Vertrag zur Auftragsverarbeitung

§ 1 Parteien und Gegenstand

(1) Verantwortlicher ist der Kunde, der einen Arbeitsbereich unter unternehmen.lifecycle-karriere.de nutzt (nachfolgend „Auftraggeber“).

(2) Auftragsverarbeiter ist Little-Roots, Inh. Marco Grützenbach, Glockengießerstraße 30, 51491 Overath, Deutschland (nachfolgend „Auftragnehmer“).

(3) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die der Auftragnehmer im Rahmen des Arbeitsbereichs im Auftrag des Auftraggebers durchführt. Er konkretisiert die Pflichten aus Art. 28 DSGVO.

(4) Nicht Gegenstand dieses Vertrags ist der eigene Datenbestand der Bewerberinnen und Bewerber in deren Lifecycle-Konto. Dafür ist der Auftragnehmer eigenständig Verantwortlicher. Der Auftraggeber erhält daran ausschließlich den Zugriff, den die betroffene Person selbst freigegeben hat, für die von ihr gewählte Dauer.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand ist die Bereitstellung des Arbeitsbereichs als über das Internet zugängliche Software.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an vom Auftraggeber bestimmte Empfänger, Einschränken und Löschen.

(3) Zweck: Durchführung von Bewerbungsverfahren, Verwaltung von Ausschreibungen, Überwachung von Pflichtnachweisen eigener Beschäftigter des Auftraggebers, Führung eines Talentpools auf Grundlage von Einwilligungen, Erfassung von Messekontakten sowie Verwaltung der Zugänge des Auftraggebers.

(4) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Vertrags über den Arbeitsbereich zuzüglich der in § 10 geregelten Fristen.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Verarbeitet werden je nach genutzter Funktion:

Kategorie	Daten
Bewerberinnen und Bewerber	Name, Kontaktdaten, beruflicher Werdegang, Qualifikationen und Nachweise, soweit von der betroffenen Person freigegeben; Bewerbungsstatus, interne Vermerke und Zuordnung zu Ausschreibungen
Beschäftigte des Auftraggebers	Name, Funktion, Personalnummer soweit vom Auftraggeber angegeben, Pflichtqualifikationen mit Ausstellungs- und Ablaufdatum, geplante Auffrischungstermine
Personen im Talentpool	Zugangsschlüssel zur Freigabe, Vermerke des Auftraggebers, Umfang und Frist der erteilten Einwilligung
Messekontakte	wie Bewerberinnen und Bewerber, zusätzlich Veranstaltung und erfassende Person
Nutzende des Auftraggebers	Name, dienstliche E-Mail-Adresse, Rolle, Zeitpunkte von Einladung und Beitritt, Protokoll sicherheitsrelevanter Vorgänge

(2) Der Auftragnehmer speichert keine Kopien der freigegebenen Bewerbungsunterlagen im Datenbestand des Auftraggebers. Gespeichert wird der Zugangsschlüssel zur Freigabe; Inhalte werden bei jedem Abruf aus dem Datenbestand der betroffenen Person geladen.

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO können enthalten sein, soweit die betroffene Person entsprechende Nachweise freigibt oder der Auftraggeber solche Angaben einstellt. Der Auftraggeber stellt sicher, dass hierfür eine Rechtsgrundlage besteht.

§ 4 Weisungen

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als solche Weisung gelten dieser Vertrag, die Allgemeinen Geschäftsbedingungen und die Einstellungen, die der Auftraggeber im Arbeitsbereich selbst vornimmt.

(2) Einzelweisungen bedürfen der Textform an datenschutz@lifecycle-karriere.de. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies unverzüglich mit. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(4) Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt. Insbesondere werden die Daten nicht zu Werbezwecken, nicht zur Profilbildung und nicht zum Training von Modellen künstlicher Intelligenz verwendet.

§ 5 Vertraulichkeit

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

(2) Der Auftragnehmer wird auf Anfrage nachweisen, dass die eingesetzten Personen verpflichtet wurden.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.

(2) Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und auf Anfrage mitgeteilt.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Der Auftragnehmer darf weitere Unterauftragsverarbeiter hinzuziehen oder bestehende ersetzen. Er informiert den Auftraggeber mindestens dreißig Tage vorher in Textform. Der Auftraggeber kann innerhalb von vierzehn Tagen nach Zugang aus wichtigem, datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, der eine Leistungserbringung unmöglich macht, kann jede Seite den Vertrag über den Arbeitsbereich zum geplanten Wechsel kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht, und haftet für deren Verhalten wie für eigenes.

§ 8 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Betroffenenrechte nach Art. 12 bis 23 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, soweit sie den Datenbestand des Auftraggebers betrifft.

(2) Der Auftragnehmer unterstützt bei Datenschutz-Folgenabschätzungen, bei Konsultationen der Aufsichtsbehörde und bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(3) Ein Zugriff des Auftragnehmers auf Inhalte des Auftraggebers erfolgt nur, soweit dies zur Störungsbeseitigung erforderlich ist oder der Auftraggeber im Support ausdrücklich darum bittet. Solche Zugriffe werden protokolliert.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die vom Auftraggeber hinterlegte Adresse.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht.

(3) Meldungen an die Aufsichtsbehörde und an betroffene Personen nimmt der Auftraggeber vor. Der Auftragnehmer unterstützt ihn dabei.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Vertrags über den Arbeitsbereich bleiben die Daten des Auftraggebers dreißig Tage zum Abruf verfügbar. Der Auftraggeber kann sie in dieser Zeit selbst exportieren.

(2) Nach Ablauf dieser Frist löscht der Auftragnehmer die im Auftrag verarbeiteten Daten einschließlich vorhandener Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Anfrage in Textform bestätigt.

(3) Auf ausdrückliche Weisung löscht der Auftragnehmer bereits vor Ablauf der Frist.

(4) Sicherungskopien werden im Rahmen der üblichen Rotation überschrieben. Bis dahin bleiben sie gegen Zugriff geschützt und werden nicht ausgewertet.

§ 11 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung, insbesondere die aktuelle Fassung von Anlage 1.

(2) Der Auftraggeber ist berechtigt, sich von der Einhaltung zu überzeugen. Kontrollen erfolgen nach Ankündigung mit angemessener Frist, zu üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und höchstens einmal jährlich — es sei denn, ein konkreter Anlass rechtfertigt eine weitere Kontrolle.

(3) Der Auftragnehmer kann den Nachweis auch durch geeignete Zertifikate oder Berichte unabhängiger Stellen führen, soweit diese die vereinbarten Maßnahmen abdecken.

§ 12 Ort der Verarbeitung

(1) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt. Die eingesetzten Rechenzentren liegen in der Region europe-west1 (Belgien) sowie in Deutschland.

(2) Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und setzt einen Angemessenheitsbeschluss oder geeignete Garantien nach Art. 46 DSGVO voraus.

§ 13 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Regelungen der Allgemeinen Geschäftsbedingungen; Ansprüche nach Art. 82 DSGVO bleiben davon unberührt.

(2) Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist.

(3) Änderungen bedürfen der Textform. Es gilt deutsches Recht.

(4) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO. Stand: August 2026.

Vertraulichkeit

Zutrittskontrolle. Die Verarbeitung findet in Rechenzentren von Google Ireland Limited und IONOS SE statt. Der Auftragnehmer betreibt keine eigenen Server. Die physische Sicherung obliegt den Betreibern und ist über deren Zertifizierungen nachgewiesen.

Zugangskontrolle. Zugang zu Verwaltungsoberflächen nur über persönliche Konten mit Zwei-Faktor-Authentifizierung. Nutzende des Auftraggebers melden sich mit E-Mail-Adresse und Passwort an; die Adresse muss vor der ersten Nutzung bestätigt werden.

Zugriffskontrolle. Rollenmodell mit drei Stufen (Admin, Recruiting, Prüfer:in). Datenbestände mit Personenbezug sind für Clients vollständig gesperrt; jeder Zugriff läuft über serverseitige Funktionen, die Rolle und Berechtigung vor jeder Operation prüfen. Ein Zugangsschlüssel zu einer Freigabe kann von keinem Client ausgelesen werden.

Trennungskontrolle. Daten verschiedener Auftraggeber sind logisch getrennt und werden bei jeder Abfrage anhand der Kennung des Arbeitsbereichs gefiltert. Test- und Produktivumgebung sind vollständig getrennte Projekte.

Integrität

Weitergabekontrolle. Übertragung ausschließlich über TLS. Freigaben sind zeitlich befristet, optional durch eine PIN geschützt und mit einem personalisierten Wasserzeichen versehen. Ein Widerruf wirkt sofort.

Eingabekontrolle. Sicherheitsrelevante Vorgänge im Arbeitsbereich — Anlage, Rollenänderung, Einladung, Entfernung von Zugängen — werden mit Zeitpunkt und handelnder Person protokolliert und sind für Administratoren einsehbar. Zugriffe auf Freigaben werden für die betroffene Person protokolliert.

Verfügbarkeit und Belastbarkeit

Georedundante Speicherung innerhalb der EU durch den Rechenzentrumsbetreiber. Automatische Sicherungen mit zeitpunktgenauer Wiederherstellung. Begrenzung paralleler Serverinstanzen zur Abwehr von Lastspitzen. Mengenbegrenzungen bei versendeten Nachrichten.

Verfahren zur regelmäßigen Überprüfung

Automatisierte Tests vor jeder Auslieferung, darunter Tests der Zugriffsregeln gegen einen echten Datenbankserver. Zugriffsregeln sind versioniert und werden bei jeder Änderung geprüft. Datenschutz durch Voreinstellung: Dokumente sind standardmäßig privat; Freigaben sind befristet; der Arbeitsbereich legt keine Kopien freigegebener Unterlagen an.

Auftragskontrolle

Verarbeitung nur nach Weisung, schriftliche Vereinbarung mit allen Unterauftragsverarbeitern, Löschkonzept nach § 10 dieses Vertrags.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Unternehmen	Leistung	Ort
Google Ireland Limited, Dublin, Irland	Firebase: Authentifizierung, Datenbank, Dateispeicher, serverseitige Funktionen	EU, Region europe-west1 (Belgien)
IONOS SE, Montabaur	Versand von System-E-Mails über das Postfach des Auftragnehmers	Deutschland

Die Stripe Payments Europe, Ltd., Dublin, ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags. Stripe verarbeitet die Zahlungs- und Rechnungsdaten des Auftraggebers als eigenständig Verantwortlicher. Personenbezogene Daten von Bewerbern oder Beschäftigten des Auftraggebers werden nicht an Stripe übermittelt.