Unterauftragsverarbeiter

Anlage 2 zum Auftragsverarbeitungsvertrag · Stand 2026-08-24

Entwurf — noch nicht freigegeben

Fassung 1.1 vom 2026-08-24. Die anwaltliche Fassung enthält Angaben, die nur Scaleyo selbst beantworten kann; sie sind im Text als zu ergänzen markiert und hier vollständig aufgeführt. Solange dieser Hinweis steht, ist der Text nicht veröffentlichungsfähig — freigegeben wird er über FREIGEGEBEN in lib/legal/stand.ts.

Datenschutzerklärung §13: Zuständige Aufsichtsbehörde nach Sitz Hildesheim — Landesbeauftragte für den Datenschutz Niedersachsen? Name und Link ergänzen.
Datenschutzerklärung §2: Firmierung und Anschrift stammen aus dem öffentlichen Impressum. Bestätigen, dass sie noch stimmen, und einen Datenschutzbeauftragten benennen, falls bestellt.
Dienstleisterliste: Der Anwalt führt netcup UND Hetzner. Im Repo ist nur netcup belegt, Hetzner kommt nirgends vor. Welcher Anbieter betreibt die Produktivmaschine tatsächlich — und liegt daneben noch etwas bei einem zweiten?
Dienstleisterliste und TOM 3.1: Die Sicherung läuft belegt nach AWS S3, Region eu-north-1 (Stockholm) — täglich 03:00, zuletzt fünf erfolgreiche Läufe hintereinander. Offen ist nur noch die Vertragsseite: Vertragsgesellschaft (Amazon Web Services EMEA SARL?) und AVV mit AWS.
Datenschutzerklärung §7 und §8: Stripe-Vertragsgesellschaft (Stripe Payments Europe Ltd. in Irland?), Datenregion und Garantien für etwaige Drittlandzugriffe. Erst danach lässt sich §8 abschließend formulieren.
Datenschutzerklärung §5.7: Mistral-Vertragsstand: AVV geschlossen? Verarbeitungsregion, Speicherdauer, Ausschluss der Nutzung zum Modelltraining — die Aussagen im Text hängen daran.
Dienstleisterliste: Greenstein Designagentur betreibt Server, Coolify und den Mailversand (linuxsrv01.grnstn.de) mit Administrationszugriff. AVV zwischen scaleyo HR GmbH und Greenstein vorhanden? Ohne ihn fehlt die Grundlage für den wichtigsten Unterauftragnehmer.
Datenschutzerklärung §9: Onboarding-Pläne leben unbefristet, bis der Eigentümer sie löscht. Ob abgeschlossene Pläne nach N Monaten anonymisiert werden, ist offen — siehe tasks/todo-onboarding.md.
Datenschutzerklärung §3 und §5.9: Im Onboarding-Planer stellt ein Mitglied Beschäftigtendaten seiner eigenen neuen Mitarbeiter ein (Lebenslauftext, Ziele, Bewertung der Einarbeitung). Verantwortlicher dafür ist das Mitglied als Arbeitgeber, Scaleyo verarbeitet. Der bestehende AVV deckt nur das Recruiting-Modul ab — entweder auf den Onboarding-Planer erweitern oder die Rolle bewusst anders festlegen. Der Text sagt bis dahin nur, was tatsächlich passiert.
AVV §13: Der AVV setzt deutsches Recht und Gerichtsstand Hildesheim. Prüfen, dass das zum Hauptvertrag passt — sonst widersprechen sich die Verträge.

Genehmigte Unterauftragsverarbeiter

Die folgenden Unterauftragsverarbeiter sind an der Verarbeitung von Bewerberdaten im Recruiting-Modul beteiligt. Mit jedem besteht beziehungsweise wird eine Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO geschlossen.

Dienstleister	Zweck	Nachweis
netcup GmbH Emmy-Noether-Straße 10 76131 Karlsruhe Deutschland	Betrieb von Anwendung, Datenbank und Upload-Speicher	zu bestätigen Als Hostinganbieter der Produktivmaschine dokumentiert; Anschrift aus der anwaltlichen Fassung übernommen und am Anbieterimpressum zu bestätigen. Der Entwurf führte daneben Hetzner Online — dafür gibt es im Projekt keinen Belegpunkt.
Greenstein Designagentur Rene Grebenstein Anschrift zu ergänzen Deutschland	Technischer Betrieb, Administration und Wartung der Serverumgebung (Coolify), Betrieb des Mailservers für Transaktions-E-Mails	belegt Die Anwendung wird über Coolify auf cloud.greenstein.design deployt, der Mailversand läuft über linuxsrv01.grnstn.de. Damit besteht Administrations- und Fernzugriff auf die Produktivumgebung.
Mistral AI Société par actions simplifiée (SAS) 15 rue des Halles 75001 Paris Frankreich	KI-Verarbeitung: Assistent, Stellenanzeigen-Check, Bewertung im Recruiting-Modul, Onboarding-Planer	belegt Einziger KI-Anbieter im Code (api.mistral.ai in lib/assistant.ts und lib/recruiting/mistral.ts). Ohne MISTRAL_API_KEY sind alle KI-Funktionen abgeschaltet.
Amazon Web Services Vertragsgesellschaft zu ergänzen Schweden (Region eu-north-1)	Verschlüsselte Sicherungskopien von Datenbank und Datei-Uploads, Aufbewahrung 35 Tage	belegt Täglich 03:00 nach S3, Region eu-north-1 (Stockholm), serverseitig verschlüsselt; letzte fünf Läufe erfolgreich. Die Sicherung enthält die vollständige Datenbank samt Bewerbungsunterlagen — deshalb Unterauftragsverarbeiter und nicht bloß Empfänger.

zu ergänzen: Der Anwalt führt netcup UND Hetzner. Im Repo ist nur netcup belegt, Hetzner kommt nirgends vor. Welcher Anbieter betreibt die Produktivmaschine tatsächlich — und liegt daneben noch etwas bei einem zweiten?

zu ergänzen: Greenstein Designagentur betreibt Server, Coolify und den Mailversand (linuxsrv01.grnstn.de) mit Administrationszugriff. AVV zwischen scaleyo HR GmbH und Greenstein vorhanden? Ohne ihn fehlt die Grundlage für den wichtigsten Unterauftragnehmer.

Wo die Grenze zur Academy liegt

Stripe ist an der Zahlungsabwicklung für Kurse und Mitgliedschaften beteiligt und deshalb Empfänger im Sinne der Datenschutzerklärung, steht aber nicht in dieser Liste: Bewerberdaten laufen nicht über Stripe. Umgekehrt gehört Mistral AI hierher, weil die Bewertung von Bewerbungsunterlagen über den KI-Anbieter läuft.

Geprüft und nicht im Einsatz

Die folgenden Dienste werden ausdrücklich nicht verwendet. Sie sind hier benannt, weil frühere Projektunterlagen sie teils vorsahen — „steht nicht in der Liste“ ist eine schwächere Auskunft als „geprüft und nicht im Einsatz“.

Anthropic — Vollständig entfernt. Der einzige KI-Zugang im Code ist Mistral; es gibt keinen Anthropic-Schlüssel, keinen Endpunkt und keinen Fallback.
Microsoft 365 / Microsoft Entra ID — Kein Single Sign-on in der Anwendung. Die Anmeldung läuft über E-Mail und Passwort mit plattformeigenem TOTP-Zweitfaktor; es gibt keinen OAuth-, OIDC- oder SSO-Pfad im Code.
Brevo, Resend — Kein HTTPS-Mailversand über Drittanbieter. Transaktions-E-Mails gehen ausschließlich über den eigenen SMTP-Server.
Google Analytics, Matomo und vergleichbare Analysedienste — Nicht eingebunden. Es gibt kein Analyse- oder Marketing-Skript in der Anwendung.
Google Fonts und andere externe Schriftquellen — Alle Schriften liegen lokal unter /assets/fonts. Es gibt keinen Request an fonts.googleapis.com oder fonts.gstatic.com.

Wie Änderungen angekündigt werden

Ein neuer Unterauftragsverarbeiter oder der Wechsel eines bestehenden wird jedem Auftraggeber mindestens zwei Wochen vorher in Textform angezeigt. Bis zur Übergabe der Daten kann der Auftraggeber in Schrift- oder Textform Einspruch erheben. Die Daten werden erst weitergegeben, wenn alle Voraussetzungen der Unterbeauftragung vorliegen — einschließlich einer Vereinbarung nach Art. 28 Abs. 2–4 DSGVO.

Diese Seite trägt den jeweils gültigen Stand. Rückfragen und Einsprüche an kontakt@scaleyo.de.

Für Entwicklung und Betrieb

Eine Zeile in dieser Liste ist keine Textänderung, sondern löst eine Mitteilungspflicht gegenüber allen Recruiting-Kunden aus. Die Liste steht in web/lib/legal/dienstleister.ts; wer sie ändert, plant die Ankündigung mit ein.