Datenschutzhinweise

Verantwortliche

Gemeinsam Verantwortliche für die Verarbeitung sind die Arbeitgeber der Beschäftigten: Salamon Limberg eGbR (GsR 1041, Amtsgericht Düsseldorf) und NVG Neue Vestische Grundbesitz GmbH (HRB 104274, Amtsgericht Düsseldorf), beide Peter-Janssen-Straße 17a, 40237 Düsseldorf. Das Wesentliche der Vereinbarung nach Art. 26 DSGVO stellen wir auf Anfrage zur Verfügung. Datenschutzkontakt für beide Gesellschaften: Sebastian Limberg, sl@immo-post.com, Telefon 0157 736211992.

Zwecke und Rechtsgrundlagen

• Erfassung und Verwaltung von Arbeitszeiten, Abwesenheiten und Tätigkeiten zur Durchführung des Beschäftigungsverhältnisses (§ 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b DSGVO).
• Erfüllung gesetzlicher Aufzeichnungs- und Nachweispflichten, insbesondere der Arbeitszeitdokumentation (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem Arbeitszeitgesetz).
• Betriebssicherheit, Fehleranalyse und Nachvollziehbarkeit administrativer Änderungen über Audit-Protokolle (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem sicheren, prüffähigen Betrieb).

Datenkategorien

Stammdaten

Name, betriebliche E-Mail, Team, Rolle und Aktiv-Status.

Arbeitszeit

Zeitbuchungen, Pausen, Offline-Markierungen, Korrekturantraege und Korrekturbuchungen.

Tätigkeiten

Tätigkeitseinträge mit Objekt- und Adresszuordnung, Tätigkeitsart, Dauer, Notizen und Betriebskosten-Einstufung samt zugehörigen Korrekturanträgen.

Abwesenheit

Urlaub, Krankheit, Training und unbezahlte Abwesenheit ohne Diagnosefelder.

Reports

Private Wochenreports, Objektberichte (Auswertungen je Objekt, optional mit Mitarbeiternamen) und kurzlebige Zugriffslinks mit Zugriffsaudit.

Betrieb

Health-Status, technische Fehler und Audit-Ereignisse ohne Inhaltslogging.

Auftragsverarbeiter

Für den Betrieb der App werden folgende Dienstleister auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO) eingesetzt. Daneben werden Arbeitszeit- und Abwesenheitsdaten, soweit für die Lohn- und Gehaltsabrechnung erforderlich, an den mit der Lohnabrechnung beauftragten Steuerberater übermittelt sowie im Rahmen gesetzlicher Pflichten an Sozialversicherungsträger und zuständige Behörden. Eine darüber hinausgehende Weitergabe an Dritte findet nicht statt.

Supabase

Datenbank, Anmeldung und Datei-Speicher. Die Daten liegen in der Region eu-central-1 (Frankfurt am Main, AWS).

Vercel

Hosting und Auslieferung der App aus der Region Frankfurt am Main (fra1). Anbieter: Vercel Inc. (USA); Übermittlungen sind über EU-Standardvertragsklauseln abgesichert.

Resend

Versand der Anmelde- und Passwort-E-Mails; die Absender-Domain ist in der EU-Region (Irland) eingerichtet. Anbieter: Resend Inc. (USA); Übermittlungen sind über EU-Standardvertragsklauseln abgesichert.

Schutzmassnahmen

• Rollenbasierter Zugriff trennt Mitarbeitende, Teamleitung, HR und Admins.
• Reports liegen in privaten Storage-Pfaden und werden nur ueber kurzlebige Links geoeffnet.
• Krankheit wird nur als Status verarbeitet; Diagnosefelder sind nicht Bestandteil der App.
• Die App enthaelt keine GPS-Ortung, Biometrie, Screenshots oder permanente Aktivitaetsueberwachung.
• Administrative Aenderungen an Rollen, Teams, Arbeitszeitmodellen und Feiertagen werden auditiert.

Aufbewahrung und Löschung

• Arbeitszeitaufzeichnungen (Zeitbuchungen, Korrekturen) werden mindestens zwei Jahre aufbewahrt (§ 16 Abs. 2 ArbZG); bestehen steuer- oder sozialversicherungsrechtliche Pflichten, gelten die dort vorgesehenen längeren Fristen.
• Abwesenheitsdaten werden für die Dauer des Beschäftigungsverhältnisses und anschließend bis zum Ablauf der gesetzlichen Aufbewahrungsfristen gespeichert.
• Audit- und Zugriffsprotokolle werden so lange aufbewahrt wie die Vorgänge, die sie belegen.
• Noch nicht eingereichte Tätigkeits-Entwürfe können Mitarbeitende selbst verwerfen. Eingereichte und abgeschlossene Aufzeichnungen können nicht aus der App einzeln gelöscht werden. Bei einer Kontolöschung werden direkt identifizierende Profil- und Freitextdaten sofort pseudonymisiert; gesetzlich benötigte Nachweise bleiben bis zur dokumentierten Fristenprüfung gesperrt erhalten.

Ein öffentlicher, auch ohne Anmeldung erreichbarer Anfrageweg steht unter Konto- und Datenlöschung bereit. Angemeldete Beschäftigte können dort die unmittelbare Pseudonymisierung und globale Abmeldung selbst auslösen. Der Weg beschreibt außerdem Daten, die wegen gesetzlicher Pflichten zunächst weiter aufbewahrt werden müssen.

Pflicht zur Bereitstellung

Die Erfassung der Arbeitszeiten ist gesetzlich vorgeschrieben (Arbeitszeitgesetz; für geringfügig Beschäftigte zusätzlich § 17 Abs. 1 MiLoG) und Bestandteil der arbeitsvertraglichen Pflichten. Ohne diese Daten können Arbeitszeit, Vergütung und gesetzliche Nachweise nicht ordnungsgemäß abgewickelt werden.

Rechte der Beschäftigten

Beschäftigte haben gegenüber dem Verantwortlichen jederzeit das Recht auf:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)

Anfragen genügen formlos an sl@immo-post.com. Daneben besteht ein Beschwerderecht bei der zuständigen Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.