Datenschutzhinweise
für mb-time.

Stand: 17. Oktober 2026.

1. Anbieter und Zuständigkeit

Diese Hinweise betreffen time.mbsquared.at und die mobile mb-time-App. Bei Firmenkunden entscheidet die jeweilige Organisation über Zwecke, Berechtigungen und Fristen ihrer Arbeitsdaten; mbsquared verarbeitet diese im Kundenauftrag. Für eigene Vertragskontakte, die Bereitstellung an direkte Privatnutzer und eigene gesetzliche Pflichten ist mbsquared verantwortlich. Bei Selbstständigen richtet sich die Rolle danach, ob sie Daten anderer Personen geschäftlich verarbeiten. Für eigene Beschäftigtendaten ist mbsquared selbst Arbeitgeber und Verantwortlicher.

Datenschutzbeauftragte: Michaela Brunner, erreichbar unter datenschutz@mbsquared.at.

Diese Hinweise beschreiben den von mbsquared betriebenen Dienst. Bei einer gesondert betriebenen Kundeninstanz gelten ergänzend die Angaben des dort benannten Verantwortlichen. Das Ausblenden der Landingpage ändert diese Zuständigkeit nicht.

2. Welche Daten verarbeitet werden

• Konto: Name, E-Mail-Adresse, Benutzerkennung, Rollen, Berechtigungen und Anmeldedaten. Das Backend prüft das Passwort; die App speichert einen Zugangstoken im sicheren Betriebssystemspeicher.
• Arbeitsdaten: Projekte, Aufgaben, Zeitbuchungen, Notizen, Labels, Kennzeichnung abrechenbarer Leistungen, Anwesenheiten und Abwesenheiten sowie zugehörige Freigabe- und Exportdaten.
• Geräte- und Zugriffsdaten: Gerätebezeichnung und Betriebssystemangabe bei der Anmeldung sowie technisch notwendige Verbindungsdaten. Zugriffs- und Fehlerprotokolle dienen dem sicheren Betrieb und der Fehlerbehebung; für sie gelten die Löschfristen in Abschnitt 8.
• Support: E-Mail-Adresse, Name, Nachricht und freiwillig übermittelte Anhänge. Das Supportformular in der App übermittelt zusätzlich App-Version und Geräte-/Betriebssystemangaben.

Die Angabe „Krankenstand“ ist eine gesundheitsbezogene Information. Medizinische Diagnosen und Atteste sind für die Abwesenheitserfassung nicht erforderlich und sollen nicht in freie Notizen eingetragen werden. Die Sichtbarkeit im Team und bei einer Kalenderübertragung ist in Abschnitt 6 beschrieben.

3. Zwecke und Rechtsgrundlagen

Die Verarbeitung dient der Einrichtung und Bereitstellung des Kontos, der Zeit- und Anwesenheitserfassung, der Zusammenarbeit gemäß Berechtigungen, dem technischen Betrieb und der Bearbeitung von Anfragen. Die dafür benötigten Kontodaten sind Voraussetzung für die Nutzung.

Die notwendige Bereitstellung an natürliche Vertragspartner und die Bearbeitung ihrer vorvertraglichen Anfragen beruhen auf Art. 6 Abs. 1 lit. b DSGVO. Eigene gesetzliche Nachweispflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO. Der Schutz vor unberechtigten Zugriffen und die Sicherstellung eines zuverlässigen Betriebs sowie die Kommunikation mit geschäftlichen Ansprechpartnern dienen unseren berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO. Firmenkunden verantworten die Rechtsgrundlage ihrer Arbeitsdaten; mbsquared verarbeitet diese nach ihren dokumentierten Weisungen.

Bei privater Nutzung empfehlen wir, Abwesenheiten mit dem Typ „Sonstiges“ ohne weitere Angaben zum Grund zu erfassen. Bitte verwende dafür keine Angaben zu Krankheiten, Diagnosen oder Behandlungen; auch im Betreff und in freien Notizen sollen keine Gesundheitsinformationen stehen.

Bei Firmenkonten legt die verantwortliche Organisation die Rechtsgrundlage der Abwesenheitserfassung fest. Für erforderliche krankheitsbezogene Arbeitgeberverarbeitung kommt Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit den einschlägigen arbeits- und sozialrechtlichen Pflichten in Betracht. Diese Grundlage gilt nicht automatisch für Privatkonten.

Bei Privatkonten wird „Krankenstand“ nur nach ausdrücklicher Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO gespeichert. Die Einwilligung gilt für den jeweiligen Eintrag und wird mit Textversion und Zeitpunkt dokumentiert. Es werden der Typ und Zeitraum zur Abwesenheitsplanung erfasst; zusätzliche Diagnosen oder Gesundheitsangaben sind nicht vorgesehen. Der Typ und Zeitraum sind für Teammitglieder und berechtigte Administratoren sichtbar. Die Auswahl „Sonstiges“ bleibt ohne Einwilligung nutzbar. Du kannst deine Einwilligung jederzeit durch Löschen des betreffenden Eintrags widerrufen; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt davon unberührt. Bereits vorhandene Serversicherungen laufen nach den in Abschnitt 8 genannten Fristen aus.

4. Lokale Speicherung auf dem Gerät

Die App speichert Zeitbuchungen und ausstehende Änderungen für die Offline-Nutzung in einer mit SQLCipher verschlüsselten lokalen Datenbank. Die Datenbanken sind nach Benutzerkonto und Server getrennt. Zugangstoken und Datenbankschlüssel werden im sicheren Betriebssystemspeicher abgelegt; Anzeigeeinstellungen werden lokal gespeichert. Beim späteren Abgleich werden ausstehende Buchungen an den zugehörigen Server übertragen.

Bei der Abmeldung werden der lokale Zugangstoken und die aktive Kontozuordnung entfernt. Werden lokale Daten verworfen, entfernt die App die Datenbank des betreffenden Kontos einschließlich ihres Schlüssels. Wählst du die Aufbewahrung auf dem Gerät, bleiben diese Daten für eine spätere Anmeldung mit demselben Konto am selben Server erhalten. Scheitert ein vor der Abmeldung gewählter Abgleich, bleiben die noch nicht übertragenen Daten erhalten. Ein anderes Konto oder ein anderer Server erhält dadurch keinen Zugriff auf diese Buchungen.

Eine Abmeldung löscht dein serverseitiges Konto nicht. Ein abgelaufener Zugangstoken löscht ebenfalls nicht automatisch die Offline-Datenbank. Für die Löschung des Kontos und der serverseitigen Daten wende dich an die in Abschnitt 9 genannte Stelle. Eine serverseitige Löschung entfernt nicht automatisch Kopien auf einem ausgeschalteten oder nicht verbundenen Gerät. Gerätebackups hängen von den Einstellungen und Sicherungsverfahren deines Betriebssystems ab; eine Löschung aus bereits vorhandenen Gerätebackups wird nicht zugesichert.

5. Empfänger und Dienstleister

Arbeitsdaten sind für die jeweils berechtigten Personen deiner Organisation zugänglich. Die Server werden bei Hetzner in Nürnberg, Deutschland, betrieben; die Backups befinden sich bei Hetzner in Helsinki, Finnland. Vertragspartner ist Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Nach Betreiberangaben werden täglich Sicherungen erstellt und 90 Tage aufbewahrt; Übertragung und Ablage sind verschlüsselt. Zammad wird von mbsquared selbst bei Hetzner in Nürnberg betrieben. Für E-Mail wird Microsoft 365 mit der vom Betreiber bestätigten Datenregion und dem Standort Österreich eingesetzt. Vertragspartner ist laut Betreiber Microsoft Österreich GmbH, Am Euro Platz 3, 1120 Wien, Österreich. Für den Betrieb können Hosting-, Backup-, E-Mail- und Supportdienstleister eingesetzt werden.

Für den Versand von E-Mails aus mb-time verwenden wir Mailgun (Sinch) über einen vertraglich eingerichteten Firmenaccount von mbsquared in der Versandregion EU. Vertrags- und Rechnungspartner ist Mailgun Technologies, Inc., 112 E Pecan St, #1135, San Antonio, TX 78205, United States. Dabei werden die für den Versand erforderlichen Absender- und Empfängeradressen, Betreff, Nachrichteninhalt sowie technische Zustellinformationen verarbeitet. Das betrifft beispielsweise Passwort-Zurücksetzen-Nachrichten und über das Supportformular versandte Anfragen. Es handelt sich um den Versand von Anwendungsnachrichten; das Supportticketsystem wird weiterhin von uns selbst betrieben.

Nach der Mailgun-Dokumentation zur regionalen Verarbeitung sind Nachrichten und zugehörige Zustellereignisse an die gewählte Region gebunden. Bestimmte Daten unseres Mailgun-Kundenkontos werden hingegen global verarbeitet. Die EU-Versandregion ist deshalb keine Zusicherung, dass sämtliche Verarbeitungsvorgänge aller beteiligten Anbieter ausschließlich innerhalb der EU stattfinden.

Bei Microsoft 365 und Mailgun können auch Datenverarbeitungen außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, stattfinden. Die standardisierten Datenschutzvereinbarungen der Anbieter sehen für solche Übermittlungen insbesondere die EU-Standardvertragsklauseln vor. Die entsprechenden Regelungen sind im Sinch-/Mailgun-Datenschutzvertrag und im Microsoft Products and Services Data Protection Addendum zugänglich. Informationen zu den für deine Daten maßgeblichen Garantien und eine Kopie kannst du über datenschutz@mbsquared.at anfordern. Die Standorte und Empfänger bei selbst verbundenen Kalendern richten sich zusätzlich nach dem jeweiligen Kalenderanbieter und deinem Konto.

6. Optionale Kalenderverbindungen

Krankenstände von Privatkonten werden nicht in externe Kalender übertragen und nicht aus externen Kalendern importiert. Sie werden bei Bedarf direkt in mb-time mit der beschriebenen Einwilligung erfasst.

Die Webanwendung bietet optionale Verbindungen zu Microsoft-365- und Apple-iCloud-Kalendern. Dabei können Abwesenheiten an verbundene Kalender übertragen werden. Für iCloud ist auch ein ausdrücklich gestarteter Import passender Kalendereinträge vorgesehen. Microsoft-Zugangstokens beziehungsweise iCloud-Zugangsdaten für diesen Zweck werden serverseitig verarbeitet. Die Microsoft-Verbindung benötigt die Berechtigungen zum Lesen des Benutzerprofils und zum Lesen und Schreiben von Kalendern sowie zur Erneuerung des Zugangs ohne erneute Anmeldung (User.Read, Calendars.ReadWrite, offline_access). Für iCloud verwendest du deine Apple-ID und ein app-spezifisches Passwort. Die Verbindung ist freiwillig; ohne sie kannst du mb-time weiterhin nutzen.

Die aktuelle Umsetzung überträgt Abwesenheitstyp und Betreff in den eigenen verbundenen Kalender. Freigaben dieses Kalenders können weitere Empfänger einschließen. Im Team wird der freie Betreff fremder Krankenstände für gewöhnliche Teammitglieder verborgen; der Typ „Krankenstand“ bleibt sichtbar. Eigentümer und berechtigte Administratoren sehen Details. Beim Trennen einer Verbindung werden die in mb-time gespeicherten Verbindungsdaten entfernt. Bereits übertragene Termine bleiben im externen Kalender erhalten und können dort gelöscht werden. Bereits importierte Abwesenheiten bleiben in mb-time. Eine erteilte Microsoft-Berechtigung oder ein Apple-App-Passwort kann zusätzlich beim jeweiligen Anbieter widerrufen werden. Das Abschalten einer einzelnen Übertragungsrichtung entfernt dagegen nicht automatisch die gesamte Verbindung. Wartende Übertragungsaufträge prüfen vor der Verarbeitung, ob die Verbindung noch besteht. Eine bereits an den Kalenderanbieter abgesendete Anfrage kann durch das Trennen nicht zurückgenommen werden.

7. Cookies, Analyse und Werbung

Die Landingpage enthält keine Analyse- oder Werbeskripte und lädt ihre Gestaltung lokal. Die Webanwendung verwendet Sitzungstechniken für Anmeldung und Sicherheit. In der geprüften mobilen Paketliste wurden keine Werbe- oder Analyse-SDKs erkannt.

Die Webanwendung setzt die technisch erforderlichen Cookies „mb-time-session“ für die Sitzung und „XSRF-TOKEN“ zum Schutz vor gefälschten Anfragen ein. Beide haben eine Laufzeit von zwei Stunden und werden mit den Attributen Secure und SameSite=Lax gesetzt; das Sitzungscookie zusätzlich mit HttpOnly. Bei Auswahl von „Angemeldet bleiben“ wird zusätzlich ein dauerhaftes Anmeldecookie mit einer Laufzeit von bis zu 400 Tagen verwendet. Du kannst Cookies über die Einstellungen deines Browsers löschen; dadurch kann eine erneute Anmeldung erforderlich werden.

8. Aufbewahrung und Löschung

Daten dürfen nur so lange gespeichert werden, wie dies für ihren jeweiligen Zweck oder aufgrund gesetzlicher Pflichten erforderlich ist. Die DSGVO legt keine einheitliche Aufbewahrungsfrist für sämtliche Daten fest.

Für den von mbsquared betriebenen Dienst gelten folgende Fristen:

• Supporttickets: zwölf Monate nach Abschluss.
• Zugriffsprotokolle: 14 Tage; Fehlerprotokolle: 30 Tage.
• Kontoabwicklung: innerhalb von 30 Tagen nach bestätigter Beendigung, einschließlich der Prüfung noch erforderlicher Aufbewahrung und der anschließenden Löschung nicht mehr benötigter Daten.
• Serversicherungen: täglich, verschlüsselt, Aufbewahrung für 90 Tage. Bereits operativ gelöschte Inhalte können bis zum Ablauf der betreffenden Sicherung noch darin enthalten sein.

Firmenkunden bestimmen die erforderlichen Fristen ihrer Arbeitsdaten. Gesetzliche Aufbewahrungspflichten und rechtmäßige Weisungen des zuständigen Firmenkunden sind gesondert zu berücksichtigen. Steuerlich relevante Bücher, Aufzeichnungen und Belege unterliegen grundsätzlich einer siebenjährigen Aufbewahrung ab Ende des maßgeblichen Kalenderjahres, bei relevanten anhängigen Verfahren gegebenenfalls länger (§ 132 BAO). Diese Pflicht erfasst nicht pauschal sämtliche Zeitbuchungen, Supportdaten oder Geräteprotokolle. Aufbewahrte lokale Daten und Gerätebackups sind in Abschnitt 4 beschrieben.

Zugriffsprotokolle werden nach 14 Tagen und Fehlerprotokolle nach 30 Tagen durch einen geplanten Löschlauf (Cronjob) direkt auf dem Server gelöscht. Diese Protokolle sind nicht Bestandteil der Backups.

Wiederherstellungen aus Backups dürfen ausschließlich durch mbsquared vorgenommen werden. Bereits erfolgte Datenlöschungen werden im Ticketsystem vermerkt. Nach einer Wiederherstellung werden die betreffenden Daten anhand dieser Dokumentation durch einen anschließenden Löschauftrag erneut entfernt.

9. Deine Rechte und Kontakt

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann für die Zukunft widerrufen werden. Für Datenschutzanliegen und die Zuordnung zum zuständigen Verantwortlichen schreibe an datenschutz@mbsquared.at.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, in Österreich bei der Österreichischen Datenschutzbehörde.

Es finden keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbarer erheblicher Wirkung über Nutzer oder Beschäftigte statt.