DSGVO-Konformität und Sicherheit
Alles, was Ihr Datenschutzbeauftragter vor der Unterschrift wissen muss
CVpass ist darauf ausgelegt, die Due-Diligence-Prüfung des Datenschutzbeauftragten (DSB) einer öffentlichen Hochschule oder einer Unternehmensberatung zu bestehen. Hosting in der EU, unterzeichenbarer DPA, Anonymisierung nach 6 Monaten, strikte Trennung nach Organisation. Die vollständige Dokumentation finden Sie unten.
Sechs konkrete Zusagen
Hosting in der Europäischen Union
Datenbank und Dateispeicher werden bei Supabase gehostet (Region Frankfurt, Deutschland). Für die primäre Speicherung liegen keine Kundendaten außerhalb der EU.
Unterzeichenbarer DPA nach Artikel 28
Auftragsverarbeitungsvertrag gemäß Artikel 28 DSGVO, beim Abschluss eines B2B-Tarifs standardmäßig akzeptiert. Eine beidseitig unterzeichnete Fassung erhalten Sie auf Anfrage.
Anonymisierung nach 6 Monaten
Hochgeladene Lebensläufe und Stellenangebote werden nach 6 Monaten ohne Aktivität gelöscht oder anonymisiert. Technische Daten 30 Tage nach der Kündigung. Standardmäßig eine strikte Richtlinie.
Trennung nach Organisation
Jede Kundenorganisation hat ihre eigene org_id. Keine gegenseitige Einsicht zwischen Organisationen. Row-Level-Security-Richtlinie auf Datenbankebene.
Ende-zu-Ende-Verschlüsselung
TLS 1.2+ bei der Übertragung, AES-256 im Ruhezustand in der Datenbank. SSL-Zertifikate werden automatisch erneuert. Verschlüsselte Backups mit 7 Tagen Aufbewahrung.
KI ohne Training mit Ihren Daten
Wir nutzen die OpenAI-API: Die übermittelten Daten werden nicht zum Training der Modelle verwendet, und OpenAI speichert sie höchstens 30 Tage (Missbrauchsüberwachung), bevor sie gelöscht werden.
Unterauftragsverarbeiter und Zwecke
Vollständige Liste der Unterauftragsverarbeiter und ihrer Zwecke. Jede Änderung wird per E-Mail mit einer Frist von 30 Tagen angekündigt.
| Unterauftragsverarbeiter | Region |
|---|---|
| Vercel Inc. | USA (DPF) |
| Supabase Inc. | Deutschland (EU) |
| Clerk Inc. | USA (DPF) |
| OpenAI, LLC | USA (DPF) |
| Stripe Inc. | USA / Irland |
| Brevo (Sendinblue) | Frankreich (EU) |
Rechte der betroffenen Personen
CVpass stellt dem Verantwortlichen die nötigen Werkzeuge bereit, um Anfragen betroffener Personen zu beantworten. Anfragen, die direkt bei CVpass eingehen, werden innerhalb von 5 Werktagen weitergeleitet.
- Recht auf Auskunft über die Daten
- Recht auf Berichtigung
- Recht auf Löschung
- Recht auf Datenübertragbarkeit
- Widerspruchsrecht
- Recht auf Einschränkung der Verarbeitung
FAQ
Die häufigsten Fragen von Datenschutzbeauftragten
Antworten auf die 5 Fragen, die uns Datenschutzbeauftragte bei einem Audit vor der Unterzeichnung als Erstes stellen.
Wo werden die Daten gespeichert? Bleiben sie in der Europäischen Union?
Die Primärdaten (Lebensläufe, Stellenangebote, Nutzungsmetadaten, Organisationen, Mitglieder) werden bei Supabase in der Region Frankfurt (Deutschland, EU) gespeichert. Keine Replikation außerhalb der EU. Die einzigen Übermittlungen in die USA betreffen die Unterauftragsverarbeiter (Vercel für das Frontend-Hosting, Clerk für die Authentifizierung, OpenAI für die KI), alle nach dem DPF (Data Privacy Framework) zertifiziert und ergänzend durch Standardvertragsklauseln (SCC) abgesichert.
Kann der DPA beidseitig unterzeichnet werden oder gilt er unverändert?
Beides ist möglich. Der DPA wird mit dem Abschluss eines B2B-Tarifs stillschweigend akzeptiert (Text unter /b2b/dpa). Organisationen, die eine beidseitige Unterschrift wünschen, schreiben an legal@cvpass.fr: Wir senden innerhalb von 48 Arbeitsstunden ein PDF zurück, das Sie je nach Ihren Vorgaben per DocuSign oder auf Papier unterzeichnen können.
Welche Anonymisierungsrichtlinie gilt nach Vertragsende?
Löschung der technischen Daten (Logs, Metadaten) innerhalb von 30 Tagen nach der Kündigung. Löschung der hochgeladenen Lebensläufe und Stellenangebote innerhalb von 90 Tagen. Automatische Anonymisierung nach 6 Monaten ohne Aktivität, auch bei laufenden Abonnements (Lebensläufe werden nicht unbegrenzt aufbewahrt). Rechnungen werden aufgrund französischer Buchführungspflichten 10 Jahre aufbewahrt.
Was macht OpenAI mit unseren Daten, wenn die KI einen Lebenslauf analysiert?
OpenAI nutzt sie nicht, um seine Modelle zu trainieren. Gemäß den Bedingungen der OpenAI-API werden die übermittelten Daten höchstens 30 Tage zur Missbrauchsüberwachung gespeichert und danach gelöscht. Dokumentiert in unserem DPA nach Artikel 28.
Welche Meldefrist gilt bei einer Datenschutzverletzung?
Höchstens 48 Stunden nach Kenntnisnahme, per E-Mail an die benannten Kontaktpersonen der Kundenorganisation, gemäß Artikel 33 DSGVO. Der DSB von CVpass (dpo@cvpass.fr) koordiniert das Verfahren, einschließlich der Meldung an die CNIL (die französische Datenschutzbehörde), falls erforderlich.
Eine konkrete Frage zur DSGVO?
Unser Datenschutzbeauftragter antwortet innerhalb von 48 Arbeitsstunden. Ein jährliches Dokumentenaudit steht Kunden mit Vertrag zur Verfügung.