Datenschutzerklärung

Stand: 23. September 2026

Diese Datenschutzerklärung informiert Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, wie die BlankTrading UG (haftungsbeschränkt) (nachfolgend „wir“ oder „uns“) personenbezogene Daten verarbeitet, wenn Sie

• unsere Website quickteam.at besuchen,
• ein Konto bei QuickTeam anlegen oder als Inhaberin oder Inhaber einen Betrieb einrichten und QuickTeam buchen oder
• QuickTeam im Web-Dashboard oder in der QuickTeam-App für iOS und Android nutzen, sei es als Führungskraft oder als Beschäftigte oder Beschäftigter eines Betriebs.

Website, Web-Dashboard und App bilden zusammen den Dienst „QuickTeam“ (der „Dienst“). Wo sich die Verarbeitung zwischen Website und App unterscheidet, ist das ausdrücklich angegeben.

1. Verantwortlicher und Kontakt

BlankTrading UG (haftungsbeschränkt)

Gabriele-Münter-Straße 31

73760 Ostfildern

Deutschland

Vertreten durch den Geschäftsführer Leo Solomon

Handelsregister: Amtsgericht Stuttgart, HRB 795737

E-Mail: blanktrading@web.de

Telefon: +43 664 2538798

Datenschutzkontakt: blanktrading@web.de. An diese Adresse richten Sie bitte auch alle Anfragen zur Ausübung Ihrer Rechte (Ziffer 17).

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist derzeit nicht benannt. Datenschutzanfragen bearbeitet die Geschäftsführung unter der oben genannten Adresse.

2. Wer für welche Daten verantwortlich ist

QuickTeam ist ein Werkzeug zur Schicht- und Personaleinsatzplanung, das Betriebe (jeweils der „Arbeitgeber“) für ihre Teams nutzen. Für die Daten, die dabei entstehen, gibt es zwei Verantwortliche:

Betriebliche Daten. Ihr Arbeitgeber entscheidet, welche Daten er in QuickTeam über Sie erfasst, wer im Betrieb welche Angaben sehen darf und wann Daten gelöscht werden. Wir verarbeiten diese Daten nur nach seinen Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags. Ihr Arbeitgeber ist verpflichtet, Sie selbst über diese Verarbeitung zu informieren; die Ziffern 7.2 bis 9 beschreiben, was der Dienst dabei technisch tut, ersetzen diese Information aber nicht. Anfragen zu betrieblichen Daten richten Sie bitte zuerst an Ihren Arbeitgeber. Erreicht eine solche Anfrage uns, leiten wir sie unverzüglich an ihn weiter und unterstützen ihn bei der Beantwortung.

Herkunft der Daten (Art. 14 DSGVO). Beschäftigte werden in der Regel von ihrem Arbeitgeber angelegt. Name, E-Mail-Adresse, gegebenenfalls Telefonnummer, Rolle(n) und Anstellungsangaben (etwa Vertragsart, Sollstunden, Urlaubsanspruch) stammen deshalb zunächst von Ihrem Arbeitgeber und nicht von Ihnen. Alle weiteren Daten entstehen, wenn Sie oder andere Mitglieder Ihres Betriebs den Dienst nutzen.

Wenn Sie unsicher sind, an wen Sie sich wenden sollen, schreiben Sie uns. Wir helfen Ihnen weiter oder leiten Ihre Anfrage an die richtige Stelle.

3. Besuch der Website

3.1 Hosting und Server-Protokolle

Website und Web-Dashboard werden von Vercel Inc., USA, gehostet und ausgeliefert. Bei jedem Seitenaufruf verarbeitet Vercel die technisch notwendigen Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, übertragene Datenmenge, HTTP-Statuscode sowie Browser- und Betriebssystemangaben (User-Agent).

• Zweck: Auslieferung der Seiten, Stabilität, Abwehr von Angriffen und Fehleranalyse.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren und funktionsfähigen Bereitstellung der Website.
• Speicherdauer: Die Protokolle der Server-Funktionen löscht Vercel automatisch nach spätestens einem Tag. Eigene Zugriffsprotokolle legen wir nicht an, und wir führen diese Daten nicht mit anderen Daten zusammen.
• Empfänger: Vercel handelt als unser Auftragsverarbeiter. Vercel liefert Inhalte über ein weltweites Servernetz aus; eine Verarbeitung in den USA ist dabei nicht ausgeschlossen (Ziffer 14).

3.2 Keine Analyse, keine Werbung, keine eingebundenen Drittinhalte

Wir setzen keine Analyse-, Tracking- oder Werbedienste ein und binden keine Social-Media-Plugins, Karten oder Videos Dritter ein. Schriftarten werden von unserem eigenen Server ausgeliefert; beim Seitenaufruf wird keine Verbindung zu Google Fonts oder anderen Schriftanbietern hergestellt. Die einzige Stelle, an der Inhalte eines Dritten nachgeladen werden, ist das Zahlungsformular (Ziffer 6).

4. Cookies und ähnliche Technologien auf der Website

Die Website verwendet die nachfolgenden Cookies für Anmeldung, gewählte Einstellungen und Zahlung:

Rechtsgrundlage: Für die zur Anmeldung und für die ausdrücklich gewählte Sprache, Position oder Abrechnung erforderlichen Speicherzugriffe gilt § 25 Abs. 2 Nr. 2 TDDDG bzw. in Österreich § 165 Abs. 3 TKG 2021. Die Verarbeitung personenbezogener Daten richtet sich nach Art. 6 Abs. 1 lit. b DSGVO für eigene Vertragsbeziehungen bzw. lit. f DSGVO für sichere Zugänge und die Abwicklung für Unternehmensvertreter. Stripe verwendet im Zahlungsformular Cookies und Gerätesignale zur Betrugsprävention. Eine Einwilligungsausnahme gilt auch dort nur für Speicherzugriffe, die für den ausdrücklich verlangten Zahlungsdienst unbedingt erforderlich sind; eine allgemeine Berufung auf Sicherheit oder berechtigte Interessen ersetzt diese Voraussetzung nicht.

Auf der Website wird derzeit kein Cookie-Banner angezeigt. Analyse- und Werbe-Cookies werden nicht eingesetzt. Sie können Cookies in den Einstellungen Ihres Browsers löschen oder blockieren; ohne die Anmelde-Cookies ist eine Anmeldung jedoch nicht möglich.

5. Konto anlegen und Betrieb einrichten

Konto und Betrieb entstehen in zwei getrennten Schritten: Zuerst legen Sie ein persönliches Anmeldekonto an (Ziffer 5.1). Einen Betrieb richten Sie anschließend, wenn Sie möchten, aus dem Dashboard heraus ein (Ziffer 5.2); er wird erst angelegt, wenn die erste Zahlung erfolgreich war (Ziffer 6).

5.1 Anmeldekonto

Für ein Konto erheben wir Ihre E-Mail-Adresse und ein Passwort. Das Passwort wird verschlüsselt (TLS) an unseren Server übertragen, der es unmittelbar an unseren Authentifizierungsdienst weiterreicht; das gilt ebenso bei jeder Anmeldung und beim Zurücksetzen des Passworts. Wir protokollieren das Passwort nicht und speichern es nicht. Dauerhaft gespeichert wird ausschließlich ein kryptografischer Hashwert, aus dem sich das Passwort nicht zurückrechnen lässt.

Zur Bestätigung Ihrer E-Mail-Adresse senden wir Ihnen einen achtstelligen Code (Ziffer 12.1). Unbestätigte Konten werden automatisch gelöscht. Wird der Code nicht innerhalb von 24 Stunden eingegeben, wird das Konto beim nächsten stündlichen Bereinigungslauf gelöscht, regelmäßig spätestens nach etwa 25 Stunden.

5.2 Einrichtung eines Betriebs

Zur Einrichtung eines Betriebs erheben wir: Name des Betriebs, Land (Deutschland oder Österreich), Ihren Vor- und Nachnamen und, falls Sie ihn freiwillig angeben, einen Promo-Code. Anschließend wählen Sie einen Tarif und hinterlegen Rechnungsangaben und Zahlungsmittel (Ziffer 6).

Vor der ersten Zahlung liegen diese Angaben bei Stripe. Solange Ihr Betrieb noch nicht angelegt ist, speichern wir Name und Land des Betriebs, Ihren Vor- und Nachnamen, die Kennung Ihres Anmeldekontos, einen angegebenen Promo-Code sowie später Tarif, Abrechnungsintervall und einen gegebenenfalls eingelösten Rabattcode als Zusatzangaben an einem Kundendatensatz bei Stripe (Ziffer 6), nicht in unserer Datenbank. Ist die erste Zahlung erfolgreich, legen wir daraus den Betrieb an, verknüpfen Ihr Konto mit ihm als Führungskraft („Chef“) und entfernen die Zusatzangaben bei Stripe wieder; Name und Land des Betriebs bleiben dort als Rechnungsangaben. Schließen Sie die Einrichtung nicht ab, bleiben die Angaben bei Stripe gespeichert, bis Sie die Einrichtung fortsetzen oder ihre Löschung verlangen (Ziffer 17).

Promo-Code. Ein Promo-Code gibt an, dass eine unserer Werbepartnerinnen oder einer unserer Werbepartner Ihnen QuickTeam empfohlen hat; er bewirkt keinen Preisnachlass. Vor dem Speichern prüfen wir nur, ob der Code gültig ist. Mit der Anlage des Betriebs ordnen wir den Code dem Betrieb zu; die Zuordnung bleibt bis zur Löschung des Betriebs gespeichert und kann nicht nachträglich geändert werden. Wir teilen der Person, der der Code gehört, mit, dass ein Betrieb über ihren Code zu uns gekommen ist, und nennen ihr in ihren Abrechnungen die Bezeichnung des Betriebs, die von ihm vereinnahmten Nettobeträge und die daraus berechnete Vergütung. Weitere Daten, insbesondere Daten Ihrer Beschäftigten oder aus der Dienstplanung, erhält sie nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Empfehlungen zuzuordnen und die vereinbarte Vergütung nachvollziehbar abzurechnen. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (Ziffer 17). Abrechnungen gegenüber Werbepartnern bewahren wir als Buchungsbelege nach den gesetzlichen Fristen auf (Ziffer 15).

5.3 Nachweis der Zustimmung zu AGB, AVV und Datenschutzerklärung

Bei der Anlage Ihres Kontos nehmen Sie diese Datenschutzerklärung zur Kenntnis; die Fassung, die Sprache und eine Prüfsumme der gelesenen Fassung speichern wir zunächst bei Ihrem Anmeldekonto. Bei der Einrichtung eines Betriebs bestätigen Sie für ihn die Allgemeinen Geschäftsbedingungen und den Auftragsverarbeitungsvertrag (AVV). Mit der Anlage des Betriebs schreiben wir für alle drei Dokumente einen Nachweis. Ändert sich eines dieser Dokumente, bitten wir Führungskräfte im Dashboard erneut um Bestätigung. Als Nachweis speichern wir je Dokument: Bezeichnung, Fassung (Datum des Stands), Zeitpunkt, Kennung Ihres Kontos und des Betriebs sowie gegebenenfalls die Sprache und die Prüfsumme der bestätigten Fassung. Diese Einträge können nachträglich nicht geändert werden.

Für die Bestätigung von AGB und AVV legen wir im Zeitpunkt der Bestätigung zusätzlich eine Kopie an, die auch nach der Löschung des Betriebs erhalten bleibt: Name und Land des Betriebs, Vor- und Nachname sowie E-Mail-Adresse der bestätigenden Person, Dokument, Fassung, Sprache, Prüfsumme der bestätigten Fassung und Zeitpunkt. Diese Kopie bewahren wir bis zum Ende des dritten Kalenderjahres nach Vertragsende auf (regelmäßige Verjährungsfrist, §§ 195, 199 BGB) und löschen sie dann automatisch. Die Kenntnisnahme dieser Datenschutzerklärung wird nicht kopiert; ihr Nachweis wird mit dem Betrieb gelöscht.

5.4 Zwecke und Rechtsgrundlagen

• Anlage und Verwaltung des Kundenkontos, Vertragsschluss: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartner sind (etwa als Einzelunternehmer). Handeln Sie für ein Unternehmen, etwa als Geschäftsführer, stützen wir die Verarbeitung Ihrer Daten auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Durchführung des Vertrags mit dem von Ihnen vertretenen Unternehmen.
• Bestätigung der E-Mail-Adresse: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Konten mit fremden oder falschen Adressen).
• Zustimmungsnachweis: Art. 6 Abs. 1 lit. f DSGVO (Nachweis des Vertragsschlusses und der Einbeziehung der Vertragsbedingungen; nach Vertragsende zur Abwehr von Ansprüchen, Art. 17 Abs. 3 lit. e DSGVO).

6. Zahlungsabwicklung mit Stripe

Bei der Einrichtung eines Betriebs wählen Sie einen Tarif und ein Abrechnungsintervall. Eine kostenlose Testphase gibt es nicht; das Abonnement beginnt mit der ersten Zahlung, und erst danach wird der Betrieb angelegt (Ziffer 5.2). Einen Rabattcode können Sie freiwillig angeben; wir prüfen ihn bei Stripe und wenden ihn auf das Abonnement an.

• Rechnungsangaben erheben wir vor der ersten Zahlung. Wir fragen den rechtlichen Unternehmensnamen, Straße und Hausnummer, Postleitzahl, Ort, Land und die Umsatzsteuer-Identifikationsnummer (UID in Österreich, USt-IdNr. in Deutschland) ab. QuickTeam wird ausschließlich an Unternehmer verkauft; die Nummer dient als Nachweis dafür und steht auf der Rechnung. Diese Angaben sind für eine ordnungsgemäße Rechnung erforderlich (§ 14 Abs. 4 UStG); Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.
• An Stripe übermitteln wir: Ihre E-Mail-Adresse, die genannten Rechnungsangaben (Unternehmensname, Straße und Hausnummer, Postleitzahl, Ort, Land, UID bzw. USt-IdNr.), eine interne Kennung Ihres Betriebs, die bevorzugte Sprache für Rechnungen, den gewählten Tarif samt Abrechnungsintervall und einen gegebenenfalls eingelösten Rabattcode; vor der ersten Zahlung außerdem die in Ziffer 5.2 genannten Zusatzangaben. Anschrift und Land benötigt Stripe, um die Umsatzsteuer zu berechnen und die Rechnung auszustellen. Stripe prüft die Gültigkeit der Umsatzsteuer-Identifikationsnummer über das Mehrwertsteuer-Informationsaustauschsystem (MIAS/VIES). Für die zutreffende steuerliche Behandlung sind die gesetzlichen Voraussetzungen maßgeblich; wir bleiben für die richtige Rechnung verantwortlich.
• Gespeichert werden die Rechnungsangaben bei Stripe, nicht in unserer Datenbank; dort steht nur das Land Ihres Betriebs. Ändern können Sie sie jederzeit über das Kundenportal (siehe unten).
• Zahlungsdaten (etwa Kartendaten oder IBAN für SEPA-Lastschrift) geben Sie direkt in das Formular von Stripe ein, das auf unserer Seite eingebettet ist und von Servern der Stripe geladen wird. Diese Daten gehen unmittelbar an Stripe; vollständige Kartennummern oder Kontoverbindungen erhalten und speichern wir nicht.
• Bei uns gespeichert werden: die Stripe-Kundenkennung, die Kennung des Abonnements, der Tarif und der Status des Abonnements (etwa aktiv, pausiert, gekündigt). Stripe teilt uns Änderungen des Status automatisch mit.
• Kundenportal: Über „Abo verwalten“ in den Einstellungen des Dashboards gelangen Führungskräfte zum Kundenportal von Stripe. Dort können Sie das Abonnement kündigen, das Zahlungsmittel ändern und Rechnungen abrufen. Das Portal wird von Stripe betrieben; wir übermitteln dafür nur Ihre Stripe-Kundenkennung und die Adresse, zu der Sie danach zurückkehren.
• Betrugsprävention: Auf den Seiten mit Zahlungsformular erhebt Stripe Geräte- und Nutzungsdaten (z. B. IP-Adresse, Browser-Merkmale, Interaktionen mit dem Formular) und setzt dafür die in Ziffer 4 genannten Cookies, um betrügerische Zahlungen zu erkennen.

Verantwortlichkeit: Eingesetzt wird Stripe Payments Europe, Limited, Irland. Nach dem Stripe-Datenverarbeitungsvertrag handelt Stripe je nach Verarbeitung als unser Auftragsverarbeiter, etwa zur Bereitstellung seiner Zahlungs- und Abonnementdienste nach unseren Weisungen, oder als eigenständig Verantwortlicher, insbesondere für eigene Betrugsbekämpfung, regulatorische Pflichten und weitere dort beschriebene eigene Zwecke. Für die Auswahl und Übermittlung der Kunden- und Rechnungsdaten bleiben wir verantwortlich. Die betriebliche Personalplanung übermitteln wir nicht über diese Zahlungsintegration. Informationen zu Stripes eigener Verarbeitung stehen in der Stripe-Datenschutzerklärung. Übermittlungen in die USA richten sich nach Ziffer 14.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO bzw. lit. f DSGVO (siehe Ziffer 5.4) für die Abwicklung des Abonnements; Art. 6 Abs. 1 lit. f DSGVO für die Betrugsprävention; Art. 6 Abs. 1 lit. c DSGVO für die Aufbewahrung von Rechnungs- und Buchungsunterlagen.

Beschäftigte zahlen nichts und geben keine Zahlungsdaten an.

7. Nutzung von Web-Dashboard und App

7.1 Ihr Anmeldekonto (wir sind Verantwortlicher)

Für jedes Konto verarbeiten wir: E-Mail-Adresse, Passwort-Hashwert, Kontokennung, Zeitpunkte von Anlage, Bestätigung und letzter Anmeldung sowie die von Ihnen gewählte Sprache. Für jede aktive Anmeldesitzung speichert unser Authentifizierungsdienst zusätzlich IP-Adresse und Browser- bzw. Gerätekennung (User-Agent), bis Sie sich abmelden oder Ihr Konto löschen.

Ein Konto kann mehreren Anstellungen zugeordnet sein, etwa wenn Sie in zwei Betrieben arbeiten. In der App können Sie zwei eigene Anmeldekonten zusammenführen; der dafür erzeugte Verknüpfungscode ist 15 Minuten gültig.

Beschäftigte legen ihr Konto in der App mit E-Mail-Adresse und Passwort an und bestätigen es mit einem Code. Die Einladung ihres Arbeitgebers wird dem Konto über die E-Mail-Adresse zugeordnet, die der Arbeitgeber hinterlegt hat; wir versenden selbst keine Einladungs-E-Mails. Mit diesem Konto können Sie sich auch im Web-Dashboard anmelden.

Zwecke und Rechtsgrundlagen: Bereitstellung eines persönlichen, geschützten Zugangs und Absicherung des Dienstes gegen Missbrauch. Für Kundinnen und Kunden Art. 6 Abs. 1 lit. b DSGVO; für Beschäftigte und sonstige eingeladene Personen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das Ihres Arbeitgebers liegen darin, eingeladenen Personen einen sicheren Zugang zu dem Dienst zu geben, den der Arbeitgeber gebucht hat.

7.2 Ihr Profil im Betrieb (Ihr Arbeitgeber ist Verantwortlicher)

Je Anstellung werden verarbeitet: Vor- und Nachname, E-Mail-Adresse, optional Telefonnummer, Stellung im Betrieb (Führungskraft oder Beschäftigte/r), Tätigkeitsrollen (z. B. „Küche“, „Service“), Status (eingeladen, aktiv, pausiert, inaktiv), Vertragsart, Soll- und Höchststunden, zulässige Mehrstunden, Überstundensaldo, Urlaubsanspruch in Tagen und bevorzugte Sprache.

7.3 Planungs- und Kommunikationsdaten (Ihr Arbeitgeber ist Verantwortlicher)

• Schichten und Zuweisungen: Datum, Beginn und Ende, Rolle, Herkunft der Zuweisung (manuell, automatischer Planvorschlag oder Schichttausch) und ein Vermerk, wenn eine Schicht wegen einer Notfallmeldung nicht angetreten wird.
• Verfügbarkeiten und Vorlieben: ob Sie für eine Schicht verfügbar sind, welche Schichten Sie gerne oder ungern übernehmen, auch für einzelne Tage.
• Urlaub: beantragter Zeitraum, Status, Ihr optionaler Kommentar und gegebenenfalls die Begründung der Entscheidung.
• Schichttausch: beteiligte Personen und Schichten, bevorzugte Tage, Status und gegebenenfalls ein Ablehnungsgrund.
• Notfälle und Vertretungen: betroffene Schicht, optionaler Grund, Status und die Person, die die Vertretung übernimmt.
• Mitteilungen: Ankündigungen, Umfragen und Checklisten Ihres Betriebs samt Ihrer Stimme, erledigter Aufgaben und des Zeitpunkts, zu dem Sie eine Mitteilung gelesen haben; Notizen zu Schichten; Systemmeldungen (etwa „Schicht geändert“). Bei Umfragen, die als anonym gekennzeichnet sind, wird Ihre Stimme den anderen Mitgliedern nicht namentlich angezeigt; gespeichert wird sie dennoch zusammen mit Ihrem Profil, damit jede Person nur einmal abstimmen kann.
• Änderungsprotokoll: Jede Änderung an Schichten und Zuweisungen wird mit Zeitpunkt, dem ausführenden Konto sowie dem Stand vor und nach der Änderung protokolliert. Das Protokoll können nur Führungskräfte des Betriebs einsehen; es dient der Nachvollziehbarkeit des Dienstplans.
• Planungszeiträume einschließlich Fristen und des Zeitpunkts, zu dem ein automatischer Planvorschlag erstellt wurde (Ziffer 9).

7.4 Wer im Betrieb welche Angaben sieht

• Führungskräfte Ihres Betriebs sehen alle betrieblichen Daten des Betriebs.
• Beschäftigte sehen ihre eigenen Daten. Namen und Schichten von Kolleginnen und Kollegen sind nur sichtbar, soweit Ihr Arbeitgeber das in den Einstellungen des Betriebs freigegeben hat. Mitteilungen, Umfragen, offene Schichten und Vertretungsgesuche richten sich an das Team oder an die dafür in Frage kommenden Personen.
• Urlaubsanträge sehen nur Sie und die Führungskräfte.
• Notfallmeldungen sind für Mitglieder Ihres Betriebs einsehbar. Der optionale Grund ist davon getrennt und nur für die meldende Person und aktive Führungskräfte desselben Betriebs lesbar (Ziffer 8).

7.5 Zwecke und Rechtsgrundlagen der betrieblichen Verarbeitung

Die betrieblichen Daten dienen der Organisation von Schichten, Verfügbarkeiten, Urlaub, Vertretungen und Kommunikation. Ihr Arbeitgeber bestimmt die Rechtsgrundlage für jede Verarbeitung und informiert Sie darüber. Maßgeblich sind Art. 6 DSGVO und die jeweils anwendbaren nationalen Beschäftigtendatenschutzvorschriften; Art. 88 DSGVO ist keine eigenständige Erlaubnis. Soweit erforderlich, sind Betriebsvereinbarungen und Mitbestimmungsrechte zu beachten. Eine pauschale Einwilligung zur Nutzung der App ersetzt diese Prüfung nicht. Gesundheitsangaben unterliegen zusätzlich Art. 9 DSGVO (Ziffer 8). Wir verarbeiten die betrieblichen Daten als Auftragsverarbeiter auf dokumentierte Weisung.

8. Freitexte und Gesundheitsdaten

Mehrere Funktionen enthalten freiwillige Freitextfelder: Notfallgründe, Urlaubskommentare, Schichtnotizen und Mitteilungen. Bitte tragen Sie dort keine Diagnosen, Krankheitsdetails oder Arbeitsunfähigkeitsbescheinigungen ein. Für eine Vertretung genügt regelmäßig die Information, dass eine Schicht nicht übernommen werden kann.

Sichtbarkeit: Ein eingetragener Notfallgrund wird getrennt von den allgemeinen Notfallinformationen gespeichert. Lesen dürfen ihn nur die meldende Person und aktive Führungskräfte desselben Betriebs. Andere Beschäftigte, einschließlich einer übernehmenden Vertretung, erhalten über die Notfallinformationen keinen Zugriff auf den Grund. Auch innerhalb dieses eingeschränkten Kreises dürfen nur erforderliche Angaben verarbeitet werden.

Auch eine kurze Krankheitsangabe kann ein Gesundheitsdatum sein. Eine Verarbeitung erfordert dann zusätzlich zu den sonstigen Voraussetzungen eine im Einzelfall einschlägige Ausnahme nach Art. 9 Abs. 2 DSGVO, etwa soweit sie zur Erfüllung arbeitsrechtlicher Pflichten notwendig und national zulässig ist. Die bloße freiwillige Eingabe begründet eine solche Ausnahme nicht automatisch. Ihr Arbeitgeber muss Erforderlichkeit und Empfängerkreis prüfen; wir bleiben für unsere Schutzpflichten verantwortlich. Unnötige Angaben sind zu entfernen. Wenden Sie sich hierfür an Ihren Arbeitgeber oder unseren Datenschutzkontakt.

9. Automatisch erstellte Planvorschläge

Führungskräfte können für einen Planungszeitraum einen Dienstplanvorschlag automatisch erstellen lassen. Das Verfahren berücksichtigt den Personalbedarf je Schicht und Rolle, die Tätigkeitsrollen der Beschäftigten, Verfügbarkeiten, Schichtvorlieben, genehmigten Urlaub, Soll- und Höchststunden, bereits bestehende Zuweisungen sowie gesetzliche Ruhe- und Höchstarbeitszeiten.

• Die Berechnung läuft auf unserer eigenen Infrastruktur bei Supabase in der EU. Für die Berechnung werden keine zusätzlichen externen KI-Dienste aufgerufen; Supabase bleibt als Infrastruktur-Auftragsverarbeiter beteiligt.
• Das Ergebnis ist ein Vorschlag. Eine Führungskraft prüft ihn, kann ihn ändern oder verwerfen und macht ihn erst durch Veröffentlichung verbindlich.
• Das Verfahren bewertet weder Ihre Leistung noch Ihr Verhalten und trifft keine Vorhersagen über Sie.

Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet damit nicht statt.

10. Benachrichtigungen und Push-Nachrichten

Benachrichtigungen im Dienst. Mitteilungen und Systemmeldungen (etwa zu geänderten Schichten, Tauschanfragen, offenen Schichten oder entschiedenen Urlaubsanträgen) werden in unserer Datenbank gespeichert und im Web-Dashboard sowie in der App angezeigt. Das Web-Dashboard versendet keine Push-Nachrichten.

Push-Nachrichten (nur App). Push-Nachrichten erhalten Sie nur, wenn Sie sie auf Ihrem Gerät erlauben.

• Erlauben Sie Push-Nachrichten, ruft die App einen gerätebezogenen Push-Token ab. Wir speichern ihn zusammen mit Ihrer Kontokennung, der Plattform (iOS oder Android) und dem Zeitpunkt der letzten Aktualisierung.
• Für jede an Sie gerichtete Benachrichtigung übermittelt unser Server an den Push-Dienst von Expo (650 Industries, Inc., USA): den Push-Token, einen Titel, einen Text und technische Angaben (Art der Benachrichtigung sowie interne Kennungen der Benachrichtigung und des Betriebs). Bei Ankündigungen und Umfragen werden Titel und Text, die die verfassende Person geschrieben hat, vollständig übermittelt; bei Systemmeldungen ist es ein Standardtext wie „Eine deiner Schichten wurde geändert.“
• Expo leitet die Nachricht an den Apple Push Notification service (Apple Inc., USA) bzw. an Firebase Cloud Messaging (Google LLC, USA) weiter, die sie auf Ihr Gerät zustellen.
• Einzelne Benachrichtigungsarten können Sie in den Einstellungen der App abschalten, Push-Nachrichten insgesamt in den Systemeinstellungen Ihres Geräts.
• Verantwortlichkeit und Rechtsgrundlagen: Betriebliche Push-Mitteilungen stellen wir im Auftrag Ihres Arbeitgebers zu; dessen Rechtsgrundlage richtet sich nach Ziffer 7.5. Die technische Gerätefreigabe ist Voraussetzung für Push, ersetzt aber keine erforderliche datenschutzrechtliche Einwilligung und keine Grundlage für Drittlandübermittlungen. Der Gerätezugriff ist nur insoweit nach § 25 Abs. 2 Nr. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021 einwilligungsfrei, wie er für die von Ihnen ausdrücklich aktivierte Push-Funktion unbedingt erforderlich ist. Eine darüber hinaus erforderliche Einwilligung muss informiert eingeholt werden. Sie können Push in den Systemeinstellungen abschalten. Ziffer 14 erläutert Drittlandübermittlungen.
• Speicherdauer: Der Push-Token wird gelöscht, wenn Sie Ihr Konto löschen. Meldet sich auf demselben Gerät ein anderes Konto an, wird der Token diesem Konto zugeordnet. Die aktualisierte App entfernt beim regulären Abmelden den Push-Token dieses Geräts und geplante lokale Erinnerungen. Kann die Abmeldung wegen eines Verbindungsfehlers nicht vollständig abgeschlossen werden, zeigt sie einen Hinweis; versuchen Sie es erneut oder deaktivieren Sie Push in den Systemeinstellungen. Bereits zugestellte oder unterwegs befindliche Nachrichten lassen sich nicht zuverlässig zurückrufen. Ältere App-Versionen entfernen den Token beim Abmelden noch nicht.

Lokale Erinnerungen. Auf Wunsch plant die App Schichterinnerungen ausschließlich auf Ihrem Gerät. Sie werden ohne Netzwerkverbindung ausgelöst; dabei werden keine Daten an uns oder Dritte übermittelt.

11. Speicherung auf Ihrem Gerät (App)

Die App speichert auf Ihrem Gerät: Ihre Anmeldesitzung (Zugriffs- und Erneuerungskennungen), einen Zwischenspeicher zuletzt geladener Daten für die Anzeige ohne Netzverbindung (etwa Kalenderdaten), die gewählte Sprache und Darstellung (hell/dunkel), einen Vermerk, welche Mitteilungen bereits angezeigt wurden, sowie die bestätigte Fassung der Rechtstexte.

Diese Daten bleiben auf Ihrem Gerät. Das Speichern ist für die von Ihnen genutzten Funktionen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021; Art. 6 Abs. 1 lit. b bzw. f DSGVO). Bei erfolgreicher regulärer Abmeldung entfernt die aktualisierte App die Anmeldesitzung, den Kalender-Zwischenspeicher, lokale Mitteilungs-Lesevermerke, Benachrichtigungseinstellungen und lokale Datenschutz-Kenntnisnahmen. Sprache und Darstellung bleiben erhalten. Bei älteren App-Versionen können weitere lokale Daten bis zur Deinstallation oder zum Löschen der App-Daten bestehen bleiben.

App-Stores. Beim Herunterladen und Aktualisieren der App verarbeiten Apple (App Store) und Google (Google Play) Daten in eigener Verantwortung nach ihren eigenen Datenschutzbestimmungen. Von den Stores erhalten wir nur zusammengefasste Statistiken, keine Angaben zu einzelnen Personen.

12. E-Mail

12.1 E-Mails, die wir versenden

Wir versenden ausschließlich E-Mails, die für Ihr Konto erforderlich sind: Bestätigungscodes bei der Kontoanlage, beim Zurücksetzen des Passworts und bei der Änderung Ihrer E-Mail-Adresse. Newsletter oder Werbe-E-Mails versenden wir nicht.

Der Versand läuft über Resend, Inc., USA, als unseren Auftragsverarbeiter. Resend verarbeitet Ihre E-Mail-Adresse, den Inhalt der Nachricht (einschließlich des Codes) und Zustellprotokolle, speichert diese Daten in den USA und löscht sie nach 30 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. f DSGVO (siehe Ziffern 5.3 und 7.1). Bestätigungscodes sind nur kurz gültig, höchstens 24 Stunden.

12.2 Wenn Sie uns schreiben

Schreiben Sie uns eine E-Mail, verarbeiten wir Ihre Adresse, den Inhalt und die Metadaten der Nachricht, um Ihr Anliegen zu bearbeiten. Unser Postfach wird von der 1&1 Mail & Media GmbH (WEB.DE), Deutschland, betrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihr Anliegen einen Vertrag betrifft, Art. 6 Abs. 1 lit. c DSGVO bei der Ausübung Ihrer Betroffenenrechte und im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen). Wir löschen die Nachricht, sobald das Anliegen erledigt ist, es sei denn, sie ist als Handels- oder Geschäftsbrief aufzubewahren (Ziffer 15).

12.3 Fehlermeldungen aus der App

Über die App können Sie uns Fehler melden. Gespeichert werden nur der von Ihnen eingegebene Text, ein Bearbeitungsstatus und der Zeitpunkt, und zwar ohne Verknüpfung mit Ihrem Konto. Bitte geben Sie in einer Fehlermeldung keine personenbezogenen Daten an, die wir zur Bearbeitung nicht benötigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Fehlerbehebung und Verbesserung des Dienstes). Wir löschen Fehlermeldungen, sobald sie bearbeitet sind, spätestens nach 12 Monaten.

13. Empfänger im Überblick

Wir geben personenbezogene Daten nur weiter, soweit dies für den jeweiligen Zweck erforderlich ist:

Die Verarbeitung durch Auftragsverarbeiter bedarf einer Vereinbarung nach Art. 28 DSGVO; die Pflicht zum Abschluss und zur Prüfung dieser Vereinbarungen liegt bei uns. Die Auflistung eines Dienstleisters ersetzt diese Vereinbarung nicht. Innerhalb Ihres Betriebs erhalten Ihr Arbeitgeber und – im Rahmen von Ziffer 7.4 – Ihre Kolleginnen und Kollegen Zugriff auf betriebliche Daten.

Wir verkaufen keine personenbezogenen Daten, nutzen sie nicht für Werbung und geben sie an Behörden nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

14. Übermittlung in Drittländer

Die Datenbank des Dienstes wird in der EU (Irland) betrieben. Zu Übermittlungen in die USA kommt es in folgenden Fällen:

• bei der Auslieferung von Website und Web-Dashboard über Vercel (Ziffer 3.1),
• beim Versand von Bestätigungscodes über Resend (Ziffer 12.1),
• beim Versand von Push-Nachrichten über Expo, Apple und Google (Ziffer 10),
• durch Zugriffe von Supabase, Inc. auf die Infrastruktur, etwa im Rahmen von Support und Wartung,
• durch Stripe im Rahmen der in Ziffer 6 beschriebenen Verarbeitungen.

Für die USA hat die Europäische Kommission einen Angemessenheitsbeschluss erlassen (EU-US Data Privacy Framework, Art. 45 DSGVO). Er gilt für Empfänger, die nach diesem Rahmen zertifiziert sind; das trifft auf Vercel, Resend, Apple, Google und Stripe zu. Für Empfänger ohne Zertifizierung, und ergänzend auch für die zertifizierten, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der jeweils herangezogenen Garantien erhalten Sie auf Anfrage unter blanktrading@web.de.

15. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten es verlangen.

Gesetzliche Aufbewahrungsfristen beginnen mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist. Während einer Aufbewahrungspflicht werden die Daten für andere Zwecke gesperrt.

15.1 Wenn Sie Ihr Konto löschen

Sie können Ihr Konto jederzeit selbst löschen: im Web unter „Konto löschen“ (quickteam.at/kontoloeschung, nach Anmeldung) oder in der App in den Einstellungen. Die Löschung wirkt sofort und für alle Ihre Anstellungen zugleich.

Sofort gelöscht werden: Ihr Anmeldekonto (E-Mail-Adresse, Passwort-Hashwert, Sitzungen), Ihre Push-Token, die an Sie persönlich gerichteten Benachrichtigungen samt Lesevermerken, Ihre Benachrichtigungseinstellungen und offene Einladungen.

Von Ihrer Person gelöst werden Ihre Profile in den Betrieben: Vor- und Nachname werden durch einen Platzhalter ersetzt, E-Mail-Adresse und Telefonnummer entfernt, die Verbindung zu Ihrem Anmeldekonto aufgehoben und der Status auf „inaktiv“ gesetzt.

Bestehen bleiben – verknüpft mit diesem nicht mehr namentlichen Profil – die Dienstplandaten, in denen Sie eingeteilt waren: Schichtzuweisungen, Urlaubseinträge, Verfügbarkeiten und Vorlieben, Schichttausch- und Notfallvorgänge, Umfragestimmen, von Ihnen verfasste Notizen und Mitteilungen sowie das Änderungsprotokoll. Ihr Arbeitgeber benötigt diese Daten für die Nachvollziehbarkeit des Dienstplans und für arbeitszeitrechtliche Aufzeichnungen. Weil er diese Einträge anhand seiner eigenen Unterlagen unter Umständen weiterhin Ihnen zuordnen kann, handelt es sich um eine Pseudonymisierung, nicht um eine Anonymisierung. Freitexte, die Sie selbst geschrieben haben, bleiben inhaltlich unverändert; möchten Sie, dass solche Inhalte entfernt werden, wenden Sie sich bitte an Ihren Arbeitgeber. Diese Daten werden spätestens mit dem Betrieb gelöscht (Ziffer 15.3).

Führungskräfte: Leiten Sie einen Betrieb, in dem noch weitere Personen stehen, lässt sich Ihr Konto erst löschen, wenn Sie die Leitung übergeben oder die übrigen Mitglieder entfernt haben. Sonst bliebe ein Betrieb mit den Daten anderer Personen ohne Leitung zurück. Führen Sie den Betrieb allein, wird mit der Löschung Ihres Kontos auch das Abonnement bei Stripe sofort gekündigt; der Betrieb und seine Daten werden anschließend nach Ziffer 15.3 gelöscht.

15.2 Wenn Ihr Arbeitgeber Sie aus dem Betrieb entfernt

Führungskräfte können das Profil einer Person im Betrieb pseudonymisieren. Dabei werden Name, E-Mail-Adresse, Telefonnummer und die Verbindung zum Anmeldekonto entfernt und die an die Person gerichteten Benachrichtigungen und Einladungen gelöscht; im Übrigen gilt Ziffer 15.1 entsprechend. Noch nicht angenommene Einladungen können Führungskräfte vollständig löschen. Ihr Anmeldekonto bleibt in beiden Fällen bestehen, weil es anderen Anstellungen zugeordnet sein kann; Sie können es jederzeit selbst löschen.

15.3 Ende des Vertrags

• Nach Vertragsende halten wir die Betriebsdaten grundsätzlich 30 Kalendertage zum Export bereit. Bei einem rechtzeitig verlangten Export läuft die Abruffrist bis mindestens 30 Kalendertage nach vollständiger Bereitstellung. Bei einem Anbieterwechsel läuft sie mindestens 30 Kalendertage nach Ende der Übergangsphase. Während offener Bereitstellung oder laufender Übergangs- und Abruffristen werden die betroffenen Daten nicht gelöscht (§ 6 Abs. 4 bis 7 AGB, § 8 AVV). Danach werden sie beim nächsten täglichen Löschlauf entfernt; eine ausdrücklich verlangte frühere Löschung und gesetzliche Aufbewahrungspflichten bleiben unberührt.
• Ältere Verträge mit Testphase: Neue Abonnements haben keine Testphase mehr. Für Verträge, die noch mit einer Testphase abgeschlossen wurden, gilt: Lief die Testphase ohne Zahlungsmittel ab, wurde das Abonnement pausiert. Ohne Fortsetzung endet der Vertrag nach 90 Tagen; daran schließen sich grundsätzlich die 30 Tage für Export und anschließende Löschung an (90 + 30 Tage, zuzüglich der beschriebenen Verlängerungen und des nächsten täglichen Laufs). Eine Kündigung während der Pause löst die Frist ab diesem Vertragsende aus, nicht rückwirkend ab Testphasenende.
• Anmeldekonten ohne verbleibende Anstellung in einem anderen Betrieb werden mit dem Betrieb gelöscht, einschließlich Sitzungen und Push-Token. Konten mit weiterer Anstellung bleiben erhalten.
• Vertragsnachweise: Die Kopien der AGB- und AVV-Annahmen bleiben nach Ziffer 5.3 bis zum Ende des dritten Kalenderjahres nach Vertragsende erhalten. Nachweise der Datenschutz-Kenntnisnahme werden mit dem Betrieb gelöscht. Abrechnungsunterlagen unterliegen den gesonderten Fristen in Ziffer 15.

15.4 Datensicherungen

Die Datenbank wird täglich gesichert; jede Sicherung wird nach 7 Tagen überschrieben. Separat gespeicherte Anhangdateien sind nicht Bestandteil dieser Datenbanksicherungen. Gelöschte Daten sind deshalb spätestens 7 Tage nach der Löschung auch aus den Sicherungen entfernt. Sicherungen verwenden wir ausschließlich zur Wiederherstellung nach einem Datenverlust. Müssten wir eine Sicherung zurückspielen, löschen wir Daten, deren Löschung zwischenzeitlich verlangt oder durchgeführt worden war, erneut.

16. Pflicht zur Bereitstellung

Für ein Anmeldekonto sind E-Mail-Adresse und Passwort erforderlich. Für die Einrichtung eines Betriebs sind zusätzlich Name des Betriebs, Land, Vor- und Nachname, die Rechnungsangaben einschließlich UID bzw. USt-IdNr. und ein Zahlungsmittel erforderlich; ohne sie können wir kein Konto anlegen und keinen Vertrag schließen. Promo-Code und Rabattcode sind freiwillig. Eine gesetzliche Pflicht zur Angabe besteht nicht. Freiwillig sind insbesondere Kommentare, Gründe, Notizen, Umfragestimmen, Verfügbarkeiten, Vorlieben und die Aktivierung von Push-Nachrichten. Ob Sie den Dienst im Rahmen Ihres Arbeitsverhältnisses nutzen müssen, richtet sich nach den Vereinbarungen mit Ihrem Arbeitgeber.

17. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf

• Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) sowie
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Richten Sie Ihre Anfrage an blanktrading@web.de; bei betrieblichen Daten zuerst an Ihren Arbeitgeber (Ziffer 2). Wir beantworten Anfragen unentgeltlich und innerhalb eines Monats. Um Ihre Daten zu schützen, können wir Sie bitten, Ihre Identität nachzuweisen, etwa durch eine Nachricht von der bei uns hinterlegten E-Mail-Adresse.

Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Widerspruch ist formfrei und sollte an blanktrading@web.de gerichtet werden.

Beschwerde bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg

Lautenschlagerstraße 20

70173 Stuttgart

Deutschland

Für Personen in Österreich ist dies die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

18. Sicherheit

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen, insbesondere:

• verschlüsselte Übertragung (TLS) zwischen Ihrem Gerät, unseren Servern und unseren Dienstleistern,
• zeilenbasierte Zugriffskontrollen (Row-Level Security) auf allen Tabellen, die die Daten jedes Betriebs voneinander trennen und innerhalb eines Betriebs nach Rolle beschränken,
• serverseitig durchgesetzte Berechtigungsprüfungen; vom Browser oder der App übermittelte Kennungen werden serverseitig gegen Ihr Konto geprüft,
• Speicherung von Passwörtern ausschließlich als Hashwert,
• Zwei-Faktor-Authentifizierung für administrative Zugänge zu Datenbank und Verwaltungskonsolen,
• Zugriff nach dem Prinzip der geringsten Rechte; Schlüssel mit erweiterten Rechten liegen ausschließlich serverseitig,
• tägliche Datensicherungen (Ziffer 15.4).

Physische Sicherheit der Rechenzentren, Netzwerkschutz und Verschlüsselung der gespeicherten Daten erbringt Supabase als unser Auftragsverarbeiter. Für die Verarbeitung, die wir selbst durchführen, und für die Auswahl geeigneter Dienstleister bleiben wir verantwortlich. Kein System ist vollkommen sicher; wir überprüfen unsere Maßnahmen regelmäßig und reagieren auf Vorfälle nach den gesetzlichen Vorgaben.

19. Minderjährige

Der Dienst ist für die Nutzung im beruflichen Zusammenhang durch Personen bestimmt, die nach dem jeweils geltenden Recht beschäftigt werden dürfen. Er richtet sich nicht an Kinder. Wir erheben keine Altersangaben und legen wissentlich keine Konten für Personen unterhalb des gesetzlich zulässigen Mindestalters an.

20. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Maßgeblich ist die jeweils unter quickteam.at/datenschutz veröffentlichte Fassung mit dem oben genannten Stand. Bei wesentlichen Änderungen bitten wir Führungskräfte im Dashboard und Nutzerinnen und Nutzer in der App, die neue Fassung zur Kenntnis zu nehmen.