Was mit den Daten Ihres Teams passiert

Beschäftigten- und Betriebsdaten (Zeiterfassung, Dienstpläne, Dokumente) werden in der EU gehostet (Hetzner Online GmbH, Rechenzentrum Falkenstein). Cloudflare liefert die Website aus und leitet den Datenverkehr zum Dienst weiter (die Verbindung wird dort entschlüsselt und neu verschlüsselt); E-Mails verschickt Resend, Zahlungen laufen über Stripe. Alle Auftragsverarbeiter und Drittlandübermittlungen sind in Datenschutzerklärung und AVV aufgeführt.

• Hosting-Anbieter des Dienstes ist die Hetzner Online GmbH, Gunzenhausen (DE), Rechenzentrum Falkenstein — mit Firma, Sitz und Standort in Anlage 2 des Auftragsverarbeitungsvertrags genannt; Cloudflare steht dort als Anbieter der Website und als Reverse Proxy vor dem Dienst, zusammen mit Resend (E-Mail) und Expo (Push-Benachrichtigungen).
• Zertifizierung nach ISO 27001 und physische Zutrittskontrolle sind Anforderungen an diesen Anbieter.
• Administrativer Zugang nur über persönliche Konten mit SSH-Schlüsseln; kein gemeinsam genutztes Konto.

Unterwegs und im Ruhezustand. Zugangsdaten liegen außerhalb des Quellcodes, Anmeldecodes nur als gesalzener Hash.

• Übertragung ausschließlich über TLS 1.2 oder höher.
• Die Datenbank liegt auf einem mit LUKS verschlüsselten Datenträger (dm-crypt, AES-XTS).
• Dokumente verschlüsselt die Anwendung vor der Ablage mit AES-256-GCM; die Schlüssel liegen nur auf den Anwendungsservern.
• Sicherungskopien der Datenbank verschlüsselt pgBackRest mit AES-256, bevor sie im Object Storage in der EU abgelegt werden.

Jeder NFC-Tag trägt einen NXP-NTAG424-DNA-Chip. Er ist so eingerichtet, dass jede Berührung einen einmaligen, kryptografisch signierten Code erzeugt, den der NymTime-Server prüft; ein aufgezeichneter Code lässt sich nicht erneut verwenden. Der Chipschlüssel wird weder dem Telefon noch den Nutzern offengelegt.

• Bei jeder Berührung erzeugt der Chip aus seinem geheimen Schlüssel, seiner Seriennummer und einem internen Zähler eine neue Prüfsumme (SUN/CMAC) und hängt sie an die Adresse an.
• Der Zähler zählt nur nach oben. Eine mitgeschnittene Berührung ein zweites Mal einzuspielen wird abgelehnt, weil ihr Zählerstand schon verbraucht ist.
• Der Chipschlüssel wird weder dem Telefon noch den Nutzern offengelegt; die Prüfung übernimmt der NymTime-Server.
• Das Verfahren ist darauf ausgelegt, Kopien zu verhindern: Eine Nachbildung des NFC-Tags hätte dieselbe Adresse, aber keinen gültigen Schlüssel — ihr Code wird abgewiesen («bad_cmac»).
• Zusätzlich signiert das Handy jede Buchung mit einem eigenen Schlüsselpaar, und pro Person ist genau ein Gerät gebunden.

NymTime speichert keine Koordinaten und keine Wege — weder von der Anwesenheitsprüfung noch sonst.

• Gespeichert wird nur, ob das Handy im Moment der Buchung «in der Zone» oder «außerhalb» war, mit Zeitpunkt und Genauigkeit in Metern.
• Geprüft wird nur beim Stempeln während der Schicht — keine Ortung im Hintergrund, nie davor oder danach.
• Die Standortprüfung ist standardmäßig aus und lässt sich erst einschalten, wenn der Betrieb die Schritte seines Landes erledigt hat — je nach Land und Betriebsgröße etwa Mitarbeiterinformation, Betriebsvereinbarung oder Anhörung, Datenschutz-Folgenabschätzung und Wartefrist. Wir stellen die Vorlagen bereit; die Einordnung im Einzelfall nimmt Ihre Rechtsberatung vor.
• Roh-Ereignisse der Anwesenheit werden nach drei Monaten verdichtet.

Wer was sieht, entscheidet Ihr Betrieb. Wir sehen im Regelbetrieb nichts.

• Rollen- und rechtebasiertes Berechtigungssystem: Manager sind auf ihre Standorte beschränkt, Lohn- und Personalkostendaten sehen nur die Geschäftsführung und von ihr freigegebene Manager.
• Anmeldung im Back Office mit E-Mail-Adresse und Passwort. Das Passwort wird nie im Klartext gespeichert, sondern als scrypt-Hash mit eigenem Salt; nach 10 Fehlversuchen sperrt der Zugang vorübergehend, Anfragen je Adresse und IP-Adresse sind begrenzt.
• Optional für den ganzen Betrieb: Zwei-Faktor-Anmeldung mit einem Zeitcode aus der Authenticator-App (TOTP). Keine Anmeldung per SMS — eine Telefonnummer ist für den Zugang nicht nötig.
• Kein Zugriff von NymTime auf Kundendaten im Regelbetrieb. Support-Zugriff nur nach Freischaltung durch Sie, mit Umfang, Dauer und jederzeitigem Widerruf.
• Jede sicherheitsrelevante Aktion steht im Protokoll: wer, was, wann, vorher und nachher. Das Protokoll lässt sich nur ergänzen — Ändern und Löschen verhindert eine Datenbankregel.

Fristen je Datenart, einstellbar — aber nie unter das gesetzliche Minimum.

• Arbeitszeitaufzeichnungen 84 Monate (Minimum 12 Monate nach § 26 AZG, § 132 BAO), Lohndokumente 84 Monate.
• Roh-Ereignisse der Anwesenheit 3 Monate, Meldungen 12 Monate, Benachrichtigungen 6 Monate.
• Ein täglicher Lauf löscht und anonymisiert automatisch und schreibt mit, was er getan hat.
• Gelöscht wird mit Zeitstempel (Soft Delete); archivierte Profile werden nach Ablauf anonymisiert.

Ihr Betrieb ist Verantwortlicher, NymTime ist Auftragsverarbeiter. Der Vertrag dazu gehört zum Kauf und ist jederzeit lesbar.

• Auftragsverarbeitungsvertrag nach Art. 28 Abs 3 DSGVO mit Datenkategorien (Anlage 1), Sub-Auftragsverarbeitern (Anlage 2) und technisch-organisatorischen Maßnahmen (Anlage 3).
• Die Vorlagen für die Schritte Ihres Landes (Mitarbeiterinformation, Vertragsklausel, Betriebsvereinbarung, Datenschutz-Folgenabschätzung) erstellt das Back Office in der Landessprache und auf Deutsch.
• Meldung von Datenschutzverletzungen an Sie binnen 48 Stunden; Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs 2 DSGVO liegt vor.

Kürzer als die Liste dessen, was wir tun — und mindestens so wichtig.

• Keine Cookies auf der Website, kein Analytics, keine Tracker; im Back Office nur technisch notwendige und funktionale Cookies (Datenschutzerklärung, Abschnitt 4). Die Schriften liefern wir selbst aus — keine Verbindung zu Google Fonts oder einem anderen Schriftendienst.
• Keine Weitergabe oder Verkauf von Daten, keine Werbung, kein Profiling.
• Kein Training von KI-Modellen mit Ihren Daten.
• Keine Koordinaten, keine Bewegungsprofile, keine Tonaufnahmen, keine Fotos bei der Stempelung — Bilder nur, wenn Mitarbeiter selbst ein Dokument wie eine Krankenstandsbestätigung hochladen.
• Keine Diagnosen im Krankenstand — nur der Zeitraum und der Status.