Datenschutzerklärung

Stand: 2026-10-10

1. Verantwortlicher

Verantwortlich i. S. d. Art. 4 Nr. 7 DSGVO:
Tobias Kullnig, Kieslesgrund 1-1, 74223 Flein, Deutschland, E-Mail: kontakt@mein-jobpilot.de.

2. Hosting

Wir hosten Mein-JobPilot (mein-jobpilot.de) bei der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland (Serverstandort Europa) (Auftragsverarbeiter, Art. 28 DSGVO). Beim Aufruf werden technisch notwendige Server-Logfiles verarbeitet (gekürzte/anonymisierte IP, Datum/Uhrzeit, abgerufene Ressource, Referrer, Browsertyp). Zweck: sicherer, stabiler Betrieb. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Speicherdauer: 7 Tage, danach Löschung.

Fehlerprotokoll und IT-Sicherheit. Zusätzlich zu den reinen Zugriffsprotokollen führt unser Webserver ein Fehlerprotokoll (sog. Error-Log). Darin wird bei technischen Fehlern, Fehlzugriffen oder blockierten Anfragen (z. B. bei Überschreitung unserer Anfrage-Limits) systembedingt Ihre vollständige IP-Adresse zusammen mit dem Datum, der Uhrzeit, der aufgerufenen Adresse sowie der Fehlermeldung protokolliert.

Zum Schutz vor Cyberangriffen (z. B. automatisierten Anmeldeversuchen, Brute-Force-Attacken oder DDoS-Angriffen) werten wir diese Fehlerprotokolle automatisiert aus. Führt eine IP-Adresse in kurzer Zeit zu auffällig vielen fehlerhaften Anfragen, wird diese IP-Adresse zum Schutz unserer Infrastruktur automatisch für die Dauer von 6 bis maximal 24 Stunden auf Netzwerk-Ebene gesperrt. Während dieser Sperrzeit bleibt die IP-Adresse in einer Sperrliste gespeichert. Eine Verknüpfung dieser Daten mit einem Kundenkonto oder die Erstellung von Nutzerprofilen findet nicht statt.

• Zweck der Verarbeitung: Gewährleistung der IT-Sicherheit, Abwehr von böswilligen Angriffen und Aufrechterhaltung der Stabilität und Verfügbarkeit unserer Webseite.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Absicherung unserer Systeme gegen Missbrauch und Angriffe (vgl. Erwägungsgrund 49 der DSGVO).
• Speicherdauer & Löschung: Die Daten im Fehlerprotokoll werden automatisch nach 7 Tagen gelöscht bzw. überschrieben. Einträge in der Sperrliste werden unmittelbar nach Ablauf der Sperre (nach maximal 24 Stunden) restlos gelöscht.

3. Webanalyse (Matomo, selbst gehostet, ohne Cookies)

Wir nutzen Matomo, das wir auf demselben Server (IONOS, Serverstandort Europa) selbst betreiben. Die Analysedaten verlassen unsere Infrastruktur nicht; eine Übermittlung an Dritte findet nicht statt. Matomo ist damit kein Auftragsverarbeiter — ein AVV ist hierfür nicht erforderlich.

Matomo läuft im cookielosen Modus (disableCookies): Es werden keine Cookies gesetzt, keine geräteübergreifenden Kennungen gebildet und IP-Adressen gekürzt. Ein Cookie-Consent-Banner ist daher nicht erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Gestaltung unseres Angebots).

4. Registrierung & Kundenkonto

Für die Nutzung legen Sie ein Konto an (E-Mail-Adresse, Passwort als Hash). Verarbeitet werden zudem Ihre Profil-/Such-Angaben zur Erbringung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherung bis zur Löschung des Kontos (siehe Ziffer 9).

5. Lebenslauf und Bewerbungsunterlagen

a) Lebenslauf auslesen (flüchtige Verarbeitung). Lassen Sie Ihren Lebenslauf auslesen, wird die Datei ausschließlich flüchtig im Arbeitsspeicher verarbeitet, um die biografischen Felder zu erkennen. Diese Datei wird nicht gespeichert. Nur die erkannten Felder werden Ihnen zur Prüfung angezeigt und erst nach Ihrem ausdrücklichen Speichern in Ihr Profil übernommen. Zur Auswertung wird der Lebenslauftext an unseren KI-Dienstleister übermittelt (siehe Ziffer 6).

b) Bewerbungsunterlagen (gespeichert). Laden Sie Ihren Lebenslauf oder Ihre Zeugnismappe als Bewerbungsunterlage hoch, speichern wir die PDF-Datei verschlüsselt in Ihrem Konto. Beide Dateien hängen wir an, wenn Sie eine Bewerbung über Mein-JobPilot versenden (siehe Ziffer 8). Ihren Lebenslauf verwenden wir außerdem für Ihre Anschreiben: Bei jedem Anschreiben, das Sie erstellen, lesen wir den Text der Lebenslauf-Datei aus und übermitteln ihn zusammen mit der Stellenanzeige an unseren KI-Dienstleister (siehe Ziffer 6), damit das Anschreiben auf Basis Ihres Lebenslaufs erstellt wird. Die PDF-Datei selbst wird an den KI-Dienstleister nicht übermittelt. Wir speichern den ausgelesenen Text in unserem System nicht gesondert (flüchtige Verarbeitung). Ihre Zeugnismappe wird an den KI-Dienstleister nicht übermittelt. Die Speicherung endet, sobald Sie die Unterlagen ersetzen, über „Meine Daten löschen“ entfernen oder Ihr Konto löschen.

Rechtsgrundlage für a) und b) ist Art. 6 Abs. 1 lit. b DSGVO. Soweit Ihr Lebenslauf oder Ihre Unterlagen besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO enthalten (z. B. Angaben zu Gesundheit/Schwerbehinderung, Religion oder Gewerkschaftszugehörigkeit), verarbeiten wir diese ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie vor jedem Upload über die entsprechende Checkbox erteilen. Wir protokollieren die Erteilung (Zeitpunkt, Konto-Kennung, IP-Adresse, Dateiname und Fassung des Einwilligungstextes), um sie nachweisen zu können (Art. 7 Abs. 1 DSGVO). Nach einer Löschung Ihres Kontos bewahren wir diesen Nachweis zur Abwehr möglicher Ansprüche auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) bis zum Ablauf der regelmäßigen Verjährungsfrist auf — drei Jahre ab dem Ende des Jahres, in dem das Konto gelöscht wurde (§§ 195, 199 BGB) — und löschen ihn danach automatisch. Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar (Art. 7 Abs. 3 DSGVO); ohne sie ist ein Upload nicht möglich.

6. KI-gestützte Verarbeitung (Matching, Match-Score & Anschreiben)

Für Stellen-Matching und die Erstellung von Anschreiben übermitteln wir die dafür nötigen Inhalte (z. B. Profil-/Lebenslauf-Text, Stellenbeschreibung) an unseren Vertragspartner Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland als Auftragsverarbeiter (Art. 28 DSGVO). Zweck: Erbringung der gebuchten Leistung (Art. 6 Abs. 1 lit. b DSGVO). Soweit die Verarbeitung im Auftrag von Anthropic Ireland ein Drittland berührt, ist sie durch EU-Standardvertragsklauseln abgesichert (Art. 44 ff. DSGVO). Enthält der übermittelte Text besondere Kategorien im Sinne des Art. 9 DSGVO, stützt sich auch diese Verarbeitung auf Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO (siehe Ziffer 5). Eine Nutzung Ihrer Inhalte zum Training von KI-Modellen ist vertraglich ausgeschlossen; dies ist in den Commercial Terms of Service von Anthropic öffentlich festgelegt.

Match-Score. Aus dem Abgleich zwischen Ihrem Profil und einer Stelle berechnen wir einen Prozentwert, den Match-Score. Er zeigt Ihnen, wie gut eine Stelle rechnerisch zu Ihren Angaben passt, und hilft Ihnen, Ihre Trefferliste zu sortieren. Der Match-Score ist eine Empfehlung an Sie, keine Entscheidung über Sie: Ob Sie sich auf eine Stelle bewerben, entscheiden allein Sie — es gibt keine automatische Vorauswahl, Aussortierung oder sonstige Rechtsfolge, die sich allein aus dem Score ergibt. Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet damit nicht statt. Grundlage der Berechnung ist die Erbringung der gebuchten Leistung (Art. 6 Abs. 1 lit. b DSGVO).

7. Zahlungsabwicklung über Stripe

Für den Kauf von Token leiten wir Sie auf die Bezahlseite des Zahlungsdienstleisters Stripe weiter. Anbieter ist die Stripe Technology Company Limited (STC), One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland (Hauptniederlassung von Stripe in Europa im Sinne der DSGVO); Vertragspartner für die Zahlungsabwicklung und die Auftragsverarbeitung ist die Stripe Payments Europe Limited (SPEL), Irland (nachfolgend gemeinsam „Stripe“).

7.1 Art, Zweck und rechtliche Rolle der Verarbeitung

Bei einer Zahlung per Kredit- oder Debitkarte, Apple Pay, Google Pay, PayPal oder über die über Stripe angebundenen Klarna-Zahlungsarten werden Ihre eingegebenen Transaktionsdaten (z. B. Name, Betrag, Zeitstempel, Kartennummer oder Bankverbindung) verarbeitet. Damit die Bezahlseite vorausgefüllt ist und Sie einen Zahlungsbeleg erhalten, übermitteln wir Stripe außerdem die E-Mail-Adresse Ihres Kontos. Ihre Karten- oder Kontodaten erhalten wir nicht; von Stripe bekommen wir nur Status- und Abrechnungsinformationen (z. B. „bezahlt“, Betrag, Zahlungs-ID). Die Datenverarbeitung durch Stripe erfolgt rechtlich in einer Doppelrolle:

• Als Auftragsverarbeiter (Art. 28 DSGVO): Für die rein technische Weiterleitung, das Auslösen der Transaktion sowie das Bereitstellen des Zahlungs-Gateways agiert Stripe als unser Auftragsverarbeiter. Dies dient der Vertragserfüllung bzw. Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO).
• Als eigenständig Verantwortlicher (Art. 4 Nr. 7 DSGVO): Für Kernfunktionen der Banken-Zahlungsabwicklung, die Aufdeckung und Prävention von Betrug (z. B. automatisierte Risikoanalysen via Stripe Radar) sowie zur Erfüllung eigener gesetzlicher Pflichten (z. B. regulatorische Bankenvorgaben und Geldwäscheprävention) agiert Stripe als eigenständiger Datenverantwortlicher. Dies liegt in unserem berechtigten Interesse, Missbrauch und Zahlungsausfälle zu verhindern (Art. 6 Abs. 1 lit. f DSGVO), sowie in der Erfüllung rechtlicher Pflichten von Stripe (Art. 6 Abs. 1 lit. c DSGVO).

PayPal: Wählen Sie PayPal, leitet Stripe Sie zu PayPal weiter; dort melden Sie sich an und bestätigen die Zahlung. Die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, verarbeitet Ihre Daten dabei als eigenständig Verantwortlicher.

Apple Pay / Google Pay: Nutzen Sie Apple Pay oder Google Pay, verarbeiten zusätzlich Apple bzw. Google Daten im Zusammenhang mit Ihrem Wallet nach deren eigenen Datenschutzbestimmungen.

7.2 Besonderheit bei Auswahl von Klarna-Zahlungsarten (Direkterhebung & Bonitätsprüfung)

Wenn Sie sich im Bezahlfenster für eine Zahlungsart der Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden (z. B. Rechnungskauf oder Ratenkauf) entscheiden, werden Sie im Bestellprozess zur Eingabe weiterer persönlicher Daten (wie Geburtsdatum und ggf. Telefonnummer) aufgefordert.

• Direkte Datenerhebung: Bitte beachten Sie, dass diese Daten von Ihnen direkt in der Eingabemaske von Klarna eingegeben und somit unmittelbar von Klarna als eigenständig Verantwortlichem erhoben werden. Unser System speichert diese sensiblen Identitätsdaten nicht; auch das Ergebnis der Prüfung erhalten wir nicht.
• Identitäts- und Bonitätsprüfung (Scoring): Zur Wahrung des berechtigten Interesses von Klarna und zur Prüfung der Kreditwürdigkeit übermittelt Klarna Ihre Daten in eigener Verantwortung an externe Wirtschaftsauskunfteien. In Deutschland können dies insbesondere die folgenden Auskunfteien sein: SCHUFA Holding AG, CRIF GmbH, Experian GmbH, Infoscore Consumer Data GmbH (ICD), Deutsche Post Direkt GmbH. Das Ergebnis der Bonitätsprüfung anhand statistischer Verfahren (Wahrscheinlichkeitswerte / Scores) nutzt Klarna ausschließlich zur Entscheidung über die Freigabe der gewünschten Zahlungsart.
• Automatisierte Entscheidung (Art. 22 DSGVO): Klarna entscheidet anhand dieses Ergebnisses automatisiert, ob Ihnen die gewählte Zahlungsart angeboten wird. Fällt die Prüfung negativ aus, können Sie eine andere Zahlungsart wählen. Gegenüber Klarna haben Sie das Recht, das Eingreifen einer Person, die Darlegung Ihres Standpunkts und die Anfechtung der Entscheidung zu verlangen.
• Rechtsgrundlage: Das Bereitstellen der Schnittstelle zur Datenerhebung basiert auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen) sowie auf unserem berechtigten Interesse, Ihnen eine Vielfalt an gängigen und sicheren Zahlungsmethoden anzubieten (Art. 6 Abs. 1 lit. f DSGVO).

7.3 Drittlandtransfer und weitere Informationen

Stripe und Klarna behalten sich vor, Daten an verbundene Unternehmen und Dienstleister außerhalb des EWR (z. B. in die USA) zu übertragen. Diese Übermittlungen sind durch das EU-U.S. Data Privacy Framework oder die EU-Standardvertragsklauseln abgesichert.

Weitere Informationen zum Datenschutz und Ihren Rechten gegenüber den Anbietern finden Sie in der Datenschutzerklärung von Stripe, der Datenschutzerklärung von Klarna sowie in der Datenschutzerklärung von PayPal.

7.4 Rechnung

Zu jedem Kauf erstellen wir eine Rechnung, die keine Angaben zu Ihrer Person enthält, und senden sie an die E-Mail-Adresse Ihres Kontos. Rechnungen bewahren wir aufgrund gesetzlicher Aufbewahrungspflichten zehn Jahre auf (§ 147 AO, § 14b UStG), auch nach einer Löschung Ihres Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.

7.5 Nachweis Ihrer Zustimmung zum vorzeitigen Leistungsbeginn

Vor der Weiterleitung zur Bezahlseite stimmen Sie ausdrücklich zu, dass wir vor Ablauf der Widerrufsfrist mit der Leistung beginnen, und bestätigen Ihre Kenntnis davon, dass Sie damit Ihr Widerrufsrecht verlieren (§ 356 Abs. 5 BGB). Diesen Vorgang protokollieren wir gesondert: Zeitpunkt, Kennung Ihres Kontos, Ihre IP-Adresse, das gekaufte Paket und die Version des bestätigten Textes. Da auch IP-Adressen personenbezogene Daten sind, stellt diese Speicherung eine eigenständige Datenverarbeitung dar.

Zweck: Nachweis Ihrer Zustimmung bzw. Ihres Widerrufs. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung, konkret der Nachweispflicht gem. Art. 7 Abs. 1 DSGVO) in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beweissicherung im Fall von Rechtsstreitigkeiten). Speicherdauer: für die Dauer der gesetzlichen Verjährungsfrist, d. h. drei Jahre (§ 195 BGB), beginnend mit dem Schluss des Jahres, in dem der Kauf stattgefunden hat; danach wird der Eintrag gelöscht. Der Nachweis bleibt auch nach einer Löschung Ihres Kontos bis zum Ablauf dieser Frist erhalten.

8. E-Mail-Versand Ihrer Bewerbungen

Bewerbungs-E-Mails werden über Ihr eigenes E-Mail-Postfach versendet. Sie hinterlegen dazu die Zugangsdaten Ihres eigenen SMTP-Postfachs; wir speichern sie verschlüsselt und verwenden sie ausschließlich auf Ihre Anweisung, um die von Ihnen freigegebene Bewerbung zu versenden. Die E-Mail geht damit direkt aus Ihrem Postfach an den Empfänger — einen zentralen Versand-Absender unsererseits gibt es nicht. Verarbeitet werden Empfänger, Betreff, Inhalt und Ihre Anhänge zum Zweck des von Ihnen ausgelösten Versands. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für die Verarbeitung bei Ihrem E-Mail-Anbieter gilt dessen Datenschutzerklärung.

9. Speicherdauer & Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke bzw. nach gesetzlichen Aufbewahrungsfristen erforderlich ist. Inaktive kostenlose Konten werden nach 12 Monaten ohne Anmeldung automatisch gelöscht.

Sie können Ihr Konto jederzeit selbst und ohne Angabe von Gründen vollständig löschen — direkt in den Einstellungen unter „Daten & Konto“. Die Löschung wird sofort wirksam und umfasst Profil, Bewerbungen, Anschreiben, hochgeladene Bewerbungsunterlagen, Einstellungen und Suchverlauf.

Technisch ist jedem Konto ein eigener Verschlüsselungsschlüssel zugeordnet, mit dem alle sensiblen Felder verschlüsselt sind — einschließlich der Zugangsdaten Ihres SMTP-Postfachs (Ziffer 8). Bei der Löschung wird dieser Schlüssel vernichtet (Crypto-Shredding). Dadurch sind die Daten unwiederbringlich unlesbar — auch in noch vorhandenen, turnusmäßig auslaufenden Datensicherungen. Zusätzlich werden die Datensätze regulär gelöscht.

Zur Erfüllung unserer Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) protokollieren wir lediglich dass eine Löschung stattgefunden hat (Zeitpunkt, Konto-Kennung) — ohne die gelöschten Inhalte.

10. Ihre Rechte

Sie haben nach DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung (z. B. für besondere Kategorien nach Art. 9, siehe Ziffer 5) können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Auskunft/Export und Löschung können Sie direkt im Konto auslösen oder per E-Mail an kontakt@mein-jobpilot.de. Zudem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Besonderes Widerspruchsrecht (Art. 21 DSGVO)

Sofern wir Ihre personenbezogenen Daten auf Grundlage von berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Den Widerspruch können Sie formlos per E-Mail an kontakt@mein-jobpilot.de einlegen.

11. Empfänger / Auftragsverarbeiter (Übersicht)

Dienst	Zweck	Standort
IONOS SE	Hosting, Datenbank	Deutschland
Anthropic Ireland, Limited	KI: Matching, Anschreiben	Irland (EU); ggf. Drittland mit SCC
Stripe Technology Company Limited / Stripe Payments Europe Limited	Zahlungsabwicklung (Karte, Apple Pay, Google Pay, PayPal, Klarna)	Irland (EU); ggf. USA (DPF/SCC)
PayPal (Europe) S.à r.l. et Cie, S.C.A.	Zahlung per PayPal (nur bei Auswahl)	Luxemburg (EU)
Klarna Bank AB (publ)	Zahlung per Klarna inkl. Identitäts- und Bonitätsprüfung (nur bei Auswahl)	Schweden (EU); ggf. USA (DPF/SCC)

Rollen: IONOS und Anthropic Ireland sind Auftragsverarbeiter (Art. 28 DSGVO). Stripe ist teils Auftragsverarbeiter, teils eigenständig Verantwortlicher (siehe Ziffer 7.1). PayPal und Klarna verarbeiten Ihre Daten als eigenständig Verantwortliche; insoweit gelten deren eigene Datenschutzerklärungen.

Der Versand Ihrer Bewerbungen läuft über Ihr eigenes E-Mail-Postfach (Ziffer 8); einen zentralen E-Mail-Dienstleister als Auftragsverarbeiter setzen wir dafür nicht ein.

Nicht enthalten — bewusst: Unsere Webanalyse (Matomo) betreiben wir selbst auf eigener Infrastruktur. Sie ist kein Auftragsverarbeiter, weil keine Daten an Dritte übermittelt werden.

Diese Tabelle ist zugleich die Grundlage unseres Verzeichnisses von Verarbeitungstätigkeiten (Art. 30).

12. Datensicherheit

Übertragung verschlüsselt via TLS/HTTPS; Daten verschlüsselt at rest; sensible Felder zusätzlich feldverschlüsselt. Zugriffsbeschränkung nach dem Need-to-know-Prinzip.

13. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage oder Verarbeitung ändern. Es gilt die jeweils hier veröffentlichte Fassung.