Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und Quantum Satis Labs, Inhaber Mohamed Boukraa, Philippsbergstraße 12, 65195 Wiesbaden, als Auftragsverarbeiter („Auftragnehmer“). Der Vertrag gilt mit Abschluss des Nutzungsvertrags über HireSpot als vereinbart und ist Bestandteil der AGB.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber eine Karriereseite mit Bewerbungsformular, ein Bewerber-Postfach und Benachrichtigungen über neue Bewerbungen bereit („Dienst“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.

(2) Der Vertrag läuft so lange wie der Nutzungsvertrag, einschließlich der kostenlosen Einrichtung. Die Pflichten aus § 11 gelten darüber hinaus.

§ 2 Art und Zweck der Verarbeitung

Entgegennahme, Speicherung, Anzeige, Bearbeitung (Status, Notizen), Bereitstellung zum Abruf und Löschung von Bewerbungen sowie Benachrichtigung des Auftraggebers und der Bewerber per E-Mail und Push-Nachricht. Zweck ist die Durchführung der Bewerbungsverfahren des Auftraggebers.

§ 3 Art der Daten und Kreis der betroffenen Personen

(1) Bewerberinnen und Bewerber: Vor- und Nachname, Telefonnummer, E-Mail-Adresse, gewünschter Kontaktweg, Stelle, Ausbildung, Berufserfahrung, gewünschte Wochenstunden, möglicher Start, Nachricht, optional Lebenslauf (PDF, JPG oder PNG), Herkunftskanal, Zeitpunkt der Bewerbung und der Kenntnisnahme der Datenschutzhinweise, Bearbeitungsstatus und Zeitstempel, Notizen des Auftraggebers, gebuchte Kennenlern-Termine (Art, Datum, Uhrzeit, Status).

(2) Beschäftigte des Auftraggebers, soweit sie Bewerbungen bearbeiten: Kennung der Nutzerkonten, Verfasser von Notizen, Geräteadressen für Push-Benachrichtigungen.

(3) Besondere Kategorien nach Art. 9 DSGVO werden nicht abgefragt. Machen Bewerber solche Angaben freiwillig in der Nachricht oder im Lebenslauf, gilt dieser Vertrag für sie entsprechend.

(4) Für Kontodaten, Vertrags- und Abrechnungsdaten des Auftraggebers ist der Auftragnehmer selbst Verantwortlicher; dieser Vertrag gilt dafür nicht.

§ 4 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, außer er ist gesetzlich zur Verarbeitung verpflichtet; dann teilt er dies vorher mit, sofern das Gesetz es nicht verbietet. Die Weisungen ergeben sich abschließend aus diesem Vertrag und den Einstellungen und Funktionen, die der Auftraggeber im Dienst nutzt. Weitere Weisungen erteilt der Auftraggeber in Textform an kontakt@hirespot.de.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(3) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Informationen an Bewerber nach Art. 13 DSGVO. Der Auftragnehmer stellt dafür eine Vorlage bereit; der Auftraggeber prüft sie oder verlinkt eigene Hinweise.

§ 5 Vertraulichkeit und Zugriff

(1) Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragnehmer greift auf Bewerberdaten nur zu, soweit es für Betrieb, Fehlerbehebung oder Support nötig ist oder der Auftraggeber es verlangt. Er nutzt die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung oder das Training von KI-Modellen.

§ 6 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die Unterauftragsverarbeiter aus Anlage 2 und erteilt eine allgemeine Genehmigung für weitere.

(2) Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 4 Wochen vorher in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Datenschutzpflichten dieses Vertrags. Er haftet für dessen Pflichtverletzungen nach Art. 28 Abs. 4 DSGVO.

(4) Daten werden außerhalb der EU oder des EWR nur verarbeitet, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch EU-Standardvertragsklauseln oder einen Angemessenheitsbeschluss.

(5) Keine Unterauftragsverarbeiter sind Dienste, die der Auftraggeber selbst auswählt und an den Dienst anbindet, sowie E-Mail- und Push-Anbieter der Empfänger. Daten, die der Auftraggeber aus dem Dienst exportiert oder an solche Dienste weitergibt, verarbeitet er in eigener Verantwortung.

§ 8 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anfragen betroffener Personen nach Art. 12 bis 23 DSGVO. Bewerbungen einsehen und löschen kann der Auftraggeber im Bewerber-Postfach selbst; bei Auskunft, Berichtigung und Export hilft der Auftragnehmer auf Anfrage. Wendet sich eine betroffene Person an den Auftragnehmer, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.

(2) Er unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit es die ihm verfügbaren Informationen erlauben.

§ 9 Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die Kontoadresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach. Er ergreift unverzüglich Maßnahmen zur Eindämmung.

§ 10 Speicherdauer während der Laufzeit

Bewerbungen und Lebensläufe werden 6 Monate nach Eingang automatisch gelöscht, sofern der Auftraggeber sie nicht vorher löscht. Der Auftraggeber stellt sicher, dass er Daten, die er länger braucht, vorher in eigene Systeme übernimmt.

§ 11 Löschung und Rückgabe nach Vertragsende

(1) Bis zum Vertragsende kann der Auftraggeber seine Bewerbungen im Dienst einsehen und übernehmen; auf Anforderung stellt der Auftragnehmer einen Export in einem gängigen Format bereit.

(2) Spätestens 30 Tage nach Vertragsende löscht der Auftragnehmer alle Daten des Auftraggebers nach diesem Vertrag, außer eine gesetzliche Pflicht verlangt die Aufbewahrung. Kopien in Datensicherungen des Hosting-Anbieters werden nach dessen Fristen überschrieben. Die Löschung bestätigt er auf Anfrage in Textform.

§ 12 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, einschließlich der Verträge und Nachweise seiner Unterauftragsverarbeiter.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen durchführen, in der Regel schriftlich und nach Anmeldung mit angemessener Frist zu üblichen Geschäftszeiten. Prüfungen bei Unterauftragsverarbeitern erfolgen über deren Nachweise und Zertifikate.

§ 13 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO dem nicht entgegensteht.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. An ihre Stelle tritt eine Regelung, die den Anforderungen von Art. 28 DSGVO entspricht.

(3) Es gilt deutsches Recht. Kontakt in Datenschutzfragen: kontakt@hirespot.de.

Anlage 1: Technische und organisatorische Maßnahmen

Anlage 2: Unterauftragsverarbeiter

Lovable setzt eigene Unterauftragsverarbeiter ein (u. a. Rechenzentren, Auslieferungsnetz, E-Mail-Zustellung). Die aktuelle Liste steht unter trust.lovable.dev/subprocessors und ist Teil dieser Genehmigung.

Nicht aufgeführt, weil sie keine Bewerberdaten im Auftrag verarbeiten: IONOS (nur Kontakt-E-Mails des Auftragnehmers), Push-Dienste der Gerätehersteller (Zustellung verschlüsselter Inhalte, die sie nicht lesen können; siehe § 7 Abs. 5) und Zahlungsanbieter (nur Kundendaten).