Anlage 3 zum Auftragsverarbeitungsvertrag. Die HRzlich GmbH setzt für Talentakte die folgenden Unterauftragsverarbeiter ein. Änderungen kündigt HRzlich nach § 6 des Auftragsverarbeitungsvertrags mindestens vier Wochen vorher an; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
Übersicht
| Unterauftragsverarbeiter | Anschrift | Leistung | Ort der Verarbeitung | Garantien bei Übermittlung in Drittländer |
|---|---|---|---|---|
| Hostinger International Ltd. | 61 Lordou Vironos str., 6023 Larnaca, Zypern | Hosting: virtueller Server, auf dem Talentakte mit allen Datenbanken und Dateien läuft | Deutschland, Rechenzentrum in Frankfurt am Main | Keine Übermittlung in ein Drittland vorgesehen. Für eigene Unterauftragsverarbeiter des Hosters gelten nach dessen Auftragsverarbeitungsvertrag die EU-Standardvertragsklauseln. |
| Anthropic Ireland, Limited | 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland | KI-Dienst (Claude): Formulierung von Zeugnisentwürfen und einzelnen Abschnitten, Zuordnung von Diktaten zu Feldern, Übersetzung von Zeugnissen | USA; bei der Standardeinstellung von Anthropic kann die Berechnung auch in Rechenzentren anderer Länder erfolgen | EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Module 2 und 3) im Auftragsverarbeitungsvertrag von Anthropic. Eine Zertifizierung nach dem EU-US Data Privacy Framework besteht nicht. Zusätzlich ersetzt die Software Namen vor der Übermittlung durch Platzhalter. |
| Microsoft Ireland Operations Limited | One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland | Versand der E-Mails der Software über Microsoft 365 aus dem Postfach no-reply@hrzlich.de, zum Beispiel Einladungen, Anmeldelinks, Aufgabenlinks und Erinnerungen | Europäische Union (EU-Datengrenze von Microsoft) | Microsoft Corporation (USA) ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der Europäischen Kommission vom 10.07.2023). Für Übermittlungen innerhalb der Microsoft-Gruppe gelten nach dem Datenschutznachtrag von Microsoft zusätzlich EU-Standardvertragsklauseln. |
Hinweise zu Hostinger
- Grundlage ist der Auftragsverarbeitungsvertrag des Hosters, der Bestandteil seiner Vertragsbedingungen ist.
- Der Hoster setzt für eigene Leistungen weitere Unterauftragsverarbeiter ein und nennt sie in Anhang 3 seines Auftragsverarbeitungsvertrags.
Hinweise zu Anthropic
- Nach den Vertragsbedingungen von Anthropic ist für Kunden im Europäischen Wirtschaftsraum die Anthropic Ireland, Limited Vertragspartner. Gespeichert werden die Daten nach der Dokumentation von Anthropic in den USA. Die US-Gesellschaft ist die Anthropic, PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA.
- Übermittelt werden für einen Zeugnisentwurf oder die Neuformulierung eines Abschnitts die erfassten Fakten, Noten und Stichpunkte, für die Zuordnung eines Diktats das Transkript und für eine Übersetzung der Zeugnistext. Namen sind dabei stets durch Platzhalter ersetzt; diese Pseudonymisierung lässt sich nicht abschalten. Andere Angaben wie Position, Zeiträume, Projekte oder Namen von Kunden des Unternehmens bleiben lesbar. Die Daten sind deshalb pseudonymisiert, nicht anonymisiert.
- Nach den Vertragsbedingungen von Anthropic darf Anthropic Inhalte seiner Geschäftskunden nicht zum Training von KI-Modellen verwenden.
- Nach Angaben von Anthropic (Stand 01.07.2026) werden Eingaben und Ausgaben der Schnittstelle innerhalb von 30 Tagen gelöscht. Länger gespeichert werden sie bei Verstößen gegen die Nutzungsrichtlinien von Anthropic (Eingaben und Ausgaben bis zu zwei Jahre, Einstufungen der Missbrauchserkennung bis zu sieben Jahre) und wenn ein Gesetz es verlangt.
- Anthropic setzt seinerseits Unterauftragsverarbeiter ein, unter anderem für Cloud-Infrastruktur (Google Cloud Platform, Amazon Web Services und Microsoft Azure). Die Liste veröffentlicht Anthropic unter trust.anthropic.com/subprocessors.
- Der Kunde kann die KI-Funktionen in den Einstellungen seines Firmenkontos abschalten. Die Software übermittelt dann keine Daten an Anthropic.
Hinweise zu Microsoft
- Die E-Mails enthalten die Adresse und den Namen der Empfängerin oder des Empfängers. E-Mails zu Aufgaben, etwa die Bitte an eine Führungskraft um ihre Einschätzung, nennen auch die Person, um deren Zeugnis es geht, und die Art des Zeugnisses.
- Grundlage ist der Datenschutznachtrag von Microsoft zu den Produktbedingungen. Für Dienste innerhalb der EU-Datengrenze speichert und verarbeitet Microsoft die Kundendaten danach in der Europäischen Union.
Keine Unterauftragsverarbeiter
- Server-Diktat: Für neue Firmenkonten ist das Server-Diktat voreingestellt. Die Umwandlung von Sprache in Text läuft auf dem Server von HRzlich. Die Aufnahme verlässt den Server nicht und wird nach der Umwandlung sofort gelöscht. Das Transkript ordnet die Software anschließend mit dem KI-Dienst den Feldern zu, sofern die KI-Funktionen eingeschaltet sind.
- Live-Erkennung des Browsers beim Diktat: Die Live-Erkennung von Google Chrome können Personen mit der Rolle Personal oder Administration in den Einstellungen zusätzlich erlauben. Dann übermittelt der Browser die Sprachaufnahme unmittelbar an die Spracherkennung von Google, ohne Beteiligung von HRzlich. Google ist insoweit kein Unterauftragsverarbeiter von HRzlich.
- Single Sign-on: Den Identitätsanbieter, zum Beispiel Microsoft Entra ID oder Google Workspace, wählt und betreibt der Kunde. Er ist kein Unterauftragsverarbeiter von HRzlich.