Datenschutzerklärung

§1 Verantwortlicher und Auftragsverarbeiter

Verantwortlicher (Art. 4 Nr. 7 DSGVO): Das Unternehmen, das Clean Clock für seine Mitarbeiter lizenziert und betreibt (im Folgenden „Ihr Unternehmen" oder „Arbeitgeber"). Ihr Unternehmen legt Zweck und Mittel der Verarbeitung fest.

Auftragsverarbeiter (Art. 28 DSGVO):
Benyamin Jafari
Chemnitzer Str. 69, 01187 Dresden
E-Mail: kontakt@cleanclock.de

Die Datenverarbeitung durch Benyamin Jafari erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen und auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 DSGVO.

§2 Beschäftigungskontext und Rechtsgrundlage

Clean Clock ist eine B2B-Zeiterfassungslösung, die ausschließlich im Beschäftigungskontext eingesetzt wird. Die Verarbeitung personenbezogener Daten der Mitarbeiter erfolgt durch den Arbeitgeber auf Basis von:

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Arbeitsvertrags (Pflicht zur Arbeitszeiterfassung)
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung gesetzlicher Pflichten (§ 3 Abs. 2 ArbZG, EuGH C-55/18)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen des Arbeitgebers an korrekter Lohnabrechnung und Projektcontrolling
• § 26 BDSG – Datenverarbeitung im Beschäftigungsverhältnis

§3 Verarbeitete Datenkategorien – Überblick

§4 Zeiterfassungs- und Arbeitszeitdaten

Zweck: Elektronische Aufzeichnung der Arbeitszeit gemäß gesetzlicher Pflicht und für die Lohnabrechnung.

Verarbeitete Daten: Einstempelzeit, Ausstempelzeit, Pausenbeginn und -ende, berechnete Arbeits- und Pausendauer, zugewiesene Kostenstellen/Projekte, optionaler Notiztext.

Speicherung: In der PostgreSQL-Datenbank (Supabase) als Zeiteinträge. Pausenzeiten werden als Kind-Datensätze der Zeiteinträge gespeichert und kaskadierende gelöscht, wenn der übergeordnete Zeiteintrag gelöscht wird. Es gibt keinen eigenständigen Pauszeitgeber.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c DSGVO; § 26 BDSG.

§5 Standortdaten (Geotagging)

Clean Clock bietet eine optionale GPS-Funktion, die den Standort zum Zeitpunkt des Ein-/Ausstempelns erfasst.

Aktivierungsvoraussetzungen:

1. Der Unternehmensadministrator aktiviert den GPS-Modus (off / soft / hard) und bestätigt durch ein versioniertes Attestierungs-Gate, dass die erforderliche Rechtsgrundlage (Betriebsvereinbarung, Einwilligung etc.) vorliegt.
2. Das Gerät des Mitarbeiters erteilt der App die Browser-/Geräte-Berechtigung für Standortzugriff.

GPS-Modi:

• off – Keine Standorterfassung.
• soft – Standorterfassung optional; Mitarbeiter kann ablehnen ohne funktionale Einschränkung.
• hard – Standorterfassung verpflichtend; Stempeln ohne Standort nicht möglich.

GPS-Override: Mitarbeiter können einen GPS-Override-Antrag stellen, wenn der erfasste Standort falsch war. Diese Anträge werden 90 Tage aufbewahrt und dann gelöscht.

Redaktion: GPS-Koordinaten in Zeiteinträgen werden nach 30 Tagen durch die SQL-Funktion redact_old_gps_in_time_entries() auf NULL gesetzt. Der Zeiteintrag selbst bleibt erhalten; nur die Koordinatenfelder werden gelöscht.

Rechtsgrundlage: § 26 BDSG i.V.m. Betriebsvereinbarung oder ggf. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), je nach betrieblicher Ausgestaltung durch den Arbeitgeber.

§6 Authentifizierung und Sitzungsdaten

Zweck: Sichere Benutzeranmeldung und Sitzungsverwaltung.

Verarbeitete Daten: E-Mail-Adresse, gehashtes Passwort (via Supabase Auth), JWT-Token, Refresh-Token, Geräte-Metadaten (User-Agent, IP-Adresse), Login-Zeitstempel.

Betroffene Personen: Ausschließlich Owner und Manager. Mitarbeitende (Reinigungskräfte) besitzen kein Benutzerkonto: keine E-Mail-Adresse, kein Passwort, keinen Auth-Eintrag und keine Sitzung. Sie werden ausschließlich über ihren Namen und einen persönlichen, je Unternehmen eindeutigen 6-stelligen Personalcode identifiziert, der als Datensatz in der Anwendungsdatenbank gespeichert wird. Die Registrierung erfolgt eigenständig über einen Unternehmens-Beitrittscode; der Personalcode wird einmalig in der Anwendung angezeigt und niemals per E-Mail versendet.

Lebenszyklus: Auth-Einträge werden angelegt, wenn der Anbieter einen Owner oder Manager einlädt. Beim Ausscheiden werden Auth-Einträge im Rahmen geplanter Unternehmensbereinigungen (Clean-up-Jobs) aus dem Auth-System entfernt.

Konto-Löschungsanfragen: Auf Anfrage eines betroffenen Owners oder Managers werden alle Auth-Daten und verknüpften Identifikationsdaten innerhalb von 12 Monaten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. f DSGVO (Systemsicherheit).

§7 Nutzungsanalysedaten

Derzeit findet keine Nutzungsanalyse statt. In der Anwendung ist keinerlei Analyse-, Tracking- oder Statistik-Software aktiv. Es werden keine Navigations- oder Klick-Ereignisse erfasst und keine Analysedaten an Dritte übermittelt.

Im Quellcode ist eine Anbindung an den cookielosen Analysedienst Umami vorbereitet. Diese ist im ausgelieferten Produktions-Build deaktiviert: das erforderliche Build-Merkmal wird nicht gesetzt, das Analyse-Skript wird zur Laufzeit aus der Seite entfernt, und es erfolgt kein Netzwerkaufruf an den Anbieter.

Sollte die Nutzungsanalyse künftig aktiviert werden, werden diese Datenschutzerklärung und die Liste der Unterauftragsverarbeiter vorab entsprechend angepasst.

Cookies: Es werden keine Tracking-Cookies gesetzt. Ein Cookie-Banner ist daher nicht erforderlich.

§8 Adresssuche bei der Anlage eines Einsatzortes (Geocoding)

Kein Kartendienst: Die Anwendung stellt keine Karte dar. Eine frühere Kartenvorschau wurde vollständig entfernt; es werden keine Kartenkacheln abgerufen und keine Standortdaten von Mitarbeitenden an einen Kartendienst übermittelt.

Zweck: Bei der Anlage eines Einsatzortes wird dessen Adresse in Koordinaten umgewandelt (Geocoding), damit der GPS-Radius des Einsatzortes gesetzt werden kann.

Ablauf und übermittelte Daten: Die Anfrage wird ausschließlich durch eine ausdrückliche Such- bzw. Speicheraktion des Managers ausgelöst – nicht während der Eingabe. Übermittelt werden dabei ausschließlich der vom Manager eingegebene Adresstext des Einsatzortes sowie – technisch bedingt – die IP-Adresse des Managers. Zur Bestätigung wird die gefundene Adresse als Text zurückgemeldet („Gefunden: …").

Keine Mitarbeitendendaten: Es werden keine Standortdaten, Namen, Personalcodes oder Zeitstempel von Mitarbeitenden übermittelt. Der Einsatzort ist eine Betriebsstätte, keine Person.

Empfänger: OpenStreetMap Foundation (Nominatim-Dienst), Vereinigtes Königreich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO); Standardvertragsklauseln sind daher nicht erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der korrekten Einrichtung des Einsatzort-Geofences).

§9 Technische Protokoll- und Serverdaten

Zweck: Systemsicherheit, Fehlererkennung, Missbrauchsprävention.

Verarbeitete Daten: IP-Adresse, HTTP-Methode, angefragte URL, HTTP-Statuscode, Zeitstempel der Anfrage, Datenmenge, User-Agent, Referrer.

Auftragsverarbeiter: Supabase (Datenbank, Auth, Edge Functions; Serverstandort EU-West, Irland) sowie Hostinger (Auslieferung der statischen Web-Anwendung; Webserver-Zugriffsprotokolle). Ein eigener Backend-/API-Server wird nicht betrieben; die gesamte Backend-Logik läuft als Edge Functions bei Supabase.

Speicherdauer: Server-Logs: 30 Tage rollierend. Supabase Audit-Logs: 90 Tage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an IT-Sicherheit und Betrieb).

§10 Speicherfristen im Überblick

§11 Empfänger und Auftragsverarbeiter

Daten werden ausschließlich an folgende Empfänger weitergegeben:

• Supabase Inc. (USA) – Datenbank, Authentifizierung, Edge Functions. Serverstandort EU-West, Irland. Standardvertragsklauseln (SCCs) der EU-Kommission.
• Resend Inc. (USA) – transaktionaler E-Mail-Versand, ausschließlich an Owner und Manager (Einladungen, Passwort-Links, Hinweise zum Ablauf der Pilotphase). Es werden keine Daten von Mitarbeitenden übermittelt – diese besitzen keine E-Mail-Adresse. SCCs.
• Hostinger International Ltd. (EU) – Auslieferung der statischen Web-Anwendung und der Website. Kein Zugriff auf die Datenbank; Verarbeitung technischer Zugriffsprotokolle (IP-Adresse).
• OpenStreetMap Foundation (UK) – Geocoding (Nominatim) bei der Anlage eines Einsatzortes; erhält nur den vom Manager eingegebenen Adresstext (siehe §8). Angemessenheitsbeschluss der EU-Kommission.

Nicht eingesetzt: Hetzner, Cloudflare und PostHog werden – entgegen früherer Fassungen dieser Erklärung – nicht eingesetzt und erhalten keine Daten. Ein eigener Backend-/API-Server existiert nicht.

Eine vollständige Liste mit Zweck, Datenkategorien und Übertragungsgrundlagen finden Sie unter Unterauftragsverarbeiter.

§12 Drittlandübertragungen

Die Auftragsverarbeiter Supabase Inc. und Resend Inc. haben ihren Sitz in den USA. Für diese Drittlandübertragungen bestehen angemessene Garantien gemäß Art. 46 DSGVO in Form von:

• Standardvertragsklauseln (SCCs) der EU-Kommission (Beschluss 2021/914/EU)
• Zusätzliche technische Schutzmaßnahmen (Datenverschlüsselung at-rest und in-transit)

Die OpenStreetMap Foundation (Nominatim-Geocoding) hat ihren Sitz im Vereinigten Königreich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO); Standardvertragsklauseln sind daher nicht erforderlich.

Die in der Datenbank gespeicherten personenbezogenen Daten werden auf Servern in EU-West, Irland verarbeitet.

§13 Rechte der betroffenen Personen

Als betroffene Person stehen Ihnen folgende Rechte gegenüber dem Verantwortlichen (Ihrem Arbeitgeber) zu:

• Auskunftsrecht (Art. 15 DSGVO) – Sie können Auskunft über Ihre gespeicherten Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO) – Sie können unrichtige Daten berichtigen lassen.
• Löschungsrecht (Art. 17 DSGVO) – Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
• Einschränkung (Art. 18 DSGVO) – Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO) – Sie können Ihre Daten in einem strukturierten Format erhalten.
• Widerspruchsrecht (Art. 21 DSGVO) – Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
• Widerruf (Art. 7 Abs. 3 DSGVO) – Einwilligungen können jederzeit widerrufen werden (z.B. GPS-Einwilligung).

Anfragen zur Datenverarbeitung durch Clean Clock richten Sie bitte an: kontakt@cleanclock.de

§14 Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt (Art. 77 DSGVO).

Die für Sachsen zuständige Aufsichtsbehörde:

§15 Technische und organisatorische Maßnahmen (TOM)

Zur Sicherstellung eines angemessenen Schutzniveaus wurden folgende Maßnahmen implementiert:

• Verschlüsselung aller Daten at-rest (AES-256) und in-transit (TLS 1.3)
• Row-Level Security (RLS) in der Datenbank – jeder Nutzer sieht nur seine eigenen Daten
• JWT-Authentifizierung mit kurzer Token-Laufzeit und Refresh-Mechanismus
• Automatisierter täglicher GPS-Redaktions-Job via pg_cron
• Audit-Logging für sicherheitskritische Aktionen
• Datenminimierung: keine Nutzungsanalyse und kein Tracking aktiv (siehe §7)
• Zugriff auf Produktionsdaten nur für autorisiertes Personal mit MFA
• Regelmäßige automatische Backups mit Verschlüsselung

Eine vollständige Dokumentation der TOM ist im AVV enthalten und kann unter kontakt@cleanclock.de angefordert werden.

§16 Browser- und Geräteberechtigungen

Clean Clock ist eine Progressive Web App (PWA) und läuft im Browser. Für bestimmte Funktionen werden Browserberechtigungen benötigt:

• Standort (Geolocation API): Nur wenn GPS-Modus aktiviert ist. Die Berechtigung wird vom Browser des Mitarbeiters angefordert. Diese technische Berechtigung begründet keine datenschutzrechtliche Einwilligung – die Rechtsgrundlage muss separat vom Arbeitgeber sichergestellt werden.
• Push-Benachrichtigungen: Optional, für Erinnerungen. Kann jederzeit in den Browsereinstellungen widerrufen werden.
• Kamera: Aktuell nicht verwendet.

Alle Berechtigungen können in den Browsereinstellungen des jeweiligen Geräts jederzeit entzogen werden.

§17 Diagnostik und Observability

Für den Betrieb und die Fehlerdiagnose von Clean Clock wird ein minimalistisches Observability-System eingesetzt:

• In-Memory-Ringpuffer: Fehlerereignisse und Performance-Metriken werden kurzfristig im Arbeitsspeicher des Servers gehalten (nicht persistent gespeichert). Bei Neustart des Servers werden diese Daten verworfen.
• Schwärzung personenbezogener Daten: Bevor Diagnosedaten in Logs oder externen Systemen landen, werden personenbezogene Felder (E-Mail, Name, IP-Adresse) automatisch geschwärzt/pseudonymisiert.
• Kein externer Error-Tracker: Es wird aktuell kein Dienst wie Sentry oder Datadog verwendet. Diagnosen erfolgen über Supabase Logs (90 Tage Aufbewahrung).

§18 Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann bei technischen Änderungen der Anwendung, bei Änderungen der Rechtslage oder bei Wechsel von Auftragsverarbeitern angepasst werden. Das Datum der letzten Änderung ist oben angegeben.

Bei wesentlichen Änderungen, die die Rechte der Betroffenen berühren, werden Unternehmensadministratoren per E-Mail informiert.

Die jeweils aktuelle Version ist immer unter cleanclock.de/legal/datenschutz.html abrufbar.