Bewerbungspilot

Entwurf, vor dem Livegang rechtlich prüfen lassen.

Auftragsverarbeitungsvertrag

Entwurf, vor dem Livegang rechtlich prüfen lassen.

Stand: Oktober 2026

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Geschäftskunden, der Bewerbungspilot für die Betreuung von Klientinnen und Klienten nutzt (nachfolgend "Auftraggeber"),

und [Name des Betreibers], [Straße Hausnummer], [PLZ Ort], E-Mail: [E-Mail-Adresse] (nachfolgend "Auftragnehmer").

1. Gegenstand und Dauer

  1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Erbringung des Dienstes Bewerbungspilot nach dem Hauptvertrag (Nutzungsvertrag einschließlich der AGB).
  2. Der Vertrag gilt für die Dauer des Hauptvertrags. Er endet automatisch mit dessen Beendigung. Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortbestehen, insbesondere zur Löschung und Vertraulichkeit, bleiben bestehen.
  3. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Fragen des Datenschutzes vor.

2. Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet die Daten, um für die vom Auftraggeber betreuten Personen Stellen zu finden, deren Passung mit Hilfe von KI-Modellen zu bewerten und Bewerbungsformulare im Namen der betreuten Personen auszufüllen und abzusenden. Die Verarbeitung umfasst insbesondere:

Mit dem Eingang einer Bewerbung beim Arbeitgeber wird dieser eigener Verantwortlicher für die empfangenen Daten.

3. Art der Daten

Besondere Kategorien nach Art. 9 DSGVO sind für den Dienst nicht erforderlich. Der Auftraggeber wirkt darauf hin, dass solche Daten nicht in Lebensläufe oder Profile aufgenommen werden. Werden sie dennoch übermittelt, stellt der Auftraggeber sicher, dass eine ausdrückliche Einwilligung der betroffenen Person nach Art. 9 Abs. 2 lit. a DSGVO vorliegt.

4. Kategorien betroffener Personen

5. Pflichten und Weisungsrecht des Auftraggebers

  1. Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage, einer Vollmacht der betreuten Personen für Bewerbungen in deren Namen und deren Einwilligung in das automatische Ausfüllen und Absenden.
  2. Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.
  3. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen, die der Auftraggeber im Dienst vornimmt, insbesondere der Wahl zwischen den Modi "Prüfen" und "Automatisch". Weitere Weisungen erteilt der Auftraggeber in Textform.
  4. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

6. Vertraulichkeit

Der Auftragnehmer stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugang erhalten nur Personen, die ihn für die Vertragserfüllung benötigen.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Kosten und des Risikos insbesondere folgende Maßnahmen:

Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

8. Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

  1. Welche KI-Anbieter im Einzelnen aktiv sind, legt der Auftragnehmer fest. Auf Anfrage teilt er dem Auftraggeber die aktuell eingesetzten Anbieter mit und prüft, ob die Verarbeitung für dessen Konto auf bestimmte Anbieter beschränkt werden kann.
  2. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Können sich die Parteien nicht einigen, darf der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
  3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.
  4. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Für die USA stützt sich der Auftragnehmer auf das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, im Übrigen auf Standardvertragsklauseln. Für China und Singapur besteht kein Angemessenheitsbeschluss. Der Auftragnehmer nutzt dort Standardvertragsklauseln. Der Auftraggeber nimmt zur Kenntnis, dass bei Anbietern in China Restrisiken bestehen, insbesondere durch mögliche staatliche Zugriffe ohne wirksamen Rechtsschutz für die betroffenen Personen. Der Auftraggeber informiert die betroffenen Personen über diese Übermittlungen.

9. Unterstützung des Auftraggebers

  1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO. Erreichen ihn solche Anfragen direkt, leitet er sie unverzüglich an den Auftraggeber weiter.
  2. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.
  3. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich nach Bekanntwerden, möglichst innerhalb von 48 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
  4. Für Unterstützungsleistungen, die über den üblichen Umfang hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer eine angemessene Vergütung verlangen.

10. Löschung und Rückgabe

  1. Nach Ende des Hauptvertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten Daten innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch des Auftraggebers stellt er ihm die Daten vor der Löschung in einem gängigen maschinenlesbaren Format bereit.
  2. Daten in Backups werden mit der Rotation der Backups innerhalb von 30 Tagen gelöscht.
  3. Bewerbungsprotokolle werden unabhängig vom Vertragsende nach 12 Monaten gelöscht.
  4. Der Auftraggeber kann einzelne Konten jederzeit in den Einstellungen löschen. Die Löschung erfolgt sofort, Backups rotieren innerhalb von 30 Tagen.
  5. Auf Anfrage bestätigt der Auftragnehmer die Löschung in Textform.

11. Nachweise und Kontrollen

  1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
  2. Der Auftraggeber kann sich nach rechtzeitiger Ankündigung, in der Regel mindestens 14 Tage vorher, während der üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer von der Einhaltung überzeugen. Kontrollen finden höchstens einmal im Kalenderjahr statt, es sei denn, ein konkreter Anlass rechtfertigt eine weitere Kontrolle.
  3. Kontrollen dürfen den Betrieb nicht unverhältnismäßig stören und erstrecken sich nicht auf Daten anderer Kunden. Vorrangig erfolgt der Nachweis durch Dokumentation und schriftliche Auskünfte.
  4. Die Kosten einer Kontrolle trägt der Auftraggeber, es sei denn, die Kontrolle deckt einen wesentlichen Verstoß des Auftragnehmers auf.

12. Haftung

  1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.
  2. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nichts anderes bestimmt.
  3. Der Auftraggeber stellt den Auftragnehmer von Ansprüchen Dritter frei, die darauf beruhen, dass für eine Verarbeitung keine Rechtsgrundlage, Vollmacht oder Einwilligung vorlag, soweit der Auftraggeber dies zu vertreten hat.

13. Schlussbestimmungen

  1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.
  2. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
  3. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragnehmers, soweit der Auftraggeber Kaufmann ist.

Ort, Datum: [Ort, Datum]

Auftraggeber: [Name, Firma, Unterschrift]

Auftragnehmer: [Name des Betreibers], [Unterschrift]