Sicherheit bei Justparity

Wie wir die Gehaltsdaten Ihrer Beschäftigten schützen, was wir heute umgesetzt haben und wie Sie uns eine Schwachstelle melden.

Zuletzt aktualisiert: 5. November 2026 · security@justparity.com

So sind die Daten geschützt

Jedes Unternehmen für sich: Die Daten jedes Unternehmens sind von denen der anderen getrennt. Die Datenbank hat Zugriffsregeln auf Zeilenebene (Row-Level Security), und der Server prüft Unternehmen und Rolle, bevor er Daten anzeigt oder ändert. Die Regeln wurden im April 2026 überprüft und verschärft, und automatische Tests achten darauf, dass ein Nutzer die Daten eines anderen Unternehmens nicht sehen kann.
Anmeldung: Anmeldung mit E-Mail und Passwort über Supabase Auth. Wiederholte fehlgeschlagene Anmeldeversuche werden gebremst.
Verschlüsselung bei der Übertragung: Der gesamte Datenverkehr ist mit TLS 1.2 oder neuer verschlüsselt, und der Browser wird angewiesen, immer eine verschlüsselte Verbindung zu verwenden (HSTS).
Verschlüsselung im Ruhezustand: Die Datenbank und die Dateien sind bei Supabase mit AES-256 verschlüsselt.
Keine offene Datenbank: Die Datenbank verlangt einen Zugriffsschlüssel und eine verschlüsselte Verbindung, und der Zugriff auf die Daten wird durch die Regeln auf Zeilenebene gesteuert.
Audit-Log: Wichtige Vorgänge werden in einem Audit-Log protokolliert, das weder Nutzer noch die Plattform selbst ändern können. Einträge werden nur zusammen mit dem Konto des Unternehmens gelöscht. Wird ein Nutzer gelöscht, wird die Angabe zurückgesetzt, wer den Vorgang ausgeführt hat.

OWASP Top 10

Die OWASP Top 10 sind eine bekannte Liste der zehn häufigsten Sicherheitsrisiken in Webanwendungen. Die Tabelle zeigt, was wir für jedes dieser Risiken umgesetzt haben, Stand 5. November 2026.

Risiko	Status	Das haben wir umgesetzt
A01 Broken Access Control	Adressiert	Regeln auf Zeilenebene, Rollenprüfung auf dem Server und Audit-Log
A02 Cryptographic Failures	Adressiert	TLS 1.2 oder neuer, AES-256 im Ruhezustand
A03 Injection	Adressiert	Parametrisierte Datenbankaufrufe und Validierung von Eingaben
A04 Insecure Design	Adressiert	Sichere Standardeinstellungen und Prüfung der Konfiguration beim Start
A05 Security Misconfiguration	Adressiert	Prüfung der Konfiguration beim Start, HSTS und Content Security Policy
A06 Vulnerable Components	Überwacht	Automatische Aktualisierung von Paketen (Dependabot) und npm audit
A07 Authentication Failures	Adressiert	Bremse bei wiederholten Anmeldeversuchen und Einmal-Links, die von Link-Scannern nicht verbraucht werden
A08 Software/Data Integrity	Adressiert	Signierte Sitzungsschlüssel und ein Audit-Log, das nicht geändert werden kann. Wird ein Nutzer gelöscht, wird nur die Angabe zurückgesetzt, wer den Vorgang ausgeführt hat
A09 Security Logging and Monitoring	Adressiert	Audit-Log, Logs von Supabase, Überwachung der Verfügbarkeit und Alarm bei abgewiesenen Zugriffsversuchen
A10 Server-Side Request Forgery (SSRF)	Nicht bewertet	Ausgehende Aufrufe der Plattform sind noch nicht gesamthaft auf dieses Risiko geprüft

Zertifizierungen

ISO 27001 und SOC 2

Langfristige Ziele. Wir haben heute keine davon, und es ist kein Datum festgelegt.

Prüfbericht

Wir haben heute keinen externen Prüfbericht (z. B. ISAE 3000).

DSGVO

Wir verarbeiten personenbezogene Daten als Auftragsverarbeiter für Sie auf Grundlage eines Auftragsverarbeitungsvertrags. Maßgebend sind die DSGVO und die loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, die die DSGVO im luxemburgischen Recht ergänzt. Mehr dazu unter DSGVO-Konformität und im Auftragsverarbeitungsvertrag.

Die Just Parity ApS ist eine Gesellschaft dänischen Rechts, die über keine Niederlassung in Luxemburg und über keine Zulassung der Commission de Surveillance du Secteur Financier (CSSF) verfügt. Kunden, die der Aufsicht der CSSF unterstehen, haben die ihnen obliegenden Pflichten zur Auslagerung an einen externen Dienstleister und zur Nutzung von Cloud-Diensten selbst zu erfüllen.

Prüfung der Sicherheit

Im Januar 2026 haben wir die Plattform intern überprüft und gehärtet. Ein externer Penetrationstest von Justparity wurde noch nicht durchgeführt. Supabase lässt die eigene Plattform testen, dieser Test deckt aber unseren Code nicht ab. Sobald ein externer Test durchgeführt wurde, kann der Bericht unter einer Vertraulichkeitsvereinbarung (NDA) geteilt werden, auf Anfrage an security@justparity.com.

Aufbewahrung und Löschung

Für die importierten Lohndaten gilt:

Solange Sie Kunde sind: Ihre Daten sind verfügbar, solange der Vertrag läuft.
Wenn der Vertrag endet: Personenbezogene Daten werden in der Produktionsumgebung nach den Regeln des Auftragsverarbeitungsvertrags gelöscht.
Recht auf Löschung: Beschäftigte können ihre Rechte nach Art. 17 DSGVO über ihren Arbeitgeber ausüben. Wenden sie sich direkt an uns, leiten wir die Anfrage an den Arbeitgeber weiter. Siehe DSGVO-Konformität.
Audit-Log: Das Audit-Log kann nicht geändert oder gelöscht werden. Wird ein Nutzer gelöscht, wird lediglich die Angabe zurückgesetzt, wer den Vorgang ausgeführt hat. Das Log wird aufbewahrt, solange das Konto des Unternehmens besteht.

Schwachstelle melden

Wenn Sie eine Schwachstelle in Justparity gefunden haben, melden Sie sie bitte uns, bevor Sie andere darüber informieren:

So gehen Sie vor:

Schreiben Sie an security@justparity.com.
Beschreiben Sie die Schwachstelle, wie sie sich reproduzieren lässt und wozu sie führen kann.
Wir bestätigen den Eingang innerhalb von 48 Stunden und geben Ihnen innerhalb von 7 Tagen einen Status.
Warten Sie mit einer Veröffentlichung, bis sie behoben ist (höchstens 90 Tage).

Die oben genannten Fristen (48 Stunden, 7 Tage und 90 Tage) gelten für Meldungen von Schwachstellen. Verletzungen des Schutzes personenbezogener Daten melden wir Ihnen als Verantwortlichem nach dem Auftragsverarbeitungsvertrag spätestens 24 Stunden, nachdem wir von der Verletzung Kenntnis erlangt haben, vgl. Abschnitt 10.1. Der Verantwortliche, also der Kunde, meldet die Verletzung danach nach Art. 33 DSGVO möglichst binnen 72 Stunden seiner Aufsichtsbehörde; für einen in Luxemburg niedergelassenen Kunden ist das die Commission nationale pour la protection des données (CNPD).

Wir zahlen keine Prämien (Bug Bounty) für gefundene Schwachstellen.

Unterauftragsverarbeiter

Die Datenbank und die Serverfunktionen der Plattform liegen in der EU (Frankfurt). Einzelne Unterauftragsverarbeiter können Daten in den USA verarbeiten. Das geschieht auf Grundlage des EU-US Data Privacy Framework und der Standardvertragsklauseln der EU-Kommission. Die vollständige Liste mit Zweck und Standort steht in Anhang B des Auftragsverarbeitungsvertrags.

Supabase: Datenbank, Dateien und Anmeldung (EU, Frankfurt)
Netlify: Website und Serverfunktionen (die Serverfunktionen laufen in der EU, Frankfurt)
Google: E-Mails der Plattform (EU und USA)
Slack: Benachrichtigung an unser Team über Anfragen aus dem Kontaktformular
Sentry: Fehlerüberwachung, die nur an die EU-Region von Sentry senden kann (heute nicht aktiviert)

Fragen zur Sicherheit?

Schreiben Sie an security@justparity.com oder nutzen Sie das Formular unten.

Fragen zur Sicherheit

Schreiben Sie Ihr Anliegen hier, oder schreiben Sie direkt an security@justparity.com, wenn Sie eine Schwachstelle melden möchten.