Datenschutzerklärung der Anwendung

3. Rollen

Hinsichtlich der Verarbeitung personenbezogener Daten, die Blended Leading in der Anwendung auf Anweisung des Unternehmenskunden durchführt, agiert Blended Leading in seiner Eigenschaft als AUFTRAGSVERARBEITER PERSONENBEZOGENER DATEN im Sinne von Artikel 4 Absatz 8 DSGVO.

Der VERANTWORTLICHE Ihrer personenbezogenen Daten ist in diesem Fall Ihr Arbeitgeber oder die Organisation, die Ihnen Zugang zur Anwendung gewährt hat (der Unternehmenskunde). Er bestimmt die Zwecke und Mittel der Verarbeitung, weist Blended Leading an, was und wie verarbeitet werden soll, und trägt die primäre Verantwortung Ihnen gegenüber für den Schutz Ihrer personenbezogenen Daten.

WICHTIG! Für vollständige Informationen über die Verarbeitung, die Zwecke, die Rechtsgrundlagen, die Aufbewahrungsfristen und Ihre Rechte als betroffene Person verweisen wir auf die Datenschutzerklärung Ihres Arbeitgebers/Ihrer Organisation und den entsprechenden Auftragsverarbeitungsvertrag (AVV).

4. Kategorien der als Auftragsverarbeiter verarbeiteten Daten

In dieser Eigenschaft verarbeitet Blended Leading im Auftrag des Unternehmenskunden die folgenden Kategorien personenbezogener Daten:

• Identifikationsdaten: Vorname, Nachname, geschäftliche E-Mail-Adresse, Benutzername (aus dem Azure AD / Microsoft 365 des Unternehmenskunden);
• Berufsbezogene Daten: Position, Abteilung/Bereich, Standort, Team und andere Segmentierungsattribute, die der Unternehmenskunde in die Anwendung eingegeben hat;
• Technische und Nutzungsdaten: Datum und Uhrzeit des Zugriffs, Protokolldatensätze, ob der Nutzer erhaltene Anleitungen und Tipps gelesen/bestätigt hat, ausschließlich im Auftrag und auf dokumentierte Anweisungen des Unternehmenskunden verarbeitet;
• Aktivitätsmetriken: Nutzungshäufigkeit, welche Funktionalitäten genutzt wurden, aggregierte Statistiken zum Engagement-Level, ausschließlich in der Eigenschaft als Auftragsverarbeiter personenbezogener Daten verarbeitet;
• Führungsmodell-Daten: Kompetenzen, Cluster und Unternehmenswerte, die vom Unternehmenskunden definiert wurden (diese enthalten im Prinzip keine personenbezogenen Daten);
• Inhalt des 360-Grad-Berichts: quantitative Kompetenzbewertungen, offene Textkommentare von Bewertern, Namen/Initialen von Bewertern (falls im Bericht enthalten);
• Ergebnisse von Persönlichkeitstools (DISC und ähnliche): Profile, Skalen, Beschreibungen von Verhaltensmerkmalen. Persönlichkeitsbeurteilungen können sensible Informationen über psychologische und verhaltensbezogene Merkmale enthalten. Blended Leading wendet verstärkte technische und organisatorische Maßnahmen zu deren Schutz an. Wir empfehlen Ihnen, keine Dokumente hochzuladen, die besondere Kategorien von Daten im Sinne von Artikel 9 DSGVO enthalten (z. B. Gesundheitsinformationen, religiöse Überzeugungen usw.);
• Generierte individuelle Empfehlungen: Stärken, Verbesserungsbereiche, Entwicklungshinweise, die von der KI abgeleitet werden;
• Metadaten: Datum des Uploads, Berichts-ID, verwendeter 360-/Persönlichkeitstool-Anbieter, Version der KI-Verarbeitung.

5. Zwecke und Rechtsgrundlagen

Die Zwecke der Verarbeitung werden vom Unternehmenskunden bestimmt. Im Prinzip umfassen sie:

• Erfüllung eines Arbeits- oder Dienstverhältnisses und/oder die berechtigten Interessen des Unternehmenskunden an der Verwaltung und Entwicklung von Personalressourcen;
• Analyse von Führungskompetenzen auf Organisations-, Abteilungs- oder Teamebene;
• Verwaltung des Zugriffs auf die Anwendung und Informationssicherheit;
• Extraktion und Strukturierung der Ergebnisse aus den von Ihnen hochgeladenen 360-Grad-Berichten und den Persönlichkeitstools;
• Generierung personalisierter Analysen Ihrer Stärken und Verbesserungsbereiche;
• Generierung individueller Entwicklungsempfehlungen, Anleitungen und Tipps, die Ihnen in der Anwendung angezeigt und/oder über Microsoft Teams zugesandt werden;
• Vergleiche mit aggregierten und anonymisierten Daten anderer Führungskräfte innerhalb Ihrer Organisation, auf dokumentierte Anweisungen des Unternehmenskunden und vorbehaltlich einer Anonymisierungsschwelle;
• Verbesserung der Qualität der Anwendungsfunktionen (nur auf der Grundlage aggregierter/anonymisierter Daten).

Die Rechtsgrundlagen für diese Verarbeitung sind in der Datenschutzerklärung des Unternehmenskunden dargelegt. In der Regel sind dies: Artikel 6 Absatz 1 Buchstabe b DSGVO (Vertragserfüllung), Artikel 6 Absatz 1 Buchstabe c DSGVO (rechtliche Verpflichtung) und/oder Artikel 6 Absatz 1 Buchstabe f DSGVO (berechtigtes Interesse).

6. Microsoft 365 / Teams-Integration

Nach der Installation der Anwendung in Microsoft Teams – nach vorheriger Genehmigung durch den Netzwerkadministrator des Unternehmenskunden und anschließender Aktivierung durch den Nutzer in seiner eigenen Teams-Umgebung – erhält die Anwendung die folgenden Berechtigungen in Microsoft Graph:

• Senden von Direktnachrichten (Chat) an die Nutzer, um ihnen personalisierte Tipps, Anleitungen und Benachrichtigungen zukommen zu lassen;
• User.Read (oder gleichwertig) – Lesen grundlegender Daten aus dem Nutzerprofil (E-Mail-Adresse und Benutzername) zum Zweck der Verknüpfung des Kontos in der Anwendung mit dem Konto des Unternehmenskunden in Azure AD.

Ausdrücklicher Hinweis: Die Anwendung liest KEINE E-Mails, Chats, privaten Nachrichten, Dateien oder andere Inhaltsdaten aus Microsoft 365. Die Aktivierung der Integration erfolgt nach Administratorgenehmigung der Anwendung durch den Unternehmenskunden und einer separaten Aktivierungshandlung durch den Nutzer, sofern zutreffend.

7. KI-Verarbeitung

Die Anwendung verwendet Tools der künstlichen Intelligenz (KI), die von Microsoft Azure AI Foundry bereitgestellt werden, um die offenen Textantworten in den 360-Grad-Berichten zu verarbeiten und individuelle Empfehlungen zu generieren.

Informationen zu dieser Verarbeitung:

• Logik der Verarbeitung: Die KI extrahiert relevante Verhaltensindikatoren aus den offenen Antworten, ordnet sie dem Führungsmodell des Unternehmenskunden zu, zählt deren Häufigkeit und klassifiziert sie als positiv oder negativ. Auf dieser Grundlage werden Stärken und Verbesserungsbereiche generiert.
• Umfang der KI-Verarbeitung: Die KI verarbeitet nur vordefinierte Seiten der hochgeladenen Dokumente, nicht den gesamten Bericht.
• Bedeutung und vorgesehene Folgen: Das Ergebnis der KI-Verarbeitung wird ausschließlich zur persönlichen Entwicklung genutzt und dient nicht dazu, Entscheidungen mit rechtlichen Folgen zu treffen oder Sie in ähnlicher Weise erheblich zu beeinträchtigen. Die Empfehlungen sind informativer Natur und ersetzen nicht Ihr eigenes Urteilsvermögen oder das Ihres Arbeitgebers.
• Keine ausschließlich automatisierte Entscheidungsfindung: Blended Leading führt in Bezug auf Sie KEINE ausschließlich automatisierte Entscheidungsfindung durch, die rechtliche Wirkungen entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt im Sinne von Artikel 22 DSGVO.
• Recht auf menschliches Eingreifen: Sie haben das Recht, menschliches Eingreifen bei der Überprüfung der generierten Empfehlungen zu verlangen, Ihren Standpunkt zu äußern und das Ergebnis anzufechten.
• Keine Schulung von KI-Modellen mit Ihren Daten: Blended Leading hat den KI-Anbieter vertraglich dazu verpflichtet, Ihre personenbezogenen Daten NICHT zur Schulung oder Verbesserung seiner Modelle zu verwenden.

8. Unterauftragsverarbeiter

Zur Erbringung der Dienstleistung nutzt Blended Leading eine begrenzte Anzahl von Unterauftragsverarbeitern, die Infrastruktur-, technische und analytische Dienstleistungen erbringen. Diese sind im Anhang „Unterauftragsverarbeiter“ zum AVV mit dem Unternehmenskunden aufgeführt und umfassen:

• Hosting-Anbieter – Hosting der Anwendung im EU/EWR;
• Microsoft – Microsoft 365 / Teams-Integration;
• KI-Anbieter – Verarbeitung offener Antworten und Generierung individueller Empfehlungen;
• E-Mail-Dienstanbieter – Transaktions-E-Mails an die Nutzer;
• Andere Unterauftragsverarbeiter – gemäß einer Liste, die regelmäßig aktualisiert wird.

Blended Leading schließt mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag gemäß Artikel 28 Absatz 4 DSGVO ab und ist dem Unternehmenskunden gegenüber für deren Einhaltung verantwortlich. Der Unternehmenskunde kann einem bestimmten Unterauftragsverarbeiter gemäß den Bedingungen des AVV widersprechen.

9. Internationale Datenübermittlungen

Sofern Unterauftragsverarbeiter außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums ansässig sind, basiert die Datenübermittlung auf:

• Einem Angemessenheitsbeschluss der Europäischen Kommission (Artikel 45 DSGVO); oder
• Den Standardvertragsklauseln (SCC) der EU-Kommission gemäß Artikel 46 Absatz 2 Buchstabe c DSGVO, gegebenenfalls ergänzt durch zusätzliche technische und organisatorische Maßnahmen auf der Grundlage einer Transfer Impact Assessment (TIA), im Einklang mit der Rechtsprechung des Gerichtshofs der EU in der Rechtssache C-311/18 (Schrems II) und der EDPB-Empfehlung 01/2020.

10. Aufbewahrungsfrist

Die Aufbewahrungsfristen in dieser Eigenschaft werden vom Unternehmenskunden festgelegt und sind im AVV dargelegt. In der Regel werden die Daten so lange verarbeitet, wie der Vertrag mit dem Unternehmenskunden in Kraft ist, und danach gemäß dessen Anweisungen gelöscht oder zurückgegeben.

11. Ausübung der Rechte

In seiner Eigenschaft als Auftragsverarbeiter kann Blended Leading Anfragen zur Ausübung Ihrer Rechte gemäß der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) NICHT selbst erfüllen. Solche Anfragen müssen an den Unternehmenskunden (Ihren Arbeitgeber/Ihre Organisation) gerichtet werden, der der Verantwortliche ist. Wenn wir eine solche Anfrage erhalten, leiten wir sie unverzüglich an den betreffenden Unternehmenskunden weiter und unterstützen ihn bei der Erfüllung Ihrer Anfragen gemäß Artikel 28 Absatz 3 Buchstabe e DSGVO.

12. Datensicherheit

Blended Leading wendet geeignete technische und organisatorische Sicherheitsmaßnahmen an, einschließlich (aber nicht beschränkt auf):

• Verschlüsselung von Daten im Ruhezustand und während der Übertragung mittels aktueller Algorithmen;
• Pseudonymisierung von Daten während der Verarbeitung durch die KI, soweit technisch möglich;
• Zugriffskontrolle nach dem Prinzip der geringsten Rechte und Multi-Faktor-Authentifizierung für Mitarbeiter;
• Protokolldatensätze von Zugriffen und Verarbeitungen;
• Regelmäßige Schwachstellen- und Penetrationstests;
• Verfahren für das Management von Vorfällen und Sicherheitsverletzungen personenbezogener Daten (Artikel 33–34 DSGVO);
• Vertragliche Vertraulichkeitsverpflichtungen für alle Mitarbeiter und Unterauftragsverarbeiter.

13. Kinder

Die Anwendung richtet sich nicht an Personen unter 18 Jahren und wird von solchen Personen nicht genutzt. Blended Leading verarbeitet wissentlich keine personenbezogenen Daten von Kindern.

14. Änderungen der Richtlinie

Blended Leading kann diese Richtlinie von Zeit zu Zeit aktualisieren. Die aktuelle Version ist immer in der Anwendung und auf der Blended Leading-Website verfügbar. Im Falle wesentlicher Änderungen werden wir Sie vor deren Inkrafttreten über eine Benachrichtigung in der Anwendung und/oder per E-Mail informieren.