Datenschutzerklärung
Plattform „scaleyo academy“ (jetzt Scaleyo One) · Fassung 1.1 vom 2026-08-24
Fassung 1.1 vom 2026-08-24. Die anwaltliche Fassung enthält Angaben, die nur Scaleyo selbst beantworten kann; sie sind im Text als zu ergänzen markiert und hier vollständig aufgeführt. Solange dieser Hinweis steht, ist der Text nicht veröffentlichungsfähig — freigegeben wird er über FREIGEGEBEN in lib/legal/stand.ts.
- Dienstleisterliste und TOM 3.1: Die Sicherung läuft nach AWS S3, Region eu-north-1 (Stockholm), täglich um 03:00 und serverseitig verschlüsselt. Offen ist die Vertragsseite: Vertragsgesellschaft und Auftragsverarbeitungsvertrag mit AWS.
- Datenschutzerklärung §1 und AVV §1: Die anwaltliche Fassung bezeichnet die Plattform als „scaleyo academy“. Das Produkt heißt seit dem 25.08.2026 „Scaleyo One“ und liegt unter one.scaleyo.de. Die Bezeichnung im Vertragstext ist Anwaltssache — wir haben sie wortgetreu stehen gelassen. Bitte nachziehen lassen, sonst weicht der Vertragsgegenstand vom Produktnamen ab.
- Datenschutzerklärung §9: Der Zustimmungsnachweis (Wortlaut, Fassungen, IP-Adresse, Browserkennung) muss die Vertragslaufzeit überdauern. Vorschlag: Laufzeit plus drei Jahre (Verjährung) — bitte anwaltlich bestätigen, dann steht die Frist im Text.
- TOM 1.2: Single Sign-on ist nicht automatisch gleichbedeutend mit einer durchgesetzten Zwei-Faktor-Authentifizierung. Bestätigen, dass für Administrator- und Recruiting-Zugänge im Microsoft-Mandanten eine Mehrfaktor-Authentifizierung verpflichtend aktiviert ist — der Anwalt verlangt das ausdrücklich.
- Datenschutzerklärung §7 und §8: Stripe-Vertragsgesellschaft (Stripe Payments Europe Ltd. in Irland?), Datenregion und Garantien für etwaige Drittlandzugriffe. Erst danach lässt sich §8 abschließend formulieren.
- Datenschutzerklärung §5.7: Mistral-Vertragsstand: AVV geschlossen? Verarbeitungsregion, Speicherdauer, Ausschluss der Nutzung zum Modelltraining — die Aussagen im Text hängen daran.
- Datenschutzerklärung §9: Onboarding-Pläne leben unbefristet, bis der Eigentümer sie löscht. Ob abgeschlossene Pläne nach N Monaten anonymisiert werden, ist offen — siehe tasks/todo-onboarding.md.
- Datenschutzerklärung §3 und §5.9: Im Onboarding-Planer stellt ein Mitglied Beschäftigtendaten seiner eigenen neuen Mitarbeiter ein (Lebenslauftext, Ziele, Bewertung der Einarbeitung). Verantwortlicher dafür ist das Mitglied als Arbeitgeber, Scaleyo verarbeitet. Der bestehende AVV deckt nur das Recruiting-Modul ab — entweder auf den Onboarding-Planer erweitern oder die Rolle bewusst anders festlegen. Der Text sagt bis dahin nur, was tatsächlich passiert.
- AVV §13: Der AVV setzt deutsches Recht und Gerichtsstand Hildesheim. Prüfen, dass das zum Hauptvertrag passt — sonst widersprechen sich die Verträge.
1Gegenstand dieser Datenschutzerklärung
Diese Datenschutzerklärung beschreibt, wie personenbezogene Daten im eingeloggten Bereich der Plattform „scaleyo academy“ verarbeitet werden — sie tritt seit August 2026 unter dem Namen Scaleyo One auf. zu ergänzen: Die anwaltliche Fassung bezeichnet die Plattform als „scaleyo academy“. Das Produkt heißt seit dem 25.08.2026 „Scaleyo One“ und liegt unter one.scaleyo.de. Die Bezeichnung im Vertragstext ist Anwaltssache — wir haben sie wortgetreu stehen gelassen. Bitte nachziehen lassen, sonst weicht der Vertragsgegenstand vom Produktnamen ab. Die Plattform bietet Kurse und Lerninhalte, eine Wissensdatenbank, eine Community, Live Calls, einen KI-Assistenten, einen Stellenanzeigen-Check, ein Recruiting-Modul für Kundenunternehmen und einen Onboarding-Planer.
Nicht Gegenstand dieser Fassung sind die öffentlich erreichbaren Seiten von scaleyo.de, insbesondere die öffentliche Website, das öffentliche Kontaktformular, die öffentliche Academy-Produktseite und ein gegebenenfalls gesondert betriebener Checkout. Für diese Bereiche gilt eine gesonderte Datenschutzerklärung.
2Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist:
3Rollenverteilung zwischen Scaleyo und den Kundenunternehmen
Die datenschutzrechtliche Rolle hängt vom Funktionsbereich und vom Zweck der Verarbeitung ab. Verantwortlicher ist die Stelle, die über Zwecke und wesentliche Mittel der Verarbeitung entscheidet; ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen (Art. 4 Nr. 7 und Nr. 8, Art. 28 DSGVO).
3.1Scaleyo als Verantwortlicher
Für die Academy-Funktionen entscheidet Scaleyo selbst über die Zwecke und ist damit Verantwortlicher. Das betrifft insbesondere:
- Einrichtung und Verwaltung von Nutzerkonten,
- Authentifizierung, Sitzungsverwaltung und Zugriffsschutz,
- Bereitstellung der Academy-Funktionen,
- Verwaltung von Kurszugriffen, Lernfortschritten und Mitgliedschaften,
- Betrieb und Moderation der Community,
- Organisation von Support, Hilfeangeboten und Live Calls,
- technische Kommunikation, Einladungen und Zugangs-E-Mails,
- Abrechnung und Zahlungsabwicklung, soweit Scaleyo selbst Vertragspartner des Zahlungsvorgangs ist,
- Gewährleistung der Sicherheit, Stabilität und Funktionsfähigkeit der Plattform,
- Bearbeitung datenschutzrechtlicher Anfragen zu diesen Verarbeitungen.
Für diese Verarbeitungen erfüllt Scaleyo die Informationspflichten selbst und bearbeitet Anfragen betroffener Personen selbst.
3.2Scaleyo als Auftragsverarbeiter im Recruiting-Modul
- Das jeweilige Kundenunternehmen ist Verantwortlicher für die Verarbeitung der Bewerberdaten.
- Scaleyo verarbeitet die Bewerberdaten als Auftragsverarbeiter im Auftrag des Kundenunternehmens.
- Der Umfang richtet sich nach dem Recruiting-Auftrag, dem Auftragsverarbeitungsvertrag und den dokumentierten Weisungen des Kundenunternehmens.
- Scaleyo verwendet Bewerberdaten nicht für eigene Recruitingzwecke, eigene Werbung oder eigene Kandidatenprofile.
Die Kundenunternehmen bleiben verantwortlich für die Rechtmäßigkeit der Erhebung, die Bewerberinformation nach Art. 13 und 14 DSGVO, die Wahl der Rechtsgrundlage, die Zweckbestimmung und die Löschfristen. Scaleyo unterstützt sie im Rahmen des Auftragsverarbeitungsvertrags bei der technischen Umsetzung, ersetzt aber nicht deren eigene datenschutzrechtliche Verantwortung.
3.3Onboarding-Planer
Im Onboarding-Planer stellt ein Mitglied Daten seiner eigenen — bereits eingestellten — Mitarbeiter ein. Verantwortlicher für diese Beschäftigtendaten ist das Mitglied als Arbeitgeber; Scaleyo stellt das Werkzeug bereit und verarbeitet die Angaben zu dessen Zwecken.
zu ergänzen: Im Onboarding-Planer stellt ein Mitglied Beschäftigtendaten seiner eigenen neuen Mitarbeiter ein (Lebenslauftext, Ziele, Bewertung der Einarbeitung). Verantwortlicher dafür ist das Mitglied als Arbeitgeber, Scaleyo verarbeitet. Der bestehende AVV deckt nur das Recruiting-Modul ab — entweder auf den Onboarding-Planer erweitern oder die Rolle bewusst anders festlegen. Der Text sagt bis dahin nur, was tatsächlich passiert.
4Welche Daten verarbeitet werden
4.1Konto- und Stammdaten
- Name,
- E-Mail-Adresse,
- gegebenenfalls Titel, Initialen und Profilangaben,
- Firmen- oder Organisationszuordnung,
- Zugangsdaten in Form eines mit bcrypt erzeugten Passwort-Hashs — Passwörter werden nicht im Klartext gespeichert,
- Rollen- und Berechtigungsdaten,
- bei aktiviertem Zweitfaktor ein Zeitcode-Geheimnis (TOTP) und Wiederherstellungscodes,
- Einladungs- und Kontostatus,
- bei der Selbstregistrierung: Zeitpunkt der Bestätigung der E-Mail-Adresse.
4.2Nutzungs- und Plattformdaten
- Sitzungsdaten und Session-Token,
- Beginn und Ablauf einer Sitzung,
- Kurszugriffe und Lernfortschritte,
- Mitgliedschaften und Zugriffsrechte,
- Upload-Metadaten, insbesondere Originaldateiname, Dateityp und hochladende Person,
- technische Protokoll- und Sicherheitsdaten,
- Nutzungs-, Token- und Kosteninformationen zur Nutzung der KI-Funktionen,
- Protokolle über datenschutzrelevante Handlungen im Recruiting- und Onboarding-Bereich (wer hat wann was getan),
- der Nachweis der Zustimmung zum Lizenzvertrag: Zeitpunkt, der wortgetreu angezeigte Text, die Fassungen der einbezogenen Dokumente, IP-Adresse und Browserkennung.
4.3Inhalte in der Community
Wenn Nutzer Beiträge, Kommentare oder Reaktionen in der Community veröffentlichen, verarbeitet Scaleyo die eingegebenen Inhalte und die Zuordnung zum Nutzerkonto.
Die Community ist nicht nach Unternehmen getrennt: Ein Beitrag ist für alle eingeloggten Mitglieder der Academy sichtbar, auch für solche aus anderen Unternehmen. Das ist Absicht — der Austausch über Unternehmensgrenzen hinweg ist der Zweck der Funktion. Der Hinweis steht deshalb auch direkt am Eingabefeld, nicht nur hier. Wer keine Sichtbarkeit über das eigene Unternehmen hinaus möchte, nutzt die Community nicht; sie ist freiwillig.
4.4Onboarding-Umfrage und Kursauswahl
Beim ersten Login kann die Plattform Angaben zum Erfahrungsstand, zu fachlichen Interessen, zu Zielen und zur Teamgröße erheben. Sie dienen dazu, passende Kurse und Inhalte vorzuschlagen. Die Empfehlung von Kursinhalten hat keine rechtliche oder vergleichbar erhebliche Wirkung im Sinne von Art. 22 DSGVO.
4.5Recruitingdaten
Im Auftrag eines Kundenunternehmens können insbesondere verarbeitet werden:
- Name von Bewerberinnen und Bewerbern,
- Lebenslauf, Profil- und Bewerbungsdokumente,
- Angaben aus Bewerbungsunterlagen,
- interne Notizen zum Bewerbungsprozess,
- Angaben zu Vakanzen, Standort, Vergütung und Anforderungsprofil,
- Bewertungen je Kriterium samt Begründung und Belegstellen,
- Feedback und Begründungen der Nutzer des Kundenunternehmens,
- Firmen- und Ansprechpartnerdaten des Kundenunternehmens.
Bewerberinnen und Bewerber benötigen kein eigenes Nutzerkonto. Die Daten werden durch Scaleyo-Administratoren oder durch berechtigte Nutzer des Kundenunternehmens eingestellt.
4.6Daten aus Support und Terminvereinbarung
Bei einer Kontaktaufnahme über Support, Anliegen, E-Mail, Community oder eine Terminvereinbarung können Kontaktdaten, Kommunikationsinhalte, Terminangaben und technische Angaben zum Anliegen verarbeitet werden.
4.7Daten im Onboarding-Planer
Mitglieder planen dort die Einarbeitung eigener neuer Mitarbeiter. Verarbeitet werden:
- Stellenbezeichnung, Ziel der Stelle, Messgrößen und Zeitrahmen,
- Name der einzuarbeitenden Person, soweit das Mitglied ihn einträgt,
- der Text eines hochgeladenen oder aus dem Hire Hub übernommenen Lebenslaufs,
- der generierte Wochenplan samt Bearbeitungen des Mitglieds,
- der Bearbeitungsstand je Wocheneintrag.
5Zwecke und Rechtsgrundlagen
5.1Bereitstellung der Plattform und Vertragserfüllung
Konto-, Zugangs-, Mitgliedschafts- und Nutzungsdaten werden verarbeitet, um die vertraglich geschuldete Nutzung zu ermöglichen, Zugriffsrechte zu verwalten und gebuchte Inhalte bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 Satz 1 lit. b DSGVO.
5.1aRegistrierung und Vertragsschluss
Bei der Selbstregistrierung werden Name, E-Mail-Adresse und ein Passwort verarbeitet, um das Konto anzulegen. Die Adresse wird über einen Link in einer E-Mail bestätigt; ohne Bestätigung entsteht kein Zugang. Rechtsgrundlage ist Art. 6 Abs. 1 Satz 1 lit. b DSGVO.
Die Zustimmung zum Lizenzvertrag wird als Nachweis festgehalten: Zeitpunkt, der angezeigte Text, die Fassungen der einbezogenen Dokumente sowie IP-Adresse und Browserkennung des Geräts, von dem die Zustimmung ausging. Diese beiden letzten Angaben dienen allein dem Nachweis, dass und von wo aus der Vertrag geschlossen wurde; Rechtsgrundlage ist Art. 6 Abs. 1 Satz 1 lit. b und lit. f DSGVO — das berechtigte Interesse liegt in der Nachweisbarkeit des Vertragsschlusses.
5.2Sicherheit und Missbrauchsprävention
Sitzungsdaten, Rolleninformationen und technische Sicherheitsdaten werden verarbeitet, um unberechtigte Zugriffe, Missbrauch, Angriffe und Störungen zu erkennen und abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 Satz 1 lit. f DSGVO; das berechtigte Interesse liegt im Schutz der Plattform, der Nutzerkonten und der verarbeiteten Inhalte.
5.3Kurse, Wissensdatenbank und Lernfortschritt
Kurszugriffe, Lernfortschritte und Angaben aus der Onboarding-Umfrage werden verarbeitet, um Lerninhalte bereitzustellen und passende Inhalte zu empfehlen. Rechtsgrundlage ist Art. 6 Abs. 1 Satz 1 lit. b DSGVO, soweit die Verarbeitung Bestandteil der gebuchten Leistung ist. Die Angaben der Onboarding-Umfrage sind freiwillig; ohne sie bleibt die Plattform vollständig nutzbar.
5.4Community
Beiträge, Kommentare und Reaktionen werden verarbeitet, um den Austausch zwischen berechtigten Mitgliedern zu ermöglichen. Rechtsgrundlage ist Art. 6 Abs. 1 Satz 1 lit. b DSGVO; für Moderations- und Sicherheitsmaßnahmen zusätzlich Art. 6 Abs. 1 Satz 1 lit. f DSGVO.
5.5Support und Kommunikation
Kontaktdaten und Kommunikationsinhalte werden verarbeitet, um Anfragen zu beantworten, Zugänge zu verwalten und technische Hinweise zu versenden. Rechtsgrundlagen sind Art. 6 Abs. 1 Satz 1 lit. b und lit. f DSGVO, für gesetzlich erforderliche Aufbewahrungen lit. c. Jeder Versand einer E-Mail wird mit Empfänger, Betreff, Inhalt und Status protokolliert, damit nachweisbar bleibt, wer wann worüber informiert wurde.
5.6Zahlungsabwicklung
Soweit über die Plattform Kurse oder Mitgliedschaften gebucht und bezahlt werden, werden Zahlungs-, Produkt-, Preis- und Transaktionsdaten verarbeitet. Die Zahlungsabwicklung erfolgt über Stripe; Bewerberdaten laufen nicht über Stripe. Rechtsgrundlagen sind Art. 6 Abs. 1 Satz 1 lit. b und lit. c DSGVO.
zu ergänzen: Stripe-Vertragsgesellschaft (Stripe Payments Europe Ltd. in Irland?), Datenregion und Garantien für etwaige Drittlandzugriffe. Erst danach lässt sich §8 abschließend formulieren.
5.7KI-Assistent
Der KI-Assistent unterstützt bei Fragen zu Recruiting, Onboarding und HR-Prozessen und verweist auf passende Kursinhalte. An den KI-Dienst übermittelt werden:
- der vom Nutzer eingegebene Chatinhalt,
- der für die Anfrage erforderliche Chatverlauf,
- der Nutzername,
- ausgewählte Inhalte aus dem internen Wissenskorpus der Academy.
Bewerberdaten und Bewerbungsdokumente fließen nicht in den Assistenten ein. Chatinhalte werden nicht dauerhaft in der Datenbank der Plattform gespeichert; gespeichert werden nur Modell, Tokenzahl, Kosten und Zeitpunkt zur internen Kostenkontrolle. Rechtsgrundlagen sind Art. 6 Abs. 1 Satz 1 lit. b und lit. f DSGVO.
KI-Anbieter ist Mistral AI mit Sitz in Frankreich. Ein anderer KI-Anbieter ist nicht eingebunden. zu ergänzen: Mistral-Vertragsstand: AVV geschlossen? Verarbeitungsregion, Speicherdauer, Ausschluss der Nutzung zum Modelltraining — die Aussagen im Text hängen daran.
5.8Recruiting-Modul
Die Verarbeitung von Bewerberdaten erfolgt ausschließlich im Auftrag des jeweiligen Kundenunternehmens — zur Bereitstellung der Recruiting-Funktionen, zur Speicherung und Anzeige von Bewerberprofilen, zur Prüfung von Vorbedingungen und Bewertungskriterien sowie zur Übermittlung von Feedback innerhalb des berechtigten Kundenbereichs.
Die Rechtsgrundlage legt das Kundenunternehmen fest. In Betracht kommen insbesondere Art. 6 Abs. 1 Satz 1 lit. b oder lit. f DSGVO sowie § 26 BDSG. Scaleyo legt sie nicht pauschal fest.
5.9Onboarding-Planer
Die Angaben aus dem Planer und der Lebenslauftext werden verarbeitet, um daraus einen Wochenplan für die Einarbeitung zu erzeugen, ihn dem Mitglied zur Bearbeitung anzuzeigen, den Bearbeitungsstand festzuhalten und wöchentlich per E-Mail daran zu erinnern. Die Erzeugung des Plans läuft über Mistral AI.
Ein Plan ist nur für das Mitglied sichtbar, das ihn angelegt hat; es gibt keine Einsicht in fremde Pläne, auch nicht für Administratoren. Der Plan wird nicht automatisch aktiv — das Mitglied liest ihn gegen und aktiviert ihn bewusst.
6Automatisierte Entscheidungen und Profilbildung
Die Plattform trifft keine automatisierten Entscheidungen über die Einstellung oder Ablehnung von Bewerberinnen und Bewerbern. Bewertungen im Recruiting-Modul sind Entscheidungsgrundlagen, keine Entscheidungen: Das Feedback gibt ein berechtigter Nutzer des Kundenunternehmens ein, und jede Bewertung lässt sich vor der Freigabe korrigieren.
Der KI-Assistent erzeugt Informations- und Formulierungshilfen. Seine Antworten ersetzen keine Rechtsberatung und treffen keine verbindlichen Personalentscheidungen. Der Onboarding-Planer erzeugt einen Vorschlag, den das Mitglied gegenliest und ändern kann.
7Empfänger und Dienstleister
Personenbezogene Daten können innerhalb der jeweils erforderlichen Berechtigungen an folgende Empfänger übermittelt werden:
| Empfänger oder Dienst | Zweck |
|---|---|
netcup GmbH Emmy-Noether-Straße 10 76131 Karlsruhe Deutschland | Betrieb von Anwendung, Datenbank und Upload-Speicher |
Hetzner Online GmbH Industriestr. 25 91710 Gunzenhausen Deutschland | Hosting |
Mistral AI Société par actions simplifiée (SAS) 15 rue des Halles 75001 Paris Frankreich | KI-Assistent |
Microsoft Ireland Operations Ltd One Microsoft Place South County Business Park Leopardstown Dublin 18 D18 P521 Irland | Single Sign-on und Authentifizierung |
Soweit Dienstleister als Auftragsverarbeiter eingesetzt werden, gelten die Anforderungen des Art. 28 DSGVO. Die für das Recruiting-Modul maßgebliche Kette ist in der Liste der Unterauftragsverarbeiter dokumentiert und wird dort fortgeschrieben.
Geprüft und nicht im Einsatz
Die folgenden Dienste werden ausdrücklich nicht verwendet. Sie sind hier genannt, weil frühere Fassungen der Projektunterlagen sie teils vorsahen:
- Anthropic — Vollständig entfernt. Der einzige KI-Zugang der Plattform ist Mistral; es gibt keinen Anthropic-Schlüssel, keinen Endpunkt und keinen Fallback.
- Brevo, Resend — Kein Versand von Transaktions-E-Mails über Drittanbieter-Schnittstellen.
- Google Analytics, Matomo und vergleichbare Analysedienste — Nicht eingebunden. Es gibt kein Analyse- oder Marketing-Skript in der Anwendung.
- Google Fonts und andere externe Schriftquellen — Alle Schriften liegen lokal unter /assets/fonts. Es gibt keinen Request an fonts.googleapis.com oder fonts.gstatic.com.
8Drittlandübermittlungen
Die Plattform wird überwiegend in europäischen Regionen betrieben. Anwendung, Datenbank und Datei-Uploads liegen auf Servern in Deutschland; der KI-Anbieter Mistral AI hat seinen Sitz in Frankreich.
Bei Stripe und bei Microsoft 365 beziehungsweise Microsoft Entra ID kann abhängig von Vertragsgesellschaft, Mandantenkonfiguration, Supportmodell und konkretem Dienst eine Übermittlung oder Zugriffsmöglichkeit aus einem Drittland relevant sein. zu ergänzen: Stripe-Vertragsgesellschaft (Stripe Payments Europe Ltd. in Irland?), Datenregion und Garantien für etwaige Drittlandzugriffe. Erst danach lässt sich §8 abschließend formulieren.
Sicherungskopien von Datenbank und Datei-Uploads werden täglich verschlüsselt in einen S3-Speicher von Amazon Web Services in der Region eu-north-1 (Stockholm, Schweden) geschrieben und dort nach 35 Tagen gelöscht. Schweden ist Mitgliedstaat der Europäischen Union; eine Drittlandübermittlung liegt darin nicht. zu ergänzen: Die Sicherung läuft nach AWS S3, Region eu-north-1 (Stockholm), täglich um 03:00 und serverseitig verschlüsselt. Offen ist die Vertragsseite: Vertragsgesellschaft und Auftragsverarbeitungsvertrag mit AWS.
Eine Übermittlung personenbezogener Daten in ein Drittland darf nur erfolgen, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind (Art. 44 bis 49 DSGVO). Soweit erforderlich, werden geeignete Garantien — insbesondere Standarddatenschutzklauseln und eine dokumentierte Übermittlungs-Folgenabschätzung — mit dem jeweiligen Dienstleister vereinbart und nachgewiesen.
9Speicherdauer und Löschung
Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe für eine weitere Speicherung bestehen (Art. 5 Abs. 1 lit. e, Art. 17 DSGVO). Im Einzelnen:
- Sitzungen — 30 Tage serverseitige Laufzeit; abgelaufene Sitzungen werden beim nächsten Zugriff verworfen.
- Nutzerkonten — bis zur Beendigung des Kontos oder des zugrunde liegenden Vertrags.
- Kurs- und Mitgliedschaftsdaten — solange sie für Bereitstellung, Nachweisbarkeit und Abrechnung der gebuchten Leistung erforderlich sind.
- Community-Inhalte — bis zur Löschung durch den Verfasser oder bis zur Beendigung des Kontos.
- Bewerberdaten — 183 Tage (rund sechs Monate) nach der Absage beziehungsweise nach Schließung der Vakanz; spätestens 730 Tage nach Anlage, falls es nie zu einer Absage kommt. Die Frist entspricht der Klagefrist des Allgemeinen Gleichbehandlungsgesetzes. Dabei wird anonymisiert: Unterlagen, Belege, Bewertungsläufe, Freigaben und Protokoll werden gelöscht, die Kandidatenzeile bleibt ohne Personenbezug als Hülle stehen, damit Kennzahlen auswertbar bleiben. Wird eine Person eingestellt, gelten die Fristen der Personalakte beim Kundenunternehmen. Maßgeblich bleiben in jedem Fall die Weisungen des Kundenunternehmens.
- KI-Läufe — 183 Tage ab dem Lauf. Protokolliert werden nur Modell, Dauer und Kosten, keine Unterlagen.
- KI-Assistent — Chatinhalte werden nicht dauerhaft gespeichert; Token-, Kosten- und Nutzungsdaten bleiben zur Kostenkontrolle erhalten.
- Onboarding-Pläne — die Lebenslaufdatei wird nach der Erzeugung des Plans gelöscht. Der Plan selbst besteht, bis das Mitglied ihn löscht; mit ihm werden die Einträge und der Lebenslauftext gelöscht. zu ergänzen: Onboarding-Pläne leben unbefristet, bis der Eigentümer sie löscht. Ob abgeschlossene Pläne nach N Monaten anonymisiert werden, ist offen — siehe tasks/todo-onboarding.md.
- E-Mail-Protokolle — der Inhalt einer versendeten E-Mail wird nach 90 Tagen aus dem Protokoll entfernt; Empfänger, Betreff, Status und Zeitpunkt bleiben als Nachweis, dass informiert wurde, und werden nach 365 Tagen gelöscht.
- Zustimmungsnachweis — er muss die Vertragslaufzeit überdauern, sonst wäre der Vertragsschluss später nicht belegbar. zu ergänzen: Der Zustimmungsnachweis (Wortlaut, Fassungen, IP-Adresse, Browserkennung) muss die Vertragslaufzeit überdauern. Vorschlag: Laufzeit plus drei Jahre (Verjährung) — bitte anwaltlich bestätigen, dann steht die Frist im Text.
- Zahlungs- und Abrechnungsdaten — für die Dauer der gesetzlichen Aufbewahrungspflichten.
10Technische und organisatorische Maßnahmen
Eingesetzt werden insbesondere:
- rollenbasierte Zugriffssteuerung,
- Speicherung von Passwörtern als bcrypt-Hash,
- HMAC-signierte Session-Cookies mit HttpOnly, Secure und SameSite=Lax in der Produktion,
- serverseitige Ablaufzeiten für Sitzungen,
- Zweitfaktor über zeitbasierte Einmalcodes (TOTP) mit Wiederherstellungscodes,
- Single Sign-on über Microsoft 365 beziehungsweise Microsoft Entra ID,
- Zugriff auf Uploads nur über authentifizierte und rollenbasierte Routen,
- logische Trennung der Daten verschiedener Kundenunternehmen über Firmen- und Berechtigungszuordnung,
- Egress-Firewall-Allowlist auf dem Server,
- fail2ban gegen automatisierte Anmeldeversuche,
- automatische Sicherheitsupdates des Betriebssystems,
- Content-Security-Policy und weitere Sicherheitsheader,
- aktivierte Abhängigkeits-Sicherheitsmeldungen (Dependabot),
- Protokollierung datenschutzrelevanter Handlungen im Recruiting- und Onboarding-Bereich.
Die Anmeldung erfolgt mit E-Mail und Passwort, ergänzt um Single Sign-on über Microsoft 365 beziehungsweise Microsoft Entra ID. Die vollständige Darstellung nach Art. 32 DSGVO steht in den technischen und organisatorischen Maßnahmen.
12Rechte betroffener Personen
Betroffene Personen können gegenüber dem jeweils Verantwortlichen unter den gesetzlichen Voraussetzungen geltend machen:
- Recht auf Auskunft,
- Recht auf Berichtigung,
- Recht auf Löschung,
- Recht auf Einschränkung der Verarbeitung,
- Recht auf Datenübertragbarkeit,
- Recht auf Widerspruch gegen bestimmte Verarbeitungen,
- Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft,
- Recht, nicht ausschließlich einer automatisierten Entscheidung unterworfen zu werden.
Die Rechte ergeben sich aus Art. 12 bis 22 DSGVO. Anfragen können an kontakt@scaleyo.de gerichtet werden.
Bei Anfragen zu Bewerberdaten im Recruiting-Modul ist das jeweilige Kundenunternehmen Verantwortlicher. Scaleyo leitet solche Anfragen dorthin weiter und unterstützt nach Maßgabe des Auftragsverarbeitungsvertrags; ohne Weisung des Kundenunternehmens tritt Scaleyo nicht selbst mit der betroffenen Person in Kontakt.
Zur Vermeidung einer unberechtigten Offenlegung kann Scaleyo geeignete Informationen zur Identitätsprüfung anfordern. Anträge werden unentgeltlich bearbeitet, soweit keine gesetzlichen Ausnahmegründe vorliegen (Art. 12 DSGVO).
13Beschwerderecht bei einer Aufsichtsbehörde
Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren — insbesondere bei der Behörde ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).
Für den Verantwortlichen ist die Landesbeauftragte für den Datenschutz Niedersachsen zuständig:
14Pflicht zur Bereitstellung personenbezogener Daten
Für die Einrichtung und Nutzung eines Nutzerkontos sind die Daten erforderlich, die Registrierung, Authentifizierung, Berechtigungsverwaltung und Vertragserfüllung benötigen. Ohne sie kann die gebuchte Leistung nicht bereitgestellt werden.
Die Nutzung von Community, KI-Assistent, Onboarding-Umfrage, Onboarding-Planer und freiwilligen Supportangeboten ist freiwillig. Welche Angaben für eine Funktion zwingend erforderlich sind, ist in der jeweiligen Eingabemaske gekennzeichnet.
15Aktualisierungen dieser Datenschutzerklärung
Scaleyo passt diese Datenschutzerklärung an, wenn sich die Plattform, die Datenverarbeitungen, die Dienstleisterkette oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung steht in der Plattform bereit. Bei wesentlichen Änderungen werden betroffene Personen gesondert informiert.
Fassung 1.1 vom 2026-08-24.