Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

2. Erhebung und Speicherung personenbezogener Daten

2.1 Bei der Registrierung

Sie können sich auf drei Wegen anmelden: mit einem Microsoft-/Outlook-Konto, mit einem Google-Konto oder mit E-Mail-Adresse und Passwort. Dabei erheben und speichern wir folgende Daten:

• E-Mail-Adresse (zur Authentifizierung)
• Name (bei Anmeldung über Microsoft oder Google: Vor- und Nachname)
• Profilbild (bei Anmeldung über Microsoft oder Google, optional)
• Registrierungszeitpunkt
• Account-Typ (Microsoft/Outlook, Google oder E-Mail/Passwort)
• Bei E-Mail/Passwort: das Passwort ausschließlich als bcrypt-Hash — im Klartext ist es uns nicht bekannt

Anmeldung über Google: Wir fordern dabei ausschließlich die Berechtigungen openid, email und profile an. Ein Zugriff auf Ihr Gmail-Postfach findet nicht statt und wird auch nicht angefragt. Anbieter ist Google Ireland Ltd. bzw. Google LLC (USA).

Google-Anmeldetokens: Für jeden Google-Login speichern wir die von Google ausgehändigten Zugriffs-, Aktualisierungs- und Identitäts-Tokens verschlüsselt in unserer Datenbank (Sammlung accounts). Sie dienen ausschließlich der Anmeldung; auf Ihr Postfach greifen sie nicht zu (siehe oben). Löschen Sie Ihr Konto, werden sie mitgelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

2.2 Bei der Nutzung der Plattform

Während der Nutzung unserer Plattform speichern wir:

• Persönliche Daten: Vor- und Nachname, Telefonnummer, Adresse, Stadt, Postleitzahl, Geburtsdatum (optional), Staatsangehörigkeit (optional), Profilfoto (optional)
• Berufliche Daten: Aktuelle Position, Ausbildung, Fähigkeiten, Stärken
• Lebenslaufdaten: Zusammenfassung, Berufserfahrungen, Bildungsweg, Fähigkeiten, optionale Informationen (unter anderem Hobbys und Auszeichnungen) – dazu ein automatischer Verlauf je Lebenslauf (die letzten elf gesicherten Stände, damit Sie eine Änderung rückgängig machen können)
• Bewerbungsdaten: Erstellte Bewerbungen, Anschreiben, Lebensläufe, E-Mail-Entwürfe, Anhänge
• Einstellungen: Design-Präferenzen, Anwendungseinstellungen, Benachrichtigungseinstellungen
• Uploads: Hochgeladene Dateien (Lebensläufe, Anhänge, Zeugnisse) werden in unserem S3-Speicher gespeichert

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

2.3 Beim Versand über Ihr eigenes E-Mail-Konto

Sie können Bewerbungen direkt aus der App über Ihr eigenes E-Mail-Konto versenden. Dafür brauchen wir Zugang zu diesem Konto — je nach Anbieter auf zwei unterschiedlichen Wegen:

a) Microsoft / Outlook (OAuth):

• OAuth-Tokens für den Zugriff auf Ihr Postfach (verschlüsselt gespeichert)
• Zwei Berechtigungen, die Sie bei der Anmeldung bestätigen: Mail.Send (Nachricht absenden) und Mail.ReadWrite (Entwurf anlegen und Ihre Anlagen hineinladen). Der zweite Punkt ist nötig, weil Microsoft eine Nachricht samt Anhängen nur bis 4 MB in einem Stück annimmt; größere Bewerbungen müssen als Entwurf in Ihrem Postfach zusammengesetzt und dann abgeschickt werden.
• Was wir damit tun — und was nicht: Wir legen ausschließlich die Bewerbung an, die Sie abschicken, und senden sie. Wir lesen Ihr Postfach nicht, durchsuchen keine Nachrichten und werten keine Antworten aus. Die frühere Antwortverfolgung wurde im August 2026 abgeschafft; die dafür nötige Leseberechtigung fragen wir seither nicht mehr an. Technisch würde Mail.ReadWrite mehr erlauben, als wir nutzen — wir sagen Ihnen das offen, weil es im Zustimmungsdialog von Microsoft so steht.
• Versandte E-Mails liegen in Ihrem eigenen Postfach (Ordner „Gesendet"), nicht in unserer Datenbank.

b) GMX und Web.de (Passwort): Diese Anbieter bieten keinen Anmeldeweg per Knopfdruck an. Wer den Versand über so ein Konto einrichten möchte, kann das deshalb nur mit dem E-Mail-Passwort — anders lässt sich dort technisch keine Nachricht senden. Das betrifft Sie nur, wenn Sie diese Funktion selbst einrichten. Für die Nutzung der App ist sie nicht nötig. Wenn Sie sie einrichten, speichern wir Ihre E-Mail-Adresse und das zugehörige Passwort.

• Das Passwort liegt bei uns verschlüsselt und ist für Dritte unlesbar (Verfahren: AES-256-GCM mit scrypt-Schlüsselableitung, eigenem Zufallssalz und eigenem Initialisierungsvektor je Datensatz). Anders als Ihr Anmeldepasswort müssen wir es zum Versenden wieder entschlüsseln können — vollständig unlesbar wie ein Hashwert kann es deshalb technisch nicht sein. Der Schlüssel dazu liegt getrennt von der Datenbank.
• Es wird ausschließlich zum Versand Ihrer eigenen Bewerbungen entschlüsselt und niemals an Dritte weitergegeben
• Es wird bei der Kontolöschung und beim Entfernen des E-Mail-Kontos unwiderruflich gelöscht
• Wir empfehlen, wo verfügbar ein anbieterseitiges App-Passwort statt des Hauptpassworts zu verwenden

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

2.4 Welche Angaben sind erforderlich?

E-Mail-Adresse und Passwort — beziehungsweise das Konto bei Microsoft oder Google — sind für die Registrierung erforderlich. Ohne sie können wir keinen Vertrag mit Ihnen schließen und den Dienst nicht bereitstellen.

Alle weiteren Angaben sind freiwillig. Sie treffen dabei eine Abwägung: Je weniger Sie eintragen, desto knapper fallen die erzeugten Unterlagen aus. Eine gesetzliche oder vertragliche Pflicht zur Bereitstellung besteht nicht, und es entsteht Ihnen kein Nachteil, wenn Sie etwas weglassen — außer dass die betreffende Angabe eben nicht in Ihrer Bewerbung erscheint.

2.5 Server-Protokolle

Beim Aufruf unserer Seiten fallen beim Hoster technisch bedingt Verbindungsdaten an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser- und Betriebssystemkennung. Diese Daten brauchen wir, um die Seite auszuliefern, Störungen zu erkennen und Missbrauch abzuwehren. Sie werden nicht mit anderen Daten zusammengeführt und nicht zur Auswertung des Verhaltens einzelner Personen verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb).
Speicherdauer: Unsere Hosting-Plattform (Vercel) speichert Server-Protokolle nur kurzzeitig — je nach Tarif Stunden bis wenige Tage — und löscht sie danach automatisch. Eine dauerhafte Protokollierung durch uns findet nicht statt.

2.6 Wenn Sie über das Kündigungsformular kündigen

Die Seite /kuendigen ist bewusst ohne Anmeldung erreichbar — Sie sollen kündigen können, ohne sich einloggen zu müssen. Damit wir Ihre Erklärung zuordnen und bestätigen können, speichern wir: Ihre E-Mail-Adresse, den genannten Vertrag, den Zeitpunkt des Eingangs und — falls Sie sie angeben — Ihren Namen und Ihre Anmerkung im Freitextfeld.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Vertragsverhältnisses) sowie Art. 6 Abs. 1 lit. c DSGVO (§ 312k BGB verlangt, dass Sie den Zeitpunkt Ihrer Erklärung nachweisen können).
Speicherdauer: Name und Freitext löschen wir nach 90 Tagen; danach bleiben nur E-Mail-Adresse, Vertrag, Datum und Bearbeitungsstand, damit wir den Eingang Ihrer Kündigung belegen können. Löschen Sie Ihr Konto, wird der gesamte Eintrag mitgelöscht.

2.7 Wenn wir unsere AGB ändern

Ändern wir unsere Allgemeinen Geschäftsbedingungen, holen wir Ihre Zustimmung beim nächsten Login gesondert ein (AGB, Punkt 11). Gespeichert wird dann nur, ob und wann Sie einer Änderung zugestimmt oder sie abgelehnt haben: die Versionskennung der Änderung und der Zeitpunkt Ihrer Antwort — keine weiteren Daten. Das Protokoll dient ausschließlich dem Nachweis der eingeholten Zustimmung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 7 Abs. 1 DSGVO (Nachweispflicht für eingeholte Einwilligungen) sowie Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: solange Ihr Konto besteht; mit der Kontolöschung wird auch dieses Protokoll gelöscht.

3. Cookies, Reichweitenmessung und Werbe-Messung

Wir verwenden Cookies und ähnliche Technologien, um die Funktionalität der Website zu gewährleisten und die Nutzung zu analysieren.

3.1 Technisch notwendige Cookies

Diese sind für den Betrieb der Seite unerlässlich (z. B. Login-Status, Spracheinstellung, Sicherheitsfunktionen) und lassen sich nicht abwählen. Für das Speichern auf Ihrem Endgerät gilt die Ausnahme des § 165 Abs. 3 TKG 2021 (Österreich) bzw. § 25 Abs. 2 TDDDG (Deutschland, vormals TTDSG); für die anschließende Verarbeitung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technischen Betrieb).

Konkret legen wir Folgendes auf Ihrem Gerät ab:

3.2 Interne Reichweitenmessung

Wir betreiben eine eigene, selbst gehostete Reichweitenmessung. Sie läuft in zwei Stufen, und wir beschreiben sie hier bewusst genau, weil sie sich je nach Ihrer Entscheidung unterscheidet:

Ohne Ihre Einwilligung erfassen wir jeden Seitenaufruf in pseudonymisierter Form: aufgerufene Seite, Browser-Kennung, Herkunftsland und -stadt sowie einen Prüfwert Ihrer IP-Adresse. Dieser Prüfwert wird mit einem täglich wechselnden Geheimwert gebildet — dadurch lassen sich Besuche innerhalb eines Tages zählen, aber über Tage hinweg nicht mehr zusammenführen. Wir speichern in diesem Fall keine Sitzungskennung, keine verweisende Seite und keine Kampagnenparameter, und es wird nichts auf Ihrem Gerät abgelegt. Die Herkunftsangabe stammt aus den Angaben, die unser Hoster ohnehin an jede Anfrage anhängt; Ihre IP-Adresse wird dafür an keinen Dritten übermittelt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen und sicheren Betrieb der Website sowie an Reichweitenzahlen, die keinen Rückschluss auf einzelne Personen erlauben).

Mit Ihrer Einwilligung (Kategorie "Analyse") kommen eine Sitzungskennung, die verweisende Seite und Kampagnenparameter hinzu, und der Prüfwert Ihrer IP-Adresse wird mit einem gleichbleibenden Geheimwert gebildet, damit wiederkehrende Besucher erkennbar sind.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit widerrufbar.

Wenn Sie angemeldet sind und der Reichweitenmessung zugestimmt haben, ordnen wir den Seitenaufruf zusätzlich Ihrem Konto zu — das brauchen wir, um Nutzung und Kontingentverbrauch nachvollziehen zu können. Ohne Ihre Einwilligung bleiben Seitenaufrufe anonym: kein Konto-Bezug, keine Kampagnen- Parameter, keine Sitzungskennung. Diese Einträge löschen wir zusammen mit Ihrem Konto.

Speicherdauer: Diese Daten werden nach 14 Monaten automatisch gelöscht.

Funnel-Ereignisse: Zusätzlich zählen wir einzelne Nutzungsschritte (etwa „Registrierung begonnen“, „Kasse geöffnet“, „Kauf abgeschlossen“, im Lebenslauf-Editor „Abschnitt bearbeitet“ oder „Wartehinweis angezeigt“ mit Dauer), um zu sehen, wo der Dienst gut funktioniert und wo nicht. Ohne Ihre Einwilligung enthalten diese Zählpunkte nur: Ereignisname, aufgerufene Seite (ohne Query-String), tagesrotierend verschlüsselten IP-Hash und Bot-Kennung — keineKampagnen-Parameter, keinen Referrer, keinen Konto-Bezug und keine Sitzungskennung. Mit Einwilligung kommen zusätzlich Kampagnen-Parameter (UTM), Referrer-Domain, Sitzungskennung und Konto-Bezug hinzu, damit wir nachvollziehen können, welche Kampagnen zu Anmeldungen führen. Diese Einträge werden nach 14 Monaten automatisch gelöscht.

3.3 Werbe-Messung von Drittanbietern

Nur wenn Sie im Cookie-Banner der Kategorie "Marketing" zugestimmt haben, setzen wir zusätzlich folgende Dienste ein. Ohne diese Zustimmung werden sie gar nicht erst geladen:

• Google Ads Conversion-Tracking (Google Ireland Ltd. / Google LLC, USA): Messung, ob Besucher über eine Google-Anzeige zu uns gefunden haben. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert.

Ohne Ihre Zustimmung werden diese Dienste nicht geladen — es wird dann auch keine Verbindung zu deren Servern aufgebaut.

Stimmen Sie zu, werden folgende Kennungen auf Ihrem Gerät abgelegt. Die Angaben stammen aus einer eigenen Messung vom 22.08.2026 — nicht aus den Angaben der Anbieter:

Wenn Sie widerrufen, entfernen wir alle hier genannten Kennungen von Ihrem Gerät und setzen die bereits geladenen Skripte still. Ohne diesen Schritt könnte eine spätere erneute Zustimmung nahtlos an dieselbe Kennung anknüpfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.

4. Verwendung von KI-Services (Azure OpenAI, Perplexity)

Zur automatisierten Erstellung von Bewerbungsunterlagen (Anschreiben, Lebensläufe) nutzen wir Künstliche Intelligenz.

Dienstleister: Für die Texterzeugung nutzen wir den Dienst "Azure OpenAI", bereitgestellt von Microsoft, für die optionale Firmen-Recherche zusätzlich Perplexity (siehe unten).

Datenverarbeitung: Die von Ihnen eingegebenen Daten (Lebenslaufdaten, Jobbeschreibung) werden an die API von Azure OpenAI gesendet, um den Text zu generieren.

• Kein Training: Ihre Eingaben werden nicht zum Training der KI-Modelle verwendet. Das ist mit Microsoft vertraglich vereinbart.
• Speicherort: Unsere Azure-OpenAI-Ressource liegt in der Region Germany West Central (Frankfurt am Main). Dauerhaft gespeichert wird nur dort.
• Verarbeitungsort: Wir setzen den Bereitstellungstyp "Globaler Standard" ein. Microsoft kann die eigentliche Verarbeitung Ihrer Anfrage deshalb auch in Rechenzentren außerhalb der Europäischen Union durchführen, unter anderem in den USA. Wir nennen das hier ausdrücklich, weil es für Sie einen Unterschied macht.
• Grundlage für die Übermittlung: Microsoft Corporation ist unter dem EU-US Data Privacy Framework zertifiziert (Kategorien "HR Data" und "Non-HR Data"). Für die USA besteht damit ein Angemessenheitsbeschluss der Europäischen Kommission (Durchführungsbeschluss (EU) 2023/1795); eine Übermittlung dorthin ist rechtlich einer Übermittlung innerhalb der EU gleichgestellt. Für Übermittlungen in andere Drittländer enthält der Microsoft-Auftragsverarbeitungsvertrag zusätzlich die Standardvertragsklauseln gemäß Art. 46 DSGVO.
• Auftragsverarbeitung: Es besteht ein Auftragsverarbeitungsvertrag (AVV) mit Microsoft.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Erbringung der gewünschten Dienstleistung).

Firmen-Recherche (Perplexity via OpenRouter): Für die optionale Recherche zum Zielunternehmen (Unternehmensprofil, Bewerbungs-Kontaktadresse) nutzen wir die Such-KI "Sonar" von Perplexity AI, Inc. (USA). Die Anfragen werden über den API-Vermittlungsdienst OpenRouter, Inc. (USA) geleitet. Dabei werden nur der Firmenname und ein Auszug der Stellenausschreibung übermittelt — keine Ihrer Profil-, Lebenslauf- oder Kontaktdaten. E-Mail-Adressen und Telefonnummern werden aus dem Inseratstext vor der Übermittlung automatisiert entfernt und durch einen Platzhalter ersetzt. Namen bleiben erhalten, weil sie für die Recherche gebraucht werden und ohne zugehörige Kontaktdaten kaum zuordenbar sind. Die Erkennung erfolgt mustergestützt und kann in Einzelfällen ungewöhnliche Schreibweisen übersehen.

Perplexity verwendet API-Daten nicht zum Training seiner Modelle und speichert API-Anfragen nicht dauerhaft (Zero-Retention). Perplexity AI ist unter dem EU-US Data Privacy Framework zertifiziert. OpenRouter, Inc. ist dort nicht gelistet; diese Übermittlung stützt sich auf Standardvertragsklauseln gemäß Art. 46 DSGVO.

Rechtsgrundlage der Recherche: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Erbringung der Recherche Ihnen gegenüber. Soweit dabei Namen von Ansprechpartnern verarbeitet werden, die im Inserat genannt sind, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO — mit diesen Personen besteht kein Vertrag, und unser berechtigtes Interesse liegt darin, Ihnen die richtige Ansprechperson nennen zu können. Die Recherche ist ein optionaler Schritt; Sie können eine Bewerbung auch ohne sie erstellen.

5. Datenweitergabe und Subprozessoren

Ihre Daten werden an niemanden verkauft und an niemanden für dessen eigene Werbung weitergegeben. Die folgenden Firmen sind technische Dienstleister, die für uns arbeiten — so wie eine Druckerei für einen Verlag druckt, ohne dass ihr die Bücher gehören. Jede ist vertraglich verpflichtet (Art. 28 DSGVO), Ihre Daten ausschließlich für uns und nur für den genannten Zweck zu verarbeiten:

• Microsoft / Azure OpenAI (Ressource Frankfurt, Verarbeitung global): Zur Generierung von Bewerbungsunterlagen. Speicherung in Frankfurt, Verarbeitung auch außerhalb der EU möglich — Details und Rechtsgrundlage in Abschnitt 4. Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert.
• Microsoft (bei Outlook-Anbindung): OAuth-Tokens für den E-Mail-Versand über Ihr Outlook-Konto. Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert.
• Google Ireland Ltd. / Google LLC (Anmeldung, USA): Nur wenn Sie sich mit einem Google-Konto anmelden: Prüfung Ihrer Anmeldung, Übermittlung von E-Mail-Adresse, Name und Profilbild an uns. Kein Zugriff auf Ihr Gmail-Postfach. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert.
• Vercel Inc. (Hosting, USA): Hosting unserer Webanwendung; dabei fallen Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse) an. Vercel ist unter dem EU-US Data Privacy Framework zertifiziert.
• MongoDB Atlas (Datenbank, EU): Speicherung Ihrer Profil- und Bewerbungsdaten. Der Cluster liegt in der Region eu-central-1 (Frankfurt). MongoDB, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert.
• Amazon Web Services / S3 (Dateispeicher, EU): Speicherung hochgeladener Dateien (Lebensläufe, Anhänge, erzeugte PDFs) in der EU-Region Frankfurt (eu-central-1). Vertragspartner ist die Amazon Web Services EMEA SARL (Luxemburg). Soweit im Supportfall ein Zugriff aus den USA erfolgen kann, ist Amazon Web Services, Inc. über die Zertifizierung der Amazon.com, Inc. unter dem EU-US Data Privacy Framework abgedeckt.
• Upstash, Inc. (Warteschlange, EU): Zwischenspeicherung von Hintergrundaufgaben. Die Datenbank liegt in der EU (eu-central-1). Für die PDF-Erzeugung enthält ein solcher Auftrag vorübergehend auch den fertigen Lebenslauf- bzw. Anschreiben-Inhalt. Upstash ist unter dem EU-US Data Privacy Framework zertifiziert.
• Railway Corporation (PDF-Erzeugung, USA): Auf einem dort betriebenen Dienst werden Ihre Bewerbungs-PDFs erzeugt. Übermittelt werden dabei die Inhalte von Lebenslauf und Anschreiben — das ist die umfangreichste Übermittlung in diesem Dokument, deshalb hier genau: Der Inhalt wird dort nur für die Dauer der PDF-Erzeugung im Arbeitsspeicher verarbeitet und nicht gespeichert; das fertige PDF wird direkt in unseren Dateispeicher in Frankfurt geschrieben. Railway Corporation ist unter dem EU-US Data Privacy Framework zertifiziert.
• OpenRouter / Perplexity AI (Firmen-Recherche, USA): Optionale Recherche zum Zielunternehmen (siehe Abschnitt 4). Anfragen laufen über den API-Dienst OpenRouter, Inc. an die Such-KI von Perplexity AI, Inc. Übermittelt werden nur Firmenname und ein um Kontaktdaten bereinigter Auszug der Stellenausschreibung — keine Bewerberdaten. Datenübertragung auf Basis von Standardvertragsklauseln (SCC); Perplexity ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert.
• Resend (PLUS FIVE FIVE, Transaktions-E-Mails, USA): Versand von System-E-Mails (E-Mail-Verifizierung, Passwort-Reset, Löschbestätigung) an Ihre E-Mail-Adresse. Resend ist unter dem EU-US Data Privacy Framework zertifiziert. Werbe-E-Mails versenden wir nicht.
• Stripe (Zahlungsabwicklung): Abwicklung von Abo- und Einzelzahlungen. Vertragspartner für europäische Nutzer ist die Stripe Payments Europe, Limited (Irland); für die Kartenzahlung ist auch Stripe, Inc. (USA) einbezogen. Stripe erhält die für die Zahlung erforderlichen Daten (Name, E-Mail-Adresse, Zahlungsdaten); Kreditkartendaten werden ausschließlich von Stripe verarbeitet und erreichen unsere Server nicht. Datenübertragung in die USA auf Basis von Standardvertragsklauseln (SCC); Stripe ist zudem unter dem EU-US Data Privacy Framework zertifiziert.

Ein Verkauf Ihrer Daten oder eine Weitergabe an Dritte zu deren eigenen Werbezwecken findet nicht statt. Mit allen Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO. Für Übermittlungen in die USA stützen wir uns auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger dort zertifiziert ist, sonst auf Standardvertragsklauseln gemäß Art. 46 DSGVO. Eine Kopie der jeweils vereinbarten Standardvertragsklauseln stellen wir Ihnen auf Anfrage kostenlos zur Verfügung — eine formlose Nachricht an office@bewerbungsgenius.de genügt.

5.1 Weitergabe, die Sie selbst auslösen

Versand Ihrer Bewerbung: Wenn Sie eine Bewerbung absenden, gehen Ihre Unterlagen an das von Ihnen gewählte Unternehmen. Das ist der Zweck der Anwendung und geschieht ausschließlich auf Ihre Auslösung hin.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch die von Ihnen ausgelöste Handlung).

5.2 Daten von Personen, die nicht unsere Nutzer sind

In einem Fall verarbeiten wir Daten von Menschen, die sich nie bei uns registriert haben und die uns ihre Daten auch nicht selbst gegeben haben. Wir nennen das hier ausdrücklich, weil es sonst niemand erfährt:

• Ansprechpartner in Stellenanzeigen: Bei der optionalen Firmen-Recherche kann der übermittelte Auszug der Anzeige den Namen einer Ansprechperson enthalten. E-Mail-Adressen und Telefonnummern entfernen wir vorher (siehe Abschnitt 4).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Ihnen eingegangene Antworten zuordnen und die richtige Ansprechperson nennen zu können. Eine Einwilligung dieser Personen können wir nicht einholen, und Sie können sie für diese Personen auch nicht erteilen.

Information dieser Personen: Eine gesonderte Benachrichtigung nach Art. 14 DSGVO unterbleibt, weil sie einen unverhältnismäßigen Aufwand bedeuten würde (Art. 14 Abs. 5 lit. b DSGVO) — uns liegen dafür regelmäßig keine belastbaren Kontaktdaten vor, und die Daten stammen aus der geschäftlichen Kommunikation, die diese Personen selbst begonnen haben.

Speicherdauer: Diese Daten werden zusammen mit Ihrem Konto gelöscht. Betroffene Personen können jederzeit Auskunft und Löschung verlangen — office@bewerbungsgenius.de genügt.

Hinweis zu Schriftarten: Alle Schriftarten (Inter, Jost, Tinos, Roboto Mono) liegen auf unserem eigenen Server. Es erfolgt keine Verbindung zu Google Fonts.

6. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre gespeicherten Daten verlangen
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen (Account-Löschung in den Einstellungen)
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Übertragung Ihrer Daten verlangen
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung widersprechen
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können erteilte Einwilligungen jederzeit widerrufen

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter: office@bewerbungsgenius.de

7. Löschung von Daten

Ihre Daten werden gelöscht, wenn:

• Sie Ihren Account löschen (in den Einstellungen verfügbar)
• Sie die Löschung Ihrer Daten verlangen
• Die Speicherung für den ursprünglichen Zweck nicht mehr erforderlich ist

Bei der Account-Löschung werden Ihre Daten unverzüglich (sofort nach Bestätigung) und unwiderruflich gelöscht. Das umfasst:

• Ihre Profildaten
• Alle erstellten Bewerbungen, Vorschauen und Entwürfe
• Gespeicherte Lebenslauf-Vorlagen, der Verlauf Ihrer Lebensläufe und zwischengespeicherte Lebenslaufseiten
• Hochgeladene Dateien im S3-Speicher
• OAuth-Tokens sowie gespeicherte E-Mail-Zugangsdaten (GMX, Web.de)
• Ihre Bewerbungsprofile und Aktivitätseinträge
• Protokolle erzeugter PDFs
• Analytics-Einträge, soweit sie Ihrem Konto zugeordnet sind
• Sitzungen und Verifizierungs-Tokens

Löschzeitpunkt: Die Löschung erfolgt unmittelbar nach Ihrer Bestätigung (Art. 17 DSGVO). Es gibt keine Wartefrist.

Was aus rechtlichen Gründen bestehen bleibt: Wir nennen das hier ausdrücklich, weil eine Löschung nie ganz lückenlos sein kann:

• Zahlungs- und Rechnungsdaten bei Stripe: Ein laufendes Abonnement wird bei der Löschung gekündigt. Die Zahlungs- und Rechnungsdaten selbst bewahrt unser Zahlungsdienstleister weiter auf, weil wir zur Aufbewahrung von Buchhaltungsunterlagen gesetzlich verpflichtet sind (§ 132 BAO, sieben Jahre). Rechtsgrundlage: Art. 17 Abs. 3 lit. b DSGVO.
• Löschprotokoll: Wir dokumentieren die Löschung gemäß Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht). Das Protokoll enthält einen SHA-256-Hash Ihrer E-Mail-Adresse (nicht die Adresse selbst), den Zeitpunkt und die Anzahl der gelöschten Datensätze. IP-Adresse und Browser-Kennung werden darin nach 30 Tagen unkenntlich gemacht; das Protokoll selbst wird nach drei Jahren automatisch gelöscht.
• Anonyme Analytics-Einträge: Besuchsdaten ohne Kontobezug enthalten keine Zuordnung zu Ihnen und können deshalb nicht gezielt gelöscht werden. Sie verfallen automatisch nach 14 Monaten.
• Bereits versandte Bewerbungen: Unterlagen, die Sie an ein Unternehmen geschickt haben, liegen dort und unterliegen nicht mehr unserem Zugriff. Wenden Sie sich für deren Löschung bitte direkt an das Unternehmen.

8. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:

• Verschlüsselte Datenübertragung (HTTPS/TLS)
• Verschlüsselte Speicherung sensibler Daten (Passwörter, OAuth-Tokens)
• Zugriffskontrollen und Authentifizierung
• Regelmäßige Sicherheitsupdates
• Derzeit erstellen wir keine automatischen Backups — unser Datenbank-Tarif (MongoDB Atlas M2) bietet keine Backup-Snapshots an. Gelöschte Daten sind damit mit der Löschung endgültig entfernt und existieren in keiner Sicherungskopie weiter. Sollte der Tarif später eine Backup-Funktion erhalten, aktualisieren wir diese Angabe.

9. Speicherdauer

Ihre Daten werden gespeichert, solange:

• Ihr Account aktiv ist
• Die Speicherung für die Vertragserfüllung erforderlich ist
• Gesetzliche Aufbewahrungspflichten bestehen

Speicherdauer im Detail:

• Profildaten: solange Ihr Konto besteht, längstens jedoch 24 Monate nach Ihrer letzten Anmeldung (siehe unten)
• Bewerbungen: 24 Monate nach Erstellung (automatische Löschung)
• Uploads und Vorschauen: 12 Monate nach Upload, samt der zugehörigen Dateien im S3-Speicher (automatische Löschung)
• Verlauf des Lebenslaufs: je Lebenslauf die letzten elf gesicherten Stände; ältere Stände werden beim nächsten Speichern überschrieben. Der Verlauf wird mit dem jeweiligen Lebenslauf bzw. mit dem Konto gelöscht
• Anwendungs-Logs: Wir führen keine dauerhaften Anwendungs-Logs in unserer Datenbank; die Laufzeit-Protokolle unseres Hosters verfallen automatisch nach Stunden bis wenigen Tagen
• Protokolle der KI-Aufrufe: 12 Monate (automatische Löschung). Diese enthalten Verbrauchszahlen zur Kostenkontrolle, nicht Ihre Eingaben.
• Protokolle erzeugter PDFs: 90 Tage (automatische Löschung)
• Besuchsdaten der Reichweitenmessung: 14 Monate (automatische Löschung)
• OAuth-Tokens und E-Mail-Zugangsdaten: solange Ihr Konto besteht; sie werden bei der Kontolöschung entfernt
• Löschprotokolle: 3 Jahre, mit Unkenntlichmachung von IP-Adresse und Browser-Kennung nach 30 Tagen
• Zahlungs- und Rechnungsdaten: 7 Jahre aufgrund gesetzlicher Aufbewahrungspflicht (§ 132 BAO)

Bei Kontolöschung greifen diese Fristen nicht mehr; gelöscht wird dann sofort. Ausgenommen ist nur, was aus rechtlichen Gründen bestehen bleiben muss — das steht in Abschnitt 7.

10. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Wir fragen zu keinem Zeitpunkt nach Angaben zu Gesundheit, Religion, ethnischer Herkunft, politischer Überzeugung, Gewerkschaftszugehörigkeit oder Sexualleben. Solche Angaben sind für eine Bewerbung nicht erforderlich, und unsere Formulare sehen dafür kein Feld vor.

Aber: Ihr Lebenslauf enthält Freitextfelder — Kurzprofil, Beschreibungen zu einzelnen Stationen, Hobbys, Ehrenamt, Auszeichnungen. Wenn Sie dort von sich aus etwas eintragen, das in eine dieser Kategorien fällt (etwa eine Behinderung, ein kirchliches Ehrenamt oder eine Funktion im Betriebsrat), wird das mitverarbeitet und im Rahmen der Textgenerierung an unseren KI-Dienstleister übertragen.

• Unsere Empfehlung: Lassen Sie solche Angaben weg. Sie sind rechtlich nicht erforderlich, und ein gutes Anschreiben braucht sie nicht.
• Wenn Sie sie dennoch angeben: Wir werten Freitextfelder nicht auf solche Angaben aus, filtern sie nicht heraus und verarbeiten sie nicht gezielt als besondere Datenkategorien. Sie werden technisch wie jeder andere Text Ihres Lebenslaufs behandelt — also gespeichert und für die Texterzeugung übertragen. Sie können sie jederzeit entfernen, indem Sie die Angabe aus Ihrem Profil löschen.
• Lichtbild: Ein Bewerbungsfoto ist für sich genommen kein biometrisches Datum im Sinne von Art. 9 — wir werten es nicht technisch aus und nutzen es ausschließlich zur Darstellung in Ihren Unterlagen. Es ist überdies freiwillig.
• Staatsangehörigkeit und Geburtsdatum sind ebenfalls freiwillig. In Deutschland und Österreich sind beide Angaben im Lebenslauf nicht vorgeschrieben.

11. Automatisierte Entscheidungen und Altersgrenze

Keine automatisierte Entscheidungsfindung. Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Unsere KI erzeugt Textvorschläge und schlägt vor, welche Ihrer Stationen zu einer Stelle passen könnten. Ob und wie Sie das übernehmen, entscheiden ausschließlich Sie. Es wird nichts bewertet, nichts eingestuft und nichts an Dritte weitergegeben, was über Sie eine Aussage trifft.

Altersgrenze. Mit der Registrierung erklären Sie nach unseren Allgemeinen Geschäftsbedingungen (Punkt 4), das 18. Lebensjahr vollendet zu haben; ein Vertrag kommt sonst nur mit den gesetzlichen Voraussetzungen zustande — bei Minderjährigen regelmäßig mit Zustimmung der Erziehungsberechtigten. Wir wissen, dass Lehrstellensuchende oft jünger sind — deshalb sagen wir es hier deutlich: Für die Einwilligungen in diesem Dokument (Reichweitenmessung, Werbe-Messung) gelten eigene Altersgrenzen. In Österreich kann ab 14 Jahren selbst eingewilligt werden (§ 4 Abs. 4 DSG), in Deutschland ab 16 Jahren (Art. 8 DSGVO); darunter braucht es die Zustimmung der Erziehungsberechtigten. Die Nutzung der Grundfunktionen selbst beruht nicht auf einer Einwilligung, sondern auf dem Vertrag mit Ihnen.

12. Beschwerderecht

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt.

Zuständige Aufsichtsbehörde in Österreich:

Sie sind nicht darauf beschränkt: Nach Art. 77 DSGVO können Sie sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Ihres Arbeitsplatzes wenden — in Deutschland also an die Landesdatenschutzbehörde Ihres Bundeslandes.

13. Kontakt

Bei Fragen zum Datenschutz kontaktieren Sie uns bitte: