Datenschutz & Sicherheit im HR Online Manager
Der HR Online Manager verarbeitet Personaldaten im Auftrag unserer Kunden. Hier finden Sie die Antworten auf die Fragen, die Datenschutzbeauftragte und IT-Abteilungen vor dem Einsatz stellen, und den Auftragsverarbeitungsvertrag, den jeder Kunde mit uns schließt.
Wo werden die Daten verarbeitet?
Ausschließlich in einem Rechenzentrum in Deutschland. Hosting-Dienstleister ist die Mittwald CM Service GmbH & Co. KG, Espelkamp, zertifiziert nach ISO/IEC 27001. Nutzer- und Mitarbeitendendaten werden nicht in ein Drittland übermittelt.
Welche personenbezogenen Daten verarbeitet die Anwendung?
Die Nutzerkonten der Ansprechpartner unserer Kunden. Mitarbeitendendaten nur, wenn der Kunde das Vergütungsmodul oder eine Schnittstelle zu seinem HR-System nutzt, und dann pseudonymisiert: Personalnummer, Stellenzuordnung, Vergütung und wenige Strukturmerkmale. Keine Namen, keine besonderen Kategorien personenbezogener Daten.
Bewertet das System Personen?
Nein. Der HR Online Manager bewertet Stellen, nicht Personen. Es gibt keine Leistungsbeurteilung, keine Zielerreichungsmessung und keine Zeiterfassung.
Wie ist der Zugang gesichert?
Anmeldung mit Passwort, auf Wunsch des Kunden mit zweitem Faktor (Authenticator-App oder E-Mail-Code) oder per Single Sign-On über Microsoft Entra ID. Rollen und Rechte je Nutzer, strikte Trennung der Kundendaten, verschlüsselte Übertragung.
Wie werden Daten gelöscht und zurückgegeben?
Der Kunde kann seine Daten jederzeit exportieren. Nach Vertragsende bleibt der Zugang 30 Tage lesend erhalten, danach löschen wir die Daten und bestätigen die Löschung mit einem Löschprotokoll.
Welche Dienstleister sind beteiligt?
Als Auftragsverarbeiter das Hosting (Mittwald, Deutschland) und der Versand von Systemmails (Mailgun, EU-Region). KI-Textvorschläge für Stellenbeschreibungen (OpenAI) erhalten ausschließlich Stellendaten ohne Personenbezug.
Wie wird die Sicherheit überprüft?
Jährliches Code- und Sicherheitsaudit, automatisierte Regressionstests vor jedem Release, Prüfung der Abhängigkeiten auf bekannte Schwachstellen, regelmäßiger Wiederherstellungstest der Datensicherung.
Welche Verfügbarkeit ist zugesagt?
99,9 % im Monatsmittel am Übergabepunkt des Hosting-Dienstleisters. Daten und Anwendung sind innerhalb einer Stunde wiederhergestellt, der maximale Datenverlust beträgt 24 Stunden.
Auftragsverarbeitungsvertrag
Grundlage der Zusammenarbeit ist unser Auftragsverarbeitungsvertrag nach Art. 28 DS-GVO auf Basis der Standardvertragsklauseln der EU-Kommission (Beschluss (EU) 2021/915). Kunden finden die Ausfertigung mit ihren Angaben jederzeit in der Anwendung im Bereich „Verwalten“, zusammen mit der Beschreibung unserer technischen und organisatorischen Maßnahmen.
Download: Auftragsverarbeitungsvertrag, Version 2.0 (Muster), PDF
Weitere Unterlagen auf Anfrage
Für Ihre Prüfung stellen wir Ihnen gern bereit: die technischen und organisatorischen Maßnahmen, das Lösch-, Backup- und Wiederanlaufkonzept, das Rollen- und Berechtigungskonzept, die Liste der Unterauftragsverarbeiter, die Beschreibung der importierbaren Datenfelder, die Modulbeschreibung der Vergütungsanalyse, die Angaben für Ihr Verzeichnis von Verarbeitungstätigkeiten und die Zusammenfassung des Sicherheitsaudits.
Ansprechpartner für Datenschutz und Informationssicherheit: Dr. Friedrich A. Fratschner, Geschäftsführer, friedrich.fratschner@hronlinemanager.com
