Datenschutzerklärung

Wir bei absentify GmbH (im Folgenden „wir", „uns" oder „absentify" genannt) verpflichten uns, Ihre personenbezogenen Daten zu schützen und für Transparenz bei der Erhebung, Verarbeitung und Nutzung dieser Daten zu sorgen. Diese Datenschutzerklärung gilt für die Nutzung unserer Website https://absentify.com und unserer SaaS-Anwendung absentify.

absentify GmbH Rotachstrasse 4, 8003 Zürich, Schweiz

Telefon: +49 251 9811573777 E-Mail: support@absentify.com

Prighter Group GmbH Neustiftgasse 83/2A, 1070 Wien, Österreich

Kontakt: https://app.prighter.com/portal/absentify

Prighter Ltd 20 Primrose Street, London EC2A 2EW, Vereinigtes Königreich

Kontakt: https://app.prighter.com/portal/absentify

absentify GmbH – Datenschutzbeauftragter

E-Mail: privacy@absentify.com

EU-Aufsichtsbehörde: Sie können eine Beschwerde bei einer Aufsichtsbehörde in Ihrem EU-Mitgliedstaat einreichen, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes.

UK-Aufsichtsbehörde: Information Commissioner's Office (ICO) Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, Vereinigtes Königreich Website: https://ico.org.uk

absentify ist vollständig konform mit der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO). Wir verarbeiten personenbezogene Daten rechtmäßig, fair und transparent gemäß den Artikeln 5-11 DSGVO.

absentify ist auch konform mit der UK General Data Protection Regulation (UK GDPR), wie sie im britischen Recht gemäß dem European Union (Withdrawal) Act 2018 in Verbindung mit dem Data Protection Act 2018 beibehalten wird. Die UK GDPR gilt für die Verarbeitung personenbezogener Daten von Personen im Vereinigten Königreich.

Als Schweizer Unternehmen halten wir auch das Schweizer Bundesgesetz über den Datenschutz (DSG) ein.

Wir erheben und verarbeiten Ihre Daten auf folgende Weise:

• Registrierungs- und Kontoeinrichtungsinformationen
• Formulare, E-Mails und Support-Nachrichten
• Abwesenheitsanträge, Abwesenheitsgründe und hochgeladene Dokumente
• Manuell eingegebene Profilinformationen

Wenn Sie die Microsoft-Anmeldung verwenden, erhalten und synchronisieren wir die folgenden grundlegenden Profildaten:

Datenelement

Zweck

Vorname

Benutzeridentifikation und Anzeige

Nachname

Benutzeridentifikation und Anzeige

E-Mail-Adresse

Kontoidentifikation und Kommunikation

Profilbild

Anzeige des Benutzerprofils

Geschäftliche Telefonnummer

Benutzerprofil und optionale automatische Antworten in Outlook

Mobiltelefon

Gespeichert als Teil des Microsoft-Profils

Datenelement

Zweck

Geburtstag (optional)

Geburtstagsbenachrichtigungen und HR-Einblicke

Beschäftigungsbeginn/-ende

Jubiläumsbenachrichtigungen, Betriebszugehörigkeit, HR-Berichte

Benutzerdefinierte Mitarbeiter-ID

Integration mit HR-Systemen

Feiertagskalender

Genaue Urlaubsberechnungen

Regionale Einstellungen

Lokalisierte Benutzererfahrung

Datenelement

Zweck

Abwesenheitsanträge

Kernfunktionalität der Abwesenheitsverwaltung

Urlaubskontingente

Kontingentverwaltung und Saldenüberwachung

Abteilungszuweisungen

Organisationsstruktur und Zugriffskontrolle

Genehmiger-/Vertreter-Zuweisungen

Genehmigungsworkflows

Arbeitszeitpläne

Genaue Urlaubsberechnungen

Hochgeladene Dokumente

Begleitdokumentation für Abwesenheitsanträge

Datenelement

Zweck

IP-Adresse

Sicherheit, Betrugsprävention und rechtliche Compliance

Browsertyp und -version

Technischer Support und Optimierung

Betriebssystem

Technischer Support und Optimierung

Zugriffszeit

Sicherheitsüberwachung und Analysen

Verweisende URLs

Marketing-Analysen

Datenelement

Zweck

Microsoft OAuth-Tokens

API-Zugriff für optionale Integrationen

Verschlüsselt, automatische Erneuerung

Magic-Link-Tokens

Passwortlose Authentifizierung

15 Minuten, einmalige Verwendung

Sitzungs-Cookies

Sitzungsverwaltung

30 Tage, AES-256 verschlüsselt

Zweck

Rechtsgrundlage (EU-DSGVO)

Rechtsgrundlage (UK GDPR)

Bereitstellung des Zugangs zur Anwendung

Art. 6(1)(b) – Vertragserfüllung

Art. 6(1)(b) – Vertragserfüllung

Gewährleistung von Funktionalität und Sicherheit

Art. 6(1)(f) – Berechtigtes Interesse

Art. 6(1)(f) – Berechtigtes Interesse

Optionale KI-Assistentenfunktionen (wenn vom Workspace-Administrator aktiviert)

Art. 6(1)(b) – Vertragserfüllung (die Kundenorganisation als Verantwortlicher bestimmt die Grundlage für Beschäftigtendaten; absentify handelt als Auftragsverarbeiter nach Art. 28)

Art. 6(1)(b) – Vertragserfüllung (ebenso; absentify handelt als Auftragsverarbeiter)

Support und Kundenservice (einschließlich KI-gestützter Ticketbearbeitung)

Art. 6(1)(f) – Berechtigtes Interesse

Art. 6(1)(f) – Berechtigtes Interesse

Support-Ticket-Signale für das Kundenbeziehungsmanagement (zum Beispiel Upgrade- oder Kündigungsinteresse)

Art. 6(1)(f) – Berechtigtes Interesse

Art. 6(1)(f) – Berechtigtes Interesse

Newsletter und Marketing (mit Einwilligung)

Art. 6(1)(a) – Einwilligung

Art. 6(1)(a) – Einwilligung

Produktanalysen und Verbesserungen

Art. 6(1)(f) – Berechtigtes Interesse

Art. 6(1)(f) – Berechtigtes Interesse

Rechtliche Compliance und Aufzeichnungen

Art. 6(1)(c) – Rechtliche Verpflichtung

Art. 6(1)(c) – Rechtliche Verpflichtung

Interessenabwägung: Wenn wir uns auf berechtigte Interessen stützen, haben wir Abwägungstests durchgeführt, um sicherzustellen, dass unsere Interessen Ihre Grundrechte und -freiheiten nicht überwiegen. Sie können Details zu diesen Bewertungen unter privacy@absentify.com anfordern.

Widerruf der Einwilligung: Wenn die Verarbeitung auf einer Einwilligung basiert, können Sie Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie sich an privacy@absentify.com wenden oder den Abmeldelink in Marketing-Mitteilungen verwenden.

Wir wählen sorgfältig Unterauftragsverarbeiter aus, die unsere Sicherheits- und Datenschutzstandards erfüllen. Alle Unterauftragsverarbeiter arbeiten unter Auftragsverarbeitungsverträgen (AVV) in Übereinstimmung mit der DSGVO.

Wir arbeiten ausschließlich mit Unterauftragsverarbeitern innerhalb der Europäischen Union (EU) und des Vereinigten Königreichs (durch einen EU-Angemessenheitsbeschluss abgedeckt). Die aktuelle Liste der genehmigten Unterauftragsverarbeiter, einschließlich ihrer Standorte und Zwecke, ist verfügbar unter:

https://absentify.com/subprocessors

Wir informieren Kunden mindestens 30 Tage vor Beauftragung neuer Unterauftragsverarbeiter per E-Mail oder über die Unterauftragsverarbeiter-Seite. Kunden können innerhalb von 14 Tagen Widerspruch einlegen, wenn sie begründete, dokumentierte Bedenken hinsichtlich der Datenschutz-Compliance haben.

Alle personenbezogenen Daten werden primär innerhalb der Europäischen Union und der Schweiz verarbeitet:

Datentyp

Primärer Standort

Backup-Standort

Kundendaten

Nordeuropa (Irland)

EU-Partnerregion (geo-redundant)

Anwendungsprotokolle

Nordeuropa (Irland)

–

Audit-Protokolle

Nordeuropa (Irland)

–

KI-Prompts / -Antworten

Microsoft Azure KI-Dienste (siehe Abschnitt 17)

–

Die Europäische Kommission hat einen Angemessenheitsbeschluss für das Vereinigte Königreich erlassen, der anerkennt, dass das UK ein angemessenes Datenschutzniveau bietet. Dieser Angemessenheitsbeschluss wurde am 19. Dezember 2025 für einen Zeitraum von sechs Jahren (bis 2031) erneuert. Wir überwachen diesen Status und werden bei Bedarf geeignete Schutzmaßnahmen umsetzen.

Für alle Übermittlungen in Länder außerhalb der EU/des EWR/UK/der Schweiz ohne Angemessenheitsbeschluss stellen wir sicher, dass geeignete Schutzmaßnahmen vorhanden sind:

• Standardvertragsklauseln (SCCs) gemäß Genehmigung der Europäischen Kommission
• UK International Data Transfer Agreement (IDTA) oder UK-Zusatz zu EU-SCCs, wo erforderlich
• Technische und organisatorische Sicherheitsmaßnahmen
• Transfer Impact Assessments, wo erforderlich

Sie können eine Kopie dieser Schutzmaßnahmen unter privacy@absentify.com anfordern.

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

Recht

Beschreibung

Referenz

Auskunftsrecht

Bestätigung der Verarbeitung und Kopie Ihrer Daten erhalten

Art. 15 DSGVO

Recht auf Berichtigung

Unrichtige oder unvollständige Daten korrigieren

Art. 16 DSGVO

Recht auf Löschung

Löschung Ihrer Daten verlangen („Recht auf Vergessenwerden")

Art. 17 DSGVO

Recht auf Einschränkung

Verarbeitung unter bestimmten Umständen einschränken

Art. 18 DSGVO

Recht auf Datenübertragbarkeit

Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten

Art. 20 DSGVO

Widerspruchsrecht

Verarbeitung aufgrund berechtigter Interessen widersprechen

Art. 21 DSGVO

Recht auf Widerruf der Einwilligung

Einwilligung jederzeit widerrufen

Art. 7(3) DSGVO

Recht, keiner automatisierten Entscheidung unterworfen zu werden

Nicht ausschließlich automatisierten Entscheidungen unterworfen werden

Art. 22 DSGVO

Beschwerderecht

Beschwerde bei einer Aufsichtsbehörde einreichen

Art. 77 DSGVO

Um Ihre Rechte auszuüben, kontaktieren Sie uns bitte unter:

• E-Mail: privacy@absentify.com
• Telefon: +49 251 9811573777

Wir werden auf Ihre Anfrage innerhalb eines Monats nach Eingang antworten. Diese Frist kann bei Bedarf unter Berücksichtigung der Komplexität und Anzahl der Anfragen um zwei weitere Monate verlängert werden.

Zum Schutz Ihrer Privatsphäre müssen wir möglicherweise Ihre Identität überprüfen, bevor wir Ihre Anfrage bearbeiten. Wir erheben keine Gebühr, es sei denn, Ihre Anfrage ist offensichtlich unbegründet oder übermäßig.

Wir speichern Ihre Daten nur so lange, wie es zur Erfüllung der Zwecke, für die sie erhoben wurden, oder zur Erfüllung rechtlicher Anforderungen erforderlich ist.

Datentyp

Aufbewahrungsfrist

Hinweise

Kundenanwendungsdaten

Bis zur Kontolöschung

Sofortige Löschung bei Kontolöschung

Backup-Daten

Maximal 14 Tage

Geo-redundante Backups, dann dauerhaft gelöscht

Finanzdaten

Verwaltet von Paddle

Unterliegt den DSGVO-konformen Richtlinien von Paddle

Anwendungsprotokolle

30 Tage

Azure Log Analytics

Sicherheits-Audit-Protokolle

365 Tage

Unveränderlicher Speicher für Compliance

Datenbank-Audit-Protokolle

30 Tage

Azure Log Analytics

Key Vault-Zugriffsprotokolle

365 Tage

Unveränderlicher Speicher

E-Mail-Kommunikation

12 Monate

Sofern nicht Teil einer rechtlichen/Audit-Angelegenheit

Wenn Daten nicht mehr benötigt werden, werden sie mit branchenüblichen Datenlöschmethoden sicher gelöscht, die sicherstellen, dass die Daten nicht wiederherstellbar sind.

Unsere Website und Anwendung verwenden Cookies für folgende Zwecke:

Kategorie

Zweck

Rechtsgrundlage

Essenzielle Cookies

Kernfunktionalität, Sicherheit, Sitzungsverwaltung

Art. 6(1)(f) – Berechtigtes Interesse

Analyse-Cookies

Produktverbesserung und Nutzungsanalysen

Art. 6(1)(a) – Einwilligung

Marketing-Cookies

Personalisierte Werbung (falls zutreffend)

Art. 6(1)(a) – Einwilligung

Wir verwenden PostHog, Inc. (EU Cloud) für anonymisierte Verhaltensanalysen. Alle Analysedaten werden ausschließlich innerhalb der Europäischen Union (Frankfurt am Main, Deutschland) verarbeitet.

Sie können Ihre Cookie-Einstellungen verwalten über:

• Unser Cookie-Einwilligungsbanner
• Ihre Browsereinstellungen
• Unsere Cookie-Einstellungsseite

Zertifizierung

Status

ISO 27001

Zertifiziert (Informationssicherheits-Managementsystem)

Microsoft 365 App-Zertifizierung

Zertifiziert

Microsoft Azure Compliance

ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3

Wir haben umfassende Sicherheitsmaßnahmen zum Schutz Ihrer Daten implementiert:

Verschlüsselung:

• Im Ruhezustand: AES-256-Verschlüsselung für alle Datenbanken, Speicher und Backups
• Bei der Übertragung: TLS 1.2+ erzwungen auf allen Verbindungen, nur HTTPS mit HSTS

Netzwerksicherheit:

• Private Endpoints für alle sensiblen Dienste (keine öffentlichen IP-Adressen)
• Web Application Firewall (WAF) mit OWASP-Schutz
• DDoS-Schutz mit Ratenbegrenzung
• Dediziertes virtuelles Netzwerk mit Subnetz-Segmentierung

Zugriffskontrolle:

• Rollenbasierte Zugriffskontrolle (RBAC)
• Multi-Faktor-Authentifizierung (MFA) für Produktionszugriff
• Prinzip der minimalen Rechtevergabe
• Regelmäßige Zugriffsüberprüfungen
• Direkter Datenbankzugriff auf das Top-Management beschränkt

Überwachung:

• Microsoft Defender for Cloud für Echtzeit-Bedrohungserkennung
• Kontinuierliche Sicherheitsüberwachung und Alarmierung
• Unveränderliche Audit-Protokolle mit 365 Tagen Aufbewahrung

Incident Response:

• Dokumentiertes Verfahren zur Reaktion auf Sicherheitsvorfälle
• 72-Stunden-Meldung an Aufsichtsbehörden bei Datenschutzverletzungen (wo erforderlich)
• Regelmäßige Penetrationstests und Schwachstellenbewertungen

Für Kunden, die absentify im geschäftlichen Kontext nutzen, stellen wir einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO / UK GDPR bereit.

Der AVV ist verfügbar unter: https://absentify.com/dpa

Der AVV umfasst:

• Standardvertragsklauseln (SCCs) für internationale Übermittlungen
• Technische und organisatorische Maßnahmen (TOMs)
• ISO 27001-Zertifikat als Anlage
• Liste der Unterauftragsverarbeiter

absentify integriert sich mit Microsoft 365 für Authentifizierung und optionale Funktionen.

Wir folgen dem Prinzip des minimalen Datenzugriffs.

Berechtigung

Zweck

email

E-Mail-Adressen der Benutzer anzeigen

openid

Benutzer anmelden

profile

Grundlegendes Benutzerprofil anzeigen

User.Read

Anmelden und Benutzerprofil lesen

Jede optionale Funktion verwendet eine separate Azure AD-App-Registrierung, um den minimalen Berechtigungsumfang sicherzustellen:

Funktion

Berechtigungen

Was wir tun

Was wir NICHT tun

Kalender-Sync

Calendars.ReadWrite

Nur Abwesenheitsereignisse erstellen/aktualisieren/löschen

Bestehende Termine lesen

Abwesenheitsnotiz

MailboxSettings.ReadWrite

Nur automatische Antworten setzen

Auf E-Mails oder Postfachinhalte zugreifen

Manager-Sync

User.Read.All

Manager-Beziehungen und die in Abschnitt 3.2 genannten Profilfelder lesen

Andere Verzeichnisdaten wie Gehalt oder Personalakten lesen

Gruppen-Sync

Group.ReadWrite.All, Directory.Read.All

Nur Gruppenmitgliedschaften lesen

Auf Dateien, Chats oder Gruppeninhalte zugreifen

Unser Versprechen:

• Wir fordern nur die für jede Funktion notwendigen Berechtigungen an
• Wir lesen nur die spezifisch erforderlichen Datenfelder
• Wir speichern nur das absolut Notwendige
• Wir ändern Ihren Microsoft-Tenant niemals über den angegebenen Zweck hinaus

Die gesamte Zahlungsabwicklung erfolgt über Paddle.com Market Limited, die als unser Merchant of Record agiert.

• absentify speichert keine Zahlungskartendaten, Bankinformationen oder Rechnungsadressen
• Wir speichern nur Referenz-IDs zu Paddle-Datensätzen
• Paddle ist PCI DSS-konform und DSGVO-konform

Für Rechnungsanfragen: https://paddle.net Paddle Datenschutzrichtlinie: https://www.paddle.com/legal/privacy

absentify ist ein Business-to-Business (B2B)-Dienst für die organisatorische Nutzung. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Wenn Sie glauben, dass wir versehentlich solche Daten erhoben haben, kontaktieren Sie uns bitte umgehend unter privacy@absentify.com.

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen unserer Praktiken, Technologien, rechtlichen Anforderungen oder anderer Faktoren widerzuspiegeln.

• Wesentliche Änderungen werden per E-Mail an registrierte Benutzer und/oder per Hinweis in der Anwendung kommuniziert
• Das Datum „Zuletzt aktualisiert" oben in dieser Richtlinie zeigt an, wann sie zuletzt überarbeitet wurde
• Wir empfehlen Ihnen, diese Richtlinie regelmäßig zu überprüfen

Bei Fragen oder Bedenken zum Datenschutz oder zu dieser Datenschutzerklärung kontaktieren Sie bitte:

Datenschutzbeauftragter absentify GmbH Rotachstrasse 4, 8003 Zürich, Schweiz

• E-Mail: privacy@absentify.com
• Telefon: +49 251 9811573777
• Allgemeiner Support: support@absentify.com

absentify nutzt Microsoft Azure KI-Dienste (Teil von Microsoft Azure) für begrenzte KI-gestützte Funktionen. Das Application-Hosting verbleibt in der EU. Die KI-Verarbeitung erfolgt durch Microsoft unter dem Microsoft DPA und den geltenden Datenschutzbedingungen von Microsoft. Microsoft verwendet Kunden-Prompts oder -Ausgaben nicht zum Trainieren oder Verbessern von Foundation Models. Eine begrenzte Anbieter-Aufbewahrung zur Missbrauchsüberwachung kann nach den Microsoft-Bedingungen gelten.

Workspace-Administratoren können optionale KI-Assistentenfunktionen aktivieren (zum Beispiel den Microsoft Teams KI-Bot oder den In-App-Dokumentationsassistenten).

• Abwesenheitsdaten, Mitgliederprofile und andere Workspace-Inhalte werden nur dann automatisch aus Ihrer Anwendung an Microsoft Azure KI-Dienste übermittelt, wenn diese Funktionen für den Workspace aktiviert sind.
• Sind die Funktionen deaktiviert, werden diese Workspace-Inhalte nicht aus Ihrer Anwendung für diese Funktionen abgerufen. Inhalte, die Sie in Support-Tickets einreichen, können unabhängig davon wie in Abschnitt 17.2 beschrieben verarbeitet werden.
• Wenn aktiviert, können Prompts Benutzernachrichten und den minimal erforderlichen Kontext enthalten, um die Anfrage zu beantworten oder die gewünschte Aktion auszuführen (zum Beispiel Rolle, Abwesenheitstypen oder Anfragedetails, die der Assistent bearbeiten soll).
• Diese Funktionen treffen keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung allein auf Grundlage automatisierter Verarbeitung im Sinne von Art. 22 DSGVO. Menschliche Nutzer bleiben für das Erstellen, Genehmigen oder Ablehnen von Abwesenheiten verantwortlich.

Unabhängig von den optionalen KI-Funktionen in der Anwendung können wir Microsoft Azure KI-Dienste nutzen, um Support-Tickets und Helpdesk-Gespräche zu klassifizieren, zusammenzufassen und Antwortvorschläge zu erstellen (zum Beispiel Absicht, Stimmung, Routing sowie kommerzielle Signale wie Upgrade- oder Kündigungsinteresse). Antwortvorschläge werden von Support-Mitarbeitenden vor dem Versand geprüft.

• Diese Verarbeitung umfasst Nachrichten und zugehörige Metadaten, die Sie an unseren Helpdesk senden (über Crisp und verwandte Support-Kanäle). Inhalte, die Sie selbst in ein Ticket einfügen (zum Beispiel Screenshots oder eingefügte Abwesenheitsdetails), werden als Teil dieses Tickets verarbeitet.
• Ihre Anwendungsdatenbank oder Workspace-Abwesenheitsdaten werden nicht für Microsoft Azure KI-Dienste abgerufen, es sei denn, Sie aktivieren auch die optionalen KI-Funktionen oben.
• Rechtsgrundlage: Art. 6(1)(f) DSGVO / UK GDPR (berechtigte Interessen an effizientem Kundensupport und der Verwaltung der Kundenbeziehung). Sie können wie in Abschnitt 7 beschrieben Widerspruch einlegen.

Technische und organisatorische Maßnahmen für Azure-Dienste sind in unserem Auftragsverarbeitungsvertrag beschrieben.