Absence Planner SyncSicherheit & Datenschutz
Geschrieben für die, die die App freigeben, statt sie zu benutzen: Sicherheitsprüfung, Datenschutz und Betriebsrat. Jede Antwort folgt aus dem, wie die App gebaut ist.
Die Kurzfassung
| Frage | Antwort |
|---|---|
| Wo läuft die App? | Vollständig auf der Plattform Atlassian Forge, in Ihrem Atlassian-Tenant. Es gibt keine vom Hersteller betriebene Infrastruktur dazwischen, und wir erhalten Ihre Daten nie. |
| Verlassen Daten Atlassian? | Nur in Ihr eigenes Mailsystem, und erst wenn ein Administrator es anbindet. Dann gehen Namen, Postfachadressen und Abwesenheitszeiten an Ihren Microsoft-365- oder Google-Workspace-Tenant — die Hosts stehen unten. Nie die Art der Abwesenheit, nie der private Grund. |
| Gibt es Unterauftragnehmer? | Wir setzen keine ein. Microsoft oder Google verarbeiten die Daten als Teil des Dienstes Microsoft 365 oder Google Workspace, den Sie bereits nutzen, unter Ihrem eigenen Vertrag mit ihnen. Es sind keine Analyse- oder Telemetriewerkzeuge eingebaut. |
| Was liest die App aus Postfächern? | Für den optionalen Import: den Zeitraum einer geplanten automatischen Antwort und Beginn und Ende von Kalendereinträgen mit „Abwesend“. Nie Nachrichten, Betreffzeilen, Inhalte, Teilnehmende oder Orte. |
| In wessen Postfach darf die App schreiben? | Nur in eines, das sein Inhaber verknüpft hat — mit einem dorthin gesendeten Code oder, wenn ein Administrator es erlaubt, über die eigene Adresse des Atlassian-Kontos innerhalb der erlaubten Domains. |
| Wo liegen Zugangsdaten? | Im Forge-Secret-Speicher, nur schreibbar: Keine Oberfläche und keine Schnittstelle gibt ein gespeichertes Client-Secret oder einen Schlüssel zurück. Zugriffstoken liegen nur im Arbeitsspeicher und werden nie protokolliert. |
| Sehen Kollegen „krank“? | Nein. Bei einem als sensibel markierten Typ zeigt die Teamansicht anderen nur „Abwesend“, serverseitig erzwungen. An ein Postfach geht nie ein Typ. |
| Lassen sich personenbezogene Daten löschen? | Ja. Ein Administrator kann alle Daten einer Person in einem Schritt löschen — samt Postfachverknüpfung und der automatischen Antwort und Kalendereinträge, die die App geschrieben hat —, auch ohne aktives Abonnement. |
| Runs on Atlassian? | Nein, weil die App mit Microsoft oder Google verbunden ist. Die App selbst läuft trotzdem nur auf Forge. |
Datenresidenz
Die App hat keine eigenen Server. Sie liest und schreibt Jira über Atlassians eigene Schnittstellen und hält Abwesenheiten, Konfiguration und Zugangsdaten im Forge-Speicher, sodass die Datenresidenz-Einstellung Ihrer Atlassian-Site für diese Daten gilt, wie für den Rest von Jira. Was die Mail-Integration sendet, geht direkt von Forge an Ihren Microsoft-365- oder Google-Workspace-Tenant und wird dort gespeichert wie jede andere automatische Antwort oder jeder andere Kalendereintrag — unter der Datenresidenz dieses Tenants. Nichts läuft über unsere Infrastruktur oder wird dorthin kopiert.
Externe Verbindungen
Jeder Host, den die App aufrufen darf, wie in ihrem Manifest erklärt. Alle anderen blockiert Forge. Keiner wird aufgerufen, bevor ein Administrator das Mailsystem anbindet.
| Host | Wofür | Was er erhält |
|---|---|---|
login.microsoftonline.com | Microsoft 365: Anmeldung der App (OAuth 2.0 Client Credentials) | ID und Secret der App-Registrierung — keine Daten von Endnutzern |
graph.microsoft.com | Microsoft 365: E-Mails, automatische Antworten, Kalendereinträge; Lesen für den Import; Änderungsbenachrichtigungen | Namen, Postfachadressen, Abwesenheitszeiträume, Texte von E-Mails und automatischen Antworten |
oauth2.googleapis.com | Google Workspace: Anmeldung des Dienstkontos (domainweite Delegierung) | Eine signierte Zusicherung, die das Postfach nennt, für das die App handelt |
gmail.googleapis.com | Google Workspace: E-Mails und die Abwesenheitsnotiz | Namen, Postfachadressen, Abwesenheitszeiträume, Texte |
www.googleapis.com | Google Workspace: Kalendereinträge; Lesen für den Import; Push-Kanäle | Postfachadressen, Abwesenheitszeiträume, IDs von Kalendereinträgen |
Eingehend: Microsoft und Google benachrichtigen die App über einen Forge-Web-Trigger über Kalenderänderungen. Ein Aufruf wird nur mit dem Geheimnis eines Kanals angenommen, den die App selbst geöffnet hat (verglichen mit einem gespeicherten Hash), und er kann nichts anderes, als ein erneutes Lesen des Kalenders genau dieser einen Person anzustoßen.
Was gespeichert wird
Personen erscheinen als Atlassian-Konto-IDs. Postfachadressen werden nur für Personen gespeichert, die eines verknüpft haben.
| Daten | Personenbezogen? | Aufbewahrung |
|---|---|---|
| Abwesenheiten: Konto-IDs von antragstellender Person, Genehmiger, Vertretung und Entscheider, Zeitraum, Abwesenheitstyp, Status, Notiz, abgedeckte Projekte, das Team, über das der Antrag lief | Ja | Bis zur Löschung: durch einen Administrator, durch die optionale Aufbewahrungsfrist oder wenn Atlassian das Konto als geschlossen meldet |
| Optionaler Freitext-Grund einer Abwesenheit | Ja, möglicherweise sensibel (etwa Krankheit). Geht nirgendwohin | Mit seiner Abwesenheit |
| Verknüpftes Postfach: Adresse, wie sie bestätigt wurde, die eigenen Schalter und der eigene Antworttext der Person | Ja | Bis die Person die Verknüpfung trennt oder ihre Daten gelöscht werden |
| Laufende Bestätigung: Adresse und ein Hash des Codes | Ja | 15 Minuten |
| Buchhaltung für Sync und Import: das beschriebene Postfach, IDs von Kalendereinträgen, was gesendet wurde, die Zeiträume importierter Abwesenheiten | Ja | Mit der Abwesenheit; Importdaten beim Trennen, Abwählen oder Löschen |
| Mail-Zugangsdaten: Client-Secret oder Dienstkonto-Schlüssel | Nein | Im Forge-Secret-Speicher, bis ein Administrator sie löscht |
| Konfiguration und ihr Änderungsprotokoll (wer welche Einstellung geändert hat, nie die Werte) | Konto-IDs von Genehmigern und Administratoren | Bis Sie sie ändern; Protokoll mit der Aufbewahrungsfrist bereinigt |
Protokolle enthalten nur Ereignisnamen, undurchsichtige IDs, Zähler und Ergebniscodes; nie Namen, Adressen, Texte, Gründe oder Tokens. Nach der Deinstallation löscht Atlassian den Speicher der App: Er wird 28 Tage aufbewahrt, dann endgültig gelöscht. Bereits geschriebene automatische Antworten und Kalendereinträge bleiben in den Postfächern, unter Ihrer Kontrolle; löschen Sie vorher die Daten einer Person, um ihre zu entfernen.
Berechtigungen (Forge-Scopes)
Die App fordert zehn Atlassian-Scopes an. Keiner ist spezifisch für Jira Service Management, und es gibt keinen Scope für Projektverwaltung, Boards oder Dashboards. Die beiden allgemeinen Vorgangs-Scopes, als weit markiert, erlauben mehr, als die App nutzt; Änderungen im Hintergrund bleiben auf die Projekte beschränkt, die ein Administrator ausgewählt hat.
| Scope | Wofür er gebraucht wird |
|---|---|
storage:app | Eigene Daten der App im Forge-Speicher: Konfiguration, Abwesenheiten, Postfachverknüpfungen, Buchhaltung für Sync und Import, Änderungsprotokoll; Zugangsdaten im Secret-Speicher. |
read:jira-workweit | Offene Vorgänge einer Person finden, Zuständigkeit und Projekt eines Vorgangs lesen; Jira-Administratorrecht und das Recht „Vorgänge zuweisen“ der antragstellenden Person in den abgedeckten Projekten prüfen. |
write:jira-workweit | Vorgänge an die Vertretung zuweisen, nach der Rückkehr zurückgeben, den Warnkommentar schreiben (intern bei Jira-Service-Management-Anfragen) und seine Markierung gegen Doppelungen speichern. |
read:jira-user | Nutzer und Gruppen für die Auswahlfelder, die Sprache einer Person für E-Mails und — nur wenn ein Administrator es erlaubt — die E-Mail-Adresse, die Atlassian für ein Konto führt. |
report:personal-data | Den wöchentlichen Bericht senden, den Atlassian von Apps mit gespeicherten Konto-IDs verlangt, damit Daten geschlossener Konten gelöscht werden können. |
view:team:teams | Atlassian Teams suchen und lesen, damit ein Administrator ein Team der App mit einem verknüpfen kann. |
view:membership:teams | Die Mitglieder eines verknüpften Atlassian Teams lesen, für Genehmigungswege und Teamsichtbarkeit. |
read:account | Konto-ID und Kontostatus eines Teammitglieds lesen, damit nur aktive Konten zählen. |
read:app-data:jira | Die eigenen zwischengespeicherten Antworten der Abwesenheitssuche lesen, um sie zu erneuern. |
write:app-data:jira | Diese Antworten stündlich neu schreiben, damit ein gespeicherter Filter keine Personen mehr findet, die schon zurück sind. |
In Ihrem Mailsystem braucht die App je nach Anbieter: die Microsoft-Graph-Anwendungsberechtigungen Mail.Send, MailboxSettings.ReadWrite und Calendars.ReadWrite (per Exchange-Online-Anwendungszugriffsrichtlinie auf die betroffenen Postfächer beschränken) oder die Google-Scopes gmail.send, gmail.settings.basic und calendar.events über domainweite Delegierung. Der Import braucht keine weitere Berechtigung.
Kontrollen, nach denen Prüfer fragen
| Kontrolle | Umsetzung |
|---|---|
| Identität | Immer serverseitig aus dem Forge-Kontext abgeleitet, nie aus der Anfrage übernommen. Selbstbedienungsaktionen zu Mail wirken nur auf die angemeldete Person. |
| Administratoraktionen | Mail-Einstellungen, Zugangsdaten, der Verbindungstest und jede andere Admin-Aktion prüfen das Jira-Administratorrecht serverseitig neu. Die Platzierung auf einer Admin-Seite gilt nicht als Berechtigung. |
| Postfach-Inhaberschaft | Ein zufälliger 6-stelliger Code, nur als Hash gespeichert und an Konto und Adresse gebunden, in konstanter Zeit verglichen, 15 Minuten gültig, 5 Versuche, ein neuer erst nach 60 Sekunden. Jede gespeicherte Verknüpfung wird bei jeder Nutzung gegen die erlaubten Domains geprüft. |
| Zugangsdaten | Geprüft, im Forge-Secret-Speicher abgelegt, nie zurückgegeben. Token nur im Arbeitsspeicher, nie gespeichert oder protokolliert. |
| Was gesendet wird | Texte für E-Mails und automatische Antworten entstehen auf dem Server; jeder eingesetzte Wert wird maskiert, Betreffzeilen sind einzeilig. Art und Grund der Abwesenheit sind nie Teil davon. |
| Import | Liest nur Zeiträume. Was die App selbst geschrieben hat, erkennt sie und importiert es nie zurück; importierte Abwesenheiten werden nie ins Postfach zurückgeschrieben. |
| Öffentlicher Web-Trigger | Nimmt nur Benachrichtigungen mit dem Geheimnis eines Kanals an, den die App geöffnet hat, mit begrenzter Größe; ein geprüfter Aufruf reiht nur ein erneutes Lesen ein, höchstens einmal pro Person und Minute. |
| Genehmigungen | Nur der Genehmiger-Pool, die Genehmiger des eigenen Teams oder ein Jira-Administrator dürfen entscheiden, nie die antragstellende Person. Bei jeder Entscheidung gegen den gespeicherten Datensatz geprüft. |
| Sensible Abwesenheitstypen | In der Teamansicht ersetzt der Server einen sensiblen Typ durch „Abwesend“, für alle außer der antragstellenden Person, berechtigten Genehmigern und Jira-Administratoren. |
| Neuzuweisung im Hintergrund | Läuft als App, beschränkt auf die ausgewählten Projekte, in denen die antragstellende Person beim Antrag „Vorgänge zuweisen“ durfte. |
| Löschung und Aufbewahrung | „Alle Daten einer Person löschen“ entfernt Abwesenheiten, Postfachverknüpfung und was die App in ihr Postfach geschrieben hat; wöchentliche Bereinigung geschlossener Konten; optionale Aufbewahrungsfrist. |
| Eingabeprüfung | Jede Anfrage wird auf Typ, Länge, erlaubte Werte und ID-Formate geprüft; E-Mail-Adressen mit einem strengen Muster in linearer Laufzeit. Eingaben werden nie ungeschützt in JQL oder URLs eingesetzt. |
Was wir nicht behaupten
- Hier wird keine Zertifizierung behauptet. Wenn Ihr Prozess einen bestimmten Nachweis verlangt, fragen Sie uns, und Sie bekommen eine klare Antwort, was es gibt und was nicht.
- Die App ist nicht „Runs on Atlassian“. Ihr Zweck ist, Jira mit Ihrem Mailsystem zu verbinden.
- Die App kann eine Zuweisung nicht verhindern. Forge bietet keinen blockierenden Haken; die Warnung kommt gleich nach der Änderung.
- Eine automatische Antwort pro Postfach. Microsoft und Google führen eine Einstellung pro Postfach. Wird eine Abwesenheit storniert, schaltet die App sie ab — auch eine, die die Person zwischenzeitlich von Hand gesetzt hat.
- Eine Deinstallation entfernt nicht, was die App geschrieben hat. Automatische Antworten und Kalendereinträge in Postfächern und Warnkommentare an Vorgängen bleiben unter Ihrer Kontrolle.
Ein Sicherheitsproblem melden
Stellen Sie eine Anfrage in unserem Support-Portal und schreiben Sie in den Betreff, dass es eine Sicherheitsmeldung ist, oder schreiben Sie an support@vi2va.de. Bitte senden Sie nie private Abwesenheitsgründe, Client-Secrets, Schlüssel, Passwörter oder andere Geheimnisse; wir fragen nie danach.
Planen Sie die nächste Urlaubssaison, bevor sie beginnt
Abwesenheitstypen und Genehmiger einrichten, Microsoft 365 oder Google Workspace anbinden und eine Pilotgruppe verknüpfen, in unter einer Stunde. Jira arbeitet währenddessen weiter.