Datenschutzhinweise

Beim Aufruf unserer Website erhebt unser Hosting-Anbieter automatisch technische Zugriffsdaten in Server-Logfiles. Diese Daten sind technisch erforderlich, um die Website auszuliefern und die Stabilität und Sicherheit zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technisch fehlerfreien Bereitstellung und Absicherung unserer Website).

Speicherdauer: Server-Logfiles werden nach 14 Tagen automatisch gelöscht.

Empfänger: Vercel Inc. als Hosting-Dienstleister (siehe Abschnitt 8.3); bei Aufruf über www.klok-zeiterfassung.de zusätzlich Cloudflare Inc. (siehe Abschnitt 8.4).

Die öffentlichen Seiten unserer Website setzen keine Cookies und speichern beim Aufruf nichts auf Ihrem Endgerät. Nur wenn Sie die Farbdarstellung (hell/dunkel) selbst umschalten, speichern wir diese Wahl im Local Storage Ihres Browsers.

In der Anwendung (Anmeldung, Verwaltung, Mitarbeiter-App, Terminal) nutzen wir den Local Storage, den Session Storage und IndexedDB Ihres Browsers für Funktionen, die Sie ausdrücklich nutzen: die Anmeldesitzung, die Bindung eines Terminals bzw. der Mitarbeiter-App an Ihr Gerät, die Offline-Zwischenspeicherung von Stempelungen sowie Einstellungen der Oberfläche (z. B. ausgewählter Standort, eingeklappte Seitenleiste).

Rechtsgrundlage: §25 Abs. 2 Nr. 2 TDDDG (Ausnahme von der Einwilligungspflicht für unbedingt erforderliche Speichertechnologien) in Verbindung mit Art. 6 Abs. 1 lit. b und f DSGVO.

Wir setzen keine Analyse-, Tracking- oder Marketing-Cookies ein.

Um zu verstehen, wie unsere Website genutzt wird, setzen wir eine eigene, cookiefreie Reichweitenmessung ein. Es werden weder Cookies gesetzt noch Informationen im Browser gespeichert (kein Local Storage, kein Session Storage). Innerhalb der Anwendung (Verwaltung, Mitarbeiter-App, Terminal) findet keine Reichweitenmessung statt.

Die IP-Adresse und die Browserkennung (User-Agent) werden nur flüchtig verwendet, um zusammen mit einem geheimen Schlüssel und dem aktuellen Datum einen Hashwert zu bilden. Dieser Hashwert lässt sich aus den gespeicherten Daten nicht auf die IP-Adresse zurückrechnen und ändert sich jeden Tag, sodass wir Besucher nicht über mehrere Tage hinweg wiedererkennen. IP-Adresse und Browserkennung werden in der Reichweitenmessung nicht gespeichert; sie fallen lediglich in den Server-Logfiles unseres Infrastrukturanbieters an (siehe Abschnitt 3.1). Eine Zusammenführung mit Nutzerkonten oder anderen Datenquellen findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung und Verbesserung unserer Website).

Speicherdauer: Die erfassten Rohdaten werden nach 400 Tagen automatisch gelöscht.

Empfänger: Die Verarbeitung erfolgt auf Servern unseres Infrastrukturanbieters Supabase in der EU (siehe Abschnitt 8.2). Die Anfragen laufen über unseren Hosting-Anbieter Vercel (siehe Abschnitte 3.1 und 8.3), der aus der IP-Adresse das Land ableitet und die Anfrage an Supabase weiterleitet; Vercel speichert dabei nur die in Abschnitt 3.1 beschriebenen Server-Logfiles.

Wenn Sie uns per E-Mail oder über das Kontaktformular auf /kontakt kontaktieren, verarbeiten wir die von Ihnen mitgeteilten personenbezogenen Daten (Name, E-Mail-Adresse, Nachrichteninhalt, beim Formular optional der Name Ihres Betriebs) ausschließlich zur Bearbeitung Ihrer Anfrage.

Kontaktformular: Die Angaben aus dem Formular werden nicht in unserer Datenbank gespeichert. Eine Edge Function bei Supabase (Abschnitt 8.2) prüft sie und leitet sie über unseren E-Mail-Dienstleister Resend (Abschnitt 8.6) als E-Mail an unser Postfach kontakt@klok-zeiterfassung.de weiter; Ihre E-Mail-Adresse wird dabei als Antwortadresse gesetzt. Zum Schutz vor Missbrauch (massenhafte Anfragen) protokollieren wir je Versand nur den Zeitpunkt und einen Hashwert Ihrer IP-Adresse, der täglich wechselt. Ihre IP-Adresse selbst speichern wir nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung allgemeiner Anfragen). Das Versandprotokoll beruht auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz des Formulars und unseres E-Mail-Versands vor Missbrauch).

Speicherdauer: Wir löschen Ihre Anfrage spätestens nach 3 Jahren (regelmäßige Verjährungsfrist gemäß §§195, 199 BGB). Einträge im Versandprotokoll des Kontaktformulars werden nach 30 Tagen automatisch gelöscht.

Texte und Bilder einiger öffentlicher Seiten (z. B. Startseite, Funktions- und Branchenseiten) lädt Ihr Browser direkt vom Content-Management-System Sanity (Server unter apicdn.sanity.io bzw. cdn.sanity.io). Dabei erhält Sanity technisch bedingt Ihre IP-Adresse, Browserinformationen und die abgefragten Inhalte. Es werden keine Cookies gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einfach pflegbaren Website).

Drittlandübermittlung: Soweit Daten an Sanity US Inc. oder Server außerhalb des EWR gelangen, erfolgt dies auf Grundlage der in Abschnitt 8.1 genannten Garantien.

Weitere Informationen: sanity.io/legal/privacy

Für die Nutzung der Klok-Plattform ist die Erstellung eines Betreiber-Kontos erforderlich.

Zweck: Begründung, Durchführung und Verwaltung des Vertragsverhältnisses; Authentifizierung und Zugriffskontrolle; Kundenbetreuung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Vertragslaufzeit + bis zu 10 Jahre nach Vertragsende gemäß §257 HGB, §147 AO.

Die Benutzeranmeldung erfolgt über den Authentifizierungsdienst unseres Infrastrukturanbieters Supabase. Dabei werden E-Mail-Adresse, gehashtes Passwort, Session-Token und Anmeldezeitpunkte verarbeitet. Supabase speichert diese Daten auf Servern in Irland (AWS-Region eu-west-1).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO i.V.m. Art. 28 DSGVO.

Sie können sich statt mit E-Mail-Adresse und Passwort auch mit Ihrem Google-Konto registrieren und anmelden. Erst wenn Sie auf „Mit Google registrieren" bzw. „Mit Google anmelden" klicken, werden Sie zu Google weitergeleitet. Nach Ihrer Freigabe übermittelt Google an uns (über Supabase Auth) Ihren Namen, Ihre E-Mail-Adresse, Ihre Google-Kennung und ggf. Ihr Profilbild. Google erfährt dabei, dass Sie sich bei Klok anmelden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -durchführung auf Ihren Wunsch).

Drittlandübermittlung: Google kann Daten an Google LLC (USA) übermitteln; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert.

Weitere Informationen: policies.google.com/privacy

Wenn Sie unseren Support kontaktieren, verarbeiten wir die im Rahmen der Kommunikation übermittelten Daten (Name, E-Mail, Inhalt der Anfrage) zur Bearbeitung Ihres Anliegens.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: 3 Jahre nach Abschluss der Bearbeitung.

Wir werten Nutzungsdaten der Plattform zusammengefasst aus (z.B. Häufigkeit der Nutzung bestimmter Funktionen, Fehlerstatistiken), um unsere Dienste zu verbessern. Die zugrunde liegenden Daten sind pseudonymisiert: Sie enthalten technische Kennungen (z.B. User-ID, Firmen-ID), aber keine Klarnamen oder E-Mail-Adressen. Einzelheiten zur Erfassung über New Relic stehen in Abschnitt 8.5.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unserer Dienste).

Der Betreiber (Arbeitgeber), der die Klok-Plattform für sein Unternehmen einsetzt, ist der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO für die Verarbeitung der Beschäftigtendaten seiner Mitarbeiter.

Klok handelt insoweit ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO und verarbeitet die Beschäftigtendaten nur auf dokumentierte Weisung des Betreibers.

Informationspflicht des Betreibers: Die datenschutzrechtliche Information der Beschäftigten nach Art. 13 DSGVO obliegt dem jeweiligen Betreiber als Verantwortlichem.

Zwischen Klok und jedem Betreiber wird ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Der AVV kann unter datenschutz@fatec.io angefordert werden.

Die Rechtsgrundlagen bestimmt der Betreiber als Verantwortlicher. In der Regel kommen in Betracht:

• Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung): Arbeitgeber sind gesetzlich zur Arbeitszeiterfassung verpflichtet (§16 Abs. 2 ArbZG; BAG, Beschl. v. 13.09.2022 – 1 ABR 22/21; §17 MiLoG für Gastronomie und Einzelhandel).
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Soweit die Zeiterfassung zur korrekten Entgeltabrechnung erforderlich ist.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen): Soweit der Betreiber ein berechtigtes Interesse an der Organisation und Dokumentation von Arbeitszeiten hat.

Hinweis: Das BAG hat mit Urteil vom 08.05.2025 (8 AZR 209/21) bestätigt, dass §26 Abs. 1 S. 1 BDSG die Anforderungen der Öffnungsklausel des Art. 88 DSGVO nicht erfüllt und daher nicht anwendbar ist. Die Rechtsgrundlagen richten sich daher unmittelbar nach Art. 6 DSGVO.

Wenn ein Beschäftigter das Unternehmen des Betreibers verlässt, wird der Mitarbeiter-Account im System deaktiviert. Nach 30 Tagen werden personenbezogene Identifikatoren (Name, E-Mail, PIN) automatisch und irreversibel anonymisiert. Zeiterfassungsdaten, Zuschlagsnachweise und Zeitkontodaten verbleiben in anonymisierter Form für die Dauer der jeweiligen gesetzlichen Aufbewahrungsfrist (2–10 Jahre je nach Datentyp) und werden anschließend endgültig gelöscht.

Der Betreiber als Verantwortlicher kann vor Ablauf der 30-Tage-Frist einen Datenexport des Mitarbeiterdatensatzes durchführen. Die Initiative zur Deaktivierung liegt beim Betreiber.

Supabase stellt die Datenbankinfrastruktur (PostgreSQL), Authentifizierung und Edge Functions bereit. Alle Kundendaten werden auf Servern in Irland (AWS-Region eu-west-1) gespeichert und verarbeitet. Supabase handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Drittlandübermittlung: Abgesichert durch EU-US DPF und SCCs (Modul 2). Supabase ist SOC 2 Type II-zertifiziert.

Weitere Informationen: supabase.com/privacy | DPA: supabase.com/legal/dpa

Vercel stellt die technische Infrastruktur zum Betrieb unserer Webanwendung bereit (Hosting, Content Delivery, Edge Functions). Beim Zugriff auf unsere Anwendung werden durch Vercel automatisch erhoben: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seiten, Referrer-URL, Browser und Betriebssystem sowie Fehlerdaten.

Rolle nach DSGVO: Vercel ist für Customer Data unser Auftragsverarbeiter gemäß Art. 28 DSGVO. Für eigene Service-Logdateien und Traffic-Metadaten (Service-Generated Data) handelt Vercel als eigenständiger Verantwortlicher gemäß seiner Datenschutzerklärung.

Serverstandorte: Die Website und die Weiterleitung der Reichweitenmessung (Abschnitt 3.3) laufen im globalen Vercel Edge Network; die Anfrage wird in der Regel vom nächstgelegenen Standort beantwortet. Datenbank und Anwendungsdaten liegen nicht bei Vercel, sondern bei Supabase (Abschnitt 8.2).

Drittlandübermittlung: Vercel ist unter dem EU-US DPF zertifiziert. Ergänzend gelten SCCs gemäß Durchführungsbeschluss 2021/914 (Modul 1–3). Vercel ist ISO 27001- und SOC 2 Type 2-zertifiziert.

Weitere Informationen: vercel.com/legal/privacy-policy | DPA: vercel.com/legal/dpa | Sub-Processors: vercel.com/legal/sub-processors

Cloudflare betreibt die Nameserver (DNS) unserer Domain und ist der Subdomain www.klok-zeiterfassung.de als Sicherheits- und Leistungsnetzwerk vorgeschaltet. Aufrufe von klok-zeiterfassung.de (ohne „www") gehen direkt an Vercel. Bei Aufrufen über www werden verarbeitet: IP-Adresse, HTTP-Request-Header (User-Agent, Referer), angeforderte URL, Statuscodes, TLS-Verbindungsdaten sowie aus der IP abgeleitete Standortinformationen.

EU-Rechenzentren in Deutschland: Berlin, Düsseldorf, Frankfurt, Hamburg, München, Stuttgart. Cloudflare betreibt über 330 Rechenzentren weltweit.

Speicherdauer: Edge-Zugriffslogs: ca. 4 Stunden. Fehlerlogs: ca. 1 Woche.

Cookies: Bei Aufrufen über www kann Cloudflare zur Abwehr von Bots Sicherheits-Cookies setzen (z. B. „__cf_bm", „cf_clearance"). Rechtsgrundlage: §25 Abs. 2 Nr. 2 TDDDG i.V.m. Art. 6 Abs. 1 lit. f DSGVO.

Drittlandübermittlung: Cloudflare ist unter dem EU-US DPF zertifiziert. Ergänzend gelten SCCs (Modul 2 und 3). Cloudflare ist ISO 27001 und ISO 27701-zertifiziert.

Weitere Informationen: cloudflare.com/privacypolicy | DPA: cloudflare.com/dpa

Wir nutzen New Relic zur Fehlerdiagnose, Absturzanalyse und Performance-Überwachung sowie zur zusammengefassten Auswertung, wie Funktionen der Anwendung genutzt werden. New Relic läuft nur in der Anwendung (Anmeldung und Registrierung, Passwort-Zurücksetzen, Einrichtung, Verwaltung, Mitarbeiter-App, Terminal, Einladungslinks), nicht auf den öffentlichen Seiten unserer Website. New Relic speichert nichts auf Ihrem Endgerät (keine Cookies, kein Local Storage).

Zusätzlich senden unsere Server-Funktionen (Supabase Edge Functions) technische Telemetrie an New Relic: aufgerufene Funktion und Adresse einschließlich URL-Parameter, Methode, Statuscode, Dauer, Fehlermeldungen samt Stacktrace sowie technische Ereignisse mit Kennungen (z. B. Firmen-ID, etwa bei Zahlungsvorgängen). IP-Adressen werden dabei nicht übermittelt.

Wir übermitteln keine Klarnamen, E-Mail-Adressen oder andere Inhaltsdaten an New Relic.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen und sicheren Betrieb der Anwendung und an ihrer Verbesserung).

Rolle nach DSGVO: New Relic ist Auftragsverarbeiter gemäß Art. 28 DSGVO. Es wurde ein Auftragsverarbeitungsvertrag (AVV/DPA) abgeschlossen.

Speicherdauer: 8 Tage für Logs und Events, 13 Monate für aggregierte Metriken.

Drittlandübermittlung: Die operative Verarbeitung erfolgt ausschließlich in der EU. Für Support- und Verwaltungszwecke kann New Relic Inc. (USA) Zugriff erhalten; dies ist durch EU-US DPF und Standardvertragsklauseln abgesichert.

Weitere Informationen: newrelic.com/privacy

Über Resend versenden wir System-E-Mails: Hinweise zur Testphase und zum Konto an Betreiber, Informationen bei Kündigung und Löschung des Kontos sowie Einladungen weiterer Administratoren. Verarbeitet werden E-Mail-Adresse des Empfängers, Firmenname, Inhalt der E-Mail und Zustellinformationen. Außerdem leiten wir Nachrichten aus dem Kontaktformular über Resend an unser Postfach weiter (Name, E-Mail-Adresse, Betrieb und Nachricht, siehe Abschnitt 3.4).

Standort: Der Versand läuft über die EU-Region von Resend in Irland (Amazon SES, AWS-Region eu-west-1).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Bei Einladungen weiterer Administratoren handelt Klok als Auftragsverarbeiter des Betreibers (Abschnitt 7). Für das Kontaktformular gilt Abschnitt 3.4.

Rolle nach DSGVO: Resend ist Auftragsverarbeiter gemäß Art. 28 DSGVO.

Drittlandübermittlung: Resend, Inc. hat seinen Sitz in den USA, daher ist ein Zugriff aus den USA (z. B. für Support und Betrieb) nicht auszuschließen. Dieser ist abgesichert durch die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Resend (siehe Abschnitt 8.1).

Weitere Informationen: resend.com/legal/privacy-policy | DPA: resend.com/legal/dpa

Wenn Sie in der Mitarbeiter-App Benachrichtigungen erlauben, erzeugt Ihr Browser eine Empfangsadresse beim Push-Dienst seines Herstellers (z. B. Google Firebase Cloud Messaging bei Chrome, Apple Push Notification Service bei Safari, Mozilla Push Service bei Firefox). Diese Adresse und die zugehörigen Schlüssel speichern wir zusammen mit der Kennung Ihres Geräts. Benachrichtigungen (z. B. zu Dienstplan, Urlaub oder Korrekturen) senden wir Ende-zu-Ende verschlüsselt an diesen Dienst; er sieht nur die Empfangsadresse und technische Metadaten, nicht den Inhalt.

Rechtsgrundlage: Die Verarbeitung erfolgt im Auftrag Ihres Arbeitgebers, der die Rechtsgrundlage bestimmt (Abschnitt 7.4). Den Empfang erlauben Sie selbst über die Berechtigungsabfrage Ihres Browsers (§25 Abs. 1 TDDDG). Sie können Benachrichtigungen jederzeit in der App oder in den Browser-Einstellungen abschalten.

Drittlandübermittlung: Je nach Browser-Hersteller kann der Push-Dienst in den USA betrieben werden.

* Die Speicherdauer für Beschäftigtendaten wird durch den jeweiligen Betreiber (Verantwortlichen) festgelegt.

Hinweis: Durch das 4. Bürokratieentlastungsgesetz (BEG IV) vom 23.10.2024 wurde die steuerliche Aufbewahrungsfrist für Buchungsbelege von 10 auf 8 Jahre verkürzt (§147 Abs. 3 S. 1 AO n.F., gültig ab 01.01.2025).

Bei Kündigung des Abonnements durchlaufen die Daten ein gestuftes Löschverfahren:

• Exportzeitraum (30 Tage): Lesezugriff auf alle Daten mit Self-Service-Export (CSV, JSON, PDF)
• Sperrung (Tag 31–60): Zugang gesperrt, Daten erhalten, Reaktivierung auf Anfrage möglich
• Anonymisierung (ab Tag 61): Irreversible Entfernung personenbezogener Identifikatoren
• Löschbestätigung (ab Tag 90): Proaktive schriftliche Bestätigung an den Betreiber

Details regelt der Auftragsverarbeitungsvertrag (§ 12a).

Soweit gesetzliche Aufbewahrungspflichten einer sofortigen Löschung entgegenstehen, werden personenbezogene Identifikatoren (Name, E-Mail, PIN und alle weiteren direkt identifizierenden Merkmale) irreversibel durch generische Platzhalter ersetzt. Die verbleibenden anonymisierten Daten (z.B. Zeitstempel, berechnete Stundenwerte) ermöglichen keine Rückführung auf einzelne Personen und unterliegen daher nicht mehr dem Anwendungsbereich der DSGVO (ErwG. 26).

Die für uns zuständige Aufsichtsbehörde ist:

Sie können sich auch an die Datenschutz-Aufsichtsbehörde Ihres Wohnsitzes oder Arbeitsplatzes wenden.