Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Zeitblick — Paul GardowLindenplatz 15, 10319 BerlinE-Mail: info@zeitblick.com.deTelefon: 0151 55649405

Die gesetzlichen Voraussetzungen für die Pflicht zur Bestellung eines Datenschutzbeauftragten (§ 38 BDSG) liegen nicht vor.

Zeitblick wird von Unternehmen („Kunden“) eingesetzt, um die Arbeitszeit und Abwesenheiten ihrer eigenen Mitarbeitenden zu erfassen. Dabei ist der jeweilige Kunde (Arbeitgeber) im Sinne der DSGVO Verantwortlicher für die Daten seiner Mitarbeitenden, wir sind als Anbieter der Software Auftragsverarbeiter gemäß Art. 28 DSGVO. Diese Erklärung beschreibt beide Rollen: unsere eigene Verantwortlichkeit (z. B. für den Betrieb der Website/App als solche) sowie, was Kunden ihren eigenen Mitarbeitenden gegenüber typischerweise ergänzen müssen.

Hinweis für Kunden: Bitte prüfen, ob zusätzlich eine eigene, betriebsinterne Datenschutzinformation für Mitarbeitende benötigt wird, und einen Auftragsverarbeitungsvertrag (AVV) mit uns abschließen.

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website/App sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung des Nutzers oder auf einer der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung eines Vertrags (z. B. des Software-Nutzungsvertrags mit dem Kunden)
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung einer rechtlichen Verpflichtung (z. B. gesetzliche Aufzeichnungs- und Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO — Wahrung berechtigter Interessen (z. B. IT-Sicherheit, Missbrauchsprävention)
• § 26 BDSG — für die Verarbeitung von Beschäftigtendaten durch den jeweiligen Arbeitgeber (Kunden) im Rahmen des Beschäftigungsverhältnisses

Beim Aufruf der App erhebt unser Hosting-Anbieter automatisiert technische Zugriffsdaten (Server-Logfiles), die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Seite, Browsertyp und -version, Betriebssystem. Diese Daten sind technisch erforderlich, um die App auszuliefern, und werden nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit, Fehleranalyse).

Gehostet wird die App bei Vercel Inc., Rechenzentrum Frankfurt/fra1.

Bei der Anlage eines Nutzerkontos durch den Kunden (Administration) verarbeiten wir: Name, dienstliche E-Mail-Adresse, Rolle/Berechtigung, optional Foto, sowie bei Bedarf Vertragsdaten wie Wochenstunden, Eintrittsdatum, Personalnummer. Passwörter werden ausschließlich gehasht gespeichert, niemals im Klartext.

Zur Erfüllung des Vertragszwecks und gesetzlicher Aufzeichnungspflichten (u. a. § 16 ArbZG) erfassen wir Beginn und Ende von Arbeitszeiten, Pausenzeiten sowie daraus berechnete Überstunden/Minusstunden. Rechtsgrundlage ist die Vertragserfüllung mit dem Kunden (Art. 6 Abs. 1 lit. b DSGVO) in Verbindung mit § 26 BDSG für das Verhältnis zwischen Kunde und dessen Mitarbeitenden.

Bei der Beantragung von Abwesenheiten (Urlaub, Krankheit, Kind-krank, Fortbildung, Sonderurlaub) wird die Art der Abwesenheit sowie der Zeitraum gespeichert. Für die Kategorien „Krank“ und „Kind-krank“ wird ausschließlich der Status als solcher erfasst — keine Diagnosen, Befunde oder sonstigen Gesundheitsdetails. Da es sich dennoch um gesundheitsbezogene Daten im Sinne des Art. 9 DSGVO handeln kann, erfolgt die Verarbeitung auf Grundlage von Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG (Ausübung von Rechten und Pflichten aus dem Arbeitsverhältnis).

Für die Stempeluhr-Funktion am Terminal können Mitarbeitende per PIN, RFID-Chip oder Passwort ein- und ausstempeln. PINs und Terminal-Passwörter werden ausschließlich als Hash (bcrypt) gespeichert. RFID-Chip-Kennungen werden als deterministischer HMAC-Hash gespeichert, niemals im Klartext. Aus keinem der gespeicherten Werte lässt sich der ursprüngliche PIN, das Passwort oder die Chip-Kennung zurückrechnen.

Wir setzen ausschließlich technisch notwendige Cookies ein, die für den Betrieb der App erforderlich sind: einen Session-/Authentifizierungs-Cookie (angemeldeter Zustand) sowie einen Cookie zur Speicherung der gewählten Ansicht (Desktop/Mobil). Es werden keine Marketing- oder Tracking-Cookies und keine Cookies von Drittanbietern zu Analysezwecken gesetzt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TTDSG bzw. Art. 6 Abs. 1 lit. f DSGVO.

Sollten künftig Analyse- oder Marketing-Cookies hinzukommen, werden dieser Abschnitt und ein Cookie-Consent-Banner vorher ergänzt.

Zur Erbringung unserer Leistung setzen wir folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

• Supabase (Datenbank, Authentifizierung, Datei-Speicher) — Rechenzentrum EU (Frankfurt); Auftragsverarbeitungsvertrag abgeschlossen.
• Vercel (Hosting) — Rechenzentrum Frankfurt/fra1; Auftragsverarbeitungsvertrag abgeschlossen.

Die von uns eingesetzten Auftragsverarbeiter (Supabase, Vercel) verarbeiten personenbezogene Daten ausschließlich in Rechenzentren innerhalb der EU. Eine Übermittlung personenbezogener Daten in Länder außerhalb der EU/des EWR findet nicht statt.

Wir speichern personenbezogene Daten nur so lange, wie dies für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorschreiben — etwa für lohn- und gehaltsrelevante Unterlagen gemäß § 257 HGB (6 Jahre) bzw. § 147 AO (bis zu 10 Jahre).

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte in Bezug auf die Sie betreffenden personenbezogenen Daten zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht gegen die Verarbeitung (Art. 21 DSGVO)

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI).

Wir setzen keine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO ein. Überstunden- und Urlaubsanträge werden stets von einer berechtigten Person entschieden.

Wir passen diese Datenschutzerklärung an, sobald sich die Rechtslage oder die von uns verwendeten Dienste/Verarbeitungen ändern. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs aktuelle, oben mit Datum ausgewiesene Fassung.