Datenschutzerklärung

1. Einleitung und Verantwortlicher

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten (im Folgenden kurz „Daten") im Rahmen der Bereitstellung unserer Website hrbuilders.de.

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Allgemeine Hinweise

a) Datenschutz auf einen Blick

Wir behandeln Ihre personenbezogenen Daten vertraulich, entsprechend den gesetzlichen Datenschutzvorschriften (insbesondere DSGVO und BDSG) und dieser Datenschutzerklärung.

b) Datensicherheit (SSL/TLS-Verschlüsselung)

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und am Schloss-Symbol in Ihrer Browserzeile.

c) Datenschutzbeauftragter

Wir sind nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

3. Ihre Rechte als betroffene Person

Sie haben jederzeit folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich an: info@hrbuilders.de

Die für uns zuständige Aufsichtsbehörde ist:

4. Hosting

a) Vercel

Wir hosten unsere Website bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA („Vercel"). Beim Aufruf unserer Website werden technische Daten (insbesondere IP-Adresse, Browser-Informationen, Datum und Uhrzeit der Anfrage) automatisch an Vercel übermittelt und in Server-Log-Dateien verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und performanten Website-Bereitstellung).

Datenübermittlung in die USA: Vercel ist nach dem EU-US Data Privacy Framework zertifiziert. Damit ist ein angemessenes Datenschutzniveau gewährleistet (Art. 45 DSGVO).

Mit Vercel haben wir einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen.

Weitere Informationen: https://vercel.com/legal/privacy-policy

b) Vercel Web Analytics (Reichweitenmessung)

Wir zählen, welche Seiten aufgerufen werden — mit Vercel Web Analytics, demselben Anbieter, der auch die Website hostet. Erfasst werden der aufgerufene Pfad, die verweisende Seite, Land, Browser und Gerätetyp. Vercel bildet daraus eine anonyme Kennung und speichert sie nicht; wir setzen dafür keine Cookies und lesen nichts aus Ihrem Gerät.

Vier Bereiche messen wir bewusst nicht: Freigabe-Links, Einladungs-Links, den Admin-Bereich und das Zurücksetzen von Passwörtern. Von allen übrigen Seiten entfernen wir den Teil der Adresse hinter dem Fragezeichen, bevor etwas übertragen wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran zu wissen, welche Inhalte gelesen werden). Es gelten derselbe Auftragsverarbeitungsvertrag und dieselbe Grundlage für die Übermittlung in die USA wie unter a).

c) Cloudflare

Zur Sicherstellung der Verfügbarkeit, Performance und Sicherheit unserer Website nutzen wir Dienste von Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare fungiert als Content Delivery Network (CDN) und Schutz vor Angriffen. Hierbei wird die IP-Adresse der Besucher verarbeitet.

Zusätzlich setzen wir Cloudflare Turnstile zur Unterscheidung menschlicher Nutzer von automatisierten Bots im Rahmen der Authentifizierung ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Schutz vor Missbrauch).

Datenübermittlung in die USA: Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert.

Mit Cloudflare haben wir einen Auftragsverarbeitungsvertrag (AVV) geschlossen.

Weitere Informationen: https://www.cloudflare.com/privacypolicy/

5. Erfassung von Daten beim Besuch der Website

a) Server-Log-Dateien

Beim Aufruf unserer Website werden automatisch folgende Daten in Server-Log-Dateien erfasst:

• IP-Adresse des zugreifenden Rechners
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Übertragene Datenmenge
• Meldung über erfolgreichen Abruf
• Browsertyp und -version
• Verwendetes Betriebssystem
• Referrer URL

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Verarbeitung dient der technischen Bereitstellung, Sicherheit und Stabilität der Website.

Speicherdauer: Server-Log-Dateien werden nach maximal 30 Tagen automatisch gelöscht, sofern kein konkreter Sicherheitsvorfall eine längere Speicherung erfordert.

b) Technisch notwendige Speichervorgänge

Wir setzen ausschließlich technisch notwendige Cookies bzw. vergleichbare Speichertechniken (LocalStorage) ein, die für den Betrieb der Website erforderlich sind. Dazu zählen insbesondere:

• Session-Cookies für die Authentifizierung (Supabase Auth)
• Cookies zum Bot-Schutz (Cloudflare Turnstile)
• Cookies im Rahmen des Zahlungsabwicklungsprozesses (Stripe)

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendig) i.V.m. Art. 6 Abs. 1 lit. f DSGVO.

Marketing-Cookies oder Cookies von Drittanbieter-Werbenetzwerken setzen wir nicht ein.

Wir erfassen jedoch anonyme Nutzungsereignisse (z. B. welche Seite aufgerufen, welcher Filter benutzt oder welcher Button geklickt wurde), um die Website und unsere Produkte zu verbessern. Diese Ereignisse werden ohne dauerhafte Kennung des einzelnen Besuchers an unseren n8n-Server (siehe Abschnitt 9) übermittelt; sind Sie eingeloggt, wird zusätzlich ein Eintrag in unserer Datenbank Ihrem Nutzerkonto zugeordnet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Produktverbesserung).

6. Registrierung, Login und Nutzerkonten

a) Registrierung mit E-Mail

Sofern Sie ein Nutzerkonto auf unserer Plattform erstellen, verarbeiten wir die von Ihnen angegebenen Daten (insbesondere E-Mail-Adresse, Passwort in verschlüsselter Form, ggf. Name) zur Bereitstellung des Kontos.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Bis zur Löschung Ihres Kontos. Gesetzliche Aufbewahrungsfristen bleiben unberührt.

b) Anmeldung über Drittanbieter (Social Login)

Wir bieten die Möglichkeit, sich über Drittanbieter zu registrieren bzw. anzumelden. Die Nutzung erfolgt ausschließlich auf Basis Ihrer aktiven Einwilligung über eine entsprechende Checkbox vor dem Anmeldevorgang.

Google Sign-In

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterunternehmen: Google LLC, USA)

Bei Nutzung werden uns folgende Daten übermittelt: E-Mail-Adresse, Name, ggf. Profilbild.

Datenübermittlung in die USA: Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.

Datenschutzerklärung: https://policies.google.com/privacy

LinkedIn Sign-In

Anbieter: LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland (Mutterunternehmen: LinkedIn Corporation, USA)

Bei Nutzung werden uns folgende Daten übermittelt: E-Mail-Adresse, Name, ggf. Profilbild.

Datenübermittlung in die USA: LinkedIn ist nach dem EU-US Data Privacy Framework zertifiziert.

Datenschutzerklärung: https://www.linkedin.com/legal/privacy-policy

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Sie können Ihre Einwilligung jederzeit durch Löschung Ihres Kontos widerrufen.

7. Datenbank und Anwendungs-Backend (Supabase)

Zur Bereitstellung unserer Plattform-Funktionen (Authentifizierung, Speicherung von Nutzerprofilen, Anwendungsdaten) nutzen wir Supabase.

Anbieter: Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992

Serverstandort der für uns genutzten Instanz: Frankfurt am Main, Deutschland (EU)

Sämtliche Datenbankinhalte werden ausschließlich auf Servern innerhalb der EU verarbeitet. Eine Übermittlung in Drittländer findet im Rahmen der Datenbank-Verarbeitung nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an stabiler Plattformbereitstellung).

Mit Supabase haben wir einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen.

Weitere Informationen: https://supabase.com/privacy

8. Zahlungsabwicklung (Stripe)

Für die Abwicklung kostenpflichtiger Angebote nutzen wir den Zahlungsdienstleister Stripe.

Anbieter: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland (Mutterunternehmen: Stripe, Inc., USA).

Bei einem Kauf werden Zahlungsdaten (z. B. Name, Rechnungsadresse, Bankdaten / Kreditkartendaten, IP-Adresse) direkt an Stripe übermittelt. Wir selbst erhalten keinen vollständigen Zugriff auf Ihre Zahlungsdaten – wir erhalten lediglich die Information über den Zahlungsstatus sowie für Rechnungs- und Buchhaltungszwecke notwendige Stammdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Datenübermittlung in die USA: Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Mit Stripe haben wir einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen.

Speicherdauer: Rechnungs- und Zahlungsdaten werden gemäß handels- und steuerrechtlichen Vorgaben (§ 257 HGB, § 147 AO) für 10 Jahre aufbewahrt.

Weitere Informationen: https://stripe.com/de/privacy

9. Automatisierungen (n8n)

Wir nutzen die Automatisierungs-Software n8n, die wir auf einem eigenen Server (Virtual Private Server bei Hostinger International Ltd., 61 Lordou Vironos, 6023 Larnaca, Zypern) selbst hosten.

Serverstandort: Frankfurt am Main, Deutschland (EU)

Über n8n laufen sowohl interne Synchronisationen zwischen unseren Systemen als auch Formulare, die Sie als Besucher direkt betreffen: das Kontaktformular, die Warteliste für neue Angebote, der Automation-Finder-Report und die zuvor beschriebene anonyme Nutzungserfassung. In diesen Fällen verarbeitet n8n die von Ihnen eingegebenen bzw. die anonymen Nutzungsdaten, um die jeweilige Funktion auszuführen (z. B. Ihnen den angeforderten Report zuzusenden). Der Server selbst steht in Frankfurt (EU); eine Übermittlung in Drittländer findet über n8n nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Geschäftsprozessabwicklung).

Mit Hostinger haben wir einen Auftragsverarbeitungsvertrag (AVV) geschlossen.

10. Kundenverwaltung (Notion)

Zur Verwaltung von Kontakt-, Lead- und Kundendaten (CRM) nutzen wir Notion.

Anbieter: Notion Labs, Inc., 2300 Harrison Street, San Francisco, CA 94110, USA

In Notion verarbeiten wir typischerweise: Name, E-Mail-Adresse, Unternehmen, Position, Notizen aus dem Kontaktverlauf, Status der Geschäftsbeziehung.

Rechtsgrundlage:

• Bei bestehender Geschäftsbeziehung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Bei Leads / Interessenten: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Geschäftsanbahnung und Kundenpflege)

Datenübermittlung in die USA: Notion Labs, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Mit Notion haben wir einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen.

Speicherdauer:

• Lead-Daten: bis zu 24 Monate nach dem letzten Kontakt, danach Löschung oder Anonymisierung
• Kundendaten: 10 Jahre, soweit gesetzliche Aufbewahrungsfristen (§ 257 HGB, § 147 AO) gelten

Sie können der Verarbeitung jederzeit gemäß Art. 21 DSGVO widersprechen: info@hrbuilders.de

Weitere Informationen: https://www.notion.so/notion/Privacy-Policy

11. Terminbuchung (Calendly)

Auf den Seiten „Demo" und „Pilot" können Sie über einen Link direkt einen Termin mit uns vereinbaren. Der Terminplaner wird von Calendly betrieben.

Anbieter: Calendly, LLC, 115 E Main St., Ste A1B, Buford, GA 30518, USA

Wichtig: Wir binden Calendly nicht in unsere Seiten ein. Solange Sie den Link nicht anklicken, wird kein Skript von Calendly geladen und es werden keine Daten dorthin übertragen. Erst mit Ihrem Klick verlassen Sie unsere Website und rufen die Seite von Calendly auf.

Bei einer Buchung verarbeitet Calendly typischerweise: Name, E-Mail-Adresse, gewählter Termin, Zeitzone, Ihre Antworten auf die Fragen im Buchungsformular sowie technische Verbindungsdaten (IP-Adresse, Browser).

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. b DSGVO — die Terminvereinbarung erfolgt auf Ihre Anfrage hin und dient der Anbahnung eines Vertragsverhältnisses
• Ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Terminabstimmung)

Datenübermittlung in die USA: Calendly, LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Ergänzend bezieht Calendly Standardvertragsklauseln nach Art. 46 DSGVO in seinen Auftragsverarbeitungsvertrag ein.

Speicherdauer: Termindaten löschen wir spätestens 24 Monate nach dem letzten Kontakt, sofern keine Geschäftsbeziehung zustande kommt und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

Sie können der Verarbeitung jederzeit gemäß Art. 21 DSGVO widersprechen: info@hrbuilders.de — eine Terminvereinbarung ist auch formlos per E-Mail möglich.

Weitere Informationen: https://calendly.com/legal/privacy-notice

12. KI-Agenten (Mira, Luca, Sam)

Kunden von HR Builders setzen KI-gestützte Agenten ein: Mira (Sichtung von Bewerbungen), Luca (Onboarding-Planung) und Sam (Beantwortung von Mitarbeiter-Anfragen). Verantwortlicher für die dabei verarbeiteten Bewerber- bzw. Mitarbeiterdaten ist der jeweilige Kunde; HR Builders verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Weisung des Kunden.

a) Modellanbieter (Anthropic)

Die Agenten nutzen Sprachmodelle von Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA. Bei der Sichtung von Bewerbungen wird der Lebenslauf-Text vor der Übermittlung an das Modell automatisiert von Kontaktdaten, Geburtsdatum, Geschlecht, Familienstand, Herkunft/Staatsangehörigkeit und Anschrift bereinigt; diese Bereinigung ist technisch bestmöglich umgesetzt, aber nicht absolut vollständig.

Datenübermittlung in die USA: Der Modellaufruf erfolgt zum jetzigen Zeitpunkt direkt bei Anthropic in den USA (Drittlandtransfer, abgesichert über Standardvertragsklauseln gemäß Art. 44 ff. DSGVO). Eine Verarbeitung innerhalb der EU ist technisch vorbereitet und wird zu einem späteren Zeitpunkt aktiviert.

Keine automatisierte Entscheidung: Die Agenten treffen keine Entscheidung über eine Bewerbung oder Mitarbeiter-Anfrage im Sinne von Art. 22 DSGVO. Jede Entscheidung mit Außenwirkung (z. B. Einladung, Absage) erfordert eine dokumentierte Freigabe durch einen Menschen beim Kunden.

b) E-Mail-Versand (Brevo)

Für E-Mails im Zusammenhang mit den Agenten (z. B. eine Freigabe-Anfrage an eine vom Kunden benannte Person, eine Antwort im Mitarbeiter-Postfach) nutzen wir Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin) als Versanddienstleister. Mit Brevo besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Rechtsgrundlage: Art. 28 DSGVO i. V. m. der Weisung des jeweiligen Kunden als Verantwortlichem.

Speicherdauer: Bewerberdaten werden in der Regel 6 Monate (keine Einladung zu einem Gespräch) bzw. 24 Monate (mindestens eine Einladung) nach Eingang der Bewerbung gelöscht, sofern der Kunde keine abweichende Frist konfiguriert hat oder eine vorzeitige Löschung verlangt wird. Details stellt der jeweilige Kunde auf Anfrage bereit.

13. Kontaktaufnahme

a) Per E-Mail

Wenn Sie uns per E-Mail kontaktieren (info@hrbuilders.de), werden Ihre Angaben zum Zweck der Bearbeitung Ihrer Anfrage und für mögliche Anschlussfragen gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen / Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kommunikation).

Speicherdauer: Wir speichern Anfragen und zugehörige Kommunikation für maximal 24 Monate ab dem letzten Kontakt, sofern keine längeren gesetzlichen Aufbewahrungsfristen greifen.

b) WhatsApp Community

Wir bieten eine WhatsApp Community an. Der Beitritt erfolgt durch eigenständigen Klick auf einen Einladungslink. Mit dem Beitritt willigen Sie in die Verarbeitung Ihrer Telefonnummer und Profil-Informationen durch den Anbieter ein.

Anbieter der WhatsApp Community-Funktion: WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Beitritt).

Wir haben innerhalb der Community Zugriff auf Ihren Profil-Anzeigenamen und Ihre Beiträge, jedoch nicht auf Ihre Telefonnummer (sofern nicht durch Sie selbst freigegeben).

Sie können die Community jederzeit verlassen.

Weitere Informationen: https://www.whatsapp.com/legal/privacy-policy-eea

14. Verlinkungen zu sozialen Netzwerken

In unserem Footer befinden sich Verlinkungen zu unseren Profilen auf LinkedIn, YouTube und TikTok. Es handelt sich um reine Verlinkungen, keine eingebetteten Plugins. Eine Datenübermittlung an die jeweiligen Anbieter findet erst statt, wenn Sie die Links aktiv anklicken und die jeweiligen Plattformen aufrufen.

Für die Datenverarbeitung auf den verlinkten Plattformen gelten die Datenschutzbestimmungen der jeweiligen Anbieter.