Datenschutzerklärung

1. Verantwortlicher

Heldenschmiede GmbH, Weinstraße 44, 67146 Deidesheim, vertreten durch den Geschäftsführer Dennis Hofmann.

Telefon: 06326-9899700
E-Mail: [email protected]

2. Hosting & Content-Delivery-Network

Diese Website und die Anwendung werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, gehostet. Beim Aufruf werden technisch notwendige Daten (u. a. IP-Adresse, Datum/Uhrzeit, Browsertyp) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, effizienten Bereitstellung).

Zur sicheren und schnellen Auslieferung setzen wir das Content-Delivery-Network der Cloudflare, Inc. (USA) als Auftragsverarbeiter ein. Dabei kann die IP-Adresse verarbeitet werden. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung in die USA stützt sich daher auf den Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO, hilfsweise auf die EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Verfügbarkeit).

3. Server-Logfiles

Bei jedem Zugriff werden automatisch Informationen in Server-Logfiles gespeichert (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browser, Betriebssystem). Diese Daten dienen der technischen Sicherheit und Stabilität und werden nach kurzer Zeit gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Demo-Zugang

Wenn Sie unseren kostenlosen Demo-Zugang anfordern, erheben wir Ihre E-Mail-Adresse. Diese verwenden wir, um Ihnen einen Bestätigungscode zu senden und einen Demo-Zugang bereitzustellen, sowie um Sie ggf. zu unserem Produkt zu kontaktieren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kontaktaufnahme zu Interessenten).

Für den Versand der E-Mails nutzen wir den Dienstleister Resend (Resend, Inc., USA) als Auftragsverarbeiter; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln. Sie können der Nutzung Ihrer E-Mail-Adresse zur Kontaktaufnahme jederzeit widersprechen.

5. Newsletter

Sie können sich auf unserer Website oder im Chat-Assistenten für unseren Newsletter anmelden. Dabei verarbeiten wir Ihre E-Mail-Adresse sowie zum Nachweis der Einwilligung den Zeitpunkt der Anmeldung, die Herkunft der Anmeldung (z. B. Website oder Chat) und Ihre IP-Adresse.

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach Eingabe Ihrer Adresse senden wir Ihnen eine Bestätigungsmail. Erst wenn Sie den darin enthaltenen Link anklicken, sind Sie angemeldet. Bestätigen Sie nicht, versenden wir keine Newsletter an Sie; der Bestätigungslink verliert nach sieben Tagen seine Gültigkeit.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink am Ende jeder Newsletter-Mail oder formlos per Nachricht an uns. Der Versand erfolgt über Resend (siehe Ziffer 4).

6. Registrierung und Nutzerkonto

Zur Nutzung von ShiftBar legen Sie ein Nutzerkonto an. Dabei verarbeiten wir die von Ihnen angegebenen Stammdaten (u. a. Name, E-Mail-Adresse, Betriebs- und Kontaktdaten) sowie die im laufenden Betrieb entstehenden Nutzungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Die Daten werden für die Dauer des Vertragsverhältnisses und darüber hinaus im Rahmen gesetzlicher Aufbewahrungspflichten gespeichert.

7. Zahlungsabwicklung

Für die Abwicklung kostenpflichtiger Abonnements nutzen wir den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland; für Verarbeitungen in den USA die Stripe, Inc.). Bei einem Kauf werden die für die Zahlung erforderlichen Daten (u. a. Name, E-Mail-Adresse, Rechnungsdaten sowie Zahlungsmittelangaben) unmittelbar durch Stripe verarbeitet. Vollständige Zahlungsdaten (z. B. Kreditkartennummern) werden ausschließlich von Stripe erhoben und gespeichert, nicht durch uns.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten). Soweit Daten in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

8. Verarbeitung im Auftrag unserer Kunden

Nutzen Sie ShiftBar als Betrieb, um Ihr Team zu verwalten, verarbeiten wir personenbezogene Daten Ihrer Beschäftigten (u. a. Stammdaten, Arbeits- und Schichtzeiten, Abwesenheiten, Vertrags- und Dokumentendaten) ausschließlich in Ihrem Auftrag und nach Ihren Weisungen. Datenschutzrechtlich Verantwortlicher hierfür sind Sie als Arbeitgeber; wir handeln als Auftragsverarbeiter nach Art. 28 DSGVO.

Über diese Auftragsverarbeitung schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung (AVV) ab, der Gegenstand, Umfang, Zweck und die technisch-organisatorischen Maßnahmen regelt.

Gespeichert werden die Anwendungsdaten — Personal-, Zeit- und Betriebsdaten — ausschließlich auf Servern der Hetzner Online GmbH in Deutschland: die Anwendung und die Datenbank im Rechenzentrum Nürnberg, die Sicherungskopien zusätzlich im Rechenzentrum Falkenstein. Für den technischen Betrieb setzen wir daneben die in den Ziffern 2, 4, 7, 10 und 11 genannten Auftragsverarbeiter ein, die dabei personenbezogene Daten erhalten können — teilweise mit Bezug zu Drittländern. Die vollständige Liste dieser Unterauftragsverarbeiter samt Zweck und Übermittlungsgrundlage finden Sie in Anlage 2 des Auftragsverarbeitungsvertrags.

9. Cookies

Diese Website und die Anwendung speichern nur technisch notwendige Informationen auf Ihrem Endgerät. Das sind: das Sitzungs-Cookie nach dem Anmelden, eine Sitzungskennung für den Chat-Assistenten, von Ihnen selbst gesetzte Anzeige-Einstellungen (z. B. Hell-/Dunkeldarstellung) sowie in der Anwendung zwischengespeicherte Stempelungen, damit ein Ein- oder Ausstempeln bei kurzem Funkloch nicht verloren geht. Eine Einwilligung ist hierfür nicht erforderlich (§ 25 Abs. 2 TDDDG).

Zur zwischengespeicherten Stempelung gehört, wenn Ihr Betrieb die Standortprüfung eingeschaltet hat, auch die beim Einstempeln ermittelte Position — sie muss mit übertragen werden, sobald wieder Netz da ist. Ein solcher Zwischenspeicher wird nach der Übertragung gelöscht; wird er länger als 36 Stunden nicht übertragen, wird er verworfen und nicht mehr nachgetragen.

Bis zum 31. August 2026 legte die Anwendung zusätzlich Ihren vollständigen Benutzerdatensatz im Speicher des Browsers ab (Name, E-Mail, Telefon, Rolle, Betrieb, Vertragsart und Vergütung). Dieser Eintrag wurde von keiner Funktion benötigt; er wird nicht mehr geschrieben und beim nächsten Aufruf der Anwendung von Ihrem Gerät entfernt. Wir nennen das hier, weil er auf gemeinsam genutzten Geräten — etwa einem Tablet hinter der Theke — liegen geblieben sein kann.

Wenn Sie ausdrücklich zustimmen, betreiben wir auf den öffentlichen Seiten von shiftbar.de eine eigene Besucherstatistik, um gewerbliches Interesse an ShiftBar zu erkennen, die Website zu verbessern und auffällige Zugriffe festzustellen. Dabei werden eine pseudonyme Sitzungskennung im Local Storage, die aufgerufene URL, Seitentitel und Referrer, Browserangaben sowie eine gekürzte IP-Adresse verarbeitet. Aus der IP-Adresse können über IPLocate Pty Ltd., 81-83 Campbell Street, Surry Hills NSW 2010, Australien, Unternehmen, Domain und ungefährer Standort abgeleitet werden. IPLocate stellt hierfür einen Auftragsverarbeitungsvertrag einschließlich EU-Standardvertragsklauseln bereit; Einzelheiten enthält der Auftragsverarbeitungsvertrag von IPLocate. Die Auswertung und Speicherung der Besuchsdaten erfolgt auf unserer eigenen Infrastruktur in Deutschland; die Daten werden nach spätestens 90 Tagen gelöscht. Eine geräteübergreifende Wiedererkennung findet nicht statt. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Einwilligung findet diese Erfassung nicht statt.

Sie können der Besucherstatistik jederzeit für diesen Browser widersprechen: Besucherstatistik deaktivieren. Dabei wird ein Opt-out-Hinweis im Local Storage gespeichert und die pseudonyme Sitzungskennung gelöscht. Löschen Sie den Browser-Speicher, muss der Widerspruch erneut gesetzt werden.

10. Chatbot / KI-Assistent

Auf unserer Website bieten wir einen Chat-Assistenten an, der Fragen zu ShiftBar beantwortet. Wenn Sie ihn nutzen, verarbeiten wir Ihre Eingaben im Chatverlauf sowie – sofern Sie diese angeben – Kontaktdaten (Name, Betriebsname, E-Mail-Adresse). Wir speichern den Gesprächsverlauf, eine Sitzungskennung und etwaige Kontaktdaten in unserer Datenbank, um Ihre Anfrage zu beantworten, den Assistenten zu verbessern und – falls Sie Kontaktdaten hinterlassen – Sie zu unserem Produkt zu kontaktieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktkommunikation und der Bearbeitung von Anfragen); bitten Sie um Kontaktaufnahme, zusätzlich Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme).

Die Antworten des Assistenten werden mit einem KI-Dienst der Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland als Auftragsverarbeiter erzeugt; die Verarbeitung erfolgt in den USA bei der Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA. Ihre Chat-Eingaben werden hierzu in die USA übermittelt; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO). Der KI-Dienst verarbeitet ausschließlich Ihre Angaben als Interessent, nicht die Personaldaten aus der Anwendung.

Anthropic speichert die übermittelten Ein- und Ausgaben nach eigenen Angaben bis zu 30 Tage und kann sie in dieser Zeit zur Erkennung von Missbrauch einsehen; danach werden sie gelöscht. Markiert Anthropics automatische Missbrauchserkennung eine Anfrage als Verstoß gegen die Nutzungsrichtlinie, können Ein- und Ausgaben bis zu zwei Jahre gespeichert werden, die zugehörigen Bewertungswerte bis zu sieben Jahre. Zum Training der KI-Modelle werden Ihre Eingaben nicht verwendet. Dies gilt für beide nachfolgend beschriebenen Assistenten.

Hinterlassen Sie Kontaktdaten, benachrichtigen wir unser Team ggf. per E-Mail; für den E-Mail-Versand nutzen wir Resend (siehe Ziffer 4). Bitte geben Sie im Chat keine Daten Dritter und keine besonderen Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) ein. Für die Dauer des Gesprächs kann eine technisch notwendige Sitzungskennung lokal auf Ihrem Endgerät gespeichert werden.

Hinterlassen Sie Kontaktdaten, übernehmen wir diese zusätzlich in unsere eigene Kundenverwaltung (CRM), um Ihre Anfrage weiterzuverfolgen. Übernommen werden Ihr Name, der Betriebsname, Ihre E-Mail-Adresse sowie der Gesprächsverlauf des Chats. Die Kundenverwaltung ist ein System der Heldenschmiede GmbH und läuft auf unserem Server bei der Hetzner Online GmbH in Deutschland (Falkenstein); die Daten werden dabei nicht an Dritte weitergegeben und verlassen die Europäische Union nicht. Verantwortlich bleiben wir. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung und Nachverfolgung von Anfragen); bitten Sie um Kontaktaufnahme, zusätzlich Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme). Sie können der weiteren Verarbeitung jederzeit widersprechen (siehe Ziffer 16).

In der Anwendung (app.shiftbar.de) steht eingeloggten Nutzern zusätzlich ein Support-Assistent zur Verfügung, der Fragen zur Bedienung beantwortet. Wenn Sie ihn nutzen, verarbeiten wir Ihre Chat-Eingaben, Ihre Rolle im Betrieb (z. B. Mitarbeiter oder Betriebsleitung) und den Namen Ihres Betriebs; der Gesprächsverlauf wird Ihrem Nutzerkonto und Ihrem Betrieb zugeordnet gespeichert. Auch diese Antworten werden mit dem KI-Dienst der Anthropic Ireland, Limited (Irland) als Auftragsverarbeiter erzeugt, verarbeitet in den USA bei der Anthropic PBC; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO). Der Assistent hat keinen Zugriff auf die in der Anwendung gespeicherten Personal-, Zeit- oder Abrechnungsdaten; er verarbeitet ausschließlich das, was Sie in den Chat schreiben. Bitte geben Sie daher auch hier keine sensiblen Daten und keine Daten Dritter ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Support im Rahmen des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizientem Support). Bitten Sie im Chat um Kontakt durch einen Menschen oder leitet der Assistent Ihre Anfrage weiter, informieren wir unser Team unter Angabe Ihres Namens, Ihrer E-Mail-Adresse und Ihres Anliegens (Versand über Resend, siehe Ziffer 4).

11. Fehlerdiagnose (Sentry)

Um technische Fehler in der Anwendung zu erkennen und zu beheben, setzen wir den Dienst Sentry (Functional Software, Inc., USA) als Auftragsverarbeiter ein. Die Verarbeitung erfolgt auf Servern in der Europäischen Union (EU-Datenregion). Tritt ein Fehler auf, werden technische Angaben verarbeitet: Browsertyp, Betriebssystem, Zeitpunkt, die Fehlermeldung samt technischer Ablaufinformationen sowie die aufgerufene Seite. Soweit dabei Daten in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und sicheren Betrieb).

Eine Aufzeichnung des Sitzungsverlaufs (sogenanntes Session Replay) findet nicht statt. Sollten wir eine solche Aufzeichnung künftig einsetzen, holen wir dafür vorab Ihre Einwilligung ein und passen diese Erklärung an.

12. Terminvereinbarung

Auf unserer Seite shiftbar.de/termin können Sie ein unverbindliches Beratungsgespräch buchen. Dabei verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer sowie den von Ihnen gewählten Termin. Wir verwenden diese Angaben, um den Termin einzurichten, Ihnen die Einladung samt Zugangslink zur Videokonferenz zu senden und Sie bei Rückfragen oder einer Terminänderung zu erreichen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage). Für die Terminverwaltung und die Videokonferenz nutzen wir Dienste der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Kalender und Google Meet) als Auftragsverarbeiter. Soweit dabei Daten an die Google LLC in den USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln. Die Terminbestätigung versenden wir über Resend (siehe Ziffer 4).

Der Termin selbst bleibt als Eintrag in unserem Kalender bestehen, solange er für die Nachvollziehbarkeit unserer Kundengespräche erforderlich ist. Ihre Kontaktdaten löschen wir, sobald der Termin abgewickelt ist und keine Anschlusskommunikation mehr zu erwarten ist — es sei denn, aus dem Gespräch entsteht ein Vertragsverhältnis oder gesetzliche Aufbewahrungspflichten stehen entgegen. Sie können der weiteren Nutzung Ihrer Kontaktdaten jederzeit widersprechen.

13. Push-Benachrichtigungen

Sie können in der Anwendung Push-Benachrichtigungen aktivieren, um über Dienstplanänderungen und Freigaben informiert zu werden. Erst mit dieser Aktivierung vergibt Ihr Browser eine Zustelladresse (einen sogenannten Endpunkt) und ein Schlüsselpaar; beides speichern wir zusammen mit der Bezeichnung Ihres Browsers, damit wir Ihnen Nachrichten zustellen können. Ohne Aktivierung entsteht nichts davon.

Die Zustellung selbst übernimmt der Push-Dienst Ihres Browsers — je nach Gerät Apple, Google oder Mozilla. Der Inhalt der Nachricht ist dabei verschlüsselt und für diese Anbieter nicht lesbar; die Zustelladresse und der Zeitpunkt sind es. Diese Anbieter sind keine von uns beauftragten Auftragsverarbeiter: Welcher Dienst zum Zug kommt, entscheidet Ihre Browserwahl, nicht wir. Rechtsgrundlage ist Ihre Einwilligung durch die Aktivierung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können die Benachrichtigungen jederzeit in der Anwendung oder im Browser wieder abschalten; die gespeicherte Zustelladresse wird dann gelöscht.

14. Standortprüfung beim Einstempeln

Diese Ziffer betrifft Beschäftigte unserer Kunden. Für diese Daten ist der jeweilige Betrieb verantwortlich, nicht die Heldenschmiede GmbH; wir verarbeiten sie als Auftragsverarbeiterin. Ihre Rechte richten Sie deshalb an Ihren Arbeitgeber. Wir beschreiben den Vorgang hier, damit er nachvollziehbar ist.

Ein Betrieb kann eine Standortprüfung einschalten; voreingestellt ist sie aus. Ist sie an, wird beim Einstempeln einmalig geprüft, ob sich das Gerät in der Nähe der Betriebsstätte befindet. Beim Ausstempeln und zwischen den Stempelungen findet keine Standorterfassung statt; ein Bewegungsprofil entsteht nicht.

Gespeichert wird das Ergebnis der Prüfung (innerhalb oder außerhalb) und eine grobe Entfernungsstufe. Die genaue Position wird nur bei einer Abweichung gespeichert und spätestens nach 30 Tagen automatisch gelöscht. Bei einer Abweichung erhält die Betriebsleitung eine E-Mail mit Name, Uhrzeit und Entfernungsstufe — die genaue Position steht nicht in dieser E-Mail.

15. Spracheingabe

An einzelnen Stellen der Anwendung können Sie Text diktieren statt zu tippen. Dafür nutzt die Anwendung die Spracherkennung Ihres Browsers. Je nach Browser und Gerät wird die Aufnahme dabei an den Anbieter des Browsers übertragen und dort in Text umgewandelt; das liegt außerhalb unseres Einflusses und richtet sich nach dessen Datenschutzhinweisen. Die Funktion startet ausschließlich, wenn Sie sie auslösen, und das Mikrofon wird erst dann angefragt. Wir speichern keine Audiodaten — nur den fertigen Text, den Sie anschließend absenden.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Zudem haben Sie ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.