Datenschutz

Verantwortliche Stelle

ML Gastronomie GmbH
Hubenstein 29
84416 Taufkirchen (Vils)
verwaltung@mila-landshut.de

Wofür diese Erklärung gilt

Für backstage insgesamt — die Anleitungen auf den Tablets im Betrieb (Küche, Bar, Wiki), die Academy mit der Einarbeitung und dem Schnuppertag, die Projektseiten und die Regie, in der das alles gepflegt wird. Was in welchem Bereich passiert, steht unten jeweils unter einer eigenen Überschrift.

Die Tablets im Betrieb

Auf den Tablets in Küche und Bar meldet sich ein Gerätekonto an, keine Person. Gespeichert wird, welches Gerät etwas ansieht — nicht, wer davorsteht. Die Anmeldung endet um Mitternacht; zur nächsten Schicht wird neu angemeldet.

Auf dem Gerät bleiben dabei drei Angaben liegen:

• session_id — die Anmeldung selbst.
• geraet_bereich merkt sich, welches Tablet das ist. Sonst wäre die Frage bei jedem Aufwachen neu zu beantworten.
• sprache merkt sich, ob das Gerät deutsch oder englisch spricht.

Alle drei lassen sich löschen, indem man die Websitedaten im Browser entfernt. Damit die Anleitungen auch bei einem WLAN-Aussetzer lesbar bleiben, legt das Tablet Bilder und Programmdateien im Zwischenspeicher des Browsers ab. Das sind Kopien der ohnehin angezeigten Inhalte, keine zusätzlichen Daten über eine Person.

Dein Zugang

Für einen persönlichen Zugang werden gespeichert:

• E-Mail-Adresse, optional ein Name, die Rolle und die zugeteilten Bereiche
• das Passwort ausschließlich als nicht rückrechenbarer Hashwert (bcrypt)
• je Anmeldung ein Sitzungseintrag mit IP-Adresse und Browserkennung. Er dient dazu, angemeldet zu bleiben, und endet mit dem Abmelden.

Die Anmeldung nutzt ein Cookie namens session_id. Es ist signiert und für Skripte im Browser nicht lesbar. Wer den Betrieb verwaltet, sieht in der Regie die Zugänge, den Stand der Einarbeitung und was Beteiligte zu einem Projekt geliefert haben; wer eine Anleitung zuletzt geändert hat, steht bei ihr in der Liste.

Die Academy: deine Einarbeitung

Die Academy erreichst du über einen Link, der für dich angelegt wurde. Er ersetzt die Anmeldung: Wer ihn hat, sieht deinen Stand. Gib ihn deshalb nicht weiter. Gespeichert wird:

• welche Schritte du erledigt hast, und wann
• was du in eine Frage geschrieben hast — etwa deine Verfügbarkeit
• Dateien, die du hochlädst, etwa ein ausgefüllter Personalfragebogen

Diese Angaben gehören zu deinem Zugang und sind für die da, die im Betrieb die Einarbeitung begleiten. Sonst sieht sie niemand. Aufbewahrt werden sie, solange die Einarbeitung läuft, und darüber hinaus so lange, wie der Betrieb die Unterlagen aufbewahren muss.

Der Schnuppertag

Am Schnuppertag wird nichts gespeichert. Die Seite steht offen — wer den Link hat, kann sie lesen. Dabei wird kein Konto angelegt, und es wird weder eine E-Mail-Adresse noch ein Passwort abgefragt. Es gibt dort auch nichts einzugeben oder hochzuladen: Auf der Seite steht, was dich erwartet — mehr nicht.

Der Hinweis auf Instagram ist nur ein Link. Solange ihn niemand antippt, lädt die Seite nichts von Instagram nach, und Instagram erfährt nichts von deinem Besuch. Wer ihn antippt, ist danach bei Instagram — dort gelten deren Bestimmungen.

Projekte

Die Seite eines Projekts — ein Fest, ein Catering, die Dult — erreichst du ebenfalls über einen persönlichen Link. Gespeichert wird dein Name, die Angaben, die für das Projekt gebraucht werden, und was du dazu lieferst: Bestätigungen, Angaben, hochgeladene Dateien samt Eingang. Sichtbar ist das für die, die das Projekt im Betrieb verantworten — bis das Projekt abgerechnet ist und darüber hinaus so lange, wie Aufbewahrungsfristen es verlangen.

Im Beschäftigungsverhältnis

Wer bei uns arbeitet, hinterlässt nicht nur in backstage Daten. Nach Art. 13 und 14 DS-GVO informieren wir deshalb auch darüber, was im Beschäftigungsverhältnis insgesamt verarbeitet wird.

Welche Daten

• Stammdaten (Vorname, Nachname, Staatsangehörigkeit, Personalnummer)
• Kontaktdaten (Anschrift, Telefonnummer, E-Mail-Adresse)
• technische Daten, etwa Logins in Zeiterfassung, Kassensystem oder Dienstplan-Apps
• Aufnahmen aus Videoüberwachungen in eingeschränktem Umfang, nur falls erforderlich und gesetzlich zulässig — wo die Kameras hängen, wird gesondert und persönlich mitgeteilt
• Gesundheitsdaten, nur falls erforderlich und gesetzlich zulässig, etwa bei Krankmeldungen oder Hygieneschulungen
• sonstige Daten aus dem Beschäftigungsverhältnis: Fähigkeiten und Kenntnisse, Erlaubnisse, Zeiterfassungsdaten, Urlaubszeiten, Arbeitsunfähigkeitszeiten, Sozialdaten, Sozial- und Rentenversicherungsnummer, Bankverbindung, Gehaltsdaten, Steueridentifikationsnummer, Anzahl und Geburtsdaten von Kindern, Essensunverträglichkeiten

Wozu

Zur Einstellung, zur Erfüllung des Arbeitsvertrags, für Arbeitszeit- und Einsatzplanung, für Zutritts- und Kassensystemverwaltung, für Gesundheit und Sicherheit am Arbeitsplatz, zum Schutz des Eigentums des Arbeitgebers oder der Kunden, zur Aufdeckung von Straftaten, für die Inanspruchnahme der mit der Beschäftigung zusammenhängenden Rechte und Leistungen und für die Beendigung des Beschäftigungsverhältnisses.

Auf welcher Grundlage

Nach der DS-GVO und dem Bundesdatenschutzgesetz: mit deiner Einwilligung (Art. 6 Abs. 1 a), zur Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 b), zur Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 c) oder zur Wahrung berechtigter Interessen (Art. 6 Abs. 1 f). Für das Beschäftigungsverhältnis selbst gilt zusätzlich § 26 Abs. 1 S. 1 BDSG — Begründung, Durchführung und Beendigung — sowie § 26 Abs. 1 S. 2 BDSG zur Aufdeckung von Straftaten. Besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, verarbeiten wir nur in den Fällen des Art. 9 Abs. 2 DS-GVO, insbesondere mit ausdrücklicher Einwilligung oder soweit Arbeitsrecht und soziale Sicherheit es verlangen.

Wer sie außer uns bekommt

Weitergegeben wird nur, was zur Erfüllung dieser Zwecke nötig ist, wozu wir verpflichtet sind oder wofür du eingewilligt hast. Arbeiten wir mit externen Dienstleistern, geschieht das regelmäßig als Auftragsverarbeitung nach Art. 28 DS-GVO; verantwortlich bleiben wir. Empfänger sind insbesondere Rentenversicherungsträger, Sozialversicherungsträger, Finanzbehörden, Polizei, Staatsanwaltschaft, Gerichte und externe Berater wie Steuerberater, Anwälte und Wirtschaftsprüfer.

Drittstaaten

Grundsätzlich werden deine Daten in Deutschland und im europäischen Ausland verarbeitet. Findet ausnahmsweise eine Verarbeitung außerhalb der EU oder des EWR statt, sichern wir sie über einen Angemessenheitsbeschluss der EU-Kommission, das EU-US Data Privacy Framework oder Standardvertragsklauseln ab.

Wie lange

So lange, wie es für die genannten Zwecke nötig ist. Bei einer Einwilligung längstens bis zu ihrem Widerruf, bei berechtigten Interessen längstens bis zu deinem begründeten Widerspruch. Im Übrigen so lange, wie vertragliche und gesetzliche Pflichten oder die Beweissicherung es verlangen: Die wichtigsten Aufbewahrungspflichten stehen in § 257 HGB und § 147 AO und betragen sechs bzw. zehn Jahre; Verjährungsfristen nach §§ 195 ff. BGB können bis zu dreißig Jahre betragen, regelmäßig sind es drei. Danach löschen oder anonymisieren wir auf sichere Weise.

Freiwilligkeit und Herkunft

Bereitstellen musst du nur die Daten, die für Aufnahme, Durchführung und Beendigung des Beschäftigungsverhältnisses erforderlich sind oder zu deren Erhebung wir gesetzlich verpflichtet sind. Ohne sie können wir das Beschäftigungsverhältnis in der Regel nicht aufnehmen, durchführen oder beenden. Die Daten stammen maßgeblich von dir selbst; teilweise auch aus öffentlich zugänglichen Quellen wie Internet, Presse, Handels- und Vereinsregister.

Keine automatisierte Entscheidungsfindung

Wir nutzen keine automatisierten Entscheidungsfindungen im Sinne von Art. 22 DS-GVO.

Datenschutzerklärung im Beschäftigtenverhältnis (PDF) — das vollständige Dokument zum Mitnehmen.

Was nicht passiert

• Keine Zugriffsstatistik, keine Reichweitenmessung, kein Tracking.
• Keine Werbung und keine Weitergabe an Dritte.
• Keine Inhalte von fremden Servern — Schriften, Bilder und Skripte kommen alle aus dieser Anwendung. Dadurch erfährt kein Drittanbieter von deinem Besuch.

Hosting

Die Anwendung läuft bei netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe. Dort entstehen — wie bei jedem Aufruf im Netz — Server-Protokolle mit IP-Adressen.

Deine Rechte

Du hast das Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DS-GVO), auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DS-GVO). Wende dich dafür an die oben genannte verantwortliche Stelle. Einzelne Rechte können in bestimmten Fällen eingeschränkt sein; ist das so, nennen wir dir den Grund.

Beschweren kannst du dich nach Art. 77 DS-GVO auch bei der Aufsichtsbehörde. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, poststelle@lda.bayern.de.