Vertrag zur Auftragsverarbeitung.

1.Präambel und Vertragsparteien

Dieser Vertrag zur Auftragsverarbeitung (im Folgenden „Vertrag“) wird geschlossen zwischen dem Unternehmen, das Workforce Compass nutzt (im Folgenden „Kunde“, datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 der Datenschutz-Grundverordnung, DSGVO), und

(im Folgenden „ECODYNAMICS“, datenschutzrechtlich Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO). Einen Datenschutzbeauftragten hat ECODYNAMICS nicht benannt; die Gründe stehen in der Datenschutzerklärung.

Workforce Compass ist ein Analyse- und Empfehlungswerkzeug. Der Kunde erfasst Stellen und Aufgabenbündel eines Teams und erhält je Aufgabenbündel, Stelle und Team eine begründete Empfehlung, welche Tätigkeiten beim Menschen bleiben sollten und welche ein KI-Agent übernehmen könnte. Bewertet werden Stellen und Aufgabenbündel, nicht einzelne Beschäftigte. Namen fragt die Anwendung nicht ab. Trotzdem können sich Angaben im Einzelfall mittelbar auf eine bestimmte Person beziehen, vor allem bei einer Einzelstelle mit bekanntem Inhaber, bei kleinen Teams, bei Namen in freien Texten und bei hochgeladenen Stellenbeschreibungen.

Soweit das der Fall ist, verarbeitet ECODYNAMICS personenbezogene Daten im Auftrag des Kunden. Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag, der Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt. Diesen Anforderungen dient der vorliegende Vertrag. Er gilt für jeden Plan, auch für das kostenlose Trial.

2.Abschluss, Verhältnis zu den Nutzungsbedingungen und Rangfolge

(1) Dieser Vertrag ist Bestandteil des Nutzungsvertrags über Workforce Compass, der auf Grundlage der Nutzungsbedingungen zustande kommt. Er wird zusammen mit dem Nutzungsvertrag geschlossen: Wer das Konto für den Kunden anlegt, stimmt bei der Registrierung über das Pflichtfeld den Nutzungsbedingungen einschließlich dieses Vertrags zu; das Pflichtfeld verweist auf beide Texte. ECODYNAMICS speichert den Zeitpunkt der Zustimmung und den Stand der Fassung. Wirksam wird er in dem Zeitpunkt, in dem der Nutzungsvertrag zustande kommt, beim Trial also mit der Bestätigung der E-Mail-Adresse, mit der die Organisation des Kunden angelegt wird. Für Organisationen, die vor dem 5. Oktober 2026 angelegt wurden, wird dieser Vertrag wirksam, sobald ein Hauptkontakt ihm in der Anwendung oder in Textform zustimmt; bis dahin verarbeitet ECODYNAMICS die Auftragsdaten nach den Regeln dieses Vertrags.

(2) Der Vertrag wird in elektronischer Form geschlossen. Das genügt dem Formerfordernis des Art. 28 Abs. 9 DSGVO, der die Schriftform einschließlich eines elektronischen Formats zulässt. Eine gesonderte Unterschrift ist nicht nötig. Benötigt der Kunde für seine Unterlagen eine von ECODYNAMICS gezeichnete Ausfertigung, stellt ECODYNAMICS sie auf Anfrage in Textform kostenlos aus; der Inhalt ändert sich dadurch nicht.

(3) Bei Widersprüchen gilt folgende Rangfolge: Für alle Fragen der Verarbeitung personenbezogener Daten im Auftrag geht dieser Vertrag samt Anlagen den Nutzungsbedingungen und sonstigen Vereinbarungen der Parteien vor. Für die Haftung der Parteien untereinander gelten die Nutzungsbedingungen nach Maßgabe des Abschnitts Haftung und Vergütung. Eine individuelle Vereinbarung zur Auftragsverarbeitung, die die Parteien in Textform treffen und die ausdrücklich auf diesen Vertrag Bezug nimmt, geht diesem Vertrag vor, soweit sie den Schutz der betroffenen Personen nicht absenkt.

(4) Zwingende Vorschriften der DSGVO und des Bundesdatenschutzgesetzes (BDSG) gehen jeder Regelung dieses Vertrags vor. Keine Bestimmung dieses Vertrags ist so auszulegen, dass sie die Rechte betroffener Personen oder die Befugnisse der Aufsichtsbehörden beschränkt.

2.1Orientierung an den Standardvertragsklauseln der Kommission

Aufbau und Inhalt dieses Vertrags orientieren sich an den Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern, die die Europäische Kommission nach Art. 28 Abs. 7 DSGVO erlassen hat (Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021, ABl. L 199 vom 7. Juni 2021, S. 18). Die Klauseln sind hier nicht wortgleich übernommen, sondern auf Workforce Compass zugeschnitten und um die tatsächlichen Abläufe der Anwendung ergänzt. Dieser Vertrag ist deshalb ein eigener Vertrag nach Art. 28 Abs. 3 DSGVO und nicht die unveränderte Fassung der Standardvertragsklauseln. Die drei Anlagen entsprechen in ihrer Funktion den Anhängen II bis IV der Standardvertragsklauseln (Beschreibung der Verarbeitung, technische und organisatorische Maßnahmen, Liste der Unterauftragsverarbeiter).

3.Begriffe

Die Begriffe der DSGVO haben in diesem Vertrag die Bedeutung, die Art. 4 DSGVO ihnen gibt. Ergänzend gilt:

• Anwendung: Workforce Compass in der jeweils bereitgestellten Fassung, einschließlich der öffentlichen Seiten, der Anmeldung und des angemeldeten Bereichs.
• Organisation: der Mandant des Kunden in der Anwendung; dort heißt er „Unternehmen“. Alle Daten sind einer Organisation zugeordnet und von anderen Organisationen getrennt.
• Nutzer: eine natürliche Person mit einem Konto, die der Organisation des Kunden angehört.
• Hauptkontakt: ein Nutzer mit der Rolle Hauptkontakt. Er verwaltet die Organisation, lädt weitere Nutzer ein, exportiert die Daten und ist gegenüber ECODYNAMICS zur Erteilung von Weisungen berechtigt. Weitere Rollen sind Personal, Fachbereich und Nur lesen.
• Erfassung: ein Vorgang in der Anwendung mit Berufsfeld, Fachgebiet, Stellen und Aufgabenbündeln samt Ergebnis. Die Datenschutzerklärung nennt ihn auch „Bewertung“.
• Auftragsdaten: die personenbezogenen Daten, die ECODYNAMICS nach diesem Vertrag im Auftrag des Kunden verarbeitet. Welche das sind, legen die Abschnitte Abgrenzung und Arten der Daten und betroffene Personen sowie Anlage 1 fest.
• Unterauftragsverarbeiter: ein weiterer Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 und 4 DSGVO, den ECODYNAMICS für die Verarbeitung von Auftragsdaten einsetzt.
• Drittland: ein Staat außerhalb des Europäischen Wirtschaftsraums (EWR).
• Textform: eine lesbare Erklärung auf einem dauerhaften Datenträger im Sinne von § 126b BGB, insbesondere eine E-Mail.

4.Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand des Auftrags ist die Bereitstellung der Anwendung über das Internet, soweit ECODYNAMICS dabei Auftragsdaten verarbeitet. Die Leistung selbst beschreiben die Nutzungsbedingungen.

(2) Art der Verarbeitung: ECODYNAMICS speichert die Erfassungen und eigenen Vorlagen des Kunden, zeigt sie den Nutzern nach ihrer Rolle an, speichert das Ergebnis einer ausgeführten Erfassung samt dem Stand der Modellannahmen, liest auf Veranlassung eines Nutzers eine hochgeladene Stellenbeschreibung mit einem Sprachmodell aus, stellt die Daten zum Export bereit und löscht sie. Die Empfehlungen selbst rechnet ein regelbasiertes, offen gelegtes Bewertungsmodell im Browser des Nutzers; der Server speichert Ergebnis und Modellstand.

(3) Zweck der Verarbeitung ist allein, dem Kunden die Aufgabenanalyse und die Empfehlungen für seine eigene Organisation zu ermöglichen. ECODYNAMICS verarbeitet Auftragsdaten nicht für eigene Zwecke, nicht für Werbung und nicht zum Training von KI-Modellen und gibt sie nicht an Dritte weiter, die nicht in Anlage 3 genannt sind oder nach diesem Vertrag hinzukommen.

(4) Keine automatisierte Entscheidung: Die Anwendung gibt Empfehlungen und Schätzungen. Sie löst keine Folgehandlung aus und trifft keine Entscheidung über Beschäftigte. Ob und wie der Kunde einer Empfehlung folgt, entscheidet und verantwortet er selbst.

(5) Dauer: Die Verarbeitung beginnt mit dem Zustandekommen des Nutzungsvertrags und dauert so lange, wie ECODYNAMICS Auftragsdaten des Kunden verarbeitet. Sie endet mit der vollständigen Löschung der Auftragsdaten nach dem Abschnitt Rückgabe und Löschung.

(6) Ort: Die Auftragsdaten werden in der Datenbank in Frankfurt am Main gespeichert; die Serverfunktionen der Anwendung laufen ebenfalls in Frankfurt am Main. Wo darüber hinaus eine Verarbeitung außerhalb des EWR stattfindet oder möglich ist, regelt der Abschnitt Übermittlung in Drittländer.

5.Abgrenzung: Auftragsverarbeitung und eigene Verantwortung von ECODYNAMICS

(1) ECODYNAMICS hat gegenüber dem Kunden zwei datenschutzrechtliche Rollen. Maßgeblich ist jeweils, wer über Zweck und wesentliche Mittel einer Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Dieser Vertrag gilt nur für die Verarbeitung im Auftrag.

(2) Für die Verarbeitungen, die ECODYNAMICS als Verantwortlicher vornimmt, gilt die Datenschutzerklärung. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO begründen die Parteien nicht: Das von ECODYNAMICS gepflegte Bewertungsmodell ist ein Mittel, das der Kunde für seine eigenen Zwecke einsetzt; an den Angaben über Beschäftigte des Kunden verfolgt ECODYNAMICS kein eigenes Interesse.

5.1Was ECODYNAMICS ohne Freigabe sieht

(3) ECODYNAMICS verwaltet die Anwendung über einen eigenen Bereich. Ohne Freigabe des Kunden sieht ECODYNAMICS dort zu jeder Erfassung die vom Kunden vergebene Bezeichnung, den Stand, die Kernzahlen, den Zeitpunkt der Auswertung, die Zahl der gezählten Stellen und die Auswahl des Kunden zum Ausgang. Die Stellen und Aufgabenbündel selbst und den Freitext zum Ausgang sieht ECODYNAMICS erst nach einer Freigabe. Die Bezeichnung einer Erfassung ist ein freier Text des Kunden und immer sichtbar; der Kunde hält sie deshalb neutral und trägt dort keine Namen von Personen ein.

(4) Der Kunde weist ECODYNAMICS an, die in Absatz 3 genannten Angaben zu folgenden Zwecken zu verarbeiten: Zählen und Verwalten des Kontingents, Zuweisen von Plan und Vertragszeitraum, Unterstützung des Kunden bei Fragen und Störungen, Betrieb und Sicherheit der Anwendung. In der Verwaltungsansicht erscheinen diese Angaben je Erfassung mit dem Namen der Organisation. Unabhängig von dem Verwaltungsbereich haben wenige, namentlich berechtigte Personen bei ECODYNAMICS technischen Zugriff auf die Datenbank. Sie nutzen ihn nur, soweit Betrieb, Fehlerbehebung, Sicherheit oder eine Weisung des Kunden es erfordern.

5.2Freigabe für das Erstgespräch

(5) Fragt ein Nutzer mit der Rolle Hauptkontakt oder Personal ein Erstgespräch an, kann er die betroffene Erfassung für ECODYNAMICS freigeben. Die Freigabe gilt für die einzelne Erfassung. Mit ihr legt der Kunde ECODYNAMICS die Stellen und Aufgabenbündel dieser Erfassung und den Freitext zum Ausgang offen, damit ECODYNAMICS das Gespräch vorbereiten und führen kann. Für diesen Zweck verarbeitet ECODYNAMICS die freigegebenen Inhalte in eigener Verantwortung und ausschließlich zur Vorbereitung, Durchführung und Nachbereitung des Gesprächs. Im Übrigen bleiben die Inhalte Auftragsdaten. Unabhängig von einer Freigabe legt der Kunde ECODYNAMICS mit einer Terminanfrage zu einer Erfassung deren Bezeichnung und Kernzahlen für die Bearbeitung der Anfrage offen. Diese Angaben verarbeitet ECODYNAMICS in der Anfrage und in der zugehörigen E-Mail als Verantwortlicher; die Erfassung selbst bleibt Auftragsverarbeitung.

(6) Die Freigabe lässt sich zurücknehmen: mit einer weiteren Terminanfrage zu derselben Erfassung ohne Freigabe (es gilt die jüngste Anfrage), durch Mitteilung in Textform an ECODYNAMICS oder durch Löschen der Erfassung. Ohne Freigabe antwortet die Anwendung auf einen Abruf der Inhalte durch ECODYNAMICS wie bei einer Erfassung, die es nicht gibt.

5.3Zusammengefasste Kennzahlen

(7) Der Kunde weist ECODYNAMICS an, aus den Kennwerten der Erfassungen und der Auswahl zum Ausgang zusammengefasste Angaben zu bilden, die keinen Rückschluss auf den Kunden oder auf eine natürliche Person zulassen. Solche Angaben ohne Personenbezug darf ECODYNAMICS verwenden, um das Bewertungsmodell und die Anwendung zu verbessern. Freie Texte des Kunden (Bezeichnung einer Erfassung, Freitext zum Ausgang, eigene Vorlagen) und die Inhalte hochgeladener Dateien gehen in solche Zusammenfassungen nicht ein. Die Anonymisierung ist die letzte Verarbeitung im Auftrag; die Einzelangaben nutzt ECODYNAMICS nicht für eigene Zwecke.

6.Arten personenbezogener Daten und Kategorien betroffener Personen

(1) Die Anwendung ist darauf angelegt, ohne Angaben zu bestimmten Personen auszukommen. Auftragsdaten entstehen nur, soweit sich die folgenden Angaben im Einzelfall einer natürlichen Person zuordnen lassen:

• Angaben zur Stelle: Bezeichnung der Erfassung, Berufsfeld, Fachgebiet, Bezeichnung und Anzahl der Stellen, Kapazität, Einzelstelle oder Team.
• Angaben zur Tätigkeit: Aufgabenbündel mit Zeitanteilen und den Einschätzungen, die das Bewertungsmodell abfragt.
• Ergebnis: Empfehlung je Aufgabenbündel, Stelle und Team, zusammengefasste Kennwerte, der Stand der Modellannahmen bei der Auswertung.
• Rückmeldung zum Ausgang: die Auswahl des Kunden und sein freier Text dazu.
• Eigene Vorlagen: selbst angelegte oder umbenannte Fachgebiete und Aufgabenbündel der Organisation.
• Hochgeladene Stellenbeschreibungen: der Text des Dokuments, bei gescannten PDF ohne Textschicht die Datei mit ihren Seiten (höchstens 20), also auch Logos, Unterschriften, Stempel und handschriftliche Vermerke; außerdem der Name der Datei als Quellenangabe und wörtliche Belegzitate von bis zu 200 Zeichen, sobald der Nutzer einen Vorschlag übernimmt.
• Freie Texte im Übrigen: alles, was Nutzer in Bezeichnungen und Anmerkungen eintragen.

(2) Kategorien betroffener Personen sind Beschäftigte des Kunden, soweit sich eine Stelle ihnen zuordnen lässt (insbesondere Inhaber einer Einzelstelle und Mitglieder kleiner Teams), sowie Personen, die in freien Texten oder in hochgeladenen Dokumenten genannt sind, etwa Vorgesetzte, Ansprechpartner, Bewerber oder Unterzeichner.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO), Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) sowie Angaben zu Leistung, Verhalten, Gesundheit oder Vergütung einzelner Beschäftigter sind nicht Gegenstand des Auftrags. Die Anwendung fragt sie nicht ab. Der Kunde gibt solche Daten weder ein noch lädt er sie hoch; Näheres regelt der Abschnitt Pflichten des Kunden.

(4) Keine Auftragsdaten sind die Daten der Nutzer selbst (Name, E-Mail-Adresse, Funktion, Telefonnummer, Rolle, Zeitpunkte, IP-Adresse) und die Daten aus Anfragen an ECODYNAMICS. Diese verarbeitet ECODYNAMICS als Verantwortlicher. Das gilt auch für den Verweis auf die anlegende Person, den jede Erfassung trägt.

7.Weisungen des Kunden

(1) ECODYNAMICS verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Das gilt auch für die Übermittlung von Auftragsdaten in ein Drittland oder an eine internationale Organisation.

(2) Die Weisungen des Kunden sind dokumentiert durch

• diesen Vertrag samt Anlagen und die Nutzungsbedingungen, die den Umfang der Leistung festlegen;
• die Bedienung der Anwendung durch die Nutzer des Kunden: Jede Eingabe, jedes Speichern, Ausführen, Hochladen, Freigeben, Exportieren und Löschen ist eine Weisung, die die Anwendung unmittelbar ausführt;
• Einzelweisungen, die ein Hauptkontakt des Kunden in Textform an ECODYNAMICS richtet.

(3) Einzelweisungen sendet der Kunde an info@ecodynamics.de, möglichst von der Adresse eines Hauptkontakts. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform. Bestehen begründete Zweifel, ob eine Weisung vom Kunden stammt oder ob die erklärende Person berechtigt ist, darf ECODYNAMICS die Ausführung zurückstellen, bis ein Hauptkontakt sie bestätigt hat. ECODYNAMICS bewahrt Einzelweisungen für die Dauer dieses Vertrags auf.

(4) Weisungen bewegen sich im Rahmen der vereinbarten Leistung. Verlangt der Kunde eine Verarbeitung, die über den Funktionsumfang der Anwendung hinausgeht, teilt ECODYNAMICS ihm mit, ob und zu welchen Bedingungen sie sich umsetzen lässt. Weisungen, die allein die Löschung, Berichtigung, Herausgabe oder Einschränkung von Auftragsdaten betreffen, führt ECODYNAMICS stets aus, soweit das technisch möglich ist und kein Gesetz entgegensteht.

(5) Ist ECODYNAMICS nach dem Recht der Union oder eines Mitgliedstaats, dem ECODYNAMICS unterliegt, zu einer Verarbeitung von Auftragsdaten verpflichtet, die von den Weisungen abweicht, teilt ECODYNAMICS dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(6) Hinweispflicht: Ist ECODYNAMICS der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert ECODYNAMICS den Kunden unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO). ECODYNAMICS darf die Ausführung einer solchen Einzelweisung aussetzen, bis der Kunde sie in Textform bestätigt oder ändert. Eine Pflicht, Weisungen umfassend rechtlich zu prüfen, übernimmt ECODYNAMICS damit nicht; die Verantwortung für die Rechtmäßigkeit der Verarbeitung bleibt beim Kunden.

8.Vertraulichkeit

(1) ECODYNAMICS gewährt nur den Personen Zugang zu Auftragsdaten, die ihn für die Durchführung, Verwaltung und Überwachung dieses Vertrags benötigen. Der Kreis ist auf das Erforderliche beschränkt.

(2) ECODYNAMICS stellt sicher, dass sich die zur Verarbeitung der Auftragsdaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Die Verpflichtung besteht nach dem Ende der Tätigkeit und nach dem Ende dieses Vertrags fort.

(3) Die befugten Personen verarbeiten Auftragsdaten nur nach den Weisungen des Kunden, es sei denn, sie sind nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet (Art. 29, Art. 32 Abs. 4 DSGVO). ECODYNAMICS macht sie mit den für sie maßgeblichen Vorgaben des Datenschutzes und dieses Vertrags vertraut.

(4) Verlangt eine Behörde oder ein Gericht von ECODYNAMICS die Herausgabe von Auftragsdaten, unterrichtet ECODYNAMICS den Kunden unverzüglich, soweit das rechtlich zulässig ist, und verweist die anfragende Stelle an den Kunden. ECODYNAMICS gibt nur heraus, wozu eine rechtliche Pflicht besteht.

9.Sicherheit der Verarbeitung: technische und organisatorische Maßnahmen

(1) ECODYNAMICS trifft die technischen und organisatorischen Maßnahmen, die nach Art. 32 DSGVO erforderlich sind, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 28 Abs. 3 Satz 2 lit. c DSGVO). Dabei berücksichtigt ECODYNAMICS den Stand der Technik, die Kosten der Umsetzung, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Risiken für die Rechte und Freiheiten der betroffenen Personen.

(2) Die bei Abschluss dieses Vertrags umgesetzten Maßnahmen beschreibt Anlage 2. Sie nennt nur, was tatsächlich umgesetzt ist, trennt eigene Maßnahmen von den Angaben der eingesetzten Anbieter und benennt auch, was derzeit nicht umgesetzt ist.

(3) Technik und Bedrohungslage ändern sich. ECODYNAMICS darf die Maßnahmen deshalb anpassen und durch gleichwertige oder bessere ersetzen. Das Schutzniveau der Anlage 2 darf dabei insgesamt nicht unterschritten werden. Wesentliche Änderungen trägt ECODYNAMICS in Anlage 2 nach und nennt dort den Stand.

(4) Der Kunde hat die Maßnahmen der Anlage 2 vor Beginn der Verarbeitung zur Kenntnis genommen und prüft in eigener Verantwortung, ob sie für die Risiken der von ihm vorgesehenen Verarbeitung ausreichen. Hält er zusätzliche Maßnahmen für nötig, teilt er das ECODYNAMICS mit; die Parteien stimmen sich dann über Umsetzung und Kosten ab.

(5) Den wirksamsten Schutz bietet die Datensparsamkeit, die in der Hand des Kunden liegt: Die Anwendung braucht keine Namen. Wer Bezeichnungen neutral hält und Stellenbeschreibungen vor dem Hochladen von Angaben zu Personen befreit, vermeidet Auftragsdaten weitgehend.

10.Unterauftragsverarbeiter

(1) Allgemeine Genehmigung: Der Kunde erteilt ECODYNAMICS die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 Satz 1 DSGVO). Die bei Abschluss dieses Vertrags eingesetzten Unterauftragsverarbeiter nennt Anlage 3 mit Firmierung, Anschrift, Leistung, Ort der Verarbeitung und Garantie für eine Übermittlung in Drittländer. Sie gelten mit Abschluss dieses Vertrags als genehmigt.

(2) Kein Unterauftragsverhältnis liegt vor, wenn ECODYNAMICS Leistungen Dritter in Anspruch nimmt, bei denen Auftragsdaten nicht verarbeitet werden, etwa die Registrierung der Domain, die Namensauflösung oder die Ablage des Quelltexts. Diese Anbieter nennt Anlage 3 zur Klarstellung gesondert.

10.1Hinzuziehen oder Ersetzen: Information und Einspruch

(3) Beabsichtigt ECODYNAMICS, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert ECODYNAMICS den Kunden mindestens 30 Tage vor Beginn der Verarbeitung durch den neuen Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Die Information geht per E-Mail an die Hauptkontakte der Organisation und nennt Firmierung, Anschrift, Leistung, Ort der Verarbeitung und, bei einem Drittland, die Garantie. Zugleich ergänzt ECODYNAMICS Anlage 3.

(4) Der Kunde kann der Änderung bis zum Ablauf der Frist in Textform widersprechen. Der Einspruch soll die Gründe nennen, damit ECODYNAMICS ihnen abhelfen kann. Widerspricht der Kunde nicht, gilt der neue Unterauftragsverarbeiter mit Ablauf der Frist als genehmigt; darauf weist ECODYNAMICS in der Information hin.

(5) Widerspricht der Kunde, bemühen sich die Parteien um eine Lösung, etwa durch zusätzliche Schutzmaßnahmen oder den Verzicht auf die betroffene Funktion. Findet sich innerhalb von 30 Tagen nach Zugang des Einspruchs keine Lösung, darf jede Partei den Nutzungsvertrag in Textform zu dem Zeitpunkt kündigen, zu dem der neue Unterauftragsverarbeiter eingesetzt wird. Bis dahin verarbeitet ECODYNAMICS die Auftragsdaten des Kunden nicht über den neuen Unterauftragsverarbeiter, soweit sich das technisch trennen lässt. Im Fall einer solchen Kündigung erstattet ECODYNAMICS dem Kunden die im Voraus gezahlte Vergütung anteilig für die Zeit nach dem Vertragsende. Weitere Ansprüche wegen der Kündigung bestehen nicht.

(6) Muss ECODYNAMICS einen Unterauftragsverarbeiter aus einem dringenden Grund kurzfristig ersetzen, etwa weil er ausfällt, die Leistung einstellt oder ein Sicherheitsrisiko besteht, darf ECODYNAMICS die Frist des Absatzes 3 auf das den Umständen nach Mögliche verkürzen. ECODYNAMICS informiert den Kunden vor dem Einsatz, begründet die Eile und nennt den Zeitpunkt des Wechsels. Der Kunde kann sofort widersprechen; widerspricht er, darf er den Nutzungsvertrag ohne Frist zum Zeitpunkt des Wechsels kündigen und erhält die im Voraus gezahlte Vergütung anteilig zurück. Im Übrigen gelten die Absätze 4 und 5 mit einer Einspruchsfrist von 30 Tagen ab der Information.

10.2Vertragskette und Verantwortung

(7) ECODYNAMICS erlegt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, die nach diesem Vertrag für ECODYNAMICS gelten, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 Satz 1 DSGVO). Die Verträge bestehen in Form der Auftragsverarbeitungsbedingungen der jeweiligen Anbieter. Diese Bedingungen sind vorformuliert und für ECODYNAMICS nicht verhandelbar; sie weichen in Einzelheiten von diesem Vertrag ab, etwa bei Fristen für Mitteilungen und bei der Ausgestaltung von Prüfungen. Die für den Kunden wesentlichen Abweichungen nennt Anlage 3.

(8) Auf Anfrage stellt ECODYNAMICS dem Kunden eine Kopie der Vereinbarung mit einem Unterauftragsverarbeiter und späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen nötig ist, darf ECODYNAMICS den Text vorher schwärzen. Die Bedingungen der in Anlage 3 genannten Anbieter sind öffentlich abrufbar; die Fundstellen stehen dort.

(9) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet ECODYNAMICS dem Kunden für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters (Art. 28 Abs. 4 Satz 2 DSGVO). ECODYNAMICS unterrichtet den Kunden, wenn ein Unterauftragsverarbeiter seine vertraglichen Pflichten in einer Weise verletzt, die Auftragsdaten des Kunden betrifft.

(10) Die in Anlage 3 genannten Unterauftragsverarbeiter setzen ihrerseits weitere Auftragsverarbeiter ein, vor allem Betreiber von Rechenzentren. Die allgemeine Genehmigung nach Absatz 1 erfasst auch diese. Die Anbieter veröffentlichen ihre Listen auf ihren Websites und kündigen Änderungen nach ihren eigenen Bedingungen an, zum Teil mit kürzeren Fristen als 30 Tagen. ECODYNAMICS verfolgt diese Ankündigungen und informiert den Kunden unverzüglich über Änderungen, die für die Auftragsdaten wesentlich sind, insbesondere über einen neuen Ort der Speicherung außerhalb des EWR. Für solche Änderungen gelten die Absätze 4 und 5 entsprechend.

11.Übermittlung in Drittländer

(1) ECODYNAMICS übermittelt Auftragsdaten nur dann in ein Drittland, wenn der Kunde das angewiesen hat oder das Recht der Union oder eines Mitgliedstaats es verlangt, und nur unter Einhaltung der Art. 44 bis 49 DSGVO.

(2) Die Auftragsdaten sind in Frankfurt am Main gespeichert. Mit Abschluss dieses Vertrags weist der Kunde ECODYNAMICS an, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen, und stimmt den dort beschriebenen Verarbeitungen außerhalb des EWR zu. Im Einzelnen:

• KI-Auslesen (Anthropic): Lädt ein Nutzer eine Stellenbeschreibung hoch, werden deren Text oder, bei gescannten PDF ohne oder mit nur wenig auslesbarem Text, die vollständige Datei samt ihren Dokumenteigenschaften sowie der Katalog der Berufsfelder, Fachgebiete und Aufgabenbündel einschließlich der von der Organisation des Kunden selbst angelegten an Anthropic übermittelt und in den USA und gegebenenfalls an weiteren Standorten des Anbieters und seiner Unterauftragsverarbeiter verarbeitet. Diese Übermittlung findet nur statt, wenn ein Nutzer die Funktion auslöst. Vertragspartner für Kunden im EWR ist nach den Bedingungen des Anbieters die Anthropic Ireland, Limited; sie setzt für die Verarbeitung die Anthropic PBC in den USA und weitere Unterauftragsverarbeiter ein. Diese Weitergabe in ein Drittland sichert Anthropic nach seinen Auftragsverarbeitungsbedingungen über die Standardvertragsklauseln der Kommission ab (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO); soweit ECODYNAMICS selbst unmittelbar an eine Gesellschaft außerhalb des EWR übermittelt, gelten diese Klauseln zwischen ECODYNAMICS und dem Anbieter (Modul 3 für Auftragsdaten). Eine Zertifizierung von Anthropic unter dem EU-U.S. Data Privacy Framework legt ECODYNAMICS nicht zugrunde.
• Hosting (Vercel): Die Serverfunktionen laufen in Frankfurt am Main. Vertragspartner ist eine Gesellschaft in den USA; die Auslieferung über ein weltweites Netz und der Zugriff des Anbieters können eine Verarbeitung in den USA bedeuten. Vercel ist nach eigenen Angaben unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der Kommission, Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln.
• Datenbank (Supabase): Die Daten liegen in Frankfurt am Main. Vertragspartner ist eine Gesellschaft in Singapur, für das kein Angemessenheitsbeschluss besteht; ein Zugriff des Anbieters aus Drittländern zu Wartung und Unterstützung ist möglich und über die Standardvertragsklauseln abgesichert.
• E-Mail-Versand (Resend): Die E-Mails der Anwendung enthalten keine Auftragsdaten; zur E-Mail einer Terminanfrage siehe den Abschnitt Freigabe für das Erstgespräch und Anlage 3. Resend verarbeitet Versanddaten in den USA, ist nach eigenen Angaben unter dem EU-U.S. Data Privacy Framework zertifiziert und hat ergänzend die Standardvertragsklauseln vereinbart.

(3) Der Angemessenheitsbeschluss für die USA gilt nur für zertifizierte Unternehmen. Das Gericht der Europäischen Union hat eine Klage gegen den Beschluss am 3. September 2025 abgewiesen (Rechtssache T-553/23); nach dem Kenntnisstand von ECODYNAMICS ist dagegen ein Rechtsmittel beim Gerichtshof anhängig (Rechtssache C-703/25 P). Der Beschluss ist anwendbar, solange er nicht aufgehoben ist. ECODYNAMICS stützt Übermittlungen in die USA deshalb, wo der Anbieter es vorsieht, zusätzlich auf Standardvertragsklauseln. Entfällt eine Garantie, stellt ECODYNAMICS die betroffene Übermittlung auf eine andere Garantie nach Kapitel V DSGVO um oder beendet sie und informiert den Kunden.

(4) Ergänzende Maßnahmen bei der Übermittlung an Anthropic sind: Übermittlung nur auf Veranlassung eines Nutzers; keine Übermittlung von Name, E-Mail-Adresse, Nutzerkennung, Organisationskennung, IP-Adresse oder Dateiname; Kürzung des Texts auf höchstens 60 000 Zeichen; gescannte PDF gehen nur bis 20 Seiten als Datei hinaus, längere werden nicht als Datei übermittelt; Verschlüsselung beim Transport; keine Speicherung der Datei bei ECODYNAMICS. Die Aufbewahrung beim Anbieter nennt Anlage 3 als Angabe des Anbieters.

(5) Der Kunde beurteilt als Verantwortlicher, ob die Übermittlung für seine Daten zulässig ist. ECODYNAMICS stellt ihm dafür auf Anfrage die Angaben zur Verfügung, die ECODYNAMICS selbst vorliegen: die Bedingungen der Anbieter mit den Standardvertragsklauseln, deren veröffentlichte Angaben zu Sicherheit und Behördenanfragen und die Beschreibung der Datenflüsse in diesem Vertrag. Eine neue Übermittlung in ein Drittland, die über Anlage 3 hinausgeht, behandelt ECODYNAMICS wie das Hinzuziehen eines Unterauftragsverarbeiters nach dem Abschnitt Unterauftragsverarbeiter.

12.Unterstützung bei den Rechten betroffener Personen

(1) Für die Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO (Art. 12 bis 22) ist der Kunde zuständig. ECODYNAMICS unterstützt ihn dabei nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO).

(2) Wendet sich eine betroffene Person wegen Auftragsdaten unmittelbar an ECODYNAMICS, leitet ECODYNAMICS den Antrag unverzüglich an die Hauptkontakte des Kunden weiter, sofern sich der Kunde aus dem Antrag ermitteln lässt. ECODYNAMICS beantwortet den Antrag nicht selbst, es sei denn, der Kunde hat dazu in Textform angewiesen. Der betroffenen Person teilt ECODYNAMICS mit, dass der Antrag weitergeleitet wurde.

(3) Die meisten Anträge kann der Kunde mit den Funktionen der Anwendung selbst erfüllen:

• Auskunft und Kopie (Art. 15 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO): Der Hauptkontakt lädt alle Daten der Organisation als JSON-Datei herunter: Organisation und Plan, Mitglieder, alle Erfassungen mit Inhalt, Ergebnis, Rückmeldung zum Ausgang und Modellstand, eigene Vorlagen sowie Termin- und Plananfragen. Alle Mitglieder sehen die Erfassungen der Organisation in der Anwendung.
• Berichtigung (Art. 16 DSGVO): Nutzer mit den Rollen Hauptkontakt, Personal und Fachbereich ändern Erfassungen; eine bereits ausgewertete Erfassung wird dadurch wieder zu einer Erfassung in Bearbeitung und lässt sich neu ausführen.
• Löschung (Art. 17 DSGVO): Nutzer mit den Rollen Hauptkontakt und Personal löschen einzelne Erfassungen. Die Löschung wirkt sofort in der Datenbank.
• Einschränkung (Art. 18 DSGVO) und Widerspruch (Art. 21 DSGVO): Eine eigene Sperrfunktion je Erfassung hat die Anwendung nicht. Der Kunde kann die Erfassung exportieren und löschen oder ECODYNAMICS in Textform anweisen, was mit ihr geschehen soll.

(4) Reichen die Funktionen der Anwendung nicht aus, unterstützt ECODYNAMICS den Kunden auf Anforderung in Textform, etwa indem ECODYNAMICS Daten heraussucht, berichtigt oder löscht. ECODYNAMICS antwortet darauf so rechtzeitig, dass der Kunde die Frist des Art. 12 Abs. 3 DSGVO einhalten kann, in der Regel innerhalb von zehn Werktagen.

(5) Betrifft ein Antrag Daten, die ECODYNAMICS als Verantwortlicher verarbeitet (etwa das Konto eines Nutzers oder Einträge im Audit-Log), beantwortet ECODYNAMICS ihn selbst nach der Datenschutzerklärung.

13.Unterstützung bei Sicherheit, Folgenabschätzung und Konsultation

(1) ECODYNAMICS unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ECODYNAMICS zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).

(2) Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Ob eine Folgenabschätzung nötig ist, beurteilt der Kunde. ECODYNAMICS empfiehlt, das vor dem Einsatz für Einzelstellen oder kleine Teams zu prüfen, weil dort Angaben zu bestimmbaren Beschäftigten bewertet und für die Personalplanung herangezogen werden können. Die Angaben, die der Kunde dafür von ECODYNAMICS braucht, stehen in diesem Vertrag und seinen Anlagen: Beschreibung der Verarbeitung und der Datenflüsse, Maßnahmen, Unterauftragsverarbeiter, Orte und Löschfristen. Die Logik des Bewertungsmodells ist in der Anwendung offen gelegt. Weitere Auskünfte erteilt ECODYNAMICS auf Anfrage.

(3) Vorherige Konsultation (Art. 36 DSGVO): Konsultiert der Kunde die Aufsichtsbehörde, stellt ECODYNAMICS ihm die dafür nötigen Informationen über die Verarbeitung bereit und beantwortet Rückfragen der Behörde, die die Anwendung betreffen.

(4) Richtigkeit und Aktualität: Stellt ECODYNAMICS fest, dass Auftragsdaten unrichtig oder veraltet sind, teilt ECODYNAMICS das dem Kunden mit. Eine Pflicht, die Inhalte des Kunden zu prüfen, folgt daraus nicht.

(5) Anfragen von Aufsichtsbehörden: Wendet sich eine Aufsichtsbehörde wegen der Auftragsverarbeitung an ECODYNAMICS, unterrichtet ECODYNAMICS den Kunden unverzüglich, soweit das zulässig ist, und arbeitet mit der Behörde zusammen (Art. 31 DSGVO).

(6) Verzeichnis: ECODYNAMICS führt ein Verzeichnis der im Auftrag durchgeführten Tätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt dem Kunden die Angaben bereit, die er für sein eigenes Verzeichnis nach Art. 30 Abs. 1 DSGVO benötigt.

14.Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Wird ECODYNAMICS eine Verletzung des Schutzes von Auftragsdaten bekannt (Art. 4 Nr. 12 DSGVO), meldet ECODYNAMICS sie dem Kunden unverzüglich, in der Regel innerhalb von 48 Stunden, nachdem ECODYNAMICS Kenntnis erlangt hat (Art. 33 Abs. 2 DSGVO). Das gilt auch, wenn die Verletzung bei einem Unterauftragsverarbeiter eingetreten ist; maßgeblich ist dann der Zeitpunkt, in dem ECODYNAMICS von ihm unterrichtet wird.

(2) Die Meldung geht per E-Mail an die Hauptkontakte der Organisation. Der Kunde sorgt dafür, dass mindestens ein Hauptkontakt mit erreichbarer E-Mail-Adresse besteht. Die Meldung enthält, soweit bekannt, mindestens die Angaben, die der Kunde für seine eigene Meldung nach Art. 33 Abs. 3 DSGVO braucht:

• eine Beschreibung der Art der Verletzung, möglichst mit den Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen Datensätze;
• Namen und Kontaktdaten der Stelle bei ECODYNAMICS, die weitere Auskünfte erteilt;
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• eine Beschreibung der Maßnahmen, die ECODYNAMICS ergriffen hat oder vorschlägt, um die Verletzung zu beheben und ihre nachteiligen Auswirkungen abzumildern;
• den Zeitpunkt oder Zeitraum der Verletzung und den Zeitpunkt, in dem ECODYNAMICS davon erfahren hat.

(3) Liegen nicht alle Angaben zugleich vor, meldet ECODYNAMICS zunächst, was bekannt ist, und reicht die übrigen Angaben ohne unangemessene weitere Verzögerung nach (Art. 33 Abs. 4 DSGVO).

(4) ECODYNAMICS ergreift unverzüglich die Maßnahmen, die nötig sind, um die Verletzung einzudämmen und die Daten zu sichern, klärt die Ursache auf, dokumentiert den Vorfall und unterstützt den Kunden bei seinen Pflichten nach Art. 33 und 34 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Kunden. ECODYNAMICS nimmt sie für den Kunden nur auf dessen Weisung in Textform vor.

(5) Eine Meldung nach diesem Abschnitt ist kein Anerkenntnis eines Verschuldens oder einer Haftung. Verletzungen, die allein Daten betreffen, für die ECODYNAMICS Verantwortlicher ist, behandelt ECODYNAMICS selbst nach Art. 33 und 34 DSGVO; betreffen sie Nutzer des Kunden, informiert ECODYNAMICS auch den Kunden.

15.Nachweise und Kontrollrechte

(1) ECODYNAMICS stellt dem Kunden alle Informationen zur Verfügung, die er braucht, um die Einhaltung der in Art. 28 DSGVO und in diesem Vertrag niedergelegten Pflichten nachzuweisen, und ermöglicht Überprüfungen einschließlich Inspektionen, die der Kunde oder ein von ihm beauftragter Prüfer durchführt, und trägt dazu bei (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

(2) Die Kontrolle ist gestuft. Zunächst erbringt ECODYNAMICS den Nachweis durch Unterlagen:

• die Beschreibung der Maßnahmen in Anlage 2 in der jeweils aktuellen Fassung;
• schriftliche Antworten auf Fragen des Kunden zur Verarbeitung, auch in Form eines vom Kunden gestellten Fragebogens angemessenen Umfangs, einmal je Vertragsjahr und zusätzlich bei jedem Anlass nach Absatz 3;
• die Auftragsverarbeitungsbedingungen der Unterauftragsverarbeiter und deren Zertifikate, Prüfberichte und Sicherheitsbeschreibungen, soweit die Anbieter sie ECODYNAMICS zur Weitergabe zur Verfügung stellen;
• auf Wunsch eine Vorführung der in Anlage 2 beschriebenen Maßnahmen an der laufenden Anwendung per Videokonferenz.

(3) Eine Inspektion bei ECODYNAMICS, vor Ort oder aus der Ferne, kann der Kunde verlangen, wenn die Unterlagen nach Absatz 2 die Einhaltung dieses Vertrags aus nachvollziehbaren Gründen nicht ausreichend belegen oder wenn ein Anlass besteht. Ein Anlass liegt insbesondere vor, wenn eine Verletzung des Schutzes von Auftragsdaten des Kunden eingetreten ist, wenn begründete Anhaltspunkte für einen Verstoß gegen diesen Vertrag bestehen oder wenn eine Aufsichtsbehörde die Prüfung verlangt.

(4) Der Kunde kündigt eine Inspektion mindestens 30 Tage vorher in Textform an und nennt Gegenstand, Zeitraum und Prüfer; bei einem dringenden Anlass oder einer Frist der Aufsichtsbehörde genügt eine den Umständen angemessene kürzere Frist. Die Inspektion findet zu den üblichen Geschäftszeiten statt und stört den Betrieb nicht mehr als nötig. Der Kunde und seine Prüfer wahren die Vertraulichkeit; ECODYNAMICS darf die Unterzeichnung einer angemessenen Vertraulichkeitsvereinbarung verlangen. Einen Prüfer, der mit ECODYNAMICS im Wettbewerb steht, darf ECODYNAMICS ablehnen; der Kunde benennt dann einen anderen. Einblick in Daten anderer Kunden und in Geheimnisse wie Schlüssel und Zugangsdaten erhält der Kunde nicht.

(5) ECODYNAMICS betreibt keine eigenen Rechenzentren. Die Auftragsdaten liegen bei den Unterauftragsverarbeitern der Anlage 3. Eine Prüfung in deren Räumen richtet sich nach deren Bedingungen, die in der Regel Prüfberichte und Zertifikate an die Stelle eigener Begehungen setzen. Auf Verlangen des Kunden übt ECODYNAMICS die Prüfrechte, die ECODYNAMICS gegenüber einem Unterauftragsverarbeiter zustehen, im Interesse des Kunden aus und gibt die Ergebnisse weiter.

(6) Kosten: Die Nachweise nach Absatz 2 sind mit der Vergütung des Nutzungsvertrags abgegolten, im Trial sind sie kostenlos. Bei einer Inspektion trägt jede Partei ihre eigenen Kosten; die Kosten eines beauftragten Prüfers trägt der Kunde. Übersteigt der Aufwand von ECODYNAMICS für Inspektionen einen Arbeitstag je Vertragsjahr, darf ECODYNAMICS für den darüber hinausgehenden Aufwand eine angemessene Vergütung nach Zeitaufwand verlangen, deren Stundensatz ECODYNAMICS dem Kunden vor der Inspektion in Textform mitteilt. Eine Vergütung fällt nicht an, wenn die Inspektion einen nicht nur unerheblichen Verstoß von ECODYNAMICS gegen diesen Vertrag oder gegen die DSGVO ergibt oder wenn eine Verletzung des Schutzes von Auftragsdaten den Anlass gegeben hat, die ECODYNAMICS oder ein Unterauftragsverarbeiter zu vertreten hat. Die Kostenregel schränkt das Kontrollrecht des Kunden nicht ein.

(7) Stellt der Kunde bei einer Kontrolle Mängel fest, teilt er sie ECODYNAMICS mit. ECODYNAMICS behebt Verstöße gegen diesen Vertrag unverzüglich und berichtet dem Kunden darüber. Die Befugnisse der Aufsichtsbehörden nach Art. 58 DSGVO bleiben unberührt; ECODYNAMICS gewährt ihnen die Einsicht und den Zugang, den das Gesetz vorsieht.

16.Rückgabe und Löschung nach Ende der Verarbeitung

(1) Nach Abschluss der Verarbeitungsleistungen löscht ECODYNAMICS nach Wahl des Kunden alle Auftragsdaten oder gibt sie ihm zurück und löscht die vorhandenen Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO).

(2) Rückgabe: Die Rückgabe geschieht über den Datenexport. Der Hauptkontakt kann die Daten der Organisation jederzeit als JSON-Datei herunterladen, auch nach Ablauf des Vertragszeitraums und bei gesperrter Organisation, solange die Organisation besteht. Die Datei enthält alle Erfassungen mit Inhalt, Ergebnis, Rückmeldung zum Ausgang und Modellstand sowie die eigenen Vorlagen. Der Kunde ist dafür verantwortlich, den Export rechtzeitig vor der Löschung abzurufen. Hochgeladene Dateien lassen sich nicht zurückgeben, weil ECODYNAMICS sie nicht speichert.

(3) Löschung während der Laufzeit: Der Kunde kann Auftragsdaten jederzeit selbst löschen. Einzelne Erfassungen löschen Nutzer mit den Rollen Hauptkontakt und Personal. Die Organisation samt allen Erfassungen, Vorlagen, Einladungen, Termin- und Plananfragen wird gelöscht, wenn ihr einziges Mitglied sein Konto löscht und das mit seinem Passwort und dem Namen der Organisation bestätigt. Eine Organisation mit mehreren Nutzern löscht ECODYNAMICS auf Weisung eines Hauptkontakts in Textform.

(4) Löschung nach Vertragsende: Endet der Vertragszeitraum oder läuft das Trial ab, ohne dass verlängert wird, bleiben die Erfassungen zunächst lesbar und exportierbar. Danach gilt das folgende Löschkonzept, das ein täglicher Löschlauf ausführt:

(5) Verlangt der Kunde nach Vertragsende eine frühere Löschung, weist ein Hauptkontakt ECODYNAMICS in Textform an; ECODYNAMICS löscht dann unverzüglich, spätestens innerhalb von 30 Tagen. Auf Wunsch bestätigt ECODYNAMICS die Löschung in Textform.

(6) Was nach der Löschung bleibt: Einträge im Audit-Log bestehen bis zum Ablauf ihrer eigenen Frist von zwölf Monaten fort. Sie enthalten keine Inhalte von Erfassungen, aber die E-Mail-Adresse und die IP-Adresse der handelnden Person und bei einer gelöschten Organisation deren Namen. Diese Daten verarbeitet ECODYNAMICS als Verantwortlicher zur Nachvollziehbarkeit und Sicherheit. Geschäftliche Korrespondenz und Rechnungen bewahrt ECODYNAMICS außerhalb der Anwendung nach den gesetzlichen Fristen auf (§ 257 HGB, § 147 AO).

(7) Besteht für Auftragsdaten ausnahmsweise eine gesetzliche Pflicht zur Speicherung, teilt ECODYNAMICS das dem Kunden mit, sperrt die Daten für jede andere Verwendung und löscht sie, sobald die Pflicht endet. Bis zur Löschung gelten die Pflichten dieses Vertrags fort.

17.Pflichten des Kunden

(1) Der Kunde ist im Verhältnis der Parteien allein dafür verantwortlich, dass die Verarbeitung der Auftragsdaten rechtmäßig ist und die Rechte der betroffenen Personen gewahrt werden (Art. 5 Abs. 2, Art. 24 DSGVO). Dazu gehört insbesondere:

• Rechtsgrundlage: Der Kunde stellt sicher, dass für die Verarbeitung von Angaben, die sich einzelnen Beschäftigten zuordnen lassen, eine Rechtsgrundlage besteht.
• Information: Der Kunde informiert die betroffenen Beschäftigten nach Art. 13 und 14 DSGVO, soweit das erforderlich ist, auch über den Einsatz von ECODYNAMICS und der Unterauftragsverarbeiter.
• Arbeitnehmervertretung: Der Kunde prüft, ob eine bestehende Arbeitnehmervertretung zu beteiligen ist, und beteiligt sie gegebenenfalls. ECODYNAMICS empfiehlt, dabei insbesondere § 87 Abs. 1 Nr. 6, §§ 90, 92, 92a und 111 sowie § 80 Abs. 3 des Betriebsverfassungsgesetzes in den Blick zu nehmen.
• Folgenabschätzung: Der Kunde prüft, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen ist.
• Eigene Entscheidung: Der Kunde stützt personelle Maßnahmen nicht allein auf die Empfehlungen der Anwendung, sondern auf eine eigene, inhaltliche Prüfung durch entscheidungsbefugte Menschen (Art. 22 DSGVO).

(2) Datensparsamkeit: Der Kunde trägt keine Namen von Beschäftigten oder anderen Personen in Bezeichnungen, eigene Vorlagen und freie Texte ein. Vor dem Hochladen einer Stellenbeschreibung entfernt er Namen, Kontaktdaten, Personalnummern, Gehaltsangaben einzelner Personen und alles, was sich auf bestimmte Beschäftigte oder Bewerber bezieht, bei gescannten Seiten auch Unterschriften, Stempel und handschriftliche Vermerke. Er benennt die Datei neutral, weil der Dateiname als Quellenangabe in der Erfassung gespeichert wird.

(3) Keine besonderen Kategorien: Der Kunde gibt keine Daten nach Art. 9 Abs. 1 und Art. 10 DSGVO ein und lädt keine solchen Daten hoch.

(4) Zugänge und Rollen: Der Kunde vergibt die Rollen in seiner Organisation nach dem Grundsatz der Erforderlichkeit, entfernt Nutzer, die keinen Zugriff mehr brauchen, sorgt für die Geheimhaltung der Zugangsdaten und hält mindestens einen Hauptkontakt mit erreichbarer E-Mail-Adresse vor. An diese Adresse richtet ECODYNAMICS die Mitteilungen nach diesem Vertrag.

(5) Mitteilungen: Der Kunde informiert ECODYNAMICS unverzüglich, wenn er bei der Verarbeitung Fehler oder Unregelmäßigkeiten feststellt, wenn Dritte Zugang zu einem Konto erlangt haben könnten oder wenn eine Datei mit personenbezogenen Daten hochgeladen wurde, die nicht hätte hochgeladen werden sollen. ECODYNAMICS prüft dann, was sich bei ECODYNAMICS und beim Anbieter veranlassen lässt.

18.Haftung und Vergütung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Diese Haftung lässt sich durch Vertrag nicht beschränken, und dieser Vertrag beschränkt sie nicht. ECODYNAMICS haftet danach als Auftragsverarbeiter für einen Schaden nur, wenn ECODYNAMICS den speziell den Auftragsverarbeitern auferlegten Pflichten der DSGVO nicht nachgekommen ist oder die rechtmäßig erteilten Weisungen des Kunden nicht beachtet oder gegen sie gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO).

(2) Ausgleich im Innenverhältnis: Hat eine Partei einer betroffenen Person vollen Schadenersatz geleistet, kann sie von der anderen Partei den Teil zurückfordern, der deren Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO).

(3) Zwischen den Parteien gelten für Ansprüche aus oder im Zusammenhang mit diesem Vertrag die Regelungen der Nutzungsbedingungen zur Haftung, einschließlich der dort genannten Fälle unbeschränkter Haftung. Absatz 2 und Art. 28 Abs. 4 Satz 2 DSGVO bleiben unberührt.

(4) Jede Partei trägt Geldbußen, die eine Aufsichtsbehörde oder ein Gericht gegen sie verhängt, selbst.

(5) Vergütung: Die Leistungen nach diesem Vertrag sind mit der Vergütung des Nutzungsvertrags abgegolten; im Trial sind sie kostenlos. Das gilt für alles, was die Anwendung selbst leistet, für Meldungen nach dem Abschnitt Meldung von Verletzungen, für die Nachweise durch Unterlagen und für Auskünfte in üblichem Umfang. Verlangt der Kunde darüber hinaus Unterstützung, die erheblichen Aufwand verursacht und die nicht auf einem Verstoß von ECODYNAMICS beruht, etwa umfangreiche Auswertungen für eine Folgenabschätzung oder Arbeiten außerhalb des Funktionsumfangs, darf ECODYNAMICS eine angemessene Vergütung nach Zeitaufwand verlangen. ECODYNAMICS teilt dem Kunden den voraussichtlichen Aufwand und den Stundensatz vorher in Textform mit und beginnt erst nach dessen Zustimmung. Die gesetzlichen Unterstützungspflichten von ECODYNAMICS hängen nicht von einer Vergütung ab.

19.Laufzeit und Beendigung

(1) Dieser Vertrag gilt für die Dauer des Nutzungsvertrags. Er endet nicht vor dem Zeitpunkt, in dem ECODYNAMICS alle Auftragsdaten nach dem Abschnitt Rückgabe und Löschung gelöscht hat. Eine gesonderte ordentliche Kündigung dieses Vertrags ohne den Nutzungsvertrag ist ausgeschlossen, weil ECODYNAMICS die Leistung ohne ihn nicht erbringen darf.

(2) Der Kunde darf den Nutzungsvertrag und diesen Vertrag aus wichtigem Grund ohne Frist in Textform kündigen, wenn ECODYNAMICS erheblich oder trotz Abmahnung fortgesetzt gegen diesen Vertrag oder gegen die DSGVO verstößt, eine Weisung nicht ausführen kann oder will oder Kontrollrechte vertragswidrig verweigert. In diesem Fall erstattet ECODYNAMICS die im Voraus gezahlte Vergütung anteilig für die Zeit nach dem Vertragsende.

(3) ECODYNAMICS darf aus wichtigem Grund kündigen, wenn der Kunde auf der Ausführung einer Weisung besteht, auf deren Rechtswidrigkeit ECODYNAMICS nach dem Abschnitt Weisungen hingewiesen hat, oder wenn der Kunde trotz Abmahnung fortgesetzt Daten nach Art. 9 oder Art. 10 DSGVO eingibt oder hochlädt.

(4) Kommt ECODYNAMICS den Pflichten aus diesem Vertrag nicht nach, darf der Kunde ECODYNAMICS anweisen, die Verarbeitung der Auftragsdaten auszusetzen, bis der Vertrag wieder eingehalten wird. Im Übrigen richten sich Laufzeit und Kündigung nach den Nutzungsbedingungen.

20.Schlussbestimmungen

(1) Änderungen: Änderungen und Ergänzungen dieses Vertrags sollen in Textform festgehalten werden; der Vorrang individueller Vereinbarungen bleibt unberührt. ECODYNAMICS darf diesen Vertrag nach dem in den Nutzungsbedingungen geregelten Verfahren für Änderungen anpassen, wenn dafür ein sachlicher Grund besteht, etwa eine geänderte Rechtslage, eine Vorgabe einer Aufsichtsbehörde, eine neue Funktion oder eine Änderung bei den Maßnahmen der Anlage 2. Eine solche Änderung darf den Schutz der Auftragsdaten nicht absenken und die Rechte des Kunden aus Art. 28 DSGVO nicht einschränken. Für Änderungen bei den Unterauftragsverarbeitern gilt allein das Verfahren des Abschnitts Unterauftragsverarbeiter.

(2) Kein Zurückbehaltungsrecht: Ein Zurückbehaltungsrecht an Auftragsdaten und an Datenträgern mit Auftragsdaten ist ausgeschlossen.

(3) Zugriff Dritter: Werden Auftragsdaten bei ECODYNAMICS durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder andere Maßnahmen Dritter gefährdet, unterrichtet ECODYNAMICS den Kunden unverzüglich und weist die Dritten darauf hin, dass die Verantwortung für die Daten beim Kunden liegt.

(4) Anwendbares Recht und Gerichtsstand: Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Für den Gerichtsstand gilt die Regelung der Nutzungsbedingungen (Düsseldorf, wenn der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist). Die Zuständigkeiten nach Art. 79 und 82 Abs. 6 DSGVO bleiben unberührt.

(5) Teilunwirksamkeit: Ist eine Bestimmung dieses Vertrags unwirksam oder undurchführbar, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

(6) Sprache: Maßgeblich ist die deutsche Fassung dieses Vertrags. Die englische Fassung ist eine Übersetzung.

(7) Anlagen: Die folgenden drei Anlagen sind Bestandteil dieses Vertrags: Anlage 1 (Beschreibung der Verarbeitung), Anlage 2 (technische und organisatorische Maßnahmen) und Anlage 3 (Unterauftragsverarbeiter).

21.Anlage 1: Beschreibung der Verarbeitung

Diese Anlage fasst die Angaben zusammen, die Art. 28 Abs. 3 Satz 1 DSGVO verlangt. Sie entspricht in ihrer Funktion Anhang II der Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/915.

21.1Datenfluss beim Auslesen einer Stellenbeschreibung

• Auslöser: ein Nutzer mit der Rolle Hauptkontakt, Personal oder Fachbereich lädt eine Datei hoch (PDF, DOCX oder TXT, höchstens 4 MB). Bei gesperrter Organisation ist die Funktion nicht verfügbar.
• Verarbeitung bei ECODYNAMICS: Der Server in Frankfurt am Main prüft Typ und Größe, liest den Text aus und kürzt ihn auf höchstens 60 000 Zeichen. Datei und Text werden weder gespeichert noch protokolliert.
• Übermittelt an Anthropic: der Text des Dokuments, bei gescannten PDF ohne Textschicht die Datei selbst (höchstens 20 Seiten), das gewählte Berufsfeld sowie der Katalog der Berufsfelder, Fachgebiete und Aufgabenbündel einschließlich der von der Organisation des Kunden selbst angelegten.
• Nicht übermittelt: Name, E-Mail-Adresse, Nutzerkennung, Organisationskennung und IP-Adresse des Nutzers sowie der Dateiname. Der Name des Unternehmens wird nicht eigens mitgegeben; er gelangt nur dorthin, wenn er im Dokument oder in eigenen Vorlagen steht.
• Verarbeitung bei Anthropic: ein Sprachmodell der Claude-Familie von Anthropic ordnet den Text den Einträgen des Katalogs zu und gibt einen strukturierten Vorschlag zurück. Ein bestimmtes Modell sagt ECODYNAMICS nicht zu; bei Störungen kann ein Ersatzmodell desselben Anbieters antworten. Der gleichbleibende Teil der Anfrage (Anweisungen und Katalog) wird beim Anbieter kurzzeitig zwischengespeichert, um Folgeanfragen zu beschleunigen.
• Ergebnis: Der Nutzer prüft den Vorschlag, ändert ihn und übernimmt oder verwirft ihn. Erst mit der Übernahme werden die gewählten Aufgabenbündel, der Dateiname als Quellenangabe und wörtliche Belegzitate von bis zu 200 Zeichen in der Erfassung gespeichert.
• Rolle des Sprachmodells: Es hilft beim Erfassen. Die Empfehlungen rechnet es nicht; sie stammen aus dem regelbasierten Bewertungsmodell.

22.Anlage 2: Technische und organisatorische Maßnahmen

Diese Anlage beschreibt die Maßnahmen nach Art. 32 DSGVO, die am 5. Oktober 2026 umgesetzt sind. Sie entspricht in ihrer Funktion Anhang III der Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/915. Eigene Maßnahmen von ECODYNAMICS sind am Code der Anwendung belegt. Angaben zu den Anbietern stammen aus deren veröffentlichten Unterlagen und sind als solche gekennzeichnet; ECODYNAMICS hat sie nicht selbst geprüft.

22.1Vertraulichkeit

• Zutritt: ECODYNAMICS betreibt keine eigenen Server für die Anwendung. Die Auftragsdaten liegen in Rechenzentren der Unterauftragsverarbeiter; den physischen Schutz gewährleisten diese nach ihren eigenen, veröffentlichten Sicherheitsbeschreibungen.
• Anmeldung der Nutzer: Anmeldung mit E-Mail-Adresse und Passwort. Das Passwort hat mindestens 12 und höchstens 200 Zeichen. Die E-Mail-Adresse muss bestätigt sein. Gespeichert wird nur ein Hash des Passworts beim Anmeldedienst, nie das Passwort im Klartext.
• Sitzung: Die Sitzung liegt in einem Cookie, das für Skripte der Seite nicht lesbar ist (HttpOnly), nur verschlüsselt übertragen wird (Secure) und bei Aufrufen, die von fremden Seiten ausgehen und Daten ändern, nicht mitgesendet wird (SameSite=Lax). Sie läuft spätestens 30 Tage nach der letzten Nutzung ab.
• Passwortwechsel: nur mit dem aktuellen Passwort; danach enden alle anderen Sitzungen des Kontos. Links aus E-Mails werden erst nach einem Klick auf einer Zwischenseite eingelöst, damit automatische Vorschauen sie nicht verbrauchen.
• Schutz vor dem Erraten von Zugangsdaten: Mengenbegrenzungen für die Anmeldung (10 Versuche je 15 Minuten je IP-Adresse und E-Mail-Adresse, 60 je 15 Minuten je IP-Adresse), für die Registrierung und für das Zurücksetzen des Passworts (3 je Stunde und Adresse). Antworten der Anwendung verraten nicht, ob zu einer Adresse ein Konto besteht.
• Trennung der Kunden: Jede Tabelle der Datenbank ist mit Zugriffsregeln auf Zeilenebene geschützt (Row Level Security). Ein angemeldeter Nutzer kann nur Daten seiner eigenen Organisation lesen; ohne Anmeldung ist kein Zugriff möglich. Ein Konto gehört höchstens einer Organisation an.
• Schreibzugriff nur über den Server: Der Browser spricht nicht unmittelbar mit der Datenbank. Geschrieben wird ausschließlich auf dem Server, nachdem Anmeldung und Rolle geprüft sind. Der Schlüssel mit vollen Rechten wird nur an einer Stelle des Servercodes gelesen und gelangt nie in den Browser.
• Rollen: Vier Rollen je Organisation (Hauptkontakt, Personal, Fachbereich, Nur lesen), die der Server bei jedem Zugriff durchsetzt. Der letzte Hauptkontakt einer Organisation lässt sich weder entfernen noch herabstufen.
• Einladungen: Nur der Hauptkontakt lädt ein. Der Einladungslink wird nur als Prüfwert (SHA-256) gespeichert und gilt 14 Tage. Einer Organisation tritt nur bei, wer den Link vorlegt.
• Zugriff von ECODYNAMICS: Das Recht für den Verwaltungsbereich lässt sich nicht über die Oberfläche vergeben, sondern nur durch ein Skript mit Zugriff auf die Datenbank; Vergabe und Entzug sind als Vorgänge für das Audit-Log vorgesehen. Die Stellen und Aufgabenbündel einer Erfassung gibt die Datenbank an den Verwaltungsbereich nur bei Freigabe heraus; ohne Freigabe antwortet die Anwendung wie bei einer Erfassung, die es nicht gibt.
• Geheimnisse: Schlüssel und Zugangsdaten der Anwendung liegen nur als Umgebungsvariablen beim Hosting-Anbieter, nicht im Quelltext. Schlüssel für Signaturen werden je Zweck getrennt abgeleitet.
• Keine fremden Inhalte: Die Anwendung bindet keine Skripte, Schriften, Analyse- oder Werbedienste Dritter ein. Der Quelltext bei GitHub enthält keine Daten von Kunden.

22.2Integrität

• Verschlüsselte Übertragung: Alle Verbindungen laufen über HTTPS. Der Browser wird für zwei Jahre angewiesen, nur verschlüsselt zu verbinden (HSTS, einschließlich Unterdomänen). Die Verschlüsselung selbst stellt der Hosting-Anbieter bereit.
• Schutz im Browser: Content Security Policy mit einem je Anfrage neu erzeugten Zufallswert (Nonce); Skripte nur aus der eigenen Quelle, keine Skripte in Attributen, keine Einbettung in fremde Seiten, Formulare nur an die eigene Quelle. Zusätzlich die Kopfzeilen gegen das Erraten von Inhaltstypen und gegen Einbettung sowie eine Beschränkung von Gerätefunktionen wie Kamera, Mikrofon und Standort. Eingeschränkt bleibt: Stilangaben in Attributen sind erlaubt, weil die Diagramme sie benötigen.
• Schutz vor seitenübergreifenden Schreibzugriffen: Schreibende Anfragen nimmt der Server nur an, wenn sie von der eigenen Seite stammen; Anfragen mit Daten müssen als JSON gekennzeichnet sein.
• Prüfung der Eingaben: Jede Eingabe wird auf dem Server gegen ein Schema mit Obergrenzen geprüft. Kennungen folgen einem festen Muster; Namen dürfen keine Steuer- und Richtungszeichen enthalten. Je Organisation sind höchstens 500 Erfassungen möglich, eine Anfrage ist höchstens 500 kB groß.
• Schutz vor gleichzeitigem Überschreiben: Erfassungen und Vorlagen tragen eine Versionsnummer; eine Änderung auf veraltetem Stand wird abgelehnt.
• Nachvollziehbarkeit der Ergebnisse: Wird eine ausgewertete Erfassung geändert, gilt sie wieder als in Bearbeitung. Zu jeder Auswertung wird der Stand der Modellannahmen gespeichert, mit dem gerechnet wurde.
• Audit-Log: Sicherheitsrelevante Vorgänge werden mit handelnder Person, Organisation, Art des Vorgangs, Ziel, IP-Adresse und Zeitpunkt protokolliert, darunter Registrierung, Einladung, Beitritt, Rollenwechsel, Entfernen eines Mitglieds, Export, Kontolöschung, Sperre, Planwechsel, Löschung einer Organisation sowie Änderungen an Modellannahmen und Vorlagen. Das Protokoll enthält keine Inhalte von Erfassungen, ist nur für ECODYNAMICS lesbar und wird zwölf Monate aufbewahrt.
• Kein Zwischenspeichern beim Empfänger: Seiten des angemeldeten Bereichs, des Verwaltungsbereichs und die Schnittstellen werden mit der Anweisung ausgeliefert, sie nicht zwischenzuspeichern und nicht in Suchmaschinen aufzunehmen.

22.3Verfügbarkeit und Belastbarkeit

• Standort: Datenbank und Anmeldedienst in Frankfurt am Main (Region eu-central-1), Serverfunktionen in Frankfurt am Main (Region fra1).
• Mengenbegrenzungen: Die Anwendung begrenzt, wie oft Funktionen in einem Zeitraum genutzt werden können, etwa 20 Uploads je Stunde und Nutzer, 120 schreibende und 300 lesende Zugriffe je Minute und Nutzer, 20 Exporte je Stunde und Organisation, 5 Kontaktanfragen je Stunde und IP-Adresse. Die Zähler liegen in der Datenbank; lässt sich ein Zähler nicht prüfen, wird die Anfrage abgelehnt.
• Sicherheitsprüfung der offenen Formulare: Kontaktformular, Registrierung, Registrierung über eine Einladung, „Passwort vergessen“ und das erneute Senden des Bestätigungslinks verlangen die Lösung einer Rechenaufgabe im Browser (quelloffene Software ALTCHA, von ECODYNAMICS selbst betrieben, ohne Cookies und ohne Dienst eines Dritten). Jede Lösung gilt einmal und höchstens zehn Minuten; lässt sie sich nicht prüfen, wird die Anfrage abgelehnt. Kontaktanfragen gehen erst ein, nachdem der Absender sie über einen Link an die angegebene Adresse bestätigt hat.
• Sicherungen: Der Datenbankanbieter erstellt nach eigenen Angaben tägliche Sicherungen; sie werden nach dem jeweils gebuchten Tarif vorgehalten, höchstens 14 Tage. Die Zusatzleistung zur zeitpunktgenauen Wiederherstellung nutzt ECODYNAMICS nicht.
• Eigene Sicherung des Kunden: Der Hauptkontakt kann alle Daten der Organisation jederzeit als JSON-Datei exportieren; Ergebnisse lassen sich außerdem als Bericht drucken.
• Schutz bei Sperre und Ablauf: Bei gesperrter Organisation und nach Ablauf des Vertragszeitraums bleiben die Daten lesbar und exportierbar.
• Begrenzung der Uploads: höchstens 4 MB je Datei, Prüfung des Dateityps am Inhalt der Datei, Grenzen beim Entpacken von DOCX-Dateien, höchstens 20 Seiten und 60 000 Zeichen.

22.4Pseudonymisierung und Verschlüsselung

• Verschlüsselung beim Transport: wie unter Integrität beschrieben, auch für die Verbindungen des Servers zur Datenbank, zum Maildienst und zum KI-Dienst.
• Verschlüsselung im Ruhezustand: Datenbank und Sicherungen sind nach Angaben des Datenbankanbieters mit AES-256 verschlüsselt.
• Prüfwerte statt Klartext: Passwörter nur als Hash; Einladungslinks nur als SHA-256-Wert; E-Mail-Adressen in den Zählern der Mengenbegrenzung nur als gekürzter SHA-256-Wert.
• Datensparsamkeit im Entwurf: Die Anwendung fragt keine Namen von Beschäftigten ab und bewertet Stellen und Aufgabenbündel. An den KI-Dienst gehen weder Nutzerkennung noch Organisationskennung noch Dateiname.
• Keine weitergehende Pseudonymisierung: Die Inhalte der Erfassungen speichert ECODYNAMICS so, wie der Kunde sie eingibt. Eine nachträgliche Pseudonymisierung freier Texte findet nicht statt; deshalb kommt es auf neutrale Bezeichnungen durch den Kunden an.

22.5Besondere Maßnahmen beim KI-Auslesen

• Nur auf Veranlassung: Kein Dokument geht ohne Handlung eines Nutzers an den KI-Dienst. Die Funktion steht nur den Rollen Hauptkontakt, Personal und Fachbereich offen.
• Schutz vor eingeschleusten Anweisungen: Der Dokumenttext wird dem Sprachmodell als Daten gekennzeichnet und zwischen Marken übergeben, die für jede Anfrage zufällig neu erzeugt werden. Das Sprachmodell erhält keine Werkzeuge und kann keine Handlungen auslösen.
• Gebundene Ausgabe: Die Antwort ist an ein festes Schema gebunden und auf Kennungen beschränkt, die der Katalog kennt. Namen aus dem Dokument werden nicht als Aufgabenbündel übernommen; Belegzitate sind auf 200 Zeichen begrenzt.
• Keine Speicherung, kein Inhalt im Protokoll: Datei und Text werden bei ECODYNAMICS nicht gespeichert. Die eigene Protokollzeile zum Vorgang enthält die Nutzer- und die Organisationskennung, Größe, Typ, Dauer und Ergebnis, nicht den Inhalt. Fehlermeldungen der Datenbank können im Einzelfall technische Angaben enthalten.
• Kontrolle durch Menschen: Der Nutzer sieht jeden Vorschlag, bevor er gespeichert wird, und entscheidet über die Übernahme.

22.6Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Automatisierte Prüfungen: Vor einer neuen Fassung laufen Unit-Tests, Klick-Proben der Oberfläche, Ende-zu-Ende-Tests und eine eigene Reihe von Sicherheitstests gegen die laufende Anwendung. Sie prüfen unter anderem die Zugriffsregeln der Datenbank, die Trennung der Kunden, die Rollen und Angriffsszenarien.
• Täglicher Löschlauf: Ein zeitgesteuerter Lauf setzt die Löschfristen um. Er ist durch ein Geheimnis geschützt und protokolliert nur Zähler.
• Nachvollziehbare Änderungen: Abweichungen von der Architektur werden schriftlich festgehalten und begründet; Änderungen am Datenbankschema erfolgen nur über nummerierte, unveränderliche Migrationen.
• Auftragskontrolle: Unterauftragsverarbeiter werden nur auf Grundlage ihrer Auftragsverarbeitungsbedingungen eingesetzt; die Auswahl berücksichtigt den Ort der Speicherung im EWR.
• Organisation: Zugriff auf Datenbank, Hosting und Geheimnisse haben nur wenige, namentlich berechtigte Personen. Die Pflichten zur Vertraulichkeit und zum Umgang mit Verletzungen regelt der Hauptteil dieses Vertrags.

22.7Was derzeit nicht umgesetzt oder nicht zugesagt ist

23.Anlage 3: Unterauftragsverarbeiter

Diese Anlage nennt die Unterauftragsverarbeiter, die ECODYNAMICS am 5. Oktober 2026 für Auftragsdaten einsetzt. Sie entspricht in ihrer Funktion Anhang IV der Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/915. Firmierung und Anschrift stammen aus den Bedingungen und Angaben der Anbieter.

23.1Bedingungen der Anbieter und deren weitere Auftragsverarbeiter

• Supabase: Auftragsverarbeitungsbedingungen; Liste der weiteren Auftragsverarbeiter unter supabase.com. Meldung von Verletzungen nach den Bedingungen unverzüglich, nach Möglichkeit binnen 48 Stunden; Ankündigung neuer Auftragsverarbeiter 30 Tage vorher.
• Vercel: Auftragsverarbeitungsbedingungen, gültig für die Tarife Pro und Enterprise; Liste der weiteren Auftragsverarbeiter unter security.vercel.com. Meldung von Verletzungen unverzüglich; Einspruch gegen neue Auftragsverarbeiter binnen fünf Kalendertagen.
• Anthropic: Auftragsverarbeitungsbedingungen; Liste der weiteren Auftragsverarbeiter unter anthropic.com. Meldung von Verletzungen binnen 48 Stunden nach Kenntnis; Einspruch gegen neue Auftragsverarbeiter binnen 15 Tagen; Löschung binnen 30 Tagen nach Vertragsende.
• Resend: Auftragsverarbeitungsbedingungen; Liste der weiteren Auftragsverarbeiter unter resend.com. Meldung von Verletzungen unverzüglich; Ankündigung neuer Auftragsverarbeiter 14 Tage vorher; Löschung binnen 90 Tagen nach Vertragsende.

Die genannten Fristen sind die der Anbieter gegenüber ECODYNAMICS, abgerufen am 5. Oktober 2026. Im Verhältnis zum Kunden gelten die Fristen dieses Vertrags.

23.2Anbieter ohne Zugriff auf Auftragsdaten