Datenschutzhinweise zur App Theseus

Stand: 02.11.2026

Theseus ist die App der Future Machine Labs GmbH für unsere Reinigungstechnikerinnen und Reinigungstechniker. Mit ihr erfasst du deine Arbeitszeit, siehst deinen Plan, dokumentierst die Arbeit an den Robotern, stellst Anfragen und lernst. Diese Hinweise erklären, welche Daten die App dabei verarbeitet, wozu, wer sie sieht und wie lange wir sie aufbewahren. Die App ist nur für Beschäftigte von Future Machine Labs.

1. Wer verantwortlich ist

Future Machine Labs GmbH
Zimmerstraße 79-80, 10117 Berlin
Geschäftsführer: Nick Nidens
Telefon: +49 30 7566 8290 · E-Mail: info@fm-labs.de
Handelsregister: HRB 260051, Amtsgericht Charlottenburg

Fragen zum Datenschutz und Anträge zu deinen Rechten (Abschnitt 10) schickst du an datenschutz@fm-labs.de.

2. Das Wichtigste in Kürze

• Theseus erfasst Zeiten nur aus dem, was du in der App tippst: Einstempeln, Ankunft am Markt, Pause, Feierabend. Nichts wird im Hintergrund gestempelt.
• Kein GPS, keine Ortung. Die App hat keine Standort-Berechtigung, und der Server hat kein Feld für deine Koordinaten.
• Fotos sollen Maschinen und Arbeitsergebnisse zeigen, keine Personen.
• Das Foto der Krankschreibung ist freiwillig und nur für das Büro sichtbar.
• Keine Werbung, kein Tracking, keine Analyse-Dienste von Drittanbietern.
• Fehlerberichte („Problem melden“) enthalten nur technische Abläufe, keine Inhalte, und werden nach 14 Tagen gelöscht.
• Deine Daten liegen bei Microsoft Azure in der Region Westeuropa und in unserem Odoo-System.

3. Welche Daten die App verarbeitet, wozu und auf welcher Grundlage

3.1 Dein Zugang

Dein Name (legt das Büro an), die Verknüpfung mit deinem Mitarbeiter-Datensatz in Odoo und für jedes Handy, auf dem du angemeldet bist, eine Sitzung: Gerätetyp, wann du dich angemeldet hast und wann die App zuletzt benutzt wurde.

Der Anmelde-Code vom Büro gilt einmal, für ein Handy, und läuft unbenutzt nach 7 Tagen ab. Meldest du dich auf einem neuen Handy an, wird das bisherige abgemeldet. Ein Handy, das 60 Tage nicht benutzt wurde, wird abgemeldet. Code und Sitzungsschlüssel speichern wir nie lesbar, nur als kryptografischen Hashwert. Auf dem iPhone liegt der Sitzungsschlüssel im Schlüsselbund des Geräts und wird nicht in iCloud-Backups übernommen.

Wozu: Damit nur du deine Einträge siehst, sie dir zugeordnet werden und niemand mit deinem Zugang für dich stempeln kann. Zum Schutz vor dem Ausprobieren von Codes zählt der Server Anmeldeversuche pro IP-Adresse und Minute.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses); für den Schutz vor Missbrauch Art. 6 Abs. 1 lit. f DSGVO (unser Interesse an einem sicheren Zugang).

3.2 Deine Arbeitszeit

• Einstempeln – der Beginn deines Arbeitstags (Abfahrt zu Hause).
• Angekommen – an welchem Markt du bist und wann. Den Markt wählst du aus einer Liste oder tippst ihn ein.
• Abfahrt – wann du den Markt verlässt, und wenn noch Arbeit offen war, dein Grund.
• Pause und Pause beenden.
• Zuhause · Ausstempeln – das Ende deines Arbeitstags.
• Fahrtkilometer berechnet die App aus der Reihenfolge der Märkte und deren hinterlegten Adress-Koordinaten. Dein Standort wird dafür nicht verwendet.

Zu jedem Eintrag speichern wir die Uhrzeit deines Handys und die Uhrzeit, zu der er beim Server ankommt. Deine Zeiten werden nie automatisch umgeschrieben. Korrigiert das Büro eine Zeit, wird das mit altem und neuem Wert, Grund und Bearbeiter festgehalten, und du siehst es in der App. Deine ursprünglichen Einträge bleiben erhalten.

Sobald das Büro dich von Clockin auf Theseus umgestellt hat, gehen deine Schichten mit Fahrt-, Einsatz- und Pausenabschnitten und den Kilometern an unsere Zeiterfassung in Odoo. Die Erinnerungen an die Pause nach 6 Stunden, an den vergessenen Feierabend nach 14 Stunden und an die Ruhezeit von 11 Stunden entstehen auf deinem Handy.

Wozu: Wir sind gesetzlich verpflichtet, Arbeitszeiten zu erfassen. Außerdem brauchen wir sie für die Lohnabrechnung, die Fahrtkosten, die Einsatzplanung und um zu prüfen, ob geplante Einsätze stattgefunden haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 3 Abs. 2 Nr. 1 ArbSchG (Pflicht zur Arbeitszeiterfassung, BAG, Beschluss vom 13.09.2022, 1 ABR 22/21), § 16 Abs. 2 ArbZG und, bei geringfügiger Beschäftigung, § 17 MiLoG; für Lohn, Fahrtkosten und Planung Art. 6 Abs. 1 lit. b DSGVO.

3.3 Deine Arbeit am Einsatz

Pro Maschine die Fotos, die die Checkliste verlangt (zum Beispiel „vorher“, Bildschirmanzeigen, Funktionstest), deine Antworten (in Ordnung, Problem, Messwerte, kurze Texte), Gründe bei „Geht nicht“ oder „Komme nicht rein“ und die Zeitpunkte. Die App verkleinert Fotos vor dem Hochladen und lädt sie direkt in unseren Speicher bei Microsoft Azure. Odoo bekommt nur einen Verweis. Bitte fotografiere die Maschine und deine Arbeit, keine Menschen.

Wozu: Nachweis und Qualität der Arbeit gegenüber unseren Kunden, Wartung der Maschinen, Fehlersuche an Robotern. Aus erledigten Aufgaben ergibt sich in Odoo auch, mit welchen Robotermodellen und Aufgaben du Erfahrung hast (3.6).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Nachweise gegenüber Kunden zusätzlich Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, erbrachte Leistungen belegen zu können).

3.4 Deine Anfragen

• Urlaub beantragen: Zeitraum und deine Anmerkung. Der Antrag geht an unsere Abwesenheitsverwaltung in Odoo.
• Krank melden: Zeitraum, deine Anmerkung und, wenn du willst, ein Foto der Krankschreibung (auch später: „Krankschreibung nachreichen“). Bitte fotografiere nur die Ausfertigung für den Arbeitgeber – das Blatt für die Krankenkasse enthält deine Diagnose, die uns nichts angeht. Das Foto liegt in einem eigenen, abgetrennten Speicherbereich und ist nur für das Büro sichtbar. Odoo erhält nur einen Verweis.
• Zeit korrigieren: Tag, Tour und deine Beschreibung. Die Anfrage geht an Odoo, die Antwort des Büros kommt in die App.
• Material bestellen: Standort, Artikel und Mengen, dein Text und bis zu drei Fotos. Bestellung und Fotos gehen an unsere Materialbestellung in Odoo.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Krankmeldung und das Foto der Krankschreibung (Gesundheitsdaten) Art. 9 Abs. 2 lit. b DSGVO, zum Nachweis der Arbeitsunfähigkeit und für die Entgeltfortzahlung.

3.5 Einsätze übernehmen und Rückfragen

Ist ein Einsatz frei, bietet Odoo ihn Technikern in der Nähe an. Die Nähe ergibt sich aus der Entfernung zwischen Märkten oder zu deiner im Personalstamm hinterlegten Arbeitsadresse – die App sendet dafür keinen Standort. Wir speichern, ob du „Übernehmen“ oder „Nein, danke“ gewählt hast. Ist ein geplanter Einsatz ohne Besuch erfasst, fragt die App nach („Was war los?“); deine Antwort geht an das Büro. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.6 Lernen

Welche Lektionen du wann abgeschlossen hast; daraus zählt die App deine XP. Deine einzelnen Quiz-Antworten bleiben auf dem Handy. In Odoo wird festgehalten, welche Anleitungen du angesehen hast und wie viel Erfahrung du je Robotermodell und Aufgabe aus erledigten Checklisten gesammelt hast. Wozu: Damit dein Fortschritt erhalten bleibt und das Büro sieht, wer welche Maschinen kennt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.7 Mitteilungen

Erinnerungen (Pause fällig, Feierabend vergessen?) plant die App auf deinem Handy; dafür werden keine Daten gesendet. Für Nachrichten vom Büro (zum Beispiel „Material verschickt“, Antwort auf deinen Antrag, ein Einsatz zum Übernehmen) sendet die App, wenn du Mitteilungen erlaubst, einen Geräteschlüssel für Mitteilungen sowie Gerätemodell und Betriebssystem-Version an unseren Server. Zugestellt wird auf dem iPhone über den Mitteilungsdienst von Apple, auf Android über den Mitteilungsdienst von Google (Firebase Cloud Messaging); der Text der Nachricht läuft dabei über diesen Dienst. Ohne Mitteilungen funktioniert die App vollständig. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; der Zugriff auf die Mitteilungsfunktion deines Handys erfolgt nur mit deiner Erlaubnis (§ 25 Abs. 1 TDDDG).

3.8 Problem melden und automatische Fehlerberichte

Die App führt auf dem Handy ein kleines Protokoll technischer Abläufe: App-Version, welcher Bildschirmtyp offen war (nie welcher Markt), grob wo der Bildschirm berührt wurde (als Feld in einem 10 × 10-Raster) und ob die App reagiert hat, welche Serveranfragen mit welchem Ergebnis liefen (ohne Kennungen und Inhalte), Fehlermeldungen, Gerätemodell und Betriebssystem-Version. Es enthält keine Texte vom Bildschirm, keine Namen von Kunden oder Märkten, keine Fotos, keine Antworten, keine Codes oder Schlüssel.

Gesendet wird es, wenn du unter Profil → Problem melden tippst (mit einer optionalen Notiz), und automatisch, wenn die App einen Fehler oder ein Hängen erkennt. Wozu: nur um Fehler in der App zu finden und zu beheben – nicht um deine Leistung oder dein Verhalten zu bewerten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser Interesse an einer funktionierenden App); du kannst widersprechen (Abschnitt 10).

3.9 App-Updates

Kleine Updates kommen direkt vom Update-Dienst unseres Entwicklungswerkzeugs Expo (EAS Update). Beim Start fragt die App dort nach einem Update; dabei werden deine IP-Adresse, eine zufällige Kennung dieser App-Installation, Plattform und App-Version übertragen. Expo erfährt nicht, wer du bist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Fehler schnell beheben zu können).

3.10 Technische Daten und was auf deinem Handy liegt

Wenn die App mit unserem Server spricht, wird deine IP-Adresse übertragen; unsere Server schreiben technische Protokolle (Zeitpunkt, aufgerufene Funktion, Fehlermeldungen), um Störungen zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Damit die App ohne Netz funktioniert, speichert sie deine Einträge, deinen Plan, Fotos und den Lernfortschritt auf dem Handy, bis sie gesendet sind. Beim Abmelden löscht die App diese Daten vom Handy und meldet es beim Server ab. Den Tagesbericht (PDF) erzeugt die App auf deinem Handy; wohin du ihn schickst, entscheidest du.

4. Was die App nicht erfasst

• Keinen Standort. Gespeichert sind nur Adressen und Koordinaten der Märkte, nicht deine.
• Keine Kontakte, kein Mikrofon, keine Gesundheitsdaten aus Apple Health, kein Face ID.
• Keine Werbung, keine Werbe-Kennung, kein Tracking über Apps oder Websites anderer Anbieter.
• Keine Analyse- oder Absturz-Dienste von Drittanbietern.
• Theseus zieht keine Pausen automatisch ab und stempelt nicht im Hintergrund.

5. Wer deine Daten sieht

• Du siehst deine Einträge in der App. Andere Technikerinnen und Techniker sehen sie nicht; jedes Handy bekommt nur den eigenen Plan.
• Das Büro (Einsatzplanung und Verwaltung) sieht deine Einträge in Odoo und in der „Zentrale“, einer Ansicht unseres Servers mit Anmeldung über ein Firmenkonto. In Odoo ist auch sichtbar, wer gerade eingestempelt ist und an welchem Markt.
• Die Lohnabrechnung erhält deine Arbeitszeiten für die Abrechnung.
• Behörden, wenn wir gesetzlich dazu verpflichtet sind (zum Beispiel bei einer Prüfung nach Arbeitszeit- oder Mindestlohngesetz).

Dienstleister, die in unserem Auftrag arbeiten (Art. 28 DSGVO):

Apple stellt Mitteilungen auf dem iPhone zu und betreibt den App Store, Google stellt Mitteilungen auf Android-Handys zu (Firebase Cloud Messaging) und betreibt Google Play; dafür gelten die eigenen Bedingungen der beiden. Links, die du antippst: Manche Anleitungen verlinken auf ein Video bei YouTube. Das öffnet sich erst auf deinen Tipp in einem Browserfenster; erst dann erhält Google deine IP-Adresse und Gerätedaten, nach Googles eigener Datenschutzerklärung. Videos, die direkt in der App laufen, kommen aus unserem eigenen Speicher.

6. Übermittlung in Länder außerhalb der EU

Server, Datenbank und Fotos liegen in der EU. In die USA können Daten gelangen bei Expo (App-Updates), bei Apple und Google (Zustellung von Mitteilungen) und bei Google/YouTube, nur wenn du einen Video-Link antippst. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, sonst EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

7. Wie lange wir Daten speichern

Gelöschte Fotos und Krankschreibungen lassen sich noch 7 Tage wiederherstellen (Schutz vor versehentlichem Löschen); erst danach sind sie endgültig weg.

8. Automatisierte Abläufe

Theseus und Odoo treffen über dich keine ausschließlich automatisierten Entscheidungen, die dich rechtlich benachteiligen (Art. 22 DSGVO). Zwei Abläufe sind automatisiert, und du sollst sie kennen:

• Urlaub: Ein Antrag kann automatisch genehmigt werden, wenn in dieser Zeit keine Einsätze von dir geplant sind oder alle von anderen übernommen wurden. Abgelehnt wird ein Antrag nie automatisch, sondern nur von einem Menschen im Büro.
• Abweichungen vom Plan: Ist für einen geplanten Einsatz kein Besuch erfasst, legt Odoo automatisch einen Vorgang an und die App fragt nach. Abweichungen werden festgehalten und vom Büro geprüft. Über Folgen entscheidet immer ein Mensch.

9. Musst du die App nutzen?

Theseus ist das Werkzeug, mit dem wir deine Arbeitszeit erfassen und deine Einsätze organisieren. Die Angaben zur Arbeitszeit und zur Arbeit am Einsatz brauchen wir für das Arbeitsverhältnis und unsere gesetzlichen Pflichten. Freiwillig sind: das Foto der Krankschreibung, Mitteilungen, die Notiz bei „Problem melden“ und der Tagesbericht.

10. Deine Rechte

• Auskunft über deine gespeicherten Daten und eine Kopie (Art. 15 DSGVO)
• Berichtigung falscher Daten (Art. 16 DSGVO) – für Arbeitszeiten am schnellsten in der App unter Anfragen → Zeit korrigieren
• Löschung (Art. 17 DSGVO). Arbeitszeitnachweise müssen wir mindestens zwei Jahre aufbewahren; solange können wir die Verarbeitung nur einschränken.
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen, zum Beispiel Fehlerberichte (Art. 21 DSGVO)
• Widerruf einer Erlaubnis für die Zukunft, zum Beispiel für Mitteilungen oder die Kamera in den Einstellungen deines Handys (Art. 7 Abs. 3 DSGVO)

Schreib dafür an datenschutz@fm-labs.de.

11. Beschwerde bei der Aufsichtsbehörde

Du kannst dich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:
Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59-61, 10555 Berlin
www.datenschutz-berlin.de

12. Änderungen

Ändert sich, was die App verarbeitet, passen wir diese Hinweise an und teilen dir wesentliche Änderungen mit. Es gilt die jeweils aktuelle Fassung; du findest sie in der App unter Profil → Datenschutz.