1. Verantwortlicher

Verantwortlich für die Datenverarbeitung in der App Taskey ist:

Fynn-Luca Schulz
Schulz & Stosse GbR
In der Acht 44
66333 Völklingen
E-Mail: info@taskeyapp.com
Telefon: 015168488999

Kontakt für Datenschutzanfragen und Kontolöschung: info@taskeyapp.com

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Android- und die iOS-Version der mobilen Anwendung Taskey (nachfolgend die App), die im Google Play Store, im Apple App Store und über weitere Vertriebskanäle bereitgestellt wird. Abweichungen zwischen den Versionen sind jeweils gekennzeichnet. In der iOS-Version sind zusätzlich Firebase Analytics for Apps (Google Analytics for Firebase, SDK GoogleAppMeasurement) und Google Ads On-Device Conversion Measurement enthalten (siehe Abschnitt 5). Für die Verarbeitung personenbezogener Daten beim Besuch der Website taskeyapp.com gilt die separate Website-Datenschutzerklärung unter taskeyapp.com/datenschutz.

3. Welche Daten die App erhebt

Die App erhebt und verarbeitet die folgenden Kategorien personenbezogener Daten. Die Aufzählung ist abschließend.

3.1 Kontodaten

Bei der Anmeldung an einem bestehenden Taskey-Konto werden verarbeitet: Vor- und Nachname, geschäftliche E-Mail-Adresse, Passwort (gespeichert ausschließlich als kryptografischer Hash), Rolle innerhalb der Organisation, Zuordnung zum beauftragenden Unternehmen. Die Kontodaten werden auf dem Taskey-Backend gespeichert, das die Schulz & Stosse GbR innerhalb der Europäischen Union betreibt.

3.2 Standortdaten (ungefährer und genauer Standort)

Für die Vor-Ort-Verifikation bei der digitalen Zeiterfassung und für die Anzeige naher Einsatzorte greift die App auf den ungefähren und den genauen Standort des Geräts zu (Android-Berechtigungen ACCESS_COARSE_LOCATION und ACCESS_FINE_LOCATION). Der Standortzugriff erfolgt ausschließlich innerhalb einer aktiven Nutzerhandlung (Ein- oder Ausstempeln, Kartenansicht, Fahrtdokumentation) und erst, nachdem die Nutzerin oder der Nutzer die Systemberechtigung erteilt hat. Die Standortkoordinaten werden zusammen mit dem Zeit- oder Aktionseintrag an das Taskey-Backend übertragen und dort dem Eintrag zugeordnet. Ein permanentes Hintergrund-Tracking findet nicht statt.

3.3 Kamera

Die App nutzt den Kamerazugriff (Berechtigung CAMERA) ausschließlich zum Scannen von QR-Codes an Einsatzorten und auf Aufträgen. Die Bildverarbeitung erfolgt vollständig lokal auf dem Gerät (Google ML Kit Barcode Scanning, on-device). Kamerabilder werden weder gespeichert noch an das Taskey-Backend oder an Dritte übertragen. Es werden ausschließlich die aus dem QR-Code ausgelesenen Zeichenketten (etwa Objekt- oder Auftragskennungen) übernommen.

3.4 NFC

Die App nutzt die NFC-Schnittstelle zum Auslesen der NFC-Tags, die an Einsatzorten angebracht sind. Die Tags werden für das Ein- und Ausstempeln bei der digitalen Zeiterfassung eingesetzt. Die aus dem Tag ausgelesene Kennung wird zusammen mit dem Zeitstempel an das Taskey-Backend übertragen und dem Zeiteintrag zugeordnet. In technischen Diagnoseprotokollen (Abschnitt 3.7) wird die Tag-Kennung nicht im Klartext, sondern nur als gekürzter Hashwert gespeichert.

3.5 Push-Benachrichtigungen

Für die Zustellung funktionaler Push-Benachrichtigungen (Auftragszuweisungen, Terminänderungen, Freigaben, Chatnachrichten) verwendet die App Firebase Cloud Messaging (FCM) der Google Ireland Limited. Beim ersten Start wird für das Gerät ein pseudonymer FCM-Registrierungs-Token ausgestellt. Dieser Token wird an das Taskey-Backend übermittelt und dort dem Benutzerkonto zugeordnet, ausschließlich zum Zweck der Zustellung von Benachrichtigungen. Die Systemberechtigung POST_NOTIFICATIONS lässt sich in den Geräteeinstellungen jederzeit widerrufen.

3.6 In-App-Aktivität, Auftrags- und Zeitdaten

Bei der Nutzung der App werden die folgenden funktionalen Daten verarbeitet und auf dem Taskey-Backend gespeichert: Zeiteinträge (Beginn, Ende, Pause, Einsatzort, Kennung des NFC-Tags, sofern verwendet), Auftrags- und Aufgabendaten (Titel, Beschreibung, Status, Zuweisung, Dateianhänge), Kunden-, Objekt- und Fahrzeugdaten aus dem Bestand des jeweiligen Unternehmens, Chatnachrichten zwischen Mitgliedern derselben Organisation sowie vom Anwender hochgeladene Dateien wie Dokumentationsfotos, Nachweise und Unterschriften.

3.7 Geräte-, Diagnose- und Fehlerinformationen

Zur Betriebssicherheit, zur Fehlerbehebung und für den technischen Support verarbeitet die App die folgenden technischen Daten: (a) Serverlogs: Bei jeder Anfrage an das Taskey-Backend werden IP-Adresse, Zeitstempel, aufgerufener API-Endpunkt, HTTP-Statuscode, App-Version, Betriebssystemversion und Gerätemodell temporär gespeichert und nach 30 Tagen gelöscht. (b) Gerätebericht: Nach der Anmeldung meldet die App dem Taskey-Backend Informationen über das verwendete Gerät, damit der Taskey-Support Probleme nachvollziehen kann (etwa wenn ein NFC-Scan nicht funktioniert). Übermittelt werden: eine von der App zufällig erzeugte Installationskennung, Plattform, Hersteller, Gerätemodell, Gerätename, Betriebssystemversion, App-Version, App-Sprache, Zeitzone, Push-Token, Netzwerkart (WLAN, Mobilfunk oder keine Verbindung), freier Speicherplatz sowie der Status von App-Berechtigungen und Geräteeinstellungen (NFC verfügbar bzw. eingeschaltet, Standortfreigabe genau, ungefähr und im Hintergrund, Ortungsdienste, Kamera, Benachrichtigungen, Energiesparmodus, Datensparmodus; unter Android zusätzlich die Akku-Optimierung, unter iOS zusätzlich Hintergrundaktualisierung und Live-Aktivitäten). Änderungen dieser Einstellungen werden mit Zeitpunkt protokolliert. Der Bericht wird beim Start, bei Rückkehr in die App und bei Änderungen gesendet, sonst höchstens alle 30 Minuten. Standortkoordinaten sind nicht Teil des Geräteberichts. (c) Diagnoseprotokolle und Absturzberichte über PostHog: Die App sendet technische Ereignisprotokolle an PostHog (EU-Cloud), zum Beispiel: NFC-Lesevorgang gestartet, Tag erkannt oder unbekannt, Zeitüberschreitung oder Lesefehler; Ergebnis von Check-in- und Check-out-Anfragen mit HTTP-Status und Dauer; Status der Offline-Synchronisierung und von Foto-Uploads; erfolgreiche oder fehlgeschlagene Anmeldung (ohne Benutzernamen); Netzwerkfehler mit dem aufgerufenen Pfad ohne Kennungen; Bildschirmwechsel innerhalb der App; Änderungen von Berechtigungen sowie Absturzberichte mit Stack-Trace. Die Ereignisse sind mit der internen Taskey-Benutzerkennung, der Rolle, der Kennung des Unternehmens und der App-Sprache verknüpft. Nicht erhoben werden Namen, E-Mail-Adressen, Passwörter, Inhalte von Notizen, Nachrichten oder Fotos sowie Standortkoordinaten; IP-Adressen werden von PostHog anonymisiert. Eine Bildschirmaufzeichnung (Session Replay) findet nicht statt. (d) Absturz- und Fehlerberichte über Sentry: Zusätzlich werden App-Abstürze mit Stack-Trace und technischen Metadaten an eine von uns selbst betriebene Sentry-Instanz auf Servern in Deutschland übermittelt. Die Daten aus (b) bis (d) dienen ausschließlich der Fehleranalyse und dem technischen Support. Sie sind nur für den Support der Schulz & Stosse GbR einsehbar und werden nicht zur Leistungs- oder Verhaltenskontrolle von Mitarbeitenden ausgewertet oder an das beauftragende Unternehmen zu diesem Zweck weitergegeben.

3.8 Zahlungsdaten

Die App selbst verarbeitet keine Zahlungsdaten. Kostenpflichtige Nutzung erfolgt ausschließlich auf Basis eines Vertrags zwischen dem beauftragenden Unternehmen und der Schulz & Stosse GbR außerhalb der App. In der App wird keine Kreditkarten-, Konto- oder Rechnungsinformation erhoben.

4. Zwecke und Rechtsgrundlagen

Die Verarbeitung erfolgt zu den nachfolgend genannten Zwecken und auf den nachfolgend genannten Rechtsgrundlagen der DSGVO.

Bereitstellung des Nutzerkontos und der App-Funktionen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem beauftragenden Unternehmen und den Nutzenden)
Digitale Zeiterfassung, Auftrags- und Objektdokumentation: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Arbeitgebers an nachweisbarer Leistungserfassung)
Verifikation des Einsatzortes über Standort, NFC und QR-Code: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit dem Arbeitsverhältnis des Nutzers zum beauftragenden Unternehmen
Push-Benachrichtigungen über Firebase Cloud Messaging: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung)
Serverlogs zur Betriebssicherheit und Fehleranalyse: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb)
Gerätebericht, Diagnoseprotokolle und Absturzberichte für Fehleranalyse und technischen Support (PostHog, Sentry): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen, fehlerfreien App und an wirksamem Support)
Speicherung des Anmelde-Tokens im verschlüsselten Gerätespeicher: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 32 DSGVO

5. Empfänger und eingesetzte Dienste (SDKs)

Die App bindet die folgenden Dienste und Bibliotheken ein. Weitere Empfänger personenbezogener Daten sind nicht vorgesehen.

Google Ireland Limited (Firebase Cloud Messaging)

Empfängt den FCM-Registrierungs-Token des Geräts und liefert Push-Benachrichtigungen aus. Übertragene Daten: FCM-Token, Instanz-ID, Zeitpunkt der Zustellung.

https://policies.google.com/privacy

Google Ireland Limited (Google Play Services Location)

Stellt den vom Betriebssystem ermittelten Standort des Geräts über die Systemschnittstelle bereit, wenn die App eine standortbasierte Funktion aktiv nutzt.

https://policies.google.com/privacy

Google Ireland Limited (Google ML Kit Barcode Scanning)

Verarbeitet Kamerabilder zur QR-Code-Erkennung ausschließlich lokal auf dem Gerät (on-device). Es findet keine Übertragung von Bildern oder erkannten Inhalten an Google statt.

https://developers.google.com/ml-kit/terms

OpenStreetMap Foundation (via OSMDroid-Bibliothek)

Liefert Kartenkacheln zur Anzeige von Einsatzorten. Beim Laden von Kartenkacheln wird die IP-Adresse des Geräts an die OpenStreetMap-Kachelserver übertragen.

https://osmfoundation.org/wiki/Privacy_Policy

Apple Inc. — Apple Push Notification service (nur iOS)

Empfängt den APNs-Device-Token des iOS-Geräts und leitet Push-Nachrichten an das Gerät aus. Der Token wird an Firebase Cloud Messaging weitergegeben.

https://www.apple.com/legal/privacy/

PostHog Inc. — Diagnoseprotokolle und Fehler-Tracking (EU-Cloud)

Verarbeitet im Auftrag der Schulz & Stosse GbR die in Abschnitt 3.7 (c) beschriebenen Diagnoseprotokolle und Absturzberichte. Die Daten werden in der PostHog EU Cloud mit Serverstandort Frankfurt am Main gespeichert. IP-Adressen werden anonymisiert, Bildschirmaufzeichnungen sind deaktiviert. Ein Zugriff des US-Mutterunternehmens ist nicht ausgeschlossen; hierfür bestehen Standardvertragsklauseln der Europäischen Kommission.

https://posthog.com/privacy

Sentry (selbst betrieben) — Absturzberichte

Erfasst App-Abstürze und Fehler mit Stack-Trace und technischen Metadaten. Die Sentry-Instanz wird von uns selbst auf Servern der IONOS SE in Deutschland betrieben; eine Übermittlung an die Sentry-Herstellerfirma findet nicht statt.

Google Ireland Limited — Firebase Analytics for Apps (nur iOS)

Erfasst Nutzungsereignisse (Bildschirmaufrufe, App-Öffnungen, Interaktionen) mit pseudonymer Instanz-ID. Diese SDK ist im Hinblick auf ihre Notwendigkeit im Beschäftigtenkontext in Prüfung.

https://firebase.google.com/support/privacy

Google Ireland Limited — Google Ads On-Device Conversion Measurement (nur iOS)

Zuordnung von App-Installationen zu Marketing-Kampagnen (Conversion-Attribution). Diese SDK ist im Hinblick auf ihre Notwendigkeit im Beschäftigtenkontext in Prüfung.

https://policies.google.com/privacy

Taskey-Backend (Schulz & Stosse GbR)

Speichert die Konto-, Zeiterfassungs-, Auftrags-, Objekt- und Chatdaten sowie den Gerätebericht nach Abschnitt 3.7 (b). Der Serverbetrieb erfolgt in Deutschland (IONOS SE). Eine Datenverarbeitung außerhalb des EWR findet hierbei nicht statt.

Personenbezogene Daten werden weder verkauft noch zu Werbezwecken genutzt, und es findet keine app-übergreifende Nachverfolgung (Tracking im Sinne der App Tracking Transparency) statt. Beide App-Versionen setzen PostHog ausschließlich für Diagnoseprotokolle und Fehler-Tracking ein. Die iOS-Version enthält zusätzlich zwei Google-SDKs (in der obigen Empfänger-Liste gesondert ausgewiesen): Firebase Analytics for Apps (GoogleAppMeasurement) sowie Google Ads On-Device Conversion Measurement. Diese SDKs werden derzeit im Hinblick auf ihre Notwendigkeit im Beschäftigtenkontext geprüft; wo eine belastbare Rechtsgrundlage im Verhältnis zum Arbeitgeber fehlt, sollen die Funktionen deaktiviert oder ausgebaut werden. Die vollständige Liste der Auftragsverarbeiter steht unter taskeyapp.com/legal/avv.html.

6. Datensicherheit

Die Kommunikation zwischen App und Backend erfolgt ausschließlich über TLS-verschlüsselte HTTPS-Verbindungen. Passwörter werden im Backend ausschließlich als kryptografischer Hash gespeichert. Auf dem Gerät verwendet die App den verschlüsselten Android-Sicherheitsspeicher (AndroidX Security EncryptedSharedPreferences) für die Ablage des Anmelde-Tokens. Der Zugriff auf das Backend ist durch rollen- und mandantenbasierte Berechtigungen abgesichert.

7. Speicherdauer

Kontodaten sowie Auftrags-, Objekt- und Zeitdaten werden gespeichert, solange das Nutzerkonto und der zugehörige Vertrag des beauftragenden Unternehmens aktiv sind. Serverlogs werden nach 30 Tagen automatisch gelöscht. Geräteberichte werden 90 Tage nach der letzten Meldung des Geräts gelöscht, protokollierte Änderungen von Berechtigungen nach 90 Tagen. Diagnoseprotokolle und Absturzberichte werden gelöscht, sobald sie für die Fehleranalyse nicht mehr erforderlich sind, sowie auf Anfrage. Nach der Löschung des Kontos werden personenbezogene Daten innerhalb von 30 Tagen aus den produktiven Systemen entfernt. Ausgenommen sind Daten, für die gesetzliche Aufbewahrungspflichten bestehen (etwa nach Handelsgesetzbuch und Abgabenordnung); diese Daten werden gesperrt und nach Ablauf der Frist gelöscht.

8. Kontolöschung und Datenlöschung

Nutzerinnen und Nutzer können die Löschung ihres Kontos und der zugeordneten personenbezogenen Daten jederzeit anfordern.

E-Mail mit dem Betreff „Kontolöschung Taskey“ an info@taskeyapp.com senden.
Die Anfrage muss die im Konto hinterlegte E-Mail-Adresse enthalten, damit die Zuordnung erfolgen kann.
Nach Bestätigung erfolgt die Löschung innerhalb von 30 Tagen. Über den Abschluss der Löschung wird per E-Mail bestätigt.
Daten, für die gesetzliche Aufbewahrungspflichten bestehen, werden zunächst gesperrt und nach Ablauf der Frist gelöscht.

Öffentliche URL für die Kontolöschung (für die Angabe im Google Play Store): https://www.taskeyapp.com/datenschutz-app#kontoloeschung

9. Rechte der betroffenen Personen

Nach der DSGVO stehen betroffenen Personen die folgenden Rechte zu. Anfragen können jederzeit an info@taskeyapp.com gerichtet werden.

Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung der Daten (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

10. Kinder

Die App richtet sich ausschließlich an gewerbliche Anwenderinnen und Anwender im Rahmen eines Arbeits- oder Auftragsverhältnisses und ist nicht für Personen unter 16 Jahren bestimmt. Es findet keine wissentliche Verarbeitung von Daten von Kindern statt.

11. Internationale Datenübermittlung

Die Speicherung der Nutzerdaten im Taskey-Backend erfolgt in Deutschland. Diagnoseprotokolle werden in der PostHog EU Cloud (Frankfurt am Main) gespeichert; da PostHog Inc. ein US-Unternehmen ist, kann ein Zugriff aus den USA nicht ausgeschlossen werden. Firebase Cloud Messaging und die Google Play Services werden über die Google Ireland Limited bereitgestellt; Google verarbeitet Betriebsdaten weltweit. Für Datenübermittlungen in Drittländer stützen sich PostHog und Google auf die Standardvertragsklauseln der Europäischen Kommission bzw. das EU-US Data Privacy Framework.

12. Automatisierte Entscheidungen

Die App trifft keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO. Es findet kein Profiling zur Bewertung von Nutzerinnen und Nutzern statt.

13. Zusammenfassung der Google-Play-Data-Safety-Angaben

Die folgende Übersicht spiegelt die Angaben wider, die im Google-Play-Data-Safety-Formular deklariert werden.

Erhobene Datentypen: persönliche Daten (Name, E-Mail), Standort (ungefähr und genau), App-Aktivität (Nutzeraktionen in der App), App-Informationen und Leistung (Absturzprotokolle, Diagnosedaten), Geräte- und andere IDs (Installationskennung, FCM-Registrierungs-Token), Dateien und Dokumente (vom Nutzer hochgeladene Nachweise).
Datenverwendung: App-Funktionalität, Kontoverwaltung, digitale Zeiterfassung, Nachrichtenversand, Fehleranalyse und technischer Support. Keine Werbung, kein Verkauf, keine app-übergreifende Nachverfolgung.
Datenweitergabe an Dritte: Google (Firebase Cloud Messaging, Play Services Location) und OpenStreetMap Foundation (Kartenkacheln). PostHog verarbeitet Diagnosedaten als Auftragsverarbeiter. Kein Verkauf, keine Werbung.
Datensicherheit: Übertragung ausschließlich über TLS, Passwörter als Hash gespeichert, Anmelde-Token auf dem Gerät verschlüsselt abgelegt.
Datenlöschung: Konto- und Datenlöschung auf Anfrage per E-Mail an info@taskeyapp.com innerhalb von 30 Tagen.

14. Änderungen dieser App-Datenschutzerklärung

Diese Erklärung wird angepasst, wenn sich die technische Umsetzung der App, die eingesetzten Dienste oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung ist unter taskeyapp.com/datenschutz-app abrufbar.

Stand: 25. Oktober 2026