Datenschutzerklärung SOMA

Verantwortlicher im Sinne der DSGVO ist:

Benedikt Domke
Soma Performance
Friedrichstraße 10
60323 Frankfurt am Main
Deutschland
E-Mail: contact@performance-soma.com

Datenschutzbeauftragter: Zur Benennung eines Datenschutzbeauftragten sind wir derzeit nicht verpflichtet.

Zuständige Aufsichtsbehörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (Sitz des Unternehmens in Frankfurt am Main).

SOMA ist ein Analyseinstrument zur kognitiven Leistungsfähigkeit. Beschäftigte eines Unternehmens beantworten einen Fragebogen und erhalten einen individuellen Report. Das Unternehmen erhält ausschließlich eine aggregierte Auswertung – niemals individuelle Antworten, Scores oder Reports.

Konkret bedeutet das:

• Nur Sie selbst sehen Ihren individuellen Report und Ihre Einzelantworten.
• Ihr Arbeitgeber sieht ausschließlich einen Firmenreport mit Durchschnitts- und Verteilungswerten. Dieser wird technisch erst ab fünf teilnehmenden Personen erzeugt; darunter erhält der Arbeitgeber gar keine Auswertung, sondern nur den Hinweis auf die Mindestgruppengröße. Anonyme Einzelpunkte in Streuungsdarstellungen werden erst ab acht Teilnehmenden angezeigt.
• Diese Trennung ist nicht nur organisatorisch zugesagt, sondern auf Datenbankebene erzwungen (Row-Level-Security) und im Report-Schema strukturell abgesichert.

Die Teilnahme ist freiwillig. Aus einer Nichtteilnahme entstehen Ihnen keine Nachteile. Ihr Arbeitgeber erfährt nicht, ob Sie teilgenommen haben.

Die Assessment-Antworten und die daraus abgeleiteten Werte sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Sie unterliegen einem erhöhten Schutz.

Über die genannten Stammdaten hinaus erheben wir keine demografischen Merkmale. Insbesondere werden Alter und Geschlecht nicht erhoben und fließen nicht in die Auswertung ein.

1. Erstellung Ihres individuellen Reports – Auswertung Ihrer Antworten, Berechnung von Belastungswerten und Profilen, Generierung erläuternder Texte und Empfehlungen.
2. Erstellung einer aggregierten Auswertung für Ihren Arbeitgeber – ausschließlich Durchschnitts- und Verteilungswerte ohne Personenbezug, erst ab fünf Teilnehmenden.
3. Betrieb, Sicherheit und Fehlerbehebung der Plattform.
4. Kommunikation – Einladungs-, Erinnerungs- und Report-Benachrichtigungen per E-Mail.

Eine Verarbeitung zu Zwecken der Produktverbesserung, für Marketing oder Newsletter findet derzeit nicht statt. Sollten solche Zwecke künftig hinzukommen, werden wir diese Erklärung vorab entsprechend anpassen und, soweit erforderlich, Ihre Einwilligung einholen.

Gesundheitsdaten (Assessment-Antworten, Scores, Reports):
Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Sie erteilen diese vor Beginn des Assessments durch aktives Bestätigen. Ohne diese Einwilligung findet keine Verarbeitung statt.

Beschäftigungskontext:
Die Verarbeitung erfolgt im Rahmen eines Beschäftigungsverhältnisses. § 26 Abs. 2 BDSG stellt besondere Anforderungen an die Freiwilligkeit der Einwilligung. Diese ist gewahrt, weil die Teilnahme ohne Nachteile verweigert werden kann, der Arbeitgeber keine Kenntnis von Ihrer Teilnahme oder Nichtteilnahme erhält und ihm keine individuellen Ergebnisse zugänglich sind.

Stammdaten und Vertragsdurchführung:
Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses).

Betrieb und Sicherheit:
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen System).

Widerruf:
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Der Widerruf ist ohne Angabe von Gründen möglich, führt zur Löschung Ihrer Daten und hat keine Auswirkungen auf Ihr Beschäftigungsverhältnis. Sie können ihn selbst über den Bereich „Konto" ausführen (siehe Ziffer 9) oder formlos an contact@performance-soma.com richten. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Wir setzen folgende Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein:

Was die KI erhält: Vor jedem KI-Aufruf filtert eine technische Whitelist die Daten. An die Sprachmodelle werden ausschließlich die für die Textgenerierung erforderlichen, bereits berechneten Werte übermittelt – keine Namen, keine E-Mail-Adressen, keine Rohantworten außerhalb der definierten Felder. Liegt die Teilnehmerzahl beim Firmenreport unter fünf, wird überhaupt kein Datenobjekt an die KI gesendet. Die Modelle verwenden die übermittelten Daten nicht zum Training.

Mit Lovable besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der die eingesetzten Unterauftragsverarbeiter und die zugehörigen Garantien für Drittlandübermittlungen einschließt.

Ihr Arbeitgeber ist kein Empfänger Ihrer individuellen Daten (siehe Ziffer 2).

Ihre Assessment-Daten, Ihr Konto und Ihre Reports werden in der Europäischen Union gespeichert: Die Datenbank einschließlich Authentifizierung, Speicher und Backups läuft in der AWS-Region eu-west-1 (Dublin, Irland). Für die eigentlichen Nutzdaten findet keine Drittlandübermittlung zur Speicherung statt.

In zwei Fällen werden Daten in die Vereinigten Staaten oder über ein weltweites Netz übermittelt:

Cloudflare: Die Anwendung wird über das weltweite Netz von Cloudflare ausgeliefert. Dabei verarbeitet Cloudflare technische Verbindungsdaten (IP-Adresse, Zeitstempel, User-Agent, aufgerufene Adresse) am jeweils nächstgelegenen Standort; eine Übermittlung von Metadaten an US-Server ist möglich. Grundlage ist der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework vom 10.07.2023, ergänzt um Standardvertragsklauseln.

KI-Textgenerierung: Zur Erzeugung der Report-Texte werden die nach Ziffer 6 gefilterten, pseudonymisierten Auswertungsdaten über das Lovable AI Gateway an Google und OpenAI übermittelt, deren Endpunkte in den USA liegen. Grundlage sind das EU-US Data Privacy Framework sowie Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO über den Auftragsverarbeitungsvertrag mit Lovable.

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Die folgenden Fristen sind als automatische Löschung technisch umgesetzt und laufen täglich:

Bei Widerruf oder Kontolöschung werden Ihr Nutzerkonto und sämtliche personenbezogenen Datensätze – Profil, Rollen, Antworten, Belastungswerte, Fortschritt, Reports und Report-Aufträge – unverzüglich und vollständig gelöscht. Bereits erstellte aggregierte Firmenreports bleiben bestehen; sie enthalten keine personenbezogenen Daten.

Bei Beendigung des Vertrags mit Ihrem Arbeitgeber werden Ihr Konto und Ihre personenbezogenen Daten nach einer Karenzzeit von 30 Tagen automatisch gelöscht. Die Karenzzeit gibt Ihnen Gelegenheit, Ihre Daten zuvor zu exportieren. Wird Ihr Konto innerhalb dieser Frist einem anderen Unternehmen zugeordnet, unterbleibt die Löschung. Bereits erstellte aggregierte Firmenreports bleiben bestehen; sie enthalten keine personenbezogenen Daten.

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf Ihrer Einwilligung (Art. 7 Abs. 3 DSGVO)

Auskunft, Export und Löschung können Sie selbst ausführen: Im Bereich „Konto" (erreichbar über die Kopfzeile des Dashboards und über Ihren Report) können Sie sämtliche zu Ihnen gespeicherten Daten – Profil, Rollen, alle Antworten, Belastungswerte, Fortschritt, Reports und Report-Aufträge – als maschinenlesbare JSON-Datei herunterladen und Ihr Konto vollständig löschen.

Für alle übrigen Anliegen wenden Sie sich an contact@performance-soma.com. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO).

Ihre Antworten werden automatisiert ausgewertet. Dabei gilt:

Die Berechnung erfolgt regelbasiert, nicht durch die KI. Aus jeder Antwort wird nach fest hinterlegten, für alle Nutzer identischen Regeln ein Belastungswert zwischen 0 und 100 berechnet. Diese Werte werden zu Kategorie-Scores und einem Gesamtscore verdichtet. Ab einem definierten Schwellenwert gilt ein Bereich als auffällig.

Die KI formuliert, sie rechnet nicht. Auf Basis der bereits berechneten Werte erzeugt ein Sprachmodell die erläuternden Texte, Zusammenhänge und Empfehlungen Ihres Reports. Es verändert keine Zahlen.

Profilbildung: Aus dem Muster Ihrer Werte werden typisierte Profile abgeleitet (etwa im Bereich Schlaf, Konzentration oder Erholung). Dies stellt ein Profiling im Sinne von Art. 4 Nr. 4 DSGVO dar.

Keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO: Die Auswertung entfaltet Ihnen gegenüber keine rechtliche Wirkung und beeinträchtigt Sie nicht in ähnlicher Weise erheblich. Sie ist ein Informationsangebot an Sie selbst. Ihr Arbeitgeber erhält Ihre Ergebnisse nicht und kann daraus keine Sie betreffenden Entscheidungen ableiten.

Kein Ersatz für medizinische Beratung: Der Report stellt keine Diagnose dar und ersetzt keine ärztliche oder psychotherapeutische Behandlung.

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Zugriffsschutz auf Datenbankebene (Row-Level-Security): Jeder Nutzer kann ausschließlich seine eigenen Antworten, Scores und Reports lesen. Es existiert keine Berechtigungsregel, die Unternehmensadministratoren Zugriff auf fremde Einzelreports gewährt.
• Mindestgruppengröße: Firmenreports werden erst ab fünf Teilnehmenden erzeugt. Unterhalb dieser Schwelle verwirft das System strukturell alle Auswertungsdaten und gibt nur einen Hinweis aus. Anonyme Einzelpunkte in Streuungsdarstellungen erscheinen erst ab acht Teilnehmenden.
• Keine Untergliederung nach Abteilung oder Standort, sodass keine Rückrechnung auf kleine Gruppen möglich ist.
• Datenminimierung gegenüber der KI durch eine Whitelist der übermittelten Felder.
• Verschlüsselte Übertragung (TLS) und rollenbasierte Zugriffskontrolle.

Es werden ausschließlich technisch notwendige Cookies eingesetzt, die für Anmeldung und Sitzungsverwaltung erforderlich sind. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Eine Reichweitenmessung oder ein Tracking durch Dritte findet nicht statt.

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist unter https://performance-soma.com/datenschutz abrufbar.

Stand: 15. Juli 2026