1. Gegenstand und Zweck der Verarbeitung

EmplYze verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden (Verantwortlicher) zur Erbringung der vertraglich vereinbarten Leistungen (Bereitstellung der NI-Plattform inkl. Konto- und Abrechnungsfunktionen, optionale KI-Funktionen).

Eine darüber hinausgehende Verarbeitung erfolgt nur, sofern eine entsprechende Rechtspflicht nach Unionsrecht oder Recht eines Mitgliedstaats besteht; in diesem Fall erfolgt eine vorherige Information.

2. Datenarten und betroffene Personen

Verarbeitete Datenarten: Kontostammdaten der vom Kunden eingerichteten Nutzer (Name, geschäftliche E-Mail-Adresse, Rolle), Zugriffs- und Audit-Protokolle, Nutzungsdaten, vom Kunden eingegebene aggregierte Unternehmenskennzahlen (ohne Personenbezug).

Betroffene Personen: Beschäftigte oder Beauftragte des Kunden, die das System nutzen.

3. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung in Transit (TLS 1.2+) und at-Rest (AES-256).
• Rollen- und Rechtekonzept; Need-to-know-Prinzip für interne Zugriffe.
• Mehr-Faktor-Authentifizierung für administrative Zugriffe.
• Backup- und Wiederherstellungsverfahren; getrennte Umgebungen für Entwicklung und Produktion.
• Sicherheits-Logs mit Zeitstempel und Audit-Trail.
• Mitarbeiterverpflichtung auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).

4. Subunternehmer (Art. 28 Abs. 2 und 4 DSGVO)

Eine aktuelle Liste der eingesetzten Subunternehmer-Kategorien (Hosting, Datenbank, Zahlungsabwicklung, SMTP, optionale KI-Inferenz) ist in den Datenschutzhinweisen und auf Anfrage verfügbar. Änderungen werden mit angemessener Vorlauffrist mitgeteilt; der Kunde kann begründet widersprechen.

5. Drittlandübermittlungen (Kap. V DSGVO)

Soweit ausnahmsweise Verarbeitungen außerhalb des EWR stattfinden (z. B. optionale KI-Komponenten), erfolgen sie auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 2) zuzüglich erforderlicher Zusatzmaßnahmen sowie eines dokumentierten Transfer Impact Assessment (TIA).

6. Unterstützungspflichten

EmplYze unterstützt den Kunden bei der Wahrnehmung von Betroffenenrechten (Art. 15–22 DSGVO), bei der Erfüllung der Pflichten aus Art. 32–36 DSGVO und stellt erforderliche Informationen zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

7. Meldepflichten

Datenschutzvorfälle werden dem Kunden unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnis, mit verfügbaren Informationen gemeldet (Art. 33 DSGVO).

8. Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

Nach Vertragsende werden personenbezogene Daten nach Wahl des Kunden gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (z. B. § 147 AO, § 257 HGB).

9. Abschluss des AVV

Der Kunde kann den AVV in der zur Plattform gehörigen Fassung über den Support anfordern. EmplYze stellt eine elektronisch signierbare Fassung bereit; die wesentlichen Inhalte spiegeln die Regelungen dieser Seite.