Auftragsverarbeitungs­vertrag

nach Art. 28 DSGVO · Stand: 27. Oktober 2026

zwischen der Agentur, die Doneforyou nutzt („Auftraggeber“), und WHITEACADEMY Birger Weiß, Inhaber Birger Weiß, Zur alten Ziegelei 10a, 48607 Ochtrup („Auftragnehmer“, „Doneforyou“).

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Software Doneforyou nach den AGB bereit (Hauptvertrag). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag regelt die Pflichten beider Seiten zum Datenschutz.

(2) Der Vertrag gilt, solange der Hauptvertrag besteht, und darüber hinaus, bis der Auftragnehmer alle Daten nach § 10 gelöscht oder zurückgegeben hat.

(3) Der Vertrag kommt zustande, wenn der Auftraggeber ihm bei der Registrierung zustimmt. Er liegt damit in elektronischem Format vor (Art. 28 Abs. 9 DSGVO).

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck ist die Bereitstellung von Doneforyou für Recruiting-Kampagnen: Erstellung von Werbetexten, Anzeigenbildern und Bewerber-Landingpages, Empfang und Verwaltung von Bewerbungen, Versand von Nachrichten an Bewerber, Bewerberportal für Kunden des Auftraggebers, Schalten von Anzeigen über das Meta-Werbekonto des Auftraggebers sowie Speichern von Anzeigen aus der Meta Werbebibliothek als Inspiration (Chrome-Extension) sowie Import von Funnels per Link in eine Kampagne oder als private Kopie in „Inspiration“ sowie Chat mit Bewerbern über eine eigene WhatsApp-Nummer je Kunde (WhatsApp pro Kunde) sowie Empfang, Zuordnung und Beantwortung von E-Mails der Bewerber (E-Mail-Postfach) sowie Übernahme von Bewerbern aus Exportdateien anderer Tools (Bewerber-Umzug).

(2) Art der Daten und Kreis der Betroffenen:

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Auftraggeber sorgt dafür, dass Bewerbungsformulare solche Daten nicht abfragen.

(3) Die Verarbeitung findet in der EU statt. Eine Übermittlung in Drittländer erfolgt nur über die Unterauftragsverarbeiter in Anlage 2 und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

(4) Dienste, die auf Bewerber-Landingpages direkt im Browser der Besucher geladen werden und die der Auftraggeber selbst einstellt, insbesondere ein Meta Pixel mit der Pixel-ID des Auftraggebers und eingebettete Karten von Google Maps, sind keine Auftragsverarbeitung durch Doneforyou. Dafür ist der Auftraggeber bzw. sein Kunde verantwortlich.

(5) Verbindet der Auftraggeber im Ads-Tab sein eigenes Meta-Werbekonto, übermittelt der Auftragnehmer auf Weisung des Auftraggebers Kampagnen-Einstellungen, Anzeigentexte, Anzeigenbilder (die Fotos von Mitarbeitern der Kunden zeigen können) und den Link zur Bewerber-Landingpage an Meta Platforms Ireland Limited und legt damit Anzeigen im Werbekonto des Auftraggebers an. Meta ist dabei kein Unterauftragsverarbeiter des Auftragnehmers, sondern Vertragspartner des Auftraggebers; für die Verarbeitung durch Meta gelten die Bedingungen zwischen dem Auftraggeber und Meta. Bewerberdaten werden nicht an Meta übermittelt.

(6) Bucht der Auftraggeber WhatsApp für einen Kunden (WhatsApp pro Kunde), stellt der Auftragnehmer eine eigene WhatsApp-Nummer in einem eigenen Bereich (Sub-Account) bei SendSeven bereit; die Nachrichten mit den Bewerbern werden über SendSeven und die WhatsApp Business Platform von Meta übermittelt (Anlage 2). Auf den Servern des Auftragnehmers liegen Nachrichtentexte, Vorschauen sowie Bilder und PDFs verschlüsselt (AES-256-GCM); Telefonnummern bleiben unverschlüsselt, damit eingehende Nachrichten zugeordnet werden können. Die Nummer wird im WhatsApp-Business-Konto des Auftragnehmers registriert; der Auftragnehmer schließt dafür die WhatsApp Business-Bedingungen mit Meta ab. Meta verarbeitet bestimmte Daten (z. B. Nutzungs- und Metadaten von WhatsApp) nach diesen Bedingungen in eigener Verantwortung; insoweit ist Meta kein Unterauftragsverarbeiter des Auftragnehmers. Der Auftraggeber sorgt dafür, dass Bewerber nur nach den Regeln von WhatsApp zuerst angeschrieben werden (insbesondere mit vorheriger Zustimmung zur Kontaktaufnahme per WhatsApp) und über den Kanal WhatsApp informiert sind.

(7) Im E-Mail-Postfach erhält jede Bewerbung eine eigene Antwortadresse. Eingehende E-Mails nimmt Cloudflare Email Routing entgegen und übermittelt sie signiert an den Auftragnehmer; Texte und Anhänge liegen verschlüsselt (AES-256-GCM), HTML-Inhalte werden nur als Text dargestellt, Anhänge nur in erlaubten Dateitypen übernommen. Ohne Bewerbung zugeordnete E-Mails löscht der Auftragnehmer nach 180 Tagen, E-Mails mit Spam-Verdacht nach 30 Tagen. Nur wenn der Auftraggeber die KI-Kurzfassung einschaltet, übermittelt der Auftragnehmer Name des Bewerbers, Betreff, Text und Dateinamen eingehender E-Mails an Anthropic. Nur wenn der Auftraggeber eine eigene Absender-Domain einrichtet, versendet der Auftragnehmer dessen E-Mails an Bewerber über Amazon Simple Email Service (Anlage 2). Der Auftraggeber legt je Kunde fest, ob dieser die E-Mails im Kundenportal sieht oder beantwortet und ob er Kopien erhält.

(8) Hinterlegt der Auftraggeber in den Einstellungen einen eigenen Mailserver (SMTP), versendet der Auftragnehmer E-Mails an Bewerber auf Weisung des Auftraggebers über diesen Mailserver. Den Mailserver betreibt der Auftraggeber selbst oder ein von ihm beauftragter Anbieter; dieser ist kein Unterauftragsverarbeiter des Auftragnehmers. Die Zugangsdaten speichert der Auftragnehmer verschlüsselt (AES-256-GCM) und verwendet sie ausschließlich für diesen Versand. Nimmt der Mailserver eine E-Mail nicht an, versendet der Auftragnehmer sie über seinen eigenen Versandweg (Anlage 2) und informiert den Auftraggeber.

(9) Nutzt der Auftraggeber SMS an Bewerber, übermittelt der Auftragnehmer die Mobilfunknummer des Bewerbers, den Nachrichtentext und den Absendernamen des Kunden an SendSeven (Anlage 2), die die SMS über ihren Dienstleister seven.io zustellt. SMS und WhatsApp-Nachrichten werden nur an Bewerber gesendet, die auf der Bewerbungsseite mit einem eigenen, freiwilligen Häkchen in SMS und WhatsApp eingewilligt haben oder deren anderweitig erteilte Einwilligung der Auftraggeber eingetragen hat; bei WhatsApp darf außerdem geantwortet werden, wenn der Bewerber selbst geschrieben hat. Einen Widerruf trägt der Auftraggeber im Bewerber-Fenster ein; danach versendet der Auftragnehmer weder SMS noch WhatsApp-Nachrichten an diesen Bewerber. Bewerber, die keine SMS mehr wünschen, kann der Auftraggeber außerdem für SMS sperren.

(10) Verbindet der Auftraggeber über den MCP-Server von Doneforyou einen KI-Assistenten (z. B. Claude von Anthropic oder ChatGPT von OpenAI) mit seinem Konto, übermittelt der Auftragnehmer auf Weisung des Auftraggebers die Daten, die der Assistent im Rahmen der erteilten Rechte abruft – auch Daten von Bewerbern (z. B. Name, Kontaktdaten, Antworten, Status, Notizen; keine hochgeladenen Unterlagen) und von Kunden des Auftraggebers –, an den Anbieter dieses Assistenten. Den Assistenten wählt, verbindet und steuert der Auftraggeber selbst; der Anbieter ist kein Unterauftragsverarbeiter des Auftragnehmers, für die Verarbeitung durch ihn gilt der Vertrag zwischen dem Auftraggeber und dem Anbieter. Der Auftraggeber prüft, ob er diese Daten an den Anbieter übermitteln darf (insbesondere Vertrag zur Auftragsverarbeitung mit dem Anbieter, Übermittlung in Drittländer, Nutzung der Daten zum Training), und stellt das gegenüber seinen Kunden sicher (§ 11). Der Einsatz von Anthropic als Unterauftragsverarbeiter für die KI-Erstellung (Anlage 2) bleibt davon unberührt. Der Auftraggeber kann Verbindungen jederzeit in den Einstellungen trennen.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Auftraggeber vorab mit, sofern das Gesetz es nicht verbietet. Weisungen sind der Hauptvertrag, dieser Vertrag und die Einstellungen und Aktionen des Auftraggebers in der App. Weitere Weisungen erteilt der Auftraggeber in Textform.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(3) Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke. Insbesondere verwendet er Bewerberdaten nicht zur Verbesserung von Doneforyou oder als Beispiele. Die Nutzung von Inhalten nach § 9 Abs. 2 der AGB erfolgt nur, nachdem personenbezogene Daten entfernt oder anonymisiert wurden.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und die mit den Bestimmungen zum Datenschutz vertraut gemacht wurden.

Einsicht in die Daten des Auftraggebers nehmen diese Personen nur, soweit es für Support-Anfragen des Auftraggebers, den Betrieb oder die Behebung von Fehlern erforderlich ist. Dafür nutzen sie eine Support-Ansicht, die das Konto so zeigt, wie der Auftraggeber es sieht: Sie wirkt nur lesend (Änderungen, Versand, KI-Aufträge und Käufe sind gesperrt), lässt sich nur nach Anmeldung im Verwaltungsbereich mit zweitem Faktor öffnen, endet spätestens nach 30 Minuten und wird mit Person, Konto, Beginn und Dauer protokolliert.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform, wenn er einen Unterauftragsverarbeiter hinzufügen oder ersetzen will. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, darf der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 7 Rechte der Betroffenen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anträge von Betroffenen (Art. 15 bis 22 DSGVO) zu beantworten. Viele Anfragen kann der Auftraggeber selbst in der App erledigen, z. B. Daten einsehen, ändern oder Bewerbungen löschen. Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.

§ 8 Weitere Unterstützung und Meldepflichten

(1) Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit es um seine Verarbeitung geht.

(2) Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Auftraggeber unverzüglich in Textform. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Er trifft die nötigen Maßnahmen, um die Folgen zu begrenzen.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf Kontrollen durchführen. Vor-Ort-Kontrollen sind mit einer Frist von mindestens zwei Wochen anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Soweit die Prüfung Rechenzentren von Unterauftragsverarbeitern betrifft, genügen deren aktuelle Zertifikate oder Prüfberichte.

§ 10 Löschung und Rückgabe

(1) Während der Laufzeit löscht der Auftragnehmer Daten, wenn der Auftraggeber sie in der App löscht oder ihn dazu anweist.

(1a) Bewerbungen löscht der Auftragnehmer außerdem automatisch nach der Frist, die der Auftraggeber in der App einstellt (Einstellungen → Impressum & Datenschutz: 3, 6, 12 oder 24 Monate nach der letzten Aktivität, voreingestellt sechs Monate; die automatische Löschung kann der Auftraggeber ausschalten oder für einzelne Bewerbungen aussetzen). Die eingestellte Frist gilt als Weisung des Auftraggebers. 14 Tage vor der Löschung informiert der Auftragnehmer den Auftraggeber per E-Mail.

(2) Nach Ende des Hauptvertrags löscht der Auftragnehmer alle Daten aus diesem Auftrag 30 Tage nach Vertragsende, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Bis dahin gibt er sie dem Auftraggeber auf Wunsch in einem gängigen Format heraus. Kopien in Datensicherungen werden im Rahmen der regulären Löschzyklen entfernt.

§ 11 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der Betroffenen (z. B. Datenschutzhinweise auf den Landingpages) und angemessene Löschfristen für Bewerberdaten. Dazu stellt der Auftragnehmer die automatische Löschung nach § 10 Abs. 1a bereit; wählt der Auftraggeber eine Frist oder schaltet er sie aus, verantwortet er diese Wahl. Impressum und Datenschutzhinweise für sein Kundenportal und das Onboarding-Formular hinterlegt der Auftraggeber in der App; ohne Eintrag zeigt der Auftragnehmer einen Standardtext aus den Rechnungsdaten des Auftraggebers an, dessen Richtigkeit und Vollständigkeit der Auftraggeber prüft.

(2) Ist der Auftraggeber selbst Auftragsverarbeiter seines Kunden, der für die Daten verantwortlich ist, ist der Auftragnehmer weiterer Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO). Der Auftraggeber stellt dann sicher, dass sein Kunde dem Einsatz von Doneforyou und der in Anlage 2 genannten Unterauftragsverarbeiter zugestimmt hat, und gibt Weisungen seines Kunden an den Auftragnehmer weiter. Der Auftraggeber bleibt einziger Ansprechpartner des Auftragnehmers, es sei denn, das Gesetz sieht etwas anderes vor.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO dem nicht entgegensteht.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags zum Datenschutz vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Server bei Hetzner in Rechenzentren in Deutschland mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal (nach Angaben von Hetzner, zertifiziert nach ISO/IEC 27001).
• Datenbank bei Supabase in einem Rechenzentrum in der EU (Irland, Region eu-west-1) von Amazon Web Services; physische Sicherheit und Zertifizierungen nach Angaben von Supabase bzw. Amazon Web Services.
• Administrativer Zugriff auf die Server nur durch den Inhaber und ausdrücklich beauftragte Personen.
• Einsicht in Konten des Auftraggebers durch den Auftragnehmer nur über die Support-Ansicht (§ 4): nur lesend, Anmeldung mit Passwort und zweitem Faktor, einmaliger Zugangslink mit 60 Sekunden Gültigkeit, höchstens 30 Minuten, jede Sitzung protokolliert.
• Zugriff auf die Datenbank nur über eine verschlüsselte Verbindung mit eigenem Passwort, das nur auf dem Server der Anwendung hinterlegt ist; Row Level Security aktiv, sodass die öffentlichen Schnittstellen von Supabase keinen Zugriff auf die Tabellen erlauben; Zugang zum Supabase-Konto nur für den Inhaber und ausdrücklich beauftragte Personen.
• Zugangsschlüssel zu verbundenen Meta-Konten verschlüsselt gespeichert (AES-256-GCM); Zugangstoken der Chrome-Extension nur als Hash, Ablauf nach einer Stunde bzw. mit dem Ende der Sitzung.
• Zugangsdaten zu einem vom Auftraggeber hinterlegten eigenen Mailserver (SMTP) verschlüsselt gespeichert (AES-256-GCM) und nur für den Versand an diesen Server verwendet.
• WhatsApp-Nachrichten, Chat-Vorschauen sowie Bilder und PDFs aus WhatsApp-Chats verschlüsselt gespeichert (AES-256-GCM); Medien nur für Berechtigte abrufbar, Medien werden für den Versand direkt an SendSeven übertragen; Meldungen von SendSeven werden über eine Signatur mit einem eigenen Schlüssel je Kunde (HMAC-SHA256) geprüft.
• Lebensläufe und andere Unterlagen von Bewerbern sowie Anhänge von Support-Anfragen verschlüsselt gespeichert (AES-256-GCM); Abruf nur angemeldet über die Anwendung nach Prüfung der Berechtigung, nicht über eine öffentliche Adresse.
• E-Mails im Postfach (Texte, Vorschauen, KI-Kurzfassungen) und ihre Anhänge verschlüsselt gespeichert (AES-256-GCM); Eingang vom E-Mail-Dienst nur mit gültiger Signatur (HMAC-SHA256, höchstens fünf Minuten alt); HTML-Inhalte werden nie dargestellt; Anhänge nur in erlaubten Dateitypen (am Inhalt erkannt) und auf Wunsch mit Virenprüfung; Download nur angemeldet über kurzlebige, an den Nutzer gebundene signierte Adressen; Begrenzung eingehender Mails je Absender, Bewerbung und Kunde.
• Passwörter nur als gesalzener Hash (scrypt) gespeichert; Sitzungen über zufällige Tokens, die in der Datenbank nur als Hash liegen; Sitzungs-Cookies HttpOnly, Secure und SameSite.
• Strikte Trennung der Daten je Agentur: Jede Abfrage ist an das angemeldete Konto gebunden; Kunden einer Agentur sehen im Portal nur ihre eigenen Bewerbungen.
• Begrenzung von Anmelde-, Registrierungs- und Bewerbungsversuchen je IP-Adresse; Schutz der Registrierung vor Bots (Cloudflare Turnstile).

Integrität

• Übertragung ausschließlich verschlüsselt über HTTPS (TLS).
• Prüfung aller Eingaben auf dem Server; Antworten im Bewerbungsformular werden nur gegen die tatsächlich gestellten Fragen gespeichert.
• Öffentliche Bewerbungsseiten mit strenger Content-Security-Policy (nur eigene, je Abruf freigegebene Skripte); das Auslesen fremder Seiten (Funnel-Umzug) erreicht keine internen Netze.
• Protokollierung von Credit-Buchungen und versendeten Nachrichten.

Verfügbarkeit und Belastbarkeit

• Schutz vor Überlastungsangriffen über das Netzwerk von Cloudflare.
• Rechenzentren mit redundanter Strom- und Netzanbindung (Hetzner, Amazon Web Services).
• Regelmäßige Datensicherungen.

Regelmäßige Überprüfung

• Einspielen von Sicherheitsupdates für Betriebssystem und Software.
• Auswahl von Unterauftragsverarbeitern nach ihren Sicherheitsmaßnahmen und Abschluss von Verträgen zur Auftragsverarbeitung.
• Überprüfung dieser Maßnahmen bei Änderungen der Software, mindestens einmal im Jahr.

Anlage 2: Unterauftragsverarbeiter