Datenschutzerklärung
Stand: 19.09.2026
1. Zwei Rollen — und warum das für Sie wichtig ist
qlok ist eine Zeiterfassung, die Betriebe für ihre Beschäftigten einsetzen. Daraus ergeben sich zwei getrennte Verhältnisse, und fast jede Frage zum Datenschutz hängt daran, um welches es geht:
Sind Sie in einem Betrieb beschäftigt, der qlok verwendet? Dann ist Ihr Arbeitgeber für Ihre Daten verantwortlich, nicht wir. Er entscheidet, was erfasst wird und wie lange es bleibt. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag und nach seiner Weisung (Art. 28 DSGVO). Anfragen nach Auskunft, Berichtigung oder Löschung richten Sie deshalb an Ihren Arbeitgeber. Erreicht uns eine solche Anfrage, leiten wir sie an ihn weiter und dürfen sie nicht selbst beantworten — das ist keine Ausflucht, sondern Vorschrift.
Sind Sie Kunde oder Interessent? Dann sind wir für Ihre Daten verantwortlich: für die Registrierung, den Vertrag, die Abrechnung und die Betreuung. Dafür gilt alles Weitere.
2. Verantwortlicher
Konzept Schmiede GmbH Alpenstraße 106, 5081 Neu-Anif, Österreich FN 438396a, Landesgericht Salzburg · UID ATU69867058 Vertreten durch Klaus Huttary, Geschäftsführer
Ansprechperson für qlok: Marius Raphael Huttary · +43 664 9725814 · support@qlok.eu Datenschutzanfragen: support@qlok.eu Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 Abs. 1 DSGVO liegen derzeit nicht vor: Die Verarbeitung erfolgt nicht in großem Umfang im Sinne dieser Bestimmung. Wir prüfen das mit dem Wachstum des Dienstes erneut und benennen hier einen Datenschutzbeauftragten, sobald die Voraussetzungen eintreten.
3. Was wir verarbeiten
Beim Besuch der Website. Beim Aufruf entstehen beim Hosting-Anbieter technisch notwendige Protokolldaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse). Wir setzen keine Analysedienste, keine Zählpixel und keine Werbecookies ein. Gesetzt werden nur technisch notwendige Cookies für die Anmeldung: ein Sitzungscookie, das Sie angemeldet hält (höchstens 30 Tage), ein Schutzcookie gegen gefälschte Anmeldeanfragen und die Rücksprungadresse nach der Anmeldung (beide bis zum Schließen des Browsers). Im Browserspeicher liegen außerdem: die Bestätigung des Cookie-Hinweises, die Position auf der Startseite für den Rückweg von einer Unterseite (nur für den geöffneten Tab), ein Service Worker für die Installation als App (ohne zwischengespeicherte Inhalte) und — nur wenn Sie es auf der Anmeldeseite anhaken — das Firmenkürzel. Nichts davon wird an uns übermittelt, außer dem Sitzungs- und dem Schutzcookie bei jeder Anfrage. Für technisch notwendige Speicherungen ist keine Einwilligung erforderlich (§ 165 Abs. 3 TKG 2021); der Cookie-Hinweis informiert darüber, ohne eine Wahl vorzutäuschen. Die vollständige Liste mit Namen, Zweck und Speicherdauer steht unter qlok.eu/cookies.
Bei der Registrierung. Betriebsname, Ihr Name, Ihre E-Mail-Adresse, Ihre Telefonnummer, ein Passwort (nur als nicht rückrechenbarer Hash), auf Wunsch die UID-Nummer, sowie Zeitpunkt, IP-Adresse und die Fassungen von AGB und Auftragsverarbeitungsvertrag, denen Sie zugestimmt haben. Die letzten drei Angaben sind der Nachweis Ihrer Zustimmung; ohne sie ließe sich später nicht belegen, worauf man sich geeinigt hat. Die registrierende Person wird als Hauptansprechperson des Betriebs hinterlegt und erhält eine Willkommensnachricht mit Firmenkürzel, Ende des Testzeitraums und dem Hinweis auf die Benutzerhandbücher.
Bei der Anmeldung. Um Angriffe abzuwehren, halten wir gescheiterte Anmeldeversuche kurz fest — mit E-Mail-Adresse und IP-Adresse. Diese Einträge werden nach rund zwanzig Minuten gelöscht. Grundlage ist unser berechtigtes Interesse an der Sicherheit des Dienstes (Art. 6 Abs. 1 lit. f).
Im Vertragsverhältnis. Betriebsdaten, Ansprechpersonen, Abrechnungsdaten. Die Zahlungsabwicklung läuft über Stripe; Kartendaten erreichen uns nie. An Stripe übermittelt werden Betriebsname, Rechnungsadresse, UID-Nummer, Rechnungs-E-Mail und die Zahl der aktiven Beschäftigten — keine Arbeitszeit- oder Abwesenheitsdaten.
Nachrichten zum Testzeitraum und Abonnement. Vor Ablauf des Testzeitraums, bei offenen Zahlungen, bei der Umstellung auf Nur-Lesen und vor dem Ende eines gekündigten Zugangs schicken wir E-Mails an die Ansprechpersonen und die aktiven Administratorkonten des Betriebs. Dafür lesen wir von Beschäftigtenkonten ausschließlich die E-Mail-Adresse der Rolle „Administrator". Grundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b) bzw. unser berechtigtes Interesse, den Betrieb vor einer Unterbrechung zu warnen (Art. 6 Abs. 1 lit. f).
Als Auftragsverarbeiter. Die Arbeitszeitdaten der Beschäftigten unserer Kunden — siehe § 1. Darunter sind auch Angaben zu Krankenständen. Das sind Gesundheitsdaten im Sinne von Art. 9 DSGVO, und wir behandeln sie entsprechend: Sie werden ohne Diagnose und ohne Begründung erfasst, sie unterliegen derselben Mandantentrennung wie alle anderen Daten, und wir sehen sie in unserem Betreiberbereich nicht (§ 6).
4. Wie lange
- Anmeldeversuche: rund 20 Minuten.
- Unbestätigte Registrierungen: bis zum Ablauf des Bestätigungslinks.
- Vertragsdaten: für die Dauer des Vertrags; Rechnungsdaten darüber hinaus, solange die gesetzliche Aufbewahrungspflicht besteht (§ 132 BAO, sieben Jahre).
- Daten in Ihrem Betrieb: solange Sie den Vertrag halten. Nach einer Kündigung endet der Zugang zum vereinbarten Termin; danach bewahren wir die Daten 30 Tage auf, damit ein vergessener Export nachgeholt werden kann, und löschen sie anschließend.
- Ein Löschvermerk ohne personenbezogene Angaben bleibt als Nachweis der Löschung.
- Betriebe, aus deren kostenlosem Testzeitraum kein Abonnement wurde: 90 Tage ab Ablauf des Testzeitraums; in dieser Zeit bleiben die Daten einsehbar und exportierbar.
5. Wer die Daten sonst noch verarbeitet
Wir setzen Dienstleister als Auftragsverarbeiter ein — für Hosting, Datenbank, E-Mail-Versand und Zahlungsabwicklung. Die vollständige, jeweils aktuelle Liste mit Sitz und Zweck ist Anlage zum Auftragsverarbeitungsvertrag und unter qlok.eu/avv abrufbar.
Anwendung und Datenbank laufen in Deutschland, betrieben von Sliplane (Berlin) in Rechenzentren der Hetzner Online GmbH. Verschlüsselte Sicherungen liegen zum Teil bei einem Speicheranbieter mit US-Muttergesellschaft (Backblaze, Standort EU). Unser Postfach (support@qlok.eu) führen wir über iCloud+ mit eigener Domain; Vertragspartner ist die Apple Distribution International Ltd. in Irland, die Inhalte werden von Apple auch in den USA gespeichert. Dorthin gelangt nur, was Sie uns von sich aus schreiben. Systemnachrichten versendet Mailjet (Sinch, Frankreich). Zahlungen wickelt Stripe Payments Europe Ltd. (Irland) ab; Stripe hat eine US-Muttergesellschaft, eine Übermittlung in die USA stützen wir auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
6. Was wir als Betreiber NICHT sehen
Das gehört in eine Datenschutzerklärung, weil es die Frage ist, die jeder Betriebsrat stellt:
Unser Betreiberbereich zeigt ausschließlich Zahlen — wie viele Betriebe, wie viele aktive Konten, wann zuletzt gebucht wurde. Er lädt keine einzige Zeile aus den Zeitbuchungen, Abwesenheiten, Monatsabschlüssen, Auszahlungen oder Urlaubsansprüchen und aus den Beschäftigtendaten weder Namen noch E-Mail-Adressen. Das ist nicht nur eine Zusage: Automatische Prüfungen, die bei jeder Änderung an der Software laufen, weisen jeden Zugriff zurück, der diese Grenze überschreiten würde.
Nachrichten, die wir Ihrem Betrieb aus dem Betreiberbereich schicken — etwa eine Zahlungserinnerung oder eine Ankündigung —, gehen an die Ansprechpersonen, die Sie uns genannt haben, nicht an Ihre Beschäftigten.
Braucht ein Supportfall doch einmal einen Blick in einen Betrieb, verlangt das System Grund und Befristung — und der Eintrag erscheint im Protokoll des Kunden, in seiner eigenen Anwendung. Nicht „wir schauen nicht hinein", sondern „jeder Blick steht in Ihrem Protokoll".
7. Ihre Rechte
Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21) — gegenüber dem jeweils Verantwortlichen, siehe § 1.
Sie können sich außerdem bei der Datenschutzbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at.
8. Sicherheit
Übertragung ausschließlich verschlüsselt (TLS). Passwörter werden nie im Klartext gespeichert. Für Betreiberkonten ist die Zwei-Faktor-Anmeldung verpflichtend; Konten der Kundenbetriebe können sie selbst ein- und ausschalten. Die Daten verschiedener Betriebe sind auf zwei voneinander unabhängigen Ebenen getrennt, davon eine in der Datenbank selbst. Die technischen und organisatorischen Maßnahmen sind ausführlich dokumentiert und Anlage zum Auftragsverarbeitungsvertrag.
9. Änderungen
Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Die jeweils gültige Fassung steht auf dieser Seite; über wesentliche Änderungen informieren wir unsere Kunden gesondert.