Wo die Daten liegen und wie sie geschützt sind

Jede Verbindung läuft über TLS, der Browser wird angewiesen, nie unverschlüsselt zu verbinden (HSTS), Inhalte anderer Herkunft sind per Content-Security-Policy ausgeschlossen, die Seite lässt sich nicht in fremde Seiten einbetten. Der Server steht in einem Rechenzentrum in Falkenstein, Sachsen. Anmeldeversuche werden gebremst; wer es zu oft versucht, wird zeitweise gesperrt.

Ein Hash ist eine Einbahnstraße: aus der PIN wird eine Zeichenfolge, aus der niemand die PIN zurückrechnen kann, auch wir nicht. Beim Anmelden wird die Eingabe auf demselben Weg umgerechnet und verglichen. So liegen PINs und Passwörter (argon2). IBAN, Steuer-ID, Sozialversicherungsnummer und Geburtsdatum sind dagegen verschlüsselt (AES-256-GCM) und werden nur entschlüsselt, wenn die App sie braucht, etwa für den Export; das Formular zeigt nur, dass etwas hinterlegt ist, und die letzten Stellen.

• Hochgeladene Dateien werden an ihren ersten Bytes erkannt, nicht am Namen
• Dateien liegen außerhalb des Webverzeichnisses und werden nur mit Rechteprüfung ausgeliefert
• Uploads sind begrenzt: Logo 2 MB, Bescheinigungen und Dokumente 8 MB, Import 12 MB

Jede Nacht sichert ein Lauf die Datenbank und die Ablage. Die frische Sicherung wird nach dem Schreiben gelesen, sonst wäre sie keine. Vierzehn Tage bleiben, ältere fallen weg. Derselbe Lauf entfernt abgelaufene Sitzungen und verbrauchte Einmal-Links und führt die Löschungen aus, deren Widerruf vorbei ist. Läuft etwas schief, ist der Lauf rot und wird angesehen.

Jede Person ruft ihre Auskunft nach Art. 15 DSGVO selbst ab, als Datei mit allem, was zu ihr gespeichert ist; die Verwaltung kann dieselbe Datei erzeugen. Beim Löschen einer Person gehen Kontakt, Bankdaten, PIN, Bescheinigungen und Dokumente sofort, die Arbeitszeiten bleiben für die Aufbewahrung. Endet ein Abo, bleiben die Exporte und die Auskunft vier Monate erreichbar, damit die Daten mitgenommen werden können. Danach, oder wenn der Inhaber die Löschung beantragt, wird der Betrieb mit dreißig Tagen Widerruf aus der Datenbank gelöscht.

Bevor ein Betrieb gelöscht wird, schreibt der Dienst ein Archiv für die gesetzliche Aufbewahrung (§ 4 der AGB, § 147 AO, § 257 HGB): Stammdaten, Personen, Arbeitstage mit jeder Änderung, Abwesenheiten, Schichten, Verträge, Kündigungen, Monatsabschlüsse, Exporte und das Protokoll. Nicht darin: PIN, IBAN, Steuer-ID, Sozialversicherungsnummer und Geburtsdatum. Die Datei ist mit einem eigenen Schlüssel verschlüsselt (AES-256-GCM), liegt in einem Verzeichnis, das nur Anfügen erlaubt, und wird in der Nacht darauf unveränderlich gemacht. Jedes Archiv trägt seine Prüfsumme und die des vorigen; der Betreiber sieht an dieser Kette, ob eines fehlt oder ersetzt wurde. Nach zehn Jahren wird die Datei gelöscht.

Der Betreiber sieht in der Übersicht seiner Betriebe nur den Zustand: Abo, Zahl der Mitarbeiter, letzte Anmeldung. In einen Betrieb hinein kommt er, wenn der Inhaber unter Einstellungen den Support-Zugriff freigibt, für vierundzwanzig Stunden und jederzeit widerrufbar. Die Support-Sitzung trägt ein Banner, jeder Schritt steht im Protokoll des Betriebs, und IBAN, Steuer-ID, SV-Nummer und Geburtsdatum werden darin nicht entschlüsselt; auch Auskunft, Import und Zahlung sind zu. Ohne Freigabe gibt es einen Notzugriff mit Pflichtbegründung, vier Stunden lang; der Inhaber bekommt sofort eine Mitteilung und eine Mail. Wer den Server selbst in der Hand hat, hat auch die Schlüssel; das gilt für jeden Anbieter, und es steht deshalb hier.