Datenschutzhinweise für Beschäftigte
Gemäß Art. 13 DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG
Stand: 24. September 2026
1. Verantwortlicher und Auftragsverarbeiter
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist Ihr Arbeitgeber (der Betrieb, der Sie in NexDeck eingeladen hat). Ihr Arbeitgeber entscheidet über Zweck und Mittel der Verarbeitung Ihrer personenbezogenen Daten im Rahmen des Beschäftigungsverhältnisses.
NexDeck — Kre8ive Evolution UG (haftungsbeschränkt) ist Auftragsverarbeiter gem. Art. 28 DSGVO. NexDeck verarbeitet Ihre Daten ausschließlich auf Weisung Ihres Arbeitgebers und hat keinen eigenen Zugriff für Marketing- oder Analytics-Zwecke.
NexDeck-Kontakt (Auftragsverarbeiter):
Kre8ive Evolution UG (haftungsbeschränkt), Geschäftsführer: Stephan Grundmeyer, Kastellstr. 34, 46147 Oberhausen
Datenschutz: datenschutz@nexdeck.de
Für Anfragen zu Ihren Beschäftigtendaten wenden Sie sich bitte zunächst an Ihren Arbeitgeber als Verantwortlichen.
2. Datenkategorien, Zwecke und Rechtsgrundlagen
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Stammdaten Name, E-Mail-Adresse, Funktion/Position, dienstliche Telefonnummer (freiwillig) | Personalverwaltung, Systemzugang, Kommunikation, dienstliche Erreichbarkeit | Art. 6 Abs. 1 lit. b DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG (Erfüllung Arbeitsvertrag); die dienstliche Telefonnummer ist freiwillig (Art. 6 Abs. 1 lit. a/f DSGVO) |
| Vergütungs- und Qualifikationsdaten Stundensatz, Lohngruppe (Tariftreue), Wochenarbeitszeit, Qualifikationen/Zertifikate | Projekt-/Auftragskalkulation, Lohn- und Gehaltsabrechnung, Einsatz- und Qualifikationsplanung | Art. 6 Abs. 1 lit. b DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG (Durchführung Arbeitsvertrag) Hinweis: Vergütungs- und Tarifdaten sind besonders schutzbedürftig und nur für Personen sichtbar, die sie für ihre Aufgabe brauchen (siehe Abschnitt 3). |
| Lohnstammdaten (nur wenn Ihr Arbeitgeber die Lohnvorbereitung in NexDeck nutzt) Geburtsdatum und -ort, Staatsangehörigkeit, Anschrift, Steuer-Identifikationsnummer, Steuerklasse, Kinderfreibeträge und Faktor, Sozialversicherungsnummer, Krankenkasse, Personengruppe und Beschäftigungsart, Befristung, weitere Beschäftigungen, Bankverbindung (IBAN, BIC, Kontoinhaber), vermögenswirksame Leistungen; dazu die monatlichen Lohnbuchungen: Zusatzzahlungen, Vorschüsse und ihre Verrechnung, Abgeltung von Überstunden und Überstundenzuschläge, Arbeitgeberdarlehen (Betrag, Tilgungen, Restschuld, vereinbarter Zinssatz). Ihre eigenen Lohnbuchungen und Zuschläge sehen Sie selbst in der App unter „Meine Lohnbuchungen" (nur lesend, nur Ihre eigenen Daten). | Vorbereitung der Lohn- und Gehaltsabrechnung, Übergabe an die Lohnbuchhaltung, Auszahlung des Entgelts | Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 41 Abs. 1 EStG, § 4 LStDV, § 28a SGB IV (Lohnkonto, Meldungen) sowie Art. 6 Abs. 1 lit. b DSGVO (Entgeltzahlung) Getrennt von den übrigen Personaldaten gespeichert. Zugriff nur für Personen mit dem Recht zur Personalverwaltung; Kolleg:innen sehen diese Angaben nicht. |
| Besondere Kategorien (Art. 9 DSGVO) (nur bei Lohnvorbereitung) Konfession (Kirchensteuermerkmal), Schwerbehinderung samt Grad und Gleichstellung, Elterneigenschaft und Zahl der Kinder unter 25 Jahren | Kirchensteuerabzug, Anzeige nach § 163 SGB IX, Beitragssatz der Pflegeversicherung | Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 26 Abs. 3 BDSG Getrennt gespeichert und enger geschützt: lesen dürfen nur die Inhaberin bzw. der Inhaber des Betriebs oder eine ausdrücklich dafür freigeschaltete Person. Diese Angaben werden nicht an die Lohnbuchhaltung übermittelt. |
| Abwesenheiten Urlaub, Krankheit, Elternzeit, Fortbildung und sonstige Abwesenheiten — Zeitraum, halbe Tage, Status des Antrags, Ihre Notiz; Ihr Urlaubsanspruch und -stand sowie die Angabe Ihres Arbeitgebers, wann und in welcher Form er Sie zur Urlaubsnahme aufgefordert und auf einen möglichen Verfall hingewiesen hat | Urlaubs- und Einsatzplanung, Entgeltfortzahlung, Lohn- und Gehaltsabrechnung | Art. 6 Abs. 1 lit. b und c DSGVO; bei Krankheit (Gesundheitsdatum) Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 26 Abs. 3 BDSG NexDeck fragt keine Diagnose ab. Die Art der Abwesenheit sehen nur Sie selbst und Personen mit Leitungs- oder Verwaltungsrolle; Kolleg:innen sehen nur, dass Sie abwesend sind. Die Benachrichtigung über einen neuen Antrag nennt die Art nicht. |
| Sachbezüge (nur bei Lohnvorbereitung) Art und Wert, Abgabetag und -ort, Zuzahlung | Aufzeichnung im Lohnkonto | Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 4 Abs. 2 Nr. 3 LStDV |
| Zeiterfassung Arbeitsbeginn, -ende, Pausen, Projekt-Zeiten, Freigabe-/Festschreibungsstatus (interne Stundenzettel-Freigabe durch Vorgesetzte) | Lohn- und Gehaltsabrechnung, gesetzliche Aufzeichnungspflichten, soweit sie gelten (etwa § 17 Abs. 1 MiLoG, § 16 Abs. 2 ArbZG) | Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG (gesetzliche Pflicht) |
| Termine und Auslastung Einsatztermine, Schicht-Slots, Auslastungs-Prozent; Tage, an denen Sie selbst melden, nicht oder nur zu bestimmten Zeiten verfügbar zu sein (Datum, Uhrzeit — ohne Angabe von Gründen); erledigte Punkte von Checklisten (wer, wann, erfasster Wert) samt Fotos | Personaleinsatzplanung, Projektkoordination | Art. 6 Abs. 1 lit. b DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG (Durchführung Arbeitsvertrag) Hinweis: Die Auslastung in Prozent sehen nur Personen, die sie für ihre Aufgabe brauchen (siehe Abschnitt 3). |
| Standortdaten (GPS) Position in einzelnen Momenten: Start und Ende der Zeiterfassung, Hochladen eines Baustellenfotos, Öffnen einer Sprachnotiz oder eines Barcode-Scans in der Materialerfassung, Standortabfrage bei einer Fahrzeug-Inspektion, Aufnahmeort von Lieferscheinfotos. Keine fortlaufende Ortung. Den Aufnahmeort, den die Kamera in ein Foto oder Video schreibt, übernehmen wir nicht als Standort; bei den gängigen Bild- und Videoformaten wird er vor dem Ablegen aus der Datei entfernt. Bei einzelnen Formaten und Metadatenarten kann er in der Datei enthalten bleiben (Einzelheiten in der allgemeinen Datenschutzerklärung, Abschnitt 2.4). | Zuordnung von Arbeitszeiten, Fotos, Materialbuchungen und Fahrzeug-Inspektionen zum Ort | Art. 6 Abs. 1 lit. a DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 2 BDSG (Einwilligung) Nur, wenn Ihr Arbeitgeber die Standortverarbeitung freigeschaltet hat und Sie in Ihrem Profil in der aktuellen Fassung eingewilligt haben; sonst wird der Eintrag ohne Standort gespeichert und das Gerät nicht gefragt. Widerruf jederzeit im Profil, wirksam für neue Standorte. |
| Geschäftliche Kommunikation E-Mails, Anruf-Protokolle (sofern genutzt) Aus einem Postfach, das Sie selbst verbunden haben, sehen Kolleginnen und Kollegen im Büro nur E-Mails, die einem Kunden, Interessenten oder Projekt zugeordnet sind und dessen Datensatz sie sehen dürfen. Einzelne Verläufe können Sie als privat markieren; ob Sie das Teilen ganz abschalten können, legt Ihr Arbeitgeber fest. | Kundenbearbeitung, Dokumentation Geschäftsvorgänge | Art. 6 Abs. 1 lit. b DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG |
| Push-Benachrichtigungen Gerätekennung für den Push-Dienst | Erinnerung an Termine, betriebliche Benachrichtigungen | Art. 6 Abs. 1 lit. a DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 2 BDSG (Einwilligung) Deaktivierung jederzeit unter Einstellungen → Benachrichtigungen. Im Browser wird der Push-Dienst erst geladen, wenn Sie Push einschalten. |
| Protokolle Anmeldungen, Systemzugriffe, Sicherheitsereignisse | IT-Sicherheit, Nachweis bei Sicherheitsvorfällen, Nachvollziehbarkeit steuerlich relevanter Vorgänge (GoBD) | Art. 6 Abs. 1 lit. c DSGVO, Art. 32 DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG |
2a. Empfänger außerhalb Ihres Arbeitgebers
Lohnbuchhaltung bzw. Steuerkanzlei Ihres Arbeitgebers — nur wenn Ihr Arbeitgeber die Übergabe eines Monats ausdrücklich auslöst. Übergeben werden die Angaben, die für die Abrechnung nötig sind: Stammdaten (Personalnummer, Name, Steuer-Identifikationsnummer, Steuerklasse, Kinderfreibeträge, Krankenkasse, IBAN), Arbeitszeiten, Abwesenheiten und Sachbezüge. Ein Übergabeblatt mit Zählern und Summen, ohne Einzelangaben zu Personen, kann per E-Mail an eine von Ihrem Arbeitgeber hinterlegte Adresse gehen.
Die Angaben zu Konfession, Schwerbehinderung und Elterneigenschaft gehen auf keinem dieser Wege hinaus.
Technische Dienstleister von NexDeck (Hosting, E-Mail-Versand, Push-Benachrichtigungen) — als Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO, vollständig aufgeführt unter Unterauftragsverarbeiter.
NexDeck selbst erstellt keine Lohnabrechnung und übermittelt nichts an Finanzamt, Krankenkasse oder andere Behörden.
3. Sichtbarkeit für Kolleg:innen — wer was sieht
Welche Kolleginnen und Kollegen welche Ihrer Daten sehen können, richtet sich nach dem Grundsatz, dass jede Person nur sieht, was sie für ihre Aufgabe braucht (Art. 5 Abs. 1 lit. c DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG). Die Auslastung in Prozent ist eine Leistungsangabe und besonders schutzbedürftig.
| Rolle | Eigene Auslastung | Auslastung anderer | Schicht-Slots | Begründung |
|---|---|---|---|---|
| Inhaber:in / Geschäftsführung | Ja | Ja — alle | Ja — alle | Art. 6 Abs. 1 lit. f DSGVO i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG: Erforderlich für unternehmerische Steuerung, Direktionsrecht |
| Verwaltung / Disposition | Ja | Ja — alle | Ja — alle | Erforderlich: Disposition setzt eine Gesamtübersicht voraus |
| Projektleitung / Vorarbeiter:in | Ja | Nur Projekt-Kollegen | Nur Projekt-Kollegen | Beschränkt auf das jeweilige Projekt |
| Mitarbeiter:in | Ja | Nein (%-Wert nicht sichtbar) | Nur gleiche Baustelle/Tour | Art. 5 Abs. 1 lit. c DSGVO: Datenminimierung. Koordination rechtfertigt „Wer ist heute wo?“, nicht den Vergleich der Auslastung in Prozent. |
Hinweis: Ihr Arbeitgeber kann die Sichtbarkeit ändern. Bei Aktivierung von „Auslastung firmenweit sichtbar" ist Ihr Arbeitgeber als Verantwortlicher verpflichtet, Sie gesondert zu informieren und BetrVG § 87 Abs. 1 Nr. 6 zu beachten.
3a. Termin-Sichtbarkeit zwischen Kolleg:innen — 4 Modi
Ihr Arbeitgeber konfiguriert in den Einstellungen, welche Termine Mitarbeiter:innen voneinander sehen können. Dieser Sichtbarkeits-Modus ist eine zentrale Datenschutz-Entscheidung (Art. 25 DSGVO, Datenschutz durch Technikgestaltung) und legt fest, welche Termine innerhalb Ihres Teams füreinander sichtbar sind.
| Modus | Sichtbar für Kolleg:innen | Rechtsgrundlage |
|---|---|---|
| Nur eigene Termine (Voreinstellung) | Nur Termine, in denen Sie als Veranstalter:in oder eingeladene:r Teilnehmer:in eingetragen sind. Termine anderer sind unsichtbar. | Art. 5 Abs. 1 lit. c DSGVO (Datenminimierung) + Art. 25 DSGVO (Datenschutz durch Technikgestaltung). |
| Crew-Kollegen sichtbar | Zusätzlich: Termine von Crew-Mitgliedern (siehe 3b) in gekürzter Ansicht — Titel als „Termin – Terminart", keine Beschreibung, kein Kunde, keine Adresse, kein Link zur Videokonferenz. Privat-Termine fremder Kolleg:innen werden als „Belegt" angezeigt. | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Koordination) i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG (Beschäftigtendatenschutz). Beschränkt auf die eigene Crew. |
| Projekt-/Standort-Sicht | Zusätzlich: Termine auf Projekten oder Standorten, denen Sie zugeordnet sind (Bauwerk-Koordination im Handwerk). Termine ohne Projekt-Bezug bleiben unsichtbar. Angaben ebenfalls gekürzt wie bei „Crew-Kollegen". | Art. 6 Abs. 1 lit. f DSGVO — beschränkt auf das jeweilige Bauvorhaben bzw. Objekt. |
| Alle nicht-privaten Termine (nur für Kleinbetriebe bis 5 Beschäftigte empfohlen) | Mitarbeiter:innen sehen alle nicht-privaten Termine des Betriebs (gekürzt bei fremden, vollständig bei eigenen). Privat-Termine bleiben in jedem Fall geschützt (Anzeige als „Belegt" mit Zeitfenster). | Art. 88 DSGVO + § 26 BDSG: Arbeitgeber muss Mitarbeiter:innen vor Aktivierung informieren. In NexDeck wird dies in den Einstellungen durch ein Pflicht-Häkchen bestätigt. |
Technische Umsetzung: Die Kürzung geschieht auf dem Server in der Datenbank über zwei voneinander unabhängige Sperren, nicht erst in der Anzeige. Mitarbeiter:innen können — auch mit einer veränderten Anfrage — nur die ihnen erlaubten Daten lesen.
Jede Änderung des Sichtbarkeits-Modus wird mit Zeitpunkt und der Person, die sie vorgenommen hat, in einem Protokoll festgehalten, das sich nachträglich nicht ändern lässt (Aufbewahrung 10 Jahre). Sie können bei Ihrem Arbeitgeber den aktuellen Modus erfragen (Art. 15 DSGVO).
3b. Crew-Mitgliedschaft (Trupps für gemeinsame Einsätze)
Ihr Arbeitgeber kann Crews (Trupps) anlegen und Mitarbeiter:innen einer oder mehreren Crews zuordnen. Eine Crew dient zwei Zwecken:
- Disposition: Termine können einer Crew (statt einer einzelnen Person) zugewiesen werden — alle Crew-Mitglieder sehen den Einsatz auf ihrer Plantafel.
- Sichtbarkeit (bei Modus „Crew-Kollegen sichtbar"): Crew-Mitglieder sehen gegenseitig ihre Termine in gekürzter Form (siehe 3a). Sie sehen NICHT die Inhalte (Kunde, Beschreibung), sondern nur das Zeitfenster und einen generischen Titel („Termin – Bauleitung").
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Arbeitgebers an Trupp-Koordination) i.V.m. Art. 88 DSGVO / § 26 Abs. 1 BDSG (Beschäftigungsverhältnis). Die Crew-Mitgliedschaft selbst ist eine organisatorische Angabe; Aufnahme in eine Crew und Entfernen daraus werden protokolliert.
Ihre Rechte: Sie können bei Ihrem Arbeitgeber Auskunft über Ihre Crew-Mitgliedschaften verlangen (Art. 15 DSGVO) und ggf. Widerspruch einlegen, wenn berechtigtes Interesse Ihren entgegenstehenden Interessen nicht überwiegt (Art. 21 DSGVO). Die Crew-Mitgliedschaft endet automatisch beim Ausscheiden aus dem Betrieb.
3c. Sprach-Aufmaß (Maße per Sprache erfassen)
Ihr Arbeitgeber kann die Funktion „Sprach-Aufmaß" aktivieren. Damit können Sie Maße auf der Baustelle freihändig per Sprache erfassen (Sprechtaste): Sie halten einen Mikrofon-Knopf gedrückt, sprechen das Maß und lassen wieder los. Das Gesprochene wird in Text umgewandelt und in das Aufmaß übernommen. Zur Sicherheit wird Ihnen das erkannte Maß per Sprachausgabe zurückgespielt, damit Sie es vor der Übernahme bestätigen können.
| Was erfasst wird | Speicherung | Rechtsgrundlage |
|---|---|---|
| Gesprochenes Maß (Audio) Nur während Sie den Knopf gedrückt halten | Nur kurzzeitig im Arbeitsspeicher — keine Tonaufnahme wird gespeichert | Art. 6 Abs. 1 lit. b DSGVO (Arbeitsmittel zur Vertragserfüllung) |
| Maß-Transkript Der erkannte Maß-Text | Mit dem Projekt-Aufmaß gespeichert (wie eine manuell getippte Maßangabe) | Art. 6 Abs. 1 lit. b DSGVO |
| Wer-/Wann-Metadaten Benutzerkonto und Zeitpunkt der Erfassung | Mit dem Aufmaß-Datensatz, nur zur Nachvollziehbarkeit | Art. 6 Abs. 1 lit. f DSGVO (Datenintegrität) Keine Leistungs- oder Verhaltensauswertung (siehe Hinweis unten). |
Beim Sprach-Aufmaß erfasst NexDeck ausdrücklich NICHT:
- • Keine dauerhafte Tonaufnahme (nur kurzzeitig im Arbeitsspeicher)
- • Kein Stimmprofil (Voiceprint), keine biometrische Stimm-Charakteristik
- • Keine Sprecher-Identifikation — es wird nicht erkannt, wer spricht
- • Kein dauerhaftes Mithören (Mikrofon nur aktiv, solange Sie die Sprechtaste gedrückt halten)
- • Keine Leistungs- oder Verhaltensüberwachung
Freiwilligkeit und Alternative: Die Nutzung der Sprachfunktion ist für Sie freiwillig — Sie können Maße jederzeit gleichwertig per Tastatur eingeben. Die Mikrofon-Freigabe können Sie jederzeit in den Einstellungen Ihres Geräts erteilen oder entziehen, ohne arbeitsrechtliche Nachteile.
EU-Verarbeitung: Die Echtzeit-Transkription läuft über einen EU-Endpunkt; Ihre Sprachaufnahme und deren Transkript werden in Frankfurt verarbeitet, nicht dauerhaft gespeichert und nicht zum Modell-Training genutzt. Die Sprach-Rückbestätigung läuft über Azure Speech Services (Microsoft Ireland, EU). Betriebsdaten des Zugangs (Konto, Nutzungszähler, Abrechnung) sowie administrative Zugriffe des Anbieters können außerhalb der EU erfolgen; dafür gelten die EU-Standardvertragsklauseln. Vollständige Liste der Unterauftragsverarbeiter: Unterauftragsverarbeiter.
Hinweis: Auch ohne Tonaufnahme und ohne Stimmprofil fallen Wer-/Wann-Metadaten an. Falls in Ihrem Betrieb ein Betriebsrat besteht, ist Ihr Arbeitgeber verpflichtet, die Funktion vor Aktivierung gemäß BetrVG § 87 Abs. 1 Nr. 6 mit dem Betriebsrat abzustimmen (objektive Eignung zur Verhaltens-/ Leistungskontrolle genügt).
4. Speicherdauern
| Kategorie | Aufbewahrung | Begründung |
|---|---|---|
| Anmeldeprotokoll (Zeitpunkt, gekürzte IP-Adresse, Browser-Familie, Erfolg oder Fehlversuch, Anmeldeweg, Zwei-Faktor-Bestätigung) | 90 Tage nach der Anmeldung, täglich automatisch gelöscht | Art. 32 DSGVO IT-Sicherheit (Missbrauchserkennung); länger nur, solange für den Betrieb eine Aufbewahrungssperre besteht |
| Zugriffsprotokoll zum Aktivitätsverlauf von Kunden, Interessenten und Projekten, zur Einsatzplanung und zum Kalenderexport (wer wann welche Ansicht aufgerufen oder exportiert hat) | 12 Monate nach dem Zugriff, täglich automatisch gelöscht | Nachweis über Zugriffe auf Kundendaten (Art. 5 Abs. 2 DSGVO); länger nur, solange für den Betrieb eine Aufbewahrungssperre besteht |
| Prüfprotokoll (u. a. Änderungen an Rollen und Zugriffsrechten, Finanzvorgänge) | 10 Jahre ab dem Schluss des Kalenderjahres; danach nur gelöscht, wenn der Inhaber des Betriebs das Jahr freigibt und keine Aufbewahrungssperre besteht | § 147 Abs. 1 Nr. 1, Abs. 3 AO (als Aufzeichnung behandelt), Art. 32 DSGVO |
| Finanzvorgänge: Rechnungen / DATEV-Buchungsstapel | 8 Jahre / 10 Jahre | § 147 Abs. 1 Nr. 4 bzw. Nr. 1, Abs. 3 AO |
| Änderungsverlauf zu Terminen, Aufgaben und anderen Einträgen | Keine eigene Löschfrist; wird mit dem Konto des Betriebs gelöscht | Nachvollziehbarkeit von Änderungen innerhalb des Betriebs |
| Lohnstammdaten, Art-9-Merkmale, Sachbezüge | 6 Jahre nach dem Ende des Beschäftigungsverhältnisses | § 41 Abs. 1 Satz 9 EStG (Lohnkonto); solange das Beschäftigungsverhältnis läuft, beginnt keine Frist |
| Abwesenheiten | 6 Jahre nach dem letzten Tag der Abwesenheit | § 41 Abs. 1 Satz 9 EStG, § 28f Abs. 1 SGB IV (Entgeltunterlagen) |
| Übergaben an die Lohnbuchhaltung (Protokoll) | 6 Jahre nach der Übergabe | § 41 Abs. 1 Satz 9 EStG |
| Arbeitszeitaufzeichnungen | Mindestens 2 Jahre; gelöscht werden sie nicht automatisch, sondern durch Ihren Arbeitgeber, der auch über längere Pflichten entscheidet (etwa wenn die Zeiten Grundlage Ihres Stundenlohns sind) | § 16 Abs. 2 ArbZG, § 17 Abs. 1 MiLoG; länger, soweit eine Zeit in eine Rechnung eingegangen ist (dann gilt deren Frist) |
| Vermerk zu Zeiteinträgen, die ohne Verbindung erfasst und später übertragen wurden (Gerät, App-Version, Art der Änderung, Zeitpunkt der Erfassung und der Übertragung) | Solange der Zeiteintrag besteht; danach automatisch gelöscht, sobald 2 Jahre ab Schluss des Kalenderjahres der Erfassung vergangen sind | Nachweis der zeitgerechten Erfassung; § 16 Abs. 2 ArbZG, § 17 Abs. 1 MiLoG |
| GPS-Koordinaten | Solange der jeweilige Zeiteintrag, das Foto oder die Erfassung besteht | Teil des jeweiligen Eintrags und mit ihm gelöscht; ein Widerruf der Einwilligung löscht bereits gespeicherte Standorte nicht automatisch |
| Lokale Offline-Daten (App) | Max. 7 Tage ohne Sync | Danach verschlüsselt nicht mehr lesbar (Anmeldung abgelaufen) |
5. Was wir nicht erfassen (Monitoring-Grenzen)
NexDeck erfasst ausdrücklich NICHT:
- • Mausbewegungen oder Tastenanschläge
- • Einzelne Seitenaufrufe
- • Bildschirminhalte oder Screenshots
- • App-Öffnungs-Häufigkeit oder Verweildauer
- • Verhaltensprofile oder Produktivitätsscores
- • Leerlauf- oder Inaktivitätsmessungen
- • GPS-Daten ohne Ihre Einwilligung
Eine Ausnahme gilt nur, wenn Sie selbst im Fenster „Cookie-Einstellungen“ Fehler-Reports erlauben: Dann sendet Sentry Messwerte zu Seitenaufrufen und bei einem Fehler eine Aufzeichnung der Sitzung an NexDeck, in der Texte und Eingaben maskiert sind. Rechtlicher Rahmen: Art. 88 DSGVO i.V.m. § 26 BDSG, § 87 Abs. 1 Nr. 6 BetrVG. Vollständige Dokumentation: Technische und Organisatorische Maßnahmen (TOMs)
6. Ihre Rechte als betroffene Person
Als Beschäftigte/r haben Sie gegenüber Ihrem Arbeitgeber (Verantwortlichen) folgende Rechte nach der DSGVO:
Auskunft (Art. 15 DSGVO)
Welche Daten über Sie gespeichert sind, zu welchem Zweck und wie lange. Auch Protokolleinträge zu Ihrer Person.
Berichtigung (Art. 16 DSGVO)
Korrektur falscher oder unvollständiger Daten (z.B. falsche Kontaktdaten, fehlerhafte Zeiterfassung).
Löschung (Art. 17 DSGVO)
Löschung nicht mehr benötigter Daten. Einschränkung bei steuerlich aufbewahrungspflichtigen Daten (Aufbewahrungspflicht nach § 147 Abs. 3 AO: acht Jahre für Buchungsbelege, zehn für Bücher).
Widerspruch (Art. 21 DSGVO)
Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen (z.B. bestimmte Auslastungs-Auswertungen).
Bitte richten Sie Anfragen zunächst an Ihren Arbeitgeber (die Verwaltung Ihres Betriebs in NexDeck). Unterstützung durch NexDeck erfolgt gem. Art. 28 Abs. 3 lit. e DSGVO.
7. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist in der Regel die Aufsichtsbehörde am Sitz Ihres Arbeitgebers:
Beispiel NRW:
Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW)
Kavalleriestr. 2–4, 40213 Düsseldorf
www.ldi.nrw.de
Weitere Behörden: bfdi.bund.de — Übersicht aller Aufsichtsbehörden