Datenschutzerklärung

Scovai („wir", „uns", „unser") betreibt die Scovai Talent-Intelligence-Plattform. Diese Datenschutzerklärung erläutert, wie wir personenbezogene Daten erheben, verwenden, speichern und schützen, wenn Sie unsere Dienste nutzen, unsere Website besuchen oder als Recruiter, Kandidat oder Besucher mit unserer Plattform interagieren.

Wir verpflichten uns zum Schutz Ihrer Privatsphäre in Übereinstimmung mit der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO), dem EU-KI-Gesetz (Verordnung (EU) 2024/1689) und den geltenden nationalen Datenschutzgesetzen.

1. Verantwortlicher

Der Verantwortliche für die über die Scovai-Plattform verarbeiteten personenbezogenen Daten ist:

OmniSage LLC (Scovai) — New Mexico Entity ID: 0008015447
1209 Mountain Road PL NE, Suite R, Albuquerque, NM 87110, USA
E-Mail: privacy@scovai.com

OmniSage LLC hat ihren Sitz außerhalb der Europäischen Union. Ein Vertreter in der Union nach Artikel 27 DSGVO ist noch nicht benannt. Bis dahin schreiben Sie an privacy@scovai.com, die einzige Adresse für alle Fragen, Anträge und Beschwerden zum Datenschutz; wir beantworten sie selbst. Sobald ein Vertreter benannt ist, nennen wir ihn hier.

Bei mandantenspezifischer Verarbeitung (wenn Organisationen Scovai zur Verwaltung der Personalbeschaffung nutzen) handelt die jeweilige Organisation als Verantwortlicher und Scovai als Auftragsverarbeiter in deren Auftrag.

2. Daten, die wir erheben

2.1 Kandidatendaten

• Identitätsdaten: Name, E-Mail-Adresse, Telefonnummer, Standort
• Lebenslauf- und Karrieredaten: Berufserfahrung, Ausbildung, Fähigkeiten, Zertifizierungen, Sprachen, mittels KI-gestützter Lebenslaufanalyse extrahiert
• Bewertungsdaten: Antworten auf technische Bewertungen, Ergebnisse psychometrischer Evaluierungen (Big-Five-Persönlichkeitsmerkmale, Präferenzen zur Kulturpassung, Indikatoren zum Führungsstil)
• Interviewdaten: KI-Interviewtranskripte, Antworten und generierte Bewertungsberichte
• Scoring-Daten: KI-generierte Bewertungen über mehrere Dimensionen (Technik, Erfahrung, Ausbildung, Soft Skills, Potenzial) mit erklärender Begründung
• Embedding-Daten: 1536-dimensionale Vektordarstellungen des Lebenslaufinhalts für semantisches Matching (nicht menschenlesbar)
• Integritätsdaten aus Assessments: Signale, die während eines Assessments oder eines Videointerviews aufgezeichnet werden, einschließlich eines Einweg-Hashes von Browser- und Gerätemerkmalen, der zeigt, ob eine Sitzung auf einem anderen Gerät fortgesetzt wurde. Diese Signale sind nur ein Hinweis, nie für sich allein ein Grund, einen Kandidaten abzulehnen, und werden 365 Tage nach der Sitzung gelöscht. Sie sind in unserer Cookie-Richtlinie ausführlich beschrieben.

2.2 Recruiter- und Organisationsdaten

• Kontodaten: Name, E-Mail, Rolle, Organisationsname
• Konfigurationsdaten: Präferenzen für Bewertungsgewichtungen, Unternehmenskulturprofile, KI-Funktionseinstellungen
• Nutzungsdaten: Plattformaktivität, Funktionsnutzung, Analysedaten

2.3 Daten von Website-Besuchern

• Technische Daten: IP-Adresse, Browsertyp, Geräteinformationen. Die IP-Adresse wird auf der Startseite außerdem serverseitig genutzt, um Ihr Land zu schätzen, damit Preise und Sprache sinnvoll voreingestellt sind. Das Ergebnis wird nicht zu Ihrer Person gespeichert.
• Nutzungsdaten: Besuchte Seiten, Verweildauer, Verweisquelle

2.4 Google-Nutzerdaten

Wenn Sie ein Google-Konto mit einem Digital Employee verbinden, greifen wir nur auf die Google-Dienste und Berechtigungen zu, die auf Googles Zustimmungsbildschirm angezeigt werden. Über Scovais eigenen Google-Zustimmungsbildschirm sind das folgende Berechtigungen:

• Gmail (gmail.modify): Nachrichten, Threads, Labels und Entwürfe sowie die Möglichkeit, E-Mails zu verfassen, zu senden, zu organisieren und zu aktualisieren
• Google Drive, Lesezugriff (drive.readonly): Diese Berechtigung umfasst Ihr gesamtes Drive, damit ein Digital Employee ein Dokument, das Sie beim Namen nennen, finden kann, ohne dass Sie zuerst auf den Ordner verweisen müssen
• Google Drive, Schreibzugriff (drive.file): beschränkt auf die Dateien und Ordner, die Sie selbst in Googles eigener Dateiauswahl bestimmen. Diese Grenze setzt Google durch, nicht Scovai, sodass ein Digital Employee sie nicht erweitern kann
• Google-Kontoidentität (userinfo.email): die E-Mail-Adresse des verbundenen Kontos, der einzige für Menschen lesbare Name, den wir Ihnen für die Berechtigung anzeigen können

Scovais eigener Zustimmungsbildschirm fordert keine Berechtigungen für Google Calendar, Docs oder Sheets an. Diese Dienste werden, wenn Sie sie verbinden, über einen der beiden unten beschriebenen Wege erreicht.

Die Verbindung mit Google ist freiwillig. Scovai greift auf diese Daten nur nach Ihrer ausdrücklichen OAuth-Zustimmung zu und nur, wenn Sie oder Ihr autorisierter Digital Employee eine Aufgabe starten, die das erfordert.

Eine Person kann ein Konto auf vier Wegen mit einem Digital Employee verbinden, und welcher Weg genutzt wird, ändert, wer die Schlüssel hält.

1. Direkt bei Google, über Scovais eigenen Zustimmungsbildschirm, für Gmail und Drive wie oben beschrieben. Scovai hält das Refresh-Token verschlüsselt, und der Digital Employee erhält kurzlebige Access-Token.
2. Direkt bei Microsoft, über Scovais eigenen Microsoft-Zustimmungsbildschirm, für Microsoft-365-Mail (Outlook), Microsoft 365 Calendar und OneDrive / SharePoint. Der Zugriff auf OneDrive und SharePoint ist auf den Ordner beschränkt, den Sie auswählen. Scovai hält das Refresh-Token verschlüsselt, und der Digital Employee erhält kurzlebige Access-Token.
3. Über UNIPILE, einen Verbindungsbroker, für Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram und LinkedIn. Die Zustimmungsanfrage auf dem Bildschirm des Anbieters kommt von UNIPILE, UNIPILE hält die Token, und der Digital Employee hält einen begrenzten Broker-Schlüssel, mit dem er aus dem verbundenen Konto lesen und, wenn Sie den Versand aktiviert haben, senden kann. Für LinkedIn erreicht dieser Schlüssel nur Scovai, nie LinkedIn: Scovai sendet jede Anfrage selbst an UNIPILE, innerhalb täglicher Limits, und jede Nachricht, Einladung oder jeder Beitrag wartet auf Ihre Freigabe. Wenn Sie die Verbindung trennen, wird das Konto kurz darauf bei UNIPILE entfernt.
4. Über Pipedream, ein Gateway für verbundene Apps, für Apps wie Google Drive, Docs, Sheets und Meet. Pipedream hält die Autorisierung und führt die Anfrage aus, sodass Anfrage und Ergebnis über Pipedream laufen.

Ein Messaging-Konto ist etwas anderes als ein Postfach: Wer eines verbindet, legt die Unterhaltungen der Menschen offen, die diesem Konto schreiben, Gruppenchats eingeschlossen, nicht nur die Nachrichten, die Sie selbst geschrieben haben.

2.6 Aufzeichnungen, Transkripte und Zusammenfassungen von Besprechungen

Wenn eine Besprechung oder ein Interview auf der Plattform aufgezeichnet wird, verarbeiten wir Audio und Video des Anrufs, ein Transkript des Gesagten, eine Zusammenfassung und die daraus abgeleiteten Aufgaben, den Chat während des Anrufs sowie Namen und E-Mail-Adressen der Teilnehmenden und Gäste. Die Aufzeichnung ist standardmäßig eingeschaltet, und die organisierende Person kann sie ausschalten. Gäste außerhalb des organisierenden Unternehmens werden vor Beginn um ihre Einwilligung gebeten; das eigene Personal des organisierenden Unternehmens wird auf Grundlage des Beschäftigungsverhältnisses informiert, und dieses Unternehmen ist dafür verantwortlich, sein Personal und, wo nationales Recht es verlangt, dessen Vertretungen zu informieren.

Das Audio wird von OpenAI transkribiert, und der Transkripttext wird von Anthropic zusammengefasst, mit OpenRouter als Ausweichoption. Ein Digital Employee des organisierenden Unternehmens kann gebeten werden, die Besprechung nachzubereiten; dann werden Transkript und Zusammenfassung in das Lesematerial dieses Digital Employee abgelegt. Aufzeichnungen werden nach den in Abschnitt 6 genannten Fristen gelöscht; Transkripte, Zusammenfassungen und Aufgaben werden aufbewahrt, bis das organisierende Unternehmen die Besprechung löscht.

Nach einer Besprechung kann die organisierende Person den Eingeladenen ein Debriefing senden. Dieses Debriefing kann das vollständige Transkript enthalten und geht an alle Eingeladenen, die die organisierende Person auswählt, einschließlich Gästen außerhalb des organisierenden Unternehmens. Die organisierende Person wählt die Empfänger; wir filtern den Inhalt nicht pro Empfänger.

3. Wie wir Ihre Daten verwenden

Wir verarbeiten personenbezogene Daten für folgende Zwecke:

• Diensterbringung: Zur Bereitstellung von Lebenslaufanalyse, KI-Scoring, Bewertungen, Interviewunterstützung und Kandidaten-Positions-Matching
• KI-gestützte Analyse: Zur Generierung von Bewertungen, psychometrischen Profilen, Interviewauswertungen und Shortlist-Rankings mittels maschineller Lernmodelle
• Plattformverbesserung: Zur Verbesserung der Genauigkeit und Fairness unseres Scorings und Matchings, zur Optimierung der Benutzererfahrung und zur Entwicklung neuer Funktionen. Das geschieht mit aggregierten und statistischen Daten. Wir verwenden weder Kandidatendaten noch die Inhalte, die ein Digital Employee bearbeitet, zum Trainieren oder Feinabstimmen von KI-Modellen.
• Compliance: Zur Führung von Audit-Protokollen, Ermöglichung menschlicher Überprüfung von KI-Entscheidungen und Überwachung algorithmischer Voreingenommenheit
• Kommunikation: Zum Versand von Benachrichtigungen, Bewertungseinladungen, Interview-Links und Service-Updates
• Aufgaben verbundener Google-Dienste: Zur Ausführung der Gmail-, Drive-, Docs-, Sheets- und Calendar-Aktionen, die Sie ausdrücklich bei einem verbundenen Digital Employee anfordern

4. Rechtsgrundlagen der Verarbeitung

5. Automatisierte Entscheidungsfindung und Profiling

Scovai setzt KI ein, um Kandidaten zu bewerten, psychometrische Profile zu erstellen und Interviewauswertungen zu generieren. In Übereinstimmung mit Art. 22 DSGVO und dem EU-KI-Gesetz:

• Transparenz: Jede KI-generierte Bewertung enthält eine erklärbare KI-Begründung (XAI) in verständlicher Sprache, die erläutert, warum die Bewertung vergeben wurde
• Menschliche Aufsicht: Es werden keine vollständig automatisierten Einstellungsentscheidungen getroffen. KI-Ergebnisse dienen als Empfehlungen: Menschliche Recruiter treffen die endgültigen Entscheidungen
• Recht auf Anfechtung: Kandidaten können die menschliche Überprüfung jeder KI-generierten Bewertung oder Punktzahl verlangen
• Bias-Monitoring: Unser Analytics-Modul analysiert KI-Scoring-Muster und den Funnel-Fortschritt nach Geschlecht und Altersgruppe und hebt statistische Auffälligkeiten hervor, wenn die Ergebnisse einer Gruppe von der Gesamtverteilung abweichen

6. Datenspeicherung

• Kandidatendaten: Werden für die Dauer des Recruiting-Prozesses plus 12 Monate aufbewahrt, sofern keine Einwilligung zur Aufbewahrung im Talentpool erteilt wird. Ein nächtlicher Job löscht die Bewerbung und die daraus abgeleiteten Datensätze — ihre Assessments, Interviews, Bewertungen und Integritätsdaten — 12 Monate nachdem über die Bewerbung entschieden wurde. Ihr Profil ist von dieser Löschung nicht betroffen: Es gehört Ihnen, nicht dem Arbeitgeber, und andere Bewerbungen haben ihre eigenen Fristen.
• Talentpool-Daten: Werden bis zum Widerruf der Einwilligung aufbewahrt, in jedem Fall nicht länger als 24 Monate nach der letzten Aktivität; danach löscht derselbe nächtliche Job den Eintrag.
• Kontodaten: Werden für die Dauer des Dienstleistungsvertrags plus 12 Monate aufbewahrt und auf Anfrage sowie über unseren Data-Governance-Prozess gelöscht.
• Audit-Protokolle: Fehler- und kritische Protokolle werden 365 Tage aufbewahrt; Informationsprotokolle 30 Tage; Warnprotokolle 90 Tage. Jede Zeile wird in eine komprimierte Archivdatei geschrieben, bevor sie aus dem Live-System gelöscht wird; diese Archivdateien werden aufbewahrt, bis ein Administrator sie entfernt.
• Datensätze von Digital Employees: Das Arbeitsgedächtnis, die Gesprächstranskripte, die Genehmigungsdatensätze und das Postfach eines Digital Employee werden aufbewahrt, solange er zugewiesen ist, und danach wie unten bei der Freigabe beschrieben behandelt. Aktivitäts- und Vorfallsdatensätze auf der Plattform werden für die Lebensdauer des Workspace aufbewahrt.
• Freigabe eines Digital Employee: Wenn ein Mandant einen Digital Employee freigibt, bleiben seine Seat-Datensätze erhalten, und mit ihm verbundene Konten bleiben verbunden, bis der Mandant sie trennt. Dreißig Tage später, oder drei Tage später, wenn er nie berechnet wurde, weisen wir seine Laufzeitumgebung an, sein Arbeitsgedächtnis und seine Gesprächstranskripte zu löschen, und vernichten anschließend seine virtuelle Maschine. Sein Postfach wird deaktiviert, und die darin enthaltenen Nachrichten werden aufbewahrt, bis die Löschung verlangt wird. Gesprächsinhalte in Scovai Workspace werden von diesem Dienst aufbewahrt, bis der Mandant die Löschung verlangt. Backups der Plattformdatenbank werden innerhalb von sieben Tagen überschrieben.
• Aufzeichnungen von Interviews und Besprechungen: Interviewaufzeichnungen werden 90 Tage nach dem Interview gelöscht, Aufzeichnungen von Live-Besprechungen 180 Tage nach der Besprechung. Transkripte, Zusammenfassungen und Aufgaben werden aufbewahrt, bis der Mandant das Interview oder die Besprechung löscht.
• Unterhaltungen in Scovai Workspace: In Scovai Workspace ausgetauschte Nachrichten werden von diesem Dienst in lesbarer Form und mit einem Suchindex gespeichert, solange der Workspace besteht. Scovai hat keinen Mechanismus, diese Inhalte von sich aus zu löschen; sie werden auf Verlangen des Mandanten gelöscht.
• Getrennte Connectors: Wenn ein Connector getrennt wird, löschen wir das gespeicherte Token und rufen den Widerrufs-Endpunkt des Anbieters auf, sofern er einen anbietet; dieser Aufruf erfolgt nach bestem Bemühen und kann fehlschlagen. Der Datensatz der Verbindung selbst, einschließlich seines verschlüsselten Containers, wird aufbewahrt, bis der Workspace gelöscht wird.
• Telemetrie von Digital Employees: Betriebsberichte, die die Laufzeitumgebung eines Digital Employee an uns sendet — Heartbeats, Bereitschaftsprüfungen und Zusammenfassungen der gemeldeten Arbeit —, werden zusammen mit den Aktivitätsdatensätzen für die Lebensdauer des Workspace aufbewahrt.
• Integritätsdaten aus Assessments: Werden 365 Tage nach der Sitzung automatisch gelöscht, sofern für einen Datensatz keine rechtliche Aufbewahrungspflicht (Legal Hold) besteht.
• KI-Modell-Trainingsdaten: Wir verwenden weder individuelle Kandidatendaten noch die Inhalte, die ein Digital Employee bearbeitet, zum Trainieren oder Feinabstimmen von KI-Modellen
• Google-OAuth-Zugangsdaten: Das Refresh-Token wird verschlüsselt gespeichert und nur so lange aufbewahrt, wie der Connector aktiv ist. Beim Trennen des Connectors löscht Scovai das gespeicherte Refresh-Token und fordert den Token-Widerrufs-Endpunkt von Google auf, es zu widerrufen; wie bei jedem Connector erfolgt dieser Widerrufsaufruf nach bestem Bemühen und kann fehlschlagen, und der Datensatz der Verbindung wird wie oben unter Getrennte Connectors beschrieben aufbewahrt
• Google-Inhalte: Der Connector legt keine zentrale Kopie von Gmail-, Drive-, Docs-, Sheets- oder Calendar-Inhalten an. Vorübergehende Betriebscaches werden, falls zur Erledigung einer Aufgabe erforderlich, nur so lange gehalten, wie die Aufgabe sie benötigt. Ergebnisse, die Sie einen Agenten bewusst erstellen oder speichern lassen, unterliegen bis zu ihrer Löschung durch Sie den üblichen Aufbewahrungsfristen des Kontos oder Dienstes

7. Datenweitergabe

Wir verkaufen keine personenbezogenen Daten. Daten können weitergegeben werden an:

• Arbeitgeberorganisationen: Kandidatendaten werden an die rekrutierende Organisation weitergegeben, bei der sich der Kandidat beworben hat oder mit der er gematcht wurde
• KI-Anbieter: KI-Aufgaben der Plattform (Lebenslaufanalyse, Scoring, Assessments, Interviews, Sprache und Embeddings) werden von benannten Unterauftragsverarbeitern verarbeitet, Anthropic (Claude API) und OpenAI, mit Auftragsverarbeitungsverträgen, geleitet über ein zentral konfiguriertes und auditiertes Gateway. API-Daten im Rahmen dieser Verträge werden nicht zum Training der Anbietermodelle verwendet. Ein Digital Employee in der europäischen Region nutzt dieselben Anbieter. Ein Digital Employee in der Region Naher Osten nutzt dieses Gateway nicht: Er ruft seinen Sprachmodellanbieter, Zhipu AI, direkt auf, mit Sakana AI als Ausweichoption (siehe Abschnitt 11)
• Hosting-Anbieter: Die Plattform, ihre Datenbank und hochgeladene Dateien werden innerhalb des Europäischen Wirtschaftsraums gehostet, in Frankreich. Ein Digital Employee läuft in der Verarbeitungsregion, die der Kunde wählt, wie in Abschnitt 11 beschrieben: In der europäischen Region läuft er in Frankreich und sein Sprachmodell wird bei Anthropic, OpenAI oder einem über OpenRouter geleiteten Anbieter aufgerufen; in der Region Naher Osten läuft er in den Vereinigten Arabischen Emiraten und sein Sprachmodell wird in der Volksrepublik China aufgerufen, mit einer Ausweichoption in Japan. Über Pipedream erreichte verbundene Apps werden in beiden Regionen in den Vereinigten Staaten verarbeitet

7.1 Google API Services und Limited Use

Scovais Nutzung und Weitergabe von Informationen, die aus Google-APIs stammen, entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.

Google-Nutzerdaten werden nur verwendet, um die von Ihnen angeforderte, für Nutzer sichtbare Connector-Funktion bereitzustellen oder zu verbessern. Erfordert eine Aufgabe die Verarbeitung durch ein Sprachmodell, kann der minimal notwendige Inhalt an unsere KI-Dienstleister übermittelt werden, ausschließlich als Dienstleister, die auf Weisung von Scovai handeln, und ausschließlich zur Erledigung dieser Aufgabe. Für Plattformfunktionen sind diese Anbieter Anthropic, OpenAI oder über OpenRouter geleitete Anbieter, mit Auftragsverarbeitungsverträgen, die ein Training ausschließen. Für einen Digital Employee hängt der Anbieter von seiner Verarbeitungsregion ab: In der europäischen Region ist es einer dieser Anbieter; in der Region Naher Osten ist es Zhipu AI, direkt an einem Endpunkt in der Volksrepublik China aufgerufen, mit Sakana AI in Japan als Ausweichoption. In beiden Regionen wird der Inhalt, an dem der Digital Employee in diesem Moment arbeitet, dem Modell als Kontext übermittelt. Wenn Sie ein Google-Konto mit einem Digital Employee verbinden, erreichen Google-Inhalte, an denen er für Sie arbeiten soll, diesen Anbieter. Über Pipedream erreichte verbundene Apps leiten Anfrage und Ergebnis über Pipedream in den Vereinigten Staaten. Alle diese Anbieter sind mit ihren Standorten in Abschnitt 11 aufgeführt.

Wir verkaufen Google-Nutzerdaten nicht, nutzen sie nicht für Werbung, nicht zur Bestimmung der Kreditwürdigkeit oder Kreditvergabefähigkeit, nicht zur Überwachung und nicht zum Trainieren oder Feinabstimmen allgemeiner oder personalisierter KI-Modelle. Menschen lesen Google-Nutzerdaten nicht, außer mit Ihrer ausdrücklichen Zustimmung zu Support- oder Sicherheitszwecken, wenn es zur Untersuchung von Missbrauch erforderlich ist oder wo das Gesetz es verlangt.

Sie können einen Google-Connector jederzeit von Scovai trennen. Sie können Scovais Zugriff auch direkt in den Berechtigungen Ihres Google-Kontos prüfen oder widerrufen.

8. Kommunikationskanäle

Scovai kommuniziert mit Ihnen per E-Mail (immer) und WhatsApp (optional). WhatsApp-Benachrichtigungen sind ausschließlich transaktional: Interview-Erinnerungen, Buchungsbestätigungen und dringende Nachrichten von Recruitern. Wir nutzen WhatsApp nicht für Marketing. Wenn Sie Ihre Nummer verifizieren, verarbeitet Meta Platforms (WhatsApp) sie gemäß dem Auftragsverarbeitungsvertrag von Meta. Sie können WhatsApp-Benachrichtigungen jederzeit in den Einstellungen widerrufen; wir bewahren die Nummer zu Prüfzwecken auf, bis Sie Ihr Konto löschen.

9. Datensicherheit

Wir implementieren angemessene technische und organisatorische Maßnahmen, darunter:

• AES-256-Verschlüsselung von API-Schlüsseln und sensiblen Zugangsdaten im Ruhezustand: GCM für Zugangsdaten von Digital Employees, CBC für Schlüssel von KI-Anbietern, Token verbundener Postfächer und Token für die Vertragsunterzeichnung. Eine Verschlüsselung der Datenbank oder hochgeladener Dateien im Ruhezustand darüber hinaus nehmen wir nicht in Anspruch.
• Argon2-Passwort-Hashing
• JWT-basierte Authentifizierung mit Zugangs- und Aktualisierungstoken
• TLS-Verschlüsselung für alle Daten während der Übertragung
• Rollenbasierte Zugriffskontrolle (RBAC) mit Mandantenisolierung
• Umfassende Audit-Protokollierung aller Plattformaktionen

Backups. Die Plattformdatenbank wird einmal pro Nacht gesichert, und die Sicherungen werden sieben Tage lang aufbewahrt, auf derselben Infrastruktur, auf der die Plattform läuft. Sie sind nicht gesondert verschlüsselt, und es gibt keine Kopie an einem zweiten Standort. Hochgeladene Dateien und virtuelle Maschinen von Digital Employees sind in dieser Sicherung nicht enthalten. Eine praktische Folge, die wir ausdrücklich nennen: Wenn wir personenbezogene Daten auf Ihren Antrag löschen, können Kopien davon bis zu sieben Tage in diesen Sicherungen verbleiben, bevor sie überschrieben werden.

10. Ihre Rechte

Gemäß der DSGVO haben Sie das Recht auf:

• Auskunft über Ihre personenbezogenen Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung Ihrer Daten („Recht auf Vergessenwerden") (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit: Erhalt Ihrer Daten in einem strukturierten, maschinenlesbaren Format (Art. 20)
• Widerspruch gegen die Verarbeitung, einschließlich Profiling (Art. 21)
• Keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22)
• Widerruf der Einwilligung jederzeit, ohne dass die Rechtmäßigkeit der vorherigen Verarbeitung berührt wird (Art. 7(3))

Um eines dieser Rechte auszuüben, kontaktieren Sie uns unter privacy@scovai.com. Wir werden innerhalb von 30 Tagen antworten.

10A. Wenn ein Digital Employee Ihre Daten verarbeitet hat

Wenn Sie kein Scovai-Nutzer sind und der Digital Employee einer Organisation Ihnen eine E-Mail oder Nachricht gesendet, eine Besprechung mit Ihnen aufgezeichnet oder ein Dokument bearbeitet hat, das Sie nennt, dann ist diese Organisation die Verantwortliche für Ihre Daten und Scovai ihr Auftragsverarbeiter. Wir entscheiden nicht, was sie mit Ihren Daten tut, und können sie nicht aus eigener Befugnis löschen.

Schreiben Sie an privacy@scovai.com. Wir leiten Ihre Anfrage an die Organisation weiter, teilen Ihnen mit, dass wir das getan haben, und unterstützen ihre Antwort — einschließlich des Auffindens dessen, was wir in ihrem Auftrag halten, damit sie Ihnen Auskunft geben oder die Daten löschen kann. Wissen Sie nicht, welche Organisation es ist, nennen Sie uns die E-Mail-Adresse oder die Besprechung, um die es geht, und wir ermitteln sie.

11. Internationale Übermittlungen

Personenbezogene Kandidatendaten werden innerhalb des Europäischen Wirtschaftsraums gespeichert, auf Servern der Contabo GmbH in Frankreich. Für bestimmte KI-Funktionen werden Daten von Unterauftragsverarbeitern mit Auftragsverarbeitungsverträgen verarbeitet: Anthropic (Claude API: Lebenslaufanalyse, Kandidaten-Positions-Scoring, Assessment- und Interviewanalyse, Verifizierung von Ausweisdokumenten) und OpenAI (Speech-to-Text für Interviews und aufgezeichnete Besprechungen, Text-to-Speech für Sprachinterviews, Text-Embeddings, geleitet über ein zentral konfiguriertes und auditiertes Gateway). Die API-Verarbeitung im Rahmen dieser Verträge wird nicht zum Training der Anbietermodelle verwendet. Das auditierte Gateway (OpenRouter) kann bestimmte unterstützende KI-Aufgaben an weitere sorgfältig geprüfte Modellanbieter weiterleiten, unter denselben Auftragsverarbeitungsverträgen und demselben Verbot des Modelltrainings. Konten, die eine Person mit einem Digital Employee verknüpft (Gmail, Google Calendar, Outlook, Microsoft 365, WhatsApp, Telegram, Instagram und LinkedIn), können über UNIPILE, einen Verbindungsbroker, auf Grundlage eines Auftragsverarbeitungsvertrags angebunden werden. Wo ein Anbieter Daten außerhalb des EWR verarbeitet, in einem Land, für das kein Angemessenheitsbeschluss der Europäischen Kommission besteht, soll die Übermittlung durch die Standardvertragsklauseln abgedeckt werden; Scovai schließt deren Unterzeichnung sowie die zugehörigen Transfer-Folgenabschätzungen mit jedem dieser Anbieter derzeit ab, wie im Data Processing Agreement festgelegt. Die aktuelle Liste der Unterauftragsverarbeiter ist auf Anfrage verfügbar; wesentliche Änderungen werden vorab mitgeteilt.

Digital Employees. Ein Digital Employee läuft in einer virtuellen Maschine in der Verarbeitungsregion, die der Kunde wählt; Scovai bietet zwei an. In der europäischen Region läuft die virtuelle Maschine auf Servern der Contabo GmbH in Frankreich, innerhalb des Europäischen Wirtschaftsraums, und das Sprachmodell ist Anthropic, OpenAI oder ein über OpenRouter geleiteter Anbieter, mit Auftragsverarbeitungsverträgen, die ein Training ausschließen: dieselben Anbieter, die auch die KI-Funktionen der Plattform bedienen. In der Region Naher Osten läuft die virtuelle Maschine auf Servern, die OmniSage LLC gehören und von ihr betrieben werden und sich im Rechenzentrum in 2704 Fortune Executive Tower, Cluster T, Jumeirah Lakes Towers (JLT), Dubai, Vereinigte Arabische Emirate, außerhalb des Europäischen Wirtschaftsraums, befinden, und das Sprachmodell ist Zhipu AI (GLM), direkt an einem Endpunkt in der Volksrepublik China aufgerufen, mit Sakana AI in Japan als Ausweichoption. In beiden Regionen enthält die virtuelle Maschine das Arbeitsgedächtnis des Digital Employee, seine Transkripte, die geteilten Dateien und sein Postfach, und das Material, an dem er in diesem Moment arbeitet, wird seinem Sprachmodell als Kontext für die Antwort übermittelt. Digital Employees, die vor der Eröffnung der europäischen Region eingestellt wurden, laufen in der Region Naher Osten; ein Kunde, der für sie die europäische Region bevorzugt, kann dies unter privacy@scovai.com anfragen. Apps, die eine Person mit einem Digital Employee verbindet, etwa Google Drive, Docs, Sheets und Meet, werden in beiden Regionen über Pipedream, Inc. in den Vereinigten Staaten autorisiert und ausgeführt. Die Plattform selbst, ihre Datenbank und hochgeladene Dateien werden von Contabo GmbH in Frankreich gehostet; die Website scovai.com wird über Cloudflare ausgeliefert; transaktionale E-Mails verlassen uns über das Mail-Relay von GPlugin. Übermittlungen außerhalb des EWR sind im Data Processing Agreement geregelt.

12. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung regelmäßig aktualisieren. Wesentliche Änderungen werden per E-Mail an registrierte Nutzer mitgeteilt und auf dieser Seite mit einem aktualisierten Datum „Zuletzt aktualisiert" veröffentlicht.

13. Kontakt

Für Datenschutzanfragen, Datenschutzanträge oder Beschwerden:

E-Mail: privacy@scovai.com

Sie haben zudem das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen, insbesondere in dem EU- oder EWR-Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Artikel 77 DSGVO).