Datenschutzerklärung

1. Verantwortlicher

altovate GmbH
Max-Planck-Str. 6
54439 Saarburg
E-Mail: support@holidayflow.io

2. Übersicht der Verarbeitungen

Diese Datenschutzerklärung informiert dich über die Art, den Umfang und die Zwecke der Verarbeitung personenbezogener Daten innerhalb unserer Anwendung „HolidayFlow" und der zugehörigen Webseite. HolidayFlow ist eine cloudbasierte SaaS-Lösung für digitale Personalplanung, Urlaubs- und Abwesenheitsverwaltung, Arbeitszeiterfassung und Reisekostenabrechnung.

3. Rollenverteilung nach DSGVO

Die altovate GmbH als Betreiberin von HolidayFlow agiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Verantwortlicher im Sinne der DSGVO ist der jeweilige Kunde (Arbeitgeber bzw. Organisation), der HolidayFlow zur Verwaltung seiner Mitarbeiterdaten einsetzt.

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich auf Weisung des Kunden. HolidayFlow verarbeitet keine Daten zu eigenen Zwecken, es sei denn, dies ist zur Bereitstellung des Dienstes oder zur Erfüllung gesetzlicher Pflichten erforderlich.

Die Rechte und Pflichten beider Parteien sind in einem separaten Auftragsverarbeitungsvertrag (AVV) geregelt, der bei Vertragsschluss Bestandteil der Vereinbarung wird.

4. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Nutzung der SaaS-Plattform)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen (z. B. Sicherheit, Betrieb)
• Art. 28 DSGVO – Auftragsverarbeitung (Verarbeitung im Auftrag des Kunden)

5. Verarbeitete Datenarten

Im Rahmen der Nutzung von HolidayFlow werden folgende Kategorien personenbezogener Daten verarbeitet:

• Mitarbeiterstammdaten – Name, E-Mail-Adresse, Beschäftigungsbeginn, Vertragsart, Arbeitstage
• Urlaubs- und Abwesenheitsdaten – Urlaubsansprüche, Urlaubsanträge, Resturlaub, sonstige Abwesenheiten
• Krankmeldungen – Zeitraum, Status (erwartet/bestätigt), AU-Eingang. Es werden ausdrücklich keine medizinischen Diagnosen, Symptome oder Gesundheitsinformationen im Sinne des Art. 9 DSGVO gespeichert – ausschließlich organisatorische Angaben.
• Arbeitszeitdaten – Arbeitsbeginn, -ende, Pausenzeiten, Überstunden
• Reisekostendaten – Reisezweck, Abfahrtsort, Ziel, Fahrtkosten, Verpflegungspauschalen, Belege
• Kommunikationsdaten – E-Mail-Adressen für Einladungen und Benachrichtigungen
• Nutzungsdaten – aufgerufene Seiten, Zeitpunkt des Zugriffs (zur Fehleranalyse)
• Vertragsdaten – Tarifwahl, Abrechnungsinformationen

6. Zwecke der Datenverarbeitung

Die Verarbeitung personenbezogener Daten erfolgt zu folgenden Zwecken:

• Digitale Personalplanung und Mitarbeiterverwaltung
• Urlaubs- und Abwesenheitsverwaltung inkl. Anspruchsberechnung
• Verwaltung und Dokumentation von Krankmeldungen
• Arbeitszeiterfassung gemäß MiLoG und BAG-Urteil 2022
• Reisekostenabrechnung und steuerliche Dokumentation
• Steuer- und DATEV-Export für die Lohnbuchhaltung
• Bereitstellung von Team-Kalender und Abwesenheitsübersichten
• Technischer Betrieb und Sicherheit der Plattform

7. Datenhoheit und Eigentum

Alle durch Kunden und deren Mitarbeiter eingegebenen Daten verbleiben im Eigentum des jeweiligen Kunden. HolidayFlow erhält keine inhaltlichen Nutzungsrechte an Kundendaten.

Die altovate GmbH nutzt Kundendaten ausschließlich zur Erbringung der vertraglich vereinbarten Dienstleistung und nicht für eigene Zwecke wie Analyse, Werbung oder Weiterverkauf.

8. Datenportabilität und Export

Gemäß Art. 20 DSGVO haben Kunden das Recht auf Datenübertragbarkeit. HolidayFlow gewährleistet dieses Recht wie folgt:

• Kunden können ihre Daten jederzeit selbstständig exportieren – direkt über die Anwendung.
• Daten werden in strukturierten, gängigen und maschinenlesbaren Formaten bereitgestellt (z. B. CSV, PDF, DATEV-kompatible Formate).
• Es besteht kein Vendor-Lock-in – alle relevanten Daten können vollständig exportiert werden.
• Der Datenexport ist auch bei Kündigung und nach Vertragsende innerhalb der Aufbewahrungsfrist möglich.

9. Datenlöschung nach Vertragsende

Nach Beendigung des Vertragsverhältnisses werden sämtliche personenbezogenen Daten des Kunden innerhalb von 90 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Vor der Löschung wird dem Kunden ausreichend Gelegenheit gegeben, seine Daten über die integrierten Exportfunktionen zu sichern. Eine gesonderte Benachrichtigung erfolgt vor Ablauf der Aufbewahrungsfrist.

Kunden können jederzeit die vorzeitige Löschung ihrer Daten per E-Mail an support@holidayflow.io beantragen.

10. Hosting und Infrastruktur

Die Anwendung wird über Lovable Cloud gehostet. Die Datenbankinfrastruktur läuft auf Servern innerhalb der Europäischen Union (AWS, Region eu-central-1 / Frankfurt). Die Datenübertragung erfolgt ausschließlich über SSL/TLS-verschlüsselte Verbindungen.

11. Subdienstleister und Drittanbieter

Zur Erbringung des Dienstes setzen wir folgende Subdienstleister ein:

• Lovable / Supabase (Hosting & Datenbank)
  Serverstandort: EU (Frankfurt, Deutschland)
• Stripe, Inc. (Zahlungsabwicklung)
  Verarbeitung von Zahlungsdaten gem. PCI-DSS; Serverstandort: EU/USA mit SCCs
• Resend (E-Mail-Versand)
  Versand von Einladungs- und Benachrichtigungs-E-Mails

Mit allen Subdienstleistern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO bzw. Standardvertragsklauseln (SCCs) für Drittlandtransfers.

12. Registrierung und Nutzerkonto

Bei der Registrierung werden folgende Daten erhoben: E-Mail-Adresse, Vor- und Nachname. Die Verarbeitung erfolgt zur Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden gespeichert, solange dein Nutzerkonto besteht.

13. Cookies und lokale Speicherung

HolidayFlow verwendet ausschließlich technisch notwendige Cookies und Local Storage, die für die Funktion der Anwendung erforderlich sind (z. B. Authentifizierungs-Token, Sitzungsdaten).

Es werden keine Tracking-Cookies, Werbe-Cookies oder Analyse-Cookies eingesetzt. Ein Cookie-Consent-Banner ist daher nicht erforderlich.

14. SSL-/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du an dem Schloss-Symbol in der Adresszeile deines Browsers und daran, dass die Adresszeile mit „https://" beginnt.

15. Auftragsverarbeitungsvertrag (AVV)

Soweit wir personenbezogene Daten im Auftrag unserer Kunden (Organisationen) verarbeiten, geschieht dies auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 DSGVO.

Den vollständigen AVV findest du unter: holidayflow.io/avv

Der AVV wird bei Vertragsschluss automatisch Bestandteil der Vereinbarung und enthält Regelungen zu Gegenstand und Dauer der Verarbeitung, Art der Daten, Betroffenenkreis, technischen und organisatorischen Maßnahmen (TOMs) sowie Weisungsgebundenheit.

16. Deine Rechte

Du hast gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO) – über die zu deiner Person gespeicherten Daten
• Berichtigung (Art. 16 DSGVO) – unrichtiger Daten
• Löschung (Art. 17 DSGVO) – deiner Daten
• Einschränkung (Art. 18 DSGVO) – der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) – deiner Daten in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO) – gegen die Verarbeitung
• Beschwerde bei der zuständigen Aufsichtsbehörde (Art. 77 DSGVO)

Zuständige Aufsichtsbehörde: Unabhängiges Datenschutzzentrum Saarland, Fritz-Dobisch-Straße 12, 66111 Saarbrücken.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen anzupassen oder Änderungen unserer Leistungen umzusetzen.

Stand: Februar 2026