Datenschutzerklärung

für die App „Timeo“ (SBTTT) · Stand: 18. September 2026

Hinweis zur Rollenverteilung: Timeo ist eine Zeiterfassungs-Software, die von Unternehmen (nachfolgend „Kunde“ oder „Arbeitgeber“) für ihre Mitarbeitenden lizenziert wird. Für die Verarbeitung der personenbezogenen Daten der Mitarbeitenden (z. B. Name, E-Mail-Adresse, Zeiteinträge) ist in der Regel der jeweilige Arbeitgeber als datenschutzrechtlich Verantwortlicher zuständig. Bavaco.de stellt die technische Plattform bereit und verarbeitet Daten in dessen Auftrag als Auftragsverarbeiter (Art. 28 DSGVO). Fragen zu deinen Zeiterfassungsdaten richtest du daher bitte primär an deinen Arbeitgeber. Diese Erklärung informiert dennoch umfassend darüber, welche Daten technisch erhoben und verarbeitet werden.

1. Verantwortlicher / Anbieter der App

Anbieter der App und Betreiber der technischen Infrastruktur:

Bavaco.de
Parchetwiesen 19, 82362 Weilheim
E-Mail: support@bavaco.de

2. Welche Daten wir verarbeiten

2.1 Zugangscode / Mandantenzuordnung

Beim ersten Start gibst du einen von deinem Arbeitgeber bereitgestellten Zugangscode ein. Dieser Code wird gegen eine zentrale Datenbank geprüft, um deiner Installation die richtige Mandanten-Konfiguration (Firmenname, Farbschema, Logo, zuständige Firestore-Datenbank) zuzuordnen. Der Code selbst enthält keine personenbezogenen Daten und wird nicht mit deinem Nutzerkonto verknüpft gespeichert.

2.2 Nutzerkonto (Anmeldung)

Zur Anmeldung wird ein Benutzerkonto über Firebase Authentication angelegt. Dabei werden verarbeitet:

E-Mail-Adresse
Passwort (verschlüsselt/gehasht durch Firebase, uns nicht im Klartext bekannt)
Name (soweit im Nutzerprofil hinterlegt)
Status-Flags (z. B. Administratorrechte, aktiv/deaktiviert)

2.3 Zeiterfassungsdaten

Im Rahmen der Nutzung der App werden folgende arbeitsbezogene Daten gespeichert:

Zeiteinträge (Beginn, Ende, Dauer, Datum)
Zugeordnete Projekte und Projektphasen
Ggf. Notizen/Kommentare zu Zeiteinträgen

Diese Daten werden ausschließlich in der für den jeweiligen Mandanten (Arbeitgeber) eingerichteten, logisch getrennten Datenbank gespeichert und sind für andere Mandanten nicht einsehbar.

2.4 Biometrische Anmeldung (optional)

Falls du die biometrische Schnellanmeldung (Fingerabdruck/Gesichtserkennung) aktivierst, prüft dein Betriebssystem die Biometrie lokal auf deinem Gerät. Weder biometrische Merkmale noch Rohdaten verlassen dein Gerät oder werden an uns übertragen. Lediglich deine Zugangsdaten werden verschlüsselt im sicheren Speicherbereich des Geräts (Secure Storage) abgelegt, um nach erfolgreicher Biometrie-Prüfung automatisch anzumelden.

2.5 Lokale Benachrichtigungen

Die App kann tägliche Erinnerungen (z. B. „Zeiterfassung nicht vergessen“) anzeigen. Diese Benachrichtigungen werden vollständig lokal auf deinem Gerät geplant und ausgelöst; es findet keine Übertragung an Push-Server statt.

2.6 Spracheingabe (optional)

Falls du eine Spracheingabe-Funktion nutzt, wird die Sprachverarbeitung über die Spracherkennung deines Betriebssystems (Google bzw. Apple) durchgeführt. Es gelten insoweit ergänzend die Datenschutzhinweise des jeweiligen Betriebssystemherstellers.

2.7 Export- und Teilen-Funktionen

Auf deine Anforderung hin kannst du Zeiterfassungsdaten als Excel- oder PDF-Datei exportieren und über die Teilen-Funktion deines Geräts an Dritte (z. B. per E-Mail) weitergeben. Diese Weitergabe erfolgt aktiv durch dich und liegt außerhalb unseres Einflussbereichs.

2.8 Technische Daten auf dem Gerät

Zur Funktionsfähigkeit der App werden auf deinem Gerät gespeichert: die zuletzt geladene Mandanten-Konfiguration (App-Titel, Farben, Datenbank-Kennung) sowie Sitzungs-/Einstellungsdaten (SharedPreferences). Diese Daten verbleiben lokal auf dem Gerät.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

Zweck	Rechtsgrundlage
Bereitstellung der Zeiterfassung, Anmeldung, Rechteverwaltung	Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzungsverhältnis) bzw. Auftragsverarbeitung nach Art. 28 DSGVO im Verhältnis zum Arbeitgeber
Sichere Anmeldung, Missbrauchsvermeidung	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit)
Gesetzliche Aufbewahrungspflichten (z. B. Arbeitszeitnachweise)	Art. 6 Abs. 1 lit. c DSGVO i. V. m. arbeits-/sozialversicherungsrechtlichen Vorgaben

4. Weitergabe an Dritte / eingesetzte Dienstleister

Als technische Infrastruktur setzen wir Google Firebase (Firebase Authentication und Cloud Firestore) ein, Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (bei Datenverarbeitung in den USA: Google LLC, USA). Mit Google besteht ein Auftragsverarbeitungsvertrag; für Datenübermittlungen in die USA sind EU-Standardvertragsklauseln vereinbart.

Jeder Mandant (Arbeitgeber) erhält eine eigene, logisch getrennte Firestore-Datenbank. Ein Zugriff über Mandantengrenzen hinweg ist durch serverseitige Sicherheitsregeln (Firestore Security Rules) unterbunden.

Eine Weitergabe deiner Daten zu Werbezwecken findet nicht statt. Wir setzen keine Analyse-, Tracking- oder Werbe-SDKs (z. B. Google Analytics, Werbenetzwerke) ein.

5. Speicherdauer

Zeiterfassungs- und Kontodaten werden gespeichert, solange dein Nutzerkonto bei deinem Arbeitgeber aktiv ist bzw. solange eine gesetzliche Aufbewahrungspflicht besteht. Nach Beendigung des Beschäftigungsverhältnisses bzw. auf Weisung des Arbeitgebers werden die Daten gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Lokal auf dem Gerät gespeicherte Daten (Konfiguration, Zugangsdaten für biometrische Anmeldung) werden bei Deinstallation der App bzw. beim Abmelden gelöscht.

6. Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu (bei Beschäftigungsverhältnissen primär gegenüber deinem Arbeitgeber als Verantwortlichem geltend zu machen):

Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO)

7. Datensicherheit

Die Datenübertragung zwischen App und Firebase erfolgt verschlüsselt (TLS). Zugangsdaten für die biometrische Anmeldung werden verschlüsselt im sicheren Bereich des Betriebssystems abgelegt. Der Zugriff auf Mandantendaten ist serverseitig über Rollen (z. B. Administrator/Mitarbeiter) und Sicherheitsregeln beschränkt.

8. Minderjährige

Die App richtet sich an Beschäftigte von Unternehmen zur betrieblichen Zeiterfassung und ist nicht für die Nutzung durch Kinder bestimmt.

9. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt jeweils die zum Zeitpunkt deines Besuchs bzw. deiner Nutzung aktuelle, unter dieser Adresse veröffentlichte Fassung.

10. Kontakt

Bei Fragen zum Datenschutz erreichst du uns unter support@bavaco.de.