Rechtliches
Die Datenschutzunterlagen zum eingeloggten Bereich der Scaleyo Academy. Für die Academy-Funktionen — Konten, Kurse, Community, Assistent — ist Scaleyo selbst Verantwortlicher. Bewerberdaten im Hire Hub verarbeitet Scaleyo dagegen im Auftrag des jeweiligen Kundenunternehmens; dafür gilt der Auftragsverarbeitungsvertrag.
Fassung 1.1 vom 2026-08-24. Die anwaltliche Fassung enthält Angaben, die nur Scaleyo selbst beantworten kann; sie sind im Text als zu ergänzen markiert und hier vollständig aufgeführt. Solange dieser Hinweis steht, ist der Text nicht veröffentlichungsfähig — freigegeben wird er über FREIGEGEBEN in lib/legal/stand.ts.
- Datenschutzerklärung §13: Zuständige Aufsichtsbehörde nach Sitz Hildesheim — Landesbeauftragte für den Datenschutz Niedersachsen? Name und Link ergänzen.
- Datenschutzerklärung §2: Firmierung und Anschrift stammen aus dem öffentlichen Impressum. Bestätigen, dass sie noch stimmen, und einen Datenschutzbeauftragten benennen, falls bestellt.
- Dienstleisterliste: Der Anwalt führt netcup UND Hetzner. Im Repo ist nur netcup belegt, Hetzner kommt nirgends vor. Welcher Anbieter betreibt die Produktivmaschine tatsächlich — und liegt daneben noch etwas bei einem zweiten?
- Dienstleisterliste und TOM 3.1: Die Sicherung läuft belegt nach AWS S3, Region eu-north-1 (Stockholm) — täglich 03:00, zuletzt fünf erfolgreiche Läufe hintereinander. Offen ist nur noch die Vertragsseite: Vertragsgesellschaft (Amazon Web Services EMEA SARL?) und AVV mit AWS.
- Datenschutzerklärung §7 und §8: Stripe-Vertragsgesellschaft (Stripe Payments Europe Ltd. in Irland?), Datenregion und Garantien für etwaige Drittlandzugriffe. Erst danach lässt sich §8 abschließend formulieren.
- Datenschutzerklärung §5.7: Mistral-Vertragsstand: AVV geschlossen? Verarbeitungsregion, Speicherdauer, Ausschluss der Nutzung zum Modelltraining — die Aussagen im Text hängen daran.
- Dienstleisterliste: Greenstein Designagentur betreibt Server, Coolify und den Mailversand (linuxsrv01.grnstn.de) mit Administrationszugriff. AVV zwischen scaleyo HR GmbH und Greenstein vorhanden? Ohne ihn fehlt die Grundlage für den wichtigsten Unterauftragnehmer.
- Datenschutzerklärung §9: Onboarding-Pläne leben unbefristet, bis der Eigentümer sie löscht. Ob abgeschlossene Pläne nach N Monaten anonymisiert werden, ist offen — siehe tasks/todo-onboarding.md.
- Datenschutzerklärung §3 und §5.9: Im Onboarding-Planer stellt ein Mitglied Beschäftigtendaten seiner eigenen neuen Mitarbeiter ein (Lebenslauftext, Ziele, Bewertung der Einarbeitung). Verantwortlicher dafür ist das Mitglied als Arbeitgeber, Scaleyo verarbeitet. Der bestehende AVV deckt nur das Recruiting-Modul ab — entweder auf den Onboarding-Planer erweitern oder die Rolle bewusst anders festlegen. Der Text sagt bis dahin nur, was tatsächlich passiert.
- AVV §13: Der AVV setzt deutsches Recht und Gerichtsstand Hildesheim. Prüfen, dass das zum Hauptvertrag passt — sonst widersprechen sich die Verträge.
Wie im eingeloggten Bereich der Plattform personenbezogene Daten verarbeitet werden — Zwecke, Rechtsgrundlagen, Empfänger, Fristen und Rechte.
Der AVV für das Recruiting-Modul: Kundenunternehmen sind Verantwortliche für ihre Bewerberdaten, Scaleyo verarbeitet sie in ihrem Auftrag.
Die nach AVV §6 fortzuschreibende Liste — wer im Auftrag mitverarbeitet, wozu, und wer ausdrücklich nicht im Einsatz ist.
Anlage 1 zum AVV: die Maßnahmen nach Art. 32 DSGVO, jeweils mit dem Stand, in dem sie tatsächlich umgesetzt sind.