Auftragsverarbeitungsvertrag (AVV)

Stand: 25.08.2026

Dieser Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO wird zwischen dem Kunden, der ihn bei der Registrierung eines Hireeo-Kontos akzeptiert (nachfolgend „Auftraggeber"), und Simon Wurster, wurster medien Werbeagentur, Kirchstr. 4, 72178 Waldachtal (nachfolgend „Auftragnehmer", Betreiber von Hireeo) geschlossen. Er konkretisiert die datenschutzrechtlichen Pflichten im Zusammenhang mit der Nutzung des Hireeo-Bewerbungsportals.

§ 1 Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten von Bewerbern durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Bereitstellung des Hireeo-Bewerbungsportals. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags über die Nutzung von Hireeo (Registrierung bzw. Abonnement) und endet automatisch mit dessen Beendigung.

§ 2 Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung eines Bewerbermanagement-Systems: Entgegennahme, Speicherung, Organisation und Anzeige von Bewerbungen, Kommunikation mit Bewerbern im Namen des Auftraggebers, sowie unterstützende automatisierte Auswertung von Bewerbungsunterlagen gemäß § 2 Abs. 4.

Kategorien betroffener Personen: Bewerber auf vom Auftraggeber ausgeschriebene Stellen sowie Personen, die sich initiativ beim Auftraggeber bewerben.

Kategorien personenbezogener Daten:

• Bewerber-Stammdaten (Name, E-Mail-Adresse, Telefonnummer, ggf. Geburtsdatum und Anschrift)
• Bewerbungsunterlagen (Lebenslauf, Zeugnisse, Anschreiben und vergleichbare Dokumente)
• Verfahrensdaten (Bewerbungsstatus, Notizen, interne Einschätzungen, Gesprächstermine, Bearbeitungshistorie)
• E-Mail-Korrespondenz mit dem Bewerber einschließlich deren Anhängen
• von einer KI-gestützten Auswertung erzeugte Angaben (Zusammenfassung, Bewertung je Kriterium)

Der Auftraggeber ist dafür verantwortlich, dass die von ihm oder über die Bewerbungsformulare erhobenen Daten auf einer zulässigen Rechtsgrundlage beruhen.

Automatisierte Auswertung durch künstliche Intelligenz. Zur Unterstützung des Auftraggebers bei der Sichtung eingehender Bewerbungen kann der Auftragnehmer hochgeladene Unterlagen sowie Kontextangaben zur Stelle an einen KI-Anbieter zur automatisierten Analyse übermitteln (siehe Anlage 1). Die Auswertung liefert ausschließlich eine Zusammenfassung sowie unverbindliche Vorschläge; es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt. Jede Übernahme eines Vorschlags in den Bewerbungsdatensatz erfolgt ausschließlich durch manuelle Bestätigung des Auftraggebers. Die Bewertung folgt einem von zwei festen, vom Auftragnehmer vorgegebenen Kriterienrastern; der Auftraggeber kann darin ausschließlich die Gewichtung der Kriterien verändern.

§ 3 Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderweitigen Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Weisungen erfolgen zunächst durch diesen Vertrag; darüber hinausgehende Einzelweisungen können in Textform erteilt werden.

§ 4 Pflichten des Auftragnehmers

Der Auftragnehmer gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Er trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen; diese sind in Anlage 1 (Technische und organisatorische Maßnahmen) beschrieben. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere der Meldung von Verletzungen des Schutzes personenbezogener Daten.

Meldung von Datenschutzverletzungen. Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieses Vertrags verarbeitete Daten betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, und unterstützt ihn bei der Erfüllung seiner Meldepflichten nach Art. 33 und 34 DSGVO.

§ 5 Unterauftragsverhältnisse

Der Auftraggeber genehmigt den Einsatz der in Anlage 1 aufgeführten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber über die geplante Hinzuziehung neuer Unterauftragsverarbeiter oder deren Ersetzung mit angemessenem zeitlichem Vorlauf, mindestens jedoch vier Wochen vor Wirksamwerden. Der Auftraggeber kann einer solchen Änderung innerhalb dieser Frist in Textform widersprechen. Widerspricht er, sind beide Parteien berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen; bis dahin bleibt der bisherige Stand unverändert. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die den in diesem Vertrag vereinbarten gleichwertig sind.

§ 6 Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht, sich vor Beginn der Verarbeitung und danach in angemessenen Abständen von der Einhaltung der in diesem Vertrag festgelegten technischen und organisatorischen Maßnahmen zu überzeugen. Der Auftragnehmer stellt hierfür geeignete Nachweise, insbesondere die in Anlage 1 beschriebenen Maßnahmen sowie Ergebnisse einschlägiger Prüfungen, zur Verfügung. Eine Vor-Ort-Prüfung durch den Auftraggeber oder einen von ihm beauftragten Prüfer kann mit angemessener Vorankündigung und gegen Erstattung der dem Auftragnehmer dadurch entstehenden angemessenen Kosten vereinbart werden.

§ 7 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Hauptvertrags kann der Auftraggeber innerhalb der im Bewerbungsportal vorgesehenen Karenzfrist von 30 Tagen sämtliche Daten selbst exportieren. Nach Ablauf dieser Frist löscht der Auftragnehmer alle im Rahmen dieses Vertrags verarbeiteten Daten, soweit dem keine gesetzliche Aufbewahrungspflicht entgegensteht und vorbehaltlich der Absätze 4 und 5.

(2) Während der Vertragslaufzeit löscht der Auftragnehmer Bewerberdaten nach Ablauf der in Anlage 2 festgelegten Regelfristen. Die Fristen und die Ereignisse, ab denen sie laufen, ergeben sich abschließend aus jener Anlage. Vor Ablauf einer Frist informiert der Auftragnehmer den Auftraggeber über die bevorstehende Löschung.

(3) Der Auftraggeber kann jederzeit in Textform eine abweichende Aufbewahrungsfrist anweisen; der Auftragnehmer setzt eine solche Weisung unverzüglich um, soweit sie gesetzlich zulässig ist. Der Auftragnehmer weist den Auftraggeber darauf hin, wenn eine angewiesene Frist nach seiner Auffassung gegen den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) verstößt.

(4) Eine Löschung nach den Absätzen 1 bis 3 erfasst die Datenbestände des laufenden Systems einschließlich der zugehörigen Dokumente. Der Auftragnehmer weist ausdrücklich darauf hin, dass eine Löschung an zwei Stellen nicht sofort wirkt:

a) Der in Anlage 1 benannte Anbieter der KI-gestützten Auswertung hält übermittelte Unterlagen und Auswertungsergebnisse nach dessen Kontoeinstellung im Regelfall bis zu 30 Tage zum Zweck der Missbrauchsabwehr vor. Eine kürzere Regelung hat der Auftragnehmer angefragt; sie wurde vom Anbieter abgelehnt. Die 30 Tage sind nicht die Obergrenze: Stuft die automatische Missbrauchskontrolle des Anbieters eine Anfrage als Verstoß gegen seine Nutzungsbedingungen ein, bewahrt er Ein- und Ausgabe nach eigenen Angaben bis zu zwei Jahre und die zugehörigen Einstufungswerte bis zu sieben Jahre auf. Ob eine einzelne Übermittlung davon betroffen ist, teilt der Anbieter dem Auftragnehmer nicht mit; der Auftragnehmer kann eine solche Aufbewahrung daher weder ausschließen noch feststellen.

b) Der Auftragnehmer erstellt verschlüsselte Datensicherungen. Diese werden aus Gründen der Integrität als vollständige Abbilder erstellt und nicht nachträglich verändert; ein gelöschter Datensatz bleibt daher bis zum Verfall der betroffenen Sicherung in dieser enthalten, längstens 90 Tage.

(5) Wird eine Datensicherung eingespielt, vollzieht der Auftragnehmer die zwischenzeitlich vorgenommenen Löschungen erneut, bevor der Auftraggeber wieder Zugriff auf den Datenbestand erhält.

§ 8 Haftung

Für Schäden, die aus einer Verletzung der sich aus diesem Vertrag oder der DSGVO ergebenden Pflichten entstehen, haften die Parteien nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO.

§ 9 Änderungen und Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(2) Bei inhaltlichen Änderungen veröffentlicht der Auftragnehmer eine neue, datierte Fassung und kündigt sie dem Auftraggeber mindestens sechs Wochen vor Wirksamkeit in Textform an. Die Ankündigung weist auf die Frist und auf die Folgen einer ausbleibenden Bestätigung nach Absatz 3 gesondert hin.

(3) Bestätigt der Auftraggeber die neue Fassung nicht bis zum Ablauf der Frist, gilt der bisherige Vertrag unverändert fort. Der Auftragnehmer ist in diesem Fall berechtigt, die Verarbeitung auf den Abwicklungsbetrieb zu beschränken: Die Erhebung neuer Bewerberdaten sowie die KI-gestützte Auswertung werden ausgesetzt; der Zugriff des Auftraggebers auf den vorhandenen Datenbestand einschließlich Auskunft, Export und Löschung bleibt unberührt. Das Kündigungsrecht beider Parteien nach § 5 der Allgemeinen Geschäftsbedingungen bleibt unberührt.

(4) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen sowie Unterauftragsverarbeiter

Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind unter Technische und organisatorische Maßnahmen in der jeweils dort veröffentlichten Fassung beschrieben und Bestandteil dieses Vertrags. Über wesentliche Änderungen dieser Maßnahmen informiert der Auftragnehmer den Auftraggeber in Textform. Frühere Fassungen bleiben unter ihrer eigenen Adresse dauerhaft abrufbar.

Mit allen genannten Unterauftragsverarbeitern bestehen entsprechende Verträge:

Anlage 2: Aufbewahrungsfristen

Die folgenden Regelfristen gelten, soweit der Auftraggeber nach § 7 Abs. 3 nichts Abweichendes anweist. Maßgeblich ist jeweils die zuerst zutreffende Zeile.