Als läge dort eine Personalakte.
Kündigungsanhörungen, Beschwerden, Verhinderungsgründe. Wie wir damit umgehen, ohne Fachsprache.
Alles hier ist im Programmcode oder auf dem Server nachprüfbar. AV-Vertrag nach Art. 28 DSGVO und dieses Blatt bekommen Sie, bevor etwas unterschrieben wird.
Die drei Zusagen
Alles andere auf dieser Seite dient diesen dreien.
Der Arbeitgeberzugang trägt null Rechte
Den Zugang gibt es, § 79a BetrVG verlangt ihn. Er trägt kein einziges Leserecht: nicht auf Sitzungen, Vorgänge, Dokumente, Wissen, Kalender oder Chat. Nur was das Gremium einzeln freigibt.
Jedes Gremium sieht nur sich selbst
Jede Abfrage wird automatisch auf das eigene Gremium eingeschränkt. Das entscheidet die Datenbankschicht bei jedem Zugriff, nicht ein Programmierer je Bildschirm.
Wir lesen nicht mit
Technisch haben wir Zugang zum Server. Vertraglich zugesagt ist: nur zur Fehlersuche, nur auf Anforderung.
Der Chat ist getrennt gebaut
Für den Arbeitgeber technisch nicht einsehbar, auch nicht versehentlich. Chat und Freigabe teilen sich keinen gemeinsamen Inhaltstyp.
Anmeldung
Ein gestohlenes Passwort allein nützt niemandem.
Mindestens 12 Zeichen
Bekannte, häufig geknackte Passwörter werden abgelehnt.
Zweiter Faktor ist Pflicht
Ohne Code aus der Authentifizierungs-App lässt sich die Anwendung nicht benutzen.
Fünf Fehlversuche
Danach ist das Konto 15 Minuten gesperrt.
8 Stunden
Danach läuft eine ungenutzte Sitzung im Browser ab.
Jeder Klick geprüft
Wer aus dem Gremium ausscheidet, ist sofort draußen, nicht erst am nächsten Tag.
Keine offene Registrierung
Hinein kommt nur, wer vom Gremium eingeladen wurde.
Fremde Anmeldung sichtbar
Sie sehen die Gegend, aus der sie kam, die Adresse wird gekürzt gespeichert.
Kein Arbeitsplatz ablesbar
Genau deshalb gekürzt: aus der Adresse soll sich kein Standort ergeben.
Verschlüsselung
Vier Ebenen. AES-256 ist das Verfahren, mit dem auch Banken arbeiten: ein Schlüssel, der sich nach heutigem Stand nicht durchprobieren lässt.
| Wo | Wie |
|---|---|
| Auf dem Weg | Zwischen Ihrem Browser und dem Server verschlüsselt (TLS 1.2/1.3), wie beim Online-Banking. Unverschlüsselte Verbindungen werden abgewiesen. |
| Auf dem Datenträger | Datenbank und alle hochgeladenen Dateien liegen auf einem verschlüsselten Datenträger. Der Schlüssel liegt nicht auf dem Server. Wird der Rechner ausgebaut, kopiert oder beschlagnahmt, sind die Daten unlesbar. |
| In der Datenbank | Die empfindlichsten Felder zusätzlich mit AES-256, Schlüssel getrennt von der Datenbank aufbewahrt. |
| Sicherungskopien | Verschlüsselt, bevor sie den Server verlassen. Der Schlüssel zum Entschlüsseln liegt nur beim Betreiber, nicht auf dem Server. |
Sicherung und Wiederherstellung
- Täglich wird die Datenbank gesichert. Jede Sicherung wird sofort auf Lesbarkeit geprüft, dann verschlüsselt.
- Sicherungen liegen an zwei Orten: auf dem Server und auf einem getrennten Speicher.
- Hochgeladene Dateien werden ebenfalls täglich gesichert; stichprobenartig wird gelesen, ob die Sicherung wirklich zurückkommt.
- Ziel im Ernstfall: Wiederherstellung innerhalb von 4 Stunden.
- Der Umfang der Sicherung und die vereinbarten Maßnahmen stehen in der Anlage des AV-Vertrags, den Sie vorab bekommen.
Nachweisprotokoll und Dateien
Was mitgeschrieben wird
Jeder Beschluss, jeder Zugriff auf ein Dokument, jede Änderung am Mandat landet in einem Protokoll, das sich nicht nachträglich ändern lässt. Das erzwingt die Datenbank, nicht das Programm. Es gehört dem Gremium, nicht dem Arbeitgeber.
Dokumente und Dateien
- Jede hochgeladene Datei wird vor dem Ablegen auf Viren geprüft. Ist der Prüfdienst nicht erreichbar, wird die Datei abgewiesen, lieber kein Dokument als ein ungeprüftes.
- Dateien werden am Inhalt erkannt, nicht an der Endung; ausführbare Dateien kommen nicht hinein.
- Jede Fassung bleibt erhalten und trägt eine Prüfsumme. Überschrieben wird nichts.
- Ordner für Ausschüsse sieht nur der Ausschuss.
Was wir nicht tun
Die kürzeste Liste auf dieser Seite und die wichtigste.
Kein Tracking in der Anwendung
Keine Zählpixel, keine Reichweitenmessung, keine fremden Skripte. Wer sich anmeldet, wird nicht gemessen. Für diese Webseite gilt die Datenschutzerklärung.
Keine Weitergabe
Der einzige Dienstleister neben dem Rechenzentrum ist der Mailversand für Ladungen und Erinnerungen.
Nichts außerhalb der EU
Server und Sicherungen stehen in Deutschland.
Keine Cloud-KI
Ihre Inhalte gehen an keinen KI-Anbieter, weder zur Auswertung noch zum Training.
Kein Single Sign-on
Sonst sähe die IT des Arbeitgebers, wann sich wer anmeldet. Das widerspricht dem Kernversprechen.
Keine HR-Funktionen
Falsche Seite des Tisches. Auch nicht auf Wunsch eines Kunden.
Kein Schreibzugriff für den AG
Nie.
Keine Namen in Betriebsprotokollen
Was in technischen Protokollen landet, wird vorher von Personenbezug bereinigt.
Löschung und Ende der Zusammenarbeit
- Aufbewahrungsfristen sind je Art hinterlegt und laufen automatisch: Vorgänge mit Personenbezug nach ihrer eingetragenen Frist, Anwesenheitslisten nach zehn Jahren, Chat je Kanal einstellbar zwischen 1 und 120 Monaten.
- Dokumente werden nicht automatisch gelöscht, sondern zur Löschung vorgeschlagen, denn ein Dokument kann Beweismittel sein; die Entscheidung trifft das Gremium.
- Betroffenenrechte, also Auskunft, Berichtigung, Löschung und Datenübertragung, sind technisch umgesetzt, nicht nur zugesagt.
- Am Ende leitet das Gremium alle seine Daten aus, danach werden sie gelöscht. Was bleibt, ist das Nachweisprotokoll als Akte darüber, dass gelöscht wurde.
Wer Verantwortlicher ist: Verarbeitung im Auftrag des Arbeitgebers, Grundlage ist ein AV-Vertrag nach Art. 28 DSGVO. Das Gremium nutzt die Anwendung eigenverantwortlich (§ 79a S. 1 BetrVG), der Arbeitgeber bekommt keinen Zugriff.