Datenschutzerklärung

1. Verantwortliche Stelle

Haus der Finanzen GmbH
Freiburgstrasse 443, 3018 Bern
E-Mail: info@gastrora.ch
UID/MWST: CHE-462.314.248 MWST

2. Welche Daten werden bearbeitet?

• Kontodaten der Betriebsinhaber/Administratoren: Name, E-Mail, Passwort-Hash, Login-Zeitpunkte
• Betriebsdaten: Firmenname, Adresse, Betriebstyp, Pensum, Sprache
• Mitarbeiterdaten: Name, Telefonnummer (WhatsApp), Sprache, Anstellungsart, Pensum, Stundenlohn, Bruttomonatslohn, Anstellungs-/Austrittsdatum, Rollen
• Arbeitszeit- und Schichtdaten: geplante Schichten, tatsächliche Arbeitszeit-Einträge (Start, Ende, Pausen), Nachtarbeit, Überstunden, Ruhetage, Abwesenheiten
• WhatsApp-Nachrichten: ein- und ausgehende Nachrichten inkl. Zeitstempel, Inhalt, Template-Referenzen — zur rechtskonformen Arbeitszeitkontrolle (Art. 21 L-GAV, Art. 46 ArG)
• Gegenzeichnungs-Daten: Zeitstempel, wann der Mitarbeiter den Monatsabschluss visiert hat
• Audit-Daten: Korrekturen an Zeiteinträgen inkl. Benutzer, Zeitpunkt, vorheriger und neuer Wert

3. Zweck der Datenverarbeitung

• Erfüllung von Art. 21 L-GAV und Art. 46 ArG (Arbeitszeitkontrolle)
• Berechnung von Saldi (Gleitzeit, Ruhetage, Feiertage, Ferien)
• Versand personalisierter WhatsApp-Nachrichten an Mitarbeiter
• Monatliche Saldo-Kommunikation nach Art. 15 Ziff. 5 L-GAV
• Erstellung gesetzlich vorgeschriebener PDF-Rapporte
• Vertragsverwaltung, Rechnungsstellung, Support

4. Rechtsgrundlagen

Die Bearbeitung erfolgt aufgrund der zwischen dem Betrieb und der Haus der Finanzen GmbH abgeschlossenen Nutzungsvereinbarung (Art. 6 Abs. 1 lit. b DSGVO / Art. 31 Abs. 1 nFADG), aufgrund gesetzlicher Archivierungspflichten (Art. 46 ArG: 5 Jahre) und aufgrund der Einwilligung der betroffenen Personen (Arbeitsvertrag).

5. Hosting & Drittanbieter

Daten werden bei den folgenden Auftragsverarbeitern bearbeitet:

• Supabase (Datenbank + Auth) — Rechenzentrum Frankfurt, EU
• Vercel Inc. (App-Hosting, Cron-Jobs) — Rechenzentren in der EU (fra1) und USA (iad1)
• Meta Platforms Ireland Ltd. (WhatsApp Cloud API) — zur Zustellung der WhatsApp-Nachrichten
• Anthropic Ireland Ltd. (Claude API) — optionale NLP-Klassifikation von Freitext-Nachrichten
• Resend, Inc. (USA) — transaktionaler E-Mail-Versand (Auth-Mails, Support, Settlement-Reports)
• Stripe Payments Europe, Ltd. (Irland, EU) — Zahlungsabwicklung und Abonnement-Verwaltung
• Functional Software, Inc. (Sentry) — Error-Tracking und Performance-Monitoring; Datenhaltung in der EU-Region
• Google Ireland Ltd. (Google Analytics 4) — anonymisierte Nutzungsanalyse der Marketing-Website (IP-Anonymisierung aktiv)

Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge (AVV/DPA). Übermittlungen in die USA erfolgen auf Grundlage der EU-Standardvertragsklauseln und — soweit anwendbar — des EU-US Data Privacy Framework.

6. Aufbewahrungsdauer & Löschung

Während des Vertragsverhältnisses bleiben die Daten des Betriebs in der Plattform aktiv. Nach Kündigung des Abonnements — oder wenn die 30-tägige Testphase ohne Buchung eines Abonnements abläuft und das Konto auf inaktiv gesetzt wird — gewähren wir eine Frist von 30 Tagen, in der der Kunde sämtliche Daten (Mitarbeiterstammdaten, Schichten, Zeiteinträge, Monatsabschlüsse, Audit-Trail) als CSV/JSON herunterladen oder die Rückgabe in einem strukturierten Format anfordern kann.

Nach Ablauf dieser 30-Tage-Frist werden alle Personendaten des Betriebs in Produktiv- und Backup-Systemen unwiderruflich gelöscht oder anonymisiert. Gastrora hält darüber hinaus keine Personendaten des Kunden vor.

Die gesetzliche Pflicht zur fünfjährigen Aufbewahrung der Arbeitszeit-Unterlagen nach Art. 46 ArG trifft den Arbeitgeber (Kunden). Es liegt daher in der Verantwortung des Kunden, vor Ablauf der 30-Tage-Frist die exportierten Daten in der eigenen Infrastruktur abzulegen und gemäss Art. 46 ArG aufzubewahren.

Zahlungs- und Abonnement-Daten werden von Stripe gemäss deren eigenen gesetzlichen Aufbewahrungspflichten gehalten. Technische Logs (Vercel, Sentry) werden nach den Standardfristen der jeweiligen Anbieter gelöscht.

7. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenportabilität bezüglich der über Sie bearbeiteten Daten. Anfragen richten Sie bitte an info@gastrora.ch.

8. Cookies & Analytics

Im Dashboard verwendet Gastrora ausschliesslich technisch notwendige First-Party-Cookies zur Aufrechterhaltung der Login-Session (Supabase Auth). Keine Werbe-Cookies, keine Profilbildung im Produkt.

Auf der öffentlichen Marketing-Website (gastrora.ch) setzen wir Google Analytics 4 mit aktivierter IP-Anonymisierung ein, um aggregierte Nutzungsdaten zur Verbesserung der Inhalte zu erheben. GA4 verwendet First-Party-Cookies (z. B. _ga,_ga_*). Es findet keine Werbe-Verknüpfung statt; Google Signals und Demografie-Berichte sind deaktiviert. Sie können die Erhebung jederzeit über ein Browser-Add-on (Google Analytics Opt-out) unterbinden.

9. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen. Die jeweils aktuelle Version ist unter dieser Adresse abrufbar.