Datenschutzerklärung

Deutsch · Stand: 4. Oktober 2026 · Version 2026-10-04

1. Verantwortlicher und Kontakt

Für Datenschutz, rechtliche Fragen und Fragen zur Website erreichen Sie die Gesellschaft unter diesen Kontaktdaten oder über das Datenschutz-Formular. Für Kooperationen: hr-management@szb-nrw.de. Die projektbezogene Betreuung von Plattformanfragen erfolgt auch über azubi@uz-talents.de.

2. Technische Plattform und Verantwortlichkeiten

Diese Hinweise gelten für Website, PWA, Konten, Profile, Anzeigen, selbstständig versendete Bewerbungen, Nachrichten, Termine, Dokumentenverwaltung, automatische Vergleichswerte und Zahlungsfunktionen. UZ Talents bietet keine persönliche Stellen- oder Personalauswahl, Umzugsbegleitung, Visa-, Rechts- oder Steuerberatung, Übersetzungen oder Schulungen an. Organisationen entscheiden selbst über Bewerbungen. Eigene Angebote einer Organisation sind dieser Organisation zuzurechnen.

3. Zwecke und Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO: Kontoführung, gewünschte Profile und Bewerbungen, Kommunikation und vereinbarte Plattformfunktionen.
• Art. 6 Abs. 1 lit. a DSGVO: freiwillige CV-Freigabe, Partnerzuordnung, Stellenalarm und optionale Analyse, jeweils widerrufbar.
• Art. 6 Abs. 1 lit. c DSGVO: gesetzliche Nachweise, Buchhaltung, Betroffenenrechte, Inhaltsmeldungen und behördliche Verpflichtungen.
• Art. 6 Abs. 1 lit. f DSGVO: Betriebssicherheit, Prüfung und Moderation, Missbrauchsprävention, Fehleranalyse, interne Reichweitenstatistik und Rechtsverteidigung. Dabei berücksichtigen wir die Interessen und Rechte der Betroffenen.

4. Hosting, Verbindungsdaten und Sicherungen

UZ Talents wird auf einem VPS von Hostinger mit Standort Frankfurt am Main, Deutschland, betrieben. Dort liegen die Anwendungsdatenbank und hochgeladene Dokumente, Fotos und Logos in geschützten, vom Anwendungscode getrennten Verzeichnissen. Die Anwendung erstellt lokale Sicherungen auf diesem VPS. Sie verwendet im laufenden Betrieb keine ChatGPT-Sites-Datenbank oder öffentlich zugängliche Dateiablage.

Der Webserver verarbeitet IP-Adresse, Zeitpunkt, URL, Status, Browserinformationen und gegebenenfalls Referrer zur Auslieferung und Fehleranalyse. Die Webserverprotokolle rotieren täglich; konfiguriert sind 14 Rotationen. Technische Anwendungsprotokolle rotieren nach Dateigröße (bis zu fünf Dateien mit je 10 MB), nicht nach einer zugesicherten Anzahl von Tagen. Fachliche Sicherheits- und Administrationsereignisse werden gesondert in der Datenbank gespeichert.

Automatische lokale Sicherungsarchive werden täglich erstellt; Archive mit einem Alter von mehr als 30 Tagen werden beim regulären Sicherungslauf entfernt. Gesonderte Sicherungen vor Wartungsarbeiten werden zur Wiederherstellung getrennt aufbewahrt und müssen nach Wegfall dieses Zwecks geprüft werden. Eine externe Sicherung über das dafür vorgesehene Restic-Verfahren ist derzeit nicht eingerichtet. Eventuelle Sicherungen und Betriebsdaten des Hostinganbieters folgen dessen vertraglichen Verfahren.

Der Standort des VPS bedeutet keine ausschließlich deutsche Verarbeitung durch alle beteiligten Anbieter. Informationen zum Hostinganbieter: Hostinger Datenschutz und Auftragsverarbeitungsbedingungen. Diese Links sind kein Nachweis eines bestimmten individuell unterzeichneten Vertrags.

5. Anmeldung und Sicherheit

Bei Anmeldung mit E-Mail und Passwort speichern wir E-Mail, Anzeigenamen und einen kryptografischen Passwort-Prüfwert mit individuellem Zufallswert. Das Klartextpasswort wird nicht gespeichert. Wir verarbeiten Verifikationsnachweise, Sitzungstoken in gehashter Form, Fehlversuche und vorübergehende Sperren. Nutzersitzungen laufen spätestens nach 30 Tagen ab; Abmelden beendet die betreffende Sitzung. Für Administratoren bestehen gesonderte Sitzungen mit zwölf Stunden Laufzeit.

Der eingerichtete Google-Login übermittelt eine anbieterspezifische Kennung, bestätigte E-Mail und gegebenenfalls den Anzeigenamen. Anbieter ist Google Ireland Limited. Die Berechtigungen sind openid, email und profile. Ein Google-Profilfoto wird nicht als Bewerbungsfoto übernommen. Die Anwendung speichert keine Google-Passwörter oder dauerhaften Anbieter-Zugriffstoken. Der Aufruf des Loginanbieters übermittelt diesem Verbindungsdaten; ergänzend gelten dessen Datenschutzhinweise.

6. Kandidatenprofile, Unterlagen und Öffentlichkeit

Für das Profil werden Name, bestätigte E-Mail, Berufswunsch und Bildungsangaben benötigt. Weitere Angaben betreffen Sprache, Starttermin, Mobilität, freiwillige Telefonnummer, Fähigkeiten, Erfahrungen und Motivation. Ein Bewerbungsfoto und PDF-Unterlagen können freiwillig eingereicht werden; für die Freigabe eines Profils kann die Prüfung relevanter Nachweise erforderlich sein. Eine pauschale Veröffentlichung der Originalunterlagen findet nicht statt.

Öffentlich sichtbar sind freigegebene pseudonymisierte Profile mit Kandidatencode, Berufsprofil, Sprache, Mobilität, Startbereitschaft und ausgewählten Statusangaben. Pseudonymisierung ist keine Garantie, dass eine Person anhand ihrer Angaben niemals wiedererkannt werden kann. Name, E-Mail, Telefonnummer, Original-PDF und Foto gehören nicht zum öffentlichen Profil.

Das persönliche CV-PDF kann Name, Kontaktangaben, Bewerbungsfoto und Lebenslauf enthalten. Sein Download durch geprüfte Organisationen mit aktivem Zugang erfordert sowohl die administrative Freigabe als auch Ihre separate freiwillige CV-Freigabe im Profil. Dort können Sie die Einwilligung für künftige Downloads widerrufen. Bereits rechtmäßig heruntergeladene Kopien befinden sich bei der jeweiligen Organisation; deren Verarbeitung und Löschung müssen Sie auch gegenüber diesem Empfänger geltend machen. Ihre Original-PDF-Unterlagen sind nur Ihrem Konto und autorisierten Administratoren zugänglich.

International Azubi Passport und Ready-Score enthalten Prüf- und Vollständigkeitsangaben, etwa zu Identität, Bildungsnachweisen, Sprachstand und selbst angegebenen Vorbereitungsschritten. Das Speichern eines Status zu Visum oder Übersetzung bedeutet nicht, dass der Plattformbetreiber diese Leistung anbietet. Bitte laden Sie keine nicht erforderlichen Ausweisnummern, Gesundheits-, Religions- oder sonstigen besonderen Daten nach Art. 9 DSGVO hoch. Eine allgemeine Profilfreigabe ersetzt keine erforderliche besondere Rechtsgrundlage.

7. Organisationen und Bildungspartner

Wir verarbeiten Organisationsname, Anschrift, Register- und Prüfmerkmale, Ansprechperson, Kontaktdaten, Tätigkeitsfelder, Anzeigen, Zugangslaufzeit und Nachrichten. Öffentliche Organisationsprofile können die dafür eingegebenen geschäftlichen Kontaktdaten enthalten. Bewerbungszugriffe werden serverseitig der Organisation zugeordnet, die zur jeweiligen Anzeige berechtigt ist; ein gleichlautender Firmenname verschafft keinen Zugriff.

Eine Zuordnung zu einer Bildungspartnergruppe erfordert Ihre Bestätigung im Kandidatenprofil. Die bloße Kenntnis eines öffentlichen Kandidatencodes berechtigt nicht zum Abruf Ihrer E-Mail. Eine bestätigte Verbindung kann im Profil für künftige Zugriffe widerrufen werden. Organisationen sind für ihre eigene anschließende Verarbeitung und ihre eigenen Leistungen verantwortlich.

8. Bewerbungen, Nachrichten und Vergleichswerte

Sie versenden Bewerbungen selbst und können zu bestehenden Bewerbungen Nachrichten austauschen. Gespeichert werden zugehörige Profile und Anzeigen, Text, Beteiligte, Zeitpunkte, Verlauf, Termine und gegebenenfalls Test- oder Interviewangaben. Kalenderdateien werden auf Anforderung erzeugt; die Plattform greift nicht auf Ihren privaten Kalender zu. Bei externen Quellen bedeutet eine Anzeige allein nicht, dass der dort genannte Betrieb ein Plattformkonto besitzt.

Automatisches Matching vergleicht insbesondere Beruf, Sprache, Region und Verfügbarkeit; der Ready-Score bildet dokumentierte Vollständigkeits- und Prüfmerkmale ab. Diese Hilfswerte sind keine Zusage oder automatische Einstellungsentscheidung. Organisationsentscheidungen und Moderation erfolgen durch Menschen. Sie können unrichtige Daten berichtigen und über den Datenschutzkontakt eine Erläuterung oder Überprüfung anfordern.

9. E-Mail, Kontakt und externe Kommunikationswege

Der eingerichtete E-Mail-Dienst Resend (Plus Five Five, Inc., USA) erhält Empfängeradresse und die zur jeweiligen Nachricht erforderlichen Inhalte, etwa Bestätigungslinks, Prüfhinweise, Kontaktanfragen oder Vertragsinformationen. Informationen: Resend Datenschutz, DPA. Eine Verarbeitung in den USA ist möglich.

Stellenalarme speichern Suchkriterien, E-Mail, Einwilligungs- und Bestätigungsnachweise sowie Versandinformationen. Sie werden nach Bestätigung aktiviert und können über den Abmeldelink widerrufen werden. Kontaktformulare speichern Name, E-Mail, Rolle, Thema, freiwillige Kontaktdaten, Nachricht und Bearbeitungsverlauf. Die bestehende Kontaktbenachrichtigung geht an azubi@uz-talents.de.

Die Website nennt auch Telefon, WhatsApp und Telegram als Kontaktwege. Wenn Sie einen solchen Dienst selbst nutzen, gelten zusätzlich die Bedingungen des jeweiligen Anbieters. Senden Sie dort keine nicht erforderlichen persönlichen Dokumente; für PDF-Unterlagen steht der geschützte Profil-Upload zur Verfügung. Diese Hinweise verändern keine bestehenden Bot- oder Publikationsverbindungen.

10. KI-gestützte Eingabe durch Administratoren

Der aktivierte OpenAI-API-Import kann vom Administrator eingegebene Texte zu Kandidaten, Organisationen oder vorhandenen Erfahrungsberichten sowie Inhalte öffentlicher Stellenquellen strukturieren. Dabei werden die eingegebenen Texte an OpenAI übermittelt; je nach Eingabe können sie Namen, Kontaktdaten, Qualifikationen oder andere personenbezogene Angaben enthalten. Eine Aussage, dass ausschließlich öffentliche Stelleninhalte übertragen werden, wäre daher unzutreffend.

Administratoren müssen Eingaben auf den erforderlichen, rechtmäßig verarbeitbaren Umfang begrenzen. Hochgeladene PDF-Dateien werden durch diese Funktion nicht automatisch an OpenAI gesendet. Antworten sind Hilfsmittel und müssen geprüft werden; sie dürfen keine Tatsachen erfinden. Die API-Anfrage deaktiviert die Speicherung des Antwortobjekts (store: false); dies bedeutet keine garantierte Nullspeicherung sämtlicher Anbieterprotokolle. Weitere Angaben: OpenAI API-Datenverarbeitung. Die Funktion ersetzt weder individuelle Beratung noch eine Entscheidung über die Eignung eines Menschen.

11. Premium, Bestellungen und Zahlungsanbieter

Bei einer Bestellung speichern wir Konto, Name und E-Mail, Tarif, Laufzeit, Preis, Steuerbetrag, Währung, Rechtsversionen und Bestätigungserklärungen, Status und Zahlungsreferenzen. Bei Bestellung durch gesetzliche Vertreter werden deren Erklärung und erforderliche Kontaktdaten erfasst. Vertragsinformationen, Widerrufe, Kündigungen und Erstattungsanfragen werden zur Durchführung und Dokumentation des Vertrags verarbeitet. Volle Karten- oder Bankdaten werden nicht auf der Plattform gespeichert.

Stripe und PayPal sind vorbereitet, aber derzeit nicht vollständig für Zahlungen eingerichtet. Erst bei aktivierter Zahlungsabwicklung werden die für den Auftrag erforderlichen Angaben übermittelt. Stripe erhält insbesondere Bestellreferenz, Tarif, Betrag und Besteller-E-Mail; PayPal Bestellreferenz, Tarif, Betrag und Währung. Eingaben auf deren Zahlungsseiten erfolgen direkt beim jeweiligen Anbieter. Informationen: Stripe Payments Europe, Limited – Datenschutz und PayPal (Europe) S.à r.l. et Cie, S.C.A. – Datenschutz. Zahlungsanbieter können weitere Empfänger außerhalb Deutschlands einsetzen.

Freiwillige Promotion zeigt das freigegebene pseudonymisierte Profil als gekennzeichnete Anzeige in einer täglichen Rotation. Die Auswahl verwendet aktiven Premiumstatus und Profilfreigabe, kein individuelles Werbetracking. Für Kontingente werden Bewerbungen nach Kalendermonat und Tag in Europe/Berlin gezählt. Manuelle Premiumaktivierungen werden mit Administrator, Zeitpunkt und vorherigem Status protokolliert, ohne einen fiktiven Zahlungsvorgang anzulegen.

12. Statistik, Cookies und PWA

Die interne Statistik verwendet Seitenpfad, Tag, Referrer-Domain und eine täglich geänderte Hash-Kennung aus IP-Adresse und Browserkennung. Roh-IP und vollständiger User-Agent werden nicht im Statistikdatensatz gespeichert. Geschützte Bereiche und API-Aufrufe werden nicht erfasst. Die Kennung ist pseudonym, nicht schlechthin anonym. Bei regulären Statistikzugriffen erfolgt eine wiederkehrende Bereinigung von Ereignissen, die älter als 180 Tage sind.

Google Analytics ist derzeit deaktiviert. Bei späterer Aktivierung wird es nur nach Ihrer freiwilligen Analyse-Einwilligung geladen. Die Auswahl ist über „Cookie-Einstellungen“ jederzeit änderbar; ein Widerruf sperrt weitere Erfassung und entfernt vorhandene Analytics-Cookies, soweit technisch auf dieser Domain möglich. Private Kontoseiten und Vertragsformulare werden nicht an die Reichweitenmessung übergeben. Rechtsgrundlagen für optionalen Gerätezugriff und Analyse sind §25 Abs.1 TDDDG und Art.6 Abs.1 lit.a DSGVO.

Notwendige Sitzungsinformationen und ausdrücklich gewünschte Merkliste sowie öffentliche PWA-Dateien können auf Ihrem Gerät gespeichert werden. Der Offline-Cache schließt Konten, Nachrichten, Dokumente und Zahlungs- oder Vertragsformulare aus. Das Löschen von Browserdaten entfernt nur lokale Kopien und meldet Sie gegebenenfalls ab; es löscht weder das Serverkonto noch bei Empfängern gespeicherte Daten. Details stehen in den Cookie- und Speicherhinweisen.

13. Empfänger und Drittlandverarbeitung

Zugriff erhalten im erforderlichen Umfang autorisierte Beschäftigte der Gesellschaft, von Ihnen berechtigte Organisationen und Bildungspartner sowie eingesetzte technische Anbieter für Hosting, E-Mail, gewählte Anmeldung, KI-Eingabe und nach Aktivierung Zahlungen oder Analyse. Behörden und Berater können bei einer konkreten rechtlichen Erforderlichkeit Empfänger sein. Personenbezogene Daten werden nicht verkauft.

Externe Dienste, insbesondere Resend und die OpenAI-API sowie gegebenenfalls weitere Unterauftragnehmer, können Daten außerhalb des EWR verarbeiten. Dafür kommen insbesondere Angemessenheitsbeschlüsse oder Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen in Betracht. Anbieterinformationen allein belegen nicht den konkreten Vertragsabschluss oder die für unser Konto geltenden Einstellungen. Auskünfte zu den einschlägigen Empfängern und Übermittlungsgrundlagen erhalten Sie über den Datenschutzkontakt.

14. Speicherdauer, Sperrung und Löschung

Konto- und Profildaten werden für die Nutzung der Plattform vorgehalten. Es gibt keine automatische Löschung nach 90 Tagen Inaktivität. Auch eine dritte Identitäts-Erinnerung löscht weder Konto noch Unterlagen; offene Prüfungen werden manuell bearbeitet. Archivierung oder Sperrung beschränkt die Nutzung und ist keine vollständige Löschung der gespeicherten Daten.

Bei einer Löschungsanfrage prüfen wir Identität, Umfang, betroffene Arbeitskopien und entgegenstehende konkrete Pflichten. Nicht mehr erforderliche Profil-, Dokumenten- und Bewerbungsdaten sind dann zu löschen oder bei erforderlicher Aufbewahrung im Zugriff zu beschränken. Für Bewerbungsverläufe, Kontakt- und Rechtsanfragen richtet sich die notwendige Dauer nach Bearbeitungsabschluss, verbleibenden Rechten und konkret begründetem Nachweisbedarf. Eine pauschale automatische Sechsmonats- oder Zweijahreslöschung wird derzeit nicht ausgeführt.

Steuerlich erforderliche Buchungsbelege sind regelmäßig acht Jahre, bestimmte Geschäftsbriefe sechs Jahre aufzubewahren; je nach Dokument und Verfahren können andere gesetzliche Fristen gelten. Dies ist kein Grund, sämtliche Profildaten ebenso lange aufzubewahren. Prüf-, Sicherheits- und Administrationsprotokolle haben derzeit keinen umfassenden automatischen Löschlauf; erforderliche Prüfungen auf Zweckfortfall und Einschränkung erfolgen gesondert. Für technische Logs, Statistik und Sicherungen gelten die beschriebenen jeweiligen Verfahren.

Eine Löschung aus der Arbeitsdatenbank entfernt nicht sofort jede Sicherung. Sicherungen sind nicht für den laufenden Zugriff vorgesehen; bei einer Wiederherstellung müssen bereits bearbeitete Löschungs- und Einschränkungsentscheidungen erneut berücksichtigt werden. Bereits übermittelte Kopien bei eigenständig verantwortlichen Organisationen unterliegen deren Verarbeitung.

15. Minderjährige

Eigene Kandidatenkonten sind für Personen ab 16 Jahren vorgesehen. Für erforderliche rechtsgeschäftliche Erklärungen Minderjähriger ist die Zustimmung der gesetzlichen Vertretung einzuholen. Eine Selbsterklärung im Formular ersetzt keine Prüfung im Zweifelsfall. Die zahlungspflichtige Bestellung unterscheidet zwischen volljährigem Besteller und gesetzlichem Vertreter. Es wird keine weitergehende Altersprüfung behauptet, die technisch nicht durchgeführt wird.

16. Ihre Rechte und Beschwerden

Nach Maßgabe der DSGVO können Sie Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen (Art.15–21). Freiwillige Einwilligungen sind jederzeit für die Zukunft widerrufbar. Bei berechtigtem Interesse können Sie aus Ihrer besonderen Situation widersprechen; gegen Direktwerbung jederzeit. Nutzen Sie info@szb-nrw.de oder das Datenschutz-Formular. Eine erforderliche Identitätsprüfung schützt vor unbefugter Auskunft.

Sie können sich an eine Datenschutzaufsichtsbehörde wenden, insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, poststelle@ldi.nrw.de, www.ldi.nrw.de.

17. Sicherheit und Änderungen

Wir verwenden serverseitige Zugriffsprüfungen, geschützte Dateibereiche, verschlüsselte Übertragung, organisatorische Prüfungen und Protokollierung. Absolute Sicherheit kann nicht zugesichert werden. Diese Erklärung wird bei Änderungen der Verarbeitung angepasst. Maßgebliche frühere Vertrags- und Einwilligungsnachweise werden durch eine Textaktualisierung nicht überschrieben.