Datenschutzerklärung · Gastrokraft

1. Verantwortlicher

Luca Kreys, Gemeindeaugasse 3/17, 1220 Wien. Anfragen zum Datenschutz an office@gastrokraft.com.

2. Welche Daten wir verarbeiten

Alle Nutzerinnen und Nutzer

E-Mail-Adresse und Passwort (nur als Hashwert gespeichert, nie im Klartext)
Anmeldezeitpunkte, IP-Adresse und Browserkennung der aktiven Sitzungen
Fehlgeschlagene Anmeldeversuche zur Abwehr von Angriffen
Wenn du Mitteilungen auf einem Gerät einschaltest: die Push-Adresse deines Browsers und die zugehörigen Schlüssel, je Gerät
Mitteilungen in der Anwendung und deine Einstellungen dazu

Mitarbeiter:innen

Vor- und Nachname, Geburtsdatum, Telefonnummer, Postleitzahl
Qualifikationen, Sprachkenntnisse, Erfahrung, Interessen, Ausbildung
Deine Angabe, ob du in Österreich arbeiten darfst
Verfügbarkeiten, Bewerbungen samt Nachricht an den Betrieb, Einsätze, Bewertungen, Zuverlässigkeitswert
Beim Check-in und Check-out: der Zeitpunkt und, wenn du dafür den Standort freigibst, deine Position in diesem Moment sowie beim Check-in die Entfernung zum Einsatzort (siehe Abschnitt 5)
Ausweisdokument zur einmaligen Verifizierung: Pass, Personalausweis oder Aufenthaltstitel, der auch zeigt, dass du in Österreich arbeiten darfst
Freiwillig hochgeladene Zeugnisse und Urkunden, zum Beispiel Schulzeugnis, Praktikumsbestätigung, Hygieneschulung oder Barkurs
Freiwillig: Profilfoto, Vorstellungsvideo, Angabe zum Geschlecht
Bei unter 18-Jährigen: Name und E-Mail-Adresse der Erziehungsberechtigten, ihre Zustimmung mit Zeitpunkt und, nur wenn wir darum bitten, die unterschriebene Einverständniserklärung

Betriebe

Firmendaten, Firmenbuchnummer bzw. GISA-Zahl, UID, Adresse
Name, Telefonnummer und E-Mail der Ansprechperson
Gewerbeschein bzw. Konzession, Firmenbuchauszug, Ausweis der vertretungsbefugten Person
Anzeigen, Buchungen, bestätigte Stunden, Provisionsabrechnungen

3. Warum wir sie verarbeiten

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Konto, Profil, Vermittlung, Check-in und Check-out als Nachweis der Arbeitszeit, Abrechnung.
Rechtliche Verpflichtung (lit. c): Nachweispflichten als Arbeitsvermittler nach AMFG und GewO, Aufbewahrung von Abrechnungsunterlagen nach § 132 BAO (7 Jahre).
Berechtigtes Interesse (lit. f): Verifizierung, Missbrauchs- und Betrugsabwehr, Klärung von Streitfällen über Stunden, Sicherheit der Plattform, Schutz Minderjähriger.
Einwilligung (lit. a): Profilfoto, Vorstellungsvideo, Zeugnisse und Urkunden, die freiwillige Angabe zum Geschlecht und Push-Mitteilungen. Jederzeit widerrufbar durch Löschen im Profil bzw. Ausschalten in den Einstellungen.

4. Zuverlässigkeitswert (Profiling)

Für jede Mitarbeiterin und jeden Mitarbeiter berechnet Gastrokraft automatisch einen Zuverlässigkeitswert von 0 bis 100, angezeigt als 0 bis 5 Sterne. Das ist Profiling im Sinn von Art. 4 Z 4 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse und das der Betriebe an verlässlich besetzten Schichten (Art. 6 Abs. 1 lit. f DSGVO).

Jedes Konto beginnt mit dem vollen Wert.
Abgeschlossene Einsätze heben den Wert.
Absagen mit weniger als 24 Stunden Vorlauf und Nichterscheinen senken ihn. Absagen mit mehr Vorlauf haben keine Folgen.
Andere Daten fließen nicht ein, auch nicht Alter, Geschlecht oder Herkunft.

Der Wert hat Folgen: Betriebe sehen ihn bei deiner Bewerbung. Ein Betrieb kann für eine Schicht einen Mindestwert festlegen, darunter kannst du dich nicht bewerben. Unter 2 Sternen ist die Sofortbuchung gesperrt, bewerben kannst du dich weiterhin. Wer eine Bewerbung annimmt, entscheidet immer der Betrieb.

Deinen Wert und wie er entstanden ist, siehst du unter Meine Einsätze. Du kannst jederzeit verlangen, dass ein Mensch ihn überprüft, deinen Standpunkt darlegen und eine Entscheidung anfechten (Art. 22 Abs. 3 DSGVO). Du kannst der Berechnung auch widersprechen (Art. 21 DSGVO). Schreib dazu an office@gastrokraft.com.

5. Standort beim Check-in

Beim Einsatz meldest du dich an und ab. Das geht über den Standort oder über einen vierstelligen Code der Schichtführung. Wählst du den Standort, fragt dein Browser einmal nach der Freigabe. Gastrokraft liest die Position nur in diesem Moment, es gibt kein laufendes Tracking.

Beim Check-in speichern wir deine Position und die Entfernung zum Einsatzort. Liegt sie zu weit weg, ist der Check-in nur mit dem Code möglich.
Beim Check-out speichern wir deine Position in diesem Moment.
Zweck ist der Nachweis, dass und wann du gearbeitet hast. Daraus entsteht der Vorschlag für deine Stunden, und bei einem Streit über Stunden zählt er. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Klärung von Streitfällen (lit. f).
Der Betrieb sieht nur die Uhrzeit und ob du per Standort oder Code angemeldet bist, nie deine Position. Die Entfernung zum Einsatzort sieht unsere Stelle für Streitfälle, wenn sie einen Fall klärt.
Gespeichert bis zur Löschung deines Kontos. Mit dem Konto werden die Positionen gelöscht.

Wenn du keinen Standort teilen möchtest, nimm einfach den Code.

6. Wer die Daten sieht

Ein Betrieb sieht von einer Bewerberin Vorname und den ersten Buchstaben des Nachnamens, Qualifikationen, Sprachen, Erfahrung, Bewertungen, den Zuverlässigkeitswert sowie, falls hochgeladen, Profilfoto und Vorstellungsvideo. Ob die Person volljährig ist, wird angezeigt, das genaue Alter nicht.

Vollständiger Name und Telefonnummer werden erst übermittelt, wenn ein Einsatz fix zugesagt ist. Dann benötigt sie der Betrieb für die Anmeldung bei der ÖGK und den Kontakt am Einsatztag.

Ausweis, Aufenthaltstitel und die unterschriebene Einverständniserklärung sieht ausschließlich unsere Verifizierungsstelle, niemals ein Betrieb. Sie werden nicht über öffentlich erreichbare Adressen ausgeliefert und automatisch gelöscht (siehe Abschnitt 8). Zeugnisse und Urkunden sehen du und unsere Verifizierungsstelle.

7. Was wir nicht erheben

Gastrokraft erhebt keine Angaben zu ethnischer Zugehörigkeit, Religion, Weltanschauung, Gesundheit, sexueller Orientierung, Familienstand oder Kindern. Solche Merkmale sind besondere Kategorien nach Art. 9 DSGVO und für die Vermittlung einer Gastronomieschicht nicht erforderlich. Die freiwillige Angabe zum Geschlecht ist für Betriebe kein Suchkriterium.

8. Speicherdauer

Ausweis, Aufenthaltstitel und unterschriebene Einverständniserklärung: 30 Tage nach Abschluss der Prüfung, ohne Prüfung 30 Tage nach dem Hochladen
Zeugnisse und Urkunden, Profilfoto und Vorstellungsvideo: bis du sie löschst, spätestens bis zur Löschung des Kontos
Standort beim Check-in und Check-out: bis zur Löschung des Kontos
Sitzungen: 30 Tage ab letzter Nutzung
Anmeldeversuche: 90 Tage
IP-Adressen im Protokoll: 90 Tage
Links aus E-Mails: 30 Tage nach Ablauf oder Verwendung
Profil- und Bewerbungsdaten: bis zur Löschung des Kontos
Push-Adressen: bis du Mitteilungen ausschaltest oder der Browser sie ungültig macht
Abgerechnete Einsätze: 7 Jahre in anonymisierter Form (Buchhaltungspflicht)

9. Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Auskunft und Datenexport stehen im Profil als Selbstbedienung zur Verfügung, die Kontolöschung ebenfalls. Beschwerden richtest du an die österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien.

10. Cookies

Gastrokraft setzt ein einziges Cookie: die Sitzungskennung, die dich angemeldet hält. Es ist technisch notwendig und daher nicht einwilligungspflichtig. Es gibt kein Tracking, keine Werbenetzwerke und keine Analysedienste Dritter. Auch die Fotos auf der Startseite liefert unser eigener Server aus, dein Browser lädt nichts von fremden Bilddiensten.

11. Auftragsverarbeiter

Für den Betrieb setzen wir folgende Dienstleister ein. Mit allen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Vercel Inc., USA: Hosting der Anwendung und Speicherung hochgeladener Dokumente. Rechenzentrum in Frankfurt am Main.
Neon Inc., USA: Datenbank. Rechenzentrum in Frankfurt am Main.
Sendinblue SAS (Brevo), Frankreich: Versand von E-Mails.
Google Ireland Limited (Google Workspace), Irland: E-Mail-Postfach, zum Beispiel für Anfragen an office@gastrokraft.com.
internex GmbH, Österreich: Domain und Namensauflösung.

Die Anwendungsdaten liegen in der EU. Weil Vercel, Neon und die Muttergesellschaft von Google ihren Sitz in den USA haben, ist ein Zugriff aus den USA nicht ausgeschlossen. Grundlage dafür sind das EU-US Data Privacy Framework beziehungsweise die Standardvertragsklauseln der EU-Kommission.

Wenn du Mitteilungen auf deinem Gerät einschaltest, werden sie über den Push-Dienst deines Browsers zugestellt, etwa von Google, Apple oder Mozilla. Der Inhalt ist dabei verschlüsselt.