kubisch.bewerbung · Vertragsdokument 2 von 3 · Version 1.0 · Stand 30.10.2026
nach Art. 28 Abs. 3 DSGVO für die Nutzung des Bewerbermanagements „kubisch.bewerbung“
Der Auftragnehmer stellt dem Auftraggeber das webbasierte Bewerbermanagement „kubisch.bewerbung“ (nachstehend „Plattform“) als Software-as-a-Service zur Verfügung. Grundlage sind die Nutzungsbedingungen (AGB) und die Preisbedingungen in der bei der Registrierung bestätigten Fassung, nachstehend „Hauptvertrag“. Bei der Nutzung der Plattform verarbeitet der Auftragnehmer personenbezogene Daten von Bewerbern und von Beschäftigten des Auftraggebers im Auftrag des Auftraggebers. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten (nachstehend „Daten“) im Auftrag des Auftraggebers i. S. d. Art. 4 Nr. 8 und Art. 28 DSGVO. Diese Vereinbarung gilt für alle Tätigkeiten, bei denen der Auftragnehmer, seine Beschäftigten oder durch ihn beauftragte Unterauftragsverarbeiter Daten des Auftraggebers im Zusammenhang mit der Plattform verarbeiten.
(2) Hierunter fallen auch Wartung, Support und Fehleranalyse an der Plattform, bei denen ein Zugriff auf Daten des Auftraggebers nicht ausgeschlossen werden kann, sowie die Einrichtung von Schnittstellen zu Personal- und Lohnsystemen des Auftraggebers, soweit der Auftragnehmer dabei mit Daten in Berührung kommt.
(3) Nicht Gegenstand dieser Vereinbarung ist der Demo-Mandant der Plattform; dort dürfen keine Daten Dritter eingegeben werden (§ 4 der Nutzungsbedingungen).
(4) Begriffe wie „Verarbeitung“ oder „Verantwortlicher“ gelten in der Bedeutung des Art. 4 DSGVO.
(1) Zweck der Verarbeitung ist die Durchführung von Bewerbungsverfahren des Auftraggebers, insbesondere: Entgegennahme von Bewerbungen über Formulare und Schnittstellen, Bündelung der Unterlagen in einer Bewerbermappe, Zustellung von Prüfaufgaben an die vom Auftraggeber benannten Prüfstellen, Erfassung von Entscheidungen und Notizen, Terminierung und Dokumentation von Vorstellungsgesprächen, Fristüberwachung mit Erinnerung und Eskalation per E-Mail und SMS, Information der Bewerber über den Stand des Verfahrens, Bereitstellung angenommener Bewerber zur Übernahme in das Personal- oder Lohnsystem des Auftraggebers, Erstellung einer Prüfhistorie, automatisierte Löschung nach Fristablauf sowie die nutzungsabhängige Abrechnung gegenüber dem Auftraggeber.
(2) Art der Verarbeitung: Erhebung über Web-Formulare (Bewerber, Prüfstellen, Nutzer des Auftraggebers), Speicherung in einer Datenbank und in einem gegen direkten Abruf geschützten Dateibereich, Anzeige für berechtigte Personen über personalisierte, befristete Links und Nutzerkonten, Übermittlung an Unterauftragsverarbeiter zum Versand von E-Mails und SMS, Bereitstellung zum Abruf durch Systeme des Auftraggebers über eine mit Schlüssel geschützte Schnittstelle, Protokollierung der Zugriffe, automatisierte Löschung.
(3) Kategorien betroffener Personen:
(4) Kategorien von Daten:
(5) Die Plattform fordert keine besonderen Kategorien personenbezogener Daten an. Da Bewerbungsunterlagen solche Daten enthalten können, treffen die Parteien die in Anlage 1 beschriebenen erhöhten Schutzmaßnahmen. Der Auftraggeber stellt sicher, dass Prüfstellen und Nutzer solche Angaben nur verarbeiten, soweit dies nach § 26 Abs. 3 BDSG zulässig ist, und dass Notizen keine Angaben nach Art. 9 DSGVO enthalten, die für das Verfahren nicht erforderlich sind.
(6) Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland bzw. in Mitgliedstaaten der EU/des EWR statt (Anlage 2). Eine Verarbeitung in Drittländern findet nicht statt.
(1) Diese Vereinbarung wird mit der Registrierung des Auftraggebers wirksam (§ 15) und gilt für die Dauer des Hauptvertrages, darüber hinaus solange der Auftragnehmer Daten des Auftraggebers verarbeitet.
(2) Eine gesonderte ordentliche Kündigung dieser Vereinbarung ist ausgeschlossen; sie endet mit dem Hauptvertrag. Der Auftraggeber kann sie außerordentlich kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder diese Vereinbarung vorliegt; in diesem Fall endet zugleich der Hauptvertrag.
(1) Die Weisungen des Auftraggebers sind durch den Hauptvertrag, diese Vereinbarung und die vom Auftraggeber in der Plattform vorgenommenen Einstellungen festgelegt, insbesondere: Prüfstellen und Prüfabläufe, Kernarbeitszeit und Fristen, Löschfristen, SMS-Modus, Textbausteine für Mitteilungen an Bewerber, Auswahl und Konfiguration des Personal- oder Lohnsystems für die Übergabe. Einstellungen, die der Auftraggeber selbst vornimmt, gelten als Weisung in Textform.
(2) Weitergehende Einzelweisungen erteilt der Auftraggeber in Textform (E-Mail) an die in Anlage 3 genannte Stelle. Weisungen, die über die Funktionen der Plattform hinausgehen, werden als Antrag auf Leistungsänderung behandelt; hieraus entstehender Mehraufwand ist nach § 14 zu vergüten.
(3) Der Auftragnehmer verarbeitet Daten nur im Rahmen der Weisungen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaates zu einer anderen Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO); in diesem Fall teilt er dies dem Auftraggeber vorab mit, soweit rechtlich zulässig.
(4) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung aussetzen, bis die Weisung bestätigt oder geändert wurde.
(1) Der Auftraggeber ist Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Rechtsgrundlage der Verarbeitung von Bewerberdaten (§ 26 Abs. 1 BDSG, Art. 6 Abs. 1 lit. b DSGVO), für die Information der Bewerber nach Art. 13 DSGVO, für die Wahrung der Betroffenenrechte, für die Einhaltung des Allgemeinen Gleichbehandlungsgesetzes und für Meldungen nach Art. 33, 34 DSGVO verantwortlich.
(2) Der Auftraggeber prüft und ergänzt den vom Auftragnehmer bereitgestellten Datenschutzhinweis im Bewerbungsformular und in der Eingangsbestätigung und hinterlegt in der Plattform eine Kontaktstelle für Auskunfts- und Löschersuchen der Bewerber.
(3) Der Auftraggeber benennt als Prüfstellen nur Personen, die zur Einsicht in Bewerbungsunterlagen berechtigt sind, hinterlegt deren E-Mail-Adressen und Mobilfunknummern zutreffend und verpflichtet sie, Prüfer-Links nicht weiterzugeben und Unterlagen nicht außerhalb der Plattform zu speichern. Der Auftraggeber ist für die Rechtsgrundlage der Verarbeitung der Kontaktdaten seiner Prüfstellen (einschließlich Mobilfunknummern für SMS) verantwortlich.
(4) Der Auftraggeber konfiguriert Löschfristen und Textbausteine nach dem Grundsatz der Datenminimierung und weist seine Prüfstellen an, in Notizen und Gesprächsprotokollen nur sachliche, für das Verfahren erforderliche Angaben zu machen. Er beachtet, dass Bewerber ein Auskunftsrecht nach Art. 15 DSGVO auch hinsichtlich dieser Notizen haben.
(5) Der Auftraggeber vergibt Nutzerkonten nur an berechtigte Personen, verwendet keine geteilten Konten und entzieht ausgeschiedenen Mitarbeitern den Zugang unverzüglich; Prüfstellen ausgeschiedener Personen deaktiviert er.
(6) Der Auftraggeber verantwortet die Verarbeitung der übergebenen Daten in seinem Personal- oder Lohnsystem ab dem Zeitpunkt des Abrufs, einschließlich der Sicherung des hierfür ausgegebenen Schnittstellenschlüssels.
(7) Der Auftraggeber benennt in der Plattform einen Ansprechpartner für Datenschutzfragen (Anlage 3).
(1) Der Auftragnehmer gestaltet seine innerbetriebliche Organisation so, dass sie den Anforderungen des Datenschutzes gerecht wird, und verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit; diese Pflicht besteht nach Beendigung der Tätigkeit fort.
(2) Der Auftragnehmer unterstützt den Auftraggeber mit den Funktionen der Plattform (Einsicht in Mappe und Historie, Export der Unterlagen, Löschung einzelner Bewerbungen, Zugriffsprotokoll) und darüber hinaus im Rahmen seiner Möglichkeiten bei der Erfüllung der Betroffenenrechte nach Kapitel III DSGVO sowie der Pflichten nach Art. 32 bis 36 DSGVO.
(3) Der Auftragnehmer nennt dem Auftraggeber seinen Ansprechpartner für Datenschutzfragen (Anlage 3) und teilt die Benennung eines Datenschutzbeauftragten mit, sobald er hierzu verpflichtet ist.
(4) Der Auftragnehmer greift auf Daten des Auftraggebers nur zu, soweit dies für Betrieb, Wartung, Fehleranalyse, Support auf Anfrage des Auftraggebers, Einrichtung bestellter Schnittstellen oder Abrechnung erforderlich ist. Er öffnet Bewerbungsunterlagen nur, wenn der Auftraggeber dies im Einzelfall anfordert. Zugriffe durch den Auftragnehmer auf Mandantendaten werden protokolliert.
(5) Werden Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (Pfändung, Beschlagnahme, Insolvenz) gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich.
(6) Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen (insbesondere Löschprotokolle), bewahrt der Auftragnehmer über das Vertragsende hinaus nach den jeweiligen Aufbewahrungsfristen auf.
(1) Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Dem Auftraggeber sind diese Maßnahmen bekannt; er hat sie als angemessen für die Risiken der Verarbeitung, einschließlich möglicher Daten nach Art. 9 DSGVO in Bewerbungsunterlagen, bewertet.
(2) Der Auftragnehmer darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Die aktuelle Fassung der Anlage 1 ist in der Plattform abrufbar; wesentliche Änderungen werden den Administratoren des Auftraggebers angezeigt.
(3) Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig (Art. 32 Abs. 1 lit. d DSGVO).
(1) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten des Auftraggebers. Die Meldung erfolgt an die in Anlage 3 benannte E-Mail-Adresse des Auftraggebers.
(2) Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Frist nach Art. 33 DSGVO.
(3) Als Verletzung gilt insbesondere auch der nachweisliche Zugriff Unbefugter auf eine Bewerbermappe über einen Prüfer-Link. Das Zugriffsprotokoll der Plattform wird dem Auftraggeber in diesem Fall vollständig zur Verfügung gestellt.
(4) Der Auftragnehmer informiert den Auftraggeber über Kontrollhandlungen einer Aufsichtsbehörde, soweit sie die Verarbeitung im Auftrag betreffen.
(1) Wendet sich eine betroffene Person (z. B. ein Bewerber) an den Auftragnehmer, verweist dieser sie an den Auftraggeber und leitet die Anfrage unverzüglich weiter, soweit eine Zuordnung möglich ist.
(2) Der Auftraggeber beantwortet Betroffenenanfragen selbst; die Plattform stellt hierfür die Bewerbermappe mit Historie und Notizen, den Export der Unterlagen und die Löschung einzelner Bewerbungen bereit. Darüber hinausgehende Unterstützung leistet der Auftragnehmer auf Weisung nach § 14.
(1) Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anforderung durch geeignete Mittel nach, insbesondere durch die aktuelle Anlage 1, Nachweise der Unterauftragsverarbeiter (AVV, Zertifikate), Löschprotokolle und Selbstauskünfte.
(2) Inspektionen vor Ort sind nur bei begründetem Anlass, nach Anmeldung mit angemessener Vorlaufzeit, zu den üblichen Geschäftszeiten und höchstens einmal jährlich möglich. Der Auftragnehmer darf sie von einer Verschwiegenheitserklärung hinsichtlich der Daten anderer Kunden abhängig machen. Der Aufwand des Auftragnehmers wird nach § 14 vergütet und ist auf einen Arbeitstag je Kalenderjahr begrenzt, sofern die Inspektion nicht einen Verstoß des Auftragnehmers aufdeckt.
(3) Für Inspektionen durch Aufsichtsbehörden gilt Absatz 2 entsprechend, ohne Verschwiegenheitserklärung.
(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter mit Abschluss dieser Vereinbarung zu. Der SMS-Dienstleister wird nur eingesetzt, wenn der Auftraggeber den SMS-Versand in den Einstellungen aktiviert hat. Nebenleistungen wie Telekommunikations- oder Postdienste gelten nicht als Unterauftragsverarbeitung.
(2) Beabsichtigt der Auftragnehmer, einen Unterauftragsverarbeiter zu ersetzen oder hinzuzufügen, informiert er die Administratoren des Auftraggebers mindestens vier Wochen vorher in der Plattform und per E-Mail. Der Auftraggeber kann innerhalb von drei Wochen aus wichtigem Grund in Textform widersprechen; andernfalls gilt die Zustimmung als erteilt. Bei berechtigtem Widerspruch ohne einvernehmliche Lösung kann jede Partei den Hauptvertrag zum Zeitpunkt des geplanten Einsatzes kündigen.
(3) Der Auftragnehmer überträgt seine Pflichten aus dieser Vereinbarung durch Verträge nach Art. 28 Abs. 4 DSGVO auf die Unterauftragsverarbeiter und haftet gegenüber dem Auftraggeber für deren Pflichterfüllung.
(4) Unterauftragsverarbeiter außerhalb der EU/des EWR werden nicht eingesetzt. Sollte dies künftig erforderlich werden, gilt Absatz 2 mit der Maßgabe, dass ein angemessenes Datenschutzniveau nach Art. 44 ff. DSGVO nachgewiesen wird.
(5) Das Personal- oder Lohnsystem des Auftraggebers (z. B. eGECKO, DATEV) und die dahinterstehenden Anbieter sind keine Unterauftragsverarbeiter des Auftragnehmers; sie rufen Daten im Auftrag des Auftraggebers ab.
(1) Bewerbungen, die mit einer Absage enden, werden sechs Monate nach Abschluss automatisch gelöscht; der Auftraggeber kann die Frist auf drei Monate verkürzen. Die Frist orientiert sich an den Fristen des § 15 Abs. 4 AGG und § 61b ArbGG. Eine längere Aufbewahrung (Talentpool) setzt eine Einwilligung des Bewerbers voraus, die der Auftraggeber einholt.
(2) Bewerbungen, die mit einer Zusage enden, werden 30 Tage nach Abschluss gelöscht. Der Auftraggeber übernimmt die benötigten Daten zuvor über die Schnittstelle oder den Export in sein Personalsystem; die Plattform weist auf den bevorstehenden Löschtermin hin.
(3) Die Löschung umfasst Bewerbungsunterlagen, interne Dokumente, Notizen, Prüfaufgaben, Zugriffsprotokolle und Nachrichteninhalte. Der Datensatz der Bewerbung wird anonymisiert; abrechnungsrelevante Zähler und ein Löschprotokoll ohne Personenbezug (Zeitpunkt, Stelle, Grund) bleiben erhalten. Vor der Löschung erhält der Auftraggeber die Prüfhistorie ohne Unterlagen für seine Akte.
(4) Zurückgezogene Bewerbungen und vom Auftraggeber vorzeitig abgeschlossene Bewerbungen werden wie Absagen behandelt. Der Auftraggeber kann einzelne Bewerbungen jederzeit vorzeitig löschen.
(5) Nach Beendigung des Hauptvertrages kann der Auftraggeber seine Daten für 30 Tage über die Exportfunktionen (CSV/JSON, Prüfhistorien, Unterlagen als ZIP) abrufen. Danach löscht der Auftragnehmer alle Daten des Auftraggebers einschließlich der Datensicherungen innerhalb von weiteren 30 Tagen und bestätigt die Löschung auf Verlangen in Textform. Ausgenommen sind Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere Vertrags- und Abrechnungsdaten); diese werden gesperrt und nach Fristablauf gelöscht.
(6) Weisungen des Auftraggebers zur Berichtigung, Löschung oder Einschränkung einzelner Daten setzt der Auftraggeber über die Funktionen der Plattform selbst um; soweit dies nicht möglich ist, führt der Auftragnehmer sie auf Weisung aus.
(1) Die Parteien haften gegenüber betroffenen Personen nach Art. 82 DSGVO. Im Innenverhältnis haften sie nach ihrem jeweiligen Verantwortungsanteil; im Übrigen gelten die Haftungsregelungen des Hauptvertrages.
(2) Wird eine Partei von einer betroffenen Person oder Behörde in Anspruch genommen, unterstützt die andere Partei sie im Rahmen ihrer Möglichkeiten bei der Abwehr.
Leistungen des Auftragnehmers, die über die Funktionen der Plattform hinausgehen (z. B. Unterstützung bei Inspektionen, individuelle Betroffenenanfragen, Datenschutz-Folgenabschätzungen, besondere Export- oder Löschleistungen), werden nach Aufwand zu dem in den Preisbedingungen genannten Stundensatz vergütet, es sei denn, sie beruhen auf einem Verstoß des Auftragnehmers.
(1) Diese Vereinbarung wird elektronisch geschlossen: Der Auftraggeber bestätigt sie bei der Registrierung durch Setzen des hierfür vorgesehenen Kontrollkästchens und durch Bestätigung des per E-Mail zugesandten Links. Der Auftragnehmer protokolliert Zeitpunkt, IP-Adresse, Versionsnummer und Prüfsumme der bestätigten Fassung und übersendet dem Auftraggeber die Vereinbarung mit der Bestätigungs-E-Mail. Die elektronische Form genügt den Anforderungen des Art. 28 Abs. 9 DSGVO.
(2) Der Auftragnehmer kann diese Vereinbarung anpassen, soweit dies aufgrund geänderter Rechtslage, geänderter Unterauftragsverarbeiter oder weiterentwickelter Funktionen erforderlich ist. Änderungen werden den Administratoren des Auftraggebers mindestens vier Wochen vor Wirksamwerden in der Plattform und per E-Mail mitgeteilt; der Auftraggeber kann bis zum Wirksamwerden widersprechen und den Hauptvertrag kündigen. Die jeweils gültige und alle früheren Fassungen sind in der Plattform abrufbar.
(3) Bei Widersprüchen gehen die Regelungen dieser Vereinbarung den Nutzungsbedingungen vor, soweit sie den Datenschutz betreffen.
(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
(5) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, Potsdam.
nach Art. 32 DSGVO · Stand 30.10.2026 · gilt für die Plattform kubisch.bewerbung
| Bereich | Maßnahmen |
|---|---|
| 1. Vertraulichkeit | |
| Zutrittskontrolle | Rechenzentrum des Hosters in Deutschland mit Zutrittskontrolle (siehe AVV Alfahosting). Arbeitsräume des Auftragnehmers mit Sicherheitsschloss und kontrollierter Schlüsselausgabe. |
| Zugangskontrolle (Nutzerkonten) | Persönliche Nutzerkonten mit Passwort (Mindestlänge 12 Zeichen, nicht nur Ziffern, nicht gleich der E-Mail-Adresse), Sperre für 15 Minuten nach fünf Fehlversuchen, Ratenbegrenzung je IP-Adresse. Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Sitzungs-Cookies mit HttpOnly, Secure und SameSite. Administrative Zugänge des Auftragnehmers (Hosting, Datenbank, SMS-Dienst) mit MFA und Passwortmanager. |
| Zugangskontrolle (Prüfer-Links) | Prüfstellen greifen ohne Nutzerkonto über personalisierte Links zu. Jeder Link enthält ein zufälliges Token von 32 Byte (256 Bit). Beim ersten Öffnen ist ein sechsstelliger Zugangscode einzugeben, der nur in der Zustellungs-E-Mail steht; nach fünf Fehlversuchen wird der Link gesperrt. Danach ist der Zugriff an den Browser gebunden (Cookie). Der Link verfällt mit der Entscheidung, mit der Übergabe an die Vertretung oder sieben Tage nach Fristende und kann vom Administrator des Auftraggebers jederzeit gesperrt werden. E-Mails an Prüfstellen enthalten keinen Bewerbernamen im Betreff und keine Anhänge. |
| Zugriffskontrolle | Rollenkonzept (Administrator, Personalverantwortlicher, Prüfstelle ohne Konto, Bewerber mit Status-Link); Berechtigungen werden serverseitig bei jedem Zugriff geprüft. Bewerbungsunterlagen liegen außerhalb des Webroots und werden ausschließlich über die Anwendung mit Berechtigungsprüfung und Cache-Control „no-store“ ausgeliefert; Downloads für Schnittstellen über signierte, sieben Tage gültige Links. Bewerber sehen auf ihrer Status-Seite keine Prüfernamen und keine Notizen. Zugriffe des Auftragnehmers auf Mandantendaten nur zu Support- und Wartungszwecken, protokolliert. |
| Trennungskontrolle | Mandantenfähige Architektur: jeder Datensatz trägt die Mandantenkennung; die Kennung wird ausschließlich aus dem angemeldeten Konto abgeleitet, nie aus Benutzereingaben. Dateien werden je Mandant und Bewerbung in getrennten Verzeichnissen abgelegt. Demo-Mandant, Test- und Produktivumgebung sind getrennt; Produktivdaten werden nicht in Testumgebungen verwendet. |
| Pseudonymisierung / Anonymisierung | Nach Ablauf der Löschfrist werden Bewerbungsdatensätze anonymisiert; Protokoll- und Abrechnungsdaten bestehen nur noch ohne Personenbezug. |
| 2. Integrität | |
| Weitergabekontrolle | Verschlüsselte Übertragung (TLS 1.2 oder höher) zwischen Browser und Plattform, zum SMS-Dienst und beim E-Mail-Versand. Referrer-Policy verhindert die Weitergabe von Link-Tokens an Dritte. Keine Übermittlung an Drittländer. Hochgeladene Dateien werden auf zulässige Typen (PDF, JPG, PNG, DOCX) und Größe (6 MB je Datei, 25 MB je Bewerbung) geprüft. |
| Eingabekontrolle | Unveränderbares (append-only) Ereignisprotokoll aller Eingänge, Zustellungen, Entscheidungen, Erinnerungen, Eskalationen, Übergaben, Löschungen und Änderungen an Stammdaten mit Zeitstempel und handelndem Konto bzw. Prüfer-Link. Zugriffsprotokoll je Bewerbermappe (Zeitpunkt, IP-Adresse, Browserkennung, Aktion). CSRF-Schutz in allen Formularen. Versionskontrolle für den Quellcode. |
| 3. Verfügbarkeit und Belastbarkeit | |
| Verfügbarkeitskontrolle | Hosting in einem deutschen Rechenzentrum mit redundanter Stromversorgung und Netzanbindung (siehe AVV Hoster). Tägliche Datensicherung durch den Hoster, zusätzlich [wöchentliche] verschlüsselte Sicherung durch den Auftragnehmer an getrenntem Ort. Externe Überwachung des stündlichen Fristenlaufs mit Benachrichtigung des Auftragnehmers bei Ausfall. |
| Wiederherstellbarkeit | Dokumentiertes Wiederherstellungsverfahren; Wiederherstellung innerhalb von [4] Stunden ab Entscheidung; jährlicher Wiederherstellungstest. |
| Belastbarkeit | Ratenbegrenzung für Bewerbungsformular, Registrierung und Anmeldung gegen Missbrauch; Honeypot-Felder gegen automatisierte Eingaben; Zustellstatus von E-Mails und SMS wird protokolliert, fehlgeschlagene Zustellungen werden dem Auftraggeber angezeigt. |
| 4. Verfahren zur regelmäßigen Überprüfung | |
| Datenschutz-Management | Jährliche Überprüfung dieser Anlage, der Löschroutinen und der Unterauftragsverarbeiter; Dokumentation der Ergebnisse. |
| Incident-Management | Festgelegter Ablauf für Sicherheitsvorfälle: Eindämmung (z. B. Sperrung aller Prüfer-Links eines Mandanten), Analyse anhand der Zugriffsprotokolle, Meldung an betroffene Auftraggeber innerhalb von 24 Stunden (§ 8), Nachbereitung. |
| Datenschutzfreundliche Voreinstellungen | Neue Mandanten starten im Anzeige-Modus (keine Zustellung an Prüfstellen, bis der Auftraggeber den Versand bewusst aktiviert). Automatische Löschung ist standardmäßig aktiv (6 Monate nach Absage, 30 Tage nach Zusage). Bewerber-Status-Seite zeigt nur Verfahrensstand ohne Personen. Download von Unterlagen durch Prüfstellen ist standardmäßig auf die Browseransicht beschränkt. |
| Löschkontrolle | Stündlicher automatischer Löschlauf; jede Löschung wird mit Zeitpunkt, Mandant, Stelle und Grund (ohne Personenbezug) protokolliert; Löschprotokoll ist für den Auftraggeber einsehbar. |
| Auftragskontrolle | Verträge nach Art. 28 DSGVO mit allen Unterauftragsverarbeitern; Prüfung vor Erstbeauftragung und regelmäßig während der Laufzeit. |
Stand 30.10.2026 · alle Verarbeitungen innerhalb Deutschlands bzw. der EU
| Unternehmen / Sitz | Verarbeitungszweck | Datenkategorien | Ort |
|---|---|---|---|
| Alfahosting GmbH [Anschrift], Leipzig, Deutschland | Webhosting, Datenbank, Dateispeicher, E-Mail-Versand und Datensicherung der Plattform | alle in § 2 genannten Daten | Deutschland |
| seven communications GmbH & Co. KG (seven.io) [Anschrift], Kiel, Deutschland nur bei aktiviertem SMS-Versand | Versand von SMS an Prüfstellen (Erinnerung, Eskalation) und Übermittlung des Zustellstatus | Mobilfunknummer der Prüfstelle, Nachrichtentext (enthält Bezeichnung der Stelle, Prüfer-Link und Zugangscode, keinen Bewerbernamen), Zeitstempel | Deutschland / EU |
Änderungen werden nach § 11 Abs. 2 mindestens vier Wochen vorher mitgeteilt. Die Auftragsverarbeitungsverträge der genannten Unternehmen sind auf Anfrage erhältlich.
Weisungsberechtigt und Ansprechpartner Datenschutz: die in der Plattform unter „Einstellungen“ hinterlegte Datenschutz-Kontaktstelle; bis zur Hinterlegung der bei der Registrierung angegebene Administrator. Meldungen nach § 8 gehen an die dort hinterlegte E-Mail-Adresse, ersatzweise an alle Administratoren des Auftraggebers.
Ulf Kubisch – Inhaber, Ansprechpartner Datenschutz und Weisungsempfänger
E-Mail: bewerbung@kubisch.consulting · Telefon: 0160 92848469
Hermann-Mattern-Promenade 61, 14469 Potsdam
Kubisch Consulting beschäftigt weniger als 20 Personen mit der ständigen automatisierten Verarbeitung personenbezogener Daten und hat keinen Datenschutzbeauftragten benannt. Die Pflicht zur Benennung nach Art. 37 DSGVO i. V. m. § 38 BDSG wird fortlaufend geprüft; im Fall einer Benennung werden die Auftraggeber in der Plattform informiert.