Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch RecruitHub (Auftragsverarbeiter) im Auftrag des Nutzers (Verantwortlicher). Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung

RecruitHub verarbeitet personenbezogene Daten zu folgenden Zwecken:

• Speicherung und Verwaltung von Kontakt- und Kommunikationsdaten
• Bündelung und Bereitstellung von Nachrichten aus angebundenen Kanälen
• KI-gestützte Zusammenfassungen und Matching-Hilfen
• Transkription und Zusammenfassung von Gesprächsaufzeichnungen (nur mit Einwilligung)
• Versand von Nachrichten im Auftrag des Verantwortlichen

3. Art der personenbezogenen Daten

• Stammdaten (Name, Position, Unternehmen, Standort)
• Kontaktdaten (E-Mail, Telefon, Profil-URLs)
• Kommunikationsinhalte (Nachrichten, Anhänge, Transkripte)
• Beruflicher Werdegang aus öffentlichen Profilen

4. Kategorien betroffener Personen

Kontakte, Kandidaten und Geschäftspartner des Verantwortlichen.

5. Technische und organisatorische Maßnahmen

• Verschlüsselung der Datenübertragung (TLS 1.2 oder höher)
• Verschlüsselung der Daten im Ruhezustand (AES-256)
• Strenges Berechtigungskonzept mit Mehr-Mandanten-Isolierung (Row-Level Security)
• Protokollierung aller KI-Aufrufe (Audit-Log)
• Regelmäßige Backups mit definierter Aufbewahrungsfrist
• Zugangskontrolle zu Produktivsystemen via MFA

6. Unterauftragsverarbeiter

RecruitHub setzt folgende Unterauftragsverarbeiter ein:

• Supabase (Datenbank- und Auth-Hosting) — EU-Region
• Vercel (Application Hosting) — EU-Region
• Anthropic (KI-Modelle) — Daten werden nicht zum Modelltraining genutzt
• Unipile (Kanal-Integration) — EU-Region
• Deepgram (Spracherkennung — nur bei aktivierter Aufnahme-Funktion)
• Resend (Transaktions-E-Mails)

7. Rechte der betroffenen Personen

RecruitHub unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 12-23 DSGVO). Die Plattform stellt Funktionen zur Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und zum Widerspruch gegen die Verarbeitung (Art. 21 DSGVO) bereit.

8. Meldung von Datenschutzverletzungen

RecruitHub informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden, über jede Datenschutzverletzung, die personenbezogene Daten des Verantwortlichen betrifft.

9. Löschung und Rückgabe

Nach Beendigung des Auftrags werden alle personenbezogenen Daten innerhalb von 90 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Vor der Löschung kann der Verantwortliche einen vollständigen Datenexport anfordern.