Rechtliches
Die Datenschutzunterlagen zum eingeloggten Bereich von Scaleyo One. Für die Academy-Funktionen — Konten, Kurse, Community, Assistent — ist Scaleyo selbst Verantwortlicher. Bewerberdaten im Hire Hub verarbeitet Scaleyo dagegen im Auftrag des jeweiligen Kundenunternehmens; dafür gilt der Auftragsverarbeitungsvertrag.
Fassung 1.1 vom 2026-08-24. Die anwaltliche Fassung enthält Angaben, die nur Scaleyo selbst beantworten kann; sie sind im Text als zu ergänzen markiert und hier vollständig aufgeführt. Solange dieser Hinweis steht, ist der Text nicht veröffentlichungsfähig — freigegeben wird er über FREIGEGEBEN in lib/legal/stand.ts.
- Dienstleisterliste und TOM 3.1: Die Sicherung läuft nach AWS S3, Region eu-north-1 (Stockholm), täglich um 03:00 und serverseitig verschlüsselt. Offen ist die Vertragsseite: Vertragsgesellschaft und Auftragsverarbeitungsvertrag mit AWS.
- Datenschutzerklärung §1 und AVV §1: Die anwaltliche Fassung bezeichnet die Plattform als „scaleyo academy“. Das Produkt heißt seit dem 25.08.2026 „Scaleyo One“ und liegt unter one.scaleyo.de. Die Bezeichnung im Vertragstext ist Anwaltssache — wir haben sie wortgetreu stehen gelassen. Bitte nachziehen lassen, sonst weicht der Vertragsgegenstand vom Produktnamen ab.
- Datenschutzerklärung §9: Der Zustimmungsnachweis (Wortlaut, Fassungen, IP-Adresse, Browserkennung) muss die Vertragslaufzeit überdauern. Vorschlag: Laufzeit plus drei Jahre (Verjährung) — bitte anwaltlich bestätigen, dann steht die Frist im Text.
- TOM 1.2: Single Sign-on ist nicht automatisch gleichbedeutend mit einer durchgesetzten Zwei-Faktor-Authentifizierung. Bestätigen, dass für Administrator- und Recruiting-Zugänge im Microsoft-Mandanten eine Mehrfaktor-Authentifizierung verpflichtend aktiviert ist — der Anwalt verlangt das ausdrücklich.
- Datenschutzerklärung §7 und §8: Stripe-Vertragsgesellschaft (Stripe Payments Europe Ltd. in Irland?), Datenregion und Garantien für etwaige Drittlandzugriffe. Erst danach lässt sich §8 abschließend formulieren.
- Datenschutzerklärung §5.7: Mistral-Vertragsstand: AVV geschlossen? Verarbeitungsregion, Speicherdauer, Ausschluss der Nutzung zum Modelltraining — die Aussagen im Text hängen daran.
- Datenschutzerklärung §9: Onboarding-Pläne leben unbefristet, bis der Eigentümer sie löscht. Ob abgeschlossene Pläne nach N Monaten anonymisiert werden, ist offen — siehe tasks/todo-onboarding.md.
- Datenschutzerklärung §3 und §5.9: Im Onboarding-Planer stellt ein Mitglied Beschäftigtendaten seiner eigenen neuen Mitarbeiter ein (Lebenslauftext, Ziele, Bewertung der Einarbeitung). Verantwortlicher dafür ist das Mitglied als Arbeitgeber, Scaleyo verarbeitet. Der bestehende AVV deckt nur das Recruiting-Modul ab — entweder auf den Onboarding-Planer erweitern oder die Rolle bewusst anders festlegen. Der Text sagt bis dahin nur, was tatsächlich passiert.
- AVV §13: Der AVV setzt deutsches Recht und Gerichtsstand Hildesheim. Prüfen, dass das zum Hauptvertrag passt — sonst widersprechen sich die Verträge.
Der Rahmenvertrag über die Nutzung der Plattform. Er wird bei der Registrierung geschlossen und verweist auf die übrigen Dokumente.
Was die Plattform leistet und was nicht — der sachliche Umfang, auf den sich der Lizenzvertrag bezieht.
Die allgemeinen Bedingungen für die Nutzung — Laufzeit, Zahlung, Haftung, Kündigung.
Der AVV für das Recruiting-Modul: Kundenunternehmen sind Verantwortliche für ihre Bewerberdaten, Scaleyo verarbeitet sie in ihrem Auftrag.
Wie im eingeloggten Bereich der Plattform personenbezogene Daten verarbeitet werden — Zwecke, Rechtsgrundlagen, Empfänger, Fristen und Rechte.
Die nach AVV §6 fortzuschreibende Liste — wer im Auftrag mitverarbeitet, wozu, und wer ausdrücklich nicht im Einsatz ist.
Anlage 1 zum AVV: die Maßnahmen nach Art. 32 DSGVO, jeweils mit dem Stand, in dem sie tatsächlich umgesetzt sind.