Ihre Daten gehören Ihnen.

1. Verantwortlicher

Malik Consults – Webdesign, KI & Automatisierung
Torbreite 16, 37688 Beverungen
Zum Selsberg 17, 37688 Beverungen

Vertreten durch: Majeb Malik, Labib Malik, Aayan Malik

E-Mail: info@malik-consults.de
Telefon: 05273 3999616

2. Überblick über die Datenverarbeitung

TapZeit ist ein System zur elektronischen Zeiterfassung, das entweder lokal im Betrieb oder auf einem eigenen Server betrieben wird. Die Verantwortung für die Einhaltung des Datenschutzes liegt beim Betreiber der jeweiligen TapZeit-Instanz. Diese Datenschutzerklärung gilt für den Besuch der TapZeit-Website sowie für die Nutzung der TapZeit-Software als Auftragsverarbeiter gemäß Art. 28 DSGVO.

3. Besuch der Website (Informationsseiten)

Beim Besuch der Webseite werden durch den Hosting-Provider automatisch folgende technischen Daten in Server-Logs erfasst:

• IP-Adresse (anonymisiert, ohne vollständige Identifikation)
• Datum und Uhrzeit des Zugriffs
• übertragene Datenmenge
• angeforderte Seite/Datei
• User-Agent (Browsertyp und -version)

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Es findet kein Tracking, keine Analyse mit Drittanbietern und keine Cookie-basierte Nachverfolgung statt. Es werden lediglich technisch notwendige Session-Cookies beim Login in das Administrations- oder Mitarbeiterportal gesetzt; diese Cookies enthalten keine personenbezogenen Profile.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung und Sicherheit der Webseite).

4. Nutzung der TapZeit-Software (Zeiterfassung)

4.1 Verarbeitete Datenkategorien

Je nach Konfiguration können folgende personenbezogene Daten in TapZeit verarbeitet werden:

Datenkategorie	Beispiele	Zweck
Stammdaten	Name, Personalnummer, Benutzername	Identifikation, Authentifizierung
Kontaktdaten	E-Mail-Adresse (optional)	Kommunikation, Passwort-Reset
Zeiterfassungsdaten	Kommen/Gehen-Zeiten, Pausenzeiten	Arbeitszeitdokumentation gem. § 16 MiLoG
Abwesenheitsdaten	Urlaub, Krankheitstage, Entschuldigte Fehlzeiten	Abwesenheitsverwaltung
Authentifizierungsdaten	Passwort-Hash (PBKDF2), Chip-UID (NFC)	Zugangskontrolle
Audit-Logs	Änderungshistorie mit Zeitstempel	Nachweispflicht, Datenschutz-Accountability (Art. 5 Abs. 2 DSGVO)
Einstellungen	Firmenname, Arbeitszeitmodelle, Feiertage	Systemkonfiguration

4.2 Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Arbeitsvertrags / Beschäftigungsverhältnisses)
• § 26 BDSG (Datenverarbeitung für Beschäftigungszwecke)
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung gem. § 16 MiLoG, § 3 ArbZG)
• Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Integrität des Systems)

4.3 Speicherdauer und Löschkonzept

TapZeit verfügt über ein integriertes Löschkonzept:

• Zeiterfassungsdaten (Buchungen): 2 Jahre Aufbewahrung gem. § 16 MiLoG, danach Anonymisierung (Verknüpfung zur Person wird gelöscht, aggregierte Daten bleiben für statistische Zwecke)
• Audit-Logs: 6 Jahre gem. § 147 Abs. 1 AO / § 257 HGB (GoBD), danach Löschung
• Personenstammdaten: Bis zur Beendigung des Beschäftigungsverhältnisses zzgl. gesetzlicher Aufbewahrungsfristen
• Vertragsdaten: 10 Jahre gem. § 147 Abs. 3 AO

Die automatische Löschung wird durch einen Cron-Job / Wartungsaufruf angestoßen. Manuelle Löschungen erfolgen über die DSGVO-Löschfunktion (Art. 17 DSGVO), die vorher auf bestehende Aufbewahrungspflichten hinweist und im Audit-Log protokolliert wird.

4.4 Datenportabilität (Art. 20 DSGVO)

Jeder Mitarbeiter und Admin kann jederzeit eine vollständige Kopie seiner personenbezogenen Daten im maschinenlesbaren JSON-Format exportieren (über die Auskunftsfunktion im Mitarbeiterkonto).

4.5 Datenweitergabe und Dritte

TapZeit gibt keine personenbezogenen Daten an Dritte weiter. Es werden keine Social-Media-Plugins, Tracking-Dienste oder Werbenetzwerke eingebunden. Eine Übermittlung in Drittländer findet nicht statt. Der Betreiber bleibt vollständig Herr seiner Daten.

4.6 Auftragsverarbeitung (Art. 28 DSGVO)

Sofern TapZeit als Dienstleistung für Dritte betrieben wird (z. B. als Cloud-Lösung für Kunden), wird ein separates Auftragsverarbeitungsvertrag (AVV) geschlossen. Der Betreiber der TapZeit-Instanz ist für die Einhaltung der Weisungen des Verantwortlichen verantwortlich.

5. Technisch-organisatorische Maßnahmen (TOM)

TapZeit implementiert folgende Sicherheitsmaßnahmen:

• Zutrittskontrolle: Server-Zugang nur über SSH mit Schlüssel-Paaren, systemd PrivateDevices/ProtectSystem
• Zugangskontrolle: Passwort-Hashing mit PBKDF2 (600.000 Iterationen), Session-Management mit Inaktivitäts-Timeout, CSRF-Schutz
• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem (7 Rollen: Mitarbeiter bis Superadmin) mit Default-Deny
• Weitergabekontrolle: Keine automatische Datenweitergabe an Dritte; Terminal-Kommunikation über HMAC-gesicherte API
• Verfügbarkeit: Offline-Puffer im Terminal bei Netzwerkausfall, Transaktionale Datenbank (SQLite WAL-Modus)
• Trennungsgebot: Getrennte Datenbank je Mandant (Single-Tenant-Architektur)

6. Betroffenenrechte

Sie haben gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO): Sie können jederzeit eine Übersicht aller gespeicherten personenbezogenen Daten anfordern. TapZeit stellt diese als CSV-Datei zur Verfügung.
• Berichtigung (Art. 16 DSGVO): Sie können unrichtige Daten korrigieren lassen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Löschung wird im Audit-Log dokumentiert.
• Einschränkung (Art. 18 DSGVO): Unter bestimmten Voraussetzungen können Sie die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, gängigen Format erhalten (JSON).
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen, soweit diese auf berechtigtem Interesse beruht.
• Beschwerderecht (Art. 77 DSGVO): Sie können sich bei der zuständigen Datenschutz-Aufsichtsbehörde beschweren.

Zuständige Aufsichtsbehörde: Für Malik Consults mit Sitz in Beverungen (Nordrhein-Westfalen) ist dies die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2-4, 40213 Düsseldorf, ldi.nrw.de.
Setzen Sie TapZeit als eigenverantwortlicher Betrieb ein, ist die Aufsichtsbehörde an Ihrem Sitz zuständig. Eine Übersicht aller deutschen Aufsichtsbehörden finden Sie bei der Bundesbeauftragten für den Datenschutz (bfdi.bund.de).

6a. Datenschutzbeauftragter

Datenschutzanfragen richten Sie bitte an die im Impressum genannten Kontaktdaten. Ob eine Pflicht zur Benennung eines Datenschutzbeauftragten (Art. 37 DSGVO, § 38 BDSG) besteht, prüft jeder Verantwortliche – auch der jeweilige Kundenbetrieb – eigenständig.

6b. Verantwortungsabgrenzung beim Produkteinsatz

Beim Einsatz von TapZeit im Betrieb eines Kunden ist ausschließlich der Kunde als Arbeitgeber Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Malik Consults stellt die Software und technische Schutzfunktionen bereit, trifft jedoch keine Entscheidungen über Zwecke und Mittel der Verarbeitung im Kundenbetrieb. Der Kunde ist insbesondere selbst verantwortlich für: eigene Datenschutzinformationen an seine Beschäftigten, die Festlegung und Einhaltung von Löschfristen, die Verwaltung von Benutzerkonten und Rollen, die Absicherung eines etwaigen Fernzugriffs sowie die regelmäßige Sicherung und sichere Aufbewahrung der Backups. Diese Punkte werden bei der Einrichtung schriftlich abgefragt und dokumentiert.

7. Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung (DPIA) gem. Art. 35 DSGVO wird für den Einsatz von TapZeit empfohlen, insbesondere wenn biometrische Daten (Gesichtserkennung o. ä.) verwendet werden. TapZeit selbst erhebt keine biometrischen Daten; die Verwendung von NFC-Chips dient ausschließlich der Identifikation und Authentifizierung und erhebt keine biometrischen Merkmale.

8. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der Rechtslage oder der Software anzupassen. Die aktuelle Fassung ist stets auf dieser Seite abrufbar.

Stand: Juli 2026