Datenschutzerklärung
Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten beim Besuch von timeasy.org sowie bei der Nutzung der von uns gehosteten WebApp und der damit verbundenen Mobile App. Für selbst gehostete Installationen gilt die Abgrenzung am Ende dieser Erklärung.
1. Verantwortlicher und Kontakt
Verantwortlich für die hier beschriebenen eigenen Verarbeitungsvorgänge ist Achim Hilwers, handelnd unter Softqo, Schützenstraße 17, 26676 Barßel, Deutschland.
Bei Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter info@timeasy.org.
2. Hosting und technische Protokolle
Wir betreiben timeasy auf von uns verwalteten Servern in Deutschland. Der Hostinganbieter stellt die technische Infrastruktur bereit. Für den Betrieb verarbeiten wir technisch erforderliche Verbindungs- und Protokolldaten, insbesondere IP-Adresse, Zeitpunkt des Zugriffs, angefragte Ressource, Antwortstatus sowie Angaben zu Browser und Betriebssystem.
Die Verarbeitung dient der Auslieferung unserer Dienste, Fehleranalyse und dem Schutz vor unberechtigten Zugriffen. Für die Bereitstellung vertraglicher Leistungen ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage. Für den sicheren Betrieb und die Fehleranalyse ist es Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem zuverlässigen und geschützten Dienst.
3. Konto, Anmeldung und technisch erforderlicher Speicher
Für die gehostete Nutzung verarbeiten wir insbesondere Kontokennung, E-Mail-Adresse, gegebenenfalls hinterlegte Namen sowie Authentifizierungs- und Sitzungsdaten. Die Registrierung und Anmeldung erfolgen über ein von uns betriebenes Anmeldesystem auf Servern in Deutschland. Diese Daten dienen der Einrichtung und Absicherung des Kontos und der Zuordnung Ihrer Inhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit dies für den Nutzungsvertrag erforderlich ist; Sicherheitsmaßnahmen beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.
Bei der Anmeldung können technisch erforderliche Cookies und andere lokale Speichermechanismen für Sitzungen und Authentifizierung eingesetzt werden. Die Mobile App speichert außerdem für die Nutzung und Synchronisierung erforderliche Daten auf Ihrem Gerät. Der Zugriff auf unbedingt erforderlichen Endgerätespeicher richtet sich nach § 25 Abs. 2 TDDDG. Eine etwaige Einwilligung für zusätzliche Zwecke ist davon getrennt zu beurteilen.
Erforderliche Konto- und Authentifizierungsangaben müssen bereitgestellt werden, damit die gehosteten Funktionen genutzt werden können. Freiwillige Profilangaben sind davon zu unterscheiden.
4. Projekte, Arbeitszeiten und personenbezogene Inhalte
timeasy verarbeitet die von Ihnen eingegebenen Projekte, Zeitbuchungen, Start- und Endzeiten, Beschreibungen und gegebenenfalls Projektparameter wie Stundensätze. Die Daten werden für Zeiterfassung, Synchronisierung, Auswertung und Export dem jeweiligen Konto beziehungsweise dem freigegebenen Team zugeordnet. Die Verarbeitung für die vereinbarten Funktionen beruht auf Art. 6 Abs. 1 lit. b DSGVO.
Eine eigene Kundenverwaltung für Ihre Auftraggeber ist nicht Voraussetzung der Nutzung. Dennoch können Projektnamen, Beschreibungen und Issue-Inhalte Angaben über andere Personen enthalten. Geben Sie nur Inhalte ein, zu deren Verarbeitung Sie berechtigt sind, und vermeiden Sie unnötige personenbezogene Angaben.
Soweit wir personenbezogene Inhalte im Auftrag eines Geschäftskunden nach dessen Weisungen verarbeiten, ist die datenschutzrechtliche Rollenverteilung gesondert zu berücksichtigen. Ein dafür erforderlicher Auftragsverarbeitungsvertrag wird nicht durch diese Erklärung ersetzt.
5. GitHub-, GitLab- und Jira-Anbindungen
Wenn Sie eine Anbindung aktivieren, verarbeiten wir die für die Verbindung bereitgestellten Zugangstokens, Konten- und Projektzuordnungen sowie die erforderlichen Issue-Informationen. Dazu können Anbieter, Issue-Kennung, Titel, Status und URL gehören. Die konkrete Gegenstelle ergibt sich aus der von Ihnen konfigurierten GitHub-, GitLab- oder Jira-Instanz.
Die Verarbeitung dient dem Abruf und der Zuordnung von Issues zu Zeitbuchungen und beruht für die angeforderten Funktionen auf Art. 6 Abs. 1 lit. b DSGVO. Ohne eine solche Anbindung ist der entsprechende Issue-Zugriff nicht erforderlich. Für die Verarbeitung durch den Betreiber der angebundenen Instanz gelten dessen eigene Datenschutzinformationen.
6. RevenueCat und plattformübergreifende Abonnements
Wir verwenden RevenueCat zur Zuordnung und Verwaltung der Nutzungsberechtigungen aus Abonnements. Als RevenueCat App User ID wird die Kennung Ihres timeasy-Kontos verwendet. Dadurch kann ein Kauf dem Konto auch auf einer anderen unterstützten Plattform zugeordnet werden.
In der Mobile App werden, soweit im Konto vorhanden und an die Abo-Verwaltung übergeben, außerdem E-Mail-Adresse und Anzeigename an RevenueCat übertragen. Beim Web-Checkout wird die E-Mail-Adresse des Kontos übergeben. Die Zuordnung und Attributübermittlung kann bereits bei der Initialisierung der Abo-Verwaltung erfolgen, nicht erst nach einem Kauf.
Verarbeitet werden außerdem Kauf- und Transaktionskennungen, Produkt beziehungsweise Tarif, Laufzeit, Abonnementstatus und Berechtigungen. Die eingesetzten SDKs können für den Betrieb zusätzliche Geräte- und Verbindungsdaten verarbeiten. Die notwendige Zuordnung und Bereitstellung des kostenpflichtigen Zugangs beruht auf Art. 6 Abs. 1 lit. b DSGVO.
7. Web-Käufe über Paddle und In-App-Käufe
Bei Web-Käufen wird der Checkout über Paddle abgewickelt. Paddle handelt als Merchant of Record, also als Wiederverkäufer, und ist für seine Verarbeitung im Rahmen des Verkaufs eigenständig verantwortlich. Paddle verarbeitet insbesondere die im Checkout bereitgestellten Kontakt-, Zahlungs- und Rechnungsangaben und stellt die zugehörigen Rechnungs-E-Mails bereit.
In-App-Käufe werden über den Apple App Store beziehungsweise Google Play abgewickelt. Der jeweilige Store verarbeitet die für den Kauf bereitgestellten Account-, Zahlungs- und Rechnungsdaten und versendet die entsprechenden Kauf- oder Rechnungsnachrichten. Die Kauf- und Berechtigungsinformationen werden über RevenueCat dem timeasy-Konto zugeordnet.
Für die Verarbeitung durch Paddle beziehungsweise den jeweiligen Store gelten ergänzend deren Datenschutzhinweise. Welche Gesellschaft Ihr Kaufvertragspartner ist, ergibt sich aus dem jeweiligen Checkout und Kaufbeleg. Aus dieser Abwicklung folgt nicht, dass timeasy sämtliche Zahlungsangaben, insbesondere vollständige Kartendaten, erhält oder an alle beteiligten Stellen weitergibt.
Unsere für Vertragsabwicklung und Freischaltung erforderliche Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Soweit uns eigene gesetzliche Aufbewahrungspflichten treffen, beruht die Aufbewahrung auf Art. 6 Abs. 1 lit. c DSGVO.
8. E-Mail und Support
Von uns versendete und empfangene E-Mails werden über einen selbst betriebenen Mailserver in Deutschland verarbeitet. Bei einer Kontaktaufnahme verarbeiten wir insbesondere Ihre E-Mail-Adresse, gegebenenfalls Ihren Namen, Nachrichteninhalt, Anhänge und technisch erforderliche Zustellinformationen.
Für vertragsbezogene Anfragen ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage. Sonstige Anfragen bearbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine sachgerechte Bearbeitung Ihrer Kommunikation. Rechnungs-E-Mails von Paddle oder den App Stores sind von dieser eigenen E-Mail-Verarbeitung zu unterscheiden.
9. Selbst gehostete Webanalyse mit Umami
Auf der Website setzen wir eine selbst gehostete Umami-Installation in Deutschland ein. Die Analysedaten werden nicht an einen Umami-Cloud-Dienst übermittelt.
Dazu gehören aufgerufene Seiten und URL-Informationen, Verweisquellen, Zeitpunkte sowie Browser-, Geräte-, Sprach- und ungefähre Standortinformationen. Umami kann Sitzungen mithilfe einer aus IP-Adresse, Browserinformationen und weiteren Eingaben abgeleiteten Kennung zusammenfassen. Dass die IP-Adresse dabei nicht als eigenes Feld im Analysedatensatz gespeichert wird, bedeutet nicht, dass sie beim Empfang und bei der Berechnung nicht verarbeitet wird.
Unser berechtigtes Interesse an der Reichweitenanalyse besteht darin, die Nutzung der Website statistisch auszuwerten und unser Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).
10. Speicherdauer, Löschung und Backups
Für die Verarbeitung gilt der jeweilige Zweck. Kontodaten und Projektinhalte werden benötigt, solange sie für die Nutzung und Durchführung des Vertrags erforderlich sind. Bei einer Löschanforderung prüfen wir, welche Daten zu löschen sind und welche aus gesetzlichen Gründen oder zur Geltendmachung beziehungsweise Abwehr konkreter Ansprüche noch aufbewahrt werden müssen.
Supportnachrichten werden für die Bearbeitung der Anfrage und erforderliche Anschlusskommunikation benötigt. Für gesetzlich aufzubewahrende Korrespondenz und Abrechnungsunterlagen gelten die einschlägigen Aufbewahrungspflichten; diese rechtfertigen keine pauschale gleich lange Speicherung aller Projektinhalte. Die Kündigung eines Abonnements und die Löschung eines Kontos sind unterschiedliche Vorgänge.
Sicherungskopien dienen der Wiederherstellung. Nach einer Löschung im Produktivsystem können Restkopien bis zum Ablauf der Speicherdauer der jeweiligen Sicherung bestehen.
| Daten | Vorgesehene Speicherdauer |
|---|---|
| Reguläre Serverprotokolle | 30 Tage |
| Tägliche Backups | 30 Tage |
| Wöchentliche Backups | 12 Wochen |
| Monatliche Backups | 12 Monate |
| Produktive Umami-Analysedaten | 12 Kalendermonate |
11. Empfänger und internationale Verarbeitung
Für die gehostete Nutzung stellt die Hetzner Online GmbH die Serverinfrastruktur bereit, auf der die Daten gespeichert und verarbeitet werden. Betriebssystem und Anwendung verwalten wir selbst.
Für die Abo-Verwaltung und Kaufabwicklung werden die oben beschriebenen Daten an RevenueCat und, abhängig vom Kaufweg, an Paddle, Apple oder Google übermittelt. Bei aktivierten Issue-Anbindungen erfolgt der erforderliche Datenaustausch mit der von Ihnen konfigurierten Gegenstelle. Bei Teamfunktionen werden Inhalte den entsprechend berechtigten Teammitgliedern zugänglich.
Der Hostingstandort Deutschland bedeutet nicht, dass die Abonnement-, Kauf- und Integrationsanbieter ausschließlich in Deutschland oder im Europäischen Wirtschaftsraum verarbeiten. Insbesondere bei RevenueCat kann eine Verarbeitung in den USA erfolgen. RevenueCat sieht in seinem veröffentlichten DPA Standardvertragsklauseln für einschlägige Übermittlungen vor.
Weitere Auskünfte zu den einschlägigen Empfängern und Übermittlungsgarantien können Sie über den oben genannten Datenschutzkontakt anfordern.
12. Ihre Rechte
Sie können sich zur Ausübung Ihrer Rechte an den oben genannten Kontakt wenden. Die Rechte gelten jeweils unter den gesetzlichen Voraussetzungen.
- Auskunft über Ihre personenbezogenen Daten und eine Kopie dieser Daten (Art. 15 DSGVO).
- Berichtigung unrichtiger Daten und Vervollständigung (Art. 16 DSGVO).
- Löschung und Einschränkung der Verarbeitung (Art. 17 und 18 DSGVO).
- Datenübertragbarkeit bei Vorliegen der Voraussetzungen (Art. 20 DSGVO).
- Widerspruch aus Gründen Ihrer besonderen Situation gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; bei Direktwerbung gilt das Widerspruchsrecht ohne eine solche Begründung (Art. 21 DSGVO).
- Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.
13. Beschwerdemöglichkeit
Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für unseren Sitz in Niedersachsen ist der Landesbeauftragte für den Datenschutz Niedersachsen eine zuständige Anlaufstelle.
14. Selbst gehostete Installationen
Wenn Sie timeasy auf eigener Infrastruktur betreiben, werden Ihre Konto-, Projekt- und Zeiterfassungsdaten nicht an uns übermittelt. Für die Verarbeitung innerhalb dieser Installation ist der jeweilige Betreiber verantwortlich. Diese Erklärung beschreibt nicht die individuelle Konfiguration solcher Installationen. Wenn Sie unsere Website besuchen oder uns kontaktieren, gelten die dazu beschriebenen Abschnitte weiterhin.