Auftrags­verarbeitungs­vertrag (Art. 28 DSGVO)

§ 1 Gegenstand, Abschluss und Dauer

(1) HRzlich stellt dem Kunden die Software Talentakte als Software-as-a-Service bereit. Grundlage ist in der Testphase die Vereinbarung nach den Nutzungsbedingungen für Demo und Testphase, danach der Vertrag nach den Allgemeinen Geschäftsbedingungen (jeweils „Hauptvertrag“). Dabei verarbeitet HRzlich personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag regelt die Rechte und Pflichten der Parteien bei dieser Verarbeitung.

(2) Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Eine für den Kunden handelnde Person schließt ihn beim Start der Testinstanz und bei der Bestellung in der Software ab. HRzlich speichert dazu den bestätigten Wortlaut, die Version, den Zeitpunkt, die IP-Adresse und die Browserkennung. Ein auf anderem Weg geschlossener Hauptvertrag kann auf diesen Vertrag Bezug nehmen.

(3) Der Vertrag beginnt mit dem Start der Testphase oder, wenn keine Testphase vorausgeht, mit dem Beginn des Hauptvertrags und gilt für die Dauer des Hauptvertrags. Er endet nicht, bevor HRzlich die Daten nach § 11 gelöscht hat. Endet die Testphase ohne Bestellung, gilt er bis zur Löschung der Testinstanz.

(4) Die Demo enthält ausschließlich fiktive Daten. Für sie gilt dieser Vertrag nicht.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Abgleichen, Übermitteln an Unterauftragsverarbeiter, Einschränken und Löschen der Daten, die der Kunde und seine Nutzerinnen und Nutzer in die Software eingeben oder hochladen.

(2) Zwecke der Verarbeitung:

• Bereitstellung und Betrieb der Software mit ihren Funktionen: Talentakte je Person, Arbeitszeugnisse (Erstellung, Abstimmung mit Führungskräften, Zeugnisprüfung, PDF, Übersetzung), Mitarbeiterbeurteilung (im Paket Talentakte Suite und in der Testphase), Aufgaben und Verlauf,
• Formulierung von Zeugnisentwürfen und einzelnen Abschnitten, Zuordnung von Diktaten zu Feldern und Übersetzung von Zeugnissen mit einem KI-Dienst, wobei Namen vorher stets durch Platzhalter ersetzt werden (Anlage 2),
• Umwandlung von Diktaten in Text auf dem Server (Server-Diktat, für neue Firmenkonten voreingestellt), wobei die Aufnahme danach sofort gelöscht wird,
• Benutzerverwaltung, Anmeldung und Rechte im Firmenkonto,
• Versand von Benachrichtigungen per E-Mail, zum Beispiel Einladungen, Aufgabenlinks und Erinnerungen,
• Datensicherung und Wiederherstellung, Fehlerbehebung sowie Unterstützung auf Anfrage des Kunden,
• Export, Rückgabe und Löschung der Daten.

(3) Zweckbestimmung der KI-Funktionen: Die KI-Funktionen formulieren Zeugnistexte aus Fakten und Bewertungen, die Menschen erfasst haben, ordnen Diktate den passenden Feldern zu und übersetzen Zeugnisse. Sie bewerten keine Personen und dienen nicht der Auswahl, der Bildung einer Rangfolge oder der Prognose von Personen. Noten, Ampeln und Gesamturteile setzen ausschließlich Menschen.

(4) Kategorien betroffener Personen:

• Beschäftigte des Kunden, einschließlich ehemaliger Beschäftigter, Auszubildender und Führungskräfte,
• Nutzerinnen und Nutzer der Software beim Kunden, zum Beispiel in Personalabteilung, Geschäftsführung und Führungsaufgaben,
• Dritte, die in Freitexten, Diktaten oder Dokumenten genannt werden, zum Beispiel Kundinnen und Kunden oder Projektbeteiligte des Kunden.

(5) Kategorien personenbezogener Daten:

• Stammdaten von Beschäftigten: Name, Anrede und Geschlecht, akademischer Titel, Geburtsdatum und Geburtsort, Personalnummer, dienstliche E-Mail-Adresse, Eintritts- und Austrittsdatum, Austrittsgrund, Position, Abteilung, Standort, Art der Beschäftigung, Führungsverantwortung und zugeordnete Führungskraft, soweit der Kunde sie erfasst,
• Werdegang und Qualifikation: Stationen im Unternehmen, Tätigkeiten und Verantwortung, Erfolge und Projekte, Weiterbildungen, Ausbildung, früherer Werdegang, Sprachkenntnisse sowie Reise- und Umzugsbereitschaft, soweit erfasst,
• Beurteilungsdaten (im Paket Talentakte Suite und in der Testphase): Einschätzungen zu Kompetenzen, Ziele und Zielerreichung, Gesamturteil, Einschätzungen zu Potenzial und Bindungsrisiko mit Begründung, Stärken, Entwicklungsfelder, Entwicklungsplan, Karriereziele und Kommentare der Personalabteilung,
• Zeugnisdaten: Anlass, Zeitraum, Noten je Kriterium, Stichpunkte, Zeugnistexte mit ihren Fassungen, Ergebnisse der Zeugnisprüfung, Übersetzungen, Unterzeichnende, Status und Fristen,
• Diktate: Sprachaufnahmen (beim Server-Diktat nur bis zur Umwandlung in Text) und Transkripte,
• Daten der Nutzerinnen und Nutzer: Name, E-Mail-Adresse, Rolle und Stellenbezeichnung,
• Vorgangs- und Protokolldaten im Firmenkonto: Aufgaben, Verlauf je Vorgang und KI-Protokoll (nur Metadaten wie Zweck, Modell, Umfang, Dauer und auslösende Person, keine Inhalte),
• Daten des Kunden für Briefkopf und Briefpapier, zum Beispiel Logo und Unterzeichnende.

(6) Besonders schutzbedürftige Daten: Beurteilungs- und Zeugnisdaten betreffen Leistung und Verhalten von Beschäftigten und sind besonders schutzbedürftig. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der vorgesehenen Verarbeitung. Sie können aber in Freitexten oder Diktaten enthalten sein, wenn Nutzerinnen und Nutzer sie eingeben. Der Kunde vermeidet das, soweit solche Angaben nicht ausnahmsweise erforderlich und zulässig sind.

(7) Ort der Verarbeitung: HRzlich verarbeitet die Daten auf einem Server in einem Rechenzentrum in Deutschland (Frankfurt am Main). Für Unterauftragsverarbeiter gelten § 6, § 7 und Anlage 3.

§ 3 Weisungen

(1) HRzlich verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in ein Drittland, es sei denn, HRzlich ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt HRzlich dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen des Kunden sind in diesem Vertrag und im Hauptvertrag festgelegt. Dazu gehören auch die Nutzung der Software und die Einstellungen, die der Kunde in seinem Firmenkonto wählt, etwa Rollen, Zwei-Faktor-Pflicht, Single Sign-on, das Ein- und Ausschalten der KI-Funktionen und die Erlaubnis der Live-Erkennung beim Diktat. Einzelweisungen erteilen Personen mit der Rolle Administration oder die im Vertrag genannte Ansprechperson in Textform an info@hrzlich.de.

(3) Ist HRzlich der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert HRzlich den Kunden unverzüglich. HRzlich darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

(4) Weisungen, die über die vereinbarten Leistungen hinausgehen, behandeln die Parteien als Änderungswunsch. HRzlich kann sie ablehnen oder von einer gesonderten Vergütung abhängig machen, wenn die Umsetzung nicht gesetzlich geboten ist.

§ 4 Pflichten von HRzlich

(1) HRzlich verarbeitet die Daten ausschließlich zur Erfüllung des Hauptvertrags und nicht für eigene Zwecke. HRzlich nutzt sie insbesondere nicht zum Training von KI-Modellen.

(2) HRzlich setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die mit den maßgeblichen Datenschutzvorschriften vertraut gemacht wurden. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(3) HRzlich greift auf Daten eines Firmenkontos nur zu, soweit das für Betrieb, Sicherheit, Datensicherung und Fehlerbehebung erforderlich ist oder der Kunde es anweist. Die Plattform-Verwaltung von HRzlich zeigt keine Personaldaten der Kunden.

(4) HRzlich trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. HRzlich darf sie an die technische Entwicklung anpassen, wenn das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert HRzlich in einer neuen Fassung der Anlage 2 und teilt sie dem Kunden mit.

(5) HRzlich führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(6) Fragen zum Datenschutz richtet der Kunde an info@hrzlich.de. Hat HRzlich eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benannt, teilt HRzlich dem Kunden die Kontaktdaten in Textform mit.

(7) HRzlich informiert den Kunden unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie diese Verarbeitung betreffen, und über Ersuchen von Behörden auf Herausgabe von Daten des Kunden, soweit eine solche Information zulässig ist.

(8) Werden die Daten des Kunden bei HRzlich durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder andere Ereignisse oder Maßnahmen Dritter gefährdet, informiert HRzlich den Kunden unverzüglich. HRzlich weist alle Beteiligten darauf hin, dass der Kunde Verantwortlicher für die Daten ist.

§ 5 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Dazu gehören insbesondere eine Rechtsgrundlage für die Verarbeitung, die Information der Beschäftigten (Art. 13 und 14 DSGVO), die Beteiligung einer Arbeitnehmervertretung, soweit sie erforderlich ist, und, soweit erforderlich, eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO).

(2) Der Kunde wählt die Einstellungen seines Firmenkontos so, dass sie seinen datenschutzrechtlichen Vorgaben entsprechen, und sorgt dafür, dass seine Nutzerinnen und Nutzer die Software bestimmungsgemäß verwenden.

(3) Der Kunde informiert HRzlich unverzüglich, wenn er bei der Prüfung der Ergebnisse Fehler oder Unregelmäßigkeiten in Bezug auf den Datenschutz feststellt.

§ 6 Unter­auftrags­verarbeiter

(1) Der Kunde erteilt HRzlich die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Abschluss dieses Vertrags in Anlage 3 genannten Unterauftragsverarbeiter gelten als genehmigt.

(2) HRzlich informiert den Kunden mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Die Information geht an die Personen mit der Rolle Administration und, sofern vorhanden, an die Rechnungs-E-Mail-Adresse; zugleich aktualisiert HRzlich die Anlage 3.

(3) Der Kunde kann der Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. HRzlich bemüht sich dann um eine Lösung. Ist eine Lösung nicht möglich oder für HRzlich nicht zumutbar, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen; bereits gezahlte Vergütung für die Zeit danach erstattet HRzlich anteilig.

(4) Muss ein Unterauftragsverarbeiter kurzfristig ersetzt werden, weil sonst die Sicherheit der Daten oder die Erbringung der Leistungen gefährdet wäre, informiert HRzlich den Kunden unverzüglich. Das Widerspruchsrecht nach Absatz 3 bleibt bestehen.

(5) HRzlich verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Anforderungen von Art. 28 Abs. 3 und 4 DSGVO entsprechen. Bietet ein Unterauftragsverarbeiter nur standardisierte Verträge an, schließt HRzlich dessen Vertrag ab, wenn er ein im Wesentlichen gleichwertiges Schutzniveau gewährleistet; die Kontrolle erfolgt dann über Prüfberichte, Zertifikate oder Auskünfte des Unterauftragsverarbeiters. HRzlich haftet gegenüber dem Kunden für die Einhaltung der Pflichten durch seine Unterauftragsverarbeiter (Art. 28 Abs. 4 Satz 2 DSGVO).

(6) Keine Unterauftragsverarbeitung im Sinne dieses Vertrags sind Leistungen, die HRzlich als reine Nebenleistung in Anspruch nimmt, etwa Telekommunikationsdienste. Ebenso wenig sind es Dienste, die der Kunde selbst auswählt und die ohne Beteiligung von HRzlich arbeiten, insbesondere die Live-Erkennung des Browsers beim Diktat und der Identitätsanbieter, den der Kunde für Single Sign-on anbindet. Für neue Firmenkonten ist das Server-Diktat voreingestellt. Die Live-Erkennung von Google Chrome können Personen mit der Rolle Personal oder Administration in den Einstellungen zusätzlich erlauben; dann verarbeitet Google die Sprachaufnahme über die Spracherkennung des Browsers.

§ 7 Übermittlung in Drittländer

(1) HRzlich übermittelt Daten in ein Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums nur auf Weisung des Kunden und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Mit Abschluss dieses Vertrags weist der Kunde HRzlich an, für die KI-Funktionen den in Anlage 3 genannten KI-Dienst zu nutzen, der die Daten in den USA und gegebenenfalls in weiteren Ländern verarbeitet. Grundlage sind die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), die der Anbieter in seinen Auftragsverarbeitungsvertrag einbezogen hat. Vor jedem Aufruf ersetzt die Software Namen durch Platzhalter; diese Pseudonymisierung ist immer eingeschaltet und lässt sich nicht abschalten (Anlage 2). Angaben zum Anbieter stehen in Anlage 3.

(3) Der Kunde kann die KI-Funktionen in den Einstellungen seines Firmenkontos abschalten. Die Software übermittelt dann keine Daten an den KI-Dienst.

(4) HRzlich stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die er für die Bewertung einer Übermittlung benötigt, insbesondere zu Garantien, übermittelten Datenkategorien und Schutzmaßnahmen.

§ 8 Unterstützung des Kunden

(1) HRzlich unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 22 DSGVO zu beantworten. Die Software bietet dafür unter anderem eine Datenauskunft je Person, das Bearbeiten und Löschen von Einträgen und den Export des Firmenkontos. Soweit die Software eine erforderliche Funktion nicht bietet, unterstützt HRzlich den Kunden auf Weisung in dem erforderlichen Umfang, etwa bei der Löschung oder Einschränkung der Daten einer Person.

(2) Wendet sich eine betroffene Person unmittelbar an HRzlich, leitet HRzlich das Anliegen unverzüglich an den Kunden weiter und antwortet ihr nicht ohne Weisung des Kunden in der Sache.

(3) HRzlich unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen und Benachrichtigungen nach Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und bei einer vorherigen Konsultation der Aufsichtsbehörde.

(4) Unterstützung, die über die Funktionen der Software hinausgeht, kann HRzlich nach vorheriger Ankündigung angemessen nach Aufwand berechnen, es sei denn, sie ist durch einen Verstoß von HRzlich veranlasst.

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) HRzlich meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem HRzlich von ihr Kenntnis erlangt hat. Die Meldung geht in Textform an die Personen mit der Rolle Administration und, sofern vorhanden, an die im Vertrag genannte Ansprechperson.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: die Art der Verletzung mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktstelle. Was zunächst nicht bekannt ist, reicht HRzlich unverzüglich nach.

(3) HRzlich ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern, und dokumentiert die Verletzung.

(4) Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen obliegen dem Kunden. HRzlich unterstützt ihn dabei nach § 8 Abs. 3.

§ 10 Nachweise und Kontrollen

(1) HRzlich stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere diesen Vertrag, die technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter, und beantwortet Fragen des Kunden dazu in Textform.

(2) Der Kunde kann die Einhaltung dieses Vertrags selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der nicht im Wettbewerb mit HRzlich steht, überprüfen, auch durch Inspektionen. Inspektionen meldet er mindestens vier Wochen vorher an. Sie finden während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs statt, in der Regel höchstens einmal im Kalenderjahr, es sei denn, ein konkreter Anlass oder eine Aufsichtsbehörde erfordert eine weitere Prüfung.

(3) Die Server stehen im Rechenzentrum des Hosters. Eine Inspektion dort ist nur nach dessen Bedingungen möglich; im Übrigen stellt HRzlich die Nachweise des Hosters zur Verfügung.

(4) Jede Partei trägt ihre eigenen Kosten. Für Inspektionen vor Ort kann HRzlich einen angemessenen Ausgleich ihres Aufwands verlangen, es sei denn, die Prüfung ergibt einen Verstoß von HRzlich gegen diesen Vertrag.

§ 11 Rückgabe und Löschung

(1) Während der Laufzeit können Personen mit der Rolle Administration jederzeit alle Daten des Firmenkontos exportieren. Der Export enthält die Daten in einem maschinenlesbaren Format (JSON) und die hochgeladenen Dateien. Die Rückgabe der Daten erfolgt durch diesen Export.

(2) Nach dem Ende des Hauptvertrags sperrt HRzlich das Firmenkonto. Der Export bleibt 30 Tage nach Vertragsende möglich. Danach löscht HRzlich alle personenbezogenen Daten des Firmenkontos, also die Datenbank und die Dateien, sofern nicht nach dem Recht der Europäischen Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht.

(3) Endet die Testphase ohne Bestellung, löscht HRzlich die Testinstanz 30 Tage nach ihrem Ablauf und weist sieben Tage vorher per E-Mail darauf hin. Bis dahin bleibt der Export möglich.

(4) Daten in Sicherungskopien entfallen mit dem regulären Ablauf der Sicherungen, spätestens sechs Monate nach der Löschung. Bis dahin verwendet HRzlich die Sicherungen nur, um Daten nach einem Ausfall wiederherzustellen.

(5) Auf Verlangen bestätigt HRzlich die Löschung in Textform.

(6) Das Sicherheitsprotokoll der Plattform mit Anmeldungen, Rechteänderungen und ähnlichen Ereignissen samt IP-Adresse führt HRzlich zum Schutz der Plattform in eigener Verantwortung. Seine Einträge löscht HRzlich nach 400 Tagen.

§ 12 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Die Anlagen 2 und 3 ändern sich nach § 4 Abs. 4 und § 6. Für sonstige Änderungen gilt § 18 der Allgemeinen Geschäftsbedingungen entsprechend; in der Testphase gilt eine neue Fassung für Testinstanzen, die nach ihrer Veröffentlichung beginnen.

(3) Ist eine Bestimmung dieses Vertrags unwirksam, bleiben die übrigen Bestimmungen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen von Art. 28 DSGVO entspricht.

(4) Für das anwendbare Recht und den Gerichtsstand gelten die Regeln des Hauptvertrags.

Anlagen

• Anlage 1: Beschreibung der Verarbeitung, siehe § 2 dieses Vertrags.
• Anlage 2: Technische und organisatorische Maßnahmen, Stand 20.10.2026.
• Anlage 3: Unterauftragsverarbeiter, Stand 20.10.2026.