Datenschutzerklärung
Stand: 04.10.2026
Wir verarbeiten so wenige Daten wie möglich: keine Werbung, kein Tracking auf der Website, keine Analysewerkzeuge, keine Inhalte von Drittanbietern im Browser und kein Verkauf von Daten. Hier steht, was wir dennoch verarbeiten, warum und wie lange.
1. Verantwortlicher
Martin Holzmann, Aigen 6, 4972 Utzenaich, Österreich E-Mail: datenschutz@arbeitszeitmaschine.net
Ein Datenschutzbeauftragter ist nicht bestellt, weil dafür keine gesetzliche Pflicht besteht.
2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter
Für die Website und die Benutzerkonten sind wir Verantwortlicher; dafür gilt diese Erklärung.
Die Planungsdaten, die Organisationen über ihre Beschäftigten eingeben (Namen, Beschäftigungsausmaß, Zuordnungen, Info-Texte), verarbeiten wir nur im Auftrag der jeweiligen Organisation nach Art. 28 DSGVO. Verantwortlich dafür ist die Organisation. Wenn Sie als Beschäftigter Fragen zu Ihren Daten haben, wenden Sie sich bitte an Ihren Arbeitgeber; Anfragen, die uns erreichen, leiten wir an ihn weiter.
3. Aufruf der Website
Bei jedem Aufruf verarbeitet unser Server technisch notwendige Angaben: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem (User-Agent). Die Angaben landen in Serverprotokollen und werden nach 14 Tagen automatisch gelöscht, außer ein Eintrag wird zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt.
Zum Schutz vor Missbrauch zählen wir Fehlversuche bei der Anmeldung je E-Mail-Adresse und Suchanfragen nicht angemeldeter Besucher in der Ortssuche je IP-Adresse. Diese Zähler liegen nur im Arbeitsspeicher und verfallen nach 15 Minuten.
Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
4. Benutzerkonto
Für ein Konto verarbeiten wir:
- die E-Mail-Adresse – in der Datenbank verschlüsselt (AES-256-GCM) gespeichert;
- das Passwort – nur als nicht umkehrbarer Hash (Argon2id), nie im Klartext;
- Zeitpunkt der Anlage und der letzten Anmeldung;
- Ihre Organisationen und Ihre Rolle darin (Eigentümer, Bearbeitung, Lesen);
- persönliche Einstellungen, etwa ob ein Hinweis ausgeblendet ist.
Zu jeder Organisation speichern wir Name, Branche, Postleitzahl, Ort und dessen Koordinaten. Das sind in der Regel keine personenbezogenen Daten, bei Einzelunternehmen aber unter Umständen doch.
Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Angaben sind für ein Konto erforderlich; ohne sie können wir keines anlegen. Wir speichern sie, bis das Konto gelöscht wird; danach verschwinden sie spätestens nach 14 Tagen auch aus den Sicherungen.
5. Cookie und Speicher im Browser
Wir setzen genau ein Cookie:
| Name | Zweck | Dauer |
|---|---|---|
| azm_sitzung | hält Sie nach der Anmeldung angemeldet; enthält nur einen Zufallswert | bis Mitternacht (Wiener Zeit) oder bis zur Abmeldung |
Daneben speichert die Seite Einstellungen im Speicher Ihres Browsers, die unseren Server nie erreichen:
| Schlüssel | Zweck | Dauer |
|---|---|---|
| azm.sprache (localStorage) | gewählte Sprache | bis Sie ihn löschen |
| azm.ansicht.… (localStorage) | Ihre Ansicht einer Planung: Monat, Filter, zugeklappte Einheiten | bis Sie ihn löschen |
| azm.verlauf.… (sessionStorage) | Verlauf zum Rückgängigmachen | bis der Tab geschlossen wird |
Alle diese Einträge sind für den von Ihnen gewünschten Dienst unbedingt erforderlich und brauchen daher keine Einwilligung (§ 165 Abs. 3 TKG 2021). Wir setzen keine Cookies für Statistik oder Werbung.
6. Demo
Im Demo unter /demo laden Sie eine Beispielorganisation. Was Sie dort ändern, bleibt in Ihrem Browser und wird nicht an uns übertragen; beim Neuladen ist es weg.
7. Ortssuche
Wenn Sie Postleitzahl oder Ort einer Organisation eingeben, suchen wir zuerst in unserer eigenen Ortstabelle. Findet sie nichts, fragt unser Server den Dienst Photon der komoot GmbH (Berlin, Deutschland) auf Basis von OpenStreetMap. Übermittelt wird dabei nur der Suchbegriff, nicht Ihre IP-Adresse oder andere Angaben über Sie, denn die Anfrage stellt unser Server, nicht Ihr Browser.
8. E-Mails
Wir schicken E-Mails nur, wenn Sie sie selbst auslösen: einen Link zum Zurücksetzen des Passworts, wenn Sie „Passwort vergessen“ wählen, und einen Bestätigungslink, wenn Sie Ihre E-Mail-Adresse ändern. Beide Links gelten nur einige Stunden, der Link zum Zurücksetzen nur einmal. Newsletter oder Werbung verschicken wir nicht.
Für den Versand nutzen wir Brevo (Sendinblue SAS, 17 rue Salneuve, 75017 Paris, Frankreich). Brevo erhält dafür Ihre E-Mail-Adresse, Betreff und Inhalt der Nachricht sowie technische Versanddaten wie Zeitpunkt und Zustellstatus. Brevo verarbeitet diese Daten in unserem Auftrag nach Art. 28 DSGVO; ein Auftragsverarbeitungsvertrag besteht. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
Brevo erfasst, ob eine Nachricht geöffnet und ob ein Link angeklickt wurde; die Links laufen dazu über eine Weiterleitung von Brevo. Diese Auswertung ist bei uns so eingestellt, dass sie keiner Empfängeradresse zugeordnet wird. Versandprotokolle und Nachrichtenvorschauen lässt Brevo in unserem Auftrag nach einem Monat löschen.
Brevo setzt Unterauftragsverarbeiter auch außerhalb des Europäischen Wirtschaftsraums ein, insbesondere in den USA und in Indien. Nach Angaben von Brevo sind diese Übermittlungen durch geeignete Garantien nach Art. 44 ff. DSGVO abgesichert, etwa durch EU-Standardvertragsklauseln.
9. Empfänger und Übermittlung
Unsere Server betreibt die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in Rechenzentren in Falkenstein, Deutschland. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. E-Mails verschicken wir über Brevo (Abschnitt 8).
Darüber hinaus geben wir keine Daten weiter, außer wir sind gesetzlich dazu verpflichtet. Unsere Server stehen in Deutschland; zu Übermittlungen außerhalb des Europäischen Wirtschaftsraums durch Unterauftragsverarbeiter von Brevo siehe Abschnitt 8.
10. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Schreiben Sie dazu an die oben genannte Adresse; wir antworten binnen eines Monats.
Sie können sich außerdem bei der Aufsichtsbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.
11. Sicherheit
Die Verbindung ist durchgehend per TLS verschlüsselt. Organisationen sind in der Datenbank selbst voneinander getrennt, Zugriffsrechte prüft der Server bei jeder Anfrage, und wir sichern die Datenbank täglich. Eine automatisierte Entscheidungsfindung oder Profilbildung findet nicht statt.
12. Änderungen
Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.