Technische und organisatorische Maßnahmen

1. Betriebs­umgebung

• Talentakte läuft in einem eigenen Container (Docker) auf einem virtuellen Server (VPS) des Hosters Hostinger in einem Rechenzentrum in Deutschland (Frankfurt am Main).
• Auf demselben Server laufen weitere Dienste von HRzlich, jeweils in getrennten Containern.
• Für jeden Kunden gibt es eine eigene Datenbankdatei (SQLite) und einen eigenen Dateiordner.

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Zutritts­kontrolle

• Die Server-Hardware steht im Rechenzentrum des Hosters. Zutrittskontrolle und physische Sicherung liegen beim Hoster und sind in dessen Auftragsverarbeitungsvertrag geregelt.
• HRzlich betreibt keine eigenen Serverräume.

2.2 Zugangs­kontrolle

Server

• Die Anmeldung am Server ist nur mit SSH-Schlüssel möglich; die Anmeldung mit Passwort ist abgeschaltet.
• Das Konto beim Hoster ist mit einer Zwei-Faktor-Anmeldung geschützt.
• Die Firewall des Hosters lässt nur die Ports 22 (SSH), 80 (HTTP) und 443 (HTTPS) zu.

Anwendung

• Passwörter werden nur als Hash mit dem Verfahren argon2id gespeichert.
• Nach mehreren fehlgeschlagenen Anmeldeversuchen wird die Anmeldung vorübergehend gesperrt.
• Eine Zwei-Faktor-Anmeldung (TOTP) steht allen Konten zur Verfügung. Der Kunde kann sie für sein Firmenkonto verpflichtend machen.
• Die Anmeldung ist auch über Single Sign-on per OpenID Connect möglich (Microsoft Entra ID, Google Workspace oder andere OpenID-Connect-Anbieter).
• Sitzungen werden auf dem Server verwaltet und enden nach einer Zeit ohne Aktivität sowie spätestens nach einer festen Höchstdauer.
• Die Anwendung ist gegen Cross-Site Request Forgery (CSRF) geschützt und setzt eine strenge Content-Security-Policy.

2.3 Zugriffs­kontrolle

• Ein Rollen- und Rechtekonzept regelt, wer was sehen und bearbeiten darf. Rollen sind Administration, Personal, Geschäftsführung, Führungskraft und Mitarbeitende. Der Kunde vergibt die Rollen in seinem Firmenkonto.
• Die Plattform-Verwaltung von HRzlich zeigt keine Personaldaten der Kunden.

2.4 Trennungs­kontrolle

• Jeder Kunde hat eine eigene Datenbankdatei und einen eigenen Dateiordner.
• Talentakte läuft getrennt von den weiteren Diensten auf dem Server in einem eigenen Container.

2.5 Pseudonymi­sierung

• Vor jedem Aufruf des KI-Dienstes ersetzt die Software Namen durch Platzhalter. Die Namen setzt sie erst im Ergebnis auf dem Server wieder ein.
• Das gilt für alle KI-Funktionen: Zeugnisentwurf, Neuformulierung eines Abschnitts, Zuordnung von Diktaten und Übersetzung. Die Pseudonymisierung ist immer eingeschaltet und lässt sich nicht abschalten.
• Der Kunde kann die KI-Funktionen insgesamt abschalten. Die Software übermittelt dann keine Daten an den KI-Dienst.

2.6 Sprachaufnahmen beim Diktat

• Für neue Firmenkonten ist das Server-Diktat voreingestellt: Die Aufnahme wird auf dem Server in Text umgewandelt und danach sofort gelöscht. Sie verlässt den Server nicht.
• Die Live-Erkennung von Google Chrome können Personen mit der Rolle Personal oder Administration in den Einstellungen zusätzlich erlauben. Dann verarbeitet Google die Aufnahme über die Spracherkennung des Browsers, ohne Beteiligung von HRzlich.

2.7 Verschlüsselung

• Daten werden zwischen Browser und Server mit TLS verschlüsselt übertragen (Zertifikate von Let's Encrypt über Traefik). HSTS ist aktiviert.
• Sicherungen werden mit age verschlüsselt (Abschnitt 4).

3. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

3.1 Weitergabe­kontrolle

• Die Übertragung zwischen Browser und Server ist verschlüsselt (Abschnitt 2.7).
• Daten gehen nur an die Unterauftragsverarbeiter nach Anlage 3. An den KI-Dienst übermittelt die Software Daten nur pseudonymisiert (Abschnitt 2.5).
• Sprachaufnahmen des Server-Diktats verlassen den Server nicht (Abschnitt 2.6).

3.2 Eingabe­kontrolle

• Ein Verlauf je Zeugnis hält fest, wer welchen Schritt ausgeführt hat.
• Ein KI-Protokoll erfasst jeden KI-Aufruf nur mit Metadaten wie Zweck, Modell, Umfang, Dauer und auslösender Person, ohne Inhalte.
• Ein Sicherheitsprotokoll erfasst Anmeldungen, Rechteänderungen und weitere sicherheitsrelevante Ereignisse. Seine Einträge werden 400 Tage aufbewahrt.

4. Verfüg­barkeit und Belast­barkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Die Datenbanken und Dateien werden täglich gesichert. Die Sicherungen sind mit age verschlüsselt.
• Aufbewahrt werden 14 Tagesstände und 6 Monatsstände. Gelöschte Daten entfallen in den Sicherungen spätestens nach sechs Monaten.
• Die Firewall des Hosters (Abschnitt 2.2) und die Trennung in Container (Abschnitt 2.4) schützen auch die Verfügbarkeit der Anwendung.

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• HRzlich überprüft diese Maßnahmen bei wesentlichen Änderungen der Software oder der Betriebsumgebung, mindestens aber einmal im Jahr, und passt diese Anlage an. Jede Fassung trägt ein Stand-Datum.
• Unterauftragsverarbeiter setzt HRzlich nur mit einem Vertrag nach Art. 28 DSGVO ein (Anlage 3). Weisungen des Kunden setzt HRzlich nach § 3 des Auftragsverarbeitungsvertrags um.
• Die Protokolle nach Abschnitt 3.2 dienen auch dazu, Vorfälle zu erkennen und aufzuklären.