Hosting & Infrastruktur
- Serverregion Frankfurt (EU) – Hosting bei Vercel
- Datenbank bei Supabase, ebenfalls in der Region Frankfurt (EU)
- HSTS aktiv (erzwungenes HTTPS inkl. Subdomains)
- Row-Level-Security auf allen Datenbanktabellen – mandantengetrennt: Organisationen sehen ausschließlich ihre eigenen Daten
Zugang & Authentifizierung
- Kein öffentlicher Selbst-Registrierungs-Zugang
- Zwei-Faktor-Authentifizierung (TOTP) für alle Administrations-Konten
- Teilnahme an Befragungen, Feedback-Prozessen und Polling-Sessions läuft über Zugangs-Token bzw. PINs ohne Konto oder Passwort – je nach Konfiguration anonym oder personalisiert
Datenschutz (DSGVO)
- Konfigurierbare Anonymitätsschwelle (Mindestgruppengröße, Standard 5 Personen je Auswertungsgruppe) – Auswertungen darunter werden gesperrt oder zusammengeführt
- OrgSondara ist ein Produkt der W.A.L. Instruments (Mag. Werner A. Leeb), die als Auftragsverarbeiter Ihrer Organisation tätig wird – Auftragsverarbeitungsvertrag nach Art. 28 DSGVO inkl. Sub-Auftragsverarbeiter-Liste auf Anfrage
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit Anthropic für KI-gestützte Auswertungstexte liegt vor
- Selbst-Service für Daten-Export (Art. 20) und Löschung (Art. 17) für Plattform-Konten
- Audit-Log protokolliert sicherheitsrelevante Verwaltungsaktionen
- Wöchentlicher automatisierter Security-Check (u. a. Datenbankrechte, Zugangs-Konfiguration) mit Meldung bei kritischen Befunden
Künstliche Intelligenz & Transparenz
- KI-gestützte Interpretationstexte sind eine optionale Zusatzfunktion, kein Pflichtbestandteil einer Auswertung
- Verarbeitung läuft über die Anthropic-API (Claude), mit dem oben genannten Auftragsverarbeitungsvertrag
- Freitextantworten werden ohne Namens- und Zuordnungsdaten an den KI-Dienst übertragen; personenbezogene Angaben, die Teilnehmende selbst in Freitexte schreiben, können technisch nicht ausgeschlossen werden
- KI-generierte Textabschnitte sind für Nutzer:innen als solche erkennbar, keine automatisierte Einzelentscheidung mit Rechtswirkung gegenüber Personen
- Wir nehmen an dieser Stelle bewusst keine eigene Einordnung des KI-Einsatzes in eine Risikoklasse des EU-AI-Act vor – das ist eine rechtliche Einzelfallbewertung, die diese Seite nicht vorwegnimmt
Für Betriebsvereinbarungen oder eine Datenschutz-Kurzübersicht zur Weitergabe an eine Personalvertretung stellen wir auf Anfrage passende Unterlagen zur Verfügung. AVV-Muster auf Anfrage.