Datenschutz­hinweise für Talentakte

1. Verantwortliche

HRzlich GmbH, Adenauerring 1, 67547 Worms, vertreten durch die Geschäftsführerin Nadine Ullrich. Telefon 06241 480313 0, E-Mail info@hrzlich.de. Amtsgericht Berlin-Charlottenburg, HRB 277024.

2. Kontakt für Datenschutzfragen

Fragen zum Datenschutz und Anliegen zu Ihren Rechten richten Sie bitte an info@hrzlich.de oder an die Postanschrift in Abschnitt 1.

3. Wofür diese Hinweise gelten

(1) Diese Hinweise gelten für Daten, über deren Zwecke und Mittel HRzlich selbst entscheidet: den Besuch der Website, Anfragen über das Demo-Formular, Konten und Anmeldung in der Anwendung, die Testphase, Bestellungen und Verträge sowie die Kommunikation per E-Mail.

(2) Daten, die Unternehmen in ihren Firmenkonten über ihre Beschäftigten speichern, etwa Akten, Beurteilungen, Zeugnisse und Diktate, verarbeitet HRzlich im Auftrag des jeweiligen Unternehmens (Art. 28 DSGVO). Verantwortlich ist dann das Unternehmen, in der Regel Ihr Arbeitgeber. Informationen zu dieser Verarbeitung erhalten Sie von ihm; in der Anwendung finden Sie außerdem die Seite „Rechtliches & Transparenz“. Wenden Sie sich mit einem Anliegen zu diesen Daten an uns, leiten wir es an das Unternehmen weiter.

(3) Die Demo enthält nur erfundene Beispieldaten.

(4) Beim Diktat ist in neuen Firmenkonten die Spracherkennung auf unserem Server voreingestellt: Die Aufnahme wird dort in Text umgewandelt und sofort gelöscht. Zusätzlich kann die Personalabteilung des Unternehmens die Live-Erkennung von Google Chrome erlauben. Nutzen Sie diese, übermittelt der Browser die Sprachaufnahme unmittelbar an die Spracherkennung von Google; HRzlich ist daran nicht beteiligt.

(5) Vor jedem Aufruf des KI-Dienstes ersetzt die Anwendung Namen durch Platzhalter; diese Pseudonymisierung lässt sich nicht abschalten. Das Unternehmen kann die KI-Funktionen insgesamt abschalten; dann werden keine Daten an den KI-Dienst übermittelt.

4. Besuch der Website und Aufruf der Anwendung

(1) Die Website talentakte.de setzt keine Cookies und verwendet keine Analyse-, Tracking- oder Werbedienste. Schriften und Skripte werden von unserem eigenen Server geladen, nicht von Diensten Dritter.

(2) Die Zeugnisprüfung zum Ausprobieren auf der Website läuft vollständig in Ihrem Browser. Der eingegebene Text wird nicht an uns übertragen.

(3) Wenn Sie die Website oder die Anwendung aufrufen, verarbeitet unser Webserver, der bei unserem Hoster läuft, die Daten, die Ihr Browser technisch bedingt übermittelt, und hält sie in Protokolldateien fest (Server-Logs). Dazu gehören insbesondere Ihre IP-Adresse, Datum und Uhrzeit des Aufrufs, die aufgerufene Seite oder Datei, der Statuscode, die übertragene Datenmenge, die zuvor besuchte Seite und die Kennung Ihres Browsers.

(4) Zweck ist die Auslieferung der Seiten sowie die Sicherheit und Stabilität des Betriebs, etwa um Angriffe zu erkennen und Fehler zu beheben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und störungsfreien Betrieb. Wir speichern die Server-Logs nur so lange, wie es für diese Zwecke erforderlich ist, und löschen sie danach.

5. Demo-Formular und Demo

(1) Für eine Demo erheben wir über das Formular auf talentakte.de Ihren Namen, den Namen Ihrer Firma und Ihre geschäftliche E-Mail-Adresse, freiwillig auch Ihre Telefonnummer und die ungefähre Zahl der Beschäftigten. Außerdem speichern wir, dass Sie diese Datenschutzhinweise zur Kenntnis genommen haben, und gegebenenfalls Ihre Einwilligung in eine Kontaktaufnahme, jeweils wie in Abschnitt 9 Abs. 2 beschrieben. Zum Schutz vor Missbrauch speichern wir zur Anfrage einen Hashwert Ihrer IP-Adresse, mit dem wir die Zahl der Anfragen je Anschluss begrenzen, sowie die Kennung Ihres Browsers.

(2) Mit diesen Daten richten wir Ihnen sofort eine Demo mit erfundenen Beispieldaten und ein Konto ein, schicken Ihnen eine Begrüßungs-E-Mail mit einem Link zur Anmeldung, informieren unser Team über Ihre Anfrage und beantworten Rückfragen zu Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil Sie die Demo anfordern. Soweit Sie für ein Unternehmen handeln, stützen wir die Verarbeitung zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Anfragen von Unternehmen zu bearbeiten. Den Missbrauchsschutz stützen wir auf Art. 6 Abs. 1 lit. f DSGVO.

(3) Haben Sie eingewilligt, kontaktieren wir Sie per E-Mail oder Telefon zur Demo und zu Talentakte. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an info@hrzlich.de.

(4) Die Demo wird nach 14 Tagen gesperrt und sieben Tage später gelöscht. Die Angaben zu Ihrer Anfrage löschen wir 24 Monate nach dem letzten Kontakt, sofern kein Vertrag zustande kommt.

(5) Name, Firma, E-Mail-Adresse und die Kenntnisnahme dieser Hinweise sind für die Demo erforderlich. Ohne sie können wir keine Demo einrichten.

6. Konto und Anmeldung

(1) Für Ihr Konto verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, Ihr Passwort ausschließlich als Hashwert (Verfahren argon2id), die Angaben zur Zwei-Faktor-Anmeldung, die Zeitpunkte der Bestätigung Ihrer E-Mail-Adresse und Ihrer letzten Anmeldung sowie die Firmenkonten, denen Sie angehören, mit Ihrer Rolle. Für die Anmeldung, die Bestätigung Ihrer E-Mail-Adresse und das Zurücksetzen des Passworts verwenden wir einmalige, kurz gültige Codes und Links.

(2) Melden Sie sich über den Identitätsanbieter Ihres Arbeitgebers an (Single Sign-on, zum Beispiel Microsoft Entra ID oder Google Workspace), erhalten wir von diesem eine Kennung, Ihre E-Mail-Adresse und Ihren Namen. Ein Passwort speichern wir dann nicht.

(3) Führungskräfte können über einen persönlichen Aufgabenlink ohne eigenes Konto auf eine einzelne Aufgabe zugreifen. Die dabei entstehende Sitzung ist zeitlich begrenzt.

(4) Zweck ist die sichere Anmeldung, der Schutz Ihres Kontos, etwa durch eine vorübergehende Sperre nach mehreren Fehlversuchen, und die Zuordnung zu den Firmenkonten. Haben Sie das Konto selbst angelegt, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Wurden Sie von einem Unternehmen eingeladen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die mit dem Unternehmen vereinbarte Leistung sicher bereitzustellen.

(5) Kontodaten speichern wir, solange das Konto besteht. Einmalige Codes und Links löschen wir sieben Tage nach ihrem Ablauf.

7. Cookies und lokaler Speicher

(1) Die Website setzt keine Cookies.

(2) Die Anwendung setzt nach der Anmeldung ein technisch notwendiges Sitzungs-Cookie („__Host-ta_sid“). Es enthält nur eine zufällige Kennung; auf dem Server ist davon nur ein Hashwert gespeichert. Cookies zu Analyse- oder Werbezwecken setzt die Anwendung nicht. Die Sitzung endet, wenn Sie sich abmelden, nach einer Zeit ohne Aktivität und spätestens nach einer festen Höchstdauer. Das Cookie ist technisch notwendig, damit Sie angemeldet bleiben; Rechtsgrundlage für das Speichern im Browser ist § 25 Abs. 2 Nr. 2 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. b und f DSGVO.

(3) Einstellungen, die Sie in der Anwendung selbst wählen, etwa die Ansicht der Zeugnisliste, das gewählte Mikrofon, den Diktatmodus oder ausgeblendete Hinweise, speichert die Anwendung im lokalen Speicher Ihres Browsers, damit sie beim nächsten Aufruf erhalten bleiben. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Sie können diese Einträge jederzeit in Ihrem Browser löschen.

8. Sicherheitsprotokoll und Sitzungen

(1) Zum Schutz der Anwendung führen wir ein Sicherheitsprotokoll. Es erfasst Zeitpunkt und Art sicherheitsrelevanter Ereignisse, etwa erfolgreiche und fehlgeschlagene Anmeldungen, Abmeldungen, Änderungen von Passwort, Zwei-Faktor-Anmeldung oder Rechten, Einladungen, Bestellungen und Exporte, mit der handelnden Person und der IP-Adresse. Inhalte, Passwörter und Codes enthält es nicht. Personen mit der Rolle Administration können die Einträge ihres Firmenkontos einsehen.

(2) Zu jeder Sitzung speichern wir die IP-Adresse und die Kennung Ihres Browsers, damit Sie Ihre aktiven Sitzungen sehen und beenden können und wir Missbrauch erkennen.

(3) Zweck ist die Sicherheit der Anwendung, das Erkennen und Aufklären von Missbrauch und der Nachweis sicherheitsrelevanter Vorgänge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit unserer Systeme und der darin gespeicherten Daten. Einträge des Sicherheitsprotokolls löschen wir nach 400 Tagen, Sitzungsdaten 30 Tage nach dem Ende der Sitzung.

9. Testphase, Bestellung und Vertrag

(1) Starten Sie eine Testinstanz, verarbeiten wir den Namen Ihrer Firma, freiwillig die ungefähre Zahl der Beschäftigten und Ihre Bestätigungen. Wir erinnern Sie per E-Mail an das Ende der Testphase und an die Löschung der Testinstanz.

(2) Erklärungen, die Sie in der Anwendung oder im Demo-Formular durch Anklicken abgeben, etwa die Annahme von Bedingungen, den Abschluss des Auftragsverarbeitungsvertrags oder eine Einwilligung, speichern wir mit dem angezeigten Wortlaut, der Version, dem Zeitpunkt, der IP-Adresse und der Kennung Ihres Browsers, um sie nachweisen zu können.

(3) Für eine Bestellung verarbeiten wir die Vertragsdaten des Unternehmens: Firma, Rechtsform, Registergericht und Registernummer, Anschrift, Rechnungs-E-Mail-Adresse und Ansprechperson, freiwillig die Umsatzsteuer-Identifikationsnummer und eine Bestellnummer. Hinzu kommen Paket, Vertragsart (Jahresvertrag oder Monatsvertrag), Preis, Laufzeit, Rechnungen und Zahlungsstand.

(4) Zweck ist der Abschluss und die Durchführung des Vertrags, die Abrechnung, der Nachweis abgegebener Erklärungen und die Erfüllung gesetzlicher Pflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO sowie Art. 6 Abs. 1 lit. f DSGVO für den Nachweis von Erklärungen und für Daten von Ansprechpersonen, die für ein Unternehmen handeln; unser berechtigtes Interesse liegt in der ordnungsgemäßen Abwicklung des Vertrags und der Verteidigung gegen Ansprüche.

(5) Vertragsdaten speichern wir für die Dauer des Vertrags. Danach bewahren wir sie auf, solange gesetzliche Aufbewahrungsfristen es verlangen, nach § 257 HGB und § 147 AO bis zu zehn Jahre. Nachweise über Erklärungen bewahren wir auf, solange Ansprüche aus dem Vertrag oder der Erklärung geltend gemacht werden können.

10. Kommuni­kation per E-Mail

(1) Schreiben Sie uns, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Nachricht einen Vertrag oder dessen Anbahnung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung von Anfragen. Wir löschen Nachrichten, wenn sie für die Bearbeitung nicht mehr erforderlich sind, es sei denn, gesetzliche Aufbewahrungspflichten stehen entgegen.

(2) E-Mails der Anwendung, etwa Begrüßung, Bestätigungscodes, Anmeldelinks, Einladungen, Aufgabenlinks, Erinnerungen und Bestellbestätigungen, versenden wir über Microsoft 365 aus dem Postfach no-reply@hrzlich.de. Antworten gehen an info@hrzlich.de. Die Inhalte versandter E-Mails hält die Anwendung sieben Tage im Ausgang vor und löscht sie dann.

11. Empfänger

(1) Wir setzen folgende Dienstleister als Auftragsverarbeiter ein:

• Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern, für den Betrieb des Servers, auf dem Website und Anwendung laufen (Rechenzentrum in Deutschland, Frankfurt am Main),
• Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland, für den Versand und Empfang von E-Mails über Microsoft 365.

(2) Abrechnungsdaten erhalten, soweit erforderlich, die Dienstleister, die wir für Buchhaltung und Steuern einsetzen, und unsere steuerliche Beratung.

(3) Behörden und Gerichte erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

(4) Der KI-Dienst, den Talentakte in den Firmenkonten nutzt, erhält keine der in diesen Hinweisen beschriebenen Daten. Welche Dienstleister an der Verarbeitung in den Firmenkonten beteiligt sind, steht in der Liste der Unterauftragsverarbeiter.

12. Übermittlung in Drittländer

(1) Wir verarbeiten die in diesen Hinweisen beschriebenen Daten in der Europäischen Union. Microsoft speichert und verarbeitet die Daten von Microsoft 365 nach seinen Vertragsbedingungen in der Europäischen Union (EU-Datengrenze). Soweit dennoch Daten an die Microsoft Corporation in den USA gelangen, ist diese nach dem EU-US Data Privacy Framework zertifiziert; dafür besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Zusätzlich gelten Standardvertragsklauseln der Europäischen Kommission.

(2) Soweit unser Hoster eigene Unterauftragsverarbeiter außerhalb der Europäischen Union einsetzt, gelten nach seinem Auftragsverarbeitungsvertrag die Standardvertragsklauseln der Europäischen Kommission.

13. Speicher­dauer im Überblick

14. Ihre Rechte

(1) Sie haben das Recht auf Auskunft über die Daten, die wir zu Ihnen verarbeiten (Art. 15 DSGVO), auf Berichtigung (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und auf Datenübertragbarkeit (Art. 20 DSGVO).

(2) Widerspruchsrecht: Verarbeiten wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

(3) Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

(4) Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

(5) Für Daten, die ein Unternehmen in seinem Firmenkonto speichert, wenden Sie sich bitte an dieses Unternehmen (Abschnitt 3 Abs. 2).

15. Keine automatisierten Entscheidungen

Für die Daten, für die wir verantwortlich sind, treffen wir keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen (Art. 22 DSGVO), und betreiben kein Profiling. In den Firmenkonten setzen Menschen alle Bewertungen; die KI formuliert Texte und ordnet Diktate zu.

16. Änderungen dieser Hinweise

Wir passen diese Hinweise an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung mit ihrem Stand-Datum.