Datenschutzerklärung
Stand: 22.09.2026
Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Simon Wurster, wurster medien Werbeagentur, Kirchstr. 4, 72178 Waldachtal, Telefon +49 7443 286988-0, E-Mail hallo@wurster-medien.de. Für Anliegen rund um das Produkt Hireeo erreichen Sie uns außerdem unter hallo@hireeo.de.
Datenschutzbeauftragter
Ein Datenschutzbeauftragter ist derzeit nicht bestellt. Mit Aufnahme des Kundenbetriebs werden wir einen Datenschutzbeauftragten benennen und seine Kontaktdaten an dieser Stelle veröffentlichen. Anfragen zum Datenschutz richten Sie bitte an datenschutz@wurster-medien.de; sie werden unabhängig davon bearbeitet.
Zwei unterschiedliche Rollen
Hireeo verarbeitet zwei grundlegend verschiedene Arten personenbezogener Daten, für die unterschiedliche datenschutzrechtliche Verantwortlichkeiten gelten:
- Für die Daten unserer eigenen Kunden (Unternehmen, die Hireeo nutzen, sowie deren angelegte Nutzerkonten) und für Besucher dieser Website sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Diese Datenschutzerklärung beschreibt diese Verarbeitungen.
- Für die Daten von Bewerbern, die über das Bewerbungsportal eines unserer Kunden eingehen, sind wir dagegen Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO — verantwortlich ist der jeweilige Kunde (der Arbeitgeber, bei dem sich der Bewerber bewirbt). Bewerber wenden sich mit Auskunfts-, Berichtigungs- oder Löschanliegen bitte zunächst an diesen Arbeitgeber. Wie wir solche Anliegen im Auftrag unserer Kunden technisch unterstützen, ist weiter unten unter „Verarbeitung von Bewerberdaten im Auftrag unserer Kunden" beschrieben.
Bereitstellung der Website und Server-Logfiles
Beim Aufruf dieser Website erhebt unser Hosting-Anbieter automatisch technische Zugriffsdaten (u. a. IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, verwendeter Browser), um die Website technisch stabil und sicher auszuliefern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen und sicheren Betrieb). Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und nach 30 Tagen automatisch gelöscht.
Cookies und Speicherung auf Ihrem Gerät
Wir setzen keine Analyse- oder Marketing-Cookies und keine Drittanbieter-Tracking-Dienste ein. Gespeichert wird auf Ihrem Gerät ausschließlich Folgendes:
| Was | Wozu | Wie lange |
|---|---|---|
| Sitzungs-Cookie | Hält Ihre Anmeldung und schützt Formulare vor Missbrauch. Auch auf den Karriereseiten unserer Kunden nötig, damit ein Bewerbungsformular abgeschickt werden kann | Bis zum Ende der Sitzung |
| Cookie mit dem Formular-Schutzmerkmal | Verhindert, dass ein Formular von einer fremden Seite aus abgeschickt wird | Bis zum Ende der Sitzung |
| Cookie „angemeldet bleiben" | Nur, wenn Sie das bei der Anmeldung ausdrücklich wählen | Bis zum Abmelden bzw. Ablauf |
| Hinweis-Cookie für die Kopfzeile | Zeigt auf hireeo.de an, ob im Dashboard eine Anmeldung besteht, damit der Knopf die passende Beschriftung trägt. Enthält keinen Zugriffsberechtigungsnachweis | Wie die Sitzungsdauer |
| Zwischenspeicher der Bewerbungsansicht | Stellt im angemeldeten Dashboard die von Ihnen zuletzt geöffnete Ansicht wieder her | Bis zum Schließen des Browsers |
| Einstellungen des Zeitrechners | Merkt sich die Werte, die Sie im Rechner auf unserer Website eingestellt haben, damit Sie sie beim nächsten Besuch wiederfinden. Wird erst gespeichert, wenn Sie einen Regler bewegen | 6 Monate |
| Gewählte Zahlweise | Merkt sich, ob Sie die Preise monatlich oder jährlich angezeigt bekommen möchten. Wird erst gespeichert, wenn Sie umschalten | 6 Monate |
| Gewählte Farbdarstellung der Karriereseite | Merkt sich, ob Sie die Bewerber-Seiten eines Arbeitgebers in dessen Originalfarben oder in der kontrastreicheren Fassung angezeigt bekommen möchten. Wird erst gespeichert, wenn Sie den Schalter in der Kopfzeile betätigen | 6 Monate |
| Zuletzt benutzte Einträge der Suchpalette | Stellt Ihnen im angemeldeten Dashboard die zuletzt aufgerufenen Seiten voran. Gespeichert werden Seitenkennungen und die Adressen zuletzt geöffneter Vorgänge, keine Namen: Die Bezeichnungen dazu holt die Anwendung bei jedem Öffnen neu vom Server, und was Sie nicht mehr sehen dürfen oder was gelöscht wurde, verschwindet dabei dauerhaft aus der Liste | 6 Monate |
| Zwischenspeicher der Programmdateien | Hält die Programmdateien der Anwendung auf Ihrem Gerät vor, damit sie nicht bei jedem Aufruf neu geladen werden müssen. Enthält keine Inhalte aus Bewerbungen | Bis zur nächsten Programmversion |
| Push-Registrierung | Nur, wenn Sie als Mitarbeiter eines Kunden Push-Benachrichtigungen für ein Gerät freigeben — siehe unten | Bis Sie das Gerät wieder entfernen |
Bis auf die Push-Registrierung, die Sie ausdrücklich freigeben, sind diese Einträge für den Betrieb der Website bzw. des Bewerbungsportals erforderlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 25 Abs. 2 Nr. 2 TDDDG.
Kontaktaufnahme über das Demo-Formular
Wenn Sie über das Formular unter /demo eine Demo anfragen, verarbeiten wir die dabei angegebenen Daten (Name, E-Mail-Adresse, Nachricht) zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Die Daten werden gelöscht, sobald sie für die Bearbeitung der Anfrage nicht mehr erforderlich sind, spätestens nach angemessener Zeit ohne weiteren Kontakt.
Warteliste für noch nicht freigeschaltete Länder
Hireeo ist derzeit nur für Kunden mit Sitz in Deutschland buchbar. Interessenten aus anderen Ländern können sich unter /warteliste eintragen, um einmalig benachrichtigt zu werden, sobald wir dort verfügbar sind. Wir verarbeiten dafür Name, Unternehmen, E-Mail-Adresse und Land.
Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Zum Nachweis dieser Einwilligung speichern wir zusätzlich den Zeitpunkt Ihrer Bestätigung, Ihre IP-Adresse, Ihren Browser und den genauen Wortlaut, dem Sie zugestimmt haben.
Die Eintragung erfolgt im Doppel-Bestätigungsverfahren: Ohne Bestätigung über den Link in unserer E-Mail benachrichtigen wir Sie nicht. Nicht bestätigte Einträge löschen wir nach 14 Tagen, bestätigte spätestens nach 24 Monaten. Sie können Ihre Einwilligung jederzeit über den Abmeldelink in jeder E-Mail widerrufen; der Widerruf löscht Ihren Eintrag sofort und vollständig.
Protokollierung von Anmeldevorgängen
Für Konten unserer Kunden und unserer eigenen Mitarbeiter halten wir sicherheitsrelevante Vorgänge rund um den Zugang fest: Anmeldung, fehlgeschlagener Anmeldeversuch, Zurücksetzen des Passworts, Einladung weiterer Personen, Entfernen eines Zugangs und Änderung von Zugriffsrechten. Erfasst werden Zeitpunkt, Nutzerkennung, Name, IP-Adresse und die Art des Vorgangs — keine Bewerberdaten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Verarbeitung), konkretisiert durch Art. 32 Abs. 1 lit. b und Art. 33 Abs. 5 DSGVO. Fehlgeschlagene Anmeldeversuche löschen wir nach 30 Tagen, die übrigen Einträge nach 12 Monaten; mit der Löschung eines Kundenkontos entfällt das gesamte Protokoll. Versuche auf E-Mail-Adressen, zu denen bei uns kein Konto besteht, speichern wir gar nicht erst.
Prüfung von Passwörtern auf bekannt gewordene Datenlecks
Wenn Sie ein Passwort setzen oder ändern, gleichen wir es gegen eine Sammlung öffentlich bekannt gewordener Passwörter ab (Dienst „Have I Been Pwned", betrieben über Cloudflare, USA). Übertragen werden dabei fünf Zeichen eines Prüfwerts Ihres Passworts — weder das Passwort selbst noch der vollständige Prüfwert noch ein Bezug zu Ihrer Person. Der Dienst antwortet mit einer Liste passender Endungen, der eigentliche Abgleich findet bei uns statt. Ein Personenbezug entsteht auf Empfängerseite dadurch nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten vor Übernahme).
Push-Benachrichtigungen auf Geräte unserer Kunden
Mitarbeiter unserer Kunden können im Dashboard für einzelne Geräte Push-Benachrichtigungen freigeben. Wir speichern dafür die vom Browser vergebene Zustelladresse, zwei kryptografische Schlüssel des Browsers und eine Kurzbezeichnung des Geräts; alle drei liegen verschlüsselt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie im Profil jederzeit durch Entfernen des Geräts widerrufen können.
Die Zustellung läuft über den Push-Dienst Ihres Browserherstellers (je nach Browser Google, Mozilla, Apple oder Microsoft); bei einigen davon findet dabei eine Übermittlung in die USA statt. Der Inhalt jeder Meldung ist Ende-zu-Ende verschlüsselt und nur auf Ihrem Gerät lesbar; er enthält zudem bewusst keinen Bewerbernamen, sondern nur Anlass und Stellenbezeichnung.
Fehlererfassung und Erreichbarkeitsüberwachung
Zur Erkennung technischer Störungen setzen wir den Dienst Sentry ein (Functional Software, Inc.). Übermittelt werden dabei Fehlermeldungen mit technischem Kontext. Nicht übermittelt werden Anmeldedaten, Formularinhalte, hochgeladene Unterlagen oder Datenbankinhalte; Bewerbernamen aus Dateipfaden und Zugangslinks von Bewerbern werden vor dem Versand entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Funktionsfähigkeit und Sicherheit der Anwendung). Die Datenspeicherregion unserer Organisation ist auf die Europäische Union festgelegt; die Verarbeitung findet damit in der EU statt. Grundlage ist das Data Processing Amendment des Anbieters. Für einen dennoch möglichen Zugriff seiner US-Muttergesellschaft ist er nach dem EU-US Data Privacy Framework zertifiziert; ergänzend bezieht das Amendment die EU-Standardvertragsklauseln ein.
Registrierung als Kunde
Bei der Registrierung eines Kundenkontos verarbeiten wir Firmenname, Name, E-Mail-Adresse und ein verschlüsselt gespeichertes Passwort zur Bereitstellung des Bewerbungsportals. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Daten werden für die Dauer der Vertragsbeziehung gespeichert; nach einer Kündigung löschen wir das Kundenkonto einschließlich aller zugehörigen Daten nach einer Karenzfrist von 30 Tagen, innerhalb derer Sie Ihre Daten noch exportieren können. Ohne diese Frist löschen wir auf Ihre ausdrückliche Weisung sowie Konten, die mit unzutreffenden Angaben registriert wurden und keine Bewerberdaten enthalten. Nach jeder Löschung bewahren wir einen Löschnachweis auf — Firmenname, Zeitpunkt und Art der Löschung, ohne Bewerberdaten —, um die Löschung belegen und nach dem Einspielen einer Datensicherung erneut vollziehen zu können; er wird nach 12 Monaten gelöscht (Art. 6 Abs. 1 lit. f DSGVO). Gesetzliche Aufbewahrungspflichten, etwa für Rechnungsunterlagen, bleiben davon unberührt. Zum Schutz der kostenlosen Testphase prüfen wir außerdem die Domain Ihrer E-Mail-Adresse: Adressen von Wegwerf-Maildiensten nehmen wir nicht an, und wir ordnen intern ein, ob die Adresse zu einer Firmendomain, einem großen Mailanbieter oder einem bekannten Mitbewerber gehört. Das Ergebnis steht allein in unserer internen Mitteilung über die neue Registrierung, nicht in Ihrem Kundenkonto. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Testphase vor Missbrauch und vor der Nutzung durch Mitbewerber).
Zahlungsabwicklung
Die Abwicklung kostenpflichtiger Abonnements erfolgt über unseren Zahlungsdienstleister Stripe Payments Europe, Ltd. Dabei werden die für die Zahlungsabwicklung erforderlichen Daten (u. a. Rechnungsadresse, Zahlungsmittel) direkt an Stripe übermittelt; Bewerberdaten sind davon nicht betroffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Nähere Informationen entnehmen Sie der Datenschutzerklärung von Stripe.
Verarbeitung von Bewerberdaten im Auftrag unserer Kunden
Wenn sich ein Bewerber über die Karriereseite, das Einbetten-Formular oder per E-Mail bei einem unserer Kunden bewirbt, verarbeiten wir die dabei anfallenden Daten (u. a. Stammdaten, Lebenslauf, Zeugnisse, Anschreiben) ausschließlich im Auftrag und nach Weisung dieses Kunden, auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Umfang, Zweck und Rechtsgrundlage dieser Verarbeitung bestimmt allein der Kunde als Verantwortlicher; dessen eigene Datenschutzerklärung ist maßgeblich.
Zur Unterstützung der Kunden bei der Sichtung eingehender Bewerbungen werden hochgeladene Unterlagen sowie Kontextangaben zur Stelle an den KI-Anbieter Anthropic zur automatisierten Analyse übermittelt. Die Auswertung liefert eine Zusammenfassung sowie unverbindliche Vorschläge — es findet keine automatisierte Entscheidung über Bewerber im Sinne von Art. 22 DSGVO statt; jede Übernahme von Vorschlägen erfolgt ausschließlich durch manuelle Bestätigung des Kunden. Die Verarbeitung ist keiner Region zugeordnet und findet tatsächlich in den USA statt, es handelt sich also um eine Übermittlung in ein Drittland; Rechtsgrundlage sind die EU-Standardvertragsklauseln im Rahmen des mit Anthropic geschlossenen Data Processing Addendum. Der Anbieter darf die übermittelten Daten vertraglich nicht zum Training von KI-Modellen verwenden und hält sie nach seiner Konto-Einstellung im Regelfall bis zu 30 Tage zur Missbrauchsabwehr vor. Stuft seine automatische Missbrauchskontrolle eine Anfrage als Verstoß gegen seine Nutzungsbedingungen ein, bewahrt er Ein- und Ausgabe nach eigenen Angaben bis zu zwei Jahre und die zugehörigen Einstufungswerte bis zu sieben Jahre auf.
Möchten Bewerber ihre Unterlagen in den Talentpool eines Kunden aufnehmen lassen, holen wir dafür eine gesonderte Einwilligung des Bewerbers per Bestätigungslink ein (Art. 6 Abs. 1 lit. a DSGVO) — auch hier im Auftrag des jeweiligen Kunden. Diese Einwilligung nehmen wir ausschließlich von volljährigen Bewerbern entgegen; minderjährige Bewerber werden nicht in den Talentpool aufgenommen. Auf die Bewerbung selbst hat das keinen Einfluss — sie beruht nicht auf einer Einwilligung, sondern auf dem vorvertraglichen Verhältnis (Art. 6 Abs. 1 lit. b DSGVO). Die Einwilligung kann jederzeit über einen dauerhaften, login-freien Link selbst widerrufen werden; der Widerruf löscht den Datensatz und die zugehörigen Unterlagen unverzüglich.
Weitere technische und organisatorische Einzelheiten zur Verarbeitung von Bewerberdaten finden Sie in den Technischen und organisatorischen Maßnahmen.
Empfänger und Unterauftragsverarbeiter
Mit allen unten genannten Dienstleistern bestehen die jeweils angegebenen Verträge:
| Anbieter | Zweck | Standort | Vertrag |
|---|---|---|---|
| Hetzner Online GmbH | Server-Hosting | Deutschland | Auftragsverarbeitungsvertrag |
| Anthropic | KI-gestützte Auswertung von Bewerbungsunterlagen | USA (EU-Standardvertragsklauseln) | Data Processing Addendum |
| Sinch (Mailgun) | E-Mail-Versand und -Empfang | EU | Data Processing Agreement |
| Ploi | Server-Management | EU | Data Processing Agreement |
| Stripe | Zahlungsabwicklung (keine Bewerberdaten) | EU-Vertragspartner | Data Processing Agreement |
| Sentry (Functional Software, Inc.) | Fehlererfassung und Erreichbarkeitsüberwachung (keine Bewerbungsunterlagen) | EU | Data Processing Amendment |
Für die Verarbeitung von Bewerberdaten im Auftrag unserer Kunden sind ausschließlich die ersten drei Anbieter Empfänger.
Speicherdauer
Für die Daten unserer eigenen Kunden und Website-Besucher gelten die bei den einzelnen Verarbeitungen oben genannten Fristen.
Für Bewerberdaten ist der jeweilige Arbeitgeber Verantwortlicher; die folgenden Fristen sind die Voreinstellung unseres Systems und können im Einzelfall auf seine Weisung abweichen:
| Fall | Frist | gerechnet ab |
|---|---|---|
| Bewerbung abgelehnt | 6 Monate | Ablehnung |
| Bewerber eingestellt | 6 Monate | Einstellung — danach gehören die Unterlagen in die Personalakte des Arbeitgebers |
| Bewerbung noch offen (neu, in Bearbeitung) | 12 Monate | letzter Statuswechsel bzw. letzte gesetzte Wiedervorlage |
| Obergrenze für offene Bewerbungen | 24 Monate | Eingang, durch keine Bedienhandlung verschiebbar. Ausgenommen sind Ausbildungsbewerbungen und Nachrücker, weil Ausbildungsplätze ein bis zwei Jahre im Voraus besetzt werden; dort gilt allein die 12-Monats-Frist |
| Zurückgestellte Nachricht in der Eingangsprüfung | 30 Tage | Zurückstellung — es sind Zusendungen unbekannter Herkunft, deren Zweck sich erst erweisen muss |
| Talentpool | 24 Monate | Erteilung der Einwilligung, sofern sie nicht vorher widerrufen wird |
Die Frist von 6 Monaten nach einer Ablehnung orientiert sich an § 15 Abs. 4 AGG zuzüglich eines Sicherheitspuffers.
Ein Zugriffsprotokoll zu Bewerberdaten wird 12 Monate aufbewahrt und enthält keine Bewerber-Klardaten. Nach einer Löschung im System kann eine Kopie noch bestehen: im Regelfall bis zu 30 Tage beim KI-Anbieter — im oben genannten Ausnahmefall einer Missbrauchsprüfung länger — und längstens 90 Tage in unseren verschlüsselten Datensicherungen; wird eine Sicherung eingespielt, vollziehen wir die zwischenzeitlich vorgenommenen Löschungen erneut.
Ihre Rechte als betroffene Person
Ihnen stehen nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen eine auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zudem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.
Sind Sie Bewerber bei einem unserer Kunden, wenden Sie sich mit diesen Anliegen bitte zunächst an den jeweiligen Arbeitgeber als Verantwortlichen; wir unterstützen ihn dabei nach Art. 28 DSGVO.
Keine automatisierte Entscheidungsfindung
Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO ein. Die in dieser Erklärung beschriebene KI-gestützte Auswertung von Bewerbungsunterlagen liefert ausschließlich unverbindliche Vorschläge zur Unterstützung unserer Kunden; jede Entscheidung trifft ein Mensch.
Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs aktuelle Fassung.