Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (Datenschutz-Grundverordnung, DSGVO)
Verbindlich ist die tschechische Fassung. Diese deutsche Übersetzung dient nur zur Information; bei Abweichungen geht die tschechische Fassung vor.
Vertragsparteien
Verantwortlicher: der Kunde des Dienstes JOBSON, d. h. eine juristische Person oder eine natürliche Person als Unternehmer, die sich für den Dienst JOBSON registriert und diesem Vertrag zugestimmt hat (nachfolgend „Verantwortlicher“),
und
Auftragsverarbeiter: BePositive Group s.r.o., IČO 05232317, USt-IdNr. (DIČ) CZ05232317, mit Sitz in Jičínská 1786/49, Žižkov, 130 00 Praha 3, eingetragen im Handelsregister beim Stadtgericht Prag (Městský soud v Praze), Abteilung C, Einlage 260372, vertreten durch den Geschäftsführer (jednatel) Jakub Dvořák (nachfolgend „Auftragsverarbeiter“),
(zusammen „Parteien“) schließen diesen Vertrag über die Verarbeitung personenbezogener Daten (nachfolgend „AVV“).
Präambel
(A) Die Parteien haben einen Vertrag über die Bereitstellung des Dienstes JOBSON geschlossen, dessen Bestandteil die Allgemeinen Geschäftsbedingungen des Dienstes JOBSON sind (nachfolgend „AGB“ und zusammen mit allen Bestandteilen „Hauptvertrag“).
(B) Bei der Bereitstellung des Dienstes JOBSON (nachfolgend „Dienst“) verarbeitet der Auftragsverarbeiter für den Verantwortlichen personenbezogene Daten, die der Verantwortliche oder seine Nutzer in den Dienst eingeben oder die auf Weisung des Verantwortlichen die betroffenen Personen selbst in den Dienst eingeben (z. B. Bewerber über ein Recruiting-Formular oder einen Fragebogen).
(C) Dieser AVV wird elektronisch zusammen mit dem Hauptvertrag geschlossen, und zwar durch aktive Zustimmung bei der Registrierung für den Dienst. Die Parteien betrachten ihn als schriftlichen Vertrag im Sinne von Art. 28 Abs. 9 DSGVO (elektronisches Format). Der Auftragsverarbeiter bewahrt einen Nachweis über die Zustimmung auf.
1. Begriffsbestimmungen
1.1 Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“, „besondere Kategorien personenbezogener Daten“ und weitere haben die Bedeutung nach Art. 4 DSGVO.
1.2 „Personenbezogene Daten des Verantwortlichen“ sind personenbezogene Daten, die der Auftragsverarbeiter für den Verantwortlichen im Rahmen des Dienstes verarbeitet, wie in Anlage 1 beschrieben.
1.3 „Unterauftragsverarbeiter“ ist ein weiterer Auftragsverarbeiter, den der Auftragsverarbeiter in die Verarbeitung der Personenbezogenen Daten des Verantwortlichen einbezieht (Art. 28 Abs. 2 und 4 DSGVO).
1.4 „Datenschutzvorschriften“ sind die DSGVO, das tschechische Gesetz Nr. 110/2019 Slg. über die Verarbeitung personenbezogener Daten sowie weitere anwendbare Vorschriften der EU und der Mitgliedstaaten, in denen der Verantwortliche tätig ist.
1.5 Übrige Begriffe mit großem Anfangsbuchstaben haben die Bedeutung nach den AGB.
2. Gegenstand, Art und Zweck der Verarbeitung
2.1 Der Auftragsverarbeiter verpflichtet sich, die Personenbezogenen Daten des Verantwortlichen ausschließlich zum Zweck der Bereitstellung des Dienstes nach dem Hauptvertrag und in Übereinstimmung mit diesem AVV und den dokumentierten Weisungen des Verantwortlichen zu verarbeiten.
2.2 Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 angegeben.
2.3 Der Verantwortliche ist für die Festlegung der Zwecke und Mittel der Verarbeitung der Personenbezogenen Daten des Verantwortlichen verantwortlich. Der Auftragsverarbeiter legt die Zwecke der Verarbeitung der Personenbezogenen Daten des Verantwortlichen nicht fest.
3. Laufzeit
3.1 Der AVV wird für die Dauer des Hauptvertrags geschlossen und darüber hinaus für die Dauer, in der der Auftragsverarbeiter Personenbezogene Daten des Verantwortlichen verarbeitet (insbesondere im Übergangszeitraum nach Art. 24 AGB und bis zu ihrer Löschung nach Art. 13 dieses AVV).
4. Weisungen des Verantwortlichen
4.1 Der Auftragsverarbeiter verarbeitet die Personenbezogenen Daten des Verantwortlichen ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 Buchst. a DSGVO), auch in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in einem solchen Fall teilt er dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
4.2 Dokumentierte Weisungen des Verantwortlichen sind: a) der Hauptvertrag und dieser AVV; b) Einstellungen und Handlungen, die der Verantwortliche und seine Nutzer im Dienst vornehmen (z. B. Eingabe, Import, Bearbeitung, Export, Löschung und Anonymisierung von Daten, Festlegung von Aufbewahrungsfristen, Start von KI-Funktionen, Versand von Nachrichten, Abgabe von Meldungen, Anbindung von Integrationen, Ausstellung von API-Schlüsseln und MCP-Tokens); c) weitere Weisungen, die der Verantwortliche schriftlich erteilt (per E-Mail von der Adresse des Kontoadministrators), sofern sie mit dem Hauptvertrag im Einklang stehen und technisch durchführbar sind; Weisungen, die über den Umfang des Dienstes hinausgehen, kann der Auftragsverarbeiter von der Erstattung angemessener Kosten abhängig machen.
4.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die Datenschutzvorschriften verstößt (Art. 28 Abs. 3 letzter Satz DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung einer solchen Weisung bis zu ihrer Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.
4.4 Der Auftragsverarbeiter verwendet die Personenbezogenen Daten des Verantwortlichen nicht für eigene Zwecke, insbesondere nicht für Marketing, Profiling oder das Training von Modellen der künstlichen Intelligenz. Als Verarbeitung für Zwecke des Dienstes gelten auch: (i) die Messung und Abrechnung des Verbrauchs (Anzahl der Vorgänge, KI-Credits, Aktiven Nutzer), (ii) die Gewährleistung von Sicherheit und Betrieb sowie die Fehlerbehebung, (iii) die Erstellung aggregierter anonymer Statistiken nach Art. 19.3 AGB.
5. Pflichten des Verantwortlichen
5.1 Der Verantwortliche ist dafür verantwortlich, dass er: a) für die Verarbeitung der Personenbezogenen Daten des Verantwortlichen über eine gültige Rechtsgrundlage nach Art. 6 DSGVO verfügt, bei besonderen Kategorien personenbezogener Daten über eine Ausnahme nach Art. 9 Abs. 2 DSGVO (insbesondere Buchst. b – Erfüllung von Pflichten aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit), bei Daten über strafrechtliche Verurteilungen die Voraussetzungen des Art. 10 DSGVO und bei Geburtsnummern die Voraussetzungen besonderer Vorschriften erfüllt; b) gegenüber den betroffenen Personen die Informationspflicht (Art. 13 und 14 DSGVO) erfüllt hat, einschließlich der Information über die Einbeziehung eines Auftragsverarbeiters, über den Einsatz von KI-Funktionen (insbesondere KI-Recruiter, KI-gestütztes Auslesen und KI-Empfehlungen) und über Übermittlungen außerhalb des EWR, sofern solche stattfinden; c) die Notwendigkeit einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO geprüft hat – mit Blick auf den Umfang der Verarbeitung von Daten von Beschäftigten und Bewerbern, die Schutzbedürftigkeit der betroffenen Personen, besondere Kategorien von Daten und den Einsatz von KI ist eine DSFA in der Regel erforderlich; d) in den Dienst nur personenbezogene Daten eingibt, die für den jeweiligen Zweck angemessen und erforderlich sind, und angemessene Aufbewahrungsfristen und Nutzerberechtigungen festlegt; e) die Pflichten eines Betreibers nach der Verordnung (EU) 2024/1689 (AI Act) erfüllt, soweit sie sich auf die Nutzung der KI-Funktionen beziehen (siehe Art. 14 AGB); f) sofern er in den Dienst personenbezogene Daten eingibt, bei denen er selbst Auftragsverarbeiter ist (z. B. Daten seiner Klienten), sicherstellt, dass er hierzu von seinem Verantwortlichen berechtigt ist; der Auftragsverarbeiter ist in diesem Fall weiterer Auftragsverarbeiter.
5.2 Der Verantwortliche ist verantwortlich für Entscheidungen über die Übermittlung von Daten aus dem Dienst heraus, die er selbst vornimmt oder die der Dienst auf seine Weisung vornimmt (Export, API, MCP-Anbindung an ein vom Verantwortlichen gewähltes KI-Werkzeug, Versand einer E-Mail, SMS oder Nachricht über einen Kommunikationskanal, Meldungen an Behörden). Empfänger solcher Daten sind keine Unterauftragsverarbeiter des Auftragsverarbeiters (siehe Art. 15.3 AGB).
6. Vertraulichkeit und befugte Personen
6.1 Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der Personenbezogenen Daten des Verantwortlichen befugten Personen (Arbeitnehmer, Mitarbeiter) vertraglich oder kraft Gesetzes zur Vertraulichkeit verpflichtet haben, und zwar auch nach Beendigung ihres Verhältnisses zum Auftragsverarbeiter (Art. 28 Abs. 3 Buchst. b DSGVO).
6.2 Der Zugriff von Personen des Auftragsverarbeiters auf die Personenbezogenen Daten des Verantwortlichen ist auf das erforderliche Minimum beschränkt und nur möglich: a) zur Erbringung von Support auf Wunsch oder mit Zustimmung des Verantwortlichen, b) zur Behebung eines Vorfalls oder eines schwerwiegenden Mangels, c) zur Erfüllung einer rechtlichen Pflicht.
7. Sicherheit der Verarbeitung
7.1 Der Auftragsverarbeiter hat technische und organisatorische Maßnahmen nach Art. 32 DSGVO getroffen und hält sie aufrecht, die in Anlage 2 beschrieben sind, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten der betroffenen Personen.
7.2 Der Auftragsverarbeiter bewertet und verbessert die Maßnahmen fortlaufend; er ist berechtigt, sie zu ändern, sofern dadurch das Gesamtschutzniveau nicht sinkt.
7.3 Der Verantwortliche ist für die Sicherheit auf seiner Seite verantwortlich, insbesondere für die Verwaltung der Nutzerkonten und Berechtigungen, die Sicherheit von Passwörtern, API-Schlüsseln und MCP-Tokens sowie seiner Geräte (einschließlich der zur Unterschrift von Dokumenten verwendeten Geräte).
8. Unterauftragsverarbeiter
8.1 Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Einbeziehung von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Die aktuelle Liste der Unterauftragsverarbeiter ist unter https://jobson.cloud/de/auftragsverarbeitung#unterauftragsverarbeiter veröffentlicht; ihre Fassung zum Tag des Wirksamwerdens des AVV bildet Anlage 3.
8.2 Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung (Hinzuziehung oder Ersetzung) eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus per E-Mail an die Adresse des Kontoadministrators oder durch Mitteilung in der Anwendung. Der Verantwortliche kann gegen die Änderung aus berechtigten, den Datenschutz betreffenden Gründen innerhalb von 30 Tagen nach der Mitteilung Einspruch erheben. Die Parteien bemühen sich um eine Lösung; kommt keine zustande, ist der Verantwortliche berechtigt, den Hauptvertrag mit Wirkung zum Tag des Wirksamwerdens der Änderung zu kündigen, und der Auftragsverarbeiter erstattet ihm den anteiligen Teil des vorausbezahlten Preises.
8.3 In dringenden Fällen (z. B. plötzliche Einstellung der Tätigkeit eines Unterauftragsverarbeiters oder Sicherheitsgründe) kann der Auftragsverarbeiter einen Unterauftragsverarbeiter mit kürzerer Ankündigung ersetzen; das Einspruchsrecht des Verantwortlichen nach Art. 8.2 bleibt unberührt.
8.4 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere die Pflicht, hinreichende Garantien dafür zu bieten, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden (Art. 28 Abs. 4 DSGVO). Für die Erfüllung der Pflichten eines Unterauftragsverarbeiters haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen so, als hätte er sie selbst zu erfüllen.
8.5 Auf Verlangen des Verantwortlichen stellt der Auftragsverarbeiter Informationen über die vertraglichen Garantien mit dem Unterauftragsverarbeiter bereit, soweit Geschäftsgeheimnisse oder Vertragsbedingungen des Unterauftragsverarbeiters dem nicht entgegenstehen (bei großen Anbietern in der Regel durch Verweis auf deren öffentliche Bedingungen zur Auftragsverarbeitung).
9. Übermittlung in Drittländer
9.1 Der Auftragsverarbeiter verarbeitet die Personenbezogenen Daten des Verantwortlichen vorrangig im Europäischen Wirtschaftsraum (EWR) – Datenbanken, Dateien und Sicherungen des Dienstes werden bei einem Hosting-Anbieter in der EU gespeichert, und die KI-Verarbeitung erfolgt in der Google-Cloud-Region europe-west3 (Frankfurt am Main).
9.2 Eine Übermittlung Personenbezogener Daten des Verantwortlichen in ein Drittland (außerhalb des EWR) oder an eine internationale Organisation darf nur erfolgen: a) in ein Land, für das die Europäische Kommission beschlossen hat, dass es ein angemessenes Schutzniveau bietet (Art. 45 DSGVO), einschließlich der Übermittlung an Empfänger, die im Rahmen des EU-US Data Privacy Framework zertifiziert sind; oder b) auf der Grundlage von Standardvertragsklauseln, die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission erlassen wurden; oder c) auf der Grundlage einer anderen geeigneten Garantie nach Art. 46 DSGVO.
9.3 Die Liste der Unterauftragsverarbeiter gibt für jeden von ihnen den Ort der Verarbeitung und den Übermittlungsmechanismus an.
9.4 Der Verantwortliche nimmt zur Kenntnis, dass er Übermittlungen, die durch seine eigenen Entscheidungen nach Art. 5.2 veranlasst werden (z. B. Anbindung eines KI-Werkzeugs über MCP, Kommunikationskanäle, Versand von SMS ins Ausland), selbst beurteilt und absichert.
10. Unterstützung bei der Wahrnehmung der Rechte betroffener Personen
10.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen (Art. 12–23 DSGVO) nachzukommen (Art. 28 Abs. 3 Buchst. e DSGVO). Der Dienst stellt dafür insbesondere bereit: Anzeige und Export der Daten zu einer Person, Berichtigung, Löschung, Anonymisierung, Archivierung, Erfassung von Einwilligungen mit Zweck und Ablaufdatum sowie die Änderungshistorie eines Datensatzes.
10.2 Erhält der Auftragsverarbeiter einen Antrag einer betroffenen Person, der Personenbezogene Daten des Verantwortlichen betrifft, leitet er ihn unverzüglich an den Verantwortlichen weiter (sofern der Verantwortliche aus dem Antrag identifizierbar ist) und beantwortet ihn selbst nicht inhaltlich, mit Ausnahme der Mitteilung, dass er den Antrag weitergeleitet hat.
10.3 Unterstützung, die über die Funktionen des Dienstes hinausgeht, leistet der Auftragsverarbeiter auf Verlangen des Verantwortlichen gegen Erstattung angemessener Kosten, sofern die Unterstützung nicht durch eine Pflichtverletzung des Auftragsverarbeiters veranlasst wurde.
11. Unterstützung bei der Erfüllung weiterer Pflichten des Verantwortlichen
11.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, DSFA, vorherige Konsultation) (Art. 28 Abs. 3 Buchst. f DSGVO), insbesondere durch Bereitstellung einer Beschreibung des Dienstes, der technischen und organisatorischen Maßnahmen, der Liste der Unterauftragsverarbeiter und von Informationen über die Funktionsweise der KI-Funktionen.
11.2 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung Unterlagen für dessen Verzeichnis von Verarbeitungstätigkeiten zur Verfügung. Der Auftragsverarbeiter führt ein eigenes Verzeichnis aller Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung (Art. 30 Abs. 2 DSGVO).
12. Verletzung des Schutzes personenbezogener Daten
12.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes der Personenbezogenen Daten des Verantwortlichen unverzüglich, nachdem sie ihm bekannt geworden ist, spätestens innerhalb von 48 Stunden, und zwar per E-Mail an die Adresse des Kontoadministrators (ggf. an den Datenschutzkontakt, den ihm der Verantwortliche mitteilt) und nach Möglichkeit auch durch Mitteilung in der Anwendung.
12.2 Die Meldung enthält, soweit die Informationen verfügbar sind: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung der Auswirkungen sowie die Kontaktperson des Auftragsverarbeiters. Stehen nicht alle Informationen gleichzeitig zur Verfügung, stellt der Auftragsverarbeiter sie schrittweise ohne weitere unangemessene Verzögerung bereit (Art. 33 Abs. 3 und 4 DSGVO).
12.3 Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Begrenzung der Folgen der Verletzung, dokumentiert sie und unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde und bei einer etwaigen Benachrichtigung der betroffenen Personen. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen nimmt der Verantwortliche vor; der Auftragsverarbeiter nimmt sie ohne dessen Weisung nicht in seinem Namen vor, es sei denn, eine Rechtsvorschrift verpflichtet ihn dazu.
12.4 Die Meldung einer Verletzung durch den Auftragsverarbeiter stellt kein Anerkenntnis einer Haftung dar.
13. Beendigung der Verarbeitung, Rückgabe und Löschung der Daten
13.1 Nach Beendigung der Bereitstellung des Dienstes wird der Auftragsverarbeiter nach Wahl des Verantwortlichen die Personenbezogenen Daten des Verantwortlichen zurückgeben (durch Bereitstellung des Exports) oder löschen und vorhandene Kopien löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 Buchst. g DSGVO).
13.2 Verfahren: a) der Verantwortliche hat nach Beendigung des Hauptvertrags 30 Tage (mit der Möglichkeit der Verlängerung nach Art. 24.2 AGB) Zeit, die Personenbezogenen Daten des Verantwortlichen zu exportieren; b) sofern der Verantwortliche nichts anderes verlangt, löscht der Auftragsverarbeiter die Personenbezogenen Daten des Verantwortlichen nach Ablauf des Übergangszeitraums innerhalb von 30 Tagen aus den Produktivsystemen und aus den Sicherungen im Rahmen ihrer regulären Rotation; bis zum Überschreiben sind die Sicherungen durch Maßnahmen nach Anlage 2 geschützt und werden nicht aktiv verarbeitet; c) auf Verlangen des Verantwortlichen bestätigt der Auftragsverarbeiter die Löschung schriftlich.
13.3 Als Rückgabe gilt die Bereitstellung des Exports in einem maschinenlesbaren Format; Daten, für die die Anwendung keinen Export anbietet, gibt der Auftragsverarbeiter auf Verlangen des Verantwortlichen nach dem Verfahren gemäß Art. 24.1 AGB heraus.
13.4 Eine Löschung auf Weisung des Verantwortlichen während der Laufzeit des Hauptvertrags (z. B. Löschung oder Anonymisierung einer Person in der Anwendung) wird in den Produktivsystemen unverzüglich und in den Sicherungen im Rahmen ihrer Rotation wirksam.
14. Audits und Kontrollen
14.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO und diesem AVV zur Verfügung (Art. 28 Abs. 3 Buchst. h DSGVO), insbesondere in Form dieses Dokuments, der Beschreibung der technischen und organisatorischen Maßnahmen, der Liste der Unterauftragsverarbeiter und der Beantwortung eines angemessenen Sicherheitsfragebogens.
14.2 Reichen die Informationen nach Art. 14.1 nicht aus, ermöglicht der Auftragsverarbeiter dem Verantwortlichen oder einem vom Verantwortlichen beauftragten unabhängigen Prüfer, der zur Verschwiegenheit verpflichtet und kein Wettbewerber des Auftragsverarbeiters ist, ein Audit durchzuführen, und zwar unter folgenden Bedingungen: a) Ankündigung mindestens 30 Tage im Voraus unter Angabe des Umfangs (gilt nicht bei begründetem Verdacht auf eine schwerwiegende Verletzung oder auf Anordnung der Aufsichtsbehörde); b) höchstens einmal in 12 Monaten, sofern es sich nicht um ein Audit nach einer Verletzung des Schutzes oder auf Verlangen der Aufsichtsbehörde handelt; c) während der Arbeitszeit, ohne Beeinträchtigung des Betriebs des Dienstes und ohne Zugriff auf Daten anderer Kunden und auf Geschäftsgeheimnisse des Auftragsverarbeiters; d) die Kosten des Audits trägt der Verantwortliche, einschließlich angemessener Kosten des Auftragsverarbeiters, es sei denn, das Audit weist eine wesentliche Pflichtverletzung des Auftragsverarbeiters nach; e) ein Audit bei Unterauftragsverarbeitern erfolgt anhand ihrer Zertifizierungen und Prüfberichte, nicht durch eine Kontrolle vor Ort.
14.3 Der Auftragsverarbeiter arbeitet mit der Aufsichtsbehörde zusammen.
15. Haftung
15.1 Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO.
15.2 Die gegenseitige Haftung der Parteien für Schäden aus einer Verletzung dieses AVV richtet sich nach Art. 21 AGB, einschließlich seiner Beschränkungen, mit Ausnahme von vorsätzlich oder grob fahrlässig verursachten Schäden.
15.3 Der Auftragsverarbeiter haftet nicht für Verstöße gegen die Datenschutzvorschriften, die im Inhalt der Weisungen des Verantwortlichen, in der Einrichtung des Dienstes durch den Verantwortlichen oder in Entscheidungen nach Art. 5.2 begründet sind.
16. Kontaktpersonen
16.1 Kontakt des Auftragsverarbeiters in Angelegenheiten des Datenschutzes und bei Sicherheitsvorfällen ist info@jobson.cloud (Betreff „GDPR“). Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten benannt.
16.2 Kontakt des Verantwortlichen ist der Kontoadministrator oder ein anderer Datenschutzkontakt, den der Verantwortliche dem Auftragsverarbeiter mitteilt.
17. Schlussbestimmungen
17.1 Dieser AVV unterliegt dem Recht der Tschechischen Republik; Streitigkeiten werden nach Art. 25 AGB beigelegt.
17.2 Bei Widersprüchen zwischen diesem AVV und den übrigen Bestandteilen des Hauptvertrags hat in Angelegenheiten des Datenschutzes dieser AVV Vorrang. Sind Standardvertragsklauseln Bestandteil dieses AVV, haben sie Vorrang vor den übrigen Abreden.
17.3 Der Auftragsverarbeiter ist berechtigt, den AVV nach dem Verfahren gemäß Art. 27 AGB zu ändern; Änderungen, die durch eine Änderung von Rechtsvorschriften oder durch Vorgaben der Aufsichtsbehörden veranlasst sind, können mit kürzerer Frist wirksam werden.
17.4 Untrennbare Bestandteile des AVV sind:
- Anlage 1 – Beschreibung der Verarbeitung
- Anlage 2 – Technische und organisatorische Maßnahmen
- Anlage 3 – Liste der Unterauftragsverarbeiter
Anlage 1 – Beschreibung der Verarbeitung
1. Gegenstand und Art der Verarbeitung
Betrieb des Cloud-Dienstes JOBSON (SaaS) für den Verantwortlichen: Speicherung, Organisation, Strukturierung, Suche, Einsichtnahme, Bearbeitung, Verknüpfung, Auslesen von Dokumenten, Generierung von Dokumenten, Berechnungen, Versand von Nachrichten auf Weisung des Verantwortlichen, Export, Archivierung, Anonymisierung und Löschung personenbezogener Daten; Datensicherung; technischer Support; Verarbeitung in KI-Funktionen (Auslesen und Vorschläge).
2. Zweck der Verarbeitung
Dem Verantwortlichen die Führung der Geschäftsvorgänge eines Personaldienstleisters (Arbeitsagentur) zu ermöglichen, insbesondere: Recruiting und Auswahl von Bewerbern, Personenverwaltung (Kartei), Arbeitsverhältnisse und vorübergehende Überlassungen an Entleiher, Zeiterfassung und Unterlagen für die Lohnabrechnung, Vorschüsse und Kassen, Unterkünfte, Dokumente und deren Unterzeichnung, Checklisten und Fristüberwachung, Kommunikation mit Bewerbern und Beschäftigten, Behördenmeldungen und Reporting – jeweils in dem Umfang, in dem der Verantwortliche den Dienst nutzt.
3. Kategorien betroffener Personen
a) Stellenbewerber und Kandidaten in der Recruiting-Datenbank; b) Beschäftigte des Verantwortlichen, insbesondere vorübergehend überlassene Arbeitnehmer, Personen, die auf Grundlage von Vereinbarungen über Arbeiten außerhalb des Arbeitsverhältnisses tätig sind, ehemalige Beschäftigte; c) Familienangehörige und weitere von Beschäftigten angegebene Personen (z. B. unterhaltsberechtigte Kinder für Steuerermäßigungen, Notfallkontakt); d) Kontaktpersonen der Kunden (Entleiher) des Verantwortlichen und ihrer Betriebsstätten, der Geschäftspartner und der Unterkunftsgeber; e) Nutzer des Dienstes auf Seiten des Verantwortlichen – im Umfang der Daten im Audit-Trail und in der Aufgabenzuweisung; f) Personen, die Bewerber empfehlen.
4. Kategorien personenbezogener Daten
In dem Umfang, in dem der Verantwortliche sie in den Dienst eingibt:
a) Identifikationsdaten: Vorname, Nachname, Geburtsname, Geburtsdatum und -ort, Geburtsnummer, Geschlecht, Staatsangehörigkeit, ggf. Foto; b) Kontaktdaten: Wohn- und Aufenthaltsadresse, Zustellanschrift, Telefon, E-Mail (einschließlich der privaten E-Mail-Adresse für Zwecke des § 21 des tschechischen Arbeitsgesetzbuchs), Kennungen in Kommunikationskanälen; c) Daten aus Dokumenten: Art, Nummer und Gültigkeit des Ausweisdokuments und des Reisedokuments, Aufenthalts- und Arbeitsgenehmigungen von Ausländern, ggf. Kopien der Dokumente; d) arbeitsrechtliche Daten: Art des Arbeitsverhältnisses, Position, Arbeitsort, Entleiher, Entgeltstufe, Lohn und Sätze, Arbeitszeit, Urlaub, Arbeitsverhinderungen, Nachträge, Beendigung des Verhältnisses und deren Gründe, Qualifikationen, Schulungen und Arbeitsschutz, Leistungsbeurteilungen; e) Zeiterfassung: geleistete Stunden, Schichten, Zuschläge, Abwesenheiten einschließlich ihrer Art (z. B. Urlaub, Arbeitsunfähigkeit, Pflege eines Familienangehörigen); f) Finanz- und Steuerdaten: Bankkontonummer, Lohnvorschüsse, Abzüge, Bruttolohn, Erklärung des Steuerpflichtigen und Angaben für Steuerermäßigungen, Steuerkennungen, Angaben zur Krankenkasse und zur ausländischen Versicherung; g) Recruiting-Daten: Lebenslauf, Ausbildung, Berufserfahrung, Sprachkenntnisse, Fahrerlaubnisse, Präferenzen, Antworten auf Fragebögen, Aufzeichnungen aus Vorstellungsgesprächen, Ergebnisse des KI-Interviews und des Check-ins, Stand im Auswahlverfahren, Quelle der Bewerbung, Einwilligungen und deren Gültigkeit; h) Unterkunft: Unterkunft (Wohnheim), Zimmer, Aufenthaltsdauer, Zahlungen, an Behörden gemeldete Daten; i) Dokumente und Unterschriften: Inhalt von Verträgen und anderen Dokumenten, Bild der Unterschrift, Uhrzeit der Unterschrift; j) Kommunikation: Inhalt von E-Mails, SMS und Nachrichten, die über den Dienst gesendet oder empfangen werden, Konversationen mit dem KI-Assistenten und mit dem KI-Recruiter; k) technische und betriebliche Daten: Audit-Trail (wer hat wann was geändert), IP-Adressen und Gerätekennungen der Nutzer, Logs; l) besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): insbesondere Gesundheitsdaten (Arbeitsunfähigkeit, gesundheitliche Einschränkungen, gesundheitliche Eignung), ggf. weitere, sofern der Verantwortliche sie eingibt; m) Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) – nur, sofern der Verantwortliche sie eingibt; n) weitere Daten, die der Verantwortliche in eigene Felder eingibt.
5. Dauer der Verarbeitung
Für die Dauer des Hauptvertrags und des Übergangszeitraums nach Art. 13; einzelne Daten für die vom Verantwortlichen festgelegte Dauer (Aufbewahrungsfristen, Löschung, Anonymisierung). Konversationen mit dem KI-Assistenten werden 90 Tage aufbewahrt.
6. Ort der Verarbeitung
EWR, mit den in Anlage 3 angegebenen Ausnahmen.
Anlage 2 – Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter hat insbesondere die folgenden Maßnahmen getroffen. Er bewertet und entwickelt die Maßnahmen fortlaufend weiter (Art. 7.2).
A. Vertraulichkeit
- Trennung der Kundendaten: Die Daten der einzelnen Kunden sind unmittelbar auf Datenbankebene voneinander getrennt.
- Zugriffssteuerung für Nutzer: Rollen und Berechtigungen mit Geltungsbereich (Agentur, Niederlassung, Kunde, Betriebsstätte), Einrichtung und Deaktivierung von Nutzern durch den Administrator des Verantwortlichen; Passwörter werden ausschließlich in gehashter Form gespeichert.
- API und MCP: Zugriff nur mittels Schlüsseln und Tokens, die an Kunden und Nutzer gebunden sind, mit beschränktem Berechtigungsumfang und begrenzter Gültigkeit; Tokens können jederzeit ungültig gemacht werden.
- Zugriff des Personals des Auftragsverarbeiters: Zugang zu den Produktivsystemen haben nur beauftragte, zur Verschwiegenheit verpflichtete Personen; auf die Daten des Verantwortlichen greifen sie nur aus den Gründen nach Art. 6.2 AVV zu.
- Verschlüsselung bei der Übertragung: Die gesamte Kommunikation mit der Anwendung und der API erfolgt verschlüsselt (HTTPS/TLS).
- KI-Verarbeitung: Anfragen an KI-Modelle werden über ein eigenes Gateway des Auftragsverarbeiters ausschließlich in die Region EU geleitet; an das Modell werden nur die für den jeweiligen KI-Vorgang erforderlichen Daten übermittelt.
- Trennung der Umgebungen: Entwicklungs- und Testumgebungen arbeiten mit fiktiven Daten, nicht mit Personenbezogenen Daten des Verantwortlichen.
B. Integrität
- Audit-Trail: Änderungen von Datensätzen werden in der Änderungshistorie mit Angabe des Akteurs (Nutzer, KI, Integration) und der Uhrzeit protokolliert; die Historie ist in der Anwendung verfügbar.
- Bestätigung von KI-Einträgen: Die KI schreibt ohne Bestätigung durch den Nutzer nichts in die Daten.
- Anwendungssicherheit: Schutz durch die üblichen Sicherheitsmechanismen des Anwendungs-Frameworks, Validierung von Eingaben und fortlaufende Beseitigung festgestellter Schwachstellen.
C. Verfügbarkeit und Belastbarkeit
- Datensicherung: Die Datenbank des Dienstes wird regelmäßig gesichert.
- Infrastruktur: Server bei einem Hosting-Anbieter in der EU; Netzwerk-Firewall, Schutz des Servers gegen wiederholte Versuche unbefugten Zugriffs, regelmäßige Sicherheitsaktualisierungen.
- Monitoring: Überwachung der Verfügbarkeit und der Fehler des Dienstes (die Fehlerüberwachung erfolgt durch den in Anlage 3 genannten Unterauftragsverarbeiter).
D. Regelmäßige Überprüfung und Bewertung
- Automatisierte Tests und Codeprüfungen bei der Entwicklung.
- Interne Sicherheitsprüfungen des Dienstes und regelmäßige Bewertung der Maßnahmen.
E. Organisatorische Maßnahmen
- Verschwiegenheitspflicht aller Personen mit Zugang zu den Daten.
- Verfahren zur Behandlung von Sicherheitsvorfällen einschließlich der Meldung an den Verantwortlichen nach Art. 12 AVV.
- Auswahl der Unterauftragsverarbeiter unter Berücksichtigung der Datenschutzgarantien und Verträge nach Art. 28 Abs. 4 DSGVO.
- Vergabe und Entzug von Zugängen des Personals nach Bedarf.
F. Datenschutz durch Technikgestaltung
- Werkzeuge für den Verantwortlichen: Aufbewahrungsfristen, Einwilligungen mit Zweck und Ablaufdatum, Anonymisierung, Export der Daten zu einer Person, Löschung.
- KI-Funktionen, die der Nutzer nicht angefordert hat, werden nicht gestartet; der KI-Recruiter gibt sich als System der künstlichen Intelligenz zu erkennen.
- Konversationen mit dem KI-Assistenten werden 90 Tage aufbewahrt.
Anlage 3 – Liste der Unterauftragsverarbeiter
Fassung zum Tag des Wirksamwerdens des AVV. Die aktuelle Liste ist unter https://jobson.cloud/de/auftragsverarbeitung#unterauftragsverarbeiter veröffentlicht; der Auftragsverarbeiter aktualisiert sie nach dem Verfahren gemäß Art. 8.
| Unterauftragsverarbeiter | Sitz | Tätigkeit | Ort der Verarbeitung | Garantie bei Übermittlung |
|---|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Deutschland | Hosting der Anwendung und der Datenbank, Speicherung von Dateien und Sicherungen | EU | EWR – keine Übermittlung |
| Google Cloud EMEA Limited (Google Cloud Vertex AI) | Dublin, Irland | KI-Verarbeitung (Modell Gemini) – Auslesen von Dokumenten, KI-Assistent, KI-Recruiter, Textvorschläge, Übersetzungen, Transkription von Einträgen | EU – Region europe-west3 (Frankfurt) | EWR; für einen etwaigen Zugriff aus dem Google-Konzern außerhalb des EWR Standardvertragsklauseln, ggf. EU-US Data Privacy Framework |
| ActiveCampaign, LLC (Dienst Postmark) | USA | Versand von E-Mails aus der Anwendung | USA | Standardvertragsklauseln, ggf. EU-US Data Privacy Framework |
| Functional Software, Inc. (Dienst Sentry) | USA | Überwachung von Anwendungsfehlern (technische Fehlerprotokolle, die beiläufig Nutzerkennungen oder IP-Adressen enthalten können) | USA | EU-US Data Privacy Framework und Standardvertragsklauseln |
Empfänger von Daten aufgrund von Entscheidungen des Verantwortlichen (z. B. Kommunikationskanäle, Kalender des Verantwortlichen, über MCP/API angebundene KI-Werkzeuge, öffentliche Register, Behörden, Banken, Partnerdienste) sind keine Unterauftragsverarbeiter des Auftragsverarbeiters.