Sicherheit ist Teil des Produkts, nicht ein Zusatz

Zugriffskontrolle

• Mandantentrennung: Jeder Datenbankzugriff ist auf deinen Workspace beschränkt und wird serverseitig geprüft – nicht nur in der Oberfläche.
• Rollen (Inhaber:in, Admin, Manager:in, Mitglied, Nur Lesen) nach dem Prinzip „standardmäßig verweigert“.
• Zwei-Faktor-Authentifizierung (TOTP) mit Backup-Codes; als Pflicht für Admins oder alle Mitglieder konfigurierbar.
• Sitzungsübersicht mit Abmeldung einzelner oder aller anderen Geräte; Begrenzung von Anmeldeversuchen.

Dokumente

• Speicherung in privatem Objektspeicher. Es gibt keine öffentlichen Datei-Links; Dateien werden erst nach einer Berechtigungsprüfung ausgeliefert.
• Prüfung von Dateiformat (anhand des Inhalts), Größe und Dateiendung beim Upload. Anbindung eines Malware-Scanners mit Quarantäne-Workflow ist vorgesehen und konfigurierbar.
• Versionierung: Neue Versionen überschreiben nie alte. Submission Packs referenzieren exakt die eingereichte Version.

Freigaben an Auftraggeber

• Freigabelinks enthalten zufällige Tokens mit 256 Bit; gespeichert wird nur ein Hash.
• Ablaufdatum, jederzeitiger Widerruf, optional Passwort und „nur Ansicht“.
• Der Empfänger sieht ausschließlich die ausgewählten Dokumente – keinen Zugriff auf deinen Workspace. Zugriffe werden protokolliert.

Nachvollziehbarkeit

• Audit-Trail für Uploads, Bestätigungen, Zuordnungen, Exporte, Freigaben und Rollenänderungen. Einträge sind in der Datenbank gegen Änderung gesperrt.
• Passwörter, Tokens und Dokumentinhalte werden nicht protokolliert.

Automatische Erkennung

• Vorschläge werden nie ungeprüft übernommen; jede Zuordnung braucht eine Bestätigung durch eine berechtigte Person.
• Keine KI, keine externen Analysedienste: Die Erkennung von Dokumenttyp und Datumsangaben erfolgt regelbasiert direkt auf dem Server. Dokumentinhalte verlassen die Anwendung nicht.
• Dokumentinhalte werden als nicht vertrauenswürdige Daten behandelt; sie können keine Aktionen auslösen.

Datenschutz

• Datenminimierung: Mitarbeiterprofile enthalten nur, was für Kundenanforderungen nötig ist. Keine Gesundheitsdaten, keine Ausweiskopien.
• Keine Tracking-Cookies, keine Werbe-Pixel, keine Analyse-Skripte von Drittanbietern.
• Vollständiger Datenexport des Workspaces und Löschprozess für Mitarbeiterprofile und den gesamten Workspace.
• Betrieb in der EU vorgesehen. Hosting-Standort, Subauftragsverarbeiter und technische und organisatorische Maßnahmen werden im Auftragsverarbeitungsvertrag festgehalten.

ZC Compliance ist eine Software zur Verwaltung und Unterstützung von Nachweisen und Workflows. Sie ersetzt keine rechtliche Prüfung und begründet für sich allein keine DSGVO-Konformität – diese hängt auch von Verträgen und dem tatsächlichen Betrieb ab.