Datenschutzerklärung für KiDig-AZ

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung der Website und der webbasierten Arbeitszeiterfassungsanwendung KiDig.

1. Verantwortlicher

ictt system-consulting
Karl Cziumplik
Eschholzstraße 94
79115 Freiburg

Telefon: +49 (761) 89759120
Fax: +49 (761) 89759121
E-Mail: sales@ictt-consulting.de

2. Allgemeine Hinweise zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Website, unserer App sowie unserer vertraglichen Leistungen erforderlich ist oder eine gesetzliche Grundlage dies erlaubt.

Dabei ist wichtig zu unterscheiden:

• Für Daten, die im Rahmen der Nutzung von KiDig-AZ durch eine Einrichtung oder einen Träger eingegeben und verwaltet werden (z. B. Arbeitszeiten, Vertragsdaten von Mitarbeitenden, Abwesenheiten), erfolgt die Verarbeitung in der Regel im Auftrag des jeweiligen Kunden.
• Für Daten, die wir für den Betrieb unserer Website, die Vertragsabwicklung, die technische Sicherheit, den Support und die Administration verarbeiten, handeln wir als eigenständig Verantwortliche.

3. Verarbeitung im Rahmen der Nutzung von KiDig-AZ

3.1 Verarbeitung von Kundendaten in der App

Soweit unsere Kunden KiDig-AZ zur Arbeitszeiterfassung ihrer Mitarbeitenden nutzen, verarbeitet ictt system-consulting personenbezogene Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO im Auftrag des jeweiligen Kunden.

Dies betrifft insbesondere folgende Datenkategorien:

• Stammdaten der Einrichtung
• Stammdaten der Mitarbeitenden
• arbeitszeitbezogene Daten
• Abwesenheiten, Urlaub, Krankheitstage
• tarif- und vertragsbezogene Einstellungen
• Protokoll- und Nutzungsdaten innerhalb der Anwendung
• Login-Daten der Nutzerkonten

Die konkrete Verarbeitung erfolgt ausschließlich nach Weisung des jeweiligen Kunden im Rahmen des zugrunde liegenden Nutzungsvertrags und einer Vereinbarung zur Auftragsverarbeitung.

3.2 Zwecke der Verarbeitung

Die Verarbeitung erfolgt insbesondere zu folgenden Zwecken:

• Bereitstellung der Arbeitszeiterfassungsfunktionen
• Verwaltung von Nutzerkonten
• Berechnung und Dokumentation von Soll- und Ist-Arbeitszeiten
• Verwaltung von Abwesenheiten und tariflichen Parametern
• Sicherstellung des technischen Betriebs und der Datensicherheit
• Support und Fehleranalyse

4. Eigene Verarbeitung als Verantwortlicher

Soweit wir personenbezogene Daten außerhalb der eigentlichen Auftragsverarbeitung verarbeiten, handeln wir als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Dies betrifft insbesondere:

• Kontaktaufnahmen per E-Mail oder Telefon
• Vertrags- und Rechnungsdaten
• technische Protokolle zur Systemsicherheit
• Daten zur Nutzerverwaltung auf Betreiberseite
• Informationen, die zur Bearbeitung von Supportanfragen erforderlich sind
• Zugriffsdaten beim Besuch unserer Website

5. Rechtsgrundlagen

Soweit wir als Verantwortlicher personenbezogene Daten verarbeiten, erfolgt dies insbesondere auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen oder zur Erfüllung eines Vertrags erforderlich ist
• Art. 6 Abs. 1 lit. c DSGVO, soweit rechtliche Verpflichtungen bestehen
• Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung zur Wahrung berechtigter Interessen erforderlich ist, insbesondere zur Gewährleistung des sicheren und stabilen Betriebs unserer Systeme

Soweit wir Daten im Auftrag eines Kunden verarbeiten, richtet sich die Rechtsgrundlage der Verarbeitung nach dem jeweiligen Verantwortlichen.

6. Hosting und technische Dienstleister

Unsere Anwendung wird auf Infrastruktur von Amazon Web Services (AWS) in der Region eu-central-1 (Frankfurt am Main, Deutschland) betrieben.

Wir setzen technische Dienstleister nur insoweit ein, wie dies für den sicheren und zuverlässigen Betrieb unserer Dienste erforderlich ist. Soweit diese Dienstleister Zugriff auf personenbezogene Daten erhalten können, erfolgt dies nur auf Grundlage entsprechender vertraglicher Vereinbarungen und unter Beachtung der datenschutzrechtlichen Anforderungen.

7. Speicherort und Drittlandübermittlungen

Die Verarbeitung der Daten erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.

Eine Übermittlung in Drittländer erfolgt nur, sofern dies im Einzelfall erforderlich ist und die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

8. Technische und organisatorische Maßnahmen

Wir treffen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um personenbezogene Daten zu schützen. Dazu gehören insbesondere Maßnahmen zur:

• Zutrittskontrolle
• Zugangskontrolle
• Zugriffskontrolle
• Weitergabekontrolle
• Eingabekontrolle
• Verfügbarkeitskontrolle
• Trennung der Verarbeitung nach Mandanten und Zwecken

Hierzu zählen unter anderem rollenbasierte Berechtigungskonzepte, Passwortschutz, Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Sicherheitsupdates, Backup-Verfahren und Maßnahmen zur Wiederherstellung der Verfügbarkeit.

9. Protokoll- und Nutzungsdaten

Zur Sicherstellung des Betriebs, zur Fehleranalyse sowie zur IT-Sicherheit können technische Protokolldaten verarbeitet werden.

Soweit Nutzungsdaten zur Verbesserung des Produkts ausgewertet werden, erfolgt dies grundsätzlich nur in einer Form, die keinen unmittelbaren Rückschluss auf einzelne Personen zulässt oder nur, soweit hierfür eine geeignete Rechtsgrundlage besteht.

10. Dauer der Speicherung

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Daten, die wir im Auftrag unserer Kunden verarbeiten, werden nach Maßgabe der vertraglichen Vereinbarungen und der Weisungen des jeweiligen Kunden gelöscht oder zurückgegeben.

11. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Recht auf Auskunft
• Recht auf Berichtigung
• Recht auf Löschung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Recht auf Widerspruch

Soweit personenbezogene Daten im Rahmen von KiDig-AZ im Auftrag eines Kunden verarbeitet werden, ist für die Wahrnehmung dieser Rechte grundsätzlich der jeweilige Kunde als Verantwortlicher zuständig. Entsprechende Anfragen leiten wir auf Wunsch an den zuständigen Verantwortlichen weiter.

12. Datensicherheit bei Datenschutzvorfällen

Sollten uns Verletzungen des Schutzes personenbezogener Daten bekannt werden, handeln wir nach den gesetzlichen Vorgaben und informieren, soweit erforderlich, unverzüglich die jeweils zuständigen Vertragspartner bzw. Verantwortlichen.

13. Kontakt bei Datenschutzfragen

Bei Fragen zum Datenschutz können Sie sich an folgende Stelle wenden:

ictt system-consulting
Karl Cziumplik
Eschholzstraße 94
79115 Freiburg
E-Mail: sales@ictt-consulting.de

14. Vereinbarung zur Auftragsverarbeitung

Für Kunden von KiDig-AZ, die personenbezogene Daten ihrer Mitarbeitenden über die Anwendung verarbeiten, stellen wir auf Anfrage bzw. im Rahmen des Vertragsschlusses eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO zur Verfügung.

15. Aktualisierung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn dies aufgrund rechtlicher, technischer oder organisatorischer Änderungen erforderlich wird.