Datenschutz

Stand: 02.10.2026

1. Geltungsbereich

Diese Datenschutzerklärung informiert nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung personenbezogener Daten bei der Nutzung der Websites shiftio.at und docs.shiftio.at, der Webanwendung app.shiftio.at einschließlich des Anmeldedienstes auth.shiftio.at und der in die Anwendung eingebetteten Berichte (superset.shiftio.at), bei der Registrierung, Vertrags- und Zahlungsabwicklung, bei Supportanfragen sowie bei sonstiger geschäftlicher Kommunikation mit Shiftio.

Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Diese Erklärung ist kein Auftragsverarbeitungsvertrag und ersetzt nicht die Datenschutzinformation des Arbeitgebers gegenüber seinen Beschäftigten.

2. Verantwortliche und Datenschutzkontakt

Verantwortlich für die hier beschriebenen eigenen Verarbeitungen sind

• Marc Tutter, Wallgasse 14/34, 1060 Wien, Österreich, und
• Thomas Bernhard, Wallgasse 14/34, 1060 Wien, Österreich,

gemeinsam auftretend unter der Geschäftsbezeichnung „Shiftio“ (Gesellschaft bürgerlichen Rechts). E-Mail: hallo@shiftio.at.

Die beiden Gesellschafter entscheiden gemeinsam über Zwecke und Mittel der Verarbeitung und sind insoweit gemeinsam Verantwortliche nach Art. 26 DSGVO. Betroffene Personen können ihre Rechte bei und gegenüber jedem der beiden geltend machen; Anfragen an hallo@shiftio.at werden von beiden gemeinsam bearbeitet.

Rollen bei Beschäftigtendaten

Nutzt ein Arbeitgeber Shiftio zur Dienstplanung, Anwesenheits- oder Arbeitszeiterfassung, entscheidet grundsätzlich dieser Arbeitgeber über Zweck und wesentliche Mittel der Verarbeitung. Er ist insoweit Verantwortlicher. Shiftio verarbeitet die Daten auf dokumentierte Weisung als Auftragsverarbeiter nach Art. 28 DSGVO. Maßgeblich ist die gesonderte Vereinbarung zur Auftragsverarbeitung (AVV), abrufbar unter https://shiftio.at/avv.

Betroffene Beschäftigte sollten sich mit Anfragen zu Dienstplänen, Abwesenheiten oder Zeitdaten zunächst an ihren Arbeitgeber wenden. Geht eine solche Anfrage bei Shiftio ein, wird sie grundsätzlich an den zuständigen Kunden weitergeleitet, soweit keine eigene Verantwortung von Shiftio besteht.

3. Allgemeine Rechtsgrundlagen und Datenquellen

Soweit Shiftio Daten als Verantwortlicher verarbeitet, kommen insbesondere folgende Rechtsgrundlagen zur Anwendung:

• Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und die Vertragserfüllung, wenn die betroffene Person selbst Vertragspartei ist;
• Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen, insbesondere sicheren Betrieb, Missbrauchsabwehr, Kundenbetreuung, die Messung des Erfolgs eigener Werbemaßnahmen und interne Organisation, sofern keine überwiegenden Interessen der betroffenen Person entgegenstehen;
• Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten, insbesondere steuer- und unternehmensrechtliche Aufbewahrung;
• Art. 6 Abs. 1 lit. a DSGVO für einwilligungsabhängige Analyse- oder Kommunikationsvorgänge; die Einwilligung kann jederzeit für die Zukunft widerrufen werden.

Daten stammen unmittelbar von Websitebesuchern, Interessenten und Administratoren, vom jeweiligen Kunden bzw. Arbeitgeber oder entstehen technisch bei der Nutzung. Pflichtangaben sind als solche gekennzeichnet. Ohne die für Registrierung, Vertrag, Sicherheit oder Abrechnung erforderlichen Angaben kann die jeweilige Leistung nicht oder nur eingeschränkt erbracht werden.

Soweit Shiftio als Auftragsverarbeiter tätig ist, bestimmt der Kunde die Rechtsgrundlage. Dies betrifft insbesondere Beschäftigtendaten und die Abwesenheitskategorie Krankheit. Krankheit kann ein Gesundheitsdatum nach Art. 9 DSGVO darstellen; Diagnosen, Krankheitsursachen, Atteste und medizinische Freitexte sind nicht für die Verarbeitung in Shiftio vorgesehen (siehe Ziffer 6).

4. Aufruf der Websites, Server- und Betriebsprotokolle

Beim Aufruf der Websites und der Anwendung verarbeitet Shiftio technisch erforderliche Zugriffs- und Betriebsdaten zur Bereitstellung, Stabilität, Fehleranalyse sowie Erkennung und Abwehr von Angriffen. Dies erfolgt unabhängig von einer Einwilligung und umfasst:

• Zugriffsprotokolle der Websites und der Anwendung: IP-Adresse, Zeitpunkt, Anfragemethode, aufgerufene Adresse ohne Parameter, Statuscode und übertragene Datenmenge. Referrer, Browserkennung (User-Agent) und Cookies werden in diesen Protokollen nicht gespeichert.
• Technische Ablaufprotokolle der Anwendung (Server-Traces und Fehlerprotokolle): Zeitpunkt, aufgerufene Schnittstelle, Statuscode, Antwortzeit, Fehlermeldungen sowie interne Nutzer- und Organisationskennungen, soweit zur Zuordnung eines Fehlers nötig.
• Anmeldeprotokolle: bei fehlgeschlagenen Anmeldeversuchen die eingegebene Anmeldekennung (E-Mail-Adresse), IP-Adresse, Zeitpunkt und Fehlergrund.
• Begrenzung von Anfragen: Zum Schutz vor Missbrauch (z. B. wiederholte Anmeldeversuche) wird die IP-Adresse für die Dauer des jeweiligen Zeitfensters von höchstens einigen Minuten im Arbeitsspeicher eines Zwischenspeichers gehalten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb sowie in der Netz- und Informationssicherheit (vgl. Erwägungsgrund 49 DSGVO). Die Daten werden nicht zur Analyse des Nutzungsverhaltens verwendet.

Die Protokolle werden auf eigener Infrastruktur in Deutschland verarbeitet und nach 14 Tagen automatisch gelöscht.

5. Cookies, Einwilligungsverwaltung und Analyse

Das Speichern von Informationen auf dem Endgerät eines Nutzers oder der Zugriff auf bereits gespeicherte Informationen erfolgt nach § 165 Abs. 3 TKG 2021 bzw. – für Nutzer aus Deutschland – nach § 25 TDDDG grundsätzlich nur nach Einwilligung. Keine Einwilligung ist erforderlich, soweit der Vorgang unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Die anschließende Verarbeitung personenbezogener Daten richtet sich zusätzlich nach der DSGVO.

Technisch erforderliche Cookies und Speicherungen

Für Anmeldung, Sitzungssicherheit, die gewählte Sprache und Darstellung sowie die Speicherung der Cookie-Entscheidung werden ohne Einwilligung folgende Cookies und lokale Speicherungen verwendet. Die zugehörige Datenverarbeitung stützt sich je nach Vorgang auf Art. 6 Abs. 1 lit. b oder f DSGVO.

Optionale Reichweitenmessung und Telemetrie

Nur nach Einwilligung („Alle akzeptieren“ im Cookie-Hinweis) werden geladen:

• Reichweitenmessung (analytics.shiftio.at) zur Verbesserung der Websites und der Anwendung. Verarbeitet werden besuchte Seiten, Herkunftsseite und Kampagnenparameter, Ereignisse wie Schritte der Registrierung oder die erste Nutzung bestimmter Funktionen, Geräte- und Browsertyp, Bildschirmgröße und Sprache, aus der IP-Adresse abgeleitet Land und Region sowie eine pseudonyme Kennung, die aus IP-Adresse und Browserkennung gebildet wird. Die Kennung wird täglich neu gebildet, sodass Besuche an verschiedenen Tagen nicht verknüpft werden. Dabei werden keine Cookies gesetzt. In der Anwendung wird jedem Ereignis die interne Kennung der Organisation beigefügt, damit die Nutzung einem Kundenkonto zugeordnet werden kann.
• Fehler- und Leistungsmessung im Browser. Verarbeitet werden Ladezeiten, aufgerufene Seiten und Schnittstellen, technische Fehlerdaten, Browser- und Gerätedaten einschließlich der vollständigen Browserkennung sowie in der Anwendung die interne Nutzerkennung und die Kennung der Organisation. Erfasst wird eine Stichprobe von etwa 10 % der Seitenaufrufe.

Zur Messung des Weges durch die Registrierung werden in diesem Fall außerdem kurzlebige Markierungen im Sitzungsspeicher bzw. lokalen Speicher des Browsers abgelegt (z. B. dass ein Schritt bereits gezählt wurde).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 1 TDDDG. Beide Systeme werden selbst auf eigener Infrastruktur in Deutschland betrieben; es findet keine Weitergabe an externe Analyseanbieter statt.

Die Einwilligung kann jederzeit über „Cookie-Einstellungen“ in der Fußzeile der Website bzw. über das Cookie-Symbol auf der Anmeldeseite und in der Kontoübersicht der Anwendung widerrufen oder geändert werden. Nach einem Widerruf wird die Seite neu geladen, sodass die optionalen Werkzeuge nicht weiterlaufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Nachweis der Einwilligung

Die Entscheidung im Cookie-Hinweis wird zum Nachweis der Einwilligung bzw. Ablehnung im Cookie cookie_consent auf Ihrem Gerät gespeichert, und zwar die gewählte Stufe („alle“ oder „nur notwendige“), die Version des Cookie-Hinweises und der Zeitpunkt der Entscheidung. Eine Speicherung auf unseren Servern erfolgt nicht. Die Speicherdauer beträgt ein Jahr; danach oder bei einer inhaltlichen Änderung des Cookie-Hinweises wird erneut gefragt.

Zahlungsdienst Stripe auf der Registrierungsseite

Wenn Sie die Registrierung mit „Weiter zur Zahlung“ fortsetzen, wird das Zahlungsformular von Stripe (siehe Ziffer 8) geladen. Stripe setzt dabei eigene Cookies (Speicherdauer bis zu einem Jahr, gültig für shiftio.at und Subdomains) und verarbeitet Geräte- und Nutzungsdaten zur Betrugsprävention und sicheren Zahlungsabwicklung. Diese Speicherung ist für die von Ihnen gewünschte Zahlung unbedingt erforderlich und erfolgt daher ohne gesonderte Einwilligung; Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO bzw. bei Ansprechpartnern von Unternehmen lit. f DSGVO.

6. Registrierung, Nutzerkonten und Anwendungsdaten

Bei Registrierung und Vertragsverwaltung verarbeitet Shiftio insbesondere Organisationsname, Vor- und Nachname und geschäftliche E-Mail-Adresse des Administrators, die Bestätigung der Unternehmereigenschaft und die Annahme von AGB und AVV samt Zeitpunkt, Rollen- und Berechtigungsdaten, Tarif- und Abonnementinformationen sowie technische Kontoereignisse. Die Verarbeitung erfolgt zur Vertragsanbahnung und Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) oder, bei Ansprechpartnern eines Unternehmenskunden, auf Grundlage des berechtigten Interesses an der Durchführung des Kundenvertrags (Art. 6 Abs. 1 lit. f DSGVO).

Kampagnen-Zuordnung: Rufen Sie die Website über einen Link mit Kampagnenparametern auf (z. B. aus einer Anzeige), wird die Bezeichnung der Kampagne und der Quelle (utm_source, utm_campaign) bei einer anschließenden Registrierung Ihrem Kundenkonto zugeordnet und an Stripe übermittelt. Zweck ist die Messung, welche Werbemaßnahmen zu Registrierungen führen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Bis zur Registrierung wird die Kampagnenbezeichnung lediglich in der Adresse der aufgerufenen Seiten mitgeführt; auf Ihrem Gerät wird dafür nichts gespeichert.

Werbung und soziale Netzwerke: Shiftio schaltet Anzeigen bei Google und Meta und betreibt Profile bei Facebook und Instagram. Die Anbieter verarbeiten dabei Daten ihrer Nutzer in eigener Verantwortung (Google: https://policies.google.com/privacy, Meta: https://www.facebook.com/privacy/policy). Auf unseren Websites setzen wir keine Werbe- oder Tracking-Werkzeuge dieser Anbieter ein. Für die Statistiken unserer Meta-Profile sind wir mit Meta gemeinsam verantwortlich; Meta übernimmt dafür die Hauptverantwortung (https://www.facebook.com/legal/terms/page_controller_addendum). Rechtsgrundlage ist unser berechtigtes Interesse an Werbung und Unternehmensdarstellung (Art. 6 Abs. 1 lit. f DSGVO).

Für Beschäftigte eines Kunden können insbesondere Name, E-Mail-Adresse, Rolle, Abteilungszuordnung, Verfügbarkeiten, Dienstpläne, Schichtzuweisungen und -notizen, Abwesenheitsanträge und deren Status, Ein- und Auscheckzeiten einschließlich Pausen und Kommentaren, geplante und geleistete Stunden sowie zugehörige technische Protokolldaten verarbeitet werden. Shiftio verarbeitet diese Daten grundsätzlich nur als Auftragsverarbeiter des Kunden.

Die Kategorie Krankheit wird ausschließlich als Abwesenheitskategorie bereitgestellt. Freitextfelder wie Gründe, Notizen und Kommentare sind nicht für Gesundheitsangaben bestimmt; Kunden sind vertraglich verpflichtet, dort keine Diagnosen, Krankheitsursachen oder sonstigen medizinischen Angaben einzutragen (AGB Ziffer 4.3, AVV Ziffer 3.2).

Kundendaten werden nicht zum Training generativer KI-Modelle verwendet, sofern dies nicht später ausdrücklich, transparent und mit geeigneter Rechtsgrundlage gesondert eingeführt wird.

7. Kommunikation, Support und E-Mail-Versand

Bei Kontaktaufnahme per E-Mail an hallo@shiftio.at verarbeitet Shiftio Kontaktdaten, Inhalt der Anfrage, Anhänge, Zeitpunkte und technische Bearbeitungsinformationen, um das Anliegen zu beantworten und den Vorgang zu dokumentieren. Rechtsgrundlage ist je nach Zusammenhang Art. 6 Abs. 1 lit. b oder f DSGVO. Das E-Mail-Postfach wird bei Microsoft (siehe Ziffer 9) betrieben.

Transaktionale Nachrichten, insbesondere Einladungen und Passwort-Einrichtung, Willkommensnachricht, Hinweise zum Ende der Testphase und zu fehlgeschlagenen Zahlungen sowie Sicherheitsinformationen, werden von no-reply@mail.shiftio.at über Amazon Web Services EMEA SARL in der Region Frankfurt, Deutschland, versendet. Verarbeitet werden Empfängeradresse, Name, Inhalt der Nachricht und Zustellstatus. Beim Öffnen einer Nachricht wird das Logo von einem Speicher bei Amazon Web Services in Frankfurt geladen; dabei wird technisch die IP-Adresse übermittelt. Eine Auswertung, ob Nachrichten geöffnet wurden, findet nicht statt.

Weitere Kommunikationsdienste wie Kontaktformular, Terminbuchung oder Newsletter werden derzeit nicht eingesetzt.

8. Zahlungsabwicklung

Für die Zahlungsabwicklung wird Stripe Payments Europe Limited, Irland, eingesetzt. Zahlungs- und Kartendaten werden unmittelbar durch Stripe erhoben und erreichen die Systeme von Shiftio nicht. Shiftio übermittelt an Stripe den Organisationsnamen, Vor- und Nachname sowie E-Mail-Adresse des Administrators, den Zeitpunkt der Annahme von AGB und AVV und gegebenenfalls die Kampagnenbezeichnung (Ziffer 6). Im Bezahlvorgang erhebt Stripe zusätzlich die Rechnungsadresse und die Umsatzsteuer-Identifikationsnummer. Shiftio erhält von Stripe Kunden-, Rechnungs-, Abonnement- und Zahlungsstatusdaten sowie Zahlungsereignisse.

Rechtsgrundlage ist die Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO bzw. das berechtigte Interesse an effizienter Zahlungsabwicklung bei Ansprechpartnern eines Unternehmenskunden (Art. 6 Abs. 1 lit. f DSGVO). Stripe ist bei der Abwicklung der Zahlungen im Auftrag von Shiftio als Auftragsverarbeiter tätig. Für eigene Zwecke, insbesondere Betrugsprävention, Erfüllung geldwäsche- und aufsichtsrechtlicher Pflichten und Verbesserung der eigenen Dienste, ist Stripe eigener Verantwortlicher; hierzu gilt die Datenschutzerklärung von Stripe (https://stripe.com/privacy).

9. Empfänger und eingesetzte Dienstleister

Personenbezogene Daten erhalten nur Stellen, die sie für die genannten Zwecke benötigen. Dazu gehören intern berechtigte Personen sowie folgende Dienstleister:

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Server, Datenbanken und Speicher am Standort Nürnberg, auf denen Websites, Anwendung, Anmeldedienst, Berichte, Reichweitenmessung und Protokollierung betrieben werden;
• Amazon Web Services EMEA SARL, Luxemburg, und verbundene Leistungserbringer, Region Frankfurt, Deutschland: E-Mail-Versand, verschlüsselte Datenbank-Sicherungskopien, das gesetzlich vorgeschriebene Archiv der Rechnungen, Ablage öffentlicher Grafiken (z. B. Logo in E-Mails) sowie Teile des Betriebs (Verwaltung von Zugangsschlüsseln, Bereitstellung der Software, Überwachung der Erreichbarkeit);
• Stripe Payments Europe Limited, Dublin, Irland, und beteiligte Konzerngesellschaften: Zahlungsabwicklung (Ziffer 8);
• Microsoft Ireland Operations Limited, Dublin, Irland: E-Mail-Postfach hallo@shiftio.at und interne Bürokommunikation, Speicherort Österreich;
• berufliche Berater, Behörden, Gerichte oder sonstige Empfänger, soweit eine rechtliche Verpflichtung besteht oder dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Reichweitenmessung, Fehler- und Leistungsmessung und Protokollierung werden selbst betrieben; dafür gibt es keine externen Empfänger.

10. Datenübermittlungen außerhalb des EWR

Anwendungsdaten, Sicherungskopien, Protokolle und Analysedaten werden innerhalb der Europäischen Union gespeichert (Nürnberg und Frankfurt, Deutschland); die Verwaltung erfolgt aus Österreich. Bei Dienstleistern mit Konzernunternehmen oder Zugriffsmöglichkeiten außerhalb des EWR (Amazon Web Services, Stripe, Microsoft) sind Übermittlungen in Drittländer, insbesondere in die USA, oder Zugriffe aus Drittländern dennoch nicht ausgeschlossen.

Solche Übermittlungen erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Die genannten Anbieter bzw. ihre US-Konzerngesellschaften sind nach dem EU-US Data Privacy Framework zertifiziert, sodass ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO besteht; ergänzend sind mit ihnen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO vereinbart. Eine Kopie der Garantien kann unter hallo@shiftio.at angefordert werden.

11. Speicherdauer und Löschung

Shiftio speichert personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten und die Durchsetzung bzw. Abwehr von Ansprüchen eine weitere Speicherung rechtfertigen.

• Zugriffs-, Betriebs- und Sicherheitsprotokolle (Ziffer 4): 14 Tage;
• Fehler- und Leistungsmessung (Ziffer 5): 14 Tage;
• Reichweitenmessung (Ziffer 5): 14 Tage, danach automatische Löschung;
• Anwendungsdaten: während der Vertragslaufzeit; nach Vertragsende 30 Tage Übergangszeit und mindestens 30 Tage Abrufzeit für den Export (AGB Ziffer 10.3), anschließend Löschung innerhalb von 30 Tagen;
• Datenbank-Sicherungskopien: tägliche Sicherung und kontinuierliche Transaktionsprotokolle; rollierende Überschreibung, Sicherungskopien werden spätestens 30 Tage nach ihrer Erstellung gelöscht, sodass gelöschte Daten spätestens danach aus Sicherungskopien entfernt sind;
• Technische Rohdaten zu Zahlungsereignissen von Stripe: 6 Monate; danach bleiben nur Kennung, Art und Verarbeitungsstatus des Ereignisses;
• Vertrags-, Rechnungs- und steuerlich relevante Unterlagen: nach den anwendbaren österreichischen Aufbewahrungspflichten, regelmäßig sieben Jahre (§ 132 BAO, § 212 UGB), bei anhängigen Verfahren erforderlichenfalls länger;
• Support- und Geschäftskommunikation: bis zur Erledigung und danach drei Jahre ab Ende des Jahres der Erledigung, soweit nicht längere gesetzliche Pflichten bestehen oder die Kommunikation für ein laufendes Verfahren benötigt wird.

12. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft über verarbeitete Daten nach Art. 15 DSGVO;
• Berichtigung unrichtiger Daten nach Art. 16 DSGVO;
• Löschung nach Art. 17 DSGVO;
• Einschränkung der Verarbeitung nach Art. 18 DSGVO;
• Datenübertragbarkeit nach Art. 20 DSGVO;
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Widerspruchsrecht nach Art. 21 DSGVO: Soweit Shiftio Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Shiftio verarbeitet die Daten dann nicht mehr, es sei denn, es liegen zwingende schutzwürdige Gründe für die Verarbeitung vor, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen eine Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

Anfragen können an hallo@shiftio.at gerichtet werden. Shiftio darf angemessene Informationen zur Identitätsprüfung anfordern. Soweit Shiftio Daten nur im Auftrag eines Kunden verarbeitet, unterstützt Shiftio diesen bei der Erfüllung der Betroffenenrechte und leitet Anfragen grundsätzlich an ihn weiter.

Betroffene Personen können Beschwerde bei einer Datenschutzaufsichtsbehörde einlegen. Für die eigenen Verarbeitungen von Shiftio ist die österreichische Datenschutzbehörde zuständig: Barichgasse 40–42, 1030 Wien, E-Mail dsb@dsb.gv.at, Website www.dsb.gv.at. Das Recht, sich an eine andere nach Art. 77 DSGVO zuständige Aufsichtsbehörde zu wenden, insbesondere im Mitgliedstaat Ihres Aufenthaltsorts oder Arbeitsplatzes, bleibt unberührt.

13. Automatisierte Entscheidungen und Profiling

Shiftio trifft bei den hier beschriebenen eigenen Verarbeitungen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO. Profiling zu Werbe- oder Bewertungszwecken findet nicht statt. Automatisch erzeugte Hinweise in der Dienstplanung, etwa auf Doppelbuchungen, Überschneidungen mit genehmigten Abwesenheiten oder die Abweichung zwischen geplanten und geleisteten Stunden, ersetzen keine Entscheidung des Kunden oder Arbeitgebers.

14. Datensicherheit

Shiftio trifft unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere rollenbasierte Berechtigungen, getrennte Datenbereiche je Kunde, verschlüsselte Übertragung, verschlüsselte Sicherungskopien, abgesicherte administrative Zugriffe über ein privates Netz, Protokollierung, Sicherungskopien und Verfahren zur Behandlung von Sicherheitsvorfällen. Die verbindliche Beschreibung für Auftragsverarbeitungen befindet sich in den technischen und organisatorischen Maßnahmen (TOM) als Anlage 2 zur AVV.

Eine Übermittlung personenbezogener Daten über das Internet kann trotz angemessener Schutzmaßnahmen nicht vollständig risikofrei sein.

15. Änderungen dieser Datenschutzerklärung

Shiftio passt diese Datenschutzerklärung an, wenn sich Verarbeitungen, Dienstleister oder Rechtslage ändern. Die jeweils aktuelle Fassung wird auf shiftio.at veröffentlicht. Wesentliche Änderungen werden, soweit angemessen oder rechtlich erforderlich, zusätzlich mitgeteilt. Das am Anfang genannte Datum bezeichnet den Stand dieser Fassung.