Datenschutzerklärung

1. Worum es geht

Diese Datenschutzerklärung gilt für die Nutzung von SUSET Zeiterfassung unter dieser Internet-Adresse. Die Anwendung wird von Ihrem Arbeitgeber für die Arbeitszeiterfassung und die Verwaltung von Abwesenheiten eingesetzt. Sie richtet sich an Beschäftigte, denen der Arbeitgeber einen persönlichen Zugang eingerichtet hat.

2. Verantwortlicher

Verantwortlich für die Verarbeitung Ihrer Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Ihr Arbeitgeber:

3. Betrieb der Anwendung (Auftragsverarbeiter)

Die Anwendung wird im Auftrag Ihres Arbeitgebers betrieben von Strobl & Schmidtke Elektrotechnik GmbH, Im Kies 19, 72555 Metzingen. Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Der Anbieter verarbeitet die Daten nur nach Weisung Ihres Arbeitgebers und greift auf Inhalte nur zu, soweit dies für Betrieb, Fehlerbehebung oder Support erforderlich ist.

Für die zentrale Betriebsüberwachung übermittelt die Anwendung nur technische Kennzahlen (z. B. Version, Sicherungsstatus, Speicherbelegung, Fehlerzähler) sowie Firmenname und Lizenzangaben, keine Daten der Beschäftigten. Auch die Betriebsüberwachung läuft auf Servern des Anbieters in Deutschland.

4. Zwecke und Rechtsgrundlagen

• Arbeitszeiterfassung: Erfassung von Beginn, Ende, Pausen, Tätigkeit sowie Kunden- und Projektzuordnung zur Erfüllung gesetzlicher Aufzeichnungspflichten (u. a. § 16 Abs. 2 ArbZG) und zur Durchführung des Arbeitsverhältnisses. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
• Prüfung der Arbeitszeitregeln: Hinweise auf Pausen, Ruhezeiten und Höchstarbeitszeiten nach Arbeitszeitgesetz bzw. Jugendarbeitsschutzgesetz; dafür kann das Geburtsdatum gespeichert sein. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.
• Abwesenheiten, Urlaub und Überstunden: Verwaltung von Urlaubsanträgen, Freizeitausgleich, Sonderurlaub, Elternzeit und dienstlichen Terminen sowie Führung von Urlaubs- und Überstundenkonten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Krankmeldungen und Mutterschutz (Gesundheitsdaten): Erfassung von Krankmeldungen, Arbeitsunfähigkeitsbescheinigungen sowie Zeiten von Mutterschutz und Beschäftigungsverbot einschließlich ärztlicher Bescheinigungen. Diese Daten sind besonders geschützt; sie sind nur für Sie selbst und berechtigte Personen beim Arbeitgeber sichtbar. Rechtsgrundlage: Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG.
• Monatsabschluss, Berichte und Lohnabrechnung: Digitale Bestätigung der Monatsnachweise, Archivierung als PDF und Exporte für die Lohnabrechnung (z. B. an den Steuerberater). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
• Dokumente: Bereitstellung von Dokumenten durch den Arbeitgeber (z. B. Lohnabrechnungen, Verträge, Bescheinigungen), sofern die Funktion genutzt wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Zugang und Sicherheit: Benutzerkonto, Anmeldung, Zwei-Faktor-Anmeldung, angemeldete Geräte, Schutz vor Angriffen und Protokollierung sicherheitsrelevanter Vorgänge. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO (Datensicherheit, Art. 32 DSGVO).
• Nachvollziehbarkeit von Änderungen: Unveränderliches Protokoll, wer wann was geändert hat, sowie Änderungshistorie je Zeiteintrag — zum Nachweis gegenüber Ihnen, dem Arbeitgeber und Prüfbehörden. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO.
• Benachrichtigungen: Hinweise in der Anwendung und — sofern vom Arbeitgeber eingerichtet bzw. von Ihnen auf dem Gerät freigegeben — per E-Mail oder Push-Benachrichtigung. Welche Hinweise Sie per E-Mail oder Push erhalten, können Sie im Profil einstellen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
• Stempeluhr (optional): Ein- und Ausstempeln an einem Tablet des Betriebs mit persönlicher PIN oder NFC-Karte. PIN und Kartennummer werden nur in unumkehrbar verschlüsselter Form (Hash) gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
• Standorterfassung (optional): Nur wenn der Arbeitgeber die Funktion aktiviert hat und Sie im Browser zustimmen, wird beim Erfassen einer Zeit der Standort (Koordinaten) gespeichert. Ohne Ihre Freigabe werden keine Standortdaten gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO bzw. eine betriebliche Regelung.
• Kalender-Abo (optional): Sie können Ihre Abwesenheiten und Schichten in Ihrer eigenen Kalender-App abonnieren. Der Feed enthält auch Krankmeldungen; mit dem Abonnement liegen diese Einträge bei Ihrem Kalender-Anbieter. Die Entscheidung liegt bei Ihnen.
• Schnittstellen (optional): Hat der Arbeitgeber eine Schnittstelle zu einer anderen Software aktiviert (z. B. Handwerker- oder Abrechnungssoftware), werden Zeiteinträge mit Ihrer Zuordnung dorthin übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5. Verarbeitete Daten

• Stammdaten: Name, Benutzername, E-Mail, Personalnummer, Anschrift, Gruppe/Rolle, Ein- und Austrittsdatum, Geburtsdatum, Bundesland
• Vertragsdaten: Arbeitszeitmodell, Urlaubsanspruch, Vergütungsart, Stundenlohn und dessen Verlauf, Zuschlagsregeln
• Zeitdaten: Beginn, Ende, Pausen, Tätigkeiten, Kunden-/Projektzuordnung, Erfassungsweg, Kommentare, Änderungen und Begründungen
• Abwesenheiten: Art, Zeitraum und Status von Anträgen; bei Krankheit, Mutterschutz und Beschäftigungsverbot auch hochgeladene Bescheinigungen
• Konten und Abschlüsse: Überstunden- und Urlaubskonten, Korrekturbuchungen, Monatsbestätigungen, archivierte Berichte
• Zugangsdaten: Passwort nur als Hash (bcrypt), Zwei-Faktor-Geheimnis verschlüsselt, Wiederherstellungscodes, Stempeluhr-PIN und NFC-Kennung nur als Hash
• Geräte- und Protokolldaten: angemeldete Geräte (Browser, Betriebssystem, IP-Adresse, letzte Aktivität), Anmeldungen und sicherheitsrelevante Ereignisse mit IP-Adresse, Änderungsprotokoll
• Optional: Standortdaten, Dokumente des Arbeitgebers, Einstellungen zu Benachrichtigungen und Darstellung

6. Wer Ihre Daten sieht

• Sie selbst sehen Ihre eigenen Daten.
• Administratoren Ihres Arbeitgebers sowie Personen mit einer vom Arbeitgeber vergebenen Berechtigung (z. B. Teamleitung für Urlaubsgenehmigung) sehen die Daten, die sie für ihre Aufgabe benötigen.
• Kolleginnen und Kollegen sehen Ihre Daten grundsätzlich nicht. Ausnahmen bestehen nur, wenn der Arbeitgeber gemeinsame Funktionen nutzt (z. B. Schichtplan).
• Der Arbeitgeber kann Daten an Dritte weitergeben, soweit eine Rechtsgrundlage besteht (z. B. an das Steuerbüro für die Lohnabrechnung).

7. Hosting und Empfänger

Die Anwendung läuft in einer eigenen, von anderen Kunden getrennten Instanz auf Servern in Deutschland. Eingesetzte Dienstleister des Anbieters:

• Hetzner Online GmbH (Gunzenhausen) und Hostinger International Ltd. — Server, Speicher und Datensicherung, Rechenzentren in Deutschland
• CrowdSec SAS (Frankreich, EU) — Schutz vor Angriffen: IP-Adressen, von denen Angriffe erkannt werden, werden mit der CrowdSec-Gemeinschaft ausgetauscht, um Angreifer zu sperren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Systeme).

Eine Übermittlung in Länder außerhalb der EU bzw. des EWR findet nicht statt.

Nur wenn genutzt: E-Mails versendet die Anwendung über das E-Mail-Konto Ihres Arbeitgebers. Push-Benachrichtigungen werden verschlüsselt über den Dienst des Herstellers Ihres Browsers bzw. Geräts zugestellt (z. B. Apple, Google, Mozilla, Microsoft) — erst nachdem Sie sie auf dem Gerät freigegeben haben. Bei aktivierter Standorterfassung lädt Ihr Browser zur Anzeige einer Karte Kartenausschnitte von OpenStreetMap (OpenStreetMap Foundation); dabei wird Ihre IP-Adresse an den Kartendienst übermittelt (Datenschutzhinweise der OSMF).

8. Cookies und Speicher im Browser

• Anmelde-Cookie: hält Sie angemeldet (technisch erforderlich). Die Anmeldung endet nach 24 Stunden ohne Aktivität, spätestens nach 30 Tagen.
• „Gerät merken“ (optional): Cookie 2fa_r, damit auf diesem Gerät 30 Tage lang kein Zwei-Faktor-Code nötig ist.
• Stempeluhr: ein Cookie auf dem Tablet des Betriebs, das das Gerät als gekoppelte Stempeluhr ausweist.
• Offline-Funktionen: Bei fehlender Verbindung werden Timer-Ereignisse, Entwürfe und eine Kopie Ihrer letzten Übersicht im Speicher des Browsers abgelegt (localStorage), bis sie übertragen werden können.
• Darstellung: die gewählte Farbdarstellung (hell/dunkel).

Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt.

9. Speicherdauer

Über die Löschung entscheidet Ihr Arbeitgeber unter Beachtung der gesetzlichen Aufbewahrungsfristen. Die Anwendung löscht Zeit- und Abwesenheitsdaten nicht von selbst.

• Arbeitszeitdaten: mindestens 2 Jahre (§ 16 Abs. 2 ArbZG)
• Lohnrelevante Unterlagen: bis zu 10 Jahre (§ 147 AO), soweit einschlägig
• Nach dem Ausscheiden: Der Arbeitgeber kann das Konto endgültig löschen. Dabei werden Kontaktdaten, Zugänge, Dokumente und Bescheinigungen entfernt; Ihr Name bleibt an den gesetzlich aufzubewahrenden Zeitnachweisen stehen.
• Änderungsprotokoll: wird nicht verändert oder gelöscht, solange die Anwendung genutzt wird (Nachweisfunktion).
• Anmeldungen, angemeldete Geräte, Sicherheitsereignisse: für die Dauer der Nutzung der Anwendung.
• Fehlerprotokolle: 30 Tage; E-Mail-Adressen und IP-Adressen werden vor dem Speichern entfernt.
• Benachrichtigungen: bis Sie sie löschen.
• Datensicherungen: innerhalb der Anwendung gestaffelt bis zu 5 Jahre, zusätzliche externe Sicherungen bis zu 12 Monate. Nach Ende des Vertrags mit dem Anbieter wird die Instanz samt der darin enthaltenen Sicherungen gelöscht; externe Sicherungen spätestens nach 13 Monaten.

10. Sicherheit

• Verschlüsselte Übertragung (HTTPS), Server ausschließlich in Deutschland
• Passwörter nur als Hash, Zwei-Faktor-Anmeldung (für Administratoren Pflicht), Sperre bei wiederholten Fehlversuchen
• Rollen und Berechtigungen; Mitarbeiter sehen nur eigene Daten
• Unveränderliches, gegen nachträgliche Änderung gesichertes Änderungsprotokoll
• Tägliche, signierte Datensicherung mit täglichem Wiederherstellungstest
• Prüfung und Entschärfung hochgeladener Dateien
• Keine Zwischenspeicherung persönlicher Seiteninhalte im Browser-Cache

11. Ihre Rechte

• Auskunft (Art. 15 DSGVO) — eine Kopie Ihrer Daten können Sie im Profil unter „Meine Daten“ selbst herunterladen
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer Einwilligung (z. B. Standortfreigabe) mit Wirkung für die Zukunft

Wenden Sie sich dazu bitte an Ihren Arbeitgeber.

12. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig für Ihren Arbeitgeber ist in der Regel die Behörde des Bundeslands, in dem er seinen Sitz hat: Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg. Anschriften aller Aufsichtsbehörden: Übersicht beim Bundesbeauftragten für den Datenschutz.

13. Stand

Stand: Oktober 2026. Bei wesentlichen Änderungen an Funktionen oder an der Datenverarbeitung wird diese Erklärung angepasst. Ergänzende Regelungen Ihres Arbeitgebers (z. B. Arbeitsvertrag oder Betriebsvereinbarung) bleiben unberührt.