Fassung: 0826, Gültig: 01.08.2026
(bei Bestehen eines individuellen Vertrages: Anlage 1)
zwischen
dem Kunden als Vertragspartner des Hauptvertrages oder der (Kampagnen-)Buchungen
– nachfolgend „Verantwortlicher“ –
und der
Staffery GmbH
Gertraudenstraße 10–12, 10178 Berlin
vertreten durch den Geschäftsführer Patrick Gutmann
– nachfolgend „Auftragsverarbeiter“ –
– gemeinsam die „Parteien“ –
Dieser Vertrag (nachfolgend „AVV") ist Bestandteil des Vertragsverhältnisses zwischen den Parteien über die Nutzung der Leistungen des Auftragsverarbeiters (nachfolgend „Hauptvertrag"). Hauptvertrag im Sinne dieses AVV ist der zwischen den Parteien geschlossene individuelle Vertrag einschließlich der einbezogenen Allgemeinen Geschäftsbedingungen von Staffery. Besteht kein individueller Vertrag, sind Hauptvertrag die Allgemeinen Geschäftsbedingungen von Staffery in ihrer einbezogenen Fassung zusammen mit der jeweiligen Buchung oder Registrierung des Kunden. Verantwortlicher ist der Kunde; seine Identität und Kontaktdaten ergeben sich aus dem individuellen Vertrag bzw. aus den bei Buchung oder Registrierung angegebenen Daten. Dieser AVV wird mit Zustandekommen des Hauptvertrages wirksam; einer gesonderten Unterzeichnung bedarf es nicht (Art. 28 Abs. 9 DSGVO).
Der Auftragsverarbeiter erbringt für den Verantwortlichen auf Grundlage des Hauptvertrages Dienstleistungen im Bereich der Veröffentlichung, Verteilung und Verwaltung von Stellenanzeigen auf externen Recruiting-, Jobbörsen- und Bewerbungsplattformen (insbesondere Indeed, Stepstone und HeyJobs sowie weiteren Plattformen) sowie der Entgegennahme, Speicherung, Bereitstellung und Weiterleitung von Bewerbungen.
Hierzu verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen, insbesondere im Zusammenhang mit: der technischen Übernahme von Stellenanzeigen aus Bewerbermanagementsystemen des Verantwortlichen, der algorithmusgestützten Optimierung von Stellenanzeigen, der automatisierten Veröffentlichung und Verteilung von Stellenanzeigen auf Recruiting-Plattformen, der Entgegennahme von Bewerbungen einschließlich Lebensläufen und weiteren Bewerbungsunterlagen, deren Speicherung und Bereitstellung in der Plattform des Auftragsverarbeiters (nachfolgend „Staffery-Plattform“) zur Einsichtnahme und Bearbeitung durch den Verantwortlichen sowie der Weiterleitung von Bewerbungen an die Systeme des Verantwortlichen.
Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien gemäß Art. 28 DSGVO im Zusammenhang mit der Durchführung des Hauptvertrages.
(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Zusammenhang mit der Durchführung von Recruiting- und Bewerbungsprozessen des Verantwortlichen im Rahmen des Hauptvertrages.
(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses Vertrages, zur Erfüllung des Hauptvertrages, auf dokumentierte Weisung des Verantwortlichen und unter Beachtung der geltenden Datenschutzgesetze, insbesondere der DSGVO und des BDSG.
(3) Der Verantwortliche ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO; der Auftragsverarbeiter ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8, Art. 28 DSGVO. Der Auftragsverarbeiter trifft keine eigenständigen Entscheidungen über die Auswahl von Bewerbern, die Durchführung von Bewerbungsverfahren, die Begründung von Beschäftigungsverhältnissen oder die Bewertung natürlicher Personen.
(4) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vertraglich geschuldeten Leistungen für den Verantwortlichen und nicht zu eigenen Zwecken, insbesondere nicht zur eigenwirtschaftlichen Profilbildung, Marktanalyse, zum Aufbau kundenübergreifender Bewerberpools oder für eigenes Recruiting. Klarstellend gilt: Die Speicherung, Bereitstellung und Verwaltung von Bewerberdaten (einschließlich Lebensläufen) in der Staffery-Plattform für den Verantwortlichen sowie die hierfür erforderliche Einsichtnahme durch den Auftragsverarbeiter erfolgen im Auftrag und ausschließlich zu Zwecken des Verantwortlichen und stellen keine Verarbeitung zu eigenen Zwecken dar.
(5) Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Hauptvertrages. Besteht kein individueller Vertrag, endet dieser AVV mit Beendigung des Vertragsverhältnisses über die Nutzung der Leistungen des Auftragsverarbeiters. Die Regelungen zu Speicherung, Löschung und Rückgabe von Daten (§ 15) gelten über die Beendigung hinaus fort.
(1) Die Verarbeitung erfolgt zum Zweck der Durchführung und Unterstützung von Recruiting- und Bewerbungsprozessen des Verantwortlichen. Sie umfasst insbesondere folgende Tätigkeiten:
(2) Der vom Auftragsverarbeiter eingesetzte Algorithmus dient ausschließlich der technischen Optimierung, Verteilung und besseren Auffindbarkeit von Stellenanzeigen. Eine Bewertung, Klassifizierung, Priorisierung oder automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO hinsichtlich natürlicher Personen findet nicht statt.
(3) Der Auftragsverarbeiter ist nicht berechtigt, Bewerberdaten für eigene Zwecke zu verwenden, kundenübergreifende Bewerberdatenbanken oder -pools für eigene Zwecke aufzubauen, Bewerberdaten wirtschaftlich zu verwerten oder für eigenes Recruiting einzusetzen oder personenbezogene Daten außerhalb dokumentierter Weisungen an Dritte weiterzugeben. § 1 Abs. 4 Satz 2 bleibt unberührt.
(4) Eine Verwendung personenbezogener Daten zum Training, zur Verbesserung oder zur Entwicklung eigener KI-, Analyse- oder Bewertungssysteme des Auftragsverarbeiters erfolgt nicht, es sei denn, der Verantwortliche weist dies gesondert und ausdrücklich in Textform an.
(1) Im Rahmen der Leistungserbringung verarbeitet der Auftragsverarbeiter insbesondere folgende Kategorien personenbezogener Daten:
(2) Soweit Bewerber im Rahmen ihrer Bewerbung besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO freiwillig übermitteln (z. B. Angaben zu einer Schwerbehinderung), verarbeitet der Auftragsverarbeiter diese ausschließlich im Rahmen der Entgegennahme, Speicherung, Bereitstellung und Weiterleitung der Bewerbungsunterlagen, auf dokumentierte Weisung des Verantwortlichen, zur Durchführung des jeweiligen Bewerbungsverfahrens und unter Anwendung angemessener technischer und organisatorischer Schutzmaßnahmen. Der Auftragsverarbeiter erhebt besondere Kategorien personenbezogener Daten nicht gezielt, wertet diese nicht eigenständig aus und verwendet sie nicht für eigene Zwecke.
Von der Verarbeitung betroffen sind insbesondere: Bewerberinnen und Bewerber, potenzielle Bewerberinnen und Bewerber (Interessenten an Stellenanzeigen), Ansprechpartner sowie Mitarbeiterinnen und Mitarbeiter des Verantwortlichen (als Nutzer der Staffery-Plattform).
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
(2) Der Hauptvertrag nebst diesem Vertrag und seinen Anhängen stellt die erste dokumentierte Weisung dar. Weitere Weisungen erfolgen in Textform (z. B. E-Mail). Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(3) Weisungen können insbesondere Art und Umfang der Verarbeitung, die Berichtigung, Löschung, Sperrung und Einschränkung der Verarbeitung sowie die Herausgabe von Daten betreffen.
(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.
(5) Weisungen dürfen ausschließlich durch die vom Verantwortlichen benannten vertretungsberechtigten oder datenschutzrechtlich autorisierten Ansprechpartner erteilt werden. Der Auftragsverarbeiter ist nicht verpflichtet, Weisungen umzusetzen, solange eine eindeutige Identifizierung des Weisungsberechtigten nicht möglich ist.
(6) Führt eine Weisung des Verantwortlichen zu einem zusätzlichen Aufwand, der nicht vom Hauptvertrag umfasst ist, kann der Auftragsverarbeiter hierfür eine angemessene Vergütung verlangen; er weist den Verantwortlichen vor Umsetzung der Weisung hierauf hin. Die Höhe der Vergütung richtet sich nach der im Hauptvertrag vereinbarten Regelung. Der Auftragsverarbeiter weist den Verantwortlichen vor der Umsetzung auf die Vergütungspflicht und den voraussichtlichen Aufwand hin. Für Aufwand, der durch einen vom Auftragsverarbeiter zu vertretenden Verstoß veranlasst ist, wird keine Vergütung verlangt.
(1) Der Auftragsverarbeiter gewährleistet, dass ausschließlich solche Personen Zugriff auf personenbezogene Daten erhalten, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, datenschutzrechtlich geschult wurden und die Daten zur Leistungserbringung benötigen.
(2) Der Auftragsverarbeiter verpflichtet sämtliche mit der Datenverarbeitung befassten Personen gemäß Art. 28 Abs. 3 Satz 2 lit. b DSGVO auf Vertraulichkeit. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des jeweiligen Beschäftigungsverhältnisses fort.
(3) Der Auftragsverarbeiter gewährleistet ein rollenbasiertes Berechtigungskonzept nach dem Need-to-know-Prinzip. Die Einsichtnahme in Lebensläufe und Bewerbungsunterlagen durch Mitarbeiter des Auftragsverarbeiters erfolgt nur im erforderlichen Umfang gemäß § 2 Abs. 1.
(1) Der Auftragsverarbeiter hat einen Datenschutzbeauftragten bestellt. Die Kontaktdaten lauten: Merentis DataSec GmbH, Rechtsanwalt Tobias K. Eicke, Kurfürstenallee 130, 28211 Bremen, Telefon: 0421 / 2380461, E-Mail: datasec@merentis.com.
(2) Änderungen sind dem Verantwortlichen unverzüglich in Textform mitzuteilen. Der Datenschutzbeauftragte steht dem Verantwortlichen für datenschutzrechtliche Rückfragen im Zusammenhang mit diesem Vertrag als Ansprechpartner zur Verfügung.
(1) Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.
(2) Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen ergeben sich aus Anhang 1. Der Auftragsverarbeiter ist berechtigt, diese Maßnahmen weiterzuentwickeln oder durch gleichwertige Maßnahmen zu ersetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen, die zu einer erheblichen Reduzierung des Schutzniveaus führen könnten, sind dem Verantwortlichen rechtzeitig vor Umsetzung mitzuteilen.
(3) Der Auftragsverarbeiter stellt sicher, dass personenbezogene Daten in Test- und Entwicklungsumgebungen nur verarbeitet werden, soweit dies erforderlich ist und angemessene Schutzmaßnahmen, insbesondere Pseudonymisierung oder Zugriffsbeschränkungen, bestehen.
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anhang 2.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vierzehn (14) Kalendertage vor der erstmaligen Einschaltung, dem Austausch oder der wesentlichen Änderung eines Unterauftragsverarbeiters in Textform unter Angabe des Unternehmens, der konkreten Leistung, des Sitzlandes sowie etwaiger Drittlandtransfers.
(3) Der Verantwortliche kann der Einschaltung oder Änderung innerhalb von vierzehn (14) Kalendertagen nach Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Grund in Textform widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Einschaltung als genehmigt. Im Fall eines berechtigten Widerspruchs bemühen sich die Parteien einvernehmlich um eine zumutbare Alternativlösung; ist eine solche nicht möglich, sind beide Parteien berechtigt, den von der Änderung betroffenen Leistungsteil außerordentlich zu kündigen.
(4) Der Auftragsverarbeiter verpflichtet sämtliche Unterauftragsverarbeiter vertraglich mindestens auf das Datenschutzniveau dieses Vertrages, einschließlich angemessener Garantien für technische und organisatorische Maßnahmen. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Leistungen seiner Unterauftragsverarbeiter verantwortlich (Art. 28 Abs. 4 DSGVO).
(1) Der Auftragsverarbeiter veröffentlicht und verteilt Stellenanzeigen des Verantwortlichen auf externen Recruiting-, Jobbörsen- und Bewerbungsplattformen. Hierzu gehören insbesondere Indeed, Stepstone und HeyJobs sowie – je nach Ausschreibung und Zielgruppe – weitere geeignete Plattformen (z. B. LinkedIn, XING, Google for Jobs, Meta-Plattformen sowie regionale oder branchenspezifische Jobbörsen). Die zum Zeitpunkt des Vertragsschlusses regelmäßig eingesetzten Plattformen und ihre datenschutzrechtliche Rollenbewertung ergeben sich aus Anhang 3.
(2) Der Verantwortliche genehmigt den Einsatz weiterer Plattformen allgemein, soweit diese der Veröffentlichung von Stellenanzeigen des Verantwortlichen und der Entgegennahme von Bewerbungen dienen und ein angemessenes Datenschutzniveau gemäß den Anforderungen dieses Vertrages gewährleistet ist. Der Auftragsverarbeiter aktualisiert Anhang 3 bei wesentlichen Änderungen und informiert den Verantwortlichen entsprechend § 9 Abs. 2, soweit die jeweilige Plattform als Unterauftragsverarbeiter tätig wird.
(3) Die Parteien sind sich darüber einig, dass Plattformbetreiber hinsichtlich der auf ihren Plattformen eigenständig erfolgenden Verarbeitungsvorgänge (z. B. Betrieb der Plattform, eigene Nutzerkonten und Kandidatenprofile, Reichweitenmessung) regelmäßig eigenständige Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO sind. Soweit eine Plattform ausschließlich weisungsgebunden für die Ausspielung der Stellenanzeigen des Verantwortlichen tätig wird, ist sie Unterauftragsverarbeiter im Sinne von § 9; die Zuordnung ergibt sich aus Anhang 3.
(4) Der Auftragsverarbeiter hat keinen Einfluss auf die Verarbeitung personenbezogener Daten durch Plattformbetreiber innerhalb von deren eigenen Verantwortungsbereichen. Der Auftragsverarbeiter trifft keine eigenständigen Entscheidungen hinsichtlich Reichweitensteuerung, Zielgruppenansprache oder Priorisierung konkreter Bewerber oder Personengruppen, soweit dies über die technische Optimierung der Stellenanzeigen gemäß § 2 Abs. 2 hinausgeht.
(5) Der Verantwortliche ist dafür verantwortlich, die Betroffenen gemäß Art. 13, 14 DSGVO über die Verarbeitung ihrer Daten im Bewerbungsverfahren zu informieren. Der Auftragsverarbeiter unterstützt ihn hierbei durch Bereitstellung der erforderlichen Informationen über die eingesetzten Plattformen und Verarbeitungsvorgänge.
(1) Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt ausschließlich unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO.
(2) Der Auftragsverarbeiter stellt sicher, dass Drittlandübermittlungen ausschließlich auf Grundlage geeigneter Garantien erfolgen, insbesondere Angemessenheitsbeschlüsse der Europäischen Kommission (einschließlich des EU-U.S. Data Privacy Framework), EU-Standardvertragsklauseln nebst erforderlichenfalls ergänzender technischer Schutzmaßnahmen (z. B. Verschlüsselung, Pseudonymisierung) oder verbindlicher interner Datenschutzvorschriften.
(3) Bestehende Drittlandübermittlungen sind in Anhang 2 und Anhang 3 ausgewiesen. Der Auftragsverarbeiter informiert den Verantwortlichen auf Anfrage über weitere Einzelheiten.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen angemessen bei der Erfüllung von Anträgen betroffener Personen gemäß Kapitel III der DSGVO, bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO), bei vorherigen Konsultationen der Aufsichtsbehörden (Art. 36 DSGVO), bei der Meldung von Datenschutzverletzungen (Art. 33, 34 DSGVO) sowie bei der Erfüllung von Nachweispflichten.
(2) Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder einem Widerspruch unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich, spätestens innerhalb von fünf (5) Werktagen, an den Verantwortlichen weiter, soweit eine Zuordnung möglich ist. Eine eigenständige Beantwortung erfolgt ausschließlich nach Weisung des Verantwortlichen.
(3) Die Staffery-Plattform stellt dem Verantwortlichen Funktionen zur Verfügung, mit denen dieser Betroffenenrechte (insbesondere Auskunft, Berichtigung und Löschung einzelner Bewerberdatensätze) selbständig umsetzen kann. Soweit eine Umsetzung durch den Verantwortlichen selbst nicht möglich ist, setzt der Auftragsverarbeiter entsprechende Weisungen unverzüglich um.
(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Anfragen von Aufsichtsbehörden, behördliche Ermittlungsmaßnahmen, Beschlagnahmen, gerichtliche oder sonstige hoheitliche Maßnahmen, soweit diese die im Auftrag verarbeiteten personenbezogenen Daten betreffen und eine Information rechtlich zulässig ist.
(2) Der Auftragsverarbeiter legt personenbezogene Daten gegenüber Behörden oder sonstigen Dritten ausschließlich offen: auf dokumentierte Weisung des Verantwortlichen, aufgrund gesetzlicher Verpflichtungen oder aufgrund vollziehbarer behördlicher oder gerichtlicher Anordnungen. Soweit rechtlich zulässig, gibt der Auftragsverarbeiter dem Verantwortlichen vor einer Offenlegung Gelegenheit zur Stellungnahme.
(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von vierundzwanzig (24) Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO, die im Rahmen der Verarbeitung nach diesem Vertrag aufgetreten ist.
(2) Die Meldung enthält, soweit zum Zeitpunkt der Meldung bekannt, mindestens die in Art. 33 Abs. 3 DSGVO genannten Angaben, insbesondere: Art der Verletzung, Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Gegenmaßnahmen, Ansprechpartner sowie Zeitpunkt der Kenntniserlangung. Nachträglich bekannt werdende Informationen werden unverzüglich nachgereicht.
(3) Der Auftragsverarbeiter trifft unverzüglich angemessene Maßnahmen zur Schadensbegrenzung, Ursachenanalyse, Wiederherstellung der Sicherheit und Verhinderung weiterer Verstöße und dokumentiert den Vorfall.
(4) Die rechtliche Bewertung, ob eine Meldepflicht gegenüber der Aufsichtsbehörde oder eine Benachrichtigungspflicht gegenüber den Betroffenen besteht, sowie die Meldung bzw. Benachrichtigung selbst obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn hierbei angemessen.
(1) Der Auftragsverarbeiter speichert die im Auftrag verarbeiteten Bewerberdaten (einschließlich Lebensläufen und Bewerbungsunterlagen) in der Staffery-Plattform für die Dauer des Hauptvertrages und stellt sie dem Verantwortlichen dort zur Einsichtnahme, Verwaltung und Bearbeitung zur Verfügung. Der Verantwortliche legt die fachlichen Aufbewahrungs- und Löschfristen für die Bewerberdaten fest und setzt diese über die Funktionen der Staffery-Plattform um oder weist den Auftragsverarbeiter entsprechend an. Trifft der Verantwortliche keine Festlegung, gilt die in Anhang 1 beschriebene Voreinstellung; sie beträgt 185 Tage ab Eingang der jeweiligen Bewerbung. Der Auftragsverarbeiter weist den Verantwortlichen bei Vertragsbeginn auf diese Voreinstellung hin. Eine vom Verantwortlichen festgelegte kürzere oder längere Frist geht der Voreinstellung vor.
(2) Der Verantwortliche kann jederzeit die Berichtigung, Löschung oder Herausgabe einzelner oder sämtlicher Datensätze verlangen. Entsprechende Weisungen setzt der Auftragsverarbeiter unverzüglich um, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
(3) Nach Beendigung des Hauptvertrages wird der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen entweder datenschutzkonform löschen oder an den Verantwortlichen bzw. einen von diesem benannten Dritten herausgeben und anschließend löschen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Trifft der Verantwortliche innerhalb von dreißig (30) Kalendertagen nach Vertragsende keine Wahl, ist der Auftragsverarbeiter zur datenschutzkonformen Löschung berechtigt und verpflichtet.
(4) Über die Vertragslaufzeit hinaus speichert der Auftragsverarbeiter personenbezogene Daten ausschließlich zur Erfüllung gesetzlicher Aufbewahrungs-, Nachweis- und Dokumentationspflichten, zur Gewährleistung der IT-Sicherheit, zur Fehleranalyse und Missbrauchserkennung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Daten, deren Verarbeitung hierfür nicht mehr erforderlich ist, werden unverzüglich gelöscht oder irreversibel anonymisiert.
(5) Soweit personenbezogene Daten aufgrund technischer Sicherungskonzepte vorübergehend noch in Backup- oder Archivsystemen enthalten sind, werden diese bis zur turnusmäßigen endgültigen Löschung entsprechend geschützt und nicht zu anderen Zwecken verarbeitet.
(6) Löschungen erfolgen nach dem Stand der Technik. Der Auftragsverarbeiter dokumentiert Löschvorgänge in angemessenem Umfang und stellt dem Verantwortlichen auf Anfrage geeignete Nachweise zur Verfügung. Die Herausgabe von Daten erfolgt in einem gängigen, maschinenlesbaren Format, soweit technisch möglich.
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.
(2) Zum Nachweis sind vorrangig geeignete Unterlagen zu verwenden, insbesondere aktuelle Zertifizierungen, Auditberichte, Selbstauskünfte, Datenschutzaudits, Penetrationstests oder vergleichbare Prüfunterlagen.
(3) Vor-Ort-Kontrollen erfolgen nach vorheriger Ankündigung mit angemessener Vorlaufzeit von mindestens vierzehn (14) Kalendertagen, während der üblichen Geschäftszeiten, ohne unverhältnismäßige Beeinträchtigung des Geschäftsbetriebs, höchstens einmal jährlich – es sei denn, es besteht ein konkreter, dokumentierter Anlass – sowie unter Wahrung von Betriebs- und Geschäftsgeheimnissen des Auftragsverarbeiters und Dritter. Der Auftragsverarbeiter kann Kontrollen vom Abschluss angemessener Vertraulichkeitsvereinbarungen abhängig machen.
(4) Soweit Kontrollen einen erheblichen zusätzlichen Aufwand verursachen und nicht durch einen vom Auftragsverarbeiter zu vertretenden Datenschutzverstoß veranlasst sind, kann der Auftragsverarbeiter hierfür eine angemessene Vergütung verlangen.
(1) Die Parteien haften gegenüber betroffenen Personen nach den gesetzlichen Vorschriften, insbesondere gemäß Art. 82 DSGVO.
(2) Im Innenverhältnis haftet jede Partei für Schäden, Bußgelder, Kosten und sonstige Nachteile, die durch eine von ihr zu vertretende Verletzung datenschutzrechtlicher oder vertraglicher Pflichten verursacht wurden.
(3) Der Auftragsverarbeiter haftet insbesondere nicht für die datenschutzrechtliche Zulässigkeit der durch den Verantwortlichen veranlassten Verarbeitung, die Rechtmäßigkeit der Datenerhebung durch den Verantwortlichen, die Rechtmäßigkeit der Inhalte von Stellenanzeigen, die datenschutzrechtliche Zulässigkeit der Durchführung von Bewerbungsverfahren sowie die Rechtmäßigkeit von Weisungen des Verantwortlichen.
(4) Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, soweit diese auf einer rechtswidrigen Weisung, einer rechtswidrigen Datenerhebung, einer fehlenden Rechtsgrundlage oder einer sonstigen vom Verantwortlichen zu vertretenden Datenschutzverletzung beruhen und den Auftragsverarbeiter kein eigenes Verschulden trifft. Die Freistellung umfasst auch angemessene Kosten der Rechtsverteidigung.
(5) Gegenüber dem Verantwortlichen haftet der Auftragsverarbeiter nur für Schäden, die auf einer schuldhaften Verletzung der ihm nach diesem Vertrag oder nach der DSGVO obliegenden Pflichten beruhen. Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten (Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Verantwortliche regelmäßig vertrauen darf) ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt; im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen.
(6) Die vorstehenden Haftungsbeschränkungen gelten nicht bei Vorsatz oder grober Fahrlässigkeit, bei Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, bei zwingender gesetzlicher Haftung sowie bei Ansprüchen betroffener Personen nach Art. 82 DSGVO, soweit eine Haftungsbeschränkung gesetzlich unzulässig ist.
(7) Die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen aus oder im Zusammenhang mit diesem Vertrag, einschließlich der Ansprüche nach Absatz (2), ist der Höhe nach auf den im Hauptvertrag vereinbarten Haftungshöchstbetrag begrenzt. Besteht kein individueller Vertrag, gilt die Haftungsbegrenzung in § 10 der Allgemeinen Geschäftsbedingungen von Staffery. Haftungshöchstbeträge aus dem Hauptvertrag und aus diesem Vertrag werden nicht addiert; Zahlungen auf Ansprüche nach diesem Vertrag werden auf den Höchstbetrag angerechnet. Der Höchstbetrag gilt für alle Schadensfälle innerhalb eines Vertragsjahres insgesamt. Die Begrenzung nach Satz 1 gilt nicht in den Fällen des Absatzes (6), insbesondere nicht bei Vorsatz oder grober Fahrlässigkeit, bei Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, bei zwingender gesetzlicher Haftung sowie nicht für Ansprüche betroffener Personen nach Art. 82 DSGVO.
(1) Dieser AVV ist Bestandteil des Hauptvertrages und wird mit dessen Zustandekommen wirksam; ist ein individueller Vertrag geschlossen, ist er diesem als Anlage 1 beigefügt. Einer gesonderten Unterzeichnung dieses Vertrages bedarf es nicht; die Zustimmung zum Hauptvertrag (z. B. durch Unterzeichnung, Bestellung oder elektronische Annahme) umfasst zugleich diesen Vertrag. Dem Schriftformerfordernis des Art. 28 Abs. 9 DSGVO wird hierdurch, auch in elektronischem Format, genügt. Der Auftragsverarbeiter dokumentiert die jeweils geltende Fassung dieses Vertrages sowie den Zeitpunkt ihrer Einbeziehung.
(2) Dieser AVV geht bei Widersprüchen hinsichtlich der Verarbeitung personenbezogener Daten den Regelungen des Hauptvertrages vor. Im Übrigen gelten die Regelungen des Hauptvertrages ergänzend; es gilt die dort vereinbarte Rangfolge, also (a) der individuelle Vertrag, (b) dieser AVV hinsichtlich datenschutzrechtlicher Fragen, (c) die Allgemeinen Geschäftsbedingungen von Staffery.
(3) Änderungen und Ergänzungen dieses Vertrages bedürfen mindestens der Textform. Dies gilt auch für die Änderung dieses Textformerfordernisses.
(4) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt. Anstelle der unwirksamen Bestimmung gilt diejenige wirksame Regelung als vereinbart, die dem verfolgten Zweck am nächsten kommt.
(5) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt die Regelung des Hauptvertrages; besteht kein individueller Vertrag, gilt § 11 Absatz (2) der Allgemeinen Geschäftsbedingungen von Staffery.
(6) Die Anhänge 1 bis 3 sind Bestandteil dieses Vertrages.
Der Auftragsverarbeiter trifft insbesondere folgende technische und organisatorische Maßnahmen.
Zum Zeitpunkt des Vertragsschlusses setzt der Auftragsverarbeiter folgende Unterauftragsverarbeiter ein.
Unternehmen | Leistung | Sitzland | Drittlandtransfer | Mechanismus |
Hetzner | Hosting / Cloud-Infrastruktur der Staffery-Plattform | Deutschland | nein | |
Amazon Web Services (AWS) | Hosting / Cloud-Infrastruktur der Staffery-Plattform | Irland / USA | ja | Art. 46 DSGVO (SCC) / Data Privacy Framework |
Microsoft Corporation (Microsoft 365) | E-Mail-Kommunikation, Zusammenarbeit und Benachrichtigungen | USA | ja | Data Privacy Framework |
GitHub | Quellcodeverwaltung, Versionskontrolle und CI/CD | USA | ja | Data Privacy Framework |
Atlassian, Inc. (Jira Cloud) | Projektmanagement, Vorgangsverwaltung und Support | USA | ja | Data Privacy Framework |
Google Drive | Dokumentenspeicherung und Zusammenarbeit | Irland | ja | Art. 46 DSGVO (SCC) / Data Privacy Framework |
Der Auftragsverarbeiter veröffentlicht Stellenanzeigen des Verantwortlichen insbesondere auf den nachfolgenden Plattformen. Die Liste kann je nach Ausschreibung um weitere geeignete Plattformen ergänzt werden; § 10 Abs. 2 des Vertrages gilt entsprechend.
Plattform | Datenschutzrechtliche Rolle | Sitzland | Drittlandtransfer | Transfermechanismus |
Indeed | Eigenständiger Verantwortlicher (eigene Plattformverarbeitung) | Irland / USA | ja | Art. 46 DSGVO (SCC) / Data Privacy Framework |
Stepstone (The Stepstone Group Deutschland GmbH) | Eigenständiger Verantwortlicher (eigene Plattformverarbeitung) | Deutschland | nein | – |
HeyJobs (HeyJobs GmbH) | Eigenständiger Verantwortlicher (eigene Plattformverarbeitung) | Deutschland | nein | – |
Eigenständiger Verantwortlicher (eigene Plattformverarbeitung) | Irland / USA | ja | Art. 46 DSGVO (SCC) / Data Privacy Framework | |
XING (New Work SE) | Eigenständiger Verantwortlicher (eigene Plattformverarbeitung) | Deutschland | nein | – |
Google for Jobs | Eigenständiger Verantwortlicher (eigene Plattformverarbeitung) | Irland / USA | ja | Art. 46 DSGVO (SCC) / Data Privacy Framework |
Meta |
Soweit Plattformbetreiber im Einzelfall ausschließlich weisungsgebunden für den Auftragsverarbeiter tätig werden, gelten sie als Unterauftragsverarbeiter im Sinne von § 9 des Vertrages und werden zusätzlich in Anhang 2 aufgenommen.
Staffery GmbH Gertraudenstraße 10–12 10178 Berlin Tel.: +49 30 30 80 96 98 Web: www.staffery.com | Rechtsform: AG Charlottenburg: Geschäftsführer: | GmbH | Sitz Berlin HRB 198410 B Patrick Gutmann | BANK: IBAN: BIC: USt-IdNr.: | Sparkasse Bremen DE68 2905 0101 0083 6325 05 SBREDE22XXX DE319613612 |