Datenschutzhinweise für Zeitgeist

1. Verantwortlicher

Kai Kopp – ITgeist
Stresemannstraße 37
71634 Ludwigsburg
Deutschland

E-Mail: info@itgeist.de

2. Rollenverteilung bei Kundendaten

Für Vertrags-, Kontakt-, Abrechnungs- und Sicherheitsdaten, die ITgeist für den Betrieb von Zeitgeist zu eigenen Zwecken verarbeitet, ist ITgeist Verantwortlicher.

Bei Mitarbeiterstammdaten, Arbeitszeiten, Projektbuchungen, Abwesenheiten, Krankmeldungen, Arbeitsberichten und vergleichbaren Daten bestimmt in der Regel der jeweilige Arbeitgeber beziehungsweise Mandant Zweck und Mittel der Verarbeitung. ITgeist verarbeitet diese Daten dann als Auftragsverarbeiter nach Art. 28 DSGVO. Fragen zu diesen Beschäftigtendaten richten betroffene Personen vorrangig an ihren Arbeitgeber.

3. Verarbeitete Daten

• Konto- und Identitätsdaten, etwa Name, geschäftliche E-Mail-Adresse, Personalnummer, Rolle und Team.
• Arbeitszeit-, Projekt- und Leistungsdaten einschließlich Tätigkeitsbeschreibungen, Pausen und Salden.
• Abwesenheitsdaten; Angaben zu Krankheit können besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO betreffen.
• Arbeitsberichte, Unterschriften, Stempelkarten-, Terminal- und Authentifizierungsdaten.
• Vertrags-, Tarif-, Support-, Rechnungs-, Import-, Export-, API-, Webhook- und SSO-Konfigurationsdaten.
• Technische Protokolldaten wie IP-Adresse, Zeitpunkt, Browserinformationen, Statuscode, Sicherheits- und Auditereignisse.

4. Zwecke und Rechtsgrundlagen

Die Verarbeitung dient der Bereitstellung und Abrechnung der SaaS-Leistung, der Authentifizierung, Zeiterfassung, Personal- und Projektorganisation, Supportbearbeitung, Systemsicherheit, Fehleranalyse sowie der Erfüllung gesetzlicher Pflichten.

Rechtsgrundlagen für eigene Verarbeitungen von ITgeist sind insbesondere Art. 6 Abs. 1 lit. b DSGVO für Vertrag und vorvertragliche Maßnahmen, Art. 6 Abs. 1 lit. c DSGVO für rechtliche Pflichten und Art. 6 Abs. 1 lit. f DSGVO für einen sicheren, stabilen und missbrauchsfreien Betrieb. Beschäftigtendaten im Mandanten werden auf dokumentierte Weisung des jeweiligen Kunden verarbeitet; die Rechtsgrundlage bestimmt der Kunde.

5. Hosting und Auftragsverarbeiter

Zeitgeist wird auf Infrastruktur der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland, betrieben. Beim Aufruf werden technisch erforderliche Verbindungs- und Protokolldaten verarbeitet. Mit eingesetzten Auftragsverarbeitern werden – soweit erforderlich – Vereinbarungen nach Art. 28 DSGVO geschlossen.

Weitere Empfänger können vom Mandanten konfigurierte E-Mail-, SSO-, Webhook-, API-, Backup- oder Supportanbieter sein. Der jeweilige Mandant ist für die rechtmäßige Konfiguration solcher Integrationen verantwortlich.

6. Cookies und lokale Speicherung

Zeitgeist verwendet technisch notwendige Authentifizierungs-, Mandanten- und Sicherheits-Cookies. Im Browser können außerdem Darstellungs- und Bedienpräferenzen wie Dark Mode oder Menüzustand gespeichert werden. Diese Technologien sind für Anmeldung, Sicherheit oder die ausdrücklich gewünschte Bedienfunktion erforderlich. Nicht erforderliche Werbe- oder Tracking-Cookies werden derzeit nicht eingesetzt.

7. Speicherdauer und Löschung

Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck, den Kundenvertrag, eine konfigurierte Aufbewahrungsfrist oder gesetzliche Nachweis- und Aufbewahrungspflichten benötigt werden. Mandantenadministratoren können fachliche Aufbewahrungsregeln konfigurieren. Backups werden nach der vereinbarten Sicherungs- und Löschrichtlinie rotiert. Sicherheits- und Auditdaten können zur Aufklärung von Vorfällen für einen begrenzten Zeitraum weiter vorgehalten werden.

8. Sicherheit

ITgeist setzt technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein. Dazu gehören insbesondere Transportverschlüsselung, mandantenbezogene Zugriffskontrollen, Rollen und Berechtigungen, sichere Passwortspeicherung, Protokollierung sicherheitsrelevanter Änderungen, Schutz von Geheimnissen, Datensicherungen und regelmäßige Aktualisierung der Systeme.

9. Drittlandübermittlungen

Der Kernbetrieb ist auf Hosting innerhalb Deutschlands beziehungsweise der EU ausgerichtet. Durch vom Kunden aktivierte Integrationen oder optionale Endgerätefunktionen kann eine Übermittlung an weitere Anbieter entstehen. Soweit Daten in ein Drittland übermittelt werden, müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein.

10. Automatisierte Entscheidungen

Der Geist-Check erzeugt Hinweise und Prüfmeldungen, trifft aber keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO.

11. Rechte betroffener Personen

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf erteilter Einwilligungen. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für Beschäftigtendaten im Mandanten ist grundsätzlich zuerst der jeweilige Arbeitgeber zuständig.

Für eigene Verarbeitungen von ITgeist: info@itgeist.de. Zuständige Aufsichtsbehörde am Sitz von ITgeist ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.