Datenschutzhinweise für die hypeGuard-Plattform
Für wen diese Hinweise gelten
(1) Diese Hinweise gelten, wenn du die hypeGuard-Plattform nutzt: die Webanwendung, das Kundenportal (portal.hypeguard.de) und die hypeGuard-Apps (Mitarbeiter-App, AccessControl, Onsite, Warehouse und Scan-Station). Für unsere Website
www.hypeguard.de gilt die Datenschutzerklärung der
Website.
(2) hypeGuard wird von Unternehmen eingesetzt, um Personal und Einsätze zu
planen. Für die Daten, die ein solches Unternehmen in hypeGuard verarbeitet, zum Beispiel
deine Stammdaten als Mitarbeiterin oder Mitarbeiter, deine Schichten und deine
Arbeitszeiten, ist dieses Unternehmen verantwortlich. Wir verarbeiten diese Daten in
seinem Auftrag (Artikel 28 DSGVO). Fragen dazu und deine Rechte hinsichtlich dieser Daten
richtest du bitte an das Unternehmen, für das du hypeGuard nutzt.
(3) Diese Hinweise
beschreiben, welche Daten wir selbst verarbeiten, um die Plattform bereitzustellen, sicher
zu betreiben und zu verbessern.
Verantwortliche Stelle
(1) Verantwortlich für die in diesen Hinweisen beschriebene Verarbeitung ist die hypeGuard
GmbH, Prenzlauer Allee 52, 10405 Berlin.
(2) Unser Datenschutzteam erreichst du unter
hypeGuard GmbH, Prenzlauer Allee 52, 10405 Berlin, E-Mail: service[at]hypeguard.de
(3)
Zuständige Aufsichtsbehörde ist die Berliner Beauftragte für Datenschutz und
Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin.
Hosting und Protokolldaten
(1) Die Plattform wird bei Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, 1855
Luxemburg („AWS“) in Rechenzentren in Frankfurt am Main betrieben. AWS verarbeitet die
Daten in unserem Auftrag.
(2) Bei jedem Aufruf verarbeiten wir die Daten, die dein
Browser oder die App übermittelt:
- deine IP-Adresse
- Datum und Uhrzeit des
Aufrufs
- die aufgerufene Adresse und den Statuscode
- Informationen über Browser,
Betriebssystem und Gerät
Diese Daten speichern wir in Protokollen für bis zu 365 Tage,
um den Betrieb sicherzustellen, Fehler zu finden und Angriffe abzuwehren.
(3)
Rechtsgrundlage ist Artikel 6 Absatz 1 b) DSGVO, soweit die Verarbeitung für die
Bereitstellung der Plattform erforderlich ist, im Übrigen unser berechtigtes Interesse an
einem sicheren Betrieb (Artikel 6 Absatz 1 f) DSGVO).
Anmeldung und Sitzungen
(1) Für die Anmeldung verarbeiten wir deine E-Mail-Adresse, dein Passwort und, falls eingerichtet, die Angaben zur Zwei-Faktor-Anmeldung.
(2)
Zu jeder aktiven Sitzung speichern wir Browser, Betriebssystem, den aus der IP-Adresse
abgeleiteten ungefähren Standort (Land, Stadt, Zeitzone) und den Zeitpunkt der letzten
Nutzung. Du kannst deine aktiven Sitzungen in deinem Konto einsehen.
(3)
Rechtsgrundlage ist Artikel 6 Absatz 1 b) DSGVO sowie unser berechtigtes Interesse am
Schutz der Konten (Artikel 6 Absatz 1 f) DSGVO).
Cookies und lokaler Speicher
(1) Die Plattform setzt ausschließlich Cookies und Einträge im lokalen Speicher deines
Browsers, die für die Nutzung technisch erforderlich sind. Ein Cookie-Banner gibt es
deshalb nicht. Rechtsgrundlage ist § 25 Absatz 2 Nr. 2 TDDDG in Verbindung mit Artikel 6
Absatz 1 b) DSGVO.
(2) Wir setzen folgende Cookies:
- „access-token“ (20 Minuten),
„refresh-token“ (30 Tage) und „tenant-token“ (30 Tage): halten dich angemeldet und
merken sich das gewählte Unternehmen
- „mfa-challenge-token“ (5 Minuten): begleitet
die Zwei-Faktor-Anmeldung
- „device-trust-token“ (30 Tage): nur wenn du ein
Gerät als vertrauenswürdig markierst, damit dort keine erneute Zwei-Faktor-Abfrage
nötig ist
- „PHPSESSID“ und „notificationblocker“ (bis zum Schließen des Browsers):
Sitzung und Anzeige von Hinweisen
- „lastwidth“ (30 Tage): merkt sich die
Fensterbreite für die Darstellung
(3) Im lokalen Speicher deines Browsers legen wir
Einstellungen der Oberfläche ab, zum Beispiel Sprache, helles oder dunkles Design,
Filter, Tabellenansichten und zuletzt verwendete Suchtreffer. Diese Einträge bleiben in
deinem Browser und werden nicht an Dritte übermittelt.
Fehleranalyse mit Sentry
(1) Um Fehler zu erkennen und zu beheben, nutzen wir den Dienst „Sentry“ der Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA.
(2) Tritt ein Fehler auf,
werden technische Angaben an Sentry übermittelt:
- Fehlermeldung und betroffene
Stelle im Programm
- die aufgerufene Adresse und der Ablauf bis zum Fehler
-
Informationen über Browser, Betriebssystem und Gerät
- der Name des Unternehmens,
für das du hypeGuard nutzt, sowie technische Kennungen (in der Mitarbeiter-App deine Nutzer- und Mitarbeiterkennung, in den übrigen Apps die Kennung des Geräts)
- je nach Fehler die Daten der fehlgeschlagenen Anfrage
Schlägt der Versand einer
E-Mail fehl, wird zusätzlich die E-Mail-Adresse des Empfängers übermittelt. Die Übermittlung aus deinem Browser läuft über unsere eigenen Server; Sentry erhält deine IP-Adresse dabei nicht. Die Apps übermitteln direkt an Sentry; dabei wird auch die IP-Adresse des Geräts übertragen.
(3) Im Kundenportal zeichnen wir bei einem
Teil der Sitzungen (10 Prozent) und bei jedem Fehler den Ablauf der Bedienung auf
(„Session Replay“). Texte und Eingaben werden dabei im Browser unkenntlich gemacht,
bevor die Aufzeichnung übermittelt wird; erkennbar bleiben Aufbau der Seite, Klicks und
Mausbewegungen.
(4) Sentry verarbeitet die Daten in unserem Auftrag auf Servern in
den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der Europäischen
Kommission zum EU-U.S. Data Privacy Framework, unter dem Sentry zertifiziert ist, sowie auf Standardvertragsklauseln.
(5) Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen und
fehlerfreien Plattform (Artikel 6 Absatz 1 f) DSGVO).
Leistungsmessung mit Honeycomb
(1) Um Antwortzeiten zu messen und Engpässe zu finden, übermitteln unsere Server einen
Teil der Anfragen (10 Prozent) als technische Messdaten an den Dienst „Honeycomb“ der
Hound Technology, Inc., 548 Market Street #25362, San Francisco, CA 94104, USA.
(2) Übermittelt werden Art und Ziel der Anfrage, der Statuscode, die Dauer der einzelnen Verarbeitungsschritte und die Adressen der Dienste, die unsere Server dabei aufrufen. Tritt ein Fehler auf, wird auch die Fehlermeldung übermittelt.
(3) Honeycomb
verarbeitet die Daten in unserem Auftrag auf Servern in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework, unter dem Honeycomb zertifiziert ist.
(4) Rechtsgrundlage
ist unser berechtigtes Interesse an einer leistungsfähigen Plattform (Artikel 6 Absatz 1
f) DSGVO).
Karten von OpenStreetMap
(1) An einigen Stellen zeigt die Plattform Karten an, zum Beispiel bei Spielstätten,
Standorten und Einsatzorten. Das Kartenmaterial stammt von der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich.
(2) Wenn du eine solche Karte öffnest, lädt
dein Browser die Kartenbilder direkt von den Servern der OpenStreetMap Foundation. Dabei
werden deine IP-Adresse, Informationen über deinen Browser und der angezeigte
Kartenausschnitt übermittelt.
(3) Rechtsgrundlage ist unser berechtigtes Interesse an
einer anschaulichen Darstellung von Orten (Artikel 6 Absatz 1 f) DSGVO). Weitere
Informationen: https://osmfoundation.org/wiki/Privacy_Policy
Umwandlung von Adressen in Koordinaten
(1) Damit Orte auf der Karte angezeigt und Entfernungen berechnet werden können, wandeln
wir Adressen in Koordinaten um. Dafür nutzen wir den Dienst „LocationIQ“ der Unwired Labs (India) Pvt Ltd, Jubilee Hills, Hyderabad 500096, Indien, über dessen Server in der Europäischen Union.
(2) Übermittelt wird nur die jeweilige Adresse (Straße, Hausnummer,
Postleitzahl, Ort, Land), ohne Namen. Das betrifft Adressen von Spielstätten, Lagern und
Check-in-Punkten sowie Wohnadressen von Mitarbeitenden, die ein Unternehmen in hypeGuard
hinterlegt hat.
(3) Soweit dabei Daten verarbeitet werden, die ein Unternehmen in
hypeGuard hinterlegt hat, geschieht das in dessen Auftrag.
Statusanzeige
(1) Die Webanwendung bindet eine Statusanzeige ein, die auf Störungen und Wartungen
hinweist. Sie wird über den Dienst „Statuspage“ der Atlassian Pty Ltd, Level 6, 341 George Street, Sydney, NSW 2000, Australien, bereitgestellt.
(2) Dein Browser lädt die Anzeige
direkt von den Servern von Atlassian. Dabei werden deine IP-Adresse und Informationen
über deinen Browser übermittelt.
(3) Rechtsgrundlage ist unser berechtigtes Interesse,
dich schnell über Störungen zu informieren (Artikel 6 Absatz 1 f) DSGVO).
E-Mails der Plattform
(1) Die Plattform versendet E-Mails, zum Beispiel Einladungen, Hinweise zu Schichten und
Links zum Zurücksetzen des Passworts. Für den Versand nutzen wir Amazon Web Services
(Anschrift siehe „Hosting und Protokolldaten“) und Mailjet (Mailjet SAS, 43 rue de Dunkerque, 75010 Paris, Frankreich). Beide verarbeiten deine E-Mail-Adresse,
deinen Namen und den Inhalt der Nachricht in unserem Auftrag. Unternehmen können für den
Versand auch einen eigenen Mailserver hinterlegen.
(2) Wir erfassen, ob eine E-Mail
zugestellt und ob sie geöffnet wurde. Zum Erkennen der Öffnung enthält die E-Mail ein
kleines, unsichtbares Bild, das beim Öffnen von Servern von AWS geladen wird. AWS verarbeitet dabei deine IP-Adresse und Informationen über dein E-Mail-Programm; wir speichern nur, dass und wann die E-Mail geöffnet wurde.
Wenn dein E-Mail-Programm Bilder nicht automatisch lädt, findet diese Erfassung nicht
statt. Links in den E-Mails werden nicht nachverfolgt.
(3) Den Zustellstatus kann das Unternehmen einsehen, für das du hypeGuard nutzt. Ob und wann du eine E-Mail geöffnet hast, sieht nur unser Support, um Fragen zur Zustellung zu klären. Rechtsgrundlage ist das berechtigte Interesse an einer verlässlichen Zustellung (Artikel 6 Absatz 1 f) DSGVO).
Nutzung der Apps
(1) Die Apps greifen nur dann auf Funktionen deines Geräts zu, wenn du das über die
Abfrage deines Geräts erlaubst. Du kannst die Erlaubnis in den Einstellungen deines
Geräts jederzeit zurücknehmen; die jeweilige Funktion steht dann nicht mehr zur
Verfügung.
- Kamera: zum Scannen von QR-Codes, etwa bei der Zutrittskontrolle oder
der Anmeldung am Gerät
- NFC: zum Lesen von NFC-Tags und Ausweisen, etwa beim
Check-in. Gelesen wird nur die Kennung des Tags.
- Standort: siehe Absatz (2)
-
Kalender (Mitarbeiter-App): um Schichten auf deinen Wunsch in deinen Kalender
einzutragen. Der Eintrag bleibt auf deinem Gerät.
- Gesichts- oder
Fingerabdruckerkennung (Mitarbeiter-App): um geschützte Dokumente zu öffnen. Die
Prüfung übernimmt dein Gerät; wir erhalten keine biometrischen Daten.
(2) Deinen
Standort verarbeiten die Apps wie folgt:
- Check-in mit Standort (Mitarbeiter-App):
Die App vergleicht auf deinem Gerät, ob du dich in der Nähe des Check-in-Punkts
befindest. Dein Standort wird dabei nicht an uns übertragen.
- Positionsmeldung
(Mitarbeiter-App): Nur wenn das Unternehmen, für das du arbeitest, diese Funktion für
eine Schicht aktiviert hat und du während der Schicht die Meldung auslöst, wird dein
Standort einmalig mit Zeitpunkt übertragen. Eine laufende Ortung findet nicht
statt.
- Lager-Scans (Warehouse): Zu jedem Scan wird der Standort des Geräts
zusammen mit Zeitpunkt und der Kennung der angemeldeten Person gespeichert und
übertragen.
Die übertragenen Standortdaten verarbeiten wir im Auftrag des
Unternehmens, für das du hypeGuard nutzt.
(3) Damit die Apps auch ohne
Netzverbindung funktionieren, speichern sie Daten auf dem Gerät. In der Mitarbeiter-App
sind das deine Anmeldedaten, deine Schichten, Nachrichten und zuletzt geöffnete
Dokumente; sie werden beim Abmelden gelöscht, zwischengespeicherte Dokumente nach
spätestens 24 Stunden. AccessControl, Onsite und Warehouse laufen auf Geräten des
Unternehmens und halten dort die für den Einsatz nötigen Listen vor, zum Beispiel
Namen, Fotos und Qualifikationen der eingeplanten Personen.
(4) Die Apps
übermitteln technische Angaben zum Gerät an unsere Server: eine von der App erzeugte
Gerätekennung, den Gerätenamen, die Version der App, das Betriebssystem und bei
Geräten des Unternehmens den Akkustand.
(5) Wenn du in der Mitarbeiter-App den
Ort einer Schicht in einer Karten-App öffnest oder einen Kalendereintrag erstellst,
gibst du die Adresse an die jeweilige App auf deinem Gerät weiter, zum Beispiel an
Google Maps. Dafür gelten die Datenschutzhinweise des jeweiligen Anbieters.
(6)
Rechtsgrundlage für den Zugriff auf Funktionen deines Geräts ist deine Einwilligung
(§ 25 Absatz 1 TDDDG), im Übrigen Artikel 6 Absatz 1 b) DSGVO.
Aktualisierung der Apps
(1) Die Apps AccessControl, Onsite, Warehouse und Scan-Station können kleinere
Korrekturen direkt laden, ohne dass eine neue Version aus dem App-Store installiert
werden muss. Dafür nutzen wir den Dienst „Shorebird“ der Code Town, Inc., USA.
(2)
Bei jedem Start fragt die App bei den Servern von Shorebird an, ob eine Korrektur
vorliegt. Dabei werden die IP-Adresse des Geräts, die Kennung und Version der App,
Betriebssystem und Prozessortyp sowie eine zufällige Kennung der Installation
übermittelt. Angaben zu deiner Person gehören nicht dazu.
(3) Shorebird verarbeitet
die Daten auf Servern in den USA. Rechtsgrundlage ist unser berechtigtes Interesse,
Fehler in den Apps schnell zu beheben (Artikel 6 Absatz 1 f) DSGVO).
Push-Benachrichtigungen
(1) Wenn du in der hypeGuard-App Benachrichtigungen erlaubst, senden wir sie über den
Dienst „Firebase Cloud Messaging“ der Google Ireland Limited, Gordon House, Barrow
Street, Dublin 4, Irland.
(2) Dabei werden eine Kennung deines Geräts sowie
Titel und Text der Benachrichtigung an Google übermittelt.
(3) Rechtsgrundlage ist
deine Einwilligung (Artikel 6 Absatz 1 a) DSGVO), die du über die Einstellungen deines
Geräts erteilst und dort jederzeit widerrufen kannst.
Feedback-Portal
(1) Über den Menüpunkt „Feedback“ gelangst du zu unserem Feedback-Portal
(feedback.hypeguard.de). Es wird von der CORDNET OÜ, Kaluri tee 4-32, Haabneeme alevik,
Viimsi vald, 74001 Harju maakond, Estland („Featurebase“) in unserem Auftrag
betrieben.
(2) Damit du dich dort nicht erneut anmelden musst, übermitteln wir beim
Wechsel deinen Namen, deine E-Mail-Adresse, deine Nutzerkennung, deine Sprache sowie die
Namen der Unternehmen, für die du hypeGuard nutzt. Das geschieht nur, wenn du den
Menüpunkt aufrufst.
(3) Rechtsgrundlage ist unser berechtigtes Interesse, Rückmeldungen
zur Plattform einfach entgegenzunehmen (Artikel 6 Absatz 1 f) DSGVO).
Speicherdauer
Wir speichern die in diesen Hinweisen genannten Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Protokolle löschen wir nach spätestens 365 Tagen. Über die Speicherdauer der Daten, die ein Unternehmen in hypeGuard verarbeitet, entscheidet dieses Unternehmen.
Deine Rechte
(1) Du hast das Recht auf Auskunft (Artikel 15 DSGVO), Berichtigung (Artikel 16 DSGVO),
Löschung (Artikel 17 DSGVO), Einschränkung der Verarbeitung (Artikel 18 DSGVO) und
Datenübertragbarkeit (Artikel 20 DSGVO). Außerdem kannst du dich bei einer
Datenschutzaufsichtsbehörde beschweren (Artikel 77 DSGVO).
(2) Soweit wir Daten auf
Grundlage berechtigter Interessen verarbeiten (Artikel 6 Absatz 1 f) DSGVO), kannst du
der Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit
widersprechen (Artikel 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit
Wirkung für die Zukunft widerrufen.
(3) Für die in diesen Hinweisen beschriebene
Verarbeitung erreichst du uns unter service[at]hypeguard.de. Für Daten, die ein
Unternehmen in hypeGuard über dich verarbeitet, wende dich bitte an dieses
Unternehmen.
Änderungen dieser Hinweise
Wir entwickeln die Plattform laufend weiter. Wenn sich dadurch ändert, wie wir deine Daten verarbeiten, passen wir diese Hinweise an.