Datenschutzerklärung
Stand: 28. September 2026 · Version 1.1
1. Verantwortlicher
Tarev Denis Zolotarev (Inhaber) Nickel-Hoffmann-Straße 11a 06110 Halle (Saale) Deutschland E-Mail: support@tarev.de Website: tarev.de
Wir haben aufgrund der Unternehmensgröße keinen eigenen Datenschutzbeauftragten bestellt. Anfragen zum Datenschutz richte bitte direkt an den Verantwortlichen.
2. Zugriffsdaten beim Besuch der Website
Beim Aufruf dieser Website werden durch den Hosting-Provider technische Zugriffsdaten in Server-Logfiles erfasst (IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene URL, Browser, Betriebssystem, Referrer-URL). Diese Daten werden ausschließlich zum Zweck der Betriebssicherheit und zur Fehleranalyse verarbeitet und nach spätestens 7 Tagen automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb).
3. Hosting
Diese Website und die Takt-App werden auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in Deutschland gehostet. Anwendungsserver, PostgreSQL-Datenbank und hochgeladene Datei-Anhänge liegen im Primärbetrieb auf Hetzner-Infrastruktur in der EU. Zusätzlich werden verschlüsselte externe Sicherungskopien erstellt. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
4. Cookies und lokale Speicherung
Wir verwenden keine Tracking- oder Analyse-Cookies. Technisch notwendige Cookies und Local-Storage-Einträge werden nur nach der Anmeldung gesetzt, um deine Session zu erhalten (JWT-Access-Token und Refresh-Token). Diese werden beim Logout oder nach Ablauf automatisch entfernt.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (für die Bereitstellung des Dienstes unbedingt erforderlich) sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung).
5. Kontaktaufnahme
Wenn du uns per E-Mail oder über das Kontaktformular Nachrichten sendest, verarbeiten wir deine Angaben (Name, E-Mail-Adresse, Inhalt der Nachricht) zur Beantwortung deiner Anfrage. Diese Daten werden nach vollständiger Bearbeitung gelöscht, spätestens nach Ablauf der handelsrechtlichen Aufbewahrungsfristen (6 Jahre nach § 257 HGB bzw. 10 Jahre nach § 147 AO, soweit einschlägig).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. lit. f DSGVO (berechtigtes Interesse an Beantwortung von Anfragen).
6. Registrierung und Nutzung der Takt-App
Zur Nutzung der Takt-App ist ein Nutzerkonto erforderlich. Dabei werden folgende Daten erhoben: E-Mail-Adresse, Name, Passwort (nur als Hash gespeichert, nicht im Klartext), Firma/Tenant und zugewiesene Rolle.
Während der Nutzung entstehen weitere Daten: Zeiteinträge, Schichten, Projektzuordnungen, Chat-Nachrichten, Lohn-relevante Einstellungen. Diese Daten gehören dem jeweiligen Tenant (deinem Arbeitgeber oder deinem eigenen Unternehmen).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
7. Auftragsverarbeitung für Tenant-Kunden
Wenn du Takt als Firma für deine Mitarbeiter einsetzt, bist du für die Daten deiner Mitarbeiter datenschutzrechtlich verantwortlicher. Tarev ist dann Auftragsverarbeiter nach Art. 28 DSGVO.
Der Auftragsverarbeitungsvertrag steht offen unter tarev.de/avv, mit der vollständigen Liste der Unterauftragnehmer. Eine unterschriebene Fassung mit deinen Firmendaten gibt es auf Anfrage an support@tarev.de.
8. Weitergabe an Dritte
Eine Weitergabe deiner Daten an Dritte erfolgt nur, wenn:
- du ausdrücklich eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO),
- dies zur Vertragserfüllung erforderlich ist (z. B. Weitergabe an Hosting-Provider, Zahlungsdienstleister — siehe Auftragsverarbeiter-Liste unten),
- eine gesetzliche Verpflichtung besteht (Art. 6 Abs. 1 lit. c DSGVO, z. B. an Finanzbehörden).
Eingesetzte Auftragsverarbeiter:
Immer im Einsatz
- Hetzner Online GmbH (Gunzenhausen, Deutschland): Server, Datenbank, Dateiablage, Sicherungen. Verarbeitet werden: alle Daten, die in Takt gespeichert werden.
- OpenStreetMap Foundation (Cambridge, Vereinigtes Königreich): Adresssuche und Umrechnung von Koordinaten in Adressen. Verarbeitet werden: die eingegebene Adresse oder die Koordinaten, ohne Kontobezug. Grundlage: Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission.
- Open-Meteo (Zürich, Schweiz): Wetter am Bauvorhaben für das Bautagebuch. Verarbeitet werden: Koordinaten der Baustelle, keine Personennamen. Grundlage: Schweiz, Angemessenheitsbeschluss der EU-Kommission.
- Europäische Zentralbank (Frankfurt am Main, Deutschland): Tageskurse für Fremdwährungen. Verarbeitet werden: keine, es werden nur Kurse abgeholt.
- Cloudflare, Inc. (San Francisco, Vereinigte Staaten): Verschlüsselte externe Sicherungen in R2 mit EU Jurisdiktion; bei der Anmeldung Prüfung auf menschliche Bedienung. Verarbeitet werden: Verschlüsselte Datenbank, Uploads, Betriebskonfiguration und Mailarchive; bei der Anmeldeprüfung IP-Adresse und ein Kennzeichen des Browsers. Grundlage: Standardvertragsklauseln und EU-US Data Privacy Framework.
Nur bei Nutzung der jeweiligen Funktion
- OpenFreeMap (Hyperknot Software Kft.) (Ungarn): Optionale Umgebungskarte in der Takt Geofence Ansicht, nur nach ausdrücklichem Laden und wenn kein eigener Kartendienst eingerichtet ist. Verarbeitet werden: IP Adresse, Browserinformationen und angeforderter Kartenausschnitt; keine Namen oder Zeitbuchungen. Grundlage: Der Anbieter kann laut seiner Datenschutzerklärung Cloudflare als CDN verwenden..
- Stripe Payments Europe Ltd. (Dublin, Irland): Zahlungen, Abrechnung der Nutzung, Auszahlungen im Marktbereich. Verarbeitet werden: Name, E-Mail, Rechnungsanschrift, Betrag, Zahlungsdaten.
- Resend, Inc. (San Francisco, Vereinigte Staaten): Versand der Systemmails. Verarbeitet werden: Empfängeradresse, Anrede, Inhalt der Mail. Grundlage: Standardvertragsklauseln und EU-US Data Privacy Framework.
- Functional Software, Inc. (Sentry) (San Francisco, Vereinigte Staaten): Meldung technischer Fehler. Verarbeitet werden: Fehlerverlauf, Browser und Serverumgebung, aufgerufener Pfad; Bildschirmaufzeichnungen sind maskiert. Grundlage: Standardvertragsklauseln und EU-US Data Privacy Framework.
- Mindee SAS (Paris, Frankreich): Texterkennung auf hochgeladenen Belegen. Verarbeitet werden: das Belegbild mit allem, was darauf steht.
- Anthropic PBC (San Francisco, Vereinigte Staaten): Antworten der Assistenten. Verarbeitet werden: der Text der Frage und die Daten, die zur Beantwortung mitgegeben werden. Grundlage: Standardvertragsklauseln.
- DeepL SE (Köln, Deutschland): Übersetzung von Oberflächen- und Seitentexten. Verarbeitet werden: der zu übersetzende Text.
- Google Ireland Ltd. (Dublin, Irland): Anmeldung mit Google, Zustellung der Mitteilungen auf das Gerät. Verarbeitet werden: bei der Anmeldung E-Mail und Name; bei Mitteilungen der Text und die Kennung des Geräts.
- GoCardless Ltd. (London, Vereinigtes Königreich): Abruf von Kontoumsätzen in der Finanz-App Halt. Verarbeitet werden: IBAN, Name des Kontoinhabers, Umsätze mit Empfänger und Zweck. Grundlage: Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission.
- fiskaly GmbH (Wien, Österreich): Signatur der Kassenvorgänge nach Kassensicherungsverordnung. Verarbeitet werden: Belegnummer, Betrag, Steuersatz, Buchungstext.
Nur wenn du selbst Zugangsdaten hinterlegst
- Microsoft Ireland Operations Ltd. (Dublin, Irland): Abgleich mit dem Kalender in Microsoft 365. Verarbeitet werden: Termine mit Betreff und Zeitraum, Abwesenheiten, E-Mail-Adresse.
- Slack Technologies und Discord Inc. (Vereinigte Staaten): Benachrichtigungen in den eigenen Kanal. Verarbeitet werden: Titel und Text des Ereignisses, oft mit Kunden- oder Vorgangsnamen. Grundlage: Standardvertragsklauseln.
- Deutsche Post DHL Group (Bonn, Deutschland): Versandaufträge und Sendungsverfolgung. Verarbeitet werden: Name, Anschrift, E-Mail und Telefon des Empfängers, Paketdaten.
Dieselbe Liste steht als Anlage im Auftragsverarbeitungsvertrag. Ein Dienst, der nur bei Nutzung einer Funktion angesprochen wird, bekommt nichts zu sehen, solange diese Funktion nicht benutzt wird.
9. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck notwendig ist oder gesetzliche Aufbewahrungspflichten bestehen. Die Frist richtet sich nach Datenart, Verarbeitungszweck und anwendbarer Vorschrift. Beispielsweise unterscheiden § 257 HGB und § 147 AO mehrere Unterlagenkategorien mit unterschiedlichen Fristen. Daraus folgt keine einheitliche Frist für sämtliche Daten in Takt.
Nach Kündigung eines Nutzerkontos werden die Stammdaten binnen 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.
Externe Sicherungen: Zusätzlich zum Primärbetrieb bei Hetzner werden Datenbank, hochgeladene Dateien, Betriebskonfiguration und Mailarchive täglich extern gesichert. Die Sicherungen werden vor der Übertragung verschlüsselt und in Cloudflare R2 mit EU Jurisdiktion gespeichert.
Technische Rotation: Für lokale Datenbank- und Mailsicherungen sind 14 Tage für Tageskopien, 56 Tage für Wochenkopien und 372 Tage für Monatskopien eingestellt. Die Entfernung erfolgt im jeweiligen Sicherungslauf, wenn die Altersgrenze überschritten ist. Externe Tagesarchive der Datenbank, Dateien und Mail werden mit einer Altersgrenze von 90 Tagen rotiert. Für externe Wochen- und Monatsarchive ist derzeit keine automatische Rotation eingerichtet. Eine vollständige automatische Löschung sämtlicher Sicherungskopien zu einem festen Zeitpunkt ist damit noch nicht nachgewiesen.
Wiederherstellung: Eine wöchentliche Probe lädt eine externe Datenbanksicherung herunter, entschlüsselt sie und importiert sie in eine isolierte Testdatenbank. Dateiarchive werden durch Rücklesen und Vergleich geprüft. Dies ist keine vollständige Wiederherstellung aller Dienste auf einem Ersatzserver.
Grenzen: Die verschlüsselten Sicherungen sind kein unveränderlicher Archivspeicher. Gesetzliche und vertragliche Aufbewahrungspflichten sowie Löschanweisungen müssen je Datenkategorie gesondert berücksichtigt werden. Die technische Rotation ersetzt dieses Aufbewahrungs- und Löschkonzept nicht.
10. Deine Rechte
Du hast jederzeit das Recht auf:
- Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung deiner Daten (Art. 17 DSGVO, „Recht auf Vergessenwerden")
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO), sofern die Verarbeitung auf einem berechtigten Interesse beruht
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Ein Datenexport deiner Takt-Daten ist jederzeit aus dem Dashboard möglich (Einstellungen → Datenexport).
11. Beschwerderecht bei der Aufsichtsbehörde
Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der zuständigen Behörde deines Bundeslandes. Die für uns zuständige Behörde ist:
Landesbeauftragter für den Datenschutz Sachsen-Anhalt Leiterstraße 9 39104 Magdeburg Telefon: 0391 818030-0 E-Mail: poststelle@lfd.sachsen-anhalt.de Web: datenschutz.sachsen-anhalt.de
12. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Rechtslage oder unsere Verarbeitungspraxis ändert. Die jeweils aktuelle Version findest du stets unter tarev.de/datenschutz.