Rechtliches und Transparenz
Unsere Dienstleister.
Stand:
English version1. Zweck und Einordnung
Diese Übersicht beschreibt die Dienstleister und Datenflüsse der Reclyra-Plattform. Ein Anbieter ist nur insoweit Unterauftragsverarbeiter, wie er für die vom Kunden beauftragte Verarbeitung tätig wird. Für eigene Vertrags-, Zahlungs- und Geschäftsdaten kann Reclyra selbst Verantwortlicher sein; ein Anbieter kann daneben eigene gesetzliche Zwecke verfolgen.
Welche Anbieter und Datenkategorien zum konkreten Auftrag gehören, wird bei der vertraglichen Einbeziehung bestimmt. Die Regeln zur Einbeziehung und zu Anbieteränderungen ergeben sich aus der Auftragsverarbeitungsvereinbarung.
2. Vercel – Hosting und AI Gateway
Vercel Inc. stellt Websiteauslieferung, Hosting und serverseitige Funktionen bereit. Verarbeitet werden technische Anfrage- und Zugriffsdaten sowie die dabei übermittelten Anwendungsinhalte. In der aktuellen Architektur durchlaufen Bewerbungsformulare und initial hochgeladene Lebensläufe die Serverfunktionen. Bei einer freigeschalteten KI-Analyse erhält AI Gateway den aufbereiteten Dokumenttext, Stellenkriterien und die Analyseantwort.
Die Vercel-DPA schließt sensible beziehungsweise besondere Datenkategorien in Customer Data aus. Deshalb sind entsprechende Bewerbungsinhalte erst nach einer gesonderten vertraglichen und technischen Klärung vom Leistungsumfang erfasst. Das gilt auch für sensible Angaben, die ungeplant in einem Lebenslauf enthalten sind.
Vercel verarbeitet Daten international unter Einbeziehung weiterer Unterauftragnehmer. Dazu können Verarbeitungen in den USA und Zugriffe außerhalb des Europäischen Wirtschaftsraums gehören; dies umfasst auch Support- und Verwaltungsprozesse.
3. Supabase – Datenbank und privater Dateispeicher
Supabase Pte. Ltd. stellt die PostgreSQL-Datenbank und private Dateispeicher bereit. Betroffen sind insbesondere Benutzer- und Workspacezuordnungen, Bewerbungen, Unterlagen, Nachrichten, Notizen, Vorgänge, Analyseergebnisse und erforderliche technische Nachweise.
Die Supabase-DPA enthält für Sensitive Data besondere Voraussetzungen zu notwendigen Informationen und ausdrücklichen Einwilligungen. Für einen solchen Datenumfang müssen die Vertragsbedingungen mit der konkreten Rechtsgrundlage der Bewerberverarbeitung vereinbar sein.
Das Reclyra-Projekt ist in der Region Frankfurt, Deutschland (eu-central-1), eingerichtet. Support-, Verwaltungs- und Unterauftragnehmerzugriffe können außerhalb dieser Region stattfinden. Die Projektregion bedeutet daher keine ausschließlich europäische Verarbeitung sämtlicher Daten und Vorgänge.
4. Resend – transaktionale E-Mail-Kommunikation
Resend, betrieben von Plus Five Five, Inc., übernimmt den Versand der dafür eingerichteten Konto- und Plattformnachrichten sowie vom Kunden ausgelöster Bewerberkommunikation. Der Dienst erhält Absender, Empfänger, Betreff, Nachrichteninhalt sowie Versand- und Zustellmetadaten. Team-Einladungen werden derzeit als Link bereitgestellt.
Bei freigeschaltetem Antwortimport empfängt Resend außerdem Bewerberantworten an geschützte Antwortadressen, einschließlich gegebenenfalls mitgesendeter Anlagen. Reclyra übernimmt nach technischer Prüfung nur Klartext, Betreff, Absender, Eingangszeit und Anzahl der Anhänge in die Bewerbung. Die Providerkopie wird durch eine Löschung in Reclyra nicht automatisch entfernt. Resend nennt 30 Tage für E-Mail- und Logdaten im Pro-Tarif, sieben Tage für Backups und eine vorzeitige Entfernung einzelner Nachrichten über seinen Support.
Resend nennt die USA als primären Verarbeitungsort. Die vertraglichen Datenschutzregelungen und die Bedingungen für internationale Übermittlungen beschreibt die nachfolgend verlinkte DPA.
5. KI-Inferenz über das Gateway
Für die CV-Analyse ist Claude Haiku 4.5 mit der Modellkennung anthropic/claude-haiku-4.5 über Vercel AI Gateway konfiguriert. Anthropic ist der Modellentwickler. Daraus folgt nicht, dass jede Anfrage unmittelbar von Anthropic als Inferenzanbieter verarbeitet wird.
Der aktuelle Anwendungspfad fixiert keinen einzelnen Inferenzanbieter. Das Gateway kann den ausführenden Anbieter dynamisch auswählen. Der für die jeweilige Route eingesetzte Dienst erhält Dokumenttext und Kriterien und erzeugt die Analyseantwort. Ein Ausschluss bestimmter personenbezogener Angaben im Text ist keine vollständige Anonymisierung.
Der KI-Leistungsumfang setzt eine vorab bestimmte und zulässige Empfängerkette einschließlich ihrer Verarbeitungsorte voraus. Eine europäische Verarbeitung oder aufbewahrungsfreie Inferenz folgt nicht aus der Modellkennung. Die allgemeine AVV erteilt keine pauschale Genehmigung für zusätzliche dynamisch ausgewählte Inferenzanbieter.
6. Optionale Google- und Microsoft-Verbindungen
Verfügbare Google- oder Microsoft-Kalenderfunktionen werden nur nach aktiver Verbindung durch einen berechtigten Nutzer eingesetzt. Dabei können Kontokennungen, Kalender- und Termindaten, Teilnehmer, Meetinglinks, Zugriffsberechtigungen und Synchronisationsdaten verarbeitet werden.
Die Rolle, Vertragsgesellschaft und Verarbeitungsorte richten sich nach dem verbundenen Konto, dem Dienst und dem zugrunde liegenden Kundenvertrag. Für vom Kunden selbst beauftragte Konten gelten dessen Google- oder Microsoft-Vereinbarungen.
7. Dienstleister für eigene Geschäftsvorgänge
Stripe wird für Zahlungs-, Abonnement- und Rechnungsprozesse eingesetzt. Hierzu werden erforderliche Kunden-, Rechnungs- und Transaktionsdaten verarbeitet. Bewerbungsunterlagen werden nicht zu Abrechnungszwecken an Stripe übermittelt. Die rechtliche Rolle richtet sich nach dem jeweiligen Zahlungs- oder Abrechnungsprodukt.
IONOS stellt die geschäftlichen E-Mail-Postfächer bereit. Darüber laufen Kontakt- und Supportnachrichten einschließlich der vom Absender übermittelten Inhalte und technischer Metadaten. Bitte senden Sie keine vollständigen Bewerbungsunterlagen oder Zugangsdaten unaufgefordert über allgemeine Supportkanäle. Falls auftragsbezogene Daten zur Bearbeitung erforderlich sind, ist der konkrete Übermittlungsweg vorher abzustimmen.
8. Änderungen und Rückfragen
Bei einer beabsichtigten Änderung eines für den Auftrag genehmigten Unterauftragsverarbeiters gilt das Informations- und Widerspruchsverfahren der vereinbarten AVV. Eine aktualisierte öffentliche Übersicht allein ersetzt die erforderliche vorherige Kundeninformation nicht.
Rückfragen zu einem konkreten Datenfluss, zu vertraglichen Unterlagen oder zu den hierfür geltenden Schutzmaßnahmen können an privacy@reclyra.app gerichtet werden.