← Zurück zur Startseite

Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Inqbase UG (haftungsbeschränkt)
Geschäftsführer: Serkan Coskun
Strandstr. 58
23669 Timmendorfer Strand / Niendorf Ostsee
E-Mail: info@shiftifier.com

2. Übersicht der Verarbeitungen

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen und verweist auf die betroffenen Personen.

Arten der verarbeiteten Daten

Kategorien betroffener Personen

3. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage folgender Rechtsgrundlagen:

4. Datenverarbeitung in der Anwendung

4.1 Registrierung und Nutzerkonto

Bei der Registrierung erheben wir: Name, E-Mail-Adresse und ein Passwort. Diese Daten werden benötigt, um Ihr Konto zu erstellen und die Dienste bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Alternativ können Sie sich mit Ihrem Google- oder Apple-Konto anmelden. Die Anmeldung erfolgt im Anmeldedialog Ihres Geräts (iPhone/iPad bzw. Android) oder im Browser auf der Anmeldeseite von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) bzw. Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland). Nach Ihrer Zustimmung erhalten wir von dort Ihren Namen, Ihre E-Mail-Adresse und eine Kennung Ihres Kontos; Ihr Passwort erhalten wir nicht. Bei Apple können Sie Ihre E-Mail-Adresse verbergen. Löschen Sie Ihr Shiftifier-Konto, wird die Verknüpfung mit Apple widerrufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Google und Apple verarbeiten die Anmeldung zugleich als eigene Verantwortliche nach ihren Datenschutzerklärungen (Google, Apple); dabei kann eine Übermittlung in die USA stattfinden, die durch das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln abgesichert ist.

4.2 Zeiterfassung und Arbeitszeitdaten

Arbeitszeitdaten (Ein-/Ausstempelzeiten, Pausen, Überstunden) werden zur Vertragserfüllung verarbeitet. Arbeitgeber können diese Daten für ihre gesetzlichen Dokumentationspflichten gemäß dem Arbeitszeitgesetz (ArbZG) nutzen. Zur Dokumentation der bestätigten Arbeitszeiten werden optional digitale Unterschriften (als Bilddatei) des Mitarbeiters und ggf. des Arbeitgebers erhoben und gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses) sowie Art. 6 Abs. 1 lit. c DSGVO (Pflicht zur Arbeitszeiterfassung nach § 3 Abs. 2 Nr. 1 ArbSchG in der Auslegung des Bundesarbeitsgerichts, Beschluss vom 13.09.2022 – 1 ABR 22/21, sowie Aufzeichnungspflicht nach § 16 Abs. 2 ArbZG).

4.3 Schichtplanung und Personalverwaltung

Schichtpläne, Abteilungszuordnungen, Rollen und Abwesenheitsdaten (Urlaub, Krankmeldungen) werden im Rahmen der Vertragserfüllung verarbeitet. Zusätzlich können Mitarbeiter ein optionales Profilfoto (Avatar) hinterlegen (siehe Abschnitt 4.9).

Optional kann zu jedem Mitarbeiter eine digitale Personalakte geführt werden: Kontakt- und Stammdaten (Telefonnummer, Anschrift, Geburtsdatum und -ort, Geschlecht, Staatsangehörigkeit), Lohnabrechnungsdaten (Steuer-Identifikationsnummer, Steuerklasse, Sozialversicherungsnummer, Krankenkasse und Versicherungsart, Bankverbindung, Beschäftigungsart, Haupt- oder Nebenarbeitgeber, Personalnummer für den DATEV-Export) sowie Stundenlohn, Eintritts- und Austrittsdatum. Eintragen können sie der Mitarbeiter selbst sowie der Arbeitgeber; die Personalnummer nur der Arbeitgeber. Lesen dürfen sie nur der Mitarbeiter selbst, der Inhaber und die Admins des Unternehmens; Kollegen sehen sie nicht. Die Daten dienen der Lohnabrechnung, die der Arbeitgeber etwa per DATEV-Export an sein Lohnbüro übergibt. Verantwortlicher ist der Arbeitgeber, Shiftifier verarbeitet sie in seinem Auftrag (Art. 28 DSGVO, siehe Abschnitt 9). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO (Durchführung des Arbeitsverhältnisses, steuer- und sozialversicherungsrechtliche Pflichten des Arbeitgebers).

4.4 Zahlungsdaten

Die Zahlungsabwicklung erfolgt über Stripe, Inc. (USA). Wir selbst speichern keine vollständigen Kreditkartennummern oder Bankdaten. Stripe verarbeitet Ihre Zahlungsdaten als eigenständiger Verantwortlicher gemäß seiner Datenschutzerklärung. Bei uns gespeichert werden lediglich: Stripe-Kunden-ID, Abo-Status, Abrechnungszeitraum.

Zur Berechnung der Umsatzsteuer nutzt Stripe den Dienst Stripe Tax. Dazu werden die Rechnungsanschrift und ggf. die Umsatzsteuer-Identifikationsnummer des Unternehmens an Stripe übermittelt. Beim Abschluss eines Abonnements speichern wir zusätzlich Zeitpunkt und Fassung der akzeptierten AGB und des Auftragsverarbeitungsvertrags sowie Ihre Erklärung, als Unternehmer zu handeln (Nachweis des Vertragsschlusses, Art. 6 Abs. 1 lit. b und c DSGVO).

4.5 GPS-Standortdaten bei Einstempelkontrolle

Sofern der Arbeitgeber die GPS-Einstempelkontrolle in den Einstellungen aktiviert, werden bei jedem Einstempelvorgang durch einen Mitarbeiter die aktuellen GPS-Koordinaten (Breitengrad, Längengrad) des Mobilgeräts erfasst und an unsere Server übermittelt. Die Standortdaten werden ausschließlich zur Prüfung verwendet, ob sich der Mitarbeiter zum Zeitpunkt des Einstempelns innerhalb eines der vom Arbeitgeber festgelegten Einstempelbereiche (bis zu zehn Standorte mit jeweils eigenem Radius) befindet. Beim Ausstempeln und während der Arbeitszeit wird der Standort nicht erfasst; eine Ortung im Hintergrund findet nicht statt.

Die Koordinaten werden dabei nicht gespeichert: Sie werden ausschließlich während der Prüfung im Arbeitsspeicher verarbeitet und danach verworfen. Am Zeiterfassungseintrag wird keine Position hinterlegt; auch in unseren Protokollen erscheint lediglich der errechnete Abstand in Metern, nicht Ihr Standort.

Für die GPS-Einstempelkontrolle ist der Arbeitgeber datenschutzrechtlich verantwortlich; Shiftifier verarbeitet die Standortdaten in seinem Auftrag (Art. 28 DSGVO, siehe Abschnitt 9). Der Arbeitgeber entscheidet, ob er die Funktion einsetzt, und muss dafür eine Rechtsgrundlage haben (z. B. Art. 6 Abs. 1 lit. b oder f DSGVO oder eine Betriebsvereinbarung nach Art. 88 DSGVO i. V. m. § 26 Abs. 4 BDSG). Er informiert seine Mitarbeiter vorab über die aktivierte GPS-Kontrolle und beteiligt einen bestehenden Betriebsrat (§ 87 Abs. 1 Nr. 6 BetrVG). Vor dem ersten Einstempeln mit GPS-Prüfung zeigt die App einen Hinweis zur Standortverarbeitung; außerdem muss der Standortzugriff auf dem Gerät erlaubt werden. Ohne diese Erlaubnis ist ein Einstempeln nicht möglich, solange die GPS-Kontrolle aktiv ist.

Gespeichert werden nur die vom Arbeitgeber festgelegten Einstempelbereiche (Bezeichnung, Mittelpunkt und Radius), nicht der Standort von Mitarbeitern. Wer als Inhaber oder Admin den Mittelpunkt über „Aktuellen Standort verwenden“ setzt, gibt dazu einmalig den Gerätestandort frei; gespeichert werden nur die übernommenen Koordinaten des Bereichs.

4.6 KI-gestützter Support-Chatbot (Google Gemini)

Shiftifier bietet einen optionalen KI-gestützten Support-Chatbot (je nach Tarif verfügbar). Wenn Sie den Chatbot nutzen, werden Ihre Texteingaben (Fragen, Anfragen) zur Verarbeitung an die Google Gemini API weitergeleitet. Dabei wird eine Verbindung zu Servern von Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, hergestellt.

Es werden keine personenbezogenen Profil-, Mitarbeiter- oder Unternehmensdaten automatisch an die KI übertragen – lediglich die von Ihnen eingetippten Chatnachrichten. Wir empfehlen, keine sensiblen personenbezogenen Daten in den Chatbot einzugeben. Der Inhaber eines Unternehmens kann den Chatbot in den Unternehmenseinstellungen für alle Mitarbeiter seines Unternehmens abschalten; er ist dann ausgeblendet und wird auch serverseitig gesperrt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen auf Anfrage des Nutzers). Die Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO).

Datenschutzerklärung von Google: policies.google.com/privacy

4.7 Feiertage und Schulferien

Die Schichtplanung zeigt öffentliche Feiertage und Schulferien an, und Arbeitgeber können sie in den Dienstplan importieren. Die Termine ruft die App direkt bei diesen kostenfreien, schlüssellosen Diensten ab:

Dabei wird eine Verbindung zu den Servern des jeweiligen Dienstes hergestellt und technisch bedingt Ihre IP-Adresse übertragen; abgefragt werden nur Jahr, Land und ggf. Bundesland. Wir selbst speichern keine dieser Anfragen, und es werden keine weiteren personenbezogenen Daten übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer korrekten Dienstplanung mit Feiertagen).

4.8 Krankmeldungen (Art. 9 DSGVO)

Soweit der Arbeitgeber die Krankmeldungsverwaltung in Shiftifier nutzt, werden Krankmeldungsdaten (Zeitraum, Art der Krankmeldung – z. B. AU mit Attest, Kindkrankmeldung – und eine optionale Notiz) verarbeitet. Diese Daten stellen besondere Kategorien personenbezogener Daten (Gesundheitsdaten) im Sinne von Art. 9 DSGVO dar. Diagnosen werden nicht abgefragt und gehören auch nicht in die Notiz. Ein Hochladen von Arbeitsunfähigkeitsbescheinigungen ist in Shiftifier nicht vorgesehen.

Rechtsgrundlage ist § 26 Abs. 3 BDSG i. V. m. Art. 9 Abs. 2 lit. b DSGVO (Verarbeitung im Beschäftigungsverhältnis, soweit dies für die Erfüllung von Pflichten aus dem Arbeitsrecht erforderlich ist, insbesondere für Mitteilung und Nachweis der Arbeitsunfähigkeit nach § 5 EntgFG und die Entgeltfortzahlung nach § 3 EntgFG). Shiftifier handelt hierbei als Auftragsverarbeiter gemäß Art. 28 DSGVO; der Arbeitgeber ist als datenschutzrechtlich Verantwortlicher verpflichtet, seine Mitarbeiter über die Verarbeitung dieser Daten zu informieren.

Krankmeldungen werden in der Datenbank von Appwrite Cloud (Frankfurt am Main, Deutschland, EU) gespeichert. Lesen dürfen sie nur der betroffene Mitarbeiter, der Arbeitgeber, seine Admins und Teamleiter mit der Berechtigung „Krankmeldungen verwalten“; Kollegen sehen sie nicht, auch nicht im Schichtplan.

Einzelne Krankmeldungen werden automatisch gelöscht, sobald nach dem Kalenderjahr, in dem sie endeten, die vom Arbeitgeber gewählte Frist abgelaufen ist (1 bis 10 volle Kalenderjahre, Standard 3 Jahre). Bis dahin können sie für die Entgeltfortzahlung, das betriebliche Eingliederungsmanagement und mögliche Ansprüche aus dem Arbeitsverhältnis benötigt werden. Im Stundenkonto bleiben danach nur die monatlichen Summen der Krankheitsstunden und -tage erhalten.

Push-Benachrichtigungen zu Krankmeldungen nennen weder den Namen der betroffenen Person noch eine Erkrankung; Einzelheiten sind nur in der App sichtbar.

4.9 Profilfotos (Avatarbilder)

Nutzer können optional ein Profilfoto hochladen. Dieses wird im Appwrite Cloud Storage (Frankfurt am Main, Deutschland, EU) gespeichert und in der Anwendung als Nutzeridentifikation angezeigt. Das Hochladen ist freiwillig; das Foto kann jederzeit gelöscht oder ersetzt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4.10 Kiosk-Modus

Arbeitgeber können einen stationären Kiosk-Modus einrichten, über den Mitarbeiter ohne individuellen App-Login einstempeln können. Hierfür legt jeder Mitarbeiter eine vierstellige PIN fest. Die PIN wird verschlüsselt (TLS) an unseren Server übertragen und dort nur als Hash gespeichert, der mit einem individuellen Salt und einem geheimen Serverschlüssel gebildet wird; im Klartext wird sie nicht gespeichert. Nach mehreren Fehleingaben wird die Eingabe vorübergehend gesperrt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4.11 Kartenansicht und Adresssuche (MapTiler)

Wenn Arbeitgeber in der App GPS-Einstempelbereiche konfigurieren, wird eine interaktive Kartenansicht bereitgestellt. Kartenkacheln und die Adresssuche in der Karte werden vom Dienst MapTiler geladen. Die Kartendaten stammen von OpenStreetMap.

Bei der Nutzung dieser Funktionen werden Ihre IP-Adresse, die angezeigten Kartenausschnitte und die eingegebenen Suchbegriffe an MapTiler übermittelt. Wir selbst speichern keine Suchanfragen oder Kartenzugriffe. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, da die Funktion nur für Arbeitgeber zur Konfiguration ihrer Einstellungen dient). MapTiler verarbeitet die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Die Server von MapTiler stehen in Frankreich. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Anbieter: MapTiler AG, Zugerstrasse 22, 6314 Unterägeri, Schweiz.
Datenschutzerklärung von MapTiler: www.maptiler.com/privacy-policy
Kartendaten: OpenStreetMap ODbL – © MapTiler © OpenStreetMap contributors.

4.12 Export von Schichten in den Gerätekalender

Auf Wunsch können Sie Ihre Schichten in einen Kalender Ihres Geräts exportieren. Dafür fragt die App nach der Kalenderberechtigung. Die App schreibt die Schichten in den von Ihnen gewählten Kalender und liest dazu Titel und Zeiten der Kalendereinträge im Exportzeitraum, um eigene frühere Exporte und doppelte Einträge zu erkennen und zu ersetzen. Diese Daten werden ausschließlich auf Ihrem Gerät verarbeitet; sie werden weder an uns noch an Dritte übertragen. Andere Kalendereinträge werden nicht verändert. Eine Synchronisierung des Kalenders mit Diensten wie iCloud oder Google Kalender richtet sich nach Ihren Geräteeinstellungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5. Hosting und Infrastruktur

5.1 Webhosting

Die Landing Page wird über Google Firebase Hosting bereitgestellt. Die Webanwendung wird ebenfalls über Firebase Hosting ausgeliefert. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mit Google wurde ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen (Firebase Data Processing and Security Terms).

Die Webanwendung lädt ihre Programmbibliotheken, Schriften und die Skripte für Push-Benachrichtigungen ausschließlich von unserer eigenen Domain; Content-Delivery-Netzwerke Dritter (etwa Google Fonts) werden dabei nicht eingebunden.

5.2 Backend und Datenbank

Als Backend-Dienst nutzen wir Appwrite Cloud. Die Daten werden ausschließlich auf Servern in Frankfurt am Main (Deutschland, EU) gespeichert. Anbieter: Appwrite Code Ltd., Tel Aviv, Israel. Mit Appwrite wurde ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Soweit Appwrite aus Israel auf Daten zugreift (z. B. für Betrieb oder Support), ist dies durch einen Angemessenheitsbeschluss der Europäischen Kommission für Israel abgesichert (Art. 45 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

5.3 Push-Benachrichtigungen

Für Push-Benachrichtigungen nutzen wir Firebase Cloud Messaging (FCM). Hierfür wird ein gerätespezifisches Token gespeichert. Sie können Push-Benachrichtigungen jederzeit in Ihren Geräte- oder App-Einstellungen deaktivieren. Melden Sie sich ab, wird das Token dieses Geräts bzw. Browsers aus Ihrem Konto entfernt; das Gerät erhält dann keine Benachrichtigungen Ihres Kontos mehr. Benachrichtigungen zu Krankmeldungen enthalten keine Gesundheitsdaten (siehe Abschnitt 4.8).

5.4 Absturzberichte (Firebase Crashlytics)

In unserer mobilen App (iOS/Android) setzen wir Firebase Crashlytics ein, um technische Fehler und Abstürze der App zu erkennen und zu beheben. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Verarbeitet werden dabei: Gerätetyp und -modell, Betriebssystemversion, App-Version, Absturzprotokolle (Stacktraces) sowie – sofern Sie eingeloggt sind – eine interne, pseudonyme Nutzer-ID zur Zuordnung fehlerhafter Sitzungen. Es werden keine Namen, E-Mail-Adressen oder sonstige Klardaten an Crashlytics übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Stabilität und Fehlerbehebung der App). Mit Google wurde ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen (Firebase Data Processing and Security Terms). Eine Übermittlung in die USA erfolgt auf Grundlage der EU- Standardvertragsklauseln (Art. 46 DSGVO). Crashlytics ist ausschließlich auf technische Fehleranalyse beschränkt und dient nicht der Nutzeranalyse, dem Tracking oder der Werbung. Sie können der Übermittlung von Absturzberichten jederzeit widersprechen (Art. 21 DSGVO), indem Sie in der App unter Profil → Meine Daten & Datenschutz den Schalter „Absturzberichte senden“ ausschalten. Noch nicht gesendete Berichte werden dabei auf Ihrem Gerät gelöscht.

6. Cookies und lokale Speicherung

Unsere Anwendung und Website verwenden ausschließlich technisch notwendige Cookies bzw. den Local Storage des Browsers. Diese dienen der Sitzungsverwaltung, Authentifizierung und der Speicherung Ihrer Cookie-Einstellungen. Sie sind für den Betrieb der Anwendung erforderlich und können nicht deaktiviert werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Funktionsfähigkeit).

Im Einzelnen verwenden wir:

Wir setzen keine Tracking-Cookies, Analyse-Tools (wie Google Analytics), Retargeting-Pixel oder Werbe-Cookies ein. Es findet keine Profilbildung statt. Die mobile App enthält das Firebase-Analytics-SDK als Bestandteil der Firebase-Bibliothek; die Erfassung ist sowohl auf Plattformebene als auch in der Anwendung dauerhaft deaktiviert, es werden keine Analysedaten erhoben oder übertragen.

7. Weitergabe von Daten an Dritte

Eine Weitergabe personenbezogener Daten an Dritte erfolgt nur:

Eine Datenübermittlung in Drittländer (außerhalb der EU/EWR) findet nur statt, soweit dies zur Vertragserfüllung erforderlich ist (z. B. Stripe, USA) und geeignete Garantien vorliegen (EU-Standardvertragsklauseln, Art. 46 DSGVO).

8. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt:

9. Hinweis für Mitarbeiter (betroffene Personen im Beschäftigungsverhältnis)

Wenn Sie als Mitarbeiter eines Unternehmens in Shiftifier erfasst sind, verarbeitet Ihr Arbeitgeber Ihre personenbezogenen Daten als datenschutzrechtlich Verantwortlicher – Shiftifier ist dabei Auftragsverarbeiter gemäß Art. 28 DSGVO. Für Auskunfts-, Berichtigungs- oder Löschansprüche wenden Sie sich bitte primär an Ihren Arbeitgeber. Soweit Ihre Anfrage die technische Infrastruktur von Shiftifier betrifft, können Sie sich auch direkt an uns wenden: info@shiftifier.com

10. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO folgende Rechte:

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@shiftifier.com

11. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98
24103 Kiel
www.datenschutzzentrum.de

12. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder Zugriff unberechtigter Personen zu schützen. Dazu gehören insbesondere:

13. Datenschutzbeauftragter

Die Benennung einer oder eines Datenschutzbeauftragten (Art. 37 DSGVO, § 38 BDSG) wird vorbereitet; die Kontaktdaten werden hier veröffentlicht, sobald sie erfolgt ist. Bis dahin erreichen Sie uns zu allen Datenschutzfragen unter info@shiftifier.com.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Es gilt die jeweils aktuelle, auf unserer Website veröffentlichte Fassung.