Datenschutzerklärung

Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung ist, soweit nichts anderes steht:

E-Mail: team@thepeopleopsmanager.com. Weitere Angaben stehen im Impressum.

Wir haben keinen Datenschutzbeauftragten benannt, weil dafür keine gesetzliche Pflicht besteht. Bei allen Fragen zum Datenschutz schreib an team@thepeopleopsmanager.com.

3.1 Verarbeitung als Verantwortlicher

Wir sind Verantwortlicher für: Besuche der Website und des Blogs (Server-Logs), Benutzerkonten der Web-App (Name, E-Mail, Passwort, Mitgliedschaft im Workspace), Abonnements und Zahlungen, E-Mails, die du uns schickst, Kommentare im Blog und die technische Sicherheit des Dienstes.

3.2 Verarbeitung im Auftrag von Kunden (Art. 28 DSGVO)

The People Ops Manager wird von Organisationen (unseren Kunden) genutzt, um Onboarding und Offboarding zu koordinieren. In einem Workspace speichern und verarbeiten Kunden Daten über ihre Beschäftigten und neuen Mitarbeitenden, zum Beispiel: Name, Rolle oder Position, Abteilung, Standort, Arbeitsmodell (Büro, hybrid, remote), Führungskraft, HR-Kontakt, Eintrittsdatum oder letzter Arbeitstag, eine interne Personalnummer, die benötigten Systeme, Aufgaben mit Verantwortlichen, Fristen und Erledigungsnachweisen, Freigabeanfragen und Entscheidungen sowie ein Aktivitätsprotokoll, wer was geändert hat. Kunden können diese Daten außerdem aus ihrem HR-System importieren oder Verzeichniskonten über die Integrationen aus Abschnitt 7 prüfen.

Für diese Daten ist der Kunde Verantwortlicher. Wir verarbeiten sie nur, um den Dienst zu erbringen, und nur nach dokumentierter Weisung des Kunden, als Auftragsverarbeiter nach Art. 28 DSGVO. Wir nutzen sie nicht für eigene Zwecke, verkaufen sie nicht und trainieren damit keine KI-Modelle. Einen Auftragsverarbeitungsvertrag (AVV) stellen wir auf Anfrage unter team@thepeopleopsmanager.com bereit.

Das Produkt ist darauf ausgelegt, nur zu speichern, was die Koordination braucht. Es ist nicht für Gehaltsdaten, Bankverbindungen, Ausweisdokumente, Gesundheitsdaten, Familienangaben oder andere besondere Kategorien personenbezogener Daten gedacht, und Kunden sollen solche Daten nicht eingeben.

Bist du bei einem unserer Kunden beschäftigt und möchtest deine Datenschutzrechte zu deinen Onboarding- oder Offboarding-Daten ausüben, wende dich bitte an deinen Arbeitgeber. Schreibst du uns, leiten wir deine Anfrage an den betroffenen Kunden weiter.

Die Website und die Web-App werden mit Bolt.new (StackBlitz, Inc., USA) gebaut und von Netlify, Inc., USA, über ein Content Delivery Network ausgeliefert. Anfragen an /blog/ und /de/blog/ leitet Netlify an den Blog-Server weiter (Abschnitt 9).

Wenn du eine Seite öffnest, sendet dein Browser automatisch technische Daten, die der Hoster in Server-Logs festhält: IP-Adresse, Datum und Uhrzeit der Anfrage, angeforderte URL, Referrer-URL, HTTP-Status, übertragene Datenmenge, Browsertyp und -version (User-Agent) und Betriebssystem.

Zweck und Rechtsgrundlage: Auslieferung der Website, Gewährleistung von Stabilität und Sicherheit und Abwehr von Angriffen. Unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO liegt in einer sicheren und zuverlässigen Website. Wir führen diese Logs nicht mit anderen Daten zusammen. Netlify speichert die Logs für einen begrenzten Zeitraum nach eigenen Aufbewahrungsregeln, wir halten keine eigenen Kopien.

Konten, Authentifizierung, Datenbank und Server-Funktionen der Web-App laufen bei Supabase (Supabase, Inc., USA): Supabase Auth, eine Postgres-Datenbank und Supabase Edge Functions. Die Server von Supabase können in der EU oder in den USA stehen.

Von Kontoinhabern verarbeiten wir folgende Daten:

• Kontodaten: Name, E-Mail-Adresse, Passwort (von Supabase Auth nur als kryptografischer Hash gespeichert), Zeitpunkte der Kontoerstellung und der Anmeldungen.
• Workspace-Daten: Name des Workspaces, Zeitzone, optional die Unternehmensgröße, deine Mitgliedschaft und Rolle (Owner, Admin, Operator oder Viewer) sowie die Inhalte, die du anlegst, etwa Fälle, Aufgaben, Freigaben und dir zugeordnete Einträge im Aktivitätsprotokoll.
• Sicherheitsdaten: Supabase Auth erfasst technische Daten wie IP-Adresse, User-Agent und Zeitpunkt von Anmeldungen und Token-Erneuerungen, um Konten zu schützen.

Supabase verschickt in unserem Auftrag auch die Transaktions-E-Mails der App: Bestätigung der E-Mail-Adresse nach der Registrierung, Links zum Zurücksetzen des Passworts und Einladungen in einen Workspace.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen) für Konto und Workspace; Art. 6 Abs. 1 lit. f DSGVO für Sicherheitsdaten, gestützt auf unser berechtigtes Interesse, Konten vor Missbrauch zu schützen. Supabase ist unser Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags. Für Beschäftigtendaten in Workspaces ist Supabase unser Unterauftragsverarbeiter (Abschnitt 3.2).

Workspaces werden per Abonnement bezahlt. Zahlungen wickeln Stripe Payments Europe, Ltd., Irland, und Stripe, Inc., USA, über Stripe Checkout und das Stripe-Abrechnungsportal ab. Deine Kartendaten gibst du direkt bei Stripe ein. Deine Kartennummer sehen oder speichern wir nie. Stripe verarbeitet deinen Namen, deine E-Mail-Adresse, deine Rechnungsadresse, Steuerangaben, falls du sie machst, Daten zur Zahlungsart, den Betrag und den Status des Abonnements.

Wir speichern den Workspace, die Stripe-Kunden-ID, die Stripe-Abonnement-ID, den Tarif, den Abo-Status, das Ende des laufenden Abrechnungszeitraums und ob das Abonnement zum Ende des Zeitraums ausläuft. Einen Aktionscode gibst du im Stripe Checkout ein. Stripe schickt uns Zahlungsereignisse (Webhooks), damit der Workspace Zugang erhält, solange das Abonnement aktiv ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Abonnementvertrags) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten im Steuer- und Handelsrecht, etwa § 257 HGB und § 147 AO). Stripe ist für die Zahlungsabwicklung unser Auftragsverarbeiter und für Betrugsprävention und eigene gesetzliche Pflichten eigenständiger Verantwortlicher. Stripe, Inc. erhält Daten in den USA auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln.

Ein Owner oder Admin eines Workspaces kann die folgenden Werkzeuge mit Zugangsdaten aus dem eigenen Konto beim jeweiligen Anbieter verbinden:

• BambooHR (HR-System, nur lesend): liest anstehende Eintritte, darunter Name, Position, Abteilung, Standort, Führungskraft, Eintrittsdatum, Beschäftigungsstatus, Personalnummer und geschäftliche E-Mail-Adresse.
• Personio (HR-System, nur lesend): liest zu demselben Zweck Personen und Beschäftigungsverhältnisse.
• Slack: postet Erinnerungen in einen vom Kunden gewählten Kanal, und zwar erst, nachdem eine Person im Workspace die Nachricht freigegeben hat.
• Jira Cloud (Atlassian): erstellt IT- und Führungskraft-Tickets für freigegebene Schritte und liest deren Status als Nachweis zurück.
• Microsoft Entra ID (nur lesend): prüft anhand der geschäftlichen E-Mail-Adresse, ob das Verzeichniskonto einer neuen Mitarbeiterin oder eines neuen Mitarbeiters existiert und aktiv ist. Konten werden nie angelegt, geändert oder gesperrt.

API-Schlüssel und Tokens werden einmal an unsere Server-Funktionen gesendet und serverseitig in einer Datenbanktabelle gespeichert, die der Browser nicht lesen kann. Die App zeigt nur einen maskierten Hinweis (die letzten vier Zeichen). Daten werden nur dann von einem Anbieter abgerufen oder an ihn gesendet, wenn eine Person im Workspace es auslöst oder freigibt.

Für alle Daten, die über diese Integrationen ausgetauscht werden, handeln wir als Auftragsverarbeiter des Kunden (Abschnitt 3.2). Der Kunde nutzt diese Werkzeuge auf Grundlage seiner eigenen Verträge mit den jeweiligen Anbietern, die für die Daten in ihren Systemen verantwortlich sind.

Kunden können einen KI-Assistenten, der das Model Context Protocol (MCP) unterstützt, etwa Claude, ChatGPT oder Cursor, mit ihrem Workspace verbinden. Dazu erzeugt eine Person in der Web-App ein persönliches MCP-Token. Wir speichern nur einen SHA-256-Hash des Tokens und ein kurzes Präfix zur Anzeige, zusammen mit dem Zeitpunkt der letzten Nutzung. Das Token handelt mit der aktuellen Rolle der Person, die es erzeugt hat, Lese-Tools liefern nur die Felder, die diese Rolle sehen darf, und jede Änderung an einem externen System wird zu einer Freigabeanfrage, über die eine Person in der Web-App entscheidet.

Ruft der Assistent ein Tool auf, werden die angeforderten Workspace-Daten an diesen KI-Client zurückgegeben. Der KI-Anbieter verarbeitet sie dann auf Grundlage der eigenen Vereinbarung des Kunden mit diesem Anbieter. Wir senden von uns aus keine Workspace-Daten an KI-Anbieter.

Die Schaltfläche "Open in AI Agent" öffnet claude.ai oder chatgpt.com in einem neuen Tab mit einem vorbefüllten Prompt. Der Prompt enthält den Namen des Workspaces und den Kontext der aktuellen Seite, der den Namen einer beschäftigten Person enthalten kann. Das geschieht nur, wenn du die Schaltfläche anklickst, und danach gelten die Datenschutzbestimmungen des KI-Anbieters.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Verwaltung der Tokens; für Workspace-Daten die Verarbeitung im Auftrag des Kunden (Abschnitt 3.2).

Der Blog unter thepeopleopsmanager.com/blog/ (englisch) und thepeopleopsmanager.com/de/blog/ (deutsch) läuft auf WordPress und wird von ALL-INKL.COM - Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, gehostet. Anfragen werden über Netlify (Abschnitt 4) an diesen Server weitergeleitet. All-Inkl erfasst Server-Logs mit den gleichen technischen Daten wie in Abschnitt 4 beschrieben (IP-Adresse, Zeitpunkt, angeforderte URL, Referrer, User-Agent). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. All-Inkl ist unser Auftragsverarbeiter.

Sind Kommentare offen und schreibst du einen Kommentar, speichern wir deinen Namen, deine E-Mail-Adresse, optional eine Website, den Kommentartext, den Zeitpunkt und deine IP-Adresse. Die E-Mail-Adresse wird nicht veröffentlicht. Kommentare prüft das Plugin Antispam Bee auf Spam, das lokal auf unserem Server läuft und keine Daten an Dritte übermittelt. Wir nutzen kein Gravatar, Avatare sind abgeschaltet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, gestützt auf unser Interesse, Diskussion zu ermöglichen und Missbrauch wie Spam oder rechtswidrige Inhalte nachvollziehen und verhindern zu können. Kommentare bleiben online, bis du uns bittest, sie zu entfernen, oder der Beitrag gelöscht wird.

Wir setzen keine Analyse-, Tracking-, Werbe- oder Social-Media-Plugins ein und setzen keine Marketing-Cookies. Die Schriften (Inter und JetBrains Mono) liegen auf unserem eigenen Server, deshalb erhält kein Schriftanbieter deine IP-Adresse.

Diese Website nutzt nur technisch notwendigen Speicher: deine Login-Sitzung und deine Cookie-Auswahl, die 6 Monate im Cookie cc_cookie liegt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Optionale Statistik setzen wir nicht ein, sie würde nur mit deiner Einwilligung laufen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Deine Auswahl kannst du jederzeit über "Cookie-Einstellungen" im Footer ändern.

Die Web-App legt folgende unbedingt erforderliche Einträge im lokalen Speicher deines Browsers ab:

• Deine Supabase-Anmeldesitzung, damit du angemeldet bleibst (wird beim Abmelden entfernt).
• Den zuletzt gewählten Workspace, damit die App ihn wieder öffnet.
• Welche Benachrichtigungen du schon gelesen hast.
• Nur im Demo-Modus: den frei erfundenen Demo-Workspace und deine Änderungen daran.

Diese Einträge verlassen deinen Browser nicht, mit Ausnahme des Sitzungs-Tokens, das zur Authentifizierung deiner Anfragen an Supabase gesendet wird. Das Speichern und Lesen ist unbedingt erforderlich, um den von dir gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG), deshalb ist keine Einwilligung nötig. Jede weitere Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Du kannst die Einträge jederzeit in den Einstellungen deines Browsers löschen.

Schreibst du an team@thepeopleopsmanager.com, verarbeiten wir deine E-Mail-Adresse, falls angegeben deinen Namen und den Inhalt deiner Nachricht, um deine Anfrage zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn sich deine Anfrage auf einen Vertrag oder seine Anbahnung bezieht, sonst Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Anfragen zu beantworten). Wir löschen den Schriftverkehr, wenn er nicht mehr gebraucht wird, es sei denn, gesetzliche Aufbewahrungspflichten greifen (zum Beispiel 6 Jahre für Geschäftsbriefe nach § 257 HGB).

Personenbezogene Daten geben wir nur an die folgenden Empfänger weiter, und nur in dem oben beschriebenen Umfang:

Netlify, Inc., USA

Hosting und Auslieferung von Website und Web-App (über Bolt.new von StackBlitz, Inc., USA).

Stripe Payments Europe, Ltd., Irland, und Stripe, Inc., USA

Zahlungsabwicklung, Rechnungsstellung und Abrechnungsportal. EU-US Data Privacy Framework und Standardvertragsklauseln für Übermittlungen in die USA.

Supabase, Inc., USA

Authentifizierung, Datenbank, Server-Funktionen und Transaktions-E-Mails. Die Server können in der EU oder in den USA stehen.

ALL-INKL.COM - Neue Medien Münnich, Deutschland

Hosting des WordPress-Blogs.

Vom Kunden verbundene Anbieter

BambooHR, Personio, Slack, Atlassian (Jira Cloud) und Microsoft (Entra ID), nur wenn ein Kunde sie verbindet und nur auf Weisung des Kunden.

Vom Kunden gewählte KI-Anbieter

Zum Beispiel Anthropic (Claude), OpenAI (ChatGPT) oder Anysphere (Cursor), nur wenn ein Kunde einen KI-Assistenten über MCP verbindet oder eine Person auf "Open in AI Agent" klickt.

Wir verkaufen keine personenbezogenen Daten. Gegenüber Behörden legen wir Daten offen, soweit wir gesetzlich dazu verpflichtet sind.

Netlify, StackBlitz, Supabase und Stripe, Inc. haben ihren Sitz in den USA, und Daten können dort verarbeitet werden. Für Übermittlungen in die USA stützen wir uns auf einen Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework, Art. 45 DSGVO), wenn der Empfänger danach zertifiziert ist, und sonst auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die diese Anbieter in ihre Auftragsverarbeitungsverträge aufnehmen.

• Server-Logs: bei Netlify und All-Inkl für einen begrenzten Zeitraum nach deren eigenen Aufbewahrungsregeln, wir speichern keine Kopien.
• Konto- und Workspace-Daten: solange dein Konto oder der Workspace besteht. Wird ein Konto gelöscht, löschen wir die Kontodaten, es sei denn, gesetzliche Aufbewahrungspflichten greifen (zum Beispiel 6 oder 10 Jahre für Geschäftsbriefe und Buchungsunterlagen nach § 257 HGB und § 147 AO).
• Abrechnungsdaten (Stripe-Kunden- und Abonnement-IDs, Tarif, Status): solange der Workspace besteht. Rechnungen und Zahlungsbelege werden für die gesetzlichen Fristen von 6 oder 10 Jahren aufbewahrt.
• Einladungen in einen Workspace: bis sie angenommen werden oder ablaufen.
• MCP-Tokens: bis sie widerrufen werden oder das Konto oder der Workspace gelöscht wird. Widerrufene Tokens bleiben als Datensatz ohne das Token selbst erhalten.
• Zugangsdaten von Integrationen: bis die Integration getrennt oder der Workspace gelöscht wird.
• Beschäftigtendaten in Workspaces: solange der Kunde sie vorhält, und nach Vertragsende auf Weisung des Kunden gelöscht, wie im AVV geregelt.
• E-Mails und Blog-Kommentare: siehe die Abschnitte 9 und 11.

Du hast das Recht auf:

• Auskunft über die personenbezogenen Daten, die wir über dich speichern (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung deiner Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Erhalt deiner Daten in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO),
• Widerspruch gegen eine Verarbeitung, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Um deine Rechte auszuüben, schreib an team@thepeopleopsmanager.com. Zu Beschäftigtendaten in einem Kunden-Workspace siehe Abschnitt 3.2.

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Sächsische Datenschutz- und Transparenzbeauftragte in Dresden, www.datenschutz.sachsen.de.

Wir setzen keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO ein. Das Produkt trifft keine Personalentscheidungen und bewertet Beschäftigte nicht. Bereitschaft wird als Anteil geprüfter Aufgaben berechnet. Von einem KI-Agenten vorgeschlagene Aktionen wie Zugriffsanfragen, Ausrüstungsbestellungen oder Nachrichten werden erst ausgeführt, nachdem eine Person im Workspace sie freigegeben hat.

Du kannst die Website und den Blog lesen, ohne personenbezogene Daten anzugeben, abgesehen von den technischen Daten, die dein Browser sendet. Für ein Konto musst du Namen, E-Mail-Adresse und ein Passwort angeben, für ein Abonnement Zahlungsdaten bei Stripe. Ohne diese Angaben können wir die Web-App nicht bereitstellen.

Wir aktualisieren diese Erklärung, wenn sich der Dienst oder die Rechtslage ändert. Die aktuelle Fassung findest du immer auf dieser Seite.