Allgemeine Geschäftsbedingungen — Timera

Digitale Zeiterfassungslösung (Software-as-a-Service)

Flowdas — Mawaldi, Abdulrahman und Mhjazi, Moaz und Saranek, Eyad GbR
Nora-Platiel-Straße 10 , 110, 34127 Kassel
Stand: Juni 2026

§ 1 Geltungsbereich

(1) Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB") gelten für alle Verträge zwischen der Mawaldi, Abdulrahman und Mhjazi, Moaz und Saranek, Eyad GbR (Geschäftsbezeichnung: Flowdas, nachfolgend „Anbieter") und dem Kunden (nachfolgend „Auftraggeber") über die Bereitstellung und Nutzung der Timera-Anwendung als Software-as-a-Service (SaaS).

(2) Die Timera-Anwendung umfasst eine Weboberfläche, eine mobile Anwendung (iOS/Android) sowie optional ein physisches NFC-Stempelterminal (Hardware) zur elektronischen Arbeitszeiterfassung.

(3) Diese AGB richten sich ausschließlich an Unternehmer im Sinne des § 14 BGB. Die Nutzung durch Verbraucher im Sinne des § 13 BGB ist ausgeschlossen.

(4) Abweichende Geschäftsbedingungen des Auftraggebers werden nicht Vertragsbestandteil, es sei denn, der Anbieter stimmt ausdrücklich schriftlich zu.

§ 2 Vertragsgegenstand

(1) Der Anbieter stellt dem Auftraggeber die Timera-Anwendung als webbasierte SaaS-Lösung zur elektronischen Arbeitszeiterfassung bereit. Der Leistungsumfang ergibt sich aus der jeweiligen Leistungsbeschreibung und dem gewählten Tarifmodell.

(2) Der Leistungsumfang umfasst insbesondere:

• Bereitstellung der Weboberfläche und mobilen Anwendung über das Internet
• Elektronische Erfassung, Verwaltung und Auswertung von Arbeitszeiten
• Benutzerverwaltung mit rollenbasierter Zugriffskontrolle (Mitarbeiter, Administrator)
• Verwaltung von Abwesenheitsanträgen (Urlaub, Krankmeldung, Korrekturen)
• Export von Arbeitszeitberichten (Excel, PDF)
• Schichtplanverwaltung und Verfügbarkeitsplanung
• Projektzeiterfassung mit Projektstatistiken und Export
• Internes Benachrichtigungssystem
• GoBD-konforme automatische Monatsarchivierung (PDF + SHA-256-Hash)
• DSGVO-konforme Datenverarbeitung inkl. automatisierter Löschroutinen
• Technischer Support per E-Mail

(3) Optionale Zusatzleistungen (gesondert zu vereinbaren):

• Physisches NFC-Stempelterminal (Hardware-Kauf, einmalig)
• NFC-Chipkarten für kontaktlose Zeiterfassung
• Digitale Zeiterfassung (automatische Erfassung aktiver Bildschirmzeiten für Homeoffice)

(4) Der Anbieter schuldet die Bereitstellung der Anwendung, nicht jedoch einen bestimmten wirtschaftlichen Erfolg.

§ 3 Vertragsschluss und Laufzeit

(1) Der Vertrag kommt durch schriftliche Auftragsbestätigung des Anbieters oder durch Einrichtung des Kundenkontos nach Bestätigung der AGB-Checkbox im Checkout-Prozess zustande. Die Einbeziehung dieser AGB erfolgt gemäß § 305 Abs. 2 BGB durch ausdrückliche Kenntnisnahme und Bestätigung vor Vertragsschluss.

(2) Der Vertrag wird auf unbestimmte Zeit geschlossen, sofern nicht ausdrücklich eine feste Laufzeit vereinbart ist.

(3) Ordentliche Kündigung: Ein Monat zum Ende eines Kalendermonats. Die Kündigung bedarf der Textform (E-Mail genügt).

(4) Kostenfreier Testzeitraum (Trial): Nach Vertragsschluss und E-Mail-Verifikation erhält der Auftraggeber einen kostenlosen Testzeitraum von 30 Kalendertagen (nachfolgend „Trial"). Während des Trials steht der volle Funktionsumfang des gewählten Tarifmodells zur Verfügung. Der Trial beginnt mit der Aktivierung des Kundenkontos durch E-Mail-Bestätigung. Nach Ablauf des Trials ohne Abschluss eines kostenpflichtigen Abonnements wird der Zugang automatisch gesperrt; die Daten werden nach einer Karenzfrist von 30 Tagen gelöscht. Ein erneuter kostenfreier Trial ist für dieselbe E-Mail-Adresse und/oder Firmen-ID nicht möglich. Der Anbieter behält sich vor, den Trial-Zeitraum nach Ankündigung anzupassen.

(5) Außerordentliche Kündigung aus wichtigem Grund bleibt unberührt, insbesondere bei:

• Zahlungsverzug trotz Mahnung und angemessener Nachfrist
• Wiederholter oder schwerwiegender Verletzung wesentlicher Vertragspflichten
• Insolvenzantrag oder -eröffnung über das Vermögen des Auftraggebers

§ 4 Einrichtung und Zugang

(1) Nach Vertragsschluss richtet der Anbieter ein mandantenspezifisches Kundenkonto (Tenant) mit eigener, technisch isolierter Datenbankumgebung ein.

(2) Der Auftraggeber benennt mindestens eine Person als Administrator, berechtigt zur Verwaltung von Benutzerkonten.

(3) Die Ersteinrichtung umfasst:

• Anlage des Mandanten-Schemas in der Datenbank
• Einrichtung eines Administrator-Kontos mit sicherem Initialpasswort
• Konfiguration der Unternehmenseinstellungen

(4) Initialpasswörter müssen beim ersten Login geändert werden. Passwörter werden ausschließlich als bcrypt-Hash (Kostenfaktor 10) gespeichert — Klartext-Passwörter sind für niemanden einsehbar.

§ 5 Verfügbarkeit und Wartung

(1) Zielverfügbarkeit: 99,9 % im Jahresmittel, gemessen über den `/health`-Endpunkt.

(2) Ausgenommen von der Verfügbarkeitsmessung sind:

• Angekündigte Wartungsfenster (mindestens 48 Stunden Vorlauf per E-Mail)
• Höhere Gewalt, Netzwerkausfälle beim Auftraggeber, Störungen bei Drittanbietern
• Störungen durch vertragswidrige Nutzung seitens des Auftraggebers

(3) Wartungen werden nach Möglichkeit außerhalb der regulären Geschäftszeiten (Mo–Fr, 08:00–18:00 Uhr MEZ) durchgeführt.

(4) Automatisierte Health-Checks überwachen Datenbank und API kontinuierlich.

§ 6 Pflichten des Auftraggebers

(1) Der Auftraggeber ist verpflichtet:

• Ordnungsgemäße Nutzung durch seine Beschäftigten sicherzustellen
• Zugangsdaten vertraulich zu behandeln und Sicherheitsvorfälle unverzüglich zu melden
• DSGVO und BDSG einzuhalten
• Beschäftigten Nutzungsbedingungen und Datenschutzerklärung zugänglich zu machen
• Zugang nur für berechtigte Personen einzurichten und nicht mehr benötigte Konten zu deaktivieren

(2) Der Auftraggeber informiert Beschäftigte vor der Erstnutzung über die Datenverarbeitung (Art. 13 DSGVO).

(3) Der Auftraggeber ist datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Flowdas handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO (siehe Auftragsverarbeitungsvertrag, Anlage 1).

§ 7 Entgelt und Zahlungsbedingungen

(1) Das Entgelt richtet sich nach dem bei Vertragsschluss vereinbarten Tarifmodell.

(2) Alle Preise verstehen sich in Euro, netto, zuzüglich der gesetzlichen Umsatzsteuer.

(3) Abonnement-Gebühren werden monatlich im Voraus fällig. Die Zahlung erfolgt über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Dublin, Irland). Durch den Abschluss eines Abonnements stimmt der Auftraggeber der Übermittlung der für die Zahlungsabwicklung erforderlichen Daten (Unternehmensname, E-Mail-Adresse des Administrators) an Stripe zu. Stripe verarbeitet Zahlungskarteninformationen nach PCI-DSS-Standard; Flowdas erhält zu keinem Zeitpunkt vollständige Kartendaten.

(4) Hardware (NFC-Terminal, NFC-Karten) wird einmalig bei Lieferung berechnet.

(5) Preisanpassungen: Der Anbieter ist berechtigt, die Preise mit einer Ankündigungsfrist von 6 Wochen anzupassen. Preisanpassungen sind auf maximal 10 % je Anpassung begrenzt und können maximal einmal pro Kalenderjahr erfolgen. Bei einer Preiserhöhung hat der Auftraggeber das Recht zur außerordentlichen Kündigung zum Zeitpunkt des Inkrafttretens der Preiserhöhung.

(6) Verzugszinsen: Bei Zahlungsverzug werden Zinsen in Höhe von 9 Prozentpunkten über dem jeweiligen Basiszinssatz gemäß § 288 Abs. 2 BGB berechnet.

§ 8 Nutzerkontingent (Quota)

(1) Der Auftraggeber erwirbt ein Kontingent aktiver Benutzerkonten (max_users) gemäß dem gewählten Tarifmodell.

(2) Die aktuelle Auslastung ist im Admin-Dashboard unter „Kontingent" jederzeit einsehbar.

(3) Bei Überschreitung des Kontingents wird die Anlage neuer Benutzerkonten automatisch verhindert.

(4) Deaktivierte oder anonymisierte Konten werden nicht auf das Kontingent angerechnet.

§ 9 Datenschutz und Auftragsverarbeitung

(1) Flowdas verarbeitet personenbezogene Daten der Beschäftigten des Auftraggebers ausschließlich im Auftrag und nach Weisung des Auftraggebers (Art. 28 DSGVO). Der Auftraggeber ist datenschutzrechtlich Verantwortlicher.

(2) Vor Beginn der Verarbeitung schließen die Parteien den Auftragsverarbeitungsvertrag (AVV, Anlage 1 zu diesen AGB) ab, der Bestandteil dieses Vertrages ist.

(3) Technisch-organisatorische Maßnahmen (TOM-Auszug):

¹ Die JWT-Sitzungsdauer beträgt 30 Tage. Logout invalidiert den Token sofort. Eine Anpassung ist im Zuge technischer Aktualisierungen möglich und wird in der Datenschutzerklärung zeitgleich kommuniziert.

(4) Hosting ausschließlich in Deutschland (Hetzner Online GmbH, Nürnberg, Deutschland). Aktuelle Sicherheitszertifizierungen von Hetzner sind unter https://www.hetzner.com/de/unternehmen/zertifizierungen abrufbar.

§ 9a Datenpannen und Sicherheitsvorfälle

(1) Bei Feststellung einer Verletzung des Schutzes personenbezogener Daten (Datenpanne im Sinne von Art. 4 Nr. 12 DSGVO) benachrichtigt der Anbieter den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden.

(2) Die Benachrichtigung enthält mindestens:

• Art der Datenpanne und betroffene Datenkategorien
• Ungefähre Anzahl betroffener Personen
• Wahrscheinliche Folgen der Datenpanne
• Ergriffene oder geplante Abhilfemaßnahmen

(3) Diese Frist gewährleistet, dass dem Auftraggeber ausreichend Zeit verbleibt, seine eigene Meldepflicht gegenüber der Aufsichtsbehörde innerhalb der gesetzlichen 72-Stunden-Frist (Art. 33 DSGVO) zu erfüllen.

(4) Der Anbieter unterstützt den Auftraggeber auf Anfrage bei der Erstellung der Meldung an die Aufsichtsbehörde sowie bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO).

§ 10 Geistiges Eigentum

(1) Alle Rechte an Timera — Quellcode, Design, Marken, Dokumentation — verbleiben beim Anbieter.

(2) Dem Auftraggeber wird ein einfaches, nicht übertragbares, nicht unterlizenzierbares Nutzungsrecht für die Dauer des Vertragsverhältnisses eingeräumt.

(3) Reverse Engineering ist nur im Rahmen des § 69e UrhG zulässig.

(4) Die vom Auftraggeber eingegebenen Daten (Mitarbeiterdaten, Zeitbuchungen) verbleiben im Eigentum des Auftraggebers.

§ 11 Haftung

(1) Unbeschränkte Haftung des Anbieters für Schäden an Leben, Körper und Gesundheit.

(2) Unbeschränkte Haftung bei Vorsatz und grober Fahrlässigkeit.

(3) Bei leicht fahrlässiger Verletzung von Kardinalpflichten (wesentliche Vertragspflichten, deren Verletzung die Erreichung des Vertragszwecks gefährdet): Begrenzung auf den vertragstypischen, vorhersehbaren Schaden.

(4) Im Übrigen ist die Haftung ausgeschlossen. Die Gesamthaftung des Anbieters für einen Schadensfall ist auf die vom Auftraggeber im letzten Vertragsjahr vor dem schadensbegründenden Ereignis geleisteten Vergütungen (netto) begrenzt.

(5) Keine Haftung des Anbieters für falsche Zeitbuchungen durch Nutzer, arbeitsrechtliche Verstöße des Auftraggebers oder Datenverluste infolge mangelnder Mitwirkung des Auftraggebers.

(6) Das Produkthaftungsgesetz bleibt unberührt.

§ 12 Stempelterminal (Hardware)

(1) Das NFC-Stempelterminal ist CE- und WEEE-zertifiziert und darf nur zur Zeiterfassung in Innenräumen verwendet werden.

(2) Gewährleistung: 12 Monate ab Lieferung gemäß gesetzlichen Vorschriften.

(3) Von der Gewährleistung ausgenommen sind Schäden durch unsachgemäße Handhabung, Manipulation oder äußere Einwirkung.

(4) Kommunikation ausschließlich über HTTPS (TLS 1.2/1.3). Keine lokale Datenspeicherung am Terminal.

(5) Das Device Secret ist vertraulich zu behandeln und nicht an Dritte weiterzugeben.

§ 13 Vertragsbeendigung und Datenherausgabe

(1) Der Auftraggeber kann jederzeit einen Datenexport (Arbeitszeitdaten im JSON-Format) über den Admin-Bereich anfordern.

(2) Nach Vertragsende löscht der Anbieter alle mandantenspezifischen Daten innerhalb von 30 Kalendertagen, soweit nicht gesetzliche Aufbewahrungsfristen entgegenstehen:

• § 257 HGB: bis zu 10 Jahre für buchführungsrelevante Unterlagen
• § 16 Abs. 2 ArbZG: mindestens 2 Jahre für Arbeitszeitnachweise

Daten, die gesetzlichen Aufbewahrungsfristen unterliegen, werden nach Ablauf der jeweiligen Frist gelöscht.

(3) Die Löschung umfasst:

• Kaskadierender Schema-Drop (alle Buchungen, Anträge, Protokolle, Konten)
• NFC-Kartenzuordnungen
• GoBD-Archivdateien (nach Ablauf der 10-Jahres-Frist)
• Kundendatensatz

(4) Auf Anforderung stellt der Anbieter eine schriftliche Löschbestätigung aus.

§ 14 Vertraulichkeit

(1) Beide Parteien verpflichten sich zur gegenseitigen Geheimhaltung aller vertraulichen Informationen, die im Rahmen des Vertragsverhältnisses bekannt werden.

(2) Als vertraulich gelten insbesondere: Geschäftsgeheimnisse, technische Informationen, Kundendaten und Preiskonditionen.

(3) Ausnahmen: öffentlich bekannte Informationen, bereits bekannte Informationen, gesetzlich zur Offenlegung verpflichtende Informationen.

(4) Die Geheimhaltungspflicht besteht 3 Jahre über das Vertragsende hinaus.

§ 15 Änderungen der AGB

(1) Der Anbieter ist berechtigt, diese AGB mit einer Ankündigungsfrist von 6 Wochen zu ändern, soweit die Änderungen für den Auftraggeber zumutbar sind.

(2) Änderungen werden dem Auftraggeber durch eine E-Mail-Mitteilung an die bei Vertragsschluss angegebene Kontaktadresse (Admin-E-Mail) bekannt gegeben. Die Mitteilung enthält ausdrücklich folgenden Hinweis:

> „Wenn Sie den Änderungen nicht innerhalb von 4 Wochen nach Zugang dieser Mitteilung in Textform widersprechen, gilt Ihr Schweigen als Zustimmung zu den geänderten AGB. Auf diese Folge des Schweigens werden Sie gesondert hingewiesen."

(3) Bei fristgerechtem Widerspruch gelten die bisherigen AGB fort. In diesem Fall ist der Auftraggeber berechtigt, den Vertrag mit einer Frist von einem Monat außerordentlich zu kündigen.

§ 16 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland. Das UN-Kaufrecht (CISG) ist ausgeschlossen.

(2) Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist Kassel, soweit der Auftraggeber Kaufmann ist oder keinen allgemeinen Gerichtsstand in Deutschland hat.

(3) Die Europäische Kommission stellt eine Plattform zur Online-Streitbeilegung bereit: https://ec.europa.eu/consumers/odr. Flowdas ist zur Teilnahme weder verpflichtet noch bereit (B2B-Vertrag).

(4) Sollten einzelne Bestimmungen dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt (salvatorische Klausel).

(5) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform.

Anlage 1: Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO — siehe separates Dokument `06_avv-timera.md`

Flowdas — Mawaldi, Abdulrahman und Mhjazi, Moaz und Saranek, Eyad GbR | Nora-Platiel-Straße 10 , 110, 34127 Kassel | support@flowdas.de | Stand: Juni 2026