Fast jede Software nennt sich DSGVO-konform. Der Begriff ist vom vielen Gebrauch glatt geschliffen und sagt einem Betriebsrat oder einem Security-Team selten etwas, das sie prüfen können. Wir zeigen lieber, wie wir arbeiten. Genau das bedeutet DSGVO-first bei Office by Elevera, geschrieben so, dass ein Mensch ohne Technikhintergrund jedem Schritt folgen kann und ein skeptischer Entwickler trotzdem zustimmend nickt.
Die Kurzfassung: Compliance ist kein Siegel, das Sie kaufen, sondern eine Reihe von Entscheidungen, die in der Architektur stecken. Ein Zertifikat an der Wand sagt Ihnen, dass ein Anbieter an einem Tag ein Audit bestanden hat. Wie Daten gespeichert, getrennt und protokolliert werden, sagt Ihnen, was an jedem Tag danach tatsächlich passiert. Wir haben für das Zweite gebaut.
Die Trennung, die alles erklärt: Verantwortlicher und Auftragsverarbeiter
Die DSGVO zieht eine Linie zwischen zwei Rollen, und fast jede Frage nach Verantwortung klärt sich, sobald Sie wissen, auf welcher Seite Sie stehen. Der Verantwortliche entscheidet, warum und wie personenbezogene Daten verarbeitet werden. Der Auftragsverarbeiter verarbeitet diese Daten nach Weisung des Verantwortlichen und sonst nichts.
Wenn Sie Office nutzen, sind Sie der Verantwortliche für die Daten Ihrer Mitarbeitenden. Es sind Ihre Leute, Ihre Zwecke, Ihre Aufbewahrungsregeln. Office ist für diese Daten der Auftragsverarbeiter: Wir speichern und bewegen diese Daten, damit das Produkt funktioniert, streng nach Ihrer Anweisung, und wir nutzen sie nicht für andere Zwecke. Diese Unterscheidung ist keine Fußnote. Sie entscheidet, wer einen Betroffenenantrag beantwortet, wer den Auftragsverarbeitungsvertrag unterschreibt und wer haftet, wenn etwas schiefgeht. Wir stellen das nach vorn, damit es nie einen Zweifel gibt.
Compliance ist kein Siegel, das Sie kaufen. Sie ist eine Reihe von Entscheidungen, die in der Architektur stecken, und Architektur ist der Teil, den ein Prüfer tatsächlich nachvollziehen kann.
Wo die Daten liegen und wo nicht
Datenbank und Dateispeicher von Office laufen in der EU (Stockholm). EU-Datenresidenz ist für uns keine Marketingzeile, sondern eine harte Vorgabe, wo die Kerndatensätze gespeichert werden. Für einen deutschen oder kroatischen Arbeitgeber zählt das aus mehr als Prinzip: Es hält die Rechtsgrundlage der Verarbeitung einfach und hält Ihnen die meisten Fragen zur Drittlandübermittlung vom Hals, für die Daten, die im Kernprodukt leben.
Wir halten die Liste der Unternehmen, die in unserem Auftrag Daten verarbeiten, also die Subauftragsverarbeiter, aktuell und öffentlich, damit Sie genau sehen, wer in der Kette steht, bevor Sie irgendetwas unterschreiben. Die laufende Liste finden Sie auf unserer Seite Subprozessoren und das Gesamtbild unter Sicherheit.
Trennung erzwungen in der Datenbank, nicht nur in der App
Das ist der Teil, der uns am wichtigsten ist, weil ihn die meisten Produkte falsch machen. In einem typischen mandantenfähigen System liegen die Daten jeder Organisation in geteilten Tabellen, und man vertraut darauf, dass der Anwendungscode bei jeder Abfrage den richtigen Filter setzt. Eine vergessene Bedingung, ein cleverer Bug, und ein Kunde sieht die Datensätze eines anderen. Die Mauer existiert nur im Code, und im Code wohnen die Fehler.
Office erzwingt Mandantentrennung pro Organisation in der Datenbank selbst. Jede Zeile personenbezogener Daten trägt die Organisation, zu der sie gehört, und die Datenbank weigert sich, angemeldeten Personen Zeilen einer anderen Organisation zurückzugeben, egal was die Anwendung verlangt. Die Trennung ist eine Eigenschaft der Daten, keine Gewohnheit der Entwickler. Wenn eine Abfrage ihren Filter vergisst, gibt sie nichts zurück statt fremder Gehaltsabrechnungen.
Warum das ein Siegel schlägt: Ein Zertifikat sagt, dass ein Prozess befolgt wurde. Trennung in der Datenbank sagt, dass die falsche Antwort an der Quelle blockiert wird. Das eine ist ein Versprechen, das andere eine Kontrolle, auf die Sie einen Prüfer zeigen können.
Least-Privilege-Rollen: Jeder sieht nur, was die Aufgabe braucht
Trennung hält Organisationen auseinander. Rollen halten Menschen innerhalb einer Organisation ehrlich. Office nutzt Least-Privilege-Rollen, eine schlichte Idee mit präziser Bedeutung: Niemand bekommt Zugriff standardmäßig, Zugriff wird aus einem Grund gewährt, und der Grund hängt an einer Aufgabe.
- Eine HR-Administration verwaltet Personalakten und Dokumente, weil das die Rolle ist.
- Eine Führungskraft sieht Abwesenheiten und Reviews der direkt unterstellten Personen, nicht die Gehälter des ganzen Unternehmens.
- Mitarbeitende sehen über Self-Service ihr eigenes Profil, ihre Gehaltsabrechnungen und Anträge, und nichts, was Kolleginnen oder Kollegen gehört.
- Ein externer Steuerberater erhält ein token-begrenztes, nur lesendes Fenster auf genau die Lohndaten, die er braucht, und keinen Login in Ihr HR-System.
Bei dem letzten Punkt lohnt sich das Verweilen. Lohndaten mit einem Steuerberater zu teilen heißt sonst, eine Tabelle zu mailen oder ein Passwort herauszugeben, beides verrät mehr als gewollt. Eine token-begrenzte, nur lesende Freigabe gibt ihm genau den Ausschnitt, den er braucht, keinen Schreibzugriff, und sie lässt sich in dem Moment widerrufen, in dem das Mandat endet.
Der Audit-Trail: append-only und mit Absicht langweilig
Sensible Handlungen in Office werden in einen append-only Audit-Trail geschrieben. Append-only heißt, Einträge werden hinzugefügt und von Nutzern oder Administratoren in der Anwendung nie bearbeitet. Das Protokoll hält fest, wer was an welchem Datensatz wann getan hat.
Das ist das unglamouröse Rückgrat der Nachvollziehbarkeit. Wenn der Betriebsrat fragt, wer ein medizinisches Dokument heruntergeladen oder eine Gehaltsabrechnung geöffnet hat, steht die Antwort im Protokoll. Wenn ein Prüfer Belege will, was hochgeladen oder entfernt wurde, steht es im Protokoll. Wenn Sie selbst eine Änderung verstehen wollen, rekonstruieren Sie sie nicht aus dem Gedächtnis, Sie lesen sie. Ein Trail, den jeder bearbeiten kann, beweist nichts. Einer, den Nutzer nicht bearbeiten können, ist der Unterschied zwischen Vertrauen und einer Erzählung.
Betroffenenrechte, behandelt wie Routinearbeit
Die DSGVO gibt den Menschen, deren Daten Sie halten, eine Reihe von Rechten: zu erfahren, was Sie über sie speichern, eine Kopie zu bekommen, es zu berichtigen, es löschen zu lassen, wenn es keinen rechtmäßigen Grund mehr für die Aufbewahrung gibt, und die Nutzung einschränken zu lassen. Als Verantwortlicher kommen diese Anträge zu Ihnen. Die Aufgabe von Office als Auftragsverarbeiter ist es, ihre Beantwortung zur Routine statt zum Feueralarm zu machen.
Weil die Daten ein Zuhause und einen klaren Eigentümer haben, beginnt ein Auskunftsantrag mit einem Nachschlagen, nicht mit einem archäologischen Projekt. Self-Service gibt Mitarbeitenden bereits ihr eigenes Profil, ihre Gehaltsabrechnungen und Dokumente, was einen guten Teil der Auskunftsanträge still erledigt, bevor sie überhaupt gestellt werden. Berichtigung ist eine Bearbeitung. Löschung folgt den Aufbewahrungsregeln, die für Sie gelten, sodass Sie löschen, was Sie dürfen, und behalten, was das Gesetz Sie zu behalten verpflichtet.
Warum Architektur ein Siegel schlägt
Eine Zertifizierung ist eine Momentaufnahme. Sie sagt, dass am Tag der Prüfung die Kontrollen richtig aussahen. Sie folgt Ihren Daten nicht nach Hause und wacht nicht über sie an einem Dienstag im März, wenn jemand eine ungewöhnliche Abfrage startet. Architektur tut das. Trennung in der Datenbank, Least-Privilege-Rollen und ein append-only Audit-Trail sind nichts, das wir zu tun versprechen, sie sind Eigenschaften davon, wie das System gebaut ist, und arbeiten gleich, ob jemand zuschaut oder nicht.
Das ist die ganze Philosophie: eine einzige Quelle der Wahrheit, geringster Zugriff und ein Protokoll, das Nutzer nicht still ändern können. Es ist derselbe ruhige, aufgeräumte Ansatz, den wir im Rest des Produkts verfolgen, angewandt auf den Teil mit dem höchsten Einsatz. Wollen Sie das technische Detail, geht die Seite Sicherheit tiefer, und die Integration mit Fleet by Elevera ist auf einer eigenen Seite beschrieben. Fragen Sie lieber direkt, sind wir leicht zu erreichen.
Probieren Sie es 14 Tage mit Ihrem eigenen Team aus.
Office bringt HR, Lohnvorbereitung und Compliance an einen Ort. Bei der Anmeldung wird eine Karte hinterlegt. Vor Ende der Testphase wird nichts abgebucht. Die 14-tägige Testphase gilt für neue Office-Kunden.
