v1.0 · 08.08.2026
Stand: 08.08.2026 Geltungsbereich: DSGVO Art. 13, 14, LOPDGDD (Spanien) Verantwortlicher: flowgeist
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des spanischen Datenschutzgesetzes (LOPDGDD — Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales) ist:
flowgeist Inhaber: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Deutschland
E-Mail: info@flowgeist.de Web: https://combijornada.es
Datenschutzbeauftragter: Gemäß Art. 37 DSGVO und § 38 BDSG ist derzeit kein Datenschutzbeauftragter bestellt. Interne Ansprechpartnerin für Datenschutzfragen: datenschutz@flowgeist.de (interim).
Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten durch die CombiJornada-Plattform (Arbeitszeit- und Schichtplanung / Jornada-Management). Die Plattform richtet sich an Unternehmen mit Sitz in Spanien und wird von flowgeist als Verantwortlicher betrieben.
Es gelten die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung — DSGVO) sowie das spanische Datenschutzgesetz Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Soweit Beschäftigtendaten verarbeitet werden, findet zudem Art. 88 DSGVO sowie das spanische Arbeitsrecht (Estatuto de los Trabajadores, insbesondere Art. 34) Anwendung.
Die CombiJornada-Plattform verarbeitet folgende Kategorien personenbezogener Daten:
| Kategorie | Beschreibung | Beispiele |
|---|---|---|
| Stammdaten | Grundlegende Identifikations- und Kontaktdaten | Name, Vorname, E-Mail-Adresse, Firmenname, Anschrift, Telefonnummer |
| Arbeitszeitdaten | Daten zur Arbeitszeiterfassung | Arbeitsbeginn, Arbeitsende, Pausenzeiten, Überstunden, Gleitzeit |
| Schicht- und Dienstplandaten | Daten zur Schicht- und Dienstplanung | Schichtzeiten, Diensteinteilung, Zuordnung Mitarbeiter ↔ Schicht |
| Urlaubs- und Abwesenheitsdaten | Daten zur Urlaubs- und Abwesenheitsverwaltung | Urlaubsanträge, Genehmigungsstatus, Krankheits-/Abwesenheitstage |
| Zugangsdaten | Authentifizierungsdaten | NextAuth + JWT, Passwort-Hash, Session-Token, Benutzerrollen |
| Dokumente | Hochgeladene Dateien | Arbeitsverträge, Schichtpläne als PDF, Abwesenheitsbescheinigungen |
| Audit-Daten | Protokollierung von Systemzugriffen | Login-Zeiten, ausgeführte Aktionen, IP-Adressen, Benutzerkennungen |
| Rechnungsdaten | Zahlungs- und Abrechnungsdaten | Stripe Customer ID, Rechnungsadresse, Transaktionsreferenzen |
Die Verarbeitung personenbezogener Daten erfolgt zu folgenden Zwecken:
Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Rechtsgrundlagen:
| Rechtsgrundlage | Anwendungsbereich |
|---|---|
| Art. 6 Abs. 1 lit. b DSGVO | Vertragsdurchführung — Verarbeitung zur Erfüllung des SaaS-Vertrags (Arbeitszeit-Erfassung, Schichtplanung, Urlaubsverwaltung, Reporting) |
| Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse — Audit-Protokollierung, Sicherheit, Missbrauchserkennung, Systemstabilität |
| Art. 88 DSGVO | Beschäftigtendaten — Verarbeitung von Mitarbeiterdaten im Beschäftigungskontext gemäß nationalem Recht (LOPDGDD / spanisches Arbeitsrecht) |
| Art. 22 LOPDGDD | Spanische Umsetzung der Beschäftigtendaten-Verarbeitung gemäß Art. 88 DSGVO |
Soweit besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet werden (z. B. Krankheits-/Abwesenheitsdaten), erfolgt dies auf Grundlage von Art. 9 Abs. 2 lit. b DSGVO i. V. m. Art. 88 DSGVO und Art. 22 LOPDGDD (Beschäftigungs- und Sozialrecht).
Personenbezogene Daten werden an folgende Empfänger weitergegeben:
| Empfänger | Sitz | Zweck | Drittstaaten-Transfer |
|---|---|---|---|
| Hetzner Online GmbH | Deutschland (Falkenstein) | Hosting, PostgreSQL-Datenbank, Redis, Backup | Keine (EU) |
| Stripe Payments Europe, Ltd. | Irland (IE) / USA (US-Konzernmutter) | Zahlungsabwicklung, Rechnungsstellung | EU-US Data Privacy Framework + SCC |
| AWS S3 (Amazon Web Services) | USA / EU | Datei-Storage (Dokumente, PDFs) | EU-US Data Privacy Framework + SCC |
Weitere Empfänger können sein: Steuerberater, Finanzbehörden (im Rahmen gesetzlicher Aufbewahrungspflichten), IT-Dienstleister im Rahmen der technischen Betriebsführung (jeweils mit AVV).
Die primäre Verarbeitung personenbezogener Daten erfolgt in Deutschland (Hetzner Online GmbH, Falkenstein). Eine Übermittlung in Drittstaaten (außerhalb der EU/EWR) findet statt bei:
AWS S3 (USA): Datei-Storage erfolgt über AWS S3. AWS ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Zusätzlich werden Standardvertragsklauseln (SCC) der Europäischen Kommission abgeschlossen. Die Datenübermittlung erfolgt auf Grundlage von Art. 46 Abs. 2 lit. c DSGVO (SCC) und Art. 46 Abs. 2 lit. f DSGVO (DPF).
Stripe (USA): Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Ltd. (Irland). Stripe Inc. (USA) als Konzernmutter ist unter dem EU-US Data Privacy Framework zertifiziert. Zusätzlich werden Standardvertragsklauseln (SCC) angewendet.
Eine Transfer-Impact-Assessment (TIA) wurde für beide Drittstaaten-Übermittlungen durchgeführt. Die Ergebnisse der TIA bestätigen, dass keine Gründe bestehen, an einem angemessenen Schutzniveau zu zweifeln.
Die Aufbewahrungs- und Löschungsfristen richten sich nach den gesetzlichen Vorgaben (DSGVO, LOPDGDD, spanisches Arbeits- und Steuerrecht) sowie nach den vertraglichen Vereinbarungen:
| Datenkategorie | Speicherdauer | Rechtsgrundlage |
|---|---|---|
| Stammdaten | 30 Tage nach Vertragsende/Kündigung | Vertragsbeendigung, DSGVO Art. 5 Abs. 1 lit. e |
| Arbeitszeitdaten | 4 Jahre | Art. 34 Estatuto de los Trabajadores (spanische Aufbewahrungspflicht für Arbeitszeitaufzeichnungen) |
| Schicht- und Dienstplandaten | 4 Jahre | Art. 34 Estatuto de los Trabajadores |
| Urlaubs- und Abwesenheitsdaten | 4 Jahre | Spanisches Arbeitsrecht (Aufbewahrungsanalogie) |
| Audit-Logs | 3 Jahre | Art. 6 Abs. 1 lit. f DSGVO (Sicherheitsinteresse) |
| Rechnungsdaten | 10 Jahre | § 147 AO bzw. spanisches Steuerrecht (Art. 67 LGT — Ley General Tributaria) |
| Zugangsdaten / Passwort-Hashes | 30 Tage nach Vertragsende | DSGVO Art. 5 Abs. 1 lit. e |
Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert, sofern keine weiteren gesetzlichen Aufbewahrungspflichten entgegenstehen.
Als von der Datenverarbeitung Betroffener stehen Ihnen nach der DSGVO und der LOPDGDD folgende Rechte zu:
Sie haben das Recht, Auskunft über die zu Ihrer Person verarbeiteten Daten, die Verarbeitungszwecke, die Empfänger und die geplante Speicherdauer zu verlangen.
Sie haben das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.
Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, sofern die Verarbeitung nicht zur Erfüllung einer rechtlichen Verpflichtung (z. B. Aufbewahrungspflichten nach spanischem Arbeitsrecht) erforderlich ist.
Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, insbesondere während der Prüfung eines Berichtigungs- oder Widerspruchsbegehrens.
Sie haben das Recht, die Sie betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln.
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, Widerspruch einzulegen.
Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist entweder die spanische Datenschutzbehörde (AEPD — Agencia Española de Protección de Datos) oder die für flowgeist zuständige deutsche Aufsichtsbehörde (LDI NRW — Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen).
Zur Ausübung Ihrer oben genannten Rechte können Sie sich jederzeit an den Verantwortlichen wenden:
Bitte legen Sie Ihrer Anfrage ausreichende Identifikationsmerkmale bei, um eine Verwechslung auszuschließen. Der Verantwortliche wird Ihrer Anfrage innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO) nachkommen. In Ausnahmefällen kann diese Frist um weitere zwei Monate verlängert werden, über die Sie rechtzeitig informiert werden.
Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt. Es werden keine Profiling-Verfahren eingesetzt, die rechtliche Wirkungen für Sie entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.
Die CombiJornada-Plattform verwendet ausschließlich technisch notwendige Cookies (Session- und Authentifizierungs-Cookies). Diese sind erforderlich, um die Funktionalität der Plattform (Login, Session-Verwaltung über NextAuth + JWT) zu gewährleisten.
Es werden keine Analytics-Cookies, keine Marketing-Cookies und keine Tracking-Tools eingesetzt. Es findet kein Tracking durch Dritte statt.
Der Verantwortliche hat angemessene technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO implementiert, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:
Ein detailliertes Verzeichnis der TOMs ist auf Anfrage erhältlich.
Die für Spanien zuständige Datenschutzbehörde ist:
Agencia Española de Protección de Datos (AEPD) Calle Jorge Juan, 6 28001 Madrid Spanien Web: https://www.aepd.es
Die AEPD ist gemäß LOPDGDD die zuständige Aufsichtsbehörde für die Einhaltung der Datenschutzvorschriften in Spanien.
Der Verantwortliche behält sich vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen (insbesondere Änderungen der DSGVO, der LOPDGDD oder des spanischen Arbeitsrechts), gerichtliche Entscheidungen oder technische Entwicklungen anzupassen. Die jeweils aktuelle Version ist auf der Website unter https://combijornada.es/datenschutz abrufbar.
Über wesentliche Änderungen, die die Rechte der Betroffenen berühren, werden die Kunden und deren Mitarbeiter im Rahmen der Plattform rechtzeitig informiert.
Bei Fragen zum Datenschutz, zur Verarbeitung Ihrer personenbezogener Daten oder zur Ausübung Ihrer Betroffenenrechte wenden Sie sich bitte an:
flowgeist Inhaber: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Deutschland
E-Mail: info@flowgeist.de Datenschutz: datenschutz@flowgeist.de
Wenn Sie der Meinung sind, dass die Verarbeitung Ihrer personenbezogener Daten gegen die DSGVO oder die LOPDGDD verstößt, haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:
Deutschland: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) Kavalleriestraße 2-4 40213 Düsseldorf Web: https://www.ldi.nrw.de
Spanien: Agencia Española de Protección de Datos (AEPD) Calle Jorge Juan, 6 28001 Madrid Web: https://www.aepd.es
Sie haben zudem das Recht, einen gerichtlichen Rechtsbehelf gegen eine Entscheidung der Aufsichtsbehörde einzulegen (Art. 78 DSGVO).
| Version | Datum | Wesentliche Änderungen |
|---|---|---|
| 1.0 | 08.08.2026 | Erstfassung für CombiJornada |
© 2026 flowgeist – Ralf Carsjens · Alle Rechte vorbehalten