Datenschutzerklärung

Diese Erklärung beschreibt, welche Daten JobTarsier verarbeitet, wozu, auf welcher Rechtsgrundlage, wie lange und an wen sie gegebenenfalls weitergegeben werden. Sie beschreibt den tatsächlichen Stand der Anwendung — nicht geplante oder abgeschaltete Funktionen als laufenden Betrieb.

1. Verantwortlicher und Kontakt

Philipp Schmid

Elilandstraße 3

83671 Benediktbeuern

Deutschland

E-Mail: philipp.schmid@ouventy.de

Telefon: +49 163 9101383

Ein Datenschutzbeauftragter ist nicht bestellt — es besteht keine gesetzliche Pflicht dazu (kein Beschäftigter, keine Kerntätigkeit in der Verarbeitung besonderer Kategorien nach Art. 9 DSGVO oder in umfangreicher regelmäßiger Überwachung nach Art. 37 DSGVO / § 38 BDSG).

2. Verarbeitungszwecke im Einzelnen

2.1 Registrierung und Login

Aktuell ist ausschließlich die Anmeldung über ein Google-Konto aktiv geschaltet. Eine Anmeldung über Microsoft/Azure AD ist im Programmcode vorbereitet, aber beim Anmeldeanbieter derzeit nicht aktiviert — es findet darüber keine Datenverarbeitung statt.

Tarif und Tester-Kennzeichen. Neben den Login-Daten führt dein Konto den gebuchten Tarif (kostenlos, Pro oder Ultra) und ein Tester-Kennzeichen. Beide Felder kannst du nicht selbst ändern — sie sind auf Datenbankebene gegen Selbstbedienung gesperrt und werden ausschließlich von einem Administrator gesetzt (Abschnitt 2.11). Das Tester-Kennzeichen wird nie verkauft: Es hebt die Mengengrenzen deines Plans vollständig auf (Abschnitt 2.17) und lässt dabei dein Kostennetz auf Ultra-Höhe stehen (Abschnitt 2.16) — einen zusätzlichen Funktionsumfang verschafft es dir nicht.

2.2 Profil, Lebenslauf und Zeugnisse

Dauerhafter Auszug je Dokument. Zusätzlich zu den Einträgen in deinem Lebenslauf-Aggregat speichern wir zu jedem hochgeladenen Dokument einen eigenen, unveränderlichen Auszug der Angaben, die das Sprachmodell darin erkannt hat — Stationen, Fähigkeiten (mit Art und Belegstärke) und Qualifikationen, bei einem Zeugnis zusätzlich den erkannten Beschäftigungskopf (Arbeitgeber, Rolle, Zeitraum) und die wörtlichen Zitate, mit denen das Modell eine Fähigkeit belegt hat, sowie — bei einem Zeugnis — die von der KI erkannte Zuordnung zu einer deiner beruflichen Stationen oder ausdrücklich „keine Station erkannt". Dieser Auszug dient der Nachvollziehbarkeit (woher stammt ein Lebenslauf-Eintrag, EU AI Act Art. 12) und wird von keinem Sprachmodell-Aufruf gelesen — er ist reines Beleg- und Herkunftsmaterial (Einzelheiten in Abschnitt 5). Du kannst ihn nicht gesondert einsehen oder bearbeiten; er wird automatisch mit dem zugehörigen Dokument gelöscht. Wird ein Dokument erneut ausgewertet, tritt ein neuer Auszug an die Stelle des alten; die vorherige Fassung bleibt ausnahmsweise so lange bestehen, wie sie die einzige aufgezeichnete Herkunft eines deiner Lebenslauf-Einträge zu diesem Dokument trägt, und entfällt, sobald das nicht mehr der Fall ist.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Lebensläufe und Arbeitszeugnisse sind Freitextdokumente. Sie können — ohne dass danach gezielt gefragt wird — Angaben enthalten, aus denen sich Gesundheitsdaten, ethnische Herkunft, religiöse oder weltanschauliche Überzeugungen ergeben (z. B. Lücken mit gesundheitlichem Hintergrund, Namen, die auf Herkunft schließen lassen, oder ein Bewerbungsfoto, sofern im PDF enthalten). Die einzelne Seite entscheidet, ob ein solches Bild Anthropic erreicht: Seiten mit weniger als 100 Textzeichen oder einem Bildanteil von mindestens 50 % gehen als Teil-PDF an Anthropic; reine Textseiten — auch mit einem Bewerbungsfoto, dessen Bildanteil darunter liegt — werden lokal ausgelesen und erreichen Anthropic nicht. Scheitert das lokale Auslesen (z. B. bei einem beschädigten oder passwortgeschützten PDF), geht das vollständige Dokument ersatzweise an Anthropic. Die strukturierte Auswertung des gewonnenen Textes bleibt davon unberührt: Sie erreicht Anthropic bei jedem Dokument, unabhängig davon, ob der Text lokal oder über Anthropic gewonnen wurde. Es findet keine automatisierte Schwärzung oder Filterung solcher Angaben vor der Weiterverarbeitung statt — weder lokal noch bei Anthropic.

2.3 KI-gestütztes Job-Ranking

Score-Schwellwert (Pro). Zusätzlich zur Bewertung selbst kannst du als Pro-Nutzer in den Einstellungen einen Schwellwert festlegen (0–100 in Zehnerschritten, vorbelegt mit 80) und einen eigenen Benachrichtigungstyp „Top-Treffer" ein- oder ausschalten. Beide Werte verlassen die Anwendung nicht — sie werden nicht an Anthropic übergeben, sondern erst nach Rückkehr der Bewertung lokal mit dem gespeicherten Score verglichen. Erreicht oder übersteigt ein automatisch berechneter Score (nicht ein per Knopfdruck abgerufener) diesen Schwellwert, entsteht die Benachrichtigung, die Abschnitt 2.9 beschreibt.

Meldemarker am Kandidaten. Damit ein Kandidat höchstens einmal gemeldet wird, führt jeder importierte Kandidat (siehe 2.8) zwei zusätzliche Zeitstempel:

2.4 KI-Anschreiben-Erstellung und Lernschleife

Die Zuordnungsliste zum Entwurf. Zusammen mit dem Anschreiben entsteht eine Liste, die je erkannter Anforderung der Stellenbeschreibung festhält, welche deiner Lebenslauf-Einträge sie belegen. Sie wird dir neben dem Entwurf angezeigt — sie ist der Weg, auf dem du nachvollziehen kannst, worauf sich der Entwurf stützt. Aufgeführt werden nur Anforderungen, zu denen mindestens ein Beleg übrig bleibt; eine Anforderung ohne Beleg erscheint nicht in der Liste.

Gespeichert wird zu jedem Punkt der Wortlaut der Anforderung sowie zu jedem Beleg die Art des Eintrags, sein Anzeigename (Unternehmen und Bezeichnung) und ein Herkunftsvermerk auf den Lebenslauf-Eintrag. Der Anzeigename ist bewusst eine Kopie zum Zeitpunkt der Erstellung und keine Verknüpfung: Bearbeitest oder löschst du den Lebenslauf-Eintrag später, bleibt der Nachweis unverändert — er soll zeigen, worauf der Entwurf sich damals stützte. Zeitraum und Belegstärke der Einträge werden in dieser Anzeige ausdrücklich nicht gezeigt; sie erlauben Rückschlüsse etwa auf das Alter. Die Liste verlässt die Anwendung nicht: Sie entsteht aus der Antwort des Modells, wird bei uns gespeichert und an niemanden weitergegeben (Speicherung wie alle übrigen Daten bei Supabase).

Eine erkannte dauerhafte Präferenz aus dem Chat wird dir erst zur Bestätigung vorgeschlagen und nur nach deiner ausdrücklichen Zustimmung gespeichert. Korrigierst du den Entwurf dagegen direkt im Editor, wird eine Präferenz automatisch anhand des Unterschieds zum Entwurf abgeleitet und ohne Rückfrage in derselben Tabelle gespeichert.

Der Weg über ein Interview. Statt sofort einen Entwurf zu erzeugen, kannst du dir aus der Bewertung der Passgenauigkeit (2.5) Rückfragen zu den dort als fehlend erkannten Punkten stellen lassen und sie beantworten. Ein eigener KI-Aufruf leitet die Fragen aus der Fehlt-Liste jener Bewertung und den Stellendaten ab — dein Profil geht in diesen Aufruf nicht ein. Für den Anschreiben-Entwurf selbst gilt: Erzeugst du das Anschreiben, gehen deine Antworten zusammen mit denselben Daten wie oben in den Anschreiben-Aufruf; ohne diesen Schritt verlässt eine Antwort das Interview nicht in Richtung des Anschreibens. Eine übersprungene Frage wird dem Modell ausdrücklich als „nicht vorhanden" mitgegeben, damit daraus keine Fähigkeit erfunden wird. Der Einstieg setzt mindestens einen Lebenslauf-Eintrag voraus.

Antwort ins Profil übernehmen — nur für Pro/Ultra. Zusätzlich kannst du jede einzelne beantwortete Frage per Klick auf „Übernehmen" dauerhaft in dein Profil („Was wir über dich wissen") aufnehmen. Erst dieser ausdrückliche Klick löst einen eigenen KI-Aufruf aus, der aus der Antwort einen Profil-Eintrag formuliert — ohne den Klick wird nichts gespeichert. An diesen Aufruf gehen ausschließlich die Anforderung, die Frage und deine Antwort dieser einen Frage; nicht dein Profil, nicht die Stellenbeschreibung und keine deiner Dokumente. Erkennt das Modell in deiner Antwort keine Angabe über dich, wird nichts gespeichert. Scheitert der Aufruf technisch (z. B. eine Zeitüberschreitung oder ein ungültiges Antwortformat), wird deine Antwort ersatzweise wörtlich übernommen; eine Kontingent- oder Kontosperre (2.16/2.19) führt dagegen zum Abbruch ohne jede Speicherung. Der entstehende Eintrag trägt dieselbe Herkunftskennzeichnung wie ein aus dem Chat gemerkter Fakt (2.4, „Aus Gespräch"), ist wie jeder andere Lebenslauf-Eintrag jederzeit lösch- und bearbeitbar und fließt danach regulär in das Ranking (2.3), in Erstellung und Chat-Überarbeitung des Anschreibens sowie in die stellenoptimierte Fassung (2.6) ein.

Markierst du eine Aussage aus dem Chat als merkenswert, ordnet ein weiterer KI-Aufruf sie einem von zwei Zielen zu: einem inhaltlichen Fakt über dich (dann wandert er in deinen Lebenslauf, gekennzeichnet mit der Herkunft „aus Anschreiben-Gespräch") oder einer Stilpräferenz (dann in dieselbe Präferenztabelle wie oben). Ist die Zuordnung nicht eindeutig, wird nichts gespeichert. An diesen Aufruf geht ausschließlich die von dir markierte Aussage, nicht dein Profil.

2.5 KI-Bewertung deines Anschreibens (Passgenauigkeit)

2.6 KI-erzeugte stellenoptimierte Lebenslauf-Fassung

Was dabei technisch verhindert wird: Unternehmen, Rolle, Anfangs- und Enddatum sowie Institution und Jahr einer Qualifikation werden wörtlich aus deinen Einträgen übernommen; die Antwort des Modells wird darauf Feld für Feld geprüft und bei Abweichung verworfen. Umformuliert werden ausschließlich die Beschreibungstexte. Ebenso wird geprüft, dass keine Station fehlt und dass jeder Eintrag der Antwort einem Eintrag deines Lebenslaufs zugeordnet ist — eine erfundene Station kann so nicht in die Fassung geraten. Die Verantwortung für die Prüfung vor dem Einreichen bleibt dennoch bei dir.

2.7 Wunsch zur beruflichen Weiterentwicklung

2.8 Job-Import und -Suche

Eingangsstand und Mailverlauf — der Unterschied. Der Eingangsstand ist die Anzeige für dich: ein einziger, immer wieder überschriebener Stand je Weiterleitungsadresse, den du in der Jobsuche siehst. Der Mailverlauf ist dagegen ein Protokoll für den Verantwortlichen: Für jede weitergeleitete Mail bleibt ein eigener Eintrag stehen, einen Monat lang. In der Anwendung wird er dir nicht angezeigt; du erhältst ihn aber mit dem Datenexport (2.14). Er enthält nichts aus dem Inhalt der Mail.

Das Abrufprotokoll beim Mailabruf aus einem eigenen Postfach. Für jede dabei verarbeitete Mail hält JobTarsier fest, aus welchem Postfach und Ordner sie stammt, von wem sie kam und welchen Betreff sie hatte, wann sie angekommen ist und wann sie verarbeitet wurde, mit welchem Ergebnis (übernommen, übersprungen mit Grund, Lese- oder Verbindungsfehler), wie viele Stellen daraus entstanden sind und eine kurze Bilanz der Link-Verarbeitung. Der Mailtext gehört nicht dazu; er wird getrennt gespeichert und nach einem Monat gelöscht (siehe oben). Betreff und Absender werden dagegen automatisiert einen Monat nach dem Abruf aus dem Protokoll gelöscht; der Eintrag selbst bleibt mit den übrigen Angaben (Postfach und Ordner, Zeitpunkte, Ergebnis, Zahlen sowie die Kennung der Mail, mit der ein doppelter Import verhindert wird) bis zur Löschung deines Kontos stehen. Entfernst du ein Postfach, löst sich nur die Zuordnung der Einträge zu diesem Postfach; Betreff und Absender sind dann nach Ablauf des Monats ebenfalls gelöscht, die übrigen Angaben bleiben bis zur Kontolöschung bestehen. Du erhältst das Abrufprotokoll mit dem Datenexport (2.14), solange Betreff und Absender noch nicht gelöscht sind; sie stammen von Dritten, die dir geschrieben haben.

Zur Weiterleitungsadresse: Sie enthält seit dem 4. September 2026 deinen Vornamen.

Für den Import per E-Mail-Weiterleitung stellt JobTarsier dir eine eigene Empfangsadresse bereit. Sie hatte bisher die Form alerts-<zufällige Zeichenfolge>@jobtarsier.de und enthielt keinerlei Angabe über dich. Damit du sie dir merken und in deinem Postfach wiedererkennen kannst, ist sie jetzt so aufgebaut:

<vorname>.<bezeichnung>-<zufallsteil>@jobtarsier.de — zum Beispiel philipp.stepstone-7fk2q@jobtarsier.de

• Der Vorname stammt aus dem Namen, den du in deinem Profil hinterlegt hast — verwendet wird ausschließlich das erste Wort, in eine reine Buchstaben-Ziffern-Form umgeschrieben (aus „Björn“ wird bjoern). Nachname, E-Mail-Adresse und alle übrigen Profilangaben fließen nicht ein. Hast du keinen Namen hinterlegt oder lässt er sich nicht umschreiben, tritt an seine Stelle eine zufällige Kennung der Form nutzer-a1b2c3.
• Die Bezeichnung ist der Name, den du der Adresse selbst gibst; ohne eigene Angabe steht dort default.
• Der Zufallsteil wird serverseitig erzeugt und ist von dir nicht wählbar.

Warum das für dich von Bedeutung ist. Diese Adresse trägst du selbst bei einem Dritten ein — nämlich als Weiterleitungsregel in deinem eigenen E-Mail-Postfach. Sie erscheint außerdem im Kopf jeder Mail, die an sie gesendet wird, und ist damit für die Absender dieser Mails sichtbar, etwa für die Jobbörse, deren Benachrichtigungen du weiterleitest. Dein Vorname wird dadurch an Stellen sichtbar, an denen zuvor nur eine bedeutungslose Zeichenfolge stand. JobTarsier übermittelt diese Adresse nicht an Dritte; sichtbar wird sie allein dadurch, dass du sie verwendest.

Der Zufallsteil ist kürzer als die frühere Zeichenfolge. Das ist eine bewusste Abwägung zugunsten der Merkbarkeit: Die alte Adresse war praktisch nicht zu erraten, die neue ist es schwerer als eine gewöhnliche Adresse, aber nicht in demselben Maß. Wer die Adresse errät, kann Stellenanzeigen in deine Kandidatenliste einspeisen — er erhält dadurch keinen Zugriff auf dein Konto und keine deiner Daten. Findest du unerwartete Einträge, kannst du die Adresse in der Jobsuche über das Feld „Bezeichnung" im Overlay „Job Inbox anlegen" jederzeit umbenennen; sie erhält damit einen neuen Zufallsteil, und die bisherige Adresse nimmt sofort nichts mehr an.

Bestandsadressen wurden einmalig umgestellt. Hattest du vor dem 4. September 2026 bereits eine Weiterleitungsadresse, wurde sie auf das neue Format umgestellt. Die alte Adresse nimmt seitdem keine Mails mehr an — einen Parallelbetrieb beider Formate gibt es nicht. Ein Hinweis im Overlay „Job Inbox anlegen" der Jobsuche zeigt dir die alte und die neue Adresse nebeneinander, bis du ihn bestätigst; bitte passe deine Weiterleitungsregel entsprechend an. Weitergeleitete Mails, die in der Zwischenzeit an die alte Adresse gingen, erreichen JobTarsier nicht und werden dort auch nicht gespeichert.

Die Anreicherungsdaten bleiben am gemerkten Job.

Ist eine importierte Stellenbeschreibung dünn, sucht die Anwendung über Brave Search die zugehörige Firmenseite (oben, Empfänger). Dabei entstehen am Kandidaten sechs Werte, die festhalten, was gefunden wurde und wie sicher. Merkst du dir den Kandidaten als Job, wird der Kandidat selbst unmittelbar gelöscht; die sechs Werte werden vorher in den Job übernommen — damit dir zu jedem gemerkten Job nachvollziehbar bleibt, woher seine Angaben stammen:

Löschst du den Job oder dein Konto, verschwinden diese Werte mit; sie liegen im selben Datensatz wie der Job und sind an dein Konto gekettet (Abschnitt 6).

2.9 Benachrichtigungen

Es gibt fünf Benachrichtigungstypen: neue Treffer, Erinnerung bei Inaktivität, fällige Follow-ups, Top-Treffer (2.3) und Rückmeldung erledigt (2.21) — Letzterer ausschließlich als In-App-Hinweis, nie per E-Mail und damit von den folgenden Versandregeln nicht berührt. Ein rein interner Systemhinweis bei Importfehlern versendet ebenfalls keine Mail und ist von den folgenden Regeln nicht berührt.

Versandtakt. Ein täglicher Sammel-Lauf um 06:00 UTC versendet höchstens eine Mail pro Kalendertag —

• bei Pro getrennt je Benachrichtigungstyp, also bis zu vier Mails an einem Tag, wenn in jedem Typ etwas anfiel; einzelne Ereignisse werden nicht sofort versendet;
• bei Free eine gebündelte Mail über alle Typen hinweg — der Typ „Top-Treffer" ist darin nie enthalten, weil das automatische Scoring, das ihn auslöst, eine Pro-Funktion ist (2.3).

Der In-App-Eintrag entsteht davon unabhängig weiterhin sofort.

Stillgelegte Konten bleiben ohne jede Mail. Ist dein Konto durch einen Administrator stillgelegt (2.19), überspringen alle drei Mail-Läufe — der tägliche Sammel-Digest, die Follow-up-Erinnerung und die Inaktivitäts-Erinnerung — dein Konto vollständig, bevor irgendetwas zusammengestellt oder versendet wird: keine Mail, kein Eintrag im Versandzeitpunkt-Datensatz unten, kein Zählerstand. Der In-App-Eintrag entsteht ohnehin nicht, weil die ihn auslösenden Funktionen für ein stillgelegtes Konto gesperrt sind (2.16, 2.19).

Versandzeitpunkt je Typ. Damit der Sammel-Lauf weiß, wofür an einem Tag schon versendet wurde, wird für jeden Pro-Nutzer je Benachrichtigungstyp ein Zeitstempel gespeichert, geschützt wie deine übrigen Daten (Abschnitt 8). Für Free-Nutzer genügt ein einzelner Zeitstempel am Profil, weil dort alle Typen gemeinsam gezählt werden.

Zwei Mails gehen unabhängig von dieser Einwilligung hinaus: die Bestätigung einer geänderten Empfängeradresse und die Mail mit dem Download-Link deines Datenexports (2.14). Beide tragen keinen Abmeldelink, weil sie keine Werbung sind, sondern die Erfüllung einer gesetzlichen Pflicht bzw. eines von dir ausgelösten Vorgangs — Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO. Ein Widerruf der Benachrichtigungs-Einwilligung hält sie deshalb nicht auf.

2.10 Verknüpfte externe Plattformen (LinkedIn, XING, Stepstone)

Diese Verarbeitung findet derzeit nicht statt. Der Programmcode dafür ist vorhanden, aber es gibt keinen Weg, über den eine Verbindung tatsächlich hergestellt und ein Zugangs-Token gespeichert würde — die Schaltfläche zum Verbinden ist abgeschaltet. Beschrieben ist der Zweck hier, weil die Datenstruktur besteht; Daten liegen darin nicht.

2.11 Administration und Missbrauchsprävention

Einsicht in Importläufe. Zur Fehlersuche kann ein Administrator die Importläufe aller Konten einsehen. In der Liste sieht er je Lauf die E-Mail-Adresse deines Kontos, bei weitergeleiteten Mails die Bezeichnung deiner Weiterleitungsadresse (ohne eigene Bezeichnung nur deren letzte vier Zeichen), Zeitpunkte, Status und Zählwerte. Schlägt er einen Eintrag des Mailverlaufs (2.8) auf, sieht er zusätzlich den Ausgang je Link als Kategorie, die Abbruchstelle, die Zahl der Zustellungen und die Zahl der daraus entstandenen Stellen — mit deren Titel, Unternehmen und Beschreibung, soweit sie noch nicht gelöscht sind. Betreff, Absender, Mailtext oder Adressen der Links seiner Weiterleitungsmails zeigt der Mailverlauf selbst nicht. Beim Mailabruf aus einem eigenen Postfach reicht die Einsicht weiter: In der Liste stehen — bis zu ihrer Löschung nach einem Monat — Betreff und Absender, außerdem Bezeichnung des Postfachs (sonst sein Servername), Ordner, Ergebnis und der Grund eines Übersprungs; in der Importprüfung sieht der Administrator die daraus entstandenen Stellen mit Titel, Unternehmen, Beschreibung und Link, deine Fehlermeldungen zu Importen samt dem damals gespeicherten Seiten-Schnappschuss und — als gesonderten Schritt — den gespeicherten Mailtext als einfachen Text, solange er nicht nach einem Monat gelöscht ist. Das gilt auch für den Mailtext weitergeleiteter Mails. Seine Einschätzung eines Laufs (in Ordnung oder nicht, mit Notiz) hält er intern fest. Jeder dieser Zugriffe wird im Verwaltungsprotokoll festgehalten (siehe Tabelle oben). Dem Verarbeiten kannst du nach Art. 21 DSGVO widersprechen (Abschnitt 6).

Der Freitext-Grund einer Kontostilllegung erscheint hier, sonst nirgends dir gegenüber. Er ist eine interne Betreibernotiz (2.19) und wird dir weder auf der Sperrfläche noch an anderer Stelle der Anwendung angezeigt. Im Verwaltungsprotokoll bleibt er dagegen stehen, weil er dort dieselbe Nachvollziehbarkeitsfunktion erfüllt wie jeder andere administrative Eingriff.

Das Tester-Kennzeichen. Ein Administrator kann ein Konto als Tester kennzeichnen oder das Kennzeichen wieder entfernen. Das Feld ist gegen Selbstbedienung gesperrt — du kannst es nicht selbst setzen, derselbe Schutz wie bei Tarif und Kontostilllegung — und wird nie verkauft. Jede Änderung wird als eigener Eintrag im Verwaltungsprotokoll mit dem bisherigen und dem neuen Wert festgehalten. Ein Tester-Kennzeichen hebt die Mengengrenzen deines Plans vollständig auf (Abschnitt 2.17) und lässt dabei dein Kostennetz auf Ultra-Höhe stehen (Abschnitt 2.16), unabhängig vom tatsächlich gebuchten Tarif; einen zusätzlichen Funktionsumfang verschafft es dir nicht.

2.12 Zustimmung zu diesen Texten

Der Verantwortliche sieht zusätzlich eine zusammengefasste Übersicht über alle Konten in einem eigenen Bereich der Verwaltungsoberfläche („Zustimmungen"). Sie zeigt je Dokument, wie viele Konten der jeweils aktuellen Fassung bereits wieder zugestimmt haben, und listet dazu jedes Konto einzeln mit E-Mail-Adresse, Zustimmungsstatus je Dokument (aktuell / veraltet / keine Zustimmung), dem Zeitpunkt der jüngsten Zustimmung zu jedem Dokument sowie dem Stilllegungskennzeichen (2.19). Erfasst sind alle Konten, einschließlich Administratorkonten und stillgelegter Konten. Grundlage ist derselbe Datenbestand, der ohnehin je Konto geführt wird (siehe oben) — es entsteht keine neue Datenkategorie, nur eine zusätzliche, kontoübergreifende Auswertung, die dem Verantwortlichen zeigt, wie weit eine nach einer wesentlichen Änderung ausgelöste erneute Zustimmung fortgeschritten ist. Der Zugriff läuft über dieselbe erhöhte Berechtigung wie bei den übrigen Verwaltungsansichten, und jedes Öffnen dieser Übersicht wird im Verwaltungsprotokoll festgehalten (2.11) — ohne Kennung eines einzelnen betroffenen Kontos, weil sich die Einsicht auf die Auswertung als Ganzes richtet.

2.13 Zahlungsdaten

JobTarsier verarbeitet derzeit keine Zahlungsdaten — es gibt keine kostenpflichtige Stufe und keine Zahlungsabwicklung im Betrieb. Eine kostenpflichtige Pro-Stufe ist für die Zukunft vorgesehen; sobald sie eingeführt wird, wird diese Erklärung um den dann eingesetzten Zahlungsdienstleister ergänzt, bevor die Funktion live geht.

2.14 Datenexport deiner eigenen Daten

Das Archiv ist ausschließlich über einen einmaligen Link erreichbar, und auch dann nur in deiner angemeldeten Sitzung. Rechte anderer Personen (Art. 15 Abs. 4 DSGVO): Vor dem Packen werden 19 Spalten spaltengenau geschwärzt — Zugangsdaten und Schlüssel, übernommene Fremdinhalte wie vollständige Mail-Texte und Seiten-Schnappschüsse, technische Diagnosedaten sowie Kennungen und Notizen handelnder Administratoren, darunter Grund und Urheber einer Kontostilllegung (2.19). Die zugehörigen Zeilen bleiben dabei erhalten, damit du siehst, *dass* ein Vorgang stattgefunden hat, ohne die Daten Dritter zu erhalten.

2.15 Daten anderer Personen (Art. 14 DSGVO)

An einigen Stellen entstehen Daten, die sich nicht auf dich beziehen, sondern auf Dritte. Sie werden ausschließlich als Beiwerk deiner eigenen Nutzung verarbeitet, nie angereichert, nie ausgewertet und nie an andere Nutzende weitergegeben:

• Ansprechpartner beim Arbeitgeber sowie Straße und Postleitzahl des Empfängers. Von dir selbst zu einer Stelle erfasst, um sie in den Briefkopf eines Anschreibens zu übernehmen — nicht automatisch ermittelt. Gespeichert bis zur Löschung der Stelle bzw. des Kontos.
• Vollständiger Inhalt einer weitergeleiteten oder abgerufenen Job-Alert-Mail, dazu Absenderadresse und Betreff einer abgerufenen Mail. Aus deiner eigenen Weiterleitung bzw. deinem eigenen Postfach. Dazu je Mail die technische Kennung, die der Mail-Dienst der Mail zuweist. Gespeichert einen Monat, die Kennung ebenso lange wie die Mail. Davon abweichend wird der Eingangsstand je Weiterleitungsadresse (Zeitpunkte, Zähler, Kennzeichen und die technische Kennung der letzten Mail, ohne Mailinhalt) nur als letzter Stand gehalten und bis zur Löschung der Adresse bzw. des Kontos aufbewahrt.
• Ein von dir eingefügter Seitentext einer Stellenanzeige, der Namen oder Kontaktdaten enthalten kann (z. B. eine Ansprechperson). Von dir selbst eingefügt, nur zur Auswertung an Anthropic übermittelt und nicht gespeichert; bestehen bleibt nur, was du ins Formular übernimmst.
• Ein Schnappschuss der aufgerufenen Seite bei einem von dir gemeldeten Importfehler, der Namen oder Kontaktdaten enthalten kann (z. B. eine Ansprechperson in der Anzeige). Aus der von dir importierten Seite. Gespeichert einen Monat.

Eine Benachrichtigung dieser Personen nach Art. 14 Abs. 1 DSGVO erfolgt nicht: Die Daten stammen aus deiner eigenen Korrespondenz bzw. aus öffentlich zugänglichen Stellenanzeigen, und eine Benachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden (Art. 14 Abs. 5 lit. b DSGVO). Auskunft über zu ihnen gespeicherte Daten erteilt der Verantwortliche auf Anfrage über die Kontaktdaten in Abschnitt 1.

2.16 Protokoll der KI-Aufrufe

Der eingefrorene Tarif — was er ist und was er nicht ist. Jeder Eintrag mit Nutzerbezug trägt zusätzlich den Tarif, der zum Zeitpunkt dieses einen Aufrufs für dein Konto galt — kostenlos, Pro oder Ultra. Der Wert wird beim Schreiben durch die Datenbank selbst festgehalten und danach nie mehr verändert: Wechselst du später den Tarif, schreibt das die schon vorhandenen Einträge nicht um. Über die Aufbewahrungsfrist von zwölf Monaten hinweg entsteht damit eine eigene, zeitpunktbezogene Historie deines Vertragsstatus, die vom aktuellen Stand deines Kontos abweichen kann. Ein Aufruf ohne Nutzerkennung — etwa die Eigenprobe unten — oder von einem Konto ohne hinterlegten Tarif trägt hier keinen Wert und wird bei keiner Auswertung als „kostenlos“ mitgezählt. Nach demselben Prinzip eingefroren sind die anteiligen Kosten dieses einen Aufrufs und der rohe, ungeprüfte Abbruchgrund, den das Modell zurückmeldet — beide dienen ausschließlich der unten unter „Wer das Protokoll einsehen kann“ beschriebenen internen Betriebsauswertung, nicht der Bewertung deiner Anfragen.

Eine zweite Verwendung derselben Daten: die Kostenschranke. Bevor irgendeiner der zwölf KI-Aufrufe beginnt, addiert die Anwendung die eingefrorenen Kosten all deiner Einträge im laufenden Kalendermonat — bist du Pro- oder Ultra-Nutzer, zusätzlich die des laufenden Tages — und vergleicht die Summe mit einer festen Grenze deines Plans (kostenlos: 6 US-Dollar je Monat, keine Tagesgrenze; Pro: 30 US-Dollar je Monat sowie zusätzlich 4 US-Dollar je Tag; Ultra: 75 US-Dollar je Monat sowie zusätzlich 10 US-Dollar je Tag). Trägt dein Konto das Tester-Kennzeichen (Abschnitt 2.11), gilt für diese Schranke unabhängig von deinem tatsächlichen Tarif stets die Grenze von Ultra — die Betriebsmeldung unten nennt dabei trotzdem deinen tatsächlichen Tarif. Wird eine dieser Grenzen erreicht, unterbleibt der Aufruf vollständig: Es entsteht dann kein neuer Protokolleintrag und keine Übermittlung an Anthropic. Admin-Konten sind von dieser Prüfung ausgenommen, weil sie den Betrieb der Anwendung selbst besorgen. Das ist keine eigene Datenerhebung, sondern eine Auswertung der bereits vorhandenen Kostenwerte — sie dient demselben Zweck wie das Protokoll selbst (Missbrauchs- und Kostenschutz) und stützt sich auf dieselbe Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO). Ist die Prüfung selbst nicht durchführbar (z. B. eine Störung der Datenbank), läuft der Aufruf ohne Sperre weiter — der Kostenschutz ist damit ein Aufzeichnungs- und Auswertungsmechanismus nach bestem Bemühen, keine absolute Garantie. Das Erreichen einer Grenze erzeugt zusätzlich eine interne Betriebsmeldung mit deiner Kontokennung im Kurztext — Abschnitt 2.18 beschreibt das im Einzelnen, einschließlich des Wegs, auf dem diese Meldung den Verantwortlichen unverzüglich per E-Mail erreicht.

Eine Vorbedingung: die Kontostilllegung. Noch vor der eben beschriebenen Kostenschranke prüft die Anwendung bei jedem der zwölf Aufrufe mit Kontobezug — Systemaufrufe ohne Kontobezug (etwa die tägliche Eigenprobe unten) sind ausgenommen — deinen Kontostatus: Ist dein Konto stillgelegt (2.19), unterbleibt der Aufruf vollständig, unabhängig davon, wie viel von deiner Kostengrenze bereits verbraucht ist. Es entsteht dann weder ein neuer Protokolleintrag noch eine Übermittlung an Anthropic. Diese Prüfung liest dein Profil (Tarif, Administratorstatus, Stilllegungszeitpunkt) — diese Abfrage bleibt serverseitig und erreicht Anthropic zu keinem Zeitpunkt; sie ist Teil der Vorprüfung, nicht Bestandteil des an das Sprachmodell gesendeten Prompts. Die Prüfung greift auch für Administratorkonten — ein stillgelegtes Konto ist unabhängig von seinen Rechten ein stillgelegtes Konto — und stützt sich auf dieselbe Rechtsgrundlage wie das Protokoll selbst (Art. 6 Abs. 1 lit. f DSGVO, Missbrauchsprävention und Durchsetzung der Nutzungsbedingungen). Ist die Prüfung selbst nicht durchführbar, gilt dieselbe Einschränkung wie bei der Kostenschranke: Der Aufruf läuft dann ohne diese Sperre weiter.

Eine Zeile ohne KI-Aufruf: die tägliche Eigenprobe des Protokolls. Zusätzlich schreibt ein täglicher automatisierter Prüflauf eine einzelne Zeile mit einer eigenen Kennung in dieselbe Tabelle. Das ist kein Aufruf an das Sprachmodell, sondern der Nachweis, dass die Tabelle selbst noch Einträge annimmt — der Prüflauf schreibt die Zeile und liest sie unmittelbar zurück. Diese Zeile hat keinen Personenbezug: Sie trägt keine Nutzerkennung, kein Modell (nur den Platzhalter „n/a"), keinen Prompt aus deinen Daten — Zeichenzahl und Prüfwert stammen aus einer festen, im Code hinterlegten Zeichenkette, nicht aus einem echten Aufruf — und keine Antwort. Sie ist deshalb vom Datenexport (2.14) strukturell ausgeschlossen, weil dieser ausnahmslos nach Nutzerkennung filtert, und unterliegt derselben Löschfrist von zwölf Monaten wie jeder andere Eintrag dieser Tabelle: Der tägliche Aufräumlauf löscht nach Alter, unabhängig von der Kennung.

Weitere Einträge ohne Kontobezug: der einmalige Nachlauf zur Stationszuordnung. Nach einer Erweiterung der Auswertung von Lebensläufen und Arbeitszeugnissen um die Zuordnung zu deinen beruflichen Stationen wertet der Betreiber einmalig auch bereits hochgeladene Bestandsdokumente erneut aus, damit ältere Dokumente von der verbesserten Zuordnung ebenfalls profitieren. Diese Aufrufe laufen auf Kosten des Betreibers und zählen nicht auf dein Nutzungskontingent; die dabei entstehenden Protokolleinträge tragen — anders als sonst bei dieser Tabelle — keine Nutzerkennung, sondern nur den Bezug zum ausgewerteten Dokument. Sie erscheinen deshalb nicht in deinem eigenen Datenexport (2.14), der ausnahmslos nach Nutzerkennung filtert. Das Ergebnis dieser Auswertung — neue oder geänderte Verknüpfungen zwischen deinen Fähigkeiten und deinen Stationen, gegebenenfalls eine vorgeschlagene neue Station — landet dagegen regulär in deinem Profil und ist dort wie gewohnt einsehbar, korrigierbar und Teil deines Datenexports.

Was in dem Protokoll steht — und was nicht. Diese Unterscheidung ist der wichtigste Teil dieses Abschnitts, weil beide Hälften unterschiedlich entschieden sind:

• Der Prompt wird nicht gespeichert. Was an das Modell gesendet wird — bei einigen Aufrufen dein vollständiger Lebenslauf, ein Arbeitszeugnis oder eine komplette Stellenbeschreibung — landet nicht im Protokoll. Festgehalten werden nur seine Zeichenzahl und ein SHA-256-Prüfwert. Aus dem Prüfwert lässt sich der Inhalt nicht zurückgewinnen; er erlaubt lediglich zu erkennen, ob zwei Aufrufe mit derselben oder mit einer anderen Eingabe erfolgt sind.
• Die Antwort des Modells wird dagegen vollständig gespeichert — bei neun der zwölf Aufrufe. Das ist bewusst so entschieden, denn die Antwort *ist* das Ergebnis, dessen Nachvollziehbarkeit die Aufzeichnung herstellen soll. In mehreren Fällen sind das personenbezogene Daten über dich im Klartext:

• Auswertung deines Lebenslaufs: die erkannten Arbeitgeber, Rollen, Zeiträume und Tätigkeitsbeschreibungen sowie die erkannten Fähigkeiten mit ihrer Art (hart oder weich), ihrer Belegstärke und, sofern erkennbar, der Station desselben Lebenslaufs, der die Fähigkeit zugeordnet wurde.
• Stellenoptimierte Lebenslauf-Fassung (2.6): die vollständige zugeschnittene Fassung deines Lebenslaufs mit allen Stationen, Zeiträumen und umformulierten Beschreibungen.
• Auswertung eines Arbeitszeugnisses: die erkannten Fähigkeiten mit ihrer Art (hart oder weich) und ihrer Belegstärke, die wörtlichen Belegzitate, aus denen sie abgeleitet wurden, ein erkannter Beschäftigungskopf (Arbeitgeber, Rolle, Zeitraum) sowie die zugeordnete berufliche Station oder ausdrücklich „keine". Enthält das hochgeladene Dokument mehrere Arbeitszeugnisse, führt die Antwort jedes einzeln mit eigenem Beschäftigungskopf und eigenen Fähigkeiten auf.
• Job-Ranking (2.3): der Passungswert und die Begründung zu jeder bewerteten Stelle, einschließlich der Bewertung deines Entwicklungswunsches (2.7).
• Anschreiben-Werkbank (2.4, 2.5): die Bewertung der Passgenauigkeit samt Liste der als fehlend erkannten Punkte, die daraus abgeleiteten Interview-Rückfragen sowie die aus deinem Chat erkannten Stilpräferenzen und inhaltlichen Fakten über dich.
• Interview-Antwort ins Profil übernehmen (2.4): der formulierte Profil-Eintrag (Eintragsart, Titel, Beschreibung sowie, sofern in deiner Antwort ausdrücklich genannt, Unternehmen und Zeitraum).
• Bei der Auswertung importierter Stellenanzeigen enthält die Antwort dagegen nur die Daten der Anzeige selbst und keine Angaben über dich.
• Nur Kennzahlen statt Antwort gibt es bei drei Aufrufen: der Textgewinnung aus einem PDF, der Erstellung des Anschreiben-Entwurfs und dessen Überarbeitung im Chat. Von ihnen bleiben ebenfalls nur Zeichenzahl und Prüfwert, weil der erzeugte Text bereits in seiner eigenen Tabelle liegt und keine zweite Kopie entstehen soll.

Was daraus folgt — zwei Punkte, die du kennen solltest. *Erstens:* Die oben genannten Inhalte liegen damit ein zweites Mal außerhalb der Tabelle, in der sie eigentlich stehen. *Zweitens:* Dieser zweite Bestand hat eine eigene, feste Frist von zwölf Monaten. Löschst du das zugrunde liegende Dokument, die Stelle oder das Anschreiben, bleibt der zugehörige Protokolleintrag bestehen — er ist eine Aufzeichnung des Vorgangs, nicht eine Kopie des Datensatzes. Bei einem gelöschten Dokument entfernen wir zusätzlich die zu ihm gespeicherte Antwort der KI; es bleiben nur ihre Zeichenzahl und ihr Prüfwert. Vollständig entfernt wird er durch den Ablauf der zwölf Monate oder durch die Löschung deines Kontos.

Wer das Protokoll einsehen kann. Für dein Konto angemeldete Zugriffe auf diese Tabelle gibt es nicht: Sie ist auf Datenbankebene für angemeldete Nutzer vollständig gesperrt. Zwei Wege führen an die Einträge:

• Der Verantwortliche über einen eigenen Bereich der Verwaltungsoberfläche. Die Übersicht zeigt bis zu 200 Einträge; um den vollständigen Inhalt eines Eintrags zu sehen, muss er ihn einzeln aufschlagen, und jedes Aufschlagen wird seinerseits im Verwaltungsprotokoll festgehalten (2.11) — mit Zeitpunkt, handelnder Kennung und der Kennung des betroffenen Kontos. Das bloße Aufrufen der Übersicht wird nicht gesondert vermerkt.
• Der Verantwortliche, zusammengefasst statt einzeln über einen zweiten Bereich der Verwaltungsoberfläche für den Betrieb der KI-Funktionen. Er zeigt Kosten, Aufrufzahlen und Fehlerquoten gruppiert — unter anderem je Nutzerkonto: Dort erscheint deine E-Mail-Adresse zusammen mit der Zahl deiner Aufrufe, den verbrauchten Token und den daraus berechneten Kosten. Einzelne Prompt- oder Antwortinhalte zeigt diese Ansicht nicht, nur die genannten Kennzahlen. Das Öffnen dieses Bereichs wird ebenfalls im Verwaltungsprotokoll festgehalten (2.11).
• Du selbst über den Datenexport (2.14): Deine eigenen Einträge liegen dem Archiv als eigene Datei bei. Eine eigene Ansicht im Konto gibt es dafür derzeit nicht — der Export ist der Weg, auf dem du sie vollständig erhältst.

Vorgesehen ist ein Eintrag je Aufruf. Misslingt das Schreiben eines Eintrags — etwa bei einer Störung der Datenbank —, wird der KI-Aufruf davon nicht berührt; der Eintrag fehlt dann. Das Protokoll ist damit eine Aufzeichnung nach bestem Bemühen und keine lückenlose Buchführung.

2.17 Zählprotokoll für Nutzungsgrenzen

Es gilt eine Reihe von Mengengrenzen — wie viele Lebensläufe oder Arbeitszeugnisse du in einem Monat hochladen und wie viele Stellenanzeigen du in einem Monat abrufen kannst. Jeder Plan — kostenlos, Pro und Ultra — hat eigene, feste Mengengrenzen, Ultra rund 2,5-fach höher als Pro. Ein Konto mit Tester-Kennzeichen (Abschnitt 2.11) unterliegt keiner dieser Mengengrenzen. Die meisten dieser Grenzen zählt die Anwendung gegen ohnehin vorhandene Tabellen (z. B. deine gespeicherten Dokumente, deine aktiven Quellen, die Zeilen im KI-Protokoll). Für vier Vorgänge reicht das nicht aus, und nur für sie entsteht diese eigene, schmale Tabelle:

Du selbst kannst deine eigenen Zeilen lesen — dieselbe Zeilensicherheit wie bei deinen übrigen Daten, kein Zugriff für andere Nutzende. Ändern oder löschen kannst du sie nicht selbst: Ein Zähler, den sein eigener Zählgegenstand zurücksetzen könnte, wäre keine wirksame Grenze mehr.

2.18 Betriebsmeldungen der System-Wächter — wenn eine Meldung deine Kontokennung trägt

JobTarsier betreibt mehrere automatisierte Prüfläufe („Wächter"), die den technischen Zustand der Anwendung überwachen (z. B. ob ein Protokoll noch Einträge annimmt oder ob ein Dienstleister erreichbar ist) und Auffälligkeiten in einer internen Tabelle festhalten. Die weit überwiegende Zahl dieser Meldungen ist rein technisch und hat keinen Bezug zu dir.

Eine Ausnahme: Erreicht dein Konto eine der Kostengrenzen aus Abschnitt 2.16, entsteht eine Meldung, deren Kurztext und strukturiertes Detail deine Kontokennung, den zu diesem Zeitpunkt geltenden Plan und die erreichte Grenze wörtlich enthalten — zum Beispiel „Kostengrenze erreicht: Konto <deine Kontokennung> (Plan kostenlos), Grenze kosten_monat". Eine solche Meldung entsteht höchstens einmal je Konto und Zeitraum, nicht bei jedem abgewiesenen Aufruf erneut.

Markiert der Verantwortliche eine Meldung als erledigt, entsteht dafür ein Eintrag im Verwaltungsprotokoll (2.11); das bloße Aufrufen der Übersicht wird nicht gesondert vermerkt.

Was das für deine Rechte bedeutet. Anders als das Protokoll der KI-Aufrufe (2.16) ist diese Tabelle nicht Teil des automatisierten Datenexports (2.14) — sie ist als reine Betriebstabelle ohne strukturierten Nutzerbezug angelegt, ihre gelegentliche Kontokennung steckt unstrukturiert im Freitext. Möchtest du wissen, ob zu deinem Konto eine solche Meldung besteht, wende dich an die Kontaktdaten in Abschnitt 1.

2.19 Kontostilllegung durch einen Administrator

Ein Administrator kann dein Konto vorübergehend stilllegen — eine mildere, reversible Maßnahme gegenüber der endgültigen Kontolöschung, gedacht für den Fall eines Verstoßes gegen die Nutzungsbedingungen (Abschnitt 5 dort) oder eine vergleichbare Missbrauchslage. Ein stillgelegtes Konto kann sich weiterhin anmelden; die Funktionen der Anwendung — insbesondere alle KI-gestützten Auswertungen (2.16) — stehen ihm bis zur Aufhebung der Stilllegung nicht zur Verfügung.

Der Grund erscheint dir gegenüber nicht automatisch — du kannst ihn aber erfragen. Er ist eine interne Betreibernotiz und wird dir weder auf der Sperrfläche noch an anderer Stelle der Anwendung angezeigt (2.11). Auch in deinem Datenexport (2.14) sind der Grund und die Kennung des handelnden Administrators geschwärzt — dieselbe Behandlung wie bei den Einträgen des Verwaltungsprotokolls, zum Schutz der handelnden Person (Art. 15 Abs. 4 DSGVO). Der Zeitpunkt der Stilllegung ist im Export enthalten. Möchtest du den Grund erfahren, wende dich an die Kontaktdaten in Abschnitt 1; er wird dir dann im Rahmen deines Auskunftsrechts (Art. 15 DSGVO) mitgeteilt.

Deine Rechte bleiben unverändert bestehen. Eine Stilllegung schränkt weder dein Recht auf Datenübertragbarkeit (Art. 20 DSGVO) noch dein Recht auf Löschung (Art. 17 DSGVO) ein — du kannst dich anmelden, deinen Datenexport anfordern und über seinen Link herunterladen, und dein Konto jederzeit vollständig löschen lassen, wie in Abschnitt 6 beschrieben. Ebenso unverändert bestehen bleibt dein Widerspruchsrecht (Art. 21 DSGVO): Möchtest du der Stilllegung widersprechen, wende dich an die Kontaktdaten in Abschnitt 1 — dieselbe Adresse nennt dir auch die Sperrfläche selbst. Was während einer Stilllegung ausdrücklich pausiert: die drei E-Mail-Läufe (2.9) und alle KI-gestützten Auswertungen (2.16); beides setzt sich nach Aufhebung der Stilllegung ohne weiteres Zutun fort.

2.20 Aufruf der Website — Zugriffsprotokolle beim Hosting und bei der Anmeldung

Dieser Abschnitt betrifft jeden, der eine Seite von JobTarsier aufruft — auch ohne Konto und ohne Anmeldung, etwa beim Lesen des Handbuchs (/handbuch), des Impressums oder dieser Erklärung (/rechtliches). Damit eine Seite überhaupt ausgeliefert werden kann, muss dein Browser seine IP-Adresse übermitteln; dabei entstehen bei den Dienstleistern, die die Anwendung betreiben, technische Protokolle.

Was du daran selbst ändern kannst. Die Zugriffsprotokolle entstehen bei jedem Seitenaufruf und lassen sich nicht abwählen; sie laufen nach den oben genannten Fristen von selbst ab und werden deshalb von der Kontolöschung (Abschnitt 6) nicht eigens erfasst. Die zu einer Anmeldesitzung abgelegten Angaben entfernst du, indem du dich abmeldest. Deinen Widerspruch gegen die Verarbeitung auf Grundlage des berechtigten Interesses (Art. 21 DSGVO) richtest du an die Kontaktdaten in Abschnitt 1.

2.21 Rückmeldungen (Feedback)

Du erreichst den Rückmeldungsdialog über die Kopfzeile der Anwendung oder unmittelbar von einer Fehleranzeige aus; er zeigt dir vor dem Absenden, welcher technische Kontext mitgeschickt wird. Bitte trage dort keine sensiblen Angaben ein, die über den geschilderten Sachverhalt hinausgehen.

Setzt ein Administrator deine Meldung auf „erledigt", erhältst du dafür eine In-App-Benachrichtigung (siehe 2.9) — ohne E-Mail. Einsicht in Rückmeldungen, auch in fremde, haben ausschließlich Administratoren. Mit der Löschung deines Kontos werden auch deine Rückmeldungen gelöscht; deine eigenen Meldungen sind außerdem Teil deines Datenexports (2.14/Abschnitt 6). Diese Verarbeitung setzt keine Cookies und keinen lokalen Speicher in deinem Browser ein und ist nicht KI-gestützt.

3. Empfänger und Auftragsverarbeiter

Auftragsverarbeitungsverträge: Für alle oben genannten aktiven Dienste liegt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor (Stand 03.09.2026). Bei Supabase, Anthropic, Vercel und Resend kommt er jeweils mit dem Hauptvertrag zustande — die Anbieter beziehen ihn ausdrücklich ein, eine gesonderte Unterzeichnung ist nicht vorgesehen. Bei Brave Search war er gesondert zu schließen; er ist seit dem 03.09.2026 von beiden Seiten unterzeichnet. Für Microsoft/Azure AD ist keiner erforderlich, solange der Anmeldeweg abgeschaltet ist; er wird vor einer Aktivierung geschlossen.

Die Angaben in dieser Tabelle beruhen auf den Vertragsunterlagen der Anbieter selbst, die der Verantwortliche vorhält.

Die Begrenzung des Mailversands: Der Versand über Resend ist derzeit technisch auf eine einzige interne Adresse begrenzt. Was das für dich bedeutet, steht bei den betroffenen Zwecken (2.9 und 2.14).

Unterauftragnehmer

Die oben genannten Dienste setzen ihrerseits Dienstleister ein. Das ist üblich und vertraglich geregelt, führt aber dazu, dass Daten Stationen erreichen können, die in der Tabelle nicht unmittelbar sichtbar sind. Drei Verhältnisse sind dabei erwähnenswert, weil sie nicht naheliegen:

• Resend setzt Anthropic ein. Inhalte von Mails, die über Resend laufen, können damit an denselben KI-Anbieter gelangen, der auch die übrigen Auswertungen vornimmt. Solange der Versand auf die interne Adresse begrenzt ist, betrifft das keine Nachricht an dich.
• Anthropic setzt Brave Search ein, denselben Suchdienst, den JobTarsier auch unmittelbar für die Anreicherung von Stellenbeschreibungen nutzt.
• Supabase führt sich selbst als Unterauftragnehmer für Support-Leistungen. Das ist der Grund, weshalb die Übermittlung trotz Speicherung in Frankfurt abgesichert werden muss.

Vercel setzt unter anderem Amazon Web Services und Google ein, jeweils auch für KI-Dienste. Die vollständigen und jeweils aktuellen Listen führen die Anbieter selbst; der Verantwortliche hält den Stand fest, dem er zugestimmt hat.

4. Cookies und lokale Speicherung

JobTarsier setzt ausschließlich technisch notwendige Cookies: den Sitzungscookie deines Anmeldeanbieters (Supabase), der dich nach der Anmeldung angemeldet hält und den Zugriff auf geschützte Bereiche steuert. Ohne diesen Cookie ist keine Anmeldung möglich. Seine Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei zulässig, weil sie zur Erbringung des von dir ausdrücklich gewünschten Diensts unbedingt erforderlich ist; Rechtsgrundlage der zugehörigen Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Es werden keine Analyse-, Marketing- oder sonstigen Cookies gesetzt, keine externen Analysedienste, Werbenetzwerke oder Drittanbieter-Einbindungen (z. B. externe Schriftarten, Karten oder Videos) eingesetzt und keine Daten im Browser-Speicher (localStorage, sessionStorage) abgelegt. Schriftarten werden ausschließlich selbst ausgeliefert.

Weil danach keine einwilligungspflichtige Technik zum Einsatz kommt, gibt es aktuell keinen Cookie-Banner. Das ist eine Vorbedingung, keine dauerhafte Zusage: Bevor JobTarsier Analyse-, Marketing- oder sonstige einwilligungspflichtige Technik einsetzt, muss zuerst ein echtes Einwilligungsmanagement eingerichtet sein.

5. Automatisierte Verarbeitung und Künstliche Intelligenz

JobTarsier setzt an mehreren Stellen ein Sprachmodell des Anbieters Anthropic ein:

• Strukturierte Auswertung von Lebenslauf und Arbeitszeugnis (2.2) sowie Extraktion von Rohtext aus importierten Stellenanzeigen (2.8) — bei jedem Dokument bzw. jeder Anzeige; Extraktion von Rohtext aus hochgeladenen Dokumenten selbst (2.2) dagegen nur bedingt, seitenweise: nur Seiten mit wenig Text oder hohem Bildanteil erreichen Anthropic, reine Textseiten werden lokal ausgelesen (Einzelheiten in 2.2 und unten); die strukturierte Auswertung ordnet dabei erkannte Fähigkeiten zusätzlich deinen beruflichen Stationen zu, soweit erkennbar (Einzelheiten unten)
• Berechnung des Passungs-Scores mit Begründung (2.3) und des davon unabhängigen Werts zu deinem Entwicklungswunsch (2.7)
• Erstellung und Überarbeitung von Anschreiben-Entwürfen (2.4) samt der Zuordnungsliste, die im selben Aufruf entsteht und je erkannter Anforderung der Stelle die belegenden Lebenslauf-Einträge benennt (2.4), Ableitung der Interview-Fragen aus den erkannten Lücken (2.4), Erkennung einer Stilpräferenz aus einer Chat-Anweisung (2.4), Klassifikation markierter Chat-Aussagen (2.4) und Bewertung eines fertigen Anschreibens aus Sicht einer unternehmensseitigen Vorsortierung (2.5)
• Erstellung einer stellenoptimierten Fassung deines Lebenslaufs (2.6)
• Formulierung eines Eintrags für „Was wir über dich wissen" aus einer einzelnen beantworteten Interview-Frage — ausschließlich nach deinem ausdrücklichen Klick auf „Übernehmen" (2.4)

Insgesamt gibt es zwölf solche Aufrufstellen. Im Protokoll der KI-Aufrufe (2.16) tragen sie Kennungen von KI-01 bis KI-14: Zwei früher genutzte Kennungen werden nicht mehr vergeben, bleiben aber in bereits geschriebenen Einträgen erhalten.

Jeder dieser Aufrufe wird protokolliert. Jeder Aufruf an das Sprachmodell hinterlässt einen Eintrag in einem internen Protokoll — mit der Kennung des Aufrufs, dem Modell, dem Zeitpunkt, Kennzahlen zum gesendeten Prompt und, bei neun der zwölf Aufrufe, der vollständigen Antwort des Modells. Der Prompt selbst wird dabei ausdrücklich nicht gespeichert, die Antwort dagegen schon; bei der Lebenslauf-Auswertung und der stellenoptimierten Fassung sind das Lebenslaufinhalte im Klartext. Aufbewahrt werden die Einträge zwölf Monate. Abschnitt 2.16 beschreibt das im Einzelnen — welche Angaben je Aufruf anfallen, wer sie einsehen kann und wie du sie selbst erhältst.

Was ausdrücklich nicht einfließt. Der Systemauftrag an das Modell verbietet dem Ranking ausdrücklich, Alter, Geschlecht, Nationalität, Herkunft oder Aussehen in die Bewertung einzubeziehen; dasselbe Verbot gilt für die Interview-Fragen, die auch nicht umschrieben danach fragen dürfen. Im Einzelnen:

• Zuordnung eines Arbeitszeugnisses zu einer Station (2.2): Damit die Auswertung ein Zeugnis der passenden Station zuordnen kann, erhält dieser Aufruf zusätzlich deine vorhandenen beruflichen Stationen mit Kennung, Arbeitgeber, Rolle und Zeitraum; die Antwort nennt je Zeugnis die Kennung genau einer dieser Stationen oder ausdrücklich „keine". Der Systemauftrag untersagt dabei ausdrücklich, aus den mitgesendeten Zeiträumen auf dein Alter zu schließen, und schließt Alter, Geschlecht, Herkunft, Nationalität, Familienstand, Gesundheit und Religion als Kriterien aus — unabhängig davon, ob du selbst Stationen im Lebenslauf hinterlegt hast.
• Ranking (2.3) und Erstellung des Anschreiben-Entwurfs (2.4): Ist eine deiner Fähigkeiten mit einer Station verknüpft, nennt die für diese Fähigkeit gesendete Zeile zusätzlich diese Station (Arbeitgeber, Rolle) — bewusst ohne Zeitraum, um im selben Prompt keinen neuen Rückschluss auf dein Alter zu eröffnen; eine Fähigkeit ohne Verknüpfung bleibt unverändert. Vom Profil gehen beim Anschreiben zusätzlich Name, Titel und Ort ein. Für den Lebenslauf lesen beide Aufrufe dieselbe Quelle — deine vollständigen Lebenslauf-Einträge, ungekürzt und ohne Auswahl —, dazu jeweils die vollständige Beschreibung der betreffenden Stelle. Eine gekürzte oder anderweitig abgeleitete Lebenslauf-Fassung geht an keinen der beiden Aufrufe. Dies gilt für das Erstellen des Entwurfs — die Überarbeitung im Chat ist ein eigener Aufruf mit einem abweichenden Datenzuschnitt, siehe den folgenden Punkt.
• Chat-Überarbeitung des Anschreibens (2.4): dein bisheriger Brieftext, deine Anweisung und der vollständige Gesprächsverlauf der Sitzung sowie dieselben gespeicherten Stilpräferenzen und dieselben vollständigen Lebenslauf-Einträge, die auch das Erstellen des Entwurfs erhält; wörtliche Zeugnis-Belegzitate gehören nicht dazu (Einzelheiten im folgenden Punkt). Anders als beim Erstellen gehen dein Profil (Name, Titel, Ort) und die Daten der Stelle nicht in die Chat-Überarbeitung ein — sie kennt die Stellenbeschreibung nicht, sondern ausschließlich den bereits erstellten Brief.
• Fähigkeiten aus Zeugnissen und wörtliche Belegzitate (2.2/2.3/2.4) — unterschiedlich behandelt: Eine aus einem Arbeitszeugnis erkannte Fähigkeit — ihr Name, ihre Art (hart/weich) und ihre Belegstärke — wird in deine Lebenslauf-Einträge übernommen, genau wie eine Fähigkeit aus dem Lebenslauf selbst (2.2). Sie erreicht damit regulär dieselben Aufrufe wie jeder andere Lebenslauf-Eintrag: das Ranking (2.3), das Erstellen und die Chat-Überarbeitung des Anschreiben-Entwurfs (2.4) sowie die stellenoptimierte Lebenslauf-Fassung (2.6). Der wörtliche Zitatbeleg aus dem Zeugnis dagegen nie: Er wird zwar dauerhaft im Auszug des Dokuments gespeichert (2.2), beim Übernehmen ins Aggregat aber ausdrücklich verworfen — jeder Schreibpfad, der einen Lebenslauf-Eintrag neu anlegt oder abgleicht, setzt dessen Zitatfeld fest auf leer. Das ist keine ungenutzte Möglichkeit, die erst noch befüllt werden müsste: Kein Modul, das einen Prompt für Anthropic baut, liest die Auszugstabellen selbst — der einzige Weg einer Angabe in einen dieser Aufrufe führt über die Lebenslauf-Einträge, und dort bleibt das Zitatfeld leer. Im Ergebnis erreichen wörtliche Zeugniszitate weder das Ranking noch das Erstellen des Anschreiben-Entwurfs, dessen Chat-Überarbeitung oder die stellenoptimierte Fassung — anders als die Fähigkeiten selbst, die diese Aufrufe regulär erreichen.
• Bewertung der Passgenauigkeit (2.5): ausschließlich Anschreibentext und Stellendaten — aus deinem Profil geht dorthin nichts.
• Interview-Fragen (2.4): ausschließlich die Fehlt-Liste aus jener Bewertung und die Stellendaten.
• Stellenoptimierte Fassung (2.6): deine Lebenslauf-Einträge ohne die Belegstärke und ohne die Belegstellen aus Zeugnissen; ist eine Fähigkeit mit einer Station verknüpft, wird diese Station mitgesendet und darf die erzeugte Fassung die Fähigkeit im Zusammenhang dieser Station aufführen — auch hier ohne Zeitraum und ohne Belegstärke.
• Klassifikation markierter Chat-Aussagen (2.4): ausschließlich die markierte Aussage.
• Interview-Antwort ins Profil übernehmen (2.4): ausschließlich die Anforderung, die Frage und deine Antwort dieser einen Interview-Frage; dein Profil, die Stellenbeschreibung und deine Dokumente erreichen diesen Aufruf nicht. Der Systemauftrag verbietet dem Modell zusätzlich ausdrücklich, aus der Antwort Alter, Geschlecht, Herkunft, Nationalität, Familienstand, Gesundheit oder Religion zu erfassen.

Einmaliger Nachlauf für bereits hochgeladene Dokumente. Nach einer Erweiterung der Lebenslauf- und Zeugnisauswertung um die Zuordnung zu deinen beruflichen Stationen lässt der Betreiber einmalig auch bereits vorhandene Dokumente erneut auswerten, damit die Zuordnung nicht nur für künftig hochgeladene Dokumente gilt. Diese Aufrufe laufen auf Kosten des Betreibers, ohne dein Nutzungskontingent zu belasten, und ohne Kennung deines Kontos im Protokoll (Einzelheiten in 2.16). Für dich sichtbar wird ausschließlich das Ergebnis in deinem Profil: neue oder geänderte Verknüpfungen zwischen deinen Fähigkeiten und Stationen sowie gegebenenfalls eine vorgeschlagene neue Station. Hast du die Stationen einer Fähigkeit bereits selbst festgelegt, lässt dieser Nachlauf sie unverändert.

Wann gar nicht bewertet wird. Nicht jede Stelle und nicht jeder importierte Treffer durchläuft das Ranking. Vier Bedingungen müssen zutreffen, sonst entsteht kein Aufruf an Anthropic — es werden also auch keine Daten dorthin übermittelt, weder deine noch die der Stelle:

• Der Eintrag darf keine Ergebnisliste sein. Importierst du eine Adresse, die auf eine Trefferliste oder Suchergebnisseite zeigt statt auf eine einzelne Stellenanzeige, wird sie gespeichert, aber nicht bewertet. Der Grund ist derselbe, aus dem wir eine Bewertung überhaupt begründen: Eine Trefferliste hat keinen einzelnen Gegenstand, über den sich etwas aussagen ließe — ein Score darüber wäre dir auf Nachfrage nicht zu erklären. Diese Bedingung gilt unabhängig von deinem Tarif, und sie löst sich anders als die letzten beiden nicht später auf.
• Die Stellenbeschreibung muss vollständig gelesen worden sein. Konnte sie nur aus den Kurzangaben im Seitenkopf gewonnen werden — dem Text, den eine Seite an Suchmaschinen und soziale Netzwerke ausliefert —, wird nicht bewertet. Hinter einer Anmeldeschranke ist dieser Text regelmäßig der Anrisstext aus der Trefferliste und nicht die Stellenbeschreibung; eine Bewertung darauf wäre eine Bewertung von Werbetext. Diese Bedingung gilt unabhängig von deinem Tarif, und sie löst sich wie die erste nicht später auf: Der Weg, über den ein Text einmal gelesen wurde, ändert sich nicht mehr. Diese Herkunft wird auf allen Wegen mitgeführt, auf denen eine Beschreibung entsteht. Liegt zu einer älteren Stelle keine Herkunftsangabe vor, gilt sie als unbekannt und sperrt nicht.
• Die Stellenbeschreibung muss mindestens 200 Zeichen umfassen und erkennbar mindestens zwei von drei typischen Abschnitten zeigen — Aufgaben, Anforderungen, Angebot. Das prüft die Anwendung anhand fester Signalwörter, ohne KI-Aufruf. Ist die Beschreibung zu kurz oder fehlt ihr diese Struktur, wartet die Anwendung auf die Anreicherung der Beschreibung, statt auf dünner oder unklarer Grundlage zu bewerten.
• Seit der letzten Bewertung muss sich eine Eingangsgröße geändert haben — an deinem Profil, deinem Lebenslauf, deinem Entwicklungswunsch oder an der Stelle selbst. Ist alles unverändert, entsteht keine zweite, identische Übermittlung.

In allen vier Fällen zeigt dir die Oberfläche statt eines Scores einen Hinweis, woran es liegt. Die Bedingungen wirken an allen Stellen, an denen bewertet wird — auch beim Import im Hintergrund und auch dann, wenn du eine Bewertung ausdrücklich anforderst.

Menschliche Überprüfung und Widerspruch: Sowohl das Ranking als auch der Anschreiben-Entwurf sind Vorschläge, die du vor jeder Verwendung prüfst — an keiner Stelle entscheidet die KI abschließend über eine Bewerbung, eine Einstellung oder einen sonstigen dich rechtlich oder in vergleichbar erheblicher Weise betreffenden Vorgang im Sinne des Art. 22 DSGVO; du bleibst in jedem Schritt Herr der Entscheidung. Im Kandidatendialog steht zu jeder KI-Bewertung eine Erklärung und ein Weg, ihr zu widersprechen; beim Anschreiben-Entwurf tritt die Zuordnungsliste (2.4) an diese Stelle: Sie legt Punkt für Punkt offen, worauf der Entwurf sich stützt. Hältst du eine Zuordnung für falsch oder unpassend, kannst du den Entwurf neu erzeugen lassen, den zugrunde liegenden Lebenslauf-Eintrag ändern oder über die Kontaktdaten in Abschnitt 1 widersprechen; für alle übrigen KI-erzeugten Inhalte kannst du über dieselben Kontaktdaten widersprechen bzw. eine Erläuterung verlangen. Anschreiben-Entwürfe sind ausdrücklich als KI-generiert gekennzeichnet.

Einordnung nach dem EU AI Act: Ranking, Anschreiben-Erstellung, die Bewertung der Passgenauigkeit und die stellenoptimierte Lebenslauf-Fassung finden im beschäftigungsbezogenen Kontext statt und werden intern als hochrisikorelevant eingestuft. Die Aufzeichnungspflicht des Art. 12 KI-VO wird durch das Protokoll aus 2.16 eingelöst. Für die Anschreiben-Erstellung ist die Zuordnungsliste (2.4) die konkrete Form, in der die Nachvollziehbarkeit dieser Einstufung eingelöst wird: Sie benennt namentlich, welcher deiner Lebenslauf-Einträge welche Anforderung der Stelle belegt, und zeigt damit die Grundlage des Entwurfs statt nur sein Ergebnis. Sie führt allerdings nur belegte Anforderungen auf — aus ihrem Fehlen lässt sich nicht schließen, dass eine Anforderung in der Stellenbeschreibung nicht vorkam.

Die Kennzeichnung als KI-generiert ist derzeit nicht an jeder Ausgabestelle gleich deutlich — an einigen Stellen ist sie ausführlich mit Erklärung vorhanden, an anderen nur durch ein Symbol ohne Begleittext erkennbar.

6. Deine Rechte als betroffene Person

• Auskunft (Art. 15 DSGVO) über die zu dir gespeicherten Daten
• Berichtigung (Art. 16 DSGVO) — die meisten Angaben kannst du direkt in deinem Profil selbst korrigieren
• Löschung (Art. 17 DSGVO) — über die Schaltfläche „Konto löschen" in den Kontoeinstellungen löschst du dein Konto vollständig selbst: die hochgeladenen Dateien, alle daran hängenden Datensätze und das zugrunde liegende Anmeldekonto. Ein zusätzlicher Weg per E-Mail ist dafür nicht nötig. Die Löschung ist unwiderruflich. Zwei Ausnahmen gibt es: Das Protokoll administrativer Eingriffe und Einsichtnahmen (2.11) sowie Betriebsmeldungen, die bei Erreichen einer Kostengrenze deine Kontokennung tragen (2.18), überdauern die Löschung; beide verweisen auf die betroffene Kennung ohne technische Verknüpfung zum Konto und werden deshalb nicht mitgelöscht. Dieses Recht gilt unverändert auch für ein durch einen Administrator stillgelegtes Konto (2.19) — die Stilllegung schränkt weder das Anmelden noch die Kontolöschung ein
• Einschränkung der Verarbeitung (Art. 18 DSGVO) — hierfür gibt es keine eigene Schaltfläche; wende dich an die Kontaktdaten in Abschnitt 1. Einzelne Verarbeitungen kannst du dagegen selbst anhalten (Benachrichtigungen abschalten, ein Postfach pausieren, eine Quelle deaktivieren)
• Auskunft und Datenübertragbarkeit (Art. 15 und 20 DSGVO) — über „Daten exportieren" in den Kontoeinstellungen. Du erhältst ein ZIP-Archiv mit deinen Daten aus 40 Tabellen im maschinenlesbaren JSON-Format und deinen hochgeladenen Dokumenten — darin auch deine Einträge aus dem Protokoll der KI-Aufrufe (2.16) und dem Zählprotokoll für Nutzungsgrenzen (2.17), deren einzelne Einträge dir sonst nicht angezeigt werden. Für die Zählstände aus 2.17 gibt es zusätzlich einen sofortigen Weg, der den Export nicht ersetzt: Die Seite „Nutzung" zeigt sie dir zusammengefasst — verbrauchter Wert, Grenze und Zustand je Kontingentart, nicht die einzelnen Einträge mit Zeitpunkt und Vorgangsart —, ohne den Umweg über den Archivversand. Nicht enthalten sind Betriebsmeldungen (2.18) — wende dich dafür an die Kontaktdaten in Abschnitt 1. Der Link kommt per E-Mail, gilt einmalig und höchstens 24 Stunden; Einzelheiten in Abschnitt 2.14. Ein Weg per E-Mail ist dafür nicht nötig. Dieser Weg steht dir unverändert auch mit einem durch einen Administrator stillgelegten Konto offen (2.19): Die Downloadseite liegt außerhalb der Stilllegungssperre, der Link aus der Export-Mail funktioniert also auch dann
• Widerspruch (Art. 21 DSGVO) — gegen eine Ranking-Bewertung über die Rückmeldung (Daumen hoch/runter) im Kandidatendialog, die in künftige Bewertungen einfließt; gegen eine Kontostilllegung (2.19); im Übrigen über die Kontaktdaten in Abschnitt 1
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) — für den E-Mail-Kanal jederzeit über den Abmeldelink in jeder Mail oder in den Kontoeinstellungen, mit Wirkung für die Zukunft. Für den Import gilt dasselbe: Das Löschen einer Weiterleitungsadresse (Overlay „Job Inbox anlegen") oder eines IMAP-Postfachs (Overlay „Jobimport via Mailabruf") in der Jobsuche beendet die weitere Verarbeitung aus dieser Quelle und entfernt zugleich die dazu gespeicherten Mail-Inhalte sowie bei der Weiterleitungsadresse deren Eingangsstand und Mailverlauf. Beim Postfach werden die hinterlegten Zugangsdaten mit gelöscht

Alle Rechte kannst du über die Kontaktdaten in Abschnitt 1 geltend machen.

7. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 27 91522 Ansbach

8. Datensicherheit

Alle Nutzertabellen sind auf Datenbankebene durch Row-Level-Security abgesichert — ein Zugriff ist nur auf die eigenen Daten möglich; das gilt auch für das Zählprotokoll für Nutzungsgrenzen (2.17), dessen eigene Zeilen du lesen, aber nicht ändern oder löschen kannst. Für vier Protokolltabellen (Verwaltungsprotokoll nach 2.11, Protokoll der KI-Aufrufe nach 2.16, Betriebsmeldungen nach 2.18 und Mailverlauf nach 2.8) gilt eine strengere Regel: Für ein angemeldetes Nutzerkonto ist dort keine einzige Zeile lesbar — auch nicht die eigene. Sie sind ausschließlich serverseitig hinter der Zugangsprüfung der Verwaltungsoberfläche erreichbar. Beim KI-Protokoll, bei den Betriebsmeldungen und beim Mailverlauf sind zusätzlich die Zugriffsrechte ausdrücklich entzogen, die die Datenbank neuen Tabellen von sich aus einräumt; beim Verwaltungsprotokoll beruht die Sperre allein darauf, dass keine Leseregel für Nutzerkonten existiert. Die Verbindung zu JobTarsier ist durchgehend TLS-verschlüsselt. Automatisiert ablaufende Hintergrundprozesse (z. B. der tägliche Abruf importierter Job-Mails) sind durch ein serverseitiges Geheimnis gegen unbefugten Aufruf abgesichert. Administrative Rechte sind gegen eigenmächtige Selbst-Erhöhung technisch abgesichert; dieselbe datenbankseitige Sperre gilt für die drei Felder der Kontostilllegung (2.19) — ein Konto kann seine eigene Stilllegung nicht selbst aufheben.

Zugangsdaten zu fremden Diensten werden nicht im Klartext gespeichert. Für ein verknüpftes IMAP-Postfach gilt: Die Zugangsdaten liegen verschlüsselt (AES-256-GCM) und werden niemals protokolliert. Dieselbe Anforderung gilt für die Zugriffstoken verknüpfter Plattformen — und zwar nicht nur als Vorgabe an das Programm, sondern durchgesetzt von der Datenbank selbst: Sie nimmt für dieses Feld ausschließlich verschlüsselte Werte an und weist Klartext ab. Damit hängt der Schutz nicht daran, dass eine künftige Programmänderung ihn beachtet.

Schutz der Oberfläche im Browser. Jede Antwort trägt eine Reihe von Sicherheitskopfzeilen, die dem Browser sagen, was er zulassen darf:

• eine Content-Security-Policy, die ausschließlich Programmcode aus dieser Anwendung ausführen lässt. Jede Seitenauslieferung erhält dafür eine frische, einmalige Kennung; ein eingeschleustes Skript trägt sie nicht und wird deshalb blockiert. Das ist der Schutz gegen Cross-Site-Scripting — den Angriff, bei dem fremder Code im Browser mitliest, was du eingibst.
• die Beschränkung, dass die Anwendung nur von JobTarsier selbst in einen Rahmen eingebettet werden darf (Schutz vor „Clickjacking"),
• die Abschaltung von Kamera, Mikrofon und Standortabfrage, die die Anwendung nirgends nutzt,
• die Anweisung, Dateitypen nicht zu erraten, sowie eine zurückhaltende Weitergabe der Herkunftsadresse beim Wechsel auf fremde Seiten,
• und die Vorgabe, JobTarsier künftig ausschließlich verschlüsselt aufzurufen.

9. Pflicht zur Bereitstellung

E-Mail-Adresse und Name sind für die Kontoerstellung erforderlich — ohne sie ist keine Nutzung möglich. Alle übrigen Angaben (Profildaten, Dokument-Uploads, verknüpfte Plattformen, IMAP-Anbindung, Benachrichtigungs-Einwilligung) sind freiwillig; ohne sie stehen die jeweils daran anknüpfenden Funktionen (z. B. KI-Ranking ohne Profildaten, Anschreiben-Erstellung ohne Namen und Ort) nur eingeschränkt oder gar nicht zur Verfügung.

Das Angebot richtet sich an volljährige, berufstätige bzw. arbeitssuchende Personen. Eine Altersprüfung findet nicht statt.

10. Stand und Änderungen

Diese Erklärung wird fortlaufend an die tatsächliche Verarbeitung deiner Daten bei JobTarsier angepasst. Welche Fassung gilt, steht als „Stand" über dieser Erklärung. Ändert sich an einem Tag mehr als einmal etwas Wesentliches, nennt die Angabe zusätzlich die Fassung (z. B. „Fassung 2026-08-26.1").

Ändert sich etwas Wesentliches — etwa ein neuer Empfänger, ein neuer Zweck, eine neue Art von Daten oder eine andere Speicherdauer —, bitten wir dich beim nächsten Aufruf von JobTarsier, der neuen Fassung zuzustimmen, bevor du die Funktionen deines Kontos weiter nutzt. Die Rechtstexte und der Download eines bereits angeforderten Datenexports bleiben auch ohne diese Zustimmung erreichbar. Welcher Fassung du wann zugestimmt hast, bleibt dokumentiert (2.12).