⚠️ Entwurf — vor Veröffentlichung anwaltlich prüfen lassen (besonders wegen Art. 9 DSGVO).
Diese Erklärung beschreibt, wie wir mit personenbezogenen Daten umgehen, wenn Sie unsere Website besuchen und wenn Sie als Betrieb das VITAPEOPLE Personalcockpit nutzen.
Pia Kaden – VITAPEOPLE (Einzelunternehmen)
Ferdinand-Happ-Straße 25, 60314 Frankfurt am Main
E-Mail: kaden@vitapeople.de *(Datenschutzbeauftragte(r): derzeit nicht bestellt. Die Bestellpflicht ist wegen der Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO) anwaltlich zu prüfen.)*
Löhne, Steuer, Krankenkasse, Arbeitszeiten, Krankmeldungen/eAU, Belege, Unterschriften), sind Sie als Betrieb der Verantwortliche. Wir verarbeiten diese Daten ausschließlich in Ihrem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO (siehe separates Dokument).
wir Verantwortlicher. Das regelt diese Erklärung.
Das Cockpit läuft auf einem Server der Hetzner Online GmbH, Rechenzentrum in Deutschland (Nürnberg), innerhalb der EU. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, zuverlässiger Betrieb) bzw. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Beim Aufruf werden technisch notwendige Verbindungsdaten verarbeitet. Der Webserver (Caddy) protokolliert bewusst **nur die aufgerufenen Wege, nicht die Inhalte** der Anfragen; das Protokoll rotiert automatisch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit).
Zur Einrichtung eines Zugangs verarbeiten wir **Name, E-Mail-Adresse, Kundennummer und ein Passwort (nur als scrypt-Hash gespeichert, nie im Klartext)**. Zweck: Bereitstellung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
Für die kostenpflichtige Nutzung wickeln wir Kauf, Abo und Zahlung über Digistore24 GmbH ab (Reseller-/Zahlungsdienstleister). Dabei werden die für Vertrag und Rechnung nötigen Daten verarbeitet. Es gelten zusätzlich die Datenschutzhinweise von Digistore24. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO (Vertrag, steuer-/handelsrechtliche Pflichten).
Systemnachrichten (z. B. Bestätigung, Testphasen-Ende, Kauf-Link) versenden wir über den Mailserver der webgo GmbH (Deutschland). Verarbeitet wird die Empfänger-E-Mail-Adresse und der Nachrichteninhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Wir setzen ausschließlich ein technisch notwendiges Sitzungs-Cookie (vp_sitzung, HttpOnly, SameSite=Lax, bei HTTPS Secure), das die Anmeldung aufrechterhält. Kein Tracking, keine Analyse-, Werbe- oder Drittanbieter-Cookies. Rechtsgrundlage: § 25 Abs. 2 TDDDG (unbedingt erforderlich) i. V. m. Art. 6 Abs. 1 lit. b DSGVO. Ein Einwilligungsbanner ist daher nicht erforderlich (anwaltlich bestätigen).
Die im Cockpit erfassten Beschäftigtendaten verarbeiten wir **nur weisungsgebunden für den Betrieb** (Art. 28 DSGVO, siehe AV-Vertrag). Dazu gehören auch Gesundheitsdaten (Art. 9 DSGVO): Angaben zum Abruf der elektronischen Arbeitsunfähigkeitsbescheinigung (eAU) sowie hochgeladene Krankmeldungen. Diese werden besonders geschützt (zugriffsbeschränkt, siehe Ziffer 8) und bewusst datensparsam erhoben (die Arbeitgeber-eAU enthält keine Diagnose).
Wenn Sie die Funktion „km aus Adressen ermitteln" aktiv auslösen, überträgt Ihr Browser die betroffenen Adressen an die externen Dienste **OpenStreetMap Nominatim und OSRM (project-osrm.org)**, um die Entfernung zu berechnen. Ohne Auslösung findet keine Übertragung statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. *(Hinweis: Diese Dienste liegen ggf. außerhalb Ihrer Kontrolle; bei sensiblen Adressen abwägen. Alternative: km von Hand eintragen.)*
Wenn Sie bei der Registrierung ausdrücklich einwilligen, senden wir Ihnen einen Newsletter mit Produktneuigkeiten an die angegebene E-Mail-Adresse. Die Einwilligung ist freiwillig und Voraussetzung für den Versand; sie ist jederzeit widerrufbar — über den Abmeldelink in jeder Newsletter-E-Mail oder mit einer Nachricht an kaden@vitapeople.de. Verarbeitet werden die E-Mail-Adresse und der Zeitpunkt der Einwilligung (als Nachweis). Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Der Versand läuft über den Mailserver der webgo GmbH (siehe Ziffer 4.4). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Eine Weitergabe darüber hinaus erfolgt nicht, außer wir sind gesetzlich dazu verpflichtet.
Die Verarbeitung findet grundsätzlich in der EU statt. Sollte bei einzelnen Diensten (z. B. der optionalen Kartendienste) eine Übermittlung in ein Drittland erfolgen, geschieht dies auf Grundlage geeigneter Garantien (z. B. Standardvertragsklauseln nach Art. 46 DSGVO) oder eines Angemessenheitsbeschlusses der EU-Kommission.
Ablauf gesetzlicher Aufbewahrungsfristen (i. d. R. 6–10 Jahre, §§ 147 AO, 257 HGB).
Vertragsende. Tägliche Sicherungen werden gestaffelt ausgedünnt und nach spätestens einem Jahr gelöscht.
Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am „https://" in der Adresszeile und am Schloss-Symbol Ihres Browsers.
Ergänzend schützen wir Ihre Daten wie folgt: Passwörter werden mit scrypt gehasht (nie im Klartext); Vergleich zeitkonstant; Anmeldebremse gegen Rateangriffe. Strikte Mandantentrennung (die Betriebskennung stammt ausschließlich aus der Sitzung). Übertragung ausschließlich TLS-verschlüsselt (HTTPS, HSTS, Content-Security-Policy). Anhänge (inkl. Krankmeldungen) sind an Betrieb und Person gebunden und nur für die berechtigte Verwaltung bzw. die betroffene Person abrufbar. **Tägliche, versionierte Sicherungen** mit umkehrbarer Wiederherstellung. Details siehe AV-Vertrag, Anlage TOM.
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung genügt eine Nachricht an kaden@vitapeople.de. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. *(Betrifft die Rechte Ihrer Mitarbeiter, richten sich diese an Sie als Verantwortlichen; wir unterstützen Sie dabei gemäß AV-Vertrag.)*
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Bundesland Ihres Wohn-/Firmensitzes. Für den Sitz des Verantwortlichen zuständig ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Postfach 3163, 65021 Wiesbaden, https://datenschutz.hessen.de.
Wir passen diese Erklärung an, wenn sich Rechtslage oder Verarbeitungen ändern. Stand: Juli 2026.