Datenschutzerklärung

1. Welche Daten verarbeitet werden und warum

Der Bewerbungs-Manager (nachfolgend „die Anwendung") unterstützt bei der Organisation des eigenen Bewerbungsprozesses. Verarbeitet werden dabei:

• Anmeldung: Bei der Anmeldung über Google werden Name und E-Mail-Adresse des Google-Kontos verarbeitet, um den Zugang zu ermöglichen. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).
• Bewerbungsdaten: Selbst eingegebene Inhalte — Unternehmen, Stellen, Notizen, Kontakte, Anschreiben sowie das Karriereprofil samt Lebenslaufdaten. Dazu die hochgeladenen Dokumente (Lebenslauf, Zeugnisse und was Du sonst zu einer Stelle ablegst). Eingegebene Ansprechpartner werden dabei als dauerhafte, stellenübergreifende Kontakt-Identität geführt und über verschiedene Stellen hinweg zusammengeführt, sodass ein wiederkehrender Kontakt als dieselbe Person erkennbar bleibt. Diese Zusammenführung wird ausschließlich aus den selbst eingegebenen Daten abgeleitet und verlässt das eigene Konto nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
• Gmail- und Kalender-Anbindung: Wird ausschließlich auf manuelle Auslösung hin genutzt. Dabei werden E-Mail-Inhalte sowie Kalendertermine gelesen bzw. geschrieben, um eingehende Bewerbungs-E-Mails einzuordnen und Gesprächstermine zu synchronisieren. Rechtsgrundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die jederzeit mit Wirkung für die Zukunft widerrufen werden kann (Trennen der Google-Verbindung).
• KI-gestützte Analyse: Zur Klassifikation von E-Mails, zur Bewertung der Passung von Stellen, zur Erstellung von Anschreiben sowie zum Auslesen und Aufbereiten von Stellenanzeigen und Lebenslauf-Texten (Vorbefüllen von Eingabefeldern) werden relevante Inhalte (E-Mail-Texte, Stellentexte, Karriereprofil) an einen LLM-Dienstleister übermittelt (siehe Abschnitt 4). Rechtsgrundlage ist die Einwilligung bzw. das berechtigte Interesse an der Funktion (Art. 6 Abs. 1 lit. a / f DSGVO).
• Abruf von Stellenanzeigen: Wird eine Stellenanzeige über ihren Link angelegt oder nachträglich geladen, ruft der Server die angegebene Seite ab und wertet ihren Inhalt KI-gestützt aus (siehe oben); der aufbereitete Anzeigentext wird zur Bewerbung gespeichert. Stellenanzeigen können Angaben zu Ansprechpartnern enthalten (Name, E-Mail, Telefon) — diese Daten werden damit mitverarbeitet, obwohl sie nicht bei der betroffenen Person selbst erhoben wurden (Art. 14 DSGVO). Rechtsgrundlage ist das berechtigte Interesse an der Bewerbungsverwaltung (Art. 6 Abs. 1 lit. f DSGVO). Der Abruf erfolgt ausschließlich auf manuelle Auslösung hin.
• Suche nach Stellenanzeigen (Job-Check): Beim manuell ausgelösten Job-Check werden die im Karriereprofil hinterlegten gesuchten Rollen sowie die in den Einstellungen gepflegten Orte und der Umkreis als Suchkriterien an die öffentliche Jobsuche-Schnittstelle der Bundesagentur für Arbeit übermittelt, um passende Stellenanzeigen zu finden (siehe Abschnitt 3). Hinzu kommen technische Filter (Zeitraum, Angebotsart, Trefferanzahl). Weitere Daten — insbesondere Kontodaten und die eigenen Bewerbungen — werden nicht übertragen. Die Abfrage erfolgt vom Server aus; Ihre IP-Adresse wird dabei nicht an die Bundesagentur für Arbeit übermittelt. Diese Suche ist standardmäßig aktiv und kann in den Einstellungen unter „Stellensuche (Agentur für Arbeit)" dauerhaft abgeschaltet werden. Rechtsgrundlage ist das berechtigte Interesse an der Bewerbungsverwaltung (Art. 6 Abs. 1 lit. f DSGVO).
• Freigabe-Link: Optional kann ein read-only Gast-Link erzeugt werden, der einen reduzierten Pipeline-Überblick zeigt. Rechtsgrundlage ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO).
• Technische Zugriffsdaten (IP-Adresse): Beim Aufruf der Anwendung verarbeitet der Server die IP-Adresse Ihres Geräts. Sie wird verwendet, um Schnittstellen, die ohne Anmeldung erreichbar sind, gegen automatisierten Missbrauch zu schützen und die Verfügbarkeit des Dienstes sicherzustellen. Rechtsgrundlage ist das berechtigte Interesse am sicheren und verfügbaren Betrieb sowie an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

2. Besondere Kategorien personenbezogener Daten

Bewerbungsunterlagen können besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO enthalten (z. B. Hinweise auf Gesundheit, Religion oder Gewerkschaftszugehörigkeit). Soweit solche Daten eingegeben und verarbeitet werden, erfolgt dies auf Grundlage der ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

3. Empfänger und Auftragsverarbeiter

Zur Bereitstellung der Anwendung werden folgende Dienstleister eingesetzt:

• Google (Google Ireland Ltd.): Anmeldung sowie — bei aktivierter Verbindung — Gmail- und Kalender-Zugriff. Übertragen werden die zur Anmeldung und zur jeweiligen Funktion erforderlichen Daten.
• OpenRouter: Vermittelt die KI-Anfragen an das jeweilige Sprachmodell und dient ausschließlich als Router. Übertragen werden die zur Analyse erforderlichen Inhalte (E-Mail-Texte, Stellentexte, Karriereprofil); OpenRouter speichert diese nicht. Für den verwendeten Zugang ist Zero Data Retention erzwungen.
• Amazon Web Services (Bedrock) und Google Cloud (Vertex AI): Auf diese beiden — und ausschließlich diese — Anbieter ist das Routing beschränkt. Dort werden die eingesetzten Sprachmodelle ausgeführt — Modelle von Anthropic sowie, für die E-Mail-Klassifikation, ein Google-Modell (Gemini); die übermittelten Inhalte werden im Rahmen der Zero-Data-Retention-Vorgabe nicht gespeichert.
• Bundesagentur für Arbeit: Beim Job-Check wird die öffentliche Jobsuche-Schnittstelle der Bundesagentur für Arbeit abgefragt, um passende Stellenanzeigen zu finden. Übertragen werden ausschließlich Suchkriterien — die im Karriereprofil hinterlegten gesuchten Rollen, die in den Einstellungen gepflegten Orte und der Umkreis sowie technische Filter (Zeitraum, Angebotsart, Trefferanzahl). Es werden keine Kontodaten und keine Angaben zu Ihren Bewerbungen übermittelt. Die Abfrage findet nur statt, wenn Sie den Job-Check selbst auslösen; sie ist standardmäßig aktiv und lässt sich in den Einstellungen unter „Stellensuche (Agentur für Arbeit)" dauerhaft abschalten. Die Bundesagentur für Arbeit ist insoweit nicht Auftragsverarbeiterin, sondern für den Betrieb ihrer Schnittstelle eigenständig verantwortlich; ein Auftragsverarbeitungsvertrag ist dafür nicht erforderlich.
• netcup GmbH: Hosting — Betrieb der Anwendung und der Datenbank auf einem Server in Deutschland.

4. Übermittlung in Drittländer

Bei der KI-Analyse können Daten an Empfänger in den USA übermittelt werden. Soweit eine Übermittlung in ein Drittland erfolgt, geschieht dies auf Grundlage geeigneter Garantien — insbesondere der Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) bzw. einer Zertifizierung nach dem EU-US Data Privacy Framework. Im Rahmen des Google-Zugriffs gilt das EU-US Data Privacy Framework.

5. Speicherdauer

Personenbezogene Daten werden gespeichert, solange das Nutzerkonto besteht, und nach dessen Löschung entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sicherungskopien (Backups) werden für einen begrenzten Zeitraum vorgehalten und turnusmäßig überschrieben.

Als stellenübergreifende Kontakt-Identität geführte Ansprechpartner werden darüber hinaus automatisch gelöscht, sobald keinerlei Bezug zu einer Bewerbung mehr besteht — das heißt, wenn weder eine Kontaktzuordnung noch eine Teilnahme an einer Gesprächsrunde die Person mehr referenziert (etwa weil die letzte zugehörige Stelle, Kontaktzuordnung oder Gesprächsteilnahme entfernt wurde). Ein verwaister Ansprechpartner bleibt somit nicht gespeichert (Art. 17 DSGVO).

Die zur Missbrauchsabwehr verarbeitete IP-Adresse (Abschnitt 1) wird von der Anwendung ausschließlich im Arbeitsspeicher und für höchstens eine Stunde vorgehalten. Sie wird von der Anwendung weder in der Datenbank gespeichert noch protokolliert und ist damit auch nicht Teil der Sicherungskopien.

6. Ihre Rechte

Im Rahmen der gesetzlichen Voraussetzungen bestehen folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine Nachricht an die oben genannte Kontaktadresse.

7. Beschwerderecht

Es besteht das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Sächsische Datenschutz- und Transparenzbeauftragte; die Beschwerde kann jedoch bei jeder Aufsichtsbehörde erhoben werden.

8. Google API Services – Limited Use

Die Nutzung der von Google empfangenen Informationen entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Verwendung (Limited Use). Daten aus dem Gmail-Zugriff werden ausschließlich zur Bereitstellung der nutzersichtbaren Funktionen verarbeitet, nicht an Dritte verkauft und nicht für Werbung verwendet.