Datenschutz­erklärung

1. Verantwortlicher

Torsten Schollmayer
KiHire — Agentic Sourcing
Dechant-Fassbender-Str. 7, 40670 Meerbusch
E-Mail: info@kihire.de | Telefon: +49 151 22655480

2. Übersicht der Verarbeitungen

KiHire ist eine Recruiting-Plattform (Agentic Sourcing) für das Gesundheitswesen im DACH-Raum. Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der nachfolgend beschriebenen Zwecke.

3. Rechtsgrundlagen

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — bei Aufnahme in den Kandidaten-Pool und Profilerstellung und, wenn Sie sie einschalten, bei der Sichtbarkeit für Arbeitgeber
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — bei der Bereitstellung der Plattform für Arbeitgeber und der Übermittlung ihrer Kontaktanfragen
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — bei Sicherheit und Weiterentwicklung der Plattform

4. Verarbeitungszwecke und Datenkategorien

4.1 Profil und Kontaktanfragen

Wir verarbeiten folgende Kandidaten-Daten:

• Name, Kontaktdaten (E-Mail, Telefonnummer)
• Fachbereich, Qualifikation, Berufserfahrung
• Gehaltsvorstellung
• Postleitzahl / Region (kein genauer Wohnort)
• Orte, an denen Sie arbeiten möchten (Postleitzahl oder Ort, mit Umkreis), oder die Angabe, dass Ihnen jeder Ort in Deutschland recht ist
• Ab wann Sie anfangen könnten
• Fortbildungen, die auf „Deine Fobis“ eingetragen werden (gemacht, gebucht oder gewünscht), mit Anbieter, Zeitpunkt und der eigenen Einschätzung, ob man den Kurs wieder machen würde. Arbeitgeber sehen davon nur gemachte Fobis aus der Auswahl; die Einschätzung sieht nur die Person selbst, und sie fließt in keine Reihenfolge und keinen Abgleich mit Stellen ein.

Wer Ihr Profil sieht: Ob Arbeitgeber Ihr Profil sehen dürfen, entscheiden Sie selbst, bei der Anmeldung und jederzeit im Profil. Haben Sie das nicht eingeschaltet, findet kein Arbeitgeber Ihr Profil und kann Sie nicht anfragen. Zwei Ausnahmen gelten jeweils nur für eine Stelle: Sagen Sie selbst bei einer Stelle Ja, erhält nur dieser Arbeitgeber Ihr Ja als anonyme Karte. Hat ein Arbeitgeber Sie angefragt, bevor Sie es ausgeschaltet haben, sieht er diese Anfrage und Ihre Antwort weiter als anonyme Karte. Haben Sie es eingeschaltet, sieht jeder Arbeitgeber mit einer aktiven Stelle auf KiHire im Bereich „Fachkräfte“ die Profile seines Fachs als anonyme Karte: Fachbereich, Berufserfahrung als Spanne, Fortbildungen, Arbeitszeit und die Region („Raum“ und Ort). Dazu sieht er einen groben Hinweis, ob Ihre Gehaltsvorstellung zu seinem Rahmen passt, ohne die Zahl. Passt Ihr Profil zu seiner Stelle, sieht er auf der Karte außerdem, mit welchen Patientengruppen Sie arbeiten und welche Arbeitgeber Sie bevorzugen. Haben Kolleginnen oder Kollegen Sie empfohlen, sieht er außerdem, wie viele Empfehlungen es gibt, in welcher Beziehung die Empfehlenden zu Ihnen stehen (etwa „2 Ex-Kolleg:innen“), welche Ihrer Angaben sie bestätigt haben und welche Eigenschaften sie am häufigsten nennen, nie ihre Namen oder Kommentare. Vor Ihrem Ja sieht er nie Ihren Namen, Ihre Kontaktdaten, Ihre Postleitzahl, eine Entfernung, Ihre Gehaltszahl oder ab wann Sie anfangen könnten. Er kann Sie anfragen, unabhängig von Ihrem Wunsch-Umkreis; ob Sie antworten, entscheiden Sie. Ausgenommen sind Arbeitgeber, die Sie in Ihrem Profil gesperrt haben. Dafür speichern wir die von Ihnen gewählten Arbeitgeber und die von Ihnen eingegebenen Namen, nur zu diesem Zweck. Ein gesperrter Arbeitgeber bekommt keine Nachricht darüber. Wir erkennen ihn an seinem Konto oder an seinem Namen auf KiHire; ein Konto unter einem anderen Namen erkennen wir nicht. Kontaktdaten, die Sie ihm vorher schon freigegeben haben, bleiben bei ihm. Die Angaben löschen wir, wenn Sie die Sperre aufheben oder Ihr Profil löschen. Ihre Wunschorte sieht kein Arbeitgeber, auch nicht nach Ihrem Ja. Sie entscheiden aber mit, zu welchen Stellen Ihr Profil passt.

4.2 Peer-Empfehlungen

Kandidaten können Kolleginnen und Kollegen empfehlen. Empfohlene Personen werden informiert und können der Aufnahme widersprechen.

4.3 Fragen unter Kolleg:innen

Fachkräfte können sich gegenseitig kurze fachliche Fragen stellen. Beides ist freiwillig und beruht auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit im Profil unter „Für Kolleg:innen da sein“ zurücknehmen können.

• Wenn Sie sich fragen lassen: Wir speichern, zu welchen Gebieten und Fortbildungen man Sie fragen darf, die Themen, die Sie selbst dazuschreiben (sie sieht niemand außer Ihnen), ob Kolleg:innen nach Ihrem Ja auch Ihre Handynummer bekommen dürfen, und wann Sie zugestimmt haben.
• Wenn Sie fragen: Wir speichern das Gebiet, die Fortbildung oder das Thema in Ihren Worten, den Anlass, Ihren Text (höchstens 280 Zeichen) und ob Kolleg:innen aus Ihrer Nähe gefragt werden sollen. Die Frage geht an bis zu fünf Fachkräfte, die sich zu diesem Thema fragen lassen. Ob jemand passt, ergibt ein Vergleich der Wörter und eine feste Liste gleichbedeutender Begriffe, keine KI. Wer sie bekommt, entscheidet das Los, nicht Empfehlungen oder andere Profildaten. Die Gefragten sehen Ihren Beruf, die Gegend, in der Sie wohnen (Ort), das Thema, den Anlass und Ihren Text, aber nicht Ihren Namen.
• Nach einem Ja: Beide Seiten sehen nach der Anmeldung die E-Mail-Adresse der anderen und, wenn freigegeben, die Handynummer. Per Mail schicken wir diese Daten nicht. Alles Weitere läuft direkt zwischen Ihnen, nicht über KiHire. Nehmen Sie als Gefragte Ihre Einwilligung zurück, zeigen wir Ihre Kontaktdaten ab dann niemandem mehr. Als Fragende beenden Sie das, indem Sie Ihr Profil löschen oder uns an info@kihire.de schreiben. Was schon ausgetauscht wurde, können wir nicht zurückholen.
• Danke: Ein paar Tage nach dem Kontakt fragen wir einmal, ob es geholfen hat. Die Antwort sieht nur die helfende Person als „Kolleg:innen geholfen“ in ihrem Profil.
• Bitte keine Angaben zu Patientinnen und Patienten in den Text schreiben: keine Namen, keine Befunde. Wir prüfen Texte nicht automatisch und setzen dafür keine KI ein. Eine Frage kann gemeldet werden; dann sehen wir sie uns an.

Arbeitgeber sehen nichts davon. Es fließt in keinen Abgleich mit Stellen und keine Reihenfolge ein. Mails dazu schicken wir höchstens eine am Tag, dazu eine, wenn jemand Ja sagt.

4.4 Website-Nutzung

Technische Daten (IP-Adresse, Browser-Typ, Zugriffszeit) werden ausschließlich für Betrieb und Sicherheit verwendet.

Zusätzlich führen wir eine Zugriffsstatistik ohne Personenbezug: Wir zählen Besuche automatisierter Programme von KI-Anbietern und halten fest, wenn ein Besuch von der Seite eines KI-Assistenten (etwa ChatGPT oder Gemini) zu uns führt. Gespeichert werden dabei ausschließlich der Name des Programms beziehungsweise der verweisenden Seite, der aufgerufene Bereich unserer Website und der Zeitpunkt. Es werden keine IP-Adressen, keine Cookies und keine Kennungen gespeichert, die einen Rückschluss auf einzelne Personen zulassen.

Auf unseren gedruckten Kärtchen stehen QR-Codes mit zwei kurzen Adressen. Wir zählen, wie oft diese Adressen aufgerufen werden, nur als Summe pro Tag. Auch dabei speichern wir keine IP-Adressen, keine Cookies und nichts, was auf einzelne Personen schließen lässt.

Für Besuche ohne Anmeldung zählen wir außerdem, wie oft unsere Seiten aufgerufen werden, woher Besuche kommen (nur die Art der verweisenden Seite, etwa eine Suchmaschine, oder ein Kampagnen-Kürzel aus dem Link), von welcher Art Seite zu welcher weitergeklickt wird (etwa von einer Kursseite zur Startseite) und welche Schritte im Fragebogen oder bei der Anmeldung erreicht werden. Kam ein Besuch über einen Link mit Kampagnen-Kürzel, zählen wir außerdem, ob danach im selben Besuch ein Profil angelegt oder der Newsletter angeschaltet wurde, als Summe je Kürzel. Das Kürzel merkt sich nur das geöffnete Browserfenster, solange Sie darin auf KiHire weiterklicken (dafür fährt es beim Weiterklicken in der Adresse mit), und der Bestätigungslink in der Anmelde-Mail trägt nur dieses Kürzel; es wird nicht an Ihrem Profil gespeichert. Gespeichert wird das nur als Summe pro Tag. Dabei speichern wir keine IP-Adressen, keine Cookies, keine Eingaben und nichts, was auf einzelne Personen schließen lässt.

Teilen Sie KiHire über „KiHire weitersagen“ in Ihrem Profil, zählen wir auch mit Anmeldung nur, wie oft am Tag dort „Mit WhatsApp schicken“ oder „Link kopieren“ angetippt wurde. Diese Summe ist nicht mit Ihrem Konto verbunden. Der geteilte Link enthält nur ein Kampagnen-Kürzel, nichts über Sie.

Links im Fobi-Newsletter tragen ein festes Kampagnen-Kürzel und die Art des Links (etwa „Termin“ oder „Gut zu wissen“), nichts über Sie. Öffnen Sie einen solchen Link, zählen wir auch mit Anmeldung nur, wie oft am Tag welche Art Link angeklickt wurde und wie oft von dort aus „Zum Anbieter“ angetippt wurde. Diese Summe ist nicht mit Ihrem Konto verbunden. Ob Sie den Newsletter geöffnet haben, messen wir nicht: Er enthält kein Zählbild.

Mit einem Profil zählen wir außerdem, wie oft am Tag bestimmte Funktionen genutzt werden: etwa die Kursliste „Für dich“, die Suche und die Filter im Kurs-Katalog, das Öffnen eines Kurses oder einer Stelle, der Wechsel zum Kursanbieter oder zur Originalanzeige und das Eintragen einer Fobi. Gespeichert wird nur die Summe pro Tag über alle Nutzerinnen und Nutzer. Diese Summe ist nicht mit Ihrem Konto verbunden; wir speichern nicht, wer welche Funktion genutzt hat, und keine Eingaben.

Wenn Sie mit einem Profil angemeldet sind, merken wir uns je Tag, in welchen Bereichen Sie waren (Profil, Stellen, Fobis, PhysioGPT): nur das Datum, keine Uhrzeit, keine einzelnen Seiten und keine Klicks. Diese Angaben löschen wir nach 180 Tagen. Sie helfen uns zu sehen, ob jemand KiHire noch nutzt, ob eine Erinnerung an ein nicht fertiges Profil sinnvoll ist und, zusammengezählt über alle, wie viele Fachkräfte welchen Bereich nutzen. Schicken wir Ihnen eine solche Erinnerung, halten wir fest, wann und auf welchem Weg (im Profil oder per E-Mail). Erinnerungs-Mails können Sie in jeder Mail und unter „E-Mails und Konto“ abbestellen.

4.5 Verbindung mit PhysioGPT

PhysioGPT, unser KI-Assistent für Physio- und Ergotherapie, steht Physio- und Ergotherapeutinnen und -therapeuten mit KiHire-Profil offen. Sie öffnen PhysioGPT aus Ihrem KiHire-Profil und sind dort mit Ihrem KiHire-Konto angemeldet, ohne zweites Konto. Dafür übergibt KiHire beim Öffnen eine Eintrittskarte an PhysioGPT. Sie enthält nur die interne Kennung Ihres KiHire-Kontos und technische Angaben, die verhindern, dass jemand anderes sie benutzt: eine Einmal-Nummer, eine Bindung an Ihren Browser und einen Ablauf nach einer Minute.

Danach teilt KiHire PhysioGPT bei jeder Prüfung mit, ob Sie PhysioGPT nutzen können, und falls nicht, warum: es gibt noch kein Profil, oder das Profil nennt weder Physio- noch Ergotherapie als Beruf. Weitere Inhalte Ihres Profils übermitteln wir nicht, auch nicht Ihre E-Mail-Adresse oder Ihren Namen. PhysioGPT legt für Sie ein Konto mit einer internen Adresse an, an die keine Mail gehen kann, und speichert die Kennung und das letzte Prüfergebnis; das Ergebnis gilt höchstens 5 Minuten und wird bei Ihrer nächsten Nutzung neu abgefragt. Haben Sie Ihr Konto früher per Code verbunden, speichert PhysioGPT zusätzlich eine gekürzte Form der E-Mail-Adresse, mit der Sie verbunden haben.

KiHire merkt sich, wann PhysioGPT zum ersten Mal Ihren Zugang bestätigt bekommen hat, und ob Sie den Hinweis auf PhysioGPT im Profil mit „Nicht jetzt“ weggelegt haben. Beides dient nur dazu, den Hinweis danach kleiner zu zeigen; es wird nicht weitergegeben und mit Ihrem Profil gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Sie öffnen PhysioGPT selbst. Die Verbindung endet, wenn Sie Ihr Konto bei PhysioGPT löschen lassen.

4.6 Nutzung von PhysioGPT

Anmeldung: Sie melden sich bei PhysioGPT über Ihr KiHire-Konto an (Abschnitt 4.5). Ein Google-Konto brauchen Sie nicht. Haben Sie PhysioGPT früher mit Google genutzt, bleiben Ihre E-Mail-Adresse und Ihr Name aus diesem Konto dort gespeichert, bis Sie das Konto löschen lassen.

Fallbeschreibungen: Bevor eine Nachricht im Chat Ihr Gerät verlässt, ersetzt PhysioGPT darin automatisch Namen, Daten, Anschriften, Telefonnummern und E-Mail-Adressen durch Platzhalter. Diese Erkennung arbeitet nach Mustern und kann nicht alles finden. Geben Sie deshalb keine Angaben ein, an denen Patientinnen oder Patienten zu erkennen sind. Gespeichert wird nur der ersetzte Text, in unserer Datenbank und im Speicher Ihres Browsers. Löschen Sie einen Fall, entfernen wir ihn aus der Datenbank und aus dem Browser, in dem Sie ihn löschen. Haben Sie den Fall auch auf einem anderen Gerät geöffnet, bleibt die Kopie dort im Browser, bis Sie die Website-Daten von PhysioGPT in diesem Browser löschen.

KI-Antworten: Für Antworten, Übungsvorschläge und die Übernahme von Übungen senden wir Ihre Eingaben an Anthropic PBC (San Francisco, USA), den Anbieter des Sprachmodells Claude: Chat-Nachrichten in der ersetzten Form; Suchbegriffe in der Übungssuche, den Begleittext eines übernommenen Links und Ihre Notiz dazu mit einer schmaleren Ersetzung: Daten, Anschriften, Telefonnummern, E-Mail-Adressen und Namen nach einer Anrede wie „Frau“ oder „Herr“ werden ersetzt, andere Namen nicht. Ein Foto, aus dem Sie eine Übung machen lassen, geht unverändert an Anthropic, denn ein Bild lässt sich nicht ersetzen. Grundlage der Übermittlung ist ein Auftragsverarbeitungsvertrag mit den EU-Standardvertragsklauseln, der Teil der Vertragsbedingungen von Anthropic ist.

Übungen aus einem Link: Fügen Sie einen Link zu Instagram, TikTok oder YouTube ein, ruft unser Server die öffentliche Seite dazu ab, um den Begleittext zu lesen. Gespeichert werden nur der Link und der Text, den Sie behalten; Videos und Bilder speichern wir nicht.

Übungen aus einem Foto: Wählen oder teilen Sie ein Foto, verkleinert PhysioGPT es auf Ihrem Gerät und schickt es zum Lesen an Anthropic. Das Foto speichern wir nicht; gespeichert wird nur der Text, den Sie behalten. Zeigt das Foto eine Patientin oder einen Patienten, ist die Person darauf zu erkennen. Nehmen Sie dafür deshalb nur Fotos ohne erkennbare Patientinnen oder Patienten.

Meine Übungen: Übungen, die Sie behalten, und ausführliche KI-Beschreibungen, die Sie einmal abgerufen haben, speichern wir zu Ihrem Konto, damit Sie sie jederzeit wieder aufrufen können, ohne sie neu erzeugen zu lassen. Sie bestehen, bis Sie die Übung löschen oder Ihr Konto gelöscht wird.

Nutzung und Kosten: Zu jeder KI-Anfrage speichern wir Zeitpunkt, Funktion, Modell, Umfang und Kosten zusammen mit Ihrem Konto, um das Nutzungskontingent einzuhalten und die Kosten zu überblicken. Diese Einträge bestehen, solange Ihr Konto besteht.

Betrieb: Die Anwendung läuft bei Vercel Inc. (Server in den USA), die Datenbank bei Supabase Inc. (Server in London); die Serverfunktionen, über die Chat und Übungssuche laufen, betreibt Supabase auf Servern nahe Ihrem Standort. Mit beiden besteht ein Auftragsverarbeitungsvertrag; zur Übermittlung siehe Abschnitt 5. Rechtsgrundlage für die Nutzung von PhysioGPT ist Art. 6 Abs. 1 lit. b DSGVO.

4.7 Fobi-Newsletter

Was er ist: Alle zwei Wochen schicken wir Ihnen per E-Mail die nächsten Fortbildungstermine, die zu Ihren Angaben passen, und einen kurzen Hinweis rund um Fortbildungen. Stellenangebote enthält er nicht. Er ist aus, bis Sie ihn selbst anschalten. Das geht auch schon beim Anlegen Ihres Profils mit einem eigenen Kästchen; gespeichert wird es erst, wenn Sie den Code aus unserer E-Mail eingegeben haben.

Welche Daten: Für die Auswahl nutzen wir Ihre E-Mail-Adresse, Ihren Vornamen, Ihren Beruf, Ihre Postleitzahl mit dem Umkreis, die Fortbildungen, die Sie schon gemacht haben oder machen möchten, und ob Sie Kurse vor Ort oder online suchen. Beim Anschalten speichern wir Zeitpunkt und Fassung des Einwilligungstextes, beim Abschalten den Zeitpunkt des Widerrufs, und zu jedem Versand den Zeitpunkt der letzten Ausgabe.

Rechtsgrundlage und Widerruf: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit widerrufen: mit dem Link in jeder Ausgabe, auf der Seite „Dein Fobi-Newsletter“ oder unter „E-Mails und Konto“ in Ihrem Profil. Der Widerruf gilt für künftige Ausgaben. Den Nachweis Ihrer Einwilligung bewahren wir auf, solange Ihr Profil besteht, und löschen ihn mit dem Profil. Versendet wird über Resend (Abschnitt 5).

Was wir messen: Resend meldet uns zu jeder Mail, ob sie zugestellt wurde oder zurückkam. Wir werten das nur als Anzahl je Ausgabe aus, ebenso die Klicks (Abschnitt 4.4). Ob Sie die Mail geöffnet haben, messen wir nicht.

4.8 Der Grund beim Löschen Ihres Profils

Was wir fragen: Wenn Sie Ihr Profil löschen, fragen wir, warum Sie gehen. Die Antwort ist freiwillig; Ihr Profil wird auch ohne sie gelöscht.

Welche Daten: Die angetippten Antworten, Ihr Text, falls Sie einen schreiben, Ihr Beruf und der Tag. Wir speichern die Antwort ohne Verbindung zu Ihrem Profil, ohne Namen, E-Mail-Adresse und Postleitzahl. Weil KiHire noch wenige Profile hat, kann man aus Tag und Beruf trotzdem manchmal ablesen, wer geantwortet hat. Schreiben Sie deshalb bitte keine Namen oder Angaben zu Ihrer Gesundheit in das Feld.

Zweck, Rechtsgrundlage und Dauer: Wir wollen verstehen, warum jemand geht, und KiHire besser machen. Rechtsgrundlage ist Ihre Einwilligung durch die freiwillige Antwort (Art. 6 Abs. 1 lit. a DSGVO). Die Antwort erscheint am nächsten Tag in einer kurzen Übersicht per E-Mail an den Betreiber und wird nach 12 Monaten gelöscht. Weil sie nicht mit Ihrem Profil verbunden ist, können wir eine einzelne Antwort später keiner Person mehr zuordnen (Art. 11 DSGVO).

4.9 Unsere Social-Media-Auftritte

Worum es geht: KiHire kann eigene Auftritte in sozialen Netzwerken betreiben, etwa bei LinkedIn, Instagram, Facebook, TikTok, YouTube oder einen WhatsApp-Kanal. Wenn Sie einen solchen Auftritt besuchen, ihm folgen, einen Beitrag kommentieren oder uns dort schreiben, verarbeitet zunächst der Betreiber der Plattform Ihre Daten, nach seinen eigenen Regeln und meist auch in den USA oder anderen Ländern außerhalb der EU. Darauf haben wir keinen Einfluss.

Gemeinsame Verantwortung: Die Plattformen erstellen für Betreiber einer Seite Statistiken über die Besuche (etwa „Insights“ bei Meta oder die Seiten-Statistik bei LinkedIn). Wir sehen davon nur zusammengefasste Zahlen, zum Beispiel wie viele Menschen einen Beitrag gesehen haben, keine einzelnen Personen. Für diese Statistik sind wir nach dem Urteil des Europäischen Gerichtshofs vom 5. Juni 2018 (C-210/16) gemeinsam mit der Plattform verantwortlich (Art. 26 DSGVO). Meta hat dazu eine Vereinbarung veröffentlicht, die Seiten-Insights-Ergänzung; danach übernimmt Meta die Auskunft und die übrigen Rechte rund um diese Statistik.

Was wir selbst verarbeiten: Schreiben Sie uns über eine Plattform, lesen und beantworten wir Ihre Nachricht dort. Ihre öffentlichen Kommentare sehen wir so, wie alle anderen sie sehen. Wir übertragen nichts davon in KiHire und legen darüber kein Profil an.

Rechtsgrundlage: Unser berechtigtes Interesse, KiHire dort bekannt zu machen, wo Physio- und Ergotherapeuten unterwegs sind, und mit ihnen zu sprechen (Art. 6 Abs. 1 lit. f DSGVO).

Ihre Rechte: Sie können Ihre Rechte (Abschnitt 9) bei uns und bei der Plattform geltend machen. Am schnellsten geht es meist direkt bei der Plattform, weil nur sie die Daten vollständig hat. Was die Plattformen mit Ihren Daten tun, steht in ihren Datenschutzerklärungen:

• LinkedIn: linkedin.com/legal/privacy-policy
• Instagram: privacycenter.instagram.com/policy
• Facebook: facebook.com/privacy/policy
• TikTok: tiktok.com/legal/page/eea/privacy-policy/de
• YouTube (Google): policies.google.com/privacy
• WhatsApp: whatsapp.com/legal/privacy-policy-eea

Klicken Sie dort auf einen Link zu kihire.de, gilt für den Besuch bei uns Abschnitt 4.4: Der Link trägt nur ein Kürzel für den Kanal, nichts über Sie.

5. Datenempfänger und Drittlandtransfer

Hosting und Datenbank: Für KiHire verarbeiten Vercel und Supabase innerhalb der EU (Frankfurt).

PhysioGPT: Die Anwendung läuft bei Vercel auf Servern in den USA; Grundlage der Übermittlung sind die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Vercel. Die Datenbank liegt bei Supabase in London; für das Vereinigte Königreich hat die Europäische Kommission ein angemessenes Datenschutzniveau festgestellt. Soweit Supabase Daten außerhalb der EU oder des Vereinigten Königreichs verarbeitet, gelten die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Supabase. Was an Anthropic geht und auf welcher Grundlage, steht in Abschnitt 4.6.

E-Mail-Versand: Jede E-Mail, die von dieser Plattform ausgeht, versenden wir über den Dienstleister Resend (Plus Five Five, Inc., San Francisco, USA) — darunter Anmeldebestätigung, Passwort-Zurücksetzung, Bestätigung einer geänderten E-Mail-Adresse, Stellenvorschlag, Anfrage eines Arbeitgebers, Kontaktfreigabe, Kaufbestätigung und Rechnung. Dabei werden Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht in die USA übermittelt.

Drittlandtransfer USA: Für diese Übermittlung besteht ein Auftragsverarbeitungsvertrag, der die EU-Standardvertragsklauseln einschließt. Der Anbieter ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert; die Europäische Kommission hat für zertifizierte Unternehmen ein angemessenes Datenschutzniveau festgestellt. Wir haben den Eintrag zuletzt am 31. August 2026 im öffentlichen Verzeichnis des US-Handelsministeriums geprüft; er war zu diesem Zeitpunkt aktiv, die turnusmäßige Neuzertifizierung lief. Sie können ihn dort jederzeit selbst einsehen: dataprivacyframework.gov, Eintrag „Resend".

Rechnungsstellung: Kauft ein Arbeitgeber ein Kontaktpaket, erstellen wir die Rechnung über die Buchhaltungssoftware Papierkram (Papierkram GmbH, Deutschland). Übermittelt werden dabei Firmenname, Rechnungsanschrift und E-Mail-Adresse des Arbeitgebers sowie die Rechnungsposten. Daten von Kandidatinnen und Kandidaten werden dorthin nicht übermittelt.

6. Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Passende Stellen und Kandidaten werden automatisiert vorsortiert: ein regelbasiertes, deterministisches Verfahren vergibt Punkte (etwa für Fachbereich, Entfernung, Qualifikationen) und erzeugt daraus die Vorschlagsliste. Eine Entscheidung trifft dieses Verfahren nicht — ob ein Arbeitgeber jemanden anfragt, entscheidet er selbst, und ob seine Kontaktdaten übermittelt werden, entscheidet allein die betroffene Person durch ihre Freigabe. Es kommt dabei kein externer KI-Dienst zum Einsatz. Sollten wir künftig eine automatisierte Bewertung mit rechtlicher Wirkung einführen, informieren wir Sie vorab gesondert.

7. Speicherdauer

• Kandidaten-Daten: 24 Monate nach letzter Aktivität
• Shortlist-Daten: 12 Monate, danach Anonymisierung
• Vertragsdaten: 10 Jahre (HGB/AO)
• Logdaten: 7 Tage
• Fragen unter Kolleg:innen: Den Text einer Frage löschen wir 30 Tage nach dem Stellen, die Frage mit allen Antworten nach 180 Tagen. Wird Ihr Profil gelöscht, löschen wir das mit.
• Grund beim Löschen des Profils: 12 Monate, ohne Verbindung zum Profil (Abschnitt 4.8)
• Änderungs-Protokoll der Karteikarte: so lange wie das Profil selbst — es wird mit der Löschung des Profils mitgelöscht

8. Cookies und Tracking

Keine Tracking-Cookies. Kein Google Analytics, kein Meta Pixel. Nur technisch notwendige Session-Cookies (Art. 25 Abs. 2 TDDDG).

9. Ihre Rechte (Art. 15-21 DSGVO)

• Auskunft (Art. 15)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch (Art. 21)
• Widerruf der Einwilligung (Art. 7 Abs. 3)

Kontakt: info@kihire.de

9.1 Widerruf einer Kontaktfreigabe

Haben Sie als Kandidatin oder Kandidat einem Arbeitgeber Ihre Kontaktdaten freigegeben, können Sie diese Einwilligung jederzeit widerrufen: mit dem Knopf „Ja zurücknehmen“ auf der Seite der jeweiligen Anfrage oder formlos an info@kihire.de, mit einem Hinweis auf die betreffende Stelle. Ein Grund ist nicht erforderlich.

Was daraufhin geschieht:

• Wir bestätigen Ihnen den Eingang und halten den Widerruf mit Datum in unserem System fest.
• Wir fordern den Arbeitgeber schriftlich auf, Ihre Kontaktdaten zu löschen, und dokumentieren seine Rückmeldung.
• Sie erhalten eine Nachricht darüber, wie der Arbeitgeber geantwortet hat — oder darüber, dass er nicht geantwortet hat.

Wir werden unverzüglich tätig, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Was der Widerruf nicht kann: Er wirkt ab dem Zeitpunkt des Zugangs und macht die vorherige Weitergabe nicht ungeschehen. Ob der Arbeitgeber Ihre Daten tatsächlich löscht, liegt in seiner Verantwortung als eigenständig Verantwortlicher — wir fordern die Löschung an und halten fest, was er antwortet. Ihre Rechte gegenüber dem Arbeitgeber (Art. 17 DSGVO) bestehen daneben unabhängig fort. Solange er die Löschung nicht bestätigt hat, bleiben die einmal freigegebenen Daten auch in seinem Zugang bei uns sichtbar.

10. Beschwerderecht

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz NRW, 40102 Düsseldorf — www.ldi.nrw.de

Stand: 14. Oktober 2026