SICHERHEIT
Technische und organisatorische Maßnahmen
Anlage zum Auftragsverarbeitungsvertrag. Sicherheitsmaßnahmen nach Art. 32 DSGVO für PersoHR.
Diese Seite ist die Anlage zu den technischen und organisatorischen Maßnahmen („TOMs“), auf die Abschnitt 7 des Auftragsverarbeitungsvertrags unter /legal/dpa verweist. Die nachstehenden Maßnahmen sind die derzeit geltenden; sie können von Zeit zu Zeit aktualisiert werden, sofern eine Aktualisierung das Gesamtsicherheitsniveau nicht wesentlich verringert.
1. Hosting und Datenspeicherung in der EU
Die zentrale HR-Anwendung nutzt Infrastruktur von Hetzner für Datenbank und Dateispeicher. Dienstleister unterstützen außerdem KI-Funktionen, E-Mail, Sicherheits-SMS, Abrechnung und die Analyse öffentlicher Seiten. Die Liste unter /legal/sub-processors beschreibt die Rolle und die Verarbeitungsregelungen jedes Anbieters. Vom Kunden aktivierte Integrationen können Informationen an den vom Kunden gewählten Anbieter senden. Das EU-Hosting der Kerndaten ist nicht als Aussage zu verstehen, dass jeder zugehörige Dienst oder Empfänger ausschließlich innerhalb der EU verarbeitet.
2. Zugriffskontrolle und Authentifizierung
Die Authentifizierung der Kunden erfolgt über passwortlose E-Mail-Links. Magic-Link- und Refresh-Token werden als Hashwerte gespeichert; Magic Links sind nur einmal verwendbar und laufen ab. Für die Rollen Owner und HR-Admin ist eine TOTP-Zwei-Faktor-Authentifizierung erforderlich. Wiederherstellungsverfahren unterliegen gesonderten Sicherheitsprüfungen. Zugriffstoken sind zeitlich begrenzt, und Refresh-Token werden über HttpOnly-Cookies mit den Sicherheitsattributen für den Produktivbetrieb übermittelt. Die Rollen der Anwendung sind Owner, HR-Admin, Manager und Mitarbeitende; Prüfungen auf Dienstebene beschränken den Zugriff zusätzlich auf die jeweils relevanten Datensätze. Diese Kontrollen stellen keine Aussage über Hardware-Schlüssel oder betriebliche Zugriffsüberprüfungen auf der Produktivinfrastruktur dar.
3. Mandantentrennung
HR-Daten eines Unternehmens sind einem Mandanten zugeordnet, wobei der angemeldete Workspace von den Zugriffskontrollen auf Repository- und Dienstebene verwendet wird. Globale Nutzeridentitäten können mehr als einem Workspace angehören und werden getrennt von den HR-Mitgliedschaften eines Mandanten behandelt. Datensatzkennungen allein gewähren keinen Zugriff; die Autorisierung hängt vom angemeldeten Nutzer, dem Workspace, der Rolle und den anwendbaren Beziehungsprüfungen ab. Mandantenfilter sind ein Teil dieser Kontrollen und ersetzen nicht die Prüfung jedes Zugriffswegs.
4. Verschlüsselung
Die Anwendung verwendet AES-256-GCM für ausgewählte sensible Werte, darunter TOTP-Geheimnisse sowie unterstützte Bank-, Steuer- und Sozialversicherungskennungen für die Lohnabrechnung. Es handelt sich um einen Schutz auf Feldebene; das bedeutet nicht, dass jedes Gehalts-, Dokument- oder Gesundheitsfeld eine eigene Verschlüsselungsschicht auf Anwendungsebene hat. Der Datenverkehr zwischen der Anwendung und der Datenbank verbleibt auf demselben Server, und jede öffentliche Verbindung verwendet TLS. Sicherungen werden verschlüsselt gespeichert, während das Datenbank-Volume und der Dokumentenspeicher keine Verschlüsselung auf Speicherebene haben. Diese Anlage behauptet ohne entsprechenden betrieblichen Nachweis kein bestimmtes Speicher-Verschlüsselungsverfahren und keine bestimmte TLS-Version für jeden bereitgestellten Endpunkt.
5. Protokollierung, Überwachung und Audit
Audit-Einträge erfassen unterstützte Aktionen wie Änderungen, Exporte und Löschanfragen mit Angaben zu handelnder Person, Aktion, Datensatzbezug und Zeitpunkt. Sie unterliegen Zugriffskontrollen, einer planmäßigen Aufbewahrung und besonderen Regeln für rechtliche Aufbewahrungssperren. Dies ist kein Versprechen, jeden Lesezugriff zu protokollieren oder eine unveränderliche, unbegrenzte Historie aufzubewahren. Betriebs- und Sicherheitsprotokolle unterstützen Untersuchungen und den Betrieb des Dienstes; ihre Inhalte, der Zugriff darauf und ihre Aufbewahrung müssen auf den Zweck beschränkt sein. Nutzer- und Datensatzkennungen können selbst personenbezogene Daten sein.
6. Datensicherung und Notfallwiederherstellung
Angemessene Maßnahmen zur Verfügbarkeit und Wiederherstellung sind Teil der Pflichten des Auftragsverarbeiters nach Art. 32 DSGVO. Sicherungspläne, Aufbewahrung, Verschlüsselung und Wiederherstellungstests der Infrastruktur müssen für den bereitgestellten Dienst dokumentiert und gepflegt werden. Wenden Sie sich an uns, um die aktuellen betrieblichen Nachweise und gegebenenfalls vereinbarte Wiederherstellungsziele zu erhalten. Datenexporte aus der Anwendung ersetzen keine Sicherungen der Infrastruktur, und diese Anlage stellt keine unabhängig überprüfte Garantie für Wiederherstellungszeiten dar.
7. Reaktion auf Sicherheitsvorfälle
Verletzungen des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betreffen, werden dem Verantwortlichen nach Bekanntwerden unverzüglich gemeldet, wie im AVV beschrieben. Verfügbare Fakten, wahrscheinliche Folgen und Abhilfemaßnahmen werden mitgeteilt und im Verlauf der Untersuchung ergänzt. Die Frist des Verantwortlichen für die Meldung an die Aufsichtsbehörde ist von der Pflicht des Auftragsverarbeiters, den Verantwortlichen zu benachrichtigen, getrennt. Untersuchung und Korrekturmaßnahmen bei Vorfällen müssen die betroffenen Daten schützen und die erforderlichen Beweise sichern.
8. Schwachstellenmanagement und sichere Entwicklung
Die Repositorys enthalten automatisierte Tests und statische Qualitätsprüfungen, die helfen, Fehler zu erkennen. Erkannte Sicherheitsprobleme müssen entsprechend ihrem Risiko bewertet und behoben werden. Diese Entwicklungsprüfungen belegen nicht, dass jede Abhängigkeit bei jedem Build geprüft wird, dass externe Penetrationstests stattgefunden haben oder dass für jede Funktion ein abgeschlossenes Bedrohungsmodell vorliegt. Aktuelle Bewertungsnachweise können bei uns angefordert werden.
9. Löschung, Aufbewahrung und Datenübertragbarkeit
Der Dienst stellt Abläufe für den Export und die Löschung von Nutzer- und Mitarbeiterdaten bereit, dazu einen administrativen Export des Mandanten. Ihr Umfang und ihre Berechtigungen unterscheiden sich. Löschroutinen löschen oder anonymisieren unterstützte Datensätze. Sie bieten keinen allgemeinen, vom Arbeitgeber gesteuerten Ablauf für rechtliche Aufbewahrungssperren. Der Kunde muss die rechtmäßige Reaktion auf einen individuellen Antrag bewerten. Die Löschung eines Unternehmens-Workspace ist von der Beendigung der Abonnementverlängerung getrennt und unterliegt nach dem In-App-Antrag einer 30-tägigen Frist, in der sie abgebrochen werden kann. Die Löschung eines persönlichen Kontos erfolgt sofort und löst zudem die Löschung der zugehörigen Workspace-Mitgliedschaften ohne gesonderten Genehmigungsschritt des Arbeitgebers aus. Für aufbewahrte, gesperrte Arbeitszeitaufzeichnungen gibt es derzeit keinen eigenen Abrufablauf. Der AVV regelt die Rückgabe oder Löschung bei Beendigung der Verarbeitung, einschließlich geschützter Sicherungskopien und erforderlicher aufbewahrter Datensätze.
10. Sorgfaltsprüfung von Unterauftragsverarbeitern
Die Anbieterliste unter /legal/sub-processors beschreibt Rollen, Standorte, Datenkategorien und Verträge mit den Anbietern. Der Auftragsverarbeiter muss Unterauftragsverarbeiter auf Grundlage schriftlicher Bedingungen beauftragen, die Art. 28 DSGVO entsprechen, bleibt für die erforderlichen Schutzmaßnahmen verantwortlich und muss das im AVV festgelegte Verfahren zu Genehmigung, Vorabmitteilung und Einspruch einhalten.
11. Personal
Personal, das zur Verarbeitung personenbezogener Daten der Kunden befugt ist, muss zur Vertraulichkeit verpflichtet sein und Zugriff entsprechend seinen Aufgaben erhalten. Zugriffsverwaltung, Sicherheitsbewusstsein und Verfahren zum Umgang mit Daten sind Teil der organisatorischen Schutzmaßnahmen des Auftragsverarbeiters. Die Pflicht zum Schutz aufbewahrter personenbezogener Daten besteht nach dem Ende eines Auftrags oder Abonnements fort.