Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist:

[[ Firmenname der Gesellschaft ]] [[ Rechtsform ]], [[ Strasse und Hausnummer, PLZ Ort ]], [[ E-Mail-Adresse ]]

2. Datenschutzbeauftragte Person

[[ Name und Kontakt der/des Datenschutzbeauftragten ]]

Die Benennung ist nach §38 BDSG verpflichtend, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — bei einem Anbieter von Zeiterfassung ist zusätzlich Art. 37 Abs. 1 lit. b DSGVO zu prüfen, weil die Kerntätigkeit in umfangreicher regelmässiger Überwachung bestehen kann.

3. Zwecke und Rechtsgrundlagen

Personenbezogene Daten werden zu den folgenden Zwecken verarbeitet:

• Bereitstellung und Betrieb der Zeiterfassung samt Auswertungen — Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Kunden).
• Erfüllung der Aufzeichnungspflicht über die Arbeitszeit — Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §16 Abs. 2 ArbZG und §17 MiLoG. Verantwortlich für diese Verarbeitung ist der Arbeitgeber als Kunde; der Anbieter handelt insoweit als Auftragsverarbeiter.
• Abrechnung des Abonnements, Rechnungsstellung und Mahnwesen — Art. 6 Abs. 1 lit. b und lit. c DSGVO (§147 AO, §257 HGB).
• Abwehr von Angriffen, Protokollierung von Zugriffen und Sicherstellung des Betriebs — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).
• Versand von Systemnachrichten zum Vertragsverhältnis — Art. 6 Abs. 1 lit. b DSGVO.
• Reichweitenmessung und Erfolgsmessung, soweit eingesetzt, ausschliesslich nach Einwilligung — Art. 6 Abs. 1 lit. a DSGVO und §25 Abs. 1 TDDDG.

4. Kategorien betroffener Personen und Daten

Verarbeitet werden Daten von Beschäftigten der Kunden, von Ansprechpartnern der Kunden und von Besuchern dieser Website.

• Stammdaten: Name, Personalnummer, Abteilung, Standort, Kostenstelle, Position.
• Arbeitszeitdaten: Kommen- und Gehen-Buchungen, Pausen, Projektzeiten, Abwesenheiten, Urlaubsansprüche, Krankmeldungen (ohne Diagnose).
• Kontodaten: E-Mail-Adresse, Rollen und Rechte, Anmeldezeitpunkte.
• Protokolldaten: IP-Adresse, Zeitpunkt, aufgerufene Ressource, Browserkennung.
• Vertrags- und Abrechnungsdaten des Kunden. Zahlungsdaten im engeren Sinne — Kartennummern, IBAN — werden nicht gespeichert; sie verbleiben ausschliesslich beim Zahlungsdienstleister, gespeichert werden nur dessen Kennungen.

5. Empfänger und Auftragsverarbeiter

Eine Weitergabe erfolgt nur, soweit sie für die genannten Zwecke erforderlich ist. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

• Hosting und Betrieb: [[ Name und Standort des Rechenzentrums in Deutschland ]]. Der Serverstandort liegt ausschliesslich in Deutschland.
• Stripe Payments Europe, Ltd., Irland — Abwicklung von Kartenzahlungen und SEPA-Lastschriften. Verarbeitet werden Vertrags- und Zahlungsdaten des Kunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg — Abwicklung von Abonnementzahlungen. Verarbeitet werden Vertrags- und Zahlungsdaten des Kunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• E-Mail-Versand für Systemnachrichten, soweit ein externer Dienst eingesetzt wird.
• Behörden und Gerichte, soweit eine gesetzliche Verpflichtung besteht.

6. Übermittlung in Drittländer

Eine Übermittlung in Länder ausserhalb der EU und des EWR ist nicht vorgesehen. Soweit ein Zahlungsdienstleister im Rahmen seiner eigenen Verantwortlichkeit Daten in ein Drittland übermittelt, stützt er dies auf die Standardvertragsklauseln der EU-Kommission oder einen Angemessenheitsbeschluss.

Diese Angabe ist bei jedem Wechsel eines Dienstleisters erneut zu prüfen; sie ist keine dauerhafte Zusicherung, sondern die Beschreibung eines Zustands.

7. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht.

• Arbeitszeitnachweise: zwei Jahre nach §16 Abs. 2 ArbZG, im Anwendungsbereich des MiLoG ebenfalls zwei Jahre (§17 Abs. 1 MiLoG).
• Lohnrelevante Unterlagen und Buchungsbelege: sechs beziehungsweise zehn Jahre nach §257 HGB und §147 AO.
• Rechnungen und Zahlungsbelege: zehn Jahre.
• Protokolldaten: in der Regel 90 Tage.
• Nach Kündigung des Vertrages: Der gesamte Datenbestand bleibt 30 Tage abrufbar, damit eine Ausfuhr nach Art. 20 DSGVO möglich ist, und wird danach gelöscht, soweit keine Aufbewahrungspflicht besteht.

8. Rechte der betroffenen Person

Betroffene Personen haben gegenüber dem Verantwortlichen die folgenden Rechte. Beschäftigte eines Kunden wenden sich dafür an ihren Arbeitgeber; dieser ist für die Verarbeitung ihrer Arbeitszeitdaten verantwortlich.

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO). Die Anwendung stellt dafür einen Export in CSV und JSON bereit.
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), etwa bei [[ zuständige Datenschutzaufsichtsbehörde des Bundeslandes ]].

9. Cookies und ähnliche Techniken

Technisch notwendige Cookies werden gesetzt, um die Anmeldung und die Sitzungsverwaltung zu ermöglichen; sie sind nach §25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Alle übrigen Techniken werden erst nach ausdrücklicher Einwilligung eingesetzt und lassen sich jederzeit widerrufen.

10. Pflicht zur Bereitstellung

Für das Zustandekommen und die Durchführung des Vertrages ist die Bereitstellung der Vertrags- und Abrechnungsdaten erforderlich. Ohne sie kann der Vertrag nicht geschlossen werden. Die Erfassung der Arbeitszeit beruht auf der gesetzlichen Pflicht des Arbeitgebers.

11. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschliesslich Profiling nach Art. 22 DSGVO findet nicht statt. Auswertungen der Arbeitszeit dienen der Abrechnung und der Einhaltung des Arbeitszeitgesetzes; eine Bewertung von Personen wird daraus nicht automatisiert abgeleitet.

12. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert. Massgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.