Datenschutz – JusTick App
Diese Datenschutzinformationen gelten für die Anwendung JusTick unter app.justick.cloud (Anmeldung, Zeiterfassung, Verwaltung). Für die Marketing-Website justick.cloud gilt die separate Datenschutzerklärung der Website.
1. Verantwortlicher
Betreiber der Anwendung:
Justen iT GmbH
Geschäftsführer Thomas Justen
Rosenaustr. 41, 53639 Königswinter, Deutschland
E-Mail: [email protected]
Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt. Bei Fragen zum Datenschutz wenden Sie sich an die oben genannte Adresse.
Wichtig – wer ist wofür verantwortlich? JusTick wird von Unternehmen (Arbeitgebern) für ihre Beschäftigten genutzt.
• Für die Arbeitszeit- und Beschäftigtendaten ist Ihr Arbeitgeber der Verantwortliche; die Justen iT GmbH verarbeitet diese Daten in seinem Auftrag (Auftragsverarbeitung nach Art. 28 DSGVO). Für Auskünfte zu diesen Daten wenden Sie sich bitte an Ihren Arbeitgeber.
• Für die Bereitstellung des Kundenkontos, den Vertrag und die Abrechnung sowie das öffentliche Onboarding ist die Justen iT GmbH selbst Verantwortliche.
2. Verarbeitungen, Zwecke & Rechtsgrundlagen
| Vorgang | Daten | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Anmeldung (Microsoft Entra ID; optional Google-Login, falls aktiviert) | Identität, E-Mail, Zugriffstoken | sichere Authentifizierung / SSO | Art. 6 (1) b (Vertrag) bzw. Auftrag des Arbeitgebers |
| Zeiterfassung & Verwaltung | Arbeitszeiten (Beginn/Ende/Dauer/Pausen), Abwesenheiten, Projekte/Kunden, Rollen, Auswertungen | Erbringung der Zeiterfassung für den Arbeitgeber | Auftragsverarbeitung; Verantwortung beim Arbeitgeber (i. d. R. Art. 6 (1) b/c, § 26 BDSG) |
| Konto & Abrechnung | Kunden-/Rechnungsdaten (Firma, Rechnungsanschrift, Rechnungs-E-Mail, gebuchte Lizenzen); Zahlungsdaten werden direkt bei Stripe eingegeben und nicht bei uns gespeichert – wir erhalten nur Zahlungsstatus und Rechnungen | Vertragsabwicklung, Zahlung | Art. 6 (1) b, Art. 6 (1) c (steuerl. Aufbewahrung) |
| Benachrichtigungen / Web-Push | Push-Endpunkt, Ereignisdaten | Erinnerungen / Hinweise | Art. 6 (1) b bzw. f, Push nur nach Aktivierung |
| Bot-Schutz bei öffentlichen Formularen (Cloudflare Turnstile): Registrierung unter /start sowie Demo-Anfrage und Beitritt per Einladungslink | IP-Adresse, technische Merkmale von Browser und Gerät, Prüfergebnis (Token) | Unterscheidung zwischen Mensch und automatisierten Anfragen, Schutz vor Missbrauch und Spam-Registrierungen. In der angemeldeten App wird Turnstile nicht eingesetzt. | Art. 6 (1) f (berechtigtes Interesse) |
| Support-Meldungen aus der App | Text der Meldung, ggf. angehängte Screenshots, Name und E-Mail-Adresse der meldenden Person, Name der Organisation, Seite der App | Bearbeitung von Fehlern und Anfragen. Meldungen gehen an unser internes Ticketsystem JusTeam, das wir auf unserem eigenen Server betreiben. | Art. 6 (1) b bzw. f |
| Betrieb & Sicherheit (Server-Logs) | IP-Adresse, technische Zugriffsdaten | Bereitstellung, Stabilität, Abwehr von Angriffen | Art. 6 (1) f (berechtigtes Interesse) |
| 2-Faktor-Authentifizierung | 2FA-Geheimnis (verschlüsselt) | Kontosicherheit | Art. 6 (1) f / b |
3. Hosting, Speicherung & Datei-Uploads
Der Betrieb erfolgt auf einem eigenen Server der Justen iT GmbH im Rechenzentrum der IONOS SE, Standort Frankfurt am Main (Deutschland). Anwendung und Datenbank (PostgreSQL) laufen auf dieser Maschine; die Datenbank ist von außen nicht erreichbar. Hochgeladene Bilder und Dateien werden in derselben Datenbank gespeichert – ein separater Objektspeicher wird nicht eingesetzt. Der Zugriff erfolgt ausschließlich über HTTPS; dem Server ist Cloudflare als Netzwerk- und Sicherheitsdienst vorgeschaltet. Server-Logdaten (u. a. IP-Adresse) werden nur so lange gespeichert, wie es für Betrieb und Sicherheit erforderlich ist, und anschließend gelöscht.
Microsoft bleibt für zwei klar abgegrenzte Zwecke eingebunden: die Anmeldung über Microsoft Entra ID und den Versand von E-Mails über Microsoft Graph. Eine Speicherung Ihrer Zeit- und Stammdaten bei Microsoft findet nicht statt.
4. Empfänger / Auftragsverarbeiter
Wir setzen sorgfältig ausgewählte Dienstleister ein (u. a. IONOS, Microsoft, Cloudflare). Cloudflare stellt neben dem vorgeschalteten Netzwerk- und Sicherheitsdienst auch den Bot-Schutz Turnstile bei der Registrierung bereit. Die Online-Zahlung (Kredit- oder Debitkarte) wickelt Stripe Payments Europe, Ltd. (Dublin, Irland) ab. Die Kartendaten geben Sie auf der Bezahlseite von Stripe ein; sie gelangen nicht zu uns. Stripe erhält dafür die Abrechnungsdaten der Organisation (Firma, Rechnungsanschrift, Rechnungs-E-Mail, gebuchte Lizenzen) und verarbeitet die Zahlungsdaten auch in eigener Verantwortung, etwa zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten (Datenschutzerklärung von Stripe). Der Google-Login wird nur bei aktivierter Anmeldeoption genutzt. Eine vollständige, aktuelle Übersicht inkl. Zweck und Transfergrundlage finden Sie in unserer Liste der Unterauftragsverarbeiter.
5. Drittlandübermittlung
Soweit Dienstleister Daten außerhalb der EU bzw. des EWR (z. B. USA) verarbeiten, geschieht dies auf Grundlage des EU-US Data Privacy Framework und/oder von Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).
6. Speicherdauer
Personenbezogene Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht besteht. Aufbewahrungspflichtige Unterlagen werden archiviert bzw. gesperrt statt gelöscht (z. B. Rechnungen 10 Jahre gemäß § 147 AO; steuer- und arbeitsrechtlich relevante Zeitnachweise gemäß den gesetzlichen Fristen). Übrige Bewegungsdaten werden gelöscht, sobald der Zweck entfällt. Nach Vertragsende des Arbeitgebers werden dessen Daten gemäß dem Auftragsverarbeitungsvertrag gelöscht oder zurückgegeben.
7. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Betrifft Ihr Anliegen Beschäftigtendaten, richten Sie es bitte an Ihren Arbeitgeber als Verantwortlichen; wir unterstützen ihn dabei.
8. Beschwerderecht
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Die für uns zuständige Behörde ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestr. 2–4, 40213 Düsseldorf
9. Datensicherheit
Die Übertragung erfolgt ausschließlich TLS-verschlüsselt (HTTPS). Hinzu kommen Zugriffskontrollen, strikte Mandantentrennung und 2-Faktor-Authentifizierung. Die technisch-organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO stellen wir Geschäftskunden im Rahmen des Auftragsverarbeitungsvertrags zur Verfügung.
10. Stand & Änderungen
Wir passen diese Erklärung an, sobald Änderungen der Verarbeitung dies erfordern. Es gilt die jeweils hier veröffentlichte Fassung. Stand: 23. Oktober 2026.