Auftragsverarbeitungsvertrag

Zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und Marvin Fritz, Odango, Ludwig-Erhard-Allee 32, 76131 Karlsruhe („Auftragnehmer“). Dieser Vertrag ist Bestandteil der Nutzungsvereinbarung über Odango. Er gilt ab der Übernahme der Vorschau, also mit der Zustimmung beim Anlegen des Zugangs.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Bereitstellung von Odango nach den Allgemeinen Geschäftsbedingungen. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers.

(2) Der Vertrag läuft so lange wie die Nutzungsvereinbarung. Pflichten zur Löschung und Vertraulichkeit gelten darüber hinaus.

§ 2 Art und Zweck der Verarbeitung, Daten und Betroffene

(1) Zweck: Betrieb der Karriereseite, Entgegennahme und Verwaltung von Bewerbungen, Kommunikation mit Bewerbenden, Terminbuchung, Talentpool, Auswertungen und KI-gestützte Entwürfe.

(2) Arten von Daten:

• Kontaktdaten der Bewerbenden (Name, E-Mail-Adresse, Telefonnummer, gegebenenfalls Anschrift)
• Bewerbungsunterlagen (Lebenslauf, Zeugnisse, Anschreiben, Fotos) und Angaben aus Formularfeldern, etwa frühester Eintritt oder Gehaltsvorstellung
• Verlauf, Notizen, Bewertungen, Nachrichten, Termine und Einwilligungen
• Daten der Nutzer des Auftraggebers (Name, E-Mail-Adresse, Rolle) und der in Stellenanzeigen genannten Ansprechpersonen

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nur verarbeitet, wenn Bewerbende sie von sich aus angeben, etwa eine Schwerbehinderung.

(4) Betroffene: Bewerbende, Interessenten für den Talentpool, Beschäftigte des Auftraggebers und in Stellenanzeigen genannte Ansprechpersonen.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen erteilt der Auftraggeber durch diesen Vertrag und durch seine Einstellungen in der Software, etwa Löschfristen; weitere Weisungen in Textform.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Pflichten des Auftragnehmers

• Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und entwickelt sie weiter.
• Er unterstützt den Auftraggeber bei Anfragen Betroffener; Bewerbende können Auskunft und Löschung über ihren persönlichen Link selbst auslösen.
• Er unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO, etwa einer Datenschutz-Folgenabschätzung.
• Er verarbeitet die Daten in der EU oder im EWR. Ausnahmen gelten nur für Unterauftragsverarbeiter nach Anlage 2 mit geeigneten Garantien nach Art. 44 ff. DSGVO.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens vier Wochen vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

§ 6 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

§ 7 Nachweise und Kontrollen

Der Auftragnehmer weist die Einhaltung seiner Pflichten durch Auskünfte und Dokumentation nach. Der Auftraggeber kann Kontrollen vor Ort nach einer Ankündigung von mindestens zwei Wochen zu Geschäftszeiten durchführen, ohne den Betrieb unverhältnismäßig zu stören. Die Kosten trägt der Auftraggeber, wenn kein Verstoß festgestellt wird.

§ 8 Löschung und Rückgabe

(1) Während der Laufzeit löscht die Software Bewerbungen automatisch nach der vom Auftraggeber eingestellten Frist. Nach Vertragsende gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers zurück oder löscht sie; trifft der Auftraggeber keine Wahl, löscht er sie 30 Tage nach Vertragsende einschließlich aller Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht.

(2) Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der Allgemeinen Geschäftsbedingungen.

(2) Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform. Recht und Gerichtsstand richten sich nach den Allgemeinen Geschäftsbedingungen.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Betrieb auf einem Server der Roeth & Beck GbR (bero-host) in einem Rechenzentrum in Deutschland; physischen Zutritt regelt der Rechenzentrumsbetreiber.
• Zugang: persönliche Zugänge für jede Person; Passwörter nur als scrypt-Hash; Sitzungen über httpOnly-Cookies mit begrenzter Laufzeit; Serverzugang nur per SSH-Schlüssel; der Admin-Bereich ist zusätzlich durch eine vorgeschaltete Anmeldung geschützt.
• Zugriff: Rollen im Team mit abgestuften Rechten; strikte Mandantentrennung, bei der jede Datenbankabfrage die Kennung des Kunden enthält, abgesichert durch automatische Tests und eine Prüfung in der Datenbank.
• Trennung: Daten verschiedener Kunden sind logisch getrennt; Demo- und Testdaten liegen getrennt von Kundendaten.
• Pseudonymisierung: Vor jeder KI-Anfrage werden Namen, Kontaktdaten, Anschrift und Geburtsdatum entfernt; Fotos und Originaldokumente werden nicht übermittelt.

Integrität

• Weitergabe: Übertragung ausschließlich verschlüsselt per TLS.
• Eingabe: Verlauf je Bewerbung, aus dem hervorgeht, wer wann was geändert hat; Protokoll administrativer Änderungen.

Verfügbarkeit und Belastbarkeit

• Rechenzentren mit redundanter Strom- und Netzanbindung.
• Dienste laufen in Containern und starten nach Störungen automatisch neu.

Regelmäßige Überprüfung

• Automatische Tests der Mandantentrennung bei jeder Änderung der Software.
• Datenschutzfreundliche Voreinstellungen, etwa eine Löschfrist von 180 Tagen nach Abschluss des Verfahrens.
• Überprüfung dieser Maßnahmen mindestens einmal im Jahr.

Anlage 2: Unterauftragsverarbeiter

• Roeth & Beck GbR (bero-host), Kleine Schmidtgasse 1, 63571 Gelnhausen, Deutschland: Hosting von Plattform, Datenbank und Dateien auf einem Server in Deutschland. Standort: Deutschland.
• Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA: KI-Funktionen (Entwürfe für Stellenanzeigen, Hinweise zu Bewerbungsunterlagen, Gesprächsfragen, Seitenänderungen); nur Texte ohne Namen, Kontaktdaten und Anschrift. Standort: USA; Garantie: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).