Für die Nutzung des internen Mitarbeiterportals „OneHome". Stand: 28.09.26
[…] stehenden Angaben werden durch die Geschäftsführung bzw. den/die Datenschutzbeauftragte(n) final ergänzt.Verantwortlich ist die Gesellschaft, mit der Ihr Arbeitsvertrag besteht:
Alle drei Gesellschaften nutzen dasselbe Portal. Vertreten jeweils durch die Geschäftsführung, Maryam Krehan.
Kontakt in Datenschutzfragen: info@vf-premium.de.
Sascha Kugler, Datenschutz ITM GmbH — erreichbar über info@vf-premium.de mit dem Betreff „Datenschutz".
| Zweck | Datenkategorien | Rechtsgrundlage |
|---|---|---|
| Personalverwaltung und Personalakte | Stamm-/Kontaktdaten, Vertrag, Bankverbindung, Steuer-ID, Sozialversicherungsnummer, Ermahnungen/Abmahnungen, Gegendarstellungen | § 26 Abs. 1 BDSG, Art. 6 Abs. 1 b und c DSGVO |
| Gehalts- und Provisionsabrechnung | Gehalt, CashCoins/Provision, Boni, Zeitkonto, Reisekosten (Wohnort mit PLZ und Ort) | § 26 Abs. 1 BDSG, Art. 6 Abs. 1 b und c DSGVO |
| Einstellung (Bewerbung, Personalfragebogen, OneBoarding) | Bewerbungsdaten, Lebenslauf, Angaben für die Entgeltunterlagen | § 26 Abs. 1 BDSG, Art. 6 Abs. 1 b DSGVO |
| Dienstplanung und Zeiterfassung | Arbeitszeiten, Stempelzeiten, Schichten, Ab-/Anwesenheit, Urlaub | § 26 Abs. 1 BDSG, Art. 6 Abs. 1 c DSGVO (§ 16 ArbZG) |
| Gesichtsabgleich an der Stempeluhr (Verhinderung von Arbeitszeitbetrug) | Referenzfoto und Abgleich nur auf dem Shop-Tablet; an das Portal gehen nur „bestätigt ja/nein“ und ein Übereinstimmungswert | § 26 Abs. 1 und 3 BDSG, Art. 9 Abs. 2 b DSGVO [Abwägung der Geschäftsführung, rechtlich zu bestätigen] |
| Abwesenheit wegen Krankheit | Zeitraum und Status der Krankmeldung — ein Krankheitsgrund wird nicht erfragt; Kolleginnen und Kollegen sehen nur „nicht verfügbar“ | § 26 Abs. 3 BDSG, Art. 9 Abs. 2 b DSGVO |
| Schwerbehinderung / Gleichstellung (Zusatzurlaub, Anzeige nach § 163 SGB IX) | freiwillige Angabe, frühestens nach 6 Monaten Beschäftigung | § 26 Abs. 3 BDSG, Art. 9 Abs. 2 b DSGVO |
| Vertrags- und Kundenbearbeitung (Vodafone-Fachhandel) | Kunden-/Vertragsdaten, Leads, Kontakthistorie, bearbeitende Person | Art. 6 Abs. 1 b/f DSGVO (Auftrag im Verhältnis zu Vodafone: AVV) |
| Telefonie (ein-/ausgehende Anrufe) | Rufnummern, Zeit/Dauer, Ergebnis, Notiz; keine Gesprächsaufzeichnung | § 26 Abs. 1 BDSG, Art. 6 Abs. 1 b/f DSGVO |
| Kalender und Termine | Termine im Microsoft-365-Kalender (Außendienst, Kundentermine) einschließlich Betreff | § 26 Abs. 1 BDSG, Art. 6 Abs. 1 f DSGVO |
| Leistungskennzahlen, Ranglisten, Coaching | Verkaufs- und Telefonkennzahlen, CashCoins, Ranglisten mit Namen (im Portal, auf den Bildschirmen im Büro und im Shop, im Wochenbericht an die Geschäftsführung), Coach-Notizen | § 26 Abs. 1 BDSG, Art. 6 Abs. 1 f DSGVO (berechtigtes Interesse: Vertriebssteuerung, Personalentwicklung) |
| Veröffentlichung auf der Teamseite der Website | Name, Foto, Funktion, Durchwahl, Mail — nur mit Ihrer Einwilligung, jederzeit widerruflich | § 26 Abs. 2 BDSG, Art. 6 Abs. 1 a DSGVO, § 22 KUG |
| Benachrichtigungen (Push, E-Mail) | Geräte-Abo, Titel und Text der Nachricht | § 26 Abs. 1 BDSG |
| Sicherheit und Betrieb des Portals | Anmeldungen, Zugriffsprotokoll (auch das Lesen von Personalakten), Seitenaufrufe, Fehlerprotokolle | Art. 6 Abs. 1 c und f DSGVO, Art. 32 DSGVO |
Innerhalb der Gesellschaften sehen Personaldaten nur die Personen, die sie für ihre Aufgabe brauchen: Die Personalakte ist je Person, Gesellschaft und Teilakte (Stamm, Vertrag, Disziplinar) freigegeben, befristet, und niemand sieht darüber seine eigene Akte. Nach außen gehen Daten an:
Bei RingCentral, Anthropic, ElevenLabs, Google und den Push-Diensten (ggf. Microsoft) kann eine Verarbeitung in den USA erfolgen. Grundlage sind [EU-US Data Privacy Framework / Standardvertragsklauseln nach Art. 46 DSGVO — je Dienst durch die Geschäftsführung/den DSB zu bestätigen].
Personenbezogene Daten werden gelöscht bzw. anonymisiert, sobald sie für die genannten Zwecke nicht mehr erforderlich sind bzw. gesetzliche Aufbewahrungsfristen (z. B. steuer-/handelsrechtlich) abgelaufen sind. Ein automatisiertes Löschkonzept läuft täglich und protokolliert, welche Datensätze es gelöscht hat (ohne deren Inhalt). Die wesentlichen Fristen:
Trägt Ihre Personalakte einen Sperrvermerk (z. B. wegen eines laufenden Verfahrens), wird die Löschung der Akte, der zugehörigen Stammdaten und des Personalfragebogens bis zu dessen Aufhebung ausgesetzt. Andere Bereiche des Portals sind davon nicht betroffen.
Bankverbindung, Steuer-ID, Sozialversicherungsnummer sowie die Dokumente der Personalakte und Bewerbungsunterlagen werden verschlüsselt gespeichert. Wer eine Personalakte öffnen will, muss sich zusätzlich mit einem zweiten Faktor (Einmal-Code aus einer Authenticator-App) freischalten; die Freischaltung gilt 15 Minuten. Für einzelne Rollen kann der zweite Faktor auch schon bei der Anmeldung verlangt werden. Zugriffe auf Personalakten, auch das reine Lesen, werden in einem gesondert gesicherten Protokoll festgehalten. Zugangsdaten für neue Konten gehen nur als einmal nutzbarer, 48 Stunden gültiger Link heraus.
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Unter „Meine Personalakte“ im Portal sehen Sie Ihre Personalakte ein, können zu Einträgen eine Gegendarstellung abgeben und eine Auskunft über Ihre gespeicherten Daten anfordern. Im Übrigen wenden Sie sich an info@vf-premium.de.
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der Landesbeauftragten für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.
Das Portal setzt ausschließlich technisch notwendige Speicherung ein: ein Sitzungs-Cookie (PHPSESSID) für die Anmeldung sowie einzelne lokale Zustände (z. B. Formular-/Erinnerungszustände) im Browser. Eine Einwilligung nach § 25 TDDDG ist hierfür nicht erforderlich; es findet kein Tracking zu Werbezwecken statt.