Auftragsverarbeitungsvertrag (AVV)

§ 2 Abgrenzung: eigene Verantwortung von Jobomatik

1. Jobomatik handelt nur insoweit als Auftragsverarbeiter, als der Kunde Bewerberdaten im Bewerbermanagement der Plattform verarbeitet (§ 3).
2. Keine Auftragsverarbeitung, sondern eine Verarbeitung in eigener Verantwortung von Jobomatik liegt insbesondere vor bei: Betrieb der Plattform einschließlich Sicherheit, Missbrauchsabwehr und Moderation; Konten, Profilen und Dokumenten-Safe der Talente; der Übermittlung einer Bewerbung auf Veranlassung des Talents; der eigenen Ansicht der Talente auf ihre Bewerbungen, Nachrichten und das Protokoll der Dokumentabrufe; dem anonymen Talentpool bis zur Annahme einer Direktansprache; Showcase; Match-Score und Jobcheck; Suchagenten; zusammengefassten, nicht personenbezogenen Statistiken; Bewertungen des Bewerbungserlebnisses; Vertragsabwicklung, Abrechnung und Kommunikation mit dem Kunden sowie der Erfüllung gesetzlicher Pflichten. Hierfür gilt die Datenschutzerklärung von Jobomatik.
3. Die Parteien sind sich einig, dass dieselben Daten (z. B. eine Bewerbung) zugleich beim Kunden im Auftrag verarbeitet und bei Jobomatik für das Talent in eigener Verantwortung gespeichert sein können. Löscht der Kunde eine Bewerbung, betrifft dies nur die Verarbeitung in seinem Auftrag.

§ 3 Gegenstand, Art, Zweck, Daten und Betroffene

Gegenstand und Zweck: Bereitstellung, Hosting und Betrieb des Bewerbermanagements, mit dem der Kunde eingegangene Bewerbungen und Kontakte aus dem Talentpool für eigene Auswahlverfahren verwaltet.

Art der Verarbeitung: Speichern, Anzeigen, Ordnen und Filtern von Bewerbungen; Setzen von Status und Funnel-Stufen; interne Notizen und Bewertungen des Kunden; Nachrichten, Terminvorschläge und Absage-Feedback des Kunden an Talente; Bereitstellung freigegebener Dokumente zum Abruf; Kennzahlen; Archivieren, Löschen und CSV-Export; auf Klick eines Nutzers des Kunden die Erstellung von Textvorschlägen durch die optionale KI-Schreibhilfe.

Arten personenbezogener Daten: Stamm- und Kontaktdaten (Name, E-Mail-Adresse, ggf. Telefonnummer, Wohnort bzw. Region, Foto); Angaben zu Qualifikation und Werdegang (Lebenslauf, Fähigkeiten, Sprachen, Zertifikate, Zeugnisse, Links zu Profilen und Projekten); Wünsche und Rahmenbedingungen (Gehaltsvorstellung, Arbeitsmodell, Verfügbarkeit); Jobcheck-Antworten und -Ergebnis; Kommunikationsinhalte und Termine; interne Notizen, Bewertungen und Status des Kunden; Protokolldaten zu Zugriffen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht gezielt erhoben, können aber in Unterlagen enthalten sein, die Talente freiwillig übermitteln.

Kategorien betroffener Personen: Talente, die sich beim Kunden bewerben oder eine Direktansprache des Kunden angenommen haben; Mitarbeitende des Kunden, die das Bewerbermanagement nutzen, soweit ihre Daten in Notizen, Nachrichten oder Protokollen erscheinen.

§ 4 Dauer

Der AVV gilt, solange Jobomatik für den Kunden personenbezogene Daten im Rahmen des Hauptvertrags im Auftrag verarbeitet. Er endet ohne gesonderte Kündigung mit dem Ende des Hauptvertrags bzw. der Löschung des Unternehmenskontos; § 13 gilt fort. Eine isolierte Kündigung dieses AVV ist ausgeschlossen, das Recht zur Kündigung des Hauptvertrags bleibt unberührt.

§ 5 Weisungen

1. Jobomatik verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, Jobomatik ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt Jobomatik dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Weisungen des Kunden sind abschließend im Hauptvertrag, in diesem AVV und in der Nutzung der Funktionen und Einstellungen der Plattform durch den Kunden festgelegt. Die Parteien sind sich einig, dass auch die Funktionen, die Talente nach dem Hauptvertrag selbst auslösen können, von der Weisung umfasst sind, insbesondere das Zurückziehen von Bewerbungen, Lebensläufen und Dateien, der Entzug von Dokumentfreigaben, die Protokollierung von Dokumentabrufen und die Löschung des Talentkontos.
3. Einzelweisungen, die über den Funktionsumfang der Plattform hinausgehen, erteilt der Kunde in Textform an info@jobomatik.de. Jobomatik kann solche Weisungen ablehnen, wenn ihre Umsetzung technisch nicht möglich oder wirtschaftlich unzumutbar ist, oder sie gegen Vergütung des Aufwands (130 je Stunde) umsetzen. Weisungen, die eine Änderung des Leistungsumfangs bedeuten, werden als Änderungsantrag zum Hauptvertrag behandelt.
4. Ist Jobomatik der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Jobomatik den Kunden unverzüglich und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert. Eine umfassende rechtliche Prüfung der Weisungen schuldet Jobomatik nicht; die Verantwortung für die Rechtmäßigkeit der Weisungen trägt der Kunde.

§ 6 Pflichten des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Rechte der Betroffenen und die Information der Talente nach Art. 13 und 14 DSGVO allein verantwortlich.
2. Der Kunde legt die Speicherdauer der Bewerberdaten fest und löscht Bewerbungen mit den Funktionen der Plattform, sobald sie nicht mehr erforderlich sind (vgl. § 8 der AGB). Jobomatik ist nicht verpflichtet, die Einhaltung der Löschfristen des Kunden zu überwachen.
3. Der Kunde vergibt Zugänge nur an berechtigte Personen, schützt die Zugangsdaten und prüft die Sicherheit seiner eigenen Endgeräte und Systeme. Für Daten, die er aus der Plattform exportiert, herunterlädt oder weiterleitet, ist ausschließlich der Kunde verantwortlich.
4. Der Kunde informiert Jobomatik unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 7 Vertraulichkeit

Jobomatik gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Daten des Kunden erhalten nur Personen, die ihn zur Erbringung der Leistungen, für Support, zur Fehlerbehebung oder zur Missbrauchsprüfung benötigen; Support-Zugriffe erfolgen schreibgeschützt und werden protokolliert.

§ 8 Sicherheit der Verarbeitung

1. Jobomatik trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 beschrieben. Der Kunde hat sie geprüft und hält sie für das Risiko der Verarbeitung für angemessen.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Jobomatik darf sie weiterentwickeln und durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 9 Unterauftragsverarbeiter

1. Der Kunde erteilt Jobomatik die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Jobomatik informiert den Kunden über beabsichtigte Hinzuziehungen oder Ersetzungen mindestens 14 Tage vorher per E-Mail oder durch einen Hinweis in der Plattform. Der Kunde kann innerhalb dieser Frist in Textform widersprechen, jedoch nur aus einem wichtigen, datenschutzrechtlichen Grund, den er darlegt. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. In dringenden Fällen (z. B. Ausfall oder Sicherheitsvorfall bei einem Dienstleister) kann Jobomatik einen Ersatz sofort einsetzen und informiert den Kunden unverzüglich; das Widerspruchsrecht gilt dann entsprechend.
3. Bei einem berechtigten Widerspruch bemühen sich die Parteien um eine Lösung. Gelingt dies nicht innerhalb von 30 Tagen, können beide Parteien den Hauptvertrag hinsichtlich der betroffenen Leistungen mit einer Frist von 14 Tagen kündigen. Erstattungsansprüche bestehen nur, soweit sie sich aus dem Gesetz ergeben.
4. Jobomatik verpflichtet Unterauftragsverarbeiter vertraglich auf im Wesentlichen gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Dies gilt als erfüllt, wenn die Standardbedingungen des Dienstleisters den Anforderungen von Art. 28 DSGVO entsprechen.
5. Keine Unterauftragsverarbeitung sind Nebenleistungen Dritter, bei denen kein oder nur ein zufälliger Zugriff auf Daten des Kunden besteht, etwa Telekommunikations- und Transportleistungen, Post- und Kurierdienste oder die Wartung von Hardware, sowie Dienstleister, die Daten in eigener Verantwortung verarbeiten (z. B. Zahlungsdienstleister, Steuerberater).

§ 10 Verarbeitung außerhalb der EU/des EWR

Die Verarbeitung erfolgt grundsätzlich in der EU bzw. im EWR. Eine Übermittlung in ein Drittland erfolgt nur, soweit ein in Anlage 2 genannter oder nach § 9 genehmigter Unterauftragsverarbeiter dort tätig ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework) oder Standardvertragsklauseln. Der Kunde weist Jobomatik hiermit an, solche Übermittlungen im Rahmen der genehmigten Unterauftragsverarbeitung vorzunehmen.

§ 11 Unterstützung bei Betroffenenrechten

1. Jobomatik unterstützt den Kunden angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Vorrangig geschieht dies über die Funktionen der Plattform, mit denen der Kunde Daten selbst einsehen, berichtigen, exportieren und löschen kann.
2. Wendet sich eine betroffene Person mit einem Anliegen, das eindeutig die Verarbeitung im Auftrag des Kunden betrifft, direkt an Jobomatik, leitet Jobomatik es an den Kunden weiter, soweit er erkennbar ist. Jobomatik beantwortet solche Anträge nicht selbst, es sei denn, der Kunde weist dies an.
3. Unterstützung, die über die Plattformfunktionen hinausgeht, vergütet der Kunde nach Aufwand (130 je Stunde), es sei denn, sie ist durch einen Verstoß von Jobomatik gegen diesen AVV veranlasst.

§ 12 Unterstützung nach Art. 32 bis 36 DSGVO und Meldung von Verletzungen

1. Jobomatik meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich, nachdem sie Jobomatik bekannt geworden ist. Die Meldung enthält, soweit zu diesem Zeitpunkt verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; weitere Informationen werden schrittweise nachgereicht.
2. Jobomatik unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der Jobomatik vorliegenden Informationen bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung an die Aufsichtsbehörde, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung, vorherige Konsultation). Hierzu stellt Jobomatik insbesondere die Informationen dieses AVV und seiner Anlagen zur Verfügung.
3. Darüber hinausgehende Unterstützung vergütet der Kunde nach Aufwand (130 je Stunde), es sei denn, die Verletzung beruht auf einem Verstoß von Jobomatik gegen diesen AVV oder die DSGVO.
4. Eine Meldung oder Unterstützung nach diesem Paragrafen ist kein Anerkenntnis eines Verschuldens oder einer Haftung.

§ 13 Löschung und Rückgabe nach Vertragsende

1. Nach Ende der Auftragsverarbeitung löscht Jobomatik die im Auftrag verarbeiteten Daten, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Die Löschung ist der Standard; einer gesonderten Wahl des Kunden bedarf es nicht.
2. Wünscht der Kunde eine Rückgabe, nutzt er vor Vertragsende die in der Plattform verfügbare CSV-Exportfunktion und lädt freigegebene Dokumente selbst herunter, soweit die Freigabe der Talente dies zulässt. Weitere Formate oder eine individuelle Aufbereitung schuldet Jobomatik nicht; sie können gegen Vergütung nach Aufwand vereinbart werden.
3. Die Löschung erfolgt innerhalb von 90 Tagen nach Vertragsende. Daten in Datensicherungen werden im regulären Sicherungszyklus überschrieben und bis dahin nicht mehr aktiv verarbeitet. Auf Anforderung bestätigt Jobomatik die Löschung in Textform.
4. Daten, die Jobomatik in eigener Verantwortung verarbeitet (§ 2), sind von der Löschung nicht erfasst.

§ 14 Nachweise und Kontrollen

1. Jobomatik stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind. Der Nachweis erfolgt vorrangig durch eine schriftliche Selbstauskunft, die Einhaltung genehmigter Verhaltensregeln oder Zertifizierungsverfahren, aktuelle Zertifikate, Prüfberichte oder Berichtsauszüge unabhängiger Stellen (z. B. von Unterauftragsverarbeitern) oder eine geeignete Dokumentation der Maßnahmen.
2. Reichen diese Nachweise im Einzelfall nachweislich nicht aus, ermöglicht Jobomatik Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer unter folgenden Bedingungen: Ankündigung in Textform mindestens 30 Tage vorher; Durchführung zu den üblichen Geschäftszeiten ohne vermeidbare Störung des Betriebs; höchstens einmal je Kalenderjahr, sofern nicht konkrete Anhaltspunkte für einen erheblichen Verstoß vorliegen oder eine Aufsichtsbehörde die Prüfung verlangt; der Prüfer ist zur Verschwiegenheit verpflichtet und darf kein Wettbewerber von Jobomatik sein.
3. Die Kosten der Überprüfung einschließlich des internen Aufwands von Jobomatik (130 je Stunde) trägt der Kunde, es sei denn, die Prüfung ergibt einen erheblichen Verstoß von Jobomatik gegen diesen AVV.
4. Prüfungen erstrecken sich nicht auf Daten anderer Kunden oder Nutzer, Geschäftsgeheimnisse oder Sicherheitsinformationen, deren Offenlegung die Sicherheit der Plattform gefährden würde. Kontrollen bei Rechenzentren der Unterauftragsverarbeiter erfolgen durch Vorlage von deren Zertifikaten und Berichten. Befugnisse der Aufsichtsbehörden bleiben unberührt.
5. Jobomatik führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und arbeitet auf Anfrage mit den Aufsichtsbehörden zusammen.

§ 15 Haftung und Freistellung

1. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.
2. Im Verhältnis der Parteien gelten die Haftungsregelungen des Hauptvertrags (§ 16 der AGB) auch für Ansprüche aus oder im Zusammenhang mit diesem AVV, soweit dies gesetzlich zulässig ist. Für den Ausgleich zwischen den Parteien gilt Art. 82 Abs. 5 DSGVO: Jobomatik trägt im Innenverhältnis nur den Anteil, der auf eigene Verstöße gegen die speziell den Auftragsverarbeitern auferlegten Pflichten oder gegen rechtmäßige Weisungen des Kunden zurückgeht.
3. Der Kunde stellt Jobomatik von Ansprüchen Dritter, Bußgeldern und angemessenen Kosten der Rechtsverteidigung frei, die darauf beruhen, dass der Kunde rechtswidrige Weisungen erteilt, Daten ohne Rechtsgrundlage verarbeitet oder verarbeiten lässt, seine Pflichten aus § 6 oder dem Datenschutzrecht verletzt oder unrechtmäßig erhobene Daten in die Plattform einbringt, soweit Jobomatik diese Umstände nicht zu vertreten hat. Bußgelder werden nur erstattet, soweit dies rechtlich zulässig ist.

§ 16 Rangfolge und Schlussbestimmungen

1. Bei Widersprüchen geht dieser AVV dem Hauptvertrag nur in Fragen des Datenschutzes vor. Im Übrigen gilt der Hauptvertrag, insbesondere zu Vergütung, Laufzeit, Haftung, Gerichtsstand und anwendbarem Recht.
2. Ist das Eigentum oder die Verfügungsbefugnis des Kunden an den Daten bei Jobomatik durch Pfändung, Beschlagnahme, Insolvenz oder sonstige Maßnahmen Dritter gefährdet, informiert Jobomatik den Kunden unverzüglich, soweit dies rechtlich zulässig ist, und weist den Dritten darauf hin, dass die Daten dem Kunden zustehen.
3. Änderungen dieses AVV erfolgen nach dem Verfahren für Änderungen der AGB (§ 18 der AGB). Änderungen, die aufgrund zwingender gesetzlicher oder behördlicher Vorgaben erforderlich sind, kann Jobomatik mit angemessener Ankündigungsfrist vornehmen.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. An die Stelle der unwirksamen Bestimmung tritt die Regelung, die den Anforderungen des Art. 28 DSGVO entspricht und dem wirtschaftlichen Zweck am nächsten kommt.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen beschreiben das Schutzkonzept in allgemeiner Form. Konkrete Ausgestaltungen können sich im Rahmen von § 8 Abs. 2 ändern.

Vertraulichkeit

• Zutrittskontrolle: Betrieb der Server in gesicherten Rechenzentren des Hosting-Dienstleisters in der EU mit physischen Zugangskontrollen; kein eigener physischer Zutritt Dritter zu den Servern.
• Zugangskontrolle: persönliche Konten mit Passwort, Speicherung von Passwörtern nur als Hash, optionale Zwei-Faktor-Anmeldung, Begrenzung von Anmeldeversuchen, sichere Sitzungsverwaltung; administrative Zugänge nur für berechtigte Personen.
• Zugriffskontrolle: Rollen- und Berechtigungskonzept; Kunden sehen nur Daten ihres eigenen Unternehmens; Dokumente der Talente nur nach Freigabe; hochgeladene Dateien außerhalb des öffentlich erreichbaren Bereichs; Support-Zugriffe schreibgeschützt und protokolliert.
• Trennungskontrolle: logische Mandantentrennung der Daten je Unternehmen; Trennung von Test- und Produktivsystemen.
• Pseudonymisierung und Datenminimierung: anonyme Darstellung im Talentpool; Entfernung von E-Mail-Adressen, Telefonnummern und Links vor Nutzung der KI-Schreibhilfe; automatische Löschroutinen für Protokoll- und Statistikdaten.

Integrität

• Weitergabekontrolle: Verschlüsselte Übertragung (TLS); Protokollierung von Dokumentabrufen; Export nur durch berechtigte Nutzer des Kunden.
• Eingabekontrolle: Protokollierung wesentlicher Aktionen, insbesondere administrativer Eingriffe und Moderationsentscheidungen.

Verfügbarkeit und Belastbarkeit

• Datensicherungskonzept und Wiederherstellungsverfahren beim Hosting-Dienstleister; Schutz vor Überlastung und automatisiertem Auslesen durch Zugriffsbegrenzungen; regelmäßige Aktualisierung der eingesetzten Software.

Verfahren zur regelmäßigen Überprüfung

• Verpflichtung der Beschäftigten auf Vertraulichkeit; Prozess zur Erkennung, Bewertung und Meldung von Sicherheitsvorfällen; anlassbezogene Überprüfung und Anpassung der Maßnahmen; sorgfältige Auswahl und vertragliche Bindung der Unterauftragsverarbeiter.

Anlage 2: Unterauftragsverarbeiter

Für die KI-Schreibhilfe ist jeweils nur einer der beiden genannten Anbieter aktiv. Beide gelten als genehmigt; ein Wechsel zwischen ihnen ist keine neue Hinzuziehung im Sinne von § 9 Abs. 2. Derzeit ist kein externer KI-Anbieter aktiv.

Zur Information, kein Unterauftragsverarbeiter: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, wickelt Online-Zahlungen des Kunden ab und verarbeitet dabei ausschließlich Zahlungs- und Vertragsdaten des Kunden, keine Bewerberdaten, als eigener Verantwortlicher.