Datenschutzerklärung

Version 1.2 · Letzte Aktualisierung: 10. Oktober 2026

1. Einleitung und rechtlicher Rahmen

Die vorliegende Datenschutzerklärung beschreibt, wie personenbezogene Daten im Rahmen der Anwendung Workin (https://app.workin.app) und der Präsentationswebsite (https://workin.app), herausgegeben von Pi-Com Sàrl, erhoben und verarbeitet werden. Sie ist unter Einhaltung folgender Vorgaben erstellt:

• des revidierten Schweizer Bundesgesetzes über den Datenschutz (revDSG), revidiert und seit dem 1. September 2023 in Kraft, sowie seiner Verordnung (DSV) ;
• der Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679), soweit sie anwendbar ist (Nutzer oder Kundenunternehmen mit Sitz in der EU / im EWR).

2. Rollen: Verantwortlicher und Auftragsverarbeiter

Workin handelt je nach den betroffenen Daten in doppelter Funktion:

• Pi-Com Sàrl ist AUFTRAGSVERARBEITER für die Daten, die das Kundenunternehmen und seine Mitglieder in Workin erfassen: die Daten der Mitarbeitenden (Stempelungen, Stunden, Geolokalisierung, Urlaub, Arztzeugnisse usw.) und die Daten des Moduls Projekte (Kunden und deren Kontakte, Projekte, Dokumente, Zeit pro Projekt). In diesem Fall ist das Kundenunternehmen der für die Verarbeitung Verantwortliche. Die Bedingungen dieser Auftragsverarbeitung sind im Auftragsverarbeitungsvertrag (DPA) festgelegt, der auf Anfrage verfügbar ist.
• Pi-Com Sàrl ist VERANTWORTLICHER für: die Kontodaten der Administratoren und die Verwaltung der Vertragsbeziehung (Registrierung, Abonnement, Rechnungsstellung, Support); die Daten der Präsentationswebsite; die technischen Daten, die für die Sicherheit und den Betrieb des Dienstes erforderlich sind (Protokolle, Fehler-Monitoring).

Kontaktdaten:

• Verantwortlicher: Pi-Com Sàrl, Rue de Lausanne 22, 1030 Bussigny, Schweiz
• IDE / Register: CHE-490.271.650
• Kontakt « Datenschutz »: app@workin.app

Da Pi-Com Sàrl in der Schweiz niedergelassen ist und die Verarbeitung von Daten von in der EU befindlichen Personen nicht regelmäßig in großem Umfang erfolgt, hat Pi-Com nach gegenwärtigem Stand keinen Vertreter in der EU (Art. 27 DSGVO) und keinen Datenschutzbeauftragten (DPO) benannt. Diese Einschätzung wird im Hinblick auf die Entwicklung der Tätigkeit überprüft.

3. Kategorien der erhobenen Daten

3.1. Konto- und Identitätsdaten

Vorname, Name, E-Mail-Adresse (Firebase Authentication); Passwort (gehasht, niemals im Klartext für Pi-Com zugänglich); Postanschrift (optional); bevorzugte Sprache und bevorzugtes Design; Rolle (Administrator, Manager, Mitarbeitender) und Unternehmen der Zugehörigkeit.

3.2. Daten zur Arbeitszeit (Mitarbeitende)

Stempelungen (Start-/Endzeiten, Pausen, Nettodauern, mehrere Sitzungen); zeitgestempelte Timeline der Ereignisse; Art des für das Stempeln verwendeten Geräts; vertragliche Parameter (Beschäftigungsgrad, Stunden pro Tag, Einsatzzeiträume, Vertragsart, Salden und Überträge); Überstunden und deren Auszahlung.

3.3. Geolokalisierungsdaten

GPS-Position (Breitengrad, Längengrad, Genauigkeit), erfasst bei jedem Stempelereignis (Beginn, Pause, Ende), wenn die Geolokalisierung aktiviert ist. Sie ist standardmäßig deaktiviert: Das Unternehmen aktiviert sie (Pro-Plan). Jedes Mitglied kann sie dann in « Mein Profil » jederzeit für sich selbst deaktivieren; seine Wahl wird gespeichert (Datum, Status). Der Browser fragt zudem um die Erlaubnis, auf den Standort zuzugreifen. Die entsprechende Adresse wird nicht gespeichert: Sie wird bei der Anzeige durch umgekehrtes Geocoding berechnet (Nominatim / OpenStreetMap, siehe § 6).

3.4. Urlaubs- und Abwesenheitsdaten

Urlaubsanträge (Daten, Abwesenheitsart, Grund, Status, Arbeitstage, Kommentare) und als Anhang hochgeladene Arztzeugnisse (siehe 3.5).

3.5. Sensible Daten / besonders schützenswerte Daten

Bestimmte Daten fallen unter die besonderen Kategorien (Art. 9 DSGVO) und die besonders schützenswerten Daten (Art. 5 Bst. c revDSG):

• Arztzeugnisse (Gesundheitsdaten): als Nachweise hochgeladene Dateien, gespeichert in Firebase Storage. Der Zugang ist auf den betroffenen Mitarbeitenden, die Administratoren und den benannten Manager beschränkt. Diese Dateien werden bei der Löschung des Kontos des Mitarbeitenden oder des Unternehmens endgültig bereinigt;
• Daten, die den Gesundheitszustand offenbaren, über die Abwesenheitsarten (Krankheit, Unfall, Mutterschaft, Vaterschaft);
• Geolokalisierung (kann Bewegungen / Gewohnheiten offenbaren).

Die Verarbeitung dieser Daten liegt in der Verantwortung des Kundenunternehmens (Arbeitgeber), das über eine geeignete Rechtsgrundlage verfügen muss (vgl. § 5).

3.6. Rechnungs- und Abonnementdaten

Abonnementstatus (Plan, Anzahl der Plätze, Währung, Status, Daten); Stripe-Kundenkennung und Rechnungsverlauf (von Stripe verwaltet). Die Kreditkartendaten werden ausschließlich von Stripe verarbeitet und niemals von Pi-Com gespeichert (das nur die Marke und die letzten 4 Ziffern zur Anzeige erhält).

3.7. Technische Daten, Protokolle und Monitoring

Serverprotokolle (Google Cloud Logging / Error Reporting); Fehlerberichte und Leistungsmessungen der Anwendung über Sentry, übermittelt ohne Namen oder E-Mail-Adresse, aber mit technischen Kennungen (Unternehmen, Mitglied, betroffenes Datum), siehe § 11; Daten zur Ratenbegrenzung (Zähler pro IP-Adresse, E-Mail-Adresse oder Kennung); von reCAPTCHA Enterprise (App Check) verarbeitete Signale zum Missbrauchsschutz; lokal im Browser gespeicherte Daten (vgl. § 8).

3.8. Daten des Konnektors KI-Assistent

Wenn das Unternehmen den Konnektor KI-Assistent aktiviert (Pro-Plan) und ein Mitglied einen Assistenten seiner Wahl damit verbindet, verarbeitet Workin:

• Verbindungen: die Kennung des Mitglieds, den von der verbundenen Anwendung angegebenen Namen und ihre Rücksprungdomain, die gewährte Stufe (nur Lesen oder Lesen und Schreiben), die Daten der Erstellung und der letzten Nutzung. Die Zugriffstoken werden nur in Form eines Fingerabdrucks (Hash) aufbewahrt; sie können nicht wieder ausgelesen werden. Eine Verbindung wird bis zu ihrem Widerruf oder nach 90 Tagen ohne Nutzung aufbewahrt und danach innerhalb von 30 Tagen gelöscht. Die Fingerabdrücke der Token einer widerrufenen Verbindung werden spätestens 90 Tage danach gelöscht.
• Registrierungen der verbundenen Anwendungen: technische Metadaten, die von der Anwendung geliefert werden (Name, Rücksprungadressen), nach 90 Tagen ohne Nutzung gelöscht (30 Tage, wenn die Anwendung nie benutzt wurde).
• Persönliche Administrations-Token: Bezeichnung, Daten der Erstellung und der letzten Nutzung; nur der Fingerabdruck des Tokens wird aufbewahrt, bis zu seinem Widerruf.
• Journal: für jede Aktion eines Assistenten das Datum, das Mitglied, die Aktion, das betroffene Element und eine Zusammenfassung (zum Beispiel « 90 Min. am 22.09.2026 auf Website »). Bei einem Zeiterfassungstag oder einer Projektzeit bewahrt das Journal zudem den Zustand vor und nach dem Schreibvorgang auf (Beginn- und Endzeit, Pause, Notiz, Aufteilung pro Projekt) und, bei einem gelöschten Tag, dessen vollständige Kopie, damit er wiederhergestellt werden kann. Jedes Mitglied liest die Einträge der von ihm veranlassten Aktionen; die Administration liest das gesamte Journal.
• Versionen: der von einem Assistenten ersetzte Text (Projekttext oder Seite), aufbewahrt, um seine Wiederherstellung zu ermöglichen (20 Versionen pro Element).

Zwecke: den vom Mitglied gewünschten Dienst erbringen, dem Unternehmen erlauben, zu kontrollieren, was die Assistenten tun (Journal, Widerruf, Obergrenze Nur Lesen), einen unerwünschten Schreibvorgang rückgängig machen, den Dienst absichern (Ratenbegrenzung, Erkennung der Wiederverwendung von Token). Rechtsgrundlage: Vertragserfüllung und berechtigtes Interesse an der Sicherheit.

Anbieter des Assistenten. Die von einem Assistenten gelesenen Daten werden an den Anbieter des Assistenten übermittelt, den das Mitglied selbst gewählt und verbunden hat: Namen von Kunden, Projekten und Aufgaben, Status, Fälligkeiten, Zuweisungen, Schätzungen, Beträge und Zeit pro Projekt; eingesehene Texte und Seiten; Vor- und Nachnamen der Mitglieder und der externen Personen; pro Projekt erfasste Zeit; Zeiterfassungstage (Datum, Beginn- und Endzeit, Pause, Nettodauer, Notiz, Aufteilung pro Projekt, laufender Timer) des Mitglieds und, wenn es Administrator oder Manager ist, der von ihm verwalteten Mitglieder. Dieser Anbieter ist kein Auftragsverarbeiter von Pi-Com: Er verarbeitet diese Daten nach seinen eigenen Bedingungen und seiner eigenen Datenschutzerklärung, unter der Verantwortung des nutzenden Unternehmens und des Mitglieds. Der Konnektor gewährt nie Zugriff auf Urlaubsanträge, Arten und Gründe von Abwesenheiten, Arztzeugnisse, Salden, Verträge, Löhne, Geolokalisierung, Kundenkontaktdaten, E-Mail-Adressen der Mitglieder, angehängte Dateien oder Einstellungen; er kann lediglich angeben, dass ein Tag eine Abwesenheit ist, ohne deren Art oder Grund zu nennen.

3.9. Daten des Moduls Projekte

Wenn das Unternehmen das Modul Projekte nutzt, verarbeitet Workin:

• die Kundendatensätze des Unternehmens: Name, Referenz, Adresse, Kontaktperson, E-Mail, Telefon, Notiz;
• die Projekte und Aufgaben: Name, Status, Fälligkeit, Schätzung, Betrag, Zuweisung, Texte;
• die Dokumente: verfasste Seiten und hochgeladene Dateien;
• die pro Projekt erfasste Zeit: Datum, Dauer, Notiz, Urheber;
• die externen Personen (Personen ohne Konto, durch eine Bezeichnung benannt) und die Teams.

Diese Daten können Dritte betreffen, zum Beispiel die Kontakte der Kunden des Unternehmens, das dafür verantwortlich ist. Ein in den Papierkorb verschobenes Element wird 60 Tage lang aufbewahrt, bevor es endgültig gelöscht wird.

3.10. Benachrichtigungen auf dem Gerät

Wenn ein Mitglied die Benachrichtigungen auf einem Gerät aktiviert, speichert Workin das Abonnement dieses Geräts: vom Benachrichtigungsdienst des Browsers bereitgestellte technische Adresse, Verschlüsselungsschlüssel, Browsertyp, Datum. Die Benachrichtigungen (offen gebliebener Timer, Urlaub, Monatsfreigabe, Warnungen zur geschätzten Zeit) werden verschlüsselt über diesen Dienst (Google, Apple, Mozilla oder Microsoft) übermittelt; ihr Text kann den Namen eines Unternehmens, eines Projekts oder eines Mitglieds enthalten. Das Abonnement wird gelöscht, wenn das Mitglied die Benachrichtigungen deaktiviert, wenn der Dienst es für ungültig erklärt oder bei der Löschung des Kontos.

3.11. Integrationen

Wenn ein Administrator einen Drittdienst verbindet (ClickUp, Pro-Plan), importiert und synchronisiert Workin auf Weisung des Unternehmens: die Mitglieder des ClickUp-Bereichs (Name, E-Mail), die Listen und Aufgaben (Name, Status, Fälligkeit, Zuweisung, Beschreibung, Anhänge), die Dokumente und die erfassten Zeiten. Das Zugriffstoken wird verschlüsselt aufbewahrt und bei der Trennung des Dienstes gelöscht; die importierten Daten verbleiben in Workin.

4. Zwecke der Verarbeitung

5. Rechtsgrundlagen

Auf Seiten des Kundenunternehmens (Verantwortlicher für seine Mitarbeitenden; indikative Grundlagen): Erfüllung des Arbeitsvertrags (Art. 6(1)(b) DSGVO; Art. 31 revDSG); gesetzliche Pflicht (Art. 6(1)(c) DSGVO) für die Aufbewahrung der Arbeitszeitdaten; berechtigtes Interesse (Art. 6(1)(f) DSGVO) für die interne Organisation und die Missbrauchsprävention; Einwilligung (Art. 6(1)(a) und 9(2)(a) DSGVO) für die Geolokalisierung und gegebenenfalls die Gesundheitsdaten. Die genaue Einordnung obliegt jedem Unternehmen als Verantwortlichem.

Auf Seiten von Pi-Com (Verantwortlicher): Erfüllung des Vertrags (AGB / Abonnement); gesetzliche Pflicht (buchhalterische Aufbewahrung); berechtigtes Interesse (Sicherheit, Betrugsprävention, Monitoring, Verbesserung des Dienstes).

6. Auftragsverarbeiter und Empfänger

Pi-Com greift auf die folgenden Auftragsverarbeiter zurück, die aufgrund ihrer Sicherheitsgarantien ausgewählt wurden. Keiner ist berechtigt, die Daten zu anderen Zwecken als der Erbringung seines Dienstes für Pi-Com zu verwenden.

Weitere Empfänger. Die folgenden Dienste erhalten Daten, ohne Auftragsverarbeiter von Pi-Com zu sein:

• Benachrichtigungsdienste der Browser (Google, Apple, Mozilla, Microsoft): Sie übermitteln die Benachrichtigungen, die ein Mitglied aktiviert hat (siehe 3.10); ihr Inhalt ist Ende-zu-Ende-verschlüsselt.
• OpenStreetMap (Nominatim): Wenn eine berechtigte Person die Adresse einer geolokalisierten Stempelung anzeigt, sendet ihr Browser die Koordinaten an diesen Dienst, der auch ihre IP-Adresse sieht.
• Vom Kunden verbundener Drittdienst (zum Beispiel ClickUp, siehe 3.11): Workin liest dort die Daten, die der Kunde importieren möchte; es werden keine Daten von Workin dorthin gesendet.
• Anbieter eines KI-Assistenten, der von einem Mitglied verbunden wurde (siehe 3.8): Er wird vom Mitglied gewählt und verbunden, das ihm Daten von Workin übermittelt, unter der Verantwortung des nutzenden Unternehmens.

Die Schriftarten der Anwendung (Arimo, Inter) sind selbst gehostet: Es wird keine Anfrage an die Server von Google Fonts gesendet. Die Anwendung verwendet kein Werkzeug zur Reichweitenmessung; nur die Präsentationswebsite verwendet eines, mit Ihrer Einwilligung (siehe § 8.2).

7. Datenübermittlungen außerhalb der Schweiz / der EU

Die Daten der Anwendung werden in der Schweiz und in der Europäischen Union gehostet (siehe § 6). Einige Auftragsverarbeiter können Daten in den Vereinigten Staaten verarbeiten: Resend, die US-Einheit von Stripe, Google LLC und Functional Software, Inc. (Sentry) als Muttergesellschaften, Google Analytics für die Website. Diese Übermittlungen sind durch geeignete Garantien geregelt, insbesondere die Standardvertragsklauseln (SCC) der Europäischen Kommission (Art. 46 DSGVO) und die vom EDÖB anerkannten Standardklauseln für Übermittlungen aus der Schweiz, gegebenenfalls ergänzt durch den Beitritt des Empfängers zum EU-US Data Privacy Framework (DPF) und seiner Schweizer Erweiterung. Die übrigen in § 6 genannten Empfänger (Benachrichtigungsdienste, OpenStreetMap, Anbieter des KI-Assistenten) verarbeiten die Daten nach ihren eigenen Bedingungen, gegebenenfalls außerhalb der Schweiz und der Europäischen Union.

8. Cookies, Reichweitenmessung und lokale Speicherung

8.1 Streng notwendige Elemente (ohne Einwilligung)

Die Anwendung Workin beruht auf der lokalen Speicherung des Browsers (localStorage, sessionStorage, IndexedDB) und der Firebase-Authentifizierung, die für den Betrieb des Dienstes streng notwendig sind:

Da diese Elemente streng notwendig sind, erfordern sie keine vorherige Einwilligung.

8.2 Reichweitenmessung der Website (mit Einwilligung)

Die Präsentationswebsite workin.app verwendet Google Analytics 4 (geladen über Google Tag Manager), um die Besucherzahlen zu messen und die Inhalte zu verbessern. Diese Mess-Cookies werden erst nach Ihrer ausdrücklichen Einwilligung gesetzt (Banner bei Ihrem ersten Besuch angezeigt); die IP-Adresse wird anonymisiert. Sie können jederzeit ablehnen oder Ihre Wahl ändern über den Link « Cookies verwalten » am Seitenende. Die Verarbeitung erfolgt durch Google Ireland Ltd / Google LLC; eine etwaige Übermittlung außerhalb der EU/Schweiz ist durch geeignete Garantien (Standardvertragsklauseln) geregelt. Ihre Wahl wird in Ihrem Browser gespeichert (workin-consent).

9. Aufbewahrungsfristen

Einschränkung im Zusammenhang mit dem Arbeitsrecht: Ein Mitarbeitender, der noch in mindestens einem Unternehmen aktiv ist, kann sich nicht selbst löschen. Der Löschung muss eine Entfernung durch den Arbeitgeber vorausgehen, aufgrund der gesetzlichen Pflichten zur Aufbewahrung der Zeiterfassungsdaten.

Gelöschte Bereiche: Wenn ein Bereich gelöscht wird, durch seinen Administrator oder wegen Inaktivität (kostenlose Bereiche, 60 Tage nach dem letzten Öffnen und nach zwei Warnungen per E-Mail, gemäß dem Grundsatz der Verhältnismäßigkeit des revDSG), wird eine technische Kopie seiner Daten, ohne die Dateien, zu Sicherheitszwecken 180 Tage lang aufbewahrt und anschließend gelöscht. Bei der Löschung eines Bereichs wird sein kostenpflichtiges Abonnement gekündigt und der ClickUp-Zugriff aus Workin entfernt.

10. Rechte der betroffenen Personen

Gemäß dem revDSG und der DSGVO verfügt jede Person über die folgenden Rechte: Auskunft (Art. 25 revDSG; 15 DSGVO), Berichtigung (Art. 32 revDSG; 16 DSGVO), Löschung (Art. 17 DSGVO; 32 revDSG), Datenübertragbarkeit (Art. 28 revDSG; 20 DSGVO) (Workin bietet einen JSON-Export Ihrer Zeit- und Abwesenheitsdaten über « Mein Profil »), Widerspruch (Art. 21 DSGVO; 30 revDSG), Einschränkung (Art. 18 DSGVO) und Widerruf der Einwilligung jederzeit (insbesondere Geolokalisierung).

Modalitäten der Ausübung: Für die von Pi-Com als Auftragsverarbeiter verarbeiteten Daten (Daten der Mitarbeitenden) wendet sich die Person grundsätzlich an ihren Arbeitgeber (das verantwortliche Kundenunternehmen); Pi-Com unterstützt sie. Für die Daten, für die Pi-Com Verantwortlicher ist (Administratorkonto, Rechnungsstellung), werden die Anfragen an app@workin.app gerichtet. Die Antwort erfolgt innerhalb der gesetzlichen Fristen (grundsätzlich 30 Tage). Die Identität der antragstellenden Person kann vor der Bearbeitung der Anfrage überprüft werden.

11. Sicherheit

Pi-Com setzt geeignete technische und organisatorische Maßnahmen um, insbesondere: Verschlüsselung bei der Übertragung (HTTPS/TLS) und im Ruhezustand (Google-Cloud-Infrastruktur); strikte Mandantentrennung (Sicherheitsregeln von Firestore und Storage); Authentifizierung mit obligatorischer E-Mail-Verifizierung; App Check (reCAPTCHA Enterprise); rollenbasierte Zugriffskontrolle; Ratenbegrenzung; HTTP-Sicherheitsheader (strikte CSP usw.); Entfernung der Namen und E-Mail-Adressen vor der Übermittlung an das Monitoring; Verschlüsselung der Integrations-Token; Protokollierung sensibler Handlungen.

Im Falle einer Datenschutzverletzung, die ein Risiko hervorrufen kann, benachrichtigt Pi-Com die zuständige Behörde (den EDÖB in der Schweiz und/oder die betroffene EU-Aufsichtsbehörde) schnellstmöglich (grundsätzlich innerhalb von 72 Stunden, wenn die DSGVO anwendbar ist) und informiert die betroffenen Personen, wenn das Gesetz dies verlangt.

12. Minderjährige

Der Dienst ist für eine berufliche Nutzung im Rahmen eines Arbeitsverhältnisses bestimmt. Er richtet sich außerhalb dieses Rahmens nicht an Minderjährige. Wenn ein minderjähriger Lernender betroffen ist, liegt die Verarbeitung in der Verantwortung des Arbeitgebers, der die Einhaltung der spezifischen Regeln für die Daten Minderjähriger sicherstellt.

13. Recht auf Beschwerde bei einer Aufsichtsbehörde

Jede betroffene Person kann eine Beschwerde bei der zuständigen Behörde einreichen:

• In der Schweiz: der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), www.edoeb.admin.ch;
• In der Europäischen Union: die Aufsichtsbehörde des Wohnsitzstaates (z. B. die CNIL in Frankreich).

14. Änderungen der vorliegenden Erklärung

Pi-Com kann die vorliegende Erklärung ändern, um rechtlichen oder technischen Entwicklungen Rechnung zu tragen. Die anwendbare Fassung ist die unter der Adresse https://workin.app/confidentialite veröffentlichte. Im Falle einer wesentlichen Änderung werden die betroffenen Nutzer auf geeignete Weise informiert.

15. Kontakt

E-Mail: app@workin.app
Herausgeber: Pi-Com Sàrl, Rue de Lausanne 22, 1030 Bussigny, Schweiz
IDE: CHE-490.271.650