Datenschutzerklärung

Verantwortlich für die Datenverarbeitung:

Matthias Papst
TeamStamp
Zugspitzstraße 7
83395 Freilassing
Deutschland

E-Mail: webmaster@teamstamp.de

Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit der Datenschutz-Grundverordnung (DSGVO) sowie den geltenden nationalen Datenschutzgesetzen.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen.

TeamStamp verwendet keine Cookies zu Tracking- oder Marketingzwecken, kein Analytics und keinen Newsletter-Versand.

Bei der Registrierung und Nutzung des Dienstes verarbeiten wir folgende Daten:

• Name
• E-Mail-Adresse
• Unternehmensdaten (optional)
• Login-Daten
• Vertrags- und Abrechnungsdaten
• Nutzungs- und Organisationsdaten innerhalb der App

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Sofern Nutzer innerhalb von TeamStamp Mitarbeiterdaten erfassen (z. B. Arbeitszeiten, Urlaube, Krankmeldungen, Schichtpläne), ist der jeweilige Nutzer (Betrieb/Arbeitgeber) Verantwortlicher im Sinne der DSGVO.

TeamStamp verarbeitet diese Daten als Auftragsverarbeiter im Sinne des Art. 28 DSGVO.

Ein Vertrag zur Auftragsverarbeitung (AVV) wird bei der Registrierung digital geschlossen und ist im Kundenbereich versioniert einsehbar.

Rechtsgrundlage für die Verarbeitung im Beschäftigungsverhältnis:

§ 26 Abs. 1 BDSG (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses) in Verbindung mit Art. 88 DSGVO. Eine Einwilligung des Beschäftigten ist daher nicht erforderlich; die Information durch den Arbeitgeber genügt.

Administratoren eines Betriebs können jederzeit einen vollständigen Datenexport ihres Betriebs erstellen. Das ZIP-Archiv enthält Stammdaten, Arbeitszeit-Aufzeichnungen, Urlaubs- und Krankenanträge, Schichtanfragen, Stundenkonto-Snapshots, Termine und Audit-Logs.

Der Export dient zur Erfüllung von Auskunfts- und Datenübertragbarkeits-Pflichten gegenüber Beschäftigten (Art. 15, 20 DSGVO) sowie zur eigenverantwortlichen Einhaltung gesetzlicher Aufbewahrungspflichten:

• § 16 Abs. 2 ArbZG (mindestens 2 Jahre — Arbeitszeit-Aufzeichnungen)
• § 257 HGB (6 Jahre — Lohn- und Geschäftsunterlagen)
• § 147 Abs. 3 AO (6 Jahre — lohnsteuerrelevante Aufzeichnungen)
• § 28f SGB IV (Lohnunterlagen für SV-Prüfung)

Nicht im Export enthalten sind Direktnachrichten und Team-Chat-Verläufe (privater Schriftverkehr der Beschäftigten).

Die technische Infrastruktur erfolgt über:

Google Ireland Limited (Google Firebase)

Verarbeitete Daten:

• Accountdaten
• Anwendungsdaten
• Server-Logdaten
• Authentifizierungsdaten

Verarbeitungsregionen (alle innerhalb der EU):

• Datenbank (Firestore), Datei-Speicher, Hintergrunddienste und KI-Funktionen: Frankfurt (europe-west3)
• Auslieferung der Web-Anwendung (App Hosting): Belgien (europe-west1)

Google kann als Subunternehmer weitere Konzerngesellschaften einsetzen.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb)

Mit Google besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Zur Absicherung gegen missbräuchliche Nutzung wird Firebase App Check auf Basis von Google reCAPTCHA Enterprise (Google Ireland Limited) eingesetzt.

Hierbei können verarbeitet werden:

• Geräteinformationen
• technische Verifikationsmerkmale
• IP-Adresse

Zweck ist der Schutz der Anwendung vor automatisierten Angriffen und unbefugtem Zugriff.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit)

Die Zahlungsabwicklung erfolgt über:

Stripe Payments Europe Ltd.

Verarbeitete Daten:

• Name
• Rechnungsadresse
• Zahlungsinformationen
• Transaktionsdaten

Stripe handelt insoweit eigenverantwortlich als Zahlungsdienstleister.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO

TeamStamp enthält zwei voneinander getrennte KI-Funktionen. Beide laufen über:

Google Cloud Vertex AI — Google Ireland Limited

Die Verarbeitung erfolgt über einen regionalen Endpunkt in Frankfurt (europe-west3). Google verwendet die übermittelten Inhalte nach den Google-Cloud-Vertragsbedingungen nicht zum Training seiner Modelle.

8.1 Hilfe-Assistent

Beantwortet Support- und Anwendungsfragen. Verarbeitet werden:

• die vom Nutzer eingegebene Frage
• die Rolle des Nutzers (Mitarbeiter, Teamleiter, Administrator)
• technische Metadaten

8.2 Dienstplan-Assistent (KI-Paket)

Erstellt auf Anforderung eines Teamleiters oder Administrators Vorschläge für die Dienstplanung (Abwesenheits-Prüfung, Planvervollständigung, Plan-Analyse). Verarbeitet werden für den gewählten Zeitraum:

• geplante und regelmäßige Arbeitszeiten
• Abwesenheiten (ohne Angabe des Grundes — Krankheit und Urlaub sind für die KI nicht unterscheidbar)
• Überstunden-Salden, Wochenarbeitszeit, Qualifikationsgruppen, Einsatzwünsche

Pseudonymisierung: An das KI-Modell werden ausschließlich Platzhalter (M1, M2, …) übermittelt. Namen, E-Mail-Adressen und Nutzerkennungen verlassen die Anwendung nicht; die Zuordnung erfolgt erst nach Rückgabe der Antwort innerhalb von TeamStamp.

Keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO: Vorschläge der KI werden ausschließlich als Entwurf gespeichert und entfalten keine Wirkung. Erst wenn ein Teamleiter oder Administrator sie ausdrücklich übernimmt, ändert sich der Dienstplan. Die Entscheidung trifft in jedem Fall ein Mensch.

Für beide Funktionen gilt:

• keine Profilbildung und keine Leistungsbewertung
• keine Nutzung zu Marketingzwecken
• keine Nutzung der Inhalte zum Training von KI-Modellen

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO
Art. 6 Abs. 1 lit. f DSGVO (Optimierung der Nutzerunterstützung und der Personalplanung)
Für Beschäftigtendaten: § 26 Abs. 1 BDSG i.V.m. Art. 88 DSGVO

Mit dem Anbieter bestehen geeignete Datenschutzgarantien gemäß Art. 28 bzw. 46 DSGVO.

Beim Zugriff auf die Anwendung werden automatisch erfasst:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Browsertyp und -version
• Betriebssystem
• Zugriffsstatus

Diese Daten dienen der:

• Systemsicherheit
• Fehleranalyse
• Missbrauchsprävention

Speicherdauer: maximal 30 Tage, sofern keine sicherheitsrelevanten Vorfälle vorliegen.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO

Daten werden gespeichert:

• während der Vertragslaufzeit
• entsprechend gesetzlicher Aufbewahrungsfristen
• bis zur Löschung durch den Nutzer

Konkrete Fristen:

• Account- und Stammdaten: bis zum Ende des Vertrags, danach Löschung innerhalb von 7 Tagen, sofern keine gesetzlichen Pflichten entgegenstehen.
• Arbeitszeit-Aufzeichnungen und Audit-Logs: während der Vertragslaufzeit. Die gesetzliche Aufbewahrungspflicht liegt beim Betrieb (Arbeitgeber als Verantwortlicher) — mindestens 2 Jahre nach § 16 Abs. 2 ArbZG, längstens 6 Jahre, soweit Daten als Lohnunterlage nach § 257 HGB / § 147 AO relevant sind.
• Server-Logdaten: 30 Tage (technisch durchgesetzt durch die Standard-Aufbewahrung des Hosting-Providers Google Cloud).
• Trial-Email-Hashes (Spam-Schutz): dauerhaft, ausschließlich als gehashter Wert ohne Klartext-Email.

Vor der endgültigen Löschung eines Betriebs (7 Tage nach Vertragsende) hat der Administrator die Möglichkeit, einen vollständigen Datenexport zu erstellen, um den eigenen Aufbewahrungspflichten nachzukommen.

Die Speicherung und Verarbeitung der Anwendungsdaten erfolgt ausschließlich in den unter Ziffer 5 genannten EU-Regionen (Frankfurt, Belgien). Eine Übermittlung personenbezogener Daten in Drittländer (insbesondere die USA) findet nur in folgenden konkreten Fällen statt:

• Support- und Wartungszugriffe durch Google: Im Rahmen des technischen Betriebs kann Google Konzerngesellschaften außerhalb der EU (insbesondere Google LLC, USA) einsetzen.
• Firebase App Check / reCAPTCHA Enterprise (Ziffer 6): Technische Verifikationsanfragen können über globale Google-Infrastruktur verarbeitet werden.
• Zahlungsabwicklung (Ziffer 7): Stripe kann Transaktionsdaten an die Muttergesellschaft Stripe, Inc. (USA) übermitteln.

In diesen Fällen erfolgt die Übermittlung auf Grundlage:

• des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) — Google LLC und Stripe, Inc. sind hierunter zertifiziert
• ergänzend der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Eine darüber hinausgehende Übermittlung in Drittländer findet nicht statt.

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.

Wir setzen technische und organisatorische Maßnahmen ein, um Daten vor Verlust, Manipulation und unbefugtem Zugriff zu schützen.

Die Datenübertragung erfolgt verschlüsselt (TLS/HTTPS); die Speicherung erfolgt verschlüsselt im Ruhezustand (AES-256).

Eine ausführliche Beschreibung der Maßnahmen (u. a. Zugriffskontrollen, Backup- und Wiederherstellungskonzept, Pseudonymisierung, Löschkonzept) finden Sie in der TOM-Übersicht (Anlage 1 zum AVV).

Diese Datenschutzerklärung kann angepasst werden, sofern dies aufgrund technischer oder rechtlicher Änderungen erforderlich ist.

Stand: August 2026