Sicherheit und Datenschutz bei Shiftfy

Auf einen Blick

• Hosting in Deutschland

  Anwendung, Datenbank und hochgeladene Dateien liegen auf Servern in Frankfurt am Main. Außerhalb Deutschlands laufen nur wenige Dienste, etwa die KI-Funktionen, der E-Mail-Versand und die Zahlungsabwicklung; die vollständige Liste steht in der Datenschutzerklärung. Einige unserer Dienstleister sind US-Unternehmen; mögliche Zugriffe aus den USA sind durch das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln abgesichert.

• Zertifizierte Infrastruktur

  Shiftfy wird bei Vercel (ISO/IEC 27001:2022, SOC 2 Type 2) und Supabase (ISO/IEC 27001, SOC 2 Type 2) betrieben. Shiftfy selbst ist nicht zertifiziert; unsere eigenen Maßnahmen legen wir Ihnen offen.

• Verschlüsselung

  Datenübertragung ausschließlich per TLS mit HSTS, Verschlüsselung im Ruhezustand durch den Hosting-Anbieter, besonders schutzbedürftige Felder zusätzlich mit AES-256-GCM. Passwörter werden ausschließlich als bcrypt-Hash gespeichert.

• Mandantentrennung

  Jede Datenbankabfrage der Anwendung ist auf Ihren Arbeitsbereich beschränkt. Fehlt diese Beschränkung im Code, ergänzt die Anwendung sie bei jeder Anfrage automatisch, und automatische Tests prüfen die Trennung bei jeder Codeänderung. Die Trennung erfolgt in der Anwendung, nicht durch Zeilensicherheit (RLS) der Datenbank.

• Datensicherung

  Tägliche Sicherung der Datenbank mit 7 Tagen Aufbewahrung. Maximaler Datenverlust (RPO): 24 Stunden; angestrebte Wiederherstellungszeit (RTO): 4 Stunden. Gelöschte Daten sind nach spätestens 7 Tagen auch aus den Sicherungen entfernt.

• Sicherheitsvorfälle

  Bei einer Verletzung des Schutzes Ihrer Daten informieren wir Sie unverzüglich, spätestens innerhalb von 48 Stunden, wie im Auftragsverarbeitungsvertrag vereinbart.

Datenschutz nach DSGVO

• Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, abgeschlossen mit der Registrierung.
• Öffentliche Liste aller Unterauftragsverarbeiter mit Änderungshistorie; über geplante Änderungen informieren wir Sie vorab.
• Standortdaten nur im Moment des Stempelns; Koordinaten werden nach 7 Tagen gelöscht. Automatisches Stempeln am Einsatzort ist standardmäßig deaktiviert und setzt die Zustimmung jeder einzelnen Person voraus.
• Keine Diagnosen: Bei Abwesenheiten speichert Shiftfy nur Art und Zeitraum. Krankmeldungen werden in keiner Benachrichtigung als solche bezeichnet, und Benachrichtigungen an Vorgesetzte nennen die Art der Abwesenheit nicht.
• Vollständiger Datenexport jederzeit. Nach Vertragsende stehen Ihre Daten 30 Tage zum Export bereit und werden anschließend gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.
• Vorlagen für Datenschutz-Folgenabschätzung, Betriebsvereinbarung und Beschäftigteninformation stellen wir Ihnen zur Verfügung.
• Behördenanfragen: Wir geben Daten nur heraus, wenn wir gesetzlich dazu verpflichtet sind, prüfen jede Anfrage sorgfältig und informieren Sie vorab, soweit dies rechtlich zulässig ist.

Nachweise

Dienstleister

Wir setzen wenige, sorgfältig ausgewählte Dienstleister ein, unter anderem für Hosting, Datenbank, E-Mail-Versand und Zahlungsabwicklung. Welcher Anbieter welche Daten an welchem Ort und auf welcher vertraglichen Grundlage verarbeitet, finden Sie vollständig in der Liste der Unterauftragsverarbeiter.