Datenschutzerklärung

1. Verantwortlicher

Bernhard Götzendorfer, Einzelunternehmen (nicht im Firmenbuch eingetragen), Rittingergasse 15/11, 1210 Wien, Österreich, hallo@bewerbungsgenie.at

2. Welche Daten wir verarbeiten

Kontodaten (E-Mail), Profildaten, die du selbst einträgst oder importierst (Berufserfahrung, Ausbildung, Kenntnisse; optional Foto und Geburtsdatum), hochgeladene Dokumente, erzeugte Dokumente, Nutzungsdaten.

Foto und Geburtsdatum sind optional-by-default und werden nur auf ausdrückliche Auswahl in ein Template übernommen.

Nutzt du das Fotostudio, verarbeiten wir außerdem deine hochgeladenen Referenzfotos, die daraus erzeugten KI-Bewerbungsfotos sowie Zähler-Daten dazu, wie viele Fotos du erzeugen kannst (Anzahl, Grund, Stripe-Ereignis-ID, keine Bildinhalte).

Nutzt du den Bewerbungs-Tracker unter „Verwalten“, speichern wir, was du dort einträgst: Firma, Stelle, Link zur Anzeige, Status samt Verlauf, Bewerbungsdatum, nächsten Schritt mit Frist, Notizen, Absagegrund und, wenn du sie für den AMS-Nachweis ausfüllst, woher die Stelleninfo kam, wie du dich beworben hast und eine Kontaktperson. Zweck ist, dass du deine Bewerbungen im Blick behältst und daraus deine Liste fürs AMS erstellen kannst; Rechtsgrundlage für deine eigenen Angaben ist die Erfüllung des Nutzungsvertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO). Die Kontaktperson ist eine Angabe über eine andere Person, die du selbst einträgst; sie verarbeiten wir aufgrund des berechtigten Interesses, deine Bewerbungen nachvollziehbar zu dokumentieren und dem AMS nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen diese Angaben mit deinem Konto; über Einstellungen → Datenschutz → Meine Daten exportieren bekommst du sie jederzeit als Datei.

3. Zwecke und Rechtsgrundlagen

Konto, Profil, Stellensuche, Dokumentenerstellung und Zahlungsabwicklung: zur Erfüllung des Nutzungsvertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Fotostudio: Lädst du eigene Referenzfotos hoch, um daraus ein KI-Bewerbungsfoto erstellen zu lassen, verarbeiten wir sie zur Erfüllung deines Nutzungsauftrags (Art. 6 Abs. 1 lit. b DSGVO). Vor dem ersten Upload zeigen wir dir dazu eigene, gesondert zu bestätigende Hinweise.

Sicherheit, Betrugsprävention und Fehlerdiagnose (Sentry): aufgrund unseres berechtigten Interesses an einem funktionierenden und sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Anfragen per E-Mail, etwa an hallo@bewerbungsgenie.at: Geht es um deinen Vertrag oder einen Kauf, verarbeiten wir deine Mail zur Erfüllung des Vertrags oder zur Beantwortung vorvertraglicher Fragen (Art. 6 Abs. 1 lit. b DSGVO). Anfragen zu deinen Rechten (Art. 15–21 DSGVO) verarbeiten wir zur Erfüllung unserer Pflichten aus Art. 12 ff. DSGVO (Art. 6 Abs. 1 lit. c DSGVO), alle anderen Anfragen aufgrund unseres berechtigten Interesses, dir zu antworten (Art. 6 Abs. 1 lit. f DSGVO). Beim Sortieren eingehender Mails hilft uns eine KI (siehe Punkt 4 und 5). Das Sortieren mit KI-Hilfe stützen wir auf unser berechtigtes Interesse, Anfragen rasch zuzuordnen (Art. 6 Abs. 1 lit. f DSGVO); du kannst dem widersprechen (Art. 21 DSGVO). Die KI ordnet deine Mail nur zu; wir lesen und beantworten sie selbst. Bitte schick uns keine Gesundheitsdaten oder anderen besonders sensiblen Angaben, soweit du sie für deine Anfrage nicht brauchst.

Produkt-Analyse (PostHog, nur nach Zustimmung im Cookie-Banner): auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst.

Rechnungslegung und steuerliche Aufbewahrungspflichten: zur Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 132 BAO).

4. KI-Verarbeitung

Zur Extraktion, zum Matching, zur Texterstellung, für „Genie fragen“ (Beratungs-Dialog) und den Interview-Coach werden Profil- und Stellendaten an Google LLC (Gemini API) übermittelt. Grundlage ist der Auftragsverarbeitungsvertrag von Google (Cloud Data Processing Addendum); die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO). Wir nutzen die bezahlte API-Stufe: deine Daten werden nicht zum Training von Modellen verwendet; Google bewahrt Eingaben und Antworten bis zu 55 Tage auf, nur um Missbrauch zu erkennen, und gibt sie heraus, wo ein Gesetz es verlangt. Ergebnisse sind Vorschläge; die Belegprüfung zeigt Belege und sperrt unbelegte Aussagen.

Nutzt du das Fotostudio, übermitteln wir zusätzlich deine hochgeladenen Referenzfotos an Google LLC (Gemini API), um daraus ein KI-generiertes Bewerbungsfoto zu erstellen, auf derselben vertraglichen Grundlage wie oben (bezahlte API-Stufe, kein Training). Jedes erzeugte Bild trägt im Bild selbst das Kennzeichen „KI-generiert" und ein unsichtbares, maschinenlesbares Wasserzeichen des Anbieters; in der App steht darunter der Hinweis „KI-generiert · Schau genau, ob es dir wirklich ähnlich sieht." (Art. 50 Abs. 2 der KI-Verordnung).

Automatisierte Entscheidungen: Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung statt (Art. 22 Abs. 1 DSGVO). Die Bewertung der Passung ordnet Stellenanzeigen für dich; sie entscheidet nicht über dich. Auch die KI, die uns beim Sortieren eingehender Mails hilft, entscheidet nicht über dich: Deine Mail lesen und beantworten wir selbst.

5. Empfänger:innen und Auftragsverarbeiter

Wir geben deine Daten an Dienstleister weiter, die sie in unserem Auftrag verarbeiten (Art. 28 DSGVO); mit ihnen bestehen Auftragsverarbeitungsverträge, Kopien stellen wir dir auf Anfrage zur Verfügung. Für die KI-gestützte Sortierung eingehender Mails nutzen wir außerdem einen KI-Dienst, für den die Datenschutz- und Datenverarbeitungsbedingungen des Anbieters gelten (siehe unten).

Stützen wir eine Übermittlung in ein Land außerhalb der EU oder des EWR auf Standardvertragsklauseln (Art. 46 DSGVO), stellen wir dir auch eine Kopie dieser Garantien auf Anfrage zur Verfügung (Art. 13 Abs. 1 lit. f DSGVO); schreib dazu an hallo@bewerbungsgenie.at.

Google LLC (USA). KI-Verarbeitung über die Gemini API (siehe Punkt 4): Profil- und Stellendaten, Chat-Nachrichten sowie, wenn du das Fotostudio nutzt, deine Referenzfotos und die daraus erzeugten Bewerbungsfotos. Übermittlung auf Basis des EU-US Data Privacy Framework. Wenn du den Interview-Coach nutzt, wird dein Mikrofon-Audio während des Gesprächs live an Google übertragen; wir speichern dann ausschließlich das Transkript, keine Audioaufnahme, weisen dich vor Beginn des Gesprächs darauf hin, dass du mit einer KI sprichst (Art. 50 der KI-Verordnung). Das Transkript löschen wir automatisch, sobald die Aufbewahrungsfrist abgelaufen ist (siehe Punkt 6), oder sofort, wenn du das Transkript in der App oder dein Konto löschst. Übst du schriftlich, gibt es kein Audio: Deine getippten Antworten gehen zur Auswertung an Google, und wir speichern Fragen und Antworten wie ein Transkript, mit derselben Aufbewahrungsfrist und derselben Löschung.

Supabase Inc.: Datenbank, Login und Datei-Speicher (Profil, Dokumente, Fotos). Serverstandort Frankfurt (EU).

Vercel Inc. (USA): Hosting der Anwendung mit Serverstandort Frankfurt, cookielose Web-Analytics und Ladezeit-Messung. Übermittlung auf Basis des EU-US Data Privacy Framework und Standardvertragsklauseln.

Stripe Payments Europe Ltd. (Irland). Zahlungsabwicklung: Name, E-Mail, Rechnungsadresse, Zahlungsdaten. Übermittlung an Stripe Inc. (USA) auf Basis des EU-US Data Privacy Framework.

Resend (Plus Five Five, Inc., USA): Versand von Transaktions-E-Mails wie Login-Links und Bestätigungen, Serverstandort EU (Irland).

Google Cloud EMEA Limited (Irland): Postfach (Google Workspace) für E-Mails, die du uns schreibst, etwa an hallo@bewerbungsgenie.at, mit deiner Adresse und dem Inhalt deiner Nachricht. Übermittlung an Google LLC (USA) auf Basis des EU-US Data Privacy Framework und von Standardvertragsklauseln.

Anbieter von KI-Diensten, die uns beim Sortieren eingehender Mails helfen: deine Adresse und der Inhalt deiner Nachricht, damit die Mail richtig eingeordnet wird. Für diese Verarbeitung gelten die Datenschutz- und Datenverarbeitungsbedingungen des jeweiligen Anbieters. Sitzt ein solcher Anbieter außerhalb der EU oder des EWR, gelten für die Übermittlung die Regelungen in den Bedingungen des Anbieters.

Functional Software Inc. (Sentry, USA): Fehlerdiagnose mit Serverstandort Frankfurt (EU). Personenbezogene Daten und Lebenslauf-Inhalte werden vor der Übermittlung entfernt.

Hetzner Online GmbH (Deutschland): Domain-Registrierung und DNS für bewerbungsgenie.at; ein interner, nicht öffentlich erreichbarer Dienst auf derselben Infrastruktur ruft auf deinen Wunsch einzelne Stellenanzeigen ab, wenn du eine Anzeige per Link einfügst und der direkte Abruf scheitert, verarbeitet dabei aber keine Daten von Nutzer:innen.

PostHog Inc. (USA, EU-Cloud mit Serverstandort Frankfurt): Produkt-Analyse ausschließlich nach deiner Zustimmung im Cookie-Banner (siehe Punkt 8), Übermittlung auf Basis von Standardvertragsklauseln.

Hetzner Online GmbH (Deutschland), zweiter Zweck: Auf einem Server in Falkenstein läuft unsere PDF-Erzeugung (Gotenberg), die wir selbst betreiben — gemeinsam mit unserer Schwesteranwendung BuchhaltGenie. Sie wandelt deinen Lebenslauf und dein Anschreiben in eine PDF-Datei um und erhält dafür den vollständigen Dokumentinhalt. Die Daten bleiben dabei in der EU; Hetzner stellt nur den Server bereit.

Upstash Inc. (USA, Datenbank mit Serverstandort Frankfurt): Zwischenspeicher für die Missbrauchsbremse: Wir zählen dort, wie viele Anfragen von einem Gerät oder von deinem Konto kommen, damit niemand unsere Anmeldung oder die Dokumenterstellung überlastet. Deine IP-Adresse selbst geben wir dabei nicht weiter: Sie wird vorher mit einem geheimen Zusatzwert in eine 16-stellige Zeichenfolge umgerechnet, aus der sie sich nicht zurückgewinnen lässt. Bist du angemeldet, zählen wir stattdessen über deine Konto-Kennung. Für die Eingangsbestätigung der Widerrufsfunktion zählen wir je Empfängeradresse, wie viele Bestätigungen wir verschicken; dafür liegt bei Upstash nur ein nicht rückrechenbarer HMAC-Hashwert der Adresse, nie die Adresse selbst. Beim Interview-Coach im Sprachmodus zählen und prüfen wir Wiederverbindungen je Übungsgespräch über eine zufällige Kennung. Gespeichert werden nur diese Zähler und Marken mit kurzer Laufzeit, keine Profildaten, keine Dokumente und keine E-Mail-Adressen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Änderungen an dieser Liste kündigen wir dir vorab per E-Mail und in der App an; du kannst ihnen widersprechen. Stand dieser Liste: 10.10.2026.

6. Speicherdauer

Löschst du dein Konto, entfernen wir alle mit dir verknüpften Daten vollständig, Profil, Dokumente, Bewerbungen und Fotos im Storage eingeschlossen, ausgenommen die gesetzlich vorgeschriebenen Aufbewahrungen unten. Die technische Löschkaskade ist in unserem Löschkonzept dokumentiert.

Stellenanzeigen aus unserer Datenbank löschen wir spätestens 90 Tage, nachdem sie zuletzt aktiv abgerufen wurden, außer sie sind Teil deiner gemerkten Treffer oder einer laufenden Bewerbung.

Die Original-Datei eines CV-Imports löschen wir 30 Tage, nachdem du die übernommenen Daten bestätigt hast; deine Bestätigung vor der ersten Mail-Datei (.eml) speichern wir mit Zeitpunkt, solange dein Konto besteht.

Deine hochgeladenen Referenzfotos aus dem Fotostudio löschen wir automatisch nach 30 Tagen. Die daraus erzeugten Bewerbungsfotos bleiben bestehen, bis du dein Konto löschst.

Transkripte aus dem Interview-Coach löschen wir spätestens 90 Tage, nachdem das Gespräch beendet wurde. Brichst du ein Gespräch ab, ohne es zu beenden — etwa indem du den Tab schließt — werten wir es 24 Stunden nach seinem Beginn als beendet; die Frist läuft dann ab diesem Zeitpunkt. Die Ausnahme: Hängt zu diesem Zeitpunkt noch eine deiner eigenen offenen Bewerbungen an derselben Stelle, bleibt das Transkript bestehen, bis diese Bewerbung abgeschlossen ist oder du das Transkript in der App oder dein Konto löschst.

Rechnungen und Zahlungsprotokolle bewahren wir 7 Jahre ab Ende des Kalenderjahres auf, länger, solange sie für ein anhängiges Verfahren von Bedeutung sind (§ 132 BAO); danach löschen oder anonymisieren wir sie.

Mails, die du uns schreibst, etwa an hallo@bewerbungsgenie.at, löschen wir 12 Monate nach der letzten Nachricht der Unterhaltung. Anfragen zu deinen Rechten (Art. 15–21 DSGVO) und unsere Antworten darauf löschen wir erst 3 Jahre nach der letzten Nachricht: So lange ist eine Beschwerde bei der Datenschutzbehörde längstens möglich (§ 24 Abs. 4 DSG), und so lange müssen wir nachweisen können, dass wir deine Anfrage erledigt haben (Art. 5 Abs. 2 DSGVO). Ist eine Mail für die Abgabenerhebung von Bedeutung, bewahren wir sie 7 Jahre ab Ende des Kalenderjahres auf, länger, solange sie für ein anhängiges Verfahren von Bedeutung ist (§ 132 BAO).

Widerrufserklärungen, die du über „Vertrag widerrufen“ abgibst (Name, E-Mail-Adresse, Angaben zum Vertrag, Zeitpunkt des Eingangs), speichern wir als Nachweis und zur Abwicklung deines Widerrufs 3 Jahre ab Eingang (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 13a FAGG), auch wenn du dein Konto vorher löschst.

Sicherheits- und Zugriffsprotokolle löschen wir nach spätestens 90 Tagen. Nutzungsstatistiken zu KI-Aufrufen (nur Kosten- und Mengendaten, keine Inhalte) bewahren wir bis zu 24 Monate zur Kostenkontrolle auf.

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO).

Eine Kopie deiner Daten (Auskunft und Datenübertragbarkeit) lädst du jederzeit selbst als Datei herunter: Einstellungen → Datenschutz → Meine Daten exportieren. Dein Konto löschst du ebenso selbst: Einstellungen → Datenschutz → Konto löschen. Für Berichtigung, Einschränkung, Widerspruch und alle Fragen zu deinen Daten schreib an hallo@bewerbungsgenie.at; dort bekommst du auch Auskunft, wenn dir der Export nicht reicht. Wir beantworten deine Anfrage innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Du hast außerdem das Recht, dich bei der österreichischen Datenschutzbehörde zu beschweren: Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

8. Cookies und Analyse

Wir verwenden nur das Nötigste. Beim ersten Besuch fragen wir dich, ob wir zusätzlich Nutzungsstatistiken erheben dürfen; ohne deine Zustimmung passiert das nicht (§ 165 TKG 2021, Art. 6 Abs. 1 lit. a DSGVO). Deine Entscheidung kannst du jederzeit über „Cookie-Einstellungen" im Footer ändern oder widerrufen, mit derselben Prominenz wie die Erteilung.

Essenziell (ohne Zustimmung, Art. 6 Abs. 1 lit. b/f): sb-*-auth-token: Login-Sitzung (Supabase); bg_consent: speichert deine Cookie-Entscheidung (6 Monate); bg_app_locale: speichert nur die Sprache, die du für die App gewählt hast (1 Jahr, für Skripte im Browser nicht lesbar); bg_onboarding_dismissed: merkt sich, dass du die Ersteinrichtung in der Übersicht ausgeblendet hast (1 Jahr, für Skripte im Browser nicht lesbar); bg_signup_pending: merkt sich für höchstens 5 Minuten, dass und wie (Anmelde-Link oder Google) du dein Konto gerade angelegt hast, ausgewertet nur, wenn du Statistiken erlaubt hast.

Nur für die Dauer deines Besuchs (Sitzungsspeicher deines Browsers, kein Cookie): bg_attr: merkt sich, über welchen Kanal du zu uns gekommen bist (utm-Parameter, verweisende Website nur als Domain, Einstiegsseite; Suchbegriffe gekürzt, E-Mail-Adressen werden verworfen). Dauerhaft (Cookie, 30 Tage) speichern wir bg_attr nur, wenn du Statistiken erlaubt hast; beim Widerruf löschen wir das Cookie.

Nur nach Zustimmung: bg_ph_id, die zufällige, pseudonyme Kennung für Nutzungsstatistiken (12 Monate). Statistiken erheben wir mit PostHog (PostHog Inc., USA) ausschließlich in der EU-Cloud mit Serverstandort Frankfurt; Übermittlung an PostHog Inc. auf Basis von Standardvertragsklauseln. Übermittelt werden Ereignisse wie „Registrierung abgeschlossen" oder „Dokument erstellt" mit der pseudonymen Kennung bzw. deiner Konto-ID, nie E-Mail, Name, Profil- oder Lebenslauf-Inhalte. Kein Autocapture, keine Session-Aufzeichnung, kein Nachladen von Skripten. Widerrufst du die Zustimmung, stellen wir die Erhebung ein und löschen bg_ph_id.

Fehlerdiagnose: Sentry (siehe Punkt 5) läuft ohne Cookies und ohne Zugriff auf Speicher in deinem Browser; personenbezogene Daten werden vor der Übermittlung entfernt (Art. 6 Abs. 1 lit. f).

Sentry läuft dabei in einem Minimalbetrieb: Ohne deine Einwilligung erfassen wir ausschließlich unbehandelte Fehler (Fehlermeldung, aufgerufene Adresse, IP-Adresse) über einen Ingest-Server in der EU. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen Dienst (Art. 6 Abs. 1 lit. f DSGVO), ein Cookie setzt Sentry dabei nicht. Erst mit deiner Zustimmung im Cookie-Banner kommen Leistungsdaten hinzu (Ladezeiten als Performance-Messung und Sitzungsqualität); diese Zustimmung kannst du jederzeit über „Cookie-Einstellungen" widerrufen, die Messung endet dann sofort.