Liste der Auftragsverarbeiter

Über diese Liste

CV Score wird betrieben von der The CodeCave GmbH, Alfred-Nobel-Straße 29, 50226 Frechen, Deutschland. Für den Betrieb des Dienstes setzen wir eine überschaubare Zahl von Dienstleistern ein, die personenbezogene Daten in unserem Auftrag verarbeiten. Diese Seite nennt sie alle, damit Sie schon vor dem Hochladen wissen, wer beteiligt ist.

Jeder dieser Anbieter ist Auftragsverarbeiter nach Art. 28 DSGVO und dabei verpflichtet:

Daten nur nach unseren dokumentierten Weisungen und nur zum genannten Zweck zu verarbeiten
Angemessene technische und organisatorische Sicherheitsmaßnahmen zu treffen
Sein Personal zur Vertraulichkeit zu verpflichten
Unterauftragnehmer nur unter gleichwertigen Pflichten einzusetzen
Die Daten nach Ende der Zusammenarbeit zu löschen oder zurückzugeben

Aktuelle Auftragsverarbeiter

OpenAI

USA

Zweck

KI-Bewertung Ihres Lebenslaufs

Verarbeitete Daten

Der aus Ihrem Lebenslauf extrahierte Text einschließlich der darin enthaltenen personenbezogenen Daten wie Name und Kontaktdaten. Keine Kontokennung, keine Anmelde-E-Mail-Adresse, keine Zahlungsdaten.

Garantien

EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO

Verwendet wird das Modell gpt-4o-mini über die geschäftliche Programmierschnittstelle. Nach den API-Bedingungen von OpenAI werden so übermittelte Inhalte standardmäßig nicht zum Training der Modelle von OpenAI genutzt.

Datenschutzerklärung ansehen →

Supabase

USA

Zweck

Authentifizierung, Datenbank und Speicherung der hochgeladenen Lebenslauf-Dateien

Verarbeitete Daten

Kontodaten (E-Mail-Adresse, Passwort-Hash, Nutzerkennung), Lebenslauf-Dateien, Bewertungsergebnisse, Zahlungsvermerke, Antworten der Kurzbefragung, Feedback-Nachrichten

Garantien

EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO

Lebenslauf-Dateien liegen in einem privaten, nach Nutzern getrennten Speicherbereich und sind nicht öffentlich abrufbar. Der Datenbankzugriff ist durch zeilenbasierte Zugriffsbeschränkung begrenzt.

Datenschutzerklärung ansehen →

Google Cloud

Server in Frankfurt am Main, Deutschland (europe-west3)

Zweck

Hosting unseres API-Backends und der zeitgesteuerten Aufgaben, die unsere E-Mails auslösen

Verarbeitete Daten

Alle Daten, die das Backend während einer Anfrage verarbeitet, einschließlich des Lebenslauf-Textes während der Extraktion, sowie Server-Logs

Garantien

EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO

Die von uns genutzten Server stehen in Deutschland. Google gehört gleichwohl zu einem US-Konzern, sodass ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann.

Datenschutzerklärung ansehen →

Netlify

USA

Zweck

Auslieferung der Web-Anwendung unter app.cvscore.net

Verarbeitete Daten

IP-Adresse, Browser- und Anfragedaten in Server-Logs

Garantien

EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO

Netlify liefert lediglich die Anwendungsdateien an Ihren Browser aus. Lebenslauf-Dateien und Bewertungsergebnisse werden dort nicht gespeichert.

Datenschutzerklärung ansehen →

Railway

USA

Zweck

Auslieferung der Website unter cvscore.net

Verarbeitete Daten

IP-Adresse, Browser- und Anfragedaten in Server-Logs

Garantien

EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO

Betrifft ausschließlich die öffentlichen Informationsseiten. Kontodaten und Lebensläufe werden hier nicht verarbeitet.

Datenschutzerklärung ansehen →

Polar

USA

Zweck

Zahlungsabwicklung, Steuerermittlung und Rechnungsstellung

Verarbeitete Daten

E-Mail-Adresse, Zahlungsmittel- und Rechnungsangaben, Betrag, Währung, Transaktionsdaten

Garantien

EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO

Kartendaten werden auf den Seiten von Polar eingegeben und erreichen uns nie. Wir erhalten nur die E-Mail-Adresse, den Betrag, den Status und eine Transaktionsreferenz.

Datenschutzerklärung ansehen →

Resend

USA

Zweck

Versand unserer Transaktions- und Werbe-E-Mails

Verarbeitete Daten

E-Mail-Adresse des Empfängers, Betreff und Inhalt der Nachricht

Garantien

EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO

Werbe-E-Mails versenden wir nur mit Ihrer Einwilligung und stets mit einem Ein-Klick-Abmeldelink.

Datenschutzerklärung ansehen →

Hinweise zur Infrastruktur

Zwei Punkte, die man beim Lesen der Tabelle oben leicht übersieht:

Anbieter	Genutzt von	Zweck	Einordnung
Rybbit	Kein Auftragsverarbeiter	Reichweitenmessung für unsere Seiten und die Anwendung — keine Cookies, eine Kennung im lokalen Speicher, keine Weitergabe an Dritte	Selbst betrieben, daher nicht als Auftragsverarbeiter gelistet
Anmeldung mit Google	Nur wenn Sie sie wählen	Optionale Anmeldung; Google übermittelt uns dann Ihre E-Mail-Adresse und grundlegende Profildaten und ist für die eigene Verarbeitung selbst verantwortlich	Es gilt die Datenschutzerklärung von Google
Google Fonts	Nur die Anwendung	Die Schrift von app.cvscore.net wird von Servern von Google geladen; dabei gelangt Ihre IP-Adresse zu Google. Die Seiten unter cvscore.net verwenden selbst gehostete Schriften.	Es gilt die Datenschutzerklärung von Google

Der Weg Ihrer Daten

Was zwischen dem Upload und dem fertigen Bericht passiert:

Sie laden einen Lebenslauf hoch

Daten: PDF-Datei, höchstens 5 MB und 3 SeitenAn: Privater Speicherbereich bei Supabase

Ihrem Konto zugeordnet, nicht öffentlich abrufbar

Der Text wird extrahiert

Daten: Text Ihres LebenslaufsAn: Unser eigenes Backend auf Google Cloud in Frankfurt

Extraktion und, bei eingescannten PDFs, Texterkennung laufen auf unserem Server — ohne Beteiligung Dritter

Die KI-Bewertung läuft

Daten: Der vollständige Lebenslauf-Text einschließlich der darin enthaltenen personenbezogenen DatenAn: OpenAI-Schnittstelle (gpt-4o-mini), USA

Kontokennung, Anmelde-E-Mail-Adresse und Zahlungsdaten werden nicht übermittelt

Das Ergebnis wird gespeichert

Daten: Punktzahlen, Feststellungen, Stärken und VerbesserungspunkteAn: Datenbank bei Supabase

Ihrem Konto zugeordnet, bis Sie es löschen

Sie werden benachrichtigt

Daten: Ihre E-Mail-Adresse und die Benachrichtigung selbstAn: Resend, USA

Transaktionsnachricht mit dem Hinweis, dass der Bericht fertig ist

Garantien für Übermittlungen in Drittländer

Mehrere der oben genannten Anbieter haben ihren Sitz in den Vereinigten Staaten oder gehören zu einem US-Konzern. Für diese Übermittlungen stützen wir uns auf:

EU-Standardvertragsklauseln

Die von der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO erlassenen Klauseln, vereinbart als Teil der Auftragsverarbeitungsverträge mit unseren Anbietern.

Gilt für: Alle Anbieter außerhalb des EWR

EU-US Data Privacy Framework

Soweit ein Anbieter nach diesem Rahmenwerk zertifiziert ist, greift zusätzlich der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023.

Gilt für: Zertifizierte US-Anbieter

Ergänzende Maßnahmen

Verschlüsselte Übertragung, auf das Notwendige beschränkte Zugriffe und Datenminimierung — insbesondere werden keine Kontokennungen und keine Zahlungsdaten an unseren KI-Anbieter übermittelt.

Gilt für: Alle Anbieter

Trotz dieser Garantien bleibt ein Restrisiko, dass Behörden in einem Drittland nach dortigem Recht Zugriff auf Daten verlangen. Ausschließen können wir das nicht, und wir sagen das lieber, als das Gegenteil anzudeuten.

Änderungen an dieser Liste

Von Zeit zu Zeit ergänzen oder ersetzen wir Auftragsverarbeiter. Wenn das geschieht:

Aktualisieren wir diese Liste und den entsprechenden Abschnitt unserer Datenschutzerklärung
Aktualisieren wir das Datum am Kopf dieser Seite
Informieren wir Geschäftskunden mit eigenem Auftragsverarbeitungsvertrag so, wie es dort vereinbart ist

Wenn Sie Bedenken gegen einen dieser Anbieter haben, schreiben Sie an privacy@cvscore.net.

Fragen

Bei Fragen zu unseren Auftragsverarbeitern oder zum Umgang mit Ihren Daten erreichen Sie uns unter privacy@cvscore.net