Datenschutzerklärung

Stand: Juni 2026

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der DSGVO und sonstiger nationaler Datenschutzgesetze:

Onyx Consulting GmbH, Abraham-Lincoln-Straße 44, 65189 Wiesbaden Geschäftsführer: Nicolai Wahl, Jasmin Wahl Telefon: 0611 . 94 58 56 00 · E-Mail: info@onyx-consulting.de Registergericht: Amtsgericht Wiesbaden, HRB 31079 · USt-IdNr.: DE327606855

Datenschutz-Kontakt: datenschutz@herojob.de bzw. postalisch Onyx Consulting GmbH, Abteilung Datenschutz, Anschrift wie oben.

2. Allgemeines, Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten ausschließlich auf Grundlage der gesetzlichen Vorgaben. Maßgebliche Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen), Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung). Soweit Bewerbungsunterlagen besondere Kategorien personenbezogener Daten enthalten, gelten die zusätzlichen Voraussetzungen des Art. 9 DSGVO (siehe Ziffer 6). Beschäftigtendatenschutzrechtliche Sondervorschriften (§ 26 BDSG) wenden wir nur dort an, wo sie im konkreten Verhältnis tatsächlich einschlägig sind.

2a. Pflicht zur Bereitstellung von Daten

Die Bereitstellung der jeweils als Pflichtfelder gekennzeichneten Daten ist für die Einrichtung und Nutzung eines Kontos, die Durchführung von Bewerbungen sowie die Abwicklung kostenpflichtiger Leistungen erforderlich. Eine gesetzliche Pflicht zur Bereitstellung besteht im Regelfall nur für steuer- und handelsrechtlich erforderliche Rechnungsdaten. Stellen Sie die als erforderlich gekennzeichneten Daten nicht bereit, können wir die jeweilige Funktion nicht oder nicht vollständig bereitstellen; die Nutzung der übrigen Plattform bleibt davon unberührt.

3. Aufruf der Website (Server-Logs, Reichweitenmessung)

(1) Server-Logs: Beim Aufruf der Plattform werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, abgerufene Ressource, Browser- und Geräteinformationen) verarbeitet, um Auslieferung, Stabilität und Sicherheit zu gewährleisten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

(2) Interne Reichweiten- und Klickmessung: Wir erfassen aggregierte Nutzungsstatistiken zu Seitenaufrufen, Stellen-Klicks und Bewerbungsstarts. Die IP-Adresse wird hierbei nicht im Klartext gespeichert, sondern – gemeinsam mit dem übermittelten Browser-Kennzeichen (User-Agent) – nur als serverseitig gebildeter Hashwert zur kurzzeitigen Doppelzählungs-Vermeidung verarbeitet. Es werden hierfür keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen. Die Auswertung erfolgt auf eigener Infrastruktur. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Cookies, Einwilligungsmanagement und Reichweitenmessung

(1) Technisch notwendige Cookies: Wir verwenden technisch notwendige Cookies, um die Funktionsfähigkeit der Plattform (u. a. Anmeldung, Sicherheit, Speicherung Ihrer Cookie-Auswahl) zu gewährleisten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TDDDG.

(2) Einwilligungsmanagement: Einwilligungspflichtige Cookies oder Tracker werden erst nach Ihrer Einwilligung über unser Cookie-Banner gesetzt (§ 25 Abs. 1 TDDDG). Die Ablehnung nicht erforderlicher Technologien ist ebenso einfach möglich wie deren Akzeptanz. Ihre Auswahl können Sie dort jederzeit ändern oder mit Wirkung für die Zukunft widerrufen; der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.

(3) Cookielose Reichweitenmessung (Plausible Analytics): Für die Reichweitenmessung nutzen wir Plausible Analytics, einen datensparsamen Webanalysedienst der Plausible Insights OÜ (Estland, EU). Plausible arbeitet cookielos, bildet keine geräteübergreifenden oder personenbezogenen Nutzerprofile und greift nicht auf Informationen in Ihrem Endgerät zu; die Verarbeitung findet innerhalb der EU statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

(4) Klickbetrugs-Erkennung (ClickCease): Ausschließlich mit Ihrer Einwilligung (Banner-Kategorie „Statistiken") setzen wir den Dienst ClickCease ein, um bei unseren Werbeanzeigen Klickbetrug zu erkennen. Dabei werden browser- und IP-bezogene Daten auf auffällige Aufrufmuster analysiert; der Dienst greift auf Informationen Ihres Endgeräts zu und wird daher erst nach Einwilligung geladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Mit dem Einsatz ist eine Übermittlung in ein Drittland außerhalb des EWR verbunden (Israel — für das ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO besteht — sowie ggf. USA); die Garantien hierfür ergeben sich aus Ziffer 16. Sie können diese Einwilligung jederzeit über das Cookie-Banner widerrufen.

5. Registrierung und Konten

(1) Arbeitgeber-Konto: Zur Registrierung verarbeiten wir Unternehmens- und Kontaktdaten (u. a. Firma, Ansprechpartner, Kontaktdaten, ggf. USt-IdNr.). Zweck: Bereitstellung der Arbeitgeber-Funktionen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

(2) Bewerber-Konto: Zur Stellensuche und Bewerbung verarbeiten wir Profil- und Kontaktdaten. Ein Konto kann auch im Zuge einer Bewerbung („Gastbewerbung") angelegt und anschließend per E-Mail-Link aktiviert werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

(3) Anmeldung über Google („Google Sign-In"): Wahlweise können Sie sich über Ihr Google-Konto registrieren und anmelden. Quelle dieser Daten ist Google; für Nutzer im EWR ist insoweit die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, verantwortlich. Wir erhalten die zur Authentifizierung und Kontoerstellung freigegebenen Profildaten, insbesondere die eindeutige Google-Kennung (sub – wir verwenden sie als technischen Schlüssel Ihres Kontos), Ihre E-Mail-Adresse sowie, sofern von Google bereitgestellt, Ihren Namen. Zweck: vereinfachte, passwortlose Registrierung und Anmeldung. Die Nutzung dieses Anmeldewegs ist freiwillig; alternativ können Sie ein Konto allein mit Ihrer E-Mail-Adresse anlegen und sich über einen per E-Mail zugesandten Anmelde-Link ohne Passwort anmelden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; ergänzend gelten die Datenschutzbestimmungen von Google.

5a. Minderjährige

Minderjährige. Unsere Plattform richtet sich an Personen ab 16 Jahren. Personen unter 16 Jahren dürfen sich nicht registrieren und keine Bewerberkonten anlegen; bei der Registrierung wird das Geburtsdatum abgefragt. Wird uns bekannt, dass ein Konto von einer Person unter 16 Jahren angelegt wurde, sperren und löschen wir das Konto. Ab Vollendung des 16. Lebensjahres kannst du datenschutzrechtliche Einwilligungen selbst erteilen (Art. 8 Abs. 1 DSGVO). Kostenpflichtige Leistungen stehen nur volljährigen Nutzern zur Verfügung. Wenn du minderjährig bist, sprich bitte mit deinen Erziehungsberechtigten, bevor du personenbezogene Daten übermittelst. Erziehungsberechtigte können sich bei Fragen zum Datenschutz jederzeit an uns wenden.

6. Bewerberprofil und Bewerbungsunterlagen

(1) Wir verarbeiten die von Ihnen bereitgestellten Profil- und Bewerbungsdaten (u. a. Name, Kontaktdaten, Werdegang, Qualifikationen, Anschreiben, Lebenslauf-Dateien). Zweck: Stellensuche sowie Erstellung und Übermittlung von Bewerbungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

(2) Markieren Sie Ihr Profil als für Arbeitgeber suchbar, kann es im Rahmen der Kandidatensuche (Ziffer 9) gefunden werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Bewerbungsunterlagen (insbesondere Lebenslauf, Anschreiben, Bewerbungsfoto) können besondere Kategorien personenbezogener Daten enthalten (z. B. Gesundheitsdaten, Religionszugehörigkeit, Schwerbehinderung). Wir fragen solche Daten nicht aktiv ab und verwenden sie nicht für Matching, Ranking oder die Suchbarkeit von Profilen. Soweit Sie sie freiwillig in Ihren Unterlagen angeben, verarbeiten wir sie ausschließlich im Rahmen des von Ihnen angestoßenen Bewerbungsverfahrens auf Grundlage Ihrer gesonderten ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können. Diese Einwilligung holen wir gesondert über eine ausdrückliche Bestätigung (Checkbox) beim Absenden Ihrer Bewerbung ein und protokollieren ihre Erteilung (Zeitpunkt, Textversion) zu Nachweiszwecken (Art. 7 Abs. 1 DSGVO). Ihren Widerruf richten Sie formlos an datenschutz@herojob.de; die Übermittlung entsprechender Unterlagen an Arbeitgeber unterbleibt ohne aktive Einwilligung.

(4) Job-Vorschläge / Jobalarm: Auf Grundlage Ihrer Profilangaben – insbesondere Ihrer gewünschten Berufsbezeichnungen und Wunschorte – ermitteln wir passende Stellenangebote und senden sie Ihnen als Job-Vorschläge („Jobalarm") per E-Mail. Der Jobalarm wird nur eingerichtet, wenn Sie ihn beim Abschluss Ihres Profils oder in Ihren Einstellungen aktiv auswählen; Ihre Auswahl wird zu Nachweiszwecken protokolliert (Zeitpunkt, Textfassung). Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 7 Abs. 2 Nr. 3 UWG). Sie können jederzeit kostenlos widersprechen – über den Abmeldelink in jeder E-Mail oder in Ihren Einstellungen; dort können Sie die Häufigkeit auch anpassen (täglich, wöchentlich oder deaktiviert).

6a. Pseudonymisierte Gehaltsangaben (Community-Gehaltsstatistik)

Wenn Sie im Gehalts-Vergleich aktiv zustimmen, speichern wir Ihre Gehaltsangabe zusammen mit der eingegebenen Berufsbezeichnung pseudonymisiert und nutzen sie ausschließlich aggregiert, um Markt-Gehaltsspannen für Berufe zu berechnen. Öffentlich angezeigt werden nur aggregierte, nicht auf Einzelpersonen zurückführbare Werte; eine Verknüpfung mit Ihrem Namen oder Profil erfolgt nicht.

Zweck: Bereitstellung eines marktnahen Gehaltsvergleichs für die HeroJob-Community. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Speicherdauer: bis zum Widerruf bzw. zur Löschung Ihres Kontos. Widerruf/Löschung: Mit Löschung Ihres Kontos wird Ihre Gehaltsangabe dauerhaft von Ihrer Person getrennt (anonymisiert): die pseudonymen Zuordnungsschlüssel und hinterlegte Nachweise werden gelöscht; der reine Gehaltswert bleibt ausschließlich als nicht mehr zuordenbarer Bestandteil der aggregierten Statistik erhalten. Einen Widerruf für die Zukunft können Sie jederzeit über den Support anstoßen.

6b. Firmenbezogene Gehaltsbeiträge

Wenn Sie für eine konkrete Firma freiwillig einen Gehaltsbeitrag abgeben, veröffentlichen wir diesen Beitrag auf der jeweiligen Firmenseite ohne Ihren Namen und ohne Profilverknüpfung, nur in einer Form, die anderen Nutzern eine bessere Einschätzung der Vergütung ermöglicht (insbesondere Berufsbezeichnung, Gehaltsspanne bzw. Gehaltswert und die Zuordnung zur Firma). Die Veröffentlichung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Zur Missbrauchsvermeidung, Moderation und Bearbeitung von Meldungen verarbeiten wir zusätzlich auf Grundlage unseres berechtigten Interesses an der Integrität der Plattform (Art. 6 Abs. 1 lit. f DSGVO) pseudonyme interne Referenzkennungen, die nicht öffentlich angezeigt werden.

Arbeitgeber können einen Gehaltsbeitrag melden, wenn sie ihn für falsch oder missbräuchlich halten. In bestimmten Fällen können wir Sie um einen Anstellungsnachweis bitten. Solche Nachweise werden in einem internen, zugriffsbeschränkten Moderationssystem abgelegt, sind nur für berechtigte Moderationsmitarbeiter zugänglich und werden nicht an Arbeitgeber oder andere Nutzer weitergegeben.

Sie können Ihre Einwilligung zu firmenbezogenen Gehaltsbeiträgen jederzeit in den Bewerber-Einstellungen widerrufen. Der Widerruf entfernt Ihre eigenen firmenbezogenen Gehaltsbeiträge für die Zukunft aus der öffentlichen Anzeige. Anstellungsnachweise und die pseudonyme Autor-Referenz werden spätestens 12 Monate nach abschließender Bearbeitung der Meldung gelöscht.

7. Bewerbungen und Übermittlung an Arbeitgeber

(1) Mit Absenden einer Bewerbung wird ein Datensatz der Bewerbung (einschließlich der ausgewählten Profil- und Formularangaben, ggf. Anschreiben und Lebenslauf) erstellt und dem jeweiligen Arbeitgeber zur Durchführung des Bewerbungsverfahrens bereitgestellt.

(2) Verantwortlichkeit: Für die Erhebung und Übermittlung der Bewerbung legen HeroJob.de und der Arbeitgeber Zweck und wesentliche Mittel teilweise gemeinsam fest – insbesondere durch arbeitgeberseitig definierte Pflicht- und Screening-Fragen. Insoweit besteht für diese Phase eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, deren wesentlicher Inhalt in einer Vereinbarung zwischen HeroJob.de und dem Arbeitgeber geregelt ist. Den wesentlichen Inhalt dieser Vereinbarung stellen wir unter herojob.de/datenschutz/gemeinsame-verantwortlichkeit zur Verfügung (Art. 26 Abs. 2 DSGVO). Für die anschließende Verarbeitung der Bewerbung im eigenen Bewerbungsverfahren – einschließlich interner Notizen oder Bewertungen über Bewerber – ist der Arbeitgeber eigenständig Verantwortlicher (Art. 4 Nr. 7 DSGVO); Auskunfts- und Löschersuchen hierzu sind an den jeweiligen Arbeitgeber zu richten. HeroJob.de bleibt für die eigene fortgesetzte Speicherung, Anzeige und Verarbeitung (einschließlich der KI-Funktionen nach Ziffer 8) Verantwortlicher. Der über die Plattform bereitgestellte Selbstbedienungs-Datenexport (Ziffer 19) umfasst die bei HeroJob.de zu Ihrer Person gespeicherten Daten, nicht die internen Unterlagen des Arbeitgebers. Soweit HeroJob.de einzelne Verarbeitungen ausnahmsweise ausschließlich nach dokumentierter Weisung eines Arbeitgebers erbringt, schließen HeroJob.de und der Arbeitgeber hierfür vor Nutzung eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.

(3) Speicherdauer und Löschung:

• Personenbezogene Daten aus abgelehnten oder abgeschlossenen Bewerbungen werden frühestmöglich entfernt. Soweit wir sie zur Abwehr und Aufklärung möglicher Ansprüche, insbesondere nach dem AGG, noch benötigen, verarbeiten wir diese Daten auf Grundlage unseres berechtigten Interesses an der Rechtsverteidigung nach Art. 6 Abs. 1 lit. f DSGVO für höchstens 6 Monate. Maßgeblich ist dabei insbesondere das Klagefenster nach § 15 Abs. 4 AGG i. V. m. § 61b ArbGG. Nach Ablauf der Frist werden die Daten gelöscht oder in eine nicht mehr personenbezogene statistische Form überführt. Gegen eine auf Art. 6 Abs. 1 lit. f DSGVO beruhende Verarbeitung können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen (Art. 21 DSGVO). Soweit die weitere Speicherung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, kann ein Löschungsanspruch nach Art. 17 Abs. 3 lit. e DSGVO ausgeschlossen sein.
• Abgeschlossene Bewerbungen (abgelehnt oder ohne Ergebnis beendet) können Sie darüber hinaus jederzeit selbst in Ihrem Konto löschen; die personenbezogenen Inhalte der Bewerbung werden dann unverzüglich entfernt.
• Führt eine Bewerbung zu einer Einstellung, stellen wir dem Arbeitgeber die von Ihnen eingereichten Bewerbungsunterlagen für einen Zeitraum von bis zu sechs Monaten ab der Einstellung zum Export bzw. zur Übernahme in seine Personalakte oder sein HR-System bereit. Ab der Übernahme in die Personalakte bzw. das HR-System verarbeitet der Arbeitgeber diese Unterlagen in eigener Verantwortung. Nach Ablauf der Frist entfernen wir die Bewerbungsunterlagen und sonstigen Recruiting-Inhalte aus der Plattform; erhalten bleiben nur die hierfür erforderlichen technischen Übergabe- und Nachweisprotokolle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die befristete Bereitstellung und Übergabe zur Durchführung unserer Plattformleistung erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO hinsichtlich der dokumentierten Übergabe und Nachweisführung. Unser berechtigtes Interesse besteht in einer geordneten Übergabe an den Arbeitgeber und in der revisionssicheren Dokumentation dieser Übergabe. Die Fristbemessung orientiert sich an der gesetzlichen Probezeit.
• Löschen Sie Ihr Bewerber-Konto, werden die bereits an Arbeitgeber übermittelten Bewerbungen in der Plattform unverzüglich zu einer anonymen Hülle reduziert: Name, Kontaktdaten, Anschreiben, Lebenslauf, Formularangaben und KI-Bewertungen werden entfernt; es verbleiben nur nicht-personenbezogene Eckdaten (Stelle, Status, Datum). Eine etwaige eigene Kopie des Arbeitgebers liegt in dessen Verantwortung; entsprechende Wünsche sind an den Arbeitgeber zu richten.
• Löscht ein Arbeitgeber sein Konto, wird das jeweilige Bewerbungsverfahren beendet und der Bewerber hierüber informiert. Die an diesen Arbeitgeber übermittelten Bewerbungen werden anschließend für höchstens sechs Monate aufbewahrt und danach unwiderruflich zu einer anonymen Hülle reduziert. Besteht zu diesem Zeitpunkt ein konkreter, die betreffenden Daten betreffender Rechtsstreit, erfolgt die Anonymisierung erst nach dessen Abschluss.

8. KI-gestützte Funktionen (Profiling, Art. 22 DSGVO)

(1) KI-Bewerber-Ranking: Eingegangene Bewerbungen werden zur Entscheidungsunterstützung des Arbeitgebers vorsortiert. Das Verfahren ist zweistufig: zunächst eine regelbasierte, nicht KI-gestützte Vorbewertung aller Bewerbungen (Qualifikations-, Erfahrungs- und Anschreiben-Merkmale), anschließend eine KI-gestützte Feinbewertung einer begrenzten Auswahl.

(2) Keine ausschließlich automatisierte Einzelentscheidung: Das KI-gestützte Bewerber-Ranking dient ausschließlich der Unterstützung der Sichtung und Priorisierung von Bewerbungen. Eine Zu- oder Absage sowie sonstige Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung werden nicht automatisiert getroffen; die Auswahlentscheidung trifft der Arbeitgeber nach eigener inhaltlicher Prüfung. Alle eingegangenen Bewerbungen bleiben für den Arbeitgeber einsehbar; eine automatische Ablehnung oder systematische Ausblendung allein aufgrund des Rankings erfolgt nicht.

Hinweis zum KI-Einsatz: Für das Bewerber-Ranking setzen wir ein KI-System ein, das im Bereich Rekrutierung und Personalauswahl eingesetzt wird und nach Anhang III Nr. 4(a) der Verordnung (EU) 2024/1689 als Hochrisiko-KI-System einzuordnen sein kann. Hierüber informieren wir Sie vor Übermittlung Ihrer Bewerbung sowie ergänzend in dieser Datenschutzerklärung.

(3) Datenminimierung gegenüber KI-Diensten: Für ausgewählte KI-Funktionen verarbeiten wir Ihre Eingaben, Profilangaben und – je nach Funktion – Textinhalte aus Bewerbungsunterlagen. Vor einer Übermittlung an OpenAI, L.L.C., USA, pseudonymisieren wir diese Inhalte automatisiert, indem wir insbesondere direkte Identifikatoren sowie weitere kontextbezogene Angaben durch Platzhalter ersetzen. An OpenAI werden grundsätzlich nur vorab pseudonymisierte Textausschnitte übermittelt. Eine vollständige Entfernung sämtlicher personenbeziehbarer Angaben kann bei Freitexten jedoch nicht in jedem Einzelfall ausgeschlossen werden. In den Metadaten der KI-Aufrufe wird keine Nutzer-Kennung übermittelt. Die hochgeladene Lebenslauf-Datei selbst wird für das Ranking nicht an KI-Dienste übermittelt.

(4) Eingesetzte KI-Dienste: Für die KI-gestützten Funktionen – insbesondere die Generierung und Optimierung von Stelleninhalten, die inhaltliche Moderation von Inhalten, die unterstützenden Assistenzfunktionen (u. a. im Nachrichten-, Review-, Interview- und Branding-Bereich) sowie das KI-Bewerber-Ranking – wird der Dienst OpenAI, L.L.C., USA, als Auftragsverarbeiter eingesetzt. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln, ergänzend unter Verwendung technischer und organisatorischer Schutzmaßnahmen. Weitere Informationen zu den Garantien erhalten Sie unter datenschutz@herojob.de.

(5) AGG-Schutz: Ergänzende, vom Arbeitgeber definierte Kriterien werden vor Ausführung auf Diskriminierungsfreiheit geprüft; unzulässige Merkmale werden zurückgewiesen.

(6) KI-Profil-Optimierung für Bewerber („AI-Booster"): Auf ausdrückliche Anforderung des Bewerbers (aktive Einwilligung) werden Profilangaben und Textinhalte zur Erstellung und Verbesserung von Profiltexten verarbeitet; an OpenAI werden dabei grundsätzlich nur die nach Absatz 3 vorab pseudonymisierten Textausschnitte übermittelt, nicht die hochgeladene Lebenslauf-Datei selbst. Die Verarbeitung erfolgt im „No-Training"-Modus, d. h. die übermittelten Daten werden nicht zum Training der Modelle verwendet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). OpenAI speichert die übermittelten Daten gemäß seinen Richtlinien für höchstens 30 Tage zur Missbrauchsüberwachung; die bei HeroJob.de erzeugten Verbesserungen bleiben gespeichert, solange Ihr Konto besteht, und können jederzeit in den Einstellungen gelöscht werden. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft in den Einstellungen widerrufen; bereits an OpenAI übermittelte Daten können dort nicht rückwirkend gelöscht werden.

(6a) Interview-Coach: Auf deine ausdrückliche Anforderung unterstützt dich der Interview-Coach mit KI-generierten Übungsfragen und Rückmeldungen zu deinen Antworten. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Es gelten die Absätze 3 und 6 entsprechend: An OpenAI werden nur vorab pseudonymisierte Textausschnitte übermittelt; die Verarbeitung erfolgt im „No-Training"-Modus. Die zur Freischaltung und zum Missbrauchsschutz gespeicherten Angaben werden nach Maßgabe von Ziffer 18 gelöscht.

(7) Transparenz bei KI-gestützter Bewertung: Auf Anfrage erläutern wir Ihnen in verständlicher Form die Rolle des KI-Systems im Bewerbungsprozess, die wesentlichen Kategorien der in das Ranking einbezogenen Kriterien sowie die Grundzüge der Funktionsweise.

Soweit im Einzelfall die Voraussetzungen des Art. 15 Abs. 1 lit. h DSGVO vorliegen, erhalten Sie zudem aussagekräftige Informationen über die zugrunde liegende Logik sowie die Tragweite und die angestrebten Folgen einer automatisierten Verarbeitung. Soweit im Einzelfall die Voraussetzungen des Art. 86 der Verordnung (EU) 2024/1689 vorliegen, erhalten Sie eine klare und aussagekräftige Erläuterung der Rolle des KI-Systems im Entscheidungsverfahren und der Hauptelemente der getroffenen Entscheidung. Wenden Sie sich hierfür an datenschutz@herojob.de.

9. HeroTalents (aktive Kandidatensuche)

Arbeitgeber mit entsprechendem Abonnement können in den als suchbar markierten Bewerberprofilen suchen und Kandidaten kontaktieren. Verarbeitet werden die im Profil bereitgestellten Daten. Bewerber können die Suchbarkeit ihres Profils jederzeit steuern.

Die Suche in den Profilen sowie die Sortierung der Suchergebnisse erfolgen ausschließlich regelbasiert/algorithmisch auf eigener Infrastruktur; eine KI-gestützte Bewertung unter Übermittlung von Profildaten an Dienste außerhalb der EU findet hierbei nicht statt.

10. Nachrichten und Chat

Die Kommunikation zwischen Arbeitgeber und Bewerber über die Plattform wird gespeichert, um den Nachrichtenverlauf bereitzustellen. Nachrichteninhalte werden verschlüsselt gespeichert. Bei Löschung eines Bewerberkontos werden dessen eigene Nachrichteninhalte unkenntlich gemacht. Nachrichteninhalte und Chat-Anhänge zu abgeschlossenen Bewerbungen oder zu Bewerbungen, die zu einer Einstellung geführt haben, werden nach Ablauf der in Ziffer 7 Abs. 3 genannten Fristen entfernt; erhalten bleiben nur technische Metadaten des Verlaufs, soweit diese für Systemintegrität, Nachweisführung oder die Darstellung des Verfahrensstatus erforderlich sind. Zur Begrenzung der Speicherdauer (Art. 5 Abs. 1 lit. e DSGVO) werden Konten, die 24 Monate lang nicht genutzt wurden (kein Login), nach vorheriger Ankündigung per E-Mail und Ablauf einer weiteren Frist gelöscht; die zugehörigen Nachrichteninhalte werden dabei unkenntlich gemacht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

11. Zahlungsabwicklung

Kostenpflichtige Leistungen – von Arbeitgebern (z. B. Premium-Stellenanzeigen, HeroTalents) und von Bewerber:innen (Profil-Boost) – werden über Stripe (Stripe Payments Europe Ltd. / Stripe, Inc., USA) abgewickelt (Kreditkarte, SEPA-Lastschrift). Verarbeitet werden die für die Zahlung erforderlichen Daten. Beim Profil-Boost speichern wir zusätzlich Ihre Zustimmung zum sofortigen Leistungsbeginn (Zeitstempel und Textversion) als Vertrags- und Nachweisbeleg; Rechtsgrundlagen Art. 6 Abs. 1 lit. b und c DSGVO, zur Beweissicherung lit. f. Rechtsgrundlage im Übrigen: Art. 6 Abs. 1 lit. b DSGVO. Zur Rolle von Stripe siehe Ziffer 17; zum Drittlandtransfer siehe Ziffer 16.

12. E-Mail-Versand

Transaktions- und Lifecycle-E-Mails sowie die Job-Vorschläge/Jobalarme (Ziffer 6) versenden wir über unsere eigene Infrastruktur. Verarbeitet werden Empfängeradresse und Nachrichteninhalt. Ein externer E-Mail-Dienstleister wird hierfür nicht eingesetzt; eine Übermittlung in ein Drittland findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Abmeldegründe (freiwillig): Wenn Sie sich von unseren E-Mail-Benachrichtigungen abmelden, können Sie uns auf der Bestätigungsseite freiwillig den Grund Ihrer Abmeldung mitteilen. Wir verarbeiten diese Angaben, um Versandfrequenz, Relevanz und Ausgestaltung unserer Benachrichtigungen zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Angabe ist freiwillig und hat keine Auswirkungen auf Ihre Abmeldung. Wir speichern die Rückmeldung getrennt von Ihren Konto- und Kontaktdaten; eine unmittelbare Verknüpfung mit Ihrem Nutzerkonto erfolgt nicht. Freitextangaben sollten keine personenbezogenen Daten enthalten und werden nur für einen begrenzten Zeitraum verarbeitet (siehe Ziffer 18).

13. Fehler- und Stabilitätsüberwachung

Zur Fehleranalyse und Stabilität setzen wir Sentry (EU-Region) ein. Dabei können technische Fehlerdaten anfallen, die im Einzelfall personenbezogene Daten enthalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

14. Suchfunktion

Für die Stellensuche nutzen wir eine interne Volltextsuche auf eigener Infrastruktur (kein Drittlandtransfer). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

15. Weiterleitung an Bewerbermanagementsysteme der Arbeitgeber

Sofern ein Arbeitgeber dies aktiviert hat, werden eingehende Bewerbungen zusätzlich an ein von ihm betriebenes externes Bewerbermanagementsystem übermittelt. Empfänger und weitere Verarbeitung liegen dann in der Verantwortung des Arbeitgebers (eigener Verantwortlicher).

15a. Verbreitung von Stellenanzeigen über Partner-Jobbörsen (Reichweite und Erfolgsmessung)

Premium-Stellenanzeigen der Arbeitgeber werden über einen XML-Feed an ausgewählte Partner-Jobbörsen weitergegeben und dort zusätzlich ausgespielt; die Partner-Jobbörsen sind für die Ausspielung auf ihren Seiten eigene Verantwortliche. Klicken Sie auf einer Partnerseite auf eine solche Anzeige, werden Sie über eine Weiterleitung auf unsere Stellenseite geführt. Zur Messung von Reichweite und Wirksamkeit dieser Verbreitung, zur Abrechnung mit den Partnern und zur Missbrauchs- und Betrugsvermeidung verarbeiten wir dabei: einen pseudonymisierten Hashwert Ihrer IP-Adresse (keine Speicherung der Klartext-IP-Adresse), den Zeitpunkt des Klicks, die betroffene Stelle, die verweisende Partner-Jobbörse sowie – bei anschließender Bewerbung – die Information, dass die Bewerbung über diese Quelle zustande kam. Die Zuordnung erfolgt cookielos ohne Zugriff auf Endgerätespeicher über signierte Request-Parameter, die beim Seitenaufruf und gegebenenfalls im Magic-Link mitgeführt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Der pseudonymisierte IP-Hashwert wird nach 12 Monaten entfernt; danach werden die Daten ausschließlich in anonymisierter Form zu statistischen Zwecken aufbewahrt. Sie können dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen (Ziffer 19).

15b. Empfehlungsprogramm für Arbeitgeber (Empfehlungs-Zuordnung)

Wenn Sie an unserem Empfehlungsprogramm teilnehmen oder über einen Empfehlungslink, einen QR-Code oder einen Empfehlungscode auf unser Angebot aufmerksam werden, verarbeiten wir personenbezogene Daten, um Empfehlungen zuzuordnen, die Teilnahme am Empfehlungsprogramm abzuwickeln, Missbrauch zu verhindern und Ansprüche nachweisen, geltend machen oder abwehren zu können.

Die Zuordnung einer Empfehlung erfolgt grundsätzlich serverseitig für den laufenden Besuch. Für die Empfehlungs-Zuordnung selbst setzen wir kein persistentes Cookie und keinen sonstigen dauerhaften Speicher auf Ihrem Endgerät ein. Alternativ kann ein Empfehlungscode im Registrierungsformular manuell eingegeben werden.

Dabei verarbeiten wir insbesondere folgende Daten: den Empfehlungscode bzw. die Information aus dem Empfehlungslink, den Zeitpunkt der Zuordnung, den verwendeten Kanal (Link oder QR-Code), die interne Firmen-ID des werbenden Unternehmens, die interne Firmen-ID des geworbenen Unternehmens nach erfolgreicher Registrierung sowie technische Logdaten, soweit diese zur Missbrauchsabwehr, zur Sicherstellung der Funktionsfähigkeit und zur Nachweisführung erforderlich sind.

Im Registrierungsformular kann der Firmenname des werbenden Unternehmens angezeigt werden, damit der Interessent die Zuordnung nachvollziehen und Fehlzuordnungen vermeiden kann. Bei Unternehmen in der Rechtsform einer juristischen Person betrifft dies regelmäßig keine personenbezogenen Daten. Soweit der werbende Betrieb jedoch als Einzelunternehmen, eingetragener Kaufmann/eingetragene Kauffrau oder in sonstiger Form mit personenbeziehbarer Firma auftritt, behandeln wir den angezeigten Firmennamen als personenbezogenes Datum.

Rechtsgrundlage für die Verarbeitung im Zusammenhang mit der Teilnahme und Abwicklung des Empfehlungsprogramms ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die Durchführung der Teilnahmebedingungen erforderlich ist. Soweit wir Daten zur Missbrauchsabwehr, zur technischen Absicherung, zur Vermeidung von Fehlzuordnungen, zur Anzeige des Firmennamens des Werbers im Registrierungsformular sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen verarbeiten, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der ordnungsgemäßen, transparenten und manipulationssicheren Durchführung des Empfehlungsprogramms. Soweit gesetzliche Aufbewahrungspflichten bestehen, erfolgt die Verarbeitung zudem auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Für die Zuordnung gilt der Grundsatz „erste Zuordnung gewinnt". Sobald ein Interessent wirksam einem werbenden Unternehmen zugeordnet wurde, ist eine nachträgliche Umschreibung auf ein anderes werbendes Unternehmen ausgeschlossen.

Empfehlungsdatensätze speichern wir grundsätzlich für die Dauer der Programmteilnahme und darüber hinaus bis zum Ablauf des dritten Kalenderjahres nach Beendigung der Teilnahme beziehungsweise nach der letzten prämienrelevanten Zuordnung, soweit dies zur Missbrauchsabwehr sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Technische Logdaten zur Erkennung und Abwehr von Missbrauch speichern wir grundsätzlich für 90 Tage; bei konkreten Verdachtsfällen bis zur abschließenden Klärung des Vorgangs. Soweit einzelne Unterlagen handels- oder steuerrechtlich relevant sind, bewahren wir diese für die jeweils gesetzlich vorgeschriebene Dauer auf.

Eine Weitergabe Ihrer Daten an externe Dritte zu eigenen Zwecken findet im Zusammenhang mit dem Empfehlungsprogramm nicht statt. Hiervon unberührt bleibt die Anzeige des Firmennamens des werbenden Unternehmens im Registrierungsformular gegenüber dem geworbenen Interessenten, soweit dies Bestandteil der Programmfunktion ist. Dienstleister für Hosting, Betrieb und technische Absicherung verarbeiten Daten ausschließlich in unserem Auftrag und nach Maßgabe der hierzu bestehenden Auftragsverarbeitungsverträge.

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, insbesondere im Zusammenhang mit der Anzeige des Firmennamens des werbenden Unternehmens im Registrierungsformular, haben betroffene Personen das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit Widerspruch nach Art. 21 DSGVO gegen diese Verarbeitung einzulegen (Ziffer 19). Im Falle eines berechtigten Widerspruchs unterbleibt die Anzeige des Firmennamens für künftige Empfehlungen; die Wirksamkeit bereits erfolgter Zuordnungen bleibt hiervon unberührt, soweit zwingende schutzwürdige Gründe oder gesetzliche Aufbewahrungspflichten entgegenstehen.

16. Drittlandtransfers

Einzelne Dienstleister verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA: OpenAI (KI-Funktionen, Ziffer 8), Stripe (Zahlungsabwicklung, Ziffer 11) sowie – nur nach Einwilligung – ClickCease (Klickbetrugs-Erkennung, Ziffer 4). Diese Übermittlungen erfolgen auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um eine dokumentierte Transferprüfung und geeignete technische und organisatorische Zusatzmaßnahmen; soweit ein Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist, stützen wir uns ergänzend hierauf. Eine Kopie der jeweiligen Garantien stellen wir Ihnen auf Anfrage über datenschutz@herojob.de zur Verfügung.

17. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an sorgfältig ausgewählte Empfänger weiter. Dabei unterscheiden wir zwischen Auftragsverarbeitern, die ausschließlich nach unseren Weisungen handeln (Art. 28 DSGVO), und eigenständig Verantwortlichen.

Auftragsverarbeiter (Art. 28 DSGVO):

• Hosting, Datenbank, Cache, E-Mail-Versand (eigene Infrastruktur) – Betrieb der Plattform
• Sentry (EU-Region) – Fehler- und Stabilitätsüberwachung
• Plausible Analytics (Estland, EU) – cookielose Reichweitenmessung
• OpenAI (USA) – KI-Funktionen; Drittlandtransfer nach Ziffer 16
• ClickCease (CHEQ-Gruppe, Israel — Angemessenheitsbeschluss — /ggf. USA, nur nach Einwilligung) – Klickbetrugs-Erkennung bei Werbeanzeigen

Eigenständig Verantwortliche bzw. gesonderte Empfänger:

• Stripe (EU/USA) – Zahlungsabwicklung; Stripe verarbeitet Zahlungs-, KYC- und Betrugspräventionsdaten überwiegend zu eigenen Zwecken und ist insoweit eigener Verantwortlicher
• Arbeitgeber und deren Bewerbermanagementsysteme – Bewerbungsverfahren (vgl. Ziffern 7, 15)
• Partner-Jobbörsen – Ausspielung von Stellenanzeigen (vgl. Ziffer 15a)

18. Speicherdauer (Übersicht)

• Bewerbungs-Daten mit Personenbezug: höchstens 6 Monate nach Abschluss oder Ablehnung; bei Einstellung: Bereitstellung der eingereichten Unterlagen für bis zu 6 Monate ab Einstellung, anschließend Entfernung der Unterlagen und Reduktion der Plattformdaten auf die hierfür erforderliche Restdokumentation.
• Bei Löschung des Bewerber-Kontos: unverzügliche Anonymisierung der übermittelten Bewerbungen; eigene Chat-Nachrichten werden unkenntlich gemacht.
• Bei Löschung des Arbeitgeber-Kontos: Anonymisierung der übermittelten Bewerbungen nach Ablauf der Aufbewahrungsfrist (höchstens 6 Monate); bei laufendem Rechtsstreit erst nach dessen Abschluss.
• Inaktive Konten: Löschung nach 24 Monaten ohne Login (nach vorheriger Ankündigung per E-Mail).
• Nicht abgeschlossene Registrierungen (Onboarding): automatische Löschung 60 Tage nach der letzten Aktivität.
• Interview-Coach-Freischaltungen: E-Mail-Adresse sowie die zum Missbrauchsschutz gespeicherten technischen Angaben (IP-Adresse und Browser-Kennzeichen) werden spätestens 90 Tage nach der Eingabe automatisch gelöscht.
• Freiwillige Abmeldegründe (Ziffer 12): Freitextangaben werden spätestens 90 Tage nach der Abmeldung entfernt; die gewählte Antwortkategorie wird ohne Konto- oder Kontaktdatenbezug für höchstens 12 Monate zu Auswertungszwecken gespeichert.
• Server-, Fehler- und E-Mail-Versandprotokolle: in der Regel 30 Tage; eine längere Aufbewahrung erfolgt nur bei einem konkret dokumentierten Sicherheits- oder Missbrauchsvorfall.
• Im Übrigen: bis zur Zweckerreichung bzw. bis zum Ablauf gesetzlicher Aufbewahrungspflichten (z. B. handels- und steuerrechtlich für Rechnungsdaten).

Nachweise über die Bearbeitung von Anträgen auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) speichern wir für die Dauer von drei Jahren ab Schluss des Kalenderjahres, in dem der Antrag bearbeitet oder abgeschlossen wurde. Der Nachweis umfasst ausschließlich Metadaten zum Vorgang (Antragsart, Eingangs- und Bearbeitungsdatum, Versandform, Ausgang) sowie eine pseudonymisierte Zuordnung zum Nutzerkonto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO; die Frist entspricht der Regelverjährung nach §§ 195, 199 BGB. Bei manuell bearbeiteten Anträgen sowie bei strittigen oder wiederholt exzessiven Anträgen können zusätzlich Klarnamen und Antragstext gespeichert werden, soweit dies zur Bearbeitung, Nachweisführung oder Verteidigung gegen Rechtsansprüche erforderlich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, Art. 17 Abs. 3 lit. e DSGVO.

19. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen. Zu KI-gestützten Bewertungen und den hierzu bestehenden Erläuterungs- und Transparenzinformationen siehe ergänzend Ziffer 8 Abs. 7.

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen Verarbeitungen Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (insbesondere Ziffern 3, 6, 7, 10, 12, 15a und 15b). Wenden Sie sich dazu an datenschutz@herojob.de.

Firmensperrliste: Bewerber:innen können in den Kontoeinstellungen jederzeit einzelne Arbeitgeber sperren. Für gesperrte Arbeitgeber ist das Profil in der Kandidatensuche nicht sichtbar und eine Kontaktaufnahme unterbleibt. Die Firmensperrliste ist eine Ausübung Ihrer Betroffenenrechte (Teil-Widerruf nach Art. 7 Abs. 3 DSGVO bzw. Widerspruch nach Art. 21 DSGVO); sie ist nicht an eine Zustimmung zu neuen Vertragsbedingungen gekoppelt und steht Ihnen daneben formlos über datenschutz@herojob.de offen.

Bearbeitungsfrist: Wir beantworten Anträge zur Ausübung dieser Rechte unverzüglich, in jedem Fall innerhalb eines Monats nach Eingang des Antrags. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist; über eine solche Verlängerung informieren wir Sie innerhalb eines Monats nach Eingang des Antrags unter Angabe der Gründe (Art. 12 Abs. 3 DSGVO).

Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehörde. Zuständig ist insbesondere: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Wiesbaden.

Zur Ausübung Ihrer Rechte sowie für alle Fragen zum Datenschutz wenden Sie sich an: datenschutz@herojob.de.

---

Onyx Consulting GmbH · Abraham-Lincoln-Straße 44 · 65189 Wiesbaden