Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:
[Name des Unternehmens bzw. der verantwortlichen Person]
[Straße und Hausnummer]
[Postleitzahl und Ort]
E-Mail: [E-Mail-Adresse]
(identisch mit den Angaben im Impressum)

2. Datenschutzbeauftragter

[Name und Kontaktdaten des Datenschutzbeauftragten — nur erforderlich, wenn nach Art. 37 DSGVO / § 38 BDSG eine Bestellpflicht besteht; andernfalls diesen Abschnitt entfernen und begründen, warum keine Pflicht besteht]

3. Zwecke der Verarbeitung und Rechtsgrundlagen

Diese Anwendung verarbeitet personenbezogene Daten zu folgenden Zwecken — jede Zeile mit der jeweils einschlägigen Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO zu ergänzen:

• Anlage und Verwaltung von Nutzerkonten der Mandanten (Recruiter/Admins) — Rechtsgrundlage: [Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung, sofern zutreffend]
• Verarbeitung von Bewerber-Lebensläufen (Upload, Extraktion, Abgleich mit der ESCO-Taxonomie) zur Ermittlung passender Unternehmen — Rechtsgrundlage: [Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung des Bewerbers, sofern die Lebensläufe besondere Kategorien personenbezogener Daten enthalten können; Einwilligung ist laut Projektstand vor jeder Verarbeitung einzuholen und granular widerrufbar]
• Ermittlung offener Stellen und Unternehmensprofile über die Bundesagentur für Arbeit, ATS-Feeds und Firmen-Karriereseiten — Rechtsgrundlage: [Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Vermittlungstätigkeit, im Einzelfall zu prüfen]
• Serverprotokolle zur Absicherung des Betriebs (Fehlersuche, Missbrauchserkennung) — Rechtsgrundlage: [Art. 6 Abs. 1 lit. f DSGVO]

4. Herkunft von Kontaktdaten von Unternehmen

Auf Anforderung eines Mandanten ermittelt die Anwendung zu einem konkreten Unternehmen eine Ansprechperson oder eine geschäftliche Kontaktadresse — kein Vorratsregister, sondern ein Einzelabruf je Firma und Klick.

• Welche Daten: Name, berufliche Funktion (z. B. Personalreferentin, Geschäftsführer) sowie geschäftliche Kontaktdaten (Telefonnummer, E-Mail-Adresse). Aus dem Impressum werden ausschließlich funktionale Firmen-Adressen übernommen (z. B. ein allgemeines Postfach oder die Zentrale) — keine personenbezogenen Adressmuster wie „vorname.nachname@…", Durchwahlen oder Mobilnummern; solche personenbezogenen Adressen werden nur übernommen, wenn sie in einer Stellenanzeige oder auf der Karriereseite ausdrücklich als Bewerbungskontakt genannt sind.
• Aus welchen öffentlichen Quellen:Stellenanzeigen der Bundesagentur für Arbeit, Karriereseiten der Unternehmen sowie deren gesetzlich vorgeschriebene Impressumsangaben. Zu jedem gespeicherten Datensatz werden Herkunft, Fundstelle (die abgerufene Adresse) und Abrufdatum mitgeführt.
• Zweck: Anbahnung von Personaldienstleistungen (Arbeitnehmerüberlassung/Personalvermittlung) im Zusammenhang mit einer konkret ausgeschriebenen oder zum Bewerberprofil passenden Stelle dieses Unternehmens.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Ansprache von Unternehmen zur Personalvermittlung). [anwaltlich zu prüfen — insbesondere die Abwägung nach Art. 6 Abs. 1 lit. f DSGVO für aus dem Impressum entnommene Daten; die Orientierungshilfe der Datenschutzkonferenz zur Direktwerbung, Abschnitt 4.2, stuft das Auslesen von Impressumsdaten zu Werbezwecken regelmäßig als unzulässig ein — dieser Befund ist bekannt und noch nicht abschließend bewertet]
• Speicherdauer: Ein Datensatz verfällt 180 Tage nach der letzten Bestätigung durch einen erneuten Abruf und wird danach gelöscht, sofern er nicht vorher durch einen erneuten Lauf bestätigt oder von Hand entfernt wird.
• Informationspflicht (Art. 14 DSGVO): Da die Daten nicht bei der betroffenen Person selbst erhoben werden, ist diese grundsätzlich zu benachrichtigen. [vom Betreiber zu prüfen / anwaltlich zu prüfen — insbesondere, ob und wie eine Ausnahme nach Art. 14 Abs. 5 DSGVO greift oder eine aktive Benachrichtigung je Datensatz erforderlich ist]
• Widerspruchsrecht gegen Direktwerbung (Art. 21 Abs. 2 DSGVO): Sie können der Verarbeitung Ihrer Daten zum Zweck der Direktwerbung jederzeit widersprechen; ein Widerspruch wird dauerhaft gesperrt, damit dieselben Daten nicht erneut erhoben werden. Zur Ausübung genügt eine formlose Nachricht an: [E-Mail-Adresse einsetzen, identisch mit Abschnitt 1].

[Dieser gesamte Abschnitt ist vom Betreiber zu prüfen und anwaltlich zu prüfen — insbesondere Rechtsgrundlage, Informationspflicht und die Bewertung von Impressumsdaten zu Werbezwecken sind noch offen.]

5. Empfänger und Auftragsverarbeiter

Folgende externe Stellen erhalten im Rahmen der Verarbeitung Zugriff auf personenbezogene Daten oder daraus abgeleitete Inhalte. Für jede Stelle ist vor Betrieb zu prüfen und einzutragen, ob ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) besteht und — bei Sitz außerhalb der EU/des EWR — auf welcher Grundlage nach Art. 44 ff. DSGVO die Übermittlung erfolgt (z. B. Standardvertragsklauseln der EU-Kommission):

• Anthropic (Anthropic PBC, USA) — Verarbeitung von Lebenslauf- und Stellentexten über die Claude-API zur Extraktion strukturierter Daten. [Auftragsverarbeitungsvertrag: ja/nein, Datum; Übermittlungsgrundlage für das Drittland USA: Standardvertragsklauseln / andere Grundlage einsetzen]. Je nach Mandanten-Konfiguration erfolgt der Aufruf entweder mit einem plattformeigenen Schlüssel (Betreiber ist Auftraggeber gegenüber Anthropic) oder mit einem vom Mandanten selbst hinterlegten Schlüssel (Mandant ist Auftraggeber) — [zutreffenden Fall für diesen Betrieb eintragen].
• Cohere (Cohere Inc., Kanada/USA) — Berechnung von Embeddings (Vektor-Repräsentationen) für den Abgleich von Lebenslauf- und Stellentexten mit der ESCO-Taxonomie. [gleiche Angaben wie bei Anthropic: Auftragsverarbeitungsvertrag, Übermittlungsgrundlage, Betreiber- oder Mandanten-Schlüssel]
• Bundesagentur für Arbeit (Körperschaft des öffentlichen Rechts, Deutschland) — Abruf öffentlich gemeldeter Stellenanzeigen über die Jobsuche-API zum Abgleich mit Bewerberprofilen. [Rechtsgrundlage der Übermittlung/Nutzung eintragen; Sitz in Deutschland, daher regelmäßig kein Drittlandtransfer]
• Hosting-Anbieter [Name einsetzen, z. B. Hetzner Online GmbH, Deutschland/EU] — technischer Betrieb der Server, auf denen Datenbank, Backend und Weboberfläche laufen. Auftragsverarbeitungsvertrag: [ja/nein, Datum].
• [Weitere Empfänger ergänzen, sofern zutreffend — z. B. AWS Bedrock EU, ATS- Anbieter wie Personio/Recruitee/d.vinci/Greenhouse/Lever, falls über sie personenbezogene Daten zurückfließen]

6. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht. Je Datenkategorie einzutragen:

• Bewerber-Lebensläufe und daraus extrahierte Profile: [Frist einsetzen]
• Nutzerkonten der Mandanten (Recruiter/Admins): [Frist einsetzen]
• Server- und Zugriffsprotokolle: [Frist einsetzen]
• Widerruf der Einwilligung: [Löschfrist nach Widerruf einsetzen — Projektstand verlangt ein durchgesetztes Löschkonzept, konkrete Fristen hier eintragen]

7. Ihre Rechte als betroffene Person

Sie haben im Rahmen der gesetzlichen Vorgaben das Recht auf:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an: [E-Mail-Adresse einsetzen, identisch mit Abschnitt 1]

8. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt (Art. 77 DSGVO).
Zuständig für den Sitz des Verantwortlichen: [Name und Anschrift der zuständigen Landesdatenschutzbehörde einsetzen]

9. Stand dieser Erklärung

Stand: [Datum einsetzen]