Im Rahmen der Nutzung dieser Anwendung werden folgende personenbezogene Daten erhoben und gespeichert:
| Datenkategorie | Konkrete Daten | Zweck |
|---|---|---|
| Stammdaten | Vor- und Nachname, E-Mail-Adresse | Identifikation, Login, Benachrichtigungen |
| Zugangsdaten | Passwort (ausschließlich als Hash gespeichert, nicht im Klartext) | Authentifizierung |
| Beschäftigungsdaten | Beschäftigungsgrad (%), Stellenanteil, Start- und ggf. Enddatum der Beschäftigung | Gerechte Dienstverteilung |
| Einsatzdaten | Zugeordnete Station / Gruppe. Je Station können außerdem eine Mindestbesetzung und eine anonyme Zusatzbesetzung (Anzahl, Zeitraum, Wochentage – ohne Namen, ohne Personenbezug) hinterlegt werden. | Gruppenbasierte Dienstplanung |
| Abwesenheiten und freie Tage | Zeiträume bzw. Wochentage, an denen eine Person nicht auf Station ist oder nicht eingeplant werden kann. Es gibt drei Arten: Abwesenheit (ganze Tage, z.B. Urlaub, Freizeitausgleich oder Fortbildung; von der Person selbst oder von der Administration eingetragen), Langzeitabwesenheit (längere, zusammenhängende Zeiträume, z.B. Elternzeit oder längerer unbezahlter Urlaub; nur von der Administration eingetragen) und freie Wochentage (regelmäßig freie Wochentage, z.B. bei Teilzeit; von der Administration hinterlegt). Erfasst werden jeweils nur der Zeitraum bzw. die Wochentage – der Grund wird nicht erfasst. | Korrekte Berücksichtigung bei der Planung (Verfügbarkeit, fairer Anteil, Besetzung der Station); sichtbar für die betroffene Person (eigener Kalender bzw. Profil) und für Admins, nicht für andere Nutzende. Beim Versuch, einen Dienst an einem solchen Tag zu übernehmen oder zu tauschen, wird der Gegenseite lediglich „nicht verfügbar“ angezeigt – ohne Grund und ohne die Art der Angabe. |
| Freitext-Anmerkungen | Optionale, frei formulierbare Anmerkung zu den eigenen Dienstwünschen, je Quartal separat hinterlegt | Zusätzlicher Kontext für die Dienstplanung |
| Planungsdaten | Eingeteilte Dienste, Wünsche, Einschränkungen, Wochenend- und Feiertagsdienste | Erstellung des Dienstplans |
| Historische Daten | Archivierte Quartalspläne, Belastungsscores (rollierend bis max. 24 Monate vor automatischer Bereinigung) | Langfristig gerechte Dienstverteilung |
| Tauschbörsendaten | Angebotene Dienste (Datum, Sichtbarkeit, Optionen), Tauschvorgänge (beteiligte Personen, Tauschdaten, Initiator, Vollzugszeitpunkt) | Freiwillige Diensttauschvermittlung zwischen Mitarbeitenden |
| Push-Abonnements | Browser-Endpunkt-URL, Verschlüsselungsschlüssel (p256dh, auth) des jeweiligen Geräts | Zustellung von Push-Benachrichtigungen (opt-in) |
| Datenschutzeinstellungen | Teilnahme an der Tauschbörse (ja/nein), Sichtbarkeit eigener Diensteinschränkungen für andere Nutzende (ja/nein), E-Mail- und Push-Benachrichtigungen (ja/nein) | Umsetzung individueller Datenschutzpräferenzen |
| Ereignisprotokoll | Zeitpunkt, handelnde Person (Name, Rolle), betroffene Personen (Namen), Art der Änderung (z.B. Dienst eingeteilt, Tausch vollzogen, Konto geändert), ggf. Datum bzw. Quartal und fachliche Eckdaten der Änderung. Nicht erfasst werden Passwörter, die Inhalte von Dienstwünschen, Anmeldungen, IP-Adressen und Geräteangaben. | Nachvollziehbarkeit von Änderungen („Wer hat wann was geändert?“); ausschließlich für Admins einsehbar |
| Änderungsmeldungen | Vom Admin vorgenommene Änderungen am eigenen Dienstplan, an der Wunsch-Deadline, am Konto und an den Eckdaten (Art der Änderung, betroffene Tage bzw. neuer Wert), Zeitpunkt der Meldung sowie die Bestätigung „Verstanden“ | Information der betroffenen Person (Dashboard, E-Mail, Push-Benachrichtigung) |
Die Verarbeitung der personenbezogenen Daten erfolgt auf Basis von:
Eine Weitergabe der personenbezogenen Daten an Dritte zu eigenen Zwecken findet nicht statt. Die Daten werden ausschließlich für die Erstellung des Dienstplans innerhalb des definierten Nutzerkreises verwendet.
Die Anwendung und Datenbank sind auf einem Shared-Hosting-Server von STRATO AG (Deutschland) gehostet. STRATO verarbeitet dabei technisch notwendige Server- und Verbindungsdaten als Auftragsverarbeiter gemäß Art. 28 DSGVO. Auch der Versand von E-Mail-Benachrichtigungen läuft über die Mailserver von STRATO.
Nur wenn du Push-Benachrichtigungen selbst aktivierst, ist zusätzlich der Push-Dienst deines Browser- bzw. Geräteherstellers an der Zustellung beteiligt – Einzelheiten im Abschnitt „Benachrichtigungen“.
Die Tauschbörse ermöglicht es Nutzenden, Dienste freiwillig anzubieten, zu tauschen oder zu übernehmen. Dabei werden in begrenztem Umfang personenbezogene Daten innerhalb des Nutzerkreises sichtbar:
Bietet eine Person einen Dienst öffentlich an, sehen alle aktiv teilnehmenden Nutzenden den Namen der anbietenden Person sowie das Datum des betroffenen Dienstes. Je nach Auswahl der anbietenden Person ist der Dienst zur Übernahme ohne Gegenleistung, zum Tausch gegen einen eigenen Dienst oder für beide Optionen freigegeben.
Nutzende können einer bestimmten Kollegin oder einem bestimmten Kollegen auch direkt einen konkreten Tausch vorschlagen, ohne zuvor ein öffentliches Angebot zu erstellen. Die ausgewählte Person sieht dabei den Namen der vorschlagenden Person sowie die konkret betroffenen Diensttage; der Tausch wird erst nach ausdrücklicher Zustimmung wirksam.
Bei einem Ringtausch schlägt eine Person zwei weiteren Personen einen im Kreis rotierenden Diensttausch vor. Hierbei sehen alle drei Beteiligten die Namen der jeweils anderen beiden Personen sowie sämtliche im Ringtausch enthaltenen Diensttage – nicht nur den eigenen Anteil.
Nutzende können in ihren Einstellungen steuern, ob für andere sichtbar ist, ob sie an einem bestimmten Tag eine Einschränkung (Limit) hinterlegt haben. Diese Funktion ist standardmäßig aktiv, kann aber jederzeit in den Einstellungen deaktiviert werden – dann erscheint lediglich der Hinweis „nicht einsehbar". Die tarifliche TV-Kompatibilität ist hiervon ausgenommen und immer sichtbar, da der Dienstplan ohnehin für alle einsehbar ist.
Nach Abschluss eines Tauschs werden Namen aller Beteiligten, die getauschten Daten sowie der Initiator im persönlichen Tauschverlauf jeder beteiligten Person gespeichert und angezeigt.
Nutzende mit der Rolle „Info" (z.B. Sekretariat, Oberärzte) erhalten Einblick in den vollständigen Tauschverlauf aller Mitarbeitenden. Dies dient der dienstplanerischen Transparenz und entspricht dem Informationsinteresse der Leitungsebene.
Die Teilnahme an der Tauschbörse ist freiwillig und kann in den persönlichen Einstellungen jederzeit deaktiviert werden. Wird die Teilnahme deaktiviert, erscheint die Person nicht mehr als mögliche Tauschpartnerin und kann keine neuen Angebote erstellen. Bereits laufende Tauschvorgänge bleiben hiervon unberührt.
Ist für eine Person ein Beschäftigungsende hinterlegt, wird sie als Tauschpartnerin bzw. Tauschpartner für Diensttage nach diesem Zeitpunkt automatisch nicht mehr zur Auswahl angeboten.
Ereignisse in der Tauschbörse (z.B. neues Angebot, eingegangener Tauschvorschlag, erforderliche Zustimmung, vollzogener Tausch) sowie Erinnerungen an die Wunschabgabe-Deadline und die Freigabe neuer Quartalspläne werden den betroffenen Nutzenden per E-Mail mitgeteilt, sofern sie E-Mail-Benachrichtigungen in ihren Einstellungen nicht deaktiviert haben. Diese E-Mails können den Namen der jeweils anderen beteiligten Person(en) sowie die konkret betroffenen Diensttage enthalten. Der Versand erfolgt über die Mailserver-Infrastruktur von STRATO AG (Deutschland), die auch das Hosting der Anwendung bereitstellt.
Optional bietet die Anwendung zusätzlich Browser-Push-Benachrichtigungen für dieselben Ereignisse an. Diese Funktion ist standardmäßig deaktiviert und wird nur auf ausdrückliche Anforderung durch die Nutzenden aktiviert (opt-in).
Für den Betrieb von Push-Benachrichtigungen werden folgende technische Daten gespeichert:
Diese Daten werden ausschließlich zur Zustellung der Benachrichtigungen verwendet.
Browser-Push funktioniert technisch nur über den Push-Dienst des jeweiligen Browser- bzw. Geräteherstellers (je nach Gerät z.B. Google, Mozilla oder Apple). Die gespeicherte Endpunkt-URL deines Geräts verweist auf diesen Dienst; eine Benachrichtigung wird vom Server der Anwendung dorthin gesendet und vom Dienst an dein Gerät weitergereicht. Dabei gilt:
Nimmt ein Admin Änderungen vor, die dich betreffen – am eigenen Dienstplan, an der Wunsch-Deadline, an deinem Konto (z.B. Passwort, Login-Name, Stammdaten) oder an deinen Eckdaten (z.B. Station/Gruppe, Beschäftigungsgrad, Langzeitabwesenheiten, freie Wochentage, geplantes Ausscheiden) – wirst du darüber informiert: im Dashboard (Karte „Handlungsbedarf & Info“), per E-Mail und per Push-Benachrichtigung. Änderungen an Dienstplan und Deadline folgen deinen Benachrichtigungs-Einstellungen; Änderungen an Konto und Eckdaten werden immer gemeldet, da die Richtigkeit dieser Angaben wesentlich ist. Mehrere Änderungen werden gesammelt in einer Nachricht zugestellt.
Die Anwendung führt ein Ereignisprotokoll, das festhält, wer wann was geändert hat (z.B. Dienste einteilen oder entfernen, Quartalsfreigabe, vollzogene Tausche, Änderungen an Konten und Eckdaten, Änderungen von Programmeinstellungen sowie automatische Vorgänge wie die Archivierung ausgeschiedener Personen). Es dient der Nachvollziehbarkeit und Transparenz der Dienstplanung, etwa bei Rückfragen zu einer Änderung.
Einsehbar ist das Ereignisprotokoll ausschließlich für Admins. Einträge können im Portal weder bearbeitet noch einzeln gelöscht werden. Welche Kategorien von Ereignissen protokolliert werden – oder ob das Protokoll insgesamt abgeschaltet wird – legt der Standard-Admin fest; jede Änderung dieser Einstellung wird selbst protokolliert.
Nutzende können ihren Dienstplan optional als Kalender-Abo (ICS-Format) in externe Kalender-Apps einbinden. Je nach Auswahl enthält das Abo nur die eigenen Dienste, die Dienste der eigenen Station bzw. Gruppe oder die Dienste aller Teammitglieder – bei Station und Team mit dem Namen der diensthabenden Person. Berücksichtigt werden nur freigegebene Dienstpläne; jeder Dienst enthält die Adresse des Einsatzortes. Zusätzlich enthält jedes Abo die Wunschabgabe-Deadline und die im Terminplan eingetragenen Termine (z.B. Fortbildungen).
Der Zugriff erfolgt über einen individuellen, nicht erratbaren Link (Token) – dieser sollte wie ein Passwort behandelt und nicht weitergegeben werden, da damit die enthaltenen Daten eingesehen werden können. Die Kalender-App ruft den Link regelmäßig vom Server ab; die abonnierten Daten liegen anschließend in der gewählten Kalender-App bzw. beim Anbieter dieser App (z.B. Apple, Google, Microsoft), auf den die Anwendung keinen Einfluss hat.
Personenbezogene Daten werden gespeichert, solange eine aktive Nutzung der Anwendung besteht. Scheidet eine Person aus dem Nutzerkreis aus, wird der Zugang deaktiviert (Archivierung).
In Übereinstimmung mit dem Prinzip der Datensparsamkeit verfügt die Anwendung über eine automatisierte, serverseitige Löschroutine. Daten, die für die aktuelle Betriebs- und Gerechtigkeitsauswertung nicht mehr zwingend erforderlich sind, werden regelmäßig bereinigt:
Unabhängig von der automatischen Löschroutine werden personenbezogene Daten auf Anfrage vollständig aus der Datenbank gelöscht. Anfragen bitte per E-Mail an den Verantwortlichen (siehe oben).
Als betroffene Person stehen Ihnen gemäß DSGVO folgende Rechte zu:
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem der Verantwortliche seinen Wohnsitz hat.
Technische Beteiligung Dritter gibt es nur bei der Zustellung von Benachrichtigungen: E-Mails laufen über den Mailserver von STRATO (Hosting-Anbieter), Browser-Push – sofern von dir aktiviert – über den Push-Dienst deines Browser-/Geräteherstellers (siehe Abschnitt „Benachrichtigungen“). Schriftarten und alle übrigen Dateien der Anwendung werden vom eigenen Server geladen; es werden keine Inhalte von Drittanbietern (z.B. Schriftdienste, Skripte oder Tracker) nachgeladen.
Die Anwendung verwendet ausschließlich technisch notwendige Cookies. Sie enthalten keine Tracking- oder Werbedaten:
dp_remember): nur, wenn du beim Login „Angemeldet bleiben“ aktivierst; gültig 90 Tage; enthält deine Nutzer-ID und einen aus dem gespeicherten Passwort-Hash abgeleiteten Prüfwert (nicht dein Passwort) und ist für Skripte nicht lesbar (HttpOnly). Es wird beim Abmelden gelöscht.dp_maintenance_bypass): nur für Admins, die während einer Wartung über einen geheimen Link auf die Anwendung zugreifen; gültig 4 Stunden.Es werden keine Analyse-, Tracking- oder Marketing-Cookies eingesetzt.
Darüber hinaus nutzt die Anwendung den lokalen Speicher deines Browsers für Darstellungs- und Komforteinstellungen (z.B. Hell-/Dunkel-Modus) sowie einen Service Worker, der Dateien und bereits geladene Seiten für die Offline-Nutzung auf deinem Gerät zwischenspeichert. Diese Daten verbleiben auf deinem Gerät und werden nicht zu Tracking-Zwecken verwendet.