Compliance, Datenschutz und Betrieb bei Caltrix

Datenstandort und Auftragsverarbeitung

Caltrix wird in einem Rechenzentrum in Deutschland betrieben. Mit jedem Vertrag schließen wir eine Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 DSGVO; die technischen und organisatorischen Maßnahmen (TOMs) stellen wir im Rahmen des Vertragsschlusses bereit. Jeder Kunde erhält einen eigenen Mandanten mit eigener Datenbank; Daten verschiedener Kunden werden nicht vermischt.

Sicherheit und Zugriffskontrolle

• Zwei-Faktor-Authentifizierung (2FA) für alle Konten
• Single Sign-on: OIDC und SAML mit eigener IdP-Anbindung (ab Level Entwicklung)
• Rollenbasierte Rechte mit fein geschnittenen Scopes je Organisationseinheit
• 4-Augen-Prinzip bei der Rollenvergabe (im Level Compliance)
• Audit-Log: sicherheitsrelevante Aktionen werden nachvollziehbar protokolliert

Auditierbare Nachweise

Nachweise sind in Caltrix Plattformfunktionen, keine Zusatzmodule: Zertifikate mit Ablaufdatum, Compliance-PDF auf Knopfdruck, signierte Nachweis-Bundles (HMAC) für die revisionssichere Weitergabe sowie wiederkehrende Pflichtschulungen mit Überfälligkeits-Tracking und Eskalation. Damit lassen sich Audits vorbereiten, ohne Excel-Listen zusammenzusuchen.

Gesetzliche Fristen in der Personalverwaltung

Wer die Personalverwaltung von Caltrix nutzt, bekommt vier Pflichten mitgeliefert, die sonst an Wiedervorlagen und Kalendereinträgen hängen. Eine Leitplanke gilt dabei durchgehend und sie erklärt den Zuschnitt aller vier: Das System nennt die Regel und die Zahl, es urteilt nicht über den Menschen. Aus einer Warnung wird also keine Bewertung, aus einer Frist keine Personalakte-Notiz.

Arbeitszeit: die Warnung kommt vorher

Geprüft werden drei Grenzen des Arbeitszeitgesetzes: die äußerste werktägliche Arbeitszeit von zehn Stunden (§ 3 Satz 2), die elf Stunden ununterbrochene Ruhezeit zwischen zwei Arbeitstagen (§ 5 Abs. 1) und die Ruhepausen von 30 Minuten ab sechs und 45 Minuten ab neun Stunden (§ 4). Dazu kommt eine Warnschwelle, die ihr selbst setzt, und die Ausnahme nach § 18 Abs. 1 Nr. 1 beziehungsweise § 7, die die gesetzlichen Prüfungen herausnimmt.

Entscheidend ist der Zeitpunkt: Gewarnt wird, bevor die Buchung steht, und noch einmal danach. Ein Bericht am Monatsende hätte niemandem geholfen, er wäre ein Beweismittel gegen die eigene Firma. Geblockt wird die Eingabe trotzdem nicht, denn aufzuzeichnen ist auch der Verstoß (§ 16 Abs. 2 ArbZG). Die Aufzeichnungen selbst werden mindestens zwei Jahre aufbewahrt; diese Untergrenze erzwingt der Löschlauf, unabhängig davon, was in der Konfiguration steht.

Nachweisgesetz: eine Liste statt einer Wiedervorlage

§ 2 Abs. 1 Satz 4 NachwG staffelt die Aushändigung der wesentlichen Vertragsbedingungen auf drei Termine: einen Teil am ersten Arbeitstag, einen weiteren bis zum siebten Kalendertag, den Rest binnen eines Monats. § 4 knüpft ein Bußgeld daran. Caltrix führt dazu eine Fristenkontrolle: eine Liste, die zeigt, wo ein Nachweis fehlt und seit wann, gerechnet vom vereinbarten Beginn des Vertrags und nicht vom Tag, an dem jemand die Akte angelegt hat.

Wir sagen dazu, was sie nicht ist. Die Liste wartet darauf, dass jemand sie ansieht; eine Erinnerung geht nicht von selbst heraus. Und sie deckt die Ersterteilung nach § 2, nicht den Mitteilungstag bei einer späteren Vertragsänderung nach § 3. Eine Frist, die niemanden erreicht, ist ein Datum und wir verkaufen sie nicht als Frist.

Bewerberdaten: gelöscht wird ohne Zutun

Für Ansprüche nach dem AGG läuft eine Frist von zwei Monaten (§ 15 Abs. 4), weshalb in der Praxis regelmäßig sechs Monate nach der Absage gelöscht wird. In Caltrix ist diese Löschautomatik Bestandteil des Bewerbermanagements und keine spätere Ergänzung und sie sitzt an genau einer Stelle statt in jeder Ansicht neu. Ein Talentpool ist davon ausgenommen, er braucht eine eigene, widerrufliche Einwilligung mit eigener Frist. Der Lauf hängt nicht am gebuchten Recruiting-Modul: Wer es abbestellt, ist die Bewerbungen von gestern nicht los.

Urlaub: der Hinweis ist die Bedingung des Verfalls

Nach § 7 Abs. 3 BUrlG ist die Übertragung ins Folgejahr die Ausnahme. Nach der Rechtsprechung von EuGH und BAG (etwa 19.02.2019, 9 AZR 541/15) verfällt Urlaub aber nur, wenn die beschäftigte Person zuvor konkret aufgefordert und auf den Verfall hingewiesen wurde. Caltrix versendet diesen Hinweis ab einem Stichtag, den ihr setzt, höchstens einmal je Person und Jahr und hält ihn am Anspruch und im Audit-Log fest. Der Nachweis ist dabei der eigentliche Punkt: Wer ihn nicht führen kann, sammelt Resturlaub, der nicht verfällt.

Was Mitbestimmung und Betriebsrat dabei betrifft, steht auf der Seite Für IT und Betriebsrat.

On-Premises für regulierte Umgebungen

Wenn Regulatorik oder interne Vorgaben gegen einen Cloud-Betrieb sprechen, läuft Caltrix im eigenen Rechenzentrum: On-Premises ist im Level Compliance möglich. Die Lizenzierung funktioniert dabei auch offline, eine dauerhafte Internetverbindung ist nicht erforderlich.

Datenexport und Löschung

Kein Lock-in: Bei Vertragsende steht 90 Tage lang ein vollständiger Datenexport bereit (CSV und JSON, gemäß dem Schema der Public API). Danach erfolgt die gesicherte Löschung mit Bestätigungsschreiben.

Unterlagen für eure Prüfung

AVV-Muster, TOMs und Antworten auf Prüfungs-Fragebögen (etwa von IT-Sicherheit oder Datenschutz) stellen wir auf Anfrage bereit: anfrage@caltrix.de. Für Enterprise-Umgebungen besprechen wir Architektur, SLA und Betriebsmodell direkt mit eurer IT. Details zu den Leveln stehen auf der Preisseite.