Datenisolierung

Mandantenfähige Architektur mit datenbankgesteuerten Grenzen.

PostgreSQL Row-Level Security

Jede mandantenspezifische Tabelle verfügt über eine Row-Level-Security-Richtlinie, die Zeilen nach Organisation filtert. Dies wird von Postgres selbst durchgesetzt, nicht vom Anwendungscode, sodass selbst ein Fehler in unseren Controllern keine Daten zwischen Mandanten preisgeben kann.

Mandantenkontext pro Anfrage

Jede Anfrage setzt eine Postgres-Sitzungsvariable (SET LOCAL) mit der authentifizierten Organisations-ID. RLS-Richtlinien referenzieren diese Variable und stellen sicher, dass Abfragen niemals Zeilen eines anderen Mandanten zurückgeben.

UUID-Primärschlüssel

Alle Datensätze verwenden UUIDv4-Bezeichner anstelle sequenzieller Ganzzahlen. Ressourcen-IDs können nicht erraten oder aufgezählt werden.

Verschlüsselung

Daten geschützt bei der Übertragung und im Ruhezustand.

TLS überall

Der gesamte Datenverkehr wird mit TLS verschlüsselt. HTTPS wird in der Produktion mit HSTS-Headern erzwungen, und Klartext-HTTP-Anfragen werden automatisch umgeleitet.

Verschlüsselte sensible Attribute

Demografische Attribute (Geschlecht, Ethnizität, Abteilung), die für die Gleichstellungsanalyse verwendet werden, werden auf Anwendungsebene mit AES-256-GCM verschlüsselt, bevor sie in die Datenbank geschrieben werden.

Gehashte API-Schlüssel

API-Schlüssel werden vor der Speicherung mit SHA-256 gehasht. Wir speichern niemals den Roh-Token: er wird einmalig bei der Erstellung angezeigt und kann nicht erneut abgerufen werden.

bcrypt-Passwort-Hashing

Benutzerpasswörter werden mit bcrypt gehasht. Rohpasswörter werden niemals gespeichert oder protokolliert.

Anonymität & Datenschutz

Das Vertrauen der Mitarbeitenden ist die Grundlage ehrlicher Kulturdaten.

Mindestschwelle von 5+ Antworten

Gruppen unterhalb des Anonymitätsschwellenwerts, mindestens 5 Antworten und pro Organisation höher konfigurierbar, werden automatisch in jedem Dashboard, Export und Bericht ausgeblendet. Dies verhindert, dass Führungskräfte einzelne Befragte in kleinen Teams identifizieren können.

Ausschließlich aggregierte Berichterstattung

Alle Kulturwerte, Gleichstellungskennzahlen und Compliance-Berichte werden aus aggregierten Daten berechnet. Einzelne Umfrageantworten werden Administratoren oder Führungskräften niemals angezeigt.

Keine individuelle Identifizierung

Umfrageantworten sind pseudonym und werden Managern oder Administratoren nie als Einzeldatensatz angezeigt, sondern nur als Teil eines Aggregats von 5 oder mehr Antworten. Rollenbasierte Zugriffskontrolle und Row-Level-Security setzen dies auf Datenbank- und Anwendungsebene durch.

Fallbezogene Sichtbarkeit im Kanal

Nur die einem Fall zugewiesenen Ermittler und der von der Organisation benannte Systemverantwortliche können ihn öffnen. Ein Organisationsadministrator, der keines von beiden ist, wird abgewiesen, und Admin-Impersonation umgeht das nicht. Jeder Zugriff und jeder abgewiesene Versuch wird im Audit-Log festgehalten.

Aufbewahrung im Kanal

Meldungen ohne eröffnete Untersuchung werden nach 3 Monaten gelöscht, Inhalt und personenbezogene Daten, übrig bleibt eine anonyme Zählzeile. Abgeschlossene Fälle werden 10 Jahre nach Abschluss bereinigt, oder früher nach Wahl der Organisation. Jeder Lauf wird mit Zahlen auditiert.

Anwendungssicherheit

Header, Richtlinien und Browser-Schutzmechanismen.

Content Security Policy

Eine strenge CSP beschränkt Skript-, Style-, Bild- und Frame-Quellen. frame-ancestors ist auf 'none' gesetzt, um Clickjacking zu verhindern.

Strenge Parameter-Whitelisting

Alle Controller-Aktionen verwenden explizite Parameter-Permit-Listen. Pauschales Permit ist durch Projektrichtlinien verboten und wird im Code-Review durchgesetzt.

Filterung sensibler Parameter

Passwörter, Token, API-Schlüssel und andere sensible Werte werden automatisch aus Anwendungsprotokollen entfernt.

Kontinuierliche Sicherheitstests

Automatisierte Prüfungen bei jedem Commit.

Brakeman

Statischer Analyse-Scanner, der bei jedem CI-Lauf auf SQL-Injection, XSS, Mass Assignment und andere Rails-spezifische Schwachstellen prüft.

bundler-audit

Prüft alle Ruby-Gem-Abhängigkeiten gegen die Ruby Advisory Database auf bekannte CVEs vor jedem Deploy.

importmap:audit

Scannt gevendorte JavaScript-Abhängigkeiten auf bekannte Schwachstellen.

Fragen zu unseren Sicherheitspraktiken?

Wir besprechen gerne unsere Architektur, beantworten Sicherheitsfragebögen oder erläutern Ihnen unseren Ansatz zum Schutz von Mitarbeiterdaten.

Kontakt aufnehmen

Wo Ihre Daten liegen

Kundendaten werden auf Servern gespeichert. Der Datenverkehr läuft über das Netzwerk von Cloudflare. Wenn Sie eine optionale Integration eines Anbieters mit Sitz außerhalb des EWR verbinden (Slack, Microsoft, Google, Okta, BambooHR, Gusto), werden die Daten, die Sie synchronisieren, nach den Bedingungen dieses Anbieters, dem EU-US Data Privacy Framework oder Standardvertragsklauseln übermittelt.

Sicherheits- und Beschaffungspaket

Was ein Sicherheitsfragebogen verlangt. Jeder Punkt verweist auf das Dokument, sobald es veröffentlicht ist; für alles andere fragen Sie an, und wir senden es Ihnen.

Auftragsverarbeitungsvertrag (Art. 28 DSGVO) Auf Anfrage verfügbar: Per E-Mail anfordern
Liste der Unterauftragsverarbeiter Ansehen
Technische und organisatorische Maßnahmen Ansehen
Vorlage für die Datenschutz-Folgenabschätzung bei psychosozialen Befragungen und Zeiterfassung Auf Anfrage verfügbar: Per E-Mail anfordern
Zusage zur Meldung von Datenschutzverletzungen (binnen 48 Stunden) Ansehen
Richtlinie zu Backup und Wiederherstellung Auf Anfrage verfügbar: Per E-Mail anfordern
Aufbewahrungsfristen Ansehen
Zusammenfassung des Penetrationstests Auf Anfrage verfügbar: Per E-Mail anfordern
Erklärung zur Barrierefreiheit (EN 301 549) Auf Anfrage verfügbar: Per E-Mail anfordern

Zertifizierungen

ISO 27001 (geplant)
ENS Básica (geplant)
SOC 2 (geplant) USA, später.

Unterauftragsverarbeiter

Stellen, die in unserem Auftrag Kundendaten verarbeiten.

Name	Zweck	Standort	Übermittlungsgrundlage
Wird bestätigt	Server-Hosting	Wird bestätigt	Wird bestätigt
Cloudflare, Inc.	CDN, Proxy, DDoS-Schutz	Globales Edge-Netzwerk, US-Gesellschaft	EU-US Data Privacy Framework und Standardvertragsklauseln
Wird bestätigt	Transaktions-E-Mail	Wird bestätigt	Wird bestätigt

Integrationen, die Sie aktivieren

Optional und vom Kunden veranlasst: Sie entscheiden, sie zu verbinden, und Sie schließen den Vertrag mit dem Anbieter. Sie sind keine Unterauftragsverarbeiter von ClimaHQ.

Anbieter	Hauptsitz	Auftragsverarbeitungsvertrag
Slack	Vereinigte Staaten	DPA des Anbieters Geprüft am 2026-10-14
Microsoft	Vereinigte Staaten	DPA des Anbieters Geprüft am 2026-10-14
Google	Vereinigte Staaten	DPA des Anbieters Geprüft am 2026-10-14
Okta	Vereinigte Staaten	DPA des Anbieters Geprüft am 2026-10-14
BambooHR	Vereinigte Staaten	DPA des Anbieters Geprüft am 2026-10-14
Gusto	Vereinigte Staaten	DPA des Anbieters Geprüft am 2026-10-14
Personio	Deutschland	DPA des Anbieters Geprüft am 2026-10-14
HiBob	Wird bestätigt	DPA des Anbieters Geprüft am 2026-10-14
Factorial	Spanien	DPA des Anbieters (Zugang auf Anfrage) Geprüft am 2026-10-14

Sicherheitspaket anfordern