Datenschutz.

1. Verantwortlicher und Kontakt

Verantwortlich für die in dieser Erklärung beschriebenen eigenen Verarbeitungen ist:

Weitere Anbieterangaben finden Sie im Impressum.

2. Geltungsbereich und Datenschutzrollen

Diese Erklärung gilt für reclyra.app, die Weiterleitung von reclyra.de, die zugehörigen Unternehmens-Workspaces sowie Kunden- und Nutzerkonten, soweit Reclyra selbst über Zweck und Mittel der Verarbeitung entscheidet. Sie betrifft insbesondere Websitebesuche, Kontaktanfragen, Registrierung, Vertrags- und Abrechnungsprozesse, Support und den sicheren Plattformbetrieb.

Bei Bewerbungen ist grundsätzlich das in der Stellenanzeige oder auf der Bewerbungsseite bezeichnete Unternehmen verantwortlich. Es bestimmt den Recruitingzweck, die Rechtsgrundlage, Auswahlkriterien, berechtigte Personen, Kommunikation, Aufbewahrung und Personalentscheidungen. Reclyra stellt hierfür die technische Plattform bereit und verarbeitet die Bewerbungsdaten im Auftrag des Unternehmens. Maßgeblich sind ergänzend dessen eigene Datenschutzhinweise.

Bitte richten Sie Anfragen zu einer konkreten Bewerbung vorrangig an das betreffende Unternehmen. Geht eine solche Anfrage bei Reclyra ein, klären wir die Zuständigkeit und unterstützen die Bearbeitung im Rahmen unseres Auftrags.

3. Rechtsgrundlagen

Die Rechtsgrundlage hängt vom jeweiligen Zweck und unserer Rolle ab. Für eigene Verarbeitungen gelten insbesondere:

• Art. 6 Abs. 1 Buchst. b DSGVO: Anbahnung oder Durchführung eines Vertrags, wenn Sie selbst Vertragspartei sind.
• Art. 6 Abs. 1 Buchst. c DSGVO: Erfüllung gesetzlicher Pflichten, insbesondere bei Vertrags- und Abrechnungsunterlagen.
• Art. 6 Abs. 1 Buchst. f DSGVO: berechtigte Interessen an sicherem und funktionsfähigem Betrieb, Missbrauchsschutz, Geschäftskommunikation mit Ansprechpartnern unserer Kunden, Fehlerbehebung und Rechtsverteidigung.
• Art. 6 Abs. 1 Buchst. a DSGVO: eine Einwilligung, soweit eine konkrete Verarbeitung darauf gestützt wird. Eine Einwilligung ist mit Wirkung für die Zukunft widerrufbar.

Für Bewerbungsdaten legt das verantwortliche Unternehmen die Rechtsgrundlage fest. Art. 28 DSGVO regelt die Auftragsverarbeitung; er ersetzt keine Rechtsgrundlage für das Bewerbungsverfahren.

4. Websiteaufruf und technische Daten

Bei einem Aufruf werden die zur Übertragung und zum Betrieb erforderlichen technischen Daten verarbeitet. Dazu gehören insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, HTTP-Status, Browser- und Geräteinformationen, übertragene Datenmengen sowie gegebenenfalls die vom Browser übermittelte Referrer-Adresse und technische Fehlerdaten.

Die Verarbeitung dient der Auslieferung, Stabilität, Fehleranalyse und Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse besteht im sicheren und verlässlichen Betrieb der Website und Plattform. Hosting und serverseitige Anwendungsfunktionen werden über Vercel bereitgestellt; dabei werden auch an die Anwendung übermittelte Formulare und Bewerbungsinhalte verarbeitet.

Technische Protokolldaten werden nach ihrem Betriebs- und Sicherheitszweck beurteilt. Maßgeblich sind die Dauer einer Fehleranalyse, die Erkennung und Untersuchung konkreten Missbrauchs sowie erforderliche Nachweise bei einem Sicherheitsvorfall. Ein konkreter Vorfall kann eine längere Aufbewahrung der dafür erforderlichen Daten begründen.

5. Kontakt, Vertrieb und Support

Bei einer Kontakt- oder Supportanfrage verarbeiten wir die übermittelten Angaben, insbesondere Namen, geschäftliche Kontaktdaten, Unternehmen, Inhalt und Zeitpunkt der Nachricht sowie den für die Bearbeitung erforderlichen Verlauf. Bei technischen Fragen können Workspaceangaben, Fehlerbeschreibungen und von Ihnen bereitgestellte Screenshots hinzukommen.

Wenn Sie das Kontaktformular absenden, übermitteln Sie das ausgewählte Thema, Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht direkt an Reclyra. Wir speichern die Anfrage in unserem internen Posteingang und ordnen sie dem zuständigen Kontaktbereich zu. Ein eigenes E-Mail-Programm ist dafür nicht erforderlich. Die angegebene Antwortadresse wird auf ihr Format geprüft; dies bestätigt nicht, wem das Postfach gehört.

Das Formular zur Demo-Anfrage überträgt Name, Unternehmen, geschäftliche E-Mail-Adresse, optional Telefonnummer, Unternehmensgröße, ausgewählte Themen und Ihre Nachricht an uns. Auch diese Angaben werden als Anfrage in unserem internen Vertriebsposteingang gespeichert. Zum Schutz vor Missbrauch begrenzen wir Formularanfragen mithilfe technischer Zugriffszähler und eines Hashwerts der E-Mail-Adresse.

Für unsere geschäftlichen E-Mail-Postfächer verwenden wir IONOS. Nachrichten an unsere Vertriebs-, Support-, allgemeinen, Datenschutz-, Abrechnungs- und Sicherheitsadressen werden zusätzlich über Resend empfangen und in den internen Posteingang übernommen. Gespeichert werden insbesondere Absender, Betreff, Klartext, Empfangszeit, technische Nachrichtenkennungen, Prüfstatus und Anzahl der Anhänge. Wenn der Anhangsimport aktiviert ist, werden PDF-, DOC-, DOCX-, JPG- und PNG-Dateien zusätzlich im privaten Dateispeicher bei Supabase abgelegt: höchstens fünf Dateien pro Nachricht, je 10 MiB und insgesamt 25 MiB. Eine zusätzliche globale Speichergrenze begrenzt den Import. Vor einem Download werden sie durch ClamAV in einer Vercel-Sandbox auf Schadsoftware geprüft; bis zur Freigabe bleiben sie gesperrt. Nicht importierte Anhänge und die vollständige Originalnachricht können weiterhin bei IONOS und Resend vorliegen. Das persönliche Postfach oemer@reclyra.app ist von dieser automatischen Weiterleitung ausgenommen.

Berechtigte Plattformadministratoren bearbeiten diese Gespräche, ergänzen interne Notizen und versenden geprüfte Antworten über Resend an die zugeordnete Kontaktadresse. Antworttext, Versandstatus und Gesprächsverlauf werden in der Anwendung gespeichert. Für Hosting und Datenbank nutzen wir Vercel und Supabase; Einzelheiten zu Dienstleistern und Drittlandverarbeitung stehen in den nachfolgenden Abschnitten.

Auf ausdrücklichen Aufruf durch einen Plattformadministrator kann ein KI-Assistent einen Antwortentwurf oder eine Zusammenfassung erstellen. Dafür werden begrenzte Ausschnitte des externen Nachrichtenverlaufs sowie die Arbeitsanweisung über Vercel AI Gateway an Amazon Bedrock übermittelt. Die technische Richtlinie verwendet das von Anthropic entwickelte Modell Claude Haiku 4.5 mit einer EU-Inferenzregion; ihre Grenzen erläutert Abschnitt 14. Interne Notizen und Anhänge werden nicht einbezogen; Nachrichtentexte können dennoch personenbezogene Daten enthalten und werden nicht vollständig anonymisiert. Die Gateway-Anfrage wird mit den Vorgaben „keine Datenspeicherung“ und „kein Prompttraining“ für die Inferenz konfiguriert. Dies ersetzt nicht die nachfolgend beschriebenen Speicherzyklen der Anwendung und des E-Mail-Dienstes. Ein Vorschlag wird nicht automatisch gespeichert oder versendet. Die bearbeitende Person übernimmt und prüft ihn und löst den Versand beziehungsweise das Speichern als Notiz ausdrücklich aus. Die Verantwortung für Prüfung und Versand bleibt bei der bearbeitenden Person.

Die Bearbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO, wenn Sie selbst einen Vertrag anbahnen oder durchführen. Bei Ansprechpartnern eines Unternehmens und sonstigen Anfragen gilt Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse ist die Bearbeitung des Anliegens, Geschäftskommunikation und Unterstützung unserer Kunden.

Für die Aufbewahrung sind der Abschluss der Anfrage, offene Rückfragen, die zugehörige Geschäftsbeziehung sowie erforderliche Vertrags- oder Rechtsnachweise maßgeblich. Der Gesprächsstatus „geschlossen“ löscht keine Daten. Es gibt keine pauschale automatische Löschung der Geschäftsnachrichten nach einer festen Zahl von Tagen; erforderliche Löschungen werden durch den Betreiber unter Berücksichtigung dieser Zwecke und Pflichten bearbeitet. Plattformadministratoren können abgeschlossene oder als Spam markierte Gespräche nach einer aktuellen Vorschau und ausdrücklicher Bestätigung löschen. Dabei werden das Gespräch, Nachrichten und interne Notizen in Reclyra entfernt. Importierte Dateien werden zur Löschung vorgemerkt; laufende Upload- oder Sicherheitsprüfungen müssen dafür zunächst auslaufen. Minimale technische Zustellkennungen gegen erneuten Import und ein inhaltsfreier Löschvermerk bleiben erhalten. Kopien bei IONOS, Resend, Empfängern und in Backups sind davon nicht automatisch erfasst und müssen gesondert berücksichtigt werden. Bitte senden Sie über allgemeine Supportkanäle keine vollständigen Bewerbungsunterlagen, Zugangsdaten oder besonderen Kategorien personenbezogener Daten, sofern dies nicht erforderlich und zuvor abgestimmt ist.

6. Konto, Workspace und Teamverwaltung

Zur Registrierung und Nutzung verarbeiten wir Namen, E-Mail-Adresse, Kontokennung und Authentifizierungsdaten. Hinzu kommen Organisationszugehörigkeit, Einladungen, Rollen, Stellenzuordnungen, Kontostatus, Einstellungen, Sitzungsdaten und ausgelöste fachliche Aktionen. Angaben stammen von Ihnen oder, etwa bei einer Einladung und Rechtevergabe, von berechtigten Personen Ihres Unternehmens.

Diese Verarbeitung ermöglicht Anmeldung, Kontoverwaltung, Rollenprüfung, Workspacezuordnung und die Bereitstellung des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO bei eigener Vertragsbeziehung und sonst Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse besteht in der Vertragserfüllung gegenüber dem Kundenunternehmen und einem sicheren Nutzerbetrieb.

Die Dauer richtet sich nach der Nutzung und Berechtigung des Kontos sowie danach, ob zugehörige Vertrags-, Sicherheits- oder Vorgangsnachweise noch erforderlich sind. Das Ende einer Mitgliedschaft oder eines Piloten bewirkt nicht automatisch die Löschung sämtlicher Kontodaten. Die Gültigkeit einer Anmeldesitzung ist zeitlich begrenzt und kann bei fortgesetzter Nutzung erneuert werden; Einzelheiten erläutern die Cookie- und Speicherhinweise.

6a. Freiwilliges Bewerberkonto

Du kannst einen persönlichen Reclyra-Zugang erstellen und ein kostenloses Bewerberprofil aktivieren. Für dieses eigene Profil und die von dir gewählten Bewerbungszuordnungen ist Reclyra verantwortlich. Eine Bewerbung ist auch ohne Bewerberkonto möglich. Umfang und Nutzung beschreibt der kostenlose Leistungsrahmen für das Bewerberkonto.

Wir verarbeiten deine Kontokennung, bestätigte E-Mail-Adresse, freiwillige Profilangaben (Vorname, Nachname, Telefonnummer, Ort und Sprache), freiwillig hochgeladene Lebensläufe und ein Profilfoto, Dateiname, Dateityp, Größe, Prüfstatus und technische Nachweise zur Integritäts- und Schadsoftwareprüfung, die von dir bestätigten Zuordnungen und deren Zeitpunkte sowie die Fassung der angezeigten Hinweise, den Aktivierungszeitpunkt und die letzte Nutzung des Bewerberbereichs. Die Anmeldung verwendet die oben beschriebenen Kontodaten. Eine Zuordnung setzt einen gültigen persönlichen Bewerbungslink und ein Konto mit derselben bestätigten E-Mail-Adresse voraus. Wir fassen Bewerbungen nicht allein aufgrund gleicher E-Mail-Adressen zusammen.

Der Bereich zeigt die von dir verknüpften Bewerbungen und die dafür freigegebenen Angaben des jeweiligen Unternehmens, etwa Unternehmen, Stelle, Eingang und mitgeteilten Stand. Interne Bewertungen und Notizen werden nicht angezeigt. Dein Profil wird durch die Zuordnung nicht an die Unternehmen übermittelt; Profiländerungen ändern keine bereits eingereichte Bewerbung. Andere Unternehmen erhalten keinen Zugriff auf deine Übersicht. Für die Bewerbungsdaten bleibt das jeweilige Unternehmen verantwortlich. Die Zuordnung verlängert weder dessen Aufbewahrung noch den auf 180 Tage ab Bewerbungseingang begrenzten persönlichen Bewerbungszugang.

Wir verarbeiten die für den ausdrücklich gewünschten Bewerberbereich erforderlichen Daten zur Erfüllung des kostenlosen Nutzungsverhältnisses nach Art. 6 Abs. 1 Buchst. b DSGVO. Der Schutz vor unberechtigten Zuordnungen und Missbrauch dient unserem berechtigten Interesse an einem sicheren Dienst nach Art. 6 Abs. 1 Buchst. f DSGVO. Die Aktivierung ist keine Talentpool- oder Werbeeinwilligung. Die in dieser Erklärung beschriebenen Dienstleister für Hosting, Speicherung, Authentifizierung und Kontonachrichten werden entsprechend ihrer Aufgabe eingesetzt. Private Lebensläufe werden in Supabase gespeichert und durch den bestehenden ClamAV-Prüfdienst in einer Vercel-Sandbox auf Schadsoftware geprüft. Sie werden nicht zur KI-Analyse oder an Unternehmen weitergegeben. Das freiwillige Profilfoto wird serverseitig verkleinert und ohne Bildmetadaten gespeichert; das Original wird verworfen. Es erfolgt keine Gesichtserkennung oder biometrische Auswertung.

Du kannst einzelne Zuordnungen entfernen oder dein Bewerberprofil mit allen Zuordnungen, privaten Lebensläufen und dem Profilfoto löschen. Nach 365 Tagen ohne Nutzung des Bewerberbereichs wird das Profil gesperrt und zusammen mit den Zuordnungen und privaten Dateien bei der regelmäßigen Bereinigung gelöscht. Beim Löschen wird der Zugriff sofort gesperrt; die Speicherung wird anschließend zuverlässig bereinigt. Minimale technische Löschmarker werden bis zur abschließenden Nachprüfung, regulär 30 Tage nach bestätigter Dateilöschung, aufbewahrt. Bei einer fehlgeschlagenen Löschung bleiben sie für erneute Löschversuche bestehen. Firmenbewerbungen werden dadurch weder zurückgezogen noch gelöscht. Für sie gelten die Zwecke und Löschregeln des jeweiligen Unternehmens. Eine gelöschte Bewerbung oder ein geschlossener Workspace kann über die Zuordnung nicht weiter abgerufen werden.

Das Entfernen des Profils löscht nicht den zugrunde liegenden Reclyra-Zugang, der auch für andere Rollen verwendet werden kann. Für dessen vollständige Löschung und Fragen zu noch erforderlichen Sicherheits- oder Rechtsnachweisen wende dich an privacy@reclyra.app. Für Sicherungskopien und Dienstleisterdaten gelten die getrennten Speicherzyklen dieser Erklärung. Dein Profilexport enthält die Profildaten, Zuordnungen und eine Übersicht deiner privaten Dateien. Freigegebene Lebensläufe kannst du separat herunterladen. Der Export ist keine vollständige Auskunft über sämtliche Daten eines Unternehmens.

7. Vertrag, Tarif und Abrechnung

Für Angebote, Verträge und Abrechnung verarbeiten wir Unternehmens- und Rechnungsdaten, Ansprechpartner, Tarif, Laufzeit, Leistungsumfang, Kunden- und Abonnementkennungen, Zahlungsstatus sowie erforderliche Rechnungs- und Transaktionsnachweise. Für Zahlungen und Abonnements verwenden wir Stripe. Es werden keine Bewerbungsunterlagen zu Zahlungszwecken an Stripe übermittelt.

Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO bei eigener Vertragsbeziehung, Art. 6 Abs. 1 Buchst. c DSGVO für gesetzliche Pflichten sowie Art. 6 Abs. 1 Buchst. f DSGVO für Unternehmenskommunikation, Forderungsmanagement, Missbrauchsprävention und Rechtsverteidigung. Stripe verarbeitet Daten abhängig vom Produkt und Zweck auch in eigener Verantwortlichkeit, etwa zur Erfüllung eigener gesetzlicher Pflichten.

Die Aufbewahrung richtet sich nach der Vertragsabwicklung, den für die jeweilige Unterlage geltenden gesetzlichen Aufbewahrungspflichten und notwendigen Nachweisen für konkrete Rechtsansprüche. Diese Zwecke sind von der Aufbewahrung von Bewerberdaten zu unterscheiden.

8. Plattformnachrichten und E-Mail-Versand

Reclyra versendet funktionsbezogene Nachrichten, insbesondere zur E-Mail-Bestätigung und Passwortwiederherstellung sowie vom Kunden ausgelöste Bewerber- und Interviewkommunikation. Für den technischen Versand wird Resend verwendet. Dabei werden Absender und Empfänger, Betreff und Nachrichteninhalt sowie Versandkennung, Zeitstempel und Zustellinformationen verarbeitet.

Wenn der Antwortimport freigeschaltet ist, können Antworten auf Bewerbernachrichten über eine geschützte Antwortadresse bei Resend eingehen. Nach Prüfung von Signatur, Absender und E-Mail-Authentifizierung werden Klartext, Betreff, Eingangszeit und Anzahl der Anhänge der Bewerbung zugeordnet. Anhänge werden nicht in die Bewerberakte übernommen. Inhalte solcher Antworten lösen keine KI-Analyse oder automatische Personalentscheidung aus.

Eigene Konto- und Servicenachrichten beruhen auf Art. 6 Abs. 1 Buchst. b oder f DSGVO entsprechend der jeweiligen Vertragsbeziehung. Bewerberkommunikation erfolgt im Auftrag des verantwortlichen Unternehmens. Interne Erwähnungen in Bewerbernotizen erzeugen dagegen Hinweise innerhalb von Reclyra; sie versenden keine E-Mail.

Für die Aufbewahrung von Kommunikationsdaten sind die Zustellung, die Klärung von Versandfehlern, der bearbeitete Vorgang und erforderliche Nachweise maßgeblich. Nachrichten im Workspace und beim Versanddienstleister haben getrennte Speicherzyklen. Bereits zugestellte Nachrichten können durch eine Löschung in Reclyra nicht aus den Postfächern der Empfänger entfernt werden.

Resend nennt für den eingesetzten Pro-Tarif eine Aufbewahrung von E-Mail- und Logdaten von 30 Tagen sowie sieben Tage für Backups. Eine vorzeitige Löschung einzelner Nachrichten muss gesondert beim Dienstleister veranlasst werden. Dies gilt auch für empfangene Inhalte und Anhänge, die Reclyra selbst nicht importiert. Einzelheiten: Resend-Datenschutzinformationen.

9. Sicherheit und Protokollierung

Zum Missbrauchsschutz verarbeitet Reclyra technische Zugriffszähler, Zeitstempel und je nach Anfrage IP-bezogene oder abgeleitete Kennungen. Fachliche Protokolle dokumentieren unter anderem Einladungen, Änderungen von Stellen und Auswahlkriterien, Bewerbungsstatus, KI-Auswertungen, menschliche Korrekturen, Nachrichten, Exporte, Downloads und Löschvorgänge. Dabei werden die betreffende Aktion, Benutzer- oder Systembezug, Zeitpunkt und erforderliche Zuordnungen erfasst.

Soweit Reclyra diese Daten für den eigenen sicheren Betrieb, Fehlerbehebung und Rechtsverteidigung verarbeitet, ist Rechtsgrundlage Art. 6 Abs. 1 Buchst. f DSGVO. Fachliche Protokollierung im Bewerbungsverfahren gehört zur Verarbeitung im Auftrag des Kunden.

Für erkannte technische Zugriffszähler ist eine begrenzte Bereinigung nach mehr als sieben Tagen vorgesehen. Ein Rückstand wird in weiteren Durchläufen abgearbeitet; sieben Tage sind deshalb keine garantierte maximale Speicherdauer. Für andere Nachweise sind der zugehörige Vorgang, ein konkreter Sicherheitsfall und die Erforderlichkeit zur Klärung von Rechtsansprüchen maßgeblich. Weitere Informationen enthält unsere Sicherheitsseite.

10. Bewerbungsdaten und Aufbewahrung

Im Kundenauftrag werden insbesondere Kontaktdaten, Stellenzuordnung, Lebenslauf, berufliche Angaben, vom Bewerber nachgereichte Informationen und Dokumente, interne Notizen, Erwähnungen und deren Lesestatus, Kommunikation, Interviewinformationen und Bearbeitungsverlauf verarbeitet. Bewerbungen enthalten außerdem den Verweis und Versionsstand der angezeigten Datenschutzhinweise sowie den Zeitpunkt ihrer Kenntnisnahme. Diese Kenntnisnahme ist keine Talentpool-Einwilligung.

Für einen Talentpool kann das Unternehmen eine gesonderte, freiwillige Einwilligung anfragen. Erst die ausdrückliche Zustimmung der betroffenen Person verlängert die Aufbewahrung für diesen Zweck um 180 Tage ab Zustimmung. Der persönliche Entscheidungslink ermöglicht auch den Widerruf. Nach Ablauf oder Widerruf entfällt diese zusätzliche Aufbewahrung; die regulären Löschregeln und unabhängig dokumentierten Aufbewahrungsgründe des Unternehmens bleiben maßgeblich.

Das Unternehmen legt die für seinen Zweck erforderliche Aufbewahrung fest. In Reclyra ist standardmäßig keine Frist gesetzt. Berechtigte Workspace-Verantwortliche können 90, 180 oder 365 Tage sowie eine eigene Frist von 1 bis 3650 Tagen einstellen. Die Frist startet mit dem dokumentierten Wechsel in den Status abgelehnt und erzeugt eine Löschvorschau. Sie bewirkt keine automatische Löschung. Eine Ausnahme von dieser Vorschau ist keine allgemeine rechtliche Aufbewahrungs- oder Verarbeitungssperre.

Die Löschung einer einzelnen Bewerbung setzt eine aktuelle Vorschau und ausdrückliche Bestätigung voraus. Zugehörige Daten und Notizen werden entfernt; Dateien werden anschließend durch einen bei Fehlern wiederholbaren Bereinigungsauftrag gelöscht. Andere Bewerbungen derselben Person bleiben erhalten. Für bereits ausgegebene Dateien, versandte Nachrichten, externe Kalenderereignisse und Sicherungskopien gelten getrennte Lebenszyklen. Mit der Produktlöschung wird keine sofortige Entfernung aus allen externen Kopien zugesagt.

11. KI-gestützte Analyse

Die KI-Funktion unterstützt die Strukturierung von Lebensläufen und den Abgleich mit berufsbezogenen Kriterien des Unternehmens. Sie kann berufliche Angaben, Kriterienergebnisse, Belege, Fundstellen und Unsicherheiten ausgeben. Die Ergebnisse können unvollständig oder falsch sein und erfordern menschliche Prüfung.

Für diese Funktion ist das Modell Claude Haiku 4.5 von Anthropic über Vercel AI Gateway konfiguriert. Bei einer freigeschalteten Analyse wird der aus dem Dokument extrahierte Text zusammen mit den Auswahlkriterien über das Gateway an Amazon Bedrock für die Modellausführung in einer EU-Inferenzregion übermittelt. Diese technische Vorgabe betrifft neue Anfragen und bedeutet keine ausschließlich europäische Verarbeitung der gesamten Verarbeitungskette; Einzelheiten stehen in Abschnitt 14. Die Anwendung entfernt dabei bestimmte erkannte Kontaktangaben und übergebene Personenangaben. Dies ist keine vollständige Anonymisierung; der verbleibende Text kann weiterhin personenbezogene Angaben enthalten.

Ergebnisse sowie Modell-, Prompt- und Kriterienversionen werden für die Nachvollziehbarkeit gespeichert. Reclyra verwendet strukturierte Ausgaben und Belege und speichert keine internen Modellgedankengänge. Die Verarbeitung erfolgt im Kundenauftrag; die Rechtsgrundlage und Information der Bewerber liegen beim verantwortlichen Unternehmen. Weitere Einzelheiten enthält der KI-Transparenzhinweis.

Reclyra trifft keine automatische Einstellungs- oder Ablehnungsentscheidung. Die endgültige Entscheidung bleibt beim Unternehmen. Auch gegenüber Websitebesuchern und eigenen SaaS-Nutzern treffen wir keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.

12. Optionale Kalenderverbindungen

Soweit die Funktion verfügbar ist, können berechtigte Nutzer eine Google- oder Microsoft-Verbindung für Kalender und Interviewtermine aktiv herstellen. Ohne diese Verbindung nutzt Reclyra diese Integration nicht für den betreffenden Nutzer.

Bei aktiver Verbindung werden die für die Funktion benötigten Kontokennungen, E-Mail-Adressen, Kalender- und Termindaten, Teilnehmer, Zeitpunkte, Zeitzonen, Meetinglinks sowie Zugriffsberechtigungen und Synchronisationsinformationen verarbeitet. Die Verbindung kann in den vorgesehenen Einstellungen getrennt und der Zugriff beim jeweiligen Anbieter entzogen werden. Bereits angelegte Termine sind gesondert zu beachten.

Bei Google speichern wir die Kontokennung, den Namen und die bestätigte E-Mail-Adresse, um das verbundene Konto anzuzeigen und der richtigen Workspace-Mitgliedschaft zuzuordnen. Zugriffs- und Erneuerungstoken werden serverseitig verschlüsselt gespeichert. Die erteilte Kalenderberechtigung umfasst Termine in Kalendern, deren Inhaber Sie sind. Reclyra verwendet sie, um in Ihrem primären Kalender die in Reclyra gebuchten Interviews anzulegen, gezielt abzurufen, umzubuchen und abzusagen sowie bei Video-Interviews einen Google-Meet-Link anzufordern.

Zur Vermeidung von Überschneidungen liest Reclyra außerdem im jeweils geprüften Zeitraum begrenzte Belegungsdaten aus dem verbundenen primären Google- beziehungsweise Microsoft-Standardkalender. Dazu gehören technische Terminkennungen, Beginn und Ende einschließlich Zeitzone, Absage- und Belegungsstatus sowie der eigene Antwortstatus. Titel, Beschreibungen, Orte und Namen oder E-Mail-Adressen anderer Teilnehmer werden für diese Prüfung nicht angefordert. Diese fremden Termine werden nicht in Reclyra gespeichert oder als Kalenderkopie angezeigt; die Belegungsdaten werden nur für die aktuelle Terminprüfung im Arbeitsspeicher verarbeitet.

Dafür übermitteln wir Google den Interviewtitel, Beginn, Ende, Zeitzone, gegebenenfalls den Ort sowie Namen und E-Mail-Adresse der eingeladenen Person. Google kann dazu Termineinladungen und Aktualisierungen versenden. Termin- und Meetinglinks sowie der Abgleichstatus werden im zugehörigen Interview gespeichert und berechtigten Workspace-Mitgliedern sowie den vorgesehenen Gesprächsteilnehmern angezeigt oder in Terminbenachrichtigungen über Resend mitgeteilt. Hosting und Speicherung erfolgen über die unten beschriebenen Dienste Vercel und Supabase.

Google-Nutzerdaten werden ausschließlich für diese Kalenderfunktionen und ihren sicheren Betrieb verwendet. Sie werden nicht verkauft, für Werbung oder zum Training von KI-Modellen verwendet und nicht an die CV-Analyse weitergegeben. Für die Nutzung und Weitergabe dieser Daten gelten die Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Sie können die Verbindung unter Interviews im Bereich „Deine Kalender“ trennen. Offene Interviews müssen zuvor abgesagt und ihre Kalenderänderungen abgeschlossen sein. Beim Trennen löscht Reclyra die gespeicherten Zugriffs- und Erneuerungstoken; die Kontozuordnung und bereits gespeicherte Interviewdaten bleiben entsprechend ihrem jeweiligen Aufbewahrungszweck erhalten. Die Google-Berechtigung können Sie zusätzlich in den Verbindungen Ihres Google-Kontos widerrufen. Dieser Widerruf entfernt keine bereits angelegten Kalendereinträge. Für Löschanfragen erreichen Sie uns über den oben genannten Datenschutzkontakt.

Eigene Konten- und Integrationsverwaltung erfolgt nach Art. 6 Abs. 1 Buchst. b oder f DSGVO entsprechend der Vertragsbeziehung. Interview- und Bewerberdaten werden im Auftrag des Unternehmens verarbeitet. Ergänzend gelten die Datenschutzinformationen von Google und Microsoft.

13. Cookies und Browserspeicher

Reclyra verwendet Cookies für Anmeldung und Sitzungsverwaltung sowie Browserspeicher für ausgewählte Einstellungen und ungespeicherte Stellenentwürfe im aktuellen Tab. Soweit Speicherung oder Zugriff für einen ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich sind, ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Die anschließende Verarbeitung personenbezogener Daten richtet sich insbesondere nach Art. 6 Abs. 1 Buchst. b oder f DSGVO.

Auf ausdrücklich freigegebenen öffentlichen Reclyra-Marketingseiten bieten wir zwei getrennt wählbare Zwecke: Statistik mit Google Analytics 4 (G-Y8X6SVF256), um die Nutzung unserer öffentlichen Seiten anhand von Seitenaufrufen, Klicks auf Demo, Preise und Pilotstart und erfolgreich gesendeten Demo-Anfragen zu verstehen, und Werbemessung mit Google Ads (AW-18539688296). Beide werden nur nach deiner freiwilligen Einwilligung für den jeweiligen Zweck aktiviert. Vor einer Einwilligung und bei Ablehnung beider Zwecke werden weder Google-Skripte noch Messanfragen ohne Cookies geladen (Basic Consent Mode). Rechtsgrundlage sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 Buchst. a DSGVO. Ablehnen ist ebenso einfach wie Zustimmen; unter „Cookie-Einstellungen“ im Footer kannst du deine Wahl jederzeit ändern oder widerrufen. Die Einwilligung ist keine Voraussetzung für die Nutzung von Reclyra. Details stehen in den Cookie- und Speicherhinweisen.

Empfänger ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Google kann Daten auch außerhalb des EWR, insbesondere in den USA, verarbeiten. Bei erlaubter Messung fallen technische Verbindungsdaten wie IP-Adresse und Browserangaben an. Analytics verarbeitet pseudonyme Browser- und Sitzungskennungen sowie öffentliche Seitenaufrufe. Nach bestätigtem Eingang einer Demo-Anfrage senden wir bei gültiger Statistikzustimmung das Ereignis „generate_lead“ mit der festen Formularbezeichnung „demo_request“, ohne Formularinhalte oder Anfragekennungen. Frühere Statistikzustimmungen werden dafür nicht übernommen; wir fragen erneut nach deiner Wahl. Als Seitenadresse übergeben wir Analytics die kanonische Adresse, als Seitentitel „Reclyra“ und keine vorherige Seitenadresse. Nur wenn du Statistik und Marketing beide erlaubst, enthält die Adresse beim Seitenaufruf zusätzlich vorhandene, formatgeprüfte Anzeigen-Klickkennungen (gclid, gbraid, wbraid), um Besuche und nachfolgende Nutzung unserer Werbung zuzuordnen. Bei reiner Statistik-Zustimmung bleibt sie ohne Suchparameter. Andere Suchparameter und Fragmente werden nicht übergeben. Google Ads kann bei gesonderter Marketing-Zustimmung zusätzlich vorhandene Anzeigen-Klickkennungen (gclid, gbraid, wbraid) erhalten und nach bestätigtem Eingang eine Demo-Anfrage als Conversion erfassen. Eine reine Statistik-Zustimmung löst keine Ads-Conversion aus. Analytics erfasst außerdem „cta_click“ für Klicks auf Demo, Preise und Pilotstart, mit festen Ziel- und Positionsbezeichnungen und ohne freie Linktexte. Diese Klicks zählen nicht als erfolgreiche Anfrage. Für die Zuordnung in Analytics fragen wir mit Version 5 erneut nach deiner getrennten Wahl; Zustimmungen aus Version 4 oder älter aktivieren diesen Umfang nicht. Eine frühere Ablehnung bleibt wirksam.

Unser Analytics-Konto ist mit unserem Google-Ads-Konto für gemeinsame Berichte verknüpft. Dabei können Kampagnendaten wie Kosten, Klicks und Impressionen mit den nach Einwilligung erhobenen Nutzungsdaten verglichen und berechtigten Nutzern der verknüpften Konten zugänglich werden. Anzeigenpersonalisierung ist für diese Verknüpfung deaktiviert. Wir importieren Analytics-Schlüsselereignisse nicht zusätzlich als Google-Ads-Conversions. Die Verknüpfung ersetzt keine Einwilligung und aktiviert keine weiteren Messungen auf der Website.

Formularinhalte, Kontodaten und Bewerbungsinhalte übergeben wir nicht als Ereignis- oder Konfigurationsdaten. Bewerberstrecken, Karriereseiten der Unternehmen, Anmeldung, Registrierung, Bewerberportal, Workspaces und Adminbereiche erhalten keinen der beiden Messdienste. Google Signals, personalisierte Werbung und Enhanced Conversions aktivieren wir nicht. Informationen zur Verarbeitung und zu Übermittlungsgrundlagen: Google-Datenschutz, Google-Datenverarbeitungsbedingungen und Bedingungen für Messdienste.

Deine getrennte Entscheidung wird für 180 Tage auf der jeweiligen Webadresse gespeichert. Eine frühere Google-Ads-Zustimmung der Version 1 aktiviert Analytics nicht; wir fragen die neue Wahl erneut ab. Die Analytics-Cookies _ga und _ga_Y8X6SVF256 sind auf 180 Tage begrenzt; weitere Seitenaufrufe verlängern diese Laufzeit nicht automatisch. Diese Cookie-Laufzeit ist von der Aufbewahrung übermittelter Ereignisdaten bei Google zu unterscheiden. Beim Widerruf setzen wir den betreffenden Einwilligungsstatus auf „abgelehnt“, entfernen die bekannten Cookies des widerrufenen Zwecks auf unserer Webadresse und laden die Seite neu. Nur weiterhin erlaubte Zwecke können danach aktiviert werden. Cookies auf Google-Domains und bereits rechtmäßig verarbeitete Daten werden dadurch nicht rückwirkend gelöscht.

14. Empfänger und Dienstleister

Abhängig von der genutzten Funktion werden personenbezogene Daten an die folgenden Dienstleister übermittelt:

• Vercel: Hosting, Websiteauslieferung, serverseitige Anwendungsfunktionen und AI Gateway. Betroffen sind technische Zugriffsdaten und die dabei verarbeiteten Anwendungsinhalte, beim KI-Einsatz auch Analyseanfragen und Ergebnisse. Informationen: Datenschutzhinweise und DPA. Die am 27. Oktober 2026 geprüfte DPA enthält in Schedule 1, Abschnitt 6 einen Ausschluss sensibler Daten in Customer Data. Eine davon abweichende individuelle Vereinbarung liegt uns nicht vor. Diese Datenschutzhinweise erweitern den vertraglich zulässigen Verarbeitungsumfang nicht.
• Supabase: Datenbank und privater Dateispeicher für Konten, Workspaces, Bewerbungen, Dokumente und zugehörige Vorgänge. Informationen: Datenschutzhinweise und DPA.
• KI-Inferenzanbieter über Vercel AI Gateway: Die CV-Analyse verwendet Claude Haiku 4.5, ein von Anthropic entwickeltes Modell. Für neue Anfragen erlaubt die technische Richtlinie ausschließlich Amazon Bedrock mit einer EU-Inferenzregion. Anthropic ist der Modellentwickler; Amazon Bedrock führt die Inferenz aus. Dabei werden übermittelter Dokumenttext, Kriterien und Analyseergebnisse verarbeitet. Beim ausdrücklich ausgelösten Assistenten für den Geschäfts-Posteingang kommen die oben beschriebenen Ausschnitte des Nachrichtenverlaufs, Arbeitsanweisungen und Textvorschläge hinzu. Informationen: Anbieterwahl im AI Gateway.
• Resend (Plus Five Five, Inc.): technischer Versand von Plattform- und Geschäftsnachrichten, Empfang der weitergeleiteten Geschäftsmails sowie bei freigeschaltetem Antwortimport Empfang von Bewerberantworten einschließlich Nachrichten- und Zustelldaten. Informationen: Datenschutzhinweise und DPA.
• Stripe: Zahlungs- und Abonnementabwicklung mit den dafür erforderlichen Kunden-, Rechnungs- und Transaktionsdaten. Informationen: Datenschutzhinweise.
• IONOS: geschäftliche E-Mail-Postfächer und damit verbundene Nachrichten, Kontaktdaten und technische Metadaten. Informationen: Datenschutzhinweise.
• Google oder Microsoft (Kalender): bei einer aktiv verbundenen optionalen Kalenderintegration mit den in Abschnitt 12 beschriebenen Daten.
• Google (Statistik und Werbemessung): nur nach deiner Einwilligung für den jeweiligen Zweck auf freigegebenen öffentlichen Marketingseiten, wie in Abschnitt 13 beschrieben.

Innerhalb eines Unternehmens erhalten dessen berechtigte Nutzer Daten entsprechend ihren Rollen und Stellenrechten. Weitere Empfänger können erforderliche Rechts-, Steuer- oder IT-Dienstleister sowie Behörden und Gerichte sein, soweit dies zur Bearbeitung eines konkreten Vorgangs oder aufgrund gesetzlicher Pflichten erforderlich ist.

Die aktuelle Dienstleisterübersicht beschreibt die aktuelle technische Richtlinie sowie offene Nachweise zu Ländern und Vertragsabdeckung. Andere Inferenzanbieter und eine Ausweichverarbeitung außerhalb der EU sind für neue Anfragen nicht freigegeben. Die Anwendung verlangt einen passenden Routennachweis in der Gateway-Antwort und verwirft Ergebnisse, wenn dieser fehlt oder einen anderen Anbieter beziehungsweise eine andere Region ausweist. Für neue abgeschlossene CV-Analysen wird ein begrenzter Nachweis mit Anbieter, Region und Richtlinienversion gespeichert. Diese Gateway-Metadaten sind kein unabhängiger Infrastruktur-Audit und belegen keine Routen für frühere Anfragen. Die EU-Vorgabe bindet nicht den Gateway-Eingang, dessen Verarbeitung oder sämtliche Netzwerkwege. Sie gilt deshalb nicht für die gesamte Verarbeitungskette und ersetzt keine vertragliche Freigabe sensibler Inhalte.

15. Verarbeitung außerhalb des EWR

Die genannten Dienste können Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten oder dortigen Dienstleistern und Supportstellen zugänglich machen. Dies betrifft insbesondere Verarbeitungen bei Vercel und Resend. Die EU-Inferenzvorgabe für Amazon Bedrock schließt eine Verarbeitung von Gateway-, Betriebs- oder Supportdaten außerhalb der EU nicht aus. Resend nennt in seinen Anbieterunterlagen die USA als primären Verarbeitungsort. Auch eine europäische Speicherregion bedeutet keine ausschließlich europäische Verarbeitung aller Betriebs- und Supportdaten.

Für Drittlandübermittlungen gelten die Voraussetzungen der Art. 44 ff. DSGVO. Die oben verlinkten öffentlichen Datenverarbeitungsbedingungen von Vercel, Supabase und Resend beschreiben hierfür unter anderem Standardvertragsklauseln der Europäischen Kommission. Informationen zu den auf eine konkrete Verarbeitung bezogenen Schutzvorkehrungen und eine zugängliche Kopie können Sie über unseren Datenschutzkontakt anfordern.

16. Kriterien für die Speicherdauer

Die Aufbewahrung wird nach Datenkategorie und Zweck bestimmt. Maßgeblich sind die Dauer des jeweiligen Vorgangs und der Vertragsbeziehung, offene Anfragen oder Streitfälle, gesetzliche Aufbewahrungspflichten sowie die Erforderlichkeit konkreter Sicherheits- und Rechtsnachweise. Eine Speicherung für einen anderen Zweck bedarf einer eigenen Grundlage.

Bei Bewerberdaten entscheidet das verantwortliche Unternehmen über die erforderliche Dauer und Löschweisung. Die im Produkt wählbare Frist ist keine gesetzlich vorgegebene Bewerberaufbewahrung. Für Plattformkonten, Dienstleisterlogs, E-Mail-Postfächer und Sicherungskopien gilt nicht automatisch dieselbe Frist wie für eine Bewerbung.

Ein beendeter Pilot oder Vertrag und eine Kontosperrung sind keine Bestätigung, dass sämtliche Daten bereits gelöscht sind. Für die Rückgabe und Entfernung von Daten im Kundenauftrag sind die Weisung des Unternehmens, die zugehörige Vereinbarung und die betroffenen Systeme maßgeblich. Bei Fragen zur konkreten Speicherung oder einer Löschung erreichen Sie uns über den Datenschutzkontakt.

17. Bereitstellung von Daten

Für Registrierung, Anmeldung, Vertragsabwicklung oder Abrechnung sind bestimmte Angaben erforderlich. Ohne diese Daten kann der betreffende Dienst nicht oder nur eingeschränkt bereitgestellt werden. Freiwillige Angaben sind keine Voraussetzung für die Nutzung, soweit sie nicht für die ausdrücklich gewünschte Funktion benötigt werden. Geben Sie nur Informationen ein, die für den jeweiligen Zweck erforderlich sind. Pflichtangaben bei einer Bewerbung legt das verantwortliche Unternehmen fest.

18. Ihre Rechte

Unter den jeweiligen gesetzlichen Voraussetzungen haben Sie folgende Rechte:

• Auskunft nach Art. 15 DSGVO;
• Berichtigung nach Art. 16 DSGVO;
• Löschung nach Art. 17 DSGVO;
• Einschränkung der Verarbeitung nach Art. 18 DSGVO;
• Datenübertragbarkeit nach Art. 20 DSGVO;
• Widerspruch nach Art. 21 DSGVO;
• Widerruf einer Einwilligung nach Art. 7 Abs. 3 DSGVO mit Wirkung für die Zukunft. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt;
• Beschwerde bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO.

Widerspruch bei berechtigten Interessen: Soweit eine Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO beruht, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Bei Direktwerbung besteht ein jederzeitiges Widerspruchsrecht ohne besondere Begründung.

Richten Sie Anfragen zu eigenen Reclyra-Verarbeitungen an privacy@reclyra.app. Bei einer konkreten Bewerbung ist das verantwortliche Unternehmen Ihr erster Ansprechpartner. Um unbefugte Auskünfte zu vermeiden, kann eine angemessene Prüfung Ihrer Identität erforderlich sein. Bitte senden Sie nicht unaufgefordert eine Ausweiskopie.

19. Beschwerde und Aufsichtsbehörde

Sie können sich insbesondere bei einer Aufsichtsbehörde in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes beschweren. Für Reclyra als Unternehmen in Baden-Württemberg ist grundsätzlich die dortige Landesdatenschutzaufsicht zuständig:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

20. Änderungen dieser Hinweise

Diese Erklärung wird an Änderungen der Verarbeitung, der eingesetzten Dienste und der rechtlichen Anforderungen angepasst. Der oben angegebene Stand bezeichnet die jeweilige Fassung.