Verantwortlicher im Sinne der DSGVO ist:
DexterBee GmbH
Industriestr. 13
63755 Alzenau, Deutschland
E-Mail: hallo@complens.de
Für Website-, Konto-, Vertrags- und Kontaktdaten ist DexterBee GmbH Verantwortlicher. Beschäftigten- und Entgeltdaten verarbeitet CompLens grundsätzlich im Auftrag der Kundenorganisation nach Art. 28 DSGVO. Die Kundenorganisation legt Zweck, Umfang und Rechtsgrundlage dieser Verarbeitung fest.
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Name, geschäftliche E-Mail-Adresse, Passwort-Hash, Nutzer- und Organisationskennung | Kontoerstellung, Authentifizierung und Bereitstellung von CompLens | Art. 6 Abs. 1 lit. b DSGVO; bei Nutzenden, die nicht selbst Vertragspartei sind, Art. 6 Abs. 1 lit. f DSGVO |
| Unternehmens-, Vertrags-, Lizenz- und Abrechnungsdaten | Vertragsanbahnung, Preisermittlung, Vertragsdurchführung und Abrechnung | Art. 6 Abs. 1 lit. b und c DSGVO; Art. 6 Abs. 1 lit. f DSGVO bei geschäftlichen Kontaktpersonen |
| Partnerkonto, Beratungsunternehmen, Mandatsstatus, Zuweisungen und MFA-Status | Einrichtung und Absicherung eines vom Kunden freigegebenen Beratungszugriffs | Art. 6 Abs. 1 lit. b und lit. f DSGVO |
| Beschäftigtenkennungen, optional Namen, Gesellschaft, Standort, Organisationseinheit, Stellen- und Arbeitsdaten, Geschlecht sowie Entgeltdaten | Stellenarchitektur, Stellenbewertung, Vergleichsgruppen, Entgeltlückenanalyse und Berichte im Kundenauftrag | Auftragsverarbeitung nach Art. 28 DSGVO; die Rechtsgrundlage der Kundenorganisation richtet sich nach dem jeweiligen Beschäftigungskontext |
| Empfängeradresse, zweckgebundener Inhalt und technische Zustelldaten von Transaktions-E-Mails | Kontobestätigung, Passwort-Zurücksetzung, Einladungen und erforderliche Vertrags- oder Systemmitteilungen | Art. 6 Abs. 1 lit. b und f DSGVO; bei Nachrichten im Kundenauftrag Art. 28 DSGVO |
| Server-Logs (insbesondere IP-Adresse, Zeitstempel, Anfrage- und Fehlerdaten) | Betriebssicherheit, Missbrauchsprävention und Fehleranalyse | Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO |
| Audit-Log-Einträge (Nutzerkennung, Beratungsunternehmen, Aktion, Objekt, Zeitstempel) | Zugriffsnachweis, Kundenkontrolle und Informationssicherheit | Art. 6 Abs. 1 lit. f, Art. 28 Abs. 3 lit. a und Art. 32 DSGVO |
Die primäre Datenspeicherung ist bei Supabase für Frankfurt am Main konfiguriert. Während der Vertragslaufzeit werden Entgeltdatensätze und zugehörige Analysen standardmäßig bis zu drei Jahre nach Ende des jeweiligen Berichtsjahres aufbewahrt. Die Kundenorganisation kann eine kürzere Frist oder eine frühere Löschung anweisen. Nach Vertragsende werden aktive CompLens-Kundendaten nach einem gegebenenfalls gewünschten Export spätestens innerhalb von 30 Kalendertagen gelöscht. Sicherungs- und Dienstleisterkopien folgen den im AVV ausgewiesenen Löschzyklen und werden nicht für den regulären Betrieb genutzt.
Kundensichtbare Nutzungsereignisse werden nach 30 Tagen bereinigt. Sicherheits- und Administrationsereignisse werden 90 Tage im operativen Bereich und anschließend zweckgebunden bis zu 15 Monate in einem zugriffsbeschränkten Archiv aufbewahrt. Vertrags-, Abrechnungs- und Nachweisdaten können aufgrund gesetzlicher Pflichten länger gespeichert werden; sie werden für andere Zwecke gesperrt.
Ein Kunden-Admin kann CompLens anweisen, einem von CompLens geprüften Beratungsunternehmen Zugriff auf den Kundenmandanten zu erteilen. Die Weisung, der Berechtigungsstand, die namentlich zugewiesenen Beratungspersonen und Widerrufe werden protokolliert. Beratungspersonen nutzen persönliche Konten mit verpflichtender Zwei-Faktor-Authentifizierung.
Beratungspartner können bereits vom Kunden hochgeladene Beschäftigtendaten im freigegebenen fachlichen Umfang verarbeiten. Sie können keine Entgeltdaten hochladen, keine Vertragsbedingungen annehmen und nicht auf Abrechnung oder Stripe zugreifen. Der Kunde kann einzelne Zuweisungen oder das gesamte Mandat jederzeit mit sofortiger Wirkung widerrufen.
Das Beratungsunternehmen wird durch den Kunden ausgewählt. Die technische Freigabe legt die datenschutzrechtliche Rolle des Beratungsunternehmens nicht fest. Kunde und Beratungsunternehmen müssen ihre Rollen, Weisungen, Vertraulichkeits- und Löschpflichten für das konkrete Mandat vor der Freigabe prüfen und vertraglich regeln.
CompLens verarbeitet personenbezogene Daten Ihrer Beschäftigten ausschließlich im Auftrag Ihres Unternehmens. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO wird auf Anfrage unter hallo@complens.de bereitgestellt. Ohne gültigen AVV darf CompLens keine Beschäftigtendaten verarbeiten. Unsere vollständigen Technischen und Organisatorischen Maßnahmen (TOMs) finden Sie unter complens.de/toms.
CompLens setzt Google Vertex AI (Gemini-Modelle, Google Ireland Ltd.) als KI-Plattform für folgende Verarbeitungstätigkeiten ein. KI-Anfragen nutzen den Vertex AI EU-Multiregion-Endpunkt (aiplatform.eu.rep.googleapis.com, Standort „eu“). Verarbeitung und etwaige Übermittlungen richten sich nach dem Google Cloud Data Processing Addendum, der Unterauftragsverarbeiterregelung und den vereinbarten Garantien.
| Verarbeitungstätigkeit | Übermittelte Datenkategorien | Rechtsgrundlage |
|---|---|---|
| Stellenarchitektur und Stellenprofile | Jobtitel, Stelleninhalte, Anforderungen und vom Nutzer freigegebener Text; bekannte direkte Kontaktdaten werden vor der Übermittlung redigiert | Vertragserfüllung beziehungsweise Verarbeitung im Kundenauftrag |
| Import-Spaltenerkennung | Spaltenüberschriften und höchstens fünf pseudonymisierte Beispielwerte je Spalte; keine vollständigen Beschäftigtenzeilen | Vertragserfüllung beziehungsweise Verarbeitung im Kundenauftrag |
| Analyse- und Berichtstexte | Aggregierte Kennzahlen, Kohorten- und Berichtskontext; kleine Kohorten können weiterhin personenbeziehbar sein | Verarbeitung im Kundenauftrag |
| Optionale Beschäftigtenzuordnung | Pseudonyme Beschäftigten-UUID, Jobtitel, Abteilung und Einstufung; keine Namen, E-Mail-Adressen oder Entgeltwerte | Verarbeitung im Kundenauftrag; Vorschläge bedürfen der Bestätigung durch HR |
Unterauftragsverarbeiter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Verarbeitung erfolgt nach dem Google Cloud Data Processing Addendum und den darin vorgesehenen Garantien. Die vollständige Liste aller eingesetzten Sub-Auftragsverarbeiter mit Änderungshistorie finden Sie unter complens.de/sub-processors.
Authentifizierung: Der Zugriff von CompLens auf Vertex AI erfolgt über Google Workload Identity Federation (keine statischen API-Schlüssel; kurzlebige OAuth-Tokens via OIDC).
Datenminimierung bei der Spaltenzuordnung: Die Importdatei wird innerhalb der CompLens-Infrastruktur ausgewertet. An Vertex AI werden Spaltenüberschriften und höchstens fünf pseudonymisierte Beispielwerte je Spalte übermittelt. Freitext, Kennungen und exakte Zahlenwerte werden vor der Übermittlung durch Struktur- oder Formatplatzhalter ersetzt. Vollständige Beschäftigtenzeilen werden nicht übermittelt.
Pseudonymisierung gem. Art. 4 Abs. 5 DSGVO: Soweit andere KI-Funktionen Beschäftigten-IDs oder Namen verarbeiten, werden direkte Identifikatoren vor der Übermittlung nach Maßgabe der jeweiligen Funktion pseudonymisiert oder redigiert. Pseudonymisierung reduziert das Re-Identifikationsrisiko, schließt es jedoch nicht vollständig aus.
Transaktions-E-Mail: Konto-, Einladungs-, Passwort- und erforderliche Systemnachrichten werden über Scaleway S.A.S., Frankreich, mit Transactional Email in Paris (fr-par) versandt. Scaleway erhält die Empfängeradresse, den zweckgebundenen Nachrichteninhalt und technische Zustelldaten. Nach Anbieterangaben wird Transactional Email vollständig innerhalb der Europäischen Union betrieben und verarbeitet keine personenbezogenen Daten außerhalb der Europäischen Union. Nachrichteninhalte werden nach der Verarbeitung automatisch gelöscht; CompLens verwendet den Dienst nicht als Nachrichtenarchiv. TEM-Metriken werden in Scaleway Cockpit standardmäßig 31 Tage gespeichert. Entgeltunterlagen werden nicht als regulärer E-Mail-Anhang versandt.
Weitere Empfänger und Drittlandbezug: Supabase und Vercel sind für die primäre Verarbeitung in Frankfurt konfiguriert. Je nach Anbieter können vertragliche Beziehungen, globale Sicherheitsfunktionen oder Supportzugriffe einen Drittlandbezug begründen. Soweit erforderlich, werden Standardvertragsklauseln oder ein anwendbarer Angemessenheitsbeschluss eingesetzt. Einzelheiten zu Rechtsträgern, Zwecken, Regionen und Garantien enthält die Unterauftragsverarbeiterliste.
CompLens berechnet Entgeltkennzahlen und den Gender Pay Gap mit festgelegten mathematischen Formeln. Ein Sprachmodell berechnet diese Werte nicht und entscheidet nicht über die Zugehörigkeit zu einer Vergleichsgruppe. KI-Ausgaben sind Entwürfe und werden nicht automatisch als Personalentscheidung oder Datenänderung übernommen.
Sie haben folgende Rechte gemäß DSGVO:
Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach — www.lda.bayern.de
CompLens verwendet technisch notwendige Cookies und lokale Speicherinformationen für die Sitzungsverwaltung (Supabase Auth) und zur Speicherung Ihrer Einwilligungsentscheidung. Sie sind erforderlich, um die ausdrücklich angeforderten Funktionen bereitzustellen.
Google Analytics 4 wird erst nach Ihrer Einwilligung geladen. Dabei können insbesondere pseudonyme Online-Kennungen, aufgerufene Seiten, Geräte- und Browserinformationen sowie Interaktionsdaten an Google Ireland Limited übermittelt werden. Die Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Einwilligung wird das Analyseskript nicht geladen.
Nach Erteilung der Cookie-Einwilligung wird ein Geräte-Fingerprint (gehashte Kombination aus Browser-Typ, Bildschirmauflösung, Zeitzone, Sprache, Plattform, CPU-Kerne und Touch-Punkte) erstellt und als SHA-256-Hash gespeichert. Dieser dient ausschließlich der Erkennung vertrauenswürdiger Geräte (max. 3 pro Nutzer) und wird nicht an Dritte weitergegeben. Ohne Cookie-Einwilligung erfolgt kein Fingerprinting.
Produktdemo auf unserer Website: Die Video-Demo wird als MP4 über unsere Website und unseren Hosting-Anbieter Vercel bereitgestellt. Der Player verwendet keine externen Videoskripte und setzt keine Analyse- oder Marketing-Cookies. Die Wiedergabe startet erst auf Ihre Anforderung. Dabei werden technisch erforderliche Verbindungsdaten wie die IP-Adresse an unseren Hosting-Anbieter übermittelt; es gelten die Angaben zum Hosting in dieser Datenschutzerklärung.
Eingebettete Drittanbieter-Inhalte: Auf der Presse- und Produkt-Tour-Seite bieten wir zusätzlich Videoclips von Synthesia Ltd. (UK) an. Diese externen Inhalte werden erst nach Ihrer Einwilligung geladen. Dabei werden Daten an Synthesia übermittelt, insbesondere Ihre IP-Adresse. Diese Einwilligung ist für die Nutzung der direkt auf unserer Website bereitgestellten MP4-Produktdemo nicht erforderlich.
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (§ 25 TDDDG):
Bei Fragen zum Datenschutz wenden Sie sich an: hallo@complens.de