Datenschutzerklärung

Stand: 07.07.2026

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und im Rahmen unserer Geschäftstätigkeit im Sinne der Datenschutz-Grundverordnung ist:

STI GmbH

Ainmillerstr. 22, 80801 München

Geschäftsführer: Florian Stiegler & Max Lüling

Telefon: +49 (0) 89 / 4520542-0

E-Mail: kontakt@sti-consulting.com

2. Datenschutzbeauftragter

Wir haben einen externen Datenschutzbeauftragten bestellt. Sie erreichen ihn unter:

Gerrit Schulte, Consultant Datenschutz

audatis Consulting GmbH, Luisenstraße 1, 32052 Herford

Telefon: 05221 87292-11 (Zentrale: 05221 87292-0)

E-Mail: g.schulte@audatis.de · datenschutz-sti@audatis.de

3. Allgemeine Hinweise und Pflichtinformationen

3.1 Rechtsgrundlagen

Soweit wir personenbezogene Daten verarbeiten, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertragserfüllung/Vertragsanbahnung), lit. c (rechtliche Verpflichtung), lit. f (berechtigte Interessen) sowie – im Beschäftigungsverhältnis und bei Bewerbungen – § 26 BDSG. Soweit das TDDDG einschlägig ist (Cookies, Endgerätezugriff), holen wir die Einwilligung ausschließlich nach § 25 Abs. 1 TDDDG ein.

3.2 Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Konkrete Fristen sind in den jeweiligen Abschnitten dieser Erklärung genannt.

3.3 Empfänger / Auftragsverarbeiter

Personenbezogene Daten geben wir nur an Empfänger weiter, mit denen ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO besteht oder eine andere zulässige Rechtsgrundlage greift (z.B. gemeinsame Verantwortlichkeit, gesetzliche Verpflichtung). Eine Übersicht der eingesetzten Auftragsverarbeiter stellen wir auf Anfrage zur Verfügung.

3.4 Datenübermittlung in Drittstaaten

Wir setzen Dienste ein, deren Anbieter ihren Sitz außerhalb der Europäischen Union haben (insbesondere in den USA). Dort kann kein mit der EU vergleichbares Datenschutzniveau garantiert werden. Wir sichern derartige Übermittlungen durch geeignete Garantien im Sinne der Art. 44 ff. DSGVO ab — insbesondere durch EU-Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO sowie, wo verfügbar, durch eine Zertifizierung des Empfängers nach dem EU-US Data Privacy Framework (DPF).

3.5 Ihre Rechte

Sie haben jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie auf Widerspruch (Art. 21). Eine erteilte Einwilligung können Sie jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3). Es besteht ein Beschwerderecht bei einer Aufsichtsbehörde, in der Regel am Ort Ihres gewöhnlichen Aufenthalts.

Anfragen richten Sie bitte an kontakt@sti-consulting.com oder direkt an unseren Datenschutzbeauftragten.

3.6 SSL-/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung. Die Übertragung der von Ihnen an uns übermittelten Daten ist dadurch gegen Mitlesen Dritter geschützt.

4. Datenerfassung auf dieser Website

4.1 Cookies und Consent-Management (Borlabs)

Unsere Website verwendet Cookies. Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden. Zur Einholung Ihrer Einwilligung in den Einsatz nicht erforderlicher Cookies und ähnlicher Technologien setzen wir die Consent-Technologie von Borlabs Cookie der Borlabs GmbH, Rübenkamp 32, 22305 Hamburg, ein. Rechtsgrundlage für den Einsatz technisch notwendiger Cookies und der Consent-Lösung ist Art. 6 Abs. 1 lit. c DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG; im Übrigen Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Borlabs Cookie erhebt mithilfe von Cookies Daten, die von Endnutzern generiert werden, die unsere Website nutzen. Wenn ein Endnutzer eine Einwilligung abgibt, werden automatisch unter anderem folgende Daten protokolliert:

Cookie-Laufzeit
Cookie-Version
Domain und Pfad der WordPress-Seite
Auswahl im Cookie-Banner
eine per Zufall generierte ID (UID)

Der Zustimmungsstatus wird auch im Browser des Endnutzers gespeichert, sodass die Website die Zustimmung des Endnutzers bei allen nachfolgenden Seitenanfragen und zukünftigen Endnutzer-Sitzungen für bis zu 12 Monate automatisch lesen und befolgen kann. Die Einwilligungsdaten (Einwilligung und Widerruf der Einwilligung) werden drei Jahre lang gespeichert. Die Aufbewahrungsdauer entspricht der regelmäßigen Verjährungsfrist gemäß § 195 BGB. Die Daten werden anschließend gelöscht.

4.2 Hosting (Hetzner)

Wir hosten die Inhalte unserer Website bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland (nachfolgend „Hetzner“). Die Server befinden sich in Deutschland; eine Datenübermittlung in Drittstaaten findet im Rahmen des Website-Hostings nicht statt.

Beim Aufruf unserer Website werden personenbezogene Daten in Server-Logfiles verarbeitet (insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene Datei, HTTP-Statuscode, übertragene Datenmenge, verwendeter Browser sowie das Betriebssystem). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer technisch sicheren, stabilen und funktionsfähigen Bereitstellung unserer Website).

Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO. Weitergehende Informationen zum Datenschutz bei Hetzner finden Sie unter https://www.hetzner.com/de/legal/privacy-policy/.

4.3 Kontaktformular, E-Mail, Telefon

Wenn Sie uns über das Kontaktformular, per E-Mail, Telefon oder Telefax erreichen, verarbeiten wir die von Ihnen mitgeteilten Daten zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effektiver Kommunikation) und – sofern eingeholt – Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Ihre Daten werden nach abschließender Bearbeitung Ihrer Anfrage gelöscht. Dies ist der Fall, wenn sich aus den Umständen entnehmen lässt, dass der betroffene Sachverhalt abschließend geklärt ist und der Löschung keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4.4 Gravatar

Zur Anzeige von Autorenbildern in einzelnen Beitragsbereichen unserer Website (insbesondere auf den Seiten „Karriere“ und „Best Workplace in Tech“) nutzen wir Gravatar des Anbieters Automattic Inc., 60 29th Street #343, San Francisco, CA 94110, USA (im europäischen Raum kann Aut O’Mattic A8C Ireland Ltd., Grand Canal Dock, 25 Herbert Pl., Dublin, D02 AY86, Irland als verantwortliche Gesellschaft bzw. Ansprechpartnerin auftreten). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Datenübertragung in die USA ist über die DPF-Zertifizierung des Anbieters bzw. EU-SCC abgesichert.

Im Rahmen der Gravatar-Einbindung können insbesondere folgende Daten verarbeitet werden:

Hash der E-Mail-Adresse (anonymisierte Zeichenfolge, die aus der E-Mail gebildet wird)
IP-Adresse
Browser-/Geräteinformationen
Zeitstempel

Wir speichern personenbezogene Daten nur so lange, wie dies zur Erreichung der genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Darüber hinaus gelten die Speicherfristen des Dienstanbieters gemäß dessen Datenschutzhinweisen.

5. Soziale Medien

Unsere Website verlinkt auf unsere Profile bei LinkedIn (LinkedIn Ireland Unlimited Company, Wilton Plaza, Dublin 2, Irland) und XING (New Work SE, Am Strandkai 1, 20457 Hamburg). Ein Datenaustausch mit diesen Anbietern erfolgt erst, wenn Sie das jeweilige Element aktiv anklicken (Zwei-Klick-Lösung) bzw. der entsprechenden Verarbeitung eingewilligt haben.

Wenn Sie eine unserer Social-Media-Seiten besuchen, sind wir hinsichtlich der dadurch ausgelösten Verarbeitungsvorgänge im Sinne des Art. 26 DSGVO gemeinsam mit dem Anbieter der jeweiligen Social-Media-Plattform für die Verarbeitung verantwortlich. Wir sind dabei nicht der originäre Anbieter dieser Seiten, sondern nutzen diese lediglich im Rahmen der uns durch die jeweiligen Anbieter gebotenen Möglichkeiten.

Daher weisen wir vorsorglich darauf hin, dass Ihre Daten möglicherweise auch außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraumes verarbeitet werden. Eine Nutzung kann daher mit Datenschutzrisiken für Sie verbunden sein, da die Wahrung Ihrer Rechte (z. B. auf Auskunft, Löschung, Widerspruch) erschwert sein könnte und die Verarbeitung in den sozialen Netzwerken häufig direkt zu Werbezwecken oder zur Analyse des Nutzerverhaltens durch die Anbieter erfolgt, ohne dass dies durch uns beeinflusst werden kann. Werden durch den Anbieter Nutzungsprofile angelegt, werden dabei häufig Cookies eingesetzt bzw. das Nutzungsverhalten dem von Ihnen erstellten Mitgliedsprofil der sozialen Netzwerke zugeordnet.

6. Analyse-Tools

6.1 Google Analytics

Auf unseren Webseiten nutzen wir Google Analytics 4 (GA4), einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“).

In diesem Zusammenhang werden pseudonymisierte Nutzungsprofile erstellt und Cookies verwendet. Die durch das Cookie erzeugten Informationen über Ihre Benutzung dieser Website können unter anderem sein:

eine kurzzeitige Erfassung der IP-Adresse ohne dauerhafte Speicherung
Standortdaten
Browser-Typ und -Version
verwendetes Betriebssystem
Referrer-URL (zuvor besuchte Seite)
Uhrzeit der Serveranfrage

Die pseudonymisierten Daten können von Google an einen Server in den USA übertragen und dort gespeichert werden. Die Informationen werden verwendet, um die Nutzung der Website auszuwerten, um Reports über die Webseitenaktivitäten zusammenzustellen und um weitere mit der Webseitennutzung und der Internetnutzung verbundene Dienstleistungen zu Zwecken der Marktforschung und bedarfsgerechten Gestaltung dieser Internetseiten zu erbringen. Auch werden diese Informationen gegebenenfalls an Dritte übertragen, sofern dies gesetzlich vorgeschrieben ist oder soweit Dritte diese Daten im Auftrag verarbeiten.

Diese Verarbeitungsvorgänge erfolgen ausschließlich bei Erteilung der ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit über unser Consent-Banner mit Wirkung für die Zukunft widerrufen.

Die von Google voreingestellte Speicherdauer der Daten beträgt 14 Monate. Im Übrigen werden die personenbezogenen Daten solange aufbewahrt, wie sie zur Erfüllung des Verarbeitungszwecks erforderlich sind. Die Daten werden gelöscht, sobald sie für die Zweckerreichung nicht mehr erforderlich sind.

Mit Google besteht ein Auftragsverarbeitungsvertrag. Das Mutterunternehmen Google LLC ist als US-Unternehmen unter dem EU-US Data Privacy Framework zertifiziert.

6.1.1 Google Consent Mode (einfache Implementierung)

Google ist nach dem Gesetz über digitale Märkte (Digital Markets Act) dazu verpflichtet, die Einwilligung der Nutzer einzuholen, bevor Nutzerdaten durch Google für personalisierte Werbung verarbeitet werden. Diesem Erfordernis kommt Google mit dem „Consent Mode“ nach; Anwender sind verpflichtet, diesen zu implementieren und damit das Einholen der Einwilligung der Websitebesucher nachzuweisen.

Wir nutzen die einfache Implementierungsmethode des Google Consent Modes. Nur wenn Sie Ihre Einwilligung in den Google-Analytics-Einsatz (s. o.) abgeben, wird eine Verbindung zu Google aufgebaut, ein Google-Code ausgeführt und werden die oben beschriebenen Verarbeitungen ausgeführt. Verweigern Sie die Einwilligung, erhält Google lediglich eine Information, dass die Abgabe einer Einwilligung nicht erfolgt ist; der Google-Code wird nicht ausgeführt und es werden keine Google-Analytics-Cookies gesetzt.

7. Newsletter und Formulare (Brevo)

Für den Versand von Newslettern sowie für die Bereitstellung einzelner Formulare unserer Website (u. a. Anforderung von White Papers, Terminvereinbarungen und ähnliche Kontaktanfragen) nutzen wir Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin). Wir versenden Newsletter nur auf Grundlage Ihrer ausdrücklichen Einwilligung im Double-Opt-in-Verfahren (Art. 6 Abs. 1 lit. a DSGVO); die Formulareingabe erfolgt zur Bearbeitung Ihrer konkreten Anfrage (Art. 6 Abs. 1 lit. b DSGVO) oder auf Grundlage Ihrer Einwilligung. Sie können sich jederzeit über den Link am Ende jeder Mail vom Newsletter abmelden. Mit Brevo besteht ein Auftragsverarbeitungsvertrag.

8. Plugins und eingebettete Inhalte

8.1 YouTube Videos im erweiterten Datenschutzmodus (YouTube-NoCookies)

Einige Unterseiten unserer Website enthalten Links bzw. Verknüpfungen zu dem Angebot von YouTube. Generell gilt, dass wir für die Inhalte von Webseiten, auf die verlinkt wird, nicht verantwortlich sind. Für den Fall, dass Sie einem Link auf YouTube folgen, weisen wir aber darauf hin, dass YouTube die Daten ihrer Nutzer (z. B. persönliche Informationen, IP-Adresse) entsprechend ihrer eigenen Datenverwendungsrichtlinien abspeichert und für geschäftliche Zwecke nutzt.

Betreibergesellschaft von YouTube ist die YouTube, LLC, 901 Cherry Ave., San Bruno, CA 94066, USA.

Wir binden auf einigen Unterseiten unserer Website auch bei YouTube gespeicherte Videos unmittelbar ein. Bei dieser Einbindung werden in Teilbereichen eines Browserfensters Inhalte der YouTube-Webseite abgebildet. Wenn Sie eine (Unter-)Seite unseres Internetangebots aufrufen, auf der YouTube-Videos eingebunden sind, wird eine Verbindung zu den YouTube-Servern hergestellt und dabei der Inhalt durch Mitteilung an Ihren Browser auf der Website dargestellt.

Die Einbindung von YouTube-Inhalten erfolgt nur im „erweiterten Datenschutzmodus“. Diesen stellt YouTube selbst bereit und sichert damit zu, dass YouTube zunächst keine Cookies auf Ihrem Gerät speichert. Beim Aufruf der betreffenden Seiten werden allerdings die IP-Adresse und ggf. weitere Daten übertragen und so insbesondere mitgeteilt, welche unserer Webseiten Sie besucht haben. Diese Information lässt sich jedoch nicht Ihnen zuordnen, sofern Sie sich nicht vor dem Seitenaufruf bei YouTube oder einem anderen Google-Dienst angemeldet haben bzw. dauerhaft angemeldet sind. Sobald Sie die Wiedergabe eines eingebundenen Videos durch Anklicken starten, speichert YouTube durch den erweiterten Datenschutzmodus auf Ihrem Gerät nur Cookies, die keine persönlich identifizierbaren Daten enthalten, es sei denn, Sie sind aktuell bei einem Google-Dienst angemeldet. Diese Cookies lassen sich durch entsprechende Browsereinstellungen und -erweiterungen verhindern.

Die Anforderung des Videos stellt zugleich Ihre Einwilligung für die Platzierung des entsprechenden Cookies dar (Art. 6 Abs. 1 S. 1 lit. a DS-GVO).

YouTube ist unter dem EU-US Data Privacy Framework zertifiziert. Es liegt hiermit ein Angemessenheitsbeschluss gem. Art. 45 DS-GVO vor, sodass eine Übermittlung personenbezogener Daten auch ohne weitere Garantien oder zusätzliche Maßnahmen erfolgen darf.

Die Datenschutzbestimmungen von YouTube können Sie einsehen unter: https://www.google.de/intl/de/policies/privacy/.

8.2 Google WebFonts

Unsere Website nutzt zur einheitlichen Darstellung von Schriftarten so genannte Webfonts. Die Google WebFonts werden bereitgestellt von der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Ireland Limited ist Teil der Google Firmengruppe mit Hauptsitz in 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Die Schriftarten werden dabei lokal auf unserem eigenen Server gehostet. Es erfolgt keine Verbindung zu den Servern von Google Inc. und es werden folglich auch keine personenbezogenen Daten (wie z. B. Ihre IP-Adresse) an Google übertragen oder dort gespeichert.

8.3 Google Maps

Auf unserer Website verwenden wir Google Maps (API). Betreibergesellschaft von Google Maps ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Ireland Limited ist Teil der Google Firmengruppe mit Hauptsitz in 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Google Maps ist ein Webdienst zur Darstellung von interaktiven (Land-)Karten, um geographische Informationen visuell darzustellen. Über die Nutzung dieses Dienstes kann Ihnen beispielsweise unser Standort angezeigt und eine etwaige Anfahrt erleichtert werden.

Bereits beim Aufrufen derjenigen Unterseiten, in die die Karte von Google Maps eingebunden ist, werden Informationen über Ihre Nutzung unserer Website (wie z. B. Ihre IP-Adresse) an Server von Google in den USA übertragen und dort gespeichert, sofern Sie dafür eine Einwilligung i. S. v. Art. 6 Abs. 1 lit. a DS-GVO abgegeben haben. Zusätzlich lädt Google Maps die Google Web-Fonts und Google Photos sowie Google Stats nach. Anbieter der Dienste ist ebenfalls die Google Ireland Limited. Beim Aufruf einer Seite, welche die Google Maps einbindet, lädt Ihr Browser die zur Darstellung der Google Maps benötigten Web-Fonts und die Photos in Ihren Browser-Cache. Auch zu diesem Zweck baut der von Ihnen verwendete Browser eine Verbindung zu den Servern von Google auf. Hierdurch erlangt Google Kenntnis darüber, dass über Ihre IP-Adresse unsere Website aufgerufen wurde. Dies erfolgt unabhängig davon, ob Google ein Nutzerkonto bereitstellt, über das Sie eingeloggt sind, oder ob kein Nutzerkonto besteht. Wenn Sie bei Google eingeloggt sind, werden Ihre Daten direkt Ihrem Konto zugeordnet. Wenn Sie die Zuordnung mit Ihrem Profil bei Google nicht wünschen, müssen Sie sich aus Ihrem Google-Benutzerkonto ausloggen. Google speichert Ihre Daten (selbst für nicht eingeloggte Nutzer) als Nutzungsprofile und wertet diese aus. Ihnen steht ein Widerspruchsrecht gegen die Bildung dieser Nutzerprofile zu, wobei Sie sich zur Ausübung dessen an Google richten müssen.

Wenn Sie mit der künftigen Übermittlung Ihrer Daten an Google im Rahmen der Nutzung von Google Maps nicht einverstanden sind, besteht auch die Möglichkeit, den Webdienst von Google Maps vollständig zu deaktivieren, indem Sie die Anwendung JavaScript in Ihrem Browser ausschalten. Google Maps und damit auch die Kartenanzeige auf dieser Internetseite können dann nicht genutzt werden.

Diese Verarbeitungsvorgänge erfolgen ausschließlich bei Erteilung einer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DS-GVO.

Die Nutzungsbedingungen von Google können Sie unter https://www.google.de/intl/de/policies/terms/regional.html einsehen, die zusätzlichen Nutzungsbedingungen für Google Maps finden Sie unter https://www.google.com/intl/de_US/help/terms_maps.html.

Google LLC ist als US-Unternehmen unter dem EU-US Data Privacy Framework zertifiziert. Es liegt hiermit ein Angemessenheitsbeschluss gem. Art. 45 DS-GVO vor, sodass eine Übermittlung personenbezogener Daten auch ohne weitere Garantien oder zusätzliche Maßnahmen erfolgen darf.

Die Datenschutzbestimmungen von Google Maps können Sie einsehen unter („Google Privacy Policy“): https://www.google.de/intl/de/policies/privacy/.

8.4 Google reCAPTCHA

Auf dieser Website verwenden wir die reCAPTCHA-Funktion. Betreibergesellschaft von Google reCAPTCHA ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Ireland Limited ist Teil der Google Firmengruppe mit Hauptsitz in 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Die reCAPTCHA-Funktion dient vor allem zur Unterscheidung, ob eine Eingabe durch eine natürliche Person erfolgt oder missbräuchlich durch maschinelle und automatisierte Verarbeitung erfolgt. Der Dienst umfasst auch den Versand der IP-Adresse und ggf. weiterer von Google für den Dienst reCAPTCHA benötigter Daten an Google.

Die Datenverarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an dem Schutz unserer Website vor missbräuchlicher automatisierter Ausspähung und vor Spam gemäß Art. 6 Abs. 1 lit. f DS-GVO.

Weiterführende Informationen zu Google reCAPTCHA sowie die Datenschutzerklärung von Google können Sie einsehen unter: https://www.google.com/intl/de/policies/privacy/.

8.5 SolidWP

Wir haben SolidWP auf dieser Website eingebunden. Anbieter ist die iThemes Media LLC, 1720 South Kelly Avenue, Edmond, OK 73013, USA (nachfolgend „SolidWP“).

SolidWP dient dem Schutz unserer Website vor unerwünschten Zugriffen oder Cyberattacken. Zu diesem Zweck erfasst SolidWP u. a. Ihre IP-Adresse, Zeitpunkt und Quelle von Login-Versuchen und Log-Daten (z. B. den verwendeten Browser). SolidWP wird lokal auf unseren Servern installiert, übermittelt allerdings IP-Adressen von wiederkehrenden Angreifern an eine zentrale Datenbank von SolidWP in die USA (Network Brute Force Protection), um derartige Angriffe künftig zu unterbinden.

Die Verwendung von SolidWP erfolgt auf Grundlage unseres berechtigten Interesses an einem effektiven Schutz der Website vor Angriffen (Art. 6 Abs. 1 lit. f DS-GVO).

9. SalesViewer®

Auf unserer Website wird die SalesViewer®-Technologie der SalesViewer® GmbH zur Analyse von Nutzungsdaten von Firmenbesuchern auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) eingesetzt. Hierzu wird ein JavaScript-Code ausgeführt, der Unternehmensdaten und entsprechende Nutzungen erhebt. Sie können der Datenerhebung jederzeit mit Wirkung für die Zukunft widersprechen, indem Sie das Opt-Out auf https://www.salesviewer.com/opt-out ausführen.

10. Umgang mit Bewerberdaten (Bewerbungen auf eine Festanstellung bei STI)

10.1 Zwecke und Rechtsgrundlage

Wenn Sie sich bei uns auf eine Festanstellung bewerben, verarbeiten wir die damit verbundenen personenbezogenen Daten (z.B. Kontakt- und Kommunikationsdaten, Bewerbungsunterlagen, Lebenslauf, Qualifikationen, Notizen aus Bewerbungsgesprächen), soweit dies zur Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Rechtsgrundlage ist § 26 BDSG (Beschäftigtendatenschutz) und Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertragsverhältnisses) sowie – soweit von Ihnen erteilt – Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Innerhalb unseres Unternehmens werden Ihre Daten ausschließlich an Personen weitergegeben, die an der Bearbeitung Ihrer Bewerbung beteiligt sind.

10.2 Aufbewahrungsdauer

Im Fall einer Absage werden Ihre Bewerbungsdaten regelmäßig bis zu sechs Monate nach Abschluss des Bewerbungsverfahrens aufbewahrt und anschließend gelöscht. Die Aufbewahrung dient der Beweisvorsorge im Hinblick auf etwaige Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG). Wünschen Sie eine Aufnahme in unseren Talentpool über diesen Zeitraum hinaus, erfolgt dies nur auf Grundlage Ihrer ausdrücklichen Einwilligung, die Sie jederzeit für die Zukunft widerrufen können.

10.3 Bewerbermanagement-Software Personio

Wir setzen für die Verwaltung von Bewerbungen auf Festanstellungen die Software Personio der Personio SE & Co. KG, Seidlstraße 3, 80335 München, ein. Personio nutzt Amazon Web Services Europe (AWS) als Hosting-Provider; alle Daten werden auf Servern innerhalb der EU gespeichert. Mit Personio besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO.

11. Umgang mit Profildaten externer Berater und Freelancer

11.1 Grundsatz, Zwecke und Rechtsgrundlage

Wenn Sie uns als externer Berater, Freelancer oder freiberuflicher Berater Ihr Profil bzw. Ihren Lebenslauf zur Verfügung stellen – etwa zur Prüfung einer konkreten Projektanfrage oder zur Aufnahme in unseren Talent-/Profilpool –, verarbeiten wir die hierfür erforderlichen personenbezogenen Daten (insbesondere Kontaktdaten, Lebenslauf, Qualifikationen, Skills, Erfahrungswerte, Tagessatz, Verfügbarkeit, Referenzen und Notizen aus Gesprächen).

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung eines Vermittlungs- bzw. Dienstleistungsvertrags) sowie – soweit Ihr Profil über die konkrete Anfrage hinaus dauerhaft im Pool gehalten werden soll – Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Ergänzend kann sich die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Pflege eines Profilpools und der passgenauen Vermittlung) stützen. § 26 BDSG ist nicht einschlägig, da externe Berater nicht in die Organisation der STI GmbH eingebunden sind und kein Beschäftigungsverhältnis zwischen Ihnen und der STI GmbH besteht oder angebahnt wird.

11.2 Eingesetzte Systeme

Wir speichern und verarbeiten Profildaten externer Berater in folgenden Systemen:

Interne STI-Profil-Datenbank: Anwendung wird auf einem virtuellen Server der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen (Deutschland), betrieben. Verarbeitung ausschließlich innerhalb der Europäischen Union. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO.
STI-internes CV-Aufbereitungswerkzeug (CV-Parser): Wir setzen ein selbst entwickeltes Werkzeug zur strukturierten Auswertung und Übernahme Ihrer Lebenslaufdaten ins STI-Standardlayout ein. Die Applikation wird bei der Hetzner Online GmbH gehostet (siehe oben). Als KI-Modell nutzt das Werkzeug die Cloud-API der Mistral AI SAS, 15 Rue des Halles, 75001 Paris, Frankreich (Mistral „La Plateforme“). Die Verarbeitung erfolgt in Rechenzentren innerhalb der Europäischen Union; eine Speicherung Ihrer Daten bei Mistral über die eigentliche Verarbeitung hinaus findet nicht statt. Mit Mistral AI SAS besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO; eine Nutzung Ihrer Daten zum Training fremder Modelle ist vertraglich ausgeschlossen. Ein Drittlandtransfer findet nicht statt.
StaffIt Pro (Anbieter: audeoSoft GmbH, Alfred-Herrhausen-Allee 3-5, 65760 Eschborn, Deutschland): spezialisierte Bewerber- und Profilmanagement-Software für die Vermittlung externer Berater. Die Verarbeitung erfolgt in Deutschland; ein Drittlandtransfer findet nicht statt. Mit audeoSoft besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO.
Zoho CRM (Zoho Corporation Pvt. Ltd., Estancia IT Park, Plot No. 140 & 151, GST Road, Vallancherry Village, Chengalpattu Taluk, Kanchipuram District 603 202, Indien; für Betroffene in der Europäischen Union ist die Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Niederlande als Ansprechpartnerin benannt): Wir nutzen Zoho CRM insbesondere im Rahmen der Übermittlung Ihres aufbereiteten Profils an Kunden und zur Pflege der Kundenbeziehung. Die Verarbeitung erfolgt ausschließlich in den EU-Rechenzentren von Zoho; ein Drittlandtransfer nach Indien findet regelmäßig nicht statt. Mit Zoho besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO einschließlich EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) als Vorsorge für Ausnahmefälle.

11.3 Weitergabe an Kunden

Eine Übermittlung Ihres Profils an einen unserer Kunden erfolgt erst nach Ihrer Kenntnisnahme und – soweit erforderlich – nach Ihrer Einwilligung in die konkrete Übermittlung. Die Übermittlung selbst erfolgt in der Regel über das in Abschnitt 11.2 genannte CRM-System.

11.4 Aufbewahrungsdauer

Im Rahmen einer konkreten Anfrage gespeicherte Profildaten werden gelöscht, sobald die Anfrage abgeschlossen und für eine zukünftige Vermittlung nicht mehr erforderlich ist, spätestens jedoch nach 24 Monaten ohne weitere Aktivität. Eine darüber hinausgehende Speicherung im Profilpool erfolgt nur, solange Sie Ihre Einwilligung nicht widerrufen haben; wir prüfen die Aktualität Ihres Profils in angemessenen Abständen und kontaktieren Sie dazu gegebenenfalls.

11.5 KI-gestützte Aufbereitung Ihres Profils

Nach Eingang Ihrer Unterlagen verarbeiten wir Ihren Lebenslauf und Ihr Profil zusätzlich mit Hilfe des in Abschnitt 11.2 beschriebenen STI-internen CV-Aufbereitungswerkzeugs (CV-Parser). Konkret können folgende Schritte erfolgen:

Automatisierte Extraktion strukturierter Daten aus eingereichten Lebensläufen (Parsing).
Automatisierte Überführung Ihres Lebenslaufs in das STI-Standardlayout.
Automatisierte strukturierte Ablage und Suchbarmachung in den in Abschnitt 11.2 genannten Systemen.

Diese Verarbeitungen erfolgen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten und einheitlichen Aufbereitung Ihres Profils für die Vermittlung); ergänzend, soweit unmittelbar für die Erfüllung der Vermittlungsleistung erforderlich, auf Art. 6 Abs. 1 lit. b DSGVO. Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt (vgl. Abschnitt 11.2). Vor jeder Weitergabe Ihres aufbereiteten Profils an einen Kunden prüfen wir die KI-Ergebnisse manuell; die Endauswahl trifft stets eine fachkundige Person. Eine Entscheidung über Ihre Vermittlung beruht zu keinem Zeitpunkt ausschließlich auf einer automatisierten Verarbeitung im Sinne des Art. 22 DSGVO (vgl. Abschnitt 12.5).

Weitergehende KI-gestützte Verarbeitungen — insbesondere eine inhaltliche Schärfung Ihres Lebenslaufs im Hinblick auf konkrete Projektausschreibungen sowie ein automatisiertes Matching Ihres Profils mit offenen Anfragen unserer Kunden — sind geplant, werden derzeit aber noch nicht produktiv eingesetzt. Wir werden diese Erklärung entsprechend anpassen, bevor eine solche Verarbeitung aufgenommen wird.

Sie können der KI-gestützten Aufbereitung Ihres Profils jederzeit für die Zukunft widersprechen. In diesem Fall erfolgt die Bearbeitung ausschließlich manuell. Wenden Sie sich hierfür an kontakt@sti-consulting.com.

12. Einsatz von Künstlicher Intelligenz im Beratungsbetrieb

12.1 Zweck und Funktionsweise

Im Rahmen unserer Beratungs- und Vermittlungsleistungen setzen wir unterstützend Werkzeuge auf Basis Künstlicher Intelligenz (KI) ein, insbesondere sogenannte Large Language Models (LLMs). Diese Werkzeuge dienen ausschließlich der Vorbereitung und Aufbereitung von Arbeitsergebnissen. Die abschließende inhaltliche und vertragliche Entscheidung trifft in allen Fällen ein Mensch.

12.2 Zwecke der Verarbeitung

Aufbereitung von Lebensläufen externer Berater in das STI-Standardlayout (vgl. Abschnitt 11.5).
Automatisierte Strukturierung, Ablage und Suche in unseren internen Profil-Datenbanken.
Unterstützung bei der Erstellung von Kunden- und Projektunterlagen (Recherche, Zusammenfassungen, Sprachprüfung, Übersetzung).

Weitergehende Zwecke — insbesondere eine inhaltliche Schärfung von Lebensläufen im Hinblick auf konkrete Projektanforderungen sowie ein KI-gestütztes Matching von Profilen mit Projektausschreibungen unserer Kunden — sind geplant, werden derzeit aber noch nicht produktiv eingesetzt. Wir werden diese Erklärung entsprechend anpassen, bevor eine solche Verarbeitung aufgenommen wird.

12.3 Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-durchführung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienten Geschäftsprozessen und einer passgenauen Vermittlung) und – soweit erforderlich – Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

12.4 Eingesetzte KI-Anbieter

Wir setzen die folgenden KI-Anbieter ein. Mit sämtlichen Anbietern bestehen Auftragsverarbeitungsverträge gem. Art. 28 DSGVO. Eine Nutzung Ihrer Daten zum Training fremder Modelle ist vertraglich ausgeschlossen.

Mistral AI SAS, 15 Rue des Halles, 75001 Paris, Frankreich (Mistral „La Plateforme“): Verarbeitung in Rechenzentren innerhalb der Europäischen Union; kein Drittlandtransfer, keine SCC erforderlich. Zum Einsatz insbesondere für die in Abschnitt 11.2 beschriebene CV-Aufbereitung.
OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland (Mutterunternehmen: OpenAI, L.L.C., USA): Verarbeitung teilweise in den USA. Mit OpenAI besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) einschließlich EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO. Das Mutterunternehmen OpenAI, L.L.C. ist unter dem EU-US Data Privacy Framework zertifiziert.
Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA: Verarbeitung überwiegend in den USA. Mit Anthropic besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) einschließlich EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO. Anthropic ist derzeit nicht unter dem EU-US Data Privacy Framework zertifiziert; wir sichern die Übermittlung ergänzend durch ein Transfer Impact Assessment (TIA) ab.
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterunternehmen: Google LLC, USA): Verarbeitung, soweit möglich, in Rechenzentren innerhalb der Europäischen Union. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend liegen EU-Standardvertragsklauseln vor.

Eine aktuelle Liste der eingesetzten KI-Auftragsverarbeiter — einschließlich Angaben zu den jeweils gültigen Verträgen, Zertifizierungen und Transfer Impact Assessments — stellen wir Ihnen auf Anfrage unter kontakt@sti-consulting.com zur Verfügung.

12.5 Keine ausschließlich automatisierte Entscheidung

Eine Sie betreffende Entscheidung mit rechtlicher Wirkung oder vergleichbarer erheblicher Beeinträchtigung wird nicht ausschließlich automatisiert im Sinne des Art. 22 DSGVO getroffen. Die von uns eingesetzten KI-gestützten Systeme dienen ausschließlich der Erstellung von unverbindlichen Vorschlägen (z. B. Matching-Vorschläge oder aufbereitete Profile) auf Basis definierter Kriterien. Die endgültige Entscheidung erfolgt stets eigenverantwortlich durch eine fachkundige Person, die die Ergebnisse prüft und unabhängig bewertet.

Betroffene Personen haben das Recht auf eine erneute menschliche Überprüfung einer Entscheidung, auf Darlegung ihres Standpunkts sowie auf Anfechtung der Entscheidung. Wenden Sie sich hierfür an kontakt@sti-consulting.com.

12.6 Kennzeichnung KI-generierter Inhalte

Soweit wir KI-generierte oder KI-bearbeitete Inhalte (z.B. einen mit KI aufbereiteten Lebenslauf) an Sie oder Dritte weitergeben, kennzeichnen wir den Einsatz von KI in geeigneter Form. Damit kommen wir auch der Transparenzpflicht des Art. 50 der Verordnung (EU) 2024/1689 (EU-AI-Act) nach.

12.7 Ihre Rechte

Sie können der KI-gestützten Verarbeitung Ihrer Daten jederzeit für die Zukunft widersprechen (Art. 21 DSGVO) und eine ausschließlich manuelle Bearbeitung verlangen. Wenden Sie sich hierfür an kontakt@sti-consulting.com.

13. KI-gestützte Begleitung von Meetings (Notetaker)

Bei internen Besprechungen sowie – nach vorheriger Information der Teilnehmenden und gegebenenfalls Einholung der Einwilligung – auch in externen Terminen mit Kunden, Bewerbern oder Partnern setzen wir KI-gestützte Meeting-Assistenten („Notetaker“) ein. Diese Werkzeuge erstellen aus dem Audio- oder Videosignal des Termins eine Transkription, fassen Inhalte zusammen, extrahieren Aufgaben und Entscheidungen und speichern die Ergebnisse in unseren internen Systemen.

13.1 Zwecke

Dokumentation von Besprechungen, Nachverfolgung von Aufgaben und Entscheidungen, Qualitätssicherung, interne Wissensbildung.

13.2 Rechtsgrundlagen

Für interne Meetings (Besprechungen ausschließlich mit Beschäftigten der STI GmbH) stützen wir den Einsatz auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Meeting-Dokumentation, Aufgaben-Nachverfolgung und Qualitätssicherung). Verbindliche Regelungen zum Einsatz — insbesondere zu Meetings, in denen der Notetaker nicht eingesetzt werden darf (z. B. Personalgespräche und sonstige sensible Themen) — sind in einer separaten internen Richtlinie (Anhang zur Richtlinie RI-KI-02) festgelegt. Eine Einwilligung der Beschäftigten wird nicht eingeholt, um dem Kräfteverhältnis im Beschäftigungsverhältnis Rechnung zu tragen.

Bei externen Terminen (mit Kunden, Bewerbern, externen Beratern oder Partnern) erfolgt der Einsatz ausschließlich auf Grundlage der ausdrücklichen Einwilligung aller Teilnehmenden (Art. 6 Abs. 1 lit. a DSGVO).

13.3 Vorgehen / Transparenz

Vor jeder Aufzeichnung weisen wir die Teilnehmenden auf den Einsatz des Werkzeugs hin und geben Gelegenheit zum Widerspruch. Bei externen Terminen wird die Einwilligung vor Beginn des Termins in nachweisbarer Form eingeholt (z. B. über einen Opt-in-Hinweis im Meeting-Werkzeug oder eine schriftliche Bestätigung im Rahmen der Einladung). Wer dem Einsatz nicht zustimmt, kann jederzeit verlangen, dass die Aufzeichnung beendet oder die zugehörige Transkription gelöscht wird. Eine biometrische Auswertung oder Emotionserkennung findet ausdrücklich nicht statt; entsprechende Funktionen sind in den eingesetzten Werkzeugen deaktiviert.

13.4 Eingesetztes Werkzeug

Wir setzen als Notetaker-Dienst tl;dv (tl;dv GmbH, Köln, Deutschland) ein. Der Anbieter verarbeitet die Daten innerhalb der Europäischen Union; ein Drittlandtransfer findet regelmäßig nicht statt. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO. Eine Nutzung der Aufzeichnungen oder Transkripte zum Training fremder Modelle ist vertraglich ausgeschlossen.

13.5 Speicherdauer

Aufzeichnungen und vollständige Transkripte (Rohdaten) werden gelöscht, sobald sie für den jeweiligen Zweck nicht mehr erforderlich sind, spätestens jedoch sechs Monate nach Abschluss des zugehörigen Vorgangs, sofern keine längere gesetzliche Aufbewahrungspflicht besteht. Die aus einem Meeting erzeugte redaktionelle Zusammenfassung (Aufgaben, Entscheidungen, Ergebnisprotokoll) bleibt demgegenüber als reguläres Arbeitsergebnis Bestandteil der Projekt- bzw. Vorgangsdokumentation; für sie gelten die allgemeinen Aufbewahrungs- und Löschfristen des jeweiligen Vorgangs.

Datenschutz­erklärung