Datenschutzerklärung

1. Verantwortlichkeit und Rollen

Für die Beschäftigtendaten ist der Arbeitgeber Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Er entscheidet, welche Daten erhoben werden und zu welchem Zweck. Die Sohn Solutions GmbH verarbeitet diese Daten ausschließlich in seinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO, auf Grundlage eines schriftlichen Auftragsverarbeitungsvertrags und nur nach seinen Weisungen.

Für den Betrieb der Anwendung selbst — Zugangskonten, technische Protokolle, Sicherheit — ist die Sohn Solutions GmbH Verantwortliche:

Ein Datenschutzbeauftragter ist nicht benannt. Die Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG greift erst, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Für Datenschutzanfragen gilt die oben genannte Adresse.

2. Welche Daten zu welchem Zweck

Es werden nur Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).

3. Besondere Kategorien personenbezogener Daten

Bei Abwesenheiten wird die Tatsache einer Arbeitsunfähigkeit erfasst, nicht die Diagnose. Dennoch handelt es sich um ein Gesundheitsdatum im Sinne von Art. 9 DSGVO. Grundlage ist Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG: Die Verarbeitung ist zur Erfüllung von Rechten und Pflichten aus dem Arbeitsverhältnis erforderlich. Der Zugriff ist auf die Rollen Verwaltung und Geschäftsführung begrenzt und wird protokolliert.

4. Wie lange gespeichert wird

Personenbezogene Daten werden gelöscht, sobald der Zweck entfallen ist (Art. 17 Abs. 1 lit. a DSGVO). Dem stehen gesetzliche Aufbewahrungspflichten entgegen (Art. 17 Abs. 3 lit. b DSGVO); in diesem Fall wird die Verarbeitung eingeschränkt statt gelöscht (Art. 18 DSGVO). Die folgenden Fristen sind in der Anwendung hinterlegt und werden von ihr berechnet:

Stammdaten und Personalakte

3 Jahre nach dem Ende des Arbeitsverhältnisses

§ 195 BGB (regelmäßige Verjährung)

Arbeitszeitnachweise

2 Jahre nach der Erfassung

§ 16 Abs. 2 ArbZG

Lohn- und Gehaltsunterlagen

6 Jahre nach Ende des Geschäftsjahres

§ 257 HGB, § 41 Abs. 1 EStG

Rechnungen und Buchungsbelege

10 Jahre nach Ende des Geschäftsjahres

§ 147 Abs. 3 AO (GoBD)

Qualifikationsnachweise

3 Jahre nach dem Ende des Arbeitsverhältnisses

§ 195 BGB, Nachweispflicht gegenüber dem Auftraggeber

Abwesenheiten (inkl. Arbeitsunfähigkeit)

3 Jahre nach dem Ende des Arbeitsverhältnisses

§ 195 BGB; Gesundheitsdaten nur solange erforderlich

5. Wer die Daten erhält

Die Daten werden nicht verkauft und nicht für Werbung verwendet. Eingesetzt werden ausschließlich die folgenden Dienstleister, jeweils auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO:

Darüber hinaus erhalten Daten nur Stellen, denen gegenüber eine gesetzliche oder vertragliche Pflicht besteht: die Lohnbuchhaltung beziehungsweise Steuerkanzlei des Arbeitgebers, der Auftraggeber einer Baustelle hinsichtlich der Bautagesberichte, sowie Behörden, soweit sie dazu befugt sind.

6. Assistent und Diktat

Die Anwendung enthält einen Assistenten, der Fragen zu den eigenen Daten beantwortet, und eine Diktatfunktion für Bautagesberichte. Beide nutzen Sprachmodelle externer Anbieter. Dafür gilt:

• Der Assistent arbeitet mit den Rechten der fragenden Person. Er kann nichts abrufen, was diese Person nicht ohnehin sehen darf.
• Es werden keine Unternehmensdaten dauerhaft an das Modell übergeben. Übermittelt wird nur, was eine konkrete Anfrage erfordert.
• Änderungen schlägt der Assistent vor, führt sie aber nie selbst aus. Jede Änderung wird von einem Menschen bestätigt und dabei erneut geprüft.
• Jeder Datenabruf des Assistenten wird protokolliert.
• Die Sprachaufnahme eines Diktats wird zur Umwandlung in Text übermittelt und danach nicht gespeichert. Sie kann Namen enthalten, wenn diese diktiert werden.
• Die Daten werden nicht zum Training der Modelle verwendet.

Eine automatisierte Entscheidung im Einzelfall einschließlich Profilbildung nach Art. 22 DSGVO findet nicht statt. Planungs- und Freigabeentscheidungen trifft stets ein Mensch.

7. Cookies und Reichweitenmessung

Diese Anwendung setzt kein Tracking und keine Reichweitenmessung ein. Es gibt keine Analysedienste, keine Werbenetzwerke und kein Einwilligungsbanner, weil nichts einwilligungspflichtig ist.

Gesetzt werden ausschließlich technisch notwendige Cookies, die die Anmeldesitzung halten. Ohne sie wäre eine Anmeldung nicht möglich. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich. Beim Abmelden werden sie gelöscht.

8. Sicherheit der Verarbeitung

Umgesetzt sind unter anderem (Art. 32 DSGVO):

• Trennung der Mandanten auf Datenbankebene. Jede Tabelle mit Personenbezug ist durch Zeilensicherheit geschützt; die Trennung wirkt unabhängig von der Oberfläche.
• Rollenbasierte Zugriffsrechte. Beschäftigte sehen ihre eigenen Daten, nicht die Personalakten anderer.
• Verschlüsselte Übertragung durchgehend, Dateiablagen privat und nur über zeitlich begrenzte, signierte Adressen erreichbar.
• Protokollierung datenschutzrelevanter Zugriffe mit Urheber und Zeitpunkt. Die Urheberschaft eines Protokolleintrags wird von der Datenbank erzwungen.
• Vieraugenprinzip bei der Freigabe von Arbeitszeiten: Wer eine Zeit erfasst hat, kann sie nicht selbst freigeben.
• Datenhaltung ausschließlich in Rechenzentren innerhalb der Europäischen Union (Frankfurt am Main).

9. Ihre Rechte

Betroffene Personen haben gegenüber dem Verantwortlichen das Recht auf:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen eine Verarbeitung, die auf einem berechtigten Interesse beruht (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung, mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für Beschäftigtendaten richten Sie diese Rechte an Ihren Arbeitgeber als Verantwortlichen. Die Anwendung unterstützt ihn dabei: Sie kann eine vollständige Datenauskunft zu einer Person erzeugen und ihre Löschfristen berechnen.

Unabhängig davon besteht ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig für den Anbieter ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf.

10. Pflicht zur Bereitstellung

Die Verarbeitung der Arbeitszeit- und Stammdaten ist zur Durchführung des Arbeitsverhältnisses und zur Erfüllung gesetzlicher Pflichten erforderlich. Ohne diese Daten können Arbeitszeitnachweis und Lohnabrechnung nicht erstellt werden. Eine Einwilligung ist dafür nicht die Grundlage und wird deshalb auch nicht erbeten.

11. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert — etwa wenn ein weiterer Dienstleister hinzutritt. Maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand.