Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie wir personenbezogene Daten verarbeiten, wenn du diese Website besuchst, dich in unsere Warteliste einträgst oder als Betrieb ein Arbeitgeber-Konto anlegst oder als Arbeitskraft ein Arbeitskräfte-Konto. Sie ist auf den aktuellen Funktionsumfang der Website abgestimmt.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Mathias Pirman
Josef-Retzer-Straße 10, 81241 München, Deutschland
Telefon: +49 155 67858958
E-Mail: info@staffdaddy.de

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Website und ihrer Funktionen sowie zur Bearbeitung deiner Anfragen erforderlich ist oder du eingewilligt hast. Eine Weitergabe an Dritte erfolgt nur, wenn dies gesetzlich erlaubt ist oder du eingewilligt hast. Soweit wir Dienstleister einsetzen, geschieht dies auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO).

3. Hosting & Server-Logfiles

Diese Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in einem Rechenzentrum in Deutschland gehostet. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

Beim Aufruf der Website werden technisch notwendige Zugriffsdaten (z. B. gekürzte oder volle IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Referrer, Browser-/ Betriebssystem-Angaben) in Server-Logfiles verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb). Die Logs werden nach 7 Tagen gelöscht bzw. anonymisiert.

4. Warteliste

Trägst du dich in die Warteliste ein, verarbeiten wir deine E-Mail-Adresse sowie deine Rollen-Auswahl (Arbeitnehmer oder Arbeitgeber). Diese Daten werden in unserer Datenbank bei Supabase (Rechenzentrum in der Europäischen Union, Region Frankfurt; Einzelheiten unter Ziffer 8) gespeichert.

• Zweck: Benachrichtigung über den Start von StaffDaddy und frühen Zugang.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, erteilt über die Checkbox im Formular).
• Speicherdauer: bis zum Widerruf bzw. bis der Zweck entfällt (spätestens 12 Monate nach Launch).
• Widerruf: jederzeit formlos per E-Mail an die oben genannte Adresse; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

5. Kontaktformular & E-Mail

Über unser Kontaktformular verarbeiten wir die Angaben, die du dort einträgst: Name, E-Mail-Adresse, das gewählte Thema und den Inhalt deiner Nachricht. Die Nachricht wird uns ausschließlich per E-Mail zugestellt und darüber hinaus nicht in einer Datenbank gespeichert.

• Zweck: Bearbeitung und Beantwortung deiner Anfrage.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage auf einen Vertrag oder dessen Anbahnung zielt; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).
• Speicherdauer: Wir bewahren die Korrespondenz so lange auf, wie es zur Bearbeitung deines Anliegens und für eventuelle Anschlussfragen erforderlich ist, und löschen sie danach — sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.
• Weitergabe: findet nicht statt; die Nachricht landet in unserem eigenen Postfach.

Der Versand und der Empfang unserer E-Mails laufen über das Postfach unseres Webhosting- Anbieters. Zur Abwehr automatisierter Einsendungen enthält das Formular ein für dich unsichtbares Feld und eine Begrenzung der Anfragen je Absender; dabei wird deine IP-Adresse ausschließlich kurzzeitig im Arbeitsspeicher gezählt und nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Bitte beachte: Eine unverschlüsselt versandte E-Mail kann auf dem Transportweg mitgelesen werden. Für vertrauliche Anliegen nutze bitte den Postweg.

6. Arbeitgeber-Konto & Verifizierung

Legst du als Betrieb ein Konto an (Bereich „Für Betriebe“ / Early Access), verarbeiten wir die zur Registrierung, Anmeldung und Verifizierung erforderlichen Daten:

• Konto: E-Mail-Adresse, Passwort (ausschließlich verschlüsselt/gehasht gespeichert), Rolle.
• Betrieb: Betriebsname, rechtlicher Name, Adresse, Beschreibung sowie – zur Verifizierung – Gewerbe-/Registernummer, USt-IdNr. und optional Betriebsnummer der Agentur für Arbeit und Unternehmensnummer der Unfallversicherung (DGUV).
• Von dir hochgeladene Inhalte (z. B. Logo, Titelbild) und im Tool angelegte Schicht-Daten.

Zweck: Bereitstellung des Arbeitgeber-Tools, Prüfung/Freischaltung des Betriebs, Vertragsanbahnung und -durchführung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen), ergänzend Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, soweit erteilt) sowie Art. 6 Abs. 1 lit. c/f DSGVO für Nachweis- und Sicherheitszwecke. Speicherdauer: für die Dauer des Kontos; nach Löschung des Kontos werden die Daten entfernt, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. handels-/steuerrechtlich) entgegenstehen.

7. Arbeitskräfte-Konto

Legst du als Arbeitskraft ein Konto an, verarbeiten wir die Angaben, die du im Portal machst. Du entscheidest, was du einträgst; manche Angaben brauchen Betriebe aber, damit sie dich für eine Schicht einplanen und anmelden können.

• Konto: E-Mail-Adresse, Passwort (ausschließlich verschlüsselt/gehasht gespeichert), Rolle.
• Profil: Name, Telefonnummer, Geburtsdatum, Foto, Kurzvorstellung, Kleider- und Schuhgröße, Erfahrung, dein Standort (Wohnort bzw. Koordinaten), Rollen und Nachweise mit Datum, Verfügbarkeit.
• Angaben für die Anmeldung (Sozialversicherung): die Angaben, die ein Betrieb für Vertrag und Meldungen braucht.
• Auszahlung: IBAN und Kontoinhaber, damit dich der Betrieb bezahlen kann. StaffDaddy selbst zahlt nichts aus.
• Nachweise und Verifizierung: von dir hochgeladene Dokumente, z. B. zur Prüfung deiner Identität.
• Nutzung: Bewerbungen, Einladungen, Buchungen, Check-in und Check-out, Absagen, Bewertungen sowie daraus berechnete Kennzahlen (Level, Zuverlässigkeit, Stunden).

Zweck: Bereitstellung des Portals, Vermittlung von Schichten, Verifizierung und Abwicklung der Einsätze. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen), ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsschutz).

Wer was sieht. Die Sichtbarkeit richtet sich nach dem Stand deiner Zusammenarbeit:

• Betriebe, bei denen du dich beworben hast oder gebucht bist oder warst, sehen dein Profil mit Kontaktangaben, Geburtsdatum, Foto, Standort, Rollen und Nachweisen sowie deine Kennzahlen. Dasselbe sehen geprüfte Betriebe, die dich einladen oder als Stammkraft merken.
• Ab einer Zusage sieht der Betrieb zusätzlich deine Angaben für die Anmeldung und erstellt daraus seine Unterlagen. Bei einer bloßen Bewerbung sind sie nicht sichtbar.
• Sobald du bei einem Betrieb ausgecheckt hast, sieht er deine IBAN und den Kontoinhaber.
• Betriebe, die Personal für eine Schicht suchen, sehen verifizierte Arbeitskräfte in der Kandidatensuche mit Name, Level, Standort, Durchschnittsbewertung, Rollen und Nachweisen. Telefon, Geburtsdatum und Angaben für die Anmeldung gehören nicht dazu.
• Freigegebene Bewertungen, die Betriebe über dich geschrieben haben, sind für angemeldete Konten lesbar.
• Das StaffDaddy-Team sieht die Angaben, soweit es sie für Verifizierungen und Anliegen braucht.

Betriebe, die diese Angaben sehen, verarbeiten sie für ihre eigenen Zwecke, etwa um Verträge und Meldungen zu erstellen, und sind dafür selbst verantwortlich. Eine zeitliche Begrenzung der Einsicht gibt es derzeit nicht.

Speicherdauer und Löschen. Wir speichern deine Daten für die Dauer des Kontos. Du kannst dein Konto jederzeit im Profil unter „Konto löschen“ löschen. Dabei werden Profil, Kontaktdaten, Angaben für die Anmeldung, Bankdaten, Nachweise und Bewerbungen gelöscht. Bewertungen, die Betriebe über dich geschrieben haben, werden gelöscht; deine Bewertungen über Betriebe bleiben ohne Text erhalten. Künftige Einsätze werden abgesagt; der Betrieb erfährt davon ohne deinen Namen. Bereits geleistete Einsätze bleiben bei den Betrieben als Einsatzhistorie erhalten, ohne deinen Namen und ohne Kontaktdaten; dafür bleibt ein leerer, gesperrter Datensatz ohne Login bestehen. Offene Einsätze, laufende Klärungen oder Unterlagen, die ein Betrieb noch braucht, können das Löschen verzögern; wir melden dir dann, woran es liegt, und merken deinen Wunsch vor.

Unterlagen, die ein Betrieb bereits erstellt hat (z. B. Vertrag, Stundenzettel, Meldungen), liegen bei ihm und unterliegen seinen eigenen Aufbewahrungspflichten; wir können sie nicht für ihn löschen. Technische Protokolle unseres Anmeldedienstes (Supabase, Ziffer 8) löschen wir nicht einzeln; sie richten sich nach der Speicherdauer des Anbieters. Näheres regeln wir auf Anfrage über info@staffdaddy.de.

8. Auftragsverarbeiter: Supabase (Datenbank & Authentifizierung)

Für Konten, Authentifizierung und die Speicherung der Betriebs-/Tool-Daten nutzen wir Supabase (Supabase, Inc., 970 Toa Payoh North, Singapur / USA). Die Daten werden in einem Rechenzentrum in der Europäischen Union (Region Frankfurt, Deutschland)verarbeitet. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO); für etwaige Datenübermittlungen in Drittländer werden die EU-Standardvertragsklauseln bzw. ein gültiger Angemessenheitsmechanismus (z. B. EU-US Data Privacy Framework) zugrunde gelegt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

9. Adress-Suche im Arbeitgeber-Tool (OpenStreetMap / Nominatim)

Im Schicht-Formular des Arbeitgeber-Tools kannst du eine Adresse suchen. Deine Eingabe wird dabei zur Umwandlung in Koordinaten an den Geocoding-Dienst Nominatim der OpenStreetMap Foundation (St John's Innovation Centre, Cowley Road, Cambridge, Vereinigtes Königreich) übermittelt. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Es wird nur der von dir eingegebene Suchtext übertragen; gespeichert werden bei uns lediglich die ausgewählten Koordinaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Tools) bzw. lit. f DSGVO (funktionierende Standort-Suche). Nutzungsbedingungen/Datenschutz von OpenStreetMap: osmfoundation.org/wiki/Privacy_Policy.

10. Schutz vor automatisierten Anmeldungen (Cloudflare Turnstile)

Beim Registrieren, Anmelden und beim Zurücksetzen des Passworts setzen wir den Dienst Turnstile der Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) ein. Er prüft, ob ein Mensch oder ein automatisiertes Programm das Formular abschickt — in der Regel unsichtbar, nur im Verdachtsfall erscheint ein Kästchen zum Anklicken. Dazu verarbeitet Cloudflare technische Angaben wie deine IP-Adresse und Merkmale von Browser und Gerät. Das Ergebnis der Prüfung wird an unseren Anmeldedienst (Supabase, Ziffer 8) weitergegeben; wir selbst speichern dazu nichts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, Konten und Plattform vor massenhaften Fake-Anmeldungen und Angriffen zu schützen. Eine Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework. Datenschutzhinweise von Cloudflare: cloudflare.com/privacypolicy.

11. Fehler-Monitoring (Sentry)

Damit wir technische Fehler schnell bemerken und beheben können, nutzen wir den Dienst Sentry der Functional Software, Inc. (45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Tritt auf der Website oder im Portal ein Fehler auf, wird ein Fehlerbericht übermittelt: Fehlermeldung, betroffene Seite und Programmstelle, Browser- und Gerätetyp sowie der Zeitpunkt. Namen, E-Mail-Adressen, IP-Adressen, Cookies und Formularinhalte übermitteln wir nicht; Bildschirmaufzeichnungen (Session-Replays) setzen wir nicht ein. Die Berichte werden über unseren eigenen Server weitergeleitet und in einem Rechenzentrum in der Europäischen Union (Frankfurt, Deutschland) gespeichert und nach spätestens 90 Tagen gelöscht. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO); für etwaige Zugriffe aus den USA gelten die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einer stabilen, fehlerfreien Plattform. Datenschutzhinweise von Sentry: sentry.io/privacy.

12. Cookies & lokaler Speicher

Die öffentliche Website setzt keine Tracking- oder Marketing-Cookies. ImArbeitgeber- und Arbeitskräfte-Bereich speichern wir nach dem Login ein Sitzungs-Token im lokalen Speicher (localStorage) deines Browsers – dies ist für die Anmeldung technisch notwendig (Rechtsgrundlage: § 25 Abs. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b/f DSGVO). Verwendete Schriftarten werden lokal vom eigenen Server ausgeliefert; es besteht keine Verbindung zu externen Schrift-Anbietern.

13. Reichweitenmessung & Werbung

Wir zählen Seitenaufrufe cookielos und ohne Personenbezug auf unseren eigenen Servern. Gespeichert wird ausschließlich ein aggregierter Zähler je Tag, Seitenpfad und Herkunftskanal (z. B. „instagram“). Es werden keine IP-Adresse, kein User-Agent, keine Cookies und keine Kennung verarbeitet — es entsteht weder ein Personenbezug noch ein Nutzungsprofil, und es lassen sich keine einzelnen Besucher wiedererkennen. Der Pfad wird ohne Query-Parameter gespeichert.

Zweck: erkennen, welche Seiten und Kanäle Besucher bringen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Erfolgsmessung). Ein Zugriff auf dein Endgerät im Sinne des § 25 TDDDG findet nicht statt, da keine Informationen auf deinem Gerät gespeichert oder ausgelesen werden.

Zusätzlich werten wir intern aus, wie die Plattform genutzt wird — etwa wie viele Konten, Schichten und Buchungen es gibt. Grundlage sind ausschließlich Daten, die ohnehin für den Betrieb gespeichert sind; es entstehen dabei keine zusätzlichen Daten über dich, und die Auswertung erfolgt in zusammengefasster Form ohne Personenbezug. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Steuerung und Verbesserung des eigenen Angebots).

Darüber hinaus setzen wir keine Analyse- oder Werbe-Tracking-Dienste ein. Sobald wir für Kampagnen Tools wie Meta-Pixel/Conversions API, TikTok-Pixel oder ein Web-Analyse-Tool einsetzen, werden diese erst nach deiner ausdrücklichen Einwilligung über ein Cookie-/Consent-Banner geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Diese Erklärung wird dann entsprechend ergänzt.

14. Datensicherheit

Diese Seite nutzt eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du an „https://“ in der Adresszeile deines Browsers. Wir treffen angemessene technische und organisatorische Maßnahmen, um deine Daten zu schützen.

15. Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu:

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen die Verarbeitung (Art. 21), insbesondere gegen Verarbeitungen auf Grundlage berechtigter Interessen
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77)

Zur Ausübung genügt eine E-Mail an die oben genannte Adresse. Zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Rechtslage oder unsere Verarbeitung ändert (z. B. bei Aktivierung von Reichweitenmessung/Werbung). Es gilt jeweils die aktuelle, hier veröffentlichte Fassung.