Datenschutzerklärung

für den internen Urlaubsplaner der Praxen Physio Aktiv Bonn, Beuel und Pützchen

1. Verantwortlicher

Physio Aktiv Bonn GbR, vertreten durch die Gesellschafter Kim Leroy Kölzer & Felix Fischer
Bonner Talweg 84a, 53113 Bonn
Telefon 0228-265 261 · E-Mail info@physio-aktiv-bonn.de

Kontakt für Datenschutzfragen

Fragen zum Datenschutz und zur Ausübung deiner Rechte richtest du bitte an info@physio-aktiv-bonn.de (Betreff „Datenschutz Urlaubsplaner“) oder schriftlich an die oben genannte Anschrift.

2. Zweck der Verarbeitung

Der Urlaubsplaner ist ein internes Werkzeug für die Beschäftigten der drei Praxen. Er dient der Verwaltung von Urlaub, Sonderurlaub, Fortbildungen, Überstunden und sonstigen Abwesenheiten (einschließlich Krankheitszeiten) sowie der internen Kommunikation (Termine, Mitteilungen, Geburtstage).

3. Verarbeitete Daten

Name, Praxiszugehörigkeit und Rolle (Mitarbeiter/Chefetage)
Login-Daten: Anmeldename und Passwort (nur als verschlüsselter Hash gespeichert)
Kontakt-E-Mail-Adresse für Benachrichtigungen und das Zurücksetzen des Passworts
Geburtstag (Tag und Monat, optional Jahr) – freiwillig
Anträge (Urlaub, Sonderurlaub inkl. Anlass, Fortbildung inkl. Bezeichnung, Überstundenabbau), Entscheidungen und Kontingente
Überstunden-Einträge pro Monat
Termine und Mitteilungen der Chefetage einschließlich Lesestatus
In-App-Benachrichtigungen und ein Änderungsprotokoll (wer hat wann was geändert)

Gesundheitsdaten

Bei Krankheit werden ausschließlich der Zeitraum, die Anzahl der Arbeitstage und der Status des Nachweises (z. B. „eAU“ oder „AU hochgeladen“) sowie ggf. die hochgeladene Arbeitsunfähigkeitsbescheinigung gespeichert. Diagnosen werden nicht erfasst.

4. Rechtsgrundlagen

Beschäftigtendaten: Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 BDSG (Durchführung des Beschäftigungsverhältnisses).
Gesundheitsdaten (Krankheitszeiträume, AU-Nachweise): Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG (Pflichten aus dem Arbeitsrecht, insbesondere Entgeltfortzahlung im Krankheitsfall).
Geburtstag: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Angabe ist freiwillig und kann jederzeit im eigenen Profil (Benutzermenü → „Geburtstag“ → „Entfernen“) gelöscht werden; damit ist die Einwilligung widerrufen.

5. Empfänger und Auftragsverarbeiter

Innerhalb der Praxen erhalten nur die Personen Zugriff, die ihn für ihre Aufgaben benötigen (siehe Abschnitt 7). Technische Dienstleister:

Vercel Inc. (USA) – Hosting der Anwendung. Übermittlung auf Grundlage des EU-US Data Privacy Framework sowie von Standardvertragsklauseln.
Supabase Inc. – Datenbank, Anmeldung und Dateispeicher; Serverstandort Frankfurt am Main (EU).
Resend (USA) – Versand von E-Mails (z. B. Benachrichtigungen, Erinnerungen, Mitteilungen). Übermittlung auf Grundlage des EU-US Data Privacy Framework sowie von Standardvertragsklauseln.

Mit allen Dienstleistern sind Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen.

6. Speicherdauer

Beschäftigtendaten werden für die Dauer des Beschäftigungsverhältnisses gespeichert und danach gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Hochgeladene AU-Bescheinigungen werden automatisch 12 Monate nach Ende des Kalenderjahres der jeweiligen Krankheitszeit gelöscht. Zeitraum und Nachweisstatus bleiben für die Jahresübersicht erhalten.
Einträge im Änderungsprotokoll werden nach 3 Jahren automatisch gelöscht.
In-App-Benachrichtigungen werden 30 Tage nach dem Lesen automatisch aus der Ansicht entfernt (ungelesene bleiben bestehen) und – ebenso wie selbst gelöschte Benachrichtigungen – nach 3 Jahren endgültig gelöscht.

7. Zugriffsrechte

Mitarbeitende sehen in der Anwendung ausschließlich ihre eigenen Daten (Anträge, Kontingente, Überstunden, Krankheitszeiten, Jahresübersicht). Gemeinsam sichtbar sind nur Abwesenheiten ohne Angabe eines Grundes, Geburtstage (Tag und Monat, ohne Jahr), Termine und Mitteilungen. Die Chefetage hat Zugriff auf alle Daten. Krankheitsgründe bzw. die Tatsache einer Erkrankung sind für Kolleginnen und Kollegen nicht sichtbar – sie sehen lediglich „abwesend“. Die Zugriffsbeschränkungen sind technisch in der Datenbank abgesichert; das Öffnen von AU-Dateien und Exporte von Krankheitsberichten werden protokolliert.

8. Cookies

Es werden ausschließlich technisch notwendige Cookies für die Anmeldung (Sitzung) verwendet. Es findet kein Tracking statt, es werden keine Analyse- oder Werbedienste eingesetzt. Ein Cookie-Banner ist daher nicht erforderlich.

9. Deine Rechte

Du hast nach der DSGVO das Recht auf

Auskunft über die zu dir gespeicherten Daten (Art. 15),
Berichtigung unrichtiger Daten (Art. 16),
Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
Widerspruch gegen die Verarbeitung (Art. 21),
Datenübertragbarkeit (Art. 20),
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

Stand: 05.11.2026 · Impressum