Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

PHE-Perm Engineering Ingenieure & Techniker GmbH
Hüttenstraße 30, 40215 Düsseldorf, Deutschland
Telefon: +49 211 158 63 100
E-Mail: matin.askaryar@phe-perm.de

Weitere Angaben finden Sie im Impressum. Kontakt für Datenschutzanliegen: matin.askaryar@phe-perm.de.

2. Welche Daten wir verarbeiten

• Unternehmenskund:innen: Name, geschäftliche E-Mail, Firmenzugehörigkeit, Zugangsdaten sowie Stellenanzeigen.
• Kandidat:innen: Name, E-Mail, Telefon, Adresse, Lebenslauf, Qualifikationen, Gehaltsvorstellung, Verfügbarkeit und Wohnort (zur Berechnung der Entfernung zum Arbeitsort). Kandidat:innen werden von unseren Recruiter:innen angelegt; ein eigener Login besteht nicht.
• Protokolldaten: datenschutzrelevante Aktionen (Audit Log), technische Server-Logs.

3. Herkunft der Kandidatendaten

Kandidatendaten erheben wir in der Regel direkt bei den betroffenen Personen — etwa im Rahmen einer Bewerbung, eines Vermittlungsgesprächs oder durch Übermittlung des Lebenslaufs an unsere Recruiter:innen (Art. 13 DSGVO). Werden Daten ausnahmsweise nicht direkt bei der betroffenen Person erhoben, informieren wir sie gemäß Art. 14 DSGVO spätestens bei der ersten Kontaktaufnahme — in der Regel mit der E-Mail, über die die Freigabe des Profils angefragt wird — über die Verarbeitung, ihre Rechte und die Quelle der Daten.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung der Plattform und Vertragserfüllung gegenüber Unternehmenskund:innen — Art. 6 Abs. 1 lit. b DSGVO.
• Aufnahme von Kandidat:innen in den Vermittlungspool und Anbahnung eines Beschäftigungsverhältnisses — Art. 6 Abs. 1 lit. b DSGVO (Vermittlungsverhältnis) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Personalvermittlung).
• Anonymes, regelbasiertes Matching von Profilen auf Stellen — Art. 6 Abs. 1 lit. f DSGVO.
• Freigabe von Klardaten einer Kandidatin / eines Kandidaten an ein Unternehmen — ausschließlich nach ausdrücklicher Einwilligung der betroffenen Person, Art. 6 Abs. 1 lit. a DSGVO.
• Technische Bereitstellung, Stabilität und Sicherheit (Server-Logs) — Art. 6 Abs. 1 lit. f DSGVO.

5. Anonymität und Einwilligung

Profile von Kandidat:innen werden Unternehmen zunächst ausschließlich anonymisiert angezeigt (ohne Name und Kontaktdaten). Bekundet ein Unternehmen Interesse, erhält die betroffene Person einen einmaligen, zeitlich befristeten Freigabe-Link per E-Mail. Erst nach aktiver Zustimmung werden Name und Lebenslauf für dieses eine Unternehmen sichtbar. Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar. Abgelaufene Freigabe-Links werden automatisch gelöscht.

6. Keine automatisierte Entscheidung im Einzelfall

Unser Matching-System erstellt regelbasierte Vorschläge, welche Profile zu einer Stelle passen könnten. Es trifft keine automatisierte Letztentscheidung im Sinne des Art. 22 DSGVO: Jeder Vorschlag wird von unseren Mitarbeiter:innen geprüft und freigegeben, bevor er einem Unternehmen angezeigt wird, und die Entscheidung über eine Kontaktaufnahme oder Einstellung liegt ausschließlich bei Menschen. Kandidat:innen werden durch das System niemals automatisiert abgelehnt.

7. Cookies

Diese Plattform verwendet ausschließlich technisch notwendige Cookies für die Anmeldung und Sitzungsverwaltung registrierter Nutzer:innen (§ 25 Abs. 2 Nr. 2 TDDDG). Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt; eine Einwilligungsabfrage (Cookie-Banner) ist daher nicht erforderlich.

8. Auftragsverarbeiter und Sub-Dienstleister

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen Auftragsverarbeitungsverträge (Art. 28 DSGVO) bestehen:

• Supabase — Datenbank-Hosting (Region EU, Irland).
• Vercel — Anwendungs-Hosting (Serverstandort Frankfurt, EU). Beim Aufruf der Website werden technisch bedingt Verbindungsdaten (u.a. IP-Adresse) in Server-Logs verarbeitet.
• Resend — Versand von Transaktions-E-Mails (z.B. Freigabe-Links, Erinnerungen).
• OpenAI — automatisierte Text-Extraktion aus hochgeladenen Lebensläufen und Stellenanzeigen. Hierbei werden die betreffenden Dokumentinhalte an OpenAI übermittelt; es findet eine Übermittlung in die USA statt (siehe Abschnitt 9). Die Inhalte werden nicht zum Training von KI-Modellen verwendet.
• OpenStreetMap / Nominatim — Umwandlung von Ortsnamen in Koordinaten für die Entfernungsberechnung. Die Abfrage erfolgt serverseitig; übermittelt wird ausschließlich der Ortsname, keine IP-Adressen oder Namen von Nutzer:innen oder Kandidat:innen.

9. Übermittlung in Drittländer

Im Rahmen der KI-gestützten Text-Extraktion (OpenAI) werden personenbezogene Daten in die USA übermittelt. Die Übermittlung wird durch geeignete Garantien abgesichert (EU-Standardvertragsklauseln bzw. Zertifizierung nach dem EU-US Data Privacy Framework). Eine Kopie der Garantien kann über die im Impressum genannte Kontaktadresse angefordert werden.

10. Sicherheit

Kontaktdaten von Kandidat:innen (Name, E-Mail, Telefon, Adresse) werden mit AES-256-GCM verschlüsselt gespeichert. Der Zugriff ist durch rollenbasierte Zugriffskontrolle auf Datenbankebene (Row Level Security) und einen verschlüsselten Transport (TLS) abgesichert. Zugriffe und datenschutzrelevante Aktionen werden protokolliert.

11. Speicherdauer und Löschung

Personenbezogene Daten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind oder eine betroffene Person die Löschung verlangt. Kandidatenprofile werden nicht länger als für die Vermittlung erforderlich vorgehalten. Löschanträge nach Art. 17 DSGVO werden innerhalb von 30 Tagen bearbeitet, soweit keine gesetzlichen Aufbewahrungspflichten (z.B. handels- und steuerrechtliche Fristen) entgegenstehen.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung genügt eine formlose Nachricht an matin.askaryar@phe-perm.de.

Zudem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde. Zuständig für uns ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2-4, 40213 Düsseldorf, www.ldi.nrw.de.