Datenschutzerklärung

Diese Datenschutzerklärung informiert dich darüber, wie wir bei der Nutzung unserer Web-App personenbezogene Daten verarbeiten.

1. Verantwortlicher

Civly GmbH
(Adresse laut Impressum)
E-Mail: (Kontakt laut Impressum)

2. Welche Daten verarbeiten wir?

Je nachdem, welche Features du nutzt, verarbeiten wir insbesondere:

  • Account-Daten (z. B. E-Mail-Adresse, Name, Authentifizierungsdaten).
  • Lebenslauf-/Bewerbungsdaten (Inhalte aus deinem hochgeladenen CV, Angaben im Editor, ggf. Anschreiben-Inhalte).
  • Suchkriterien (z. B. Wunschrollen, Skills, Standortpräferenzen).
  • Nutzungsdaten (z. B. technische Logs, Zeitpunkt von Aktionen, IP-Adresse in Server-Logs).

3. Zwecke & Rechtsgrundlagen

Wir verarbeiten Daten insbesondere zu folgenden Zwecken:

  • Bereitstellung des Dienstes (Account, CV-Editor, Export, Job-Suche) – Art. 6 Abs. 1 lit. b DSGVO.
  • Sicherheit & Missbrauchsprävention (Login, Betrugsprävention, Fehleranalyse) – Art. 6 Abs. 1 lit. f DSGVO.
  • Einbindung externer Anbieter (z. B. Login via Google, Versand von E-Mails, Zahlungsabwicklung) – Art. 6 Abs. 1 lit. b DSGVO und/oder Art. 6 Abs. 1 lit. f DSGVO.

4. Registrierung & Login

Wenn du dich einloggst (aktuell per Google), verarbeiten wir die dafür erforderlichen Daten, um deinen Zugang bereitzustellen und Sessions zu verwalten.

5. CV-Upload, Parsing & Editor

Wenn du einen Lebenslauf hochlädst, verarbeiten wir die Datei, um Inhalte auszulesen, sie im Editor darzustellen und passende Jobs vorzuschlagen. Wir empfehlen, keine sensiblen Daten hochzuladen, die für Bewerbungen nicht notwendig sind (z. B. Ausweiskopien).

6. KI-Features

Für bestimmte Features (z. B. Formulierungen verbessern, ATS-Check, Anschreiben erstellen, Matching von CV und Jobbeschreibung) nutzen wir KI-Modelle externer Anbieter. Dabei werden die von dir eingegebenen oder hochgeladenen Inhalte an den jeweiligen Anbieter übertragen, soweit dies zur Erbringung des Features nötig ist.

Wichtig: KI-Ausgaben sind Vorschläge. Bitte prüfe Inhalte auf Richtigkeit, Aktualität und Übereinstimmung mit deiner Situation.

Sprachaufnahmen: In einigen Eingabemasken (z. B. im geführten Lebenslauf-Assistenten) kannst du Antworten einsprechen statt zu tippen. Die Aufnahme wird nur nach deinem aktiven Start des Mikrofons erstellt und zur Umwandlung in Text an Google (Gemini API) übertragen. Civly speichert die Audiodatei nach der Transkription nicht; weiterverarbeitet wird ausschließlich der erkannte Text, den du vor dem Speichern prüfen und bearbeiten kannst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Job-Suche & externe Datenquellen

Bei der Job-Suche nutzen wir externe Datenquellen/APIs, um Stellenanzeigen zu finden und Details anzuzeigen. Hierbei können Suchkriterien (z. B. Jobtitel, Skills, Region) an den jeweiligen Anbieter übertragen werden.

8. Zahlungen

Wenn du kostenpflichtige Features nutzt, erfolgt die Zahlungsabwicklung über einen Zahlungsdienstleister (Stripe). Dabei verarbeiten wir selbst keine vollständigen Kreditkartendaten.

Im Rahmen der Zahlungsabwicklung können Daten wie Name, E-Mail-Adresse, Rechnungsinformationen, Land sowie Informationen zu deinem Abo (z. B. Laufzeit/Status) an Stripe übermittelt werden. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

9. Cookies

Wir verwenden Cookies und ähnliche Technologien, um grundlegende Funktionen bereitzustellen (z. B. Login/Sicherheit). Optional können weitere Cookies eingesetzt werden (z. B. für Analyse), sofern du zustimmst.

10. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Du kannst Inhalte (z. B. CVs) in der App löschen; dann werden sie im Rahmen unserer technischen Möglichkeiten entfernt bzw. anonymisiert.

Konkret gelten folgende Fristen:

  • Ohne Account (Gast-Nutzung): Daten aus dem ATS-Check und dem Ikigai-Test, die du ohne Anmeldung erstellst, werden nach 30 Tagen automatisch gelöscht.
  • KI-Analysen: Ergebnisse von KI-Auswertungen (z. B. ATS-Berichte, Job-Analysen, generierte Entwürfe) werden nach 90 Tagen automatisch gelöscht, sofern du sie nicht in einem gespeicherten Dokument übernommen hast.
  • Account-Daten: Account, Lebensläufe, Anschreiben, Kontakte und Einstellungen bleiben gespeichert, bis du deinen Account löschst (Profil → Account löschen) oder die Löschung bei uns beantragst. Danach werden die Daten entfernt; gesetzlich aufbewahrungspflichtige Rechnungsdaten bleiben für die Dauer der Aufbewahrungsfrist beim Zahlungsdienstleister bzw. in unserer Buchhaltung.
  • Server-Logs: Technische Logs (inkl. IP-Adresse) werden von unseren Hosting-Anbietern kurzfristig gespeichert und automatisch verworfen.

11. Auftragsverarbeiter und Empfänger

Wir setzen die folgenden Dienstleister ein. Auftragsverarbeiter handeln nach Art. 28 DSGVO nur auf unsere Weisung; bei Übermittlungen in Drittländer stützen wir uns auf die EU-Standardvertragsklauseln (SCC) des jeweiligen Anbieters, soweit kein Angemessenheitsbeschluss greift.

Google Gemini API (KI)

  • Anbieter: Google Ireland Ltd. / Google LLC
  • Zweck: KI-Generierung und -Auswertung für Lebenslauf, Anschreiben, ATS-Check, Ikigai-Test, Job-Analyse sowie Transkription von Sprachaufnahmen.
  • Datenkategorien: Von dir eingegebene oder hochgeladene Lebenslauf- und Bewerbungsinhalte, Stellentexte, Antworten aus Fragebögen, Sprachaufnahmen (nur zur Transkription).
  • Region: USA (Drittland). Absicherung durch EU-Standardvertragsklauseln im Rahmen der Google Cloud Datenverarbeitungsbedingungen.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für die KI-Suche in den Kontakten gilt zusätzlich Abschnitt 13 (Einwilligung).

PostHog (Analyse)

  • Anbieter: PostHog Inc., EU-Hosting (Cloud-Region EU, Server in Frankfurt).
  • Zweck: Nutzungsanalyse und Session-Replay, um Fehler zu finden und die App zu verbessern. Eingaben in Formularen werden im Replay maskiert.
  • Datenkategorien: Pseudonyme Nutzer-ID, Seitenaufrufe, Klick-Ereignisse, Geräte-/Browserdaten, maskierte Bildschirmaufzeichnungen.
  • Region: EU.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über das Cookie-Banner). Ohne Einwilligung werden keine Daten an PostHog gesendet; du kannst die Einwilligung jederzeit in den Cookie-Einstellungen widerrufen.

Vercel (Hosting)

  • Anbieter: Vercel Inc., USA
  • Zweck: Hosting der Web-App und der Server-Funktionen, Blob-Speicher für hochgeladene Fotos, optional Web-Analytics und Speed Insights (nur nach Einwilligung).
  • Datenkategorien: Alle über die App übertragenen Daten (Transport), IP-Adresse und Request-Metadaten in Logs, Profilfotos im Blob-Speicher, bei Einwilligung anonymisierte Leistungs- und Seitenaufruf-Daten.
  • Region: Server-Funktionen laufen in der Region Frankfurt (EU). Der Blob-Speicher ist global verteilt, sodass eine Verarbeitung außerhalb der EU möglich ist; Absicherung durch EU-Standardvertragsklauseln.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Hosting, Fotos); Art. 6 Abs. 1 lit. a DSGVO (Analytics, Speed Insights).

Neon (Datenbank)

  • Anbieter: Neon Inc.
  • Zweck: Speicherung aller Account- und Bewerbungsdaten (Postgres-Datenbank).
  • Datenkategorien: Account-Daten, Lebensläufe, Anschreiben, Kontakte, Job-Daten, Abo-Status.
  • Region: EU-Central (Frankfurt).
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Stripe (Zahlung)

  • Anbieter: Stripe Payments Europe Ltd., Irland (ggf. Stripe Inc., USA)
  • Zweck: Zahlungsabwicklung und Abo-Verwaltung.
  • Datenkategorien: Name, E-Mail-Adresse, Rechnungsinformationen, Land, Zahlungsmittel (nur bei Stripe), Abo-Laufzeit und -Status. Wir selbst speichern keine vollständigen Kartendaten.
  • Region: EU; Übermittlung in die USA möglich, abgesichert durch EU-Standardvertragsklauseln.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung von Rechnungsdaten nach Art. 6 Abs. 1 lit. c DSGVO.

Bundesagentur für Arbeit, Jobsuche-API (Stellensuche)

  • Anbieter: Bundesagentur für Arbeit, Nürnberg
  • Zweck: Abruf passender Stellenanzeigen für die Job-Suche.
  • Datenkategorien: Ausschließlich Suchbegriffe (z. B. Jobtitel, Ort, Umkreis). Es werden keine Kontaktdaten und keine Lebenslauf-Inhalte übermittelt.
  • Region: Deutschland.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Civly Job-Server (api.civly.de)

  • Anbieter: Eigene Infrastruktur von Civly auf einem eigenen Server in der EU.
  • Zweck: Ausführung der Job-Suche und Job-Bewertung (Matching deines Profils mit Stellenanzeigen).
  • Datenkategorien: Suchprofil (Wunschrollen, Skills, Standort), ausgewählter Lebenslauf, gefundene Stellenanzeigen und Bewertungsergebnisse.
  • Region: EU.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Google OAuth (Login)

  • Anbieter: Google Ireland Ltd.
  • Zweck: Anmeldung mit deinem Google-Konto.
  • Datenkategorien: Google-Konto-ID, E-Mail-Adresse, Name, Profilbild-URL. Wir erhalten kein Passwort und keinen Zugriff auf weitere Google-Dienste.
  • Region: EU/USA; Absicherung durch EU-Standardvertragsklauseln.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12. Drittlandübermittlung

Je nach eingesetztem Dienstleister kann es zu Datenübermittlungen in Länder außerhalb der EU/EWR kommen. In solchen Fällen stellen wir geeignete Garantien sicher (z. B. EU-Standardvertragsklauseln), soweit erforderlich.

13. KI-Suche im Karriere-CRM (Kontakte)

Im Bereich "Kontakte" kannst du eine KI-Suche aktivieren, mit der du unseren Karriere-Begleiter "Civ" in natürlicher Sprache nach Personen aus deinem Karriere-Netzwerk fragen kannst (z. B. "Wer war der Ansprechpartner für Drucker-Probleme?"). Diese Funktion ist standardmäßig deaktiviert und erfordert deine ausdrückliche Einwilligung.

Was übertragen wird: Bei einer Suchanfrage senden wir deine Frage sowie eine kompakte Liste deiner aktiven Kontakte (Name, Rolle, Firma, Tags, Beziehungstyp, Datum des letzten Kontakts) an Google Gemini. Notizen, E-Mail-Adressen, Telefonnummern und LinkedIn-URLs werden nur dann übertragen, wenn die KI für eine konkrete Antwort einen Detailabruf zu einem bestimmten Kontakt benötigt. Archivierte Kontakte werden standardmäßig nicht einbezogen.

Rechtsgrundlage: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst die Einwilligung jederzeit in den Einstellungen ("KI-Suche in Kontakten") widerrufen. Nach dem Widerruf verarbeitet die KI keine deiner Kontaktdaten mehr.

Empfänger: Google Ireland Ltd. bzw. Google LLC als Anbieter der Gemini-API. Es gelten zusätzlich die Nutzungsbedingungen und Datenschutzregelungen von Google. Beachte, dass dabei eine Datenübermittlung in Drittländer (insbesondere USA) möglich ist.

Hinweis: Die KI-Suche ist eine Funktion von Civly Plus. Deine Einwilligung schaltet die Suche nicht ohne aktives Plus-Abo frei; sie legt nur fest, ob deine Kontaktdaten verwendet werden dürfen.

14. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen bestimmte Verarbeitungen. Außerdem kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren.

15. Kontakt

Wenn du Fragen zum Datenschutz hast, schreibe uns bitte an die im Impressum angegebene Kontaktadresse.