Datenschutzerklärung

Diese Erklärung beschreibt, was beim Besuch dieser Seite und bei der Nutzung der Anwendung verarbeitet wird. Sie unterscheidet dabei zwei Rollen, weil dahinter zwei verschiedene Verantwortlichkeiten stehen.

1. Zwei Rollen — und warum das wichtig ist

Diese Webseite: Für den Besuch dieser Startseite und der Rechtstexte ist der unten genannte Anbieter Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Die Anwendung: Was eine Bar in Deckel einträgt — Nächte, Schichten, Namen und Löhne ihrer Beschäftigten — verarbeitet der Anbieter im Auftrag dieser Bar (Auftragsverarbeitung, Art. 28 DSGVO). Verantwortlich für diese Daten ist die jeweilige Bar als Arbeitgeberin; sie entscheidet über Zwecke und Mittel. Beschäftigte richten Auskunfts- und Löschbegehren deshalb zuerst an ihre Bar. Ein Auftragsverarbeitungsvertrag wird mit jeder Bar geschlossen und ist auf Anforderung erhältlich.

2. Verantwortlicher

Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen.

3. Beim Aufruf dieser Seite

Der Webserver verarbeitet die technisch notwendigen Verbindungsdaten in einem Protokoll: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, verweisende Seite und Browserkennung. Zweck ist der Betrieb und die Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem funktionierenden und sicheren Dienst). Die Protokolle werden nach spätestens 14 Tagen gelöscht.

Diese Seite lädt keine externen Schriften, Karten, Videos oder Skripte. Es gibt kein Tracking, keine Analyse-Werkzeuge, keine Werbenetzwerke und keine Einwilligungsabfrage, weil es nichts einzuwilligen gibt.

4. Cookies und lokale Speicherung

• Sitzungscookie (dk_sess): wird erst bei der Anmeldung gesetzt, ist HttpOnly und SameSite=Lax, im Betrieb zusätzlich Secure, und läuft nach zwölf Stunden ab. Ohne dieses Cookie ist keine Anmeldung möglich (Art. 6 Abs. 1 lit. b DSGVO; § 25 Abs. 2 Nr. 2 TDDDG — technisch erforderlich, daher einwilligungsfrei).
• Lokale Speicherung im Browser: die Anwendung merkt sich auf dem Gerät die gewählte Darstellung (hell/dunkel), den zuletzt gewählten Zeitraum sowie unfertige Entwürfe einer Nacht — damit ein Formular im Funkloch nicht verloren geht. Diese Daten verlassen das Gerät nicht und werden beim Abmelden verworfen.

5. Daten in der Anwendung

Verarbeitet werden: Bar-Stammdaten, Zugangsdaten (Passwörter ausschließlich als scrypt-Hash, nie im Klartext), Namen und Nummern der Beschäftigten, Schichtzeiten, Stundensätze und Lohnbeträge, Umsätze, Ausgaben, Kassenbestände sowie ein Änderungsprotokoll (wer wann was geändert hat). Grundlage ist der Vertrag mit der jeweiligen Bar; für die Beschäftigten ist ihre Bar verantwortlich (siehe Ziffer 1).

Speicherdauer: solange das Vertragsverhältnis mit der Bar besteht. Danach werden die Daten auf Anforderung der Bar gelöscht oder herausgegeben; die Bar kann ihre Zahlen jederzeit selbst als CSV exportieren. Sicherungskopien werden 30 Tage vorgehalten und rollierend überschrieben.

6. Empfänger

• Hosting: Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Google-Anmeldung (nur Verwaltung): Der Verwaltungszugang meldet sich über Google an; dabei werden Anmeldedaten an Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland übermittelt. Bar- und Mitarbeiterzugänge sind davon nicht betroffen — sie melden sich mit Nummer und Passwort an, ohne Google.

Eine darüber hinausgehende Weitergabe findet nicht statt. Daten werden nicht verkauft.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Beschwerderecht bei der Aufsichtsbehörde:
Berliner Beauftragte für Datenschutz und Informationsfreiheit,
Alt-Moabit 59–61, 10555 Berlin.

8. Sicherheit

Die Verbindung ist durchgehend TLS-verschlüsselt. Passwörter werden ausschließlich als scrypt-Hash gespeichert, Anmeldeversuche gebremst, und jede Bar sieht ausschließlich ihre eigenen Daten — die Trennung wird durch automatisierte Tests bei jeder Änderung geprüft.

Stand: August 2026