Datenschutzerklärung

Diese Erklärung gilt für die Website crew-os.app samt Kontaktformular und Registrierung, für die Crew-OS-Anwendung unter <betrieb>.crew-os.app sowie für die Apps Crew-OS Stempeluhr (iPad-Terminal) und Crew-OS Team (iPhone). Sie beschreibt, wer welche Daten zu welchem Zweck verarbeitet, auf welcher Rechtsgrundlage, wer sie erhält, wie lange sie gespeichert bleiben — und welche Rechte Sie haben.

Wenn Sie Mitarbeiterin oder Mitarbeiter eines Betriebs sind, der Crew-OS nutzt: Lesen Sie bitte zuerst Ziffer 2.3 („An wen Sie sich wenden") und Ziffer 12 („Foto- und Standortfunktionen"). Dort steht ohne Umschweife, was Ihr Arbeitgeber sehen kann und was nicht.

1. Verantwortlicher und Kontakt

Doc Phone GmbH
Rheinstraße 40–42, 64283 Darmstadt, Deutschland
Handelsregister: Amtsgericht Darmstadt, HRB 102818 · USt-ID: DE348446503
Telefon: 06151 6790990 · E-Mail: info@doc-phone.de · Web: crew-os.app

Anfragen zum Datenschutz richten Sie bitte an info@doc-phone.de mit dem Betreff „Datenschutz".

Datenschutzbeauftragter: Wir haben keinen Datenschutzbeauftragten benannt; nach unserer Einschätzung sind die Schwellen des Art. 37 DSGVO und des § 38 BDSG derzeit nicht erreicht. Ihre Anliegen bearbeiten wir unter der oben genannten Adresse. Wir prüfen diese Einschätzung fortlaufend, insbesondere bei wachsendem Kundenstamm.

2. Zwei getrennte Rollen — bitte zuerst lesen

Crew-OS ist Software, die Betriebe für ihre eigene Personalverwaltung einsetzen. Datenschutzrechtlich zerfällt das in zwei klar getrennte Bereiche.

2.1 Wir sind Verantwortlicher (Art. 4 Nr. 7 DSGVO)

Für diese Verarbeitungen entscheiden wir selbst über Zwecke und Mittel: Aufruf der Website und Server-Protokolle (Ziffer 3), Cookies und Reichweitenmessung (Ziffer 4), Kontaktformular (Ziffer 5), Selbstregistrierung und Testphase (Ziffer 6) sowie Vertragsverwaltung und Rechnungsstellung gegenüber unseren Kunden (Ziffer 7). Betroffene sind hier vor allem Website-Besucher und die Ansprechpartner unserer Kunden.

2.2 Wir sind Auftragsverarbeiter (Art. 28 DSGVO)

Sobald ein Betrieb Crew-OS produktiv nutzt, entstehen Daten über seine Beschäftigten: Arbeitszeiten, Schichten, Abwesenheiten, Lohnangaben, Onboarding-Unterlagen, Chat-Nachrichten. Über all das entscheidet allein der Betrieb — er ist der Verantwortliche. Wir stellen die Technik, verarbeiten diese Daten ausschließlich auf seine Weisung und haben mit ihm einen Auftragsverarbeitungsvertrag geschlossen (AVV). Konkret heißt das:

• Wir entscheiden nicht, welche Ihrer Daten Ihr Arbeitgeber erfasst, welche Module er einschaltet oder ob er das Stempel-Foto verlangt.
• Wir nutzen die Daten Ihres Betriebs nicht für eigene Zwecke — nicht zum Training von KI-Modellen, nicht für Werbung, nicht für personenbezogene Auswertungen über Betriebe hinweg. Zwei Ausnahmen benennen wir offen: technische Nutzungsdaten (Zugriffszahlen, Fehlermeldungen) zur Fehlersuche und Kapazitätsplanung, aus denen sich keine Einzelperson ableiten lässt; und die Anzahl der aktiven Benutzerkonten je Monat als Abrechnungsgröße (nur die Zahl, keine Inhalte).
• Wir greifen auf Kundendaten nur zu, soweit das für Betrieb, Störungsbeseitigung oder eine ausdrücklich angeforderte Unterstützung notwendig ist.
• Löschung, Berichtigung und Auskunft veranlasst der Betrieb; wir setzen um, was er anweist.

2.3 An wen Sie sich wenden

Sie sind Beschäftigte oder Beschäftigter eines Betriebs, der Crew-OS nutzt? Dann richten Sie Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) bitte an Ihren Arbeitgeber. Er ist der Verantwortliche; nur er kennt den arbeitsrechtlichen Kontext und darf über Löschungen entscheiden. Schreiben Sie trotzdem uns, leiten wir Ihr Anliegen unverzüglich an den Betrieb weiter und teilen Ihnen das mit. Fragen zur Technik und Sicherheit der Plattform, zu Empfängern und zum Drittlandtransfer beantworten wir Ihnen unmittelbar — dafür brauchen Sie den Umweg nicht.

Sie sind Website-Besucher, Interessent oder Ansprechpartner eines Kunden? Dann wenden Sie sich direkt an uns (Ziffer 1). Wenn Sie nicht wissen, in welche Gruppe Sie fallen: Schreiben Sie uns, wir sagen Ihnen, wer zuständig ist.

3. Aufruf der Website und der Anwendung, Server-Protokolle

Zweck. Bereitstellung von Website und Anwendung, Sicherstellung der Funktionsfähigkeit, Abwehr und Aufklärung von Angriffen, Fehlersuche.

Datenarten. Bei jedem Aufruf übermittelt Ihr Browser technisch notwendige Daten, die in Protokolldateien einfließen: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Referrer, Browser- und Betriebssystemkennung sowie das grobe Herkunftsland, das unser Hosting-Dienstleister aus der IP-Adresse ableitet.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO (technisch fehlerfreier und sicherer Betrieb); für die Anwendung zusätzlich Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag).

Speicherdauer. Die Protokolle entstehen bei unserem Hosting-Dienstleister (Vercel, Ziffer 13) und werden dort automatisch nach kurzer Frist gelöscht. Eine dauerhafte, gesonderte Archivierung findet bei uns nicht statt; wird ein Angriff dokumentiert, bewahren wir die betreffenden Auszüge so lange auf, wie es zur Aufklärung oder Rechtsverfolgung erforderlich ist.

Sicherheitsbezogene Zähler. Um Anmelde- und Formularmissbrauch zu begrenzen, speichern wir zusätzlich einen Zähler je anfragender IP-Adresse bzw. je Benutzername (Anzahl Versuche, Zeitfenster, gegebenenfalls Sperrzeitpunkt). Diese Einträge laufen mit dem jeweiligen Zeitfenster aus (Minuten bis Stunden) und werden nicht zu Profilen zusammengeführt.

4. Cookies, lokale Speicherung und Reichweitenmessung

Maßgeblich ist § 25 TDDDG: Der Zugriff auf Ihr Endgerät ist ohne Einwilligung nur zulässig, wenn er für einen von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Die anschließende Datenverarbeitung richtet sich nach der DSGVO.

4.1 Technisch notwendige Cookies (keine Einwilligung erforderlich)

Ohne diese Cookies können Sie sich nicht anmelden oder angemeldet bleiben. Wir setzen sie ausschließlich in der Anwendung — nicht beim bloßen Besuch der Marketing-Website.

4.2 Komfortfunktionen

Einzelne Werte in Cookie bzw. localStorage merken Ihre eigenen Entscheidungen: gewähltes Erscheinungsbild (hell/dunkel), weggeklickte Hinweise (etwa „zum Home-Bildschirm hinzufügen" oder die Frage nach Benachrichtigungen) und zuletzt gewählte Einstellungen innerhalb der Anwendung. Diese Werte enthalten keine Inhaltsdaten und werden nicht ausgewertet — sie dienen ausschließlich dazu, Ihre Wahl nicht bei jedem Aufruf erneut abzufragen.

4.3 Reichweitenmessung — nur mit Ihrer Einwilligung

Auf der Marketing-Website crew-os.app setzen wir eine cookielose Reichweitenmessung (Vercel Web Analytics) ein — erst, nachdem Sie über den Cookie-Hinweis eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Vor Ihrer Entscheidung und bei „Nur notwendige" findet keine Messung statt. Der Dienst zählt Seitenaufrufe und Besuche, arbeitet nach Angaben von Vercel ohne Cookies und ohne dauerhafte Kennung, erstellt kein Werbeprofil und gibt nichts an Werbenetzwerke weiter. In der Anwendung selbst (nach der Anmeldung) und in den Apps läuft keine Reichweitenmessung.

Widerruf. Ihre Entscheidung speichert der Browser lokal. Sie widerrufen sie, indem Sie die Website-Daten für crew-os.app in Ihrem Browser löschen — der Hinweis erscheint dann erneut — oder indem Sie uns schreiben (Ziffer 1).

4.4 Cookies löschen

Sie können Cookies jederzeit in Ihrem Browser löschen oder blockieren. Blockieren Sie die technisch notwendigen Cookies, ist eine Anmeldung an Crew-OS nicht mehr möglich.

5. Kontaktformular und Kontaktaufnahme

Datenarten. Name, Betriebs- bzw. Firmenname, E-Mail-Adresse, freiwillig Telefonnummer, Ihre Nachricht und gegebenenfalls das Paket, für das Sie sich interessieren. Die IP-Adresse wird für den Missbrauchsschutz kurzzeitig als Zähler verarbeitet (Ziffer 3).

Verarbeitungsweg. Ihre Angaben werden nicht dauerhaft in einer Datenbank abgelegt, sondern unmittelbar als E-Mail an unser internes Postfach versandt und dort bearbeitet; der Versand läuft über unseren Dienstleister Resend (Ziffer 13). Das Formular enthält ein unsichtbares Zusatzfeld gegen automatisierte Programme; zusätzlich gilt eine Begrenzung der Anfragen je Zeitfenster und IP-Adresse.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag gerichtet ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen) bzw. Ihre Einwilligung für freiwillige Zusatzangaben.

Speicherdauer. Solange die Bearbeitung es erfordert, spätestens Löschung nach 24 Monaten, sofern kein Vertrag zustande kommt und keine handels- oder steuerrechtliche Aufbewahrungspflicht greift.

6. Selbstregistrierung und 28-Tage-Testphase

Datenarten. Firmen- bzw. Betriebsname, Name der Ansprechperson, E-Mail-Adresse, gewünschte Subdomain. Zur Bestätigung erzeugen wir einen Zufallswert, versenden ihn als Link an Ihre E-Mail-Adresse und speichern nur seinen kryptografischen Hash samt Ablaufzeitpunkt (24 Stunden). Nach der Bestätigung entstehen die Zugangsdaten Ihres Betriebs; Passwörter speichern wir ausschließlich als bcrypt-Hash (Ziffer 16).

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Nutzungsvertrags) sowie Art. 6 Abs. 1 lit. f DSGVO für die Missbrauchsabwehr (Begrenzung der Registrierungsversuche je Stunde und IP-Adresse).

Wichtig für Testzugänge. Sobald Sie in der Testphase eigene Beschäftigte einladen, sind Sie für deren Daten verantwortlich (Ziffer 2.2). Der Auftragsverarbeitungsvertrag gilt ab dem ersten Tag der Testphase. Testzugänge, die nicht in einen Vertrag überführt werden, werden nach den Fristen der AGB gesperrt und gelöscht (30 Tage Exportfrist, danach Löschung binnen weiterer 30 Tage).

7. Vertragsverwaltung und Rechnungsstellung

Datenarten. Firmendaten, Anschrift, Ansprechpartner mit Kontaktdaten, gebuchte Module und Standorte, Vertragslaufzeit, die Anzahl der aktiven Benutzerkonten als Abrechnungsgröße sowie Rechnungs- und Zahlungsdaten. Rechnungen erstellen wir derzeit manuell — es gibt keine automatische Abbuchung, und wir speichern keine Kreditkartendaten; ein Zahlungsdienstleister ist nicht eingeschaltet. Für die Rechnungserstellung nutzen wir Lexoffice (Ziffer 13).

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und lit. c (handels- und steuerrechtliche Pflichten, insbesondere § 147 AO, § 257 HGB, § 14 UStG).

Empfänger. Unser Steuerberater und, soweit erforderlich, das Finanzamt. Speicherdauer. Rechnungen und Buchungsbelege zehn Jahre ab Ende des Kalenderjahres; übrige Vertragsunterlagen nach Ablauf der Verjährungsfristen, in der Regel drei Jahre nach Vertragsende.

8. Betrieb der Anwendung für unsere Kunden (Auftragsverarbeitung)

Dieser Abschnitt beschreibt, was in Crew-OS über Beschäftigte gespeichert wird. Verantwortlich ist der jeweilige Betrieb, nicht wir (Ziffer 2.2). Wir stellen die Informationen dennoch vollständig bereit, damit Sie wissen, worum es geht, wenn Sie Ihren Arbeitgeber fragen.

8.1 Welche Daten anfallen

Rechtsgrundlage beim verantwortlichen Betrieb: § 26 Abs. 1 BDSG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beschäftigungsverhältnisses); Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten, insbesondere die Arbeitszeitaufzeichnung nach § 16 Abs. 2 ArbZG und § 17 MiLoG sowie § 147 AO, § 257 HGB und § 8 BVV; gegebenenfalls eine Betriebsvereinbarung (Art. 88 DSGVO); ausnahmsweise eine Einwilligung nach § 26 Abs. 2 BDSG. Unsere Rechtsgrundlage ist der Auftragsverarbeitungsvertrag mit dem Betrieb (Art. 28 DSGVO).

8.2 Krankheitszeiten sind Gesundheitsdaten

Wird eine Abwesenheit als Krankheit eingetragen, entsteht eine Angabe über Ihre Gesundheit — ein besonders geschütztes Datum nach Art. 9 Abs. 1 DSGVO. Wir sagen das ausdrücklich, weil es in Personalsoftware häufig verschwiegen wird. Gespeichert wird der Zeitraum der Arbeitsunfähigkeit, nicht die Diagnose — Crew-OS sieht kein Feld für Krankheitsursachen vor. Krankheitstage können das Arbeitszeit-Soll mindern und sind dadurch in Auswertungen mittelbar sichtbar. Zugriff haben nur Personen mit entsprechender Rolle und Sie selbst. Rechtsgrundlage beim Betrieb: Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG (arbeitsrechtliche Pflichten, etwa Entgeltfortzahlung).

8.3 Onboarding-Unterlagen, die Sie selbst hochladen

Beim digitalen Onboarding werden Sie gebeten, Unterlagen bereitzustellen — welche, legt Ihr Betrieb fest (etwa Ausweisdokument oder Aufenthaltstitel, Sozialversicherungsnummer, Steuer-Identifikationsnummer, Bescheinigungen, Bankverbindung). Aus einem Aufenthaltstitel kann sich mittelbar die Staatsangehörigkeit ergeben; solche Rückschlüsse betreffen sensible Merkmale. Diese Dateien liegen in einem nicht öffentlich zugänglichen Speicherbereich, werden nur über zeitlich befristete, signierte Links ausgeliefert und sind ausschließlich für berechtigte Rollen Ihres Betriebs und für Sie selbst sichtbar. Onboarding-Unterlagen werden nicht an die KI-Auswertung nach Ziffer 11 übergeben.

8.4 Login-freie Links (Monatsabschluss und Lohnabrechnungen)

Damit Sie den Monatsabschluss gegenprüfen können, ohne sich anzumelden, versenden wir per E-Mail einen Link mit einem langen Zufallswert. Der Wert ist kryptografisch zufällig, wird bei uns nur als Hash gespeichert, ist zeitlich befristet und lässt sich nicht erraten. Trotzdem gilt: Geben Sie einen solchen Link nicht weiter. Bei Verdacht auf Missbrauch melden Sie das Ihrem Betrieb — der Link kann entwertet werden.

8.5 Wer im Betrieb was sehen kann

Crew-OS arbeitet mit Rollen (Superadmin, Admin, Standortleitung, Mitarbeiter, Praktikant). Beschäftigte sehen grundsätzlich ihre eigenen Daten sowie die Planungsdaten, die für die Zusammenarbeit erforderlich sind (etwa den Schichtplan des Teams). Welche Module freigeschaltet sind und wer welche Rolle hat, entscheidet Ihr Betrieb — fragen Sie dort nach; wir dürfen darüber keine Auskunft geben.

9. Push-Benachrichtigungen

Push-Benachrichtigungen (neue Schichten, Freigaben, Team-Chat) erhalten Sie nur, wenn Sie sie aktiv erlauben. Ihr Browser oder Betriebssystem erzeugt dann eine geräteindividuelle Adresse beim Push-Dienst des Herstellers (Apple, Google oder Mozilla); diese Adresse und die zugehörigen Schlüssel speichern wir, um Nachrichten zuzustellen. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie widerrufen jederzeit in den Einstellungen Ihres Browsers oder Geräts; ab dann senden wir nichts mehr, und die gespeicherte Push-Adresse wird gelöscht, sobald sie ungültig wird.

10. E-Mail-Versand

Einladungen, Bestätigungen, Monatsabschluss-Links, Hinweise auf neue Lohnabrechnungen und Systembenachrichtigungen versenden wir über unseren Dienstleister Resend (Ziffer 13). Eine technische Grenze benennen wir offen: E-Mails sind auf ihrem Weg nicht durchgehend Ende-zu-Ende-verschlüsselt. Die Verbindung zwischen den Mailservern ist in der Regel per TLS gesichert; wir können jedoch nicht garantieren, dass jeder Server auf dem Weg dies unterstützt. Vertrauliche Unterlagen versenden wir deshalb nicht als Anhang, sondern verweisen auf die Anwendung. Newsletter oder werbliche E-Mails versenden wir ohne gesonderte Einwilligung nicht.

11. KI-gestützte Auslesung von Lohnabrechnungen und Kontoauszügen

Dies ist die eingriffsintensivste Verarbeitung in Crew-OS. Wir beschreiben sie deshalb ausführlicher als die übrigen und ohne beschönigende Formulierungen.

11.1 Worum es geht — und die zwei Stufen

Lädt Ihr Betrieb Lohnabrechnungen hoch (damit jede Person ihre Abrechnung in der Anwendung einsehen kann), muss das System erkennen, zu wem und zu welchem Monat ein Dokument gehört. Das geschieht zweistufig:

• Stufe 1 — lokal, ohne KI: PDF-Dokumente mit auslesbarer Textebene (der Normalfall bei Abrechnungen aus DATEV) werden auf unseren Servern in Frankfurt lokal ausgewertet. Dabei wird nichts an einen KI-Dienst übermittelt.
• Stufe 2 — KI-Fallback: Nur wenn ein Dokument keine auslesbare Textebene hat (etwa ein eingescanntes oder abfotografiertes Dokument), kann der Inhalt an die Gemini-Schnittstelle von Google übergeben werden, um die Angaben zu erkennen.

Für den Zahlungs-Abgleich gilt dasselbe Prinzip: Der empfohlene Weg ist der CSV-Export der Bank (CAMT), der deterministisch und ohne KI verarbeitet wird. Nur PDF-Kontoauszüge werden über die KI ausgelesen.

11.2 Welche Daten die EU verlassen können (nur im Fallback)

Greift der KI-Fallback, wird der Inhalt des Dokuments an Google übermittelt. Bei Lohnabrechnungen kann das umfassen: Name, Personalnummer, Abrechnungsmonat, Brutto- und Nettobeträge, Lohnarten, Steuerklasse, Sozialversicherungsbeiträge, Kirchensteuermerkmal, gegebenenfalls Bankverbindung. Ein Kirchensteuermerkmal kann auf die Religionszugehörigkeit hindeuten — ein besonderes Datum nach Art. 9 Abs. 1 DSGVO. Bei PDF-Kontoauszügen können auch Buchungen enthalten sein, die nichts mit Lohnzahlungen zu tun haben. Wir stellen das nicht als technische Randnotiz dar — wer den Fallback nutzt, übermittelt sensible Entgeltdaten an einen Dienst, bei dem eine Verarbeitung außerhalb der EU stattfinden kann (Ziffer 14).

11.3 Was mit den Daten bei Google geschieht

Für Nutzer im Europäischen Wirtschaftsraum gelten die Bedingungen der bezahlten Gemini-Dienste: Eingaben werden nicht zum Training von Google-Modellen verwendet, Google handelt als Auftragsverarbeiter und speichert Inhalte nur kurzzeitig zur Verarbeitung und Missbrauchserkennung. Grundlage des Transfers sind die EU-Standardvertragsklauseln.

11.4 Die KI entscheidet nichts

Das Ergebnis jeder Auslesung ist ein Vorschlag („dieses PDF gehört zu Person X, Monat Y"; „diese Überweisung entspricht dieser Lohnzahlung"). Jeder Vorschlag muss durch einen Menschen in Ihrem Betrieb bestätigt werden, bevor er wirksam wird. Es gibt keinen vollautomatischen Zahlungsabgleich (Ziffer 18).

11.5 Pro Betrieb abschaltbar

Jeder Betrieb kann die KI-Auslesung unter Einstellungen → Automatisierungen komplett abschalten. Ist sie aus, findet ausschließlich die lokale Auswertung (Stufe 1) statt — es wird nichts an Google übermittelt; Scans ohne Textebene müssen dann manuell zugeordnet werden. Wenn Sie als Beschäftigte oder Beschäftigter nicht möchten, dass Ihre Lohnabrechnung per KI ausgelesen wird, ist Ihr Arbeitgeber der richtige Adressat. Wir bestätigen Ihnen auf Anfrage jedenfalls, ob die Funktion in Ihrem Betrieb technisch aktiv ist.

12. Foto- und Standortfunktionen — was Ihr Betrieb sehen kann

Dieser Abschnitt ist für Beschäftigte geschrieben. Er beantwortet die Frage, die man hier zu Recht stellt: Überwacht mich mein Arbeitgeber über diese App?

12.1 Die ehrliche Kurzantwort

• Es gibt keine laufende Standortverfolgung. Crew-OS ermittelt Ihren Standort nicht im Hintergrund, nicht nach dem Ausstempeln, nicht in der Freizeit. Keine Bewegungsprofile, keine Routenaufzeichnung.
• Die Standortprüfung speichert keine Koordinaten. Ist sie eingeschaltet, vergleicht Ihr Gerät die Position lokal mit dem Betriebsstandort; an unsere Server geht nur das Ergebnis „innerhalb", „außerhalb" oder „unbestimmt" (Ziffer 12.3).
• Ein Foto von Ihnen entsteht nur, wenn Ihr Betrieb die Stempel-Foto-Pflicht eingeschaltet hat, und nur beim Stempeln über das eigene Handy. Am iPad-Terminal wird kein Live-Foto aufgenommen; dort weisen Sie sich über Ihren persönlichen Code aus.
• Beide Funktionen sind standardmäßig ausgeschaltet; über den Einsatz entscheidet Ihr Betrieb. Zweck des Stempel-Fotos ist der Identitätsnachweis, wenn nicht am festen, beaufsichtigten iPad-Terminal, sondern per Handy-App gestempelt wird.
• Es gibt keine Aufzeichnung von Bildschirminhalten, keine Tastaturerfassung, keine Auswertung Ihrer Produktivität und keine heimliche Kameranutzung. Die Kamera der iPad-Stempeluhr wird ausschließlich lokal zum Scannen des Verbindungs-QR-Codes bei der Einrichtung verwendet.

12.2 Stempel-Foto

Zweck: Nachweis, dass die stempelnde Person diejenige ist, für die gestempelt wird (verhindert das Stempeln durch Kollegen). Wann: Nur beim Selbst-Stempeln über die App und nur, wenn Ihr Betrieb die Funktion eingeschaltet hat — dann ist das Foto Voraussetzung der Buchung. Wer es sieht: Berechtigte Rollen Ihres Betriebs im Rahmen der Prüfung der Arbeitszeiten; das Bild liegt in einem nicht öffentlichen Speicherbereich und wird nur über zeitlich befristete, signierte Links ausgeliefert. Wie lange: Die Fotos eines Monats werden gelöscht, sobald Ihr Betrieb den Monatsabschluss für diesen Monat durchführt; auch der Verweis auf die Bilddatei wird dann aus der Zeitbuchung entfernt. Es findet keine Gesichtserkennung statt — das Bild dient allein der Sichtprüfung durch Menschen. Rechtsgrundlage beim Betrieb: § 26 BDSG bzw. Betriebsvereinbarung; in Betrieben mit Betriebsrat ist die Einführung mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG).

12.3 Standortprüfung beim Stempeln über die App

Zweck: Nachvollziehbarkeit, dass eine Stempelung am Arbeitsort erfolgte. Wie es funktioniert: Ihr Betrieb kann die Prüfung einschalten (Standard: aus) und hinterlegt dazu den Betriebsstandort mit einem Radius. Beim Stempeln über die App vergleicht Ihr Gerät die eigene Position lokal mit diesem Radius; an unsere Server wird nur das Ergebnis übertragen — „innerhalb", „außerhalb" oder „unbestimmt" — je einmal beim Ein- und beim Ausstempeln. Die Koordinaten selbst verlassen Ihr Gerät nicht und werden nirgends gespeichert.

• Die Prüfung blockiert nie: Verweigern Sie die Standortfreigabe oder gibt es kein Signal, lautet das Ergebnis „unbestimmt" — und die Stempelung geht trotzdem durch.
• Zweifel zugunsten der Beschäftigten: Ist die Ortung ungenauer als der Betriebsradius, wird „unbestimmt" gespeichert statt einer Falschmeldung; liegt der Standort innerhalb der Messunschärfe noch erreichbar, gilt „innerhalb".
• Beim ersten Einsatz werden Sie in der Anwendung über die Funktion aufgeklärt; die Standortfreigabe erteilen und widerrufen Sie jederzeit in Ihrem Browser bzw. Gerät.
• Am iPad-Terminal werden keine Standortdaten erhoben — dort ist der Standort durch das Gerät festgelegt.

13. Empfänger und Auftragsverarbeiter

13.1 Immer eingesetzt

13.2 Nur bei ausdrücklich aktivierten Zusatzfunktionen

Diese Dienste werden ausschließlich eingesetzt, wenn Ihr Betrieb die jeweilige Funktion einschaltet: PrintNode (Etikettendruck), GastroGuide (Reservierungs-Import), Google Calendar (Termin-Synchronisation), Lexoffice (Haufe-Lexware, Deutschland — Rechnungsstellung), IONOS SE (Deutschland — Telefonassistent), Open-Meteo (Wetterdaten im Schichtplan — ohne Personenbezug, abgefragt werden nur Ort und Datum).

13.3 Weitere Empfänger

Steuerberater und Behörden im gesetzlich vorgeschriebenen Umfang; Rechtsberatung und Gerichte, wenn dies zur Durchsetzung oder Verteidigung von Rechtsansprüchen erforderlich ist. Der DATEV-Export erzeugt eine Datei, die Ihr Betrieb selbst herunterlädt und an seine Lohnbuchhaltung weitergibt — wir übermitteln nichts unmittelbar an DATEV. Über das optionale Steuerberater-Portal kann Ihr Betrieb seiner Steuerkanzlei einen begrenzten Zugang einräumen. Wir verkaufen keine Daten und geben sie nicht zu Werbe- oder Analysezwecken an Dritte weiter.

14. Serverstandort Deutschland — und die verbleibenden Drittlandbezüge

Seit dem 24. August 2026 liegen Ihre Daten in Deutschland. Datenbank, Datei-Speicher und die täglichen Sicherungen werden in einem Rechenzentrum in Frankfurt am Main (EU-Region) betrieben; die Anwendung wird in der EU-Region Frankfurt ausgeführt. Drei Drittlandbezüge bleiben, und wir benennen sie offen:

• E-Mail-Versand (Resend, USA): Versand-Metadaten und Inhalte der Transaktions-E-Mails werden bei einem US-Dienstleister verarbeitet — auf Grundlage der EU-Standardvertragsklauseln.
• KI-Fallback (Google Gemini): nur für Dokumente ohne Textebene, nur wenn der Betrieb die Funktion nicht abgeschaltet hat (Ziffer 11); Standardvertragsklauseln, kein Training.
• Vercel als US-Unternehmen: Die Verarbeitung findet in der EU statt; als US-Unternehmen unterliegt Vercel jedoch US-Recht, so dass sich ein behördlicher Zugriff rechtlich nicht vollständig ausschließen lässt. Vercel ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln.

Zur Einordnung des EU-US Data Privacy Framework: Der Angemessenheitsbeschluss der EU-Kommission ist in Kraft; eine Nichtigkeitsklage wurde im September 2025 abgewiesen, die Berufung ist beim Europäischen Gerichtshof anhängig, und die weitere Entwicklung in den USA wird von den Aufsichtsbehörden beobachtet. Sollte der Beschluss entfallen, stützen wir die betroffenen Transfers auf Standardvertragsklauseln und prüfen zusätzliche Maßnahmen. Eine Kopie der Standardvertragsklauseln und der übrigen Übermittlungsgrundlagen stellen wir Ihnen auf Anfrage zur Verfügung (Art. 13 Abs. 1 lit. f DSGVO).

15. Speicherdauer und gesetzliche Aufbewahrungspflichten

15.1 Der Grundkonflikt, offen benannt

In einer Personalanwendung stehen zwei Pflichten gegeneinander: die Pflicht zur Löschung nicht mehr benötigter Daten (Art. 17 DSGVO) und die gesetzliche Pflicht des Arbeitgebers, bestimmte Unterlagen jahrelang aufzubewahren. Die Aufbewahrungspflicht setzt sich durch, soweit sie reicht (Art. 17 Abs. 3 lit. b DSGVO). Praktische Folge: Erfasste Arbeitszeiten werden in Crew-OS nicht gelöscht, sondern archiviert. Lehnt Ihr Betrieb einen Löschantrag teilweise ab, liegt das in der Regel hieran.

15.2 Maßgebliche Fristen

15.3 Was beim Ausscheiden passiert

Ihr Zugang wird gesperrt; Sie erscheinen nicht mehr in Schichtplänen und Auswahllisten. Ihr Datensatz wandert in ein Archiv und bleibt den berechtigten Rollen Ihres Betriebs zugänglich, soweit Aufbewahrungspflichten das erfordern. Sofern Ihr Betrieb es vorsieht, behalten Sie einen eingeschränkten Zugang ausschließlich zu Ihren eigenen Lohnabrechnungen. Daten ohne Aufbewahrungspflicht (insbesondere Profilbilder und Chat-Nachrichten) sind zu löschen; über den Zeitpunkt entscheidet Ihr Betrieb, wir setzen seine Weisung um. Stempel-Fotos werden bereits mit dem jeweiligen Monatsabschluss gelöscht (Ziffer 12.2).

15.4 Wenn ein Betrieb Crew-OS nicht mehr nutzt

Der Kunde hat 30 Tage ab Vertragsende Zeit, seine Daten zu exportieren; danach löschen wir sie binnen weiterer 30 Tage aus den Produktivsystemen, soweit uns keine eigene gesetzliche Aufbewahrungspflicht trifft. Sicherungskopien werden nicht einzeln bereinigt; sie laufen turnusgemäß aus und werden dabei überschrieben — bis dahin unterliegen sie denselben Schutzmaßnahmen. Testzugänge behandeln wir nach denselben Fristen (Ziffer 6).

16. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Wir nennen ausschließlich, was tatsächlich umgesetzt ist:

• Transportverschlüsselung durchgehend per TLS/HTTPS (erzwungen über HSTS); Verschlüsselung auf Speicherebene beim Datenbank-Anbieter; Zugangsdaten angebundener Fremdsysteme verschlüsselt (AES) abgelegt.
• Strikte Mandantentrennung: Jede Datenbankabfrage wird auf den jeweiligen Betrieb gefiltert; zusätzlich wirkt eine zeilenbasierte Zugriffskontrolle (Row Level Security) in der Datenbank. Nach dem Umzug nach Frankfurt wurde die Trennung im August 2026 erneut aktiv überprüft.
• Passwörter ausschließlich als bcrypt-Hash — wir kennen Ihr Passwort nicht. Signierte, an den Betrieb gebundene Sitzungs-Cookies. Zwei-Faktor-Authentisierung pro Betrieb aktivierbar. Begrenzung der Anmeldeversuche. Automatische Bildschirmsperre. Das iPad-Terminal identifiziert Beschäftigte über einen persönlichen Code.
• Lückenlose Änderungshistorie bei Zeitbuchungen (wer hat wann was geändert, mit Begründung) und Aktivitätsprotokoll über wesentliche Vorgänge.
• Tägliche Sicherungen in Deutschland; die Wiederherstellung wurde getestet.

Was wir nicht behaupten: Wir sind nicht nach ISO 27001 oder SOC 2 zertifiziert. Wir führen keine Pseudonymisierung der Beschäftigtendaten durch. Externe Penetrationstests durch unabhängige Dritte haben bisher nicht stattgefunden; wir führen regelmäßige eigene Sicherheitsprüfungen durch, zuletzt im August 2026. Physische Zugangskontrollen zu den Rechenzentren liegen bei deren Betreibern. Die Verschlüsselung bei unseren Dienstleistern ist keine Verschlüsselung, die deren eigenen Zugriff technisch ausschließen würde. Kein Verfahren ist absolut sicher — wenn Sie eine Sicherheitslücke entdecken, melden Sie sie bitte an die in Ziffer 1 genannte Adresse; wir gehen jedem Hinweis nach.

17. Ihre Rechte

Sie haben die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16 — für Arbeitszeiten besonders relevant), Löschung (Art. 17, soweit keine Aufbewahrungspflicht entgegensteht), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung (etwa Push-Benachrichtigungen, Standortfreigabe, Reichweitenmessung) können Sie jederzeit ohne Begründung mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Bitte beachten Sie Ziffer 2.3 — davon hängt ab, ob Sie sich an uns oder an Ihren Arbeitgeber wenden. Eine Nachricht in Textform genügt; wir antworten spätestens innerhalb eines Monats.

Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — für uns zuständig: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, Telefon +49 611 1408-0, poststelle@datenschutz.hessen.de, datenschutz.hessen.de. Richtet sich Ihre Beschwerde gegen Ihren Arbeitgeber als Verantwortlichen, ist die Aufsichtsbehörde seines Bundeslandes zuständig.

18. Keine automatisierte Entscheidung im Einzelfall

Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO), und betreiben kein Profiling zur Bewertung Ihrer Person oder Leistung. Weil Crew-OS an mehreren Stellen automatisiert rechnet, sagen wir konkret, wo ein Mensch entscheidet:

19. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen, unsere Dienstleister oder die Rechtslage ändern. Maßgeblich ist stets die auf crew-os.app/datenschutz veröffentlichte Fassung; das Datum am Anfang zeigt den Stand. Bei wesentlichen Änderungen — insbesondere einem neuen Unterauftragsverarbeiter, einer Änderung des Speicherorts oder einer neuen Verarbeitung mit erhöhtem Risiko — informieren wir unsere Kunden aktiv per E-Mail; Änderungen von Unterauftragsverarbeitern richten sich zusätzlich nach dem Widerspruchsverfahren im Auftragsverarbeitungsvertrag. Frühere Fassungen stellen wir auf Anfrage zur Verfügung.