Datenschutzerklärung

1. Verantwortlicher

2. Grundsätzliches

Wir verarbeiten personenbezogene Daten nur im Rahmen der geltenden Datenschutzgesetze (DSGVO, BDSG). Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

3. Hosting & technische Bereitstellung

Server-Hosting: Die Anwendung läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein (Deutschland). Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Datenbank & Authentifizierung: Stamm- und Bewerberdaten werden in einer Postgres-Datenbank des Anbieters Supabase (Supabase, Inc., USA) gespeichert; der genutzte Datenbank-Standort ist die EU (Region Irland). Da die Muttergesellschaft in den USA sitzt, stützen wir die Zusammenarbeit auf Standardvertragsklauseln (SCC) bzw. das EU-US Data Privacy Framework. Es besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Zugriffsdaten / Server-Logfiles

Beim Aufruf der Website werden technisch notwendige Daten verarbeitet (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Referrer, Browser/Betriebssystem) zur technischen Bereitstellung und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Übertragung erfolgt durchgängig TLS-verschlüsselt (HTTPS).

5. Bewerberdaten

Über die Karriereseiten unserer Kunden können sich Interessenten auf Stellen bewerben. Dabei verarbeiten wir die im Bewerbungsformular angegebenen Daten (z. B. Name, Kontaktdaten, Angaben zur Bewerbung, ggf. hochgeladene Unterlagen).

• Zweck: Durchführung des Bewerbungsverfahrens für den jeweiligen Arbeitgeber (unseren Kunden).
• Rolle: Für diese Daten handeln wir als Auftragsverarbeiter des jeweiligen Kunden; Verantwortlicher ist der Kunde (Arbeitgeber). Grundlage ist ein Auftragsverarbeitungsvertrag.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. § 26 BDSG; für einen Talent-Pool ggf. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
• Mandantentrennung: Jeder Kunde sieht ausschließlich seine eigenen Bewerberdaten; dies ist technisch durch Row-Level-Security auf Datenbankebene erzwungen.
• Speicherdauer: Löschung bzw. Anonymisierung nach Abschluss des Verfahrens, in der Regel spätestens sechs Monate danach, sofern keine Einwilligung zur längeren Speicherung oder gesetzliche Aufbewahrungspflicht besteht.

6. Kundendaten / Nutzerkonten

Für Kunden und Administratoren führen wir Nutzerkonten (E-Mail, verschlüsseltes Passwort, Rolle) sowie Stammdaten. Zweck: Vertragsdurchführung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. E-Mail-Benachrichtigungen

Sofern wir Bestätigungs- oder Status-E-Mails versenden, erfolgt dies über einen Auftragsverarbeiter nach Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO.

8. Reichweitenmessung & Werbung (Meta-Pixel, Google Tag Manager)

Auf einzelnen Kunden-Karriereseiten setzen wir – ausschließlich nach ausdrücklicher Einwilligung über den Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) – Dienste zur Erfolgs- und Conversion-Messung von Stellenanzeigen ein. Ohne Einwilligung werden keine Marketing-Cookies gesetzt und keine Daten an diese Anbieter übertragen; die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar.

• Meta-Pixel – Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland. Erfolgsmessung/Retargeting für Anzeigen auf Facebook/Instagram. Datenübermittlung ggf. in die USA (EU-Standardvertragsklauseln / EU-US Data Privacy Framework); für die Erhebung/Weitergabe über den Pixel besteht eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.
• Google Tag Manager / Google Ads – Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Laden von Mess-Tags (z. B. Google-Ads-Conversion) nach Einwilligung; Datenübermittlung ggf. in die USA (EU-Standardvertragsklauseln / EU-US Data Privacy Framework).
• LinkedIn Insight Tag – LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland. Conversion-Messung/Optimierung von LinkedIn-Anzeigen nach Einwilligung; Datenübermittlung ggf. in die USA (EU-Standardvertragsklauseln / EU-US Data Privacy Framework).

9. Empfänger / Auftragsverarbeiter

• Hetzner Online GmbH – Hosting (Deutschland)
• Supabase, Inc. – Datenbank/Authentifizierung (EU-Region Irland; Muttergesellschaft USA)
• Meta Platforms Ireland Ltd. – Meta-Pixel (nur nach Cookie-Einwilligung; ggf. USA, SCC/EU-US DPF)
• Google Ireland Ltd. – Google Tag Manager / Google Ads (nur nach Cookie-Einwilligung; ggf. USA, SCC/EU-US DPF)
• LinkedIn Ireland Unlimited Company – LinkedIn Insight Tag (nur nach Cookie-Einwilligung; ggf. USA, SCC/EU-US DPF)
• Resend (E-Mail-Versand) – nur bei aktiviertem E-Mail-Versand
• Anthropic PBC – KI-Dienste (USA; Grundlage EU-Standardvertragsklauseln). Drei Zwecke, und sie unterscheiden sich darin, was hinausgeht:
  • KI-Assistent im Kundenportal – nur bei aktiviertem Assistenten: die Frage des Nutzers und die Lage seines Mandats.
  • Antwortentwürfe zu eingehender Geschäftspost – der vollständige Mailverlauf eines offenen Vorgangs aus unseren Postfächern, bis 21 Tage zurück, mit Absender und Text. Ausgelöst je Vorgang von einem Mitarbeiter über die Schaltfläche „Entwurf schreiben“. Der frühere tägliche Lauf ist seit dem 23.09.2026 abgeschaltet.
  • Textvorschläge für Karriereseiten – eine von uns selbst getippte Beschreibung von Unternehmen und Stelle, auf 800 Zeichen gekürzt. Kein Schriftverkehr, keine Bewerberdaten.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Es besteht ein Beschwerderecht bei einer Aufsichtsbehörde – zuständig ist der Thüringer Landesbeauftragte für den Datenschutz (TLfDI), Häßlerstraße 8, 99096 Erfurt.

Bei Bewerbungen auf einer Kunden-Karriereseite richte Betroffenenanfragen bitte an den jeweiligen Arbeitgeber (Verantwortlicher); wir leiten Anfragen unverzüglich weiter.

11. Datensicherheit

Verschlüsselte Übertragung (TLS/HTTPS), Zugriffsbeschränkung per Authentifizierung und Row-Level-Security, Hosting in einem deutschen Rechenzentrum sowie regelmäßige Aktualisierung der Systeme.