Datenschutzerklärung

Stand: 2026/09/20

Mit dieser Datenschutzerklärung informieren wir Sie gemäß Art. 12 ff. der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir im Zusammenhang mit WiseMatcher verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht und welche Rechte Ihnen zustehen. WiseMatcher ist ein KI-gestützter Dienst, der sich an gewerbliche Kunden richtet, insbesondere IT-Beratungen, Systemhäuser und Personaldienstleister, die Profile eigener Mitarbeitender, freier Mitarbeitender oder Kandidaten mit Projektausschreibungen abgleichen. Auf den Rechtsseiten sprechen wir Sie daher förmlich mit „Sie" an.

1. Verantwortlicher, EU-Vertreter und Datenschutzbeauftragter

Verantwortlicher im Sinne der DSGVO

Der Verantwortliche hat seinen Sitz in Kanada, also außerhalb des Europäischen Wirtschaftsraums (EWR). Da wir unsere Leistungen gezielt Personen und Unternehmen im EWR – insbesondere in Deutschland – anbieten, unterliegen wir gemäß Art. 3 Abs. 2 DSGVO dem Anwendungsbereich der DSGVO.

Vertreter in der Europäischen Union (Art. 27 DSGVO)

Unser Vertreter in der Europäischen Union gemäß Art. 27 DSGVO ist:

Betroffene Personen und Aufsichtsbehörden können sich bei Fragen zur Verarbeitung personenbezogener Daten durch WiseMatcher und zur Ausübung von Rechten nach der DSGVO zusätzlich zu uns oder an unserer Stelle an unseren EU-Vertreter wenden. Die Vertretung umfasst unsere Tätigkeit als Verantwortlicher und als Auftragsverarbeiter. Unsere jeweiligen datenschutzrechtlichen Pflichten bleiben bestehen.

Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt, soweit hierzu keine gesetzliche Pflicht (insbesondere nach Art. 37 DSGVO, § 38 BDSG) besteht. In allen Datenschutzangelegenheiten erreichen Sie uns unter hi@wisematcher.com.

2. Überblick und Begriffe

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Verarbeitung ist jeder Vorgang im Zusammenhang mit solchen Daten, etwa das Erheben, Speichern, Auslesen, Verwenden oder Löschen. Verantwortlicher ist, wer über die Zwecke und Mittel der Verarbeitung entscheidet; ein Auftragsverarbeiter verarbeitet Daten weisungsgebunden im Auftrag eines Verantwortlichen (Art. 28 DSGVO). Betroffene Person ist diejenige Person, deren Daten verarbeitet werden.

Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit der DSGVO und dem Bundesdatenschutzgesetz (BDSG). Eine Verarbeitung erfolgt nur, wenn eine gesetzliche Erlaubnis vorliegt, insbesondere zur Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), aufgrund einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO), aufgrund unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) oder aufgrund Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

3. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Bei der Nutzung von WiseMatcher sind zwei datenschutzrechtliche Rollen zu unterscheiden:

• WiseMatcher als Verantwortlicher: Für die Daten unserer Kunden selbst – also Konto- und Registrierungsdaten, Abrechnungsdaten, Support-Kommunikation sowie Daten von Besuchern unserer Website – sind wir Verantwortlicher und entscheiden über Zwecke und Mittel der Verarbeitung.
• WiseMatcher als Auftragsverarbeiter: Für die Lebensläufe und Profile der Profilinhaber (eigene Mitarbeitende, freie Mitarbeitende oder Kandidaten des Kunden), die unsere Kunden hochladen, agieren wir als Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Verantwortlicher für diese Daten ist der jeweilige Kunde (z. B. die IT-Beratung als Arbeitgeber oder der Personalvermittler), der die Daten in unser System einstellt.

Für die Auftragsverarbeitung der Daten der Profilinhaber schließen wir mit unseren Kunden einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, abrufbar unter wisematcher.com/de/avv. Darin regeln wir insbesondere die weisungsgebundene Verarbeitung, technische und organisatorische Maßnahmen und den Einsatz von Unterauftragsverarbeitern. Der Kunde bestimmt die Zwecke der von ihm beauftragten Verarbeitung und prüft die hierfür im Einzelfall erforderliche Rechtsgrundlage, einschließlich anwendbarer Anforderungen des Beschäftigtendatenschutzes und des Art. 9 DSGVO. Er informiert die Profilinhaber nach Art. 13 und 14 DSGVO, wahrt etwaige Mitbestimmungsrechte und verantwortet die von ihm bestimmten Empfänger und die weitere Verwendung der Ergebnisse. Unsere eigenen gesetzlichen Pflichten als Auftragsverarbeiter bleiben hiervon unberührt. Die Annahme unserer Vertragsbedingungen ersetzt keine erforderliche Einwilligung der Profilinhaber.

Für die in diesem Abschnitt 3 beschriebene Auftragsverarbeitung gelten die Regelungen des jeweiligen AVV vorrangig. Die nachfolgende Beschreibung der Verarbeitungstätigkeiten betrifft, soweit nicht ausdrücklich anders gekennzeichnet, unsere Tätigkeit als Verantwortlicher.

4. Verarbeitungstätigkeiten im Überblick

Die folgende Tabelle gibt einen strukturierten Überblick über die wesentlichen Verarbeitungstätigkeiten, jeweils mit Zweck, Rechtsgrundlage und Speicherdauer. Einzelheiten zur Matching-Pipeline finden Sie ergänzend in Abschnitt 5.

5. Kernstück: Lebenslauf-Upload und KI-Matching

Der zentrale Verarbeitungsvorgang von WiseMatcher ist der Abgleich von Projektausschreibungen gegen die von unseren Kunden hochgeladenen Profile und Lebensläufe. Diesen Prozess gestalten wir bewusst datensparsam und EU-zentriert. Im Einzelnen gilt:

1. Keine Aufbewahrung der PDF-Datei. Die hochgeladene Lebenslauf-Datei (PDF) wird nicht dauerhaft gespeichert und nicht aufbewahrt.
2. Textextraktion beim Upload. Beim Hochladen wird aus dem Lebenslauf der Text extrahiert. Nur dieser extrahierte Text – nicht die Originaldatei – wird für das weitere Matching verwendet.
3. Speicherung auf Servern in der EU. Die extrahierten Daten werden auf Servern innerhalb der Europäischen Union gespeichert.
4. KI-Verarbeitung in der EU. Für den Abgleich übermitteln wir den extrahierten Profiltext an Google Cloud Vertex AI in einer EU-Region. Der Anbieter nutzt die Daten nicht zum Training und speichert Ein- und Ausgaben nicht über die Verarbeitung hinaus.

Keine Nutzung zum Training fremder KI-Modelle. Die im Rahmen des Matchings verarbeiteten Profil- und Lebenslaufdaten werden nicht zum Training fremder oder allgemeiner KI-Modelle verwendet. Im Rahmen des Matchings findet keine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss statt; Speicherung und KI-Verarbeitung erfolgen in der EU.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Wir empfehlen, nur berufliche Profile ohne Foto, Geburtsdatum, Familienstand, Gesundheits- oder Religionsangaben hochzuladen (Skill-Profil statt Bewerbungs-Lebenslauf). Soweit dennoch besondere Kategorien enthalten sind, stellt der Kunde als Verantwortlicher die Rechtsgrundlage sicher (bei Beschäftigten § 26 Abs. 3 BDSG bzw. Art. 9 Abs. 2 lit. b DSGVO, bei Kandidaten Art. 9 Abs. 2 lit. a DSGVO) und lädt nur solche Profile hoch, für deren Verarbeitung er berechtigt ist.

Keine automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO). Das Matching dient ausschließlich der Vorauswahl bzw. dem Vorschlag passender Stellen. Es findet keine ausschließlich automatisierte Entscheidung statt, die gegenüber den Profilinhabern rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine Personalauswahlentscheidung trifft stets der Kunde durch einen Menschen. Das Matching bewertet die fachliche Passung eines Profils zu einer Ausschreibung. Es misst weder Leistung noch Verhalten der Profilinhaber und erstellt keine Profile über sie hinaus; die Ergebnisse gehen ausschließlich an die vom Kunden benannte Adresse.

6. Empfänger und Unterauftragsverarbeiter

Zur Erbringung unserer Leistungen setzen wir Unterauftragsverarbeiter ein, die Daten in Regionen innerhalb der EU verarbeiten; soweit ein Anbieter einer Muttergesellschaft mit Sitz in den USA angehört, sind etwaige Support-Zugriffe durch Standardvertragsklauseln als Auffanggarantie abgesichert. Mit ihnen bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO):

Weitere Dienstleister, die keine Profildaten verarbeiten:

• Stripe (Stripe, Inc. / Stripe Payments Europe) – Zahlungs- und Abonnementabwicklung; verarbeitet keine Profildaten.
• Mailchimp (Intuit Inc., USA) – Versand unseres Newsletters und Verwaltung der Empfängerliste (siehe Abschnitt 9); keine Profildaten.
• Cloudflare Turnstile (Cloudflare, Inc., USA) – Bot-Schutz für unser Support-Formular (siehe Abschnitt 8); keine Profildaten.

Eine aktuelle Übersicht der Unterauftragsverarbeiter steht in Anlage 3 unseres Auftragsverarbeitungsvertrags. Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn dies gesetzlich zulässig ist, etwa zur Erfüllung rechtlicher Verpflichtungen oder gegenüber Behörden im Rahmen geltender Vorschriften.

7. Übermittlung in Drittländer

Die im Rahmen der Matching-Pipeline verarbeiteten Daten (extrahierter Profiltext) werden auf Servern innerhalb der EU gespeichert und in EU-Regionen verarbeitet, einschließlich der KI-Verarbeitung (Google Cloud Vertex AI, EU-Region); insoweit findet keine Übermittlung in ein Drittland statt.

Der Verantwortliche selbst (Alignya Solutions LLP) ist in Kanada ansässig. Soweit personenbezogene Daten an den kanadischen Verantwortlichen übermittelt werden, stützt sich diese Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission für Kanada (Entscheidung 2002/2/EG), der für kommerzielle Organisationen gilt, die dem kanadischen Datenschutzgesetz PIPEDA unterliegen. Für Übermittlungen, die nicht von einem Angemessenheitsbeschluss gedeckt sind, setzen wir geeignete Garantien im Sinne des Art. 46 DSGVO ein, insbesondere Standardvertragsklauseln der Europäischen Kommission.

8. Cookies und Reichweitenmessung

Wir verwenden technisch notwendige Cookies bzw. vergleichbare Technologien, die für den Betrieb der Website und die Anmeldung erforderlich sind (z. B. zur Speicherung der Spracheinstellung und zur Aufrechterhaltung Ihrer Anmelde-Sitzung). Die Rechtsgrundlage hierfür ist § 25 Abs. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO; ein gesondertes Einverständnis ist hierfür nicht erforderlich.

Zur Analyse und Verbesserung unseres Angebots setzen wir das Produkt- und Reichweitenanalyse-Werkzeug PostHog (EU-Hosting) ein. PostHog erhebt pseudonyme Nutzungs- und Ereignisdaten; Personenprofile werden grundsätzlich nur für angemeldete (identifizierte) Nutzer angelegt. Soweit dabei nicht ausschließlich technisch notwendige Cookies oder Speichertechnologien zum Einsatz kommen, erfolgt der Einsatz auf Grundlage Ihrer Einwilligung (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

Bot-Schutz für das Support-Formular (Cloudflare Turnstile)

Um unser Support-Formular vor automatisierten Spam-Einsendungen zu schützen, setzen wir Cloudflare Turnstile, einen Dienst der Cloudflare, Inc. (USA), ein. Beim Aufruf des Formulars wird ein Skript von Cloudflare geladen, das anhand technischer Merkmale (u. a. IP-Adresse, Browser- und Geräteinformationen, Interaktionsverhalten) prüft, ob die Eingabe von einem Menschen stammt; das Ergebnis wird beim Absenden serverseitig gegenüber Cloudflare verifiziert. Turnstile setzt hierfür keine Cookies zu Werbezwecken. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch und Spam sowie an der Sicherheit unserer Systeme (Art. 6 Abs. 1 lit. f DSGVO; § 25 Abs. 2 Nr. 2 TDDDG). Soweit dabei Daten in die USA übermittelt werden, stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Cloudflare ist zertifiziert) sowie ergänzend auf Standardvertragsklauseln (Art. 46 DSGVO). Weitere Informationen: Cloudflare Datenschutzerklärung.

9. Newsletter

Auf unserer Website können Sie sich für unseren Newsletter anmelden. Hierfür verarbeiten wir Ihre E-Mail-Adresse sowie den Zeitpunkt der An- und Bestätigung. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach dem Absenden des Formulars erhalten Sie eine Bestätigungs-E-Mail; erst mit Klick auf den darin enthaltenen Link wird Ihre Adresse in den Verteiler aufgenommen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie im Anmeldeformular durch Anhaken der Einwilligungserklärung erteilen.

Für den Versand setzen wir Mailchimp, einen Dienst der Intuit Inc. (USA), ein. Dabei werden Ihre Daten in die USA übermittelt; die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, sowie ergänzend auf Standardvertragsklauseln (Art. 46 DSGVO). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – am einfachsten über den Abmeldelink am Ende jedes Newsletters oder per E-Mail an hi@wisematcher.com. Nach dem Widerruf wird Ihre Adresse aus dem Verteiler entfernt.

10. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen die folgenden Rechte zu. Sie können diese uns gegenüber unter hi@wisematcher.com oder gegenüber unserem EU-Vertreter unter business@purpletab.de sowie postalisch über die in Abschnitt 1 genannte Anschrift geltend machen:

• Auskunft (Art. 15 DSGVO) – über die zu Ihrer Person verarbeiteten Daten.
• Berichtigung (Art. 16 DSGVO) – unrichtiger oder unvollständiger Daten.
• Löschung (Art. 17 DSGVO) – „Recht auf Vergessenwerden", soweit keine Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) – Erhalt Ihrer Daten in einem strukturierten, gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21 DSGVO) – gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen Ihrer besonderen Situation.

Widerruf von Einwilligungen: Soweit eine Verarbeitung auf Ihrer Einwilligung beruht (Art. 6 Abs. 1 lit. a bzw. Art. 9 Abs. 2 lit. a DSGVO), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beschwerderecht bei einer Aufsichtsbehörde: Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem EU-Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Hinweis: Betrifft Ihre Beschwerde die Verarbeitung von Profilen und Lebensläufen der Profilinhaber, ist hierfür datenschutzrechtlich der jeweilige Kunde (Ihr Arbeitgeber, Auftraggeber oder Vermittler) als Verantwortlicher zuständig; wir leiten Sie in diesem Fall gerne an die richtige Stelle weiter.

11. Speicherdauer

Wir verarbeiten und speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorsehen. Konkrete Fristen ergeben sich aus der Tabelle in Abschnitt 4. Insbesondere werden hochgeladene PDF-Dateien nicht aufbewahrt (Abschnitt 5); der extrahierte Text wird für die Dauer der Nutzung des jeweiligen Suchauftrags vorgehalten und anschließend bzw. spätestens bei Vertragsende nach Maßgabe des AVV gelöscht. Rechnungs- und Buchungsdaten unterliegen den steuer- und handelsrechtlichen Aufbewahrungsfristen (i. d. R. bis zu zehn Jahre).

12. Erforderlichkeit der Bereitstellung

Für den Abschluss und die Durchführung des Vertrags ist die Bereitstellung bestimmter Daten (z. B. Name, E-Mail-Adresse, Zahlungsdaten) erforderlich. Ohne diese Daten können wir das Nutzerkonto nicht bereitstellen, Zahlungen nicht abwickeln und den Dienst nicht erbringen. Für das Hochladen von Profilen und Lebensläufen handelt es sich nicht um Daten der Profilinhaber, die diese uns gegenüber bereitstellen müssten; insoweit obliegt es dem Kunden, gegenüber den Profilinhabern über Erforderlichkeit und Folgen zu informieren.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Rechtslage, unsere Dienste oder die Datenverarbeitung ändern. Es gilt jeweils die auf dieser Seite veröffentlichte aktuelle Fassung. Der Stand dieser Erklärung ist unten angegeben.

Zur Durchsetzung eines einmaligen Neukunden-Tests speichern wir einen kryptografisch geschützten Identitätsschlüssel sowie den bisherigen Kunden- bzw. Teststatus auch nach Kontolöschung, solange diese Angebotsbeschränkung gilt. Dieser Schlüssel ist pseudonymisiert, nicht anonym. Checkout-Zuordnung, einmalige Einrichtung und Versandstatus dienen der sicheren Kontoerstellung, Betrugsprävention und zuverlässigen Abwicklung. Abgebrochene Checkout-Kontaktdaten und Inhalte zugestellter Abrechnungs-E-Mails werden nach 30 Tagen bereinigt; die minimalen Zuordnungs- und Nachweisdatensätze bleiben für die Verhinderung von Wiederholungen und die Abrechnung erhalten.

14. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie uns unter hi@wisematcher.com. Unseren EU-Vertreter gemäß Art. 27 DSGVO erreichen Sie unter business@purpletab.de sowie postalisch über die in Abschnitt 1 genannte Anschrift.

Stand: 20.09.2026