Auftragsverarbeitungsvertrag (AVV)

Zwischen Ihnen (Verantwortlicher) und der RSG Recruiting Solutions Group GmbH (Auftragsverarbeiter, Betreiber von candiq) gilt mit Vertragsschluss der unten skizzierte AVV nach Art. 28 DSGVO. Die ausformulierte PDF-Version bekommen Sie automatisch im Onboarding zugesendet — bei Vertrags-Reviewern Ihres DPO koennen wir die Vorlage auch vorab schicken.

1. Gegenstand und Dauer der Verarbeitung

candiq verarbeitet personenbezogene Daten von Bewerbern (Kandidaten) und deren Referenzgebern ausschließlich im Auftrag und nach Weisung des Verantwortlichen, zum Zweck der digitalen Referenzpruefung im Recruiting-Prozess. Die Dauer richtet sich nach dem Hauptvertrag (Subscription) plus gesetzliche Aufbewahrungsfristen.

2. Art der personenbezogenen Daten

• Stammdaten der Bewerber (Name, E-Mail, optional Telefon, Position, Abteilung)
• Bewerbungsunterlagen (CV als PDF/DOC, optional weitere Dokumente)
• Referenzgeber-Kontaktdaten (Name, Firma, Position, E-Mail oder Telefon)
• Prüfungsergebnisse (Notizen, Bewertungen, Diskrepanz-Markierungen)
• Audit-Trail (Login-Events, Datenzugriffe, Consent-Akzeptanz mit IP+UA)

3. Kategorien betroffener Personen

• Bewerber des Verantwortlichen
• Vom Bewerber benannte Referenzgeber
• HR-Mitarbeiter:innen des Verantwortlichen (Plattformnutzer)

4. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3)

• Verarbeitung nur auf dokumentierte Weisung (= Konfiguration im Dashboard)
• Vertraulichkeitsverpflichtung aller beteiligten Personen
• Technische und organisatorische Maßnahmen (TOMs, siehe Anhang)
• Subprozessoren werden vorher angekündigt; Widerspruchsrecht des Verantwortlichen
• Unterstützung bei Betroffenenrechten (Art. 15–22), Datenschutz-Folgenabschaetzung (Art. 35), Meldung von Verletzungen (Art. 33)
• Löschung oder Rückgabe nach Vertragsende

5. Subprozessoren

candiq setzt heute folgende Subprozessoren ein. Eine aktuelle Liste mit Verarbeitungs- zweck, Standort und Rechtsgrundlage finden Sie auch in der Datenschutzerklärung.

6. Technische und organisatorische Maßnahmen (TOMs)

• Verschlüsselte Datenübertragung (TLS 1.3)
• Passwoerter bcrypt-gehasht, NEXTAUTH_SECRET als Server-Geheimnis
• Consent-Token: HMAC-SHA256-signiert, SHA-256-Hash in DB, Single-Use, 14-Tage-TTL, timing-safe-equal Vergleich
• CV-Consent-Gate: Server-seitige Prüfung (lib/cv-gate.ts) erzwingt, dass Reviewer CVs nur nach erteilter Bewerber-Einwilligung sehen. Jeder Zugriff (granted + denied) wird im Audit-Log dokumentiert.
• Rollen-Modell: CLIENT (HR), REVIEWER (candiq-intern), ADMIN. Workspace-Isolation auf Application-Layer in jeder Mutation.
• Audit-Trail unveränderlich (Append-Only, AuditLog-Tabelle)
• Backup-Strategie: tagliche Snapshots der Postgres-DB, 30-Tage-Retention
• Auto-Löschung der Bewerberdaten 180 Tage nach Abschluss (Status COMPLETED / REJECTED / CONSENT_REVOKED). Audit-Logs bleiben gem. § 257 HGB.
• Rate-Limiting auf allen Auth- und Upload-Endpoints

7. Betroffenenrechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Widerruf (Art. 7 Abs. 3) sind im Dashboard als Self-Service-Funktionen verfuegbar. Bewerber koennen zusätzlich ihre Einwilligung jederzeit über den Magic-Link in ihrer Einladungs-Mail widerrufen.

8. Anpassungen

Individuelle Anpassungen (z.B. zusätzliche TOMs, abweichende Subprozessor-Vorgaben, Prüfrechte) verhandeln wir gern direkt im Vertragsentwurf. Bitte melden Sie sich an hello@candiq.de.

Dies ist eine Kurz-Übersicht. Die ausformulierte AVV-PDF (inkl. Unterschriftenfeld) ist Vertragsbestandteil und wird im Onboarding bereitgestellt. Bei Fragen oder individuellen Anpassungen hello@candiq.de.