1. Die Liste
Dies sind die Dienstleister, die OutLine Digital Agency zur Erbringung von Omega People einsetzt. Sie sind als Auftragsverarbeiter beauftragt und vertraglich an Pflichten gebunden, die denen des Auftragsverarbeitungsvertrags gleichwertig sind.
| Dienstleister | Tätigkeit | Ort der Verarbeitung | Ausserhalb des EWR |
|---|---|---|---|
| IONOS SE | Server und Speicher: betreibt die Anwendung, die Datenbanken der Arbeitsbereiche, hochgeladene Dateien (Personaldokumente, Lohnabrechnungen, Belege, Anhänge) und Sicherungskopien. | Deutschland | Nein |
| Aruba S.p.A. | Leitet die ausgehenden E-Mails des Dienstes weiter: Einladungen an Mitarbeitende und Teammitglieder, Passwort-Zurücksetzungen, Nachrichten an Bewerbende, E-Mails aus den vom Kunden eingerichteten Automatisierungsregeln sowie E-Mails zum Abonnement. Die Nachrichten enthalten Name und E-Mail-Adresse des Empfängers sowie den Inhalt der Nachricht. | Italien | Nein |
| Stripe Payments Europe, Limited | Zieht die Abonnemententgelte ein und stellt Zahlungsbelege aus. Verarbeitet nur die Rechnungsdaten des Abonnenten (Firmenname, Anschrift, USt-IdNr., Rechnungs-E-Mail, Kartendaten – die nie über unsere Server laufen). Dazu erhält es den Namen des Arbeitsbereichs, die Anmelde-E-Mail-Adresse seines Inhabers und unsere internen Referenznummern. Kein Zugriff auf die Daten in den Arbeitsbereichen. | Irland | Nein |
Kein Unterauftragsverarbeiter verarbeitet die Daten Ihrer Arbeitsbereiche ausserhalb des Europäischen Wirtschaftsraums. Stripe kann ausschliesslich für die Zahlungsdaten des Abonnements auch Stripe, Inc. in den Vereinigten Staaten im Rahmen des EU-U.S. Data Privacy Framework einsetzen (siehe Datenschutzerklärung).
2. Warum die Liste so kurz ist
Drei Dienstleister sind für einen Cloud-Dienst wenig: Jeder weitere Name ist eine weitere Partei, die Kundendaten sieht. Die kurze Liste ist das Ergebnis bewusster, überprüfbarer Entscheidungen:
- keine Analyse- oder Tracking-Werkzeuge Dritter;
- kein externes Content-Delivery-Network für die Website und die Ansichten der Anwendung: Bilder, Skripte und Schriften werden von unserer eigenen Domain ausgeliefert (die wenigen Fälle, in denen ein Browser etwas von anderswo lädt, sind in Abschnitt 4 aufgeführt);
- kein externer Support-, Chat-, Ticket- oder Fehlerberichtsdienst: Fehler bleiben in unseren Protokollen, auf unseren Servern;
- kein Anbieter künstlicher Intelligenz auf Plattformebene: Die KI-Funktionen sind standardmässig ausgeschaltet und laufen, wenn ein Kunde sie einschaltet, entweder im Browser des Benutzers oder beim eigenen Anbieter des Kunden mit dessen Schlüssel;
- kein eigener Anbieter für elektronische Signaturen: Die Fernsignatur nutzt das eigene Yousign-Konto des Kunden;
- kein Dienst für Push-Benachrichtigungen: Benachrichtigungen werden in der Anwendung und in der mobilen App angezeigt, wenn diese geöffnet werden;
- kein Marketing-E-Mail-Dienst: Wir versenden ausschliesslich Service-E-Mails (Einladungen, Passwort-Zurücksetzungen, Nachrichten an Bewerbende, die E-Mails der Automatisierungsregeln des Kunden, Abrechnung) über ein einziges Relay.
3. Wenn sich diese Liste ändert
- Die Hinzunahme oder der Austausch eines Unterauftragsverarbeiters wird mindestens 30 Tage im Voraus per E-Mail an die Kontoadresse und mit einem Hinweis in der Anwendung angekündigt.
- Innerhalb dieser Frist kann der Kunde aus vernünftigen, belegten Datenschutzgründen widersprechen.
- Bei Widerspruch suchen wir in gutem Glauben nach einer Alternative; ist keine praktikabel, kann der Kunde ohne Vertragsstrafe mit Wirkung zum Zeitpunkt der Änderung kündigen.
4. Was NICHT auf dieser Liste steht, und warum
Dienste, die Sie selbst verbinden. Omega People kann mit Diensten zusammenarbeiten, die Sie auswählen und selbst unter Vertrag nehmen: Yousign für elektronische Signaturen, mit dem API-Schlüssel Ihres eigenen Yousign-Kontos (übermittelt werden das zu unterzeichnende Dokument sowie Name, E-Mail-Adresse und Telefonnummer der unterzeichnenden Person); ein Anbieter künstlicher Intelligenz — Anthropic, OpenAI oder Google — mit Ihrem eigenen Schlüssel, wenn Sie die KI-Funktionen in diesem Modus einschalten (siehe Künstliche Intelligenz); und Webhooks, die Ihre Automatisierungsregeln aufrufen. Diese sind nicht unsere Unterauftragsverarbeiter: Sie wählen sie aus, der Vertrag ist Ihrer, und die Daten gelangen auf Ihre Weisung dorthin. Sie gehören in Ihr eigenes Verzeichnis der Verarbeitungstätigkeiten.
OpenStreetMap. Wenn eine Administratorin oder ein Administrator die Anwendung einen Standort auf der Karte suchen lässt, wird die Adresse des Standorts an den öffentlichen Suchdienst von OpenStreetMap gesendet, und die Kartenbilder lädt der Browser der Administratorin oder des Administrators von den Servern von OpenStreetMap. Die beim Stempeln erfasste Position wird auf unseren eigenen Servern mit dem Standort abgeglichen, ohne jeden Kartendienst; nur wenn eine Vorgesetzte oder ein Vorgesetzter bei einer Stempelung „Auf der Karte ansehen“ wählt, öffnet ihr bzw. sein Browser openstreetmap.org an diesen Koordinaten, ohne dass ein Name mitgegeben wird. Die OpenStreetMap Foundation ist daher kein Auftragsverarbeiter der Daten Ihres Arbeitsbereichs.
Wechselkurse. Um Spesen in Fremdwährung umzurechnen, lädt die Anwendung die von der Europäischen Zentralbank veröffentlichten Referenzkurse herunter oder, wenn diese Quelle nicht antwortet, die des öffentlichen Dienstes frankfurter.dev. Gesendet werden nur die Währung und das Datum, nichts über Personen.
Schriften und Videos auf den Seiten, die Sie veröffentlichen. Karriereseiten und Websites, die mit dem Seiteneditor erstellt werden, laden die von Ihnen gewählte Schrift von Google Fonts (es sei denn, Sie wählen „System“) und jedes von Ihnen eingefügte Video von YouTube oder Vimeo. Geladen werden sie vom Browser der Besucherin oder des Besuchers, nicht von uns; beschrieben sind sie in der Cookie-Richtlinie.
Push-Benachrichtigungen. Omega People versendet heute keine Push-Benachrichtigungen über einen Drittdienst. Sollten sie eingeführt werden, wird der Anbieter, der sie zustellt, mit der in Abschnitt 3 vorgesehenen Ankündigung in diese Liste aufgenommen.
Zertifikate für Ihre eigene Domain. Wenn Sie eine Website unter einer eigenen Domain veröffentlichen, wird das Zertifikat, das sie absichert, bei Let’s Encrypt angefordert; dabei wird der Name der Domain übermittelt. Personenbezogene Daten sind nicht betroffen.
Der QR-Code-Scanner der mobilen App. Die App liest QR-Codes auf dem Gerät, mit der Bibliothek ML Kit von Google. Nach Angaben von Google sendet die Bibliothek technische Diagnosedaten an Google — Gerätemodell, Betriebssystem, App-Version, eine Installationskennung, Fehlercodes — und keine Bilder. Google erhält keine Daten aus Ihrem Arbeitsbereich und ist nicht unser Unterauftragsverarbeiter; die Einzelheiten stehen in Abschnitt 14 der Datenschutzerklärung.
In der Anwendung findet jeder Kunde unter Einstellungen → Datenschutz und Compliance sein bereits ausgefülltes Verzeichnis der Verarbeitungstätigkeiten mit dem, was Omega People für ihn verarbeitet, die Liste der von ihm verbundenen Dienste sowie die Datenschutzhinweise für seine Mitarbeitenden und Bewerbenden.