Datenschutzerklärung

1. Verantwortlicher

Peter von Aspern, New Work Studio, Stübeheide 140h, 22337 Hamburg, E-Mail info@new-work.studio.

Fragen zum Datenschutz richten Sie bitte an dieselbe Adresse. Ein Datenschutzbeauftragter ist bei einem Einzelunternehmen dieser Größe nicht zu bestellen und nicht bestellt.

2. Hosting und Server-Logdateien

Website und Anwendung werden bei der Railway Corp., 548 Market St PMB 68956, San Francisco, CA 94104, USA, betrieben (Vertreter in der EU: DP-Dock GmbH, Ballindamm 39, 20095 Hamburg). Das Rechenzentrum liegt derzeit in den USA, also außerhalb der Europäischen Union. Der Wechsel zu einem Anbieter mit Rechenzentrum in der EU ist beschlossen; bis dahin gilt diese Fassung.

Grundlage der Übermittlung in die USA ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem der Anbieter nach eigener Angabe zertifiziert ist; ergänzend enthält das Data Processing Addendum des Anbieters die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Beim Aufruf einer Seite verarbeitet der Hosting-Anbieter technisch notwendige Zugriffsdaten in einem Server-Logfile: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browsertyp und Betriebssystem. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb. Die Daten werden nach kurzer Zeit gelöscht und nicht mit anderen Quellen zusammengeführt.

3. Cookies, Reichweitenmessung, Schriften

Die Website setzt keine Cookies, verwendet keine Analyse- oder Reichweitenmessung und bindet keine Werbedienste oder Social-Media-Plugins ein. Es gibt deshalb kein Einwilligungsbanner. Die Anwendung setzt nach der Anmeldung ein technisch notwendiges Sitzungs-Cookie, das die Anmeldung aufrechterhält (Art. 6 Abs. 1 lit. b DSGVO, § 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht erforderlich. Es wird beim Abmelden bzw. nach Ablauf der Sitzung ungültig.

Die verwendeten Schriften werden von dieser Website und von der Anwendung selbst ausgeliefert. Es findet keine Verbindung zu Google Fonts oder einem anderen externen Schriftanbieter statt.

4. Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Inhalt der Nachricht) zur Bearbeitung Ihrer Anfrage und für Anschlussfragen (Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanbahnung, sonst lit. f). Die Daten werden gelöscht, sobald die Anfrage abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

5. Nutzung der Anwendung

Zugänge zur Anwendung werden von der jeweiligen Kundenorganisation angelegt; eine Selbstregistrierung gibt es nicht. Für jede Nutzerin und jeden Nutzer werden verarbeitet: Name, E-Mail-Adresse, Rolle (Leitung, Team-Lead, Mitglied), Teamzugehörigkeit, ein Passwort (nur als kryptografischer Hash gespeichert) sowie die in der Anwendung eingetragenen Inhalte: Objectives, Key Results, Initiativen, Check-ins mit Wert, Ampel und Kommentar, Vorschläge, jeweils mit Zeitstempel und Urheber. Zweck ist die Bereitstellung der Anwendung im Rahmen des Vertrags mit der Kundenorganisation (Art. 6 Abs. 1 lit. b DSGVO).

Für diese Daten ist die Kundenorganisation Verantwortliche im Sinne der DSGVO; New Work Studio verarbeitet sie in ihrem Auftrag (Art. 28 DSGVO). Eine Vereinbarung zur Auftragsverarbeitung schließen wir mit jeder Kundenorganisation vor Vertragsbeginn. Eine Standardvorlage dafür liegt heute noch nicht vor; sie entsteht vor dem ersten Vertrag und ist dann auf Anfrage erhältlich.

Die Daten werden für die Laufzeit des Vertrags gespeichert. Nach Vertragsende oder auf Anfrage der Kundenorganisation werden sie gelöscht; vorher stellen wir auf Wunsch einen Export als Datei bereit.

6. E-Mail-Versand (Anmeldelinks und Erinnerungen)

Sofern auf der jeweiligen Installation aktiviert, verschickt die Anwendung E-Mails für die Anmeldung per Link (Magic Link) und wöchentliche Erinnerungen an fällige Check-ins. Der Versand läuft dann über den Dienstleister Brevo (Sendinblue SAS, 17 rue Salneuve, 75017 Paris, Frankreich). Übermittelt werden Empfängeradresse, Betreff und Inhalt der jeweiligen Nachricht. Grundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Erinnerungen lassen sich je Person abschalten. Auf dieser Installation ist der Versand derzeit nicht aktiviert; die Anmeldung erfolgt per Passwort.

7. KI-gestütztes Interview

Sofern auf der jeweiligen Installation aktiviert, kann beim Einreichen eines Vorschlags ein kurzes, KI-gestütztes Interview genutzt werden. Dabei werden ausschließlich der Text des Vorschlags, die zugehörige Zielformulierung und der Gesprächsverlauf an ein Sprachmodell übermittelt; keine Namen, E-Mail-Adressen oder sonstigen Personaldaten. Anbieter des Modells ist OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Die Verarbeitung erfolgt durch verbundene Unternehmen in den USA; Grundlage der Übermittlung sind nach dem Data Processing Addendum des Anbieters die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage der Nutzung ist Art. 6 Abs. 1 lit. b DSGVO. Der Gesprächsverlauf (die eingegebene Idee, die Fragen des Sprachmodells und die Antworten) wird auf dem Server der jeweiligen Installation gespeichert, damit das Gespräch über mehrere Schritte geführt werden kann, und spätestens 30 Tage nach Beginn automatisch gelöscht. Wird der Vorschlag eingereicht, bleibt der Verlauf als Bestandteil des Vorschlags gespeichert, bis dieser gelöscht wird. Die Funktion kann für eine Organisation vollständig abgeschaltet werden. Auf dieser Installation ist sie seit dem 18.09.2026 aktiviert.

8. Empfänger und Drittlandübermittlung

Personenbezogene Daten erhalten ausschließlich die in dieser Erklärung genannten Dienstleister:

• Hosting und Datenbank: Railway Corp., San Francisco, USA (Abschnitt 2)
• E-Mail-Versand, sofern aktiviert: Brevo (Sendinblue SAS, Paris, Frankreich) (Abschnitt 6)
• Sprachmodell für das Interview, sofern aktiviert: OpenAI Ireland Ltd., Dublin, Irland, mit Verarbeitung in den USA (Abschnitt 7)

Übermittlungen in die USA stützen sich auf die in den Abschnitten 2 und 7 genannten Grundlagen: das EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

9. Speicherdauer

Daten der Anwendung werden für die Dauer des Vertrags mit der Kundenorganisation gespeichert und danach oder auf Anfrage gelöscht (Abschnitt 5). Anfragen per E-Mail werden nach Abschluss gelöscht; gesetzliche Aufbewahrungspflichten (z. B. für Geschäftsbriefe und Rechnungen) bleiben unberührt. Server-Logdateien werden nach kurzer Zeit gelöscht (Abschnitt 2).

10. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen das Recht auf

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Wenden Sie sich dazu an die in Abschnitt 1 genannte Adresse. Für Daten, die Sie als Nutzerin oder Nutzer einer Kundenorganisation in der Anwendung hinterlegen, wenden Sie sich bitte zunächst an Ihre Organisation; wir unterstützen sie bei der Erfüllung Ihrer Rechte. Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg, mailbox@datenschutz.hamburg.de, datenschutz-hamburg.de.

11. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert, insbesondere nach dem Wechsel zu einem Hosting-Anbieter mit Rechenzentrum in der Europäischen Union und sobald E-Mail-Versand oder KI-Interview auf dieser Installation aktiviert werden. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 18.09.2026