Datenschutzerklärung.

1.Auf einen Blick

Workforce Compass ist ein Analyse- und Empfehlungswerkzeug für Unternehmen. Es bewertet die Aufgabenbündel einer Stelle und gibt je Aufgabenbündel eine Empfehlung: Mensch, KI-Agent oder beide gemeinsam. Bewertet werden Stellen und Aufgabenbündel, nicht einzelne Beschäftigte. Diese Kurzfassung nennt das Wichtigste; die folgenden Abschnitte führen jeden Punkt im Einzelnen aus.

• Wer verantwortlich ist: die ECODYNAMICS GmbH, Rheinpromenade 9, 40789 Monheim am Rhein. Für Inhalte, die ein Kunde in der Anwendung erfasst oder hochlädt, sind wir Auftragsverarbeiter dieses Kunden; siehe Unsere zwei Rollen.
• Welche Daten: Kontodaten (Name, E-Mail-Adresse, Funktion, Telefonnummer), Angaben zur Organisation, die Inhalte Ihrer Bewertungen, Anfragen an uns sowie technische Daten wie IP-Adresse und Zeitpunkt eines Zugriffs.
• Wozu: um die Anwendung bereitzustellen, Konten und Organisationen zu verwalten, Anfragen zu beantworten und den Dienst gegen Missbrauch zu schützen.
• Auf welcher Grundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO), berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) und gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Auf eine Einwilligung stützen wir derzeit keine Verarbeitung.
• Wo: Datenbank und Anmeldung liegen in Frankfurt am Main. Die Anwendung wird von dort betrieben und über ein weltweites Netz ausgeliefert. Für E-Mail-Versand und für die KI-Auswertung hochgeladener Stellenbeschreibungen gelangen Daten in die USA; die Absicherung steht im Abschnitt Übermittlung in Drittländer.
• Keine Werbung, kein Tracking: Es gibt keine Analyse-, Tracking- oder Werbe-Cookies und keine eingebundenen Inhalte fremder Anbieter. Gesetzt werden nur technisch notwendige Einträge, siehe Cookies und lokaler Speicher.
• Keine Zahlungsdaten in der Anwendung: Die Anwendung wickelt keine Zahlungen ab. Pläne werden auf Anfrage zugewiesen und gesondert in Rechnung gestellt.
• KI nur auf Ihre Veranlassung: Eine Stellenbeschreibung wird nur dann an den KI-Dienst übermittelt, wenn Sie sie hochladen. Die Datei wird bei uns nicht gespeichert. Die Empfehlung selbst errechnet ein regelbasiertes Modell, kein Sprachmodell; siehe Einsatz künstlicher Intelligenz.
• Keine automatisierte Entscheidung: Die Anwendung gibt Empfehlungen und Schätzungen. Die Entscheidung trifft und verantwortet das Unternehmen; siehe Keine automatisierte Entscheidungsfindung.
• Ihre Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Beschwerde bei der Aufsichtsbehörde. Die Kontolöschung steht jedem Nutzer direkt in der Anwendung bereit, der Export aller Daten der Organisation dem Hauptkontakt; Einzelheiten und Grenzen stehen in den Abschnitten Ihre Rechte und Speicherdauer und Löschkonzept.

2.Geltungsbereich und Aufbau dieser Erklärung

Diese Erklärung gilt für die öffentlichen Seiten von Workforce Compass, für Registrierung und Anmeldung sowie für die Anwendung selbst. Sie erfüllt unsere Informationspflichten nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO). Für die Firmenwebsite der ECODYNAMICS GmbH gilt deren eigene Datenschutzerklärung.

Sie richtet sich an alle Personen, deren Daten wir im Zusammenhang mit Workforce Compass verarbeiten:

• Besucher der öffentlichen Seiten, auch ohne Konto;
• Nutzer, die ein Konto anlegen oder über eine Einladung erhalten;
• eingeladene Personen, deren E-Mail-Adresse ein Hauptkontakt für eine Einladung eingibt;
• Absender von Anfragen über das Kontaktformular, per E-Mail oder per Telefon;
• Beschäftigte eines Kunden und andere Dritte, auf die sich Angaben in einer Bewertung oder in einem hochgeladenen Dokument im Einzelfall beziehen lassen. Für diese Daten ist der Kunde verantwortlich; wir verarbeiten sie in seinem Auftrag.

Die Erklärung ist gestuft aufgebaut: Auf die Kurzfassung folgen Verantwortlicher, Begriffe und unsere Rollen, danach jede Verarbeitung mit einer Kurzübersicht aus Zweck, Datenarten, Rechtsgrundlage, Empfängern und Speicherdauer. Es folgen der Einsatz künstlicher Intelligenz, Cookies, Empfänger, Drittlandtransfer, das Löschkonzept und Ihre Rechte. Über das Inhaltsverzeichnis erreichen Sie jeden Abschnitt direkt.

Wir verarbeiten Ihre Daten nur für die hier genannten Zwecke. Beabsichtigen wir, Daten für einen anderen Zweck weiterzuverarbeiten als den, für den sie erhoben wurden, informieren wir Sie vorher über diesen Zweck und über alles Weitere, was dafür maßgeblich ist (Art. 13 Abs. 3, Art. 14 Abs. 4 DSGVO).

3.Verantwortlicher und Kontakt für Datenschutz

Verantwortlicher im Sinne von Art. 4 Nr. 7 der Datenschutz-Grundverordnung (DSGVO) für diese Website und die Anwendung Workforce Compass ist:

Für alle Anliegen zum Datenschutz, auch zur Ausübung Ihrer Rechte, schreiben Sie bitte an info@ecodynamics.de mit dem Betreff „Datenschutz“ oder per Post an die oben genannte Anschrift. Ihre Nachricht erreicht die Geschäftsführung unmittelbar.

3.1Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt, da wir die Voraussetzungen des Art. 37 DSGVO i. V. m. § 38 BDSG nicht erfüllen (weniger als 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, und keine Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien). Für datenschutzrechtliche Anliegen wenden Sie sich bitte direkt an die oben genannte Adresse oder E-Mail-Adresse mit dem Betreff „Datenschutz“.

Im Einzelnen: Art. 37 Abs. 1 lit. b und c DSGVO verlangen einen Datenschutzbeauftragten, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen oder in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht. Beides trifft auf uns nicht zu. § 38 Abs. 1 Satz 1 BDSG knüpft an die genannte Zahl von 20 Personen an; § 38 Abs. 1 Satz 2 BDSG verlangt unabhängig davon einen Datenschutzbeauftragten, wenn ein Unternehmen Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen. Unsere eigenen Verarbeitungen als Verantwortlicher (Konten, Anmeldung, Anfragen, Protokolle) unterliegen nach unserer Einschätzung keiner solchen Pflicht. Ändern sich diese Umstände, benennen wir einen Datenschutzbeauftragten und nennen ihn an dieser Stelle.

4.Begriffe

Diese Erklärung verwendet die Begriffe der DSGVO und einige Begriffe der Anwendung. Sie bedeuten hier:

• Personenbezogene Daten (Art. 4 Nr. 1 DSGVO): alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
• Verarbeitung (Art. 4 Nr. 2 DSGVO): jeder Vorgang im Zusammenhang mit personenbezogenen Daten, etwa Erheben, Speichern, Auslesen, Übermitteln oder Löschen.
• Profiling (Art. 4 Nr. 4 DSGVO): jede automatisierte Verarbeitung, die persönliche Aspekte einer natürlichen Person bewertet, etwa Arbeitsleistung, Verhalten oder Zuverlässigkeit.
• Verantwortlicher (Art. 4 Nr. 7 DSGVO): wer über Zwecke und Mittel der Verarbeitung entscheidet.
• Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO): wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• Empfänger (Art. 4 Nr. 9 DSGVO): jede Stelle, der personenbezogene Daten offengelegt werden, gleich ob sie Dritter ist oder nicht.
• Einwilligung (Art. 4 Nr. 11 DSGVO): eine freiwillige, für den bestimmten Fall, informiert und unmissverständlich abgegebene Erklärung, mit der eine Person der Verarbeitung ihrer Daten zustimmt.
• Drittland: ein Staat außerhalb des Europäischen Wirtschaftsraums (EWR).
• Standardvertragsklauseln: die von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 erlassenen Vertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (Art. 46 Abs. 2 lit. c DSGVO).
• Nutzer: eine natürliche Person mit einem Konto in Workforce Compass.
• Organisation: das Unternehmen oder die Einheit, für die ein Konto angelegt wurde; in der Anwendung heißt sie „Unternehmen“. Alle Daten sind einer Organisation zugeordnet und von anderen Organisationen getrennt.
• Kunde: das Unternehmen, das Workforce Compass nutzt und dessen Beschäftigte als Nutzer arbeiten.
• Bewertung: eine Erfassung in der Anwendung mit Berufsfeld, Fachgebiet, Stellen und Aufgabenbündeln samt Ergebnis. Die Anwendung nennt sie „Erfassung“; „Bewertung ausführen“ heißt dort der Rechenlauf, der das Ergebnis erzeugt.
• Rolle: die Berechtigung eines Nutzers in seiner Organisation (Hauptkontakt, Personal, Fachbereich, Nur lesen); in der Anwendung heißt sie „Berechtigung“.
• Hauptkontakt: der Nutzer, der die Organisation verwaltet: Er lädt weitere Personen ein, vergibt Rollen, fragt Pläne an und exportiert die Daten der Organisation. Eine Organisation kann mehrere Hauptkontakte haben.
• Betreiber: die ECODYNAMICS GmbH in ihrer Rolle als Anbieter und Verwalter der Anwendung. Die KI-Verordnung verwendet dasselbe Wort anders: Dort ist „Betreiber“, wer ein KI-System in eigener Verantwortung verwendet, also der Kunde. In dieser Erklärung und in der Anwendung ist mit „Betreiber“ und „Betreiber-Bereich“ stets ECODYNAMICS als Betreiber der Plattform gemeint.
• Trial: der kostenlose Zugang mit einer Stelle, der entsteht, sobald Sie nach der Registrierung Ihre E-Mail-Adresse bestätigen.
• Löschlauf: ein Vorgang, der einmal täglich automatisch abläuft und Daten entfernt, deren Frist abgelaufen ist.
• Audit-Log: das Protokoll sicherheitsrelevanter Vorgänge in unserer Datenbank.
• Rate-Limit: eine Mengenbegrenzung, die festlegt, wie oft eine Funktion in einem Zeitraum genutzt werden kann.
• Hash: ein nicht umkehrbarer Prüfwert, der aus einer Angabe berechnet wird und aus dem sich die Angabe nicht zurückgewinnen lässt.

Maßgebliche Vorschriften sind die DSGVO (Verordnung (EU) 2016/679), das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

5.Unsere zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Workforce Compass richtet sich an Unternehmen. Gegenüber Geschäftskunden hat die ECODYNAMICS GmbH zwei Rollen. Welche Rolle gilt, richtet sich danach, wer über Zweck und wesentliche Mittel der jeweiligen Verarbeitung entscheidet (Art. 4 Nr. 7 und 8 DSGVO).

• Verantwortlicher sind wir für alles, was wir für den Betrieb selbst festlegen: Konten und Anmeldung, Verwaltung von Organisation, Plan und Kontingent, Anfragen an uns, E-Mails, Server-Protokolle, Audit-Log und Rate-Limits. Diese Verarbeitungen dienen unseren eigenen Zwecken: der Erfüllung des Nutzungsvertrags, der Abrechnung, der Kommunikation und der Sicherheit des Dienstes.
• Auftragsverarbeiter nach Art. 28 DSGVO sind wir für die Inhalte, die ein Kunde in Bewertungen erfasst oder hochlädt, soweit sie personenbezogene Daten seiner Beschäftigten oder anderer Dritter enthalten. Dazu gehören die erfassten Stellen und Aufgabenbündel, eigene Fachgebiete und Aufgabenbündel der Organisation, freie Texte, Dateinamen und die Inhalte hochgeladener Stellenbeschreibungen. Verantwortlicher ist in diesem Fall der Kunde. Er entscheidet, was erfasst wird, und sorgt für eine Rechtsgrundlage und für die Information der betroffenen Personen.
• Eigene Verantwortung nach Ihrer Freigabe: Gibt ein Nutzer eine Bewertung für ein Erstgespräch frei, legt der Kunde uns deren Inhalte offen, damit wir das Gespräch vorbereiten und führen können. Für diese Nutzung sind wir selbst verantwortlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Näheres steht unter Zugriff des Betreibers.

5.1Vertrag zur Auftragsverarbeitung

Soweit wir im Auftrag eines Kunden verarbeiten, gilt der Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 Abs. 3 DSGVO. Sie finden ihn mit seinen Anlagen (Beschreibung der Verarbeitung, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter) auf der Seite Auftragsverarbeitung. Er ist Bestandteil der Nutzungsbedingungen, wird mit der Registrierung vereinbart und gilt für jede Organisation, auch im Trial. Für Organisationen, die vor dem 5. Oktober 2026 angelegt wurden, regelt der Vertrag selbst, wie er wirksam wird. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO). Die im Abschnitt Empfänger und Auftragsverarbeiter genannten Dienstleister sind insoweit unsere weiteren Auftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO).

Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht nach unserer Einordnung nicht: Das Bewertungsmodell ist ein Mittel, das wir bereitstellen und das der Kunde für seine eigenen Zwecke einsetzt. Wir legen nicht gemeinsam mit dem Kunden fest, wozu er Angaben über seine Organisation erfasst, und haben kein eigenes Interesse an Angaben über seine Beschäftigten.

Betroffene Personen, deren Daten ein Kunde in Workforce Compass verarbeitet, wenden sich mit ihren Rechten am besten an diesen Kunden. Anfragen, die uns erreichen, leiten wir an ihn weiter und unterstützen ihn bei der Beantwortung (Art. 28 Abs. 3 lit. e DSGVO).

6.Rechtsgrundlagen im Überblick

Jede Verarbeitung braucht eine Rechtsgrundlage. Welche gilt, steht bei jeder Verarbeitung im Abschnitt Verarbeitungen im Einzelnen. Dieser Abschnitt erklärt die Grundlagen, auf die wir uns stützen.

• Vertrag und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO): Verarbeitungen, die nötig sind, um den Nutzungsvertrag zu schließen und zu erfüllen: Konto, Anmeldung, Organisation, Bewertungen, die für das Konto nötigen E-Mails und Anfragen, die auf einen Vertrag zielen. Diese Grundlage gilt gegenüber der Person, die selbst Vertragspartner ist.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Verarbeitungen, die für unsere berechtigten Interessen oder die eines Dritten erforderlich sind, sofern Ihre Interessen, Grundrechte und Grundfreiheiten nicht überwiegen. Darauf stützen wir Server-Protokolle, Audit-Log und Rate-Limits, die Sicherheitsprüfung der Formulare und das Bestätigungsverfahren des Kontaktformulars, Einladungen gegenüber der eingeladenen Person, die Kontodaten von Beschäftigten eines Kunden, Anfragen ohne Vertragsbezug sowie die Speicherung von Sprache und Darstellung. Das jeweilige Interesse nennen wir bei der einzelnen Verarbeitung.
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): Verarbeitungen, zu denen uns ein Gesetz verpflichtet, vor allem die Aufbewahrung von Rechnungen und Geschäftsbriefen nach § 147 der Abgabenordnung (AO), § 257 des Handelsgesetzbuchs (HGB) und § 14b des Umsatzsteuergesetzes (UStG) sowie Auskünfte an Behörden und Gerichte.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Derzeit stützen wir keine Verarbeitung auf eine Einwilligung. Sollten wir künftig eine Einwilligung einholen, können Sie sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
• Zugriff auf Ihr Endgerät (§ 25 TDDDG): Für das Speichern und Auslesen von Cookies und Speichereinträgen in Ihrem Browser gilt neben der DSGVO § 25 TDDDG. Alle Einträge von Workforce Compass sind unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist deshalb nicht nötig. Einzelheiten stehen im Abschnitt Cookies und lokaler Speicher.
• Auftragsverarbeitung (Art. 28 DSGVO): Soweit wir Inhalte im Auftrag eines Kunden verarbeiten, bestimmt der Kunde als Verantwortlicher die Rechtsgrundlage. Art. 28 DSGVO ist keine eigene Rechtsgrundlage, sondern regelt, unter welchen Bedingungen wir für den Kunden tätig werden dürfen.

Wie wir berechtigte Interessen abwägen: Wir prüfen in drei Schritten, ob ein berechtigtes Interesse vorliegt, ob die Verarbeitung dafür erforderlich ist und ob Ihre Interessen überwiegen. In die Abwägung fließt ein, dass wir nur wenige, überwiegend berufliche Angaben verarbeiten, dass sie im geschäftlichen Zusammenhang anfallen, dass Sie mit der Verarbeitung vernünftigerweise rechnen können, dass die Speicherfristen kurz sind und dass wir die Daten weder zu Werbezwecken auswerten noch zu Profilen zusammenführen. Im Ergebnis überwiegen Ihre Interessen bei den genannten Verarbeitungen nach unserer Prüfung nicht. Ihr Widerspruchsrecht bleibt davon unberührt.

Besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO), etwa Angaben zur Gesundheit, zur Gewerkschaftszugehörigkeit oder biometrische Daten, fragt die Anwendung nicht ab und benötigt sie nicht. Bitte tragen Sie solche Angaben weder in Freitexte ein noch laden Sie Dokumente hoch, die sie enthalten.

7.Verarbeitungen im Einzelnen

Zu jeder Verarbeitung stehen Zweck, Datenarten, Rechtsgrundlage, Empfänger und Speicherdauer. Die Anbieter hinter den Kurzbezeichnungen stehen mit Anschrift im Abschnitt Empfänger und Auftragsverarbeiter. Ob Sie zur Bereitstellung der Daten verpflichtet sind, steht im Abschnitt Pflicht zur Bereitstellung von Daten.

7.1Aufruf der Website und Server-Protokolle

Bei jedem Aufruf einer Seite übermittelt Ihr Browser technische Angaben an den Server. Ohne sie lässt sich die Seite nicht ausliefern. Unser Hosting-Anbieter Vercel führt darüber Protokolle. Das gilt für die öffentlichen Seiten ebenso wie für die Anwendung.

Zweck

Auslieferung der Seiten, Stabilität und Sicherheit des Betriebs, Erkennen und Abwehren von Angriffen, Fehlersuche.

Datenarten

IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Methode und Statuscode, übertragene Datenmenge, Browser und Betriebssystem (User-Agent), verweisende Seite, Standort des antwortenden Netzknotens. Bei einzelnen Funktionen schreibt die Anwendung eigene Zeilen in dieses Protokoll: beim Upload einer Stellenbeschreibung die Nutzer- und die Organisationskennung, Größe und Typ der Datei sowie Dauer und Ergebnis des Vorgangs, nicht den Inhalt; beim Versand einer E-Mail nur die Tatsache des Versands und die Zahl der Empfänger, ohne Adresse und ohne Betreff; beim täglichen Löschlauf nur Zähler; bei Fehlern eine technische Fehlermeldung. Fehlermeldungen der Datenbank können im Einzelfall technische Angaben zu dem betroffenen Vorgang enthalten.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und zuverlässiger Betrieb; zur Sicherheit der Verarbeitung sind wir außerdem nach Art. 32 DSGVO verpflichtet.

Empfänger

Vercel als Auftragsverarbeiter.

Speicherdauer

Die Protokolle hält Vercel in dem von uns gebuchten Tarif (Pro) nach seiner Dokumentation einen Tag vor (Stand Oktober 2026). Länger nur, soweit ein konkreter Sicherheitsvorfall aufzuklären ist.

Die Protokolle werden nicht zu Werbezwecken ausgewertet. Wir ziehen sie nur zur Fehlersuche und zur Aufklärung von Sicherheitsvorfällen heran; über die genannten Kennungen lässt sich eine einzelne Zeile dabei einem Konto zuordnen. Die IP-Adresse schreibt unsere Anwendung nicht in eigene Protokollzeilen; sie steht in den Zugriffsprotokollen des Hosting-Anbieters, im Audit-Log und in den Zählern der Rate-Limits (siehe Sicherheit).

Abwägung: Ohne die Verarbeitung der IP-Adresse lässt sich keine Seite ausliefern; ohne Protokolle lassen sich Störungen und Angriffe nicht erkennen. Die Daten sind technischer Art, werden nur einen Tag vorgehalten und nicht mit anderen Angaben zu einem Profil verbunden. Ihre Interessen überwiegen deshalb nach unserer Prüfung nicht.

7.2Registrierung und Konto

Für die Nutzung der Anwendung legen Sie ein Konto an. Dabei entsteht zugleich eine Organisation mit einem kostenlosen Trial. Ihre E-Mail-Adresse bestätigen Sie über einen Link, den wir Ihnen zusenden; erst mit dieser Bestätigung richten wir Organisation, Rolle und Trial ein. Wer über eine Einladung kommt, legt sein Konto in einem eigenen Formular an und tritt der einladenden Organisation bei.

Zweck

Anlage und Verwaltung des Kontos, Zuordnung zur Organisation, Nachweis der Zustimmung zu den Nutzungsbedingungen, Kommunikation zum Konto.

Datenarten

Vorname, Nachname, Name des Unternehmens, E-Mail-Adresse, Passwort (nur als Hash), Zeitpunkt der Zustimmung zu den Nutzungsbedingungen und Stand der Fassung, der zugestimmt wurde, Zeitpunkt der Registrierung und der Bestätigung. Später im Profil freiwillig: Funktion und Telefonnummer; außerdem die gewählte Sprache. Vorname, Nachname, Unternehmen, Sprache, der Zeitpunkt der Zustimmung und der Stand der Fassung liegen zusätzlich als Begleitangaben des Kontos beim Anmeldedienst.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag und vorvertragliche Maßnahmen). Soweit Sie als Beschäftigte eines Kunden handeln und nicht selbst Vertragspartner sind: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Erfüllung des Vertrags mit Ihrem Unternehmen.

Empfänger

Supabase (Datenbank und Anmeldung), Vercel (Betrieb der Anwendung), Resend (Versand der Bestätigungsmail).

Speicherdauer

Bis zur Löschung des Kontos. Registrierungen, deren E-Mail-Adresse nicht bestätigt wird, löscht ein täglicher Löschlauf nach 30 Tagen. Wird dieselbe Adresse vorher erneut registriert oder über eine Einladung ein Konto für sie angelegt, ersetzt das neue Konto die unbestätigte Registrierung. Wird der Bestätigungslink in einem anderen Browser geöffnet als dem, in dem die Registrierung begonnen wurde, verwerfen wir das dort vergebene Passwort; wer den Link geöffnet hat, vergibt dann ein neues. So bleibt niemand im Besitz des Passworts, der die Adresse nur eingetragen, aber nicht bestätigt hat.

Als Nachweis Ihrer Zustimmung speichern wir den Zeitpunkt, zu dem Sie das Pflichtfeld bei der Registrierung bestätigt haben, und den Stand der Fassung der Nutzungsbedingungen einschließlich des Vertrags zur Auftragsverarbeitung, der Sie zugestimmt haben. Bei Konten, die vor dem 5. Oktober 2026 entstanden sind, ist nur der Zeitpunkt gespeichert. Die Antworten der Anmelde- und Registrierungsseiten lassen nicht erkennen, ob zu einer E-Mail-Adresse bereits ein Konto besteht; so kann niemand durch Ausprobieren herausfinden, wer Workforce Compass nutzt.

Abwägung für Beschäftigte eines Kunden: Wer für seinen Arbeitgeber ein Konto nutzt, gibt wenige berufliche Kontaktdaten an. Ohne sie lässt sich der Vertrag mit dem Arbeitgeber nicht erfüllen, weil Rechte und Rollen an ein persönliches Konto gebunden sind. Die Daten werden nur für diesen Zweck genutzt. Ihre Interessen überwiegen deshalb nach unserer Prüfung nicht.

7.3Anmeldung und Sitzung

Sie melden sich mit E-Mail-Adresse und Passwort an. Der Anmeldedienst prüft das Passwort gegen den gespeicherten Hash und stellt eine Sitzung aus. Die Sitzung liegt als Cookie in Ihrem Browser und wird bei jedem Aufruf geprüft und bei Bedarf erneuert. Ihr Browser spricht dabei nur mit unserem Server, nicht unmittelbar mit dem Anmeldedienst. Eine Anmeldung über Konten anderer Anbieter (etwa soziale Netzwerke) gibt es nicht.

Zweck

Prüfung der Berechtigung, Aufrechterhalten der Anmeldung, Zurücksetzen des Passworts, Schutz vor fremdem Zugriff.

Datenarten

E-Mail-Adresse, Passwort-Hash, Sitzungs- und Erneuerungstoken, Zeitpunkt der letzten Anmeldung; zu jeder Sitzung die IP-Adresse und die Browserkennung des letzten Zugriffs sowie die Zeitpunkte von Beginn und letzter Erneuerung, gespeichert in der Sitzungstabelle unserer Datenbank in Frankfurt; dazu IP-Adresse und Browserkennung in den Protokollen des Anmeldedienstes.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO; für die Protokolle des Anmeldedienstes Art. 6 Abs. 1 lit. f DSGVO (Sicherheit). Für das Sitzungs-Cookie zusätzlich § 25 Abs. 2 Nr. 2 TDDDG.

Empfänger

Supabase, Vercel; für die Passwort-Mail Resend.

Speicherdauer

Die Sitzung endet mit der Abmeldung; das Cookie läuft 30 Tage nach der letzten Nutzung ab. Wer sein Passwort ändert oder zurücksetzt, beendet damit alle anderen Sitzungen des Kontos. Die Angaben zur Sitzung in der Datenbank (IP-Adresse, Browserkennung, Zeitpunkte) bleiben gespeichert, bis die Sitzung endet: mit der Abmeldung, mit einem Passwortwechsel oder spätestens 30 Tage nach der letzten Nutzung; Sitzungen, die 30 Tage nicht erneuert wurden, entfernt unser täglicher Löschlauf. Der Anmeldedienst führt außerdem ein Vorgangsprotokoll in der Datenbank (etwa Anmeldung, Abmeldung und Erneuern der Sitzung, jeweils mit Nutzerkennung, IP-Adresse und Zeitpunkt); derselbe Löschlauf entfernt Einträge, die älter als 30 Tage sind. Die technischen Protokolle des Anmelde- und Datenbankdienstes hält Supabase höchstens 28 Tage vor.

Das Passwort muss mindestens zwölf Zeichen lang sein. Es lässt sich nur mit dem aktuellen Passwort ändern oder über einen Link zurücksetzen, den wir an die hinterlegte E-Mail-Adresse senden. Links aus unseren E-Mails werden erst eingelöst, wenn Sie auf einer Zwischenseite ausdrücklich bestätigen; so verbraucht ein Prüfprogramm Ihres Postfachs den Link nicht vorab. Eine Anmeldung mit einem zweiten Faktor bietet die Anwendung derzeit nicht.

7.4Organisation, Nutzerverwaltung und Einladungen

Jedes Konto gehört zu einer Organisation; wer aus seiner Organisation entfernt wird, behält sein Konto zunächst. Die Anwendung zeigt ihm dann eine Seite, auf der er sich abmelden oder das Konto mit seinem Passwort selbst löschen kann; er kann auch erneut eingeladen werden. Geschieht beides nicht, löschen wir das Konto 90 Tage, nachdem unser täglicher Löschlauf es ohne Organisation vorgefunden hat. Einer Organisation tritt nur bei, wer den Link aus der Einladungsmail öffnet. Der Hauptkontakt einer Organisation kann weitere Personen per E-Mail einladen, ihnen eine Rolle zuweisen (Hauptkontakt, Personal, Fachbereich, nur lesen), die Rolle ändern und sie wieder entfernen. Die Rollen bestimmen, wer Bewertungen anlegen, bearbeiten, ausführen oder nur ansehen darf. Ein Konto kann nur einer Organisation angehören.

Zweck

Zusammenarbeit innerhalb einer Organisation, Vergabe von Rechten, Trennung der Daten verschiedener Kunden, Verwaltung von Plan und Kontingent.

Datenarten

Name der Organisation, Mitgliedschaften mit Rolle und Zeitpunkt, E-Mail-Adresse und Rolle eingeladener Personen, einladende Person, Ablaufdatum der Einladung, ein Prüfwert des Einladungslinks (kein Klartext), Plan, Vertragszeitraum und Verbrauch, die Person, die Plan oder Zeitraum zuletzt geändert hat, sowie der Zeitpunkt einer Ankündigung der Löschung.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Kunden. Gegenüber eingeladenen Personen Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, dass der Kunde seine Beschäftigten zur gemeinsamen Arbeit zulassen kann.

Empfänger

Supabase, Vercel, Resend (Einladungsmail). Innerhalb der Organisation sieht der Hauptkontakt Namen, E-Mail-Adresse und Rolle der Mitglieder.

Speicherdauer

Mitgliedschaften bis zum Entfernen der Person oder zur Löschung der Organisation. Einladungen sind 14 Tage gültig; nicht angenommene Einladungen löscht ein täglicher Löschlauf 30 Tage nach Ablauf, angenommene 30 Tage nach der Annahme. Eine neue Einladung an dieselbe Adresse ersetzt eine noch offene.

Wer eine Einladung erhält, ohne sie erwartet zu haben, kann sie unbeachtet lassen. Die Adresse stammt in diesem Fall von dem Unternehmen, das die Einladung ausgelöst hat; die Einladungsmail nennt dieses Unternehmen und die einladende Person. Was für eingeladene Personen außerdem gilt, steht im Abschnitt Wenn wir Ihre Daten nicht von Ihnen selbst erhalten haben.

Abwägung für eingeladene Personen: Verarbeitet werden nur die E-Mail-Adresse und die vorgesehene Rolle. Die Einladung verfällt nach 14 Tagen und wird danach gelöscht; ohne Ihr Zutun entsteht kein Konto. Ihre Interessen überwiegen deshalb nach unserer Prüfung nicht.

7.5Bewertungen und Ergebnisse

In einer Bewertung erfassen Nutzer Berufsfeld, Fachgebiet, Stellen und Aufgabenbündel und erhalten daraus Empfehlungen und Schätzungen. Gegenstand sind Stellen und Aufgabenbündel. Namen von Beschäftigten werden nicht abgefragt und sind für das Ergebnis nicht nötig. Wo trotzdem ein Personenbezug entstehen kann, steht im Abschnitt Stellen statt Personen. Das Ergebnis errechnet Ihr Browser nach einem regelbasierten Modell; unser Server speichert das Ergebnis und den Stand der Modellannahmen, mit dem gerechnet wurde.

Zweck

Erfassen, Speichern, Auswerten und Darstellen der Bewertungen; Zählen des Kontingents; spätere Rückmeldung, wie eine Entscheidung ausgegangen ist.

Datenarten

Titel der Bewertung, Berufsfeld, Fachgebiet, Stellen mit Bezeichnung und Anzahl, Aufgabenbündel mit Zeitanteilen und Einschätzungen, eigene Fachgebiete und Aufgabenbündel der Organisation, Ergebnis und zusammengefasste Kennwerte, der Stand der Modellannahmen bei der Auswertung, freie Texte (etwa zur Rückmeldung „Wie ist es ausgegangen?“), bei einem übernommenen Vorschlag aus einer hochgeladenen Stellenbeschreibung der Name der Datei (bei einem Team die Namen aller Dateien) als Quellenangabe und kurze wörtliche Belegstellen aus dem Dokument (je höchstens 200 Zeichen), anlegende Person, Zeitpunkte von Anlage, Änderung und Auswertung, Freigabe an den Betreiber.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Daten der Nutzer geht (anlegende Person, Zeitpunkte). Soweit Inhalte einer Bewertung Beschäftigte des Kunden betreffen, verarbeiten wir sie im Auftrag des Kunden (Art. 28 DSGVO); die Rechtsgrundlage dafür bestimmt der Kunde.

Empfänger

Supabase, Vercel. Innerhalb der Organisation alle Mitglieder nach ihrer Rolle. Der Betreiber sieht die erfassten Stellen und Aufgabenbündel nur nach Freigabe, siehe unten.

Speicherdauer

Für die Dauer des Vertrags: bis der Kunde die Bewertung, das Konto oder die Organisation löscht, längstens bis zum Ende des Vertrags zuzüglich der Frist aus dem Abschnitt Speicherdauer und Löschkonzept. Eine eigene Frist je Bewertung gibt es nicht.

Löscht ein Nutzer sein Konto, bleiben die von ihm angelegten Bewertungen der Organisation erhalten; der Verweis auf die anlegende Person wird dabei entfernt. Eine ausgewertete Bewertung, die geändert wird, kehrt in den Stand „in Erfassung“ zurück; der Modellstand jeder Auswertung bleibt als Schnappschuss gespeichert, damit sich ein Ergebnis später nachvollziehen lässt.

7.6Zugriff des Betreibers

Die ECODYNAMICS GmbH sieht in ihrer Verwaltungsansicht je Organisation Kennzahlen und Verwaltungsangaben: Name der Organisation, Mitglieder mit Name, E-Mail-Adresse und Rolle, die E-Mail-Adressen offener Einladungen, Plan, Vertragszeitraum und Verbrauch. Der Betreiber weist Plan und Vertragszeitraum zu, kann eine Organisation sperren und ändert auf Bitte des Kunden die Rolle eines Mitglieds, etwa wenn der einzige Hauptkontakt nicht mehr erreichbar ist.

Ohne Ihre Freigabe sehen wir zu jeder Erfassung die von Ihnen vergebene Bezeichnung (den Titel), den Stand, die Kernzahlen (darunter die Zahl der gezählten Stellen und der Zeitpunkt der Auswertung) und Ihre Auswahl zum Ausgang. Die Stellen und Aufgabenbündel selbst und Ihren Freitext zum Ausgang sehen wir erst nach Ihrer Freigabe. Der Titel ist ein freier Text; wir empfehlen, ihn neutral zu halten und keine Namen von Personen zu verwenden.

Mit Ihrer Freigabe: Die Inhalte einer Bewertung sehen wir nur, wenn ein Nutzer mit der Rolle Hauptkontakt oder Personal diese Bewertung ausdrücklich freigibt; das geschieht mit einer Terminanfrage. Die Freigabe gilt für die einzelne Bewertung. Zurückgenommen wird sie mit einer weiteren Terminanfrage zu derselben Bewertung ohne Freigabe (es gilt die jüngste Anfrage) oder auf Zuruf per E-Mail an uns; mit dem Löschen der Bewertung entfällt sie ebenfalls. Freigegebene Inhalte nutzen wir, um das Erstgespräch vorzubereiten und zu führen (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse und das des Kunden ist ein sachkundiges Gespräch über die erfasste Organisationseinheit).

Wozu wir die Kennzahlen nutzen: Die Angaben ohne Freigabe verarbeiten wir im Auftrag des Kunden, um Plan und Kontingent zu verwalten und den Kunden bei Rückfragen zu unterstützen. In dieser Verwaltungsansicht sehen wir je ausgewerteter Erfassung den Namen der Organisation, den Titel, die Zahl der Stellen und die Auswahl zum Ausgang („Wie ist es ausgegangen?“). Der Kunde weist uns im Vertrag zur Auftragsverarbeitung außerdem an, aus den Kennwerten und der Auswahl zum Ausgang zusammengefasste Zahlen ohne Bezug zu einer Organisation oder Person zu bilden. Nur diese Zahlen ohne Personenbezug nutzen wir, um das Bewertungsmodell zu prüfen und zu verbessern; die Einzelangaben nutzen wir nicht für eigene Zwecke.

Das Betreiber-Recht ist an einzelne Konten gebunden und wird nicht über die Oberfläche vergeben. Unabhängig davon haben wenige, namentlich berechtigte Personen bei uns technischen Zugriff auf die Datenbank. Er wird nur genutzt, soweit Betrieb, Fehlerbehebung, Sicherheit oder eine Anfrage des Kunden es erfordern.

7.7Upload von Stellenbeschreibungen und KI-Auswertung

Nutzer können eine Stellenbeschreibung hochladen (PDF, DOCX oder TXT, höchstens 4 MB), damit Aufgabenbündel daraus vorgeschlagen werden. Das geschieht ausschließlich auf Veranlassung des Nutzers. Unser Server prüft Dateityp und Größe, liest den Text aus, kürzt ihn auf höchstens 60 000 Zeichen und übermittelt ihn an die Claude API von Anthropic. Enthält eine PDF keinen oder nur wenig auslesbaren Text (gescannte Seiten oder eine dünne Textschicht), übermitteln wir stattdessen die Datei selbst, wenn sie höchstens 20 Seiten hat, damit der KI-Dienst den Text von den Seiten liest; eine längere Datei dieser Art übermitteln wir nicht als Datei. Dabei gelangt die vollständige Datei an Anthropic: alles, was auf den Seiten zu sehen ist, auch Logos, Unterschriften, Stempel und handschriftliche Vermerke, sowie die Dokumenteigenschaften der Datei, etwa Verfasser und Titel. Der Dateiname wird in keinem Fall übermittelt. Zurück kommt ein strukturierter Vorschlag, den der Nutzer prüft, ändert und übernimmt oder verwirft. Alles Weitere zum KI-Dienst steht im Abschnitt Einsatz künstlicher Intelligenz.

Zweck

Auslesen einer Stellenbeschreibung und Vorschlag passender Aufgabenbündel, um die Erfassung zu erleichtern.

Datenarten

Text und Name der hochgeladenen Datei, bei gescannten PDF ohne auslesbaren Text die Datei mit ihren Seiten, gewähltes Berufsfeld, der erzeugte Vorschlag sowie die Bezeichnungen der Berufsfelder, Fachgebiete und Aufgabenbündel aus dem Katalog, einschließlich der von Ihrer Organisation selbst angelegten oder umbenannten Einträge (der KI-Dienst ordnet die Stellenbeschreibung diesen Einträgen zu); bei uns zusätzlich Nutzerkennung und Zeitpunkt für das Kontingent der Uploads. An Anthropic übermitteln wir weder Ihren Namen noch Ihre E-Mail-Adresse noch Ihre Nutzerkennung noch den Namen Ihrer Organisation; diese Angaben gelangen nur dorthin, wenn sie in der Datei selbst oder in den Bezeichnungen eigener Katalogeinträge stehen. Wir empfehlen deshalb, eigene Fachgebiete und Aufgabenbündel neutral zu benennen.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (vom Nutzer gewählte Funktion des Vertrags). Enthält die Datei Daten Dritter, verarbeiten wir sie im Auftrag des Kunden (Art. 28 DSGVO); die Rechtsgrundlage bestimmt dann der Kunde.

Empfänger

Vercel (Verarbeitung auf dem Server in Frankfurt) und Anthropic (KI-Auswertung; Vertragspartner ist die Anthropic Ireland, Limited, die Verarbeitung findet in den USA und gegebenenfalls an weiteren Standorten des Anbieters und seiner Unterauftragsverarbeiter statt).

Speicherdauer

Bei uns wird die Datei nicht gespeichert; sie liegt nur für die Dauer der Verarbeitung im Arbeitsspeicher. Gespeichert werden der Vorschlag, den der Nutzer in seine Bewertung übernimmt, der Name der Datei als Quellenangabe und kurze wörtliche Belegstellen aus dem Dokument (je höchstens 200 Zeichen), die zeigen, worauf sich ein Vorschlag stützt. Der Dateiname ist für alle Mitglieder der Organisation sichtbar und steht im Datenexport; an Anthropic übermitteln wir ihn nicht. Anthropic löscht Ein- und Ausgaben der API nach eigenen Angaben innerhalb von 30 Tagen.

Was geschieht, wenn die Datei doch personenbezogene Daten enthält: Der Text, bei gescannten PDF die Datei, wird wie beschrieben an Anthropic übermittelt und dort für die Antwort verarbeitet. Für die Zulässigkeit dieser Übermittlung ist der Kunde verantwortlich, der die Datei hochlädt; wir handeln insoweit als sein Auftragsverarbeiter und Anthropic als weiterer Auftragsverarbeiter. Der Vorschlag ist auf Aufgabenbündel und bekannte Fachgebiete beschränkt. Die Belegstellen sind wörtliche Auszüge; steht an der zitierten Stelle ein Name, wird er mit der Belegstelle in die Bewertung übernommen. Prüfen Sie den Vorschlag deshalb vor der Übernahme auch darauf. Bemerken Sie einen solchen Upload, schreiben Sie uns bitte; wir prüfen dann, was sich bei uns und beim Anbieter veranlassen lässt.

Nach den Vertragsbedingungen von Anthropic werden Inhalte aus der API nicht zum Training von Modellen verwendet. Eine längere Aufbewahrung nennt Anthropic für Inhalte, die gegen seine Nutzungsrichtlinien verstoßen (bis zu zwei Jahre, Einstufungen zur Sicherheit bis zu sieben Jahre), sowie soweit ein Gesetz sie verlangt.

Hochladen können Nutzer mit den Rollen Hauptkontakt, Personal und Fachbereich, höchstens 20 Dateien je Stunde. Ist die Organisation gesperrt, steht die Funktion nicht bereit.

7.8Kontakt-, Termin- und Plananfragen

Auf der Startseite gibt es ein Kontaktformular. In der Anwendung können Hauptkontakt und Personal ein Erstgespräch anfragen und dabei eine Erfassung freigeben; einen Planwechsel fragt der Hauptkontakt an. Jede Anfrage wird in der Datenbank gespeichert und als E-Mail an unser Postfach info@ecodynamics.de gesendet, eine Kontaktanfrage erst nach ihrer Bestätigung über einen Link (siehe den folgenden Absatz). Bei einer Kontaktanfrage und bei einer Terminanfrage erhalten Sie eine Eingangsbestätigung per E-Mail; die E-Mails zur Kontaktanfrage enthalten Ihre Eingaben nicht. Eine Plananfrage bestätigt die Anwendung auf dem Bildschirm; wir melden uns danach bei Ihnen. Die Plananfrage ändert den Plan nicht selbst; wir weisen ihn nach Absprache zu.

Bestätigungsverfahren beim Kontaktformular: Vor dem Absenden bestätigen Sie über ein Pflichtfeld, dass Sie diese Datenschutzerklärung zur Kenntnis genommen haben. Das Feld ist nicht vorangekreuzt; es ist eine Kenntnisnahme und keine Einwilligung. Nach dem Absenden speichern wir die Anfrage zunächst als unbestätigt und senden an die angegebene Adresse eine E-Mail mit einem Link, der 48 Stunden und nur einmal gilt. Erst wenn Sie den Link öffnen und auf der Seite „Anfrage bestätigen“ wählen, geht die Anfrage bei uns ein: Dann erhält unser Postfach die Nachricht und Sie eine kurze Eingangsbestätigung. So stellen wir sicher, dass niemand mit Ihrer Adresse Anfragen stellt und dass unser Formular nicht dazu dient, fremden Postfächern Nachrichten zuzustellen. Ohne Bestätigung leiten wir nichts weiter, werten die Angaben nicht aus und löschen sie sieben Tage nach Ablauf des Links. Je Adresse versenden wir höchstens drei solcher E-Mails am Tag. Zum Nachweis des Ablaufs (Art. 5 Abs. 2 DSGVO) speichern wir den Zeitpunkt, zu dem das Pflichtfeld bestätigt wurde, die Fassung seines Wortlauts, die Sprache und den Zeitpunkt der Bestätigung über den Link; eine IP-Adresse speichern wir dazu nicht. Vom Link selbst speichern wir nur einen Prüfwert (SHA-256).

Zweck

Beantworten der Anfrage, Vereinbaren eines Gesprächs, Zuweisen eines Plans, Anbahnen und Durchführen des Vertrags.

Datenarten

Kontaktformular: Name, Unternehmen, E-Mail-Adresse, freiwillig eine Telefonnummer, Nachricht, Sprache, Zeitpunkt sowie die Angaben zum Bestätigungsverfahren (Zeitpunkt und Fassung des bestätigten Pflichtfelds, Prüfwert und Ablauf des Links, Zeitpunkt der Bestätigung). Terminanfrage: Nutzer mit Name, E-Mail-Adresse und der Telefonnummer aus dem Profil, Organisation, Nachricht, die betroffene Bewertung und die Angabe, ob sie für das Gespräch freigegeben ist; die E-Mail an uns nennt außerdem Titel und Kernzahlen dieser Bewertung (Ausgangslage, Berufsfeld, Einzelstelle oder Team, Zahl der Stellen, Kapazität, Zahl der Aufgabenbündel, Empfehlung in Summen), auch ohne Freigabe. Die erfassten Stellen und Aufgabenbündel im Einzelnen sehen wir nur mit Freigabe. Plananfrage: Nutzer, Organisation, bisheriger und gewünschter Plan, Verbrauch, Nachricht. Jeweils der Bearbeitungsstatus und der Zeitpunkt der Erledigung.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag zielt oder ihn betrifft; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung geschäftlicher Anfragen). Für das Bestätigungsverfahren und seinen Nachweis Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Anfragen unter fremder Adresse, Nachweis nach Art. 5 Abs. 2 DSGVO).

Empfänger

Supabase, Vercel, Resend (Zustellung der E-Mail) sowie Microsoft, bei dem unser E-Mail-Postfach geführt wird (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland).

Speicherdauer

Zwölf Monate nach der Erledigung; Anfragen, die nicht als erledigt vermerkt sind, spätestens 24 Monate nach Eingang. Unbestätigte Kontaktanfragen: sieben Tage nach Ablauf des Bestätigungslinks, der 48 Stunden gilt. Die Löschung übernimmt ein täglicher Löschlauf. Entsteht daraus ein Vertrag, gelten für die geschäftliche Korrespondenz die gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO).

Das Kontaktformular enthält ein für Menschen unsichtbares Feld, das automatisierte Einsendungen erkennen hilft, und ist je IP-Adresse mengenmäßig begrenzt. Hinzu kommt eine Sicherheitsprüfung, die wir selbst betreiben; siehe Schutz vor automatisierten Zugriffen. Ein Dienst eines Dritten zur Erkennung von Robotern wird nicht eingesetzt. Kontaktanfragen sind nicht mit einem Konto verknüpft; sie bleiben deshalb auch dann bis zum Ablauf ihrer Frist gespeichert, wenn der Absender später ein Konto anlegt und wieder löscht.

Abwägung bei Anfragen ohne Vertragsbezug: Sie wenden sich von sich aus an uns und erwarten eine Antwort. Wir nutzen Ihre Angaben nur dafür und für Rückfragen zu demselben Anliegen, nicht für Werbung. Ihre Interessen überwiegen deshalb nach unserer Prüfung nicht.

7.9Kontakt per E-Mail oder Telefon

Sie können uns auch direkt schreiben oder anrufen; Adresse und Telefonnummer stehen auf der Startseite und im Impressum. Wir verarbeiten dann die Angaben, die Sie uns dabei mitteilen, um Ihr Anliegen zu beantworten.

Zweck

Beantworten Ihres Anliegens, Anbahnen und Durchführen eines Vertrags.

Datenarten

E-Mail: Absenderadresse, Name, Inhalt und Anhänge der Nachricht, Zeitpunkt, technische Kopfzeilen. Telefon: Rufnummer, soweit übermittelt, Zeitpunkt und Dauer des Gesprächs sowie das, was wir uns zu Ihrem Anliegen notieren. Gespräche werden nicht aufgezeichnet.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO, soweit Ihr Anliegen auf einen Vertrag zielt oder ihn betrifft; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung geschäftlicher Anfragen).

Empfänger

Microsoft, bei dem unser E-Mail-Postfach geführt wird (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland).

Speicherdauer

Bis Ihr Anliegen erledigt ist und danach, solange Rückfragen zu erwarten sind, in der Regel nicht länger als 24 Monate. Entsteht daraus ein Vertrag, gelten für die geschäftliche Korrespondenz die gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO).

E-Mails werden auf dem Weg durch das Internet nicht in jedem Fall durchgehend verschlüsselt. Bitte senden Sie uns per E-Mail keine vertraulichen Angaben über Dritte.

7.10Transaktions-E-Mails

Wir versenden ausschließlich E-Mails, die für die Nutzung nötig sind: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Einladung in eine Organisation, Bestätigungslink und Eingangsbestätigung einer Kontaktanfrage, Bestätigung einer Terminanfrage sowie die Ankündigung, bevor wir die Daten einer Organisation nach Vertragsende löschen. Weitere Benachrichtigungen versendet die Anwendung nicht. Einen Newsletter oder Werbung versenden wir über die Anwendung nicht. Die E-Mails enthalten keine Zählpixel.

Zweck

Zustellung der für Konto und Vertrag nötigen Nachrichten.

Datenarten

E-Mail-Adresse des Empfängers, Absender, Betreff, Inhalt der Nachricht (darin etwa Name, Organisation, ein einmaliger Link), bei Nachrichten an uns die Antwortadresse des Nutzers, Zeitpunkt und Zustellstatus.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO; bei Einladungen gegenüber der eingeladenen Person Art. 6 Abs. 1 lit. f DSGVO.

Empfänger

Resend. Der Versand läuft über dessen Region in Irland; Kontodaten, Metadaten und Versandprotokolle speichert Resend nach eigenen Angaben in den USA. Die E-Mails zu Anmeldung und Passwort erzeugt der Anmeldedienst von Supabase und versendet sie ebenfalls über Resend.

Speicherdauer

Versandprotokolle (Empfängeradresse, Betreff, Inhalt, Zustellstatus) hält Resend für eine begrenzte, vom Tarif abhängige Zeit vor. Wir selbst speichern keine Kopie der versendeten E-Mails; die Anfragen selbst und die E-Mails, die dazu in unserem Postfach eingehen, speichern wir wie unter „Kontakt-, Termin- und Plananfragen“ beschrieben. Nach Ende unseres Vertrags löscht Resend die Daten nach eigenen Angaben innerhalb von 90 Tagen.

Was die einzelnen E-Mails enthalten: Die Einladung nennt die vorgesehene Rolle, das einladende Unternehmen und den Namen der einladenden Person sowie einen Link, der 14 Tage gilt. Die Ankündigung der Löschung geht an alle Hauptkontakte einer Organisation und nennt den Namen der Organisation, das Vertragsende, den Tag der Löschung und deren Umfang. Die E-Mail mit dem Bestätigungslink einer Kontaktanfrage enthält nur den Link und den Hinweis auf seine Gültigkeit, nicht Ihre Eingaben. Die Nachricht an uns zu einer Terminanfrage enthält die im vorigen Abschnitt genannten Angaben, die Nachricht zu einer Plananfrage Organisation, Name und E-Mail-Adresse des Nutzers, die Pläne, den Verbrauch und die Nachricht. Jede E-Mail trägt im Fuß unsere Unternehmensangaben und Links zu Impressum und Datenschutzerklärung.

7.11Abrechnung und Vertragsunterlagen

Die Anwendung kennt weder Zahlung noch Rechnung. Bezahlte Pläne stellen wir außerhalb der Anwendung in Rechnung; Angebote, Rechnungen und Vertragskorrespondenz liegen in unserer Buchhaltung und in unserem E-Mail-Postfach, nicht in der Datenbank von Workforce Compass.

Zweck

Angebot, Rechnungsstellung, Zahlungsabgleich, Buchführung und Erfüllung der gesetzlichen Aufbewahrungspflichten.

Datenarten

Firma und Anschrift des Kunden, Name und geschäftliche Kontaktdaten der Ansprechperson, gebuchter Plan, Vertragszeitraum, Rechnungsbetrag, Umsatzsteuer-Identifikationsnummer, Zahlungsangaben (bei Überweisung die Bankverbindung des Zahlenden), Vertragskorrespondenz.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO, § 257 HGB und § 14b UStG. Gegenüber Ansprechpersonen, die nicht selbst Vertragspartner sind, Art. 6 Abs. 1 lit. f DSGVO (Abwicklung des Vertrags mit ihrem Unternehmen).

Empfänger

Unsere Steuerberatung unter Berufsverschwiegenheit, das kontoführende Kreditinstitut, Finanzbehörden im Rahmen ihrer gesetzlichen Befugnisse sowie Microsoft für das E-Mail-Postfach.

Speicherdauer

Buchungsbelege einschließlich Rechnungen acht Jahre, Handels- und Geschäftsbriefe sechs Jahre, Bücher und Jahresabschlüsse zehn Jahre, jeweils ab dem Schluss des Kalenderjahres; Näheres unter Gesetzliche Aufbewahrung.

7.12Sicherheit: Audit-Log und Rate-Limits

Sicherheitsrelevante Vorgänge halten wir in einem Protokoll fest: Registrierung, Einladung und Beitritt über eine Einladung, Rollenwechsel, Entfernen eines Mitglieds, Umbenennen der Organisation, Plananfrage und Planwechsel, Statuswechsel einer Anfrage, Datenexport, Kontolöschung, Sperre und Entsperrung einer Organisation, Ankündigung und Löschung einer Organisation nach Vertragsende, Vergabe und Entzug des Betreiber-Rechts sowie Änderungen des Betreibers an Modellannahmen und Vorlagen. Inhalte von Bewertungen stehen nicht im Protokoll. Zusätzlich begrenzen wir, wie oft bestimmte Funktionen in einem Zeitraum genutzt werden können: Registrierung, Anmeldung, Zurücksetzen des Passworts, erneutes Senden des Bestätigungslinks, Kontaktformular samt Bestätigung einer Kontaktanfrage, Abruf der Sicherheitsprüfung, Upload, Einladungen, Anfragen, Datenexport, die Prüfung des Passworts sowie lesende und schreibende Zugriffe.

Zweck

Nachvollziehbarkeit sicherheitsrelevanter Änderungen, Aufklärung von Missbrauch und Störungen, Schutz vor Überlastung und automatisierten Angriffen.

Datenarten

Audit-Log: handelnde Person (Nutzerkennung und E-Mail-Adresse), Organisation, Art der Aktion, betroffenes Objekt, ergänzende Angaben zur Aktion (bei einer Einladung die eingeladene Adresse und die Rolle, bei einem Beitritt die einladende Person, beim Umbenennen der bisherige und der neue Name der Organisation, bei einer Löschung der Name der Organisation), IP-Adresse, Zeitpunkt. Rate-Limits: ein Zähler je Zeitfenster zu einer IP-Adresse, Nutzerkennung oder Organisation, wobei die IP-Adresse unverändert Teil des Zählers ist; bei Anmeldung, Zurücksetzen, erneutem Senden und den Bestätigungsmails des Kontaktformulars statt der E-Mail-Adresse ein nicht umkehrbarer Kurzwert (Hash) der Adresse, auch wenn zu ihr kein Konto besteht.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Sicherheit der Verarbeitung, zu der wir auch nach Art. 32 DSGVO verpflichtet sind.

Empfänger

Supabase, Vercel. Das Audit-Log ist nur für den Betreiber lesbar, die Zähler für niemanden außer dem Server.

Speicherdauer

Audit-Log: zwölf Monate; Einträge bleiben auch dann so lange bestehen, wenn das Konto oder die Organisation vorher gelöscht wird. Zähler der Rate-Limits: längstens zwei Tage. Beides löscht ein täglicher Löschlauf.

Abwägung: Das Audit-Log hält fest, wer eine sicherheitsrelevante Änderung ausgelöst hat. Ohne diese Angaben lassen sich Missbrauch eines Kontos, eine unberechtigte Rollenänderung oder eine strittige Löschung nicht aufklären. Es überdauert deshalb bewusst die Löschung von Konto und Organisation, ist aber auf zwölf Monate begrenzt, enthält keine Inhalte von Bewertungen und ist nur für wenige berechtigte Personen lesbar. Die Zähler speichern keine Inhalte und verfallen nach höchstens zwei Tagen. Ihre Interessen überwiegen deshalb nach unserer Prüfung nicht.

7.13Schutz vor automatisierten Zugriffen

Die offenen Formulare, also Kontaktformular, Registrierung, Registrierung über eine Einladung, „Passwort vergessen“ und das erneute Senden des Bestätigungslinks, sind durch eine Sicherheitsprüfung geschützt. Wir setzen dafür die quelloffene Software ALTCHA ein und betreiben sie selbst: Das Programm liefert unser eigener Server aus, nicht ein Dritter. Beim Absenden stellt unser Server Ihrem Browser eine Rechenaufgabe, Ihr Browser löst sie auf einem üblichen Gerät in etwa einer Sekunde, und unser Server prüft die Lösung. Für einen einzelnen Menschen ist der Aufwand kaum spürbar, für massenhafte automatisierte Einsendungen summiert er sich. Sie müssen keine Bilder erkennen und kein Rätsel lösen. Die Anmeldung trägt keine solche Prüfung; dort greifen die Mengenbegrenzungen.

Die Sicherheitsprüfung setzt kein Cookie, schreibt nichts in den Speicher Ihres Browsers, liest dort nichts aus, bildet keinen Fingerabdruck Ihres Geräts und wertet Ihr Verhalten nicht aus. Es werden dabei keine Daten an Dritte übermittelt. Die Aufgabe enthält Zufallswerte, einen Ablaufzeitpunkt (zehn Minuten) und eine Signatur unseres Servers, aber keine Angabe zu Ihrer Person. Damit eine Lösung nur einmal verwendet werden kann, merkt sich der Server die Signatur der eingelösten Aufgabe bis zu deren Ablauf. Ohne JavaScript lässt sich die Aufgabe nicht lösen; das Formular weist darauf hin, und Sie erreichen uns dann per E-Mail.

Zweck

Schutz der Formulare und der dahinter liegenden Dienste vor automatisierten Einsendungen, vor dem Missbrauch für den Versand von E-Mails an fremde Adressen und vor Überlastung.

Datenarten

Beim Abruf der Aufgabe und beim Absenden des Formulars die technischen Daten jedes Seitenaufrufs, insbesondere IP-Adresse und Zeitpunkt (siehe Aufruf der Website und Server-Protokolle); ein Zähler je IP-Adresse für den Abruf von Aufgaben; die Signatur der eingelösten Aufgabe mit ihrem Ablaufzeitpunkt, ohne Bezug zu einer Person. Die Lösung selbst wird nicht gespeichert.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz der Anwendung und der Postfächer Dritter vor automatisiertem Missbrauch; zur Sicherheit der Verarbeitung sind wir auch nach Art. 32 DSGVO verpflichtet. Soweit die Ausführung der Rechenaufgabe in Ihrem Browser als Zugriff auf Ihr Endgerät anzusehen ist, ist sie unbedingt erforderlich, um den von Ihnen gewünschten Dienst sicher bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG).

Empfänger

Supabase (Signaturen eingelöster Aufgaben, Zähler) und Vercel (Auslieferung). Der Hersteller von ALTCHA erhält keine Daten.

Speicherdauer

Signaturen eingelöster Aufgaben: bis zum Ablauf der Aufgabe (zehn Minuten), gelöscht spätestens durch den darauf folgenden täglichen Löschlauf. Zähler: längstens zwei Tage.

Abwägung: Die Prüfung verarbeitet keine Angaben über Ihre Person, die über den gewöhnlichen Seitenaufruf hinausgehen, beansprucht Ihr Gerät nur für einen Augenblick und kommt ohne Dienst eines Dritten aus. Ohne sie ließen sich die Formulare für massenhafte Einsendungen und für den Versand von Bestätigungsmails an fremde Adressen missbrauchen. Ihre Interessen überwiegen deshalb nach unserer Prüfung nicht.

8.Einsatz künstlicher Intelligenz

Dieser Abschnitt beantwortet zusammenhängend, wo Workforce Compass ein KI-Sprachmodell einsetzt, wo nicht, welche Daten das Modell erhält, was der Anbieter damit tun darf und wie Menschen das Ergebnis kontrollieren. Die Kurzübersicht mit Rechtsgrundlage und Speicherdauer steht unter Upload von Stellenbeschreibungen und KI-Auswertung. Die Einordnung nach der KI-Verordnung und die Grenzen der Funktion stehen in den Hinweisen zum KI-Einsatz und zur Transparenz.

8.1Wo ein Sprachmodell eingesetzt wird und wo nicht

Ein KI-Sprachmodell kommt nur zum Einsatz, wenn ein Nutzer eine Stellenbeschreibung hochlädt. Es handelt sich um ein Sprachmodell der Claude-Familie von Anthropic, das wir über dessen Programmierschnittstelle (API) ansprechen. Ist das vorgesehene Modell nicht verfügbar, kann nach der Einstellung des Aufrufs ein anderes Modell desselben Anbieters antworten. Einen anderen KI-Dienst setzen wir nicht ein.

Die Empfehlungen von Workforce Compass errechnet ein regelbasiertes Bewertungsmodell mit offen gelegten Annahmen und fünf Stufen. Dieses Modell lernt nicht aus Daten und setzt kein maschinelles Lernen ein. Die Rechnung läuft in Ihrem Browser; der Server speichert das Ergebnis und den Stand der Modellannahmen. An dieser Rechnung ist das Sprachmodell nicht beteiligt.

Das Sprachmodell ist eine Hilfe bei der Erfassung: Es schlägt aus dem Dokument Berufsfeld, Fachgebiet, Stellen, Aufgabenbündel und formale Anforderungen vor. Für Aufgabenbündel, die es im Katalog nicht findet, schlägt es außerdem Ausgangswerte zu den Bewertungskriterien vor. Diese Ausgangswerte gehen erst in die Rechnung ein, nachdem ein Nutzer den Vorschlag geprüft und übernommen hat; er kann jeden Wert ändern. Eine Empfehlung, wer eine Tätigkeit übernehmen sollte, gibt das Sprachmodell nicht ab.

8.2Welche Daten das Sprachmodell erhält und welche nicht

Übermittelt werden der Text des Dokuments (auf höchstens 60 000 Zeichen gekürzt), bei gescannten PDF ohne Textschicht die Datei selbst (höchstens 20 Seiten; ebenso bei PDF mit nur wenig auslesbarem Text), sowie der Katalog der Berufsfelder, Fachgebiete und Aufgabenbündel einschließlich der von Ihrer Organisation selbst angelegten. Hinzu kommen unsere Anweisungen an das Modell, die Angabe, ob eine Einzelstelle oder ein Team erfasst wird, und gegebenenfalls das gewählte Berufsfeld.

• Nicht übermittelt werden Ihr Name, Ihre E-Mail-Adresse, Ihre Nutzerkennung, die Kennung Ihrer Organisation, Ihre IP-Adresse und der Dateiname. Der Aufruf trägt keine Angabe, die ihn einem Konto zuordnet.
• Nicht ausdrücklich übermittelt wird die Bezeichnung Ihres Unternehmens. Sie kann aber im Dokument selbst oder in den Bezeichnungen eigener Fachgebiete und Aufgabenbündel stehen und gelangt dann mit diesen an den Anbieter.
• Gescannte Seiten gehen als vollständige PDF-Datei an den Anbieter. Alles, was darauf zu sehen ist, wird mit übermittelt: Briefkopf, Logo, Unterschrift, Stempel, handschriftliche Vermerke. Mit der Datei gehen auch ihre Dokumenteigenschaften hinaus, etwa Verfasser und Titel, und Inhalte, die auf den Seiten nicht sichtbar sind.
• Zwischenspeicher beim Anbieter: Den gleichbleibenden Teil der Anfrage (Anweisungen und Katalog) hält der Anbieter kurzzeitig vor, damit Folgeanfragen schneller beantwortet werden.

8.3Was der Anbieter mit den Daten tun darf

Vertragspartner für Kunden im EWR ist nach den Bedingungen des Anbieters die Anthropic Ireland, Limited; Muttergesellschaft ist die Anthropic PBC in den USA. Anthropic verarbeitet die Inhalte als Auftragsverarbeiter nach seinem Vertrag zur Auftragsverarbeitung, also nur zur Erbringung des Dienstes und nach unseren Weisungen. Soweit die Inhalte personenbezogene Daten eines Kunden enthalten, ist Anthropic weiterer Auftragsverarbeiter in der Kette Kunde, ECODYNAMICS, Anthropic.

• Kein Training: Nach den Vertragsbedingungen von Anthropic werden Inhalte aus der API nicht zum Training von Modellen verwendet. Das ist eine Zusage des Anbieters, die wir nicht selbst technisch überprüfen können.
• Aufbewahrung: Ein- und Ausgaben der API löscht Anthropic nach eigenen Angaben innerhalb von 30 Tagen. Länger bewahrt Anthropic nach eigenen Angaben Inhalte auf, die seine automatische Prüfung als Verstoß gegen die Nutzungsrichtlinien einstuft (bis zu zwei Jahre, Einstufungen zur Sicherheit bis zu sieben Jahre), sowie soweit ein Gesetz es verlangt.
• Ort: Die Verarbeitung findet in den USA und gegebenenfalls an weiteren Standorten des Anbieters und seiner Unterauftragsverarbeiter statt. Die Übermittlung stützt sich auf die EU-Standardvertragsklauseln; siehe Übermittlung in Drittländer.
• Bei uns: Wir speichern weder die Datei noch den ausgelesenen Text und schreiben beides nicht in Protokolle. In unseren Protokollen stehen zu einem Upload nur Ergebnis, Nutzer- und Organisationskennung, Größe, Typ und Dauer.

8.4Wie Menschen das Ergebnis kontrollieren

Vorschläge, die das Sprachmodell aus einer hochgeladenen Stellenbeschreibung ableitet, zeigt die Anwendung als Vorschlag mit Fundstelle und Treffergüte. Sie werden erst Teil Ihrer Erfassung, wenn Sie sie übernehmen. Vorschläge können unvollständig oder unzutreffend sein, etwa bei veralteten Stellenbeschreibungen, bei schlecht lesbaren Scans oder wenn eine Tätigkeit im Katalog nicht vorkommt. Wir empfehlen, jeden Vorschlag vor der Übernahme zu prüfen.

Technisch ist der Aufruf eingegrenzt: Der Inhalt des Dokuments ist gegenüber dem Modell als Daten gekennzeichnet und nicht als Anweisung; die Antwort ist an ein festes Format gebunden und auf bekannte Kennungen des Katalogs beschränkt; das Modell hat keinen Zugriff auf Werkzeuge, auf das Internet oder auf unsere Datenbank. So soll ein Dokument das Modell nicht zu anderem Verhalten veranlassen können.

9.Stellen statt Personen: wo Personenbezug entstehen kann

Die Bewertung betrifft Stellen und ihre Aufgabenbündel. Sie fragt keine Namen ab, bewertet keine Leistung einzelner Beschäftigter und vergleicht keine Personen. Trotzdem kann sich eine Angabe im Einzelfall einer bestimmten Person zuordnen lassen:

• Einzelstelle mit bekanntem Inhaber: Gibt es eine Stelle im Unternehmen genau einmal und ist bekannt, wer sie innehat, beziehen sich Aufgabenbündel, Zeitanteile und das Ergebnis mittelbar auf diese Person.
• Kleine Teams: Bei sehr wenigen Stellen gleicher Art lässt sich für Kundige erkennen, wer gemeint ist.
• Freie Texte und Titel: Wer in Titel, Bezeichnungen oder Anmerkungen Namen einträgt, stellt den Personenbezug selbst her.
• Hochgeladene Dateien: Stellenbeschreibungen können Namen oder Kontaktdaten enthalten, wenn sie vorher nicht entfernt werden. Auch der Dateiname wird in der Bewertung gespeichert; trägt er den Namen einer Person, entsteht darüber ein Personenbezug.

In diesen Fällen handelt es sich um Daten von Beschäftigten des Kunden. Verantwortlich dafür ist der Kunde als Arbeitgeber; wir verarbeiten diese Daten in seinem Auftrag nach dem Vertrag zur Auftragsverarbeitung. Wir empfehlen, keine Namen einzutragen und Bezeichnungen neutral zu halten.

Wenn Sie bei einem Kunden beschäftigt sind und wissen möchten, ob und wie Ihre Stelle in Workforce Compass erfasst wurde, ist Ihr Arbeitgeber der richtige Ansprechpartner. Er ist als Verantwortlicher verpflichtet, Sie zu informieren und Ihre Rechte zu erfüllen. Wenden Sie sich an uns, leiten wir Ihr Anliegen an ihn weiter.

9.1Hinweise für Kunden als Arbeitgeber

Für den Einsatz im Unternehmen ist der Kunde verantwortlich. Wir empfehlen, vor dem Einsatz zu prüfen:

• Rechtsgrundlage: auf welche Grundlage sich die Verarbeitung stützt, soweit sich Angaben einzelnen Beschäftigten zuordnen lassen. In Betracht kommen Art. 6 Abs. 1 lit. b, c und f DSGVO; § 26 BDSG und bestehende Betriebsvereinbarungen sind dabei zu berücksichtigen.
• Information der Beschäftigten: ob und wie betroffene Beschäftigte nach Art. 13 und 14 DSGVO zu informieren sind. Die dafür nötigen Angaben zur Anwendung stellen wir bereit.
• Arbeitnehmervertretung: ob Beteiligungs- oder Informationsrechte einer bestehenden Arbeitnehmervertretung berührt sind, insbesondere nach § 87 Abs. 1 Nr. 6, §§ 90, 92, 92a und 111 des Betriebsverfassungsgesetzes (BetrVG) sowie § 80 Abs. 3 BetrVG. Wir empfehlen, die Arbeitnehmervertretung frühzeitig einzubeziehen.
• Datenschutz-Folgenabschätzung: ob vor dem Einsatz für Einzelstellen oder kleine Teams eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen ist. Die dafür nötigen Angaben (Systembeschreibung, Datenflüsse, Maßnahmen, Unterauftragsverarbeiter) stellen wir bereit.
• Eigene Prüfung vor jeder Maßnahme: Jede personelle Maßnahme setzt eine eigene, inhaltliche Prüfung durch entscheidungsbefugte Menschen voraus. Wir empfehlen, diese Prüfung zu dokumentieren.
• Sparsame Eingaben: keine Namen in Titeln, Bezeichnungen, Freitexten und Dateinamen, keine Angaben zu Leistung, Verhalten oder Gesundheit einzelner Beschäftigter und keine besonderen Kategorien personenbezogener Daten.

Diese Hinweise sind allgemeiner Art. Sie sind Empfehlungen, keine Feststellungen zur Rechtslage in Ihrem Unternehmen, und ersetzen keine Beratung im Einzelfall.

10.Cookies, lokaler Speicher und Sitzungsspeicher

Workforce Compass setzt keine Analyse-, Tracking- oder Werbe-Cookies und bindet keine Skripte, Schriften oder Inhalte fremder Anbieter ein. Gespeichert wird nur, was für die Anmeldung, für die von Ihnen gewählte Darstellung und zum Schutz Ihrer Eingaben unbedingt erforderlich ist. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung nötig; ein Cookie-Banner gibt es deshalb nicht.

§ 25 Abs. 1 TDDDG verlangt eine Einwilligung für jedes Speichern von Informationen in Ihrem Endgerät und für jeden Zugriff auf dort gespeicherte Informationen, gleich ob es sich um Cookies, den lokalen Speicher oder den Sitzungsspeicher handelt und ob die Informationen personenbezogen sind. Die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG gilt, wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit wir einen von Ihnen ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen können. Die Tabelle nennt zu jedem Eintrag, warum das der Fall ist.

Einträge im lokalen Speicher und im Sitzungsspeicher bleiben auf Ihrem Gerät und werden nicht von selbst an den Server übertragen. Sie können Cookies und lokalen Speicher jederzeit in Ihrem Browser löschen; ohne das Sitzungs-Cookie ist eine Anmeldung nicht möglich. Rechtsgrundlage für die damit verbundene Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Sitzung und Schutz ungespeicherter Eingaben) und Art. 6 Abs. 1 lit. f DSGVO (Sprache und Darstellung).

Wir trennen dabei zwei Fragen: Ob wir einen Eintrag in Ihrem Browser speichern und auslesen dürfen, richtet sich nach § 25 TDDDG. Ob wir die darin enthaltenen personenbezogenen Daten anschließend verarbeiten dürfen, richtet sich nach der DSGVO. Die Speicherung von Sprache und Darstellung dient unserem berechtigten Interesse, die Anwendung so anzuzeigen, wie Sie es gewählt haben; die Einträge enthalten keine Kennung, über die Sie wiedererkannt werden könnten.

Die Mengenbegrenzungen und das unsichtbare Feld im Kontaktformular greifen nicht auf Ihr Endgerät zu. Die Sicherheitsprüfung der Formulare speichert nichts in Ihrem Endgerät und liest dort nichts aus; sie lässt Ihren Browser lediglich eine Rechenaufgabe lösen (siehe Schutz vor automatisierten Zugriffen) und steht deshalb nicht in der Tabelle. Da wir keine Einwilligung einholen, setzen wir auch keinen Dienst zur Einwilligungsverwaltung ein; die Einwilligungsverwaltungsverordnung nach § 26 TDDDG, die anerkannte Dienste dieser Art regelt, ist für Workforce Compass deshalb ohne Bedeutung.

11.Links zu anderen Websites

Unsere Seiten enthalten Links zu Websites anderer Anbieter, etwa zu Profilen bei LinkedIn, zur Website der ECODYNAMICS GmbH und zu Quellen, auf die wir uns beziehen. Das sind reine Verweise: Wir binden von dort keine Inhalte, Schaltflächen oder Skripte ein, und beim Aufruf unserer Seiten werden keine Daten an diese Anbieter übermittelt. Erst wenn Sie einem Link folgen, verarbeitet der Anbieter der Zielseite Ihre Daten in eigener Verantwortung, darunter Ihre IP-Adresse und gegebenenfalls die Seite, von der Sie kommen; sind Sie dort angemeldet, kann er den Besuch Ihrem Konto zuordnen. Es gilt die Datenschutzerklärung des jeweiligen Anbieters.

12.Wenn wir Ihre Daten nicht von Ihnen selbst erhalten haben

In einigen Fällen erhalten wir Daten über Sie nicht von Ihnen, sondern von einer anderen Person. Dann gilt Art. 14 DSGVO: Wir nennen Ihnen zusätzlich die Kategorien der Daten und die Quelle, aus der sie stammen. Die übrigen Angaben (Zweck, Rechtsgrundlage, Empfänger, Speicherdauer, Ihre Rechte) stehen in den jeweiligen Abschnitten dieser Erklärung.

• Eingeladene Personen. Datenkategorien: E-Mail-Adresse und vorgesehene Rolle. Quelle: der Hauptkontakt der Organisation, die Sie einlädt. Zeitpunkt der Information: mit der Einladungsmail, die das einladende Unternehmen und die einladende Person nennt und auf diese Erklärung verweist (Art. 14 Abs. 3 lit. b DSGVO). Rechtsgrundlage, Empfänger und Fristen stehen unter Organisation, Nutzerverwaltung und Einladungen.
• Mitglieder einer Organisation. Name, E-Mail-Adresse und Rolle eines Mitglieds stammen aus dessen eigener Registrierung. Die Rolle vergibt und ändert der Hauptkontakt der Organisation, auf Bitte des Kunden auch der Betreiber; insoweit stammt die Angabe von diesen Personen.
• In Anfragen und Freitexten genannte Personen. Nennt jemand im Kontaktformular, in einer E-Mail, in einer Nachricht zu einer Termin- oder Plananfrage oder in einem Freitext eine andere Person, stammen diese Angaben vom Absender. Datenkategorien sind das, was der Absender mitteilt, in der Regel Name und berufliche Rolle. Eine gesonderte Information jeder genannten Person ist uns nicht möglich oder verlangt einen unverhältnismäßigen Aufwand, weil wir in der Regel keine Kontaktdaten dieser Personen haben (Art. 14 Abs. 5 lit. b DSGVO). Diese öffentlich zugängliche Erklärung dient deshalb als Information.
• Beschäftigte eines Kunden in Bewertungen und Dokumenten. Datenkategorien: Bezeichnung und Zuschnitt einer Stelle, Aufgabenbündel, Zeitanteile, Einschätzungen und Ergebnis, soweit sie sich einer Person zuordnen lassen, sowie Angaben in hochgeladenen Stellenbeschreibungen. Quelle: der Kunde, also Ihr Arbeitgeber, und dessen Nutzer. Für diese Daten ist der Kunde verantwortlich und nach Art. 13 und 14 DSGVO zur Information verpflichtet; wir sind sein Auftragsverarbeiter.

Aus öffentlich zugänglichen Quellen erheben wir im Zusammenhang mit Workforce Compass keine personenbezogenen Daten. Auch in diesen Fällen stehen Ihnen alle Rechte aus den Abschnitten Ihre Rechte und Ihr Widerspruchsrecht zu.

13.Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein. Mit jedem besteht ein Vertrag zur Auftragsverarbeitung über dessen Vertragsbedingungen. Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt. Soweit wir selbst Auftragsverarbeiter eines Kunden sind, sind diese Dienstleister unsere Unterauftragsverarbeiter.

Die Anbieter setzen ihrerseits Unterauftragsverarbeiter ein, insbesondere Betreiber von Rechenzentren. Die aktuellen Listen veröffentlichen die Anbieter auf ihren Websites; die Verweise stehen bei jedem Anbieter. Angaben zu Zertifikaten und Sicherheitsnachweisen geben wir als Angaben des jeweiligen Anbieters wieder.

13.1Vercel (Hosting)

• Vertragspartner: Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA.
• Leistung: Betrieb der Anwendung und ihrer Serverfunktionen, Auslieferung der Seiten, Server-Protokolle, täglicher Auslöser des Löschlaufs.
• Datenarten: alle Daten, die bei einem Aufruf durch den Server laufen: IP-Adresse und technische Angaben des Aufrufs, Formulareingaben, Sitzungs-Cookie, während eines Uploads die Datei im Arbeitsspeicher. Dauerhaft gespeichert werden bei Vercel nur die Protokolle.
• Ort: Serverfunktionen in Frankfurt am Main; Auslieferung über Netzknoten weltweit; Zugriff aus den USA möglich.
• Transfergrundlage: Zertifizierung nach dem EU-U.S. Data Privacy Framework nach Angaben des Anbieters, ergänzend EU-Standardvertragsklauseln.
• Aufbewahrung: Laufzeitprotokolle einen Tag im Tarif Pro nach der Dokumentation des Anbieters.
• Weitere Angaben des Anbieters: Vertrag zur Auftragsverarbeitung mit Sicherheitsmaßnahmen und Verweis auf die Unterauftragsverarbeiter. Verletzungen des Schutzes personenbezogener Daten meldet Vercel nach diesem Vertrag ohne unangemessene Verzögerung.

13.2Supabase (Datenbank und Anmeldung)

• Vertragspartner: Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513, Singapur.
• Leistung: Datenbank, Anmeldedienst, Erzeugen der E-Mails zu Anmeldung und Passwort, tägliche Sicherungen.
• Datenarten: alle in der Anwendung gespeicherten Daten: Konto und Profil, Passwort-Hash, Sitzungen, Organisationen, Mitgliedschaften, Einladungen, Bewertungen, eigene Vorlagen, Anfragen, Audit-Log und Zähler der Rate-Limits.
• Ort: Frankfurt am Main (Region eu-central-1) in Rechenzentren von Amazon Web Services. Ein Zugriff des Anbieters zu Wartung und Support aus Drittländern ist möglich.
• Transfergrundlage: EU-Standardvertragsklauseln. Für Singapur, den Sitz des Vertragspartners, besteht kein Angemessenheitsbeschluss.
• Aufbewahrung: tägliche Sicherungen höchstens 14 Tage, technische Protokolle höchstens 28 Tage; nach Vertragsende löscht der Anbieter die Daten nach Ablauf einer Abruffrist von 30 Tagen.
• Weitere Angaben des Anbieters: Vertrag zur Auftragsverarbeitung und Liste der Unterauftragsverarbeiter. Verletzungen meldet Supabase nach diesem Vertrag ohne unangemessene Verzögerung, nach Möglichkeit innerhalb von 48 Stunden. Datenbank und Sicherungen sind nach Angaben des Anbieters im Ruhezustand verschlüsselt.

13.3Resend (E-Mail-Versand)

• Vertragspartner: Resend (Plus Five Five, Inc.), 2261 Market Street #5039, San Francisco, CA 94114, USA.
• Leistung: Versand aller E-Mails der Anwendung, auch der vom Anmeldedienst erzeugten.
• Datenarten: Absender, Empfängeradresse, Betreff, Inhalt der Nachricht in HTML- und Textfassung, gegebenenfalls eine Antwortadresse, Zeitpunkt und Zustellstatus.
• Ort: Versand über die Region Irland; Hauptverarbeitung nach dem Vertrag des Anbieters in den USA.
• Transfergrundlage: Zertifizierung nach dem EU-U.S. Data Privacy Framework nach dem Vertrag des Anbieters, ergänzend EU-Standardvertragsklauseln.
• Aufbewahrung: Versandprotokolle für eine begrenzte, vom Tarif abhängige Zeit; Löschung innerhalb von 90 Tagen nach Vertragsende nach Angaben des Anbieters.
• Weitere Angaben des Anbieters: Vertrag zur Auftragsverarbeitung und Liste der Unterauftragsverarbeiter. Neue Unterauftragsverarbeiter kündigt Resend nach diesem Vertrag mindestens 14 Tage vorher an.

13.4Anthropic (KI-Auswertung)

• Vertragspartner: Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland; Muttergesellschaft Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA.
• Leistung: Auslesen einer hochgeladenen Stellenbeschreibung über die Claude API und Rückgabe eines strukturierten Vorschlags.
• Datenarten: Text des Dokuments oder bei gescannten PDF die Datei, der Katalog einschließlich eigener Einträge der Organisation, unsere Anweisungen an das Modell. Keine Kontodaten, kein Dateiname.
• Ort: USA und gegebenenfalls weitere Standorte des Anbieters und seiner Unterauftragsverarbeiter.
• Transfergrundlage: Vertragspartner für Kunden im EWR ist nach den Bedingungen des Anbieters die Anthropic Ireland, Limited. Sie setzt für die Verarbeitung die Anthropic PBC in den USA und weitere Unterauftragsverarbeiter ein. Diese Weitergabe in ein Drittland sichert Anthropic nach seinem Vertrag zur Auftragsverarbeitung über die EU-Standardvertragsklauseln ab (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO). Soweit wir selbst unmittelbar an eine Gesellschaft außerhalb des EWR übermitteln, gelten diese Klauseln zwischen uns und dem Anbieter (Modul 2 für eigene Daten, Modul 3 für Daten unserer Kunden). Auf eine Zertifizierung unter dem Data Privacy Framework stützen wir uns nicht.
• Aufbewahrung: Ein- und Ausgaben nach Angaben des Anbieters höchstens 30 Tage; Ausnahmen stehen im Abschnitt Einsatz künstlicher Intelligenz.
• Weitere Angaben des Anbieters: Vertrag zur Auftragsverarbeitung und Liste der Unterauftragsverarbeiter. Verletzungen meldet Anthropic nach diesem Vertrag innerhalb von 48 Stunden nach Kenntnis.

13.5Weitere Empfänger

• E-Mail-Postfach: Anfragen an info@ecodynamics.de werden bei Microsoft verarbeitet, das unser Postfach betreibt (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; Microsoft 365, Auftragsverarbeitung nach den Datenschutzbestimmungen für Microsoft-Produkte und -Dienste). Dort gehen die Nachrichten der Anwendung an uns und Ihre Antworten ein. Eine Verarbeitung durch die Microsoft Corporation in den USA ist nach den Bedingungen des Anbieters möglich und über deren Zertifizierung nach dem EU-U.S. Data Privacy Framework sowie EU-Standardvertragsklauseln abgesichert.
• Domain und Namensauflösung: Die Domain ist bei GoDaddy registriert; dort liegen auch die DNS-Einträge. Beim Aufruf der Anwendung fragt Ihr Gerät oder Ihr Internetanbieter die Adresse des Servers bei den Namensservern ab. GoDaddy erhält dabei technische Verbindungsdaten dieser Abfrage, hat aber keinen Zugriff auf Inhalte, Konten oder Bewertungen und ist insoweit kein Auftragsverarbeiter.
• Quelltextverwaltung: Der Quelltext der Anwendung liegt in einem nicht öffentlichen Verzeichnis bei GitHub. Er enthält keine Nutzerdaten; GitHub erhält deshalb keine personenbezogenen Daten von Nutzern.
• Empfänger Ihrer Wahl: andere Mitglieder Ihrer Organisation nach ihrer Rolle; Personen, die Sie einladen.
• Berater und Behörden: Rechts- und Steuerberater unter Berufsverschwiegenheit, soweit erforderlich, sowie Behörden und Gerichte, soweit wir dazu gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

14.Übermittlung in Drittländer

Die Daten der Anwendung liegen in Frankfurt am Main. In einzelnen Fällen werden personenbezogene Daten in Staaten außerhalb des EWR übermittelt oder können von dort eingesehen werden. Eine solche Übermittlung ist nur unter den Voraussetzungen der Art. 44 bis 49 DSGVO zulässig.

14.1Rechtsrahmen

• Angemessenheitsbeschluss (Art. 45 DSGVO): Die Europäische Kommission hat mit dem Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 festgestellt, dass die USA für Unternehmen, die unter dem EU-U.S. Data Privacy Framework zertifiziert sind, ein angemessenes Schutzniveau bieten. Der Beschluss gilt nur für zertifizierte Unternehmen.
• Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO): Wo kein Angemessenheitsbeschluss greift oder wir uns nicht allein auf ihn verlassen, stützt sich die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914). Sie verpflichten den Empfänger vertraglich auf ein Schutzniveau, das dem der DSGVO im Wesentlichen entspricht.
• Ausnahmen (Art. 49 DSGVO): Auf Ausnahmen für bestimmte Fälle stützen wir keine Übermittlung.

14.2Die Übermittlungen im Einzelnen

• USA, Vercel: Das weltweite Netz für die Auslieferung und der Zugriff des Anbieters können eine Verarbeitung in den USA bedeuten. Vercel ist nach eigenen Angaben unter dem EU-U.S. Data Privacy Framework zertifiziert; für zertifizierte Unternehmen besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO). Ergänzend gelten die EU-Standardvertragsklauseln.
• USA, Resend: Empfängeradresse, Betreff, Inhalt und Zustellstatus der E-Mails werden in den USA gespeichert. Resend ist nach eigenen Angaben unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln.
• USA, Anthropic: Der Text einer hochgeladenen Stellenbeschreibung (bei gescannten PDF ohne auslesbaren Text die Datei selbst) wird zusammen mit den Bezeichnungen des Katalogs (Berufsfelder, Fachgebiete, Aufgabenbündel, einschließlich der eigenen Einträge Ihrer Organisation) in den USA und gegebenenfalls an weiteren Standorten des Anbieters und seiner Unterauftragsverarbeiter verarbeitet. Vertragspartner für Kunden im EWR ist nach den Bedingungen des Anbieters die Anthropic Ireland, Limited; sie setzt für die Verarbeitung die Anthropic PBC in den USA und weitere Unterauftragsverarbeiter ein. Diese Weitergabe in ein Drittland sichert Anthropic nach seinem Vertrag zur Auftragsverarbeitung über die EU-Standardvertragsklauseln ab (Art. 46 Abs. 2 lit. c DSGVO); soweit wir selbst unmittelbar an eine Gesellschaft außerhalb des EWR übermitteln, gelten diese Klauseln zwischen uns und dem Anbieter. Eine Zertifizierung von Anthropic unter dem Data Privacy Framework legen wir nicht zugrunde. Dieser Transfer findet nur statt, wenn ein Nutzer eine Datei hochlädt.
• Singapur und weitere Staaten, Supabase: Die Daten liegen in Frankfurt am Main. Vertragspartner ist eine Gesellschaft in Singapur; ein Zugriff zu Wartung und Support aus Drittländern ist möglich und über die EU-Standardvertragsklauseln abgesichert.
• USA, Microsoft: Unser E-Mail-Postfach wird von einer Gesellschaft in Irland betrieben. Soweit dabei Daten in die USA gelangen, stützt sich das auf die Zertifizierung der Microsoft Corporation nach dem EU-U.S. Data Privacy Framework und ergänzend auf EU-Standardvertragsklauseln nach den Bedingungen des Anbieters.

14.3Stand des EU-U.S. Data Privacy Framework

Das Gericht der Europäischen Union hat eine Klage auf Nichtigerklärung des Angemessenheitsbeschlusses mit Urteil vom 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe gegen Kommission). Gegen dieses Urteil ist ein Rechtsmittel beim Gerichtshof der Europäischen Union anhängig (Rechtssache C-703/25 P). Solange der Gerichtshof den Beschluss nicht aufhebt, ist er gültig und anwendbar. Weil der Ausgang offen ist, stützen wir Übermittlungen an zertifizierte Anbieter zusätzlich auf Standardvertragsklauseln.

14.4Risiken und ergänzende Maßnahmen

In den USA können Behörden nach dortigem Recht auf Daten zugreifen. Wo wir uns auf Standardvertragsklauseln stützen, haben wir die Zusagen der Anbieter zu Verschlüsselung, Zugriffsbeschränkung und zum Umgang mit Behördenanfragen berücksichtigt. Zusätzlich begrenzen wir, was überhaupt in ein Drittland gelangt:

• Speicherort: Datenbank, Anmeldung und Serverfunktionen liegen in Frankfurt am Main. Gezielt in ein Drittland übermitteln wir im Regelbetrieb nur E-Mails und, auf Veranlassung eines Nutzers, den Inhalt einer hochgeladenen Stellenbeschreibung samt den Bezeichnungen des Katalogs einschließlich eigener Einträge der Organisation. Daneben ist ein Zugriff der Anbieter aus Drittländern zu Betrieb, Wartung und Support möglich; er ist wie oben beschrieben abgesichert.
• Minimierung beim KI-Dienst: kein Name, keine E-Mail-Adresse, keine Nutzer- oder Organisationskennung, kein Dateiname; Text auf 60 000 Zeichen gekürzt, gescannte PDF auf 20 Seiten begrenzt; Übermittlung nur auf Veranlassung.
• Minimierung bei E-Mails: Die E-Mails enthalten nur, was für den jeweiligen Zweck nötig ist; Inhalte einer Bewertung im Einzelnen stehen in keiner E-Mail.
• Verschlüsselung beim Transport: Alle Verbindungen zu den Anbietern sind verschlüsselt.
• Kurze Aufbewahrung: Die Fristen der Anbieter stehen im Abschnitt Speicherdauer und Löschkonzept.

Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage über info@ecodynamics.de. Die Standardvertragsklauseln sind außerdem Bestandteil der oben verlinkten Verträge zur Auftragsverarbeitung der Anbieter und dort einsehbar.

15.Speicherdauer und Löschkonzept

Wir speichern personenbezogene Daten nur so lange, wie der jeweilige Zweck es erfordert oder ein Gesetz es verlangt (Art. 5 Abs. 1 lit. e, Art. 17 Abs. 1 lit. a DSGVO). Die Tabelle nennt zu jeder Datenart die Frist sowie den Beginn der Frist und den Weg der Löschung.

15.1Löschung in der Anwendung

Jeder Nutzer kann sein Konto selbst löschen und bestätigt das mit seinem Passwort: im Profil oder, wenn das Konto keiner Organisation mehr angehört, auf der Seite, die die Anwendung dann anstelle der Arbeitsoberfläche zeigt. Das geht auch, wenn die Organisation gesperrt ist. Eine Ausnahme gilt für den einzigen Hauptkontakt einer Organisation mit weiteren Nutzern: er benennt zuerst einen weiteren Hauptkontakt oder entfernt die übrigen Nutzer, damit die Organisation nicht ohne Verantwortlichen dasteht. Bewertungen löschen der Hauptkontakt und die Rolle Personal einzeln. Die Organisation samt allen Bewertungen, Vorlagen und Anfragen wird gelöscht, wenn ihr einziges Mitglied sein Konto löscht; diese Löschung verlangt zusätzlich die Eingabe des Organisationsnamens (in der Anwendung: „Name des Unternehmens“). Eine Organisation mit mehreren Nutzern löschen wir auf Aufforderung des Hauptkontakts per E-Mail. Die Löschung wirkt sofort in der Datenbank. In den Sicherungen des Datenbankanbieters bleiben gelöschte Daten noch enthalten, bis die Sicherung überschrieben ist; Supabase hält die täglichen Sicherungen höchstens 14 Tage vor. Die Zusatzleistung zur zeitpunktgenauen Wiederherstellung nutzen wir nicht.

Was nach der Löschung eines Kontos bleibt: Die Bewertungen und Anfragen, die ein Nutzer für seine Organisation angelegt hat, bleiben der Organisation erhalten; der Verweis auf die Person wird entfernt, der Freitext einer Anfrage bleibt bis zum Ablauf ihrer Frist oder bis zur Löschung der Organisation. Die zugehörigen Einträge im Audit-Log bleiben bis zum Ablauf ihrer eigenen Frist von zwölf Monaten bestehen; sie enthalten die E-Mail-Adresse der handelnden Person, die IP-Adresse und bei einer gelöschten Organisation deren Namen, bei einer Einladung außerdem die eingeladene Adresse. Der Zweck dieser Einträge, sicherheitsrelevante Vorgänge befristet aufklären zu können, besteht in dieser Zeit fort (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO); ein Löschgrund nach Art. 17 Abs. 1 lit. a DSGVO liegt deshalb noch nicht vor. Sie können dieser Speicherung nach Art. 21 DSGVO widersprechen; wir prüfen dann im Einzelfall. Soweit ein Eintrag für die Verteidigung gegen Rechtsansprüche benötigt wird, gilt Art. 17 Abs. 3 lit. e DSGVO. Kontaktanfragen über die Startseite sind nicht mit dem Konto verknüpft und bleiben bis zum Ablauf ihrer Frist.

15.2Löschung nach Vertragsende und täglicher Löschlauf

Endet der Vertragszeitraum oder läuft ein Trial ab, ohne dass er verlängert wird und ohne dass der Kunde selbst löscht, bleibt der Zugang zunächst bestehen: Ausgewertete Erfassungen bleiben sichtbar, Export und Löschung bleiben möglich, neue Auswertungen sind gesperrt. Wir kündigen den Hauptkontakten 60 Tage nach dem Ende die Löschung per E-Mail an. Gelöscht wird ab dem 90. Tag nach dem Ende und frühestens 30 Tage nach der Ankündigung: die Organisation mit allen Bewertungen, Vorlagen und Anfragen sowie die Konten der Nutzer, die nur dieser Organisation angehören. Wird der Zeitraum vorher verlängert, entfällt die Löschung. Als angekündigt gilt die Löschung, sobald unser Maildienst die Nachricht an mindestens einen Hauptkontakt zum Versand angenommen hat; ob sie das Postfach erreicht, können wir nicht prüfen. Lässt sich keine Ankündigung versenden, etwa weil es keinen Hauptkontakt mit E-Mail-Adresse mehr gibt, versuchen wir es täglich erneut und löschen 180 Tage nach dem Ende des Vertragszeitraums ohne Ankündigung. Nach einer Löschung, auch nach der Löschung eines Kontos durch den Nutzer oder eines Kontos ohne Organisation durch den Löschlauf, bleiben die zugehörigen Einträge im Audit-Log bis zum Ablauf ihrer eigenen Frist von zwölf Monaten bestehen. Termin- und Plananfragen einer Organisation werden mit ihr gelöscht; Kontaktanfragen bleiben bis zum Ablauf ihrer Frist.

Der Löschlauf startet einmal täglich automatisch. Er bearbeitet je Durchgang eine begrenzte Zahl von Konten und Organisationen; fällt an einem Tag mehr an, setzt er die Arbeit am folgenden Tag fort, sodass sich eine Löschung um einzelne Tage verschieben kann. Die genannten Fristen sind deshalb als früheste Zeitpunkte zu verstehen, zu denen der Lauf löscht. Löschungen bei den Anbietern (Protokolle, Sicherungen, Versandprotokolle) führen die Anbieter nach ihren eigenen Fristen aus.

15.3Gesetzliche Aufbewahrung und Verjährung

Soweit gesetzliche Aufbewahrungspflichten bestehen, speichern wir die betroffenen Unterlagen für deren Dauer: Buchungsbelege einschließlich Rechnungen acht Jahre, Handels- und Geschäftsbriefe sechs Jahre, Bücher und Jahresabschlüsse zehn Jahre, jeweils ab dem Schluss des Kalenderjahres (§ 147 AO, § 257 HGB, § 14b UStG). Diese Unterlagen liegen außerhalb der Anwendung in unserer Buchhaltung und in unserem Postfach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO; das Recht auf Löschung besteht insoweit nicht (Art. 17 Abs. 3 lit. b DSGVO).

Daten, die wir zur Abwehr oder Durchsetzung von Ansprüchen benötigen, bewahren wir bis zum Ablauf der Verjährung auf, in der Regel drei Jahre zum Jahresende (§§ 195, 199 BGB). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 17 Abs. 3 lit. e DSGVO. Wir bewahren nur auf, was für absehbare Ansprüche nötig ist, und verwenden diese Daten nicht für andere Zwecke.

16.Ihre Rechte als betroffene Person

Ihnen stehen die folgenden Rechte zu. Zur Ausübung genügt eine formlose Mitteilung an die im Abschnitt Verantwortlicher genannte Adresse. Das Widerspruchsrecht steht wegen seiner Bedeutung in einem eigenen Abschnitt.

16.1Auskunft (Art. 15 DSGVO)

Sie können erfahren, ob wir Daten über Sie verarbeiten, und wenn ja, welche, zu welchen Zwecken, an wen sie gehen, wie lange sie gespeichert werden, woher sie stammen und welche Rechte Sie haben. Sie erhalten eine Kopie Ihrer Daten; die erste Kopie ist kostenlos, eine Begründung brauchen Sie nicht. Das Recht auf eine Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). In der Anwendung: Ihr Profil sehen Sie jederzeit selbst ein. Der Hauptkontakt lädt die Daten der Organisation als Datei herunter. Auskunft über die Sie betreffenden Einträge im Audit-Log und über Sitzungsdaten erhalten Sie auf Anfrage per E-Mail.

16.2Berichtigung (Art. 16 DSGVO)

Unrichtige Daten berichtigen wir unverzüglich, unvollständige ergänzen wir. In der Anwendung: Name, Funktion und Telefonnummer ändern Sie selbst im Profil. Den Namen der Organisation ändert der Hauptkontakt. Für eine Änderung der E-Mail-Adresse Ihres Kontos schreiben Sie uns bitte.

16.3Löschung (Art. 17 DSGVO)

Sie können die Löschung verlangen, wenn die Daten für die Zwecke nicht mehr nötig sind, Sie wirksam widersprochen haben, die Verarbeitung unrechtmäßig ist oder eine rechtliche Pflicht die Löschung verlangt. Das Recht besteht nicht, soweit wir Daten wegen gesetzlicher Pflichten aufbewahren müssen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen (Art. 17 Abs. 3 lit. b und e DSGVO). In der Anwendung: Ihr Konto löschen Sie selbst; als einziger Hauptkontakt einer Organisation mit weiteren Nutzern übergeben Sie diese Rolle vorher. Was danach noch befristet gespeichert bleibt, steht unter Löschung in der Anwendung.

16.4Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie können verlangen, dass wir Daten nur noch speichern und nicht weiter verarbeiten, solange die Richtigkeit der Daten oder ein Widerspruch geprüft wird, wenn die Verarbeitung unrechtmäßig ist und Sie statt der Löschung die Einschränkung wünschen oder wenn wir die Daten nicht mehr brauchen, Sie sie aber für Rechtsansprüche benötigen. Die Anwendung hat dafür keine eigene Funktion; wir setzen die Einschränkung auf Ihre Anfrage um und unterrichten Sie, bevor wir sie aufheben.

16.5Mitteilung an Empfänger (Art. 19 DSGVO)

Empfänger, denen wir Daten offengelegt haben, unterrichten wir über eine Berichtigung, Löschung oder Einschränkung, soweit das möglich ist und keinen unverhältnismäßigen Aufwand verlangt. Auf Wunsch nennen wir Ihnen diese Empfänger.

16.6Datenübertragbarkeit (Art. 20 DSGVO)

Daten, die Sie uns bereitgestellt haben und die wir auf Grundlage eines Vertrags automatisiert verarbeiten, erhalten Sie in einem strukturierten, gängigen und maschinenlesbaren Format; Sie können sie einem anderen Verantwortlichen übermitteln. In der Anwendung: Der Hauptkontakt einer Organisation lädt die Daten der Organisation als JSON-Datei herunter: Organisation, Plan, Mitglieder mit Name, E-Mail-Adresse und Rolle einschließlich offener Einladungen, alle Bewertungen mit Ergebnis und Modellstand, eigene Vorlagen, Termin- und Plananfragen sowie sein eigenes Profil. Nicht enthalten sind Funktion und Telefonnummer anderer Mitglieder, das Audit-Log, Kontaktanfragen und Sitzungsdaten. Der Export ist ein Export der Organisation und keine vollständige Auskunft je Person. Andere Nutzer haben in der Anwendung keinen Export; sie erhalten ihre Daten (Profil und die sie betreffenden Protokolleinträge) auf formlose Anfrage per E-Mail, ebenso der Hauptkontakt die Protokolleinträge seiner Organisation. Jeder Export wird im Audit-Log vermerkt.

16.7Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO)

Derzeit stützen wir keine Verarbeitung auf eine Einwilligung. Sollten wir künftig eine Einwilligung einholen, können Sie sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

16.8Ausübung, Fristen und Kosten

Schreiben Sie an info@ecodynamics.de oder per Post an die Anschrift des Verantwortlichen. Wir beantworten Ihre Anfrage unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Diese Frist können wir um weitere zwei Monate verlängern, wenn die Anfrage komplex ist oder viele Anfragen vorliegen; darüber unterrichten wir Sie innerhalb des ersten Monats mit den Gründen. Werden wir auf Ihre Anfrage nicht tätig, teilen wir Ihnen spätestens innerhalb eines Monats die Gründe mit und weisen Sie auf Ihr Beschwerderecht und den gerichtlichen Rechtsbehelf hin (Art. 12 Abs. 4 DSGVO). Die Ausübung Ihrer Rechte ist für Sie kostenlos. Nur bei offenkundig unbegründeten oder exzessiven Anträgen dürfen wir ein angemessenes Entgelt verlangen oder die Bearbeitung ablehnen (Art. 12 Abs. 5 DSGVO).

16.9So prüfen wir Ihre Identität

Wir müssen sicherstellen, dass wir Daten nur der Person offenlegen, die sie betreffen. In der Regel genügt es, dass Ihre Anfrage von der E-Mail-Adresse kommt, die in Ihrem Konto hinterlegt ist oder mit der Sie uns geschrieben haben. Eine Ausweiskopie verlangen wir nicht als Regel. Nur bei begründeten Zweifeln an Ihrer Identität bitten wir um zusätzliche Angaben, die zur Bestätigung nötig sind (Art. 12 Abs. 6 DSGVO), und verwenden sie ausschließlich dafür.

16.10Wenn Ihre Daten von einem Kunden stammen

Beziehen sich Angaben in einer Bewertung oder in einem hochgeladenen Dokument auf Sie, ist der Kunde verantwortlich, der sie erfasst hat, in der Regel Ihr Arbeitgeber. Richten Sie Ihre Anfrage bitte an ihn. Erreicht sie uns, leiten wir sie unverzüglich an den Kunden weiter und unterstützen ihn mit den Funktionen der Anwendung (Export, Löschung) bei der Erfüllung (Art. 28 Abs. 3 lit. e DSGVO). Wir beantworten solche Anfragen nicht an seiner Stelle, weil wir nicht beurteilen können, auf wen sich eine Stelle im Unternehmen des Kunden bezieht.

16.11Beschwerde bei der Aufsichtsbehörde und gerichtlicher Rechtsbehelf

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Sie können jede Aufsichtsbehörde wählen. Die für uns zuständige Aufsichtsbehörde ist:

Unabhängig davon steht Ihnen der Rechtsweg zu den Gerichten offen, wenn Sie der Ansicht sind, dass Ihre Rechte aus der DSGVO durch eine Verarbeitung verletzt wurden (Art. 79 DSGVO). Wir freuen uns, wenn Sie uns vorher Gelegenheit geben, Ihr Anliegen zu klären; verpflichtet sind Sie dazu nicht.

17.Ihr Widerspruchsrecht nach Art. 21 DSGVO

Das Widerspruchsrecht betrifft alle Verarbeitungen, die wir auf berechtigte Interessen stützen:

• die Server-Protokolle des Hostings und die Protokolle des Anmeldedienstes;
• das Audit-Log;
• die Zähler der Rate-Limits;
• die Sicherheitsprüfung der Formulare und das Bestätigungsverfahren des Kontaktformulars;
• Einladungen gegenüber der eingeladenen Person;
• Kontodaten von Nutzern, die als Beschäftigte eines Kunden handeln und nicht selbst Vertragspartner sind;
• Kontakt-, Termin- und Plananfragen sowie E-Mails und Anrufe, soweit sie keinen Vertrag betreffen;
• die Nutzung freigegebener Bewertungen für ein Erstgespräch;
• die Speicherung von Sprache und Darstellung;
• die Aufbewahrung von Daten zur Verteidigung gegen Ansprüche.

So widersprechen Sie: Eine formlose Nachricht genügt, am einfachsten per E-Mail an info@ecodynamics.de mit dem Betreff „Widerspruch“. Nennen Sie bitte die Verarbeitung, gegen die Sie sich wenden, und die Gründe aus Ihrer besonderen Situation. Bis wir geprüft haben, ob unsere Gründe überwiegen, können Sie die Einschränkung der Verarbeitung verlangen (Art. 18 Abs. 1 lit. d DSGVO).

Direktwerbung (Art. 21 Abs. 2 und 3 DSGVO) betreiben wir mit Ihren Daten nicht. Sollte sich das ändern, können Sie dem jederzeit ohne Begründung widersprechen; wir verarbeiten Ihre Daten dann nicht mehr für diesen Zweck.

18.Pflicht zur Bereitstellung von Daten

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Die öffentlichen Seiten lassen sich ohne Angaben lesen; dabei fallen nur die technischen Daten des Aufrufs an. Für ein Konto sind Vorname, Nachname, Unternehmen, E-Mail-Adresse und ein Passwort erforderlich sowie die Zustimmung zu den Nutzungsbedingungen. Ohne diese Angaben können wir kein Konto einrichten. Funktion und Telefonnummer sind freiwillig. Für eine Kontaktanfrage brauchen wir Namen, E-Mail-Adresse und Ihre Nachricht, sonst können wir nicht antworten.

• Registrierung und Konto über Einladung: Pflicht sind Vorname, Nachname, Unternehmen (bei einer Einladung ergibt es sich aus der Einladung), E-Mail-Adresse, Passwort und die Erklärung im Pflichtfeld (Zustimmung zu den Nutzungsbedingungen und Kenntnisnahme der Datenschutzerklärung). Ohne diese Angaben entsteht kein Konto.
• Profil: Funktion und Telefonnummer sind freiwillig. Ohne Telefonnummer können wir Sie zu einer Terminanfrage nur per E-Mail erreichen.
• Bewertung: Pflicht sind die Angaben, aus denen die Anwendung rechnet (Berufsfeld, Stellen, Aufgabenbündel mit Anteilen und Einschätzungen). Titel und Freitexte gestalten Sie selbst; Namen von Personen sind nie erforderlich.
• Upload: vollständig freiwillig. Sie können jede Erfassung auch von Hand anlegen; das Ergebnis ist dasselbe.
• Kontaktformular: Pflicht sind Name, E-Mail-Adresse und Nachricht; Unternehmen und Telefonnummer sind freiwillig. Ohne die Bestätigung über den Link aus der E-Mail geht die Anfrage nicht bei uns ein.
• Termin- und Plananfrage: Die Nachricht ist freiwillig; Name, E-Mail-Adresse und Organisation übernimmt die Anwendung aus Ihrem Konto. Die Freigabe einer Bewertung für das Gespräch ist freiwillig; ohne sie führen wir das Gespräch auf Grundlage der Kernzahlen.

19.Keine automatisierte Entscheidungsfindung, kein Profiling

Wir treffen Ihnen gegenüber keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Ein Profiling von Nutzern findet nicht statt. Angaben nach Art. 13 Abs. 2 lit. f DSGVO zur Logik und Tragweite einer solchen Entscheidung sind deshalb nicht zu machen; wir erläutern die Arbeitsweise der Anwendung dennoch.

Auch die Ergebnisse von Workforce Compass sind nach unserer Einordnung keine solche Entscheidung. Das Werkzeug rechnet aus den erfassten Angaben Empfehlungen und Schätzungen zu Stellen und Aufgabenbündeln. Es bewertet keine einzelnen Beschäftigten und trifft keine Auswahl zwischen Personen. Ob und wie eine Empfehlung umgesetzt wird, entscheidet und verantwortet der Kunde; dazu gehört eine eigene Prüfung durch Menschen.

Diese Einordnung stützt sich auf vier Umstände:

• Gegenstand: Bewertet werden die Aufgabenbündel einer Stelle, keine persönlichen Aspekte einer natürlichen Person wie Leistung, Verhalten oder Zuverlässigkeit.
• Herkunft der Angaben: Alle Eingaben stammen vom Kunden selbst. Es gibt keinen Vergleich und keine Rangfolge von Personen.
• Keine Folge aus dem Ergebnis: Das Ergebnis löst in der Anwendung keine Handlung aus. Es gibt keine automatische Folgehandlung und keine Schnittstelle, die ein Ergebnis in ein Personalsystem überträgt.
• Offenes Verfahren: Die Empfehlung errechnet ein regelbasiertes Modell mit fünf Stufen und offen gelegten Annahmen. Der Stand des Modells wird zu jeder Auswertung gespeichert, sodass sich jedes Ergebnis nachvollziehen und erläutern lässt.

Der Gerichtshof der Europäischen Union hat entschieden, dass schon ein automatisiert errechneter Wert eine Entscheidung im Sinne von Art. 22 DSGVO sein kann, wenn ein Dritter sein Handeln maßgeblich danach ausrichtet (Urteil vom 7. Dezember 2023, C-634/21). Ein Restrisiko besteht deshalb dort, wo eine Einzelstelle mit bekanntem Inhaber bewertet wird und ein Kunde einer Empfehlung ungeprüft folgt. Adressat des Art. 22 DSGVO ist in diesem Fall der Kunde als Verantwortlicher. Wir empfehlen Kunden deshalb, jede personelle Maßnahme auf eine eigene, inhaltliche Prüfung durch entscheidungsbefugte Menschen zu stützen und diese Prüfung zu dokumentieren. Die offen gelegten Annahmen des Modells erleichtern es dem Kunden, betroffenen Personen das Verfahren zu erläutern.

20.Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten vor Verlust, Veränderung und unbefugtem Zugriff zu schützen. Die vollständige Beschreibung steht als Anlage zum Vertrag zur Auftragsverarbeitung. Die wichtigsten Maßnahmen sind:

• Verschlüsselung beim Transport: Alle Verbindungen laufen über HTTPS mit TLS; der Browser wird angewiesen, nur verschlüsselt zu verbinden (HSTS).
• Verschlüsselung im Ruhezustand: Datenbank und Sicherungen sind beim Datenbankanbieter nach dessen Angaben mit AES-256 verschlüsselt.
• Passwörter: Gespeichert wird nur ein Hash, nie das Passwort im Klartext. Mindestlänge zwölf Zeichen. Die E-Mail-Adresse muss bestätigt sein, bevor ein Konto nutzbar ist.
• Trennung der Kunden: Jede Tabelle ist mit Zugriffsregeln auf Zeilenebene geschützt (Row Level Security). Ein Nutzer liest nur Daten seiner eigenen Organisation. Geschrieben wird ausschließlich über den Server, nach Prüfung von Anmeldung und Rolle.
• Rollen und Rechte: Vier Rollen in der Organisation, die der Server bei jedem Zugriff prüft; Verwaltungsrechte des Betreibers werden nicht über die Oberfläche vergeben.
• Zugriffsbeschränkung: Der Schlüssel mit vollen Rechten liegt nur auf dem Server und gelangt nie in den Browser. Zugriff auf die Systeme haben wenige berechtigte Personen.
• Schutz der Anwendung: Strenge Vorgaben für Inhalte im Browser (Content Security Policy) ohne fremde Skripte, Schutz gegen seitenübergreifende Schreibzugriffe, Prüfung aller Eingaben mit Obergrenzen, Mengenbegrenzungen, eine selbst betriebene Sicherheitsprüfung der offenen Formulare und ein Protokoll sicherheitsrelevanter Vorgänge.
• Uploads: Prüfung von Dateityp und Größe, keine Speicherung der Datei (nur ihres Namens und kurzer Belegstellen), Begrenzung der Ausgabe auf ein festes Format.
• Einladungen: Einladungslinks werden nur als Prüfwert gespeichert und laufen nach 14 Tagen ab.
• Prüfung: Mandantentrennung, Rollen und Schutzmaßnahmen prüfen wir regelmäßig mit automatisierten Tests.

20.1Verletzungen des Schutzes personenbezogener Daten

Kein System ist vollständig sicher. Sollte eine Verletzung des Schutzes personenbezogener Daten eintreten, melden wir sie der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem sie uns bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO). Besteht voraussichtlich ein hohes Risiko, benachrichtigen wir auch die betroffenen Personen unverzüglich (Art. 34 DSGVO). Soweit wir als Auftragsverarbeiter betroffen sind, melden wir die Verletzung unseren Kunden unverzüglich nach dem Vertrag zur Auftragsverarbeitung (Art. 33 Abs. 2 DSGVO). Wenn Sie eine Schwachstelle oder einen Vorfall bemerken, schreiben Sie uns bitte an die oben genannte E-Mail-Adresse.

21.Minderjährige und Geschäftskunden

Workforce Compass richtet sich ausschließlich an Unternehmen und deren Beschäftigte, nicht an Verbraucher und nicht an Kinder oder Jugendliche. Wir erheben wissentlich keine Daten von Personen unter 16 Jahren. Erfahren wir, dass ein solches Konto besteht, löschen wir es.

22.Änderungen und Fassungsstand

Wir passen diese Erklärung an, wenn sich die Anwendung, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Über wesentliche Änderungen, etwa einen neuen Auftragsverarbeiter, informieren wir registrierte Nutzer per E-Mail oder in der Anwendung. Eine Änderung dieser Erklärung ändert nicht den Vertrag mit Ihnen; sie beschreibt, wie wir Daten tatsächlich verarbeiten.

Diese Fassung ist vom 5. Oktober 2026. Angaben zu den Anbietern (Fristen, Standorte, Zertifizierungen) geben den Stand ihrer veröffentlichten Unterlagen zu diesem Tag wieder. Maßgeblich ist die deutsche Fassung; die englische Fassung ist eine Übersetzung.