Datenschutzerklärung

Zuletzt aktualisiert: 2026-05-23

1. Verantwortlicher und räumlicher Geltungsbereich

Giacomo Cacciatore
E-Mail: info@turnix.ch
Für formelle postalische Anfragen kontaktieren Sie uns bitte per E-Mail, um die Postanschrift des Verantwortlichen anzufordern; die Beantwortung von Datenschutzanfragen erfolgt innerhalb von 30 Tagen ab Versand.

Mindestalter für die Nutzung: 18 Jahre (der Dienst richtet sich an volljährige Fachkräfte im Gesundheitswesen) oder, alternativ, das im Wohnsitzland des Nutzers festgelegte Mindestalter für die digitale Einwilligung (Art. 8 DSGVO: zwischen 13 und 16 Jahren je nach Mitgliedstaat) mit ausdrücklicher Genehmigung der erziehungsberechtigten Person. Für das Vereinigte Königreich gilt zusätzlich der UK Age Appropriate Design Code 2020 der ICO. Turnix erhebt oder verarbeitet wissentlich keine Daten von Minderjährigen ohne die gesetzlich vorgeschriebenen Genehmigungen; jede festgestellte rechtswidrige Verarbeitung wird umgehend gelöscht.

Turnix kann in den folgenden 32 Rechtsordnungen genutzt werden:

Diese Erklärung entspricht:

Die Schweiz profitiert von einem EU-Angemessenheitsbeschluss (15. Januar 2024, Beschluss 2024/254 der Europäischen Kommission). Das Vereinigte Königreich profitiert von einem EU-Angemessenheitsbeschluss (28. Juni 2021, Beschluss 2021/1772), der derzeit in Kraft ist und periodisch überprüft wird.

2. Erhobene Daten

Kategorien von Gesundheitsdaten (Art. 9 DSGVO / Art. 5 revDSG): Zum gegenwärtigen Zeitpunkt erhebt Turnix KEINE biometrischen Daten, genetischen Daten, Daten zu religiösen-philosophischen-politischen-gewerkschaftlichen Meinungen, ethnischer/rassischer Herkunft, Sozial- oder Strafdaten. Die Arbeitsschichtdaten stellen ordentliche personenbezogene Daten dar.

Optionale zukünftige Funktion — Menstruationszyklus-Tracking: Turnix sieht vor, in einer zukünftigen Version eine optionale Funktion für die manuelle Verfolgung des Menstruationszyklus einzuführen (fällt unter „Gesundheitsdaten" im Sinne von Art. 9 Abs. 1 DSGVO). Diese Funktion ist derzeit NICHT aktiviert und wird ausschliesslich über ein separates ausdrückliches Opt-in mit dediziertem Consent-UI aktivierbar sein (Rechtsgrundlage: Art. 9 Abs. 2 Buchst. a DSGVO — ausdrückliche Einwilligung; für die Schweiz: Art. 6 Abs. 7 Buchst. a nDSG). Der Nutzer kann die Funktion jederzeit mit vollständiger Löschung der zugehörigen Daten deaktivieren, ohne das Konto löschen zu müssen. Die vorliegende Datenschutzerklärung wird im Moment der Aktivierung mit einem dedizierten Abschnitt „Menstruationszyklus-Tracking" aktualisiert.

Keine automatisierte Profilbildung: Turnix nimmt KEINE Profilbildung und keine automatisierten Entscheidungen über Ihre Daten im Sinne von Art. 22 DSGVO / UK GDPR / Art. 21 nDSG vor. Die visuelle Gruppierung von pHash-Clustern ist ein deterministischer Bildvergleich (Hash-Fingerabdruck der perzeptuellen Wahrnehmung der PDF-Zelle) und stellt weder eine Profilbildung noch eine automatisierte Bewertung persönlicher Aspekte des Nutzers dar. Die Cluster-Klassifizierung „Arbeit/Ruhe" wird stets manuell vom Nutzer in den Statistiken angegeben.

3. Zwecke und Rechtsgrundlage

Rechtsgrundlage gemäss DSGVO (EU + EWR) und UK GDPR:

Rechtsgrundlage gemäss revDSG (Schweiz): Bearbeitung erforderlich zur Vertragserfüllung, zur Wahrung der berechtigten Interessen des Verantwortlichen und auf der Grundlage der ausdrücklichen Einwilligung des Nutzers für akzessorische Zwecke (Art. 31 revDSG).

4. Datenspeicherung

Die Daten werden gespeichert, solange das Konto aktiv ist. Nutzer können alle eigenen Daten jederzeit über Einstellungen → Alle Daten zurücksetzen löschen. Nach der Löschung werden die Daten innerhalb von 30 Tagen aus den Backups entfernt.

Spezifische Aufbewahrungsfristen pro Kategorie:

5. Drittanbieter (Auftragsverarbeiter)

Supabase Inc. (Datenspeicherung, Authentifizierung) — Server in der Region: eu-west-1 (Irland, EU). DPA verfügbar unter supabase.com/privacy.

RevenueCat Inc. (Abonnementverwaltung) — Datenschutzerklärung: revenuecat.com/privacy. RevenueCat erhält lediglich eine anonyme Kennung des Kaufs, nicht die Schichtdaten.

Google Mobile Ads / AdMob (Google LLC) — nur für Freemium-Nutzer (nach 14-tägiger Testphase, kein Premium-Abonnement). Zeigt kleine, nicht-invasive Werbebanner. AdMob kann die Werbe-ID des Geräts (Advertising ID Android / IDFA iOS), IP-Adresse und Informationen zur Interaktion mit Anzeigen erheben. ES WERDEN KEINE Schicht- oder personenbezogenen Daten geteilt. Datenschutzerklärung: policies.google.com/privacy. Anzeigentypen (personalisiert vs. nicht-personalisiert) sind über das UMP-SDK-Consent beim ersten App-Start steuerbar + Reset in Einstellungen → „Werbe-Einwilligung zurücksetzen". Premium-Nutzer (CHF/EUR 19,90/Jahr) erhalten KEINE Anzeigen und Google Mobile Ads wird für sie NICHT aktiviert.

Google LLC — Google Calendar API (nur Premium-Nutzer, die die optionale Synchronisation aktivieren). Die App greift ausschliesslich auf den Scope „calendar.events" zu (CRUD auf Ereignissen des primären Kalenders des Nutzers, KEIN Zugriff auf die Kalenderliste noch Lesen anderer Ereignisse). OAuth-Token werden ausschliesslich auf dem Gerät gespeichert (Hive box „google_calendar_sync_v1"), niemals an Turnix-Server übermittelt. Der Nutzer kann den Zugriff jederzeit über Einstellungen → Google Kalender Synchronisation → Trennen entkoppeln oder widerrufen, oder über myaccount.google.com → Sicherheit. Google erhält die Ereignisse (Datum, Uhrzeit, Cluster-Bezeichnung), aber KEINE sensiblen Daten (Name des Mitarbeiters, OCR-Schichtcode), konform mit dem Prinzip „Strada B Pura".

Google LLC — Firebase Cloud Messaging (FCM). Nur Enterprise-Team-Modus für den Empfang von Push-Benachrichtigungen, wenn der Vorgesetzte ein PDF verteilt. Der FCM-Token wird auf Supabase gespeichert (RLS aktiv, nur für das Cloud Run Backend zugänglich). Datenschutzerklärung: firebase.google.com/support/privacy.

Sentry (Functional Software Inc.) — Crash-Diagnose und Stabilität. Server in der EU-Region: Sentry Frankfurt (ingest.de.sentry.io). Empfängt nur Stack-Traces, App-Version, Gerätemodell und Betriebssystem. Das Flag sendDefaultPii=false ist konfiguriert — ES WERDEN KEINE personenbezogenen Daten (E-Mail, IP, Nutzerkennungen) übermittelt. Datenaufbewahrung 90 Tage. Datenschutzerklärung: sentry.io/privacy.

Es werden keine Schichtdaten zu Werbezwecken an Dritte verkauft oder weitergegeben.

5.1 Cookies und Tracking-Technologien

Konformität mit der ePrivacy-Richtlinie 2002/58/EG (in jedem EU/EWR-Mitgliedstaat umgesetzt, z. B. TTDSG § 25 DE — Telekommunikation-Telemedien-Datenschutz-Gesetz, d.lgs. 196/2003 Art. 122 IT, LIL Art. 82 FR, LSSI-CE Art. 22 ES) + UK Privacy and Electronic Communications Regulations (PECR) 2003 + nDSG Art. 45c CH.

Mobile App Turnix: Verwendet KEINE HTTP-Cookies (native Apps haben keine Browser-Cookies). Lokaler Speicher wird ausschliesslich verwendet für:

AdMob Werbung (Freemium-Nutzer): Das Google UMP SDK verwaltet die ausdrückliche Einwilligung gemäss Art. 6 Abs. 1 lit. a DSGVO / UK GDPR + ePrivacy-Richtlinie 2002/58/EG für Nutzer in EU/EWR/UK/CH. Möglichkeit zum Widerruf der Einwilligung: Einstellungen → „Werbe-Einwilligung zurücksetzen" (öffnet den UMP-SDK-Consent-Dialog erneut).

Website turnix.ch: Verwendet ausschliesslich technisch notwendige Cookies (keine Analytics, kein Tracking, keine Profilbildung, keine Drittanbieter-Cookies). Es ist keine Cookie-Einwilligung erforderlich gemäss TTDSG § 25 Abs. 2 DE + EDPB-Cookie-Leitlinien 03/2022.

5.2 Datenschutzbeauftragter (DSB)

Turnix ist nicht verpflichtet, einen Datenschutzbeauftragten (DSB) im Sinne von Art. 37 Abs. 1 DSGVO / UK GDPR / Art. 10 nDSG zu benennen: Der Verantwortliche ist keine Behörde, führt keine umfangreiche Verarbeitung sensibler Daten (Art. 9-10 DSGVO) durch und überwacht betroffene Personen nicht systematisch in grossem Umfang. Eine Datenschutz-Folgenabschätzung (DSFA Art. 35 DSGVO) ist für die von Turnix durchgeführte Verarbeitung gemäss den Kriterien WP248 EDPB nicht erforderlich.

Für jede Anfrage in Bezug auf den Schutz personenbezogener Daten, die Ausübung der Rechte der betroffenen Person (siehe §7) oder Beschwerden wenden Sie sich direkt an den Verantwortlichen unter der Adresse info@turnix.ch. Beantwortung innerhalb von 30 Tagen ab Anfrage (Art. 12 Abs. 3 DSGVO).

6. Internationaler Datentransfer

Personenbezogene Daten können in den nachfolgend beschriebenen Fällen ausserhalb der EU/EWR, des Vereinigten Königreichs und der Schweiz übermittelt werden. Jede Übermittlung basiert auf geeigneten Garantien gemäss Art. 44-49 DSGVO / UK GDPR und Art. 16-18 revDSG.

Datentransfer pro Anbieter:

Für Kunden aus dem Vereinigten Königreich gilt zudem der Data Protection Act 2018 (DPA 2018) als Ergänzung zur UK GDPR. Für die Schweiz garantiert das revDSG ein Schutzniveau, das dem der DSGVO gleichwertig ist.

7. Rechte der betroffenen Person und Widerrufsrecht

Gemäss DSGVO (Art. 15-22), UK GDPR (Art. 15-22) und revDSG (Art. 25-27) hast du das Recht auf:

14-tägiges Widerrufsrecht

Zur Ausübung dieser Rechte schreibe an: info@turnix.ch

8. Aufsichtsbehörden

Du hast das Recht, Beschwerde bei der Aufsichtsbehörde deines Wohnsitzstaates oder gewöhnlichen Aufenthaltsorts einzulegen. Nachstehend die Liste der 32 zuständigen Behörden in den Rechtsordnungen, in denen Turnix nutzbar ist.

European Data Protection Board (EDPB) — offizielle aktualisierte Liste aller EU+EWR-Behörden: edpb.europa.eu/about-edpb/about-edpb/members_en

Europäische Union (27 Staaten)

Europäischer Wirtschaftsraum (EWR, 3 Nicht-EU-Staaten)

Schweiz

Vereinigtes Königreich (UK nach dem Brexit)

9. Sicherheit

Die Daten sind durch Row Level Security (RLS) auf Supabase geschützt: jede Nutzerin und jeder Nutzer greift ausschliesslich auf eigene Daten zu. Die Kommunikation erfolgt über HTTPS/TLS.

Meldung von Verletzungen des Schutzes personenbezogener Daten (Data Breach): Im Falle einer Verletzung des Schutzes personenbezogener Daten, die ein Risiko für die Rechte und Freiheiten des Nutzers mit sich bringt, wird Turnix die zuständige Aufsichtsbehörde des Wohnsitzlandes des Nutzers innerhalb von 72 Stunden nach Kenntnisnahme der Verletzung benachrichtigen, gemäss Art. 33 DSGVO / UK GDPR und Art. 24 nDSG. Sofern die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Nutzer darstellt (Art. 34 DSGVO), wird Turnix die Verletzung den Nutzern unverzüglich direkt mitteilen, in klarer und einfacher Sprache, unter Angabe von: Art der Verletzung, betroffene Daten und Kategorien, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Massnahmen zur Eindämmung der Auswirkungen, Kontaktstelle info@turnix.ch.

10. Änderungen

Wesentliche Änderungen werden über die App mitgeteilt. Die fortgesetzte Nutzung der App nach der Mitteilung gilt als Annahme.