Datenschutzerklärung — LS Zeiterfassung

Stand: 01. Juni 2026 · Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten die LS Zeiterfassung App sowie die zugehörige Server-Infrastruktur verarbeitet, zu welchem Zweck und auf welcher Rechtsgrundlage. Sie ergänzt die allgemeine Datenschutzerklärung von Lindemann Solutions NRW, die für den Web-Auftritt unter lsnrw.de gilt.

2. Rolle als Auftragsverarbeiter

Setzt ein Unternehmen (Kunde) die LS Zeiterfassung App ein, um die Arbeitszeiten seiner Mitarbeitenden zu erfassen, ist der Kunde Verantwortlicher für die Verarbeitung der Mitarbeiterdaten. Lindemann Solutions NRW handelt in diesem Fall als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Die Verarbeitung erfolgt ausschließlich auf Grundlage eines schriftlichen Auftragsverarbeitungsvertrags (AVV), den jeder Kunde vor Inbetriebnahme der App abschließt.

3. Welche Daten werden verarbeitet?

3.1 Stammdaten der Nutzer:innen

Beim Anlegen eines Accounts durch die Administration des Kundenunternehmens werden folgende Daten gespeichert:

• Vor- und Nachname
• E-Mail-Adresse (dient als Login)
• Rolle (Mitarbeiter:in, Teamleitung, HR, Administration)
• Wöchentliche Sollarbeitszeit, Urlaubsanspruch, Eintritts-/Austrittsdatum
• Optional: Abteilung

3.2 Arbeitszeitdaten

• Beginn und Ende von Arbeits- und Fahrzeiten
• Pausen (Start- und Endzeit)
• Optional eingegebene Notizen
• Bearbeitungshistorie (Audit-Log) mit Zeitstempel und Bearbeiter:in

3.3 Abwesenheitsdaten

• Urlaubs-, Krank- und Sonderurlaubsanträge mit Datum und Status
• Optional hochgeladene Dokumente (z. B. Krankmeldungen)
• Begründungen und Genehmigungs-/Ablehnungsnotizen

3.4 Standortdaten (optional, nur bei Aktivierung)

Der Arbeitgeber kann pro Mitarbeiter:in oder firmenweit festlegen, ob beim Ein- und Ausstempeln der aktuelle Standort des Endgeräts erfasst wird. Drei Modi stehen zur Verfügung:

Erfasst werden lediglich Längen- und Breitengrad sowie die Messgenauigkeit zum jeweiligen Zeitpunkt der Stempelung. Eine Bewegungsverfolgung außerhalb der Stempel-Ereignisse findet nicht statt.

3.5 Authentifizierungsdaten

• Passwort-Hash (PBKDF2/bcrypt — das Passwort selbst wird nie gespeichert)
• 2FA-Secret (TOTP) bzw. WebAuthn-Credentials, sofern aktiviert
• Refresh-Token zur Aufrechterhaltung der Sitzung

Biometrische Daten (Face ID, Touch ID, Fingerabdruck) werden ausschließlich lokal auf dem Endgerät durch das Betriebssystem verarbeitet und niemals an unsere Server übermittelt.

3.6 Technische Daten (Logs)

Zur Sicherstellung des Betriebs werden serverseitige Logs geführt, die folgende Daten enthalten können:

• IP-Adresse (gekürzt, soweit möglich)
• Zeitstempel der Anfrage
• Aufgerufener Endpunkt und HTTP-Statuscode

Diese Logs werden nach maximal 30 Tagen automatisch gelöscht.

3.7 Push-Benachrichtigungen

Die mobile App kann optional Push-Benachrichtigungen an die Mitarbeiter:innen senden — z. B. Pausen-Erinnerungen, Hinweise zum Schichtbeginn oder zur Auto-Abmeldung nach Erreichen der maximalen Arbeitszeit. Hierfür speichern wir pro Gerät:

• ein vom Betriebssystem generiertes Geräte-Token (anonym, identifiziert nur das Gerät beim jeweiligen Push-Dienst)
• die zugeordnete Plattform (iOS oder Android)
• einen optionalen Geräte-Label-Hint (z. B. „iPhone", „Android")

Der eigentliche Versand erfolgt über die plattformspezifischen Push-Dienste: Apple Push Notification service (APNs) für iOS und Firebase Cloud Messaging (FCM, Google) für Android. Beide Anbieter fungieren hierbei als Auftragsverarbeiter (siehe Abschnitt 6). Übertragen werden ausschließlich das Geräte-Token sowie Titel und Text der jeweiligen Benachrichtigung — keine Stammdaten, keine Login-Informationen und keine Arbeitszeitwerte als solche.

Die Mitarbeiter:innen können Push-Benachrichtigungen jederzeit geräteseitig (in den iOS- bzw. Android-Einstellungen) sowie in der App selbst deaktivieren. In diesem Fall findet keine Übertragung an Apple oder Google statt.

4. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — soweit die Datenverarbeitung zur Erbringung der vereinbarten Dienstleistung erforderlich ist.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) — Aufzeichnungspflichten gemäß Arbeitszeitgesetz (ArbZG), Mindestlohngesetz (MiLoG) und steuer-/handelsrechtlichen Aufbewahrungsfristen.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — für die Erfassung von Standortdaten im Modus „Optional".
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — für IT-Sicherheits-Logs.
• Art. 28 DSGVO — Auftragsverarbeitung im Verhältnis Kundenunternehmen ↔ Lindemann Solutions NRW.

5. Speicherort & technische Infrastruktur

Sämtliche Daten werden auf Servern in Deutschland verarbeitet:

• Primärer Anwendungsserver: physischer Server in Erkrath (NRW), betrieben durch Lindemann Solutions NRW. Datenbank: PostgreSQL, mit täglicher verschlüsselter Sicherung.
• Verschlüsseltes Cloud-Backup: STRATO HiDrive (STRATO AG, Pascalstraße 10, 10587 Berlin) — Backups werden vor dem Upload mit einem auf unserem Server verbleibenden Schlüssel verschlüsselt (age-Verschlüsselung). STRATO erhält keinen Zugriff auf die Klardaten.
• Mail-Versand: STRATO Mailservice für Systemmails (Login-Daten, Passwort-Zurücksetzung). Inhalte siehe Abschnitt 6.

6. Weitergabe an Dritte

Eine Weitergabe personenbezogener Daten erfolgt nur in folgenden Fällen:

• An STRATO AG als technischer Dienstleister für E-Mail-Versand und Cloud-Backup (siehe Abschnitt 5). Vertrag zur Auftragsverarbeitung mit STRATO besteht.
• An Apple Distribution International Ltd. (Hollyhill Industrial Estate, Cork, Irland) zur Zustellung von Push-Benachrichtigungen auf iOS-Geräten via Apple Push Notification service (APNs). Übermittelt werden ausschließlich Geräte-Token sowie Titel und Text der Benachrichtigung. Apple agiert als reiner Zustelldienst; ein Auftragsverarbeitungsvertrag besteht im Rahmen des Apple Developer Program License Agreement (Data Processing Addendum).
• An Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irland) zur Zustellung von Push-Benachrichtigungen auf Android-Geräten via Firebase Cloud Messaging (FCM). Übermittelt werden ausschließlich Geräte-Token, Titel und Text der Benachrichtigung sowie eine interne Event-Kategorie. Ein Auftragsverarbeitungsvertrag besteht über Google's „Cloud Data Processing Addendum". Eine Übermittlung in Drittländer (insbesondere USA) kann nicht vollständig ausgeschlossen werden; sie ist abgesichert durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie das EU-US Data Privacy Framework.
• An Apple Inc. und Google LLC ausschließlich im Rahmen der Bereitstellung der Apps über App Store bzw. Google Play (z. B. Crash-Reports, sofern vom Endnutzer aktiviert). Wir aktivieren keine App-Store-eigenen Tracking-Funktionen.
• An staatliche Stellen, sofern dies aufgrund gesetzlicher Verpflichtung erforderlich ist.

Es findet kein Verkauf von Daten an Dritte statt.

Drittlandtransfers

Eine Übermittlung personenbezogener Daten in Drittländer (außerhalb EU/EWR) findet für die Kernanwendung nicht statt — sämtliche Anwendungs-Server und Backups werden ausschließlich in Deutschland gehostet (siehe Abschnitt 5).

Eine eingeschränkte Übertragung erfolgt ausschließlich beim Versand von Push-Benachrichtigungen über die in dieser Liste genannten Anbieter Google (Firebase Cloud Messaging, Android) und Apple (APNs, iOS). Übertragen werden lediglich das anonyme Geräte-Token sowie Titel und Text der jeweiligen Benachrichtigung. Beide Übermittlungen sind durch EU-Standardvertragsklauseln und — für Google — zusätzlich durch das EU-US Data Privacy Framework abgesichert. Die Übermittlung unterbleibt, sofern der/die Mitarbeiter:in Push-Benachrichtigungen deaktiviert.

7. Speicherdauer

• Arbeitszeitdaten, Abwesenheiten: 10 Jahre nach Ende des Kalenderjahres (§ 147 AO, § 257 HGB)
• Stammdaten der Mitarbeiter:innen: Während des Vertragsverhältnisses + gesetzliche Aufbewahrungsfristen
• Standortdaten: Mit dem jeweiligen Zeiteintrag — keine separate längere Speicherung
• System-Logs: Maximal 30 Tage
• Backup-Archive (verschlüsselt): 90 Tage rollierend

8. Ihre Rechte als betroffene Person

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO) — soweit nicht gesetzliche Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wenn Sie Mitarbeiter:in eines Kundenunternehmens sind, richten Sie diese Rechte bitte zunächst an Ihren Arbeitgeber (= Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO). Wir unterstützen Ihren Arbeitgeber bei der Erfüllung der Anfrage.

9. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für uns ist:

10. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein:

• Verschlüsselte Übertragung (TLS 1.2+) zwischen App und Server
• Passwörter werden nur als Hash (bcrypt) gespeichert — niemals im Klartext
• Optionale Zwei-Faktor-Authentifizierung (TOTP oder WebAuthn)
• Tägliche, asymmetrisch verschlüsselte Backups (age / X25519)
• Multi-Tenant-Isolation: jede Kundendatenbank ist physisch getrennt
• Audit-Log über alle administrativen Aktionen

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, soweit gesetzliche Änderungen oder Änderungen am Funktionsumfang der App dies erforderlich machen. Die jeweils aktuelle Version ist unter lsnrw.de/apps/ls-zeiterfassung/datenschutz.html abrufbar.