Datenschutzerklärung
Stand: September 2026
1. Verantwortlicher
Verantwortlich für die auf dieser Website und in der Anwendung beschriebenen Verarbeitungen ist:
Kretz Intelligence UG (haftungsbeschränkt)vertreten durch Kevin Kretz
Ulmenweg 8
69254 Malsch
kevin@kretz.ai
Vollständige Anbieterangaben im Impressum. Einen Datenschutzbeauftragten haben wir nicht bestellt; die Voraussetzungen des §38 BDSG liegen nicht vor.
2. Zwei Rollen, zwei Verantwortlichkeiten
Für das Verständnis dieses Textes ist eine Unterscheidung wichtig, weil sie darüber entscheidet, wer für welche Daten einzustehen hat:
- Für Besuch und Konto sind wir Verantwortlicher. Wenn Sie unsere Seiten aufrufen oder sich registrieren, entscheiden wir über Zwecke und Mittel der Verarbeitung. Das sind die Abschnitte 3 bis 6 und 9 bis 11.
- Für die Daten Ihres Teams sind wir Auftragsverarbeiter. Namen, Qualifikationen, Arbeitszeiten und Präferenzen Ihrer Mitarbeitenden tragen Sie ein; verantwortlich dafür bleiben Sie. Siehe Abschnitt 7.
3. Aufruf der Website
Hosting: Vercel
Die Website und die Anwendung werden bei der Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, betrieben. Beim Aufruf verarbeitet Vercel technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Referrer und Angaben zu Browser und Betriebssystem. Ohne diese Daten lässt sich eine Seite nicht ausliefern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am technisch fehlerfreien und sicheren Betrieb. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln; Vercel ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert.
Schriftarten auf den Landingpages
Unsere beiden Landingpages laden die Schriftarten „Instrument Serif“ und „DM Sans“ beim Aufruf von Google Fonts (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei wird Ihre IP-Adresse an Google übertragen. In der Anwendung selbst sowie auf dieser Seite und im Impressum werden dieselben Schriften lokal von unserem Server ausgeliefert; dort entsteht keine Verbindung zu Google.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — einheitliche Darstellung des Angebots.
Missbrauchsschutz: Firebase App Check mit reCAPTCHA
Damit unsere Serverfunktionen nicht von fremden Skripten benutzt werden können, weist die Anwendung sich bei jeder Anfrage über Firebase App Check aus. Dafür lädt Ihr Browser auf allen Seiten der Anwendung — auch auf dieser — Google reCAPTCHA (Google Ireland Limited). Google verarbeitet dabei Ihre IP-Adresse, Angaben zu Browser und Endgerät sowie Ihr Verhalten auf der Seite, um automatisierte von menschlichen Zugriffen zu unterscheiden, und legt dazu Informationen auf Ihrem Endgerät ab. Die Prüfung läuft unsichtbar; ein Bilderrätsel bekommen Sie nicht zu sehen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Abwehr missbräuchlicher Zugriffe. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln.
Firebase Installations
Das Firebase-SDK vergibt Ihrem Browser eine zufällige Installations-Kennung und ruft damit die Konfiguration unseres Projekts ab. Die Kennung bezeichnet die Installation, nicht Sie persönlich; weil sie sich über mehrere Aufrufe hinweg gleich bleibt, nennen wir sie hier trotzdem.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — Betrieb des Dienstes.
Google Analytics für Firebase
Dasselbe SDK initialisiert außerdem Google Analytics und lädt dazu ein Skript von googletagmanager.com. In unserer Konfiguration ist keine Mess-ID hinterlegt, es werden also keine Nutzungsstatistiken erhoben oder ausgewertet. Der Verbindungsaufbau zu Google findet dennoch statt, und dabei wird Ihre IP-Adresse übertragen — deshalb steht es hier.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und §25 Abs. 1 TDDDG — Einwilligung.
4. Registrierung und Anmeldung
Firebase Authentication
Konten werden über Firebase Authentication der Google Ireland Limited verwaltet. Verarbeitet werden Ihre E-Mail-Adresse, ein Passwort-Hash (das Passwort im Klartext erreicht uns nie), Zeitpunkte von Registrierung und letzter Anmeldung sowie die IP-Adresse der Anmeldung zur Missbrauchserkennung. Zur Bestätigung Ihrer Adresse versenden wir eine E-Mail mit einem Bestätigungslink.
Für die Anmeldesitzung speichert Firebase ein Zugriffstoken im lokalen Speicher Ihres Browsers. Das ist technisch notwendig — ohne es wären Sie bei jedem Seitenwechsel abgemeldet — und daher nach §25 Abs. 2 Nr. 2 TDDDG nicht einwilligungspflichtig.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Durchführung des Nutzungsverhältnisses.
Zusätzlich speichern wir zu Ihrem Konto Vor- und Nachname, sofern Sie ihn angeben, die im Einrichtungsdialog gewählte Branche und den Zeitpunkt, zu dem Sie die Einrichtung abgeschlossen haben. Die Branche brauchen wir, um Ihnen sinnvolle Vorlagen anzubieten, und werten sie außerdem statistisch aus (Abschnitt 9).
5. Speicherorte
Ihre Konto- und Anwendungsdaten liegen in der Google-Cloud-Region europe-west3 (Frankfurt am Main). Dort laufen sowohl die Datenbank (Cloud SQL für PostgreSQL über Firebase Data Connect) als auch die Serverfunktionen, die Ihre Anfragen verarbeiten. Eine Ausnahme gilt für die KI-Funktionen; siehe Abschnitt 8.
6. Kontakt und Terminbuchung
Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage der Vertragsdurchführung dient, sonst Art. 6 Abs. 1 lit. f DSGVO.
Calendly
Auf unserer Startseite können Sie über „Demo buchen“ einen Termin vereinbaren. Dafür binden wir ein Widget der Calendly LLC, 271 17th St NW, Atlanta, GA 30363, USA ein. Es wird bereits beim Aufruf der Seite geladen, nicht erst beim Klick, und überträgt dabei Ihre IP-Adresse an Calendly. Buchen Sie tatsächlich einen Termin, verarbeitet Calendly zusätzlich die Angaben aus dem Buchungsformular — Name, E-Mail-Adresse und den gewählten Zeitpunkt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO — Anbahnung und Durchführung des Gesprächs. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln.
7. Daten Ihres Teams (Auftragsverarbeitung)
In ShiftBird tragen Sie Daten über andere Menschen ein: Namen Ihrer Mitarbeitenden, deren Qualifikationen und Nachweise samt Gültigkeitszeit räumen, Einsatzorte, wöchentliche Höchstarbeitszeit, Präferenzen und die daraus entstehenden Schichtzuweisungen. Für diese Daten sind Sie der Verantwortliche im Sinne der DSGVO; wir verarbeiten sie ausschließlich weisungsgebunden für Sie.
Wir nutzen diese Daten nicht für eigene Zwecke, geben sie nicht weiter und werten sie nicht aus. Der Zugriff ist zeilenweise auf das Konto beschränkt, das die Daten angelegt hat. Einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO stellen wir Ihnen auf Anfrage unter kevin@kretz.ai zur Verfügung; er ist Voraussetzung dafür, dass Sie echte Personendaten eintragen dürfen.
Bitte tragen Sie nur ein, was für die Planung nötig ist. Angaben zur Gesundheit, zur Gewerkschaftszugehörigkeit oder zur Religion gehören nicht in ein Freitextfeld — sie sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, und ShiftBird ist dafür nicht ausgelegt. Ein Ausfall lässt sich als Zeitraum eintragen, ohne seinen Grund zu nennen.
8. KI-Assistent und Spracheingabe
Google Vertex AI (Gemini)
Der Assistent übersetzt Ihre Anweisungen in Planungsregeln. Dafür senden wir den Text Ihrer Nachricht, den bisherigen Verlauf des Gesprächs und den für die Anfrage nötigen Ausschnitt Ihrer Planungsdaten — typischerweise Namen, Qualifikationen und Schichten der betroffenen Woche — an Google Vertex AI (Google Ireland Limited bzw. Google LLC). Die Verarbeitung ist dort nicht auf die EU beschränkt und kann in Drittländern stattfinden.
Nutzen Sie die Spracheingabe, wird die Aufnahme im Browser in ein 16-kHz-Mono-WAV umgewandelt und zur Transkription an denselben Dienst gesendet. Die Aufnahme wird von uns weder gespeichert noch protokolliert; sie besteht nur für die Dauer dieser einen Anfrage. Weiter verarbeitet wird ausschließlich der erkannte Text.
Auch der Gesprächsverlauf wird von uns nicht gespeichert: er lebt im Browser-Tab und wird bei jeder Anfrage mitgeschickt. Schließen Sie den Tab, ist er weg. Google verwendet Eingaben aus Vertex AI nach den Zusicherungen im Google-Cloud-Vertrag nicht zum Training seiner Modelle.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Funktion ist Bestandteil des Dienstes; bei Daten Ihres Teams handeln wir insoweit als Auftragsverarbeiter (Abschnitt 7). Drittlandübermittlung auf Grundlage der EU-Standardvertragsklauseln.
Die eigentliche Schichtplanung berechnet ein Optimierungsverfahren auf unseren Servern in Frankfurt, nicht das Sprachmodell. Sein Ergebnis ist ein Vorschlag: kein Plan wird ohne Ihre Bestätigung wirksam, und es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.
9. Herkunft von Registrierungen
Wir befinden uns in einer Validierungsphase und müssen wissen, welche Anzeige welche Art von Betrieb erreicht. Ruft jemand unsere Seite über einen Werbelink auf, speichern wir die Kampagnenparameter der Adresse (utm_source, utm_medium, utm_campaign, utm_content, utm_term), die Klick-Kennung der Werbeplattform, die zuerst aufgerufene Seite und die Herkunftsdomain im lokalen Speicher Ihres Browsers. Registrieren Sie sich, werden diese Angaben einmalig Ihrem Konto zugeordnet und im Browser gelöscht; registrieren Sie sich nicht, verfallen sie spätestens nach 30 Tagen, ohne dass sie uns je erreichen.
Gespeichert wird nur der erste Besuch, nicht jeder weitere. Von der Herkunftsadresse behalten wir ausschließlich die Domain, nicht die vollständige Adresse — eine Suchanfrage, die Sie zu uns geführt hat, erfahren wir also nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und §25 Abs. 1 TDDDG — Einwilligung. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den lokalen Speicher dieser Website in Ihrem Browser löschen.
10. Meta-Pixel
Meta Platforms Ireland Limited
Sofern für die aufgerufene Umgebung eine Pixel-ID hinterlegt ist, binden wir den Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland ein. Er meldet den Seitenaufruf sowie eine erfolgreiche Registrierung an Meta, damit wir sehen, welche Anzeige wirkt. Übertragen werden dabei Ihre IP-Adresse, Angaben zu Browser und Endgerät sowie die Kennung Ihres Meta-Kontos, falls Sie eingeloggt sind. In lokalen Entwicklungs- und Demo-Umgebungen ist keine Pixel-ID hinterlegt; dort wird nichts geladen und nichts gesendet.
Für die Erhebung und Übermittlung sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO; die weitere Verarbeitung durch Meta liegt allein in deren Verantwortung. Eine Übermittlung in die USA lässt sich dabei nicht ausschließen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und §25 Abs. 1 TDDDG — Einwilligung, jederzeit mit Wirkung für die Zukunft widerrufbar.
11. Speicherdauer
- Konto- und Planungsdaten bleiben, solange Ihr Konto besteht, und werden nach dessen Löschung entfernt.
- Herkunftsangaben im Browser: 30 Tage oder bis zur Registrierung.
- Server-Protokolle unseres Hosters: wenige Tage, zur Fehlersuche und Angriffserkennung.
- Support-Korrespondenz: bis die Anfrage erledigt ist, längstens im Rahmen gesetzlicher Aufbewahrungsfristen.
12. Ihre Rechte
Ihnen stehen gegenüber uns die folgenden Rechte zu:
- Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO)
- Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Eine Nachricht an kevin@kretz.ai genügt. Betrifft Ihr Anliegen Daten, die ein Arbeitgeber über Sie in ShiftBird eingetragen hat, wenden Sie sich bitte an diesen — wir sind dort nur Auftragsverarbeiter und dürfen die Daten nicht eigenständig herausgeben oder ändern, leiten Ihr Anliegen aber unverzüglich weiter.
13. Beschwerderecht
Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa der Behörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes (Art. 77 DSGVO). Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
14. Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich die beschriebenen Verarbeitungen ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung; das Datum am Anfang der Seite zeigt ihren Stand.