Datenschutzerklärung
Stand: 16. Oktober 2026 · Version 2026-10-16
1. Überblick und Geltungsbereich
Diese Erklärung informiert nach Art. 13 und 14 DSGVO darüber, wie personenbezogene Daten auf www.shiftfy.de, in der Shiftfy-Webanwendung und in der Shiftfy-App für iOS verarbeitet werden.
- Besucherinnen und Besucher der Website sowie Nutzerinnen und Nutzer eines Shiftfy-Kontos: Für Konto, Anmeldung, Sicherheit, Abrechnung und Website sind wir verantwortlich (Abschnitte 2 bis 3).
- Beschäftigte unserer Kunden: Daten, die ein Arbeitgeber in seinem Shiftfy-Arbeitsbereich verarbeitet (z. B. Schichten, Arbeitszeiten, Abwesenheiten), verarbeiten wir in seinem Auftrag nach Art. 28 DSGVO. Verantwortlich ist dann Ihr Arbeitgeber (Abschnitt 4).
2. Verantwortlicher und Datenschutz-Kontakt
Verantwortlich für die in Abschnitt 3 beschriebenen Verarbeitungen ist:
Bashabsheh Vergabepartner
Inhaber: Mohammad Bashabsheh
Kaiserring 14-16
68161 Mannheim, Deutschland
Telefon: +49 176 30365636
E-Mail: Kontakt@shiftfy.info
Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG derzeit nicht zu benennen. Für alle Datenschutzfragen erreichen Sie uns unter der oben genannten E-Mail-Adresse.
3. Zwecke, Rechtsgrundlagen und Speicherdauer
Wir verarbeiten personenbezogene Daten nur, soweit eine Rechtsgrundlage besteht. Die folgende Übersicht nennt Zweck, Daten, Rechtsgrundlage und Speicherdauer.
| Zweck | Daten | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Aufruf der Website und der Anwendung | IP-Adresse, aufgerufene Adresse, Zeitpunkt, Browser-Angaben | Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb) | Kurzfristige Protokolle des Hosting-Anbieters, automatische Löschung |
| Konto und Nutzung von Shiftfy | Name, E-Mail-Adresse, Telefon (freiwillig), Passwort (nur als Hash), Sprache, Profilbild (freiwillig) | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Bis zur Löschung des Kontos; nach Ende der Testphase oder des Abonnements 30 Tage, danach werden Arbeitsbereich und Konten gelöscht (Hinweis per E-Mail vorab) |
| Anmeldung mit Google, Microsoft oder Apple (auf Ihren Wunsch) | Name, E-Mail-Adresse, Kennung beim Anbieter; Zugangs-Token speichern wir nicht | Art. 6 Abs. 1 lit. b DSGVO | Bis zur Löschung des Kontos |
| Sicherheit: Anmeldeschutz, Zwei-Faktor-Authentifizierung, Missbrauchsabwehr, Protokoll sicherheitsrelevanter Aktionen | IP-Adresse oder Konto-Kennung, Zeitpunkte, Aktion | Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten und Daten), Art. 32 DSGVO | Zähler wenige Minuten; Aktionsprotokoll 365 Tage |
| Abrechnung und Rechnungen von Shiftfy | Firma, Anschrift, USt-IdNr., Rechnungs-E-Mail, Zahlungsstatus | Art. 6 Abs. 1 lit. b und c DSGVO i. V. m. § 147 AO, § 14b UStG | Rechnungen 8 Jahre, Bücher 10 Jahre |
| Servicenachrichten (E-Mail, Push, In-App) | E-Mail-Adresse, Geräte-Token, Inhalt der Nachricht | Art. 6 Abs. 1 lit. b DSGVO | In-App-Nachrichten 90 Tage, Versandwarteschlange 30 Tage |
| Support und Feedback | Nachricht, Kontaktangaben, technische Angaben | Art. 6 Abs. 1 lit. b oder f DSGVO | 2 Jahre nach Eingang |
| Fehlerüberwachung der Server | Fehlermeldung, Zeitpunkt, betroffene Funktion; Zugangsdaten und Kennungen werden vorher entfernt | Art. 6 Abs. 1 lit. f DSGVO (stabiler Betrieb) | Nach den Einstellungen des Anbieters, höchstens 90 Tage |
| Reichweitenmessung (Vercel Web Analytics) | Aufgerufene Seite, Herkunftsseite, Gerätetyp; keine Cookies | Nur mit Ihrer Einwilligung: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG | Aggregierte Auswertung; Widerruf jederzeit über die Cookie-Einstellungen |
| Nachweis der Annahme von AGB und Datenschutzhinweisen | Version, Zeitpunkt | Art. 6 Abs. 1 lit. c und f DSGVO | Bis zur Löschung des Kontos |
Ist die Speicherdauer abgelaufen, werden die Daten automatisch gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
4. Daten von Beschäftigten unserer Kunden
Arbeitgeber nutzen Shiftfy zur Schichtplanung, Arbeitszeiterfassung und Abwesenheitsverwaltung. Für diese Daten ist der jeweilige Arbeitgeber verantwortlich; er informiert seine Beschäftigten über Zwecke und Rechtsgrundlagen. Wir verarbeiten die Daten ausschließlich nach seinen Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).
- Verarbeitete Daten: Name, Kontaktdaten, Position, Vertragsdaten (z. B. Wochenstunden, Stundensatz), Schichten, Arbeits- und Pausenzeiten, Abwesenheiten, Verfügbarkeiten, Qualifikationen; optional Angaben für Meldungen zur Sozialversicherung und für das Bewachungsgewerbe (§ 34a GewO).
- Standort: Nur im Moment des Ein- und Ausstempelns und beim Erstellen eines Nachweisfotos in der App, sofern Sie die Standortfreigabe erteilt haben; ohne Freigabe funktioniert das Stempeln weiterhin. Es entstehen keine Bewegungsprofile. Ob ein Standort außerhalb des Einsatzobjekts das Stempeln verhindert, legt der Arbeitgeber je Einsatzobjekt fest. Die Koordinaten werden nach 7 Tagen gelöscht; gespeichert bleibt nur das Ergebnis (am Einsatzort ja oder nein, Entfernung).
- Automatisch stempeln am Einsatzort: Nur wenn der Arbeitgeber die Funktion einschaltet und Sie selbst zustimmen; ohne Ihre Zustimmung findet sie nicht statt, und manuelles Stempeln bleibt immer möglich. Die App überwacht dann auf Ihrem Gerät, ob Sie an Ihren Schichttagen rund um Ihre Schichtzeiten am Einsatzort ankommen oder sich von ihm entfernen. Erst bei einem solchen Ereignis wird ein einzelner Standort an Shiftfy übermittelt, wie beim manuellen Stempeln; Shiftfy prüft damit die Entfernung zum Einsatzort und stempelt Sie ein oder aus. Außerhalb Ihrer Schichtzeiten wird nichts übermittelt, und es entstehen keine Bewegungsprofile. Die Koordinaten werden nach 7 Tagen gelöscht. Ihre Zustimmung wird mit Zeitpunkt gespeichert; Sie können sie jederzeit in der App widerrufen.
- Nachweisfotos: Werden nach 90 Tagen gelöscht.
- Krankmeldungen: Shiftfy speichert Zeitraum und Art der Abwesenheit, niemals eine Diagnose. Benachrichtigungen per E-Mail und Push bezeichnen eine Krankmeldung nie als solche.
- KI-Erkennung von Stundenzetteln: Nur wenn der Arbeitgeber sie freischaltet. Das Foto wird zur Texterkennung übermittelt (Abschnitt 5), nicht gespeichert, und das Ergebnis wird vor der Übernahme von einem Menschen geprüft.
Fragen und Anträge zu diesen Daten richten Sie bitte an Ihren Arbeitgeber. Erreicht uns eine solche Anfrage, leiten wir sie an ihn weiter und unterstützen ihn bei der Beantwortung.
5. Auftragsverarbeiter
Wir setzen folgende Dienstleister ein. Mit allen bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Die jeweils aktuelle Liste mit Zweck, Ort und Garantie veröffentlichen wir auf der Seite „Unterauftragsverarbeiter“.
a) Vercel Inc.: Hosting der Anwendung
Sitz: USA. Ausführung der Anwendung in Frankfurt am Main (Region fra1). Verarbeitet werden alle Anfragen an die Anwendung. Ein Zugriff aus den USA ist bei Support und Wartung möglich. Garantie: EU-US Data Privacy Framework (Vercel ist zertifiziert) sowie EU-Standardvertragsklauseln. Datenschutzhinweise von Vercel.
b) Supabase Inc.: Datenbank und Dateispeicher
Sitz: USA. Speicherung aller Anwendungsdaten und hochgeladenen Dateien in Irland (AWS eu-west-1). Ein administrativer Zugriff aus den USA ist möglich. Garantie: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzhinweise von Supabase.
c) Resend Inc.: E-Mail-Versand
Sitz: USA. Versand von Servicenachrichten über Server in Irland (AWS eu-west-1). Verarbeitet werden Empfängeradresse, Betreff, Inhalt und Zustellprotokolle. Garantie: EU-US Data Privacy Framework (Resend ist zertifiziert) sowie EU-Standardvertragsklauseln. Datenschutzhinweise von Resend.
d) Stripe Payments Europe, Ltd.: Zahlungsabwicklung
Sitz: Irland, Konzernmutter in den USA. Abwicklung von Abonnements und Zahlungen; Kartendaten geben Sie direkt bei Stripe ein, wir speichern sie nicht. Für Betrugsprävention ist Stripe selbst verantwortlich. Garantie: EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln. Datenschutzhinweise von Stripe.
e) Functional Software, Inc. (Sentry): Fehlerüberwachung
Sitz: USA. Verarbeitung in der EU-Region von Sentry (Frankfurt am Main). Übermittelt werden technische Fehlerdaten der Server; Zugangsdaten, Cookies und IP-Adressen werden vor dem Versand entfernt. Im Browser werden Sitzungsaufzeichnung und Leistungsmessung nur mit Ihrer Einwilligung aktiviert. Garantie: EU-Standardvertragsklauseln. Datenschutzhinweise von Sentry.
f) Upstash, Inc.: Schutz vor Missbrauch und Zwischenspeicher
Sitz: USA. Verarbeitung in Frankfurt am Main (AWS eu-central-1). Zwecke: Begrenzung der Anfragen je IP-Adresse oder Konto (Zähler von wenigen Minuten), kurzlebige Zwischenspeicherung von Anwendungsdaten wie einmalig abrufbaren PIN-Freigaben (15 Minuten bis 24 Stunden) und Schutz vor doppelter Ausführung von Anfragen. Dabei können personenbezogene Daten enthalten sein; alle Einträge laufen automatisch ab. Garantie: EU-Standardvertragsklauseln. Datenschutzhinweise von Upstash.
g) Anthropic, PBC: KI-Erkennung von Stundenzetteln (optional)
Sitz: USA. Nur wenn ein Arbeitgeber die Funktion freischaltet und ein Foto eines Stundenzettels hochlädt, wird das Bild zur Texterkennung übermittelt. Anthropic nutzt die Daten nicht zum Training seiner Modelle. Garantie: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzhinweise von Anthropic.
h) OpenAI: Ausfallsicherung der KI-Erkennung (optional)
Sitz: USA. Nur wenn die Erkennung bei Anthropic nicht verfügbar ist, wird dasselbe Bild ersatzweise übermittelt. OpenAI nutzt über die Programmierschnittstelle übermittelte Daten nicht zum Training. Garantie: EU-Standardvertragsklauseln. Datenschutzhinweise von OpenAI.
6. Weitere Empfänger
- Push-Mitteilungen: Mitteilungen an iPhones werden über den Apple Push Notification Service der Apple Inc. (USA, EU-US Data Privacy Framework) zugestellt; Browser-Mitteilungen über den Push-Dienst Ihres Browsers, wobei der Inhalt Ende-zu-Ende verschlüsselt ist.
- Anmeldung mit Google, Microsoft oder Apple: Nur wenn Sie diese Anmeldung wählen; der jeweilige Anbieter ist dafür selbst verantwortlich.
- Geokodierung von Einsatzorten: Um Adressen von Einsatzorten in Koordinaten umzurechnen, sendet unser Server die Adresse an Open-Meteo und ersatzweise an den Dienst Nominatim der OpenStreetMap Foundation (Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission). Daten von Beschäftigten werden dabei nicht übermittelt.
- Vom Kunden eingerichtete Verbindungen: Kalenderabgleich mit Microsoft Outlook, Kalender-Abonnements und Webhooks erfolgen nur, wenn ein Kunde oder Nutzer sie einrichtet, und nur an die von ihm gewählten Empfänger. DATEV-Exportdateien lädt der Kunde selbst herunter und gibt sie selbst weiter; Shiftfy übermittelt nichts an DATEV.
- Behörden: Nur wenn wir gesetzlich dazu verpflichtet sind.
7. Übermittlung in Drittländer
Daten werden in der EU gespeichert. Mehrere Dienstleister haben ihren Sitz in den USA; Zugriffe von dort sind durch das EU-US Data Privacy Framework (Art. 45 DSGVO) oder EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert, für das Vereinigte Königreich durch einen Angemessenheitsbeschluss. Eine Kopie der Garantien erhalten Sie auf Anfrage unter Kontakt@shiftfy.info.
8. Cookies und Speicherung auf Ihrem Gerät
| Speicherung | Zweck | Grundlage |
|---|---|---|
| Anmelde- und Sicherheits-Cookies (next-auth) | Anmeldung, Schutz vor Fälschung von Anfragen | Unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) |
| Sprachauswahl | Anzeige in der gewählten Sprache | Unbedingt erforderlich |
| Cookie-Auswahl | Speichert Ihre Entscheidung im Cookie-Banner | Unbedingt erforderlich |
| Einstellungen, die Sie selbst wählen (z. B. Design, Seitenleiste, ausgeblendete Hinweise) | Ihre gewählte Darstellung beibehalten | Von Ihnen ausdrücklich gewünschte Funktion |
| Offline-Zwischenspeicher der Anwendung | Stempeln auch bei schlechter Verbindung | Von Ihnen ausdrücklich gewünschte Funktion |
| Reichweitenmessung (Vercel Web Analytics) | Nutzung der Seiten verstehen | Nur mit Einwilligung (§ 25 Abs. 1 TDDDG) |
| Sitzungsaufzeichnung und Leistungsmessung (Sentry, im Browser) | Fehler nachvollziehen | Nur mit Einwilligung |
Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile widerrufen; der Widerruf wirkt sofort.
9. Automatisierte Entscheidungen und KI
Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO. Shiftfy bietet Arbeitgebern Hilfsfunktionen wie Planungsvorschläge, die Reihenfolge von Vertretungsanfragen oder Hinweise auf Verstöße gegen das Arbeitszeitgesetz; der Arbeitgeber entscheidet über ihren Einsatz und ist für ihn verantwortlich. Ergebnisse der KI-Erkennung werden vor der Übernahme stets von einem Menschen geprüft.
10. Pflicht zur Bereitstellung
Für ein Konto benötigen wir Name, E-Mail-Adresse und ein Passwort oder eine Anmeldung über Google, Microsoft oder Apple. Ohne diese Angaben kann kein Vertrag geschlossen werden. Alle weiteren Angaben sind freiwillig, soweit nicht Ihr Arbeitgeber sie für das Arbeitsverhältnis benötigt.
11. Ihre Rechte
- Auskunft und Kopie (Art. 15 DSGVO): Unter Einstellungen können Sie alle zu Ihrem Konto gespeicherten Daten als Datei herunterladen.
- Berichtigung (Art. 16 DSGVO): Viele Angaben können Sie selbst ändern; im Übrigen wenden Sie sich an uns oder Ihren Arbeitgeber.
- Löschung (Art. 17 DSGVO): Sie können Ihr Konto in den Einstellungen löschen. Aufzeichnungen, die Ihr Arbeitgeber gesetzlich aufbewahren muss (z. B. Arbeitszeiten), bleiben in seinem Arbeitsbereich erhalten.
- Einschränkung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO): Auf Anfrage; der Export ist maschinenlesbar.
- Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen.
- Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Jederzeit mit Wirkung für die Zukunft.
Anfragen beantworten wir innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Wenden Sie sich an Kontakt@shiftfy.info.
12. Beschwerderecht
Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35
70191 Stuttgart
Telefon: +49 711 615541-0
E-Mail: poststelle@lfdi.bwl.de
www.baden-wuerttemberg.datenschutz.de
13. Änderungen
Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.