Auftragsverarbeitungsvertrag

Vertragsparteien

Verantwortlicher ist der Inhaber des Kontos bei BewerberSuite.com, nachfolgend „Auftraggeber". Maßgeblich sind die Angaben im Firmenprofil des Kontos.

Auftragsverarbeiter ist die HR Rocket GmbH, Dürrbachau 22, 97080 Würzburg, nachfolgend „Auftragnehmer".

Dieser Vertrag gilt ab dem Zeitpunkt, an dem der Auftraggeber ihn im Dashboard annimmt, und läuft, solange das Konto besteht. Er geht den Regelungen der Datenschutzerklärung vor, soweit sie die Verarbeitung von Bewerberdaten betreffen.

1. Gegenstand, Art und Zweck der Verarbeitung

Der Auftragnehmer stellt dem Auftraggeber eine Software zur Verwaltung von Bewerbungen bereit (Bewerbermanagement, Karriereseite, Terminvereinbarung, Anzeigenschaltung). Der Auftragnehmer verarbeitet die dabei anfallenden personenbezogenen Daten ausschließlich zur Erbringung dieser Leistung und ausschließlich nach Weisung des Auftraggebers.

Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt. Insbesondere werden Bewerberdaten nicht zu Werbezwecken, nicht zur Erstellung eigener Profile und nicht zum Trainieren von KI-Modellen verwendet.

2. Art der Daten und Kreis der Betroffenen

Kategorien betroffener Personen: Bewerberinnen und Bewerber des Auftraggebers, Interessenten an Stellenangeboten des Auftraggebers, Nutzer der Karriereseite des Auftraggebers.

Kategorien personenbezogener Daten:

• Stammdaten: Name, Anschrift, E-Mail-Adresse, Telefonnummer
• Bewerbungsunterlagen: Lebenslauf, Anschreiben, Zeugnisse, Arbeitsproben, Bewerbungsfoto
• Verfahrensdaten: Status im Auswahlprozess, Bewertungen, Notizen des Auftraggebers, Nachrichtenverlauf, Termine
• Ergebnisse der optionalen KI-Auswertung, soweit der Auftraggeber sie auslöst (Abschnitt 9)
• Nutzungsdaten: Zeitpunkt der Bewerbung, Herkunft der Bewerbung

Bewerbungsunterlagen können Angaben enthalten, die zu den besonderen Kategorien nach Art. 9 DSGVO gehören, etwa zu Gesundheit, Schwerbehinderung, Religion oder Gewerkschaftszugehörigkeit. Der Auftraggeber ist dafür verantwortlich, dass er für deren Verarbeitung eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO hat. Der Auftragnehmer verlangt solche Angaben in keinem Formular.

3. Weisungsrecht

Der Auftragnehmer verarbeitet die Daten nur im Rahmen dieses Vertrags und nach Weisung des Auftraggebers. Als Weisung gelten auch die Einstellungen, die der Auftraggeber im Dashboard vornimmt, sowie die Funktionen, die er dort auslöst.

Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies mit und darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

4. Vertraulichkeit

Der Auftragnehmer setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorgaben unterrichtet worden sind. Diese Verpflichtung besteht über das Ende der Tätigkeit hinaus.

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der Stand ist in Anlage 1 beschrieben. Maßnahmen dürfen weiterentwickelt werden, das Schutzniveau darf dabei nicht sinken.

6. Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet sie auf ein Schutzniveau, das diesem Vertrag entspricht.

Vor der Hinzunahme eines weiteren Unterauftragsverarbeiters informiert der Auftragnehmer den Auftraggeber mit einer Frist von 14 Tagen per E-Mail an die im Konto hinterlegte Adresse. Der Auftraggeber kann in dieser Frist widersprechen. Widerspricht er aus einem datenschutzrechtlichen Grund und lässt sich die Leistung ohne diesen Dienstleister nicht erbringen, kann jede Partei den Vertrag zum Wirksamwerden der Änderung kündigen.

7. Rechte der Betroffenen

Auskunft, Berichtigung, Löschung und Einschränkung erfüllt der Auftraggeber. Der Auftragnehmer unterstützt ihn dabei und stellt die nötigen Funktionen bereit (Export und Löschung im Dashboard). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, mit den Angaben, die der Auftraggeber für seine Meldung nach Art. 33 DSGVO benötigt. Die Frist des Auftraggebers gegenüber der Aufsichtsbehörde beträgt 72 Stunden.

9. Künstliche Intelligenz

Die KI-Funktionen der BewerberSuite laufen nur auf ausdrückliche Auslösung durch den Auftraggeber, nie automatisch. Dabei werden die betroffenen Inhalte an den in Anlage 2 genannten Anbieter übermittelt.

Der Auftragnehmer nutzt für diese Aufrufe einen kostenpflichtigen Zugang. Der Anbieter darf die übermittelten Inhalte damit nicht zum Trainieren seiner Modelle verwenden.

Eine Entscheidung über eine Bewerbung trifft ausschließlich der Auftraggeber. Der Auftragnehmer weist darauf hin, dass der Auftraggeber beim Einsatz einer Bewertungs- oder Ranking-Funktion nach der KI-Verordnung eigene Pflichten als Betreiber treffen können, unter anderem die vorherige Unterrichtung der Beschäftigten und ihrer Vertretung.

10. Nachweise und Kontrollen

Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage nach, in der Regel durch Auskunft in Textform. Der Auftraggeber darf sich vor Ort überzeugen, nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs.

11. Löschung und Rückgabe

Der Auftragnehmer löscht Bewerbungen samt zugehöriger Dateien automatisch sechs Monate nach ihrem Eingang. Der Auftraggeber kann jederzeit früher löschen.

Nach Beendigung des Vertrags löscht der Auftragnehmer die verarbeiteten Daten oder gibt sie zurück, nach Wahl des Auftraggebers. Löscht der Auftraggeber sein Konto, werden die Daten mit dem Konto entfernt. Gesetzliche Aufbewahrungspflichten bleiben unberührt; die betroffenen Daten werden dann nur noch zu diesem Zweck aufbewahrt.

12. Haftung und Schlussbestimmungen

Es gilt Art. 82 DSGVO. Verarbeitet der Auftragnehmer Daten entgegen einer Weisung oder unter Verstoß gegen seine Pflichten aus diesem Vertrag, haftet er dafür selbst.

Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Änderungen teilt der Auftragnehmer mit einer Frist von 30 Tagen mit; für eine neue Fassung wird die Annahme im Dashboard erneut eingeholt.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Übertragung ausschließlich verschlüsselt über HTTPS, HSTS aktiv
• Passwörter nur als Hash gespeichert (bcrypt), niemals im Klartext
• Zugriff auf Bewerbungsdaten nur nach Anmeldung und nur auf die eigene Firma begrenzt
• Bewerbungsunterlagen liegen außerhalb des öffentlich erreichbaren Bereichs und werden nur nach Prüfung der Berechtigung ausgeliefert
• Rollen im Team: Administrator, Personaler, Betrachter
• Anmeldung im Verwaltungsbereich läuft nach sieben Tagen Untätigkeit ab
• Begrenzung fehlgeschlagener Anmeldeversuche

Integrität

• Schutz vor Cross-Site-Request-Forgery bei allen ändernden Vorgängen
• Datenbankzugriffe ausschließlich über vorbereitete Anweisungen
• Prüfung hochgeladener Dateien auf Typ und Größe, keine Ausführung von Programmcode im Upload-Verzeichnis
• Protokollierung von Änderungen im Team-Aktivitätslog

Verfügbarkeit

• Serverstandort Deutschland, Rechenzentrum nach ISO 27001 zertifiziert
• Tägliche Sicherung durch den Hosting-Dienstleister
• Nächtliche automatische Prüfung der Erreichbarkeit und der Anmeldewege

Belastbarkeit und Überprüfung

• Trennung von Test- und Produktivdaten
• Löschfristen technisch umgesetzt und täglich ausgeführt
• Regelmäßige Überprüfung der Maßnahmen, zuletzt am 10. August 2026

Anlage 2: Unterauftragsverarbeiter

Stand dieser Liste: 10. August 2026.

Nicht in dieser Liste stehen Dienste, die keine Bewerberdaten berühren, etwa die Buchhaltungssoftware für unsere eigenen Rechnungen.

Fragen dazu

HR Rocket GmbH, Dürrbachau 22, 97080 Würzburg, datenschutz@hr-rocket.com.

Frühere Fassungen dieses Vertrags stellen wir auf Anfrage zur Verfügung, damit Sie belegen können, welche Fassung zu welchem Zeitpunkt galt.