Trust-Center

SL-UP verarbeitet Urlaubs-, Abwesenheits-, Zeit- und Schichtdaten Ihrer Beschäftigten, darunter Krankheitstage. Hier finden Sie die Unterlagen, die Sie als Arbeitgeber für Ihre Datenschutzdokumentation brauchen.

Unterlagen

Datenschutzerklärung

Welche Daten wir als Anbieter selbst verarbeiten, z. B. für Vertrag, Abrechnung und Website, auf welcher Rechtsgrundlage und wie lange.

Art. 13 DSGVO Betroffenenrechte Löschfristen

Auftragsverarbeitungsvertrag (AVV)

Regelt nach Art. 28 DSGVO, wie wir die Daten Ihrer Beschäftigten in Ihrem Auftrag verarbeiten. Administratoren schließen ihn direkt in SL-UP ab; Sie können ihn jederzeit als PDF speichern.

Art. 28 DSGVO Version 2.2

Technische und organisatorische Maßnahmen (TOM)

Unsere Maßnahmen nach Art. 32 DSGVO, Anlage 2 zum AVV.

Art. 32 DSGVO Verschlüsselte Übertragung Server in Deutschland

Unterauftragsverarbeiter

Wer in unserem Auftrag Daten verarbeitet, wo und auf welcher Grundlage (Anlage 1 zum AVV).

Wo Ihre Daten liegen

Ihre Daten werden in Rechenzentren in Deutschland gespeichert und gesichert (Hetzner Online GmbH). Einige Dienstleister haben ihren Sitz in den USA: der vorgeschaltete Schutzdienst Cloudflare sowie Apple und Google für Push-Mitteilungen an die Apps. Für diese Übermittlungen bestehen Garantien nach Art. 44 ff. DSGVO; welche, steht je Anbieter in der Liste der Unterauftragsverarbeiter.

Mitteilung vom 11.10.2026 (AVV § 7 Abs. 3; in den AVV-Fassungen 1.x § 6): Die Leistung der Key-Systems GmbH (DomainDiscount24) umfasst zusätzlich ein Postfach, in dem der Mailserver von jeder ausgehenden E-Mail von SL-UP eine Kopie ablegt – auch von E-Mails mit Daten Ihres Unternehmens, z. B. Wochenübersichten, Antrags- und Krankmeldungsmails. Zweck ist die Versand- und Sicherheitskontrolle; ein täglicher Löschlauf entfernt die Kopien nach 30 Tagen, in Datensicherungen des Hosters können sie bis zu deren turnusmäßiger Überschreibung verbleiben. Zugriff hat nur der Betreiber. Einzelheiten stehen in AVV Fassung 2.1, § 5 Abs. 1. Sie können dieser Änderung nach AVV § 7 Abs. 4 (in den Fassungen 1.x § 6) innerhalb von 30 Tagen nach dieser Mitteilung in Textform widersprechen.

Neue Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher auf dieser Seite und im Administrationsbereich von SL-UP an; Sie können widersprechen (AVV § 7). Verträge mit Unterauftragsverarbeitern können Sie auf Anfrage einsehen.

Betriebsmeldungen: Technische Alarme an uns laufen über den öffentlichen Dienst ntfy.sh, dessen Server auch außerhalb der EU stehen können. Sie enthalten keine Firmen- oder Personennamen, E-Mail- oder IP-Adressen; ntfy.sh ist deshalb kein Unterauftragsverarbeiter (siehe AVV Anlage 1 Teil B).

Google Analytics: Auf den öffentlichen Seiten von sl-up.com lädt Google Analytics erst, nachdem Sie im Einwilligungsbanner zugestimmt haben; ohne Einwilligung entsteht keine Verbindung zu Google. Im eingeloggten Bereich findet kein Tracking statt; einzige Ausnahme ist die Bestätigungsseite direkt nach der Aktivierung eines neuen Kontos, die – nur mit Einwilligung und ohne Kontodaten – einmalig einen Seitenaufruf und die Bestätigung der Anmeldung an Google Analytics meldet und dann weiterleitet. Daten Ihrer Beschäftigten erhält Google dabei nicht. Einzelheiten stehen in der Datenschutzerklärung.

Weitere Dienstleister: Die Zahlungsabwicklung bei Buchungen (Stripe), die Erreichbarkeitsüberwachung und Statusseite (Better Stack, healthchecks.io), den öffentlichen Hilfe-Assistenten „Sunny“ (Anthropic; keine Kundendaten aus der Anwendung, siehe Abschnitt Hilfe-Assistent) sowie eingebettete Videos (YouTube, erst nach Ihrem Klick) beschreibt die Datenschutzerklärung.

Vom Kunden gewählte Anbindungen

Diese Anbindungen sind standardmäßig aus. Sie werden nur aktiv, wenn ein Administrator Ihres Unternehmens sie einrichtet; Empfänger ist dann ein von Ihnen gewählter Dienst, kein Unterauftragsverarbeiter von SL-UP.

• Slack und Microsoft Teams: Anträge, Entscheidungen und auf Wunsch eine tägliche Übersicht gehen an den von Ihnen hinterlegten Kanal. Übertragen werden Namen (auf Wunsch nur Vornamen) und Zeiträume; Krankheit erscheint dabei nie mit Art oder Grund.
• Webhooks: signierte Meldungen zu von Ihnen gewählten Ereignissen an Ihr eigenes System.
• Kalender-Abo: Abwesenheiten bzw. Schichten werden vom Kalenderdienst der Person abgerufen. Krankmeldungen erscheinen nur als „abwesend“; jedes Abo lässt sich widerrufen.
• Schnittstelle (API): Zugriff mit von Ihnen erzeugten, widerrufbaren Schlüsseln.

Sicherheit in Kürze

• verschlüsselte Übertragung (HTTPS) für Website, Apps und Schnittstelle
• Rechenzentren in Deutschland, Datensicherungen an getrennten Speicherorten in Deutschland
• Zwei-Faktor-Anmeldung, die Sie für Ihr Unternehmen verbindlich vorschreiben können
• Rollen- und Rechtekonzept, strikte Trennung der Daten verschiedener Kunden
• Protokoll sicherheitsrelevanter Vorgänge, auch unserer eigenen Support-Zugriffe
• Support-Zugriffe nur auf Anfrage oder bei Störungen, zeitlich begrenzt und nur lesend
• kein Tracking im eingeloggten Bereich (Ausnahme: einmalige Meldung der Bestätigungsseite nach der Kontoaktivierung, nur mit Einwilligung); Analyse auf den öffentlichen Seiten nur mit Einwilligung

Kein System ist vollständig sicher. Wir setzen Maßnahmen ein, die dem Risiko und dem Stand der Technik angemessen sind, und prüfen sie regelmäßig.

Aktueller Betriebsstatus: status.sl-up.com

Datenexport und Anbieterwechsel

Ihre Daten gehören Ihnen. Sie können sie jederzeit kostenlos über die Exportfunktionen in gängigen, maschinenlesbaren Formaten herunterladen und zu einem anderen Anbieter mitnehmen. Datenkategorien, die nicht über die Exportfunktionen abrufbar sind, stellen wir auf Anfrage bereit. Für einen Anbieterwechsel berechnen wir keine Gebühren. Einzelheiten regeln die AGB (§ 17) und der AVV (§ 13). Welche Formate und Exportwege es für welche Daten gibt, zeigt das Register der Datenformate und Exportwege.

Register der Datenformate und Exportwege

Dieses Register zeigt nach Art. 26 der Verordnung (EU) 2023/2854 (Data Act), in welchen Formaten Sie Ihre Daten aus SL-UP mitnehmen können, wie sie aufgebaut sind und wo Sie den Export finden. Die Datenkategorien entsprechen § 17 Abs. 2 der AGB. Welche Exportwege Sie sehen, hängt von Ihrer Rolle, den freigeschalteten Modulen und den Einstellungen Ihres Unternehmens ab. „Gesamtexport“ bezeichnet die ZIP-Datei, die unten beschrieben ist.

Normen und Spezifikationen. JSON-Dateien und Antworten der Schnittstelle folgen RFC 8259 (UTF-8). Kalender-Abos beruhen auf dem Format iCalendar nach RFC 5545 (Version 2.0). CSV-Dateien sind an RFC 4180 angelehnt (Spaltenüberschriften in der ersten Zeile, Felder bei Bedarf in Anführungszeichen), weichen aber bewusst in zwei Punkten ab: Trennzeichen ist das Semikolon statt des Kommas, und die Dateien der Seite „Export“ trennen Zeilen mit einem einfachen Zeilenumbruch (LF) statt mit Wagenrücklauf und Zeilenumbruch. Die Schnittstelle ist im OpenAPI-Format (Version 3.0) beschrieben. Die DATEV-Dateien folgen den Importformaten von DATEV.

Gesamtexport. Administratoren laden ihn unter „Einstellungen › Sicherheit › Vertrag & Daten“ über „Alle Daten herunterladen“ herunter. Die ZIP-Datei enthält die Ordner „json“ (eine Datei je Datenbereich, UTF-8) und „csv“ (dieselben Daten, UTF-8, Semikolon als Trennzeichen, Spaltenüberschriften in der ersten Zeile; Datenbereiche ohne Einträge liefern eine leere CSV-Datei), die Datei „LIESMICH.txt“ mit Erstellzeitpunkt und der Anzahl der Datensätze je Datenbereich und, wenn Sie es auswählen, den Ordner „anhaenge“. Jeder Gesamtexport enthält eine Beschreibung aller Dateien und Felder (SCHEMA.json). Nicht enthalten sind Zugangsgeheimnisse wie Passwörter, Zwei-Faktor-Geheimnisse, Wiederherstellungscodes, API-Schlüssel sowie Kalender- und Gerätetoken; sie lassen sich nicht übertragen und werden im neuen System neu vergeben. Der Gesamtexport ist eine Datenkopie für Sie, kein Wiederherstellungsstand für eine Datensicherung. Er ist auf fünf Abrufe je Stunde begrenzt und im Support-Zugriff nicht möglich.

CSV-Dateien der Seite „Export“. UTF-8 mit Kennzeichnung für Tabellenprogramme, Semikolon als Trennzeichen, Spaltenüberschriften in der ersten Zeile. Ausnahme sind die DATEV-Dateien (ISO-8859-1).

Kalender-Abo. Abwesenheiten und zugewiesene Schichten gibt es als Abo im Format iCalendar (.ics, Version 2.0). Den persönlichen Link finden Sie im Profil unter „Kalender-Feed“ bzw. „Schicht-Kalender-Feed“ (der Schicht-Feed ist nur verfügbar, wenn Ihr Unternehmen ihn erlaubt hat); Firmen- und Abteilungs-Abos legen Administratoren auf der Seite „Kalender-Abos“ an. Abos lassen sich widerrufen.

Schnittstelle (API). Antworten im Format JSON (UTF-8). Die Struktur der Anfragen und Antworten, also Pfade, Felder und Datentypen, steht in der Beschreibung im OpenAPI-Format (Version 3.0). Der Zugriff erfolgt mit einem API-Schlüssel, den Administratoren im Modul „API und Webhooks“ erzeugen, oder in den Apps mit dem persönlichen Gerätetoken.

So läuft ein Wechsel praktisch ab.

1. Ein Administrator lädt den Gesamtexport herunter, auf Wunsch mit den hochgeladenen Dateien. Für laufende Übernahmen steht die Schnittstelle zur Verfügung, wenn das Modul „API und Webhooks“ gebucht ist.
2. Das neue System liest die Daten ein: JSON eignet sich für eine automatische Übernahme, CSV zum Öffnen oder Importieren in Tabellenprogrammen. Die Datei „LIESMICH.txt“ hilft beim Abgleich der Datensätze.
3. Datenkategorien, die Sie über diese Wege nicht erreichen, sowie Auskünfte zu Formaten, Datenstrukturen und Ablauf stellen wir auf Anfrage bereit: [email protected].
4. Kündigungsfrist, Übergangszeitraum, Vertragsende und Entgelte regelt § 17 der AGB; die Rückgabe und Löschung von Daten Ihrer Beschäftigten regelt § 13 des AVV.

Stand des Registers: Oktober 2026. Die Exportwege entsprechen dem aktuellen Funktionsumfang von SL-UP; Änderungen tragen wir hier nach.

Regulierung und Lieferkette

• NIS2: Kunden, die selbst unter das NIS-2-Umsetzungsgesetz fallen, erhalten für ihre Lieferkettenprüfung auf Anfrage unsere technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter und eine Beschreibung unserer Meldewege.
• Schwachstellen: Hinweise auf Sicherheitslücken nehmen wir über unsere Seite Sicherheitslücke melden entgegen.
• Künstliche Intelligenz: Auf unseren öffentlichen Seiten beantwortet der KI-Assistent „Sunny“ (Sprachmodell Claude von Anthropic) Fragen von Besuchern ohne Anmeldung. Er antwortet auf Grundlage unserer Hilfetexte, hat keinen Zugriff auf Kundendaten aus der Anwendung und trifft keine Entscheidungen; Einzelheiten stehen in der Datenschutzerklärung. In der Anwendung selbst enthält SL-UP derzeit keine KI-Systeme im Sinne der KI-Verordnung (EU) 2024/1689. Vorschläge wie die des Brücken-Coachs beruhen auf festen, nachvollziehbaren Regeln. Über Anträge entscheiden Menschen in Ihrem Unternehmen oder Regeln, die Ihr Unternehmen festlegt. Über die Anbindung an KI-Assistenten (Beta, auf Anfrage freigeschaltet) kann Ihr Unternehmen einen eigenen Assistenten wie Claude oder ChatGPT mit SL-UP verbinden; diesen Assistenten nutzen Sie bei dessen Anbieter.

Fragen & Kontakt

Stand: Oktober 2026 | AGB | Datenschutz | AVV | TOM | Sicherheitslücke melden | Impressum