Sicherheit und Datenschutz

Erst der Plan, dann die Änderung

Jede Abweichung erscheint als Änderung mit altem und neuem Wert. Was Sie auf „Prüfen“ stellen, wartet auf eine Person; was auf „Automatisch“ steht, wird geschrieben und protokolliert. Sicherheitsgrenzen halten große Synchronisierungen, viele Austritte an einem Tag und viele neue Abläufe an. Hat jemand ein Feld oder die OU in Google inzwischen geändert, überschreibt idenflow den Wert nicht.

Vier Augen

Ein Konto zu löschen braucht immer eine Freigabe, eine Übergabe an andere als die Führungskraft immer eine zweite Person. Schaltet ein Owner das Vier-Augen-Prinzip ein, warten von Hand gestartete Abläufe vor dem ersten Schritt und vor Anlegen, Sperren und Löschen eines Kontos auf eine zweite Person. Abläufe aus HR-Daten hält es nicht an, damit die Sperre beim Austritt nicht liegen bleibt.

Niemand entscheidet über sich selbst: Wer einen Ablauf gestartet oder einen Schritt geschrieben hat, wen er betrifft und wer etwas daraus erhält, kann ihn nicht freigeben. Jeden Schritt, der noch nicht begonnen hat, kann eine berechtigte Person zur Prüfung anhalten.

Audit-Log

Jede geschriebene Änderung, jede Freigabe und jeder Schritt steht im Audit-Log, mit Person oder System und Zeit, bei Änderungen mit altem und neuem Wert.

Das Audit-Log ist nur anhängend: Datenbank-Trigger verweigern jedem das Ändern und Löschen von Einträgen, auch dem Besitzer der Datenbank. Die Einträge sind pro Organisation verkettet; ein geänderter, eingefügter oder entfernter Eintrag fällt bei der Prüfung auf, die Sie in der Oberfläche starten. Den neuesten Stand jeder Kette gibt idenflow stündlich außerhalb der Datenbank aus. Exportieren können Sie das Audit-Log als CSV.

Zugriff auf Google

Der Zugriff auf Google läuft über domainweite Delegierung, die ein Super-Admin in der Google-Admin-Konsole einträgt. Für unseren Betrieb ist er ohne Schlüsseldatei gebaut: Das Token dafür signiert Google Clouds IAM-Credentials-API; eine herunterladbare Schlüsseldatei ist nicht vorgesehen.

Vor jedem Einsatz prüft idenflow, ob das eingetragene Admin-Konto noch zu genau Ihrem Google-Kunden gehört. Google-Admin-Konten bleiben standardmäßig unverändert. Für den laufenden Betrieb empfehlen wir ein eigenes Konto mit benutzerdefinierter Admin-Rolle statt eines Super-Admins.

Anmeldung, Rollen und Verbindungen

Anmelden können sich nur Konten von Google Workspace mit bestätigter Adresse, keine privaten Gmail-Konten. Alle 10 Minuten prüft idenflow, ob angemeldete Personen in Ihrem Google-Verzeichnis noch aktiv sind; gesperrte verlieren den Zugang.

Rollen: Owner, Admin, Freigebende und Prüfende (nur lesen); vergeben lassen sie sich auch über eine Google-Gruppe. Regeln und Abläufe ändern nur Owner und Admins. Freigebende geben frei, Prüfende lesen nur.

Die Verbindungen zu Personio und Google ändern kann nur ein Owner. Das Personio-Secret wird nach dem Speichern nicht wieder angezeigt. Zugangsdaten werden mit einem eigenen Schlüssel pro Organisation verschlüsselt, und jede Organisation ist in der Datenbank abgeschottet.

Ihre Daten

Die führenden Daten bleiben in Personio und Google Workspace. Gearbeitet wird mit einer Kopie: aus Personio der genutzten Felder, aus Google des Verzeichniseintrags jedes Kontos.

Aus Personio speichert idenflow Stammdaten wie Name, Status, Eintritts- und Austrittsdaten, Vorgesetzte, Abteilung, Team, Standort, Position und Kostenstelle. Eigene Personio-Attribute werden nur gespeichert, wenn eine Regel, ein Ablauf oder eine Einstellung sie nutzt. In Personio legt idenflow beim Verbinden einen Webhook an; Daten schreibt es dort nur die Google-Adresse, in ein eigenes Attribut, wenn Sie das wollen.

Personen und Konten, die in Personio oder Google entfernt wurden, und die aus Personio erkannten Änderungsereignisse werden nach 13 Monaten gelöscht; eine Person mit offenem Ablauf erst danach. Das Audit-Log bleibt, bis die Organisation gelöscht wird. Ein Owner kann die Organisation jederzeit mit allen Daten löschen, Audit-Log eingeschlossen.

Für Datenschutz und Betriebsrat erzeugt idenflow eine Systembeschreibung aus Ihrer Konfiguration: gelesene und geschriebene Felder, Regeln, Abläufe, Rollen, Aufbewahrung und beteiligte Dienste.

Betrieb

Für den Betrieb ist Google Cloud in Frankfurt (europe-west3) vorgesehen. Datenbank, Anwendung und Schlüssel liegen dann in dieser Region. Vorgesehen sind tägliche Datenbank-Sicherungen, von denen 30 aufbewahrt werden; gelöschte Daten bleiben in Sicherungen bis zu deren Ablauf.

Als Unterauftragsverarbeiter für den Betrieb ist Google Cloud vorgesehen. Personio, Google Workspace und, falls verbunden, Slack sind Ihre eigenen Konten. E-Mails gehen aus Ihrem eigenen Google-Postfach, nicht über einen fremden Mail-Dienst.

Wer dahintersteht

Hinter idenflow steht Weidhaus, ein Einzelunternehmen in Deutschland. Entwicklung und Betrieb liegen in einer Hand. Gebaut und getestet, aber noch bei keinem Kunden im Einsatz. Die vollständigen Anbieterangaben stehen im Impressum.