Datenschutzerklärung

§ 1

Verantwortlicher und Rollen

Erik Bremer · Rapido

📍 Christophorusstraße 41, 51469 Bergisch Gladbach

Rapido als Verantwortlicher

Für das Vertragsverhältnis mit dem Betrieb ist Rapido Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Das betrifft die Registrierung des Betriebs, die Kontaktdaten des Inhabers, die Abwicklung des Vertrags und den technischen Betrieb des Dienstes.

Rapido als Auftragsverarbeiter

Für die Arbeitszeitdaten der Mitarbeiter ist der jeweilige Betrieb (Arbeitgeber) Verantwortlicher – er entscheidet, dass Arbeitszeiten erfasst werden, zu welchem Zweck und wie lange. Rapido verarbeitet diese Daten ausschließlich in seinem Auftrag und nach seinen Weisungen und ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO. Grundlage dafür ist ein Auftragsverarbeitungsvertrag zwischen dem Betrieb und Rapido.

Was das für Mitarbeiter bedeutet: Auskunft, Berichtigung, Löschung und Widerspruch zu deinen Arbeitszeitdaten richtest du an deinen Arbeitgeber – er ist dafür verantwortlich. Rapido unterstützt ihn dabei und leitet Anfragen, die uns direkt erreichen, unverzüglich an ihn weiter. Auch die Information nach Art. 13 DSGVO über die Zeiterfassung im Betrieb schuldet dir dein Arbeitgeber.

Bei Fragen zur Verarbeitung durch Rapido selbst wende dich jederzeit an die oben genannte Adresse.

§ 2

Welche Daten wir verarbeiten

Betriebsinhaber (bei Registrierung)

Mobilfunknummer (WhatsApp-Identität, E.164-Format)
Betriebsname und Branche
Zeitpunkt und Nachweis der DSGVO-Einwilligung

Mitarbeiter (nach Einladung durch den Inhaber)

Name und Mobilfunknummer
Beschäftigungsart (Vollzeit / Teilzeit / Minijob)
Stundenlohn / Verdienstgrenze (optional, für Lohnabrechnung)
Zeitstempel aller Zeitbuchungen (Start, Ende, Pausen)
Abwesenheiten (Urlaub, Krankheit, Zeitausgleich, Sonderurlaub)
WhatsApp-Nachrichteninhalte (für die Dauer der Verarbeitung, danach anonymisiert)
Zeitpunkt und Nachweis der DSGVO-Einwilligung

Technische Daten

Server- und Fehlerprotokolle beim Hosting-Anbieter (IP-Adresse, Zeitstempel, HTTP-Statuscodes). Rapido selbst führt kein eigenes Zugriffsprotokoll; die Speicherdauer richtet sich nach der Aufbewahrung des Anbieters.
Meta-Nachrichten-IDs (zur Deduplizierung, kein Rückschluss auf Inhalt)

§ 3

Zwecke & Rechtsgrundlagen

Zeiterfassung der Mitarbeiter

Die Erfassung der Arbeitszeiten ist keine freiwillige Zusatzleistung: Arbeitgeber sind verpflichtet, Beginn, Ende und Dauer der Arbeitszeit aufzuzeichnen (§ 16 Abs. 2 ArbZG; Bundesarbeitsgericht, Beschluss vom 13.09.2022 – 1 ABR 22/21). Dazu kommen die steuer- und handelsrechtlichen Aufzeichnungspflichten. Der Betrieb erfüllt diese Pflichten mit Rapido; Rapido handelt dabei in seinem Auftrag.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 26 Abs. 1 BDSG (Verarbeitung für Zwecke des Beschäftigungsverhältnisses) sowie lit. b für das Vertragsverhältnis zwischen Betrieb und Rapido.

Warum hier keine Einwilligung steht: Auf eine Einwilligung wird die Zeiterfassung ausdrücklich nicht gestützt. Im Arbeitsverhältnis gilt eine Einwilligung wegen des Abhängigkeitsverhältnisses als nur eingeschränkt freiwillig (§ 26 Abs. 2 BDSG) – und sie wäre widersprüchlich: die Aufzeichnung der Arbeitszeit ist gesetzlich vorgeschrieben und könnte durch einen Widerruf nicht entfallen. Ein Recht, das man nicht ausüben kann, ist keines.

Nutzung der privaten Mobilnummer über WhatsApp

Etwas anderes gilt für den Weg: dass die Erfassung über WhatsApp auf dem privaten Handy und der privaten Mobilnummer läuft, kann niemandem vorgeschrieben werden. Dafür wird eine Einwilligung eingeholt, bevor ein Mitarbeiter Rapido nutzt. Sie ist jederzeit und ohne Angabe von Gründen widerrufbar – im Chat mit Stopp.

Nach einem Widerruf endet die Nutzung von WhatsApp und der privaten Nummer. Die gesetzliche Pflicht des Arbeitgebers zur Arbeitszeiterfassung besteht weiter; er muss dann einen anderen Weg anbieten (z. B. Papier oder ein Betriebsgerät). Der Widerruf darf keine Nachteile haben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), § 26 Abs. 2 BDSG.

Betriebsinhaber-Registrierung

Die Registrierung eines Betriebs per WhatsApp setzt eine aktive Einwilligung zur Datenverarbeitung voraus, die als erster Schritt des Onboarding-Dialogs eingeholt und mit Zeitstempel gespeichert wird.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), anschließend lit. b (Vertragserfüllung).

Aufbewahrung von Lohnunterlagen

Zeiterfassungsdaten und Lohndaten werden nach Beendigung des Beschäftigungsverhältnisses gemäß § 147 AO (6 Jahre) und § 257 HGB (6 Jahre) aufbewahrt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.

§ 4

Drittanbieter & Empfänger

Zur Erbringung des Dienstes setzen wir spezialisierte Auftragsverarbeiter ein, mit denen Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO geschlossen wurden oder werden. Personenbezogene Daten werden nur in dem Umfang weitergegeben, der für die jeweilige Funktion technisch notwendig ist.

Nachrichtenversand (WhatsApp Business API)

Die Kommunikation mit Inhabern und Mitarbeitern erfolgt über die WhatsApp Business Platform (Cloud API). Anbieter: Meta Platforms Ireland Ltd., Irland (EU) / Meta Platforms Inc., USA.
Hinweis zur Verschlüsselung: Im Gegensatz zu privatem WhatsApp werden Nachrichten über die Business API über Meta-Server geleitet und sind daher nicht Ende-zu-Ende-verschlüsselt. Nachrichten werden ausschließlich zur Erbringung des Dienstes verarbeitet und nicht für Werbezwecke genutzt.
Für die Übermittlung in die USA gilt Meta Platforms Inc. als nach dem EU-US Data Privacy Framework (DPF) zertifizierter Anbieter (Art. 45 DSGVO). Zusätzlich wurden Standardvertragsklauseln (SCCs, Art. 46 Abs. 2 lit. c DSGVO) vereinbart. Ein AVV gemäß Art. 28 DSGVO wurde mit Meta abgeschlossen.
Datenschutz: whatsapp.com/legal/privacy-policy

KI-gestützte Nachrichtenverarbeitung

Rapido setzt einen KI-Dienst eines US-amerikanischen Anbieters ein. Übermittelt werden:

Nachrichtentexte, wenn eine Buchungsabsicht nicht durch die regelbasierte Erkennung aufgelöst werden kann (z. B. freier Text statt „8-17 bei Müller").
Fotos, die Inhaber an Rapido senden – etwa von Baustellen oder von Stundenzetteln. Stundenzettel können Namen und Arbeitszeiten von Mitarbeitern enthalten.
Betriebsangaben für den Assistenten des Inhabers: Gewerk sowie eine Übersicht der Mitarbeiter mit Name und Beschäftigungsart (Vollzeit, Teilzeit, Minijob). Ohne diese Angaben könnte der Assistent Fragen zur Einsatzplanung nicht sinnvoll beantworten.
Gesprächsverlauf der Unterhaltung mit dem Assistenten. Ältere Teile werden zu einer Zusammenfassung verdichtet, damit der Verlauf nicht unbegrenzt wächst. Verlauf und Zusammenfassung werden bei Rapido gespeichert, um Rückfragen im Zusammenhang beantworten zu können.

Websuche: Für Fragen, die aktuelle Angaben brauchen (etwa Materialpreise oder geänderte Vorschriften), kann der Assistent eine Websuche auslösen. Dabei wird die Suchanfrage an einen Suchdienst übermittelt. Personenbezogene Daten werden dafür nicht absichtlich verwendet; formuliert ein Nutzer sie in seiner Frage, können sie Teil der Suchanfrage werden.

Nachrichteninhalte werden vom KI-Anbieter nicht zum Training von KI-Modellen genutzt und nur befristet zur Missbrauchserkennung vorgehalten. Ein Nutzerprofil zu Werbezwecken wird nicht erstellt.
Die Übermittlung in die USA erfolgt auf Basis von Standardvertragsklauseln (SCCs) gem. Art. 46 Abs. 2 lit. c DSGVO.
Rechtsgrundlage: Für die Erkennung von Buchungen aus Nachrichtentexten Art. 6 Abs. 1 lit. b und lit. c DSGVO (Vertragserfüllung, gesetzliche Aufzeichnungspflicht). Für den darüber hinausgehenden Assistenten des Inhabers (Fachfragen, Kalkulationen, Fotoauswertung, Websuche) Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer Arbeitshilfe für den Betrieb); dieser Teil ist eine Zusatzfunktion und kann auf Wunsch des Betriebs abgeschaltet werden.
Die konkrete Liste der eingesetzten Subprozessoren ist auf Anfrage erhältlich.

Serverhosting & Datenbankbetrieb

Betrieb der Anwendungsserver und der Datenbank erfolgt bei Cloud-Infrastrukturanbietern. Bei Anbietern mit Sitz außerhalb der EU erfolgt die Datenübermittlung auf Basis von SCCs. Alle Kundendaten werden in europäischen Rechenzentren gespeichert, soweit technisch verfügbar. Die konkrete Liste der eingesetzten Subprozessoren ist auf Anfrage erhältlich.

Zahlungsabwicklung (Stripe)

Für die Abrechnung des Abonnements setzen wir Stripe ein. Anbieter für Kundinnen und Kunden im EWR ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin, Irland; technisch beteiligt ist die Stripe, Inc., USA.

Bei dieser Verarbeitung sind wir der Verantwortliche – anders als bei den Arbeitszeitdaten, für die das Kundenunternehmen verantwortlich ist. Betroffen ist ausschließlich der Betriebsinhaber, nicht seine Mitarbeiter: Mitarbeiterdaten werden an Stripe nicht übermittelt.

Verarbeitet werden Name und E-Mail-Adresse, Rechnungsanschrift, Zahlungsmittel sowie Angaben zu Abonnement und Rechnungen. Zahlungsdaten wie Kartennummern gibt der Inhaber unmittelbar bei Stripe ein; wir sehen und speichern sie nicht. Bei uns gespeichert werden lediglich die Kunden- und Abonnement-Kennung von Stripe sowie der Abo-Status.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) sowie Art. 6 Abs. 1 lit. c DSGVO für die handels- und steuerrechtlichen Aufbewahrungspflichten. Für die Übermittlung in die USA ist die Stripe, Inc. nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Datenschutzerklärung von Stripe: stripe.com/de/privacy

Subprozessoren-Liste: Eine vollständige Liste aller eingesetzten Auftragsverarbeiter einschließlich Firmennamen und Sitz ist auf Anfrage per E-Mail erhältlich: [email protected]

Eine Weitergabe an sonstige Dritte oder zu Werbezwecken findet nicht statt.

§ 5

Speicherdauer & Löschung

Aktive Mitarbeiter

Daten werden für die Dauer des aktiven Beschäftigungsverhältnisses gespeichert.

Nach Kündigung / Löschung

Bei Löschung eines Mitarbeiters wird der Datensatz sofort für die weitere Nutzung gesperrt (Soft-Delete). Die gesetzliche Aufbewahrungsfrist von 6 Jahren beginnt mit Ende des Geschäftsjahres der letzten Buchung (§ 147 AO). Nach Ablauf dieser Frist erfolgt die vollständige, unwiderrufliche Löschung automatisch durch den GDPR-Cleanup-Job.

WhatsApp-Nachrichteninhalte

Nachrichteninhalte (Freitext) werden nach 90 Tagen automatisch anonymisiert. Der Buchungsdatensatz (Zeitstempel, Intent) bleibt für die Aufbewahrungspflicht erhalten.

Onboarding-Daten ohne Abschluss

Wenn ein Registrierungsvorgang nicht abgeschlossen wird, werden temporäre Sitzungsdaten nach 30 Tagen automatisch gelöscht.

Server-Logs

Technische Protokolle entstehen ausschließlich beim Hosting-Anbieter und werden nach dessen Aufbewahrungsfrist gelöscht. Ein eigenes Zugriffsprotokoll mit IP-Adressen führen wir nicht.

§ 6

Deine Rechte

Du hast folgende Rechte bezüglich deiner personenbezogenen Daten. Wichtig: Geht es um deine Arbeitszeitdaten, richtest du sie an deinen Arbeitgeber – er ist dafür der Verantwortliche (siehe § 1). Geht es um Daten, die Rapido als Verantwortlicher verarbeitet (Registrierung, Vertrag, Betrieb des Dienstes), wende dich an uns. Wenn du unsicher bist: schreib uns, wir sagen dir, wer zuständig ist, und leiten weiter.

Art. 15 DSGVO

Auskunftsrecht

Du kannst jederzeit Auskunft über alle gespeicherten Daten verlangen.

Art. 16 DSGVO

Berichtigung

Unrichtige Daten werden auf Anfrage unverzüglich korrigiert.

Art. 17 DSGVO

Löschung

Löschung soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Art. 18 DSGVO

Einschränkung

Du kannst die Verarbeitung unter bestimmten Voraussetzungen einschränken lassen.

Art. 20 DSGVO

Datenportabilität

Export aller deiner Daten in einem maschinenlesbaren Format auf Anfrage per E-Mail oder WhatsApp.

Art. 21 DSGVO

Widerspruch

Du kannst der Verarbeitung auf Basis berechtigter Interessen widersprechen.

HINWEIS NACH ART. 21 DSGVO – WIDERSPRUCHSRECHT SOFERN DEINE PERSONENBEZOGENEN DATEN AUF GRUNDLAGE VON ART. 6 ABS. 1 LIT. E ODER LIT. F DSGVO VERARBEITET WERDEN, HAST DU DAS RECHT, AUS GRÜNDEN, DIE SICH AUS DEINER BESONDEREN SITUATION ERGEBEN, JEDERZEIT GEGEN DIE VERARBEITUNG DIESER DATEN WIDERSPRUCH EINZULEGEN. WIR VERARBEITEN DEINE PERSONENBEZOGENEN DATEN DANN NICHT MEHR, ES SEI DENN, WIR KÖNNEN ZWINGENDE SCHUTZWÜRDIGE GRÜNDE FÜR DIE VERARBEITUNG NACHWEISEN, DIE DEINE INTERESSEN, RECHTE UND FREIHEITEN ÜBERWIEGEN, ODER DIE VERARBEITUNG DIENT DER GELTENDMACHUNG, AUSÜBUNG ODER VERTEIDIGUNG VON RECHTSANSPRÜCHEN (WIDERSPRUCH NACH ART. 21 ABS. 1 DSGVO).

Zur Ausübung deiner Rechte wende dich per WhatsApp-Nachricht an den Rapido-Assistenten oder per E-Mail an [email protected].

Datenexport per WhatsApp: Schreib dem Rapido-Assistenten einfach „Meine Daten exportieren" – du erhältst einen vollständigen Auszug aller deiner Daten (Art. 20 DSGVO).

§ 7

Widerruf der Einwilligung

Du kannst deine Einwilligung zur Datenverarbeitung jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

So widerrufst du:

Per WhatsApp: Schreib dem Rapido-Assistenten „Datenschutz löschen"
Per E-Mail: [email protected]

Nach dem Widerruf kannst du den Dienst nicht mehr nutzen. Deine Daten werden sofort für die weitere Verarbeitung gesperrt und nach Ablauf der gesetzlichen Aufbewahrungspflichten endgültig gelöscht.

§ 8

Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die zuständige Behörde richtet sich nach deinem Wohnsitz oder dem Sitz des Unternehmens.

Zuständige Behörde für Nordrhein-Westfalen (Sitz des Anbieters):

Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW)

📍 Kavalleriestraße 2–4, 40213 Düsseldorf

🌐 ldi.nrw.de

✉️ [email protected]

Eine Liste aller deutschen Aufsichtsbehörden findest du unter: bfdi.bund.de

§ 9

Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung bei wesentlichen Änderungen der Datenverarbeitung oder bei Gesetzesänderungen anzupassen. Die jeweils aktuelle Version ist stets unter rapido-handwerk.net/datenschutz abrufbar.

Bei wesentlichen Änderungen, die deine Rechte betreffen, wirst du aktiv per WhatsApp informiert und gebeten, deine Einwilligung zu erneuern.