Gebaut für europäische Compliance. Keine Überwachung.
SSO, MFA, Prüfprotokolle, isolierte Infrastruktur und ausschließlich EU-Hosting – ohne Screenshots, Webcam-Überwachung oder Tastatur-Aufzeichnung.
Compliance, die konkret ist, kein Schlagwort
Wir haben Hourvio in Deutschland gebaut und jedes Byte Kundendaten lebt auf europäischen Servern in Deutschland. DSGVO ist keine Funktion, für die wir extra bezahlen lassen – sie ist Standard in jedem Tarif, auch im Free. Unser Unternehmen, die Hexa Logic UG (haftungsbeschränkt), unterliegt deutschem und EU-Recht, und unser Auftragsverarbeitungsvertrag ist Teil des Abonnements, kein Upsell.
Ab dem Professional-Tarif läuft jeder Arbeitsbereich auf isolierter Infrastruktur: eine eigene Datenbank und ein eigener Anwendungsserver pro Kunde. Keine geteilten Pools, keine lauten Nachbarn, keine tenant-übergreifenden Abfragepfade. Business ergänzt SAML und OAuth SSO mit Domain-Whitelisting und ein Prüfprotokoll mit konfigurierbarer Aufbewahrung bis zu zehn Jahre.
Wir machen keine Screenshots von Ihrem Team. Wir nehmen keine Kameras auf. Wir zeichnen keine Tastaturanschläge auf und verfolgen keine Maus. Wir bewerten Menschen nicht auf Produktivitäts-Heatmaps. Hourvio erfasst die Zeit, die der Nutzer und der Manager erfassen wollen, und sonst nichts. Wenn Sie Mitarbeiterüberwachung wollen, ist Hourvio das falsche Produkt. Wenn Sie eine Zeiterfassung wollen, die Ihrem Team vertraut, sind Sie richtig.
SAML 2.0 SSO (Business)
Identity-Provider mit Metadata-URL, Entity-ID, SSO-URL und Zertifikat konfigurieren. Unterstützt Identity-Infrastruktur auf Unternehmensniveau.
OAuth 2.0 SSO (Business)
OAuth 2.0-Provider mit Client-ID, Client-Secret, Issuer, Authorization-URL und Token-URL konfigurieren. Läuft neben SAML, wenn Sie beides brauchen.
Multi-Provider SSO
Mehrere SSO-Provider parallel betreiben – für Tochtergesellschaften, zugekaufte Teams oder gemischte Identity-Systeme. Jeden einzeln aktivieren oder deaktivieren.
Domain-Whitelist und SSO-Erzwingung
SSO auf bestimmte E-Mail-Domains beschränken und diese Domains zwingen, sich ausschließlich per SSO anzumelden. Passwörter verschwinden aus der Gleichung.
MFA mit TOTP (Starter)
TOTP-basierte MFA mit QR-Einrichtung funktioniert mit Google Authenticator, Authy, 1Password und jeder standardkonformen App. Admins können sie arbeitsbereichsweit erzwingen.
Passwort-Richtlinien
Mindestens acht Zeichen überall erzwungen, bcrypt-Hashing und httpOnly-Cookies mit SameSite strict und Pfadbeschränkung auf jeder Sitzung.
Prüfprotokoll mit Aufbewahrung (Business)
Append-only Prüfprotokoll für jede zustandsändernde Aktion, mit Nutzer, IP, Zeitstempel und Feld-für-Feld-Diffs. Aufbewahrung von dreißig Tagen bis zehn Jahren konfigurierbar.
Isolierte Infrastruktur (ab Professional)
Ab dem Professional-Tarif läuft jeder Arbeitsbereich auf einer eigenen Datenbank und einem eigenen Anwendungsserver. Keine geteilten Pools, keine tenant-übergreifenden Pfade.
Nur EU-Hosting
Alle Kundendaten liegen in deutschen Rechenzentren. Keine transatlantischen Datenübermittlungen, keine US-Auftragsverarbeiter, keine Abhängigkeit von der Privacy-Shield-Saga.
On-Premises-Option
Für Teams, die das Produkt im eigenen Rechenzentrum hosten müssen, steht eine On-Premises-Installation mit eigenem Support-Pfad zur Verfügung.
SSO mit SAML oder OAuth, Multi-Provider
Identity-Provider direkt in den Arbeitsbereich-Einstellungen konfigurieren. SAML 2.0 für Enterprise-Identity-Systeme, OAuth 2.0 für moderne Provider und beides zusammen, wenn Ihr Team Zukäufe umfasst. Domains zur Whitelist hinzufügen, SSO-Erzwingung für diese Domains aktivieren und Auto-Provisioning neue Nutzerkonten aus der SSO-Assertion anlegen lassen, wenn sich jemand zum ersten Mal anmeldet. Alles bleibt in Ihren Arbeitsbereich-Einstellungen. Kein Drittanbieter-Identity-Proxy, keine Überwachung.
- SAML 2.0- und OAuth 2.0-Provider in den Arbeitsbereich-Einstellungen konfigurieren
- Mehrere Provider parallel betreiben und jeden einzeln aktivieren
- Domain-Whitelist beschränkt SSO auf die von Ihnen freigegebenen E-Mail-Domains
- SSO-Erzwingung entfernt die Passwort-Option für whitelisted Domains
- Auto-Provisioning legt Konten bei der ersten Anmeldung aus der SSO-Assertion an
- Provider bearbeiten oder löschen, ohne bestehende Sitzungen zu unterbrechen
MFA, die verpflichtend ist, nicht optional
Nutzer richten TOTP-basierte MFA ein, indem sie einen QR-Code mit Google Authenticator, Authy, 1Password oder einer anderen standardkonformen App scannen. Admins können MFA arbeitsbereichsweit erzwingen, und bei der nächsten Anmeldung landet jeder Nutzer ohne MFA auf der Einrichtungsseite, bevor er auf irgendetwas anderes zugreifen kann. Wenn ein Nutzer sein Telefon verliert, kann ein Admin seine MFA zurücksetzen und eine erneute Einrichtung erzwingen, ohne andere Kontozustände zu berühren.
- TOTP mit QR-Einrichtung; manueller Secret-Fallback für Randfälle
- Arbeitsbereichsweite Erzwingung mit einem Admin-Schalter
- Nutzer werden aus der App ausgesperrt, bis MFA eingerichtet ist, wenn erzwungen
- Admin-MFA-Reset für verlorene Geräte, prüfprotokolliert
- Sitzungssicherheit mit httpOnly-Cookies und kurzlebigen Access Tokens
- Refresh Tokens rotieren, ohne aktive Sitzungen zu unterbrechen
Prüfprotokoll mit langer Aufbewahrung
Jede zustandsändernde Aktion im Arbeitsbereich wird in einem append-only Prüfprotokoll erfasst: Nutzer, IP-Adresse, Zeitstempel, Aktion, Entität und ein Feld-für-Feld-Diff von Alt- und Neu-Werten. Filter nach Nutzer, nach Aktion, nach Entitätstyp oder ID oder nach Datumsbereich. Das Ergebnis als CSV mit bis zu fünfzigtausend Zeilen pro Export exportieren. Aufbewahrung ist von dreißig Tagen bis zehn Jahren konfigurierbar, damit das Protokoll zu Ihrem Compliance-Programm passt, ohne unnötige Daten ewig mitzuschleppen. Keine Screenshots, keine Kameras, keine Produktivitäts-Bewertung – nur die Aktionen, die Menschen tatsächlich ausgeführt haben.
- Append-only Protokoll jeder zustandsändernden Aktion, keine Updates, keine Löschungen
- Nutzer, IP, Zeitstempel, Aktion, Entität und JSON-Diff pro Eintrag
- Filter nach Nutzer, Aktion, Entitätstyp und ID oder Datumsbereich
- CSV-Export mit bis zu fünfzigtausend Zeilen pro Operation
- Aufbewahrung von dreißig Tagen bis zehn Jahren konfigurierbar
- Erfasste Ereignisse decken Nutzer, Projekte, Einträge, Genehmigungen, Rechnungen, Arbeitsbereich-Konfiguration und API-Schlüssel ab
Für diese Teams gemacht
Verwandte Funktionen
Teamverwaltung
Rollenbasierter Zugriff, direkte Vorgesetzte und Modulsichtbarkeits-Schalter sitzen auf der Authentifizierungsschicht und sind vollständig prüfprotokolliert.
Kalender & Integrationen
Die Kalendersynchronisierung wird pro Nutzer per OAuth autorisiert, sodass niemand sonst Ihre Termine sieht.
Zeiterfassung
Jeder Zeiteintrag ist an einen Nutzer, einen Arbeitsbereich und einen Genehmigungsstatus gebunden. Keine Screenshots, keine Kameras, keine Tastatur-Aufzeichnung.
Verfügbar ab dem Business-Tarif
Preise ansehenEuropäische Compliance ohne die Überwachung
Tragen Sie sich in die Frühzugang-Liste ein und wir schreiben Ihnen, sobald Ihr Arbeitsbereich bereit ist. Keine Kreditkarte, keine Verpflichtung.