Datenschutzerklärung

§ 1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Webseite und — soweit nachfolgend angegeben — in der Web-App „Zeitflex" ist:

Dienstleistungen24 Inh. Jim Eichholz

Ramlerstraße 2, 13355 Berlin, Deutschland

Vertreten durch: den Inhaber Jim Eichholz

E-Mail: info@zeitflex.de

Telefon: +49 30 55523375

„Zeitflex" ist ein Produkt des vorgenannten Einzelunternehmens und keine eigenständige juristische Person.

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist nicht benannt. Eine Benennungspflicht besteht nicht: Die Schwelle des § 38 Abs. 1 BDSG für eine Benennung ist nicht erreicht; Kerntätigkeit ist die Zeiterfassung, die Ablage von Arbeitsunfähigkeitsbescheinigungen als Datei ist eine Nebenfunktion und keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 37 Abs. 1 lit. c DSGVO). Datenschutzanfragen richten Sie bitte an die vorstehende Adresse.

Wichtiger Hinweis zur Rollenverteilung (B2B)

Zeitflex ist ein Angebot für Unternehmen (Arbeitgeber). Soweit Ihr Arbeitgeber Zeitflex zur Zeiterfassung und vorbereitenden Lohnabrechnung einsetzt, ist Ihr Arbeitgeber Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Verarbeitung Ihrer Beschäftigtendaten. Dienstleistungen24 Inh. Jim Eichholz verarbeitet diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags mit Ihrem Arbeitgeber. Betroffenenanfragen zu diesen Daten richten Sie bitte vorrangig an Ihren Arbeitgeber; wir unterstützen ihn bei der Beantwortung. Diese Datenschutzerklärung informiert ergänzend darüber, wie die Datenverarbeitung in Zeitflex technisch und organisatorisch erfolgt, sowie über die Verarbeitungen, für die Dienstleistungen24 Inh. Jim Eichholz selbst Verantwortlicher ist (insbesondere Webseite, Vertragsverwaltung mit Kunden, Abrechnung, Support sowie die Nutzungsanalyse mit Microsoft Clarity in der Web-App, die nur mit Ihrer eigenen Einwilligung stattfindet, § 8).

§ 2 Übersicht der Verarbeitungen, Zwecke und Rechtsgrundlagen

2.1 Bereitstellung der Webseite (Server-Logfiles)

Beim Aufruf unserer Webseite fallen technische Verbindungsdaten an (IP-Adresse, Zeitpunkt, aufgerufene Adresse), die der Server zur Auslieferung der Seite und zur Abwehr von Angriffen verarbeitet. Ein gesondertes Zugriffsprotokoll mit Referrer-Adresse und Browserkennung führen wir nicht; Fehlermeldungen der Dienste landen in Betriebsprotokollen, die größenbasiert überschrieben werden (je Dienst höchstens fünf Dateien zu 10 MB).

• Zweck: Auslieferung der Webseite, Gewährleistung von Stabilität und Sicherheit, Missbrauchs- und Angriffserkennung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem und stabilem Betrieb).
• Speicherdauer: Die technischen Protokolle des Servers werden fortlaufend umgewälzt. Je Dienst werden höchstens die fünf jüngsten Protokolldateien zu je 10 MB vorgehalten; ältere Einträge werden dabei überschrieben. Eine Aufbewahrung über diesen Umfang hinaus findet nicht statt. Wie viele Tage das sind, hängt vom Aufkommen ab — eine feste Frist in Tagen gibt es nicht, und wir nennen deshalb auch keine.
• Nicht gemeint sind die Protokolle der Web-App: Das Änderungs- und Zugriffsprotokoll der Anwendung ist etwas anderes als diese Server-Logfiles. Für es gilt die eigene Frist aus § 5, und es enthält auch die IP-Adresse der handelnden Person.

Abwehr von Massenanfragen

Damit Kontaktformular, Anmeldung und Bestätigungsvorgänge nicht automatisiert missbraucht werden, speichern wir zu jeder Anfrage kurzzeitig einen Zähler, dessen Schlüssel die IP-Adresse enthält. Beim Kontaktformular sind fünf Nachrichten je Stunde und IP-Adresse zulässig; der Eintrag verfällt spätestens zwei Stunden nach der letzten Anfrage und wird täglich aus der Datenbank entfernt. Ein Inhalt der Anfrage wird dabei nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

2.2 Registrierung und Nutzerkonten (Web-App)

Bei Registrierung eines Kundenkontos bzw. Anlage von Mitarbeiterzugängen verarbeiten wir Stammdaten (Name, geschäftliche E-Mail-Adresse, Personalnummer, Rolle/Position, Unternehmenszugehörigkeit, Zuordnung zu einem Standort und einer Abteilung, Sprachwahl) sowie Authentifizierungsdaten (Passwort-Hash, Sitzungs- und Geräte-Token). Hinzu kommen die Beschäftigungsdaten, die der Arbeitgeber einträgt: Beschäftigungsart, Stundenlohn oder Monatsgehalt, wöchentliche Sollarbeitszeit, Urlaubsanspruch, Eintritts- und Austrittsdatum.

Organisationseinheit: Zu einem Standort speichern wir Bezeichnung, Anschrift und Bundesland; das Bundesland steuert allein, welcher Feiertagskalender für die Sollzeit gilt. Zu einer Abteilung speichern wir Bezeichnung und Farbe. Die Zuordnung einer Person zu Standort und Abteilung dient der Dienstplanung, der Auswertung und der Feiertagsrechnung.

Entgeltsätze mit Gültigkeitszeitraum: Stundenlohn, Monatsgehalt, wöchentliche Sollarbeitszeit und Urlaubsanspruch werden nicht mehr nur als aktueller Wert geführt, sondern als Kette von Sätzen mit einem Datum „gültig ab", einer Begründung und der Angabe, wer den Satz eingetragen hat. Zweck ist, dass ein abgeschlossener Monat mit dem Satz nachvollziehbar bleibt, der damals galt. Diese Historie sehen die Inhaberin bzw. der Inhaber und Führungskräfte.

Geburtsdatum: Der Arbeitgeber kann zusätzlich ein Geburtsdatum eintragen. Die Angabe ist freiwillig und dient ausschließlich dem Jugendarbeitsschutz — an ihr hängt die Prüfung der Höchstarbeitszeiten für unter 18-Jährige. Für keinen anderen Zweck wird sie ausgewertet. Bei der Pseudonymisierung ausgeschiedener Beschäftigter (§ 5) wird sie gelöscht.

PIN und Wandterminal: Wird an einem fest installierten Stempelgerät gearbeitet, verarbeiten wir zusätzlich eine sechsstellige (bei älteren Zugängen vierstellige) persönliche Kennzahl (PIN). Sie wird nur als nicht rückrechenbarer Prüfwert gespeichert, nie im Klartext. Zum Gerät selbst speichern wir Bezeichnung, Kopplungsstand und den Zeitpunkt des letzten Zugriffs. Mitarbeiter-Badge: Statt der PIN (oder zusammen mit ihr, wenn der Betrieb das so einstellt) kann eine Person mit einem gedruckten QR-Badge stempeln. Beim Stempeln mit Mitarbeiter-Badge nutzt das Terminal-Gerät seine Kamera ausschließlich im Browser des Geräts, um den QR-Code des Badges zu lesen. Die Kamera läuft nur nach Antippen von „Mit Badge stempeln“, höchstens 30 Sekunden. Kamerabilder werden weder gespeichert noch an Zeitflex oder Dritte übertragen. Gespeichert wird je Person nur ein Prüfwert des Badges und das Ausstellungsdatum.

• Zweck: Bereitstellung des Nutzerkontos, Authentifizierung, Rollen- und Rechteverwaltung.
• Rechtsgrundlage: Gegenüber unseren Kunden Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für Beschäftigtendaten der Kunden erfolgt die Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); Rechtsgrundlage auf Ebene des Arbeitgebers ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses) und lit. c DSGVO (§ 16 Abs. 2 ArbZG, § 17 MiLoG), ergänzend § 26 Abs. 1 BDSG.

Anmeldung und Registrierung mit Google (freiwillig): Statt mit E-Mail-Adresse und Passwort können Sie sich mit Ihrem Google-Konto registrieren oder anmelden, sobald wir diesen Weg in der Web-App anbieten. Wählen Sie „Mit Google“, leitet Ihr Browser Sie zur Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) weiter; dort melden Sie sich bei Google an und entscheiden, ob Google uns Daten übermittelt. Mit Ihrer Zustimmung übermittelt Google uns die Kennung Ihres Google-Kontos, Ihre E-Mail-Adresse samt dem Vermerk, ob Google sie bestätigt hat, Ihren Namen (auch getrennt nach Vor- und Nachname), die Adresse Ihres Profilbilds und gegebenenfalls Ihre Spracheinstellung. Verwendet werden davon nur Kennung, E-Mail-Adresse, Bestätigungsvermerk und Name; dauerhaft gespeichert wird nur die Kennung, um Ihr Konto beim nächsten Mal wiederzuerkennen. Zugangsschlüssel von Google speichern wir nicht. Ein bestehendes Zeitflex-Konto wird nur dann mit einem Google-Konto verbunden, wenn Sie das selbst aus Ihrer angemeldeten Sitzung heraus anstoßen. Google verarbeitet die Anmeldung in eigener Verantwortung nach seinen Datenschutzbestimmungen (policies.google.com/privacy); dabei können Daten an die Google LLC in den USA gelangen (EU-US Data Privacy Framework, Angemessenheitsbeschluss nach Art. 45 DSGVO). Die Verbindung können Sie jederzeit in der Web-App in Ihren Konto-Einstellungen trennen; die Kennung löschen wir dann sofort, spätestens mit Ihrem Zeitflex-Konto (§ 5). Ein Trennen nur in Ihrem Google-Konto entfernt die Kennung bei uns nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des von Ihnen gewählten Anmeldewegs).

2.3 Zeiterfassung (Arbeitszeitdaten)

In der Web-App werden Arbeitszeitdaten verarbeitet: Beginn, Ende und Dauer der Arbeitszeit, Pausenzeiten, Zuordnung zu Projekten/Kostenstellen (sofern vom Arbeitgeber konfiguriert), Korrekturen und Freigaben.

Korrekturanträge: Beschäftigte ändern erfasste Zeiten nicht selbst. Sie können eine Korrektur vorschlagen; gespeichert werden dabei die gewünschte Zeit, eine Begründung als Freitext, der Stand des Antrags sowie die Führungskraft, die entschieden hat, mit Zeitpunkt und Entscheidungskommentar. Eine Ablehnung wird der antragstellenden Person mitgeteilt; enthält die Meldung einen Kommentar der Führung, erscheint dieser auch auf dem Sperrbildschirm des Empfangsgeräts. Bitte nennen Sie in der Begründung keine Gesundheitsangaben. Antrag, Rücknahme und Entscheidung stehen im Änderungsprotokoll.

Arbeitszeitnachweis als PDF: Beschäftigte und Betriebsleitung können den Nachweis eines Monats abrufen (Beginn, Ende, Pause, Ist- und Sollzeit je Kalendertag sowie die Korrekturen mit Grund). Er wird bei jedem Abruf aus den erfassten Zeiten erzeugt, nicht gespeichert, enthält keine Entgeltangaben, und jeder Abruf wird protokolliert.

• Zweck: Erfüllung der Zeiterfassungsfunktion; Unterstützung des Arbeitgebers bei der Erfüllung seiner Aufzeichnungspflichten (u. a. § 3 Abs. 2 Nr. 1 ArbSchG i. V. m. der Rechtsprechung des BAG, § 17 MiLoG, § 16 Abs. 2 ArbZG).
• Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); auf Arbeitgeberebene Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses) und lit. c DSGVO (§ 16 Abs. 2 ArbZG, § 17 MiLoG), ergänzend § 26 Abs. 1 BDSG.

2.4 GPS-Momentaufnahmen beim Stempeln (optional)

Sofern der Arbeitgeber diese Funktion aktiviert hat, kann beim Stempelvorgang (Ein-/Ausstempeln) einmalig der ungefähre Standort erfasst werden.

Klarstellung — kein Bewegungsprofil: Es erfolgt keine fortlaufende Ortung und kein Tracking. Der Standort wird ausschließlich als einzelne Momentaufnahme im Zeitpunkt des Stempel-Ereignisses erfasst und gespeichert. Zwischen Stempelvorgängen findet keinerlei Standorterfassung statt. Es wird kein Bewegungsprofil erstellt und die Daten werden nicht zu einem solchen zusammengeführt.

• Zweck: Plausibilisierung des Stempelorts (z. B. Baustelle, Filiale), sofern der Arbeitgeber dies konfiguriert hat.
• Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); die datenschutzrechtliche Zulässigkeit auf Arbeitgeberebene (Art. 6 Abs. 1 lit. b DSGVO, ergänzend § 26 Abs. 1 BDSG; eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder eine Betriebsvereinbarung nach Art. 88 DSGVO i. V. m. § 26 Abs. 4 BDSG) stellt der Arbeitgeber eigenverantwortlich sicher. Besteht ein Betriebsrat, wahrt der Arbeitgeber dessen Mitbestimmungsrechte (§ 87 Abs. 1 Nr. 6 BetrVG), bevor er die Standortfunktion einschaltet.
• Konfiguration: Die Funktion ist standardmäßig deaktiviert und kann vom Arbeitgeber für den gesamten Betrieb aktiviert oder deaktiviert werden; eine Einstellung je Team oder Standort gibt es nicht. In der App ist für die Beschäftigten transparent erkennbar, ob eine Standort-Momentaufnahme erfolgt.

2.5 Arbeitsunfähigkeitsbescheinigungen (AU-Uploads) — Gesundheitsdaten

Beschäftigte können — sofern der Arbeitgeber die Funktion nutzt — Fotos/Scans von Arbeitsunfähigkeitsbescheinigungen hochladen. Hierbei können Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO verarbeitet werden (jedenfalls die Tatsache der Arbeitsunfähigkeit und deren Dauer). Der Upload ist freiwillig und für Fälle gedacht, in denen der Arbeitgeber die Bescheinigung nicht elektronisch bei der Krankenkasse abrufen kann (z. B. privat Versicherte, geringfügig Beschäftigte ohne eAU-Abruf, im Ausland ausgestellte Bescheinigungen).

• Zweck: Übermittlung des Nachweises der Arbeitsunfähigkeit an den Arbeitgeber, Abwesenheitsverwaltung, vorbereitende Lohnabrechnung (z. B. Entgeltfortzahlung).
• Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers; auf Arbeitgeberebene Art. 9 Abs. 2 lit. b DSGVO (Erfüllung arbeits- und sozialrechtlicher Pflichten, u. a. § 5 EFZG, Entgeltfortzahlung), ergänzend § 26 Abs. 3 BDSG.
• Schutzmaßnahmen: Die konkreten Maßnahmen sind:
• Ablage getrennt von der Datenbank — je nach Betriebseinstellung im Objektspeicher desselben Anbieters (Hetzner Object Storage, Region fsn1, Falkenstein) oder auf dem Datenträger desselben Servers in Falkenstein; in der Datenbank steht nur der Verweis, nie die Datei.
• Verschlüsselung der Datei vor der Übertragung an den Objektspeicher (AES-256-GCM).
• Annahme nur von JPG, PNG und PDF; geprüft am Dateiinhalt (Signaturbytes), nicht an der Angabe des Endgeräts. Höchstgröße 10 MB.
• Der vom Endgerät gelieferte Dateiname wird nie als Speicherpfad verwendet; die Ablage erfolgt mandantengetrennt unter einer zufälligen Kennung.
• Zugriff über die Anwendung ausschließlich für: die betroffene Person selbst, die Inhaberin bzw. den Inhaber des Betriebs und Führungskräfte (Rolle „Führung", technisch MANAGER). Ausdrücklich KEIN Zugriff für den Steuerkanzlei-Zugang und für Kolleginnen und Kollegen.
• Für den technischen Betrieb kann der Betreiber im Störungsfall auf die Systeme zugreifen — das ist bei jedem Systembetrieb so. Das Verwaltungs-Backend des Betreibers ist mit einem zweiten Faktor gesichert, protokolliert jeden Vorgang in einer fortlaufend verketteten Kette (§ 9) und hat keinen Lesezugriff auf Zeit-, Abwesenheits- oder Gesundheitsdaten. Daneben besteht ein administrativer Zugang zu Server und Datenbank, der für Betrieb, Sicherung und Störungsbeseitigung erforderlich ist und allein dem Inhaber offensteht.
• Jeder Zugriff wird protokolliert — der erfolgreiche wie der abgewiesene. Betroffene Personen können dieses Protokoll selbst einsehen (Auskunftsfunktion in der Anwendung).
• Automatische Löschung, siehe § 5.

2.6 Vorbereitende Lohnabrechnung (Lohn-Bewegungsdaten)

Zeitflex verarbeitet Lohn-Bewegungsdaten (z. B. Stunden, Zuschläge, Abwesenheiten, Fehlzeiten, variable Vergütungsbestandteile) zur Aufbereitung und zum Export an den Arbeitgeber bzw. dessen Lohnbüro/Steuerberater.

Je Person und Monat wird dabei ein Datensatz festgeschrieben, der neben Personalnummer, Beschäftigungsart und Entgeltsätzen auch Arbeits-, Pausen- und Überstundenminuten, Urlaubstage und die Zahl der Kranktage enthält. Die Zahl der Kranktage ist eine Gesundheitsangabe; sie wird länger aufbewahrt als die zugehörige Arbeitsunfähigkeitsbescheinigung (§ 5).

Zu den Lohn-Bewegungsdaten gehören außerdem die Verteilung von Trinkgeld (Anteil je Person, zugrunde gelegte Arbeitsminuten, Verteilschlüssel) und vom Arbeitgeber gewährte Prämien und Sachbezüge (Bezeichnung, Betrag, Kategorie, steuerliche Einordnung, Bemerkung).

Zu den Lohn-Bewegungsdaten gehören außerdem der Freizeitausgleich und die Verpflegungspauschale. Freizeitausgleich ist eine Abwesenheitsart, die die Sollzeit mindert; je Person und Monat werden die ausgeglichenen Tage und Minuten festgeschrieben. Für Einsätze außerhalb der ersten Tätigkeitsstätte wird je Kalendertag ein Reisekostentag geführt: Datum, betroffenes Projekt, die Angabe, ob auswärts übernachtet wird, die Art des Tages (eintägig, An-, voller, Abreisetag), der Pauschbetrag nach § 9 Abs. 4a EStG, eine Kürzung für gestellte Mahlzeiten, der Stand (beantragt, festgesetzt, storniert), die entscheidende Führungskraft mit Zeitpunkt und eine Begründung als Freitext. Der Betrag wird mit der Festsetzung eingefroren, damit ein abgeschlossener Monat stabil bleibt. Beide Angaben stehen im Lohnexport an den Arbeitgeber bzw. dessen Lohnbüro; die Verpflegungspauschale erscheint dort als eigene Lohnart und zählt nicht zum Bruttoentgelt.

• Zweck: Vorbereitung der Entgeltabrechnung durch den Arbeitgeber; Zeitflex führt selbst keine Lohnabrechnung im steuer- oder sozialversicherungsrechtlichen Sinne durch.
• Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); auf Arbeitgeberebene Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses) und lit. c DSGVO (§ 41 EStG, § 28f SGB IV), ergänzend § 26 Abs. 1 BDSG.

2.7 Zahlungsabwicklung (Stripe)

Für die Abrechnung der Abonnements unserer Kunden setzen wir Stripe ein (siehe § 4). Wir selbst speichern keine vollständigen Zahlungskartendaten.

• Zweck: Abwicklung der Abonnementzahlungen, Rechnungsstellung, Betrugsprävention. Kam Ihr Betrieb über das Partnerprogramm Provanto zu uns, tragen Kundenkonto und Abonnement bei Stripe zusätzlich die Kennzeichen dieser Empfehlung, damit die Empfehlung zugeordnet und abgerechnet werden kann (§ 2.23).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Kunden); Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Pflichten); Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention).
• Speicherdauer: Vertrags- und Rechnungsdaten des Kunden bewahren wir für die Dauer des Kundenkontos auf; Rechnungen und Buchungsbelege acht Jahre, Bücher und Jahresabschlüsse zehn Jahre, jeweils ab Ende des Kalenderjahres (§ 147 Abs. 1 Nr. 1 und 4, Abs. 3 AO, § 257 Abs. 4 HGB, § 14b Abs. 1 UStG).

2.8 Kommunikation, Support und Transaktions-E-Mails

Bei Kontaktaufnahme (E-Mail, Support-Formular) verarbeiten wir die mitgeteilten Daten zur Bearbeitung der Anfrage.

Kontaktformular der Website: Verarbeitet werden Name, E-Mail-Adresse, auf Wunsch eine Telefonnummer und Ihre Nachricht. Die Anfrage wird in unserer Datenbank auf Servern in Deutschland gespeichert (§ 4) und zusätzlich als E-Mail an unser Support-Postfach zugestellt; Ihre Adresse setzen wir als Antwortadresse dieser E-Mail. Gespeichert werden außerdem der Bearbeitungsstand und unsere Antwort, die wir Ihnen per E-Mail von info@zeitflex.de schicken. Antworten Sie darauf per E-Mail, ordnen wir Ihre Antwort der Anfrage zu und speichern nur den neuen Text (ohne zitierten Verlauf und ohne Anhänge) mit Zeitpunkt; dasselbe gilt für Antworten auf unsere Antworten zu Rückmeldungen aus der Anwendung. Ein Bilderrätsel oder ein vergleichbarer Dienst eines Dritten wird nicht eingesetzt; hinzu kommt nur der Zähler gegen Massenanfragen aus § 2.1. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung Ihrer Anfrage). Speicherdauer: Die gespeicherte Anfrage löschen wir zwölf Monate nach der letzten Bearbeitung; als Geschäftskorrespondenz aufbewahrte E-Mails sechs Jahre ab Ende des Kalenderjahres (§ 257 Abs. 1 Nr. 2 und 3, Abs. 4 HGB, § 147 Abs. 1 Nr. 2 und 3, Abs. 3 AO).

Transaktions-E-Mails: Alle vom System ausgelösten E-Mails laufen über den in § 4 genannten Versandweg. Dazu gehören Einladungen, Bestätigung und Zurücksetzen von Zugangsdaten, Entscheidungen über Abwesenheitsanträge, Erinnerungen, Warnungen zu Entgeltgrenzen, Berichte zur Arbeitszeit und Bestätigungen über ausgeführte Löschungen. Übermittelt werden Absender, Empfängeradresse, Betreff und der vollständige Nachrichteninhalt. Da eine Entscheidung über einen Abwesenheitsantrag den Grund der Abwesenheit nennen kann, können dabei auch Gesundheitsangaben über den Versandweg laufen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kommunikation).

2.9 Fehler- und Stabilitätsüberwachung

Technische Fehler werden in den Protokolldateien auf demselben Server festgehalten, auf dem die Anwendung läuft. Zusätzlich erfasst ein Fehlerüberwachungsdienst (GlitchTip), den wir selbst auf diesem Server betreiben, Fehlerberichte der Anwendung; ein externer Dienst oder ein weiterer Dienstleister ist dafür nicht eingebunden. Vor dem Speichern werden personenbezogene Bestandteile automatisiert unkenntlich gemacht — E-Mail-Adressen, IP-Adressen, Kontonummern, Zugangsschlüssel, Verbindungszeichenfolgen und längere Ziffernfolgen; übrig bleiben Fehlertext, Zeitpunkt sowie Betriebs- und Nutzerkennungen. Fehlerberichte werden nach 30 Tagen gelöscht. Sollte künftig ein externer Fehlerüberwachungsdienst eingebunden werden, ergänzen wir vorher § 4 und Anlage 2 des Auftragsverarbeitungsvertrags und informieren die Kunden vorab.

• Zweck: Erkennung und Behebung technischer Fehler, Betriebssicherheit.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an fehlerfreiem, sicherem Betrieb).
• Speicherdauer: wie bei den übrigen Server-Logfiles (§ 2.1).

2.10 Reichweiten- und Werbemessung

Eine Reichweitenmessung und Nutzungsanalyse führen wir nur mit Ihrer Einwilligung durch — auf dieser Website (einschließlich der Demo unter zeitflex.de/demo/) und seit dem 25. Oktober 2026 auch in der Web-App unter app.zeitflex.de: Stimmen Sie unter „Cookie-Einstellungen“ der Kategorie „Statistik“ zu, laden wir Microsoft Clarity; Einzelheiten dazu, auch zu den Bereichen der Web-App, die davon ausgenommen sind, in § 8. Ihre Wahl gilt gemeinsam für zeitflex.de und app.zeitflex.de. Ohne Ihre Zustimmung wird nichts geladen; gezählt wird auf der Website dann nur die cookiefreie Besucherzahl, die im nächsten Absatz beschrieben ist. Bei der Registrierung vermerken wir außerdem die grobe Herkunftsart, wie im übernächsten Absatz beschrieben. Google Analytics, Matomo, Plausible oder ein vergleichbares Werkzeug sind an keiner Stelle eingebunden. Ob unsere Werbung bei Google wirkt, messen wir nur auf dieser Website und nur mit Ihrer Einwilligung: Stimmen Sie der Kategorie „Marketing“ zu, laden wir Google Ads; Einzelheiten in § 8. Eine einzige Stelle der Web-App ist davon erfasst: die Registrierungsseite (app.zeitflex.de/registrieren). Haben Sie dort der Kategorie „Marketing“ zugestimmt, meldet die Seite nach dem Anlegen Ihres Kontos an Google Ads, dass eine Registrierung stattgefunden hat — ohne Name, E-Mail-Adresse oder Betrieb. In der angemeldeten Web-App findet keine Werbemessung statt; mit derselben Einwilligung melden wir lediglich den ersten Kauf Ihres Betriebs von unserem Server an Google Ads (§ 8). Die über Clarity erhobenen Daten geben wir nicht zur Werbenutzung frei (§ 8).

Besucherzählung ohne Cookies (seit 20. Oktober 2026): Damit wir wissen, wie viele Menschen diese Website besuchen, zählen wir auf unserem eigenen Server in Deutschland Besucher und Seitenaufrufe je Kalendertag. Dafür bildet der Server bei jedem Seitenaufruf aus Ihrer IP-Adresse, der Kennung Ihres Browsers und einem zufälligen Tageswert einen Prüfwert (Hash) und verwirft IP-Adresse und Browserkennung sofort. Der Tageswert wird kurz nach Ende des Tages gelöscht, ebenso die Prüfwerte; danach lässt sich kein Wert mehr einer Person zuordnen, auch nicht durch uns. Seit 21. Oktober 2026 zählen wir je Tag außerdem, woher Besucher kommen: Aus der Adresse der Seite, über die Sie zu uns kamen (nur deren Domain, z. B. „google.de“), aus Kampagnenangaben und Kennungen von Anzeigenklicks in unserer Adresse (etwa „utm_source“) und — wenn keine Vorseite mitgesendet wird — aus der Browserkennung, die einen Browser innerhalb einer App (etwa Instagram) erkennen lässt, wird eine feste Herkunftsart wie „Suchmaschine Google“ oder „direkt“; die Browserkennung dient nur dieser Einordnung und wird nicht gespeichert; gezählt wird jeder Besucher einmal am Tag. Den vollständigen Verweis, Suchbegriffe oder weitere Teile der Adresse speichern wir nicht. Gespeichert bleiben nur diese Tageszahlen. Registrieren Sie einen Betrieb, vermerken wir zu Ihrem Konto eine grobe Herkunftsart (etwa „Suchmaschine Google“), damit wir sehen, welche Wege zu Kunden führen: Waren Sie am selben Tag auf dieser Website, bildet der Server bei der Registrierung denselben Prüfwert noch einmal und übernimmt die dort gezählte Herkunftsart; sonst leitet die Registrierungsseite sie auf dieselbe Weise aus ihrer eigenen Adresse und der Seite ab, über die Sie sie aufgerufen haben (nur Domain bzw. Kampagnenangabe). Ohne Ihre Einwilligung speichern wir seit 13. November 2026 außerdem, über welche unserer Anzeigen Sie gekommen sind. Unsere Anzeigen führen auf eine Adresse mit kurzen Kampagnenangaben (utm_source, utm_campaign, utm_content, etwa „zf-gastro-b“). Klicken Sie auf dieser Website weiter, hängt unser eigenes Skript diese Angaben an den nächsten Link an. Dafür speichert es nichts in Ihrem Browser und liest nichts aus. Bei der Registrierung übernehmen wir nur Angaben in dieser festen Kurzform, alles andere verwerfen wir. Wir speichern sie zu Ihrem Betrieb, nie zu Beschäftigten. Wir zählen damit nur, wie viele Registrierungen und erste Käufe eine Anzeige bringt. Wir bilden kein Profil und geben nichts an Werbenetze weiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erfolgsmessung unserer eigenen Werbung). Die Angaben zur Anzeige löschen wir mit dem Konto, spätestens 24 Monate nach der Registrierung. Die Herkunftsart löschen wir mit dem Konto. Beides steht in der Datenauskunft der Inhaberin oder des Inhabers. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen; schreiben Sie dazu an info@zeitflex.de. Was mit Ihrer Einwilligung in „Marketing“ zusätzlich gilt, steht in § 8. Seit 12. November 2026 zählen wir außerdem, über welche Art von Quelle (z. B. Suchmaschine, soziales Netzwerk, direkt) Menschen auf die Seite kommen — getrennt von Programmen und Aufrufen von außerhalb Deutschlands, Österreichs und der Schweiz: Dafür meldet unser eigenes Skript je Seite einmal nur, ob die Seite bedient wurde (nicht wie); zum Tagesschlüssel steht bis kurz nach Mitternacht nur die Herkunftsart, ob bedient wurde und eine Einordnung als Mensch, Programm oder Aufruf aus dem Ausland (Land aus der IP-Adresse mit der Länderliste auf unserem eigenen Server, siehe die Angaben zum Hinweisfenster in § 8); danach bleiben nur Tagessummen. Es werden keine Cookies gesetzt, nichts im Browser gespeichert, kein Dienst eines Dritten eingebunden und kein Profil über mehrere Tage gebildet; Aufrufe von Suchmaschinen und anderen Programmen zählen wir nicht mit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweite unseres Angebots). Für die Besucherzählung speichern wir nichts auf Ihrem Endgerät und nutzen nur Angaben, die Ihr Browser ohnehin bei jedem Aufruf mitsendet. Die Meldung, ob eine Seite bedient wurde, schickt dagegen unser eigenes Skript eigens ab; sie enthält nur diese Ja-Angabe, auf Ihrem Gerät wird dafür nichts gespeichert und nichts ausgelesen (keine Gerätemerkmale). Eine Einwilligung holen wir dafür nicht ein. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen; schreiben Sie dazu an info@zeitflex.de.

2.11 Push-Benachrichtigungen im Browser (optional)

Auf ausdrücklichen Wunsch können Sie Push-Benachrichtigungen aktivieren (z. B. Erinnerung an das Ausstempeln, Hinweise auf Freigaben). Die Funktion ist standardmäßig aus und erfordert eine Erlaubnis, die Ihr Browser gesondert abfragt; Sie können sie jederzeit in den Browsereinstellungen widerrufen.

• Technische Umsetzung: Wir verwenden Web Push nach RFC 8291 und RFC 8292 in einer eigenen Implementierung, ohne Fremdbibliothek und ohne Software-Baustein von Google.
• Inhaltsverschlüsselung: Der Inhalt jeder Push-Nachricht ist Ende-zu-Ende verschlüsselt (Schlüsselaustausch ECDH über die Kurve P-256, Schlüsselableitung HKDF, Verschlüsselung AES-128-GCM). Der zustellende Push-Dienst kann den Inhalt nicht lesen.
• Zustellweg: Welcher Push-Dienst die Nachricht zustellt, gibt Ihr Browser vor, nicht Zeitflex. Bei Google Chrome ist dies fcm.googleapis.com (Google), bei Mozilla Firefox ein Dienst von Mozilla, bei Apple Safari ein Dienst von Apple. Wir wählen diesen Dienst nicht aus und haben mit ihm keinen Vertrag; er ist deshalb auch nicht unser Auftragsverarbeiter. An ihn gelangen die Adresse des Push-Endpunkts und die verschlüsselte Nachricht, nicht deren Inhalt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Aktivierung im Browser); für das Ablegen des Abonnements auf Ihrem Endgerät § 25 Abs. 1 TDDDG.

2.12 Dienstplanung und Schichttausch

Wir verarbeiten geplante Schichten je Person: Datum, Beginn und Ende, Position, eine Bemerkung und den Zeitpunkt der Veröffentlichung. Beim Schichttausch kommen die Nachricht der anfragenden Person, die angefragte Person und die Entscheidung der Führungskraft samt Kommentar hinzu.

Zweck ist die Planung und Bekanntgabe der Arbeitseinsätze sowie die Abwicklung von Tauschwünschen zwischen Beschäftigten.

Bitte verwenden Sie die Bemerkungs- und Nachrichtenfelder nicht für Gesundheitsangaben. Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); auf Arbeitgeberebene Art. 6 Abs. 1 lit. b DSGVO.

2.13 Team-Chat (optional)

Nutzt der Arbeitgeber die Chat-Funktion, verarbeiten wir in seinem Auftrag: Gruppenname und -zweck, Mitgliedschaften mit Beitrittszeitpunkt und Lesestand, den von den Beschäftigten selbst verfassten Nachrichtentext sowie Ereigniszeilen (Beitritt, Hinzufügen, Austritt, Entfernen, Schließung, Wiedereröffnung, Änderung der Frist, Entfernung einer Nachricht, Sicherung des Verlaufs als PDF). Zweck ist die betriebsinterne Kommunikation innerhalb der vom Arbeitgeber angelegten Gruppen. Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); auf Arbeitgeberebene Art. 6 Abs. 1 lit. b DSGVO.

Der Chat ist ausdrücklich kein arbeitsrechtlicher Nachweis. Nachrichten werden spätestens nach 90 Tagen gelöscht — in der Anwendung. Zu der einen Ausnahme, in der eine Kopie außerhalb dieser Frist entsteht, siehe den Absatz „Sicherung des Verlaufs“ unten. Der Arbeitgeber kann diese Höchstdauer je Gruppe auf 7 oder 30 Tage verkürzen — die Voreinstellung sind 30 Tage —, aber nicht verlängern. Push-Benachrichtigungen zum Chat enthalten nie den Nachrichtentext, sondern nur die Zahl neuer Nachrichten und wahlweise den Gruppennamen.

Moderation: Entfernt die Inhaberin oder der Inhaber des Betriebs die Nachricht einer anderen Person, wird deren Wortlaut zusammen mit Autor, Zeitpunkt, Gruppenname und einem Anlass aus einer festen Auswahl (Belästigung, Beleidigung, falscher Kanal, Versehen, Sonstiges) gesondert gesichert. Nur diese Person kann den gesicherten Text später einsehen. Zweck ist die Schutz- und Abhilfepflicht des Arbeitgebers nach §§ 12, 13 AGG. Ein freies Begründungsfeld gibt es dabei bewusst nicht. Die Ereigniszeilen belegen, wer wann Zugang zu einer Gruppe hatte, und nennen bei einer Entfernung keinen Grund.

Sicherung des Verlaufs: Die Inhaberin oder der Inhaber des Betriebs kann den Verlauf einer geschlossenen Gruppe als PDF sichern. Diese Kopie unterliegt keiner Löschfrist mehr — sie verlässt die Anwendung und damit auch den täglichen Löschlauf; der Arbeitgeber entscheidet allein, wie lange er sie aufbewahrt und wem er sie zeigt. Das Dokument weist auf jeder Seite darauf hin. Zusammen mit der Moderation (Absatz davor) sind das die beiden Stellen, an denen ein Chat-Text seine Frist überlebt.

Die Sicherung ist nur bei geschlossenen Gruppen möglich, wird protokolliert (wer, wann, wie viele Zeilen) und erscheint als Ereigniszeile im Verlauf — die Mitglieder der Gruppe erfahren also, dass ihr Gespräch mitgenommen wurde. Nachrichten, die zuvor von der Moderation entfernt wurden, enthält die Sicherung nicht. Sie reicht nur bis zum Beitritt der sichernden Person zurück; ein Blick in die Zeit davor entsteht dadurch nicht. Rechtsgrundlage auf Arbeitgeberebene: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachvollziehbarkeit betrieblicher Absprachen); die Abwägung trifft der Arbeitgeber.

2.14 Ankündigungen mit Lesebestätigung

Der Arbeitgeber kann Mitteilungen an alle oder an ausgewählte Personen richten und dabei eine Lesebestätigung verlangen. Gespeichert wird dann, wer die Mitteilung wann erstmals bestätigt hat; dieser erste Zeitpunkt bleibt unveränderlich.

Zweck ist der Nachweis von Unterweisungen und Belehrungen (z. B. § 12 ArbSchG, § 43 IfSG). Eine allgemeine Verhaltens- oder Leistungskontrolle ist damit nicht bezweckt. Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers; auf Arbeitgeberebene Art. 6 Abs. 1 lit. c DSGVO.

2.15 Dokumentenablage

Neben Arbeitsunfähigkeitsbescheinigungen (§ 2.5) können in Zeitflex weitere Dokumente abgelegt werden. Sie tragen jeweils die Person, um die es geht, und die Person, die hochgeladen hat:

• Vertragsunterlagen — Arbeitsvertrag, Nachträge, Bescheinigungen.
• Unterweisungsnachweise — Belege über Unterweisungen im Arbeitsschutz.
• Bewerbungsunterlagen — nur von Personen, die eingestellt wurden; für abgelehnte Bewerbungen führt Zeitflex keine Ablage.
• Fotodokumentation — ein Bild wird einem Projekt und wahlweise einer konkreten Schicht zugeordnet und trägt bei aktivierter Standortfunktion (§ 2.4) eine Standort-Momentaufnahme. Sie dient dem Leistungsnachweis gegenüber Auftraggebern und ausdrücklich nicht der Verhaltens- oder Leistungskontrolle.
• Sonstige Dokumente — die Rückfallkategorie der Ablage.

Zu jedem Dokument werden Dateiname, Dateityp, Größe und der berechnete Löschtermin gespeichert; die Datei selbst liegt nie in der Datenbank. Angenommen werden JPG, PNG und PDF bis 10 MB, geprüft am Dateiinhalt; jede Datei wird von der Anwendung mit AES-256-GCM verschlüsselt, bevor sie in den Speicher geschrieben wird. Zu Vertrag, Unterweisungsnachweis und Bewerbungsunterlagen kommen drei Angaben hinzu: das Datum des Dokuments, ein Datum „gültig bis" für Nachweise, die zu wiederholen sind, und der Vermerk, dass ein unterzeichnetes Exemplar vorliegt. Dieser Vermerk ist eine Angabe der Betriebsleitung und keine elektronische Signatur. 60 Tage vor dem Ablauf eines solchen Datums weist die Anwendung darauf hin; wer den Hinweis wegklickt, blendet ihn nur für sich aus.

Zusammen bilden Arbeitsvertrag, Unterweisungsnachweise und Bewerbungsunterlagen die Personalakte, die der Arbeitgeber führt. Zugriff haben die betroffene Person selbst, die Inhaberin bzw. der Inhaber und Führungskräfte; der Steuerkanzlei-Zugang und Kolleginnen und Kollegen haben keinen. Hochladen dürfen Vertrag und Bewerbungsunterlagen nur die Inhaberin bzw. der Inhaber und Führungskräfte, einen Unterweisungsnachweis auch die betroffene Person für sich selbst. Ordner, betroffene Person und die Angaben zum Dokument ändert allein die Betriebsleitung; jede Änderung wird mit ihrem vorherigen und ihrem neuen Wert protokolliert, und die hochgeladene Datei wird dabei nie überschrieben. Eine Arbeitsunfähigkeitsbescheinigung lässt sich weder umhängen noch in eine andere Kategorie verschieben. Abgewiesene Zugriffsversuche auf ein Dokument werden protokolliert. Der erfolgreiche Abruf wird zusätzlich festgehalten bei Arbeitsunfähigkeitsbescheinigungen und bei den Unterlagen der Personalakte, also Arbeitsvertrag, Unterweisungsnachweis und Bewerbungsunterlagen. Bei Fotodokumentation und sonstigen Dokumenten wird der erfolgreiche Abruf nicht festgehalten: Ein Protokoll über jedes geöffnete Baustellenfoto wäre eine Verhaltenskontrolle ohne Zweck (Art. 5 Abs. 1 lit. c DSGVO).

Die Sichtbarkeit lässt sich je Dokument auf Rollen einschränken — einschränken, nie erweitern. Die Fristen stehen in § 5. Für Arbeitsvertrag, Unterweisungsnachweis und Bewerbungsunterlagen beginnt die Frist mit dem Austrittsdatum, nicht mit dem Hochladen; solange die Person beschäftigt ist, läuft für diese Unterlagen keine Löschfrist. Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); auf Arbeitgeberebene Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 Abs. 1 BDSG, für Vertragsunterlagen zusätzlich Art. 6 Abs. 1 lit. c DSGVO (Nachweispflichten, u. a. § 2 NachwG, § 28f SGB IV), für Unterweisungsnachweise Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 12 Abs. 1 ArbSchG und § 4 Abs. 1 DGUV Vorschrift 1.

2.16 Kalender-Abonnement (optional)

Beschäftigte können sich einen persönlichen Abo-Link erzeugen und ihren Dienstplan damit in ihren eigenen Kalender einbinden. Ist dabei „mit Abwesenheiten" gewählt — die Voreinstellung —, werden auch Urlaubs- und Krankheitszeiträume übertragen. Im Kalender steht dann der Typ der Abwesenheit, also auch „Krank" oder „Kind krank"; das sind Gesundheitsangaben. Kommentar, Nachweis und Entscheider bleiben in der Anwendung.

Welcher Kalenderdienst die Daten empfängt, wählt allein die beschäftigte Person (z. B. Google, Apple, Microsoft) — weder Zeitflex noch der Arbeitgeber wählen ihn aus. Der Link lässt sich jederzeit widerrufen. Zur Missbrauchserkennung speichern wir, wann er zuletzt abgerufen wurde und wie oft. Der Abruf erfolgt durch den Kalenderdienst, den die nutzende Person selbst gewählt hat, auf ihre Veranlassung; für die Verarbeitung durch diesen Dienst ist sie bzw. der Dienst verantwortlich. Die Abo-Adresse ist ein Geheimnis: Wer sie weitergibt, gibt die Termine weiter. Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); die Einrichtung des Abonnements erfolgt auf Veranlassung der beschäftigten Person, Art. 6 Abs. 1 lit. a DSGVO, für die enthaltenen Abwesenheitsarten Art. 9 Abs. 2 lit. a DSGVO.

2.17 Automatische Hinweise an die Betriebsleitung

Zeitflex wertet die erfassten Zeiten regelmäßig aus und meldet der Inhaberin bzw. dem Inhaber und den Führungskräften des Betriebs:

• das Erreichen von 80, 95 und 100 Prozent der Jahresentgeltgrenze bei geringfügiger Beschäftigung,
• mögliche Abweichungen von den Vorgaben des Arbeitszeitgesetzes (Höchstarbeitszeit, Ruhezeiten, Pausen) als wöchentlicher Bericht, der auch dann versandt wird, wenn es nichts zu beanstanden gibt,
• nicht abgeschlossene Stempelvorgänge.

Die Hinweise zur Entgeltgrenze und zum Arbeitszeitgesetz nennen die betroffene Person namentlich und gehen an die Führung, nicht an die Person selbst — weil nur die Führung den Vorgang abstellen kann. Bei einem nicht abgeschlossenen Stempelvorgang erhält zusätzlich die betroffene Person selbst einen Hinweis mit der Bitte, ihrer Betriebsleitung den tatsächlichen Feierabend mitzuteilen; die Zeit nachtragen kann nur die Führung. Zweck ist die Unterstützung des Arbeitgebers bei seinen Aufzeichnungs- und Schutzpflichten. Die Bewertung und jede daraus folgende Maßnahme trifft allein der Arbeitgeber; siehe auch § 10. Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); auf Arbeitgeberebene Art. 6 Abs. 1 lit. c DSGVO (Aufzeichnungs- und Schutzpflichten, u. a. § 3 ArbZG, § 16 Abs. 2 ArbZG, § 8 SGB IV), ergänzend Art. 6 Abs. 1 lit. b DSGVO.

2.18 Schnittstellen des Arbeitgebers (Programmierschnittstelle, Ereignismeldungen)

Der Arbeitgeber kann eigene Schlüssel für die Programmierschnittstelle anlegen und Adressen hinterlegen, an die Zeitflex Ereignisse meldet: angelegte Zeiteinträge, abgeschlossene Lohnperioden, genehmigte und zurückgenommene Abwesenheiten sowie veröffentlichte Dienstpläne. Übertragen werden Kennungen der Beschäftigten, Ereignistyp, Zeitpunkte und bei Abwesenheiten deren Art (z. B. Krankheit) — keine Namen, Entgelte, Standorte oder Dateien.

Empfänger ist ein Rechner, den allein der Arbeitgeber bestimmt. Wir prüfen weder dessen Betreiber noch dessen Standort. Richtet der Arbeitgeber eine solche Adresse ein, gibt er die Daten auf eigene Weisung an einen von ihm gewählten Empfänger weiter und ist für diese Weitergabe selbst verantwortlich — einschließlich eines etwaigen Bezugs zu einem Drittland. Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); auf Arbeitgeberebene Art. 6 Abs. 1 lit. b DSGVO.

2.19 Datenübernahme aus Tabellen (Import)

Beim Import von Stammdaten oder Arbeitszeiten aus einer Tabelle speichern wir Dateiname und Arbeitsblatt, die Liste der erzeugten Datensätze sowie die vor dem Import geltenden Werte der geänderten Datensätze. Zweck ist allein, einen fehlerhaften Import vollständig zurücknehmen zu können. Diese Rücknahmedaten sind eine Kopie von Stamm- und Zeitdaten; für sie ist im Produkt bislang keine eigene Frist hinterlegt (§ 5). Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); auf Arbeitgeberebene Art. 6 Abs. 1 lit. b DSGVO.

2.20 Rückmeldungen aus der Anwendung (eigene Verantwortung des Anbieters)

Wer aus Zeitflex heraus eine Rückmeldung sendet, übermittelt Titel und Beschreibung sowie einen technischen Zusammenhang, den die Anwendung serverseitig auf eine feste Liste beschränkt: aufgerufene Seite ohne Kennungen und Parameter, Rolle, Tarif, Oberfläche (Web oder App), grobe Umgebungsangabe, Fensterklasse, Programmversion, Sprache und Zeitpunkt. Was übermittelt wird, wird Ihnen vor dem Absenden im Klartext angezeigt.

Diese Daten erreichen uns als Betreiber und verlassen damit den Bereich Ihres Arbeitgebers. Für sie sind wir selbst Verantwortlicher; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Fehlerbehebung und Verbesserung des Produkts). Bitte nennen Sie im Freitext keine Namen von Kolleginnen und Kollegen. Wo das dennoch geschieht, verarbeiten wir die Angabe nur zur Bearbeitung des Vorgangs. Speicherdauer: bis zur Erledigung der Rückmeldung und der ihr folgenden Rückfragen; danach löschen wir sie auf Ihre Anfrage, eine automatische Frist ist nicht hinterlegt.

2.21 Benachrichtigung über Störungen (Statusseite) (eigene Verantwortung des Anbieters)

Wer sich auf unserer Statusseite für Störungsmeldungen einträgt, erhält zunächst eine Bestätigungs-E-Mail; erst nach Bestätigung versenden wir Meldungen (doppeltes Bestätigungsverfahren). Gespeichert werden die E-Mail-Adresse, der Bestätigungsstand mit Zeitpunkt der Eintragung und Bestätigung, der Zeitpunkt der letzten Meldung sowie die zufälligen Schlüssel für den Bestätigungs- und den Abmeldelink. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Jede Meldung enthält einen Abmeldelink. Speicherdauer: bis zum Widerruf — der Abmeldelink in jeder Meldung entfernt den Eintrag sofort und vollständig.

2.22 Produkt-Mitteilungen (freiwillig) (eigene Verantwortung des Anbieters)

Bei der Registrierung können Sie freiwillig und getrennt von der Registrierung zustimmen, gelegentlich Mitteilungen zu neuen Funktionen von Zeitflex und Hinweise auf unsere weiteren Angebote (etwa Saldy oder axr-systems) per E-Mail zu erhalten. Dasselbe gilt für die Eintragung in die Produktneuigkeiten auf dieser Website; dort versenden wir erst nach Bestätigung per E-Mail (doppeltes Bestätigungsverfahren), jede Mail enthält einen Abmeldelink. Gespeichert werden die Einwilligung und ihr Zeitpunkt im Kundenkonto. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), etwa per E-Mail an info@zeitflex.de; die Einwilligung wird dann samt Zeitpunkt entfernt.

2.22a Hinweise zu Ihrem Zeitflex-Konto per E-Mail (eigene Verantwortung des Anbieters)

Betrieben ohne laufendes Abo schicken wir gelegentlich E-Mails zu ihrem eigenen Konto: Hilfe in den ersten Tagen, einen Hinweis, wenn der Tarif zu wenige Plätze hat, eine Erinnerung nach längerer Pause oder nach einem abgebrochenen Kauf sowie nach einer Kündigung. Grundlage ist § 7 Abs. 3 UWG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Kunden zu eigenen, ähnlichen Leistungen zu informieren). Verwendet werden nur Angaben aus Ihrem Konto (Name, E-Mail-Adresse, Tarif, Zahl der Personen und Zeiteinträge, Zeitpunkt der letzten Nutzung). Wir senden höchstens eine solche E-Mail in sieben Tagen und drei in 30 Tagen; ausgenommen sind die bis zu drei Starthilfe-E-Mails in der ersten Woche nach der Registrierung, die nur beim Einrichten helfen; Betriebe mit laufendem Abo erhalten sie nicht. Versand und Widerspruch protokollieren wir im Konto. Sie können dieser Verwendung jederzeit widersprechen (Art. 21 Abs. 2 und 3 DSGVO), das kostet nichts — über den Abmeldelink in jeder dieser E-Mails oder per E-Mail an info@zeitflex.de. Der Widerspruch gilt, bis das Konto gelöscht wird.

2.23 Empfehlungen über Provanto (eigene Verantwortung des Anbieters)

„Provanto“ (provanto.de, bis 10.11.2026 „Partnerindex“) ist ein Partnerprogramm, das ebenfalls von Dienstleistungen24 Inh. Jim Eichholz betrieben wird, also vom selben Verantwortlichen wie Zeitflex (§ 1). Über Provanto können Dritte (Empfehler) auf Zeitflex hinweisen. Die folgende Zuordnung findet innerhalb dieses einen Verantwortlichen statt. Kommen Sie nicht über einen Provanto-Link und tragen Sie keinen Partnercode ein, findet keine Verarbeitung nach diesem Abschnitt statt.

• Welche Daten: die Kennung des Provanto-Links, über den Sie zu uns kommen (Klick-Kennung), ein Partnercode, den Sie bei der Registrierung oder beim ersten Abschluss eines Abonnements eintragen, und der Zeitpunkt der Zuordnung.
• Vor der Registrierung: Die Website reicht die Klick-Kennung nur in der Adresse an die Registrierungsseite weiter und speichert sie nicht. Ohne Ihre Einwilligung verwendet die App die Kennung nur aus der aufgerufenen Adresse bis zum Absenden der Registrierung. Nur mit Ihrer Einwilligung in die Kategorie „Empfehlungen“ speichert die App sie im Cookie „zeitflex_pb“ (§ 8).
• Bei Registrierung oder Abschluss: Wir speichern Klick-Kennung, Partnercode und Zeitpunkt an Ihrem Betriebskonto. Dieselben Angaben und den gebuchten Tarif übergeben wir als Kennzeichen (Metadaten) an Ihr Kundenkonto und Ihr Abonnement bei unserem Zahlungsdienstleister Stripe (§ 2.7, § 4). Namen und Kontaktdaten Ihres Betriebs geben wir nicht an Empfehler weiter.
• Was wir an Provanto melden: Wird eine Rechnung eines so zugeordneten Abonnements bezahlt, meldet Zeitflex die Zahlung selbst an Provanto — und nur diese Angaben: Rechnungsnummer, Art der Zahlung (erste Zahlung, Folgezahlung oder Erstattung), Nettobetrag, Währung, Zeitpunkt, die Klick-Kennung und/oder den Partnercode der Zuordnung, gebuchter Tarif, Abrechnungsintervall und ein nicht umkehrbares Pseudonym Ihres Abonnements. Nicht übermittelt werden Name, E-Mail-Adresse, Anschrift, Kennung Ihres Betriebs und der Bruttobetrag. Das Pseudonym dient allein dazu, dass Provanto Folgezahlungen demselben Vorgang zuordnen kann, ohne Ihr Abonnement zu kennen. Wird eine solche Rechnung ganz oder teilweise erstattet, meldet Zeitflex auch das, damit die Vergütung des Empfehlers entsprechend verringert wird; die Erstattungen liest Zeitflex dazu nur lesend bei Stripe aus.
• Zuordnungsfenster: Provision entsteht nur, wenn die erste Zahlung innerhalb von 60 Tagen nach der Zuordnung erfolgt. Es gilt die erste Zuordnung; ein späterer Link oder Code ändert sie nicht.
• Zweck: Zuordnung einer Empfehlung zum geworbenen Betrieb und korrekte Abrechnung von Empfehlungsvergütungen.
• Rechtsgrundlage: für das Cookie § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerruflich). Für die Speicherung am Betriebskonto, die Übergabe an Stripe und die Meldung an Provanto Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die korrekte Abrechnung von Empfehlungsvergütungen. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (§ 6).
• Freiwilligkeit: Die Angabe eines Partnercodes ist freiwillig. Registrierung und Abschluss sind ohne ihn möglich.
• Speicherdauer: Das Cookie höchstens 30 Tage oder bis zum Widerruf. Am Betriebskonto bis zur endgültigen Löschung des Betriebs, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Bei Stripe gelten die Fristen aus § 2.7. Die Angaben sind im Datenexport Ihres Betriebs enthalten. Die Meldungen an Provanto (siehe oben) bewahren wir getrennt davon auf, damit eine spätere Erstattung noch zugeordnet werden kann: gemeldete Zahlungen 400 Tage, gemeldete Erstattungen 90 Tage, nicht zustellbare oder endgültig gescheiterte Meldungen 180 Tage; danach werden sie gelöscht. Diese Meldungen enthalten keinen Namen und keine Kontaktdaten.

§ 3 Kategorien verarbeiteter Daten (Übersicht)

Freitextfelder (Bemerkungen zu Zeiteinträgen und Schichten, Begründungen von Korrekturen, Kommentare zu Abwesenheiten, Chat-Nachrichten, Beschreibungen zu Dokumenten) können ihrem Inhalt nach alles enthalten, auch Gesundheitsangaben. Wir prüfen diese Inhalte nicht.

§ 4 Empfänger und Auftragsverarbeiter

Derzeit setzen wir die nachfolgend aufgeführten Dienstleister als (Unter-)Auftragsverarbeiter ein. Setzen wir künftig weitere ein, führen wir sie hier und in Anlage 2 unseres Auftragsverarbeitungsvertrags auf und informieren unsere Kunden vorab. Mit jedem dieser Anbieter besteht ein Vertrag nach Art. 28 DSGVO; die Tabelle entspricht Anlage 2 des Auftragsverarbeitungsvertrags.

Steuerkanzlei-Zugang: Der Arbeitgeber kann seiner Steuerkanzlei einen eigenen Lesezugang einrichten. Er wirkt erst, wenn die Kanzlei ihn annimmt, und ist auf die vom Arbeitgeber gewählten Bereiche beschränkt: Lohn-Exporte, Stundenzettel und/oder Mitarbeiterstammdaten. Auf hochgeladene Dokumente — insbesondere Arbeitsunfähigkeitsbescheinigungen — hat dieser Zugang keinen Zugriff, und Mitglied im Team-Chat wird er nie. Die Kanzlei ist Empfängerin im Sinne des Art. 4 Nr. 9 DSGVO; das Rechtsverhältnis zu ihr bestimmt der Arbeitgeber. Wer wann Zugang hatte, bleibt als Nachweis gespeichert — auch nach Widerruf des Mandats und über die Löschung des Betriebs hinaus.

Vom Arbeitgeber selbst eingerichtete Empfänger: Legt der Arbeitgeber eine Schnittstelle an (§ 2.18) oder exportiert er Daten an sein Lohnbüro, bestimmt er den Empfänger allein. Wir prüfen ihn nicht und sind für diese Weitergabe nicht Exporteur.

Analyse nur mit Einwilligung, kein Auftragsverarbeiter: Auf dieser Website laden wir zwei Werkzeuge zur Analyse und Messung — Microsoft Clarity für die Statistik und Google Ads für das Marketing — jeweils ausschließlich nach Ihrer Einwilligung (§ 8); ohne Ihre Zustimmung wird keines davon geladen. In der Web-App laden wir Microsoft Clarity ebenfalls nur nach Ihrer Einwilligung in „Statistik“, in den in § 8 genannten Grenzen; für diese Nutzungsanalyse sind wir selbst Verantwortlicher, und Microsoft tritt nach eigener Angabe als eigener Verantwortlicher auf — Microsoft ist deshalb weder unser Auftragsverarbeiter noch Unterauftragsverarbeiter und steht nicht in der Tabelle oben. Ein Werkzeug zur Werbemessung ist in der angemeldeten Web-App nicht eingebunden; einzige Ausnahme ist die Registrierungsseite, die mit Ihrer Einwilligung eine abgeschlossene Registrierung an Google Ads meldet; mit derselben Einwilligung meldet unser Server außerdem den ersten Kauf eines Betriebs an Google Ads (§ 8). Es gibt keine Einbindungen von Inhalts-Auslieferungsnetzen (CDN), keine Karten- oder Geokodierungsdienste und keine Zählpixel. Die Datenbank läuft nicht bei einem Dritten, sondern auf demselben Server wie die Anwendung.

Kein externer Fehlerüberwachungsdienst: Fehlerberichte erfasst ein Dienst, den wir selbst auf unserem Server in Deutschland betreiben (siehe § 2.9); ein externer Fehlerüberwachungsdienst ist nicht eingebunden. Vor einer solchen Einbindung ergänzen wir diesen Abschnitt und Anlage 2 des Auftragsverarbeitungsvertrags und informieren die Kunden vorab.

Mobile Push-Nachrichten: Eine mobile App wird derzeit nicht angeboten; mobile Push-Nachrichten werden nicht versandt. Sobald wir eine mobile App veröffentlichen, weisen wir den dafür genutzten Zustelldienst hier und in Anlage 2 des Auftragsverarbeitungsvertrags aus.

Keine externen Schriftarten: Diese Website lädt keine Schriften von fremden Servern — insbesondere nicht von Google Fonts. Dargestellt werden ausschließlich die Schriften, die auf Ihrem Gerät bereits vorhanden sind. Beim Aufruf der Seite wird deshalb keine IP-Adresse an Google oder einen anderen Schriftanbieter übermittelt.

Push-Dienste der Browserhersteller: Bei aktivierten Push-Benachrichtigungen (§ 2.11) läuft die Zustellung über den Push-Dienst, den Ihr Browser vorgibt — bei Chrome Google, bei Firefox Mozilla, bei Safari Apple. Wir wählen diesen Dienst nicht aus, haben mit ihm keinen Vertrag und führen ihn deshalb nicht als Auftragsverarbeiter. Der Nachrichteninhalt ist für ihn verschlüsselt und nicht lesbar. Die Zustellung erfolgt durch den Dienst, den die nutzende Person mit ihrem Browser selbst gewählt hat, auf ihre Veranlassung; für die Verarbeitung durch diesen Dienst ist sie bzw. der Dienst verantwortlich.

Drittlandtransfers: Von uns veranlasste Übermittlungen in ein Drittland betreffen die Zahlungsabwicklung und — nur mit Ihrer Einwilligung — die Reichweitenmessung und Nutzungsanalyse mit Microsoft Clarity in der Kategorie „Statistik“ auf dieser Website und in der Web-App sowie die Werbemessung mit Google Ads in der Kategorie „Marketing“ (§ 8). Stripe: Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO; EU-US Data Privacy Framework — Stripe, Inc. ist zertifiziert), ergänzend EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Übermittelt werden dabei Rechnungs- und Zahlungsdaten des Betriebs, die E-Mail-Adresse der kaufenden Inhaberin bzw. des Inhabers die Zahl der abgerechneten Sitzplätze und gegebenenfalls die Kennzeichen einer Provanto-Empfehlung (§ 2.23). Microsoft Clarity: Microsoft Ireland Operations Limited übermittelt Daten an die Microsoft Corporation in den USA; die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO), ergänzend bestehen nach Angabe von Microsoft Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Behörden in den USA können trotz dieser Garantien auf Daten zugreifen; darauf haben wir keinen Einfluss. Ohne Ihre Einwilligung findet diese Übermittlung nicht statt. Google Ads: Google Ireland Limited übermittelt Daten an die Google LLC in den USA; die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO), ergänzend bestehen nach Angabe von Google Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Auch hier können Behörden in den USA zugreifen; ohne Ihre Einwilligung in „Marketing“ findet die Übermittlung nicht statt. E-Mail-Versand: STRATO AG, Berlin — kein Drittland. Eine Kopie der Garantien erhalten Sie auf Anfrage unter info@zeitflex.de.

Die Arbeitszeit-, Standort- und Gesundheitsdaten der Beschäftigten liegen in unseren Systemen ausschließlich auf Servern in Deutschland. Sie können Deutschland gleichwohl verlassen, wenn

• der Arbeitgeber eine eigene Schnittstelle oder einen Export zu einem Empfänger im Ausland einrichtet (§ 2.18),
• eine beschäftigte Person ihren Dienstplan einschließlich Abwesenheiten in einen eigenen Kalenderdienst einbindet (§ 2.16),
• oder eine Push-Benachrichtigung über den Push-Dienst zugestellt wird, den der Browser der Nutzerin bzw. des Nutzers vorgibt (§ 2.11) — dort ist der Inhalt für den Zustelldienst verschlüsselt.

Für diese vom Arbeitgeber oder von der betroffenen Person selbst veranlassten Übermittlungen sind wir nicht Exporteur.

Weitere Empfänger: Steuerberater, Rechtsanwälte, Banken und Behörden von Dienstleistungen24 Inh. Jim Eichholz, soweit gesetzlich erforderlich; im Übrigen nur mit Weisung bzw. Rechtsgrundlage.

§ 5 Speicherdauern

Server-Logfiles der Website werden nicht nach einer Frist gelöscht, sondern fortlaufend umgewälzt — siehe § 2.1. Die nachfolgende Tabelle betrifft ausschließlich die Daten der Anwendung.

Die folgenden Fristen entsprechen der im Produkt hinterlegten Fristen-Matrix. Der Aufräumjob läuft täglich um 04:00 Uhr, der Löschlauf um 04:30 Uhr, jeweils in deutscher Zeit (Europe/Berlin); jeder Vorgang wird protokolliert.

Was der Löschlauf tatsächlich vollzieht: fällige Dokumente einschließlich der Dateien im Speicher, die Entfernung der Standort-Momentaufnahmen, die Pseudonymisierung ausgeschiedener Beschäftigter, die Löschung des Änderungsprotokolls und der Team-Chat-Daten sowie die endgültige Löschung von Betrieben nach Ablauf der Widerrufsfrist. Bei der Pseudonymisierung bleiben Arbeitsvertrag, Unterweisungsnachweise und Bewerbungsunterlagen erhalten; gelöscht werden sie erst, wenn ihre eigene Frist abgelaufen ist. Nicht automatisch gelöscht werden Arbeitszeitaufzeichnungen, Abwesenheiten, Lohnunterlagen und Reisekostentage — für sie sind die genannten Fristen gesetzliche Mindestfristen, und über die Löschung darüber hinaus entscheidet der Arbeitgeber.

Wo Fristen einstellbar sind: Sechs Fristen dieser Tabelle kann der Arbeitgeber einstellen. Beim Team-Chat sind 90 Tage eine Höchstdauer, die er je Gruppe auf 7 oder 30 Tage verkürzen, aber nicht verlängern kann. Die Frist bis zur Pseudonymisierung ausgeschiedener Beschäftigter kann er umgekehrt nur verlängern: Voreingestellt sind 3 Monate, einstellbar sind bis zu 120 Monate; eine kürzere Angabe bleibt ohne Wirkung. Diese Einstellung verlängert zugleich die Fristen der Personalakte, weil deren Dokumente an derselben Uhr hängen. Die Fristen für Vertragsunterlagen, Unterweisungsnachweise und Bewerbungsunterlagen eingestellter Personen legt er in Monaten selbst fest — kürzer oder länger als der Wert der Tabelle, der ohne Einstellung gilt, höchstens 600 Monate. Die Frist für Reisekostentage kann er nur verlängern, ebenfalls auf höchstens 600 Monate; die 6 Jahre der Tabelle bleiben die Untergrenze. Alle übrigen Fristen dieser Tabelle sind im Produkt fest hinterlegt — auch die 24 Monate für Arbeitsunfähigkeitsbescheinigungen; eine betriebseigene Einstellung gibt es dafür nicht. Die Verantwortung für die Einhaltung von Aufbewahrungs- und Löschpflichten trägt der Arbeitgeber als Verantwortlicher.

Drei Fristen zu demselben Krankheitsfall: Die hochgeladene Bescheinigung wird 24 Monate nach dem Ende der Abwesenheit gelöscht, das Protokoll über die Zugriffe darauf nach 36 Monaten — wie das übrige Änderungsprotokoll —, und die Zahl der Kranktage in der Lohnvorbereitung bleibt 6 Jahre. Der Grund für die Staffelung: Das Protokoll muss die Datei überleben, sonst ließe sich später nicht mehr belegen, wer sie gesehen hat; die Kranktage-Zahl ist Teil der Lohnunterlagen und unterliegt deren steuerrechtlicher Frist.

Ohne hinterlegte Frist: Für einen Teil der Daten ist im Produkt bislang keine eigene Frist hinterlegt — unter anderem für Dienstpläne und Schichttausch, Ankündigungen und deren Lesebestätigungen, Trinkgeld und Prämien, Projekt- und Kostenstellendaten, Importprotokolle, Kalender-Abo-Links, Push-Abonnements, Benachrichtigungseinstellungen, Wandterminals, Standorte und Abteilungen, Korrekturanträge samt Begründung und Entscheidung, die Entgeltsätze mit ihrem Verlauf sowie Schlüssel und Adressen der Schnittstellen. Für sie gilt: Sie bleiben bestehen, bis der Betrieb sie selbst löscht oder die Löschung des Betriebs bestellt; mit der Pseudonymisierung einer ausgeschiedenen Person werden ihre Chat-Mitgliedschaften, Anmeldungen und Geräte sowie diejenigen Dokumente entfernt, die keine eigene Aufbewahrungsfrist tragen. Korrekturanträge, Reisekostentage und Entgeltsätze bleiben mit ihren Freitexten erhalten und sind danach nur noch der abgeleiteten Kennung zugeordnet. Welche dieser Daten die Löschbestellung heute tatsächlich entfernt, steht unten unter „Löschbestellung“; für die dort nicht genannten ist die Löschung im Produkt noch nicht hinterlegt.

• Kündigung des Abonnements: Wird nur das kostenpflichtige Abonnement gekündigt, wechselt der Betrieb nach Ablauf der bezahlten Laufzeit in den kostenlosen Tarif. Es wird nichts gesperrt und nichts gelöscht; die Fristen der einzelnen Datenarten laufen unverändert weiter.
• Löschbestellung: Bestellt der Betrieb die Löschung, ist der Zugang sofort für alle gesperrt. 30 Tage lang bleibt die Löschung widerrufbar. Danach werden hochgeladene Dokumente samt Dateien, Dienstpläne und Schichttauschanfragen, Projekte, Einladungen, Schnittstellen-Schlüssel und -Adressen, Zuschlagsregeln sowie der gesamte Team-Chat gelöscht; die aufbewahrungspflichtigen Reste werden pseudonymisiert (Namen, E-Mail-Adressen, Personalnummern, Geburtsdatum und Zugangsdaten werden durch Platzhalter ersetzt bzw. geleert, Standort-Momentaufnahmen sowie die Freitexte an Zeiteinträgen und Abwesenheiten entfernt; erhalten bleiben die Begründungen von Zeitkorrekturen, Korrekturanträgen, Reisekostentagen und Entgeltsätzen, weil sie den Nachweis tragen, warum ein aufbewahrungspflichtiger Wert so lautet, wie er lautet; ein Personenbezug besteht danach nur noch mittelbar über eine aus der früheren Kennung abgeleitete, nicht rückrechenbare Kennung; in kleinen Betrieben kann ein Rückschluss mit Zusatzwissen nicht ausgeschlossen werden) und gesperrt gehalten. Eine gesonderte Löschung dieser pseudonymisierten Reste nach Ablauf ihrer Frist findet nicht statt. Das Änderungsprotokoll wird nicht pseudonymisiert; der tägliche Löschlauf entfernt seine Einträge 36 Monate nach dem jeweiligen Vorgang.
• Sicherungskopien (Backups): Die Datenbank wird täglich automatisiert gesichert; zusätzlich entsteht vor jedem Aufspielen einer neuen Programmfassung und vor jeder Wiederherstellung je ein weiterer Abzug. Jeder dieser Abzüge wird komprimiert, auf Vollständigkeit geprüft, mit einer Passphrase (AES-256) verschlüsselt und nach dem Verschlüsseln einmal probeweise zurückgelesen; erst danach wird die unverschlüsselte Zwischendatei gelöscht. Die Verschlüsselung hängt an einer Betriebseinstellung, die auf dem Produktivsystem gesetzt ist (nachgesehen am 7. September 2026). Sicherungen auf dem Server werden nach 30 Tagen entfernt. Eine zusätzliche Kopie liegt auf einem getrennten Speicher desselben Anbieters (Hetzner Storage Box, Rechenzentrum Falkenstein) und wird dort nach 90 Tagen automatisch entfernt. Einer Löschung nach § 10 des Auftragsverarbeitungsvertrags folgt sie damit binnen derselben Frist, ohne dass es dafür eines weiteren Schrittes bedarf. Eine punktgenaue Wiederherstellung auf einen beliebigen Zeitpunkt gibt es nicht. Gelöschte Daten können deshalb noch für die Dauer der Aufbewahrung in Sicherungen enthalten sein.
• Abrechnungs- und Buchhaltungsdaten von Dienstleistungen24 Inh. Jim Eichholz (eigene Buchführung, nicht Kundendaten): Handels- und Geschäftsbriefe 6 Jahre, Buchungsbelege 8 Jahre, Bücher und Jahresabschlüsse 10 Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB), jeweils ab Ende des Kalenderjahres.

Soweit oben eine automatische Löschung genannt ist, wird sie nach Ablauf der Frist ausgeführt, sofern keine Rechtsgrundlage für eine weitere Speicherung besteht. Über jeden automatischen Lösch- und Pseudonymisierungsvorgang wird ein Protokoll geführt (Nachweis nach Art. 5 Abs. 2 DSGVO); der Arbeitgeber kann es in der Anwendung einsehen. Dieses Protokoll enthält nur Datenart, Anzahl, Rechtsgrundlage und Auslöser — nie Namen oder Adressen.

Das Änderungsprotokoll überdauert die Pseudonymisierung. Es enthält die Werte vor und nach jeder Änderung; je nach Vorgang können darin Namen, Entgeltangaben, Arbeitszeiten und Abwesenheitsgründe stehen. Es wird erst mit Ablauf seiner eigenen Frist von 36 Monaten gelöscht — auch dann, wenn die betroffene Person zwischenzeitlich pseudonymisiert wurde.

Hinweis zur Verantwortung: Die genannten Fristen sind im Produkt hinterlegt; welche davon der Arbeitgeber selbst einstellen kann, steht oben unter „Wo Fristen einstellbar sind“. Ob sie für den einzelnen Betrieb ausreichen — etwa wegen längerer Fristen aus Betriebsprüfungen, Tarifverträgen oder laufenden Verfahren —, entscheidet der Arbeitgeber als Verantwortlicher und stimmt es mit seinem Steuerberater ab. Unterlagen, deren Frist sich in Zeitflex nicht passend einstellen lässt, führt der Arbeitgeber bzw. sein Lohnbüro bei Bedarf außerhalb von Zeitflex.

§ 6 Betroffenenrechte

Sie haben — gegenüber dem jeweils Verantwortlichen (siehe § 1) — folgende Rechte:

1. Auskunft (Art. 15 DSGVO),
2. Berichtigung (Art. 16 DSGVO),
3. Löschung (Art. 17 DSGVO),
4. Einschränkung der Verarbeitung (Art. 18 DSGVO),
5. Datenübertragbarkeit (Art. 20 DSGVO),
6. Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e/f DSGVO (Art. 21 DSGVO),
7. Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Ihr Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) erfolgt. In dieser Erklärung betrifft das insbesondere den Betrieb der Website und die Abwehr von Massenanfragen (§ 2.1), die Kommunikation und den Support (§ 2.8), die Fehler- und Stabilitätsüberwachung (§ 2.9), die Rückmeldungen aus der Anwendung (§ 2.20) und die Zuordnung von Empfehlungen über Provanto (§ 2.23). Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Der Widerspruch ist formlos möglich und richtet sich an info@zeitflex.de.

Für Beschäftigtendaten, die wir im Auftrag Ihres Arbeitgebers verarbeiten, wenden Sie sich bitte vorrangig an Ihren Arbeitgeber; wir leiten dort eingehende Anfragen unverzüglich an ihn weiter und unterstützen ihn bei der Beantwortung im Rahmen unserer Pflichten nach Art. 28 Abs. 3 lit. e DSGVO. Die Frist des Art. 12 Abs. 3 DSGVO trifft ihn als Verantwortlichen, nicht uns.

Selbstauskunft in der Anwendung: Beschäftigte können ihre Auskunft nach Art. 15 DSGVO in der Anwendung selbst abrufen (Einstellungen → „Daten & Löschung" → „Meine Datenauskunft"), ohne den Arbeitgeber einschalten zu müssen. Ausgegeben werden eine lesbare Fassung und eine maschinenlesbare Datei (Art. 20 DSGVO), je Kategorie ergänzt um Zweck, Rechtsgrundlage und Speicherdauer.

Enthalten sind: Stammdaten, Arbeitszeiten, Standort-Momentaufnahmen, Abwesenheiten, Gesundheitsdokumente, die Liste wer wann auf diese Dokumente zugegriffen hat, die Personalakte mit Art, Datum, Gültigkeit und Löschtermin jeder Unterlage, Dienstplan und Schichttausch, Lohnvorbereitung, Protokoll- und Nutzungsdaten, Geräte und Anmeldungen sowie der Team-Chat. Nicht enthalten sind Passwort- und PIN-Prüfwerte sowie die Dateiinhalte selbst; der Abruf einer Arbeitsunfähigkeitsbescheinigung wird protokolliert. Weitere Bestände — etwa Lesebestätigungen, Trinkgeldanteile, Prämien, Reisekostentage, Korrekturanträge, der Verlauf der Entgeltsätze, die Zuordnung zu Standort und Abteilung, Rückmeldungen an den Betreiber, Kalender-Abo-Adressen, Benachrichtigungseinstellungen — stellen wir auf Anfrage bereit.

Einsicht in die Personalakte: Unabhängig vom Auskunftsrecht nach Art. 15 DSGVO können Beschäftigte in die über sie geführten Personalakten Einsicht nehmen (§ 83 Abs. 1 BetrVG). In Zeitflex sehen sie ihre eigenen Unterlagen jederzeit selbst.

§ 7 Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für Dienstleistungen24 Inh. Jim Eichholz ist wegen des Sitzes in Berlin die Berliner Beauftragte für Datenschutz und Informationsfreiheit zuständig.

§ 8 Cookies und ähnliche Technologien

Technisch notwendige Speicherungen setzen wir ohne Ihre Zustimmung ein. Alles Weitere — auch die Reichweitenmessung auf dieser Website und die Nutzungsanalyse in der Web-App — nur mit Ihrer Einwilligung, die Sie jederzeit widerrufen können:

• Technisch notwendige Speicherung: Für Login und Sitzungsverwaltung der Web-App setzen wir technisch notwendige Cookies bzw. vergleichbare Speichertechnologien ein (Session-/Auth-Token, Sicherheits-Token) sowie ein Cookie, das die gewählte Anzeigesprache (Deutsch oder Englisch) speichert. Bei angemeldeten Personen wird die Sprachwahl zusätzlich am Nutzerkonto gespeichert, damit die E-Mails aus der App und Benachrichtigungen in dieser Sprache ankommen. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b/f DSGVO. Einwilligung: Nicht unbedingt erforderliche Cookies und vergleichbare Speicherungen setzen wir nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Das betrifft zum einen das Cookie „zeitflex_pb“ der App (Kategorie „Empfehlungen“): Kommen Sie über einen Link des Partnerprogramms Partnerindex, speichert es bis zu 30 Tage ausschließlich die Kennung dieses Links, damit die Empfehlung Ihrer späteren Registrierung zugeordnet werden kann (§ 2.23); ohne Ihre Einwilligung wird es nicht gesetzt. Rechtsgrundlage: § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Widerrufen Sie die Einwilligung, löscht die App das Cookie. Zum anderen betrifft es die Reichweitenmessung und Nutzungsanalyse mit Microsoft Clarity auf dieser Website und in der Web-App — dazu der eigene Punkt weiter unten. Ihre Wahl speichern wir technisch notwendig an zwei Stellen: im Cookie „zeitflex_einwilligung“ auf der Domain .zeitflex.de, das für zeitflex.de und app.zeitflex.de gemeinsam gilt (ein Jahr), damit Sie nur einmal gefragt werden, und wie bisher zusätzlich in einem Eintrag im lokalen Speicher Ihres Browsers auf dieser Website. Wir zählen, wie oft „Alle akzeptieren“, „Auswahl speichern“ und „Alle ablehnen“ gewählt und wie oft das Hinweisfenster ohne Wahl verlassen wird. Dafür bilden wir aus IP-Adresse und Browserkennung einen Tagesschlüssel, der nur bis Mitternacht gilt (pseudonym) und danach gelöscht wird; gespeichert bleiben nur Tagessummen. Bis dahin steht zu jedem Tagesschlüssel nur, ob das Hinweisfenster gezeigt wurde, die letzte Wahl und eine Einordnung als Mensch, als Programm oder als Aufruf von außerhalb Deutschlands, Österreichs und der Schweiz. Dafür meldet das Hinweisfenster nur, ob die Seite bedient wurde (nicht wie); das Land ermitteln wir aus der IP-Adresse mit einer Länderliste auf unserem eigenen Server, ohne Anfrage bei Dritten (Länderliste: IP Geolocation by DB-IP, Lizenz CC BY 4.0). Auf Ihrem Gerät wird dafür nichts gespeichert und nichts ausgelesen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Wirkung des Hinweisfensters zu kennen). Beim Senden fallen wie bei jedem Aufruf die Verbindungsdaten in den Server-Logfiles an (§ 2.1). Sie können Ihre Wahl jederzeit über „Cookie-Einstellungen“ am Seitenende ändern oder widerrufen; der Widerruf gilt für die Zukunft.
• Speicherung im Browser auf dieser Website: Die Seiten dieser Website merken sich im lokalen Speicher Ihres Browsers Ihre Sprachwahl. Es werden dabei keine Kennungen vergeben und keine Daten an uns übertragen; die Angabe bleibt auf Ihrem Gerät.
• Speicherung im Browser in der Demo: Die Vorführversion unter /demo/ merkt sich zusätzlich Ihre Anzeigeeinstellungen und Ihren Fortschritt: Sprache, hell/dunkel, gewähltes Beispiel-Szenario, aufgeklappte Menügruppen und Breite der Navigation, aktivierte Module, geschlossene Hinweise sowie die Frage, welche Kurzführungen Sie bereits gesehen oder abgeschlossen haben. Alle diese Angaben bleiben auf Ihrem Gerät und erreichen uns nicht. Am Demo-Terminal kann die Kamera Ihres Geräts ein Demo-Badge lesen: nur nach Ihrem Antippen und Ihrer Freigabe im Browser, ausschließlich auf Ihrem Gerät; Kamerabilder werden weder gespeichert noch übertragen. Sie lassen sich löschen, indem Sie die Websitedaten in Ihrem Browser entfernen. Alle genannten Merker — Sprache, Anzeige, Kurzführungen und Beispiel-Szenario — sind unbedingt erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht erforderlich.
• Reichweitenmessung mit Microsoft Clarity — nur mit Ihrer Einwilligung: Stimmen Sie unter „Cookie-Einstellungen“ der Kategorie „Statistik“ zu, laden wir den Dienst Microsoft Clarity der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Vorher wird das Skript nicht geladen; ohne Ihre Zustimmung findet auf dieser Website keine Reichweitenmessung statt und in der Web-App keine Nutzungsanalyse. Clarity zeichnet auf, wie Sie die Website bedienen: Mausbewegungen, Klicks, Scrollen, aufgerufene Seiten, Verweisquelle, Gerät, Betriebssystem, Browser sowie die IP-Adresse, die Microsoft zur Bestimmung der ungefähren Region auswertet. Daraus entstehen abspielbare Sitzungsaufzeichnungen und Heatmaps, mit denen wir die Website verbessern. Das gilt auch für die Demo (zeitflex.de/demo/): Dort melden wir an Clarity zusätzlich, dass Sie die Demo öffnen und eine Cookie-Wahl treffen, welche Ansicht, welche Beispielbranche und welche Tour Sie öffnen, ob und an welchem Schritt Sie eine Tour beenden oder abbrechen und ob Sie von dort zur Registrierung oder zu den Preisen wechseln — als benannte Ereignisse aus festen Kennungen (etwa „demo_ansicht_dienstplan“), nie mit Ihren Eingaben. Die Demo zeigt nur erfundene Beispielpersonen und -zahlen; ihre Inhalte und Eingaben werden zusätzlich maskiert. Für die Web-App unter app.zeitflex.de gelten die Besonderheiten im nächsten Punkt. Seiten- und Eingabeinhalte werden vor der Übertragung maskiert (Projekteinstellung „streng“); Eingabefelder und Auswahllisten sind in jeder Einstellung maskiert. Cookies: Auf zeitflex.de setzt Clarity „_clck“ und „_clsk“. Zusätzlich kann Microsoft auf seinen eigenen Domains Cookies setzen, unter anderem „MUID“ (Microsoft nennt dafür Werbung, Analyse und Betrieb), „CLID“, „ANONCHK“, „MR“ und „SM“ — diese Cookies können wir weder lesen noch löschen; Sie entfernen sie über die Einstellungen Ihres Browsers. Microsoft nennt für keines dieser Cookies eine Laufzeit. Rolle und Ort der Verarbeitung: Microsoft tritt nach eigener Angabe als Verantwortlicher auf, nicht als unser Auftragsverarbeiter — für diese Verarbeitung besteht deshalb kein Auftragsverarbeitungsvertrag mit uns. Die Daten werden in der Microsoft-Azure-Cloud verarbeitet; unser Vertragspartner ist Microsoft Ireland Operations Limited, die für die Übermittlung an die Microsoft Corporation in den USA nach eigener Angabe Standardvertragsklauseln geschlossen hat; die Microsoft Corporation ist zudem nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO, siehe § 4). Microsoft hat nach eigener Angabe Zugriff auf die Daten. Wie lange: Aufzeichnungen sind für uns 30 Tage einsehbar; als Favorit markierte Aufzeichnungen und eine zufällige Stichprobe bewahrt Microsoft bis zu 9 Monate auf, Heatmaps sind bis zu 9 Monate abrufbar. Eine Einwilligung zur Werbenutzung erteilen wir nicht — das Signal an Clarity steht dauerhaft auf „ad_storage: denied“. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Widerruf jederzeit über „Cookie-Einstellungen“ am Seitenende: Wir beenden dann die laufende Aufzeichnung, Clarity löscht seine Cookies, und wir löschen „_clck“ und „_clsk“ zusätzlich selbst. Cookies auf Microsoft-Domains bleiben davon unberührt (siehe oben).
• Nutzungsanalyse mit Microsoft Clarity in der Web-App — nur mit Ihrer Einwilligung (seit 25. Oktober 2026): Microsoft Clarity der Microsoft Ireland Operations Limited (Anschrift wie im vorigen Punkt; dasselbe Clarity-Projekt wie auf dieser Website) setzen wir auch in der Web-App unter app.zeitflex.de ein, um unser eigenes Produkt zu verbessern — etwa zu erkennen, an welcher Stelle der Einrichtung oder Bedienung Nutzerinnen und Nutzer hängen bleiben. Nur mit Einwilligung: Clarity wird in der Web-App erst geladen, wenn Sie der Kategorie „Statistik“ zugestimmt haben. Es ist eine gemeinsame Wahl für zeitflex.de und app.zeitflex.de (Cookie „zeitflex_einwilligung“, siehe oben). Die Zustimmung gilt für das Konto, das sich danach als erstes in diesem Browser anmeldet; meldet sich dort ein anderes Konto an, wird es nicht aufgezeichnet, sondern selbst gefragt. Dafür speichern wir in der Wahl ein Kurzzeichen aus der unten beschriebenen pseudonymen Kennung. Haben Sie noch nicht gewählt, zeigt Ihnen auch die Web-App einmal denselben Hinweis; „Ablehnen“ ist dort ebenso einfach wie „Zustimmen“. Lehnen Sie ab oder wählen Sie nicht, wird nichts geladen und nichts aufgezeichnet; Nachteile entstehen Ihnen dadurch nicht, alle Funktionen bleiben nutzbar. Wo: in der Web-App für alle Konten — Inhaberinnen und Inhaber, Führungskräfte, Beschäftigte und Zugänge von Steuerkanzleien — sowie auf der Anmelde- und der Registrierungsseite. Nicht aufgezeichnet werden der Betreiber-Bereich, das Wand-Terminal (ein von mehreren Personen geteiltes Gerät), die Seiten zum Annehmen einer Einladung und zum Setzen oder Zurücksetzen eines Passworts sowie Seiten, deren Adresse eine Kennung enthält (zum Beispiel die Personalakte einer Person) oder andere als feste Ansichts-Angaben. Was aufgezeichnet wird: Mausbewegungen, Klicks, Scrollen, die aufgerufenen Seiten (Adresse), Gerät, Browser und Betriebssystem sowie die IP-Adresse, die Microsoft zur Bestimmung der ungefähren Region auswertet. Die gesamte Web-App ist maskiert: Alle Texte, Zahlen und Eingaben — also auch Namen, Arbeitszeiten, Abwesenheiten, Lohnangaben und Gesundheitsangaben — erscheinen in der Aufzeichnung nur als Platzhalter und werden nicht im Klartext an Microsoft übertragen. Pseudonyme Kennung: Sind Sie angemeldet, verknüpfen wir Ihre Besuche bei Clarity über eine Kennung, die wir als Prüfwert (SHA-256) aus einem geheimen Wert („Salz“) und Ihrer internen Nutzernummer bilden. Ihr Name oder Ihre E-Mail-Adresse werden nie übertragen. Microsoft kann aus dieser Kennung niemanden bestimmen; wir selbst könnten sie mit Hilfe des geheimen Werts einer Person zuordnen. Die Daten sind deshalb pseudonym, nicht anonym. Haben Sie im selben Browser vorher auch zeitflex.de mit Zustimmung besucht, ordnet Clarity diese früheren Besuche derselben Kennung zu — beide nutzen dasselbe Clarity-Projekt, und das Cookie „_clck“ gilt für zeitflex.de und app.zeitflex.de gemeinsam. Zusätzliche Merkmale: Wir übermitteln an Clarity außerdem den Bereich (App oder Registrierung), die Art der Seite, die Sprache, die Gerätegröße, den Tarif des Betriebs, Ihre Rolle (Inhaber, Führung, Mitarbeiter oder Kanzlei), das Alter des Kontos in groben Stufen und ob die Einrichtung abgeschlossen ist, sowie benannte Ereignisse aus festen Kennungen: Registrierung begonnen und abgeschlossen, erste Person angelegt, erste Zeitbuchung, Lohnexport, Einrichtungsschritt übersprungen, Kauf gestartet, abgeschlossen oder abgebrochen und Fehlermeldung — bei Fehlermeldungen nur die Art des Fehlers, nie ihr Inhalt. Cookies: Clarity setzt auf app.zeitflex.de „_clck“ und „_clsk“; für Cookies auf Microsoft-Domains gilt das im vorigen Punkt Gesagte. Eine Einwilligung zur Werbenutzung erteilen wir Clarity auch in der Web-App nicht („ad_storage: denied“). Rolle: Für diese Nutzungsanalyse ist Dienstleistungen24 Inh. Jim Eichholz (Zeitflex) selbst Verantwortlicher — sie dient der Verbesserung unseres eigenen Produkts und geschieht nicht im Auftrag Ihres Arbeitgebers; sie ist nicht Teil des Auftragsverarbeitungsvertrags. Microsoft tritt nach eigener Angabe als eigener Verantwortlicher auf, nicht als unser Auftragsverarbeiter oder Unterauftragsverarbeiter. Zu Ort der Verarbeitung, Übermittlung in die USA und Aufbewahrungsdauer gilt das im vorigen Punkt Gesagte (siehe auch § 4, Drittlandtransfers). Ihre Rechte nach § 6 können Sie für diese Daten unmittelbar uns gegenüber geltend machen (info@zeitflex.de). Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Hinweis für Beschäftigte: Die Einwilligung erteilen Sie selbst und gegenüber uns, nicht gegenüber Ihrem Arbeitgeber. Ihr Arbeitgeber erfährt nicht, ob Sie zugestimmt haben — er sieht keine Liste der Zustimmungen. Ob Sie zustimmen, ist freiwillig; eine Ablehnung hat keine Folgen für Ihre Arbeit mit Zeitflex. Ein- und Abschalten für den ganzen Betrieb: In Betrieben, die vor dem 26. Oktober 2026 angelegt wurden, ist die Nutzungsanalyse ausgeschaltet, bis die Inhaberin oder der Inhaber sie einschaltet; dort fragen wir bis dahin auch nicht nach Ihrer Zustimmung. Die Inhaberin oder der Inhaber kann sie jederzeit für den gesamten Betrieb ein- oder ausschalten (Einstellungen → Mein Konto → „Für den ganzen Betrieb erlauben“). Dann wird in diesem Betrieb niemand aufgezeichnet, sobald er angemeldet ist, auch nicht mit Einwilligung, und es wird auch nicht danach gefragt; eine bereits laufende Aufzeichnung endet beim Wechsel in den geöffneten Tab, sonst spätestens nach einer Minute. Widerruf jederzeit über „Cookie-Einstellungen“ am Seitenende oder in der Web-App unter Einstellungen → Mein Konto → „Nutzungsanalyse“ → „Zustimmung widerrufen“. Der Widerruf gilt für zeitflex.de und app.zeitflex.de gemeinsam: In dem Fenster, in dem Sie widerrufen, wird die laufende Aufzeichnung sofort beendet, „_clck“ und „_clsk“ werden gelöscht, und die Seite lädt neu; in anderen geöffneten Fenstern der Web-App endet sie beim Wechsel dorthin, sonst spätestens nach einer Minute, auf zeitflex.de beim nächsten Seitenaufruf. Cookies auf Microsoft-Domains bleiben davon unberührt (siehe vorigen Punkt). Der Widerruf gilt für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
• Werbemessung mit Google Ads — nur mit Ihrer Einwilligung: Stimmen Sie unter „Cookie-Einstellungen“ der Kategorie „Marketing“ zu, laden wir das Google-Ads-Tag (gtag.js) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Vorher wird das Skript nicht geladen und nichts an Google übertragen. Zweck: zu messen, ob ein Besuch über eine unserer Google-Anzeigen kam und danach zu einer Registrierung geführt hat (Conversion-Messung). Das gilt auch für die Registrierungsseite der Web-App (app.zeitflex.de/registrieren): Dort fragt ein eigener Hinweis nach Ihrer Einwilligung, und erst nach dem Anlegen Ihres Kontos wird das Tag geladen und die Registrierung gemeldet — ohne Name, E-Mail-Adresse oder Betrieb. Dazu überträgt Google unter anderem die IP-Adresse, Angaben zu Browser und Gerät, die aufgerufene Seite und eine Kennung des Anzeigenklicks. Cookies: Auf zeitflex.de setzt Google „_gcl_au“ (nach Googles Angabe 90 Tage); auf Googles eigenen Domains kann Google Cookies wie „IDE“ setzen (nach Googles Angabe bis zu 13 Monate) — diese können wir weder lesen noch löschen. Wir senden Google die Einwilligungssignale aus Ihrer Wahl (Consent Mode); mit Ihrer Zustimmung darf Google die Daten auch zur Personalisierung von Werbung nutzen. Google tritt für die Messung nach eigener Angabe als eigener Verantwortlicher auf; es gelten die Datenschutzbestimmungen von Google. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Widerruf jederzeit über „Cookie-Einstellungen“ am Seitenende: Wir senden Google dann die Absage, löschen „_gcl_au“ und laden die Seite neu. Cookies auf Google-Domains bleiben davon unberührt.
• Meldung des ersten Kaufs an Google Ads — nur mit Ihrer Einwilligung: Kamen Sie über eine Google-Anzeige zu uns, steht in der Adresse eine Kennung dieses Klicks („gclid“, „gbraid“ oder „wbraid“). Haben Sie der Kategorie „Marketing“ zugestimmt, geben wir diese Kennung beim Wechsel zu einer anderen Seite dieser Website und in die Registrierung der Web-App in der Adresse weiter; in Ihrem Browser gespeichert wird sie dabei nicht. Bei der Registrierung speichern wir sie, wieder nur mit Ihrer Zustimmung, zu Ihrem Betrieb. Bezahlt Ihr Betrieb zum ersten Mal einen Betrag, melden wir diesen Kauf genau einmal von unserem Server an Google (Google Ireland Limited): die Klickkennung, den Zeitpunkt, den Betrag, die Währung und die Rechnungsnummer. Name, E-Mail-Adresse, Betrieb oder Arbeitszeitdaten übermitteln wir nicht. Zweck: zu messen, welche Anzeige zu einem zahlenden Kunden geführt hat. Nach der Meldung löschen wir die Klickkennung; kommt es nicht zu einem Kauf, löschen wir sie 90 Tage nach der Registrierung, spätestens mit Ihrem Konto. Ohne Ihre Einwilligung wird keine Kennung gespeichert und nichts gemeldet. Google tritt dabei nach eigener Angabe als eigener Verantwortlicher auf; zur Übermittlung in die USA siehe den Abschnitt zu Drittlandtransfers. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Widerruf: Ein Widerruf über „Cookie-Einstellungen“ wirkt für künftige Besuche; für eine bereits gespeicherte Kennung genügt eine Nachricht an info@zeitflex.de, dann löschen wir sie.
• Eigene Profiling-Cookies setzen wir nicht ein, und wir erteilen Clarity keine Einwilligung zur Werbenutzung. Ob Microsoft auf seinen eigenen Domains gleichwohl ein Cookie setzt, das es selbst auch für Werbung nutzt („MUID“), liegt außerhalb unseres Zugriffs — wir weisen oben darauf hin.

§ 9 Technische und organisatorische Maßnahmen (Kurzübersicht)

Wir treffen dem Risiko angemessene Maßnahmen nach Art. 32 DSGVO, u. a.:

• Verschlüsselung der Datenübertragung (TLS). Eine Verschlüsselung des Datenträgers oder der Datenbank im Ruhezustand („at rest") setzen wir nicht ein; verschlüsselt werden die Übertragung, die Sicherungskopien und die hochgeladenen Dokumente durch die Anwendung selbst;
• zusätzliche Verschlüsselung hochgeladener Dokumente durch die Anwendung selbst (AES-256-GCM), bevor sie an den Objektspeicher übergeben werden — Arbeitsunfähigkeitsbescheinigungen ebenso wie Arbeitsvertrag, Unterweisungsnachweis, Bewerbungsunterlagen, Fotodokumentation und sonstige Dokumente;
• Mandantentrennung der Kundendaten: Alle Betriebe liegen in einer gemeinsamen PostgreSQL-Datenbank; die Trennung erfolgt über eine Organisationskennung, die die Anwendungslogik bei jedem Zugriff auswertet. Getrennte Datenbankschemata oder eine Zeilenzugriffssteuerung (Row-Level-Security) auf Datenbankebene werden nicht eingesetzt. Im Objektspeicher sind die Dateien über getrennte Pfad-Präfixe je Betrieb abgelegt;
• rollenbasiertes Berechtigungskonzept;
• Zugänge des Betreibers zu Produktivdaten sind zusätzlich durch einen zweiten Faktor (zeitbasiertes Einmalkennwort) und eine Prüfung des Herkunftsnetzes gesichert. Für Kundenkonten steht eine Zwei-Faktor-Anmeldung derzeit nicht zur Verfügung;
• Protokollierung sicherheitsrelevanter Zugriffe (Audit-Logs), einschließlich jedes Zugriffs auf Gesundheitsdaten;
• automatischer, täglich laufender Lösch- und Pseudonymisierungsprozess mit Protokoll (Art. 5 Abs. 2 DSGVO);
• tägliche, mit einer Passphrase verschlüsselte Vollsicherungen der Datenbank auf dem Server, dort 30 Tage aufbewahrt, sowie eine Zweitkopie auf einem getrennten Speicher desselben Anbieters, dort 90 Tage (Einzelheiten in § 5);
• Betrieb in Deutschland: Anwendung, Datenbank, Sicherungen und der Speicher für hochgeladene Dokumente liegen im Hetzner-Rechenzentrum Falkenstein. Ein Managed-Cloud-Dienst wird nicht genutzt; die Anwendung läuft in Containern auf einem eigenen Server. Eine zusätzliche Kopie der verschlüsselten Sicherungen liegt auf einem getrennten Speicher desselben Anbieters (Hetzner Storage Box) — ebenfalls im Rechenzentrum Falkenstein.
• Der Zugriff auf Produktivdaten ist auf den Inhaber beschränkt — Dienstleistungen24 ist ein Einzelunternehmen ohne Beschäftigte. Auswertungen über das Verwaltungs-Backend sind auf Konten-, Protokoll- und Supportdaten begrenzt und zweitfaktorgesichert; ein unmittelbarer Zugriff auf Server oder Datenbank ist im Störungsfall technisch möglich und dem Inhaber vorbehalten. Werden künftig weitere Personen tätig, werden sie zuvor schriftlich auf Vertraulichkeit verpflichtet;
• Jeder Zugriff des Betreibers auf Kundenbestände wird in einem fortlaufend verketteten Protokoll festgehalten, dessen Einträge sich nachträglich nicht einzeln ändern lassen; der Kopf der Kette — ein Prüfwert ohne Personenbezug — wird täglich per E-Mail an ein Postfach des Inhabers ausgeleitet. Das Protokoll hält fest, wer wann welchen Vorgang ausgelöst hat und welchen Betrieb er betraf — es enthält keine Inhalte aus Kundendaten, keine Namen, Adressen oder Zeiten von Beschäftigten. Weil die Verkettung ihre Beweiskraft nur als Ganzes trägt, werden einzelne Einträge nicht gelöscht.

Zertifizierungen: Für Zeitflex liegen derzeit keine Zertifizierungen vor — weder nach ISO/IEC 27001 noch ein SOC-2-Bericht. Die vorstehenden Maßnahmen sind vom Betreiber selbst umgesetzt und nicht durch eine unabhängige Stelle geprüft oder bescheinigt. Zertifizierungen der Rechenzentren des Hostinganbieters betreffen dessen Infrastruktur, nicht die Anwendung Zeitflex.

Eine ausführliche TOM-Beschreibung ist Anlage 1 unseres Auftragsverarbeitungsvertrags.

§ 10 Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO — also eine Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt — findet bei Zeitflex nicht statt.

Die Anwendung wertet Arbeitszeiten allerdings automatisiert aus und weist die Betriebsleitung auf mögliche Überschreitungen gesetzlicher Grenzen hin; diese Hinweise nennen die betroffene Person namentlich (§ 2.17). Diese Prüfung vergleicht erfasste Zeiten mit festen gesetzlichen Grenzwerten; sie bewertet keine persönlichen Merkmale und erstellt keine Prognose über Arbeitsleistung oder Verhalten. Sie sind Hinweise, keine Entscheidungen. Ob und was daraus folgt, entscheidet ein Mensch beim Arbeitgeber.

§ 11 Pflicht zur Bereitstellung

Die Bereitstellung von Stammdaten ist für die Nutzung der Web-App erforderlich; ohne sie kann kein Konto bereitgestellt werden. Ob und welche Daten Beschäftigte im Beschäftigungsverhältnis bereitstellen müssen, richtet sich nach dem Arbeitsverhältnis mit dem Arbeitgeber.

§ 12 Herkunft der Daten

Nicht alle Daten stammen von der Person, um die es geht. Nach Art. 14 Abs. 2 lit. f DSGVO nennen wir deshalb, woher sie sonst kommen:

• Von Ihrem Arbeitgeber: Stammdaten und Beschäftigungsdaten der Beschäftigten trägt regelmäßig der Arbeitgeber ein, nicht die beschäftigte Person selbst. Dasselbe gilt für nachgetragene und korrigierte Arbeitszeiten sowie für Dokumente, die eine Führungskraft hochlädt.
• Aus Ihrer Bewerbung: Bewerbungsunterlagen eingestellter Personen stammen aus der Zeit vor dem Arbeitsverhältnis. Sie werden vom Arbeitgeber in die Personalakte gelegt, nicht von der beschäftigten Person selbst; Unterlagen abgelehnter Bewerbungen führt Zeitflex nicht.
• Aus einem Provanto-Link: Die Klick-Kennung stammt aus dem Link eines Empfehlers im Partnerprogramm Provanto (§ 2.23).
• Aus einer Einladung: Lädt ein Betrieb jemanden ein, erhalten wir dessen E-Mail-Adresse, bevor überhaupt ein Konto besteht.
• Aus einer Tabelle: Bei der Datenübernahme (§ 2.19) erhalten wir Stamm- und Zeitdaten aus einer Datei, die der Arbeitgeber hochlädt.
• Aus Projekt- und Kostenstellendaten: Trägt der Arbeitgeber dort den Namen eines Auftraggebers ein, kann dieser Name personenbezogen sein — etwa bei einem Einzelunternehmer als Auftraggeber.
• Mittelbar über eine Abwesenheitsart: Bei „Kind krank" verarbeiten wir die Angabe, dass ein Kind der beschäftigten Person erkrankt ist. Namen oder weitere Daten des Kindes erheben wir nicht.

§ 13 Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf der Webseite veröffentlichte Fassung.

Stand: 13. November 2026