Datenschutzerklärung

für die App Shiftmate und die Website myshiftmate.de · Stand: Oktober 2026

1. Verantwortlicher und Rollen

Anbieter von Shiftmate ist:

Vasileios Apostolidis
VASI Design
Wilhelm-Liebknecht-Platz 6
04105 Leipzig
Deutschland
E-Mail: hi@vasilidesign.com
Telefon: +49 172 4310609

Bei Shiftmate gibt es zwei Rollen, je nachdem, um welche Daten es geht:

• Wir sind Verantwortlicher (Art. 4 Nr. 7 DSGVO) für die Daten zur Registrierung und zum Vertrag mit Betrieben, für Benutzerkonten und Anmeldung, für Support-Anfragen und für diese Website.
• Der Betrieb ist Verantwortlicher für die Daten, die er in Shiftmate über seine Mitarbeiter verwaltet – etwa Schichtplan, Arbeitszeiten, Urlaub und Personalakte. Wir verarbeiten diese Daten nur in seinem Auftrag und nach seinen Weisungen (Auftragsverarbeitung nach Art. 28 DSGVO, siehe AV-Vertrag).

Für Mitarbeiter: Fragen zu deinen Personaldaten und Anträge auf Auskunft, Berichtigung oder Löschung richtest du am besten direkt an deinen Arbeitgeber. Wenn du dich an uns wendest, leiten wir dein Anliegen an ihn weiter.

2. Registrierung und Konto

Registrierung eines Betriebs

Wenn sich ein Betrieb registriert, verarbeiten wir Name des Betriebs, Vor- und Nachname, E-Mail-Adresse, Telefonnummer (freiwillig) und das Passwort. Nach der Registrierung muss das Konto von uns freigeschaltet werden; dazu nehmen wir Kontakt auf. Zum Vertrag speichern wir außerdem das gebuchte Paket und die Laufzeit.

Rechtsgrundlage ist die Anbahnung und Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen und Vertragsunterlagen bewahren wir auf, solange das Steuer- und Handelsrecht es verlangt (in der Regel 6 bzw. 8 Jahre, § 147 AO, § 257 HGB; Art. 6 Abs. 1 lit. c DSGVO).

Benutzerkonto und Anmeldung

• E-Mail-Adresse und Passwort – das Passwort wird nur als sicherer Hash gespeichert, niemand kann es auslesen.
• Anmelde-Token – auf dem Server nur als Hash. Eine Anmeldung endet automatisch nach 60 Tagen ohne Nutzung.
• IP-Adresse bei fehlgeschlagenen Anmeldeversuchen – zum Schutz vor dem Erraten von Passwörtern, gelöscht spätestens nach 24 Stunden (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: Sicherheit der Konten).
• Code zum Zurücksetzen des Passworts – nur als Hash, 30 Minuten gültig.

Mitarbeiter erhalten ihren Zugang über eine Einladung ihres Betriebs (Code, Link, QR-Code oder E-Mail).

3. Daten im Betrieb (Mitarbeiterdaten)

Der Betrieb legt in Shiftmate fest, welche Daten er erfasst und wer im Team was sehen darf (Rollen und Rechte). Je nach Nutzung sind das:

Zweck ist die Organisation des Arbeitsverhältnisses: Dienstplanung, Arbeitszeiterfassung, Urlaubsverwaltung und die Vorbereitung der Lohnabrechnung. Rechtsgrundlage für den Betrieb sind Art. 6 Abs. 1 lit. b und c DSGVO in Verbindung mit § 26 BDSG (Beschäftigungsverhältnis, gesetzliche Pflichten wie die Aufzeichnung von Arbeitszeiten). Krankheitstage sind Gesundheitsdaten; sie werden nur zur Erfüllung arbeitsrechtlicher Pflichten verarbeitet (Art. 9 Abs. 2 lit. b DSGVO, § 26 Abs. 3 BDSG).

Daten des Betriebs sind strikt von anderen Betrieben getrennt. Wir sehen uns Inhalte nur an, wenn der Betrieb uns darum bittet (z. B. im Support) oder es für den Betrieb und die Sicherheit des Dienstes zwingend nötig ist.

4. Standort beim Stempeln

Ein Betrieb kann für ein Lokal festlegen, dass nur vor Ort gestempelt werden darf. Dann fragt die App nur in dem Moment, in dem du auf „Einstempeln“, „Weiter“ oder „Feierabend“ tippst, einmalig den Standort deines Geräts ab und vergleicht ihn auf dem Gerät mit dem Standort des Lokals.

• Deine Koordinaten werden nicht gespeichert und nicht an den Server übertragen. Gespeichert wird nur, ob die Prüfung erfolgreich war.
• Es gibt kein Tracking im Hintergrund; die App fragt den Standort nur „beim Verwenden der App“ ab.
• Du kannst den Zugriff jederzeit in den iOS-Einstellungen unter Shiftmate → Standort ändern. Ohne Standortfreigabe ist das Stempeln in Lokalen mit Standortprüfung nicht möglich.

Für Lokale stellt der Betrieb eine Adresse und einen Kartenpunkt ein. Die Umwandlung der Adresse in einen Kartenpunkt erfolgt über den Kartendienst von Apple.

5. Kamera, Fotos und Dateien

Die Kamera wird nur genutzt, wenn du selbst ein Dokument scannst oder einen Einladungs-QR-Code scannst. Dateien werden nur übernommen, wenn du sie selbst auswählst. Gescannte oder ausgewählte Dokumente werden als Teil der Personalakte des Betriebs gespeichert.

6. Push-Mitteilungen

Wenn du Mitteilungen erlaubst, erhält die App von Apple eine Geräte-Kennung (Push-Token), die wir auf unserem Server speichern. Darüber informieren wir dich z. B. über einen neuen Schichtplan, eine Entscheidung zu deinem Urlaubsantrag oder ein vergessenes Ausstempeln.

Die Zustellung erfolgt über den Apple Push Notification service (APNs) von Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA, bzw. Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Dabei werden das Push-Token und der Text der Mitteilung an Apple übermittelt. Für Übermittlungen in die USA ist Apple nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App-Funktionen). Du kannst Mitteilungen jederzeit in den iOS-Einstellungen abschalten; beim Abmelden wird das Push-Token gelöscht.

7. E-Mails und Anfrageformular

Wir versenden E-Mails, die für den Dienst nötig sind: Einladungen, Codes zum Zurücksetzen des Passworts, Bestätigungen zur Registrierung, Freischaltung und Löschung. Der Versand läuft über den Mailserver unseres Hosters in Deutschland. Werbe-E-Mails versenden wir nicht.

Anfrageformular auf der Website

Wenn du uns über das Formular auf myshiftmate.de schreibst, verarbeiten wir die Angaben, die du machst: Name, Betrieb, E-Mail-Adresse, Telefonnummer (freiwillig), Anzahl der Lokale und Mitarbeiter sowie deine Nachricht. Wir nutzen sie, um deine Anfrage zu beantworten und dir ein Angebot zu machen (Art. 6 Abs. 1 lit. b DSGVO). Die Anfrage wird per E-Mail an uns weitergeleitet; du erhältst eine Eingangsbestätigung. Zum Schutz vor Missbrauch wird deine IP-Adresse kurzzeitig gespeichert und nach spätestens 24 Stunden gelöscht (Art. 6 Abs. 1 lit. f DSGVO). Kommt kein Vertrag zustande, löschen wir die Anfrage, sobald sie erledigt ist, spätestens nach 6 Monaten.

8. Speicherung auf dem Gerät

Damit die App schnell ist und auch bei schlechtem Netz funktioniert, speichert sie die Daten, die du sehen darfst, auch auf deinem Gerät. Sie sind durch die Verschlüsselung von iOS geschützt, solange das Gerät gesperrt ist. Das Anmelde-Token liegt im iOS-Schlüsselbund. Beim Abmelden werden alle Daten des Betriebs vom Gerät gelöscht. Bitte schütze dein Gerät mit einem Code.

9. Website und Server-Protokolle

Beim Aufruf dieser Website und bei jeder Anfrage der App an den Server verarbeitet unser Hoster technisch notwendige Daten in Protokolldateien: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser- bzw. App-Kennung. Das dient dem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach kurzer Zeit automatisch gelöscht.

Diese Website setzt keine Cookies und nutzt keine Analyse- oder Werbedienste. Schriften und Skripte liegen auf unserem eigenen Server – es werden keine Inhalte von fremden Servern geladen.

10. Empfänger und Dienstleister

• Hosting, Datenbank und E-Mail: ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Die Daten werden in Rechenzentren in Deutschland gespeichert. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung.
• Push-Mitteilungen: Apple (siehe Abschnitt 6).
• App-Vertrieb: Die App wird über den App Store von Apple angeboten. Für Download und Abrechnung im App Store gilt die Datenschutzerklärung von Apple.

Innerhalb eines Betriebs sehen andere Nutzer nur, was ihre Rolle erlaubt (z. B. sehen Kollegen im Schichtplan Namen und Schichten, aber keine Lohndaten). Eine Weitergabe an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind.

11. Sicherheit

• Verschlüsselte Übertragung (HTTPS/TLS) zwischen App und Server
• Passwörter, Anmelde-Tokens und Codes nur als Hash gespeichert
• Strikte Trennung der Betriebe und Prüfung der Rechte auf dem Server bei jeder Anfrage
• Schutz vor dem Erraten von Passwörtern und automatisches Ablaufen alter Anmeldungen
• Server-Standort Deutschland

12. Speicherdauer und Konto löschen

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder das Gesetz es verlangt.

• Konto löschen in der App: Unter Einstellungen → „Konto löschen“ (oder im Anmeldefenster) kannst du dein Konto jederzeit selbst löschen.
  • Mitarbeiter: Dein Zugang wird sofort gelöscht. Die Personaldaten beim Betrieb (z. B. Arbeitszeiten, Urlaub) bleiben bestehen, weil dein Arbeitgeber sie gesetzlich aufbewahren muss; über ihre Löschung entscheidet der Betrieb.
  • Inhaber: Der Betrieb wird mit allen Daten – Mitarbeitern, Plänen, Zeiten, Abwesenheiten und Dokumenten – sofort aus der Datenbank gelöscht.
• Vertragsende: Nach Ende des Vertrags löschen wir die Daten des Betriebs, nachdem der Betrieb Gelegenheit zum Export hatte, spätestens 30 Tage nach Vertragsende.
• Sicherungskopien unseres Hosters werden im üblichen Rotationszyklus überschrieben.
• Aufbewahrungspflichten des Betriebs (z. B. für Arbeitszeitnachweise und Lohnunterlagen) liegen beim Betrieb. Shiftmate bietet dafür Exporte als Excel-Datei und PDF.

13. Deine Rechte

Du hast nach der DSGVO das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3), z. B. für Standort oder Mitteilungen in den iOS-Einstellungen.

Schreib uns dazu einfach an hi@vasilidesign.com. Geht es um Mitarbeiterdaten eines Betriebs, ist der Betrieb dein erster Ansprechpartner (siehe Abschnitt 1).

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist: Die Sächsische Datenschutz- und Transparenzbeauftragte, Devrientstraße 5, 01067 Dresden.

Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.