BEDINGUNGEN DER VERARBEITUNG PERSONENBEZOGENER DATEN

1.              EINLEITENDE BESTIMMUNGEN

1.1.          Die Gesellschaft Jobiflow s. r. o., mit Sitz in Dlhé Nivy 420/90, 019 01 Ilava, Slowakische Republik, Firmen-ID: 57 430 501, eingetragen im Handelsregister des Bezirksgerichts Trenčín, Abteilung Sro, Einlage 57450/R (nachfolgend nur als „Jobiflow“), erlässt diese Bedingungen für die Verarbeitung personenbezogener Daten (nachfolgend nur als „Verarbeitungsvertrag“) in Form eines Nachtrags zu den Allgemeinen Geschäftsbedingungen von Jobiflow für Unternehmer (nachfolgend nur als „AGB“), welche die Vertragsbeziehungen mit Unternehmern regeln, auf die Jobiflow im Zusammenhang mit der Nutzung der Elektronischen Systeme von Jobiflow eingeht.

1.2.          Auf Grundlage der AGB und des Vertrags regelt dieser Verarbeitungsvertrag die Rechte und Pflichten zwischen der Gesellschaft Jobiflow als Auftragsverarbeiter und dem Klienten als Verantwortlichem für personenbezogene Daten (gemeinsam als „Parteien“) im Zusammenhang mit der Verarbeitung personenbezogener Daten in den Elektronischen Systemen.

1.3.          Die auf Grundlage des Vertrags erbrachten Dienstleistungen umfassen Tätigkeiten, bei denen es zur Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen im Sinne der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (nachfolgend nur als „DSGVO“) kommen kann.

1.4.          Die Parteien sind daran interessiert, alle Verpflichtungen einzuhalten, die sich aus der DSGVO und gegebenenfalls aus anderen auf Grundlage der DSGVO erlassenen lokalen Rechtsvorschriften ergeben, insbesondere aus dem Gesetz Nr. 18/2018 Slg. über den Schutz personenbezogener Daten und über die Änderung und Ergänzung einiger Gesetze in der jeweils geltenden Fassung (nachfolgend nur als „geltende Rechtsvorschriften zum Schutz personenbezogener Daten“).

1.5.          Auf Grundlage von Art. 28 DSGVO ist der Verantwortliche verpflichtet, mit dem Auftragsverarbeiter einen schriftlichen Vertrag über die Verarbeitung personenbezogener Daten abzuschließen, in dem der Auftragsverarbeiter unter anderem ausreichende Garantien für die technische und organisatorische Sicherstellung des Schutzes personenbezogener Daten bietet.

1.6.          Die Parteien schließen diesen Verarbeitungsvertrag ab, um ihre Verpflichtungen aus der DSGVO und den geltenden Rechtsvorschriften zum Schutz personenbezogener Daten zu erfüllen und den Schutz der personenbezogenen Daten sicherzustellen, die die Parteien bei der Erfüllung des Vertrags verarbeiten.

1.7.          Die Parteien sind daran interessiert, dass dieser Verarbeitungsvertrag für alle Verarbeitungstätigkeiten personenbezogener Daten gilt, die der Auftragsverarbeiter für den Verantwortlichen im Zusammenhang mit den auf Grundlage eines beliebigen Vertrags erbrachten Dienstleistungen durchführt.

1.8.          Begriffe mit großgeschriebenem Anfangsbuchstaben, die in diesem Verarbeitungsvertrag nicht definiert sind, haben die ihnen in den AGB zugewiesene Bedeutung. Die Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verarbeitung“, „Verletzung des Schutzes personenbezogener Daten“ und weitere mit dem Schutz personenbezogener Daten zusammenhängende Begriffe haben die ihnen in Art. 4 DSGVO zugewiesene Bedeutung.

1.9.          Im Falle eines Widerspruchs zwischen diesem Verarbeitungsvertrag und den AGB haben im Hinblick auf die Verarbeitung personenbezogener Daten die Bestimmungen dieses Verarbeitungsvertrags Vorrang.

2.              GEGENSTAND UND ZWECK DES VERARBEITUNGSVERTRAGS

2.1.          Der Auftragsverarbeiter wird personenbezogene Daten verarbeiten, die der Verantwortliche im Zusammenhang mit seiner unternehmerischen Tätigkeit erlangt hat oder erlangen wird, oder die der Auftragsverarbeiter für den Verantwortlichen zu diesem Zweck selbst erlangt (nachfolgend nur als „Personenbezogene Daten“), und zwar im Rahmen der Erfüllung der aus dem Vertrag resultierenden Pflichten des Auftragsverarbeiters.

2.2.          Zweck des Verarbeitungsvertrags ist die Festlegung des Umfangs der Rechte und Pflichten der Parteien bei der Verarbeitung der Personenbezogenen Daten. Der Verarbeitungsvertrag regelt die Rechte und Pflichten der Parteien bei der Erbringung der Dienstleistungen gemäß Art. 3.1 und gilt gesondert für jede auf Grundlage des Vertrags erbrachte Dienstleistung.

2.3.          Der Vertrag über die Verarbeitung legt ferner den Umfang der personenbezogenen Daten fest, die verarbeitet werden sollen, den Zweck ihrer Verarbeitung sowie die Bedingungen und Garantien seitens des Auftragsverarbeiters hinsichtlich der Gewährleistung der technischen und organisatorischen Sicherheit der personenbezogenen Daten.

2.4.          Im Verhältnis zu den personenbezogenen Daten der betroffenen Personen, die auf Grundlage der Weisungen des Verantwortlichen bei der Erbringung der Dienstleistungen verarbeitet werden, tritt der Kunde in der Stellung des Verantwortlichen und Jobiflow in der Stellung des Auftragsverarbeiters gemäß Art. 4 Abs. 7 und 8 DSGVO auf. Im Verhältnis zu den personenbezogenen Daten, die Jobiflow für eigene Zwecke verarbeitet (insbesondere Betrieb, Sicherheit, Statistik, Entwicklung und Marketing des elektronischen Systems), tritt Jobiflow in der Stellung eines eigenständigen Verantwortlichen auf. Die Verarbeitung für eigene Zwecke richtet sich nicht nach diesem Vertrag über die Verarbeitung, sondern nach den Grundsätzen der Verarbeitung personenbezogener Daten von Jobiflow.

2.5.          Der Verantwortliche ist dafür verantwortlich, dass er über eine gültige rechtliche Grundlage für die Verarbeitung der personenbezogenen Daten im Sinne von Art. 6 Abs. 1 DSGVO bzw. im Sinne von Art. 9 Abs. 2 DSGVO verfügt, sofern es sich um besondere Kategorien personenbezogener Daten handelt, und dass er die Informationspflicht gegenüber den betroffenen Personen gemäß Art. 13 und 14 DSGVO im von der DSGVO geforderten Umfang erfüllt, sofern in diesem Vertrag über die Verarbeitung nichts anderes vereinbart ist. Der Auftragsverarbeiter haftet nicht für das Fehlen oder die Ungültigkeit einer rechtlichen Grundlage der Verarbeitung auf Seiten des Verantwortlichen.

3.              VERARBEITUNG PERSONENBEZOGENER DATEN

3.1.          Der Auftragsverarbeiter wird für den Verantwortlichen personenbezogene Daten in Übereinstimmung mit den dokumentierten Weisungen des Verantwortlichen in dem zur Erfüllung der Pflichten des Auftragsverarbeiters gemäß dem Vertrag und zum Zweck ihrer Nutzung durch den Verantwortlichen im Rahmen seiner Geschäftstätigkeit erforderlichen Umfang verarbeiten, insbesondere:

a)        Verwaltung des Rekrutierungsprozesses (Veröffentlichung von Stellenanzeigen, Entgegennahme von Reaktionen der Bewerber, Bewertung von Kandidaten und weitere mit der Rekrutierung zusammenhängende Funktionen) über den von Jobiflow bereitgestellten Dienst,

b)        Durchführung von Umfragen und Einholung von Informationen von Mitarbeitern des Verantwortlichen über die von Jobiflow bereitgestellten Dienste,

c)        Durchführung der ersten Runde des Auswahlverfahrens mittels eines KI-Avatar-Interviews einschließlich Anfertigung einer audiovisuellen Aufzeichnung, ihrer Transkription und automatisierten Auswertung der Übereinstimmung der Antworten des Bewerbers mit den vom Verantwortlichen definierten Musterantworten,

d)        Vermittlung der Marketingzusammenarbeit mit Influencern im Rahmen des Influencer-Pakets, sofern der Kunde einen solchen Dienst bestellt hat, und

e)        andere mit den von Jobiflow bereitgestellten Dienstleistungen zusammenhängende Tätigkeiten.

3.2.          Die Verarbeitung personenbezogener Daten gemäß diesem Vertrag über die Verarbeitung erfolgt nur im Umfang der im Vertrag vereinbarten Dienstleistungen.

3.3.          Der Auftragsverarbeiter wird personenbezogene Daten von Bewerbern um eine Beschäftigung und Mitarbeitern des Verantwortlichen verarbeiten (nachfolgend nur als „Betroffene Personen“) in folgendem Umfang:

Umfang der personenbezogenen Daten gemäß Artikel 3.1 (i) des Vertrags über die Verarbeitung

Bewerber um eine Beschäftigung: Vor- und Nachname; Geburtsdatum; Adresse des dauerhaften Wohnsitzes und Kontaktadresse; akademische Titel; persönliches Profilfoto; Kontaktdaten (Telefonnummer, E-Mail-Adresse); Bezeichnung der Stelle; Bestätigung des Vorstellungsgesprächs (Datum, Uhrzeit, Ort); Gründe für die Ablehnung; im Lebenslauf des Bewerbers angegebene Daten; andere/weitere vom Bewerber während des Vorstellungsgesprächs bereitgestellte Daten; andere/weitere vom Verantwortlichen zu den betreffenden Bewerbern ergänzte Daten. Bei Nutzung des KI-Avatar-Interviews auch die audiovisuelle Aufzeichnung des Gesprächs, die textliche Transkription der Antworten, der prozentuale Übereinstimmungsscore der Antworten mit den Musterantworten des Verantwortlichen, die Zeitmetadaten des Gesprächs sowie der Vermerk über die Erteilung, Verweigerung oder den Widerruf der Zustimmung des Bewerbers

Mitarbeiter des Verantwortlichen: Vor- und Nachname; Kontaktdaten (Telefonnummer, E-Mail-Adresse); Stellenbezeichnung; Tätigkeiten und Protokolle der im elektronischen System ausgeführten Aktivitäten.

Umfang der personenbezogenen Daten gemäß Artikel 3.1 (ii) des Vertrags über die Verarbeitung

Mitarbeiter des Verantwortlichen: Vor- und Nachname; Kontaktdaten (E-Mail-Adresse); dem Mitarbeiter vom Verantwortlichen zugewiesene Personalnummer; Stellenbezeichnung; Angaben zum Studium.

Umfang der personenbezogenen Daten gemäß Artikel 3.1 (iii) des Vertrags über die Verarbeitung

Influencer: Vor- und Nachname, Benutzername in sozialen Netzwerken (Handle), E-Mail-Adresse, Kontaktdaten, Angaben zum Profil und zum Publikum, Outputs der Zusammenarbeit.

Mitarbeiter des Verantwortlichen: Vor- und Nachname; E-Mail; Stellenbezeichnung.

3.4.          Falls der Verantwortliche dem Auftragsverarbeiter auch andere personenbezogene Daten betroffener Personen zur Verfügung stellt oder diese dem Auftragsverarbeiter im Zusammenhang mit Tätigkeiten für den Verantwortlichen anderweitig zugänglich gemacht werden oder dem Auftragsverarbeiter personenbezogene Daten anderer betroffener Personen bereitgestellt werden und der Auftragsverarbeiter gleichzeitig als Auftragsverarbeiter dieser personenbezogenen Daten für den Verantwortlichen handelt, ist der Auftragsverarbeiter verpflichtet, auch diese personenbezogenen Daten gemäß den Anforderungen aus (i) der DSGVO, (ii) den geltenden Rechtsvorschriften zum Schutz personenbezogener Daten und (iii) diesem Vertrag über die Verarbeitung zu verarbeiten und zu schützen.

3.5.          Der Auftragsverarbeiter wird die personenbezogenen Daten der betroffenen Personen für die Dauer dieses Vertrags über die Verarbeitung verarbeiten.

3.6.          Zu den Kategorien betroffener Personen, deren personenbezogene Daten auf Grundlage dieses Vertrags über die Verarbeitung verarbeitet werden, gehören insbesondere: (i) Bewerber um eine Beschäftigung, die auf Stellenanzeigen des Verantwortlichen reagieren, (ii) Mitarbeiter und Vertreter des Verantwortlichen, die das elektronische System nutzen, (iii) Influencer, die mit dem Verantwortlichen im Rahmen der Dienstleistung Influencer-Paket zusammenarbeiten.

3.7.          Der Vermittler erwartet keine Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO oder personenbezogener Daten im Zusammenhang mit strafrechtlichen Verurteilungen gemäß Art. 10 DSGVO. Wenn der Verantwortliche derartige Daten in das Elektronische System eingibt (insbesondere über den Inhalt der Anzeige, den Lebenslauf des Bewerbers oder andere Dokumente), ist ausschließlich der Verantwortliche für die Rechtsgrundlage ihrer Verarbeitung verantwortlich.

3.8.          Dem Vermittler steht für die Verarbeitung personenbezogener Daten gemäß dem Vertrag über die Verarbeitung kein Anspruch auf eine zusätzliche Vergütung außer der Vergütung gemäß dem Vertrag zu.

4.              RECHTE UND PFLICHTEN DES VERMITTLERS

4.1.          Der Vermittler ist bei der Verarbeitung personenbezogener Daten verpflichtet, mit der gebotenen fachlichen Sorgfalt vorzugehen, damit es nicht zu einem Verstoß gegen die DSGVO oder geltende Rechtsvorschriften zum Schutz personenbezogener Daten kommt.

4.2.          Stellt der Vermittler fest, dass der Verantwortliche gegen die sich aus der DSGVO ergebenden Pflichten verstößt, teilt er dies dem Verantwortlichen unverzüglich mit.

4.3.          Der Vermittler ist verpflichtet, sich bei der Verarbeitung personenbezogener Daten an die dokumentierten Weisungen des Verantwortlichen zu halten. Die Weisungen müssen im Einklang mit diesem Vertrag über die Verarbeitung erteilt werden, meist über die entsprechenden Funktionalitäten der einzelnen auf Grundlage des Vertrags genutzten Produkte/Dienste.

4.4.          Der Vermittler ist verpflichtet, darauf zu achten, dass keine betroffene Person in ihren Rechten, insbesondere im Recht auf Wahrung der Menschenwürde, beeinträchtigt wird, und ebenso auf den Schutz vor unbefugten Eingriffen in das Privat- und Persönlichkeitsleben der betroffenen Personen zu achten.

4.5.          Der Vermittler verpflichtet sich, die Informationspflicht gemäß Art. 13 DSGVO für den Verantwortlichen zu erfüllen, sofern der Vertrag für konkrete Produkte nichts anderes bestimmt.

4.6.          Wenn eine betroffene Person den Vermittler gemäß Art. 15 DSGVO um Informationen zur Verarbeitung ihrer personenbezogenen Daten ersucht, stellt der Vermittler der betroffenen Person die Identifikationsdaten des Verantwortlichen zur Verfügung und verweist sie auf die Geltendmachung dieses Rechts gegenüber dem Verantwortlichen. Weiterhin verfährt der Vermittler nach den schriftlichen Weisungen des Verantwortlichen.

4.7.          Der Vermittler informiert den Verantwortlichen über eine von der zuständigen Aufsichtsbehörde durchgeführte Untersuchung und deren Ergebnis, sofern diese personenbezogene Daten betrifft, die für den Verantwortlichen verarbeitet werden, oder Parameter der dem Verantwortlichen vom Vermittler bereitgestellten Dienstleistung, und erteilt ihm Informationen darüber, dass die Untersuchung diese Parameter beeinflusst hat. Zur Klarstellung gilt, dass Anfragen der zuständigen Aufsichtsbehörde zur Verarbeitung personenbezogener Daten, die nicht zur Einleitung eines Verfahrens – eines Kontroll- oder Verwaltungsverfahrens – führen, nicht als durchgeführte Untersuchung gelten.

4.8.          Der Verantwortliche teilt dem Vermittler jede Kontrolle oder Einleitung eines Verwaltungsverfahrens zur Verhängung von Abhilfemaßnahmen und/oder einer Geldstrafe durch die zuständige Aufsichtsbehörde mit (im Folgenden als „Verwaltungsverfahren“), sofern sich die Kontrolle oder das Verwaltungsverfahren auf (i) personenbezogene Daten bezieht, die der Vermittler für den Verantwortlichen verarbeitet, oder (ii) auf Parameter der dem Verantwortlichen vom Vermittler bereitgestellten Dienstleistung, sofern davon auszugehen ist, dass die Durchführung einer solchen Kontrolle oder eines solchen Verwaltungsverfahrens diese Parameter beeinflussen kann.

4.9.          Der Vermittler informiert den Verantwortlichen über jede Sicherheitsverletzung, die zu einer zufälligen oder unrechtmäßigen Vernichtung, zum Verlust, zur Änderung oder zur unbefugten Offenlegung personenbezogener Daten führt, die übermittelt, aufbewahrt oder anderweitig verarbeitet werden (im Folgenden als „Verletzung des Schutzes personenbezogener Daten“). Im Falle der Feststellung einer Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Abs. 12 DSGVO hat der Vermittler:

a)        unverzüglich, spätestens jedoch binnen 24 Stunden nach Feststellung der Verletzung, deren Vorliegen dem Verantwortlichen elektronisch an die in der Registrierung im Elektronischen System angegebene Kontakt-E-Mail des Verantwortlichen mitzuteilen; die erste Mitteilung kann vorläufig sein und muss nicht alle Informationen enthalten, sofern der Vermittler diese zu diesem Zeitpunkt nicht zur Verfügung hat,

b)        binnen 72 Stunden nach Feststellung der Verletzung die verfügbaren Informationen gemäß Art. 33 Abs. 3 DSGVO zu ergänzen, insbesondere: Beschreibung der Art der Verletzung, Kategorien und geschätzte Anzahl der betroffenen Personen und Datensätze, Name und Kontaktdaten der verantwortlichen Person oder einer anderen Anlaufstelle, Beschreibung der wahrscheinlichen Folgen der Verletzung und Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung,

c)        dem Verantwortlichen volle Mitwirkung bei der Erfüllung seiner Meldepflicht gegenüber der Aufsichtsbehörde (ÚOOÚ SR) und gegebenenfalls gegenüber den betroffenen Personen gemäß Art. 33 und 34 DSGVO zu leisten,

d)        die Dokumentation über die Verletzung gemäß Art. 33 Abs. 5 DSGVO mindestens 5 Jahre ab Feststellung der Verletzung aufzubewahren.

4.10.       Informationen über die Verletzung des Schutzes personenbezogener Daten müssen mindestens enthalten:

a)        eine Beschreibung der Art des betreffenden Falls der Verletzung des Schutzes personenbezogener Daten einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen sowie der Kategorien und der ungefähren Menge der betroffenen Datensätze personenbezogener Daten,

b)        eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten,

c)        eine Beschreibung der Maßnahmen, die der Vermittler ergriffen oder zur Ergreifung vorgeschlagen hat, um die betreffende Verletzung des Schutzes personenbezogener Daten zu beheben, einschließlich etwaiger Maßnahmen zur Minderung möglicher nachteiliger Auswirkungen, und

d)        Kontaktdaten der verantwortlichen Person oder einer anderen Anlaufstelle, bei der weitere Informationen erhältlich sind.

4.11.       Der Vermittler verpflichtet sich, die Durchführung von Audits, einschließlich Inspektionen, durch den Verantwortlichen oder einen anderen vom Verantwortlichen beauftragten Auditor zu ermöglichen, und er wird zu diesen Audits beitragen (im Folgenden als „Audit“). Der Verantwortliche nimmt zur Kenntnis, dass durch die Durchführung des Audits die berechtigten Interessen Dritter (z. B. anderer Verantwortlicher) oder betroffener Personen, insbesondere hinsichtlich der Sicherstellung der Vertraulichkeit personenbezogener Daten, nicht beeinträchtigt werden dürfen. Der Verantwortliche bestätigt, dass die Bedingungen des Audits schriftlich (per E-Mail) vereinbart werden und dass die mit dem Audit verbundenen Kosten des Vermittlers Gegenstand einer gesonderten Vereinbarung über die Kostenerstattung durch den Verantwortlichen sind. Der Verantwortliche wird keine unbegründete Mitwirkung des Vermittlers verlangen, insbesondere wenn die im Zusammenhang mit dem Audit angeforderten Informationen auf der Website des Produkts/Dienstes und/oder in den im Elektronischen System veröffentlichten Grundsätzen zur Verarbeitung personenbezogener Daten von Jobiflow verfügbar sind.

4.12.       Der Verantwortliche ist berechtigt, höchstens einmal innerhalb von 12 Monaten ein Audit durchzuführen, sofern besondere Umstände (insbesondere eine Verletzung des Schutzes personenbezogener Daten oder ein begründeter Verdacht auf einen Verstoß gegen die Pflichten des Vermittlers) die Durchführung eines Audits früher oder wiederholt erforderlich machen. Der Verantwortliche ist verpflichtet, dem Vermittler seine Absicht, ein Audit durchzuführen, mindestens 30 Tage im Voraus mitzuteilen, und das Audit muss so durchgeführt werden, dass der Betrieb des Vermittlers möglichst wenig beeinträchtigt wird. Der vom Verantwortlichen beauftragte Auditor darf kein Wettbewerber des Vermittlers sein und muss sich vor Beginn des Audits schriftlich zur Verschwiegenheit verpflichten.

4.13.       Der Vermittler hat in Bezug auf das AI Avatar-Interview eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO durchgeführt, und seine einschlägigen Schlussfolgerungen stellt er dem Verantwortlichen auf Anfrage über das Elektronische System oder per E-Mail zur Verfügung. Der Vermittler leistet dem Verantwortlichen gemäß Art. 28 Abs. 3 Buchst. f) DSGVO alle für die Durchführung einer eigenen Folgenabschätzung durch den Verantwortlichen und für eine etwaige vorherige Konsultation der Aufsichtsbehörde gemäß Art. 36 DSGVO erforderliche Mitwirkung. Der Verantwortliche nimmt zur Kenntnis, dass die Pflicht zur Durchführung einer Folgenabschätzung in Bezug auf sein eigenes Auswahlverfahren den Verantwortlichen als Verantwortlichen für personenbezogene Daten trifft; die Schlussfolgerungen der Folgenabschätzung des Vermittlers kann der Verantwortliche als Grundlage verwenden.

4.14. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen bei der Erfüllung der Pflicht des Verantwortlichen zu helfen, auf Anträge auf Ausübung der Rechte der betroffenen Personen zu reagieren, insbesondere auf Anträge auf Auskunft über die personenbezogenen Daten, auf Berichtigung oder Löschung der personenbezogenen Daten, auf Einschränkung der Verarbeitung oder auf Datenübertragbarkeit; sofern diese Pflichten über die Funktionalitäten der einzelnen Produkte erfüllt werden können, verlangt der Verantwortliche keine unzumutbare Mitwirkung des Auftragsverarbeiters.

4.15. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen bei der Erfüllung der in der DSGVO festgelegten Pflichten zu helfen, insbesondere der Pflicht, die Verarbeitung personenbezogener Daten sicherzustellen, Fälle von Verletzungen des Schutzes personenbezogener Daten zu melden, eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation der Aufsichtsbehörde sicherzustellen, und zwar unter Berücksichtigung der Art der Verarbeitung und der Informationen, die dem Auftragsverarbeiter zur Verfügung stehen.

4.16. Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung personenbezogener Daten auf Seiten des Auftragsverarbeiters befugten Personen schriftlich zur Verschwiegenheit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verschwiegenheitspflicht gilt auch nach Beendigung des Arbeitsverhältnisses oder eines anderen Verhältnisses dieser Personen zum Auftragsverarbeiter.

4.17. Der Auftragsverarbeiter führt Aufzeichnungen über alle Kategorien von im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten im Umfang gemäß Art. 30 Abs. 2 DSGVO und stellt sie dem Verantwortlichen oder der Aufsichtsbehörde auf Anfrage zur Verfügung.

4.18. Der Verantwortliche verpflichtet sich, (i) dem Auftragsverarbeiter Weisungen im Einklang mit der DSGVO zu erteilen, (ii) die betroffenen Personen in dem Umfang zu informieren, in dem dies nicht vom Auftragsverarbeiter gemäß Art. 4.5 des Auftragsverarbeitungsvertrags sichergestellt wird, (iii) den Auftragsverarbeiter unverzüglich über die Ausübung von Rechten der betroffenen Person zu informieren, die nicht direkt über die Funktionalitäten des elektronischen Systems erledigt werden können, und (iv) den Auftragsverarbeiter ohne unnötige Verzögerung über jede Änderung der Rechtsgrundlage der Verarbeitung personenbezogener Daten zu informieren.

5.              GARANTIEN DER TECHNISCHEN UND ORGANISATORISCHEN SICHERUNG DES SCHUTZES PERSONENBEZOGENER DATEN

5.1. Der Auftragsverarbeiter verpflichtet sich, im Sinne von Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung personenbezogener Daten sowie der Risiken unterschiedlicher Eintrittswahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen alle angemessenen technischen und organisatorischen Maßnahmen zu ergreifen, um ein Schutzniveau für personenbezogene Daten zu gewährleisten.

5.2. Der Auftragsverarbeiter verpflichtet sich, die folgenden organisatorischen und technischen Maßnahmen zu ergreifen:

a) unbeschadet des Art. 5.3 dieses Auftragsverarbeitungsvertrags wird der Auftragsverarbeiter im Falle der Verarbeitung personenbezogener Daten durch eigene Mitarbeiter nur ausgewählte Mitarbeiter mit dieser Tätigkeit betrauen, die über ihre Pflicht zur Wahrung der Vertraulichkeit in Bezug auf personenbezogene Daten und über weitere Pflichten belehrt werden, die sie einzuhalten haben, damit es nicht zu einem Verstoß gegen die DSGVO oder diesen Auftragsverarbeitungsvertrag kommt,

b) die Verarbeitung personenbezogener Daten keiner dritten Person ohne vorherige schriftliche Zustimmung des Verantwortlichen übertragen; davon unberührt bleiben die Art. 5.3 und 5.4,

c) geeignete technische Geräte und Software so einsetzen, dass unbefugter oder zufälliger Zugriff auf personenbezogene Daten durch andere Personen als die befugten Mitarbeiter des Auftragsverarbeiters ausgeschlossen wird,

d) personenbezogene Daten in angemessen gesicherten Gebäuden und Räumlichkeiten aufbewahren,

e) schriftliche Dokumente, die personenbezogene Daten enthalten, an einem gesicherten Ort aufbewahren und dabei ordnungsgemäße Aufzeichnungen über die Bewegung solcher schriftlichen Dokumente führen,

f) personenbezogene Daten in elektronischer Form auf gesicherten Servern oder Datenträgern aufbewahren, zu denen nur befugte Personen auf der Grundlage von Zugangscodes oder Passwörtern Zugang haben, und die personenbezogenen Daten regelmäßig sichern,

g) die Fernübertragung personenbezogener Daten entweder nur über ein öffentlich nicht zugängliches Netz oder über eine gesicherte Übertragung über öffentliche Netze sicherstellen, insbesondere mittels eines Protokolls, das eine gesicherte Kommunikation in einem Computernetz ermöglicht. Unter Berücksichtigung von Art, Umfang, Kontext und unterschiedlichen schwerwiegenden Risiken können einige personenbezogene Daten per E-Mail versandt werden,

h) mittels geeigneter technischer Mittel die Fähigkeit sicherstellen, die Verfügbarkeit personenbezogener Daten und den Zugang dazu im Falle physischer oder technischer Vorfälle rechtzeitig wiederherzustellen, und zwar gemäß den für den jeweiligen Dienst vereinbarten Parametern im Einklang mit dem Vertrag,

i) regelmäßige Prüfung, Bewertung und Evaluierung der Wirksamkeit der eingeführten technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung sicherstellen,

j) Pseudonymisierung und Verschlüsselung personenbezogener Daten überall dort sicherstellen, wo dies angesichts der Art der Verarbeitung und des Stands der technischen Entwicklung angemessen und möglich ist,

k) angemessene Maßnahmen zum Schutz der Anmeldedaten und zur Verwaltung der Zugangsberechtigungen implementieren (insbesondere Multi-Faktor-Authentifizierung für Administratorzugänge) und

l) die Erfüllung weiterer auf der Website des Produkts/der Dienstleistung im Abschnitt Technische Spezifikation und Sicherheit aufgeführter Maßnahmen sicherstellen.

5.3. Der Auftragsverarbeiter ist berechtigt, einen weiteren Auftragsverarbeiter (im Folgenden nur „Weiterer Auftragsverarbeiter“) mit der Verarbeitung personenbezogener Daten zu betrauen. Der Auftragsverarbeiter informiert den Verantwortlichen per E-Mail an die Adresse des Verantwortlichen (Art. 7.2) und über die Liste der weiteren Auftragsverarbeiter, die im elektronischen System oder in den Grundsätzen der Verarbeitung personenbezogener Daten von Jobiflow veröffentlicht ist (im Folgenden nur „Informationsblatt“), über alle weiteren Auftragsverarbeiter, die er mit der Verarbeitung personenbezogener Daten betrauen will, oder über etwaige beabsichtigte Änderungen hinsichtlich der Aufnahme weiterer Auftragsverarbeiter. Der Verantwortliche hat die Möglichkeit, der Aufnahme solcher weiteren Auftragsverarbeiter gemäß den Bedingungen des Vertrags zu widersprechen. Im Falle eines Widerspruchs gilt Art. 5.7 dieses Auftragsverarbeitungsvertrags.

5.4. Beauftragt der Auftragsverarbeiter einen weiteren Auftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten, so müssen diesem weiteren Auftragsverarbeiter durch einen schriftlichen Vertrag dieselben Pflichten zum Schutz personenbezogener Daten auferlegt werden, wie sie in diesem Auftragsverarbeitungsvertrag festgelegt sind, insbesondere die Gewährleistung ausreichender Garantien hinsichtlich der Einführung geeigneter technischer und organisatorischer Maßnahmen, damit die Verarbeitung den Anforderungen der DSGVO entspricht.

5.5. Der Verantwortliche nimmt zur Kenntnis, dass die Dienste einiger auf dem Informationsblatt genannter weiterer Auftragsverarbeiter eine Verarbeitung personenbezogener Daten außerhalb der EU/des EWR umfassen können. Der Verantwortliche garantiert, dass jede Übermittlung personenbezogener Daten in Drittländer nur unter den in Art. 44 - 49 DSGVO festgelegten Bedingungen erfolgt. Kommt es zu einer Änderung, Aufhebung oder Ungültigkeit von Instrumenten zur Übermittlung personenbezogener Daten in ein Drittland, verpflichtet sich der Verantwortliche, solche Maßnahmen zu ergreifen, die das durch die Rechtsvorschriften der EU geforderte Schutzniveau erreichen. Die Parteien verpflichten sich, sich gegenseitig bei der Annahme von Ersatzinstrumenten für die Übermittlung zu unterstützen und während deren Annahme aus diesem Grund keine vertraglichen Sanktionen geltend zu machen.

5.6. Erfordert die Übermittlung personenbezogener Daten in ein Drittland außerhalb der EU/des EWR die Anwendung von von der Europäischen Kommission gemäß Art. 46 Abs. 2 Buchst. c) DSGVO genehmigten Standardvertragsklauseln (Beschluss der Europäischen Kommission (EU) 2021/914), so haben die Parteien vereinbart, dass diese Klauseln zwischen ihnen im jeweiligen Modul (insbesondere Modul 3 — Auftragsverarbeiter an Auftragsverarbeiter) angewendet werden und im Rahmen des Beschlusses der Kommission (EU) 2021/914 verfügbar sind.[1] Durch den Abschluss des Auftragsverarbeitungsvertrags erteilt der Verantwortliche dem Auftragsverarbeiter ausdrücklich die Vollmacht, Standardvertragsklauseln mit weiteren Auftragsverarbeitern im Namen des Verantwortlichen abzuschließen.

5.7. Jobiflow ist nur nach vorheriger Mitteilung an den Kunden mindestens 30 Tage im Voraus berechtigt, einen weiteren Vermittler einzuschalten. Der Kunde ist berechtigt, innerhalb von 15 Tagen nach Zustellung der Mitteilung begründete Einwände zu erheben. Kommt es zur Erhebung begründeter Einwände und einigen sich die Parteien nicht anderweitig, wird Jobiflow keinen weiteren Vermittler einschalten, sofern dies nicht für die Erbringung der betroffenen Dienstleistung erforderlich ist; in einem solchen Fall ist jede der Parteien berechtigt, die betroffene Dienstleistung zum Zeitpunkt des Wirksamwerdens der Änderung zu beenden.

5.8. Der Vermittler ist verpflichtet, die angenommenen und umgesetzten technischen und organisatorischen Maßnahmen zur Sicherstellung des Schutzes personenbezogener Daten im Einklang mit der DSGVO und den geltenden Rechtsvorschriften zum Schutz personenbezogener Daten einzuführen und zu dokumentieren.

6. LAUFZEIT UND BEENDIGUNG DES VERTRAGS ÜBER DIE VERARBEITUNG

6.1. Der Vertrag über die Verarbeitung tritt mit dem Tag des Abschlusses des Vertrags in Kraft und wirksam und erlischt frühestens mit dem Erlöschen der Wirksamkeit des Vertrags. Für den Fall, dass die Parteien einen anderen Vertrag geschlossen haben oder künftig schließen werden, im Rahmen dessen unter anderem auch personenbezogene Daten verarbeitet werden können, erlischt dieser Vertrag über die Verarbeitung gleichzeitig mit dem Erlöschen des zuletzt derart geschlossenen Vertrags.

6.2. Der Verantwortliche ist berechtigt, diesen Vertrag über die Verarbeitung mit einer Frist von 3 Tagen zu kündigen, wenn der Vermittler die sich aus der DSGVO oder aus den geltenden Rechtsvorschriften zum Schutz personenbezogener Daten für ihn ergebenden Pflichten verletzt und diese Verletzung nicht innerhalb von 15 Tagen nach schriftlicher Aufforderung durch den Verantwortlichen behebt.

6.3. Der Vermittler ist berechtigt, diesen Vertrag über die Verarbeitung mit einer Frist von 3 Tagen zu kündigen, wenn der Verantwortliche die sich aus der DSGVO oder aus den geltenden Rechtsvorschriften zum Schutz personenbezogener Daten für ihn ergebenden Pflichten verletzt und diese Verletzung nicht innerhalb von 15 Tagen nach der Mitteilung des Vermittlers gemäß Art. 4.2 dieses Vertrags über die Verarbeitung behebt.

6.4. Sofern im Vertrag für bestimmte Produkte nichts anderes festgelegt ist, ist nach Beendigung des Vertrags oder dieses Vertrags über die Verarbeitung, nach Ablauf des Zwecks der Verarbeitung personenbezogener Daten auf andere Weise, nach Widerruf der Einwilligung (sofern relevant) durch die betroffene Person oder auf Grundlage eines Antrags der betroffenen Person gemäß Art. 17 DSGVO der Vermittler verpflichtet, die betreffenden personenbezogenen Daten gemäß den Anweisungen des Verantwortlichen zu vernichten oder an den Verantwortlichen zu übermitteln und die ihm zur Verfügung stehenden personenbezogenen Daten zu vernichten. Die Anweisung des Verantwortlichen zur Vernichtung oder Übermittlung personenbezogener Daten muss dem Vermittler spätestens am Tag der Beendigung der Gültigkeit des Vertrags oder des Vertrags über die Verarbeitung zugestellt werden, oder falls dies vor der Beendigung der Gültigkeit des Vertrags oder des Vertrags über die Verarbeitung erfolgt, innerhalb von 10 Arbeitstagen ab dem Tag, an dem der Verantwortliche oder der Vermittler (je nachdem, was später eintritt) über die Beendigung des Zwecks, zu dem die personenbezogenen Daten verarbeitet werden, über den Widerruf der Einwilligung oder über den Eingang eines Antrags gemäß Art. 17 DSGVO informiert ist; andernfalls vernichtet der Vermittler die personenbezogenen Daten der betroffenen Person am Tag der Beendigung dieses Vertrags über die Verarbeitung oder des Vertrags oder nach Ablauf der oben genannten Fristen.

6.5. Wenn der Verantwortliche innerhalb von 30 Tagen nach Beendigung des Vertrags oder dieses Vertrags über die Verarbeitung keine Anweisung zur Übermittlung personenbezogener Daten erteilt, ist der Vermittler berechtigt und verpflichtet, eine sichere Vernichtung der personenbezogenen Daten ohne weitere Benachrichtigung vorzunehmen. Dies gilt nicht für personenbezogene Daten, die der Vermittler aufgrund des anwendbaren Rechts aufzubewahren verpflichtet ist (insbesondere buchhalterische und steuerrechtliche Vorschriften).

6.6. Der Vermittler ist nach dem Erlöschen dieses Vertrags über die Verarbeitung verpflichtet, alle sich aus der DSGVO und/oder den geltenden Rechtsvorschriften zum Schutz personenbezogener Daten ergebenden Pflichten einzuhalten, die insbesondere darauf abzielen, jede unbefugte Behandlung personenbezogener Daten zu verhindern, bis der Vermittler diese personenbezogenen Daten gemäß den Anweisungen des Verantwortlichen an den Verantwortlichen übergibt oder deren sichere Vernichtung vornimmt.

6.7. Das Erlöschen des Vertrags über die Verarbeitung stellt eine Tatsache dar, die je nach der erbrachten Dienstleistung alle oder nur einige konkrete Arten von Tätigkeiten auf Grundlage des Vertrags unmöglich macht.

6.8. Die Verpflichtung zur Wahrung der Vertraulichkeit der personenbezogenen Daten besteht auch nach Beendigung des Vertrags über die Verarbeitung fort.

6.9. Ungeachtet der übrigen Bestimmungen dieses Artikels vernichtet der Vermittler die audiovisuelle Aufzeichnung des AI Avatar Interviews und deren Transkript spätestens innerhalb von sechs (6) Monaten nach Beendigung des jeweiligen Auswahlverfahrens oder unverzüglich nach Widerruf der Einwilligung durch den Bewerber, je nachdem, was früher eintritt, sofern der Verantwortliche keine Anweisung zur früheren Vernichtung erteilt oder die Aufbewahrung nicht zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen in einem konkreten laufenden Rechtsstreit erforderlich ist. Der prozentuale Übereinstimmungswert und der Nachweis über die Erteilung der Einwilligung können gemäß Art. 3.5 dieses Vertrags über die Verarbeitung aufbewahrt werden.

7. HAFTUNG DER PARTEIEN UND SCHADENSERSATZ

7.1. Jede der Parteien haftet für den der betroffenen Person oder der anderen Partei infolge einer Verletzung der sich aus der DSGVO, den geltenden Rechtsvorschriften zum Schutz personenbezogener Daten oder diesem Vertrag über die Verarbeitung ergebenden Pflichten verursachten Schaden im Umfang ihres Verschuldens.

7.2. Wird einer der Parteien von einer Aufsichtsbehörde (insbesondere dem Amt für den Schutz personenbezogener Daten der SR) eine Geldstrafe auferlegt oder wird gegen sie von der betroffenen Person aufgrund einer Verletzung der Pflichten der anderen Partei gemäß der DSGVO, den geltenden Rechtsvorschriften zum Schutz personenbezogener Daten oder diesem Vertrag über die Verarbeitung ein Schadensersatzanspruch geltend gemacht, ist die andere Partei verpflichtet, den so entstandenen Schaden einschließlich der auferlegten Geldstrafe zu ersetzen, und zwar in dem Umfang ihrer Verantwortung für das Entstehen dieser Geldstrafe oder dieses Schadens.

7.3. Die gesamte Haftung des Vermittlers für Schäden, die dem Verantwortlichen im Zusammenhang mit diesem Vertrag über die Verarbeitung entstehen, ist auf einen Betrag begrenzt, der dem vom Verantwortlichen an den Vermittler für die erbrachten Dienstleistungen in den letzten 12 Monaten vor Eintritt des Schadens gezahlten Preis entspricht. Diese Begrenzung gilt nicht für vorsätzlich oder grob fahrlässig verursachte Schäden, auch nicht für von betroffenen Personen gemäß Art. 82 DSGVO geltend gemachte Ansprüche, noch für von der Aufsichtsbehörde aufgrund von ausschließlich auf Seiten des Vermittlers liegenden Pflichtverletzungen verhängte Geldstrafen.

7.4. Die Parteien verpflichten sich, im Falle der Geltendmachung eines Anspruchs durch die betroffene Person oder die Aufsichtsbehörde einander sämtliche erforderliche Mitwirkung bei der Verteidigung und der Lösung eines solchen Anspruchs zu leisten, insbesondere einander die relevanten Informationen und Unterlagen unverzüglich zu übermitteln.

8. KONTAKTDATEN

8.1. Sämtliche Mitteilungen, einschließlich Mitteilungen über eine Verletzung des Schutzes personenbezogener Daten, können per E-Mail an die Adresse zugestellt werden: info@jobiflow.com.

8.2. Die E-Mail des Verantwortlichen ist die in der Registrierung des Verantwortlichen im elektronischen System des Vermittlers angegebene Kontakt-E-Mail oder der im Vertrag angegebene Kontaktdaten.

8.3. Wenn der Vermittler eine verantwortliche Person (DPO) gemäß Art. 37 DSGVO bestimmt, veröffentlicht er die Kontaktdaten der verantwortlichen Person in den Grundsätzen der Verarbeitung personenbezogener Daten und stellt sie auch unter der E-Mail-Adresse gemäß Art. 8.1 dieses Vertrags über die Verarbeitung zur Verfügung.

9. SCHLUSSBESTIMMUNGEN

9.1. Die Rechtsbeziehungen, Verpflichtungen, Rechte und Pflichten aus diesem Vertrag über die Verarbeitung sowie seine Nachträge und seine Auslegung unterliegen der Rechtsordnung der Slowakischen Republik und sind nach ihr auszulegen. Vertragsbeziehungen zwischen dem Verantwortlichen und dem Vermittler, die in diesem Vertrag über die Verarbeitung nicht ausdrücklich geregelt sind, richten sich nach den Bestimmungen der im elektronischen System Jobiflow veröffentlichten AGB.

9.2. Eine informatorische Übersetzung dieses Vertrags über die Verarbeitung in englischer Fassung kann auf Anfrage verfügbar sein. Im Falle von Unterschieden zwischen der englischen oder einer anderen fremdsprachigen Fassung hat die slowakische Sprachfassung Vorrang.

9.3. Erklärt das zuständige Gericht oder eine andere Behörde eine Bestimmung des Vertrags über die Verarbeitung für ungültig, unwirksam, scheinbar oder nicht durchsetzbar, so gilt diese Bestimmung als aus diesem Vertrag über die Verarbeitung gestrichen, wobei die übrigen Bestimmungen des Vertrags über die Verarbeitung weiterhin gültig bleiben, sofern sich aus der Art einer solchen Bestimmung oder aus ihrem Inhalt oder aus den Umständen, unter denen sie geschlossen wurde, nicht ergibt, dass sie vom übrigen Inhalt des Vertrags über die Verarbeitung nicht getrennt werden kann. Die Parteien schließen in einem solchen Fall solche Nachträge, die die Erreichung desselben Zwecks ermöglichen, und wenn dies nicht möglich ist, dann eines Zwecks, der dem ursprünglich mit der ungültigen, unwirksamen, scheinbaren oder nicht durchsetzbaren Bestimmung beabsichtigten möglichst nahekommt.

9.4.          Die Parteien verpflichten sich, jeden im Zusammenhang mit der Erfüllung dieses Auftragsverarbeitungsvertrags entstandenen Streit gütlich beizulegen. Falls es den Parteien nicht gelingt, den Streit innerhalb von 30 Tagen gütlich beizulegen, ist jede der Parteien berechtigt, den Streit dem sachlich und örtlich zuständigen Gericht der Slowakischen Republik vorzulegen.

9.5.          Der in Art. 3.3 des Auftragsverarbeitungsvertrags angeführte Umfang der verarbeiteten personenbezogenen Daten kann je nach Funktionalität des betreffenden Produkts erweitert oder anderweitig geändert werden, ohne dass ein Nachtrag zu diesem Auftragsverarbeitungsvertrag oder den AGB abgeschlossen werden muss.

9.6.          Für den Fall des Abschlusses dieses Auftragsverarbeitungsvertrags haben die Parteien vereinbart, dass der Auftragsverarbeitungsvertrag nur dann geschlossen ist, wenn eine vollständige Übereinstimmung der Willenserklärungen der Parteien vorliegt.

9.7.          Begriffe, die in diesem Auftragsverarbeitungsvertrag nicht näher spezifiziert, aber in diesem Auftragsverarbeitungsvertrag angeführt sind, haben die in den AGB und im Vertrag angegebene Bedeutung.

9.8.          Der Auftragsverarbeiter ist berechtigt, diesen Auftragsverarbeitungsvertrag einseitig gemäß Art. 19 Abs. 1 und 2 der AGB zu ändern oder zu ergänzen. Eine Änderung, die durch eine Änderung der DSGVO, der geltenden Rechtsvorschriften zum Schutz personenbezogener Daten, durch eine Entscheidung der Aufsichtsbehörde oder des Gerichts ausgelöst wird, wird unabhängig von der Frist gemäß Art. 19 Abs. 1 der AGB am Tag des Inkrafttretens der betreffenden Rechtsvorschriftenänderung oder am Tag der Rechtskraft der Entscheidung wirksam.

9.9.          Dieser Auftragsverarbeitungsvertrag stellt zusammen mit den AGB, dem Vertrag, der Preisliste, den Grundsätzen der Verarbeitung personenbezogener Daten und den Grundsätzen zum Schutz von Cookies die vollständige Vereinbarung der Parteien über den Gegenstand der Verarbeitung personenbezogener Daten dar und ersetzt alle früheren mündlichen oder schriftlichen Absprachen in derselben Angelegenheit.

9.10.       Der Auftragsverarbeitungsvertrag ist ab dem 26.5.2026 gültig und wirksam..

Jobiflow s. r. o.

Anlage Nr. 1

Liste der genehmigten Unterauftragsverarbeiter

[1] https://eur-lex.europa.eu/legal-content/SK/TXT/?uri=CELEX%3A32021D0914