Zum Hauptinhalt springen
Rechtliches

Datenschutzerklärung

Wie wir Ihre Daten gemäß DSGVO schützen und verarbeiten

Wir nehmen den Schutz Ihrer personenbezogenen Daten sehr ernst. Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung Ihrer Daten gemäß DSGVO.

1. Verantwortlicher

Verantwortlich im Sinne von Art. 4 Abs. 7 DSGVO ist die RSG Recruiting Solutions group GmbH, vertreten durch die Geschäftsführung. Alle Kontaktdaten finden Sie im Impressum.

2. Welche Daten verarbeiten wir?

  • Kontodaten: Name, Unternehmen, geschäftliche E-Mail-Adresse, Passwort-Hash
  • Kandidatendaten: Vor- und Nachname, Kontaktdaten, Bewerbungsunterlagen, Zeugnisse
  • Prüfungsdaten: Arbeitgeberkontakte, Gesprächsnotizen, Verifizierungsergebnisse
  • Technische Daten: IP-Adresse (zur Einwilligungsdokumentation), User-Agent, Audit-Logs

3. Rechtsgrundlagen

  • Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung der candiq-Plattform)
  • Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (Kandidaten-Einwilligung zur Referenzprüfung)
  • Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (Plattform-Sicherheit, Audit-Trail)

4. Auftragsverarbeitung (AVV)

Sofern Sie als Kunde personenbezogene Daten Ihrer Kandidaten in unserer Plattform verarbeiten, bieten wir einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO an. Diesen erhalten Sie automatisch im Onboarding-Prozess.

5. Datenspeicherung & Hosting

Personenbezogene Daten werden in Rechenzentren innerhalb der Europäischen Union, vorrangig in Deutschland (Frankfurt am Main), verarbeitet. Drittland-Übermittlungen finden ausschließlich in den unten genannten, klar abgegrenzten Verarbeitungsfällen statt und beruhen auf den EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sowie — soweit anwendbar — auf der Selbstzertifizierung des Empfängers im Rahmen des EU-U.S. Data Privacy Framework.

Übersicht der Drittland-Subprozessoren:

  • Stripe Inc. (USA) — Zahlungsabwicklung. Details siehe Punkt 8.
  • Vercel Inc. (USA) — Application-Hosting und Storage für CV-Uploads (Vercel Blob, EU-Region). Hosting siehe Punkt 9, Datenübermittlung kann gelegentlich an US-Mutter erfolgen (SCC + DPF).
  • Resend Inc. (USA) — Transaktions-E-Mails (Einladungslinks, Reports, Notifications). Empfänger-Adresse und Mail-Inhalt werden zur Zustellung übertragen. AVV und SCC-Anhang im Onboarding inklusive.
  • Anthropic Inc. (USA) — KI-gestützte CV-Plausibilitätsprüfung und Diskrepanz-Erkennung (modell: Claude). Verarbeitung nur, wenn Sie die KI-Analyse explizit anstoßen; keine Trainings-Nutzung Ihrer Daten lt. API-Vertrag.
  • ElevenLabs Inc. (USA) — Live-Sprachagent in der Hero-Demo. Details siehe Punkt 12.
  • Google LLC (USA) — Analytics nur nach expliziter Cookie-Einwilligung. Details siehe Punkt 10.
  • HubSpot Inc. (USA) — Termin-Buchung (Meetings-Embed auf /termin) und CRM-Sync von Lead-Magnet-Anfragen. SCC + DPF.

Eine aktuelle Subprozessor-Liste mit Verarbeitungsstandort und Rechtsgrundlage stellen wir zusammen mit dem AVV im Onboarding und auf Anfrage an hello@candiq.de bereit.

6. Verschlüsselung

Die Datenübertragung zwischen Ihrem Endgerät und unseren Servern erfolgt ausschließlich verschlüsselt (HTTPS). Passwörter werden ausschließlich als gehashter Wert gespeichert, nicht im Klartext. Hochgeladene Dokumente werden verschlüsselt abgelegt und sind nur für autorisierte Nutzer Ihres Workspaces zugänglich.

7. Ihre Rechte

  • Art. 15 DSGVO — Auskunftsrecht
  • Art. 16 DSGVO — Berichtigung
  • Art. 17 DSGVO — Löschung (im Dashboard unter Einstellungen)
  • Art. 20 DSGVO — Datenportabilität (JSON-Export im Dashboard)
  • Art. 21 DSGVO — Widerspruchsrecht
  • Art. 77 DSGVO — Beschwerderecht bei der Aufsichtsbehörde

8. Zahlungsabwicklung über Stripe

Für die Abwicklung von Zahlungen und Abonnementsverwaltung nutzen wir den Zahlungs­dienstleister Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland (im Folgenden „Stripe“). Stripe verarbeitet im Auftrag personenbezogene Daten (Name, Anschrift, E-Mail-Adresse, USt-IdNr., Zahlungsdaten) zur Durchführung des Vertragsverhältnisses.

Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Zahlungsdaten (z. B. Kreditkartennummer, SEPA-Mandat) werden ausschließlich an Stripe übermittelt; wir selbst speichern keine vollständigen Zahlungsmitteldaten.

Stripe ist ein europäisches Tochterunternehmen der Stripe, Inc. (USA). Soweit personen­bezogene Daten im Rahmen der Zahlungsabwicklung an Stripe Inc. in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Stripe Inc. ist außerdem unter dem EU-U.S. Data Privacy Framework zertifiziert.

Die Auftragsverarbeitung erfolgt auf Basis eines Auftrags­verarbeitungs­vertrags (DPA) nach Art. 28 DSGVO, abrufbar unter stripe.com/legal/dpa. Datenschutz­erklärung von Stripe: stripe.com/de/privacy.

Speicherdauer: Solange das Vertragsverhältnis besteht und gesetzliche Aufbewahrungs­pflichten (insbesondere § 257 HGB, § 147 AO — 10 Jahre für Rechnungen) bestehen.

9. Cookies und technisch notwendige Speicherung

Wir verwenden technisch notwendige Cookies (Session- und CSRF-Cookies für Authentifizierung) sowie ein First-Party-Cookie candiq_consent zur Speicherung Ihrer Einwilligungs-Entscheidung (Nachweis nach Art. 7 Abs. 1 DSGVO, Speicherdauer 180 Tage). Diese Cookies sind ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TTDSG).

Hosting-bedingt protokolliert unser Hoster Vercel kurzlebige technische Logs (IP-Adresse, Zeitstempel, User-Agent, aufgerufene URL) zur Sicherstellung des Betriebs und zur Abwehr von Angriffen. Diese Logs werden nach spätestens 24 Stunden anonymisiert bzw. gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

10. Webanalyse mit Google Analytics 4

Auf candiq.de setzen wir Google Analytics 4 (GA4) ein, um anonymisiert zu messen, wie unsere Seite genutzt wird (z. B. besuchte Seiten, Verweildauer, Geräte-Typ). Anbieter ist die Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (im Folgenden „Google“).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie § 25 Abs. 1 TTDSG. GA4 wird ausschließlich geladen, wenn Sie über unser Consent-Banner aktiv zugestimmt haben. Vor Ihrer Einwilligung werden keine Daten an Google übertragen und keine Analyse-Cookies gesetzt.

Consent Mode v2: Wir nutzen den Google Consent Mode v2 mit Standard „denied“ für alle Storage-Kategorien. Erst bei Einwilligung setzen wiranalytics_storage = granted; Marketing-Storage bleibt deaktiviert (wir führen keine Werbe-Kampagnen mit GA4-Daten).

Cookies & Speicherdauer: Bei aktiver Einwilligung setzt GA4 die Cookies_ga (Speicherdauer 2 Jahre) und _ga_* (Speicherdauer 2 Jahre). Die in GA4 gespeicherten Daten werden nach der von uns gewählten Aufbewahrungsfrist (max. 14 Monate) automatisch gelöscht.

IP-Anonymisierung: GA4 verarbeitet IP-Adressen standardmäßig anonymisiert; eine direkte Personenbeziehbarkeit ist ausgeschlossen.

Drittlandübermittlung: Google kann Daten an Google LLC in die USA übermitteln. Grundlage ist der EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) sowie ergänzend die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Widerruf: Sie können Ihre Einwilligung jederzeit über den Button „Cookie-Einstellungen“ im Footer widerrufen. Der Widerruf wirkt für die Zukunft; bereits erhobene Daten bleiben davon unberührt.

Auftragsverarbeitung: Mit Google besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Google Ads Data Processing Terms). Weitere Informationen: policies.google.com/privacy.

11. HubSpot Terminbuchung & CRM-Sync

Auf candiq.de bieten wir eine Terminbuchung über das HubSpot Meetings-Widget an (Wrapper-Page /termin). Zusätzlich synchronisieren wir Form-Submits (Pilot-Programm, Lead-Magnet-Anfragen) mit dem HubSpot CRM, sodass unser Sales-Team antworten kann. Anbieter ist die HubSpot Ireland Limited, 2nd Floor, 30 North Wall Quay, Dublin 1, D01 R0H8, Irland (im Folgenden „HubSpot“), als europäische Tochter der HubSpot, Inc. (USA).

Beim Aufruf der Terminbuchungs-Seite oder bei Form-Submits werden folgende Daten verarbeitet: IP-Adresse, User-Agent, Zeitstempel, sowie die von Ihnen eingegebenen Form-Felder (z. B. Name, E-Mail-Adresse, Firma, Nachricht).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Kommunikation mit Interessenten) sowie Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

Drittlandübermittlung: Soweit personenbezogene Daten an HubSpot, Inc. in die USA übermittelt werden, erfolgt dies auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. HubSpot, Inc. ist außerdem unter dem EU-U.S. Data Privacy Framework zertifiziert.

Auftragsverarbeitung: Auf Basis eines Auftragsverarbeitungsvertrags (DPA) nach Art. 28 DSGVO, abrufbar unter legal.hubspot.com/dpa. Datenschutzerklärung von HubSpot: legal.hubspot.com/de/privacy-policy.

Speicherdauer: Form-Submits und Termin-Buchungen werden für die Dauer der Geschäftsbeziehung sowie zur Erfüllung gesetzlicher Aufbewahrungspflichten gespeichert. Sie können jederzeit per E-Mail an hello@candiq.de der Verarbeitung widersprechen (Art. 21 DSGVO).

12. ElevenLabs Voice-Demo (Live-Sprachagent)

Auf unserer Startseite bieten wir eine interaktive Live-Sprachdemo („candiq Voice Agent“), mit der Sie unsere Plattform in natürlicher Sprache erkunden können. Die Sprachverarbeitung erfolgt über den Anbieter ElevenLabs, Inc., 169 Madison Ave #2484, New York, NY 10016, USA (im Folgenden „ElevenLabs“).

Verarbeitete Daten: Während einer aktiven Sprachsitzung werden Audio-Stream Ihrer Stimme, daraus erzeugte Transkripte sowie Verbindungs-Metadaten (Session-ID, IP-Adresse, Zeitstempel) an ElevenLabs übertragen und in Echtzeit verarbeitet. Audio wird nicht dauerhaft gespeichert; Transkripte können für bis zu 30 Tage zu Qualitäts- und Sicherheitszwecken aufbewahrt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Sprachdemo startet erst nach Ihrer ausdrücklichen Aktivierung; Ihr Browser fragt zusätzlich die Mikrofon-Berechtigung ab. Ohne diese beiden Schritte werden keine Audiodaten erhoben oder übertragen.

Technische Sub-Dienstleister von ElevenLabs: ElevenLabs nutzt zur Realisierung der Echtzeit-Audio­übertragung u. a. LiveKit, Inc.(WebRTC-Transport) sowie Google Cloud Platform / Google Cloud Storage(Audio-Caching während aktiver Sessions). Diese Verbindungen sind in unserer Content-Security-Policy entsprechend whitelisted, werden aber ausschließlich im Rahmen einer von Ihnen aktiv gestarteten Voice-Session aufgebaut.

Drittlandübermittlung: Soweit Daten an ElevenLabs in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Wir bevorzugen die EU-Region des Anbieters (api.elevenlabs.io) und nutzen US-Endpunkte nur für Failover.

Widerruf: Sie können die Sprachsitzung jederzeit beenden, indem Sie die Mikrofon-Berechtigung im Browser entziehen oder die Seite verlassen. Es werden keine persönlichen Sprachprofile gebildet und kein Voice-Print gespeichert.

Auftragsverarbeitung: Mit ElevenLabs besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Datenschutzerklärung von ElevenLabs: elevenlabs.io/privacy-policy.

13. Pilot-Programm Q3/2026 — Bewerbungs-Formular

Auf candiq.de bieten wir Interessenten die Möglichkeit, sich für unser zeitlich begrenztes Pilot-Programm Q3/2026 zu bewerben. Erhoben werden dabei: Firmenname, Vor- und Nachname, geschäftliche E-Mail-Adresse und die geplante Anzahl an Hires pro Jahr. Zusätzlich speichern wir Zeitstempel, IP-Adresse und User-Agent zur Missbrauchsprävention.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Bearbeitung der Pilot-Bewerbung sowie Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

Speicherdauer: Bewerbungen werden bis zum Ende des Pilot-Programms (max. 12 Monate Laufzeit + 24 Monate Nachweisfrist nach Art. 7 Abs. 1 DSGVO) gespeichert. Bewerbungen, die nicht zu einer Pilot-Teilnahme führen, werden spätestens nach 6 Monaten gelöscht. Sie können Ihre Einwilligung jederzeit per E-Mail an hello@candiq.de widerrufen.

Anonymisierte Case-Study: Pilot-Teilnehmer verpflichten sich zu einer anonymisierten Case-Study nach 90 Tagen. Diese erfolgt ohne Klarnamen, ohne Firmenlogo und nur mit Ihrer ausdrücklichen, schriftlichen Freigabe vor Veröffentlichung.

14. Lead-Magnet-Anfragen & Bewerber-Waitlist

Auf candiq.de bieten wir (a) kostenlose Praxis-Guides (Lead-Magnets) zum Download sowie (b) eine Warteliste für Bewerber:innen, die candiq kuenftig selbst zur proaktiven Referenz-Verifikation nutzen wollen (Self-Service, Closed Beta Q4 2026). Vor der Anzeige bzw. Anmeldung werden Vorname und E-Mail-Adresse erhoben, optional Firmenname (Lead-Magnet) bzw. Position/Branche (Bewerber-Waitlist). Zusätzlich speichern wir Zeitstempel, IP-Adresse und User-Agent zur Missbrauchsprävention.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Zusendung des Inhalts.

Newsletter (optional): Falls Sie das Newsletter-Kontrollkästchen aktivieren, senden wir eine separate Bestätigungs-E-Mail (Double-Opt-In). Erst nach Klick auf den Bestätigungs-Link werden Sie zum Newsletter hinzugefügt. Ohne diesen Klick erfolgt keine Newsletter-Verarbeitung. Abmeldung jederzeit über den Link in jeder Newsletter-E-Mail.

Speicherdauer: Lead-Magnet-Anfragen werden 24 Monate zur Nachweis-Pflicht (Art. 7 Abs. 1 DSGVO) gespeichert und anschließend gelöscht. Newsletter-Abonnenten bleiben gespeichert bis zur Abmeldung.

15. Aufbewahrungsfristen

Personenbezogene Daten werden gelöscht, sobald sie für den Verarbeitungszweck nicht mehr erforderlich sind. Audit-Logs werden für 24 Monate aufbewahrt (Art. 32 DSGVO Sicherheits-Anforderung).

Automatische Löschung nach 180 Tagen: Bewerber- und Referenzprüfungs-Daten, deren Verfahren abgeschlossen, abgelehnt oder vom Bewerber widerrufen wurde, werden spätestens 180 Tage nach Verfahrensende automatisch gelöscht. Die Löschung läuft als täglicher Cron-Job um 03:00 UTC und wird im Audit-Log protokolliert.

16. Stand

Diese Datenschutzerklärung wurde zuletzt aktualisiert: 15. Juni 2026.