Sicherheit und Datenschutz bei ROSIE

ROSIE verschlüsselt die Übertragung, vertrauliche Felder und die stündlichen Sicherungen, trennt Mandanten logisch über kryptografisch signierte Zugriffs-Claims und einen Row-Level-Filter auf jeder Datenbankabfrage, und führt einen nachvollziehbaren Prüfpfad mit verketteter SHA-256-Hash-Kette, in dem nachträgliche Änderungen erkennbar werden. Stand: 10.10.2026

Verschlüsselung

Ebene	Massnahme
Übertragung	TLS für alle Verbindungen, HSTS erzwungen (inkl. Subdomains, Preload)
Speicherung	Vertrauliche Felder wie Diagnosen, Arztzeugnisse, Mutterschutzangaben, AHV-Nummer und IBAN einzeln verschlüsselt (AES-GCM); stündliche Sicherungen verschlüsselt (age)
Feld-Ebene	zusätzliche AES-GCM-Verschlüsselung für besonders sensible Felder (z. B. 2FA-Geheimnisse)
Audit-Protokolle	verschlüsselt mit separatem Schlüssel

Ehrlich offengelegt: Lohnangaben (Monatslohn, Stundensatz) und das Geburtsdatum sind nicht einzeln verschlüsselt. Sie sind durch die verschlüsselte Übertragung, Zugriffskontrollen und die verschlüsselten Sicherungen geschützt. Eine Verschlüsselung des ganzen Datenträgers sagen wir nicht zu. Eine Feldverschlüsselung dieser Angaben ist als Ausbau geplant.

Zugriff und Authentifizierung

Passwörter: PBKDF2-SHA256 mit 100'000 Iterationen und 32-Byte-Salt — niemals im Klartext
Sitzungen: signierte JWT (HMAC-SHA256), 8 Stunden Gültigkeit, Refresh-Token-Rotation
Zwei-Faktor-Authentifizierung (TOTP nach RFC 6238) optional aktivierbar
Rollenbasierte Zugriffskontrolle (Admin / Planung / Mitarbeitende)
Rate-Limiting gegen Brute-Force: 10 Login-Versuche pro 60 Sekunden und IP

Single Sign-On (SSO/SAML) ist derzeit nicht verfügbar.

Mandantentrennung

Die Daten jedes Kunden werden logisch getrennt verarbeitet: jede Datenbankabfrage ist an kryptografisch verifizierte Mandanten-Claims (JWT) gebunden und serverseitig auf die Mandanten-ID gefiltert (Row-Level-Isolation in einer gemeinsam betriebenen Datenbank). Besonders schützenswerte Felder sind zusätzlich feldverschlüsselt. Eine physische Trennung je Kunde besteht nicht.

Backup und Wiederherstellung

Tägliche Backups, Aufbewahrung: 30 Tages-Stände
Jedes Backup mit SHA-256-Integritätshash, komprimiert und verschlüsselt abgelegt
Datenexport jederzeit durch den Mandanten-Admin möglich (vollständiger Export als JSON)

Datenschutz nach revDSG

Umsetzung der Betroffenenrechte nach revDSG (Auskunft, Berichtigung, Löschung, Datenportabilität, Widerspruch gegen Profiling, Einwilligungswiderruf)
Datensparsamkeit als Produktprinzip: keine individuellen Gesundheitsprofile, kein Kranktag-Muster-Profiling, keine biometrische Identifikation, keine Bewegungsprofile
Die Planungsautomatik nutzt ausschliesslich freiwillige Schichtwünsche, Pensum, genehmigte Ferien und tagesaktuelle Abwesenheit — niemals historische Krankheits-Häufigkeiten oder Gesundheitsstatus
Granulare, jederzeit widerrufbare Einwilligungen pro Mitarbeitendem

Auditierbarkeit

Ein serverseitiges Audit-Protokoll mit verketteter SHA-256-Hash-Kette macht nachträgliche Manipulation einzelner Einträge erkennbar. Protokolliert wird, wer wann was warum geändert hat — Änderungen an rechtlichen Parametern erfordern eine Begründung.

Datenresidenz: Rosie ist ein Schweizer Angebot der Digital Passion GmbH (Sitz Olten SO). Kundendaten, die in der geschützten App gespeichert werden, werden ausschliesslich auf Servern in der Schweiz gespeichert und dort verarbeitet (Infomaniak, Rechenzentren in der Schweiz). Die Übertragung ist verschlüsselt. Vertrauliche Felder wie Diagnosen, Arztzeugnisse, Mutterschutzangaben, AHV-Nummer und IBAN sowie die stündlichen Sicherungen werden verschlüsselt gespeichert. Die öffentliche Website nutzt einen vorgelagerten Schutzdienst und Namensauflösung; dabei können technische Verbindungsdaten wie IP-Adressen verarbeitet werden. Die Einzelheiten stehen im Auftragsverarbeitungsvertrag (AVV).

ROSIE ist ein Planungswerkzeug und ersetzt keine Rechts- oder Treuhandberatung. Die rechtliche Verantwortung für publizierte Dienstpläne und Lohnabrechnungen liegt beim Arbeitgeber.