Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten von Bewerbenden, die Arbeitgeber über Highway to Hire erhalten. Er gilt zwischen dem Arbeitgeber als Verantwortlichem und [Firmenname inklusive Rechtsform, Anschrift] („Highway to Hire“) als Auftragsverarbeiter (Art. 28 DSGVO). Er ist Bestandteil der AGB für Arbeitgeber und wird mit der Registrierung des Unternehmenskontos vereinbart.

1. Gegenstand und Dauer

1.1 Highway to Hire nimmt im Auftrag des Arbeitgebers Bewerbungen entgegen, die Jobsuchende über die Funktion „Bewerben mit Highway to Hire“ senden, speichert sie, stellt sie dem Arbeitgeber im Arbeitgeber-Portal zur Ansicht und zum Download bereit und benachrichtigt ihn per E-Mail über neue Bewerbungen.

1.2 Bewerbungen über einen Link zur eigenen Bewerbungsseite des Arbeitgebers sind nicht Gegenstand dieses Vertrags; dabei erhalten wir keine Bewerbungsdaten.

1.3 Der Vertrag gilt, solange das Unternehmenskonto besteht. Für einzelne Bewerbungen gilt die Löschfrist nach Ziffer 8.

2. Art der Daten und Kreis der Betroffenen

2.1 Betroffen sind Personen, die sich über Highway to Hire auf Stellen des Arbeitgebers bewerben.

2.2 Verarbeitet werden: Name, E-Mail-Adresse, Telefonnummer, Wohnort, LinkedIn-Profil, Berufsbezeichnung, Lebenslaufangaben (Berufserfahrung, Ausbildung, Skills, Sprachen), Wünsche zu Arbeitsmodell, Anstellung und Gehalt, Verfügbarkeit, Arbeitserlaubnisse, Anschreiben, Antworten auf Fragen des Arbeitgebers zur Stelle, beigefügte Unterlagen (zum Beispiel Zeugnisse), interne Notizen und Bewertungen des Arbeitgebers sowie der Bearbeitungsstatus der Bewerbung.

2.3 Bewerbende können in Freitexten und Unterlagen besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) angeben. Der Arbeitgeber berücksichtigt dies bei seiner eigenen Verarbeitung.

3. Weisungen

3.1 Wir verarbeiten die Daten nur auf dokumentierte Weisung des Arbeitgebers. Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Funktionen des Arbeitgeber-Portals (zum Beispiel Ansehen, Herunterladen, Status ändern). Weitere Weisungen erteilt der Arbeitgeber in Textform.

3.2 Halten wir eine Weisung für rechtswidrig, weisen wir den Arbeitgeber unverzüglich darauf hin.

4. Pflichten von Highway to Hire

4.1 Wir setzen nur Personen ein, die zur Vertraulichkeit verpflichtet sind.

4.2 Wir treffen die technischen und organisatorischen Maßnahmen nach Ziffer 5 (Art. 32 DSGVO).

4.3 Wir unterstützen den Arbeitgeber bei Anfragen von Bewerbenden zu ihren Rechten (Art. 12 bis 23 DSGVO) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit wir dazu beitragen können. Anfragen, die Bewerbende direkt an uns richten, leiten wir an den Arbeitgeber weiter, soweit sie ihn betreffen.

4.4 Verletzungen des Schutzes personenbezogener Daten melden wir dem Arbeitgeber unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen.

4.5 Wir verarbeiten die Daten in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. [Bitte prüfen: Gilt das für Hosting- und E-Mail-Anbieter? Falls ein Anbieter Daten in Drittländer übermittelt, hier die Rechtsgrundlage nennen.]

5. Technische und organisatorische Maßnahmen

• Verschlüsselung: Übertragung ausschließlich verschlüsselt per HTTPS (TLS), mit HSTS.
• Zugriffskontrolle: Zugang zu Bewerbungen nur für angemeldete Mitglieder des jeweiligen Unternehmenskontos; jede Anfrage wird gegen die Zugehörigkeit zum Unternehmen geprüft. Passwörter werden nur als Hash gespeichert. Der Administrationsbereich ist zusätzlich durch einen Code per E-Mail (Zwei-Faktor-Anmeldung) geschützt und nur für namentlich festgelegte Personen zugänglich.
• Speicherung von Unterlagen: Hochgeladene Unterlagen liegen in einem nicht öffentlichen Speicher und sind nur über geprüfte Download-Anfragen abrufbar.
• Missbrauchsschutz: Begrenzung von Anmelde- und Formularversuchen, Schutz vor Formularfälschung (CSRF) und Sicherheits-Header gegen Einbettung und Content-Sniffing.
• Löschung: Bewerbungen und kopierte Unterlagen werden automatisch nach 6 Monaten gelöscht (Ziffer 8).
• Verfügbarkeit und Wiederherstellung: Betrieb in Rechenzentren von [Hosting-Anbieter] in [Land/Region] mit regelmäßigen Datensicherungen [Häufigkeit und Aufbewahrungsdauer der Backups].
• Trennung: Daten verschiedener Unternehmen werden logisch getrennt verarbeitet.

Wir passen die Maßnahmen dem Stand der Technik an, ohne das vereinbarte Schutzniveau zu unterschreiten.

6. Unterauftragsverarbeiter

6.1 Der Arbeitgeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• [Hosting-Anbieter, Sitz] – Betrieb der Server und Datenbanken
• [E-Mail-Anbieter, Sitz] – Versand der Benachrichtigungen über neue Bewerbungen

6.2 Über beabsichtigte Änderungen informieren wir den Arbeitgeber vorab in Textform. Er kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Wir verpflichten Unterauftragsverarbeiter vertraglich mindestens auf das Schutzniveau dieses Vertrags.

7. Kontrollrechte

Wir stellen dem Arbeitgeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Inspektionen ermöglichen wir nach rechtzeitiger Ankündigung während der Geschäftszeiten, in der Regel höchstens einmal im Jahr und ohne Störung des Betriebs.

8. Löschung und Rückgabe

8.1 Bewerbungen einschließlich der dazu kopierten Unterlagen werden 6 Monate nach Eingang automatisch gelöscht. Bis dahin kann der Arbeitgeber sie im Portal ansehen und herunterladen.

8.2 Bei Schließung des Unternehmenskontos löschen wir alle Bewerbungen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

9. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB für Arbeitgeber.

10. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor. Änderungen bedürfen der Textform.