Datenschutzerklärung — Webseite und Web-App „Stempo"

⚠️ ENTWURF — vor Verwendung zwingend durch Rechtsanwalt/Datenschutzbeauftragten prüfen und anpassen lassen. Keine Rechtsberatung.

Platzhalter in eckigen Klammern (z. B. [FIRMA]) sind vor Veröffentlichung vollständig zu ersetzen. Mit [PRÜFEN] markierte Punkte erfordern eine Einzelfallprüfung. Stand des Entwurfs: [DATUM].

[ANGEGLICHEN 12.08.2026] markiert Stellen, die am 12.08.2026 an das angepasst wurden, was der Code tatsächlich tut (ROADMAP 0.4/0.10, ADR-025/ADR-026). Vorher standen dort Platzhalter oder Zusagen ohne Umsetzung. Maßgeblich ist der Code: apps/web/src/lib/aufbewahrung.ts (Fristen), lib/anhaenge.ts (Sichtbarkeit), lib/storage.ts (Verschlüsselung), app/api/cron/loeschlauf (Vollzug).

§ 1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Webseite und — soweit nachfolgend angegeben — in der Web-App „Stempo" ist:

[FIRMA] [ADRESSE] Vertreten durch: [GESCHÄFTSFÜHRER] E-Mail: [DATENSCHUTZ-E-MAIL] Telefon: [TELEFONNUMMER]

Datenschutzbeauftragter (sofern benannt — [PRÜFEN]: Benennungspflicht nach Art. 37 DSGVO / § 38 BDSG): [NAME DSB], erreichbar unter [DSB-E-MAIL].

Wichtiger Hinweis zur Rollenverteilung (B2B)

Stempo ist ein Angebot für Unternehmen (Arbeitgeber). Soweit Ihr Arbeitgeber Stempo zur Zeiterfassung und vorbereitenden Lohnabrechnung einsetzt, ist Ihr Arbeitgeber Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Verarbeitung Ihrer Beschäftigtendaten. [FIRMA] verarbeitet diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags mit Ihrem Arbeitgeber. Betroffenenanfragen zu diesen Daten richten Sie bitte vorrangig an Ihren Arbeitgeber; wir unterstützen ihn bei der Beantwortung. Diese Datenschutzerklärung informiert ergänzend darüber, wie die Datenverarbeitung in Stempo technisch und organisatorisch erfolgt, sowie über die Verarbeitungen, für die [FIRMA] selbst Verantwortlicher ist (insbesondere Webseite, Vertragsverwaltung mit Kunden, Abrechnung, Support).

§ 2 Übersicht der Verarbeitungen, Zwecke und Rechtsgrundlagen

2.1 Bereitstellung der Webseite (Server-Logfiles)

Beim Aufruf unserer Webseite verarbeiten wir automatisch: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, Referrer-URL, Browsertyp/-version, Betriebssystem.

• Zweck: Auslieferung der Webseite, Gewährleistung von Stabilität und Sicherheit, Missbrauchs- und Angriffserkennung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem und stabilem Betrieb).
• Speicherdauer: Logdaten werden nach [7/14/30 — PRÜFEN] Tagen gelöscht oder anonymisiert, sofern keine sicherheitsrelevante Aufbewahrung erforderlich ist.

2.2 Registrierung und Nutzerkonten (Web-App)

Bei Registrierung eines Kundenkontos bzw. Anlage von Mitarbeiterzugängen verarbeiten wir Stammdaten (Name, geschäftliche E-Mail-Adresse, Rolle/Position, Unternehmenszugehörigkeit) sowie Authentifizierungsdaten (Passwort-Hash, Login-Zeitpunkte).

• Zweck: Bereitstellung des Nutzerkontos, Authentifizierung, Rollen- und Rechteverwaltung.
• Rechtsgrundlage: Gegenüber unseren Kunden Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für Beschäftigtendaten der Kunden erfolgt die Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); Rechtsgrundlage auf Ebene des Arbeitgebers ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 BDSG [PRÜFEN: aktuelle Rechtslage zu § 26 BDSG].

2.3 Zeiterfassung (Arbeitszeitdaten)

In der Web-App werden Arbeitszeitdaten verarbeitet: Beginn, Ende und Dauer der Arbeitszeit, Pausenzeiten, Zuordnung zu Projekten/Kostenstellen (sofern vom Arbeitgeber konfiguriert), Korrekturen und Freigaben.

• Zweck: Erfüllung der Zeiterfassungsfunktion; Unterstützung des Arbeitgebers bei der Erfüllung seiner Aufzeichnungspflichten (u. a. § 3 Abs. 2 Nr. 1 ArbSchG i. V. m. der Rechtsprechung des BAG, § 17 MiLoG, § 16 Abs. 2 ArbZG).
• Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); auf Arbeitgeberebene Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beschäftigungsverhältnisses) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufzeichnungspflichten), jeweils i. V. m. § 26 BDSG.

2.4 GPS-Momentaufnahmen beim Stempeln (optional)

Sofern der Arbeitgeber diese Funktion aktiviert hat, kann beim Stempelvorgang (Ein-/Ausstempeln) einmalig der ungefähre Standort erfasst werden.

Klarstellung — kein Bewegungsprofil: Es erfolgt keine fortlaufende Ortung und kein Tracking. Der Standort wird ausschließlich als einzelne Momentaufnahme im Zeitpunkt des Stempel-Ereignisses erfasst und gespeichert. Zwischen Stempelvorgängen findet keinerlei Standorterfassung statt. Es wird kein Bewegungsprofil erstellt und die Daten werden nicht zu einem solchen zusammengeführt.

• Zweck: Plausibilisierung des Stempelorts (z. B. Baustelle, Filiale), sofern der Arbeitgeber dies konfiguriert hat.
• Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers; die datenschutzrechtliche Zulässigkeit auf Arbeitgeberebene (z. B. § 26 BDSG, ggf. Einwilligung Art. 6 Abs. 1 lit. a / Art. 88 DSGVO, ggf. Betriebsvereinbarung) hat der Arbeitgeber eigenverantwortlich sicherzustellen. [PRÜFEN: Hinweis auf ggf. bestehende Mitbestimmungsrechte des Betriebsrats, § 87 Abs. 1 Nr. 6 BetrVG]
• Konfiguration: Die Funktion ist standardmäßig deaktiviert und kann vom Arbeitgeber je Team/Standort aktiviert oder deaktiviert werden. In der App ist für die Beschäftigten transparent erkennbar, ob eine Standort-Momentaufnahme erfolgt.

2.5 Arbeitsunfähigkeitsbescheinigungen (AU-Uploads) — Gesundheitsdaten

Beschäftigte können — sofern der Arbeitgeber die Funktion nutzt — Fotos/Scans von Arbeitsunfähigkeitsbescheinigungen hochladen. Hierbei können Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO verarbeitet werden (jedenfalls die Tatsache der Arbeitsunfähigkeit und deren Dauer).

• Zweck: Übermittlung des Nachweises der Arbeitsunfähigkeit an den Arbeitgeber, Abwesenheitsverwaltung, vorbereitende Lohnabrechnung (z. B. Entgeltfortzahlung).
• Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers; auf Arbeitgeberebene Art. 9 Abs. 2 lit. b DSGVO (Erfüllung arbeits- und sozialrechtlicher Pflichten, u. a. § 5 EFZG, Entgeltfortzahlung) i. V. m. § 26 Abs. 3 BDSG. [PRÜFEN: Verhältnis zur elektronischen AU (eAU) und ob Foto-Uploads für die jeweilige Beschäftigtengruppe noch erforderlich sind]
• Schutzmaßnahmen [ANGEGLICHEN 12.08.2026]: Die konkreten Maßnahmen (ADR-025) sind:
• Ablage in einem vom Datenbanksystem getrennten Objektspeicher; in der Datenbank steht nur der Verweis, nie die Datei.
• Verschlüsselung der Datei vor der Übertragung an den Objektspeicher (AES-256-GCM), zusätzlich zur Verschlüsselung durch den Speicheranbieter.
• Annahme nur von JPG, PNG und PDF; geprüft am Dateiinhalt (Signaturbytes), nicht an der Angabe des Endgeräts. Höchstgröße 10 MB.
• Der vom Endgerät gelieferte Dateiname wird nie als Speicherpfad verwendet; die Ablage erfolgt mandantengetrennt unter einer zufälligen Kennung.
• Zugriff ausschließlich für: die betroffene Person selbst, die Inhaberin bzw. den Inhaber und Führungskräfte mit der Rolle „Manager". Ausdrücklich KEIN Zugriff für den Steuerberater-Zugang und für Kolleginnen und Kollegen.
• Jeder Zugriff wird protokolliert — der erfolgreiche wie der abgewiesene. Betroffene Personen können dieses Protokoll selbst einsehen (Auskunftsfunktion in der Anwendung).
• Automatische Löschung, siehe § 5.

2.6 Vorbereitende Lohnabrechnung (Lohn-Bewegungsdaten)

Stempo verarbeitet Lohn-Bewegungsdaten (z. B. Stunden, Zuschläge, Abwesenheiten, Fehlzeiten, variable Vergütungsbestandteile) zur Aufbereitung und zum Export an den Arbeitgeber bzw. dessen Lohnbüro/Steuerberater.

• Zweck: Vorbereitung der Entgeltabrechnung durch den Arbeitgeber; Stempo führt selbst keine Lohnabrechnung im steuer- oder sozialversicherungsrechtlichen Sinne durch.
• Rechtsgrundlage: Verarbeitung im Auftrag des Arbeitgebers (Art. 28 DSGVO); auf Arbeitgeberebene Art. 6 Abs. 1 lit. b und lit. c DSGVO i. V. m. § 26 BDSG.

2.7 Zahlungsabwicklung (Stripe)

Für die Abrechnung der Abonnements unserer Kunden setzen wir Stripe ein (siehe § 4). Wir selbst speichern keine vollständigen Zahlungskartendaten.

• Zweck: Abwicklung der Abonnementzahlungen, Rechnungsstellung, Betrugsprävention.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Kunden); Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Pflichten); Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention).

2.8 Kommunikation, Support und Transaktions-E-Mails

Bei Kontaktaufnahme (E-Mail, Support-Formular) verarbeiten wir die mitgeteilten Daten zur Bearbeitung der Anfrage. Transaktions-E-Mails (z. B. Passwort-Reset, Einladungen, Systembenachrichtigungen) versenden wir über den Dienst Resend (siehe § 4).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kommunikation).

2.9 Fehler- und Stabilitätsüberwachung (Sentry)

Zur Erkennung und Behebung technischer Fehler setzen wir Sentry ein. Dabei können IP-Adresse, Geräte-/Browserinformationen, Fehlerkontext und pseudonyme Nutzer-IDs verarbeitet werden.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an fehlerfreiem, sicherem Betrieb). [PRÜFEN: Konfiguration auf Datenminimierung — IP-Scrubbing, keine Klartext-Personendaten in Fehlerberichten]

2.10 Reichweitenmessung (Plausible, cookielos)

Wir nutzen Plausible Analytics, eine datenschutzfreundliche, cookielose Webanalyse. Es werden keine Cookies gesetzt, keine geräteübergreifenden Identifier gebildet und IP-Adressen nicht dauerhaft gespeichert; ausgewertet werden aggregierte Nutzungsstatistiken.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an reichweitenbezogener Auswertung ohne Nutzerprofile). [PRÜFEN: Hosting-Variante (EU-Cloud/self-hosted) und Bewertung nach § 25 TDDDG]

§ 3 Kategorien verarbeiteter Daten (Übersicht)

§ 4 Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als (Unter-)Auftragsverarbeiter ein. Mit allen Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. [PRÜFEN: Liste aktuell halten und mit Anlage 2 des AVV synchronisieren]

Drittlandtransfers: Soweit Daten in die USA oder andere Drittländer übermittelt werden, erfolgt dies auf Grundlage von Angemessenheitsbeschlüssen (Art. 45 DSGVO, insbesondere EU-US Data Privacy Framework für zertifizierte Anbieter) oder EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um zusätzliche Schutzmaßnahmen, soweit erforderlich (Transfer Impact Assessment [PRÜFEN]).

Weitere Empfänger: Steuerberater, Rechtsanwälte, Banken und Behörden von [FIRMA], soweit gesetzlich erforderlich; im Übrigen nur mit Weisung bzw. Rechtsgrundlage.

§ 5 Speicherdauern

• Server-Logs: [7/14/30 — PRÜFEN] Tage.

[ANGEGLICHEN 12.08.2026] Die folgenden Fristen entsprechen der im Produkt hinterlegten Fristen-Matrix (apps/web/src/lib/aufbewahrung.ts). Der Löschlauf vollzieht sie täglich um 04:30 Uhr (UTC) automatisch und protokolliert jeden Vorgang.

Der Arbeitgeber kann diese Fristen verlängern, aber nicht unterschreiten — die gesetzlichen Mindestfristen sind im Produkt technisch abgesichert.

• Kontodaten: Für die Dauer des Vertragsverhältnisses. Nach Kündigung bzw. Löschbestellung ist der Zugang sofort gesperrt; 30 Tage lang bleibt der Datenexport möglich und die Löschung widerrufbar. Danach werden alle Daten gelöscht, für die keine gesetzliche Aufbewahrungspflicht besteht; die aufbewahrungspflichtigen Reste werden anonymisiert (Namen, E-Mail-Adressen und Personalnummern werden durch Platzhalter ersetzt) und in einem gesperrten Zustand gehalten, bis auch ihre Frist abläuft. [ANGEGLICHEN 12.08.2026 — vorher stand hier „spätestens nach [90] Tagen", was der Code nicht abbildete.]
• Abrechnungs- und Buchhaltungsdaten von [FIRMA] (eigene Buchführung, nicht Kundendaten): 6 bzw. 8/10 Jahre (§ 257 HGB, § 147 AO) [PRÜFEN].

Nach Ablauf der jeweiligen Fristen werden die Daten automatisch gelöscht oder anonymisiert, sofern keine Rechtsgrundlage für eine weitere Speicherung besteht. Über jeden automatischen Lösch- und Anonymisierungsvorgang wird ein Protokoll geführt (Nachweis nach Art. 5 Abs. 2 DSGVO); der Arbeitgeber kann es in der Anwendung einsehen.

Hinweis zur Verantwortung [ANGEGLICHEN 12.08.2026]: Die genannten Fristen sind Voreinstellungen, die den gesetzlichen Mindestfristen entsprechen. Die rechtliche Bewertung im Einzelfall obliegt dem Arbeitgeber und ist zwingend mit dessen Steuerberater zu prüfen — insbesondere die Wahl von 6 statt 10 Jahren für Lohnunterlagen und die Frist für AU-Bescheinigungen, für die es keine gesetzliche Vorgabe gibt.

§ 6 Betroffenenrechte

Sie haben — gegenüber dem jeweils Verantwortlichen (siehe § 1) — folgende Rechte:

1. Auskunft (Art. 15 DSGVO),
2. Berichtigung (Art. 16 DSGVO),
3. Löschung (Art. 17 DSGVO),
4. Einschränkung der Verarbeitung (Art. 18 DSGVO),
5. Datenübertragbarkeit (Art. 20 DSGVO),
6. Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e/f DSGVO (Art. 21 DSGVO),
7. Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Für Beschäftigtendaten, die wir im Auftrag Ihres Arbeitgebers verarbeiten, wenden Sie sich bitte vorrangig an Ihren Arbeitgeber; wir leiten dort eingehende Anfragen unverzüglich weiter und unterstützen die Beantwortung.

Selbstauskunft in der Anwendung [ANGEGLICHEN 12.08.2026]: Beschäftigte können ihre Auskunft nach Art. 15 DSGVO in der Anwendung selbst abrufen (Einstellungen → „Daten & Löschung" → „Meine Datenauskunft"), ohne den Arbeitgeber einschalten zu müssen. Ausgegeben werden eine lesbare Fassung und eine maschinenlesbare JSON-Datei (Art. 20 DSGVO) mit allen gespeicherten Daten, je Kategorie ergänzt um Zweck, Rechtsgrundlage und Speicherdauer. Enthalten ist auch die Liste, wer wann auf hochgeladene AU-Bescheinigungen zugegriffen hat. Nicht enthalten sind Passwort- und PIN-Hashes sowie die Dateiinhalte selbst — Letztere bleiben hinter dem protokollierten Download.

§ 7 Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für [FIRMA] zuständig: [ZUSTÄNDIGE LANDESDATENSCHUTZBEHÖRDE — PRÜFEN].

§ 8 Cookies und ähnliche Technologien

Unsere Webseite kommt weitgehend ohne Cookies zu Werbe- oder Trackingzwecken aus:

• Reichweitenmessung: Plausible arbeitet cookielos (siehe § 2.10); ein Cookie-Banner ist hierfür nicht erforderlich. [PRÜFEN: Bewertung nach § 25 TDDDG bei finaler Konfiguration]
• Technisch notwendige Speicherung: Für Login und Sitzungsverwaltung der Web-App setzen wir technisch notwendige Cookies bzw. vergleichbare Speichertechnologien ein (Session-/Auth-Token, Sicherheits-Token). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b/f DSGVO.
• Es findet kein Einsatz von Marketing-, Profiling- oder Drittanbieter-Werbecookies statt. Sollte sich dies ändern, holen wir vorab erforderliche Einwilligungen ein.

§ 9 Technische und organisatorische Maßnahmen (Kurzübersicht)

Wir treffen dem Risiko angemessene Maßnahmen nach Art. 32 DSGVO, u. a.:

• Verschlüsselung der Datenübertragung (TLS) und Verschlüsselung gespeicherter Daten (at rest);
• zusätzliche Verschlüsselung von AU-Dokumenten durch die Anwendung selbst (AES-256-GCM), bevor sie an den Objektspeicher übergeben werden [ANGEGLICHEN 12.08.2026];
• Mandantentrennung der Kundendaten, auch im Objektspeicher (getrennte Pfad-Präfixe je Betrieb);
• rollenbasiertes Berechtigungskonzept und Zwei-Faktor-Authentifizierung [PRÜFEN: Verfügbarkeit];
• Protokollierung sicherheitsrelevanter Zugriffe (Audit-Logs), einschließlich jedes Zugriffs auf Gesundheitsdaten [ANGEGLICHEN 12.08.2026];
• automatischer, täglich laufender Lösch- und Anonymisierungsprozess mit Protokoll (Art. 5 Abs. 2 DSGVO) [ANGEGLICHEN 12.08.2026];
• regelmäßige Backups und Wiederherstellungstests;
• Hosting in EU-Rechenzentren [PRÜFEN: tatsächliche Regionen];
• Verpflichtung der Mitarbeitenden auf Vertraulichkeit, Zugriffs- und Zutrittsbeschränkungen.

Eine ausführliche TOM-Beschreibung ist Anlage 1 unseres Auftragsverarbeitungsvertrags.

§ 10 Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet durch [FIRMA] nicht statt.

§ 11 Pflicht zur Bereitstellung

Die Bereitstellung von Stammdaten ist für die Nutzung der Web-App erforderlich; ohne sie kann kein Konto bereitgestellt werden. Ob und welche Daten Beschäftigte im Beschäftigungsverhältnis bereitstellen müssen, richtet sich nach dem Arbeitsverhältnis mit dem Arbeitgeber.

§ 12 Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf der Webseite veröffentlichte Fassung.

---

Stand: [DATUM]