Datenschutzerklärung

Rollenverteilung in der Anwendung

Für Beschäftigten-, Betriebs-, Reservierungs-, Bestell-, Kassen- und Lieferantendaten ist grundsätzlich der jeweilige Betrieb verantwortlich, der WorkRadius einsetzt. WorkRadius verarbeitet diese Daten insoweit im Auftrag des Betriebs. Für die eigene Kundenverwaltung, Abonnementabrechnung, Sicherheit und Bereitstellung der Plattform ist der Anbieter selbst verantwortlich.

Diese Informationsseite setzt keine Cookies ein, verwendet keine Analysedienste und lädt keine externen Schriftarten oder Medien nach.

Beim Aufruf verarbeitet der Hosting-Anbieter technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, übertragene Datenmenge und technische Browserangaben. Zweck ist der sichere und störungsfreie Betrieb. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Auf den öffentlichen Reservierungs- und Bestellseiten der Betriebe werden ebenfalls keine Analyse- oder Marketing-Cookies eingesetzt. Beide Seiten laden keine Programmbibliotheken von Drittanbietern nach, sondern rufen die Serverfunktionen von WorkRadius in der EU-Region europe-west1 direkt auf. Beide Seiten speichern im Browser die über die Sprachauswahl gewählte Sprache. Die Bestellseite legt zusätzlich nur für die Dauer der Sitzung die laufende Bestellung und deren Zugangskennung ab, damit Bestellung und Status nach einem Neuladen ohne Doppelbestellung abrufbar bleiben. Diese Speicherung ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und daher einwilligungsfrei.

Demo- und Kontaktanfragen. Wer über das Anfrageformular eine Demo oder ein Angebot anfragt, übermittelt Name, Name des Betriebs, eine Kontaktangabe (E-Mail-Adresse oder Telefonnummer), optional eine zusätzliche Telefonnummer und den bevorzugten Kontaktweg sowie optional den gewählten Paket- oder Konfigurationswunsch. Diese Angaben verarbeiten wir ausschließlich, um die Anfrage zu beantworten und einen Termin abzustimmen (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen). Die Anfrage wird in unserer Datenbank gespeichert und uns per E-Mail über den Dienstleister Brevo zugestellt (siehe Abschnitt 5). Zum Schutz vor automatisierten Massenanfragen halten wir die Anfrage-Adresse (IP) nur als Hashwert für höchstens 48 Stunden fest (Art. 6 Abs. 1 lit. f DSGVO). Anfragen, aus denen kein Vertrag entsteht, löschen wir spätestens zwölf Monate nach Eingang automatisch.

Die auf dieser Seite gewählte Anzeigesprache wird lokal im Browser gespeichert (localStorage) und nicht an uns übermittelt. Diese Speicherung ist für die gewünschte Darstellung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Abhängig von den gebuchten und aktivierten Modulen werden insbesondere folgende Kategorien verarbeitet:

• Konto-, Kontakt-, Unternehmens-, Arbeitsort-, Rollen- und Berechtigungsdaten,
• Arbeitszeiten, Pausen, Dienstpläne und Abwesenheiten (bei Krankmeldungen nur der Zeitraum ohne Diagnose; Kolleginnen und Kollegen sehen nur eine neutrale Abwesenheit) sowie die Zuordnung einer Buchung zum Arbeitsort bei freiwillig aktivierter Standortautomatik; GPS-Koordinaten werden nicht gespeichert, und eine freiwillig aktivierte Schrittzählung verbleibt ausschließlich auf dem Endgerät und wird nicht an uns übermittelt,
• interne Kommunikation und vom Betrieb hochgeladene Dateien,
• Reservierungs- und Kontaktdaten von Gästen sowie je Gast ein Besuchszähler unter einem Hashwert ohne Namen und Kontaktdaten,
• bei Abholbestellungen Name, E-Mail-Adresse, Telefonnummer, Bestellinhalt, Hinweise, gewünschte Abholzeit und Statusverlauf,
• Bestell-, Warenwirtschafts-, Hygiene-, Kassen-, Beleg- und Fiskaldaten,
• Abonnement-, Rechnungs- und Zahlungsstatus sowie Transaktionsdaten,
• technisch erforderliche Geräte-, Verbindungs-, Sicherheits-, Absturz- und Diagnosedaten.

Für zwei optionale Funktionen setzen wir ein KI-Modell von Google (Gemini) ein. Beim Rechnungsscan wird eine hochgeladene Lieferantenrechnung zur automatischen Auslesung an diesen Dienst übermittelt, bei der Inhaltsübersetzung werden Rezept-, Checklisten-, Notiz- und Hygienetexte übermittelt. Beide Funktionen laufen nur auf ausdrückliche Veranlassung des Betriebs. Die Übersetzung von Chat-Nachrichten erfolgt demgegenüber direkt auf dem Endgerät.

Bei Kartenzahlungen an der Kasse und bei der Abonnementabrechnung erhält WorkRadius keine vollständigen Karten- oder Bankdaten der Zahlenden. Diese werden unmittelbar durch den angebundenen Zahlungsdienstleister verarbeitet.

• Vertragserfüllung und Bereitstellung der gebuchten Funktionen (Art. 6 Abs. 1 lit. b DSGVO),
• Beschäftigtenverwaltung im Verantwortungsbereich des jeweiligen Betriebs: Durchführung des Arbeitsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) und Erfüllung gesetzlicher Arbeitgeberpflichten wie Arbeitszeitaufzeichnung, Lohnabrechnung und Aufbewahrung (Art. 6 Abs. 1 lit. c DSGVO); Krankmeldungen und das Kirchensteuermerkmal nur, soweit dies für arbeits-, steuer- und sozialversicherungsrechtliche Pflichten erforderlich ist (Art. 9 Abs. 2 lit. b DSGVO). Die im Einzelfall maßgebliche Rechtsgrundlage bestimmt der Betrieb als Verantwortlicher,
• freiwillige Einwilligung, insbesondere für die optionale Standortautomatik im Hintergrund (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO); eine Ablehnung oder ein Widerruf hat keine Nachteile im Arbeitsverhältnis, manuelles Stempeln bleibt immer möglich,
• Sicherheit, Stabilität sowie Missbrauchs- und Betrugsprävention (Art. 6 Abs. 1 lit. f DSGVO),
• gesetzliche Aufzeichnungs-, Nachweis- und Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

• Google Ireland Limited / Google Cloud (Firebase): Hosting, Datenbank, Server-Funktionen, Dateispeicher, Authentifizierung, Push-Benachrichtigungen und Absturzberichte. Die Datenbank liegt in der EU-Multi-Region eur3 (Belgien und Niederlande), die Server-Funktionen laufen in der Region europe-west1 (Belgien), Datensicherungen liegen in der Region europe-west4 (Niederlande). Die Webseiten werden über das weltweite Auslieferungsnetz von Firebase Hosting bereitgestellt.
• Brevo (Sendinblue GmbH): Versand von Reservierungs-, Bestell-, Beleg- und System-E-Mails sowie Zustellung von Website-Anfragen.
• Google Maps Platform: Kartendarstellung von Arbeitsorten in der App über das Google Maps SDK; Google verarbeitet die dabei übermittelten Daten (insbesondere IP-Adresse sowie Geräte- und Nutzungsdaten der Kartenkomponente) als eigenständiger Verantwortlicher.
• Google (Gemini): KI-gestützte Auslesung hochgeladener Lieferantenrechnungen sowie Übersetzung von Rezept-, Checklisten-, Notiz- und Hygienetexten – jeweils nur auf Veranlassung des Betriebs.
• Stripe Payments Europe, Limited und verbundene Stripe-Unternehmen: Abrechnung der WorkRadius-Abonnements. Stripe handelt für Teile der Zahlungsabwicklung in eigener datenschutzrechtlicher Verantwortung. Weitere Informationen enthält die Stripe-Datenschutzerklärung.
• fiskaly GmbH: Cloud-TSE, Signierung von Kassenvorgängen und DSFinV-K-Dienste, ausschließlich für Arbeitsorte mit aktivierter Fiskalisierung.

Aktiviert ein Betrieb Kartenzahlungen an seiner Kasse, verbindet er dafür sein eigenes Konto bei Stripe oder SumUp. Diese Zahlungsdienstleister sind Vertragspartner des Betriebs; WorkRadius übermittelt ihnen auf Veranlassung des Betriebs nur Betrag, Trinkgeld, Währung und interne Vorgangskennungen.

Je nach Dienst und Verarbeitung erfolgt die Einbindung als Auftragsverarbeitung oder im gesetzlich beziehungsweise vertraglich festgelegten eigenen Verantwortungsbereich. Soweit Daten außerhalb der EU/des EWR verarbeitet werden, gilt: Die Google LLC (USA) kann insbesondere Push-Nachrichten (Firebase Cloud Messaging), Absturzberichte (Firebase Crashlytics), Anfragen an die Gemini API, die Kartendarstellung und die Auslieferung der Webseiten auch in den USA verarbeiten. Sie ist unter dem EU-US Data Privacy Framework zertifiziert; Grundlage ist der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO), ergänzend gelten die EU-Standardvertragsklauseln im Datenverarbeitungsvertrag von Google (Art. 46 Abs. 2 lit. c DSGVO). Für die Abonnementabrechnung über Stripe gelten die EU-Standardvertragsklauseln. Brevo speichert die Daten nach eigenen Angaben auf Servern in der EU (Frankreich, Deutschland, Belgien); für Netzwerkschutz und Support können Unterauftragsverarbeiter und Konzerngesellschaften von Brevo außerhalb des EWR, etwa in den USA, Zugriff erhalten. Grundlage dafür sind ein Angemessenheitsbeschluss oder die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Brevo (Art. 45, 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an info@workradius.de; der Angemessenheitsbeschluss ist im Amtsblatt der EU veröffentlicht.

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck oder aufgrund gesetzlicher Aufbewahrungs- und Nachweispflichten erforderlich ist. Nicht mehr benötigte Daten werden gelöscht oder anonymisiert. Aufbewahrungs- oder auditpflichtige Kassen-, Zahlungs-, Arbeitszeit- und Fiskaldaten werden für die vorgeschriebene Dauer gegen unzulässige Änderungen gesichert und anschließend gelöscht oder anonymisiert.

Reservierungsdaten werden grundsätzlich 90 Tage nach dem Termin gelöscht oder anonymisiert, soweit keine andere Rechtsgrundlage eine längere Speicherung verlangt. Der Besuchszähler eines Gastes wird 90 Tage nach seinem letzten Termin gelöscht.

Direkte Kontaktdaten und freie Hinweise aus Abholbestellungen werden nach der vom jeweiligen Betrieb festgelegten Frist automatisch anonymisiert; die technische Voreinstellung beträgt 90 Tage und kann zwischen 30 und 365 Tagen gewählt werden. Bestellungen, die nicht innerhalb einer Stunde über den E-Mail-Link bestätigt wurden, werden vollständig gelöscht, in der Regel spätestens 49 Stunden nach dem Absenden. Gesetzlich erforderliche Kassen- und Belegdaten bleiben davon getrennt und werden nach den dafür geltenden Fristen aufbewahrt.

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Widerspruchsrecht: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung Sie betreffender personenbezogener Daten einzulegen, die auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO erfolgt.

Beschäftigte und Reservierungsgäste können sich zunächst an den Betrieb wenden, der WorkRadius einsetzt. Für Verarbeitungen im eigenen Verantwortungsbereich von WorkRadius oder wenn die Zuordnung unklar ist, genügt eine E-Mail an info@workradius.de. Wie sich ein Konto und die zugehörigen Daten löschen lassen, steht unter Konto und Daten löschen. Außerdem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.

Daten werden verschlüsselt übertragen. Mandanten-, Arbeitsort-, Rollen- und Berechtigungsgrenzen beschränken den Zugriff. Besonders sensible Vorgänge, darunter Zahlungen und Fiskaldaten, werden serverseitig geprüft und protokolliert.

Diese Erklärung wird angepasst, wenn sich Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils hier und in der Anwendung bereitgestellte Fassung.