Datenschutzerklärung — KommGeht

Zuletzt aktualisiert: 23.08.2026

Maßgeblich ist die deutsche Fassung. Die englische und die persische Fassung dienen der besseren Verständlichkeit; bei Abweichungen gilt die deutsche Fassung.

KommGeht („die App“, „wir“, „uns“) ist eine App zur Arbeitszeiterfassung. Diese Erklärung beschreibt, welche personenbezogenen Daten die App verarbeitet, warum, und welche Rechte Sie haben. Sie orientiert sich an der EU-Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:

Farrokh Ghasemi
Bachfeld 10, 68623 Lampertheim, Deutschland
E-Mail: developer@kommgeht.de

2. Welche Daten wir verarbeiten, warum und auf welcher Rechtsgrundlage

a) Kontodaten — Ihre E-Mail-Adresse und eine Authentifizierungs-Kennung.

• Zweck: Erstellung und Absicherung Ihres Kontos sowie Anmeldung.
• Anbieter: Die Authentifizierung erfolgt über Google Firebase Authentication. Ihr Passwort wird von Firebase gesetzt und gespeichert; wir sehen oder speichern Ihr Klartext-Passwort nicht.
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

b) Arbeitszeitdaten — die von Ihnen erfassten Daten:

• Arbeitsplätze (Name, Soll-/Vertragsstunden, Schichtzeiten, Beschäftigungsart, jährlicher Urlaubsanspruch);
• Tägliche Einträge (Datum, Beginn/Ende, Pausen, Mehrarbeit, Art des Eintrags — normal / krank / Urlaub / Feiertag — sowie Freitext-Notizen);
• Bei Verknüpfung eines Arbeitsplatzes mit einem Arbeitgeber: die E-Mail-Adresse des Arbeitgebers sowie die Zeiteinträge dieses verknüpften Arbeitsplatzes, die automatisch synchronisiert werden und für diesen Arbeitgeber zur Freigabe sichtbar sind. Nicht verknüpfte Arbeitsplätze bleiben privat und werden keinem Arbeitgeber angezeigt.
• Zweck: Kernfunktion der Zeiterfassung, Berechnung von Salden und — wenn Sie einen Arbeitsplatz mit einem Arbeitgeber verknüpfen — Sichtbarkeit der Einträge dieses Arbeitsplatzes für dessen Freigabe.
• Speicherung: auf Ihrem Gerät und (bei Anmeldung) mit unserem eigenen Backend-Server synchronisiert, damit Sie sie geräteübergreifend nutzen können und — wenn Sie einen Arbeitsplatz mit einem Arbeitgeber verknüpfen — die Einträge dieses Arbeitsplatzes für dessen Freigabe sichtbar werden.
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b); für die Arbeitgeber-Freigabe (erteilt durch die Verknüpfung eines Arbeitsplatzes mit einem Arbeitgeber) Ihre Einwilligung (Art. 6 Abs. 1 lit. a).
• ⚠️ Gesundheitsbezogene Daten: Die Kennzeichnung „krank“ und die Anzahl der Krankheitstage können Gesundheitsdaten darstellen (besondere Kategorie, Art. 9 DSGVO). Die Verarbeitung erfolgt, weil Sie diese Daten zur Nutzung der App eingeben, ggf. auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a). Sie können diese Einträge jederzeit löschen.

c) KI-E-Mail-Assistent (optional, standardmäßig aus) — wenn Sie ihn aktivieren und einen eigenen API-Schlüssel angeben:

• Eine Zusammenfassung Ihrer Arbeitszeiten für den gewählten Zeitraum (Arbeitsplatzname, Daten, Gesamt-/Soll-/Saldostunden sowie Anzahl der Urlaubs- und Krankheitstage) wird an den von Ihnen gewählten Anbieter (OpenAI, Google Gemini oder Anthropic) gesendet, um eine E-Mail zu entwerfen.
• Ihr KI-API-Schlüssel wird nur im sicheren Schlüsselspeicher Ihres Geräts (Expo SecureStore) abgelegt und niemals an unsere Server gesendet. Die Anfragen gehen direkt von Ihrem Gerät an den Anbieter unter Ihrem eigenen Konto.
• Ohne KI wird eine lokale Vorlage genutzt und es verlassen keine Daten Ihr Gerät.
• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a). Diese Anbieter können Daten außerhalb der EU verarbeiten (siehe §4).

d) App-Einstellungen & Sicherheit — Sprache, Design, Benachrichtigungen und ob die biometrische Sperre aktiv ist. Die biometrische Prüfung erfolgt auf Ihrem Gerät; wir erhalten keine biometrischen Daten. Erinnerungen werden lokal geplant.

e) Abonnements, Zahlung und Aktionscodes — beim Kauf eines Abonnements über unsere Website wird die Zahlung von Paddle.com Market Ltd (Vereinigtes Königreich) als Merchant of Record abgewickelt. Paddle erhält die für den Kauf erforderlichen Daten — Name, E-Mail-Adresse, Rechnungsanschrift, ggf. Umsatzsteuer-Identifikationsnummer sowie Zahlungsdaten — und stellt die Rechnung aus. Ihre Zahlungsdaten erhalten wir nicht. Von Paddle erhalten und speichern wir den Abo-Status, den Tarif, den Abrechnungszeitraum und eine Kunden-/Abo-Kennung, um Ihren Tarif freizuschalten. Wenn Sie sich mit einem Aktionscode von einer unserer Werbeflächen registrieren, speichern wir diesen Code zu Ihrer Organisation, damit der Rabatt gewährt werden kann und wir die Zahl der Registrierungen je Werbefläche messen können; Betreiber einer Werbefläche erhalten ausschließlich aggregierte Zahlen und niemals Ihre Identität oder Kontaktdaten. Zweck: Vertragserfüllung und Erfolgsmessung unserer Werbung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

f) Diagnose (optional, standardmäßig aus) — Wenn Sie die Fehlerberichterstattung in den Einstellungen aktivieren, sendet die App anonyme Fehler- und Absturzberichte — Fehlermeldung, Stack-Trace, App-Version, Geräteplattform und OS-Version sowie (bei Anmeldung) Ihre Konto-Kennung — an unser Backend, damit wir Probleme erkennen und schneller beheben können. Standardmäßig aus; jederzeit deaktivierbar.

• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

g) Push-Benachrichtigungen (optional) — Wenn Sie Benachrichtigungen erlauben und die Arbeitgeber-Verknüpfung nutzen, registriert die App ein Push-Token (eine Geräte-Kennung) bei unserem Backend, um Sie zu benachrichtigen, wenn Ihr Arbeitgeber eine Schicht plant oder Ihre Stunden genehmigt/ablehnt. Die Zustellung erfolgt über den Push-Dienst von Expo und Google Firebase Cloud Messaging; die Texte sind generisch und enthalten keine sensiblen Details. Das Token wird beim Abmelden oder Löschen des Kontos entfernt; Benachrichtigungen können Sie jederzeit in den Systemeinstellungen deaktivieren.

• Rechtsgrundlage: Ihre Einwilligung über die System-Benachrichtigungsberechtigung (Art. 6 Abs. 1 lit. a DSGVO).

h) Was wir NICHT tun — die App enthält keine Analyse-, Werbe- oder Tracking-SDKs von Dritten. Wir verkaufen keine Daten und erstellen keine Werbeprofile.

3. Empfänger / Auftragsverarbeiter

• Google Firebase (Google Ireland Ltd.) — Authentifizierung.
• Unser Backend-Host — Microsoft Azure (Microsoft Ireland Operations Ltd.) betreibt die Server innerhalb der Europäischen Union, auf denen Ihre synchronisierten Daten gespeichert werden.
• Unser Website-Host — InterServer, Inc. (USA) betreibt unsere Website kommgeht.de sowie das Arbeitgeber-Portal. Beim Besuch dieser Seiten werden dort übliche Webserver-Protokolldaten einschließlich Ihrer IP-Adresse verarbeitet. Die App ruft zudem die jeweils aktuelle Fassung dieser Rechtstexte von kommgeht.de ab; das Öffnen dieser Texte in der App führt daher ebenfalls zur Verarbeitung dieser Protokolldaten dort. Ihre Arbeitszeitdaten sind davon nicht betroffen — diese werden in der EU gespeichert.
• Ihr Arbeitgeber — nur die Zeiteinträge des Arbeitsplatzes, den Sie mit ihm verknüpft haben, und nur wenn Sie eine solche Verknüpfung herstellen. Ihre übrigen (nicht verknüpften) Arbeitsplätze und deren Einträge werden keinem Arbeitgeber offengelegt. Sie können die Verknüpfung jederzeit beenden.
• KI-Anbieter (OpenAI, Google, Anthropic) — nur bei aktiviertem KI-Assistenten, nur die Zusammenfassung aus §2(c).
• Expo (Expo.dev) / Google Firebase Cloud Messaging — Zustellung von Push-Benachrichtigungen, nur wenn Sie Benachrichtigungen erlauben.
• Paddle.com Market Ltd (Vereinigtes Königreich) — Merchant of Record für über unsere Website gekaufte Abonnements: Zahlungsabwicklung, Rechnungsstellung und Steuern. Datenschutzerklärung: https://www.paddle.com/legal/privacy

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

4. Datenübermittlung in Drittländer

Die Server, auf denen Ihre synchronisierten Daten gespeichert werden, befinden sich innerhalb der Europäischen Union — gehostet bei Microsoft Azure in den Niederlanden (Anwendung) und in Irland (Datenbank), einschließlich der automatischen Datenbank-Sicherungen. Ihre synchronisierten Arbeitszeitdaten, einschließlich als „krank" gekennzeichneter Tage, werden in der EU gespeichert und von uns nicht außerhalb der EU/des EWR übermittelt.

Zwei Ausnahmen, die Sie kennen sollten. Erstens werden unsere Website kommgeht.de und das Arbeitgeber-Portal weiterhin von einem Host in den USA ausgeliefert — beim bloßen Besuch dieser Seiten werden dort Ihre IP-Adresse und übliche Webserver-Protokolldaten verarbeitet; Ihre Arbeitszeitdaten nicht. Wir planen, auch dieses Hosting in die EU zu verlegen. Zweitens werden Konto- und Identitätsdaten (E-Mail-Adresse, Zugangsdaten, Bestätigungsstatus) von Google Firebase Authentication verwaltet, einem global betriebenen Dienst, der Daten unter geeigneten Garantien (z. B. EU-Standardvertragsklauseln) auch außerhalb des EWR verarbeiten kann.

Beim Kauf eines Abonnements werden Zahlungsdaten von Paddle im Vereinigten Königreich verarbeitet, für das ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt. Zusätzlich kann bei aktiviertem KI-Assistenten Ihr gewählter Anbieter Daten auf Servern außerhalb der EU/des EWR (z. B. in den USA) verarbeiten. Wenn Sie Benachrichtigungen erlauben, erfolgt die Zustellung über den Push-Dienst von Expo (Expo Inc., USA) und Google Firebase Cloud Messaging — dabei werden nur Ihr Push-Token und der Benachrichtigungstext übermittelt, der bewusst allgemein gehalten ist und keine sensiblen Details enthält. Mit Aktivierung dieser optionalen Funktionen willigen Sie in diese Übermittlungen ein.

5. Speicherdauer & Löschung

• Arbeitszeitdaten werden gespeichert, bis Sie sie oder Ihr Konto löschen. Die App bietet eine Funktion, alle lokalen Daten zu löschen sowie Ihr Konto/Ihre synchronisierten Daten zu entfernen.
• Kontodaten bleiben, solange Ihr Konto besteht, und werden bei Kontolöschung entfernt.
• Sie können Ihr Konto auf zwei Wegen löschen:
  • In der App: App öffnen → Einstellungen → Konto löschen.
  • Im Browser: Melden Sie sich auf kommgeht.de an → Einstellungen → Konto löschen → mit Ihrem Passwort bestätigen.
• Wenn Sie eine Organisation führen, werden dabei auch Ihre Organisation, alle Einladungscodes und Arbeitsort-Vorlagen gelöscht. Verknüpfte Mitarbeitende bleiben bestehen — ihr Arbeitsort wird wieder ein privater; manuell angelegte Personen werden mitgelöscht.
• Löschanfragen: über eine der beiden Funktionen oder an developer@kommgeht.de.

6. Ihre Rechte (DSGVO)

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Beruht die Verarbeitung auf Einwilligung, können Sie diese jederzeit widerrufen (z. B. durch Deaktivieren der KI-Funktion oder der Arbeitgeber-Freigabe). Sie können sich zudem bei einer Aufsichtsbehörde beschweren — in Deutschland bei der Datenschutzbehörde Ihres Bundeslandes.

7. Kinder

KommGeht richtet sich nicht an Kinder unter 16 Jahren; wir erheben wissentlich keine Daten von ihnen.

8. Änderungen

Wir können diese Erklärung aktualisieren; das Datum „zuletzt aktualisiert“ ändert sich und über wesentliche Änderungen informieren wir in der App.

9. Kontakt

developer@kommgeht.de — Farrokh Ghasemi, Bachfeld 10, 68623 Lampertheim, Deutschland.