Stand: 25.09.2026
DeviceDoc, Inhaber Nedim Husidic, Anebosstraße 6, 67065 Ludwigshafen am Rhein, info@shiftscan.de. Verantwortlich für die Datenverarbeitung im Rahmen dieser Anwendung im Sinne der DSGVO.
Hinweis: Für die im Auftrag ihrer Kunden (Arbeitgeber) verarbeiteten Beschäftigtendaten ist der jeweilige Kunde Verantwortlicher; ShiftScan ist insoweit Auftragsverarbeiter (Art. 28 DSGVO, siehe AVV).
Die Verarbeitung erfolgt zur Durchführung der Zeiterfassung und Personalplanung (Art. 6 Abs. 1 lit. b DSGVO: Vertrag bzw. Beschäftigungsverhältnis, § 26 BDSG) sowie zur Erfüllung gesetzlicher Aufzeichnungspflichten (Art. 6 Abs. 1 lit. c DSGVO, u. a. ArbZG, MiLoG, AO). Die Standortabfrage erfolgt auf Grundlage der Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die optionale Winterdienst-Streuroute (Standortverlauf während eines Einsatzes) verarbeiten wir auf Grundlage der ausdrücklichen Einwilligung der erfassenden Person (Art. 6 Abs. 1 lit. a DSGVO) sowie des berechtigten Interesses am Nachweis der erbrachten Räum-/Streuleistung (Art. 6 Abs. 1 lit. f DSGVO); ihre Einführung im Beschäftigungskontext unterliegt der Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG). Gesundheitsbezogene Abwesenheitsgründe werden auf Grundlage des § 26 Abs. 3 BDSG / Art. 9 Abs. 2 lit. b DSGVO verarbeitet. Beim Alleinarbeiter-/Notsignal-Schutz erfolgt die Verarbeitung der Lebenszeichen und (im Panik-Alarm) des Standorts zur Erfüllung der arbeitsschutzrechtlichen Fürsorgepflicht (Art. 6 Abs. 1 lit. f DSGVO, § 26 BDSG) sowie zum Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d DSGVO), nicht zur Leistungs- oder Verhaltenskontrolle. Bewerberdaten werden zur Durchführung des Bewerbungsverfahrens (Art. 6 Abs. 1 lit. b DSGVO, § 26 Abs. 1 BDSG) verarbeitet. Daten von Vertriebspartnern verarbeiten wir zur Durchführung des Partnervertrags einschließlich Provisionsabrechnung und Auszahlung (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Erfüllung steuer- und handelsrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Bestell-, Liefer- und Zahlungsdaten aus dem Produkt-Shop verarbeiten wir zur Erfüllung des Kaufvertrags einschließlich Versand (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).
Hinweise zum Konto- und Vertragsstatus (z. B. bevorstehendes Ende der Testphase, Umstellung auf den Free-Tarif, Warnungen vor der Löschung inaktiver Konten, eine einmalige Erinnerung an eine noch nicht bestätigte Registrierung) sowie eine einmalige Bitte um Produkt-Feedback während der Testphase versenden wir per E-Mail an die Konto-Adresse des Kunden; Rechtsgrundlage ist die Durchführung bzw. Anbahnung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Werbliche E-Mails ohne Einwilligung versenden wir nicht.
Einladungen zwischen Kunden (Subunternehmer-Verbund). Ein Kunde kann ein anderes Unternehmen einladen, als Subunternehmer für einzelne Objekte mit ihm zusammenzuarbeiten. Die Einladung versendet der einladende Kunde in der Regel selbst, aus seinem eigenen E-Mail-Programm oder als Link; wir erhalten dabei keine Adresse des Empfängers. Der einladende Kunde kann zusätzlich eine E-Mail-Adresse des eingeladenen Unternehmens angeben. Diese Adresse speichern wir im Konto des einladenden Kunden als dessen Angabe zur Einladung; insoweit verarbeiten wir sie in seinem Auftrag. Gehört die Adresse zu einem Inhaber- oder Administratorkonto, das bereits bei uns besteht, senden wir an diese Adresse einmalig eine sachliche Mitteilung über die Einladung. Sie enthält keine Werbung, keine Angebote und kein Tracking. An Adressen ohne Kundenkonto versenden wir nichts. Dem einladenden Kunden teilen wir nicht mit, ob zu der Adresse ein Konto besteht. Rechtsgrundlage für die Mitteilung ist der bestehende Vertrag mit dem eingeladenen Kunden (Art. 6 Abs. 1 lit. b DSGVO), hilfsweise unser berechtigtes Interesse und das des einladenden Kunden, eine vom Kunden gewünschte Funktion auszuführen (Art. 6 Abs. 1 lit. f DSGVO). Die Adresse stammt vom einladenden Kunden (Art. 14 Abs. 2 lit. f DSGVO). Für den Versand setzen wir unseren E-Mail-Dienstleister ein (Abschnitt 4). Sie können der Mitteilung jederzeit widersprechen (Art. 21 DSGVO); eine formlose Nachricht an die im Impressum genannte Adresse genügt.
Reichweitenmessung (ohne Cookies): Auf unseren öffentlichen Marketing-Seiten messen wir, wie unsere Inhalte gefunden und genutzt werden. Mitgezählt wird außerdem der reine Aufruf unserer öffentlichen Anmelde- und Passwortseite, damit wir erkennen können, ob Interessenten nach einem Klick auf „Kostenlos starten" dort überhaupt ankommen. Erfasst wird dabei nur die Tatsache des Aufrufs. Angaben, die dort in der Adresszeile stehen können (etwa eine vorausgefüllte E-Mail-Adresse oder die zuvor gewünschte Seite), werden vor der Auswertung verworfen und nicht übermittelt. Dabei werden keine Cookies gesetzt und es wird nichts auf Ihrem Endgerät gespeichert oder ausgelesen (§ 25 TDDDG ist daher nicht einschlägig). Erfasst werden:
Zur pseudonymen Tageskennung: Aus Ihrer IP-Adresse, Ihrer Browser-Kennung und einem täglich neu erzeugten Zufallswert berechnen wir einen nicht umkehrbaren Prüfwert. Ihre IP-Adresse wird dabei zu keinem Zeitpunkt gespeichert, sondern ausschließlich für diese Berechnung verwendet. Da der Zufallswert täglich wechselt, ist eine Wiedererkennung über den Tag hinaus ausgeschlossen; den Zufallswert selbst löschen wir nach zwei Tagen, wodurch sich ältere Prüfwerte auch rechnerisch keiner Adresse mehr zuordnen lassen. Die Zählwerte selbst löschen wir nach 90 Tagen. Wir bilden keine Profile, führen die Daten nicht mit Kundenkonten zusammen und geben sie nicht weiter.
Rechtsgrundlage für die Reichweitenmessung ist unser berechtigtes Interesse an einer datensparsamen Erfolgsmessung unserer Öffentlichkeitsarbeit (Art. 6 Abs. 1 lit. f DSGVO). In Ihrem Kundenkonto findet keine Reichweitenmessung statt. Die Messung endet mit dem Absenden des Anmeldeformulars; was Sie danach in der Anwendung tun, wird nicht gemessen. Auf der Anmeldeseite selbst halten wir zusätzlich fest, dass eine Registrierung abgeschlossen wurde, ohne die dabei eingegebenen Angaben in die Messung zu übernehmen.
Ausnahme: die öffentliche Demo. Wer die Demo ohne Registrierung ausprobiert (Demo testen), wird dabei automatisch an einem Vorführkonto angemeldet. Dieses Konto gehört keinem Kunden, enthält ausschließlich erfundene Beispieldaten und wird von allen Besuchern gemeinsam genutzt. Innerhalb dieser Demo erfassen wir, welche Seiten aufgerufen werden, damit wir erkennen, was Interessenten interessiert und wo die Vorführung unverständlich ist. Erfasst werden allein der aufgerufene Pfad und die Adresse der Demo. Nicht erfasst werden Seitentitel, Suchparameter und die zuvor besuchte Seite. Sobald Sie sich an Ihrem eigenen Konto anmelden, endet jede Messung; Ihr Widerspruch unten gilt auch hier.
Eigene Auswertung, keine Weitergabe: Die Auswertung erfolgt mit einer selbst betriebenen Software (Umami) auf eigener Hardware in Deutschland sowie in unserer Datenbank bei Supabase (EU). Es ist kein Analyse-Dienstleister eingebunden: Die Daten verlassen unseren Verantwortungsbereich nicht, weder an Google Analytics noch an vergleichbare Anbieter. Auch diese Auswertung arbeitet ohne Cookies und mit derselben täglich wechselnden Kennung; Ihr Widerspruch unten wirkt für beide Messungen gleichermaßen.
Widerspruch (Art. 21 DSGVO)
Sie können der Reichweitenmessung jederzeit widersprechen. Sendet Ihr Browser das Signal
Global Privacy Control (Sec-GPC) oder
Do Not Track (DNT), beachten wir das
automatisch, Sie müssen nichts weiter tun. Unabhängig davon können Sie
hier widersprechen:
Der Widerspruch wird in einem kleinen Cookie (ss_mess_aus) auf diesem Gerät
vermerkt; nur so wissen wir bei Ihrem nächsten Besuch davon. Es enthält ausschließlich
den Wert „1" und keine Kennung. Löschen Sie Ihre Cookies oder wechseln Sie das Gerät,
setzen Sie den Widerspruch bitte erneut. Alternativ genügt eine formlose Nachricht an
die im Impressum genannte Adresse.
Zur Erbringung der Leistung setzen wir folgende Auftragsverarbeiter (Art. 28 DSGVO) ein, mit denen jeweils Auftragsverarbeitungsverträge geschlossen sind:
Optionale Buchhaltungs-Integration: Aktiviert ein Kunde eine Schnittstelle zu lexoffice, sevDesk oder FastBill, übermitteln wir auf seine Veranlassung Rechnungs- und Kontaktdaten an den vom Kunden gewählten Anbieter; der Zugangs-Token wird verschlüsselt verwahrt. Anbieter und Konto wählt der Kunde selbst; insoweit gelten die Datenschutzbedingungen des jeweiligen Anbieters.
Es werden keine Drittanbieter-Tracking- oder Analyse-Dienste (z. B. Google Analytics) eingesetzt.
Es werden ausschließlich technisch notwendige Cookies für die Anmeldung (Session/Authentifizierung) gesetzt. Es gibt keine Marketing- oder Tracking-Cookies; ein Einwilligungsbanner ist daher nicht erforderlich.
Personenbezogene Daten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Insbesondere gelten lohn-/buchhaltungsrelevante Aufbewahrungsfristen (handels-/steuerrechtlich i. d. R. 6 bzw. 10 Jahre, § 257 HGB / § 147 AO) sowie Aufzeichnungspflichten nach ArbZG/§ 17 MiLoG (2 Jahre). Revisionssichere Audit-Protokolle werden gesondert nach 12 Monaten anonymisiert.
Test- und Free-Konten (Speicherbegrenzung): Nach Ablauf der 30-tägigen Testphase wird ein Konto ohne kostenpflichtigen Tarif automatisch auf den kostenlosen Free-Tarif umgestellt. Free-Konten ohne kostenpflichtiges Abonnement, die über 6 Monate keinerlei Aktivität aufweisen (keine Anmeldung, keine Zeitbuchung), bei Konten ohne jegliche produktive Inhalte über 3 Monate, werden im Rahmen der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) gesperrt und gelöscht. Der Kontoinhaber wird zuvor mindestens zweimal per E-Mail gewarnt (erstmals mindestens 30 Tage vor der Sperre); ab der Sperre stehen die Daten noch 30 Tage als vollständiger Export bereit, danach werden sie endgültig gelöscht. Eine einfache Anmeldung genügt, um das Konto zu behalten. Gesetzliche Aufbewahrungspflichten des Anbieters (z. B. für Rechnungsdaten) bleiben unberührt.
Nicht bestätigte Registrierungen: Wer sich registriert, erhält eine E-Mail mit einem Bestätigungslink. Bis zur Bestätigung entsteht kein Konto und kein Mandant, gespeichert ist allein die angegebene E-Mail-Adresse. Bleibt die Bestätigung aus, senden wir nach 24 Stunden genau eine werbefreie Erinnerung mit einem neuen Link an diese Adresse. Weitere Erinnerungen versenden wir nicht. Spätestens 7 Tage nach der Registrierung löschen wir die Adresse vollständig (Art. 5 Abs. 1 lit. e DSGVO). Wer sich nicht selbst registriert hat, muss nichts tun: Ohne Bestätigung verfällt der Eintrag von allein.
Reichweitenmessung: Der täglich erzeugte Zufallswert, aus dem die pseudonyme Tageskennung berechnet wird, wird nach 2 Tagen gelöscht; ältere Kennungen sind danach keiner Adresse mehr zuzuordnen. Die Zählwerte selbst löschen wir nach 90 Tagen. Die rein aggregierten Kanal- und Nutzungszähler (ohne jede Kennung) bleiben als Langzeitstatistik erhalten.
Einladungen zwischen Kunden: Für die Mitteilung bei Einladungen zwischen Kunden verwenden wir die Adresse nur für diesen einen Versand; unser Versandprotokoll enthält sie nicht. Im Konto des einladenden Kunden wird die angegebene Adresse bis zur Annahme, zum Ablauf oder Widerruf der Einladung gespeichert und danach gelöscht.
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Wenden Sie sich dazu an info@shiftscan.de. Sind Sie Beschäftigte/r eines Kunden, richten Sie Anfragen bitte an Ihren Arbeitgeber als Verantwortlichen.
Soweit die Verarbeitung auf Ihrer Einwilligung beruht (Art. 6 Abs. 1 lit. a / Art. 9 Abs. 2 lit. a DSGVO, insbesondere die Standortabfrage), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
Ihnen steht ferner ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Für den Verantwortlichen zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP), Hintere Bleiche 34, 55116 Mainz. Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.
Soweit Auftragsverarbeiter mit Bezug zu Drittländern (insbesondere USA) eingesetzt werden (Supabase/AWS als US-Mutterkonzern bei EU-Datenregion, Stripe), erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) bzw. der EU-Standardvertragsklauseln. Maßgeblich ist vorrangig das EU-US Data Privacy Framework (Stripe, Supabase Inc.), hilfsweise kommen die EU-Standardvertragsklauseln zur Anwendung.
Zur Darstellung von Objekt-/Kundenstandorten werden Kartenkacheln von
tile.openstreetmap.org in Ihren Browser geladen; dabei wird Ihre IP-Adresse an
die OpenStreetMap Foundation übermittelt. Es handelt sich um die Einbindung von Drittinhalten.
Werden Kartenausschnitte in ein Dokument (PDF) eingebettet (etwa die gefahrene
Strecke in einem Winterdienst-Leistungsnachweis), ruft unser Server die
benötigten Kacheln ab. Dabei werden ausschließlich die Koordinaten des
Kartenausschnitts übermittelt, nicht Ihre IP-Adresse.
Zur Geokodierung von Objekt-/Geschäftsadressen sowie zur Umkehr-Geokodierung erfasster Koordinaten
(z. B. im Fahrtenbuch oder bei Scans, um zu Koordinaten die nächstgelegene Adresse anzuzeigen) wird
OpenStreetMap/Nominatim genutzt. Bei der Umkehr-Geokodierung werden die erfassten
Koordinaten über unseren Server an Nominatim übermittelt, ohne Ihre IP-Adresse
und ohne Identifikatoren, sodass für den Dienst kein Personenbezug herstellbar ist. An einzelnen
Stellen (z. B. Alarm-Benachrichtigung des Notsignal-Schutzes,
Navigations-Link zu einem Objekt) werden Koordinaten/Adressen in einen Google-Maps-Link eingebettet;
eine Übermittlung Ihrer IP-Adresse an Google erfolgt erst, wenn Sie den Link öffnen. Entsprechendes
gilt für optionale Bewertungs-Links (z. B. Google, Trustpilot) in Zufriedenheitsumfragen: Auch hier
erfolgt eine Datenübermittlung an den Anbieter erst mit dem Öffnen des Links.
Beim Winterdienst-Nachweis werden zum Erfassungszeitpunkt amtliche Wetterdaten über das frei zugängliche Angebot „DWD OpenData" des Deutschen Wetterdienstes abgerufen. Übermittelt werden ausschließlich die Koordinaten des Erfassungsortes, keine personenbezogenen Daten.
Personenbezogene Daten erheben wir überwiegend direkt bei Ihnen bzw. sie entstehen durch Ihre Nutzung der Anwendung. Beschäftigtendaten erhalten wir im Auftrag des jeweiligen Arbeitgebers (Kunden), der die Daten seiner Beschäftigten in die Plattform einstellt bzw. einstellen lässt. Die Bereitstellung bestimmter Daten (z. B. Konto-/Stammdaten, Zeiterfassung) ist für die Durchführung des Beschäftigungs- bzw. Nutzungsverhältnisses erforderlich; ohne diese Daten kann die Anwendung nicht bzw. nicht vollständig genutzt werden.
Eine ausschließlich auf einer automatisierten Verarbeitung (einschließlich Profiling) beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt. Auswertungen (z. B. Dienstplanung, Kennzahlen) dienen der Unterstützung; arbeits-/personalrechtliche Entscheidungen trifft der jeweilige Arbeitgeber.
Die Übertragung erfolgt ausschließlich verschlüsselt (TLS/HTTPS). Daten werden bei den eingesetzten Auftragsverarbeitern zusätzlich verschlüsselt gespeichert (Verschlüsselung „at rest" auf Ebene der Datenbank- und Speicherplattform). Zugriffe unterliegen einem rollenbasierten Berechtigungssystem und einer strikten Mandantentrennung; sicherheitsrelevante Vorgänge werden revisionssicher protokolliert. Login-PINs werden ausschließlich als Hash gespeichert.
Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.
Stand: 25.09.2026