Datenschutzerklärung

Jeder Rechner rechnet in Ihrem Browser. Die Werte, die Sie eingeben, werden weder an uns noch an andere gesendet. Einige Rechner merken sich Ihre letzten Eingaben im lokalen Speicher Ihres Browsers, damit die Seite nicht leer ist, wenn Sie zurückkommen.

Der Team-Tracker funktioniert genauso. Er speichert seine Daten in diesen localStorage-Schlüsseln auf Ihrem eigenen Computer:

• lc_team_v1: Mitarbeitende, Abwesenheitszeiträume, Einstellungen und das Änderungsprotokoll des Trackers.
• lc_license_v1: Ihr Pro-Lizenzschlüssel, falls Sie einen aktiviert haben.
• lc_file_saved_v1: wann Sie zuletzt eine Unternehmensdatei gespeichert haben.
• lc_rated_…: ein Vermerk, dass Sie eine Seite bereits bewertet haben, damit Sie nicht zweimal gefragt werden.

Dateien, die Sie mit Save file oder Connect team file (so heißen die Schaltflächen im englischen Tracker) erstellen, gehen direkt in den Ordner, den Sie wählen, und laufen nie über uns. Wenn dieser Ordner mit OneDrive, Google Drive oder Dropbox synchronisiert wird, gelten die Datenschutzbestimmungen dieses Anbieters. Um alles zu löschen, löschen Sie die Websitedaten für leavecalc.com und Ihre gespeicherten Dateien.

Zwei kleine Dinge von diesen Seiten erreichen unseren Server. Eine Sternebewertung sendet nur die Seite und die Zahl der Sterne, nichts, was Sie identifiziert. Wenn Sie eine Tracker-Lizenz kaufen, speichern wir die Stripe-Checkout-Sitzungs-ID, Ihre E-Mail-Adresse und den ausgestellten Schlüssel, damit wir ihn erneut senden können, wenn Sie ihn verlieren.

Wenn ein Unternehmen den gehosteten Dienst nutzt, speichern wir, was für den Betrieb nötig ist:

• Ihr Login. E-Mail-Adresse des Kontos und eine gehashte Fassung Ihres Passworts. Das Passwort selbst speichern wir nie. Wenn Sie die zweistufige Anmeldung einschalten, speichern wir außerdem ein verschlüsseltes Geheimnis der Authenticator-App und gehashte Wiederherstellungscodes. Wenn Sie sich mit Google anmelden oder registrieren, speichern wir außerdem die bestätigte E-Mail-Adresse, die Google uns gegeben hat, die Kennung Ihres Kontos bei Google und, bei einem Google-Workspace-Konto, dessen Domain. Wenn Sie sich mit Microsoft anmelden oder registrieren, speichern wir die E-Mail-Adresse und die Kennungen (Mandant und Konto), die Microsoft uns gegeben hat, und bei einem Geschäfts- oder Schulkonto, dessen Domain Microsoft bestätigt, diese Domain. Wenn Ihr Unternehmen SAML-Single-Sign-on nutzt, speichern wir die E-Mail-Adresse, die der Identitätsanbieter Ihres Unternehmens uns sendet, als Ihre Anmelde-E-Mail-Adresse. Es ist dieselbe E-Mail-Adresse wie die des Kontos, sodass Ihrem Profil nichts Neues hinzugefügt wird; sendet der Identitätsanbieter auch einen Namen, verwenden wir ihn nur, um für eine Person ohne Konto ein Viewer-Konto (nur Lesezugriff) anzulegen.
• Unternehmenseinstellungen. Name des Unternehmens, US-Bundesstaat, Arbeitszeitplan, Abrechnungsrhythmus und Feiertage.
• Mitarbeitende. Name, optional die geschäftliche E-Mail-Adresse, Abteilung, Eintrittsdatum, Wochenstunden, US-Bundesstaat und wem sie unterstellt sind.
• Eine Verbindung zu einem HR-System. Wenn ein Inhaber BambooHR verbindet, speichern wir dessen API-Schlüssel, verschlüsselt, und die Personen, die wir daraus lesen: Namen, geschäftliche E-Mail-Adressen, Abteilungen, Berufsbezeichnungen, Datumsangaben und Berichtslinien. Wir lesen nur. Es wird nichts in das HR-System zurückgeschrieben, und Gehälter werden nie gelesen.
• Eine Slack-Verbindung. Wenn ein Inhaber die Slack-App hinzufügt, speichern wir den Namen und die Kennung des Slack-Workspace, den Slack-Zugriffsschlüssel (verschlüsselt) und für jede Person, die wir in Slack finden, ihre Slack-Benutzerkennung, einen Hash mit Schlüssel der E-Mail-Adresse, die Slack für sie bestätigt hat (nicht die Adresse selbst), und die Kennung ihrer Direktnachricht mit der App. Den Nachrichtenverlauf von Slack speichern wir nicht.
• Abwesenheitsregeln, die Sie einrichten, etwa Aufbauregeln für PTO und Krankheitstage.
• Anträge und Salden. Tage, Stunden, Art der Abwesenheit und alle Notizen.
• Dokumente zu Anträgen. Wenn ein Arbeitgeber sie verlangt, die Dateien, die seine Mitarbeitenden einem Antrag auf freie Tage beifügen, etwa eine ärztliche Bescheinigung: eine PDF-, JPG-, PNG- oder HEIC-Datei. Wir speichern die Datei selbst (verschlüsselt), ihren verschlüsselten Dateinamen, ihre Art und Größe, wer sie hinzugefügt hat und wann. Siehe Dokumente und ärztliche Bescheinigungen.
• FMLA-Fallakten. Die Daten des Antrags, der Mitteilungen und der Bescheinigung, die Methode für das Freistellungsjahr und nur eine Kategorie für den Grund der Freistellung. Wir bitten Arbeitgeber, keine Diagnosen oder sonstigen medizinischen Angaben in Notizen und Gründe einzutragen. Eine medizinische Bescheinigung (Certification) oder ärztliche Bescheinigung, die als Dokument beigefügt wird, ist unter Dokumente und ärztliche Bescheinigungen beschrieben.
• Ein Änderungsprotokoll der Änderungen: wer was wann geändert hat. Inhaber können es in der App lesen (Einstellungen > Aktivitätsprotokoll) und herunterladen. Es wird 7 Jahre aufbewahrt, es sei denn, ein Inhaber wählt 10 Jahre oder unbegrenzt.
• Abrechnungsdaten von Stripe: Tarif, Daten, Beträge und Stripe-IDs. Nie Kartennummern. Wenn ein Inhaber um Zahlung per Rechnung bittet, außerdem der rechtliche Name, die Rechnungsadresse, die E-Mail-Adresse der Kreditorenbuchhaltung, die Bestellnummer und die Steuernummer, die er eingibt.
• Anmeldeprotokolle. Die IP-Adresse, der Browser und die Zeit von Anmeldungen und fehlgeschlagenen Anmeldeversuchen, aus Sicherheitsgründen gespeichert.
• Support-Nachrichten. Was Sie uns im Chat „Fragen Sie den Entwickler“ in der App schreiben, und unsere Antworten.
• Ein Nutzungsprotokoll. Welche Bildschirme der App wann geöffnet wurden, Anmeldungen und technische Fehlerberichte aus Ihrem Browser: der Fehlertext und der Bildschirm, auf dem er auftrat. Es enthält nie, was Sie in Formulare eingeben. Wir nutzen es nur, um Ihnen zu helfen und Probleme zu beheben, es bleibt auf unserem eigenen Server, und wir löschen es nach 90 Tagen.

Ein Arbeitgeber kann seinen Mitarbeitenden erlauben, einem Antrag auf freie Tage eine ärztliche Bescheinigung oder ein anderes Dokument beizufügen (eine PDF-, JPG-, PNG- oder HEIC-Datei, jeweils bis zu 10 MB und 5 pro Antrag). Der Arbeitgeber legt für jede Art der Abwesenheit fest, ob ein Dokument nie verlangt wird, optional ist oder nach einer bestimmten Zahl von Arbeitstagen verpflichtend ist, und kann die Genehmigung zurückhalten, bis eines beigefügt ist. Eine Datei ist eine medizinische Unterlage und wird daher getrennt von den übrigen Daten aufbewahrt. Dokumente dienen einem einzigen Zweck: dem Arbeitgeber die Bescheinigung zu zeigen, die zum Antrag gehört. Wir geben sie an kein anderes Unternehmen weiter.

• Was gespeichert wird. Die Datei, verschlüsselt mit einem eigenen Schlüssel, der aus dem Geheimnis des Servers abgeleitet wird, unter einem zufälligen Namen in einem Ordner außerhalb des Teils des Servers, der die Website ausliefert. Auch der ursprüngliche Dateiname wird verschlüsselt. Außerdem speichern wir im Klartext die Art der Datei, ihre Größe, wer sie hinzugefügt hat und wann. Bilder verlieren ihre Standort- und Kameraangaben (JPG und PNG), und Dateien werden anhand ihres Inhalts geprüft, nicht anhand ihres Namens. Eine PDF-Datei, die ein Skript oder eine eingebettete Datei enthält, wird abgelehnt.
• Wer sie sehen kann. Die Person selbst, die Kontoinhaber und Führungskräfte, denen ein Inhaber erlaubt, medizinische Dokumente zu öffnen (standardmäßig ausgeschaltet). Eine auf eine Abteilung beschränkte Führungskraft sieht nur diese Abteilung und nie die Dokumente zu Krankheit, FMLA, Trauerfall, Geschworenendienst oder anderer geschützter Abwesenheit. Andere Führungskräfte und Viewer können sie nicht öffnen. Eine Datei, die über den öffentlichen Antragslink hinzugefügt wird, ist als ungeprüft markiert und kann erst heruntergeladen werden, wenn ein Inhaber sie akzeptiert. Wir können nicht versprechen, dass niemand bei LeaveCalc eine Datei öffnen könnte: Der Schlüssel liegt auf dem Server, sodass eine Person mit Zugriff auf den Server sie grundsätzlich öffnen könnte. Der Zugriff auf den Server ist auf die Person beschränkt, die LeaveCalc betreibt und ihn nicht nutzt, um Kundendaten zu lesen.
• Wo sie nie erscheinen. Nicht im Kalender, unter „Heute“, in der Wochenübersicht, in der Slack-App, in der API oder in Webhooks und nicht in der Verbindung für KI-Assistenten. Die einzige E-Mail ist eine Erinnerung an die Person, die den Antrag gestellt hat; sie fordert dazu auf, ein Dokument hinzuzufügen, und nennt die Art der Abwesenheit und die Tage.
• Ein Vermerk über jeden Blick. Das Öffnen der Dateiliste, das Herunterladen und das Löschen werden im Aktivitätsprotokoll festgehalten (wer, wann, bei welchem Antrag), nie mit dem Dateinamen. Nur Personen, die Dokumente öffnen dürfen, sehen diese Einträge.
• Keine Virenprüfung. Wir haben keinen Virenscanner. Deshalb öffnet oder zeigt LeaveCalc eine hochgeladene Datei nie: Sie kann nur heruntergeladen werden, und die Person, die sie herunterlädt, öffnet sie in ihrem eigenen PDF-Reader oder Bildbetrachter. Keine Datei geht an einen Scan-Dienst oder an ein anderes Unternehmen.
• Wie lange sie aufbewahrt werden. Der Arbeitgeber entscheidet: 1 Jahr, 3 Jahre (Standard), 7 Jahre oder bis jemand sie löscht, gerechnet ab dem letzten Tag des Antrags. Abgelaufene Dateien werden automatisch gelöscht. Der Arbeitgeber kann jederzeit ein Dokument oder alle Dokumente einer Person löschen. Wird eine Person aus dem Team entfernt, werden ihre Dokumente nicht gelöscht. Wird das gesamte Konto gelöscht, werden auch seine Dokumente gelöscht.
• Sicherungen. Die nächtliche Sicherung enthält die Dokumente (weiterhin verschlüsselt). Ein gelöschtes Dokument bleibt in den Sicherungskopien, die vor dem Löschen erstellt wurden, bis diese ersetzt werden, innerhalb von 14 Tagen.

Der Arbeitgeber entscheidet, ob Dokumente verlangt werden, und ist dafür verantwortlich, wie er sie verwendet. In den Vereinigten Staaten verlangen das FMLA (29 CFR 825.500(g)) und der ADA (42 U.S.C. 12112(d)) von Arbeitgebern, medizinische Bescheinigungen und medizinische Informationen vertraulich und in Akten getrennt von der allgemeinen Personalakte zu führen; in der EU und im Vereinigten Königreich sind Gesundheitsdaten besondere Kategorien personenbezogener Daten nach Artikel 9 der DSGVO; in Kanada verlangt PIPEDA Schutzmaßnahmen, die der Sensibilität der Daten entsprechen. LeaveCalc ist so gebaut, dass ein Arbeitgeber diese Pflichten erfüllen kann, aber diese Seite enthält allgemeine Informationen und keine Rechtsberatung.

Der Arbeitgeber verantwortet die Daten seiner Mitarbeitenden. Im Sinne des Datenschutzrechts ist der Arbeitgeber der Verantwortliche: Er entscheidet, was über wen und warum eingegeben wird. LeaveCalc verarbeitet diese Daten nur, um dem Arbeitgeber den Dienst zu erbringen.

Wir verkaufen sie nie. Wir nutzen sie nie für Werbung. Wir nutzen sie nie, um KI-Modelle zu trainieren, weder unsere eigenen noch die anderer.

Wenn Sie angestellt sind und Daten über sich einsehen, berichtigen oder löschen lassen möchten, fragen Sie Ihren Arbeitgeber. Er kann das meiste direkt in der App erledigen, und wir helfen ihm bei allem, was er nicht kann. Wenn Sie stattdessen uns schreiben, verweisen wir Sie an Ihren Arbeitgeber und helfen ihm bei der Antwort.

Der gehostete Dienst läuft auf einem Server, den wir bei der netcup GmbH, einem deutschen Hosting-Unternehmen, in dessen Rechenzentrum in Manassas, Virginia, USA, mieten. Alles zwischen Ihrem Browser und diesem Server wird über HTTPS übertragen. Wir erstellen jede Nacht eine Sicherung und bewahren 14 Kopien auf demselben Server auf, und jede Kopie wird mit einer Integritätsprüfung kontrolliert. Die Datenbankkopien sind nicht verschlüsselt (die darin enthaltenen Dokumente sind es, Datei für Datei), und es gibt keine externe Kopie. Alle Daten werden in Manassas, Virginia, USA, gespeichert und nirgendwo sonst.

Unsere Unterauftragsverarbeiter, jeder für eine Aufgabe:

• netcup GmbH: Hosting des Servers und der darauf gespeicherten Sicherungen.
• Stripe: Zahlungsabwicklung. Kartendaten werden auf den eigenen Seiten von Stripe eingegeben und gemäß dessen eigener Datenschutzerklärung verarbeitet. Wir sehen die übliche Händleransicht: E-Mail-Adresse, Tarif, Betrag, Land, Kartenmarke und die letzten vier Ziffern.
• Resend: Versand der E-Mails des Dienstes, etwa wöchentliche Übersichten, Erinnerungen und Kontomails.
• Cloudflare: Zustellung von Mails an contact@leavecalc.com in unser Postfach.

Sonst niemand. Ziele, an die Sie bewusst selbst Daten senden, etwa Ihr eigener Slack-Workspace (mit der Slack-App oder einem eingehenden Webhook), ein Teams-Kanal, ein Webhook, ein KI-Assistent, den ein Inhaber mit einem API-Token verbindet (was der Assistent liest, geht an das Unternehmen, das ihn betreibt, gemäß der Vereinbarung des Inhabers mit diesem Unternehmen), der eigene Identitätsanbieter Ihres Unternehmens, wenn sich dessen Mitarbeitende mit SAML anmelden, oder Ihr eigenes Google- oder Microsoft-Konto, wenn Sie sich damit anmelden oder registrieren oder ein Inhaber einen Google- oder Outlook-Kalender verbindet, sind Ihre eigenen Empfänger und nicht unsere Unterauftragsverarbeiter. Slack, Google und Microsoft sind nicht unsere Unterauftragsverarbeiter: Slack-App, Mit Google anmelden, Mit Microsoft anmelden, SAML-Single-Sign-on und Kalenderverbindungen sagen genau, was jeder erhält. Wir setzen keine Werbepixel, keine Sitzungsaufzeichnung, keine Heatmaps und keine Datenhändler ein, und wir haben nie Daten an jemanden verkauft oder vermietet.

Analysen, nur auf den öffentlichen Seiten

In der App läuft keine Analyse von Drittanbietern. Die App führt nur das oben beschriebene eigene Nutzungsprotokoll, auf unserem eigenen Server. Google Analytics 4 (Mess-ID G-YSXFCZ6S9H) läuft nur auf den öffentlichen Rechner- und Informationsseiten. Es sagt uns, welche Seiten besucht werden, grob von wo, auf welcher Art von Gerät und von welcher verweisenden Website oder Suchmaschine. Dabei erhält Google Ihre IP-Adresse und setzt Cookies mit den Namen _ga und _ga_<id>, um wiederkehrende Besuche zu erkennen.

Wir senden außerdem einige benannte Ereignisse: calculate, add_to_calendar, begin_checkout (mit dem angeklickten Zahlungslink), tracker_cta_click, etsy_click, employer_bridge_click und signup_click (die letzten beiden markieren Klicks in Richtung LeaveCalc für Arbeitgeber auf den öffentlichen Seiten; Google Analytics läuft nicht in der App selbst). Sie enthalten den Seitenpfad und den angeklickten Link, nie die Werte, die Sie eingegeben haben. Ein Tracking-Blocker stoppt all das, und die Website funktioniert genau gleich.

Kontodaten werden aufbewahrt, solange das Konto besteht.

Läuft ein bezahlter Tarif aus, werden die Daten eingefroren, nicht gelöscht. Die US-FMLA-Regeln verlangen von Arbeitgebern, Abwesenheitsunterlagen drei Jahre aufzubewahren (29 CFR 825.500), und eine verpasste Zahlung sollte Sie nicht Unterlagen kosten, die Sie rechtlich haben müssen.

Dokumente, die Anträgen beigefügt sind, folgen der vom Arbeitgeber gewählten Zeit (3 Jahre nach dem Ende des Antrags, es sei denn, er wählt 1 Jahr, 7 Jahre oder nie zu löschen), wie unter Dokumente und ärztliche Bescheinigungen beschrieben.

Sie können jederzeit alles exportieren unter Berichte > Exporte > Backup herunterladen.

Um das ganze Konto zu löschen, schreiben Sie von der Adresse des Kontoinhabers an contact@leavecalc.com. Wir löschen es innerhalb von 30 Tagen und bestätigen das schriftlich. Sicherungen, die es noch enthalten, laufen aus: die Kopien auf unserem Server innerhalb von 14 Tagen, und das schließt die Dokumente ein. Andere Kopien gibt es nicht.

• Passwörter werden mit scrypt gehasht.
• Die zweistufige Anmeldung mit einer Authenticator-App steht allen offen, die sich mit einem Passwort anmelden, und ein Inhaber kann sie für Inhaber und Führungskräfte vorschreiben. Man kann sich auch mit Google oder Microsoft anmelden, und ein Inhaber kann das für das ganze Unternehmen vorschreiben. Ein Unternehmen im Tarif Business oder Enterprise kann SAML-Single-Sign-on mit seinem eigenen Identitätsanbieter nutzen und es für alle vorschreiben.
• Sitzungscookies sind HttpOnly, sodass Skripte auf einer Seite sie nicht lesen können.
• Jeder Datensatz gehört zu einem Unternehmen, und jede Anfrage wird dagegen geprüft, sodass ein Unternehmen die Daten eines anderen nicht sehen kann.
• Jede Änderung wird im Änderungsprotokoll festgehalten, das Inhaber in der App lesen können.
• Dokumente, die Anträgen beigefügt sind, werden verschlüsselt und getrennt von der Website gespeichert, und jedes Ansehen und Herunterladen wird protokolliert.
• Anmeldungen und Anfragen sind mengenmäßig begrenzt.
• Sicherungen werden jede Nacht erstellt, und 14 Kopien werden auf demselben Server aufbewahrt, jede mit einer Integritätsprüfung kontrolliert. Die Datenbankkopien sind nicht verschlüsselt (die darin enthaltenen Dokumente sind es), und es gibt noch keine externe Kopie.

Kein gehostetes System ist frei von Risiko, und wir tun nicht so, als wäre es anders. Erfahren wir von einer Verletzung, die die Daten eines Kunden betrifft, benachrichtigen wir diesen Kunden ohne unangemessene Verzögerung per E-Mail mit dem, was wir wissen, damit er seine eigenen Meldepflichten erfüllen kann.

Ihr Arbeitgeber kann Ihnen einen Link zum Senden von Anträgen geben. Auf dieser Seite wählen Sie Ihren Namen aus der Liste Ihres Arbeitgebers, wählen die Tage und fügen optional eine Notiz und Ihre E-Mail-Adresse hinzu. Sie zeigt nie Salden oder Daten anderer. Was Sie senden, geht nur an Ihren Arbeitgeber, der darüber entscheidet.

Jetzt verfügbar. Die Google-Schaltfläche befindet sich auf der Anmeldeseite, auf der Einladungsseite, auf der eigenen Seite einer Person und auf der Registrierungsseite. Sie ist optional: Ein Passwort funktioniert weiterhin, es sei denn, ein Inhaber entscheidet sich, Google für das Unternehmen vorzuschreiben. Die Anmeldung mit Microsoft funktioniert genauso und ist im nächsten Abschnitt beschrieben. SAML-Single-Sign-on für Unternehmen ist danach beschrieben. SCIM gibt es nicht.

Was Google uns mitteilt. Wir bitten Google nur um drei Dinge: die Anmeldung selbst (openid), Ihre E-Mail-Adresse und Ihr Basisprofil. Google teilt uns Ihre bestätigte E-Mail-Adresse und Ihren Namen mit sowie seine Kennung für Ihr Google-Konto (und, bei einem Google-Workspace-Konto, die Domain). Wir speichern die E-Mail-Adresse, die Kennung und die Domain bei Ihrem Konto. Den Namen verwenden wir nur, um ein Viewer-Konto anzulegen, wenn jemand über die Domain seines Unternehmens beitritt, oder das Inhaberkonto, wenn sich jemand mit Google registriert. Ihr Google-Passwort erhalten wir nie. Die Anmeldung gibt uns keinen Zugriff auf Ihre Google-E-Mails, Dateien, Kontakte oder Kalender.

Was Google erhält. LeaveCalc sendet Google bei der Anmeldung oder Registrierung keine Daten des Unternehmens. Google erfährt nur, dass Sie sich bei LeaveCalc angemeldet oder dort registriert haben.

Registrierung. Eine Person, deren Google-Adresse bestätigt ist und die kein LeaveCalc-Konto und keine ausstehende Einladung hat, kann mit Google ein neues Unternehmen anlegen. Google bestätigt die Adresse, dann benennen Sie das Unternehmen und werden dessen Inhaber. Bis dahin wird nichts angelegt, und die Bestätigung gilt 15 Minuten und funktioniert einmal. Eine Registrierung führt Sie nie in ein bestehendes Unternehmen: Wenn ein Unternehmen Personen Ihrer Domain erlaubt, den Beitritt zu beantragen, werden Sie darüber informiert, und Sie können Ihr eigenes Unternehmen anlegen oder den Inhaber dieses Unternehmens um eine Einladung bitten.

Anmeldung. Die Anmeldung mit Google legt kein Konto an. Um sich anzumelden, brauchen Sie zuerst ein LeaveCalc-Konto, eine an dieselbe Adresse gesendete Einladung oder einen Inhaber, der für Ihre Google-Workspace-Domain „Personen mit einer Adresse in dieser Domain können beantragen, als Viewer beizutreten“ eingeschaltet hat und Ihren Antrag genehmigt. Mitarbeitende können ihre eigene Seite mit Google öffnen, wenn die bestätigte Adresse die hinterlegte geschäftliche Adresse ist.

Was wir damit tun. Wir verwenden, was Google uns mitteilt, nur um Sie anzumelden oder Ihr Konto anzulegen, um Sie Ihrem Konto zuzuordnen und um anzuzeigen, welches Google-Konto verbunden ist. Wir verkaufen es nicht, nutzen es nicht für Werbung, nutzen es nicht, um Modelle des maschinellen Lernens oder der KI zu trainieren, und geben es an niemanden weiter. Die Nutzung von Informationen, die LeaveCalc aus Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

So trennen Sie die Verbindung. Öffnen Sie in LeaveCalc Einstellungen > Konto und trennen Sie Google. Sie können LeaveCalc auch unter myaccount.google.com/permissions entfernen. Fragen: contact@leavecalc.com.

Jetzt verfügbar. Die Microsoft-Schaltfläche steht neben der Google-Schaltfläche: auf der Anmeldeseite, auf der Einladungsseite, auf der eigenen Seite einer Person und auf der Registrierungsseite. Sie ist optional: Ein Passwort funktioniert weiterhin, es sei denn, ein Inhaber entscheidet sich, die Anmeldung mit Google oder Microsoft für das Unternehmen vorzuschreiben. Geschäfts- oder Schulkonten (Microsoft 365) und private Microsoft-Konten funktionieren beide. SAML-Single-Sign-on für Unternehmen ist im nächsten Abschnitt beschrieben. SCIM gibt es nicht.

Was Microsoft uns mitteilt. Wir bitten Microsoft nur um drei Dinge: die Anmeldung selbst (openid), Ihre E-Mail-Adresse und Ihr Basisprofil. Microsoft teilt uns Ihre E-Mail-Adresse und Ihren Namen mit sowie seine Kennungen für Ihr Konto (den Mandanten, also Ihre Organisation, und das Konto selbst). Wir vertrauen der E-Mail-Adresse nur, wenn Microsoft bestätigt, dass der Inhaber ihrer Domain verifiziert wurde; andernfalls behandeln wir sie nur als Vorschlag, und niemand wird dadurch angemeldet, verknüpft oder registriert. In diesem Fall melden Sie sich einmal mit Ihrem Passwort an und verbinden Microsoft unter Einstellungen > Konto. Wir speichern die E-Mail-Adresse, die Kennungen und, bei einem Geschäfts- oder Schulkonto, dessen Domain Microsoft bestätigt, die Domain bei Ihrem Konto. Den Namen verwenden wir nur, um ein Viewer-Konto anzulegen, wenn jemand über die Domain seines Unternehmens beitritt, oder das Inhaberkonto, wenn sich jemand mit Microsoft registriert. Ihr Microsoft-Passwort erhalten wir nie, und nach der Anmeldung behalten wir kein Microsoft-Token. Die Anmeldung gibt uns keinen Zugriff auf Ihre Microsoft-E-Mails, Dateien, Kontakte oder Kalender.

Was Microsoft erhält. LeaveCalc sendet Microsoft bei der Anmeldung oder Registrierung keine Daten des Unternehmens. Microsoft erfährt nur, dass Sie sich bei LeaveCalc angemeldet oder dort registriert haben. Microsoft ist nicht unser Unterauftragsverarbeiter: Sie entscheiden sich, Ihr eigenes Microsoft-Konto zu verwenden.

Registrierung und Anmeldung. Es gelten dieselben Regeln wie bei Google. Eine Person, deren Microsoft-Adresse bestätigt ist und die kein LeaveCalc-Konto und keine ausstehende Einladung hat, kann mit Microsoft ein neues Unternehmen anlegen, und das führt Sie nie in ein bestehendes Unternehmen. Die Anmeldung legt kein Konto an: Sie brauchen zuerst ein LeaveCalc-Konto, eine an dieselbe Adresse gesendete Einladung oder einen Inhaber, der „Personen mit einer Adresse in dieser Domain können beantragen, als Viewer beizutreten“ für eine Microsoft-365-Domain eingeschaltet hat, die Microsoft bestätigt und die der Inhaber durch die Anmeldung mit Microsoft nachgewiesen hat, und der Ihren Antrag genehmigt. Ein privates Microsoft-Konto weist nie eine Domain nach.

Was wir damit tun. Wir verwenden, was Microsoft uns mitteilt, nur um Sie anzumelden oder Ihr Konto anzulegen, um Sie Ihrem Konto zuzuordnen und um anzuzeigen, welches Microsoft-Konto verbunden ist. Wir verkaufen es nicht, nutzen es nicht für Werbung, nutzen es nicht, um Modelle des maschinellen Lernens oder der KI zu trainieren, und geben es an niemanden weiter.

Die Regeln Ihrer Organisation. Die LeaveCalc-App auf der Seite von Microsoft hat noch keinen verifizierten Herausgeber, deshalb zeigt Microsoft sie als nicht verifiziert an. Die Administratoren mancher Organisationen verhindern, dass Personen nicht verifizierten Apps zustimmen. Wenn Ihnen das passiert, muss Ihr IT-Administrator LeaveCalc genehmigen, bevor Sie sich verbinden können. Das können wir nicht für Sie tun.

So trennen Sie die Verbindung. Öffnen Sie in LeaveCalc Einstellungen > Konto und trennen Sie Microsoft. Sie können LeaveCalc auch unter myapps.microsoft.com (Geschäfts- oder Schulkonto) oder account.live.com/consent/Manage (privates Konto) entfernen. Fragen: contact@leavecalc.com.

Jetzt verfügbar. Ein Inhaber richtet es unter Einstellungen > Konto ein, und ein Unternehmen in seiner Testphase kann es ausprobieren. Die Personen wählen auf der Anmeldeseite „Mit Ihrem Unternehmen anmelden“ und melden sich beim Identitätsanbieter des Unternehmens an, also Okta, Microsoft Entra ID, Google Workspace oder einem anderen Anbieter, der SAML 2.0 unterstützt. Eine Anmeldung muss bei LeaveCalc beginnen. Der Identitätsanbieter des Unternehmens wird vom Unternehmen gewählt und betrieben, ist also nicht unser Unterauftragsverarbeiter, und die Einrichtungsanleitung für IT-Administratoren finden Sie unter leavecalc.com/developers/saml/.

Was Ihr Identitätsanbieter uns sendet. Eine signierte Nachricht, die die E-Mail-Adresse der Person enthält, als Name-ID oder in einem Attribut, das der Inhaber benennt, und manchmal einen Namen (einen Anzeigenamen oder einen Vor- und einen Nachnamen). Sie kann auch die Zeitgrenze der Sitzung der Person enthalten. Alles andere darin ignorieren wir. Die E-Mail-Adresse muss in einer E-Mail-Domain liegen, die das Unternehmen durch einen DNS-Eintrag nachgewiesen hat, und wird nur einer Person dieses Unternehmens zugeordnet: Eine Adresse, die zu einem Konto bei einem anderen LeaveCalc-Unternehmen gehört, wird abgelehnt, nie verknüpft oder zusammengeführt.

Was wir speichern. Die E-Mail-Adresse wird zur Anmelde-E-Mail-Adresse der Person, genauso wie bei einem Passwortkonto. Hat der Inhaber Viewer-Konten für neue Personen aus einer Domain eingeschaltet, erhält eine Person ohne Konto ein Viewer-Konto mit nur Lesezugriff mit dieser E-Mail-Adresse und dem Namen, den der Anbieter gesendet hat. Bei allen anderen speichern wir den Namen nicht. Ein einmaliges Anmeldeticket, das die E-Mail-Adresse und den Namen enthält, wird innerhalb von 15 Minuten nach der Verwendung gelöscht. Um zu verhindern, dass eine Assertion erneut eingespielt wird, speichern wir einen Hash ihrer Kennung, nicht die Nachricht. Wir speichern weder die Antwort noch die Assertion noch das Passwort des Identitätsanbieters, das wir nie sehen. Die Wahl des Anbieters durch den Inhaber, seine öffentlichen Signaturzertifikate, die nachgewiesenen Domains und die Schalter werden mit den Einstellungen des Unternehmens gespeichert. Jede Änderung der Einstellungen, jede Anmeldung und jede fehlgeschlagene Anmeldung wird mit einer kurzen Begründung, aber nie mit der Nachricht, im Aktivitätsprotokoll festgehalten.

Was der Identitätsanbieter erhält. Der Anbieter erfährt, dass sich eine Person bei LeaveCalc anmeldet. LeaveCalc sendet ihm keine Daten des Unternehmens.

Sitzungen und Pflicht. Eine über SAML erstellte Sitzung dauert höchstens 12 Stunden. Ein Inhaber kann SAML für alle vorschreiben, dann funktionieren für dieses Unternehmen Passwörter und die Anmeldung mit Google oder Microsoft nicht mehr. Inhaber behalten einen per E-Mail gesendeten Einmalcode, damit eine falsche Einstellung sie nicht aussperren kann. Was das nicht abdeckt, ist in der Sicherheitsübersicht aufgeführt. Wir verwenden, was der Anbieter sendet, nur um Personen anzumelden und ihren Konten zuzuordnen. Wir verkaufen es nicht, nutzen es nicht für Werbung, nutzen es nicht, um Modelle des maschinellen Lernens oder der KI zu trainieren, und geben es an niemanden weiter.

So beenden Sie es. Ein Inhaber entfernt den Identitätsanbieter oder schaltet SAML unter Einstellungen > Konto aus, und die Personen verwenden wieder ihr Passwort. Fragen: contact@leavecalc.com.

Jetzt verfügbar. Ein Inhaber eines Unternehmenskontos kann die Slack-App unter Einstellungen > Integrationen hinzufügen, indem er „Zu Slack hinzufügen“ wählt und die Berechtigungen auf dem Slack-Bildschirm genehmigt. Jeder Slack-Workspace kann sie installieren. Sie ist nicht im Slack Marketplace gelistet. Die Microsoft-Teams-App ist gebaut, aber nicht eingeschaltet, daher nicht verfügbar. Slack ist Ihr eigener Workspace und Ihre eigene Entscheidung, daher ist Slack, wie bei einem eingehenden Webhook, nicht unser Unterauftragsverarbeiter.

Was Personen tun können. Sie geben /timeoff ein, um freie Tage zu beantragen, sehen ihre Salden, sehen, wer abwesend ist, und sehen ihre eigenen Anträge. Personen, die über einen Antrag entscheiden, erhalten eine Direktnachricht mit den Schaltflächen „Genehmigen“ und „Ablehnen“. Die App hat einen Reiter „App Home“, und ein Inhaber kann einen Kanal für eine tägliche Meldung wählen, wer abwesend ist.

Was Slack erhält. Namen, Daten, Mengen und die Salden, die der Person angezeigt werden, die gefragt hat. Die Nachricht an die Genehmigenden zeigt den Namen der Person, die Art der Abwesenheit, die Tage, den Saldo danach und die Notiz, die die Person eingegeben hat, falls es eine gibt. Die Listen, wer abwesend ist, und die tägliche Meldung zeigen Namen, Daten und die Art der Abwesenheit, nur dass Krankheit, FMLA und geschützte Abwesenheit als „Abwesend“ erscheinen. Gehalt und Einzelheiten zu FMLA-Fällen werden nicht gesendet. Slack bewahrt auf, was wir senden, nach seinen eigenen Bedingungen, und der Inhaber entscheidet, wer im Workspace und im Kanal ist.

Was Slack uns mitteilt. Wir bitten um die Berechtigungen chat:write, commands, im:write, users:read, users:read.email und channels:read. Wir lesen die Mitgliederliste des Workspace und die E-Mail-Adresse, die Slack für jedes Mitglied bestätigt, nur um Personen der Teamliste zuzuordnen; eine Person wird nur über eine bestätigte Adresse gefunden. Wir speichern den Namen und die Kennung des Workspace, den Zugriffsschlüssel (verschlüsselt) und für jede gefundene Person die Slack-Benutzerkennung, einen Hash mit Schlüssel der bestätigten E-Mail-Adresse (nicht die Adresse selbst) und die Kennung der Direktnachricht. Den Nachrichtenverlauf von Slack speichern wir nicht. Wir nutzen dies nur, um die App zu betreiben, und wir verkaufen es nicht, nutzen es nicht für Werbung und nicht, um Modelle des maschinellen Lernens oder der KI zu trainieren.

So trennen Sie die Verbindung. Ein Inhaber öffnet Einstellungen > Integrationen und wählt „Trennen“. Wir löschen dann den Zugriffsschlüssel, weisen Slack an, ihn zu widerrufen, und hören auf zu posten; die Aufzeichnungen zu den freien Tagen werden nicht geändert. Ein Admin des Slack-Workspace kann die App auch in Slack entfernen. Fragen: contact@leavecalc.com.

Kalender-Feed (jetzt verfügbar). In der App gibt Kalender > Abonnieren einen geheimen Kalenderlink, den Sie zu Google Kalender, Outlook oder Apple Kalender hinzufügen können. Es ist ein Feed nur zum Lesen mit genehmigten freien Tagen und Feiertagen, und jeder, der den Link hat, kann ihn lesen, halten Sie ihn also privat. Ein Inhaber kann jederzeit einen neuen Link erzeugen, und der alte funktioniert dann nicht mehr. Der Feed wird von LeaveCalc selbst ausgeliefert: Seine Nutzung sendet nichts an Google oder Microsoft und braucht kein Google- oder Microsoft-Konto.

Verbindung zu Google Kalender (jetzt verfügbar). Ein Inhaber eines Unternehmenskontos kann unter Einstellungen > Kalender ein Google-Konto verbinden. LeaveCalc legt dann in diesem Konto einen neuen Kalender an, benannt „Time off - “ und der Name des Unternehmens, und hält ihn aktuell. Nichts wird verbunden, es sei denn, ein Inhaber entscheidet sich dafür und genehmigt die Berechtigung auf dem Google-Bildschirm. Google ist nicht unser Unterauftragsverarbeiter: Der Inhaber verbindet sein eigenes Google-Konto.

Verbindung zu Outlook / Microsoft 365 (jetzt verfügbar). Ein Inhaber eines Unternehmenskontos kann unter Einstellungen > Kalender ein Outlook- oder Microsoft-365-Konto (Geschäfts-, Schul- oder privates Konto) verbinden. LeaveCalc legt dann in diesem Konto einen neuen Kalender an, benannt „Time off - “ und der Name des Unternehmens, und hält ihn aktuell. Nichts wird verbunden, es sei denn, ein Inhaber entscheidet sich dafür und genehmigt die Berechtigung auf dem Microsoft-Bildschirm. Microsoft ist nicht unser Unterauftragsverarbeiter: Der Inhaber verbindet sein eigenes Microsoft-Konto.

Was gesendet wird. Für jeden genehmigten Antrag (und, nur wenn der Inhaber es wählt, jeden Antrag, der auf Genehmigung wartet, oder jeden Feiertag des Unternehmens) schreibt LeaveCalc einen ganztägigen Termin in diesen Kalender: den Namen oder die Initialen der Person, die Art der Abwesenheit und die Tage, soweit die Datenschutzwahl des Inhabers für diese Verbindung es erlaubt. Der Inhaber kann Namen und Art der Abwesenheit, nur den Namen, nur Initialen oder gar keine Namen anzeigen lassen. Krankheitstage und FMLA-Freistellung werden nie nach ihrer Art benannt. Sonst wird nichts über die Person gesendet, kein Saldo, keine Notiz und kein Grund. Der Termin geht an das eigene Google- oder Microsoft-Konto des Inhabers, und nur dorthin. Google oder Microsoft empfängt ihn und verwahrt ihn unter dem eigenen Konto des Inhabers und dessen Bedingungen. Der Inhaber entscheidet, mit wem der Kalender geteilt wird.

Was LeaveCalc sehen kann. LeaveCalc bittet Google nur um die Berechtigung, einen eigenen zusätzlichen Kalender anzulegen und darin Termine zu verwalten (calendar.app.created), sowie um die E-Mail-Adresse Ihres Kontos, damit es Ihnen zeigen kann, welches Konto verbunden ist. Es kann Ihre anderen Kalender nicht lesen. Es liest nur die Termine in dem Kalender zurück, den es angelegt hat, um sie korrekt zu halten. Termine, die Sie von Hand zu diesem Kalender hinzufügen, bleiben unangetastet.

Was LeaveCalc mit Outlook sehen kann. LeaveCalc bittet Microsoft um die Berechtigung Calendars.ReadWrite, um die Verbindung aufrechtzuerhalten (offline_access) und um Ihre Anmeldung, E-Mail-Adresse und das Basisprofil (openid, email und User.Read), damit es Ihnen zeigen kann, welches Konto verbunden ist. Der Zustimmungsbildschirm von Microsoft formuliert die Kalenderberechtigung als Vollzugriff auf Ihre Kalender, weil Microsoft dafür keine engere Berechtigung hat. Die Grenze liegt darin, wie LeaveCalc arbeitet, nicht in der Berechtigung: LeaveCalc legt einen eigenen Kalender an, und jeder Aufruf betrifft nur diesen Kalender. Es liest oder ändert Ihre anderen Kalender nicht. Die LeaveCalc-App auf der Seite von Microsoft hat noch keinen verifizierten Herausgeber, deshalb zeigt Microsoft sie als nicht verifiziert an, und die Administratoren mancher Organisationen verhindern, dass Personen nicht verifizierten Apps zustimmen. Wenn das passiert, muss Ihr IT-Administrator LeaveCalc genehmigen, bevor Sie sich verbinden können.

Wo die Daten liegen. Die Anmeldetokens, mit denen LeaveCalc den Kalender aktualisieren kann (Google oder Microsoft), werden verschlüsselt auf unserem Server in den USA gespeichert. Sie werden nur verwendet, um diesen Kalender zu aktualisieren. Sie werden nie angezeigt, protokolliert oder weitergegeben.

Was wir nicht tun. Wir verkaufen diese Daten nicht, nutzen sie nicht für Werbung, nutzen sie nicht, um Modelle des maschinellen Lernens oder der KI zu trainieren, und geben sie an niemanden weiter, außer um die von Ihnen gewünschte Kalenderfunktion bereitzustellen, aus Sicherheitsgründen (zum Beispiel zur Untersuchung von Missbrauch), um dem Gesetz zu folgen oder im Rahmen eines Verkaufs des Unternehmens mit Ihrer Zustimmung. Unsere Leute lesen sie nicht, es sei denn, Sie bitten uns, ein bestimmtes Problem anzusehen, es ist aus Sicherheitsgründen nötig oder das Gesetz verlangt es.

Die Regeln von Google. Die Nutzung und die Weitergabe von Informationen, die LeaveCalc aus Google-APIs erhält, an eine andere App entsprechen der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Die Nutzung von Informationen aus Google-Workspace-Bereichen (Scopes) entspricht der Google Workspace API user data and developer policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

So trennen Sie die Verbindung. In LeaveCalc öffnet ein Inhaber Einstellungen, Kalender und wählt „Trennen“. LeaveCalc löscht dann seine Kopie der Tokens und widerruft bei Google seinen Zugriff. Der Inhaber entscheidet, ob LeaveCalc auch den angelegten Kalender löscht. Wenn nicht, bleibt der Kalender, wie er ist, und wird nicht mehr aktualisiert. Sie können LeaveCalc jederzeit auch selbst unter myaccount.google.com/permissions entfernen. Bei Outlook kann LeaveCalc seinen Zugriff bei Microsoft nicht selbst widerrufen: Es löscht seine Kopie der Tokens, und Sie können LeaveCalc unter myapps.microsoft.com (Geschäfts- oder Schulkonto) oder account.live.com/consent/Manage (privates Konto) entfernen. Wenn Sie uns bitten, das Unternehmenskonto zu schließen, löschen wir auch die Tokens. Fragen: contact@leavecalc.com.

Die App setzt ein Cookie, das Sie angemeldet hält: das Sitzungscookie. Wenn Sie die zweistufige Anmeldung einschalten und sich entscheiden, ein Gerät zu merken, setzt sie ein zweites Cookie für 30 Tage, das genau das tut. In der App gibt es keine Cookies von Drittanbietern. Die öffentlichen Seiten setzen nur die oben beschriebenen Cookies von Google Analytics.

Die Rechner und der Tracker nutzen den lokalen Speicher, wie oben beschrieben. Der lokale Speicher ist kein Cookie und wird nie an einen Server gesendet; er liegt auf Ihrer Festplatte, bis Sie ihn leeren.

LeaveCalc ist kein Gesundheitsdienstleister und kein Krankenversicherungsplan. FMLA-Akten, die ein Arbeitgeber führt, sind Beschäftigungsunterlagen, keine HIPAA-Unterlagen. Das macht sie nicht weniger sensibel, und genau deshalb bitten wir Arbeitgeber, in den Fallakten nur eine Kategorie für den Grund der Freistellung festzuhalten, nie eine Diagnose oder medizinische Angabe. Ein Dokument, das ein Arbeitgeber verlangt, etwa eine ärztliche Bescheinigung, ist die einzige Stelle, an der medizinische Angaben gehalten werden können, und nur weil der Arbeitgeber sich entschieden hat, danach zu fragen.