Technische und organisatorische Maßnahmen

Anwendung, Datenbank und Datei-Uploads laufen in einem Rechenzentrum in Deutschland, die Sicherungen in einem Rechenzentrum in Schweden. Der physische Zutrittsschutz wird durch die jeweiligen Anbieter gewährleistet; Scaleyo betreibt keine eigenen Serverräume.

• Für jedes Nutzerkonto individuelle Zugangsdaten; kein gemeinsam genutzter Zugang.
• Passwörter werden nicht im Klartext gespeichert, sondern als bcrypt-Hash.
• Sitzungen laufen über ein HMAC-signiertes Session-Cookie, in der Produktion mit HttpOnly, Secure und SameSite=Lax.
• Serverseitige Sitzungslaufzeit von 30 Tagen; abgelaufene Sitzungen werden verworfen.
• Zweitfaktor über zeitbasierte Einmalcodes (TOTP) mit Wiederherstellungscodes, je Konto aktivierbar.
• fail2ban auf dem Server gegen automatisierte Anmeldeversuche.

Ergänzend ist Single Sign-on über Microsoft 365 beziehungsweise Microsoft Entra ID im Einsatz; für Administrator- und Recruiting-Zugänge ist dort eine Mehrfaktor-Authentifizierung verpflichtend.

• Zugriff auf Bewerberprofile, Bewerbungsunterlagen, Vakanzen und Feedback ausschließlich rollen- und berechtigungsbasiert.
• Ein Kundenunternehmen sieht nur seine eigenen Vakanzen und Bewerberdaten.
• Ein Kandidat existiert für den Kunden erst mit einer ausdrücklichen Freigabe — ohne sie ist er auch über die direkte Adresse nicht erreichbar.
• Dateien werden nur über authentifizierte Routen mit Berechtigungsprüfung ausgeliefert; es gibt keinen öffentlichen Direktzugriff auf den Upload-Speicher.
• Onboarding-Pläne sind ausschließlich für das anlegende Mitglied sichtbar, auch nicht für Administratoren.
• Berechtigungen werden nach dem Need-to-know-Prinzip vergeben und regelmäßig überprüft.

Daten verschiedener Kundenunternehmen sind über die Zuordnung von Nutzern, Firmen und Berechtigungen logisch getrennt. Zum Testen und Vorführen dienen dedizierte synthetische Konten unter der Domäne .test (RFC 2606) samt einer synthetischen Testfirma — echte Mitglieder- oder Kundendaten werden dafür nicht verwendet. Ein Administrator, der in ein Testkonto wechselt, wird durchgehend durch ein Banner darauf hingewiesen; der Wechsel und die Rückkehr werden protokolliert.

• Bewerberzeilen werden nach Ablauf der Aufbewahrungsfrist anonymisiert: Unterlagen, Belege, Bewertungsläufe und Protokoll werden gelöscht, die Zeile bleibt ohne Personenbezug für Kennzahlen stehen.
• Im Onboarding-Planer wird die Lebenslaufdatei nach der Erzeugung des Plans gelöscht; nur der für die Planung benötigte Text bleibt.
• Bewerberdaten und Bewerbungsdokumente werden nicht an den KI-Assistenten übermittelt.

• Übermittlungen an Dienstleister erfolgen nur im Rahmen der dokumentierten Dienstleisterkette und der erteilten Weisungen.
• Der Server erlaubt ausgehende Verbindungen nur an freigegebene Ziele (Egress-Firewall-Allowlist) — eine unbeabsichtigte Übermittlung an einen nicht vorgesehenen Dienst wird auf Netzwerkebene unterbunden.
• Content-Security-Policy und weitere Sicherheitsheader in der Anwendung; Schriften und Skripte werden lokal ausgeliefert, es gibt keinen Abruf externer Ressourcen.
• Drittlandübermittlungen oder Zugriffe aus Drittländern werden vor ihrem Einsatz datenschutzrechtlich bewertet.

• Datenschutzrelevante Handlungen im Recruiting- und Onboarding-Bereich werden mit handelnder Person, Zeitpunkt und Gegenstand protokolliert.
• Jeder KI-Lauf wird mit Modellversion, Dauer und Kosten protokolliert — die Nachweispflicht für Hochrisiko-Anwendungen nach der KI-Verordnung.
• Jeder Versand einer E-Mail wird mit Empfänger, Betreff, Inhalt und Status protokolliert.
• Bewertungen tragen die Belegstellen, auf die sie sich stützen, und die Messlatte, an der gemessen wurde; Korrekturen bleiben nachvollziehbar.

Datenbank und Datei-Uploads liegen auf persistenten Datenträgern, die einen Neustart des Containers überdauern. Täglich um 03:00 wird eine Sicherung von Datenbank und Uploads erstellt und serverseitig verschlüsselt (AES-256) in einen S3-Speicher von Amazon Web Services in der Region eu-north-1 (Stockholm) geschrieben. Sicherungen älter als 35 Tage werden im selben Lauf gelöscht — ohne diese Grenze überdauerten personenbezogene Daten in den Sicherungen jede Löschfrist des Produktivsystems.

• Automatische Sicherheitsupdates des Betriebssystems.
• Egress-Firewall-Allowlist und fail2ban zum Schutz der Betriebsumgebung.
• Aktivierte Sicherheitsmeldungen für Abhängigkeiten (Dependabot); gemeldete Schwachstellen werden nach Risiko priorisiert behoben.

Wiederherstellungstests werden nach dem Backup- und Notfallkonzept regelmäßig durchgeführt.

Für Sicherheitsvorfälle, Betriebsstörungen und Datenschutzverletzungen bestehen Melde- und Eskalationswege. Der Auftragsverarbeiter dokumentiert Vorfälle, ergreift Maßnahmen zur Eindämmung und unterstützt den Auftraggeber bei Bewertung und Bearbeitung — siehe AVV §8.