Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist:

TODO: Firmenname, Straße Hausnummer, PLZ Ort, Deutschland
E-Mail: datenschutz@example.de | Telefon: +49 (0) 000 00000000
Vertretungsberechtigt: Vorname Name, Geschäftsführer
Handelsregister: HRB XXXXXX Amtsgericht X | USt-IdNr.: DE000000000

Für den Betrieb der Software Locast werden die Arbeitszeit-, Abwesenheits- und Stammdaten der Beschäftigten im Auftrag und unter Verantwortung des jeweiligen Kunden (des Arbeitgebers) verarbeitet. Der Kunde ist gegenüber seinen Beschäftigten der Verantwortliche im Sinne der DSGVO. Die nachfolgenden Informationen gelten daher sowohl für den Anbieter Locast als auch für den jeweiligen Kunden als Hinweis an die betroffenen Beschäftigten.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO i. V. m. § 38 BDSG grundsätzlich ab 20 Personen, die mit der Verarbeitung personenbezogener Daten beschäftigt sind, verpflichtend. Sofern bei Ihnen oder beim jeweiligen Kunden ein solcher Bedarf besteht, gilt:

TODO: Name und Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
E-Mail: datenschutzbeauftragter@example.de

Sofern kein Datenschutzbeauftragter bestellt ist, richten Sie Datenschutzanfragen bitte an den oben genannten Verantwortlichen.

3. Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich für die folgenden, klar umrissenen Zwecke:

• Elektronische Erfassung und Verwaltung der Arbeits-, Arbeitszeit-, Schicht- und Pausenzeiten der Beschäftigten (Stempeluhr / Terminal / manuelle Erfassung)
• Erstellung, Verwaltung und Bereitstellung von Dienstplänen und Schichtplänen
• Verwaltung von Urlaubs-, Krankheits- und sonstigen Abwesenheitszeiten
• Vorbereitung und Übermittlung von Daten für die Lohn- und Gehaltsabrechnung
• Authentifizierung der Beschäftigten am Terminal und im Kundenbereich mittels PIN
• Sicherstellung der technischen und organisatorischen Sicherheit des Betriebs
• Erfüllung gesetzlicher Aufbewahrungs- und Dokumentationspflichten

4. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung erfolgt auf Grundlage folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung bzw. vorvertragliche Maßnahmen im Rahmen des Arbeitsverhältnisses und der Nutzung der Software Locast.
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung gesetzlicher Pflichten, insbesondere: § 16 Abs. 2 ArbZG (Arbeitszeitaufzeichnungen), § 17 Mindestlohngesetz (MiLoG), § 257 HGB und § 147 AO (Aufbewahrung), § 139 SGB V (Entgeltbescheinigungen).
• § 26 Abs. 1 BDSG – Verarbeitung von Beschäftigtendaten für Zwecke, die durch das Beschäftigungsverhältnis oder Tarifvertrags- bzw. Betriebsvereinbarungen erforderlich sind.
• Art. 6 Abs. 1 lit. f DSGVO – Wahrung berechtigter Interessen des Verantwortlichen, soweit dies erforderlich ist, insbesondere zur technischen Sicherheit, zur Missbrauchsprävention und zur Gewährleistung des ordnungsgemäßen Betriebs der Software.

5. Kategorien personenbezogener Daten

Im Rahmen der Nutzung von Locast werden folgende Kategorien personenbezogener Daten verarbeitet:

• Stammdaten: Name, Vorname, ggf. Personalnummer, ggf. Geburtsdatum, Eintritts-/Austrittsdatum, Beschäftigungsart, Abteilung, Position.
• Kontaktdaten: E-Mail-Adresse, ggf. Telefonnummer, postalische Adresse.
• Arbeitszeitdaten: Stempelungen (Kommen/Gehen), Pausenzeiten, korrigierte oder manuell eingetragene Zeiten, Überstunden, Dienstplan-/Schichtzuordnungen, Verlauf von Änderungen.
• Abwesenheitsdaten: Urlaubsanträge und -genehmigungen, Krankmeldungen, Fehlzeiten, sonstige Abwesenheitsarten (z. B. Fortbildung, Mutterschutz).
• Authentifizierungsdaten: vierstellige PIN als bcrypt-Hash, aktive Login-Sessions, Tokens, ggf. Verknüpfung mit einem bestehenden Nutzerkonto (E-Mail-basierte Authentifizierung).
• Vertrags-/Lohndaten: Vertragsstunden, Gehalt (wenn vom Kunden hinterlegt), Urlaubsanspruch, Lohnmodelle, prognostizierte Auswertungen.
• Technische Daten: IP-Adresse, Zeitstempel, Browser-/Geräteinformationen im Rahmen der Authentifizierung und Sicherheitsprotokolle (zur Missbrauchsprävention).

6. Empfänger und Kategorien von Empfängern

Eine Weitergabe personenbezogener Daten erfolgt nur in dem unten beschriebenen Umfang:

• Auftragsverarbeiter (Hosting): Lovable Cloud (Backend-Dienste über Supabase) mit Rechenzentren in der Europäischen Union. Zwischen dem Anbieter und Lovable Cloud/Supabase besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
• Interne Empfänger: autorisierte Mitarbeiter des Kunden (z. B. Personalservice, Geschäftsführung, Lohnbuchhaltung), deren Zugriff rollenbasiert über Rechte- und Rollenkonzepte beschränkt ist.
• Externe Empfänger: Steuerberater, Lohnbuchhaltungs- oder Rechtsberatungsdienste des Kunden, sofern eine Weitergabe zur Erfüllung vertraglicher oder gesetzlicher Pflichten erforderlich ist.
• Behörden: Zoll, Finanz-, Sozial- und Arbeitsbehörden sowie Aufsichtsbehörden, sofern eine gesetzliche Auskunfts- oder Mitteilungspflicht besteht.

7. Drittlandtransfer

Die Daten werden grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EWR) verarbeitet. Im Standardbetrieb von Locast findet keine Übermittlung personenbezogener Daten in sogenannte Drittländer (Staaten außerhalb der EU/EWR) statt. Sollte sich dies in Einzelfällen ändern (z. B. aufgrund zusätzlicher Dienstleistungen oder technischer Unterstützung), erfolgt eine Übermittlung nur unter Geltung der Standardvertragsklauseln der EU-Kommission oder auf Basis eines Angemessenheitsbeschlusses gemäß Art. 45 DSGVO.

8. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die genannten Zwecke oder zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist:

• Arbeitszeitaufzeichnungen: mindestens 2 Jahre ab dem Zeitpunkt der Aufzeichnung (§ 16 Abs. 2 ArbZG).
• Lohn- und Gehaltsunterlagen: 6 Jahre nach Abschluss des Geschäftsjahres (§ 257 Abs. 1 Nr. 2 und 3 HGB) bzw. 10 Jahre (§ 147 Abs. 1 Nr. 1, 3 und 7 AO).
• Beschäftigtendaten allgemein: bis zum Ende des Beschäftigungsverhältnisses zuzüglich der gesetzlichen Aufbewahrungsfristen, sofern keine darüber hinausgehende Verpflichtung besteht.
• Authentifizierungsdaten: vierstellige PIN-Hashes werden für die Dauer der aktiven Nutzung des Terminals gespeichert; bei Löschung des Mitarbeiters oder Deaktivierung des Zugangs werden sie gelöscht.
• Technische Logs: maximal 30 Tage, sofern sie nicht zur Klärung von Sicherheitsvorfällen oder zur Erfüllung gesetzlicher Pflichten länger benötigt werden.

9. Betroffenenrechte

Betroffene Beschäftigte haben gegenüber dem jeweiligen Verantwortlichen (dem Arbeitgeber) sowie gegebenenfalls gegenüber dem Anbieter die folgenden Rechte:

• Recht auf Auskunft (Art. 15 DSGVO) über die verarbeiteten personenbezogenen Daten.
• Recht auf Berichtigung (Art. 16 DSGVO) unrichtiger Daten.
• Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO), soweit die gesetzlichen Voraussetzungen vorliegen und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) für strukturierte, gängige und maschinenlesbare Formate.
• Widerspruchsrecht (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.
• Recht auf Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde (Art. 77 DSGVO), z. B. dem Landesdatenschutzaufsichtsbehörde des Bundeslandes, in dem der Verantwortliche seinen Sitz hat.

TODO: Name und Anschrift der zuständigen Landesdatenschutzaufsichtsbehörde nennen

10. Cookies und lokale Speicherung

Locast verwendet im Browser ausschließlich technisch notwendige Speicherung (z. B. LocalStorage/SessionStorage) zum Zweck der Authentifizierung und der Sicherstellung des Betriebs. Diese Speicherung ist für die Nutzung der Software erforderlich. Eine Einwilligung nach § 25 Abs. 2 TTDSG ist hierfür nicht erforderlich. Es werden keine Tracking-, Marketing- oder Analyse-Cookies eingesetzt.

11. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO, einschließlich Profiling, findet nicht statt. Die in Locast dargestellten Prognosen und Auswertungen (z. B. Stundenprognosen, Lohnvorausschau) dienen ausschließlich der Information und Planung; sie haben keine automatisierten rechtlichen oder vergleichbar schwerwiegenden Wirkungen für die betroffenen Beschäftigten.

12. Mitbestimmung und Betriebsvereinbarung

Die Einführung und Nutzung elektronischer Zeiterfassungssysteme kann nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig sein, sofern im Betrieb ein Betriebsrat besteht. Der Kunde ist für die Einhaltung der betriebsverfassungsrechtlichen Mitbestimmung verantwortlich. Sofern bereits eine Betriebsvereinbarung oder Dienstvereinbarung zur Zeiterfassung besteht, gilt diese unverändert.

13. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten:

• Übertragung verschlüsselt über TLS/HTTPS zwischen Browser und Server
• PIN-Authentifizierung am Terminal ausschließlich als bcrypt-Hash, nicht im Klartext
• Rollen- und rechtebasierte Zugriffskontrolle (RBAC) mit Row-Level Security (RLS) in der Datenbank
• Zentrale Authentifizierung über Supabase Auth mit zeitlich begrenzten Sitzungs-Tokens
• Regelmäßige Sicherheits- und Zugriffsprüfungen
• Protokollierung sicherheitsrelevanter Ereignisse zur Missbrauchserkennung

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der Rechtslage oder der Funktionsweise von Locast anzupassen. Die jeweils aktuelle Version ist auf dieser Seite abrufbar. Rechtsgrundlagen oder Verarbeitungszwecke werden nicht ohne triftigen Grund geändert.

15. Stand

20. Juli 2026