Bewerbungspilot

Entwurf, vor dem Livegang rechtlich prüfen lassen.

Datenschutzerklärung

Entwurf, vor dem Livegang rechtlich prüfen lassen.

Stand: Oktober 2026

In dieser Datenschutzerklärung erklären wir dir, welche personenbezogenen Daten Bewerbungspilot verarbeitet, wofür wir sie brauchen, an wen sie gehen und welche Rechte du hast. Bewerbungspilot befindet sich in der Beta-Phase. Wenn sich an der Verarbeitung etwas Wesentliches ändert, passen wir diese Erklärung an und informieren dich.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

[Name des Betreibers], [Straße Hausnummer], [PLZ Ort], Deutschland

E-Mail: [E-Mail-Adresse]

Einen Datenschutzbeauftragten haben wir derzeit [nicht benannt, da keine Pflicht nach Art. 37 DSGVO und § 38 BDSG besteht / benannt: Name und Kontakt].

2. So funktioniert Bewerbungspilot

Damit du nachvollziehen kannst, welche Daten wo anfallen, hier der Ablauf in Kürze:

  1. Du legst ein Konto in der Web-App unter pilot.tomembke.de an.
  2. Du lädst deinen Lebenslauf als PDF hoch. Wir lesen den Text aus und erstellen daraus einen Profilvorschlag, den du prüfst und bestätigst.
  3. Du hinterlegst Standardantworten, zum Beispiel Gehaltswunsch, Kündigungsfrist, Arbeitserlaubnis und Sprachkenntnisse, und legst deine Suchwünsche fest.
  4. Unser Server sucht passende Stellen. Quellen sind öffentliche Stellenanzeigen auf LinkedIn (abgerufen über den Dienst Apify), öffentliche Stellen-Feeds von Bewerbermanagementsystemen wie Greenhouse, Lever oder Ashby sowie Links, die du selbst einfügst. Mit Hilfe von KI-Modellen bewerten wir, wie gut eine Stelle zu deinem Profil passt.
  5. Die Desktop-App auf deinem Computer öffnet das Bewerbungsformular in einem Browser auf deinem Gerät und füllt es Schritt für Schritt aus. Welche Eingabe als Nächstes passiert, entscheidet unser Server mit Hilfe von KI-Modellen auf Grundlage eines Abbilds der jeweiligen Formularseite und deiner Profildaten.
  6. Im Modus "Prüfen" gibst du jede Bewerbung einzeln frei. Im Modus "Automatisch" werden Bewerbungen ab einer von dir gewählten Mindestpassung ohne weitere Freigabe abgeschickt.
  7. Jede Bewerbung wird in deinem Namen und von deinem Internetanschluss aus versendet. Der Arbeitgeber und das Jobportal sehen deshalb deine IP-Adresse.

3. Rollenverteilung: Wer ist wofür verantwortlich?

Wir als Verantwortlicher: Für dein Konto, deine Abrechnung, die Sicherheit des Dienstes und die Durchführung des Bewerbungsprozesses bis zum Absenden sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Der Arbeitgeber als eigener Verantwortlicher: Sobald eine Bewerbung beim Arbeitgeber eingeht, verarbeitet dieser deine Bewerbungsdaten in eigener Verantwortung. Das gilt auch, wenn der Arbeitgeber dafür ein Bewerbermanagementsystem oder ein Jobportal einsetzt. Für diese Verarbeitung gilt die Datenschutzerklärung des jeweiligen Arbeitgebers bzw. Portals. Wir haben darauf keinen Einfluss.

Geschäftskunden: Wenn ein Karrierecoach, eine Outplacement-Agentur oder ein anderer Geschäftskunde Bewerbungspilot für seine Klientinnen und Klienten nutzt, ist der Geschäftskunde für diese Daten Verantwortlicher. Wir verarbeiten sie dann als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Ansprechpartner für Betroffene ist in diesem Fall in erster Linie der Geschäftskunde.

4. Welche Daten wir verarbeiten

5. Zwecke und Rechtsgrundlagen

Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO: Wir verarbeiten deine Konto-, Profil-, Lebenslauf-, Such-, Stellen- und Protokolldaten, um dir den vereinbarten Dienst zu erbringen. Dazu gehören die Profilerstellung, die Stellensuche, die Bewertung der Passung, das Ausfüllen der Formulare, die Anzeige deines Bewerbungsverlaufs und der Kundensupport.

Einwilligung, Art. 6 Abs. 1 lit. a DSGVO: Für das automatische Ausfüllen und Absenden von Bewerbungen in deinem Namen holen wir vor dem ersten Einsatz deine ausdrückliche Einwilligung ein. Gleiches gilt für freiwillige Angaben besonderer Kategorien (siehe Abschnitt 6). Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel indem du den Automatik-Modus abschaltest, die Desktop-App trennst oder uns schreibst. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO: Wir verarbeiten technische Zugriffsdaten, Gerätedaten, Protokolle der KI-Aufrufe und Bewerbungsprotokolle, um den Dienst sicher und stabil zu betreiben, Missbrauch zu verhindern, Fehler zu analysieren, Kosten zu steuern und Kontingente durchzusetzen. Unser Interesse liegt in einem sicheren und wirtschaftlich tragfähigen Betrieb. Du kannst dieser Verarbeitung nach Art. 21 DSGVO widersprechen.

Rechtliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO: Rechnungen und buchhaltungsrelevante Unterlagen bewahren wir auf, weil uns das Steuer- und Handelsrecht dazu verpflichtet.

6. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Für Bewerbungen sind Angaben zu Gesundheit, Religion, ethnischer Herkunft, politischer Meinung, Gewerkschaftszugehörigkeit oder sexueller Orientierung in aller Regel nicht nötig. Wir empfehlen dir deshalb, solche Angaben nicht in deinen Lebenslauf oder dein Profil aufzunehmen. Ein Foto ist im deutschsprachigen Raum üblich, aber freiwillig.

Wenn du solche Angaben trotzdem machst, etwa einen Schwerbehindertenstatus, verarbeiten wir sie nur auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und nur, um sie in deine Bewerbungen zu übernehmen. Du kannst sie jederzeit aus deinem Profil löschen.

7. Keine automatisierte Entscheidung über dich (Art. 22 DSGVO)

Wir treffen keine Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen. Die KI-Bewertung einer Stelle ist ein Vorschlag, auf dessen Grundlage du oder deine Einstellungen festlegen, ob eine Bewerbung verschickt wird. Über deine Bewerbung entscheidet allein der Arbeitgeber. Ob ein Arbeitgeber dabei selbst automatisierte Verfahren einsetzt, liegt in dessen Verantwortung.

8. Empfänger und Auftragsverarbeiter

Wir geben deine Daten nur weiter, wenn es für den Dienst nötig ist, eine Rechtsgrundlage besteht und der Empfänger angemessene Schutzmaßnahmen bietet. Mit allen Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen oder schließen sie vor dem Livegang ab.

Hosting

Hetzner Online GmbH, Deutschland. Unsere Web-App, die Datenbank und die Backups liegen auf Servern von Hetzner in Deutschland.

KI-Anbieter

Für das Auslesen des Lebenslaufs, die Bewertung von Stellen und die Steuerung der Formulare nutzen wir Sprachmodelle externer Anbieter. Welcher Anbieter für welche Aufgabe zum Einsatz kommt, legen wir als Betreiber fest und können es ändern. Jeder Anbieter erhält nur die Daten, die für die jeweilige Aufgabe nötig sind, zum Beispiel ein Abbild der Formularseite, den Text deines Lebenslaufs oder einzelne Profilfelder. Wir nutzen die Programmierschnittstellen der Anbieter und wählen, soweit angeboten, Einstellungen, bei denen die Daten nicht zum Training der Modelle verwendet werden.

Derzeit können folgende Anbieter zum Einsatz kommen:

[Hinweis für den Livegang: aktuelle Liste der tatsächlich aktiven Anbieter in der App oder auf dieser Seite pflegen.]

Stellensuche

Apify Technologies s.r.o., Tschechien (EU). Über Apify rufen wir öffentliche Stellenanzeigen ab. Apify erhält dabei nur Suchbegriffe wie Berufsbezeichnung und Ort. Weitere personenbezogene Daten von dir erhält Apify nicht.

Öffentliche Stellen-Feeds von Greenhouse, Lever, Ashby und ähnlichen Systemen rufen wir direkt ab. Dabei übermitteln wir keine Daten über dich.

E-Mail-Versand

Resend, USA. Über Resend versenden wir E-Mails zum Zurücksetzen des Passworts und Benachrichtigungen. Resend verarbeitet dafür deine E-Mail-Adresse und den Inhalt der E-Mail.

Zahlungsabwicklung

Stripe Payments Europe, Ltd., Irland, und Stripe, Inc., USA. Stripe wickelt die Zahlungen für kostenpflichtige Tarife ab. Du gibst deine Zahlungsdaten direkt bei Stripe ein. Wir erhalten von Stripe Informationen zum Zahlungsstatus, zum Tarif und die Rechnungsdaten. Für Betrugsprävention und die Erfüllung eigener gesetzlicher Pflichten handelt Stripe teilweise als eigener Verantwortlicher. Details findest du in der Datenschutzerklärung von Stripe.

Arbeitgeber und Jobportale

Wenn eine Bewerbung abgeschickt wird, gehen die eingetragenen Daten und gegebenenfalls dein Lebenslauf an den jeweiligen Arbeitgeber bzw. an das von ihm genutzte System. Das geschieht in deinem Auftrag und in deinem Namen. Ab dem Eingang ist der Arbeitgeber eigener Verantwortlicher (siehe Abschnitt 3).

Behörden

An Behörden geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

9. Übermittlung in Drittländer (Art. 44 ff. DSGVO)

Einige der genannten Empfänger sitzen außerhalb der EU und des EWR. Dort gilt nicht automatisch ein mit der DSGVO vergleichbares Datenschutzniveau. Wir möchten dir offen sagen, wie wir damit umgehen.

USA: Für die USA gibt es den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF). Soweit ein Anbieter unter dem DPF zertifiziert ist, stützen wir die Übermittlung darauf. Den aktuellen Status kannst du unter dataprivacyframework.gov prüfen. Ist ein Anbieter nicht zertifiziert, nutzen wir die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

China und Singapur: Für China und Singapur gibt es keinen Angemessenheitsbeschluss. Übermittlungen an Anbieter in diesen Ländern stützen wir auf Standardvertragsklauseln. Trotz dieser Klauseln bleiben Risiken: Nach chinesischem Recht können staatliche Stellen unter Umständen auf Daten zugreifen, ohne dass dir wirksame Rechtsbehelfe wie in der EU zur Verfügung stehen. Wir begrenzen dieses Risiko, indem wir diesen Anbietern nur die für die einzelne Aufgabe nötigen Daten schicken. Eine vollständige Ausräumung dieser Risiken können wir dir nicht zusagen.

Eine Kopie der jeweiligen Garantien kannst du über [E-Mail-Adresse] bei uns anfordern.

10. Cookies und Tracking

Wir setzen ausschließlich ein technisch notwendiges Session-Cookie ein, damit du nach dem Login angemeldet bleibst. Rechtsgrundlage für das Speichern auf deinem Gerät ist § 25 Abs. 2 Nr. 2 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Das Cookie wird beim Abmelden oder nach Ablauf der Sitzung ungültig.

Wir nutzen keine Analyse-, Tracking- oder Werbedienste. Deshalb brauchen wir auch kein Cookie-Banner.

11. Desktop-App

Die Desktop-App verbindet sich über ein gerätespezifisches Zugangstoken mit unserem Server. Auf dem Server speichern wir dieses Token nur als Hash. Die App überträgt Abbilder der jeweiligen Formularseite und Statusmeldungen an unseren Server und erhält von dort die nächsten Schritte.

Der Browser, den die App steuert, läuft auf deinem Computer. Cookies und Anmeldungen bei Jobportalen bleiben in diesem Browser auf deinem Gerät. Bewerbungspilot umgeht keine Captchas. Erscheint ein Captcha, bittet dich die App, es selbst zu lösen.

12. Speicherdauer

Du kannst dein Konto jederzeit in den Einstellungen löschen. Dabei löschen wir sofort alle zu deinem Konto gespeicherten Daten, ausgenommen Unterlagen, die wir aus steuer- und handelsrechtlichen Gründen aufbewahren müssen. Diese sperren wir für jede andere Nutzung.

13. Deine Rechte

Du hast gegenüber uns folgende Rechte:

Viele Daten kannst du direkt in der App einsehen, ändern und löschen. Für alle anderen Anliegen genügt eine E-Mail an [E-Mail-Adresse]. Rechte gegenüber Arbeitgebern, die deine Bewerbung erhalten haben, machst du direkt beim jeweiligen Arbeitgeber geltend.

14. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist [zuständige Landesdatenschutzbehörde mit Anschrift].

15. Pflicht zur Bereitstellung

Du bist weder gesetzlich noch vertraglich verpflichtet, uns Daten zu geben. Ohne E-Mail-Adresse, Lebenslauf und Profildaten können wir den Dienst allerdings nicht erbringen.

16. Datensicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Dazu gehören eine verschlüsselte Übertragung per TLS, verschlüsselte Backups, Passwörter als bcrypt-Hash, gehashte Zugangstoken, Zugriffsbeschränkungen nach dem Prinzip der minimalen Rechte, Protokollierung und Server in Deutschland.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich der Dienst, die eingesetzten Anbieter oder die Rechtslage ändern. Die jeweils aktuelle Fassung findest du in der App und auf unserer Website. Über wesentliche Änderungen informieren wir dich per E-Mail.