Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO ist LazyHead e.U., Inhaber Andrii Snikhovskyi, Morizgasse 2/2/14, 1060 Wien, Österreich, E-Mail: office@nymtime.com.

Es gelten die Datenschutz-Grundverordnung (DSGVO) und ergänzend das österreichische Datenschutzgesetz (DSG), insbesondere § 1 DSG (Grundrecht auf Geheimhaltung personenbezogener Daten, Verfassungsbestimmung) und § 24 DSG (Beschwerde an die Datenschutzbehörde). Für die Verarbeitung im Beschäftigungskontext gelten zusätzlich Art. 88 DSGVO sowie die österreichischen arbeitsrechtlichen Bestimmungen, insbesondere § 96 Abs 1 Z 3 und § 96a Arbeitsverfassungsgesetz (ArbVG) und § 10 Arbeitsvertragsrechts-Anpassungsgesetz (AVRAG).

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 Abs 1 DSGVO liegen nicht vor: Wir sind keine Behörde, unsere Kerntätigkeit besteht nicht in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen, und wir verarbeiten keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO in großem Umfang. Datenschutzanfragen richten Sie an office@nymtime.com.

2. Überblick: drei Gruppen betroffener Personen

Wir unterscheiden drei Gruppen, für die unterschiedliche Regeln gelten:

• Besucher der Website nymtime.com (Abschnitte 3 bis 5): technische Zugriffsdaten und Kontaktanfragen.
• Kunden und Interessenten (Abschnitte 6 und 7): Vertragsschluss, Zahlung über Stripe, Kundenkonto im Back Office.
• Mitarbeiter unserer Kunden (Abschnitt 8): Dienstplan, Arbeitszeit und Anwesenheit — hier ist der Arbeitgeber Verantwortlicher und LazyHead e.U. Auftragsverarbeiter nach Art. 28 DSGVO.

3. Besuch der Website (Server-Protokolle)

Beim Aufruf einer Seite verarbeitet der Webserver technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Adresse, übertragene Datenmenge, HTTP-Statuscode, Browsertyp und Betriebssystem sowie die verweisende Seite (Referrer).

Zweck: Auslieferung der Seite, Abwehr von Angriffen, Fehleranalyse. Rechtsgrundlage: Art. 6 Abs 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website. Speicherdauer: 14 Tage, danach werden die Protokolle automatisch gelöscht. Eine Zusammenführung mit anderen Daten oder eine Auswertung zu Marketingzwecken findet nicht statt.

Hosting: Die Website und der Dienst NymTime werden in einem Rechenzentrum in der EU betrieben (Anbieter wird vor Inbetriebnahme hier ergänzt). Mit dem Hosting-Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; eine Verarbeitung außerhalb der EU findet beim Hosting nicht statt.

Schriften werden von unserem eigenen Server ausgeliefert. Es wird keine Verbindung zu Google Fonts oder anderen Schriftanbietern aufgebaut; es werden keine Skripte, Bilder oder Inhalte von Drittanbietern nachgeladen.

4. Cookies und ähnliche Technologien (§ 165 Abs 3 TKG 2021)

Website nymtime.com: Diese Website setzt keine Cookies und verwendet keinen lokalen Speicher (Local Storage, Session Storage) zur Wiedererkennung. Es sind keine Analyse-, Statistik- oder Werbedienste eingebunden. Die Spracheinstellung ergibt sich ausschließlich aus der aufgerufenen Adresse (/, /en, /uk) und wird nicht gespeichert.

Back Office (Anwendung für Kunden): Nach dem Login setzt das Back Office genau ein Cookie mit dem Namen nt_session. Es enthält eine zufällige Sitzungskennung, ist technisch notwendig für den Betrieb des Kundenkontos (Anmeldung, Zugriffsschutz) und läuft nach 14 Tagen oder mit dem Abmelden ab. Für technisch notwendige Cookies ist nach § 165 Abs 3 TKG 2021 keine Einwilligung erforderlich; Rechtsgrundlage der damit verbundenen Datenverarbeitung ist Art. 6 Abs 1 lit. b DSGVO (Vertragserfüllung).

Zahlung: Die Zahlung erfolgt über Stripe Checkout auf der Domain stripe.com. Die dort gesetzten Cookies unterliegen der Verantwortung und der Cookie-Richtlinie von Stripe (https://stripe.com/de-at/legal/cookies-policy); auf unserer Website wird kein Stripe-Skript geladen.

Ein Cookie-Banner ist deshalb nicht erforderlich. Sollten wir künftig nicht notwendige Cookies oder Dienste Dritter einsetzen, holen wir zuvor eine Einwilligung nach § 165 Abs 3 TKG 2021 und Art. 6 Abs 1 lit. a DSGVO ein und aktualisieren diese Erklärung.

5. Kontaktformular und E-Mail

Wenn Sie das Kontaktformular nutzen oder uns eine E-Mail schreiben, verarbeiten wir Name, E-Mail-Adresse, optional Betrieb und Anzahl der Standorte, das gewählte Anliegen und den Inhalt Ihrer Nachricht. Zweck: Beantwortung der Anfrage, Zusendung angeforderter Vorlagen (AVV, Betriebsvereinbarung, Zustimmungserklärung, DSFA), Vorbereitung eines Vertragsschlusses.

Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage) sowie für die Kontaktaufnahme per E-Mail Ihre im Formular erteilte Einwilligung nach Art. 6 Abs 1 lit. a DSGVO, die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

Speicherdauer: bis zur abschließenden Bearbeitung der Anfrage, längstens 6 Monate nach der letzten Nachricht; kommt es zu einem Vertragsschluss, gelten die Fristen des Vertragsverhältnisses (Abschnitt 10). Empfänger: unser E-Mail-Anbieter mit Verarbeitung in der EU als Auftragsverarbeiter (Anbieter wird vor Inbetriebnahme hier ergänzt).

Support-Anfragen von Kunden (support@nymtime.com, AGB § 10 Abs 5): Wir verarbeiten Name, E-Mail-Adresse, Betrieb, den Inhalt der Anfrage und die dazu geführte Korrespondenz, um die Anfrage zu beantworten und Störungen zu beheben. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) sowie Art. 6 Abs 1 lit. f DSGVO — unser berechtigtes Interesse, wiederkehrende Störungen nachvollziehen und die Qualität des Supports nachweisen zu können. Speicherdauer: 12 Monate nach Abschluss der Anfrage. Ein Zugriff auf das Kundenkonto erfolgt dabei nur nach ausdrücklicher Freischaltung durch den Kunden (Abschnitt 7).

6. Kauf und Kaufabwicklung (Stripe)

Beim Kauf über nymtime.com/kaufen erfassen wir die Daten Ihres Unternehmens (Firma, Straße, Postleitzahl und Ort, Land, optional UID-Nummer), die Zahl der Standorte, die Zahl zusätzlich bestellter NFC-Aufkleber, Vor- und Nachname und E-Mail-Adresse der Ansprechperson, optional eine Telefonnummer für Rückfragen zur Bestellung und zur Zustellung, optional eine abweichende Lieferadresse und den Zeitpunkt Ihrer Zustimmung zu den Allgemeinen Geschäftsbedingungen und zum Auftragsverarbeitungsvertrag. Zweck: Vertragsschluss, Einrichtung des Kundenkontos, Rechnungslegung, Versand der NFC-Aufkleber. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs 1 lit. c DSGVO in Verbindung mit § 11 UStG und § 132 BAO (Rechnungs- und Aufbewahrungspflichten). Für die Daten der Ansprechperson eines Unternehmenskunden ist die Rechtsgrundlage Art. 6 Abs 1 lit. f DSGVO — unser berechtigtes Interesse an der Abwicklung des Vertrags mit dem Unternehmen. Bei der Bestätigung von AGB und Auftragsverarbeitungsvertrag zeichnen wir Zeitpunkt, Version und Prüfsumme der Dokumente, die IP-Adresse und den bestätigenden Benutzer auf (Nachweis nach Art. 5 Abs 2 DSGVO; Rechtsgrundlage Art. 6 Abs 1 lit. f).

Versand der NFC-Aufkleber: Für die Zustellung der im Preis enthaltenen und der nachbestellten Aufkleber übermitteln wir Firma, Name der Ansprechperson und die Geschäfts- oder Lieferadresse — bei Kurierzustellung zusätzlich die Telefonnummer, sofern angegeben — an die Österreichische Post AG oder einen Kurierdienst. Der Zustelldienst ist für die Zustellung eigenständig Verantwortlicher; Mitarbeiterdaten werden ihm nicht übermittelt. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO. Die Versanddaten bewahren wir bis zum Ablauf der Garantiefrist für die Aufkleber (12 Monate, AGB § 3 Abs 3; die gesetzliche Gewährleistung nach den §§ 922 ff ABGB bleibt davon unberührt) und als Teil der Rechnung nach § 132 BAO auf.

Prüfung der UID-Nummer (VIES): Geben Sie beim Kauf oder später im Back Office eine UID-Nummer an, übermitteln wir diese Nummer zusammen mit dem Ländercode an das Bestätigungsverfahren der Europäischen Kommission (VIES, MwSt-Informationsaustauschsystem) und speichern das Ergebnis, den Zeitpunkt und die Bestätigungsnummer. Die Prüfung wiederholen wir vierteljährlich. Zweck: korrekte Rechnungslegung, insbesondere die Entscheidung über den Übergang der Steuerschuld (Reverse Charge). Empfänger: Europäische Kommission, Rue de la Loi 200, 1049 Brüssel, Belgien. Rechtsgrundlage: Art. 6 Abs 1 lit. c DSGVO in Verbindung mit § 11 Abs 1a und Art. 21 Abs 3 UStG 1994 (Rechnungs- und Meldepflichten). Eine UID-Nummer ist eine Unternehmenskennung; personenbezogen ist sie nur, wenn sie einem Einzelunternehmen zugeordnet ist.

Zahlungsdienstleister: Die Zahlung (Kreditkarte oder SEPA-Lastschrift) wird über Stripe Checkout abgewickelt. Verantwortlich für die Zahlungsabwicklung ist Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland. Kartennummern, Bankverbindungen und Sicherheitsmerkmale werden ausschließlich von Stripe erhoben und gespeichert; LazyHead e.U. erhält sie zu keinem Zeitpunkt. Wir erhalten von Stripe eine Kunden- und Abonnementkennung, den Zahlungsstatus, die letzten vier Ziffern des Zahlungsmittels und die Rechnungsdaten.

Datenübermittlung in Drittländer: Stripe Payments Europe, Ltd. kann Daten an Stripe, Inc. (USA) und weitere Konzerngesellschaften übermitteln. Grundlage sind der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, dem Stripe, Inc. unterliegt, sowie die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs 2 lit. c DSGVO. Einzelheiten: https://stripe.com/de-at/privacy.

Rechnungen und Zahlungsbelege bewahren wir nach § 132 BAO sieben Jahre ab Ende des Kalenderjahres auf, in dem sie ausgestellt wurden.

7. Kundenkonto und Back Office

Adresssuche: Tippt eine Benutzerin oder ein Benutzer im Back Office eine Standortadresse, senden wir den eingegebenen Text an den Suchdienst Photon der Komoot GmbH, Hauptstraße 35, 12159 Berlin, Deutschland (Server in der EU), um Adressvorschläge zu erhalten; erreicht der Dienst uns nicht, fragen wir ersatzweise Nominatim der OpenStreetMap Foundation ab. Die Anfrage stellt unser Server, nicht der Browser — die IP-Adresse der Benutzerin oder des Benutzers wird nicht übermittelt; den Suchtext protokollieren wir nicht. Zweck: Erfassung der Standortadresse. Rechtsgrundlage: Art. 6 Abs 1 lit. f DSGVO (berechtigtes Interesse an einer fehlerfreien Adresserfassung). Kartendaten: © OpenStreetMap-Mitwirkende (ODbL 1.0).

Für jede Benutzerin und jeden Benutzer des Back Office (Geschäftsführung, Manager, Steuerberatung) verarbeiten wir Name, E-Mail-Adresse, optional eine Telefonnummer, Rolle und Standortzuordnung, Zeitpunkt der Anmeldungen, Sitzungskennung (Cookie nt_session, Abschnitt 4) sowie ein Protokoll sicherheitsrelevanter Aktionen (Audit-Protokoll). Zweck: Bereitstellung des Dienstes, Zugriffsschutz, Nachvollziehbarkeit von Änderungen. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO; für das Audit-Protokoll zusätzlich Art. 6 Abs 1 lit. f DSGVO (Sicherheit, Nachweis nach Art. 5 Abs 2 DSGVO). Für diese Benutzerdaten sind wir selbst Verantwortlicher; sie sind nicht Gegenstand des Auftragsverarbeitungsvertrags, der nur die Mitarbeiterdaten des Kunden betrifft (Abschnitt 8).

Anmeldung am Back Office: Benutzerkennung ist die E-Mail-Adresse der Benutzerin oder des Benutzers, dazu kommt ein selbst gewähltes Passwort. Das Passwort legt die Benutzerin oder der Benutzer über einen einmaligen Link fest, den wir an diese Adresse senden und der 24 Stunden gültig ist; ein vergessenes Passwort wird über einen einmaligen Link zurückgesetzt, der eine Stunde gültig ist. Eine Änderung der hinterlegten E-Mail-Adresse bestätigen wir mit einem Code an die neue Adresse. Passwörter speichern wir ausschließlich als Hashwert (scrypt mit zufälligem Salz) — im Klartext sind sie uns nicht bekannt und können uns auch nicht mitgeteilt werden. Nach 10 aufeinanderfolgenden Fehlversuchen wird der Zugang 15 Minuten lang gesperrt; Anmeldungen, Fehlversuche, Passwortänderungen und Sperren werden protokolliert. Zusätzlich kann der Betrieb eine Zwei-Faktor-Authentifizierung aktivieren: ein zeitbasierter Einmalcode aus einer Authenticator-App (TOTP) samt Wiederherstellungscodes; gespeichert werden dabei nur das verschlüsselte Geheimnis der App und die Hashwerte der Wiederherstellungscodes. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO für die Anmeldung selbst, Art. 6 Abs 1 lit. f DSGVO für Sperre, Zwei-Faktor-Authentifizierung und Sicherheitsprotokoll (unser und Ihr berechtigtes Interesse an der Abwehr unbefugter Zugriffe). Die Mitarbeiter-App verwendet weiterhin die Aktivierung per Code an die hinterlegte E-Mail-Adresse und die Bindung genau eines Geräts (Abschnitt 8).

E-Mails aus dem System (Einladung ins Back Office, Benachrichtigungen, Rechnungen) versenden wir über einen E-Mail-Anbieter mit Verarbeitung in der EU als Auftragsverarbeiter (Anbieter wird vor Inbetriebnahme hier ergänzt).

Zugriff des Plattformbetreibers: Mitarbeiter von LazyHead e.U. haben keinen Zugriff auf die im Kundenkonto gespeicherten Mitarbeiterdaten. Ein Support-Zugriff ist nur möglich, wenn der Kunde ihn im Back Office unter Einstellungen → Abo → Support-Zugriff ausdrücklich freischaltet — mit Umfang, Dauer und jederzeitigem Widerruf; jeder Zugriff wird im Audit-Protokoll des Kunden festgehalten.

8. Mitarbeiterdaten unserer Kunden (Auftragsverarbeitung, Art. 28 DSGVO)

Verantwortlicher für die Daten der Mitarbeiter ist der jeweilige Arbeitgeber, der NymTime einsetzt. LazyHead e.U. verarbeitet diese Daten ausschließlich im Auftrag und nach Weisung des Arbeitgebers auf Grundlage des Auftragsverarbeitungsvertrags (nymtime.com/avv). Die Information der Mitarbeiter nach Art. 13 DSGVO obliegt dem Arbeitgeber; wir stellen dafür eine Vorlage bereit, die in der Mitarbeiter-App beim ersten Start angezeigt wird.

Verarbeitete Datenkategorien: Stammdaten (Name, Kontaktdaten, Position, Standort, Personalnummer, Beschäftigungsart), Dienstplan (geplante Schichten, Rollen), Arbeitszeitaufzeichnungen (tatsächlicher Beginn, Ende, Ruhepausen und kurze Pausen, Korrekturen mit Begründung), Zeitkonto (Soll-Ist-Saldo im Durchrechnungszeitraum des Betriebs), Abwesenheiten (Urlaub, Krankenstand, Zeitausgleich, Pflegefreistellung und weitere Arten), Anwesenheitsintervalle am Standort, Gerätedaten (Gerätekennung, öffentlicher Schlüssel, Modell, Status), Meldungen des Mitarbeiters an den Betrieb, Verfügbarkeitsangaben, Angebote und Annahmen beim Schichttausch, Lesebestätigungen zu Mitteilungen des Betriebs (Aushang) sowie — nur wenn der Kunde diese Funktionen nutzt — Personaldokumente einschließlich vom Mitarbeiter hochgeladener Nachweise, Lohndokumente und interne Personalkostenangaben.

Ruhepausen (§ 11 AZG): Die Pausen werden nach der vom Betrieb gewählten Regel erfasst — automatisch abgezogen, vom Manager in der Schicht zugeteilt oder vom Mitarbeiter mit einer Taste erfasst. Wurde bei einer Schicht von mehr als sechs Stunden keine Pause erfasst, zieht NymTime die gesetzliche Mindestruhepause ab, damit die Aufzeichnung nach § 26 AZG nicht unrichtig bleibt, und zeigt dem Manager den Hinweis „Pause nicht erfasst“. Dieser Hinweis dient ausschließlich der Korrektur der Aufzeichnung; er ist keine Sanktion, keine Leistungsbewertung und keine Grundlage für eine Verwarnung. Die Korrektur nimmt eine Person im Betrieb mit Begründung vor; der Mitarbeiter sieht Korrekturen in seiner App.

Verfügbarkeiten: Mitarbeiter können angeben, an welchen Tagen sie verfügbar, nur ungern oder nicht verfügbar sind. Die Angabe ist freiwillig, dient ausschließlich der Planung und ist weder eine Arbeitsbereitschaft noch eine Rufbereitschaft im Sinne des Arbeitszeitgesetzes; aus ihr entsteht keine Verpflichtung zur Arbeitsaufnahme und kein Entgeltanspruch. Die Planungshoheit und die Verantwortung für den Dienstplan bleiben beim Arbeitgeber. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses).

Schichttausch: Bietet ein Mitarbeiter eine Schicht zum Tausch an, sehen die Kolleginnen und Kollegen desselben Standorts mit derselben Rolle den Namen, die Rolle beziehungsweise Abteilung und die Zeiten der betroffenen Schicht — nicht mehr. Wer den Tausch annimmt, wird dem anbietenden Mitarbeiter und der Führungskraft angezeigt. Der Tausch wird wirksam, wenn die Führungskraft ihn genehmigt oder wenn der Betrieb die automatische Genehmigung für gleichartige Schichten eingestellt hat. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO; Anwesenheits- oder Leistungsdaten werden dabei nicht offengelegt.

Kontaktdaten für Kolleginnen und Kollegen (Kontakte): Telefonnummer und E-Mail-Adresse eines Mitarbeiters sind für die übrigen Mitarbeiter des Standorts nur sichtbar, wenn der Mitarbeiter dies in den Einstellungen der App selbst einschaltet. Die Voreinstellung ist „aus“. Rechtsgrundlage: die Einwilligung nach Art. 6 Abs 1 lit. a DSGVO, die jederzeit mit Wirkung für die Zukunft widerrufen werden kann (Art. 7 Abs 3 DSGVO) — mit dem Widerruf sind die Kontaktdaten sofort nicht mehr sichtbar. Der Widerruf hat keine Nachteile für das Arbeitsverhältnis; ohne Freigabe sind für Kolleginnen und Kollegen nur Name, Rolle beziehungsweise Abteilung und Initialen sichtbar. Führungskräfte sehen die dienstlichen Kontaktdaten unabhängig davon auf Grundlage des Art. 6 Abs 1 lit. b und lit. f DSGVO.

Aushang (Mitteilungen des Betriebs): Der Betrieb kann Mitteilungen an einen Standort oder an alle Mitarbeiter veröffentlichen. NymTime speichert, wer eine Mitteilung als gelesen markiert hat, damit der Betrieb die Kenntnisnahme wichtiger betrieblicher Informationen nachweisen kann. Rechtsgrundlage: Art. 6 Abs 1 lit. b und lit. f DSGVO. Die Lesebestätigung ist kein Instrument zur Kontrolle der Arbeitsleistung; eine darüber hinausgehende Auswertung des Verhaltens findet nicht statt.

Dokumente des Mitarbeiters: Der Betrieb kann Dokumente ablegen und für den betroffenen Mitarbeiter in der App sichtbar schalten (etwa Dienstzettel nach § 2 AVRAG, Lohnzettel und Bestätigungen); der Mitarbeiter kann selbst Dokumente hochladen (etwa eine Krankenstandsbestätigung oder verlangte Nachweise) und der Betrieb kann ein Dokument anfordern. Zu Dokumenten kann ein Ablaufdatum hinterlegt werden (etwa Aufenthaltstitel), zu dem NymTime rechtzeitig erinnert. Eine Krankenstandsbestätigung ist ein Gesundheitsdatum im Sinne des Art. 9 DSGVO; sie darf nur abgelegt werden, soweit der Arbeitgeber sie nach § 4 Entgeltfortzahlungsgesetz (EFZG), § 8 Abs 8 Angestelltengesetz (AngG) oder § 17a Abs 7 Berufsausbildungsgesetz (BAG) verlangen darf — Rechtsgrundlage dafür ist Art. 9 Abs 2 lit. b DSGVO in Verbindung mit diesen Bestimmungen. Diagnosen und Krankheitsursachen dürfen nicht erfasst werden. Der Zugriff ist auf die dafür zuständigen Personen im Betrieb und den betroffenen Mitarbeiter beschränkt; die Aufbewahrung richtet sich nach der Datenart „Mitarbeiterdokumente“ in den Einstellungen des Kunden.

Umsatzangaben: Für Kennzahlen wie den Personalkostenanteil kann der Betrieb Tagesumsätze je Standort eintragen oder als Datei importieren. Diese Angaben beziehen sich auf den Standort und nicht auf Personen; sie sind für sich keine personenbezogenen Daten. Personenbezug entsteht erst durch die Gegenüberstellung mit Personalkosten, die ausschließlich der Geschäftsführung des Kunden zugänglich ist.

Keine Standortkoordinaten: NymTime speichert keine GPS-Koordinaten, keine Wege und keine Bewegungsprofile. Bei der NFC-Stempelung am Aufkleber, beim Scannen des QR-Codes oder beim geoverifizierten Stempeln prüft das Gerät des Mitarbeiters lediglich, ob es sich innerhalb des vom Arbeitgeber festgelegten Standortbereichs befindet; gespeichert wird nur das Ergebnis „innerhalb“, „außerhalb“ oder „Standort nicht verfügbar“ mit Zeitpunkt und Genauigkeit in Metern. Außerhalb einer Schicht findet keine Prüfung statt.

Anwesenheitsprüfung (Geofence) nur mit Rechtsgrundlage: Die Prüfung der Anwesenheit am Standort ist eine Kontrollmaßnahme, die die Menschenwürde berührt. Sie ist für einen Mitarbeiter erst aktiv, wenn der Arbeitgeber im Back Office eine Betriebsvereinbarung nach § 96 Abs 1 Z 3 ArbVG (in Betrieben mit Betriebsrat) oder die schriftliche Zustimmung des Mitarbeiters nach § 10 AVRAG (in Betrieben ohne Betriebsrat) hinterlegt hat; Art. 88 DSGVO und § 96a ArbVG bleiben unberührt. Ohne diese Grundlage werden keine Anwesenheitsintervalle erzeugt.

Rechtsgrundlagen des Arbeitgebers: Art. 6 Abs 1 lit. c DSGVO in Verbindung mit § 26 AZG (gesetzliche Pflicht zur Aufzeichnung der Arbeitszeit), Art. 6 Abs 1 lit. b DSGVO (Arbeitsvertrag, Dienstplanung), Art. 6 Abs 1 lit. f DSGVO (Systemsicherheit, ein Gerät pro Person) sowie die genannten arbeitsrechtlichen Grundlagen für die Anwesenheitsprüfung.

Speicherdauer: Der Arbeitgeber legt die Aufbewahrungsfristen je Datenart im Back Office fest; NymTime erzwingt die gesetzlichen Mindestwerte. Standardwerte für Österreich: Arbeitszeitaufzeichnungen 7 Jahre (Mindestwert 1 Jahr nach § 26 AZG; 7 Jahre nach § 132 BAO, wenn sie Grundlage des Lohnkontos sind), Roh-Anwesenheitsereignisse 3 Monate (danach bleiben nur die Zeiträume), Audit-Protokoll 7 Jahre, Dokumente 7 Jahre, Benachrichtigungen 6 Monate. Ein täglicher Lauf löscht oder anonymisiert abgelaufene Daten und protokolliert dies.

Rechte der Mitarbeiter: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch machen Mitarbeiter gegenüber ihrem Arbeitgeber geltend. In der Mitarbeiter-App können sie ihre Zeitaufzeichnungen jederzeit einsehen und monatlich exportieren (§ 26 Abs 8 AZG). Anfragen, die bei uns eingehen, leiten wir unverzüglich an den Arbeitgeber weiter und unterstützen ihn bei der Beantwortung.

9. Empfänger und Übermittlung in Drittländer

Personenbezogene Daten geben wir nur an folgende Empfänger weiter: den Hosting-Anbieter (Rechenzentrum in der EU, Auftragsverarbeiter), den E-Mail-Anbieter (Verarbeitung in der EU, Auftragsverarbeiter), Stripe Payments Europe, Ltd. (eigenständig Verantwortlicher für die Zahlungsabwicklung), die Österreichische Post AG oder einen Kurierdienst (Zustellung der NFC-Aufkleber, nur Versanddaten), die Europäische Kommission (Bestätigung der UID-Nummer im VIES, nur Ländercode und UID-Nummer — Abschnitt 6), die Komoot GmbH (Adresssuche Photon, nur der eingegebene Adresstext — Abschnitt 7) sowie Behörden und Gerichte, soweit eine gesetzliche Verpflichtung besteht. Die aktuelle Liste der Auftragsverarbeiter ist Anlage 2 des Auftragsverarbeitungsvertrags (nymtime.com/avv).

Eine Übermittlung in Drittländer außerhalb des Europäischen Wirtschaftsraums findet nur im Rahmen der Zahlungsabwicklung durch Stripe statt (Abschnitt 6). Die Daten des Dienstes NymTime selbst — Kundenkonten, Mitarbeiterdaten, Dokumente — werden ausschließlich in der EU gespeichert und verarbeitet.

10. Speicherdauer im Überblick

Soweit oben nicht anders angegeben, gelten folgende Fristen:

• Server-Protokolle der Website: 14 Tage.
• Kontaktanfragen: bis zur Erledigung, längstens 6 Monate nach der letzten Nachricht.
• Einmalige Links und Codes: Passwort festlegen 24 Stunden, Passwort zurücksetzen 1 Stunde, Bestätigung einer neuen E-Mail-Adresse und Aktivierung der Mitarbeiter-App je 15 Minuten — jeweils nur als Hashwert gespeichert und danach gelöscht.
• Support-Anfragen von Kunden: 12 Monate nach Abschluss der Anfrage.
• Vertrags- und Kundenkontodaten: Dauer des Vertrags; danach 30 Tage für den Datenexport durch den Kunden, anschließend Löschung, soweit keine Aufbewahrungspflicht besteht.
• Rechnungen, Zahlungsbelege, Zustimmungsnachweise (AGB, AVV): 7 Jahre nach § 132 BAO beziehungsweise für die Dauer der Verjährung von Ansprüchen.
• Mitarbeiterdaten unserer Kunden: nach den vom Kunden festgelegten Aufbewahrungsfristen innerhalb der gesetzlichen Mindestwerte (Abschnitt 8).
• Sicherungskopien: werden spätestens 35 Tage nach der Löschung der Primärdaten überschrieben.

11. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs 1 lit. f DSGVO beruhen (Art. 21), sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs 3). Wenden Sie sich dazu an office@nymtime.com oder — als Kunde — an support@nymtime.com; wir antworten ohne unangemessene Verzögerung, spätestens innerhalb eines Monats (Art. 12 Abs 3 DSGVO).

Sie haben außerdem das Recht auf Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO, § 24 DSG): Österreichische Datenschutzbehörde (DSB), Barichgasse 40–42, 1030 Wien, Telefon +43 1 52 152-0, E-Mail dsb@dsb.gv.at, www.dsb.gv.at. Der Rechtsweg gegen Entscheidungen der Datenschutzbehörde führt zum Bundesverwaltungsgericht (§ 27 DSG). Für uns als in Österreich niedergelassenen Verantwortlichen ist die österreichische Datenschutzbehörde zuständig. Betroffene Personen können ihre Beschwerde nach Art. 77 Abs 1 DSGVO aber auch bei der Aufsichtsbehörde ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes einbringen — Mitarbeiter eines Kunden in Deutschland also etwa bei der für ihr Bundesland zuständigen Landesdatenschutzbehörde.

Mitarbeiter unserer Kunden richten ihre Anfragen an ihren Arbeitgeber (Abschnitt 8); bei uns eingehende Anfragen leiten wir weiter.

12. Keine automatisierten Entscheidungen

Wir treffen keine automatisierten Entscheidungen im Einzelfall einschließlich Profiling im Sinne des Art. 22 DSGVO. Automatisch aus Dokumenten vorgeschlagene Felder werden in NymTime als solche gekennzeichnet und immer von einer Person geprüft; Genehmigungen von Abwesenheiten und Korrekturen von Arbeitszeiten trifft stets ein Mensch im Betrieb des Kunden.

13. Datensicherheit (Art. 32 DSGVO)

Alle Verbindungen sind mit TLS verschlüsselt. Passwörter des Back Office werden ausschließlich als Hashwert mit zufälligem Salz (scrypt) gespeichert, einmalige Links und Codes ebenso; nach 10 Fehlversuchen wird der Zugang 15 Minuten gesperrt, mit jeder Passwortänderung werden alle bestehenden Sitzungen beendet, und der Betrieb kann eine Zwei-Faktor-Authentifizierung (TOTP-App mit Wiederherstellungscodes) für alle Zugänge verlangen. Der Zugriff im Back Office ist rollen- und standortbezogen; jedes Mitarbeitergerät ist kryptografisch gebunden (ein aktives Gerät pro Person); NFC-Aufkleber werden mit dynamisch signierten Nachrichten gegen Kopieren geschützt; das Audit-Protokoll ist unveränderbar; die Datenbank liegt auf einem mit LUKS verschlüsselten Volume beim Hosting-Anbieter, Dokumente und Sicherungskopien serverseitig verschlüsselt im Object Storage (Verschlüsselung at rest), die Übertragung erfolgt ausschließlich über TLS; tägliche Sicherungskopien im EU-Rechenzentrum. Die vollständigen technischen und organisatorischen Maßnahmen sind Anlage 3 des Auftragsverarbeitungsvertrags.

14. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils unter nymtime.com/datenschutz veröffentlichte Fassung; das Datum der aktuellen Fassung steht am Seitenanfang. Kunden informieren wir über wesentliche Änderungen zusätzlich per E-Mail.