Datenschutz in der Timius-App

1. Wer ist für deine Daten verantwortlich?

Deine Praxis, nicht wir. In der App stehen deine Arbeitszeiten, dein Dienstplan und deine Personaldaten — das sind Beschäftigtendaten, und dafür ist dein Arbeitgeber verantwortlich im Sinne der DSGVO.

Wir, die Seibold & Partners Analytics GmbH, betreiben die Software und verarbeiten diese Daten ausschließlich im Auftrag und nach Weisung deiner Praxis (Art. 28 DSGVO). Wir sehen sie nicht an, werten sie nicht aus und geben sie an niemanden weiter.

Praktisch heißt das: Fragen zu deinen Daten, Auskunft und Löschung richtest du an deine Praxis. Kommst du dort nicht weiter, schreib uns an datenschutz-timius@timius.de — wir leiten es weiter, dürfen aber nicht ohne die Praxis entscheiden.

2. Was auf deinem Handy bleibt

• Der Geräte-Ausweis. Beim Anmelden mit dem Einmalcode bekommt dein Handy einen Zufallswert, der es künftig ausweist. Er liegt nur auf deinem Gerät; wir speichern lediglich seinen Prüfwert.
• Ein Zwischenspeicher deines Plans. Damit die App auch im Aufzug oder im Funkloch etwas anzeigen kann, liegt der zuletzt geladene Stand auf dem Gerät. Die App kennzeichnet ihn dann als alt.

Beides wird gelöscht, sobald du in der App auf Gerät abmelden tippst — oder wenn du die App entfernst.

3. Was die App an den Server sendet

Rechtsgrundlage ist das Arbeitsverhältnis (§ 26 BDSG, Art. 6 Abs. 1 lit. b DSGVO). Für die Aufzeichnung der Arbeitszeit kommt § 16 Abs. 2 ArbZG hinzu.

4. Wer außer dir etwas davon sieht

Innerhalb deiner Praxis richtet sich das nach der Rolle: Wer den Plan macht, sieht Dienste; wer Zeiten prüft, sieht Stunden; deine Personalien, deine Anträge und deine Stunden sehen nur Inhaber und Personalleitung.

Deine Kolleginnen und Kollegen sehen zwei Dinge:

• Wer an einem Tag eingeteilt ist — Name, Funktion und Dienstzeit, begrenzt auf den Bereich, in dem du an diesem Tag selbst arbeitest. Wer neben einem steht, muss man wissen; wer in der Dialyse eingeteilt ist, sieht deshalb nicht, wer am Empfang steht.
• Wer Bereitschaft hat — an diesem Tag mit Name und Mobilnummer. Wer nachts einen Zwischenfall hat, muss den Bereitschaftsdienst erreichen können; diese Nummer nicht zu kennen wäre kein Datenschutz, sondern ein Betriebsrisiko.

Deine Arbeitszeiten, dein Urlaub, deine Anträge und deine Personalien sind für Kolleginnen und Kollegen nicht sichtbar.

In der App siehst du außerdem Dokumente aus deiner Personalakte — Bescheinigungen, Nachweise, was deine Praxis dort für dich ablegt. Jedes Öffnen wird protokolliert, auch deins. Arbeitsverträge und Vertragserweiterungen zeigt die App nicht; Einsicht bekommst du über deine Praxis.

5. Mitteilungen (Push)

Mitteilungen sind freiwillig und standardmäßig aus. Schaltest du sie im Bereich „Ich“ ein, vergibt Apple beziehungsweise Google eine Adresse für dieses eine Gerät, die wir speichern, um dorthin senden zu können. Schaltest du sie wieder aus, löschen wir sie.

Auf Android meldet der Firebase-Baustein von Google eine technische Installations-Kennung dieses Geräts bereits beim ersten Start der App an Google, unabhängig davon, ob du Mitteilungen einschaltest. Wir erhalten diese Kennung nicht, sie enthält keinen Namen und keine Inhalte. Die Adresse für die Zustellung von Mitteilungen entsteht erst, wenn du sie einschaltest.

Zum Zustellen läuft jede Mitteilung technisch über Apple (APNs) beziehungsweise Google (FCM). Deshalb steht im Text nur, dass es etwas Neues gibt — nie, worum es geht. „Zu deinem Antrag liegt eine Entscheidung vor“ und nicht „deine Krankmeldung wurde genehmigt“: Eine Mitteilung erscheint auf dem Sperrbildschirm und ist für jeden lesbar, der das Handy liegen sieht. Worum es geht, siehst du erst in der App.

6. Kalender-Abo

Wenn du deinen Dienstplan in den Handy-Kalender holst, erzeugen wir dafür eine lange, zufällige Adresse. Diese Adresse wirkt wie ein Passwort: Wer sie kennt, kann deine Dienste abrufen — ohne Anmeldung. Ein Kalender schickt beim Abrufen nämlich keinerlei Ausweis mit; anders ist ein Abo technisch nicht möglich.

Deshalb: Gib sie nicht weiter, und zieh sie in der App zurück, wenn du dein Handy verlierst — sie ist sofort ungültig. Bei uns liegt nur ihr Prüfwert. Übertragen werden ausschließlich deine eigenen Dienste aus veröffentlichten Wochen, keine Namen von Kolleginnen.

7. Empfänger

• Host-On GmbH, Serverbetrieb in Deutschland — dort liegen die Daten.
• Apple Inc. und Google Ireland Ltd. — für die Zustellung von Mitteilungen; auf Android zusätzlich beim ersten Start eine technische Installations-Kennung, siehe Abschnitt 5. Bei Apple erfolgt dabei eine Übermittlung in die USA auf Grundlage der Standardvertragsklauseln.

Weitere Empfänger gibt es nicht. Es findet kein Verkauf und keine Werbung statt.

8. Wie lange

• Arbeitszeiten: mindestens zwei Jahre — das schreibt § 16 Abs. 2 ArbZG vor. Sie können deshalb nicht auf Wunsch gelöscht werden.
• Zugriffsprotokoll (Anmeldungen, Zugriffe auf die Personalakte, erzeugte Kalender-Abos — jeweils mit Zeitpunkt, IP-Adresse und Gerätebezeichnung): sechs Monate.
• Mitteilungen (Titel, Text, Zeitpunkt — der Verlauf im Bereich „Heute“): 14 Tage, danach werden sie automatisch gelöscht. Was du wegklickst, verschwindet sofort aus der App.
• Geräte-Ausweis und Zwischenspeicher: bis zum Abmelden.
• Krankschreibungen, die du selbst hochlädst: in deiner Personalakte, nach den Fristen deiner Praxis — sie ist dafür verantwortlich. Auf deine Bitte entfernt sie das Dokument.
• Belege zu Fortbildung und Fahrtkosten, die du selbst hochlädst: in deiner Personalakte, nach den Fristen deiner Praxis. Für Kostenbelege sind das die steuerlichen Aufbewahrungsfristen.
• Alles Übrige: solange dein Arbeitsverhältnis besteht, danach nach den Fristen deiner Praxis.

9. Was die App ausdrücklich nicht tut

• Kein Standort. Die App fragt keine Ortungsberechtigung an und kann nicht feststellen, wo du bist.
• Kein Stempeln per Handy. Kommen und Gehen wird ausschließlich am Terminal in der Praxis erfasst. Das ist eine bewusste Produktentscheidung — sie verhindert, dass irgendwo mitgeschrieben wird, wann du wo bist.
• Kein Tracking, keine Werbung, keine Analyse. Es sind keine entsprechenden Bausteine eingebaut, auch keine Absturzberichte an Dritte.
• Kein Mikrofon, keine Kontakte. Diese Berechtigungen fragt die App nicht an.
• Kamera und Fotos nur, wenn du sie selbst öffnest. Es gibt genau eine Stelle dafür: die freiwillige Krankschreibung unter Anträge. Erst wenn du dort auf „Fotografieren“ oder „Datei wählen“ tippst, fragt dein Handy nach der Berechtigung. Die App sieht weder deine Fotobibliothek noch das Kamerabild von selbst, und im Hintergrund passiert dort nichts.

10. Konto und Daten löschen

Das betrifft die App Timius von Seibold & Partners Analytics GmbH. Ein Konto legst du in der App nicht selbst an — deine Praxis richtet es ein und kann es als Einzige wieder entfernen.

• Gerät abmelden (in der App unter „Ich“): löscht Geräte-Ausweis, Zwischenspeicher und die Adresse für Mitteilungen sofort auf dem Gerät und bei uns.
• Zugang entziehen: Deine Praxis beendet ihn unter Zugänge — danach lässt sich kein Gerät mehr anmelden.
• Daten löschen: Bitte deine Praxis darum oder schreib uns an datenschutz-timius@timius.de; wir geben es an sie weiter.

Was dabei gelöscht wird — und was bleibt

Kurzfassung von Abschnitt 8, damit du sie an dieser Stelle nicht suchen musst.

• Sofort gelöscht, sobald du das Gerät abmeldest: Geräte-Ausweis, Zwischenspeicher und die Adresse für Mitteilungen.
• Auf Anfrage gelöscht (deine Praxis entscheidet, wir führen es aus): Stammdaten wie Name und Kontaktangaben, Anträge, Dienstwünsche sowie Krankschreibungen und Kostenbelege, die du selbst hochgeladen hast.
• Bleibt trotz Löschwunsch — Arbeitszeiten: mindestens zwei Jahre. Das schreibt § 16 Abs. 2 ArbZG vor, darüber kann niemand verfügen.
• Bleibt befristet: das Zugriffsprotokoll sechs Monate, Mitteilungen 14 Tage — beides läuft danach von selbst ab. Für Kostenbelege gelten die steuerlichen Fristen deiner Praxis.

11. Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) stehen dir zu — gegenüber deiner Praxis, weil sie verantwortlich ist. Wir unterstützen sie dabei. Unabhängig davon kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren.

Für die öffentliche Website gilt die allgemeine Datenschutzerklärung. Verantwortlich dafür sind wir: Seibold & Partners Analytics GmbH, Untere Leberklinge 14, 97877 Wertheim am Main, kontakt-timius@timius.de.

12. Änderungen

Kommt eine Funktion hinzu, die neue Daten verarbeitet, steht sie vorher hier. Es gilt jeweils die hier veröffentlichte Fassung.