für die Zeiterfassung von Zeiterfassung – als Web-Anwendung im Browser, als installierte App auf Handy oder Tablet und am Terminal im Betrieb. Stand: Version 2026.10.30.3.

1. Wer ist verantwortlich?

Verantwortlich im Sinne der DSGVO ist der Betrieb, der diese Zeiterfassung einsetzt: Zeiterfassung. Die Anwendung läuft auf einem Server, den dieser Betrieb betreibt oder beauftragt hat. Ansprechpartner für Fragen zu Ihren Daten sind die Administratoren des Betriebs (Ihre Personalverwaltung); besteht ein Datenschutzbeauftragter, erreichen Sie ihn über die Verwaltung.

Hersteller der Software ist EDV Kramer, info@edv-kramer.com, www.edv-kramer.com. EDV Kramer hat keinen Zugriff auf die Daten Ihres Betriebs. Nur wenn der Betrieb für eine Störung ausdrücklich den zeitlich befristeten Support-Zugang einschaltet (er endet nach spätestens 14 Tagen von selbst), kann EDV Kramer auf die Installation zugreifen – dann als Auftragsverarbeiter nach Art. 28 DSGVO auf Weisung des Betriebs.

2. Welche Daten werden verarbeitet?

• Konto: Name, E-Mail-Adresse, Rolle, Abteilung, optional Personalnummer, Geburtsdatum (nur zur Prüfung des Jugendarbeitsschutzes), vertragliche Arbeitszeiten, Urlaubsanspruch, Ein- und Austrittsdaten, Kennwort (nur als Hash), auf Wunsch Profilbild und Terminal-PIN (nur als Hash).
• Zeitbuchungen: Kommen, Gehen, Pausenbeginn und -ende mit Datum und Uhrzeit, dazu die Quelle (selbst, Terminal, Verwaltung) sowie die grobe Geräteart und die IP-Adresse beim Stempeln; die IP-Adresse wird nach 90 Tagen automatisch gelöscht.
• Abwesenheiten: Anträge und Einträge (Urlaub, Krankheit, Fortbildung, Berufsschule …) mit Zeitraum, Status und freiwilligem Grund.
• Atteste zur Krankmeldung (Gesundheitsdaten nach Art. 9 DSGVO, freiwillig hochgeladen oder vom Arbeitgeber nach § 5 EFZG verlangt): Foto oder PDF der Arbeitsunfähigkeitsbescheinigung. Die Datei liegt verschlüsselt auf dem Server des Betriebs, sehen können sie nur Sie selbst und die Verwaltung (nicht die Abteilungsleitung); jeder Zugriff wird protokolliert.
• Monatsbestätigung: ob Sie die Stunden eines Monats bestätigt oder beanstandet haben, mit Zeitpunkt und Ihrem Kommentar – als Nachweis, dass Sie die Aufzeichnung gesehen haben.
• Standort beim Stempeln – in Ihrem Betrieb zurzeit nicht eingeschaltet: Nur beim mobilen Stempeln in der App, nur im Moment der Buchung, nie laufend. Ihr Gerät fragt vorher um Erlaubnis; verweigern Sie sie, wird trotzdem gebucht (Vermerk „Standort unbekannt"). Gespeichert wird je nach Einstellung nur das Ergebnis (im Betrieb / außerhalb, Entfernung) oder zusätzlich die Koordinaten; Koordinaten werden nach 90 Tagen automatisch gelöscht.
• Protokoll: Änderungen an Buchungen, Anträgen und Stammdaten werden mit Zeitpunkt und handelnder Person festgehalten, damit die Aufzeichnung nachvollziehbar bleibt.
• Anmeldung und Sicherheit: Sitzungs-Cookie (endet mit dem Abmelden bzw. nach Inaktivität), auf Wunsch ein Cookie „Gerät merken" für die Zwei-Faktor-Anmeldung (30 Tage, nur ein Zufallswert), Fehlversuche und Sperren.

3. Wozu und auf welcher Grundlage?

• Erfassung und Nachweis der Arbeitszeit sowie Pausen: gesetzliche Pflicht des Arbeitgebers nach § 16 Abs. 2 Arbeitszeitgesetz (Art. 6 Abs. 1 lit. c DSGVO) und Durchführung des Beschäftigungsverhältnisses (§ 26 Abs. 1 BDSG).
• Urlaub, Krankheit, Arbeitszeitkonto, Auswertungen für Lohn und Gehalt: Durchführung des Beschäftigungsverhältnisses (§ 26 Abs. 1 BDSG).
• Standort beim Stempeln: nur mit Einwilligung des Mitarbeiters am Gerät (Art. 6 Abs. 1 lit. a DSGVO) und nach Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG), soweit ein Betriebsrat besteht.
• Protokoll, IP-Adresse, Sperren: berechtigtes Interesse an einer manipulationssicheren, gesetzeskonformen Aufzeichnung (Art. 6 Abs. 1 lit. f DSGVO).

4. Wo liegen die Daten, wer bekommt sie?

Alle Daten liegen ausschließlich auf dem Server des Betriebs. Es gibt keine Cloud des Herstellers, keine Werbung, keine Nutzungsanalyse und keine Weitergabe an Dritte. Die App bindet keine fremden Dienste ein. Zwei Ausnahmen, beide ohne personenbezogene Daten: Die Verwaltung kann die Schulferien des Bundeslandes von openholidaysapi.org abrufen (übertragen wird nur das Bundesland), und bei eingeschaltetem Standort-Modul kann die Verwaltung eine Buchung auf einer Karte anzeigen – erst durch einen Klick, dann öffnet sich Google Maps mit den Koordinaten dieser Buchung, ohne Namen.

E-Mails (etwa die Bestätigung eines Antrags oder eine Erinnerung) versendet der Betrieb über seinen eigenen Mailserver; Empfänger sind Sie selbst, Ihre Abteilungsleitung und die Verwaltung.

5. Wie lange werden die Daten gespeichert?

Arbeitszeitaufzeichnungen müssen nach § 16 Abs. 2 ArbZG mindestens zwei Jahre aufbewahrt werden; für Lohnunterlagen gelten längere steuer- und sozialrechtliche Fristen. Danach löscht der Betrieb die Daten. IP-Adressen und Standort-Koordinaten werden bereits nach 90 Tagen automatisch entfernt. Atteste zur Krankmeldung werden 12 Monate nach dem Ende der Krankheit automatisch gelöscht, bei Rücknahme des Antrags sofort. Beim Ausscheiden bleibt das Konto bis zum Ablauf der Fristen deaktiviert und wird dann gelöscht.

6. Die App auf Ihrem Gerät

Die installierte App ist die Web-Anwendung Ihres Betriebs; sie verbindet sich nur mit dessen Server. Berechtigungen fragt sie nur ab, wenn Sie eine Funktion nutzen: Standort beim Stempeln (nur mit Standort-Modul), Kamera für ein Profilbild oder zum Scannen eines Codes, Benachrichtigungen auf Wunsch. Am Terminal im Betrieb werden bei Verbindungsverlust Buchungen kurzzeitig auf dem Gerät zwischengespeichert und beim nächsten Kontakt an den Server übertragen. Es werden keine Kontakte, Fotos oder sonstigen Gerätedaten gelesen.

7. Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre Daten, auf Berichtigung, Löschung (im Rahmen der Aufbewahrungspflichten), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Eine erteilte Einwilligung – etwa zum Standort – können Sie jederzeit widerrufen, indem Sie die Berechtigung am Gerät entziehen. In der App sehen Sie Ihre Buchungen, Abwesenheiten und Ihr Konto jederzeit selbst unter „Meine Zeiten" und „Abwesenheit"; Ihre Verwaltung kann sie als Datei exportieren. Wenden Sie sich mit Ihren Anliegen an die Verwaltung Ihres Betriebs. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, etwa bei der für Ihren Betrieb zuständigen Landesbehörde.

7a. Löschung Ihrer Daten anfordern (auch für die App EK-Time)

Verantwortlich für Ihre Daten ist Ihr Betrieb, nicht der Hersteller der App. So beantragen Sie die Löschung:

1. Wenden Sie sich an die Verwaltung Ihres Betriebs (Personalverwaltung oder Administrator der Zeiterfassung) – persönlich, per E-Mail oder schriftlich – und nennen Sie Ihren Anmeldenamen.
2. Die Verwaltung deaktiviert Ihr Konto. Damit erlöschen sofort alle Anmeldungen der App auf Ihren Geräten; Sie können sich nicht mehr anmelden.
3. Die Verwaltung löscht das Konto, sobald die gesetzlichen Aufbewahrungsfristen abgelaufen sind.

Sofort gelöscht werden: die Anmeldungen der App (Geräte-Kennungen und Zugangs-Token), Ihr Profilbild und Ihre Terminal-PIN. Automatisch nach 90 Tagen gelöscht werden Standort-Koordinaten und IP-Adressen von Buchungen. Aufbewahrt werden müssen Ihre Arbeitszeitaufzeichnungen (Kommen, Gehen, Pausen, Abwesenheiten) und die Stammdaten dazu: mindestens zwei Jahre nach § 16 Abs. 2 ArbZG, bei Lohnunterlagen bis zu sechs Jahre nach § 147 AO. Nach Ablauf dieser Fristen löscht der Betrieb auch diese Daten. Die App selbst können Sie jederzeit von Ihrem Gerät entfernen; auf dem Gerät bleiben dann keine Daten zurück.

8. Änderungen

Diese Erklärung beschreibt den Stand der genannten Version. Ändert sich die Anwendung, wird sie mit dem Update angepasst; die jeweils gültige Fassung ist immer unter dieser Adresse abrufbar.

Öffentliche Adresse dieser Seite (für Store-Einträge und Aushänge): https://time-ae.ek-customer.de/?page=datenschutz