Datenschutz
als Fundament

1. Data Privacy by Design und Data Privacy by Default

"Haben die Mitarbeitenden das berechtigte Interesse diese Daten zu sehen?"

Das ist die allgegenwärtige Frage, die uns beim Entwickeln von Funktionen und Prozessen leitet. Es hat Auswirkungen auf Anwender, je nach dem in welcher Rolle sie die Software verwenden und wie das Unternehmen organisiert und damit auch in der Software abgebildet ist.

Die Standardkonfiguration der Urlaubsverwaltung ist so ausgelegt, dass sie den Anforderungen der Datenschutz-Grundverordnung (DSGVO) entspricht. Ein firmenweiter Kalender ist zunächst nicht sichtbar, da die einzelnen Abteilungen den ersten Schutzraum für die personenbezogenen Daten der Mitarbeitenden bilden. Die Aktivierung eines firmenweiten Kalenders ist in der Regel nur für kleinere Unternehmen sinnvoll. Auch die Anzeige des Abwesenheitsgrundes ist abhängig von der jeweiligen Rolle unterschiedlich transparent gestaltet und muss stets mit besonderer Sorgfalt behandelt werden.

Es werden nur die Daten erhoben, die für den Zweck der Software notwendig sind - damit Prozesse abgebildet und Entscheidungen getroffen werden können.

2. Serverstandort: Deutschland

• Surft man durch das Internet, ist einem oft nicht bewusst, in welchen Ländern die abgerufenen und abgesendeten Daten verarbeitet werden. Dabei fängt Datenschutz schon bei der Wahl des Serverstandortes an. Denn überall dort, wo Daten verarbeitet werden, gelten die Datenschutzgesetze des jeweiligen Landes.

  Die Urlaubsverwaltung wird im ISO 27001 zertifizierten Datenzentrum von Hetzner in Deutschland gehostet und betrieben. Die Daten werden dort verarbeitet und gespeichert.

  Somit steht der Urlaubsverwaltung nichts im Weg, um auch in deinem Unternehmen eingesetzt zu werden.

3. Unser Datenschutzkonzept

Ein verantwortungsvoller Umgang mit personenbezogenen Daten ist für uns nicht nur eine gesetzliche Verpflichtung, sondern ein zentraler Bestandteil unserer Unternehmensphilosophie. Unser Datenschutzkonzept verbindet Transparenz, Sicherheit und Verlässlichkeit, damit du dich jederzeit auf den Schutz deiner Daten verlassen kannst.

Die Grundpfeiler unseres Datenschutzkonzepts:

• Rechtmäßigkeit & Transparenz: Wir verarbeiten Daten ausschließlich auf klar definierter Rechtsgrundlage und machen unsere Prozesse nachvollziehbar.
• Datenminimierung & Zweckbindung: Wir erheben und nutzen nur die Daten, die wirklich notwendig sind – ausschließlich für den vorgesehenen Zweck.
• Verantwortlichkeiten & Prozesse: Interne Rollen und Zuständigkeiten sind klar geregelt, um höchste Standards bei Datenschutz und Datensicherheit sicherzustellen.
• Kontinuierliche Weiterentwicklung: Unser Datenschutzkonzept wird regelmäßig überprüft und an neue rechtliche Anforderungen sowie technische Entwicklungen angepasst.

So stellen wir sicher, dass der Schutz deiner Daten durch ein nachhaltiges, strukturiertes und gelebtes Datenschutzmanagement sichergestellt ist.

4. Technische und organisatorische Maßnahmen

Der Schutz deiner Daten hat für uns höchste Priorität. Deshalb setzen wir umfangreiche technische und organisatorische Maßnahmen (TOMs) um, die den Anforderungen der DSGVO entsprechen. Diese Maßnahmen stellen sicher, dass personenbezogene Daten jederzeit vertraulich, integer und verfügbar bleiben. Unsere TOMs umfassen unter anderem:

• Zugangskontrolle: Strikte Authentifizierungs- und Berechtigungskonzepte verhindern unbefugten Zugriff.
• Datenverschlüsselung: Sämtliche Daten werden sowohl bei der Übertragung als auch persistiert verschlüsselt.
• Backup & Recovery: Regelmäßige Backups und ein erprobtes Notfallmanagement sichern die Wiederherstellbarkeit.
• Monitoring & Protokollierung: Systeme werden kontinuierlich überwacht, sicherheitsrelevante Ereignisse protokolliert und ausgewertet.
• Regelmäßige Prüfungen: Unsere Prozesse und Systeme werden laufend überprüft und an neue Sicherheitsstandards angepasst.

Alle Maßnahmen sind Teil unseres Auftragsverarbeitungsvertrags und bilden die Grundlage für eine sichere und DSGVO-konforme Verarbeitung deiner Daten.

5. Ein aktueller Auftragsverarbeitungsvertrag

Unser Vertrag zur Auftragsverarbeitung (AVV) ist öffentlich einsehbar und muss nicht erst angefordert werden. Die Transparenz darüber welche Arten von Daten und wie diese verarbeitet werden, ist uns wichtig. Dabei achten wir auf Datensparsamkeit und Zweckbindung.

Unterauftragnehmer

6. Risikoeinschätzung und Datenschutz-Folgeabschätzung

Datenschutz bedeutet für uns nicht nur die Einhaltung gesetzlicher Vorgaben, sondern vor allem die aktive Vermeidung von Risiken. Deshalb führen wir bei allen relevanten Prozessen eine strukturierte Risikoeinschätzung durch. So stellen wir sicher, dass mögliche Gefahren für personenbezogene Daten frühzeitig erkannt und durch geeignete Maßnahmen minimiert werden.

Wenn eine Verarbeitung ein besonders hohes Risiko für die Rechte und Freiheiten von Betroffenen mit sich bringen könnte, führen wir eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durch. Dabei prüfen wir systematisch:

• Art, Umfang und Zweck der Datenverarbeitung
• potenzielle Risiken für betroffene Personen
• geeignete technische und organisatorische Schutzmaßnahmen, um diese Risiken zu reduzieren.

Durch diesen klar definierten Prozess gewährleisten wir, dass eure Daten jederzeit mit der größtmöglichen Sorgfalt behandelt werden – präventiv, transparent und DSGVO-konform.

7. Ein durchdachtes Löschkonzept

Personenbezogene Daten sollen nur so lange gespeichert werden, wie es für den jeweiligen Zweck notwendig ist. Unser Löschkonzept sorgt dafür, dass dieser Grundsatz der DSGVO konsequent umgesetzt wird.

Die Eckpfeiler unseres Löschkonzepts:

• Klare Aufbewahrungsfristen: Daten werden nur so lange gespeichert, wie es gesetzlich vorgeschrieben oder für den vereinbarten Zweck erforderlich ist.
• Automatisierte Prozesse: Wo möglich, greifen technische Mechanismen, die die fristgerechte Löschung zuverlässig durchführen.
• Recht auf Vergessenwerden: Auf Anfrage löschen wir personenbezogene Daten gemäß den gesetzlichen Vorgaben unverzüglich.
• Dokumentation & Nachvollziehbarkeit: Jeder Löschvorgang wird revisionssicher dokumentiert, um höchste Transparenz zu gewährleisten.
• Regelmäßige Überprüfung: Unser Löschkonzept wird laufend evaluiert und bei neuen gesetzlichen Anforderungen oder technischen Entwicklungen angepasst.

Damit stellen wir sicher, dass Daten nicht länger als nötig gespeichert werden – effizient und sicher.

8. Ein bewusster Datenverarbeitungsfluss

Wir legen größten Wert darauf, dass personenbezogene Daten bei uns klar nachvollziehbar, transparent und sicher verarbeitet werden. Jeder Schritt im Datenverarbeitungsfluss ist bewusst gestaltet, dokumentiert und regelmäßig überprüft.

Unsere Leitlinien:

• Transparente Prozesse: Wir halten fest, welche Daten an welchen Stellen erhoben, gespeichert und genutzt werden.
• Zweckgebundene Verarbeitung: Daten werden ausschließlich für die vorgesehenen und kommunizierten Zwecke verarbeitet – nicht mehr und nicht weniger.
• Datenminimierung: Wir beschränken die Verarbeitung konsequent auf das notwendige Maß.
• Kontrollierte Schnittstellen: Datenübertragungen zwischen Systemen und Partnern erfolgen ausschließlich verschlüsselt und unter strengen Sicherheitsvorkehrungen.
• Lückenlose Dokumentation: Alle Verarbeitungstätigkeiten sind gemäß DSGVO erfasst und jederzeit nachvollziehbar.

So stellen wir sicher, dass eure Daten einem durchdachten, sicheren und verantwortungsvollen Fluss folgen – von der Erhebung bis zur Löschung.

9. Mitarbeiterschulungen

Alle Mitwirkenden absolvieren jährlich Schulungen zu Datenschutz und IT-Sicherheit. Es liegen Zertifikate von allen im Jahr 2025 vor.