VERHÄLTNISMÄSSIGKEITSTEST

Beurteilung des berechtigten Interesses als Rechtsgrundlage für die Verarbeitung personenbezogener Daten gemäß Art. 6 Abs. 1 Buchst. f) DSGVO

Verantwortlicher: Jobiflow s. r. o., IČO: 57 430 501, Dlhé Nivy 420/90, 019 01 Ilava

Erstellungsdatum: 24.4.2026

Version: 1.2

Verantwortlich: Bc. Matúš Jackulík, MBA

Zweck des Dokuments

Dieses Dokument dokumentiert die Beurteilung des berechtigten Interesses (legitimate interest assessment, LIA) gemäß Art. 6 Abs. 1 Buchst. f) der Verordnung (EU) 2016/679 (nachfolgend nur „DSGVO“) als Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch den Verantwortlichen Jobiflow s. r. o. Das Dokument dient dem Nachweis der Einhaltung der Anforderungen der DSGVO im Falle eines Antrags der betroffenen Person gemäß Art. 21 DSGVO (Widerspruch) oder einer Kontrolle durch das Amt für den Schutz personenbezogener Daten der Slowakischen Republik.

Das Dokument ist ein internes Dokument von Jobiflow. Es wird nur in dem Umfang veröffentlicht, in dem dies zur Bearbeitung eines Antrags der betroffenen Person oder auf Anforderung der Aufsichtsbehörde erforderlich ist. Das Dokument unterliegt einer regelmäßigen Überprüfung mindestens einmal jährlich und bei jeder Änderung der Verarbeitungstätigkeit.

Methodik des Tests

Der Verhältnismäßigkeitstest wird im Einklang mit den Leitlinien des Europäischen Datenschutzausschusses (EDPB) und der WP29-Arbeitsgruppe (Stellungnahme Nr. 06/2014) für jede auf berechtigtem Interesse beruhende Verarbeitungstätigkeit in drei Schritten durchgeführt:

• Schritt 1 – Zwecktest (purpose test): Ist das Interesse von Jobiflow tatsächlich berechtigt? Ist es konkret formuliert, rechtmäßig und real?
• Schritt 2 – Erforderlichkeitstest (necessity test): Ist die Verarbeitung zur Erreichung des Zwecks erforderlich? Gibt es keine weniger invasive Methode?
• Schritt 3 – Abwägungstest (balancing test): Überwiegt das berechtigte Interesse von Jobiflow gegenüber den Interessen, Rechten und Freiheiten der betroffenen Personen?

Besteht der Test alle drei Schritte, ist das berechtigte Interesse eine gültige Rechtsgrundlage der Verarbeitung. Scheitert einer der Schritte, muss eine andere Rechtsgrundlage gewählt werden (insbesondere eine Einwilligung) oder von der Verarbeitung abgesehen werden.

Liste der geprüften Verarbeitungstätigkeiten

Auf der Grundlage von Art. 5 der Grundsätze der Verarbeitung personenbezogener Daten von Jobiflow wird der Verhältnismäßigkeitstest für die folgenden Verarbeitungstätigkeiten durchgeführt, bei denen das berechtigte Interesse gemäß Art. 6 Abs. 1 Buchst. f) DSGVO die Rechtsgrundlage bildet:

• Test Nr. 1 – Freigabe des Profils des Bewerbers für den Kunden und Verwaltung von Reaktionen auf Anzeigen
• Test Nr. 2 – Betrieb, Sicherheit und Schutz des elektronischen Systems vor Angriffen
• Test Nr. 3 – Statistik und Nutzungsanalyse (aggregierte Daten)
• Test Nr. 4 – Marketingkommunikation gegenüber Kunden (Soft Opt-in)
• Test Nr. 5 – Geltendmachung und Verteidigung rechtlicher Ansprüche.

Das AI-Avatar-Interview ist nicht Gegenstand dieses Tests, da es nicht auf dem berechtigten Interesse gemäß Art. 6 Abs. 1 lit. f) DSGVO beruht, sondern auf der ausdrücklichen Einwilligung des Bewerbers gemäß Art. 6 Abs. 1 lit. a) und Art. 22 Abs. 2 lit. c) DSGVO. Für das AI-Avatar-Interview wurde eine separate Datenschutz-Folgenabschätzung (DPIA) gemäß Art. 35 DSGVO durchgeführt, die ein separates Dokument von Jobiflow bildet

Test Nr. 1 – Bereitstellung des Bewerberprofils für den Kunden

SCHRITT 1: Zwecktest

Was ist das Interesse von Jobiflow und des Kunden? Das Interesse besteht darin, dem Kunden als potenziellem Arbeitgeber zu ermöglichen, die Reaktion des Bewerbers auf eine bestimmte Anzeige zu bewerten und über das weitere Vorgehen im Auswahlverfahren zu entscheiden. Ohne die Bereitstellung des Profils könnte der Kunde die Reaktion des Bewerbers nicht prüfen, und der gesamte Rekrutierungsprozess wäre unmöglich.

Ist das Interesse rechtmäßig? Ja. Die Vermittlung von Stellenangeboten ist eine legitime wirtschaftliche Tätigkeit, die insbesondere durch das Gesetz Nr. 5/2004 Slg. über Arbeitsvermittlungsdienste geregelt ist. Gleichzeitig handelt es sich um die Ausübung der unternehmerischen Freiheit gemäß Art. 16 der Charta der Grundrechte der EU.

Ist das Interesse konkret und real? Ja. Es handelt sich um eine identifizierbare Tätigkeit, die bei jeder Reaktion des Bewerbers auf eine Anzeige durchgeführt wird. Es ist kein hypothetisches oder spekulatives Interesse.

Fazit von Schritt 1: Der Zwecktest ist erfüllt.

SCHRITT 2: Notwendigkeitstest

Ist die Bereitstellung des Profils zur Erreichung des Zwecks notwendig? Ja. Ohne die Bereitstellung zumindest grundlegender Angaben aus dem Profil und Lebenslauf kann der Kunde die Eignung des Bewerbers nicht bewerten. Es handelt sich um den minimal notwendigen Umfang an Daten zur Erfüllung der Funktion der Plattform als Vermittler von Stellenangeboten.

Gibt es eine weniger invasive Alternative? Praktisch nein. Eine Alternative wäre, den Bewerber bei jeder Reaktion gesondert um Einwilligung zu ersuchen. Dieser Ansatz würde jedoch: (a) nicht den Erwartungen des Bewerbers entsprechen, der sein Profil gerade mit dem Ziel erstellt hat, sich um eine Stelle zu bewerben, (b) unnötig kompliziert sein und unnötige Reibungsverluste im Rekrutierungsprozess erzeugen, (c) keinen zusätzlichen Nutzen aus Sicht des Datenschutzes bringen — dieselben Daten würden ohnehin bereitgestellt werden.

Datenminimierung: Dem Kunden werden nur diejenigen Daten zugänglich gemacht, die der Bewerber freiwillig in seinem Profil oder Lebenslauf angegeben hat. Der Bewerber hat die volle Kontrolle darüber, welche Daten er im Profil veröffentlicht.

Fazit von Schritt 2: Der Notwendigkeitstest ist erfüllt.

SCHRITT 3: Ausgleichstest

Art der Daten

Allgemeine personenbezogene Daten (Kontakt- und Identifikationsdaten, Lebenslauf). Es umfasst keine besonderen Kategorien gemäß Art. 9 DSGVO (es sei denn, der Bewerber gibt sie selbst im Profil/Lebenslauf an, was er freiwillig und auf eigene Verantwortung gemäß Art. 4.7 der Verarbeitungsgrundsätze tut).

Angemessene Erwartungen der betroffenen Person

Hoch. Der Bewerber registriert sich auf der Plattform mit dem ausdrücklichen Ziel, sich um eine Arbeitsstelle zu bewerben, und weiß, dass bei der Reaktion auf die Anzeige sein Profil dem Arbeitgeber zugänglich gemacht wird. Dieser Umstand ist in den Datenschutzgrundsätzen, bei der Registrierung und bei der eigentlichen Übermittlung der Reaktion transparent angegeben. Die Verarbeitung entspricht in vollem Umfang den Erwartungen einer angemessenen Informiertheit.

Mögliche Auswirkungen auf die betroffenen Personen

Positiv oder neutral. Der Bewerber erhält die Möglichkeit, sich auf die angebotene Stelle zu bewerben, was sein primäres Ziel auf der Plattform ist. Eine negative Auswirkung (z. B. Offenlegung von Daten, die der Bewerber nicht teilen wollte) wird dadurch minimiert, dass der Bewerber die volle Kontrolle über den Inhalt seines Profils hat.

Von Jobiflow eingeführte Garantien

• Zugriff auf das Profil des Bewerbers hat ausschließlich der Kunde, der Eigentümer der Anzeige ist, auf die der Bewerber reagiert hat (nicht alle Kunden).
• Der Bewerber kann sein Profil jederzeit bearbeiten, deaktivieren oder löschen.
• Der Bewerber hat das Recht, gemäß Art. 21 DSGVO Widerspruch einzulegen — in diesem Fall prüft Jobiflow unverzüglich die Gründe des Widerspruchs und beendet die Verarbeitung, sofern es keine zwingenden schutzwürdigen Gründe nachweisen kann.
• Die Kunden sind vertraglich (über die AGB und die Bedingungen der Verarbeitung personenbezogener Daten) zu demselben Schutzniveau verpflichtet.
• Pseudonymisierung und Verschlüsselung der Daten gemäß Art. 32 DSGVO.
• Die Aufbewahrungsdauer ist auf 3 Jahre ab der letzten Aktivität des Bewerbers beschränkt.

ERGEBNIS DES TESTS 1: Das berechtigte Interesse von Jobiflow und des Kunden überwiegt die Interessen, Rechte und Freiheiten der betroffenen Personen. Die Verarbeitung ist auf Grundlage des berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO zulässig.

Test Nr. 2 – Betrieb, Sicherheit und Schutz des Systems

SCHRITT 1: Zweckprüfung

Interesse von Jobiflow: Die Netzwerk- und Informationssicherheit des Elektronischen Systems zu gewährleisten, die Daten aller Nutzer vor Angriffen zu schützen, die kontinuierliche Verfügbarkeit des Dienstes sicherzustellen und die Verpflichtungen gemäß Art. 32 DSGVO („Sicherheit der Verarbeitung“) zu erfüllen. Die Verarbeitung von Daten zu diesen Zwecken wird in Erwägungsgrund 49 DSGVO ausdrücklich als berechtigtes Interesse genannt.

Ergebnis von Schritt 1: Die Zweckprüfung ist erfüllt.

SCHRITT 2: Erforderlichkeitsprüfung

Ohne die Verarbeitung dieser Daten kann man nicht: (a) die Quelle von Angriffen identifizieren und diese blockieren, (b) auf Sicherheitsvorfälle in Echtzeit reagieren, (c) die Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde binnen 72 Stunden gemäß Art. 33 DSGVO erfüllen, (d) verdächtige Aktivitäten auf Konten untersuchen. Eine Alternative — diese Daten überhaupt nicht zu verarbeiten — würde den Schutz der betroffenen Personen selbst unmöglich machen.

Ergebnis von Schritt 2: Die Erforderlichkeitsprüfung ist erfüllt.

SCHRITT 3: Abwägungstest

Angemessene Erwartungen

Hoch. Jeder informierte Nutzer erwartet, dass die Plattform grundlegende Sicherheitsmaßnahmen implementiert, einschließlich Protokollierung und Monitoring.

Garantien

• Der Zugriff auf Protokolle ist auf ausgewählte Mitarbeiter des IT-/Sicherheitsteams beschränkt.
• Aufbewahrungsdauer maximal 12 Monate.
• Protokolle werden nicht für andere Zwecke verwendet (Marketing, Profiling) — nur für Sicherheit und Betrieb.
• Pseudonymisierung, Verschlüsselung im Ruhezustand und bei der Übertragung.

ERGEBNIS DES TESTS 3: Das berechtigte Interesse an der Sicherheit überwiegt eindeutig. Die Verarbeitung ist zulässig.

Test Nr. 3 – Statistik und Nutzungsanalyse

SCHRITT 1: Zwecktest

Interesse von Jobiflow: Das Produkt auf Basis von Daten verbessern, fundierte Entscheidungen über die Entwicklung treffen und Probleme mit der Benutzererfahrung beheben.

Fazit von Schritt 1: Erfüllt.

SCHRITT 2: Erforderlichkeitstest

Erforderlichkeit: Für aggregierte Statistiken ist die Verarbeitung erforderlich, jedoch mit Schwerpunkt auf Minimierung. Wo möglich, wird Anonymisierung verwendet (IP-Masking, Verkürzung von Identifikatoren).

Fazit von Schritt 2: Erfüllt mit Schwerpunkt auf Anonymisierung.

SCHRITT 3: Abwägungstest

Auswirkung auf betroffene Personen: Minimal. Die Daten werden in aggregierter Form verarbeitet, einzelne Personen sind nicht identifizierbar.

Garantien

• IP-Masking / Anonymisierung, wo immer möglich.
• Bei analytischen Cookies (Google Analytics, Microsoft Clarity) — Verarbeitung nur mit Einwilligung des Nutzers.
• Aufbewahrungsdauer bis zu 13 Monaten gemäß Branchenstandards.

ERGEBNIS DES TESTS 4: Für interne aggregierte Statistiken überwiegt das berechtigte Interesse. Für Cookies Dritter wird eine Einwilligung verwendet.

Test Nr. 4 – Marketingkommunikation gegenüber Kunden (Soft Opt-in)

SCHRITT 1: Zwecktest

Interesse von Jobiflow: Die Geschäftsbeziehung mit bestehenden Kunden aufrechterhalten, sie über neue Funktionen und Verbesserungen der Plattform informieren, die sie in ihrem HR-Prozess nutzen können, und ihr Engagement sowie ihre Loyalität steigern (Upselling und Cross-Selling).

Rechtmäßigkeit: § 116 Abs. 16 des Gesetzes Nr. 452/2021 Slg. erlaubt ausdrücklich „Soft Opt-in“ für Direktmarketing gegenüber bestehenden Kunden ohne deren Einwilligung, sofern die gesetzlichen Bedingungen erfüllt sind. Erwägungsgrund 47 der DSGVO nennt Direktmarketing ausdrücklich als berechtigtes Interesse.

Ergebnis des Schritts 1: Erfüllt.

SCHRITT 2: Notwendigkeitstest

Alternative: Eine Alternative ist die ausdrückliche Opt-in-Einwilligung. Das Soft-Opt-in-Modell ist gerechtfertigt, weil: (a) der Kunde beim Vertragsabschluss vernünftigerweise erwarten konnte, über sein Produkt informiert zu werden, (b) es sich um eine direkte Fortsetzung der Vertragserfüllung handelt, (c) eine einfache Abmeldung in jeder E-Mail die Kontrolle der betroffenen Person sicherstellt.

Ergebnis des Schritts 2: Erfüllt.

SCHRITT 3: Abwägungstest

Kumulative Bedingungen des Soft Opt-in, die Jobiflow erfüllen muss

• Die E-Mail wurde im Zusammenhang mit dem Verkauf der Dienstleistung an den Kunden erhalten.
• Die Marketingkommunikation bezieht sich ausschließlich auf eigene ähnliche Produkte/Dienstleistungen von Jobiflow.
• Bei der Erhebung der E-Mail wurde der Kunde über die Marketingnutzung informiert und hatte die Möglichkeit, diese abzulehnen.
• In jeder einzelnen Nachricht gibt es eine einfache und kostenlose Abmeldemöglichkeit (unsubscribe link).

Auswirkungen auf betroffene Personen

Gering. Es handelt sich um B2B-Kommunikation gegenüber Personen, die bereits eine aktive Geschäftsbeziehung mit Jobiflow haben. Es kommt weder mit sensiblen Daten noch mit sensiblen Aspekten des Privatlebens in Berührung.

Garantien

• Unsubscribe link in jeder E-Mail.
• Führung einer Suppression-Liste — nach der Abmeldung wird der Kunde nicht mehr kontaktiert.
• Segmentierung nach Kundentyp — der Newsletter betrifft relevante Themen.
• Kein Marketing gegenüber Kunden, die bei der Registrierung Marketingkommunikation ausdrücklich abgelehnt haben.
• Maximale Frequenz — 2 e-Mail-Benachrichtigungen pro Monat.

ERGEBNIS DES TESTS 5: Unter der Bedingung der Einhaltung aller kumulativen Voraussetzungen des Soft Opt-in überwiegt das berechtigte Interesse. Hinweis: Gegenüber Bewerbern (natürlichen Personen ohne Vertrag mit Jobiflow) findet das Soft Opt-in keine Anwendung — für ihre Marketingansprache ist eine ausdrückliche Einwilligung gemäß Art. 6 Abs. 1 lit. a) DSGVO erforderlich.

Test Nr. 5 – Geltendmachung und Verteidigung von Rechtsansprüchen

SCHRITT 1: Zwecktest

Interesse: Fähigkeit, sich gegen unberechtigte Ansprüche Dritter zu verteidigen und eigene Ansprüche durchzusetzen. Ohne die Möglichkeit, Beweismaterial aufzubewahren, könnte Jobiflow seine Rechte und die Rechte seiner Kunden nicht wirksam schützen.

Fazit von Schritt 1: Erfüllt.

SCHRITT 2: Erforderlichkeitstest

Erforderlichkeit: Ohne die Aufbewahrung relevanter Daten könnte Jobiflow im Streitfall seine Position nicht belegen. Eine Alternative wäre die sofortige Löschung der Daten nach Vertragsende, was jedoch die Verteidigung innerhalb der Verjährungsfrist unmöglich machen würde.

Fazit von Schritt 2: Erfüllt.

SCHRITT 3: Abwägungstest

Angemessene Erwartungen: Mittel bis hoch. Der informierte Nutzer erwartet, dass Vertragsdaten und Kommunikation auch nach Beendigung des Vertrags für eine gewisse Zeit aufbewahrt werden.

Garantien

• Daten in diesem Modus werden nur eingeschränkt verarbeitet — nur zur Geltendmachung/Verteidigung, nicht zu anderen Zwecken (kein Marketing, kein Profiling).
• Die Aufbewahrungsdauer ist auf die Verjährungsfrist der konkreten Ansprüche beschränkt (bei Geschäftsbeziehungen in der Regel 4 Jahre gemäß § 397 des Handelsgesetzbuchs; bei allgemeinen Ansprüchen 3 Jahre gemäß § 101 des Bürgerlichen Gesetzbuchs).
• Nach rechtskräftigem Abschluss des Streits und Ablauf der Verjährungsfrist werden die Daten sicher gelöscht.
• Zugriff auf die Daten in diesem Modus hat ein begrenzter Personenkreis (Rechtsabteilung, Geschäftsführung, beauftragte Rechtsberater).

ERGEBNIS DES TESTS 6: Das berechtigte Interesse an der Verteidigung rechtlicher Ansprüche überwiegt. Die Verarbeitung ist im Umfang der Verjährungsfrist der konkreten Ansprüche zulässig.

Zusammenfassendes Ergebnis des Verhältnismäßigkeitstests

Auf Grundlage der durchgeführten Verhältnismäßigkeitstests wird festgestellt, dass das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f) DSGVO ein gültiger und angemessener Rechtsgrund für die folgenden Verarbeitungstätigkeiten von Jobiflow ist:

• Test 1 – Bereitstellung des Profils des Bewerbers für den Kunden — BESTANDEN
• Test 2 – Betrieb und Sicherheit des Systems — BESTANDEN
• Test 3 – Statistik und Analyse — BESTANDEN für interne Kennzahlen; für Cookies von Drittanbietern Einwilligung
• Test 4 – Marketing gegenüber Kunden (Soft Opt-in) — BESTANDEN unter der Bedingung der Einhaltung der kumulativen Voraussetzungen
• Test 5 – Verteidigung rechtlicher Ansprüche — BESTANDEN

Pflichten von Jobiflow in Zusammenhang mit diesem Test

• In den Datenschutzgrundsätzen alle relevanten Informationen über die Verarbeitung auf Grundlage des berechtigten Interesses veröffentlichen, einschließlich der Möglichkeit zum Widerspruch gemäß Art. 21 DSGVO. Erfüllt (Art. 11.6 der Grundsätze).
• Betroffenen Personen die einfache Möglichkeit geben, der Verarbeitung zu widersprechen. Erfüllt über Kontakt-E-Mails.
• Dieses Dokument aufbewahren und es auf Anfrage der Aufsichtsbehörde oder der betroffenen Person zugänglich machen (im relevanten Umfang).
• Dieses Dokument mindestens einmal jährlich sowie bei jeder Änderung der Verarbeitungstätigkeit, bei Erweiterung von KI-Funktionen, bei Änderung der Gesetzgebung oder bei einer für einen der Tests relevanten Entscheidung des EDSA/der Datenschutzbehörde überprüfen.
• Bei einem Widerspruchsantrag gemäß Art. 21 DSGVO unverzüglich die Gründe des Widerspruchs prüfen und entweder die Verarbeitung einstellen oder schriftlich zwingende schutzwürdige Gründe nachweisen, die die Interessen der betroffenen Person überwiegen.

Revisionshistorie

Jobiflow s. r. o.