Irgendwann wird jemand Sie bitten, zu begr\u00fcnden, warum Personalakten in ein neues System kommen. Das kann ein Betriebsrat sein, ein Auditor, der Sicherheitsfragebogen eines Kunden oder ein Mitarbeiter, der es einfach wissen will. Diese Lektion gibt Ihnen die Antworten \u2013 und sie ist genauso klar bei den zwei Stellen, an denen die ehrliche Antwort eine eingeschr\u00e4nkte ist.<\/p>\n
Ihre HR- und Mitarbeiterdaten werden in der EU gespeichert und verarbeitet, in Irland. Sie erhalten eine dedizierte Single-Tenant-Umgebung: Ihre eigenen Datenbanken und Ihren eigenen Speicher, keine gemeinsam genutzte Datenbank, mit Verschl\u00fcsselungsschl\u00fcsseln, die allein f\u00fcr Ihren Tenant erzeugt werden. F\u00fcr ein KMU, das gefragt wird, ob seine Mitarbeiterdaten mit denen anderer Unternehmen vermischt sind, ist das eine klare und n\u00fctzliche Antwort.<\/p>\n
Daten werden bei der \u00dcbertragung mit TLS 1.2 oder besser und im Ruhezustand mit AES-256 verschl\u00fcsselt. Standardm\u00e4\u00dfig verwaltet C2 die Verschl\u00fcsselungsschl\u00fcssel in Ihrem Auftrag, mit j\u00e4hrlicher Rotation, und das verlangt nichts von Ihnen. Wenn Sie das Schl\u00fcsselmaterial lieber selbst halten m\u00f6chten, ist Tenant Custody auf Anfrage in jedem Tarif verf\u00fcgbar, als Zusatzmodul mit Preis auf Anfrage: Sie erzeugen das Material auf Ihrem eigenen Computer in einer Browser-Zeremonie, die etwa f\u00fcnfzehn Minuten dauert, und C2 sieht es nie. Verstehen Sie die Abw\u00e4gung, bevor Sie sich daf\u00fcr entscheiden: Eigene Schl\u00fcssel zu halten bedeutet, dass nichts Ihre Daten wiederherstellen kann, wenn Sie sowohl Ihr Schl\u00fcsselmaterial als auch Ihren Export-Schl\u00fcssel verlieren, und dass C2 keines von beiden neu erzeugen kann. Das ist der Preis der Kontrolle, und die Kontrolle ist enger, als sie zun\u00e4chst klingt: Sie bedeutet, dass Ihre ruhenden Daten ohne Ihr Schl\u00fcsselmaterial nicht gelesen werden k\u00f6nnen. Sie bedeutet nicht, dass C2 Ihre Daten \u00fcberhaupt nicht sehen kann, denn der laufende Dienst verarbeitet sie weiterhin. Der Absatz unten zur rechtlichen Reichweite ist die andere H\u00e4lfte davon.<\/p>\n
Die Auftragsverarbeitungsvereinbarung ist eine Vereinbarung nach Artikel 28 DSGVO nach niederl\u00e4ndischem Recht, und sie wird automatisch akzeptiert, wenn Sie Ihr Abonnement unterzeichnen \u2014 Sie m\u00fcssen keine separate unterzeichnen, es sei denn, Ihre interne Richtlinie verlangt eine gegengezeichnete Kopie. Ihre Versionshistorie ist ver\u00f6ffentlicht.<\/p>\n
Vier Unterauftragsverarbeiter sind \u00f6ffentlich aufgef\u00fchrt: Amazon Web Services f\u00fcr Rechenleistung, Speicher und Datenbanken sowie separat f\u00fcr transaktionale E-Mails und f\u00fcr das Monitoring, alle in Irland; und Mistral AI in Frankreich als Standardanbieter des Sprachmodells f\u00fcr den KI-Assistenten. Sie erhalten mindestens 30 Tage Vorank\u00fcndigung, bevor sich diese Liste \u00e4ndert, und 10 Kalendertage, um einem neuen Eintrag zu widersprechen. Wenn ein Sicherheitsfragebogen fragt, wer sonst Ihre Daten ber\u00fchrt, beginnen Sie bei diesem Register. Zwei Dinge sollten Sie erg\u00e4nzen, wenn Sie ihn beantworten: \u00c4nderungen, die diese Anbieter an ihren eigenen Unterauftragsverarbeitern vornehmen, werden an Sie weitergegeben, sobald C2 davon unterrichtet wird, und Frappe HelpDesk, das den Support-Desk betreibt, ist Teil des Produkts und wird von C2 gehostet, statt ein separater Unterauftragsverarbeiter zu sein.<\/p>\n
Die Aufbewahrungsfristen werden je Datenkategorie festgelegt. Bewerber-, Helpdesk-, CRM- und interne Supportdaten werden automatisch gel\u00f6scht oder anonymisiert, wenn ihre Frist endet; andere Kategorien werden zur Pr\u00fcfung gemeldet, statt per Timer gel\u00f6scht zu werden, jemand muss also noch die Entscheidung treffen. Genau deshalb legen Sie die Fristen in Lektion 2 je Kategorie fest.<\/p>\n
Betroffenenanfragen \u2014 ein Mitarbeiter, der seine Daten verlangt oder deren Berichtigung oder L\u00f6schung verlangt \u2014 m\u00fcssen Sie beantworten, nicht C2. Sie sind der Verantwortliche f\u00fcr die Daten Ihrer Mitarbeiter; C2 verarbeitet sie in Ihrem Auftrag. Die Anfrage geht also an Ihre eigene benannte Ansprechperson, und der Datenschutzkontakt von C2 ist die Stelle, an die Sie sich wenden, wenn Sie Hilfe bei der Erf\u00fcllung brauchen. Diese Anfragen unterliegen gesetzlichen Fristen, leiten Sie sie also sofort weiter, statt erst zu pr\u00fcfen, und stellen Sie sicher, dass Ihre Leute wissen, an wen sie sie senden m\u00fcssen.<\/p>\n
Bei Datenschutzverletzungen gilt die Pflicht in beide Richtungen. C2 benachrichtigt Sie unverz\u00fcglich und in jedem Fall innerhalb von 24 Stunden nach Kenntniserlangung von einer Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft; das existiert, damit Sie Ihre eigene 72-Stunden-Frist gegen\u00fcber Ihrer Aufsichtsbeh\u00f6rde einhalten k\u00f6nnen. Ihr Teil davon ist, jetzt zu wissen, wer diese Meldung macht und wer entscheidet, dass sie notwendig ist.<\/p>\n
99,5 % monatliche Verf\u00fcgbarkeit, rund um die Uhr gemessen, ohne angek\u00fcndigte Wartungsfenster. T\u00e4gliche Backups mit 30 Tagen Aufbewahrung, Wiederherstellungen viertelj\u00e4hrlich geprobt, gegen ein Wiederherstellungsziel von h\u00f6chstens einer Stunde und einen Wiederherstellungspunkt von h\u00f6chstens 24 Stunden.<\/p>\n
Diese Punkte werden aufkommen, und sie in einem Fragebogen falsch zu beantworten ist schlimmer, als sie nicht zu kennen.<\/p>\n
C2 ist nicht nach ISO 27001 zertifiziert.<\/strong> Die Zertifizierung ist mit einem externen Partner in Vorbereitung und f\u00fcr das zweite Quartal 2027 angestrebt. Das Hosting erfolgt in nach ISO 27001 zertifizierten Rechenzentren, was eine Aussage \u00fcber die Rechenzentren ist und nicht \u00fcber C2. Interne Sicherheitsaudits gegen OWASP ASVS Level 2 sind abgeschlossen, und ein unabh\u00e4ngiger Penetrationstest ist geplant, nicht durchgef\u00fchrt. Sagen Sie das so, statt zu suggerieren, dass ein Zertifikat existiert.<\/p>\n EU-Hosting ist nicht dasselbe wie au\u00dferhalb der rechtlichen Reichweite zu sein.<\/strong> C2 l\u00e4uft auf AWS, einem Anbieter mit Hauptsitz in den USA, in EU-Regionen. C2 kann Ihre Daten im normalen Betrieb entschl\u00fcsseln, weil es die Plattform in Ihrem Auftrag betreibt. Tenant Custody bedeutet, dass Sie das jederzeit beenden k\u00f6nnen; es bedeutet nicht, dass es nie einen Zugriff gegeben h\u00e4tte. Wenn eine rechtliche Anfrage nach Ihren Daten eingeht, werden Sie informiert, soweit das Gesetz es erlaubt.<\/p>\n Wenn Sie einen Fragebogen ordentlich beantworten m\u00fcssen, arbeiten Sie mit dem Trust Center und nicht aus dem Ged\u00e4chtnis. Es ist \u00f6ffentlich, Sie k\u00f6nnen einen Pr\u00fcfer also direkt dorthin schicken.<\/p>","protected":false},"comment_status":"closed","ping_status":"closed","template":"","class_list":["post-25932","lesson","type-lesson","status-publish","hentry"],"_links":{"self":[{"href":"https:\/\/cognitis.cloud\/de\/wp-json\/wp\/v2\/lesson\/25932","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cognitis.cloud\/de\/wp-json\/wp\/v2\/lesson"}],"about":[{"href":"https:\/\/cognitis.cloud\/de\/wp-json\/wp\/v2\/types\/lesson"}],"replies":[{"embeddable":true,"href":"https:\/\/cognitis.cloud\/de\/wp-json\/wp\/v2\/comments?post=25932"}],"wp:attachment":[{"href":"https:\/\/cognitis.cloud\/de\/wp-json\/wp\/v2\/media?parent=25932"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}