Tagesplan, Abschnitt 4 f);
  • der Vorarbeiter soll die Kolonne koordinieren können, und die Zeiterfassung soll vollständig sein (Mitteilungen an Kolonnenführer, Abschnitt 4 m);
  • wir wollen die überlassenen Betriebsmittel ordnungsgemäß verwalten (Abschnitt 4 n).
  Für die standortbezogene Verarbeitung führen wir eine dokumentierte Interessenabwägung durch. Dass wir den Standort datenschutzfreundlich und rein ereignisbezogen erfassen (siehe Abschnitt 7), ist ein wesentlicher Bestandteil dieser Abwägung. Sie haben das Recht, dieser Verarbeitung aus Gründen Ihrer besonderen Situation zu widersprechen (Art. 21 DSGVO, siehe Abschnitt 14).
• Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 26 Abs. 3 BDSG (Gesundheitsdaten): Diese Grundlage gilt für die AU-Bescheinigung, die Sie hochladen (siehe Abschnitt 6).

6. Gesundheitsbezogene Daten (Krankmeldung und AU-Bescheinigung)

Sie können Ihre Arbeitsunfähigkeit direkt über die App melden. Wir verarbeiten dabei nur, was notwendig ist:

• Was erhoben wird: der Zeitraum der Arbeitsunfähigkeit, den Sie angeben, und ein Foto Ihrer Arbeitsunfähigkeitsbescheinigung, das Sie in der App aufnehmen (Ausfertigung für den Arbeitgeber, ohne Diagnose). Damit entfällt die Übergabe in Papierform oder per Messenger. Die deutschen Aufsichtsbehörden sehen darin Gesundheitsdaten und damit eine besondere Kategorie personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO.
• Keine Diagnose: Angaben zur Art der Erkrankung erheben wir in keiner Form. Es gibt dafür weder ein Auswahlfeld noch ein Freitextfeld.
• Nur Kamera, kein Zugriff auf Ihre Fotos: Das Bild entsteht ausschließlich mit der Kamera im Moment der Meldung. Auf Ihre Galerie oder Mediathek greift die App nicht zu und fordert dafür auch kein Systemrecht an. In Ihrer Galerie wird das Bild nicht gespeichert. Videos werden nicht aufgenommen und serverseitig zurückgewiesen.
• Wer es sieht: nur befugte Stellen des Büros und der Personalverwaltung über das Verwaltungsportal. Kolleginnen und Kollegen sowie der Vorarbeiter sehen weder die Bescheinigung noch den Status „Krank“. Die Kolonnenansicht der App gibt Abwesenheitsstatus grundsätzlich nicht aus. Ihre eigenen Krankheitstage sehen Sie selbst in der Kalenderansicht.
• Rechtsgrundlage: Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG. Damit erfüllen wir Pflichten aus dem Arbeitsrecht, vor allem die Anzeige- und Nachweispflicht nach § 5 EFZG, und halten die dort geforderten angemessenen Schutzmaßnahmen ein. Daneben gilt Art. 6 Abs. 1 lit. c DSGVO. Eine Einwilligung ist hierfür ausdrücklich nicht die Grundlage.
• Schutzmaßnahmen (§ 26 Abs. 3 BDSG): Wir übertragen verschlüsselt (TLS) und legen die Bilddatei verschlüsselt auf dem Server ab. Sie liegt getrennt von den übrigen Dateien und trägt einen zufällig vergebenen Dateinamen. Zugriff hat nur, wer im Verwaltungsportal angemeldet ist. Jeden Aufruf einer Bescheinigung halten wir im Ereignisprotokoll fest (Abschnitt 9). Die Aufbewahrung ist nach dem Löschkonzept verkürzt, und Diagnosen erfassen wir nicht.
• Auf dem Gerät: Die Aufnahme bleibt nur bis zur Übertragung im Arbeitsspeicher. Weder in der Galerie noch in einer Warteschlange auf dem Gerät wird sie gespeichert. Übermittelte Bescheinigungen zeigt die App nicht wieder an.
• Speicherdauer: Die Bilddatei löschen wir automatisch, sobald die im Löschkonzept festgelegte Frist abgelaufen ist. Der gemeldete Zeitraum gehört zur Arbeitszeitdokumentation und bleibt nach den Fristen in Abschnitt 12 erhalten.

7. Standortdaten: nur bei Schichtbeginn und Schichtende

Wir gehen mit Standortdaten bewusst so sparsam um wie möglich. Das bedeutet:

• Nur ereignisbezogen: Ihren Standort erfassen wir nur in dem Moment, in dem Sie eine Schicht öffnen oder schließen. Das geschieht durch Ihre bewusste Aktion in der App.
• Keine dauerhafte Ortung: Eine kontinuierliche Standortverfolgung findet nicht statt.
• Keine Hintergrund-Ortung: Im Hintergrund ortet die App Sie nicht. Wir empfehlen und nutzen die Standortberechtigung „nur beim Verwenden der App“ („While in Use“). Die Berechtigung „Immer“ (Hintergrund) wird nicht benötigt.
• Nicht in Pausen oder Freizeit: Außerhalb der beiden Ereignisse Schichtbeginn und Schichtende erheben wir keinen Standort. Das gilt vor allem für Pausen und für die Freizeit.
• Auch die Pause-Funktion erhebt keinen Standort: Wenn Sie eine Schicht pausieren und wieder fortsetzen, löst das keine Ortung aus. Gerade in der Pause verlassen Sie die Baustelle typischerweise.

Verarbeitung auf dem Server: Die Koordinaten gehen im Moment des Ereignisses an unseren eigenen Server. Dort prüfen wir über den räumlichen Abstand, ob Sie sich innerhalb des Baustellen-Radius befinden, und bilden daraus das Kennzeichen, ob Sie sich im Umkreis der Baustelle befanden. Die genauen Rohkoordinaten bewahren wir anschließend 60 Tage auf und löschen sie danach automatisch. Dauerhaft bleibt beim Schichteintrag nur dieses Kennzeichen.

Warum nicht sofort gelöscht wird: Die Koordinate ist das einzige Beweismittel, mit dem Sie einem für Sie nachteiligen Anwesenheits-Kennzeichen widersprechen und es überprüfen lassen können, also der Angabe, Sie seien nicht in der Nähe der Baustelle gewesen. Löschen wir sie sofort, bleibt Ihnen ein Rechenergebnis, das niemand mehr nachvollziehen kann. Die Frist von 60 Tagen deckt den laufenden und den darauf folgenden Abrechnungszeitraum ab, also den Zeitraum, in dem eine einzelne Schicht realistischerweise strittig wird. Sie ist kürzer als die Aufbewahrung des Ereignisprotokolls (90 Tage, Abschnitt 9). Ist die Frist abgelaufen, lässt sich aus keinem unserer Datenbestände mehr rekonstruieren, wo Sie sich befunden haben. Auch das Ereignisprotokoll zeigt dann keine Koordinaten mehr an, denn es speichert sie nicht selbst, sondern ruft sie aus dem Schichteintrag ab.

Zuverlässigkeit der einzelnen Ortung: Zusammen mit der Koordinate werden drei Angaben übermittelt, die beschreiben, wie belastbar genau diese eine Ortung ist: der Genauigkeitsradius in Metern, den das Betriebssystem meldet, das Kennzeichen für simulierte Standorte und der Zeitpunkt der GPS-Ortung. Mit dem Kennzeichen für simulierte Standorte meldet das Betriebssystem, dass die Koordinate nicht vom GPS-Empfänger stammt, sondern von einer Simulations-App. Diese Angaben beschreiben allein die Koordinate, die ohnehin erhoben wird. Sie erweitern die Beobachtung nicht: es wird nicht häufiger, nicht länger und an keinem weiteren Ort geortet. Sie dienen dazu, eine zuverlässige Ortung von einer vorgetäuschten oder ungenauen zu unterscheiden, und schützen Sie damit vor unbegründeten Verdächtigungen. Eine bloß ungenaue Ortung, etwa im Gebäudeinneren, wird dadurch als solche erkennbar und nicht als vermeintliche Abwesenheit von der Baustelle gewertet.

Quervergleich innerhalb der Kolonne: Unser Server vergleicht Ihre Koordinate beim Schichtbeginn zusätzlich mit dem Mittelwert der Koordinaten aus Ihrer Kolonne. Einbezogen wird, wer an diesem Tag auf derselben Baustelle eine Schicht geöffnet hat. Gespeichert wird davon ausschließlich der Abstand in Metern, also keine fremden Koordinaten und keine Angabe darüber, von wem sie stammen. Ist dieser Abstand groß, ist das ein Prüfhinweis für das Büro und keine Entscheidung über Sie (Abschnitt 15). Der Vergleich schützt zugleich Sie selbst: weicht die Ortung bei allen Beteiligten gleichermaßen ab, etwa wegen schlechten Empfangs an der Baustelle, ist erkennbar, dass es nicht an Ihnen liegt. Zusätzliche Daten werden hierfür nicht erhoben. Verglichen werden nur die Koordinaten, die ohnehin nach Abschnitt 4 b) erfasst werden.

Bewusster Verzicht auf weitergehende Ortungsmerkmale: Kennungen umliegender WLAN-Netze (BSSID) und Mobilfunkzellen (Cell ID) erfassen wir bewusst nicht, obwohl sie sich technisch nutzen ließen, um den Standort zu plausibilisieren. Ausschlaggebend war die Erforderlichkeit: Das Ziel erreichen wir schon mit den oben genannten, milderen Mitteln. Hinzu kommt, dass wir dabei Daten unbeteiligter Dritter verarbeiten würden.

Auf dem Gerät: Die Koordinaten liegen nur vorübergehend in der lokalen Warteschlange für die Synchronisation, bis sie übertragen sind. Die App empfängt außerdem die Koordinaten der Baustelle und deren Radius (100–300 m). Diese Angaben dienen nur der Anzeige auf dem Gerät und lassen selbst keinen Rückschluss auf Ihren Standort zu.

8. Daten über Kolleginnen und Kollegen (Kolonne)

Damit Sie sich auf der Baustelle abstimmen können, zeigt Ihnen die App Ihre Kolonne (Brigade) für den jeweiligen Tag. Diese Liste enthält Namen und Rollen Ihrer Kolleginnen und Kollegen, also personenbezogene Daten. Für diesen Zweck speichert die App die Liste kurzzeitig auf Ihrem Gerät.

• Datenminimierung: Zwischengespeichert wird nur das, was Sie zur Abstimmung brauchen (z. B. Vorname und Rolle).
• Kurze Speicherung: Auf dem Gerät liegt nur das aktuelle bzw. relevante Datum. Veraltete Einträge entfernt die App. Bei Abmeldung oder De-Registrierung wird die Liste gelöscht. Alte Kolonnenlisten sammeln sich auf dem Gerät nicht an.
• Betroffene Kolleginnen und Kollegen: Auch diese Personen sind betroffene Personen. Ihre Transparenz- und Betroffenenrechte deckt der Verantwortliche über die betriebliche Datenschutzinformation ab.
• Erweiterung für Kolonnenführer: Dem Vorarbeiter zeigt die App zusätzlich die Schichtzeiten der Monteure seiner eigenen Kolonne für den laufenden Tag, also Beginn, Ende, Pausen und Status. Das dient allein der Kolonnenübersicht und der Korrekturfunktion nach Abschnitt 4 k). Für diese Übersicht gilt: nur der laufende Tag, kurze Zwischenspeicherung, kein Verlauf auf dem Gerät.
• Auch die Mitteilungen enden mit dem Tag: Die Hinweise, die der Vorarbeiter zu Ereignissen seiner Kolonne erhält (Abschnitt 4 m), nennen den Namen der betroffenen Person. Auch sie gelten nur für den laufenden Tag. Ist der Tag vorbei, werden sie gelöscht und sind nicht mehr abrufbar. Auf die Vortage seiner Kolonne kann der Vorarbeiter damit nicht zurückblicken.
• Standortdaten von Kolleginnen und Kollegen: Für den Quervergleich nach Abschnitt 4 b) wird der Mittelwert der Koordinaten der Kolonne herangezogen. Fremde Koordinaten werden Ihnen dabei nicht angezeigt und auch nicht gespeichert. Gespeichert wird allein der Abstand in Metern.

9. Ereignisprotokoll (Systemprotokollierung)

Unser Server führt ein Ereignisprotokoll. Vorgänge, die für die Arbeitszeiterfassung erheblich sind, hält er mit Zeitpunkt und handelnder Person fest. Festgehalten werden insbesondere Schichtbeginn und Schichtende, Pause und Fortsetzen, Änderungen an der Tagesplanung und an den Stammdaten, Anmeldungen im Verwaltungsportal sowie die Ausgabe und der Entzug von Geräte-Registrierungen.

Erfasst das Büro eine Schicht ausnahmsweise manuell, weil keine Netzverbindung bestand (siehe Abschnitt 4 c), ist der Eintrag im Protokoll als solcher gekennzeichnet. Protokolliert wird auch jede Korrektur durch den Vorarbeiter, und zwar mit der korrigierenden und der betroffenen Person, mit der Gegenüberstellung „alt → neu“ und mit der Begründung.

Ebenfalls im Protokoll stehen die Meldung einer Arbeitsunfähigkeit (nur der gemeldete Zeitraum, nicht der Inhalt der Bescheinigung), die Stellung eines Urlaubsantrags und die Entscheidung über einen Urlaubsantrag. Als Schutzmaßnahme nach Abschnitt 6 wird zusätzlich jeder Aufruf einer AU-Bescheinigung im Verwaltungsportal festgehalten: wer, wann und wessen Bescheinigung.

Bei Schichtbeginn und Schichtende kommen hinzu: das Kennzeichen, ob Sie sich im Umkreis der Baustelle befanden, der Genauigkeitsradius, das Kennzeichen für simulierte Standorte und der Abstand zum Standort-Mittelwert der Kolonne (Abschnitt 4 b). Zeitstempel vom Gerät (Abschnitt 4 c) enthält das Protokoll nicht. Sie werden weder übermittelt noch entgegengenommen, und bereits vorhandene Einträge wurden bereinigt.

• Zweck: Die Arbeitszeiterfassung soll nachvollziehbar bleiben. Es soll also erkennbar sein, wer wann welchen Eintrag vorgenommen oder geändert hat. Außerdem dient das Protokoll dazu, strittige Schichten zu klären, nachträglich veränderte Uhrzeiten und vorgetäuschte Standorte zu erkennen und technische Fehler bei Synchronisationsstörungen zu finden.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, dass die Arbeitszeiterfassung richtig und nachvollziehbar ist. Für die Zeiterfassung selbst gelten Art. 6 Abs. 1 lit. b und lit. c DSGVO. Sie haben das Widerspruchsrecht nach Art. 21 DSGVO (Abschnitt 14).
• Speicherort: nur auf unserem eigenen Server in Deutschland/EU und dort nur in der Datenbank. Eine Protokolldatei auf dem Server führen wir bewusst nicht. So kommt man an das Protokoll allein über das Verwaltungsportal, mit Anmeldung und Rollenprüfung. An Dritte übermitteln wir es nicht. Auf Ihrem Gerät wird kein Protokoll geführt.
• Zugriff: Einsehen und als Textdatei ausleiten können das Protokoll ausschließlich berechtigte Personen der Disposition und der Verwaltung, die am Verwaltungsportal angemeldet sind. Für andere ist es technisch nicht zugänglich. Kolonnenleiter dürfen es nicht, Kolleginnen und Kollegen ebenfalls nicht. Eine ausgeleitete Datei enthält standardmäßig keine Koordinaten. Für den Export müssen sie ausdrücklich aktiviert werden, und die Datei ist dann entsprechend gekennzeichnet.
• Speicherdauer: 90 Tage. Danach werden die Protokolleinträge automatisch gelöscht. Die Frist ist so bemessen, dass sich strittige Schichten noch im laufenden Abrechnungszeitraum klären lassen.
• IP-Adresse: Bei der An- und Abmeldung im Verwaltungsportal sowie bei Schichtbeginn und Schichtende halten wir zusätzlich die IP-Adresse fest, von der die Anfrage kam. Das dient der Sicherheit: Wir wollen unbefugte Zugriffe erkennen, etwa das Erraten von Passwörtern, und strittige Schichten klären. Rechtsgrundlage ist Art. 6 (1) f DSGVO in Verbindung mit Erwägungsgrund 49 (Netz- und Informationssicherheit) sowie Art. 32 DSGVO. Die IP-Adresse wird gemeinsam mit dem übrigen Protokolleintrag nach 90 Tagen automatisch gelöscht.
• Datenminimierung: Protokolliert werden einzelne Ereignisse, keine fortlaufende Aktivität und keine Inhalte von Freitextfeldern. Koordinaten werden im Protokoll nicht ein zweites Mal gespeichert. Die Ansicht im Verwaltungsportal zeigt die Koordinaten, die für die jeweilige Schicht ohnehin nach Abschnitt 4 b) gespeichert sind. So kann eine zuständige Person eine Abweichung wirklich prüfen und muss sie nicht allein anhand eines abgeleiteten Kennzeichens beurteilen. Für diese Koordinaten gilt die Frist nach Abschnitt 4 b), also 60 Tage, und nicht die 90-Tage-Frist des Protokolls. Weil diese Frist kürzer ist, zeigen Protokolleinträge, die älter als 60 Tage sind, keine Koordinaten mehr. In eine Ausleitung können sie damit auch nicht mehr gelangen.
• Nutzerinnen und Nutzer des Verwaltungsportals (Disposition und Büro) sind für ihre protokollierten Handlungen ebenfalls betroffene Personen. Wir informieren sie darüber gesondert.

10. Empfänger und Auftragsverarbeiter

Interne Empfänger: Im Unternehmen erhalten nur die Stellen Zugriff auf Ihre Daten, die sie für die genannten Zwecke benötigen, etwa Personal- und Lohnbuchhaltung, Bau- und Projektleitung sowie Administration. Der Zugriff richtet sich dabei jeweils nach der Rolle und bleibt auf das Erforderliche beschränkt.

Auftragsverarbeiter (Art. 28 DSGVO): Die Daten der App werden auf einem Server des Verantwortlichen verarbeitet. Dieser Server läuft bei einem Hosting-Dienstleister (VPS-Hoster in Deutschland/EU). Mit diesem Dienstleister besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO oder wird ein solcher geschlossen.

11. Keine Übermittlung in Drittländer

In der aktuellen Fassung der App werden keine personenbezogenen Daten in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (Drittländer) übermittelt. Die Verarbeitung erfolgt auf einem Server, der in Deutschland/EU gehostet wird. Sollte sich das künftig ändern, etwa durch spätere Zusatzfunktionen wie Push-Benachrichtigungen, passen wir diese Datenschutzerklärung an und stellen die erforderlichen Garantien nach Kapitel V DSGVO sicher.

12. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder wie gesetzliche Aufbewahrungspflichten es vorsehen. Die konkreten Fristen legt der oder die Datenschutzbeauftragte in einem Löschkonzept fest.

• Identität und Geräte-Bindung: für die Dauer der Beschäftigung und der aktiven Geräte-Registrierung. Wird das Gerät de-registriert, geht es verloren oder wird es gewechselt, oder endet das Arbeitsverhältnis, wird der Token unverzüglich entzogen. QR-Code und Kurz-Code gelten nur einmal und nur kurz.
• Standort-Rohdaten: 60 Tage ab dem Schichtdatum. Danach werden die genauen Koordinaten des Schichtbeginns und des Schichtendes automatisch gelöscht. Beim Schichteintrag verbleiben nur das abgeleitete Anwesenheits-Kennzeichen und die Zuverlässigkeitsmerkmale der Ortung, also der Genauigkeitsradius und das Kennzeichen für simulierte Standorte. Aus ihnen lässt sich kein Aufenthaltsort ableiten. Der Schichteintrag selbst bleibt als Arbeitszeitnachweis nach den gesetzlichen Fristen erhalten. Gelöscht wird also nicht Ihre Arbeitszeit, sondern deren Ortsbezug.
• Ereignisprotokoll (Abschnitt 9): 90 Tage ab dem protokollierten Ereignis. Danach werden die Einträge in der Datenbank automatisch gelöscht, einschließlich der erfassten IP-Adresse.
• Arbeitszeitdaten: nach Maßgabe der gesetzlichen Aufbewahrungspflichten, u. a. § 16 Abs. 2 ArbZG (2 Jahre). Soweit die Daten lohn- oder steuerrelevant sind, gelten zusätzlich die handels- und steuerrechtlichen Fristen (§ 257 HGB, § 147 AO, bis zu 6–10 Jahre). Der abgeleitete Beginn, der für die Vergütung maßgeblich ist, und die Pausenzeiten (Abschnitt 4 j) wirken sich auf das Entgelt aus. Sie werden deshalb nach denselben Fristen mit dem Schichteintrag aufbewahrt und nicht nach der 90-Tage-Frist des Protokolls.
• AU-Bescheinigung (Bilddatei): Sie ist ein Gesundheitsdatum. Wir speichern sie deshalb streng minimiert, verschlüsselt und gesondert und bewahren sie nur so lange auf, wie es der Personalprozess erfordert (Löschkonzept). Danach wird die Datei automatisch gelöscht. Auf dem Gerät wird sie gar nicht erst gespeichert (Abschnitt 6).
• Gemeldeter Krankheitszeitraum und Urlaubsanträge: Sie gehören zur Arbeitszeitdokumentation. Weil sie auf den Überstunden-Saldo angerechnet werden, wirken sie sich auf das Entgelt aus. Wir bewahren sie deshalb wie die Arbeitszeitdaten auf und nicht nach der Frist für die Bilddatei.
• Arbeitsberichte: so lange, wie das Projekt und die Dokumentation es erfordern. Sind sie für die Abrechnung relevant, gelten die handels- und steuerrechtlichen Fristen.
• Tagesplan und Kolonnenliste auf dem Gerät: nur aktuelle bzw. relevante Daten. Bei Abmeldung oder De-Registrierung werden sie gelöscht.
• Technische Daten der Übertragung: Einträge in der Warteschlange werden nach erfolgreicher Übertragung gelöscht. Eine technische Kennung des Eintrags verbleibt beim zugehörigen Datensatz, solange dieser aufbewahrt wird. Sie sorgt dafür, dass ein Eintrag nicht doppelt gezählt wird und nachvollziehbar bleibt.

13. Ihre Rechte als betroffene Person

Im Rahmen der gesetzlichen Voraussetzungen haben Sie folgende Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung Ihrer Daten, soweit keine Aufbewahrungspflichten oder sonstigen Gründe entgegenstehen (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit für Daten, die wir automatisiert verarbeiten und die auf einem Vertrag oder auf Ihrer Einwilligung beruhen (Art. 20 DSGVO);
• Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO, siehe Abschnitt 14).

Wenn Sie eines dieser Rechte ausüben möchten, wenden Sie sich an die in Abschnitt 1 genannte Stelle oder an unsere/n Datenschutzbeauftragte/n (Abschnitt 2).

Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO)

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Dieses Recht haben Sie zusätzlich zu jedem anderen Rechtsbehelf. Zuständig ist besonders die Behörde in dem Mitgliedstaat, in dem Sie sich aufhalten, in dem Sie arbeiten oder in dem der mutmaßliche Verstoß stattgefunden hat.

14. Widerspruchsrecht (Art. 21 DSGVO)

Den Widerspruch können Sie formlos an die in Abschnitt 1 genannte Stelle oder an unsere/n Datenschutzbeauftragte/n richten.

15. Automatisierte Entscheidungen im Einzelfall (Art. 22 DSGVO)

Eine Entscheidung, die ausschließlich auf automatisierter Verarbeitung beruht und Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt (Art. 22 DSGVO). Davon gibt es zwei Ausnahmen: die Rundung des Abrechnungsbeginns und den Abzug des geplanten Mittagsfensters. Beide sind unten beschrieben.

Mehrere Angaben dienen nur als Prüfhinweis. Dazu gehören das vom Server berechnete Kennzeichen, ob Sie sich im Umkreis der Baustelle befanden, das Kennzeichen für simulierte Standorte und der Abstand zum Standort-Mittelwert der Kolonne (Abschnitt 4 b). Ebenso behandeln wir eine zu kurz erfasste Pflichtpause nach ArbZG und Auffälligkeiten im Ereignisprotokoll (Abschnitt 9). Eine zuständige Person bewertet solche Hinweise im Verwaltungsportal immer selbst; von sich aus lösen sie für Sie keine Folge aus. Ein Profiling findet nicht statt, also keine automatisierte Bewertung Ihres Verhaltens oder Ihrer Leistung.

16. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO), um Ihre Daten zu schützen, unter anderem diese:

• Transportverschlüsselung: Zwischen App und Server werden die Daten verschlüsselt übertragen (TLS/HTTPS über den eingesetzten Reverse-Proxy).
• Sichere Speicherung auf dem Gerät: Den gerätegebundenen Token legen wir im geschützten Speicher des Betriebssystems ab (Keychain bzw. Keystore).
• Zugriffskontrolle: Wer welche Daten sieht, richtet sich nach der Rolle, und jede Rolle erhält nur das Erforderliche. Die App darf ausschließlich die eigenen Daten der beschäftigten Person lesen und schreiben. Der Zugriff auf Gesundheitsdaten (AU-Bescheinigungen) ist besonders stark eingeschränkt.
• Datenminimierung: Den Standort erfassen wir nur zu bestimmten Ereignissen. Die Rohkoordinaten bewahren wir befristet auf 60 Tage auf und löschen sie danach automatisch. Auf dem Gerät speichern wir möglichst wenig zwischen, und das nur kurz.
• Gerätebindung & Entzug: Die App ist an ein einzelnes registriertes Gerät gebunden. Geht das Gerät verloren, wechseln Sie es oder wird es de-registriert, entziehen wir den Token sofort.
• Protokollierung: Vorgänge, die für Sicherheit und Abrechnung wichtig sind, lassen sich über das Ereignisprotokoll nachvollziehen (Abschnitt 9). Die Speicherdauer ist auf 90 Tage begrenzt, und der Zugriff richtet sich nach der Rolle.

17. Zugriff auf Ihr Gerät (BYOD, § 25 TDDDG)

Sie nutzen die App auf Ihrem persönlichen Gerät (BYOD, „Bring Your Own Device“). Eine Geräteverwaltung (MDM) kommt nicht zum Einsatz. Wenn wir Informationen auf Ihrem Endgerät speichern oder darauf zugreifen (u. a. der Anmelde-Token und lokale Zwischenspeicher), ist § 25 TDDDG maßgeblich. Nach unserer Einschätzung sind diese Speicher- und Zugriffsvorgänge unbedingt erforderlich, damit die App die von Ihnen ausdrücklich gewünschte Funktion bereitstellen kann (mögliche Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG). Die abschließende datenschutzrechtliche Einordnung bestätigt der/die Datenschutzbeauftragte, vor allem für den Standortzugriff. Auf den Standort greift die App zudem erst zu, nachdem Sie das im Berechtigungsdialog des Betriebssystems freigegeben haben, und nur zu den beiden Ereignissen Schichtbeginn und Schichtende.

18. Freiwilligkeit / Erforderlichkeit der Bereitstellung

Ihre Arbeitszeit zu erfassen und die Daten bereitzustellen, die für die Durchführung des Beschäftigungsverhältnisses erforderlich sind, ist vertraglich bzw. gesetzlich veranlasst. Ohne diese Daten lässt sich die Arbeitszeit nicht ordnungsgemäß erfassen und abrechnen. Wo wir uns auf Art. 6 Abs. 1 lit. f DSGVO stützen (vor allem beim Standort), steht Ihnen das Widerspruchsrecht nach Art. 21 DSGVO zu (Abschnitt 14). Sollte eine einzelne Funktion ausnahmsweise auf einer Einwilligung beruhen, ist diese freiwillig; Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen.

19. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Datenverarbeitung ändert (z. B. wenn neue Funktionen wie Push-Benachrichtigungen dazukommen) oder rechtliche Vorgaben das erfordern. Es gilt jeweils die Fassung, die auf dieser Seite veröffentlicht ist.

20. Kontakt

Bei Fragen zum Datenschutz oder wenn Sie Ihre Rechte ausüben möchten, erreichen Sie uns hier: