Sicherheit bei BewerberGeist

Hosting und Datenstandorte

Ihre Dokumente — Profil, Lebensläufe, Anschreiben, Bewerbungen und Prüfprotokolle — liegen in einer Datenbank in Frankfurt am Main (Neon Postgres, Region aws-eu-central-1). Hochgeladene Dateien wie Bewerbungsfoto, Unterschrift und PDF-Exporte liegen in einem Dateispeicher in Frankfurt am Main (Vercel Blob, Region fra1). Die Anwendung und unsere Serverschnittstelle laufen bei Vercel in der Region fra1 (Frankfurt am Main); eine Anfrage kann jedoch zuerst an einem anderen Vercel-Standort ankommen, auch außerhalb der EU.

Nicht alle Daten bleiben in der Europäischen Union: Ihre Anmeldedaten — E-Mail-Adresse, Passwort-Hash, Sitzungen und Anmelde-Metadaten — verarbeitet unser Anmeldedienst Clerk auf seiner Infrastruktur in den USA. Außerdem ist Vercel, unser Anbieter für Hosting, Dateispeicher und KI-Gateway, ein US-Unternehmen.

Die KI-Verarbeitung (Inferenz) aller KI-Funktionen — Textgenerierung, KI-Interview und Lebenslauf-Import — läuft über das Vercel AI Gateway bei Google Vertex AI. Wir lassen jede Anfrage ausschließlich an einen Verarbeitungsstandort in der EU leiten und verwerfen jede Antwort, die nach den Angaben des Gateways nicht dort verarbeitet wurde. Diese Festlegung betrifft nur den Ort der KI-Verarbeitung, nicht den Weg der Anfrage in das Gateway, und erfasst keine Ausnahmen der Anbieter, etwa zur Missbrauchsprüfung. Dass Vercel oder Google Ein- und Ausgabetexte nicht speichern, können wir derzeit nicht zusichern.

Anfragen an die KI-Dienste für Textgenerierung und Lebenslauf-Import laufen über unsere Server; Ihr Browser kommuniziert dabei nie direkt mit einem KI-Anbieter.

Ebenfalls mit möglichem Drittlandbezug ist die optionale Spracheingabe über Google Speech-to-Text: Sie ist standardmäßig deaktiviert und wird erst nach Ihrer Einwilligung in funktionale Dienste aktiv. Dabei übermittelt Ihr Browser die aufgenommenen Audiodaten an Google; die Verarbeitung kann auf Servern außerhalb der EU erfolgen.

Verschlüsselung und Zugriffsschutz

Alle Verbindungen zur Anwendung und zu unseren Servern sind durchgehend TLS-verschlüsselt (HTTPS).

Physische Zutrittskontrolle und die Verschlüsselung auf Speicherebene liegen bei unseren Infrastruktur-Anbietern — Vercel für Hosting und Dateispeicher, Neon für die Datenbank, Clerk für die Anmeldung — und richten sich nach deren technischen und organisatorischen Maßnahmen.

Auf die Datenbank greift Ihr Browser nie direkt zu; die Zugangsdaten dafür liegen ausschließlich auf unserem Server. Auf den Dateispeicher greift Ihr Browser nur mit kurzlebigen Berechtigungen zu, die unser Server jeweils für eine einzelne Datei ausstellt (zum Hochladen oder zum Abrufen). Jeder übrige Datenzugriff läuft über unsere serverseitige Schnittstelle und ist auf Ihr Konto beschränkt (Mandantentrennung).

Links auf hochgeladene Dateien sind signiert und kurzlebig: Bewerbungsfoto und Unterschrift laufen nach 15 Minuten ab, PDF-Exporte nach 24 Stunden. Dauerhaft öffentliche Dateiadressen gibt es nicht.

Protokolldaten enthalten nur Ihre Konto-Kennung und eine technische Vorgangsnummer (Correlation-ID), keine Inhalte. Das Prüfprotokoll der KI-Funktionen speichert ausschließlich kryptografische Prüfsummen, nicht Ihre Texte.

Dienstleister in unserem Auftrag

Diese Dienstleister verarbeiten personenbezogene Daten in unserem Auftrag (Art. 28 DSGVO):

• Vercel (USA) — Hosting der Anwendung und unserer Serverschnittstelle (Region fra1, Frankfurt am Main), Dateispeicher (Vercel Blob, Region fra1) und KI-Gateway (Vercel AI Gateway). Vercel ist ein US-Unternehmen.
• Neon (Datenbank Neon Postgres) — speichert Ihre Dokumente in der Region aws-eu-central-1 (Frankfurt am Main).
• Clerk (USA) — Anmeldung und Kontoverwaltung: E-Mail-Adresse, Passwort-Hash, Sitzungen und Anmelde-Metadaten, verarbeitet auf der Infrastruktur von Clerk in den USA.
• Google (Vertex AI) — führt das Sprachmodell Claude Haiku für alle KI-Funktionen aus (Textgenerierung und -verbesserung, Stellenanzeigen-Analyse, Geist-Assistent, KI-Interview und Auswertung hochgeladener Dateien beim Lebenslauf-Import). Erreicht über das Vercel AI Gateway, festgelegt auf einen Verarbeitungsstandort in der EU. Nur nach Ihrer Einwilligung in die Kategorie „KI“.
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung bei Premium-Abonnements. Derzeit nicht aktiv: Stripe erhält erst Daten, wenn Zahlungen freigeschaltet sind und Sie ein Abonnement abschließen.
• Functional Software, Inc. (Sentry) — Fehler- und Betriebsüberwachung in einem Projekt in der EU-Datenregion (de.sentry.io). Übermittelt werden ausschließlich Fehler- und Stacktrace-Metadaten sowie technische Kennungen; eine Nutzer-ID wird vor der Übermittlung entfernt, Inhalte werden nicht übertragen.

Nur mit Ihrer Einwilligung kommen zusätzlich hinzu:

• Plausible Insights OÜ — cookielose Reichweitenmessung, in der EU gehostet (Kategorie „Analyse“).
• komoot GmbH (Photon-Geocoder, photon.komoot.io) — optionale Adress-Autovervollständigung im Lebenslauf (Kategorie „Funktional“).
• Google (Web Speech API / Speech-to-Text) — optionale Spracheingabe; die Verarbeitung kann außerhalb der EU erfolgen (Kategorie „Funktional“).

Schriftarten liefern wir ausschließlich von unseren eigenen Servern aus; ein Abruf bei Google Fonts findet nicht statt. Eine Übermittlung an sonstige, hier nicht genannte Dritte findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet.

Die vollständige Beschreibung mit Zwecken und Rechtsgrundlagen steht in der Datenschutzerklärung.

Ihre Rechte nach der DSGVO

Auskunft und Datenübertragbarkeit (Art. 15 und Art. 20 DSGVO): In den Datenschutz-Einstellungen laden Sie jederzeit selbst eine vollständige Kopie Ihrer Daten im JSON-Format herunter — Profil, Lebensläufe, Anschreiben, Bewerbungen und KI-Nutzungsdaten.

Berichtigung (Art. 16 DSGVO): Ihre Bewerbungsdaten bearbeiten Sie jederzeit selbst in der Anwendung.

Löschung (Art. 17 DSGVO): Die vollständige Löschung Ihres Kontos beantragen Sie ebenfalls in den Datenschutz-Einstellungen; Einzelheiten zum Ablauf stehen im nächsten Abschnitt.

Einschränkung der Verarbeitung (Art. 18 DSGVO) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO): Dafür genügt eine formlose Mitteilung an die im Impressum genannten Kontaktdaten.

Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO): jederzeit über die Cookie-Einstellungen im Fußbereich oder über die Datenschutz-Einstellungen.

Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Löschpraxis und Speicherdauer

Konto- und Bewerbungsdaten bleiben gespeichert, bis Sie Ihr Konto löschen. Nach einem Löschantrag läuft eine Kulanzfrist von 30 Tagen, in der Sie den Antrag jederzeit widerrufen können. Danach werden Anmeldekonto, gespeicherte Dateien und Datenbankdokumente durch einen täglich laufenden Löschvorgang endgültig entfernt.

Für den KI-Lebenslauf-Import hochgeladene Dateien werden nur vorübergehend abgelegt und spätestens innerhalb von 24 Stunden gelöscht.

Technische Protokolldaten bewahren wir in der Regel höchstens 90 Tage auf.

Die Prüfprotokolle der KI-Funktionen bewahren wir bis zu 3 Jahre auf, um die Nachweispflichten der KI-Verordnung zu erfüllen. Sie enthalten ausschließlich kryptografische Prüfsummen und werden mit Ihrem Konto gelöscht.

Rechnungs- und Zahlungsdaten unterliegen den gesetzlichen handels- und steuerrechtlichen Aufbewahrungsfristen und bleiben für deren Dauer auch nach einer Kontolöschung gespeichert.

Ob bei Vercel (KI-Gateway) oder Google (Vertex AI) Inhalte aus früheren KI-Anfragen verbleiben, richtet sich nach deren Speicherfristen; dass dort nichts gespeichert wird, können wir derzeit nicht zusichern.

Auftragsverarbeitung und Kontakt

Die oben genannten Dienstleister verarbeiten personenbezogene Daten in unserem Auftrag nach Art. 28 DSGVO. Eine Übersicht der technischen und organisatorischen Maßnahmen sowie einen Auftragsverarbeitungsvertrag (AVV) stellen wir auf Anfrage bereit.

Anfragen zu Sicherheit, Auftragsverarbeitung und Datenschutz richten Sie bitte an die im Impressum genannten Kontaktdaten. Hinweise auf mögliche Sicherheitslücken erreichen uns über denselben Weg.

Eine externe Sicherheitszertifizierung — etwa nach ISO 27001 — besitzen wir derzeit nicht. Die auf dieser Seite beschriebenen Maßnahmen sind in der ausgelieferten Anwendung und ihrer Konfiguration umgesetzt.