Datenschutzerklärung

Verantwortlich für die Verarbeitung personenbezogener Daten ist die Bewerbling UG (haftungsbeschränkt), Edisonstraße 31A, 12459 Berlin, eingetragen im Handelsregister des Amtsgerichts Köln unter HRB 128976, Sitz der Gesellschaft Erftstadt, vertreten durch die Geschäftsführer Alexandru Socaciu Müller und David Lazarescu.

In allen Fragen des Datenschutzes und zur Ausübung Ihrer Rechte erreichen Sie uns unter datenschutz@bewerbling.de. Für sonstige Anliegen: kontakt@bewerbling.de.

Wir haben die heyData GmbH als externen Datenschutzbeauftragten bestellt. Sie erreichen unseren Datenschutzbeauftragten unter datenschutz@bewerbling.de oder postalisch unter unserer oben genannten Geschäftsanschrift mit dem Zusatz „An den Datenschutzbeauftragten“.

Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der gesetzlichen Bestimmungen (DSGVO, BDSG, TDDDG) und nach den Grundsätzen der Datenminimierung und Zweckbindung. Wir erheben nur Daten, die für den jeweiligen Zweck erforderlich sind, und verarbeiten sie nur zu diesen Zwecken.

Soweit wir uns auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen, sind dies im Einzelnen: die Vermittlung von Bewerbungen, der ordnungsgemäße und missbrauchsfreie Betrieb des Dienstes, die Abwehr von Angriffen und automatisierten Zugriffen, die Beantwortung von Anfragen sowie die Führung von Nachweisen, etwa von Versandprotokollen zur Abwicklung der Garantie und zur Rechtsverteidigung, sowie die Steuerung, Qualitätssicherung und Rechtskonformität des eigenen Betriebs.

Je nach Nutzung des Dienstes verarbeiten wir:

• Bestands- und Kontaktdaten: Name und E-Mail-Adresse aus dem per OAuth verbundenen Postfach (Google oder Microsoft). Eine separate E-Mail-Verifizierung und ein Passwortkonto führen wir nicht.

• Profil- und Bewerbungsdaten: Angaben aus dem Lebenslauf, Qualifikationen, Berufserfahrung und Zielvorgaben, Ihre Telefonnummer und der früheste Eintrittstermin, soweit Sie diese angeben, Ihre Antworten auf die persönlichen Rückfragen unseres Assistenten, von Ihnen eingefügte Beispieltexte sowie eine von Ihnen hochgeladene Vorlage für das Motivationsschreiben, ferner optional ein Bewerbungsfoto, Geburtsdatum, Nationalität und Familienstand.

• Inhaltsdaten: die mithilfe von KI erstellten Anschreiben und Motivationsschreiben sowie im Lebenslauf-Baukasten die von Ihnen eingegebenen Angaben und der daraus erzeugte Lebenslauf.

• Postfach- und Versanddaten: der über ein Autorisierungsverfahren (OAuth) bereitgestellte, auf das Senden beschränkte Zugriff auf Ihr E-Mail-Postfach sowie Versandprotokolle mit Empfänger, Zeitpunkt und Status.

• Zahlungsdaten: die zur Zahlungsabwicklung erforderlichen Angaben, die über unseren Zahlungsdienstleister verarbeitet werden, sowie bei Einlösung eines Rabattcodes dessen Kennung. Den Rabattcode selbst speichern wir nicht im Klartext.

• Nutzungs- und Verbindungsdaten: technische Daten bei Nutzung der Website, insbesondere IP-Adresse, Zeitpunkt des Zugriffs, abgerufene Ressource, Statuscode, Referrer sowie Browser- und Geräteangaben. Diese Daten sind über die IP-Adresse einer Person zuordenbar und werden deshalb als personenbezogene Daten behandelt.

• Kommunikationsdaten: Ihre Nachrichten an uns sowie unsere Antworten, einschließlich der Absenderangaben. Schreiben Sie uns über das Formular unter bewerbling.de/kontakt, sind dies Ihr Name, Ihre E-Mail-Adresse und Ihre Nachricht im Freitext sowie eine Vorgangsnummer, die wir für diese eine Nachricht erzeugen.

• Einwilligungsnachweise: der Wortlaut und die Version der von Ihnen bestätigten Erklärung, Zeitpunkt der Erteilung sowie die dabei verwendete IP-Adresse.

• Widerrufsnachweise: erklären Sie den Widerruf Ihres Vertrages oder Ihrer Vollmacht, der Zeitpunkt des Eingangs, Ihre E-Mail-Adresse, der Bezug zur Kampagne sowie Fassung und ein nicht umkehrbarer Prüfwert des Ihnen dabei angezeigten Erklärungstextes. Geben Sie im Formular freiwillig Ihre Bestellnummer an, verwenden wir sie zusammen mit Ihrer E-Mail-Adresse ausschließlich dazu, die betroffene Kampagne zu finden und sofort anzuhalten; gespeichert wird sie hierfür nicht. Einen von Ihnen selbst verfassten Text speichern wir hierfür nicht.

• Rückmeldungen: Ihre freiwilligen Antworten auf einen unserer kurzen Fragebögen, einschließlich frei geschriebener Texte. Wir bieten sie an drei Stellen an, nach dem vollständigen Versand einer Kampagne, nach dem Erwerb einer PDF-Datei im Lebenslauf-Baukasten und beim Abbruch eines Kaufvorgangs. Die Teilnahme ist überall freiwillig, und wir bitten Sie dort, keine besonderen Angaben zu Ihrer Person zu machen. Zusammen mit Ihrer Antwort speichern wir grob gerasterte Kennzahlen des jeweiligen Vorgangs, etwa die gewählte Paketgröße oder ob Sie Ihre Anschreiben vor dem Versand geöffnet haben, damit die Antworten später auch ohne Bezug zu Ihnen auswertbar bleiben.

Die Angaben Foto, Geburtsdatum, Nationalität und Familienstand sind freiwillig. Sie können den Dienst auch ohne diese Angaben in vollem Umfang nutzen.

Bewerbungsunterlagen können besondere Kategorien personenbezogener Daten enthalten, etwa Hinweise auf Gesundheit (zum Beispiel eine Schwerbehinderung), Religion, ethnische Herkunft (auch durch ein Foto) oder Gewerkschaftszugehörigkeit. Solche Daten verarbeiten wir nur, soweit Sie sie selbst freiwillig in Ihre Unterlagen oder Eingaben aufnehmen, und ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Wir fordern derartige Angaben nicht an und weisen Sie beim Hochladen darauf hin, sensible Angaben nur bewusst aufzunehmen.

Die Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden (siehe Abschnitt 14). Erteilen Sie sie nicht, können wir die betroffene Leistung nicht erbringen, weil sich besondere Kategorien in Lebensläufen und Zeugnissen nicht zuverlässig ausschließen lassen.

Vor der Übermittlung an unseren KI-Dienstleister in den USA entfernen wir besondere Kategorien im EU-Raum aus dem verarbeiteten Text (Schwärzung durch Google Gemini über Google Cloud Vertex AI, Einzelheiten in Abschnitt 7). Diese Schwärzung erfolgt nach dem Stand der Technik. Sie ist eine Maßnahme der Datenminimierung und verringert die Übermittlung besonderer Kategorien erheblich, kann aber nicht mit letzter Sicherheit ausschließen, dass einzelne Angaben im bereinigten Text verbleiben. Die Zulässigkeit der Verarbeitung besonderer Kategorien beruht deshalb nicht auf der Schwärzung, sondern durchgehend auf Ihrer ausdrücklichen Einwilligung.

Ihr Original-Lebenslauf einschließlich eines etwaigen Fotos wird der Bewerbung unverändert beigefügt und ausschließlich an die von Ihnen adressierten Arbeitgeber versendet. Dasselbe gilt für weitere Anlagen, die Sie freiwillig beifügen (etwa Arbeitszeugnisse, Zertifikate oder Arbeitsproben): Diese werden ausschließlich verschlüsselt gespeichert und unverändert mitversendet, jedoch weder inhaltlich ausgewertet noch an eine KI übermittelt.

Wir verarbeiten Ihre Daten zu folgenden Zwecken auf den jeweils genannten Rechtsgrundlagen:

• Bereitstellung und Betrieb der Website, Auslieferung der Inhalte und Gewährleistung der Verbindungssicherheit: Art. 6 Abs. 1 lit. f DSGVO.

• Konto, Vertragserfüllung sowie Erstellung und Versand der Bewerbungen: Art. 6 Abs. 1 lit. b DSGVO.

• KI-gestützte Erstellung der Unterlagen: Art. 6 Abs. 1 lit. b DSGVO (Einzelheiten in Abschnitt 7).

• Auslesen des hochgeladenen Lebenslaufs und Erzeugen der persönlichen Rückfragen unseres Assistenten, einschließlich der Texterkennung bei eingescannten Unterlagen: Art. 6 Abs. 1 lit. b DSGVO (Einzelheiten in Abschnitt 7).

• Lebenslauf-Baukasten, einschließlich der KI-gestützten Erstellung des Lebenslaufs und des kostenpflichtigen Erwerbs der PDF-Datei: Art. 6 Abs. 1 lit. b DSGVO, hinsichtlich der gesetzlich vorgeschriebenen Vertragsbestätigung sowie der handels- und steuerrechtlichen Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO. Einzelheiten in Abschnitt 8, die Speicherfristen in Abschnitt 11.

• Versand im Namen des Nutzers an Arbeitgeber: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit der gesonderten Vollmacht.

• Besondere Kategorien, sofern von Ihnen eingebracht: Art. 9 Abs. 2 lit. a DSGVO.

• Zahlungsabwicklung: Art. 6 Abs. 1 lit. b DSGVO, hinsichtlich der handels- und steuerrechtlichen Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

• Versandprotokolle sowie der Nachweis zur Geld-zurück-Garantie: Art. 6 Abs. 1 lit. f DSGVO.

• Server- und Fehlerprotokolle, Ratenbegrenzung sowie Abwehr von Missbrauch und automatisierten Zugriffen, einschließlich des Einsatzes von Cloudflare Turnstile: Art. 6 Abs. 1 lit. f DSGVO.

• Bearbeitung Ihrer Anfragen und Support, einschließlich des Betriebs unseres Kontaktformulars und des Versands der Eingangsbestätigung: Art. 6 Abs. 1 lit. b DSGVO bei Vertragsbezug, sonst Art. 6 Abs. 1 lit. f DSGVO.

• Nachweis erteilter Einwilligungen: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

• Nachweis eines erklärten Vertrags- oder Vollmachtswiderrufs sowie das unverzügliche Anhalten und anschließende Beenden der betroffenen Kampagne: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 355 BGB sowie Art. 6 Abs. 1 lit. f DSGVO. Die vierzehntägige Frist zur Rückzahlung beginnt mit dem Eingang Ihrer Erklärung; ohne den Nachweis wäre ihr Beginn nicht belegbar.

• Führung der Sperrliste widersprechender Arbeitgeber: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 21 Abs. 3 DSGVO.

• Führung einer Sperrliste zur Missbrauchsabwehr: Art. 6 Abs. 1 lit. f DSGVO.

• Stellen- und Arbeitgeberdaten aus öffentlich zugänglichen Quellen: Art. 6 Abs. 1 lit. f DSGVO (Einzelheiten in Abschnitt 10).

• Speicherung von Informationen auf Ihrem Endgerät und Zugriff darauf, soweit für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich: § 25 Abs. 2 Nr. 2 TDDDG (Einzelheiten in Abschnitt 12).

• Freiwillige Rückmeldungen und Ausgabe eines Belohnungscodes: Art. 6 Abs. 1 lit. f DSGVO (Verbesserung des Dienstes). Das gilt für alle drei Fragebögen. Einen Belohnungscode geben wir nur nach einer abgeschlossenen Kampagne und nach einem Erwerb im Lebenslauf-Baukasten aus, beim Abbruch eines Kaufvorgangs nicht. Die Teilnahme ist freiwillig, ohne Teilnahme entstehen Ihnen keine Nachteile.

• Interne Auswertung und Kennzahlen zur Steuerung des Unternehmens, zur Qualitätssicherung und zur Überwachung unserer eigenen Selbstverpflichtungen wie Sperrliste und Mehrfachkontakte: Art. 6 Abs. 1 lit. f DSGVO. Ausgewertet werden weit überwiegend Zahlen ohne Personenbezug. Ein Personenbezug ist allein bei den freien Textantworten aus der Rückmeldung, bei gekürzten Meldungen aus dem Fehlerprotokoll, bei Firmenangaben aus den Versandprotokollen sowie bei den freiwilligen Freitextangaben in Ihren Sucheinstellungen (Wünsche und Zusatzangaben zum Motivationsschreiben) möglich. Diese Freitexte werten wir nur solange aus, wie Ihre Kampagne besteht, also längstens sieben Tage; danach sind sie gelöscht. Ausgenommen ist allein der Freitext Ihrer Sucheinstellungen, soweit er in den Nachweis zur Geld-zurück-Garantie eingeht; für ihn gilt die in Abschnitt 11 genannte Frist. Es entsteht dabei keine zusätzliche Speicherung und keine zweite Kopie, die Auswertung wird allein angezeigt. Die Auswertung findet ausschließlich intern durch die Geschäftsführung statt, ohne Übermittlung an Dritte und ohne Export.

• Anonyme Reichweiten- und Nachfragestatistik: Wir zählen serverseitig Tagessummen ohne Personenbezug, um zu erkennen, welche Seiten und welche Maßnahmen wirken und woran Nutzerinnen und Nutzer im Bewerbungs-Assistenten scheitern. Es werden dabei keine personenbezogenen Daten verarbeitet, weder eine Kennung noch Ihre IP-Adresse; Einzelheiten in Abschnitt 12.

Der hochgeladene Lebenslauf wird zunächst im EU-Raum verarbeitet. Aus dem extrahierten Lebenslauf-Text entfernt Google Gemini über Google Cloud Vertex AI (Region eu) nach dem Stand der Technik die besonderen Kategorien nach Art. 9 DSGVO und erzeugt daraus ein bereinigtes Suchprofil und einen bereinigten Lebenslauf-Text. Erst diese bereinigten Ausgaben werden zur Erstellung von Anschreiben und optionalen Motivationsschreiben sowie zur Ermittlung passender Stellen und Bewerbungsadressen an Claude der Anthropic PBC (USA) übermittelt.

Der ursprüngliche, unbereinigte Lebenslauf-Text verbleibt im EU-Raum. Die Lebenslauf-Datei selbst verlässt den EU-Raum nicht und wird nicht an unseren KI-Dienstleister in den USA übermittelt. Liegt Ihr Lebenslauf als PDF vor, übermitteln wir die Datei innerhalb der EU an Google Gemini über Google Cloud Vertex AI (Region eu), um daraus die persönlichen Rückfragen zu erzeugen und, falls der Lebenslauf eingescannt ist, seinen Text auszulesen; ein in der Datei enthaltenes Foto wird dabei mitübertragen. Liegt Ihr Lebenslauf als Word-Datei vor, übermitteln wir nur den daraus ausgelesenen Text. Für weitere von Ihnen beigefügte Anlagen gilt einschließlich ihrer Dateinamen, dass sie an keine KI übermittelt werden.

Die Übermittlung in die USA ist durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und eine ergänzende Transfer-Folgenabschätzung abgesichert. Eine Nutzung Ihrer Daten zum Training oder zur Verbesserung der Modelle ist vertraglich ausgeschlossen. Anthropic speichert die im Rahmen der Verarbeitung übermittelten Daten für die Dauer unserer Vertragsbeziehung und löscht sie innerhalb von 30 Tagen nach deren Beendigung. Eine Vereinbarung über eine sofortige Löschung nach jeder einzelnen Anfrage (Zero Data Retention) besteht nicht.

Der Einsatz künstlicher Intelligenz wird Ihnen im Dienst kenntlich gemacht. Die erzeugten Unterlagen können Sie vor der Verwendung einsehen, ändern und freigeben.

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Wir bewerten Sie nicht, erstellen keine Persönlichkeits- oder Eignungsprofile und leiten aus Ihren Daten keine Prognosen über Sie ab. Die Zuordnung von Stellenangeboten dient allein der Auswahl passender Empfänger für die von Ihnen beauftragte Bewerbung und ersetzt keine Entscheidung über Sie.

Mit dem Lebenslauf-Baukasten erstellen Sie aus eigenen Angaben und optional hochgeladenen Unterlagen einen Lebenslauf. Die Nutzung setzt kein Nutzerkonto voraus.

8.1 Verarbeitete Daten. Verarbeitet werden die von Ihnen eingegebenen Angaben und Anweisungen, die angegebene Zielrichtung, im geführten Modus zusätzlich Ihre Antworten auf die gestellten Fragen sowie der Text aus Dateien, die Sie hochladen (etwa frühere Lebensläufe oder Zeugnisse). Aus hochgeladenen Dateien wird der Text je Anfrage nur vorübergehend ausgelesen, auf 25.000 Zeichen je Datei begrenzt und nicht gespeichert. Die Dateien selbst übermitteln wir nicht an eine KI.

8.2 Bewerbungsfoto. Ein Foto, das Sie im Baukasten hinterlegen, wird ausschließlich in Ihrem Browser verkleinert und dort gespeichert. Es wird zu keinem Zeitpunkt an unsere Server oder an eine KI übermittelt.

8.3 Besondere Kategorien. Auch Ihre Eingaben und insbesondere hochgeladene Zeugnisse können besondere Kategorien nach Art. 9 DSGVO enthalten. Vor jeder Übermittlung Ihrer Eingaben an unseren KI-Dienstleister in den USA werden diese Angaben im EU-Raum über Google Cloud Vertex AI entfernt, wie in Abschnitt 7 beschrieben. Das betrifft Ihre Anweisungen, Ihre Zielrichtung, Ihre Antworten im geführten Modus und den Text hochgeladener Dateien. Der Inhalt des erzeugten Lebenslaufs selbst wird nicht bereinigt: er ist Ihr Dokument, und eine Entfernung würde den Text beschneiden, den Sie dort bewusst führen. Lassen Sie den Lebenslauf im Editor durch unseren Assistenten ändern, wird sein Inhalt daher unverändert übermittelt, einschließlich der Angaben, die Sie selbst hineingeschrieben haben. Erkennen wir in einer solchen eigenen Eingabe Angaben zu Gesundheit, Religion oder Gewerkschaftszugehörigkeit, weisen wir Sie im Editor darauf hin. Grundlage der Verarbeitung ist Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die wir vor der ersten Verarbeitung gesondert einholen.

8.4 Keine Speicherung von Entwürfen auf unseren Servern. Entwürfe, erfasste Angaben und Ihr Foto verbleiben ausschließlich in Ihrem Endgerät. Auf unseren Servern speichern wir im Zusammenhang mit dem Baukasten den Nachweis Ihrer Einwilligung, Zähler ohne Personenbezug für die Begrenzung der Nutzungshäufigkeit, bei jeder Ausgabe einer PDF-Datei einen nicht umkehrbaren Prüfwert dieser Datei (Abschnitt 11) sowie bei dem kostenpflichtigen Erwerb die in Abschnitt 8.7 genannten Bestelldaten. Den Inhalt Ihres Lebenslaufs speichern wir dabei nicht. Wenn Sie den Speicher Ihres Browsers leeren, sind Ihre Entwürfe endgültig gelöscht; wir können sie nicht wiederherstellen.

8.5 Erzeugtes PDF. Das PDF wird in Ihrem Browser erstellt. In die Datei eingebettet ist eine verschlüsselte Beilage mit den erfassten Angaben, die dazu dient, den Lebenslauf später ohne erneute Eingabe weiterzuverwenden. Sie enthält auch Angaben, die auf der sichtbaren Fassung nicht erscheinen. Lesen kann diese Beilage nur Bewerbling. Sie bleibt jedoch dauerhaft Teil der Datei: versenden Sie das PDF an einen Arbeitgeber, erhält dieser die Beilage mit, ohne sie öffnen zu können. Wir können eine einmal ausgelieferte Datei nicht mehr erreichen und die Beilage darin nicht löschen. Vor dem Export weisen wir Sie darauf hin und bieten Ihnen an, das PDF ohne diese Beilage zu erzeugen.

8.6 Missbrauchsschutz. Zum Schutz vor automatisierten Zugriffen setzen wir Cloudflare Turnstile ein (Abschnitt 9.2).

8.7 Kostenpflichtiger Erwerb. Der Erwerb der im Lebenslauf-Baukasten erzeugten PDF-Datei ist kostenpflichtig; eine Bezahlung mit Daten findet nicht statt. Hierfür verarbeiten wir zusätzlich zu den Angaben nach 8.1 Ihre im Bezahlvorgang angegebene E-Mail-Adresse sowie die Zahlungsdaten, die Sie bei unserem Zahlungsdienstleister eingeben (Abschnitt 9.4). Über den Kauf erstellen wir eine Bestell-Aufzeichnung mit einer Bestellnummer, dem Bezug zur Zahlung, Ihrer E-Mail-Adresse, der Fassung der bestätigten Vertragstexte und dem Nachweis Ihrer im Kaufschritt erteilten Zustimmung zum sofortigen Beginn der Bereitstellung. Die gesetzlich vorgeschriebene Bestätigung des Vertrages (§ 312f BGB) senden wir an diese E-Mail-Adresse, bevor wir Ihnen die Datei bereitstellen. Rechtsgrundlagen sind die Erfüllung des Kaufvertrages (Art. 6 Abs. 1 lit. b DSGVO) und die Erfüllung unserer gesetzlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Die Speicherfristen ergeben sich aus Abschnitt 11.

9.1 Arbeitgeber. Im Namen des Nutzers und auf Grundlage der erteilten Vollmacht übermitteln wir die Bewerbungsunterlagen an die vom Arbeitgeber für Bewerbungen bestimmten Adressen. Die Arbeitgeber sind hinsichtlich der empfangenen Daten eigenständig Verantwortliche. Mit Eingang der Bewerbung unterliegt deren weitere Verarbeitung ihrer Verantwortung.

9.2 Auftragsverarbeiter. Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO). Mit ihnen bestehen Auftragsverarbeitungsverträge:

• Vercel Inc.: Hosting und Betrieb der Anwendung. Die Anwendung wird in der Region Frankfurt (fra1) in der Europäischen Union ausgeführt. Der Anbieter hat seinen Sitz in den USA; ein Zugriff aus den USA im Rahmen von Betrieb und Support ist nicht ausgeschlossen. Abgesichert über den EU-US Data Privacy Framework und ergänzend über Standardvertragsklauseln.

• Supabase: Datenbank und Dateispeicher. Die Ablage der Daten erfolgt in der Europäischen Union. Vertragspartner und Empfänger der Standardvertragsklauseln ist die Supabase Pte. Ltd mit Sitz in Singapur. Die Supabase Inc. mit Sitz in den Vereinigten Staaten ist Unterauftragsverarbeiterin für Unterstützungsleistungen. Nach den Angaben des Anbieters sind zu Betriebs- und Unterstützungszwecken Übermittlungen in die Vereinigten Staaten und nach Singapur möglich. Abgesichert über Standardvertragsklauseln (Modul 2, ergänzt um Modul 3, wo der Anbieter als Auftragsverarbeiter eines Auftragsverarbeiters auftritt).

• Google Cloud (Vertex AI): Entfernung der besonderen Kategorien nach Art. 9 aus dem verarbeiteten Text mittels Google Gemini. Verarbeitung in der EU-Multiregion (Region eu), Vertragspartner ist die Google Cloud EMEA Limited (Irland). Abgesichert über das Google Cloud Data Processing Addendum, keine Trainingsnutzung.

• Anthropic PBC: KI-gestützte Erstellung der Unterlagen, Erstellung des Lebenslaufs im Baukasten sowie Firmensuche und Adress-Ermittlung. Übermittelt werden die zuvor bereinigten Daten, bei einer Änderung im Lebenslauf-Editor zusätzlich der Inhalt Ihres Lebenslaufs in der dort geführten Fassung (Abschnitt 8.3). Verarbeitung in den USA, abgesichert über Standardvertragsklauseln und eine Transfer-Folgenabschätzung, keine Trainingsnutzung.

• Google Ireland Limited (Google Maps Platform, Dienst Places): Ermittlung örtlicher Betriebe, wenn als Stellenart Minijob oder Aushilfe gewählt ist. Übermittelt werden allein der Suchbegriff für den Betriebstyp sowie Koordinaten und Umkreis des von Ihnen gewählten Suchgebiets; Angaben aus Ihrem Lebenslauf und Bewerbungsinhalte werden nicht übermittelt. Der Abruf erfolgt von unseren Servern über den globalen Endpunkt des Anbieters, die Verarbeitung findet auch in den USA statt; abgesichert über den EU-US Data Privacy Framework und ergänzend über Standardvertragsklauseln im Google Cloud Data Processing Addendum. Die Ortssuche in der Oberfläche nach Abschnitt 9.5 ist davon nicht berührt; sie läuft unverändert vollständig bei uns.

• Cloudflare, Inc.: Schutz vor automatisierten Zugriffen und Missbrauch mittels Cloudflare Turnstile. Verarbeitet werden dabei Ihre IP-Adresse, Angaben zu Browser und Endgerät, Merkmale der verschlüsselten Verbindung sowie die aufgerufene Seite. Es findet keine Wiedererkennung über Websites hinweg und keine Nutzung zu Werbezwecken statt. Cloudflare verarbeitet diese Daten zugleich in eigener Verantwortung zur Verbesserung der Erkennung automatisierter Zugriffe. Verarbeitung in den USA und im weltweiten Netz des Anbieters, abgesichert über den EU-US Data Privacy Framework und ergänzend über Standardvertragsklauseln.

• Upstash: technische Ablaufsteuerung der Hintergrundverarbeitung in der EU-Region Frankfurt. Übermittelt werden Auftrags- und Zustandsangaben. Dazu gehören technische Kennungen, Zähler und Firmendaten sowie, für die Erinnerungs- und Pausenschritte einer laufenden Kampagne, Ihr Name, Ihre E-Mail-Adresse und der Zugangsschlüssel Ihrer Statusseite. Diese Angaben werden für die Dauer des jeweiligen Ablaufs vorgehalten, längstens bis zur Löschung der Kampagne. Ihre Bewerbungsinhalte, Ihr Lebenslauf und Ihre Anlagen werden nicht übermittelt. Da die verwendeten Kennungen einem Vorgang und damit mittelbar einer Person zugeordnet werden können, behandeln wir auch diese Verarbeitung als Auftragsverarbeitung nach Art. 28 DSGVO. Abgesichert über den EU-US Data Privacy Framework und ergänzend über Standardvertragsklauseln.

• Resend: Versand unserer System- und Bestätigungs-E-Mails sowie der im Lebenslauf-Baukasten gekauften PDF-Datei, die wir Ihnen als Anhang an die von Ihnen angegebene Adresse senden. Nach der eigenen Angabe des Anbieters im Auftragsverarbeitungsvertrag findet die Verarbeitung vorrangig in den USA statt. Abgesichert über den EU-US Data Privacy Framework, ergänzend über Standardvertragsklauseln und eine eigene Transfer-Folgenabschätzung. Übermittelt werden Ihre E-Mail-Adresse, der Inhalt der jeweiligen System-Nachricht und, im Fall des Baukastens, die von Ihnen gekaufte PDF-Datei. Bewerbungsunterlagen aus einer Kampagne werden nicht über diesen Weg versendet; sie gehen ausschließlich über Ihr eigenes Postfach hinaus.

• Zoho: Betrieb unserer geschäftlichen E-Mail-Postfächer (@bewerbling.de) für die Kommunikation mit Ihnen. Die Verarbeitung erfolgt in einem Rechenzentrum in der Europäischen Union. In einzelnen Fällen kann zu Zwecken des technischen Supports aus Indien auf Daten zugegriffen werden, abgesichert über Standardvertragsklauseln innerhalb der Zoho-Gruppe.

• Google Workspace: Ablage unserer Geschäftsunterlagen in Google Drive. Verarbeitung in der EU und in den USA, abgesichert über den EU-US Data Privacy Framework und ergänzend über Standardvertragsklauseln.

Der E-Mail-Anbieter des Nutzers (Google beziehungsweise Microsoft) stellt dessen eigenen Postfachdienst für den Versand bereit und ist insoweit nicht unser Auftragsverarbeiter.

9.3 Nutzung der Postfach-Schnittstellen von Google und Microsoft (Sendefunktion). Für den Versand der Bewerbungen aus dem eigenen Postfach des Nutzers verwenden wir die Gmail-API von Google und fordern dabei ausschließlich die Sendeberechtigung an (OAuth-Scope gmail.send). Wir haben keinen Lesezugriff auf das Postfach, die Nachrichten oder die Kontakte des Nutzers. Das verschlüsselt gespeicherte Sende-Token verwenden wir allein zur Bereitstellung dieser Versandfunktion. Wir verwenden Informationen aus Google-Diensten nicht für Werbung, verkaufen sie nicht und übertragen sie nicht an Dritte. Eine Einsichtnahme durch Menschen erfolgt nicht, es sei denn mit Ihrer Einwilligung, aus Sicherheits- oder Missbrauchsgründen oder soweit gesetzlich vorgeschrieben. Eine Nutzung zum Training verallgemeinerter KI- oder ML-Modelle findet nicht statt. Unsere Nutzung der von Google-APIs empfangenen Informationen entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen: „Use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.“ Sie können den erteilten Zugriff jederzeit widerrufen, über die Sicherheitseinstellungen Ihres Google-Kontos oder über die Trennung der Verbindung in unserem Dienst.

Verbinden Sie ein Postfach bei Microsoft (Outlook oder Microsoft 365), verwenden wir die Microsoft-Graph-Schnittstelle. Wir fordern dabei die Berechtigung zum Senden (Mail.Send), die Berechtigung zum Erneuern der Anmeldung im Hintergrund (offline_access) sowie das Lesen Ihres Namens und Ihrer E-Mail-Adresse aus Ihrem Konto (openid, email, User.Read) an. Einen Lesezugriff auf Ihr Postfach, Ihre Nachrichten oder Ihre Kontakte fordern wir nicht an und haben ihn nicht. Auch dieses Sende-Token speichern wir verschlüsselt und verwenden es allein für den Versand. Sie können den Zugriff jederzeit in den Sicherheitseinstellungen Ihres Microsoft-Kontos oder über die Trennung der Verbindung in unserem Dienst widerrufen.

9.4 Zahlungsdienstleister und Bezahlfunktionen (eigenständig Verantwortliche). Die Zahlungsabwicklung erfolgt über Stripe. Stripe verarbeitet die Zahlungsdaten zur Durchführung der Zahlung sowie zur Erfüllung eigener gesetzlicher und aufsichtsrechtlicher Pflichten (insbesondere Zahlungsdiensteaufsicht, Geldwäscheprävention und Betrugsbekämpfung) als eigenständig Verantwortlicher; es gelten insoweit die Datenschutzhinweise von Stripe. Die mit der Zahlung verbundene Übermittlung in die USA ist über den EU-US Data Privacy Framework und ergänzend über Standardvertragsklauseln abgesichert. Nutzen Sie eine Bezahlfunktion Ihres Endgeräts, etwa Google Pay oder Apple Pay, so tritt zusätzlich der jeweilige Anbieter dieser Bezahlfunktion als eigenständig Verantwortlicher hinzu; er verarbeitet Ihre bei ihm hinterlegten Zahlungsmittel und übergibt uns beziehungsweise unserem Zahlungsdienstleister allein eine Freigabe, nicht Ihre Kartendaten. Es gelten insoweit die Datenschutzhinweise des jeweiligen Anbieters. Wählen Sie einen von Klarna angebotenen Zahlungsaufschub, so ist die Klarna Bank AB (publ) für die dortige Verarbeitung eigenständig verantwortlich; sie prüft dazu Ihre Identität und Ihre Zahlungsfähigkeit. Wir erhalten dabei weder Ihre Bonitätsauskunft noch die Einzelheiten dieser Prüfung, sondern allein die Mitteilung, ob die Zahlung zustande gekommen ist. Es gelten die Datenschutzhinweise von Klarna. Diese Zahlungsart bieten wir erst an, sobald sie im Dienst ausgewiesen ist.

9.5 Kartendarstellung bei der Ortsauswahl. Im Schritt zur Auswahl Ihrer Suchorte zeigen wir eine Karte an. Den Kartenstil und die Kartenausschnitte lädt Ihr Browser dabei unmittelbar von Geoapify (KEPTAGO LTD, Paphos, Zypern); die Kartendaten beruhen auf OpenStreetMap. Übertragen werden dabei Ihre IP-Adresse, die Angaben Ihres Browsers und die Koordinaten des angeforderten Kartenausschnitts, der Rückschlüsse auf die von Ihnen gesuchte Region zulässt. Bewerbungs- und Inhaltsdaten werden nicht übertragen. Ihr Browser spricht dabei ausschließlich den EU-Endpunkt des Anbieters an. Nach dessen Angaben werden diese Anfragen innerhalb der Europäischen Union verarbeitet, und auch die dafür eingesetzten Dienstleister sitzen in der Europäischen Union. Eine Übermittlung in ein Drittland findet für die Kartendarstellung nicht statt. Der Anbieter ist dabei unser Auftragsverarbeiter; Grundlage ist der von ihm bereitgestellte Auftragsverarbeitungsvertrag. Zusätzlich ist das technisch abgesichert: Die Sicherheitsvorgaben unserer Website erlauben Ihrem Browser für die Karte ausschließlich diese eine Adresse. Nach Angaben des Anbieters werden die Daten einer Anfrage zur Zugriffskontrolle und zur Zählung der Nutzung in der Regel nicht länger als 24 Stunden gespeichert, in Ausnahmefällen zur Fehlersuche, zur Missbrauchsprävention und zur Betriebssicherheit bis zu zwei Monate. Rechtsgrundlage ist unser berechtigtes Interesse an einer verständlichen Darstellung des von Ihnen gewählten Suchgebiets (Art. 6 Abs. 1 lit. f DSGVO). Das Kartenprogramm selbst liefern wir von unseren eigenen Servern aus, und die Suche nach Orten läuft vollständig bei uns; dafür werden keine Daten an Dritte übermittelt.

9.6 Weitere Empfänger. Darüber hinaus geben wir personenbezogene Daten nur weiter, soweit wir gesetzlich dazu verpflichtet sind oder es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, etwa gegenüber Steuerberatung, Rechtsberatung oder Behörden.

Zur Vermittlung von Bewerbungen verarbeiten wir Arbeitgeber- und Kontaktdaten, die wir nicht bei der betroffenen Person, sondern aus öffentlich zugänglichen Quellen beziehen, insbesondere aus allgemeiner Websuche und von Unternehmenswebsites (Impressum sowie Kontakt- und Karriereseiten).

Verarbeitet werden dabei: Name des Unternehmens, Internet-Domain, die für Bewerbungen vorgesehenen oder rollenbasierten E-Mail-Adressen, Angaben aus Stellenausschreibungen sowie gegebenenfalls Name und Funktion einer dort ausdrücklich für Bewerbungen benannten Ansprechperson. Diese Angaben werden zur Firmensuche und zur Ermittlung der Bewerbungsadresse an Anthropic in den USA übermittelt (Abschnitt 9.2). Rechtsgrundlage ist unser berechtigtes Interesse an der Vermittlung von Bewerbungen (Art. 6 Abs. 1 lit. f DSGVO). Wir versenden ausschließlich an Adressen des Unternehmens, die nicht auf eine bestimmte Person lauten, also an eine für Bewerbungen bestimmte Adresse oder an das allgemeine Kontaktpostfach, und nicht an persönliche Einzeladressen.

Die Information nach Art. 14 DSGVO für angeschriebene Unternehmen halten wir dauerhaft unter bewerbling.de/unternehmen zum Abruf bereit. Sie beschreibt, welche Angaben wir verarbeiten, woher sie stammen, wie lange wir sie speichern und wie ein Unternehmen der Kontaktaufnahme widersprechen kann.

Arbeitgeber können der Kontaktaufnahme jederzeit widersprechen. Dafür stehen zwei Wege offen: der Selbsteintrag unter bewerbling.de/arbeitgeber-opt-out, den das Unternehmen über einen an sein eigenes Postfach gesendeten Link bestätigt, oder eine formlose Nachricht an kontakt@bewerbling.de. Wir nehmen die betreffende Adresse oder Domain dann dauerhaft von der Kontaktaufnahme aus und führen sie zu diesem Zweck in einer Sperrliste (Abschnitt 11).

• Postfachverbindung: Löschung mit Abschluss der Kampagne, spätestens sieben Tage nach ihrer Erstellung. Ein dauerhaftes Nutzerkonto führen wir nicht. Ihre E-Mail-Adresse löschen wir aus dem Kampagnenzusammenhang, sobald zu ihr weder eine Kampagne noch ein Eintrag in der Liste der bereits kontaktierten Firmen-Domains besteht. Unberührt bleiben dabei die eigenen Fristen der weiter unten aufgeführten Nachweise und Aufzeichnungen, in denen Ihre Adresse gesondert geführt wird, nämlich Einwilligungs- und Widerrufsnachweise, eine Bestellung im Lebenslauf-Baukasten, Ihre Korrespondenz mit uns sowie die Zahlungs- und Rechnungsdaten. Wegen dieser Liste, die doppelte Bewerbungen bei demselben Arbeitgeber verhindert, kann Ihre Adresse längstens zwölf Monate nach dem letzten Versand erhalten bleiben.

• Kampagnendaten (Lebenslauf, extrahierter Text, Suchprofil, erstellte Anschreiben und Motivationsschreiben sowie Entwürfe): Löschung sieben Tage nach Erstellung der Kampagne; bis dahin bleiben Ihnen Ihre Unterlagen auf der Statusseite zugänglich. Ausgenommen ist allein der Nachweis zur Geld-zurück-Garantie, dessen Frist weiter unten in diesem Abschnitt genannt ist.

• Postfach-Sende-Token: Löschung mit Abschluss der Kampagne, spätestens nach sieben Tagen.

• Nicht abgeschlossene, unbezahlte Vorgänge: Löschung nach zwei Stunden. Abgebrochene Postfach-Verbindungen werden nach 30 Minuten gelöscht.

• Versandprotokolle innerhalb einer Kampagne (Empfänger, Betreff, Status): Löschung mit der Kampagne, spätestens sieben Tage nach ihrer Erstellung. Ausgenommen sind allein die Angaben, die in den Nachweis zur Geld-zurück-Garantie eingehen.

• Nachweis zur Geld-zurück-Garantie: bis zum Ende des dritten Jahres nach dem Jahr, in dem die Kampagne abgeschlossen wurde. Gespeichert werden allein die bei Start der Kampagne gespeicherten Vorgaben, also die gewählte Art der Beschäftigung, die gewählten Orte mit dem eingestellten Umkreis oder die Wahl „Deutschlandweit“ und Ihr Freitext, sowie je versendeter Bewerbung Arbeitgeber, designierte Bewerbungsadresse, Art der Beschäftigung und Zeitpunkt der Absendung, ferner die Stellenbezeichnung, soweit der Bewerbung eine auf der Internetseite des Arbeitgebers veröffentlichte Stellenanzeige zugrunde lag. Einen Ort der Stelle enthält dieser Nachweis nicht. Ihre E-Mail-Adresse selbst speichern wir in diesem Nachweis nicht, sondern nur einen mit einem geheimen Schlüssel gebildeten Prüfwert; er dient allein dazu, Ihre Anfrage dem richtigen Nachweis zuzuordnen. Ging eine Bewerbung an ein Einzelunternehmen oder eine Gesellschaft bürgerlichen Rechts, überschreiben wir Arbeitgeber und Bewerbungsadresse bereits 90 Tage nach dem Versand, weil der Firmenname dort häufig der Name einer natürlichen Person ist; die übrigen Angaben bleiben für die genannte Frist bestehen. Bewerbungsinhalte, Lebenslauf, Anschreiben und Motivationsschreiben gehören nicht dazu und werden nach den vorstehenden Fristen gelöscht. Wir verwenden diesen Nachweis ausschließlich, um Reklamationen nach § 8 unserer AGB zu bearbeiten und Ansprüche abzuwehren. Unser berechtigtes Interesse liegt darin, die zugesagte Erstattung prüfen und Ansprüche innerhalb der gesetzlichen Verjährungsfrist verteidigen zu können. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (Abschnitt 15); wir prüfen dann, ob zwingende schutzwürdige Gründe überwiegen, wozu die Verteidigung von Rechtsansprüchen gehört. Aus demselben Grund bleibt dieser Nachweis auch dann bestehen, wenn Sie eine Löschung auslösen (Art. 17 Abs. 3 lit. e DSGVO).

• Sendeprotokoll je versendeter Bewerbung, ohne Bezug zu Ihnen und ohne Bewerbungsinhalte: dauerhaft. Es dient dem Nachweis gegenüber angeschriebenen Unternehmen und der Überwachung unserer eigenen Zusagen. Eine Angabe zu Ihrer Person enthält es nicht. Es enthält jedoch Firmenname, Domain und die Angaben zur Stellenanzeige; bei einem Einzelunternehmen oder einer Gesellschaft bürgerlichen Rechts sind das regelmäßig Angaben zu einer natürlichen Person, und insoweit beruht die Speicherung auf Art. 6 Abs. 1 lit. f DSGVO. Diese drei Angaben überschreiben wir 90 Tage nach dem Versand; erst danach ist das Protokoll vollständig anonym.

• Liste der bereits kontaktierten Firmen-Domains zur Vermeidung doppelter Bewerbungen: zwölf Monate.

• Zwischengespeicherte rollenbasierte Bewerbungsadressen: 90 Tage.

• Server-, Zugriffs- und Fehlerprotokolle einschließlich IP-Adresse: 90 Tage. Danach werden sie gelöscht. Eine aggregierte Betriebsstatistik ohne Personenbezug wird dauerhaft geführt.

• Sperrliste widersprechender Arbeitgeber: dauerhaft, solange der Widerspruch gilt. Die Speicherung ist erforderlich, um den Widerspruch nach Art. 21 Abs. 3 DSGVO dauerhaft umzusetzen; gespeichert werden allein Adresse oder Domain und der Zeitpunkt des Widerspruchs.

• Sperrliste zur Missbrauchsabwehr: längstens drei Jahre. Wer den Dienst missbräuchlich nutzt, wird von der weiteren Nutzung ausgeschlossen. Gespeichert wird dabei kein Klartext, sondern allein ein nicht umkehrbarer Prüfwert Ihrer E-Mail-Adresse, der einen Abgleich, aber keine Rückrechnung erlaubt. Wurde die Sperre allein wegen wiederholt abgebrochener Kampagnen gesetzt, endet sie früher, nämlich sobald in den zurückliegenden zwölf Monaten nicht mehr genügend solcher Abbrüche stehen; die drei Jahre sind die äußere Grenze und entsprechen der regelmäßigen Verjährung. Eine Löschung dieses Eintrags würde die Sperre aufheben; die Speicherung ist bis zum Ablauf dieser Frist zur Geltendmachung und Verteidigung von Rechtsansprüchen erforderlich und deshalb nach Art. 17 Abs. 3 lit. e DSGVO von der Löschpflicht ausgenommen.

Aus demselben Grund bleibt auch der Zähler selbst abgebrochener Vorgänge bestehen und wird nicht entfernt, wenn Sie eine Löschung auslösen; er besteht allein aus einem nicht umkehrbaren Prüfwert Ihrer E-Mail-Adresse und einem Zeitpunkt und wird zwölf Monate nach dem Abbruch gelöscht. Denselben Zeitraum wertet die Entscheidung über eine Sperre aus, ältere Einträge haben für sie keine Bedeutung mehr. Über jede Sperre und jede Aufhebung führen wir außerdem eine Aufzeichnung mit Zeitpunkt, Art und Grund; nach drei Jahren ersetzen wir darin den Prüfwert Ihrer Adresse durch einen Platzhalter, so dass die Aufzeichnung als Nachweis erhalten bleibt, sich Ihnen aber nicht mehr zuordnen lässt. Ebenso bleibt der Vermerk über einen bereits ausgegebenen Belohnungscode bei einer von Ihnen ausgelösten Löschung bestehen; für ihn gilt gleichwohl die weiter unten genannte Frist von 36 Monaten.

• E-Mail-Korrespondenz und Support-Anfragen: Nachrichten aus unserem Kontaktformular speichern wir nicht in unseren Systemen. Das Formular leitet Ihre Nachricht unmittelbar an unser geschäftliches Postfach weiter und bestätigt Ihnen den Eingang; Ihr Anliegen liegt danach allein als E-Mail in diesem Postfach. Dort bewahren wir es sieben Jahre auf und löschen es anschließend. Diese Frist folgt der handels- und steuerrechtlichen Aufbewahrungspflicht für Handels- und Geschäftsbriefe von sechs Jahren zuzüglich des laufenden Kalenderjahres, weil die Frist erst mit dessen Schluss zu laufen beginnt (§ 257 Abs. 4 und 5 HGB, § 147 Abs. 3 und 4 AO). Wir wenden sie einheitlich auf alle Nachrichten an, weil sich aufbewahrungspflichtige und sonstige Nachrichten in einem Postfach nicht verlässlich trennen lassen. An unser Datenschutzpostfach gerichtete Anliegen löschen wir abweichend drei Jahre nach Abschluss des Vorgangs.

• Einwilligungsnachweise: drei Jahre zum Nachweis der erteilten Einwilligungen.

• Widerrufsnachweise: drei Jahre. Wir verwenden sie ausschließlich zur Abwicklung des Widerrufs und zur Verteidigung von Rechtsansprüchen. Aus diesem Grund bleibt der Nachweis bestehen, wenn Sie eine Löschung auslösen (Art. 17 Abs. 3 lit. e DSGVO).

• Freiwillige Rückmeldungen einschließlich freier Textantworten: 24 Monate ab Abgabe, danach automatische Löschung.

• Nachweis über einen bereits ausgegebenen Belohnungscode: 36 Monate. Gespeichert wird allein ein nicht umkehrbarer Prüfwert Ihrer E-Mail-Adresse, damit derselbe Code nicht mehrfach ausgegeben wird. Ebenso lange und in derselben Form halten wir den Vermerk, dass Sie den Lebenslauf-Baukasten bereits bewertet haben, damit wir Ihnen dieselbe Frage nicht zweimal stellen.

• Zahlungs- und Rechnungsdaten: im Rahmen der gesetzlichen Aufbewahrungsfristen, nämlich acht Jahre für Buchungsbelege (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB) und zehn Jahre für Handelsbücher und Jahresabschlüsse. Die Frist beginnt jeweils mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist.

• Kennung eines eingelösten Rabattcodes sowie die Zahlungsreferenz in unserer Laufstatistik: acht Jahre ab Beginn des Laufs. Danach entfernen wir allein diese beiden Angaben; die Statistikzeile selbst bleibt bestehen und enthält dann keinen Bezug mehr zu Ihnen. Die Frist entspricht der Aufbewahrungspflicht für Buchungsbelege nach § 147 Abs. 3 Satz 1 AO und § 257 Abs. 4 HGB, weil eine Abrechnung über einen Rabatt oder eine Provision selbst aufbewahrungspflichtig ist.

• Bestellung im Lebenslauf-Baukasten (E-Mail-Adresse, Betrag, Zahlungsreferenz und die dazu erteilte Einwilligung): drei Jahre.

• Prüfwert der von uns ausgelieferten PDF-Dateien: drei Jahre. Gespeichert werden ein nicht umkehrbarer Prüfwert der Datei, ihre Art, ihre Größe, der Zeitpunkt der Ausgabe und eine Kennung der zugehörigen Bestellung oder Kampagne, nicht aber der Inhalt der Datei. Der Prüfwert dient dem Nachweis, dass eine später vorgelegte Datei tatsächlich von uns stammt (Art. 6 Abs. 1 lit. f DSGVO).

• Lebenslauf-Baukasten: keine Speicherung auf unseren Servern. Entwürfe und Foto verbleiben in Ihrem Endgerät und werden gelöscht, sobald Sie den Speicher Ihres Browsers leeren.

• Anonyme Tageszähler der Reichweiten- und Nachfragestatistik: unbefristet. Diese Zahlen haben keinen Personenbezug, sie lassen sich weder Ihnen noch einem anderen Menschen zuordnen; eine Löschfrist liefe deshalb ins Leere. Einzelheiten in Abschnitt 12.

Sicherungskopien: Von unserer Datenbank erstellen wir täglich eine verschlüsselte Sicherung und bewahren sie sieben Tage auf. Eine gelöschte Angabe verschwindet deshalb spätestens sieben Tage nach der Löschung auch aus allen Sicherungen.

Wir verwenden ausschließlich Cookies und vergleichbare Speichertechniken, die für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Rechtsgrundlage für die Speicherung und den Zugriff ist § 25 Abs. 2 Nr. 2 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO. Eine Einwilligung ist hierfür nicht erforderlich.

Im Einzelnen sind dies: ein Cookie zur Aufrechterhaltung Ihrer Sitzung, ein Cookie von Cloudflare Turnstile zur Erkennung automatisierter Zugriffe sowie im Lebenslauf-Baukasten die Ablage Ihrer Entwürfe, Ihres Fotos und der erfassten Angaben im lokalen Speicher Ihres Browsers und die kurzzeitige Übergabe des erzeugten PDF über die Browser-Datenbank (IndexedDB). Hinzu kommen Ihre Wahl zwischen hellem und dunklem Erscheinungsbild, der Vermerk, dass Ihnen der einmalige Begrüßungshinweis auf der Statusseite bereits gezeigt wurde, und im Lebenslauf-Baukasten der Nachweis der bestandenen Prüfung auf automatisierte Zugriffe (elf Stunden), der Stand der Einführung sowie Bedienzustände wie die Breite der Seitenleiste und die Position des Assistenten. Wechseln Sie aus dem Bewerbungs-Ablauf in den Lebenslauf-Baukasten, halten wir Ihre bis dahin gewählten Orte und Ihre Suchrichtung für vier Stunden im Sitzungsspeicher Ihres Browsers vor, damit sie bei der Rückkehr wieder dastehen; mit dem Schließen des Browser-Tabs verfällt dieser Zwischenstand.

Analyse- und Marketing-Werkzeuge von Drittanbietern setzen wir nicht ein. Es gibt bei uns kein Google Analytics, keine Zählpixel von Meta, TikTok oder vergleichbaren Anbietern, kein Retargeting und keine Aufzeichnung Ihrer Sitzung. Sollten wir solche Werkzeuge künftig nutzen, geschieht dies ausschließlich auf Grundlage Ihrer zuvor über einen Einwilligungsbanner erteilten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die eingesetzten Werkzeuge, ihre Anbieter und etwaige Drittlandübermittlungen führen wir dann an dieser Stelle auf.

Wir führen jedoch eine eigene, anonyme Zählung, die ohne jeden Zugriff auf Ihr Endgerät auskommt. Auf unserem Server erhöhen wir dabei ausschließlich Tageszähler, etwa wie oft eine bestimmte Seite an einem Tag aufgerufen wurde. Gespeichert werden nur ein fester Name aus einer in unserer Software hinterlegten Liste, das Datum ohne Uhrzeit und eine Zahl. Es entsteht dabei kein Cookie, kein Eintrag im Speicher Ihres Browsers, keine Kennung, keine Sitzung, kein Fingerabdruck Ihres Geräts und keine Speicherung Ihrer IP-Adresse. Zwei Aufrufe derselben Person sind für uns von zwei Aufrufen zweier Personen nicht unterscheidbar. Weil dabei weder Informationen auf Ihrem Endgerät gespeichert noch aus ihm ausgelesen werden, greift § 25 TDDDG nicht; und weil kein Personenbezug entsteht, handelt es sich um anonyme Statistik im Sinne von Erwägungsgrund 26 der Datenschutz-Grundverordnung. Ein Einwilligungsbanner ist dafür nicht erforderlich.

Auf diese Weise zählen wir: Aufrufe einzelner öffentlicher Seiten, Abbruchstellen im Bewerbungs-Assistenten, bei einer kostenpflichtigen Beauftragung die gewählte Art der Stelle, den gewählten Umkreis und das Bundesland der gewählten Orte, Klicks auf eigene Kurzlinks aus Werbemaßnahmen sowie die Kategorie der Seite, über die Sie zu uns gekommen sind. Für diese Kategorie übermittelt Ihr Browser ausschließlich den Servernamen der verweisenden Seite, niemals deren vollständige Adresse; wir ordnen ihn einer von vier Kategorien zu, nämlich Suchmaschine, soziales Netzwerk, direkter Aufruf oder sonstige Seite, und speichern allein diese Kategorie. Was Sie in das Freitextfeld zu Ihrem Berufswunsch schreiben, wertet diese Statistik ausdrücklich nicht aus.

Ihre Kern- und Bewerbungsdaten werden in der Europäischen Union gespeichert (Supabase und Vercel, Region Frankfurt). Die Entfernung der besonderen Kategorien nach Art. 9 erfolgt im EU-Raum über Google Cloud Vertex AI (Google Gemini, Region eu).

Übermittlungen in Drittländer bestehen bei folgenden Empfängern:

• Anthropic PBC: das bereinigte Suchprofil und der bereinigte Text zur Erstellung der Unterlagen sowie zur Firmensuche und Adress-Ermittlung, dazu im Lebenslauf-Baukasten der Inhalt des dort erstellten Lebenslaufs, wenn Sie ihn im Editor ändern lassen (Abschnitt 8.3). Der ursprüngliche Lebenslauf-Text, die Datei, ein etwaiges Foto und weitere beigefügte Anlagen verlassen die EU nicht und werden Anthropic nicht übermittelt. Grundlage sind Standardvertragsklauseln und eine Transfer-Folgenabschätzung.

• Google Maps Platform (Dienst Places): Ermittlung örtlicher Betriebe bei der Stellenart Minijob oder Aushilfe über den globalen Endpunkt des Anbieters; die Verarbeitung findet auch in den USA statt. Übermittelt werden allein Suchbegriff, Koordinaten und Umkreis des Suchgebiets. Grundlage sind der EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln.

• Cloudflare, Inc.: Verbindungsdaten im Rahmen des Schutzes vor automatisierten Zugriffen. Grundlage sind der EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln.

• Vercel Inc.: möglicher Zugriff aus den USA im Rahmen von Betrieb und Support. Grundlage sind der EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln.

• Zoho: Betrieb unserer geschäftlichen Postfächer in einem Rechenzentrum in der Europäischen Union. In einzelnen Fällen ist ein Zugriff aus Indien zu Zwecken des technischen Supports möglich. Grundlage sind Standardvertragsklauseln innerhalb der Zoho-Gruppe.

• Google Workspace: Ablage unserer Geschäftsunterlagen. Grundlage sind der EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln.

• Upstash: Ablaufsteuerung; die Verarbeitung erfolgt in der EU-Region Frankfurt, ein Zugriff aus den USA im Rahmen von Betrieb und Support ist nicht ausgeschlossen. Grundlage sind der EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln.

• Stripe: Zahlungsabwicklung. Grundlage sind der EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln.

• Supabase: Datenbank und Dateispeicher. Die Ablage der Daten erfolgt in der Europäischen Union; Vertragspartner und Empfänger der Standardvertragsklauseln ist eine Gesellschaft in Singapur, eine Gesellschaft in den Vereinigten Staaten ist als Unterauftragsverarbeiterin für Unterstützungsleistungen eingebunden. Zu Betriebs- und Unterstützungszwecken sind Übermittlungen in die Vereinigten Staaten und nach Singapur möglich. Für Singapur besteht kein Angemessenheitsbeschluss; Grundlage sind die Standardvertragsklauseln.

• Resend: Versand unserer System- und Bestätigungs-E-Mails, nach eigener Angabe des Anbieters vorrangig in den USA. Grundlage sind der EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln und eine eigene Transfer-Folgenabschätzung.

Für alle Drittlandübermittlungen stellen wir durch geeignete Garantien nach Art. 46 DSGVO oder einen Angemessenheitsbeschluss ein angemessenes Schutzniveau sicher.

Eine Kopie der von uns verwendeten Standardvertragsklauseln erhalten Sie auf Anfrage unter datenschutz@bewerbling.de.

Ihnen stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21, Einzelheiten in Abschnitt 15) zu sowie das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Dies betrifft auch die Einwilligung in besondere Kategorien nach Art. 9. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@bewerbling.de. Wir antworten unverzüglich, spätestens innerhalb eines Monats.

Für die Auskunft nach Art. 15 und die Löschung nach Art. 17 steht Ihnen zusätzlich ein Selbstbedienungsweg unter bewerbling.de/meine-daten offen. Sie bestätigen dort Ihre E-Mail-Adresse über einen Link, den wir Ihnen an eben diese Adresse senden, und erhalten die Auskunft unmittelbar oder lösen die Löschung selbst aus. Der Weg über datenschutz@bewerbling.de bleibt davon unberührt und steht Ihnen unverändert offen, insbesondere für die Berichtigung und die Einschränkung der Verarbeitung.

Ihnen steht ferner ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Nach Art. 77 Abs. 1 DSGVO können Sie sich an die Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO). Legen Sie Widerspruch ein, verarbeiten wir die betreffenden Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für einen Widerspruch genügt eine formlose Nachricht an datenschutz@bewerbling.de. Angeschriebene Unternehmen erreichen uns auch unter kontakt@bewerbling.de und können sich unter bewerbling.de/arbeitgeber-opt-out selbst dauerhaft von der Kontaktaufnahme ausnehmen.

Die für Erstellung und Versand der Bewerbungen erforderlichen Daten sind für die Nutzung des Dienstes notwendig. Ohne sie können wir die Leistung nicht erbringen. Eine gesetzliche oder vertragliche Pflicht zur Bereitstellung besteht nicht; Sie entscheiden frei, ob Sie den Dienst nutzen. Optionale Angaben wie Foto, Geburtsdatum, Nationalität und Familienstand sind freiwillig und haben keinen Einfluss auf die Erbringung der Leistung.

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten zu schützen. Dazu gehören die verschlüsselte Übertragung über TLS, die zusätzliche anwendungsseitige Verschlüsselung der Lebenslauf-Datei und des Sende-Tokens, die Beschränkung des Postfach-Zugriffs auf das Senden, die Begrenzung der Zugriffsrechte auf das Erforderliche sowie Maßnahmen gegen automatisierte und missbräuchliche Zugriffe.

Beabsichtigen wir, Ihre Daten für einen anderen Zweck zu verarbeiten als denjenigen, für den sie erhoben wurden, informieren wir Sie vor dieser Weiterverarbeitung über den neuen Zweck und stellen Ihnen alle weiteren maßgeblichen Informationen zur Verfügung (Art. 13 Abs. 3 und Art. 14 Abs. 4 DSGVO).

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitungstätigkeiten ändern. Es gilt die jeweils aktuelle, auf unserer Website veröffentlichte Fassung. Fassung und Stand sind oben angegeben.