Sicherheit & Datenschutz

andHRomeda verarbeitet im Auftrag unserer Kunden Personaldaten, darunter Krankmeldungen. Deshalb hier ohne Marketing, was technisch und organisatorisch dahintersteht. Stand: September 2026.

Hosting und Speicherort

Datenbank, Anmeldung, Dateispeicher und Serverfunktionen laufen bei Supabase in Frankfurt am Main (Amazon Web Services, Region eu-central-1, Rechenzentren nach ISO 27001 und SOC 2).
Die Portal-Oberfläche (statische Dateien ohne Kundendaten) wird über das Content Delivery Network von Netlify ausgeliefert. Kundendaten liegen dort nicht.
Auf Wunsch betreiben wir das Portal auf einem Server des Kunden.

Mandantentrennung: eigene Datenbank pro Kunde

Jeder Kunde erhält ein eigenes Supabase-Projekt mit eigener Datenbank, eigenem Dateispeicher und eigener Anmeldung. Es gibt keine gemeinsame Datenbank mit anderen Firmen.
Zugriffsrechte werden auf Datenbankebene erzwungen (Row Level Security): Mitarbeiter sehen ausschließlich eigene Daten, Administratoren die Daten des eigenen Unternehmens.

Verschlüsselung

Übertragung: alle Verbindungen zum Portal und zur Datenbank ausschließlich über TLS (HTTPS).
Speicherung: Datenbank und Dateispeicher werden beim Hosting-Anbieter verschlüsselt gespeichert (AES-256).
Passwörter werden nur als Hash gespeichert. Dateien wie Belege oder Atteste sind nur über signierte, nicht erratbare Links erreichbar.

Gesundheitsdaten (Krankmeldungen)

Verarbeitet werden Zeitraum der Krankmeldung und, falls hochgeladen, die Bescheinigung als Datei. Diagnosen werden nicht erfasst.
Bescheinigungen liegen in einem privaten Dateispeicher, im Portal sichtbar nur für den betroffenen Mitarbeiter und die Administratoren des Kunden.
Benachrichtigungen an die Geschäftsführung und die vom Kunden versendete Weitergabe an sein Lohnbüro enthalten einen signierten, nicht erratbaren Link auf die Bescheinigung, damit Empfänger ohne Portalzugang sie öffnen können. Diese Links sind langlebig; auf Wunsch begrenzen wir ihre Gültigkeit je Kunde oder schalten die Weitergabe per E-Mail ganz ab.
Die Rechtsgrundlage (§ 26 BDSG, Art. 9 Abs. 2 lit. b DSGVO) liegt beim Kunden als Arbeitgeber; wir verarbeiten ausschließlich auf seine Weisung.

Datensicherung und Verfügbarkeit

Tägliche automatische Sicherung der Datenbank mit sieben Tagen Aufbewahrung in Frankfurt; Wiederherstellung auf Anforderung.
Betrieb auf der Infrastruktur von Supabase und AWS in Frankfurt; wir streben eine durchgehend hohe Verfügbarkeit an. Geplante Wartung kündigen wir mindestens 24 Stunden vorher an und legen sie möglichst außerhalb der Arbeitszeiten.

Zugriff durch uns

Administrative Zugriffe auf Kundensysteme sind auf ausdrücklich autorisierte Personen beschränkt und bei allen beteiligten Anbietern durch Multi-Faktor-Authentifizierung geschützt. Zugriffe auf die Datenbank werden protokolliert.
Zugangsdaten und Schlüssel liegen in einem verschlüsselten Tresor, nie im Quellcode.
Kundendaten werden nicht für Tests verwendet; Demo- und Entwicklungsumgebung enthalten ausschließlich fiktive Daten.

Protokollierung und Datensparsamkeit

Änderungen an Anträgen, Genehmigungen und Stammdaten werden mit Zeitstempel und Bearbeiter gespeichert.
Das Portal setzt keine Tracking-Dienste, keine Analyse-Cookies und keine externen Skripte ein.
Bei der Einführung übernehmen wir nur die für den Betrieb nötigen Daten; Importvorlagen werden nach dem Import gelöscht.

Auftragsverarbeitung und Unterauftragnehmer

Mit jedem Kunden schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit technischen und organisatorischen Maßnahmen (Anlage B) und Liste der Unterauftragnehmer (Anlage C). Datenschutzverletzungen, die Kundendaten betreffen, melden wir dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis (Art. 33 Abs. 2 DSGVO).

Unternehmen	Leistung	Ort	Grundlage
Supabase Inc. (Betrieb über AWS EMEA SARL, Luxemburg)	Datenbank, Anmeldung, Dateispeicher, Serverfunktionen	Frankfurt am Main (EU)	Verarbeitung in der EU, DPA mit Supabase
Netlify, Inc., USA	Auslieferung der Portal-Oberfläche (keine Kundendaten)	weltweit (CDN)	EU-US Data Privacy Framework, DPA
Infomaniak Network SA, Genf	Versand von Benachrichtigungs-E-Mails, falls der Kunde keinen eigenen Mailserver bereitstellt	Schweiz	Angemessenheitsbeschluss der EU-Kommission, DPA
Cloudflare, Inc., USA	DNS-Auflösung der Domain andhromeda.app	weltweit, keine Kundendaten	EU-US Data Privacy Framework

Datenexport und Löschung

Monatlich kündbar. Nach Vertragsende erhalten Sie auf Anforderung innerhalb von 14 Tagen einen vollständigen Export: Tabellen als CSV/Excel, Dateien (Belege, Atteste, Dokumente) als ZIP.
30 Tage nach Vertragsende löschen wir alle Daten einschließlich Sicherungskopien und bestätigen die Löschung in Textform.

Dokumente

Allgemeine Geschäftsbedingungen (PDF) · Auftragsverarbeitungsvertrag mit Anlagen A bis C und das Verzeichnis der Verarbeitungstätigkeiten erhalten Sie auf Anfrage an portal@andhromeda.app.

Fragen zur Sicherheit beantworten wir direkt: portal@andhromeda.app