Datenschutzhinweis für Beschäftigte

Dieser Hinweis informiert dich nach Art. 13 und 14 DSGVO darüber, wie die remX GmbH in der Anwendung „remX Intern“ (Zeiterfassung, Urlaub und Abwesenheit, Anträge, Personalakte, Berichte, Protokoll) personenbezogene Daten verarbeitet. Angaben mit [zu klären] muss die remX GmbH ergänzen; Rechtsaussagen sind [juristisch zu prüfen].

1. Wer ist verantwortlich?

Verantwortlicher: remX GmbH, Eggerten 19, 76646 Bruchsal. Vertreten durch: [zu klären: Geschäftsführung]. Kontakt für Datenschutzanfragen: [zu klären: Telefon / E-Mail].

Datenschutzbeauftragte(r): [zu klären: Name und Kontakt – oder Hinweis, dass keine Benennungspflicht besteht].

Technischer Betrieb: Die Anwendung wird im Auftrag der remX GmbH von NB-Fullstack (Norbert Bartus) entwickelt und betrieben [zu klären: Anschrift]. NB-Fullstack ist Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet die Daten nur nach Weisung der remX GmbH.

2. Wofür verarbeiten wir deine Daten, und auf welcher Grundlage?

• Arbeitszeiterfassung (Kommen, Gehen, Pausen, Zeitkonto, Hinweise zum Arbeitszeitgesetz; Quelle der Buchung: Terminal, Web, Mobil, Korrektur). Grundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. den Pflichten zur Arbeitszeiterfassung (§ 16 Abs. 2 ArbZG, Rechtsprechung des BAG), § 26 Abs. 1 BDSG [juristisch zu prüfen].
• Urlaub, Abwesenheit, Krankmeldung (Zeiträume, Art der Abwesenheit, Urlaubskonto, Status der Arbeitsunfähigkeitsbescheinigung nur als „nicht nötig / ausstehend / eingegangen“). Diagnosen werden nicht gespeichert. Grundlage: § 26 Abs. 1 und 3 BDSG, Art. 6 Abs. 1 lit. b und c, für den Gesundheitsbezug Art. 9 Abs. 2 lit. b DSGVO [juristisch zu prüfen].
• Anträge und Genehmigungen (Urlaub, Zeitkorrektur, Überstunden, Datenänderung, Dienstreise). Grundlage: § 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b DSGVO.
• Personalakte (Stammdaten, Anschrift, Notfallkontakt, Beschäftigung, Vertrag, Dokumente, Qualifikationen, Ausstattung). Grundlage: § 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b DSGVO.
• Sensible Angaben, nur falls aktiviert (Steuer-ID, SV-Nummer, IBAN, Steuerklasse, Konfession, Kennzeichen Schwerbehinderung, Aufenthaltstitel): verschlüsselt gespeichert und nur für die Geschäftsführung und dich selbst lesbar. Grundlage: § 26 Abs. 1 und 3 BDSG, Art. 6 Abs. 1 lit. b und c, Art. 9 Abs. 2 lit. b DSGVO [zu klären: welche Felder genutzt werden].
• Entgeltabrechnung (Vorbereitung und Postfach): Änderungsliste für Lohnbüro und Steuerberatung, Lohnabrechnungen als PDF in deiner Akte. Grundlage: § 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b und c DSGVO.
• Kartenbasierte Anmeldung am Terminal: Prüfwert der Karte (Hash), letzte vier Zeichen, Zeitpunkt, Gerät; optional PIN (als Prüfsumme). Grundlage: § 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b und f DSGVO [juristisch zu prüfen].
• Konto und Anmeldung: E-Mail, Passwort (nur als Prüfwert), Passkey (öffentlicher Schlüssel), Authentifizierungs-App (zweiter Faktor), Sitzungen. Grundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
• IT-Sicherheit und Nachvollziehbarkeit (Protokoll): wer wann was getan hat, IP-Adresse und Browser, E-Mail-Versand, Terminal-Ereignisse. Bei sicherheitsrelevanten Fehlern (abgelehnter Zugriff, zu viele Anfragen, Serverfehler) wird zusätzlich ein Anfrage-Eintrag ohne Inhalt geschrieben: Zeitpunkt, Methode, Pfad ohne Parameter, Ergebnis, Anfrage-ID, Konto und eine gekürzte IP-Adresse (letztes Oktett ausgeblendet). Grundlage: Art. 6 Abs. 1 lit. f, Art. 32 DSGVO, § 26 Abs. 1 BDSG.
• Benachrichtigungen (in der Anwendung, per E-Mail, per Push) und Tages- und Wochenübersichten an Leitung und Personalverwaltung (Hinweise wie fehlende Buchungen oder ablaufende Fristen). Push nur nach deiner Aktivierung. Grundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
• Support: Tickets mit Betreff, Text und technischem Kontext (Seite, Browser). Grundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Organisation: Verzeichnis, Organigramm, „Wer ist da?“ (Name, Position, Abteilung, Büro-Telefon, Firmen-E-Mail; Anwesenheitsstatus nur für Berechtigte). Grundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
• Profilfoto im Verzeichnis (freiwillig): auf Grundlage deiner Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, § 26 Abs. 2 BDSG; jederzeit widerrufbar unter „Meine Akte“.

3. Was wir ausdrücklich nicht tun

• Keine Leistungs- oder Verhaltensbewertung. Die Daten dienen der Zeiterfassung, Abrechnung, Sicherheit und Nachvollziehbarkeit. Es gibt keine Rankings, Punktesysteme oder Auswertungen von Anwesenheitsmustern einzelner Personen.
• Kein GPS und keine Standortverfolgung. Auch beim Stempeln am Handy wird kein Standort erfasst. Beim „Kundeneinsatz“ kannst du freiwillig einen Kunden- oder Ortsnamen als Text eintragen.
• Keine biometrischen Daten. Gesicht und Fingerabdruck bei „Face ID“ oder „Touch ID“ bleiben auf deinem Gerät.
• Keine Diagnosen, keine Ausweiskopien. Gespeichert wird nur, dass eine Arbeitsunfähigkeitsbescheinigung vorliegt, und bei Ausweisen nur „geprüft am … von …“.
• Keine Kartennummer im Klartext. Das Terminal bildet aus der Kartennummer einen nicht umkehrbaren Prüfwert. Gespeichert werden nur dieser Prüfwert und die letzten vier Zeichen zur Zuordnung.
• Keine automatisierte Entscheidung mit rechtlicher Wirkung und kein Profiling (Art. 22 DSGVO). Hinweise wie „Pause fehlt“ sind Warnungen; Entscheidungen trifft immer ein Mensch.
• Keine Weitergabe zu Werbezwecken, keine Tracking-Werkzeuge Dritter, keine Werbe-Cookies.

4. Welche Daten verarbeiten wir?

Identitäts- und Kontaktdaten (Name, Personalnummer, E-Mail, Telefon, Anschrift, Notfallkontakt) · Vertrags- und Beschäftigungsdaten (Eintritt, Position, Abteilung, Vorgesetzte, Wochenstunden, Urlaubsanspruch, Probezeit, Befristung) · Zeitdaten · Abwesenheits- und Urlaubsdaten · Antrags- und Genehmigungsdaten · Dokumente der Personalakte · Qualifikationen mit Ablaufdaten · Ausstattung (z. B. Schlüssel, Laptop, Fahrzeug) · Kartenprüfwert und PIN-Prüfsumme · Konto- und Nutzungsdaten (Anmeldungen, IP-Adresse, Browserkennung, Sitzungen) · Protokoll- und Kommunikationsdaten (E-Mail-Versand, Benachrichtigungen, Support-Tickets) · bei Bedarf besondere Kategorien (Schwerbehinderung als Kennzeichen, Gesundheitsbezug durch Abwesenheitsarten, BEM-Fall als Tatsache und Datum).

Die Daten stammen von dir, aus deinen Buchungen und von der Personalverwaltung.

5. Wer bekommt deine Daten?

Innerhalb der remX GmbH nach Rolle:

• Du selbst: deine eigenen Daten (Menü „Meine Akte“, „Meine Zeiten“, Berichte).
• Teamleitung: Zeiten, Anwesenheit und Anträge der direkt Unterstellten; Notfallkontakt, Beschäftigung, Vertrag, Qualifikationen und Gesprächszusammenfassung der direkt Unterstellten.
• Personalverwaltung: Zeiten und Personalakten, ohne sensible und vertrauliche Inhalte.
• Geschäftsführung: zusätzlich sensible und vertrauliche Inhalte, Einstellungen und Protokoll.
• Alle Beschäftigten: Verzeichnis (Name, Position, Abteilung, Büro-Telefon, Firmen-E-Mail); im Teamkalender eine Krankmeldung nur als „abwesend“.
• Technischer Support: ohne Zugriff auf Personalakten; Zugriffe des Supports auf technische Daten werden protokolliert.

Wer deine sensiblen Angaben und Dokumente geöffnet hat, siehst du unter Meine Akte → Zugriffe auf meine Akte: Zeitpunkt, Rolle der zugreifenden Stelle (nicht der Name), Art und Gegenstand des Zugriffs. Eigene Zugriffe werden dort nicht aufgeführt.

Externe Empfänger [zu klären: tatsächliche Empfänger eintragen]:

• NB-Fullstack als Auftragsverarbeiter (Entwicklung, Betrieb, Support), Art. 28 DSGVO [zu klären: Vertrag].
• Hosting- bzw. Rechenzentrumsanbieter als Unterauftragnehmer (Server und Datenbank) [zu klären: Anbieter, Standort, Vertrag].
• E-Mail-Versanddienst (Einladungen, Berichte, Benachrichtigungen) [zu klären: Anbieter].
• Lohnbüro bzw. Steuerberatung (Entgeltabrechnung) [zu klären: Name und Rolle].
• Anbieter von Push-Diensten der Geräte (Apple, Google, Mozilla – je nach Gerät): nur nach deiner Aktivierung; übermittelt werden Mitteilungstexte ohne sensible Details [zu klären: Inhalte prüfen].
• Sozialversicherungsträger, Finanzbehörden und andere Behörden, soweit gesetzlich vorgeschrieben.

Drittland: Nach derzeitigem Plan werden keine Daten in Drittländer übermittelt [zu klären: Standort des Hostings und des E-Mail-Dienstes]. Bei Push-Diensten und der optionalen Diktierfunktion deines Browsers (Support-Formular) können Geräte- bzw. Browserhersteller Daten außerhalb der EU verarbeiten; beides ist freiwillig.

Cookies und lokaler Speicher: Es wird ein technisch notwendiges Sitzungs-Cookie verwendet. Es gibt keine Analyse- und keine Werbe-Cookies. Lokal im Browser liegen Seitenbausteine (Service Worker, keine personenbezogenen Seiten) und, falls du ohne Netz am Handy stempelst, die noch nicht gesendeten Buchungen (Offline-Warteschlange); sie werden nach dem Senden gelöscht.

6. Wie lange speichern wir deine Daten?

Die genauen Fristen stehen im Löschkonzept; sie sind noch mit Steuerberatung und Datenschutzbeauftragten abzustimmen [zu klären / juristisch zu prüfen]. Übersicht der derzeitigen Planung:

• Arbeitszeitaufzeichnungen: mindestens 2 Jahre (§ 16 Abs. 2 ArbZG); endgültige Frist [zu klären].
• Dokumente der Personalakte: je Kategorie 3 Jahre nach Austritt (Verträge, Zeugnisse, Gespräche, Datenschutzhinweis), Bewerbungen 6 Monate, Lohnabrechnungen 8 Jahre (derzeitiger Richtwert), Abmahnungen nach Einzelfallprüfung; danach Löschung im Vier-Augen-Verfahren.
• Terminal-Ereignisse: 2 Jahre.
• Terminal-Gerätedaten (Heartbeats, Befehle, bearbeitete unbekannte Karten): 14 bzw. 90 Tage.
• Aktivitäts- und Zugriffsprotokoll: 3 Jahre.
• Anmeldeprotokoll und E-Mail-Protokoll (ohne Text): 12 Monate; Text protokollierter E-Mails: 60 Tage.
• Anfrage-Einträge zu sicherheitsrelevanten Fehlern: 60 Tage (einstellbar, mindestens 7 Tage).
• Kartenprüfwert: solange die Karte zugeordnet ist [zu klären: Löschung bei Austritt].

7. Deine Rechte

Du hast gegenüber der remX GmbH das Recht auf

• Auskunft (Art. 15 DSGVO): unter Meine Akte → Meine Daten herunterladen; Zeitdaten findest du unter „Meine Zeiten“ und in den Monatsberichten,
• Berichtigung (Art. 16): unter Meine Akte → Änderung beantragen oder bei der Personalverwaltung,
• Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20), soweit die Voraussetzungen vorliegen,
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (z. B. Push-Mitteilungen, Profilfoto),
• Beschwerde bei einer Aufsichtsbehörde (Art. 77): zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg [zu klären: aktuelle Anschrift prüfen].

Wende dich dazu an [zu klären: Ansprechperson, Kontakt]. Anfragen werden in der Anwendung über „Meine Akte → Änderung beantragen“ bzw. durch die zuständige Stelle bearbeitet.

8. Pflicht zur Bereitstellung

Die Zeiterfassung und die Daten der Personalakte sind für das Beschäftigungsverhältnis und zur Erfüllung gesetzlicher Pflichten erforderlich. Ohne diese Daten kann das Beschäftigungsverhältnis nicht durchgeführt werden. Freiwillig sind Passkey, Push-Mitteilungen, Profilfoto, die Diktierfunktion im Support-Formular und Angaben beim „Kundeneinsatz“.

9. Sicherheit

Technische und organisatorische Maßnahmen (Auszug): verschlüsselte Übertragung (TLS), Anmeldung mit Passwort, Passkey und zweitem Faktor, Rechteprüfung auf dem Server, Verschlüsselung sensibler Personalfelder, Protokollierung mit Hash-Kette, signierte Terminal-Kommunikation, verschlüsselte Sicherungen. Vollständig: Liste der technischen und organisatorischen Maßnahmen (TOM).

10. Änderungen

Wir passen diesen Hinweis an, wenn sich Verarbeitungen ändern, und informieren dich dann rechtzeitig: Bei jeder neuen Version bittet dich die Anwendung um deine Kenntnisnahme (Meine Akte → Dokumente). Frühere Fassungen bleiben auf dieser Seite im Versionsverlauf einsehbar.