Datenschutzerklärung

1. Verantwortlicher

Lilian Philipp Schiffer
Auf dem Bachacker 2
50354 Hürth
Deutschland
Telefon: +49 176 72486917
E-Mail: nurvo-shift@outlook.de

2. Erhobene Daten

Nurvo verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der Dienstplanungs- und Zeiterfassungsfunktionen. Dies umfasst Name, E-Mail-Adresse, Arbeitszeiten und Urlaubsdaten der registrierten Mitarbeiterinnen und Mitarbeiter.

3. Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtungen, insbesondere Arbeitszeitaufzeichnung nach ArbZG sowie — je nach Einrichtungstyp — die Personalbemessung nach PPBV bzw. § 113c SGB XI und Landesrecht).

4. Hosting

Alle Daten werden auf Servern in Frankfurt am Main (Deutschland) verarbeitet und gespeichert. Eine einzige Ausnahme ist die monatliche KI-Analyse: dorthin gehen ausschließlich aggregierte Besetzungszahlen ohne Personenbezug. Einzelheiten dazu in Abschnitt 12.

5. Ausschließlich lokal gespeicherte Daten

Bestimmte besonders sensible Daten werden ausschließlich lokal auf Ihrem Endgerät gespeichert und niemals an unsere Server übertragen. Sie sind in keinem Netzwerk-Request, keiner Auswertung und keiner exportierten Datei (z. B. PDF) enthalten:

• Bankverbindungen und IBAN der Mitarbeiterinnen und Mitarbeiter — nur zur Anzeige bei Überweisungen.
• Verschlüsselungs-Schlüssel der lokalen, verschlüsselten Zeiterfassung.
• Offline-Zwischenspeicher des Dienstplans (AES-256 verschlüsselt).
• Sprach- und Anzeige-Einstellungen.

Diese Daten verbleiben unter Ihrer alleinigen Kontrolle. Beim Löschen der Browser-/App-Daten auf dem Gerät werden sie unwiederbringlich entfernt.

6. Externe Personaldienstleister

Bei aktivierter automatischer Vertretungssuche kann Nurvo bei einem kurzfristigen Personalausfall hinterlegte externe Personaldienstleister anfragen. Dabei werden ausschließlich Einrichtung, Datum, Schichtart und Station übermittelt — niemals der Name der erkrankten Person oder eine Gesundheitsangabe. Mit jedem Dienstleister ist vor der Nutzung ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abzuschließen.

7. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung Ihrer personenbezogenen Daten. Wenden Sie sich hierfür an:nurvo-shift@outlook.de

8. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

9. Cookies & lokale Speicherung

Nurvo setzt keine Werbe-Cookies ein und betreibt keine Profilbildung. Zur Auswertung der Website-Nutzung setzen wir Google Analytics 4 und Microsoft Clarity ein – ausschließlich nach Ihrer vorherigen Einwilligung, Einzelheiten in Abschnitt 9a und 9b. Innerhalb der angemeldeten Anwendung findet keine Messung durch Dritte statt; beide Dienste laufen ausschließlich auf den öffentlichen Seiten. Wir unterscheiden zwei Kategorien:

• Technisch notwendig – Login/Sitzung und lokale Präferenzen. Für den von Ihnen verlangten Dienst unbedingt erforderlich, daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig.
• Reichweitenmessung – eine eigene, pseudonymisierte Statistik darüber, welche Seiten aufgerufen werden und wie lange Vorgänge dauern. Sie ist nicht erforderlich und läuft daher ausschließlich mit Ihrer vorherigen Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Lehnen Sie ab, wird nichts gemessen und nichts auf Ihrem Gerät gespeichert.

Ihre Entscheidung können Sie jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß ändern – ein Widerruf für die Zukunft ist damit genauso einfach wie die Einwilligung (Art. 7 Abs. 3 DSGVO). Angemeldete Nutzerinnen und Nutzer finden denselben Schalter zusätzlich unter Einstellungen.

9a. Google Analytics

Auf den öffentlichen Seiten dieser Website setzen wir Google Analytics 4 ein, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit werten wir aus, welche Seiten aufgerufen werden und über welche Suchbegriffe Besucherinnen und Besucher zu uns finden.

• Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Das Google-Skript wird erst geladen, nachdem Sie zugestimmt haben – lehnen Sie ab oder entscheiden Sie nicht, wird keine Verbindung zu Google aufgebaut und kein Cookie gesetzt.
• Verarbeitete Daten: gekürzte IP-Adresse, aufgerufene Seiten, Verweildauer, ungefährer Standort auf Stadtebene, Gerätetyp und Browser sowie die verweisende Seite. Wir übermitteln keine Namen, keine E-Mail-Adressen und keine Inhalte aus der angemeldeten Anwendung an Google.
• Keine Werbung: Werbe- und Personalisierungsfunktionen (Google Signals, Remarketing) sind ausgeschaltet. Ihre Einwilligung gilt der Reichweitenmessung, nicht der Werbung.
• Drittlandübermittlung: Google kann Daten in die USA übermitteln. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023, ergänzt um Standardvertragsklauseln. Trotz dieser Grundlagen lässt sich ein Zugriff US-amerikanischer Behörden nicht vollständig ausschließen; darauf weisen wir ausdrücklich hin.
• Speicherdauer: Die Cookies laufen nach längstens zwei Jahren ab (siehe Tabelle in Abschnitt 9), die Daten in Google Analytics werden nach 14 Monaten gelöscht.
• Widerruf: jederzeit über „Cookie-Einstellungen“ im Seitenfuß. Beim Widerruf wird die Messung sofort angehalten und die gesetzten Google-Cookies werden entfernt (Art. 7 Abs. 3 DSGVO).

Informationen von Google zur Datenverarbeitung finden Sie unter policies.google.com/privacy.

9b. Microsoft Clarity

Auf den öffentlichen Seiten dieser Website setzen wir Microsoft Clarity ein, einen Dienst der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Clarity zeigt uns, wo Besucherinnen und Besucher klicken, wie weit sie scrollen und an welcher Stelle sie abbrechen – damit verbessern wir die Verständlichkeit der Seiten.

• Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Das Skript wird erst geladen, nachdem Sie zugestimmt haben; ohne Zustimmung wird keine Verbindung zu Microsoft aufgebaut.
• Verarbeitete Daten: Mausbewegungen, Klicks, Scrollverhalten, Seitenaufrufe, Gerätetyp, Browser, Bildschirmgröße, gekürzte IP-Adresse und die verweisende Seite. Daraus entstehen Heatmaps und nachspielbare Sitzungen der öffentlichen Seiten.
• Nicht erfasst: Clarity läuft ausschließlich außerhalb der angemeldeten Anwendung. Dienstpläne, Namen von Beschäftigten, Krankmeldungen, Zeiterfassung und Lohndaten werden nicht aufgezeichnet und nicht an Microsoft übermittelt. Eingaben in Formularfelder werden vor der Übertragung maskiert.
• Keine Werbung: Die Aufzeichnungen dienen der Verbesserung dieser Website. Eine Zusammenführung mit Werbeprofilen findet nicht statt.
• Drittlandübermittlung: Microsoft kann Daten in die USA übermitteln. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023, ergänzt um Standardvertragsklauseln. Ein Zugriff US-amerikanischer Behörden lässt sich trotz dieser Grundlagen nicht vollständig ausschließen; darauf weisen wir ausdrücklich hin.
• Speicherdauer: Die Cookies laufen nach längstens einem Jahr ab (siehe Tabelle in Abschnitt 9); Microsoft löscht die Aufzeichnungen nach 30 Tagen.
• Widerruf: jederzeit über „Cookie-Einstellungen“ im Seitenfuß. Beim Widerruf wird die Aufzeichnung angehalten und die gesetzten Clarity-Cookies werden entfernt (Art. 7 Abs. 3 DSGVO).

Informationen von Microsoft zur Datenverarbeitung finden Sie unter privacy.microsoft.com.

10. Website-Kontaktformular

Wenn Sie uns über das Kontaktformular auf der Website (Fragen zum Produkt oder zu unseren Systemen) schreiben, verarbeiten wir die von Ihnen angegebene E-Mail-Adresse, Ihren optionalen Namen sowie Ihre Nachricht ausschließlich zur Bearbeitung und Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Eine Nutzung für Werbung oder eine Weitergabe an Dritte erfolgt nicht. Die Nachrichten werden gelöscht, sobald Ihre Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Das Kontaktformular ist kein Chatbot — Ihre Nachricht wird von einem Menschen gelesen und persönlich beantwortet.

11. Kontaktaufnahme mit Einrichtungen (Bedarfserhebung)

Wir sprechen Einrichtungen des Gesundheits- und Pflegewesens gezielt an, um den Bedarf an unserer Software zu erheben. Da wir diese Daten nicht bei Ihnen selbst erhoben haben, informieren wir Sie nach Art. 14 DSGVO:

• Kategorien der Daten: dienstlicher Name, Funktion, dienstliche E-Mail-Adresse und Telefonnummer sowie Name und Anschrift der Einrichtung. Private Kontaktdaten verarbeiten wir nicht.
• Herkunft: ausschließlich öffentlich zugängliche Quellen — im Regelfall die Website der jeweiligen Einrichtung oder deren Impressum.
• Zweck: einmalige fachliche Anfrage, ob Bedarf an unserer Lösung besteht, sowie die Beantwortung Ihrer Rückfragen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Ermittlung des Marktbedarfs für ein Produkt, das sich an Einrichtungen Ihrer Art richtet.
• Empfänger: keine. Eine Weitergabe an Dritte oder eine Nutzung für Werbezwecke findet nicht statt.
• Speicherdauer: bis zum Abschluss der Erhebung, längstens sechs Monate — bei Widerspruch unverzüglich.

Ihr Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung jederzeit widersprechen. Eine formlose Nachricht genügt; wir löschen Ihre Daten dann umgehend und kontaktieren Sie nicht erneut. Zur Umsetzung dieser Sperre bewahren wir lediglich Ihre E-Mail-Adresse in einer Sperrliste auf.

12. Einsatz künstlicher Intelligenz

Nurvo setzt KI ausschließlich für die monatliche Analyse der Dienstplan-Besetzung ein. Dabei werden nur aggregierte Schichtdaten (Station, Schichtart, geplante und tatsächliche Besetzung, häufigste Arbeitszeiten) verarbeitet — keine personenbezogenen Daten einzelner Beschäftigter. Die Ergebnisse sind Vorschläge, die als „KI-generiert“ gekennzeichnet sind und erst wirksam werden, wenn ein Mensch sie annimmt. Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet nicht statt. Alle Angaben nach Art. 50 der EU-KI-Verordnung finden Sie auf der Seite KI-Transparenz.

Anbieter und Drittlandübermittlung. Die Modellaufrufe laufen derzeit über die Anthropic PBC (USA). Rechtsgrundlage der Übermittlung sind die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO; die übermittelten aggregierten Zahlen sind nicht personenbezogen und werden vom Anbieter nicht zum Training verwendet. Vorbereitet ist die Umstellung auf ein selbst betriebenes Modell auf Servern in Deutschland, mit der diese Übermittlung vollständig entfällt.

Diese Website selbst wurde mithilfe von KI-Systemen erstellt (Texte, Layout, Quellcode) und vor der Veröffentlichung menschlich geprüft. Dabei werden keine Daten von Besucherinnen und Besuchern verarbeitet — die Erstellung fand vor der Veröffentlichung statt, nicht im laufenden Betrieb.