Version 1.1 · 1. November 2026
1. Rollen
Die Kundin ist Verantwortliche für die personenbezogenen Daten ihrer Nutzerinnen und Nutzer. Der Betreiber ist Auftragsverarbeiter und handelt ausschließlich nach den dokumentierten Weisungen der Kundin; diese lauten: den Calcutab-Dienst wie in den Nutzungsbedingungen beschrieben zu erbringen.
2. Was verarbeitet wird
| Kategorie | Daten | Quelle |
|---|---|---|
| Identität | Name, E-Mail-Adresse, URL des Profilbilds | die Google- oder Atlassian-Anmeldung der Person; bei einer Person ohne Login nur der Name, von einer Führungskraft eingegeben |
| Arbeitszeit | erfasste Tage, Stunden und Minuten, je Kalendertag, je Produkt, gekennzeichnet als Neuentwicklung oder Wartung und nach Projektphase | von der Person erfasst, oder von einer Führungskraft in ihrem Namen |
| Organisation | Rolle, Stufe, Team, Abteilung, daran hängende Tagessätze | von den Führungskräften der Kundin erfasst |
| Jira-Aktivität | Vorgangsschlüssel und Zusammenfassungen, die die Person berührt hat, sowie der Tag; nie Kommentartexte | aus dem Jira der Kundin geholt, wenn die Kundin es verbindet |
| Slack | die Slack-Benutzer-ID der Person, einmalig über die E-Mail-Adresse ermittelt | wenn die Kundin Slack verbindet |
| Protokoll | wer wann was geändert hat | vom Dienst erzeugt |
Betroffene Personen sind die Beschäftigten und Auftragnehmer der Kundin, die die Kundin in Calcutab erfasst: Personen mit einem Platz, die sich anmelden, und Personen, die eine Führungskraft nur mit Namen und ohne Login erfasst, die sich nie anmelden und keinen Platz belegen. Von einer Person ohne Login speichern wir ihren Namen, die für sie erfasste Zeit, die obigen Angaben zur Organisation und das Protokoll; nie eine E-Mail-Adresse, ein Foto, Jira-Aktivität oder eine Slack-ID.
3. Dauer
Für die Laufzeit des Vertrags, danach Löschung gemäß der Aufbewahrungserklärung.
4. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3)
- Weisungen. Wir verarbeiten nur nach Weisung; wir teilen Ihnen mit, wenn eine Weisung gegen Datenschutzrecht zu verstoßen scheint.
- Vertraulichkeit. Alle Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.
- Sicherheit (Art. 32). Dargelegt in Abschnitt 6.
- Unterauftragsverarbeiter. Nur die in Abschnitt 7 genannten; jede Änderung kündigen wir 30 Tage vorher an, und Sie können widersprechen.
- Betroffenenrechte. Wir unterstützen Sie bei der Beantwortung: die Daten einer Person können auf Ihre Weisung exportiert und gelöscht werden.
- Personen ohne Login. Sie können sich nicht anmelden und ihre Daten daher nicht selbst herunterladen oder löschen. Eine Anfrage von ihnen geht an Sie; eine Führungskraft exportiert oder löscht ihre Daten über ihr Profil, und wir unterstützen Sie wie bei jeder betroffenen Person.
- Meldung von Verletzungen. Wir benachrichtigen Sie unverzüglich, nachdem wir von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt haben, mit dem, was wir zu diesem Zeitpunkt wissen, und mit Aktualisierungen, sobald wir mehr erfahren. Unser internes Verfahren ist schriftlich festgehalten und eingeübt (
docs/incident-response.md). Ihre 72-Stunden-Frist gegenüber der Aufsichtsbehörde läuft ab unserer Mitteilung, und das ist uns bewusst. - Löschung und Rückgabe. Bei Beendigung exportieren Sie; wir löschen gemäß der Aufbewahrungserklärung und bestätigen dies auf Verlangen schriftlich.
- Überprüfung. Wir stellen die Informationen bereit, die zum Nachweis der Einhaltung erforderlich sind, und ermöglichen Überprüfungen durch Sie oder eine von Ihnen beauftragte Prüferin, nach angemessener Ankündigung.
5. Wo die Daten liegen
In der EU. Die Anwendung läuft auf Google Cloud Run in europe-west1 (Belgien), die Datenbank bei Neon in AWS eu-central-1 (Frankfurt). Sicherungen bleiben in der EU. Der Dienst selbst nimmt keine Übermittlung außerhalb der EU/des EWR vor; was die einzelnen Unterauftragsverarbeiter zusagen, steht in deren Liste.
Für einen Kunden in Kanada ist das eine Übermittlung aus Kanada heraus. PIPEDA erlaubt eine Übermittlung zur Verarbeitung, wenn der Kunde für die Daten verantwortlich bleibt und einen vergleichbaren Schutz vertraglich sichert; dieser Vertrag ist dieses Mittel. Das Gesetz 25 von Québec verlangt vom Kunden zusätzlich eine Datenschutz-Folgenabschätzung, bevor personenbezogene Daten außerhalb von Québec übermittelt werden, sowie eine schriftliche Vereinbarung; dieser Vertrag ist mit den Abschnitten 6 und 7 so geschrieben, dass die Abschätzung aus dem Dokument heraus abgeschlossen werden kann.
6. Sicherheitsmaßnahmen (Art. 32)
- Die Daten jeder Kundin sind bei jeder Abfrage über eine Mandantenkennung getrennt, und die Datenbank selbst erzwingt es: mandantenübergreifende Verweise werden durch zusammengesetzte Fremdschlüssel zurückgewiesen.
- Zugangsdaten, die die Kundin uns anvertraut (Jira-API-Token, Slack-Token), werden im Ruhezustand mit AES-256-GCM verschlüsselt; der Schlüssel liegt außerhalb der Datenbank im Google Secret Manager und nie im Repository.
- Der gesamte Verkehr läuft über TLS. Sitzungs-Cookies sind Secure, HttpOnly, SameSite. Auf jeder Seite wird eine pro Anfrage erzeugte Content-Security-Policy gesendet.
- Zugriffsstufen werden serverseitig durchgesetzt; Geldbeträge werden nie an einen Browser gesendet, dessen Nutzerin sie nicht sehen darf.
- Ein nur anfügbares Änderungsprotokoll hält Änderungen an Sätzen, Mitgliedschaften, Einstellungen und Erfassungen für andere fest.
- Sicherungen werden erstellt, wobei das Wiederherstellungsverfahren eingeübt und nicht nur angenommen wird.
- Eine Alarmierung benachrichtigt den Betreiber, wenn der Dienst oder seine Datenbank nicht mehr erreichbar ist.
- Passwörter werden, wo ein Arbeitsbereich sie statt Google oder Atlassian nutzt, als gesalzene scrypt-Hashes gespeichert und nie in lesbarer Form. Einladungs- und Passwort-Token werden nur als ihr SHA-256 gespeichert, sodass eine entwendete Datenbank keines von beidem vervollständigt.
- Vor jeder Freigabe laufen fünfzehn automatische Prüfungen gegen eine Bereitstellung, die Mandantentrennung, Zugriffsstufen, Sitzungsfälschung und Informationspreisgabe abdecken.
Was nicht vorhanden ist, hier genannt, damit es nicht entdeckt werden muss: kein unabhängiger Penetrationstest, keine Rufbereitschaft, keine Zertifizierung nach SOC 2 oder ISO 27001. Die vollständige Liste steht unter /security.
7. Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Zweck | Ort |
|---|---|---|
| Google Cloud (Cloud Run, Secret Manager, Cloud Monitoring, Cloud Scheduler) | Betrieb der Anwendung, Verwahrung von Geheimnissen, Alarmierung, die beiden geplanten Jobs | europe-west1 (Belgien); es gilt der AVV von Google |
| Neon | die PostgreSQL-Datenbank | AWS eu-central-1 (Frankfurt) |
| Resend | Einladungen, Passwort-Zurücksetzungen, Erinnerungen und die wöchentliche Übersicht | EU-Region; es gilt deren AVV |
| Google (Anmeldung) | nur Authentifizierung; wir erhalten Name, E-Mail-Adresse und Bild | gemäß deren Bedingungen |
| Atlassian (Anmeldung) | nur Authentifizierung, falls genutzt (Name, E-Mail-Adresse und Konto-ID) | gemäß deren Bedingungen |
| Atlassian Jira | nur wenn Sie es verbinden, und nur lesend, was Abschnitt 2 aufführt | Ihre eigene Instanz |
| Slack | nur wenn Sie es verbinden, zur Zustellung von Erinnerungen | Ihr eigener Arbeitsbereich |
Es werden keine weiteren Unterauftragsverarbeiter eingesetzt. Diese Liste ist vollständig; eine Änderung daran ist eine Änderung dieses Dokuments, und Abschnitt 4 regelt, wie Sie davon erfahren.
8. Recht
Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland und ist Bestandteil der Nutzungsbedingungen. Wo die DSGVO und dieses Recht voneinander abweichen, geht die DSGVO vor.
Dieser Vertrag soll die Rechte, die eine betroffene Person nach dem kanadischen PIPEDA oder dem durch Gesetz 25 geänderten Datenschutzgesetz für den privaten Sektor von Québec hat, erfüllen und nicht einschränken.
9. Kontakt
Datenschutzanfragen, Betroffenenanfragen und Meldungen von Verletzungen: support@calcutab.com.
Wir bestätigen eine Betroffenenanfrage innerhalb von 72 Stunden und beantworten sie innerhalb der Frist, die die DSGVO vorsieht. Eine Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, wird Ihnen unverzüglich und jedenfalls binnen 72 Stunden nach unserer Kenntniserlangung mitgeteilt.