Datenschutzerklärung

1. Verantwortlicher

• Verantwortlich: Sebastian Dionizi (Skill-IA ist in Gründung; es besteht noch keine eingetragene Gesellschaft).
• Anschrift: Bonner Str. 1, App. 104, 80804 München, Deutschland
• Datenschutz-Kontakt: datenschutz@skill-ia.de, Telefon +41 78 328 47 66
• Datenschutzbeauftragter: Wir haben derzeit keinen Datenschutzbeauftragten benannt, weil die gesetzlichen Voraussetzungen (Art. 37 DSGVO, § 38 BDSG) bei uns aktuell nicht erfüllt sind. Wir prüfen das regelmäßig; Datenschutzanfragen beantwortet der oben genannte Kontakt direkt.

2. Das Wichtigste in Kürze

Skill-IA hilft Bewerberinnen und Bewerbern, passende Stellen zu finden und sich zu bewerben, und soll ab dem Start auch kleinen und mittleren Unternehmen helfen, passende Kandidaten zu finden. Die Einzelheiten stehen in den genannten Abschnitten.

• Ihr Lebenslauf geht an KI-Anbieter in den USA. Zur Analyse wird sein vollständiger Text an OpenAI und Anthropic übermittelt (3.3, 5, 6). Alle Uploads laufen über Cloudflare, E-Mail-Bewerbungen mit Lebenslauf über unsere E-Mail-Dienste Google Cloud und Twilio SendGrid (5).
• Ihr Profil wird automatisiert bewertet. Wir berechnen eine Profilstärke und je Stelle einen Passungswert. Das ist Profiling (4).
• Bewerbungen in Ihrem Namen versenden wir nur, wenn Sie „Automatisch bewerben“ nutzen und ausdrücklich zustimmen (3.6, 4). An Arbeitgeber geht Ihr Lebenslauf nur auf Ihre Veranlassung.
• Besondere Angaben wie Foto, Gesundheit, Religion oder Gewerkschaft brauchen wir nicht. Bitte entfernen Sie sie vor dem Hochladen; sonst werden sie mitverarbeitet (3.3).
• Speicherung: „Neuer Kandidat“ löscht Ihren Lebenslauf sofort. Sonst löschen wir ihn 24 Monate nach Ihrer letzten Aktivität (Anmeldung oder Änderung), ohne Konto nach 90 Tagen (3.4, 7).
• So finanzieren wir uns: Für Bewerberinnen und Bewerber ist Skill-IA kostenlos. Unternehmen zahlen uns ab dem Start eine Gebühr, wenn sie jemanden einstellen. Wir verkaufen keine Daten; Ihren Namen und Ihre Kontaktdaten erhält ein Unternehmen nur, wenn Sie seiner konkreten Gesprächsanfrage zustimmen (3.7).
• Keine Werbe-Tracker: Wir nutzen keine Werbe-Tracker. Im Kandidaten-Tool gibt es keine Analyse-Tracker; auf der Website skill-ia.de messen wir die Nutzung nur, wenn Sie im Cookie-Banner „Statistik“ annehmen (3.13, 3.14).

3. Welche Daten wir wofür verarbeiten

3.1 Aufruf der Website und Server-Protokolle

Bei jedem Aufruf verarbeiten wir technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Browser-Kennung. Zweck: Auslieferung der Seiten, Sicherheit (z. B. Schutz vor Angriffen und Missbrauch, Begrenzung von Anmeldeversuchen). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Protokolle werden nach 30 Tagen gelöscht, bei Erreichen einer festen Größenbegrenzung früher. Die Website skill-ia.de wird von Cloudflare Pages ausgeliefert (siehe 5); beim ersten Besuch fragt sie bei Cloudflare das Land Ihrer IP-Adresse ab, um die passende Sprache vorzuschlagen — das Land wird nicht gespeichert.

3.2 Benutzerkonto

Bei der Registrierung: Name, E-Mail-Adresse, ein nicht umkehrbarer Hash Ihres Passworts (nie das Passwort selbst), ob die E-Mail bestätigt ist, die akzeptierte Version dieser Erklärung mit Zeitpunkt, Anmeldedaten, Rolle und Zugangsstufe; freiwillig Telefon und Ort. Bei Anmeldung mit Google, Microsoft oder LinkedIn zusätzlich die Kennung Ihres Kontos bei diesem Anbieter und die von ihm übermittelte E-Mail-Adresse — keine Zugriffstoken, keine weiteren Kontodaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag).

3.3 Lebenslauf-Analyse und Stellensuche

Wenn Sie einen Lebenslauf (PDF) hochladen, wird sein Text mit Sprachmodellen (KI) von OpenAI und Anthropic in den USA (5, 6) in ein Profil umgewandelt (Beruf, Erfahrung, Ausbildung, Fähigkeiten, Sprachen, Wohnort auf Ebene der Stadt), eine Profilstärke berechnet und mit aktuellen Stellenanzeigen abgeglichen (4). Freiwillige Notizen, die Sie hinzufügen, fließen ein. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir mit Zeitpunkt und Version dieser Erklärung protokollieren (Art. 7 Abs. 1 DSGVO).

Besondere Kategorien (Art. 9 DSGVO). Ein Lebenslauf kann z. B. ein Foto, Angaben zur Gesundheit, Religion oder Gewerkschaft enthalten. Wir brauchen solche Angaben nicht: Die Profilerstellung ist angewiesen, sie sowie Geburtsdatum, Alter, Geschlecht, Staatsangehörigkeit und Foto weder zu übernehmen noch abzuleiten, und sie sind kein vorgesehenes Kriterium für Bewertung oder Reihenfolge. Das ist eine Anweisung an ein Sprachmodell, keine technische Garantie. Die Sprachmodelle lesen nur den Text des Lebenslaufs; Bilder wie ein Foto werden ihnen nicht übermittelt. Vorab entfernt werden solche Angaben aus dem Text nicht: Der vollständige Text des Lebenslaufs geht an OpenAI und Anthropic in den USA (5, 6), und das hochgeladene Dokument selbst wird gespeichert (3.4), über Cloudflare übertragen (5) und Bewerbungen beigefügt (3.6). Bitte entfernen Sie solche Angaben vor dem Hochladen, wenn Sie nicht möchten, dass sie mitverarbeitet werden; soweit sie enthalten sind, erstreckt sich Ihre Einwilligung ausdrücklich auch darauf (Art. 9 Abs. 2 lit. a DSGVO).

LinkedIn-Profil statt Lebenslauf (optional). Wenn Sie „Von LinkedIn importieren“ wählen, stimmen Sie auf der Seite von LinkedIn der Weitergabe Ihrer Profildaten zu (LinkedIn Member Data Portability API). Wir übernehmen davon nur Name, Überschrift, Zusammenfassung, Ort (Stadt/Region), Branche, Berufserfahrung, Ausbildung, Kenntnisse, Sprachen und Zertifikate — nie Geburtsdatum, Anschrift, Postleitzahl, Telefonnummer oder weitere Kontodaten — und speichern sie zu Ihrem Konto, bis Sie sie entfernen („Mein Konto“) oder das Konto löschen. Das Zugriffstoken wird nur einmal verwendet und nicht gespeichert. Verwendet wird das Profil erst, wenn Sie „Dieses Profil verwenden“ wählen und einwilligen; es wird dann wie ein hochgeladener Lebenslauf verarbeitet.

3.4 Speicherung Ihres Lebenslaufs zwischen Besuchen

Damit Sie Ihren Lebenslauf nicht bei jedem Besuch erneut hochladen müssen, speichern wir zu Ihrem Konto: das PDF, den daraus gelesenen Text, das Profil, Ihre letzten Treffer, an welche Arbeitgeber Sie sich beworben haben (damit niemand zweimal angeschrieben wird) und den Versandverlauf. „Neuer Kandidat“ löscht diese Daten sofort und endgültig, ebenso die Löschung Ihres Kontos. Bestehen bleiben der Kandidatendatensatz im CRM (siehe unten), bis Sie das Konto löschen oder uns schreiben, die bei OpenAI und Anthropic liegenden Eingaben (bis zu 30 Tage, Abschnitt 7) und die Einwilligungsnachweise (Abschnitt 7). Andernfalls löschen wir die Daten automatisch 24 Monate nach Ihrer letzten Aktivität (Anmeldung oder Änderung). Verschlüsselte Sicherungskopien, aus denen nur wir sie wiederherstellen können, enthalten gelöschte Daten noch höchstens 14 Tage. Generierte Beispiel-Lebensläufe werden nie gespeichert. Rechtsgrundlage: Ihre Einwilligung (3.3).

Ohne Konto. Das Kandidaten-Tool funktioniert auch ohne Anmeldung. Ihr Browser erhält dann eine zufällige Kennung (Cookie sk_guest, 90 Tage), unter der wir die oben genannten Daten speichern; sie werden spätestens 90 Tage nach der letzten Änderung gelöscht, mit „Neuer Kandidat“ sofort. Name, E-Mail-Adresse und Telefonnummer entnehmen wir Ihrem Lebenslauf; enthält er keine E-Mail-Adresse, bitten wir Sie um eine (sie wird für die automatischen Bewerbungen benötigt). Bevor die erste Bewerbung verschickt wird, senden wir an diese Adresse einen Bestätigungscode (über unser CRM); erst nach seiner Eingabe werden Bewerbungen mit ihr verschickt. Erstellen Sie später ein Konto oder melden sich an, wird Ihr Lebenslauf mit dem Konto verknüpft.

Kandidatendatensatz in unserem CRM. Nach der Analyse Ihres Lebenslaufs oder LinkedIn-Profils legen wir Sie in unserem eigenen CRM als Kandidatin bzw. Kandidaten an (oder aktualisieren den Eintrag), damit unser Team Sie bei der Stellensuche begleiten kann: Name und E-Mail-Adresse Ihres Kontos (ohne Konto: Name, E-Mail-Adresse und Telefonnummer aus Ihrem Lebenslauf bzw. die von Ihnen angegebene E-Mail-Adresse), gewünschte Rolle, Kenntnisse, Erfahrungsstufe, die Profilzusammenfassung und das Ergebnis der Profilbewertung — nicht das PDF — sowie der Nachweis Ihrer Einwilligungen (Zweck, Zeitpunkt, Version dieser Erklärung). Erteilen Sie die Vollmacht für automatische Bewerbungen (3.6), wird auch sie dort vermerkt. Mit der Löschung Ihres Kontos löschen wir diesen Datensatz; sonst gilt Abschnitt 7. Rechtsgrundlage: Ihre Einwilligung (3.3).

3.5 Suchbedingungen

Führerschein, Gehaltsvorstellung, Verfügbarkeit, maximale Wochenstunden, abgelehnte Schichten oder Reisen werden aus Ihrem Lebenslauf gelesen, wenn er sie nennt, oder von Ihnen eingegeben, und nur zum Filtern der Suche während der Sitzung verwendet. Als gesonderte Angaben werden sie nicht gespeichert; was im Lebenslauf selbst steht, bleibt dort gespeichert (3.4).

3.6 Automatische Bewerbungen (optional)

Nur wenn Sie „Automatisch bewerben“ nutzen und ausdrücklich zustimmen: Wir schreiben aus den Angaben Ihres Lebenslaufs mit einem Sprachmodell je Stelle ein Anschreiben in Ihrem Namen (Sie können jedes vor dem Versand lesen, ändern oder abwählen) und senden es mit Ihrem Lebenslauf per E-Mail an die vom Arbeitgeber veröffentlichte Kontaktadresse oder über das Kontaktformular auf der Website des Arbeitgebers, das ein Programm automatisch in Ihrem Namen ausfüllt (nie über Jobbörsen). Absender ist eine Skill-IA-Adresse, als Antwortadresse und für Ihre Kopie dient immer die E-Mail-Adresse Ihres Kontos (ohne Konto: die von Ihnen bestätigte Adresse, 3.4): Sie erhalten eine Kopie jeder E-Mail-Bewerbung, Arbeitgeber antworten direkt an Sie. Lebenslauf und Ihre Adresse liegen dafür nur bis zum Versand in unserer Versand-Warteschlange und werden danach dort gelöscht. Ab dem Versand verarbeitet der Arbeitgeber Ihre Bewerbung als eigener Verantwortlicher. Jeder Versand wird ohne Inhalt protokolliert (Zeit, Domain des Arbeitgebers, Stellentitel, Ergebnis). Ist die Stelle auf der Skill-IA-Stellenbörse ausgeschrieben, geht die Bewerbung (Anschreiben, Lebenslauf, Name, E-Mail) nicht per E-Mail, sondern an die Anzeige auf unserer Stellenbörse, wo das ausschreibende Unternehmen sie abruft; wir löschen sie dort nach 180 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Ausführung Ihres Auftrags); soweit der beigefügte Lebenslauf besondere Kategorien enthält, Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

3.7 Optionale Einwilligungen: Sichtbarkeit für Unternehmen und Verbesserung des Matchings

Beide sind gesonderte, nie vorausgewählte Kästchen; die Jobsuche funktioniert ohne sie. Sie können sie beim Hochladen geben und jederzeit auf Ihrer Profilseite („Deine Datenfreigaben“) geben oder widerrufen. Jede Einwilligung und jeder Widerruf wird ohne Inhalte protokolliert (Zeitpunkt, Version, Umfang).

Sichtbarkeit für Unternehmen. Nur wenn Sie dieses Kästchen ankreuzen, darf Skill-IA, sobald es für Unternehmen öffnet, Unternehmen über „Skill-IA für Unternehmen“ eine Fassung Ihres Profils ohne Namen zeigen (Beruf, Fähigkeiten, Erfahrung, Qualifikation, Ort — kein Name, keine Kontaktdaten, kein Lebenslauf). Name und Kontaktdaten erhält ein Unternehmen erst, wenn Sie dessen konkreter Gesprächsanfrage zustimmen. Widerruf jederzeit mit einem Klick oder per Nachricht an uns. Bei der Auswahl, wen wir einem Unternehmen vorschlagen, berücksichtigen wir die Profilstärke (4). Unternehmen zahlen Skill-IA ab dem Start eine Gebühr, wenn sie jemanden einstellen. Derzeit wird Ihr Profil noch keinem Unternehmen gezeigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Verbesserung des Matchings. Nur wenn Sie dieses Kästchen ankreuzen, darf Skill-IA Ihren Lebenslauf und seine Auswertung nutzen, um das Matching zu testen und zu verbessern (Prüfung der Treffer- und Profilbewertungen, Kalibrierung der Gewichte). Dafür wird nichts weitergegeben oder veröffentlicht, und es entstehen keine zusätzlichen Kopien über die Speicherdauer Ihres Lebenslaufs hinaus: Mit „Neuer Kandidat“, der Kontolöschung oder nach 24 Monaten ohne Aktivität ist er auch für diesen Zweck gelöscht. Ein Widerruf wirkt für künftige Auswertungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und, soweit der Lebenslauf besondere Kategorien enthält, Art. 9 Abs. 2 lit. a DSGVO.

3.8 Skill-IA für Unternehmen

„Skill-IA für Unternehmen“ ist noch nicht geöffnet (3.15). Für Unternehmenskonten verarbeiten wir Firmenname, Ort, Ansprechperson, E-Mail, Telefon sowie die Suchen, Fragen und Gesprächsanfragen. Kandidaten im Pool sind Personen, die einer Aufnahme zugestimmt haben (die Einwilligung wird protokolliert). Zur Demonstration können deutlich gekennzeichnete, frei erfundene Beispiele angezeigt werden; das sind keine echten Personen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Unternehmen) bzw. lit. a (Kandidaten).

Stellenbörse. Unternehmen können kostenlos Stellenanzeigen veröffentlichen. Wir speichern die Anzeige und die Angaben des Unternehmens (Firmenname, Ort, Ansprechperson, E-Mail, Telefon, Website); öffentlich sichtbar ist nur, was das Unternehmen in die Anzeige schreibt. Eine Anzeige ist 45 Tage online (verlängerbar) und läuft dann automatisch ab; eingegangene Bewerbungen löschen wir nach 180 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.9 Recruiter-Konsole (nur Skill-IA-Team)

Mitglieder des Skill-IA-Teams können Lebensläufe mit Ihrem Einverständnis analysieren und Gesprächsnotizen ergänzen. Die Konsole hält diese Daten nur während der Sitzung im Arbeitsspeicher. Eine Übernahme in unser CRM erfolgt nur durch bewusste Aktion eines Teammitglieds (Aufbewahrung: Abschnitt 7). Für das Kandidaten-Tool siehe 3.4.

3.10 Zahlungen von Unternehmen (ab dem Start)

Für Bewerberinnen und Bewerber ist Skill-IA kostenlos. Unternehmen zahlen ab dem Start eine Gebühr, wenn sie jemanden einstellen. Sie bezahlen auf der Seite von Stripe oder SumUp; Karten- oder Kontodaten sehen wir nie. Wir speichern Plan, Betrag, Referenz und Status der Zahlung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Vertrag, steuerliche Aufbewahrung).

3.11 Kontaktdaten von Arbeitgebern

Für Bewerbungen ermitteln wir die Bewerbungsadresse eines Arbeitgebers aus öffentlichen Quellen: der Stellenanzeige und der eigenen Website des Unternehmens (Impressum, Kontakt, Karriere, Datenschutzerklärung). Wir bevorzugen Funktionsadressen (bewerbung@, info@); vereinzelt kann das eine geschäftliche Adresse einer Person aus dem Impressum sein. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Bewerbungen an die richtige Stelle zu senden). Gefundene Adressen werden bis zu 30 Tage zwischengespeichert. Betroffene können jederzeit widersprechen (Abschnitt 9).

3.12 Unternehmen als mögliche Kunden (B2B)

Um Unternehmen, die gerade Personal suchen, ab dem Start passende Kandidaten anzubieten, erfassen wir aus öffentlichen Stellenanzeigen: Firmenname, Ort, offene Stelle, Link zur Anzeige und die in der Anzeige veröffentlichte Kontaktadresse (bevorzugt eine Funktionsadresse wie bewerbung@; vereinzelt eine geschäftliche Adresse einer Person). Quelle ist stets die öffentliche Stellenanzeige. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Geschäftsanbahnung). Wir ergänzen keine Daten aus sozialen Netzwerken oder von Datenhändlern und verkaufen oder geben diese Daten nicht weiter. Ab dem Start sprechen wir nur Unternehmen mit einer aktuell offenen Stelle an und nur mit Kandidaten, die dem zugestimmt haben: telefonisch oder per E-Mail. Jede E-Mail enthält einen Abmeldelink. Eine Kontaktaufnahme erfolgt nur im Rahmen des rechtlich Zulässigen (insbesondere § 7 UWG). Aufbewahrung: bis zu 24 Monate ohne Reaktion oder Zusammenarbeit, dann Löschung. Widerspruch: Sie können jederzeit widersprechen (Art. 21 DSGVO) – eine kurze Nachricht an datenschutz@skill-ia.de genügt; wir löschen die Daten und sperren die Adresse für künftige Kontakte.

3.13 Reichweitenmessung auf der Website (nur mit Einwilligung)

Nur wenn Sie im Cookie-Banner „Statistik“ annehmen, nutzen wir auf skill-ia.de Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), um zu verstehen, welche Seiten wie genutzt werden. Vorher wird das Google-Skript nicht geladen und nichts an Google gesendet. Verarbeitet werden besuchte Seiten, Verweisquelle, Interaktionen, Gerät, Browser, ungefährer Standort (Land/Region) und eine zufällige Kennung in den Cookies _ga und _ga_<ID> (bis zu 2 Jahre). Google speichert keine IP-Adressen in Google Analytics 4; Werbefunktionen und Google Signals sind ausgeschaltet. Google kann Daten auch in den USA verarbeiten (siehe 6). Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Widerruf jederzeit über das Cookie-Symbol unten links auf jeder Seite.

3.14 Website-Besuche bekannter Kontakte (nur mit Einwilligung)

Links in E-Mails, die wir Ihnen geschickt haben, können eine zufällige Kennung (sk_vid) enthalten. Nur wenn Sie zusätzlich im Cookie-Banner „Statistik“ annehmen, speichert die Website diese Kennung im lokalen Speicher Ihres Browsers und meldet die besuchten Seiten (Adresse, Verweisquelle, Browser-Kennung, Zeitpunkt) an unser CRM, wo sie Ihrem bestehenden Kontakteintrag zugeordnet werden — so sehen wir, wofür Sie sich interessieren. Ohne Kennung oder ohne Einwilligung geschieht nichts; unbekannte Besucher identifizieren wir nicht. Die Einträge werden mit Ihrem Kontakt gelöscht. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); ein Widerruf im Cookie-Banner beendet die Meldung und löscht die Kennung aus Ihrem Browser.

3.15 Warteliste für Unternehmen

Skill-IA arbeitet noch nicht mit Unternehmen. Wer benachrichtigt werden möchte, sobald wir starten, trägt sich auf der Website oder der Stellenbörse ein: E-Mail-Adresse, freiwillig Name und Unternehmen, Sprache, Seite der Anmeldung sowie als Nachweis Einwilligungstext, Zeitpunkt und IP-Adresse. Wir senden eine Bestätigungs-E-Mail (Double-Opt-in) und nach Bestätigung einmalig die Startankündigung. Gespeichert in unserem CRM, bis Sie sich über den Abmeldelink austragen (dann sofortige Löschung) oder uns schreiben; spätestens gelten die Fristen in Abschnitt 7. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG).

4. Einsatz von KI, Bewertung (Profiling) und automatisierte Entscheidungen

Was bewertet wird. Sprachmodelle erstellen das Profil, bewerten, wie gut Stellen passen, und entwerfen Anschreiben. Daraus entstehen eine Profilstärke und je Stelle ein Passungswert. Das ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO.

Wie bewertet wird. Zuerst werden Stellen über Vektordarstellungen (Embeddings) nach inhaltlicher Ähnlichkeit zu Ihrem Profil (Beruf, Erfahrung, Ausbildung, Fähigkeiten, Sprachen, Ort) vorsortiert; deutlich zu hoch eingestufte oder zu weit entfernte Stellen fallen dabei heraus. Danach bewertet ein Sprachmodell jede verbleibende Stelle nach Fähigkeiten, Erfahrung und Seniorität, Sprache, Entfernung und Gehalt und nennt die Gründe. Ihre Suchbedingungen (3.5) wirken als Filter; außerdem können Sie Treffer unter anderem nach einer Mindestpunktzahl filtern. Der Passungswert bestimmt zusammen mit der Profilstärke die Reihenfolge, in der Stellen erscheinen; ein niedriger Wert bedeutet, dass eine Stelle weiter unten steht. Geburtsdatum, Alter, Geschlecht, Staatsangehörigkeit, Foto und besondere Kategorien sind keine vorgesehenen Kriterien (3.3).

Profilstärke. Die Profilstärke schätzt, wie attraktiv Ihr Profil allgemein für einstellende Unternehmen ist, insbesondere nach Erfahrungsstufe, Ausbildung und Fähigkeiten. Sie fließt in die Reihenfolge der Stellen ein, die Sie im Tool sehen. Ab dem Start berücksichtigen wir sie auch, wenn wir unter den Personen, die der Sichtbarkeit zugestimmt haben (3.7), auswählen, wen wir einem Unternehmen vorschlagen; diese Auswahl trifft ein Mensch.

Wer entscheidet. Das Ergebnis ist ein Vorschlag mit Begründung: Welche Stellen Sie sich ansehen und ob, wohin und mit welchem Text eine Bewerbung verschickt wird, entscheiden Sie. Vor dem Versand können Sie jede automatische Bewerbung einzeln ansehen und an- oder abwählen; versandt wird nur, was Sie ausgewählt lassen. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.

Sie interagieren mit KI-Systemen; Texte, die wir in Ihrem Namen entwerfen, sind KI-generiert. KI-Ergebnisse können Fehler enthalten — bitte prüfen Sie Profil und Anschreiben. Jede Bewertung und jede Stellenreihung wird zur Nachvollziehbarkeit protokolliert (Prüfsumme der Eingabe, Modelle, Punktzahlen; kein Lebenslauftext).

5. Empfänger und Auftragsverarbeiter

Empfänger	Daten	Rolle / Garantie
OpenAI, L.L.C. (USA) — Sprachmodelle (gpt-4.1, gpt-4.1-mini, gpt-4o) und Embeddings (text-embedding-3-large)	Vollständiger Text des Lebenslaufs (einschließlich darin enthaltener besonderer Kategorien), Notizen, abgeleitetes Profil, Stellentexte	Auftragsverarbeiter (Art. 28 DSGVO) nach OpenAIs Data Processing Addendum mit EU-Standardvertragsklauseln; EU-U.S. Data Privacy Framework. API-Daten werden nicht zum Training verwendet.
Cloudflare, Inc. (USA) — Netzwerk, TLS und Tunnel zu unserem Server; Auslieferung der Website skill-ia.de (Cloudflare Pages)	Alle übertragenen Daten einschließlich Uploads, da die Verschlüsselung bei Cloudflare endet; IP-Adresse	Auftragsverarbeiter nach Cloudflares Data Processing Addendum; Standardvertragsklauseln und Data Privacy Framework. Für eigene Sicherheits- und Abrechnungszwecke ist Cloudflare teils selbst Verantwortlicher.
Anthropic, PBC (USA) — Sprachmodelle (Claude)	Vollständiger Text des Lebenslaufs (einschließlich darin enthaltener besonderer Kategorien), Notizen, abgeleitetes Profil, Stellentexte	Auftragsverarbeiter nach Anthropics Data Processing Addendum mit EU-Standardvertragsklauseln.
Google Cloud (Google LLC / Google Cloud EMEA Limited) — E-Mail-Dienste (automatischer E-Mail-Versand)	Automatisch versandte E-Mails: Absender, Empfänger, Inhalt und Anhänge, bei Bewerbungen auch der Lebenslauf	Auftragsverarbeiter nach dem Google Cloud Data Processing Addendum.
Google Analytics 4 (Google Ireland Limited; Google LLC, USA) — nur nach Einwilligung (3.13)	Nutzungsdaten der Website, zufällige Kennung, Gerät, ungefährer Standort — keine Lebenslaufdaten	Auftragsverarbeiter nach den Google Ads Data Processing Terms; Standardvertragsklauseln und Data Privacy Framework.
Hosting: eigener, von uns selbst betriebener Server in München; Ausfallserver: Oracle Cloud Infrastructure (Oracle Corporation), Region Turin (Italien)	Alle gespeicherten Daten	Eigener Betrieb; Oracle als Auftragsverarbeiter nach dem Oracle Data Processing Agreement.
E-Mail-Versand: Twilio SendGrid (Twilio Inc., USA)	Bewerbungs-E-Mails mit Lebenslauf, Bestätigungs- und Passwort-E-Mails	Auftragsverarbeiter nach dem Twilio Data Protection Addendum; Standardvertragsklauseln und Data Privacy Framework. Für eigene Zwecke (z. B. Missbrauchsabwehr, Abrechnung) ist Twilio teils selbst Verantwortlicher.
Arbeitgeber, bei denen Sie sich bewerben	Anschreiben, Lebenslauf, Name und E-Mail	Eigene Verantwortliche, nur auf Ihre Veranlassung.
Unternehmen mit einer Anzeige auf der Skill-IA-Stellenbörse	Ihre Bewerbung auf diese Anzeige (Anschreiben, Lebenslauf, Name, E-Mail)	Eigene Verantwortliche, nur auf Ihre Veranlassung (3.6).
Unternehmen bei „Skill-IA für Unternehmen“	Profil ohne Namen; Name und Kontakt erst nach Ihrer Zustimmung	Eigene Verantwortliche.
Stellenquellen: Bundesagentur für Arbeit, Arbeitnow, Adzuna, Jooble, Brave Search	Nur abgeleitete Suchbegriffe und Ort — nie der Lebenslauf	Keine personenbezogene Übermittlung beabsichtigt.
Google, Microsoft, LinkedIn (nur bei Anmeldung über diese Anbieter bzw. beim LinkedIn-Import)	Anmeldevorgang; Abruf Ihres LinkedIn-Profils	Eigene Verantwortliche nach ihren Datenschutzbestimmungen.
Stripe, SumUp (nur bei Zahlung)	Zahlungsdaten	Eigene Verantwortliche.
Kartendienst: OpenStreetMap Foundation (UK)	Ihr Browser lädt die Kartenkacheln direkt: IP-Adresse, Browser-Kennung, angezeigter Kartenausschnitt — kein Profil, kein Name	Art. 6 Abs. 1 lit. f DSGVO; Angemessenheitsbeschluss für das Vereinigte Königreich.
Skill-IA-CRM (eigener Betrieb auf unserem Server)	Kandidatendatensatz aus dem Kandidaten-Tool (3.4) oder nach bewusster Übernahme durch ein Teammitglied (3.9); die Versand-Warteschlange der Bewerbungen (3.6); Website-Besuche bekannter Kontakte (3.14); Warteliste (3.15)	Eigener Betrieb.
Bright Data Ltd. (Israel) — nur wenn die Web-Suche über den Proxy eingeschaltet ist	Adressen von Stellenseiten — keine Kandidatendaten	Auftragsverarbeiter nach Data Processing Addendum; Angemessenheitsbeschluss für Israel.

6. Übermittlung in Drittländer

OpenAI, Anthropic, Google, Cloudflare und Twilio SendGrid verarbeiten Daten auch in den USA; Ihr Lebenslauf verlässt damit die EU. Bei OpenAI, Google, Cloudflare und Twilio SendGrid ist Grundlage der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), ergänzend EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Bei Anthropic sind es EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage über den Datenschutz-Kontakt (Abschnitt 1). Für die OpenStreetMap Foundation (Vereinigtes Königreich) und Bright Data (Israel) gelten Angemessenheitsbeschlüsse der EU-Kommission (Art. 45 DSGVO).

7. Speicherdauer

Daten	Dauer
Lebenslauf, Profil, Treffer, Bewerbungsverlauf im Kandidaten-Tool	Bis „Neuer Kandidat“, Kontolöschung oder Widerruf; sonst 24 Monate nach Ihrer letzten Aktivität (ohne Konto: 90 Tage nach der letzten Änderung)
An OpenAI und Anthropic übermittelte Eingaben und Ausgaben	Beim Anbieter standardmäßig bis zu 30 Tage; länger nur, wenn es gesetzlich vorgeschrieben oder zum Schutz vor Missbrauch erforderlich ist. Diese Frist läuft unabhängig von „Neuer Kandidat“
Lebenslauf und Ihre Adresse in der Versand-Warteschlange	Bis die Bewerbung versandt ist oder endgültig scheitert
Benutzerkonto	Bis zur Löschung durch Sie („Mein Konto“); sonst 24 Monate nach der letzten Anmeldung, mit Hinweis per E-Mail 30 Tage vorher
Kandidatendatensatz im CRM	Bis zur Löschung Ihres Kontos (Kandidaten-Tool) oder auf Antrag; sonst 24 Monate nach der letzten Aktivität, dann Löschung
Nachweis Ihrer Einwilligung (akzeptierte Version und Zeitpunkt)	Beim Konto, so lange es besteht
Nachweis jeder Einwilligung und jedes Widerrufs im Kandidaten-Tool (Zeitpunkt, Version, Umfang — ohne Inhalte)	5 Jahre, dann Löschung (Nachweis bei Rechtsansprüchen, Art. 17 Abs. 3 lit. e DSGVO); bleibt auch nach Löschung des Lebenslaufs erhalten
Protokoll der automatischen Bewertung und Stellenreihung (Prüfsumme der Eingabe, Modelle, Punktzahlen — kein Lebenslauftext, kein Name)	12 Monate, dann Löschung (Art. 12 und 26 KI-Verordnung)
Protokolleinträge zum Bewerbungsversand (ohne Inhalte)	12 Monate ab dem Versand; früher, wenn der Lebenslauf gelöscht wird
Server-Protokolle	30 Tage ab Erstellung; früher bei Erreichen der festen Größenbegrenzung
Verschlüsselte Sicherungskopien	14 Tage
Zwischengespeicherte Arbeitgeber-Kontaktdaten	30 Tage
Unternehmenskontakte (B2B, 3.12)	Bis zu 24 Monate ohne Reaktion oder Zusammenarbeit, dann Löschung; bei Widerspruch sofort
Anzeigen auf der Stellenbörse	45 Tage online (verlängerbar), danach abgelaufen; Löschung durch das Unternehmen oder mit seinem Konto
Bewerbungen über die Stellenbörse	180 Tage, dann Löschung
Google Analytics (3.13)	Cookies bis zu 2 Jahre; Ereignisdaten bei Google höchstens 14 Monate
Website-Besuche bekannter Kontakte (3.14)	Mit dem Kontakteintrag; bei Widerruf keine weiteren
Warteliste für Unternehmen (3.15)	Bis zur Abmeldung oder auf Antrag; sonst 30 Tage nach Versand der Startankündigung, spätestens 24 Monate nach Ihrer Bestätigung. Nicht bestätigte Anmeldungen: 30 Tage
Nachweis der Einwilligung für die Warteliste (Einwilligungstext, Zeitpunkt, E-Mail-Adresse)	5 Jahre, dann Löschung (Nachweis bei Rechtsansprüchen)
Zahlungsbelege	Gesetzliche Aufbewahrungsfristen (bis zu 10 Jahre, § 147 AO)

8. Cookies und lokale Speicherung

Ohne Ihre Einwilligung setzen wir nur technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG, keine Einwilligung erforderlich): sk_session (Anmeldung, bis zum Abmelden bzw. Ablauf der Sitzung), sk_guest (Nutzung des Kandidaten-Tools ohne Konto, 90 Tage), sk_csrf (Schutz von Formularen, 1 Stunde), sk_oauth und sk_app (nur während einer Anmeldung über Google, Microsoft, LinkedIn oder die App, wenige Minuten), sk_li_import (nur während eines LinkedIn-Imports, wenige Minuten). Die gewählte Sprache und Darstellung (hell/dunkel) werden im lokalen Speicher Ihres Browsers abgelegt, die Sprache auf der Website zusätzlich im Cookie skillia_lang (1 Jahr, damit die Anmeldeseiten sie übernehmen); Ihre Auswahl im Cookie-Banner liegt ebenfalls im lokalen Speicher. Im Kandidaten-Tool gibt es keine Werbe-, Analyse- oder Tracking-Cookies.

Nur auf der Website und nur mit Ihrer Einwilligung („Statistik“ im Cookie-Banner, § 25 Abs. 1 TDDDG): _ga, _ga_<ID> (Google Analytics, 3.13) sowie im lokalen Speicher sk_vid und sk_track_ok (Besuche bekannter Kontakte, 3.14). Werbe-Cookies setzen wir nicht. Ihre Auswahl können Sie jederzeit über das Cookie-Symbol unten links ändern oder widerrufen.

9. Ihre Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20).
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3) — für den Lebenslauf über „Neuer Kandidat“ oder per Nachricht an uns, für die optionalen Einwilligungen auf Ihrer Profilseite (3.7), für die Website über das Cookie-Symbol, für die Warteliste über den Abmeldelink.
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21) — z. B. als Ansprechperson eines Unternehmens gegen die Nutzung Ihrer Adresse (3.11, 3.12).
• Selbst erledigen: „Neuer Kandidat“ löscht Ihren Lebenslauf und alle Treffer; unter „Mein Konto“ laden Sie Ihre Kontodaten herunter (JSON) oder löschen das Konto — mit dem Konto wird auch der gespeicherte Lebenslauf gelöscht. Für alle anderen Anliegen: datenschutz@skill-ia.de.
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde, z. B. dem Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

10. Pflicht zur Bereitstellung, Mindestalter

Sie sind nicht verpflichtet, Daten bereitzustellen; ohne Lebenslauf können wir jedoch keine Stellen vorschlagen. Ein Konto ist freiwillig — das Kandidaten-Tool funktioniert auch ohne (3.4). Der Dienst richtet sich an Personen ab 16 Jahren.

11. Sicherheit

• Verschlüsselte Übertragung (HTTPS); Sicherungskopien verschlüsselt, der Schlüssel liegt nicht auf dem Server.
• Passwörter nur als bcrypt-Hash; Begrenzung von Anmeldeversuchen; Schutz vor Cross-Site-Anfragen.
• Zugriff auf Kandidatendaten nur für berechtigte Mitglieder des Skill-IA-Teams; jedes Konto sieht nur seine eigenen Daten.
• Dienste laufen ohne Administratorrechte, Zugangsschlüssel liegen nie im Quelltext.
• Text aus Lebensläufen und Webseiten wird in jeder Anweisung an die Sprachmodelle als nicht vertrauenswürdige Daten gekennzeichnet, zum Schutz vor manipulierten Dokumenten.
• Bei jeder Änderung an unserem Quelltext laufen automatische Sicherheitsprüfungen.

12. Änderungen

Bei wesentlichen Änderungen aktualisieren wir diese Erklärung und ihre Versionsnummer; für neue Zwecke bitten wir erneut um Ihre Einwilligung.