Datenschutzerklärung

Diese Datenschutzerklärung informiert nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir beim Betrieb von sl-up.com, der Apps und der Software SL-UP verarbeiten, wofür, auf welcher Rechtsgrundlage, an wen sie gehen und wie lange wir sie speichern.

1. Auf einen Blick: Wer ist wofür verantwortlich?

SL-UP ist eine Software für Urlaubs-, Zeit- und Schichtplanung für Unternehmen. Dabei handeln wir in zwei Rollen:

Wenn Sie SL-UP als Beschäftigte oder Beschäftigter Ihres Arbeitgebers nutzen: Verantwortlich für Ihre Daten in SL-UP ist Ihr Arbeitgeber, nicht wir. Er entscheidet, welche Funktionen eingesetzt, welche Daten erfasst und wie lange sie aufbewahrt werden. Bitte richten Sie Fragen und Anträge auf Auskunft, Berichtigung oder Löschung an Ihren Arbeitgeber. Erreicht uns ein solcher Antrag, leiten wir ihn an Ihren Arbeitgeber weiter.

2. Verantwortlicher und Kontakt

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die in den Abschnitten 4 bis 18 beschriebenen Verarbeitungen:

Jörg Lortz (Einzelunternehmen)
Friedhofstr. 2a, 63500 Seligenstadt, Deutschland
E-Mail: [email protected] · Kontaktformular

Datenschutzbeauftragter: Wir haben keinen Datenschutzbeauftragten benannt. Für alle Datenschutzfragen erreichen Sie uns unter der oben genannten Adresse.

Frühere Anbieterin: Bis zum 10.10.2026 war Software und Büroservice Christine Schremmer Anbieterin von sl-up.com. Für Verarbeitungen bis zu diesem Tag war sie verantwortlich; für Verarbeitungen ab diesem Tag sind wir es.

3. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit eine der folgenden Rechtsgrundlagen greift; welche es jeweils ist, steht bei der einzelnen Verarbeitung:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Reichweitenmessung, Newsletter, Beta-Vormerkung)
• Art. 6 Abs. 1 lit. b DSGVO – Vertrag oder vorvertragliche Maßnahmen (z. B. Kundenkonto, Buchung)
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Pflicht (z. B. steuerliche Aufbewahrung)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse (z. B. sicherer Betrieb, Missbrauchsabwehr)
• § 25 Abs. 1 und 2 TDDDG – Speicherung von und Zugriff auf Informationen in Ihrem Endgerät (Abschnitt 5)

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

4. Besuch der Website

Was passiert: Beim Aufruf von sl-up.com übermittelt Ihr Browser technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser- und Betriebssystemangaben, Statuscode und übertragene Datenmenge.

Cloudflare: Der gesamte Datenverkehr zu sl-up.com läuft über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Schutz vor Überlastungsangriffen und automatisierten Zugriffen, Auslieferung, Verschlüsselung). Cloudflare verarbeitet dabei die Verbindungsdaten und – zur Prüfung kurzzeitig entschlüsselt – die übertragenen Inhalte in unserem Auftrag (Art. 28 DSGVO), ohne sie dauerhaft zu speichern. Zur Abwehr automatisierter Zugriffe kann Cloudflare das Cookie cf_clearance setzen (Abschnitt 5). Zum Drittland siehe Abschnitt 21.

Server-Protokolle: Unser Server bei der Hetzner Online GmbH in Deutschland protokolliert Zugriffe und Fehler, um den Betrieb zu sichern, Fehler zu finden und Angriffe zu erkennen. Zugriffsprotokolle des Webservers, Mail-Protokolle und das Systemjournal löschen wir automatisch nach spätestens 14 Tagen. Anwendungsprotokolle (Fehlermeldungen der Software) werden nach Größe bzw. Alter rotiert; archivierte Protokolle löschen wir nach 30 Tagen, sonstige alte Protokolldateien nach spätestens 90 Tagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die sichere und funktionsfähige Bereitstellung der Website. Eine Zusammenführung mit anderen Datenquellen zu Werbezwecken findet nicht statt.

5. Cookies und Speicherung im Endgerät (§ 25 TDDDG)

Ohne Ihre Einwilligung speichern wir in Ihrem Browser nur, was für den von Ihnen gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Alles andere geschieht nur nach Einwilligung (§ 25 Abs. 1 TDDDG).

Der localStorage, der sessionStorage und der Service-Worker-Cache verbleiben in Ihrem Browser und werden nicht an uns übertragen, soweit nicht ausdrücklich anders beschrieben.

Einwilligung und Widerruf: Auf den öffentlichen Seiten fragen wir beim ersten Besuch, ob wir die Nutzung messen dürfen. „Ablehnen“ und „Akzeptieren“ sind gleichwertig. Vor Ihrer Entscheidung und nach einer Ablehnung wird kein Skript von Google geladen und keine Verbindung zu Google aufgebaut. Ihre Entscheidung können Sie jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß ändern.

Cookie-Einstellungen ändern

Im angemeldeten Bereich und in den Apps findet keine Reichweitenmessung statt. Einzige Ausnahme ist die Bestätigungsseite direkt nach der Aktivierung eines neuen Kontos: Sie meldet – nur mit Einwilligung und ohne Kontodaten – einmalig einen Seitenaufruf und die Bestätigung der Anmeldung an Google Analytics und leitet dann weiter.

6. Reichweitenmessung mit Google Analytics 4 (nur mit Einwilligung)

Wenn Sie eingewilligt haben, nutzen wir auf den öffentlichen Seiten Google Analytics 4, um zu verstehen, wie Besucher auf unsere Seiten gelangen und welche Inhalte genutzt werden.

• Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“), als unser Auftragsverarbeiter auf Grundlage der Google-Bedingungen zur Datenverarbeitung für Werbe- und Messdienste. Eine Übermittlung an die Google LLC, USA, ist möglich (Abschnitt 21).
• Technik: Das Google-Tag (gtag.js) wird erst nach Ihrer Einwilligung von www.googletagmanager.com geladen. Einen Tag-Manager-Container setzen wir nicht ein.
• Daten: aufgerufene Seiten (ohne Suchparameter; erhalten bleiben nur die nachstehend genannten Kampagnenangaben), Verweisquelle (ohne Suchparameter), ausgewählte Kampagnenangaben aus dem Aufruf (utm_source, utm_medium, utm_campaign, utm_content, z. B. von unseren Flyern, Fahrzeugbeschriftungen oder Verzeichniseinträgen; Quelle und Medium nur aus einer festen Liste, Kampagnen- und Inhaltskennung nur aus Kleinbuchstaben, Ziffern und Bindestrich), Zeitpunkt, Browser-, Geräte- und ungefähre Standortangaben (Land/Region), eine zufällige Kennung im Cookie _ga, Ereignisse wie das Absenden und Bestätigen einer Beta-Vormerkung oder Selbstanmeldung (ohne Inhalte). Nach Angaben von Google werden IP-Adressen von Nutzern aus der EU in Google Analytics 4 nicht protokolliert oder gespeichert, sondern nur zur groben Standortbestimmung verwendet und dann verworfen. Eine Zusammenführung mit Ihrem Kundenkonto findet nicht statt.
• Keine Werbung: Ihre Einwilligung umfasst nur die Messung. Wir nutzen Google Analytics nicht für personalisierte Werbung oder zur Bildung von Werbezielgruppen; im Google-Tag sind Google Signals und personalisierte Werbung abgeschaltet, Werbe-Cookies werden nicht freigegeben. Google Ads und andere Werbedienste setzen wir derzeit nicht ein.
• Rechtsgrundlage: Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
• Speicherdauer: Die Cookies laufen nach spätestens 24 Monaten ab. Ereignisdaten auf Nutzerebene löscht Google nach der in unserer Property eingestellten Aufbewahrungsdauer, höchstens nach 14 Monaten; danach bleiben nur zusammengefasste Berichte.
• Widerruf: jederzeit über „Cookie-Einstellungen“ im Seitenfuß. Nach dem Widerruf wird das Google-Tag nicht mehr geladen. Bereits gesetzte Analytics-Cookies können Sie in Ihrem Browser löschen.

7. Eingebettete Videos (YouTube)

Auf einzelnen Seiten (z. B. Funktionsübersicht) zeigen wir Videos von YouTube. Zunächst sehen Sie nur ein bei uns gespeichertes Vorschaubild; es wird keine Verbindung zu YouTube aufgebaut. Erst wenn Sie auf das Video klicken, wird es im erweiterten Datenschutzmodus (youtube-nocookie.com) samt Abspielschnittstelle von www.youtube.com geladen. Dann erhält Google Ireland Limited (für YouTube) Ihre IP-Adresse, Browser- und Geräteangaben, die aufrufende Seite und Angaben zur Wiedergabe; YouTube kann dabei Informationen in Ihrem Browser speichern oder auslesen. Für diese Verarbeitung ist Google selbst verantwortlich; es gilt die Datenschutzerklärung von Google. Eine Übermittlung an die Google LLC in den USA ist möglich (Abschnitt 21).

Rechtsgrundlage: Ihre Einwilligung durch den Klick auf das Video (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Vor dem Klick weisen wir beim Vorschaubild darauf hin, dass beim Abspielen Daten an Google/YouTube übertragen werden, und verlinken auf diesen Abschnitt. Den Widerruf erklären Sie, indem Sie das Video nicht erneut starten und die Seite schließen; bereits gesetzte Informationen können Sie in Ihrem Browser löschen.

8. Suchmaschinen

Um zu sehen, wie sl-up.com in Suchmaschinen gefunden wird, nutzen wir Werkzeuge der Suchmaschinenbetreiber, z. B. die Google Search Console (Google Ireland Limited). Neue oder geänderte Seiten melden wir gelegentlich über das Protokoll IndexNow an Suchmaschinen; dabei übermitteln wir nur Adressen unserer Seiten. Für diese Werkzeuge binden wir keine Skripte auf unseren Seiten ein; Daten über Besucher unserer Website übermitteln wir an diese Dienste nicht. Wir erhalten nur zusammengefasste Statistiken zu Suchanfragen und Klicks.

9. Kontaktformular und E-Mail

• Daten: Name, E-Mail-Adresse, Inhalt Ihrer Nachricht. Zur Missbrauchsbegrenzung speichern wir kurzzeitig Ihre IP-Adresse (bei IPv6 nur den Netzanteil) und einen Hashwert Ihrer E-Mail-Adresse; diese Einträge werden nach einer Stunde, spätestens nach 7 Tagen gelöscht.
• Zweck und Rechtsgrundlage: Bearbeitung Ihrer Anfrage. Betrifft sie einen bestehenden oder angebahnten Vertrag, Art. 6 Abs. 1 lit. b DSGVO, sonst unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Die Missbrauchsbegrenzung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO.
• Empfänger: Die Nachricht wird nicht in einer Datenbank gespeichert, sondern per E-Mail an unser Postfach [email protected] übermittelt (Abschnitt 18). Sie erhalten keine automatische Antwort.
• Speicherdauer: Wir löschen die Nachricht, wenn Ihre Anfrage erledigt ist, es sei denn, sie ist als Geschäftsbrief aufzubewahren (sechs Jahre, § 147 Abs. 1 Nr. 2, 3 und Abs. 3 AO, § 257 HGB).

10. Beta-Vormerkung

Auf den öffentlichen Seiten können Sie sich für den Zugang zu SL-UP vormerken.

• Daten: E-Mail-Adresse, Name, Firma, ungefähre Nutzerzahl, Land, Zeitpunkt und IP-Adresse der Anmeldung sowie – falls vorhanden – Herkunftsangaben aus dem Aufruf (Kampagnenparameter wie utm_source, verweisende Website, Einstiegsseite).
• Verfahren: Sie erhalten eine E-Mail mit einem Bestätigungslink (48 Stunden gültig). Erst nach Bestätigung nehmen wir Sie in die Vormerkliste auf.
• Zweck: Kontaktaufnahme zur Freischaltung Ihres Zugangs und zur Einrichtung; Auswertung, über welche Wege Interessenten zu uns kommen (ohne Profilbildung).
• Rechtsgrundlage: für Vormerkung und Kontaktaufnahme Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO); für die Auswertung der Zugangswege unser berechtigtes Interesse an der Wirksamkeit unserer Werbung (Art. 6 Abs. 1 lit. f DSGVO, Widerspruch siehe Hinweis nach Abschnitt 2).
• Empfänger: Die Vormerkung wird auf unserem Server gespeichert. Über neue Vormerkungen werden wir per E-Mail benachrichtigt (Postfach unter sl-up.com, Abschnitt 18). Zusätzlich erhalten wir einen kurzen Hinweis über den Benachrichtigungsdienst ntfy.sh, der weder Ihren Namen noch Ihre Kontaktdaten oder Firma enthält, sondern nur die Herkunftsangabe (Abschnitt 16).
• Speicherdauer: Wir speichern Ihre Vormerkung, bis Ihr Zugang eingerichtet ist oder Sie widerrufen; auf Ihre Anfrage löschen wir sie sofort. Die IP-Adresse entfernen wir nach 30 Tagen. Unbestätigte Vormerkungen werden derzeit nicht automatisch gelöscht; eine automatische Höchstfrist ist noch nicht eingerichtet.
• Widerruf: jederzeit formlos an [email protected].

11. Newsletter

• Verfahren: Anmeldung im Double-Opt-in: Erst nach Klick auf den Link in der Bestätigungsmail nehmen wir Sie in den Verteiler auf.
• Daten: E-Mail-Adresse; als Nachweis der Einwilligung Zeitpunkt und IP-Adresse von Anmeldung und Bestätigung (bzw. Abmeldung), Browserkennung, Wortlaut und Fassung der Einwilligung sowie die Stelle, an der Sie sich angemeldet haben.
• Zweck: Versand von Informationen zu Produktneuheiten, Praxistipps zur Urlaubs-, Zeit- und Schichtplanung und Hinweisen auf rechtliche Änderungen; Nachweis der Einwilligung.
• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG); Nachweis Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO.
• Versand: mit der selbst betriebenen Software Sendy auf einem Server der Hetzner Online GmbH in Deutschland (Auftragsverarbeiter). An Sendy übergeben wir Ihre E-Mail-Adresse und die IP-Adresse der Bestätigung. Einen externen Newsletter-Dienstleister setzen wir nicht ein.
• Erfolgsmessung: Wir werten nicht aus, ob und wann einzelne Empfänger den Newsletter öffnen oder Links anklicken.
• Speicherdauer: Unbestätigte Anmeldungen löschen wir nach 30 Tagen. Nach Abmeldung entfernen wir Ihre Adresse aus dem Versand; den Einwilligungsnachweis bewahren wir auf, um die Rechtmäßigkeit des Versands belegen zu können (Art. 6 Abs. 1 lit. f DSGVO). Auf Ihren Wunsch löschen wir ihn.
• Widerruf: über den Abmeldelink in jeder Ausgabe, über Newsletter abbestellen oder per E-Mail an [email protected].

12. Registrierung und Kundenkonto

• Daten bei der Registrierung: Vorname, Nachname, E-Mail-Adresse, Firmenname, Passwort (nur als sicherer Hashwert gespeichert), IP-Adresse, Zeitpunkt und Fassung der Zustimmung zu AGB und Auftragsverarbeitungsvertrag (mit gekürzter IP-Adresse), Ihre Erklärung, als Unternehmer zu handeln.
• Zweck und Rechtsgrundlage: Einrichtung und Verwaltung des Kundenkontos, Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO); Nachweis von Vertragsschluss und Zustimmungen (Art. 6 Abs. 1 lit. f DSGVO).
• Speicherdauer: Nicht bestätigte Registrierungen löschen wir nach 30 Tagen. Bei bestätigten Registrierungen entfernen wir IP-Adresse und Bestätigungsdaten der Anmeldung nach 30 Tagen. Kontodaten speichern wir für die Dauer des Vertrags; zur Löschung nach Vertragsende siehe Abschnitt 22. Zustimmungsnachweise bewahren wir als Nachweis des Vertragsschlusses auf; die IP-Adresse im Nachweis der Zustimmung zum Auftragsverarbeitungsvertrag entfernen wir nach 90 Tagen.
• Hinweis-E-Mails zur Einrichtung: Hinweise zur Einrichtung per E-Mail erhalten nur Personen, die das in ihrem Profil eingeschaltet haben; sie lassen sich dort jederzeit wieder abschalten. Werbe-E-Mails versenden wir ohne Einwilligung nicht.

13. Buchung, Vertrag und Abrechnung (Stripe)

• Daten: Firmenname, Name der handelnden Person, Rechnungsanschrift, E-Mail-Adresse, gegebenenfalls USt-IdNr., gebuchte Leistungen, Preise, Laufzeit, Rechnungen, Zahlungsstatus. Von Stripe erhalten und speichern wir Kennungen von Kunde, Abonnement, Bezahlvorgang und Rechnungen sowie die Zahlungsart (z. B. Karte oder SEPA-Lastschrift); vollständige Karten- und Kontodaten erhalten wir nicht.
• Zweck und Rechtsgrundlage: Vertragsschluss, Leistungserbringung, Rechnungsstellung und Zahlungseinzug (Art. 6 Abs. 1 lit. b DSGVO); steuer- und handelsrechtliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO).
• Stripe: Zahlungen mit den von uns bei Stripe freigeschalteten Zahlungsarten (derzeit Karte und SEPA-Lastschrift) wickelt die Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, Irland, ab. Karten- und Kontodaten geben Sie auf einer Seite von Stripe ein; sie werden nicht auf unseren Servern gespeichert. Soweit Stripe die Zahlung für uns abwickelt, ist Stripe unser Auftragsverarbeiter. Für eigene Zwecke – Betrugs- und Missbrauchsabwehr, Risikomanagement, Erfüllung gesetzlicher Pflichten wie der Geldwäscheprävention – ist Stripe selbst verantwortlich und kann einzelne Zahlungen dabei automatisiert ablehnen; es gilt die Datenschutzerklärung von Stripe. Stripe übermittelt Daten auch an die Stripe, LLC, USA (Abschnitt 21). Daten Ihrer Beschäftigten übermitteln wir nicht an Stripe.
• SEPA-Lastschrift: Die Vorabankündigung erhalten Sie per E-Mail von Stripe in unserem Namen.
• Beteiligte Banken und Kartennetzwerke verarbeiten die Zahlungsdaten in eigener Verantwortung.
• Speicherdauer: Rechnungen und Buchungsbelege müssen wir acht Jahre aufbewahren (§ 14b Abs. 1 UStG, § 147 Abs. 1 Nr. 4, Abs. 3 AO), Handels- und Geschäftsbriefe sechs Jahre, jeweils ab Ende des Kalenderjahres. Die Kundendaten in unseren Bestelldaten anonymisieren wir nach zehn Jahren. Nicht abgeschlossene Bezahlvorgänge löschen wir nach 90 Tagen, technische Zahlungsereignisse nach 90 Tagen bzw. bei Fehlern nach 365 Tagen. Stripe speichert Daten nach eigenen Aufbewahrungsregeln.

14. Kündigung

Über die Kündigungsseite erhalten wir Name, Firma, E-Mail-Adresse, gegebenenfalls Ihre Firmen-ID, Art und Umfang der Kündigung (bei außerordentlicher Kündigung den angegebenen Grund), den gewünschten Zeitpunkt und den Zeitpunkt des Eingangs. Zur Sicherheit senden wir einen Bestätigungslink an die im Konto hinterlegte Adresse; nach der Bestätigung ordnen wir die Kündigung dem Konto zu, berechnen das Vertragsende und kündigen ein laufendes Abonnement bei Stripe mit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Nicht bestätigte Kündigungen löschen wir nach 14 Tagen aus unserer Datenbank; die Kündigungserklärung bewahren wir in unserem Postfach als Geschäftsbrief sechs Jahre auf. Freiwillige Angaben zum Kündigungsgrund (Auswahl, Freitext, gegebenenfalls künftiger Anbieter) verwenden wir zur Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO); Name, E-Mail-Adresse und Freitext dazu löschen wir nach zwei Jahren.

15. Fehlermeldungen, Feedback und Umfragen

• Fehlermeldungen: Über „Fehler melden“ im Programm senden Sie uns eine Beschreibung, auf Wunsch ein Bildschirmfoto (eingebettete Metadaten entfernen wir, soweit technisch möglich), die aufgerufene Seite, Browserangaben sowie Ihre Nutzer- und Kunden-Kennung. Bitte nehmen Sie keine Daten anderer Personen in Text oder Bildschirmfoto auf. Wir speichern die Meldung auf unserem Server und erhalten eine Benachrichtigung per E-Mail an unser Postfach. Zweck: Fehlerbehebung und Verbesserung der Software; Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Löschung samt Bildschirmfoto nach 180 Tagen.
• Zufriedenheitsabfrage: Gelegentlich bitten wir im Programm um eine freiwillige Bewertung mit optionaler Begründung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verbesserung des Angebots). Nach zwei Jahren wird der Bezug zu Ihrem Konto entfernt und die Begründung gelöscht.
• Rabatt- und Sonderanfragen: Angaben aus Anfragen (z. B. Name, E-Mail, Begründung) bearbeiten wir zur Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO) und löschen sie ein Jahr nach Erledigung, spätestens nach zwei Jahren.

16. Sicherheit, Betrieb und Überwachung der Plattform

• Sicherheitsereignisse und Protokolle: Anmeldungen, Fehlversuche, Passwort- und Zwei-Faktor-Änderungen und vergleichbare Ereignisse protokollieren wir mit Zeitpunkt, Kennung, IP-Adresse und Browserangaben, um Konten zu schützen und Angriffe zu erkennen. In Sicherheitsereignissen entfernen wir IP-Adresse und Browserangaben nach 90 Tagen und löschen die Einträge nach einem Jahr. Im Änderungsprotokoll entfernen wir die IP-Adresse nach 90 Tagen; die Einträge löschen wir je nach Art nach 30 Tagen (erfolgreiche Schnittstellenzugriffe), 180 Tagen (fachliche Änderungen), einem Jahr (sicherheitsrelevante Vorgänge) oder drei Jahren (arbeitszeitrelevante Änderungen). Sitzungsdaten (IP-Adresse, Browser) entfernen wir nach 30 Tagen, Zähler zur Begrenzung von Anmeldeversuchen nach spätestens 7 Tagen.
• Zwei-Faktor-Anmeldung: Schalten Sie sie ein, speichern wir einen Schlüssel für Einmalcodes verschlüsselt; er wird beim Abschalten oder mit dem Konto gelöscht.
• Bot-Schutz: Öffentliche Formulare schützen wir durch eigene Prüfungen auf unserem Server (verstecktes Feld, signiertes Zeitmerkmal, Begrenzung der Anfragen). Auf folgenden Formularen setzen wir zusätzlich Cloudflare Turnstile ein: Vormerk-Formular der Startseite, Newsletter-An- und -Abmeldung. Beim Aufruf der Seite bzw. bei der ersten Eingabe in das Formular lädt Ihr Browser ein Prüfskript von Cloudflare, das Merkmale Ihres Browsers ausliest (§ 25 Abs. 2 Nr. 2 TDDDG, weil der Schutz des von Ihnen genutzten Formulars ohne diese Prüfung nicht möglich ist); dabei verarbeitet Cloudflare Ihre IP-Adresse, Browser- und Verbindungsmerkmale und die Herkunftsseite, um Menschen von automatisierten Zugriffen zu unterscheiden. Formularinhalte übermitteln wir nicht an Cloudflare. Cloudflare handelt dabei zur Absicherung als unser Auftragsverarbeiter und zur Verbesserung der Bot-Erkennung als eigener Verantwortlicher (Turnstile Privacy Addendum). Im angemeldeten Bereich wird Turnstile nicht eingesetzt.
• Terminbuchung: Kunden können auf ihrer öffentlichen Buchungsseite zusätzlich Cloudflare Turnstile einschalten (standardmäßig aus). Erst nach Auswahl von „Sicherheitsprüfung laden“ wird dann eine Verbindung zu Cloudflare aufgebaut; Name, E-Mail-Adresse und Termindetails werden dabei nicht als Prüfangaben übermittelt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Plattform, der Konten und der Daten unserer Kunden; zugleich Art. 32 DSGVO). Widerspruch siehe Hinweis nach Abschnitt 2.
• Erreichbarkeits- und Funktionsüberwachung: Ob sl-up.com erreichbar ist und unsere geplanten Aufgaben laufen, prüfen externe Dienste: healthchecks.io (SIA Monkey See Monkey Do, Riga, Lettland) erhält Erfolgs- oder Fehlermeldungen unserer Server, Better Stack ruft öffentliche Adressen von sl-up.com ohne Anmeldung ab. Daten von Nutzern oder Kunden übermitteln wir dabei nicht; eine weitergeleitete Fehlermeldung der Software kann im Einzelfall technische Angaben enthalten. Unsere Statusseite status.sl-up.com wird von Better Stack betrieben; wenn Sie sie aufrufen, verarbeitet Better Stack Ihre Verbindungsdaten (IP-Adresse, Browserangaben).
• Betriebsmeldungen an uns: Über bestimmte Ereignisse (z. B. neue Vormerkung oder Anmeldung, Fehler der Software) informieren wir uns selbst über den öffentlichen Push-Dienst ntfy.sh, mit dem kein Auftragsverarbeitungsvertrag besteht. Die Meldungen enthalten nur das Ereignis und technische Angaben wie eine interne Kundennummer, Rolle oder Gerätetyp, keine Namen oder Kontaktdaten; Fehlermeldungen der Software können im Einzelfall technische Angaben enthalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (zügige Reaktion auf Störungen und Anfragen).
• Datensicherung: Wir sichern die Datenbank verschlüsselt und laufend auf Speichersystemen der Hetzner Online GmbH in Deutschland, um Datenverlust zu verhindern (Art. 6 Abs. 1 lit. b, f, Art. 32 Abs. 1 lit. c DSGVO). Sicherungen werden rollierend überschrieben; ältere Sicherungsstände bewahren wir in ausgedünnter Form bis zu zwölf Monate auf. Gelöschte Daten verschwinden deshalb erst mit Ablauf dieser Frist auch aus den Sicherungen; bis dahin sind sie gegen Zugriff geschützt und werden nur zur Wiederherstellung verwendet.

17. Apps für iPhone und Android

• Download: Die iPhone-App erhalten Sie über den App Store (Apple Distribution International Ltd.), die Android-App – sobald allgemein verfügbar – über Google Play (Google Ireland Limited). Die dabei anfallenden Daten (z. B. Konto, Kaufhistorie, Gerätekennung) verarbeiten diese Anbieter in eigener Verantwortung. Haben Sie in Ihren Geräteeinstellungen der Weitergabe von Absturz- und Nutzungsdaten an App-Entwickler zugestimmt, stellt uns Apple bzw. Google zusammengefasste, nicht namentliche Absturzberichte bereit.
• Android-Beta: Melden Sie im Programm Interesse an der Android-App an, erhalten wir Ihren Namen und Ihre E-Mail-Adresse per E-Mail; mit Ihrer Google-Konto-Adresse laden wir Sie dann in den Testkanal von Google Play ein (Art. 6 Abs. 1 lit. b DSGVO).
• Apple Watch und Widgets: Die iPhone-App bringt eine Watch-App und Widgets mit; sie zeigen Inhalte aus Ihrem Konto auf Ihren Geräten an und nutzen dieselbe Anmeldung.
• Keine Analyse- oder Werbe-SDKs: Die Apps enthalten keine Werkzeuge zur Reichweitenmessung oder Werbung.
• Anmeldung: Nach der Anmeldung speichert die App ein Gerätetoken, damit Sie angemeldet bleiben. Das Token wird ungültig, wenn Sie sich abmelden; widerrufene oder abgelaufene Tokens löschen wir nach 30 Tagen, unbenutzte nach 180 Tagen.
• Push-Benachrichtigungen: Nur wenn Sie sie auf Ihrem Gerät erlauben. Zugestellt werden sie über den Apple Push Notification service (Apple Inc., USA) bzw. – für die Android-App – Firebase Cloud Messaging (Google Ireland Limited / Google LLC, USA). Übermittelt werden ein Push-Token des Geräts (bei Firebase zusätzlich eine Installationskennung), Titel und Text der Mitteilung sowie technische Angaben ohne Aussagekraft (z. B. eine interne Nummer des Eintrags). Wir formulieren diese Texte neutral; Krankheitsangaben oder andere Gesundheitsdaten enthalten sie nicht. Sie können Push-Benachrichtigungen jederzeit in den Geräteeinstellungen abschalten.
• Standort: Nur wenn Ihr Arbeitgeber die Funktion „Ortsstempel“ für Leistungszeiten eingeschaltet hat und Sie zugestimmt und den Zugriff auf den Standort erlaubt haben, fragt die App den Standort einmalig im Moment des Startens oder Beendens einer Tätigkeit ab. Es gibt keine laufende Ortung, keinen Zugriff im Hintergrund und keinen Bewegungsverlauf.
• Kamera und Fotos: Nur wenn Sie selbst ein Profilfoto oder einen Nachweis hochladen.
• Rolle: Die Inhalte, die Sie in der App sehen und eingeben – auch Standort, Fotos und Push-Inhalte –, verarbeiten wir im Auftrag Ihres Arbeitgebers (Abschnitt 19). Für die Bereitstellung der App selbst, die Anmeldung und die Sicherheit sind wir verantwortlich (Art. 6 Abs. 1 lit. b und f DSGVO); Push-Benachrichtigungen und Standortzugriff setzen Ihre Freigabe im Betriebssystem voraus (§ 25 Abs. 1 TDDDG, soweit das Endgerät betroffen ist).

18. E-Mail-Versand und Postfächer

E-Mails der Software (z. B. Einladungen, Passwort-Links, Benachrichtigungen) versenden wir über unseren eigenen Mailserver bei der Hetzner Online GmbH in Deutschland mit Absender [email protected]. Unser Postfach [email protected], über das wir Anfragen und Antworten empfangen, wird bei der Key-Systems GmbH, Im Oberen Werk 1, 66386 St. Ingbert (Marke DomainDiscount24), in Deutschland betrieben. Beide handeln als unsere Auftragsverarbeiter. Zur Kontrolle der Zustellung speichern wir Versandprotokolle (Empfänger, Zeitpunkt, Status) 90 Tage.

Archivkopie ausgehender E-Mails: Der Mailserver legt von jeder ausgehenden E-Mail eine Kopie in einem Postfach des Betreibers ab; ein täglicher Löschlauf entfernt Kopien nach 30 Tagen automatisch. In Datensicherungen des Hosters können Kopien bis zu deren turnusmäßiger Überschreibung verbleiben. Das betrifft alle E-Mails, die unser Server versendet – auch Systemmails und Nachrichten aus dem Kontaktformular – und ausdrücklich auch E-Mails mit personenbezogenen Daten, die wir im Auftrag unserer Kunden verarbeiten, z. B. Wochenübersichten mit Namen, Abwesenheiten und Geburtstagen, Antrags-, Genehmigungs- und Krankmeldungsmails, Einladungen sowie Buchungsmeldungen der Terminbuchung. Zweck ist die Versand- und Sicherheitskontrolle: Zustellprobleme, Fehlversand und Missbrauch (z. B. ungewöhnliche Versandmengen oder manipulierte Inhalte) erkennen und aufklären. Auf das Postfach greifen nur wir als Betreiber zu. Nicht erfasst sind Newsletter, die über einen separaten Versandserver gehen, E-Mails, die Stripe selbst verschickt, und E-Mails, die wir von Hand aus unserem Postfach schreiben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; unser berechtigtes Interesse ist ein nachvollziehbarer und sicherer E-Mail-Versand. Für Daten unserer Kunden geschieht das als Teil der Auftragsverarbeitung nach dem AVV (§ 5 Abs. 1). Soweit wir in eigener Verantwortung handeln, können Sie dieser Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Hinweis nach Abschnitt 2).

19. Verarbeitung im Auftrag unserer Kunden (Beschäftigtendaten)

Rolle: Für alle Daten, die Kunden in SL-UP über ihre Beschäftigten oder Dritte verarbeiten, sind wir Auftragsverarbeiter (Art. 28 DSGVO). Wir verarbeiten diese Daten nur auf Weisung des Kunden und auf Grundlage des Auftragsverarbeitungsvertrags (AVV) und der technischen und organisatorischen Maßnahmen (TOM). Verantwortlicher ist der Kunde – für Beschäftigte also der Arbeitgeber. Er informiert seine Beschäftigten nach Art. 13 DSGVO; eine Vorlage dafür stellen wir am Ende dieser Seite bereit.

Was verarbeitet wird, entscheidet der Kunde. Je nach eingesetzten Funktionen sind das insbesondere: Stamm- und Kontaktdaten, Abteilung, Rolle; Urlaubsanträge, Urlaubsansprüche und Abwesenheiten einschließlich Krankheitstagen (Gesundheitsdaten, Art. 9 DSGVO – im Teamkalender nur als neutrales Kürzel, ohne Diagnosen); Arbeitszeiten, Pausen und Leistungszeiten, optional mit Ortsstempel; Schichten und Schichttausch; Profilfotos; optional Geburtstage; Nachweise wie Arbeitsunfähigkeitsbescheinigungen, soweit freigeschaltet; Buchungen von Gästen über die Terminbuchung.

Ihre Rechte als Beschäftigte: Wenden Sie sich bitte an Ihren Arbeitgeber. Anträge, die uns erreichen, leiten wir unverzüglich an ihn weiter und unterstützen ihn bei der Beantwortung (Art. 28 Abs. 3 lit. e DSGVO).

Speicherdauer: Legt der Kunde fest. Die Software bietet Voreinstellungen (z. B. Leeren von Notizen zu Abwesenheiten und Arbeitszeiten nach zwei Jahren, Löschung von Nachweis-Anhängen nach zwei Jahren, Löschung von Benachrichtigungen nach 90 Tagen). Nach Vertragsende werden die Daten nach den Regeln des AVV gelöscht.

Unterauftragsverarbeiter: Die vollständige, jeweils aktuelle Liste mit Sitz, Leistung und Garantien steht in Anlage 1 zum AVV (Unterauftragsverarbeiter). Keine Unterauftragsverarbeiter sind insbesondere:

• Browser-Benachrichtigungen (Web-Push): Erlauben Sie im Browser Benachrichtigungen, stellt der Push-Dienst Ihres Browserherstellers (z. B. Google für Chrome, Mozilla für Firefox, Apple für Safari, Microsoft für Edge) sie zu. Wir senden dorthin nur ein inhaltsleeres Signal an die von Ihrem Browser vergebene Empfangsadresse; den Inhalt lädt Ihr Browser danach direkt von sl-up.com. Den Push-Dienst wählt Ihr Browser, nicht wir.
• Kalender-Abonnements: Kunden und Nutzer können Abwesenheiten als Kalender-Abo (iCalendar) in Kalenderprogrammen wie Google Kalender, Microsoft Outlook oder Apple Kalender einbinden. Diese Anbieter rufen die Daten ab, weil der Kunde oder die abonnierende Person das Abo eingerichtet hat; sie sind nicht unsere Auftragsverarbeiter. Krankheitsbezogene Abwesenheiten werden ausnahmslos neutral als „Abwesend“ übertragen. Die Abo-Adresse ist wie ein Passwort zu behandeln; persönliche Abos laufen nach 90 Tagen ab, Abteilungs-Abos gelten bis zum Widerruf, und alle Abos können jederzeit widerrufen werden.
• Schnittstellen und Webhooks: Richtet ein Kunde eine Schnittstelle oder Benachrichtigungen an Dienste wie Slack oder Microsoft Teams ein, übermitteln wir die von ihm festgelegten Inhalte an das von ihm gewählte Ziel. Dafür ist der Kunde verantwortlich.

Support-Zugriff: Zugriffe unseres Supports auf Kundendaten sind im AVV geregelt.

20. Empfänger im Überblick

Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.

21. Übermittlung in Drittländer

Einige Empfänger sitzen in den USA oder können Daten dorthin übermitteln. Grundlage ist entweder der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10.07.2023 (Art. 45 DSGVO), soweit der Empfänger dort zertifiziert ist, oder EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO):

• Google LLC, Stripe, LLC, Cloudflare, Inc.: Data Privacy Framework, soweit zertifiziert; ergänzend Standardvertragsklauseln.
• Apple Inc.: Standardvertragsklauseln (Apple ist nicht unter dem Data Privacy Framework zertifiziert).

Die Zertifizierung können Sie unter dataprivacyframework.gov einsehen. Behörden in den USA können unter Umständen auf Daten zugreifen; wir wählen Dienste und Einstellungen deshalb so, dass möglichst wenige und möglichst keine sensiblen Daten übermittelt werden (z. B. neutrale Push-Texte, keine Reichweitenmessung im angemeldeten Bereich außer der einmaligen, einwilligungsabhängigen Meldung der Bestätigungsseite nach der Kontoaktivierung, Abschnitt 5).

22. Speicherdauer im Überblick (Verarbeitungen in unserer Verantwortung)

Wir löschen personenbezogene Daten, sobald der Zweck entfällt und keine Aufbewahrungspflicht entgegensteht. Im Einzelnen:

23. Ihre Rechte

Sie haben gegenüber uns – für Verarbeitungen in unserer Verantwortung – folgende Rechte:

• Auskunft über die zu Ihnen gespeicherten Daten und eine Kopie (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen und gegen Direktwerbung (Art. 21 DSGVO, siehe Hinweis nach Abschnitt 2),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Eine formlose Nachricht an [email protected] genügt. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Um Missbrauch zu verhindern, können wir bei begründeten Zweifeln einen Nachweis Ihrer Identität verlangen. Für Daten, die wir im Auftrag Ihres Arbeitgebers verarbeiten, wenden Sie sich bitte an ihn (Abschnitt 19).

24. Beschwerde bei einer Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Gustav-Stresemann-Ring 1, 65189 Wiesbaden · Postfach 31 63, 65021 Wiesbaden
Telefon 0611 1408-0 · datenschutz.hessen.de

25. Verletzungen des Schutzes personenbezogener Daten

Stellen wir eine Verletzung des Schutzes personenbezogener Daten fest, bewerten wir sie unverzüglich, melden sie, wenn ein Risiko für Betroffene nicht unwahrscheinlich ist, binnen 72 Stunden dem HBDI (Art. 33 DSGVO) und benachrichtigen Betroffene, wenn ein hohes Risiko besteht (Art. 34 DSGVO). Betrifft eine Verletzung Daten, die wir im Auftrag verarbeiten, informieren wir den betroffenen Kunden unverzüglich nach den Regeln des AVV, damit er seine Pflichten erfüllen kann. Jede Verletzung dokumentieren wir (Art. 33 Abs. 5 DSGVO).

26. Weitere Pflichtangaben

• Pflicht zur Bereitstellung (Art. 13 Abs. 2 lit. e DSGVO): Für Registrierung, Kundenkonto und Buchung brauchen wir Name, E-Mail-Adresse, Firma und – bei kostenpflichtigen Tarifen – Rechnungs- und Zahlungsdaten; ohne sie können wir keinen Vertrag schließen. Für Rechnungen sind Angaben gesetzlich vorgeschrieben (§ 14 UStG). Alle anderen Angaben sind freiwillig.
• Automatisierte Entscheidungen (Art. 22 DSGVO): Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung und betreiben kein Profiling. Regeln, die ein Kunde in SL-UP einstellt (z. B. automatische Genehmigung bestimmter Anträge), legt der Kunde als Verantwortlicher fest. Zur automatisierten Betrugsabwehr durch Stripe siehe Abschnitt 13.
• Minderjährige: Unser Angebot richtet sich an Unternehmen. Website, Registrierung, Newsletter und Vormerkung sind nicht für Personen unter 18 Jahren bestimmt. Ob ein Kunde Daten minderjähriger Beschäftigter (z. B. Auszubildender) in SL-UP verarbeitet, entscheidet er als Verantwortlicher.
• Sicherheit: Wir schützen Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem verschlüsselte Übertragung, verschlüsselte Sicherungen, Rollen- und Rechtekonzept, Protokollierung und optionale Zwei-Faktor-Anmeldung. Einzelheiten: TOM. Eine absolute Sicherheit kann kein Anbieter gewährleisten.

27. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand. Frühere Fassungen erhalten Sie auf Anfrage; die bis Oktober 2026 geltende Fassung steht im Archiv (AGB und Datenschutzerklärung 1.6).

Anhang: Vorlage „Datenschutzinformation für Beschäftigte“ (für Arbeitgeber)

Als Arbeitgeber sind Sie für die Daten Ihrer Beschäftigten in SL-UP verantwortlich und müssen sie nach Art. 13 DSGVO informieren. Die folgende Vorlage hilft dabei. Angaben in [eckigen Klammern] füllen Sie selbst aus oder streichen sie; nicht genutzte Funktionen streichen Sie bitte.

• Prüfen und passen Sie die Vorlage an Ihre Einstellungen, Betriebsvereinbarungen und Aufbewahrungsregeln an.
• Gibt es einen Betriebs- oder Personalrat: Die Einführung von SL-UP – insbesondere Zeiterfassung, Ortsstempel und Auswertungen – ist regelmäßig mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG).
• Krankheitstage sind Gesundheitsdaten. Erfassen Sie nur, was Sie arbeitsrechtlich brauchen; Diagnosen gehören nicht in SL-UP.
• Diese Vorlage ist keine Rechtsberatung. Verantwortlich für Inhalt und Richtigkeit sind Sie.