Lever und die DSGVO: KI-Training, Speicherort und AVV

Trainiert nicht mit Ihren Daten.

Nein. KI-Funktionen sind aus, bis der Kunde sie aktiviert, und Employ darf Modelle nur dann mit KI-Eingabedaten eines Kunden trainieren, wenn der Kunde dies anweist, vorgibt oder zustimmt, und dann nur anonymisiert oder aggregiert.

Wortlaut des Anbieters: “If Customer instructs, directs, or consents to the use of its Input Data in training or fine-tuning AI or to its being shared with third parties (Training), Employ has a limited license to use such Input Data on an anonymized and/or aggregated basis”

Quelle: employinc.com4. AI TermsGeprüft am 19. Oktober 2026

USA. Die Liste der Unterauftragsverarbeiter nennt AWS (Cloud-Hosting und Infrastruktur) und Google Cloud (Cloud-Hosting) mit Standort USA.

Wortlaut des Anbieters: “Amazon Web Services (AWS) Cloud Hosting & Infrastructure USA”

Quelle: employinc.comCurrent List of Lever Sub-ProcessorsGeprüft am 19. Oktober 2026

AVV auf Anfrage.

Ja. Ein AVV nach DSGVO/UK/Schweiz mit Standardvertragsklauseln ist veröffentlicht; Employ handelt als Auftragsverarbeiter. Employ bietet außerdem einen vorab unterzeichneten AVV zum Download an.

Wortlaut des Anbieters: “Customer appoints Employ as a processor to process Customer Data on behalf of, and in accordance with, Customer’s instructions as set out in the Agreement and this Addendum”

Quelle: lever.co2.3 Customer InstructionsGeprüft am 19. Oktober 2026

Veröffentlicht.

Ja, öffentlich unter https://www.employinc.com/sub-processors/: 17 aktuelle Unterauftragsverarbeiter von Lever, dazu 3 optionale (Employ, Nylas, Workato) und 3 Konzerngesellschaften. Die gesonderte Liste AI Companions (9) nennt Anthropic, OpenAI, AssemblyAI, IBM watsonx und Recall.

Wortlaut des Anbieters: “This article communicates the current list of companies who are authorized to process personal data for the Lever software.”

Quelle: employinc.comAuthorized Sub-Processors for Lever SoftwareGeprüft am 19. Oktober 2026

Mutterkonzern gelistet.

Unter eigenem Namen (Lever) nicht gelistet; die Muttergesellschaft Employ Inc. ist aktiv (EU-US DPF, Swiss-US DPF, UK Extension)

Quelle: dataprivacyframework.govSearch 'Employ Inc'Geprüft am 19. Oktober 2026

Kunden konfigurieren im Produkt eigene Regeln zur Speicherung und zur automatischen Anonymisierung oder Löschung. Employ löscht Kundendaten 30 Tage nach Vertragsende aus der Produktion, vollständig gelöscht nach 45 Tagen.

Wortlaut des Anbieters: “Employ initiates the deletion of all Customer data from the production systems 30 days following contract termination so that such data is deleted by 45 days after contract termination.”

Quelle: lever.coAnnex II: data retentionGeprüft am 19. Oktober 2026

1 genannt: SOC 2 (die Sicherheitsanlage verpflichtet Lever, die AICPA-SOC-2-Zertifizierung oder Gleichwertiges aufrechtzuerhalten; die Preisseite nennt SOC 2 Type II). Kein ISO-Zertifikat gefunden.

Wortlaut des Anbieters: “Lever shall maintain AICPA SOC2 certification or equivalent as well as maintain a lawful transfer mechanism for export of personal data out of the European Union.”

Quelle: lever.co1.2 CertificationGeprüft am 19. Oktober 2026

Ja. Die KI-Funktionen verarbeiten keine Kundendaten, bis die berechtigten Nutzer des Kunden sie aktivieren, und der Kunde ist dafür verantwortlich zu steuern, wer sie aktivieren darf.

Wortlaut des Anbieters: “Customer is responsible for managing and monitoring access to the AI and for ensuring that only appropriately authorized individuals enable such functionality.”

Quelle: employinc.com4. AI TermsGeprüft am 19. Oktober 2026