Datenschutzerklärung

Stand: 2026-11-06 · Version 1.1.4

Diese Datenschutzerklärung beschreibt, wie personenbezogene Daten beim Betrieb der Website und der Software „Zeittel“ (Web-Anwendung, Browser-Stempeluhr und App „Zeittel“ für iOS und Android) verarbeitet werden. Die Angaben zum Verantwortlichen (Anbieter) stehen im Rahmen über dieser Erklärung.

1. Wer ist verantwortlich?

Anbieter als Verantwortlicher: Für die Website, die Login-Konten aller Nutzer (Inhaber, Verwalter und Beschäftigte mit eigenem Zugang: E-Mail-Adresse, Passwort-Hash, Sprache, Anmeldungen, Zustimmung zu den Rechtstexten), Support und Feedback, Vertrag, Zahlung und Rechnung sowie für die technischen Protokolle der eigenen Systeme ist der Anbieter Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Kunde als Verantwortlicher: Für die Daten, die ein Betrieb in seinem Zeittel-Konto über seine Beschäftigten führt (Stammdaten, Arbeitszeiten, Abwesenheiten, Dienstpläne, Stempelvorgänge, Orte), ist der jeweilige Kunde als Arbeitgeber Verantwortlicher. Der Anbieter verarbeitet diese Daten in seinem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO (AVV). Mit Fragen zu diesen Daten wendest du dich bitte zuerst an deinen Arbeitgeber.

Ein Datenschutzbeauftragter ist nicht benannt; Anfragen zum Datenschutz richtest du an die Kontaktadresse im Rahmen über dieser Erklärung.

2. Website und Konto (Anbieter als Verantwortlicher)

• Konto und Anmeldung: E-Mail-Adresse, Name, gewählte Sprache, Passwort (nur als Hash nach dem Standardverfahren von Django, bevorzugt Argon2), Zeitpunkte der Anmeldung.
• Herkunft der Registrierung: Kommst du über eine unserer Anzeigen oder einen Link mit Herkunftskennung (z. B. `?ads=gastro`) zur Registrierung, speichern wir diese Kennung einmalig bei deinem Konto. So sehen wir, welche unserer Werbemaßnahmen zu Registrierungen und Verträgen führen. Dafür setzen wir kein Cookie, speichern nichts in deinem Browser und geben die Kennung nicht an Google oder andere Dritte weiter.
• Zustimmung zu den Rechtstexten: Zeitpunkt und akzeptierte Version von AGB, Datenschutzerklärung und AVV.
• System-E-Mails: Aktivierung, Anmelde- und Einladungslinks, Passwort zurücksetzen, Hinweise zu Vertrag, Zahlung und Rechnung. Zugehörige Tokens speichern wir nur als Hash.
• Kontaktformular auf der Website: Du gibst deine Frage ein und mindestens einen Rückkanal (E-Mail-Adresse oder Telefonnummer). Zusammen mit der Anfrage speichern wir die Sprache der Seite, die Seite, von der du schreibst, den Zeitpunkt und die Browser-Kennung. Die Anfrage geht als E-Mail über unseren E-Mail-Dienst INWX (Abschnitt 7) an unser Postfach. Eine Eingangsbestätigung ohne deine Frage schicken wir nur, wenn du eine E-Mail-Adresse angibst. Gegen massenhafte Nutzung begrenzen wir die Zahl der Anfragen je IP-Adresse und je Rückkanal; dafür liegen IP-Adresse und Rückkanal höchstens etwa eine Stunde in einem Zwischenspeicher unseres Servers.
• Kommunikation, Support und Feedback: Inhalte deiner Anfragen und unsere Antworten. Nutzt du die Feedback-Funktion in der Anwendung, der App oder an der Stempeluhr, erhalten wir deinen Text zusammen mit Betrieb, Anzeigename, Rolle, Bildschirm, Gerät bzw. Browser-Kennung und, falls vorhanden, deiner E-Mail-Adresse für die Antwort.
• Technische Protokolle: Anfrage-Kennung, Zeitpunkt, aufgerufene Schnittstelle, Ergebnis, IP-Adresse und Browser- bzw. App-Kennung, um Betrieb, Sicherheit und Fehleranalyse zu gewährleisten.
• Nutzungssignale: Um zu verstehen, welche Funktionen genutzt werden, protokollieren wir wenige, vorab festgelegte Ereignisse (z. B. „Zeiten geöffnet“, „Export abgeschlossen“, „Stempeln abgelehnt“ mit Grund) mit Betriebskennung, Rolle, Client, App-Version und Plattform. Namen, Zeiten oder Inhalte werden dabei nicht übermittelt; es gibt keine Nutzerkennung über Sitzungen hinweg und keine Analysedienste Dritter. Diese Signale liegen in unseren technischen Protokollen und werden mit ihnen gelöscht.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag und Vertragsanbahnung, Nutzung des Kontos), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, stabilem Betrieb, an der Abwehr von Missbrauch, an der Bearbeitung von Feedback, an der Verbesserung der Anwendung und an der Erfolgsmessung unserer eigenen Werbung), Art. 6 Abs. 1 lit. c DSGVO (Nachweis der Zustimmung, gesetzliche Pflichten).

3. Vertrag, Zahlung und Rechnung (Anbieter als Verantwortlicher)

• Vertrags- und Abrechnungsdaten: Firmenname, Rechnungsanschrift, Rechnungs-E-Mail, freiwillig USt-IdNr. und Handelsregisternummer, Angebot und Konditionen, gezählte Mitarbeiter bzw. Geräte, gebuchte Zusatzmodule, Kündigungen.
• Nachweis von Vertragsänderungen: Bei Zustimmung zu Konditionen, Paketwechsel, Modulbuchung oder Kündigung speichern wir handelnde Person, Zeitpunkt, angezeigten Betrag sowie IP-Adresse und Browser-Kennung, um die Änderung nachweisen zu können.
• Rechnung und Zahlung über Stripe: Unsere Rechnungen erstellt und stellt der Zahlungsdienstleister Stripe bereit (Vertragspartner: Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland; die Zahlungsdienste erbringt die Stripe Technology Europe, Limited, ebenda). Stripe vergibt die Rechnungsnummer, stellt die Rechnung als PDF und mit einer Bezahlseite bereit und zieht den Betrag per Karte (auch über Apple Pay oder Google Pay), über PayPal oder per SEPA-Basislastschrift ein. Dafür erhält Stripe von uns den Namen der Vertragspartei, die Rechnungsanschrift, die Rechnungs-E-Mail, die Rechnungspositionen mit Leistungszeitraum, Beträgen und Steuersatz sowie interne Kennungen von Betrieb und Rechnung. USt-IdNr. und Handelsregisternummer geben wir nicht an Stripe weiter. Rechnungen nennen die Zahl der gezählten Mitarbeiter, aber keine Namen.
• Deine Zahldaten: Kartendaten bzw. IBAN und Kontoinhaber gibst du direkt auf der Seite von Stripe ein; dort erteilst du bei SEPA-Lastschrift auch das Mandat mit dem Mandatstext von Stripe. Wählst du PayPal, leitet Stripe dich zu PayPal weiter; dort meldest du dich an und erlaubst die Zahlung bzw. die künftigen Abbuchungen. Zugangsdaten zu PayPal erhalten wir nicht. Vollständige Karten- oder Kontonummern erhalten und speichern wir nicht. Wir speichern die Kennungen von Stripe für Kunde, Zahlart und Mandat, die Art der Zahlart (Karte, PayPal oder Lastschrift), den Rechnungs- und Zahlstatus und den offenen Betrag. In der E-Rechnung stehen zur Zahlart nur die letzten vier Stellen der Karte und der Name des Karteninhabers, die maskierte IBAN und die Mandatsreferenz bzw. bei PayPal nur der Zahlungsweg. Stripe meldet uns automatisch, ob eine Zahlung eingegangen, fehlgeschlagen oder zurückgebucht ist. Vor einem SEPA-Einzug schickt dir Stripe eine Ankündigung per E-Mail; schlägt ein Einzug fehl, informieren wir dich per E-Mail. Gutschriften und Erstattungen, auch die Erstattung eines Guthabens nach Vertragsende, wickeln wir ebenfalls über Stripe ab.
• Rolle von Stripe: Stripe verarbeitet Rechnungs- und Zahlungsdaten je nach Dienst und Zweck als unser Auftragsverarbeiter oder als eigenständiger Verantwortlicher; maßgeblich sind die für unser Stripe-Konto geltenden Vereinbarungen (Datenschutzvereinbarung von Stripe). Insbesondere für die Durchführung der Zahlung mit Banken und Kartenanbietern, für Betrugsprävention, Geldwäscheprüfung und andere gesetzliche Pflichten ist Stripe eigenständig verantwortlich; dafür gilt die Datenschutzerklärung von Stripe: https://stripe.com/de/privacy. Zur Übermittlung in die USA siehe Abschnitt 8.
• Rolle von PayPal: Zahlst du über PayPal, verarbeitet die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, die Daten deines PayPal-Kontos und der Zahlung als eigenständiger Verantwortlicher; es gilt die Datenschutzerklärung von PayPal: https://www.paypal.com/de/legalhub/privacy-full. PayPal erhält über Stripe den Betrag, die Rechnungsnummer und unseren Namen als Zahlungsempfänger. Zur Übermittlung in die USA siehe Abschnitt 8.
• E-Rechnung und Buchhaltung: Zu jeder Rechnung erstellen wir eine elektronische Rechnung (XRechnung) und senden sie als XML-Anhang per E-Mail an die Rechnungs-E-Mail. Ob Stripe zusätzlich selbst eine Rechnungs-E-Mail verschickt, hängt vom Zahlungsweg ab. Eine Kopie der elektronischen Rechnung geht an unsere Buchhaltungssoftware Lexware Office (Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg), die für uns als Auftragsverarbeiter tätig ist.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Nachweis von Vertragsänderungen).

4. Zeiterfassung im Kundenkonto (im Auftrag des Kunden)

Im Konto eines Betriebs verarbeiten wir im Auftrag des Kunden:

• Stammdaten der Beschäftigten: Anzeigename, Rolle und Status, optional E-Mail, Telefon, Personalnummer, Profilbild, Arbeitszeitmodell, Urlaubsanspruch, zugeordnete Betriebsorte und Stempelweg.
• Zeiterfassung: Kommen, Gehen und Pausen mit Zeitpunkt, Art und Herkunft (Stempeluhr, Handy, Web, Nachtrag), Abwesenheiten (z. B. Urlaub, Krankheit, Zeitausgleich) und Anträge dazu, Dienstpläne und Dienstplan-Anfragen, Korrekturen und Änderungsanträge mit Begründung.
• Stempeluhr-PIN: nur als Einweg-Hash; nach mehreren Fehlversuchen wird die PIN vorübergehend gesperrt.
• Audit-Log: Anlegen, Ändern und Löschen von Zeiteinträgen mit Zustand vorher und nachher, handelnder Person bzw. Gerät und Zeitpunkt.
• Betriebsorte: Name, Anschrift, Kartenpunkt und Radius eines Orts des Betriebs.

Die Rechtsgrundlage für diese Verarbeitung legt der Kunde als Arbeitgeber fest: in der Regel Art. 6 Abs. 1 lit. b DSGVO (Arbeitsvertrag) und Art. 6 Abs. 1 lit. c DSGVO (Pflicht zur Arbeitszeiterfassung, nach der Rechtsprechung des Bundesarbeitsgerichts aus § 3 Abs. 2 Nr. 1 ArbSchG, ergänzend § 16 Abs. 2 ArbZG), für Ortsfunktionen Art. 6 Abs. 1 lit. f DSGVO oder eine freiwillige Einwilligung der Beschäftigten; § 26 BDSG dient dabei nur als Orientierung, da er nach der Rechtsprechung des Europäischen Gerichtshofs (C-34/21) keine eigenständige Rechtsgrundlage ist. Gibt es im Betrieb einen Betriebsrat, ist die Einführung der Zeiterfassung und insbesondere der Ortsfunktionen mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Der Betrieb muss seine Beschäftigten vor dem Einsatz über die Ortsfunktionen informieren (Art. 13 DSGVO); diese Erklärung hilft ihm dabei, ersetzt seine Information aber nicht.

5. App „Zeittel“ für iOS und Android

Die App wird über den App Store von Apple bzw. Google Play bereitgestellt; für den Download selbst gelten die Datenschutzbestimmungen dieser Anbieter. In der App verarbeiten wir zusätzlich:

• Gerätekopplung: Wird ein Gerät als Stempeluhr oder als persönliches Handy eines Beschäftigten gekoppelt, speichern wir eine Gerätekennung (das zugehörige Geheimnis nur als Hash), Plattform (iOS/Android), App-Version, Kopplungszeitpunkt und letzte Nutzung. Gekoppelte Geräte sind für den Betrieb sichtbar und können jederzeit entfernt werden. Eine als Stempeluhr gekoppelte App speichert für den Betrieb ohne Internet Prüfwerte der PINs der Beschäftigten (Einweg-Hashes, keine PINs im Klartext) im geschützten Speicher des Geräts sowie offline erfasste Stempelvorgänge bis zur Übertragung.
• Push-Mitteilungen: Erlaubst du Mitteilungen, holt sich die App ein Push-Token beim Push-Dienst Expo (650 Industries, Inc., USA), das wir speichern. Mitteilungen (z. B. Dienstplan, Buchungsbestätigung, Hinweise des Betriebs) versenden wir über Expo, das sie an den Mitteilungsdienst von Apple (APNs) bzw. Google (Firebase Cloud Messaging) weitergibt. Mitteilungen enthalten keine Daten anderer Beschäftigter. Hast du kein gekoppeltes Handy oder lässt du keine Mitteilungen zu, senden wir Hinweise zu Dienstplan und Anträgen stattdessen per E-Mail an dein Login-Konto; zeitkritische Erinnerungen (z. B. „Dienst beginnt“) entfallen dann. Du kannst Mitteilungen jederzeit in den Einstellungen deines Geräts abschalten.
• App-Updates: Damit wir Fehler schnell beheben können, fragt die App bei jedem Start beim Update-Dienst Expo (650 Industries, Inc., USA) nach, ob es eine korrigierte Fassung ihrer Version gibt, und lädt sie gegebenenfalls herunter. Dabei erhält Expo die IP-Adresse deines Geräts, die Plattform (iOS/Android), die App-Version, den Update-Kanal und eine zufällige Installationskennung, die die App selbst erzeugt. Daten aus deinem Konto oder deiner Zeiterfassung (Name, Stempelzeiten, Standorte) gehen dabei nicht an Expo. Updates ändern nur Programmteile der App; neue Berechtigungen kann ein Update nicht einschalten.
• Ort beim Stempeln am Handy: Stempelt ein Beschäftigter mit der App auf seinem Handy ein oder aus, übermittelt die App den Standort dieses Moments (Koordinaten und Genauigkeit). Zweck ist der Nachweis, wo gestempelt wurde (z. B. beim Kunden des Betriebs). Erfasst wird nur der Moment von Kommen und Gehen, nicht bei Pausen, nicht im Hintergrund, kein Standortverlauf und kein Bewegungsprofil. Ohne Standortfreigabe oder wenn die Ortung scheitert, wird trotzdem gestempelt; gespeichert wird dann nur, dass und warum der Ort nicht ermittelt wurde. Den Ort sehen nur Inhaber und Verwalter des Betriebs, nicht andere Beschäftigte. Er wird nicht in das Audit-Log und nicht in technische Protokolle übernommen.
• Anwesenheitserkennung (nur wenn der Betrieb das Zusatzmodul GPS für dich einrichtet und du die Standortfreigabe „Immer“ erteilst): Das Betriebssystem deines Handys erkennt, auch bei geschlossener App, ob du einen dir zugeordneten Betriebsort betrittst oder verlässt: über einen Bereich um den Kartenpunkt (Geofencing) und, sobald die App das unterstützt und der Betrieb einen Sender einrichtet, über das Bluetooth-Signal eines Senders am Betriebsort. Je nach Einstellung des Betriebs erinnert dich die App daran zu stempeln, oder Zeittel bucht Kommen und Gehen beim Ankommen und Verlassen automatisch.
• Bei der Erinnerung geht an uns nur das Ereignis „angekommen“ bzw. „gegangen“ mit Zeitpunkt und Betriebsort, keine Koordinaten.
• Beim automatischen Stempeln, das du vorher in der App bestätigst, ermittelt die App im Moment des Ankommens bzw. Verlassens kurz den Standort (Koordinaten, Genauigkeit und Messzeit). Damit Anwesenheit und Buchungen stimmen, schickt sie beim Abgleich der Anwesenheit (z. B. beim Öffnen der App) ebenfalls eine aktuelle Messung mit. Unser Server verwendet diese Messungen nur, um festzustellen, ob du am Betriebsort bist; Beim automatischen Ausstempeln speichern wir die Messung vorübergehend, bis über die Buchung entschieden ist, und entfernen sie danach aus dem Anwesenheitszustand. Dauerhaft bleiben Koordinaten nur an einer entstandenen Buchung, wie beim Stempeln von Hand. Es entsteht kein Standortverlauf und kein Bewegungsprofil.
• Ohne Internet bleiben Ereignisse einschließlich etwaiger Messungen im lokalen Speicher der App. Erfolgreich übertragene Ereignisse werden dort gelöscht; ungeklärte bleiben bis zur Klärung. Ereignisse einer früheren Kopplung können bei derselben Person übernommen werden; andere werden archiviert und beim nächsten Abgleich gelöscht, sobald ihre Archivierung mehr als 30 Tage zurückliegt.
• Jede automatisch entstandene Buchung ist als automatisch gekennzeichnet, für dich sichtbar und korrigierbar. Für die einmalige Standortbestätigung an der Stempeluhr prüft die App den Standort im Moment der Bestätigung und meldet nur, ob du am Ort bist.
• Kamera, Fotos, Face ID: Die Kamera nutzt die App nur, wenn du einen Kopplungscode scannst oder ein Profilbild aufnimmst; den Fotozugriff nur, wenn du ein Profilbild auswählst. Das Profilbild speichern wir im Konto deines Betriebs. Vor dem Öffnen der Verwaltung auf einem gekoppelten Gerät kann die App Face ID, Fingerabdruck oder den Gerätecode abfragen; diese Prüfung läuft vollständig auf deinem Gerät, biometrische Daten erhalten wir nicht.
• Einrichtung in der App: Beginnst du die Einrichtung eines Betriebs in der App, bleibt der Zwischenstand bis zum Abschluss nur im geschützten Speicher deines Geräts.

Ortsfunktionen sind optional. Ein Betrieb kann Zeittel vollständig ohne Ortung nutzen. Anwesenheitserkennung, automatisches Stempeln und Standortbestätigung richtet der Betrieb in seinen Einstellungen für einzelne Beschäftigte ein und schaltet sie dort wieder aus. Über den Stempelweg legt er fest, ob am Handy gestempelt wird; wird nur an der Stempeluhr oder im Web gestempelt, entsteht kein Ort beim Stempeln. Den Ort beim Stempeln am Handy schalten wir auf Wunsch des Betriebs für den ganzen Betrieb ab. Ist eine Funktion ausgeschaltet, findet die zugehörige Verarbeitung nicht statt.

Standortfreigabe, Kamera, Fotos und Mitteilungen sind freiwillig und lassen sich jederzeit in den Einstellungen des Geräts entziehen; Zeittel bleibt dann über die Stempeluhr nutzbar.

Rechtsgrundlage für die App-Updates ist unser berechtigtes Interesse an einer fehlerfreien und sicheren App (Art. 6 Abs. 1 lit. f DSGVO). Die Installationskennung legt die App auf deinem Gerät ab, weil sie für die Bereitstellung der Updates erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG).

6. Karten- und Adressdienst (OpenStreetMap)

• Adresse zu einem Punkt bzw. Punkt zu einer Adresse: Für die Adresssuche bei Betriebsorten übermittelt unser Server die eingegebene Anschrift bzw. den gewählten Kartenpunkt ohne Namen oder sonstige Kennung; Orte beim Stempeln senden wir derzeit nicht dorthin, an den Dienst Nominatim der OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich).
• Kartenausschnitte: Karten in Zeittel laden Kartenkacheln direkt von den Servern von OpenStreetMap. Dabei überträgt dein Browser bzw. deine App deine IP-Adresse an die OpenStreetMap Foundation, die dafür eigenständig verantwortlich ist.

Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer verständlichen Anzeige von Orten) bzw. die Weisung des Kunden.

7. Hosting und E-Mail-Versand

Zeittel läuft auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Nürnberg (Deutschland); verschlüsselte Datensicherungen und das Protokollarchiv liegen ebenfalls bei Hetzner in der EU. Die Anwendung wird über HTTPS (TLS) ausgeliefert. System-E-Mails versenden wir über den E-Mail-Dienst der InterNetworX GmbH (INWX), Prinzessinnenstraße 30, 10969 Berlin. Hetzner und INWX sind für uns als Auftragsverarbeiter tätig.

8. Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb der EU bzw. des EWR erfolgt nur:

• in das Vereinigte Königreich (OpenStreetMap, Abschnitt 6) auf Grundlage des Angemessenheitsbeschlusses,
• in die USA für Push-Mitteilungen und App-Updates: an Expo (Abschnitt 5; dein Gerät holt sich das Push-Token und Updates direkt bei Expo) sowie für Push-Mitteilungen an Apple Inc. (APNs) bzw. Google LLC (Firebase Cloud Messaging), die die Mitteilung auf dein Gerät zustellen. Grundlage ist für Apple und Google ihre Zertifizierung unter dem EU-US Data Privacy Framework, für Expo die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw. eine Zertifizierung unter dem EU-US Data Privacy Framework, soweit vorhanden.
• in die USA bei Rechnung und Zahlung: Stripe übermittelt Daten an seine Muttergesellschaft Stripe, LLC und weitere Stripe-Gesellschaften (Abschnitt 3). Grundlage ist die Zertifizierung von Stripe, LLC unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023, Art. 45 DSGVO), ergänzend die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).
• in die USA bei Zahlung über PayPal: PayPal übermittelt Daten in eigener Verantwortung an PayPal, Inc. und weitere PayPal-Gesellschaften (Abschnitt 3). Grundlage sind nach Angabe von PayPal dessen verbindliche interne Datenschutzvorschriften (Art. 47 DSGVO).

9. Speicherdauer

• Konto- und Vertragsdaten (einschließlich der Herkunft der Registrierung): solange das Konto besteht und danach bis zum Ablauf der Verjährung (in der Regel drei Jahre zum Jahresende), soweit nicht die längeren Aufbewahrungsfristen für Rechnungen gelten.
• Rechnungen und Buchungsbelege: nach den gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB; derzeit in der Regel 8 Jahre für Buchungsbelege und 10 Jahre für Bücher und Abschlüsse).
• Daten im Kundenkonto: während der Vertragslaufzeit nach Weisung des Kunden. Nach Vertragsende kann der Kunde 30 Tage lang seine Daten exportieren; danach veranlassen wir die Löschung des Kontos mit allen Zeiten, Abwesenheiten, Dienstplänen, Geräten und Beschäftigtendaten. Nur die Abrechnungsunterlagen (Rechnungen, Vertragsdaten und Monatsstände; diese enthalten Anzahl und Rolle der gezählten Personen, keine Namen) bewahren wir verschlüsselt und getrennt vom laufenden Betrieb für die gesetzliche Frist auf. Ein Löschnachweis mit Betriebskennung, Zeitpunkt und Anzahl der gelöschten Datensätze (ohne Namen der Beschäftigten) bleibt erhalten.
• Ort beim Stempeln: so lange wie die zugehörige Buchung; wird die Buchung gelöscht, wird auch der Ort gelöscht.
• Ereignisse der Anwesenheitserkennung: Ereignisse ohne Buchungsbezug und Zustellaufträge für Mitteilungen löschen wir nach 7 Tagen; an Buchungen hängende Ereignisse so lange wie die Buchung.
• Push-Token und gekoppelte Geräte: bis zum Entkoppeln oder bis der Push-Dienst das Token als ungültig meldet; Gerätezugänge laufen nach 90 Tagen ohne Nutzung ab.
• Installationskennung für App-Updates: in der App, bis du sie löschst. Bei uns speichern wir zu den Update-Anfragen nichts; Expo protokolliert sie nach seinen eigenen Vorgaben.
• Technische Protokolle und Nutzungssignale: 90 Tage; die verschlüsselte Kopie im Protokollarchiv wird ebenfalls nach 90 Tagen gelöscht. Länger nur, wenn ein Sicherheitsvorfall das erfordert.
• Support-Vorgänge und Feedback: drei Jahre nach Abschluss.
• Tokens für Aktivierung, Einladung und Passwort-Reset: bis zum Ablauf bzw. Abschluss des Vorgangs.
• Datensicherungen: Sicherungen der Datenbank werden nach einem festen Turnus überschrieben; im laufenden System gelöschte Daten verschwinden damit spätestens nach sechs Monaten auch aus den Sicherungen.

10. Cookies und Speicher im Browser

Wir setzen ausschließlich technisch notwendige Cookies ein (§ 25 Abs. 2 Nr. 2 TDDDG):

• `amtro_session` – Anmeldung nach dem Login (httpOnly),
• `amtro_csrftoken` – Schutz vor Cross-Site-Request-Forgery,
• `NEXT_LOCALE` – merkt die gewählte Sprache,
• `amtro_time_clock_device` – bindet eine Browser-Stempeluhr an genau dieses Gerät.

Marketing- und Tracking-Cookies sowie Analysedienste setzen wir nicht ein. Im Speicher des Browsers (`localStorage`, `sessionStorage`) legen wir Anzeige-Einstellungen (z. B. Kalenderansicht, Schriftgröße der Stempeluhr), technische Merker für das Neuladen nach Updates, den Einrichtungslink einer neuen Stempeluhr sowie den Zwischenstand einer begonnenen Einrichtung eines Betriebs (z. B. eingegebene Namen und Arbeitszeiten) ab. Diese Daten bleiben auf deinem Gerät; der Einrichtungs-Zwischenstand wird nach Abschluss der Einrichtung gelöscht.

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO; insbesondere technische Protokolle, Nutzungssignale, Herkunft der Registrierung, Feedback, Nachweis von Vertragsänderungen, Kartenanzeige), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für den Anbieter zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit.

Für Daten, für die der Anbieter verantwortlich ist, erreichst du uns über die Kontaktdaten im Rahmen über dieser Erklärung. Für Beschäftigten- und Zeiterfassungsdaten im Konto eines Betriebs ist der Betrieb als Arbeitgeber dein Ansprechpartner; wir unterstützen ihn dabei.

12. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Für Konto und Vertrag brauchen wir die als Pflicht gekennzeichneten Angaben; ohne sie ist eine Nutzung nicht möglich. Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Buchungen entstehen nur durch dein Stempeln, durch Einträge des Betriebs oder, wenn der Betrieb es eingerichtet hat, durch die automatische Anwesenheitserkennung (Abschnitt 5); jede Buchung bleibt sichtbar und korrigierbar.

13. Änderungen

Wir passen diese Erklärung an, wenn sich Zeittel oder die Rechtslage ändert. Es gilt die jeweils auf der Website veröffentlichte Version; über wesentliche Änderungen informieren wir Kunden in der Anwendung.