Anmelden
← Startseite

Datenschutzerklärung

Stand: 6. November 2026

Worum es hier geht

Hier erfährst du, welche Arten personenbezogener Daten (kurz „Daten“) wir verarbeiten, wozu wir das tun und in welchem Umfang. Das gilt für alle Verarbeitungen durch uns: wenn wir unsere Leistungen erbringen und vor allem auf unserer Webplattform (kurz „Onlineangebot“). Personenbezeichnungen meinen immer alle Geschlechter.

Wer verantwortlich ist

Constantin Beyna
Becherwaldstraße 35
79249 Merzhausen
Deutschland
E-Mail: info@mevorius.de

Mehr zum Anbieter steht im Impressum. Für Daten innerhalb einer Organisation liegt die Verantwortung bei der Organisation; dort handeln wir in ihrem Auftrag. Das erklären wir unter Daten innerhalb einer Organisation.

Einen Datenschutzbeauftragten haben wir nicht benannt.

Die Verarbeitung auf einen Blick

Bevor es ins Einzelne geht: Dieser Überblick nennt die Arten von Daten, die Zwecke und die betroffenen Personen.

Welche Daten: Vor- und Nachname, E-Mail-Adresse und Geburtsdatum, freiwillig Telefonnummer und Anschrift; Schichtpläne, Verfügbarkeiten, Abwesenheiten und Einladungen einer Organisation; Anmeldedaten; der Nachweis des Vertragsschlusses; Rechnungsangaben; Nachrichten an uns; IP-Adressen, Zeitpunkte, Browser und Betriebssystem beim Zugriff.

Wen es betrifft: Besucher des Onlineangebots, Nutzer mit Konto, Mitglieder und Eingeladene von Organisationen, Personen, die für eine Organisation Verträge schließen oder Rechnungen entgegennehmen, und alle, die uns schreiben.

Wozu: Wir brauchen die Daten, um das Onlineangebot bereitzustellen und abzusichern, Konten zu führen und Anmeldungen durchzuführen, Schichtpläne im Auftrag von Organisationen zu verarbeiten, E-Mails zu verschicken, Verträge zu schließen und abzurechnen und Anfragen zu beantworten.

Dein Nutzerkonto

Konto anlegen

Du kannst bei uns ein Nutzerkonto anlegen. Welche Angaben dafür Pflicht sind, nennen wir dir bei der Registrierung. Wir verarbeiten sie, um dir das Konto bereitzustellen und unsere vertragliche Pflicht zu erfüllen. Die Bereitstellung deiner Daten ist gesetzlich nicht vorgeschrieben; ohne die Pflichtangaben gibt es kein Konto. Deine Login-Informationen sind E-Mail-Adresse und Passwort. Das Passwort liegt nur bei Auth0; wir sehen und speichern es nicht.

Vor- und Nachname sind im Nutzerkonto Pflicht. Wir zeigen sie in deinen Organisationen an (siehe Daten innerhalb einer Organisation). Grundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Auch dein Geburtsdatum ist im Nutzerkonto Pflicht. Wir erheben es, wenn du dein Profil vervollständigst, und prüfen damit das Mindestalter von 16 Jahren. Trittst du einer Organisation bei, übernehmen wir das Geburtsdatum in die Mitgliedschaft und halten es dort aktuell; die Organisation pflegt es nicht. Innerhalb der Organisation sehen es nur Administratoren und Inhaber. Nach dem Vervollständigen korrigieren wir es auf Anfrage. Auch das stützen wir auf Art. 6 Abs. 1 lit. b DSGVO.

Eine automatisierte Entscheidung nach Art. 22 DSGVO treffen wir nicht; das Mindestalter ist eine Voraussetzung der Registrierung.

Profile sind öffentlich weder sichtbar noch zugänglich.

E-Mail-Adresse bestätigen

Du kannst die Plattform nur mit einer bestätigten E-Mail-Adresse nutzen. Bis dahin gibt es kein Nutzerkonto, und nach der Anmeldung siehst du nur eine Hinweisseite mit deiner Adresse.

Registrierst du dich über den Knopf in einer Einladungsmail mit genau der eingeladenen Adresse, brauchst du keine Bestätigungs-E-Mail: Die Einladung ging an diese Adresse, und wir vermerken sie bei Auth0 als bestätigt. Das gilt nur für einen neu angelegten Zugang ohne Nutzerkonto. Wir stützen das auf Art. 6 Abs. 1 lit. b DSGVO.

In allen anderen Fällen fordern wir bei einer Registrierung mit E-Mail und Passwort nach deiner ersten Anmeldung bei Auth0 eine Bestätigungs-E-Mail an; eine neue kannst du selbst anfordern, höchstens eine je drei Minuten. Dafür speichern wir deine Kennung bei Auth0 und wann die letzte Anforderung war. Sind die drei Minuten um, entfernt beides der nächste Löschlauf; er läuft bei jeder Anforderung und einmal täglich. Möchtest du eine andere Adresse registrieren, kannst du den noch nicht bestätigten Zugang bei Auth0 selbst löschen.

Anmeldungen und Zugriffe

Beim Nutzerkonto speichern wir den Zeitpunkt deiner letzten Anmeldung. IP-Adresse und Zeitpunkt von Anmeldungen und Fehlversuchen protokolliert Auth0, Zugriffe auf das Onlineangebot protokolliert Vercel. Daran haben wir und auch die Nutzer ein berechtigtes Interesse: den Schutz vor Missbrauch und unbefugter Nutzung. Grundsätzlich geben wir diese Daten nicht an Dritte weiter, außer wir brauchen sie zur Verfolgung von Ansprüchen oder sind gesetzlich dazu verpflichtet.

Über Vorgänge rund um dein Konto, zum Beispiel technische Änderungen, informieren wir dich per E-Mail.

Zustimmung zu den AGB

Beim Konto halten wir den letzten Stand fest: welcher Fassung der AGB du wann zugestimmt hast, welche Fassung der Datenschutzerklärung dir beim Abschluss deines Profils angezeigt wurde und, wenn es einen Hinweis auf eine geänderte Fassung gab, welche du wann zur Kenntnis genommen hast. Den Wortlaut jeder dieser Fassungen bewahren wir auf; die Angaben zu deinem Konto löschen wir mit dem Konto. Das beruht auf Art. 6 Abs. 1 lit. f und lit. b DSGVO.

Kalender-Abo

Unter „Meine Schichten“ kannst du als Mitglied je Schichtplan einen persönlichen Link erzeugen. Damit ruft ein Kalenderdienst deiner Wahl ohne Anmeldung deine eigenen veröffentlichten Schichten ab. Der Abruf liefert Datum, Uhrzeit, Bereich und Notiz der Schicht sowie den Namen der Organisation und des Plans. Wer den Link kennt, kann das abrufen.

Der Link liefert keine Daten, solange dein Konto gesperrt ist, deine Mitgliedschaft pausiert oder beendet ist, die Schichtplanung für die Organisation abgeschaltet ist oder der Plan für Mitglieder nicht sichtbar ist; Administratoren und Inhaber bekommen auch aus einem für Mitglieder nicht sichtbaren Plan weiter Daten. Nach der Aufhebung, auch nach einer erneuten Einladung, liefert er wieder Daten. Ungültig wird der Link, wenn du als Mitglied einen neuen erzeugst oder wenn dein Konto, der Schichtplan oder die Organisation gelöscht wird.

Was der gewählte Kalenderdienst mit den Daten macht, verantwortet dessen Anbieter.

Kündigung und Löschung

Kündigst du, löschen wir die Daten zu deinem Nutzerkonto, es sei denn, ein Gesetz erlaubt oder verlangt etwas anderes oder du hast eingewilligt. Dir gegenüber schulden wir keine Aufbewahrung: Was während der Vertragsdauer gespeichert wurde, dürfen wir mit der Löschung des Kontos unwiederbringlich löschen; gesetzliche Aufbewahrungspflichten bleiben. Eine Kopie bekommst du vorher auf Anforderung (siehe Deine Rechte). Beides beruht auf Art. 6 Abs. 1 lit. b DSGVO. In Protokollen können technische Kennnummern ohne Namen bleiben, bis Plan oder Organisation gelöscht sind.

Für Registrierung und Konto insgesamt

Zum Konto speichern wir Vor- und Nachname, E-Mail-Adresse, Geburtsdatum, deine Kennung bei Auth0 und die Anmeldeart, den Zeitpunkt der letzten Anmeldung und den Stand deiner Zustimmung; Telefonnummer und Anschrift nur, wenn du sie im Profil angibst. Dazu kommen die Zugriffsdaten, die unter Betrieb der Plattform stehen. Das betrifft dich als Nutzer. Die Daten dienen dazu, dir Konto und Onlineangebot bereitzustellen, unsere vertraglichen Leistungen zu erbringen und Konten vor Missbrauch zu schützen. Grundlage sind Art. 6 Abs. 1 lit. f und lit. b DSGVO. Für die Löschung gelten Wie lange wir Daten aufbewahren und die Regeln zur Kündigung oben.

Anmeldung über Auth0 und Google

Auth0

Anmeldungen, Sitzungen und Authentifizierungsabläufe laufen über die technische Infrastruktur von Auth0. Auth0 verarbeitet dabei Login-Informationen, IP-Adressen und Sitzungsdaten. Die Daten deines Auth0-Kontos liegen in der Region EU. Wird dein Konto gelöscht, wird auch dein Konto bei Auth0 gelöscht.

Auth0 verschickt außerdem E-Mails, um deine Adresse zu bestätigen, dein Passwort zurückzusetzen und dir Sicherheitshinweise zu geben; der Versand läuft über Resend. Nach wiederholten Fehlversuchen gibt es eine vorübergehende Sperre, und du bekommst eine Benachrichtigung mit einem Link zum Entsperren.

Anbieter ist Okta, Inc., 100 First Street, Floor 6, San Francisco, CA 94105, USA. Wir stützen das auf Art. 6 Abs. 1 lit. b und lit. f DSGVO. Für die Übermittlung in die USA gelten das Data Privacy Framework (DPF) und Standardvertragsklauseln (SCC), mehr dazu unter Wer Daten bekommt, auch außerhalb der EU. Weiteres: auth0.com, Datenschutzhinweise von Okta.

Anmelden mit dem Konto eines anderen Anbieters

Beim Single Sign-On meldest du dich mit dem Konto eines anderen Anbieters an; bei uns ist das Google. Dazu musst du dort registriert sein. Du gibst dann dort deine Zugangsdaten ein oder bestätigst per Schaltfläche, wenn du dort schon angemeldet bist.

Die Authentifizierung läuft direkt beim Anbieter. Von ihm erhalten wir eine Nutzer-ID mit der Information über deine Anmeldung dort. Welche weiteren Daten wir bekommen, steht unten. Dein Passwort beim Anbieter können wir nicht einsehen, und wir speichern es nicht.

Beim Anlegen deines Kontos übernehmen wir Vor- und Nachname, soweit der Anbieter sie übermittelt. Später tun wir das nur, solange im Konto keiner eingetragen ist. Weitere Angaben gleichen wir nicht ab.

Deine E-Mail-Adresse ist die Kennung deines Kontos und deiner Mitgliedschaften. Bei uns lässt sie sich nicht ändern. Änderst du sie beim Anbieter, kannst du dich mit diesem Konto nicht mehr anmelden. Für eine andere Adresse brauchst du ein neues Konto und eine erneute Einladung der Organisationen. Das alte Konto löschst du selbst im Profil oder auf Anfrage an info@mevorius.de.

Soll die Verknüpfung enden, hebst du sie beim Anbieter auf. Um deine Daten bei uns zu löschen, kündigst du deine Registrierung.

Wir stützen uns dabei auf das, was im oder vor dem Vertrag vereinbart ist, auf deine Einwilligung, wenn wir sie erbeten haben, und sonst auf berechtigte Interessen an einer wirksamen und sicheren Anmeldung, auch die der Nutzer.

Verarbeitet werden hier die Kennung beim Anbieter, die E-Mail-Adresse, die Angabe, ob sie bestätigt ist, und Vor- und Nachname. Das betrifft dich als Nutzer. Die Daten dienen der Anmeldung, der Sicherheit und unseren vertraglichen Leistungen. Für die Löschung gilt Wie lange wir Daten aufbewahren, nach einer Kündigung außerdem das, was unter Dein Nutzerkonto steht. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Anmeldung mit Google

Für die Anmeldung mit Google gibt es bei Google eine eigene Anwendung Mevorius. Diese fragt nur die Kennung deines Google-Kontos, deine E-Mail-Adresse und dein Basisprofil an. Google übermittelt an Auth0 die Kennung, die E-Mail-Adresse, ob diese bei Google bestätigt ist, und, soweit vorhanden, Vor- und Nachname sowie die Adresse des Profilbilds. Davon übernehmen wir die E-Mail-Adresse sowie Vor- und Nachname nach der Regel oben; das Profilbild zeigen wir nicht an und speichern es nicht, seine Adresse steht nur im Anmelde-Cookie.

Die Anmeldung bei Google verarbeitet Google in eigener Verantwortung: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Wir stützen uns auf Art. 6 Abs. 1 lit. f und lit. b DSGVO. Für die Drittlandübermittlung gilt das DPF. Weiteres: google.de, Datenschutzhinweise von Google.

Daten innerhalb einer Organisation

Die Organisation ist verantwortlich, wir handeln im Auftrag

Zu den Daten innerhalb einer Organisation zählen Schichtpläne, Verfügbarkeiten, Abwesenheiten, Einladungen und Mitgliederdaten. Verantwortlich dafür ist die Organisation; wir verarbeiten sie als Auftragsverarbeiter in ihrem Auftrag (Art. 28 DSGVO). Einzelheiten, auch zu Speicherung und Löschung, regelt der Auftragsverarbeitungsvertrag (AVV) zwischen Mevorius und der Organisation. Was du nicht selbst angibst, stammt aus der Organisation: Mitgliederdaten pflegen ihre Administratoren und Inhaber, eine Einladung samt E-Mail-Adresse legt die einladende Person an, und die Ansprechperson für Rechnungen nennt uns die Organisation. An wen du dich mit einem Anliegen zu diesen Daten wendest, steht unter Deine Rechte.

Wer was sieht

  • Namen: Mitglieder sehen die Vor- und Nachnamen der Personen in den für sie sichtbaren Schichten. Welche das sind, legt die Organisation fest, über veröffentlichte Wochen und Bereiche und die Sichtbarkeitseinstellungen des Plans.
  • Schichttausch: Angezeigt werden die Namen möglicher Tauschpartner. Die Beteiligten einer Tauschanfrage sehen die andere Seite, auch in den E-Mails dazu.
  • E-Mail-Adresse eines Mitglieds: nur für Administratoren und Inhaber, zu sehen in der Mitgliederverwaltung und beim Übertragen der Inhaberschaft, außerdem als Zusatz zum Namen, wenn mehrere Mitglieder gleich heißen. Diesen Zusatz enthalten auch E-Mails an Administratoren und Inhaber.
  • Geburtsdatum: für Administratoren und Inhaber, wegen der Schutzvorschriften für Minderjährige.
  • Abwesenheiten: für andere Mitglieder nicht sichtbar.
  • Einladungen: Eingeladene sehen die Namen der Organisation und der einladenden Person.

Abwesenheiten und Gesundheitsdaten

Die Abwesenheitsverwaltung kennt Abwesenheitstypen, die einen Rückschluss auf die Gesundheit zulassen können (Krankmeldung). Das gilt auch für den Freitext zum Grund einer Abwesenheit und für den Grund, mit dem ein Antrag abgelehnt wird. Damit können besondere Kategorien nach Art. 9 DSGVO betroffen sein. Sichtbar sind diese Angaben nur für die betroffene Person sowie für Administratoren und Inhaber der Organisation; in den Protokolleinträgen zu Abwesenheitsvorgängen stehen die Gründe nicht.

E-Mail-Benachrichtigungen zu Abwesenheiten nennen weder die Art noch den Grund. Darin stehen der Zeitraum und, je nach Anlass, der Name der antragstellenden Person, die Entscheidung oder die Rücknahme der Genehmigung. Wer Zugang zur Organisation hat, bekommt dazu einen Link in die Plattform.

All das verarbeiten wir im Auftrag der Organisation. Als Verantwortliche sorgt sie für eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO, zum Beispiel die arbeitsrechtliche Erforderlichkeit (lit. b) oder eine ausdrückliche Einwilligung (lit. a). Einzelheiten stehen im AVV zwischen Mevorius und der Organisation. Die Fristen für Protokolleinträge und Anhänge findest du unter Wie lange wir Daten aufbewahren.

Verträge, Plattformleistung und Abrechnung

Geschäftsbeziehungen

Kunden, Auftraggeber und Interessenten nennen wir hier zusammen „Vertragspartner“. Deren Daten verarbeiten wir, um einen Vertrag anzubahnen, durchzuführen und abzuwickeln, für vorvertragliche Maßnahmen auf Anfrage und für die Kommunikation dazu. Das gilt für einmalige wie für laufende Verträge und für Haupt- wie Nebenpflichten: die vereinbarten Leistungen, Aktualisierungs- und Informationspflichten, Leistungsstörungen und Gewährleistung, Widerruf, Kündigung, Rückabwicklung und Erstattung, Erklärungen und Anfragen.

Dafür verarbeiten wir Name und E-Mail-Adresse der handelnden Personen, Name und Anschrift des Unternehmens, Gegenstand und Laufzeit des Vertrags mit der Stufe der Organisation, Zahlungs- und Abrechnungsangaben und den Verlauf der Kommunikation dazu. Betroffen sind die Personen, die für einen Vertragspartner handeln.

Wir nutzen die Daten, um die vertraglichen Leistungen zu erbringen und abzurechnen, die Buchhaltung zu führen und Anfragen zum Vertrag zu beantworten. Daneben wahren wir damit eigene Rechte und erfüllen gesetzliche Pflichten: Aufbewahrung nach Handels- und Steuerrecht, Dokumentation, Nachweis und Rechenschaft.

Soweit es für den Vertrag oder unsere Pflichten nötig ist, können externe Dienstleister beteiligt sein: Steuer- und Rechtsberatung, Banken und Zahlung, IT und Telekommunikation sowie Erfüllungsgehilfen. An Dritte geben wir Daten nur weiter, wenn der Vertrag, vorvertragliche Maßnahmen, berechtigte Interessen oder eine gesetzliche Pflicht das tragen. Für Marketing oder Weitergehendes nutzen wir sie nur, wenn wir gesondert darüber informieren.

Welche Angaben erforderlich sind, teilen wir dir bei der Erhebung mit, zum Beispiel durch eine Kennzeichnung im Formular oder persönlich.

Gelöscht wird, wenn der Zweck weggefallen ist und keine Aufbewahrungspflicht besteht; Handels- und Steuerrecht kann eine längere Aufbewahrung verlangen. Daten aus einem Auftrag löschen wir nach Abschluss und Fristablauf, sofern keine weitere Pflicht besteht. Im Übrigen gilt Wie lange wir Daten aufbewahren.

Für den Vertrag und vorvertragliche Maßnahmen stützen wir uns auf Art. 6 Abs. 1 lit. b DSGVO, für unsere Pflichten auf Art. 6 Abs. 1 lit. c DSGVO und für berechtigte Interessen auf Art. 6 Abs. 1 lit. f DSGVO. Diese Interessen sind die Durchsetzung und Abwehr von Ansprüchen, die IT- und Datensicherheit, die Verhinderung von Missbrauch und Betrug, eine ordentliche Verwaltung und Dokumentation, die wirtschaftliche Steuerung und die Weiterentwicklung des Onlineangebots.

Software und Plattform

Als Software- und Plattformleistung verarbeiten wir Daten der angemeldeten Nutzer, um die vertragliche Leistung zu erbringen, abzurechnen und Rücksprache zu halten. Sicherheit und Weiterentwicklung sind dabei unsere berechtigten Interessen. Pflichtangaben sind beim Vertragsschluss gekennzeichnet. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Abrechnung bezahlter Stufen

Für Organisationen in einer bezahlten Stufe verarbeiten wir Unternehmensname, Rechnungsanschrift, Ansprechperson und die E-Mail-Adresse für Rechnungen sowie Rechnungen, Mahnungen und Zahlungseingänge. Diese Angaben laufen per E-Mail und liegen außerhalb des Onlineangebots in der Buchhaltung; in der Plattform steht nur die Stufe der Organisation. Für Rechnungen und Buchungsbelege gelten die handels- und steuerrechtlichen Fristen unter Wie lange wir Daten aufbewahren. Grundlage sind Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Nachweis des Vertragsschlusses (Vertragsbedingungen und AVV)

Bei der Erstellung einer Organisation speichern wir Name und E-Mail-Adresse der Person, die die Organisation anlegt, ihre IP-Adresse, den Zeitpunkt und die Fassungen der Vertragsbedingungen für Organisationen und des Auftragsverarbeitungsvertrags (AVV), die sie angenommen hat, als Nachweis des Vertragsschlusses in unserer Datenbank; dazu gehört ihre Bestätigung, für ein Unternehmen mit Sitz in Deutschland zu handeln und es vertreten zu dürfen. Bestätigt später eine Inhaberin, ein Inhaber oder eine bevollmächtigte Administratorin bzw. ein bevollmächtigter Administrator eine geänderte Fassung des AVV, speichern wir dieselben Angaben zu dieser Bestätigung. Die Angaben erhält die annehmende Person zur Bestätigung per E-Mail. Der Nachweis bleibt gespeichert, bis die Organisation gelöscht wird, auch wenn die annehmende Person ihr Nutzerkonto vorher löscht. Die Speicherung dient dem Nachweis des Vertragsschlusses.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c und lit. f DSGVO.

Betrieb der Plattform

Beim Aufruf des Onlineangebots

Damit wir das Onlineangebot bereitstellen können, verarbeiten wir Daten der Nutzer. Die IP-Adresse ist nötig, um Inhalte an deinen Browser oder dein Gerät zu liefern. Dabei fallen IP-Adressen, Zeitpunkte, aufgerufene Seiten und Dateien, die Kennung von Browser und Betriebssystem an, außerdem Logfiles zu Anmeldungen und Zugriffen; bei Fehlern können sie technische Kennnummern enthalten.

Das betrifft Besucher und Nutzer. Wir verarbeiten diese Daten, um das Onlineangebot bereitzustellen, Systeme und Server zu betreiben und für Sicherheit zu sorgen. Speicherplatz, Rechenkapazität und Software mieten wir von einem Webhoster. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Für die Löschung gilt Wie lange wir Daten aufbewahren.

Server-Logfiles

Bei Zugriffen entstehen Server-Logfiles. Darin stehen Methode, Pfad und Parameter der Anfrage, Datum und Uhrzeit, der Statuscode, Host, die Kennung von Browser und Betriebssystem (User-Agent) und die Region, die die Anfrage bearbeitet hat; verarbeitet wird dabei auch die IP-Adresse. Wir brauchen sie für die Sicherheit, um Überlastung zu vermeiden (auch durch DDoS) und für Auslastung und Stabilität. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO. In unserem Konto bei Vercel stehen die Logfiles höchstens 30 Tage. Ausgenommen sind Logfiles, die wir zu Beweiszwecken brauchen, bis der Vorfall geklärt ist. Wie lange Vercel Daten für eigene Zwecke aufbewahrt, regeln dessen Datenschutzhinweise.

Content-Delivery-Network

Dateien und Skripte liefern wir über ein Content-Delivery-Network aus, also über regional verteilte Server. Das macht die Auslieferung schneller und sicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Vercel

Webhosting und Content-Delivery-Network übernimmt Vercel und verarbeitet dabei Zugriffsdaten und Logfiles. Anbieter ist Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Für die Übermittlung in die USA gilt das DPF. Weiteres: vercel.com, Datenschutzhinweise von Vercel.

Neon

Plattformbezogene personenbezogene Daten liegen in einer PostgreSQL-Datenbank, die Neon für uns hostet. Physisch liegt sie bei AWS in der Region eu-central-1 (Frankfurt, Deutschland). Anbieter ist Databricks, Inc., 160 Spear Street, Suite 1300, San Francisco, CA 94105, USA, die Muttergesellschaft der Neon, LLC. Wir stützen das auf Art. 6 Abs. 1 lit. b und lit. f DSGVO. Für die Drittlandübermittlung gelten das DPF und SCC. Weiteres: neon.com, Datenschutzhinweise von Databricks.

Vercel Blob

Dateianhänge, vor allem zu Abwesenheitsanträgen, liegen im Dateispeicher Vercel Blob. Darunter können auch besondere Kategorien personenbezogener Daten sein (Art. 9 DSGVO, vor allem Gesundheit), sofern solche Dateien hochgeladen werden. Beim Absenden überträgt dein Browser die Datei direkt in den Speicher; abgerufen wird sie über unsere Plattform.

Eine hochgeladene Datei ohne Zuordnung zu einem Antrag (etwa weil der Antrag nicht abgeschickt wurde) wird automatisch im täglichen Löschlauf gelöscht, sobald sie älter als 24 Stunden ist. Für zugeordnete Anhänge gelten die Fristen unter Wie lange wir Daten aufbewahren.

Physisch liegt der Speicher in der Region FRA1 (Frankfurt, Deutschland). Das Unternehmen sitzt in den USA: Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO. Für die Drittlandübermittlung gilt das DPF. Weiteres: vercel.com, Datenschutzhinweise von Vercel.

Wetterangaben im Schichtplan

Hinterlegt eine Organisation in ihren Einstellungen eine Postleitzahl, zeigen wir im Schichtplan die Wettervorhersage für diesen Ort. Dazu ermitteln wir auf unseren Servern aus der Postleitzahl die Koordinaten des Ortes und rufen von dort die Vorhersage beim Dienst Bright Sky ab, der Daten des Deutschen Wetterdienstes bereitstellt. Bright Sky erhält dabei nur die Koordinaten, den Zeitraum und die Zeitzone der Vorhersage sowie das Zeitfenster des Abrufs, keine Angaben zu Nutzern oder Mitgliedern; der Browser der Nutzer verbindet sich nicht mit diesem Dienst. Ohne Postleitzahl findet kein Abruf statt. Die Postleitzahl speichern wir bei der Organisation, bis sie entfernt oder die Organisation gelöscht wird.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die Website des Dienstes: brightsky.dev.

Cookies und Speicher im Browser

Welche Cookies wir setzen

Cookies speichern Informationen auf deinem Gerät und lesen sie wieder aus. Wir setzen ausschließlich technisch notwendige Cookies ein (§ 25 Abs. 2 Nr. 2 TDDDG), keine Reichweiten- oder Marketing-Cookies.

  • Anmelde-Cookie: Unser eigenes permanentes Cookie hält deine Sitzung bei Mevorius. Es enthält verschlüsselt Name, E-Mail-Adresse, die Adresse des Profilbilds, eine Sitzungskennung und Anmelde-Tokens. Beim Abmelden verschwindet es; sonst hält es höchstens 14 Tage ab der letzten Nutzung und höchstens 30 Tage ab der Anmeldung.
  • Cookies beim Anmeldevorgang: Die Anmeldung selbst übernimmt Auth0. Währenddessen gibt es kurzlebige Cookies mit dem verschlüsselten Zustand des Vorgangs, die mit dem Abschluss gelöscht werden, spätestens nach einer Stunde.
  • Einladungs-Cookie: Nimmst du eine Einladung an, bevor dein Profil vollständig ist oder du den AGB zugestimmt hast, steht die Einladung in einem weiteren Cookie, bis der Beitritt ausgeführt ist, längstens sieben Tage.

Alle drei Arten bleiben nach dem Schließen des Browsers gespeichert, bis eine dieser Fristen endet. Das betrifft Besucher und Nutzer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Widersprechen kannst du nach dem Gesetz, auch über die Privatsphäre-Einstellungen deines Browsers.

localStorage und sessionStorage

Daneben nutzen wir localStorage und sessionStorage für funktionale Einstellungen der Oberfläche: Anzeigemodus, Suchfilter. In der Regel sind das keine personenbezogenen Daten. Freitext in einem Suchfilter kann personenbezogene Begriffe enthalten; er wird nicht an unsere Server übermittelt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 S. 1 lit. f DSGVO.

Wenn du uns schreibst

Schreibst du uns über das Formular oder per E-Mail, auch in einer bestehenden Beziehung, verarbeiten wir deine Angaben, soweit das für die Antwort und die angefragten Maßnahmen nötig ist: deinen Namen, deine E-Mail-Adresse und das, was du uns mitteilst. Wir nutzen sie nur für die Antwort, die Bearbeitung deines Anliegens und die Kommunikation dazu.

Das betrifft alle, die uns schreiben. Für all das gelten Art. 6 Abs. 1 lit. f und lit. b DSGVO. Für die Löschung gilt Wie lange wir Daten aufbewahren.

IONOS: unser E-Mail-Postfach

Anfragen aus dem Formular und E-Mails an info@mevorius.de empfangen und beantworten wir über ein Postfach bei IONOS. IONOS verarbeitet dabei die Inhalte und die Adressen von Absendern und Empfängern. Anbieter ist IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland. Wir stützen uns auf Art. 6 Abs. 1 lit. b und lit. f DSGVO. Weiteres: ionos.de, Datenschutzhinweise von IONOS.

Resend: E-Mail-Versand

Transaktionale E-Mails verschicken wir über Resend, zum Beispiel Einladungen, Benachrichtigungen, Anfragen aus dem Formular und die E-Mails von Auth0 (Bestätigung, Passwort, Sicherheitshinweise). Resend verarbeitet dabei Empfängeradressen und den Inhalt. Anbieter ist Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA. Wir stützen uns auf Art. 6 Abs. 1 lit. b und lit. f DSGVO. Für die Übermittlung in die USA gelten das DPF und SCC. Weiteres: resend.com, Datenschutzhinweise von Resend.

Wer Daten bekommt, auch außerhalb der EU

Daten bekommen die Dienste, die diese Erklärung nennt: Vercel, Databricks (Neon), Okta (Auth0), Resend und IONOS, bei der Anmeldung mit Google auch Google. Für Verträge und Abrechnung kommen die Dienstleister unter Verträge, Plattformleistung und Abrechnung hinzu. Dabei beachten wir die gesetzlichen Vorgaben. Einen Vertrag zur Auftragsverarbeitung haben wir mit Okta, Resend, Databricks (Neon) und IONOS.

Was als Drittland gilt

Drittland ist alles außerhalb von EU und EWR. Daten gehen dorthin nur nach den gesetzlichen Vorgaben, auch wenn das durch Dienste Dritter oder durch eine Offenlegung geschieht. Du erkennst es an der Anschrift des Anbieters oder an einem ausdrücklichen Hinweis.

USA

Worauf die Übermittlung in die USA beruht, steht bei jedem Anbieter: bei Okta, Resend und Databricks (Neon) das Data Privacy Framework (DPF) und Standardvertragsklauseln (SCC), bei Vercel und Google das DPF. Eine Kopie der SCC bekommst du auf Anfrage an info@mevorius.de.

Zum DPF hat die EU-Kommission am 10.07.2023 einen Angemessenheitsbeschluss gefasst, der für teilnehmende Unternehmen gilt; die Liste zertifizierter Unternehmen führt das US-Handelsministerium: https://www.dataprivacyframework.gov/ (englisch). SCC sind Vertragsklauseln nach den Vorgaben der EU-Kommission.

Andere Drittländer

Für andere Drittländer gelten entsprechende Sicherungen, vor allem SCC, eine ausdrückliche Einwilligung oder eine gesetzlich erforderliche Übermittlung. Informationen bietet die EU-Kommission.

Wie lange wir Daten aufbewahren

Grundregeln

Wir löschen Daten nach den gesetzlichen Vorgaben, sobald eine Einwilligung widerrufen ist oder keine Rechtsgrundlage mehr besteht, der Zweck also entfallen ist oder die Daten nicht mehr nötig sind. Anders ist es nur, wenn gesetzliche Pflichten oder besondere Interessen entgegenstehen. Dazu gehören die Aufbewahrung nach Handels- und Steuerrecht und die Archivierung zur Rechtsverfolgung oder zum Schutz der Rechte anderer Personen.

Zusätzliche Angaben zu Speicherung und Löschung stehen in den Abschnitten zu den einzelnen Verarbeitungen. Gelten für dieselben Daten mehrere Fristen, zählt die längste. Daten, die wir nur noch aufbewahren, nutzen wir nur noch für den Grund der Aufbewahrung.

Gesetzliche Fristen

  • 3 Jahre: Daten für mögliche Gewährleistungs-, Schadensersatz- und ähnliche Vertragsansprüche und Anfragen dazu, nach der regelmäßigen Verjährung (§§ 195, 199 BGB).
  • 6 Jahre: übrige Geschäftsunterlagen, also empfangene Handels- und Geschäftsbriefe und Kopien abgesandter sowie steuerlich bedeutsame Unterlagen (Kassenstreifen, Stundenlohnzettel, Lohnabrechnung ohne Belegfunktion, Betriebsabrechnungsbögen, Kalkulation, Preisauszeichnung); § 147 Abs. 1 Nr. 2, 3, 5 i.V.m. Abs. 3 AO, § 257 Abs. 1 Nr. 2 u. 3 i.V.m. Abs. 4 HGB.
  • 8 Jahre: Buchungsbelege (Rechnungen, Kostenbelege); § 147 Abs. 1 Nr. 4 und 4a i.V.m. Abs. 3 Satz 1 AO, § 257 Abs. 1 Nr. 4 i.V.m. Abs. 4 HGB.
  • 10 Jahre: Bücher, Aufzeichnungen, Inventare, Eröffnungsbilanz, Jahresabschlüsse und Lageberichte sowie die Arbeitsanweisungen und Organisationsunterlagen dazu; § 147 Abs. 1 Nr. 1 i.V.m. Abs. 3 AO, § 14b Abs. 1 UStG, § 257 Abs. 1 Nr. 1 i.V.m. Abs. 4 HGB.

Wann eine Frist beginnt

Eine Frist von einem Jahr oder länger ohne genanntes Datum beginnt am Ende des Kalenderjahres, in dem das auslösende Ereignis liegt. Bei laufenden Vertragsverhältnissen ist dieses Ereignis das Wirksamwerden der Kündigung oder ein sonstiges Ende.

Protokoll zu Abwesenheitsvorgängen

Protokolleinträge zu Abwesenheitsvorgängen in Schichtplänen bewahren wir 12 Monate auf. Ein Eintrag nennt, wer wann was getan hat: Abwesenheit anlegen, ändern, löschen, genehmigen, ablehnen oder zurücknehmen. Auch wann ein offener Antrag verfallen ist, steht darin. Als Vorher- oder Nachher-Stand enthält er nur Zeitraum und Abwesenheitstyp. So bleibt der Vorgang nachvollziehbar, auch nachdem die Abwesenheit gelöscht ist. Angegebene Gründe und hochgeladene Anhänge protokollieren wir nicht. Für einen Abwesenheitstyp, der einen Rückschluss auf die Gesundheit zulassen kann, gilt dieselbe Frist.

Die 12 Monate sind eine Höchstspeicherdauer und gehen der Regel vor, dass die längste Frist zählt. Eine frühere Löschung bleibt möglich.

Anhänge zu Abwesenheitsanträgen

  • Antrag ohne Entscheidung: 30 Tage ab dem letzten Tag des beantragten Zeitraums.
  • Abgelehnter Antrag oder zurückgenommene Genehmigung: 30 Tage ab dem Tag der Entscheidung.
  • Genehmigter Antrag: 12 Monate ab dem letzten Tag des beantragten Zeitraums.

Abweichend von der Regel oben zum Fristbeginn beginnt die Frist hier mit dem Ende des genannten Tages. 12 Monate enden am Tag mit derselben Zahl im zwölften Monat danach; fehlt dieser Tag, am letzten Tag dieses Monats. Gelöscht wird in den täglichen Löschläufen danach; der Antrag selbst bleibt. Ziehst du einen offenen Antrag zurück, löschen wir ihn samt Anhängen sofort.

Auch diese Fristen sind Höchstspeicherdauern und gehen der Regel vor, dass die längste Frist zählt. Eine frühere Löschung bleibt möglich, etwa zusammen mit dem Nutzerkonto oder der Organisation.

Worauf wir uns rechtlich stützen

Wir verarbeiten Daten auf den Rechtsgrundlagen der DSGVO. Daneben können nationale Vorgaben in deinem Wohn- oder Sitzland gelten. Ist im Einzelfall eine speziellere Grundlage maßgeblich, nennen wir sie im Text.

  • Vertrag (Art. 6 Abs. 1 S. 1 lit. b DSGVO): Die Verarbeitung ist für einen Vertrag nötig oder für vorvertragliche Maßnahmen, um die du uns gebeten hast.
  • Rechtliche Pflicht (Art. 6 Abs. 1 S. 1 lit. c DSGVO): Wir müssen als Verantwortlicher eine rechtliche Verpflichtung erfüllen.
  • Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO): Die Verarbeitung wahrt berechtigte Interessen von uns als Verantwortlichem oder von Dritten, und deine Interessen, Grundrechte und Grundfreiheiten überwiegen nicht.
  • Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO): Du hast für bestimmte Zwecke eingewilligt.

Zusätzlich gilt deutsches Recht, vor allem das BDSG. Es enthält Sonderregeln zu Auskunft, Löschung, Widerspruch, besonderen Kategorien, Zweckänderung, Übermittlung sowie automatisierter Entscheidung und Profiling. Gegebenenfalls kommen Landesdatenschutzgesetze hinzu.

Wie wir Daten schützen

Die Rechenzentren betreiben unsere Dienstleister oder deren Infrastrukturanbieter; dort liegt auch die physische Zugangskontrolle.

Direkten Zugriff auf die Produktionsdaten hat von unserer Seite nur der Betreiber der Plattform. Datenbank und Dateispeicher von Entwicklung und Produktion sind getrennt.

Verbindungen sind per TLS verschlüsselt (HTTPS), zwischen deinem Browser und der Website oder App und auch zwischen Servern. Du erkennst das an HTTPS in der Adresse.

Um Missbrauch zu begrenzen, zählen wir Anfragen je IP-Adresse nur im Arbeitsspeicher unserer Server: beim Kontaktformular, bei Einladungen, beim Anlegen einer Organisation, beim Bestätigen des AVV, beim Löschen eines Kontos, beim Kalender-Abo, beim Hochladen von Anhängen und bei Sicherheitsberichten des Browsers (Art. 6 Abs. 1 lit. f DSGVO).

Anfragen zu deinen Rechten laufen über info@mevorius.de. Die Löschfristen für Anhänge und für das Protokoll zu Abwesenheitsvorgängen setzen tägliche Läufe um. Bei einer Datenpanne gehen wir nach Art. 33 und 34 DSGVO vor.

Deine Rechte

Dir stehen Rechte zu, vor allem aus Art. 15 bis 21 DSGVO.

Dein Widerspruchsrecht

Aus Gründen, die sich aus deiner besonderen Situation ergeben, kannst du jederzeit einer Verarbeitung deiner Daten widersprechen, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht. Das gilt auch für darauf gestütztes Profiling.

Der Verarbeitung für Direktwerbung kannst du jederzeit widersprechen, auch dem Profiling dazu.

Widerruf einer Einwilligung

Erteilte Einwilligungen kannst du jederzeit widerrufen.

Deine weiteren Rechte

  • Auskunft: Du kannst nach dem Gesetz eine Bestätigung verlangen, ob wir Daten von dir verarbeiten, dazu Auskunft über diese Daten, weitere Informationen und eine Kopie.
  • Berichtigung: Du kannst verlangen, dass wir Daten berichtigen oder vervollständigen.
  • Löschung und Einschränkung: Du kannst nach dem Gesetz verlangen, dass wir Daten unverzüglich löschen oder ersatzweise ihre Verarbeitung einschränken.
  • Datenübertragbarkeit: Daten, die du selbst bereitgestellt hast, kannst du nach dem Gesetz strukturiert, in einem gängigen und maschinenlesbaren Format erhalten oder an einen anderen Verantwortlichen übermitteln lassen.

So übst du deine Rechte aus

Es reicht eine formlose Nachricht an info@mevorius.de. Auf diesem Weg bekommst du auch die Kopie deiner Daten; eine Funktion zum Herunterladen gibt es im Onlineangebot nicht.

Geht es um Daten, die wir im Auftrag einer Organisation verarbeiten (siehe Daten innerhalb einer Organisation), ist die Organisation dein Ansprechpartner. Fragst du bei uns an, leiten wir die Anfrage an die Organisation weiter und unterstützen sie bei der Antwort.

Beschwerde bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe kannst du dich bei einer Aufsichtsbehörde beschweren, vor allem in dem Mitgliedstaat deines Aufenthalts, deines Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes. Zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart

Änderung und Aktualisierung

Informiere dich bitte regelmäßig über den Inhalt dieser Erklärung. Wir passen sie an, wenn sich unsere Verarbeitungen ändern. Wir informieren dich, sobald dafür deine Mitwirkung, etwa eine Einwilligung, oder eine individuelle Benachrichtigung nötig ist.

Nennt eine neue Fassung einen neuen Zweck der Verarbeitung, einen neuen Empfänger, einen geänderten Weg zu deinen Rechten oder eine geänderte Rechtsgrundlage, weisen wir angemeldete Nutzer beim nächsten Aufruf unseres Onlineangebots darauf hin.

Adressen von Unternehmen und Organisationen, die wir hier nennen, können sich ändern. Prüfe sie deshalb, bevor du Kontakt aufnimmst.