Datenschutzerklärung myPraesenz

1. Verantwortlicher und Auftragsverarbeiter

Verantwortlich für die Datenbearbeitung im Sinne des Schweizer Datenschutzgesetzes (DSG) und der EU-Datenschutz-Grund- verordnung (DSGVO) ist Ihr Arbeitgeber, der myPraesenz zur Arbeits- zeiterfassung einsetzt. Der Arbeitgeber entscheidet über Zweck und Mittel der Datenbearbeitung und ist Ihr Ansprechpartner für daten- schutzrechtliche Anliegen im Arbeitsverhältnis.

Auftragsverarbeiter und Betreiber der Plattform myPraesenz ist:

CorvoSoft
9320 Arbon, Schweiz
E-Mail: info@corvosoft.com

CorvoSoft stellt die technische Infrastruktur bereit und bearbeitet Personendaten ausschliesslich im Auftrag und nach Weisung des Arbeit- gebers. Die Einzelheiten sind in einem Auftragsverarbeitungsvertrag (AVV) gemäss Art. 9 DSG bzw. Art. 28 DSGVO geregelt.

2. Welche Daten werden erhoben

myPraesenz ist eine Anwendung zur digitalen Arbeitszeiterfassung. Im Rahmen des Betriebs werden folgende personenbezogene Daten bearbeitet:

Stammdaten

Vorname, Nachname, E-Mail-Adresse, AHV-Nummer (optional), Eintritts- datum, Pensum (Stellenprozente), Funktion, zugewiesenes Arbeitszeit- modell.

Zeiterfassungsdaten

Stempelzeitpunkte (Kommen, Pause, Gehen), Korrekturen und Nachträge mit Kommentar, tägliche Soll- und Ist-Arbeitszeit, Pausen (Beginn, Ende, Dauer).

Absenzdaten

Art der Absenz (Ferien, Krankheit, Unfall, Fortbildung u.a.), Dauer und Zeitraum, Status (beantragt, genehmigt, abgelehnt), Arztzeugnisse als Datei-Upload.

Saldendaten

Gleitzeit-Saldo, Ferienguthaben und -bezüge, Fortbildungsstunden, Eröffnungssalden bei Systemeintritt.

Technische Daten

Session-Cookies (zur Authentifizierung), NFC-Gerätekopplungen (Device-Token, gehasht gespeichert), IP-Adresse bei Login (in Server- Logs), Browser-Typ und Betriebssystem (in Server-Logs).

Protokolldaten

Audit-Log: Zeitkorrekturen, Monatsfreigaben, Lohn-Exporte, Identitäts- änderungen, Rollen-Änderungen, Aktivierungen und Deaktivierungen – jeweils mit Zeitstempel und handelnder Person.

3. Zweck der Datenbearbeitung

Die Bearbeitung der oben genannten Daten erfolgt zu folgenden Zwecken:

• Arbeitszeiterfassung gemäss der gesetzlichen Pflicht nach Art. 46 des Arbeitsgesetzes (ArG) und Art. 73 der Verordnung 1 zum Arbeitsgesetz (ArGV 1).
• Lohnabrechnung als Grundlage für die korrekte Entlöhnung (Vertragserfüllung).
• Absenzverwaltung zur Verwaltung von Ferien-, Krankheits- und weiteren Abwesenheitsansprüchen.
• Compliance zur Einhaltung arbeitsrechtlicher Vorschriften (Mindestpausen, Höchstarbeitszeiten, Arztzeugnis- Nachweispflicht).
• Revisionssicherheit durch den Audit-Trail für die Arbeitsinspektion und die interne Kontrolle.

4. Rechtsgrundlage

Die Bearbeitung der Personendaten stützt sich auf folgende Rechts- grundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Zeiterfassung ist Bestandteil des Arbeitsverhältnisses und Grundlage für die Lohnzahlung.
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): Das Schweizer Arbeitsgesetz (ArG Art. 46) verpflichtet den Arbeit- geber zur Erfassung der Arbeitszeit.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Der Audit-Trail dient der Nachvollziehbarkeit und der Prävention von Missbrauch.

5. Empfänger der Daten

Personendaten werden innerhalb des Systems ausschliesslich an folgende Empfänger weitergegeben:

• Praxismanagement und Standortleitung des jeweiligen Standorts (für Absenzverwaltung, Zeitkontrolle und Monatsabschluss).
• Konzernverwaltung (HQ) bei Praxisverbünden (für Lohn-Export, Compliance und Standortvergleiche).
• Lohnsystem des Arbeitgebers (via CSV-Export durch autorisierte Personen, kein automatischer Datentransfer).
• CorvoSoft als Auftragsverarbeiter (für technischen Betrieb und Support, im Rahmen des AVV).

Eine Weitergabe an sonstige Dritte findet nicht statt. Es erfolgt kein Verkauf von Daten. Es wird keine Werbung angezeigt.

6. Datenübermittlung ins Ausland

Die Daten werden auf Servern von Clever Cloud in Paris (Frankreich, EU) gespeichert. CorvoSoft hat seinen Sitz in der Schweiz. Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU-Kommission, und die EU gilt gemäss Anhang 1 der Schweizer Datenschutzverordnung (DSV) als Staat mit angemessenem Datenschutzniveau. Es findet keine Übermittlung in Drittstaaten (z.B. USA) statt.

7. Cookies und Tracking

myPraesenz verwendet ausschliesslich technisch notwendige Cookies:

Es werden keine Tracking-Cookies, keine Analyse-Tools (kein Google Analytics o.ä.) und keine Werbe-Cookies eingesetzt. Ein Cookie-Banner ist daher nicht erforderlich.

8. Datensicherheit

CorvoSoft trifft angemessene technische und organisatorische Massnahmen zum Schutz der Personendaten, insbesondere:

• Verschlüsselte Übertragung aller Daten (HTTPS/TLS)
• Passwörter werden mit bcrypt gehasht gespeichert (nicht im Klartext)
• NFC-Device-Tokens werden mit SHA-256 gehasht
• Mandantentrennung auf Datenbankebene (Row-Level Security)
• Sicherheitscode (zeitbasierter Einmal-Code) für Führungskräfte
• Rate-Limiting zum Schutz vor Brute-Force-Angriffen
• Security-Headers (HSTS, CSP, X-Frame-Options)
• Regelmässige Sicherheitsaudits

9. Aufbewahrung und Löschung

Personendaten werden so lange aufbewahrt, wie es für den Bearbeitungs- zweck oder aufgrund gesetzlicher Pflichten erforderlich ist:

Nach Beendigung des Arbeitsverhältnisses wird das Benutzerkonto deaktiviert. Die Daten bleiben für die Dauer der gesetzlichen Aufbewahrungspflicht gespeichert und werden danach gelöscht oder anonymisiert.

10. Rechte der betroffenen Personen

Betroffene Personen haben folgende Rechte:

Auskunftsrecht (Art. 25 DSG / Art. 15 DSGVO)

Sie haben das Recht zu erfahren, welche Daten über Sie gespeichert sind. In myPraesenz können Sie Ihre Daten jederzeit unter «Meine Daten» einsehen und als PDF exportieren.

Recht auf Berichtigung (Art. 32 Abs. 1 DSG / Art. 16 DSGVO)

Unrichtige Daten können korrigiert werden. Zeiteinträge können Sie innerhalb der Nachtragsfrist selbst korrigieren. Namens- und E-Mail- Änderungen werden durch das Praxismanagement oder die Standortleitung mit Begründungspflicht vorgenommen.

Recht auf Löschung (Art. 32 Abs. 2 lit. c DSG / Art. 17 DSGVO)

Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Aufgrund der arbeitsrechtlichen Nachweis- pflichten (ArG, OR) können Zeiterfassungs- und Lohndaten erst nach Ablauf der gesetzlichen Fristen gelöscht werden.

Recht auf Datenübertragbarkeit (Art. 28 DSG / Art. 20 DSGVO)

Sie können Ihre Daten in einem maschinenlesbaren Format (CSV) erhalten. Ein PDF-Export Ihrer gespeicherten Daten ist jederzeit unter «Meine Daten» verfügbar.

Recht auf Widerspruch (Art. 21 DSGVO)

Da die Datenbearbeitung auf einer gesetzlichen Pflicht und der Vertragserfüllung beruht, besteht in der Regel kein Widerspruchsrecht gegen die Arbeitszeiterfassung selbst. Sie können jedoch E-Mail- Benachrichtigungen in Ihrem Profil deaktivieren.

Beschwerderecht

Sie haben das Recht, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen: www.edoeb.admin.ch. Bei Anwendbarkeit der DSGVO können Sie sich auch an die zuständige EU-Datenschutz-Aufsichtsbehörde wenden.

11. Änderungen dieser Datenschutzerklärung

CorvoSoft behält sich vor, diese Datenschutzerklärung bei Bedarf anzupassen, insbesondere bei Änderungen der Gesetzgebung oder der Datenbearbeitung. Die aktuelle Fassung ist jederzeit unter /datenschutz abrufbar. Bei wesentlichen Änderungen werden die Nutzerinnen und Nutzer angemessen informiert.