Datenschutzerklärung

1. Wer ist verantwortlich?

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO), soweit in dieser Erklärung nichts anderes steht:

• [FIRMA], [ANSCHRIFT]
• Vertretungsberechtigt: [GESCHÄFTSFÜHRUNG]
• Registereintrag: [FIRMENBUCHNUMMER/HANDELSREGISTER]
• Kontakt für Datenschutzanfragen: [DATENSCHUTZKONTAKT]
• Allgemeiner Kontakt: [KONTAKT]

Diese Erklärung betrifft die Website von kloq, die Registrierung, das Kundenkonto und den Betrieb des Dienstes kloq (kloq. time, kloq. people, kloq. pay und kloq. mobile) in der von uns gehosteten Cloud-Variante. Wer kloq selbst betreibt (Self-Hosting), betreibt die Datenverarbeitung in eigener Verantwortung. Für Self-Hosting gilt diese Erklärung nur, soweit Dienste von uns genutzt werden (zum Beispiel das Push-Relay, siehe Abschnitt 5.4).

2. Überblick: Wer ist wofür verantwortlich?

kloq ist ein Dienst für Unternehmen. Die Rollen sind deshalb zweigeteilt.

Für die Daten von Beschäftigten entscheidet also der Kunde über Zweck und Mittel der Verarbeitung. Wir verarbeiten diese Daten ausschließlich nach seinen Weisungen. Näheres steht im AVV. Beschäftigte finden Hinweise in Abschnitt 11.

3. Welche Daten verarbeiten wir als Verantwortlicher, wozu und auf welcher Grundlage?

Zahlungsdaten verarbeiten wir derzeit nicht: Die öffentliche Beta ist kostenlos. Sollten wir künftig Entgelte verlangen, ergänzen wir diese Erklärung vorher.

Eine Pflicht zur Bereitstellung der Daten besteht nicht gesetzlich. Ohne die Registrierungsdaten können wir aber kein Konto anlegen.

Wir setzen keine Werbe-, Tracking- oder Analyse-Dienste ein und geben keine Daten zu Werbezwecken weiter. Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

4. Verarbeitung im Auftrag des Kunden

Soweit wir für Kunden Beschäftigtendaten verarbeiten, handeln wir als Auftragsverarbeiter. Das umfasst insbesondere:

• Zeitbuchungen, Korrekturen, Zeitkonten, Abwesenheiten und Dienstpläne (kloq. time),
• Personalstammdaten, Rollen, Einladungen und Verbindungen zu Personalsystemen (kloq. people),
• Vorerfassung von Lohndaten, Spesen, Reisen, Essenszuschuss und Belege (kloq. pay),
• Daten der mobilen App (kloq. mobile), zum Beispiel Stempelungen, Push-Geräte-Tokens und optional Standortergebnis.

Der Kunde bestimmt, welche Funktionen er aktiviert und welche Daten er erfasst. Er ist dafür verantwortlich, dass er eine Rechtsgrundlage für die Verarbeitung hat (Art. 6 DSGVO, in Deutschland ergänzend die nationalen Regeln, in Österreich insbesondere ArbVG und AVRAG, in der Schweiz Art. 328b OR) und dass erforderliche Beteiligungsrechte der Arbeitnehmervertretung gewahrt sind. Wir nehmen dazu keine Prüfung vor. kloq enthält lediglich Hinweise und ein Bestätigungs-Gate in der Einrichtung, das nicht blockiert.

Betroffenenanfragen, die diese Daten betreffen, leiten wir an den Kunden weiter beziehungsweise unterstützen ihn bei deren Beantwortung (Art. 28 Abs. 3 lit. e DSGVO).

5. Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit dies für den Betrieb erforderlich ist. Die aktuelle Liste der Unterauftragsverarbeiter führen wir im Verzeichnis zum AVV; über Änderungen informieren wir Kunden vorab.

5.1 Hosting: Hetzner Online GmbH (Deutschland)

Der Dienst wird bei der Hetzner Online GmbH in Deutschland betrieben. Hetzner verarbeitet die dort gespeicherten Daten in unserem Auftrag. Ein Vertrag nach Art. 28 DSGVO besteht beziehungsweise ist abzuschließen [OFFEN – bestätigen].

5.2 E-Mail-Versand: [PLATZHALTER – SMTP-Anbieter offen]

Für den Versand der Bestätigungs-Code-E-Mails und von Systemnachrichten setzen wir einen E-Mail-Dienstleister ein: [PLATZHALTER – SMTP-Anbieter, Sitz, Land]. Dabei werden die E-Mail-Adresse und der Nachrichteninhalt verarbeitet.

5.3 Optionale Belegerkennung: Anthropic PBC (USA)

kloq kann Belege (zum Beispiel Quittungen für Essenszuschuss oder Spesen) per KI auslesen. Diese Belegerkennung ist standardmäßig ausgeschaltet und wird nur verarbeitet, wenn der Kunde sie aktiviert. Dann gilt:

• Unsere Daten werden in der EU gespeichert. Die Belegerkennung erfolgt über Anthropic PBC (USA). Es handelt sich also um eine Übermittlung in ein Drittland.
• An den Anbieter gehen nur das Belegbild und eine feste, von uns vorgegebene Anweisung. Namen oder Personalnummern der Beschäftigten werden nicht übermittelt.
• Krankmeldungen und Nachweise über Arbeitsunfähigkeit werden nie an die Belegerkennung gesendet.
• Das Ergebnis ist ein Vorschlag, den eine Person bestätigt; es ersetzt keine Entscheidung durch einen Menschen.
• Der Kunde kann die Funktion jederzeit abschalten; Belege werden dann manuell erfasst.

Belege können dennoch personenbezogene Daten enthalten, zum Beispiel einen aufgedruckten Namen oder einen Kartenstummel. Die Übermittlung stützt sich auf [OFFEN – Transferinstrument: DPF-Zertifizierung des Anbieters und/oder Standardvertragsklauseln, siehe Abschnitt 6]. Zusagen des Anbieters zu Aufbewahrung und Nichtnutzung für Training sind im Vertrag festzuhalten [OFFEN].

Wir behaupten daher nicht, alle Daten würden ausschließlich in der EU verarbeitet. Zutreffend ist: gespeichert in der EU, Belegerkennung (nur wenn aktiviert) über Anthropic (USA).

5.4 Push-Benachrichtigungen: Apple und Google

Für Push-Benachrichtigungen der mobilen App nutzen wir die Dienste von Apple (APNs, USA) und Google (FCM, USA). Dabei wird ein Geräte-Token übermittelt, der pseudonym, aber personenbezogen ist. Die Benachrichtigung selbst ist inhaltsfrei: Sie enthält nur eine Neuigkeits-Meldung mit verschlüsselter Kennung; den Inhalt holt die App direkt vom Server. Bei selbst gehosteten Installationen läuft die Weiterleitung über das kloq Push-Relay, das außer Zählern für die Anfragebegrenzung nichts speichert. Der Rechtsstatus von Apple und Google (Auftragsverarbeiter oder eigene Verantwortliche) und das Transferinstrument sind noch zu klären [OFFEN].

5.5 Sonstige Empfänger

• Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind.
• Professionelle Berater (Rechts-, Steuer- und Wirtschaftsprüfung), soweit erforderlich und zur Verschwiegenheit verpflichtet.
• Single-Sign-On-Anbieter wie Microsoft oder Google verarbeiten Anmeldedaten im Rahmen eines eigenen Vertrags des Kunden mit diesem Anbieter, nicht in unserem Auftrag.

6. Übermittlung in Drittländer

Soweit Daten in Länder außerhalb der EU/des EWR übermittelt werden (derzeit nur USA, siehe Abschnitte 5.3 und 5.4), erfolgt dies nur mit einer Grundlage nach Kapitel V DSGVO. Das ist entweder ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework, Beschluss (EU) 2023/1795, für zertifizierte Empfänger) oder es sind Standardvertragsklauseln nach Art. 46 DSGVO.

Die Tragfähigkeit des EU-US Data Privacy Framework ist gerichtlich noch nicht endgültig geklärt: Das Gericht der Europäischen Union hat die Klage Latombe am 3. September 2025 abgewiesen (T-553/23); ein Rechtsmittel (C-703/25 P) ist anhängig. Wir dokumentieren deshalb vorsorglich Standardvertragsklauseln als Rückfallebene [OFFEN – Umsetzung bestätigen].

Für die Schweiz gilt das Schweiz-US Data Privacy Framework (in Kraft seit 15. September 2024); die EU hat die Angemessenheit der Schweiz bestätigt.

Remote-Zugriffe auf Kundendaten durch den Support von außerhalb der EU/der Schweiz sind ebenfalls eine Übermittlung. Support findet daher nur aus der EU/der Schweiz oder mit einer Transfergrundlage statt [OFFEN – bestätigen].

Eine Kopie der Garantien erhalten Sie auf Anfrage unter [DATENSCHUTZKONTAKT].

7. Speicherdauer

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder Gesetze es verlangen. Unsere eigenen Daten (Abschnitt 3) bewahren wir nach den dort genannten Fristen auf.

Für die Daten, die ein Kunde in kloq verarbeitet, gelten Aufbewahrungsklassen, die je Land und Datenklasse festgelegt sind und der Kunde im zulässigen Rahmen anpassen kann. Zu den Klassen gehören unter anderem Zeitbuchungen, Lohnunterlagen, Belege, Bewerberdaten, Gesundheitsanhänge, Standort-Rohwerte, Geräteablesungen, Zugriffsprotokolle, Einwilligungsnachweise und private Kontaktdaten für Einladungen. Die Ausgangswerte sind in unseren Entwicklungsunterlagen dokumentiert (SPEC.md §17.2) und teils noch rechtlich zu bestätigen. Daten, die noch aufbewahrt werden müssen, werden gesperrt statt gelöscht (Art. 18 DSGVO). Die Löschung erfolgt technisch durch Vernichtung von Schlüsseln beziehungsweise Entfernen von Datenpartitionen; Backups folgen dadurch ebenfalls der Löschung.

Private Telefonnummern, die nur für Einladungen und Sicherheitscodes dienen, werden nach der Aktivierung automatisch gelöscht.

8. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3),
• Beschwerde bei einer Datenschutzbehörde (Art. 77).

Ihre Anfrage richten Sie an [DATENSCHUTZKONTAKT]. Zur Identitätsprüfung können wir Nachweise verlangen. Wir beantworten Anträge innerhalb von einem Monat (Österreich und Deutschland; in begründeten Fällen um bis zu zwei weitere Monate verlängerbar, Art. 12 Abs. 3 DSGVO) beziehungsweise innerhalb von 30 Tagen (Schweiz).

Zuständig für Beschwerden ist die Datenschutzbehörde, die sich nach Ihrem Wohnsitz, Arbeitsplatz oder dem Ort des Verstoßes richtet. Für uns ist die zuständige Aufsichtsbehörde je nach Sitz [OFFEN]. In der Schweiz ist die Aufsichtsbehörde der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

Zu Daten, die Ihr Arbeitgeber in kloq verarbeitet, wenden Sie sich bitte zuerst an Ihren Arbeitgeber (Abschnitt 11).

9. Datensicherheit

Wir schützen Daten durch technische und organisatorische Maßnahmen, unter anderem:

• strikte Trennung der Daten jeder Firma (Mandantentrennung auf Datenbankebene),
• Verschlüsselung der Übertragung und Feldverschlüsselung für sensible Daten,
• Mehrfaktor-Anmeldung für privilegierte Rollen,
• widerrufbare Sitzungen und Geräte,
• ein manipulationsgeschütztes Protokoll sicherheitsrelevanter Vorgänge,
• keine personenbezogenen Daten in Anwendungs-Logs,
• ein Verfahren für Datenpannen mit Meldung an den Kunden unverzüglich und, soweit wir Verantwortliche sind, an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO).

Eine ausführliche Darstellung finden Sie auf der Seite Sicherheit. Absolute Sicherheit können wir nicht zusagen.

10. Cookies und lokaler Speicher

Wir setzen keine Tracking-, Analyse- oder Werbe-Cookies ein. Nach aktuellem Stand verwenden wir nur technisch notwendige Speicherungen:

Da nur technisch notwendige Speicherungen eingesetzt werden, fragen wir nach aktuellem Stand keine Einwilligung ab [OFFEN – rechtlich prüfen]. Sie können Cookies in Ihrem Browser löschen oder blockieren; dann kann die Anmeldung oder die Spracheinstellung nicht funktionieren.

11. Für Beschäftigte unserer Kunden

Wenn Ihr Arbeitgeber kloq nutzt, ist Ihr Arbeitgeber für die Verarbeitung Ihrer Beschäftigtendaten verantwortlich. Wir verarbeiten diese Daten nur in seinem Auftrag. Bitte beachten Sie:

• Welche Daten kloq bei Ihnen erfasst, hängt davon ab, welche Funktionen Ihr Arbeitgeber aktiviert hat. Welche Funktionen das sind, welche Rechtsgrundlage er dafür hat und an wen er Daten weitergibt, muss er Ihnen nach Art. 13 und 14 DSGVO mitteilen. Fragen Sie dafür die Mitarbeiter-Information Ihres Arbeitgebers oder Ihre Personalabteilung.
• Auskunft, Berichtigung, Löschung und die übrigen Rechte richten Sie an Ihren Arbeitgeber. kloq bietet Ihrem Arbeitgeber dafür Werkzeuge (zum Beispiel Auskunfts-Export und Verwaltung von Betroffenenanfragen). Wenn Sie sich an uns wenden, leiten wir Ihre Anfrage an Ihren Arbeitgeber weiter, weil wir Ihre Anfrage nicht selbst beantworten dürfen.
• Mitarbeitende sehen in kloq ihre eigenen Rohbuchungen, Korrekturen und wer was geändert hat.
• Krankmeldungen enthalten nur Zeitraum und Art, keine Diagnose. Das Team sieht grundsätzlich nur "abwesend", soweit es nicht für die Einsatzplanung nötig ist.
• Zusatzfunktionen, die auf Ihrer Einwilligung beruhen, können Sie jederzeit widerrufen; ein Widerruf hat keine Nachteile für Sie.
• Ausgeschiedene Beschäftigte behalten einen eingeschränkten Zugang für Auskunft, Lohnzettel, Dienstzeugnis und den Widerruf von Einwilligungen.

Ihr Arbeitgeber ist ferner dafür zuständig, dass bei der Einführung die Beteiligung der Arbeitnehmervertretung gewahrt wird (Österreich: Betriebsrat nach ArbVG §§ 96, 96a, 97; Deutschland: Betriebsrat nach § 87 BetrVG; Schweiz: Information und Anhörung nach Mitwirkungsgesetz und ArG/ArGV, docs/legal/datenschutz-mitbestimmung.md §3.6).

12. Hinweise für die Schweiz

Für Personen in der Schweiz gilt das Bundesgesetz über den Datenschutz (revDSG, Stand 25. September 2020). Für Arbeitsverhältnisse begrenzt Art. 328b OR die Bearbeitung von Arbeitnehmerdaten auf das, was für die Eignung oder die Durchführung des Arbeitsvertrags erforderlich ist; diese Norm ist relativ zwingend, eine Einwilligung erweitert den Rahmen nicht (docs/legal/datenschutz-mitbestimmung.md §3.1). Bei Datenschutzverletzungen mit voraussichtlich hohem Risiko melden wir so rasch wie möglich (Art. 24 revDSG). Auskunftsfristen: 30 Tage.

13. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Dienst, Rechtslage oder Unterauftragsverarbeiter ändern. Die jeweils aktuelle Fassung mit Version und Stand steht auf dieser Seite. Bei wesentlichen Änderungen informieren wir registrierte Kunden vorab per E-Mail [OFFEN – Frist].

Stand: 2026-10-10, Version 2026-1-entwurf.