Nachtrag zur Auftragsverarbeitung

1.Begriffsbestimmungen

1. 1.1Begriffe wie „Verantwortlicher“, „Auftragsverarbeiter“, „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die ihnen in der DSGVO zugewiesene Bedeutung.
2. 1.2„Anwendbares Datenschutzrecht“ bedeutet die DSGVO sowie die nationalen Datenschutzgesetze, die in Zypern, Bulgarien und dem jeweiligen Gebiet gelten, in dem die dokumentierte Verarbeitung stattfindet.
3. 1.3„Auftragsverarbeiter“ bezeichnet Xciterr oder Automaize nur in dem Umfang, in dem das jeweilige Unternehmen personenbezogene Daten gemäß dokumentierter Weisungen eines Verantwortlichen verarbeitet. „Unterauftragsverarbeiter“ umfasst Automaize, wenn es von Xciterr beauftragt wird, sowie jeden Infrastrukturanbieter, der in die dokumentierte Verarbeitungskette eingebunden ist.

2.Rollen und Umfang der Verarbeitung

1. 2.1Bei einem vom Kunden gesteuerten Arbeitsablauf bestimmt der Kunde die Zwecke und wesentlichen Mittel, und der anwendbare Auftrag weist Xciterr als Auftragsverarbeiter und Automaize als Auftragsverarbeiter oder Unterauftragsverarbeiter aus. Xciterr und Automaize verarbeiten diese Daten ausschließlich gemäß den für ihre Rolle geltenden dokumentierten Weisungen.
2. 2.2Dieser AVV gilt nicht, wenn Xciterr als unabhängiger Verantwortlicher für die vermittelte Personalgewinnung fungiert oder wenn Automaize als unabhängiger Verantwortlicher für Plattform-Accounts, Sicherheit, Einwilligung und Nachweise zur KI-Verantwortlichkeit, Moderation, Betrugsprävention, Technologie-Compliance oder Dienstleistungsverwaltung agiert.
3. 2.3Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten sind in Anhang 1 (Details zur Verarbeitung) beschrieben. Dies umfasst Kandidatenprofildaten, Lebensläufe, Bewerbungsunterlagen, Interviewaufzeichnungen, Transkripte, automatisierte Scorecards, Matching-Nachweise, Einwilligungsprotokolle und Audit-Logs, die für Rekrutierungs-Workflows verarbeitet werden.
4. 2.4Die Verarbeitung dauert für die Laufzeit des Kundendienstes und den dokumentierten Rückgabe-/Löschungszeitraum, vorbehaltlich rechtlicher Sperrvermerke und zwingender Aufbewahrungspflichten. Betroffene Personen sind Kandidaten, potenzielle Kandidaten und autorisierte Kundennutzer; die Daten können Identitäts-/Kontaktdaten, berufliches Profil, Lebenslauf, Bewerbung, Interview-Audio/Transkript, Bewertung, Kommunikation, Einwilligung und technische Sicherheitsdaten umfassen. Daten besonderer Kategorien werden weder angefordert noch beabsichtigt und dürfen nicht übermittelt werden, es sei denn, die Parteien dokumentieren eine rechtmäßige Bedingung gemäß Art. 9 und entsprechende Anweisungen.

3.Pflichten jedes Auftragsverarbeiters

Jedes Unternehmen hat während seiner Tätigkeit als Auftragsverarbeiter:

1. 3.1personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, einschließlich in Bezug auf internationale Übermittlungen, es sei denn, er ist gesetzlich zu etwas anderem verpflichtet;
2. 3.2sicherstellen, dass die zur Verarbeitung personenbezogener Daten autorisierten Personen einer angemessenen Vertraulichkeitsverpflichtung unterliegen;
3. 3.3die in Klausel 5 und Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen umsetzen.
4. 3.4die Bedingungen in Klausel 6 für die Beauftragung von Unterauftragsverarbeitern einhalten;
5. 3.5den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung seiner Pflichten zur Beantwortung von Anfragen betroffener Personen sowie bei der Gewährleistung von Sicherheit, Meldepflichten bei Verletzungen und Datenschutz-Folgenabschätzungen unterstützen; und
6. 3.6nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung der Dienstleistungserbringung löschen oder zurückgeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.

4.Vertraulichkeit

1. 4.1Jeder Auftragsverarbeiter behandelt alle personenbezogenen Daten vertraulich und legt diese nicht offen, es sei denn, dies ist nach diesem AVV gestattet oder gesetzlich vorgeschrieben.

5.Sicherheit

1. 5.1Jeder Auftragsverarbeiter setzt angemessene technische und organisatorische Maßnahmen um, die seiner Rolle entsprechen. Die Plattform-Maßnahmen von Automaize sind in Anhang 2 und der Informationssicherheitserklärung beschrieben; Xciterr bleibt verantwortlich für den Zugriff bei der Personalgewinnung, das Personal sowie die operativen Kontrollen.

6.Unterauftragsverarbeiter

1. 6.1Der Verantwortliche erteilt Xciterr die allgemeine Genehmigung, Automaize für die im jeweiligen Auftrag beschriebene Technologieverarbeitung hinzuzuziehen, und erteilt dem jeweiligen Auftragsverarbeiter die allgemeine Genehmigung, die in der Unterauftragsverarbeiter-Mitteilung aufgeführten Infrastrukturanbieter zu beauftragen.
2. 6.2Der beauftragende Auftragsverarbeiter auferlegt jedem Unterauftragsverarbeiter Datenschutzpflichten, die nicht weniger schützend sind als die in diesem AVV enthaltenen, und bleibt gemäß Art. 28 DSGVO für diesen Unterauftragsverarbeiter verantwortlich.
3. 6.3Xciterr und Automaize pflegen eine aktuelle Verarbeitungskette und benachrichtigen den Verantwortlichen vorab über eine beabsichtigte wesentliche Änderung, sodass der Verantwortliche aus berechtigten datenschutzrechtlichen Gründen widersprechen kann.

7.Anfragen betroffener Personen

1. 7.1Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte und leitet solche direkt bei ihm eingehenden Anfragen unverzüglich an den Verantwortlichen weiter.

8.Verletzung des Schutzes personenbezogener Daten

1. 8.1Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem er von einer Verletzung des Schutzes personenbezogener Daten erfahren hat, die die personenbezogenen Daten des Verantwortlichen betrifft, und stellt die notwendigen Informationen bereit, damit der Verantwortliche seinen eigenen Meldepflichten nachkommen kann.
2. 8.2Der Auftragsverarbeiter unterhält ein internes Verfahren zur Meldung von Verletzungen gemäß den Artikeln 33 und 34 DSGVO, einschließlich Schweregrad-Triage, Beweissicherung, Benachrichtigung des Verantwortlichen, Bewertung durch die Aufsichtsbehörde, Bewertung der Kommunikation mit betroffenen Personen und Führung eines Verzeichnisses der Verletzungen.

9.Internationale Datentransfers

1. 9.1Der Auftragsverarbeiter übermittelt keine personenbezogenen Daten außerhalb des EWR, es sei denn, dies erfolgt auf Weisung des Verantwortlichen und unter Einhaltung angemessener Garantien gemäß Kapitel V DSGVO, einschließlich der Standardvertragsklauseln, sofern zutreffend.

10.Audit

1. 10.1Der Auftragsverarbeiter stellt Informationen bereit, die erforderlich sind, um die Einhaltung von Art. 28 nachzuweisen, und ermöglicht angemessene Audits. Audits beginnen in der Regel mit aktuellen unabhängigen Berichten und schriftlichen Nachweisen; ein Audit vor Ort kann folgen, wenn diese Beweise unzureichend sind oder ein wesentlicher Vorfall dies vernünftigerweise erfordert, vorbehaltlich Vertraulichkeit, Sicherheit, angemessener Vorankündigung und der Zuweisung außergewöhnlicher Kosten.

11.Haftung und anwendbares Recht

1. 11.1Die Haftung jeder Partei im Rahmen dieses AVV unterliegt den Haftungsbeschränkungen, die in den Arbeitgeber-Nutzungsbedingungen vereinbart wurden.
2. 11.2Dieser AVV folgt der im jeweiligen unterzeichneten Arbeitgebervertrag oder Auftrag festgelegten Rechtswahl, ohne dabei zwingende Rechte nach der DSGVO oder Befugnisse der Aufsichtsbehörden aufzuheben.

12.Anhänge

1. 12.1Anhang 1 - Einzelheiten der Verarbeitung: Hosting von Recruiting-Workflows, CV-Parsing, Screening, strukturierte Sprachinterviews, Bewertung, Matching, Bereitstellung von Kandidaten, Verwaltung von Arbeitgeber-Pipelines, Support- und Abrechnungsverwaltung für Kandidaten, Arbeitgebernutzer und eingeladene Vertreter.
2. 12.2Anhang 2 - Sicherheitsmaßnahmen: Verschlüsselung bei Übertragung und Speicherung, Sicherheit auf Zeilenebene, Zugriffsbeschränkungen nach dem Need-to-know-Prinzip und Protokollierung, zeitlich begrenzte signierte URLs, Kill-Switches für Anbieter, Netzwerk- und Anwendungssicherheit, Überwachung, Backup/Resilienz-Kontrollen, Incident Response und regelmäßige Überprüfung der Maßnahmen.
3. 12.3Anhang 3 - Verarbeitungskette: Xciterr kann Automaize als Technologie-Auftragsverarbeiter beauftragen; Automaize kann Google Cloud / Gemini, Supabase, WorkOS, Vercel, Railway, Stripe, Cal.com, Resend, Meta, Cloudflare und Sentry gemäß der veröffentlichten und gepflegten Unterauftragnehmerliste beauftragen. WorkOS bleibt bis zum Abschluss der festgelegten Freigabeprozesse deaktiviert.
4. 12.4Anhang 4 - Compliance-Unterstützung: Unterstützung bei Anfragen betroffener Personen, DSFA, Konsultationsverfahren, Benachrichtigungen über Datenschutzverletzungen, Audit-Nachweise sowie Löschung/Rückgabe personenbezogener Daten bei Vertragsbeendigung.