Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf obacht.app und für die Kundenkonten von Obacht ist:

Comms Connect GmbH

Tal 30, 80331 München

Vertreten durch: Rainer Roloff

E-Mail: info@obacht.app

Telefon: +49 89 4522 1556

Daten, die ein Kunde in Obacht zu seinen Mitarbeitern, Standorten und Kunden erfasst, verarbeiten wir als Auftragsverarbeiter im Auftrag des Kunden (Art. 28 DSGVO). Verantwortlicher für diese Daten ist der jeweilige Kunde, in der Regel der Arbeitgeber. Er legt Zweck und Rechtsgrundlage fest; Anfragen von Mitarbeitern zu diesen Daten richten sich deshalb zuerst an ihn.

2. Hosting

Backend und Datenbank: Supabase

Datenbank, Anmeldung und Dateispeicher laufen bei Supabase in der Region eu-central-1 (Frankfurt am Main).

Web-App: Vercel

Die Web-App wird über Vercel ausgeliefert. Serverfunktionen laufen in der Region Frankfurt (fra1), statische Dateien wie JavaScript, CSS und Bilder werden über ein weltweites Auslieferungsnetz bereitgestellt.

Weitere Dienstleister, die einzelne Funktionen erbringen, sind in Abschnitt 8 aufgeführt.

3. SSL/TLS-Verschlüsselung

Obacht nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt. Sämtliche Daten, die Sie an uns übermitteln, können nicht von Dritten mitgelesen werden.

4. Nutzerkonten und Anmeldung

Für die Anmeldung werden je nach Rolle folgende Daten verarbeitet:

• Administratoren und Manager: E-Mail-Adresse, Name (optional) und Rollenzuordnung zu Firma und Standorten. Die Anmeldung erfolgt passwortlos per achtstelligem Einmal-Code, der per E-Mail versandt wird.
• Mitarbeiter: Anmeldung mit Telefonnummer und einem Code, der per SMS über Infobip versandt wird. Zum Schutz vor Missbrauch werden Anmeldeversuche je Telefonnummer protokolliert.

Die Anmeldung läuft über Supabase Auth. Sitzungsdaten werden serverseitig gesetzt und als HttpOnly-Cookie im Browser gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Missbrauchsschutz mit Cloudflare Turnstile

Nur auf den Seiten Anmeldung (app.obacht.app/login) und Registrierung (obacht.app/signup) lädt Obacht den Dienst Turnstile der Cloudflare, Inc. (USA). Er prüft, ob ein Mensch oder ein automatisiertes Programm das Formular nutzt, und schützt so vor massenhaften Anmeldeversuchen, dem Versand von Codes an fremde Adressen und dem automatischen Anlegen von Firmen. Auf anderen Seiten wird Turnstile nicht geladen.

Dabei erhält Cloudflare Ihre IP-Adresse, technische Verbindungs- und Browsermerkmale (TLS-Fingerprint, User-Agent) sowie die Kennung unserer Seite. Cloudflare setzt dabei keine Cookies; im Speicher des eingebetteten Cloudflare-Prüffensters wird ein technischer Eintrag (cf.turnstile.u) abgelegt. Beim Absenden prüft unser Server das Ergebnis der Prüfung zusammen mit Ihrer IP-Adresse bei Cloudflare. Für die Prüfung handelt Cloudflare als unser Auftragsverarbeiter; soweit Cloudflare die Daten zur Verbesserung seiner Bot-Erkennung nutzt, ist Cloudflare selbst verantwortlich (Turnstile-Datenschutzhinweise).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Unser berechtigtes Interesse ist der Schutz der Konten und des Dienstes vor automatisierten Angriffen. Der Zugriff auf Ihr Endgerät ist für die von Ihnen gewünschte sichere Anmeldung unbedingt erforderlich und deshalb ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

5. Zwecke und Daten in der App

Obacht ist eine Verwaltungssoftware für Sicherheits- und Personaldienstleister. Welche der folgenden Funktionen ein Kunde nutzt, entscheidet er selbst. Je nach Nutzung werden folgende Daten verarbeitet:

Personalstammdaten und Nachweise

Vor- und Nachname, Handynummer, E-Mail-Adresse, Geburtsdatum, Postleitzahl des Wohnorts, Staatsangehörigkeit, Ein- und Austrittsdatum, Beschäftigungsart, Personalnummer, Bewacher-ID, KVR-Nummer, Ausweis- bzw. Badge-Code, Subunternehmer, Foto (optional), Notizen sowie Qualifikationen und Nachweise mit Ablaufdatum und hochgeladenem Dokument. Erfasst vom Kunden oder vom Mitarbeiter bei der Selbst-Registrierung. Fotos liegen in einem nicht öffentlichen Speicher und werden nur angemeldeten Nutzern angezeigt, die den Mitarbeiter in ihrer Firma sehen dürfen.

Dienstplanung

Schichten, Zuordnung von Mitarbeitern zu Standorten, Soll-Zeiten und Abwesenheiten. Für die Umkreissuche bei der Besetzung werden Koordinaten aus der Wohnort-Postleitzahl verwendet (Abschnitt 6).

Zeiterfassung

Kommen- und Gehen-Zeitpunkte mit Zuordnung zu Standort und Schicht, Stundenkonto, Lohnarten und ein Protokoll nachträglicher Zeitkorrekturen. Erfasst wird per Scan in der App, per QR-Code oder Kiosk am Standort oder per Anruf.

Check-in per Telefon: Der Mitarbeiter ruft die Rufnummer des Standorts an und gibt seine PIN über die Telefontastatur ein. Die Telefonie läuft über Infobip. Gespeichert werden je Anruf die anrufende und die angerufene Rufnummer, Beginn, Dauer und Ergebnis; über die Rufnummer wird der Anruf dem Mitarbeiter-Datensatz zugeordnet. Obacht zeichnet keine Gespräche auf.

Ausrüstung

Gegenstände mit Bezeichnung, Seriennummer, Status und Notizen sowie jede Ausgabe und Rückgabe mit Zeitpunkt, Mitarbeiter und ausgebender Person, bei Bedarf mit Unterschrift.

Abwesenheiten und Krankmeldungen

Urlaub, Freischichten und Krankmeldungen mit Zeitraum, Notiz und Entscheidung. Zu einer Krankmeldung kann eine Arbeitsunfähigkeitsbescheinigung hochgeladen werden. Das sind Gesundheitsdaten im Sinne von Art. 9 DSGVO; sie liegen in einem nicht öffentlichen Speicher.

Einsatz, Wachbuch und Alleinarbeit

Einträge im Wachbuch und Vorfallberichte, Nachrichten an Mitarbeiter sowie bei der Alleinarbeit-Überwachung die Zeitpunkte der Lebenszeichen, Erinnerungen und Alarme.

Abrechnung

Kundenrechnungen aus den erfassten Stunden mit den Rechnungsdaten der Kunden des Kunden. Nutzt der Kunde die Belegübergabe an Belegify (ein weiteres Produkt der Comms Connect GmbH), werden Ausgangsrechnungen und Bewirtungsbelege einschließlich der Namen der Teilnehmer an Belegify übertragen.

Selbst-Registrierung per QR-Code

Mitarbeiter können sich über einen Link des Standorts selbst registrieren: Vor- und Nachname, Subunternehmer, Bewacher-ID und die Bestätigung der Datenschutzhinweise. Optional kann der Ausweis fotografiert werden; die Texterkennung läuft im Browser auf dem Gerät, das Bild wird nicht übertragen. Die Programmdateien der Texterkennung kommen von unseren eigenen Servern.

Push-Benachrichtigungen

In den Obacht-Apps für iOS und Android werden nach Zustimmung auf dem Gerät Push-Benachrichtigungen über Apple bzw. Google zugestellt. Dafür wird ein Geräte-Token gespeichert.

Zahlungs- und Bankdaten

Zahlungsmittel für die Tarife Standard und Pro verarbeitet ausschließlich Stripe. In Obacht gespeichert werden die Bankverbindung, die ein Kunde für seine eigenen Rechnungen hinterlegt, und die IBAN von Partnern im Partnerprogramm für Auszahlungen.

6. Standortdaten und Karten

Obacht erhebt keine GPS- oder Gerätestandorte; der Zugriff auf den Gerätestandort ist in der App technisch gesperrt.

Koordinaten aus der Wohnort-Postleitzahl: Für die Umkreissuche in der Dienstplanung ermittelt Obacht zu jedem Mitarbeiter aus der Postleitzahl seines Wohnorts ungefähre Koordinaten des Postleitzahlgebiets, keine genaue Adresse. Dafür werden nur Postleitzahl und Land an den Geocoding-Dienst Nominatim der OpenStreetMap Foundation übermittelt, keine Namen. Die Koordinaten werden am Mitarbeiter-Datensatz gespeichert, solange dieser besteht; ändert sich die Postleitzahl, werden sie verworfen und neu ermittelt. Ebenso werden die Adressen von Standorten geocodiert.

Kartenansicht: Die Karte in der App lädt Kartenkacheln direkt vom Kartenserver der OpenStreetMap Foundation. Dabei wird die IP-Adresse des Geräts an die OpenStreetMap Foundation übermittelt.

7. Website obacht.app

Obacht setzt keine Analyse- oder Werbewerkzeuge von Drittanbietern ein und gibt keine Daten an Werbedritte weiter. Beim ersten Besuch fragen wir in einem Dialog, ob Sie zwei Cookies erlauben; Ablehnen und Akzeptieren sind gleichwertig, nichts ist vorausgewählt. Ihre Entscheidung können Sie jederzeit über „Cookie-Einstellungen“ im Fuß der Seite ändern oder widerrufen.

• A/B-Vergleich der Startseite (Cookie obacht_hero_ab): Mit Einwilligung erhalten Sie zufällig eine von zwei Varianten und sehen sie 30 Tage lang wieder; wir zählen ohne Bezug zu einer Person, welche Variante angezeigt und angeklickt wurde. Ohne Einwilligung sehen Sie immer dieselbe Variante, und es wird nichts gezählt.
• Partner-Zuordnung (Cookie ob_ref): Kommen Sie über einen Partnerlink, speichern wir mit Einwilligung den Partnercode 90 Tage lang, damit eine Registrierung in dieser Zeit dem Partner zugeordnet wird. Ohne Einwilligung wird der Code nur in der Adresse der Seiten weitergegeben, die Sie im selben Besuch aufrufen, und nicht auf Ihrem Gerät gespeichert.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die Speicherung Ihrer Entscheidung selbst ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG).

8. Dienstleister (Auftragsverarbeiter)

Für den Betrieb von Obacht setzen wir folgende Dienstleister ein:

Ein Auftragsverarbeitungsvertrag (AV-Vertrag) kann auf Anfrage bereitgestellt werden.

9. Speicherdauer

Kontodaten speichern wir für die Dauer der Geschäftsbeziehung. Für die Daten in der App legt der Kunde Löschfristen unter Nachweise → Löschfristen fest; ein Administrator des Kunden führt die Löschung dort aus. Die Voreinstellungen sind:

• Anrufprotokoll und Nachrichten: 12 Monate
• Protokoll der Zeitkorrekturen: 24 Monate
• Vorfallberichte: 36 Monate
• Arbeitsunfähigkeitsbescheinigungen: 48 Monate
• Bewerberdaten: 6 Monate
• Prüfnachweise der Standorte: 120 Monate

Arbeitszeiten (mindestens 2 Jahre, § 17 MiLoG), Rechnungen und Buchungsbelege (8 bis 10 Jahre) werden wegen gesetzlicher Aufbewahrungspflichten nicht vorzeitig gelöscht. Nach Beendigung der Zusammenarbeit werden Daten gelöscht oder exportiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an info@obacht.app. Betrifft Ihre Anfrage Daten, die Ihr Arbeitgeber in Obacht erfasst hat, leiten wir sie an ihn als Verantwortlichen weiter.

Konto-Löschung: Eingeloggte Nutzer können ihr Konto in der App unter Einstellungen → Konto → Konto löschen entfernen. Dabei wird das Benutzerprofil anonymisiert, der Zugang gelöscht und die Zuordnung zu Firmen und Standorten entfernt. In den Mitarbeiter- und Stempel-Profilen, die zu Ihrer E-Mail-Adresse bzw. Telefonnummer gehören, löschen wir sofort alle Angaben, für die keine gesetzliche Aufbewahrungspflicht besteht: Kontaktdaten, Geburtsdatum, Postleitzahl und Koordinaten, Staatsangehörigkeit, Foto, Notizen, Bewacher-ID und KVR-Nummer, Telefon-PIN, Qualifikationen mit Dokumenten, Übergabe-Unterschriften, Nachrichten, Anrufprotokoll, Freitexte zu Abwesenheiten sowie Ihre Zuordnung im Dienstplan.

Bestimmte Unterlagen muss Ihr Arbeitgeber aufbewahren. Für sie bleiben nur Ihr Name und Ihre Personalnummer gesperrt stehen, der Datensatz ist inaktiv und wird nicht mehr genutzt:

• Arbeitszeitaufzeichnungen: 2 Jahre ab der Aufzeichnung (§ 17 Abs. 1 MiLoG, § 16 Abs. 2 ArbZG)
• Entgeltunterlagen wie Abwesenheiten mit Arbeitsunfähigkeitsbescheinigung, Lohnarten und Urlaubsansprüche: 4 Jahre (§ 28f Abs. 1 SGB IV)
• Aufzeichnungen des Bewachungsgewerbes wie Vorfälle und Wachbuch: bis zum Ende des dritten folgenden Kalenderjahres (§ 21 BewachV)
• Buchungsbelege wie Auslagenbelege: bis zum Ende des achten folgenden Kalenderjahres (§ 147 AO)

Ist die längste dieser Fristen abgelaufen, werden Name und Personalnummer automatisch anonymisiert und aufbewahrte Arbeitsunfähigkeitsbescheinigungen gelöscht. Besteht keine solche Unterlage, geschieht das sofort. Die Ausgabe-Vorgänge der Ausrüstung bleiben ohne Unterschrift und ohne Personenbezug erhalten.

Datenexport: Unter Einstellungen → Meine Daten → Daten exportieren (JSON) erhalten Sie eine maschinenlesbare Kopie Ihres Benutzerprofils, Ihrer Zuordnungen zu Firma und Standorten, der zugehörigen Mitarbeiter- und Stempel-Profile, Ihrer Arbeitszeiten (Schichten, Stempelungen, Stundenkorrekturen), Ihrer Abwesenheiten und Urlaubsansprüche, Ihrer Qualifikationen und der Ausgabe-Vorgänge. Hochgeladene Dateien wie Arbeitsunfähigkeitsbescheinigungen erhalten Sie über eine Auskunftsanfrage.

Sie haben zudem das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren:

11. Cookies und lokaler Speicher

Obacht setzt folgende Cookies. Die beiden mit „nur mit Einwilligung“ gekennzeichneten setzen wir erst, wenn Sie im Cookie-Dialog zustimmen (Abschnitt 7); alle anderen sind technisch notwendig.

Im lokalen Speicher des Browsers bzw. der App legt Obacht zusätzlich ab: das Geräte-Token für Push-Benachrichtigungen, die Anmeldung im Partnerbereich, zuletzt genutzte Bereiche, die gewählte Sortierung und an Kiosk-Geräten die zuletzt erkannte Person. Auf den Seiten Anmeldung und Registrierung legt Cloudflare Turnstile im eigenen Prüffenster den Eintrag cf.turnstile.u ab (Abschnitt 4).