AGB & Datenschutz

1. Allgemeine Geschäftsbedingungen (AGB)

§ 1 Geltungsbereich

Diese Allgemeinen Geschäftsbedingungen gelten für alle Verträge zwischen der Software und Büroservice Christine Schremmer (nachfolgend „Anbieter") und dem Auftraggeber (nachfolgend „Kunde") über die Nutzung der SaaS-Software „SL-UP Urlaubsplaner" (nachfolgend „Software").

Abweichende, entgegenstehende oder ergänzende Allgemeine Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, der Anbieter stimmt ihrer Geltung ausdrücklich zu.

§ 2 Vertragsgegenstand

Gegenstand des Vertrages ist die zeitlich begrenzte Überlassung der webbasierten Software „SL-UP Urlaubsplaner" als Software-as-a-Service (SaaS) zur Verwaltung von Urlauben, Abwesenheiten und Abwesenheitsanträgen in Unternehmen. Der Anbieter stellt die Software über das Internet bereit und räumt dem Kunden das nicht ausschließliche, nicht übertragbare Recht ein, die Software für eigene betriebliche Zwecke zu nutzen.

§ 3 Leistungsumfang

Der Anbieter erbringt folgende Leistungen:

• Bereitstellung der SaaS-Software über einen Webbrowser
• Speicherung und Verarbeitung der vom Kunden eingegebenen Daten
• Datensicherung und -wiederherstellung im Rahmen der vereinbarten Service Level
• Technischer Support per E-Mail während der regulären Geschäftszeiten (Mo–Fr, 9–17 Uhr)
• Updates und Weiterentwicklungen der Software nach eigenem Ermessen des Anbieters

§ 4 Preise und Zahlungsbedingungen

Kostenlose Beta-Version: Während der offenen Beta stellt der Anbieter eine kostenlose Version („Privat") zu Testzwecken bereit. Die Nutzung ist unverbindlich; Funktionsumfang, Leistungsmerkmale und Konditionen können sich während der Beta ändern. Die Anzahl der Benutzerkonten je Kunde kann im Rahmen einer fairen Nutzung begrenzt werden; größere Teams können sich an den Anbieter wenden. Für die Privat-Version fallen während der Beta keine Entgelte an; es sind keine Zahlungsdaten erforderlich. Ein automatischer Übergang in eine Bezahlpflicht findet nicht statt — nach Ende der Beta entscheidet der Kunde aktiv, ob er einen Tarif wählt. Der Anbieter wird das Ende der Beta und etwaige Änderungen der kostenlosen Nutzung mit angemessener Vorankündigung (mindestens 4 Wochen) per E-Mail mitteilen. Ein Anspruch auf dauerhafte oder ununterbrochene Bereitstellung der kostenlosen Version besteht nicht. Die nachstehenden Regelungen zu Preisen, Zahlung und Laufzeit gelten ausschließlich für die kostenpflichtigen Tarife (z. B. „Pro").

Die Preise ergeben sich aus dem zum Zeitpunkt der Bestellung gültigen Preismodell auf der Website des Anbieters. Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer (DE: 19 %, AT: 20 %, CH: 0 %). Die Abrechnung erfolgt monatlich oder jährlich im Voraus. Die jährliche Abrechnung ist 13 % günstiger als 12 Monatszahlungen.

Rechnungen sind innerhalb von 14 Tagen nach Ausstellung ohne Abzug fällig. Bei Zahlungsverzug ist der Anbieter berechtigt, den Zugang zur Software zu sperren.

§ 5 Vertragslaufzeit und Kündigung

Verträge mit monatlicher Abrechnung haben eine Mindestlaufzeit von einem Monat. Nach Ablauf der Erstlaufzeit verlängert sich der Vertrag auf unbestimmte Zeit. Er kann dann jederzeit mit einer Frist von einem Monat zum Ende eines Kalendermonats gekündigt werden.

Verträge mit jährlicher Abrechnung haben eine Mindestlaufzeit von einem Jahr. Nach Ablauf der Erstlaufzeit verlängert sich der Vertrag auf unbestimmte Zeit. Er kann dann jederzeit mit einer Frist von einem Monat zum Ende eines Kalendermonats gekündigt werden.

Die Kündigung kann über den Kündigungsbutton, per E-Mail an [email protected] oder postalisch in Textform erfolgen (§ 312k BGB).

Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

§ 6 Verfügbarkeit und Service Level

Der Anbieter bemüht sich um eine Verfügbarkeit der Software von 99 % im monatlichen Durchschnitt. Hiervon ausgenommen sind geplante Wartungsfenster (in der Regel nachts zwischen 2–4 Uhr), höhere Gewalt sowie Ausfälle, die außerhalb des Einflussbereichs des Anbieters liegen (z. B. Internetausfälle, Ausfälle bei Cloud-Anbietern).

§ 7 Pflichten des Kunden

• Der Kunde ist verpflichtet, seine Zugangsdaten vertraulich zu behandeln und vor unbefugtem Zugriff zu schützen.
• Der Kunde ist verantwortlich für die Richtigkeit der eingegebenen Daten.
• Eine Weitergabe der Zugangsdaten an Dritte außerhalb des Unternehmens ist nicht gestattet.
• Der Kunde ist verpflichtet, den Anbieter unverzüglich über einen Missbrauch der Zugangsdaten zu informieren.
• Die Software darf nicht für illegale Zwecke oder in einer Weise genutzt werden, die Dritte schädigt.

§ 8 Haftung

Der Anbieter haftet unbeschränkt für Schäden, die durch Vorsatz oder grobe Fahrlässigkeit verursacht wurden, sowie für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit. Für leichte Fahrlässigkeit haftet der Anbieter nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten — d.h. Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertraut und vertrauen darf), beschränkt auf den vorhersehbaren, vertragstypischen Schaden. Eine weitergehende Haftung ist ausgeschlossen.

§ 9 Geistiges Eigentum

Die Software und alle damit verbundenen Rechte (Urheberrechte, Markenrechte etc.) verbleiben beim Anbieter. Der Kunde erhält ausschließlich das eingeschränkte Nutzungsrecht gemäß diesen AGB. Eine Vervielfältigung, Verbreitung, Bearbeitung oder sonstige Nutzung über das vereinbarte Maß hinaus ist ohne ausdrückliche schriftliche Zustimmung des Anbieters untersagt.

§ 10 Änderungen der AGB

Der Anbieter behält sich vor, diese AGB zu ändern, soweit dies sachlich gerechtfertigt ist.

Für Geschäftskunden (B2B): Änderungen werden dem Kunden mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt. Der Kunde hat das Recht, den Vertrag zum Änderungszeitpunkt zu kündigen. Auf dieses Kündigungsrecht wird der Anbieter in der Änderungsmitteilung gesondert hinweisen.

Für Verbraucher (B2C): Wesentliche Änderungen der AGB bedürfen der ausdrücklichen Zustimmung des Kunden. Ohne ausdrückliche Zustimmung entfalten wesentliche Änderungen gegenüber Verbrauchern keine Wirkung. Wesentlich sind insbesondere: Preiserhöhungen, Einschränkungen des Leistungsumfangs, Änderungen der Haftungsregeln und Änderungen der Laufzeit- oder Kündigungsbedingungen. Nicht wesentlich sind redaktionelle Korrekturen ohne inhaltliche Änderung (z. B. Rechtschreibfehler, Klarstellungen ohne Rechtswirkung).

§ 11 Anzuwendendes Recht und Gerichtsstand

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Für Streitigkeiten aus diesem Vertrag mit Geschäftskunden (B2B) ist ausschließlicher Gerichtsstand, soweit gesetzlich zulässig, Seligenstadt (Hessen), Deutschland.

Für Verbraucher mit Wohnsitz in Deutschland gilt gemäß § 29c ZPO der Wohnsitz des Verbrauchers als Gerichtsstand; der Anbieter kann den Verbraucher zudem an dessen Wohnsitzgericht verklagen.

Schweizer Kunden: Für Verbraucher mit Wohnsitz in der Schweiz gilt gem. Art. 17 LugÜ als Gerichtsstand abweichend der Wohnsitz des Verbrauchers. Das schweizerische zwingende Verbraucherschutzrecht bleibt unberührt.

Österreichische Kunden: Für Verbraucher mit Wohnsitz in Österreich gilt gem. Art. 6 Rom-I-VO das zwingende österreichische Verbraucherschutzrecht (KSchG) unabhängig der Rechtswahl.

§ 12 Besonderheiten Schweiz (revDSG / nDSG)

Für Kunden mit Sitz oder Wohnsitz in der Schweiz gilt ergänzend das revidierte Datenschutzgesetz (revDSG, in Kraft seit 01.09.2023):

• Art. 19 revDSG: Bei Bekanntgabe von Personendaten in das EU-Ausland (Server in Deutschland) stützen wir uns auf die Adäquanzentscheidung der Schweiz gegenüber der EU sowie auf Art. 16 Abs. 2 revDSG (Standardvertragsklauseln als Fallback).
• Art. 24 revDSG: Datenschutzverletzungen werden dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet, sofern die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt.
• Art. 12 revDSG: Ein Bearbeitungsverzeichnis wird geführt und ist auf Anfrage zugänglich.
• Besonders schützenswerte Personendaten (Art. 9 nDSG / Art. 31 Abs. 2 lit. a nDSG): Soweit Kunden Krankmeldungen ihrer Mitarbeitenden über SL-UP erfassen, handelt es sich um besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c nDSG. Die Bearbeitung stützt sich auf Art. 31 Abs. 2 lit. a nDSG (Einwilligung der betroffenen Person) sowie auf das Arbeitsrecht als Rechtfertigungsgrund. Alternativ kann der Arbeitgeber die gesetzliche Grundlage Art. 328b OR i.V.m. dem Arbeitsvertrag heranziehen. Es werden ausschließlich Abwesenheitsdaten (Zeitraum, Typ) ohne medizinische Details gespeichert.

§ 13 Besonderheiten Österreich

Für Kunden mit Sitz oder Wohnsitz in Österreich gilt ergänzend:

• Der Anbieter ist in Deutschland niedergelassen und erbringt seine Dienste im Fernabsatz nach Österreich.
• E-Mail-Marketing erfolgt ausschließlich nach ausdrücklicher Einwilligung gemäß § 107 TKG AT.
• Für Arbeitgeber: Zeiterfassung und Schichtplanung unterliegen der Mitbestimmung nach § 97 Abs. 1 Z 2 ArbVG (AT).
• Gesundheitsdaten (§ 11 Abs. 2 lit. b DSG-AT i.V.m. Art. 9 Abs. 2 lit. b DSGVO): Soweit Kunden Krankmeldungen ihrer Mitarbeitenden über SL-UP erfassen, werden diese Daten als Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO auf Grundlage von § 11 Abs. 2 lit. b DSG-AT (Verarbeitung besonderer Kategorien personenbezogener Daten im Rahmen des Arbeitsrechts) verarbeitet. Es werden ausschließlich Abwesenheitsdaten (Zeitraum, Typ „Krank") ohne medizinische Details oder Diagnosen gespeichert.

2. Widerrufsbelehrung

§ 1 Widerrufsrecht

Sie haben das Recht, binnen 14 Tagen ohne Angabe von Gründen diesen Vertrag zu widerrufen.

Die Widerrufsfrist beträgt 14 Tage ab dem Tag des Vertragsschlusses.

§ 2 Ausübung des Widerrufs

Um Ihr Widerrufsrecht auszuüben, müssen Sie uns mittels einer eindeutigen Erklärung (z. B. ein mit der Post versandter Brief oder eine E-Mail) über Ihren Entschluss, diesen Vertrag zu widerrufen, informieren. Sie können dafür das beigefügte Muster-Widerrufsformular verwenden, das jedoch nicht vorgeschrieben ist.

Empfänger des Widerrufs:
Software und Büroservice Christine Schremmer
Odenwaldring 13, 63500 Seligenstadt
E-Mail: [email protected]

Zur Wahrung der Widerrufsfrist reicht es aus, dass Sie die Mitteilung über die Ausübung des Widerrufsrechts vor Ablauf der Widerrufsfrist absenden.

§ 3 Folgen des Widerrufs

Wenn Sie diesen Vertrag widerrufen, haben wir Ihnen alle Zahlungen, die wir von Ihnen erhalten haben, einschließlich der Lieferkosten (mit Ausnahme der zusätzlichen Kosten, die sich daraus ergeben, dass Sie eine andere Art der Lieferung als die von uns angebotene, günstigste Standardlieferung gewählt haben), unverzüglich und spätestens binnen 14 Tagen ab dem Tag zurückzuzahlen, an dem die Mitteilung über Ihren Widerruf dieses Vertrags bei uns eingegangen ist.

Für diese Rückzahlung verwenden wir dasselbe Zahlungsmittel, das Sie bei der ursprünglichen Transaktion eingesetzt haben, es sei denn, mit Ihnen wurde ausdrücklich etwas anderes vereinbart; in keinem Fall werden Ihnen wegen dieser Rückzahlung Entgelte berechnet.

§ 4 Vorzeitiges Erlöschen des Widerrufsrechts bei digitalen Dienstleistungen

Das Widerrufsrecht erlischt vorzeitig bei einem Vertrag über die Erbringung von digitalen Dienstleistungen (SaaS), wenn der Anbieter mit der Ausführung des Vertrags begonnen hat, nachdem der Kunde:

• ausdrücklich zugestimmt hat, dass der Anbieter mit der Ausführung des Vertrags vor Ablauf der Widerrufsfrist beginnt, und
• seine Kenntnis davon bestätigt hat, dass er durch seine Zustimmung mit Beginn der Ausführung des Vertrags sein Widerrufsrecht verliert.

Rechtsgrundlage: § 356 Abs. 5 BGB i.V.m. Art. 246a § 1 Abs. 2 Satz 1 Nr. 1 und Nr. 3 EGBGB (Fassung seit 28.05.2022). Soweit Leistungen bereits vor Widerruf erbracht wurden, ist Wertersatz nach § 357 Abs. 8 BGB zu leisten, der sich anteilig nach dem Verhältnis der erbrachten Leistung zum Vertragsumfang berechnet.

§ 5 Muster-Widerrufsformular

(Wenn Sie den Vertrag widerrufen wollen, dann füllen Sie bitte dieses Formular aus und senden Sie es zurück.)

Gemäß Anlage 2 zu Art. 246a § 1 Abs. 2 Satz 2 EGBGB.

3. Nutzungsbedingungen

2.1 Registrierung und Zugang

Die Nutzung von SL-UP setzt eine Registrierung voraus. Bei der Registrierung sind korrekte und vollständige Angaben zu machen. Pro Unternehmen wird ein Mandanten-Account eingerichtet; Benutzerkonten werden vom Administrator des Mandanten angelegt.

2.2 Erlaubte Nutzung

SL-UP darf ausschließlich für betriebliche Zwecke der Urlaubsplanung und Abwesenheitsverwaltung genutzt werden. Die Software ist für die interne Nutzung durch Mitarbeiter eines Unternehmens konzipiert.

2.3 Verbotene Nutzung

Folgende Nutzungen sind ausdrücklich untersagt:

• Weitergabe des Zugangs an Dritte außerhalb des Unternehmens
• Automatisierter Zugriff (Bots, Scraper) ohne ausdrückliche Genehmigung
• Reverse Engineering oder Dekompilierung der Software
• Upload von Schadsoftware oder schädlichen Inhalten
• Überlastung der Infrastruktur durch Massenanfragen
• Nutzung für illegale Zwecke jeglicher Art

2.4 Dateneingabe

Der Kunde ist allein verantwortlich für alle Daten, die er in die Software eingibt. Der Anbieter prüft keine eingegebenen Daten auf Richtigkeit oder Rechtmäßigkeit. Der Kunde stellt den Anbieter von Ansprüchen Dritter frei, die aus rechtswidrig eingegebenen Daten resultieren.

2.5 Kontosperrung

Der Anbieter ist berechtigt, den Zugang bei Verstoß gegen diese Nutzungsbedingungen, bei ausstehendem Zahlungsrückstand oder bei begründetem Sicherheitsrisiko vorübergehend oder dauerhaft zu sperren.

4. Datenschutzerklärung

3.1 Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:
Software und Büroservice Christine Schremmer
Odenwaldring 13, 63500 Seligenstadt
E-Mail: [email protected]
Telefon: +49 (0) 6182–7873203

3.1a Datenschutzbeauftragter

Die Bestellung eines Datenschutzbeauftragten ist für unser Unternehmen nach Art. 37 DSGVO i.V.m. § 38 BDSG nicht verpflichtend, da wir weniger als 20 Personen beschäftigen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Bei Fragen zum Datenschutz wenden Sie sich bitte an: [email protected]

3.2 Erhobene Daten

Bei der Nutzung von SL-UP werden folgende personenbezogene Daten verarbeitet:

• Stammdaten: Vorname, Nachname, E-Mail-Adresse, Benutzername, Abteilung
• Optionale Personaldaten: Geburtsdatum (zur Anzeige von Geburtstagen im Team-Kalender, freiwillige Angabe)
• Vertragsdaten: Firmenname, Adresse, Rechnungsdaten, USt-IdNr.
• Abwesenheitsdaten: Urlaubsanträge, Krankheitstage, Abwesenheitstypen, Datum und Dauer
• Gesundheitsbezogene Daten: Krankheitstage als besondere Kategorie personenbezogener Daten (Art. 9 DSGVO, siehe Abschnitt 3.3a)
• Zeiterfassungsdaten: Stechuhr-Einträge (Ein-/Ausstempelzeiten, Pausen, Arbeitsart)
• Schichtplanungsdaten: Schichtzuweisungen, Bestätigungen/Ablehnungen
• Technische Daten: IP-Adresse, Browser-Informationen, Session-Daten, Zugriffszeiten
• Zahlungsdaten: Es ist kein Zahlungsdienstleister eingebunden. Die Beta ist kostenlos; eine spätere Abrechnung erfolgt auf Rechnung. Kreditkartendaten werden weder erhoben noch gespeichert
• 2FA/TOTP-Daten: Bei aktivierter Zwei-Faktor-Authentifizierung wird ein kryptographischer Schlüssel (TOTP-Secret) verschlüsselt gespeichert (siehe Abschnitt 3.10a)

3.3 Rechtsgrundlagen

Die Verarbeitung erfolgt auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Bereitstellung der Software)
• Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtungen (z. B. Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen (Sicherheit, Missbrauchsverhinderung)
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. optionale E-Mail-Benachrichtigungen, Geburtsdatum)

3.3a Besondere Kategorien: Gesundheitsdaten (Art. 9 DSGVO)

Krankheitstage stellen Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO dar und unterliegen einem besonderen Schutz. Die Verarbeitung erfolgt auf Grundlage von Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG (Erfüllung arbeitsrechtlicher Pflichten). Im Team-Kalender werden Krankheitstage nur als Kürzel „K" ohne medizinische Details angezeigt. Nur Administratoren und Manager haben Zugriff auf Krankheitsmeldungen ihrer Abteilung. Es werden keine Diagnosen, Arztdaten oder medizinischen Details gespeichert.

3.4 Zweck der Datenverarbeitung

Die erhobenen Daten werden ausschließlich verwendet für:

• Bereitstellung und Betrieb der Software-Funktionen
• Abrechnung und Rechnungsstellung
• Technischen Support und Fehlerdiagnose
• Zeiterfassung und Schichtplanung
• Geburtstags-Anzeige im Team-Kalender (optional)
• Sicherheitsmaßnahmen und Missbrauchserkennung (inkl. serverseitigem Bot-Schutz)
• Gesetzlich vorgeschriebene Aufbewahrung von Geschäftsdaten

3.5 Datenweitergabe & Auftragsverarbeiter (Art. 13 Abs. 1 lit. e DSGVO)

Eine Weitergabe personenbezogener Daten an Dritte erfolgt nur in folgenden Fällen. Folgende Auftragsverarbeiter werden eingesetzt:

Eine Weitergabe zu Werbezwecken oder an sonstige nicht genannte Dritte findet nicht statt. Bei gesetzlicher Verpflichtung (behördliche Anfrage, richterliche Anordnung) werden Daten entsprechend weitergegeben.

3.5a Kalender-Abonnements (iCal-Feeds)

SL-UP kann Abwesenheiten als Kalender-Datei im iCalendar-Format bereitstellen, damit sie in einer Kalender-Anwendung abonniert werden können. Es gibt zwei Ausprägungen:

• Persönliches Abo: enthält ausschließlich die eigenen genehmigten Abwesenheiten der abonnierenden Person.
• Abteilungs-Abo: enthält die genehmigten Abwesenheiten aller aktiven Personen einer Abteilung. Es kann ausschließlich von der Administration des jeweiligen Kunden angelegt werden.

Wer die Daten überträgt: Wir übermitteln diese Daten nicht von uns aus an Dritte. Abgerufen werden sie von derjenigen Kalender-Anwendung, in der das Abo eingerichtet wurde — typischerweise Google Calendar, Microsoft Outlook/Microsoft 365 oder Apple Kalender. Diese Anbieter werden dadurch nicht zu unseren Auftragsverarbeitern: Beauftragt werden sie nicht von uns, sondern von dem Kunden bzw. der abonnierenden Person, die das Abo einrichtet. Verantwortlich für diese Weitergabe im Sinne des Art. 4 Nr. 7 DSGVO bleibt der Kunde als Arbeitgeber.

Was das praktisch bedeutet: Nach dem Abruf liegen die Daten auf den Systemen des jeweiligen Kalender-Anbieters — außerhalb der Organisation des Kunden, außerhalb seines Netzwerks und je nach Anbieter auch außerhalb der Europäischen Union. Der Kunde ist gehalten, vorab zu prüfen, ob dies mit seinen internen Regelungen, seinem Verarbeitungsverzeichnis und gegebenenfalls bestehenden Mitbestimmungsrechten vereinbar ist.

Zugriffsschutz: Der Abruf erfolgt über eine Adresse mit einem zufällig erzeugten, nicht erratbaren Zugangsschlüssel und ohne Anmeldung — damit Kalender-Anwendungen automatisch aktualisieren können. Wer die Adresse kennt, kann die enthaltenen Daten lesen. Die Adresse ist deshalb wie ein Passwort zu behandeln. Persönliche Abos sind 90 Tage gültig; danach wird die Adresse automatisch ungültig und muss neu eingerichtet werden. Abteilungs- und Firmen-Abos sind unbefristet; sie enden, wenn die abonnierende Person deaktiviert wird oder ihr Passwort neu gesetzt wird. Abos können außerdem jederzeit widerrufen werden; ein Widerruf wirkt sofort. Beim Abteilungs- und Firmen-Abo erhält jede abonnierende Person eine eigene Adresse, sodass einzelne Zugänge entzogen werden können.

Gesundheitsdaten: Krankheitsbezogene Abwesenheiten werden in Kalender-Abos ausnahmslos neutral als „Abwesend“ übertragen — ohne Abwesenheitsart und ohne Notiz. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verlassen SL-UP über diesen Weg nicht. Freitext-Notizen werden bei Abteilungs-Abos standardmäßig nicht übertragen.

3.6 Datenspeicherung und -löschung

Daten werden gespeichert, solange das Vertragsverhältnis besteht oder gesetzliche Aufbewahrungspflichten dies erfordern. Speicherdauern je Datenkategorie (Art. 13 Abs. 2 lit. a DSGVO):

Datenkategorie	Speicherdauer	Rechtsgrundlage
Stammdaten (Name, E-Mail, Anmeldedaten)	Vertragsdauer + 30 Tage	Art. 6 Abs. 1 lit. b DSGVO
Datensicherungen (Backups)	bis zu 30 Tage, danach automatisch überschrieben	Art. 6 Abs. 1 lit. b und f DSGVO
Rechnungsdaten / Bestellungen	10 Jahre	§ 147 AO, Art. 6 Abs. 1 lit. c DSGVO
Zeiterfassungsdaten (Stechuhr)	Freitext-Notizen: 2 Jahre (dann gelöscht). Zeitstempel: 7 Jahre (DE/AT) bzw. 10 Jahre (CH)	§ 16 Abs. 2 ArbZG (Mindestaufbewahrung), § 147 AO / § 212 UGB / Art. 958f OR (steuer- und handelsrechtliche Aufbewahrung)
Leistungszeit-Ortsstempel (optional)	Nur zusammen mit der jeweiligen Tätigkeit; Löschung bei Widerruf, Abschalten der Funktion oder Löschung der Zeitbuchung	Aufbewahrung und Rechtsgrundlage sind vom Arbeitgeber als Verantwortlichem für den jeweiligen Einsatz zu prüfen
Abwesenheiten inkl. Krankenabwesenheiten, Nachweis-Anhänge (z. B. AU-Bescheinigungen; Funktion derzeit nicht freigeschaltet)	24 Monate (Notizen anonymisiert, Anhänge gelöscht)	§ 26 BDSG, Art. 9 DSGVO, Art. 5 DSGVO
Audit-Log – fachliche Änderungen	180 Tage	Art. 5 Abs. 1 lit. c und e DSGVO (Datenminimierung)
Audit-Log – arbeitszeitrelevante Änderungen	3 Jahre	§ 16 Abs. 2 ArbZG, § 195 BGB, Art. 6 Abs. 1 lit. c DSGVO
Audit-Log – sicherheitsrelevante Vorgänge und Sicherheitsereignisse	1 Jahr	Art. 32 DSGVO (Nachweisbarkeit), Art. 6 Abs. 1 lit. f DSGVO
Audit-Log – erfolgreiche API-Zugriffe	30 Tage	Art. 5 Abs. 1 lit. c DSGVO (Datenminimierung)
Änderungshistorie – Arbeitszeit und Abwesenheiten	3 Jahre	Nachweis und Korrektur arbeitszeit- und urlaubsrelevanter Änderungen
Änderungshistorie – Stammdaten und Löschschnappschüsse	180 Tage	Fehlerkorrektur und Nachvollziehbarkeit; Geheimnisse werden nicht übernommen, Art.-17-Löschungen entfernen auch die Historie
Benachrichtigungen	90 Tage	Art. 6 Abs. 1 lit. f DSGVO

Nach Vertragsende werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Automatisierte Entscheidungsfindung (Art. 22 DSGVO): Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling statt. Automatische Genehmigungen von Urlaubsanträgen erfordern ausdrückliche Freigabe durch einen Admin oder Manager.

Datenpflicht: Die Bereitstellung von Name und E-Mail-Adresse ist für den Vertragsabschluss erforderlich. Ohne diese Daten kann kein Nutzerkonto angelegt werden. Die Angabe weiterer Daten (z. B. Telefon, Abteilung) ist freiwillig.

3.7 Ihre Rechte (Betroffenenrechte)

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Information über gespeicherte Daten
• Berichtigungsrecht (Art. 16 DSGVO): Korrektur falscher Daten
• Löschungsrecht (Art. 17 DSGVO): Löschung unter bestimmten Voraussetzungen
• Einschränkungsrecht (Art. 18 DSGVO): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Export Ihrer Daten
• Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitung
• Beschwerderecht bei der zuständigen Aufsichtsbehörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de

Zur Ausübung Ihrer Rechte wenden Sie sich an: [email protected]

3.8 Cookies und technische Speicherung

SL-UP verwendet technisch notwendige Session-Cookies zur Aufrechterhaltung der Anmeldesitzung. Zusätzlich werden UI-Einstellungen (z. B. Sidebar-Status) sowie Ihre Cookie-Entscheidung im localStorage des Browsers gespeichert; für die Cookie-Entscheidung selbst wird bewusst kein Cookie gesetzt.

Darüber hinausgehende Cookies zu Analyse- oder Werbezwecken setzen wir nur auf den öffentlichen Marketing-Seiten und nur nach Ihrer ausdrücklichen Einwilligung ein — Einzelheiten dazu in Abschnitt 3.8b.

Im eingeloggten Portal findet kein Tracking statt. Dort werden ausschließlich die oben genannten technisch notwendigen Cookies eingesetzt. Externe Medien-Einbettungen verwenden wir auf keiner Seite.

3.8b Reichweitenmessung und Werbung auf den öffentlichen Seiten (nur mit Ihrer Einwilligung)

Auf unseren öffentlichen Marketing-Seiten setzen wir Google Analytics 4 und Google Ads ein — allerdings ausschließlich dann, wenn Sie zuvor ausdrücklich eingewilligt haben. Ohne Ihre Einwilligung wird kein entsprechendes Skript geladen und es entsteht keinerlei Verbindung zu Google.

• Zweck: Wir möchten verstehen, wie Besucher auf unsere Seite gelangen, welche Inhalte genutzt werden und ob unsere Werbeanzeigen wirken.
• Verarbeitete Daten: gekürzte IP-Adresse, Browser- und Geräteangaben, aufgerufene Seiten, Verweisquelle, Zeitpunkt des Zugriffs sowie die Information, ob Sie sich für die Beta vorgemerkt haben (Conversion). Wir aktivieren die IP-Kürzung; eine Zusammenführung mit Ihrem Nutzerkonto findet nicht statt.
• Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG (vormals TTDSG).
• Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an Google LLC in die USA ist nicht ausgeschlossen; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023).
• Speicherdauer: Die von Google gesetzten Cookies laufen spätestens nach 24 Monaten ab. Ereignisdaten in Google Analytics werden nach 14 Monaten gelöscht.
• Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Link „Cookie-Einstellungen“ im Seitenfuß. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Solange Sie nicht einwilligen oder Ihre Einwilligung widerrufen, funktioniert die Seite vollständig und uneingeschränkt. Es entsteht Ihnen kein Nachteil.

Cookie-Einstellungen ändern

3.8c Newsletter

Auf unseren öffentlichen Seiten können Sie unseren Newsletter abonnieren. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach Eingabe Ihrer E-Mail-Adresse erhalten Sie eine Bestätigungsmail. Erst wenn Sie den darin enthaltenen Link anklicken, nehmen wir Sie in den Verteiler auf.

• Verarbeitete Daten: Ihre E-Mail-Adresse sowie – als Nachweis der Einwilligung – Zeitpunkt und IP-Adresse der Anmeldung, Zeitpunkt und IP-Adresse der Bestätigung, die verwendete Browserkennung sowie der genaue Wortlaut der Einwilligung samt Fassung.
• Zweck: Versand des Newsletters mit Produktneuheiten, Praxistipps zur Urlaubs- und Schichtplanung sowie Hinweisen auf rechtliche Änderungen; Nachweis der erteilten Einwilligung.
• Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Protokollierung der Einwilligung stützt sich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Nachweispflicht aus Art. 7 Abs. 1 DSGVO.
• Empfänger: Kein Newsletter-Dienstleister. Für Verwaltung und Versand nutzen wir die selbst betriebene Software Sendy auf einem eigenen Mailserver in Deutschland. Als Auftragsverarbeiter im Sinne von Art. 28 DSGVO ist daran allein unser Rechenzentrumsbetreiber beteiligt, die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, mit dem ein Auftragsverarbeitungsvertrag besteht; die Server stehen in Deutschland. Ihre Adresse wird an keinen weiteren Dritten übermittelt und verlässt die EU nicht. Beim Versand selbst erreicht Ihre E-Mail naturgemäß den Anbieter Ihres eigenen Postfachs.
• Speicherdauer: Anmeldungen, die nicht innerhalb von 30 Tagen bestätigt werden, löschen wir automatisch. Nach einer Abmeldung entfernen wir Ihre Adresse aus dem Versand; der Einwilligungsnachweis wird zur Erfüllung unserer Nachweispflicht weiter aufbewahrt und auf Wunsch gelöscht.
• Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder Newsletter-E-Mail, über die Seite Newsletter abbestellen oder formlos per E-Mail an [email protected]. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Eine Auswertung des individuellen Öffnungs- oder Klickverhaltens einzelner Empfänger nehmen wir nicht vor.

3.8a Datenschutz für Nutzer in der Schweiz (nDSG)

Für Nutzer mit Wohnsitz oder Sitz in der Schweiz gelten ergänzend die Bestimmungen des Schweizer Datenschutzgesetzes (nDSG, in Kraft seit 01.09.2023). Als Verantwortlicher im Sinne des nDSG informieren wir: Sie haben das Recht auf Auskunft (Art. 25 nDSG), Berichtigung (Art. 32 nDSG), Löschung und Datenherausgabe. Beschwerden können an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, www.edoeb.admin.ch) gerichtet werden. Datenübermittlungen in die EU erfolgen auf Grundlage des Angemessenheitsbeschlusses der Schweiz gegenüber der EU (Art. 16 nDSG).

3.9 Auftragsverarbeitung & Hinweis für Mitarbeitende

Soweit Kunden (Unternehmen) SL-UP für die Verwaltung von Mitarbeiterdaten nutzen, agiert der Anbieter als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Den vollständigen Auftragsverarbeitungsvertrag (AVV) finden Sie hier: AVV gem. Art. 28 DSGVO. Bei Fragen wenden Sie sich an: [email protected]

Hinweis für Mitarbeitende (Betroffene): Diese Datenschutzerklärung richtet sich primär an die Kunden (Arbeitgeber/Auftraggeber) von SL-UP. Wenn Ihre Daten (Abwesenheiten, Zeiterfassung etc.) durch Ihren Arbeitgeber über SL-UP verwaltet werden, ist Ihr Arbeitgeber der datenschutzrechtlich Verantwortliche gemäß Art. 4 Nr. 7 DSGVO. SL-UP agiert dabei als Auftragsverarbeiter. Für Auskünfte nach Art. 15 DSGVO, Berichtigungen nach Art. 16 DSGVO oder die Ausübung sonstiger Betroffenenrechte wenden Sie sich bitte direkt an Ihren Arbeitgeber. SL-UP leitet entsprechende Anfragen gemäß Art. 28 Abs. 3 lit. e DSGVO an den zuständigen Kunden weiter.

3.10 Sicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten vor Verlust, Zerstörung, Manipulation und unberechtigtem Zugriff zu schützen. Dazu gehören insbesondere die Verschlüsselung der Datenübertragung, Zugriffskontrolle, regelmäßige verschlüsselte Datensicherungen, Schutz vor gängigen Angriffen sowie die Speicherung von Passwörtern nach dem Stand der Technik.

3.10a Zwei-Faktor-Authentifizierung (2FA/TOTP)

SL-UP bietet optional eine Zwei-Faktor-Authentifizierung (2FA) mittels TOTP (Time-based One-Time Password) an. Bei Aktivierung wird ein kryptographischer Schlüssel generiert und verschlüsselt gespeichert. Dieser Schlüssel wird ausschließlich zur Generierung zeitbasierter Einmalpasswörter verwendet. Alternativ kann ein E-Mail-basierter 2FA-Code gesendet werden. Die 2FA-Daten werden bei Deaktivierung oder Löschung des Benutzerkontos unwiderruflich gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kontosicherheit).

3.10b Bot-Schutz

Zur Abwehr automatisierter Zugriffe (Bots) auf Login-Seite und öffentliche Formulare setzen wir einen Bot-Schutz ein, der auf unseren eigenen Servern läuft. Bei diesem Schutz werden keine Daten an externe Drittanbieter übermittelt; die Prüfung erfolgt vollständig auf unseren eigenen Servern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Anwendung).

Cloudflare Turnstile auf öffentlichen Formularen: Zusätzlich setzen wir auf folgenden öffentlichen Formularen den Dienst Cloudflare Turnstile der Cloudflare, Inc. (USA) ein: Vormerk-Formular der Startseite, Newsletter-An- und -Abmeldung. Bereits beim Aufruf dieser Seiten – nicht erst beim Absenden eines Formulars – wird ein Prüfskript von Servern von Cloudflare geladen. Dabei verarbeitet Cloudflare unter anderem Ihre IP-Adresse, Browser- und Verbindungsmerkmale sowie die Herkunftswebsite, um menschliche von automatisierten Zugriffen zu unterscheiden. Beim Absenden übermittelt unser Server den dabei erzeugten Sicherheitsnachweis zusammen mit Ihrer IP-Adresse zur Prüfung an Cloudflare; die von Ihnen eingegebenen Formularinhalte (z. B. Name oder E-Mail-Adresse) übermitteln wir dabei nicht. Im Kundenportal (Login und angemeldeter Bereich) wird Turnstile nicht eingesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Formulare vor Spam, Missbrauch und automatisierten Angriffen). Sie können dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO widersprechen. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework sowie ergänzend der EU-Standardvertragsklauseln. Einzelheiten: Turnstile Privacy Addendum.

Optionale Terminbuchung: Anbieter können auf ihrer öffentlichen Buchungsseite zusätzlich Cloudflare Turnstile aktivieren. Diese Option ist standardmäßig ausgeschaltet. Erst nach Auswahl von „Sicherheitsprüfung laden“ wird der Dienst von Cloudflare, Inc. verbunden. Dabei verarbeitet Cloudflare unter anderem IP-Adresse, Browser-/Verbindungsmerkmale und die Herkunftswebsite zur Bot-Abwehr sowie zur Verbesserung der Bot-Erkennung. Unsere serverseitige Prüfung übermittelt den Sicherheitsnachweis; Name, E-Mail-Adresse und Termindetails werden nicht als Prüfparameter übermittelt. Bei deaktivierter Option werden keine Turnstile-Ressourcen geladen.

Der für die Terminvereinbarung verantwortliche Anbieter nennt die Rechtsgrundlage und weitere Angaben zur Verarbeitung in seinem Datenschutzhinweis auf der Buchungsseite. Cloudflare handelt laut eigenen Angaben zur Absicherung der Website als Auftragsverarbeiter und zur Verbesserung der Bot-Erkennung als eigener Verantwortlicher. Einzelheiten und Kontaktmöglichkeiten: Turnstile Privacy Addendum. Wenn Sie die externe Sicherheitsprüfung nicht nutzen möchten, wenden Sie sich über die angegebene Kontaktadresse an den Anbieter.

3.10c Drittlandtransfers (Art. 44–49 DSGVO)

Soweit Daten an Empfänger in Drittländern (insbes. USA) übermittelt werden, stützen wir uns auf folgende Garantien nach Art. 44 ff. DSGVO:

• Apple Inc. (USA): Zustellung von Push-Benachrichtigungen der iOS-App über den Apple Push Notification service (APNs); übermittelt wird ein pseudonymes Geräte-Token. Übermittlung auf Basis des EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln als Fallback-Garantie.
• Google LLC (USA): Zustellung optionaler Push-Benachrichtigungen der Android-App über Firebase Cloud Messaging (FCM); übermittelt werden ein pseudonymes Geräte-Token, technisch notwendige Geräteinformationen sowie Titel und Text der jeweiligen Mitteilung. Übermittlung auf Basis des EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln als Fallback-Garantie.
• Cloudflare, Inc. (USA): Reverse-Proxy/CDN und DDoS-Schutz für sämtlichen Zugriff auf sl-up.com sowie Cloudflare Turnstile auf öffentlichen Formularen (Abschnitt 3.10b) und optional bei der Terminbuchung. Übermittlung auf Basis des EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln (SCC) als ergänzende Garantie nach Art. 46 Abs. 2 lit. c DSGVO.

Kalender-Abonnements: Richtet ein Kunde oder eine Nutzerin ein Kalender-Abo (Abschnitt 3.5a) in einem Dienst mit Sitz oder Rechenzentren außerhalb der EU ein, entsteht ein Drittlandtransfer, den der Kunde als Verantwortlicher auslöst und zu bewerten hat. Wir stellen die Daten lediglich zum Abruf bereit und weisen im Produkt vor dem Anlegen eines Abteilungs-Abos ausdrücklich darauf hin.

Wir weisen darauf hin, dass in den USA ein mit der EU nicht gleichwertiges Datenschutzniveau besteht. US-Behörden können unter Umständen auf Basis von FISA Section 702 / EO 12333 Zugriff auf Daten nehmen. Wir haben für die o.g. Drittlandtransfers eine Transfer Impact Assessment (TIA) durchgeführt und sind zu dem Ergebnis gekommen, dass die kombinierten Garantien (DPF + SCC + technische Maßnahmen) ein angemessenes Schutzniveau bieten. Die TIA ist auf Anfrage bei [email protected] erhältlich.

5. Impressum

Anbieter und Verantwortlicher:

Software und Büroservice Christine Schremmer
Odenwaldring 13
63500 Seligenstadt
Deutschland

Kontakt:
Telefon: +49 (0) 6182–7873203
E-Mail: [email protected]

Umsatzsteuer-Identifikationsnummer: DE250861697

Haftungsausschluss: Die Nutzung der SL-UP Software erfolgt auf eigene Verantwortung. Der Anbieter übernimmt keine Haftung für fehlerhafte Urlaubsberechnungen, die auf falschen Eingaben des Kunden beruhen.

Urheberrecht: Die Software SL-UP ist urheberrechtlich geschützt. Alle Rechte vorbehalten. © Christine Schremmer & Jörg Lortz

6. Streitbeilegung

Wir sind gemäß § 36 VSBG (Verbraucherstreitbeilegungsgesetz) weder bereit noch verpflichtet, an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.