Sicherheit und Datenschutz: so schützt Evnty deine Eventdaten

Evnty läuft bei Cloudflare. Datenbank, Dateispeicher und Echtzeit-Räume der App sind auf die EU-Jurisdiktion festgelegt. Anfragen nimmt das Cloudflare-Rechenzentrum in deiner Nähe entgegen.

Einige Dienste laufen im globalen Netz von Cloudflare ohne EU-Bindung: PDF-Erzeugung, Belegerkennung, E-Mail-Versand, Hintergrundaufgaben und Protokolle. Sie verarbeiten Daten, während eine Aufgabe läuft. Auch der Suchindex für KI-Verbindungen ist nicht an die EU gebunden und bleibt bestehen, solange eine Organisation die Funktion nutzt. Übermittlungen stützen sich auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Die Details stehen in der Datenschutzerklärung.

Angemeldet wird mit einem Passwort ab 12 Zeichen, einem Anmeldelink oder einem Passkey, auf Wunsch zusätzlich mit Zwei-Faktor-Authentifizierung per Authenticator-App. Organisationen können Zwei-Faktor-Authentifizierung für alle Mitglieder verlangen. Ohne sie verweigert die API den Zugriff auf die Daten der Organisation.

Anmelde-Cookies sind HttpOnly und Secure. Alle sehen ihre Sitzungen und können sie beenden, nach 30 Tagen ohne Aktivität laufen Sitzungen ab. Registrierung, Anmeldelinks, Passwort-Reset und öffentliche Formulare schützen Cloudflare Turnstile und Ratenbegrenzungen.

Acht Rollen legen fest, wer was sehen und tun darf: Inhaber:in, Admin, Finanzen, Eventmanagement, Booking, Personal, Lesezugriff und Mitarbeiter:in im Portal. Dieselben Regeln gelten in der App und in der API. Einzelne Events lassen sich auf bestimmte Personen beschränken, Mitarbeitende sehen im Portal nur ihre eigenen Schichten und Stunden.

Jede Datenbankabfrage ist an eine Organisation gebunden. Automatische Prüfungen laufen bei jeder Codeänderung und stellen sicher, dass keine Abfrage Daten einer anderen Organisation lesen oder ändern kann.

Jede Verbindung läuft über HTTPS mit HSTS. Datenbank und Dateien verschlüsselt Cloudflare im Ruhezustand.

Zusätzlich verschlüsselt Evnty sensible Personalfelder einzeln mit AES-256-GCM: Adresse, Steuer-ID, Sozialversicherungsnummer, IBAN und Notfallkontakt. Dasselbe gilt für API-Tokens der Buchhaltung, etwa den für SevDesk. Sensible Personalfelder zu lesen braucht eine eigene Berechtigung, und jeder Aufruf wird protokolliert.

Änderungen an Finanz-, Personal-, Zeit- und Berechtigungsdaten protokolliert Evnty mit Person, Zeitpunkt und Anfrage, im selben Datenbankschritt wie die Änderung selbst.

Korrekturen an Arbeitszeiten brauchen einen Grund und landen in einer Historie, die sich nicht ändern oder löschen lässt, gesichert durch eine SHA-256-Hashkette. Abgeschlossene Abrechnungsmonate bleiben gesperrt. Mehr unter Zeiterfassung.

KI-Verbindungen sind aus, bis Inhaber sie einschalten und festlegen, ob nur Admins oder alle Mitglieder verbinden dürfen. Verbinden setzt Zwei-Faktor-Authentifizierung und eine frische Anmeldung voraus. Der Zugriff läuft über OAuth 2.1 mit kurzlebigen Tokens für genau eine Organisation.

Assistenten lesen nur, was die erteilten Berechtigungen und die Rolle des Mitglieds beide erlauben, über feste Feldlisten: keine Notizen, Kontakte, Personal-, Zeit-, Vertrags-, Datei- oder Buchhaltungsdaten. Werkzeuge, die schreiben, gibt es nicht. Mehr unter KI-Verbindungen.

Die Datenbank lässt sich auf jeden Zeitpunkt der letzten 30 Tage zurücksetzen. Konten löschst du in der App. Schließt eine Organisation, kann sie ihre Daten noch 30 Tage exportieren, danach werden sie gelöscht. Gelöschte Daten können bis zu 30 Tage in gesperrten Backups verbleiben.

Keine Tracking- oder Werbe-Cookies. Die Webanalyse läuft nur mit Einwilligung und setzt keine Cookies. Anwendungsprotokolle enthalten keine Inhalte, E-Mail-Adressen, IP-Adressen oder Tokens und werden nach 7 Tagen gelöscht. Bewerbungen aus öffentlichen Formularen löscht Evnty automatisch nach der Frist, die du festlegst.

Für die Daten, die deine Organisation in Evnty verwaltet, ist deine Organisation verantwortlich, Evnty verarbeitet sie im Auftrag. Mit jeder Organisation schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter gehören dazu. Du bekommst sie unter hallo@evnty.de.