Lars Overmeyer · Flaps Software
Villastraße 7a, 64342 Seeheim-Jugenheim
E-Mail: info@schichtwerk.app

Schichtwerk verarbeitet Daten in zwei Rollen. Für die Daten unserer Kunden (Inhaber und Administratoren eines Betriebs), für Abrechnung und Support sowie für Besucher dieser Website sind wir selbst verantwortlich. Die Daten, die ein Betrieb in Schichtwerk über seine Beschäftigten und Gäste verarbeitet (zum Beispiel Dienstpläne, Arbeitszeiten, Abwesenheiten, Reservierungen), verarbeiten wir im Auftrag des Betriebs (Art. 28 DSGVO). Verantwortlich ist dafür der jeweilige Betrieb als Arbeitgeber bzw. Gastgeber. Wenn du als Beschäftigte oder Beschäftigter Fragen zu deinen Daten hast, wende dich bitte zuerst an deinen Arbeitgeber. Wir unterstützen ihn dabei.

Unsere Datenbank, die Anmeldung und die Dateiablage betreibt Supabase in einem Rechenzentrum in Irland (EU, Region eu-west-1). Website und Apps liefert Netlify, Inc. (USA) aus. Dabei werden technische Zugriffsdaten wie IP-Adresse, Zeitpunkt und Geräteangaben verarbeitet. Programmbibliotheken laden die Apps teils von jsDelivr und cdnjs (Cloudflare), dabei sieht der Anbieter deine IP-Adresse. Alle sind für uns als Auftragsverarbeiter tätig. Soweit Daten in die USA gelangen, stützen wir das auf das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Wir zählen Seitenaufrufe mit einem eigenen Verfahren, ohne Cookies und ohne Speicherung auf deinem Gerät. Zur Erkennung mehrfacher Aufrufe am selben Tag bilden wir aus IP-Adresse und Browserkennung mit einem täglich neuen Zufallswert eine Prüfsumme. IP-Adresse und Browserkennung speichern wir nicht, der Zufallswert wird nach dem Tag gelöscht, die Zähldaten (Seite, Herkunft, Gerätetyp) nach 13 Monaten. Bei „Global Privacy Control“ oder „Do Not Track“ zählen wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Reichweite unserer Website verstehen).

Kontaktformular: Was du ins Formular schreibst (Name, E-Mail, Nachricht), nutzen wir nur zur Beantwortung. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst.

Auf unserer Website kannst du einem Chat-Assistenten Fragen zu Schichtwerk stellen. Deine Eingaben übermitteln wir zur Beantwortung an Anthropic (USA), auf Grundlage der EU-Standardvertragsklauseln. Bitte gib dort keine persönlichen Daten ein. Der Gesprächsverlauf bleibt in deinem Browser. Zum Schutz vor Missbrauch speichern wir höchstens 48 Stunden einen verschlüsselten Kurzwert deiner IP-Adresse. An uns geht ein Gespräch nur, wenn du das Kontaktformular absendest und zustimmst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Für ein Konto verarbeiten wir Name, E-Mail-Adresse und ein verschlüsseltes Passwort. Zur Anmeldung schicken wir dir einen Code per E-Mail. Meldest du dich mit Apple oder Google an, erhalten wir von dort Name, E-Mail-Adresse und eine Kontokennung. Löschst du dein Konto, widerrufen wir die Apple-Anmeldung automatisch. Beim Zustimmen zu Nutzungsbedingungen und AVV speichern wir Zeitpunkt, IP-Adresse und Browserkennung als Nachweis (die IP-Adresse ermittelt dabei der Dienst ipify, USA). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für den Nachweis lit. c und f.

System-E-Mails (Anmeldecode, Willkommen, Abo, Support) versenden wir über Resend (Plus Five Five, Inc., USA) als Auftragsverarbeiter, Absender noreply@mail.schichtwerk.app. Unsere Postfächer (info@ und support@schichtwerk.app) liegen bei IONOS SE (Deutschland).

Im Auftrag des Betriebs verarbeiten wir Schichten, Arbeitszeiten mit Pausen, Wunschzeiten, Urlaub und Abwesenheiten, Urlaubskonten, Stundensätze und Auszahlungen, Bereiche, Standorte, Dokumente und Nachrichten an das Team. Änderungen an Arbeitszeiten werden mit Zeitpunkt und Urheber protokolliert, damit der Betrieb seine Aufzeichnungspflichten erfüllen kann (z. B. § 17 MiLoG). Rechtsgrundlage für den Betrieb: Art. 6 Abs. 1 lit. b und c DSGVO.

Krankmeldung mit Foto: Beschäftigte können eine Krankmeldung melden und freiwillig ein Foto der Arbeitsunfähigkeitsbescheinigung hochladen. Das sind Gesundheitsdaten (Art. 9 DSGVO). Sehen können sie nur die Person selbst und die Administratoren ihres Betriebs, gespeichert wird in der EU. Rechtsgrundlage: Art. 9 Abs. 2 lit. b DSGVO. Das Foto wird mit den übrigen Unterlagen nach Ablauf der Aufbewahrungsfrist gelöscht, früher, wenn der Betrieb es löscht.

Standort im Handwerk: In Betrieben der Branche Handwerk fragt die App beim Ein- und Ausstempeln nach dem Standort, nur während der Nutzung und nur mit deiner Erlaubnis. Die Koordinaten verlassen dein Gerät nicht. Gespeichert wird nur, ob du auf der Baustelle warst (ja, nein oder ohne Angabe). In der Gastronomie wird kein Standort abgefragt.

Im Bereich für Chefs kannst du die Assistentin SIA nutzen und einen alten Dienstplan als Foto oder Tabelle einlesen lassen. Dafür übermitteln wir deine Eingabe und die für die Antwort nötigen Betriebsdaten (zum Beispiel Vornamen und Namen der Beschäftigten, Schichten, Wunschzeiten, Abwesenheiten) an Anthropic (USA). Krankmeldungen werden dabei nur als „abwesend“ ohne Grund und ohne Notiz übermittelt. Anthropic verarbeitet die Daten als Unterauftragsverarbeiter nur, um die Antwort zu erzeugen, und nutzt sie nicht zum Training. Den Gesprächsverlauf speichern wir nicht dauerhaft. Grundlage der Übermittlung in die USA: EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für Beschäftigtendaten im Auftrag des Betriebs.

Für Push-Mitteilungen speichern wir eine Gerätekennung (Token). Die Mitteilung selbst (zum Beispiel Schichtzeit oder ein Vorname bei einem Tauschangebot) wird über den Dienst des Betriebssystems zugestellt: bei Android über Google Firebase Cloud Messaging (Google, USA), beim iPhone über den Apple Push Notification Service (Apple Inc., USA). Du kannst Push-Mitteilungen jederzeit in den Einstellungen deines Geräts abschalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zahlungen wickelt Stripe ab. Dafür geben wir Name, E-Mail-Adresse, Firmenname, Rechnungsadresse und gegebenenfalls deine USt-IdNr. an Stripe weiter. Karten- und Kontodaten gibst du direkt bei Stripe ein, sie erreichen uns nicht. Beim Bezahlen setzt Stripe Cookies zur Betrugsvorbeugung (__stripe_mid, __stripe_sid). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung der Rechnungen lit. c. Stripe verarbeitet Zahlungsdaten teils in eigener Verantwortung, es gilt ergänzend die Datenschutzerklärung von Stripe.

• Adresssuche: Gibst du eine Betriebsadresse ein, fragen wir über unseren Server Photon (Komoot) und Nominatim (OpenStreetMap) ab. Dabei geht nur der Adresstext, nicht deine IP-Adresse an diese Dienste.
• Wetter im Plan: Die Vorhersage lädt dein Browser direkt bei Open-Meteo für die Koordinaten des Betriebs. Dabei sieht der Dienst deine IP-Adresse.
• Bewertungen des Betriebs: Auf Wunsch zeigen wir Google-Bewertungen des Betriebs an (Google Places, USA). Übermittelt werden nur Name und Ort des Betriebs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Löschst du dein Konto, entfernen wir Konto, Anmelde- und Gerätedaten, Chat-Nachrichten, Wunschzeiten und Kontaktdaten sofort. Unterlagen, die dein Arbeitgeber gesetzlich aufbewahren muss (Arbeitszeiten, Korrekturen, Monatsabgaben, Urlaub und Krankmeldungen, Auszahlungen, Dokumente), bleiben gesperrt beim Betrieb, bis die Frist abgelaufen ist: 6 Jahre ab Ende des Kalenderjahres, mindestens 2 Jahre (§ 16 ArbZG, § 17 MiLoG, § 41 EStG). Danach löschen wir sie automatisch. Kündigt ein Betrieb, löschen wir seine Daten 30 Tage nach Vertragsende. Vorher kann er sie exportieren, die Aufbewahrung ist danach seine Aufgabe. Rechnungen bewahren wir selbst 8 Jahre auf (§ 147 AO, § 14b UStG).

Deine Daten erhalten nur die oben genannten Dienstleister, jeweils für den genannten Zweck. Wir verkaufen keine Daten und nutzen sie nicht für Werbung. Anbieter in den USA setzen wir nur mit geeigneten Garantien ein (EU-US Data Privacy Framework oder EU-Standardvertragsklauseln nach Art. 46 DSGVO). Eine Kopie der Garantien bekommst du auf Anfrage.

• Auskunft über gespeicherte Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung deiner Daten (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf einer Einwilligung jederzeit für die Zukunft

Anfragen an: info@schichtwerk.app. Geht es um Daten, die dein Arbeitgeber in Schichtwerk verarbeitet, leiten wir deine Anfrage an ihn weiter.

Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit: datenschutz.hessen.de

Wir passen diese Erklärung an, wenn sich Funktionen oder Dienstleister ändern. Es gilt die jeweils hier veröffentlichte Fassung. Stand: 19. Oktober 2026.

Diese Nutzungsbedingungen gelten für die Nutzung von Schichtwerk – dem digitalen Schichtplanungs- und Betriebsorganisationssystem von Flaps Software (Lars Overmeyer). Mit der Nutzung der App erklärst du dich mit diesen Bedingungen einverstanden.

Schichtwerk ist eine B2B-SaaS-Plattform zur digitalen Schichtplanung, Mitarbeiterverwaltung und Betriebsorganisation für die Gastronomie. Der Zugang erfolgt über eine Web-App sowie native Mobile-Apps.

Der Zugang zu Schichtwerk erfordert ein aktives Nutzerkonto. Du bist für die Sicherheit deiner Zugangsdaten verantwortlich. Nicht autorisierte Nutzung ist unverzüglich zu melden.

• Keine missbräuchliche oder rechtswidrige Nutzung
• Keine Weitergabe von Zugangsdaten an Dritte
• Keine automatisierten Abfragen oder Scraping
• Korrekte Angaben bei der Registrierung

Wir bemühen uns um eine hohe Verfügbarkeit des Dienstes, können diese jedoch nicht garantieren. Wartungsarbeiten werden nach Möglichkeit außerhalb der Hauptnutzungszeiten durchgeführt.

Flaps Software haftet nur bei Vorsatz und grober Fahrlässigkeit sowie bei Verletzung wesentlicher Vertragspflichten. Die Haftung für mittelbare Schäden oder entgangenen Gewinn ist – soweit gesetzlich zulässig – ausgeschlossen.

Das Nutzungsverhältnis kann jederzeit von beiden Seiten beendet werden. Nach Kündigung werden Daten gemäß unserer Datenschutzerklärung gelöscht.

Wir behalten uns vor, diese Nutzungsbedingungen anzupassen. Änderungen werden rechtzeitig per E-Mail oder in der App kommuniziert.

Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, Seeheim-Jugenheim.

Verantwortlicher

Die natürliche oder juristische Person, die sich bei Schichtwerk registriert und den Dienst für ihren Betrieb nutzt (nachfolgend „Verantwortlicher").

Auftragsverarbeiter

Lars Overmeyer – Flaps Software
Villastraße 7a, 64342 Seeheim-Jugenheim
E-Mail: info@schichtwerk.app

Vertragsgegenstand: Bereitstellung, Betrieb und Wartung der Software-as-a-Service-Anwendung „Schichtwerk", einschließlich Hosting der zugehörigen Daten und Datenbanken sowie technischem Support.

Art der Leistung: Software-as-a-Service mit Hosting

Laufzeit: Dauer des Hauptvertrags (Laufzeit der SaaS-Subscription). Der AVV endet automatisch mit Beendigung des Nutzungsverhältnisses.

Zweck: Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen zur Bereitstellung und Durchführung der mit „Schichtwerk" vereinbarten Funktionen, insbesondere Schichtplanung, Mitarbeiterverwaltung, Zeiterfassung, Abwesenheitsverwaltung, Kommunikation, Dokumentenverwaltung und Terminorganisation. Keine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters.

Art der personenbezogenen Daten

• Stamm- und Beschäftigtendaten (z. B. Name, Personal- und Mitarbeiterdaten)
• Kontaktdaten (z. B. E-Mail-Adresse, Telefonnummer)
• Account- und Nutzungsdaten (z. B. Login- und Protokolldaten)
• Schicht- und Einsatzplandaten
• Arbeitszeit- und Zeiterfassungsdaten, Verfügbarkeiten
• Urlaubs- und Abwesenheitsdaten, Krankmeldungen
• Termin- und Reservierungsdaten
• Kommunikationsinhalte (z. B. Einzel- und Gruppenchats)
• Vom Verantwortlichen bereitgestellte Dokumente und Dateien
• Support- und technische Protokolldaten

Betroffene Personen

Mitarbeitende, Beschäftigte, Aushilfen und sonstige vom Verantwortlichen in Schichtwerk verwaltete Personen sowie Administratoren und sonstige Nutzer des Verantwortlichen.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, eine Rechtsvorschrift verpflichtet ihn anders (Art. 28 Abs. 3 lit. a DSGVO).

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b DSGVO).

Der Auftragsverarbeiter ergreift folgende Maßnahmen gemäß Art. 28 Abs. 3 lit. c i.V.m. Art. 32 DSGVO:

• Zutrittskontrolle (physische Zugänge)
• Zugangskontrolle (System-Anmeldung, 2FA)
• Zugriffskontrolle (Berechtigungskonzept, Row Level Security)
• Weitergabekontrolle (TLS-Verschlüsselung aller Übertragungen)
• Auftragskontrolle (Weisungsgebundenheit)
• Trennbarkeit (technische Mandantentrennung pro Betrieb)
• Verfügbarkeitskontrolle (automatische Backups)

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen 14 Tage vor Wirksamwerden einer Änderung. Der Verantwortliche kann aus wichtigem Grund widersprechen.

Aktuelle Sub-Auftragsverarbeiter

• Supabase Pte. Ltd. (Singapur) – Datenbank, Authentifizierung und Datenspeicherung
• Netlify, Inc. (USA) – Hosting und Bereitstellung der Webanwendung
• Plus Five Five, Inc. (Resend) (USA) – Versand transaktionaler E-Mails
• IONOS SE (Deutschland) – E-Mail-Hosting und Domainverwaltung

Eine Verarbeitung außerhalb der EU/EWR findet statt. Rechtsgrundlage: EU-US Data Privacy Framework (Angemessenheitsbeschluss gem. Art. 45 DSGVO), soweit anwendbar; im Übrigen EU-Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Wahrnehmung von Betroffenenrechten (Art. 12–22 DSGVO), bei Meldungen von Datenschutzverletzungen (Art. 33/34 DSGVO) und bei der Durchführung einer DSFA (Art. 35 DSGVO).

Nach Beendigung der Auftragsverarbeitung: Rückgabe oder Löschung aller personenbezogenen Daten nach Wahl des Verantwortlichen innerhalb von 30 Tagen nach Vertragsende, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen auf begründete Anfrage.