Datenschutz

Entwurf - finale Rechtstexte und Angaben folgen.

1. Verantwortlicher

HolyElk
Hany Elkholy
Wimmelstraße 2A
34125 Kassel
Deutschland
elkholy@holyelk.com

2. Zweck der Verarbeitung

Personenbezogene Daten werden ausschließlich zur Bereitstellung dieser Website, zur Beantwortung von Anfragen und - bei Nutzung der HolyElk-Dienste - zur Vertragserfüllung (Zeiterfassung, Abrechnung) verarbeitet.

3. Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Website) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten, z. B. § 147 AO).

Soweit Sie eingewilligt haben (Reichweitenmessung, Abschnitte 8 und 10), ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO; die optionale Anmeldung mit Google (Abschnitt 9) erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

4. Server-Logfiles

Beim Aufruf der Website werden durch den Hosting-Anbieter automatisch technische Zugriffsdaten (u. a. gekürzte IP-Adresse, Datum und Uhrzeit, angeforderte Ressource, Browsertyp) in Server-Logfiles verarbeitet. Dies dient dem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden nur kurzfristig gespeichert und anschließend gelöscht.

5. Hosting

Diese Website, die Webportale (admin.holyelk.com, mitarbeiter.holyelk.com) und die HolyElk-Kernanwendung werden auf Servern in Deutschland (Hetzner Online GmbH) gehostet; dort liegen auch die Installations- und Update-Dateien der Desktop-Apps (dl.holyelk.com). Die optionale Reichweitenmessung (Abschnitt 8) erfolgt - nur mit Ihrer ausdrücklichen Einwilligung - über Google Analytics; dabei können Daten an Google und in die USA übertragen werden.

6. Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter im Sinne des Art. 28 DSGVO ein, mit denen jeweils ein Auftragsverarbeitungsvertrag besteht:

• Hetzner Online GmbH (Deutschland) - Hosting und Serverbetrieb.
• Stripe (Stripe Payments Europe Ltd., Irland) - Zahlungsabwicklung, ausschließlich bei Nutzung kostenpflichtiger Dienste. Eine etwaige Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.
• Brevo (Sendinblue SAS, Frankreich, EU) - Versand der E-Mails der Dienste (z. B. Bestätigungscodes, Links zum Zurücksetzen des Passworts, Zugangsdaten, Rechnungen und Zahlungserinnerungen); verarbeitet dafür Empfängeradresse, Name und Inhalt der jeweiligen E-Mail. Die Verarbeitung erfolgt in der EU.
• Google Ireland Ltd. (Irland) - Reichweitenmessung mit Google Analytics auf der Website, in den Webportalen und in den Desktop-Apps, ausschließlich mit Ihrer Einwilligung. Eine Übermittlung in die USA (Google LLC) erfolgt auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.
• Mistral AI SAS (Frankreich, EU) - KI-Chatassistent; verarbeitet ausschließlich die von Ihnen im Assistenten eingegebenen Nachrichten und nur bei aktiver Nutzung. Die Verarbeitung erfolgt auf Servern in der EU.

Die Reichweitenmessung mit Google Analytics erfolgt ausschließlich nach Ihrer ausdrücklichen Einwilligung (siehe Abschnitt 8); ohne Einwilligung werden keine Analyse-Dienste geladen. Bei der optionalen Anmeldung mit Google ist Google für die Anmeldung am Google-Konto selbst verantwortlich (siehe Abschnitt 9).

7. Web-Fonts

Die verwendeten Schriftarten (Sora, Inter) werden lokal von unseren eigenen Servern ausgeliefert (Self-Hosting). Beim Laden der Seite wird keine Verbindung zu Google Fonts oder anderen Drittanbietern aufgebaut; Ihre IP-Adresse wird nicht an Dritte übermittelt.

8. Cookies und Tracking

Für Sprache, Einwilligungsentscheidung und - bei angemeldeten Nutzern der Dienste - sichere Authentifizierung verwenden wir technisch notwendige lokale Speicherung bzw. ein HTTP-only-Sitzungs-Cookie. Diese Funktionen werden nicht zu Werbe- oder Profilbildungszwecken eingesetzt.

Zur Reichweitenmessung nutzen wir - ausschließlich mit Ihrer Einwilligung - Google Analytics 4, einen Dienst der Google Ireland Ltd., und zwar auf der Website holyelk.com, im Admin-Portal (admin.holyelk.com), im Mitarbeiterportal (mitarbeiter.holyelk.com) sowie in den Desktop-Apps (Abschnitt 10). Dabei werden Cookies auf Ihrem Endgerät gespeichert und Nutzungsdaten (u. a. gekürzte IP-Adresse, aufgerufene Seiten, Referrer sowie Geräte- und Browserinformationen) verarbeitet. Hierbei können Daten an Google übertragen und in Drittländern, insbesondere den USA, verarbeitet werden.

In den Portalen übermitteln wir nur die Adresse der aufgerufenen Seite ohne Parameter (z. B. „/team-kalender“); Seiten, die über Einmal-Links aufgerufen werden (z. B. Passwort zurücksetzen, E-Mail bestätigen), werden nicht erfasst. Inhalte, die Sie in den Portalen eingeben oder einsehen - etwa Arbeitszeiten, Abwesenheiten oder Personaldaten -, werden nicht an Google übermittelt.

Rechtsgrundlage für das Speichern und Auslesen von Informationen auf Ihrem Endgerät ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.

Google Analytics wird erst geladen, nachdem Sie über das Einwilligungsbanner ausdrücklich zugestimmt haben; Ihre Entscheidung gilt jeweils für die Website bzw. das einzelne Portal. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: auf der Website über „Cookie-Einstellungen“ im Footer, in den Portalen im Profil unter „Cookies & Statistik“, in den Desktop-Apps im Profil unter „Nutzungsstatistik (Google Analytics)“. Zusätzlich respektieren wir auf der Website und in den Portalen eine im Browser aktivierte „Do Not Track“-Einstellung und laden Google Analytics dann nicht.

Die Analysedaten werden in Google Analytics nach spätestens 14 Monaten gelöscht. Die Google-Analytics-Cookies (_ga, _ga_*) haben eine Laufzeit von bis zu zwei Jahren; bei einem Widerruf auf der Website bzw. im Portal werden sie gelöscht.

9. Anmeldung mit Google (optional)

Im Admin-Portal und im Mitarbeiterportal können Sie sich - alternativ zu Passwort oder Passkey - mit Ihrem Google-Konto anmelden; die Desktop-Apps nutzen dafür die Anmeldeseite des Mitarbeiterportals in Ihrem Browser. Die Nutzung ist freiwillig.

Google wird erst kontaktiert, wenn Sie auf „Mit Google anmelden“ klicken. Erst dann wird der Dienst „Google Identity Services“ der Google Ireland Ltd. geladen. Google verarbeitet dabei technische Daten wie Ihre IP-Adresse und Browserinformationen sowie die Daten Ihres Google-Kontos in eigener Verantwortung (Datenschutzerklärung von Google).

Nach Ihrer Anmeldung bei Google erhalten wir von Google ein signiertes Anmelde-Token. Daraus verwenden wir ausschließlich Ihre E-Mail-Adresse und die Bestätigung, dass Google diese verifiziert hat, um Sie einem bereits bestehenden HolyElk-Konto zuzuordnen. Es wird kein neues Konto angelegt; weitere Angaben aus dem Token (z. B. Name oder Profilbild) speichern wir nicht. Wir erhalten keinen Zugriff auf Ihr Google-Passwort oder andere Daten Ihres Google-Kontos.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses auf Ihren Wunsch); der Google-Dienst wird nach § 25 Abs. 2 Nr. 2 TDDDG geladen, weil Sie ihn ausdrücklich anfordern. Eine Übermittlung in die USA (Google LLC) erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.

10. Desktop-Apps (Windows, macOS)

Ohne Ihre Einwilligung in die Nutzungsstatistik verbinden sich die Desktop-Apps ausschließlich mit unseren Servern in Deutschland (api.holyelk.com für die Anwendung, dl.holyelk.com für Updates). Auf Ihrem Gerät speichern sie Ihre Sitzung (verschlüsselt über den Schlüsselbund von macOS bzw. die Datenschutz-Schnittstelle von Windows), auf Ihren Wunsch Ihre Zugangsdaten („Passwort speichern“, ebenfalls verschlüsselt und jederzeit im Profil löschbar) sowie Einstellungen (Sprache, Design, Entscheidung zur Nutzungsstatistik). Beim Abmelden wird die Sitzung gelöscht.

Funktionen der Zeiterfassung, die Ihr Arbeitgeber aktiviert hat (z. B. die Erfassung der Bildschirmzeit), verarbeiten wir im Auftrag Ihres Arbeitgebers; Verantwortlicher ist insoweit Ihr Arbeitgeber (siehe AVV).

Nutzungsstatistik: Nach der ersten Anmeldung fragt die App, ob sie eine Nutzungsstatistik senden darf. Nur wenn Sie „Erlauben“ wählen, übermittelt sie über Google Analytics 4 (Google Ireland Ltd.), welche Bereiche der App geöffnet werden, die App-Version, das Betriebssystem und eine zufällige Kennung, die in den App-Einstellungen gespeichert wird; technisch bedingt erhält Google dabei auch Ihre IP-Adresse. Arbeitszeiten, Namen, E-Mail-Adressen oder andere Inhalte werden nicht übermittelt. Google Analytics läuft in einem abgeschotteten, unsichtbaren Fenster ohne Zugriff auf Ihre Anmeldung oder Ihre Daten; seine Cookies werden nur im Arbeitsspeicher gehalten und nicht dauerhaft auf Ihrem Gerät gespeichert.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit im Profil der App unter „Nutzungsstatistik (Google Analytics)“ widerrufen; die zufällige Kennung wird dann gelöscht. Für die Übermittlung in die USA und die Speicherdauer gilt Abschnitt 8.

11. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck ihrer Verarbeitung entfällt. Vertrags- und Rechnungsdaten unterliegen den gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB) von bis zu zehn Jahren. Zeiterfassungsdaten werden für die Dauer des Vertragsverhältnisses verarbeitet und danach nach Maßgabe der gesetzlichen Fristen gelöscht oder anonymisiert.

12. Datensicherheit

Die Übertragung erfolgt ausschließlich TLS-verschlüsselt (HTTPS mit aktiviertem HSTS). Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um Ihre Daten gegen unbefugten Zugriff zu schützen.

13. Betroffenenrechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17)
• Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21)
• Beschwerde bei einer Aufsichtsbehörde - zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Wiesbaden.

← Zurück zur Startseite