Sicherheit und Datenschutz
Hier steht, was wir tun und was noch nicht fertig ist. Wo etwas offen ist, sagen wir es.
Wo die Daten liegen
Die Cloud läuft bei Hetzner in Deutschland. Auftragsverarbeitung nach Art. 28 DSGVO schließt ihr bei der Registrierung ab (AVV).
Belegerkennung: bitte genau lesen
Gespeichert wird in der EU. Die optionale Belegerkennung läuft über Anthropic (USA). Sie ist standardmäßig aus und nur aktiv, wenn ihr sie einschaltet. Gesendet werden nur das Belegbild und ein fester Prompt, keine Namen, Personalnummern oder Firmendaten. Krankmeldungen gehen nie in diese Pipeline. Die rechtliche Grundlage für die Übermittlung in die USA ist noch zu klären; wir sagen deshalb nicht „alle Daten bleiben in der EU“.
Push-Nachrichten
Push läuft über Apple und Google und enthält keine Inhalte, nur ein Signal mit verschlüsselter Kennung.
Pentest
Ein unabhängiger Penetrationstest ist geplant und noch nicht durchgeführt. Bis dahin gelten die Maßnahmen oben, aber keine externe Bestätigung.
Sicherheitsmaßnahmen mit Stand
| Thema | Was das heißt | Stand |
|---|---|---|
| Mandantentrennung | Jede Fachtabelle trägt eine Mandanten-Kennung und Row-Level-Security in der Datenbank. Jede Abfrage läuft mit Mandanten-Kontext, die Service-Rolle nur serverseitig. | Umgesetzt |
| Sensible Felder | IBAN, SV-Nummer, Steuer-ID, Gehalt und Zugangsdaten für Verbindungen liegen nur verschlüsselt. Jede Einsicht wird protokolliert. | Umgesetzt |
| Anmeldung | Keine eigenen Passwörter, wo SSO oder Passkey möglich ist. Zweiter Faktor (MFA) ist für privilegierte Rollen Pflicht. Sitzungen und Geräte sind widerrufbar. | Umgesetzt |
| Unveränderliche Buchungen und Audit-Log | Buchungen, Audit-Log und Übergaben werden nur angehängt, Korrekturen sind neue Einträge. Das Audit-Log ist verkettet, damit Änderungen auffallen. | Umgesetzt |
| Löschen trotz Unveränderlichkeit | Personenbezogene Inhalte sind mit einem Schlüssel pro Person verschlüsselt. Nach Ablauf der Aufbewahrungsfrist wird der Schlüssel vernichtet. Der Lösch-Job mit Vorschau und Protokoll ist noch in Arbeit. | In Arbeit |
| Keine Personendaten in Logs | Anwendungslogs enthalten nur Kennungen. Rohe Ausweis-Nummern werden nie gespeichert, nur ein Hash. | Umgesetzt |
| Backups und Wiederherstellung | Backups mit Wiederherstellung auf einen Zeitpunkt und ein monatlicher automatischer Test der Wiederherstellung sind für den Produktionsbetrieb vorgesehen und noch in Arbeit. | In Arbeit |
| Datenpannen | Meldung an Kunden unverzüglich, damit sie ihre Fristen einhalten können (Art. 33 DSGVO: 72 Stunden). Der Workflow im Produkt ist geplant. | Geplant |
| Unabhängiger Penetrationstest | Geplant, noch nicht durchgeführt. | Geplant |
Offener Code
Der Kern ist Open Source (AGPL-3.0). Ihr könnt den Code lesen und prüfen.
Verträge und Texte
AVV, Datenschutzerklärung und Nutzungsbedingungen findet ihr unter Rechtliches. Sie sind Entwürfe, solange der Hinweis dort steht.
Zu den Rechtstexten