Datenschutzerklärung

Die Rechtsgrundlagen hängen davon ab, in welcher Rolle wir handeln und welche Funktion genutzt wird.

• Bereitstellung von Website, Konto und App: Art. 6 Abs. 1 lit. b DSGVO sowie, soweit erforderlich, Art. 6 Abs. 1 lit. f DSGVO.
• Tisch- und Online-Reservierungen für Gäste: Der jeweilige Betrieb legt als Verantwortlicher Zweck und Rechtsgrundlage fest und informiert die Gäste. GUESTRO verarbeitet die übermittelten Reservierungs- und Kontaktdaten im Auftrag des Betriebs, um Anfragen entgegenzunehmen, zu verwalten und auf Weisung Status-E-Mails zu versenden.
• Beschäftigtendaten im Kundenkonto: Die jeweilige Kundin bzw. der jeweilige Kunde entscheidet als Verantwortlicher über die Rechtsgrundlage, typischerweise Art. 6 Abs. 1 lit. b, c oder f DSGVO in Verbindung mit § 26 BDSG.
• Besondere Kategorien personenbezogener Daten: Soweit in Abwesenheitsdaten Gesundheitsbezug enthalten ist, liegt die Verantwortung fuer die passende Rechtsgrundlage beim jeweiligen Verantwortlichen; insbesondere kommen Art. 9 DSGVO und § 26 BDSG in Betracht.
• IT-Sicherheit und Missbrauchsabwehr: Art. 6 Abs. 1 lit. f DSGVO.

GUESTRO kann öffentliche Links für Verfügbarkeitsanfragen bereitstellen. Personen, die einen solchen Link erhalten, können über ihren Browser Name, Verfügbarkeiten und optionale Hinweise übermitteln.

Zur technischen Zuordnung eines Endgeräts verwendet die Anwendung einen lokalen Browser-Eintrag und speichert serverseitig nur eine daraus abgeleitete Hash-Kennung. Dadurch wird verhindert, dass Antworten öffentlich aus Firestore ausgelesen werden können.

Wer einen Verfügbarkeitslink teilt, muss sicherstellen, dass er nur den vorgesehenen Empfängern zugänglich ist.

Die Verfügbarkeitsseite kann auf ausdrückliche Nutzeraktion Kalenderdaten aus einer hochgeladenen.ics-Datei oder aus Google Calendar vergleichen.

Beim Kalendervergleich auf der Verfügbarkeitsseite erfolgt der Google-Calendar-Zugriff nur nach aktiver Freigabe durch die nutzende Person im Browser. Die für diesen Vergleich erhaltenen Kalenderdaten werden von GUESTRO nicht serverseitig gespeichert; sie dienen nur dem lokalen Vergleich im jeweiligen Browserfenster.

Aus den importierten Kalenderdaten wird nur dann eine Verfügbarkeitsantwort gespeichert, wenn die Person diese anschließend selbst absendet.

Im Mitarbeiterportal können Beschäftigte zusätzlich ihre Zuteilungen freiwillig mit Google Calendar verbinden. Nach der Freigabe über Google OAuth erstellt GUESTRO einen Kalender „GUESTRO Schichten“ oder verwendet den bereits für diese Verbindung gespeicherten Kalender erneut. Die angefragte Berechtigung beschränkt sich auf von der App erstellte Kalender. GUESTRO überträgt Schichtdatum, Beginn und Ende, den gewählten Termintitel, Betriebsnamen und -adresse sowie gegebenenfalls Schichtnotizen an Google. Änderungen und Absagen werden synchronisiert; doppelte, von GUESTRO zugeordnete Termine können entfernt werden.

Für die automatische Synchronisierung, auch wenn das Portal geschlossen ist, speichert GUESTRO OAuth-Zugriffs- und Aktualisierungstokens, deren Ablaufzeit, die Kalenderkennung, den Verbindungszeitpunkt und gegebenenfalls den gewählten Termintitel serverseitig in Cloud Firestore. Den Zuteilungen werden die zugehörigen Google-Terminkennungen zugeordnet. GUESTRO liest den gespeicherten Schichtkalender und die zugeordneten Termine, um sie zu aktualisieren und Duplikate zu vermeiden.

Die Verbindung kann im Mitarbeiterportal getrennt werden. Dabei löscht GUESTRO die gespeicherten Verbindungstokens und beendet die weitere Synchronisierung. Die Kalenderkennung bleibt für eine mögliche erneute Verbindung gespeichert, damit kein doppelter Schichtkalender entsteht; sie ermöglicht allein keinen Kalenderzugriff. Bereits übertragene Kalender und Termine bleiben in Google Calendar erhalten und können dort gelöscht werden. Der Google-Kontozugriff kann zusätzlich unter Google-Konto: Verbindungen zu Drittanbietern widerrufen werden.

GUESTRO verwendet über Google APIs erhaltene Daten für die von der nutzenden Person aktivierten Kalenderfunktionen. Die Nutzung und Übertragung dieser Daten erfolgt gemäß der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Für Hosting, Authentifizierung, Datenbank und Dateispeicherung nutzen wir Dienste von Google Firebase bzw. Google Cloud. Dazu können insbesondere Firebase App Hosting, Firebase Authentication, Cloud Firestore und Cloud Storage gehören.

Für transaktionale E-Mails zu Online-Reservierungen nutzen wir Brevo. Soweit eine solche E-Mail versendet wird, übermitteln wir an Brevo die dafür erforderliche Empfängeradresse und die in der Nachricht enthaltenen Reservierungsangaben. Brevo ist in der aktuellen Unterauftragsverarbeiterübersicht aufgeführt.

Soweit Nutzerinnen und Nutzer für den Kalendervergleich oder die Schichtsynchronisierung freiwillig Google Calendar anbinden oder sich über Google anmelden, kommen zusätzlich Google Identity Services und die Google Calendar API als technisch eingebundene Dienste hinzu.

Mit Kunden ist für die Verarbeitung ihrer Betriebs-, Beschäftigten- und Gästereservierungsdaten ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen.

Der Abschluss dieses Auftragsverarbeitungsvertrags kann in GUESTRO in elektronischer Form erfolgen und wird versionsbezogen mit Annahmezeitpunkt und akzeptierendem Benutzerkonto dokumentiert.

Supportzugriffe auf Kundenkonten erfolgen nach der derzeitigen Betriebsorganisation nur auf ausdrückliche Kundenanfrage und nur soweit dies für die konkrete Supportleistung erforderlich ist.

Nach der derzeitigen Produktionskonfiguration liegt das App-Hosting in der Region europe-west4 (Niederlande). Die Firestore-Datenbank nutzt den multiregionalen Standort eur3 (Europa; schreibende Regionen Belgien und Niederlande, Witness-Region Finnland). Der Cloud-Storage-Bucket nutzt den Dual-Region-Standort eur4 (Finnland und Niederlande).

Eine Übersicht der aktuell dokumentierten Unterauftragsverarbeiter und Datenstandorte ist unter/security/subprocessorsabrufbar. Die jeweiligen Anbieterbedingungen und erforderlichen Transferbewertungen sind zusätzlich zu beachten.

Soweit Unterauftragsverarbeiter oder Supportstrukturen außerhalb der EU bzw. des EWR eingesetzt werden, erfolgt dies nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, etwa Standardvertragsklauseln oder eines Angemessenheitsbeschlusses.

Die aktuell bekannte primäre Datenhaltung liegt damit innerhalb Europas. Unabhängig davon sollten Kunden den tatsächlichen Datenfluss, mögliche Supportzugriffe und eingesetzte Unterauftragsverarbeiter im Rahmen ihres Verzeichnisses von Verarbeitungstätigkeiten dokumentieren.

Nach der derzeit dokumentierten Standardregel sollen Betriebs-, Beschäftigten-, Zeit-, Abwesenheits-, Zuteilungs- und Verfügbarkeitsdaten grundsätzlich bis zu 5 Jahre gespeichert bleiben, sofern der jeweilige Verantwortliche sie nicht früher löscht oder gesetzliche Pflichten eine abweichende Frist verlangen.

Für tagbezogene Tisch- und Raumreservierungen kann der jeweilige Betrieb in GUESTRO eine automatische Löschfrist festlegen; standardmäßig ist diese automatische Löschung ausgeschaltet. Abgelehnte Online- Reservierungsanfragen werden sieben Tage nach der Ablehnung zur automatischen Löschung vorgemerkt. Andere Anfrageeinträge bleiben gespeichert, bis der Betrieb sie löscht. Der Betrieb ist dafür verantwortlich, angemessene Fristen für Reservierungsdaten festzulegen und einzuhalten.

Wird ein Mitarbeiterdatensatz in der Anwendung gelöscht, entfernt GUESTRO derzeit den Mitarbeiterdatensatz, zugehörige Zeiterfassungen, Abwesenheiten, Zuteilungen sowie gespeicherte Profilbilder aus dem dafür vorgesehenen Anwendungsbereich.

Löst eine Kontoinhaberin oder ein Kontoinhaber die dauerhafte Kontolöschung aktiv über die Einstellungen aus, ist produktseitig eine sofortige Löschung der zugehörigen Konto- und Inhaltsdaten vorgesehen, vorbehaltlich externer gesetzlicher Pflichten außerhalb des Systems.

Lokale Browser-Entwürfe und technisch erforderliche Speicherstände bleiben auf dem Endgerät, bis sie abgesendet, überschrieben oder manuell entfernt werden.

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um Daten gegen unbefugte Zugriffe, Veränderung und Verlust zu schützen. Dazu gehören insbesondere Transportverschlüsselung, Firebase-basierte Authentifizierung, Firestore- und Storage-Sicherheitsregeln, serverseitig abgesicherte öffentliche Antwort-Endpunkte, signierte HTTP-only Administrationssitzungen, App-Check-geschützte Zugriffe auf Firebase-Dienste und eigene Backend-Endpunkte sowie Browser-Schutzmechanismen wie Content-Security-Policy und weitere Sicherheits-Header.

Innerhalb eines Kundenkontos gibt es derzeit kein separates Rollen- und Rechtemodell für mehrere interne Benutzerrollen. Sensible Aktionen und Zugriffe auf mitarbeiterbezogene Daten werden jedoch serverseitig protokolliert, insbesondere Kontoexporte, Kontolöschungen, AVV-Annahmen, Dokumentzugriffe und Mitarbeiterdatenzugriffe. Diese Protokolle enthalten Request-IDs und sicherheitsrelevante Metadaten.

GUESTRO setzt nach aktuellem Stand keine Analyse- oder Marketing-Cookies ein.

Es werden jedoch technisch erforderliche Browser-Speicherfunktionen genutzt, etwa für Theme-Einstellungen, Onboarding-Status, UI-Präferenzen, lokale Entwürfe von Verfügbarkeitsantworten, die Zuordnung eines Endgeräts auf öffentlichen Anfrage-Seiten sowie ein technisch erforderliches HttpOnly-Session-Cookie für die sichere Anmeldung und Aktualisierung des Mitarbeiter-Portals. Diese Nutzungen erfolgen zur Bereitstellung der jeweils angeforderten Funktion.

Hinsichtlich der von uns selbst als Verantwortlicher verarbeiteten Daten bestehen insbesondere die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Beschwerde bei einer Aufsichtsbehörde.

Kontoinhaberinnen und Kontoinhaber koennen fuer ihr eigenes GUESTRO-Konto in den Einstellungen einen Datenexport anstoßen und dort auch die dauerhafte Kontolöschung auslösen. Dies ersetzt nicht die Prüfung, ob einzelne Daten aufgrund gesetzlicher Pflichten außerhalb des Systems zusätzlich aufbewahrt werden.

Soweit Daten in einem Kundenkonto im Auftrag eines Betriebs verarbeitet werden, sind Rechteanfragen grundsätzlich an den jeweiligen Betrieb als Verantwortlichen zu richten. Wir unterstützen unsere Kunden dabei im Rahmen der Auftragsverarbeitung.

Kunden, die Mitarbeiterdaten nicht unmittelbar bei den betroffenen Personen erheben, müssen zusätzlich ihre Informationspflichten nach Art. 13 bzw. Art. 14 DSGVO erfüllen. Dazu gehören insbesondere Angaben zu Zwecken, Rechtsgrundlagen, Empfängern, Speicherdauer und den jeweiligen Betroffenenrechten.

Betriebe, die GUESTRO für Mitarbeiter-, Zeit-, Einsatz- oder Gästereservierungsdaten nutzen, müssen insbesondere ein eigenes Verzeichnis von Verarbeitungstätigkeiten führen, Zwecke und Rechtsgrundlagen dokumentieren, passende Löschfristen festlegen und betroffene Personen über die Verarbeitung informieren.

Bei Einsätzen mit erhöhtem Risiko, insbesondere bei systematischer Beschäftigtenüberwachung oder gesundheitsbezogenen Abwesenheitsdaten, sollte zudem geprüft und dokumentiert werden, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

Wir passen diese Datenschutzerklärung an, wenn sich gesetzliche Anforderungen, technische Funktionen oder Verarbeitungsprozesse wesentlich ändern.