Anlage 2 — Datenschutz

Zu: huunt.ai B2B-Rahmenvertrag Version: v1.0 — Stand: 09.06.2026

Vorbemerkung — Architektur dieser Anlage

Diese Anlage konsolidiert die datenschutzrechtliche Rollen- und Verantwortungsverteilung zwischen Anbieter und Kunde. Sie folgt einer einheitlichen Hybrid-Architektur:

Kernprodukt (Endnutzer-Inhalte und KI-Verarbeitung): Der Anbieter ist eigenständiger Verantwortlicher gegenüber den Endnutzern. Details ergeben sich aus der öffentlichen Datenschutzerklärung des Anbieters; die hier in Teil I getroffenen Regelungen konkretisieren ergänzend die für das Vertragsverhältnis relevanten Punkte.

Verwaltungs-Slice (Endnutzer-/Gruppen-Verwaltung und Verwaltungsdashboard): Der Anbieter handelt insoweit als Auftragsverarbeiter des Kunden nach Art. 28 DSGVO. Es gelten die §§ 3 bis 10 dieser Anlage.

Sensible Endnutzer-Inhalte im Verwaltungsdashboard: werden für den Kunden ausschließlich nach aktiver, granularer und widerruflicher Freigabe durch den jeweiligen Endnutzer sichtbar („User-Controlled-Sharing”). Es gilt § 2 dieser Anlage.

Teil I — Kernprodukt: Anbieter als eigenständiger Verantwortlicher

§ 1 Verantwortlichkeit für das Kernprodukt

Der Anbieter ist eigenständiger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Verarbeitung der Endnutzer-Inhalte zum Zweck der Bereitstellung der huunt.ai-Plattform gegenüber den Endnutzern. Dies umfasst insbesondere die KI-gestützte Verarbeitung der Endnutzer-Inhalte zum Job-Matching, zur Erstellung und Optimierung von Bewerbungsunterlagen und zum Bewerbungs-Copilot.

Die in Absatz 1 genannte Verarbeitung erfolgt im Rahmen des Endnutzervertrags zwischen Anbieter und Endnutzer und niemals im Auftrag des Kunden. Der Kunde gibt insbesondere keine Weisungen zur KI-Verarbeitung und erhält keine Steuerungsmöglichkeit über die KI-Modelle, deren Training oder deren Eingaben.

Detaillierte Angaben zu Verarbeitungszwecken, Rechtsgrundlagen, Speicherdauer, Empfängern und Betroffenenrechten gegenüber den Endnutzern enthält die jeweils aktuelle Datenschutzerklärung des Anbieters unter huunt.ai/legal/privacy. Diese Datenschutzerklärung wird vom Anbieter nach den Anforderungen der Art. 13 ff. DSGVO gepflegt. Der Anbieter erfüllt seine Informationspflichten gegenüber den Endnutzern und führt das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO für seine Sphäre eigenständig.

Schutzklausel zur Datenschutzerklärung. Wesentliche Änderungen der Datenschutzerklärung, die

die Rollenverteilung zwischen Anbieter und Kunde nach dieser Anlage,

den in Absatz 1 beschriebenen Zweck und Umfang der Verarbeitung, oder

wesentliche Aspekte der TOMs oder Subprozessor-Konstellation

betreffen, werden dem Kunden vom Anbieter mit einer Vorankündigung von mindestens 30 Tagen in Textform mitgeteilt. Allein redaktionelle oder klarstellende Änderungen, die den Schutzstandard nicht absenken, sind nicht ankündigungspflichtig.

Auf Anforderung des Kunden stellt der Anbieter Textbausteine zur Verfügung, mit denen der Kunde seine eigenen Informationspflichten gegenüber den Endnutzern in Bezug auf die huunt.ai-Plattform erfüllen kann.

§ 2 User-Controlled-Sharing — Freigabe sensibler Inhalte gegenüber dem Kunden

Sensible Endnutzer-Inhalte werden im Verwaltungsdashboard des Kunden nur dann sichtbar, wenn der Endnutzer sie aktiv freigegeben hat. „Sensibel” im Sinne dieser Anlage sind insbesondere:

Lebenslauf des Endnutzers mit Erfahrung und Fähigkeiten-Profil,

Detaillierte Bewerbungshistorie (Datum, konkrete Arbeitgeber, Position, Status),

Detaillierte Job-Matches mit Match-Scores und KI-Auswertungen.

Mechanik der Freigabe. Der Anbieter stellt im Endnutzer-Account eine Freigabe-Funktion zur Verfügung, die folgende Eigenschaften hat:

• Granular — der Endnutzer kann einzelne Kategorien (z. B. nur Lebenslauf, nur Bewerbungshistorie) freigeben oder zurückhalten;
• Aktiv — Freigabe erfolgt durch eindeutige Handlung des Endnutzers (Opt-in), nicht durch bloße Nutzung des Tools;
• Widerruflich — der Endnutzer kann die Freigabe jederzeit, einzeln oder vollständig, mit Wirkung für die Zukunft zurücknehmen;
• Nachweisbar — der Anbieter protokolliert Erteilung und Widerruf der Freigabe gemäß Art. 7 Abs. 1 DSGVO einschließlich Zeitstempel und freigegebener Kategorien.

Standard-Zustand. Im Auslieferungszustand des Endnutzer-Accounts ist die Sichtbarkeit sensibler Inhalte gegenüber dem Kunden deaktiviert. Der Endnutzer wird beim Onboarding über die Freigabe-Funktion informiert; eine generelle Freigabe ist nicht Voraussetzung für die Nutzung der huunt.ai-Plattform.

Trennung von B2C-Nutzung und Freigabe. Die Nutzung der huunt.ai-Plattform als solche ist nicht von einer Freigabe gegenüber dem Kunden abhängig. Verweigert oder widerruft der Endnutzer die Freigabe, kann er die Plattform vollumfänglich im Rahmen seines Endnutzervertrags weiternutzen.

Hat der Endnutzer einen Bereich nicht freigegeben, wird dies dem Coach im Verwaltungsdashboard in neutraler Form angezeigt (z. B. „nicht freigegeben”), ohne Inhalte preiszugeben. Der Coach kann den Endnutzer im Einzelfall um eine Freigabe bitten; eine Pflicht des Endnutzers zur Freigabe besteht nicht.

Teil II — Verwaltungs-Slice: Anbieter als Auftragsverarbeiter

§ 3 Gegenstand der Auftragsverarbeitung

Der Anbieter handelt als Auftragsverarbeiter des Kunden nach Art. 28 DSGVO im Hinblick auf folgende Verarbeitungen („Verwaltungs-Slice”):

Verwaltung der Endnutzer-Stammdaten zum Zweck der Lizenz- und Gruppenverwaltung: Name, E-Mail, Avatar (sofern hochgeladen), Gruppenzuordnung, Aktivierungs-/Lizenzstatus, letzter Login, Restlaufzeit;

Aggregierte und endnutzer-bezogene Verwaltungsdaten im Sinne von Anlage 1 Ziffer 1.2.2 (Aktivitäts-/Lizenzstatus, aggregierte Bewerbungs- und Funktionsaktivität, Liste der nicht aktivierten / inaktiven Endnutzer);

Versand der Einladungs-Magic-Links an die vom Kunden bereitgestellten E-Mail-Adressen;

Erstellung und Bereitstellung von Reports und pseudonymisierten Kalkulationsbelegen im Sinne von Anlage 1 Ziffer 1.2.4;

Anzeige und Bereitstellung der freigegebenen Inhalte im Verwaltungsdashboard, soweit der Endnutzer die Freigabe gemäß § 2 erteilt hat.

Die KI-Verarbeitung der Endnutzer-Inhalte ist nicht Bestandteil der Auftragsverarbeitung; sie verbleibt bei der eigenständigen Verantwortlichkeit des Anbieters (§ 1).

Zweck: dem Kunden die Wahrnehmung seiner eigenen Aufgaben gegenüber den Endnutzern (Coaching, Maßnahmedurchführung, Career-Service etc., je nach Annex) zu ermöglichen.

Art der Daten: Stammdaten und Statusdaten der Endnutzer; aggregierte Nutzungskennzahlen; pseudonymisierte Berichts- und Belegdaten; sowie — bei Freigabe — die in § 2 Abs. 1 genannten Inhalte.

Kategorien betroffener Personen: Endnutzer im Sinne des Rahmenvertrags.

Dauer: Vertragslaufzeit zzgl. der in § 10 dieser Anlage geregelten Beendigungs- und Aufbewahrungsfristen.

§ 4 Weisungsrecht des Kunden und Weisungsbindung des Anbieters

Der Anbieter verarbeitet Daten in Kategorie „Verwaltungs-Slice” ausschließlich auf dokumentierte Weisung des Kunden, soweit er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet ist.

Die Weisungen des Kunden ergeben sich primär aus dem Rahmenvertrag, dieser Anlage und Anlage 1. Ergänzende Weisungen erfolgen schriftlich oder textlich an die in § 11 dieser Anlage benannte Kontaktstelle.

Ist der Anbieter der Auffassung, dass eine Weisung des Kunden gegen Datenschutzbestimmungen verstößt, teilt er dies dem Kunden unverzüglich mit und ist berechtigt, die Ausführung auszusetzen, bis die Rechtmäßigkeit geklärt ist.

§ 5 Pflichten des Kunden als Verantwortlicher

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung im Verwaltungs-Slice verantwortlich, insbesondere:

Er stellt eine wirksame Rechtsgrundlage für die Weitergabe der Endnutzer-E-Mail-Adresse an den Anbieter und für die Verarbeitung der Verwaltungsdaten sicher.

Er erfüllt die Informationspflichten gegenüber den Endnutzern nach Art. 13/14 DSGVO eigenständig. Der Anbieter stellt dazu auf Anforderung einen Textbaustein zur Verfügung (§ 1 Abs. 5).

Er bearbeitet Anfragen betroffener Endnutzer aus dem Verwaltungs-Slice eigenständig; der Anbieter unterstützt nach § 8.

Der Kunde stellt sicher, dass die ihm zugängliche Informationsmenge im Verwaltungsdashboard im Verhältnis zu seiner Zweckverfolgung angemessen ist (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Insbesondere darf er die im Dashboard angezeigten Endnutzer-Daten nicht zu Zwecken verwenden, die über die Vertragsverhältnisse zu den Endnutzern hinausgehen.

§ 6 Pflichten des Anbieters als Auftragsverarbeiter

Der Anbieter sichert zu:

Vertraulichkeit: Mitarbeiter, die mit der Verarbeitung im Verwaltungs-Slice betraut sind, werden zur Vertraulichkeit verpflichtet, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Sicherheit nach Art. 32 DSGVO: Anbieter ergreift die in Anlage 3 dokumentierten technisch-organisatorischen Maßnahmen.

Subprozessoren: Der Anbieter darf für den Verwaltungs-Slice nur Subprozessoren einsetzen, die in Anlage 3 gelistet sind oder dem Kunden vorab mit angemessener Vorlaufzeit (regelmäßig 30 Tage) in Textform mitgeteilt wurden. Der Kunde kann der Aufnahme aus wichtigen Gründen widersprechen; im Streitfall ist eine außerordentliche Kündigung der betroffenen Verarbeitung möglich. Mit jedem Subprozessor schließt der Anbieter eine den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechende Vereinbarung.

Unterstützung des Kunden: Anbieter unterstützt den Kunden in angemessenem Umfang bei der Erfüllung von Betroffenenrechten, bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und bei Konsultationen mit Aufsichtsbehörden (Art. 36 DSGVO).

Meldung von Datenschutzverletzungen unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden (§ 9).

Rückgabe / Löschung nach Wahl des Kunden bei Vertragsende, gemäß § 10.

Nachweise: Auf Anfrage stellt der Anbieter dem Kunden geeignete Nachweise zur Verfügung, dass die Pflichten aus Art. 28 DSGVO und dieser Anlage erfüllt werden.

§ 7 Kontroll- und Auditrechte

Nachweise als Standardweg. Der Kunde überzeugt sich von der Einhaltung dieser Anlage regelmäßig durch Vorlage geeigneter Nachweise des Anbieters. Hierzu gehören insbesondere:

die jeweils aktuelle Fassung der Anlage 3 (TOMs und Subprozessoren),

Selbstauskünfte des Anbieters auf konkrete Fragen des Kunden,

Auditberichte unabhängiger Dritter, soweit verfügbar,

Zertifikate nach Art. 42 DSGVO oder gleichwertige Nachweise (z. B. ISO/IEC 27001, SOC 2 Type II), sobald vom Anbieter erlangt.

Der Anbieter stellt diese Nachweise auf Anforderung des Kunden innerhalb angemessener Frist zur Verfügung.

Vor-Ort-Audit bei begründetem Anlass. Reichen die nach Absatz 1 vorgelegten Nachweise im Einzelfall nicht aus, um eine konkrete, vom Kunden in Textform dargelegte datenschutzrechtliche Fragestellung zu klären, kann der Kunde ein Vor-Ort-Audit verlangen. Das Audit

wird mindestens 60 Tage vor dem geplanten Termin in Textform angekündigt,

findet während der üblichen Geschäftszeiten des Anbieters statt,

unterliegt einer beidseitigen Vertraulichkeitsverpflichtung,

wird durch den Kunden selbst oder einen von ihm beauftragten unabhängigen Dritten durchgeführt, wobei der Dritte nicht in einem Wettbewerbsverhältnis zum Anbieter stehen darf,

ist auf maximal ein Vor-Ort-Audit pro Vertragsjahr beschränkt,

ist auf den Umfang beschränkt, der zur Klärung der dargelegten Fragestellung erforderlich ist; ein umfassender, ungerichteter Audit-Anspruch besteht nicht.

Kostentragung beim Vor-Ort-Audit. Die Kosten des Audits — einschließlich des angemessenen Mitwirkungsaufwands des Anbieters zum üblichen Tagessatz — trägt der Kunde. Wird im Zuge des Audits ein erheblicher Verstoß des Anbieters gegen diese Anlage festgestellt, trägt der Anbieter die Kosten.

Außerordentliches Audit bei begründetem Verdacht eines wesentlichen Vorfalls. Liegt eine durch dokumentierte Anhaltspunkte gestützte konkrete Vermutung eines wesentlichen Datenschutzvorfalls beim Anbieter vor, kann der Kunde ein außerordentliches Audit verlangen, das von der Begrenzung in Absatz 2 lit. e ausgenommen ist. Bestätigt sich die Vermutung im Audit, trägt der Anbieter die Kosten; bestätigt sie sich nicht, gilt Absatz 3 entsprechend.

Verhältnis zu Aufsichtsbehörden. Befugnisse zuständiger Aufsichtsbehörden nach Art. 58 DSGVO bleiben unberührt.

§ 8 Betroffenenrechte

Der Anbieter unterstützt den Kunden bei der Bearbeitung von Anfragen betroffener Endnutzer im Verwaltungs-Slice, insbesondere durch Bereitstellung der erforderlichen Informationen und durch Umsetzung von Löschungs- oder Korrekturanforderungen, soweit technisch möglich und zumutbar. Aufwand jenseits der Standardfunktionen kann gesondert in Rechnung gestellt werden.

§ 9 Meldung von Datenschutzverletzungen

Wird dem Anbieter eine Datenschutzverletzung bekannt, die Endnutzer-Daten im Verwaltungs-Slice betrifft, informiert er den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden.

Die Meldung umfasst die in Art. 33 Abs. 3 DSGVO geforderten Angaben, soweit dem Anbieter bekannt.

Die Meldepflicht nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde und ggf. nach Art. 34 DSGVO gegenüber den Betroffenen liegt beim Kunden als Verantwortlichem.

§ 10 Beendigung; Rückgabe; Löschung; Aufbewahrung

Live-Verwaltungsdaten und freigegebene Inhalte. Bei Vertragsende erhält der Kunde während eines Zeitraums von 30 Tagen über das Verwaltungsdashboard Zugang zum Export. Nach Ablauf werden die Live-Verwaltungsdaten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht und der Kunde nicht ausdrücklich Löschung zu einem früheren Zeitpunkt wählt.

Pseudonymisierte Reports und Belege. Die im Bereich „Reports / Belege” abgelegten pseudonymisierten Kalkulationsbelege und Aggregat-Reports bleiben mindestens 5 Jahre nach Vertragsende für den Kunden im Verwaltungsdashboard zum Download abrufbar, sofern gesetzliche oder förderrechtliche Aufbewahrungspflichten dies erfordern. Rechtsgrundlage für die Aufbewahrung: Art. 6 Abs. 1 lit. c DSGVO i. V. m. den jeweils einschlägigen Aufbewahrungspflichten des Kunden.

Rechnungen. Vom Anbieter ausgestellte Rechnungen bleiben für 10 Jahre ab Ausstellung im Verwaltungsdashboard zum Download abrufbar (§ 147 AO, § 257 HGB).

Endnutzer-Accounts. Die im Kernprodukt (§ 1) verarbeiteten Daten verbleiben in den jeweiligen Endnutzer-Accounts; der Endnutzer bleibt Inhaber seines huunt.ai-Accounts unabhängig vom Ende dieses Vertrags.

Annex-spezifische Konkretisierungen der Aufbewahrungspflichten bleiben unberührt.

§ 11 Kontaktstellen

Beim Anbieter: Datenschutzkontakt: legal@huunt.ai

Datenschutzbeauftragter: David Berghoff, david@huunt.ai

Beim Kunden: Wie im Bestellschein angegeben.

Teil III — Gemeinsame Regelungen

§ 12 Drittlandtransfers

Soweit Verarbeitungen außerhalb des EWR stattfinden, sichert der Anbieter ein angemessenes Datenschutzniveau gemäß Art. 44 ff. DSGVO zu, regelmäßig durch Abschluss der Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 sowie ergänzende Schutzmaßnahmen (Transfer Impact Assessment, technische Maßnahmen wie Verschlüsselung), wo nach Stand der Praxis erforderlich.

Die Subprozessor-Konstellation ist in Anlage 3 dokumentiert.

§ 13 Sozialdatenschutz (nur bei einschlägigem Annex)

Bei Kunden, die Sozialdaten im Sinne des § 67 SGB X verarbeiten (insbesondere AZAV-Träger), gelten ergänzend die Vorschriften des Sozialdatenschutzes (§§ 67 ff. SGB X). Soweit der Anbieter den Verwaltungs-Slice als Auftragsverarbeiter bedient, ist § 80 SGB X einschlägig; die vorliegende Anlage ist insoweit als Auftragsvereinbarung im Sinne von § 80 SGB X auszulegen. Im Übrigen gilt das jeweilige Annex.

§ 14 Schlussbestimmungen

Bei Widersprüchen zwischen dieser Anlage und anderen Bestandteilen des Rahmenvertrags geht diese Anlage in datenschutzrechtlichen Fragen vor.

Diese Anlage kann durch beidseitige Vereinbarung in Textform angepasst werden. Der Anbieter ist berechtigt, redaktionelle Anpassungen und Klarstellungen einseitig vorzunehmen, soweit der Schutzstandard nicht abgesenkt wird. Inhaltliche Änderungen mit Auswirkungen auf die Rollenverteilung bedürfen der Zustimmung beider Parteien.