Datenschutz

Verantwortlicher

Die Angaben zum Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO stehen im Impressum.

Beim Aufruf dieser Seite

Der Webserver des Hosting-Anbieters verarbeitet beim Aufruf technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Sicherheit der Website).

Innerhalb der Anwendung wird Ihre IP-Adresse nicht im Klartext gespeichert, sondern nur als nicht umkehrbarer Hashwert mit geheimem Zusatz. Damit lässt sich erkennen, ob zwei Zugriffe von derselben Verbindung kamen — der Anschluss selbst bleibt verborgen.

Konto und Anmeldung

Für ein Konto werden E-Mail-Adresse, Passwort und Sprache benötigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Das Passwort wird ausschließlich als Argon2id-Hash gespeichert und ist auch für uns nicht lesbar.

Fehlgeschlagene Anmeldeversuche werden 90 Tage lang festgehalten, um Angriffe erkennen zu können (Art. 6 Abs. 1 lit. f DSGVO).

Profil der Betreuerinnen

Das Profil gehört der Person, nicht einer Firma. Es enthält Angaben, die Sie selbst eintragen: Name, Geburtsjahr, Staatsangehörigkeit, Fähigkeiten, Sprachen, Werdegang und Freitexte.

Erhoben wird bewusst nur das Geburtsjahr, nicht das vollständige Geburtsdatum: Für die Einschätzung „passt das zur Stelle?“ genügt das Jahr (Art. 5 Abs. 1 lit. c DSGVO, Datenminimierung).

Dokumente

Hochgeladene Dokumente werden mit XChaCha20-Poly1305 verschlüsselt und außerhalb des öffentlich erreichbaren Verzeichnisses abgelegt. Jede Datei hat einen eigenen Schlüssel.

Bilder werden beim Hochladen neu berechnet statt nur geprüft. Das entfernt eingebettete Zusatzangaben wie GPS-Koordinaten aus Aufnahmen — bei einem Bewerbungsfoto ein echtes Datenleck.

Ein Führungszeugnis und Ausweisdokumente können niemals über einen geteilten Profillink sichtbar gemacht werden. Das ist fest im Programm verdrahtet und lässt sich nicht einschalten — ein Strafregisterauszug ist ein Datum nach Art. 10 DSGVO.

Freigaben an Firmen

Eine Firma erhält kein Eigentum an Ihren Unterlagen, sondern eine befristete, jederzeit widerrufbare Freigabe. Endet Ihre Mitgliedschaft, werden alle daraus entstandenen Freigaben automatisch widerrufen. Ihre Unterlagen wandern mit Ihnen; es wird nichts kopiert.

Geteilte Profillinks

Sie können einen Link erzeugen, unter dem Firmen und Familien Ihr Profil ohne Anmeldung sehen. Sie bestimmen, welche Abschnitte sichtbar sind. Jeder Link läuft ab (voreingestellt 30 Tage, höchstens 180) und ist jederzeit widerrufbar. Aufrufe werden festgehalten, damit Sie sehen, ob hingeschaut wurde; die IP steht dabei nur als Hashwert.

Protokoll

Jeder Zugriff auf personenbezogene Daten wird protokolliert. Sie können das Protokoll zu Ihrer Person jederzeit unter „Meine Daten“ einsehen — genau dafür ist es gebaut.

Verschlüsselung — und ihre Grenzen

Die Übertragung erfolgt ausschließlich über HTTPS. Dokumente und Datenauskünfte liegen verschlüsselt auf der Festplatte.

Dazu gehört eine offene Angabe: Diese Verschlüsselung schützt gegen abgeflossene Sicherungskopien, gegen Schwachstellen, die Dateien auslesen, und gegen eine falsch eingerichtete Serverzuordnung. Sie schützt nicht gegen einen Angreifer, der Programmcode auf dem Server ausführen kann, und nicht gegen den Hosting-Anbieter. Auf einem gemieteten, geteilten Webspace muss der Schlüssel für das Programm lesbar sein. Mehr ist dort technisch nicht erreichbar — alles andere wäre Theater.

Keine Weitergabe an Dritte

Es sind keine Analysedienste, keine Werbenetzwerke, keine externen Schriftarten und keine Inhalte fremder Server eingebunden. Alle Dateien werden vom eigenen Server ausgeliefert.

Aufbewahrung und Löschung

Anmeldeversuche werden nach 90 Tagen gelöscht, abgelaufene Sitzungen und Token nach 30 Tagen, Aufrufe geteilter Links nach 180 Tagen, Datenauskünfte nach 7 Tagen. Die vollständige Liste sehen Sie angemeldet unter „Meine Daten“.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77).

Auskunft und Löschung können Sie angemeldet unter „Meine Daten“ selbst auslösen — ohne Anfrage und ohne Wartezeit.

Was bei einer Löschung bleiben muss

Haben Sie über die Plattform etwas unterschrieben, bleibt der Nachweis darüber erhalten. Art. 17 Abs. 3 lit. e DSGVO nimmt Daten vom Löschrecht aus, die zur Geltendmachung von Rechtsansprüchen erforderlich sind. Ohne diesen Nachweis ließe sich später nicht mehr belegen, dass unterschrieben wurde — weder von Ihnen noch gegen Sie.

In diesem Fall wird Ihr Konto nicht gelöscht, sondern anonymisiert: Name, E-Mail-Adresse, Telefonnummer, Fotos und alle Freitexte werden entfernt, Zugänge geschlossen und sämtliche Freigaben widerrufen. Zurück bleibt nur der Beleg selbst. Welche Sperren Sie betreffen, sehen Sie vorher unter „Meine Daten“ — mit Begründung.

Änderungen

Diese Erklärung wird fortgeschrieben, sobald die Anwendung weitere Funktionen erhält. Der Stand dieser Fassung ist der 17.08.2026.