Rechtliches · Website und App

Auftragsverarbeitungsvertrag

Fassung vom 10. Oktober 2026

Hier kannst du den Vertrag öffentlich einsehen. Der Abschluss erfolgt in der App. Die dort gespeicherte Zustimmung und die akzeptierte Vertragsfassung bleiben deinem Konto zugeordnet.

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO für Richaard

Auftragsverarbeiter: Nikita Erochok, Einzelunternehmer, Feierabendweg 23, 44799 Bochum, Deutschland
Verantwortlicher: der jeweilige Kunde von Richaard (Unternehmen / Recruiter)
Stand: 10. Oktober 2026
Version: 2026-10-10 – Sicherheitsprüfung von Eingaben und Blind Recruiting ergänzt

Die elektronische Annahme in der App umfasst diesen Vertrag einschließlich der Anlagen A (TOMs), B (Dienstleister), C (Weisungen und Unterstützung) und D (Rückgabe und Löschung).

Präambel

Der Kunde (Verantwortlicher) nutzt den Dienst Richaard, um Bewerbungsunterlagen und Stelleninformationen zu verarbeiten. Der Anbieter (Auftragsverarbeiter) verarbeitet diese Daten ausschließlich im Auftrag und nach Weisung des Kunden. Kontodaten des Kunden selbst fallen nicht unter diesen AVV (dort ist der Anbieter eigener Verantwortlicher; siehe gemeinsame Datenschutzerklärung).

Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28, 32–36 DSGVO.

§ 1 Gegenstand, Dauer, Art und Zweck

(1) Gegenstand: Bereitstellung der Software Richaard als SaaS zur Unterstützung des Kunden bei der internen Recruiting-Auswahl, einschließlich Speicherung und Nutzung von Bewerbungs- und Stellendaten im Auftrag des Kunden.

(2) Dauer: für die Laufzeit des Nutzungsvertrags (AGB) zuzüglich der Nachlaufzeit für Löschung/Rückgabe nach § 10.

(3) Art der Verarbeitung: Erheben, Speichern, Auslesen, Organisieren, Abgleichen, Übermitteln an Unterauftragsverarbeiter, soweit für den Betrieb erforderlich, KI-gestütztes Bewerten, Anzeigen, Löschen. Keine Emotionserkennung, kein Social Scoring, keine eigene Einstellungs- oder Absageentscheidung durch den Auftragsverarbeiter.

(4) Zweck: Unterstützung des Kunden bei der internen Recruiting-Auswahl. Auftragsdaten werden weder für eigene Werbung noch zum eigenen Modelltraining genutzt. Gemini wird über Google Cloud / Vertex AI mit der konfigurierten Region EU eingesetzt. Google beschreibt für diesen Dienst, dass Kundendaten ohne vorherige Erlaubnis oder Anweisung nicht zum Training oder zur Feinabstimmung seiner Modelle verwendet werden. Eine solche Erlaubnis wird nicht erteilt; Auftragsdaten werden somit weder vom Auftragsverarbeiter noch von Google zum Modelltraining verwendet. Sicherheits- und Missbrauchsprüfungen können nach den Google-Bedingungen eine vorübergehende Verarbeitung und Speicherung einschließen; eine pauschale Zusicherung von „Zero Data Retention“ wird nicht abgegeben. Die öffentliche Gemini-Verbraucheranwendung und die Gemini Developer API sind nicht der hier vereinbarte Produktionspfad.

(5) Weisungen: Die dokumentierten Weisungen ergeben sich aus diesem AVV, den AGB, der Nutzung der Oberfläche (Uploads, Löschaktionen) und gesonderten Weisungen in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

§ 2 Kategorien betroffener Personen

• Bewerberinnen und Bewerber / Kandidatinnen und Kandidaten, deren Unterlagen der Kunde hochlädt
• ggf. in Lebensläufen genannte Dritte (Referenzen, frühere Vorgesetzte)
• Beschäftigte des Kunden, soweit sie den Dienst bedienen (nur insoweit deren Handlungen in Auftragsdaten einfließen; Accountdaten selbst außerhalb dieses AVV)

§ 3 Arten personenbezogener Daten

Je nach Inhalt der hochgeladenen Dateien insbesondere:

• Identifikations- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon)
• Bewerbungsfoto, soweit im PDF enthalten
• Berufs- und Ausbildungsdaten, Zeugnisse, Skills, Gehaltsvorstellungen
• Anschreiben, Links, Arbeitserlaubnis-/Verfügbarkeitsangaben
• vom System erzeugte Ableitungen: extrahierter Text, Profile, Embeddings, Scores, Rankings, gespeicherte Matching-Verläufe, Chat-Protokolle zum Matching
• bei eingeschaltetem Blind Recruiting zusätzlich eine pseudonymisierte Profilvariante je Lebenslauf (ohne Namen, Kontaktdaten, Foto, Alter, Herkunft und Familienstand) samt Embedding sowie Protokolleinträge über die Offenlegung einer Identität
• besondere Kategorien nach Art. 9 Abs. 1 DSGVO, falls der Kunde solche Daten hochlädt (Gesundheit, Religion, Gewerkschaft, sexuelle Orientierung, ethnische Herkunft, biometrische Daten, soweit sie zur eindeutigen Identifizierung verarbeitet werden). Der Auftragsverarbeiter fordert solche Daten nicht aktiv an. Der Kunde darf sie nur hochladen, wenn eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegt.

Ein gewöhnliches Bewerbungsfoto ist nicht allein deshalb ein biometrisches Datum zur eindeutigen Identifizierung.

Stellenausschreibungen können personenbezogene Daten enthalten, wenn sie identifizierbare Ansprechpersonen nennen.

§ 4 Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3)

Der Auftragsverarbeiter

a) verarbeitet personenbezogene Daten nur auf dokumentierte Weisung, einschließlich Übermittlungen in Drittländer, es sei denn Unions- oder Mitgliedstaatenrecht verpflichtet ihn; dann Information des Kunden, soweit das Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet;
b) stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheit unterliegen;
c) trifft alle Maßnahmen nach Art. 32 DSGVO (Anlage A – TOMs);
d) hält die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter nach § 7 ein;
e) unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Kapitel III DSGVO);
f) unterstützt bei Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, DSFA, vorherige Konsultation), soweit die Informationen beim Auftragsverarbeiter vorhanden sind;
g) löscht oder gibt nach Wahl des Kunden nach Ende der Verarbeitungstätigkeit alle Daten zurück und löscht vorhandene Kopien, sofern kein gesetzlicher Speichergrund entgegensteht;
h) stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Artikels zur Verfügung und ermöglicht Prüfungen (Audits) einschließlich Inspektionen durch den Kunden oder einen beauftragten Prüfer (§ 9).

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 Unterabs. 3 DSGVO) und darf die Ausführung bis zur Klärung aussetzen.

§ 5 Pflichten des Verantwortlichen

(1) Der Kunde ist allein für die Rechtmäßigkeit der Übermittlung an Richaard verantwortlich (Rechtsgrundlage Art. 6, ggf. Art. 9 DSGVO; Information der Betroffenen nach Art. 13/14; AGG; Betriebsverfassung).

(2) Der Kunde erteilt nur rechtmäßige Weisungen und nutzt die Löschfunktionen, sobald Daten nicht mehr erforderlich sind (Bewerbungsfristen).

(3) Der Kunde führt, soweit Art. 35 DSGVO es verlangt, eine Datenschutz-Folgenabschätzung für KI-gestütztes Recruiting durch. Der Auftragsverarbeiter leistet angemessene Unterstützung (Art. 28 Abs. 3 lit. f).

§ 6 Ort der Verarbeitung, Drittländer

(1) Cloud Run und Cloud Storage sind in Belgien konfiguriert, die Neon-Datenbank in Frankfurt und die KI-Verarbeitung mit der Region EU. Die Sicherheitsprüfung von Eingaben und die Maskierung für Blind Recruiting erfolgen über Dienste von Google Cloud in den Niederlanden (europe-west4). Cloudflare verarbeitet App-Anfragen im globalen Netzwerk. Plattformprotokolle, Support und Unterauftragsverhältnisse der Anbieter können weitere Verarbeitungsorte einschließen. Die Angaben in Anlage B beschreiben die jeweilige Funktion; eine ausschließlich europäische Verarbeitung sämtlicher Daten wird nicht zugesichert.

(2) Für Übermittlungen außerhalb des EWR müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein. Maßgeblich sind ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien, insbesondere die EU-Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen. Eine Nutzung des EU-US Data Privacy Framework setzt voraus, dass der konkrete Empfänger und die betroffene Verarbeitung von einer wirksamen Zertifizierung erfasst sind. EU-Hosting ersetzt diese Prüfung nicht.

(3) Der Auftragsverarbeiter dokumentiert die einschlägigen Verträge, Empfänger und Transfergarantien und stellt dem Kunden die erforderlichen Informationen zur Verfügung. Die allgemeine Genehmigung nach § 7 ersetzt weder diesen Nachweis noch eine erforderliche Prüfung der Drittlandübermittlung. Kann eine Verarbeitung nicht rechtmäßig durchgeführt werden, wird sie ausgesetzt; die Parteien klären eine datenschutzgerechte Alternative oder die Beendigung des betroffenen Leistungsteils.

§ 7 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4)

(1) Der Kunde erteilt die allgemeine schriftliche Genehmigung (einschließlich elektronischer Form), Unterauftragsverarbeiter einzusetzen.

(2) Die zum Vertragsbeginn eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage B.

(3) Der Auftragsverarbeiter unterrichtet den Kunden über beabsichtigte Hinzufügungen oder Ersetzungen vorab (Art. 28 Abs. 2 Satz 2), mit einer Widerspruchsfrist von 14 Tagen. Bei begründetem Widerspruch (Datenschutzrisiko) bemühen sich die Parteien um eine Lösung. Scheitert sie, darf der Kunde den betroffenen Leistungsteil oder den Vertrag kündigen.

(4) Mit jedem Unterauftragsverarbeiter werden im Wesentlichen dieselben Datenschutzpflichten vereinbart. Der Auftragsverarbeiter bleibt gegenüber dem Kunden für die Erfüllung durch den Unterauftragsverarbeiter verantwortlich (Art. 28 Abs. 4 Satz 2).

(5) Keine Genehmigung für Unterauftragsverarbeiter, die ohne Kapitel-V-Grundlage in unsichere Drittländer übermitteln.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter unterrichtet den Kunden unverzüglich, ohne schuldhaftes Zögern nach Bekanntwerden einer Verletzung nach Art. 4 Nr. 12 DSGVO, mit den nach Art. 33 Abs. 3 verfügbaren Angaben, damit der Kunde Art. 33/34 einhalten kann. Die Meldepflicht gegenüber der Aufsicht bleibt beim Verantwortlichen, soweit dieser Verantwortlicher ist.

§ 9 Nachweis und Audits

(1) Der Auftragsverarbeiter stellt auf Anfrage geeignete Nachweise bereit (z. B. aktuelle TOM-Beschreibung, Zertifikate von Subprozessoren, soweit vorhanden, Auszüge aus AV-Verträgen ohne Geschäftsgeheimnisse Dritter).

(2) Prüfungen werden grundsätzlich mit angemessener Vorankündigung und möglichst ohne Beeinträchtigung des Betriebs vereinbart. Bei Datenschutzvorfällen, konkreten Zweifeln an der Einhaltung oder behördlichen Anforderungen sind auch kurzfristige und zusätzliche Prüfungen möglich. Gesetzliche Kontrollrechte werden nicht durch eine starre Häufigkeits- oder Ankündigungsgrenze beschränkt.

(3) Der Kunde trägt eigene Kosten; Kosten des Auftragsverarbeiters bei offensichtlich unbegründeten oder exzessiven Audits kann dieser in angemessenem Umfang verlangen. Behördliche Prüfungen bleiben unberührt.

(4) Als Einzelunternehmer ohne eigenes Rechenzentrum erfolgt die Prüfung der Infrastruktur vorrangig über Nachweise der Subprozessoren (Google, Datenbankhost).

§ 10 Rückgabe und Löschung

(1) Rückgabe und Löschung richten sich nach der dokumentierten Wahl und den Weisungen des Kunden. Der Kunde kann die Lösch- und Downloadfunktionen der Anwendung nutzen (Lebensläufe lassen sich einzeln herunterladen); für vollständige Rückgabe, Löschung oder Einschränkung wendet er sich an kontakt@richaard.de. Eine fehlende Schaltfläche beschränkt seine vertraglichen Rechte nicht.

(2) Nach Ende der Verarbeitung gibt der Auftragsverarbeiter die Auftragsdaten nach Wahl des Kunden zurück und löscht die verbleibenden Kopien oder löscht die Daten ohne vorherige Rückgabe. Eine gesetzliche Speicherpflicht bleibt vorbehalten und wird dem Kunden unter Angabe des Grundes mitgeteilt. Einzelheiten einschließlich Profilen, Embeddings, Sitzungen und Sicherungskopien regelt Anlage D. Eigene wirtschaftliche Interessen begründen kein pauschales Zurückbehalten der Auftragsdaten.

(3) Während der Vertragslaufzeit löscht der Dienst Auftragsdaten nicht automatisch nach Fristen. Sie bleiben gespeichert, bis der Kunde sie in der Anwendung löscht oder eine Löschung anweist (§ 5 Abs. 2). Den Ablauf der Löschung regelt Anlage D.

§ 11 Haftung

Die Haftung der Parteien gegenüber Betroffenen richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gelten die AGB, unbeschadet zwingenden Datenschutzrechts. Bußgelder nach Art. 83 trägt jede Partei, soweit sie ihr zurechenbar sind.

§ 12 Laufzeit, Kündigung, Vorrang

(1) Der AVV beginnt mit der Annahme in der App durch den Vertragskontakt des Kunden oder mit Unterzeichnung und endet mit vollständiger Löschung nach § 10, jedoch nicht vor Ende des Hauptvertrags hinsichtlich der Verarbeitungspflicht.

(2) Bei Widerspruch zwischen AGB und AVV geht für Datenschutzfragen der Auftragsverarbeitung dieser AVV vor.

(3) Wesentliche Änderungen werden als neue Fassung dokumentiert und dem Kunden zur Vereinbarung vorgelegt. Die besondere Vorabinformation und das Widerspruchsrecht bei Unterauftragsverarbeitern nach § 7 bleiben bestehen. Eine Änderung einer Webseite allein schreibt eine frühere Zustimmung nicht um.

(4) Deutsches Recht, Gerichtsstand wie in den AGB (§ 38 ZPO analog, Bochum soweit Kaufmann).

Anlage A – Technische und organisatorische Maßnahmen (TOMs)

Diese Anlage ist Bestandteil der Fassung 2026-09-28. Die folgenden technischen Angaben beschreiben den Produktionsstand zum Datum dieser Fassung. Organisatorische Verpflichtungen werden als solche benannt. Nicht belegte Maßnahmen werden nicht als umgesetzt ausgewiesen.

A.1 Verantwortlichkeit und Zutritt

Der Auftragsverarbeiter betreibt keine eigenen Rechenzentren. Physischer Zutritt, Stromversorgung und Schutz der Rechenzentrumsinfrastruktur liegen bei den eingesetzten Hostinganbietern. Deren Nachweise sind von den Maßnahmen des Auftragsverarbeiters zu unterscheiden; Zertifizierungen eines Anbieters gelten nicht automatisch für Richaard.

Verantwortlicher Ansprechpartner für Betrieb, Weisungen und Datenschutzvorfälle ist Nikita Erochok unter kontakt@richaard.de. Vor Zugriff durch weitere Personen sind Vertraulichkeitsverpflichtung, erforderlicher Berechtigungsumfang und Entzug der Rechte bei Wegfall der Aufgabe zu dokumentieren. Eine abgeschlossene Mitarbeiterschulung oder eine externe Zertifizierung wird nicht behauptet.

A.2 Zugang und Anmeldung

• App-Zugang erfolgt mit E-Mail und Passwort über die selbst betriebene Software Better Auth; Passwörter werden als Hash (scrypt) gespeichert und müssen mindestens zehn Zeichen lang sein.
• Konten entstehen nur über eine Einladung für eine bestimmte E-Mail-Adresse oder werden vom Auftragsverarbeiter eingerichtet. Wer sich über eine Einladung registriert, muss die E-Mail-Adresse bestätigen. Vom Auftragsverarbeiter eingerichtete Konten gelten als bestätigt; das Passwort legt die Person selbst über einen einmaligen, sieben Tage gültigen Link fest. Einladungen gelten ebenfalls sieben Tage.
• Anmeldung, Registrierung und Passwort-Zurücksetzen sind durch Cloudflare Turnstile gegen automatisierte Zugriffe geschützt und in der Zahl der Versuche begrenzt.
• Sitzungen werden serverseitig geprüft. Der Sitzungscookie ist unter HTTPS abgesichert; Abmeldung beendet die aktive Sitzung. Ein Wechsel zu einem anderen Konto während einer Registrierung muss ausdrücklich erfolgen.
• Cloud-Zugänge und Dienstkonten sind von Kundenkonten getrennt. Die tatsächlich eingerichtete Mehrfaktorauthentifizierung und regelmäßige Kontrolle administrativer Berechtigungen müssen organisatorisch nachgewiesen werden; eine verpflichtende Mehrfaktorauthentifizierung für alle App-Konten ist derzeit nicht umgesetzt.

A.3 Mandanten- und Zugriffstrennung

• Kunden nutzen den Dienst als Organisation. Die handelnde Person wird aus dem serverseitig verifizierten Anmeldetoken bestimmt, die Organisation aus der in der Datenbank gespeicherten Mitgliedschaft, nicht aus Angaben des Browsers.
• Mitglieder einer Organisation sehen deren Lebensläufe, Stellen, Chats und Matching-Verläufe und können Lebensläufe und Stellen hochladen und löschen. Administratoren verwalten zusätzlich das Team und löschen Chats und Matching-Verläufe. Entfernte Mitglieder und Mitglieder einer gesperrten Organisation verlieren den Zugriff.
• Datenbankabfragen begrenzen den Zugriff auf den jeweiligen Mandanten. Für die geschützten Fachtabellen besteht zusätzlich PostgreSQL Row Level Security; der Anwendungspfad verwendet eine eingeschränkte Datenbankrolle ohne Umgehungsrecht. Schlägt der erforderliche Rollenwechsel fehl, wird die Abfrage abgebrochen.
• Die administrative Datenbankverbindung bleibt für notwendige Schema- und Auth-Verwaltung getrennt. Sie ist kein Kunden-Zugang und kein allgemeiner Ersatz für die eingeschränkte Rolle.
• Matching-Sitzungen und Ergebnisse werden dem authentifizierten Mandanten zugeordnet. Browserzustand kann diese Zuordnung nicht übersteuern. Dateien und Ergebnisse werden über geschützte Anwendungsfunktionen bereitgestellt.
• Das Backend ist durch Cloud-Run-IAM geschützt. Das Frontend authentifiziert seine Backend-Aufrufe zusätzlich mit einem Diensttoken und dem Nutzertoken. Direkter öffentlicher Backend-Zugriff ist nicht freigegeben.

A.4 Übertragung, Speicher und Geheimnisse

Browserkommunikation erfolgt über HTTPS. Der Cloudflare-App-Proxy leitet Anfragen an Cloud Run weiter und setzt für App-Antworten Cache-Control auf private/no-store. Dabei wird TLS an den beteiligten Diensten terminiert; Cloudflare kann durchgeleitete Inhalte verarbeiten. Es besteht keine Ende-zu-Ende-Verschlüsselung, die den Verarbeitungsdiensten den Zugriff auf notwendige Klartexte entzieht.

Die Produktionsverbindung zu Neon verwendet TLS. Originaldateien liegen in einem Cloud-Storage-Bucket mit gesperrtem öffentlichem Zugriff und einheitlicher Zugriffskontrolle; Zugriff haben nur die Dienstkonten der Anwendung. Die Speicherpfade enthalten keine Kandidatennamen. Der Zugriff auf Cloud-Dienste erfolgt mit Dienstkonten; Produktionsgeheimnisse werden in Google Secret Manager hinterlegt und den benötigten Diensten zugewiesen. Runtime-Dienstkonten verwenden die Cloud-Identität statt eigens erzeugter JSON-Schlüssel. Geheimnisse gehören nicht in das Quellcode-Repository.

Systemmails werden über Mailgun EU versandt. Beim SMTP-Versand der App ist TLS erforderlich, Öffnungs- und Klicktracking sind deaktiviert. Im vorgesehenen Systemmail-Flow werden keine Bewerberunterlagen oder Matching-Ergebnisse verschickt. Antworten erreichen kontakt@richaard.de über STRATO.

A.5 Eingaben, Dateiverarbeitung und Missbrauchsschutz

• Uploads prüfen Dateityp, Signatur und Größenlimits; große Inhalte werden mit begrenzten Leseabschnitten verarbeitet.
• PDF-Verarbeitung hat ein Seitenlimit, DOCX-Verarbeitung eine Grenze für entpackte Inhalte; Extraktionen sind zeitlich begrenzt.
• Downloads setzen einen serverseitig bestimmten Medientyp und verhindern MIME-Sniffing.
• Stellenimporte begrenzen Hosts und Antwortgrößen, prüfen Weiterleitungen erneut und sperren nicht öffentliche Zieladressen. Die Verbindung wird an die geprüfte öffentliche Adresse gebunden.
• Kontingente je Organisation begrenzen Lebensläufe, gleichzeitig aktive Stellen und gegebenenfalls Matchings (Credits); sie werden serverseitig durchgesetzt und lassen sich über die Anwendung nicht ändern. Ein Credit wird beim neu berechneten Ranking atomar gebucht und bei einem fehlgeschlagenen Lauf erstattet. Ein tägliches Kontingent begrenzt Chat-Anfragen je Person.
• Hochgeladene Lebensläufe, importierte oder hochgeladene Stellenanzeigen und Chat-Nachrichten werden vor der KI-Verarbeitung automatisiert auf Sicherheitsrisiken geprüft. Auffällige oder nicht prüfbare Eingaben werden nicht verarbeitet. Der Auftragsverarbeiter protokolliert dabei keine Inhalte, nur technische Kennungen und Prüfergebnisse.

Diese Maßnahmen ersetzen keinen vollständigen Schadsoftware-Scanner. Ein solcher Scanner oder eine vollständige Anonymisierung der hochgeladenen Unterlagen wird nicht als vorhandene Funktion zugesichert; die Sicherheitsprüfung von Eingaben erkennt nicht jede Manipulation.

A.6 Nachvollziehbarkeit und Änderungen

Die App protokolliert Vertragsannahmen als zusätzliche Ereignisse mit Organisation, handelnder Person, Unternehmensangaben, Zeitpunkt, Dokumentversion, SHA-256-Prüfsumme der vollständigen Dokumentdatei einschließlich Anlagen sowie IP-Adresse und Browserkennung. Eine neue Zustimmung ersetzt nicht die bisherigen Ereignisse; historische Ereignisse werden nicht geändert. Team-Änderungen, Einladungen, Löschanforderungen, Löschungen von Stellen, Chats und Matching-Verläufen sowie Aktionen des Auftragsverarbeiters (Konten, Passwort-Links, Kontingente) werden zusätzlich als Audit-Ereignisse protokolliert.

Betriebs- und Fehlerprotokolle werden in Google Cloud Logging verarbeitet. Sie können Kennungen, Dateinamen und Fehlermeldungen enthalten; eine lückenlose Protokollierung jedes einzelnen Lesezugriffs wird nicht zugesichert. Bei Diagnose und Support sind Datenzugriffe und Protokollinhalte auf das Erforderliche zu beschränken.

Quellcodeänderungen werden versioniert und vor Veröffentlichung mit automatisierten Tests geprüft. Die Prüfungen umfassen unter anderem Authentifizierung, Mandantentrennung und Vertragsversionen. Ein externer Penetrationstest oder eine Zertifizierung des Gesamtsystems ist damit nicht nachgewiesen.

A.7 Verfügbarkeit und Wiederherstellung

Die Anwendung nutzt verwaltete Cloud-Dienste und lässt sich auf einen vorherigen veröffentlichten Softwarestand zurücksetzen. Dieser Software-Rollback stellt keine gelöschten Daten wieder her. Die aktive Wiederherstellungsfunktion für gelöschte Originaldateien sowie die bekannten Protokollfristen stehen in Anlage D.

Die Datenbank bei Neon erlaubt eine Wiederherstellung auf einen Zeitpunkt innerhalb der letzten sechs Stunden. Vor größeren Umstellungen kann der Auftragsverarbeiter zusätzliche Sicherungen anlegen, vorrangig als Datenbank-Zweig bei Neon; solche Sicherungen unterliegen diesem AVV, werden zugriffsgeschützt aufbewahrt und nach Abschluss der Umstellung gelöscht. Eine regelmäßige Backup-Rotation, ein dokumentierter Wiederherstellungstest und verbindliche Wiederanlauf- bzw. Datenverlustziele werden nicht zugesichert. Kunden müssen ihre Originalunterlagen selbst vorhalten. Der Auftragsverarbeiter bleibt verpflichtet, ein dem Risiko angemessenes Sicherungs- und Wiederherstellungsverfahren festzulegen und zu überprüfen.

A.8 KI und Zweckbindung

Profilerstellung, Embeddings, Kriterien und Bewertung verwenden Gemini über Vertex AI (Region EU). Nur für den jeweiligen Verarbeitungsschritt benötigte Daten sollen übermittelt werden; gescannte oder nicht auslesbare PDF-Dateien werden dafür vollständig übermittelt. Für laufende Chats speichert Vertex AI Kontextinhalte höchstens eine Stunde zwischen; bei der Löschung eines Lebenslaufs werden betroffene Zwischenspeicher gelöscht. Der Dienst legt Kriterien vor dem Matching zur Prüfung und Bestätigung vor; ihre inhaltliche Prüfung obliegt dem Nutzer. Ergebnisse und Begründungen dienen als Entscheidungshilfe und können fehlerhaft sein; eine inhaltliche menschliche Prüfung ist erforderlich.

Es erfolgt keine eigene Einstellungs- oder Absageentscheidung durch Richaard. Emotionserkennung und biometrische Kategorisierung werden nicht eingesetzt. Der Kunde darf menschliche Prüfung nicht durch bloßes ungeprüftes Übernehmen einer Rangliste ersetzen und muss die Anforderungen des Art. 22 DSGVO prüfen.

Blind Recruiting ist eine optionale Funktion, die Team-Admins für die gesamte Organisation ein- oder ausschalten. Ist sie eingeschaltet, wird der extrahierte Text jedes Lebenslaufs über einen Dienst von Google Cloud maskiert (Namen, Kontaktdaten, Geburtsdatum, Alter, Geschlecht, Herkunft, Familienstand, Religion, Anschrift) und daraus mit Gemini eine Profilvariante ohne Identitätsmerkmale erzeugt; Suche, Bewertung, Ranglisten und Favoriten verwenden ausschließlich diese Variante. Lebensläufe, deren Variante sich nicht sicher erzeugen lässt, nehmen im Blind-Modus nicht teil. Die Identität eines Profils und der Download des Originals werden erst nach ausdrücklicher Offenlegung durch eine Nutzerin oder einen Nutzer sichtbar; jede Offenlegung wird mit Person, Organisation und Dokument protokolliert. Die Originaldateien und die Datenverwaltung bleiben unverändert verfügbar; Blind Recruiting ist eine Pseudonymisierung innerhalb des Matchings und keine Anonymisierung der hochgeladenen Unterlagen.

A.9 Nachweise der organisatorischen Maßnahmen

Der Auftragsverarbeiter dokumentiert fortlaufend und weist auf Anfrage nach: die Verträge mit Unterauftragsverarbeitern einschließlich Transfergrundlagen, die Mehrfaktorauthentifizierung und regelmäßige Prüfung administrativer Zugänge, die Vertraulichkeitsverpflichtung weiterer Personen vor deren Zugriff, den Ablauf bei Sicherheitsvorfällen (Anlage C.3) sowie Nachweise zu Löschung und Wiederherstellung. Liegt ein Nachweis noch nicht vollständig vor, teilt der Auftragsverarbeiter auf Anfrage den aktuellen Stand mit.

Anlage B – Dienstleister und Unterauftragsverarbeitung

B.1 Cloudflare – App-Proxy und Auslieferung

Anbieter: Cloudflare, Inc., USA; maßgeblich ist die im Kundenvertrag bezeichnete Cloudflare-Vertragsgesellschaft.

Aufgabe und Daten: Weiterleitung und Absicherung der Zugriffe auf app.richaard.de. Darüber laufen auch Uploads, Chat-Anfragen und Antworten der Anwendung; betroffen sein können Bewerberunterlagen, Eingaben, Matching-Ergebnisse, Cookies und Verbindungsdaten. Cloudflare ist deshalb auch für den App-Verkehr in der Unterauftragnehmerliste enthalten, nicht nur als Website- oder DNS-Dienst.

Verarbeitung: globales Cloudflare-Netzwerk; keine festgelegte EU-Jurisdiktion für diesen Proxy. App-Antworten werden vom Proxy als nicht cachebar gekennzeichnet. Das schließt notwendige Sicherheits- und Betriebsverarbeitung des Anbieters nicht aus.

Vertrags- und Transferinformationen: Cloudflare Data Processing Addendum und die dortigen Unterauftragnehmer-/Transferregelungen; tatsächliche Einbeziehung und anwendbare Garantien sind für das Kundenkonto zu dokumentieren. Cloudflare-DPA.

B.2 Google Cloud – Betrieb, Dateien und KI

Anbieter: Google Cloud EMEA Limited, Irland, nach Googles regulärer Zuordnung für eine deutsche Rechnungsadresse. Abweichende individuelle Vertragszuordnungen sind anhand des Kontovertrags zu prüfen; Google LLC und weitere Unternehmen können in der Unterauftragskette beteiligt sein.

Aufgabe und Daten: Cloud Run betreibt Frontend, Backend und den Löschdienst; Cloud Storage hält Originaldateien; Secret Manager schützt Betriebsgeheimnisse; Cloud Logging verarbeitet Betriebs- und Sicherheitsprotokolle. Gemini über Vertex AI erstellt Profile, Embeddings, Kriterien und Bewertungen aus den hierfür benötigten Bewerber-, Stellen- und Chat-Inhalten; Chat-Kontexte können dort bis zu einer Stunde zwischengespeichert werden. Weitere Google-Cloud-Dienste prüfen hochgeladene Lebensläufe, Stellenanzeigen und Chat-Nachrichten auf Sicherheitsrisiken und maskieren bei eingeschaltetem Blind Recruiting Identitätsmerkmale im extrahierten Text. Diese Dienste verarbeiten die Inhalte zum Zeitpunkt der Prüfung; die Protokollierung der geprüften Inhalte beim Anbieter ist in der Konfiguration deaktiviert.

Verarbeitung: Cloud Run und Cloud Storage in Belgien (europe-west1), KI-Konfiguration eu, Prüfung von Eingaben und Maskierung in den Niederlanden (europe-west4). Für die Protokoll-Buckets und weitere Plattform-/Supportdienste besteht keine einheitliche Zusicherung ausschließlich europäischer Verarbeitung. Cloud SQL ist im beschriebenen Produktionspfad nicht provisioniert und gehört nicht zum eingesetzten Datenbankdienst.

Vertrags- und Transferinformationen: Google Cloud Data Processing Addendum einschließlich Unterauftrags- und Transferregelungen. Die konkrete Einbeziehung ist zu dokumentieren. Für KI gelten außerdem die Einschränkungen zu Training und Missbrauchsprüfung aus § 1 Abs. 4. Google-Vertragsgesellschaft, Google-Cloud-DPA, Google zur KI-Datenverarbeitung.

B.3 Neon – Datenbank

Anbieter: Neon, LLC / Databricks, Inc., USA. Die veröffentlichten Neon-Bedingungen vom 5. August 2026 nennen Databricks, Inc. als Vertragspartner und Neon, LLC als verbundenes Unternehmen. Der für das bestehende Konto geltende Vertrag ist damit abzugleichen.

Aufgabe und Daten: PostgreSQL mit strukturierten Bewerberprofilen, Embeddings, Stellen, Kriterien, Bewertungen, Rankings, Chat-Sitzungen und zugehörigen Kennungen. Konto- und Vertragsdaten liegen technisch ebenfalls dort, unterliegen hinsichtlich eigener Zwecke aber der Datenschutzerklärung.

Verarbeitung: Datenbankregion Frankfurt (eu-central-1), Wiederherstellungsverlauf sechs Stunden. Betriebs-, Support- und weitere Unterauftragsverarbeitung kann außerhalb des EWR stattfinden. Eine pauschale EU-only-Zusage wird nicht erteilt.

Vertrags- und Transferinformationen: geltende Neon-Produktbedingungen in Verbindung mit den einbezogenen Databricks-Vertrags-/Datenschutzbedingungen und der Unterauftragnehmerliste. Kontospezifische Geltung und Nachweise sind zu dokumentieren. Neon-Vertragsbedingungen.

B.4 Weitere Systeme und ihre Abgrenzung

• Cloudflare D1: speichert Demo-Anfragen und getrennte Werbeeinwilligungen in Westeuropa; es ist nicht die Datenbank für Bewerberunterlagen. Diese eigene Kontakt- und Zugangsverwaltung ist in der Datenschutzerklärung beschrieben. Sie ist vom durch B.1 erfassten App-Proxy zu unterscheiden.
• Mailgun / Sinch Email: EU-API für Website-Mails, EU-SMTP für App-Bestätigungen und Passwort-Reset. Verarbeitet Empfänger, Inhalte der Systemmail und Zustellstatus; kein vorgesehener Versand von CVs oder Rankings. Der genaue Sinch-Email-Vertragspartner richtet sich nach dem Versandkonto. Diese eigene Kontokommunikation ist in der Datenschutzerklärung erfasst.
• STRATO GmbH: eingehende Postfächer und Domain-Dienste. Bewerberunterlagen sollen nicht per Support-Mail eingereicht werden. Soweit im Einzelfall Auftragsdaten für eine Supportleistung per Mail verarbeitet werden müssen, sind Umfang, Weisung und einschlägige Unterauftragsbedingungen vorab zu klären; die bloße Nennung erweitert keine Weisung zum CV-Versand.
• Better Auth, Nodemailer, ADK und CopilotKit: eingesetzte Softwarebibliotheken. Die selbst betriebene Nutzung begründet allein keinen separaten SaaS-Unterauftrag. Die tatsächlichen externen Verarbeitungsdienste ergeben sich aus B.1 bis B.3.
• Dittofeed: vorbereitet, in der Produktion nicht aktiviert. Google Analytics, Google Ads und Google Tag Manager: nicht Teil dieses Recruiting-Verarbeitungspfads und aktuell nicht im Anwendungscode eingebunden. Eine spätere Aktivierung erfordert eine gesonderte Prüfung; bei neuen Unteraufträgen gilt § 7.

Die Links in dieser Anlage dienen als Quellen- und Nachweisverweise. Eine spätere Änderung einer Anbieterseite ändert nicht automatisch den zwischen den Parteien vereinbarten Leistungsumfang. Neue oder ersetzte Unterauftragsverarbeiter sind nach § 7 anzukündigen; die Nennung eines Dienstes ersetzt nicht den Abschluss erforderlicher Datenschutzverträge.

Anlage C – Weisungen, Betroffenenrechte und Vorfälle

C.1 Umfang und Übermittlung von Weisungen

Zulässige Weisungen umfassen Upload und Speicherung rechtmäßig erhobener Unterlagen, Stellenimport, Profilerstellung, Kriterienbestätigung, Matching, Anzeige, Rückgabe, Berichtigung, Einschränkung und Löschung. Sie werden über die dafür vorgesehenen App-Funktionen oder durch den Vertragskontakt oder eine andere vertretungsberechtigte Person an kontakt@richaard.de erteilt. Zusätzliche Weisungen sind nachvollziehbar mit Datum, Absender, betroffenen Daten und gewünschter Maßnahme zu dokumentieren.

Weisungen zur Offenlegung an Unberechtigte, zum Umgehen der Mandantentrennung oder zur Nutzung von Auftragsdaten für fremde Zwecke werden nicht ausgeführt. Bei Zweifeln an der Berechtigung wird die anfragende Person angemessen verifiziert; bei Zweifeln an der Rechtmäßigkeit gilt § 4.

C.2 Unterstützung

Anfragen betroffener Personen zu Auftragsdaten werden dem verantwortlichen Kunden unverzüglich zugeleitet. Ohne dessen Weisung wird eine betroffene Person nicht eigenständig inhaltlich beschieden, soweit keine gesetzliche Pflicht besteht. Der Auftragsverarbeiter unterstützt bei der Suche nach betroffenen Datensätzen, ihrer Auskunft, Berichtigung, Rückgabe, Einschränkung und Löschung einschließlich abgeleiteter Profile und Ergebnisse. Der Umfang darf nicht allein auf die noch vorhandene Originaldatei begrenzt werden.

Bei Datenschutz-Folgenabschätzungen und Konsultationen werden verfügbare Informationen zur Verarbeitung, zu Schutzmaßnahmen und zu Unterauftragsverhältnissen bereitgestellt. Eine DSFA des Kunden wird nicht durch die technische Beschreibung dieser Anlage ersetzt.

C.3 Vorfallverfahren

Bei Bekanntwerden eines Vorfalls werden Umfang und betroffene Mandanten ermittelt, erforderliche Eindämmungsmaßnahmen eingeleitet und relevante Nachweise geschützt. Die Information nach § 8 nennt, soweit bekannt, Art des Vorfalls, betroffene Kategorien und ungefähre Anzahl von Personen/Datensätzen, wahrscheinliche Folgen, ergriffene bzw. geplante Maßnahmen und einen erreichbaren Ansprechpartner. Fehlende Angaben werden schrittweise ergänzt; auf eine vollständige Untersuchung wird mit der Erstinformation nicht gewartet.

Zeitpunkt, Untersuchung, Weisungen und Maßnahmen sind zu dokumentieren. Ein bereits regelmäßig geübter Incident-Prozess oder ein rund um die Uhr besetzter Support wird in dieser Fassung nicht zugesichert.

Anlage D – Rückgabe, Löschung und Wiederherstellung

D.1 Originaldateien

Originaldateien liegen in Google Cloud Storage (Belgien). Eine automatische Löschung nach Dateialter findet nicht statt; Dateien bleiben gespeichert, bis der Kunde sie löscht oder eine Löschung anweist. Gelöschte Objekte hält die Wiederherstellungsfunktion des Speichers noch sieben Tage vor; danach sind sie endgültig entfernt.

D.2 Löschen einzelner Lebensläufe

Die Löschung eines Lebenslaufs in der Anwendung sperrt ihn sofort für alle Mitglieder der Organisation. Ein Löschdienst entfernt anschließend, in der Regel innerhalb weniger Minuten, die Datei, das Profil einschließlich Embeddings und einer etwaigen pseudonymisierten Profilvariante, Bewertungen und Belege, zugehörige Rankings und Inhalte in gespeicherten Matching-Verläufen, Chat-Sitzungen mit Bezug auf den Lebenslauf sowie betroffene Zwischenspeicher bei Vertex AI. Im Matching-Verlauf bleibt an der Position des Kandidaten ein neutraler Platzhalter ohne Kandidatendaten. Ein Löschbeleg mit technischen Kennungen, ohne Inhalte, wird aufbewahrt, damit eine Wiederherstellung von Sicherungen gelöschte Daten nicht wieder sichtbar macht.

D.3 Stellen, Chats und Matching-Verläufe

Stellen können Mitglieder löschen, Chats und Matching-Verläufe Administratoren der Organisation. Abgelaufene Stellen werden nicht automatisch gelöscht. Nach dem Löschen einer Stelle können Auszüge des Stellentexts in gespeicherten Matching-Verläufen und im Ranking-Zwischenspeicher verbleiben; sie werden mit dem jeweiligen Verlauf oder im Rahmen einer vollständigen Löschung nach D.4 entfernt.

D.4 Vollständige Rückgabe und Löschung

Während der Vertragslaufzeit gibt es keine automatischen Löschfristen. Nach Vertragsende sperrt der Auftragsverarbeiter zunächst den Zugang der Organisation. Bei einer Weisung zur vollständigen Rückgabe oder Löschung werden Umfang, Rückgabeformat, Reihenfolge und Durchführung dokumentiert. Erforderliche Tätigkeiten werden administrativ ausgeführt; sie sind nicht durch das Fehlen eines automatischen Gesamtlöschlaufs ausgeschlossen. Nach Abschluss erhält der Kunde auf Wunsch eine Bestätigung mit verbleibenden gesetzlichen Speichergründen und zeitversetzt auslaufenden Sicherungen. Daten dürfen nach Wiederherstellung einer Sicherung nicht entgegen einer bereits erteilten Löschweisung erneut produktiv genutzt werden.

D.5 Protokolle und Sicherungskopien

Google-Cloud-Standardprotokolle haben derzeit eine Aufbewahrung von 30 Tagen; bestimmte gesonderte Audit-Protokolle 400 Tage. Erforderliche Nachweise zu konkreten Sicherheitsvorfällen können gesondert gesichert werden. Der Wiederherstellungsverlauf der Datenbank reicht sechs Stunden zurück; zusätzliche Sicherungen nach Anlage A.7 werden nach Abschluss der jeweiligen Umstellung gelöscht. Daten in Sicherungen werden nur zur Wiederherstellung oder aufgrund gesetzlicher Pflichten genutzt und unterliegen weiter den Schutz- und Zweckbindungspflichten dieses AVV.

Für die Protokolle von Cloudflare und dem Mail-Anbieter ist eine kontospezifische vollständige Fristenübersicht noch zu dokumentieren. Eine pauschale Gesamtfrist für alle Protokolle wird deshalb nicht zugesichert. Der Auftragsverarbeiter ermittelt verbleibende Fristen und technische Einschränkungen bei einer konkreten Löschweisung und teilt sie dem Kunden mit; unbestimmte Fristen begründen keine unbeschränkte Aufbewahrung.

D.6 Vertragsnachweise

Die Annahmenachweise dieses AVV betreffen die eigene Vertragsverwaltung des Anbieters und sind von Bewerberdaten zu trennen. Neue Versionen werden gesondert angenommen. Historische Ereignisse mit alter Version und damaliger Prüfsumme bleiben als damalige Aufzeichnung erhalten. Einzelheiten zur eigenen Datenverarbeitung stehen in der Datenschutzerklärung.

Ende des AVV einschließlich Anlagen A bis D – Fassung 2026-09-28.