Datenschutzerklärung — TimeViking
Zuletzt aktualisiert: 12. Oktober 2026
1. Wer wir sind
TimeViking ist ein Dienst der Software Services BV, Meldertsestraat 8/4008, 3545 Halen, Belgien, Unternehmensnummer BE 0895.317.225, E-Mail info@timeviking.com. Wir sind Verantwortlicher für die Verarbeitung von personenbezogenen Daten auf unserer Website und für die Verwaltung von Kundenkonten und Abonnements.
Für die Stunden und die Mitarbeiterdaten, die ein Kunde im Dienst eingibt, ist der Kunde Verantwortlicher und wir sind Auftragsverarbeiter. Das ist im Auftragsverarbeitungsvertrag geregelt. Diese Erklärung betrifft das, was wir selbst als Verantwortlicher verarbeiten.
2. Welche Daten, wozu und auf welcher Grundlage
| Was | Wozu | Grundlage (DSGVO Art. 6) | Wie lange |
|---|---|---|---|
| Name, E-Mail, Firmenname, Sprache, Passwort (gehasht) bei der Registrierung | Ein Konto anlegen und absichern | Vertrag (b) | Solange das Konto besteht |
| E-Mail-Adresse, Firmenname, Name und Sprache einer neuen Registrierung, per E-Mail an den Administrator des Dienstes gemeldet | Über neue Kunden informiert sein, ihnen helfen können und Missbrauch bemerken | Berechtigtes Interesse (f) | Solange diese E-Mail benötigt wird, höchstens 2 Jahre |
| IP-Adresse, Browser, Zeitpunkt der Registrierung | Missbrauch und Betrug verhindern (Limits, Nachweis) | Berechtigtes Interesse (f) | 90 Tage, danach gelöscht |
| Ergebnis der Robotererkennung (reCAPTCHA) | Registrierungen durch Roboter verhindern | Berechtigtes Interesse (f) | Bei der Registrierung gespeichert |
| Anmeldung über Google oder Microsoft: E-Mail und eine technische ID | Anmeldung ohne Passwort | Vertrag (b) | Solange das Konto besteht |
| Rechnungsdaten: Name, Adresse, E-Mail, USt-IdNr., Land, Art des Kunden | Rechnungen und MwSt. | Rechtliche Verpflichtung (c) und Vertrag (b) | Die gesetzliche Aufbewahrungsfrist für Rechnungen (10 Jahre) |
| Nachweis des Ortes des Kunden: Land der Rechnungsadresse, der IP-Adresse und der Zahlungsmethode | MwSt. auf elektronische Dienstleistungen (EU-Durchführungsverordnung 282/2011, Art. 24b) | Rechtliche Verpflichtung (c) | Wie die Rechnungen |
| MwSt.-Prüfung bei VIES (Konsultationsnummer) | Nachweis, dass ein Reverse-Charge-Verfahren berechtigt war | Rechtliche Verpflichtung (c) | Wie die Rechnungen |
| Zahlungen (über Mollie): Betrag, Status, Zahlungsmethode, Land der Karte oder des Kontos | Das Abonnement bezahlen | Vertrag (b) | Wie die Rechnungen |
| Nachrichten über das Kontaktformular | Ihre Frage beantworten | Berechtigtes Interesse (f) | 2 Jahre |
| Technische Protokolle (Fehler, Anmeldungen) | Den Dienst absichern und betreiben | Berechtigtes Interesse (f) | 90 Tage |
| E-Mails des Dienstes (Bestätigung Ihrer Registrierung, Einladungen, Erinnerungen, Rechnungen und Mitteilungen zu Ihrem Abonnement) | Den Dienst erbringen und Sie auf dem Laufenden halten | Vertrag (b) | Solange das Konto besteht |
| API-Schlüssel für Odoo (eines Bot-Benutzers oder persönlich) sowie Adresse und Datenbank des Odoo | Die Anbindung an Odoo betreiben | Vertrag (b); für den Inhalt: Auftragsverarbeiter | Solange die Anbindung besteht; der Schlüssel wird verschlüsselt gespeichert |
| Urlaubsdaten der Mitarbeiter eines Kunden (Art, Zeitraum, Saldo; Krankheit ist ein Gesundheitsdatum) | Urlaub anzeigen, beantragen und mit Odoo synchronisieren, im Auftrag des Kunden | Wir sind Auftragsverarbeiter; die Grundlage liegt beim Kunden (bei Krankheit Art. 9) | Solange die Umgebung besteht, danach gelöscht (§6) |
| Auditprotokoll (wer was in einer Umgebung geändert hat) | Sicherheit und Nachweis für den Kunden | Berechtigtes Interesse (f); für den Inhalt: Auftragsverarbeiter | Solange die Umgebung besteht |
Meldung einer neuen Registrierung
Bei jeder neuen Registrierung erhält der Administrator des Dienstes (der Inhaber der Software Services BV) eine E-Mail mit der E-Mail-Adresse, dem Firmennamen, dem Namen und der Sprache des neuen Kunden. Weder Passwort noch IP-Adresse oder Bestätigungslink werden mitgeschickt. Wir tun dies, um neuen Kunden helfen und Missbrauch bemerken zu können.
Anbindung an Odoo
Der Kunde verbindet sein eigenes Odoo. Dafür speichern wir die Adresse und die Datenbank dieses Odoo sowie einen API-Schlüssel, verschlüsselt und nie in Protokollen. Der Schlüssel ist der eines Bot-Benutzers oder der persönliche Schlüssel eines Benutzers, der seine eigenen Stunden mit Odoo synchronisieren möchte; Letzterer kann ihn jederzeit selbst löschen. In Odoo lesen und schreiben wir nur, was der Dienst benötigt (Stunden, Projekte, Aufgaben, Mitarbeiter und, wenn der Kunde es erlaubt, Urlaub).
Urlaubsdaten im Dienst
Nutzt ein Kunde den Urlaub im Dienst, verarbeiten wir als Auftragsverarbeiter (nicht als Verantwortlicher) die Urlaubsart, den Zeitraum, den Status des Antrags und den Saldo der Mitarbeiter des Kunden. Deutet die Art auf Krankheit hin, ist das ein Gesundheitsdatum (DSGVO Art. 9). Daher gelten diese Regeln:
- Kollegen sehen nur, dass jemand „abwesend“ ist, nicht warum. Die Art sehen nur der Mitarbeiter, sein Vorgesetzter und der Administrator.
- Den Grund, den jemand in Odoo bei Urlaub einträgt, lesen und speichern wir nicht.
- Das Auditprotokoll speichert bei Urlaub nur den Status, wer entschieden hat, die Daten und die Art; nie eine Notiz oder einen Grund.
- Urlaubsdaten bleiben, solange die Umgebung besteht, sind im Export enthalten und werden mit gelöscht (siehe §6).
Wenn Sie wissen möchten, was Ihr Arbeitgeber mit Ihren Urlaubsdaten macht, oder Ihre Rechte ausüben möchten, wenden Sie sich bitte zuerst an Ihren Arbeitgeber.
Wir verkaufen keine Daten und verwenden sie nicht für Werbung.
Besucherstatistiken der Website
Wir zählen die Besuche der Website selbst, auf unserem eigenen Server, ohne Cookies und ohne externen Dienst. Pro Tag speichern wir nur die Zahl der Besuche pro Seite, mit der Sprachversion, der Domain, der Domain der verweisenden Website (nicht die vollständige Adresse), den Kampagnencodes utm_source, utm_campaign und ref aus der Adresse und der Geräteart (Computer, Smartphone oder Tablet), abgeleitet aus den Browserangaben. Ihre IP-Adresse und die Browserangaben selbst speichern wir nicht. Um eindeutige Besucher zu zählen, bilden wir pro Tag einen nicht umkehrbaren Code aus Ihrer IP-Adresse und Ihrem Browser mit einem zufälligen Salt, der sich täglich ändert und nirgends gespeichert wird: So können wir Sie nicht wiedererkennen, auch nicht von einem Tag auf den nächsten. Roboter werden nicht gezählt. Rechtsgrundlage: berechtigtes Interesse (wissen, welche Seiten gelesen werden). Die Zählungen sind anonym und bleiben bei uns.
3. Empfänger (Unterauftragsverarbeiter und Dritte)
| Wer | Wofür | Wo |
|---|---|---|
| Unser Hosting-Partner | Server, Datenbanken und Backups | Europäische Union |
| Unser eigener Mailserver | Versand der E-Mails des Dienstes | Auf unseren Servern in der Europäischen Union |
| Mollie B.V. | Zahlungen | EU (Niederlande) |
| Google (reCAPTCHA) | Robotererkennung bei der Registrierung und im Kontaktformular | Vereinigte Staaten (EU-US-Datenschutzrahmen) |
| Google und Microsoft (Anmeldung) | Nur wenn Sie sich dafür entscheiden, sich so anzumelden | Vereinigte Staaten (EU-US-Datenschutzrahmen) |
| Die Europäische Kommission (VIES) | Prüfung von USt-IdNr. | EU |
| Plausible Analytics | Besucherstatistiken der Website, ohne Cookies und ohne persönliches Profil (nur wenn eingeschaltet) | EU |
Das Odoo eines Kunden ist kein Unterauftragsverarbeiter von uns: Der Kunde verbindet es selbst und bleibt dafür verantwortlich.
4. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (DSGVO Art. 15–21). Senden Sie eine E-Mail an info@timeviking.com; wir antworten innerhalb eines Monats. Ein Administrator der Umgebung kann in der App selbst alle Daten der Umgebung exportieren (Einstellungen › Abonnement › Alles exportieren) und die Umgebung löschen lassen.
Sie können Beschwerde bei der belgischen Aufsichtsbehörde einlegen, der Datenschutzbehörde (Gegevensbeschermingsautoriteit), Drukpersstraat 35, 1000 Brüssel, www.gegevensbeschermingsautoriteit.be.
5. Cookies und reCAPTCHA
Siehe die Cookie-Richtlinie. Die App verwendet nur notwendige Cookies (die Sitzung). Auf der Registrierungsseite und im Kontaktformular lädt Google reCAPTCHA, das Cookies setzt und Daten an Google sendet. Wir nutzen es, um Missbrauch durch Roboter zu verhindern (berechtigtes Interesse); auf diesen Seiten gilt auch die Datenschutzerklärung von Google.
6. Nach dem Ende eines Abonnements
Nach der Testphase oder nach der Kündigung ist eine Umgebung 60 Tage lang schreibgeschützt: Sie können weiterhin alles ansehen und exportieren. Danach löschen wir die Datenbank der Umgebung und die Logins. Was wir gesetzlich aufbewahren müssen (Rechnungen, Zahlungen, den Nachweis für die MwSt.), bleibt so lange gespeichert, wie das Gesetz es verlangt. Backups verschwinden nach 35 Tagen.
7. Sicherheit
Jeder Kunde hat eine eigene Datenbank und einen eigenen Datenbankbenutzer. Passwörter werden gehasht gespeichert; Schlüssel für Odoo und das Geheimnis des Moduls werden verschlüsselt gespeichert. Die Zwei-Faktor-Authentifizierung ist verfügbar und kann pro Umgebung verpflichtend gemacht werden. Der Zugang für unsere eigene Verwaltung erfordert immer die Zwei-Faktor-Authentifizierung.
8. Änderungen
Wir passen diese Erklärung an, wenn sich der Dienst ändert. Wichtige Änderungen teilen wir den Administratoren der Umgebungen per E-Mail mit.