Datenschutzerklärung

1. Welche Daten verarbeitet werden und warum

Der Bewerbungsmanager (nachfolgend „die Anwendung") unterstützt bei der Organisation des eigenen Bewerbungsprozesses. Verarbeitet werden dabei:

• Anmeldung: Bei der Anmeldung über Google werden Name, E-Mail-Adresse, Profilbild und die Kontokennung des Google-Kontos verarbeitet, um den Zugang zu ermöglichen. Darüber hinaus erhält die Anwendung keinen Zugriff auf das Google-Konto und speichert keine Zugangsschlüssel von Google. Das Profilbild wird nicht in der Anwendung abgelegt, sondern als Verweis auf Googles Server gespeichert: Ihr Browser lädt es bei der Anzeige direkt von Google, der dabei Ihre IP-Adresse erhält. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).
• Bewerbungsdaten: Selbst eingegebene Inhalte — Unternehmen, Stellen, Notizen, Kontakte, manuell protokollierte E-Mails (Betreff, Vorschau, Link), Anschreiben sowie das Karriereprofil samt Lebenslaufdaten. Dazu die hochgeladenen Dokumente (Lebenslauf, Zeugnisse und was Du sonst zu einer Stelle ablegst). Eingegebene Ansprechpartner werden dabei als dauerhafte, stellenübergreifende Kontakt-Identität geführt und über verschiedene Stellen hinweg zusammengeführt, sodass ein wiederkehrender Kontakt als dieselbe Person erkennbar bleibt. Diese Zusammenführung wird ausschließlich aus den selbst eingegebenen Daten abgeleitet und verlässt das eigene Konto nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
• Daten aus früheren Funktionen: Frühere Versionen der Anwendung konnten mit Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) E-Mails aus Gmail lesen, Termine im Google-Kalender anlegen und Stellenvorschläge aus Job-Alert-Mails und einer Stellensuche übernehmen. Diese Funktionen sind entfernt, die dafür gespeicherten Daten gelöscht: die Zugangsschlüssel zu Google, keiner Bewerbung zugeordnete E-Mails (Absender, Betreff, Auszug des Nachrichtentexts), die Einstufung der E-Mails und die nicht übernommenen Vorschläge der KI-Einordnung (Zusammenfassung, erkannte Termine und Ansprechpartner), die Stellenvorschläge samt KI-Bewertung, die Suchkriterien der Stellensuche im Karriereprofil und in den Einstellungen, die Kennungen der angelegten Kalendertermine sowie ein für die frühere KI-Entwurfsfunktion hinterlegter Anschreiben-Prompt. Ebenso gelöscht sind die Einträge dieser Funktionen und der früheren KI-Entwurfsfunktion in der Übersicht der KI-Aktionen samt ihrer Laufkennungen (darunter Betreff und Einstufung eingeordneter E-Mails sowie die Bewertung von Stellenvorschlägen). Aus den Sicherungskopien verschwinden sie mit deren turnusmäßigem Überschreiben (siehe Abschnitt 5). E-Mails, die einer Bewerbung zugeordnet wurden, bleiben in deren Verlauf: mit Betreff, Link und, als Vorschau, der damals von der KI erstellten Kurzfassung oder Einstufung. Auf Gmail und Kalender greift die Anwendung nicht mehr zu. Ist sie in Ihrem Google-Konto noch unter „Drittanbieter-Apps und -Dienste" aufgeführt, können Sie den Eintrag in den Kontoeinstellungen selbst entfernen; nutzen kann die Anwendung die Berechtigung ohne die gelöschten Zugangsschlüssel nicht mehr.
• KI-gestützte Analyse: Zum Auslesen und Aufbereiten von Stellenanzeigen und Lebenslauf-Texten (Vorbefüllen von Eingabefeldern) werden die dafür nötigen Inhalte (der Text der Stellenanzeige bzw. der eingefügte Lebenslauf-Text) an einen LLM-Dienstleister übermittelt (siehe Abschnitt 4). Rechtsgrundlage ist die Einwilligung bzw. das berechtigte Interesse an der Funktion (Art. 6 Abs. 1 lit. a / f DSGVO).
• Abruf von Stellenanzeigen: Wird eine Stellenanzeige über ihren Link angelegt oder nachträglich geladen, ruft der Server die angegebene Seite ab und wertet ihren Inhalt KI-gestützt aus (siehe oben); der aufbereitete Anzeigentext wird zur Bewerbung gespeichert. Stellenanzeigen können Angaben zu Ansprechpartnern enthalten (Name, E-Mail, Telefon) — diese Daten werden damit mitverarbeitet, obwohl sie nicht bei der betroffenen Person selbst erhoben wurden (Art. 14 DSGVO). Rechtsgrundlage ist das berechtigte Interesse an der Bewerbungsverwaltung (Art. 6 Abs. 1 lit. f DSGVO). Der Abruf erfolgt ausschließlich auf manuelle Auslösung hin.
• Technische Zugriffsdaten (IP-Adresse): Beim Aufruf der Anwendung verarbeitet der Server die IP-Adresse Ihres Geräts. Sie wird verwendet, um Schnittstellen, die ohne Anmeldung erreichbar sind, gegen automatisierten Missbrauch zu schützen und die Verfügbarkeit des Dienstes sicherzustellen. Rechtsgrundlage ist das berechtigte Interesse am sicheren und verfügbaren Betrieb sowie an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

2. Besondere Kategorien personenbezogener Daten

Bewerbungsunterlagen können besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO enthalten (z. B. Hinweise auf Gesundheit, Religion oder Gewerkschaftszugehörigkeit). Soweit solche Daten eingegeben und verarbeitet werden, erfolgt dies auf Grundlage der ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

3. Empfänger und Auftragsverarbeiter

Zur Bereitstellung der Anwendung werden folgende Dienstleister eingesetzt:

• Google (Google Ireland Ltd.): Anmeldung. Übertragen werden die zur Anmeldung erforderlichen Daten; beim Anzeigen des Profilbilds zusätzlich die IP-Adresse (siehe Abschnitt 1).
• OpenRouter: Vermittelt die KI-Anfragen an das jeweilige Sprachmodell und dient ausschließlich als Router. Übertragen werden die zur Analyse erforderlichen Inhalte (Stellentexte, eingefügte Lebenslauf-Texte); OpenRouter speichert diese nicht. Für den verwendeten Zugang ist Zero Data Retention erzwungen.
• Amazon Web Services (Bedrock) und Google Cloud (Vertex AI): Auf diese beiden — und ausschließlich diese — Anbieter ist das Routing beschränkt. Dort werden die eingesetzten Sprachmodelle ausgeführt — Modelle von Anthropic sowie, für das Auslesen von Stellenanzeigen, ein Google-Modell (Gemini); die übermittelten Inhalte werden im Rahmen der Zero-Data-Retention-Vorgabe nicht gespeichert.
• netcup GmbH: Hosting — Betrieb der Anwendung und der Datenbank auf einem Server in Deutschland.

4. Übermittlung in Drittländer

Bei der KI-Analyse können Daten an Empfänger in den USA übermittelt werden. Soweit eine Übermittlung in ein Drittland erfolgt, geschieht dies auf Grundlage geeigneter Garantien — insbesondere der Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) bzw. einer Zertifizierung nach dem EU-US Data Privacy Framework. Für die Anmeldung über Google und den Abruf des Profilbilds gilt das EU-US Data Privacy Framework.

5. Speicherdauer

Personenbezogene Daten werden gespeichert, solange das Nutzerkonto besteht, und nach dessen Löschung entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sicherungskopien (Backups) werden für einen begrenzten Zeitraum vorgehalten und turnusmäßig überschrieben.

Als stellenübergreifende Kontakt-Identität geführte Ansprechpartner werden darüber hinaus automatisch gelöscht, sobald keinerlei Bezug zu einer Bewerbung mehr besteht — das heißt, wenn weder eine Kontaktzuordnung noch eine Teilnahme an einer Gesprächsrunde die Person mehr referenziert (etwa weil die letzte zugehörige Stelle, Kontaktzuordnung oder Gesprächsteilnahme entfernt wurde). Ein verwaister Ansprechpartner bleibt somit nicht gespeichert (Art. 17 DSGVO).

Die zur Missbrauchsabwehr verarbeitete IP-Adresse (Abschnitt 1) wird von der Anwendung ausschließlich im Arbeitsspeicher und für höchstens eine Stunde vorgehalten. Sie wird von der Anwendung weder in der Datenbank gespeichert noch protokolliert und ist damit auch nicht Teil der Sicherungskopien.

6. Ihre Rechte

Im Rahmen der gesetzlichen Voraussetzungen bestehen folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine Nachricht an die oben genannte Kontaktadresse.

7. Beschwerderecht

Es besteht das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Sächsische Datenschutz- und Transparenzbeauftragte; die Beschwerde kann jedoch bei jeder Aufsichtsbehörde erhoben werden.

8. Google API Services – Limited Use

Die Nutzung der von Google empfangenen Informationen entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Verwendung (Limited Use). Von Google empfangen werden ausschließlich Name, E-Mail-Adresse, Profilbild und Kontokennung zur Anmeldung. Sie werden nur für die Anmeldung und die Anzeige im eigenen Konto verarbeitet, nicht an Dritte verkauft und nicht für Werbung verwendet.