Sicherheitsarchitektur
Wie wir die Daten Ihrer Klient:innen schützen
Privacy by Design (Art. 25 DSGVO)
Sicherheit ist bei Diurna kein Add-on: Sie ist das Fundament der Architektur. Jede Ebene des Systems, von der Datenbank bis zur Benutzeroberfläche, wurde mit Datenschutz als Kernanforderung konzipiert.
Row Level Security (RLS) sorgt dafür, dass jede Datenbankabfrage automatisch je Benutzer:in gefiltert wird. Benutzer:innen können nie auf Daten zugreifen, die ihnen nicht gehören, unabhängig von der Art der Anfrage. Die Isolation ist durch die Architektur garantiert, nicht durch eine konfigurierbare Richtlinie.
Privacy Wall
Die Entwickler:innen der Plattform können nicht auf die personenbezogenen Daten (PII) Ihrer Klient:innen und deren Dienstnehmer:innen zugreifen. Das ist keine Frage einer Richtlinie: Es ist architektonisch unmöglich.
RLS-DENY-Richtlinien verhindern den Zugriff auf Sozialversicherungsnummern, Namen, sensible Daten und persönliche Informationen, selbst bei administrativem Datenbankzugriff. Für die Plattformbetreiber:innen sind ausschließlich aggregierte und anonymisierte Daten sichtbar.
Datenminimierung
Wir erfassen ausschließlich die Daten, die für die Zeiterfassung und die Personalverrechnung zwingend erforderlich sind. Das Prinzip der Minimierung wird konsequent angewendet.
✓ Erfasste Daten
- • Stammdaten der Dienstnehmer:innen
- • Anwesenheiten, Abwesenheiten, Überstunden
- • Wesentliche Vertragsdaten
- • Sozialversicherungsnummer (für gesetzliche Meldungen)
✕ NICHT erfasste Daten
- • Bankdaten (IBAN/BIC/SWIFT)
- • Detaillierte Gesundheitsdaten
- • Finanzielle Informationen
- • Daten, die für die Personalverrechnung nicht erforderlich sind
Verschlüsselung & Infrastruktur
TLS bei der Übertragung
Alle Daten werden bei der Übertragung mit dem TLS-Protokoll verschlüsselt.
EU-Rechenzentrum
Die Daten liegen in europäischen Rechenzentren (Irland).
Supabase Managed
Verwaltete Infrastruktur mit Sicherheit auf Enterprise-Niveau und automatischen Backups.
Getrennter Zugriff
Zugriffsschlüssel werden regelmäßig rotiert und über einen gesicherten Tresor verwaltet.
Audit-Trail & Nachvollziehbarkeit
Jede Anlage, Änderung und Löschung im System wird protokolliert mit:
- Exakter Zeitstempel der Operation
- Identität der Benutzer:innen, die die Aktion ausgeführt haben
- Vollständige Details der Änderung (alter Wert, neuer Wert)
- Art der Operation (CREATE, UPDATE, DELETE)
Ausgerichtet an DSGVO Art. 5, 25 und 32.
Rechte der Betroffenen
Recht auf Auskunft
Benutzer:innen können die im System erfassten eigenen Daten jederzeit einsehen.
Recht auf Löschung
Kaskadenlöschungen gewährleisten auf Anfrage die vollständige Entfernung der Daten unter Einhaltung der gesetzlichen Verpflichtungen.
Meldung von Datenschutzverletzungen
Dokumentierte Verfahren zur Meldung allfälliger Datenschutzverletzungen binnen 72 Stunden (Art. 33 und 34 DSGVO).
Datenschutzkonformität
Neben der DSGVO hält sich Diurna an die jeweils geltenden nationalen Datenschutzgesetze und deren Änderungen.
- Vollständige Einhaltung der nationalen Datenschutzbestimmungen
- Aufbewahrung der Daten gemäß den geltenden gesetzlichen Vorgaben
- Vertrag zur Auftragsverarbeitung (AVV) auf Anfrage erhältlich