Datenschutzerklärung
Version 2.0 · Stand: Oktober 2026
1. Verantwortlicher
NEXUS24 Security UG (haftungsbeschränkt)
Lise-Meitner-Straße 5, 42119 Wuppertal
E-Mail: info@nexus24-security.de
2. Hosting und Server-Logfiles
Diese Website wird über Lovable gehostet. Die Datenbank wird bei Supabase auf Servern in der EU betrieben. Beim Aufruf der Seite werden technisch notwendige Daten verarbeitet: die gekürzte IP-Adresse, der Zeitpunkt des Zugriffs, die aufgerufene Seite und der verwendete Browser.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb der Website.
Mit Lovable (Plattformbetrieb, Versand von System-E-Mails) und Supabase (Datenbank, Authentifizierung, Dateispeicher) bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Die vollständige Liste unserer Unterauftragsverarbeiter finden Sie in Anlage 3 unseres Auftragsverarbeitungsvertrags.
System-E-Mails (z. B. Willkommensmail, Hinweise zur Testphase, Einladung, Passwort zurücksetzen, Bestätigung einer E-Mail-Änderung) versenden wir über den E-Mail-Dienst von Lovable von der Adresse noreply@notify.nexus24-security.de. Dabei werden Ihre E-Mail-Adresse, Ihr Name und der Inhalt der jeweiligen Nachricht verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
3. Rückruf-Formular
Wenn Sie über die Startseite einen Rückruf anfragen, verarbeiten wir Firma, Ansprechpartner, E-Mail-Adresse, optional Telefonnummer, Mitarbeiterzahl und das heute eingesetzte Werkzeug. Zweck ist die Kontaktaufnahme und die Vorbereitung der Einrichtung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Über neue Anfragen werden wir per E-Mail benachrichtigt. Wir speichern die Angaben bis zur Erledigung der Anfrage, längstens 12 Monate, sofern kein Vertrag zustande kommt.
4. Registrierung einer Testfirma (Selbstregistrierung)
Konto- und Firmendaten. Bei der Registrierung unter /registrieren verarbeiten wir den Firmennamen, Vor- und Nachname, E-Mail-Adresse und Passwort (nur als Hash gespeichert) der registrierenden Person. Daraus legen wir ein Nutzerkonto, eine eigene Firmenumgebung mit 30-tägiger Testphase und einen Mitarbeiter-Datensatz für den Administrator an. Außerdem speichern wir Version und Zeitpunkt Ihrer Zustimmung zu den AGB und zum Auftragsverarbeitungsvertrag. Zweck ist die Durchführung des Vertrags einschließlich der kostenlosen Testphase; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Firma, Name und E-Mail-Adresse der registrierenden Person werden zusätzlich in unserer internen Kundenliste gespeichert, damit wir Sie während der Testphase begleiten und über den Ablauf informieren können (z. B. Hinweise 7 Tage und 3 Tage vor Testende). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Werbung erhalten Sie darüber hinaus nur mit Ihrer Einwilligung oder im Rahmen von § 7 Abs. 3 UWG.
Missbrauchsschutz (IP-Hash). Um automatisierte Massenregistrierungen zu verhindern, speichern wir bei jedem Registrierungsversuch einen Hashwert Ihrer IP-Adresse (SHA-256 mit anwendungsspezifischem Zusatz) zusammen mit dem Zeitpunkt. Die IP-Adresse selbst wird nicht gespeichert. Der Hash dient ausschließlich dazu, die Zahl der Registrierungen je Anschluss auf fünf pro Stunde zu begrenzen. Außerdem verwenden wir ein unsichtbares Formularfeld (Honeypot) zur Bot-Erkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit und Stabilität des Dienstes. Die Hashwerte werden automatisch nach spätestens 30 Tagen gelöscht.
Speicherdauer. Konto- und Firmendaten speichern wir für die Dauer des Vertrags. Wird die Testphase nicht in einen Vertrag überführt oder der Vertrag gekündigt, bleiben die Daten sechs Monate für den Export verfügbar und werden danach gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
5. Nutzerkonten und Daten in der Anwendung
Für Mitarbeiter, Disponenten, Verwaltung und ggf. Ansprechpartner von Auftraggebern mit Zugang verarbeiten wir Login-Daten sowie die vom jeweiligen Unternehmen eingegebenen Daten (Stammdaten, Qualifikationen, Schicht- und Zeitdaten, Lohn- und Abrechnungsdaten, Benachrichtigungen, Änderungsprotokoll). Zugänge vergibt ausschließlich das jeweilige Unternehmen.
Diese Verarbeitung erfolgt als Auftragsverarbeitung nach Art. 28 DSGVO auf Grundlage unseres Auftragsverarbeitungsvertrags. Verantwortlich im Sinne des Datenschutzrechts ist insoweit das jeweilige Unternehmen (Ihr Arbeitgeber bzw. Auftraggeber). Für Auskunfts- und Löschersuchen zu diesen Daten wenden Sie sich bitte an dieses Unternehmen; wir unterstützen es bei der Beantwortung.
Für unsere eigene Firma (NEXUS24 Security UG) sind wir selbst Verantwortlicher; Rechtsgrundlage ist § 26 BDSG in Verbindung mit Art. 6 Abs. 1 lit. b und c DSGVO.
6. Zahlungsabwicklung (Stripe)
Wenn Sie nach der Testphase einen kostenpflichtigen Vertrag abschließen, erfolgt die Zahlung über den Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland („Stripe"). Stripe verarbeitet die Zahlungsdaten (Kartendaten oder IBAN, Name des Kontoinhabers, Rechnungsadresse, USt-IdNr., E-Mail-Adresse, Betrag, Zeitpunkt) direkt; vollständige Karten- oder Kontodaten erreichen unsere Systeme nicht. Wir erhalten von Stripe nur eine Kundenkennung, den Zahlungs- und Abonnementstatus und ggf. die letzten Stellen des Zahlungsmittels.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Stripe handelt für die Zahlungsabwicklung als eigenständig Verantwortlicher und kann Daten an die Stripe, Inc. in den USA übermitteln; Grundlage sind die EU-Standardvertragsklauseln und die Zertifizierung nach dem EU-US Data Privacy Framework. Weitere Informationen: https://stripe.com/de/privacy. Rechnungsdaten bewahren wir nach § 147 AO zehn Jahre auf.
Bis zur Freischaltung der Online-Zahlung erfolgt die Zahlung per Überweisung gegen Rechnung.
7. Push-Benachrichtigungen
Sie können in Ihrem Konto Push-Benachrichtigungen aktivieren (z. B. für neue Schichten, Bestätigungen, Aufgaben sowie – für Disponenten und Administratoren – einen täglichen Tagesüberblick und einen monatlichen Abschlusshinweis, beide einzeln abschaltbar). Dabei speichert Ihr Browser ein Push-Abonnement, bestehend aus einer Endpunkt-Adresse beim Push-Dienst Ihres Browser-Herstellers (Google für Chrome/Android, Apple für Safari/iOS, Mozilla für Firefox) und zwei Verschlüsselungsschlüsseln. Diese Daten speichern wir zu Ihrem Nutzerkonto. Beim Versand übermitteln wir Titel, Kurztext und einen Link in die Anwendung verschlüsselt an den Push-Dienst, der die Nachricht an Ihr Gerät zustellt; der Push-Dienst kann den Inhalt nicht lesen (Web-Push-Standard).
Rechtsgrundlage ist Ihre Einwilligung über die Browser-Abfrage (Art. 6 Abs. 1 lit. a DSGVO); für Beschäftigte, deren Arbeitgeber die Anwendung einsetzt, erfolgt die Verarbeitung im Auftrag des Arbeitgebers (Abschnitt 5). Sie können Push-Benachrichtigungen jederzeit in den Einstellungen der Anwendung oder Ihres Browsers deaktivieren; ungültige Abonnements löschen wir automatisch. Die Push-Dienste von Google und Apple können Daten in den USA verarbeiten; Grundlage sind die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework.
8. Schriftarten
Diese Website lädt Schriftarten (Google Fonts) von Servern der Google Ireland Limited. Dabei wird Ihre IP-Adresse an Google übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer einheitlichen Darstellung.
Weitere Informationen finden Sie in der Datenschutzerklärung von Google.
9. KI-gestützte Funktionen
Website-Assistent. Der Chat-Assistent auf der Startseite beantwortet Fragen zu Shift Buddy. Ihre Eingaben werden über das KI-Gateway von Lovable an ein Sprachmodell von Google (Gemini) übermittelt und nur für die Antwort verarbeitet; wir speichern die Unterhaltung nicht. Bitte geben Sie im Chat keine personenbezogenen Daten ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen Beantwortung von Produktfragen).
Datenübernahme in der Anwendung. Beim Import von Tabellen oder Freitext-Monatslisten kann die Anwendung auf Auslösung eines berechtigten Nutzers Ausschnitte der Datei (höchstens die ersten Zeilen, gekürzt) bzw. den Listentext an das Sprachmodell Google Gemini über das KI-Gateway von Lovable übermitteln, um Spalten und Einsätze automatisch zu erkennen. Die Ergebnisse sind Vorschläge, die der Nutzer vor der Übernahme prüft. Diese Verarbeitung erfolgt im Auftrag des jeweiligen Unternehmens (Abschnitt 5); Google und Lovable sind als Unterauftragsverarbeiter in Anlage 3 des AVV aufgeführt. Nutzer können den Import ohne KI-Erkennung durchführen, indem sie die Spalten manuell zuordnen.
KI-Anschluss (MCP-Schnittstelle). Unternehmen können einen eigenen KI-Assistenten über eine Schnittstelle an ihre Firmendaten anbinden. Welche Daten dabei an den gewählten Assistenten übermittelt werden, bestimmt das Unternehmen; Shift Buddy gibt Daten nur nach Anmeldung und Freigabe durch einen berechtigten Nutzer heraus.
10. Keine Werbung, kein Tracking
Wir setzen keine Cookies zu Werbezwecken ein und verwenden weder Tracking noch Analyse-Tools. Der Website-Assistent (Abschnitt 9) speichert keine Unterhaltungen und setzt keine Cookies.
11. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Wenden Sie sich dazu an die oben genannte Adresse.
Soweit wir Daten im Auftrag eines Unternehmens verarbeiten (Abschnitt 5), richten Sie Ihre Anfrage bitte an dieses Unternehmen; wir leiten dort eingehende Anfragen weiter und unterstützen bei der Beantwortung. Eine erteilte Einwilligung (z. B. für Push-Benachrichtigungen) können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Düsseldorf.
12. Stand
Oktober 2026 – Version 2.0