Datenschutzerklärung

1. Verantwortlicher

Bei der Verarbeitung von Arbeitszeitdokumenten im Auftrag eines Kunden ist regelmäßig der Kunde Verantwortlicher und der Betreiber Auftragsverarbeiter. Für Benutzerkonten, Sicherheit, Support und den Betrieb der Website verarbeitet der Betreiber Daten in eigener Verantwortlichkeit. Die konkrete Rollenverteilung richtet sich nach Vertrag und tatsächlicher Nutzung.

2. Welche Daten verarbeitet werden

Im vorgesehenen Testbetrieb werden keine personenbezogenen Beschäftigtendaten benötigt. Nutzer sind verpflichtet, Testunterlagen vor dem Upload vollständig zu anonymisieren oder künstliche Beispieldaten zu verwenden.

• Konto- und Organisationsdaten, insbesondere Benutzername, Passwort-Hash und Organisationszuordnung;
• hochgeladene Bilder, PDFs oder Excel-Dateien mit Namen, Arbeitszeiten und sonstigen enthaltenen Angaben;
• aus den Dokumenten erkannte strukturierte Daten und erzeugte Excel-Dateien;
• technische Protokoll- und Sicherheitsdaten sowie Audit-Ereignisse, etwa Anmeldung, Upload, Analyse und Download.

3. Zwecke und Rechtsgrundlagen

Die Daten werden zur Bereitstellung der Anwendung, Dokumentanalyse, Erstellung von Arbeitszeitlisten, Zugriffskontrolle, Fehlerbehebung, IT-Sicherheit und Erfüllung vertraglicher Pflichten verarbeitet. Je nach Beziehung und Datensatz kommen insbesondere Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), rechtliche Verpflichtungen (lit. c) und berechtigte Interessen an sicherem und zuverlässigem Betrieb (lit. f) in Betracht. Für Beschäftigtendaten bestimmt der jeweilige Kunde die anwendbare Rechtsgrundlage und stellt die erforderlichen Informationen bereit.

4. Dokumentanalyse mit OpenAI

Für die KI-gestützte Erkennung werden die hochgeladenen Dokumentseiten zusammen mit einer Arbeitsanweisung über die OpenAI API übertragen. Die Anwendung setzt bei diesen Anfragen store=false. Nach der OpenAI-API-Dokumentation werden API-Daten nicht zum Training der Modelle verwendet, sofern der API-Kunde nicht ausdrücklich zugestimmt hat. OpenAI kann standardmäßig Inhalte in Missbrauchsüberwachungsprotokollen bis zu 30 Tage aufbewahren; für als problematisch erkannte Bild- oder Dateiinhalte können besondere Prüf- und Aufbewahrungsregeln gelten.

Hochgeladene Excel-Dateien werden innerhalb der Anwendung strukturell ausgelesen und nicht zur Dokumenterkennung an OpenAI übertragen.

Die Anfragen werden an https://api.openai.com/v1 gesendet. Die Verarbeitung der Dokumentseiten findet in den Vereinigten Staaten statt; Vertragspartner ist OpenAI Ireland Ltd.. Als Grundlage der Übermittlung nach Art. 44 ff. DSGVO gilt: OpenAI DPA v.010126; EU SCCs (Module 3 where applicable) and/or EU adequacy decision. Die Seiten werden für die Dauer der Auswertung verarbeitet und nicht als Anwendungszustand gespeichert (store=false); Protokolle der Missbrauchsüberwachung des Anbieters können Inhalte bis zu 30 Tage enthalten.

5. Hosting und Empfänger

Die Anwendung wird bei DigitalOcean in der Region Frankfurt, Germany (FRA1) betrieben. Zugriffe erhalten nur berechtigte Benutzer und technisch erforderliche Dienstleister. Die aktuelle Übersicht finden Sie unter Unterauftragsverarbeiter.

6. Speicherdauer

Technische PNG-Arbeitskopien werden nach erfolgreicher Erkennung unmittelbar gelöscht. Hochgeladene Originaldateien werden nach derzeitiger Konfiguration nach 7 Tagen gelöscht; erzeugte Excel-Dateien nach 30 Tagen. Die zugehörigen Datenbank- und Audit-Metadaten werden durch diese Dateibereinigung nicht automatisch entfernt. Für sie gelten die mit dem Kunden vereinbarten Löschfristen sowie gesetzliche Aufbewahrungs- und Nachweispflichten. Sicherungskopien sind im Löschkonzept des Betreibers gesondert zu berücksichtigen.

7. Cookies

Die Anwendung verwendet ausschließlich technisch erforderliche Sitzungs- und CSRF-Schutz-Cookies für Anmeldung und Sicherheit. In der aktuellen Implementierung werden keine Analyse-, Werbe- oder Tracking-Cookies gesetzt.

8. Automatisierte Verarbeitung

Die Software liest Dokumente automatisiert und erstellt daraus Excel-Arbeitszeitlisten. Sie trifft keine Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung über Beschäftigte. Da KI-Ergebnisse und Stundenverteilungen Fehler enthalten können, sind die ausgegebenen Excel-Dateien vor ihrer verbindlichen Verwendung sachlich zu prüfen und bei Bedarf zu korrigieren.

9. Rechte betroffener Personen

Betroffene Personen haben – soweit die gesetzlichen Voraussetzungen vorliegen – Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Einwilligungen können mit Wirkung für die Zukunft widerrufen werden. Anfragen richten Sie an Test. Betrifft die Anfrage Beschäftigtendaten eines Kunden, ist sie grundsätzlich an diesen Kunden als Verantwortlichen zu richten.

Darüber hinaus besteht ein Beschwerderecht bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

10. Sicherheit und Änderungen

Die Anwendung setzt unter anderem Authentifizierung, Organisationszuordnung, CSRF-Schutz, sichere Cookie-Einstellungen, HTTPS im Produktivbetrieb, nicht öffentlich ausgelieferte Dateispeicherung und protokollierte Kernereignisse ein. Details stehen in den technischen und organisatorischen Maßnahmen. Diese Erklärung wird angepasst, wenn sich Verarbeitung, Dienstleister oder Rechtslage ändern.

Stand: 4. Oktober 2026