Datenschutzerklärung

Datum des Inkrafttretens: 15. Januar 2025

Bei JobStep nehmen wir Ihre Privatsphäre ernst. In dieser Datenschutzrichtlinie wird erläutert, wie die TenThirty GmbH („JobStep“, „wir“, „uns“ oder „unser“) Ihre personenbezogenen Daten erhebt, verwendet, offenlegt und schützt, wenn Sie unsere KI-gestützte Karriereplattform nutzen.

1. Unternehmensinformationen

Dieser Dienst wird betrieben von:
TenThirty GmbH
Guggachstrasse 6
8057 Zürich, Schweiz
E-Mail: help@jobstep.io
UID: CHE-167.324.376

Geschäftsführer: Jan-Oliver Seidenfuß, Alexander Eichhorn, Max Brenner

2. Informationen, die wir sammeln

2.1 Informationen, die Sie uns zur Verfügung stellen

Wir erfassen Informationen, die Sie bei der Nutzung von JobStep freiwillig angeben:

• Kontoinformationen: Name, E-Mail-Adresse, Passwort (verschlüsselt) und Authentifizierungsdaten über Firebase Authentication
• Inhalt des Lebenslaufs und Lebenslaufs: Beschäftigungsverlauf, Ausbildung, Fähigkeiten, Berufserfahrung, Erfolge und andere berufliche Informationen
• Bewerbungsunterlagen: Anschreiben, Stellenbeschreibungen, maßgeschneiderte Lebensläufe und andere Bewerbungsunterlagen
• Mediendateien: Profilfotos, Headshots, Bewerbungsvideos (aufgezeichnet oder hochgeladen)
• Job-Tracking-Daten: Von Ihnen verfolgte Stellenausschreibungen, Bewerbungsstatus, Notizen und bewerbungsbezogene Metadaten
• Zahlungsinformationen: Verarbeitet durch Stripe (wir speichern keine Kreditkartennummern)
• Kommunikationsdaten: Nachrichten, Feedback und Korrespondenz mit unserem Support-Team

2.2 Automatisch erfasste Informationen

Wenn Sie JobStep nutzen, erfassen wir automatisch bestimmte Informationen:

• Analysedaten: IP-Adressen (gehasht mit PBKDF2), Geolokalisierungsdaten, Benutzeragenteninformationen, Gerätetyp, Browsertyp und Betriebssystem
• Nutzungsdaten: Besuchte Seiten, genutzte Funktionen, auf der Plattform verbrachte Zeit, Klickmuster und über PostHog gesammelte Interaktionsdaten
• Analyse öffentlicher Anwendungswebsites: Wenn Sie eine öffentliche Bewerbungswebsite erstellen, verfolgen wir die IP-Adressen der Besucher (gehasht), die Geolokalisierung, Benutzeragenten und Engagement-Metriken, um Personalvermittlern Erkenntnisse zu liefern
• Cookies und ähnliche Technologien: Sitzungscookies, Authentifizierungstoken und Analysecookies
• Fehler- und Leistungsdaten: Anwendungsfehler, Absturzberichte und Leistungsmetriken über Sentry
• Protokolldaten: Serverprotokolle, API-Anfragen und Systemereignisse über Better Stack (Logtail)

2.3 Informationen von Dritten

• OAuth-Anbieter: Wenn Sie sich bei Google oder Apple anmelden, erhalten wir Ihren Namen, Ihre E-Mail-Adresse und Profilinformationen
• Daten zur Stellenausschreibung: Wir sammeln öffentlich zugängliche Stellenausschreibungen über Exa.ai und Firecrawl, um Sie bei der Anpassung Ihrer Bewerbungen zu unterstützen
• Marketing-Attribution: TikTok Pixel und Google Ads stellen möglicherweise Kampagnenleistungsdaten und Conversion-Tracking-Informationen bereit

3. Wie wir Ihre Daten verwenden

Wir verwenden Ihre Daten für folgende Zwecke:

3.1 Kerndienstleistung

• KI-gestützte Lebenslaufverbesserung: Verarbeiten Sie den Inhalt Ihres Lebenslaufs mithilfe von OpenAI-GPT-Modellen, um Vorschläge, Verbesserungen und Optimierungen bereitzustellen
• Berufsspezifische Schneiderei: Erstellen Sie mithilfe von KI maßgeschneiderte Lebensläufe und Anschreiben basierend auf spezifischen Stellenbeschreibungen
• Bewerbungsverfolgung: Speichern und organisieren Sie Ihre Bewerbungen, verfolgen Sie den Bewerbungsstatus und stellen Sie Analysen bereit
• Öffentliche Anwendungswebsites: Erstellen und hosten Sie personalisierte Bewerbungs-Landingpages mit Ihrem Lebenslauf, Videos und Kontaktinformationen
• Videoverarbeitung: Speichern und liefern Sie Anwendungsvideos über Cloudflare R2
• Analytics-Dashboard: Geben Sie mit Ihrer öffentlichen Bewerbungswebsite Einblicke in das Engagement von Personalvermittlern

3.2 Kontoverwaltung und Authentifizierung

• Erstellen und verwalten Sie Ihr Konto über die Firebase-Authentifizierung
• Überprüfen Sie Ihre Identität und verhindern Sie unbefugten Zugriff
• Verwalten Sie Abonnementstufen (kostenlos vs. Premium) und Funktionszugriff
• Verarbeiten Sie Zahlungen und Abrechnungen über Stripe

3.3 Produktverbesserung und Analyse

• Analysieren Sie Nutzungsmuster, um Funktionen und Benutzererfahrung über PostHog zu verbessern
• Überwachen Sie die Anwendungsleistung und identifizieren Sie Fehler über Sentry
• Führen Sie A/B-Tests und Funktionsexperimente durch
• Generieren Sie aggregierte Statistiken und Erkenntnisse (wird niemals an Dritte verkauft)

3.4 Kommunikation

• Senden Sie Transaktions-E-Mails (Kontobestätigung, Passwortzurücksetzung, Abonnementaktualisierungen)
• Bieten Sie Kundensupport und beantworten Sie Anfragen
• Produktaktualisierungen und wichtige Serviceankündigungen senden (mit Opt-out-Option)

3.5 Recht und Sicherheit

• Halten Sie gesetzliche Verpflichtungen und behördliche Anforderungen ein
• Erkennen und verhindern Sie Betrug, Missbrauch und Sicherheitsbedrohungen
• Setzen Sie unsere Nutzungsbedingungen durch und schützen Sie Benutzerrechte
• Führen Sie Prüfprotokolle aus Sicherheits- und Compliance-Zwecken

4. Dienste Dritter und Datenaustausch

Wir arbeiten mit vertrauenswürdigen Drittanbietern zusammen, um JobStep bereitzustellen. Ihre Daten können weitergegeben werden mit:

4.1 KI und Inhaltsverarbeitung

• OpenAI (GPT-5): Verarbeitet Lebenslaufinhalte und Stellenbeschreibungen und erstellt maßgeschneiderte Bewerbungsunterlagen. An OpenAI gesendete Daten werden gemäß unserer Vereinbarung nicht zum Trainieren ihrer Modelle verwendet. OpenAI hat seinen Sitz in den USA. OpenAI-Datenschutzrichtlinie
• Exa.ai: Durchsucht öffentlich verfügbare Stellenausschreibungen, um Ihre Bewerbungen individuell anzupassen. In den USA ansässiger Dienst.
• Feuerkriechen: Extrahiert Stellenausschreibungsinhalte von Arbeitgeber-Websites. In den USA ansässiger Dienst.

4.2 Infrastruktur und Speicher

• Cloudflare R2: Speichert Ihre hochgeladenen Dateien (Lebensläufe, Videos, Bilder) mit Verschlüsselung im Ruhezustand. Cloudflare agiert weltweit mit Rechenzentren in Europa. Cloudflare-Datenschutzrichtlinie
• PostgreSQL: Auf europäischen Servern (Railway/AWS EU-Regionen) gehostete Datenbank zur Speicherung strukturierter Daten
• Redis: Caching-Schicht zur Leistungsoptimierung

4.3 Authentifizierung und Zahlungen

• Firebase-Authentifizierung: Verwaltet die Benutzerauthentifizierung, einschließlich OAuth (Google, Apple). Google-Dienst mit globaler Infrastruktur. Firebase-Datenschutzrichtlinie
• Streifen: Verarbeitet Zahlungen und verwaltet Abonnements. PCI DSS Level 1 zertifiziert. Wir speichern keine Kreditkarteninformationen. Stripe-Datenschutzrichtlinie

4.4 Analyse und Überwachung

• PostHog: Produktanalyseplattform zur Verfolgung des Benutzerverhaltens und der Funktionsnutzung. IP-Adressen werden vor der Speicherung gehasht. Sitz in den USA mit Hosting-Optionen in der EU. PostHog-Datenschutzrichtlinie
• Wachposten: Fehlerverfolgung und Leistungsüberwachung. Kann Stack-Traces und Fehlerkontext empfangen. In den USA ansässiger Dienst. Sentry-Datenschutzrichtlinie
• Besserer Stack (Logtail): Protokollverwaltung und -überwachung. EU-basierter Dienst.

4.5 Marketing und Attribution

• TikTok Pixel & Events API: Verfolgt Conversions und Anzeigenleistung für TikTok-Kampagnen. Wir können gehashte personenbezogene Daten (E-Mail-Adresse, Telefonnummer, falls angegeben) an TikTok weitergeben, um die Conversion-Zuordnung und den Zielgruppenabgleich über deren Events-API zu ermöglichen. TikTok-Datenschutzrichtlinie
• Meta (Facebook) Conversions API: Wir können gehashte personenbezogene Daten (E-Mail-Adresse, Telefonnummer, falls angegeben) an Meta weitergeben, um Conversion-Tracking und Anzeigenzuordnung zu ermöglichen. Meta-Datenschutzrichtlinie
• Google-Anzeigen: Conversion-Tracking für Google-Werbekampagnen. Google-Datenschutzerklärung

4.6 Sonstige Dienstleistungen

• Cal.com: Buchungssystem für Beratungstermine (optionale Funktion). Cal.com-Datenschutzrichtlinie

4.7 Rechtliche Offenlegung

Wir können Ihre Daten offenlegen, wenn dies gesetzlich, durch einen Gerichtsbeschluss oder eine behördliche Anfrage erforderlich ist oder um unsere Rechte, unser Eigentum oder unsere Sicherheit zu schützen.

5. Datenspeicherung und Sicherheit

5.1 Wo wir Ihre Daten speichern

• Primärer Datenspeicher: PostgreSQL-Datenbanken werden in den Regionen West-EU (Irland und Frankfurt) über Railway und AWS gehostet
• Dateispeicherung: Cloudflare R2 mit weltweiter Verbreitung, einschließlich EU-Regionen
• Verschlüsselung: Alle Daten werden über HTTPS (TLS 1.3) übertragen. Dateien werden im Ruhezustand mit Verschlüsselung gespeichert. Sensible Token, die mit Fernet-Verschlüsselung verschlüsselt werden
• Authentifizierung: Firebase JWT-Tokens für sichere Sitzungsverwaltung

5.2 Sicherheitsmaßnahmen

• Branchenstandardisierte Verschlüsselung für Daten während der Übertragung und im Ruhezustand
• IP-Adress-Hashing mit PBKDF2 für Analysedaten
• Zwei-Faktor-Authentifizierung (2FA) für Benutzerkonten verfügbar
• Regelmäßige Sicherheitsaudits und Schwachstellenbewertungen
• Zugriffskontrollen und rollenbasierte Berechtigungen
• Automatisierte Überwachung und Alarmierung über Sentry und Better Stack

Obwohl wir robuste Sicherheitsmaßnahmen implementieren, ist kein System 100 % sicher. Eine absolute Sicherheit Ihrer Daten können wir nicht garantieren.

6. Internationale Datenübertragungen

JobStep wird von der Schweiz aus betrieben und Ihre Daten werden hauptsächlich in EU-Regionen gespeichert. Einige unserer Drittanbieter haben jedoch ihren Sitz in den Vereinigten Staaten und anderen Ländern außerhalb des Europäischen Wirtschaftsraums (EWR).

Wenn wir Ihre Daten international übertragen, stellen wir sicher, dass angemessene Sicherheitsvorkehrungen getroffen werden:

• Von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCCs).
• Dienstleister, die nach relevanten Datenschutzbestimmungen zertifiziert sind
• Verschlüsselung und Pseudonymisierung der Daten vor der Übertragung
• Vertragliche Verpflichtungen, die ein gleichwertiges Schutzniveau erfordern

Zu den in den USA ansässigen Diensten, die wir nutzen, gehören: OpenAI, PostHog, Sentry, Exa.ai und Firecrawl. Wir haben die Sicherheitspraktiken und Datenschutzmaßnahmen dieser Anbieter evaluiert.

7. Ihre Datenschutzrechte

Abhängig von Ihrem Standort haben Sie verschiedene Rechte bezüglich Ihrer personenbezogenen Daten:

7.1 DSGVO-Rechte (Europäischer Wirtschaftsraum)

• Zugriffsrecht: Fordern Sie eine Kopie Ihrer persönlichen Daten an
• Recht auf Berichtigung: Korrigieren Sie ungenaue oder unvollständige Daten
• Recht auf Löschung: Löschung Ihrer Daten beantragen („Recht auf Vergessenwerden“)
• Recht auf Einschränkung der Verarbeitung: Beschränken Sie die Art und Weise, wie wir Ihre Daten verwenden
• Recht auf Datenübertragbarkeit: Exportieren Sie Ihre Daten in ein maschinenlesbares Format
• Widerspruchsrecht: Widerspruch gegen die Verarbeitung aufgrund berechtigter Interessen einlegen
• Recht auf Widerruf der Einwilligung: Die Einwilligung zur Datenverarbeitung können Sie jederzeit widerrufen
• Recht auf Beschwerde: Reichen Sie eine Beschwerde bei Ihrer örtlichen Datenschutzbehörde ein

7.2 CCPA-Rechte (Einwohner Kaliforniens)

• Recht zu erfahren, welche personenbezogenen Daten erfasst werden
• Recht zu erfahren, ob personenbezogene Daten verkauft oder offengelegt werden
• Recht, den Verkauf personenbezogener Daten abzulehnen (Hinweis: Wir verkaufen keine personenbezogenen Daten)
• Recht, die Löschung personenbezogener Daten zu verlangen
• Recht auf Nichtdiskriminierung bei der Ausübung der CCPA-Rechte

7.3 Schweizer Datenschutzrechte

Als Schweizer Unternehmen halten wir uns an das Bundesgesetz über den Datenschutz (DSG), das ähnliche Rechte wie die DSGVO vorsieht.

7.4 So üben Sie Ihre Rechte aus

Um eines dieser Rechte auszuüben, kontaktieren Sie uns bitte unter help@jobstep.io. Wir werden innerhalb von 30 Tagen antworten. Sie können einige Einstellungen auch direkt in Ihrem Konto-Dashboard verwalten.

8. Datenaufbewahrung

Wir bewahren Ihre personenbezogenen Daten so lange auf, wie es für die Erbringung unserer Dienstleistungen und die Einhaltung gesetzlicher Verpflichtungen erforderlich ist:

• Aktive Konten: Daten bleiben erhalten, solange Ihr Konto aktiv ist
• Gelöschte Konten: Die meisten Daten werden innerhalb von 30 Tagen nach der Kontolöschung gelöscht. Einige Daten werden aus Sicherheitsgründen und zur Einhaltung gesetzlicher Vorschriften bis zu 90 Tage lang in Backups aufbewahrt
• Analysedaten: Aggregierte und anonymisierte Analysen werden bis zu 2 Jahre lang aufbewahrt
• Zahlungsaufzeichnungen: Zur Einhaltung steuerlicher und buchhalterischer Vorschriften sieben Jahre lang aufbewahrt
• Legal Hold: Die Daten können länger aufbewahrt werden, wenn dies gesetzlich oder für ein Gerichtsverfahren erforderlich ist

Sie können jederzeit die Löschung Ihrer Daten beantragen, indem Sie sich an help@jobstep.io wenden oder Ihr Konto im Dashboard löschen.

9. Cookies und Tracking-Technologien

Wir verwenden Cookies und ähnliche Tracking-Technologien, um unsere Dienste bereitzustellen und zu verbessern:

9.1 Wesentliche Cookies

• Authentifizierungscookies (Firebase-Sitzungstoken)
• Sicherheitscookies (CSRF-Schutz)
• Load-Balancing-Cookies

9.2 Analyse-Cookies

• PostHog-Analyse-Cookies (kann deaktiviert werden)
• Nutzungsverfolgung und Funktionseinbindung

9.3 Marketing-Cookies

• TikTok-Pixel (zur Anzeigenzuordnung)
• Conversion-Tracking von Google Ads

Sie können Cookies über Ihre Browsereinstellungen steuern. Beachten Sie, dass die Deaktivierung wesentlicher Cookies die Funktionalität beeinträchtigen kann.

10. Öffentliche Anwendungswebsites

Mit JobStep können Sie öffentliche Bewerbungswebsites erstellen, um diese mit potenziellen Arbeitgebern zu teilen. Bitte beachten Sie:

• Öffentliche Informationen: Der Inhalt Ihrer öffentlichen Bewerbungswebsite ist für jeden sichtbar, der über den Link verfügt
• Besucherverfolgung: Wir verfolgen die Besucher Ihrer öffentlichen Website (gehashte IP-Adressen, Geolokalisierung, Benutzeragenten), um Ihnen Analysen zum Engagement von Personalvermittlern bereitzustellen
• Kontrolle: Sie steuern, welche Informationen auf Ihrer öffentlichen Website enthalten sind, und können diese jederzeit deaktivieren
• Suchmaschinen: Öffentliche Websites können von Suchmaschinen indiziert werden, es sei denn, Sie deaktivieren diese Funktion

11. KI und automatisierte Entscheidungsfindung

Wir nutzen KI (OpenAI GPT-Modelle), um Lebenslaufverbesserungen, Vorschläge und maßgeschneiderte Inhalte bereitzustellen. Wichtige Hinweise:

• Keine automatisierten Entscheidungen: Ohne menschliche Aufsicht treffen wir keine automatisierten Entscheidungen, die Sie erheblich beeinträchtigen
• KI als Werkzeug: KI-Vorschläge sind lediglich Empfehlungen. Sie überprüfen und kontrollieren alle endgültigen Inhalte
• Trainingsdaten: Ihre Daten werden gemäß unserer Vereinbarung nicht zum Trainieren der OpenAI-Modelle verwendet
• Menschliche Überprüfung: Sie können KI-generierte Inhalte jederzeit bearbeiten oder ablehnen

12. Privatsphäre von Kindern

JobStep ist nicht für Benutzer unter 16 Jahren gedacht. Wir erfassen wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Sollten wir Kenntnis davon erlangen, dass wir Daten von einem Kind unter 16 Jahren erfasst haben, werden wir diese umgehend löschen. Wenn Sie glauben, dass wir Informationen von einem Kind gesammelt haben, kontaktieren Sie uns bitte unter help@jobstep.io.

13. Verfolgen Sie keine Signale

Einige Browser unterstützen „Do Not Track“ (DNT)-Signale. Wir reagieren derzeit nicht auf DNT-Signale, da es keinen Industriestandard für deren Interpretation gibt. Wir werden dies möglicherweise noch einmal überprüfen, wenn sich die Standards weiterentwickeln.

14. Änderungen dieser Datenschutzrichtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren, um Änderungen in unseren Praktiken, der Technologie, den gesetzlichen Anforderungen oder anderen Faktoren Rechnung zu tragen. Wenn wir wesentliche Änderungen vornehmen, werden wir:

• Aktualisieren Sie das „Datum des Inkrafttretens“ oben in dieser Richtlinie
• Benachrichtigung per E-Mail (falls Sie ein Konto haben)
• Bringen Sie einen deutlich sichtbaren Hinweis in der Bewerbung an
• Geben Sie eine Zusammenfassung der wesentlichen Änderungen an

Ihre fortgesetzte Nutzung von JobStep nach Änderungen bedeutet, dass Sie die aktualisierte Richtlinie akzeptieren. Wenn Sie mit den Änderungen nicht einverstanden sind, können Sie Ihr Konto löschen.

15. Kontaktieren Sie uns

Wenn Sie Fragen, Bedenken oder Wünsche bezüglich dieser Datenschutzrichtlinie oder unserer Datenpraktiken haben, kontaktieren Sie uns bitte:

E-Mail: help@jobstep.io
E-Mail:
TenThirty GmbH
Datenschutzbeauftragter
Guggachstrasse 6
8057 Zürich, Schweiz

Datenschutzbehörde:
Wenn Sie sich in der EU/im EWR befinden und der Meinung sind, dass wir auf Ihre Bedenken nicht eingegangen sind, können Sie eine Beschwerde bei Ihrer örtlichen Aufsichtsbehörde oder beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einreichen.

16. Rechtsgrundlage der Verarbeitung (DSGVO)

Für Nutzer im Europäischen Wirtschaftsraum verarbeiten wir Ihre Daten auf Grundlage der folgenden Rechtsgrundlagen:

• Vertragserfüllung: Verarbeitung erforderlich, um die von Ihnen angeforderten JobStep-Dienste bereitzustellen
• Einwilligung: Wenn Sie Ihre ausdrückliche Einwilligung erteilt haben (z. B. Marketingkommunikation, Analysen)
• Berechtigte Interessen: Zur Betrugsprävention, Sicherheit und Produktverbesserung, soweit nicht Ihre Rechte außer Kraft gesetzt werden
• Gesetzliche Verpflichtung: Zur Einhaltung von Gesetzen, Vorschriften und rechtlichen Verfahren

17. Datenschutzrechte von Kalifornien (CCPA-Details)

Kategorien der erfassten personenbezogenen Daten

• Identifikatoren (Name, E-Mail, IP-Adresse)
• Berufliche Informationen (Lebenslaufinhalt, beruflicher Werdegang)
• Internetaktivität (Nutzungsdaten, Analysen)
• Geolocation-Daten
• Audio-/visuelle Informationen (Videos, Fotos)

Geschäftszwecke der Erhebung

• Bereitstellung von Dienstleistungen zur Karriereoptimierung
• Produktverbesserung und -analytik
• Sicherheit und Betrugsprävention
• Kundenbetreuung

Verkauf personenbezogener Daten

Wir verkaufen Ihre persönlichen Daten nicht an Dritte. Wir geben Daten nur dann an Dienstleister weiter, wenn dies für die Erbringung unserer Dienste erforderlich ist.