Datenschutzerklärung

Stand: November 2026

1. Verantwortlicher

JK Industries, Inhaber Julian Kluesekamp, Harenburg 23, 44869 Bochum, E-Mail julian@kluesekamp.de (nachfolgend „wir“) betreibt die Zeiterfassung „Stamp“. Das ist zugleich die Kontaktadresse für alle Datenschutzfragen.

2. Wer ist wofür verantwortlich?

Für die Daten, die eine Firma in Stamp über ihre Mitarbeiter speichert (Arbeitszeiten, Pausen, Abwesenheiten, Schichten, Kunden, Rechnungen), ist die jeweilige Firma Verantwortliche im Sinne der DSGVO. Wir verarbeiten diese Daten in ihrem Auftrag (siehe AV-Vertrag). Mitarbeiter wenden sich bei Fragen zu ihren Daten bitte zuerst an ihren Arbeitgeber. Wir unterstützen die Firma bei der Beantwortung.

Für die Kontodaten der Firmen und Administratoren selbst (Registrierung, Anmeldung, Abrechnung, Support) sind wir Verantwortliche.

3. Welche Daten verarbeiten wir?

• Registrierung und Konto: Firmenname, Anschrift der Firma, Name, E-Mail-Adresse, Passwort (nur als Hash, nie im Klartext), Zeitpunkt und Version der Zustimmung zu den Bedingungen, Bundesland für die Feiertage.
• Nutzung durch die Firma: Arbeitszeiten, Pausen, Notizen, Tätigkeiten, Abwesenheiten und Urlaub, Schichten, Mitteilungen, Wochenstunden und Urlaubsanspruch, Stundenlohn und Kostensätze, bei Firmen mit Rechnungsfunktion zusätzlich Kunden, Rechnungsdaten und Rechnungen.
• Gesundheitsdaten: Wer eine Abwesenheit als „krank“ einträgt, offenbart damit ein Gesundheitsdatum (Art. 9 DSGVO), auch ohne Diagnose. Wir speichern nur die Art der Abwesenheit und den Zeitraum, keine Diagnosen und keine Atteste. Die Verarbeitung erfolgt im Auftrag und in der Verantwortung der Firma (Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG).
• Einladungen: Gibt ein Administrator Name und E-Mail-Adresse eines Mitarbeiters ein, schicken wir dieser Adresse eine Einladung (Link sieben Tage gültig). Der Link verfällt danach. Wenn du eingeladen wirst, stammen deine Daten (Name, E-Mail-Adresse, Soll-Stunden, Urlaubsanspruch) von dem Administrator deiner Firma, der sie eingetragen hat.
• Assistent Scott (optional): Nur wenn die Firma Scott einschaltet (und die einzelne Person nicht ausgeschlossen wurde). Scott ist ein KI-Assistent. Gestellte oder gesprochene Fragen werden zur Beantwortung an den KI-Dienst übertragen (siehe Abschnitt 6): die Frage, die letzten Beiträge des laufenden Gesprächs und die passenden Hilfetexte. Beim Sprechen (nur wenn die Firma die Sprache eigens freigegeben hat) wird der Ton in Echtzeit übertragen, dort in Text umgewandelt und beantwortet; beim Vorlesen wird der Antworttext übertragen. Bei der Sprache lassen sich Namen nicht durch Platzhalter ersetzen: Was du sagst und was Scott antwortet, kann Namen von Mitarbeitern und Kunden enthalten. Zusätzlich kann die Firma erlauben, dass Scott im Auftrag der jeweiligen Person Daten abfragt und Aktionen ausführt (z. B. Einstempeln, Zeiten, Urlaub; bei Administratoren Mitarbeiter einladen sowie Zeiten, Notizen und Abwesenheiten der Mitarbeiter abfragen). Dann gehen die für die Anfrage nötigen Angaben an den KI-Dienst, bei Administratoren zum Beispiel Zeiten, Mengen, Beträge und Abwesenheiten. In Text und Abfrageergebnissen ersetzt Stamp die Namen von Mitarbeitern und Kunden vor der Übermittlung durch Platzhalter; E-Mail-Adressen, Telefonnummern, Notizen und Kommentare werden nicht übertragen, und die Art „krank“ wird als „abwesend“ übermittelt. Was du selbst schreibst oder sagst, geht unverändert an den KI-Dienst (auch eine E-Mail-Adresse, die du zum Einladen eintippst). Die Art der Abwesenheit „krank“ ist ein Gesundheitsdatum (Art. 9 DSGVO). Bitte nenne gegenüber Scott keine Diagnosen oder Gesundheitsdetails. Aktionen führt Scott nur nach ausdrücklicher Bestätigung der Person aus und nur im Rahmen ihrer Rechte. Ist Scott zum Handeln freigegeben, wird jede ausgeführte Aktion mit Zeitpunkt, Person und Inhalt in einem Protokoll der Firma festgehalten; zusätzlich wird pro Gespräch eine Kurzzeile (Anzahl der Fragen, mit dem Namen der fragenden Person, ohne Fragetext) in dieses Protokoll geschrieben. Dieses Protokoll sehen nur Administratoren der Firma. Antworten von Scott speichern wir nicht. Fragen, auf die es keinen Hilfetext gibt, zählen wir als höchstens sechs Wortstämme, ohne E-Mail-Adressen, Links und Zahlen und ohne Bezug zu Firma oder Person, um die Hilfetexte zu verbessern. Pro Firma und Monat zählen wir außerdem die Anzahl der Gespräche (Kontingent).
• Technische Daten: Beim Aufruf fallen beim Hosting-Anbieter Server-Logdaten an (IP-Adresse, Zeitpunkt, aufgerufene Datei). Zum Schutz vor Missbrauch (Begrenzung von Anmeldeversuchen und Registrierungen) speichern wir die IP-Adresse als Prüfwert (Hash, nicht im Klartext). Dieser Prüfwert wird nach etwa zwei Tagen gelöscht. Fordert jemand das Zurücksetzen eines Passworts an, speichern wir zu dieser Anforderung die IP-Adresse nur als Prüfwert (Hash, nicht im Klartext); er wird 30 Tage nach Ablauf des Links gelöscht.
• Schutz der Testzeit: Damit die 14-tägige Testzeit nicht mehrfach genutzt wird, speichern wir einen mit einem geheimen Schlüssel gebildeten Prüfwert (HMAC) der um Zusätze wie „+name“ bereinigten E-Mail-Adresse (12 Monate, auch nach Löschung des Kontos) und einen Prüfwert der IP-Adresse (30 Tage). Aus diesen Prüfwerten lässt sich die Adresse nicht ohne unseren Schlüssel wiederherstellen.
• Support und Nachweise: Schreibst du uns, verarbeiten wir deine Nachricht und unsere Antwort. Von der Zustimmung zu den Bedingungen speichern wir Zeitpunkt und Version bei den Firmendaten; wird die Firma gelöscht, bleibt davon nur ein pseudonymer Nachweis (Prüfwerte ohne Namen und E-Mail-Adressen, dazu Zeitpunkt und Version der Zustimmung) acht Jahre erhalten, damit wir einen Vertragsschluss belegen können (Art. 6 Abs. 1 lit. f DSGVO, Verteidigung von Rechtsansprüchen). Für unsere eigene Abrechnung gegenüber Firmen speichern wir Rechnungsdaten.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes und Vertragserfüllung gegenüber der Firma: Art. 6 Abs. 1 lit. b DSGVO.
• Sicherheit und Missbrauchsschutz (Begrenzung von Anmeldeversuchen, Schutz der Testzeit, Server-Logs, Fehlerbehebung): Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere, störungsfreie Betrieb und der Schutz vor Missbrauch.
• Support, Nachweis der Zustimmung, Verbesserung der Hilfetexte (Wortstämme von Fragen ohne Hilfetext), Zählung der Gespräche je Firma für das Kontingent: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Beantwortung von Anfragen, die Durchsetzung und Abwehr von Ansprüchen, ein verständlicher Dienst und die Begrenzung der Kosten.
• Eigene Abrechnung gegenüber Firmen: Art. 6 Abs. 1 lit. b DSGVO; gesetzliche Aufbewahrung von Rechnungen und Belegen: Art. 6 Abs. 1 lit. c DSGVO.
• Verarbeitung von Beschäftigtendaten durch die Firma: Art. 6 Abs. 1 lit. b, c oder f DSGVO je nach Zweck, § 26 BDSG soweit anwendbar; besondere Kategorien nach Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG. Die Verantwortung liegt bei der Firma.

5. Cookies und Speicherung auf dem Gerät

Wir setzen ausschließlich technisch notwendige Speicherung ein: ein Anmelde-Cookie, damit du angemeldet bleibst, bis du dich abmeldest (die Frist verlängert sich bei jeder Nutzung, höchstens 400 Tage ohne Nutzung), und lokale Daten im Browser, die für die Bedienung nötig sind: Einstellungen wie Hell/Dunkel, Anzeigeeinstellungen und die gewählte Ansicht (diese Einstellungen bleiben nach dem Abmelden auf dem Gerät), zuletzt geladene eigene Daten und eine Warteschlange für Zeiten, die du ohne Internet stempelst. Diese Warteschlange wird gesendet, sobald wieder Internet da ist; beim Abmelden werden die zuletzt geladenen Daten und die Warteschlange vom Gerät gelöscht. Außerdem speichert ein Service Worker die Seiten, Skripte und Bilder der App (keine Nutzerdaten), damit Stamp auch ohne Internet startet. Es gibt keine Werbe-, Analyse- oder Tracking-Technik. Diese Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil sie für den von dir gewünschten Dienst unbedingt erforderlich ist; deshalb gibt es keinen Cookie-Banner.

6. Empfänger und Dienstleister

• Hosting: alphabytes GmbH, Hennigfeldstr. 7, 44795 Bochum, als Hosting-Dienstleister, der Rechenzentrumsleistungen der Bradler & Krantz GmbH & Co. KG, Kurt-Schumacher-Platz 8, 44787 Bochum, nutzt; die Server stehen nach den Angaben zur Netzadresse in Deutschland. Beide verarbeiten Daten in unserem Auftrag (Auftragsverarbeiter nach Art. 28 DSGVO). Dort liegen auch die Datensicherungen auf dem Server.
• E-Mail-Versand: Einladungen, Bestätigungs-, Passwort- und Erinnerungs-Mails werden über den Mailserver des Hosting-Anbieters verschickt.
• KI-Dienst für Scott (nur wenn die Firma Scott einschaltet): OpenAI (für Kunden im Europäischen Wirtschaftsraum OpenAI Ireland Limited, Dublin; Muttergesellschaft OpenAI, L.L.C., USA). Dorthin gehen die Frage, die letzten Beiträge des Gesprächs, die Hilfetexte und bei erlaubten Aktionen die für die Anfrage nötigen Angaben (z. B. Namen, E-Mail-Adressen, Zeiten, Notizen, Abwesenheiten, bei Administratoren auch mit der Art „krank“). Vor der Übermittlung der abgefragten Daten entfernen wir Passwörter, Zugangs- und Bankdaten sowie die Stundenlöhne und Kostensätze der Mitarbeiter; Kundenpreise und Rechnungsbeträge können übermittelt werden, wenn danach gefragt wird. Nach den Angaben von OpenAI werden Daten, die über die Programmierschnittstelle kommen, nicht zum Training der Modelle verwendet; Protokolle zur Missbrauchserkennung werden standardmäßig bis zu 30 Tage gespeichert. Die Verarbeitung kann auch in den USA stattfinden. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) im Auftragsverarbeitungszusatz von OpenAI. Eine Kopie erhältst du auf Anfrage an julian@kluesekamp.de. Die Firma kann Scott jederzeit ausschalten; dann findet keine Übermittlung an OpenAI statt.
• Sprache mit Scott (nur mit eigenem OpenAI-Schlüssel der Firma): Die Sprache (Mikrofon, Vorlesen, Live-Gespräch) gehört nicht zum Tarif. Sie steht nur Firmen zur Verfügung, die in den Einstellungen einen eigenen OpenAI-Schlüssel hinterlegen. Dann läuft die Sprache über das OpenAI-Konto der Firma: Ton und vorzulesender Antworttext gehen an OpenAI, beim Live-Gespräch läuft der Ton direkt zwischen dem Gerät und OpenAI (OpenAI erhält die IP-Adresse des Geräts). OpenAI ist dabei Dienstleister der Firma, die Firma trägt die Kosten und ist gegenüber OpenAI selbst Vertragspartner und für diese Nutzung datenschutzrechtlich verantwortlich. Bei der Sprache lassen sich Namen nicht durch Platzhalter ersetzen. Wir speichern weder Ton noch Antworttext. Der Schlüssel wird verschlüsselt gespeichert, nie angezeigt und kann jederzeit gelöscht werden.

Eine Weitergabe an sonstige Dritte oder eine Übermittlung in Drittländer findet durch uns nicht statt, ausgenommen die Nutzung von Scott. Derzeit setzen wir keinen Zahlungsdienstleister ein; Rechnungen stellen wir selbst.

7. Speicherdauer

• Kontodaten und Nutzungsdaten: solange das Konto besteht. Eine Firma kann ihre Daten jederzeit exportieren. Das Konto lässt sich erst löschen, nachdem die Firma ihre Daten exportiert hat (und, falls Rechnungen erstellt wurden, das Rechnungsarchiv heruntergeladen hat); dann werden alle Daten gelöscht. Der Export umfasst Mitarbeiter, Zeiten, Pausen, Abwesenheiten, Schichten, Tätigkeiten, Kunden, Rechnungen und Mitteilungen (Rechnungs-PDFs als Archiv), nicht aber alle internen Protokolle. Endet die Nutzung, bleiben die Daten nach einer Sperre erhalten, bis die Firma sie exportiert hat; frühestens 60 Tage nach der Sperre und nach einer Erinnerung per E-Mail löschen wir sie dann.
• Rechnungen der Firma an ihre Kunden: gesetzliche Aufbewahrungsfrist acht Jahre (§ 14b UStG, § 147 AO). Dafür ist die Firma verantwortlich; sie sollte Rechnungen und Arbeitszeitnachweise vor einer Löschung selbst sichern.
• Sicherungen: verschlüsselt; auf dem Server die letzten 14 täglichen Sicherungen, gelöschte Daten sind daher nach etwa 14 Tagen auch dort verschwunden; die wöchentliche Kopie auf einem Gerät des Betreibers (nur für den Betreiber lesbar) wird nach den letzten 8 Kopien überschrieben, also nach etwa 8 Wochen.
• Sitzungen: bis zur Abmeldung, spätestens 400 Tage nach der letzten Nutzung (so lange bleibt der Sitzungseintrag in der Datenbank).
• Scott-Protokoll: 90 Tage (die Bereinigung erfolgt durch einen regelmäßigen Aufräumlauf; spätestens mit Löschung der Firma). Wortstämme unbeantworteter Fragen: 180 Tage ohne neue Zählung, die Bereinigung erfolgt beim Zählen. Prüfwert der IP-Adresse (Missbrauchsschutz bei Anmeldung): etwa zwei Tage. IP-Adresse bei Passwort-Zurücksetzen: nur als Hash, 30 Tage nach Ablauf des Links. Prüfwerte der Testzeit: 30 Tage (IP) bzw. 12 Monate (E-Mail). Zähler der Scott-Gespräche je Firma und Monat: mit der Firma.
• Eigene Rechnungen und Abrechnungsdaten gegenüber Firmen: acht Jahre (§ 14b UStG, § 147 AO), auch nach Löschung des Kontos. Nachweis der Zustimmung: pseudonym, acht Jahre nach Löschung der Firma. Support-Korrespondenz: bis zu drei Jahre nach Ende der Vertragsbeziehung (Verjährung), Geschäftsbriefe nach den steuerlichen Fristen. Nachweis der Zustimmung (Zeitpunkt, Version): mit der Firma.
• Server-Logdaten: so lange, wie es für den sicheren Betrieb erforderlich ist; die konkrete Frist legt der Hosting-Anbieter fest, wir haben darauf keinen Einfluss.

8. Bereitstellung und automatisierte Entscheidungen

Die Angabe der Registrierungsdaten ist für den Vertrag erforderlich; ohne sie können wir Stamp nicht bereitstellen. Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung findet nicht statt. Scott gibt Auskünfte und führt Aktionen nur auf ausdrücklichen Wunsch und nach Bestätigung aus.

9. Deine Rechte

Wir verarbeiten Daten nicht auf Grundlage einer Einwilligung; ein Widerruf kommt daher nicht in Betracht. Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Eingeloggte Nutzer können ihre eigenen Daten (Profil, Zeiten, Pausen, Abwesenheiten, Schichten) unter „Profil“ exportieren. Soweit Mitarbeiter Rechte gegenüber ihrer Firma geltend machen, ist die Firma zuständig. Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, zum Beispiel bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (ldi.nrw.de).

10. Sicherheit

Die Verbindung ist per HTTPS verschlüsselt. Passwörter werden nur als Hash gespeichert. Die Daten einer Firma sind von denen anderer Firmen getrennt. Weitere Maßnahmen beschreibt der AV-Vertrag.

11. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Impressum · Datenschutz · AGB · AV-Vertrag