1. Gegenstand, Beginn und Dauer

Dieser AVV ist Bestandteil der Vereinbarung über MyRecruit.App und gilt ab Freischaltung des kostenfreien Zugangs, sofern der Auftragnehmer personenbezogene Daten für den Auftraggeber verarbeitet. Er gilt während der kostenfreien und einer anschließenden entgeltlichen Nutzung bis zur Rückgabe oder Löschung aller Auftragsdaten. Weisungen können in Textform, über die Funktionen der Anwendung oder durch vereinbarte Einstellungen erteilt werden.

2. Art und Zweck der Verarbeitung

Gegenstand sind Erhebung, Erfassung, Organisation, Speicherung, Veränderung, Auslesen, Abfrage, Verwendung, Übermittlung, Bereitstellung, Einschränkung, Export und Löschung, soweit dies zur Bereitstellung, Sicherung, Wartung und Unterstützung von MyRecruit.App erforderlich ist.

Zwecke: Verwaltung von Kontakten, Bewerbungen und Recruiting-Prozessen, Geschäftsvorgängen, Dokumenten, Rechnungen, Kosten und weiteren aktivierten Modulen; Support, Datensicherung und auf Weisung ausgelöste KI-Funktionen.

3. Datenarten und betroffene Personen

Datenarten: Stamm-, Kontakt-, Kommunikations-, Vertrags-, Bewerber-, Qualifikations-, Beschäftigten-, Kunden-, Lieferanten-, Finanz-, Rechnungs-, Zahlungs-, Dokument-, Nutzungs- und Protokolldaten. Besondere Kategorien nach Art. 9 DSGVO werden nur verarbeitet, wenn der Auftraggeber sie rechtmäßig einstellt und dies für seinen Zweck erforderlich ist.

Betroffene: Bewerber, Kandidaten, Beschäftigte, Nutzer, Ansprechpartner, Kunden, Interessenten, Lieferanten, Dienstleister und sonstige Geschäftspartner des Auftraggebers.

4. Pflichten des Auftraggebers

• Der Auftraggeber ist für Rechtmäßigkeit, Transparenz, Rechtsgrundlagen, Betroffenenrechte und Weisungen verantwortlich.
• Er verarbeitet nur erforderliche Daten, vergibt Benutzerrechte sorgfältig und meldet unberechtigte Zugriffe unverzüglich.
• Er informiert den Auftragnehmer, wenn besondere Schutzanforderungen bestehen, und prüft KI-Ergebnisse vor der Verwendung.
• Weisungen, die über die vereinbarte Leistung hinausgehen, können gesondert vergütet werden.

5. Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung, soweit keine gesetzliche Pflicht entgegensteht; rechtswidrig erscheinende Weisungen werden angezeigt.
• Verpflichtung aller zugriffsberechtigten Personen auf Vertraulichkeit und Umsetzung der TOM aus Anlage 1.
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen und Nachweisen, soweit Art und Informationen der Verarbeitung dies ermöglichen.
• Unverzügliche Information über Verletzungen des Schutzes von Auftragsdaten mit den verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO.
• Führung erforderlicher Verzeichnisse und Bereitstellung der zum Nachweis nach Art. 28 DSGVO erforderlichen Informationen.

6. Unterauftragnehmer

Der Auftraggeber erteilt eine allgemeine Genehmigung für die nachstehenden Unterauftragnehmer. Neue oder ersetzende Unterauftragnehmer werden mindestens 30 Tage vorher über die hinterlegte Administrator-E-Mail oder in der Anwendung angekündigt. Der Auftraggeber kann aus nachvollziehbaren Datenschutzgründen widersprechen. Können die Parteien keine angemessene Lösung finden, kann die betroffene Leistung außerordentlich beendet werden.

Der Auftragnehmer verpflichtet Unterauftragnehmer vertraglich zu im Wesentlichen gleichwertigen Datenschutzpflichten. Google reCAPTCHA wird bei der Registrierung als eigener Dienst außerhalb der Auftragsverarbeitung des Kunden eingesetzt und ist in der Datenschutzerklärung beschrieben.

7. Drittlandübermittlungen

Auftragsdaten werden außerhalb des EWR nur auf dokumentierte Weisung oder bei geeigneter Grundlage nach Art. 44 ff. DSGVO verarbeitet, insbesondere Angemessenheitsbeschluss oder EU-Standardvertragsklauseln nebst erforderlichen ergänzenden Maßnahmen. Nachweise werden auf Anfrage bereitgestellt.

8. Kontrollen und Nachweise

Der Auftraggeber darf nach angemessener Vorankündigung höchstens einmal jährlich sowie anlassbezogen Nachweise anfordern oder eine verhältnismäßige Prüfung durchführen lassen. Zunächst werden vorhandene Zertifikate, Prüfberichte und Dokumentationen genutzt. Prüfungen dürfen Sicherheit, Vertraulichkeit und Betrieb anderer Kunden nicht beeinträchtigen; unangemessener Zusatzaufwand kann berechnet werden.

9. Rückgabe und Löschung

Nach Ende der Leistung werden personenbezogene Auftragsdaten nach Wahl des Auftraggebers in einem verfügbaren, gängigen Format zurückgegeben oder gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Während der kostenfreien Nutzung kann die Rückgabe über die in der Anwendung vorhandenen Self-Service-Exporte oder ein anderes geeignetes Standardformat erfolgen; ein individuell aufbereitetes Übergabe- oder Migrationspaket ist nicht geschuldet, soweit zwingendes Recht nichts anderes verlangt.

Kunden mit SaaS-Vertrag erhalten den im Hauptvertrag beschriebenen mandantenbezogenen Standardexport. Die datenschutzrechtlich erforderliche Rückgabe sowie die für einen gesetzlich geschützten Anbieterwechsel notwendigen Standardleistungen werden nicht von einer zusätzlichen Wechselgebühr abhängig gemacht. Gesondert beauftragte Leistungen wie Sonderformate, Datenbereinigung, Mapping oder Migrationsberatung können nach vorheriger Vereinbarung vergütet werden. Nach Beendigung des kostenfreien Zugangs werden produktive Daten ohne Anschlussvertrag spätestens nach 30 Tagen gelöscht. Sicherungen werden gemäß dokumentierten Löschzyklen überschrieben und bis dahin nur für Wiederherstellungs- und Sicherheitszwecke verarbeitet.

10. Haftung und Schlussbestimmungen

Für die Haftung gelten Art. 82 DSGVO und ergänzend die zulässigen Regelungen des Hauptvertrags. Bei Widersprüchen in Datenschutzfragen geht dieser AVV vor. Die elektronische Annahme bei Registrierung oder Vertragsschluss wahrt die Form des Art. 28 Abs. 9 DSGVO.

1. Organisation und Vertraulichkeit

• Vertraulichkeitsverpflichtung und bedarfsgerechte Berechtigungen für zugriffsberechtigte Personen.
• Physischer Schutz der Rechenzentren durch IONOS und AWS nach deren Sicherheitskonzepten.
• Authentifizierung mit individuellen Konten; Passwörter werden mit einem anerkannten Hashing-Verfahren gespeichert.
• Rollen-, Team- und mandantenbezogene Zugriffsregeln sowie logische Trennung der Kundendaten.

2. Integrität und Übertragung

• Verschlüsselte Übertragung über TLS.
• Serverseitige Verschlüsselung gespeicherter Dokumente nach der jeweils eingesetzten AWS-S3-Bucket-Konfiguration.
• Protokollierung sicherheits- und fachlich relevanter Zugriffe und Änderungen, soweit für Nachvollziehbarkeit erforderlich.
• Kontrollierte Softwareänderungen sowie Patch- und Abhängigkeitsmanagement.

3. Verfügbarkeit und Wiederherstellung

• Hosting-, Speicher- und Netzschutzmaßnahmen der eingesetzten Infrastrukturprovider.
• Festgelegte Sicherungs-, Wiederherstellungs- und Löschverfahren; Zugriff auf Sicherungen nur für berechtigte Zwecke.
• Überwachung des Betriebs sowie Verfahren zur Behandlung und Eskalation von Sicherheitsvorfällen.

4. Datenschutzfreundliche Verfahren

• Datenminimierung, zweckbezogene Berechtigungen und Löschmöglichkeiten.
• Regelmäßige Überprüfung von Berechtigungen, Schutzmaßnahmen und Unterauftragnehmern nach Risiko und Anlass.
• KI-Funktionen werden nur auf Nutzeraktion ausgelöst; Ergebnisse müssen menschlich geprüft werden.
• Schutzmaßnahmen werden entsprechend Technik, Risiko und Änderungen der Verarbeitung fortentwickelt.