Datenschutzerklärung
Stand: [TT.MM.JJJJ einfügen] · Betrifft die interne Urlaubsverwaltung unter [eure-domain.tld]
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
[Firma GmbH]
[Straße Nr.]
[PLZ Ort]
Österreich
Firmenbuchnummer: [FN xxxxx x, sofern vorhanden]
E-Mail: [datenschutz@eure-domain.tld]
Telefon: [+43 ...]
Ein Datenschutzbeauftragter ist nicht bestellt, da nach Art. 37 DSGVO keine Pflicht dazu besteht (keine umfangreiche systematische Überwachung oder Verarbeitung besonderer Kategorien personenbezogener Daten als Kerntätigkeit).
2. Über diese Anwendung
Diese Anwendung ist ein internes, passwortgeschütztes Tool zur Verwaltung der Urlaubskonten und händisch eingetragenen Urlaube der Mitarbeiter:innen von [Firma GmbH]. Sie ist nicht öffentlich zugänglich; Zugang haben ausschließlich Administrator:innen und Team-Vorgesetzte über eigene Benutzerkonten. Mitarbeiter:innen ohne eine dieser beiden Rollen haben keinen eigenen Zugang zur Anwendung.
3. Welche Daten wir verarbeiten und warum
3.1 Mitarbeiterdaten (Stammdaten)
Zur Verwaltung der Urlaubskonten verarbeiten wir folgende Daten der Mitarbeiter:innen:
| Daten | Zweck |
|---|---|
| Vor- und Nachname | Zuordnung von Urlaubseinträgen und Urlaubsstand |
| Team-/Abteilungszugehörigkeit | Filterung in Kalender/Übersicht, Zugriffsbeschränkung für Team-Vorgesetzte |
| Eintritts-/Austrittsdatum (optional) | Information für die Personalverwaltung |
| Urlaubsstand lt. Lohnverrechnung (Tage) inkl. Stand-Datum | Anzeige eines ungefähren Resturlaubs in der Übersicht |
| Eingetragene Urlaubszeiträume (Von/Bis, Tage, optionale Notiz) | Kernfunktion der Anwendung: Urlaubsverwaltung |
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Dienst-/Arbeitsvertrags) sowie Art. 6 Abs. 1 lit. c DSGVO i. V. m. den arbeits- und urlaubsrechtlichen Aufzeichnungspflichten (u. a. Urlaubsgesetz).
3.2 Zugangsdaten (Login)
Für Administrator:innen und Team-Vorgesetzte wird ein Benutzername sowie ein sicher gehashtes Passwort gespeichert (das Passwort selbst ist zu keinem Zeitpunkt im Klartext einsehbar, auch nicht für uns). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, personalisierten Nutzung der Anwendung).
3.3 Anmeldeversuche und IP-Adressen (Login-Schutz)
Zum Schutz vor automatisierten Anmeldeversuchen (Brute-Force-Angriffe) speichert die Anwendung bei fehlgeschlagenen Login-Versuchen vorübergehend die IP-Adresse des zugreifenden Geräts zusammen mit der Anzahl der Fehlversuche. Diese Daten werden bei einem erfolgreichen Login sofort gelöscht bzw. spätestens nach [7] Tagen automatisch entfernt, sofern keine aktive Sperre mehr besteht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der IT-Sicherheit der Anwendung).
Diese applikationsseitige Speicherung ist von den unten unter Punkt 5 beschriebenen Server-Logfiles des Hosting-Anbieters zu unterscheiden.
3.4 Sitzungsdaten (kein Cookie)
Nach der Anmeldung wird ein Sitzungs-Token im sogenannten Session-Storage des Browsers abgelegt – einem Speicherbereich, der ausschließlich lokal im Browser existiert, automatisch gelöscht wird, sobald der Browser-Tab geschlossen wird, und niemals automatisch an Dritte übertragen wird. Es werden keine Cookies gesetzt.
Dieser Speicherzugriff ist gemäß § 165 Abs. 3 TKG 2021 (Umsetzung von Art. 5 Abs. 3 der ePrivacy-Richtlinie) von der Einwilligungspflicht ausgenommen, da er unbedingt erforderlich ist, um die von der Person ausdrücklich gewünschte Funktion – eingeloggt zu bleiben, während sie die Anwendung nutzt – bereitzustellen. Ein Cookie-Consent-Banner ist daher nicht erforderlich, da keine einwilligungspflichtigen Cookies oder vergleichbaren Speicherzugriffe (z. B. für Tracking, Analyse oder Werbung) eingesetzt werden.
3.5 CSV-Exporte
Administrator:innen und Team-Vorgesetzte können die Urlaubsübersicht als CSV-Datei exportieren, etwa zur Weitergabe an die Personalverrechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. lit. c DSGVO, soweit die Weitergabe an die Personalverrechnung gesetzlich veranlasst ist.
4. Empfänger der Daten
Eine Übermittlung an Dritte findet grundsätzlich nicht statt, mit folgender Ausnahme:
- Hosting-Anbieter: [Name des Hosting-Anbieters], [Anschrift/Sitz] – als Auftragsverarbeiter gemäß Art. 28 DSGVO, verarbeitet sämtliche oben genannten Daten im Auftrag rein technisch (Serverbetrieb, Datenbank).
Eine Übermittlung in Länder außerhalb der EU/des EWR findet [nicht statt / findet statt, sofern der Hosting-Anbieter außerhalb der EU sitzt – bitte prüfen und anpassen].
5. Server-Logfiles des Hosting-Anbieters
Unser Hosting-Anbieter erstellt beim Aufruf der Anwendung technisch bedingt Logfiles. Diese sind wie folgt konfiguriert:
- IP-Adressen werden vollständig anonymisiert (z. B. wird aus 11.22.33.44 die Adresse 0.0.0.0) – dadurch handelt es sich nicht mehr um personenbezogene Daten im Sinne der DSGVO.
- Es wird keine Zugriffsstatistik erzeugt.
- Logfiles werden nach 3 Tagen automatisch gelöscht.
Da die verbleibenden Log-Daten keinen Personenbezug mehr aufweisen, ist dafür keine gesonderte Rechtsgrundlage nach Art. 6 DSGVO erforderlich.
6. Speicherdauer
Mitarbeiterdaten und eingetragene Urlaube werden für die Dauer des Dienstverhältnisses sowie anschließend entsprechend der gesetzlichen Aufbewahrungsfristen gespeichert (insbesondere aus arbeits- und sozialversicherungsrechtlichen Gründen, in der Regel [Aufbewahrungsdauer laut eurer Einstellung, z. B. 7 Jahre] nach Austritt). Die Anwendung löscht Daten nicht automatisch - die Entscheidung über die tatsächliche Löschung trifft [Firma GmbH] im Einzelfall unter Berücksichtigung aller einschlägigen Aufbewahrungspflichten.
Anmeldeversuche/IP-Sperren: siehe 3.3. Server-Logfiles: siehe 5.
7. Ihre Rechte
Ihnen stehen nach der DSGVO folgende Rechte zu:
- Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind (Art. 21 DSGVO)
- Beschwerde bei der österreichischen Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, www.dsb.gv.at)
Für alle Anliegen wenden Sie sich bitte an die unter Punkt 1 genannten Kontaktdaten.