Datenschutzerklärung

01

Einleitung

Komma ApS (CVR-Nr. 46208765), Paul Bergsøes Vej 16, 1. tv, 2600 Glostrup, Dänemark, entwickelt das HR-System für nordische Unternehmen – das gesamte HR an einem Ort, mit der integrierten KI-Assistentin Karma. Diese Datenschutzerklärung erläutert, wie wir personenbezogene Daten verarbeiten: welche Daten, warum, wie lange – und welche Rechte Sie haben.

Die Erklärung deckt den gesamten Weg ab: Ihren ersten Besuch auf unserer Website, eine Demo-Anfrage oder sonstige Anfrage, die Kundenbeziehung, die tägliche Nutzung der Plattform und der mobilen App – und Ihre Bewerbung, wenn Sie sich bei Komma um eine Stelle bewerben. Wo auch immer Sie uns begegnen, finden Sie sich in dieser Erklärung wieder.

Die Erklärung ist zum Lesen geschrieben. Die Abschnitte 3 bis 21 beginnen jeweils mit einem Kasten „Kurz gesagt“: ein bis drei Sätze in einfacher Sprache, die Ihnen das Wesentliche vermitteln, bevor die Einzelheiten folgen. Alles, was sich in eine Tabelle fassen lässt – Datenkategorien, Rechtsgrundlagen, Fristen –, ist in Tabellen dargestellt, und das vollständige Glossar finden Sie in Anhang A.

Die Erklärung gilt für kommahr.com, kommahr.dk, die Komma-Plattform und die mobile App. Soweit Ihr Unternehmen die Plattform nutzt, ist Ihr Unternehmen der Verantwortliche für die Daten in der Plattform, und die Einzelheiten unserer Verarbeitung richten sich nach dem Auftragsverarbeitungsvertrag (AVV) – siehe Abschnitte 5 und 12.

Dies ist Version 1.2 der Erklärung. Sie tritt am 31. Juli 2026 in Kraft. Wenn Sie Fragen haben, können Sie sich jederzeit an hej@kommahr.com wenden – siehe Abschnitt 23.

02

Begriffsbestimmungen

Der Datenschutz hat sein eigenes Vokabular. Hier sind die zehn Begriffe, denen Sie in dieser Erklärung am häufigsten begegnen, in einfachen Worten erklärt – das vollständige Glossar finden Sie in Anhang A.

03

Unsere Datenschutzphilosophie

Es sind Ihre Daten. Wir verwahren sie nur. Dieser Satz beschreibt die Arbeitsteilung bei Komma: Ihr Unternehmen ist Eigentümer der Daten in der Plattform und hat die Kontrolle darüber – Komma speichert und schützt sie. Alles Weitere in dieser Erklärung folgt daraus. Wir haben ihn in fünf Verpflichtungen übersetzt:

• Datenschutz ist eine Produktfunktion. Zugriffskontrolle auf Feldebene, ein Audit-Log, das nicht bearbeitet werden kann, und automatisierte Aufbewahrungsregeln sind vom ersten Tag an in die Plattform eingebaut – keine Zusatzmodule und nichts, was Sie selbst bauen müssen. Siehe Abschnitt 15.
• Datenminimierung ab dem ersten Feld. Wir erheben nur, was ein bestimmter Zweck erfordert – unser Demo-Formular hat sechs Felder, und die Telefonnummer ist freiwillig. In der Plattform sieht jede Rolle nur die Felder, die sie benötigt.
• Eine Website, auf der Sie entscheiden. kommahr.com und kommahr.dk setzen keine Cookies, laden keine Werbepixel und haben keine Chat-Widgets. Bei Ihrem ersten Besuch fragt ein Pop-up, ob Sie Statistik und Unternehmenserkennung aktivieren möchten – beide bleiben ausgeschaltet, bis Sie Ja sagen. Ohne Ihre Einwilligung zählt unser Server lediglich anonym, wie oft jede Seite angezeigt wird. Siehe Abschnitt 8.
• Wir verkaufen niemals Daten. Nicht an Werbetreibende, nicht an Datenhändler, nicht als „anonymisierte Erkenntnisse“. Ihre Daten sind nicht unser Geschäftsmodell – die Plattform ist es.
• Klare Sprache statt Juristendeutsch. Diese Erklärung ist für Menschen geschrieben: Die Abschnitte 3 bis 21 beginnen jeweils mit einem Kasten „Kurz gesagt“, und wir nennen die einschlägigen Artikel der DSGVO, damit Sie unsere Aussagen selbst überprüfen können.

Diese fünf Verpflichtungen sind keine Absichtserklärungen – sie lassen sich überprüfen. Lesen Sie Abschnitt 8 zur Website, Abschnitt 14 zu KI und Abschnitt 15 zur Sicherheit, und nehmen Sie uns beim Wort.

04

Die Grundsätze der DSGVO in der Praxis

Art. 5 der Datenschutz-Grundverordnung (DSGVO) legt sieben Grundsätze für jede Verarbeitung personenbezogener Daten fest. Sie sind der Maßstab, an dem wir uns messen – hier ist jeder Grundsatz und was er bei Komma in der Praxis bedeutet.

05

Unsere Rollen: Verantwortlicher und Auftragsverarbeiter

Die Datenschutz-Grundverordnung (DSGVO) unterscheidet zwischen zwei Rollen. Der Verantwortliche entscheidet, warum und wie personenbezogene Daten verarbeitet werden. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen und nach dessen Weisungen.

Bei Komma ist die Aufteilung einfach. Wenn Sie sich selbst an uns wenden – unsere Website besuchen, eine Demo buchen, dem Support schreiben oder sich bei uns um eine Stelle bewerben –, ist Komma ApS der Verantwortliche. Wenn Ihr Unternehmen Komma als HR-System nutzt, sind Sie der Verantwortliche für alles, was Sie in die Plattform eingeben: Mitarbeiter, ehemalige Mitarbeiter, Bewerber, freie Mitarbeiter und Ansprechpartner. Die Daten Ihrer Mitarbeiter gehören Ihnen – nicht uns. Wir verarbeiten sie ausschließlich nach Ihren Weisungen gemäß dem Auftragsverarbeitungsvertrag (AVV).

Wenn ein Mitarbeiter, ein Bewerber oder eine andere betroffene Person in der Komma-Lösung eines Kunden Auskunft über ihre Daten, deren Berichtigung oder Löschung verlangt, richtet sich der Antrag stets an den Arbeitgeber – als Verantwortlicher kann und muss der Arbeitgeber ihn beantworten. Erhalten wir einen solchen Antrag direkt, leiten wir ihn unverzüglich an den Kunden weiter und beantworten ihn niemals selbst. Wir unterstützen den Kunden bei der Erfüllung des Antrags, wie es uns der Auftragsverarbeitungsvertrag vorschreibt (Art. 28 DSGVO). Mehr zur Plattform lesen Sie in Abschnitt 12 und zu Ihren Rechten in Abschnitt 19.

06

Kategorien personenbezogener Daten

Dieser Abschnitt legt dar, welche Kategorien personenbezogener Daten wir in jeder unserer beiden Rollen verarbeiten (siehe Abschnitt 5). Abschnitt 7 ordnet die Kategorien Zwecken, Rechtsgrundlagen und Speicherfristen zu.

6.1 Wo Komma der Verantwortliche ist

Wo Komma der Verantwortliche ist, erheben wir nur, was nötig ist, um Ihnen zu antworten und unser Geschäft zu betreiben:

6.2 Wo Komma der Auftragsverarbeiter ist (Daten in der Plattform)

Wenn Ihr Unternehmen die Plattform nutzt, entscheiden Sie als Verantwortlicher, welche Kategorien verarbeitet werden, über wen und wie lange. Die Tabelle zeigt die Kategorien, die die Plattform enthalten kann:

Besondere Kategorien personenbezogener Daten – Gesundheitsdaten und Gewerkschaftszugehörigkeit – verarbeiten wir ausschließlich auf dokumentierte Weisung des Kunden und auf der Rechtsgrundlage des Kunden, in der Regel arbeitsrechtliche Pflichten (Art. 9 Abs. 2 lit. b DSGVO). CPR-Nummern werden nur verarbeitet, soweit Lohnabrechnung oder gesetzliche Zwecke dies erfordern (§ 11 des dänischen Datenschutzgesetzes (databeskyttelsesloven)).

Abwesenheitsgründe genießen in der Plattform einen gesonderten Schutz: Der Zugriff ist im Rollenmodell beschränkt, und API-Schlüssel können sie niemals abrufen – Abwesenheitsgründe sind, zusammen mit Gehalt und CPR-Nummern, von vornherein vom API-Zugriff ausgeschlossen.

07

Verarbeitungstätigkeiten – Überblick

Die Tabelle umfasst beide unserer Rollen. In der Zeile „Betrieb der Plattform“ ist Komma der Auftragsverarbeiter: Dort gelten die Rechtsgrundlagen und Aufbewahrungseinstellungen des Kunden, und der Auftragsverarbeitungsvertrag (AVV) gibt den Rahmen vor. In allen anderen Zeilen ist Komma der Verantwortliche.

Wo die Rechtsgrundlage ein berechtigtes Interesse ist, haben wir das Interesse in der Tabelle benannt und eine Interessenabwägung gegenüber Ihren Interessen vorgenommen. Sie können der Verarbeitung auf Grundlage eines berechtigten Interesses jederzeit widersprechen (Art. 21 DSGVO) – siehe Abschnitt 19.

Die Einzelheiten folgen in den Abschnitten 8–13: Website und Cookies (Abschnitt 8), Leads und Marketing (Abschnitt 9), Demos, Webinare und Veranstaltungen (Abschnitt 10), Support (Abschnitt 11), Kunden und Beschäftigte in der Plattform (Abschnitt 12) sowie Bewerber bei Komma (Abschnitt 13).

08

Website und Cookies

Die Website setzt keine Cookies, lädt keine Werbepixel und hat keine Chat-Widgets. Wenn Sie kommahr.com oder kommahr.dk zum ersten Mal besuchen, fragt ein Pop-up, welche von drei Arten der Speicherung Sie akzeptieren: Notwendig, Statistik und Unternehmenserkennung. Notwendig speichert nur Ihre Auswahl, damit wir nicht auf jeder Seite erneut fragen. Die beiden anderen bleiben ausgeschaltet, bis Sie sie aktivieren, und Sie können Ihre Auswahl jederzeit über die Cookie-Einstellungen am Ende jeder Seite ändern oder widerrufen.

8.1 Was wir in Ihrem Browser speichern

Wir speichern nur, wozu Sie Ja gesagt haben, und verwenden dafür keinerlei Cookies. Ihre Auswahl im Pop-up liegt 12 Monate lang im localStorage Ihres Browsers unter dem Schlüssel „komma-consent“, damit wir nicht auf jeder Seite erneut fragen. Wenn Sie Statistik oder Unternehmenserkennung aktiviert haben, speichern wir außerdem im sessionStorage Ihres Browsers, welche Seite oder Kampagne Sie zu uns geführt hat („komma-src“), und für die Unternehmenserkennung eine zufällige Besuchs-ID („komma-sid“). Beide verschwinden, wenn Sie den Tab schließen. Die Sprache ergibt sich aus der Adresse – jede Sprache hat ihren eigenen Ordner, etwa /da/ – und wird nicht gespeichert.

8.2 Serverprotokolle

Der Webserver erfasst automatisch technische Protokolle mit Ihrer IP-Adresse, der Uhrzeit und den von Ihnen aufgerufenen Seiten. Wir verwenden sie ausschließlich für Sicherheit und Fehlerbehebung – zum Beispiel, um Angriffe, Missbrauch und Betriebsstörungen zu erkennen – auf Grundlage unseres berechtigten Interesses an einer sicheren und stabilen Website (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden spätestens nach 90 Tagen gelöscht. Die Website wird von Vercel gehostet, und unsere Serverfunktionen laufen in der EU (Stockholm) (siehe Abschnitt 16).

Neben den Protokollen zählt unser Server jede Seite, die er ausliefert, für jeden Besucher und ohne zu fragen: eins mehr in den Tagessummen für die Seite, die Website, die Sie zu uns geführt hat (nur ihr Name), etwaige Kampagnen-Tags im Link sowie Ihr Land und Ihre Region (zum Beispiel Region Midtjylland), beides anhand des Standorts des Netzwerks. Es werden keine IP-Adresse, keine Browserdaten und keine ID gespeichert, und nichts wird von Ihrem Gerät gelesen oder darauf gespeichert. Anfragen, die automatisiert wirken, werden gesondert gezählt. Die Tagessummen werden nach 120 Tagen gelöscht.

8.3 Statistik und Unternehmenserkennung – nur mit Ihrer Einwilligung

Wenn Sie Statistik aktivieren, lädt jede Seite Vercel Web Analytics von der eigenen Adresse der Website. Es zählt Seitenaufrufe, Verweisquelle, Land, Browser und Gerätetyp, zeigt uns nur Summen, setzt keine Cookies und verfolgt Sie weder über andere Websites hinweg noch von einem Tag zum nächsten.

Wenn Sie Unternehmenserkennung aktivieren, versuchen wir herauszufinden, von welchem Unternehmen – niemals von welcher Person – ein Besuch kommt. Ihre IP-Adresse wird in einer Kopie der Datenbank von IPinfo nachgeschlagen, die in unserer eigenen Serverfunktion in der EU (Stockholm) liegt, sowie im öffentlichen DNS und in einer Kopie des öffentlichen Registers von RIPE NCC darüber, wem IP-Adressen zugewiesen sind, die ebenfalls in unserer eigenen Serverfunktion liegt. Danach wird die IP-Adresse verworfen; wir speichern sie nie, nicht einmal als Hash. Wenn das Netzwerk einem Unternehmen gehört, speichern wir den Namen des Unternehmens, die aufgerufenen Seiten, die darauf verbrachte Zeit, woher der Besuch kam, und das Land 90 Tage lang in unserer Datenbank bei Upstash (Frankfurt). Dieselben Angaben können zu einer Notiz oder einem Lead in unserem CRM, Pipedrive, werden, und unser Vertriebsteam kann in Microsoft Teams eine Nachricht über den Besuch erhalten. Bei dänischen Unternehmen schlagen wir Größe und Branche im CVR-Register über cvrapi.dk nach – nur anhand des Namens des Unternehmens.

Ein Besuch über einen privaten oder mobilen Anschluss wird nur gezählt, nie benannt. Hat der Anschluss eine eigene Domain im DNS, zählen wir nur diese Domain pro Tag, 30 Tage lang, um zu messen, wie gut die Abfrage funktioniert.

Mit dieser Einwilligung zählen wir auch den ungefähren Ort, an dem sich das Netzwerk befindet (zum Beispiel Aarhus; in Mobilfunknetzen oft der Ort des Betreibers). Bei Besuchen, die wir keinem Unternehmen zuordnen können, zählen wir außerdem pro Region – nie pro Ort –, ob die Preis-, Demo- oder Kontaktseite aufgerufen wurde. Beides wird nur als Tagessummen ohne IP-Adresse oder ID gespeichert und nach 90 Tagen gelöscht.

Die Serverprotokolle und die anonyme Seitenzählung beruhen auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einer sicheren, stabilen Website und daran, zu wissen, welche Seiten genutzt werden. Statistik und jede Speicherung in Ihrem Browser über Ihre Auswahl hinaus beruhen auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können. Das Nachfassen bei Unternehmensbesuchen beruht auf unserem berechtigten Interesse daran, zu wissen, welche Unternehmen sich Komma ansehen (Art. 6 Abs. 1 lit. f DSGVO). Wir haben die erforderliche Interessenabwägung gegenüber Ihren Interessen vorgenommen, und Sie können jederzeit widersprechen (Art. 21 DSGVO) – siehe Abschnitt 19.

8.4 Unser Versprechen

Wenn wir neue Dienste hinzufügen, die etwas in Ihrem Browser speichern oder Informationen über Ihren Besuch übermitteln, kommen sie hinter das Einwilligungs-Pop-up, und dieser Abschnitt wird aktualisiert, bevor überhaupt etwas in Ihrem Browser abgelegt wird (siehe Abschnitt 22 zu Änderungen dieser Erklärung).

09

Leads und Marketing

Komma ist B2B: Unser Marketing richtet sich an Unternehmen, aber es sind immer Menschen, die die Formulare ausfüllen. Hier steht genau, was wir erheben, warum wir das dürfen und was wir niemals tun.

9.1 Was wir erheben

Die Website hat zwei Formulare. Wir erheben nur, was die Felder zeigen, sowie welches Formular Sie verwendet haben, die Seite, von der aus Sie es gesendet haben, und die Sprache der Seite. Dahinter steckt keine versteckte Anreicherung: Eine Unternehmenserkennung findet nur statt, wenn Sie ihr im Pop-up oder im Formular zugestimmt haben (siehe Abschnitt 8.3). Ihre Rolle oder Position erfassen wir nur, wenn sie in Ihrer Anfrage erscheint – zum Beispiel in Ihrer E-Mail-Signatur.

9.2 Rechtsgrundlagen

Wo wir uns auf ein berechtigtes Interesse stützen, haben wir die erforderliche Abwägung unseres Interesses gegen Ihre Rechte vorgenommen (die Interessenabwägung). Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO) – und wir hören auf. Mehr zu Ihren Rechten lesen Sie in Abschnitt 19.

9.3 Marketing, das wir nicht betreiben

Am einfachsten ist es, aufzuzählen, was nicht passiert, wenn Sie uns kontaktieren:

• Keine Nurture-Strecken – eine Demo-Buchung löst keine E-Mail-Sequenz aus.
• Keine Autoresponder-Kampagnen – das Nächste, was Sie von uns hören, ist ein Mensch, der Ihre Nachricht gelesen hat.
• Kein Newsletter – wir haben derzeit keinen, also gibt es nichts, wovon Sie sich abmelden müssten.
• Kein Weiterverkauf – wir verkaufen Ihre Kontaktdaten niemals und geben sie an niemanden für Marketingzwecke weiter.

9.4 Speicherdauer

Wenn Ihr Unternehmen nicht Kunde wird, löschen wir Ihre Anfrage und Ihre Kontaktdaten 12 Monate nach unserem letzten aktiven Kontakt. Wenn Sie Kunde werden, gehen die Angaben in die Kundenstammdaten über und folgen der Kundenbeziehung (siehe Abschnitt 18).

9.5 Falls wir jemals einen Newsletter einführen

Falls wir jemals einen Newsletter einführen, beruht er ausschließlich auf Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Wir schreiben Ihnen nur, wenn Sie sich aktiv angemeldet haben, bestehende Kontakte werden nicht automatisch übernommen, und Sie können Ihre Einwilligung so einfach widerrufen, wie Sie sie erteilt haben – mit einem Klick in jeder E-Mail.

10

Demos, Webinare und Veranstaltungen

Wir zeigen Ihnen Komma lieber, als darüber zu reden. So gehen wir mit personenbezogenen Daten um, wenn Sie uns bei einer Demo, in einer Testumgebung oder – eines Tages – bei einem Webinar begegnen.

10.1 Demos

Eine Demo ist ein vereinbarter Termin, bei dem wir Ihnen die Plattform zeigen – und anschließend meldet sich ein Mensch mit einer persönlichen Antwort auf das, wonach Sie gefragt haben. Sie werden nirgendwo automatisch eingetragen – keine Listen, keine Strecken, keine Kampagnen. Wir verarbeiten die Buchungsangaben wie in Abschnitt 9 beschrieben, und sie werden nach denselben Regeln gelöscht.

10.2 Testumgebungen

Wenn wir eine Testumgebung für Sie einrichten, gilt eine einfache Regel: Die Daten in der Testumgebung gehören Ihnen. Wir verarbeiten sie ausschließlich, um die Umgebung bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO), und verwenden sie weder für Entwicklung noch für Statistik oder Marketing. Wenn Sie Kunde werden, wird die Verarbeitung im Rahmen der Kundenbeziehung gemäß dem Auftragsverarbeitungsvertrag fortgesetzt (siehe Abschnitt 12). Läuft der Test ohne Vertrag aus, löschen wir die Testumgebung und alle darin enthaltenen Daten spätestens 30 Tage nach Ablauf – und Backups werden innerhalb von höchstens 90 Tagen vollständig bereinigt, genau wie beim Ende einer Kundenbeziehung (siehe Abschnitt 18).

10.3 Webinare und Veranstaltungen

Derzeit veranstalten wir keine Webinare. Falls wir das jemals tun – oder Veranstaltungen mit Anmeldung ausrichten –, verwenden wir Ihre Anmeldedaten nur für die betreffende Veranstaltung: praktische Informationen vorher, währenddessen und kurz danach. Sie werden niemals ohne gesonderte, aktive Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) in Marketinglisten aufgenommen.

11

Support

Guter Support braucht überraschend wenige personenbezogene Daten. Hier steht, was wir verarbeiten, wenn Sie uns schreiben – und was Sie uns bitte nicht senden.

11.1 Was wir verarbeiten

Der Support ist Kunden vorbehalten, die die Komma-Plattform nutzen, und läuft über support@kommahr.com. Anfragen aller anderen werden über hej@kommahr.com beantwortet. Wenn Sie uns schreiben, verarbeiten wir Ihren Namen, Ihre geschäftlichen Kontaktdaten und den Inhalt Ihrer Anfrage – nicht mehr und nicht weniger. Für Kunden ist der Support Teil unseres Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Wenn Sie uns schreiben, ohne Kunde zu sein, antworten wir auf Grundlage unseres berechtigten Interesses an der Beantwortung von Anfragen zu unserem Produkt (Art. 6 Abs. 1 lit. f DSGVO); Sie können nach Art. 21 DSGVO widersprechen (siehe Abschnitt 19).

11.2 Senden Sie keine personenbezogenen Daten von Mitarbeitern

Wir bitten Sie um eines: Fügen Sie keine personenbezogenen Daten von Mitarbeitern in Support-Anfragen ein. Beschreiben Sie stattdessen das Problem – zum Beispiel mit einer Mitarbeiter-ID oder einem Screenshot ohne personenbezogene Daten. CPR-Nummern, Lohnangaben und Abwesenheitsgründe gehören in die Plattform, nicht in eine E-Mail. Erhalten wir solche Daten dennoch, löschen wir sie, wenn der Fall abgeschlossen ist.

11.3 Zugriff auf Ihre Daten in der Plattform

Manche Fälle lassen sich nur lösen, wenn ein Mitglied unseres Support-Teams Ihre Daten in der Plattform einsieht. Das geschieht ausschließlich, wenn es zur Lösung des konkreten Falls erforderlich ist. Der Zugriff ist durch das Rollenmodell der Plattform begrenzt und wird stets im nicht bearbeitbaren Audit-Log erfasst – so können Sie selbst sehen, wer was wann gesehen hat.

11.4 Speicherdauer

12

Kunden und Beschäftigte in der Plattform

Dieser Abschnitt richtet sich an Sie als Komma-Kunde – und an Sie als Beschäftigten, Bewerber oder Ansprechpartner bei einem Unternehmen, das die Plattform nutzt. Er beschreibt die Rollenverteilung und den Auftragsverarbeitungsvertrag (Abschnitt 12.1), was die Plattform enthält und wie sie selbstständig aufräumt (Abschnitt 12.2) und wie der Zugriff der Beschäftigten gesteuert und protokolliert wird (Abschnitt 12.3).

12.1 Rollen und der Auftragsverarbeitungsvertrag

Wenn Ihr Unternehmen die Plattform nutzt, sind Sie der Verantwortliche für alle personenbezogenen Daten, die Sie in sie eingeben. Sie entscheiden über die Zwecke, wählen die Aufbewahrungseinstellungen und erteilen die Weisungen. Komma ApS ist Ihr Auftragsverarbeiter und verarbeitet die Daten nur innerhalb dieses Rahmens (Art. 28 DSGVO).

Grundlage ist unser Auftragsverarbeitungsvertrag (AVV), ein fester Bestandteil jedes Kundenvertrags. Unter anderem verpflichtet er uns zu Folgendem:

Wenn sich ein Beschäftigter, ein Bewerber oder eine andere betroffene Person wegen Daten in Ihrer Plattform direkt an uns wendet, leiten wir den Antrag an Sie weiter und beantworten ihn niemals selbst. Sie als Verantwortlicher antworten – wir liefern die Unterstützung und die Werkzeuge.

12.2 Was die Plattform enthält – und wann sie selbstständig löscht

Abschnitt 6.2 beschreibt die Kategorien personenbezogener Daten, für die die Plattform ausgelegt ist – von Mitarbeiterstammdaten und Lohndaten bis zu Abwesenheit, Recruiting und Feedback. Sie entscheiden, welche Kategorien Sie nutzen und wie lange sie aufbewahrt werden. Löschen ist eine eingebaute Funktion, keine manuelle Pflichtaufgabe – die Plattform wird mit diesen automatischen Standardeinstellungen ausgeliefert:

Die Standardeinstellungen spiegeln die dänische Praxis und die gesetzlichen Aufbewahrungspflichten wider, aber die Aufbewahrungseinstellungen gehören Ihnen: Sie können sie an Ihre eigenen Löschfristen anpassen – im Rahmen des Gesetzes.

12.3 Beschäftigte in der Plattform

Beschäftigte sind die Personen, die sich in Ihre Plattform einloggen – das HR-Team, Führungskräfte und Mitarbeiter. Der Zugriff folgt einem einfachen Prinzip: Jeder Beschäftigte sieht nur, was seine Rolle erfordert.

• Anmeldung mit Microsoft Entra ID (SSO) mit automatischer Bereitstellung und Deaktivierung: Wenn ein Beschäftigter das Unternehmen verlässt, wird der Zugang automatisch geschlossen.
• Rollenbasierte Zugriffskontrolle bis auf Feldebene, abgegrenzt nach Abteilung, Standort und juristischer Person.
• Nicht bearbeitbares Audit-Log: Jeder Lesezugriff, jede Änderung und jeder Export wird in einem Audit-Log erfasst, das nicht bearbeitet werden kann.
• Anonymitätsschwellen bei Pulsbefragungen: Antworten werden nur in Gruppen angezeigt, die groß genug sind, dass niemand identifiziert werden kann.

Wenn Sie als Beschäftigter Zugang zur Plattform eines Kunden haben, ist Ihr Arbeitgeber der Verantwortliche für Ihre Daten. Um Ihre Rechte auszuüben, wenden Sie sich an Ihren Arbeitgeber – siehe Abschnitt 19.

13

Bewerber bei Komma

Wenn Sie sich bei Komma um eine Stelle bewerben – per E-Mail oder über eine Stellenanzeige –, verarbeiten wir Ihre Bewerbung, Ihren Lebenslauf, Ihre Kontaktdaten und unsere Notizen aus den Gesprächen. Referenzen holen wir erst nach Absprache mit Ihnen ein.

In unserem Recruiting gibt es keine Automatisierung: Jede Bewerbung wird von einem Menschen gelesen, und jede Entscheidung auf dem Weg wird von Menschen getroffen (siehe Abschnitt 21).

Wenn Sie Fragen zu Ihrer Bewerbung oder Ihren Daten haben, schreiben Sie an hej@kommahr.com. Ihre Rechte sind in Abschnitt 19 beschrieben.

14

KI und verantwortungsvolle KI

KI ist in Komma kein Zusatz – sie ist Teil der Plattform. Genau deshalb schulden wir Ihnen eine präzise Antwort auf drei Fragen: Was tut Karma? Was tut Karma nicht? Und wer entscheidet? Dieser Abschnitt beantwortet alle drei.

14.1 Was Karma ist

Karma ist die integrierte KI-Assistentin in allen Modulen der Plattform. Bei der Arbeit verarbeitet Karma die personenbezogenen Daten, die bereits in Ihrer Plattform sind – als Ihr Auftragsverarbeiter und nur nach Ihren Weisungen (siehe Abschnitt 5). Hier ist die ehrliche Liste dessen, was Karma tut:

• beantwortet Fragen zu aktuellen HR-Daten – zum Beispiel „Wie viele Urlaubstage hat das Team in diesem Jahr noch?“
• entwirft Änderungen an Feldern und Stammdaten, die ein Beschäftigter dann freigibt oder ablehnt
• wertet Lebensläufe zu Kompetenzwerten von 0 bis 5 aus, die sich Achse für Achse erklären lassen
• entwirft Stellenanzeigen
• gleicht Bewerber mit Rollen anhand einer transparenten gewichteten Formel ab – die Gewichte sind sichtbar, nicht versteckt
• weist auf Abwesenheitsmuster hin, damit eine Führungskraft das Gespräch rechtzeitig beginnen kann
• erklärt Lohnzeilen in einfacher Sprache
• fasst Beurteilungen und Feedbackprozesse zusammen
• schlägt Lernpfade und Schichtbesetzungen vor

14.2 Unsere acht Verpflichtungen

Jede KI-Funktion in Komma beruht auf einem Prinzip: „Karma entwirft. Ein Mensch entscheidet.“ Dieses Prinzip entfaltet sich in acht Verpflichtungen, und sie gelten für jede einzelne KI-Funktion der Plattform:

1. Nichts wird in das System geschrieben, bevor ein Mensch es freigibt.
2. Keine automatisierten Entscheidungen über Menschen – und das lässt sich auch nicht einschalten.
3. Die Daten eines Kunden trainieren niemals Modelle, die für andere Kunden verwendet werden, und Prompts werden nicht zum Training der zugrunde liegenden Basismodelle verwendet.
4. Karma übernimmt das Rollenmodell der Plattform und kann einem Beschäftigten niemals Daten zeigen, die seine Rolle selbst nicht sehen könnte.
5. Bewertungen sind erklärbar: gewichtet und Achse für Achse – niemals eine Zahl aus einer Blackbox.
6. Jeder KI-Vorschlag landet im nicht bearbeitbaren Audit-Log.
7. Sie können KI ausschalten.
8. Karma kennzeichnet, was sie selbst abgeleitet hat, und sagt es, wenn sie unsicher ist.

14.3 Wo wir aufhören

Bei verantwortungsvoller KI geht es ebenso sehr darum, was man bewusst nicht baut. Folgendes haben wir absichtlich weggelassen:

• individuelle Produktivitätsbewertung von Mitarbeitern
• Stimmungsanalyse von Freitext in Mitarbeitergesprächen und Pulsbefragungen
• automatische Absage an Bewerber
• Kündigungsrisiko-Werte, die namentlich genannte Mitarbeiter als wahrscheinlich kündigungswillig herausstellen

Diese Funktionen gibt es im Produkt nicht, und sie lassen sich nicht aktivieren – nicht über eine Einstellung, nicht gegen Gebühr und nicht auf Anfrage.

14.4 Die Technologie hinter Karma

Karma läuft auf EU-Infrastruktur und nach denselben Sicherheitsregeln wie der Rest der Plattform:

• Verarbeitung in der EU: Die KI-Modelle hinter Karma laufen auf Azure OpenAI Service in Microsofts Region Sweden Central (EU) – Ihre Daten verlassen die EU nicht, um von KI verarbeitet zu werden.
• Kein Training: Prompts und Ausgaben werden niemals verwendet, um die zugrunde liegenden Basismodelle oder Modelle für andere Kunden zu trainieren. Die Verarbeitung ist flüchtig – gespeichert wird der Vorschlag im Audit-Log.
• Übernommene Zugriffskontrolle: Karma übernimmt die rollenbasierte Zugriffskontrolle der Plattform bis auf Feldebene. Eine Frage an Karma kann niemals zu einer Hintertür zu Daten werden.
• Vollständige Nachvollziehbarkeit: Jeder Vorschlag wird im nicht bearbeitbaren Audit-Log erfasst (siehe Abschnitt 15).
• Ihre Kontrolle: Sie schalten KI ein und aus – die Entscheidung liegt bei Ihnen.

Und die rechtliche Lage: In Komma wird keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung für eine Person ausschließlich automatisiert getroffen (Art. 22 DSGVO). Karma liefert Entscheidungsunterstützung – Menschen entscheiden. Mehr zu automatisierten Entscheidungen und Profiling lesen Sie in Abschnitt 21.

15

Informationssicherheit

Ein HR-System enthält einige der vertraulichsten Informationen, die ein Unternehmen hat: Gehalt, Abwesenheit, Gesundheitsnachweise und CPR-Nummern. Deshalb ist Sicherheit in Komma keine Funktion – sie ist eine Voraussetzung. Wir schützen Ihre Daten mit technischen und organisatorischen Maßnahmen (Art. 32 DSGVO), und dies sind die wichtigsten:

• Technik und Infrastruktur
  • Der gesamte Datenverkehr wird bei der Übertragung verschlüsselt (TLS 1.2 oder neuer), und alle Daten werden im Ruhezustand verschlüsselt.
  • Die Plattform läuft auf Microsoft Azure in der Region Sweden Central (EU) – siehe auch Abschnitt 17 zu internationalen Übermittlungen.
  • Geheimnisse wie Schlüssel und Zertifikate werden in Azure Key Vault gespeichert, und Systemkomponenten authentifizieren sich mit verwalteten Identitäten – ohne gemeinsam genutzte Passwörter.
  • Backups sind verschlüsselt, liegen in der EU und werden in einem rollierenden Zeitfenster von höchstens 35 Tagen gelöscht.
• Zugriff und Nachvollziehbarkeit
  • Rollenbasierte Zugriffskontrolle bis auf Feldebene bestimmt, wer was sieht – eine Führungskraft kann zum Beispiel sehen, dass ein Mitarbeiter abwesend ist, ohne den Grund zu sehen.
  • Jeder Lesezugriff, jede Änderung und jeder Export wird in einem Audit-Log erfasst, das nicht bearbeitet werden kann.
  • Telemetrie- und Fehlerdaten werden vor der Protokollierung von personenbezogenen Daten bereinigt.
  • Antworten aus Pulsbefragungen werden nur in Gruppen angezeigt, die groß genug sind, um die Identifizierung einzelner Personen zu verhindern.
• Menschen und Prozesse
  • Sicherheit ist Teil unserer Entwicklungsarbeit – vom Design bis zur Auslieferung.
  • Alle Mitarbeiter von Komma haben eine Vertraulichkeitserklärung unterzeichnet und werden in unsere Sicherheitsanforderungen eingewiesen.
  • Wir prüfen die Sicherheit eines Anbieters, bevor wir ihn einsetzen (siehe Abschnitt 16).

Unser Sicherheitsprogramm ist an anerkannten Rahmenwerken ausgerichtet: den Anforderungen von Art. 32 DSGVO und den Grundsätzen der ISO 27001. Komma befindet sich im Prozess der ISO-27001-Zertifizierung. Wir werden erst dann „zertifiziert“ schreiben, wenn eine unabhängige Stelle das bestätigt hat.

Den vollständigen Katalog unserer technischen und organisatorischen Maßnahmen (TOM) finden Sie in Anhang C.

16

Auftragsverarbeiter und Unterauftragsverarbeiter

Unsere beiden Rollen (siehe Abschnitt 5) spielen hier eine Rolle. Wo wir der Verantwortliche sind – Website, Leads, Support und unsere eigene Verwaltung –, sind die Dienstleister, die wir einsetzen, unsere Auftragsverarbeiter. Wo wir der Auftragsverarbeiter für die Daten sind, die Sie in die Plattform eingeben, sind dieselben Arten von Dienstleistern Unterauftragsverarbeiter. Die Anforderungen sind in beiden Fällen identisch.

16.1 Wie wir unsere Auftragsverarbeiter prüfen

Kein Dienstleister verarbeitet in unserem Auftrag personenbezogene Daten, bevor vier Dinge erfüllt sind:

• Ein Auftragsverarbeitungsvertrag. Wir schließen einen AVV, der die Anforderungen von Art. 28 Abs. 3 DSGVO erfüllt – dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Regeln für weitere Unterauftragsverarbeiter und Löschung bei Ende des Auftrags.
• Sorgfaltsprüfung. Wir prüfen die Sicherheitsdokumentation, die Hosting-Standorte und die DSGVO-Konformität des Dienstleisters, bevor wir unterschreiben.
• EU zuerst. Wir wählen Dienstleister, die personenbezogene Daten in der EU/im EWR verarbeiten. Alles andere ist die Ausnahme und erfordert einen gültigen Übermittlungsmechanismus (siehe Abschnitt 17).
• Sicherheit nach unserem eigenen Maßstab. Verschlüsselung, Zugriffskontrolle und Protokollierung auf dem Niveau, das wir von uns selbst verlangen (siehe Anhang C).

16.2 Wen wir derzeit einsetzen

Die Plattform läuft auf Microsoft Azure in der Region Sweden Central, und Azure OpenAI Service – in derselben EU-Region – stellt die KI-Modelle hinter Karma bereit. Microsoft ist damit unser zentraler Unterauftragsverarbeiter: Infrastruktur, Datenbank, Speicher, Backup und KI. Prompts und Ausgaben werden nicht zum Training der zugrunde liegenden KI-Modelle verwendet (siehe Abschnitt 14), und sollte Microsoft jemals ausnahmsweise Supportzugriff aus einem Drittland benötigen, gilt der Rahmen in Abschnitt 17.

In unserem eigenen Betrieb hostet Vercel die Website (kommahr.com und kommahr.dk); unsere Serverfunktionen laufen in der EU (Stockholm), und die Seiten werden aus dem Netzwerk von Vercel in Ihrer Nähe ausgeliefert. Upstash speichert Unternehmensbesuche und Einwilligungsnachweise in der EU (Frankfurt). Für unsere Vertriebsarbeit nutzen wir Pipedrive als CRM – Leads und Kundenkontakte werden in der EU verarbeitet –, und unser Vertriebsteam erhält Nachrichten über Unternehmensbesuche in Microsoft Teams. Die Schriften und alle Skripte werden von der eigenen Domain der Website ausgeliefert, sodass Ihr Browser nichts an Dritte sendet.

Die maßgebliche, stets aktuelle Liste unserer Unterauftragsverarbeiter ist Anhang D zusammen mit der laufend aktualisierten Liste, auf die im Auftragsverarbeitungsvertrag verwiesen wird.

16.3 Änderungen mit mindestens 30 Tagen Vorlauf

Wir fügen niemals stillschweigend einen Unterauftragsverarbeiter hinzu oder ersetzen ihn. Sie werden mindestens 30 Tage informiert, bevor ein neuer Unterauftragsverarbeiter Ihre Daten verarbeitet, und Sie können nach dem im AVV festgelegten Verfahren Einspruch erheben.

16.4 Lohnabrechnungssysteme sind Ihre Wahl – nicht unsere Unterauftragsverarbeiter

Wenn Sie Komma mit Ihrem Lohnabrechnungssystem verbinden – Zenegy, Danløn, Dataløn, Visma, Lessor oder Intect –, wählen Sie die Integration, und sie läuft auf Ihre Weisung. Der Lohnabrechnungsanbieter ist Ihr eigener Auftragsverarbeiter oder ein eigenständiger Verantwortlicher, kein Unterauftragsverarbeiter von Komma. Wir übermitteln nur die Daten, die Ihre Konfiguration vorgibt, und das Vertragsverhältnis mit dem Lohnabrechnungsanbieter liegt bei Ihnen.

17

Internationale Übermittlungen

Dieser Abschnitt erläutert, wo Ihre personenbezogenen Daten physisch verarbeitet werden und was gegeben sein muss, bevor eine Übermittlung in ein Land außerhalb der EU/des EWR – ein Drittland – überhaupt in Frage kommen könnte.

17.1 Der Normalfall: Alles bleibt in der EU/im EWR

Personenbezogene Daten in Komma werden in der EU/im EWR gespeichert und verarbeitet. Die Plattform – Datenbank, Dateien, Backups und die KI-Verarbeitung hinter Karma – läuft in der Region Sweden Central von Microsoft Azure in Schweden, und die Serverfunktionen der Website laufen in der EU (Stockholm) (siehe Abschnitt 16). Im normalen Betrieb der Plattform übermitteln wir Ihre Daten nicht in Drittländer; die Datenflüsse der Website sind in Abschnitt 17.3 beschrieben.

17.2 Falls eine Übermittlung erforderlich wird

Sollte eine Übermittlung in ein Drittland jemals erforderlich werden – zum Beispiel weil ein Unterauftragsverarbeiter Support von außerhalb der EU/des EWR leistet –, erfolgt sie nur mit einem gültigen Übermittlungsmechanismus nach Kapitel V DSGVO (Art. 44–49 DSGVO):

• einem Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) – bei Empfängern in den USA umfasst dies Unternehmen, die nach dem EU–US Data Privacy Framework (DPF) zertifiziert sind – oder
• Standardvertragsklauseln (SCC) (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um zusätzliche Maßnahmen, wo eine Einzelfallprüfung zeigt, dass sie erforderlich sind, oder
• den Ausnahmen für bestimmte Fälle nach Art. 49 DSGVO, etwa Ihrer ausdrücklichen Einwilligung, im Einzelfall.

Für Daten in der Plattform gilt eine weitere Regel: Jede solche Änderung durchläuft das Verfahren zur Benachrichtigung über Unterauftragsverarbeiter in Abschnitt 16 – mindestens 30 Tage Vorlauf und ein Recht auf Einspruch –, bevor sie wirksam wird.

17.3 Die Drittlands-Datenflüsse der Website

Die Website hat drei Datenflüsse, die die EU/den EWR verlassen können. Vercel Inc. (USA) hostet die Website und stellt Statistik bereit, sobald Sie sie aktiviert haben; unsere Serverfunktionen laufen in der EU (Stockholm), aber Vercel ist ein US-Unternehmen. Microsoft (USA) liefert die Teams-Nachrichten, die unser Vertriebsteam über Unternehmensbesuche erhält. Beide Übermittlungen beruhen auf dem Angemessenheitsbeschluss der Europäischen Kommission zum EU–US Data Privacy Framework, nach dem Vercel Inc. und die Microsoft Corporation zertifiziert sind. Schließlich läuft die Reverse-DNS-Abfrage für die Unternehmenserkennung, die die IP-Adresse enthält, über den DNS-Dienst unseres Hosting-Anbieters an denjenigen, der den DNS des Netzwerks betreibt, und dieser kann sich außerhalb der EU/des EWR befinden. Google Fonts wird nicht mehr verwendet – die Schriften werden von unserer eigenen Domain ausgeliefert.

18

Speicherdauer und Löschung

Wir bewahren personenbezogene Daten so lange auf, wie der Zweck es erfordert, und nicht länger (Art. 5 Abs. 1 lit. e DSGVO). Für uns bedeutet das immer einen konkreten Zeitraum oder ein benanntes Kriterium für jede Kategorie – niemals ein offenes Ende.

• Automatisiert, wo immer möglich. Die Plattform hat eingebaute Aufbewahrungseinstellungen, sodass die Löschung automatisch erfolgt – nicht, weil jemand daran denkt.
• Backups laufen innerhalb von 35 Tagen aus. Unsere verschlüsselten Backups folgen einem rollierenden Zeitfenster von höchstens 35 Tagen, sodass gelöschte Daten aus den Backups verschwinden, während das Fenster weiterläuft.
• Die Löschung umfasst Produktivsystem und Backups. Wenn eine Kundenbeziehung endet, können Sie Ihre Daten bis zur Durchführung der Löschung jederzeit exportieren. Wir löschen aus dem Produktivsystem innerhalb von 30 Tagen nach Ihrer Weisung, und alles – einschließlich der Backups – wird spätestens 90 Tage nach Vertragsende gelöscht (gemäß AVV).
• Sie steuern die Aufbewahrung in der Plattform. Wie lange Daten in Komma bleiben, richtet sich nach den von Ihnen gewählten Aufbewahrungseinstellungen (siehe Abschnitt 12).

Der vollständige Aufbewahrungsplan – jede Kategorie, jeder Zeitraum und sein Anknüpfungspunkt – steht in Anhang B. Und eine Regel hält alles zusammen: Wir bewahren personenbezogene Daten niemals „für alle Fälle“ auf.

19

Ihre Rechte

Wo Komma der Verantwortliche ist (siehe Abschnitt 5), haben Sie nach der Datenschutz-Grundverordnung (DSGVO) die folgenden Rechte. Die Tabelle zeigt, was jedes Recht bedeutet und wie Sie es ausüben.

19.1 Das Praktische

• Schreiben Sie an hej@kommahr.com. Ein besonderes Formular ist nicht nötig – eine gewöhnliche E-Mail genügt.
• Wir antworten innerhalb von 1 Monat. Bei komplexen Anträgen kann die Frist um bis zu 2 weitere Monate verlängert werden – in diesem Fall hören Sie jedoch innerhalb des ersten Monats von uns, mit einer Begründung (Art. 12 Abs. 3 DSGVO).
• Es ist kostenlos. Für die Ausübung Ihrer Rechte berechnen wir niemals eine Gebühr.
• Wir prüfen Ihre Identität verhältnismäßig. Wir fragen nur nach dem, was nötig ist, um sicherzustellen, dass die Daten die richtige Person erreichen – in der Regel genügt es, wenn Sie von einer E-Mail-Adresse schreiben, die wir bereits kennen.

19.2 Wenn Ihre Daten in der Komma-Plattform Ihres Arbeitgebers liegen

Wenn Ihr Arbeitgeber – oder ein Unternehmen, bei dem Sie sich beworben haben – Komma nutzt, ist dieses Unternehmen, nicht Komma, der Verantwortliche für Ihre Daten in der Plattform (siehe Abschnitt 5). Wenden Sie sich also direkt an das Unternehmen, in der Regel an die Personalabteilung, wenn Sie Ihre Rechte ausüben möchten. Wir helfen dem Unternehmen, schnell und korrekt gemäß dem Auftragsverarbeitungsvertrag (AVV) zu antworten, beantworten Anträge zu Kundendaten aber niemals selbst. Erreicht uns Ihr Antrag versehentlich, verweisen wir Sie an das Unternehmen und erklären, warum.

20

Verletzungen des Schutzes personenbezogener Daten

Eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust oder zur Veränderung personenbezogener Daten führt – oder dazu, dass jemand unbefugt Zugang zu ihnen erhält. In der Praxis kann das eine an den falschen Empfänger gesendete E-Mail sein, ein verlorener Laptop oder ein unbefugter Zugriff auf eine Datenbank.

Unsere interne Reaktion folgt vier festen Schritten:

1. Eindämmen: Wir stoppen die Verletzung und sichern die Systeme, damit sich der Schaden nicht ausbreitet.
2. Bewerten: Wir ermitteln, welche Daten und welche Personen betroffen sind und welches Risiko die Verletzung für sie darstellt.
3. Dokumentieren: Wir erfassen die Verletzung, ihre Folgen und unser Vorgehen in unserem internen Verzeichnis von Datenschutzverletzungen.
4. Lernen: Wir beheben die Ursache und passen Abläufe und technische Maßnahmen an, damit es nicht erneut geschieht.

Wen wir benachrichtigen, hängt von unserer Rolle ab (siehe Abschnitt 5):

Wir dokumentieren jede Verletzung des Schutzes personenbezogener Daten intern – auch solche, die keine Meldepflicht auslösen (Art. 33 Abs. 5 DSGVO). So haben wir den Überblick, die gewonnenen Erkenntnisse und die Dokumentation, die wir Datatilsynet vorlegen können.

21

Automatisierte Entscheidungen und Profiling

Nach der DSGVO haben Sie das Recht, keiner ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Bei Komma ist das kein Risiko, das wir umschiffen – es ist eine Funktion, die wir bewusst nicht gebaut haben: Die Plattform trifft keine solchen Entscheidungen, und sie lässt sich auch nicht dafür konfigurieren. Weder von uns noch von unseren Kunden.

Einige Funktionen können an Profiling erinnern – etwa das Bewerber-Matching im Recruiting und Hinweise auf Abwesenheitsmuster im Personaleinsatz. Sie sind Entscheidungsunterstützung, keine Entscheidungen:

• Erklärbare Bewertungen: Jede Bewertung ist gewichtet und Achse für Achse aufgeschlüsselt – niemals eine Zahl aus einer Blackbox.
• Ein Mensch entscheidet: Karma schlägt vor; kein Vorschlag wird wirksam, bevor eine Person mit der richtigen Rolle ihn aktiv freigibt.
• Alles wird protokolliert: Jeder KI-Vorschlag wird im Audit-Log erfasst, das nicht bearbeitet werden kann – so lässt sich die Grundlage einer Entscheidung jederzeit nachprüfen.

Mehr darüber, wie Karma funktioniert – und was wir bewusst nicht gebaut haben –, lesen Sie in Abschnitt 14.

22

Änderungen dieser Erklärung

Die aktuelle Fassung dieser Erklärung ist stets auf kommahr.com verfügbar. Die Versionshistorie am Anfang dieses Dokuments zeigt, was sich wann geändert hat.

Wesentliche Änderungen geben wir auf unserer Website bekannt. Änderungen, die die Plattform betreffen – etwa neue Unterauftragsverarbeiter oder eine geänderte Verarbeitung –, teilen wir unseren Kunden zusätzlich vorab mit, bevor sie wirksam werden.

Wir überprüfen diese Erklärung mindestens einmal im Jahr und aktualisieren sie, wann immer sich das Produkt, die Rechtslage oder unsere Praxis ändern.

23

Kontakt und Beschwerden

Wenn Sie Fragen zu dieser Erklärung oder dazu haben, wie wir Ihre personenbezogenen Daten verarbeiten, können Sie uns jederzeit gern schreiben.

Wir beantworten alle Datenschutzanfragen selbst. Es gibt kein Callcenter und keine Ticket-Warteschlange – Ihre E-Mail wird von einem Menschen bei Komma gelesen und beantwortet.

Komma hat keinen Datenschutzbeauftragten (DSB) benannt – dazu sind wir nach Art. 37 DSGVO nicht verpflichtet. Stattdessen haben wir eine interne Ansprechperson für den Datenschutz bestimmt, und jede Datenschutzfrage wird von uns direkt über hej@kommahr.com beantwortet.

Sie können sich jederzeit bei der dänischen Datenschutzbehörde (Datatilsynet) über unsere Verarbeitung Ihrer personenbezogenen Daten beschweren (Art. 77 DSGVO). Wir schätzen die Gelegenheit, die Dinge zuerst selbst in Ordnung zu bringen – schreiben Sie uns gern –, aber Sie brauchen niemals unsere Erlaubnis, um sich zu beschweren.

Anhang A

Glossar

Dieses Glossar erklärt die in dieser Erklärung verwendeten Begriffe in einfacher Sprache. Die Kurzfassung steht in Abschnitt 2 – dies ist die vollständige.

Anhang B

Aufbewahrungsplan

Dieser Plan fasst alle Speicherfristen der Erklärung an einem Ort zusammen – mit Rolle, Frist und Grundlage für jede Kategorie. Wie die Löschung in der Praxis funktioniert, ist in Abschnitt 18 beschrieben. Die letzten drei Zeilen sind die automatischen Löschvoreinstellungen der Plattform; dort ist der Kunde der Verantwortliche und legt die Aufbewahrung in den Einstellungen der Plattform fest.

Anhang C

Technische und organisatorische Maßnahmen

Dieser Anhang beschreibt die technischen und organisatorischen Maßnahmen (Art. 32 DSGVO), die personenbezogene Daten in der Plattform – über alle 11 Module und Karma hinweg – und im eigenen Betrieb von Komma schützen.

Unser Sicherheitsprogramm ist an anerkannten Rahmenwerken ausgerichtet – den Grundsätzen der ISO 27001 und den Anforderungen von Art. 32 DSGVO –, und Komma befindet sich im Prozess der ISO-27001-Zertifizierung. Wir überprüfen die Maßnahmen mindestens einmal im Jahr und aktualisieren sie, wenn sich Technologie und Bedrohungslage weiterentwickeln.

C.1 Vertraulichkeit und Zugriffskontrolle

• Rollenbasierte Zugriffskontrolle bis auf Feldebene, abgegrenzt nach Abteilung, Standort und juristischer Person. Sensible Felder wie Gehalt und Abwesenheitsgründe sind nur für Rollen mit einem arbeitsbezogenen Bedarf sichtbar.
• Single Sign-on über Microsoft Entra ID mit automatischer Bereitstellung und Deaktivierung – wenn ein Beschäftigter den Kunden verlässt, wird der Zugang automatisch geschlossen.
• Das Prinzip der minimalen Rechte: Keine Rolle hat mehr Zugriff, als die Aufgabe erfordert.
• Geheimnisse – Schlüssel, Zertifikate und Verbindungszeichenfolgen – werden in Azure Key Vault gespeichert und über verwaltete Identitäten abgerufen, niemals im Code.
• Telemetrie- und Betriebsprotokolle werden vor der Speicherung von personenbezogenen Daten bereinigt.
• Alle Mitarbeiter von Komma haben eine Vertraulichkeitserklärung unterzeichnet.

C.2 Integrität

• Verschlüsselung bei der Übertragung mit TLS 1.2 oder höher und Verschlüsselung im Ruhezustand für Datenbank und Speicher.
• Ein nicht bearbeitbares Audit-Log erfasst jeden Lesezugriff, jede Änderung und jeden Export – einschließlich der Vorschläge von Karma.
• API-Schlüssel sind rollenbezogen, mit Berechtigungsumfang, Ratenbegrenzung und Ablaufdatum je Schlüssel – und Gehalt, CPR-Nummern und Abwesenheitsgründe sind von vornherein ausgeschlossen.
• Sichere Entwicklung: Änderungen werden getestet und geprüft, bevor sie in die Produktion gelangen.

C.3 Verfügbarkeit und Belastbarkeit

• Die Plattform läuft auf Microsoft Azure in der EU (Region Sweden Central) auf redundanter Infrastruktur.
• Verschlüsselte Backups in der EU mit einem rollierenden Zeitfenster von höchstens 35 Tagen.
• Soft Delete und Versionierung im Speicher schützen vor versehentlichem Löschen und Überschreiben.

C.4 Wiederherstellbarkeit

• Dokumentierte Verfahren zur Wiederherstellung von Daten und Systemzugang nach einem technischen oder physischen Zwischenfall.
• Wiederherstellungsverfahren sind dokumentiert, und Wiederherstellungstests sind Teil unseres Sicherheitsprogramms – ein ungetestetes Backup zählt für uns nicht als Backup.
• Soft Delete und Versionierung ermöglichen es, einzelne Daten schnell ohne vollständige Wiederherstellung zurückzuholen.

C.5 Überprüfung und Bewertung

• Schwachstellenbewertungen von Plattform und Infrastruktur sind fester Bestandteil des Sicherheitsprogramms.
• Zugriffsüberprüfungen: Rollen und Berechtigungen werden überprüft und eingeschränkt, wenn sich der Bedarf ändert.
• Jährliche Überprüfung der Sicherheitsrichtlinien und der Maßnahmen in diesem Anhang.

C.6 Organisatorische Maßnahmen

• Laufende Schulung aller Mitarbeiter in Datenschutz und Informationssicherheit.
• Ein festgelegter interner Prozess für Sicherheitsvorfälle und Verletzungen des Schutzes personenbezogener Daten – siehe Abschnitt 20.
• Sorgfaltsprüfung von Dienstleistern vor der Aufnahme und laufende Nachverfolgung – siehe Anhang D.
• Datensparsame Voreinstellungen im Produkt, etwa die automatische Löschung von Bewerbern nach 6 Monaten und die Anonymisierung ehemaliger Mitarbeiter nach 5 Jahren (siehe Anhang B).

Anhang D

Auftragsverarbeiter und Unterauftragsverarbeiter

Wir halten unsere Dienstleisterliste bewusst kurz. Dieser Anhang zeigt alle, aufgeteilt nach unseren beiden Rollen – siehe Abschnitte 5 und 16.

D.1 Komma als Verantwortlicher

Dienstleister, die im eigenen Betrieb von Komma personenbezogene Daten verarbeiten – Website, Anfragen, Support und Verwaltung.

IPinfo und cvrapi.dk sind keine Auftragsverarbeiter. Dasselbe gilt für RIPE NCC: Wir verwenden eine Kopie seines öffentlichen Registers, sodass keine IP-Adresse an RIPE gesendet wird. Die Unternehmenserkennung verwendet eine Kopie der Datenbank von IPinfo in unserer eigenen Serverfunktion, sodass keine IP-Adresse an IPinfo gesendet wird (IP-Daten von IPinfo, lizenziert unter CC BY-SA 4.0). cvrapi.dk ist ein öffentlicher Abfragedienst in Dänemark, der nur den Namen des Unternehmens erhält.

D.2 Komma als Auftragsverarbeiter (die Plattform)

Unterauftragsverarbeiter, die an der Bereitstellung der Plattform beteiligt sind. Die Liste ist bewusst kurz.

Die Lohnabrechnungsintegrationen (Zenegy, Danløn, Dataløn, Visma, Lessor und Intect) sind keine Unterauftragsverarbeiter von Komma. Sie laufen ausschließlich auf Ihre Weisung und sind Ihre eigenen Auftragsverarbeiter oder eigenständige Verantwortliche – siehe Abschnitt 16.

Änderungen der Liste der Unterauftragsverarbeiter kündigen wir mindestens 30 Tage im Voraus an, mit einem Recht auf Einspruch, wie im Auftragsverarbeitungsvertrag (AVV) festgelegt. Die aktuelle Liste ist stets über den AVV und auf kommahr.com verfügbar.