Datenschutz Whitepaper

Geändert am Do, 1 Jun, 2023 um 11:59 VORMITTAGS

Datenschutz, Recht & Vertrauen
beim talentsconnect JobShop

Eine vertrauensvolle Zusammenarbeit ist für uns der Kern einer erfolgreichen Vertragsbeziehung. Und Vertrauen beginnt mit Transparenz. Da wir dies nicht nur während der Zusammenarbeit als essentiell ansehen, möchten wir damit bereits jetzt beginnen. Im Folgenden informieren wir Sie über unser Vertragswerk und die Maßnahmen, die wir in den Bereichen Datenschutz und Datensicherheit getroffen haben.

Unsere Vertragsstandards

“Software as a Service”-Vertrag

Als Software-as-a-Service-Anbieter stellen wir unseren Kunden eine internetbasierte Recruiting Technologie, mit welcher diese Jobs optimal online anbieten und datengestützt vermarkten können, für die Dauer des Vertrags zur Verfügung. Der Lizenzvertrag setzt sich aus

Angebot,
unseren Allgemeinen Geschäftsbedingungen sowie
einem Art. 28 DSGVO entsprechenden Auftragsverarbeitungsvertrag

zusammen.

Datenverarbeitung im Zusammenhang mit unseren Leistungen

Unsere Leistungen an Sie bieten wir im Rahmen eines hybriden Datenverarbeitungsmodells an:

Den JobShop betreiben wir bis zum Absenden der Bewerbung durch den Bewerber auf unserer Infrastruktur in eigener Verantwortlichkeit im Sinne von Art. 4 Nr. 7 DSGVO (“talentsconnect als Verantwortlicher”). Anschließend senden wir die Bewerbungsdaten direkt an Ihr Bewerbermanagementsystem, das Sie in Ihrer eigenen datenschutzrechtlichen Verantwortlichkeit im Sinne von Art. 4 Nr. 7 DSGVO betreiben (“Kunde als Verantwortlicher”).
Ab dem Zeitpunkt des Übermittelns der Bewerberdaten sowie im Zusammenhang mit dem Recruiting Home werden wir für Sie als Auftragsverarbeiter gemäß Art. 28 DSGVO tätig (“talentsconnect als Auftragsverarbeiter”).
Wir haben Verantwortlichkeitsschnittstellen, wie z.B. die Übermittlung der Bewerberdaten und die Verantwortlichkeit für entsprechende Informationen und/oder Einwilligungserklärungen gegenüber den Bewerbern, in unseren Verträgen definiert.

talentsconnect als Verantwortlicher

Im Rahmen der eigenen datenschutzrechtlichen Verantwortlichkeit werden wir selbstverständlich ebenso wie im Rahmen der Datenverarbeitung im Auftrag alle einschlägigen Datenschutzvorschriften, insbesondere die Vorschriften der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG), sowie einschlägiger datenschutzrechtlicher Spezialnormen einhalten. Zur Wahrung der Vertraulichkeit, Verfügbarkeit, Integrität und Authentizität der im Rahmen der Bereitstellung des JobShops zur Verfügung gestellten personenbezogenen Daten ergreifen wir starke technische und organisatorische Maßnahmen. Wir verpflichten alle unsere Mitarbeiter*innen zur Vertraulichkeit und löschen personenbezogene Daten im Rahmen der gesetzlichen Vorgaben.

Dazu verpflichten wir uns im Rahmen unseres Vertragswerks (Ziffer 12 der Allgemeinen Geschäftsbedingungen).

talentsconnect als Auftragsverarbeiter

Mit jedem Lizenzvertrag schließen wir mit unseren Kunden auch einen Auftragsverarbeitungsvertrag für die als Auftragsverarbeitung durchgeführten Tätigkeiten, die den Anforderungen der Datenschutz-Grundverordnung sowie Industriestandards entsprechen.

Neben dem nach Art. 28 Abs. 3 DSGVO erforderlichen rechtlichen Vereinbarungen, stellen wir Ihnen umfangreiche Informationen zu den implementierten technischen und organisatorischen Maßnahmen zur Verfügung. Auf Wunsch stellen wir Ihnen gerne auch die für unsere Kunden relevanten Informationssicherheitsrichtlinien zur Verfügung.

Unsere Subunternehmer haben wir sorgfältig ausgewählt und stellen Ihnen die Liste mit allen Informationen zum Einsatzzweck sowie vertraglichen Regelungen vor Vertragsabschluss zusammen mit dem Auftragsverarbeitungsvertrag zur Verfügung. Grundsätzlich befinden sich die Server unserer Subunternehmer in der EU / dem EWR. Sofern dies ausnahmsweise in Einzelfällen nicht möglich war, haben wir neben den EU-Standardvertragsklauseln weitere Maßnahmen zum Schutz der Daten der Bewerber*innen und Ihrer Mitarbeiter*innen implementiert. Dabei handelt es sich beispielsweise um Verschlüsselungs- und Pseudonymisierungsmaßnahmen, wobei die Zuordnungsregel auf unseren Servern in der EU verbleibt.

Datenschutz & Datensicherheit

Als Software-as-a-Service-Dienstleister, der Ihren Bewerber*innen ein Karriereportal (“JobShop”), Ihren Mitarbeiter*innen Zugang zum Recruiting Home zur Verwaltung des JobShops zur Verfügung stellt und Ihnen die Bewerberdaten über die vereinbarten Kanäle übermittelt, ist uns der sichere und vertrauensvolle Umgang mit den Daten der Kandidat*innen und Mitarbeiter*innen unserer Kunden sehr wichtig und ein integraler Bestandteil unserer Produktstrategie.

Unsere Welt verändert sich schnell und auch die Anforderungen an den Datenschutz: Wir werden uns auch in Zukunft allen (rechtlichen) Herausforderungen stellen, um die Daten Ihres Unternehmens und Ihrer künftigen und aktuellen Mitarbeitenden zu schützen und den Schutz der (personenbezogenen) Daten unserer Kunden stetig zu verbessern.

Unser JobShop ist daher so designed, dass so wenig personenbezogene Daten wie möglich erhoben und - sofern möglich - verschlüsselt (alle Daten in der Datenbank (encryption at rest’), ‘data in motion’ und Passwörter), pseudonymisiert und aggregiert, werden und Verantwortlichkeiten klar und transparent gegenüber den Bewerber*innen offen gemacht werden. Wir arbeiten mit einem umfangreichen, dokumentierten Information Security Management System (ISMS) und stellen hohe Anforderungen an eine nachweisbare technische und organisatorische Datensicherheit. In den folgenden Abschnitten möchten wir Ihnen einen Überblick über die Maßnahmen geben, die wir zum Schutz unserer Kunden und deren Bewerber*innen sowie Mitarbeiter*innen, zur Gewährleistung hoher Datenschutz- und Datensicherheitsstandards getroffen haben und welche vertraglichen Zusicherungen wir unseren Kunden geben.

Datenschutz

Bei der Nutzung des JobShops sind die Verantwortlichkeiten im Sinne der tatsächlichen Kontroll- und Zugriffssphären klar geregelt:

Den JobShop betreiben wir in eigener datenschutzrechtlicher Verantwortlichkeit, Art. 4 Nr. 7 DSGVO und machen dies gegenüber den Bewerber*innen durch entsprechende Informationen transparent. Dazu gehören unser Impressum, die Beschreibung der Verantwortlichkeit in der Datenschutzerklärung des JobShops sowie das talentsconnect-Logobanner. Dies ermöglicht uns, den JobShop flexibel technisch weiter zu entwickeln und den Bewerber*innen das bestmögliche Bewerbungserlebnis zu ermöglichen. Im Verhältnis zu unseren Kunden sorgt dies dafür, dass Kunden nicht in eine vertragliche Verantwortlichkeit gezogen werden, die ihrer faktischen Kontrolle entzogen ist.

Ab Übermittlung der Bewerbungsdaten an das Bewerbermanagement des Kunden, verlassen die Bewerber*innendaten unsere Kontrollsphäre und befinden sich nun auf der durch den Kunden kontrollierten Infrastruktur. Daher liegt die datenschutzrechtliche Verantwortlichkeit nun bei Ihnen als Kunde. talentsconnect verarbeitet ab diesem Zeitpunkt insbesondere im Zusammenhang mit dem Recruiting Home als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung sämtliche personenbezogenen Daten unter Weisung und Kontrolle der Kunden.

Auftragsverarbeitungsvertrag

Im Rahmen der Besprechung und Verhandlung unserer Zusammenarbeit, werden wir gemeinsam die Verpflichtungen von talentsconnect – als Datenverarbeiter – und Ihnen – als Datenverantwortliche – in einem Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO festhalten. Zusammen mit unseren allgemeinen vertraglichen Regelungen wird dies die vertragliche Grundlage für die Einhaltung der DSGVO sowie des Bundesdatenschutzgesetzes (BDSG) bilden. Wir legen darin fest, wie wir Ihre Daten verarbeiten und schützen. Der Abschluss eines Auftragsverarbeitungsvertrags gehört bei uns automatisch zum Vertragspaket.

Welche personenbezogenen Daten werden bei der Nutzung des JobShops erhoben?

Im Zusammenhang mit der Nutzung des JobShops erheben und verarbeiten wir Daten von Besucher*innen und Bewerber*innen. Zusätzlich verarbeiten wir Daten bei Nutzung der Jobs merken Funktion sowie im Zusammenhang mit der JobShop Verwaltung im Recruiting Home Daten von Mitarbeiter*innen des Kunden. Es handelt sich um folgende Datenkategorien:

Stammdaten (Name, Adresse, Kontaktdaten einschließlich E-Mail)
Bewerbungsdaten (Lebenslauf, Zeugnisse, etc.)
Im Rahmen des Recruiting Home: Zugangsdaten der Mitarbeiter*innen

Wo werden personenbezogene Daten gespeichert?

Zur Speicherung der Daten im Zusammenhang mit dem JobShop nutzen wir das die Dembach Goo Informatik GmbH & Co. KG in Köln, Deutschland, die wiederum die Rechenzentren von Equinix (Düsseldorf, Deutschland), sowie von Interxion (Düsseldorf, Deutschland) verwendet.

Subunternehmer

Kein SaaS-Provider (Software-as-a-Service) kann alle Dienste selbst ausführen. Daher ist es für die Fortführung unserer Geschäftstätigkeit von entscheidender Bedeutung, Drittanbieter zu nutzen, denen wir vertrauen. Zusammen mit dem Auftragsverarbeitungsvertrag erhalten Sie automatisch eine Liste sämtlicher Subunternehmer, die wir für die Erbringung unserer Leistung einsetzen.

Datenverarbeitungen im Zusammenhang mit Cookies im JobShop werden transparent gegenüber Bewerber*innen in einem Einwilligungs- und Informations-Banner gemanagt und Daten pseudonymisiert und aggregiert gespeichert. Bewerber*innen können selbst entscheiden, welche Verarbeitungen sie zulassen möchten. Auf Wunsch des Kunden besteht die Möglichkeit, das von uns als Standard verwendete Webanalyse-System gegen ein anderes von uns ausgewähltes Webanalyse-System auszutauschen. Außerdem können in Abstimmung weitere Dienste im JobShop eingebunden werden.

Drittstaatentransfers

Sofern die Subunternehmer außerhalb der EU/des EWR sitzen oder durch Konzerngesellschaften von außerhalb auf die Daten zugreifen, haben wir - sofern keine anderen Schutzmaßnahmen im Sinne des Art. 46 DSGVO existieren - die EU-Standardvertragsklauseln, 2021/915, mit dem jeweiligen Subunternehmer geschlossen. Zusätzlich haben wir mit diesen vor dem Hintergrund des Schrems-II Urteils des Europäischen Gerichtshofes (C‑311/18) zusätzliche Schutzmaßnahmen zur Gewährleistung eines angemessenen Datenschutzniveaus vorgenommen, die wir Ihnen im Zusammenhang mit unser Datenverarbeitung als Auftragsverarbeiter in der Tabelle mit unseren Subunternehmern im Auftragsverarbeitungsvertrag auflisten. Bei den getroffenen Schutzmaßnahmen und der Auswahl der Anbieter haben wir sowohl die Datenkategorien, die Sensitivität der Daten als auch die mit dem Datentransfer verbundenen Risiken einbezogen und je nach Risikokategorie unter anderem Maßnahmen, wie Verschlüsselung, Anonymisierung und vertragliche Regelungen implementiert.

Neue Subunternehmer

Neue Subunternehmer im Rahmen der Datenverarbeitung im Auftrag werden per Mailing vorab angekündigt, so dass der Kunde vorab prüfen kann.

Bitte beachten Sie, dass wir als SaaS-Service keine individuelle Anpassung unserer Dienste vornehmen können und daher auch keine einzelnen Subunternehmer abschalten können.

Kontrolle

Nach Vertragsende, oder auf Ihren ausdrücklichen Wunsch auch zuvor, löschen wir sämtliche personenbezogenen Daten Ihrer Mitarbeiter*innen. Verlässt ein*e Mitarbeiter*in Ihr Haus, können wir die Daten direkt auf Ihren Hinweis hin löschen.

Löschung von Bewerber*innen-Daten:

IP-Adressen löschen wir nach 14 Tagen.
Bewerbungen werden an den ATS des Kunden übertragen und anschließend nach 30 Tagen auf unseren Systemen gelöscht, um innerhalb dieses Zeitraums die Bewerbung erneut an den Kunden übermitteln zu können, sofern die Übertragung nicht erfolgreich war. Eine Verkürzung der Frist auf 14 Tage ist nach individueller Vereinbarung möglich.
Bei Bewerbungen, die per E-Mail zugestellt wurden oder bei denen die FastApplication nicht genutzt wird, werden keine Daten bei uns gespeichert.
Speichern von Jobs durch Kandidaten: Die damit verbundenen Daten werden automatisch gelöscht, nachdem sich die/der jeweilige Kandidat*in abgemeldet hat. In jeder E-Mail befindet sich eine direkte Abmeldemöglichkeit. Wird die Merken-Funktion für eine konkrete Stelle verwendet, wird die Anmeldung für die gewünschte Stellenübermittlung genutzt und anschließend gelöscht.

Außer den zur Erbringung unserer vertraglichen Leistungen erforderlichen Verarbeitungen erfolgt keine Auftragsdatenverarbeitung ohne die ausdrückliche Weisung unserer Kunden.

Sonstiges

talentsconnect stellt den JobShop in eigener Verantwortung als Diensteanbieter im Sinne des § 2 TMG zur Verfügung. Daher ist talentsconnect auch als Diensteanbieterin im Impressum gemäß § 5 TMG benannt.