Vertrag über die Auftragsverarbeitung (AVV) für das Bewerbermanagement

(1) Für die Verarbeitung personenbezogener Daten im Bewerbermanagement ist die Firma Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Wir verarbeiten diese Daten in ihrem Auftrag als Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO).

(2) Der Vertrag kommt mit der Zustimmung der Firma zu unseren Allgemeinen Geschäftsbedingungen in der Fassung zustande, die § 19a enthält. Einer gesonderten Unterzeichnung bedarf es nicht. Die Firma kann den Vertrag jederzeit unter gebaeudereinigung.com/avv abrufen, speichern und ausdrucken.

(3) Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor.

(4) Die Firma ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Sie hat das Recht, Weisungen zu erteilen (§ 5) und die Einhaltung dieses Vertrags zu kontrollieren (§ 12).

(1) Gegenstand des Auftrags ist die Bereitstellung und der Betrieb des Bewerbermanagements im Arbeitgeber-Bereich. Im Auftrag der Firma verarbeiten wir die Daten für diese Funktionen: Bewerbungen ansehen und bearbeiten (Status, Verlauf, Archiv, Vermerk ungelesen), Nachrichten mit Bewerbern austauschen (per E-Mail und über den persönlichen Link des Bewerbers) samt Anhängen und Zustellstatus, Vorlagen für Nachrichten, Bewertungen von Bewerbungen, interne Notizen, Team-Zugänge für Mitarbeiter der Firma und, sobald angeboten, den Export von Bewerbungsdaten. Dazu gehören die Vermerke im Verlauf, wenn die Firma aus einer Bewerbung heraus einen Anruf oder WhatsApp startet, und, soweit die Firma Bewerbungen selbst erfasst, auch diese.

(2) Ein Anruf und ein Gespräch über WhatsApp laufen über das Gerät der Firma und nicht über uns. Sie sind nicht Gegenstand dieses Vertrags; für die Nutzung von WhatsApp ist allein die Firma verantwortlich.

(3) In eigener Verantwortung und nicht im Auftrag verarbeiten wir: das Bewerbungsformular und die Entgegennahme der Bewerbung bis zu ihrer Bereitstellung im Postfach der Firma einschließlich der Eingangsbestätigung an den Bewerber; den Schutz vor Missbrauch (etwa Mengengrenzen und die Sperre der Nachrichtenfunktion einer Firma nach gehäuften Beschwerden oder unzustellbaren Nachrichten); die Sicherheit der Plattform einschließlich der Protokolle unseres Backoffice; Statistiken ohne Personenbezug; und die Löschfrist, die wir für alle Firmen gleich festlegen (§ 11 Abs. 1). Hierfür gilt unsere Datenschutzerklärung.

(1) Zweck ist die Durchführung der Auswahlverfahren der Firma. Die Verarbeitung umfasst das Speichern, Ordnen, Anzeigen, Übermitteln (Versand von Nachrichten an Bewerber), Empfangen (Antworten der Bewerber) und Löschen der Daten, sobald angeboten auch das Exportieren.

(2) Verarbeitet werden: Angaben aus der Bewerbung (Name, E-Mail-Adresse, Telefonnummer, sofern angegeben, Nachricht, Lebenslauf und weitere Unterlagen), die Herkunft der Bewerbung (etwa Portal, Aushang oder geteilter Link), Status und Verlauf, Bewertungen, interne Notizen mit ihrem Verfasser, Nachrichten in beide Richtungen, Anhänge der Bewerber, Zustellstatus und Kennzeichnung automatischer Antworten, Vermerke über gestartete Anrufe und WhatsApp-Kontakte, die Vorlagen der Firma sowie Name, E-Mail-Adresse und Rolle der Team-Mitglieder und deren Einladungen.

(3) Betroffen sind Bewerber sowie Mitarbeiter der Firma, die das Bewerbermanagement nutzen oder in Nachrichten, Vorlagen und Notizen genannt werden.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) fragen wir nicht ab. Enthalten Unterlagen oder Nachrichten solche Angaben, verarbeiten wir sie als Teil des Dokuments.

Der Vertrag läuft, solange die Firma das Bewerbermanagement nutzt, und endet mit dem Nutzungsvertrag über das Firmenkonto. Die Pflichten aus § 6, § 11 und § 12 gelten darüber hinaus, bis die Daten gelöscht sind.

(1) Wir verarbeiten die Daten nur auf dokumentierte Weisung der Firma, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, wir sind nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilen wir der Firma die rechtlichen Anforderungen vorher mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen sind durch diesen Vertrag und durch die Bedienung der Funktionen im Arbeitgeber-Bereich festgelegt. Weitere Weisungen erteilt die Firma in Textform an datenschutz@gebaeudereinigung.com. Das Bewerbermanagement ist eine einheitliche Anwendung für alle Firmen; lässt sich eine Weisung darin nicht umsetzen, teilen wir das mit, und die Firma kann den Vertrag beenden.

(3) Ist eine Weisung nach unserer Auffassung rechtswidrig, informieren wir die Firma unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).

(1) Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).

(2) Unsere Beschäftigten greifen auf die Daten nur zu, soweit es für Betrieb, Unterstützung der Firma oder Missbrauchsabwehr erforderlich ist. Suchen nach Bewerbungen und Auskünfte zu Bewerbern in unserem Backoffice protokollieren wir.

(1) Wir treffen die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

(2) Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentieren wir in Anlage 1.

(1) Die Firma genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).

(2) Über einen neuen oder ersetzten Unterauftragsverarbeiter informieren wir die Firma per E-Mail an die hinterlegte Adresse mindestens vier Wochen vor seinem Einsatz. Die Firma kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können wir dem Widerspruch nicht abhelfen, kann die Firma den Vertrag und die Nutzung des Bewerbermanagements beenden.

(3) Wir setzen nur Unterauftragsverarbeiter ein, mit denen ein Vertrag über die Auftragsverarbeitung besteht, der ein gleichwertiges Schutzniveau sicherstellt (Art. 28 Abs. 4 DSGVO).

(4) In ein Drittland übermitteln wir Daten nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Die Grundlage je Anbieter nennt Anlage 2.

(1) Wir unterstützen die Firma mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Dazu dienen vor allem die Funktionen des Bewerbermanagements: Die Firma kann jede Bewerbung samt Verlauf und Nachrichten einsehen; zur Löschung und Herausgabe gilt § 11 Abs. 2 und 3.

(2) Bewerber können über ihren persönlichen Link ihre Bewerbung zurückziehen und die Löschung verlangen. Wendet sich eine betroffene Person mit einem Anliegen, das die Verarbeitung im Auftrag betrifft, an uns, leiten wir es unverzüglich an die Firma weiter. Anliegen zu unserer eigenen Verarbeitung (§ 2 Abs. 3) beantworten wir selbst.

(3) Wir unterstützen die Firma außerdem bei ihren Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit es uns nach den uns vorliegenden Informationen möglich ist (Art. 28 Abs. 3 lit. f DSGVO).

(1) Wird uns eine Verletzung des Schutzes der im Auftrag verarbeiteten Daten bekannt, melden wir sie der Firma unverzüglich, spätestens innerhalb von 48 Stunden, per E-Mail an die hinterlegte Adresse (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Was noch nicht feststeht, reichen wir nach.

(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen (Art. 33, 34 DSGVO) sind Sache der Firma; wir unterstützen sie dabei.

(1) Während der Laufzeit löschen wir jede Bewerbung samt Unterlagen, Verlauf, Nachrichten, Anhängen, Bewertungen und Notizen automatisch sechs Monate nach Abschluss des Verfahrens (Absage, Einstellung oder Rückzug); ist kein Abschluss vermerkt, sechs Monate nach dem Ende der Stellenanzeige, hilfsweise nach dem Eingang der Bewerbung. Diese Frist gilt für alle Firmen gleich. Auf begründetes Verlangen der Firma, etwa wegen eines Rechtsstreits mit einem Bewerber, können wir die Löschung einer einzelnen Bewerbung befristet aussetzen.

(2) Weist die Firma uns an, eine einzelne Bewerbung vor Ablauf der Frist zu löschen, etwa weil der Bewerber es verlangt, löschen wir sie unverzüglich. Die Weisung richtet die Firma per E-Mail an datenschutz@gebaeudereinigung.com.

(3) Vor dem Ende des Vertrags geben wir der Firma die im Auftrag verarbeiteten Daten auf Anfrage als Datei heraus.

(4) Nach dem Ende des Vertrags hat die Firma keinen Zugang mehr. Die im Auftrag verarbeiteten Daten löschen wir auf Verlangen der Firma sofort, im Übrigen spätestens mit der Löschung nach Absatz 1, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

(5) Aus den täglichen Sicherungen der Datenbank verschwinden gelöschte Daten nach deren Aufbewahrungsfrist von sieben Tagen.

(1) Wir stellen der Firma alle erforderlichen Informationen zum Nachweis der Einhaltung unserer Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), zuerst diesen Vertrag mit seinen Anlagen und auf Anfrage weitere Auskünfte in Textform.

(2) Die Firma oder ein von ihr beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen einschließlich Inspektionen durchführen. Sie werden mit einer Frist von vier Wochen angekündigt, finden zu unseren Geschäftszeiten statt und dürfen den Betrieb nicht mehr als nötig stören. Die Kosten einer Vor-Ort-Prüfung trägt die Firma, es sei denn, dabei wird ein Verstoß gegen diesen Vertrag festgestellt.

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen der Firma und uns gilt § 10 der Allgemeinen Geschäftsbedingungen, soweit Art. 82 DSGVO nicht entgegensteht.

(2) Änderungen dieses Vertrags erfolgen mit einer neuen Fassung der Allgemeinen Geschäftsbedingungen. Es gilt das Recht der Bundesrepublik Deutschland; § 14 der Allgemeinen Geschäftsbedingungen gilt entsprechend.