Auftragsverarbeitungsvertrag (DPA)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „DPA“) regelt die Verarbeitung personenbezogener Daten durch CVpass (nachfolgend „der Auftragsverarbeiter“) im Auftrag des gewerblichen Kunden, der einen B2B-Tarif abgeschlossen hat (nachfolgend „der Verantwortliche“), gemäß Artikel 28 der Verordnung (EU) 2016/679 (DSGVO).

Er ergänzt die Allgemeinen Nutzungsbedingungen B2B und hat bei Abweichungen in Bezug auf den Datenschutz Vorrang vor diesen.

• Art und Zweck: Analyse von Lebensläufen, ATS-Scoring, KI-gestützte Umformulierung, PDF-Erstellung, Verwaltung der Mitgliederkonten und aggregierte Nutzungsstatistiken.
• Datenkategorien: Identifikationsdaten (Name, Vorname, berufliche E-Mail-Adresse), Inhalte von Lebensläufen (Werdegang, Kompetenzen, Ausbildung), Inhalte hochgeladener Stellenangebote, Nutzungsmetadaten.
• Kategorien betroffener Personen: Mitglieder der Kundenorganisation (Mitarbeitende, Studierende, betreute Bewerberinnen und Bewerber).
• Dauer: während der gesamten Vertragslaufzeit. Lebenslauf-Dateien werden nie gespeichert; der formatierte Lebenslauf, den ein Mitglied exportiert, und gespeicherte Anschreiben werden nach 30 Tagen automatisch gelöscht. Bei Ende eines kostenpflichtigen Zugangs werden die personenbezogenen Daten des Bereichs nach Artikel 3 gelöscht oder herausgegeben; für eine nie bezahlte kostenlose Testphase gilt nur die nachstehende Anonymisierung. Zur Sicherheit wird der Bereich außerdem 6 Monate nach Ende des Zugangs automatisch anonymisiert, unabhängig von der Art des Zugangs (kostenlose Testphase, Online-Abonnement, Jahrespaket oder Lizenz pro Jahrgang): Seine Kontakte und offenen Einladungen werden gelöscht und sein Logo wird entfernt; diese Anonymisierung löscht weder den Bereich noch die Liste seiner Mitglieder noch deren Nutzungsverlauf. Der Verantwortliche kann außerdem jederzeit die vollständige Löschung oder Herausgabe verlangen, indem er an contact@cvpass.fr schreibt. Rechnungen werden aufgrund französischer Buchführungspflichten 10 Jahre aufbewahrt.

CVpass verpflichtet sich:

• Die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, sofern keine gegenteilige gesetzliche Pflicht besteht.
• Die Vertraulichkeit der Daten zu gewährleisten und sicherzustellen, dass die befugten Personen einer Vertraulichkeitspflicht unterliegen.
• Die in Artikel 6 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen.
• Den Verantwortlichen bei der Einhaltung seiner Pflichten zu unterstützen (Beantwortung von Anfragen zu Betroffenenrechten, Datenschutz-Folgenabschätzungen, Meldungen von Verletzungen).
• 6 Monate nach Ende des Zugangs, unabhängig von der Art des Zugangs (kostenlose Testphase, Online-Abonnement, Jahrespaket oder Lizenz pro Jahrgang), den Bereich, sofern er noch besteht, automatisch zu anonymisieren, also seine Kontakte und offenen Einladungen zu löschen und sein Logo zu entfernen; dies auf schriftlichen Antrag des Verantwortlichen an contact@cvpass.fr früher vorzunehmen. Diese Anonymisierung löscht weder den Bereich noch die Liste seiner Mitglieder noch deren Nutzungsverlauf; für ihre Löschung gilt der nächste Punkt.
• Bei Ende des Dienstes, also bei Ende eines kostenpflichtigen Zugangs (Online-Abonnement, Jahrespaket oder Lizenz pro Jahrgang), und jederzeit auf schriftlichen Antrag des Verantwortlichen an contact@cvpass.fr alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten, insbesondere Kontakte, Einladungen, Konten der Mitglieder und deren Nutzungsverlauf, nach Wahl des Verantwortlichen zu löschen oder ihm herauszugeben und danach die Kopien zu löschen, und zwar innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht (Rechnungen). Bei Ende des Dienstes fragt CVpass den Verantwortlichen nach seiner Wahl; ohne Antwort werden die Daten spätestens 30 Tage nach Ende des Dienstes gelöscht. Das Ende einer nie bezahlten kostenlosen Testphase ist kein Ende des Dienstes: Dann gilt nur die Anonymisierung des vorigen Punktes, sofern nicht schriftlich die Löschung oder Herausgabe verlangt wird. Ein Mitglied, das CVpass auch privat nutzt, behält sein Konto, für das dann die Datenschutzerklärung von CVpass gilt. Etwaige Backups laufen danach von selbst innerhalb von höchstens 30 Tagen ab, wie in Artikel 6 vorgesehen.

Der Verantwortliche genehmigt CVpass, die folgenden Unterauftragsverarbeiter einzusetzen:

• Vercel Inc. (USA, DPF-Rahmen) — Hosting der Anwendung, Auslieferung und Serverless-Funktionen.
• Supabase Inc. (Deutschland, Frankfurt) — PostgreSQL-Datenbank und Dateispeicherung.
• Clerk Inc. (USA, DPF-Rahmen) — Authentifizierung und Verwaltung der Organisationen.
• OpenAI, LLC (USA, DPF-Rahmen) — semantische Analyse und KI-Umformulierung. Es werden keine Daten zu Trainingszwecken verwendet; Speicherung bei OpenAI höchstens 30 Tage (Missbrauchsüberwachung).
• Stripe Inc. (USA / Irland) — Zahlungsabwicklung und Rechnungsstellung.
• Brevo (ehemals Sendinblue) (Frankreich) — Versand von Transaktions-E-Mails.
• PostHog Inc. (USA, Daten in der Europäischen Union gehostet, Frankfurt, höchstens 12 Monate aufbewahrt) — Reichweitenmessung und Nutzungsereignisse: Konto- und Bereichskennungen, Rolle und Ereignisse, ohne E-Mail-Adresse und Namen seit dem 9. November 2026; aufgerufene Seiten und Klicks nur, wenn das Mitglied Mess-Cookies akzeptiert.

Jede Änderung dieser Liste wird dem Verantwortlichen per E-Mail mit einer Frist von 30 Tagen mitgeteilt, sodass er aus berechtigtem Grund widersprechen kann.

Datenübermittlungen in die USA erfolgen auf Grundlage der Standardvertragsklauseln (SCC) der Europäischen Kommission sowie des Data Privacy Framework, sofern der Unterauftragsverarbeiter danach zertifiziert ist.

• TLS-1.2+-Verschlüsselung bei der Übertragung und Verschlüsselung der Datenbank im Ruhezustand.
• Strikte Trennung der Daten nach Organisation (org_id).
• Starke Multi-Faktor-Authentifizierung für Administratoren verfügbar.
• Protokollierung der Administratorzugriffe und Zugriff ausschließlich über einen verschlüsselten Tunnel.
• Etwaige Datenbank-Backups, verwaltet von Supabase, werden höchstens 30 Tage aufbewahrt.
• An OpenAI übermittelte Lebenslauf- oder Stellenangebotsdaten werden nicht zum Training verwendet und von OpenAI innerhalb von höchstens 30 Tagen gelöscht.

CVpass meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens 48 Stunden, nachdem sie CVpass bekannt geworden ist, per E-Mail an die in der Organisation benannten Kontaktpersonen.

Der Verantwortliche kann einmal jährlich und mit angemessener Vorankündigung einen Auditbericht oder die Dokumentation der Sicherheitsmaßnahmen anfordern. Ein Audit vor Ort ist auf Kosten des Verantwortlichen möglich, unter Wahrung der Vertraulichkeit gegenüber den anderen Kunden.

CVpass stellt dem Verantwortlichen die nötigen Werkzeuge bereit, um Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch). Anfragen, die direkt bei CVpass eingehen, werden innerhalb von 5 Werktagen an den Verantwortlichen weitergeleitet.

Datenschutzbeauftragter: dpo@cvpass.fr.

Dieser DPA gilt mit dem Abschluss eines B2B-Tarifs standardmäßig als angenommen. Eine beidseitig unterzeichnete Fassung kann auf Anfrage über legal@cvpass.fr bereitgestellt werden.