Sicherheit und Datenschutz

TimeTracking wird von Organisationen genutzt: Arbeitgebern, Personaldienstleistern und deren Kunden. Für die Stunden, Einsätze und Freigaben, die Ihre Organisation in TimeTracking speichert, ist Ihre Organisation Verantwortlicher und TimeTracking Auftragsverarbeiter. Wir verarbeiten diese Daten nur auf Ihre dokumentierte Weisung, und die Einstellungen, die Sie in der App wählen, etwa ob der Standort aktiv ist und wie lange er gespeichert wird, gelten als diese Weisung.

Unser Auftragsverarbeitungsvertrag (AVV) ist Teil der Nutzungsbedingungen und wird mit ihnen bei der Registrierung akzeptiert. Er regelt Vertraulichkeit, Sicherheitsmaßnahmen, Meldung von Datenschutzverletzungen, Unterauftragsverarbeiter, Unterstützung bei Betroffenenanfragen, Audits und Löschung zum Vertragsende. Für Konto-, Abrechnungs- und Websitedaten ist TimeTracking Verantwortlicher, wie in der Datenschutzerklärung beschrieben.

• Auftragsverarbeitungsvertrag
• Datenschutzerklärung
• Nutzungsbedingungen

Alle Verbindungen zwischen Browser, mobiler App, API und Datenbank nutzen TLS 1.2 oder höher, mit HSTS auf timetracking.tech. Im Ruhezustand nutzen Datenbank, Dateispeicher und Backups AES-256-Festplattenverschlüsselung mit vom Anbieter verwalteten Schlüsseln.

Magic Links für Freigaben sind zufällige 256-Bit-Tokens. Wir speichern nur einen Hash jedes Tokens; Links laufen nach 14 Tagen ab, können widerrufen werden und sind für die Freigabe nur einmal nutzbar.

Jede Änderung an Stundenzetteln, Einsätzen, Zeiträumen, Freigaben, Exporten und Konflikten wird in einem nur erweiterbaren Audit-Log festgehalten: wer was wann aus welcher Quelle geändert hat, mit altem und neuem Wert. Das Audit-Log kann weder bearbeitet noch gelöscht werden. Gesperrte Zeiträume lassen sich nicht ändern, nur mit einer neuen Referenzzeile korrigieren, und Exporte tragen einen Inhalts-Hash, damit sie reproduzierbar sind.

Gibt ein Kunde Stunden frei, öffnet er einen sicheren Magic Link und unterschreibt mit einem Einmalcode, der an seine E-Mail geschickt wird. Die Freigabe speichert Name, Rolle, Entscheidung, Zeitpunkt, IP-Adresse und Browser des Unterzeichners. Das ist eine einfache elektronische Signatur nach der eIDAS-Verordnung, und sie gibt beiden Seiten einen klaren Nachweis, wer welchen Stunden zugestimmt hat.

• Kundenfreigabe

TimeTracking nutzt KI (Anthropic Claude) für Funktionen wie das Auslesen von Stundenzetteln, die Kunden per E-Mail schicken, das Markieren von Auffälligkeiten wie unmöglichen Stunden oder Duplikaten und das Kategorisieren von Einträgen. KI-Ergebnisse sind immer Vorschläge. Extraktionen mit geringer Sicherheit gehen in die manuelle Prüfung, und die KI kann nichts genehmigen, senden oder löschen. Freigaben, Exporte und Lohnentscheidungen treffen Menschen.

Eingehende E-Mails werden als Daten behandelt: Das Modell kann nur ein festes Extraktionsschema füllen und keine Aktionen auslösen. Kundendaten werden nicht zum Training von KI-Modellen verwendet. Der Betrieb des Modells über AWS Bedrock in der EU (Frankfurt) ist geplant; bis das live ist, zeigt die Liste der Unterauftragsverarbeiter den aktuellen Status. Sie können KI-Funktionen für Ihre Organisation abschalten.

• KI-Stundenzettel-Erkennung

Wenn Sie glauben, eine Sicherheitslücke gefunden zu haben, melden Sie sie bitte an unsere Sicherheitsadresse. Fügen Sie eine Beschreibung des Problems, die betroffene URL oder Komponente, Schritte zur Reproduktion, die erwarteten Auswirkungen und Ihre Kontaktmöglichkeit bei. Screenshots oder ein kurzer Proof of Concept helfen.

Wir bitten um koordinierte Offenlegung: Geben Sie uns angemessen Zeit, das Problem zu untersuchen und zu beheben, bevor Sie es öffentlich machen. Greifen Sie bitte nicht auf Daten zu, die Ihnen nicht gehören, ändern oder löschen Sie sie nicht, beeinträchtigen Sie den Dienst nicht für andere und beenden Sie das Testen, sobald Sie das Problem nachgewiesen haben.

• Kontakt