Datenschutz

1. Verantwortlicher und Kontakt

Diese Adresse ist unser Kontakt für Datenschutzfragen. Ein bestellter Datenschutzbeauftragter ist damit nicht benannt.

Für die Website, für Anfragen, für den Assistenten Tario in der Anwendung und für den Vertrag über RunMyTime ist die REINCORE GmbH verantwortlich.

Wenn dein Arbeitgeber RunMyTime für die Zeiterfassung einsetzt, entscheidet er über die Verarbeitung deiner Beschäftigtendaten. Wir stellen die Anwendung bereit und verarbeiten diese Daten nach seinen Weisungen. Bei Fragen zu deinen Arbeitszeitdaten kannst du dich an die zuständige Stelle in deinem Unternehmen wenden. Unser Datenschutzkontakt bleibt zusätzlich erreichbar.

2. Website und Anwendung

Diese Website stellt RunMyTime vor. Die Anwendung ist ein getrenntes System für die Zeiterfassung deines Unternehmens. Die Website liest dafür keine Arbeitszeiten, Projekte oder Konten aus der Anwendung.

Die Preisangaben auf der Website werden von unserem Server abgefragt. Deine personenbezogenen Daten sind darin nicht enthalten.

3. Besuch unserer Website

Beim Besuch unserer Website werden technisch erforderliche Daten verarbeitet, damit die Seiten angezeigt werden können und wir Störungen oder Missbrauch erkennen können.

Der Webserver kann dazu die IP-Adresse, den Zeitpunkt, die aufgerufene Adresse, den Status der Antwort, die übertragene Datenmenge, die zuvor besuchte Seite und den Browsertyp in ein Serverprotokoll schreiben. Rechtsgrundlage ist unser Interesse am Betrieb der Website, Art. 6 Abs. 1 lit. f DSGVO.

Empfänger sind die Personen, die den Betrieb der Website betreuen. Wie lange diese Protokolle aufbewahrt werden, legt diese Software nicht fest.

Schriftarten werden von dieser Website selbst ausgeliefert. Es werden keine Analysewerkzeuge und keine externen Schrift- oder Skriptdienste geladen.

4. Kontaktaufnahme

Wenn du uns über das Kontaktformular schreibst, verwenden wir deine Angaben, um deine Anfrage zu bearbeiten und dir zu antworten.

Erforderlich sind dein Name, deine E-Mail-Adresse, ein Thema und die Nachricht. Die Firma ist freiwillig. Wenn du eine Tarifoption angibst, speichern wir die Tarifkennung, den Stand und die gewählte Zahlungsweise mit. Diese Angaben sind keine Preise und keine Buchung.

Die Anfrage wird gespeichert. Ist ein E-Mail-Versand eingerichtet, erhält die zuständige Stelle einen Hinweis mit der Nummer der Anfrage, dem Thema und deiner E-Mail-Adresse. Der Text deiner Nachricht bleibt bei der gespeicherten Anfrage und steht nicht in diesem Hinweis.

Zur Begrenzung missbräuchlicher Absendungen speichern wir einen Prüfwert deiner IP-Adresse. Dafür wird die Adresse mit einem nur bei uns liegenden Geheimnis unumkehrbar verrechnet. Den Prüfwert können wir nicht in die Adresse zurückrechnen. Er ist trotzdem kein anonymer Wert, weil dasselbe Geheimnis dieselbe Adresse wiedererkennt. Zusätzlich ordnet ein Sitzungscookie das Formular deinem Besuch zu. Sehr schnelle oder automatisch ausgefüllte Zusatzfelder werden nicht als normale Anfrage gespeichert. Mehr als fünf Anfragen derselben Verbindung innerhalb einer Stunde werden abgelehnt.

Geht es um eine Demo, einen Tarif oder einen möglichen Vertrag, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Bei sonstigen Fragen stützen wir uns auf das Interesse, Anfragen zu beantworten, Art. 6 Abs. 1 lit. f DSGVO. Die Begrenzung missbräuchlicher Absendungen stützt sich ebenfalls auf Art. 6 Abs. 1 lit. f DSGVO.

5. Tario in der Anwendung

In der Anwendung RunMyTime gibt es den Assistenten Tario. Er erscheint nach der Anmeldung. Auf diesen öffentlichen Seiten ist er nicht eingebunden.

Du kannst dort Fragen zur Anwendung stellen, Hilfeartikel aufrufen und ein Supportticket vorbereiten. Vor dem Absenden siehst du eine Vorschau. Übernommen werden können Betreff, Beschreibung, eine Kategorie und Chatnachrichten, die du selbst auswählst. Aus dem Konto kommen Name, E-Mail-Adresse und der Name des Unternehmens.

Eine Nachricht an den Live-Support geht in die Support-Warteschlange von RunMyTime. In der geprüften Umgebung geht sie nicht an einen zusätzlichen externen Kanal. Ist ein solcher Kanal eingeschaltet, verlangt die Anwendung eine gesonderte Bestätigung, bevor die Nachricht hinausgeht.

Die KI ist nicht in jeder Umgebung eingerichtet. Ist sie aus, bleiben Hilfeartikel und Tickets nutzbar. Ist sie an, bestätigst du zuerst einen Hinweis. Erst danach geht eine Frage an die KI.

Dabei übermittelt RunMyTime den Text deiner Nachricht, einen kurzen Verlauf dieser Sitzung, deine Rolle, die für dich freigeschalteten Funktionen, die aktuelle Seite und passende Hilfeartikel an OpenAI. Arbeitszeiten, Teamdaten, Abwesenheitsgründe im Detail, Gehälter, Stundensätze, Rechnungen und andere Unterlagen werden dafür nicht mitgeschickt.

Die Anfrage verwendet die Einstellung store: false. Das bittet OpenAI, die Anfrage nicht in den dort einsehbaren Verlauf zu übernehmen. Das ist keine Zusage, dass dort nichts verarbeitet oder ausschließlich in der EU gespeichert wird.

Der Gesprächsverlauf wird in RunMyTime gespeichert, damit du ihn wieder siehst. Mit „Chat leeren“ setzt du ihn zurück. Eine feste Löschfrist nennt die Anwendung nicht.

Rechtsgrundlage für Support zur Anwendung ist Art. 6 Abs. 1 lit. b DSGVO. Soweit dein Arbeitgeber über die Nutzung entscheidet, bleibt er für deine Beschäftigtendaten zuständig. Die Übermittlung an OpenAI erfolgt nur, wenn die KI eingerichtet ist und du den Hinweis bestätigt hast.

6. Cookies und Browser-Speicher

Cookies, lokaler Browser-Speicher und zwischengespeicherte Offline-Daten sind verschiedene Dinge. Nicht jeder dieser Vorgänge ist allein deshalb zulässig, weil er im Browser bleibt.

Website

Die Website setzt ein Sitzungscookie mit dem Namen rmt_site. Es ist für den Abruf durch Skripte gesperrt und gilt, bis du den Browser schließt. Es wird benötigt, damit das Kontaktformular deinem Besuch zugeordnet und vor missbräuchlicher Absendung geschützt werden kann. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Tracking-Cookies setzen wir nicht.

Anwendung

Nach der Anmeldung setzt die Anwendung ein Sitzungscookie und ein Sicherheitscookie für Formulare. Beides ist erforderlich, um dir die angemeldete Anwendung bereitzustellen, § 25 Abs. 2 Nr. 2 TDDDG.

Die Dauer einer Sitzung richtet sich nach der Anmeldung und nach Vorgaben deines Unternehmens. Ohne besondere Auswahl endet eine gewöhnliche Sitzung nach 12 Stunden oder nach 30 Minuten ohne Aktivität. Auf einem privaten Gerät kannst du nach einer Anmeldung mit Passkey oder Authenticator-App länger angemeldet bleiben: höchstens 30 Tage seit der vollständigen Anmeldung und 7 Tage ohne Aktivität. Für Verwaltung, Inhaber und den Betreiberbereich gelten kürzere Zeiten. Eine kürzere Vorgabe deines Unternehmens gewinnt. Statusabfragen der Anwendung verlängern die Inaktivität nicht.

Das Cookie rmt_device merkt sich nur, dass auf diesem Browser schon eine bestätigte Anmeldung stattfand. Es meldet niemanden an und ersetzt keinen Passkey und keinen Authenticator-Code.

Die Darstellung hell oder dunkel und das Ausblenden des Hinweises zum Startbildschirm liegen nur in deinem Browser. Beides wird nicht an uns übertragen und ist für die Zeiterfassung nicht erforderlich. Eine Einwilligung fragen wir dafür nicht ab.

Erfasst du Zeiten ohne Verbindung, bleiben die Vorgänge in einer lokalen Datenbank deines Browsers, bis sie übertragen oder von dir verworfen werden. Das ist erforderlich, um die von dir erfassten Zeiten bis zum Abgleich zu erhalten, § 25 Abs. 2 Nr. 2 TDDDG. Bereits geöffnete Seiten der Anwendung können dafür ebenfalls auf dem Gerät zwischengespeichert werden. Das geschieht nur bei einer verschlüsselten Verbindung. Login-Seiten und Challenges werden dafür nicht als App-Hülle gespeichert.

7. Anmeldung und mobile Nutzung

Für die Anmeldung kannst du einen Passkey oder Passwort mit einem Code aus einer Authenticator-App nutzen. Wiederherstellungscodes helfen dir, wenn du vorübergehend keinen Authenticator und keinen Passkey hast.

Bei der Passkey-Anmeldung speichert RunMyTime Schlüsselmaterial und technische Kennungen des Authenticators, keine biometrischen Merkmale. Gesichtserkennung, Fingerabdruck oder Geräte-PIN bleiben auf deinem Gerät. Daraus folgt nicht, dass bei der Anmeldung überhaupt keine personenbezogenen Daten verarbeitet werden: Konto, Sitzung, Zeitpunkt und Geräteangaben bleiben Teil der Anmeldung.

Geheimnisse für die Authenticator-App und Wiederherstellungscodes speichern wir als Prüfwerte, nicht im Klartext. Wiederherstellungscodes werden einmal angezeigt und sind danach nicht wieder auslesbar. Ein benutzter Code gilt nicht erneut.

Angemeldete Sitzungen werden mit Zeitpunkt, IP-Adresse und Browserangabe festgehalten. Du kannst einzelne Sitzungen oder Passkeys in Profil und Sicherheit widerrufen. Sensible Änderungen wie Passwort, Passkeys, Authenticator oder Sicherheitsvorgaben brauchen eine aktuelle Bestätigung.

Die mobile Ansicht unter der Anwendung speichert lokal Tagesdaten und noch nicht übertragene Buchungen. Eine Buchung gilt erst nach der Antwort des Servers.

8. Nutzung von RunMyTime

Die folgenden Daten fallen in der Anwendung an. Wer sie sehen darf, richtet sich nach der Rolle in deinem Unternehmen. Beschäftigtendaten verarbeiten wir nach den Weisungen dieses Unternehmens. Vertrags- und Abrechnungsdaten zum Tarif verarbeiten wir für unseren eigenen Vertrag mit dem Kundenunternehmen, Art. 6 Abs. 1 lit. b DSGVO.

Konto- und Unternehmensdaten

Gespeichert werden der Name des Unternehmens, Namen, E-Mail-Adressen, ein Prüfwert des Passworts, die Mitgliedschaft und die Rolle. Einladungsschreiben enthalten den Namen, den Firmennamen und einen einmaligen Link. Der Link ist sieben Tage gültig. Ob eine Einladung tatsächlich per E-Mail versendet wird, hängt davon ab, ob der Versand eingerichtet ist.

Wenn dein Unternehmen die zentrale Anmeldung eingerichtet hat, leiten wir dich zur Anmeldung an den dort hinterlegten Identitätsanbieter weiter. Wir übermitteln die technische Kennung dieser Anmeldung und bitten um Name und E-Mail-Adresse. Zurück verwenden wir E-Mail-Adresse und Name. Welche weiteren Daten der Anbieter verarbeitet, steht in dessen eigener Erklärung.

Für das eigene Konto kannst du Passkeys und eine Authenticator-App einrichten. Dein Unternehmen kann die Mehrfaktor-Anmeldung für alle oder für ausgewählte Rollen vorschreiben. Für den Betreiberbereich ist ein zweiter Faktor in der Standardkonfiguration erforderlich. Einzelheiten stehen im Abschnitt zur Anmeldung.

Arbeitszeiten, Pausen und Abwesenheiten

Die Anwendung speichert Check-in, Pausen, Check-out, Projektzeiten und Abwesenheiten. Einen Arbeitsort wie Büro, Homeoffice oder unterwegs kannst du freiwillig für einen Tag eintragen. Das ist keine Anwesenheitskontrolle.

Eine Abwesenheit vom Typ Krankheit kann eine Gesundheitsinformation sein. Gespeichert werden der Zeitraum, der Status und eine freiwillige Notiz. Die Notiz ist im Teamkalender nicht allgemein sichtbar. Der Umstand der Krankheit kann dort und in einem Kalenderabo aber als Abwesenheit erscheinen. Welche Rechtsgrundlage dafür gilt, bestimmt dein Arbeitgeber. Wir nennen hier keine eigene Grundlage.

Kunden- und Projektdaten

Soweit der Tarif Projekte enthält, können Namen von Kunden, Projekte, Tätigkeiten, Beschreibungen, Budgets und Stundensätze gespeichert werden. Zugriff haben die Personen, denen dein Unternehmen diese Funktion und die passende Rolle gibt.

Zugänge zu Schnittstellen

Ein API-Zugang erzeugt einen persönlichen Schlüssel. Der Klartext wird einmal angezeigt und danach nur als Prüfwert gespeichert. Der Schlüssel handelt mit den Rechten der Person, die ihn erstellt hat. Eine Ablaufzeit ist nicht hinterlegt. Der Schlüssel gilt, bis er widerrufen wird.

Ein Kalenderabo erzeugt eine Adresse, die einmal angezeigt und danach nur als Prüfwert gespeichert wird. Wer die Adresse kennt, kann die zugehörigen Abwesenheiten abrufen: die eigenen oder, je nach gewähltem Umfang, die des Teams. Dein Kalenderprogramm ist dann Empfänger dieser Daten. Nach dem Widerruf liefert die Adresse keine Daten mehr.

Sicherheits- und Änderungsprotokolle

Änderungen werden mit Zeitpunkt, handelnder Person und IP-Adresse protokolliert. Die Einträge sind so verkettet, dass eine nachträgliche Änderung auffällt. Ein normales Löschen dieser Protokolle ist nicht vorgesehen.

Support aus dem Betreiberbereich kann ein Konto für 30 Minuten einsehen. Dafür sind ein Grund und die Wahl zwischen Ansicht und Unterstützung nötig. In der Ansicht können keine Daten geändert werden. Stempel, Passwort, zweiter Faktor und API-Schlüssel bleiben in beiden Fällen gesperrt. Beginn, Ende, Grund und vorgenommene Änderungen werden mit der Betreuungsperson, der betroffenen Person und der IP-Adresse protokolliert. Nicht jeder Seitenaufruf wird einzeln gespeichert.

Vertrags- und Abrechnungsdaten

Zum Tarif eines Kundenunternehmens können Vertragsstand, Nutzerzahlen, Rechnungsanschrift, Steuerkennungen und Belege gespeichert werden. Vertragspartner und Rechnungsaussteller ist die REINCORE GmbH. RunMyTime ist die Produktmarke.

Für die Online-Zahlung der Lizenz ist Stripe als Zahlungsdienstleister angebunden. Über Stripe Checkout und das Stripe-Kundenportal können Zahlungsvorgänge, Abonnements und Stripe-Rechnungen abgewickelt werden. Kartendaten werden nicht in RunMyTime gespeichert; sie werden bei Stripe verarbeitet. Welche Zahlungsmittel Stripe anbietet, richtet sich nach der Freischaltung im Stripe-Konto der REINCORE GmbH.

Die Verarbeitung der Vertrags- und Abrechnungsdaten zum Tarif erfolgt für unseren Vertrag mit dem Kundenunternehmen, Art. 6 Abs. 1 lit. b DSGVO. Ob Stripe-Schlüssel und Webhooks in einer konkreten Umgebung freigeschaltet sind, entscheidet die jeweilige Konfiguration; fehlt sie, ist die Online-Zahlung im Portal nicht nutzbar.

9. Dienstleister und Datenweitergabe

Empfänger innerhalb deines Unternehmens sind die Personen mit der jeweiligen Berechtigung. Empfänger bei uns sind die Personen, die Anfragen, Verträge oder den Support bearbeiten.

Für Lizenzzahlungen kann Stripe (Stripe Payments Europe Limited bzw. verbundene Unternehmen laut Stripe) Zahlungs- und Rechnungsdaten erhalten, die für Checkout, Abonnement und Zahlungsbestätigung nötig sind. Dazu können insbesondere Firmenname, Rechnungsanschrift, E-Mail-Adresse, Steuerkennungen, Tarif- und Betragsangaben sowie technische Zahlungsreferenzen gehören. Kartendaten verarbeitet Stripe, nicht RunMyTime.

Weitere Empfänger können sein: der Identitätsanbieter, den dein Unternehmen für die zentrale Anmeldung einträgt, und das Kalenderprogramm, in das du ein Abo übernimmst. Eine E-Mail zu einer Anfrage oder Einladung geht nur hinaus, wenn der Versand eingerichtet ist. Den Anbieter dieses Versands und den Betreiber der Server nennen wir hier nicht, weil dazu keine belegte Angabe vorliegt.

Ist die KI von Tario eingerichtet, kann OpenAI die im Abschnitt zu Tario genannten Inhalte erhalten. Ein Vertrag zur Auftragsverarbeitung und ein bestimmter Speicherort sind auf dieser Seite nicht genannt, weil sie uns für diesen Betrieb nicht vorliegen.

10. Datensicherheit

Passwörter, API-Schlüssel, Einladungslinks, Kalenderadressen, Authenticator-Geheimnisse und Wiederherstellungscodes speichern wir als Prüfwerte, nicht im Klartext. Passkeys speichern Schlüsselmaterial, keine biometrischen Merkmale. Sitzungscookies sind gegen das Auslesen durch Skripte der Website geschützt. Die Website lädt Inhalte nur von sich selbst.

Wenn du Website oder Anwendung über eine Adresse mit https öffnest, ist die Übertragung zwischen deinem Browser und dem Server verschlüsselt. Das erkennst du am Schloss-Symbol. Wir sagen nicht zu, dass jede bereitgestellte Adresse so erreichbar ist, und wir versprechen keine absolute Sicherheit.

11. Speicherdauer

• Serverprotokolle der Website: eine feste Frist ist in dieser Software nicht hinterlegt.
• Kontaktanfragen: eine automatische Löschfrist ist nicht hinterlegt. Die Prüfwerte zur Begrenzung wiederholter Absendungen werden nach einer Stunde gelöscht.
• Tario: der Gesprächsverlauf bleibt gespeichert, bis du ihn mit „Chat leeren“ zurücksetzt. Eine feste Löschfrist nennt die Anwendung nicht.
• Sitzungscookie der Website: bis der Browser geschlossen wird.
• Anmeldung in der Anwendung: gewöhnlich 12 Stunden beziehungsweise 30 Minuten ohne Aktivität. Auf einem privaten Gerät nach Passkey oder Authenticator-App höchstens 30 Tage beziehungsweise 7 Tage ohne Aktivität. Kürzere Unternehmensvorgaben gewinnen. Widerrufene Sitzungen enden sofort.
• Passkeys und Authenticator-Einrichtung: bis du sie entfernst oder sie widerrufen werden.
• Wiederherstellungscodes: bis sie ersetzt oder verbraucht sind.
• Offline erfasste Vorgänge und lokale Tagesdaten: auf deinem Gerät, bis sie übertragen oder verworfen werden.
• Darstellung und Hinweis zum Startbildschirm: auf deinem Gerät, bis du sie änderst oder die Browserdaten löschst.
• Einladungslink: sieben Tage.
• Supportzugriff: 30 Minuten. Der Protokolleintrag bleibt darüber hinaus erhalten.
• Änderungs- und Sicherheitsprotokolle: ohne gewöhnliche Löschung.
• API-Schlüssel und Kalenderabos: bis zum Widerruf.
• Arbeitszeit- und Projektdaten: bis dein Unternehmen oder eine gesetzliche Pflicht etwas anderes verlangt. Das Ende einer Testphase löscht diese Daten nicht.
• Vertrags- und Rechnungsunterlagen: für die Dauer des Vertrags und danach, soweit gesetzliche Aufbewahrungspflichten gelten. Eine kürzere eigene Frist ist nicht hinterlegt.

12. Deine Rechte

Soweit die gesetzlichen Voraussetzungen erfüllt sind, hast du diese Rechte:

• Auskunft über die Daten, die wir zu dir verarbeiten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung, wenn keine Pflicht zur Aufbewahrung entgegensteht (Art. 17 DSGVO). Arbeitszeitdaten deines Unternehmens löschen wir nicht allein auf eine Nachricht an uns und nicht vorbei an der Zuständigkeit deines Arbeitgebers.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Herausgabe der Daten, die du uns bereitgestellt hast, in einem üblichen Format, wenn die Verarbeitung auf einem Vertrag oder einer Einwilligung beruht und automatisiert erfolgt (Art. 20 DSGVO).
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, wenn deine besondere Situation das erfordert (Art. 21 DSGVO).
• Widerruf einer Einwilligung mit Wirkung für die Zukunft, soweit eine Verarbeitung auf einer Einwilligung beruht (Art. 7 Abs. 3 DSGVO).

Für Daten, die dein Arbeitgeber in RunMyTime verarbeitet, wendest du dich an die zuständige Stelle in deinem Unternehmen. Für unsere eigenen Verarbeitungen genügt eine Nachricht an datenschutz@reincore.de.

13. Beschwerderecht

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Land deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

Für die REINCORE GmbH ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg zuständig. Den Internetauftritt und den Beschwerdeweg findest du dort:

www.baden-wuerttemberg.datenschutz.de
Eine Beschwerde einreichen

14. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Website, die Anwendung oder die Rechtslage ändert. Es gilt die auf dieser Seite veröffentlichte Fassung. Der Stand steht am Anfang der Seite.