Datenschutzinformation

1. Zweck, Geltungsbereich und Aufbau dieser Information

Die ABIC Enterprise Korlátolt Felelősségű Társaság (Sitz: 2724 Újlengyel, Nyári Pál utca 15., Ungarn; Handelsregisternummer: 13-09-240332; Steuernummer: 32807727-2-13; vertreten jeweils einzeln durch die Geschäftsführer Csaba Binó und Balázs Jakobicz; elektronischer Kontakt: info@abicenterprise.com; nachfolgend: Gesellschaft oder Verantwortlicher) behandelt sämtliche personenbezogenen Daten vertraulich und trifft die erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten.

Diese Information beschreibt, zu welchem Zweck, auf welcher Rechtsgrundlage, welche Daten, wie lange und unter wessen Mitwirkung die Gesellschaft personenbezogene Daten verarbeitet und welche Rechte den betroffenen Personen zustehen.

Diese Information gilt für folgende Tätigkeiten der Gesellschaft:

Diese Information gilt nicht für Verarbeitungen, die die Gesellschaft als Auftragsverarbeiter nach Weisung ihres Kunden im Rahmen eines Kundenprojekts durchführt. In diesem Fall ist der Kunde der Verantwortliche, und dessen Datenschutzinformation ist maßgeblich.

Zu den Einzelheiten des Arbeitsverhältnisses sowie des Werk- und Auftragsverhältnisses verwendet die Gesellschaft eine gesonderte Information, die der betroffenen Person bei Vertragsschluss unmittelbar ausgehändigt wird. Diese ist zusammen mit der vorliegenden Information zu lesen; bei Abweichungen ist die tätigkeitsspezifische Information maßgeblich.

2. Der Verantwortliche und seine Kontaktdaten

Datenschutzbeauftragter. Die Gesellschaft ist nach Art. 37 DSGVO nicht zur Benennung eines Datenschutzbeauftragten verpflichtet: Sie ist keine Behörde, ihre Kerntätigkeit besteht nicht in der umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen, und sie verarbeitet keine besonderen Kategorien personenbezogener Daten in großem Umfang. In Datenschutzfragen handelt der Datenschutz-Ansprechpartner der Gesellschaft, der unter info@abicenterprise.com erreichbar ist.

3. Begriffsbestimmungen

4. Grundsätze der Verarbeitung

Die Gesellschaft verarbeitet personenbezogene Daten rechtmäßig, nach Treu und Glauben und für die betroffene Person nachvollziehbar. Sie erhebt Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke und nur in dem für den Zweck erforderlichen Umfang. Sie hält die Daten aktuell, speichert sie nur so lange, wie es für den Zweck erforderlich ist, und schützt sie durch angemessene Sicherheitsmaßnahmen.

Die Gesellschaft führt über sämtliche Verarbeitungstätigkeiten ein Verzeichnis nach Art. 30 DSGVO und kann die Einhaltung der Grundsätze nachweisen (Rechenschaftspflicht).

5. Die einzelnen Verarbeitungstätigkeiten

5.1 Kontaktaufnahme und Angebotsanfrage über die Website

5.2 Kontaktdaten von Kunden, Lieferanten und Partnern

5.3 Geschäftsanbahnung (B2B) und Kundenkontaktverwaltung

Die Gesellschaft kontaktiert die fachlichen Ansprechpartner von Organisationen, bei denen ein Interesse an ihren Leistungen zu vermuten ist, zu geschäftlichen Zwecken und dokumentiert, wen sie wann und über welchen Kanal kontaktiert hat. Der Name eines Ansprechpartners ist auch dann ein personenbezogenes Datum, wenn wir ihn ausschließlich in beruflicher Eigenschaft verarbeiten.

5.4 Versand von Newslettern und Fachinformationen

5.5 Betrieb der Website, Cookies und Protokolldaten

Die öffentliche Website der Gesellschaft ist unter www.abicenterprise.com erreichbar, einschließlich der Karriereseite (/careers). Dieser Abschnitt betrifft diese öffentliche Website.

Technische Protokolldaten. Beim Betrieb der Website erfasst das System Protokolldaten: IP-Adresse, Browser- und Gerätetyp, Zeitpunkt des Besuchs, aufgerufene Seite sowie Adresse der verweisenden Seite. Rechtsgrundlage: das berechtigte Interesse der Gesellschaft am sicheren und bestimmungsgemäßen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: höchstens 12 Monate.

Was ein Cookie ist. Ein Cookie ist eine kleine Datei, die auf dem Gerät des Besuchers abgelegt und von der Website während des Besuchs wieder ausgelesen wird. Cookie-ähnliche Technologien – etwa den lokalen Speicher des Browsers (local storage) – behandelt die Gesellschaft in gleicher Weise wie Cookies.

Die Einwilligung in statistische Cookies kann über die auf der Website angezeigte Cookie-Einstellungsoberfläche erteilt, dort ebenso einfach abgelehnt und jederzeit kostenfrei widerrufen werden. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Statistische Daten verwendet die Gesellschaft in aggregierter Form; auf dieser Grundlage trifft sie keine Entscheidungen über einzelne Besucher.

Die tatsächlich eingesetzten Cookies und browserseitigen Speicher sind die folgenden. Ein echtes HTTP-Cookie stammt ausschließlich aus der statistischen Messung; die übrigen Einträge verbleiben im lokalen Speicher des Browsers des Besuchers und gelangen nicht auf die Server der Gesellschaft.

Die statistische Messung läuft im Rahmen des Google Consent Mode: Der Standardwert von analytics_storage lautet „denied", das heißt, das Mess-Cookie wird bis zur Erteilung der Einwilligung nicht gesetzt. Die Cookie-Entscheidung speichert die Gesellschaft im Speicher abic_consent. Marketing- und Werbe-Tracking-Cookies setzt die Gesellschaft nicht ein.

Entwurf des Bewerbungsformulars. Das Bewerbungsformular der Karriereseite speichert während des Ausfüllens einen Entwurf, damit eine begonnene Bewerbung später fortgesetzt werden kann. Der Entwurf verbleibt ausschließlich auf dem Gerät des Besuchers, im lokalen Speicher des Browsers (abic_expert_application_draft), gelangt nicht auf die Server der Gesellschaft und wird beim Absenden gelöscht; er entfällt ebenfalls beim Löschen der Browserdaten. Ohne Absenden erhält die Gesellschaft keine Kenntnis vom Inhalt des Entwurfs. Auf den Server der Gesellschaft gelangt ausschließlich die endgültig abgesendete Bewerbung, und in das System der Expertendatenbank erst nach der Bestätigung der E-Mail-Adresse (Double Opt-in).

Browsereinstellungen. Der Besucher kann in den Einstellungen seines Browsers jederzeit zuvor gesetzte Cookies löschen und das Setzen neuer Cookies unterbinden. Werden unbedingt erforderliche Cookies blockiert, funktionieren einzelne Funktionen der Website nicht ordnungsgemäß.

5.6 Expertendatenbank und Staffing-Prozess

Die Gesellschaft erbringt ihre SAP-Beratungs- und Digitalisierungsleistungen mit eigenen Mitarbeitenden und vertraglich gebundenen Subunternehmern. Hierfür unterhält sie eine Expertendatenbank mit Fachkräften, die sich mit Kooperationsabsicht bei ihr bewerben.

Wichtige Abgrenzung. Die Gesellschaft ist weder Personalvermittler noch Arbeitnehmerüberlasser. Sie verarbeitet die Daten der Bewerber nicht, um diese an ein anderes Unternehmen zu vermitteln, sondern um die zur Erfüllung ihrer eigenen Dienstleistungsverträge erforderliche Expertenkapazität zu planen. Die Gesellschaft verkauft und vermietet ihre Datenbank nicht und übermittelt Daten an Dritte ausschließlich mit gesonderter, projektbezogener Einwilligung der betroffenen Person.

Der Weg einer Bewerbung. Eine über die Karriereseite eingereichte Bewerbung gelangt nicht automatisch in die Expertendatenbank. Der Prozess verläuft in folgenden Schritten:

Auf keiner Stufe erfolgt ein automatisches Weiterkommen; über jede Aufnahme entscheidet eine Mitarbeiterin oder ein Mitarbeiter.

Lehnt die Gesellschaft eine Bewerbung ab, löscht sie die Daten der Bewerberin oder des Bewerbers innerhalb von 30 Tagen nach der Ablehnung. Danach verbleibt ausschließlich das minimierte Nachweisprotokoll nach Abschnitt 5.6.6.

5.6.1 Verarbeitete Daten

5.6.2 Zwecke, Rechtsgrundlagen und Speicherdauern

5.6.3 Die vier gesonderten Einwilligungen

Das Bewerbungsformular enthält vier voneinander unabhängige Ankreuzfelder. Keines ist vorangekreuzt, und zu jedem wird ein eigener Protokolleintrag erstellt:

Die Punkte 3 und 4 sind keine Voraussetzung für die Registrierung: Die Bewerbung ist auch ohne deren Ankreuzen vollwertig, und die betroffene Person wird in gleicher Weise in die Datenbank aufgenommen. Jede Einwilligung kann jederzeit, kostenfrei und ebenso einfach wie ihre Erteilung widerrufen werden.

5.6.4 Die Frist von 12 Monaten und die Verlängerung

Die Gesellschaft speichert die Daten 12 Monate ab Erteilung der Einwilligung. Grund für diese Dauer ist der Grundsatz der Richtigkeit: Die wichtigsten Bestandteile eines SAP-Beraterprofils – das aktuelle Projekt, die Verfügbarkeit, die neuesten Modulkenntnisse und die Honorarvorstellung – ändern sich typischerweise innerhalb eines Projektzyklus, sodass bei längerer Speicherung die Richtigkeit der Daten nicht gewährleistet wäre.

Die Verlängerung läuft wie folgt ab:

Bleibt eine Antwort aus, löscht die Gesellschaft die Daten automatisch und endgültig. Schweigen ist keine Einwilligung. Als Verlängerung wertet die Gesellschaft ausschließlich eine ausdrückliche Verlängerungserklärung – nicht das Öffnen einer E-Mail, das Anklicken eines Links oder die Antwort auf ein Projektangebot.

Selbstbedienungsoberfläche. In jeder ausgehenden E-Mail platziert die Gesellschaft einen persönlichen Link ohne Anmeldeerfordernis, über den die betroffene Person die gespeicherten Daten einsehen und aktualisieren, ihre Einwilligung verlängern oder widerrufen und die Löschung ihrer Daten verlangen kann. Die Löschung erfordert höchstens so viele Schritte wie die Registrierung.

5.6.5 Übermittlung an einen Kunden oder Delivery-Partner

Die Gesellschaft übermittelt das Fachprofil nur dann an ihren Kunden oder Delivery-Partner, wenn die betroffene Person hierin für das jeweilige Projekt vorab und ausdrücklich eingewilligt hat. Vor der Einholung der Bestätigung benennt die Gesellschaft:

an wen sie das Profil übermittelt (ein namentlich benannter Kunde, keine allgemeine Umschreibung),

für welche Position,

was genau sie übermittelt (den vollständigen Lebenslauf oder ein anonymisiertes Fachprofil),

wie lange die Bestätigung gilt.

In einem ersten Schritt übermittelt die Gesellschaft – sofern das Auswahlverfahren des Kunden dies zulässt – ein anonymisiertes Fachprofil, das weder den Namen noch den aktuellen Arbeitgeber der betroffenen Person enthält.

Ab der Übermittlung des Profils wird der Kunde zum eigenständigen Verantwortlichen und handelt nach seiner eigenen Datenschutzinformation. In ihren Verträgen sieht die Gesellschaft vor, dass der Kunde das Profil ausschließlich für den jeweiligen Auswahlzweck verwenden und die Daten nicht ausgewählter Kandidatinnen und Kandidaten nach Abschluss des Verfahrens löschen muss. Verlangt die betroffene Person später von der Gesellschaft die Löschung, löscht die Gesellschaft ihre eigenen Systeme, kann die zuvor rechtmäßig an den Kunden übermittelte Kopie jedoch nicht mehr löschen. Dies muss der betroffenen Person vor Erteilung der Bestätigung bekannt sein.

5.6.6 Was die Gesellschaft nach der Löschung aufbewahrt

Nach Art. 7 Abs. 1 DSGVO muss die Gesellschaft nachweisen können, dass eine gültige Einwilligung vorlag. Daher bewahrt sie nach der Löschung ausschließlich ein minimiertes Nachweisprotokoll auf:

5.6.7 Suche nach Fachkräften in öffentlichen beruflichen Quellen

Wegen der in SAP-Nischenbereichen nur begrenzt verfügbaren Fachkräfte sucht die Gesellschaft auch selbst in öffentlichen beruflichen Quellen nach Fachkräften und spricht diese mit der Einladung an, sich für die Expertendatenbank zu bewerben. Dies ist eine von der in den Abschnitten 5.6.1–5.6.6 beschriebenen Verarbeitung getrennte, eigenständige Verarbeitung, da die Daten in dieser Phase nicht von der betroffenen Person stammen.

Die so verarbeiteten Daten übermittelt die Gesellschaft nicht an Kunden oder Delivery-Partner. Bewirbt sich die betroffene Person, gelangen ihre Daten in die auf Einwilligung beruhende Verarbeitung nach den Abschnitten 5.6.1–5.6.6, und die im Zuge der Suche entstandene Erfassung entfällt; die Gesellschaft führt die beiden Bestände nicht parallel.

5.7 Daten von Mitarbeitenden und Subunternehmern nach Vertragsschluss

Mit Abschluss eines Arbeitsvertrags beziehungsweise eines Werk- oder Auftragsvertrags endet die Verarbeitung im Rahmen der Expertendatenbank, und es beginnt eine neue Verarbeitung: die Verarbeitung im Zusammenhang mit der Erfüllung des Rechtsverhältnisses, der Lohnabrechnung, den Sozialversicherungs- und Steuererklärungen, der Arbeitszeiterfassung sowie der Mitwirkung in Kundenprojekten.

Die ausführliche Information händigt die Gesellschaft der betroffenen Person bei Vertragsschluss unmittelbar aus.

5.8 Durchsetzung von Rechtsansprüchen, Beschwerde- und Vorfallmanagement

Die Gesellschaft erfasst, prüft und beantwortet die bei ihr eingehenden Beschwerden, Datenschutzverletzungen und Anträge betroffener Personen.

6. Auftragsverarbeiter und Empfänger

6.1 Zugriff innerhalb der Gesellschaft

Zugriff auf personenbezogene Daten haben die Geschäftsführer der Gesellschaft sowie diejenigen Mitarbeitenden, die diesen zur Erfüllung ihrer Aufgaben benötigen. Der Zugriff ist über Berechtigungsstufen beschränkt, an individuelle Benutzerkonten gebunden und im Fall der Expertendatenbank protokolliert: Es ist nachvollziehbar, wer wann ein Profil eingesehen hat. Die Mitarbeitenden unterliegen einer Verschwiegenheitspflicht.

6.2 Auftragsverarbeiter

Die Gesellschaft nimmt für ihre Tätigkeit IT- und Hintergrunddienstleistungen in Anspruch. Diese Dienstleister verarbeiten personenbezogene Daten im Namen der Gesellschaft, ausschließlich nach deren schriftlicher Weisung, auf Grundlage eines Vertrags nach Art. 28 DSGVO, und dürfen sie nicht für eigene Zwecke verwenden.

Kategorien der eingesetzten Auftragsverarbeiter:

Die Gesellschaft führt eine namentliche Liste der jeweiligen Auftragsverarbeiter und stellt sie betroffenen Personen auf Anfrage unter info@abicenterprise.com kostenfrei zur Verfügung.

6.3 Sonstige Empfänger

Die Gesellschaft verkauft und vermietet personenbezogene Daten nicht und gibt sie nicht zu Marketingzwecken an Dritte weiter.

7. Übermittlung in Drittländer

Die Gesellschaft speichert und verarbeitet personenbezogene Daten vorrangig innerhalb des Europäischen Wirtschaftsraums.

Einzelne eingesetzte Dienstleister können – typischerweise im Rahmen des technischen Supports – auch von außerhalb des EWR auf Daten zugreifen. Grundlage einer solchen Übermittlung ist stets eine der Garantien nach Kapitel V DSGVO:

Die Gesellschaft speichert die in der Expertendatenbank enthaltenen Daten und die eingereichten Lebensläufe innerhalb des Europäischen Wirtschaftsraums, in Rechenzentren in Irland und Deutschland. Ein bestimmter Teil der Daten wird jedoch von in den Vereinigten Staaten von Amerika niedergelassenen Dienstleistern verarbeitet: von dem Anbieter künstlicher Intelligenz, der das maschinelle Auslesen der Lebensläufe und die Unterstützung des Profilabgleichs übernimmt, sowie von dem Dienstleister, der Systemnachrichten und Erinnerungen versendet. Diese Übermittlungen erfolgen auf Grundlage einer der oben genannten Garantien – der Zertifizierung nach dem EU-US Data Privacy Framework beziehungsweise der Standardvertragsklauseln. Der Anbieter künstlicher Intelligenz verarbeitet die Daten ausschließlich nach Weisung der Gesellschaft; er darf sie nicht für eigene Zwecke oder zum Modelltraining verwenden.

Auf Anfrage der betroffenen Person erteilt die Gesellschaft Auskunft darüber, bei welchem Dienstleister eine Übermittlung außerhalb des EWR erfolgt und auf welcher Garantie diese beruht, und stellt eine Kopie der angewandten Garantie zur Verfügung.

8. Automatisierte Entscheidungsfindung, Profiling und künstliche Intelligenz

Bei den in den Abschnitten 5.1–5.5 und 5.7–5.8 dieser Information beschriebenen Verarbeitungen setzt die Gesellschaft keine automatisierte Entscheidungsfindung und kein Profiling ein.

Im Fall der Expertendatenbank (Abschnitt 5.6) unterstützt die Gesellschaft den Abgleich von Fachprofilen und offenen Projektmöglichkeiten auch mit IT-Werkzeugen, darunter mit einer auf künstlicher Intelligenz beruhenden Lösung. Dies stellt Profiling im Sinne des Art. 4 Nr. 4 DSGVO dar; die Gesellschaft informiert daher wie folgt:

Was das System tut. Die Bewerberin oder der Bewerber gibt einen Teil der fachlichen Daten bereits im Bewerbungsformular strukturiert an. Darüber hinaus liest das System den eingereichten Lebenslauf auch maschinell aus und erfasst die darin enthaltenen fachlichen Daten in strukturierter Form – die hochgeladene Datei wird also nicht nur gespeichert, sondern auch verarbeitet. Anschließend bewertet es anhand der fachlichen Daten im Profil – SAP-Modulkenntnisse, Erfahrungsjahre, Projektreferenzen, Sprachkenntnisse, Verfügbarkeit, Region –, welche Profile zu einem bestimmten Projektbedarf passen könnten.

Was das System nicht tut. Es trifft keine Entscheidungen. Wer angesprochen wird, wessen Profil dem Kunden vorgestellt wird und wer aus dem Verfahren ausscheidet, entscheidet in jedem Fall eine Mitarbeiterin oder ein Mitarbeiter nach inhaltlicher Abwägung; diese Entscheidung wird dokumentiert. Das System schließt von sich aus niemanden vom Verfahren aus.

Daraus folgt, dass die Gesellschaft keine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung im Sinne des Art. 22 DSGVO trifft. Die betroffene Person kann gleichwohl jederzeit die Darlegung der Abwägungskriterien verlangen und gegen eine sie betreffende Bewertung unter info@abicenterprise.com Einwände erheben.

Generative künstliche Intelligenz in der Kommunikation. Setzt die Gesellschaft in der Kommunikation mit Interessenten oder Bewerbern künstliche Intelligenz (zum Beispiel einen Chatbot) ein, teilt sie dies zu Beginn der Kommunikation eindeutig mit.

Unionsrechtliche Regulierung der künstlichen Intelligenz. Die Gesellschaft verfolgt die Anwendung der Verordnung der Europäischen Union über künstliche Intelligenz (AI Act) und dokumentiert die Einstufung des Systems, das die Bewertung von Kandidatinnen und Kandidaten unterstützt, sowie ihre eigene Rolle in Bezug auf dieses System. Sollten die Pflichten nach dieser Verordnung auf die Gesellschaft anwendbar werden, informiert die Gesellschaft die betroffenen Personen gesondert darüber, dass sie dem Anwendungsbereich eines solchen Systems unterfallen.

9. Maßnahmen zur Datensicherheit

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs und der Risiken der Verarbeitung trifft die Gesellschaft geeignete technische und organisatorische Maßnahmen. Dies sind insbesondere:

Die Gesellschaft plant und betreibt ihre Systeme so, dass der berechtigte Zugriff, die Integrität und Authentizität der Daten sowie der Schutz vor unbefugtem Zugriff, unbefugter Veränderung, Offenlegung oder Vernichtung gewährleistet sind.

10. Umgang mit Verletzungen des Schutzes personenbezogener Daten

11. Übersicht der Speicherdauern

12. Rechte der betroffenen Personen

Die betroffene Person kann die folgenden Rechte über die in Abschnitt 2 angegebenen Kontaktdaten ausüben.

Verfahrensablauf. Die Gesellschaft erfüllt den Antrag unverzüglich, spätestens innerhalb eines Monats. Die Frist kann – unter Berücksichtigung der Komplexität und der Anzahl der Anträge – um weitere zwei Monate verlängert werden; über die Verlängerung informiert die Gesellschaft innerhalb der ursprünglichen Frist. Die Information und die Maßnahmen sind kostenfrei, es sei denn, der Antrag ist offenkundig unbegründet oder – insbesondere wegen seines wiederholenden Charakters – exzessiv.

Identifizierung. Bestehen bei der Gesellschaft begründete Zweifel an der Identität der antragstellenden Person, kann sie zusätzliche Informationen zur Identifizierung anfordern. Die zur Identifizierung angeforderten Daten verwendet die Gesellschaft ausschließlich zu diesem Zweck und löscht sie nach Abschluss der Angelegenheit.

13. Rechtsbehelfe

Beschwerde bei der Gesellschaft. Die betroffene Person kann sich jederzeit unmittelbar an die Gesellschaft wenden, über die in Abschnitt 2 genannten Kontaktdaten. Die Gesellschaft prüft und beantwortet die Beschwerde.

Beschwerde bei der Aufsichtsbehörde.

Gerichtlicher Rechtsschutz. Bei einer Verletzung ihrer Rechte kann sich die betroffene Person an das Gericht wenden. Für das Verfahren ist das Komitatsgericht (törvényszék) zuständig; es kann nach Wahl der betroffenen Person auch vor dem für ihren Wohnsitz oder Aufenthaltsort zuständigen Komitatsgericht eingeleitet werden. Das Gericht entscheidet vorrangig.

14. Änderung dieser Information und Versionsverwaltung

Die Gesellschaft behält sich das Recht vor, diese Information zu ändern. Die jeweils geltende Fassung ist jederzeit unter https://www.abicenterprise.com/adatkezelesi-tajekoztato abrufbar.

Über wesentliche Änderungen informiert die Gesellschaft die von einwilligungsbasierten Verarbeitungen betroffenen Personen – also die in der Expertendatenbank Erfassten und die Newsletter-Abonnenten – vorab per E-Mail.

Jede Version hat eine eigene Versionsnummer und ein eigenes Datum des Inkrafttretens. Die Gesellschaft archiviert frühere Versionen, damit nachvollziehbar bleibt, in Kenntnis welcher Textfassung die betroffene Person ihre Einwilligung erteilt hat.

ABIC Enterprise — Complexity made simple.