AVV.

1. Parteien und Einbeziehung

Diese allgemeine Vertragsfassung regelt die Auftragsverarbeitung zwischen dem im Hauptvertrag bezeichneten Kunden als Verantwortlichem und Reclyra – Ömer Salmaz, Einzelunternehmen, Philippsburger Straße 83a, 68753 Waghäusel, Deutschland, als Auftragsverarbeiter. Der Hauptvertrag bezeichnet den Kunden, die vereinbarten Leistungen und dessen berechtigte Ansprechpartner.

Die Vereinbarung wird Bestandteil des Hauptvertrags, wenn die Parteien sie unter Angabe dieser Fassung nachweisbar einbeziehen oder gesondert in Textform vereinbaren. Das bloße Veröffentlichen oder Lesen dieser Seite bewirkt keinen Vertragsschluss und keine rückwirkende Genehmigung einer Verarbeitung. Die Einbeziehung muss vor Beginn der betroffenen Auftragsverarbeitung erfolgen.

Der Datenschutzkontakt von Reclyra ist privacy@reclyra.app. Der Kunde benennt seine weisungsberechtigten Personen und seinen Datenschutzkontakt im Hauptvertrag oder teilt sie Reclyra in Textform mit. Berechtigungen innerhalb des Workspaces bestimmen zusätzlich, welche Produktaktionen die jeweiligen Nutzer ausführen dürfen.

2. Gegenstand, Dauer und Rangfolge

Gegenstand ist die Bereitstellung der vereinbarten Recruiting- und Bewerbermanagementfunktionen. Umfang und Einzelheiten ergeben sich aus dieser Vereinbarung, der Verarbeitungsbeschreibung in Abschnitt 3, den einbezogenen technischen und organisatorischen Maßnahmen und der für den Auftrag bestimmten Dienstleisterübersicht.

Die Vereinbarung gilt für die Dauer der beauftragten Verarbeitung und darüber hinaus, solange Reclyra noch Auftragsdaten oder zu löschende Kopien verarbeitet. Vertraulichkeits-, Unterstützungs-, Rückgabe- und Löschpflichten gelten bis zu ihrer Erfüllung fort.

Bei Widersprüchen geht diese Vereinbarung hinsichtlich der Auftragsverarbeitung dem Hauptvertrag vor. Zwingendes Datenschutzrecht, Betroffenenrechte und anwendbare gesetzliche Anforderungen an den Anbieterwechsel bleiben unberührt.

Eigene Verarbeitungen von Reclyra, etwa Vertragsverwaltung, Abrechnung und eigene Sicherheits- oder Rechtsnachweise, unterliegen der Datenschutzerklärung. Sie werden nicht allein durch ihre Speicherung im selben System zu einer Auftragsverarbeitung.

• Datenschutzerklärung

3. Art, Zweck und Umfang der Verarbeitung

Die Verarbeitung dient der Entgegennahme, Verwaltung und menschlichen Bearbeitung von Bewerbungen für die Stellen des Kunden. Sie erfolgt laufend während der Nutzung sowie ereignisbezogen bei Bewerbungen, Nutzeraktionen, Nachrichten, freigeschalteten Analysen, Terminen, Exporten und Löschungen. Erfasst sind nur die tatsächlich vereinbarten und nutzbaren Funktionen.

Der fachliche Auftragsumfang ist auf gewöhnliche Identifikations- und Kontaktdaten sowie die nachstehend beschriebenen, für die konkrete Stelle erforderlichen Berufs-, Recruiting- und Vorgangsdaten begrenzt. Die Kategorie Lebenslauf oder Anhang ist keine inhaltlich unbeschränkte Datenfreigabe. Für besondere Datenkategorien und Daten nach Art. 10 DSGVO gelten die zusätzlichen Voraussetzungen in Abschnitt 6.

Betroffene Personen sind Bewerber und frühere Bewerber innerhalb der zulässigen Aufbewahrung, Ansprechpartner oder Referenzpersonen in eingereichten Unterlagen, Interviewteilnehmer sowie Nutzer, Administratoren, Recruiter und weitere berechtigte Mitglieder des Kunden-Workspaces.

• Verarbeitungstätigkeiten: Entgegennahme, Speicherung, Organisation, Anzeige und Übermittlung; Strukturierung und kriterienspezifische Analyse bei freigeschalteter KI; Kommunikation und Terminverwaltung; Berichtigung, Export, Löschung und Bearbeitung berechtigter Einschränkungsweisungen.
• Identifikations- und Kontaktdaten: Namen, E-Mail-Adressen, Telefonnummern, in Unterlagen enthaltene Anschriften sowie Benutzer-, Stellen- und Organisationszuordnungen.
• Berufliche Daten: Lebenslauf, Anschreiben, ergänzende Dokumente, berufliche Stationen, Ausbildung, Qualifikationen, Fähigkeiten, Sprachen und vom Kunden angeforderte stellenbezogene Angaben.
• Recruitingdaten: Bewerbungseingang, Formularantworten, Status, interne Notizen und Erwähnungen mit Lesestatus, Nachrichten, Interviewinformationen und vom Kunden eingetragene Entscheidungen.
• Analysedaten: extrahierter Text, berufsbezogene Kriterien, strukturierte Ergebnisse, Belege, Fundstellen, Unsicherheiten sowie Modell-, Prompt- und Kriterienversionen und menschliche Kriterienkorrekturen.
• Technische Nachweise im Auftrag: erforderliche Nutzer- und Vorgangskennungen, Zeitstempel, Zugriffs-, Export- und Löschereignisse sowie auftragsbezogene Zustell- und Fehlerinformationen.

4. Dokumentierte Weisungen

Reclyra verpflichtet sich, personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten, auch hinsichtlich Drittlandübermittlungen. Eine Verarbeitung aufgrund einer Verpflichtung nach Unionsrecht oder dem Recht eines Mitgliedstaats bleibt möglich; Reclyra informiert den Kunden vorab über diese Verpflichtung, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Die vereinbarten Leistungen und Einstellungen bilden die Anfangsweisung. Weitere Weisungen können berechtigte Personen über die dafür vorgesehenen Plattformfunktionen oder in Textform an privacy@reclyra.app erteilen. Mündliche Weisungen sind zur Nachweisbarkeit in Textform zu bestätigen.

Hält Reclyra eine Weisung für einen Verstoß gegen Datenschutzrecht, weist Reclyra den Kunden unverzüglich darauf hin. Die betroffene Ausführung kann bis zur rechtlich tragfähigen Klärung ausgesetzt werden. Eine Bestätigung durch den Kunden allein macht eine rechtswidrige Weisung nicht zulässig.

Zusätzliche Leistungen außerhalb des vereinbarten Umfangs werden vorab abgestimmt. Gesetzlich geschuldete Schutz- und Unterstützungspflichten werden dadurch nicht eingeschränkt.

5. Verantwortung des Kunden

Der Kunde bestimmt und verantwortet Zwecke, Rechtsgrundlagen, Bewerberinformationen, berufsbezogene Auswahlkriterien, Rollen, Aufbewahrung und Personalentscheidungen. Er ist für erforderliche Datenschutz-Folgenabschätzungen und die Beteiligung von Arbeitnehmervertretungen in seinem Verantwortungsbereich zuständig.

Der Kunde erteilt Zugriffsrechte nur im erforderlichen Umfang und hält seine Ansprechpartner und Berechtigungen aktuell. Er informiert Reclyra unverzüglich über auftragsrelevante Datenschutzanfragen, Fehler, unberechtigte Zugriffe und kompromittierte Konten.

KI-Ergebnisse bedürfen menschlicher Prüfung. Reclyra trifft mit der beschriebenen Analyse keine automatische Einstellungs- oder Ablehnungsentscheidung. Eine abweichende Integration in weitere Systeme ist nicht durch eine pauschale Weisung zur Lebenslaufanalyse gedeckt.

6. Besondere Datenkategorien und Leistungsgrenzen

Gesundheitsangaben, Religionszugehörigkeit oder andere Daten nach Art. 9 DSGVO können ungeplant in frei eingereichten Bewerbungsunterlagen enthalten sein. Die Tatsache, dass ein Bewerber eine Datei selbst hochlädt, ersetzt weder die erforderliche Rechtsgrundlage noch die Prüfung der eingesetzten Dienstleister. Ein gewöhnliches Bewerbungsfoto ist nicht allein durch sein Vorhandensein ein biometrisches Datum zur eindeutigen Identifizierung.

Diese allgemeine Vertragsfassung erteilt keine pauschale Freigabe für besondere Datenkategorien oder Daten über strafrechtliche Verurteilungen und Straftaten. Ein entsprechender Verarbeitungsumfang setzt eine tragfähige Rechtsgrundlage, abgestimmte Schutzmaßnahmen und einen dafür zulässigen Dienstleistereinsatz voraus. Das gilt auch für zufällig enthaltene Angaben; eine vertragliche Beschränkung allein verhindert deren technischen Eingang nicht.

Reclyra muss die Zulässigkeit der von Reclyra eingesetzten Verarbeitungskette sicherstellen. Die Verantwortung hierfür wird nicht auf den Kunden verlagert. Eine Verarbeitung außerhalb des zulässigen Leistungsumfangs bedarf einer vorherigen dokumentierten Lösung; die Veröffentlichung dieser Vereinbarung ersetzt diese Klärung nicht.

7. Vertraulichkeit und Pflichten von Reclyra

Reclyra verpflichtet sich, Auftragsdaten nur im vereinbarten Umfang zu verarbeiten und nur befugten Personen zugänglich zu machen. Zur Verarbeitung befugte Personen müssen zur Vertraulichkeit verpflichtet sein oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeit gilt auch nach Ende des Auftrags.

Reclyra verpflichtet sich zur Umsetzung der nach Art. 32 DSGVO erforderlichen Maßnahmen, unter Berücksichtigung von Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung. Die veröffentlichte Maßnahmenbeschreibung benennt die tatsächlich implementierten Anwendungsfunktionen und ihre Grenzen. Sie behauptet keine darüber hinausgehenden Zertifizierungen oder betriebliche Garantien.

Reclyra stellt die gesetzlich erforderlichen Verzeichnisse und Nachweise bereit, wirkt bei rechtmäßigen Anfragen der Aufsichtsbehörden mit und benennt einen Datenschutzbeauftragten, soweit dies gesetzlich erforderlich ist.

• Technische und organisatorische Maßnahmen

8. Maßnahmen und Änderungen

Die bei Einbeziehung bezeichnete Fassung der technischen und organisatorischen Maßnahmen gehört zu dieser Vereinbarung. Reclyra darf Maßnahmen an technische Entwicklungen anpassen, wenn das vereinbarte Schutzniveau insgesamt nicht vermindert wird. Wesentliche für den Auftrag relevante Änderungen werden dem Kunden mitgeteilt.

Erfordert ein Verarbeitungszweck zusätzliche, bislang nicht dokumentierte Kontrollen, sind diese vor Beginn dieses Verarbeitungsumfangs festzulegen und umzusetzen. Weder eine verfügbare Benutzeroberfläche noch eine allgemeine Funktionsbeschreibung ersetzt diesen Nachweis.

9. Unterauftragsverarbeiter

Der Kunde erteilt mit wirksamer Einbeziehung eine allgemeine schriftliche Genehmigung für die in der einbezogenen Dienstleisterübersicht konkret benannten und für seinen Auftrag bestimmten Unterauftragsverarbeiter. Die Zuordnung zu einem Dienstleister richtet sich nach der tatsächlichen Verarbeitung. Die bloße Nennung eines Modells genehmigt keine unbestimmte Auswahl weiterer Inferenzanbieter.

Reclyra informiert den Kunden vor einer beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform an dessen hinterlegten Vertrags- oder Datenschutzkontakt. Die Information benennt Anbieter, Aufgabe, betroffene Daten, wesentliche Verarbeitungsorte und vorgesehenen Einsatzbeginn. Sie muss so rechtzeitig erfolgen, dass der Kunde eine tatsächliche Gelegenheit zum datenschutzrechtlich begründeten Widerspruch vor dem Einsatz erhält; eine bloße nachträgliche Aktualisierung der Website genügt dafür nicht.

Bei einem begründeten Widerspruch prüfen die Parteien eine datenschutzgerechte Alternative. Soweit keine solche Lösung besteht, darf die betroffene zusätzliche Verarbeitung nicht allein aufgrund der allgemeinen Genehmigung aufgenommen werden. Rechte zur Aussetzung und zur Beendigung eines wesentlich betroffenen Dienstes bleiben unberührt.

Reclyra verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten im Sinne von Art. 28 Abs. 4 DSGVO, insbesondere zu ausreichenden Garantien für geeignete technische und organisatorische Maßnahmen. Reclyra bleibt gegenüber dem Kunden für die Erfüllung dieser Pflichten verantwortlich.

• Dienstleister und Unterauftragsverarbeiter

10. Übermittlungen in Drittländer

Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums setzt eine dokumentierte Weisung und die Einhaltung der Art. 44 ff. DSGVO voraus. Je nach Empfänger und Verarbeitung sind insbesondere ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln sowie gegebenenfalls ergänzende Maßnahmen erforderlich.

Reclyra stellt dem Kunden die auf seine Verarbeitung bezogenen Informationen über Empfänger, Verarbeitungsorte und Transfergrundlagen zur Verfügung. Öffentliche Anbieterbedingungen beschreiben deren Standardangebot; sie belegen allein weder die wirksame Einbeziehung im konkreten Konto noch die Zulässigkeit eines bestimmten Datenumfangs.

Bei rechtlich zulässigen Behördenanfragen prüft Reclyra deren Reichweite, beschränkt eine Offenlegung auf den erforderlichen Umfang und informiert den Kunden, soweit dies rechtlich möglich ist.

11. Betroffenenrechte und Unterstützung

Reclyra unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte. Dies umfasst insbesondere Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Vorhandene Export- und Löschfunktionen können hierfür genutzt werden; ein technischer Export ist noch kein geprüftes Auskunftsschreiben.

Geht eine dem Kunden zuordenbare Anfrage direkt bei Reclyra ein, informiert Reclyra den Kunden unverzüglich. Eine inhaltliche Beantwortung erfolgt nur nach dessen Weisung oder aufgrund einer gesetzlichen Verpflichtung. Bei unklarer Zuordnung werden nur die dafür erforderlichen zusätzlichen Angaben angefordert.

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt Reclyra den Kunden außerdem bei seinen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutzverletzungen, Folgenabschätzungen und vorherigen Konsultationen. Die kundenspezifische rechtliche Bewertung und Freigabe verbleibt beim Kunden.

12. Datenschutzverletzungen

Wird Reclyra eine Verletzung des Schutzes personenbezogener Daten im Auftrag des Kunden bekannt, informiert Reclyra den Kunden unverzüglich. Die Meldung wird nicht bis zum Abschluss sämtlicher technischer Ermittlungen aufgeschoben.

Soweit verfügbar, enthält die erste Meldung Art und Zeitpunkt des Vorfalls, betroffene Systeme und Datenkategorien, ungefähre Anzahl betroffener Personen und Datensätze, wahrscheinliche Folgen, bereits ergriffene oder vorgeschlagene Abhilfemaßnahmen und eine Kontaktstelle. Fehlende Informationen werden ohne unnötige Verzögerung ergänzt.

Reclyra ergreift angemessene Maßnahmen zur Eindämmung, Aufklärung und Behebung und unterstützt den Kunden bei seiner Risiko- und Meldebewertung. Die Entscheidung über Behörden- und Betroffenenmeldungen für die Auftragsdaten liegt beim Kunden. Eigene gesetzliche Pflichten von Reclyra bleiben unberührt.

13. Rückgabe, Löschung und Aufbewahrung

Nach Abschluss der beauftragten Verarbeitung gibt Reclyra nach Wahl des Kunden die Auftragsdaten zurück oder löscht sie und löscht vorhandene Kopien, soweit keine unionsrechtliche oder mitgliedstaatliche Pflicht zur Speicherung besteht. Reclyra stimmt die Ausführung mit dem Kunden ab und teilt Hindernisse und erforderliche nächste Schritte mit. Gesetzlich geschuldete Rückgabe-, Wechsel- und Löschrechte werden durch diesen Abstimmungsprozess nicht eingeschränkt.

Die aktuellen Produktfunktionen ermöglichen einen strukturierten Export und die ausdrücklich bestätigte Löschung einzelner Bewerbungen. Eine eingestellte Bewerberfrist bewirkt lediglich eine Vorschau ab dokumentierter Absage, keine automatische Löschung. Eine Vorschauausnahme ist kein vollständiger Legal Hold oder allgemeiner Sperrprozess.

Zu löschende Auftragsdaten umfassen die zugehörigen Bewerbungen, privaten Dateien, Analysen, Notizen, Erwähnungen, Kommunikations- und Vorgangsdaten. Bei anderen weiterhin rechtmäßig gespeicherten Bewerbungen derselben Person muss deren getrennter Zweck berücksichtigt werden. Die Entfernung von Dateien kann über einen wiederholbaren Bereinigungsauftrag erfolgen; ein Datenbanklöschereignis allein bestätigt keine vollständige Dateilöschung.

Eine technische Sicherungskopie darf die Löschung nicht unbegrenzt aufschieben. Soweit Kopien aus technischen Gründen zeitversetzt entfernt werden, sind betroffene Systeme, Zugriffsbeschränkung, Auslauf und Umgang mit einer Wiederherstellung für den konkreten Auftrag zu dokumentieren. Diese allgemeine Fassung legt keine ungeprüfte Backup-Rotation oder automatische Workspace-Löschfrist fest.

Reclyra darf einen erforderlichen, begrenzten Nachweis über Weisung und Löschung ohne Bewerbungsinhalte aufbewahren. Heruntergeladene Dateien, bereits zugestellte E-Mails und kundenseitige Kopien liegen außerhalb der unmittelbaren technischen Rückrufmöglichkeit der Plattform; gesetzliche Unterstützungspflichten bleiben bestehen.

14. Nachweise und Überprüfung

Reclyra stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei.

Die Parteien stimmen angemessene organisatorische Bedingungen ab, die Betriebsabläufe, Vertraulichkeit, Sicherheit und Rechte anderer Kunden schützen. Geeignete Dokumente und kontrollierte Einsicht können die Prüfung unterstützen, ersetzen aber kein gesetzlich erforderliches weitergehendes Prüfungsrecht. Ein konkreter Sicherheitsvorfall oder eine Behördenanforderung kann eine kurzfristige oder zusätzliche Prüfung erfordern.

Eine Kostentragung für zusätzliche Leistungen bedarf einer gesonderten Vereinbarung und darf gesetzlich erforderliche Rechte und Unterstützung nicht vereiteln. Nicht vorhandene Zertifizierungen oder Prüfberichte werden nicht als Nachweis zugesagt.

15. Haftung, Beendigung und Schlussbestimmungen

Es gelten Art. 82 DSGVO, die sonstigen gesetzlichen Vorschriften und wirksam vereinbarte Haftungsregelungen des Hauptvertrags. Ansprüche betroffener Personen und Befugnisse der Aufsichtsbehörden werden nicht beschränkt.

Bei einem wesentlichen Datenschutzverstoß bestehen die gesetzlichen und vertraglichen Rechte zur Abhilfe, Aussetzung und gegebenenfalls außerordentlichen Beendigung. Erforderliche sofortige Schutzmaßnahmen bleiben möglich. Reclyra kann die Ausführung einer offensichtlich rechtswidrigen Weisung ablehnen.

Änderungen und Ergänzungen bedürfen mindestens der Textform, soweit nicht zwingendes Recht eine strengere Form verlangt. Der Austausch dieser Webseite ändert eine bereits vereinbarte Vertragsfassung nicht automatisch. Für unwirksame Regelungen treten die gesetzlichen Vorschriften ein. Das im Hauptvertrag vereinbarte Recht gilt, soweit zwingendes Datenschutzrecht nichts anderes bestimmt.