DSGVO-Compliance Flow

Wofür diese Seite gemacht ist

Datenschutzbeauftragte (DSB), ANÜ-Compliance-Verantwortliche und Geschäftsführer, die nicht „wir sind DSGVO-konform" als Aussage akzeptieren, sondern den nachvollziehbaren Ablauf sehen wollen — Wer macht was, wann, mit welchem technischen Beleg? Kandidatendaten, Bewerbungsunterlagen, BA-Meldungen und Equal-Pay-Vergleiche enthalten besonders sensible PII (§ 26 BDSG). Eine Aufsichtsbehörde fragt im Audit nach Verarbeitungsverzeichnis (Art. 30), Auftragsverarbeitungsvertrag (Art. 28), TOMs (Art. 32) und einem Mechanismus für Subjekt-Rechte (Art. 15-22). Diese Seite zeigt jeden dieser Punkte als konkreten Schritt im BAconn-Lebenszyklus.

Phase 1 — Vor der Inbetriebnahme

1. 1. AVV unterzeichnen — Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. BAconn stellt einen vorbereiteten AVV unter /dpa bereit (§§ 1–6 plus TOM-Anhang). Beide Parteien unterzeichnen elektronisch oder per Brief, vor jeder Datenverarbeitung.
2. 2. TOMs prüfen — der Anhang dokumentiert die technischen und organisatorischen Maßnahmen: AES-256-CTR-Verschlüsselung sensibler Felder (OAuth-Tokens, SMTP-Passwörter, BA-mTLS-Schlüssel), TLS 1.3 für alle Verbindungen, getrennte Datenbank-User pro Tenant, isolierte Sessions, Audit-Logging mit 730 Tagen Aufbewahrung.
3. 3. Hosting-Modell wählen — entweder Cloud (BAconn auf EU-Servern) oder Self-Hosting auf eigener Infrastruktur (Docker-Compose-Stack, alle Daten bleiben bei Ihnen). Bei Self-Hosting entfällt Sub-Auftragsverarbeitung — Sie sind alleiniger Verantwortlicher für die Infrastruktur.
4. 4. Encryption-Key generieren — bei Self-Hosting erzeugt der install.sh-Skript einen 256-bit-Master-Key (ENCRYPTION_KEY). Dieser Schlüssel verschlüsselt alle gespeicherten Tokens und Geheimnisse. BAconn-Mitarbeiter haben technisch keinen Zugriff darauf.

Phase 2 — Initialer Setup (Datensparsamkeit, Art. 5 Abs. 1 lit. c)

1. 1. Pflichtfelder prüfen — BAconn fragt für eine Bewerbung nur das ab, was für Stellenmatching und BA-Meldepflicht erforderlich ist: Vor-/Nachname, E-Mail, Telefon optional, Standort, Berufserfahrung, Wunschposition. Erweiterte Felder (Gehaltsvorstellung, Skills) sind optional und werden nicht erzwungen.
2. 2. Rollen verteilen — Team-Mitglieder bekommen die minimale Rolle (Viewer / Recruiter / Manager / Owner). Ein Viewer kann lesen aber nicht schreiben, ein Recruiter kann eigene Kandidaten editieren aber keine Tarife ändern. Granular nach Need-to-know.
3. 3. Whitelabel-Trennung (optional) — Partneragenturen mit eigener Domain, eigenem SMTP und eigenen Mandanten-Daten. Daten verschiedener Brands sind technisch getrennt; ein Whitelabel-Reseller sieht nur seine eigenen Kandidaten, BAconn-Admin nur die Aggregat-Statistiken.
4. 4. Cookie-Banner & Einwilligung — auf Public-Pages (Bewerbungsformulare, Karriere-Seiten via WordPress-Plugin) erscheint der Cookie-Banner. Nur strikt erforderliche Cookies werden ohne Einwilligung gesetzt; Tracking ist standardmäßig aus.

Phase 3 — Laufender Betrieb

1. 1. Audit-Trail mitlaufen lassen — jede Status-Änderung, jeder Login, jede Admin-Aktion wird in services/auditService geloggt mit Zeitstempel, Akteur, Aktion, Ressource und IP. Filterbarer Auswertungsmodus für DSB unter /dashboard/audit-log. Standard-Aufbewahrung 730 Tage, konfigurierbar.
2. 2. Verschlüsselung in Ruhe und Bewegung — alle externen Schnittstellen (BA HR-XML mTLS, Mollie-Billing-Webhook, OAuth-Callbacks) erzwingen TLS 1.3. Sensible Felder in der DB sind AES-256-CTR-verschlüsselt mit dem Master-Key.
3. 3. Sessions & Anmeldung — Sessions liegen in PostgreSQL (connect-pg-simple), nicht im Browser-Storage. SameSite=none nur über HTTPS. Login-Versuche sind rate-limited (10 / 15 Min.). Multi-Faktor-Authentifizierung via SSO (Google / Microsoft / SAML) für Enterprise-Tarife.
4. 4. Datenfluss-Transparenz — sichtbar im Sync-Log (/dashboard/logs) für jede einzelne Übertragung an externe Portale (BA, Indeed, StepStone, XING, LinkedIn). DSB kann jederzeit nachweisen, welche Daten wann wohin gingen.

Phase 4 — Anfragen betroffener Personen (Art. 15-22 DSGVO)

1. 1. Auskunftsanfrage (Art. 15) — Kandidat schreibt an die im Impressum hinterlegte E-Mail. Sie öffnen das Kandidatenprofil unter /applications/pool, exportieren alle Felder als JSON (über die Export-Funktion) und schicken es ihm zu. Audit-Log dokumentiert die Abfrage.
2. 2. Berichtigung (Art. 16) — Kandidat meldet falsche Daten. Recruiter editiert das Profil, Audit-Log enthält den Vorher-Nachher-Stand.
3. 3. Löschung (Art. 17) — Kandidat verlangt Löschung. Sie öffnen das Profil, klicken „Löschen". Sequelize.destroy entfernt das Datenbank-Tupel; Bewerbungen, die historisch wichtig sind (z.B. erfolgreiche Vermittlung), werden anonymisiert statt gelöscht. Pool-Status bleibt aggregat-statistisch erhalten.
4. 4. Datenübertragbarkeit (Art. 20) — JSON-/CSV-Export erzeugt eine maschinenlesbare Kopie für Übergabe an einen anderen Verantwortlichen.
5. 5. Widerspruch (Art. 21) — Pool-Status auf „inactive", Kontakt-Reminder werden gestoppt. Kein Marketing wird ohne explizite Einwilligung verschickt.

Phase 5 — Verarbeitungsverzeichnis (Art. 30)

BAconn liefert eine vorbereitete Tabelle mit allen Verarbeitungstätigkeiten — Zweck, Kategorien betroffener Personen, Datenkategorien, Empfänger (intern, BA, Job-Portale), Übermittlungen in Drittländer (keine — alle Daten bleiben in der EU), Lösch-/Aufbewahrungsfristen, TOMs. Diese Tabelle laden Sie als Vorlage herunter, ergänzen Ihre internen Spezifika (Verantwortliche Person, Vertretung) und legen sie in Ihrem Datenschutz-Ordner ab. Bei einem Audit der Aufsichtsbehörde (z.B. LfD Bayern, BlnBDI) ist das die Antwort auf "Wo ist Ihr Art.-30-Verzeichnis?".

Phase 6 — Vorfallsmanagement (Art. 33-34)

1. 1. Erkennung — abnormale Login-Versuche und fehlgeschlagene Authentifizierungen werden im Sentry-Logger erfasst. Bei Rate-Limit-Treffer alarmiert das System (E-Mail an admin@).
2. 2. Bewertung — Schweregrad-Einschätzung mit BAconn-Support (Vertraulichkeit verletzt? Integrität? Verfügbarkeit?). Innerhalb 24 h nach Erkennung.
3. 3. Meldung an die Aufsichtsbehörde — innerhalb 72 h gemäß Art. 33. BAconn liefert die technische Sachverhalts-Beschreibung (Audit-Log-Auszug, betroffene Datensätze, Schadensumfang). Der Verantwortliche (Sie) reicht ein.
4. 4. Information der Betroffenen — bei hohem Risiko gemäß Art. 34. BAconn unterstützt mit Kandidaten-E-Mail-Liste und vorbereiteten Mustertexten.

Phase 7 — Vertragsende und Datenmigration

1. 1. Datenexport — vor Kündigung exportieren Sie via /admin/export Ihre kompletten Daten als JSON oder CSV — Stellen, Kandidaten, Bewerbungen, Pool, Sync-Logs.
2. 2. Übergabe an Nachfolge-System — der Migrations-Assistent (/migration) liest umgekehrt auch Daten aus Zvoove- und ProSoft-Format-CSVs ein. Funktioniert bidirektional.
3. 3. Daten-Löschung in BAconn — auf schriftliche Anweisung löscht BAconn alle Tenant-Daten innerhalb 30 Tage nach Vertragsende. Beleg per Lösch-Protokoll an Sie.
4. 4. Backup-Aufbewahrung — verschlüsselte Backup-Snapshots werden gemäß AVV § 9 für maximal 90 Tage aufbewahrt, dann automatisch gelöscht. Bei Self-Hosting verwalten Sie Backups selbst.

Sub-Auftragsverarbeiter

Anbieter	Zweck	Sitz	Vertrag
Mollie B.V.	Zahlungsabwicklung (nur bei Cloud-Abo)	Niederlande	AVV mit BAconn
SMTP-Provider (Postmark / kundeneigen)	Transaktions-E-Mails	EU oder kundenseitig	AVV bzw. eigene Konfiguration
Bundesagentur für Arbeit	Stellen-Meldepflicht (gesetzlich vorgeschrieben)	Deutschland	keine — Pflicht nach § 1a AÜG
Cloudflare	Tunnel zwischen Self-Host und öffentlichem DNS	EU-PoP	AVV verfügbar
Google / Microsoft / Sentry	optional (SSO bzw. Error-Tracking, Enterprise)	EU-Zone	AVV bzw. abschaltbar

Was BAconn explizit NICHT tut

Wir verwenden keine Profiling-Algorithmen mit automatisierter Entscheidung im Sinne Art. 22 DSGVO ohne menschliches Eingreifen — alle Status-Wechsel laufen durch einen Recruiter. Wir tracken keine Bewerber-Verhalten auf Drittseiten. Wir verkaufen keine Daten an Werbenetzwerke. Wir setzen keine Cookies ohne Einwilligung. Wir geben Daten nicht an Behörden außerhalb der EU weiter. Bei Self-Hosting hat BAconn-Personal keinen technischen Zugriff auf Ihre Datenbank — der Master-Key liegt allein bei Ihnen.

Vorlagen, die BAconn liefert

Damit Ihr DSB nicht bei Null anfangen muss:

1. AVV-Vorlage (PDF, deutsch) unter /dpa
2. Verarbeitungsverzeichnis-Vorlage (Excel/ODS) im Admin-Bereich
3. Datenschutzerklärung-Baustein für Ihre Karriere-Seite
4. Lösch-Protokoll-Vorlage für interne Dokumentation
5. Breach-Notification-Mustertext (Art. 33-Meldung)
6. Subject-Rights-Antwort-Mustertexte (Auskunft / Berichtigung / Löschung)

Häufige Aufsichtsbehörden-Fragen — und wo BAconn die Antwort liefert

Frage der Aufsicht	Wo BAconn die Antwort liefert
Wo ist Ihr Art.-30-Verzeichnis?	Vorlage im Admin-Bereich, ergänzt von Ihnen
Wo ist Ihr AVV mit dem Software-Anbieter?	/dpa, beide Parteien unterzeichnet
Welche TOMs setzen Sie ein?	AVV-Anhang § 4 (TOMs)
Wie weisen Sie Datenzugriffe nach?	Audit-Log /dashboard/audit-log, 730 Tage
Wo werden Daten gespeichert?	EU-Cloud oder On-Premises (Self-Hosting)
Welche Sub-Auftragsverarbeiter setzen Sie ein?	Liste oben + AVV § 5
Wie behandeln Sie Auskunftsanfragen?	Phase 4 oben — Export-Funktion + Audit-Eintrag
Wie reagieren Sie auf Datenpannen?	Phase 6 oben — 24h Bewertung, 72h Meldung

Wann diese Compliance nicht ausreicht

Wenn Sie besonders sensible Datenkategorien (Gesundheitsdaten, Daten aus Strafregister) im Bewerbermanagement verarbeiten, brauchen Sie zusätzliche Sicherungen nach Art. 9 DSGVO bzw. § 22 BDSG (z.B. dedizierte Berechtigungskonzepte, Pseudonymisierung). BAconn unterstützt das Modell, aber die rechtliche Bewertung müssen Ihre DSB und externer Datenschutz-Berater treffen — wir sind kein Ersatz für Datenschutz-Beratung.