Datenschutzerklärung

1. Einleitung

CV Score ist ein Angebot der The CodeCave GmbH („wir“, „uns“). Diese Datenschutzerklärung beschreibt, wie wir personenbezogene Daten verarbeiten, wenn Sie unsere Website cvscore.net besuchen, die Web-Anwendung unter app.cvscore.net nutzen oder darüber Ihren Lebenslauf bewerten lassen (zusammen „der Dienst“).

Da wir unseren Sitz in Deutschland haben, gelten für sämtliche Verarbeitungen die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) — unabhängig davon, wo Sie wohnen. Je nach Aufenthaltsort können Ihnen zusätzliche Rechte aus lokalem Recht zustehen, etwa aus der UK GDPR, dem California Consumer Privacy Act (CCPA/CPRA), der brasilianischen LGPD, dem kanadischen PIPEDA, dem australischen Privacy Act, dem PDPA in Singapur oder dem POPIA in Südafrika. Diese behandeln wir in eigenen Abschnitten weiter unten.

Diese Fassung gilt ab dem oben genannten Datum und beschreibt den Dienst in seinem heutigen Funktionsumfang. Unsere Unternehmensangaben finden Sie zusätzlich im Impressum.

2. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die hier beschriebenen Verarbeitungen ist:

Da der Verantwortliche seinen Sitz in der Europäischen Union hat, ist ein Vertreter nach Art. 27 DSGVO weder erforderlich noch benannt. In Datenschutzangelegenheiten wenden Sie sich bitte an privacy@cvscore.net.

3. Welche Daten wir verarbeiten

Welche Daten anfallen, hängt davon ab, wie Sie den Dienst nutzen:

Kontodaten

Sie können einen Lebenslauf ohne Konto hochladen und bewerten lassen; um das Ergebnis zu sehen, ist ein Konto erforderlich. Für ein Konto verarbeiten wir:

• Ihre E-Mail-Adresse
• Ihr Passwort — nur bei Konten, die sich mit E-Mail-Adresse und Passwort anmelden; von unserem Authentifizierungsdienst ausschließlich als kryptografischer Hash gespeichert, niemals im Klartext
• Bei Anmeldung mit Google oder LinkedIn: die E-Mail-Adresse und die grundlegenden Profildaten, die der jeweilige Anbieter an uns übermittelt
• Eine interne Nutzerkennung (UUID) sowie die Zeitpunkte von Kontoerstellung und Anmeldung
• Ob Ihre E-Mail-Adresse bestätigt ist
• Ihren Einwilligungsstatus für Werbe-E-Mails und gegebenenfalls Zeitpunkt und Weg eines späteren Widerrufs

Bewertung ohne Konto

Sie können einen Lebenslauf hochladen und bewerten lassen, bevor Sie ein Konto anlegen. In diesem Fall verarbeiten wir:

• Eine zufällige Kennung (UUID), die Ihr Browser erzeugt und in seinem lokalen Speicher ablegt. Sie ist die einzige Verbindung zwischen Ihnen und Ihrer Bewertung, sagt nichts über Sie aus und ist kein Cookie
• Den hochgeladenen Lebenslauf und das Bewertungsergebnis, nach denselben Regeln wie unten für Lebenslauf-Dateien und Bewertungsergebnisse beschrieben
• Eine kryptografische Prüfsumme (HMAC) Ihrer IP-Adresse, mit der wir anonyme Uploads auf fünf pro IP-Adresse und Stunde begrenzen. Gespeichert wird nur diese Prüfsumme, niemals die IP-Adresse selbst

Lebenslauf-Dateien

Wenn Sie einen Lebenslauf zur Bewertung hochladen, verarbeiten wir:

• Die hochgeladene PDF-Datei (höchstens 5 MB und 3 Seiten)
• Dateiname, Dateigröße und Seitenzahl
• Eine SHA-256-Prüfsumme der Datei, mit der wir das erneute Hochladen desselben Dokuments erkennen und Ihnen keine zweite Abrechnung entsteht
• Die von Ihnen gewählte Berichtssprache und den Zeitpunkt des Uploads

Bewertungsergebnisse

Zu jeder Bewertung speichern wir:

• Die Gesamtpunktzahl sowie die Punktzahlen der 8 Kategorien und ihrer Unterkategorien
• Die positiven und negativen Feststellungen je Unterkategorie, bis zu drei zentrale Stärken und bis zu sieben Verbesserungspunkte, jeweils mit der Einstufung hoher oder mittlerer Wirkung
• Diese Texte formuliert das Modell selbst; sie können sich auf Inhalte Ihres Lebenslaufs beziehen und einzelne Formulierungen daraus wiedergeben
• Die verwendete Modellkennung, Prompt- und Schemaversion, damit ein Ergebnis nachvollziehbar bleibt
• Verarbeitungsstatus, eventuelle Fehlermeldungen sowie ob und wann der vollständige Bericht freigeschaltet wurde
• Vor der Analyse können Sie freiwillig Ihre Branche, Zielposition (Freitext, nach Entfernen äußerer Leerzeichen auf 120 Zeichen begrenzt) und Erfahrungsstufe angeben. Übermittelter Kontext wird mit der Bewertung gespeichert; für ihn gelten dieselben Speicher- und Löschregeln wie für die Bewertung. Eine Analyse ist auch ohne diese Angaben möglich.

Zahlungsdaten

Zahlungen wickelt unser Zahlungsdienstleister Polar ab. Auf unserer Seite speichern wir lediglich:

• Die für den Kauf verwendete E-Mail-Adresse
• Betrag, Währung, Status, die Transaktionsreferenz des Anbieters und das gekaufte Produkt
• Ihren Guthabenstand und ein Protokoll der Guthabenbewegungen — Gutschrift beim Kauf, Abbuchung bei der Freischaltung eines Berichts
• Bei Konten mit einem Alt-Abonnement: dessen Tarif, Status und laufende Periode
• Ob Ihnen ein einmaliges, zeitlich begrenztes Angebot angezeigt wurde und ob Sie es eingelöst haben
• Den Vermerk, dass ein Bezahlvorgang begonnen wurde (Vorgangskennung, E-Mail-Adresse, Produkt), mit dem wir abgebrochene Käufe erkennen

Wenn Sie einen Kauf starten, übermitteln wir Ihre E-Mail-Adresse und Ihre interne Kontokennung an Polar, damit die Zahlung Ihrem Konto zugeordnet werden kann. Ihre Kartennummer, Prüfziffer oder sonstige Zahlungsmitteldaten erhalten und speichern wir zu keinem Zeitpunkt. Diese verarbeitet Polar gemeinsam mit den Rechnungsangaben, die zur Bestimmung des korrekten Steuersatzes nötig sind, in eigener Verantwortung. Für Rechnungen und die Verwaltung eines Abonnements leiten wir Sie in das Kundenportal von Polar weiter.

Freiwillige Kurzbefragung

Nach einer Analyse stellen wir Ihnen einige freiwillige Fragen, um Ihr Ergebnis einordnen zu können. Die Antworten werden ausschließlich als Spannen gespeichert, nie als exakte Werte:

• Anzahl der verschickten Bewerbungen und erhaltenen Vorstellungsgespräche, jeweils als Spanne
• Gehaltsvorstellung als Band, einschließlich der Option, dazu keine Angabe zu machen
• Ob Sie derzeit zwischen zwei Stellen stehen oder angestellt sind und wechseln möchten
• Ob Sie den Job wechseln möchten und ob Sie für Rückfragen kontaktiert werden möchten

Feedback und Support

Wenn Sie uns aus der Anwendung heraus Feedback oder eine Supportanfrage senden, speichern wir:

• Ihre Nachricht und die Angabe, ob Sie sie als Feedback oder als Supportanfrage gekennzeichnet haben
• Die E-Mail-Adresse Ihres Kontos und den Zeitpunkt der Übermittlung

Technische Daten und Nutzungsdaten

Bei der Nutzung von Website und Anwendung fällt automatisch Folgendes an:

• Server-Logdaten unserer Hosting-Anbieter mit IP-Adresse, Datum und Uhrzeit, der angefragten Ressource, dem HTTP-Status und der verweisenden Seite
• Browser- und Geräteinformationen, die Ihr Browser übermittelt
• Anwendungs-Fehlerprotokolle, die technische Fehlermeldungen enthalten und keine Lebenslauf-Inhalte
• Ihre IP-Adresse zur Begrenzung der Anfragerate und zur Missbrauchsabwehr
• Ihr Anmelde-Token, das in Ihrem Browser gespeichert wird (siehe Abschnitt 16)
• Aggregierte Daten der Reichweitenmessung (siehe Abschnitt 16)

4. Woher wir diese Daten erhalten

Direkt von Ihnen: Wenn Sie ein Konto anlegen, einen Lebenslauf hochladen, die freiwillige Kurzbefragung beantworten, einen Bericht kaufen oder uns schreiben.

Automatisch: Über Server-Logs, das technisch notwendige Anmelde-Token und unsere eigene Reichweitenmessung bei der Nutzung des Dienstes.

Von Google oder LinkedIn: Wenn Sie sich für die Anmeldung mit Google oder LinkedIn entscheiden, erhalten wir von dem jeweiligen Anbieter Ihre E-Mail-Adresse und grundlegende Profildaten.

Von unserem Zahlungsdienstleister: Polar meldet uns, wenn ein Bezahlvorgang begonnen wurde, eine Zahlung erfolgreich war, erstattet oder rückbelastet wurde, und übermittelt dabei E-Mail-Adresse, Betrag und Transaktionsreferenz.

5. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO vorliegt:

Wir nutzen Ihren Lebenslauf NICHT für Werbung, nicht für Profilbildung und nicht zum Training von KI-Modellen, und wir verkaufen keine personenbezogenen Daten.

6. KI-Verarbeitung und automatisierte Entscheidungen

Ihr Lebenslauf wird vollständig automatisiert bewertet. Dieser Abschnitt erklärt genau, was dabei passiert, was unsere Systeme verlässt und wie wir das im Hinblick auf Art. 22 DSGVO einordnen.

So läuft die Bewertung ab

Wenn Sie einen Lebenslauf einreichen:

1. Wir prüfen die Datei (PDF, höchstens 5 MB und 3 Seiten) und anhand einer Prüfsumme, ob Sie genau dieses Dokument bereits in derselben Sprache haben bewerten lassen.
2. Der Text wird auf unserem eigenen Server extrahiert. Enthält das PDF keinen maschinenlesbaren Text, läuft auf demselben Server eine Texterkennung (OCR). An beiden Schritten ist kein Dritter beteiligt. Das PDF selbst wird im privaten Speicherbereich Ihres Kontos abgelegt.
3. Der extrahierte Lebenslauf-Text wird zusammen mit unserer Bewertungsanweisung an die Schnittstelle von OpenAI übermittelt. Verwendet wird das Modell gpt-5.6-luna, mit Temperatur 0 und festem Startwert, sodass derselbe Text zu einem weitgehend gleichen Ergebnis führt.
4. Das Ergebnis wird Ihrem Konto zugeordnet gespeichert und Ihnen angezeigt. Der vollständige Bericht wird sichtbar, sobald er freigeschaltet ist.

Was bewertet wird

Das Modell beurteilt das Dokument in acht Kategorien:

• Kontakt & Kopfzeile
• Professionelle Zusammenfassung
• Berufserfahrung
• Ausbildung & Qualifikationen
• Fähigkeiten & Kompetenzen
• Layout & visuelles Design
• Sprache & Kommunikation
• ATS & strategische Positionierung

Wichtige Einschränkungen

• Kein Recruiting-Werkzeug: CV Score ist für Ihre eigene Selbsteinschätzung gebaut. Es ist nicht für Vorauswahl durch Arbeitgeber, Bewerberauswahl oder HR-Prozesse bestimmt.
• Keine Zusagen: Eine hohe Punktzahl garantiert weder Einladungen noch Angebote, und eine niedrige Punktzahl bedeutet nicht, dass Sie ungeeignet sind.
• Nur Dokumentqualität: Bewertet wird die Darstellung des Dokuments, nicht Ihre Qualifikation, Ihre Erfahrung oder Ihre Eignung für eine Stelle.
• Keine Rechts- oder Karriereberatung: Das Ergebnis ist eine Information und keine professionelle Beratung.

Ist das eine automatisierte Entscheidung nach Art. 22 DSGVO?

Die Bewertung entsteht ohne menschliche Beteiligung. Nach unserer Einschätzung handelt es sich dennoch nicht um eine Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt im Sinne von Art. 22 Abs. 1 DSGVO: Sie stoßen die Analyse selbst an, das Ergebnis ist beratend, es wird ausschließlich Ihnen angezeigt, und kein Dritter — insbesondere kein Arbeitgeber und kein Personalvermittler — erhält es oder entscheidet auf seiner Grundlage. Wir geben Ergebnisse nicht an Arbeitgeber, Personalvermittler oder Jobplattformen weiter. Diese Einschätzung ist unsere; sehen Sie das anders, können Sie ihr über die unten genannten Wege widersprechen.

Menschliche Überprüfung

Unabhängig von der vorstehenden Einschätzung gewähren wir Ihnen die Garantien des Art. 22 Abs. 3 DSGVO freiwillig:

• Sie können für jede Bewertung eine Überprüfung durch einen Menschen verlangen, per E-Mail an support@cvscore.net
• Sie können Ihren eigenen Standpunkt darlegen und das Ergebnis anfechten
• Wir beantworten solche Anfragen innerhalb eines Monats

Training von KI-Modellen

Wir nutzen OpenAI über dessen geschäftliche Programmierschnittstelle. Nach den API-Bedingungen von OpenAI werden über diese Schnittstelle übermittelte Inhalte standardmäßig nicht zum Training der Modelle von OpenAI verwendet. Wir selbst verwenden Ihren Lebenslauf, Ihre Ergebnisse und Ihr Feedback nicht, um eigene Modelle zu trainieren.

7. Empfänger Ihrer Daten

Wir geben Daten nur in den folgenden Fällen weiter:

Auftragsverarbeiter: Dienstleister, die Daten ausschließlich nach unseren Weisungen verarbeiten und durch einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gebunden sind. Sie sind in Abschnitt 8 aufgeführt.

Zahlungsdienstleister: Polar wickelt die Zahlung selbst in eigener Verantwortung ab und meldet uns nur das Ergebnis zurück.

Gesetzliche Pflichten: Wir geben Daten heraus, soweit wir dazu gesetzlich verpflichtet sind, etwa gegenüber Gerichten oder Behörden im Rahmen ihrer Befugnisse.

Unternehmensübergang: Werden unser Geschäftsbetrieb oder Teile davon übertragen, können Daten an den Erwerber übergehen. Über eine solche Änderung würden wir Sie vorab informieren.

Wir verkaufen Ihre personenbezogenen Daten nicht. Wir vermieten sie nicht, handeln nicht mit ihnen und stellen sie Dritten nicht für deren eigene Werbezwecke zur Verfügung.

8. Auftragsverarbeiter

Für den Betrieb von CV Score setzen wir die folgenden Dienstleister ein:

Einzelheiten zu jedem Anbieter, zum Weg Ihrer Daten und zu den Garantien, auf die wir uns stützen, finden Sie in unserer Liste der Auftragsverarbeiter.

Wenn wir einen Auftragsverarbeiter ergänzen oder austauschen, aktualisieren wir diese Erklärung und die Liste der Auftragsverarbeiter. Unsere Reichweitenmessung läuft auf eigener Infrastruktur und ist deshalb hier nicht aufgeführt — siehe Abschnitt 16.

9. Übermittlung in Drittländer

Ein Teil unserer Auftragsverarbeiter hat seinen Sitz in den Vereinigten Staaten oder gehört zu einem US-amerikanischen Konzern. Soweit das der Fall ist, werden personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt, für das die Europäische Kommission kein gleichwertiges Schutzniveau festgestellt hat.

Garantien

Für diese Übermittlungen stützen wir uns auf folgende Garantien:

• Standardvertragsklauseln: die von der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO erlassenen Klauseln, die im Rahmen der Auftragsverarbeitungsverträge mit unseren Anbietern vereinbart sind.
• EU-US Data Privacy Framework: Soweit ein Anbieter nach diesem Rahmenwerk zertifiziert ist, greift zusätzlich Art. 45 DSGVO auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission vom 10. Juli 2023.
• Ergänzende Maßnahmen: verschlüsselte Übertragung, auf das Notwendige beschränkte Zugriffe und Datenminimierung — insbesondere übermitteln wir keine Kontokennungen und keine Zahlungsdaten an unseren KI-Anbieter.

Welche Daten wohin gehen

Der Text Ihres Lebenslaufs wird an OpenAI in den USA übermittelt. Kontodaten, Lebenslauf-Dateien und Ergebnisse liegen bei Supabase, einem US-Unternehmen. Zahlungen laufen über Polar, E-Mails über Resend, beides US-Unternehmen. Unser API-Backend läuft auf Servern von Google Cloud in Frankfurt am Main, Google ist jedoch ein US-Konzern. Zusätzlich lädt die Anwendung unter app.cvscore.net ihre Schrift von Google Fonts; Ihr Browser ruft dabei unmittelbar Server der Google LLC auf und übermittelt dorthin Ihre IP-Adresse. Die Seiten unter cvscore.net verwenden selbst gehostete Schriften. Trotz der genannten Garantien bleibt ein Restrisiko, dass Behörden in einem Drittland nach dortigem Recht Zugriff auf Daten verlangen; ausschließen können wir das nicht.

10. Speicherdauer

Wir bewahren Daten so lange auf, wie es für den jeweiligen Zweck erforderlich ist oder wie wir gesetzlich dazu verpflichtet sind. Außer bei Bewertungen, die ohne Konto erstellt wurden, gibt es keine automatische Löschung nach einer festen Frist — wann Ihre Bewertungen verschwinden, entscheiden Sie:

Sie können jede einzelne Bewertung und Ihr gesamtes Konto jederzeit selbst in der Anwendung löschen. Beim Löschen einer Bewertung wird deren Datensatz aus der Datenbank entfernt und die Löschung der zugehörigen PDF-Datei im Speicher angefordert. Beim Löschen Ihres Kontos werden Ihr Konto bei unserem Authentifizierungsdienst und die daran gebundenen Datensätze entfernt — Bewertungen, Ergebnisse, Antworten der Kurzbefragung, Feedback, Guthabenstand und Guthabenbewegungen, Abonnementdaten, Vermerke zu Bezahlvorgängen, das E-Mail-Protokoll und Ihr Einwilligungsstatus. Zahlungsvermerke bleiben ohne Kontobezug so lange erhalten, wie es die oben genannten Aufbewahrungsfristen verlangen. In Sicherungskopien können Restbestände kurzzeitig fortbestehen, bis diese Sicherungen im normalen Turnus überschrieben werden. Wenn Sie sich eine Löschung bestätigen lassen möchten, schreiben Sie an privacy@cvscore.net.

11. Ihre Rechte

Hinsichtlich der personenbezogenen Daten, die wir über Sie verarbeiten, stehen Ihnen die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO): Bestätigung darüber verlangen, ob wir Daten über Sie verarbeiten, und eine Kopie dieser Daten erhalten
• Berichtigung (Art. 16 DSGVO): Unrichtige Daten berichtigen und unvollständige Daten vervollständigen lassen
• Löschung (Art. 17 DSGVO): Löschung Ihrer Daten verlangen, wenn einer der in der DSGVO genannten Gründe vorliegt
• Einschränkung (Art. 18 DSGVO): Statt der Löschung die Einschränkung der Verarbeitung verlangen
• Datenübertragbarkeit (Art. 20 DSGVO): Die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten
• Widerspruch (Art. 21 DSGVO): Aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit der Verarbeitung auf Grundlage unserer berechtigten Interessen widersprechen
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — auch die Einwilligung in Werbe-E-Mails, über den Abmeldelink in jeder solchen E-Mail oder in Ihren Kontoeinstellungen

Bewertungen und Ihr gesamtes Konto können Sie jederzeit selbst in der Anwendung löschen. Für alles Weitere schreiben Sie an privacy@cvscore.net. Wir antworten innerhalb eines Monats; bei komplexen Anfragen kann sich diese Frist um bis zu zwei weitere Monate verlängern, worüber wir Sie dann informieren.

12. Beschwerde und Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass wir Ihre Daten unrechtmäßig verarbeiten, können Sie sich bei einer Aufsichtsbehörde beschweren — unbeschadet anderer Rechtsbehelfe.

• Für uns zuständige Behörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf
• Ihre örtliche Behörde: Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes wenden
• Recht auf Erläuterung: Sie können von uns eine Erläuterung der Logik hinter der automatisierten Bewertung verlangen (siehe Abschnitt 6)
• Gerichtlicher Rechtsbehelf: Ihr Recht auf einen wirksamen gerichtlichen Rechtsbehelf nach Art. 79 DSGVO bleibt unberührt

Die für uns zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, weil unser Sitz in Frechen in Nordrhein-Westfalen liegt.

Anfragen nach der DSGVO beantworten wir innerhalb eines Monats. Diese Frist kann sich bei Bedarf um zwei weitere Monate verlängern, wenn Komplexität und Anzahl der Anfragen dies erfordern; über eine Verlängerung informieren wir Sie.

13. Datenschutzrechte in Kalifornien (CCPA/CPRA)

Wenn Sie in Kalifornien ansässig sind, stehen Ihnen besondere Rechte nach dem California Consumer Privacy Act in der Fassung des California Privacy Rights Act zu:

Kategorien personenbezogener Informationen

In den letzten 12 Monaten haben wir folgende Kategorien erhoben:

• Kennungen: E-Mail-Adresse, IP-Adresse, Kontokennung
• Berufsbezogene Informationen: der Inhalt Ihres Lebenslaufs
• Kommerzielle Informationen: Käufe und Zahlungsvermerke
• Internetaktivität: aggregierte Nutzung unserer Seiten und der Anwendung

Ihre Rechte in Kalifornien

• Recht auf Kenntnis: Offenlegung der Kategorien und der konkreten personenbezogenen Informationen verlangen, die wir erhoben haben
• Recht auf Löschung: Löschung Ihrer personenbezogenen Informationen verlangen, vorbehaltlich gesetzlicher Ausnahmen
• Recht auf Berichtigung: Berichtigung unrichtiger personenbezogener Informationen verlangen
• Recht auf Widerspruch gegen Verkauf: Dem Verkauf oder der Weitergabe personenbezogener Informationen widersprechen — wir verkaufen und teilen sie nicht
• Recht auf Beschränkung sensibler Daten: Die Nutzung sensibler personenbezogener Informationen beschränken — wir nutzen sie ausschließlich zur Erbringung des Dienstes
• Recht auf Nichtdiskriminierung: Wegen der Ausübung Ihrer Datenschutzrechte nicht benachteiligt zu werden

Automatisierte Entscheidungstechnologie (ADMT)

Unsere Bewertung entsteht durch automatisierte Verarbeitung. Daher gilt:

• Sie haben Anspruch auf Informationen darüber, wie die Bewertung funktioniert (siehe Abschnitt 6)
• Sie können für jede Bewertung eine Überprüfung durch einen Menschen verlangen
• Sie können automatisierte Verarbeitung vollständig vermeiden, indem Sie keinen Lebenslauf einreichen

Zum Schutz Ihrer Daten müssen wir vor der Beantwortung einer Anfrage möglicherweise Ihre Identität prüfen. Dafür verwenden wir die mit Ihrem Konto verknüpfte E-Mail-Adresse.

Zur Ausübung Ihrer kalifornischen Rechte schreiben Sie an privacy@cvscore.net mit dem Betreff „CCPA Request“. Wir antworten innerhalb von 45 Tagen.

Sie können eine bevollmächtigte Person mit der Anfrage beauftragen. Wir können einen Nachweis dieser Bevollmächtigung verlangen.

14. Datenschutzrechte im Vereinigten Königreich (UK GDPR)

Wenn Sie sich im Vereinigten Königreich befinden, stehen Ihnen Rechte nach der UK General Data Protection Regulation und dem Data Protection Act 2018 zu:

Ihre Rechte entsprechen weitgehend denen der EU-DSGVO aus den Abschnitten 11 und 12: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie die Garantien rund um automatisierte Entscheidungen.

Sie können sich beim Information Commissioner's Office (ICO) unter ico.org.uk beschweren. Bitte beachten Sie, dass wir unseren Sitz in Deutschland haben und die für uns zuständige Aufsichtsbehörde daher die in Abschnitt 12 genannte ist.

Hinweis: Der UK Data (Use and Access) Act 2025 hat Teile des britischen Datenschutzrechts geändert. Wir aktualisieren diese Erklärung, sobald die zugehörigen Auslegungshinweise veröffentlicht sind.

15. Weitere Rechtsordnungen

Für Anfragen nach einem dieser Gesetze schreiben Sie an privacy@cvscore.net und nennen Sie uns Ihren Aufenthaltsort.

16. Cookies, lokale Speicherung und Reichweitenmessung

Was auf Ihrem Gerät gespeichert wird, halten wir auf das beschränkt, was der Dienst zum Funktionieren braucht:

Technisch notwendige Speicherung

• Anmelde-Token (sb-…-auth-token): Nach der Anmeldung wird Ihr Sitzungstoken im lokalen Speicher Ihres Browsers abgelegt, damit Sie zwischen Seitenaufrufen angemeldet bleiben. Ohne dieses Token ist die Anwendung nicht nutzbar. Rechtsgrundlage: § 25 Abs. 2 TDDDG, weil diese Speicherung unbedingt erforderlich ist, um den von Ihnen gewünschten Dienst bereitzustellen.

Reichweitenmessung mit Rybbit

Für eine grobe Auswertung der Nutzung unserer Seiten und der Anwendung verwenden wir Rybbit. Die Software läuft auf einem von uns selbst betriebenen Server; es werden keine Daten an Dritte weitergegeben, und es handelt sich um kein Werbenetzwerk. Rybbit setzt keine Cookies, legt aber eine zufällig erzeugte Kennung im lokalen Speicher Ihres Browsers ab, mit der wir innerhalb desselben Browsers wiederkehrende von neuen Besuchen unterscheiden. Erfasst werden aufgerufene Seiten, die verweisende Seite, die ungefähre Herkunftsregion, Geräte- und Browsertyp sowie einzelne Interaktionen — in der Anwendung zusätzlich Ereignisse wie ein abgeschlossener Upload oder eine Freischaltung, teilweise mit technischen Angaben wie der Kennung einer Bewertung oder einer Punktzahl. Die Kennung können Sie jederzeit löschen oder blockieren; wie das geht, steht in unserer Cookie-Richtlinie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer datensparsamen Statistik.

Rybbit erfasst diese freiwilligen Angaben auch bei der Auswahl einer Antwort, beim Verlassen des Positionsfeldes (auch nach Änderungen), beim Übermitteln des Kontexts und beim Analysestart. Leere oder übersprungene Werte werden weggelassen. Eine Analyse ohne Angaben übermittelt keinen Kontext für diese Analyse, macht aber bereits erfasste Interaktionen nicht rückgängig. Bei bestätigten Käufen und Freischaltungen mit Bezug zu einer Bewertung lesen wir deren gespeicherten Kontext über eine autorisierte API erneut aus und ergänzen ihn in den Bestätigungsereignissen. Bei Käufen ohne Bewertung wird kein Kontext abgeleitet.

Wir nutzen diese Angaben zur Auswertung von Zielgruppen und Produktinteraktionen, einschließlich der Frage, welche Zielgruppen kaufen, um Produkt und Nutzererlebnis zu verbessern. Diese Erweiterung fügt keine Browserspeicherung oder Aufrufe zur Nutzeridentifizierung hinzu. Namen, E-Mail-Adressen, Lebenslaufinhalte und Antworten auf spätere Fragebögen werden diesen Ereignissen nicht gezielt hinzugefügt. Das Positionsfeld kann jedoch von Ihnen eingegebene personenbezogene Informationen enthalten: Die Ereignisse sind nicht zwingend anonym. Bitte geben Sie nur eine Berufsbezeichnung ohne Namen, Kontaktdaten oder sensible Informationen ein.

Was wir nicht einsetzen

• Keine Werbe-Cookies, kein Retargeting, keine Werbenetzwerke
• Keine Analysedienste Dritter wie Google Analytics
• Keine Social-Media-Plugins und keine Zählpixel
• Keine Sitzungsaufzeichnung und keine Mausverfolgung
• Keine websiteübergreifende Verfolgung Ihres Verhaltens

Speicherung durch Dritte

Wenn Sie sich mit Google anmelden, kann Google auf seinen eigenen Domains Daten speichern. Wenn Sie einen Kauf tätigen, kann Polar dasselbe auf seinen Bezahlseiten tun; für Rechnungen und die Verwaltung eines Abonnements leiten wir Sie ebenfalls zu Polar weiter. Die Anwendung unter app.cvscore.net lädt ihre Schrift zudem von Google Fonts; Ihr Browser ruft dabei Server der Google LLC auf und übermittelt dorthin Ihre IP-Adresse. Die Seiten unter cvscore.net verwenden selbst gehostete Schriften. Nutzen Sie die Teilen-Funktion, enthält der erzeugte Link nichts als Ihre Punktzahl; auf der Plattform, auf der Sie ihn veröffentlichen, gelten deren eigene Regeln. Für all diese Vorgänge gelten die Datenschutzerklärungen der jeweiligen Anbieter, nicht unsere.

Lokal gespeicherte Daten können Sie jederzeit über die Einstellungen Ihres Browsers löschen. Löschen Sie das Anmelde-Token, werden Sie abgemeldet und müssen sich erneut anmelden.

Weitere Einzelheiten finden Sie in unserer Cookie-Richtlinie.

17. Sicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten:

• Der gesamte Datenverkehr zwischen Ihrem Browser, unserer Website, der Anwendung und unserer Schnittstelle wird während der Übertragung verschlüsselt (HTTPS/TLS)
• Hochgeladene Lebenslauf-Dateien liegen in einem privaten, nach Nutzern getrennten Speicherbereich und sind nicht öffentlich abrufbar
• Bewertungen und Ergebnisse sind ausschließlich über unsere authentifizierte Schnittstelle abrufbar; der direkte Datenbankzugriff ist durch zeilenbasierte Zugriffsbeschränkungen begrenzt
• Jeder Endpunkt, der personenbezogene Daten verarbeitet, verlangt ein gültiges Anmelde-Token; Anfragen ohne ein solches werden abgewiesen
• Passwörter werden ausschließlich als kryptografische Hashes gespeichert; alternativ steht die Anmeldung mit Google oder LinkedIn zur Verfügung
• Begrenzung der Anfragerate bei Uploads, bei der Kontolöschung und an anderen sensiblen Endpunkten, um automatisierten Missbrauch teuer zu machen
• Die Schnittstelle darf nur von unseren eigenen Domains aus aufgerufen werden (CORS-Freigabeliste)
• Uploads werden vor der Verarbeitung nach Dateityp, Größe und Seitenzahl beschränkt
• Meldungen unseres Zahlungsdienstleisters nehmen wir nur mit gültiger kryptografischer Signatur an
• Abmeldelinks in unseren E-Mails sind kryptografisch signiert, sodass niemand eine fremde Adresse abmelden kann
• Zugangsdaten werden der Laufzeitumgebung als Umgebungsvariablen übergeben und sind nicht Teil unseres Quellcodes

Keine Übertragung über das Internet und keine Form der Speicherung ist vollständig sicher. Eine absolute Sicherheit können wir daher nicht garantieren.

Wenn Sie eine Sicherheitslücke finden, melden Sie sie uns bitte unter security@cvscore.net, bevor Sie sie veröffentlichen.

18. Minderjährige

Der Dienst richtet sich nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren.

Erfahren wir, dass wir Daten eines Kindes unter 16 Jahren erhalten haben, löschen wir diese unverzüglich. Wenn Sie vermuten, dass dies geschehen ist, wenden Sie sich bitte an privacy@cvscore.net.

19. Datenschutzverletzungen

Im Fall einer Verletzung des Schutzes personenbezogener Daten gilt:

• Wir melden den Vorfall der zuständigen Aufsichtsbehörde binnen 72 Stunden, nachdem er uns bekannt wurde, es sei denn, ein Risiko für Ihre Rechte und Freiheiten ist unwahrscheinlich (Art. 33 DSGVO)
• Wir benachrichtigen betroffene Personen unverzüglich, wenn voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten besteht (Art. 34 DSGVO)
• Wir dokumentieren jeden Vorfall, seine Auswirkungen und die ergriffenen Maßnahmen
• Wir halten Verfahren vor, um Vorfälle zu erkennen, zu untersuchen und zu beheben

Wenn Sie vermuten, dass Ihre Daten betroffen sein könnten, wenden Sie sich bitte umgehend an security@cvscore.net.

20. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich unsere Verarbeitungen ändern. Über wesentliche Änderungen informieren wir Sie:

• Durch Veröffentlichung der aktualisierten Fassung auf dieser Seite mit neuem Datum
• Per E-Mail an registrierte Nutzer, wenn die Änderung erheblich ist
• Durch einen Hinweis innerhalb des Dienstes

Wir empfehlen, diese Seite gelegentlich erneut zu lesen. Maßgeblich ist stets die hier veröffentlichte Fassung.

Berührt eine Änderung Ihre Rechte oder die Art der Datennutzung wesentlich, kündigen wir sie mindestens 30 Tage vor Wirksamwerden an.

21. Kontakt

Bei Fragen, Anliegen oder Beschwerden zum Datenschutz erreichen Sie uns hier:

Allgemeine Anfragen beantworten wir in der Regel innerhalb von fünf Werktagen, Anfragen nach der DSGVO innerhalb eines Monats.