Datenschutzerklärung

Verantwortlich für die Datenverarbeitung:

Matthias Papst
TeamStamp
Zugspitzstraße 7
83395 Freilassing
Deutschland

E-Mail: webmaster@teamstamp.de

Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit der Datenschutz-Grundverordnung (DSGVO) sowie den geltenden nationalen Datenschutzgesetzen.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen.

TeamStamp verwendet keine Cookies zu Tracking- oder Marketingzwecken, kein Analytics und keinen Newsletter-Versand.

Bei der Registrierung und Nutzung des Dienstes verarbeiten wir folgende Daten:

• Name
• E-Mail-Adresse
• Unternehmensdaten (optional)
• Login-Daten
• Vertrags- und Abrechnungsdaten
• Nutzungs- und Organisationsdaten innerhalb der App

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Sofern Nutzer innerhalb von TeamStamp Mitarbeiterdaten erfassen (z. B. Arbeitszeiten, Urlaube, Krankmeldungen, Schichtpläne), ist der jeweilige Nutzer (Betrieb/Arbeitgeber) Verantwortlicher im Sinne der DSGVO.

TeamStamp verarbeitet diese Daten als Auftragsverarbeiter im Sinne des Art. 28 DSGVO.

Ein Vertrag zur Auftragsverarbeitung (AVV) wird bei der Registrierung digital geschlossen und ist im Kundenbereich versioniert einsehbar.

Rechtsgrundlage für die Verarbeitung im Beschäftigungsverhältnis:

§ 26 Abs. 1 BDSG (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses) in Verbindung mit Art. 88 DSGVO. Eine Einwilligung des Beschäftigten ist daher nicht erforderlich; die Information durch den Arbeitgeber genügt.

Administratoren eines Betriebs können jederzeit einen vollständigen Datenexport ihres Betriebs erstellen. Das ZIP-Archiv enthält Stammdaten, Arbeitszeit-Aufzeichnungen, Urlaubs- und Krankenanträge, Schichtanfragen, Stundenkonto-Snapshots, Termine und Audit-Logs.

Der Export dient zur Erfüllung von Auskunfts- und Datenübertragbarkeits-Pflichten gegenüber Beschäftigten (Art. 15, 20 DSGVO) sowie zur eigenverantwortlichen Einhaltung gesetzlicher Aufbewahrungspflichten:

• § 16 Abs. 2 ArbZG (mindestens 2 Jahre — Arbeitszeit-Aufzeichnungen)
• § 257 HGB (6 Jahre — Lohn- und Geschäftsunterlagen)
• § 147 Abs. 3 AO (6 Jahre — lohnsteuerrelevante Aufzeichnungen)
• § 28f SGB IV (Lohnunterlagen für SV-Prüfung)

Nicht im Export enthalten sind Direktnachrichten und Team-Chat-Verläufe (privater Schriftverkehr der Beschäftigten).

Für die Lohnabrechnung können Administratoren (für den ganzen Betrieb) und Teamleiter (für ihre Teams) zusätzlich einen monatlichen Lohnexport als Excel- bzw. CSV-Datei erstellen. Er enthält je Beschäftigtem Name, Personalnummer (sofern hinterlegt), Teams, Soll- und Ist-Stunden, Abwesenheiten, Zuschlagsstunden und den Status des Monatsabschlusses. Die Datei wird nur an den anfordernden Nutzer ausgeliefert und nicht auf unseren Servern gespeichert.

Die technische Infrastruktur erfolgt über:

Google Ireland Limited (Google Firebase)

Verarbeitete Daten:

• Accountdaten
• Anwendungsdaten
• Server-Logdaten
• Authentifizierungsdaten

Verarbeitungsregionen (alle innerhalb der EU):

• Datenbank (Firestore), Datei-Speicher, Hintergrunddienste und KI-Funktionen: Frankfurt (europe-west3)
• Auslieferung der Web-Anwendung (App Hosting): Belgien (europe-west1)

Google kann als Subunternehmer weitere Konzerngesellschaften einsetzen.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb)

Mit Google besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Zur Absicherung gegen missbräuchliche Nutzung wird Firebase App Check auf Basis von Google reCAPTCHA Enterprise (Google Ireland Limited) eingesetzt.

Hierbei können verarbeitet werden:

• Geräteinformationen
• technische Verifikationsmerkmale
• IP-Adresse

Zweck ist der Schutz der Anwendung vor automatisierten Angriffen und unbefugtem Zugriff.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit)

Die Zahlungsabwicklung erfolgt über:

Stripe Payments Europe Ltd.

Verarbeitete Daten:

• Name
• Rechnungsadresse
• Zahlungsinformationen
• Transaktionsdaten

Stripe handelt insoweit eigenverantwortlich als Zahlungsdienstleister.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO

TeamStamp enthält zwei voneinander getrennte KI-Funktionen. Beide laufen über:

Google Cloud Vertex AI — Google Ireland Limited

Die Verarbeitung erfolgt über einen regionalen Endpunkt in Frankfurt (europe-west3). Google verwendet die übermittelten Inhalte nach den Google-Cloud-Vertragsbedingungen nicht zum Training seiner Modelle.

8.1 Hilfe-Assistent

Beantwortet Support- und Anwendungsfragen. Verarbeitet werden:

• die vom Nutzer eingegebene Frage
• die Rolle des Nutzers (Mitarbeiter, Teamleiter, Administrator)
• technische Metadaten

8.2 Dienstplan-Assistent (KI-Paket)

Erstellt auf Anforderung eines Teamleiters oder Administrators Vorschläge für die Dienstplanung (Abwesenheits-Prüfung, Planvervollständigung, Plan-Analyse). Verarbeitet werden für den gewählten Zeitraum:

• geplante und regelmäßige Arbeitszeiten
• Abwesenheiten (ohne Angabe des Grundes — Krankheit und Urlaub sind für die KI nicht unterscheidbar)
• Überstunden-Salden, Wochenarbeitszeit, Qualifikationsgruppen, Einsatzwünsche

Pseudonymisierung: An das KI-Modell werden ausschließlich Platzhalter (M1, M2, …) übermittelt. Namen, E-Mail-Adressen und Nutzerkennungen verlassen die Anwendung nicht; die Zuordnung erfolgt erst nach Rückgabe der Antwort innerhalb von TeamStamp.

Keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO: Vorschläge der KI werden ausschließlich als Entwurf gespeichert und entfalten keine Wirkung. Erst wenn ein Teamleiter oder Administrator sie ausdrücklich übernimmt, ändert sich der Dienstplan. Die Entscheidung trifft in jedem Fall ein Mensch.

Für beide Funktionen gilt:

• keine Profilbildung und keine Leistungsbewertung
• keine Nutzung zu Marketingzwecken
• keine Nutzung der Inhalte zum Training von KI-Modellen

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO
Art. 6 Abs. 1 lit. f DSGVO (Optimierung der Nutzerunterstützung und der Personalplanung)
Für Beschäftigtendaten: § 26 Abs. 1 BDSG i.V.m. Art. 88 DSGVO

Mit dem Anbieter bestehen geeignete Datenschutzgarantien gemäß Art. 28 bzw. 46 DSGVO.

Push-Mitteilungen

Nutzer können auf Smartphones und Tablets (nicht auf PCs) je Gerät Push-Mitteilungen aktivieren (z. B. über entschiedene Anträge, Dienstplanänderungen, offene Dienste oder den Monatsabschluss). Die Aktivierung erfolgt ausschließlich auf ausdrücklichen Wunsch über die Berechtigungsabfrage des Browsers und lässt sich jederzeit unter „Benachrichtigungen“ bzw. in den Browser-Einstellungen widerrufen. Beim Abmelden wird das Gerät automatisch abgemeldet.

Verarbeitet werden:

• ein vom Browser erzeugtes Geräte-Token und eine gekürzte Browser-Kennung (User-Agent)
• die gewählten Benachrichtigungs-Kategorien
• der Inhalt der Mitteilung (Titel und Kurztext, z. B. Datum und Uhrzeit eines Dienstes; für Teamleitungen auch der Name der beantragenden Person)

Der Versand erfolgt über Firebase Cloud Messaging (Google Ireland Limited) im Rahmen des bestehenden Auftragsverarbeitungsvertrags. Die Zustellung an das Gerät übernimmt der Push-Dienst des jeweiligen Browser- bzw. Betriebssystemherstellers (z. B. Google für Chrome und Android, Apple für Safari und iOS, Mozilla für Firefox, Microsoft für Edge); dieser erhält die Mitteilung nach dem Web-Push-Standard nur verschlüsselt. Mitteilungen enthalten keine Gründe von Abwesenheiten über die Antragsart hinaus. Geräte-Tokens werden gelöscht, sobald Push auf dem Gerät ausgeschaltet, das Gerät abgemeldet oder das Token vom Push-Dienst als ungültig gemeldet wird, spätestens mit Löschung des Kontos.

Kalender-Abo

Nutzer können einen persönlichen, geheimen Kalender-Link (iCal) erzeugen, um eigene Dienste, Abwesenheiten, Feiertage und Team-Termine in einer Kalender-App ihrer Wahl anzuzeigen. Wir speichern nur einen nicht umkehrbaren Hashwert des Links. Krankheitstage erscheinen im Kalender lediglich als „Abwesend“. Mit dem Abonnieren ruft der vom Nutzer gewählte Kalenderanbieter (z. B. Google, Apple oder Microsoft) die Termine in eigener Verantwortung ab; dessen Datenschutzbestimmungen gelten. Der Link kann jederzeit widerrufen werden und wird mit Löschung des Kontos ungültig.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Einschaltung, jederzeit widerrufbar); für Beschäftigtendaten ergänzend § 26 Abs. 1 BDSG i.V.m. Art. 88 DSGVO. Die Nutzung ist freiwillig; ohne Push-Mitteilungen und Kalender-Abo stehen alle Informationen weiterhin in der App zur Verfügung.

Beim Zugriff auf die Anwendung werden automatisch erfasst:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Browsertyp und -version
• Betriebssystem
• Zugriffsstatus

Diese Daten dienen der:

• Systemsicherheit
• Fehleranalyse
• Missbrauchsprävention

Speicherdauer: maximal 30 Tage, sofern keine sicherheitsrelevanten Vorfälle vorliegen.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO

Daten werden gespeichert:

• während der Vertragslaufzeit
• entsprechend gesetzlicher Aufbewahrungsfristen
• bis zur Löschung durch den Nutzer

Konkrete Fristen:

• Account- und Stammdaten: bis zum Ende des Vertrags, danach Löschung innerhalb von 7 Tagen, sofern keine gesetzlichen Pflichten entgegenstehen.
• Arbeitszeit-Aufzeichnungen und Audit-Logs: während der Vertragslaufzeit. Die gesetzliche Aufbewahrungspflicht liegt beim Betrieb (Arbeitgeber als Verantwortlicher) — mindestens 2 Jahre nach § 16 Abs. 2 ArbZG, längstens 6 Jahre, soweit Daten als Lohnunterlage nach § 257 HGB / § 147 AO relevant sind.
• Server-Logdaten: 30 Tage (technisch durchgesetzt durch die Standard-Aufbewahrung des Hosting-Providers Google Cloud).
• Trial-Kennung (Spam-Schutz): 24 Monate nach der letzten Registrierung, ausschließlich als Prüfwert mit geheimem Schlüssel (HMAC) ohne Klartext-Email.
• Datenexporte: die erzeugte Exportdatei wird nach 2 Tagen gelöscht; das Protokoll der Export-Aufrufe nach 24 Monaten.
• KI-Vorschläge und offene Dienste: 90 Tage nach Erstellung bzw. nach dem Dienstdatum.
• Team-Chat und Direktnachrichten: während der Vertragslaufzeit; die Nachrichten und Direktnachrichten-Verläufe einer Person werden mit ihrem Konto gelöscht.

Vor der endgültigen Löschung eines Betriebs (7 Tage nach Vertragsende) hat der Administrator die Möglichkeit, einen vollständigen Datenexport zu erstellen, um den eigenen Aufbewahrungspflichten nachzukommen.

Die Speicherung und Verarbeitung der Anwendungsdaten erfolgt ausschließlich in den unter Ziffer 5 genannten EU-Regionen (Frankfurt, Belgien). Eine Übermittlung personenbezogener Daten in Drittländer (insbesondere die USA) findet nur in folgenden konkreten Fällen statt:

• Support- und Wartungszugriffe durch Google: Im Rahmen des technischen Betriebs kann Google Konzerngesellschaften außerhalb der EU (insbesondere Google LLC, USA) einsetzen.
• Firebase App Check / reCAPTCHA Enterprise (Ziffer 6): Technische Verifikationsanfragen können über globale Google-Infrastruktur verarbeitet werden.
• Zahlungsabwicklung (Ziffer 7): Stripe kann Transaktionsdaten an die Muttergesellschaft Stripe, Inc. (USA) übermitteln.
• Push-Mitteilungen (Ziffer 8a, nur nach Aktivierung): Die Push-Dienste der Browser- und Betriebssystemhersteller (u. a. Google LLC, Apple Inc., Mozilla Corporation, Microsoft Corporation, USA) erhalten das Geräte-Token und die verschlüsselte Mitteilung zur Zustellung.

In diesen Fällen erfolgt die Übermittlung auf Grundlage:

• des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) — Google LLC, Stripe, Inc., Apple Inc. und Microsoft Corporation sind hierunter zertifiziert
• ergänzend der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Eine darüber hinausgehende Übermittlung in Drittländer findet nicht statt.

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.

Wir setzen technische und organisatorische Maßnahmen ein, um Daten vor Verlust, Manipulation und unbefugtem Zugriff zu schützen.

Die Datenübertragung erfolgt verschlüsselt (TLS/HTTPS); die Speicherung erfolgt verschlüsselt im Ruhezustand (AES-256).

Eine ausführliche Beschreibung der Maßnahmen (u. a. Zugriffskontrollen, Backup- und Wiederherstellungskonzept, Pseudonymisierung, Löschkonzept) finden Sie in der TOM-Übersicht (Anlage 1 zum AVV).

Diese Datenschutzerklärung kann angepasst werden, sofern dies aufgrund technischer oder rechtlicher Änderungen erforderlich ist.

Stand: Oktober 2026