Datenschutzerklärung

Diese Datenschutzerklärung erläutert, wie Mitves (Astalyne Studios, Inhaber Oguzhan Günel, Günzburger Str. 37, 89340 Leipheim, Deutschland) personenbezogene Daten im Zusammenhang mit der Mitves-Website, dem Web-Dashboard, der mobilen Anwendung und der API (zusammen der „Dienst“) verarbeitet.

Mitves handelt in zwei unterschiedlichen Rollen. Gegenüber Besuchern unserer Website sowie Personen, die uns kontaktieren oder eine Testphase, Demo oder ein Angebot anfragen („Interessenten“), ist Mitves Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, und diese Erklärung gilt unmittelbar.

Gegenüber Beschäftigten von Kundenunternehmen, die Mitves zur Zeiterfassung einsetzen, ist das Kundenunternehmen (der Arbeitgeber) Verantwortlicher und Mitves Auftragsverarbeiter im Sinne von Art. 28 DSGVO, der auf dokumentierte Weisung des Kunden im Rahmen eines Auftragsverarbeitungsvertrags (AVV) handelt. Beschäftigte richten Fragen dazu, warum ihre Daten verarbeitet werden, an ihren Arbeitgeber; diese Erklärung beschreibt, wie Mitves diese Daten im Auftrag des Arbeitgebers verarbeitet.

Mitves verkauft keine personenbezogenen Daten und nutzt Kundendaten nicht zu Werbezwecken.

• Identitätsdaten: Vorname, Nachname, Personalnummer, Position, Abteilung, Zuordnung zu Standort oder Team.

• Kontaktdaten: E-Mail-Adresse und Mobilfunknummer (die Mobilfunknummer wird für SMS zum Zurücksetzen des Passworts verwendet).

• Beschäftigungs- und Planungsdaten: Rolle im Dienst (Administrator, Manager, Beschäftigter), Schichten, Arbeitspläne, Urlaubssalden, Urlaubs- und Entschuldigungsanträge, Pausenaufzeichnungen.

• Anwesenheitsereignisse: Ereignistyp (Kommen oder Gehen, Pausenbeginn oder -ende), Zeitstempel, der gewählte Standort und die im Moment der Stempelung erfassten GPS-Koordinaten, die Entfernung zum autorisierten Standort, die Kennung des autorisierten Geräts (Geräte-UUID), die Kennung des gescannten QR-Tokens sowie der Prüfstatus des Ereignisses.

• Technische Daten: IP-Adresse, User-Agent, App-Version, Betriebssystem, Authentifizierungstoken und Einträge im Prüfprotokoll.

• Lohn- und Gehaltsdokumente: Dateien, die der Arbeitgeber hochlädt und für Beschäftigte freigibt (zum Beispiel Gehaltsabrechnungen). Mitves speichert und übermittelt diese Dokumente; es berechnet keine Löhne und analysiert deren Inhalt nicht.

• Besondere Kategorien (Art. 9 DSGVO): Eine Abwesenheit der Art Krankmeldung (ihre Art, Daten und eine etwaige Notiz) ist ein Gesundheitsdatum, und Gehaltsabrechnungen zeigen üblicherweise die Kirchensteuermerkmale, die mittelbar eine Religionszugehörigkeit erkennen lassen (EuGH, C-184/20). Mitves speichert und zeigt sie nur für den Arbeitgeber: Einzelheiten einer Krankmeldung nur der betroffenen Person sowie den Admins und Vorgesetzten mit Zuständigkeit für ihre Abwesenheiten, eine Gehaltsabrechnung nur der betroffenen Person und den Zuständigen für Lohndokumente. Die Rechtsgrundlage bestimmt der Arbeitgeber als Verantwortlicher; für Gesundheitsdaten im Beschäftigungsverhältnis ist dies in der Regel Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit dem nationalen Arbeitsrecht (in Deutschland § 26 Abs. 3 BDSG).

• Website-Anfragedaten: Firmenname, Name der Kontaktperson, E-Mail-Adresse, Telefonnummer, Unternehmensgröße, Nachricht und Anfragetyp (Test, Demo, Angebot oder Kontakt), die über unsere Website-Formulare übermittelt werden.

• Integrationsdaten: vom Kundenadministrator konfigurierte API-Token und Webhook-Endpunkte.

Website-Besucher und Interessenten (Mitves als Verantwortlicher): Beantwortung von Anfragen sowie Bereitstellung von Testphasen, Demos und Angeboten (vorvertragliche Maßnahmen, Art. 6 Abs. 1 lit. b DSGVO), Betrieb und Absicherung der Website (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO) und Führung gesetzlich vorgeschriebener Aufzeichnungen (rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO).

Beschäftigte der Kunden (Mitves als Auftragsverarbeiter): Mitves verarbeitet Anwesenheitsdaten ausschließlich, um dem Arbeitgeber den Dienst bereitzustellen. Die Rechtsgrundlage bestimmt der Arbeitgeber; in der Regel sind dies die Durchführung des Arbeitsverhältnisses, die gesetzliche Pflicht des Arbeitgebers zur Aufzeichnung der Arbeitszeit und das berechtigte Interesse des Arbeitgebers an richtigen Anwesenheitsaufzeichnungen.

Standort- und Geräteprüfungen dienen ausschließlich der Bestätigung, dass eine Stempelung an einem autorisierten Ort von einem autorisierten Gerät aus erfolgt ist. Sie werden nicht zur Profilbildung über Beschäftigte oder für Schlussfolgerungen ohne Bezug zur Anwesenheit verwendet.

Erfordert eine Rechtsgrundlage die Einwilligung der Beschäftigten, liegt deren Einholung und Dokumentation in der Verantwortung des Arbeitgebers; Mitves stellt hierfür unterstützende Funktionen bereit.

Mitves erhebt, speichert und verarbeitet keinerlei biometrische Daten. Der Dienst enthält keine Fingerabdruck-, Gesichts-, Iris- oder Stimmerkennung.

Mitves ortet den Standort nicht dauerhaft. GPS-Koordinaten werden nur in dem Moment ausgelesen, in dem ein Beschäftigter aktiv eine Kommen-, Gehen- oder Pausenaktion ausführt, nur wenn der Arbeitgeber die Standortprüfung aktiviert hat und, sofern der Arbeitgeber dies vorsieht, nur mit der Einwilligung des Beschäftigten, die in der App jederzeit widerrufen werden kann.

Mitves liest keine Kontakte, Fotos, Nachrichten oder andere Inhalte auf dem Gerät des Beschäftigten. Die Kamera wird ausschließlich zum Scannen eines QR-Codes während der Stempelung verwendet.

Mitves erstellt aus Anwesenheitsdaten keine Verhaltens- oder Produktivitätsprofile.

Interessentendaten werden so lange aufbewahrt, wie es zur Bearbeitung der Anfrage erforderlich ist, höchstens jedoch 24 Monate nach dem letzten Kontakt, sofern kein Kundenverhältnis zustande kommt.

Kunden- und Beschäftigtendaten werden für die Dauer des Abonnements aufbewahrt. Nach Beendigung kann der Kunde seine Daten exportieren; Mitves löscht oder anonymisiert die Kundendaten innerhalb von 90 Tagen nach Beendigung, sofern nicht gesetzlich eine längere Aufbewahrung vorgeschrieben oder im AVV vereinbart ist.

Die Anwesenheitshistorie wird für die für den Arbeitgeber geltende gesetzliche Frist aufbewahrt (zum Beispiel Arbeitszeitaufzeichnungen nach dem Arbeitszeitrecht), wie vom Kunden konfiguriert. Eine Korrektur löscht den ursprünglichen Stempel nie unbemerkt: Wer was wann und warum geändert hat, wird zusammen mit den vorherigen Werten aufgezeichnet.

Die GPS-Koordinaten eines Stempels werden nur für die vom Kunden festgelegte Frist (1 bis 90 Tage, ohne Änderung 90 Tage) als Nachweis aufbewahrt und danach gelöscht; Entfernung zum Standort, GPS-Genauigkeit und Prüfergebnis bleiben beim Datensatz.

Verschlüsselte Sicherungen werden nach dem Sicherungsplan rotiert und am Ende ihres Rotationszeitraums vernichtet.

Technische Protokolle werden zu Sicherheits- und Fehlerbehebungszwecken höchstens 14 Tage aufbewahrt und danach gelöscht.

Mitves betreibt den Dienst auf virtuellen privaten Servern in der Europäischen Union (Niederlande). Produktionsdatenbank, Dateispeicher und verschlüsselte Sicherungen verbleiben in der EU.

Mitves setzt folgende Kategorien von Unterauftragsverarbeitern ein: einen Hosting- und Infrastrukturanbieter (EU); Cloudflare für DNS und Reverse-Proxy-Schutz am Netzwerkrand (der Datenverkehr durchläuft das globale Netz von Cloudflare); einen SMS-Anbieter für Einmalcodes zum Zurücksetzen des Passworts; einen Anbieter für Transaktions-E-Mails für Konto- und Benachrichtigungs-E-Mails; einen E-Mail-Hosting-Anbieter für unsere eigenen Postfächer (zum Beispiel [email protected]).

Kartenkacheln (OpenStreetMap): Das Standortformular im Web-Dashboard und – nach einem Klick auf „Karte anzeigen“ – der Standortschritt der Registrierung zeigen Kartenkacheln der OpenStreetMap-Kachelserver der OpenStreetMap Foundation (Vereinigtes Königreich). Der Browser lädt die Kacheln direkt von dort und übermittelt dabei mit jeder Kachel seine IP-Adresse, die üblichen Anfrage-Header (etwa User-Agent, Sprache und die verweisende Mitves-Seite) und den angezeigten Kartenausschnitt. Zweck ist die Anzeige der Karte, damit Mittelpunkt und Radius eines Standorts festgelegt werden können. Die Adresssuche sendet der Mitves-Server, nicht der Browser, an den Geokodierungsdienst Nominatim (standardmäßig ebenfalls von der OpenStreetMap Foundation betrieben): Er erhält den Suchtext, in der Regel eine Adresse, aber nicht die IP-Adresse der Nutzerin oder des Nutzers; Ergebnisse werden einen Tag zwischengespeichert. Positionen von Beschäftigten werden nie an den Kartenanbieter gesendet. Datenschutzerklärung der OpenStreetMap Foundation: https://osmfoundation.org/wiki/Privacy_Policy Rechtsgrundlage ist unser berechtigtes Interesse an der Anzeige der angeforderten Karte (Art. 6 Abs. 1 lit. f DSGVO); die Übermittlung in das Vereinigte Königreich stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich.

Bot-Prüfung bei der Registrierung (Cloudflare Turnstile): Der erste Schritt der Registrierung für den kostenlosen Test ist durch Cloudflare Turnstile geschützt, einen Dienst der Cloudflare, Inc. (Vereinigte Staaten), damit automatisierte Registrierungen keine SMS-Codes auslösen und keine Konten anlegen können. Der Browser der Besucherin oder des Besuchers lädt die Prüfung von Cloudflare und übermittelt dabei Signale wie die IP-Adresse, einen TLS-Fingerabdruck, den User-Agent-Header sowie den Site-Key mit seiner Herkunft; der Mitves-Server bestätigt das Ergebnis anschließend bei Cloudflare und übermittelt dabei die IP-Adresse. Mitves speichert das Prüf-Token nicht. Datenschutzhinweise von Cloudflare zu Turnstile: https://www.cloudflare.com/turnstile-privacy-policy/ Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Registrierung vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare verarbeitet diese Daten in unserem Auftrag; nach seinem Turnstile-Datenschutzzusatz kann es sie zudem als eigenständiger Verantwortlicher zur Verbesserung seiner Boterkennung nutzen. Die Übermittlung in die Vereinigten Staaten stützt sich auf das EU-US Data Privacy Framework, nach dem Cloudflare zertifiziert ist, hilfsweise auf die EU-Standardvertragsklauseln.

Absturzberichte und Push-Benachrichtigungen in der mobilen App (Google Firebase): Die App nutzt zwei Firebase-Dienste von Google. Firebase Crashlytics erhält einen Bericht, wenn die App abstürzt oder auf einen unerwarteten Fehler stößt: den Fehlertyp, den Stacktrace (Codestellen in der App), das Gerätemodell, die Betriebssystem- und App-Version, den Zeitpunkt und eine von Crashlytics erzeugte zufällige Installationskennung; das Telefon sendet mit der Verbindung außerdem seine IP-Adresse. Ein Bericht enthält keinen Namen, keine Benutzerkennung, keine Telefonnummer, keine Fehlermeldung, keine Position und keine Zeiterfassungsdaten; Entwicklungsversionen senden keine Berichte. Firebase Cloud Messaging stellt Push-Benachrichtigungen zu: Die App meldet für das Telefon ein Push-Token bei Mitves an, und der Mitves-Server sendet über Firebase an dieses Token nur einen festen Titel und Text je Art der Benachrichtigung (zum Beispiel „Eine Stempelung muss geprüft werden“) mit der Nummer und Art der Benachrichtigung, nie den Namen einer Person, einen Ort, eine Uhrzeit oder andere Einzelheiten, die die App nach dem Öffnen bei Mitves abruft; auf iPhones gibt Firebase die Benachrichtigung an Apples Push-Dienst (APNs) weiter. Zweck ist es, Fehler in der App zu finden und zu beheben und Benachrichtigungen zuzustellen. Google kann diese Daten in den Vereinigten Staaten verarbeiten. Datenschutzhinweise zu Firebase: https://firebase.google.com/support/privacy Google (Google Ireland Limited und Google LLC) ist Auftragsverarbeiter nach den Firebase-Bedingungen zur Datenverarbeitung und -sicherheit. Rechtsgrundlage ist das berechtigte Interesse an einer funktionierenden App und an der Zustellung von Benachrichtigungen (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die Vereinigten Staaten stützt sich auf das EU-US Data Privacy Framework, nach dem Google LLC zertifiziert ist, hilfsweise auf die Standardvertragsklauseln in den Bedingungen von Google. Auf iPhones erhält Apple Inc. (Vereinigte Staaten) das Push-Token und den festen Text, um die Benachrichtigung zuzustellen.

Lizenzzahlungen und Prüfung der USt-IdNr. (Mitves als Verantwortlicher): Admins der Kunden zahlen per Karte oder PayPal auf den Zahlungsseiten von Stripe (Stripe Payments Europe, Limited, Irland) oder PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg), die die Zahlungsdaten als eigenständige Verantwortliche verarbeiten; Kartendaten erreichen Mitves nie, Mitves erhält nur Zahlungsstatus und Referenz. Für eine Rechnung ohne deutsche Umsatzsteuer an ein Unternehmen in der EU prüft Mitves die USt-IdNr. des Kunden über den VIES-Dienst der Europäischen Kommission, übermittelt dabei diese USt-IdNr. und die eigene und speichert die Bestätigung bei der Bestellung. Rechtsgrundlage sind die Vertragserfüllung und die steuerlichen Pflichten von Mitves (Art. 6 Abs. 1 lit. b und c DSGVO); Bestellungen und Rechnungen werden für die gesetzliche Aufbewahrungsfrist aufbewahrt (§ 147 AO, § 14b UStG). Datenschutzhinweise: https://stripe.com/privacy und https://www.paypal.com/privacy

Firmenprüfung vor der ersten Lizenz (Mitves als Verantwortlicher): Bevor ein Kunde seine erste Lizenz kauft, laden seine Admins einen Handelsregisterauszug, eine Gewerbeanmeldung oder ein vergleichbares amtliches Dokument hoch. Mitves gleicht es mit den Rechnungsdaten ab, um sicherzustellen, dass der Dienst nur an Unternehmen verkauft wird und Rechnungen den richtigen Empfänger nennen. Diese Unterlagen können Namen, Geburtsdaten und Anschriften von Inhabern oder Geschäftsführern enthalten. Nur die Mitves-Mitarbeiter, die Firmenprüfungen bearbeiten, können sie öffnen; sie werden in der EU gespeichert, solange das Kundenkonto besteht, und danach mit dessen Daten gelöscht. Rechtsgrundlage sind die Vertragserfüllung und das berechtigte Interesse von Mitves, nur an Unternehmen zu verkaufen und Betrug zu verhindern (Art. 6 Abs. 1 lit. b und f DSGVO).

Abwesenheitskalender-Link (vom Nutzer gewählter Kalenderanbieter): Sofern der Arbeitgeber die Funktion nicht ausgeschaltet hat, kann ein Nutzer einen privaten Link zu seinem Abwesenheitskalender erstellen und ihn in einer Kalender-App seiner Wahl abonnieren, zum Beispiel Microsoft Outlook, Google Kalender oder Apple Kalender. Der Kalenderanbieter ruft den Link dann etwa stündlich beim Mitves-Server ab und speichert, was er erhält: die eigenen genehmigten Abwesenheiten des Nutzers und, bei Administratoren und Führungskräften, die genehmigten Abwesenheiten der Personen, deren Abwesenheiten sie verwalten, mit Name, Datum und Abwesenheitsart; eine Abwesenheit wegen Krankheit wird nur dort als solche benannt, wo der Nutzer sie auch in Mitves sehen darf. Mitves übermittelt nichts weiter und wählt den Anbieter nicht aus: Der Anbieter ist kein Unterauftragsverarbeiter von Mitves, und für das, was er speichert, gilt seine eigene Datenschutzerklärung, einschließlich etwaiger Übermittlungen außerhalb der EU. Mitves speichert nur einen Hash des Links sowie die Zeitpunkte seiner Erstellung und seines letzten Abrufs durch einen Kalender. Wer den Link kennt, kann diese Einträge lesen; er sollte daher nicht weitergegeben werden. Der Nutzer kann ihn jederzeit ersetzen oder entfernen, und er wird entfernt, wenn das Konto deaktiviert oder gelöscht wird. Der Arbeitgeber entscheidet als Verantwortlicher, ob Beschäftigte Kalender-Links nutzen dürfen und auf welcher Rechtsgrundlage; für Gesundheitsdaten gelten die obigen Regeln zu besonderen Kategorien.

Eine aktuelle Liste der Unterauftragsverarbeiter mit ihren Standorten ist unter https://mitves.com/de/legal/subprocessors veröffentlicht und wird vor der Beauftragung eines neuen Unterauftragsverarbeiters aktualisiert. Kunden werden über Änderungen informiert und können aus berechtigten datenschutzrechtlichen Gründen widersprechen.

Alle Unterauftragsverarbeiter sind durch schriftliche Verträge gebunden, die Datenschutzpflichten auferlegen, die nicht weniger schützend sind als die unseres AVV.

• Verschlüsselung bei der Übertragung: alle Verbindungen zu Website, Dashboard, API und mobiler App verwenden TLS.

• Verschlüsselte Sicherungen: Datenbank- und Dateisicherungen werden im Ruhezustand verschlüsselt und getrennt von den Produktionssystemen gespeichert.

• Zugriffsbereiche: jeder Nutzer hat eine Rolle (Administrator, Manager, Beschäftigter), und Manager sehen nur die ihnen zugewiesenen Standorte und Teams. API-Token sind auf Bereiche beschränkt und können jederzeit widerrufen werden.

• Prüfprotokoll: beim Anlegen, Korrigieren oder Löschen eines Anwesenheitsdatensatzes wird gespeichert, wer dies getan hat, was sich geändert hat, wann und warum.

• Unveränderliche Rohhistorie: ursprüngliche Stempeldaten werden nie überschrieben; Korrekturen werden als separate, zugeordnete Einträge gespeichert.

• Geräteautorisierung: Beschäftigte können nur von Geräten stempeln, die ein Administrator autorisiert hat, und Geräte können gesperrt werden.

• Betriebliche Kontrollen: Serverzugriff nach dem Prinzip der geringsten Rechte, getrennte Staging- und Produktionsumgebungen, Aktualisierung von Abhängigkeiten und Überwachung.

Kein System ist vollständig sicher. Erlangen wir Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, benachrichtigen wir den betroffenen Kunden unverzüglich, damit er seine eigenen Meldepflichten nach Art. 33 und 34 DSGVO erfüllen kann.

Je nach anwendbarem Recht (DSGVO, KVKK oder anderes) stehen Ihnen die Betroffenenrechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77) zu.

Sind Sie Beschäftigter eines Mitves-Kunden, richten Sie Ihr Anliegen bitte an Ihren Arbeitgeber als Verantwortlichen. Mitves unterstützt Arbeitgeber bei der Beantwortung solcher Anfragen über die Export-, Korrektur- und Löschfunktionen des Dienstes.

Sind Sie Website-Besucher oder Interessent, können Sie Mitves direkt unter [email protected] kontaktieren. Wir können Sie vor der Bearbeitung einer Anfrage um einen Identitätsnachweis bitten und antworten innerhalb der gesetzlich vorgesehenen Frist.

Beruht die Verarbeitung auf einer Einwilligung, können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Kundendaten werden in der EU gespeichert und verarbeitet. Ist ein Kunde außerhalb der EU niedergelassen (zum Beispiel in der Türkei), kann das Recht des Kunden das Hosting in der EU als internationale Übermittlung behandeln. In diesem Fall ist der Kunde als Verantwortlicher dafür verantwortlich, einen geeigneten rechtlichen Mechanismus sicherzustellen (für die Türkei der Standardvertrag nach Art. 9 KVKK, der der Datenschutzbehörde innerhalb von fünf Werktagen nach Unterzeichnung angezeigt wird, nicht die Einwilligung der betroffenen Person); Mitves unterzeichnet ihn mit dem Kunden und unterstützt dies über den AVV.

Cloudflare und Google (Firebase) können begrenzte technische Daten in den Vereinigten Staaten verarbeiten. Diese Übermittlungen stützen sich auf das EU-US Data Privacy Framework, nach dem beide zertifiziert sind, hilfsweise auf die EU-Standardvertragsklauseln. SMS und E-Mails des Dienstes werden über Amazon Web Services in der EU-Region Frankfurt versendet.

Mitves übermittelt personenbezogene Daten nicht zu eigenen Zwecken in ein Drittland.

Wir können diese Erklärung aktualisieren, wenn sich der Dienst, unsere Unterauftragsverarbeiter oder die Rechtslage ändern. Das Datum der aktuellen Fassung wird oben auf der Seite angezeigt. Wesentliche Änderungen werden Kunden per E-Mail oder im Dashboard mitgeteilt.

Kontakt des Verantwortlichen: Astalyne Studios, Inhaber Oguzhan Günel, Günzburger Str. 37, 89340 Leipheim, Deutschland, E-Mail [email protected].

Wird ein Datenschutzbeauftragter oder Vertreter benannt, werden dessen Kontaktdaten hier veröffentlicht.