Datenschutzerklärung für FiF Box

FiF Box ist die digitale Mitarbeiterakte, die FiF-IT für Firmen betreibt: Gehaltsabrechnungen, Verträge, Hinweise, Urlaub und Verpflichtungen. Hier steht, welche Daten dabei anfallen, wer sie sieht und wie lange sie bleiben.

1. Wer ist verantwortlich?

Für Ihre Unterlagen als Mitarbeiter ist Ihr Arbeitgeber verantwortlich (Art. 4 Nr. 7 DSGVO). Die Firma entscheidet, welche Dokumente in Ihre Box kommen, was Sie sehen und wie lange etwas aufbewahrt wird. Fragen zu Ihren Daten richten Sie am besten zuerst an die Verwaltung Ihrer Firma.

FiF-IT betreibt FiF Box im Auftrag der Firma als Auftragsverarbeiter (Art. 28 DSGVO) und verarbeitet die Daten nur nach deren Weisung. Für den Betrieb der Plattform selbst – Anmeldeseite, Sicherheit, Anfragen von Firmen über das Formular „FiF Box für Ihre Firma anfragen“ – ist FiF-IT verantwortlich:

FiF-IT GmbH
Auestraße 79
52382 Niederzier
Telefon 02428 902343
E-Mail info@fif-it.de

Die vollständigen Anbieterangaben stehen im Impressum von FiF-IT.

2. Welche Daten verarbeitet FiF Box?

• Zugangsdaten: Name, Benutzername, E-Mail-Adresse, Personalnummer, Tätigkeit, Standort, Ein- und Austrittsdatum, Kennwort (nur als Hash), Daten zur Zwei-Faktor-Anmeldung bzw. zum Passkey (nur der öffentliche Schlüssel), letzte Anmeldung.
• Dokumente: was die Firma einstellt, z. B. Gehaltsabrechnungen, Lohnsteuer- und Meldebescheinigungen, Verträge. Diese Dokumente können Angaben wie Steuerklasse, Religionszugehörigkeit (Kirchensteuer), Sozialversicherung und Bankverbindung enthalten. Außerdem, wann ein Dokument eingestellt und ob es geöffnet wurde.
• Kalender: Urlaubsanträge und Abwesenheiten. Bei Krankheit wird nur der Zeitraum gespeichert, nie eine Diagnose. Kollegen sehen Krankheit nur als „abwesend“.
• Arbeitszeit (wenn die Firma die Zeiterfassung nutzt): Kommen, Gehen und Pausen mit Uhrzeit, ob über den QR-Code im Büro (mit Standort des Codes) oder in der Box gestempelt wurde, Korrekturanträge sowie die verknüpften Handys (nur Gerätetyp und Browser, z. B. „iPhone · Safari“). Kein GPS-Standort, keine Geräte- oder MAC-Adresse.
• Verpflichtungen und Hinweise: Ihre Bestätigung mit Zeitpunkt, IP-Adresse, Browser-Kennung und einer Prüfsumme des bestätigten Textes, damit die Firma den Nachweis führen kann.
• Meldungen an die Verwaltung: was Sie selbst melden, z. B. neue Anschrift oder Bankverbindung, und eingereichte Belege.
• Protokoll: Anmeldungen, Abmeldungen, Zugriffe auf Dokumente und Änderungen in der Verwaltung, jeweils mit Zeitpunkt, handelnder Person und IP-Adresse.
• Anfragen über die Anmeldeseite: Name, E-Mail, ggf. Firma, Telefon und Ihre Nachricht sowie die IP-Adresse (zum Schutz vor Missbrauch).

3. Wozu und auf welcher Grundlage?

Die Firma nutzt FiF Box, um Ihnen Unterlagen aus dem Arbeitsverhältnis bereitzustellen und es zu verwalten. Rechtsgrundlage ist die Durchführung des Arbeitsverhältnisses und die Erfüllung gesetzlicher Pflichten des Arbeitgebers (Art. 6 Abs. 1 lit. b und c DSGVO). Die Arbeitszeiterfassung dient der gesetzlichen Pflicht zur Aufzeichnung der Arbeitszeit (§ 3 Abs. 2 Nr. 1 ArbSchG, § 16 Abs. 2 ArbZG) und der Abrechnung von Mehr- und Minderstunden; eine Leistungs- oder Verhaltenskontrolle ist nicht ihr Zweck. Soweit Gesundheitsdaten (Krankheitszeiten) oder Angaben zur Religionszugehörigkeit betroffen sind, gilt zusätzlich Art. 9 Abs. 2 lit. b DSGVO.

Protokolle, Drosselung von Fehlversuchen und die Zwei-Faktor-Anmeldung dienen der Sicherheit (Art. 6 Abs. 1 lit. c und f, Art. 32 DSGVO). Anfragen über die Anmeldeseite beantworten wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags) bzw. lit. f (Weiterleitung an Ihre Firma).

Die Zuordnung von Dokumenten zu Mitarbeitern über Personalnummer und Namen läuft automatisch, wird aber von der Verwaltung geprüft und freigegeben. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO oder Profilbildung findet nicht statt.

4. Wer bekommt die Daten?

Ihre Dokumente sehen nur Sie und die Admins Ihrer Firma. Kollegen sehen nichts aus Ihrer Box. FiF-IT sieht Dokumentinhalte nicht: Ein Supportzugang ist nur mit Freigabe durch die Firma möglich, zeitlich begrenzt und ohne Zugriff auf Dokumente; jeder Zugriff steht im Protokoll der Firma.

Gehostet wird FiF Box bei der STRATO GmbH in Rechenzentren in Deutschland; STRATO ist als Unterauftragsverarbeiter vertraglich gebunden. E-Mails (z. B. Einladung, Hinweis auf ein neues Dokument) werden über STRATO versendet und enthalten nie Dokumentinhalte. Eine Übermittlung in Länder außerhalb der EU findet nicht statt.

FiF Box lädt keine Inhalte von fremden Servern: keine Schriften von Google, keine Werbe- oder Statistikdienste, keine Tracker.

5. Wie sind die Daten geschützt?

• Dokumente und Meldungen liegen verschlüsselt auf dem Server, mit einem eigenen Schlüssel je Firma (libsodium, XSalsa20-Poly1305).
• Die Verbindung ist durchgehend per HTTPS verschlüsselt.
• Anmeldung mit Kennwort und zweitem Faktor (Code-App oder Passkey), Sperre nach wiederholten Fehlversuchen, automatische Abmeldung ohne Aktivität.
• Jede Firma ist von allen anderen getrennt; Zugriffe werden protokolliert.

6. Cookies und Speicher im Browser

FiF Box setzt nur technisch notwendige Cookies, deshalb gibt es kein Cookie-Banner (§ 25 Abs. 2 Nr. 2 TDDDG):

• fifbox – hält Sie angemeldet; endet mit der Abmeldung bzw. nach der eingestellten Zeit ohne Aktivität.
• fifbox_zeit – nur wenn Sie ein Handy für die Zeiterfassung verknüpfen; ein zufälliger Schlüssel, mit dem dieses Handy ohne Anmeldung stempeln darf. Höchstens 400 Tage, Trennen jederzeit auf der Stempelseite oder in der Box.
• fifbox_dev_u / fifbox_dev_o – nur wenn Sie „Diesem Gerät 30 Tage vertrauen“ wählen; erspart für 30 Tage den Bestätigungscode.

Die gewählte Helligkeit der Oberfläche speichert Ihr Browser lokal; sie wird nicht übertragen.

7. Wie lange werden Daten gespeichert?

• Dokumente, Meldungen, Kalender und Nachweise: bis die Firma sie löscht. Nach dem Austritt sperrt FiF Box den Zugang zum eingestellten Termin; nach Ablauf der gesetzlichen Aufbewahrungsfristen schlägt FiF Box der Firma das Löschen vor.
• Arbeitszeiten: mindestens zwei Jahre (§ 16 Abs. 2 ArbZG), danach bis die Firma sie löscht; mit den Unterlagen eines ausgeschiedenen Mitarbeiters werden auch seine Zeiten gelöscht.
• Protokoll: 24 Monate, danach automatisch gelöscht.
• Anfragen über die Anmeldeseite: erledigte nach 90 Tagen, offene spätestens nach 180 Tagen.
• Anmeldesitzungen höchstens 30 Tage, vertraute Geräte 30 Tage, Einladungslinks 72 Stunden, Links zum Zurücksetzen des Kennworts 60 Minuten.
• Endet der Vertrag zwischen Firma und FiF-IT, werden die Daten der Firma nach Rückgabe bzw. Export gelöscht.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Ihre Firma kann Ihnen alle Unterlagen aus FiF Box als ZIP-Datei zur Verfügung stellen.

Wenden Sie sich dafür an die Verwaltung Ihrer Firma. Erreicht uns eine solche Anfrage, leiten wir sie an Ihre Firma weiter und unterstützen sie bei der Beantwortung.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für FiF-IT zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Düsseldorf.

Für die Website www.fif-it.de gilt deren eigene Datenschutzerklärung. Stand dieser Erklärung: Oktober 2026 · FiF Box 0.9.1