DSGVO-Konformität und Sicherheit
Alles, was Ihr Datenschutzbeauftragter vor der Unterschrift wissen muss
CVpass ist darauf ausgelegt, die Due-Diligence-Prüfung des Datenschutzbeauftragten (DSB) einer öffentlichen Hochschule oder einer Unternehmensberatung zu bestehen. Hosting in der EU, unterschriftsbereiter DPA, keine Speicherung von Lebenslauf-Dateien, strikte Trennung nach Organisation. Die vollständige Dokumentation finden Sie unten.
Sechs konkrete Zusagen
Hosting in der Europäischen Union
Datenbank und Dateispeicher werden bei Supabase gehostet (Region Frankfurt, Deutschland). Für die primäre Speicherung liegen keine Kundendaten außerhalb der EU.
Unterzeichenbarer DPA nach Artikel 28
Auftragsverarbeitungsvertrag gemäß Artikel 28 DSGVO, beim Abschluss eines B2B-Tarifs standardmäßig akzeptiert. Eine beidseitig unterzeichnete Fassung erhalten Sie auf Anfrage.
Anonymisierung nach 6 Monaten
Zur Sicherheit wird jeder noch bestehende Bereich 6 Monate nach Ende seines Zugangs anonymisiert, unabhängig von der Art des Zugangs (kostenlose Testphase, Online-Abonnement, Jahrespaket oder Lizenz pro Jahrgang): Kontakte und offene Einladungen werden gelöscht, und das Logo wird aus dem Bereich entfernt. Diese Anonymisierung löscht weder den Bereich noch die Liste seiner Mitglieder: Bei Ende eines kostenpflichtigen Zugangs und jederzeit auf Anfrage an contact@cvpass.fr werden alle personenbezogenen Daten des Bereichs und seiner Mitglieder innerhalb von 30 Tagen gelöscht oder herausgegeben. Lebenslauf-Dateien werden nie gespeichert, und der formatierte Lebenslauf, den ein Nutzer exportiert, wird nach 30 Tagen gelöscht, ebenso wie gespeicherte Anschreiben.
Trennung nach Organisation
Jede Kundenorganisation hat ihre eigene org_id. Keine gegenseitige Einsicht zwischen Organisationen. Row-Level-Security-Richtlinie auf Datenbankebene.
Ende-zu-Ende-Verschlüsselung
TLS 1.2+ bei der Übertragung, AES-256 im Ruhezustand in der Datenbank. SSL-Zertifikate werden automatisch erneuert. Etwaige Datenbank-Backups, verwaltet von Supabase, werden höchstens 30 Tage aufbewahrt.
KI ohne Training mit Ihren Daten
Wir nutzen die OpenAI-API: Die übermittelten Daten werden nicht zum Training der Modelle verwendet, und OpenAI speichert sie höchstens 30 Tage (Missbrauchsüberwachung), bevor sie gelöscht werden.
Unterauftragsverarbeiter und Zwecke
Vollständige Liste der Unterauftragsverarbeiter und ihrer Zwecke. Jede Änderung wird per E-Mail mit einer Frist von 30 Tagen angekündigt.
| Unterauftragsverarbeiter | Region |
|---|---|
| Vercel Inc. | USA (DPF) |
| Supabase Inc. | Deutschland (EU) |
| Clerk Inc. | USA (DPF) |
| OpenAI, LLC | USA (DPF) |
| Stripe Inc. | USA / Irland |
| Brevo (Sendinblue) | Frankreich (EU) |
Rechte der betroffenen Personen
CVpass stellt dem Verantwortlichen die nötigen Werkzeuge bereit, um Anfragen betroffener Personen zu beantworten. Anfragen, die direkt bei CVpass eingehen, werden innerhalb von 5 Werktagen weitergeleitet.
- Recht auf Auskunft über die Daten
- Recht auf Berichtigung
- Recht auf Löschung
- Recht auf Datenübertragbarkeit
- Widerspruchsrecht
- Recht auf Einschränkung der Verarbeitung
FAQ
Die häufigsten Fragen von Datenschutzbeauftragten
Antworten auf die 5 Fragen, die uns Datenschutzbeauftragte bei einem Audit vor der Unterzeichnung als Erstes stellen.
Wo werden die Daten gespeichert? Bleiben sie in der Europäischen Union?
Die Daten der Datenbank (Organisationen, Mitglieder, Nutzungsmetadaten wie die Scores und, höchstens 30 Tage lang, exportierte formatierte Lebensläufe und gespeicherte Anschreiben) werden bei Supabase in der Region Frankfurt (Deutschland, EU) gespeichert. Lebenslauf-Dateien werden nie gespeichert. Keine Replikation außerhalb der EU. Die einzigen Übermittlungen in die USA betreffen die Unterauftragsverarbeiter (Vercel für das Frontend-Hosting, Clerk für die Authentifizierung, OpenAI für die KI), alle nach dem DPF (Data Privacy Framework) zertifiziert und ergänzend durch Standardvertragsklauseln (SCC) abgesichert.
Kann der DPA beidseitig unterzeichnet werden oder gilt er unverändert?
Beides ist möglich. Der DPA wird mit dem Abschluss eines B2B-Tarifs stillschweigend akzeptiert (Text unter /b2b/dpa). Organisationen, die eine beidseitige Unterschrift wünschen, schreiben an legal@cvpass.fr: Wir senden innerhalb von 48 Arbeitsstunden ein PDF zurück, das Sie je nach Ihren Vorgaben per DocuSign oder auf Papier unterzeichnen können.
Welche Anonymisierungsrichtlinie gilt nach Vertragsende?
Lebenslauf-Dateien werden nie gespeichert, und ihr Text bleibt nicht auf unseren Servern, außer im formatierten Lebenslauf, den ein Nutzer exportiert, und in den Anschreiben, die er speichert: Beides wird nach 30 Tagen automatisch gelöscht. Zur Sicherheit wird jeder noch bestehende Bereich 6 Monate nach Ende seines Zugangs automatisch anonymisiert, unabhängig von der Art des Zugangs (kostenlose Testphase, Online-Abonnement, Jahrespaket oder Lizenz pro Jahrgang): Kontakte und offene Einladungen werden gelöscht, und das Logo wird aus dem Bereich entfernt. Diese Anonymisierung löscht weder den Bereich noch die Liste seiner Mitglieder: Bei Ende eines kostenpflichtigen Zugangs und jederzeit auf Anfrage an contact@cvpass.fr werden alle personenbezogenen Daten des Bereichs und seiner Mitglieder innerhalb von 30 Tagen gelöscht oder herausgegeben. Rechnungen werden aufgrund französischer Buchführungspflichten 10 Jahre aufbewahrt.
Was macht OpenAI mit unseren Daten, wenn die KI einen Lebenslauf analysiert?
OpenAI nutzt sie nicht, um seine Modelle zu trainieren. Gemäß den Bedingungen der OpenAI-API werden die übermittelten Daten höchstens 30 Tage zur Missbrauchsüberwachung gespeichert und danach gelöscht. Dokumentiert in unserem DPA nach Artikel 28.
Welche Meldefrist gilt bei einer Datenschutzverletzung?
Höchstens 48 Stunden nach Kenntnisnahme, per E-Mail an die benannten Kontaktpersonen der Kundenorganisation, gemäß Artikel 33 DSGVO. Der DSB von CVpass (dpo@cvpass.fr) koordiniert das Verfahren, einschließlich der Meldung an die CNIL (die französische Datenschutzbehörde), falls erforderlich.
Eine konkrete Frage zur DSGVO?
Unser Datenschutzbeauftragter antwortet innerhalb von 48 Arbeitsstunden. Ein jährliches Dokumentenaudit steht Kunden mit Vertrag zur Verfügung.