für Deutschland und die EU nach der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG) · gilt für die Webseiten orapoint.ch und orapoint.de und die App OraPoint · Stand: 19. Oktober 2026
Kunden und Mitarbeitende in der Schweiz: Datenschutzerklärung nach Schweizer DSG
Done IT, Inhaber Edon Shkodra (Einzelunternehmen)
Schlesierstr. 2, 69181 Leimen, Deutschland
E-Mail: info@orapoint.ch · Telefon: +49 6224 9067584
Ein Datenschutzbeauftragter ist nicht benannt, weil wir dazu gesetzlich nicht verpflichtet sind (Art. 37 DSGVO, § 38 BDSG: weniger als 20 Personen verarbeiten ständig personenbezogene Daten, keine Kerntätigkeit mit umfangreicher Überwachung). Für alle Fragen zum Datenschutz ist der Inhaber persönlich zuständig; schreiben Sie bitte mit dem Betreff „Datenschutz“ an info@orapoint.ch.
Datenschutzrecht unterscheidet, wer über die Daten entscheidet (der „Verantwortliche“) und wer sie nur im Auftrag technisch verarbeitet (der „Auftragsverarbeiter“). Bei OraPoint gibt es zwei klar getrennte Bereiche:
| Bereich | Verantwortlich | Ihre Ansprechstelle |
|---|---|---|
| Webseite, Kontaktformular, E-Mail an uns, Registrierung, Kundenvertrag, Rechnungen, „Hilfe & Feedback“, Angebote, Demo-Zugang | Done IT (wir) | info@orapoint.ch |
| Alle Daten, die in der App über Beschäftigte entstehen: Arbeitszeiten, Standort beim Stempeln, Urlaub, Krankmeldungen, Dienstplan, Aufgaben, Fotos, Konten | Die Kundenfirma (Ihr Arbeitgeber) | Zuerst Ihr Arbeitgeber. Wir unterstützen ihn und leiten Anfragen, die bei uns eingehen, unverzüglich an ihn weiter. |
Beispiel: Sie arbeiten bei einer Baufirma, die OraPoint nutzt, und möchten wissen, welche Stempelzeiten von Ihnen gespeichert sind. Dann fragen Sie Ihre Baufirma – sie entscheidet über diese Daten und muss Ihnen Auskunft geben. Wir verarbeiten diese Daten nur nach ihren Weisungen auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Wenden Sie sich trotzdem an uns, bleibt Ihr Anliegen nicht liegen: Wir leiten es an Ihre Firma weiter und sagen Ihnen das.
Bei jedem Aufruf erfasst der Server unseres Hosters IONOS technisch zwingend: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem sowie die zuvor besuchte Seite. Zweck: Auslieferung der Seite, Erkennung von Störungen und Abwehr von Angriffen. Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). IONOS löscht diese Protokolle automatisch nach spätestens 7 Tagen. Wir führen sie nicht mit anderen Daten zusammen.
Die Webseite und die App speichern im Browser (Local Storage) nur, was für den Betrieb unbedingt nötig ist: den Anmelde-Schlüssel (damit Sie angemeldet bleiben, gültig höchstens 7 Tage), die Angaben zum angemeldeten Konto, Ihre Wahl von Sprache, Land (Schweiz oder Deutschland) und Design (hell/dunkel). Damit die App auf dem Handy wie ein Programm startet, legt der Browser ausserdem Programmdateien der App ab – ohne personenbezogene Daten. Diese Speicherung ist ohne Einwilligung zulässig, weil sie für den von Ihnen gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können sie jederzeit über die Einstellungen Ihres Browsers löschen; danach müssen Sie sich neu anmelden.
Wir setzen keine Werbe-, Analyse- oder Tracking-Cookies, keine Zählpixel, keine Besucherstatistik, keine Social-Media-Knöpfe und laden keine Schriften, Karten oder Skripte von fremden Servern. Ihre IP-Adresse wird beim Besuch der Webseite deshalb an niemanden ausser unseren Hoster übertragen.
Wenn Sie uns über das Formular schreiben, speichern wir Ihre Angaben (Name, Firma, Funktion, E-Mail, Telefon, Firmengrösse, Branche, Nachricht) in unserer Datenbank und erhalten eine Benachrichtigung per E-Mail. Zweck: Ihre Anfrage beantworten und Ihnen auf Wunsch einen Testzugang einrichten. Rechtsgrundlage: vorvertragliche Massnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Pflichtfelder sind als solche gekennzeichnet; ohne sie können wir Ihnen nicht antworten.
Zum Schutz vor automatisierten Spam-Anfragen speichern wir statt Ihrer IP-Adresse nur eine Prüfsumme und zählen damit höchstens 5 Anfragen pro Stunde und Anschluss (Art. 6 Abs. 1 lit. f DSGVO). Anfragen, aus denen kein Vertrag entsteht, löschen wir automatisch spätestens zwei Jahre nach Eingang – damit wir bei einer späteren Rückfrage noch wissen, worum es ging.
Registriert eine Firma sich selbst oder richten wir ihr einen Zugang ein, verarbeiten wir:
Zweck: Vertrag abschliessen und erfüllen, Sie betreuen, Rechnungen stellen und Zahlungen zuordnen. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO); für Rechnungen und Buchhaltung unsere gesetzlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO); für den Nachweis der Bestätigung unser berechtigtes Interesse, im Streitfall belegen zu können, was vereinbart wurde (Art. 6 Abs. 1 lit. f DSGVO).
Prüfung der Firmennummer: Eine USt-IdNr. prüfen wir automatisch über das Abfragesystem der EU-Kommission (VIES), eine Schweizer UID über das UID-Register des Bundesamts für Statistik. Übermittelt wird dabei nur die Nummer, nicht Ihr Name. Zweck: Schutz vor Falschangaben und Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).
Bestätigung der E-Mail-Adresse: Sie erhalten einen Link, der 48 Stunden gültig ist. Registrierungen, die nicht innerhalb von 30 Tagen bestätigt werden, löschen wir automatisch vollständig. Registrierungen pro Internetanschluss zählen wir zum Schutz vor Missbrauch nur als Prüfsumme (höchstens 24 Stunden gespeichert).
Unsere Adressen info@orapoint.ch und info@orapoint.de sind Weiterleitungen: Ihre E-Mails an diese Adressen sowie die Benachrichtigungen aus dem Kontaktformular landen in einem Postfach bei Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), von dem aus wir antworten. Google kann Daten dabei auch in den USA verarbeiten. Die Muttergesellschaft Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Rechtsgrundlage für die Verarbeitung Ihrer E-Mail: Beantwortung Ihres Anliegens bzw. Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Unsere eigenen E-Mails aus der App (z. B. Bestätigungslinks, Hinweise zu Meldungen) und die E-Mails, die Kundenfirmen aus der App senden (Rechnungen, Lohnabrechnungen, Diensttausch – siehe Ziffer 11), versendet der Server bei IONOS in Deutschland, nicht Google.
Bitte beachten: Senden Sie uns per E-Mail keine Arbeitszeiten, Krankmeldungen oder andere Daten Ihrer Beschäftigten. Solche Daten gehören in die App, wo sie geschützt und nur für Berechtigte sichtbar sind.
Über „Hilfe & Feedback“ in der App können Sie uns Fragen, Fehler und Wünsche melden. Wir speichern Titel, Beschreibung, Antworten, Status, die Seite der App, auf der Sie die Meldung abgeschickt haben, sowie Browser und Gerätetyp (damit wir Fehler nachstellen können) und – wenn Sie welche anhängen – Bildschirmfotos, Fotos und Sprachnachrichten (höchstens 4 Anhänge, Sprachnachrichten bis 3 Minuten; Bilder werden vor dem Hochladen verkleinert, dabei fallen eingebettete Zusatzangaben weg; nur über zeitlich begrenzte Links abrufbar). Die App nutzt das Mikrofon nur, solange Sie selbst eine Sprachnachricht aufnehmen. Wir benachrichtigen die Beteiligten in der App und per E-Mail. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Fehlerbehebung (Art. 6 Abs. 1 lit. f DSGVO). Abgeschlossene Meldungen löschen wir mit allen Anhängen automatisch spätestens zwei Jahre nach Abschluss. Bitte hängen Sie keine Bilder mit Gesundheitsdaten oder Daten unbeteiligter Personen an.
Wer von Done IT bereits ein Produkt oder eine Dienstleistung gekauft hat, erhält von uns gelegentlich ein persönliches Angebot für OraPoint per E-Mail (z. B. mehrere Monate kostenlose Nutzung). Wir verwenden dafür nur Name, Firma und die E-Mail-Adresse, die wir aus diesem Kauf haben. Rechtsgrundlage: unser berechtigtes Interesse an Werbung für eigene ähnliche Leistungen (Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG).
Die E-Mail enthält einen persönlichen Link zu Ihrer Angebotsseite. Öffnen Sie diese Seite oder nehmen Sie das Angebot an, speichern wir den Zeitpunkt und die Zahl der Aufrufe. Wir verwenden kein unsichtbares Zählbild in der E-Mail und keine Cookies; ob Sie die E-Mail nur geöffnet haben, erfahren wir also nicht. Nicht angenommene Angebote löschen wir spätestens zwei Jahre nach dem Versand.
Auf der Webseite können alle Besucher OraPoint mit Beispielkonten ausprobieren. Alles, was in der Demo eingegeben wird, ist für alle anderen Demo-Besucher sichtbar und wird jede Nacht automatisch gelöscht und durch Beispieldaten ersetzt. Geben Sie in der Demo deshalb keine echten Namen oder Daten ein. Erfasst die Demo einen Standort, weil Sie im Gerät die Freigabe erteilen, gilt dasselbe. Rechtsgrundlage: Ihre Nutzung der Demo auf eigenen Wunsch (Art. 6 Abs. 1 lit. b DSGVO).
Im Auftrag und nach Weisung der Kundenfirma verarbeiten wir die folgenden Daten ihrer Beschäftigten. Die Daten stammen von den Beschäftigten selbst (z. B. beim Stempeln) oder von der Firma bzw. von Vorarbeitern (z. B. Anlegen des Kontos, Dienstplan, Korrekturen).
| Bereich | Daten | Zweck |
|---|---|---|
| Konto | Name, Benutzername, Passwort (nur als Prüfsumme), E-Mail, Telefon, Rolle, Team, Ferien-/Urlaubsanspruch, letzte Anmeldung; bei Externen/Leiharbeitskräften die Firma, über die sie arbeiten; Vertragsdauer | Anmeldung, Zuordnung zu Firma und Team; Zugang endet mit der Vertragsdauer |
| Arbeitszeit | Beginn (erstes Einstempeln) und Ende (letztes Ausstempeln) – Uhrzeit des Servers, nicht des Handys –, Pause, Projekt, Notiz; bei einem Projektwechsel während des Tages: Projekt und Uhrzeit des Wechsels; bei Korrekturen: alter Wert, neuer Wert, Grund, wer und wann | Gesetzliche Arbeitszeiterfassung, Lohnabrechnung, Nachweis |
| Standort | GPS-Koordinaten und Genauigkeit – nur im Moment des Stempelns (Einstempeln, Projektwechsel, Ausstempeln) und nur, wenn das Gerät die Freigabe erteilt | Nachweis, an welchem Ort die Arbeit begonnen, gewechselt und beendet wurde |
| Abwesenheiten | Art (Urlaub, krank, unbezahlt, sonstige), Zeitraum, halbe Tage, Bemerkung, Genehmigung | Urlaubsverwaltung, Entgeltfortzahlung, Einsatzplanung |
| Dienstplan | Geplante Schichten und Bereitschaftdienste mit Datum, Zeit, Ort, Bemerkung | Personaleinsatzplanung |
| Aufgaben | Aufträge, Status, Bemerkungen, Fotos | Arbeitsorganisation, Dokumentation der Arbeit |
| Kunden und Projekte | Name, Adresse, Ansprechperson, Telefon und E-Mail der Kunden der Firma; Projekte mit Adresse | Zuordnung der Arbeitszeit, Arbeitsnachweis für den Kunden |
| Profilbild, Logo | Freiwilliges Profilbild (verkleinert auf 256 × 256 Pixel); Firmenlogo | Erkennbarkeit in der App; Logo auf PDFs der Firma |
| Arbeitsnachweis | Freitext „Was wurde erledigt?“ pro Projektabschnitt; Kennzeichnung automatisch erstellter Einträge (z. B. automatisch ausgestempelt nach der Tageshöchstzeit) | Arbeitsnachweis für den Kunden der Firma, Nachvollziehbarkeit |
| Diensttausch | Wer welche Schicht abgeben oder tauschen möchte, an wen (eine Person oder alle, die zu dieser Zeit frei haben), Nachricht, Zusage, Freigabe mit Person und Zeitpunkt | Personaleinsatzplanung unter Kolleginnen und Kollegen, soweit die Firma es erlaubt |
| Personalien (Meine Daten) | Von den Beschäftigten selbst gemeldet oder von der Firma erfasst: amtlicher Name, Geburtsdatum, Geschlecht, Nationalität, Zivilstand, Adresse, Sozialversicherungsnummer, Steuer-ID, IBAN und Kontoinhaber; Meldungen mit bisherigem und neuem Wert, Übernahme oder Ablehnung durch die Firma | Vertrag, Lohn und Lohnausweis mit richtigen Angaben; die Firma prüft jede Änderung, bevor sie gilt |
| Lohn (Zusatzmodul) | Lohndaten mit Gültigkeitsdatum (Eintritt, Austritt, Lohnart, Lohn, Pensum, Versicherungen, Kinder für Zulagen), Monatswerte, Lohnabrechnungen, Korrekturen mit Grund, Jahresabrechnung, Lohnausweis, Zahlungsdatei, Buchungsbeleg | Lohnabrechnung, Sozialversicherungs- und Steuermeldungen der Kundenfirma (derzeit nur für Firmen in der Schweiz verfügbar) |
| Rechnungen (Zusatzmodul) | Offerten, Rechnungen, Gutschriften, Mahnungen und Zahlungen der Firma an ihre Kunden, mit Kundenadresse, Positionen und Stunden aus den Projekten; Versand per E-Mail (Empfänger, Betreff, Zeitpunkt) | Rechnungsstellung der Firma an ihre Kunden |
| Einstellungen der Person | Wahl beim Einstempeln (zwei Knöpfe, immer mit oder immer ohne GPS), Sprache | Bedienung nach Wunsch der Person |
| Protokoll, Mitteilungen | Wer hat wann was angelegt, geändert oder gelöscht; Mitteilungen in der App | Nachvollziehbarkeit, Schutz vor Manipulation, Information der Beteiligten |
Die Kundenfirma verarbeitet diese Daten in der Regel zur Durchführung des Arbeitsverhältnisses (Art. 88 DSGVO in Verbindung mit § 26 BDSG sowie Art. 6 Abs. 1 lit. b DSGVO) und zur Erfüllung ihrer gesetzlichen Pflicht, die Arbeitszeit zu erfassen (Art. 6 Abs. 1 lit. c DSGVO; § 16 Abs. 2 ArbZG; Bundesarbeitsgericht, Beschluss vom 13.09.2022 – 1 ABR 22/21). Die Standorterfassung beim Stempeln stützt die Firma auf ihr berechtigtes Interesse am Nachweis des Arbeitsorts (Art. 6 Abs. 1 lit. f DSGVO); sie muss ihre Beschäftigten vorher darüber informieren und, falls vorhanden, den Betriebsrat beteiligen (§ 87 Abs. 1 Nr. 6 BetrVG).
Lohndaten, Personalien und Lohnabrechnungen sieht nur das Firmenkonto – Vorarbeiter nicht. Jede Person sieht ihre eigenen Lohnabrechnungen und Personalien. AHV-Nummer, IBAN, Kinder und Steuer-ID bzw. Sozialversicherungsnummer werden verschlüsselt gespeichert; der Schlüssel liegt nicht in der Datenbank. Der Person selbst zeigt die App AHV-Nummer und IBAN nur mit den letzten vier Zeichen. Jede Änderung, die Mitarbeitende unter „Meine Daten“ melden, gilt erst, wenn die Firma sie übernimmt; jeder Abruf der Meldungen durch die Firma wird protokolliert. Die Lohnabrechnung ist derzeit nur für Firmen in der Schweiz verfügbar; für Firmen in Deutschland erfasst „Meine Daten“ die Angaben, damit die Firma sie an ihr Lohnbüro weitergeben kann.
Erlaubt die Firma den Diensttausch, sehen Kolleginnen und Kollegen, die zu der Zeit frei haben, Name, Datum, Uhrzeit und Projekt der angebotenen Schicht – in der App und per E-Mail. Ob jemand frei hat, prüft der Server anhand von Dienstplan und genehmigten Abwesenheiten; den Grund einer Abwesenheit erfahren die Kollegen nicht. Erledigte Anfragen werden nach einem Jahr gelöscht.
Die Firma kann aus OraPoint E-Mails senden: Rechnungen und Offerten an ihre Kunden, Lohnabrechnungen an ihre Beschäftigten (als PDF, das nur mit einem Passwort zu öffnen ist) sowie Hinweise zum Diensttausch. Die E-Mails versendet unser Server bei IONOS in Deutschland im Namen der Firma; gespeichert werden Empfänger, Betreff und Zeitpunkt, nicht der Inhalt. In der Demo wird nichts verschickt.
Die Angabe „krank“ ist ein Gesundheitsdatum und damit besonders geschützt (Art. 9 DSGVO). OraPoint speichert nur die Tatsache und den Zeitraum. Es gibt kein Feld für eine Diagnose; beim freiwilligen Bemerkungsfeld weist die App ausdrücklich darauf hin, keine Diagnose oder Krankheitsdetails einzutragen. Die Angabe dient nur der Entgeltfortzahlung und Einsatzplanung (Art. 9 Abs. 2 lit. b DSGVO, § 26 Abs. 3 BDSG) und ist nur für die zuständigen Personen der eigenen Firma sichtbar.
Die Firma und ihre Vorarbeiter bzw. Schichtleiter sehen auf einer Karte, wer gerade eingestempelt ist, und zwar an dem Ort, an dem die Person zuletzt gestempelt hat (Einstempeln oder Projektwechsel). Zwischen diesen Momenten wird niemand geortet; ausgestempelte Personen erscheinen nicht. Die Kartenbilder stammen von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich) und werden über unseren eigenen Server geladen und dort zwischengespeichert. OpenStreetMap erhält dabei weder die IP-Adresse der Betrachter noch Namen oder Standorte von Personen, sondern nur die Anfrage unseres Servers nach einem Kartenausschnitt.
Stundenzettel, Kundenberichte, Dienstpläne und Abwesenheitslisten als PDF erzeugt der Browser auf dem Gerät der angemeldeten Person; dafür werden keine Daten an Dritte gesendet. Was mit einem heruntergeladenen PDF geschieht (z. B. Weitergabe an einen Kunden), entscheidet die Kundenfirma.
Ein Profilbild ist freiwillig. Es wird auf 256 × 256 Pixel verkleinert, ohne versteckte Zusatzangaben gespeichert, ist nur für Personen der eigenen Firma sichtbar und kann im Profil jederzeit entfernt werden.
Fotos zu Aufgaben werden verkleinert (höchstens 1600 Pixel). Dabei werden alle im Bild versteckten Zusatzangaben (z. B. Aufnahmeort, Gerät) entfernt. Fotos sind nur für berechtigte Personen der eigenen Firma über zeitlich begrenzte Links sichtbar. Die App greift nur dann auf die Kamera zu, wenn Sie selbst ein Foto aufnehmen.
Die Kontodaten und das Stempeln sind nötig, damit die Arbeitszeit erfasst werden kann. Die Standortfreigabe erteilen oder verweigern Sie in Ihrem Gerät; zusätzlich gibt es beim Einstempeln einen Knopf „ohne GPS“, und unter „Meine Daten“ können Sie dauerhaft „immer ohne GPS“ wählen; verweigern Sie sie, wird kein Standort gespeichert und das Stempeln funktioniert trotzdem. Ob Ihr Arbeitgeber den Standortnachweis arbeitsrechtlich verlangen darf, richtet sich nach Ihrem Arbeitsverhältnis – dazu ist Ihr Arbeitgeber Ansprechpartner.
Damit keine Missverständnisse entstehen, sagen wir ausdrücklich, was die App nicht kann und nicht tut:
Wer OraPoint entgegen diesen Grundsätzen zur heimlichen oder dauernden Überwachung von Menschen einsetzen will, verstösst gegen unsere AGB; wir dürfen den Zugang in diesem Fall sperren.
| Person | sieht |
|---|---|
| Mitarbeitende | Die eigenen Daten (eigene Zeiten, eigener Standort beim Stempeln, eigene Abwesenheiten, eigene Schichten, zugewiesene Aufgaben, eigene Lohnabrechnungen und Personalien). Dazu – wenn die Firma den Diensttausch erlaubt – Name und Zeit von Schichten, die Kollegen ihnen anbieten. |
| Vorarbeiter / Schichtleiter | Die Daten der Personen in ihrem Team, ohne Lohn und Personalien; weitere Bereiche (z. B. Rechnungen) nur, wenn die Firma ihnen dieses Recht gibt. Korrekturen nur mit Pflicht-Begründung; die betroffene Person wird benachrichtigt und alles wird protokolliert. |
| Firma (Inhaber/Verwaltung) | Die Daten aller Beschäftigten der eigenen Firma, einschliesslich Lohn und Personalien. |
| Wir (Done IT als Anbieter) | Nur Kennzahlen (z. B. Anzahl aktiver Konten) und die Kontodaten (Name, Benutzername, E-Mail, Rolle, Team, Status, letzte Anmeldung) – für Betreuung und Abrechnung. Jeder Aufruf dieser Kontoliste wird protokolliert. Arbeitszeiten, Standorte, Abwesenheiten, Dienstpläne, Aufgaben, Fotos, Personalien, Lohn- und Rechnungsdaten sehen wir in der App nicht. Auf die Datenbank greifen wir nur zu, wenn es für Betrieb, Datensicherung oder eine von der Firma gewünschte Fehlerbehebung zwingend nötig ist. |
| Andere Firmen | Nichts. |
| Daten | Gelöscht |
|---|---|
| Server-Protokolle | nach spätestens 7 Tagen (automatisch durch IONOS) |
| Fehlgeschlagene Anmeldeversuche (nur Prüfsumme) | nach spätestens 24 Stunden |
| Anfragen über das Kontaktformular ohne Vertrag | spätestens 2 Jahre nach Eingang |
| Unbestätigte Registrierungen | nach 30 Tagen |
| Nicht angenommene Angebote | spätestens 2 Jahre nach Versand |
| Abgeschlossene Meldungen „Hilfe & Feedback“ mit Anhängen | spätestens 2 Jahre nach Abschluss |
| Erledigte Diensttausch-Anfragen und Personalien-Meldungen | 1 Jahr nach Erledigung (die gültigen Angaben bleiben im Dienstplan bzw. bei der Person) |
| App-Daten der Kundenfirma | solange der Vertrag läuft, sofern die Firma sie nicht vorher löscht. Nach Vertragsende 30 Tage Lesezugang mit Export, danach Löschung innerhalb von weiteren 30 Tagen. |
| Datensicherungen | gestaffelt, spätestens nach 12 Monaten (siehe Abschnitt 17) |
| Rechnungen, Zahlungen, Vertragsunterlagen | nach Ablauf der gesetzlichen Aufbewahrungsfristen (bis zu 10 Jahre, § 147 AO, § 257 HGB); in dieser Zeit nur für Buchhaltung und Steuerprüfung |
| Sperrliste für Angebote (nur Prüfsumme) | solange wir Angebote versenden – sonst könnten wir Ihren Widerspruch nicht beachten |
Wie lange die Kundenfirma Arbeitszeitnachweise aufbewahren muss (z. B. mindestens zwei Jahre nach § 16 Abs. 2 ArbZG, für Lohnunterlagen länger), entscheidet sie selbst; sie kann die Daten jederzeit vollständig exportieren.
Wir geben personenbezogene Daten nur an Dienstleister weiter, die sie in unserem Auftrag und nach unseren Weisungen verarbeiten:
| Empfänger | Aufgabe | Ort |
|---|---|---|
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland | Hosting von Webseite, App, Datenbanken, Datensicherungen; E-Mail-Versand der App | Rechenzentren in der EU |
| Google Ireland Limited, Dublin, Irland | E-Mail-Postfach von Done IT (nur E-Mails, die Sie uns schicken, und Formular-Benachrichtigungen) | EU; Zugriff aus den USA möglich (Data Privacy Framework, Art. 45 DSGVO) |
Daten der App werden nicht an Google und nicht in Länder ausserhalb der EU übermittelt. Daneben erhalten Daten nur: das Finanzamt und gegebenenfalls ein von uns beauftragter Steuerberater, soweit für Steuer und Buchhaltung gesetzlich nötig (Art. 6 Abs. 1 lit. c DSGVO), sowie Behörden in den Fällen von Abschnitt 16.
Verlangen Polizei, Staatsanwaltschaft, Gerichte oder andere Behörden Daten von uns, gilt:
Unabhängig davon dürfen wir Daten verwenden, um eigene Rechte zu verteidigen oder einen Missbrauch von OraPoint (z. B. einen Angriff auf unsere Server) bei den Behörden anzuzeigen (Art. 6 Abs. 1 lit. f DSGVO).
Kein System ist vollkommen sicher. Stellen wir eine Verletzung des Schutzes personenbezogener Daten fest, melden wir sie innerhalb der gesetzlichen Fristen der Aufsichtsbehörde und, wo vorgeschrieben, den Betroffenen (Art. 33, 34 DSGVO); betrifft sie App-Daten, informieren wir die Kundenfirma so schnell wie möglich, spätestens innerhalb von 48 Stunden.
Sie haben gegenüber dem jeweils Verantwortlichen (Abschnitt 2) das Recht auf:
Ein formloses Schreiben an info@orapoint.ch genügt. Wir antworten innerhalb eines Monats und kostenlos. Damit wir keine Daten an Unbefugte herausgeben, dürfen wir Sie bitten, Ihre Identität nachzuweisen. Beschäftigten einer Kundenfirma entsteht durch die Ausübung dieser Rechte kein Nachteil – eine Benachteiligung durch den Arbeitgeber wäre unzulässig (§ 612a BGB).
Beschwerde: Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Staat, in dem Sie wohnen oder arbeiten (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstr. 20, 70173 Stuttgart.
Wir passen diese Erklärung an, wenn sich OraPoint, unsere Dienstleister oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand. Wesentliche Änderungen, die App-Daten betreffen, teilen wir den Kundenfirmen vorher mit.
Anbieterangaben: siehe Impressum. · Fassung vom 19. Oktober 2026