Datenschutzerklärung

Stand: 19.10.2026

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist:

Diese Erklärung gilt für die Website hrarchitecturestudio.com (inkl. www.) sowie für die Tools der Marke HR Architecture Studio:

• Process Architecture Studio (PAS) – pas.hrarchitecturestudio.com
• Job Architecture Studio (JAS) – jas.hrarchitecturestudio.com
• Data Architecture Studio (DAS) – sfwb.hrarchitecturestudio.com
• Workforce Reporting Studio (WRS) – hrm.hrarchitecturestudio.com

2. Allgemeines

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Website, zur Bearbeitung von Anfragen und zur Erbringung unserer Leistungen erforderlich ist. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) und, soweit eingeholt, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

3. Aufruf der Website

Beim Aufruf der Website und der Tools werden technisch folgende Daten verarbeitet:

• IP-Adresse des anfragenden Endgeräts
• Datum und Uhrzeit der Anfrage, aufgerufene Adresse
• übertragene Datenmenge und Statuscode
• User-Agent (Browser, Betriebssystem) und Referrer-URL

Der Datenverkehr läuft über das Netzwerk von Cloudflare (siehe Abschnitt 7), das die Verbindung absichert und vor Angriffen schützt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, stabilen Bereitstellung). Server-Zugriffsprotokolle werden nach spätestens 30 Tagen gelöscht. Es findet kein Tracking und keine Reichweitenmessung statt.

4. Kontaktformular

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Name, E-Mail-Adresse, optional Firma, die ausgewählten Tools und Ihre Nachricht, um Ihre Anfrage zu beantworten. Die Angaben werden per E-Mail an unser Postfach übermittelt (Versand über Cloudflare) und nicht in einer Datenbank gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Wir löschen die Angaben, sobald die Anfrage abschließend bearbeitet ist, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zum Schutz vor Missbrauch wird die Anzahl der Anfragen je IP-Adresse kurzzeitig begrenzt.

5. Nutzung der Tools

Bei Nutzung der Tools (nach Freischaltung durch uns) verarbeiten wir zusätzlich:

• Kontodaten: E-Mail-Adresse, Name, Rolle, gehashtes Passwort (bcrypt bzw. Argon2id)
• Sitzungsdaten zur Anmeldung (HTTP-Only-Cookies) sowie sicherheitsrelevante Protokolle (z. B. Anmeldeversuche)
• Inhalte, die Sie selbst eingeben oder hochladen (z. B. Prozessbeschreibungen, Stellenprofile, SAP-SuccessFactors-Konfigurationsdateien, Kommentare und Entscheidungen)
• Eingaben an KI-Funktionen (siehe Abschnitt 8)

Anmeldung mit Microsoft: In einzelnen Tools (u. a. Data Architecture Studio und Job Architecture Studio) können Sie sich mit Ihrem Microsoft-Konto (Microsoft Entra ID) anmelden. Dabei erhalten wir von Microsoft Ihren Namen, Ihre E-Mail-Adresse und eine Konto-Kennung; Ihr Microsoft-Passwort erfahren wir nicht.

System-E-Mails (z. B. Einladungen, Passwort-Zurücksetzen) werden je nach Tool über Cloudflare oder Microsoft 365 (Exchange Online) versendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) sowie Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Betrieb). Soweit Sie personenbezogene Daten Dritter (z. B. Ihrer Beschäftigten) in die Tools eingeben, sind Sie hierfür datenschutzrechtlich verantwortlich; auf Wunsch schließen wir einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

6. Speicherdauer

• Kontodaten: bis zur Löschung des Kontos bzw. Beendigung der Nutzung.
• Inhaltliche Daten: solange das Konto aktiv ist; in Sicherungskopien bis zu deren turnusmäßiger Überschreibung.
• Audit-Protokolle: standardmäßig 90 Tage, auf Wunsch (z. B. aus Compliance-Gründen) länger.
• Server-Zugriffsprotokolle: höchstens 30 Tage.

7. Hosting, Empfänger und Auftragsverarbeiter

Die Website und die Tools laufen auf eigener Serverinfrastruktur des Betreibers in Deutschland. Folgende Dienstleister setzen wir als Auftragsverarbeiter (Art. 28 DSGVO) ein:

Welcher KI-Anbieter für Ihren Mandanten aktiv ist, teilen wir Ihnen auf Anfrage mit.

8. Hinweise zu KI-Funktionen

Einige Funktionen übermitteln Ihre Eingaben und den dazugehörigen fachlichen Kontext (z. B. Prozess- oder Stellenbeschreibungen) an den jeweiligen KI-Anbieter, um Vorschläge zu erzeugen. Über die API übermittelte Daten werden von den Anbietern nach deren Bedingungen nicht zum Training ihrer Modelle verwendet; OpenAI speichert sie standardmäßig bis zu 30 Tage zur Missbrauchserkennung und löscht sie anschließend. KI-Ergebnisse sind als Vorschläge gekennzeichnet und müssen fachlich geprüft werden. Bitte geben Sie in KI-Funktionen keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) und möglichst keine Namen von Beschäftigten ein.

9. Cookies und lokale Speicherung

Die Website setzt keine Tracking-, Analyse- oder Werbe-Cookies und bindet keine Drittanbieter-Pixel ein. Technisch notwendig und daher ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG) sind:

• Sitzungs- und Sicherheits-Cookies der Tools (Anmeldung, CSRF-Schutz)
• die im Browser gespeicherte Sprachwahl (Deutsch/Englisch), wenn Sie die Sprache umschalten
• von Cloudflare gesetzte Sicherheits-Cookies, soweit zur Abwehr von Angriffen erforderlich

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Eine formlose E-Mail an [email protected] genügt.

11. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

12. Datensicherheit

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen, u. a. TLS-Verschlüsselung bei der Übertragung, gehashte Passwörter, Rollen- und Mandantentrennung, Begrenzung von Anmeldeversuchen, regelmäßige Sicherungen und Audit-Protokolle.

13. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen ändern. Es gilt die jeweils hier veröffentlichte Fassung.