Datenschutzerklärung

Was wir erfassen:

• Eine zufällige Nutzer-ID (UUID) — interne Kennung, wird nie angezeigt
• Ein Hash Ihrer E-Mail-Adresse (HMAC-SHA256 mit einem serverseitigen geheimen Schlüssel) — nur bei Registrierung per E-Mail
• Die Apple- oder Google-Nutzerkennung für Sie — nur bei Social Login (Ihre tatsächliche E-Mail-Adresse wird verworfen)

Warum: Damit wir Sie sitzungsübergreifend erkennen und Ihre gespeicherten Daten Ihrem Konto zuordnen können. Der Hash erlaubt uns, Sie bei der Anmeldung wiederzufinden, ohne Ihre eigentliche E-Mail jemals zu speichern; die Apple-/Google-Kennung übernimmt diese Aufgabe bei Social Login.

Wann: Wird bei der Kontoerstellung angelegt, bleibt bis zur Löschung Ihres Kontos bestehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — zur Erfüllung unseres Vertrags mit Ihnen erforderlich (Kontonutzung).

Im Code nachprüfen: models.py Z. 76-96 · security.py Z. 25-28

Was wir erfassen:

• Krankenhauszugehörigkeit — optional; mit „Lieber nicht angeben" wird nichts gespeichert
• Fachgebiet / Abteilungsgruppe
• Rolle / Seniorität
• Bundesland
• Beruf

Warum: Um Ihre Beiträge mit ähnlichen Nutzer:innen zu gruppieren, wenn wir K-anonyme Statistiken erstellen. Ohne diese Felder wären die veröffentlichten Statistiken nicht möglich.

Wann: Bei der Kontoerstellung; in Ihrem Profil später änderbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Speicherung als Teil Ihres Kontos; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für den Beitrag zu aggregierten Statistiken.

Im Code nachprüfen: models.py Z. 85-103

Was wir erfassen:

• Pro abgeschlossener Woche: geplante Gesamtstunden + tatsächliche Gesamtstunden (keine Tagesaufschlüsselung)
• Das Startdatum der Woche
• Ihr Land, Bundesland, Fachgebiet, Krankenhauszugehörigkeit (oder NULL bei Opt-out)

Warum: Um K-anonyme, differentially-private Statistiken über Arbeitsstunden nach Gruppen zu erstellen. Tagesdaten werden nie übertragen — nur Wochensummen nach Ihrer Bestätigung.

Wann: Wenn Sie alle 7 Tage einer Woche bestätigen und die Woche abgeschlossen wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung speziell für den statistischen Beitrag).

Im Code nachprüfen: models.py Z. 147-185 · aggregation.py Z. 54-90

Was wir erfassen: Nichts. Der Kalenderexport schreibt in den Kalender Ihres Geräts; keine Schichtdaten erreichen unser Backend.

Was an den Kalender Ihres Geräts übergeben wird: Schichtname, Start-/Endzeit, Farbe, Abwesenheitsart (Urlaub/Krankheit).

Wohin es danach geht: Die Kalender-App Ihres Geräts. Wenn Ihr Kalender mit iCloud, Google Kalender oder anderen synchronisiert oder geteilt ist, erscheinen die Einträge auch dort. Sie steuern dies in den Einstellungen Ihres Geräts.

Wann: Nur wenn Sie den Schalter „In Kalender exportieren" in den Einstellungen aktivieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — von Ihnen aktiviert).

Im Code nachprüfen: CalendarExportManager.ts Z. 42

Was wir erfassen (nur wenn Sie „Problem melden" und danach „Bericht senden" antippen):

• Ihre optionale Textbeschreibung des Problems
• Gerätemodell (z. B. „iPhone 15 Pro")
• Betriebssystem-Name und -Version
• App-Version und Build-Nummer
• Anzahl der gespeicherten Arbeitsorte und Arbeitsereignisse
• Die letzten ~100 Geofence-Ereignisse auf Ihrem Gerät — Zeitstempel, Ereignistyp, GPS-Genauigkeit in Metern, Ignoriert-Status/-Grund und aggregierte Genauigkeitswerte. Standardmäßig enthält dies keine Namen oder Koordinaten gespeicherter Arbeitsorte.
• Wenn Sie angemeldet sind: Ihre Nutzer-ID, damit wir den Bericht Ihrem Konto zuordnen und bei Kontolöschung ebenfalls löschen können. Krankenhauszugehörigkeit, Fachgebiet, Rolle und Bundesland speichern wir nicht mit Fehlerberichten.

Optionale Standortdiagnose: Der Bestätigungsdialog enthält ein nicht vorausgewähltes Kontrollkästchen „Standortdiagnose einschließen". Wenn Sie es aktivieren, enthält der Bericht zusätzlich Namen gespeicherter Arbeitsorte, ungefähre gespeicherte Koordinaten auf 3 Dezimalstellen gerundet (etwa 100 m Genauigkeit) und aktuelle Geofence-Ereignisse mit Namen der Arbeitsorte.

Was das Backend erzwingt: Wenn Standortdiagnosen nicht ausdrücklich aktiviert sind, entfernt das Backend gespeicherte Arbeitsortdetails und Geofence-Standortnamen auch dann, wenn eine ältere App-Version sie sendet.

Warum: Zur Diagnose technischer Probleme — besonders der Geofencing-Zuverlässigkeit auf Android, wo wir auf reale Telemetriedaten angewiesen sind, um Fehler zu finden und zu beheben.

Wann: Nur wenn Sie in den Einstellungen „Problem melden" antippen und die Übermittlung bestätigen.

Aufbewahrung: Fehlerberichte werden 90 Tage aufbewahrt und danach automatisch gelöscht. Fehlerberichte werden außerdem sofort gelöscht, wenn Sie Ihr Konto löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — jedes Mal von Ihnen ausgelöst).

Im Code nachprüfen: reportIssue.ts · feedback.py Z. 19-81 · models.py Z. 342-367

Was wir erfassen:

• Welche Version der Nutzungsbedingungen Sie akzeptiert haben
• Welche Version der Datenschutzerklärung Sie akzeptiert haben
• Den Zeitstempel Ihrer Zustimmung

Warum: Art. 7 DSGVO verpflichtet uns nachzuweisen, dass Sie eingewilligt haben. Diese drei Felder sind der rechtliche Nachweis dafür.

Wann: Bei der Kontoerstellung; erneut, wenn ein wesentliches Update der Richtlinien eine Neu-Zustimmung erfordert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (Art. 7 schreibt die Dokumentation vor).

Im Code nachprüfen: models.py Z. 106-108