1. Verantwortlicher
Verantwortlicher im Sinne der DSGVO ist:
Ara8 Solutions GmbH, Boschstraße 5, 82178 Puchheim, Deutschland.
Vertreten durch den Geschäftsführer: Muhamad Wahdan
Handelsregister: Amtsgericht München, HRB 244495
E-Mail: support@stundenaufzeichnung.de | Datenschutz-E-Mail: datenschutz@stundenaufzeichnung.de
Telefon: +49 89 21545754
2. Datenschutzbeauftragter
Anfragen zum Datenschutz können direkt an datenschutz@stundenaufzeichnung.de gerichtet werden. Ein behördlich bestellter externer Datenschutzbeauftragter wird freiwillig zur Gewährleistung maximaler Transparenz im Umgang mit Beschäftigtendaten geführt und ist über die vorgenannte Datenschutz-Adresse erreichbar.
3. Datenverarbeitung bei Nutzung der App & Hosting
(1) Infrastruktur: Das Live-System wird bei der Hetzner Online GmbH (Deutschland) im Rechenzentrum Falkenstein betrieben. Ein verschlüsseltes Cold-Standby-Backup zur Disaster-Recovery wird in einem europäischen Rechenzentrum (Helsinki, Finnland) vorgehalten (Infrastruktur komplett innerhalb der EU). Ein AVV gemäß Art. 28 DSGVO liegt vor.
(2) Server-Logfiles: IP-Adressen werden zum Schutz vor Cyberangriffen für maximal 7 Tage in Server-Logfiles gespeichert und in Anwendungs-Logs mittels SHA-256-Hashing umgehend pseudonymisiert.
(3) E-Mail-Versand: Der Versand aller System- und Transaktionsmails (z.B. Einladungen für Mitarbeiter) erfolgt über den deutschen Anbieter ALL-INKL.COM (Neue Medien Münnich), mit welchem ein AVV besteht.
(4) Zahlungsabwicklung: Zahlungen werden über Stripe Payments Europe, Ltd. (Irland/EU) abgewickelt. Ein Transfer zur Stripe LLC (USA) ist über das EU-U.S. Data Privacy Framework (DPF) sowie ergänzende Standardvertragsklauseln (SCC) als Fallback abgesichert.
(5) Telegram-Systemmeldungen: Wir nutzen Telegram ausschließlich für anonymisierte, rein technische Systemalarme (z.B. Server-Auslastung). Es werden zu keinem Zeitpunkt personenbezogene Mandantendaten über diese Schnittstelle übertragen.
4. Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO
(1) Zero-Trust-Architektur und Audit-Logging: Jede Datenoperation (lesend wie schreibend) wird verifiziert und lückenlos in einer manipulationssicheren, rein anfügbaren Audit-Spur protokolliert.
(2) Datenverschlüsselung: Verbindungen sind via TLS 1.3 verschlüsselt. Alle Festplatten der Live- und Backup-Server sind mittels LUKS (AES-XTS-Plain64, 512-Bit-Schlüsselstärke) verschlüsselt. Sensible Mandantendaten sind zusätzlich auf Feldebene innerhalb der Datenbank (AES-256) verschlüsselt gespeichert (Zero-Knowledge).
(3) Zugriffsschutz: Zugriff auf administrative Schnittstellen ist auf die Geschäftsführung (Unternehmen mit weniger als 5 Mitarbeitern) beschränkt und durch Zwei-Faktor-Authentisierung (2FA) sowie restriktive Firewalls geschützt.
(4) Break-Glass-Notfallzugriff: Archivierte oder gesperrte Daten können systemseitig nur über ein dokumentiertes „Break-Glass-Verfahren“ unter zwingender Angabe einer Pflicht-Begründung (z.B. behördliches Aktenzeichen einer Betriebsprüfung) eingesehen werden. Jede Sekunde dieses Zugriffs wird manipulationssicher gestempelt.