Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer der Verarbeitung

Auftraggeber (Verantwortlicher): Natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die KompAss im Rahmen einer geschäftlichen Tätigkeit nutzt.

Auftragsverarbeiter: Dinel Kurtovic, Inhaber Dinel Kurtovic, Wimmerstrasse 5, 4060 Leonding, Österreich. Kontakt: office@virtus-umbra.ai.

Gegenstand der Auftragsverarbeitung ist der Betrieb der KI-gestützten Karrieremanagement-Plattform KompAss einschließlich aller damit verbundenen Dienste: Lebenslauf-Analyse, Bewerbungsgenerierung, Dokumentenverarbeitung, Stellenmatching, Datenbankbetrieb, Authentifizierung und Storage.

Die Dauer der Auftragsverarbeitung ist an die Vertragslaufzeit des jeweiligen Nutzerkontos sowie an den vorhandenen Credits-Bestand gebunden. Die Verarbeitung endet mit der Löschung des Kontos oder auf Anforderung des Auftraggebers, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

2. Art und Zweck der Verarbeitung

Im Rahmen der Auftragsverarbeitung werden personenbezogene Daten für folgende Zwecke verarbeitet:

• Bereitstellung, Verwaltung und Betrieb der KompAss-Plattform für autorisierte Nutzer des Auftraggebers.
• KI-gestützte Analyse von Lebensläufen, Bewerbungsunterlagen und Stellenanzeigen zur Generierung von Bewerbungstexten und Empfehlungen.
• Extraktion, Strukturierung und Speicherung von Daten aus hochgeladenen Dokumenten (PDF, Bild, Text).
• Authentifizierung, Berechtigungsverwaltung und sicherer Betrieb aller Plattformfunktionen.
• Zahlungsabwicklung im Zusammenhang mit dem Credits-Modell.
• Technischer Betrieb und Sicherstellung der Dienstverfügbarkeit, einschließlich Fehlerprotokollierung und Missbrauchsprävention.

3. Datenkategorien und betroffene Personen

Im Rahmen der Auftragsverarbeitung können folgende Kategorien personenbezogener Daten verarbeitet werden:

• Kontodaten: E-Mail-Adresse, Login-Informationen, technische Sitzungsdaten.
• Profildaten: Name, Kontaktdaten, Lebenslaufdaten, Qualifikationen, Sprachkenntnisse, Stärken, Schwächen, Präferenzen und No-Gos.
• Bewerbungsdaten: generierte Dokumente, Anschreiben, E-Mail-Entwürfe, Telefonnotizen, Exportdaten und Statusinformationen zu Bewerbungen.
• Hochgeladene Inhalte: PDF-, Bild- oder Zertifikatsdateien sowie der daraus extrahierte Rohtext und strukturierte Extraktionsdaten.
• Integrationsdaten: OAuth-Tokens und Gmail-bezogene Daten, soweit der Nutzer externe Konten freiwillig verbindet.
• Zahlungsdaten: transaktionsbezogene Daten im Zusammenhang mit Credits-Käufen.
• Technische Nutzungsdaten: Zugriffszeitpunkte, Fehlermeldungen, sicherheitsrelevante Systemdaten.

Betroffene Personen sind die jeweiligen Nutzer der Plattform — natürliche Personen, die im Auftrag oder auf Veranlassung des Auftraggebers KompAss nutzen.

4. Pflichten des Auftragsverarbeiters

Als Auftragsverarbeiter nach Art. 28 DSGVO sind wir verpflichtet:

• Weisungsgebundenheit: Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten. Soweit wir gesetzlich verpflichtet sind, von dieser Weisung abzuweichen, teilen wir dies dem Auftraggeber unverzüglich vor der Verarbeitung mit, es sei denn, das anzuwendende Recht verbietet eine solche Mitteilung.
• Vertraulichkeit: Sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• Sicherheit der Verarbeitung: Alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu treffen (siehe Abschnitt 5).
• Unterauftragsverarbeiter: Weitere Auftragsverarbeiter nur mit vorheriger Genehmigung des Auftraggebers hinzuzuziehen. Aktuell eingesetzte Unterauftragsverarbeiter sind in Abschnitt 6 aufgeführt.
• Unterstützung bei Betroffenenrechten: Den Auftraggeber bei der Erfüllung seiner Pflicht zur Beantwortung von Anfragen zur Wahrnehmung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) durch geeignete technische und organisatorische Maßnahmen zu unterstützen.
• Unterstützung bei sonstigen Pflichten: Den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der uns zugänglichen Informationen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO zu unterstützen.
• Meldepflichten: Datenschutzverletzungen im Sinne des Art. 33 DSGVO unverzüglich, spätestens innerhalb von 72 Stunden nach Bekanntwerden, an den Auftraggeber zu melden und alle zur Benachrichtigung der zuständigen Aufsichtsbehörde erforderlichen Informationen bereitzustellen.
• Nachweispflichten: Dem Auftraggeber alle für die Überprüfung der Einhaltung der in Art. 28 DSGVO festgelegten Pflichten erforderlichen Informationen zur Verfügung zu stellen und Überprüfungen, einschließlich Inspektionen, zu ermöglichen und dazu beizutragen.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir haben geeignete technische und organisatorische Maßnahmen ergriffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Auf hohem Niveau umfassen diese Maßnahmen:

• EU-Hosting: Alle produktionsseitigen Systemkomponenten (Webanwendung, Datenbank, Authentifizierung, Dokumentenspeicher) werden auf Infrastruktur innerhalb der EU/des EWR betrieben. Es findet keine Übermittlung in Drittstaaten statt, soweit nicht gesondert offengelegt.
• Verschlüsselung der Übertragung: Sämtliche Datenübertragungen zwischen Client und Server erfolgen über verschlüsselte Verbindungen (TLS).
• Verschlüsselung gespeicherter Daten: Gespeicherte Daten werden auf Infrastrukturebene durch Datenträgerverschlüsselung gesichert, soweit durch die eingesetzte Plattform unterstützt.
• Zugriffskontrolle: Der Zugang zu Produktionsdaten und -systemen ist auf autorisiertes Personal beschränkt. Authentifizierungs- und Berechtigungssysteme sichern den Zugriff auf alle sensitiven Ressourcen.
• Mandantentrennung (RLS): Nutzerdaten werden durch Row-Level-Security (RLS) auf Datenbankebene voneinander isoliert. Jeder Nutzer erhält ausschließlich Zugriff auf seine eigenen Daten.

Die konkrete Ausgestaltung der Maßnahmen richtet sich nach dem aktuellen Stand der Technik, den Implementierungskosten sowie der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung und der Eintrittswahrscheinlichkeit und Schwere etwaiger Risiken für die Rechte und Freiheiten natürlicher Personen.

6. Unterauftragsverarbeiter

Für den Betrieb von KompAss setzen wir die folgenden Unterauftragsverarbeiter ein. Die nachstehend genannten Anbieter haben ihren Sitz im EU/EWR; bei ihnen findet keine Drittlandübermittlung statt.

Sofern Sie optionale Integrationen — insbesondere die freiwillige Google-/Gmail-Anbindung — aktiv nutzen, können dabei personenbezogene Daten an Google (USA) als Drittland übermittelt werden. Einzelheiten hierzu, einschließlich der Rechtsgrundlagen und Garantien für solche Übermittlungen, finden Sie in der Datenschutzerklärung (Abschnitte „Empfänger“, „Drittlandübermittlungen“ und „Google API Services“). Die dort veröffentlichte Übersicht der Empfänger wird fortlaufend aktualisiert.

Änderungen an der Liste der Unterauftragsverarbeiter werden dem Auftraggeber auf geeignetem Weg mitgeteilt. Soweit der Auftraggeber gegen den Einsatz eines neuen Unterauftragsverarbeiters begründete Einwände erhebt, werden wir gemeinsam nach einer geeigneten Lösung suchen.

7. Löschung und Rückgabe der Daten nach Auftragsende

Nach Beendigung der Auftragsverarbeitungsbeziehung — insbesondere durch Kontoauflösung, Kündigung oder auf ausdrückliche Anforderung des Auftraggebers — werden alle im Rahmen der Auftragsverarbeitung gespeicherten personenbezogenen Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Eine Rückgabe von Daten in maschinenlesbarer Form ist auf begründeten Antrag des Auftraggebers möglich. Entsprechende Anfragen sind schriftlich an office@virtus-umbra.ai zu richten.

Datenkategorien, für die gesetzliche Aufbewahrungspflichten gelten, werden für den jeweils gesetzlich vorgeschriebenen Zeitraum aufbewahrt und danach unverzüglich gelöscht.