Was mit den Daten Ihres Teams passiert

Server, Datenbank, Dateiablage und Sicherungskopien laufen ausschließlich in Rechenzentren in der EU. Eine Verarbeitung außerhalb der EU findet nicht statt.

• Der Hosting-Anbieter wird mit Firma, Sitz und Standort des Rechenzentrums in Anlage 2 des Auftragsverarbeitungsvertrags genannt, sobald das Produktivsystem in Betrieb geht — vorher steht dort ausdrücklich eine offene Stelle statt eines Versprechens.
• Zertifizierung nach ISO 27001 und physische Zutrittskontrolle sind Anforderungen an diesen Anbieter.
• Administrativer Zugang nur über persönliche Konten mit SSH-Schlüsseln; kein gemeinsam genutztes Konto.

Unterwegs und im Ruhezustand. Zugangsdaten liegen außerhalb des Quellcodes, Anmeldecodes nur als gesalzener Hash.

• Übertragung ausschließlich über TLS 1.2 oder höher.
• Die Datenbank liegt auf einem mit LUKS verschlüsselten Datenträger (dm-crypt, AES-XTS).
• Dokumente, Exporte und Sicherungskopien liegen serverseitig verschlüsselt im Object Storage (SSE).

Im Aufkleber steckt ein NTAG 424 DNA. Er speichert keine Daten über Ihre Mitarbeiter, sondern rechnet bei jeder Berührung.

• Bei jeder Berührung erzeugt der Chip aus seinem geheimen Schlüssel, seiner Seriennummer und einem internen Zähler eine neue Prüfsumme (SUN/CMAC) und hängt sie an die Adresse an.
• Der Zähler zählt nur nach oben. Eine mitgeschnittene Berührung ein zweites Mal einzuspielen wird abgelehnt, weil ihr Zählerstand schon verbraucht ist.
• Die Schlüssel verlassen den Chip nie und liegen nie am Handy: Prüfen kann nur der Server, der den Schlüssel des jeweiligen Chips kennt.
• Eine Kopie des Aufklebers hätte dieselbe Adresse, aber keinen gültigen Schlüssel — sie wird mit «bad_cmac» abgewiesen.
• Zusätzlich signiert das Handy jede Buchung mit einem eigenen Schlüsselpaar, und pro Person ist genau ein Gerät gebunden.

NymTime speichert keine Koordinaten und keine Wege — weder von der Anwesenheitsprüfung noch sonst.

• Gespeichert wird nur, ob das Handy während der Schicht «in der Zone» oder «außerhalb» war, mit Zeitpunkt und Genauigkeit in Metern.
• Geprüft wird ausschließlich während der Schicht, nie davor oder danach.
• Die Prüfung läuft nur für Mitarbeiter, für die eine Rechtsgrundlage hinterlegt ist: Betriebsvereinbarung nach § 96 Abs 1 Z 3 ArbVG oder schriftliche, widerrufbare Zustimmung nach § 10 AVRAG.
• Roh-Ereignisse der Anwesenheit werden nach drei Monaten verdichtet.

Wer was sieht, entscheidet Ihr Betrieb. Wir sehen im Regelbetrieb nichts.

• Rollen- und rechtebasiertes Berechtigungssystem: Manager sind auf ihre Standorte beschränkt, Lohn- und Personalkostendaten sehen nur die Geschäftsführung.
• Anmeldung im Back Office mit E-Mail-Adresse und Passwort. Das Passwort wird nie im Klartext gespeichert, sondern als scrypt-Hash mit eigenem Salt; nach 10 Fehlversuchen sperrt der Zugang vorübergehend, Anfragen je Adresse und IP-Adresse sind begrenzt.
• Optional für den ganzen Betrieb: Zwei-Faktor-Anmeldung mit einem Zeitcode aus der Authenticator-App (TOTP). Keine Anmeldung per SMS — eine Telefonnummer ist für den Zugang nicht nötig.
• Kein Zugriff von NymTime auf Kundendaten im Regelbetrieb. Support-Zugriff nur nach Freischaltung durch Sie, mit Umfang, Dauer und jederzeitigem Widerruf.
• Jede sicherheitsrelevante Aktion steht im Protokoll: wer, was, wann, vorher und nachher. Das Protokoll lässt sich nur ergänzen — Ändern und Löschen verhindert eine Datenbankregel.

Fristen je Datenart, einstellbar — aber nie unter das gesetzliche Minimum.

• Arbeitszeitaufzeichnungen 84 Monate (Minimum 12 Monate nach § 26 AZG, § 132 BAO), Lohndokumente 84 Monate.
• Roh-Ereignisse der Anwesenheit 3 Monate, Meldungen 12 Monate, Benachrichtigungen 6 Monate.
• Ein täglicher Lauf löscht und anonymisiert automatisch und schreibt mit, was er getan hat.
• Gelöscht wird mit Zeitstempel (Soft Delete); archivierte Profile werden nach Ablauf anonymisiert.

Ihr Betrieb ist Verantwortlicher, NymTime ist Auftragsverarbeiter. Der Vertrag dazu gehört zum Kauf und ist jederzeit lesbar.

• Auftragsverarbeitungsvertrag nach Art. 28 Abs 3 DSGVO mit Datenkategorien (Anlage 1), Sub-Auftragsverarbeitern (Anlage 2) und technisch-organisatorischen Maßnahmen (Anlage 3).
• Vorlagen für Betriebsvereinbarung, Zustimmung nach § 10 AVRAG und Datenschutz-Folgenabschätzung bekommen Sie auf Anfrage per E-Mail.
• Meldung von Datenschutzverletzungen an Sie binnen 48 Stunden; Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs 2 DSGVO liegt vor.

Kürzer als die Liste dessen, was wir tun — und mindestens so wichtig.

• Keine Cookies, kein Analytics, keine Tracker, kein Content-Delivery-Netzwerk. Die Schriften liegen auf unserem eigenen Server.
• Keine Weitergabe oder Verkauf von Daten, keine Werbung, kein Profiling.
• Kein Training von KI-Modellen mit Ihren Daten.
• Keine Koordinaten, keine Bewegungsprofile, keine Fotos, keine Tonaufnahmen.
• Keine Diagnosen im Krankenstand — nur der Zeitraum und der Status.