Vertrag über Auftragsverarbeitung

Anhänge 1 bis 3 als PDF herunterladenPDF · 32 KB

Diese Seite gibt den Vertragsinhalt für die Nutzung der Claritava-Plattform wieder. Sie betrifft nicht den Besuch dieser Website — dafür gilt unsere Datenschutzerklärung.

Vertragsparteien

zwischen

– nachfolgend „Verantwortlicher“ genannt –

und

Kibo AI GmbH
Laufertorgraben 2
90489 Nürnberg

– nachfolgend „Auftragsverarbeiter“ genannt –

und gemeinsam als „Vertragsparteien“ bezeichnet – wird Folgendes vereinbart.

Anhang 1 – Beauftragte Dienstleistungen und Kontaktdaten

Gegenstand der Verarbeitung

Bereitstellung, Betrieb und Maintenance (Wartung, Updates, technischer Support) der webbasierten SaaS-Plattform Claritava zur Umsetzung der EU-Entgelttransparenzrichtlinie (2023/970) und des Entgelttransparenzgesetzes. Der Auftraggeber nutzt die Plattform zur Durchführung von Entgeltgleichheitsanalysen, Jobbewertungen nach der Hay-Methode und zur Erfüllung seiner gesetzlichen und internen Berichtspflichten.

Art und Zweck der Verarbeitung

Art der Verarbeitung:

• Erheben durch Übermittlung oder Upload von Datensätzen (insbesondere Gehalts- und Beschäftigtendaten) durch den Auftraggeber in die Plattform des Auftragnehmers
• Speichern, Organisieren, Strukturieren und Zusammenführen der Datensätze in der Plattform
• Auswerten und Analysieren der Daten anhand der Vorgaben der Entgelttransparenzrichtlinie sowie gegebenenfalls weiterer, vom Auftraggeber vorgegebener Kriterien (Vergleich von Entgeltgruppen, Abteilungen, Geschlechtern, Hierarchieebenen)
• Erstellung von Auswertungen, Berichten, Dashboards und Kennzahlen (Statistiken, Aggregationen, Vergleichsanalysen)
• Anonymisierung gemäß § 5 dieses Vertrages
• Einsichtnahme durch Mitarbeiter des Auftragnehmers ausschließlich, soweit dies zur Erbringung der vertraglich geschuldeten Leistungen (Support, Fehleranalyse, Wartung) erforderlich ist

Zweck der Verarbeitung:

• Prüfung und Sicherstellung der Einhaltung der EU-Entgelttransparenzrichtlinie 2023/970
• Durchführung interner Entgeltgleichheits- und Entgeltstruktur-Analysen beim Auftraggeber
• Erstellung von Nachweisen und Dokumentationen gegenüber Aufsichtsbehörden oder internen Gremien (Betriebsrat)
• Nutzung der Plattformfunktionen zur nachhaltigen Steuerung und Kontrolle von Vergütungsstrukturen

Art der personenbezogenen Daten

Soweit vom Auftraggeber in die Plattform übermittelt:

• Stammdaten: Vorname, Nachname, Personalnummer oder interne Kennungen, gegebenenfalls Geburtsjahr, Geschlecht
• Beschäftigtendaten: Stellenbezeichnung, Funktion, Abteilung, Organisationseinheit, Eintrittsdatum, Beschäftigungsumfang (Vollzeit/Teilzeit), Hierarchieebene (L1–L8, EX-1), Standort
• Vergütungsdaten: Grundgehalt, variable Vergütungsbestandteile (Boni, Provisionen), Zulagen, Sachleistungen, Aktien/Equity, Benefits, historische Vergütungsdaten
• Vertrags- und Organisationsdaten: Art des Beschäftigungsverhältnisses, Vollzeit- oder Teilzeitstatus, gegebenenfalls Informationen zu Abwesenheiten

Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO sind vom Auftraggeber grundsätzlich nicht zu übermitteln.

Kategorien betroffener Personen

• Aktive Beschäftigte des Auftraggebers
• Gegebenenfalls ehemalige Beschäftigte (rückwirkende Analysen)
• Gegebenenfalls Praktikanten, Werkstudenten, Auszubildende, Leiharbeitnehmer

Dauer der Verarbeitung

Für die Dauer des zwischen den Parteien bestehenden Hauptvertrags (SaaS-Nutzungsvertrag Claritava). Nach Vertragsende: Löschung oder Rückgabe gemäß § 10 dieses Vertrages innerhalb von 30 Tagen.

Datenschutzbeauftragte

Verantwortlicher (Kundenseite)

Der Verantwortliche hat keinen Datenschutzbeauftragten bestellt.

Auftragsverarbeiter (Kibo AI GmbH)

Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten bestellt. Kontakt für Datenschutzfragen: datenschutz@kibo-ai.com

Anhang 2 – Unterauftragnehmer

Hinweis Anthropic / Drittland: Kibo AI GmbH aktiviert bei Anthropic die Option „Zero Data Retention“ (ZDR), sodass keine übermittelten Daten für Trainingszwecke verwendet werden. Der Abschluss von Standarddatenschutzklauseln (SCCs) mit Anthropic ist dokumentiert.

Anhang 3 – Technische und organisatorische Maßnahmen

A. Zutrittskontrolle – Serverräume

• A1.0: Ja – personenbezogene Daten werden auf Servern gespeichert.
• A1.1 Serverstandort: Google Cloud Platform, Region europe-west3, Rechenzentrumsstandort Frankfurt am Main, Deutschland.
• A1.2 Mehrere Standorte: Ja – automatische Backups ebenfalls in Region europe-west3 (georedundant innerhalb Frankfurt).
• A1.4 Einheitliche Maßnahmen: Ja – alle Standorte unter Google-Cloud-Infrastruktur mit einheitlichen Sicherheitsmaßnahmen.

Physische Zutrittskontrolle: Liegt vollständig bei Google Cloud (ISO 27001 zertifiziert, SOC 2 Type II). Google-Rechenzentren sind mit biometrischer Zugangskontrolle, durchgehender Videoüberwachung, Mehrfaktor-Authentifizierung und Sicherheitspersonal gesichert.

B. Zugangskontrolle (IT-Systeme)

C. Zugriffskontrolle (Berechtigungen)

Mandantentrennung: Strikte TenantId-Filterung auf Datenbankebene bei jeder Abfrage. Ein mandantenübergreifender Datenzugriff ist technisch nicht möglich.

D. Weitergabekontrolle und Übertragungssicherheit

E. Verfügbarkeitskontrolle

F. Trennungskontrolle

• Strikte logische Mandantentrennung auf Datenbankebene (TenantId auf jeder Tabelle)
• Produktions-, Test- und Entwicklungsumgebungen sind getrennt
• Anonymisierte Benchmark-Daten werden in einer separaten Tabelle gespeichert (kein Join mit Personaldaten)

G. Auftragsverarbeitungskontrolle

• Alle Mitarbeiter mit Datenzugang sind zur Vertraulichkeit verpflichtet
• Unterauftragsverarbeiter sind in Anhang 2 dokumentiert
• Datenschutzverletzungen werden unverzüglich, spätestens innerhalb von 24 Stunden intern gemeldet; die Weiterleitung an den Verantwortlichen erfolgt innerhalb von 48 Stunden

Anhänge 1 bis 3 als PDF herunterladenPDF · 32 KB

Stand: August 2026 · Kibo AI GmbH, Nürnberg