Datenschutzerklärung

Supabase (Datenspeicherung & Authentifizierung)

Anbieter: Supabase Inc., San Francisco, USA (als Auftragsverarbeiter).
Serverstandort: Frankfurt am Main, Deutschland (AWS-Region eu-central-1).
Zweck: Speicherung von Lebensläufen, Analysedaten, Chat-Verläufen und Dokumenten. Verwaltung von Nutzerkonten und Authentifizierung.
Die von uns genutzten Datenbank- und Speicher-Server befinden sich innerhalb der EU. Ihre Lebenslauf- und Analysedaten werden dort gespeichert und verlassen die EU nicht. Für den Supportbetrieb des Anbieters (mit Sitz in den USA) ist ein Auftragsverarbeitungsvertrag inkl. Standardvertragsklauseln (SCC) abgeschlossen.
Datenschutz: supabase.com/privacy

OpenAI (KI-Analyse, Chat, KI-Bewerbungsfoto & Arbeitszeugnis-Tool)

Anbieter: OpenAI Ireland Ltd., Dublin, Irland (Vertragspartner für Kunden aus der EU/EWR) — verarbeitet als Auftragsverarbeiter im Auftrag von OpenAI OpCo, LLC, San Francisco, USA.
Zweck: Analyse des Lebenslaufs, Generierung von Anschreiben, Beantwortung von Chat-Nachrichten sowie Erstellung eines professionellen Bewerbungsfotos auf Basis eines hochgeladenen Fotos (optionale Funktion, Foto wird nach der Verarbeitung nicht dauerhaft bei OpenAI gespeichert).
Dein Lebenslauf wird zur Analyse an OpenAI übermittelt und dabei in die USA übertragen. OpenAI verwendet diese Daten gemäß den zum Zeitpunkt der Nutzung gültigen API-Nutzungsbedingungen nicht zum Training seiner Modelle. Mit OpenAI besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) inkl. EU-Standardvertragsklauseln (SCC), der diese Übermittlung datenschutzrechtlich absichert.
Arbeitszeugnis-Tool: Beim Entschlüsseln eines bestehenden Arbeitszeugnisses wird der eingefügte Text zur Analyse an OpenAI übermittelt und danach nicht dauerhaft gespeichert — weder bei uns noch bei OpenAI. Das gilt auch, wenn der Text Namen Dritter enthält (z. B. Arbeitgeber oder Vorgesetzte); die Nutzung ist hierfür bewusst ohne Registrierung möglich.
Datenschutz: openai.com/privacy

Google (Anmeldung via OAuth)

Anbieter: Google LLC, Mountain View, USA.
Zweck: Optionale Anmeldung über das Google-Konto. Bei Nutzung dieser Funktion werden Name und E-Mail-Adresse von Google an uns übermittelt. Es werden keine weiteren Google-Daten verarbeitet.
Die Anmeldung erfolgt über das OAuth-2.0-Verfahren. Wir speichern kein Google-Passwort.
Datenschutz: policies.google.com/privacy

LinkedIn (Anmeldung via OAuth)

Anbieter: LinkedIn Ireland Unlimited Company, Dublin, Irland (EU-Vertreter) / LinkedIn Corporation, Sunnyvale, USA.
Zweck: Optionale Anmeldung über das LinkedIn-Konto. Bei Nutzung dieser Funktion werden Name und E-Mail-Adresse von LinkedIn an uns übermittelt. Es werden keine weiteren LinkedIn-Daten verarbeitet.
Die Anmeldung erfolgt über das OpenID-Connect-Verfahren. Wir speichern kein LinkedIn-Passwort.
Datenschutz: linkedin.com/legal/privacy-policy

Stripe (Zahlungsabwicklung)

Anbieter: Stripe, Inc., San Francisco, USA.
Zweck: Sichere Verarbeitung von Zahlungen.
Wir speichern keine Kreditkartendaten. Alle Zahlungsdaten werden direkt von Stripe verarbeitet.
Datenschutz: stripe.com/privacy

Vercel (Hosting)

Anbieter: Vercel Inc., San Francisco, USA.
Serverstandort: Frankfurt am Main, Deutschland (Region fra1).
Zweck: Betrieb und Auslieferung unserer Website und Anwendung. Beim Aufruf unserer Seite werden dabei technische Zugriffsdaten (u. a. IP-Adresse) in Server-Logs verarbeitet.
Datenschutz: vercel.com/legal/privacy-policy

Vercel Analytics (Reichweitenmessung & Nutzungsstatistik)

Anbieter: Vercel Inc., San Francisco, USA.
Zweck: Anonymisierte, cookie-lose Nutzungsstatistiken (z. B. Seitenaufrufe) sowie einzelne anonyme Nutzungs-Ereignisse (z. B. wie weit auf einer Seite gescrollt wurde, ob eine optionale Profilseite aktiviert wurde), um unser Angebot zu verbessern. Es findet keine individuelle Nutzer-Nachverfolgung über verschiedene Seiten hinweg statt; Vercel identifiziert Besuche über einen aus der Anfrage gebildeten Hash statt über Cookies, der spätestens nach 24 Stunden verworfen wird.
Dies läuft parallel zu Matomo (s. u.): Vercel Analytics wertet technische Nutzungssignale unabhängig von deiner Cookie-Einwilligung aus (kein Cookie im Einsatz), Matomo liefert uns zusätzlich detailliertere Statistiken, sobald du zugestimmt hast.
Datenschutz: vercel.com/legal/privacy-policy

Cloudflare Web Analytics (Reichweitenmessung)

Anbieter: Cloudflare, Inc., San Francisco, USA.
Zweck: Anonyme, cookie-lose Messung grundlegender Nutzungskennzahlen (z. B. Seitenaufrufe, Ladezeiten, ungefähre Herkunftsregion auf Landesebene), um die technische Auslieferung und Reichweite unserer Seite zu beurteilen.
Cloudflare Web Analytics setzt keine Cookies, nutzt kein Fingerprinting und speichert keine IP-Adressen oder sonstigen personenbezogenen Kennungen der Besucher. Es findet keine seitenübergreifende Wiedererkennung einzelner Nutzer statt. Die Einbindung erfolgt daher unabhängig von deiner Cookie-Einwilligung auf Basis unseres berechtigten Interesses an einem stabilen, reichweitenstarken Angebot (Art. 6 Abs. 1 lit. f DSGVO).
Datenschutz: cloudflare.com/privacypolicy

Matomo (Selbst gehostete Reichweitenmessung)

Anbieter: eigener Server (arzalpha), Deutschland — keine Übermittlung an Dritte.
Zweck: Statistische Auswertung der Seitennutzung (z. B. aufgerufene Seiten, Verweildauer), um unser Angebot zu verbessern.
Matomo wird ausschließlich auf unserem eigenen Server betrieben; es findet keine Datenweitergabe an einen externen Analysedienst statt. Die Einbindung erfolgt erst nach deiner Cookie-Einwilligung (siehe Punkt 5) und setzt dabei ein first-party Cookie zur Wiedererkennung deines Besuchs.

Cloudflare Turnstile (Bot-Schutz)

Anbieter: Cloudflare, Inc., San Francisco, USA.
Zweck: Schutz von Anmeldung, Registrierung und Kontaktformular vor automatisierten Missbrauchsversuchen (Bots), als datenschutzfreundliche Alternative zu klassischen Captchas.
Beim Ausfüllen dieser Formulare übermittelt dein Browser technische Signale (u. a. IP-Adresse) an Cloudflare, die zur Prüfung „echter Mensch vs. Bot" ausgewertet werden. Dies erfolgt auf Basis unseres berechtigten Interesses an der Sicherheit unseres Dienstes (Art. 6 Abs. 1 lit. f DSGVO) und ist technisch notwendig — hierfür ist keine gesonderte Einwilligung erforderlich.
Datenschutz: cloudflare.com/privacypolicy

Sentry (Fehlerüberwachung)

Anbieter: Functional Software, Inc. (Sentry), San Francisco, USA.
Zweck: Technische Fehlerdiagnose. Bei einem technischen Fehler in der Anwendung werden Fehlerdetails (u. a. IP-Adresse, Browser-Informationen, technischer Fehlerkontext) an Sentry übermittelt, damit wir Probleme schnell erkennen und beheben können.
Datenschutz: sentry.io/privacy

Hetzner Online GmbH (eigene Serverinfrastruktur)

Anbieter: Hetzner Online GmbH, Gunzenhausen, Deutschland.
Serverstandort: Nürnberg, Deutschland.
Zweck: Betrieb eigener, selbst verwalteter Server zur Verarbeitung deiner Analyse-Anfrage und zur Erstellung deiner fertigen Bewerbungsunterlagen (z. B. Anschreiben, CV-Design, Deckblatt) als PDF. Daten werden dort nicht dauerhaft gespeichert, sondern nur zur Verarbeitung durchgereicht.
Mit Hetzner besteht ein Auftragsverarbeitungsvertrag (AVV). Die Daten bleiben durchgehend in deutschen Rechenzentren (Hetzner Nürnberg und Supabase Frankfurt).
Datenschutz: hetzner.com/de/rechtliches/datenschutz

Resend (Transaktions-E-Mails)

Anbieter: Resend, Inc., San Francisco, USA.
Zweck: Versand von Transaktions- und Servicemails (z. B. Benachrichtigung über eine fertige Analyse, Erinnerungen, Kontobestätigungen). Dabei wird deine E-Mail-Adresse an Resend übermittelt.
Datenschutz: resend.com/legal/privacy-policy

Push-Benachrichtigungen (optional)

Anbieter: je nach verwendetem Browser Google LLC (Chrome/Android), Apple Inc. (Safari/iOS) oder Mozilla Corporation (Firefox), jeweils USA.
Zweck: Optionale Benachrichtigung, sobald deine Analyse fertig ist. Aktivierst du diese Funktion, wird ein technischer Endpunkt deines Browsers bei uns gespeichert; der Versand der Benachrichtigung läuft über den Push-Dienst deines Browser-Anbieters, der dabei technische Verbindungsdaten verarbeitet. Der Inhalt der Nachricht ist verschlüsselt und für den Push-Dienst nicht einsehbar. Du kannst die Berechtigung jederzeit in deinen Browser-Einstellungen widerrufen.