Für IT, Datenschutz und Betriebsrat
Gespeichert wird, was die Abrechnung braucht
Anmeldung mit den bestehenden Firmenzugangsdaten, private Belegablage, klare Rollen. Hier steht, welche Daten Kantigo verarbeitet und wie sie geschützt sind.
Anmeldung und Konten
- Single Sign-on über den offenen Standard OpenID Connect, angebunden an Ihr bestehendes Active Directory.
- Kantigo speichert keine Passwörter und führt keine eigenen Sitzungen.
- Jedes Anmelde-Token wird serverseitig gegen den Anmeldedienst geprüft und automatisch erneuert.
- Konten entstehen bei der ersten Anmeldung, Rollen kommen aus der zentralen Verwaltung.
- In der installierten App bleibt die Anmeldung bis zu vier Wochen bestehen.
Belege und Exporte
- Belegfotos liegen in einer privaten Ablage, nicht öffentlich erreichbar.
- Abrufbar sind sie nur über signierte Links, die nach kurzer Zeit ablaufen.
- Jeder Download eines Exports wird mit Person und Zeitpunkt protokolliert.
- Zuschussregeln werden nie überschrieben. Jede Buchung speichert die angewandte Regel.
Rollen und Rechte
- Drei Rollen: Mitarbeiter:in, HR-Admin, System-Admin.
- Geprüft wird auf zwei Ebenen: Darf die Rolle die Funktion nutzen, und gehört die einzelne Buchung zu dieser Person?
- Mitarbeiter:innen sehen nur ihre eigenen Buchungen.
Betrieb
- Verschlüsselte Übertragung über HTTPS.
- App, Schnittstelle und Anmeldung laufen unter einer Adresse. Keine Inhalte von Drittanbietern, keine Tracker.
- Beim Pilotkunden läuft Kantigo als eigener, abgeschotteter Betrieb, getrennt von anderen Diensten.
- Hosting bei der IONOS SE in einem Rechenzentrum in Köln, Deutschland.
Welche Daten Kantigo verarbeitet
Nur, was für die Abrechnung des Essenszuschusses nötig ist. Keine Passwörter, keine Standortdaten.
| Kategorie | Inhalt |
|---|---|
| Stammdaten | Name, Personalnummer, Rolle, Kennung aus dem Firmenverzeichnis |
| Buchungen | Rechnungsnummer, Rechnungsdatum, Bruttobetrag, Zuschuss, Belegfoto, QR-Rohdaten, angewandte Zuschussregel, bei Nachbuchung die buchende HR-Person |
| Monatsstatus | Offen, abgeschlossen oder verarbeitet, mit Summen pro Person und Monat |
| Protokolle | Wer hat wann welchen Export geladen |
Hinweis zum Belegfoto: Es zeigt, was auf der Rechnung steht, also auch die gekauften Speisen. Es dient ausschließlich als Nachweis für die Abrechnung.
KI nur für den Speiseplan
Kantigo nutzt KI an genau einer Stelle: um das Wochen-PDF des Caterers in einen Speiseplan zu übertragen. Dieses PDF enthält Gerichte, Preise und Allergene, aber keine personenbezogenen Daten.
- Belege, Buchungen und Personendaten gehen an keinen KI-Dienst.
- Der KI-Dienst ist in den Einstellungen wählbar und austauschbar.
Für den Betriebsrat
Binden Sie den Betriebsrat früh ein. Diese Punkte helfen bei der Bewertung.
- Was sieht HR?
- Pro Person die Buchungen mit Datum, Betrag und Belegfoto sowie den Monatsstatus. Das braucht die Abrechnung.
- Was gibt es nicht?
- Keine Auswertungen zur Leistungs- oder Verhaltenskontrolle, keine Standortdaten, keine Ranglisten.
- Wer korrigiert?
- Mitarbeiter:innen korrigieren ihren Betrag selbst. HR kann Beträge korrigieren und bucht bei Nachbuchungen sichtbar als buchende Person.
Das Datenschutz-Paket
Für Ihre Prüfung stellen wir die Unterlagen gesammelt bereit. Fordern Sie das Paket über das Kontaktformular an, Rolle „IT“.
- Auftragsverarbeitungsvertrag (AVV)auf Anfrage
- Technische und organisatorische Maßnahmen (TOMs)auf Anfrage
- Datenkonzept für den Betriebsratauf Anfrage
- Liste der Subauftragsverarbeiterauf Anfrage
Rollen im Detail
| Rolle | Darf |
|---|---|
| Mitarbeiter:in | Eigene Buchungen erfassen, eigene Monate ansehen, abschließen und wieder öffnen, solange HR nicht verarbeitet hat. |
| HR-Admin | Buchungen und Monate aller Personen ansehen und korrigieren, Monate verarbeiten, Exporte laden, Benutzer verwalten, Speiseplan hochladen. |
| System-Admin | Zusätzlich Zuschussregeln und Einstellungen. Regeln lassen sich nur hinzufügen, nie ändern oder löschen. |
Rollen sind kombinierbar: HR-Admins sind zugleich Mitarbeiter:innen mit eigenen Buchungen.
Häufige Fragen
Wo werden die Daten gespeichert?
In einem Rechenzentrum der IONOS SE in Köln, Deutschland, also innerhalb der EU und unter der DSGVO. Belegfotos liegen in einer privaten Ablage, die nicht öffentlich erreichbar ist.
Speichert Kantigo Passwörter?
Nein. Die Anmeldung läuft über Ihr bestehendes Firmenverzeichnis. Kantigo bekommt nur ein zeitlich begrenztes Anmelde-Token, das bei jeder Anfrage geprüft wird.
Gehen Belegdaten an KI-Anbieter?
Nein. KI wird nur für den Speiseplan des Caterers verwendet. Das Speiseplan-PDF enthält keine personenbezogenen Daten.
Kann der Arbeitgeber das Essverhalten auswerten?
Kantigo bietet keine Auswertungen zur Leistungs- oder Verhaltenskontrolle. HR sieht pro Person die Buchungen mit Datum, Betrag und Belegfoto, weil die Abrechnung das braucht. Das Belegfoto zeigt, was auf der Rechnung steht.
Wie lange werden Daten aufbewahrt?
Buchungen und Belegfotos werden sieben Jahre aufbewahrt, entsprechend der steuerlichen Aufbewahrungspflicht (§ 132 Bundesabgabenordnung), und danach gelöscht.
Bekommen wir einen Auftragsverarbeitungsvertrag?
Ja. AVV, TOMs und Datenkonzept für den Betriebsrat stellen wir auf Anfrage bereit.
Was passiert mit dem Konto, wenn jemand das Unternehmen verlässt?
HR deaktiviert die Person in der Benutzerverwaltung. Die Buchungen bleiben für die Abrechnung erhalten.
Unterlagen für Ihre Prüfung anfordern
Wir schicken Ihnen das Datenschutz-Paket und beantworten offene Fragen gern in einem Termin mit Ihrer IT, Ihrem Datenschutz und dem Betriebsrat.