Datenschutzerklärung

Stand: September 2026

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der DSGVO und sonstiger nationaler Datenschutzgesetze:

Onyx Consulting GmbH, Abraham-Lincoln-Straße 44, 65189 Wiesbaden Geschäftsführer: Nicolai Wahl, Jasmin Wahl Telefon: 0611 . 94 58 56 00 · E-Mail: info@onyx-consulting.de Registergericht: Amtsgericht Wiesbaden, HRB 31079 · USt-IdNr.: DE327606855

1.1 Kontaktdaten des Datenschutzbeauftragten

Der Datenschutzbeauftragte des Verantwortlichen ist zu erreichen unter:

BRAUN Unternehmensdienstleistungen
Andreas Braun
Abraham-Lincoln-Straße 44
65189 Wiesbaden
Mobil: 01520 609 52 92
E-Mail: datenschutz@onyx-consulting.de

2. Allgemeines, Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten ausschließlich auf Grundlage der gesetzlichen Vorgaben. Maßgebliche Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen), Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung). Soweit Bewerbungsunterlagen besondere Kategorien personenbezogener Daten enthalten, gelten die zusätzlichen Voraussetzungen des Art. 9 DSGVO (siehe Ziffer 6). Beschäftigtendatenschutzrechtliche Sondervorschriften (§ 26 BDSG) wenden wir nur dort an, wo sie im konkreten Verhältnis tatsächlich einschlägig sind.

2a. Pflicht zur Bereitstellung von Daten

Die Bereitstellung der jeweils als Pflichtfelder gekennzeichneten Daten ist für die Einrichtung und Nutzung eines Kontos, die Durchführung von Bewerbungen sowie die Abwicklung kostenpflichtiger Leistungen erforderlich. Eine gesetzliche Pflicht zur Bereitstellung besteht im Regelfall nur für steuer- und handelsrechtlich erforderliche Rechnungsdaten. Stellen Sie die als erforderlich gekennzeichneten Daten nicht bereit, können wir die jeweilige Funktion nicht oder nicht vollständig bereitstellen; die Nutzung der übrigen Plattform bleibt davon unberührt.

3. Aufruf der Website (Server-Logs, Reichweitenmessung)

(1) Server-Logs: Beim Aufruf der Plattform werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, abgerufene Ressource, Browser- und Geräteinformationen) verarbeitet, um Auslieferung, Stabilität und Sicherheit zu gewährleisten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

(2) Interne Reichweiten- und Klickmessung: Wir erfassen aggregierte Nutzungsstatistiken zu Seitenaufrufen, Stellen-Klicks und Bewerbungsstarts. Die IP-Adresse wird hierbei nicht im Klartext gespeichert, sondern – gemeinsam mit dem übermittelten Browser-Kennzeichen (User-Agent) – nur als serverseitig gebildeter Hashwert zur kurzzeitigen Doppelzählungs-Vermeidung verarbeitet. Es werden hierfür keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen. Die Auswertung erfolgt auf eigener Infrastruktur. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Cookies, Einwilligungsmanagement und Reichweitenmessung

(1) Technisch notwendige Cookies: Wir verwenden technisch notwendige Cookies, um die Funktionsfähigkeit der Plattform (u. a. Anmeldung, Sicherheit, Speicherung Ihrer Cookie-Auswahl) zu gewährleisten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TDDDG.

(2) Einwilligungsmanagement: Einwilligungspflichtige Cookies oder Tracker werden erst nach Ihrer Einwilligung über unser Cookie-Banner gesetzt (§ 25 Abs. 1 TDDDG). Die Ablehnung nicht erforderlicher Technologien ist ebenso einfach möglich wie deren Akzeptanz. Ihre Auswahl können Sie dort jederzeit ändern oder mit Wirkung für die Zukunft widerrufen; der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Ihre Auswahl speichern wir in den Cookies „laravel_cookie_consent" und „marketing_cookie" mit einer Laufzeit von 12 Monaten; danach fragen wir Sie erneut.

(3) Cookielose Reichweitenmessung (Plausible Analytics): Für die Reichweitenmessung nutzen wir Plausible Analytics, einen datensparsamen Webanalysedienst der Plausible Insights OÜ (Estland, EU). Plausible arbeitet cookielos, bildet keine geräteübergreifenden oder personenbezogenen Nutzerprofile und greift nicht auf Informationen in Ihrem Endgerät zu; die Verarbeitung findet innerhalb der EU statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

(4) Google Bevorzugte Quellen (Preferred Sources): Auf unseren Artikelseiten binden wir einen Button von Google ein, über den Sie HeroJob.de in der Google-Suche als bevorzugte Quelle speichern können; bevorzugte Quellen berücksichtigt Google bei der Zusammenstellung von Suchergebnissen, Top-Meldungen und KI-Übersichten stärker. Das dafür nötige Google-Skript wird ausschließlich nach Ihrer Einwilligung (Banner-Kategorie „Marketing") geladen; ohne diese Einwilligung wird der Button nicht angezeigt und es werden keine Daten an Google übermittelt. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Verarbeitet werden Ihre IP-Adresse, Browser- und Geräteinformationen sowie Datum und Uhrzeit des Aufrufs; bei einem Klick auf den Button zusätzlich Ihre Interaktion und Ihr Google-Konto-Status. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Mit dem Einsatz ist eine Übermittlung in die USA verbunden; die Garantien hierfür ergeben sich aus Ziffer 16. Sie können diese Einwilligung jederzeit über „Cookie-Einstellungen" im Seitenfuß widerrufen. Weitere Informationen zum Datenschutz bei Google: https://policies.google.com/privacy

5. Registrierung und Konten

(1) Arbeitgeber-Konto: Zur Registrierung verarbeiten wir Unternehmens- und Kontaktdaten (u. a. Firma, Ansprechpartner, Kontaktdaten, ggf. USt-IdNr.). Zweck: Bereitstellung der Arbeitgeber-Funktionen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

(2) Bewerber-Konto: Zur Stellensuche und Bewerbung verarbeiten wir Profil- und Kontaktdaten. Ein Konto kann auch im Zuge einer Bewerbung („Gastbewerbung") angelegt und anschließend per E-Mail-Link aktiviert werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

(3) Anmeldung über Google („Google Sign-In"): Wahlweise können Sie sich über Ihr Google-Konto registrieren und anmelden. Quelle dieser Daten ist Google; für Nutzer im EWR ist insoweit die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, verantwortlich. Wir erhalten die zur Authentifizierung und Kontoerstellung freigegebenen Profildaten, insbesondere die eindeutige Google-Kennung (sub – wir verwenden sie als technischen Schlüssel Ihres Kontos), Ihre E-Mail-Adresse sowie, sofern von Google bereitgestellt, Ihren Namen. Zweck: vereinfachte, passwortlose Registrierung und Anmeldung. Die Nutzung dieses Anmeldewegs ist freiwillig; alternativ können Sie ein Konto allein mit Ihrer E-Mail-Adresse anlegen und sich über einen per E-Mail zugesandten Anmelde-Link ohne Passwort anmelden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; ergänzend gelten die Datenschutzbestimmungen von Google.

5a. Minderjährige

Unsere Plattform richtet sich an Personen ab 16 Jahren. Personen unter 16 Jahren dürfen sich nicht registrieren und keine Bewerberkonten anlegen; bei der Registrierung wird das Geburtsdatum abgefragt. Das Geburtsdatum speichern wir in Ihrem Profil, solange Ihr Konto besteht. Wir nutzen es, um das Mindestalter durchzusetzen, altersabhängige Funktionen zu steuern (kostenpflichtige Leistungen nur ab 18 Jahren, KI-Funktionen erst ab 16 Jahren) und es auf Ihren Wunsch in Ihren Lebenslauf zu übernehmen. Arbeitgeber sehen Ihr Geburtsdatum nicht, es sei denn, Sie nehmen es selbst in Ihre Bewerbungsunterlagen auf. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags, der ein Mindestalter vorsieht) und Art. 6 Abs. 1 lit. f DSGVO (Schutz Minderjähriger, Missbrauchsabwehr). Wird uns bekannt, dass ein Konto von einer Person unter 16 Jahren angelegt wurde, sperren und löschen wir das Konto. Ab Vollendung des 16. Lebensjahres können Sie datenschutzrechtliche Einwilligungen selbst erteilen (Art. 8 Abs. 1 DSGVO). Kostenpflichtige Leistungen stehen nur volljährigen Nutzern zur Verfügung. Wenn Sie minderjährig sind, sprechen Sie bitte mit Ihren Erziehungsberechtigten, bevor Sie personenbezogene Daten übermitteln; Erziehungsberechtigte können sich bei Fragen zum Datenschutz jederzeit an uns wenden.

6. Bewerberprofil und Bewerbungsunterlagen

(1) Wir verarbeiten die von Ihnen bereitgestellten Profil- und Bewerbungsdaten (u. a. Name, Kontaktdaten, Werdegang, Qualifikationen, Anschreiben, Lebenslauf-Dateien). Zweck: Stellensuche sowie Erstellung und Übermittlung von Bewerbungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

(2) Markieren Sie Ihr Profil als für Arbeitgeber suchbar, kann es im Rahmen der Kandidatensuche (Ziffer 9) gefunden werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Bewerbungsunterlagen (insbesondere Lebenslauf, Anschreiben, Bewerbungsfoto) können besondere Kategorien personenbezogener Daten enthalten (z. B. Gesundheitsdaten, Religionszugehörigkeit, Schwerbehinderung). Wir fragen solche Daten nicht aktiv ab und verwenden sie nicht für Matching, Ranking oder die Suchbarkeit von Profilen. Soweit Sie sie freiwillig in Ihren Unterlagen angeben, verarbeiten wir sie ausschließlich im Rahmen des von Ihnen angestoßenen Bewerbungsverfahrens auf Grundlage Ihrer gesonderten ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können. Diese Einwilligung holen wir gesondert über eine ausdrückliche Bestätigung (Checkbox) beim Absenden Ihrer Bewerbung ein und protokollieren ihre Erteilung (Zeitpunkt, Textversion) zu Nachweiszwecken (Art. 7 Abs. 1 DSGVO). Ihren Widerruf richten Sie formlos an datenschutz@herojob.de; die Übermittlung entsprechender Unterlagen an Arbeitgeber unterbleibt ohne aktive Einwilligung.

(4) Job-Vorschläge / Jobalarm: Auf Grundlage Ihrer Profilangaben – insbesondere Ihrer gewünschten Berufsbezeichnungen und Wunschorte – ermitteln wir passende Stellenangebote und senden sie Ihnen als Job-Vorschläge („Jobalarm") per E-Mail. Der Jobalarm wird nur eingerichtet, wenn Sie ihn beim Abschluss Ihres Profils oder in Ihren Einstellungen aktiv auswählen; Ihre Auswahl wird zu Nachweiszwecken protokolliert (Zeitpunkt, Textfassung). Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 7 Abs. 2 Nr. 3 UWG). Sie können jederzeit kostenlos widersprechen – über den Abmeldelink in jeder E-Mail oder in Ihren Einstellungen; dort können Sie die Häufigkeit auch anpassen (täglich, wöchentlich oder deaktiviert).

6a. Pseudonymisierte Gehaltsangaben (Community-Gehaltsstatistik)

Wenn Sie im Gehalts-Vergleich aktiv zustimmen, speichern wir Ihre Gehaltsangabe zusammen mit der eingegebenen Berufsbezeichnung pseudonymisiert und nutzen sie ausschließlich aggregiert, um Markt-Gehaltsspannen für Berufe zu berechnen. Öffentlich angezeigt werden nur aggregierte, nicht auf Einzelpersonen zurückführbare Werte; eine Verknüpfung mit Ihrem Namen oder Profil erfolgt nicht.

Zweck: Bereitstellung eines marktnahen Gehaltsvergleichs für die HeroJob-Community. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Speicherdauer: bis zum Widerruf bzw. zur Löschung Ihres Kontos. Widerruf/Löschung: Mit Löschung Ihres Kontos wird Ihre Gehaltsangabe dauerhaft von Ihrer Person getrennt (anonymisiert): die pseudonymen Zuordnungsschlüssel und hinterlegte Nachweise werden gelöscht; der reine Gehaltswert bleibt ausschließlich als nicht mehr zuordenbarer Bestandteil der aggregierten Statistik erhalten. Einen Widerruf für die Zukunft können Sie jederzeit über den Support anstoßen.

6b. Firmenbezogene Gehaltsbeiträge

Wenn Sie für eine konkrete Firma freiwillig einen Gehaltsbeitrag abgeben, veröffentlichen wir diesen Beitrag auf der jeweiligen Firmenseite ohne Ihren Namen und ohne Profilverknüpfung, nur in einer Form, die anderen Nutzern eine bessere Einschätzung der Vergütung ermöglicht (insbesondere Berufsbezeichnung, Gehaltsspanne bzw. Gehaltswert und die Zuordnung zur Firma). Die Veröffentlichung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Zur Missbrauchsvermeidung, Moderation und Bearbeitung von Meldungen verarbeiten wir zusätzlich auf Grundlage unseres berechtigten Interesses an der Integrität der Plattform (Art. 6 Abs. 1 lit. f DSGVO) pseudonyme interne Referenzkennungen, die nicht öffentlich angezeigt werden.

Arbeitgeber können einen Gehaltsbeitrag melden, wenn sie ihn für falsch oder missbräuchlich halten. In bestimmten Fällen können wir Sie um einen Anstellungsnachweis bitten. Solche Nachweise werden in einem internen, zugriffsbeschränkten Moderationssystem abgelegt, sind nur für berechtigte Moderationsmitarbeiter zugänglich und werden nicht an Arbeitgeber oder andere Nutzer weitergegeben.

Sie können Ihre Einwilligung zu firmenbezogenen Gehaltsbeiträgen jederzeit in den Bewerber-Einstellungen widerrufen. Der Widerruf entfernt Ihre eigenen firmenbezogenen Gehaltsbeiträge für die Zukunft aus der öffentlichen Anzeige. Anstellungsnachweise und die pseudonyme Autor-Referenz werden spätestens 12 Monate nach abschließender Bearbeitung der Meldung gelöscht.

6c. Lebenslauf- und Anschreiben-Generator (ohne Konto nutzbar)

(1) Entwurf im Browser: Unsere Generatoren für Lebenslauf und Anschreiben können Sie ohne Konto nutzen. Ihre Eingaben werden zunächst ausschließlich lokal in Ihrem Browser gespeichert. An unsere Server werden Daten erst übertragen, wenn Sie eine der folgenden Funktionen verwenden.

(2) Adress- und Ortssuche: Die Straßensuche im Anschreiben-Generator fragt Vorschläge über unseren Server beim Dienst Photon (komoot) ab; übermittelt werden dabei nur der eingegebene Suchbegriff und ein Postleitzahl-/Ortsbezug, nicht Ihre IP-Adresse. Die Postleitzahlsuche im Lebenslauf-Generator läuft vollständig auf unserer eigenen Infrastruktur.

(3) Foto: Ein hochgeladenes Bewerbungsfoto wird auf unserem Server neu kodiert, um eingebettete Metadaten (z. B. Aufnahmeort) zu entfernen, und unmittelbar an Ihren Browser zurückgegeben. Auf dem Server wird es dabei nicht gespeichert.

(4) KI-Formulierungshilfe: Auf Ihre ausdrückliche Anforderung erstellt die KI Formulierungsvorschläge. Die Funktion aktivieren Sie beim ersten Aufruf durch Bestätigung eines Hinweises; damit erteilen Sie Ihre Einwilligung in die nachfolgend beschriebene Übermittlung (Art. 6 Abs. 1 lit. a DSGVO) und bestätigen, dass Sie mindestens 16 Jahre alt sind. Die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Funktion nicht weiter verwenden oder Ihre Browserdaten für herojob.de löschen; bereits übermittelte Daten bleiben davon unberührt. Im Anschreiben-Generator wird der von Ihnen eingegebene Text zuvor automatisiert pseudonymisiert (Ziffer 8 Abs. 1) und an OpenAI übermittelt; schlägt die Pseudonymisierung fehl, unterbleibt die Übermittlung. Im Lebenslauf-Generator werden nur die Art des gewünschten Textes, die Berufsbezeichnung, die Branche und die Anzahl der Berufsjahre übermittelt, kein Freitext. Die Verarbeitung bei OpenAI erfolgt im „No-Training"-Modus; es gelten Ziffer 8 Abs. 1 und 2.

(5) Download und Kontoerstellung: Für den Download übertragen Sie den vollständigen Inhalt Ihres Dokuments an unseren Server, der daraus die Datei (PDF/DOCX) erzeugt. Ohne Konto ist dafür Ihre E-Mail-Adresse erforderlich. Wir legen dann noch kein Konto an: Ihre Eingaben werden für höchstens 25 Minuten zwischengespeichert, und Sie erhalten eine Bestätigungs-E-Mail. Erst wenn Sie den Bestätigungslink anklicken, entsteht ein kostenloses Bewerberkonto, und die Angaben aus Ihrem Lebenslauf werden in Ihr Profil sowie das erzeugte PDF in Ihr Konto übernommen (ab dann gelten Ziffern 5 und 6). Klicken Sie nicht, verfallen die zwischengespeicherten Daten. Beim Anschreiben speichern wir nach dem Download nur Vorlage, Dateiformat, Stellenbezeichnung, Firmenname und einen Hashwert Ihrer E-Mail-Adresse, nicht den Text; ohne Kontobestätigung werden diese Angaben nach 90 Tagen gelöscht. Sind Sie bereits angemeldet, gilt Abweichendes: Das erzeugte Dokument – Lebenslauf oder Anschreiben – wird als Datei in Ihrem Konto gespeichert, die Angaben aus Ihrem Lebenslauf werden in Ihr Profil übernommen; Sie können beides dort jederzeit löschen. Die Speicherung endet spätestens mit der Löschung Ihres Kontos.

(6) Missbrauchsschutz: Zur Begrenzung von Anfragen und zur Abwehr von Missbrauch protokollieren wir je Aufruf der Funktionen Zeitpunkt, Funktion, Ergebnis sowie Hashwerte Ihrer E-Mail-Adresse, IP-Adresse und Browserkennung. Diese Protokolle werden nach 30 Tagen gelöscht. Ihre beim Download erklärte Zustimmung zu den Nutzungsbedingungen protokollieren wir mit Zeitpunkt und Textfassung; kommt kein Konto zustande, wird dieser Nachweis nach 6 Monaten gelöscht.

(7) Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für die Erzeugung Ihres Dokuments und die Kontoerstellung; Art. 6 Abs. 1 lit. a DSGVO für die KI-Formulierungshilfe (Absatz 4); Art. 6 Abs. 1 lit. f DSGVO für Missbrauchsschutz und Nachweisführung. Ihre E-Mail-Adresse verwenden wir ausschließlich für die Bestätigungs- bzw. Anmelde-E-Mail, nicht für Werbung.

6d. Arbeitgeberbewertungen

(1) Angemeldete Bewerber:innen können ein Unternehmen, bei dem sie beschäftigt sind oder waren, einmal bewerten. Wir verarbeiten dabei Ihre Sternebewertungen in sechs Kategorien, Ihre Freitexte (Positives, Verbesserungswürdiges), Ihre Weiterempfehlung, Ihren Beschäftigungsstatus (aktuell/ehemalig), Ihre Berufsbezeichnung und Ihre Wahl, ob die Bewertung anonym erscheint. Standardmäßig ist die Bewertung anonym; wählen Sie die Namensanzeige, erscheint Ihr Vorname mit dem Anfangsbuchstaben des Nachnamens.

(2) Veröffentlichung und Moderation: Bewertungen werden vor der Veröffentlichung automatisiert auf Verstöße gegen unsere Bewertungsrichtlinien geprüft (KI-gestützte Inhaltsmoderation, Ziffer 8 Abs. 2; unklare Fälle prüft ein Mensch) und danach auf der Firmenseite veröffentlicht. Bearbeiten Sie Ihre Bewertung, sichern wir die vorherige Fassung als verschlüsselte Revision, um Änderungen nachvollziehen zu können. Arbeitgeber können öffentlich auf Bewertungen antworten und Bewertungen melden; Meldungen bearbeiten wir nach Ziffer 12c.

(3) Rechtsgrundlagen und Speicherdauer: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Bewertungsfunktion als Teil der Plattformnutzung) und Art. 6 Abs. 1 lit. f DSGVO (Moderation, Missbrauchsabwehr, Nachweisführung). Ihre Bewertungen bleiben veröffentlicht, bis Sie sie löschen. Löschen Sie Ihr Konto, ohne Ihre Bewertungen vorher zu löschen, bleiben diese anonymisiert veröffentlicht: Die Verknüpfung zu Ihrem Konto, Ihre Berufsbezeichnung, eine gewählte Namensanzeige und die gesicherten Revisionen werden gelöscht; es verbleiben Sternebewertungen, Freitexte, Weiterempfehlung, Beschäftigungsstatus und die Arbeitgeber-Antwort ohne Personenbezug. Möchten Sie das nicht, löschen Sie Ihre Bewertungen vor der Kontolöschung; im Löschdialog weisen wir Sie darauf hin. Gegen die auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung können Sie nach Ziffer 19 Widerspruch einlegen.

7. Bewerbungen und Übermittlung an Arbeitgeber

(1) Mit Absenden einer Bewerbung wird ein Datensatz der Bewerbung (einschließlich der ausgewählten Profil- und Formularangaben, ggf. Anschreiben und Lebenslauf) erstellt und dem jeweiligen Arbeitgeber zur Durchführung des Bewerbungsverfahrens bereitgestellt.

(2) Verantwortlichkeit: Für die Erhebung und Übermittlung der Bewerbung legen HeroJob.de und der Arbeitgeber Zweck und wesentliche Mittel teilweise gemeinsam fest – insbesondere durch arbeitgeberseitig definierte Pflicht- und Screening-Fragen. Insoweit besteht für diese Phase eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, deren wesentlicher Inhalt in einer Vereinbarung zwischen HeroJob.de und dem Arbeitgeber geregelt ist. Den vollständigen Text dieser Vereinbarung stellen wir unter herojob.de/datenschutz/gemeinsame-verantwortlichkeit zur Verfügung (Art. 26 Abs. 2 DSGVO). Für die anschließende Verarbeitung der Bewerbung im eigenen Bewerbungsverfahren – einschließlich interner Notizen oder Bewertungen über Bewerber – ist der Arbeitgeber eigenständig Verantwortlicher (Art. 4 Nr. 7 DSGVO); Auskunfts- und Löschersuchen hierzu sind an den jeweiligen Arbeitgeber zu richten. HeroJob.de bleibt für die eigene fortgesetzte Speicherung, Anzeige und Verarbeitung (einschließlich der KI-Funktionen nach Ziffer 8) Verantwortlicher. Der über die Plattform bereitgestellte Selbstbedienungs-Datenexport (Ziffer 19) umfasst die bei HeroJob.de zu Ihrer Person gespeicherten Daten, nicht die internen Unterlagen des Arbeitgebers. Soweit HeroJob.de einzelne Verarbeitungen ausnahmsweise ausschließlich nach dokumentierter Weisung eines Arbeitgebers erbringt, schließen HeroJob.de und der Arbeitgeber hierfür vor Nutzung eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.

(3) Speicherdauer und Löschung:

Personenbezogene Daten aus abgelehnten oder abgeschlossenen Bewerbungen werden frühestmöglich entfernt. Soweit wir sie zur Abwehr und Aufklärung möglicher Ansprüche, insbesondere nach dem AGG, noch benötigen, verarbeiten wir diese Daten auf Grundlage unseres berechtigten Interesses an der Rechtsverteidigung nach Art. 6 Abs. 1 lit. f DSGVO für höchstens 6 Monate. Maßgeblich ist dabei insbesondere das Klagefenster nach § 15 Abs. 4 AGG i. V. m. § 61b ArbGG. Nach Ablauf der Frist werden die Daten gelöscht oder in eine nicht mehr personenbezogene statistische Form überführt. Gegen eine auf Art. 6 Abs. 1 lit. f DSGVO beruhende Verarbeitung können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen (Art. 21 DSGVO). Soweit die weitere Speicherung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, kann ein Löschungsanspruch nach Art. 17 Abs. 3 lit. e DSGVO ausgeschlossen sein.
Abgeschlossene Bewerbungen (abgelehnt oder ohne Ergebnis beendet) können Sie darüber hinaus jederzeit selbst in Ihrem Konto löschen; die personenbezogenen Inhalte der Bewerbung werden dann unverzüglich entfernt.
Führt eine Bewerbung zu einer Einstellung, stellen wir dem Arbeitgeber die von Ihnen eingereichten Bewerbungsunterlagen für einen Zeitraum von bis zu sechs Monaten ab der Einstellung zum Export bzw. zur Übernahme in seine Personalakte oder sein HR-System bereit. Ab der Übernahme in die Personalakte bzw. das HR-System verarbeitet der Arbeitgeber diese Unterlagen in eigener Verantwortung. Nach Ablauf der Frist entfernen wir die Bewerbungsunterlagen und sonstigen Recruiting-Inhalte aus der Plattform; erhalten bleiben nur die hierfür erforderlichen technischen Übergabe- und Nachweisprotokolle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die befristete Bereitstellung und Übergabe zur Durchführung unserer Plattformleistung erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO hinsichtlich der dokumentierten Übergabe und Nachweisführung. Unser berechtigtes Interesse besteht in einer geordneten Übergabe an den Arbeitgeber und in der revisionssicheren Dokumentation dieser Übergabe. Die Fristbemessung orientiert sich an der gesetzlichen Probezeit.
Löschen Sie Ihr Bewerber-Konto, werden die bereits an Arbeitgeber übermittelten Bewerbungen in der Plattform unverzüglich zu einer anonymen Hülle reduziert: Name, Kontaktdaten, Anschreiben, Lebenslauf und Formularangaben werden entfernt; es verbleiben nur nicht-personenbezogene Eckdaten (Stelle, Status, Datum). Eine etwaige eigene Kopie des Arbeitgebers liegt in dessen Verantwortung; entsprechende Wünsche sind an den Arbeitgeber zu richten.
Löscht ein Arbeitgeber sein Konto, wird das jeweilige Bewerbungsverfahren beendet und der Bewerber hierüber informiert. Die an diesen Arbeitgeber übermittelten Bewerbungen werden anschließend für höchstens sechs Monate aufbewahrt und danach unwiderruflich zu einer anonymen Hülle reduziert. Besteht zu diesem Zeitpunkt ein konkreter, die betreffenden Daten betreffender Rechtsstreit, erfolgt die Anonymisierung erst nach dessen Abschluss.

8. KI-gestützte Funktionen

(1) Datenminimierung gegenüber KI-Diensten: Für ausgewählte KI-Funktionen verarbeiten wir Ihre Eingaben, Profilangaben und – je nach Funktion – Textinhalte aus Bewerbungsunterlagen. Vor einer Übermittlung an OpenAI, L.L.C., USA, pseudonymisieren wir diese Inhalte automatisiert, indem wir insbesondere direkte Identifikatoren sowie weitere kontextbezogene Angaben durch Platzhalter ersetzen. An OpenAI werden grundsätzlich nur vorab pseudonymisierte Textausschnitte übermittelt. Eine vollständige Entfernung sämtlicher personenbeziehbarer Angaben kann bei Freitexten jedoch nicht in jedem Einzelfall ausgeschlossen werden. In den Metadaten der KI-Aufrufe wird keine Nutzer-Kennung übermittelt. Die hochgeladene Lebenslauf-Datei selbst wird nicht an KI-Dienste übermittelt.

(2) Eingesetzte KI-Dienste: Für die KI-gestützten Funktionen – insbesondere die Generierung und Optimierung von Stelleninhalten, die inhaltliche Moderation von Inhalten sowie die unterstützenden Assistenzfunktionen (u. a. im Nachrichten-, Review-, Interview- und Branding-Bereich) – wird der Dienst OpenAI, L.L.C., USA, als Auftragsverarbeiter eingesetzt. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln, ergänzend unter Verwendung technischer und organisatorischer Schutzmaßnahmen. Weitere Informationen zu den Garantien erhalten Sie unter datenschutz@herojob.de.

(3) KI-Profil-Optimierung für Bewerber („AI-Booster"): Auf ausdrückliche Anforderung des Bewerbers (aktive Einwilligung) werden Profilangaben und Textinhalte zur Erstellung und Verbesserung von Profiltexten verarbeitet; an OpenAI werden dabei grundsätzlich nur die nach Absatz 1 vorab pseudonymisierten Textausschnitte übermittelt, nicht die hochgeladene Lebenslauf-Datei selbst. Die Verarbeitung erfolgt im „No-Training"-Modus, d. h. die übermittelten Daten werden nicht zum Training der Modelle verwendet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). OpenAI speichert die übermittelten Daten gemäß seinen Richtlinien für höchstens 30 Tage zur Missbrauchsüberwachung; die bei HeroJob.de erzeugten Verbesserungen bleiben gespeichert, solange Ihr Konto besteht, und können jederzeit in den Einstellungen gelöscht werden. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft in den Einstellungen widerrufen; bereits an OpenAI übermittelte Daten können dort nicht rückwirkend gelöscht werden.

(4) Interview-Coach: Auf Ihre ausdrückliche Anforderung unterstützt Sie der Interview-Coach mit KI-generierten Übungsfragen und Rückmeldungen zu Ihren Antworten. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Es gelten die Absätze 1 und 3 entsprechend: An OpenAI werden nur vorab pseudonymisierte Textausschnitte übermittelt; die Verarbeitung erfolgt im „No-Training"-Modus. Die zur Freischaltung und zum Missbrauchsschutz gespeicherten Angaben werden nach Maßgabe von Ziffer 18 gelöscht.

(5) Keine automatisierten Entscheidungen: Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) findet auf der Plattform nicht statt. Eingegangene Bewerbungen werden von uns nicht durch KI bewertet oder vorsortiert; die Sichtung und Auswahl trifft der Arbeitgeber.

9. HeroTalents (aktive Kandidatensuche)

Arbeitgeber mit entsprechendem Abonnement können in den als suchbar markierten Bewerberprofilen suchen und Kandidaten kontaktieren. Verarbeitet werden die im Profil bereitgestellten Daten. Bewerber können die Suchbarkeit ihres Profils jederzeit steuern.

Die Suche in den Profilen sowie die Sortierung der Suchergebnisse erfolgen ausschließlich regelbasiert/algorithmisch auf eigener Infrastruktur; eine KI-gestützte Bewertung unter Übermittlung von Profildaten an Dienste außerhalb der EU findet hierbei nicht statt.

10. Nachrichten und Chat

Die Kommunikation zwischen Arbeitgeber und Bewerber über die Plattform wird gespeichert, um den Nachrichtenverlauf bereitzustellen. Nachrichteninhalte werden verschlüsselt gespeichert. Bei Löschung eines Bewerberkontos werden dessen eigene Nachrichteninhalte unkenntlich gemacht. Nachrichteninhalte und Chat-Anhänge zu abgeschlossenen Bewerbungen oder zu Bewerbungen, die zu einer Einstellung geführt haben, werden nach Ablauf der in Ziffer 7 Abs. 3 genannten Fristen entfernt; erhalten bleiben nur technische Metadaten des Verlaufs, soweit diese für Systemintegrität, Nachweisführung oder die Darstellung des Verfahrensstatus erforderlich sind. Zur Begrenzung der Speicherdauer (Art. 5 Abs. 1 lit. e DSGVO) werden Konten, die 24 Monate lang nicht genutzt wurden (kein Login), nach vorheriger Ankündigung per E-Mail und Ablauf einer weiteren Frist gelöscht; die zugehörigen Nachrichteninhalte werden dabei unkenntlich gemacht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

11. Zahlungsabwicklung

Kostenpflichtige Leistungen – von Arbeitgebern (z. B. Premium-Stellenanzeigen, HeroTalents) und von Bewerber:innen (Profil-Boost) – werden über Stripe (Stripe Payments Europe Ltd. / Stripe, Inc., USA) abgewickelt (Kreditkarte, SEPA-Lastschrift). Verarbeitet werden die für die Zahlung erforderlichen Daten. Beim Profil-Boost speichern wir zusätzlich Ihre Zustimmung zum sofortigen Leistungsbeginn (Zeitstempel und Textversion) als Vertrags- und Nachweisbeleg; Rechtsgrundlagen Art. 6 Abs. 1 lit. b und c DSGVO, zur Beweissicherung lit. f. Rechtsgrundlage im Übrigen: Art. 6 Abs. 1 lit. b DSGVO. Zur Rolle von Stripe siehe Ziffer 17; zum Drittlandtransfer siehe Ziffer 16.

12. E-Mail-Versand

Transaktions- und Lifecycle-E-Mails sowie die Job-Vorschläge/Jobalarme (Ziffer 6) versenden wir über unsere eigene Infrastruktur. Verarbeitet werden Empfängeradresse und Nachrichteninhalt. Ein externer E-Mail-Dienstleister wird hierfür nicht eingesetzt; eine Übermittlung in ein Drittland findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Abmeldegründe (freiwillig): Wenn Sie sich von unseren E-Mail-Benachrichtigungen abmelden, können Sie uns auf der Bestätigungsseite freiwillig den Grund Ihrer Abmeldung mitteilen. Wir verarbeiten diese Angaben, um Versandfrequenz, Relevanz und Ausgestaltung unserer Benachrichtigungen zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Angabe ist freiwillig und hat keine Auswirkungen auf Ihre Abmeldung. Wir speichern die Rückmeldung getrennt von Ihren Konto- und Kontaktdaten; eine unmittelbare Verknüpfung mit Ihrem Nutzerkonto erfolgt nicht. Freitextangaben sollten keine personenbezogenen Daten enthalten und werden nur für einen begrenzten Zeitraum verarbeitet (siehe Ziffer 18).

12a. Kontaktformular

Über unser Kontaktformular übermitteln Sie Name, E-Mail-Adresse, optional einen Betreff, Ihre Nachricht und die Angabe, ob Sie sich als Bewerber:in oder Arbeitgeber melden. Die Anfrage wird als E-Mail an unser Support-Postfach zugestellt und nicht in einer Datenbank gespeichert. Zweck ist die Bearbeitung Ihres Anliegens. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Kommunikation) und Art. 6 Abs. 1 lit. f DSGVO (Beantwortung allgemeiner Anfragen). Wir löschen Anfragen, sobald Ihr Anliegen erledigt ist, spätestens zwölf Monate nach der letzten Kommunikation, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zum Schutz vor automatisierten Anfragen enthält das Formular ein für Menschen unsichtbares Prüffeld; dabei werden keine zusätzlichen Daten erhoben und keine Drittanbieter eingebunden.

12b. Online-Widerrufsfunktion (§ 356a BGB)

Erklären Sie den Widerruf eines mit uns geschlossenen Vertrags über unser Widerrufsformular, speichern wir Name, E-Mail-Adresse, Ihre Angaben zum Vertrag, Datum und Uhrzeit des Eingangs sowie – zur Abwehr von Missbrauch und zum Nachweis des Eingangs – einen Hashwert Ihrer IP-Adresse und Ihre Browserkennung. Sie erhalten eine Eingangsbestätigung per E-Mail und einen persönlichen Link, unter dem Sie den Bearbeitungsstand einsehen können. Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Bestätigungs- und Aufbewahrungspflichten, § 356a Abs. 4 BGB, § 257 HGB) und Art. 6 Abs. 1 lit. f DSGVO (Nachweisführung). Abgeschlossene Widerrufserklärungen löschen wir sechs Jahre nach Ende des Kalenderjahres, in dem sie eingegangen sind.

12c. Meldungen von Inhalten

Sie können Stellenanzeigen, Arbeitgeberbewertungen und Gehaltsbeiträge über die jeweilige Meldefunktion oder über unsere Kontaktstelle (Impressum) melden. Wir verarbeiten dabei den Meldegrund, Ihre Begründung sowie – bei Stellenanzeigen – Ihren Namen, Ihre E-Mail-Adresse und optional Ihre Telefonnummer, um die Meldung zu prüfen, Rückfragen zu stellen und Sie über das Ergebnis zu informieren. Angemeldete Nutzer und Arbeitgeber melden über ihr Konto. Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO (Melde- und Abhilfeverfahren nach Art. 16 und 17 der Verordnung (EU) 2022/2065, DSA) und Art. 6 Abs. 1 lit. f DSGVO (Integrität der Plattform, Missbrauchsabwehr). Meldungen und unsere Entscheidung dazu bewahren wir zwölf Monate nach Abschluss der Prüfung auf und löschen sie danach.

13. Fehler- und Stabilitätsüberwachung

Zur Fehleranalyse und Stabilität setzen wir Sentry (EU-Region) ein. Dabei können technische Fehlerdaten anfallen, die im Einzelfall personenbezogene Daten enthalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

14. Suchfunktion

Für die Stellensuche nutzen wir eine interne Volltextsuche auf eigener Infrastruktur (kein Drittlandtransfer). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

15. Weiterleitung an Bewerbermanagementsysteme der Arbeitgeber

Sofern ein Arbeitgeber dies aktiviert hat, werden eingehende Bewerbungen zusätzlich an ein von ihm betriebenes externes Bewerbermanagementsystem übermittelt. Empfänger und weitere Verarbeitung liegen dann in der Verantwortung des Arbeitgebers (eigener Verantwortlicher).

15a. Verbreitung von Stellenanzeigen über Partner-Jobbörsen (Reichweite und Erfolgsmessung)

Premium-Stellenanzeigen der Arbeitgeber werden über einen XML-Feed an ausgewählte Partner-Jobbörsen weitergegeben und dort zusätzlich ausgespielt; die Partner-Jobbörsen sind für die Ausspielung auf ihren Seiten eigene Verantwortliche. Klicken Sie auf einer Partnerseite auf eine solche Anzeige, werden Sie über eine Weiterleitung auf unsere Stellenseite geführt. Zur Messung von Reichweite und Wirksamkeit dieser Verbreitung, zur Abrechnung mit den Partnern und zur Missbrauchs- und Betrugsvermeidung verarbeiten wir dabei: einen pseudonymisierten Hashwert Ihrer IP-Adresse (keine Speicherung der Klartext-IP-Adresse), den Zeitpunkt des Klicks, die betroffene Stelle, die verweisende Partner-Jobbörse sowie – bei anschließender Bewerbung – die Information, dass die Bewerbung über diese Quelle zustande kam. Die Zuordnung erfolgt cookielos ohne Zugriff auf Endgerätespeicher über signierte Request-Parameter, die beim Seitenaufruf und gegebenenfalls im Magic-Link mitgeführt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Der pseudonymisierte IP-Hashwert wird nach 12 Monaten entfernt; danach werden die Daten ausschließlich in anonymisierter Form zu statistischen Zwecken aufbewahrt. Sie können dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen (Ziffer 19).

15b. Empfehlungsprogramm für Arbeitgeber (Empfehlungs-Zuordnung)

Wenn Sie an unserem Empfehlungsprogramm teilnehmen oder über einen Empfehlungslink, einen QR-Code oder einen Empfehlungscode auf unser Angebot aufmerksam werden, verarbeiten wir personenbezogene Daten, um Empfehlungen zuzuordnen, die Teilnahme am Empfehlungsprogramm abzuwickeln, Missbrauch zu verhindern und Ansprüche nachweisen, geltend machen oder abwehren zu können.

Die Zuordnung einer Empfehlung erfolgt grundsätzlich serverseitig für den laufenden Besuch. Für die Empfehlungs-Zuordnung selbst setzen wir kein persistentes Cookie und keinen sonstigen dauerhaften Speicher auf Ihrem Endgerät ein. Alternativ kann ein Empfehlungscode im Registrierungsformular manuell eingegeben werden.

Dabei verarbeiten wir insbesondere folgende Daten: den Empfehlungscode bzw. die Information aus dem Empfehlungslink, den Zeitpunkt der Zuordnung, den verwendeten Kanal (Link oder QR-Code), die interne Firmen-ID des werbenden Unternehmens, die interne Firmen-ID des geworbenen Unternehmens nach erfolgreicher Registrierung sowie technische Logdaten, soweit diese zur Missbrauchsabwehr, zur Sicherstellung der Funktionsfähigkeit und zur Nachweisführung erforderlich sind.

Im Registrierungsformular kann der Firmenname des werbenden Unternehmens angezeigt werden, damit der Interessent die Zuordnung nachvollziehen und Fehlzuordnungen vermeiden kann. Bei Unternehmen in der Rechtsform einer juristischen Person betrifft dies regelmäßig keine personenbezogenen Daten. Soweit der werbende Betrieb jedoch als Einzelunternehmen, eingetragener Kaufmann/eingetragene Kauffrau oder in sonstiger Form mit personenbeziehbarer Firma auftritt, behandeln wir den angezeigten Firmennamen als personenbezogenes Datum.

Rechtsgrundlage für die Verarbeitung im Zusammenhang mit der Teilnahme und Abwicklung des Empfehlungsprogramms ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die Durchführung der Teilnahmebedingungen erforderlich ist. Soweit wir Daten zur Missbrauchsabwehr, zur technischen Absicherung, zur Vermeidung von Fehlzuordnungen, zur Anzeige des Firmennamens des Werbers im Registrierungsformular sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen verarbeiten, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der ordnungsgemäßen, transparenten und manipulationssicheren Durchführung des Empfehlungsprogramms. Soweit gesetzliche Aufbewahrungspflichten bestehen, erfolgt die Verarbeitung zudem auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Für die Zuordnung gilt der Grundsatz „erste Zuordnung gewinnt". Sobald ein Interessent wirksam einem werbenden Unternehmen zugeordnet wurde, ist eine nachträgliche Umschreibung auf ein anderes werbendes Unternehmen ausgeschlossen.

Empfehlungsdatensätze speichern wir grundsätzlich für die Dauer der Programmteilnahme und darüber hinaus bis zum Ablauf des dritten Kalenderjahres nach Beendigung der Teilnahme beziehungsweise nach der letzten prämienrelevanten Zuordnung, soweit dies zur Missbrauchsabwehr sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Technische Logdaten zur Erkennung und Abwehr von Missbrauch speichern wir grundsätzlich für 90 Tage; bei konkreten Verdachtsfällen bis zur abschließenden Klärung des Vorgangs. Soweit einzelne Unterlagen handels- oder steuerrechtlich relevant sind, bewahren wir diese für die jeweils gesetzlich vorgeschriebene Dauer auf.

Eine Weitergabe Ihrer Daten an externe Dritte zu eigenen Zwecken findet im Zusammenhang mit dem Empfehlungsprogramm nicht statt. Hiervon unberührt bleibt die Anzeige des Firmennamens des werbenden Unternehmens im Registrierungsformular gegenüber dem geworbenen Interessenten, soweit dies Bestandteil der Programmfunktion ist. Dienstleister für Hosting, Betrieb und technische Absicherung verarbeiten Daten ausschließlich in unserem Auftrag und nach Maßgabe der hierzu bestehenden Auftragsverarbeitungsverträge.

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, insbesondere im Zusammenhang mit der Anzeige des Firmennamens des werbenden Unternehmens im Registrierungsformular, haben betroffene Personen das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit Widerspruch nach Art. 21 DSGVO gegen diese Verarbeitung einzulegen (Ziffer 19). Im Falle eines berechtigten Widerspruchs unterbleibt die Anzeige des Firmennamens für künftige Empfehlungen; die Wirksamkeit bereits erfolgter Zuordnungen bleibt hiervon unberührt, soweit zwingende schutzwürdige Gründe oder gesetzliche Aufbewahrungspflichten entgegenstehen.

16. Drittlandtransfers

Einzelne Dienstleister verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA: OpenAI (KI-Funktionen, Ziffer 8), Stripe (Zahlungsabwicklung, Ziffer 11) sowie – nur nach Einwilligung – Google (Bevorzugte Quellen, Ziffer 4). Diese Übermittlungen erfolgen auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um eine dokumentierte Transferprüfung und geeignete technische und organisatorische Zusatzmaßnahmen; soweit ein Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist, stützen wir uns ergänzend hierauf. Eine Kopie der jeweiligen Garantien stellen wir Ihnen auf Anfrage über datenschutz@herojob.de zur Verfügung.

17. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an sorgfältig ausgewählte Empfänger weiter. Dabei unterscheiden wir zwischen Auftragsverarbeitern, die ausschließlich nach unseren Weisungen handeln (Art. 28 DSGVO), und eigenständig Verantwortlichen.

Auftragsverarbeiter (Art. 28 DSGVO):

Hosting, Datenbank, Cache, E-Mail-Versand (eigene Infrastruktur) – Betrieb der Plattform
Sentry (EU-Region) – Fehler- und Stabilitätsüberwachung
Plausible Analytics (Estland, EU) – cookielose Reichweitenmessung
OpenAI (USA) – KI-Funktionen; Drittlandtransfer nach Ziffer 16
Google Ireland Limited (Irland; Übermittlung in die USA möglich, nur nach Einwilligung) – Button „Bevorzugte Quellen" auf Artikelseiten

Eigenständig Verantwortliche bzw. gesonderte Empfänger:

Stripe (EU/USA) – Zahlungsabwicklung; Stripe verarbeitet Zahlungs-, KYC- und Betrugspräventionsdaten überwiegend zu eigenen Zwecken und ist insoweit eigener Verantwortlicher
Photon (komoot GmbH, Potsdam) – Straßen- und Adresssuche in Formularen (Anschreiben-Generator, Stellenanzeigen, Terminadressen); Abfrage von unserem Server aus mit dem Suchbegriff und einem Ortsbezug, ohne Ihre IP-Adresse. Ein Auftragsverarbeitungsvertrag besteht nicht; komoot verarbeitet die Anfrage in eigener Verantwortung.
Arbeitgeber und deren Bewerbermanagementsysteme – Bewerbungsverfahren (vgl. Ziffern 7, 15)
Partner-Jobbörsen – Ausspielung von Stellenanzeigen (vgl. Ziffer 15a)

18. Speicherdauer (Übersicht)

Bewerbungs-Daten mit Personenbezug: höchstens 6 Monate nach Abschluss oder Ablehnung; bei Einstellung: Bereitstellung der eingereichten Unterlagen für bis zu 6 Monate ab Einstellung, anschließend Entfernung der Unterlagen und Reduktion der Plattformdaten auf die hierfür erforderliche Restdokumentation.
Bei Löschung des Bewerber-Kontos: unverzügliche Anonymisierung der übermittelten Bewerbungen; eigene Chat-Nachrichten werden unkenntlich gemacht.
Bei Löschung des Arbeitgeber-Kontos: Anonymisierung der übermittelten Bewerbungen nach Ablauf der Aufbewahrungsfrist (höchstens 6 Monate); bei laufendem Rechtsstreit erst nach dessen Abschluss.
Inaktive Konten: Löschung nach 24 Monaten ohne Login (nach vorheriger Ankündigung per E-Mail).
Nicht abgeschlossene Registrierungen (Onboarding): automatische Löschung 60 Tage nach der letzten Aktivität.
Lebenslauf- und Anschreiben-Generator ohne Konto (Ziffer 6c): Zwischenspeicher für den Download höchstens 25 Minuten; Missbrauchsschutz-Protokolle 30 Tage; Anschreiben-Metadaten ohne Kontobestätigung 90 Tage; Nachweis der Zustimmung zu den Nutzungsbedingungen ohne Konto 6 Monate.
Arbeitgeberbewertungen (Ziffer 6d): bis zur Löschung durch Sie; bei Kontolöschung anonymisiert weiter veröffentlicht, sofern Sie sie nicht vorher löschen.
Kontaktformular (Ziffer 12a): bis zur Erledigung, spätestens 12 Monate nach der letzten Kommunikation.
Online-Widerrufserklärungen (Ziffer 12b): 6 Jahre nach Ende des Eingangsjahres.
Meldungen von Inhalten (Ziffer 12c): 12 Monate nach Abschluss der Prüfung.
Interview-Coach-Freischaltungen: E-Mail-Adresse sowie die zum Missbrauchsschutz gespeicherten technischen Angaben (IP-Adresse und Browser-Kennzeichen) werden spätestens 90 Tage nach der Eingabe automatisch gelöscht.
Freiwillige Abmeldegründe (Ziffer 12): Freitextangaben werden spätestens 90 Tage nach der Abmeldung entfernt; die gewählte Antwortkategorie wird ohne Konto- oder Kontaktdatenbezug für höchstens 12 Monate zu Auswertungszwecken gespeichert.
Server-, Fehler- und E-Mail-Versandprotokolle: in der Regel 30 Tage; eine längere Aufbewahrung erfolgt nur bei einem konkret dokumentierten Sicherheits- oder Missbrauchsvorfall.
Im Übrigen: bis zur Zweckerreichung bzw. bis zum Ablauf gesetzlicher Aufbewahrungspflichten (z. B. handels- und steuerrechtlich für Rechnungsdaten).

Nachweise über die Bearbeitung von Anträgen auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) speichern wir für die Dauer von drei Jahren ab Schluss des Kalenderjahres, in dem der Antrag bearbeitet oder abgeschlossen wurde. Der Nachweis umfasst ausschließlich Metadaten zum Vorgang (Antragsart, Eingangs- und Bearbeitungsdatum, Versandform, Ausgang) sowie eine pseudonymisierte Zuordnung zum Nutzerkonto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO; die Frist entspricht der Regelverjährung nach §§ 195, 199 BGB. Bei manuell bearbeiteten Anträgen sowie bei strittigen oder wiederholt exzessiven Anträgen können zusätzlich Klarnamen und Antragstext gespeichert werden, soweit dies zur Bearbeitung, Nachweisführung oder Verteidigung gegen Rechtsansprüche erforderlich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, Art. 17 Abs. 3 lit. e DSGVO.

19. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen.

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen Verarbeitungen Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (insbesondere Ziffern 3, 6, 6c, 6d, 7, 10, 12, 12a–12c, 15a und 15b). Wenden Sie sich dazu an datenschutz@herojob.de.

Firmensperrliste: Bewerber:innen können in den Kontoeinstellungen jederzeit einzelne Arbeitgeber sperren. Für gesperrte Arbeitgeber ist das Profil in der Kandidatensuche nicht sichtbar und eine Kontaktaufnahme unterbleibt. Die Firmensperrliste ist eine Ausübung Ihrer Betroffenenrechte (Teil-Widerruf nach Art. 7 Abs. 3 DSGVO bzw. Widerspruch nach Art. 21 DSGVO); sie ist nicht an eine Zustimmung zu neuen Vertragsbedingungen gekoppelt und steht Ihnen daneben formlos über datenschutz@herojob.de offen.

Bearbeitungsfrist: Wir beantworten Anträge zur Ausübung dieser Rechte unverzüglich, in jedem Fall innerhalb eines Monats nach Eingang des Antrags. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist; über eine solche Verlängerung informieren wir Sie innerhalb eines Monats nach Eingang des Antrags unter Angabe der Gründe (Art. 12 Abs. 3 DSGVO).

Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehörde. Zuständig ist insbesondere: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Wiesbaden.

Zur Ausübung Ihrer Rechte sowie für alle Fragen zum Datenschutz wenden Sie sich an: datenschutz@herojob.de.

Onyx Consulting GmbH · Abraham-Lincoln-Straße 44 · 65189 Wiesbaden