Irgendwann wird jemand Sie bitten, zu begründen, warum Personalakten in ein neues System kommen. Das kann ein Betriebsrat sein, ein Auditor, der Sicherheitsfragebogen eines Kunden oder ein Mitarbeiter, der es einfach wissen will. Diese Lektion gibt Ihnen die Antworten – und sie ist genauso klar bei den zwei Stellen, an denen die ehrliche Antwort eine eingeschränkte ist.
Wo die Daten liegen und wer sonst darin ist
Ihre HR- und Mitarbeiterdaten werden in der EU gespeichert und verarbeitet, in Irland. Sie erhalten eine dedizierte Single-Tenant-Umgebung: Ihre eigenen Datenbanken und Ihren eigenen Speicher, keine gemeinsam genutzte Datenbank, mit Verschlüsselungsschlüsseln, die allein für Ihren Tenant erzeugt werden. Für ein KMU, das gefragt wird, ob seine Mitarbeiterdaten mit denen anderer Unternehmen vermischt sind, ist das eine klare und nützliche Antwort.
Daten werden bei der Übertragung mit TLS 1.2 oder besser und im Ruhezustand mit AES-256 verschlüsselt. Standardmäßig verwaltet C2 die Verschlüsselungsschlüssel in Ihrem Auftrag, mit jährlicher Rotation, und das verlangt nichts von Ihnen. Wenn Sie das Schlüsselmaterial lieber selbst halten möchten, ist Tenant Custody auf Anfrage in jedem Tarif verfügbar, als Zusatzmodul mit Preis auf Anfrage: Sie erzeugen das Material auf Ihrem eigenen Computer in einer Browser-Zeremonie, die etwa fünfzehn Minuten dauert, und C2 sieht es nie. Verstehen Sie die Abwägung, bevor Sie sich dafür entscheiden: Eigene Schlüssel zu halten bedeutet, dass nichts Ihre Daten wiederherstellen kann, wenn Sie sowohl Ihr Schlüsselmaterial als auch Ihren Export-Schlüssel verlieren, und dass C2 keines von beiden neu erzeugen kann. Das ist der Preis der Kontrolle, und die Kontrolle ist enger, als sie zunächst klingt: Sie bedeutet, dass Ihre ruhenden Daten ohne Ihr Schlüsselmaterial nicht gelesen werden können. Sie bedeutet nicht, dass C2 Ihre Daten überhaupt nicht sehen kann, denn der laufende Dienst verarbeitet sie weiterhin. Der Absatz unten zur rechtlichen Reichweite ist die andere Hälfte davon.
Die Vereinbarung und die Unterauftragsverarbeiter
Die Auftragsverarbeitungsvereinbarung ist eine Vereinbarung nach Artikel 28 DSGVO nach niederländischem Recht, und sie wird automatisch akzeptiert, wenn Sie Ihr Abonnement unterzeichnen — Sie müssen keine separate unterzeichnen, es sei denn, Ihre interne Richtlinie verlangt eine gegengezeichnete Kopie. Ihre Versionshistorie ist veröffentlicht.
Vier Unterauftragsverarbeiter sind öffentlich aufgeführt: Amazon Web Services für Rechenleistung, Speicher und Datenbanken sowie separat für transaktionale E-Mails und für das Monitoring, alle in Irland; und Mistral AI in Frankreich als Standardanbieter des Sprachmodells für den KI-Assistenten. Sie erhalten mindestens 30 Tage Vorankündigung, bevor sich diese Liste ändert, und 10 Kalendertage, um einem neuen Eintrag zu widersprechen. Wenn ein Sicherheitsfragebogen fragt, wer sonst Ihre Daten berührt, beginnen Sie bei diesem Register. Zwei Dinge sollten Sie ergänzen, wenn Sie ihn beantworten: Änderungen, die diese Anbieter an ihren eigenen Unterauftragsverarbeitern vornehmen, werden an Sie weitergegeben, sobald C2 davon unterrichtet wird, und Frappe HelpDesk, das den Support-Desk betreibt, ist Teil des Produkts und wird von C2 gehostet, statt ein separater Unterauftragsverarbeiter zu sein.
Aufbewahrung, Anfragen und Datenschutzverletzungen
Die Aufbewahrungsfristen werden je Datenkategorie festgelegt. Bewerber-, Helpdesk-, CRM- und interne Supportdaten werden automatisch gelöscht oder anonymisiert, wenn ihre Frist endet; andere Kategorien werden zur Prüfung gemeldet, statt per Timer gelöscht zu werden, jemand muss also noch die Entscheidung treffen. Genau deshalb legen Sie die Fristen in Lektion 2 je Kategorie fest.
Betroffenenanfragen — ein Mitarbeiter, der seine Daten verlangt oder deren Berichtigung oder Löschung verlangt — müssen Sie beantworten, nicht C2. Sie sind der Verantwortliche für die Daten Ihrer Mitarbeiter; C2 verarbeitet sie in Ihrem Auftrag. Die Anfrage geht also an Ihre eigene benannte Ansprechperson, und der Datenschutzkontakt von C2 ist die Stelle, an die Sie sich wenden, wenn Sie Hilfe bei der Erfüllung brauchen. Diese Anfragen unterliegen gesetzlichen Fristen, leiten Sie sie also sofort weiter, statt erst zu prüfen, und stellen Sie sicher, dass Ihre Leute wissen, an wen sie sie senden müssen.
Bei Datenschutzverletzungen gilt die Pflicht in beide Richtungen. C2 benachrichtigt Sie unverzüglich und in jedem Fall innerhalb von 24 Stunden nach Kenntniserlangung von einer Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft; das existiert, damit Sie Ihre eigene 72-Stunden-Frist gegenüber Ihrer Aufsichtsbehörde einhalten können. Ihr Teil davon ist, jetzt zu wissen, wer diese Meldung macht und wer entscheidet, dass sie notwendig ist.
Verfügbarkeit und Wiederherstellung
99,5 % monatliche Verfügbarkeit, rund um die Uhr gemessen, ohne angekündigte Wartungsfenster. Tägliche Backups mit 30 Tagen Aufbewahrung, Wiederherstellungen vierteljährlich geprobt, gegen ein Wiederherstellungsziel von höchstens einer Stunde und einen Wiederherstellungspunkt von höchstens 24 Stunden.
Zwei Dinge, die Sie genau und nicht optimistisch darstellen sollten
Diese Punkte werden aufkommen, und sie in einem Fragebogen falsch zu beantworten ist schlimmer, als sie nicht zu kennen.
C2 ist nicht nach ISO 27001 zertifiziert. Die Zertifizierung ist mit einem externen Partner in Vorbereitung und für das zweite Quartal 2027 angestrebt. Das Hosting erfolgt in nach ISO 27001 zertifizierten Rechenzentren, was eine Aussage über die Rechenzentren ist und nicht über C2. Interne Sicherheitsaudits gegen OWASP ASVS Level 2 sind abgeschlossen, und ein unabhängiger Penetrationstest ist geplant, nicht durchgeführt. Sagen Sie das so, statt zu suggerieren, dass ein Zertifikat existiert.
EU-Hosting ist nicht dasselbe wie außerhalb der rechtlichen Reichweite zu sein. C2 läuft auf AWS, einem Anbieter mit Hauptsitz in den USA, in EU-Regionen. C2 kann Ihre Daten im normalen Betrieb entschlüsseln, weil es die Plattform in Ihrem Auftrag betreibt. Tenant Custody bedeutet, dass Sie das jederzeit beenden können; es bedeutet nicht, dass es nie einen Zugriff gegeben hätte. Wenn eine rechtliche Anfrage nach Ihren Daten eingeht, werden Sie informiert, soweit das Gesetz es erlaubt.
Wenn Sie einen Fragebogen ordentlich beantworten müssen, arbeiten Sie mit dem Trust Center und nicht aus dem Gedächtnis. Es ist öffentlich, Sie können einen Prüfer also direkt dorthin schicken.