Erweiterte Funktionalanforderung: Fremdfirmenportal – Modul „Compliance & Einsatzsteuerung EXT“

Die Datenbank muss mehrsprachige Attributbezeichnungen unterstützen (i18n) und durchgängig UTF-8 kodiert sein. Fremdschlüssel erzwingen referenzielle Integrität; ETL-Jobs synchronisieren Stammdaten mit SAP (Vendor Master & HR Mini-Master).

• Self-Onboarding-Wizard (5-Schritte-Prozess) für neue Unternehmer: Stammdaten-Eingabe → Upload Basisdokumente → Wirtschafts-/Compliance-Selbstauskunft → Akzeptanz AGB/Datenschutz → Digitale Signatur (eIDAS-kompatibel).

• Insolvenzregister-Abfrage (Bundesanzeiger XBRL-Schnittstelle).

• Sanktionslisten (EU, OFAC) per REST-Gateway.

• BG-Live-Check gegen Extranet der Unfall­versicherungen.

• Scoring-Engine (0–100 Punkte) für Eignung: zwingende Knock-out-Kriterien (z. B. Sanktionstreffer) + additive Bonitäts- und HSE-Punkte. Score gesteuert über gewichtbares Regelwerk (editable via GUI).

• Automatische Gefährdungs-Matrix: Kreuzt Gewerke (z. B. Heißarbeiten, Höhenarbeiten) mit Standortzonen (ATEX, Hochsicherheitslabor, Deponiesohle).

• Erzeugt bedingte Pflichtliste „Berechtigungen & Unterweisungen“.

• Ausgabe Gewerk-Sicherheitsanforderungsblatt (PDF/A) für Fremdfirma.

• Multi-Channel-Upload: Web-Drag-&-Drop, mobile Kamera-Capture (OCR-unterstützt), E-Mail-Forward ( automatische Zuordnung via QR-Metadaten).

• Strukturelle Prüfung (Virus-Scan, PDF/A-Konformität, Seitenanzahl).

• Inhaltliche Plausibilitäts-Checks (RegEx auf Versicherungsnummer, Datumskohärenz).

• Externe API-Validierung (z. B. BG-Entgeltmeldung).

• Hash-Berechnung (SHA-256) + TÜV-konformes Zeitstempelsiegel.

• Assistierter Review: KI-gestützte Klassifizierung schlägt Zuordnung zum passenden Dokument-Template vor; Reviewer bestätigt oder korrigiert.

• BPMN 2.0-konforme Engine (Camunda o. ä.) mit grafischem Modellierer im Admin-Modus.

• Standard-Workflow-Bausteine: SUBMIT → AUTO-CHECK → HSE-REVIEW → EINKAUF-FREIGABE → FINAL → NOTIFY-ZD (Zutrittsdatenbank).

• T1: Erinnerung nach x Tagen bis Ablauf.

• T2: Eskalation an internen Auftraggeber.

• T3: Sperrung Badge & Order; Info an Leitstand.

• T4: Meldung an Einkauf zur Sperrung weiterer Abrufe + Vertragsstrafen.

• Jede Transaktion wird digital signiert (Audit-Trail).

• SCORM-/xAPI-Schnittstelle zum vor­handenen LMS.

• Kurszuweisung durch Regelwerk (Gewerk × Zone × Tätigkeit).

• Online-Proktorat optional (KI-Gesichtserkennung, Audio-Monitoring für Betrugsprävention).

• Prüfungs­ergebnis in Echtzeit an Fremdfirmenportal; Badge-Aktivierung erst bei „PASSED“.

• Ausgabe Temporär-Badge (RFID/ BLE / NFC) mit limitierter Gültigkeit + Quellcode für Mobil-Credential (Wallet-Pass).

• Geo-Fencing: Kombination Kennzeichen­erkennung + Badge erforderlich, wenn Schrankenzone = Hochsicherheitsbereich.

• Multi-Day-Pass erzeugt Rolling-PIN, um Pass-Sharing zu verhindern.

• Beim Einsatz Offline-Schließzylinder generiert das Portal via Key-Derivation-Service zeitbeschränkte Schließrechte im Data-on-Card-Verfahren.

• Zeiterfassung (Terminal / Mobile App) wird live gegen Abruf-Kontingent validiert (Stunden ≤ beauftragte Menge).

• KI-Plausibilitäts­check: Mustererkennung für ungewöhnliche Cluster (z. B. identische Zeitblöcke mehrerer Personen, Zeitsprünge > 16 h). Flag-ging 3-Stufig (Info, Warnung, Betrugsverdacht) mit Pflichtkommentar.

• SAP-Connector gleicht Zeit- und Leistungs­nach­weise mit Bestellung ab. Bei Diskrepanz > 3 % wird Rechnungsfreigabe blockiert.

• Echtzeit-Dashboard: Compliance-Ampel je Auftrag, offene Mängel, gesperrte Badges, KPI „Mean Time to Approve“, „Durchschnittliche Dokumente pro Auftrag“.

• Self-Service-Report-Builder: Drag-&-drop-Cube (OLAP) für HSE/Einkauf; Export nach PDF, XLSX, PowerBI.

• Audit-Export: Vollständiger JSON-Audit-Trail signiert; erfüllt Anforderungen nach ISO 45001, SCC, ISMS (ISO 27001).

• DSGVO-Berichtsmodul: Data-Subject-Access-Report (DSAR) auf Knopfdruck; pseudonymisierte Kennzahlen­berichte für Betriebsrat.

• Mandant = Rechtliche Einheit (z. B. Konzernwerk A, Werk B). Jeder Mandant kann eigene Dokumenten-Templates und Workflows pflegen.

• Delegationsfunktion: Bei Abwesenheit kann ein Benutzer seine Rechte temporär übertragen (vertretungs-sicher).

• Feingranularer Zugriff auf Objekte (Row-Level-Security): Eine Fremdfirma sieht nur ihre Daten, nicht die anderer Firmen.

Die API-Gateway-Schicht implementiert Rate-Limiting, Authentifizierung (OAuth 2.0 / OpenID Connect), Protokoll­konvertierung, Audit-Logging.

• End-to-End-Testreihe mit 20 repräsentativen Szenarien (z. B. Erstauftrag, Gefährdungsänderung, Unterweisungsablauf, Betrugsversuch Zeitnachweis).

• Penetrationstest durch zertifizierten Dritten ohne kritische Findings (CVSS ≥ 9).

• Load-Test: 1 000 gleichzeitige Dokumenten-Uploads in 30 min ohne Fehlerrate > 0,1 %.

• Failover-Test: Ausfall Primär-DB → Umschaltzeit < 60 s, kein Datenverlust.

• Audit-Export muss einen revisionssicheren DSAR-Report für zufällig gezogenen Mitarbeiter vollständig binnen 60 s liefern.

• End-User-Usability-Test (Heuristik nach Nielsen) mit Score ≥ 85 / 100.

Dashboards müssen diese KPIs in Echtzeit visualisieren und wöchentliche PDF-Berichte per Mail versenden (automatischer Scheduler).