DSGVO-konforme Zeiterfassung – Datenschutz von Anfang an
Arbeitszeitdaten sind hochsensible Personendaten. Stampfactory schützt sie mit Verschlüsselung, rollenbasiertem Zugriff, Hosting in Deutschland und vollständiger DSGVO-Konformität.
Warum ist Datenschutz bei der Zeiterfassung so wichtig?
Arbeitszeitdaten verraten, wann Mitarbeiter arbeiten, wie lange sie Pause machen, ob sie Überstunden leisten und wann sie krank sind. Diese Daten unterliegen der DSGVO und müssen besonders geschützt werden.
Für Arbeitgeber bedeutet das: Sie brauchen ein System, das Arbeitszeitdaten sicher speichert, den Zugriff auf ein Minimum beschränkt und jederzeit nachweisen kann, wer wann auf welche Daten zugegriffen hat. Verstöße gegen die DSGVO können Bußgelder von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes nach sich ziehen.
Stampfactory wurde von Anfang an mit Datenschutz als Kernprinzip entwickelt. Alle Daten werden in Deutschland gehostet, Passwörter mit bcrypt gehasht, und der Zugriff ist rollenbasiert bis auf die einzelne Organisationseinheit steuerbar.
Datenschutz-Maßnahmen
So schützt Stampfactory Ihre Daten
Hosting in Deutschland
Alle Daten werden auf Servern in Deutschland gespeichert. Kein Datentransfer in Drittländer, keine US-Cloud-Anbieter.
Passwort-Verschlüsselung
Passwörter werden mit bcrypt gehasht – dem Industriestandard für sichere Passwortspeicherung. Klartextpasswörter werden nie gespeichert.
Rollenbasierter Zugriff
Drei Benutzerrollen (Admin, Manager, Mitarbeiter) mit granularen Berechtigungen pro Organisationseinheit. Jeder sieht nur, was er sehen darf.
Session-Management
UUID-basierte Sessions mit HTTP-Cookies. Automatische Session-Ablauf und Bereinigung. Kein permanentes Login ohne Zustimmung.
Soft-Delete
Gelöschte Mitarbeiter werden nicht physisch entfernt, sondern als inaktiv markiert. Historische Daten bleiben für die Aufbewahrungspflicht erhalten.
Änderungsprotokoll
Jede Korrektur an Arbeitszeiten wird protokolliert: Wer hat wann was geändert? Für volle Nachvollziehbarkeit und Revisionssicherheit.
Technische Datenschutz-Maßnahmen im Detail
Granulare Berechtigungen pro Organisationseinheit
Für jede Organisationseinheit können Sie einzeln festlegen, wer Mitarbeiter verwalten, Events einsehen, Urlaub genehmigen, Schichtmodelle ändern oder Kostenstellen bearbeiten darf.
Sichere Passwort-Richtlinie
Passwörter müssen mindestens 8 Zeichen lang sein und Groß-/Kleinbuchstaben, Ziffern und Sonderzeichen enthalten. Passwörter werden ausschließlich als bcrypt-Hash gespeichert.
Automatische Session-Bereinigung
Inaktive Sessions werden automatisch beendet. Die Session-Verwaltung läuft über sichere HTTP-Cookies mit eindeutigen UUIDs.
Datenminimierung
Stampfactory erfasst nur die Daten, die für die Zeiterfassung nötig sind: Stempelzeiten und Quelle. Keine GPS-Daten, keine Screenshots, keine Tastenprotokollierung.
Aufbewahrungspflicht und Löschkonzept
Arbeitszeitdaten werden mindestens 2 Jahre aufbewahrt (gesetzliche Pflicht nach ArbZG). Ein Löschkonzept stellt sicher, dass Daten nach Ablauf der Aufbewahrungsfrist entfernt werden.
Admin-Impersonation mit Protokollierung
Administratoren können bei Bedarf den Kontext eines Mitarbeiters einnehmen – für Support-Zwecke. Jede Impersonation wird protokolliert.
DSGVO-Checkliste für Zeiterfassungssysteme
Rechtsgrundlage für die Verarbeitung
Arbeitszeiterfassung basiert auf der gesetzlichen Pflicht (Art. 6 Abs. 1 lit. c DSGVO) und dem Arbeitsvertrag (Art. 6 Abs. 1 lit. b DSGVO).
Datenminimierung
Es werden nur die für die Zeiterfassung notwendigen Daten erhoben: Name, Stempelzeiten, Abwesenheiten.
Zweckbindung
Arbeitszeitdaten werden ausschließlich für die Zeiterfassung, Lohnabrechnung und gesetzliche Dokumentation verwendet.
Technische Schutzmaßnahmen
Verschlüsselte Passwörter, sichere Sessions, HTTPS-Verbindung, Hosting in Deutschland.
Zugriffskontrolle
Rollenbasierter Zugriff mit granularen Berechtigungen. Mitarbeiter sehen nur eigene Daten.
Dokumentation und Nachweisbarkeit
Änderungsprotokoll für alle Korrekturen. Exportfunktionen für Auskunftsersuchen nach Art. 15 DSGVO.
Aufbewahrung und Löschung
Gesetzliche Aufbewahrungspflicht wird eingehalten. Nach Fristablauf werden Daten gelöscht.
Auftragsverarbeitung
Ein AV-Vertrag gemäß Art. 28 DSGVO wird mit jedem Kunden geschlossen.
Betriebsrat und Mitbestimmung
Die Einführung einer Zeiterfassung unterliegt in Unternehmen mit Betriebsrat der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Der Betriebsrat hat ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die das Verhalten oder die Leistung der Arbeitnehmer überwachen können.
Stampfactory unterstützt diesen Prozess: Durch die granulare Rechtevergabe können Sie genau festlegen, wer welche Daten sehen darf. Das Änderungsprotokoll dokumentiert jeden Zugriff. Und die Möglichkeit, Funktionen wie Benachrichtigungen oder Editierrechte individuell ein- und auszuschalten, erleichtert die Abstimmung mit dem Betriebsrat.
FAQ
Häufig gestellte Fragen zum Datenschutz
Datenschutz-konforme Zeiterfassung – Made in Germany
Testen Sie die DSGVO-konforme Zeiterfassung von Stampfactory 6 Wochen kostenlos. Hosting in Deutschland, kein Tracking, keine Weitergabe.