Datenschutzerklärung

1. Verantwortlicher

Ruhr Pflege GmbH · Montebruchstraße 20 · 45219 Essen
Geschäftsführer: Patrick Willems
Telefon: 02054 96984-08 · E-Mail: kontakt@ruhrpflege.de

Bei allen Datenschutz-Fragen kannst du dich jederzeit ans Büro wenden.

2. Wofür die App da ist

Die App dient der internen Zusammenarbeit im Team: Neuigkeiten, Chat, Übergaben, Dienstplan, Urlaubs- und Krankmeldungen sowie Wissensmaterialien. Sie wird ausschließlich im Rahmen deines Arbeitsverhältnisses genutzt (Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG).

3. Welche Daten verarbeitet werden

Konto & Stammdaten: Name, Rolle, deine registrierten Geräte. Deine PIN wird niemals im Klartext gespeichert, sondern nur als kryptografischer Hash.

Lohn- und Vertragsdaten: Anschrift, volles Geburtsdatum, Eintritts- und Austrittsdatum, Wochenstunden, Beschäftigungsart, Probezeit-Ende und Urlaubsanspruch; dazu die tarifliche Einstufung (Gruppe, Stufe, Monatsbrutto, Jahressonderzahlung) und der Vermerk, ob die Daten ans Lohnbüro gemeldet wurden. Anschrift und Geburtsdatum liegen feldverschlüsselt. Diese Angaben brauchen wir für die Lohnabrechnung und die Personalplanung (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG). Der weiter unten genannte Geburtstag mit Tag und Monat ist etwas anderes: Er ist freiwillig und nur dafür da, dass das Team gratulieren kann.

Deine Anschrift trägst du selbst ein — in der Einarbeitung und später jederzeit unter „Einstellungen“ (nicht am Gemeinschaftsgerät; ohne eigenes Handy trägt sie das Büro in deiner Personalakte ein). Ändert sie sich, sieht das Büro nur den Hinweis, dass es die neue Anschrift in die Lohnabrechnung (DATEV) übernehmen soll. Die Anschrift selbst steht in keinem Protokoll und in keiner Mitteilung, und eine alte Anschrift wird nicht aufgehoben.

Mitarbeitergespräche: Art des Gesprächs, Termin, wer es geführt hat und eine Notiz zur getroffenen Vereinbarung. In die Notiz gehören keine Gesundheitsangaben — auch beim Rückkehrgespräch nach einer Erkrankung wird nur festgehalten, dass es stattgefunden hat und was vereinbart wurde. Nach Ablauf der Frist bleibt nur der Nachweis „geführt am, von wem, welche Art"; die Inhalte werden entfernt.

Gesprächsanfragen: mit wem du sprechen möchtest, wann, und ein Thema aus einer festen Liste (zum Beispiel „Dienstplan und Arbeitszeit“) — ein freies Textfeld gibt es bewusst nicht. Das Thema sehen nur du, die angefragte Person und die Geschäftsführung; im Bürokalender und in Mitteilungen steht es nicht. Ein Jahr nach dem Gesprächstermin wird die Anfrage gelöscht.

Termine im Bürokalender mit mehreren Personen: wer zu einem Termin eingeladen ist, wann die Einladung kam und ob du „Ich kann nicht“ gemeldet hast. Du siehst den Termin unter „Meine Termine“; die Mitteilung aufs Handy nennt nur die Art und die Zeit. Für die Übersicht im Kalender hat jede Person eine Farbe — sie vergibt die App, das Büro kann sie ändern. Bei einem Vorstellungsgespräch wird der Termin mit der Bewerbung verknüpft; den Namen der Person sehen nur Büro, Geschäftsführung und wer zum Gespräch eingeladen ist, und er verschwindet mit der Bewerbung. Die Einladung wird mit dem Termin gelöscht.

Feste Zeiten „nicht verfügbar“ (nur Büro und Geschäftsführung): Wochentage, Uhrzeit und Zeitraum wiederkehrender Zeiten, in denen du nicht verfügbar bist. Das Büro sieht im Bürokalender nur deinen Namen mit „nicht verfügbar“, das Team beim Gespräch anfragen nur „Nicht verfügbar“ innerhalb deiner Sprechzeiten — nie einen Grund. Einen eigenen Vermerk kannst du dazuschreiben; er wird verschlüsselt gespeichert und nur dir angezeigt. Gelöscht wird ein Block, wenn du ihn löschst, 30 Tage nach seinem Ende, sobald du nicht mehr im Büro arbeitest, oder 30 Tage, nachdem dein Konto deaktiviert wurde.

Fuhrpark und Nachweise: die dir zugeteilten Fahrzeuge, deine Fahrzeug-Kontrollen (bei Wäsche und Innenreinigung mit Foto als Nachweis), Schadenmeldungen, Fahrzeugprotokolle nach einer Fahrt mit einem Poolfahrzeug sowie bei Übergabe und Rückgabe (fünf Fotos des Fahrzeugs, Kilometerstand, Sauberkeit, Markierungen am Schadensbogen, Unterschrift) — Fotos werden ohne Standortdaten gespeichert und dienen nur dem Zustands- und Schadensnachweis, nicht der Bewertung deines Fahrverhaltens. Deine Protokolle siehst nur du selbst sowie Büro und Geschäftsführung; Kolleginnen und Kollegen am selben Poolfahrzeug sehen nur die Schadenstellen des Fahrzeugs, nicht deine Fotos. Meldet ein Protokoll einen neuen Schaden, erhält die Geschäftsführung eine Push-Mitteilung mit dem Kennzeichen, und die App vermerkt, wer sie wann zur Kenntnis genommen hat. Das Rückgabeprotokoll beim Austritt wird als PDF in die Austrittsunterlagen (Personalakte) übernommen. Zu jeder Datei wird eine Prüfsumme gespeichert, damit sich nachträgliche Änderungen ausschließen lassen —, die halbjährliche Führerscheinkontrolle sowie hochgeladene Nachweise (Fortbildungen, Onboarding-Unterlagen, vom Büro hinterlegte Qualifikationsnachweise wie Berufsurkunde oder LG1/LG2-Nachweis). Für eine Prüfung durch den Medizinischen Dienst stellt das Büro daraus auf Knopfdruck eine Schulungs- und Nachweismappe zusammen; sie wird nicht gespeichert. Gesundheitsunterlagen (Masernschutz, Impfausweis) und das Führungszeugnis kommen nie in diese Mappe. Daneben führt das Büro eine digitale Personalakte mit deinen persönlichen Unterlagen (z. B. Arbeitsvertrag, Vertragsänderungen, Arbeitszeugnisse früherer Arbeitgeber, Bescheinigungen). Die Dateien liegen verschlüsselt auf dem Server; sehen können sie nur Büro und Geschäftsführung, Unterlagen mit deinem Gehalt nur die Geschäftsführung. Von Personalausweis, Führungszeugnis und Masernschutz-Nachweis wird keine Kopie aufbewahrt — festgehalten wird nur, wann wer sie eingesehen hat. Einmal im Jahr erzeugt das Büro daraus die Handzeichenliste für die Krankenkassen (Name, Anschrift, Qualifikation, Wochenstunden, Beschäftigungsbeginn, Handzeichen) — dazu ist der Pflegedienst durch seinen Vertrag mit den Kassen verpflichtet. Du unterschreibst sie auf Papier; die Liste selbst wird in der App nicht gespeichert, nur ein verschlüsselter Scan der unterschriebenen Fassung als Nachweis.

Belohnungsmodell „Ruhr Taler": vergebene Taler mit Grund und Datum, dein Punktestand und, nach Freigabe des Prämienshops, deine Einlösungen. Die Teilnahme ist freiwillig und jederzeit abschaltbar (siehe unten).

Zusammenarbeit: deine Beiträge in Chat, Übergabe und News sowie Lesebestätigungen bei wichtigen Mitteilungen. Lesebestätigungen dienen allein dem Nachweis, dass wichtige Informationen ankommen — nicht der Leistungskontrolle. In Übergabe und Neuigkeiten kannst du Einträge für dich abhaken, und die App merkt sich, wann du zuletzt reingeschaut hast, damit Neues als „Neu“ markiert ist. Was du abhakst und wann du zuletzt reingeschaut hast, siehst nur du. Büro und Geschäftsführung sehen es nicht, und es wird nicht ausgewertet. Gruppen im Chat: Name der Gruppe, wer sie angelegt hat und wann, wer Mitglied ist, dazu die Nachrichten, Fotos und Sprachnotizen der Gruppe. Lesen und schreiben können nur die Mitglieder — auch die Geschäftsführung nur, wenn sie Mitglied ist. Wer neu dazukommt, sieht nur, was ab dem Beitritt geschrieben wird. Geburtstagsgruppen: Hast du freiwillig deinen Geburtstag (Tag und Monat) eingetragen, legt die App zwei Wochen vorher eine Gruppe für die Kolleginnen und Kollegen aus deinem Fachbereich und die Geschäftsführung an. Du selbst bist nicht dabei und siehst nichts davon. Grundlage ist nur dieser freiwillige Eintrag, nie das Geburtsdatum aus der Lohnabrechnung. In den Einstellungen kannst du die Geburtstagsgruppe für dich abschalten. Der Gruppenname erscheint in Mitteilungen auf dem Sperrbildschirm und darf deshalb keinen Klienten nennen, auch kein Kürzel; die App prüft das beim Anlegen. Eine Absage in der Übergabe trägt zusätzlich feste Felder: das Kürzel des Klienten (verschlüsselt gespeichert), den Tag oder Zeitraum, den Einsatz (zum Beispiel „Morgens") und freiwillig einen Grund aus einer neutralen Liste („Verreist", „Besuch / Familie", „Anderer Termin", „Sonstiges") — nie eine Krankheit oder Diagnose. Sehen kann die Absage nur, wer auch die Übergabe des Fachbereichs sieht. Ein Übergabe-Eintrag kann sich wiederholen (jede Woche, alle 14 Tage oder einmal im Monat). Dafür speichert die App nur den Rhythmus, die Wochentage, den ersten Tag und das Ende, keine weiteren Angaben. Eine Neuaufnahme trägt nur das Kürzel (verschlüsselt), den Tag des ersten Einsatzes und den Dienst, dazu freiwillig eine kurze Notiz — Name, Adresse und Maßnahmen stehen nur in Medifox. 28 Tage lang zeigt die App hinter diesem Kürzel das Schild „neu seit …“; dafür vergleicht sie die Kürzel beim Anzeigen und speichert nichts zusätzlich.

Instagram-Erwähnung (freiwillig): Wenn du unter „Einstellungen“ deinen Instagram-Namen einträgst und zustimmst, darf eine öffentliche Antwort des Büros unter deinem eigenen Kommentar zu einem Beitrag von Ruhr Pflege dich mit @-Name und Vornamen ansprechen. Sonst stehen in öffentlichen Antworten nie Namen. Gespeichert werden dein Instagram-Name (verschlüsselt) und der Zeitpunkt deiner Zustimmung; das Büro sieht den Namen nur an deinen eigenen Kommentaren. Grundlage ist allein deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 26 Abs. 2 BDSG), jederzeit widerrufbar — mit dem Widerruf, beim Deaktivieren oder Sperren des Kontos werden beide Angaben sofort gelöscht. Eine Antwort, die vorher schon auf Instagram steht, bleibt dort; sag dem Büro Bescheid, wenn sie weg soll. Eintragen und Widerrufen geht nur auf deinem eigenen Gerät, nicht am Gemeinschaftsgerät, und ein Instagram-Name kann nur zu einem Konto gehören.

Dienst & Abwesenheit: Dienstplan, Urlaubs- und Stundenkonto sowie Krankmeldungen. Bei Krankmeldungen speichert die App nur den Zeitraum und den Status — niemals Diagnosen oder Symptome (Art. 9 Abs. 2 lit. b DSGVO).

Urlaubsplanung: Urlaubswünsche, genehmigter Urlaub und deine Anträge, einen Urlaub zu tauschen oder zurückzugeben, mit Zeitraum und Entscheidung. In der Jahresübersicht sehen Kolleginnen und Kollegen nur Name, Zeitraum und ob es ein Wunsch oder genehmigt ist — nie Gründe, nie abgelehnte Wünsche anderer (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG).

Resturlaub-Hinweis: Einmal im Jahr bekommst du einen persönlichen Hinweis mit deinem Urlaubsanspruch, den genommenen und den offenen Tagen und dem Hinweis auf den Verfall. Gespeichert werden der Wortlaut mit den Zahlen vom Versandtag, wann er verschickt und wann er von dir bestätigt (oder vom Büro auf Papier übergeben) wurde und ob die Mitteilung dein Gerät erreicht hat. Das ist der Nachweis, den das Gesetz für den Verfall von Urlaub verlangt (§ 7 BUrlG, Art. 6 Abs. 1 lit. c DSGVO). Sichtbar nur für dich und das Büro. Aufbewahrung: drei Jahre nach Ende des Urlaubsjahres.

Bonus & Prämien: vergebene Ruhr Taler mit Begründung sowie, nach Freigabe des Prämienshops, deine Prämien-Einlösungen — jeweils mit Titel, Euro-Wert, Kalendermonat (für die steuerliche Sachbezugsgrenze) und dem Nachweis der Ausgabe (wer, wann). Einlöse-Details sehen nur du selbst und das Büro; das teamöffentliche Taler-Glas zeigt ausschließlich den verdienten Taler-Stand (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG). Aufbewahrung: 6 Jahre nach Ablauf des Kalenderjahres (Lohnkonto-Unterlagen, siehe Abschnitt 7).

Die Teilnahme am Ruhr Taler ist freiwillig. Unter „Einstellungen" kannst du jederzeit — ohne Angabe von Gründen und ohne Nachteil — zwei Dinge getrennt entscheiden: ob du überhaupt am Belohnungsmodell teilnimmst, und ob du im teamöffentlichen Taler-Glas mit Namen und Punktestand erscheinst. Wer nur das Taler-Glas abwählt, sammelt weiter und erhält seinen Bonus wie alle anderen. Schaltest du ab, werden bereits vergebene Taler nicht gelöscht: Der Stand ruht und ist wieder da, sobald du erneut einschaltest — das ist nötig, damit eine spätere Auszahlung belegbar bleibt. Gespeichert wird zusätzlich der Zeitpunkt deiner Entscheidung, nicht ihr Grund.

Personalliste für die Kostenkalkulation: Um den kalkulatorischen Stundensatz eines abgeschlossenen Jahres zu berechnen, hält die App je Kalkulationsjahr eine Liste der damals Beschäftigten: Name, Berufsbezeichnung, vertragliche Wochenstunden, Ein- und Austrittsdatum sowie der geschätzte Anteil der Arbeitszeit in der direkten Pflege. Diese Liste enthält auch ehemalige Beschäftigte, die nie einen Zugang zur App hatten — ohne sie wäre die Kalkulation nachweislich falsch. Es werden keine Gehälter, keine Geburtsdaten und keine Leistungsdaten gespeichert; die Angaben werden nicht zur Bewertung einzelner Personen verwendet (Art. 6 Abs. 1 lit. f DSGVO — Kostenkalkulation und Pflegesatzverhandlung). Sie ist nur für Büro und Geschäftsführung sichtbar. Aufbewahrung: 10 Jahre nach dem Kalkulationsjahr, danach automatische Löschung (Abschnitt 7).

Fachleistungsstunden: In Fachbereichen, in denen das Büro die Erfassung eingeschaltet hat, tragen Sie am Tagesende ein, wie viele Einheiten oder Stunden Sie beim Klienten erbracht haben — nur die Menge, kein Klient, keine Uhrzeit, kein Text. Gespeichert werden Tag, Fachbereich und Minuten zu Ihrem Konto. Ausgewertet wird nur als Summe je Fachbereich und Monat; eine Auswertung je Person gibt es nicht, und die Rechnung gibt keine Personenkennung heraus. Zweck ist der Nachweis, wie viel Zeit beim Klienten ein Arbeitstag trägt — die Grundlage für den Preis je Stunde in der Vergütungsverhandlung (§ 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b und f DSGVO). In einem kleinen Fachbereich lässt eine Summe Rückschlüsse zu; das ist der Grund, warum sie nicht für Gespräche über Einzelne verwendet wird. Ihre eigenen Tageswerte sehen nur Sie. Aufbewahrung der Tageswerte: 15 Monate, danach automatische Löschung (Abschnitt 7).

Vertragsentwürfe: Bei einer Einstellung erzeugt das Büro den Arbeitsvertrag aus einer Vorlage. Dafür hält die App einen Entwurf mit Name, Anschrift, Geburtsdatum, Beginn und den Entgeltdaten verschlüsselt vor (§ 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b DSGVO). Die fertige Word-Datei wird nicht in der App gespeichert; sie gehört in die Personalakte. Entgeltgruppe, Stufe und Gehalt aus dem Entwurf sieht das Büro nur bis zur Einstellung; danach nur noch die Geschäftsführung. Der Entwurf wird zwölf Monate nach der letzten Änderung automatisch gelöscht (Abschnitt 7).

Tarifstufen: Zu jedem Konto kann die Geschäftsführung die tarifliche Einstufung hinterlegen — auch gesammelt aus einer hochgeladenen Lohntabelle, die dabei nur gelesen und nicht gespeichert wird (Entgeltgruppe, Stufe, Wochenstunden, Zulagen, das vereinbarte Monatsbrutto, seit wann die Stufe gilt). Grundlage ist § 26 Abs. 1 BDSG; die Daten dienen der Entgeltabrechnung, der Planung der Jahressonderzahlung und dem Nachweis der Vergütungshöhe gegenüber den Kostenträgern (§ 82c SGB XI). Sichtbar sind sie ausschließlich für die Geschäftsführung; eine Notiz dazu wird verschlüsselt gespeichert. Der bevorstehende Stufenaufstieg wird der Geschäftsführung gemeldet.

Freiwillige Angaben: Profilfoto, Geburtstag (nur Tag/Monat) und Team-Fotos samt Text in „Momente" beruhen auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit selbst entfernen oder die Einwilligung fürs Weitere widerrufen — ohne Nachteile.

Schulferien-Angabe: Auf der Urlaubsseite kannst du freiwillig ankreuzen, dass du auf Schulferien angewiesen bist (Kinder im Schulalter). Sie dient nur einem Zweck: Wollen mehrere in den Sommerferien gleichzeitig frei, schlägt die App dem Büro eine Reihenfolge vor, in der du vorne stehst. Sehen können sie nur du und das Büro — nie die Jahresübersicht oder das Team. Du kannst den Haken jederzeit selbst entfernen; dann ist die Angabe sofort weg (Art. 6 Abs. 1 lit. a DSGVO).

Meine Arbeitszeit: Unter „Einstellungen" kannst du eintragen, an welchen Tagen und von wann bis wann du meistens arbeitest. Die App nutzt das nur für eine Frage: Schickt sie dir gerade eine Mitteilung oder nicht? Außerhalb davon bleibt sie still — das schützt deine Freizeit (§ 5 ArbZG). Eine laufende Krankmeldung wirkt genauso. Die Angabe wird nicht ausgewertet und erscheint in keiner Liste; das Büro sieht höchstens bei einer Vertretung, dass du an einem Tag nicht da bist. Ändern oder entfernen kannst du sie jederzeit selbst (§ 26 Abs. 1 BDSG).

Technik & Sicherheit: Anmeldezeitpunkte, Gerätebezeichnung deiner registrierten Geräte und ein Protokoll von Verwaltungs-Aktionen (Audit-Log). Zum Schutz vor Angriffen wird die Zahl der Anmeldeversuche pro Internetadresse kurzzeitig begrenzt (Art. 6 Abs. 1 lit. f DSGVO — IT-Sicherheit).

Führerschein-Kontrolle (Fuhrpark): Für die gesetzlich gebotene Sichtkontrolle lädst du alle 6 Monate ein Foto deines Führerscheins hoch. Das Foto wird direkt nach der Sichtprüfung automatisch gelöscht — gespeichert bleibt nur das Protokoll (Datum, geprüft von wem), als Nachweis für die Halterpflichten (Art. 6 Abs. 1 lit. c und f DSGVO).

3b. Bewerbungen und Aufnahme-Anfragen (nur Büro)

Bewerbungen: Name, Kontaktdaten, angestrebte Stelle, Notizen und optional eingereichte Unterlagen — zur Durchführung des Bewerbungsverfahrens (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG). Zugriff hat ausschließlich das Büro. Absagen werden mit allen Unterlagen 6 Monate nach der Entscheidung gelöscht.

Aufnahme-Anfragen: Kontaktdaten interessierter Personen bzw. ihrer Angehörigen sowie Angaben zur gewünschten Leistung (Art. 6 Abs. 1 lit. b DSGVO zur Vertragsanbahnung; soweit sich aus der gewünschten Leistung oder dem Anliegen ein Pflege- oder Behandlungsbedarf ergibt, zusätzlich Art. 9 Abs. 2 lit. h DSGVO). Einen Pflegegrad fragt die App seit Oktober 2026 nicht mehr ab; früher gespeicherte Angaben dazu wurden entfernt. Es werden bewusst keine Diagnosen und keine Pflegedokumentation in dieser App geführt — diese liegen ausschließlich in der Pflegesoftware. Nicht zustande gekommene Anfragen werden 6 Monate nach der Entscheidung gelöscht, offene Anfragen 6 Monate nach der letzten Bearbeitung (bei gesetzter Wiedervorlage 6 Monate nach diesem Termin). Nach einer Aufnahme werden Name, Kontaktdaten, Stadtteil und Anliegen nach 3 Monaten entfernt; es bleibt nur eine Zählzeile für die Kennzahlen.

Notizen und Anliegen-Texte in beiden Bereichen sowie Name, Telefonnummer und Kontaktperson bei Aufnahme-Anfragen werden zusätzlich verschlüsselt gespeichert.

4. Push-Benachrichtigungen

Mitteilungen sind freiwillig und nur aktiv, wenn du sie in den Einstellungen einschaltest. Die Zustellung läuft technisch über den Push-Dienst deines Geräts (z. B. Apple oder Google) — die Inhalte sind dabei Ende-zu-Ende-verschlüsselt, der Push-Dienst kann sie nicht lesen. Zwischen 21 und 5 Uhr sendet die App grundsätzlich keine Mitteilungen — außer an dich, solange dein Dienst laut Dienstplan noch läuft. Zusätzlich kannst du mit dem Ruhe-Modus jederzeit alle Mitteilungen pausieren.

Auf dem Sperrbildschirm zeigt die App bei Übergabe, Chat und Anfragen nur, dass etwas Neues da ist, nie den Inhalt.

Was in der Nachtruhe, an freien Tagen oder im Ruhe-Modus nicht zu dir durfte, fasst die App zu Beginn deines nächsten Dienstes in einer Mitteilung zusammen. Dafür speichert sie nur, wie viele Mitteilungen welcher Art (zum Beispiel Übergaben oder Chat-Nachrichten) offen sind — keinen Titel, keinen Text, keinen Namen. Diese Zähler werden nach der Zusammenfassung oder sobald du die App öffnest gelöscht, spätestens nach 14 Tagen.

5. Wo deine Daten liegen

Alle Daten liegen auf einem eigenen Server der Ruhr Pflege GmbH bei Hetzner in Nürnberg (Deutschland), mit dem ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht. Es gibt keine Werbung, kein Tracking und keinen Verkauf deiner Daten. Außer dem verschlüsselten Push-Transport und den unter 5a beschriebenen KI-Funktionen verlassen keine Daten die Europäische Union.

5a. KI-Funktionen (Übersetzung und Assistenten)

Einzelne Funktionen der App nutzen eine KI-Schnittstelle des Anbieters Anthropic (Claude-API). Vertragspartner ist die Anthropic Ireland Limited; die Verarbeitung findet auch auf Servern in den USA statt. Grundlage ist ein Auftragsverarbeitungsvertrag mit den EU-Standardvertragsklauseln (Art. 46 DSGVO). Nach Auskunft des Anbieters werden die übertragenen Texte nicht zum Training von KI-Modellen verwendet und spätestens 30 Tage nach Vertragsende gelöscht.

Übertragen wird nur der jeweils genannte Text — nie dein Name, dein Konto oder dein Standort:

• Übersetzung von Neuigkeiten: Titel und Text der Mitteilung. Mitteilungen sollen keine Klientenangaben enthalten; steht doch ein Kürzel darin, geht es nur als Anfangsbuchstabe hinaus („Fr. M., G.“). Diese Übersetzungen werden gespeichert, damit sie nicht mehrfach angefragt werden müssen.
• Übersetzung von Übergaben (nur wenn eigens freigeschaltet): der Eintragstext. Er kann versorgungsbezogene Angaben enthalten; Klienten-Kürzel werden vorher auf den Anfangsbuchstaben verkürzt („Fr. M., G.“), in der Übersetzung steht danach wieder das volle Kürzel. Diese Übersetzungen werden nicht gespeichert.
• Wissens-Assistent: deine Frage und die hinterlegten QM-Unterlagen. Steht ein Klienten-Kürzel in der Frage, geht es nur als Anfangsbuchstabe hinaus.
• Berichts-Assistent (nur wenn eigens freigeschaltet): dein Berichtsentwurf; das Klienten-Kürzel nur als Anfangsbuchstabe („Fr. M., G.“). In der fertigen Fassung steht wieder dein Kürzel.

Die Übersetzung von Übergaben und der Berichts-Assistent sind von Haus aus ausgeschaltet und werden nur nach ausdrücklicher Entscheidung der Geschäftsführung freigegeben. Chat, Krankmeldungen, Dienstplan und Personalunterlagen werden von keiner Funktion übertragen.

6. Cookies

Die App nutzt ausschließlich technisch notwendige Cookies: eines für deine Sitzung (läuft nach 12 Stunden ab) und eines zur Wiedererkennung deines registrierten Geräts. Ein Gemeinschaftsgerät trägt statt des Geräte-Cookies ein eigenes, das nur sagt: „Dies ist das Gemeinschaftsgerät X“ — es gehört keiner Person. Tracking- oder Werbe-Cookies gibt es nicht.

7. Wie lange Daten gespeichert bleiben

Die App löscht automatisch nach festen Fristen:

• Nachrichten im Team-Chat und in Direktnachrichten samt Fotos und Sprachnotizen: 12 Monate nach dem Absenden
• Geburtstagsgruppen samt Nachrichten und Fotos: 7 Tage nach dem Geburtstag; schaltest du die Geburtstagsgruppe ab oder entfernst deinen Geburtstag, sofort
• Nachrichten in Chat-Gruppen samt Fotos und Sprachnotizen: 12 Monate nach dem Absenden; verlässt die letzte Person eine Gruppe, wird sie sofort mit allen Nachrichten gelöscht. Wer eine Gruppe verlässt oder entfernt wird, verliert sofort den Zugriff
• Dienstübergaben samt Lesevermerken, Anhang und Absage- und Neuaufnahme-Angaben (Kürzel, Tage, Dienst, Grund): 12 Monate nach dem Tag der Übergabe (Text und Kürzel liegen verschlüsselt gespeichert); wöchentliche Wiederholungen 12 Monate nach ihrem Ende — läuft eine ohne Ende, fragt die App nach rund elf Monaten „noch aktuell?“ und löscht sie ohne Bestätigung nach 12 Monaten
• Krankmeldungs-Einträge: 24 Monate nach Ende der Krankmeldung; Krank-Tage aus dem eingelesenen Dienstplan: 24 Monate nach dem Tag
• Audit-Protokoll: 12 Monate
• Vermerk, dass du eine nicht als wichtig markierte Neuigkeit gesehen hast: 12 Monate nach dem Lesen; ein so alter Beitrag zählt danach nicht mehr als ungelesen. Lesebestätigungen wichtiger Mitteilungen bleiben als Nachweis
• Anfragen ans Büro (Rezept, Verordnung, Material, Arztkontakt — Klienten-Kürzel und Text verschlüsselt): erledigte 3 Monate nach der Erledigung, nie erledigte 12 Monate nach dem Absenden
• Berichts-Entwürfe im Berichts-Assistenten: 7 Tage nach der Übernahme in die Pflegesoftware; nie übernommene 14 Tage nach dem Schreiben
• Einladungscodes: 30 Tage
• Führerschein-Fotos: sofort nach der Sichtprüfung · Kontroll-Protokoll: 36 Monate
• Fahrzeugprotokolle: Fotos, Bogen und PDF einer Fahrt ohne neuen Schaden nach 90 Tagen (außer das nächste Protokoll meldet einen Schaden — dann gelten sie als „Vorher"-Nachweis und bleiben wie dieses); Übergabe-/Rückgabeprotokolle und Fahrten mit Schaden (Fotos, Nahaufnahmen, Bogen, Unterschriften, PDF) drei Jahre ab Ende des Jahres, bei einer Übergabe gerechnet ab der zugehörigen Rückgabe (Regelverjährung); Fotos zu Pflege-Häkchen nach 12 Monaten — Kilometerstand, Zustand, Schadenstellen und Prüfsummen bleiben als Daten erhalten
• Abgesagte Bewerbungen samt Unterlagen und Schriftwechsel: 6 Monate nach der Entscheidung; Bewerbungen ohne Entscheidung: 12 Monate nach der letzten Bearbeitung
• Aufnahme- und Beratungsanfragen: nicht zustande gekommene 6 Monate nach der Entscheidung, offene 6 Monate nach der letzten Bearbeitung (bei gesetzter Wiedervorlage 6 Monate nach diesem Termin); nach einer Aufnahme werden Name, Kontaktdaten, Stadtteil und Anliegen nach 3 Monaten entfernt, die Zählzeile bleibt
• Sachbezüge (Prämien-Einlösungen und Gutscheine): 6 Jahre nach Ablauf des Kalenderjahres — Sachbezüge gehören zu den Lohnkonto-Unterlagen (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO, § 41 EStG)
• Resturlaub-Hinweise samt früherer Fassungen: 3 Jahre nach Ende des Urlaubsjahres (Nachweis für den Verfall von Urlaub, regelmäßige Verjährung)
• Übungsfortschritt im Fachgespräch-Trainer (deine Selbsteinschätzung je Übungskarte, sichtbar nur für dich): 24 Monate nach dem letzten Üben — bei Deaktivierung deines Kontos sofort
• Qualifikationsnachweise (Kopien von Berufsurkunde, LG1/LG2- und Praktikumsnachweis): 12 Monate nach der Deaktivierung deines Kontos
• Persönliche Unterlagen in der digitalen Personalakte (z. B. Arbeitsvertrag, Vertragsänderungen, Arbeitszeugnisse, Bescheinigungen): 3 Jahre nach deinem Austritt, gerechnet ab Ende des Austrittsjahres (regelmäßige Verjährung)
• Scans der unterschriebenen Handzeichenlisten für die Krankenkassen: sechs volle Kalenderjahre nach dem Jahr der Liste (die Liste ordnet die Handzeichen in der Pflegedokumentation zu, und die muss nach dem Vertrag mit den Kassen fünf Jahre nach Ablauf des Jahres der Leistung aufbewahrt werden)
• Abgelaufene Sitzungen: täglich
• Falsche PIN-Eingaben an einem Gemeinschaftsgerät: nach einem Tag (ins Protokoll kommt nur, wenn deshalb eine Sperre greift)
• Entfernte Gemeinschaftsgeräte (Name des Geräts, wer es eingerichtet hat): 12 Monate nach dem Entfernen
• Gehaltsvorschuss: Anträge ohne Beleg sechs Monate; Belege mit Namen bis Ende des Jahres nach der Verrechnung, danach ohne Namen höchstens acht Jahre (siehe 10b)
• Lohnabrechnungen, Lohnsteuer- und Meldebescheinigungen: drei Jahre ab dem Abrechnungsmonat (Jahresbescheinigungen ab Jahresende); bei Austritt 30 Tage nach dem Ende des Kontos. Sie liegen nicht in den Sicherungskopien (siehe 10a)
• Sicherungskopien (Backups): nach 14 Tagen — gelöschte Inhalte verschwinden damit spätestens 14 Tage später auch aus den Backups

Eigene Chat-Nachrichten kannst du jederzeit selbst löschen. Übergaben werden nach 12 Monaten gelöscht (siehe oben). Wenn du dein Konto deaktivierst, werden Profilfoto, Anmeldedaten und Mitteilungs-Abos sofort gelöscht. Eine vollständige Löschung darüber hinaus kannst du jederzeit beim Büro beantragen.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht, erteilte Einwilligungen jederzeit zu widerrufen. Wende dich dafür einfach ans Büro.

Außerdem kannst du dich bei der Aufsichtsbehörde beschweren: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

9. Privates Handy — freiwillig

Die Nutzung der App auf deinem privaten Handy ist freiwillig. Wer die App nicht privat nutzen möchte, erhält alle wichtigen Informationen auf den bisherigen Wegen (z. B. Aushang im Büro) — ohne jeden Nachteil.

Die App greift nicht auf dein privates Handy zu: Sie liest keine Kontakte, keine Fotos, keinen Standort und keine anderen Apps aus. Auf die Kamera oder die Fotoauswahl greift sie nur zu, wenn du selbst ein Foto aufnimmst oder auswählst — etwa für dein Profilbild oder eine Schadensmeldung. Was du privat auf dem Gerät hast, geht die App nichts an und bleibt für sie unsichtbar.

10. Gemeinschaftsgerät (Diensthandy oder Tablet)

Wer die App nicht auf dem eigenen Handy nutzen möchte, kann sich auf einem Gemeinschaftsgerät des Betriebs anmelden: Namen antippen, eigene PIN eingeben. Das Büro legt in der Personalakte fest, wer dort in der Namensliste steht. Die Liste zeigt Vorname und den ersten Buchstaben des Nachnamens — sie ist für jeden sichtbar, der das Gerät in die Hand nimmt.

Legt das Büro fest, dass du die App nur am Gemeinschaftsgerät nutzt, werden deine eigenen Geräte, Mitteilungs-Abos und Fingerabdruck-Anmeldungen sofort entfernt.

Damit niemand die Daten einer anderen Person sieht: Nach 15 Minuten ohne Nutzung meldet die App automatisch ab, eine Minute vorher fragt sie „Noch da?“. Beim Abmelden löscht der Browser die zwischengespeicherten Entwürfe, Einstellungen und die gespeicherte Notfall-Seite. Hat das Gerät beim Abmelden kein Netz, verschwindet die Seite trotzdem; die Anmeldung beim Server endet, sobald das Gerät wieder Netz hat, spätestens aber nach 15 Minuten ohne Nutzung. Seiten werden auf dem Gerät nicht zwischengespeichert. Auf einem Gemeinschaftsgerät gibt es keine Mitteilungen und keinen Fingerabdruck — beides hinge am Gerät, nicht an dir.

Jede Anmeldung an einem Gemeinschaftsgerät wird mit Name, Gerät und Uhrzeit im Protokoll vermerkt, ebenso das Einrichten und Entfernen eines Geräts und eine Sperre nach zu vielen falschen PINs (12 Monate, siehe Abschnitt 7). Einzelne falsche PINs stehen nicht im Protokoll; sie werden nur für die Sperre einen Tag lang gezählt und sperren das Gerät, nie dein Konto. Das Protokoll sieht die Geschäftsführung; ausgewertet wird es nur bei einem konkreten Anlass, etwa um zu klären, wer wann am Gerät war. Eine laufende Übersicht über Anmeldungen gibt es nicht.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO und § 26 BDSG (Durchführung des Arbeitsverhältnisses), für Protokoll und Sperre zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Verarbeitung nach Art. 32 DSGVO). Die Daten liegen wie alle anderen auf dem Server der Ruhr Pflege (Abschnitt 5) und werden nicht weitergegeben.

10a. Lohnabrechnungen

Deine Lohnabrechnung, deine Lohnsteuerbescheinigung und deine Meldebescheinigung zur Sozialversicherung kannst du in der App unter „Lohnabrechnungen“ bekommen.

Du entscheidest: Das ist ein freiwilliges Angebot neben dem Papierweg. Erst wenn du dort selbst „Aktivieren“ tippst, legt die App deine Abrechnungen für dich ab. Ohne Aktivieren speichert sie für dich nichts, und du bekommst deine Abrechnung weiter auf Papier. Du kannst jederzeit wieder „Deaktivieren“ — dann löscht die App ihre Kopien sofort; die Originale bleiben bei der Lohnbuchhaltung. Eine Änderung gilt ab der nächsten Abrechnung. In der App kannst nur du deine Abrechnungen öffnen – auch das Büro nicht. Die Geschäftsführung sieht, ob du „Aktivieren“ oder „Lieber Papier“ gewählt hast, damit die Papier-Abrechnungen richtig verteilt werden. Dazu sieht sie bei jeder Abrechnung die Seiten, die sie auf Papier ausdrucken muss. Lässt sich eine Seite nicht sicher zuordnen, hebt die App sie höchstens 30 Tage verschlüsselt zur Klärung auf — aber nur, wenn sie zu jemandem gehören kann, der aktiviert hat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 108 GewO (Pflicht des Arbeitgebers, die Abrechnung in Textform zu erteilen). Eine Abrechnung enthält auch besondere Daten, zum Beispiel das Kirchensteuer-Merkmal; dafür gilt zusätzlich Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG.

Herkunft: Die Abrechnungen erstellt das Steuerbüro mit DATEV. Es schickt sie nach der Endabrechnung als PDF an ein eigenes Postfach des Betriebs. Die App holt sie dort ab und löscht die Mail danach im Postfach. Liest die App die Datei, dann nur den Kopf jeder Seite: Personalnummer, Berater- und Mandantennummer, Monat, Blatt, den Vermerk „Probeabrechnung“ und den Namen (nur zum Abgleich, er wird nicht gespeichert). Beträge und Steuermerkmale liest sie nicht. Eine KI ist nicht beteiligt.

Speicherort: auf dem Server der App in Deutschland, jede Abrechnung als eigene, verschlüsselte Datei. Die Lohn-Dateien sind bewusst nicht in den Sicherungskopien; das Original liegt beim Steuerbüro.

Nur du siehst sie. Auch das Büro und die Geschäftsführung können deine Abrechnung in der App nicht öffnen. Die Geschäftsführung sieht vor dem Zustellen eine Liste mit Name, Personalnummer, Art und Monat jedes Dokuments (zum Beispiel „Nachberechnung August“ oder „neue Fassung“) und bei nicht zuordenbaren Seiten Personalnummer, Seitenzahl und den Grund — nie den Inhalt und nie, ob du ein Dokument schon geöffnet hast. Ändert sich deine Personalnummer, bekommst du eine Mitteilung.

Teilen und Drucken: Die App verschickt keine Abrechnung per Mail. Du kannst sie selbst drucken, herunterladen oder über das Teilen-Menü deines Handys weitergeben. Dann verlässt die Datei die App; normale E-Mails sind nicht verschlüsselt. Zeigst du die Abrechnung zum Beispiel deinem Vermieter, darfst du das Kirchensteuer-Merkmal schwärzen.

Wie lange: drei Jahre ab dem Abrechnungsmonat, danach löscht die App ihre Kopie. 30 Tage vorher bekommst du eine Mitteilung, damit du sie selbst sichern kannst.

Gemeinschaftsgerät: Dort sind die Lohnabrechnungen gesperrt. Wer die App nur am Gemeinschaftsgerät oder gar nicht nutzt, bekommt die Abrechnung weiter auf Papier — das Büro druckt sie auf Anfrage.

Wenn du gehst: 14 Tage vor deinem letzten Arbeitstag erinnert dich die App, deine Abrechnungen herunterzuladen. 30 Tage nach dem Ende deines Kontos werden die Kopien in der App gelöscht; spätere Unterlagen kommen per Post.

10b. Gehaltsvorschuss

Unter „Gehaltsvorschuss“ kannst du einen Vorschuss auf deinen Lohn beantragen. Gespeichert werden nur: dein Konto, der Betrag (verschlüsselt), die Zeitpunkte von Antrag, Bestätigung der Bedingungen und Entscheidung, die Belegnummer und der Monat, in dem abgezogen wird. Einen Grund fragt die App nicht ab.

Wer es sieht: nur du und die Geschäftsführung — das Büro nicht. Der Beleg mit deinem Namen, deiner Personalnummer und dem Betrag geht an unser Steuerbüro (Lohnabrechnung und Buchhaltung). Am Gemeinschaftsgerät ist alles gesperrt. Mitteilungen nennen nie den Betrag. Eine Kopie des Belegs liegt zusätzlich im Belegordner der Geschäftsführung, bis 60 Tage nach der Übergabe an DATEV (dort und in den Sicherungskopien der App unverschlüsselt, aber nur für die Geschäftsführung).

Rechtsgrundlage: die Vorschussvereinbarung (Art. 6 Abs. 1 lit. b DSGVO) und die Pflicht, Buchungsbelege aufzubewahren (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB).

Wie lange: Abgelehnte oder zurückgezogene Anträge löscht die App nach sechs Monaten. Nie entschiedene Anträge gelten nach 60 Tagen als zurückgezogen. Belege bleiben mit deinem Namen bis zum Ende des Jahres nach der Verrechnung und bis sie an DATEV übergeben sind; danach bleiben nur Nummer, Datum, Betrag und Stand ohne deinen Namen, höchstens acht Jahre. Das Original liegt bei DATEV.

10e. Vor deinem ersten Arbeitstag (Vorab-Zugang)

Wenn du deinen Arbeitsvertrag unterschrieben hast, aber erst später anfängst, kannst du die App schon vorher nutzen — in einem kleinen, abgegrenzten Teil: Startseite mit deinem ersten Arbeitstag und deinen Terminen, „Das kann die App für dich“, „Unser Pflegedienst“ (Filme ohne Bezug zu Klientinnen und Klienten), deine eigenen Unterlagen im Onboarding, Einstellungen und diese Erklärung. Übergabe, Chat, Dienstplan und alle Angaben zu Klientinnen und Klienten bleiben bis zu deinem ersten Arbeitstag gesperrt; an diesem Tag schaltet die App alles von selbst frei.

Freiwillig: Niemand verlangt, dass du vor deinem ersten Tag etwas in der App tust. Wer nichts tut, hat keinen Nachteil. Deshalb gibt es vorab keine Lesepunkte, keine Pflichtunterweisungen und keine Fortbildungszeit, und die App zählt nicht, was du dir ansiehst. Mitteilungen bekommst du vorab nur zu Terminen, zu denen dich das Büro einlädt.

Was gespeichert wird: dein erster Arbeitstag als Ende des Vorab-Zugangs, der Zeitpunkt der Freischaltung und das, was du selbst hochlädst oder einträgst (wie in Abschnitt 3 und 7 beschrieben). Das Büro sieht in deiner Personalakte, bis wann der Vorab-Zugang läuft.

Rechtsgrundlage: § 26 Abs. 1 Satz 1 BDSG (Begründung des Beschäftigungsverhältnisses) und Art. 6 Abs. 1 lit. b DSGVO.

Wenn der Vertrag vor dem Start endet: Das Büro sperrt dein Konto. Danach gelten die Löschfristen aus Abschnitt 7 wie bei einem Austritt; Profilfoto, Anmeldedaten und Mitteilungs-Abos werden sofort gelöscht.