Datenschutzerklärung

Diese Datenschutzerklärung informiert über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten im Rahmen des internen Dienstplan-Systems. Sie richtet sich an alle Mitarbeiter:innen, die im System erfasst sind und Zugriff darauf haben.

1. Verantwortlicher

Verantwortliche Stelle im Sinne der DSGVO ist:

E-Mail-Kontakt für Datenschutzfragen: über den Inhaber persönlich oder per Telefon.

2. Was ist das Dienstplan-System?

Das Dienstplan-System ist eine interne Webapplikation, die ausschließlich für die Personaleinsatzplanung der Mag. Martin Sturm e.U. (Trafik Sturm) in Wiener Neustadt verwendet wird. Es ist erreichbar unter https://dienstplan.trafiksturm.at und nur über Login mit Name und persönlichem Passwort zugänglich.

3. Welche Daten werden verarbeitet?

Folgende personenbezogene Daten werden im System gespeichert:

• Name (Vor- und Nachname)
• Geburtsdatum (zur Geburtstags-Anzeige, optional)
• Vertraglich vereinbarte Soll-Wochenstunden
• Persönliches Passwort (verschlüsselt gespeichert — Klartext ist NICHT einsehbar, auch nicht durch den Inhaber)
• Geplante und tatsächlich gearbeitete Arbeitszeiten (Schichten)
• Urlaubsanträge, genehmigte/abgelehnte Urlaube, Urlaubsstand
• Krankenstände (Zeitraum, optional kurze Notiz)
• Schichttausch-Anfragen mit anderen Mitarbeiter:innen
• Login-Aktivität (Zeitpunkt erfolgreicher und fehlgeschlagener Logins, IP-Adresse, Browser-Kennung — zur Sicherheits-Auditierung)
• Audit-Log über Änderungen (wer hat wann was geändert)

4. Zweck der Verarbeitung

• Erstellung und Verwaltung des wöchentlichen Dienstplans
• Verwaltung von Urlauben und Krankenständen im Rahmen des Arbeitsverhältnisses
• Berechnung und Nachweis der geleisteten Arbeitszeit (Stunden-Saldo)
• Ermöglichung der Mitarbeiter-Selbstverwaltung (z.B. Urlaub anfragen, Schichten tauschen)
• Vorbereitung der Lohnabrechnung (auf Basis der Arbeitszeit-Daten)
• Sicherheitsüberwachung des Systems (Fehlversuche, ungewöhnliche Zugriffe)

5. Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO: Erfüllung des Arbeitsvertrags
• Art. 6 Abs. 1 lit. c DSGVO: Erfüllung rechtlicher Verpflichtungen (Arbeitszeitaufzeichnungspflicht nach AZG, Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigtes Interesse an effizienter Personalplanung und IT-Sicherheit

6. Empfänger der Daten

Daten werden grundsätzlich NICHT an Dritte weitergegeben. Folgende Ausnahmen gelten:

• Hosting-Dienstleister: World4You Internet Services GmbH, Linz (technischer Betrieb des Servers, vertraglich als Auftragsverarbeiter gebunden)
• Steuerberater / Lohnverrechnung: Übermittlung von Arbeitszeit-Daten zum Zweck der Lohnabrechnung
• Behörden: nur auf gesetzliche Anordnung

Keine Übermittlung in Drittländer außerhalb der EU.

7. Speicherdauer

• Lohn- und Arbeitszeit-Daten: 7 Jahre nach Ende des Beschäftigungsverhältnisses (§ 132 BAO)
• Login-Aktivität: 12 Monate
• Audit-Log: 24 Monate
• Nach Ablauf werden die Daten gelöscht oder anonymisiert.

8. Sicherheit der Daten

Folgende technische und organisatorische Maßnahmen schützen die Daten:

• Verschlüsselte Übertragung (HTTPS / TLS-Zertifikat von Let's Encrypt)
• Passwörter werden ausschließlich als kryptografischer Hash (bcrypt) gespeichert
• Server-Login nur per SSH-Schlüssel (kein Passwort-Login)
• Firewall blockiert nicht-benötigte Ports
• Fail2ban sperrt automatisch IP-Adressen mit zu vielen Fehlversuchen
• Automatische Sicherheits-Updates des Betriebssystems
• Tägliches Backup der Datenbank
• Zugriff auf Server-Ebene nur durch den Inhaber

9. Rechte der Mitarbeiter:innen

Jede:r Mitarbeiter:in hat folgende Rechte gegenüber dem Verantwortlichen:

• Auskunftsrecht (Art. 15 DSGVO): Auskunft über die gespeicherten personenbezogenen Daten
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO): Löschung, soweit keine Aufbewahrungspflicht entgegensteht
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Erhalt der eigenen Daten in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO): gegen Verarbeitung auf Basis berechtigter Interessen

Zur Ausübung dieser Rechte: persönlich oder schriftlich an Martin Sturm (Inhaber) wenden.

10. Beschwerderecht

Mitarbeiter:innen haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. In Österreich:

11. Änderungen dieser Erklärung

Diese Datenschutzerklärung kann bei Änderungen am System oder gesetzlicher Anforderungen aktualisiert werden. Mitarbeiter:innen werden über wesentliche Änderungen informiert.