Datenschutzerklärung
Stand: 01.10.2026
1. Verantwortlicher
Pegasus Copilot, Jannis Huhnholz
Rönnkamp 14
22457 Hamburg
E-Mail: support@pegasuscopilot.de
2. Erhebung personenbezogener Daten
2.1 Beim Besuch der Website
Beim Aufrufen unserer Website übermittelt Ihr Browser automatisch folgende Informationen an den Server:
- IP-Adresse des anfragenden Rechners
- Datum und Uhrzeit des Zugriffs
- Name und URL der abgerufenen Datei
- Referrer-URL (vorher besuchte Seite)
- Verwendeter Browser und Betriebssystem
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
2.2 Registrierung / Nutzerkonto
Bei der Registrierung erheben wir: Name, E-Mail-Adresse sowie Unternehmensdaten. Diese werden ausschließlich zur Vertragserfüllung genutzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
2.3 Kontaktformular
Nachrichten über das Kontaktformular (Name, E-Mail, ggf. Unternehmen, Nachricht) werden zur Bearbeitung Ihrer Anfrage gespeichert und nicht ohne Einwilligung weitergegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
2.4 Nutzung der mobilen App
Die mobile App ist ein zusätzlicher Zugang zu einem von Ihrem Arbeitgeber bzw. Ihrer Organisation eingerichteten Pegasus-Copilot-Konto. In der App werden die für die jeweils genutzte Funktion erforderlichen Konto-, Dienstplan-, Antrags- und Dokumentdaten verarbeitet. Die App bietet keine eigenständige Registrierung an.
Der Anmelde-Token wird im geschützten Schlüsselspeicher des Betriebssystems abgelegt. Personal-, Antrags- und Gesundheitsdaten werden nicht in einem allgemeinen dauerhaften App-Cache gespeichert. Die Übertragung zum Pegasus-Copilot-Server erfolgt verschlüsselt per HTTPS.
2.5 Zeiterfassung (Pegasus Timepilot)
Nutzt ein Arbeitgeber die Zeiterfassung, werden die Arbeitszeiten seiner Beschäftigten über Stempelterminals mit Kartenleser in der Einrichtung, über das Web-Portal (timepilot.pegasuscopilot.de) oder über die Zeiterfassungs-App erfasst. Verarbeitet werden Kommen- und Gehen-Zeiten, Pausen, die geplante Schicht, der Stempelweg (Terminal, Web oder App), Sollzeiten, Überstunden und Stundenkonto, Korrekturen samt Änderungsprotokoll sowie Name, Benutzername, Personalnummer, Eintrittsdatum, Geburtsdatum und die Kennung der Stempelkarte. Von den Terminals werden außerdem eine Terminal-Kennung, die IP-Adresse und ein kurzzeitiges technisches Protokoll gespeichert. Die Anmeldung erfolgt mit denselben Zugangsdaten wie bei Pegasus Copilot.
Verantwortlich für diese Verarbeitung ist der jeweilige Arbeitgeber; wir verarbeiten die Daten in seinem Auftrag auf Grundlage des Auftragsverarbeitungsvertrags. Rechtsgrundlage beim Arbeitgeber sind Art. 6 Abs. 1 lit. b und c DSGVO sowie Art. 88 DSGVO i. V. m. § 26 BDSG (Arbeitszeitaufzeichnung u. a. nach § 16 Abs. 2 ArbZG und § 17 MiLoG). Die Daten liegen auf demselben Server in Deutschland wie Pegasus Copilot. Die Aufbewahrungsdauer legt der Arbeitgeber im Rahmen der gesetzlichen Aufbewahrungspflichten fest.
3. Cookies
Wir setzen ausschließlich technisch notwendige Cookies ein, keine Tracking- oder Marketing-Cookies. Die mobile App authentifiziert API-Aufrufe mit einem gesonderten App-Token und ist nicht auf einen Browser-Cookie angewiesen.
| Cookie | Zweck | Speicherdauer |
|---|---|---|
| PHPSESSID | Session-Management (Login-Zustand) | Session (bis Browser-Schließung) |
| cookie_consent (localStorage) | Speichert dass der Cookie-Hinweis bestätigt wurde, damit er nicht erneut angezeigt wird | bis manuell gelöscht |
4. Zahlungsabwicklung
Für Zahlungen nutzen wir Mollie B.V. (Amsterdam, Niederlande). Datenschutzerklärung: www.mollie.com/de/privacy. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
5. Hosting und Unterauftragnehmer
Für den Betrieb von Pegasus Copilot setzen wir folgende Dienstleister ein:
| Dienstleister | Leistung | Standort |
|---|---|---|
| netcup GmbH | Hosting des Anwendungsservers und der Datenbank (Rechenzentrum Nürnberg) | Deutschland |
| 24fire GmbH | Betrieb des Mailservers, über den die Benachrichtigungen des Systems versendet werden, sowie Registrierung der Domain | Deutschland |
| Hetzner Online GmbH | Speicherplatz für die nächtliche Datensicherung (Rechenzentrum Falkenstein). Die Sicherung wird vor der Übertragung verschlüsselt; Hetzner kann die Inhalte nicht lesen. | Deutschland |
| Cloudflare, Inc. | DNS, Zwischenspeicherung statischer Dateien, Web Application Firewall und DDoS-Schutz für pegasuscopilot.de. Verarbeitet werden Verkehrsdaten (IP-Adresse, Kopfzeilen) und durchgeleitete Inhalte; eine dauerhafte Speicherung von Inhaltsdaten findet nicht statt. | USA, Verarbeitung vorrangig in EU-Rechenzentren |
| Mollie B.V. | Zahlungsabwicklung | Niederlande (EU) |
| 650 Industries, Inc. (Expo) | Auf Wunsch: technische Vermittlung von Push-Mitteilungen | USA; Übermittlung nur bei aktivierten Push-Mitteilungen |
| Apple Inc. | App-Vertrieb und Zustellung von Push-Mitteilungen auf Apple-Geräten | USA / internationale Infrastruktur |
| Functional Software, Inc. (Sentry) | Optional aktivierte technische Fehlerdiagnose der App | USA / vertraglich gewählte Region |
Der E-Mail-Versand (Bestätigungen, Benachrichtigungen) erfolgt über einen eigenen Mailserver unter der Domain pegasuscopilot.de, der bei der 24fire GmbH betrieben wird. Die zentralen Konto-, Personal-, Antrags-, Dokument- und Zeiterfassungsdaten werden auf einem Server der netcup GmbH in Deutschland verarbeitet und gespeichert; eine verschlüsselte Sicherungskopie liegt bei der Hetzner Online GmbH in Deutschland. Die vorstehend genannten optionalen App-Dienste verarbeiten nur die für ihren technischen Zweck erforderlichen Daten.
Mit netcup, 24fire und Cloudflare bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Übermittlung an Cloudflare stützt sich auf EU-Standardvertragsklauseln und die Zertifizierung nach dem EU-US Data Privacy Framework. Eine dauerhafte Speicherung personenbezogener Daten außerhalb Deutschlands findet nicht statt.
6. Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO)
Im Rahmen der Abwesenheitsverwaltung werden Gesundheitsdaten verarbeitet (Krankmeldungen). Diese Daten unterliegen dem besonderen Schutz nach Art. 9 DSGVO.
Rechtsgrundlage: Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 26 BDSG. Die Verarbeitung ist erforderlich zur Ausübung von Rechten und Pflichten aus dem Arbeitsrecht.
Schutzmaßnahmen:
- Zugriff auf Krankmeldungen, einschließlich eines freiwillig angegebenen Grundes, nur für berechtigte Rollen (Leitung und Träger des Arbeitgebers); Kolleginnen und Kollegen sehen lediglich die Abwesenheit
- Mitarbeiter sehen ausschließlich ihre eigenen Daten
- Pegasus Copilot Encryption: Arbeitsunfähigkeitsbescheinigungen, Krankmeldungsgründe, Freitext und strukturierte Zusatzangaben in Sonderanträgen sowie Themen, Antwortkommentare und Abschlussnotizen von Mitarbeitergesprächen werden mit AES-256-GCM verschlüsselt gespeichert; die Schlüssel sind an die Nutzer-Authentifizierung gebunden. Ein Betreiberzugriff ist im laufenden Betrieb nicht vorgesehen und nur als protokollierter Notfallzugriff mit einer getrennt und offline gehaltenen Passphrase möglich
- Verschlüsselte Übertragung aller Daten via TLS/HTTPS
- Keine Übermittlung von Gesundheitsdaten in E-Mail-Benachrichtigungen
- Protokollierung relevanter Änderungen an Krankmeldungen und von Downloads geschützter Nachweise im Audit-Log
Weitere technisch-organisatorische Maßnahmen sind in unserem Auftragsverarbeitungsvertrag (AV-Vertrag) dokumentiert.
7. E-Mail-Versand
System-E-Mails (z. B. Bestätigungscodes, Benachrichtigungen) werden über einen eigenen SMTP-Server unter pegasuscopilot.de versendet. E-Mail-Adressen werden nicht an Dritte weitergegeben.
8. Push-Mitteilungen und Fehlerdiagnose der App
Push-Mitteilungen: Push-Mitteilungen sind freiwillig und werden erst nach einer ausdrücklichen Freigabe auf dem Gerät aktiviert. Dabei werden ein geräte- und appbezogener Push-Token sowie die zur Zustellung erforderlichen technischen Daten durch Expo und den jeweiligen Plattformdienst (auf Apple-Geräten: APNs) verarbeitet. Die Berechtigung kann in der App und in den Systemeinstellungen widerrufen werden. In Push-Inhalten sollen keine Krankheitsgründe, Dokumentinhalte oder vergleichbar sensiblen Detaildaten übermittelt werden.
Fehlerdiagnose: Ist die optionale Fehlerdiagnose für einen App-Build aktiviert, können technische Fehler-, Geräte- und Versionsinformationen an Sentry übermittelt werden. Die App ist so konfiguriert, dass Sentry standardmäßig keine personenbezogenen Standardfelder erhält; Inhalte aus Personalakten, Dokumenten und Formularfeldern dürfen nicht Bestandteil der Diagnoseereignisse sein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).
9. Speicherdauer
Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Support-Chat-Nachrichten werden automatisch nach 30 Tagen gelöscht.
Datensicherungen werden 30 Tage vorgehalten und danach in den regelmäßigen Bereinigungsläufen entfernt; gelöschte Daten sind spätestens sechs Wochen nach der Löschung auch aus den Sicherungen verschwunden.
App-Anmeldetokens sind zeitlich befristet und können durch Abmeldung oder durch „Überall abmelden“ widerrufen werden. Ein Push-Token wird nach Deaktivierung nicht mehr zur Zustellung verwendet.
10. Ihre Rechte
Sie haben gemäß DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).
Kontakt zur Ausübung Ihrer Rechte: support@pegasuscopilot.de
Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.
11. Änderungen
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen gesetzlichen Anforderungen entsprechen zu lassen. Bei einem erneuten Besuch gilt die jeweils aktuelle Version.