← Zurück zur Startseite

Datenschutzerklärung

Zuletzt aktualisiert: September 2026

1. Einleitung

Qrew („wir“, „uns“, „unser“) verpflichtet sich, Ihre Privatsphäre zu schützen. Diese Datenschutzerklärung erläutert, wie wir Ihre personenbezogenen Daten erheben, verwenden, offenlegen und schützen, wenn Sie unsere SaaS-Plattform zur Zeiterfassung und die zugehörigen Dienste nutzen.

Wir verarbeiten personenbezogene Daten im Einklang mit der Datenschutz-Grundverordnung der EU (DSGVO) und den anwendbaren italienischen Datenschutzvorschriften.

2. Verantwortlicher

Verantwortlicher ist Arcanode di Alessandro Pasqualetti, das unter dem Handelsnamen Qrew auftritt, mit Sitz in Via Corte, Panicale — 55041 Camaiore (LU), Italia, USt-IdNr. IT02755170467. Sie können sich in Datenschutzfragen an [email protected] wenden.

Es ist kein Datenschutzbeauftragter (DSB) bestellt: Der Verantwortliche erfüllt nicht die Kriterien von Art. 37 DSGVO. Anträge im Rahmen der nachstehenden Betroffenenrechte werden direkt vom Verantwortlichen bearbeitet.

3. Erhobene Daten

  • Kontodaten: Name, E-Mail-Adresse, Telefonnummer, Firmenname.
  • Mitarbeiterdaten: Telefonnummer, Anzeigename, Zeitstempel der Ein-/Ausstempelungen, GPS-Koordinaten (nur beim Ein-/Ausstempeln und während aktiver Sitzungen für Geofence-Bereichsprüfungen erfasst — es wird kein lückenloses Bewegungsprofil gespeichert), Gerätekennungen.
  • Biometrische Daten und Verifizierungsdaten: Verifizierungsfotos (base64-kodiert, in der Anwendungsdatenbank gespeichert), Liveness-Erkennungswerte, WebAuthn-Passkey-Zugangsdaten.
  • Geräte-Fingerabdruck-Daten: Canvas-Rendering-Hash, WebGL-Anbieter/-Renderer, AudioContext-Fingerabdruck, Bildschirmauflösung, Zeitzone, Hardware-Parallelität, installierte Schriftarten, Browser-Plugins — ausschließlich zur Anti-Spoofing- und Geräte-Vertrauensbewertung verwendet (siehe Abschnitt 4 unten).
  • Nutzungsdaten: Sitzungsdauern, Standortzuweisungen, Lohnabrechnungen, Strafeinträge, Pauseneinträge, Compliance-Audit-Protokolle.
  • Abrechnungsdaten: das ungefähre Land, das am Checkout aus der Anfrage-IP-Adresse (über Cloudflare) abgeleitet wird, ausschließlich um Preise in einer lokalen Währung (EUR, GBP oder USD) anzuzeigen und abzurechnen. Es wird kein genauer Standort gespeichert und die Ableitung wird zu keinem anderen Zweck verwendet.
  • Server- und Sicherheitsprotokolle: wenn Sie unsere Websites oder die API aufrufen, protokolliert der Webserver Verbindungs-Metadaten in seinem Zugriffsprotokoll — Ihre IP-Adresse, Datum und Uhrzeit, die angeforderte Ressource, den HTTP-Status, das übertragene Datenvolumen sowie Browser- und Herkunftsseiten-Informationen (User-Agent und Referer). Ihre IP-Adresse wird zusätzlich in den Authentifizierungs-, Registrierungs- und Compliance-Audit-Protokollen der Anwendung als Sicherheitsmaßnahme und zur Erfüllung rechtlicher Verpflichtungen gespeichert. Diese Daten dienen nur dazu, den Dienst abzusichern, Missbrauch zu untersuchen und den Verkehr aggregiert zu messen (siehe Abschnitte 7 und 8); sie werden niemals verwendet, um ein individuelles Besucherprofil zu erstellen. Aggregierte Verkehrsstatistiken werden auf unserem eigenen Server mit AWStats erzeugt, das Besucheradressen hasht und die Geolokalisierung auf Länderebene lokal auflöst.

4. Rechtsgrundlage der Verarbeitung

  • Vertragserfüllung: Verarbeitung, die zur Bereitstellung der Zeiterfassung erforderlich ist.
  • Berechtigtes Interesse: Betrugsprävention, Sicherheit, Dienstverbesserung.
  • Einwilligung: Push-Benachrichtigungen, optionale Foto-Verifizierung.
  • Rechtliche Verpflichtung: Einhaltung der Aufbewahrungspflichten nach dem Arbeitsrecht.

5. Speicherung und Löschung

Personenbezogene Daten in der operativen Datenbank werden für die Dauer des aktiven Beschäftigungsverhältnisses des Mitarbeiters zuzüglich 30 Tagen gespeichert. In diesem Zeitraum können Mitarbeiter ihre Daten über das Datenschutz-Dashboard einsehen, exportieren oder löschen.

Lohnrelevante Aufzeichnungen (Sitzungsdauern, Stundensätze, Überstundenberechnungen) werden 10 Jahre aufbewahrt, wie es die italienischen Aufbewahrungspflichten nach Zivilrecht erfordern (Art. 2949 Codice Civile). Audit-Protokolle und Nachweisketten werden ebenfalls 10 Jahre als gerichtsfeste Compliance-Nachweise aufbewahrt.

Verifizierungsfotos werden zusammen mit den Sitzungsdaten des Mitarbeiters gelöscht, wenn dieser sein Recht auf Löschung ausübt (siehe Abschnitt 6). Die Fotos werden in der Anwendungsdatenbank gespeichert und sind nur für den besitzenden Administrator zugänglich (den Mandanten, der den Arbeitsort angelegt hat).

Sie können eine frühere Löschung verlangen, sofern gesetzlich zulässig — über das Datenschutz-Dashboard in der App oder per E-Mail an [email protected].

6. Ihre Rechte (DSGVO)

  • Recht auf Auskunft (Art. 15)
  • Recht auf Berichtigung (Art. 16)
  • Recht auf Löschung (Art. 17)
  • Recht auf Einschränkung der Verarbeitung (Art. 18)
  • Recht auf Datenübertragbarkeit (Art. 20)
  • Widerspruchsrecht (Art. 21)

Um Ihre Rechte auszuüben, wenden Sie sich an [email protected].

7. Auftragsverarbeiter und Unterauftragsverarbeiter

Zur Bereitstellung des Dienstes setzen wir folgende Unterauftragsverarbeiter ein:

  • Stripe (Zahlungsabwicklung) — Rechenzentren in der EU mit Standardvertragsklauseln für jede Unterauftragsverarbeitung außerhalb des EWR.
  • WAHA (WhatsApp HTTP API) — zur Zustellung der PIN-Verifizierungsnachrichten und Push-Benachrichtigungen an Mitarbeiter. Telefonnummern und Nachrichteninhalt werden gemäß deren Business Policy an Meta Platforms Ireland Ltd übermittelt. Siehe WhatsApp-Datenschutzrichtlinie.
  • Selbst gehosteter Mailcow-E-Mail-Server — transaktionale E-Mails (OTP-Codes, Zahlungsbelege).
  • Cloudflare — CDN und Reverse Proxy vor qrew.it, app.qrew.it und api.qrew.it. Cloudflare beendet TLS an seinem Edge, filtert missbräuchlichen Verkehr und leitet Anfragen an unseren Server weiter; es stellt außerdem die Länderherleitung für die Abrechnung bereit (Abschnitt 3) und kann die in unserer Cookie-Richtlinie beschriebenen technischen Cookies setzen. Die Verarbeitung erfolgt im Cloudflare-Netz. Siehe Cloudflare-Datenschutzerklärung.
  • Contabo — unsere API, Anwendung und Datenbank werden auf einem Contabo-VPS in Deutschland (EU) gehostet. Die Datenbankdateien liegen auf Volumes mit Verschlüsselung ruhender Daten.
  • AWStats — ein freies, Open-Source-Log-Analysewerkzeug, das wir auf unserem eigenen Server betreiben, um aggregierte, nicht identifizierbare Verkehrsstatistiken (Seitenaufrufe, Länder, Browser) zu erstellen. Es liest das in Abschnitt 3 beschriebene Webserver-Zugriffsprotokoll, setzt keine Cookies, hasht Besucheradressen in seiner Datenbank, löst die Geolokalisierung auf Länderebene lokal aus einer IP-Land-Datei auf und teilt keine Daten mit Dritten.

Wir übermitteln keine personenbezogenen Daten in Drittländer ohne geeignete Garantien (EU-Standardvertragsklauseln oder Angemessenheitsbeschlüsse).

8. Sicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen um, darunter:

  • Verschlüsselung ruhender Daten (Datenbank-Volume) und bei der Übertragung: TLS wird am Cloudflare-Edge beendet und zwischen Edge und unserem Ursprungsserver erneut verschlüsselt.
  • HttpOnly-, Secure-, SameSite=Lax-Sitzungscookies in der Produktion.
  • CSRF-Schutz über das Double-Submit-Token-Verfahren.
  • Audit-Protokollierung mit HMAC-Nachweiskettenprüfung als Gerichtsnachweis.
  • Geräte-Fingerabdruck und Vertrauensbewertung zur Anti-Spoofing-Prävention.
  • Rollenbasierte Zugriffskontrolle (ein Administrator kann nur auf die Daten seines eigenen Mandanten zugreifen).
  • Regelmäßige Sicherheitsüberprüfungen.

9. Änderungen

Wir können diese Erklärung aktualisieren. Wesentliche Änderungen werden mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail oder In-App-Benachrichtigung mitgeteilt.