Auftragsverarbeitungsvertrag (AVV)

Stand: 2026/09/10

Version 1.0. Dieser Auftragsverarbeitungsvertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen (Ziffer 7.2) und wird mit dem Vertragsschluss wirksam.

Präambel

Dieser Vertrag zur Auftragsverarbeitung („AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung des Dienstes WiseMatcher (der „Dienst“). Er gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Auftrag und nach Weisung des Verantwortlichen im Rahmen der Erbringung des Dienstes durchführt. Der AVV ist Bestandteil des zwischen den Parteien geschlossenen Hauptvertrags (Nutzungsvertrag bzw. AGB); im Fall von Widersprüchen zu datenschutzrechtlichen Fragen gehen die Regelungen dieses AVV vor.

Die Parteien schließen diesen AVV zur Erfüllung der Anforderungen des Art. 28 Abs. 3 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“).

§ 1 Parteien

Verantwortlicher (Auftraggeber, „Kunde“): der Kunde, wie im Nutzerkonto und in der Rechnungsstellung angegeben.

Auftragsverarbeiter (Auftragnehmer):

Der Auftragsverarbeiter hat seinen Sitz in Kanada, also außerhalb des Europäischen Wirtschaftsraums (EWR). Zu den daraus folgenden Garantien für die Drittlandübermittlung siehe § 8.

Hinweis zur Rollenverteilung. Für die Profile und Lebensläufe der Profilinhaber (eigene Mitarbeitende, freie Mitarbeitende oder Kandidaten des Kunden) und die daraus im Matching verarbeiteten personenbezogenen Daten ist der Verantwortliche (Kunde) datenschutzrechtlich verantwortlich; WiseMatcher wird insoweit als Auftragsverarbeiter tätig. Für die eigenen Konto-, Abrechnungs- und Support-Daten des Kunden ist WiseMatcher hingegen selbst Verantwortlicher; diese sind nicht Gegenstand dieses AVV.

§ 2 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung des Dienstes WiseMatcher, insbesondere das automatisierte Abgleichen (Matching) von Profilen und Lebensläufen mit Projektausschreibungen sowie der Versand der Ergebnisse an eine vom Kunden bestimmte Empfängeradresse.

(2) Art der Verarbeitung. Erheben, Speichern, Auslesen, Strukturieren, Verwenden (KI-gestütztes Matching), Übermitteln (E-Mail-Versand der Ergebnisse an den vom Kunden benannten Empfänger) und Löschen personenbezogener Daten mittels automatisierter Verfahren.

(3) Zweck. Alleiniger Zweck ist die Bereitstellung der vertraglich geschuldeten Matching- und Benachrichtigungsleistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, insbesondere ein Training von KI-Modellen mit den Kundendaten, findet nicht statt (vgl. § 7 sowie Anlage 3 zu Google Cloud Vertex AI).

(4) Dauer. Der AVV läuft für die Dauer des Hauptvertrags. Er endet automatisch mit dessen Beendigung, unbeschadet der Löschungs- und Rückgabepflichten nach § 11. Einzelne Verarbeitungen enden, sobald der jeweilige Auftrag (z. B. ein Suchauftrag oder ein einzelner Lauf) gelöscht oder eingestellt wird.

Nähere Angaben zu Verarbeitungsvorgängen, Datenkategorien und betroffenen Personen enthält Anlage 1.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Datenkategorien. Verarbeitet werden insbesondere:

• Profile und Lebensläufe der Profilinhaber (aus vom Kunden hochgeladenen PDF- oder DOCX-Dateien extrahierter Text sowie der ursprüngliche Dateiname) einschließlich Kontaktdaten, beruflichem Werdegang, Qualifikationen und sonstiger im Profil enthaltener Angaben;
• gegebenenfalls besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), soweit sie in den Profilen enthalten sind (z. B. Angaben, aus denen sich Gesundheit, Religion, Gewerkschaftszugehörigkeit, ethnische Herkunft oder politische Meinungen ableiten lassen);
• Daten der Kandidaten-Pipeline (Name des Profilinhabers, Projektbezug, Status und Notizen des Kunden);
• Kontakt- und Empfängerdaten der vom Kunden benannten Empfängeradresse (E-Mail-Adresse, Einwilligungs- und Bestätigungsstatus);
• Metadaten der Verarbeitung (Zeitpunkte, Status und Ergebnisse der Matching-Läufe).

(2) Kategorien betroffener Personen.

• Mitarbeitende des Kunden;
• freie Mitarbeitende des Kunden;
• Kandidatinnen und Kandidaten, deren Profile der Kunde einstellt;
• vom Kunden benannte Empfängerinnen und Empfänger der Ergebnis-E-Mails.

(3) Besondere Kategorien / Art. 9 DSGVO. Der Verantwortliche lädt nach Möglichkeit nur berufliche Profile ohne Foto, Geburtsdatum, Familienstand, Gesundheits- oder Religionsangaben hoch. Soweit dennoch besondere Kategorien enthalten sind, stellt er die Rechtsgrundlage sicher (bei Beschäftigten § 26 Abs. 3 BDSG bzw. Art. 9 Abs. 2 lit. b DSGVO, bei Kandidaten Art. 9 Abs. 2 lit. a DSGVO) und stellt nur solche Profile ein, für deren Verarbeitung er berechtigt ist.

§ 4 Weisungsrecht des Verantwortlichen — Art. 28 Abs. 3 lit. a

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland —, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die vertraglich vereinbarte Datenverarbeitung erfolgt im Rahmen der Funktionen des Dienstes; die Konfiguration der Suchaufträge, die Auswahl der Empfänger und das Hochladen der Profile und Lebensläufe durch den Verantwortlichen gelten als Weisung. Ergänzende Einzelweisungen sind in Textform an hi@wisematcher.com zu erteilen.

(3) Hinweispflicht. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 5 Vertraulichkeit — Art. 28 Abs. 3 lit. b

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragsverarbeiter macht die eingesetzten Personen mit den für sie maßgeblichen datenschutzrechtlichen Bestimmungen vertraut und beschränkt den Zugang zu den personenbezogenen Daten auf das für die Leistungserbringung erforderliche Maß (Grundsatz „need-to-know“).

§ 6 Technisch-organisatorische Maßnahmen — Art. 32 / Art. 28 Abs. 3 lit. c

(1) Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.

(2) Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter darf angemessene Anpassungen vornehmen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 7 Unterauftragsverarbeiter — Art. 28 Abs. 2 und 4 / Art. 28 Abs. 3 lit. d

(1) Allgemeine Genehmigung. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung zur Einschaltung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden hiermit genehmigt.

(2) Änderungen. Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen vorab per E-Mail oder durch Aktualisierung dieser Seite (Anlage 3). Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen in Textform widersprechen. Im Fall eines berechtigten Widerspruchs suchen die Parteien eine einvernehmliche Lösung; gelingt dies nicht, ist der Verantwortliche berechtigt, den betroffenen Leistungsteil bzw. den Hauptvertrag außerordentlich zu kündigen.

(3) Weitergabe der Pflichten. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten.

§ 8 Drittlandübermittlung — Art. 44 ff. DSGVO

(1) Übermittlung an den Auftragsverarbeiter (Kanada). Der Auftragsverarbeiter ist in Kanada ansässig. Übermittlungen personenbezogener Daten an ihn stützen sich auf den Angemessenheitsbeschluss der Europäischen Kommission für Kanada (Entscheidung 2002/2/EG), der für kommerzielle Organisationen gilt, die dem kanadischen Datenschutzgesetz PIPEDA unterliegen. Ergänzend bzw. für nicht vom Angemessenheitsbeschluss gedeckte Konstellationen vereinbaren die Parteien die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Modul „Verantwortlicher an Auftragsverarbeiter“) als Auffanggarantie im Sinne des Art. 46 DSGVO.

(2) Unterauftragsverarbeiter. Alle Unterauftragsverarbeiter verarbeiten die Daten in Regionen innerhalb der EU. Soweit ein Anbieter einer Muttergesellschaft mit Sitz in den USA angehört, vereinbaren die Parteien Standardvertragsklauseln als Auffanggarantie für etwaige Zugriffe im Rahmen von Support und Betrieb; die je Anbieter einschlägige Grundlage ist in Anlage 3 ausgewiesen.

(3) Der Auftragsverarbeiter trifft, soweit erforderlich, ergänzende Maßnahmen (z. B. Verschlüsselung, Zugriffsbeschränkungen), um ein dem EU-Recht der Sache nach gleichwertiges Schutzniveau zu unterstützen.

§ 9 Unterstützung bei Betroffenenrechten — Art. 28 Abs. 3 lit. e

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO nachzukommen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und wird nur auf dessen Weisung tätig.

(3) Der Dienst stellt für die vom Kunden verwalteten Daten Selbstbedienungsfunktionen bereit (u. a. die Löschung von Suchaufträgen, Profilen und Lebensläufen sowie einen maschinenlesbaren Datenexport nach Art. 20 DSGVO), die der Verantwortliche zur Erfüllung von Betroffenenanfragen nutzen kann.

§ 10 Unterstützung bei Art. 32 bis 36 — Art. 28 Abs. 3 lit. f

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus:

• Art. 32 (Sicherheit der Verarbeitung);
• Art. 33/34 (Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde bzw. Benachrichtigung betroffener Personen). Der Auftragsverarbeiter meldet ihm bekannt gewordene Datenschutzverletzungen dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, und stellt die zur Erfüllung der Meldepflichten erforderlichen Informationen bereit;
• Art. 35/36 (Datenschutz-Folgenabschätzung und vorherige Konsultation).

§ 11 Löschung und Rückgabe — Art. 28 Abs. 3 lit. g

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

(2) Profiltexte bleiben gespeichert, bis der Kunde das Profil aus seiner Bibliothek oder sein Konto löscht. Match-Ergebnisse (Namen und Begründungen) werden je Suchauftrag nur für die zehn jüngsten Läufe vorgehalten. Pipeline-Karten bleiben bis zur Löschung oder Archivierung durch den Kunden. Verschlüsselte Sicherungskopien werden nach 30 Tagen überschrieben. Auf Verlangen des Verantwortlichen stellt der Auftragsverarbeiter die Löschung dokumentiert dar.

(3) Ein maschinenlesbarer Export der Daten (Art. 20 DSGVO) kann vor der Löschung über die Funktion „Meine Daten herunterladen“ bezogen werden.

§ 12 Nachweise und Audits — Art. 28 Abs. 3 lit. h

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Auftragsverarbeiter ermöglicht und trägt zu Überprüfungen — einschließlich Inspektionen — bei, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden. Prüfungen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Vertraulichkeit sowie der Rechte Dritter. Der Nachweis kann auch durch aktuelle Zertifikate, Berichte oder Auszüge unabhängiger Instanzen (z. B. SOC-2-Berichte der Unterauftragsverarbeiter) erbracht werden.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (siehe § 4 Abs. 3).

§ 13 Haftung

Für die Haftung gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die durch eine von ihr zu vertretende Verletzung dieses AVV oder der DSGVO verursacht werden. Etwaige Haftungsbeschränkungen des Hauptvertrags bleiben unberührt, soweit gesetzlich zulässig.

§ 14 Schlussbestimmungen

(1) Textform (Art. 28 Abs. 9 DSGVO). Dieser AVV bedarf zu seiner Wirksamkeit der Textform, einschließlich eines elektronischen Formats. Änderungen und Ergänzungen bedürfen ebenfalls der Textform; dies gilt auch für die Abbedingung dieses Textformerfordernisses.

(2) Vorrang. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

(3) Salvatorische Klausel. Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Laufzeit und Kündigung. Der AVV ist an den Bestand des Hauptvertrags gekoppelt; seine Laufzeit entspricht dessen Laufzeit.

Der Kunde nimmt diesen AVV bei der Registrierung bzw. beim Vertragsschluss elektronisch an; der Zeitpunkt der Annahme wird im Konto gespeichert. Auf Wunsch stellen wir eine gegengezeichnete Fassung als PDF bereit.

Anlage 1 — Beschreibung der Verarbeitung

Anlage 2 — Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

• Zutrittskontrolle: Kein Betrieb eigener Rechenzentren; die physische Sicherheit gewährleisten die in Anlage 3 genannten Cloud-Anbieter über zertifizierte Rechenzentren (u. a. SOC 2, ISO 27001).
• Zugangskontrolle: Authentifizierung mit individuellen Zugangsdaten; Passwörter serverseitig als bcrypt-Hash gespeichert; Zugriff auf die Verwaltungskonsolen der Anbieter nur durch die Gründer mit Zwei-Faktor-Authentifizierung.
• Zugriffskontrolle: Rollenbasierte Zugriffskontrolle (USER/ADMIN); Row-Level-Security auf Datenbankebene; Grundsatz „need-to-know“.
• Trennungskontrolle: Mandantentrennung logisch je Nutzerkonto; getrennte Umgebungen für Produktion und Test.
• Pseudonymisierung und Verschlüsselung: Transportverschlüsselung (TLS/HTTPS) durchgängig; Verschlüsselung ruhender Daten beim Datenbank-Anbieter; verschlüsselte, passwortgeschützte Sicherungskopien.

2. Integrität (Art. 32 Abs. 1 lit. b)

• Weitergabekontrolle: Datenübermittlung nur verschlüsselt; Übermittlung an Unterauftragsverarbeiter nur auf Basis der in Anlage 3 genannten Garantien.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge; Audit-Trail der Matching-Läufe.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c)

• Verfügbarkeitskontrolle: Gehostete, redundante Cloud-Infrastruktur; nächtliche, verschlüsselte Datenbank-Sicherungen mit 30-Tage-Aufbewahrung; dokumentierter Wiederherstellungsablauf.
• Rasche Wiederherstellbarkeit: Getesteter Wiederherstellungsablauf aus der verschlüsselten Sicherungskopie.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d)

• Datenschutz-Management: Ansprechpartner hi@wisematcher.com; Überprüfung der Maßnahmen mindestens jährlich sowie bei wesentlichen Änderungen.
• Auftragskontrolle: Weisungsgebundene Verarbeitung; dieser AVV.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Die folgende Liste ist zum Zeitpunkt des Vertragsschlusses aktuell; Änderungen werden gemäß § 7 Abs. 2 mitgeteilt. Alle aufgeführten Anbieter verarbeiten die Daten in Regionen innerhalb der EU.

• Der Auftragsverarbeiter (Alignya Solutions LLP) ist in Kanada ansässig; die Übermittlung dorthin stützt sich auf den Angemessenheitsbeschluss 2002/2/EG (Kanada/PIPEDA) mit Standardvertragsklauseln als Auffanggarantie (siehe § 8).
• Für die KI-Verarbeitung (Google Cloud Vertex AI, EU-Region) gilt: Ein- und Ausgaben werden nicht zum Training der Modelle verwendet und nicht über die Verarbeitung hinaus gespeichert.
• Stripe (Zahlung), Mailchimp (Newsletter) und Cloudflare Turnstile (Support-Formular) verarbeiten keine Profildaten und sind deshalb nicht Gegenstand dieses AVV.