DSGVO ist kein Feature. Es ist unser Fundament.

Datenspeicherort

Daten der HR-Anwendung werden in den Hetzner-Cloud-Rechenzentren in Falkenstein und Nürnberg (Deutschland) gespeichert und ausschließlich innerhalb der Europäischen Union verarbeitet. Die einzige regelmäßige Drittlandsübermittlung erfolgt an Stripe Inc. (USA) zur Abrechnung der Abonnements unter den Standardvertragsklauseln der Europäischen Kommission; Stripe sieht nur Abrechnungsdaten (Name der Kontoinhaberin/des Kontoinhabers, E-Mail-Adresse, Rechnungsanschrift, USt-Identifikationsnummer, Zahlungs-Token) und niemals HR-Mitarbeiterdaten. Die vollständige Unterauftragsverarbeiterliste mit Rolle, Standort, Übermittlungsmechanismus und Auftragsverarbeitungsvertrag jedes Anbieters ist unter /legal/sub-processors veröffentlicht.

Verschlüsselung

Alle Daten bei der Übertragung sind mit TLS 1.3 verschlüsselt. Sensible Mitarbeiterdaten (Gehälter, Gesundheitsinformationen, persönliche Identifikatoren) werden im Ruhezustand mit AES-256 verschlüsselt. Datenbank-Backups sind verschlüsselt.

Zugriffskontrolle

Rollenbasierte Zugriffskontrolle mit vier Ebenen: Inhaber, HR-Admin, Manager, Mitarbeiter. Strikte Mandantentrennung verhindert mandantenübergreifende Datenlecks. Jeder Datenzugriff wird protokolliert.

KI-Verarbeitung

Unsere KI-Funktionen werden von Mistral AI betrieben, einem französischen Unternehmen mit EU-basierter Inferenz. Es werden keine Mitarbeiterdaten an OpenAI, Google oder andere US-basierte KI-Anbieter übermittelt. Mitarbeitende können die KI-Verarbeitung vollständig deaktivieren.

Audit-Protokollierung

Jeder Datenzugriff, jede Änderung und jede Löschung wird protokolliert. Die Aufbewahrungsfristen variieren je nach Tarif: 30 Tage (Free), 1 Jahr (Starter), 2 Jahre (Growth), unbegrenzt (Business).