Unterauftragsverarbeiter

Anlage 2 zum Auftragsverarbeitungsvertrag · Stand 2026-08-24

Entwurf — noch nicht freigegeben

Fassung 1.1 vom 2026-08-24. Die anwaltliche Fassung enthält Angaben, die nur Scaleyo selbst beantworten kann; sie sind im Text als zu ergänzen markiert und hier vollständig aufgeführt. Solange dieser Hinweis steht, ist der Text nicht veröffentlichungsfähig — freigegeben wird er über FREIGEGEBEN in lib/legal/stand.ts.

Dienstleisterliste und TOM 3.1: Die Sicherung läuft nach AWS S3, Region eu-north-1 (Stockholm), täglich um 03:00 und serverseitig verschlüsselt. Offen ist die Vertragsseite: Vertragsgesellschaft und Auftragsverarbeitungsvertrag mit AWS.
Datenschutzerklärung §1 und AVV §1: Die anwaltliche Fassung bezeichnet die Plattform als „scaleyo academy“. Das Produkt heißt seit dem 25.08.2026 „Scaleyo One“ und liegt unter one.scaleyo.de. Die Bezeichnung im Vertragstext ist Anwaltssache — wir haben sie wortgetreu stehen gelassen. Bitte nachziehen lassen, sonst weicht der Vertragsgegenstand vom Produktnamen ab.
Datenschutzerklärung §9: Der Zustimmungsnachweis (Wortlaut, Fassungen, IP-Adresse, Browserkennung) muss die Vertragslaufzeit überdauern. Vorschlag: Laufzeit plus drei Jahre (Verjährung) — bitte anwaltlich bestätigen, dann steht die Frist im Text.
TOM 1.2: Single Sign-on ist nicht automatisch gleichbedeutend mit einer durchgesetzten Zwei-Faktor-Authentifizierung. Bestätigen, dass für Administrator- und Recruiting-Zugänge im Microsoft-Mandanten eine Mehrfaktor-Authentifizierung verpflichtend aktiviert ist — der Anwalt verlangt das ausdrücklich.
Datenschutzerklärung §7 und §8: Stripe-Vertragsgesellschaft (Stripe Payments Europe Ltd. in Irland?), Datenregion und Garantien für etwaige Drittlandzugriffe. Erst danach lässt sich §8 abschließend formulieren.
Datenschutzerklärung §5.7: Mistral-Vertragsstand: AVV geschlossen? Verarbeitungsregion, Speicherdauer, Ausschluss der Nutzung zum Modelltraining — die Aussagen im Text hängen daran.
Datenschutzerklärung §9: Onboarding-Pläne leben unbefristet, bis der Eigentümer sie löscht. Ob abgeschlossene Pläne nach N Monaten anonymisiert werden, ist offen — siehe tasks/todo-onboarding.md.
Datenschutzerklärung §3 und §5.9: Im Onboarding-Planer stellt ein Mitglied Beschäftigtendaten seiner eigenen neuen Mitarbeiter ein (Lebenslauftext, Ziele, Bewertung der Einarbeitung). Verantwortlicher dafür ist das Mitglied als Arbeitgeber, Scaleyo verarbeitet. Der bestehende AVV deckt nur das Recruiting-Modul ab — entweder auf den Onboarding-Planer erweitern oder die Rolle bewusst anders festlegen. Der Text sagt bis dahin nur, was tatsächlich passiert.
AVV §13: Der AVV setzt deutsches Recht und Gerichtsstand Hildesheim. Prüfen, dass das zum Hauptvertrag passt — sonst widersprechen sich die Verträge.

Genehmigte Unterauftragsverarbeiter

Die folgenden Unterauftragsverarbeiter sind an der Verarbeitung von Bewerberdaten im Recruiting-Modul beteiligt. Mit jedem besteht beziehungsweise wird eine Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO geschlossen.

Empfänger oder Dienst	Zweck
netcup GmbH Emmy-Noether-Straße 10 76131 Karlsruhe Deutschland	Betrieb von Anwendung, Datenbank und Upload-Speicher
Hetzner Online GmbH Industriestr. 25 91710 Gunzenhausen Deutschland	Hosting
Mistral AI Société par actions simplifiée (SAS) 15 rue des Halles 75001 Paris Frankreich	KI-Assistent
Microsoft Ireland Operations Ltd One Microsoft Place South County Business Park Leopardstown Dublin 18 D18 P521 Irland	Single Sign-on und Authentifizierung

Dieselbe Liste wie in der Datenschutzerklärung

Die vier Einträge stehen im Vertragswerk sowohl in der Empfängertabelle der Datenschutzerklärung als auch in der Zustimmungsliste des AVV. Sie werden an einer Stelle gepflegt, damit die beiden Dokumente nicht auseinanderlaufen — die AVV-Liste ist vertraglich bindend.

Geprüft und nicht im Einsatz

Die folgenden Dienste werden ausdrücklich nicht verwendet. Sie sind hier benannt, weil frühere Projektunterlagen sie teils vorsahen — „steht nicht in der Liste“ ist eine schwächere Auskunft als „geprüft und nicht im Einsatz“.

Anthropic — Vollständig entfernt. Der einzige KI-Zugang der Plattform ist Mistral; es gibt keinen Anthropic-Schlüssel, keinen Endpunkt und keinen Fallback.
Brevo, Resend — Kein Versand von Transaktions-E-Mails über Drittanbieter-Schnittstellen.
Google Analytics, Matomo und vergleichbare Analysedienste — Nicht eingebunden. Es gibt kein Analyse- oder Marketing-Skript in der Anwendung.
Google Fonts und andere externe Schriftquellen — Alle Schriften liegen lokal unter /assets/fonts. Es gibt keinen Request an fonts.googleapis.com oder fonts.gstatic.com.

Wie Änderungen angekündigt werden

Ein neuer Unterauftragsverarbeiter oder der Wechsel eines bestehenden wird jedem Auftraggeber mindestens zwei Wochen vorher in Textform angezeigt. Bis zur Übergabe der Daten kann der Auftraggeber in Schrift- oder Textform Einspruch erheben. Die Daten werden erst weitergegeben, wenn alle Voraussetzungen der Unterbeauftragung vorliegen — einschließlich einer Vereinbarung nach Art. 28 Abs. 2–4 DSGVO.

Diese Seite trägt den jeweils gültigen Stand. Rückfragen und Einsprüche an kontakt@scaleyo.de.

Für Entwicklung und Betrieb

Eine Zeile in dieser Liste ist keine Textänderung, sondern löst eine Mitteilungspflicht gegenüber allen Recruiting-Kunden aus. Die Liste steht in web/lib/legal/dienstleister.ts; wer sie ändert, plant die Ankündigung mit ein.