Datenschutzerklärung

Stand: 24. September 2026. Diese Hinweise erläutern den Betrieb von Zeiten.org, der zugehörigen Unterseiten und der Kundeninstanzen sowie die Verarbeitung bei der Nutzung der Zeiterfassung. Die jeweils aufgerufene Kunden-Subdomain bestimmt, welches Unternehmen für Ihre Beschäftigtendaten verantwortlich ist.

1. Verantwortliche und Datenschutzkontakt

Verantwortlich für die öffentliche Website, Kundenkonten, Kontaktanfragen und die eigene Vertragsverwaltung ist die Bootmann GmbH, Ueckerstraße 68, 17373 Seebad Ueckermünde, vertreten durch den Geschäftsführer Karsten Berndt. Allgemeiner Kontakt: [email protected].

Datenschutzkontakt der Bootmann GmbH: Karsten Berndt, [email protected], postalisch unter der vorstehenden Anschrift. Anfragen zu Beschäftigtendaten richten Sie bitte zusätzlich an Ihr zuständiges Unternehmen, dessen Kontaktdaten im Impressum dieser Instanz stehen. Eine Anfrage an uns wird im Rahmen unserer Zuständigkeit bearbeitet oder an den zuständigen Verantwortlichen weitergeleitet.

2. Aufruf der Website und Hosting in Deutschland

Die Anwendung und ihre PostgreSQL-Datenbanken werden auf einem Server bei STRATO in Deutschland betrieben. Hostinganbieter ist die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Beim Aufruf werden insbesondere IP-Adresse, Zeitpunkt, angefragte Adresse, HTTP-Status, übertragene Datenmenge sowie technisch übermittelte Browser-, Geräte- und Herkunftsangaben verarbeitet. Server- und Sicherheitsprotokolle dienen der Auslieferung, Fehleranalyse und Abwehr von Angriffen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO: unser Interesse an einem sicheren und funktionsfähigen Angebot. Soweit die Verarbeitung zur Bereitstellung eines von Ihnen bestellten Dienstes erforderlich ist, gilt Art. 6 Abs. 1 Buchst. b DSGVO. Informationen des Anbieters: STRATO Datenschutz. Die Speicherung auf dem Anwendungsserver in Deutschland bedeutet wegen der nachfolgend beschriebenen Dienste keine ausschließlich deutsche Verarbeitung sämtlicher Verbindungsdaten.

3. Cloudflare: Auslieferung und Schutz der Website

Cloudflare ist der Website als Sicherheits- und Auslieferungsdienst vorgeschaltet. Anbieter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Verbindungen laufen über dieses Netzwerk. Dabei werden unter anderem IP-Adresse, technische Browser- und Verbindungsmerkmale, angefragte URLs, Zeitpunkte sowie Sicherheitsereignisse verarbeitet. Cloudflare kann als zwischengeschalteter Dienst auch die zur Auslieferung erforderlichen Anfrage- und Antwortinhalte verarbeiten. Cloudflare ist damit nicht nur ein Link auf einen fremden Dienst.

Der Einsatz zur Abwehr von Angriffen und zur sicheren Bereitstellung beruht auf Art. 6 Abs. 1 Buchst. f DSGVO. Sicherheitsprüfungen können abhängig von der ausgelösten Schutzfunktion Cookies wie __cf_bm oder cf_clearance verwenden. Einwilligungsfreie Speicherung setzt voraus, dass sie für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 TDDDG). Ein Analyse- oder Werbezweck wird dadurch nicht mitgenehmigt. Ein Dialog in der Anwendung kann die bereits vorgelagerte Cloudflare-Verarbeitung nicht unterbinden.

Verarbeitung in den USA und anderen Ländern außerhalb des Europäischen Wirtschaftsraums ist möglich. Cloudflare erklärt eine Teilnahme am EU-US Data Privacy Framework; seine Datenverarbeitungsbedingungen enthalten zudem Regelungen zu internationalen Übermittlungen einschließlich Standardvertragsklauseln. Informationen zu den einschlägigen Garantien erhalten Sie über unseren Datenschutzkontakt sowie in den Datenverarbeitungsbedingungen und der Cloudflare-Datenschutzerklärung. Angaben zu einzelnen Sicherheitscookies finden Sie in der Cookie-Dokumentation von Cloudflare.

4. Cookies, lokaler Speicher und Ihre Auswahl

Zeiten verwendet erforderliche Speicherfunktionen für Anmeldung, Formularsicherheit und die von Ihnen genutzte Offline-Zeiterfassung. Die Speicherung beziehungsweise der Zugriff richtet sich insoweit nach § 25 Abs. 2 TDDDG; die anschließende personenbezogene Verarbeitung nach der jeweils hier genannten Rechtsgrundlage. Optionale Karten und Standortabfragen erfolgen nur nach Ihrer aktiven Auswahl. Rechtsgrundlagen hierfür sind Art. 6 Abs. 1 Buchst. a DSGVO sowie, soweit einschlägig, § 25 Abs. 1 TDDDG. Ablehnen hat keine Sperre der normalen Zeiterfassung zur Folge.

Anmeldung: .AspNetCore.Identity.Application sichert das Mitarbeiterkonto, .Zeiten.Platform den zentralen Zugang und .Zeiten.TenantSuperadmin den Plattformzugriff auf eine Kundeninstanz. Die Anmeldedauer beträgt grundsätzlich zwölf Stunden beim Mitarbeiterkonto beziehungsweise acht Stunden beim Plattformzugang; bei aktiver Nutzung kann sie gleitend erneuert werden. Ohne „Angemeldet bleiben“ wird ein Sitzungscookie verwendet, mit dieser Auswahl ein zeitlich befristetes dauerhaftes Cookie. Abmelden beendet die jeweilige Anmeldung.

Formularschutz und Rückmeldungen: Cookies mit dem Präfix .AspNetCore.Antiforgery. schützen gegen gefälschte Formularanfragen. .AspNetCore.Mvc.CookieTempDataProvider kann kurzlebige, geschützte Rückmeldungen zwischen Seitenaufrufen transportieren. Sie dienen weder Werbung noch der Erstellung von Besucherprofilen.

Ihre Datenschutzauswahl: Unter zeiten-privacy-v1 speichern wir im lokalen Browserspeicher Ihre Auswahl, den Zeitpunkt und die Version der Einwilligungstexte für höchstens 180 Tage. Danach wird erneut gefragt. Die Auswahl gilt nur für den jeweiligen Browser und die jeweilige Domain beziehungsweise Kunden-Subdomain. Wird der Browserspeicher blockiert, gilt eine Auswahl nur für die gerade geöffnete Seite. Das Schließen des Dialogs erteilt keine neue Einwilligung.

Offlinebetrieb: Die Web-App hält eigene statische Programmdateien im Browsercache bereit. Die Offline-Zeiterfassung speichert den letzten Benutzerbezug, den Arbeitszeitstatus und noch nicht übertragene Aktionen lokal in zeiten-last-user beziehungsweise der Browserdatenbank zeiten-offline. Bei erlaubter Standorterfassung können ausstehende Aktionen auch Koordinaten enthalten. Die Daten sind nach Website und Benutzer getrennt. Ausstehende Buchungen werden bei erfolgreicher Synchronisierung aus der Warteschlange entfernt; der letzte Arbeitsstand kann bis zur Abmeldung oder zum Löschen der Websitedaten lokal verbleiben. Löschen Sie unübertragene Aktionen nicht, wenn Sie diese noch benötigen.

Die Anwendung bindet keine Werbetracker und keine Analyse-Skripte ein. Optionale Karten- und Standortfunktionen sind unten beschrieben. Über Cookie-Einstellungen können Sie Ihre Auswahl jederzeit ändern oder mit „Nur erforderliche“ widerrufen. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit einer vorherigen Verarbeitung bleibt unberührt. Bereits gespeicherte Arbeitszeit- oder Standortnachweise werden damit nicht automatisch gelöscht.

5. Kontakt, Kundenanfragen und Konten

Bei einer Kontakt- oder Zugangsanfrage verarbeiten wir die von Ihnen eingegebenen Kontaktdaten, Unternehmensangaben, Nachrichten und Bearbeitungsinformationen. Zweck ist die Beantwortung, die Vorbereitung einer Kundenbeziehung und deren Verwaltung. Grundlage sind Art. 6 Abs. 1 Buchst. b DSGVO bei einer von Ihnen angefragten Vertragsleistung und andernfalls Art. 6 Abs. 1 Buchst. f DSGVO aufgrund des Interesses an der Bearbeitung geschäftlicher Kommunikation. Pflichtfelder sind für die jeweilige Bearbeitung erforderlich; ohne diese Angaben kann die Anfrage gegebenenfalls nicht bearbeitet werden.

Konten enthalten insbesondere E-Mail-Adresse, geschützte Passwortprüfwerte, Rollen und Unternehmenszuordnungen. Zugangskontrolle, Fehlversuchssperren und berechtigungsabhängige Anzeige dienen der Vertragserfüllung und Sicherheit. Passwörter werden nicht als lesbarer Klartext in den Konten gespeichert. Kontaktdaten oder Beschäftigtendaten können auch durch die zuständige Unternehmensverwaltung bereitgestellt werden.

6. Beschäftigtendaten, Arbeitszeiten und Dokumente

Je nach freigeschalteten Funktionen verarbeitet die Kundeninstanz Personen- und Kontaktdaten, Arbeitsverträge und Arbeitszeitvorgaben, Buchungen und Pausen, Wochenfreigaben, Korrekturen samt Begründungen, Urlaubsanträge, Krankmeldungen, Dokumente und Änderungshistorien. Zugriff haben berechtigte Personen der jeweiligen Instanz entsprechend ihren Aufgaben und Rollen. Eine Freigabe für andere Kundeninstanzen ist damit nicht verbunden; für Administration und Support können autorisierte Plattformadministratoren Zugriff erhalten.

Das jeweilige Unternehmen verantwortet die Erforderlichkeit und Rechtsgrundlage seiner Beschäftigtendatenverarbeitung. Je nach Zweck kommen insbesondere § 26 Abs. 1 BDSG, Art. 6 Abs. 1 Buchst. b und c DSGVO und anwendbare kollektivrechtliche Regelungen in Betracht. Angaben zu Krankheit sind besonders geschützt; ihre Verarbeitung kann bei Erforderlichkeit für arbeits- und sozialrechtliche Pflichten auf Art. 9 Abs. 2 Buchst. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG beruhen. Das Krankmeldungsformular verlangt keine Diagnose. Bitte laden Sie nur die für den jeweiligen Vorgang erforderlichen Unterlagen hoch.

Eine Einwilligung im Cookie-Dialog ersetzt weder die Rechtsgrundlage für die Personalverwaltung noch unternehmensspezifische Informationen, Beteiligungsrechte oder erforderliche Vereinbarungen zur Auftragsverarbeitung. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung und kein Werbeprofiling durch die Anwendung statt. Arbeitszeitberechnungen unterstützen die zuständige Verwaltung; Entscheidungen und Freigaben erfolgen durch berechtigte Personen.

7. Freiwillige Standortangaben

Nur nach aktivierter Standortauswahl und zusätzlicher Browserfreigabe fragt Zeiten bei einer Zeitaktion einmalig den Gerätestandort ab. Gespeichert werden gegebenenfalls Breiten- und Längengrad, Genauigkeit, Messzeitpunkt und Ergebnisstatus, verknüpft mit der Buchung oder Korrektur. Zweck ist ein ergänzender Standortnachweis zur jeweiligen Aktion. Eine laufende Ortung im Hintergrund findet nicht statt. Ohne Erlaubnis wird kein Gerätestandort abgefragt; die Zeitaktion bleibt möglich und erhält lediglich einen Status ohne Koordinaten.

Ihre Einwilligung ist freiwillig und jederzeit über die Cookie-Einstellungen oder die Standortberechtigung des Browsers widerrufbar. Im Beschäftigungsverhältnis muss zusätzlich die Freiwilligkeit nach § 26 Abs. 2 BDSG gewahrt sein. Ihr Unternehmen darf aus einer Ablehnung nicht ohne eine eigenständig tragfähige Rechtsgrundlage Nachteile ableiten. Zur Löschung vorhandener Standortdaten wenden Sie sich an den zuständigen Verantwortlichen. Die technische Standortbestimmung des Betriebssystems beziehungsweise Browsers unterliegt zusätzlich dessen Datenschutzinformationen.

8. Optionale Karten von OpenStreetMap

Nach Ihrer Karteneinwilligung und dem Aufruf einer Karte werden Kartenkacheln von der OpenStreetMap Foundation geladen. Dabei erhält der Anbieter IP-Adresse, Browser- und Verbindungsdaten sowie den angefragten Kartenausschnitt. Die eingezeichneten Namen und internen Buchungsangaben werden nicht als eigener Datensatz an den Kacheldienst gesendet. Wenn Sie einen externen Standortlink öffnen, werden die ausgewählten Koordinaten hingegen in der Zieladresse übermittelt.

Anbieter ist die OpenStreetMap Foundation im Vereinigten Königreich. Weitere Informationen zu Empfängern, Standorten und Speicherung: OpenStreetMap-Datenschutz. Die Infrastruktur kann außerhalb der EU liegen. Grundlage für unsere optionale Einbindung ist Ihre Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO. Beim Widerruf entfernt die Anwendung eine eingebettete Karte und lädt daraus keine weiteren Kacheln; bereits übertragene Anfragen oder separat geöffnete fremde Websites werden dadurch nicht zurückgeholt.

9. E-Mails und Newsletter

Soweit E-Mail-Funktionen freigeschaltet sind, werden Empfängeradresse, Betreff, Inhalt sowie Versand- und Fehlerstatus zur Bearbeitung von Anfragen und zur Übermittlung erforderlicher Konten- oder Vorgangsmitteilungen verarbeitet. Versand erfolgt über den eingerichteten SMTP-Dienst; auch die beteiligten Mailanbieter verarbeiten die Nachricht. Es gelten die Rechtsgrundlagen des jeweiligen Vorgangs. Bitte übermitteln Sie besonders sensible Inhalte nur, wenn sie für die Bearbeitung erforderlich sind.

Ein Newsletter wird nur nach gesonderter Anmeldung und Bestätigung per E-Mail versandt (Double-Opt-in; Art. 6 Abs. 1 Buchst. a DSGVO). Gespeichert werden E-Mail-Adresse, Anforderungs- und Bestätigungszeitpunkt, Tokenprüfwert und gegebenenfalls Abmeldezeitpunkt. Der Bestätigungslink ist 24 Stunden gültig. Über die Abmeldefunktion oder unseren Datenschutzkontakt können Sie die Einwilligung jederzeit widerrufen. Der Cookie-Dialog meldet Sie nicht zum Newsletter an.

10. Speicherdauer und Löschung

Maßgeblich sind der jeweilige Verarbeitungszweck, die Dauer der Kunden- beziehungsweise Beschäftigtenbeziehung, gesetzliche Aufbewahrungspflichten und erforderliche Nachweise bei konkreten Streitfällen. Anfragen werden benötigt, solange ihre Bearbeitung und daraus entstandene Vorgänge offen sind. Konten- und Vertragsdaten dienen der laufenden Leistung und gegebenenfalls gesetzlich erforderlichen Nachweisen. Nicht mehr erforderliche Daten sind zu löschen, soweit keine solche Pflicht oder ein vorrangiger Nachweiszweck besteht.

Für Personalakten, Zeitnachweise, Dokumente und Standortdaten legt das verantwortliche Unternehmen anhand dieser Kriterien die sachlich erforderlichen Fristen fest und veranlasst die Löschung. Die Anwendung besitzt derzeit keine automatische, fristgesteuerte Löschung dieser Fachdatensätze. Eine Person als gelöscht zu markieren, ein Konto zu sperren oder eine Instanz zu deaktivieren entfernt nicht automatisch deren Buchungen, Dokumente, Historien oder Sicherungskopien. Auch der Ablauf eines Newsletter-Bestätigungslinks löscht den zugehörigen Datensatz nicht automatisch. Auskunft zur konkret auf Sie angewandten Frist und Löschanträge sind über die oben genannten Kontakte möglich.

Technische Protokolle und Sicherungskopien unterliegen gesonderten Betriebs- und Sicherheitszwecken. Die tatsächlichen Fristen hängen von der Serverkonfiguration, der notwendigen Fehler- beziehungsweise Angriffsklärung und den Sicherungszyklen ab; eine pauschale kurze Löschfrist wird hier nicht zugesichert. Für Browserdaten gelten die in Abschnitt 4 genannten Abläufe.

11. Empfänger und internationale Verarbeitung

Empfänger können die zuständigen, berechtigten Mitarbeiter und Administratoren, beauftragte Hosting-, Sicherheits-, Wartungs- und E-Mail-Dienstleister sowie bei einer gesetzlichen Verpflichtung zuständige Behörden oder weitere gesetzlich berechtigte Stellen sein. Für ausgelagerte Verarbeitung sind die Rollen und Pflichten nach Art. 28 DSGVO maßgeblich. Die oben beschriebenen internationalen Dienste können zu Übermittlungen außerhalb des Europäischen Wirtschaftsraums führen; diese unterliegen zusätzlich den Voraussetzungen der Art. 44 ff. DSGVO. Angaben zu den jeweils anwendbaren Übermittlungsgrundlagen und eine Kopie zugänglicher Garantien können Sie über den Datenschutzkontakt anfordern.

12. Ihre Rechte und Beschwerdemöglichkeit

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) sowie Datenübertragbarkeit (Art. 20). Erteilte Einwilligungen können Sie mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Wir können zur Wahrung fremder Rechte einen geeigneten Identitätsnachweis benötigen.

Widerspruch: Soweit eine Verarbeitung auf Art. 6 Abs. 1 Buchst. e oder f DSGVO beruht, können Sie aus Gründen Ihrer besonderen Situation widersprechen (Art. 21). Gegen Direktwerbung können Sie jederzeit ohne Angabe solcher Gründe Widerspruch einlegen.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des vermuteten Verstoßes (Art. 77 DSGVO). Für die Bootmann GmbH ist dies der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Lennéstraße 1, 19053 Schwerin, [email protected], Kontakt und Beschwerde. Für das Unternehmen einer Kundeninstanz kann eine andere Behörde zuständig sein.