JobJitsu
Jetzt starten

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO
Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) von JobJitsu
Stand: August 2026

Auftragsverarbeiter im Sinne dieses Vertrags ist Thomas Gießel, Samoastraße 22, 13353 Berlin, als Betreiber der Plattform JobJitsu (nachfolgend „JobJitsu“). Verantwortlicher ist der jeweilige Kunde gemäß Hauptvertrag (AGB).

Dieser Vertrag wird in elektronischer Form als Bestandteil der AGB geschlossen; eine Unterschrift ist nicht erforderlich (Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand und Dauer

  1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch JobJitsu als Auftragsverarbeiter im Auftrag des jeweiligen Kunden als Verantwortlicher.

  2. Die Verarbeitung erfolgt ausschließlich im Zusammenhang mit der Nutzung der Plattform „JobJitsu“ und auf Grundlage des Hauptvertrags (AGB).

  3. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung

  1. Die Verarbeitung dient ausschließlich der technischen Bereitstellung der Plattformleistungen, insbesondere:
    • Speicherung von Stellenanzeigen
    • Entgegennahme und Bereitstellung von Bewerbungen
    • Bereitstellung von Verwaltungsfunktionen
  2. Eine Verarbeitung zu eigenen Zwecken erfolgt nicht. Ausgenommen ist die Bildung aggregierter Dienststatistiken: Um die eigene Leistung zu messen und weiterzuentwickeln, wertet JobJitsu aus, wie viele Bewerbungen auf eine Stellenanzeige eingehen, welchen Bearbeitungsstatus sie haben, in welchem Zeitraum sie eingehen und über welchen Weg die Anzeige erreicht wurde. Diese Verarbeitung erfolgt außerhalb dieses Vertrags in eigener Verantwortung von JobJitsu (Art. 6 Abs. 1 lit. f DSGVO); Einzelheiten in der Datenschutzerklärung. Das Ergebnis ist stets ein Aggregat und wird nicht zur Stützung von Maßnahmen oder Entscheidungen gegenüber einer bestimmten natürlichen Person verwendet. Eine Bewertung einzelner Personen, eine Profilbildung, eine Verknüpfung einer Person über mehrere Stellenanzeigen oder Verantwortliche hinweg sowie eine Weitergabe der Ergebnisse an Dritte finden nicht statt.

§ 3 Kategorien personenbezogener Daten

Je nach Nutzung können insbesondere folgende Daten verarbeitet werden:

Bewerberdaten

  • Name
  • Kontaktdaten
  • Angaben zu Sprachkenntnissen
  • Bewerbungsunterlagen
  • weitere übermittelte Informationen
  • im Verfahren entstehende Angaben (Bearbeitungsstatus, Verlauf der Bearbeitung, Vermerke des Verantwortlichen)
  • besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), soweit Bewerber sie in ihren Unterlagen freiwillig mitteilen (z. B. Angaben zur Gesundheit oder zu einer Schwerbehinderung)

§ 4 Kategorien betroffener Personen

  • Bewerber

§ 5 Weisungsrecht

  1. Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland –, sofern JobJitsu nicht durch das Recht der Union oder der Mitgliedstaaten, dem JobJitsu unterliegt, zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt JobJitsu dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

  2. Weisungen ergeben sich regelmäßig aus der Nutzung der Plattform.

  3. Hält JobJitsu eine Weisung für datenschutzrechtswidrig, informiert JobJitsu den Verantwortlichen unverzüglich; die Ausführung der Weisung kann bis zu deren Bestätigung oder Änderung ausgesetzt werden.

§ 6 Vertraulichkeit

Personen mit Zugriff auf personenbezogene Daten sind zur Vertraulichkeit verpflichtet.

§ 7 Technische und organisatorische Maßnahmen

  1. JobJitsu trifft geeignete Maßnahmen gemäß Art. 32 DSGVO.

  2. Dazu gehören insbesondere:

    • Hosting und Datenbank innerhalb der EU
    • Verschlüsselung bei Übertragung (TLS) und im Ruhezustand
    • rollenbasierte Zugriffsbeschränkungen
    • regelmäßige Backups mit Point-in-Time-Recovery
    • Protokollierung und Monitoring
    • Trennung von Entwicklungs- und Produktionsumgebung
    • regelmäßige Sicherheitsupdates

§ 8 Unterauftragsverarbeiter

  1. Als Unterauftragsverarbeiter gelten ausschließlich Dienstleister, die personenbezogene Daten im Rahmen dieser Auftragsverarbeitung verarbeiten. Nebenleistungen (z. B. Telekommunikation, Wartung) gelten nicht als Unterauftragsverarbeitung.

  2. Der Verantwortliche genehmigt allgemein den Einsatz der in der Dienstleisterliste aufgeführten Unterauftragsverarbeiter.

  3. JobJitsu informiert den Verantwortlichen mindestens 14 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform (z. B. per E-Mail). Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.

  4. Kann JobJitsu die Leistung im Fall eines Widerspruchs nicht ohne den betreffenden Unterauftragsverarbeiter erbringen, sind beide Parteien berechtigt, den Hauptvertrag zu kündigen.

  5. JobJitsu erlegt den Unterauftragsverarbeitern dieselben Datenschutzpflichten gemäß Art. 28 DSGVO auf und bleibt für deren Einhaltung gegenüber dem Verantwortlichen verantwortlich.

§ 9 Drittlandübermittlung

  1. Die Verarbeitung findet grundsätzlich innerhalb der EU bzw. des EWR statt.

  2. Soweit personenbezogene Daten – insbesondere durch Unterauftragsverarbeiter – in ein Drittland übermittelt werden, erfolgt dies nur, wenn ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt oder geeignete Garantien im Sinne des Art. 46 DSGVO (insbesondere EU-Standardvertragsklauseln) bestehen.

  3. Die in der Dienstleisterliste gekennzeichneten Übermittlungen gelten als vom Verantwortlichen dokumentiert angewiesen.

§ 10 Unterstützungspflichten

  1. JobJitsu unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Personen (Kapitel III DSGVO).

  2. JobJitsu unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der JobJitsu zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Meldung von Datenschutzverletzungen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde.

§ 11 Meldung von Datenschutzverletzungen

  1. JobJitsu informiert den Verantwortlichen unverzüglich über bekannt gewordene Datenschutzverletzungen.

  2. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, der Kategorien und der ungefähren Zahl betroffener Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen. Noch nicht verfügbare Informationen werden ohne unangemessene weitere Verzögerung nachgereicht.

§ 12 Nachweise und Überprüfungen

  1. JobJitsu stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung. Der Nachweis kann auch durch aktuelle Zertifizierungen, Testate oder Prüfberichte erbracht werden.

  2. Reichen diese Nachweise nicht aus, ermöglicht JobJitsu Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer – nach angemessener Vorankündigung, zu den üblichen Geschäftszeiten, höchstens einmal jährlich (bei begründetem Anlass auch häufiger) und ohne Beeinträchtigung des Betriebs oder der Sicherheit anderer Kunden.

§ 13 Aufbewahrung, Löschung und Rückgabe

  1. Nach Beendigung des Hauptvertrags gibt JobJitsu die personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie und löscht vorhandene Kopien innerhalb von 30 Tagen nach Beendigung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

  2. Bewerberdaten werden während der Vertragslaufzeit für die Dauer von sechs Monaten ab Eingang der jeweiligen Bewerbung gespeichert. Nach Ablauf dieser Frist anonymisiert JobJitsu die Daten, sodass ein Personenbezug nicht mehr hergestellt werden kann. Verbleibende Angaben ohne Personenbezug – etwa Anzahl, Status und Zeitraum von Bewerbungen – können weiterhin zu statistischen Zwecken genutzt werden.

  3. Diese Frist gilt als dokumentierte Weisung des Verantwortlichen im Sinne des § 5. Der Verantwortliche stellt sicher, dass sie mit seinen eigenen Aufbewahrungspflichten und -interessen vereinbar ist. Abweichende Weisungen des Verantwortlichen in Textform bleiben unberührt; die technische Umsetzbarkeit ist gesondert zu vereinbaren.

  4. JobJitsu informiert den Verantwortlichen in Textform, bevor Bewerbungen einer Stellenanzeige erstmals anonymisiert werden, damit dieser rechtzeitig auf die Daten zugreifen kann. Die Information erfolgt in der Regel einen Monat im Voraus.

  5. Ausgenommen von Absatz 1 ist ein Protokoll der Handlungen, mit denen Personen, die für JobJitsu Zugriff auf die Daten des Verantwortlichen haben, diese über die Plattform verändern, löschen oder herausgeben. JobJitsu bewahrt es zum Nachweis der Rechtmäßigkeit der Verarbeitung (Art. 5 Abs. 2 DSGVO) und zur Sicherheit der Verarbeitung (Art. 32 DSGVO) zwölf Monate lang auf. Es enthält ausschließlich Kennungen sowie Art, Zeitpunkt und Ergebnis der Handlung, keine Inhalte, und wird nach Ablauf der Frist automatisch gelöscht.

§ 14 Haftung

Die Haftung richtet sich nach den Regelungen der AGB.