Datenschutzerklärung

Diese Datenschutzerklärung informiert dich darüber, welche personenbezogenen Daten wir in der WerkerHeld-App erheben, wie wir sie verwenden, an wen wir sie ggf. weitergeben und welche Rechte du nach der DSGVO hast.

1. Verantwortlicher

2. Welche Daten wir erheben

2.1 Kontodaten (bei Registrierung)

• Vor- und Nachname
• E-Mail-Adresse
• Telefonnummer (optional)
• Passwort (verschlüsselt gespeichert mit bcrypt)
• Bei Google-Login: Google-User-ID (Sub) und verifizierte E-Mail

Zweck: Kontoerstellung, Login, Identifikation gegenüber Kollegen und Vorgesetzten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.2 Unternehmens- und Rechnungsdaten (nur Admin-Konten)

• Firmenname, Anschrift, ggf. USt-IdNr.
• Stripe-Kunden-ID und Subscription-ID (kein Kartendetail bei uns)

Zweck: Abowicklung, Rechnungsstellung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.3 Arbeits- und Schichtdaten

• Ein- und Ausstempelzeiten, Pausen
• Zugewiesene Projekte, Schichten, Fahrzeuge
• Stundenzettel-Einträge
• Projekt-Dokumentationen (Notizen, Fotos)

Zweck: Kern-Funktion der App – Arbeitszeiterfassung nach §16 ArbZG, §17 MiLoG.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und lit. b (Vertragserfüllung).

2.4 Standortdaten (GPS) bei Stundenzettel-Erstellung

Beim Erstellen eines Stundenzettel-Eintrags fragt die App – sofern du die Berechtigung erteilst – deinen aktuellen genauen Standort (Breiten- und Längengrad, Genauigkeit) ab. Diese Daten werden zusammen mit dem Eintrag gespeichert und dienen dem Nachweis, dass die Stempelung am vorgesehenen Einsatzort erfolgte.

Optional: Wenn du die Standort-Berechtigung verweigerst, wird der Stundenzettel ohne Standort gespeichert – die App funktioniert weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an manipulationssicherer Arbeitszeit-Erfassung) bzw. lit. a (Einwilligung über die Geräte-Berechtigung).

2.5 Push-Token (Firebase Cloud Messaging)

Wenn du Push-Benachrichtigungen erlaubst, speichern wir den FCM-Registration-Token deines Geräts, um dir Benachrichtigungen (z.B. neue Schichten, Smart-Alerts) zustellen zu können. Die Zustellung läuft über Google Firebase.

2.6 Technische Daten

• IP-Adresse (nur kurzzeitig in Server-Logs, max. 7 Tage)
• Session-Cookies (CSRF-Schutz, Login-Session)
• Browser-/Geräte-Typ (über User-Agent)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit).

3. Empfänger und Dienstleister

Wir nutzen folgende Auftragsverarbeiter:

Dienst	Zweck	Standort
Hetzner Online GmbH	Server-Hosting	Deutschland (EU)
Stripe Payments Europe	Abo-Abrechnung	Irland (EU)
Google Firebase	Push-Benachrichtigungen	USA (mit SCC)
Google (Sign-In)	optionaler Login per Google-Konto	USA (mit SCC)

Mit allen Auftragsverarbeitern bestehen entsprechende Verträge nach Art. 28 DSGVO. Übermittlungen in die USA basieren auf Standardvertragsklauseln (SCC) und Adequacy-Decision EU-US Data Privacy Framework.

4. Speicherdauer

• Aktive Kontodaten: bis zur Kontolöschung
• Arbeitszeitdaten: mind. 2 Jahre (§16 ArbZG), bis zu 10 Jahre (steuerliche Aufbewahrungsfristen). Nach Kontolöschung bleiben Vor- und Nachname auf bestehenden Stundenzetteln zur Erfüllung dieser Pflichten erhalten.
• Server-Logs (IP): max. 7 Tage
• Push-Token: bis zur Kontolöschung oder Push-Deaktivierung
• Stripe-Daten: nach Stripe-Aufbewahrungspflichten

5. Deine Rechte

Du hast jederzeit folgende Rechte:

• Auskunft (Art. 15 DSGVO) – welche Daten wir über dich gespeichert haben
• Berichtigung (Art. 16 DSGVO) – falsche Daten korrigieren
• Löschung (Art. 17 DSGVO) – siehe Konto löschen
• Einschränkung (Art. 18 DSGVO) – Verarbeitung beschränken
• Datenübertragbarkeit (Art. 20 DSGVO) – Stundenzettel-Export jederzeit verfügbar
• Widerspruch (Art. 21 DSGVO) – gegen Verarbeitung auf Grundlage berechtigter Interessen
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) – z.B. Standort-Berechtigung in den Geräte-Einstellungen entziehen
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Anfragen richte bitte an: datenschutz@werkerheld.de

6. Konto löschen

Du kannst dein Konto jederzeit selbst in der App löschen oder die Löschung per E-Mail anfordern. Eine ausführliche Anleitung findest du unter: app.werkerheld.com/konto-loeschen.html

7. Datensicherheit

• Alle Datenübertragungen erfolgen verschlüsselt über HTTPS (TLS 1.2+)
• Passwörter werden mit bcrypt gehasht – wir können sie nicht einsehen
• Server-Standort: Deutschland (Hetzner Online GmbH)
• Session-Token sind HTTPOnly + Secure
• CSRF-Schutz für alle Schreib-Operationen

8. Cookies und lokaler Speicher

Wir verwenden:

• Session-Cookie (notwendig) – hält dich eingeloggt
• CSRF-Token-Cookie (notwendig) – schützt vor Cross-Site-Angriffen
• LocalStorage / IndexedDB – speichert lokal deine Offline-Daten (z.B. Schichten für Offline-Nutzung)

Wir verwenden keine Tracking- oder Werbe-Cookies. Es findet kein Profiling für Werbung statt.

9. Änderungen dieser Erklärung

Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail oder Push-Benachrichtigung informiert. Die jeweils aktuelle Version ist immer unter dieser URL abrufbar.

10. Kontakt