Ihre Daten und der Betriebsrat

Was dieses Tool ist und was nicht

Call It A Five ist Live-Planning-Poker. Eine Person erstellt eine Sitzung, erhält einen einzigen Link und teilt ihn mit dem Team. Alle wählen eine Schätzkarte (Fibonacci, T-Shirt-Größen oder Zweierpotenzen). Die Karten bleiben verborgen, bis die moderierende Person sie aufdeckt, und dann zeigt das Tool die Streuung der Stimmen, den Median, den Grad der Übereinstimmung und etwaige Ausreißer, sodass das Team diskutieren und erneut abstimmen kann.

Es ist kein Produkt mit Anmeldung, keine zentrale Personendatenbank und kein Werkzeug zur Bewertung Einzelner. Es legt keine Konten, Profile, Ranglisten oder Manager-Dashboards über namentlich genannte Beschäftigte an und exportiert nichts in HR-Systeme.

Welche Daten es verarbeitet und wohin sie gehen

Das Datenverzeichnis unten ist die vollständige Liste. Mehr gibt es nicht.

Es gibt keine E-Mail, kein Konto, kein Passwort und keine Telefonnummer, und die Anwendung speichert Ihre IP-Adresse nicht. Zum Schutz vor dem Erraten von Raumadressen werden Beitritte, fehlgeschlagene Abrufe und Abrufe älterer, namensbasierter Raumadressen je IP-Adresse in einem Zähler bei Cloudflare gezählt, der nach 60 Sekunden verfällt; die Anwendung speichert oder protokolliert die Adresse nicht. Der Anzeigename ist das einzige direkt identifizierende Feld, und das auch nur, weil Sie ihn eingegeben haben.

Wo die Daten liegen und wie sich die Clients abgleichen

Die Adresse eines Team-Raums enthält einen zufälligen Code aus 13 Zeichen (65 Bit), sodass sie sich nicht aus dem Raumnamen erraten lässt; Mitgliederliste und Beamer-Ansicht lassen sich nur mit dieser vollständigen Adresse öffnen, und wiederholte fehlgeschlagene Abfragen aus einem Netz werden begrenzt (Abfragen von Beamer-Ansichten, Hosts und Mitgliedern eines Raums mit sicherer Adresse werden nicht begrenzt; das Betreten eines Raums wird je Netzadresse gezählt, ebenso Abfragen von Räumen, die nicht existieren oder umgezogen sind). Team-Räume, die vor Version 3.6 angelegt wurden, behalten ihre ältere, namensbasierte Adresse, bis der Host sie mit einem Klick auf eine sichere Adresse umzieht; der umgezogene Raum ist anonym, außer der Host lässt die Namen ausdrücklich sichtbar, der Host-Zugang wird erneuert, und die alte Adresse funktioniert nicht mehr. 30 Tage lang antwortet die alte Adresse nur noch mit dem Hinweis, dass der Raum umgezogen ist, mit Namen des Mitglieds, das ihn umgezogen hat, und dem Datum, damit jemand mit dem alten Link weiß, wen er fragen muss; danach verschwindet sie.

Jede Sitzung läuft in einem eigenen, isolierten Speicher auf dem Server (einem Cloudflare Durable Object). Jedes Gerät in der Sitzung bleibt synchron, indem es den Server etwa alle 2,8 Sekunden nach dem neuesten Stand fragt. Geräte kommunizieren nie direkt miteinander. Es gibt keine Peer-to-Peer-Verbindung.

Die kleine Wiederaufnahme-Notiz auf Ihrem eigenen Gerät enthält nur den letzten Raumcode und den von Ihnen verwendeten Namen, damit das Tool den erneuten Beitritt zu einer noch laufenden Sitzung anbieten kann. Sie bleibt auf dem Gerät, wird nie hochgeladen, und Sie können sie löschen, indem Sie Ihre Browserdaten löschen.

Keine KI, kein großes Sprachmodell KI: keine

Call It A Five enthält keine KI. Es gibt null Aufrufe an irgendeinen KI-Dienst oder ein großes Sprachmodell, an keiner Stelle im Produkt.

Jede Zahl, die das Tool anzeigt, der Median, der Modus, das Minimum, das Maximum, die Übereinstimmungsquote und die Ausreißer, ist einfache Arithmetik, die auf dem Server aus den Stimmen der aktuellen Runde berechnet wird. Es gibt kein Modell, keine Inferenz und keinen externen KI-Anbieter, somit nichts, womit ein Modell trainiert werden könnte, und keinen KI-Anbieter, mit dem Daten geteilt würden.

Keine Überwachung auf Einzelebene, keine Leistungskontrolle

Dies ist die für die Mitbestimmung wichtigste Frage. Das Schätzen in diesem Tool ist eine gemeinschaftliche Teamaktivität, kein Maß für eine einzelne Person. Es ist nach unserer Auffassung nicht dazu bestimmt oder geeignet, das Verhalten oder die Leistung von Beschäftigten im Sinne von Paragraf 87 Abs. 1 Nr. 6 BetrVG zu überwachen. Ihr Betriebsrat trifft seine eigene Bewertung, und diese Seite soll ihn dabei unterstützen.

• Es gibt keine Konten und keine Profile, sodass es keine Aufzeichnung gibt, die einer Person über Sitzungen hinweg folgt.
• Räume sind standardmäßig anonym. Das aufgedeckte Ergebnis zeigt nur Kartenwerte, nach Wert sortiert, ohne Namen und Teilnehmerkennungen, und kein Gerät erhält die Stimme einer anderen Person, sodass das Tool selbst eine Schätzung nie mit einer namentlich genannten Person verknüpft. Namen einzuschalten ist eine ausdrückliche Entscheidung des Hosts beim Anlegen des Raums. Der Host kann einen bestehenden Raum jederzeit auf anonym umstellen (nur in diese Richtung, nicht zurück), ein auf eine sichere Adresse umgezogener Raum wird anonym, außer der Host lässt die Namen ausdrücklich sichtbar, und alle Teilnehmenden sehen den Hinweis „Namen sichtbar“, solange Namen gelten.
• Die Rundenhistorie speichert nur aggregierte Zahlen (Median, Modus, Minimum, Maximum, Übereinstimmung, Anzahl der Stimmen). Die Einzelstimmen dahinter werden gelöscht, sobald die Runde endet; es bleibt keine Einzelstimme gespeichert.
• Ausreißer (die höchste und die niedrigste Karte) werden nur in einem Raum mit sichtbaren Namen pro Person markiert, und nur solange die Runde offen ist. Anonyme Räume und die Rundenhistorie tragen keine Ausreißer-Markierung.
• Es gibt keine Rangliste von Personen, keine individuelle Bewertung im Zeitverlauf, und nichts wird in ein HR- oder Leistungssystem exportiert.
• Das Tool unterstützt zudem den Grundsatz der gerechten, transparenten Behandlung von Beschäftigten (Paragraf 75 BetrVG). Der anonyme Modus ist Standard; ob ein Team Namen einschaltet, ist eine Entscheidung, auf die sich Team und Betriebsrat verständigen können.

Ein ehrlicher Vorbehalt: Schaltet der Host Namen ein, zeigt die aufgedeckte Ansicht jeden Namen neben seiner Karte, solange diese Runde offen ist (die offene Spielweise vieler Teams, damit sie eine Abweichung besprechen können). Alle im Raum sehen das am Hinweis „Namen sichtbar“. Endet die Runde, werden die Einzelstimmen gelöscht, und nur das Gesamtergebnis bleibt; nichts wird zu einem Profil aggregiert. Wenn Ihr Betriebsrat es bevorzugt, kann vereinbart werden, dass Namen ausgeschaltet bleiben. Zwei Grenzen gelten in jedem Modus: Alle sehen, wer schon abgestimmt hat (nicht was), und bei einer Runde mit nur einer oder zwei Stimmen kann das Ergebnis selbst zeigen, wie eine Person gestimmt hat. Das ist Arithmetik auf dem Bildschirm, keine gespeicherte Aufzeichnung.

Hosting und EU-Datenresidenz

Der Sitzungsserver läuft auf Cloudflare. Der sitzungsbezogene Speicher, der Namen, Stimmen und Ergebnisse enthält, ist auf eine europäische Gerichtsbarkeit festgelegt und wird daher in einer europäischen Region (Frankfurt oder Dublin) abgelegt. Dies gewährleistet die EU-Datenresidenz für die Sitzungsdaten.

Cloudflare ist für den Betreiber als Auftragsverarbeiter tätig, im Rahmen eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Der Betreiber gibt Sitzungsdaten nicht zu eigenen Zwecken an Dritte weiter.

Keine Anfragen an Dritte

Die Schriftart (Plus Jakarta Sans) ist direkt in die Seite eingebettet (selbst gehostet), sodass das Öffnen dieser Seiten keine Anfrage an Google Fonts oder einen anderen Dritten auslöst. Kein externer Dienst erhält die IP-Adresse der Besucherin oder des Besuchers.

Es werden niemals Namen, Stimmen oder Sitzungsinhalte an einen Ort außerhalb dieser Domain gesendet. Diese Seiten laden vollständig von callitafive.com.

Keine Cookies, kein Tracking, keine Analyse

Das Tool setzt keine Cookies, führt keine Werbe- oder Analyseskripte aus und verwendet keine Tracking-Pixel. Auf Ihrem Gerät liegen nur funktionale Daten: die oben beschriebene Wiederaufnahme-Notiz, die lokal bleibt, und der Geräteschlüssel, der nur an den Sitzungsserver seines Raums geht. Keine Anfrage von diesen Seiten erreicht einen Dritten; die Schriftart ist in die Seite selbst eingebettet.

Zweck und Aufbewahrung

Die Daten werden ausschließlich dazu verwendet, die Live-Schätzsitzung durchzuführen: um zu zeigen, wer beigetreten ist, um Stimmen bis zur Aufdeckung verborgen zu halten und um das Rundenergebnis für die Diskussion im Team zu berechnen. Sie werden zu keinem anderen Zweck verwendet.

Jede schnelle Runde hat eine Lebensdauer von 8 Stunden. Danach wird der Serverspeicher für diese Sitzung gelöscht, und die darin enthaltenen Namen, Stimmen und Ergebnisse sind verschwunden. Auch die Wiederaufnahme-Notiz auf einem Gerät wird nach 8 Stunden nicht mehr angeboten. Über die Lebensdauer einer Sitzung hinaus wird nichts zentral aufbewahrt.

Team-Räume (opt-in) funktionieren anders: Sie existieren, damit ein Team einen Raum über wiederkehrende Refinements hinweg behalten kann. Ein Team-Raum wird einschließlich Mitgliederliste und Runden-Historie 90 Tage nach der letzten Aktivität aufbewahrt und dann automatisch gelöscht; jeder Besuch verlängert dieses Fenster. Der Host kann den gesamten Raum jederzeit über die Löschfunktion des Raums entfernen. Vergangene Runden bleiben nur als aggregierte Ergebnisse erhalten (Median, Spannweite, Einigkeit); die Stimme jeder Person wird gelöscht, sobald die Runde endet, und eine offene Runde ohne Aktivität wird nach 8 Stunden automatisch abgeschlossen. Team-Räume, die vor Version 3.6 angelegt und seitdem nicht geöffnet wurden, enthielten noch die Einzelstimmen abgeschlossener Runden; die einmalige Bereinigung beim Einspielen dieser Version fasst sie zu Aggregaten zusammen.

Rollen, Rechtsgrundlage und Ihre Rechte

Wenn Ihre Organisation dieses Tool für die Beschäftigten einführt, kann Ihr Arbeitgeber für diese Nutzung der Verantwortliche sein, mit dem Betreiber und Cloudflare als Auftragsverarbeitern. Ihre Datenschutzstelle kann die aktuelle Regelung sowie die Frage bestätigen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

Unterlagen nach Checkliste

Die Unterlagen, die Betriebsräte für eine Prüfung meist anfordern, und wo Sie sie auf dieser Seite finden.

Rollen und Berechtigungen

In schnellen Runden kann jeder mit dem Raumlink die Runde steuern (aufdecken, neue Runde). In Team-Räumen prüft der Server jede Host-Aktion gegen einen geheimen Host-Schlüssel, der nie in einer Antwort an andere Geräte steht. Wer den Host-Link hat, hat Host-Rechte. Es gibt keine Manager-Ansicht, und niemand kann Rauminhalte raumübergreifend einsehen. Der Betreiber hat nur einen Wartungszugang, der Räume aufräumen oder löschen kann und dabei nur Zählwerte zurückgibt.

Schnittstellen

Keine. Das Tool hat keine Anbindung an HR-, Ticket-, Kalender- oder Verzeichnissysteme und kein Single Sign-on. Der Host kann die Rundenergebnisse des Raums (und in einem Raum mit Namen die Namen des Teams) als Datei herunterladen und diese Datei in einen neuen Raum laden. Die Datei enthält keine Einzelstimmen. Nichts wird in ein HR-, Ticket- oder Leistungssystem exportiert. Es gibt keine Schnittstelle für andere Systeme; die App-eigene Schnittstelle funktioniert nur je Raum und nur mit dessen Adresse, eine Liste aller Räume gibt es nicht.

Was das Tool auswertet

Die einzige Auswertung ist das Ergebnis einer Runde. So sieht eine abgeschlossene Runde in der Rundenhistorie eines Team-Raums aus:

Dazu speichert das Tool die dem Median nächste Karte und die Zahl der „?“- und Kaffee-Karten. Mehr nicht: keine Namen, keine Einzelstimmen, keine Ausreißer. Es gibt keine Auswertung über Runden oder Personen hinweg.

Kleine Teams. Viele Teams schätzen zu dritt bis zu fünft, das Rundenergebnis ist dann rechnerisch eine Auswertung für eine Gruppe von höchstens 5 Personen. Zweck ist allein die Diskussion im Team über die Größe eines Tickets, nicht die Bewertung der Beteiligten. Das Tool bietet keine Funktion, um Ergebnisse Personen zuzuordnen, über Runden zu vergleichen oder an Vorgesetzte zu geben. Bei einer oder zwei Stimmen kann man aus dem Ergebnis ablesen, wie jemand gestimmt hat. Das ist Arithmetik auf dem Bildschirm, keine gespeicherte Zuordnung.

Löschkonzept

Die Löschung läuft serverseitig über einen Zeitgeber je Raum, auch wenn niemand den Raum wieder öffnet.

IT-Sicherheit auf einen Blick

• Keine Konten und keine Passwörter. Zugang geben allein die Links: Der Raumlink lässt teilnehmen, der Host-Link gibt Host-Rechte. Beide sollten wie ein Schlüssel behandelt werden.
• Team-Räume ab Version 3.6 haben eine Adresse mit zufälligem Anteil (65 Bit). Nach 200 Abrufen pro Minute aus einem Netz werden weitere gesperrt.
• Host-Rechte hängen an einem geheimen Schlüssel, den der Server bei jeder Aktion prüft.
• Jedes Gerät erhält einen zufälligen Geräteschlüssel (158 Bit). Der Server speichert davon nur einen nicht umkehrbaren Hashwert.
• Jeder Raum liegt in einem eigenen, isolierten Speicher. Verschlüsselte Verbindung (HTTPS), Raumdaten werden in der EU gespeichert.
• Keine Inhalte von Dritten: Schrift und Skripte kommen alle von callitafive.com.

Einführung und Schulung

Eine eigene Schulung ist nicht nötig. Das Tool erklärt sich auf einer Seite, eine Runde dauert etwa eine Minute. Für die Einführung in einem Team reicht eine kurze Vorstellung im ersten Refinement, gut fünf Minuten:

• Raum anlegen und den Link teilen.
• Zeigen, dass Räume standardmäßig anonym sind und dass die Stimme vor dem Aufdecken niemand sieht.
• Vereinbaren, ob Namen sichtbar sein sollen. Unsere Empfehlung: anonym lassen, solange der Betriebsrat nichts anderes vereinbart.
• Zeigen, wie der Host einen Team-Raum löscht.

Für den Betriebsrat

Diese Seite wird zur Transparenz und zur Unterstützung Ihrer Prüfung bereitgestellt. Bitte bewerten und genehmigen Sie das Tool gemeinsam mit Ihrem Betriebsrat im Rahmen Ihres üblichen Mitbestimmungsprozesses. Wenn sich die Datenverarbeitung, die Position zur KI, die Hosting-Region oder die Web-Font-Regelung wesentlich ändert, wird diese Seite aktualisiert und die Änderung wird Ihnen erneut zur Prüfung vorgelegt.

Fragen zum Datenschutz können an den oben genannten Verantwortlichen oder an die Datenschutzstelle Ihrer Organisation gerichtet werden.