Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen des Hauptvertrags über die technische Kandidatenprüfung (Recruiting as a Service) im Auftrag des Verantwortlichen durchführt.
Auftragsverarbeiter ist die IT Titans Software GmbH, Am Emsdeich 48, 26789 Leer, Deutschland, eingetragen im Handelsregister unter HRB 206604, vertreten durch den Geschäftsführer Rene Koch (nachfolgend „Auftragsverarbeiter“). Verantwortlicher ist der Auftraggeber, der die Leistungen über die Plattform bzw. den Hauptvertrag in Anspruch nimmt (nachfolgend „Verantwortlicher“).
Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.
Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Der AVV endet automatisch mit dessen Beendigung; die Pflichten zur Löschung und Rückgabe (§ 9) bestehen darüber hinaus fort.
Gegenstand und Zweck der Verarbeitung ist die Erbringung der vereinbarten Leistungen zur Beurteilung der fachlichen Eignung von IT-Bewerbern (CV-Evaluation, technisches Erstinterview) sowie die Bereitstellung eines verständlichen Fachurteils.
Die Art der Verarbeitung umfasst das Erheben, Erfassen, Speichern, Organisieren, Auswerten, Verwenden zur Beurteilung, das Übermitteln an vertraglich zur Vertraulichkeit verpflichtete Prüfer sowie das Löschen der Daten.
Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EU/EWR). Eine Übermittlung personenbezogener Daten in Drittländer findet nicht statt.
Kategorien betroffener Personen: Bewerberinnen und Bewerber (Kandidaten) des Verantwortlichen für IT-Positionen.
Art der personenbezogenen Daten: Stammdaten (z. B. Name, Kontaktdaten), Lebensläufe und Bewerbungsunterlagen, gegebenenfalls Arbeitszeugnisse, im technischen Erstgespräch erhobene Angaben und dessen Aufzeichnungen sowie die daraus erstellten Prüfergebnisse und Fachurteile.
Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass er solche Daten nicht an den Auftragsverarbeiter übermittelt.
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Die bestimmungsgemäße Nutzung der Plattform im vereinbarten Funktionsumfang gilt als dokumentierte Weisung. Weitergehende oder abweichende Weisungen bedürfen der Textform.
Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
Vertraulichkeit: Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten Personen — einschließlich eingesetzter externer Experten — zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Sicherheit der Verarbeitung: Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen; diese sind im Abschnitt „Technische und organisatorische Maßnahmen“ am Ende dieses AVV beschrieben.
Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Wahrung der Betroffenenrechte (§ 8), bei der Meldung von Datenschutzverletzungen (§ 6), bei Datenschutz-Folgenabschätzungen (§ 7) sowie bei der Einhaltung der Rechenschaftspflichten.
Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntnisnahme.
Die Meldung enthält, soweit verfügbar, die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.
Der Auftragsverarbeiter unterstützt den Verantwortlichen auf Anfrage und im Rahmen des Zumutbaren bei etwaigen Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO), soweit die im Auftrag durchgeführte Verarbeitung betroffen ist.
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nachzukommen.
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht zur weiteren Speicherung verpflichtet.
Die Löschung einzelner Kandidaten ist jederzeit über die Anwendung möglich (Sofort-Löschung der Datenbankzeilen und der zugehörigen Dokumente). Nicht wiederhergestellte Daten werden nach Ablauf der 30-tägigen Wiederherstellungsfrist durch einen automatischen Lösch-Job endgültig und unwiederbringlich entfernt.
Vorhandene Sicherungskopien werden im Rahmen der regulären Rotationszyklen überschrieben.
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der nachstehend aufgeführten Liste angegeben.
Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann einer solchen Änderung innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Im Fall eines berechtigten Widerspruchs ist jede Partei berechtigt, den betroffenen Leistungsteil oder den Hauptvertrag außerordentlich zu kündigen.
Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das den Anforderungen dieses AVV entspricht. Alle Unterauftragsverarbeiter verarbeiten ausschließlich innerhalb der EU/des EWR.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung, vorrangig durch geeignete Dokumentation, Testate oder Zertifikate — auch der eingesetzten Unterauftragsverarbeiter.
Darüber hinausgehende Vor-Ort-Prüfungen kann der Verantwortliche nach angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und in der Regel höchstens einmal jährlich selbst durchführen oder durch einen zur Vertraulichkeit verpflichteten Dritten durchführen lassen. Die hierdurch beim Auftragsverarbeiter entstehenden angemessenen Kosten trägt der Verantwortliche.
Für die Haftung der Parteien gelten die Bestimmungen des Hauptvertrags sowie die zwingenden Regelungen des Art. 82 DSGVO.
Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des Kollisionsrechts.
Änderungen und Ergänzungen dieses AVV bedürfen der Textform; dies gilt auch für die Aufhebung dieses Textformerfordernisses.
Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Stand: August 2026 · IT Titans Software GmbH · Am Emsdeich 48 · 26789 Leer · Deutschland.
Zutritts-, Zugangs- und Zugriffskontrolle: Die Anwendung wird auf gehärteten Cloud-Diensten innerhalb der EU/des EWR betrieben. Der Zugriff auf personenbezogene Daten ist auf berechtigte Personen und Systemdienste beschränkt; auf Datenbankebene bestehen getrennte Rollen mit minimalen Rechten (Least Privilege).
Mandantentrennung: Die Daten verschiedener Auftraggeber sind logisch strikt getrennt. Auf Datenbankebene erzwingt eine zeilenbasierte Zugriffskontrolle (Row-Level Security), dass jede Anfrage ausschließlich Daten der jeweils eigenen Organisation verarbeitet.
Authentifizierung und Zugangssicherung: Der Zugang erfolgt über persönliche Benutzerkonten mit E-Mail-Verifikation und Passwort. Anmeldeversuche sind ratenbegrenzt, Sitzungen sind zeitlich befristet, und Anmeldungen werden protokolliert.
Verschlüsselung: Die Datenübertragung erfolgt transportverschlüsselt (TLS). Datenbank und hochgeladene Dokumente werden bei den eingesetzten Cloud-Diensten verschlüsselt gespeichert (Verschlüsselung „at rest“).
Integrität und Nachvollziehbarkeit: Sicherheitsrelevante Vorgänge — unter anderem Anmeldungen, Rollen- und Mitgliedschaftsänderungen sowie Löschungen — werden in einem Audit-Protokoll dokumentiert.
Verfügbarkeit und Belastbarkeit: Für die Datenbank bestehen automatische Sicherungen mit Wiederherstellbarkeit. Betriebsüberwachung und Fehlerdiagnose erfolgen über von personenbezogenen Daten bereinigte Telemetrie.
Löschkonzept: Personenbezogene Daten werden auf Weisung oder nach Ablauf der Wiederherstellungsfrist endgültig und unwiederbringlich gelöscht (siehe § 9).
Auftrags- und Weitergabekontrolle: Unterauftragsverarbeiter werden sorgfältig ausgewählt, nach Art. 28 DSGVO vertraglich verpflichtet und ausschließlich innerhalb der EU/des EWR eingesetzt.
| Dienst | Zweck | Region | Rechtsgrundlage |
|---|---|---|---|
| Microsoft Azure Database for PostgreSQL | Datenbank-Hosting (Kandidaten- und Organisationsdaten) | West Europe (Niederlande) | Art. 28 DSGVO (Auftragsverarbeitung) |
| Microsoft Azure Blob Storage | Speicherung hochgeladener Lebensläufe und Dokumente | West Europe (Niederlande) | Art. 28 DSGVO (Auftragsverarbeitung) |
| Microsoft Azure Application Insights | Betriebs-Telemetrie und Fehlerdiagnose (PII-bereinigt) | Germany North (Berlin) | Art. 28 DSGVO (Auftragsverarbeitung) |
| Brevo (Sendinblue SAS) | Versand transaktionaler E-Mails | EU (Frankreich) | Art. 28 DSGVO (Auftragsverarbeitung) |
| Stripe Payments Europe, Limited | Zahlungsabwicklung und Rechnungsstellung (Abrechnung) | EU (Irland); Übermittlung in Drittländer an Konzerngesellschaften auf Grundlage der EU-Standardvertragsklauseln | Art. 28 DSGVO (Auftragsverarbeitung) |