Vereinbarung zur Auftragsverarbeitung

zwischen

dem jeweiligen Kunden von RecruiterFox
– nachfolgend „Auftraggeber“ oder „Verantwortlicher“ –

und

Stratega Unternehmens- und Wirtschaftsberatungsgesellschaft mbH
Moosstr. 12
82319 Starnberg
Deutschland
– nachfolgend „Auftragnehmer“ oder „Auftragsverarbeiter“ –

gemeinsam die „Parteien“.

1. Gegenstand und Geltungsbereich

(1) Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Zusammenhang mit der Nutzung der Software-as-a-Service-Lösung RecruiterFox.

(2) Die Vereinbarung gilt, soweit der Auftragnehmer personenbezogene Daten im Sinne der Datenschutz-Grundverordnung im Auftrag des Auftraggebers verarbeitet.

(3) Die Vereinbarung ergänzt den zwischen den Parteien bestehenden Hauptvertrag einschließlich der Allgemeinen Geschäftsbedingungen für RecruiterFox.

(4) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen hinsichtlich der Verarbeitung personenbezogener Daten die Bestimmungen dieser Vereinbarung vor.

(5) Soweit der Auftragnehmer personenbezogene Daten in eigener datenschutzrechtlicher Verantwortlichkeit verarbeitet, insbesondere eigene Vertrags-, Kontakt-, Abrechnungs-, Sicherheits- oder gesetzlich aufzubewahrende Daten, unterliegt diese Verarbeitung nicht dieser Vereinbarung.

2. Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand der Verarbeitung ist die technische Bereitstellung und Nutzung von RecruiterFox für Recruiting- und Bewerbungsprozesse des Auftraggebers.

(2) Die Verarbeitung kann insbesondere folgende Tätigkeiten umfassen:

• Entgegennahme und Upload von Bewerbungsunterlagen,
• Speicherung,
• Auslesen und Extraktion von Textinhalten,
• Strukturierung und Kategorisierung von Bewerberinformationen,
• Verarbeitung von Lebensläufen,
• Verarbeitung von Anschreiben,
• Verarbeitung von Zertifikaten und Nachweisen,
• Abgleich mit Stellenbeschreibungen,
• Abgleich mit vom Auftraggeber hinterlegten fachlichen Kriterien,
• regelbasierte Verarbeitung,
• Verarbeitung durch KI- bzw. Sprachmodelle,
• Erzeugung von Bewertungen und Scores,
• Erstellung von Zusammenfassungen und Hinweisen,
• Verwaltung des Bewerbungsstatus,
• Speicherung und Darstellung von Kontaktinformationen,
• Erstellung und technisch vom Benutzer ausgelöster Versand von Bewerberkommunikation,
• Export,
• Löschung,
• Datensicherung und technisch notwendige Wiederherstellung.

(3) Der Zweck der Verarbeitung ist ausschließlich die Bereitstellung der vom Auftraggeber verwendeten RecruiterFox-Funktionen sowie die hierfür erforderliche technische Sicherheit, Fehlerbehebung und Administration.

(4) Bewerberdaten werden nicht für Werbezwecke des Auftragnehmers verwendet.

(5) Bewerberdaten werden nicht zum Training oder Fine-Tuning eigener allgemeiner KI-Modelle des Auftragnehmers verwendet.

(6) Der Auftragnehmer setzt externe KI-Dienste bei der Verarbeitung von Bewerberdaten nur in solchen Produktivkonfigurationen ein, bei denen die übermittelten Daten nicht zum Training allgemeiner KI-Modelle verwendet werden.

3. Dauer der Verarbeitung

(1) Die Verarbeitung erfolgt grundsätzlich für die Dauer des Hauptvertrags bzw. solange der Auftraggeber ein Kundenkonto unterhält und eine entsprechende Verarbeitung erforderlich ist.

(2) Innerhalb von RecruiterFox gespeicherte Bewerberdaten werden unabhängig von der Dauer des Kundenkontos spätestens sechs Monate nach dem jeweils maßgeblichen Speicherzeitpunkt automatisiert gelöscht, sofern sie nicht bereits zuvor durch den Auftraggeber gelöscht wurden oder eine kürzere Speicherdauer aufgrund einer Weisung oder gesetzlichen Verpflichtung erforderlich ist.

(3) Nach Löschung im Produktivsystem können Daten technisch bedingt noch bis zu sieben Tage in Sicherungskopien vorhanden sein. Die Daten werden während dieses Zeitraums nicht für reguläre Verarbeitungszwecke genutzt und anschließend im Rahmen des Sicherungszyklus gelöscht bzw. überschrieben.

(4) Bei endgültiger Löschung des Kundenkontos werden die von dieser Vereinbarung erfassten produktiven Daten gelöscht, soweit keine entgegenstehende gesetzliche Verpflichtung besteht.

4. Kategorien betroffener Personen

Von der Verarbeitung können insbesondere folgende Personengruppen betroffen sein:

• Bewerber und Bewerberinnen,
• Kandidaten und Kandidatinnen,
• Beschäftigte oder ehemalige Beschäftigte, soweit deren Daten vom Auftraggeber im Recruiting-Kontext eingebracht werden,
• Ansprechpartner des Auftraggebers,
• Recruiter und sonstige Benutzer, soweit deren Daten im Auftrag verarbeitet werden.

5. Arten personenbezogener Daten

Die Verarbeitung kann insbesondere folgende Datenarten umfassen:

• Vor- und Nachname,
• Anrede,
• Kontaktdaten,
• E-Mail-Adresse,
• Telefonnummer,
• Anschrift,
• Angaben aus Lebensläufen,
• Ausbildungsdaten,
• Berufserfahrung,
• Arbeitgeberhistorie,
• Qualifikationen,
• Kenntnisse und Fähigkeiten,
• Sprachkenntnisse,
• Zertifikate,
• Nachweise,
• Angaben aus Anschreiben,
• stellenspezifische Angaben,
• Bewerbungsstatus,
• vom Auftraggeber hinterlegte Bewertungskriterien,
• Scores und Bewertungsergebnisse,
• automatisch erzeugte Zusammenfassungen,
• interne Zuordnungen zu Stellen,
• Kommunikationsdaten,
• technische Metadaten, soweit sie im Rahmen der Anwendung verarbeitet werden.

6. Besondere Kategorien personenbezogener Daten

(1) RecruiterFox ist nicht darauf ausgerichtet, besondere Kategorien personenbezogener Daten als Bewertungskriterien zu verwenden.

(2) Bewerbungsunterlagen können dennoch aufgrund ihres Inhalts personenbezogene Daten besonderer Kategorien im Sinne von Art. 9 DSGVO enthalten.

(3) Hierzu können beispielsweise Angaben über Gesundheit oder Behinderung, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit oder sonstige besonders geschützte Informationen gehören.

(4) Der Auftraggeber entscheidet über die Bereitstellung solcher Daten und ist dafür verantwortlich, dass deren Verarbeitung datenschutzrechtlich zulässig ist.

(5) Der Auftragnehmer verarbeitet solche Daten ausschließlich im Rahmen der dokumentierten Weisungen des Auftraggebers und des technisch erforderlichen Umfangs der Leistungserbringung.

7. Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung zur Verarbeitung besteht.

(2) Als dokumentierte Weisungen gelten insbesondere

• diese Vereinbarung,
• der Hauptvertrag,
• die bestimmungsgemäße Nutzung von RecruiterFox durch berechtigte Benutzer,
• Einstellungen und Löschhandlungen innerhalb der Anwendung sowie
• zusätzliche Weisungen in Textform.

(3) Ist der Auftragnehmer nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung personenbezogener Daten verpflichtet, wird er den Auftraggeber vor der Verarbeitung hierüber informieren, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

(4) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, wird er den Auftraggeber unverzüglich darauf hinweisen. Der Auftragnehmer ist berechtigt, die betreffende Weisung bis zur Klärung auszusetzen.

8. Vertraulichkeit

(1) Der Auftragnehmer gewährleistet, dass mit der Verarbeitung personenbezogener Daten befasste Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Zugriff auf personenbezogene Daten erhalten nur solche Personen, die diesen Zugriff zur Erbringung ihrer Aufgaben benötigen.

(3) Die Vertraulichkeitsverpflichtungen gelten auch nach Beendigung der Tätigkeit der betreffenden Personen fort.

9. Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

(2) Die technischen und organisatorischen Maßnahmen umfassen insbesondere Maßnahmen zur Gewährleistung einer dem Risiko angemessenen

• Vertraulichkeit,
• Integrität,
• Verfügbarkeit,
• Belastbarkeit,
• Zugriffskontrolle,
• Zugangskontrolle,
• Trennung von Kundendaten,
• Sicherung,
• Wiederherstellung,
• Löschung und
• Überprüfung der Wirksamkeit der Sicherheitsmaßnahmen.

(3) Die Einzelheiten ergeben sich aus dem vom Auftragnehmer geführten Dokument „Technische und organisatorische Maßnahmen – RecruiterFox“ in der dem Auftraggeber bereitgestellten und für das Vertragsverhältnis dokumentierten Fassung.

(4) Die technischen und organisatorischen Maßnahmen können entsprechend der technischen Entwicklung fortentwickelt werden. Änderungen dürfen das vereinbarte Sicherheitsniveau nicht unangemessen unterschreiten.

10. Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen im angemessenen Umfang bei der Erfüllung datenschutzrechtlicher Pflichten.

(2) Dies umfasst insbesondere Unterstützung bei

• Auskunftsersuchen,
• Berichtigungsersuchen,
• Löschersuchen,
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widersprüchen,
• Datenschutz-Folgenabschätzungen,
• Konsultationen mit Aufsichtsbehörden,
• Meldung und Bewertung von Datenschutzverletzungen.

(3) Richtet eine betroffene Person ein Ersuchen unmittelbar an den Auftragnehmer, wird dieser das Ersuchen grundsätzlich an den Auftraggeber weiterleiten und nicht eigenständig über das Begehren entscheiden, soweit keine gesetzliche Verpflichtung hierzu besteht.

(4) Der Auftraggeber bleibt für die Prüfung und Beantwortung der Rechte betroffener Personen verantwortlich.

11. Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit hiervon Daten des Auftraggebers betroffen sind.

(2) Die Mitteilung enthält, soweit zu diesem Zeitpunkt verfügbar,

• eine Beschreibung der Art des Vorfalls,
• die betroffenen Datenarten und Personengruppen,
• die ungefähr betroffene Datenmenge,
• bekannte oder wahrscheinliche Folgen,
• bereits ergriffene oder vorgeschlagene Gegenmaßnahmen sowie
• einen Ansprechpartner für Rückfragen.

(3) Soweit zum Zeitpunkt der ersten Meldung noch nicht alle Informationen vorliegen, können diese schrittweise nachgereicht werden.

(4) Die Entscheidung über eine Meldung an eine Aufsichtsbehörde oder Benachrichtigung betroffener Personen obliegt dem Auftraggeber, soweit nicht der Auftragnehmer selbst gesetzlich hierzu verpflichtet ist.

12. Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen, soweit dies zur Bereitstellung von RecruiterFox erforderlich ist.

(2) Die bei Abschluss dieser Vereinbarung eingesetzten weiteren Auftragsverarbeiter ergeben sich aus Anlage 1.

(3) Der Auftragnehmer informiert den Auftraggeber grundsätzlich mindestens 14 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters in Textform.

(4) Der Auftraggeber kann einer beabsichtigten Änderung innerhalb dieser Frist aus sachlich begründeten datenschutzrechtlichen Gründen widersprechen.

(5) Im Fall eines berechtigten Widerspruchs werden die Parteien versuchen, eine zumutbare Lösung zu finden.

(6) Ist eine zumutbare Lösung nicht möglich und kann die betreffende Leistung ohne den Unterauftragsverarbeiter nicht erbracht werden, kann der Auftragnehmer die hiervon betroffene Leistung oder den Hauptvertrag zum Zeitpunkt des geplanten Einsatzes des Unterauftragsverarbeiters beenden.

(7) Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter vertraglich zu Datenschutzpflichten, die im Wesentlichen den für die jeweilige Verarbeitung relevanten Verpflichtungen dieser Vereinbarung entsprechen.

(8) Der Auftragnehmer bleibt gegenüber dem Auftraggeber im Rahmen der gesetzlichen Vorschriften für die Erfüllung der Datenschutzpflichten der von ihm eingesetzten weiteren Auftragsverarbeiter verantwortlich.

13. Datenübermittlungen in Drittstaaten

(1) Der Auftragnehmer verarbeitet personenbezogene Bewerberdaten grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums, soweit dies mit den eingesetzten Diensten und deren vereinbarter Bereitstellungsregion möglich ist.

(2) Eine Übermittlung personenbezogener Daten in ein Drittland darf nur stattfinden, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(3) Soweit für eine Übermittlung kein Angemessenheitsbeschluss besteht, stellt der Auftragnehmer sicher, dass ein nach dem jeweils anwendbaren Datenschutzrecht zulässiger Übermittlungsmechanismus verwendet wird.

(4) Soweit Unterauftragsverarbeiter ihrerseits weitere Auftragsverarbeiter einsetzen, gelten die vorstehenden Anforderungen entsprechend.

14. Löschung und Rückgabe

(1) Der Auftraggeber kann während der Vertragslaufzeit Daten im Rahmen der bereitgestellten Funktionen löschen und exportieren.

(2) Nach Beendigung der Auftragsverarbeitung löscht der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht.

(3) Soweit der Auftraggeber vor der endgültigen Löschung einen nach dem Hauptvertrag oder dem anwendbaren Recht vorgesehenen Export verlangt, stellt der Auftragnehmer die hiervon erfassten Daten entsprechend dem Hauptvertrag bereit.

(4) Daten in Sicherungskopien werden innerhalb der regulären Sicherungszyklen gelöscht und spätestens sieben Tage nach ihrer Löschung aus den produktiven Systemen überschrieben bzw. entfernt, soweit technisch vorgesehen und keine gesetzliche Verpflichtung entgegensteht.

15. Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der Pflichten aus dieser Vereinbarung nachzuweisen.

(2) Der Nachweis soll vorrangig durch geeignete Dokumentationen, Sicherheitsinformationen, vorhandene Prüfberichte, Zertifizierungen oder vergleichbare Nachweise erfolgen.

(3) Soweit diese Nachweise nicht ausreichen und eine weitergehende Kontrolle datenschutzrechtlich erforderlich ist, kann der Auftraggeber nach angemessener vorheriger Ankündigung eine weitergehende Prüfung verlangen.

(4) Prüfungen sind so durchzuführen, dass Betriebsabläufe, Sicherheitsinteressen, Geschäftsgeheimnisse und die Rechte anderer Kunden nicht unangemessen beeinträchtigt werden.

(5) Vor-Ort-Prüfungen sind grundsätzlich auf das erforderliche Maß zu beschränken und während der üblichen Geschäftszeiten durchzuführen.

(6) Der Auftraggeber trägt die angemessenen Kosten außergewöhnlicher Prüfungsaufwände, soweit die Prüfung keinen wesentlichen vom Auftragnehmer zu vertretenden Verstoß ergibt und eine Kostentragung rechtlich zulässig ist.

16. Verantwortlichkeit des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Erhebung, Übermittlung und sonstigen Verarbeitung der von ihm in RecruiterFox eingebrachten personenbezogenen Daten verantwortlich.

(2) Der Auftraggeber bestimmt insbesondere Zwecke und wesentliche Mittel seiner Recruiting-Verarbeitung, Speicherdauern innerhalb der durch RecruiterFox vorgegebenen technischen Höchstgrenzen sowie die Verwendung der Verarbeitungsergebnisse.

(3) Der Auftragnehmer übernimmt keine Prüfung, ob eine konkrete Verarbeitung des Auftraggebers auf einer ausreichenden Rechtsgrundlage beruht, soweit offensichtliche Rechtsverstöße nicht erkennbar sind.

17. Verantwortlichkeit und Haftung

Die Verantwortlichkeit und Haftung der Parteien richtet sich nach den zwingenden gesetzlichen Datenschutzvorschriften sowie ergänzend nach den wirksamen Haftungsregelungen des Hauptvertrags.

18. Laufzeit

(1) Diese Vereinbarung tritt mit dem Hauptvertrag in Kraft, sobald und soweit eine Auftragsverarbeitung personenbezogener Daten erfolgt.

(2) Sie endet, sobald sämtliche unter dieser Vereinbarung verarbeiteten personenbezogenen Daten nach Beendigung des Hauptvertrags gelöscht oder zurückgegeben wurden und keine Auftragsverarbeitung mehr erfolgt.

19. Kunden mit Sitz in der Schweiz

Soweit der Auftraggeber seinen Sitz in der Schweiz hat und einzelne Bestimmungen der DSGVO auf ihn nicht unmittelbar Anwendung finden, gelten die Bestimmungen dieser Vereinbarung hinsichtlich der Auftragsverarbeitung vertraglich entsprechend, soweit sie mit zwingendem schweizerischem Datenschutzrecht vereinbar sind. Zwingendes anwendbares schweizerisches Datenschutzrecht bleibt unberührt.

20. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung einschließlich Änderungen dokumentierter Weisungen sollen in Textform erfolgen, soweit nicht eine strengere gesetzliche Form vorgeschrieben ist.

(2) Individualvereinbarungen gehen dieser Vereinbarung vor, soweit sie die gesetzlichen Mindestanforderungen an eine Auftragsverarbeitung nicht unterschreiten.

(3) Im Übrigen gelten die Rechtswahl- und Gerichtsstandsregelungen des Hauptvertrags.

Anlage 1 – Genehmigte Unterauftragsverarbeiter

1. Hetzner Online GmbH

Sitz: Deutschland

Leistung: Hosting, Server-, Speicher-, Datenbank- und Infrastrukturleistungen

Verarbeitung: Speicherung und technische Verarbeitung der innerhalb von RecruiterFox verarbeiteten Daten

Verarbeitungsregion: Deutschland

2. Mistral AI

Sitz: Frankreich

Leistung: Bereitstellung von KI-/Large-Language-Model-Funktionen

Verarbeitung: Verarbeitung der für die jeweilige RecruiterFox-Funktion erforderlichen textbasierten Bewerber-, Stellen- und Kriterieninformationen sowie Erzeugung textbasierter Outputs

Verarbeitungsregion: EU/EWR entsprechend der vom Auftragnehmer eingesetzten Produktivkonfiguration

Der Auftragnehmer verwendet für personenbezogene Bewerberdaten keine Labs-, Preview- oder sonstigen Konfigurationen, bei denen die Verwendung dieser Daten zum Training allgemeiner KI-Modelle nicht ausgeschlossen ist.

Soweit Mistral AI weitere Unterauftragsverarbeiter einsetzt, gelten die mit Mistral AI vereinbarten Datenschutzbedingungen und die dort vorgesehenen Mechanismen zur Information über weitere Unterauftragsverarbeiter.

3. STRATO GmbH

Sitz: Deutschland

Leistung: E-Mail-Infrastruktur und damit verbundene Kommunikationsdienste

Verarbeitung: Soweit über die betreffende Infrastruktur Bewerberkommunikation versandt wird, Verarbeitung der hierfür erforderlichen Empfänger-, Kontakt- und Kommunikationsdaten

Verarbeitungsregion: Deutschland bzw. entsprechend der vertraglich vereinbarten Infrastruktur

Nicht von dieser Anlage erfasste Zahlungsabwicklung

Stripe wird für die Zahlungsabwicklung sowie Unternehmens-, Abrechnungs- und Zahlungsdaten eingesetzt. Soweit Stripe hierbei nicht im Auftrag des Kunden Bewerberdaten verarbeitet, ist diese Verarbeitung nicht Gegenstand dieser Auftragsverarbeitungsvereinbarung und wird im Rahmen der Datenschutzerklärung bzw. der jeweiligen Zahlungsabwicklung geregelt.

Anlage 2 – Technische und organisatorische Maßnahmen

Bestandteil dieser Vereinbarung ist das vom Auftragnehmer geführte Dokument „Technische und organisatorische Maßnahmen – RecruiterFox“ in der dem Auftraggeber bereitgestellten und für das Vertragsverhältnis dokumentierten Fassung.

Version 1.0
Stand: 18. August 2026