Datenschutzerklärung

Diese Datenschutzerklärung informiert nach Art. 13 und Art. 14 DSGVO über die Verarbeitung personenbezogener Daten durch clever.hr im Rahmen der Bereitstellung der gleichnamigen SaaS-Plattform.

clever.hr verarbeitet personenbezogene Daten in zwei klar getrennten Rollen:

Als Verantwortlicher für die Daten der Kunden — also der natürlichen Personen, die für ein Unternehmen einen Vertrag mit clever.hr abschließen oder die Plattform vorvertraglich erkunden (Webseiten- und Vertragsdaten).
Als Auftragsverarbeiter für die im Kundenkonto verarbeiteten Daten der Mitarbeitenden des Kundenunternehmens. Für diese Verarbeitung ist das Kundenunternehmen Verantwortlicher; clever.hr wird auf Grundlage des Auftragsverarbeitungsvertrages (AVV) und der darin in Bezug genommenen Listen (Unterauftragsverarbeiter und Technische und organisatorische Maßnahmen) tätig.

Diese Erklärung beschreibt die Verarbeitung in der Rolle als Verantwortlicher; weiterführende Informationen zur Verarbeitung in der Auftragsverarbeitungsrolle ergeben sich aus dem AVV und sind den betroffenen Mitarbeitenden gegenüber durch das Kundenunternehmen zu erfüllen.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

obriva GmbH, Perler Str. 26, 13088 Berlin, vertreten durch den Geschäftsführer Tim Niemeier, eingetragen beim Amtsgericht Charlottenburg (Berlin) unter HRB 274149 B. Kontakt: legal@clever.hr Vollständige Anbieterkennzeichnung: siehe Impressum.

Eine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten besteht derzeit nicht; bis zur Bestellung eines DSB werden Datenschutzanfragen unmittelbar vom Verantwortlichen entgegen- genommen (legal@clever.hr, Betreff: „Datenschutz").

2. Datenkategorien, Zwecke und Rechtsgrundlagen

2.1 Vorvertragliche Kommunikation und Vertragsabschluss

Daten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer (sofern freiwillig angegeben), Unternehmensbezeichnung, gewünschte Plattform- Konfiguration, Inhalt der Anfrage.
Zweck: Beantwortung von Anfragen, Erstellung von Angeboten, Vertragsanbahnung, Vertragsschluss.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Erfüllung eines Vertragsverhältnisses).

2.2 Vertragliche Beziehung mit dem Kunden

Daten: Stammdaten des Kunden (Firmenbezeichnung, Anschrift, Steuernummer/USt-ID, Bankverbindung), Kontaktpersonen, Anmeldedaten der Plattform-Administratoren, Abrechnungsdaten.
Zweck: Erfüllung des Vertrages, Rechnungsstellung, Betrieb der Plattform, technischer Support, Sicherheits- und Audit-Zwecke.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, insbesondere handels- und steuerrechtliche Aufzeichnungspflichten).

2.3 Nutzung der Plattform (Server- und Anwendungslogs)

Daten: IP-Adresse der zugreifenden Stelle, Zeitpunkt des Zugriffs, angefragte URL/Endpunkt, HTTP-Status, User-Agent, Größe der Antwort, korrelierende Sitzungs-Identifikatoren.
Zweck: Sicherstellung des Betriebs, Erkennung und Verfolgung von Sicherheitsvorfällen, Auditierung administrativer Vorgänge.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb sowie an der Nachvollziehbarkeit administrativer Vorgänge).

2.4 Cookies und vergleichbare Technologien

Siehe gesonderte Cookie-Richtlinie. clever.hr setzt ausschließlich technisch erforderliche Cookies; Tracking, Profiling oder Analyse-Cookies werden nicht eingesetzt.

2.5 Verarbeitung in der Rolle als Auftragsverarbeiter

In der Rolle als Auftragsverarbeiter verarbeitet clever.hr im Auftrag des Kundenunternehmens insbesondere folgende Datenarten der Mitarbeitenden des Kunden:

Stammdaten (Name, Geburtsdatum, Nationalität, Geschlecht);
Kontaktdaten (Anschrift, Telefonnummer, E-Mail-Adresse, Notfallkontakt);
Beschäftigungsdaten (Eintritts-/Austrittsdatum, Position, Abteilung, Vergütung, Arbeitszeit);
Lohn- und Abrechnungsdaten (Brutto/Netto, Steuerklasse, Sozialversicherungsbeiträge);
besondere Identifikationsmerkmale (Steuer-ID, Sozial- versicherungsnummer, IBAN — verschlüsselt gespeichert);
Abwesenheits- und Urlaubsdaten;
Lohnabrechnungen (Belege) und sonstige hochgeladene Personal- dokumente;
Audit-Protokolle aller Bearbeitungsvorgänge.

Diese Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Kundenunternehmens und auf Grundlage des Auftragsverarbeitungsvertrages. Rechtsgrundlage und Informationspflichten gegenüber den betroffenen Mitarbeitenden verbleiben beim Kundenunternehmen als Verantwortlichem.

3. Empfänger und Unterauftragsverarbeiter

clever.hr setzt die in der Liste der Unterauftrag- verarbeiter benannten Anbieter ein. Über deren Einsatz hinaus werden Daten nur weitergegeben, wenn

der Verantwortliche dazu rechtlich verpflichtet ist (z. B. Auskunftsersuchen einer zuständigen Behörde auf gesetzlicher Grundlage), oder
die Weitergabe zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Eine Übermittlung in Drittländer im Sinne der DSGVO findet derzeit nicht statt; die zugrundeliegenden Hosting-Standorte sind im Architekturdokument sowie in der Liste der Unterauftragsverarbeiter ausgewiesen.

4. Speicherdauer

clever.hr speichert personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist und gesetzliche Aufbewahrungspflichten dies erlauben oder erfordern. Die wesentlichen Speicherfristen lauten:

Kategorie	Speicherdauer	Rechtsgrundlage / Hinweis
Vertrags- und Buchhaltungsunterlagen, Rechnungen	10 Jahre nach Ablauf des Kalenderjahres der letzten Buchung	§ 147 AO, § 257 HGB
Lohnabrechnungsdaten (Brutto/Netto, Steuer, Sozialversicherung)	10 Jahre	§ 147 AO
Belege zu Lohnabrechnungen (Lohnsteuer-Anmeldung, Sozialversicherungsnachweise)	10 Jahre	§ 147 AO
Personalstammdaten aktiver Mitarbeitender	für die Dauer des Beschäftigungsverhältnisses	Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 BDSG
Personaldaten ehemaliger Mitarbeitender (nicht abrechnungsrelevant)	nach Ende des Beschäftigungsverhältnisses werden nicht mehr benötigte Felder anonymisiert (vgl. interne Compliance-Routinen)	DSGVO-Grundsatz der Speicherbegrenzung
Server- und Anwendungslogs	bis 90 Tage	Art. 6 Abs. 1 lit. f DSGVO
Sitzungsdaten	bis Sitzungsende bzw. Inaktivitäts-Timeout	Art. 6 Abs. 1 lit. b DSGVO

Die operativen Details der Anonymisierungsroutinen (welche Felder genullt, welche ersetzt, welche pseudonymisiert werden) sind im internen Compliance-Runbook dokumentiert.

5. Rechte der betroffenen Personen

Sie haben das Recht,

Auskunft über die zu Ihrer Person gespeicherten Daten zu verlangen (Art. 15 DSGVO),
die Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO),
die Löschung Ihrer Daten zu verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO),
die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO),
Daten, die Sie selbst bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder unmittelbar übertragen zu lassen (Art. 20 DSGVO),
der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, zu widersprechen, soweit die Verarbeitung auf Art. 6 Abs. 1 lit. e oder f DSGVO gestützt wird (Art. 21 DSGVO),
eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO),
nicht ausschließlich einer auf einer automatisierten Entscheidung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden (Art. 22 DSGVO; eine solche automatisierte Einzelentscheidung setzt clever.hr nicht ein).

Anfragen richten Sie bitte an legal@clever.hr (Betreff: „Datenschutz — Auskunft", „Datenschutz — Löschung" usw.). Sind Sie Mitarbeitende eines clever.hr-Kundenunternehmens, sind die Anfragen zunächst an Ihren Arbeitgeber als Verantwortlichen zu richten; clever.hr unterstützt diesen bei der Bearbeitung im Rahmen des AVV.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichts- behörde zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die Aufsichtsbehörde des Bundeslandes, in dem Sie Ihren gewöhnlichen Aufenthalt oder Arbeitsplatz haben.

6. Pflicht zur Bereitstellung von Daten

Die Bereitstellung der unter Abschnitt 2.1 und 2.2 genannten Vertragsdaten ist für den Vertragsabschluss erforderlich; ohne diese Daten kann ein Vertrag mit clever.hr nicht zustande kommen. Eine darüber hinausgehende Bereitstellung — insbesondere freiwillig ausgefüllter Felder in der Anwendung — ist nicht erforderlich.

7. Sicherheit der Verarbeitung

Eine Beschreibung der ergriffenen technischen und organisatorischen Maßnahmen findet sich im Dokument Technische und organisatorische Maßnahmen. Die internen Quellen docs/engineering/security.md und docs/engineering/architecture.md sind Bestandteil desselben Repositories und gelten als maßgebliche operative Beschreibung.

8. Aktualität dieser Erklärung

clever.hr passt diese Datenschutzerklärung an, wenn sich die zugrundeliegenden Verarbeitungen ändern oder neue gesetzliche Anforderungen dies erfordern. Die jeweils aktuelle Fassung ist über den Frontmatter-Block am Anfang dieses Dokuments (Felder version und effective_date) erkennbar; das Änderungsprotokoll am Ende listet die wesentlichen Anpassungen.

Änderungsprotokoll

Version	Datum	Änderung
1.0.0	2026-05-08	Erstveröffentlichung; deckt Verantwortlicher- und Auftragsverarbeitungsrolle.