Datenschutzhinweise

1. Worum es geht

Diese Hinweise erklären, welche personenbezogenen Daten im Mitarbeiterportal (App und Webseite unter wever-haas-mitarbeiter.de) verarbeitet werden, wozu, auf welcher Rechtsgrundlage, wie lange und welche Rechte du hast. Sie ergänzen die allgemeinen Datenschutzinformationen für Beschäftigte.

2. Verantwortlich

Fritz Wever GmbH, Volmestraße 37a, 58515 Lüdenscheid, und Gerd Haas Metallveredelungs GmbH, Prinzenstraße 9, 58332 Schwelm, betreiben das Portal gemeinsam für ihre Beschäftigten (gemeinsam Verantwortliche nach Art. 26 DSGVO). Du kannst deine Rechte gegenüber beiden Unternehmen geltend machen.

Kontakt in allen Fragen zum Datenschutz: info@wever-haas.de (Betreff „Datenschutz“), Telefon 02351 / 87 441 - 0.

3. Nutzung ist freiwillig

Die Nutzung des Portals ist freiwillig. Wer es nicht nutzt, hat keine Nachteile: Wichtige Informationen, Termine und Unterlagen gibt es weiterhin auch auf den gewohnten Wegen (z. B. Aushang, Vorgesetzte, Schichtleitung).

4. Welche Daten wir wofür verarbeiten

Benutzerkonto und Anmeldung

Login-Name, angezeigter Name, Firma, Gruppen (z. B. Schichtleiter), Rolle (Mitarbeiter/Admin) und dein Passwort – nur als nicht umkehrbarer Hash (bcrypt), niemand kann es lesen. Ein technisch notwendiges Sitzungs-Cookie hält dich angemeldet: 8 Stunden, mit „Angemeldet bleiben“ bis zu 90 Tage ab der letzten Nutzung. Zweck: Zugang nur für Beschäftigte, passende Inhalte je Firma/Gruppe. Rechtsgrundlage: Art. 6 Abs. 1 b und f DSGVO; Cookie: § 25 Abs. 2 Nr. 2 TDDDG. Speicherdauer: solange du das Konto hast; nach dem Ausscheiden wird es gelöscht.

Letzte Nutzung

Das Portal speichert den Zeitpunkt deiner letzten Nutzung (höchstens alle 5 Minuten aktualisiert, der vorige Wert wird dabei überschrieben). Admins sehen ihn in der Nutzerverwaltung, um z. B. Hilfe beim ersten Anmelden anbieten oder ungenutzte Konten löschen zu können. Er wird nicht zur Leistungs- oder Verhaltenskontrolle verwendet. Rechtsgrundlage: Art. 6 Abs. 1 f DSGVO.

Passwort vergessen

Wenn du ein neues Passwort anforderst, wird die Anfrage gespeichert, bis ein Admin sie freigibt und du ein neues Passwort gesetzt hast. Danach werden alle bestehenden Anmeldungen beendet. Rechtsgrundlage: Art. 6 Abs. 1 b und f DSGVO.

Nachrichten

Nachrichten von Admins an alle, an Gruppen oder an einzelne Personen. Gespeichert wird, ob und wann du eine Nachricht geöffnet hast; der Absender sieht das je Empfänger, damit wichtige Informationen nachweisbar ankommen. Rechtsgrundlage: Art. 6 Abs. 1 b und f DSGVO. Speicherdauer: bis die Nachricht gelöscht wird.

Kalender und Erinnerungen

Termine für alle oder für bestimmte Personen/Gruppen und die zugehörigen Erinnerungen. Rechtsgrundlage: Art. 6 Abs. 1 b DSGVO. Speicherdauer: bis der Termin gelöscht wird.

Einladungen aus dem Mailprogramm (David)

Lädt die Geschäftsleitung oder Assistenz aus dem Firmen-Mailprogramm das Portal zu einer Besprechung ein, werden Titel, Zeit, Ort, Beschreibung und die Adressen der Eingeladenen übernommen, damit der Termin bei den Richtigen erscheint. Dafür kann bei deinem Konto deine dienstliche E-Mail-Adresse hinterlegt sein. Die Mails selbst werden nach 90 Tagen automatisch gelöscht, das Eingangsprotokoll enthält höchstens die letzten 300 Einträge. Rechtsgrundlage: Art. 6 Abs. 1 b und f DSGVO.

Kalender auf dem Handy (Abo)

Nur wenn du es selbst einrichtest: Die von dir ausgewählten Termine werden über einen persönlichen Link an den Kalender deines Handys übergeben; gespeichert werden deine Auswahl und der Zeitpunkt des letzten Abrufs. Wer den Link kennt, sieht diese Termine – gib ihn nicht weiter; du kannst ihn jederzeit zurücksetzen oder das Abo beenden (dann wird die Auswahl gelöscht). Bei Nutzung von z. B. Apple-, Google- oder Microsoft-Kalendern gelten deren Datenschutzbestimmungen. Rechtsgrundlage: Art. 6 Abs. 1 b DSGVO.

Push-Benachrichtigungen

Nur wenn du sie in deinem Browser erlaubst: Für dein Gerät wird eine Empfangsadresse des Push-Dienstes deines Browsers gespeichert (Apple, Google oder Mozilla). Die Inhalte (z. B. „Neuer Termin“) werden verschlüsselt übermittelt; der Push-Dienst kann seinen Sitz außerhalb der EU haben (USA, abgesichert über das EU-US Data Privacy Framework). Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 a DSGVO, § 25 Abs. 1 TDDDG), jederzeit widerrufbar in den Einstellungen deines Geräts oder Browsers. Speicherdauer: bis du sie abschaltest oder die Adresse ungültig wird.

Dokumente

Arbeits- und Betriebsanweisungen, Unterweisungen, Prozessbeschreibungen u. a. Mit hinterlegt ist, welcher Admin ein Dokument hochgeladen hat. Deine Favoriten werden gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 b und c DSGVO (z. B. Unterweisungspflicht nach § 12 ArbSchG).

Events und Fotos

Zu Firmenveranstaltungen stellen Admins Fotos und Unterlagen ein, die alle Beschäftigten im Portal sehen und einzeln herunterladen können. Auf Fotos können Personen erkennbar sein. Rechtsgrundlage: Art. 6 Abs. 1 f DSGVO (interne Information und Gemeinschaft). Möchtest du auf einem Foto nicht zu sehen sein, melde dich – es wird dann entfernt. Fotos werden nicht in die Sicherungskopien übernommen.

Schwarzes Brett

Admins veröffentlichen Aushänge mit Text, Links, PDFs und Bildern für alle oder für bestimmte Firmen/Gruppen. Gespeichert wird, welcher Admin einen Aushang erstellt hat. Für die Anzeige „neu“ auf der Kachel wird nur der Zeitpunkt deines letzten Besuchs am Brett gespeichert – nicht, welche Aushänge du gelesen hast. Rechtsgrundlage: Art. 6 Abs. 1 b und f DSGVO. Speicherdauer: bis der Aushang gelöscht wird.

Tickets

Wenn du ein Ticket erstellst (z. B. eine Störung, einen Defekt oder eine Frage), werden Betreff, Beschreibung, Kategorie, Dringlichkeit, Fotos, der weitere Verlauf und dein Name gespeichert, je nach Kategorie außerdem Standort, betroffenes Gerät bzw. Programm, Fehlermeldung, Auswirkung, eine freiwillige Rückrufnummer und die Kollegen, die du als Beteiligte hinzufügst. Sehen können das Ticket nur du, die Beteiligten und die Personen, die für die gewählte Kategorie (ggf. für den gewählten Standort) zuständig sind; Admins sehen fremde Tickets nur, wenn sie selbst zuständig sind, ansonsten nur anonyme Zahlen (z. B. Anzahl offener Tickets). Beteiligte erhalten Push-Benachrichtigungen bei neuen Antworten, sofern sie Push eingeschaltet haben, und – wenn bei ihnen eine dienstliche E-Mail-Adresse hinterlegt ist – eine E-Mail mit den Angaben, den Fotos und einem Link zum Ticket. Zuständige können ein Ticket per Knopf an einen externen Dienstleister übergeben, der für die Kategorie hinterlegt ist (z. B. den IT-Support); dabei erhält dieser per E-Mail die Angaben, die Beschreibung, den bisherigen Verlauf, die Fotos sowie Name, E-Mail-Adresse und ggf. Rückrufnummer des Erstellers, der Ersteller und die Beteiligten stehen in CC. Das geschieht nie automatisch. Vom Mailversand speichert das Portal nur Art, Anzahl der Empfänger und Erfolg (ohne Adressen und Inhalte), 180 Tage lang. Auf Wunsch lässt sich eine Ticket-Nachricht in die eigene Sprache übersetzen; dafür wird ihr Text an DeepSeek übermittelt (siehe „KI-Funktionen“). Zweck: Bearbeitung des Anliegens. Rechtsgrundlage: Art. 6 Abs. 1 b und f DSGVO. Speicherdauer: erledigte Tickets werden 12 Monate nach Abschluss automatisch samt Fotos gelöscht. Für vertrauliche Anliegen ohne Namen gibt es weiterhin die anonymen Verbesserungsvorschläge.

Aufgaben

Wenn du Aufgaben, Listen oder Projekte anlegst, werden Titel, Notizen, Unterschritte, Termine, Erinnerungen, Wiederholungen, Status, Anhänge (Fotos und Dateien), Kommentare sowie wer etwas angelegt, zugewiesen und erledigt hat gespeichert. Aufgaben im Eingang und in nicht geteilten Listen sieht nur du – auch Admins nicht. Teilst du eine Liste mit Kollegen oder einer Gruppe, sehen alle Mitglieder deren Aufgaben. Wer eine Aufgabe zugewiesen bekommt, kommentiert wird oder eine Erinnerung gesetzt hat, wird per Push benachrichtigt. Leitest du eine Mail an portal@wever-haas-mitarbeiter.de weiter, wird daraus eine Aufgabe in deinem Eingang – mit dem Text der Mail und ihren Anhängen; erkannt wirst du über die im Portal hinterlegte dienstliche E-Mail-Adresse. Für die Nutzung ohne Netz speichert die App eine Kopie deiner Aufgaben auf deinem Gerät. Es gibt keine Auswertung, wer wie viel erledigt. Rechtsgrundlage: Art. 6 Abs. 1 b und f DSGVO. Speicherdauer: bis du sie löschst; Gelöschtes bleibt 30 Tage im Papierkorb und wird dann endgültig entfernt.

KI-Funktionen – freiwillig

Der Assistent „Frag die Anweisungen“, „Einfach erklärt“ im PDF-Viewer und die Übersetzungshilfe für Admins nutzen ein KI-Modell des Anbieters DeepSeek. Nur wenn du eine Frage abschickst oder „Einfach erklärt“ antippst, werden deine Frage bzw. Textauszüge aus den Firmen-Dokumenten an DeepSeek übermittelt – ohne deinen Namen, deine Nutzer-ID oder andere Kennungen des Portals. Wenn Admins Nachrichten oder Aushänge übersetzen lassen, wird deren Text übermittelt. Tippt jemand bei einer Ticket-Nachricht auf „Übersetzen“, wird der Text dieser Nachricht übermittelt (ohne Namen der Beteiligten); er kann persönliche Angaben enthalten, z. B. eine Schilderung oder einen Namen im Text. Der Anbieter hat seinen Sitz und seine Server außerhalb der EU (China, ohne Angemessenheitsbeschluss der EU-Kommission). Gib in Fragen bitte keine Namen oder anderen persönlichen Angaben ein und schreibe in Tickets nur, was für das Anliegen nötig ist. Im Portal werden deine Fragen und die Antworten nicht gespeichert – nur die Anzahl der Anfragen je Tag ohne Personenbezug sowie die Kurzfassungen der Dokumente. Die Antworten werden automatisch erstellt und können Fehler enthalten; maßgeblich bleiben die Original-Dokumente. Die Nutzung ist freiwillig, alle Inhalte sind auch ohne KI erreichbar. Rechtsgrundlage: Art. 6 Abs. 1 f DSGVO (leichter verständliche Arbeits- und Sicherheitsinformationen).

Verbesserungsvorschläge – anonym

Vorschläge werden ohne Bezug zu deiner Person gespeichert: kein Name, keine Nutzer-ID, keine Uhrzeit (nur das Datum), keine fortlaufende Nummer; der Webserver protokolliert diese Seite nicht. Dein Abruf-Code wird nur als nicht umkehrbarer Fingerabdruck gespeichert. Vorschläge sind daher nicht dir zuordenbar – schreibe in den Text selbst nichts, woran man dich erkennt, wenn du anonym bleiben möchtest.

Nutzungsübersicht – ohne Personenbezug

Für die Admins wird gezählt, wie oft und von wie vielen verschiedenen Personen pro Tag Bereiche geöffnet werden, mit welcher Geräteart (iPhone, Android, Computer), Sprache und zu welcher Stunde, sowie wie oft PDFs geöffnet werden. Gespeichert werden nur Tagessummen. Um verschiedene Personen zählen zu können, wird ein Hashwert mit einem täglich neuen Zufallsschlüssel gebildet; Hashwerte und Schlüssel werden nach zwei Tagen gelöscht, danach ist keine Zuordnung mehr möglich. Die Verbesserungsvorschläge werden nicht gezählt. Rechtsgrundlage: Art. 6 Abs. 1 f DSGVO (Verbesserung des Angebots).

Server-Protokolle

Beim Aufruf speichert der Webserver technisch bedingt IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung (außer bei den Verbesserungsvorschlägen). Zweck: Betrieb, Fehlersuche und Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 f DSGVO. Speicherdauer: 14 Tage, danach automatische Löschung.

Sicherungskopien

Die Datenbank wird täglich gesichert, auf dem Server 90 Tage aufbewahrt und zusätzlich auf einem Rechner im Unternehmen abgelegt, damit bei einem Ausfall nichts verloren geht. Rechtsgrundlage: Art. 6 Abs. 1 f DSGVO, Art. 32 DSGVO.

Speicher auf deinem Gerät

Für Funktion und Komfort speichert die App auf deinem Gerät: Sprache, hell/dunkel, die Scrollposition während einer Sitzung, die Bestätigung dieser Hinweise sowie – damit die App auch ohne Netz startet – eine Kopie von Seiten und Dateien im Zwischenspeicher. Das ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst es jederzeit entfernen, indem du in deinem Browser die Websitedaten für das Portal löschst bzw. die App deinstallierst.

5. Wer die Daten erhält

Innerhalb der Unternehmen nur die von der Geschäftsleitung bestimmten Admins, soweit sie die Daten für ihre Aufgabe brauchen. Andere Beschäftigte sehen nur, was für alle bestimmt ist (z. B. Termine für alle, Dokumente, Event-Fotos).

Das Portal läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO). Push-Benachrichtigungen laufen über die Push-Dienste der Browser-Hersteller, die KI-Funktionen über DeepSeek (siehe oben). Daten werden nicht verkauft, nicht für Werbung genutzt und nicht an andere Stellen weitergegeben, außer wenn ein Gesetz es verlangt.

Es findet keine automatisierte Entscheidungsfindung und kein Profiling statt.

6. Sicherheit

Verbindungen sind verschlüsselt (HTTPS), Passwörter werden nur als Hash gespeichert, der Zugriff auf den Server ist auf wenige Berechtigte beschränkt, und die Daten werden regelmäßig gesichert.

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung (Push-Benachrichtigungen) kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 f DSGVO) verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen – z. B. gegen die Anzeige von Fotos, auf denen du zu sehen bist.

Wende dich dafür formlos an info@wever-haas.de oder an die Geschäftsleitung. Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren, z. B. bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

8. Änderungen

Wenn sich die Funktionen des Portals ändern, passen wir diese Hinweise an. Bei wesentlichen Änderungen wirst du beim nächsten Öffnen des Portals gebeten, die neue Fassung zu bestätigen.