Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO ist LazyHead e.U., Inhaber Andrii Snikhovskyi, Morizgasse 2/2/14, 1060 Wien, Österreich, E-Mail: office@nymtime.com.

Es gelten die Datenschutz-Grundverordnung (DSGVO) und ergänzend das österreichische Datenschutzgesetz (DSG), insbesondere § 1 DSG (Grundrecht auf Geheimhaltung personenbezogener Daten, Verfassungsbestimmung) und § 24 DSG (Beschwerde an die Datenschutzbehörde). Für die Verarbeitung im Beschäftigungskontext gelten zusätzlich Art. 88 DSGVO sowie die österreichischen arbeitsrechtlichen Bestimmungen, insbesondere § 96 Abs 1 Z 3 und § 96a Arbeitsverfassungsgesetz (ArbVG) und § 10 Arbeitsvertragsrechts-Anpassungsgesetz (AVRAG).

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 Abs 1 DSGVO liegen nicht vor: Wir sind keine Behörde, unsere Kerntätigkeit besteht nicht in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen, und wir verarbeiten keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO in großem Umfang. Datenschutzanfragen richten Sie an office@nymtime.com.

2. Überblick: drei Gruppen betroffener Personen

Wir unterscheiden drei Gruppen, für die unterschiedliche Regeln gelten:

• Besucher der Website nymtime.com (Abschnitte 3 bis 5): technische Zugriffsdaten und Kontaktanfragen.
• Kunden und Interessenten (Abschnitte 6 und 7): Vertragsschluss, Zahlung über Stripe, Kundenkonto im Back Office.
• Mitarbeiter unserer Kunden (Abschnitt 8): Dienstplan, Arbeitszeit und Anwesenheit — hier ist der Arbeitgeber Verantwortlicher und LazyHead e.U. Auftragsverarbeiter nach Art. 28 DSGVO.

3. Besuch der Website (Server-Protokolle)

Beim Aufruf einer Seite verarbeitet der Webserver technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Adresse, übertragene Datenmenge, HTTP-Statuscode, Browsertyp und Betriebssystem sowie die verweisende Seite (Referrer).

Zweck: Auslieferung der Seite, Abwehr von Angriffen, Fehleranalyse. Rechtsgrundlage: Art. 6 Abs 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website und des Dienstes. Speicherdauer: Die Protokolle unserer eigenen Server (Schnittstelle des Dienstes und Webserver) enthalten IP-Adressen; sie werden nach Größe rotiert (höchstens fünf Dateien zu je 10 MB je Dienst), in der Regel nach wenigen Tagen überschrieben und spätestens nach 30 Tagen gelöscht. Eine Zusammenführung mit anderen Daten oder eine Auswertung zu Marketingzwecken findet nicht statt.

Hosting: Der Dienst NymTime (Anwendung, Datenbank, Dateiablage, Sicherungskopien) wird bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, im Rechenzentrum Falkenstein (Deutschland, Region fsn1) betrieben. Die Datenbank liegt auf mit LUKS verschlüsselten Datenträgern; Sicherungskopien der Datenbank werden mit pgBackRest verschlüsselt (AES-256) im Object Storage von Hetzner in derselben Region abgelegt. Die Website nymtime.com wird von Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München / Cloudflare, Inc., San Francisco, USA) auf Cloudflare Workers gehostet und ausgeliefert. Außerdem leitet Cloudflare den gesamten Datenverkehr zu den Adressen api.nymtime.com, app.nymtime.com und admin.nymtime.com an unsere Server weiter (Reverse Proxy mit Schutz vor Überlastungsangriffen): Die TLS-Verschlüsselung endet bei Cloudflare, die Verbindung von Cloudflare zu unseren Servern ist erneut mit TLS verschlüsselt. Cloudflare verarbeitet damit technisch alle Daten, die zwischen Browser oder App und dem Dienst übertragen werden — auch Daten der Mitarbeiter unserer Kunden —, speichert aber keine Inhalte des Dienstes; zwischengespeichert werden nur statische Dateien der Website und der Anwendungen (Skripte, Schriften, Bilder), dazu führt Cloudflare Verbindungsprotokolle zur Abwehr von Angriffen. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission aus dem Auftragsverarbeitungsvertrag von Cloudflare (Art. 46 Abs 2 lit. c DSGVO). Mit beiden Anbietern besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Schriften werden als Teil der Website selbst ausgeliefert. Es wird keine Verbindung zu Google Fonts oder anderen Schriftanbietern aufgebaut; es werden keine Skripte, Bilder oder Inhalte von Drittanbietern nachgeladen.

4. Cookies und ähnliche Technologien (§ 165 Abs 3 TKG 2021)

Website nymtime.com: Diese Website setzt keine Cookies und verwendet keinen lokalen Speicher (Local Storage, Session Storage) zur Wiedererkennung. Es sind keine Analyse-, Statistik- oder Werbedienste eingebunden. Die Spracheinstellung ergibt sich ausschließlich aus der aufgerufenen Adresse (/, /en, /uk) und wird nicht gespeichert.

Back Office (Anwendung für Kunden unter app.nymtime.com): Das Back Office setzt folgende Cookies: nt_session — zufällige, signierte Sitzungskennung nach dem Login, nur für den Server lesbar (HttpOnly), läuft nach 14 Tagen oder mit dem Abmelden ab; nt_role — Rolle der angemeldeten Person, damit die passende Oberfläche angezeigt wird; nt_locale — gewählte Sprache; nt_location — zuletzt gewählter Standort. nt_role, nt_locale und nt_location enthalten keine Namen oder Kontaktdaten und laufen nach 12 Monaten ab. Zusätzlich speichert das Back Office im lokalen Speicher des Browsers (Local Storage) Bedienungseinstellungen: die gewählte Ansicht des Dienstplans je Standort und ob der Einrichtungshinweis ausgeblendet wurde. In der Betreiberkonsole admin.nymtime.com, die nur Mitarbeitern von LazyHead e.U. offensteht, heißt das Sitzungs-Cookie nt_platform. Diese Cookies und Einträge sind für den ausdrücklich gewünschten Dienst unbedingt erforderlich oder speichern nur Einstellungen, die die Benutzerin oder der Benutzer selbst gewählt hat; nach § 165 Abs 3 TKG 2021 ist dafür keine Einwilligung erforderlich. Rechtsgrundlage der damit verbundenen Datenverarbeitung ist Art. 6 Abs 1 lit. b DSGVO (Vertragserfüllung). Cookies zu Analyse- oder Werbezwecken setzt das Back Office nicht.

Zahlung: Die Zahlung erfolgt über Stripe Checkout auf der Domain stripe.com. Die dort gesetzten Cookies unterliegen der Verantwortung und der Cookie-Richtlinie von Stripe (https://stripe.com/de-at/legal/cookies-policy); auf unserer Website wird kein Stripe-Skript geladen.

Ein Cookie-Banner ist deshalb nicht erforderlich. Sollten wir künftig nicht notwendige Cookies oder Dienste Dritter einsetzen, holen wir zuvor eine Einwilligung nach § 165 Abs 3 TKG 2021 und Art. 6 Abs 1 lit. a DSGVO ein und aktualisieren diese Erklärung.

5. Kontaktformular und E-Mail

Wenn Sie das Kontaktformular nutzen oder uns eine E-Mail schreiben, verarbeiten wir Name, E-Mail-Adresse, optional Betrieb und Anzahl der Standorte, das gewählte Anliegen und den Inhalt Ihrer Nachricht. Zweck: Beantwortung der Anfrage, Zusendung angeforderter Vorlagen (AVV, Betriebsvereinbarung, Zustimmungserklärung, DSFA), Vorbereitung eines Vertragsschlusses.

Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage) sowie für die Kontaktaufnahme per E-Mail Ihre im Formular erteilte Einwilligung nach Art. 6 Abs 1 lit. a DSGVO, die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

Speicherdauer: bis zur abschließenden Bearbeitung der Anfrage, längstens 6 Monate nach der letzten Nachricht; kommt es zu einem Vertragsschluss, gelten die Fristen des Vertragsverhältnisses (Abschnitt 10). Empfänger: Nachrichten aus dem Kontaktformular stellt unser Server über den E-Mail-Versanddienst Resend an unser Postfach zu (Auftragsverarbeiter, Abschnitt 7).

Support-Anfragen von Kunden (support@nymtime.com, AGB § 10 Abs 5): Wir verarbeiten Name, E-Mail-Adresse, Betrieb, den Inhalt der Anfrage und die dazu geführte Korrespondenz, um die Anfrage zu beantworten und Störungen zu beheben. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) sowie Art. 6 Abs 1 lit. f DSGVO — unser berechtigtes Interesse, wiederkehrende Störungen nachvollziehen und die Qualität des Supports nachweisen zu können. Speicherdauer: 12 Monate nach Abschluss der Anfrage. Ein Zugriff auf das Kundenkonto erfolgt dabei nur nach ausdrücklicher Freischaltung durch den Kunden (Abschnitt 7).

6. Kauf und Kaufabwicklung (Stripe)

Beim Kauf über nymtime.com/kaufen erfassen wir die Daten Ihres Unternehmens (Firma, Straße, Postleitzahl und Ort, Land, optional UID-Nummer), die Zahl der Standorte, die Zahl zusätzlich bestellter NFC-Tags, Vor- und Nachname und E-Mail-Adresse der Ansprechperson, optional eine Telefonnummer für Rückfragen zur Bestellung und zur Zustellung, optional eine abweichende Lieferadresse und den Zeitpunkt Ihrer Zustimmung zu den Allgemeinen Geschäftsbedingungen und zum Auftragsverarbeitungsvertrag. Zweck: Vertragsschluss, Einrichtung des Kundenkontos, Rechnungslegung, Versand der NFC-Tags. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs 1 lit. c DSGVO in Verbindung mit § 11 UStG und § 132 BAO (Rechnungs- und Aufbewahrungspflichten). Für die Daten der Ansprechperson eines Unternehmenskunden ist die Rechtsgrundlage Art. 6 Abs 1 lit. f DSGVO — unser berechtigtes Interesse an der Abwicklung des Vertrags mit dem Unternehmen. Bei der Bestätigung von AGB und Auftragsverarbeitungsvertrag — beim Kauf oder, wenn wir das Kundenkonto auf Anfrage selbst eingerichtet haben, bei der ersten Anmeldung der Geschäftsführung im Back Office — zeichnen wir Zeitpunkt, Version und Prüfsumme der Dokumente (SHA-256 des bestätigten Texts), die IP-Adresse und den bestätigenden Benutzer auf (Nachweis nach Art. 5 Abs 2 DSGVO; Rechtsgrundlage Art. 6 Abs 1 lit. f).

Versand der NFC-Tags: Für die Zustellung der im Preis enthaltenen und der nachbestellten NFC-Tags übermitteln wir Firma, Name der Ansprechperson und die Geschäfts- oder Lieferadresse — bei Kurierzustellung zusätzlich die Telefonnummer, sofern angegeben — an die Österreichische Post AG oder einen Kurierdienst. Der Zustelldienst ist für die Zustellung eigenständig Verantwortlicher; Mitarbeiterdaten werden ihm nicht übermittelt. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO. Die Versanddaten bewahren wir bis zum Ablauf der Garantiefrist für die NFC-Tags (12 Monate, AGB § 3 Abs 3; die gesetzliche Gewährleistung nach den §§ 922 ff ABGB bleibt davon unberührt) und als Teil der Rechnung nach § 132 BAO auf.

Prüfung der UID-Nummer (VIES): Geben Sie beim Kauf oder später im Back Office eine UID-Nummer an, übermitteln wir diese Nummer zusammen mit dem Ländercode an das Bestätigungsverfahren der Europäischen Kommission (VIES, MwSt-Informationsaustauschsystem) und speichern das Ergebnis, den Zeitpunkt und die Bestätigungsnummer. Die Prüfung wiederholen wir vierteljährlich. Zweck: korrekte Rechnungslegung, insbesondere die Entscheidung über den Übergang der Steuerschuld (Reverse Charge). Empfänger: Europäische Kommission, Rue de la Loi 200, 1049 Brüssel, Belgien. Rechtsgrundlage: Art. 6 Abs 1 lit. c DSGVO in Verbindung mit § 11 Abs 1a und Art. 21 Abs 3 UStG 1994 (Rechnungs- und Meldepflichten). Eine UID-Nummer ist eine Unternehmenskennung; personenbezogen ist sie nur, wenn sie einem Einzelunternehmen zugeordnet ist.

Zahlungsdienstleister: Die Zahlung (Kreditkarte oder SEPA-Lastschrift) wird über Stripe Checkout abgewickelt. Verantwortlich für die Zahlungsabwicklung ist Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland. Kartennummern, Bankverbindungen und Sicherheitsmerkmale werden ausschließlich von Stripe erhoben und gespeichert; LazyHead e.U. erhält sie zu keinem Zeitpunkt. Wir erhalten von Stripe eine Kunden- und Abonnementkennung, den Zahlungsstatus, die letzten vier Ziffern des Zahlungsmittels und die Rechnungsdaten.

Datenübermittlung in Drittländer: Stripe Payments Europe, Ltd. kann Daten an Stripe, Inc. (USA) und weitere Konzerngesellschaften übermitteln. Grundlage sind der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, dem Stripe, Inc. unterliegt, sowie die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs 2 lit. c DSGVO. Einzelheiten: https://stripe.com/de-at/privacy.

Rechnungen und Zahlungsbelege bewahren wir nach § 132 BAO sieben Jahre ab Ende des Kalenderjahres auf, in dem sie ausgestellt wurden.

7. Kundenkonto und Back Office

Adresssuche: Tippt eine Benutzerin oder ein Benutzer im Back Office eine Standortadresse, senden wir den eingegebenen Text an den Suchdienst Photon der Komoot GmbH, Hauptstraße 35, 12159 Berlin, Deutschland (Server in der EU), um Adressvorschläge zu erhalten; erreicht der Dienst uns nicht, fragen wir ersatzweise Nominatim der OpenStreetMap Foundation ab. Die Anfrage stellt unser Server, nicht der Browser — die IP-Adresse der Benutzerin oder des Benutzers wird nicht übermittelt; den Suchtext protokollieren wir nicht. Zweck: Erfassung der Standortadresse. Rechtsgrundlage: Art. 6 Abs 1 lit. f DSGVO (berechtigtes Interesse an einer fehlerfreien Adresserfassung). Kartendaten: © OpenStreetMap-Mitwirkende (ODbL 1.0).

Für jede Benutzerin und jeden Benutzer des Back Office (Geschäftsführung, Manager, Steuerberatung) verarbeiten wir Name, E-Mail-Adresse, optional eine Telefonnummer, Rolle und Standortzuordnung, Zeitpunkt der Anmeldungen, Sitzungskennung (Cookie nt_session, Abschnitt 4) sowie ein Protokoll sicherheitsrelevanter Aktionen (Audit-Protokoll). Zweck: Bereitstellung des Dienstes, Zugriffsschutz, Nachvollziehbarkeit von Änderungen. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO; für das Audit-Protokoll zusätzlich Art. 6 Abs 1 lit. f DSGVO (Sicherheit, Nachweis nach Art. 5 Abs 2 DSGVO). Für diese Benutzerdaten sind wir selbst Verantwortlicher; sie sind nicht Gegenstand des Auftragsverarbeitungsvertrags, der nur die Mitarbeiterdaten des Kunden betrifft (Abschnitt 8).

Anmeldung am Back Office: Benutzerkennung ist die E-Mail-Adresse der Benutzerin oder des Benutzers, dazu kommt ein selbst gewähltes Passwort. Das Passwort legt die Benutzerin oder der Benutzer über einen einmaligen Link fest, den wir an diese Adresse senden und der 24 Stunden gültig ist; ein vergessenes Passwort wird über einen einmaligen Link zurückgesetzt, der eine Stunde gültig ist. Eine Änderung der hinterlegten E-Mail-Adresse bestätigen wir mit einem Code an die neue Adresse. Passwörter speichern wir ausschließlich als Hashwert (scrypt mit zufälligem Salz) — im Klartext sind sie uns nicht bekannt und können uns auch nicht mitgeteilt werden. Nach 10 aufeinanderfolgenden Fehlversuchen wird der Zugang 15 Minuten lang gesperrt; Anmeldungen, Fehlversuche, Passwortänderungen und Sperren werden protokolliert. Zusätzlich kann der Betrieb eine Zwei-Faktor-Authentifizierung aktivieren: ein zeitbasierter Einmalcode aus einer Authenticator-App (TOTP) samt Wiederherstellungscodes; gespeichert werden dabei nur das verschlüsselte Geheimnis der App und die Hashwerte der Wiederherstellungscodes. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO für die Anmeldung selbst, Art. 6 Abs 1 lit. f DSGVO für Sperre, Zwei-Faktor-Authentifizierung und Sicherheitsprotokoll (unser und Ihr berechtigtes Interesse an der Abwehr unbefugter Zugriffe). Die Mitarbeiter-App verwendet weiterhin die Aktivierung per Code an die hinterlegte E-Mail-Adresse und die Bindung genau eines Geräts (Abschnitt 8).

E-Mails aus dem System (Anmelde- und Einladungslinks, Aktivierungscodes der Mitarbeiter-App, Benachrichtigungen, Vertrags- und Zahlungsmitteilungen, Rechnungen) versenden wir über Resend, Inc., San Francisco, USA, als Auftragsverarbeiter. Resend versendet die Nachrichten über Amazon Simple Email Service in der Region eu-west-1 (Irland); verarbeitet werden Empfängeradresse, Betreff, Inhalt der Nachricht und Zustellstatus. Für Übermittlungen an Resend, Inc. in die USA gelten das EU-US Data Privacy Framework (Art. 45 DSGVO) und die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs 2 lit. c DSGVO).

Fordert jemand in der Mitarbeiter-App einen Code für eine E-Mail-Adresse an, die bei keinem Betrieb hinterlegt ist, senden wir an diese Adresse einmal (höchstens einmal in 24 Stunden) den Hinweis, dass dazu kein Konto besteht und die Adresse beim Arbeitgeber zu erfragen ist. Die App selbst zeigt dabei keinen Unterschied zu einer bekannten Adresse. Verarbeitet werden nur die eingegebene Adresse und der Zeitpunkt (zur Begrenzung auf eine Nachricht pro Tag, danach gelöscht). Rechtsgrundlage: Art. 6 Abs 1 lit. f DSGVO — berechtigtes Interesse, Personen beim Zugang zu helfen, ohne offenzulegen, welche Adressen im System existieren.

Zugriff des Plattformbetreibers: Mitarbeiter von LazyHead e.U. haben keinen Zugriff auf die im Kundenkonto gespeicherten Mitarbeiterdaten. Ein Support-Zugriff ist nur möglich, wenn der Kunde ihn im Back Office unter Einstellungen → Abo → Support-Zugriff ausdrücklich freischaltet — mit Umfang, Dauer und jederzeitigem Widerruf; jeder Zugriff wird im Audit-Protokoll des Kunden festgehalten.

8. Mitarbeiterdaten unserer Kunden (Auftragsverarbeitung, Art. 28 DSGVO)

Verantwortlicher für die Daten der Mitarbeiter ist der jeweilige Arbeitgeber, der NymTime einsetzt. LazyHead e.U. verarbeitet diese Daten ausschließlich im Auftrag und nach Weisung des Arbeitgebers auf Grundlage des Auftragsverarbeitungsvertrags (nymtime.com/avv). Die Information der Mitarbeiter nach Art. 13 DSGVO obliegt dem Arbeitgeber; wir stellen dafür eine Vorlage bereit, die in der Mitarbeiter-App beim ersten Start angezeigt wird und dort in den Einstellungen jederzeit vollständig abrufbar ist.

Verarbeitete Datenkategorien: Stammdaten (Name, Kontaktdaten, Position, Standort, Personalnummer, Beschäftigungsart), Dienstplan (geplante Schichten, Rollen), Arbeitszeitaufzeichnungen (tatsächlicher Beginn, Ende, Ruhepausen und kurze Pausen, Korrekturen mit Begründung), Zeitkonto (Soll-Ist-Saldo im Durchrechnungszeitraum des Betriebs), Abwesenheiten (Urlaub, Krankenstand, Zeitausgleich, Pflegefreistellung und weitere Arten), Anwesenheitsintervalle am Standort, Gerätedaten (Gerätekennung, öffentlicher Schlüssel, Modell, Status), Meldungen des Mitarbeiters an den Betrieb, Verfügbarkeitsangaben, Angebote und Annahmen beim Schichttausch, Lesebestätigungen zu Mitteilungen des Betriebs (Aushang) sowie — nur wenn der Kunde diese Funktionen nutzt — Personaldokumente einschließlich vom Mitarbeiter hochgeladener Nachweise, Lohndokumente und interne Personalkostenangaben.

Ruhepausen (§ 11 AZG): Die Pausen werden nach der vom Betrieb gewählten Regel erfasst — automatisch abgezogen, vom Manager in der Schicht zugeteilt oder vom Mitarbeiter mit einer Taste erfasst. Wurde bei einer Schicht von mehr als sechs Stunden keine Pause erfasst, zieht NymTime die gesetzliche Mindestruhepause ab, damit die Aufzeichnung nach § 26 AZG nicht unrichtig bleibt, und zeigt dem Manager den Hinweis „Pause nicht erfasst“. Dieser Hinweis dient ausschließlich der Korrektur der Aufzeichnung; er ist keine Sanktion, keine Leistungsbewertung und keine Grundlage für eine Verwarnung. Die Korrektur nimmt eine Person im Betrieb mit Begründung vor; der Mitarbeiter sieht Korrekturen in seiner App.

Arbeitszeitaufzeichnungen werden je Standort nach dem Landesprofil erzeugt (AT monatlich, DE wöchentlich) und dem Mitarbeiter in der App bereitgestellt.

Verfügbarkeiten: Mitarbeiter können angeben, an welchen Tagen sie verfügbar, nur ungern oder nicht verfügbar sind. Die Angabe ist freiwillig, dient ausschließlich der Planung und ist weder eine Arbeitsbereitschaft noch eine Rufbereitschaft im Sinne des Arbeitszeitgesetzes; aus ihr entsteht keine Verpflichtung zur Arbeitsaufnahme und kein Entgeltanspruch. Die Planungshoheit und die Verantwortung für den Dienstplan bleiben beim Arbeitgeber. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO (Durchführung des Arbeitsverhältnisses).

Schichttausch: Bietet ein Mitarbeiter eine Schicht zum Tausch an, sehen die Kolleginnen und Kollegen desselben Standorts mit derselben Rolle den Namen, die Rolle beziehungsweise Abteilung und die Zeiten der betroffenen Schicht — nicht mehr. Wer den Tausch annimmt, wird dem anbietenden Mitarbeiter und der Führungskraft angezeigt. Der Tausch wird wirksam, wenn die Führungskraft ihn genehmigt oder wenn der Betrieb die automatische Genehmigung für gleichartige Schichten eingestellt hat. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO; Anwesenheits- oder Leistungsdaten werden dabei nicht offengelegt.

Kontaktdaten für Kolleginnen und Kollegen (Kontakte): Telefonnummer und E-Mail-Adresse eines Mitarbeiters sind für die übrigen Mitarbeiter des Standorts nur sichtbar, wenn der Mitarbeiter dies in den Einstellungen der App selbst einschaltet. Die Voreinstellung ist „aus“. Rechtsgrundlage: die Einwilligung nach Art. 6 Abs 1 lit. a DSGVO, die jederzeit mit Wirkung für die Zukunft widerrufen werden kann (Art. 7 Abs 3 DSGVO) — mit dem Widerruf sind die Kontaktdaten sofort nicht mehr sichtbar. Der Widerruf hat keine Nachteile für das Arbeitsverhältnis; ohne Freigabe sind für Kolleginnen und Kollegen nur Name, Rolle beziehungsweise Abteilung und Initialen sichtbar. Führungskräfte sehen die dienstlichen Kontaktdaten unabhängig davon auf Grundlage des Art. 6 Abs 1 lit. b und lit. f DSGVO.

Aushang (Mitteilungen des Betriebs): Der Betrieb kann Mitteilungen an einen Standort oder an alle Mitarbeiter veröffentlichen. NymTime speichert, wer eine Mitteilung als gelesen markiert hat, damit der Betrieb die Kenntnisnahme wichtiger betrieblicher Informationen nachweisen kann. Rechtsgrundlage: Art. 6 Abs 1 lit. b und lit. f DSGVO. Die Lesebestätigung ist kein Instrument zur Kontrolle der Arbeitsleistung; eine darüber hinausgehende Auswertung des Verhaltens findet nicht statt.

Dokumente des Mitarbeiters: Der Betrieb kann Dokumente ablegen und für den betroffenen Mitarbeiter in der App sichtbar schalten (etwa Dienstzettel nach § 2 AVRAG, Lohnzettel und Bestätigungen); der Mitarbeiter kann selbst Dokumente hochladen (etwa eine Krankenstandsbestätigung oder verlangte Nachweise) und der Betrieb kann ein Dokument anfordern. Zu Dokumenten kann ein Ablaufdatum hinterlegt werden (etwa Aufenthaltstitel), zu dem NymTime rechtzeitig erinnert. Eine Krankenstandsbestätigung ist ein Gesundheitsdatum im Sinne des Art. 9 DSGVO; sie darf nur abgelegt werden, soweit der Arbeitgeber sie nach § 4 Entgeltfortzahlungsgesetz (EFZG), § 8 Abs 8 Angestelltengesetz (AngG) oder § 17a Abs 7 Berufsausbildungsgesetz (BAG) verlangen darf — Rechtsgrundlage dafür ist Art. 9 Abs 2 lit. b DSGVO in Verbindung mit diesen Bestimmungen. Diagnosen und Krankheitsursachen dürfen nicht erfasst werden. Krankenstandsbestätigungen und Lohndokumente sehen nur die Geschäftsführung, vom Kunden ausdrücklich dazu berechtigte Personen und der betroffene Mitarbeiter; jeder Zugriff wird protokolliert. Dokumente werden von der Anwendung vor der Ablage mit AES-256-GCM verschlüsselt; die Schlüssel liegen nur auf den Anwendungsservern. Die Aufbewahrung richtet sich nach der Datenart „Mitarbeiterdokumente“ in den Einstellungen des Kunden.

Kamera und Fotos: Die Kamera der Mitarbeiter-App liest nur den QR-Code auf dem NFC-Tag, um die App zu installieren beziehungsweise zu öffnen; dabei wird kein Bild gespeichert. Ein Foto wird nur aufgenommen oder aus der Galerie gewählt, wenn der Mitarbeiter selbst ein Dokument hochlädt (etwa eine Krankenstandsbestätigung). Bei der Stempelung werden keine Fotos gemacht.

Benachrichtigungen auf das Telefon (Push): Die Mitarbeiter-App kann Benachrichtigungen erhalten, etwa zu einer neuen Schicht oder einer entschiedenen Abwesenheit. Dafür speichern wir das Push-Token des Geräts. Versendet werden die Benachrichtigungen über den Push-Dienst von Expo (650 Industries, Inc., USA) und von dort über den Apple Push Notification service (Apple) beziehungsweise Firebase Cloud Messaging (Google). Übermittelt werden nur das Push-Token, eine Kennung und die Art der Benachrichtigung sowie ein allgemeiner Text ohne personenbezogenen Inhalt; die Einzelheiten zeigt die App erst nach dem Öffnen. Rechtsgrundlage: Art. 6 Abs 1 lit. b DSGVO. Benachrichtigungen lassen sich in den Einstellungen des Telefons jederzeit abschalten. Technische Nutzungsdaten des Push-Dienstes (etwa die IP-Adresse des Telefons beim Abruf des Push-Tokens) verarbeitet Expo zusätzlich in eigener Verantwortung für Betrieb und Sicherheit seines Dienstes (expo.dev/privacy). Für die Übermittlung an Expo in die USA gilt das EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem Expo zertifiziert ist; Grundlage ist das Data Processing Addendum vom 28.09.2026.

Löschung des Kontos: In den Einstellungen der App kann der Mitarbeiter die Löschung seines Kontos beantragen. Der Antrag geht an den Arbeitgeber, der als Verantwortlicher darüber entscheidet. Arbeitszeitaufzeichnungen bleiben auch nach der Löschung für die gesetzliche Dauer aufbewahrt (§ 26 AZG; Speicherdauer unten).

Umsatzangaben: Für Kennzahlen wie den Personalkostenanteil kann der Betrieb Tagesumsätze je Standort eintragen oder als Datei importieren. Diese Angaben beziehen sich auf den Standort und nicht auf Personen; sie sind für sich keine personenbezogenen Daten. Personenbezug entsteht erst durch die Gegenüberstellung mit Personalkosten, die ausschließlich der Geschäftsführung des Kunden zugänglich ist.

Keine Standortkoordinaten: NymTime speichert keine GPS-Koordinaten, keine Wege und keine Bewegungsprofile. Bei der Standort-Buchung ohne NFC übermittelt das Gerät des Mitarbeiters im Moment der Buchung einmalig seine aktuelle Position samt Genauigkeit an unseren Server; der Server prüft damit nur, ob das Gerät innerhalb des vom Arbeitgeber festgelegten Standortbereichs ist, und verwirft die Koordinaten sofort — gespeichert wird nur das Ergebnis „innerhalb“, „außerhalb“ oder „Standort nicht verfügbar“ mit Zeitpunkt und Genauigkeit in Metern. Bei der NFC-Stempelung am NFC-Tag wird die Position nur mitgesendet und auf dieselbe Weise geprüft, wenn für den Mitarbeiter eine Zustimmung oder Betriebsvereinbarung zur Standortprüfung hinterlegt ist; sonst gar nicht. Während einer offenen Schicht meldet das Betriebssystem des Geräts das Verlassen und erneute Betreten dieses Bereichs auch bei geschlossener App, sofern der Mitarbeiter dafür die Standortberechtigung „Immer“ erteilt hat; übermittelt werden nur das Ereignis und sein Zeitpunkt, keine Koordinaten. Die Berechtigung „Immer“ kann jederzeit in den Einstellungen des Telefons entzogen werden; die Stempelung funktioniert dann weiter, nur ohne diese Meldung. Außerhalb einer Schicht findet keine Prüfung statt.

Anwesenheitsprüfung (Geofence) nur mit Rechtsgrundlage: Die Prüfung der Anwesenheit am Standort ist eine Kontrollmaßnahme. Ob sie die Menschenwürde berührt und deshalb eine Betriebsvereinbarung nach § 96 Abs 1 Z 3 ArbVG (in Betrieben mit Betriebsrat) oder die Einwilligung des Mitarbeiters nach § 10 AVRAG (in Betrieben ohne Betriebsrat) erfordert, hängt von Intensität, Dauer und Art der Kontrolle ab; NymTime speichert keine Koordinaten, sondern nur „innerhalb“ oder „außerhalb“ während der Arbeitszeit — bewusst die mildeste Form. Die Prüfung ist für einen Mitarbeiter erst aktiv, wenn der Arbeitgeber die für seinen Betrieb gewählte Grundlage im Back Office hinterlegt hat; Art. 88 DSGVO und § 96a ArbVG bleiben unberührt. Ohne diese Grundlage werden keine Anwesenheitsintervalle erzeugt.

Rechtsgrundlagen des Arbeitgebers: Art. 6 Abs 1 lit. c DSGVO in Verbindung mit § 26 AZG (gesetzliche Pflicht zur Aufzeichnung der Arbeitszeit), Art. 6 Abs 1 lit. b DSGVO (Arbeitsvertrag, Dienstplanung), Art. 6 Abs 1 lit. f DSGVO (Systemsicherheit, ein Gerät pro Person) sowie die genannten arbeitsrechtlichen Grundlagen für die Anwesenheitsprüfung.

Speicherdauer: Der Arbeitgeber legt die Aufbewahrungsfristen je Datenart im Back Office fest; NymTime erzwingt die gesetzlichen Mindestwerte. Standardwerte für Österreich: Arbeitszeitaufzeichnungen 7 Jahre (Mindestwert 1 Jahr nach § 26 AZG; 7 Jahre nach § 132 BAO, wenn sie Grundlage des Lohnkontos sind), Roh-Anwesenheitsereignisse 3 Monate (danach bleiben nur die Zeiträume), Audit-Protokoll 7 Jahre, Dokumente 7 Jahre, Benachrichtigungen 6 Monate. Ein täglicher Lauf löscht oder anonymisiert abgelaufene Daten und protokolliert dies.

Rechte der Mitarbeiter: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch machen Mitarbeiter gegenüber ihrem Arbeitgeber geltend. In der Mitarbeiter-App können sie ihre Zeitaufzeichnungen jederzeit einsehen und monatlich exportieren (§ 26 Abs 8 AZG). Anfragen, die bei uns eingehen, leiten wir unverzüglich an den Arbeitgeber weiter und unterstützen ihn bei der Beantwortung.

9. Empfänger und Übermittlung in Drittländer

Personenbezogene Daten geben wir nur an folgende Empfänger weiter: den Hosting-Anbieter des Dienstes (Hetzner Online GmbH, Rechenzentrum Falkenstein in der EU, Auftragsverarbeiter), Cloudflare (Hosting der Website und Weiterleitung des gesamten Datenverkehrs zum Dienst, Auftragsverarbeiter — Abschnitt 3), Resend, Inc. (Versand der E-Mails über Amazon Simple Email Service in Irland, Auftragsverarbeiter — Abschnitt 7), Expo (650 Industries, Inc.) mit dem Apple Push Notification service und Firebase Cloud Messaging (Benachrichtigungen an die Mitarbeiter-App ohne personenbezogenen Inhalt — Abschnitt 8), Stripe Payments Europe, Ltd. (eigenständig Verantwortlicher für die Zahlungsabwicklung), die Österreichische Post AG oder einen Kurierdienst (Zustellung der NFC-Tags, nur Versanddaten), die Europäische Kommission (Bestätigung der UID-Nummer im VIES, nur Ländercode und UID-Nummer — Abschnitt 6), die Komoot GmbH (Adresssuche Photon, nur der eingegebene Adresstext — Abschnitt 7) sowie Behörden und Gerichte, soweit eine gesetzliche Verpflichtung besteht. Die aktuelle Liste der Auftragsverarbeiter ist Anlage 2 des Auftragsverarbeitungsvertrags (nymtime.com/avv).

Die Daten des Dienstes NymTime — Kundenkonten, Mitarbeiterdaten, Dokumente, Sicherungskopien — werden ausschließlich in der EU gespeichert (Hetzner, Falkenstein). Eine Übermittlung in Drittländer außerhalb des Europäischen Wirtschaftsraums findet in folgenden Fällen statt: bei der Weiterleitung des Datenverkehrs durch Cloudflare (Abschnitt 3), beim Versand von E-Mails über Resend (Abschnitt 7), beim Versand von Push-Benachrichtigungen über Expo, Apple und Google (Abschnitt 8) und im Rahmen der Zahlungsabwicklung durch Stripe (Abschnitt 6). Grundlage ist jeweils der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO) für die danach zertifizierten Unternehmen und ergänzend die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs 2 lit. c DSGVO).

10. Speicherdauer im Überblick

Soweit oben nicht anders angegeben, gelten folgende Fristen:

• Server-Protokolle mit IP-Adressen: nach Größe rotiert, in der Regel wenige Tage, spätestens 30 Tage.
• Kontaktanfragen: bis zur Erledigung, längstens 6 Monate nach der letzten Nachricht.
• Einmalige Links und Codes: Passwort festlegen 24 Stunden, Passwort zurücksetzen 1 Stunde, Bestätigung einer neuen E-Mail-Adresse und Aktivierung der Mitarbeiter-App je 15 Minuten — jeweils nur als Hashwert gespeichert und danach gelöscht.
• Support-Anfragen von Kunden: 12 Monate nach Abschluss der Anfrage.
• Vertrags- und Kundenkontodaten: Dauer des Vertrags; danach 30 Tage für den Datenexport durch den Kunden, anschließend Löschung, soweit keine Aufbewahrungspflicht besteht.
• Rechnungen, Zahlungsbelege, Zustimmungsnachweise (AGB, AVV): 7 Jahre nach § 132 BAO beziehungsweise für die Dauer der Verjährung von Ansprüchen.
• Mitarbeiterdaten unserer Kunden: nach den vom Kunden festgelegten Aufbewahrungsfristen innerhalb der gesetzlichen Mindestwerte (Abschnitt 8).
• Sicherungskopien: werden spätestens 35 Tage nach der Löschung der Primärdaten überschrieben.

11. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs 1 lit. f DSGVO beruhen (Art. 21), sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs 3). Wenden Sie sich dazu an office@nymtime.com oder — als Kunde — an support@nymtime.com; wir antworten ohne unangemessene Verzögerung, spätestens innerhalb eines Monats (Art. 12 Abs 3 DSGVO).

Sie haben außerdem das Recht auf Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO, § 24 DSG): Österreichische Datenschutzbehörde (DSB), Barichgasse 40–42, 1030 Wien, Telefon +43 1 52 152-0, E-Mail dsb@dsb.gv.at, www.dsb.gv.at. Der Rechtsweg gegen Entscheidungen der Datenschutzbehörde führt zum Bundesverwaltungsgericht (§ 27 DSG). Für uns als in Österreich niedergelassenen Verantwortlichen ist die österreichische Datenschutzbehörde zuständig. Betroffene Personen können ihre Beschwerde nach Art. 77 Abs 1 DSGVO aber auch bei der Aufsichtsbehörde ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes einbringen — Mitarbeiter eines Kunden in Deutschland also etwa bei der für ihr Bundesland zuständigen Landesdatenschutzbehörde.

Mitarbeiter unserer Kunden richten ihre Anfragen an ihren Arbeitgeber (Abschnitt 8); bei uns eingehende Anfragen leiten wir weiter.

12. Keine automatisierten Entscheidungen

Wir treffen keine automatisierten Entscheidungen im Einzelfall einschließlich Profiling im Sinne des Art. 22 DSGVO. Automatisch aus Dokumenten vorgeschlagene Felder werden in NymTime als solche gekennzeichnet und immer von einer Person geprüft; Genehmigungen von Abwesenheiten und Korrekturen von Arbeitszeiten trifft stets ein Mensch im Betrieb des Kunden.

13. Datensicherheit (Art. 32 DSGVO)

Alle Verbindungen sind mit TLS verschlüsselt. Passwörter des Back Office werden ausschließlich als Hashwert mit zufälligem Salz (scrypt) gespeichert, einmalige Links und Codes ebenso; nach 10 Fehlversuchen wird der Zugang 15 Minuten gesperrt, mit jeder Passwortänderung werden alle bestehenden Sitzungen beendet, und der Betrieb kann eine Zwei-Faktor-Authentifizierung (TOTP-App mit Wiederherstellungscodes) für alle Zugänge verlangen. Der Zugriff im Back Office ist rollen- und standortbezogen; jedes Mitarbeitergerät ist kryptografisch gebunden (ein aktives Gerät pro Person); NFC-Tags sind mit dynamisch signierten Nachrichten gegen Kopieren ausgelegt; das Audit-Protokoll ist unveränderbar; die Datenbank liegt auf einem mit LUKS verschlüsselten Volume beim Hosting-Anbieter; Dokumente verschlüsselt die Anwendung vor der Ablage im Object Storage mit AES-256-GCM (Schlüssel nur auf den Anwendungsservern), Sicherungskopien der Datenbank verschlüsselt pgBackRest mit AES-256; die Übertragung erfolgt ausschließlich über TLS; tägliche Sicherungskopien im EU-Rechenzentrum. Die vollständigen technischen und organisatorischen Maßnahmen sind Anlage 3 des Auftragsverarbeitungsvertrags.

14. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils unter nymtime.com/datenschutz veröffentlichte Fassung; das Datum der aktuellen Fassung steht am Seitenanfang. Kunden informieren wir über wesentliche Änderungen zusätzlich per E-Mail.