Auftragsverarbeitungsvertrag
Vereinbarung nach Art. 28 DSGVO · Fassung vom 2026-07-31
Dieser Vertrag wird mit Abschluss des Hauptvertrags zwischen dem Kunden (nachfolgend „Verantwortlicher“) und «Firmenname laut Handelsregister» (nachfolgend „Auftragsverarbeiter“) Bestandteil der Allgemeinen Geschäftsbedingungen. Eine gesondert unterzeichnete Fassung stellen wir auf Anfrage an «datenschutz@talentwerk.io» bereit.
Abgrenzung: Für den allgemeinen Kandidatenpool ist der Auftragsverarbeiter selbst Verantwortlicher (siehe Abschnitt 6 der Datenschutzerklärung). Dieser Vertrag gilt für die Daten, die der Verantwortliche in seinem Workspace verarbeitet: übernommene Profile, Suchen, Bewertungen, Kampagnen und Versandprotokolle.
§ 1 Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zum Zweck der Bereitstellung der im Hauptvertrag beschriebenen Leistungen. Die Dauer entspricht der Laufzeit des Hauptvertrags.
§ 2 Art, Zweck und Umfang der Verarbeitung
- Art der Verarbeitung
- Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an das eingesetzte Sprachmodell, Löschen.
- Zweck
- Sourcing, maschinelle Bewertung gegen eine Stellenbeschreibung, Entwurf und Nachverfolgung von Erstansprachen.
- Kategorien betroffener Personen
- Kandidatinnen und Kandidaten, Beschäftigte und Nutzer des Verantwortlichen.
- Kategorien personenbezogener Daten
- Name, öffentliche Profil-URL, Berufsbezeichnung, Arbeitsort, beruflicher Werdegang, Ausbildung, Kenntnisse, Sprachen; Bewertungsergebnisse und Nachrichtentexte; bei Nutzern des Verantwortlichen: Name, E-Mail-Adresse, Rolle im Workspace, Nutzungsprotokolle.
- Besondere Kategorien (Art. 9 DSGVO)
- Werden nicht verarbeitet.
§ 3 Weisungen
- Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung durch den Verantwortlichen gilt als Weisung; darüber hinausgehende Einzelweisungen bedürfen der Textform.
- Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.
- Eine Übermittlung in ein Drittland erfolgt nur, soweit in § 6 beschrieben, oder wenn der Auftragsverarbeiter rechtlich dazu verpflichtet ist; in diesem Fall unterrichtet er den Verantwortlichen vorher, sofern das Recht dies nicht verbietet.
§ 4 Vertraulichkeit
Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Mandantentrennung: Alle Anwendungsdaten sind einem Workspace zugeordnet und über Row-Level-Security der Datenbank getrennt; die Trennung wird auf Datenbankebene erzwungen, nicht erst in der Anwendung.
- Zugangskontrolle: Anmeldung über einen dedizierten Authentifizierungsdienst, Passwörter ausschließlich als Hashwert gespeichert. API-Schlüssel der Chrome-Erweiterung werden nur als Hashwert abgelegt und sind einzeln widerrufbar.
- Rechtevergabe: Administrative Datenbankschlüssel liegen ausschließlich serverseitig; die privilegierten Funktionen für Abrechnung und Profilsuche sind auf die Server-Rolle beschränkt und zusätzlich durch ein separates Geheimnis geschützt.
- Übertragung: Transportverschlüsselung (TLS) für alle Verbindungen, Verschlüsselung ruhender Daten durch den Datenbankanbieter.
- Verfügbarkeit: Tägliche automatische Sicherungen durch den Datenbankanbieter mit Point-in-Time-Wiederherstellung.
- Missbrauchsbegrenzung: Tageslimits je Workspace für die kostenpflichtigen Auswertungen, Protokollierung sicherheits- und abrechnungsrelevanter Ereignisse.
- Datenminimierung: An das Sprachmodell wird nur der für die jeweilige Anfrage benötigte Ausschnitt übermittelt; es findet kein Training auf den übermittelten Daten statt.
Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.
§ 6 Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Supabase, Inc. | Datenbank, Authentifizierung, Profilpool | EU (Frankfurt) |
| Vercel, Inc. | Hosting der Web-Anwendung | EU / USA |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung, Rechnungen | EU (Irland) |
| Resend (Plus Five Five, Inc.) | Transaktions-E-Mails (Registrierung, Passwort) | USA |
| OpenRouter, Inc. | Weiterleitung der KI-Anfragen an das jeweilige Sprachmodell | USA |
| Google Ireland Ltd. (Gemini API) | Sprachmodell für Suchanfragen-Auswertung, Bewertung und Nachrichtenentwürfe | EU / USA |
Wechsel oder Hinzunahme kündigt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; wird daraufhin keine Einigung erzielt, darf er den Hauptvertrag zum geplanten Wirksamwerden kündigen. Bei Verarbeitung außerhalb der EU/des EWR stützt sich der Auftragsverarbeiter auf einen Angemessenheitsbeschluss oder auf Standardvertragsklauseln nebst ergänzenden Maßnahmen.
§ 7 Unterstützungspflichten
- Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich weiter.
- Er unterstützt bei Datenschutz-Folgenabschätzungen, bei der vorherigen Konsultation der Aufsichtsbehörde und bei der Einhaltung der Art. 32 bis 36 DSGVO.
- Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben.
§ 8 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung, insbesondere aktuelle Nachweise seiner Unterauftragsverarbeiter. Vor-Ort-Kontrollen sind nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich; der Aufwand kann bei mehr als einer Kontrolle pro Jahr angemessen berechnet werden.
§ 9 Löschung und Rückgabe
Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten binnen 90 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Verlangen des Verantwortlichen, das innerhalb dieser Frist zu stellen ist, werden die Daten zuvor in einem gängigen Format herausgegeben. Sicherungskopien werden im Rahmen der regulären Rotation gelöscht.
§ 10 Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht.