EU AI Act & DSGVO Compliance

CompLens fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Primäre Datenhaltung, Anwendungsbetrieb und KI-Verarbeitung sind für EU-Regionen konfiguriert. Datenstandorte und etwaige eingeschränkte Übermittlungen werden im AVV, in der Unterauftragsverarbeiterliste und durch geeignete Garantien geregelt.

• Hosting & Frontend (Vercel): Das Frontend und die API-Routen werden über Vercel bereitgestellt. Serverless Functions werden strikt in der Region fra1 (Frankfurt am Main) ausgeführt. Vercel ist SOC2 Typ II zertifiziert.
• Datenbank & Authentifizierung (Supabase): Alle Datenbankeinträge, Benutzerprofile und gespeicherten Dateien (z. B. Excel-Uploads) liegen physisch im AWS-Rechenzentrum eu-central-1 (Frankfurt). Supabase bietet branchenüblichen Schutz (SOC2 Typ II, HIPAA-konform).
• Transaktions-E-Mails (Scaleway): System-E-Mails werden über Scaleway Transactional Email in Paris verarbeitet. Nach Anbieterangaben wird der TEM-Dienst vollständig innerhalb der EU betrieben und verarbeitet keine personenbezogenen Daten außerhalb der EU. Nachrichteninhalte werden nach der Verarbeitung automatisch gelöscht. TEM-Metriken werden in Cockpit standardmäßig 31 Tage gespeichert. Es gelten das Scaleway-DPA und die produktspezifischen Bedingungen.

Die CompLens Software nutzt generative KI (Google Vertex AI mit gemini-3.5-flash und gemini-3.5-flash-lite, je nach Arbeitslast als Primär- oder Fallback-Modell) für Entwürfe von Stellenprofilen und Stellenarchitekturen, die Importzuordnung, aggregierte Analyse- und Berichtstexte sowie optional ausgelöste Beschäftigtenzuordnungs- und Maßnahmenentwürfe. Bezüglich des EU Artificial Intelligence Act (AI Act) gelten folgende Grundsätze:

• Rollenverteilung: DexterBee entwickelt und stellt die CompLens-KI-Anwendung bereit und nimmt für diese Anwendung Anbieterpflichten wahr. Kundenorganisationen setzen sie als Betreiber ein. Google stellt den zugrunde liegenden Modelldienst bereit.
• Keine automatisierte Entscheidungsfindung (Human-in-the-Loop): CompLens trifft keine autonomen Entscheidungen über Beschäftigte (Art. 22 DSGVO). Bei der optionalen Beschäftigtenzuordnung erhält Vertex AI eine pseudonyme Beschäftigten-UUID, Jobtitel, Abteilung und Einstufung, jedoch keine Namen, E-Mail-Adressen oder Entgeltwerte. Vorschläge werden nicht automatisch gespeichert. Einen optionalen Maßnahmenentwurf kann nur eine berechtigte HR-Administration mit dem erforderlichen individuellen Beschäftigten-, Vergleichs- und Entgeltkontext auslösen. Der Entwurf ändert keine Daten und setzt keine Maßnahme um. Alle KI-Ergebnisse müssen vor Verwendung durch HR geprüft werden.
• Transparenz: KI-generierte Ersteinschätzungen und Berichtstexte werden auf den freigegebenen Oberflächen als Entwurf gekennzeichnet und vor Speicherung oder Freigabe durch HR geprüft.
• EU-Datenstandort für KI-Verarbeitung: KI-Anfragen nutzen den Vertex AI EU-Multiregion-Endpunkt (aiplatform.eu.rep.googleapis.com, Standort „eu“). Verarbeitung und etwaige Übermittlungen richten sich nach dem Google Cloud Data Processing Addendum, dem Art.-28-AVV und den vereinbarten Garantien.
• Workload Identity Federation (WIF): Die Authentifizierung gegenüber Google Cloud erfolgt über Vercel OIDC → Google STS → Service-Account-Impersonation. CompLens hält keine statischen API-Keys in seiner Infrastruktur.
• Modell-Fallback: Schlägt die Anfrage an das für die jeweilige Arbeitslast vorgesehene Primärmodell fehl, wird sie einmal mit dem zugeordneten Fallback-Modell wiederholt. Schlägt auch dieser Versuch fehl, wird ein Fehler angezeigt und kein Ergebnis gespeichert.
• Spaltenweise Pseudonymisierung (Art. 4 Nr. 5 DSGVO): Importbeispiele werden gekürzt oder durch strukturelle Platzhalter ersetzt und spaltenweise statt zeilenweise übertragen. Das reduziert Verknüpfbarkeit und Re-Identifikationsrisiken, schließt sie jedoch nicht vollständig aus.

Zum Schutz der verarbeiteten Entgeltdaten setzt CompLens risikobasierte Maßnahmen ein. Dazu gehören verschlüsselte Verbindungen, anbieterseitige Verschlüsselung gespeicherter Daten, Row Level Security, rollenbezogene Berechtigungen und kontrollierte Löschverfahren.

Für CompLens steht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit technischen und organisatorischen Maßnahmen zur Verfügung. Die eingesetzten Unterauftragsverarbeiter, ihre Zwecke, primären Konfigurationen und Transfergarantien sind im AVV und unter /sub-processors dokumentiert. Bei erforderlichen Drittlandübermittlungen gelten die jeweiligen Standardvertragsklauseln beziehungsweise ein einschlägiger Angemessenheitsbeschluss.

Bei weiteren Rückfragen zur Informationssicherheit oder zum AVV wenden Sie sich an unseren Datenschutzkontakt: hallo@complens.de

In Deutschland regelt das Betriebsverfassungsgesetz (BetrVG) die Mitbestimmungsrechte des Betriebsrats. Für HR-Analysetools wie CompLens sind zwei Vorschriften besonders relevant:

• § 87 Abs. 1 Nr. 6 BetrVG — Mitbestimmung bei der Einführung und Anwendung technischer Einrichtungen, die das Verhalten oder die Leistung der Arbeitnehmer überwachen oder beurteilen können. Tools, die Entgeltdaten zu Auswertungszwecken verarbeiten, fallen nach verbreiteter Lesart hierunter.
• § 80 Abs. 2 BetrVG — Anspruch des Betriebsrats auf rechtzeitige und umfassende Information zur Erfüllung seiner Aufgaben.

Wie Kundenunternehmen diese Vorgaben praktisch umsetzen — etwa per Informationsschreiben, Betriebsvereinbarung oder anderem geeigneten Verfahren — liegt in ihrer Verantwortung und in ihrer internen Abstimmung mit dem Betriebsrat. CompLens stellt diese Information bereit, bietet aber bewusst keine Rechtsberatung (Rechtsdienstleistungsgesetz, RDG). Für die konkrete rechtliche Bewertung empfehlen wir die Rücksprache mit Ihrer Rechts- oder Datenschutzabteilung.

Praktische Unterstützung: Unter /dashboard/betriebsrat finden Org-Administratoren eine PDF-Vorlage für das Informationsschreiben nach § 80 Abs. 2 BetrVG — die rechtliche Bewertung bleibt Aufgabe Ihrer Rechtsabteilung.

Das Allgemeine Gleichbehandlungsgesetz (AGG) aus 2006 setzt vier EU-Antidiskriminierungsrichtlinien um und ist die zentrale deutsche Rechtsgrundlage für Entgeltgleichheit. Für CompLens und seine Nutzer sind folgende Vorschriften besonders relevant:

• § 7 AGG — Benachteiligungsverbot in Beschäftigung und Beruf; das Entgelt ist ausdrücklich erfasst.
• § 8 AGG — zulässige unterschiedliche Behandlung bei sachlicher Rechtfertigung. Das CompLens-Modul „Begründungen" bildet diese sachliche Rechtfertigung dokumentiert ab.
• § 22 AGG — Beweislasterleichterung in Diskriminierungsfällen. Diese Beweislastregel gilt in Deutschland seit 2006, also unabhängig und parallel zu Art. 18 EU-RL 2023/970.
• § 15 AGG — Schadenersatz- und Entschädigungsansprüche bei Verstößen.

Wie das Kundenunternehmen seine Entgeltstruktur konkret rechtfertigt, dokumentiert oder gegen Ansprüche verteidigt, entscheidet die Rechts- bzw. HR-Abteilung des Kunden. CompLens informiert über den Rahmen, bietet aber keine Rechtsberatung (Rechtsdienstleistungsgesetz, RDG). Für die konkrete rechtliche Bewertung empfehlen wir die Rücksprache mit Ihrer Rechtsabteilung oder einer Fachanwaltskanzlei für Arbeitsrecht.