Datenschutz-Folgenabschätzung (DSFA)

1. Dokumentinformationen und Beteiligte

1.1 Verantwortlicher

1.2 Auftragsverarbeiter (Anbieter des Portals)

1.3 Datenschutzbeauftragte/r

1.4 Versionierung

2. Schwellwertanalyse: Notwendigkeit der DSFA

Eine DSFA ist gemäß Art. 35 Abs. 1 DSGVO durchzuführen, wenn eine Verarbeitung "voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat". Art. 35 Abs. 3 sowie die "Muss-Liste" der Datenschutzkonferenz (DSK) konkretisieren typische Auslöser. Für die Nutzung des Portals "energydesk" ist nachfolgend zu prüfen, ob mindestens ein Auslöser vorliegt:

3. Beschreibung der Verarbeitung

3.1 Systembeschreibung

energydesk ist eine webbasierte SaaS-Anwendung der Dynkhues GmbH zur Verwaltung des operativen Betriebs von Tankstellen und vergleichbaren Standorten. Das Portal ist brandneutral, kann mehrere "Cluster" (Markenzuordnungen) abbilden und wird vom Anbieter zentral betrieben. Der Zugriff erfolgt durch Backoffice-Anwender per Browser, durch Mitarbeiter per PIN-Anmeldung an stationären Tablets.

3.2 Verarbeitungstätigkeiten und Zwecke

3.3 Verarbeitete Datenkategorien

Vollständige Übersicht der personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet werden:

3.4 Datenflüsse

1. Eingabe: Backoffice-Anwender erfassen Stammdaten und Schichten am Browser; Mitarbeiter stempeln und bearbeiten Aufgaben am Tablet.
2. Übertragung: Sämtliche Übertragungen ausschließlich über TLS 1.2+ (HTTPS) zum zentralen Server bei Hetzner Online GmbH (Deutschland).
3. Speicherung: PostgreSQL 16 mit Multi-Tenant-Isolation. Hochgeladene Dokumente und Foto-Anhänge im Server-Filesystem.
4. Verarbeitung: Lese-, Schreib- und Auswertungsvorgänge im Auftrag des Verantwortlichen über die Portal-Funktionen.
5. Ausgabe: Anzeige im Browser/Tablet, PDF-Export, optional Push-Benachrichtigung an Endgeräte.
6. Löschung: Automatisierte Retention-Routinen; Hard-Delete spätestens 30 Tage nach Vertragsende.

3.5 Subprozessoren

3.6 Lebenszyklus der Daten

4. Notwendigkeit und Verhältnismäßigkeit

4.1 Erforderlichkeit der Verarbeitung

Die Verarbeitung ist erforderlich zur Erfüllung gesetzlicher Pflichten (insb. Arbeitszeitaufzeichnungspflicht nach § 16 Abs. 2 ArbZG in der Auslegung des BAG vom 13.09.2022, Unterweisungspflichten nach § 12 ArbSchG) und zur Durchführung des Beschäftigungsverhältnisses (§ 26 Abs. 1 BDSG).

4.2 Datensparsamkeit

• Es werden ausschließlich für den Zweck erforderliche Datenfelder erhoben (Vor- und Nachname, kein Geburtsdatum, keine Privatadresse, keine Bankverbindung, keine Sozialversicherungsnummer).
• Mitarbeiter-Authentifizierung am Tablet erfolgt über vierstellige PIN — keine biometrischen Merkmale.
• Krankheitsbedingte Abwesenheiten werden nur als Statusinformation erfasst, nicht als Diagnose. AU-Bescheinigungen werden im Portal nicht hochgeladen.
• Fotos im Rahmen von Aufgaben/Checklisten dokumentieren ausschließlich Sachen und Räume, keine Personen.
• Unterschriften werden ausschließlich optisch erfasst (SVG); keine biometrischen Merkmale wie Druck, Geschwindigkeit oder Beschleunigung.

4.3 Speicherbegrenzung

• Automatisierte Lösch-Routinen für nicht mehr benötigte Sessions, Page-Views und abgelaufene Tokens.
• Vertragsbezogene Datenlöschung innerhalb 30 Tagen nach Vertragsende.
• Archivierungsfristen werden vom Verantwortlichen festgelegt; gesetzliche Aufbewahrungspflichten (z. B. ArbZG, AO, HGB) bleiben unberührt.

4.4 Transparenz und Betroffenenrechte

• Mitarbeiter werden vom Verantwortlichen über die Datenverarbeitung gemäß Art. 13 DSGVO informiert (Mitarbeiter-Information zur Verarbeitung — Vorlage siehe Anhang A).
• Ausübung von Betroffenenrechten erfolgt primär gegenüber dem Verantwortlichen; der Auftragsverarbeiter unterstützt technisch (z. B. Datenexport, Löschung).

5. Risikoanalyse

5.1 Methodik

Die Risikobewertung erfolgt nach der Methodik der Datenschutzkonferenz (DSK-Kurzpapier Nr. 18) bzw. dem Standard-Datenschutzmodell (SDM). Eintrittswahrscheinlichkeit (gering / mittel / hoch) und Schweregrad (gering / mittel / hoch) werden zu einem Gesamtrisiko verknüpft.

5.2 Bedrohungsszenarien und Risikomatrix

6. Schutzmaßnahmen

Die folgenden Maßnahmen sind in der Architektur des Portals und in den vertraglichen Grundlagen verankert. Eine detaillierte technische Beschreibung enthält das Dokument Technisch-organisatorische Maßnahmen (TOM).

7. Bewertung des Restrisikos

Nach Anwendung der unter Ziffer 6 beschriebenen Schutzmaßnahmen ist das Restrisiko in allen identifizierten Szenarien als gering bis mittel einzustufen. Eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO ist nicht erforderlich, sofern der Verantwortliche die organisatorischen Maßnahmen vor Inbetriebnahme abschließt (insbesondere Mitarbeiter-Information, ggf. Betriebsvereinbarung).

8. Konsultationen

8.1 Datenschutzbeauftragte/r

8.2 Betroffene oder ihre Vertreter

8.3 Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO

Eine Konsultation der Aufsichtsbehörde ist nach Bewertung der Restrisiken (siehe Ziffer 7) nicht erforderlich. Sollte sich im Betrieb ein zusätzliches hohes Risiko zeigen, das durch die beschriebenen Maßnahmen nicht hinreichend gemindert wird, ist die Konsultation der zuständigen Behörde nachzuholen.

9. Betriebsverfassungsrechtliche Mitbestimmung

10. Genehmigung und Review-Zyklus

10.1 Genehmigung

10.2 Review-Zyklus

• Regelmäßige Überprüfung mindestens jährlich oder bei wesentlichen Änderungen am Portal (insb. neue Funktionen, neue Subprozessoren, neue Datenkategorien).
• Anlassbezogene Überprüfung bei Datenschutzvorfällen oder Aufsichtsbehörden-Anfragen.
• Der Auftragsverarbeiter informiert den Verantwortlichen über wesentliche Änderungen, die eine Aktualisierung dieser DSFA nahelegen.

Anhang A — Vorlage Mitarbeiter-Information (Art. 13 DSGVO)

Information über die Verarbeitung Ihrer personenbezogenen Daten

Sehr geehrte Mitarbeiterin, sehr geehrter Mitarbeiter,

Ihr Arbeitgeber setzt zur Verwaltung des Tankstellen-Betriebs das Portal "energydesk" der Dynkhues GmbH ein. In diesem Rahmen werden personenbezogene Daten von Ihnen verarbeitet. Mit dieser Information erfüllen wir unsere Informationspflichten nach Art. 13 DSGVO.

Verantwortlicher

Datenschutzkoordination

Zwecke und Rechtsgrundlagen

• Mitarbeiter- und Schichtverwaltung — Art. 6 Abs. 1 lit. b DSGVO, § 26 Abs. 1 BDSG
• Arbeitszeit- und Pausenerfassung — Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 16 Abs. 2 ArbZG
• Aufgaben- und Belehrungs-Dokumentation — Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 12 ArbSchG
• Abwesenheits-Workflows (Urlaub / Krankheit als Statusinformation, ohne Diagnoseangaben)

Welche Daten verarbeitet werden

• Vor- und Nachname, Stationszuordnung, Aktiv-Status
• Arbeitszeit-Stempel, Pausen, Korrekturen (mit Original- und Korrekturwert)
• Aufgaben- und Checklisten-Bearbeitungen, optional mit Foto-Dokumentation von Sachen oder Räumen sowie rein optischen Unterschriften
• Belehrungs-Quittierungen mit Zeitpunkt
• PIN für die Tablet-Anmeldung (ausschließlich als Hash gespeichert)

Empfänger

Auftragsverarbeiter ist die Dynkhues GmbH (Am Hasenpfad 2, 61137 Schöneck). Server-Hosting erfolgt bei der Hetzner Online GmbH (Deutschland). Eine Übermittlung in Drittländer findet grundsätzlich nicht statt; bei optionaler Nutzung von "Sign-in with Google" oder bei Zahlungsabwicklung (Stripe) erfolgt die Übermittlung auf Basis EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

Speicherdauer

Daten werden während des bestehenden Beschäftigungsverhältnisses und entsprechend der gesetzlichen Aufbewahrungspflichten gespeichert. Spätestens 30 Tage nach Beendigung des Vertragsverhältnisses zwischen Arbeitgeber und Anbieter werden Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Anfragen richten Sie bitte an:

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die für den Sitz Ihres Arbeitgebers verantwortliche Landes-Datenschutzbehörde.

Keine automatisierte Entscheidungsfindung

Es findet keine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidungsfindung im Sinne des Art. 22 DSGVO statt.