Datenschutzerklärung

1. Verantwortliche Stelle und Kontakt

Verantwortlich für die Datenbearbeitungen über diese Website und den Betrieb der Plattform Zeiterfassung24.ch ist:

2. Bearbeitete Daten und Zwecke der Datenbearbeitung

Wir bearbeiten Personendaten ausschliesslich im Rahmen der Bereitstellung und Absicherung unserer Zeiterfassungs-Applikation:

• Betriebs- und Registrierungsdaten: Firmenname, Kanton, E-Mail-Adresse des Inhabers sowie kryptografischer Passwort-Hash zur Kontoverwaltung und Authentifizierung.
• Mitarbeiter-Stammdaten: Name, Funktion / Beschäftigungsart, Ein- und Austrittsdatum, Beschäftigungsgrad (Pensum in Prozent) sowie optional E-Mail-Adresse oder interner Login-Benutzername.
• Zeiterfassungs- und Absenzdaten: Arbeitsbeginn, Arbeitsende, Pausenzeiten und Pausenlagen (ab 30 Min.), Abwesenheitsgründe (Ferien, Krankheit, Unfall, Militär, unbezahlter Urlaub, Ersatzruhetag) sowie Überstunden- und Feriensalden nach Art. 73 ArGV 1. Sensible Notizen zu Absenzen werden mit AES-256 in der Datenbank verschlüsselt gespeichert.
• Sicherheits- und Protokolldaten: IP-Adresse, Zeitstempel und Aktionen bei sicherheitsrelevanten Vorgängen (z.B. Login, Korrekturen vor Sperrdatum) in einem manipulationsgeschützten Audit-Log mit SHA-256-Hashkette zur Erfüllung von Art. 46 ArG.

3. Hosting und Serverstandort Frankfurt / Deutschland

Die Infrastruktur und Datenbanken von Zeiterfassung24.ch werden bei Hostinger International Ltd. in modernen, zertifizierten Rechenzentren am Standort Frankfurt am Main (Deutschland) betrieben. Für Deutschland und die Staaten der Europäischen Union hat der Schweizer Bundesrat in Anhang 1 der Datenschutzverordnung (DSV) festgestellt, dass ihre Gesetzgebung einen angemessenen Schutz gewährleistet. Die Datenübermittlung und -bearbeitung ist durch einen rechtsverbindlichen Auftragsbearbeitungsvertrag (Data Processing Agreement) nach Art. 9 revDSG abgesichert.

4. Eigenwerbungs-Modell ohne Tracking und ohne Drittweitergabe

Zeiterfassung24.ch ist für Schweizer Betriebe dauerhaft 100 % kostenlos. Unser Dienst finanziert sich ausschliesslich über eigene, statische Partner-Empfehlungen für spezialisierte Portale unseres Netzwerks (artisan24.ch, gebaeudeportal.ch und revdsg24.ch):

• Es werden keine externen Werbenetzwerke, Tracking-Pixel, Dritt-Cookies oder Analyse-Dienste (wie Google Analytics, Meta Pixel o.ä.) eingebunden.
• Grafiken und Banner werden ausschliesslich lokal von unserem Server ausgeliefert, sodass keine Verbindungsdaten an Werbepartner übertragen werden.
• Ihre Betriebs-, Mitarbeiter- oder Zeiterfassungsdaten werden zu keinem Zeitpunkt verkauft oder zu Werbe- oder eigenen Zwecken Dritter weitergegeben. Technische Dienstleister für Hosting und E-Mail-Versand werden ausschliesslich als weisungsgebundene Auftragsbearbeiter nach Art. 9 revDSG eingesetzt.

5. Datensicherheit und Verschlüsselung

Zur Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Daten setzen wir dem Stand der Technik entsprechende Sicherheitsmassnahmen ein:

• Vollständige Transportverschlüsselung aller Verbindungen über HTTPS / TLS 1.3 mit HSTS (HTTP Strict Transport Security).
• Strenge Mandantenisolation auf Datenbank-Ebene (Fail-closed-Architektur): Benutzer eines Betriebs haben technisch keinen Zugriff auf Daten anderer Betriebe.
• Passwörter werden mit starkem Bcrypt-Verfahren mit individuellem Salt gehasht.
• Tägliche verschlüsselte Backups mit AES-256-Verschlüsselung.

6. Aufbewahrungsdauer, Mandantenlöschung und 30-Tage-Backup-Rotation

Gemäss Art. 46 ArG und Art. 73 Abs. 2 ArGV 1 sind Arbeitszeitnachweise während fünf Jahren aufzubewahren. Die Daten verbleiben während der aktiven Nutzung in Ihrem gesicherten Betriebskonto.

Vor einer endgültigen Löschung eines Betriebs verlangt das System den zwingenden Download des vollständigen 5-Jahres-Archivs (alle Monats-PDFs und CSVs aller Mitarbeitenden). Nach Bestätigung der Löschung werden sämtliche Produktivdaten des Betriebs, alle Benutzerkonten, Sessions und Archivdateien sofort physisch und unwiderruflich aus der Primärdatenbank und dem Dateisystem gelöscht.

Maximal 30-tägige Backup-Rotation: In den automatisierten, verschlüsselten Sicherheits-Backups des Gesamtsystems rotieren gelöschte Daten im Rahmen des regulären Backup-Zyklus nach spätestens 30 Tagen endgültig heraus. Nach maximal 30 Tagen sind keine Reste des gelöschten Betriebs mehr auf unseren Speichern vorhanden.

7. Ihre Rechte als betroffene Person

Gemäss dem Schweizer Datenschutzgesetz (revDSG) haben Sie jederzeit folgende Rechte bezüglich Ihrer Personendaten:

• Recht auf Auskunft über Ihre von uns bearbeiteten Personendaten (Art. 25 revDSG).
• Recht auf Datenherausgabe oder -übertragung in einem gängigen elektronischen Format (Art. 28 revDSG).
• Recht auf Berichtigung unrichtiger Daten oder Ergänzung unvollständiger Daten (Art. 32 revDSG).
• Recht auf Löschung oder Vernichtung Ihrer Daten, soweit dem keine gesetzlichen Aufbewahrungspflichten (z.B. Art. 46 ArG) entgegenstehen.

Zur Ausübung Ihrer Rechte können Sie sich jederzeit an datenschutz@zeiterfassung24.ch wenden.