Datenschutzerklärung — KommGeht

Zuletzt aktualisiert: 27.09.2026

Maßgeblich ist die deutsche Fassung. Die englische und die persische Fassung dienen der besseren Verständlichkeit; bei Abweichungen gilt die deutsche Fassung.

KommGeht („die App“, „wir“, „uns“) ist eine App zur Arbeitszeiterfassung. Diese Erklärung beschreibt, welche personenbezogenen Daten die App verarbeitet, warum, und welche Rechte Sie haben. Sie orientiert sich an der EU-Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:

Farrokh Ghasemi
Bachfeld 10, 68623 Lampertheim, Deutschland
E-Mail: developer@kommgeht.de

2. Welche Daten wir verarbeiten, warum und auf welcher Rechtsgrundlage

a) Kontodaten — Ihre E-Mail-Adresse und eine Authentifizierungs-Kennung.

• Zweck: Erstellung und Absicherung Ihres Kontos sowie Anmeldung.
• Anbieter: Die Authentifizierung erfolgt über Google Firebase Authentication. Ihr Passwort wird von Firebase gesetzt und gespeichert; wir sehen oder speichern Ihr Klartext-Passwort nicht.
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

b) Arbeitszeitdaten — die von Ihnen erfassten Daten:

• Arbeitsplätze (Name, Soll-/Vertragsstunden, Schichtzeiten, Beschäftigungsart, jährlicher Urlaubsanspruch);
• Bei selbst verwalteten Arbeitsplätzen: die auf Ihrem Gerät eingestellte Zeitzone (z. B. „Europe/Berlin“), die mit dem Arbeitsplatz gespeichert wird, damit Erinnerungen und der Zeitpunkt, ab dem ein Tag als unvollständig gilt, zur richtigen Ortszeit berechnet werden. Sie wird aus den Datums- und Uhrzeiteinstellungen Ihres Geräts gelesen — die App verwendet dafür nicht Ihren Standort, GPS oder Ihre IP-Adresse und fordert keine Standortberechtigung an. Bei vom Arbeitgeber verwalteten Arbeitsplätzen legt der Arbeitgeber die Zeitzone fest.
• Tägliche Einträge (Datum, Beginn/Ende, Pausen, Mehrarbeit, Art des Eintrags — normal / krank / Urlaub / Feiertag — sowie Freitext-Notizen);
• Bei Verknüpfung eines Arbeitsplatzes mit einem Arbeitgeber: die E-Mail-Adresse des Arbeitgebers sowie die Zeiteinträge dieses verknüpften Arbeitsplatzes, die automatisch synchronisiert werden und für diesen Arbeitgeber zur Freigabe sichtbar sind. Nicht verknüpfte Arbeitsplätze bleiben privat und werden keinem Arbeitgeber angezeigt.
• Zweck: Kernfunktion der Zeiterfassung, Berechnung von Salden und — wenn Sie einen Arbeitsplatz mit einem Arbeitgeber verknüpfen — Sichtbarkeit der Einträge dieses Arbeitsplatzes für dessen Freigabe.
• Speicherung: auf Ihrem Gerät und (bei Anmeldung) mit unserem eigenen Backend-Server synchronisiert, damit Sie sie geräteübergreifend nutzen können und — wenn Sie einen Arbeitsplatz mit einem Arbeitgeber verknüpfen — die Einträge dieses Arbeitsplatzes für dessen Freigabe sichtbar werden.
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b); für die Arbeitgeber-Freigabe (erteilt durch die Verknüpfung eines Arbeitsplatzes mit einem Arbeitgeber) Ihre Einwilligung (Art. 6 Abs. 1 lit. a).
• ⚠️ Gesundheitsbezogene Daten: Die Kennzeichnung „krank“ und die Anzahl der Krankheitstage können Gesundheitsdaten darstellen (besondere Kategorie, Art. 9 DSGVO). Die Verarbeitung erfolgt, weil Sie diese Daten zur Nutzung der App eingeben, ggf. auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a). Sie können diese Einträge jederzeit löschen. Auch Freitextfelder — die Notiz zu einem Tag und der Grund für eine zweite Pause — können Gesundheitsangaben enthalten, wenn Sie dort welche eintragen; alles, was Sie dort schreiben, ist für den Arbeitgeber eines verknüpften Arbeitsplatzes sichtbar. Tragen Sie dort bitte nur das Nötige ein.

c) KI-E-Mail-Assistent (optional, standardmäßig aus) — wenn Sie ihn aktivieren und einen eigenen API-Schlüssel angeben:

• Eine Zusammenfassung Ihrer Arbeitszeiten für den gewählten Zeitraum (Arbeitsplatzname, Daten, Gesamt-/Soll-/Saldostunden sowie Anzahl der Urlaubs- und Krankheitstage) wird an den von Ihnen gewählten Anbieter (OpenAI, Google Gemini oder Anthropic) gesendet, um eine E-Mail zu entwerfen.
• Ihr KI-API-Schlüssel wird nur im sicheren Schlüsselspeicher Ihres Geräts (Expo SecureStore) abgelegt und niemals an unsere Server gesendet. Die Anfragen gehen direkt von Ihrem Gerät an den Anbieter unter Ihrem eigenen Konto.
• Ohne KI wird eine lokale Vorlage genutzt und es verlassen keine Daten Ihr Gerät.
• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a). Diese Anbieter können Daten außerhalb der EU verarbeiten (siehe §4).

d) App-Einstellungen & Sicherheit — Sprache, Design, Benachrichtigungen und ob die biometrische Sperre aktiv ist. Die biometrische Prüfung erfolgt auf Ihrem Gerät; wir erhalten keine biometrischen Daten. Erinnerungen werden lokal geplant.

e) Abonnements, Zahlung und Aktionscodes — beim Kauf eines Abonnements über unsere Website wird die Zahlung von Paddle.com Market Ltd (Vereinigtes Königreich) als Merchant of Record abgewickelt. Paddle erhält die für den Kauf erforderlichen Daten — Name, E-Mail-Adresse, Rechnungsanschrift, ggf. Umsatzsteuer-Identifikationsnummer sowie Zahlungsdaten — und stellt die Rechnung aus. Ihre Zahlungsdaten erhalten wir nicht. Von Paddle erhalten und speichern wir den Abo-Status, den Tarif, den Abrechnungszeitraum und eine Kunden-/Abo-Kennung, um Ihren Tarif freizuschalten. Wenn Sie sich mit einem Aktionscode von einer unserer Werbeflächen registrieren, speichern wir diesen Code zu Ihrer Organisation, damit der Rabatt gewährt werden kann und wir die Zahl der Registrierungen je Werbefläche messen können; Betreiber einer Werbefläche erhalten ausschließlich aggregierte Zahlen und niemals Ihre Identität oder Kontaktdaten. Zweck: Vertragserfüllung und Erfolgsmessung unserer Werbung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

f) Diagnose (optional, standardmäßig aus) — Die App fragt Sie einmal, ob sie Fehlerberichte senden darf; Sie können dies auch in den Einstellungen ändern. Wenn Sie zustimmen, sendet sie Fehler- und Absturzberichte — Fehlermeldung, Stack-Trace, App-Version, Geräteplattform und OS-Version sowie (bei Anmeldung) Ihre Konto-Kennung — an unser Backend, damit wir Probleme erkennen und schneller beheben können. Da sie Ihre Konto-Kennung enthalten können, sind diese Berichte nicht anonym. Ihre Arbeitszeiten und Notizen sind nicht enthalten. Aus, bis Sie zustimmen; jederzeit in den Einstellungen deaktivierbar.

• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

g) Push-Benachrichtigungen (optional) — Wenn Sie Benachrichtigungen erlauben und die Arbeitgeber-Verknüpfung nutzen, registriert die App ein Push-Token (eine Geräte-Kennung) bei unserem Backend, um Sie zu benachrichtigen, wenn Ihr Arbeitgeber eine Schicht plant oder Ihre Stunden genehmigt/ablehnt. Die Zustellung erfolgt über den Push-Dienst von Expo und Google Firebase Cloud Messaging; die Texte sind generisch und enthalten keine sensiblen Details. Das Token wird beim Abmelden oder Löschen des Kontos entfernt; Benachrichtigungen können Sie jederzeit in den Systemeinstellungen deaktivieren.

• Rechtsgrundlage: Ihre Einwilligung über die System-Benachrichtigungsberechtigung (Art. 6 Abs. 1 lit. a DSGVO).

h) Produktvideo auf unserer Website (YouTube) — auf der Startseite von kommgeht.de binden wir ein kurzes Produktvideo ein, das bei YouTube (Google Ireland Ltd., Irland) liegt. Das Video wird erst geladen, wenn Sie auf Abspielen klicken; bis dahin sehen Sie nur ein Vorschaubild von unserem eigenen Server, und es werden keine Daten an Google übertragen. Mit dem Klick baut Ihr Browser eine Verbindung zu YouTube auf (erweiterter Datenschutzmodus, youtube-nocookie.com); dabei erhält Google Ihre IP-Adresse sowie Informationen zu Gerät und Browser und kann Cookies oder vergleichbare Speichertechniken auf Ihrem Gerät einsetzen. Sind Sie bei Google angemeldet, kann Google den Abruf Ihrem Konto zuordnen. Dabei können Daten auch in die USA übermittelt werden. Zweck: Erläuterung unseres Produkts. Rechtsgrundlage: Ihre Einwilligung, die Sie mit dem Klick auf Abspielen erteilen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); Sie können das Video auch einfach nicht starten. Datenschutzerklärung von Google: https://policies.google.com/privacy

i) Was wir NICHT tun — die App enthält keine Analyse-, Werbe- oder Tracking-SDKs von Dritten. Wir verkaufen keine Daten und erstellen keine Werbeprofile.

3. Empfänger / Auftragsverarbeiter

• Google Firebase (Google Ireland Ltd.) — Authentifizierung.
• Unser Backend-Host — Microsoft Azure (Microsoft Ireland Operations Ltd.) betreibt die Server innerhalb der Europäischen Union, auf denen Ihre synchronisierten Daten gespeichert werden.
• Unser Website-Host — InterServer, Inc. (USA) betreibt unsere Website kommgeht.de sowie das Arbeitgeber-Portal. Beim Besuch dieser Seiten werden dort übliche Webserver-Protokolldaten einschließlich Ihrer IP-Adresse verarbeitet. Die App ruft zudem die jeweils aktuelle Fassung dieser Rechtstexte von kommgeht.de ab; das Öffnen dieser Texte in der App führt daher ebenfalls zur Verarbeitung dieser Protokolldaten dort. Ihre Arbeitszeitdaten sind davon nicht betroffen — diese werden in der EU gespeichert.
• Ihr Arbeitgeber — nur die Zeiteinträge des Arbeitsplatzes, den Sie mit ihm verknüpft haben, und nur wenn Sie eine solche Verknüpfung herstellen. Ihre übrigen (nicht verknüpften) Arbeitsplätze und deren Einträge werden keinem Arbeitgeber offengelegt. Sie können die Verknüpfung jederzeit beenden.
• KI-Anbieter (OpenAI, Google, Anthropic) — nur bei aktiviertem KI-Assistenten, nur die Zusammenfassung aus §2(c).
• Expo (Expo.dev) / Google Firebase Cloud Messaging — Zustellung von Push-Benachrichtigungen, nur wenn Sie Benachrichtigungen erlauben.
• YouTube (Google Ireland Ltd.) — Produktvideo auf unserer Website, erst nach Klick auf Abspielen; siehe §2(h).
• Paddle.com Market Ltd (Vereinigtes Königreich) — Merchant of Record für über unsere Website gekaufte Abonnements: Zahlungsabwicklung, Rechnungsstellung und Steuern. Datenschutzerklärung: https://www.paddle.com/legal/privacy

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

4. Datenübermittlung in Drittländer

Die Server, auf denen Ihre synchronisierten Daten gespeichert werden, befinden sich innerhalb der Europäischen Union — gehostet bei Microsoft Azure in den Niederlanden (Anwendung) und in Irland (Datenbank), einschließlich der automatischen Datenbank-Sicherungen. Ihre synchronisierten Arbeitszeitdaten, einschließlich als „krank" gekennzeichneter Tage, werden in der EU gespeichert und von uns nicht außerhalb der EU/des EWR übermittelt.

Zwei Ausnahmen, die Sie kennen sollten. Erstens werden unsere Website kommgeht.de und das Arbeitgeber-Portal weiterhin von einem Host in den USA ausgeliefert — beim bloßen Besuch dieser Seiten werden dort Ihre IP-Adresse und übliche Webserver-Protokolldaten verarbeitet; Ihre Arbeitszeitdaten nicht. Wir planen, auch dieses Hosting in die EU zu verlegen. Zweitens werden Konto- und Identitätsdaten (E-Mail-Adresse, Zugangsdaten, Bestätigungsstatus) von Google Firebase Authentication verwaltet, einem global betriebenen Dienst, der Daten unter geeigneten Garantien (z. B. EU-Standardvertragsklauseln) auch außerhalb des EWR verarbeiten kann.

Beim Kauf eines Abonnements werden Zahlungsdaten von Paddle im Vereinigten Königreich verarbeitet, für das ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt. Zusätzlich kann bei aktiviertem KI-Assistenten Ihr gewählter Anbieter Daten auf Servern außerhalb der EU/des EWR (z. B. in den USA) verarbeiten. Wenn Sie Benachrichtigungen erlauben, erfolgt die Zustellung über den Push-Dienst von Expo (Expo Inc., USA) und Google Firebase Cloud Messaging — dabei werden nur Ihr Push-Token und der Benachrichtigungstext übermittelt, der bewusst allgemein gehalten ist und keine sensiblen Details enthält. Mit Aktivierung dieser optionalen Funktionen willigen Sie in diese Übermittlungen ein. Wenn Sie das Produktvideo auf unserer Website starten, kann Google die in §2(h) beschriebenen Daten in den USA verarbeiten.

5. Speicherdauer & Löschung

• Arbeitszeitdaten werden gespeichert, bis Sie sie oder Ihr Konto löschen. Die App bietet eine Funktion, alle lokalen Daten zu löschen sowie Ihr Konto/Ihre synchronisierten Daten zu entfernen.
• Haben Sie Stunden für einen Arbeitgeber erfasst, bleiben diese Aufzeichnungen bei diesem Arbeitgeber, wenn Sie Ihr Konto löschen. Es sind seine eigenen Arbeitszeitnachweise, die er nach § 16 Abs. 2 ArbZG zwei Jahre aufbewahren muss. Ihre Mitgliedschaft wird getrennt und archiviert: Der Arbeitgeber behält die Arbeitsort-Kopie, die erfassten Tage und Ihren Anzeigenamen, nicht jedoch Ihre E-Mail-Adresse. Alles, was allein Ihnen gehörte — Ihre privaten Arbeitsorte und deren Einträge, Push-Token, Diagnosedaten, Feedback und Ihr Anmeldekonto — wird gelöscht. Der Arbeitgeber kann den archivierten Eintrag jederzeit löschen; eine automatische Frist gibt es nicht.
• Kontodaten bleiben, solange Ihr Konto besteht, und werden bei Kontolöschung entfernt.
• Sie können Ihr Konto auf zwei Wegen löschen:
  • In der App: App öffnen → Einstellungen → Konto löschen.
  • Im Browser: Melden Sie sich auf kommgeht.de an → Einstellungen → Konto löschen → mit Ihrem Passwort bestätigen.
• Wenn Sie eine Organisation führen, werden dabei auch Ihre Organisation, alle Einladungscodes und Arbeitsort-Vorlagen gelöscht. Verknüpfte Mitarbeitende bleiben bestehen — ihr Arbeitsort wird wieder ein privater; manuell angelegte Personen werden mitgelöscht.
• Löschanfragen: über eine der beiden Funktionen oder an developer@kommgeht.de.

6. Ihre Rechte (DSGVO)

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Beruht die Verarbeitung auf Einwilligung, können Sie diese jederzeit widerrufen (z. B. durch Deaktivieren der KI-Funktion oder der Arbeitgeber-Freigabe). Sie können sich zudem bei einer Aufsichtsbehörde beschweren — in Deutschland bei der Datenschutzbehörde Ihres Bundeslandes.

7. Kinder

KommGeht richtet sich nicht an Kinder unter 16 Jahren; wir erheben wissentlich keine Daten von ihnen.

8. Änderungen

Wir können diese Erklärung aktualisieren; das Datum „zuletzt aktualisiert“ ändert sich und über wesentliche Änderungen informieren wir in der App.

9. Kontakt

developer@kommgeht.de — Farrokh Ghasemi, Bachfeld 10, 68623 Lampertheim, Deutschland.