Eine Korrektur löscht nichts

Jede nachträgliche Änderung an einer Arbeitszeit erzeugt einen eigenen Protokolleintrag – und der lässt sich nicht mehr ändern.

• Festgehalten werden Vorzustand, neuer Zustand, Person, Zeitpunkt und eine Pflichtbegründung
• Das gilt auch für den Administrator – es gibt keinen Weg, der am Protokoll vorbeiführt
• Die Datenbank weist jede Änderung einer bestehenden Protokollzeile ab
• Die Zeilen hängen in einer Hash-Kette: eine entfernte Zeile fällt auf
• Nachrechnen lässt sich das jederzeit selbst – mit einem Befehl, der die ganze Kette prüft

Ihre Daten und die eines anderen Kunden

Jeder Datensatz trägt die Kennung Ihrer Firma, und jede Abfrage ist darauf eingeschränkt.

• Die Grenze wird im Server durchgesetzt, nicht in der Anzeige
• Geprüft wird sie so, wie ein Angreifer vorgehen würde: mit geratenen fremden Kennungen
• Firmen-Kennungen werden nie wiederverwendet – eine neue Firma erbt nichts

Rollen statt Vertrauen

Vier Ebenen – Mitarbeiter, Standortleiter, Firmen-Admin, Plattform-Admin – dazu eine Freigabe je Mitarbeiter und Modul.

• Mitarbeiter sehen ihre eigenen Zeiten, ihre eigenen Korrekturen und deren Begründungen
• Jede Rechteprüfung passiert im Server – ein ausgeblendeter Knopf ist keine Sperre

Verschlüsselung und Zugangsdaten

• Passwörter mit Argon2id gehasht – auch für uns nicht lesbar
• RFID-Kartenkennungen nur als Prüfwert: eine Liste zum Klonen von Karten existiert nicht
• Zugangscodes zu Objekten mit XSalsa20-Poly1305 verschlüsselt
• Übertragung ausschließlich über HTTPS, Sitzungs-Cookies darauf beschränkt
• Anmeldeversuche je IP-Adresse begrenzt

Sicherung – und der Beweis, dass sie sich zurückspielen lässt

Eine Sicherung, aus der noch nie zurückgespielt wurde, ist eine Datei mit einer Hoffnung darin.

• Tägliche automatische Sicherung von Datenbank und Dateien, 14 Tage Aufbewahrung
• Zusätzlich an einen zweiten Ort außerhalb des Anwendungsverzeichnisses
• Rückspielprobe: eine echte Sicherung wird in eine Wegwerf-Datenbank eingespielt und gezählt – ohne die laufende anzufassen

Was bei einer Prüfung herauskommt

Nicht nur der heutige Stand, sondern auch, was sich unterwegs geändert hat.

• Arbeitszeitnachweis und Änderungsprotokoll, mit Alt- und Neuwert und Begründung
• Erfasste und abgezogene Pause getrennt ausgewiesen
• Gerätezeit und Serverzeit stehen nebeneinander – man sieht, wann gestempelt und wann übertragen wurde
• Excel-lesbar, mit Prüfsummen je Datei

Standortdaten: aus, bis Sie sie einschalten

Beim Stempeln kann der Standort mitgespeichert werden. Ab Werk ist das abgeschaltet.

• Einschalten kann es nur Ihr Firmen-Administrator
• Ist es aus, verwirft der Server mitgeschickte Koordinaten – nicht nur die Oberfläche
• Auch eingeschaltet fragt zusätzlich das Gerät des Mitarbeiters um Erlaubnis
• Wo ein Betriebsrat besteht, ist die Einführung in der Regel mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG)

Aufbewahren und löschen

• Arbeitszeitaufzeichnungen sind zwei Jahre aufzubewahren (§ 17 Abs. 2 MiLoG) – ein früheres Löschen wird abgewiesen
• Für ausgeschiedene Mitarbeiter lässt sich auf den Tag genau sagen, ab wann ihre Daten weg dürfen
• Gelöschtes steht noch bis zu 14 Tage in bestehenden Sicherungen – danach ist es fort
• Jeder Mitarbeiter kann eine Auskunft über seine gespeicherten Daten anfordern (Art. 15 DSGVO)

Auftragsverarbeitung und Hosting

• Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor und ist jederzeit einsehbar
• Darin stehen die technischen Maßnahmen im Klartext – beschrieben ist, was die Anwendung tut, nicht was üblich wäre
• Eingesetzte Unterauftragnehmer sind dort namentlich aufgeführt, Änderungen kündigen wir vier Wochen vorher an
• Hosting und Datenhaltung in Deutschland