Datenschutzerklärung

1. Wer für deine Daten verantwortlich ist

Verantwortlich im Sinne der Datenschutz-Grundverordnung ist:

LiYouTech UG (haftungsbeschränkt)
Stadtgasse 26, 37308 Heilbad Heiligenstadt, Deutschland
Telefon: +49 3606 6942 676
E-Mail: info@liyoutech.de

Polierbuch wird von mehreren Betrieben genutzt. Jeder Betrieb sieht ausschließlich seine eigenen Daten. [[ BITTE AUSFUELLEN: Wer ist gegenueber den Beschaeftigten Verantwortlicher — der jeweilige Betrieb oder der Anbieter von Polierbuch? Falls der Betrieb: Anbieter ist Auftragsverarbeiter, Vertrag nach Art. 28 DSGVO erforderlich ]]

2. Datenschutzbeauftragte Person

[[ BITTE AUSFUELLEN: Name und Kontaktdaten der datenschutzbeauftragten Person — oder die Feststellung, dass keine benannt werden muss (§ 38 BDSG) ]]

3. Welche Daten Polierbuch verarbeitet

Stammdaten der Beschäftigten

Vor- und Nachname, Personalnummer, E-Mail-Adresse (nur bei Beschäftigten mit App-Zugang), Eintrittsdatum, Rolle und Status, Abteilung, Kostenstelle, Tätigkeitsbezeichnung, vorgesetzte Person, Wochen- und Tagessollstunden, Urlaubsanspruch sowie Urlaubs- und Überstundenüberträge. Dazu die erste Tätigkeitsstätte im Sinne von § 9 Abs. 4 EStG.

Nicht erhoben werden: Geburtsdatum, Privatanschrift, Bankverbindung, Steuer-Identifikationsnummer, Sozialversicherungsnummer, Staatsangehörigkeit, Religionszugehörigkeit und Gewerkschaftszugehörigkeit.

Zugangsdaten

E-Mail-Adresse und Passwort. Das Passwort wird ausschließlich als kryptografischer Hashwert gespeichert und ist niemandem im Klartext zugänglich — auch dem Betrieb nicht.

Arbeitszeit und Einsatzort

Beginn und Ende jedes Zeitabschnitts, die Unterscheidung zwischen Arbeits- und Fahrzeit, die zugeordnete Baustelle, gefahrene Kilometer, Pausen, Ist- und Sollstunden, die Differenz daraus, freie Bemerkungsfelder sowie die Angabe, wer eine Zeit erfasst hat — die beschäftigte Person selbst, das Büro oder der Polier. Dazu die geplante Einsatzzuordnung, Tageskorrekturen mit dem Zustand vor der Korrektur und dem angegebenen Grund, sowie ausgezahlte Überstunden.

Diese Angaben ergeben zusammengenommen ein Bild davon, wer wann wie lange auf welcher Baustelle gearbeitet hat. Eine Standortverfolgung findet dabei ausdrücklich nicht statt: Polierbuch erhebt keine GPS-Daten und wertet keine Gerätestandorte aus. Die Zuordnung zu einer Baustelle entsteht allein daraus, dass sie beim Stempeln ausgewählt wird.

Abwesenheiten

Art, Zeitraum und Status jeder Abwesenheit, ein frei beschreibbares Begründungsfeld, die Entscheidung darüber samt Vermerk sowie eine etwaige Vertretung. Monatlich zusätzlich die Zahl der Krankheitstage.

Reisekosten und Verpflegungsmehraufwand

Ziel, Entfernung, Betrag und Beschreibung von Reisekosten. Für den Verpflegungsmehraufwand außerdem, ob auswärts übernachtet wurde und welche Mahlzeiten gestellt waren.

Unterschriften

Wird ein Monatsnachweis oder ein Formular unterschrieben, wird der Strichzug gespeichert — nicht als Bild, sondern als Folge von Koordinaten — zusammen mit Name, Zeitpunkt und Rolle der unterzeichnenden Person. Eine geleistete Unterschrift lässt sich nachträglich nicht ändern; zurückziehen kann sie nur, wer sie geleistet hat.

Qualifikationen

Art des Nachweises, Ausstellungs- und Ablaufdatum sowie eine Bemerkung — etwa zur Führerscheinkontrolle nach § 21 StVG, zu Unterweisungen nach § 12 ArbSchG, zur Erste-Hilfe-Ausbildung oder zu Gerätefreigaben.

Personalkostensatz

Ein Stundensatz je beschäftigter Person für die Nachkalkulation von Baustellen. Er ist ausschließlich für Personen mit Verwaltungs- oder Administratorrolle lesbar.

Daten von Kundinnen, Kunden und Ansprechpersonen

Name, Anschrift, E-Mail-Adresse, Telefonnummer und Kundennummer aus dem Kundenstamm sowie Name, Funktion, Telefonnummer und E-Mail-Adresse von Ansprechpersonen auf der Baustelle. Dazu Einträge in der Baustellendokumentation.

Fotos in der Baustellendokumentation

An Einträge der Baustellendokumentation lassen sich Fotos anhängen. Das Foto wird bereits auf dem Gerät verkleinert (längste Kante 1600 Pixel, dazu ein Vorschaubild) und neu gezeichnet; dabei entfallen die im Originalbild eingebetteten Metadaten wie Aufnahmeort (GPS), Gerätemodell und Aufnahmezeitpunkt. Das Original verlässt das Gerät nicht. Gespeichert werden die verkleinerte Fassung, das Vorschaubild, Bildmaße, Dateigröße sowie wer das Foto wann angehängt hat.

Die Dateien liegen in einem nicht öffentlichen Speicherbereich bei Supabase Storage in der Europäischen Union (Region eu-west-1, Irland). Abrufbar sind sie nur für angemeldete Mitglieder des Betriebs und — bei ausdrücklich freigegebenen Einträgen — über den Lese-Link des Kunden. Fotos können Personen oder Kfz-Kennzeichen zeigen; wer fotografiert, sollte darauf achten.

[[ BITTE AUSFUELLEN: Speicherdauer der Baustellenfotos und Loeschung nach Abschluss der Baustelle; Hinweis an Beschaeftigte zum Fotografieren von Personen (Einwilligung bzw. Rechtsgrundlage nach Art. 6 DSGVO / KUG) ]]

Weitere Angaben

Beitrittsanfragen von Personen, die noch nicht zum Betrieb gehören (Name und E-Mail-Adresse), sowie Meldungen aus dem Wunschticket mit Bezug zur verfassenden Person.

4. Gesundheitsdaten und andere besondere Kategorien

Ein Teil der Abwesenheitsgründe sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Sie werden im Klartext gespeichert und sind nicht anonymisiert. Betroffen sind die Abwesenheitsarten:

• Krank und Krank (Restzeit)
• Krank ohne Lohnfortzahlung — diese Angabe lässt zusätzlich erkennen, dass eine Erkrankung länger als sechs Wochen gedauert hat
• Krank durch Betriebsunfall
• Mutterschutz und Beschäftigungsverbot

Elternzeit ist keine besondere Kategorie nach Art. 9 DSGVO, gibt aber ebenfalls Auskunft über persönliche Verhältnisse.

Diese Angaben stehen an drei Stellen: am einzelnen Tag, im Antrag und in der Monatssumme der Krankheitstage. Das Begründungsfeld eines Antrags ist ein freies Textfeld — was dort hineingeschrieben wird, wird unverändert gespeichert. Es besteht keine Verpflichtung, dort Krankheitsursachen oder Diagnosen anzugeben, und es wird ausdrücklich davon abgeraten.

Rechtsgrundlage für die Verarbeitung dieser besonderen Kategorien: [[ BITTE AUSFUELLEN: Rechtsgrundlage fuer Gesundheitsdaten nach Art. 9 Abs. 2 DSGVO ]]

5. Wozu und auf welcher Rechtsgrundlage verarbeitet wird

Polierbuch dient der Erfassung und Abrechnung von Arbeitszeit, der Verwaltung von Abwesenheiten und Urlaubsansprüchen, der Abrechnung von Reisekosten und Verpflegungsmehraufwand, der Zuordnung von Leistungen zu Baustellen und deren Abrechnung sowie der Dokumentation von Qualifikationen und Unterweisungen.

Rechtsgrundlagen im Einzelnen: [[ BITTE AUSFUELLEN: Rechtsgrundlagen je Verarbeitungszweck (Zeiterfassung, Abwesenheiten, Reisekosten, Kalkulation, Qualifikationsnachweise) ]]

[[ BITTE AUSFUELLEN: Besteht ein Betriebsrat und eine Betriebsvereinbarung zur Zeiterfassung? Falls ja, hier benennen (§ 87 Abs. 1 Nr. 6 BetrVG, Art. 88 DSGVO) ]]

6. Wer die Daten im Betrieb sehen kann

Der Zugriff ist technisch nach Rollen begrenzt. Über die Grenzen des eigenen Betriebs hinaus sieht niemand etwas.

Alle Beschäftigten des Betriebs können die Stammdaten der Kolleginnen und Kollegen sehen: Name, E-Mail-Adresse, Personalnummer, Eintrittsdatum, Abteilung, Kostenstelle, Tätigkeitsbezeichnung, vorgesetzte Person, Wochen- und Sollstunden sowie Urlaubsanspruch und Überträge. Ebenfalls für alle sichtbar sind die Einsatzplanung, die Baustellendokumentation und die Ansprechpersonen der Baustellen.

Nicht für alle sichtbar sind Arbeitszeiten, Abwesenheiten, Krankheitstage, Urlaubskonten, Reisekosten, Tageskorrekturen, Überstundenauszahlungen, Qualifikationen, Unterschriften und Wunschtickets. Diese Angaben sieht nur, wen sie selbst betreffen — sowie Verwaltung und Administration.

Poliere und Kolonnenführung sehen zusätzlich die Zeiten der ihnen ausdrücklich zugeordneten Kolonnenmitglieder, damit sie für sie stempeln können. Der Tagesdatensatz, der auch den Abwesenheitsgrund enthält, ist für sie bewusst auf die letzten 14 Tage beschränkt. Ein Polier kann also erkennen, dass ein Kolonnenmitglied in den letzten 14 Tagen krank gemeldet war — nicht aber dessen weiter zurückliegende Abwesenheitshistorie.

Verwaltung und Administration sehen alle Daten ihres Betriebs ohne zeitliche Begrenzung, einschließlich Kundenstamm und Personalkostensätzen.

Persönliche Geräteeinstellungen — welche Geräte für Erinnerungen angemeldet sind und zu welcher Uhrzeit — sieht ausschließlich die betroffene Person selbst, weder Verwaltung noch Administration.

7. Der Lesezugang für Kundinnen und Kunden

Für eine Baustelle kann ein Lese-Link erzeugt werden, über den Auftraggeber ohne Konto den Baufortschritt einsehen. Über diesen Link werden ausschließlich Baustellenname, Betriebsname sowie Datum, Titel und Text derjenigen Einträge ausgegeben, die eine Person mit Verwaltungsrolle ausdrücklich freigegeben hat, sowie die an diesen Einträgen hängenden Fotos. Jeder Abruf eines Fotos prüft die Freigabe erneut; wird sie zurückgenommen, ist das Foto über den Link nicht mehr erreichbar. Namen von Beschäftigten, Verfasserangaben, interne Kennungen, ausgefüllte Formulare und Unterschriften werden über diesen Weg nicht ausgegeben.

Der Link ist nicht erratbar und in Suchmaschinen nicht auffindbar. Wer ihn besitzt, kann die freigegebenen Einträge lesen — er sollte deshalb nur im vorgesehenen Kreis weitergegeben werden.

8. Wer die Daten außerhalb des Betriebs erhält

Polierbuch verkauft keine Daten und gibt sie nicht zu Werbezwecken weiter. Eingebunden sind die folgenden Dienstleister:

Supabase — Datenbank, Anmeldung und E-Mail-Versand

Sämtliche oben genannten Daten werden bei Supabase gespeichert. Supabase übernimmt außerdem die Anmeldung und versendet die E-Mails zur Registrierungsbestätigung, zur Einladung und zum Zurücksetzen des Passworts.

Serverstandort: Irland (Region eu-west-1) — abgefragt am 06.09.2026 über die Projektverwaltung von Supabase, nicht aus Projektnotizen übernommen.

[[ BITTE AUSFUELLEN: Firmierung und Anschrift des Supabase-Vertragspartners sowie Bestehen eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO ]]

[[ BITTE AUSFUELLEN: Wird fuer den Mailversand der eingebaute Versand von Supabase oder ein eigener SMTP-Dienst genutzt? Ein eigener Dienst waere ein weiterer Auftragsverarbeiter und hier zu nennen ]]

Vercel — Betrieb der Anwendung

Die Anwendung läuft bei Vercel. Beim Aufruf einer Seite fallen dort technisch notwendige Zugriffsprotokolle an.

[[ BITTE AUSFUELLEN: Firmierung und Anschrift des Vercel-Vertragspartners, Bestehen eines Auftragsverarbeitungsvertrags sowie Umfang und Aufbewahrungsdauer der Zugriffsprotokolle laut gebuchtem Tarif ]]

lexoffice — Rechnungsstellung

Wird ein Betrieb mit lexoffice verbunden, werden zur Rechnungsstellung Kundenstammdaten (Anrede, Name, Rechnungsanschrift, geschäftliche E-Mail-Adresse und Telefonnummer) sowie die Rechnungen selbst dorthin übertragen.

Arbeitszeiten werden dabei zusammengefasst und ohne Personenbezug übertragen: auf der Rechnung stehen nur die Sammelpositionen „Projektstunden“ und „Fahrzeit“. Namen von Beschäftigten, einzelne Tage und einzelne Zeitbuchungen werden nicht an lexoffice übermittelt.

[[ BITTE AUSFUELLEN: Firmierung und Anschrift des lexoffice-Vertragspartners sowie Bestehen eines Auftragsverarbeitungsvertrags ]]

Anthropic — Auslesen von Eingangsbelegen

Für das automatische Auslesen von Lieferantenbelegen kann eine Belegdatei an den KI-Dienst von Anthropic übertragen werden. Diese Funktion wird je Beleg ausdrücklich ausgelöst und ist abschaltbar.

Übertragen wird die Belegdatei selbst — also in aller Regel eine Eingangsrechnung eines Lieferanten, die Namen von Ansprechpersonen enthalten kann. Keine Beschäftigtendaten, keine Arbeitszeiten und keine Abwesenheiten werden an Anthropic übertragen.

[[ BITTE AUSFUELLEN: Verarbeitungsort, Speicherdauer, Nutzung zu Trainingszwecken und Bestehen eines Auftragsverarbeitungsvertrags mit Anthropic — sowie, wer Verantwortlicher ist, falls ein Betrieb einen eigenen Zugangsschluessel nutzt ]]

Push-Dienste der Browserhersteller

[[ BITTE AUSFUELLEN: Ist die Stempelerinnerung per Push in Betrieb? Ohne hinterlegte VAPID-Schluessel findet diese Verarbeitung nicht statt — dann diesen Abschnitt loeschen ]]

Ist die Erinnerungsfunktion aktiviert, wird die Nachricht über den Push-Dienst des jeweiligen Browserherstellers zugestellt. Dorthin gehen die Geräteadresse, der Zeitpunkt und die verschlüsselte Nachricht. Die Nachricht enthält ausschließlich den Anlass — etwa „ausstempeln“. Kein Name, keine Baustelle, keine Uhrzeit und keine Stundenzahl werden übertragen; der angezeigte Text entsteht erst auf dem Gerät. Der Grund: eine Push-Nachricht erscheint auf dem Sperrbildschirm, und Baustellengeräte werden geteilt.

9. Übermittlung in Drittländer

[[ BITTE AUSFUELLEN: Findet eine Uebermittlung in ein Drittland statt (insbesondere bei Anthropic und moeglicherweise bei Supabase und Vercel)? Falls ja: welche Garantien nach Kapitel V DSGVO greifen — Angemessenheitsbeschluss oder Standardvertragsklauseln ]]

10. Wie lange die Daten gespeichert bleiben

Polierbuch löscht personenbezogene Daten derzeit nicht automatisch. Es gibt keinen Löschlauf und keine automatische Anonymisierung. Erfasste Zeiten, Abwesenheiten, Reisekosten, Unterschriften und Stammdaten bleiben gespeichert, bis sie ausdrücklich gelöscht werden.

Scheidet eine Person aus, wird ihr Zugang deaktiviert: sie kann sich nicht mehr anmelden, es können keine neuen Einträge für sie entstehen, und die bereits erfassten Daten bleiben unverändert bestehen. Das geschieht bewusst, weil Arbeitszeitnachweise und Abrechnungsunterlagen gesetzlichen Aufbewahrungspflichten unterliegen und eine vollständige Löschung sie mitentfernen würde.

Aufbewahrungsfristen und das Vorgehen nach ihrem Ablauf: [[ BITTE AUSFUELLEN: Aufbewahrungsfristen je Datenkategorie und das Verfahren zur Loeschung nach deren Ablauf ]]

Ein Sonderfall ist der Monatsabschluss: ein abgeschlossener Monat lässt sich nicht mehr verändern, auch nicht durch die Administration. Wer etwas ändern muss, hebt den Abschluss auf und schließt erneut ab.

11. Was im Browser gespeichert wird

Polierbuch setzt keine Cookies zu Werbe- oder Analysezwecken und bindet keine Dienste Dritter in die Seite ein. Gespeichert wird ausschließlich, was für den Betrieb der Anwendung nötig ist. Einen Einwilligungsbanner gibt es nicht.

[[ BITTE AUSFUELLEN: Sind alle unten genannten Speicherungen unbedingt erforderlich nach § 25 Abs. 2 Nr. 2 TDDDG, sodass keine Einwilligung eingeholt werden muss? ]]

• Anmelde-Cookies — halten die Sitzung aufrecht. Ohne sie ist eine Anmeldung nicht möglich. Laufzeit: [[ BITTE AUSFUELLEN: Gueltigkeitsdauer der Sitzungs- und Erneuerungstoken — im Supabase-Dashboard nachsehen ]]
• Anzeigevorliebe (polierbuch_wochensicht) — merkt sich, ob die Wochensicht kompakt oder erweitert dargestellt wird. Laufzeit ein Jahr. Kein Personenbezug über die eigene Darstellung hinaus.
• Offline-Warteschlange — wird im Funkloch gestempelt, bleibt die Stempelung im lokalen Speicher des Geräts (IndexedDB), bis sie übertragen ist. Sie enthält Zeitpunkt, Vorgang, Baustelle, Bemerkung und — beim Stempeln für die Kolonne — den Namen der Person, für die gestempelt wurde. Nach erfolgreicher Übertragung wird der Eintrag gelöscht. Wird eine Stempelung endgültig abgelehnt, bleibt sie mit Hinweis stehen, bis sie weggeräumt wird.
• Offline-Zwischenspeicher — der Service Worker legt ausschließlich unveränderliche Programmdateien und Symbole ab. Angezeigte Seiten werden bewusst nicht zwischengespeichert, damit auf einem geteilten Gerät nach einem Nutzerwechsel keine fremden Inhalte erscheinen.

Die Schriftarten der Seite werden vom eigenen Server ausgeliefert. Beim Aufruf entsteht dadurch keine Verbindung zu einem Schriftartenanbieter.

12. Was nicht stattfindet

Der Vollständigkeit halber, weil diese Verarbeitungen üblich sind und hier ausdrücklich fehlen: Polierbuch nutzt keine Reichweitenmessung und keine Analysedienste, keine Fehler- oder Nutzungsverfolgung, keine Werbenetzwerke, keine Kartendienste, keine sozialen Netzwerke, keine eingebetteten Inhalte Dritter und keinen Newsletter. Es findet keine Standortverfolgung statt.

13. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Anträge auf Urlaub oder andere Abwesenheiten werden von Menschen entschieden; die Anwendung berechnet Stunden und Ansprüche, trifft aber keine Entscheidungen über Personen.

14. Ist die Bereitstellung verpflichtend?

[[ BITTE AUSFUELLEN: Welche Angaben sind zur Durchfuehrung des Beschaeftigungsverhaeltnisses erforderlich und welche freiwillig — und welche Folgen hat es, sie nicht bereitzustellen? ]]

15. Deine Rechte

Dir stehen gegenüber dem Verantwortlichen die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO) — welche Daten über dich verarbeitet werden
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Angaben
• Löschung (Art. 17 DSGVO) — soweit keine Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO) — gegen Verarbeitungen, die auf ein berechtigtes Interesse gestützt sind
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) — mit Wirkung für die Zukunft, soweit eine Verarbeitung auf einer Einwilligung beruht

Diese Rechte sind in der Anwendung nicht als Selbstbedienung angelegt. Wende dich dafür an: info@liyoutech.de — oder schriftlich an LiYouTech UG (haftungsbeschränkt), Stadtgasse 26, 37308 Heilbad Heiligenstadt.

Deine eigenen Monatsnachweise kannst du jederzeit selbst als PDF- oder Excel-Datei herunterladen. Ein Nachweis einer anderen Person lässt sich nur mit Verwaltungsrolle abrufen; ohne sie wird die Anforderung abgelehnt.

16. Beschwerderecht bei einer Aufsichtsbehörde

Unabhängig von diesen Rechten kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere bei der Behörde deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des vermuteten Verstoßes.

Zuständige Behörde für den Verantwortlichen: Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI), Häßlerstraße 8, 99096 Erfurt.

17. Stand und Änderungen

Diese Erklärung beschreibt den Stand der Anwendung zum [[ BITTE AUSFUELLEN: Datum des Inkrafttretens dieser Fassung ]]. Ändert sich die Verarbeitung, wird sie angepasst.

Die Angaben zum Verantwortlichen stehen im Impressum.