Datenschutzerklärung

1. Verantwortlicher

[Rechtsträger], [Adresse], hallo@bewerbungsgenie.at

2. Welche Daten wir verarbeiten

Kontodaten (E-Mail), Profildaten, die du selbst einträgst oder importierst (Berufserfahrung, Ausbildung, Kenntnisse; optional Foto und Geburtsdatum), hochgeladene Dokumente, erzeugte Dokumente, Nutzungsdaten.

Foto und Geburtsdatum sind optional-by-default und werden nur auf ausdrückliche Auswahl in ein Template übernommen.

Nutzt du das Fotostudio, verarbeiten wir außerdem deine hochgeladenen Referenzfotos, die daraus erzeugten KI-Bewerbungsfotos sowie Zähler-Daten zu deinen Foto-Credits (Anzahl, Grund, Stripe-Ereignis-ID – keine Bildinhalte).

3. Zwecke und Rechtsgrundlagen

Konto, Profil, Stellensuche, Dokumentenerstellung und Zahlungsabwicklung: zur Erfüllung des Nutzungsvertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Fotostudio: Lädst du eigene Referenzfotos hoch, um daraus ein KI-Bewerbungsfoto erstellen zu lassen, verarbeiten wir sie zur Erfüllung deines Nutzungsauftrags (Art. 6 Abs. 1 lit. b DSGVO). Vor dem ersten Upload zeigen wir dir dazu eigene, gesondert zu bestätigende Hinweise.

Sicherheit, Betrugsprävention und Fehlerdiagnose (Sentry): aufgrund unseres berechtigten Interesses an einem funktionierenden und sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Warteliste und Produkt-Analyse (PostHog, nur nach Zustimmung im Cookie-Banner): auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst.

Rechnungslegung und steuerliche Aufbewahrungspflichten: zur Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 132 BAO).

4. KI-Verarbeitung

Zur Extraktion, zum Matching, zur Texterstellung, für den Beratungs-Dialog und den Interview-Coach werden Profil- und Stellendaten an Google LLC (Gemini API) übermittelt. Grundlage ist der Auftragsverarbeitungsvertrag von Google (Cloud Data Processing Addendum); die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO). Wir nutzen die bezahlte API-Stufe — deine Daten werden nicht zum Training von Modellen verwendet. Ergebnisse sind Vorschläge; das Faktentreue-Gate zeigt Belege und sperrt unbelegte Aussagen.

Nutzt du das Fotostudio, übermitteln wir zusätzlich deine hochgeladenen Referenzfotos an Google LLC (Gemini API), um daraus ein KI-generiertes Bewerbungsfoto zu erstellen — auf derselben vertraglichen Grundlage wie oben (bezahlte API-Stufe, kein Training). Jedes erzeugte Bild ist unmittelbar mit dem Hinweis „KI-generiert — prüfe, ob es dir wirklich ähnlich sieht" gekennzeichnet (Art. 50 Abs. 1 der KI-Verordnung) und trägt zusätzlich ein unsichtbares, maschinenlesbares Wasserzeichen des Anbieters.

Automatisierte Entscheidungen: Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung statt (Art. 22 Abs. 1 DSGVO). Der Match-Score ordnet Stellenanzeigen für dich; er entscheidet nicht über dich.

5. Empfänger:innen und Auftragsverarbeiter

Wir geben deine Daten nur an Dienstleister weiter, die sie in unserem Auftrag verarbeiten (Art. 28 DSGVO). Mit allen genannten Anbietern bestehen Auftragsverarbeitungsverträge; Kopien stellen wir dir auf Anfrage zur Verfügung.

Google LLC (USA) — KI-Verarbeitung über die Gemini API (siehe Punkt 4): Profil- und Stellendaten, Chat-Nachrichten sowie — wenn du das Fotostudio nutzt — deine Referenzfotos und die daraus erzeugten Bewerbungsfotos. Übermittlung auf Basis des EU-US Data Privacy Framework.

Supabase Inc. — Datenbank, Login und Datei-Speicher (Profil, Dokumente, Fotos). Serverstandort Frankfurt (EU).

Vercel Inc. (USA) — Hosting der Anwendung mit Serverstandort Frankfurt, cookielose Web-Analytics und Ladezeit-Messung. Übermittlung auf Basis des EU-US Data Privacy Framework und Standardvertragsklauseln.

Stripe Payments Europe Ltd. (Irland) — Zahlungsabwicklung: Name, E-Mail, Rechnungsadresse, Zahlungsdaten. Übermittlung an Stripe Inc. (USA) auf Basis des EU-US Data Privacy Framework.

Resend (Plus Five Five, Inc., USA) — Versand von Transaktions-E-Mails wie Login-Links und Bestätigungen, Serverstandort EU (Irland).

Functional Software Inc. (Sentry, USA) — Fehlerdiagnose mit Serverstandort Frankfurt (EU). Personenbezogene Daten und Lebenslauf-Inhalte werden vor der Übermittlung entfernt.

Hetzner Online GmbH (Deutschland) — Domain-Registrierung und DNS für bewerbungsgenie.at; ein interner, nicht öffentlich erreichbarer Dienst auf derselben Infrastruktur ruft für uns Stellenanzeigen von einzelnen Jobportalen ab, verarbeitet dabei aber keine Daten von Nutzer:innen.

PostHog Inc. (USA, EU-Cloud mit Serverstandort Frankfurt) — Produkt-Analyse ausschließlich nach deiner Zustimmung im Cookie-Banner (siehe Punkt 8), Übermittlung auf Basis von Standardvertragsklauseln.

Betreiber unserer PDF-Erzeugung (Gotenberg, gemeinsam mit unserer Schwesteranwendung BuchhaltGenie betrieben) — wandelt deinen Lebenslauf und dein Anschreiben in eine PDF-Datei um und erhält dafür den vollständigen Dokumentinhalt. Rechtsträger und Serverstandort dieses Betreibers klären wir noch abschließend; sobald das feststeht, ergänzen wir diese Zeile.

Upstash Inc. (USA, Datenbank mit Serverstandort Frankfurt) — Zwischenspeicher für die Missbrauchsbremse: Wir zählen dort, wie viele Anfragen von einem Gerät oder von deinem Konto kommen, damit niemand unsere Anmeldung oder die Dokumenterstellung überlastet. Deine IP-Adresse selbst geben wir dabei nicht weiter: Sie wird vorher mit einem geheimen Zusatzwert in eine 16-stellige Zeichenfolge umgerechnet, aus der sie sich nicht zurückgewinnen lässt. Bist du angemeldet, zählen wir stattdessen über deine Konto-Kennung. Gespeichert werden nur diese Zähler mit kurzer Laufzeit, keine Profildaten, keine Dokumente und keine E-Mail-Adressen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Änderungen an dieser Liste kündigen wir dir vorab per E-Mail und in der App an; du kannst ihnen widersprechen. Stand dieser Liste: 01.09.2026.

6. Speicherdauer

Löschst du dein Konto, entfernen wir alle mit dir verknüpften Daten vollständig — Profil, Dokumente, Bewerbungen und Fotos im Storage eingeschlossen —, ausgenommen die gesetzlich vorgeschriebenen Aufbewahrungen unten. Die technische Löschkaskade ist in unserem Löschkonzept dokumentiert.

Stellenanzeigen aus unserer Datenbank löschen wir spätestens 90 Tage, nachdem sie zuletzt aktiv abgerufen wurden, außer sie sind Teil deiner gemerkten Treffer oder einer laufenden Bewerbung.

Die Original-Datei eines CV-Imports löschen wir 30 Tage, nachdem du die übernommenen Daten bestätigt hast.

Deine hochgeladenen Referenzfotos aus dem Fotostudio löschen wir automatisch nach 30 Tagen. Die daraus erzeugten Bewerbungsfotos bleiben bestehen, bis du sie selbst löschst oder dein Konto löschst.

Rechnungen und Zahlungsprotokolle bewahren wir 7 Jahre auf (§ 132 BAO); danach löschen oder anonymisieren wir sie.

Sicherheits- und Zugriffsprotokolle löschen wir nach spätestens 90 Tagen. Nutzungsstatistiken zu KI-Aufrufen (nur Kosten- und Mengendaten, keine Inhalte) bewahren wir bis zu 24 Monate zur Kostenkontrolle auf.

Trägst du dich in unsere Warteliste ein, bevor du ein Konto hast, bewahren wir deine E-Mail-Adresse bis zu deinem Widerruf auf, spätestens jedoch 12 Monate nach unserem öffentlichen Start.

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO).

Dein Konto kannst du jederzeit selbst löschen: Einstellungen → Datenschutz → Konto löschen. Für Auskunft, Berichtigung, Einschränkung, Datenübertragbarkeit oder Widerspruch wende dich, bis dafür ebenfalls eine Selbstbedienungs-Funktion bereitsteht, an hallo@bewerbungsgenie.at — wir beantworten deine Anfrage innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Du hast außerdem das Recht, dich bei der österreichischen Datenschutzbehörde zu beschweren: Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

8. Cookies und Analyse

Wir verwenden nur das Nötigste. Beim ersten Besuch fragen wir dich, ob wir zusätzlich Nutzungsstatistiken erheben dürfen; ohne deine Zustimmung passiert das nicht (§ 165 TKG 2021, Art. 6 Abs. 1 lit. a DSGVO). Deine Entscheidung kannst du jederzeit über „Cookie-Einstellungen" im Footer ändern oder widerrufen — mit derselben Prominenz wie die Erteilung.

Essenziell (ohne Zustimmung, Art. 6 Abs. 1 lit. b/f): sb-*-auth-token — Login-Sitzung (Supabase); bg_consent — speichert deine Cookie-Entscheidung (6 Monate).

Nur für die Dauer deines Besuchs (Sitzungsspeicher deines Browsers, kein Cookie): bg_attr — merkt sich, über welchen Kanal du zu uns gekommen bist (utm-Parameter, verweisende Website nur als Domain, Einstiegsseite; Suchbegriffe gekürzt, E-Mail-Adressen werden verworfen). Trägst du dich in die Warteliste ein, übernehmen wir diese Angaben mit deiner Anmeldung. Dauerhaft (Cookie, 30 Tage) speichern wir bg_attr nur, wenn du Statistiken erlaubt hast; beim Widerruf löschen wir das Cookie.

Nur nach Zustimmung: bg_ph_id — zufällige, pseudonyme Kennung für Nutzungsstatistiken (12 Monate). Statistiken erheben wir mit PostHog (PostHog Inc., USA) ausschließlich in der EU-Cloud mit Serverstandort Frankfurt; Übermittlung an PostHog Inc. auf Basis von Standardvertragsklauseln. Übermittelt werden Ereignisse wie „Registrierung abgeschlossen" oder „Dokument erstellt" mit der pseudonymen Kennung bzw. deiner Konto-ID — nie E-Mail, Name, Profil- oder Lebenslauf-Inhalte. Kein Autocapture, keine Session-Aufzeichnung, kein Nachladen von Skripten. Widerrufst du die Zustimmung, stellen wir die Erhebung ein und löschen bg_ph_id.

Fehlerdiagnose: Sentry (siehe Punkt 5) läuft ohne Cookies und ohne Zugriff auf Speicher in deinem Browser; personenbezogene Daten werden vor der Übermittlung entfernt (Art. 6 Abs. 1 lit. f).