Entwurf — dieser Text ist noch nicht juristisch geprüft. Markierte Stellen [so] sind noch offen und werden vor dem Produktivstart festgelegt.
Maßnahmen nach Art. 32 DSGVO, die Bellegio zum Schutz der Kita-Daten einsetzt. Sie sind Anlage zum Auftragsverarbeitungsvertrag. Jede Zeile nennt ehrlich, ob die Maßnahme bereits im Programm umgesetzt ist, mit dem Produktivstart kommt oder vom Betreiber organisatorisch ergänzt wird.
Trennung der Kunden auf Datenbankebene
Jeder Träger sieht ausschließlich seine eigenen Daten. Die Trennung wird in der Datenbank selbst erzwungen (Row-Level-Security), nicht nur in der Oberfläche.
Rechte je Einrichtung und Bereich
Zugriff auf Belegung, Personal, Controlling und Szenario-Rechner lässt sich je Einrichtung in den Stufen „kein Zugriff“, „ansehen“ und „bearbeiten“ vergeben. Die Träger-Administration verwaltet Nutzer und Rechte; wer Rechte vergeben darf, kann nie mehr vergeben, als er selbst hat.
Betreiber ohne Einsicht in Kinder- und Personaldaten
Der Betreiberbereich zeigt Kunden, Einrichtungen, Kennzahlen (z. B. Anzahl aktiver Kinder) und Rechnungen — keine Namen oder Einzelangaben zu Kindern und Personal.
Passwortregeln
Mindestens 10 Zeichen, Sperre offensichtlicher Passwörter. Passwörter werden nicht im Klartext gespeichert (Supabase Auth).
Zwei-Faktor-Anmeldung
Jedes Konto kann eine Authenticator-App als zweiten Faktor einrichten; im Betreiberbereich ist der bestätigte Code Pflicht, sobald er eingerichtet ist.
Prüfung auf bekannte Passwort-Leaks
Abgleich neuer Passwörter mit Datenbanken bekannter Leaks.
Verschlüsselte Übertragung
Zugriff ausschließlich über HTTPS mit HSTS.
Schutz vor typischen Web-Angriffen
Sicherheits-Header (u. a. Content-Security-Policy, Schutz vor Einbettung in fremde Seiten, MIME-Sniffing-Schutz).
Exporte nur für Berechtigte
Excel- und PDF-Exporte sind an dieselben Rechte wie die Ansichten gebunden.
Änderungsprotokoll
Änderungen an Kindern und Personal werden mit Zeitpunkt und Nutzer festgehalten.
Löschprotokoll
Löschen und Anonymisieren wird ohne personenbezogene Inhalte protokolliert (wer, wann, welcher Datensatz).
Unveränderliche Rechnungen
Freigegebene Rechnungen lassen sich nicht mehr ändern, Korrekturen laufen über Storno und Gutschrift.
Datensicherung
Regelmäßige Sicherungen der Datenbank durch den Datenbank-Anbieter, mit Wiederherstellung zu einem beliebigen Zeitpunkt.
Getrennte Test- und Produktivumgebung
Testdaten und Testkonten liegen nicht in der Produktivdatenbank.
Überwachung
Fehler-Monitoring und Erreichbarkeitsprüfung.
Auskunft
Für jedes Kind und jede Person lässt sich eine Auskunft nach Art. 15 DSGVO als Ausdruck oder Excel erzeugen.
Löschen und Anonymisieren
Die Träger-Administration kann ausgetretene Kinder und ausgeschiedenes Personal endgültig löschen oder anonymisieren; eine einstellbare Löschfrist erinnert an fällige Einträge.
Datenstandort
Die Datenbank liegt in einem Rechenzentrum in Frankfurt am Main.
Verpflichtung auf Vertraulichkeit
Mitarbeitende und Dienstleister mit Datenzugriff werden auf Vertraulichkeit verpflichtet.
Umgang mit Datenschutzverletzungen
Meldeweg und Fristen bei Datenpannen (Art. 33 DSGVO).
Datenschutzschulung
Schulung der Personen mit Zugriff auf Kundendaten.