Datenschutzerklärung

Aus Sicht des Datenschutzrechts ändert sich unsere rechtliche Stellung je nachdem, wessen Daten wir zu welchem Zweck verarbeiten. Diese Unterscheidung ist für die Ausübung Ihrer Rechte entscheidend:

A.HeyHire als VERANTWORTLICHER

Als Verantwortlicher verarbeiten wir personenbezogene Daten natürlicher Personen (betroffener Personen), insbesondere Besucher unserer Website, Ansprechpartner und Nutzer unserer Firmenkunden, sowie Rechnungs- und Vertragsdaten. In diesen Fällen legen wir die Zwecke und Mittel der Verarbeitung fest.

B.HeyHire als AUFTRAGSVERARBEITER

Wenn Sie unser Kunde (Arbeitgeber oder Agentur) sind und die heyree-Plattform für die Personalbeschaffung nutzen, laden Sie personenbezogene Daten von Bewerbern (Kandidaten) und sonstige sogenannte Kundendaten in die Plattform hoch. In diesem Verhältnis sind stets Sie (der Kunde) der Verantwortliche. Wir treten ausschließlich als Ihr Auftragsverarbeiter auf und richten uns nach Ihren Weisungen sowie nach dem abgeschlossenen Auftragsverarbeitungsvertrag (AVV/DPA).

Hinweis für Kandidaten: Wenn Ihre Daten in heyree von einem konkreten Unternehmen verwaltet werden, bei dem Sie sich bewerben, wenden Sie sich zur Ausübung Ihrer Rechte typischerweise primär an dieses Unternehmen.

Wenn Sie Vertreter eines Kunden, Interessent oder Besucher der Website sind, verarbeiten wir folgende Daten über Sie:

2.1Kontakt-, Geschäfts- und Vertragsdaten

• Was wir verarbeiten: Vorname, Nachname, geschäftliche E-Mail-Adresse, Telefon, Position, Unternehmen, Inhalt unserer Kommunikation, Identifikationsdaten des Unternehmens, Rechnungs- und Zahlungsdaten.
• Warum: Für Vertragsverhandlungen, Vertragserfüllung (Onboarding, Support) und Buchhaltung.
• Rechtsgrundlage: Die Verarbeitung ist zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage erforderlich (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Erfüllung einer rechtlichen Verpflichtung, insbesondere im Bereich des Steuerrechts (Art. 6 Abs. 1 lit. c DSGVO).

2.2Technische Website- und Sicherheitsdaten

• Was wir verarbeiten: IP-Adresse, Geräte-/Browser-Identifikatoren, Zugriffsprotokolle.
• Warum: Zur Sicherung der Systeme, Missbrauchsprävention und Fehleranalyse.
• Rechtsgrundlage: Die Verarbeitung ist für die Wahrung unserer berechtigten Interessen an der IT- und Informationssicherheit erforderlich (Art. 6 Abs. 1 lit. f DSGVO i. V. m. Erwägungsgrund 49).

2.3Marketing und Website-Analyse

• Was wir verarbeiten: Daten zu Ihrer Interaktion mit der Website (z. B. Verhalten auf der Seite, technische Identifikatoren) und Ihre E-Mail-Adresse, sofern Sie sich für den Bezug von Werbemitteilungen anmelden.
• Warum: Zur Reichweitenanalyse, Verbesserung der Website und zum Versand von Werbemitteilungen (B2B).
• Rechtsgrundlage: Bei erweiterter Analyse verarbeiten wir die Daten auf Grundlage Ihrer freiwilligen und informierten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Werbemitteilungen versenden wir auf Grundlage Ihrer Einwilligung oder im Rahmen einer bestehenden Geschäftsbeziehung mit Kunden gemäß § 7 des tschechischen Gesetzes Nr. 480/2004 Slg. In begrenztem Umfang können wir Daten auch auf Grundlage unseres berechtigten Interesses verarbeiten (z. B. einfache Reichweitenmessung oder Schutz vor Missbrauch des Dienstes).

Wenn Sie unser Firmenkunde sind und die heyree-Plattform für Ihre Personalbeschaffung nutzen, laden Sie personenbezogene Daten von Bewerbern in die Plattform hoch. Wir verarbeiten diese Daten ausschließlich in Ihrem Namen, auf Ihre Weisung, und sind nicht verantwortlich für die Festlegung der Zwecke und Mittel der Verarbeitung.

3.1Kunden-Recruiting-Daten (Kandidatendaten)

• Was wir verarbeiten: Identifikations- und Kontaktdaten der Kandidaten, beruflicher Werdegang (Erfahrung, Ausbildung, Qualifikationen), hochgeladene Dokumente (Lebensläufe, Portfolios, Anschreiben), interne Kommunikation, Notizen und Bewertungen aus dem Auswahlverfahren sowie KI-Ausgaben, die auf Basis dieser Daten erstellt werden (z. B. automatische Profilzusammenfassungen).
• Warum: Damit wir Ihnen (als unserem Kunden) die ATS-Funktionen der heyree-Plattform bereitstellen, Ihnen die effiziente Verwaltung von Auswahlverfahren ermöglichen und Sie unsere KI-Assistenz nutzen können.
• Rechtsgrundlage: Auf unserer Seite (als Auftragsverarbeiter) erfolgt die Verarbeitung primär auf Grundlage der Weisungen des Verantwortlichen im Rahmen des abgeschlossenen Auftragsverarbeitungsvertrags (AVV/DPA) gemäß Art. 28 DSGVO.

In begrenztem Umfang können wir personenbezogene Daten auch zu eigenen Zwecken verarbeiten, insbesondere zur Sicherstellung von Sicherheit, Betrieb und Verbesserung des Dienstes (z. B. technisches Logging, Missbrauchsprävention oder Fehlerbehebung), und zwar auf Grundlage unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO.

Die Sicherstellung einer gültigen Rechtsgrundlage gegenüber den Kandidaten selbst (z. B. deren Einwilligung, berechtigtes Interesse oder vorvertragliche Maßnahmen) liegt vollständig in Ihrer Verantwortung als Verantwortlicher. Die genauen Zugriffsrechte und Aufbewahrungsfristen legen Sie selbst direkt in den Einstellungen des Dienstes heyree fest und verwalten diese.

HeyHire ist eine moderne Plattform, die Künstliche Intelligenz nutzt. Bei der Nutzung von KI-Funktionen (z. B. Lebenslauf-Zusammenfassung) achten wir auf höchste Sicherheit, Ethik und die Anwendung der Grundsätze Data protection by design and by default (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen gemäß Art. 25 DSGVO).

KI-Grundsätze in heyree, an die wir uns strikt halten:

• Keine automatisierte Entscheidungsfindung: KI ist auf unserer Plattform lediglich ein unterstützendes Werkzeug. Die endgültige Entscheidung (z. B. über die Einstellung/Ablehnung eines Kandidaten) trifft stets ein Mensch.
• Zero Retention (keine Speicherung): Wir nutzen ausschließlich Enterprise-Anbieter und -Konfigurationen, bei denen keine Speicherung der Prompt-Inhalte auf deren Seite erfolgt.
• No Training (kein Training): Es ist vertraglich und technisch sichergestellt, dass keine globalen KI-Modelle mit Kundendaten trainiert werden.

Auch wenn die primären Daten innerhalb der Europäischen Union gespeichert und verarbeitet werden, kann es bei Nutzung bestimmter spezifischer Dienste (z. B. eines sicheren KI-Gateways für den Zugriff auf fortgeschrittene Modelle) zur Übermittlung eines Teils der Daten an unsere Unterauftragnehmer in Drittländern, insbesondere in die USA, kommen.

Eine Übermittlung in Drittländer ist stets durch geeignete Garantien im Sinne von Kapitel V DSGVO rechtlich abgesichert. Typischerweise handelt es sich um die Anwendung der von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCC) und die Überprüfung der Zertifizierung des Empfängers im Rahmen des EU–US Data Privacy Framework (DPF). Die detaillierte Regelung und die genaue Liste der Unterauftragnehmer aus Drittländern finden Sie in unserem Auftragsverarbeitungsvertrag (AVV/DPA).

Für Produkt- und Marketinganalysen nutzen wir die Plattform PostHog.

• Lokalisierung: Zum Schutz Ihrer Daten nutzen wir PostHog ausschließlich in der EU-Cloud-Region (Server in Frankfurt, Deutschland).
• Einwilligungsverwaltung: Die Einstellung der Analyse-Cookies liegt vollständig in Ihrer Hand. Sie können sie verwalten und Ihre Einwilligung jederzeit über den Link Cookie Settings im Footer unserer Website ändern oder widerrufen. Funktionale Cookies sind für den Betrieb der Website erforderlich und können nicht deaktiviert werden.

Sämtliche primären Kundendaten (einschließlich Lebensläufen, Kandidatenprofilen und sämtlichen Anhängen) sind physisch auf Servern innerhalb der Europäischen Union (EU) gespeichert.

Der Betrieb der Website und Anwendung kann zur Sicherstellung von Geschwindigkeit und Sicherheit verteilte Infrastruktur nutzen. Bestimmte technologische Schichten (z. B. Content Delivery Networks – CDNs) können naturgemäß vorübergehende Betriebsdaten in einem globalen Netzwerk verarbeiten. Dies erfolgt stets nur in dem Umfang, der für die schnelle Auslieferung und IT-Sicherheit des Dienstes unbedingt erforderlich ist.

Wir verkaufen Ihre Daten nicht. Wir können sie jedoch mit geprüften Dritten (Unterauftragnehmern) teilen, jedoch nur in dem für den Betrieb, die Weiterentwicklung und die Sicherheit des Dienstes unbedingt erforderlichen Umfang.

Empfänger sind insbesondere Anbieter von:

• Cloud-Hosting und Datenbankinfrastruktur,
• KI-Infrastruktur und -Modellen (unter den Bedingungen gemäß Abschnitt 4),
• Analyse- und Kommunikationstools.

Die aktuelle und genaue Liste der an der Verarbeitung von Kundendaten beteiligten Unterauftragsverarbeiter ist integraler Bestandteil des Auftragsverarbeitungsvertrags (AVV/DPA).

Wir verarbeiten und speichern Daten nur so lange, wie es erforderlich ist:

• Wenn wir Verantwortlicher sind (Kunden, Website): Wir speichern Daten für die Dauer des Vertragsverhältnisses und anschließend für den Zeitraum, der zum Schutz unserer Rechtsansprüche erforderlich ist (typischerweise während der Verjährungsfristen, 3 bis 10 Jahre), sowie zur Erfüllung gesetzlicher Pflichten (z. B. Archivierung von Buchhaltungsbelegen).
• Wenn wir Auftragsverarbeiter sind (Kundendaten in heyree): Diese Daten speichern wir ausschließlich gemäß unserem Vertrag mit dem Kunden. Nach Beendigung des Vertragsverhältnisses hat der Kunde 30 Tage Zeit, seine Daten zu exportieren; anschließend werden die Daten spätestens innerhalb weiterer 60 Tage unwiderruflich aus den Produktionssystemen gelöscht (d. h. insgesamt innerhalb von bis zu 90 Tagen nach Vertragsende), im Einklang mit der in unseren Allgemeinen Geschäftsbedingungen und im AVV/DPA festgelegten Export- und Löschfrist.

Zum Schutz der Daten setzen wir strenge und angemessene technische und organisatorische Maßnahmen ein. Zu den Standardpraktiken der heyree-Plattform gehören insbesondere:

• verschlüsselte Datenübertragung (HTTPS/TLS) und Verschlüsselung ruhender Daten (Data at rest),
• strikte Zugriffskontrolle und Identitätsprüfung,
• Protokollierung sicherheitsrelevanter Ereignisse und regelmäßige Backups,
• proaktive Incident-Response-Prozesse.

Eine detaillierte technische Übersicht über unsere Sicherheitsmaßnahmen stellen wir Firmenkunden auf Anfrage im Rahmen unserer DSGVO-Compliance-Dokumentation zur Verfügung.

Die europäische DSGVO gewährt Ihnen weitreichende Kontrolle über Ihre personenbezogenen Daten. Um maximale Transparenz zu schaffen, geben wir Ihnen einen detaillierten Überblick über Ihre Rechte.

11.1Ihre Rechte gegenüber HeyHire (wenn wir Verantwortlicher sind)

Wenn wir Ihre Daten als Verantwortlicher verarbeiten (Sie sind unser B2B-Kunde, Vertreter eines Kunden oder Website-Besucher), haben Sie jederzeit das Recht, Folgendes zu verlangen:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht zu erfahren, welche Daten wir über Sie verarbeiten, zu welchem Zweck, wie lange wir sie speichern und an wen wir sie übermitteln. Sie haben Anspruch auf eine kostenlose Kopie dieser Daten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sollten Sie feststellen, dass die von uns geführten personenbezogenen Daten unrichtig, veraltet oder unvollständig sind, haben Sie das Recht auf unverzügliche Berichtigung oder Vervollständigung.
• Recht auf Löschung / „Recht auf Vergessenwerden" (Art. 17 DSGVO): Sie können von uns die endgültige Löschung Ihrer Daten verlangen, insbesondere wenn der Verarbeitungszweck entfallen ist, Sie Ihre Einwilligung widerrufen haben oder Sie berechtigterweise Widerspruch gegen die Verarbeitung eingelegt haben.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): In bestimmten Fällen (z. B. solange wir die Richtigkeit der Daten überprüfen oder Ihren Widerspruch bearbeiten) können Sie verlangen, dass wir Ihre Daten vorübergehend nicht aktiv verarbeiten und nur speichern.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten, die wir auf Grundlage Ihrer Einwilligung oder eines Vertrags automatisiert verarbeiten, in einem strukturierten und maschinenlesbaren Format zu erhalten und gegebenenfalls einem anderen Verantwortlichen zu übermitteln.
• Widerspruchsrecht (Art. 21 DSGVO): Wenn wir Ihre Daten auf Grundlage eines berechtigten Interesses verarbeiten (was auch B2B-Direktwerbung umfasst), können Sie dieser Verarbeitung widersprechen. Im Falle von Direktwerbung stellen wir die Verarbeitung nach Eingang Ihres Widerspruchs unverzüglich ein.
• Recht auf Widerruf der Einwilligung (Art. 7 DSGVO): Beruht die Verarbeitung auf Ihrer Einwilligung (z. B. für erweiterte Analyse-Cookies), können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

Wie machen Sie diese Rechte geltend? Richten Sie Ihre Anfragen an unsere E-Mail-Adresse legal@heyree.com. Wir beantworten Ihre Anfrage ohne unangemessene Verzögerung, spätestens jedoch innerhalb von 30 Tagen nach Eingang. In komplexeren Fällen behalten wir uns das Recht vor, diese Frist um weitere zwei Monate zu verlängern, worüber wir Sie informieren werden. Die Bearbeitung des Antrags ist grundsätzlich kostenlos.

11.2Besondere Regeln für Kandidaten (wenn wir Auftragsverarbeiter sind)

Wenn Sie Stellenbewerber (Kandidat) sind und Ihre Daten innerhalb der heyree-Plattform durch unseren Kunden (z. B. einen potenziellen Arbeitgeber oder eine Personalvermittlungsagentur) verarbeitet werden, machen Sie Ihre Rechte (insbesondere das Recht auf Löschung Ihres Lebenslaufs oder auf Auskunft) stets primär direkt bei diesem Kunden geltend, der als Verantwortlicher Ihrer personenbezogenen Daten auftritt. An diesen Verantwortlichen sollte primär auch eine etwaige Beschwerde bei der Datenschutzaufsichtsbehörde gerichtet werden.

Wichtiger Hinweis: HeyHire ist in diesem Verhältnis lediglich Softwareanbieter (technologischer Auftragsverarbeiter). Aus rechtlicher Sicht sind wir nicht befugt, Recruiting-Daten ohne ausdrückliche Weisung des Arbeitgebers (Verantwortlicher) eigenmächtig zu löschen, zu ändern oder zu exportieren. Sollten wir eine Anfrage direkt von einem Kandidaten erhalten, stehen unseren Kunden Werkzeuge zur Verfügung, um Ihrer Anfrage innerhalb der Plattform unverzüglich nachzukommen. Andernfalls leiten wir Ihre Anfrage an den zuständigen Verantwortlichen weiter und stellen ihm die erforderliche technische Unterstützung bereit.

11.3Recht auf Beschwerde bei einer Aufsichtsbehörde

Wenn Sie der Auffassung sind, dass wir mit Ihren Daten nicht im Einklang mit den geltenden Rechtsvorschriften umgehen, haben Sie das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. In Deutschland können Sie sich an die jeweils zuständige Datenschutzaufsichtsbehörde des Bundeslandes wenden. In Tschechien ist dies das Amt für den Schutz personenbezogener Daten (ÚOOÚ), mit Sitz in Pplk. Sochora 27, 170 00 Prag 7 (Website: www.uoou.cz).