Auftragsverarbeitungsvertrag

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand: Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers zum Zweck der Bereitstellung der Jobplattform SalamJobs, insbesondere:

• Entgegennahme, Speicherung und Weiterleitung von Bewerbungen (Talent-Profile, Lebensläufe, Anschreiben) an den Auftraggeber;
• Veröffentlichung von Stellenanzeigen des Auftraggebers auf der Plattform;
• Bereitstellung von Kommunikationsfunktionen zwischen Auftraggeber und Bewerbern;
• KI-gestützte Anreicherung von Stellenanzeigeninhalten (Kategorisierung, islamfreundliche Merkmale) mittels Anthropic-API.

(2) Dauer: Der AVV gilt für die Dauer des Hauptvertrags zwischen den Parteien. Er endet automatisch mit Beendigung des Nutzungsverhältnisses, soweit nachfolgend nichts anderes geregelt ist.

§ 2 Art und Zweck der Verarbeitung; Kategorien von Betroffenen und Daten

(1) Art der Verarbeitung: Erhebung, Speicherung, Übermittlung, Verknüpfung, Abfrage, Löschung.

(2) Zweck: Betrieb einer muslimfreundlichen Jobvermittlungsplattform; Zusammenführung von Stellenanzeigen des Auftraggebers mit Bewerberprofilen; Übermittlung von Bewerbungen an den Auftraggeber.

(3) Kategorien betroffener Personen:

• Bewerber (Talente), die sich über die Plattform auf Stellenanzeigen des Auftraggebers bewerben;
• Mitarbeitende des Auftraggebers, die die Employer-Plattform nutzen.

(4) Kategorien personenbezogener Daten:

• Stammdaten: Name, E-Mail-Adresse, Kontaktdaten;
• Profildaten: Berufserfahrung, Ausbildung, Qualifikationen, Fähigkeiten, Portfolio;
• Bewerbungsunterlagen: Lebenslauf (CV), Anschreiben, Zeugnisse (als Dateiupload);
• Nutzungsdaten: Login-Zeitstempel, Seitenaufrufe, Bewerbungsstatus;
• Präferenzen: islamfreundliche Arbeitsplatzmerkmale (freiwillige Selbstangabe).

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (insbesondere religiöse Überzeugungen) können durch freiwillige Profilangaben der Bewerber anfallen. Die Verarbeitung erfolgt ausschließlich auf Grundlage der ausdrücklichen Einwilligung der betroffenen Personen (Art. 9 Abs. 2 lit. a DSGVO).

§ 3 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Plattform gemäß deren bestimmungsgemäßem Betrieb gilt als initiale Weisung.

(2) Weisungen erteilt der Auftraggeber in Textform (E-Mail genügt) an: info@salamjobs.co.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, unterrichtet er den Auftraggeber unverzüglich.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung betrauten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Schweigepflicht unterliegen.

(2) Der Auftragnehmer gibt personenbezogene Daten des Auftraggebers nur aufgrund ausdrücklicher Weisung oder gesetzlicher Verpflichtung an Dritte weiter.

§ 5 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer trifft die in Anlage 1 (Sicherheitsarchitektur) beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, darunter insbesondere:

• Transportverschlüsselung (TLS 1.2/1.3) für alle Datenübertragungen;
• Row Level Security (RLS) auf Datenbankebene für alle nutzerbezogenen Tabellen;
• Rollenbasierte Zugriffskontrolle (EMPLOYER / TALENT / ADMIN);
• Tokenbasierte Verifikation (ausschließlich Hash-Speicherung);
• Automatische tägliche Datenbankbackups durch Supabase;
• Getrennte Speicherung von Lebensläufen in einem privaten Storage-Bucket.

Der Auftragnehmer ist berechtigt, die TOMs fortzuentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Auftraggeber vorab mitgeteilt.

§ 6 Unterauftragsverhältnisse (Sub-Auftragsverarbeiter)

(1) Der Auftragnehmer bedient sich folgender genehmigter Unterauftragsverarbeiter:

Vollständige Details zu jedem Subprozessor sind auf der Seite Subprozessoren abrufbar.

(2) Der Auftragnehmer unterrichtet den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch von Unterauftragnehmern mindestens 30 Tage im Voraus per E-Mail. Erhebt der Auftraggeber keinen begründeten Einwand, gilt die Änderung als genehmigt.

(3) Der Auftragnehmer schließt mit allen Unterauftragnehmern Verträge ab, die diesen gleichwertige Datenschutzpflichten auferlegen (Art. 28 Abs. 4 DSGVO).

§ 7 Unterstützung bei der Wahrnehmung von Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gemäß Art. 12–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität, Widerspruch). Der Auftragnehmer leitet eingehende Betroffenenanfragen, die sich auf Daten des Auftraggebers beziehen, unverzüglich an diesen weiter.

Für Löschung und Datenexport stehen im Nutzer-Dashboard automatisierte Funktionen zur Verfügung (Löschanfrage: 30-tägige Frist; Dateiexport: CSV-Download).

§ 8 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Nutzungsverhältnisses löscht oder gibt der Auftragnehmer alle personenbezogenen Daten zurück, die im Auftrag des Auftraggebers verarbeitet wurden, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Die Löschfrist beträgt 30 Tage nach Vertragsende. Auf Anfrage des Auftraggebers wird eine Löschbestätigung ausgestellt.

(3) Nutzer-initiierte Datenlöschungen werden über den in der Plattform integrierten Lösch-Workflow abgewickelt (Feld deletion_scheduled_at im Profil mit 30-tägiger Karenzfrist vor endgültiger Löschung).

§ 9 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber ist berechtigt, die Einhaltung der datenschutzrechtlichen Vorschriften und der Regelungen dieses AVV beim Auftragnehmer zu kontrollieren — durch Einholung von Auskünften, Vorlage von Dokumenten oder Vor-Ort-Überprüfungen mit angemessener Vorankündigung (mindestens 14 Tage).

(2) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zur Nachweisführung zur Verfügung.

(3) Der Auftraggeber kann Kontrollen auch durch einen zur Verschwiegenheit verpflichteten Dritten (z. B. externen Datenschutzbeauftragten) durchführen lassen.

§ 10 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten gemäß Art. 33 DSGVO unverzüglich, spätestens 72 Stunden nach Bekanntwerden, unter:

E-Mail: info@salamjobs.co

Die Meldung enthält mindestens: Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen.

§ 11 Haftung und Verantwortung

Die Haftungsregelung richtet sich nach dem Hauptvertrag und den Bestimmungen der DSGVO. Handelt der Auftragnehmer entgegen einer Weisung des Auftraggebers oder verstößt er gegen diesen AVV, haftet er dem Auftraggeber für den daraus entstandenen Schaden im gesetzlichen Umfang.