AVV

VERTRAG ZUR AUFTRAGSVERARBEITUNG (AVV)

gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)

wird geschlossen zwischen dem registrierten Unternehmen (Nutzer des Dashboards) – nachfolgend „Verantwortlicher“ genannt – und dem Plattformbetreiber DETAILFOKUSSIERT, Tobias Spelz, Hauptstr. 133A, 57271 Hilchenbach – nachfolgend „Auftragsverarbeiter“ genannt –.

§ 1 GEGENSTAND, ZWECK UND DAUER DER VERARBEITUNG

(1) Gegenstand und Zweck: Der Auftragsverarbeiter stellt dem Verantwortlichen auf branchenrundgang.de ein Bewerbermanagement-System (ATS / Dashboard) einschließlich Talent-Pool, plattforminterner Nachrichtenfunktion und E-Mail-Benachrichtigungen zur Verfügung. Die Verarbeitung umfasst das Erfassen, Speichern, Bereitstellen, Übermitteln, Sortieren, Anonymisieren und Löschen der über die Plattform eingehenden Bewerber- und Interessentendaten.

(2) Dauer: Der Vertrag wird auf unbestimmte Zeit geschlossen und endet automatisch mit der Löschung des Unternehmens-Accounts.

§ 2 ART DER DATEN UND KREIS DER BETROFFENEN PERSONEN

(1) Betroffene Personen: Personen, die sich über die Plattform auf Stellenausschreibungen des Verantwortlichen bewerben (mit oder ohne Nutzerkonto), sowie Personen, die sich in den Talent-Pool des Verantwortlichen eintragen.

(2) Art der personenbezogenen Daten: Stammdaten, Kontaktdaten, Bewerbungsdaten (Anschreiben, Lebenslauf, Zeugnisse und weitere Dokumente), Statusinformationen, interne Notizen des Verantwortlichen, plattforminterne Nachrichten zwischen Verantwortlichem und betroffener Person sowie die zugehörigen Zeitstempel.

§ 3 PFLICHTEN DES AUFTRAGSVERARBEITERS

(1) Weisung: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen. Der Hauptvertrag sowie die Nutzung des Dashboards gelten als Weisung.

(2) Verschwiegenheit: Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.

(3) Sicherheit & Unterstützung (Art. 32–36 DSGVO): Der Auftragsverarbeiter setzt angemessene technische und organisatorische Maßnahmen um, insbesondere Transportverschlüsselung (TLS), verschlüsselte Passwortspeicherung, zeilenbasierte Zugriffsbeschränkungen in der Datenbank (Row Level Security), rollenbasierte Zugriffsrechte, verpflichtende Zwei-Faktor-Authentifizierung für administrative Zugänge, Bot-Schutz der Formulare sowie Datensicherungen. Er unterstützt den Verantwortlichen im zumutbaren Rahmen bei Betroffenenanfragen und Datenschutz-Folgenabschätzungen.

(4) Meldepflicht bei Datenpannen: Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über ihm bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, die dessen Datenbestand betreffen.

(5) Nachweis- und Kontrollrechte: Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen im angemessenen und betrieblich zumutbaren Rahmen.

§ 4 UNTERAUFTRAGSVERHÄLTNISSE (SUBUNTERNEHMER)

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter.

(2) Aktuell eingesetzt werden:

• Lovable AB, Stockholm, Schweden — Anwendungs-Hosting sowie Versand von Transaktions-E-Mails über notify.branchenrundgang.de
• Cloudflare, Inc., San Francisco, USA — CDN, Auslieferung, DDoS-/Bot-Schutz (Turnstile); Drittlandübermittlung auf Grundlage der EU-Standardvertragsklauseln
• Supabase Inc. (Infrastruktur: Amazon Web Services EMEA SARL) — Datenbank, Authentifizierung und Datei-Speicher in der Region EU-Central (Frankfurt am Main)
• Stripe Payments Europe, Ltd., Dublin, Irland — Zahlungsabwicklung (betrifft nur Zahlungsdaten des Verantwortlichen, keine Bewerberdaten)

(3) Bewerberdaten und Bewerbungsdokumente werden ausschließlich in der EU (Frankfurt am Main) gespeichert. Eine Verarbeitung durch KI-Dienste findet für Bewerbungsunterlagen, Bewerberkontaktdaten und Talent-Pool-Daten nicht statt.

(4) Mit allen Subunternehmern bestehen Verträge nach Art. 28 Abs. 4 DSGVO. Über geplante Änderungen wird der Verantwortliche rechtzeitig informiert und kann innerhalb angemessener Frist widersprechen.

§ 5 AUTOMATISIERTE LÖSCHROUTINEN (AUTO-DELETE-TIMER)

(1) Der Verantwortliche weist den Auftragsverarbeiter ausdrücklich an, automatisierte Löschroutinen durchzuführen.

(2) Setzt der Verantwortliche den Status einer Bewerbung auf „Abgelehnt“, erfolgt nach 180 Tagen die unwiderrufliche Löschung aller angehängten Dokumente sowie die vollständige Anonymisierung der personenbezogenen Daten.

(3) Hat die betroffene Person der Speicherung im Talent-Pool zugestimmt, verlängert sich die Frist auf 365 Tage ab Zuweisung.

(4) Widerruft die betroffene Person ihre Einwilligung oder verlangt sie Löschung, wird der Datensatz unabhängig von diesen Fristen gelöscht bzw. anonymisiert.

§ 6 EIGENVERANTWORTUNG DES VERANTWORTLICHEN BEI DATENEXPORTEN (DOWNLOADS)

(1) Das Dashboard ermöglicht das Herunterladen von Bewerbungsunterlagen zur internen Bearbeitung.

(2) Mit dem erfolgreichen Download verlassen diese Dokumente den technischen Einflussbereich des Auftragsverarbeiters.

(3) Der Verantwortliche wird ab diesem Zeitpunkt alleiniger Verantwortlicher für den lokalen Datenbestand und verpflichtet sich, heruntergeladene Dokumente eigenständig und DSGVO-konform zu löschen. Der Auftragsverarbeiter haftet nicht für Datenschutzverstöße außerhalb der Plattform.

§ 7 BEENDIGUNG DES VERTRAGS

(1) Mit Beendigung des Vertrags bzw. Löschung des Accounts werden alle im Auftrag verarbeiteten personenbezogenen Daten gelöscht oder anonymisiert, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Der Verantwortliche kann vor Beendigung eine Herausgabe der Bewerbungsdaten über die Exportfunktionen des Dashboards vornehmen.