Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Name

ParkourONE Berlin – Benjamin Scheffler

Anschrift

Dietzgenstraße 25, 13156 Berlin

E-Mail

berlin@parkourone.com

Telefon

+49 30 48 49 42 40

2. Zweck der App und Umfang der Verarbeitung

Die App ist ein internes Team- und Verwaltungswerkzeug für Beschäftigte von ParkourONE Berlin. Sie bildet Einsätze, Stundenplan, Verträge, Lohn, Urlaub, Aufgaben sowie Rechnungen an Kunden ab. Verarbeitet werden dabei folgende Datenkategorien der Nutzer:

• Stammdaten und Kontaktdaten
• Vertrags- und Lohndaten
• Abwesenheiten (Urlaub, Krankmeldungen)
• Profilbild (Storage-Bucket)
• Nutzungs- und Aktivitätsprotokolle

3. Anmeldung und Sitzung

Die Anmeldung erfolgt über Supabase Auth per Magic-Link (Login-Link per E-Mail) oder Passwort; optional können Nutzer stattdessen einen Passkey (WebAuthn) auf ihrem Gerät hinterlegen. Die Sitzung wird über ein Cookie im Browser gehalten.

4. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 BDSG: Durchführung des Beschäftigungsverhältnisses (Einsätze, Stundenplan, Verträge, Lohn, Urlaub, Aufgaben)
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung für freiwillige Funktionen (Google-Kalender-Verbindung, Push-Benachrichtigungen)
• Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse am sicheren Betrieb der App (Nutzungs-/Aktivitätsprotokolle, IT-Sicherheit)

5. Empfänger und Auftragsverarbeiter

Die App nutzt folgende Auftragsverarbeiter:

• Vercel (Hosting): Serverstandort Frankfurt (Region fra1)
• Supabase (Datenbank, Anmeldung, Dateispeicher): Serverstandort Frankfurt (Central EU)
• Hostpoint (E-Mail-Versand per SMTP): Absender anfrage.berlin@parkourone.com

Über die genannten Auftragsverarbeiter sowie die in Abschnitt 6 und 8 beschriebenen optionalen Google- bzw. Push-Dienste hinaus findet keine Weitergabe an Dritte statt. Die App bindet keine Werbung ein und setzt keine Tracking- oder Analyse-Dienste ein.

6. Google-Kalender-Verbindung (optional)

Coaches können in den Einstellungen freiwillig ihren eigenen Google-Kalender verbinden (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Seit dem 15. September 2026 fordert die App dabei ausschließlich den Google-Kalender-Scope calendar.app.created an: Sie legt im Google-Konto des Coaches einen eigenen Kalender „ParkourONE" an, trägt dort genehmigte Urlaube als Termin mit dem Titel „Urlaub" ein und löscht ausschließlich diese selbst angelegten Einträge wieder, etwa bei einer Rücknahme. Auf andere Kalender des Coaches hat sie keinen Zugriff. Verbindungen von vor dem 15. September 2026 nutzen bis zur Neuverbindung weiterhin den Scope calendar.events und den Hauptkalender des Coaches.

Zusätzlich können Admins den zentralen Teamkalender verbinden, um Abwesenheiten und Supervisionstermine einzutragen. Dafür wird neben calendar.events auch der lesende Scope calendar.readonly angefordert, ausschließlich um dem Admin eine Auswahlliste der eigenen Kalender anzuzeigen. Bei Supervisionsterminen erhalten die eingetragenen Teilnehmenden (Auszubildende, Ausbilder:in, Verwaltung) eine Kalendereinladung per E-Mail von Google.

Zugriffs- und Refresh-Token werden verschlüsselt in der Datenbank gespeichert und ausschließlich serverseitig verwendet. Die Verbindung lässt sich jederzeit trennen. In der App unter Einstellungen › Kalender oder über myaccount.google.com/permissions. Nach dem Trennen werden die gespeicherten Token gelöscht.

Die Nutzung und Weitergabe von Informationen aus Google-APIs durch diese App unterliegt der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen (developers.google.com/terms/api-services-user-data-policy).

7. Profilbilder

Profilbilder werden beim Upload komprimiert und in einem Supabase-Storage-Bucket (avatars) abgelegt. Der Zugriff erfolgt über eine öffentliche URL dieses Buckets.

8. Push-Benachrichtigungen (optional)

Nutzer können freiwillig Web-Push-Benachrichtigungen aktivieren. Der Versand erfolgt über den Push-Dienst des jeweiligen Browser-Herstellers (z. B. Apple, Google, Mozilla oder Microsoft), je nach Browser und Gerät. Die Abmeldung ist jederzeit im Browser oder auf dem Gerät möglich.

9. Datenübermittlung in Drittländer

Bei den in Abschnitt 6 und 8 beschriebenen freiwilligen Funktionen kann es zu einer Verarbeitung von Daten (z. B. Kalendertitel und Teilnehmer-E-Mail-Adressen bei der Google-Kalender-Verbindung, Push-Endpunkt bei Push-Benachrichtigungen) durch Google, Apple oder Mozilla kommen. Diese Anbieter haben ihren Sitz in den USA bzw. verarbeiten Daten auch dort, also außerhalb der EU/des EWR. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der jeweilige Empfänger dort zertifiziert ist, andernfalls auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

10. Speicherdauer

Daten werden gelöscht, sobald sie für den genannten Zweck nicht mehr erforderlich sind, spätestens jedoch nach Ablauf gesetzlicher Aufbewahrungspflichten (z. B. handels- und steuerrechtliche Fristen nach §§ 257 HGB, 147 AO).

11. Betroffenenrechte

Nutzer haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten. Anfragen richten sich an die oben genannte Kontaktadresse.

12. Beschwerderecht

Nutzer haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit.