fortyTimer MCP-Server (nur lesend)

Ein schlanker MCP-Server, der die Nur-Lese-API einer fortyTimer-Installation als Werkzeuge für MCP-Clients (Claude Desktop, Claude Code und andere) bereitstellt. Der Server enthält keine eigene Geschäftslogik – Autorisierung, Sichtbarkeitsbegrenzung und Datenminimierung werden ausschließlich von der fortyTimer-Installation durchgesetzt, mit der sich der Benutzer verbindet.

Voraussetzungen

1. Eine fortyTimer-Installation mit dem Lizenzmodul api_readonly („fortyTimer-API") in ihrer Lizenz.

2. Ein persönliches API-Token, erstellt in fortyTimer unter Profil → Sicherheit → API-Tokens. Das Token wird nur einmal angezeigt. Es erbt die Sichtbarkeit des Kontos seines Besitzers (Administrator: alle Benutzer, Vorgesetzter: eigene Genehmigergruppen, Mitarbeiter: nur selbst) und kann niemals etwas ändern (nur GET, read-Fähigkeit).

3. Node.js ≥ 18 (automatisch gebündelt, wenn als Claude-Desktop-Erweiterung installiert).

Installation (Claude-Desktop-Erweiterung)

Installieren Sie die gepackte Datei fortytimer-<version>.mcpb per Doppelklick oder über Claude Desktop → Einstellungen → Erweiterungen. Während der Installation werden Sie nach zwei Werten gefragt:

Das Token wird im Schlüsselbund des Betriebssystems gespeichert, nicht im Klartext.

Manuelle Konfiguration (beliebiger MCP-Client)

{
    "mcpServers": {
        "fortytimer": {
            "command": "node",
            "args": ["/path/to/fortytimer-mcp/dist/index.js"],
            "env": {
                "FORTYTIMER_URL": "https://42.fortytimer.de",
                "FORTYTIMER_TOKEN": "<token>"
            }
        }
    }
}

Erstellen aus dem Quellcode

npm install
npm run build

Packen als Claude-Desktop-Erweiterung:

npm prune --omit=dev
npx @anthropic-ai/mcpb pack . fortytimer-<version>.mcpb
npm install

Werkzeuge

Alle Werkzeuge sind schreibgeschützt (readOnlyHint). Datumsbereiche sind serverseitig auf 366 Tage begrenzt, Listen werden mit 50 Einträgen pro Seite paginiert (page-Parameter). Dauern werden als exakte Ganzzahl-Minuten plus formatierte Stunden:Minuten-Zeichenfolgen zurückgegeben. Freitextfelder von Krankmeldungen werden von der API aus Datenschutzgründen niemals zurückgegeben.

Testen ohne Client

npx @modelcontextprotocol/inspector node dist/index.js

(Setzen Sie die Umgebungsvariablen FORTYTIMER_URL / FORTYTIMER_TOKEN in der Inspector-Oberfläche unter „Umgebungsvariablen".)

Datenschutzerklärung

Vollständige Datenschutzerklärung: https://fortytimer.de/privacy-policy.md

Zusammenfassung:

• Dieser MCP-Server speichert keinerlei Daten. Er führt keine Datenbanken, Caches, Protokolldateien oder Analysen.

• Alle Daten fließen ausschließlich zwischen dem eigenen Computer des Benutzers und der fortyTimer-Installation, die der Benutzer konfiguriert hat – es ist kein Drittanbieter beteiligt und es werden keine Daten an den Autor der Erweiterung übertragen.

• Das API-Token wird vom Benutzer bereitgestellt, vom MCP-Client aufbewahrt (Claude Desktop speichert es im Schlüsselbund des Betriebssystems) und ausschließlich als Bearer-Header gegen die konfigurierte fortyTimer-URL verwendet.

• Welche personenbezogenen Daten sichtbar sind, entscheidet ausschließlich die verbundene fortyTimer-Installation: Das Token erbt die Sichtbarkeit des Kontos seines Inhabers, und fortyTimer unterdrückt besondere Kategorien von Daten (Freitexte von Krankmeldungen) in jeder API-Antwort.

• Die Datenaufbewahrung wird von der verbundenen fortyTimer-Installation bestimmt (ihr Betreiber ist der Verantwortliche); die Erweiterung speichert nichts.

• Kontakt: info@fortytwo-consulting.de / https://fortytimer.de

Sicherheit

• Das Token gehört in die lokale Client-Konfiguration des einzelnen Benutzers – niemals committen oder teilen.

• Token-Widerruf: fortyTimer → Profil → Sicherheit → API-Tokens → Löschen (sofort wirksam); Token-Erstellung und -Löschung werden im fortyTimer-Überwachungsprotokoll als Sicherheitsereignisse festgehalten.

• API-Ratenbegrenzung: 60 Anfragen pro Minute.

Lizenz

MIT – siehe LICENSE.