Datenschutz

Verantwortlicher

[Firmenname noch einsetzen]
[Firmenanschrift Straße]
[PLZ Ort]
Vertreten durch: [Geschäftsführer/Inhaber noch einsetzen]
Datenschutz-Kontakt: datenschutz@g-urlaub.de

Technischer Betreiber

Die App wird technisch entwickelt und betreut durch Tobias Glöckner, Weikersheimer Straße 3, 97990 Weikersheim. Technische Anfragen: tobi.urlaubsplaner@gmail.com.

Zweck und Datenkategorien

Die App dient ausschließlich der internen Urlaubs- und Abwesenheitsplanung. Verarbeitet werden im notwendigen Umfang:

• Stammdaten: Vor- und Nachname, Username, Rolle (Fahrer:in, Vorgesetzte:r, Admin), Team-Zuordnung (Pharma oder KFZ). Optional Telefonnummer, E-Mail, Geburtsdatum, Eintrittsdatum, KFZ-Kennzeichen und Fahrzeug-Bezeichnung, Profilbild.
• Anmelde- und Sicherheitsdaten: Passwort als Hash (nie im Klartext), Login-Zeitstempel, Fehlversuche, IP-Adresse und Session-Token während der Sitzung.
• Antrags- und Planungsdaten: Urlaubs- und Krankheitsanträge mit Zeitraum, Status, Vertretungs-Wünsche, optionale Notizen, Bewilliger und Entscheidungs-Zeitpunkt, Touren-Zuweisungen.
• Krankheitsdaten: ausschließlich Zeiträume, keine Diagnosen. Sichtbar nur für Vorgesetzte und Administrator:in, nie für Kolleg:innen.
• Zustimmungs-Nachweis: Zeitstempel und Version der akzeptierten Datenschutzhinweise, IP-Adresse zur Verifizierung. Erforderlich um nachweisen zu können wann und mit welchem Text-Stand die Einwilligung erteilt wurde.
• Push-Benachrichtigungen: optional aktivierbar. Dafür speichern wir den Endpoint des Browser-Push-Dienstes, einen kryptografischen Public Key und einen Auth-Token. Diese werden nicht für andere Zwecke verwendet.
• Audit-Log: sicherheitsrelevante Aktionen (Login, Antrags-Entscheidungen, User-Anlage, Passwort-Reset) werden mit Zeitpunkt, User-ID und IP-Adresse protokolliert.

Rechtsgrundlage

Verarbeitung auf Grundlage des Beschäftigungsverhältnisses (§ 26 BDSG, Art. 6 Abs. 1 lit. b DSGVO) und berechtigter Interessen zur IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Für Abwesenheitsdaten ergänzend § 26 Abs. 3 BDSG. Für Push-Benachrichtigungen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit im Profil widerrufbar.

Sichtbarkeit innerhalb der App

Fahrer:innen sehen nur Kolleg:innen des eigenen Teams. Krankheits-Zeiträume anderer Personen sind für Fahrer:innen vollständig ausgeblendet. Vorgesetzte und Administrator:in sehen team-übergreifend alle Anträge und Krankheits-Zeiträume zur Planung.

Empfänger und Drittstaaten

Keine Weitergabe an Dritte zu Werbe- oder Analysezwecken. Eine Ausnahme bilden Push-Benachrichtigungen: für die Auslieferung leiten Apple (APNs) bzw. Google (FCM) verschlüsselte Pakete an das Empfänger-Gerät weiter. Die Nachrichteninhalte sind dabei für Apple und Google nicht einsehbar, da sie Ende-zu-Ende über das Web-Push-Protokoll verschlüsselt sind.

Auftragsverarbeiter (Art. 28 DSGVO)

Das Hosting der Anwendung erfolgt durch Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen auf Servern innerhalb der Europäischen Union. Hinweis: Der Auftragsverarbeitungs-Vertrag (AVV) mit dem Hoster wird vor Inbetriebnahme der App durch den Verantwortlichen geschlossen.

Cookies und ähnliche Technologien

Es werden ausschließlich technisch notwendige Cookies eingesetzt:

• Session-Cookie zur Aufrechterhaltung der Anmeldung.
• Lokale Browser-Speicherung (localStorage) für persönliche Einstellungen wie Light- oder Dark-Modus.

Keine Tracking-Cookies, keine Werbe-Cookies, keine Drittanbieter-Cookies, keine Analyse-Tools. Eine ausdrückliche Einwilligung ist daher für die Nutzung der Anwendung nicht erforderlich.

Speicherdauer

Daten werden nur so lange gespeichert wie für den jeweiligen Zweck erforderlich oder gesetzlich vorgeschrieben:

• Stammdaten: für die Dauer des Beschäftigungsverhältnisses.
• Urlaubsanträge: 3 Jahre nach Ende des beantragten Zeitraums (arbeits- und steuerrechtliche Nachweispflichten).
• Krankheits-Zeiträume: 3 Jahre nach Ende des Zeitraums, danach Löschung.
• Touren-Zuweisungen: 12 Monate nach dem Tour-Datum.
• Audit-Log: 12 Monate.
• Login-Protokolle / Fehlversuche: 90 Tage.
• Push-Subscriptions: bis zum Widerruf durch den Nutzer oder nach 6 Monaten Inaktivität.
• Deaktivierte User-Konten: werden nicht gelöscht, sondern deaktiviert, damit historische Anträge und Krankheits-Einträge zuordenbar bleiben. Persönliche Stammdaten werden 3 Jahre nach Ausscheiden auf das gesetzlich erforderliche Minimum reduziert.
• Zustimmungs-Nachweise: für die Dauer des Beschäftigungsverhältnisses plus 3 Jahre (Beweispflicht gegenüber Aufsichtsbehörden).

Deine Rechte

Du hast nach DSGVO das Recht auf:

• Auskunft (Art. 15) über die zu deiner Person gespeicherten Daten.
• Berichtigung (Art. 16) unrichtiger Daten.
• Löschung (Art. 17), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18).
• Datenübertragbarkeit (Art. 20) auf ein anderes System.
• Widerspruch gegen die Verarbeitung (Art. 21), insbesondere bei berechtigten Interessen.
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3), z.B. Push-Benachrichtigungen.

Anfragen formlos an datenschutz@g-urlaub.de. Beschwerdeberechtigte Aufsichtsbehörde ist die Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Königstraße 10a, 70173 Stuttgart.

Push-Benachrichtigungen

Wer Push-Nachrichten zu Anträgen, Bewilligungen oder Stornos erhalten möchte, aktiviert sie selbst im Profil. Die Auslieferung erfolgt direkt aus dem System über das PWA-Web-Push-Protokoll. Die Einwilligung kann jederzeit im Profil widerrufen werden, die hinterlegten Push-Daten werden dabei entfernt.

Sicherheit

Passwörter werden nur als kryptografischer Hash gespeichert, nie im Klartext. Nach fünf Fehlversuchen wird das Konto für 15 Minuten gesperrt. Verbindungen erfolgen ausschließlich über HTTPS. Sicherheitsrelevante Aktionen werden im Audit-Log protokolliert.

Stand: 06.06.2026