Datenschutzerklärung
Shift Companion – Mobile App zur Dienstplanung
Stand: März 2026
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG) ist der jeweilige Arbeitgeber (Mandant), der die Shift Companion Plattform für seine Mitarbeiter bereitstellt. Der Arbeitgeber bestimmt Zweck und Mittel der Datenverarbeitung.
Die technische Bereitstellung der App erfolgt durch:
2. Welche Daten werden verarbeitet?
2.1 Stammdaten der Mitarbeiter
- Vor- und Nachname
- E-Mail-Adresse (für die Anmeldung)
- Geburtsdatum
- Personalnummer (intern und extern)
- Sozialversicherungsnummer
- Staatsangehörigkeit
- Telefon- und Mobilnummer (optional)
2.2 Dienstplan- und Arbeitsdaten
- Zugewiesene Schichten (Beginn, Ende, Pausen)
- Verfügbarkeiten und Präferenzen
- Abwesenheiten und Abwesenheitsanträge (Kategorie, Zeitraum, Anmerkungen)
- Arbeitsverträge (Wochenstunden, Gültigkeitszeitraum)
- Qualifikationen und Kompetenzen
- Zeitguthaben und Urlaubstage
2.3 Technische Daten
- Authentifizierungstoken (verschlüsselt auf dem Gerät gespeichert)
- Geräteinformationen (optional, bei der Anmeldung)
- Mandantenkennung und Spracheinstellung
3. Zweck der Verarbeitung und Rechtsgrundlage
Die Verarbeitung erfolgt auf folgenden Rechtsgrundlagen gemäß Art. 6 DSGVO:
- Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Arbeitsvertrags: Dienstplanung, Schichtzuweisung, Abwesenheitsverwaltung und Arbeitszeiterfassung.
- Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen: Einhaltung arbeitsrechtlicher Vorschriften (Arbeitszeitgesetz, Arbeitsruhegesetz).
- Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse: Effiziente Betriebsorganisation und Kommunikation der Dienstpläne.
Die Verarbeitung der Sozialversicherungsnummer erfolgt ausschließlich zur Erfüllung gesetzlicher Pflichten des Arbeitgebers gemäß Art. 6 Abs. 1 lit. c DSGVO i.V.m. den einschlägigen sozialversicherungsrechtlichen Bestimmungen.
4. Datenspeicherung und Sicherheit
- Die Datenübertragung erfolgt ausschließlich verschlüsselt über HTTPS/TLS.
- Authentifizierungstoken werden auf dem Mobilgerät mittels verschlüsseltem Speicher (Android Keystore / iOS Keychain) gesichert.
- Passwörter werden nur als kryptografische Hashwerte gespeichert, niemals im Klartext.
- Die Daten werden pro Mandant in getrennten Datenbanken gespeichert (Mandantentrennung).
- Zugriffstoken laufen nach 15 Minuten ab, Aktualisierungstoken nach 7 Tagen.
5. Datenweitergabe an Dritte
Eine Weitergabe personenbezogener Daten an Dritte erfolgt grundsätzlich nicht. Es werden keine Analyse-, Tracking- oder Werbedienste eingesetzt. Es werden keine Daten an soziale Netzwerke oder sonstige Drittanbieter übermittelt.
Eine Ausnahme besteht nur, wenn der Arbeitgeber als Verantwortlicher die Verarbeitung durch Auftragsverarbeiter (z.B. Hosting-Anbieter) vorsieht. In diesem Fall ist eine Auftragsverarbeitungsvereinbarung gemäß Art. 28 DSGVO abgeschlossen.
6. Speicherdauer
Personenbezogene Daten werden nur so lange gespeichert, wie dies für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Bei Beendigung des Arbeitsverhältnisses werden die Daten nach Ablauf der gesetzlichen Aufbewahrungsfristen gelöscht.
7. Ihre Rechte
Sie haben gemäß DSGVO folgende Rechte:
- Auskunftsrecht (Art. 15 DSGVO) – Sie können Auskunft über Ihre verarbeiteten Daten verlangen.
- Berichtigungsrecht (Art. 16 DSGVO) – Sie können die Berichtigung unrichtiger Daten verlangen.
- Löschungsrecht (Art. 17 DSGVO) – Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
- Einschränkung der Verarbeitung (Art. 18 DSGVO) – Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
- Datenübertragbarkeit (Art. 20 DSGVO) – Sie können Ihre Daten in einem strukturierten, gängigen Format erhalten.
- Widerspruchsrecht (Art. 21 DSGVO) – Sie können der Verarbeitung Ihrer Daten widersprechen.
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an Ihren Arbeitgeber als Verantwortlichen oder an: privacy@plantheshift.com
8. Beschwerderecht
Sie haben das Recht, eine Beschwerde bei der zuständigen Datenschutzbehörde einzureichen:
9. Lokale Datenspeicherung auf dem Gerät
- Verschlüsselt gespeichert: Zugriffstoken und Aktualisierungstoken (über den sicheren Gerätespeicher).
- Unverschlüsselt gespeichert: Mandantenkennung, Firmencode und Spracheinstellung. Diese Daten enthalten keine personenbezogenen Informationen.
Durch Abmelden oder Deinstallieren der App werden alle lokal gespeicherten Daten gelöscht.
10. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, um sie an geänderte rechtliche Anforderungen oder Änderungen der App anzupassen. Die aktuelle Version ist jederzeit in der App und unter dieser URL abrufbar.
Privacy Policy
Shift Companion – Mobile Workforce Scheduling App
Last updated: March 2026
1. Data Controller
The data controller within the meaning of the General Data Protection Regulation (GDPR) and the Austrian Data Protection Act (DSG) is the respective employer (tenant) who provides the Shift Companion platform to its employees. The employer determines the purposes and means of data processing.
Technical provision of the app is handled by:
2. What Data Is Processed?
2.1 Employee Master Data
- First and last name
- Email address (for authentication)
- Date of birth
- Staff number (internal and external)
- Social security number
- Nationality
- Phone and mobile number (optional)
2.2 Scheduling and Work Data
- Assigned shifts (start time, end time, breaks)
- Availability and preferences
- Absences and absence requests (category, period, notes)
- Employment contracts (weekly hours, validity period)
- Skills and competencies
- Time balances and vacation days
2.3 Technical Data
- Authentication tokens (stored encrypted on device)
- Device information (optional, during login)
- Tenant identifier and language preference
3. Purpose and Legal Basis
Processing is based on the following legal grounds under Art. 6 GDPR:
- Art. 6(1)(b) GDPR – Performance of employment contract: shift scheduling, assignment, absence management, and working time recording.
- Art. 6(1)(c) GDPR – Legal obligations: compliance with labor law regulations (Working Hours Act, Rest Periods Act).
- Art. 6(1)(f) GDPR – Legitimate interest: efficient operational organization and communication of work schedules.
Social security numbers are processed solely to fulfill the employer's statutory obligations under Art. 6(1)(c) GDPR in conjunction with applicable social security legislation.
4. Data Storage and Security
- All data transmission is encrypted via HTTPS/TLS.
- Authentication tokens are secured on the mobile device using encrypted storage (Android Keystore / iOS Keychain).
- Passwords are stored only as cryptographic hashes, never in plain text.
- Data is stored in separate databases per tenant (tenant isolation).
- Access tokens expire after 15 minutes, refresh tokens after 7 days.
5. Data Sharing with Third Parties
Personal data is generally not shared with third parties. No analytics, tracking, or advertising services are used. No data is transmitted to social networks or other third-party providers.
An exception exists only if the employer as data controller engages data processors (e.g., hosting providers). In such cases, a data processing agreement pursuant to Art. 28 GDPR is in place.
6. Retention Period
Personal data is retained only for as long as necessary for the stated purposes or as required by statutory retention periods. Upon termination of employment, data is deleted after expiry of the applicable statutory retention periods.
7. Your Rights
Under the GDPR, you have the following rights:
- Right of access (Art. 15 GDPR) – You may request information about your processed data.
- Right to rectification (Art. 16 GDPR) – You may request correction of inaccurate data.
- Right to erasure (Art. 17 GDPR) – You may request deletion of your data, provided no statutory retention obligations apply.
- Right to restriction (Art. 18 GDPR) – You may request restriction of processing of your data.
- Right to data portability (Art. 20 GDPR) – You may receive your data in a structured, commonly used format.
- Right to object (Art. 21 GDPR) – You may object to the processing of your data.
To exercise your rights, please contact your employer as data controller or reach out to: privacy@plantheshift.com
8. Right to Lodge a Complaint
You have the right to lodge a complaint with the competent data protection authority:
9. Local Data Storage on Device
- Stored encrypted: Access tokens and refresh tokens (via secure device storage).
- Stored unencrypted: Tenant identifier, company code, and language preference. This data does not contain personal information.
Logging out or uninstalling the app deletes all locally stored data.
10. Changes to This Privacy Policy
We reserve the right to update this privacy policy to reflect changes in legal requirements or changes to the app. The current version is always available in the app and at this URL.