Datenschutzerklärung

für MyTime, die Zeiterfassung unter dieser Adresse

1. Wer verantwortlich ist

Einen Datenschutzbeauftragten haben wir nicht benannt; die Voraussetzungen des § 38 BDSG liegen nicht vor.

2. Zwei Rollen – und warum das wichtig ist

MyTime ist eine Zeiterfassung, die Betriebe und Selbständige für ihre eigene Arbeit benutzen. Daraus folgen zwei verschiedene Rollen, und für dich hängt davon ab, an wen du dich wenden musst.

Wir sind verantwortlich
für das Vertragsverhältnis mit dem Konto: die Anmeldedaten, den Schriftwechsel, die Abrechnung und den sicheren Betrieb der Anwendung.
Wir sind Auftragsverarbeiter
für alles, was in einem Konto erfasst wird – Arbeitszeiten, Abwesenheiten, Namen von Mitarbeitern, Kunden und Projekten. Verantwortlich dafür ist der Betrieb, der das Konto führt. Wir verarbeiten diese Daten nur auf seine Weisung, auf Grundlage eines Vertrags nach Artikel 28 DSGVO.

Bist du Mitarbeiter eines Betriebs, der MyTime benutzt? Dann ist dein Arbeitgeber dein Ansprechpartner – nicht wir. Auskunft, Berichtigung und Löschung deiner Arbeitszeiten musst du bei ihm verlangen; wir dürfen daran nichts ändern, ohne dass er es uns aufträgt. Was zu deinem Zugang gespeichert ist, kannst du dir aber jederzeit selbst herunterladen: in der Anwendung unter Mein Zugang → Meine Daten.

3. Was verarbeitet wird

3.1 Dein Zugang

Vor- und Nachname, Kürzel, E-Mail-Adresse, Rolle im Konto sowie der Zeitpunkt, zu dem der Zugang angelegt, zuletzt geändert und die Adresse bestätigt wurde. Das Passwort speichern wir nicht, sondern nur seinen Hash (password_hash, bcrypt oder Argon2); aus ihm lässt sich das Passwort nicht zurückrechnen.

Rechtsgrundlage: Artikel 6 Abs. 1 lit. b DSGVO – ohne Zugang keine Anwendung.

3.2 Die erfassten Zeiten

In MyTime Team: Kommen und Gehen, Pausen, Arbeitszeilen mit Kostenstelle, Kostenträger und Projektnummer, Abwesenheiten und deren Anträge, Urlaubsansprüche, Sollarbeitszeiten und der Stand des Zeitkontos. In MyTime Solo: Zeiteinträge mit Kunde, Projekt, Leistung, Notiz und – wenn hinterlegt – dem Stundensatz.

Rechtsgrundlage: für den Betrieb, der das Konto führt, in der Regel Artikel 6 Abs. 1 lit. c DSGVO in Verbindung mit § 16 Abs. 2 ArbZG (Aufzeichnungspflicht) und lit. b (Durchführung des Arbeitsverhältnisses). Wir selbst verarbeiten sie ausschliesslich in seinem Auftrag.

3.3 Anmeldung und Sitzung

Wer angemeldet ist, bekommt ein Sitzungscookie. Es enthält nur eine zufällige Kennung, ist HttpOnly und SameSite=Lax, über HTTPS zusätzlich Secure, und es gilt dreissig Tage. Die Sitzung selbst liegt in der Datenbank – nicht als Datei auf einem geteilten Server, wo die Aufräumung eines fremden Kontos sie mitnähme.

Wir setzen kein einziges Cookie zur Analyse oder Werbung. Es gibt keine Reichweitenmessung, kein Tracking und keine Einbindung fremder Dienste: Die Anwendung lädt weder Schriften noch Skripte noch Bilder von anderen Servern. Deshalb gibt es auch keinen Cookie-Banner – das Sitzungscookie ist für den Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Im Browser merkt sich die Anwendung ausserdem zwei Kleinigkeiten, die den Rechner nie verlassen: das zuletzt gewählte Projekt und die zuletzt gewählte Leistung (in MyTime Solo, als Vorschlag beim nächsten Eintrag) sowie eine Meldung, die ein Neuladen überdauern soll.

3.4 Fehlversuche bei der Anmeldung

Damit sich Passwörter nicht durchprobieren lassen, zählen wir Fehlversuche und pausieren die Anmeldung nach fünf davon eine Viertelstunde. Gespeichert wird dabei kein Klartext, sondern ein SHA-256-Abdruck der Adresse und der IP; die Zeilen verfallen nach einem Tag von selbst.

Rechtsgrundlage: Artikel 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem Zugang, der hält.

3.5 Nachrichten

MyTime verschickt wenige Nachrichten: die Bestätigung der Adresse nach einer Registrierung und den Link zum Zurücksetzen eines Passworts. Protokolliert werden Empfänger, Betreff, Zeitpunkt und ob die Zustellung geklappt hat – nicht der Inhalt. Die Schlüssel aus den Links liegen nur als Abdruck in der Datenbank; ein Link zum Zurücksetzen gilt eine Stunde, einer zur Bestätigung drei Tage, und beide genau einmal.

3.6 Server-Protokolle

Der Webserver protokolliert wie üblich Zugriffe mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserkennung. Diese Protokolle führt unser Hoster; sie dienen dem Betrieb und der Abwehr von Angriffen und werden dort nach kurzer Zeit gelöscht. MyTime selbst schreibt darüber hinaus nur Fehlermeldungen.

Rechtsgrundlage: Artikel 6 Abs. 1 lit. f DSGVO.

4. Wer die Daten sonst noch sieht

Ausser uns nur die beiden, ohne die eine Anwendung im Netz nicht läuft:

Hosting
— noch nicht eingetragen —
Mailversand
— noch nicht eingetragen —

Mit beiden besteht ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Weitergegeben wird darüber hinaus nichts – nicht an Werbenetzwerke, nicht an Analysedienste, nicht an Dritte, die uns dafür bezahlen würden. Eine Übermittlung in ein Land ausserhalb der EU findet nicht statt, solange die oben genannten Server in der EU stehen.

5. Wie lange

So lange das Konto besteht. Danach löschen wir, was darin steht – der Betrieb, der das Konto führt, kann es unter Mein Zugang → Konto löschen selbst auslösen. Was er nach § 16 Abs. 2 ArbZG (zwei Jahre) oder nach Steuer- und Handelsrecht (sechs bis zehn Jahre) aufbewahren muss, hat er vorher zu sichern; MyTime bietet den vollständigen Export dafür im selben Dialog an.

Kurzlebiges verfällt von selbst: Sitzungen nach dreissig Tagen, Schlüssel aus Links nach einer Stunde beziehungsweise drei Tagen, die Zähler der Anmeldebremse nach einem Tag. Sicherungen der Datenbank halten wir vierzehn Läufe lang vor; auch daraus verschwindet Gelöschtes damit innerhalb von zwei Wochen.

6. Deine Rechte

Du hast das Recht auf

Zwei davon übst du in der Anwendung selbst aus, ohne uns zu fragen: Unter Mein Zugang → Meine Daten lädst du alles herunter, was zu deinem Zugang gespeichert ist – als JSON, wie es Artikel 20 vorsieht. Wer ein Konto verwaltet, löscht es an derselben Stelle mit allem, was darin steht.

Wo wir nur Auftragsverarbeiter sind (siehe Abschnitt 2), richtest du diese Rechte an den Betrieb, der das Konto führt. Erreicht uns eine solche Anfrage trotzdem, leiten wir sie an ihn weiter und sagen dir Bescheid.

Ausserdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der des Bundeslandes, in dem wir sitzen.

7. Änderungen

Ändert sich die Anwendung, ändert sich diese Erklärung mit: Sie ist Bestandteil desselben Quelltextes wie das Programm und wird mit ihm zusammen veröffentlicht. Welcher Stand gerade läuft, sagt /api/health.