Zum Inhalt springen
MyTid

Datenschutzinformation für OTid

Stand: Oktober 2026

Diese Information erklärt nach Art. 13 und 14 DSGVO, welche personenbezogenen Daten bei der Registrierung und Nutzung von OTid (otid.mytid.de) verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. Sie richtet sich an Unternehmen, die OTid nutzen, an die Personen, die dort einen Zugang haben (Hauptadmin, Verwaltung, Vorarbeiter), und an Personen, die eine Registrierung anfragen. Für Mitarbeitende, die ihre Zeit mit der App MyTid erfassen und mit einem Unternehmen verbunden sind, gilt die Datenschutzerklärung von MyTid (mytid.de/datenschutz), insbesondere deren Abschnitt 12.

Hinweis zur Erprobungsphase: OTid befindet sich aktuell in der Erprobung und läuft gegen die Testumgebung unseres Servers (Abschnitt 9). OTid wird in dieser Phase weiterentwickelt; einzelne Datensätze können sich technisch bedingt ändern oder verloren gehen. Sichere wichtige Daten daher regelmäßig per Export. Bestellungen sind in dieser Phase nicht möglich (Abschnitt 7). Dieser Hinweis entfällt mit dem Ende der Erprobungsphase.

1. Verantwortlicher

Frederik Anspach
Frederik Anspach IT & Softwaresysteme
Schulstraße 8
38533 Vordorf OT Rethen
Deutschland

Telefon: +49 170 3187465
E-Mail: kontakt@mytid.de

Einen Datenschutzbeauftragten haben wir nicht benannt; die Begründung steht in Abschnitt 2 der Datenschutzerklärung von MyTid.

2. Wer wofür verantwortlich ist

OTid verarbeitet Daten in zwei Rollen:

  • Wir sind Verantwortlicher für die Registrierungsanfrage, die Angaben des Unternehmens als unser Vertragspartner (Name, Anschrift, Kontakt-E-Mail, USt-IdNr.), die Bestellung und Abrechnung über Stripe, die E-Mails an die Kontaktadresse, die technischen Verbindungsdaten und die Sicherungen. Diese Information betrifft vor allem diese Verarbeitungen.
  • Das Unternehmen ist Verantwortlicher für die Daten, die es mit OTid über seine Beschäftigten führt: die Zugänge seiner Mitarbeitenden in OTid, die Zeiteinträge, die Mitarbeitende dem Unternehmen zuordnen, die Stammdaten des Unternehmens und die Auswertungen. Dabei sind wir sein Auftragsverarbeiter nach Art. 28 DSGVO. Die Einzelheiten regelt der Vertrag über die Auftragsverarbeitung (AV-Vertrag), den das Unternehmen mit der Bestellung von OTid mit uns schließt; die Bestellung ist derzeit noch nicht freigeschaltet (Abschnitt 7). In der Erprobungsphase schließen wir den Vertrag über die Auftragsverarbeitung vor der Freischaltung gesondert in Textform. Fragen dazu beantwortet zuerst das Unternehmen. Erreicht uns eine solche Anfrage, leiten wir sie an das Unternehmen weiter.

3. Registrierungsanfrage (Stufe 1)

Was: Name des Unternehmens, Straße, Postleitzahl, Ort, Land (Vorgabe Deutschland), eine E-Mail-Adresse und, freiwillig, die USt-IdNr. Die USt-IdNr. speichern wir in Großbuchstaben ohne Leer- und Trennzeichen.

Wie: Wir speichern die Anfrage und schicken an die angegebene Adresse einen Bestätigungslink. Den Link speichern wir nur als Hashwert. Er gilt 24 Stunden. Erst mit dem Link lässt sich das Unternehmenskonto anlegen; vorher entsteht weder Unternehmenskonto noch Zugang noch Schlüssel. Je E-Mail-Adresse gibt es höchstens eine offene Anfrage; eine neue Anfrage ersetzt die alte, deren Link danach nicht mehr gilt. Die Antwort auf eine gültige Anfrage ist immer dieselbe, damit niemand erfährt, ob zu einer Adresse schon eine Anfrage besteht.

Speicherdauer: Mit der Anlage des Unternehmenskontos wird die Anfrage gelöscht und ihre Angaben gehen in das Unternehmenskonto über (Abschnitt 4). Wird der Link nicht innerhalb von 24 Stunden genutzt, verfällt die Anfrage; ein stündlicher Lauf löscht verfallene Anfragen.

Schutz vor Missbrauch: die Zahl der Anfragen ist je IP-Adresse und je E-Mail-Adresse begrenzt; für die Grenze je E-Mail-Adresse speichern wir nur einen Hashwert. Es gilt Abschnitt 8.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Anfrage).

4. Unternehmenskonto und Unternehmensangaben

Eine Registrierung ergibt genau ein Unternehmenskonto mit genau einem Hauptadmin. Bei der Anlage übernimmt das Unternehmenskonto aus der bestätigten Anfrage den Namen des Unternehmens, Anschrift, Kontakt-E-Mail und USt-IdNr. und vermerkt den Zeitpunkt der Bestätigung. Diese Angaben speichern wir im Klartext, weil sie für Vertrag und Rechnungen gebraucht werden. Dazu kommt die Unternehmenskennung, die der Hauptadmin bei der Anlage wählt; sie dient der Anmeldung und lässt sich nicht ändern.

Zum Unternehmenskonto speichern wir außerdem Angaben zur Freischaltung (Laufzeitende, Protokoll der Änderungen daran mit Quelle) und, sobald bestellt wird, die Kennungen von Kunde und Abo bei Stripe sowie Fassung und Zeitpunkt der bestätigten AGB und des AV-Vertrags.

Ändern: Name, Anschrift und USt-IdNr. ändert der Hauptadmin in OTid. Eine neue Kontakt-E-Mail gilt erst, wenn der Hauptadmin nach erneuter Eingabe seines Passworts den Link bestätigt, den wir an die neue Adresse schicken (24 Stunden gültig); die bisherige Adresse erhält eine Mitteilung. Besteht schon ein Kunde bei Stripe, geben wir die geänderten Angaben an Stripe weiter; bereits ausgestellte Rechnungen bleiben unverändert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über OTid).

5. Zugänge (Hauptadmin, Verwaltung, Vorarbeiter)

OTid-Zugänge sind eigene Zugänge des Unternehmens, getrennt von MyTid-Konten. Zu jedem Zugang speichern wir den Benutzernamen, die Rolle, den Status, den Zeitpunkt der Anlage und wer ihn angelegt hat, einen Prüfwert für die Anmeldung, Parameter der Schlüsselableitung, den öffentlichen Zugangsschlüssel und den privaten Schlüssel nur verschlüsselt. Eine E-Mail-Adresse hat ein Zugang nicht.

Passwort: das Passwort verlässt das Gerät nicht. Der Browser leitet daraus zusammen mit dem Zugangsschlüssel einen Wert für die Anmeldung ab; der Server speichert davon nur einen Argon2id-Hash.

Rollen: genau ein Hauptadmin je Unternehmen (darf alles, auch Zugänge verwalten), beliebig viele Zugänge der Verwaltung (Daten des Unternehmens lesen und bearbeiten, Auswertung, Export) und beliebig viele Vorarbeiter (erfassen Zeiten für ihre Kolonne und sehen nur, was sie selbst erfasst haben). Welche Zugänge es gibt, entscheidet das Unternehmen.

Anmeldung: angemeldet wird mit Unternehmenskennung, Benutzername und Passwort. Nach der Anmeldung erhält der Browser ein Zugangstoken mit einer Stunde Gültigkeit und ein Erneuerungstoken; die Sitzung verfällt nach 90 Tagen ohne Nutzung, spätestens nach einem Jahr. Vom Erneuerungstoken speichert der Server nur einen Hashwert. Auf dem Gerät bleiben Unternehmenskennung, Benutzername und Name des Unternehmens im lokalen Speicher des Browsers, der Zugangsschlüssel verschlüsselt in IndexedDB; „Gerät vergessen“ auf der Anmeldeseite löscht beides. Cookies setzt OTid dafür nicht. Abgelaufene oder beendete Sitzungen löscht der Server noch nicht automatisch; sie werden mit dem Zugang oder dem Unternehmenskonto gelöscht.

Protokoll: zu sicherheitsrelevanten Vorgängen an Zugängen speichert der Server ein Ereignis mit Unternehmen, Zugang, Art des Ereignisses und Zeitpunkt, ohne IP-Adresse. Diese Ereignisse sollen nach zwölf Monaten gelöscht werden. Noch nicht aktiv: der Lauf dafür zählt derzeit nur und löscht nichts; bis er eingeschaltet ist, bleiben die Ereignisse bis zur Löschung des Unternehmenskontos gespeichert.

Löschen eines Zugangs: der Hauptadmin löscht Zugänge in OTid. Die Zeile des Zugangs wird gelöscht. Benutzername, Rolle und Signaturschlüssel eines entfernten Zugangs bleiben im signierten Zugangsverzeichnis des Unternehmens als „entfernt“ stehen, damit frühere Erfassungen dieses Zugangs prüfbar bleiben; sie gehen erst mit dem Unternehmenskonto. Bittet eine Person uns per E-Mail um Löschung ihres Zugangs, verweisen wir sie an ihren Hauptadmin.

Rolle: bei den Zugängen handeln wir als Auftragsverarbeiter des Unternehmens (Abschnitt 2); Rechtsgrundlage auf Seiten des Unternehmens ist dessen Sache.

6. Mitarbeitende und ihre MyTid-Konten

Mitarbeitende erfassen ihre Zeit in MyTid und verbinden ihr MyTid-Konto mit dem Unternehmen. Ihr MyTid-Konto führen wir als Verantwortlicher nach der Datenschutzerklärung von MyTid. Für die Verbindung speichern wir die Kennung des MyTid-Kontos, die Rolle und die Zeitpunkte von Eintritt und Austritt. Die Inhalte der Zeiteinträge und die Stammdaten des Unternehmens sind Ende-zu-Ende-verschlüsselt; wir können sie nicht lesen. Eine Erfassung für Personen ohne MyTid-Konto gibt es nicht: Vorarbeiter legen nur Zeiten für verbundene MyTid-Nutzer an; ändern oder löschen können sie diese Einträge nicht.

Austritt: Vermerkt das Unternehmen in OTid den Austritt einer Person, kann es die Einträge, die sie ihm zugeordnet hat, derzeit weiter lesen; eine eigene Frist ab dem Ausscheiden gibt es noch nicht. Geplant ist, dass sein Zugriff darauf 24 Monate nach dem Ausscheiden endet.

Gesundheitsdaten: Ordnen Mitarbeitende einen Eintrag vom Typ „Krank“ dem Unternehmen zu, verarbeitet das Unternehmen damit Gesundheitsdaten (Art. 9 DSGVO). Verantwortlich ist das Unternehmen. Es verarbeitet die Abwesenheit wegen Krankheit auf Grundlage von Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG, soweit sie zur Erfüllung seiner arbeitsrechtlichen Pflichten erforderlich ist, etwa für die Entgeltfortzahlung nach dem Entgeltfortzahlungsgesetz oder für Arbeitszeitnachweise. Wir sind dabei sein Auftragsverarbeiter: der Eintrag erreicht unseren Server nur Ende-zu-Ende-verschlüsselt, und wir können ihn weder lesen noch von anderen Einträgen unterscheiden. In OTid entschlüsseln ihn nur Hauptadmin und Verwaltung; Vorarbeiter lesen nur Einträge, die sie selbst erfasst haben. Dashboard und Auswertung zeigen solche Einträge nur als „abwesend“; im CSV-Export der Auswertung und im PDF des Sicherungspakets steht die Art der Abwesenheit.

Abrechnung: abgerechnet wird nach der Zahl der aktiven Verbindungen von MyTid-Konten mit dem Unternehmen, nicht nach den OTid-Zugängen. Dafür zählen wir die aktiven Verbindungen; den Inhalt der Einträge brauchen wir dafür nicht. Der regelmäßige Abgleich dieser Zahl mit Stripe ist noch nicht gebaut; bis dahin gilt die bei der Bestellung gewählte Zahl der Mitarbeitenden.

7. Bestellung und Bezahlung über Stripe

Die Bestellung ist in OTid derzeit noch nicht freigeschaltet. Sobald sie freigeschaltet ist, gilt Folgendes. Für die Bestellung legen wir bei Stripe einen Kunden für das Unternehmen an, getrennt von MyTid-Konten. Dafür übermitteln wir den Namen des Unternehmens, Kontakt-E-Mail, Anschrift, Spracheinstellung Deutsch und eine interne Kennung des Unternehmens; eine USt-IdNr. im EU-Format übermitteln wir als Steuernummer des Kunden. Danach leiten wir zur Bezahlseite von Stripe weiter (Abonnement mit Grundpreis und Preis pro Mitarbeiter). Zahlungsdaten gibt der Hauptadmin direkt bei Stripe ein; sie erreichen unseren Server nicht. Stripe meldet den Zahlungseingang an unseren Server, der daraufhin das Laufzeitende setzt.

Empfänger ist Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland; eine Übermittlung an Stripe, Inc. in den USA ist möglich, gestützt auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Stripe verarbeitet Zahlungsdaten auch in eigener Verantwortung (stripe.com/de/privacy). Stripe ist kein Unterauftragsverarbeiter und erhält keine Daten der Mitarbeitenden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für aufbewahrungspflichtige Buchungsunterlagen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO.

8. E-Mails an das Unternehmen

Wir schicken E-Mails nur an die hinterlegte Kontaktadresse und nur, soweit sie zum Konto gehören: den Bestätigungslink der Registrierung, den Bestätigungslink einer neuen Kontaktadresse und eine Mitteilung an die bisherige, eine Mitteilung bei Übergabe oder Übernahme des Hauptadmins und den Bestätigungslink, wenn die Löschung des Unternehmenskontos per E-Mail verlangt wird. Keine Werbung, kein Newsletter. Der Versand läuft über den Mailserver der Hetzner Online GmbH. Verarbeitet werden die Kontaktadresse und der Inhalt der Nachricht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über OTid, bei der Registrierungsanfrage vorvertragliche Maßnahme).

9. Technische Verbindungsdaten und Protokolle

Website und Server laufen auf unserem Server bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Nürnberg, Deutschland; Hetzner ist unser Auftragsverarbeiter. OTid läuft derzeit gegen die Testumgebung des Servers (api-dev).

Beim Aufruf entstehen Server-Logfiles und Einträge des Anfragefilters wie in Abschnitt 4 der Datenschutzerklärung von MyTid beschrieben. Der Server selbst protokolliert je Anfrage nur Methode, Routenmuster, Status und Dauer, ohne IP-Adresse.

Zum Schutz vor Missbrauch begrenzt der Server Anmeldung, Registrierung und weitere geschützte Vorgänge. Dafür speichert er die IP-Adresse mit einem Zähler, eine IPv4-Adresse ungekürzt, eine IPv6-Adresse gekürzt auf die ersten 64 Bit (das Netz des Anschlusses), und löscht sie nach 24 Stunden, bei einer laufenden Sperre nach deren Ablauf. Nach zehn fehlgeschlagenen Anmeldungen wird der Zugang für 15 Minuten gesperrt.

Fehlgeschlagene Anmeldungen schreibt der Server in sein Fehlerprotokoll, mit der Kennung des Zugangs, wenn der Benutzername zu einem Zugang gehört, ohne IP-Adresse. Das Fehlerprotokoll ist Teil des Systemprotokolls des Servers und wird dort nach spätestens acht Wochen gelöscht. Daneben führt der Server ein Sicherheitsprotokoll des Betriebssystems (auditd) mit Anmeldungen und Anmeldeversuchen am Server per SSH samt IP-Adresse, wie in Abschnitt 8 der Datenschutzerklärung von MyTid beschrieben; es wird nach Größe rotiert, eine Frist in Tagen gibt es dafür auf dem Server nicht. Eine Kopie des Systemprotokolls und des Sicherheitsprotokolls holt ein eigener Server des Inhabers in Deutschland laufend ab; dort löschen wir sie nach 180 Tagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit des Dienstes und der Zugänge.

10. Sicherungen

Wir sichern die Datenbank täglich verschlüsselt auf dem Server und bewahren die letzten sieben täglichen, vier wöchentlichen und zwölf monatlichen Stände auf. Eine Kopie holt täglich ein eigener Server des Inhabers in Deutschland ab und bewahrt sie bis zu 30 Tage länger auf. Zusätzlich erstellt Hetzner in unserem Auftrag tägliche Sicherungen des gesamten Servers, die nach sieben Tagen überschrieben werden. Gelöschte Daten können bis zum Ablauf dieser Fristen in den Sicherungen enthalten sein, längstens rund 13 Monate.

Wir nutzen die Sicherungen nur, um den Dienst nach einem Ausfall oder Fehler wiederherzustellen. Müssen wir dafür eine Sicherung einspielen, kehren auch Daten zurück, die nach dem Stand dieser Sicherung gelöscht wurden, etwa ein inzwischen gelöschtes Unternehmenskonto. Ein Verfahren, das solche Daten nach dem Einspielen automatisch erneut löscht, gibt es derzeit nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verfügbarkeit und Integrität des Dienstes, Art. 32 DSGVO).

11. Speicherdauer und Löschung des Unternehmenskontos

  • Nie freigeschaltete Unternehmenskonten (nicht bezahlt und nicht vom Anbieter freigeschaltet) löschen wir 90 Tage nach der Anlage vollständig. Noch nicht aktiv: der Lauf dafür zählt derzeit nur und löscht nichts; bis er eingeschaltet ist, bleiben diese Unternehmenskonten bestehen.
  • Nach dem Ende des Vertrags (Kündigung oder Ablauf der Laufzeit) können Hauptadmin und Verwaltung 24 Monate lang lesen und exportieren; danach löschen wir das Unternehmenskonto. Noch nicht aktiv: auch dieser Lauf zählt derzeit nur und löscht nichts.
  • Sofortige Löschung: der Hauptadmin kann das Unternehmenskonto in OTid nach Bestätigung mit Passwort und Unternehmenskennung sofort und endgültig löschen. Per E-Mail geht das nur mit einer Anfrage von der hinterlegten Kontaktadresse unter Nennung der Unternehmenskennung; wir schicken dann einen Bestätigungslink an genau diese Adresse (24 Stunden gültig), und erst die Bestätigung auf der verlinkten Seite löst die Löschung aus.
  • Unternehmenskonten mit Rechnungen: Gibt es zu einem Unternehmenskonto schon eine Rechnung, löschen wir es derzeit weder nach der Lesefrist noch sofort auf Wunsch; OTid bittet dann darum, sich bei uns zu melden. Ein Verfahren, das in diesem Fall die Inhalte löscht und nur die Buchungsunterlagen für die gesetzliche Frist aufbewahrt, gibt es noch nicht. Geplant ist, die Rechnungsdaten abzutrennen und pseudonymisiert acht Jahre aufzubewahren (§ 147 AO) und alles andere nach den Fristen oben zu löschen.
  • Was gelöscht wird: Zugänge, Sitzungen, Schlüssel, Stammdaten, Einladungen, offene Bestätigungslinks, Protokolle und das Unternehmenskonto selbst. Verbindungen der Mitarbeitenden enden; was zu deren MyTid-Konten gehört, bleibt dort. Ein Kunde bei Stripe ohne Rechnung wird vorher bei Stripe gelöscht.
  • Was bleibt: ein Löschnachweis ohne Bezug zum Unternehmen (Zeitpunkt, Art der Löschung, Anzahl gelöschter Datensätze je Art, Version des Löschverfahrens), Rechnungen und Vertragsdaten nach unseren Aufbewahrungspflichten, Server-Logfiles und Sicherungen bis zum Ablauf ihrer Fristen (Abschnitte 9 und 10).

12. Empfänger

  • Hetzner Online GmbH (Deutschland): Server, Datenbank, Sicherungen, E-Mail-Versand, als Auftragsverarbeiter;
  • Stripe (Irland, USA): Bestellung und Bezahlung, nur bei einer Bestellung (Abschnitt 7);
  • innerhalb des Unternehmens die Zugänge nach ihren Rollen (Abschnitt 5).

Wir verkaufen keine Daten und geben keine Daten zu Werbezwecken weiter.

13. Speicherung im Browser

OTid setzt keine Cookies. Im lokalen Speicher des Browsers (Local Storage, IndexedDB) liegen die Angaben zur Anmeldung aus Abschnitt 5 und technische Hilfswerte, etwa welche Schlüsselgenerationen und Fassungen des Zugangsverzeichnisses dieses Gerät schon geprüft hat. Das ist für die gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

14. Keine automatisierte Entscheidung, Pflicht zur Bereitstellung

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und betreiben kein Profiling. Für die Registrierung sind Name des Unternehmens, Anschrift und E-Mail-Adresse erforderlich; ohne sie können wir kein Unternehmenskonto anlegen. Die USt-IdNr. ist freiwillig.

15. Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21) und Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3). Unternehmensangaben berichtigt der Hauptadmin selbst in OTid (Abschnitt 4). Für alles andere genügt eine E-Mail an kontakt@mytid.de. Betrifft deine Anfrage Daten, die wir im Auftrag des Unternehmens verarbeiten (Abschnitt 2), wende dich an das Unternehmen; erreicht die Anfrage uns, leiten wir sie weiter. Die Inhalte der Zeiteinträge und der Stammdaten können wir nicht entschlüsseln; Auskunft darüber kann nur das Unternehmen über OTid geben.

16. Beschwerderecht

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Staat deines Aufenthalts oder Arbeitsplatzes. Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de.