Datenschutz im Team-Bereich

← zurück zur Dienstseite

Worum es geht

Der Bereich unter /dienst ist das interne Werkzeug des Teams: Reservierungen, Schichtplan mit Mitfahren, Stempeluhr, Übergabe, HACCP und Inventur. Er ist nicht öffentlich, steht in keiner Suchmaschine und öffnet sich nur mit deinem Namen und deiner PIN. Diese Seite sagt dir, was dabei über dich gespeichert wird, warum, wie lange — und wer es sieht. Sie ergänzt die allgemeine Datenschutzerklärung.

Wer verantwortlich ist

Fragen zu deinen Daten: Silvan.

Dein Zugang

• Gespeichert sind dein Name, deine Rolle (Team oder Leitung), dein Bereich und ob dein Zugang aktiv ist.
• Deine PIN kennen wir nicht: Gespeichert ist nur ein daraus errechneter Wert, aus dem sie sich nicht zurückrechnen lässt. Eine neue PIN setzt die Leitung.
• Nach der Anmeldung liegt auf deinem Gerät ein Cookie (td_team, 30 Tage gültig). Es ist technisch nötig, damit du angemeldet bleibst, und wird beim Abmelden ungültig. Außerdem merkt sich dein Browser deinen Namen für die Vorauswahl — nur auf deinem Gerät.
• Fehlgeschlagene Anmeldungen zählen wir je Name und je Internetadresse, um Durchprobieren zu verhindern (fünf Fehlversuche sperren den Namen eine Viertelstunde). Die Internetadressen löschen wir spätestens nach einem Tag.

Grundlage: dein Arbeitsverhältnis (§ 26 BDSG) und die Sicherheit des Systems (Art. 6 Abs. 1 Buchst. f DSGVO).

Zugang Forsthaus

Für den Zugang des Forsthauses (/forsthaus, nur mit PIN) speichern wir nur einen errechneten Wert (Hash) seiner Sitzung für 30 Tage und bei Anmeldeversuchen die Internetadresse für einen Tag, und das Forsthaus sieht nur die Belegung des Ateliers ohne Gastdaten.

Schichtplan und Abwesenheiten

• Deine Schichten (Tag, Zeit, Bereich, Rolle) sieht das ganze Team, sonst kann niemand planen. Ob du eine Schicht zugesagt hast, sieht das Team ebenfalls. Eine Notiz zu deiner Antwort, den Grund, wenn du eine Schicht abgibst, und eine Bedingung, wenn du dich für eine Schicht meldest, sehen nur du und die Leitung. Sagst du ab oder kreuzt „schwierig" an, bekommt die Leitung das mit deiner Notiz als Push-Nachricht; dafür liegt die Antwort kurz in einer Warteschlange, die wir sieben Tage nach dem Versand löschen.
• Änderungen an deinen Schichten merkt sich die App, damit du sie unter „Meine" als „Seit deinem letzten Besuch" siehst. Gelesene löschen wir nach 90 Tagen, alle anderen nach zwölf Monaten.
• Trägst du ein, wann du nicht kannst, sieht das Team nur, dass du in der Zeit fehlst. Warum („kann nicht", „Urlaub" oder „krank") und deine Notiz dazu sehen nur du und die Leitung. „Krank" ist ein Gesundheitsdatum; mehr als dieses eine Wort brauchen wir nicht, und du musst keine Notiz dazuschreiben.
• Abwesenheiten löschen wir zwölf Monate nach ihrem Ende. Du kannst eigene Einträge jederzeit selbst ändern oder löschen.
• Für den Kalender-Abo-Link bekommst du einen persönlichen Schlüssel. Wer den Link kennt, sieht deine zugesagten Schichten; deshalb kannst du ihn unter „Meine" jederzeit erneuern, dann gilt der alte nicht mehr.
• Die Leitung kann eine Woche zuerst als Entwurf planen. Den sieht nur die Leitung, bis sie ihn genehmigt. Entwürfe bleiben gespeichert, bis die Leitung sie löscht.
• Wichtige Schritte im Schichtplan (etwa wer eine Schicht übernommen oder eine Abwesenheit eingetragen hat) stehen ohne Notizen in einem internen Verlauf, den nur die Leitung sieht. Wir löschen ihn nach zwölf Monaten.

Grundlage: Durchführung des Arbeitsverhältnisses (§ 26 Abs. 1 BDSG), für „krank" zusätzlich § 26 Abs. 3 BDSG in Verbindung mit Art. 9 Abs. 2 Buchst. b DSGVO.

Zeitmessung am Abend

• Unter „Abend" tippt ihr für jeden Tisch, wann die Gäste da sind, bestellt haben, den ersten Teller und den Hauptgang bekommen und die Rechnung wollen. Zu jeder Uhrzeit speichern wir, wer sie getippt hat. Das sieht niemand in der App, es steht nur in der Datenbank, damit sich ein Fehler nachvollziehen lässt. 30 Tage nach dem Besuchstag löschen wir diese Angabe, die Uhrzeiten bleiben.
• Ausgewertet werden die Zeiten je Tisch, je Ankunftszeit und je Tischgröße, nie je Person aus dem Team. Die Zeiten hängen an der Reservierung und verschwinden mit ihr.

Mitfahren (freiwillig)

• Brauchst du eine Fahrt, trägst du an einem Tag mit eigener Schicht ein Gesuch ein: Uhrzeit, von wo und wohin. Höchstens drei Gesuche am Tag, etwa für Hin- und Rückweg. Gespeichert werden dein Name, der Tag, die Uhrzeit, Von und Nach. Sagt jemand zu, steht dort auch, wer dich mitnimmt.
• Bei Von und Nach darfst du eine genaue Adresse angeben, auch deine Wohnadresse. Statt oder zusätzlich zum Text kannst du mit „Meinen Standort nehmen" deinen Standort angeben. Dein Gerät fragt dich vorher um Erlaubnis. Wir nehmen ihn genau einmal, wenn du den Knopf drückst, und verfolgen dich nicht. Gespeichert werden die Koordinaten, auf etwa einen Meter gerundet, und die Genauigkeit in Metern. Wir schicken sie an keinen anderen Dienst und machen keine Adresse daraus. Den Standort kannst du jederzeit entfernen oder neu nehmen. Ein eingetippter Ort reicht.
• Deine Gesuche mit Von, Nach und Standort sehen du selbst, alle, die an dem Tag Schicht haben (also alle, die dich mitnehmen könnten), und die Leitung. Die Leitung sieht die nächsten zwei Wochen auch an Tagen, an denen sie selbst nicht arbeitet. Mitnehmen oder ein Gesuch eintragen kann jede Person nur an Tagen mit eigener Schicht (eine Position im Plan, die sie nicht mit ❌ abgesagt hat).
• „Route öffnen" öffnet Google Maps (am Handy die Karten-App) mit dem Startpunkt des Gesuchs als Ziel, also den Koordinaten oder dem eingetippten Ort. Das passiert erst, wenn jemand den Knopf drückt. Dann gelten die Datenschutzbestimmungen von Google.
• In Push-Nachrichten, im Protokoll und in der Sicherungskopie stehen Von, Nach und Standort nie. Eine Push-Nachricht sagt höchstens, wer wann eine Fahrt sucht und ob hin zur Mühle oder zurück.
• In der Nacht nach dem Tag löschen wir alle Gesuche des Tages automatisch, mit Adressen und Standorten. Zurücknehmen kannst du ein Gesuch jederzeit selbst, eine Zusage ebenso.
• Fällt deine letzte Schicht an einem Tag weg, weil sie gelöscht, verschoben, jemand anderem gegeben oder von dir mit ❌ abgesagt wird, löschen wir sofort deine Gesuche für diesen Tag und ziehen deine Zusagen zurück.
• Hast du Push eingeschaltet, bekommst du Bescheid, wenn jemand an deinem Schichttag eine Fahrt sucht, wenn dich jemand mitnimmt oder die Zusage zurückzieht und wenn jemand, den du mitnimmst, das Gesuch ändert oder zurücknimmt.

Grundlage: Durchführung des Arbeitsverhältnisses (§ 26 Abs. 1 BDSG). Mitmachen ist freiwillig. Für den Standort zusätzlich deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO), die du durch Entfernen des Standorts jederzeit widerrufen kannst.

Stempeluhr

• Jeder Stempel (Start, Feierabend) wird mit der Uhrzeit des Servers und deinem Namen gespeichert. Daraus rechnet die App Anwesenheit, gesetzliche Pause und Stunden.
• Korrekturen — von dir selbst bis 14 Tage zurück, danach durch die Leitung — werden angehängt: Der alte Stempel bleibt mit Begründung und Namen dessen, der korrigiert hat, erhalten. Gelöscht oder überschrieben wird nie. Das schützt dich genauso wie den Betrieb.
• Die App prüft die Arbeitszeitregeln (Höchstarbeitszeit, Ruhezeit, bei Jugendlichen die Spätgrenze) und zeigt dir und der Leitung Hinweise. Sie sperrt nichts und entscheidet nichts automatisch.
• Vergisst du den Feierabend, stempelt die App dich nachts aus und bittet dich, die Zeit zu prüfen.
• Deine eigenen Stempel siehst du jederzeit unter „Stempeln" und im Archiv. Die Stunden aller sieht nur die Leitung. Deinen Stundenlohn trägt die Leitung ein; daraus rechnet die App deinen Verdienst des Monats (Richtwert, maßgeblich ist die Lohnabrechnung). Den Verdienst siehst nur du und die Leitung. Dein Trinkgeld rechnet die App aus deinen Stunden; deinen Anteil siehst nur du und die Leitung, er geht nicht in die Steuer-CSV. Für die Lohnabrechnung gehen sie monatlich an: fehlt: Lohnbüro oder Steuerberatung mit Ort.
• Dein Geburtsdatum trägt die Leitung ein. Damit prüft die App, ob für dich die Grenzen des Jugendarbeitsschutzgesetzes gelten, beim Stempeln und wenn du dich selbst in eine Schicht einträgst. Ohne Geburtsdatum kannst du dich nicht selbst eintragen, weil sich dann nicht prüfen lässt, ob du volljährig bist. Statt des Datums kann die Leitung auch nur festhalten, dass du volljährig bist. Eintragen und sehen kann es nur die Leitung.

Grundlage: gesetzliche Aufzeichnungspflichten (§ 16 Abs. 2 ArbZG, § 17 MiLoG; Art. 6 Abs. 1 Buchst. c DSGVO). Aufbewahrung: sechs Jahre, weil die Stunden Grundlage der Lohnabrechnung sind (§ 147 AO).

Übergabe

Notizen aus der Übergabe sieht das ganze Team, mit deinem Namen und der Uhrzeit. Schreib dort nichts über Gäste oder Kollegen, was nicht alle lesen sollen. Eigene Notizen kannst du eine Stunde lang löschen, danach die Leitung. Nach 90 Tagen löschen wir sie automatisch; offene „Erledigen"-Punkte bleiben, bis jemand sie abhakt.

HACCP und Inventur

Bei jedem Eintrag der Eigenkontrolle stehen dein Name und die Uhrzeit — das verlangt die Lebensmittelhygiene (VO (EG) Nr. 852/2004; Art. 6 Abs. 1 Buchst. c DSGVO), und die Lebensmittelkontrolle darf die Aufzeichnungen sehen. Einträge werden nur angehängt; stornieren kann nur die Leitung, mit Begründung. Aufbewahrung: zwei Jahre. Bei der Inventur steht, wer welchen Artikel gezählt hat.

Protokoll

Wer einen Tisch umbaut, eine Reservierung einträgt oder absagt, eine Schicht ändert oder einen Stempel korrigiert, steht mit Namen und Uhrzeit im Protokoll. Das sieht nur die Leitung. Gastnamen und die Art einer Abwesenheit stehen dort nicht. Teilt die Leitung jemanden trotz einer Planungsregel ein (etwa zu kurze Ruhezeit oder Jugendarbeitsschutz), steht dort auch, welche Regel für wen bewusst übergangen wurde. Einträge löschen wir nach zwölf Monaten.

Zu jeder Reservierung gibt es außerdem einen Verlauf: wer wann Tisch, Raum, Datum, Uhrzeit, Personenzahl oder Status geändert hat und ob der Gast eine Mail bekam. Das sehen alle Angemeldeten in der geöffneten Reservierung. Gastdaten stehen dort nicht. Der Verlauf bleibt so lange wie die Reservierung selbst.

Push-Nachrichten (freiwillig)

Schaltest du über die Glocke Benachrichtigungen ein, speichern wir die Adresse deines Geräts beim Push-Dienst von Apple, Google oder Mozilla und zwei Schlüssel. Die Nachrichten gehen verschlüsselt über diesen Dienst an dein Gerät. Ausschalten geht jederzeit über die Glocke — dann löschen wir den Eintrag sofort. Nachrichten an mehrere Personen warten bis zu einige Minuten in einer Warteschlange auf dem Server (Titel und Kurztext, nie Adressen oder Standorte) und werden sieben Tage nach dem Versand gelöscht. Grundlage: deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO).

Wo die Daten liegen

Bei Cloudflare, in unserem Auftrag (siehe allgemeine Datenschutzerklärung). Eine tägliche Sicherungskopie liegt ebenfalls dort und wird nach 30 Tagen überschrieben. Außerhalb des Teams, des Lohnbüros und — bei HACCP — der Lebensmittelkontrolle bekommt niemand deine Daten.

Gastdaten, die du siehst

Auf der Dienstseite siehst du Namen und Telefonnummern von Gästen. Sie sind nur für den Betrieb da: nicht abfotografieren, nicht weitergeben, nicht privat nutzen. Nach einer Absage und 30 Tage nach dem Besuch löscht die App sie von selbst.

Deine Rechte

Du kannst Auskunft über deine Daten verlangen, sie berichtigen oder — soweit keine Aufbewahrungspflicht besteht — löschen lassen, die Verarbeitung einschränken lassen, ihr widersprechen und deine Daten in einem gängigen Format erhalten (Art. 15 bis 21 DSGVO). Eine Einwilligung (Push) kannst du jederzeit widerrufen. Du kannst dich bei der Landesbeauftragten für den Datenschutz Niedersachsen beschweren (Prinzenstraße 5, 30159 Hannover). Niemand hat einen Nachteil davon, dass er nachfragt.