Datenschutzerklärung

1. Verantwortlicher

[Vor- und Nachname], [Straße und Hausnummer], [PLZ Ort], Deutschland. E-Mail: [kontakt@bekommedenjob.de]. Einen Datenschutzbeauftragten müssen wir nicht benennen.

2. Was wir verarbeiten

• Kontodaten: Name, E-Mail-Adresse, Passwort (nur als Hash) oder die Verknüpfung mit deinem Google-Konto.
• Deine Inhalte: Lebensläufe mit Foto, gespeicherte Stellenanzeigen samt Screenshot, Anschreiben, Bewerbungen, Notizen, Erinnerungen, Interview-Vorbereitungen, Schreibregeln und dein Suchprofil für den Stellenfeed.
• Abrechnungsdaten: Tarif, Punktestand, gebuchte Punkte je Aktion, Zahlungen (die Zahlungsdaten selbst liegen bei Stripe).
• Nutzungs- und technische Daten: welche Funktionen du nutzt, Fehlerberichte, IP-Adresse und Browserangaben in Server-Protokollen.

3. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes und Vertragserfüllung (Konto, Stellenfeed, Bewerbungsunterlagen, KI-Texte, Abrechnung): Art. 6 Abs. 1 lit. b DSGVO.
• Aufbewahrung von Rechnungs- und Zahlungsbelegen: Art. 6 Abs. 1 lit. c DSGVO mit § 147 AO und § 257 HGB.
• Sicherheit, Missbrauchsschutz (z. B. Begrenzung von Anmeldeversuchen) und Fehleranalyse: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist ein sicherer, funktionierender Dienst.
• Pseudonyme Produktanalyse ohne Speicherung auf deinem Gerät: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist zu verstehen, welche Funktionen genutzt werden und wo Nutzer hängen bleiben. [prüfen: Rechtsgrundlage; es wird kein Cookie und kein lokaler Speicher verwendet, § 25 TDDDG greift daher nicht]

4. Dienstleister

Wir setzen folgende Auftragsverarbeiter ein (Art. 28 DSGVO). Wo Daten in die USA gelangen können, stützen wir uns auf das EU-U.S. Data Privacy Framework, soweit der Anbieter zertifiziert ist, sonst auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). [prüfen: Zertifizierung und Vertrag je Anbieter]

• Convex, Inc. (USA): Datenbank, Dateispeicher und Server-Funktionen; Speicherort AWS Irland (eu-west-1).
• Vercel Inc. (USA): Auslieferung der Website; Server-Funktionen in Irland (eu-west-1), statische Inhalte über ein weltweites Netz.
• Railway Corp. (USA): erzeugt PDF-Dateien und Vorschaubilder und ruft Stellenanzeigen ab; Server in Amsterdam.
• OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C., USA) und Anthropic (Anthropic Ireland Ltd. / Anthropic PBC, USA): erzeugen Texte wie Anschreiben, Lebenslauf-Anpassungen und Interview-Vorbereitungen. Übermittelt werden nur die Ausschnitte, die der jeweilige Text braucht – etwa dein Lebenslauf, die Stellenanzeige und deine Schreibregeln. Nach Angaben der Anbieter werden über die Schnittstelle übermittelte Daten nicht zum Training verwendet und höchstens 30 Tage zur Missbrauchskontrolle gespeichert.
• Stripe Payments Europe, Ltd. (Irland): Abwicklung von Abo und Punktepaketen. Stripe verarbeitet Zahlungsdaten teils als eigener Verantwortlicher (https://stripe.com/de/privacy).
• Resend (Plus Five Five, Inc., USA): Versand von E-Mails wie Bestätigungslinks und Kündigungsbestätigungen; Versand über Server in Irland.
• PostHog, Inc. (USA): pseudonyme Produktanalyse über Server in der EU (Frankfurt), über unsere eigene Domain eingebunden.
• Functional Software, Inc. (Sentry, USA): Fehlerberichte, gespeichert in der EU (Deutschland); sie enthalten deine Nutzer-ID, aber keine E-Mail-Adresse und keine Inhalte.
• Google Ireland Limited: nur wenn du „Mit Google fortfahren“ nutzt; wir erhalten Name, E-Mail-Adresse und Profilbild.
• OpenFreeMap (Hyperknot Ltd., Ungarn): die Kartenkacheln der Übersicht lädt dein Browser direkt von tiles.openfreemap.org; dabei erhält der Anbieter deine IP-Adresse, sonst nichts. Die Karte erscheint nur in der angemeldeten Übersicht.
• Websuche des KI-Anbieters (OpenAI): für die Anschrift eines Arbeitgebers und für die Interview-Vorbereitung stellt das Modell Suchanfragen mit Firmenname, Stellenbezeichnung und Ort – nie mit Angaben zu deiner Person.

5. Stellenfeed und öffentliche Quellen

Für den Stellenfeed lesen wir öffentliche Stellenanzeigen, unter anderem bei der Bundesagentur für Arbeit, bei EURES, bei job-room.ch und auf Karriereseiten von Arbeitgebern. Dabei übermitteln wir keine Daten über dich. Die Passung einer Stelle berechnen wir aus deinem Suchprofil und deinem Lebenslauf; sie sortiert nur deine Liste. Wir treffen keine Entscheidungen über dich im Sinne von Art. 22 DSGVO und verschicken nie selbst Bewerbungen.

Um Orte auf der Karte der Übersicht darzustellen, fragen wir Ortsnamen bei OpenStreetMap (Nominatim) ab, ohne Angaben zu deiner Person. Die Anschrift eines Arbeitgebers für dein Anschreiben suchen wir in der Anzeige, im Impressum des Arbeitgebers und zuletzt über eine Websuche des KI-Anbieters, jeweils nur mit dem Namen des Arbeitgebers.

6. Browser-Erweiterung und Mac-App

Die optionale Erweiterung liest den Text von Stellenanzeigen in deinen offenen Tabs nur, wenn du auf unserer Seite „Aus offenen Tabs“ wählst, und nur die Tabs, die du auswählst. Der Text geht ausschließlich in dein Konto. Außerdem legt sie Dateien, die du herunterlädst, im Ordner Downloads/bekommedenjob ab; in Safari übernimmt das die Mac-App. Die Erweiterung sendet selbst nichts an Dritte und enthält keine Analyse.

7. Cookies und Speicher im Browser

• Anmeldung: ein Sitzungs-Cookie, ohne das du angemeldet nicht bleiben kannst (§ 25 Abs. 2 Nr. 2 TDDDG).
• Darstellung: deine Wahl zwischen hellem und dunklem Modus im lokalen Speicher des Browsers.
• Analyse: für die Produktanalyse speichern wir nichts auf deinem Gerät – weder ein Cookie noch einen Eintrag im lokalen Speicher, auch nicht nach der Anmeldung. Nutzungswege werden allein über deine pseudonyme Nutzer-ID zusammengeführt; Texte, Eingaben und Adressen in Links werden vor dem Senden entfernt.

8. Speicherdauer

• Konto und Inhalte: bis du dein Konto löschst. Unter Konto → „Konto löschen“ entfernen wir sofort alle Inhalte und Dateien.
• Exporte: der Download-Link gilt sieben Tage.
• Zahlungs- und Rechnungsdaten: zehn Jahre (§ 147 AO); nach der Löschung deines Kontos ohne Bezug zu deinem Konto.
• Kündigungserklärungen: drei Jahre als Nachweis des Eingangs.
• Protokolle einzelner KI-Aufrufe (Zeit, Modell, Kosten, eine Kurzzeile wie „Anschreiben · Firma“): 90 Tage, dann gelöscht; die Tageskosten bleiben ohne Bezug zu dir, zur Kalkulation der Preise. Mit der Kontolöschung verlieren sie sofort jeden Bezug zu dir.
• Fehlerberichte: 90 Tage. [prüfen: Einstellung in Sentry]

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen. Vieles geht direkt im Konto: Der Export liefert alle deine Daten als JSON mit allen Dateien, „Konto löschen“ entfernt sie. Für alles andere schreib an [kontakt@bekommedenjob.de].

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, etwa bei der für uns zuständigen: [Landesdatenschutzbehörde des Bundeslands, mit Anschrift].