DATENSCHUTZ-
RICHTLINIE
Gemäß der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG)
Einleitung
Bei Xeito verpflichten wir uns, Deine Privatsphäre zu schützen und die Sicherheit Deiner persönlichen Daten zu gewährleisten. Diese Datenschutzerklärung erklärt, wie wir Deine persönlichen Informationen gemäß der Datenschutz-Grundverordnung (DSGVO - EU 2016/679) und dem Bundesdatenschutzgesetz (BDSG) erheben, verwenden, speichern und schützen.
Durch die Nutzung unserer Dienste akzeptierst Du die in dieser Richtlinie beschriebenen Praktiken. Wenn Du mit unseren Datenschutzpraktiken nicht einverstanden bist, empfehlen wir Dir, unsere Dienste nicht zu nutzen.
Diese Richtlinie gilt für alle Nutzer von Xeito, unabhängig von ihrem geografischen Standort.
Verantwortlicher für die Datenverarbeitung
Daten, die wir erheben
Persönliche Informationen
Vollständiger Name. Wenn Du als Unternehmen oder als Verbraucher, der von außerhalb der EU bezahlt, ein Abonnement abschließt, zusätzlich der Rechnungsname und die Rechnungsadresse, die Du beim Bezahlen angibst (Adresse, Stadt, Postleitzahl, ggf. Region und Land), sowie Deine USt-IdNr./NIF, wenn Du als Unternehmen abonnierst. All das dient der Ausstellung Deiner Rechnung. Wenn Du Credits kaufst, kann die Zahlungsseite ebenfalls Rechnungsangaben abfragen, etwa Deine Adresse
E-Mail-Adresse
Telefonnummer (optional)
Geografischer Standort und Standortpräferenzen
Lebenslauf und zugehörige Dokumente — wir entnehmen daraus Kontakt- und Berufsdaten (Name, E-Mail, Telefon, Standort, aktuelle Position und Arbeitgeber, LinkedIn-/GitHub-/Portfolio-Links, Berufsjahre, Fähigkeiten, Ausbildungsverlauf und eine kurze berufliche Zusammenfassung) und speichern sie zusammen mit der hochgeladenen Datei, damit wir Deinen Lebenslauf auswerten und die von Dir ausgewählten Bewerbungen vorausfüllen können. Du kannst diese Datei jederzeit ersetzen oder löschen; beim Löschen werden sowohl die Datei als auch die daraus entnommenen Daten entfernt. Wenn Du die Browser-Erweiterung zum Ausfüllen eines Bewerbungsformulars verwendest, erhält sie nur Felder aus Deinem Xeito-Profil — derzeit: Name, E-Mail, aktuelle Position und Berufsjahre. Du entscheidest, wann Du das nutzt, die Erweiterung sendet das Formular nicht für Dich ab, und Xeito reicht niemals eine Bewerbung auf einer fremden Website in Deinem Namen ein. Zur Berichtigung dieser Daten siehe Deine Rechte weiter unten (Art. 16 DSGVO).
Berufliche Informationen
Berufserfahrung und beruflicher Werdegang
Akademische Ausbildung und Zertifizierungen
Technische Fähigkeiten und Kompetenzen
Arbeitspräferenzen (Arbeitsart, Gehalt, Standort)
Plattformaktivität: Stellenanzeigen, die Du speicherst, in Deinem Job Tracker verfolgst, meldest oder aus Deinen Ergebnissen ausblendest
Arbeitgeber- / Unternehmensinformationen
Handelsrechtlicher Name und Firmenname des Unternehmens
Steueridentifikationsnummer (NIF/CIF) — zur Überprüfung der Arbeitgeberidentität verwendet
Website-URL des Unternehmens
Deine Rolle im Unternehmen (Inhaber, Administrator, Mitglied)
Über das Arbeitgeberportal veröffentlichte Stellenangebote
Rechtsgrundlage der Verarbeitung
Wir verarbeiten Deine personenbezogenen Daten auf folgenden Rechtsgrundlagen gemäß Art. 6 DSGVO:
| Purpose | Legal basis |
|---|---|
| Erbringung des Dienstes (Jobsuche, Profil, Benachrichtigungen) | Vertragserfüllung — Art. 6(1)(b) DSGVO |
| Lebenslauf-Auswertung und Autofill von Bewerbungsformularen (Entnahme von Profildaten aus Deinem Lebenslauf und Ausfüllen von Formularen Dritter auf Deine Anforderung) | Vertragserfüllung — Art. 6(1)(b) DSGVO |
| Authentifizierung und Kontosicherheit | Berechtigtes Interesse — Art. 6(1)(f) DSGVO |
| KI/ML-Jobempfehlungen | Berechtigtes Interesse — Art. 6(1)(f) DSGVO |
| Newsletter und Blog-Updates | Einwilligung — Art. 6(1)(a) DSGVO |
| E-Mails zu Kontoaktivität für registrierte Nutzer (Aktivierungstipps in der ersten Woche, Erinnerungen bei unvollständigem Profil, Hinweise bei niedrigem Guthaben, Reaktivierung nach Inaktivität, gelegentliche Bitten um Produkt-Feedback) | Berechtigtes Interesse — Art. 6(1)(f) DSGVO — sowie Art. 21.2 LSSI-CE; Du kannst jederzeit über den Link in jeder E-Mail oder per Antwort auf sie widersprechen |
| Mock-Interview-Personalisierung (adaptive Empfehlungen, Skill-Gap-Analyse, Kohortenähnlichkeit) | Einwilligung — Art. 6(1)(a) DSGVO |
| Spracheingabe im Mock Interview (Transkription Deiner gesprochenen Antwort auf Deinem Gerät; eine Transkription durch unseren Anbieter in der EU ist geplant, aber noch nicht aktiv) | Vertragserfüllung — Art. 6 Abs. 1 lit. b DSGVO |
| Arbeitgeberportal und Bewerbungen (automatisierte Anzeige von Arbeitgeberstellen für Bewerbende, Weiterleitung von Bewerbungen) | Vertragserfüllung — Art. 6(1)(b) DSGVO |
| Überprüfung der Arbeitgeberidentität (NIF/CIF-Validierung gegen das öffentliche Register) | Berechtigtes Interesse — Art. 6(1)(f) DSGVO |
| Einhaltung der Nichtdiskriminierung in Stellenanzeigen (automatisierte Prüfung) | Berechtigtes Interesse — Art. 6(1)(f) DSGVO (Verhinderung rechtswidriger diskriminierender Stellenanzeigen auf unserer Plattform) |
| Erfüllung gesetzlicher Pflichten (Buchhaltung, DSGVO, einschließlich der Benachrichtigung von Arbeitgebern, wenn eine von ihnen erhaltene Bewerbung gelöscht wird, Art. 19 DSGVO, und der Aufbewahrung von Löschnachweisen) | Rechtliche Verpflichtung — Art. 6(1)(c) DSGVO |
| Betrugs- und Missbrauchserkennung | Berechtigtes Interesse — Art. 6(1)(f) DSGVO |
| Ausstellung von Rechnungen (Rechnungsname und -adresse sowie USt-IdNr./NIF von Unternehmen als Abonnenten, die beim Bezahlen von Unternehmen und von Verbrauchern erhoben werden, die von außerhalb der EU bezahlen, zuzüglich der Rechnungsangaben, die beim Kauf von Credits auf der Zahlungsseite abgefragt werden; wie es die spanischen Rechnungsvorschriften verlangen, Real Decreto 1619/2012) | Rechtliche Verpflichtung — Art. 6(1)(c) DSGVO; in den oben genannten Bezahlabläufen für Abonnements können wir ohne diese Angaben weder die Rechnung ausstellen noch das Abonnement abschließen |
| Werbung auf öffentlichen Seiten (Google AdSense, nicht personalisierte Anzeigen) | Einwilligung — LSSI-CE Art. 22.2 und Art. 6(1)(a) DSGVO |
| Website-Analyse auf öffentlichen Seiten (Google Analytics) | Einwilligung — LSSI-CE Art. 22.2 und Art. 6(1)(a) DSGVO |
Empfänger und Auftragsverarbeiter
Wir geben personenbezogene Daten an die unten aufgeführten Anbieter weiter. Die Tabelle gibt für jeden Anbieter an, was er tut, welche Daten er erhält und zu welchen Bedingungen. Anthropic und Telegram erhalten diese Daten nicht auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) mit uns (Art. 28 DSGVO): Sie verarbeiten sie nach ihren eigenen Bedingungen und Datenschutzerklärungen, wie in den jeweiligen Zeilen erläutert. Google Ireland Limited, die über Google AdSense Anzeigen ausliefert, verarbeitet die Daten, die sie über die Anzeigen erhält, als eigenständiger Verantwortlicher, wie ihre Zeile erläutert. Die übrigen Anbieter, darunter Google Workspace, verarbeiten die Daten in unserem Auftrag und zu dem angegebenen Zweck als unsere Auftragsverarbeiter; Stripe gibt in seiner Datenschutzerklärung an, dass es je nach Tätigkeit als Verantwortlicher oder als Auftragsverarbeiter handelt.
| Empfänger | Funktion und Bedingungen | Standort / Garantie |
|---|---|---|
| Neon (Neon Inc.) | PostgreSQL-Datenbank (Hosting und Backup) | Hauptsitz USA; Daten in der EU (Frankfurt) — SCC |
| Cloudflare, Inc. | CDN, Workers (API- und Web-Laufzeit), Sicherheit, R2-Dateispeicher für Lebensläufe (EU-Jurisdiktion) und Workers-AI-Text-Embeddings für die Suche und den Support-Chatbot | USA — SCC / EU–US-Datenschutzrahmen |
| Fly.io, Inc. | Anwendungshosting für selbst gehostete Dienste (GlitchTip Fehlerüberwachung, n8n-Workflows, Forgejo Versionskontrolle) sowie für den Xeito-KI-Agenten-Dienst | Hauptsitz USA; Daten in der EU (Amsterdam) — SCC |
| Stripe (SPEL) | Zahlungs- und Abonnementabwicklung; speichert den Rechnungsnamen und die Rechnungsadresse, die Du beim Bezahlen angibst, die USt-IdNr./NIF von Unternehmen als Abonnenten sowie die Rechnungsangaben, die auf der Zahlungsseite beim Kauf von Credits abgefragt werden | EU (Irland) — SPEL SSA |
| Holded (Holded Technologies, S.L.) | Rechnungsstellung und Buchhaltung; erhält von Stripe den Rechnungsnamen und die Rechnungsadresse und bei Unternehmen als Abonnenten die USt-IdNr./NIF, sofern erhoben, um Deine Rechnung auszustellen | Barcelona, Spanien (EU) |
| Resend | Transaktionale E-Mails und Newsletter | USA — SCC |
| Groq, Inc. | KI-Textgenerierung und -Analyse für alle KI-Funktionen: Lebenslaufanalyse, Anschreiben, Fragen für Probe-Vorstellungsgespräche, Bewertung und Nachbesprechung von Antworten, Gehalts- und Karriere-Coaching, Zusammenfassungen von Unternehmensrecherchen und der Support-Chatbot. Wird durch Scaleway (EU) ersetzt: Groq wird nur bis zum Abschluss der Umstellung genutzt und danach entfernt. | USA — SCC |
| Scaleway SAS | KI-Inferenz für alle KI-Funktionen (Lebenslaufanalyse, Anschreiben, Fragen für Probe-Vorstellungsgespräche, Bewertung und Nachbesprechung von Antworten, Gehalts- und Karriere-Coaching, Zusammenfassungen von Unternehmensrecherchen und der Support-Chatbot). Ersetzt Groq; aktiv nach Abschluss der Umstellung. Geplant, noch nicht aktiv: Spracherkennung (Sprache zu Text) für gesprochene Antworten, wenn die Transkription auf Deinem Gerät nicht verfügbar ist. Derzeit werden gesprochene Antworten nur auf Deinem Gerät transkribiert, und wir aktualisieren diese Datenschutzerklärung, bevor Audio an Scaleway gesendet wird. | Frankreich (EU) — Verarbeitung in der EU (Paris) |
| fal.ai | Sprachausgabe (Text-to-Speech) für GUÍA Voice (Vorlesen). Der Text, den Du Dir anhören möchtest, wird an fal.ai gesendet, das die Audiodatei mit dem Modell von xAI erzeugt (xai/tts/v1; xAI, USA). Dein Browser lädt die Audiodatei anschließend direkt von fal.ai herunter, sodass fal.ai auch Deine IP-Adresse und Browserdaten sieht. | USA — SCC (DPF-Zertifizierung nicht bestätigt) |
| Anthropic Ireland, Limited (Claude) | KI-Programmierassistent (Claude Code), den unser Team nutzt, um Xeito zu entwickeln, zu warten und zu betreiben. Er steuert keine Xeito-Funktion an, die Du nutzt. Wenn wir mit ihm Fehlerprotokolle oder Datenbankausgaben prüfen, können personenbezogene Daten aus unseren Systemen, etwa eine E-Mail-Adresse, in dem enthalten sein, was er liest. Anthropic verarbeitet diese Daten nach den eigenen Bedingungen und der eigenen Datenschutzerklärung; für diese Nutzung besteht mit Anthropic kein Auftragsverarbeitungsvertrag (Art. 28 DSGVO). | Die Datenschutzerklärung von Anthropic nennt Anthropic Ireland, Limited für Nutzer im EWR und besagt, dass personenbezogene Daten auf Server in den Vereinigten Staaten übermittelt werden. Garantie für die Übermittlung: in Prüfung. |
| Telegram (Telegram Messenger Inc.) | Interne Benachrichtigungen, die in Telegram-Chats gepostet werden, die wir für den Betrieb nutzen. Wenn ein Konto erstellt wird, enthält die Benachrichtigung die E-Mail-Adresse des Kontos und, sofern verfügbar, dessen Sprache und wie Du auf uns aufmerksam geworden bist. Schlägt die Gutschrift des Willkommensguthabens auf einem neuen Konto fehl, enthält die Benachrichtigung die E-Mail-Adresse des Kontos und eine technische Fehlermeldung von bis zu 200 Zeichen, die Konto-Kennungen enthalten kann. Wenn ein Abonnement bezahlt oder ein Credit-Paket gekauft wird, enthält die Benachrichtigung die E-Mail-Adresse des Kontos, den Tarif oder das Paket, den Preis und die Währung sowie, bei Abonnements, das Abrechnungsintervall und das Abrechnungsland. Eine separate Verkaufsbenachrichtigung, die bei jeder Zahlung und jeder Erstattung gesendet wird, enthält je nach Fall den Betrag, den Tarif, das Abrechnungsland, ob der Käufer als Unternehmen oder als Verbraucher behandelt wird, sowie Zahlungs- und Rechnungskennungen, aber keine Namen oder E-Mail-Adressen. Weitere betriebliche Benachrichtigungen, zum Beispiel wenn Feedback eingereicht wird oder wenn eine Bestätigungs-E-Mail zu einem Abonnement oder ein Zahlungsereignis Aufmerksamkeit erfordert, enthalten Stripe- oder interne Datensatzkennungen, die mit einem Konto verknüpft sind, aber keine Namen oder E-Mail-Adressen. Telegram verarbeitet diese Nachrichten nach den eigenen Bedingungen und der eigenen Datenschutzerklärung; mit Telegram besteht kein Auftragsverarbeitungsvertrag (Art. 28 DSGVO). | Außerhalb des EWR niedergelassen (laut seiner Datenschutzerklärung). Die Datenschutzerklärung von Telegram nennt Telegram Messenger Inc. als Verantwortlichen und das European Data Protection Office (EDPO, Brüssel) als Vertreter nach Art. 27 DSGVO. Garantie für die Übermittlung: in Prüfung. |
| Google (Google Workspace) | Unsere Firmen-E-Mail. Nachrichten, die Du an unsere Adressen sendest (zum Beispiel [email protected] oder [email protected]), einschließlich über unser Kontaktformular gesendeter Nachrichten, werden in unseren Google-Workspace-Postfächern empfangen und gespeichert. Google verarbeitet diese Daten in unserem Auftrag als unser Auftragsverarbeiter auf Grundlage des Cloud Data Processing Addendum von Google (Art. 28 DSGVO), das wir am 20. Oktober 2026 akzeptiert haben. | Daten können außerhalb der EU verarbeitet werden, in jedem Land, in dem Google oder seine Unterauftragsverarbeiter Einrichtungen betreiben. Garantie für die Übermittlung: für die Vereinigten Staaten der EU–US-Datenschutzrahmen (Google LLC ist zertifiziert); für andere Länder ohne Angemessenheitsbeschluss der EU die Standardvertragsklauseln, die nach dem Cloud Data Processing Addendum von Google gelten (https://cloud.google.com/terms/sccs/eu-p2p-google-exporter). |
| Google Ireland Limited (Google AdSense) | Anzeigen auf öffentlichen Blog- und Marketingseiten, die nur angezeigt werden, nachdem Du im Cookie-Banner der Werbung zugestimmt hast (Einwilligung: LSSI-CE Art. 22.2 und Art. 6(1)(a) DSGVO), und niemals, solange Du bei Xeito angemeldet bist. Wenn Anzeigen geladen werden, erhält Google Deine IP-Adresse, Browser- und Gerätedaten, die Seite, die Du ansiehst, sowie die Cookies und Kennungen, die es auf Deinem Gerät liest oder setzt. Es nutzt sie, um nicht personalisierte Anzeigen auszuliefern, zu begrenzen, wie oft Du eine Anzeige siehst, Anzeigen aggregiert zu messen und Betrug zu verhindern. Sobald Google diese Daten erhält, verarbeiten Google und die Werbetechnologie-Partner, denen Google die Auslieferung oder Messung von Anzeigen auf unseren Seiten erlaubt (von Google aufgeführt unter support.google.com/adsense/answer/9012903), sie als eigenständige Verantwortliche nach ihren eigenen Bedingungen und Datenschutzerklärungen, nicht als unsere Auftragsverarbeiter. | Irland (EU). Nach den Ads Controller-Controller Data Protection Terms von Google ist Google Ireland Limited für Besucher aus dem EWR der Verantwortliche. Google kann die Daten an Google LLC (USA) übermitteln, die laut Google nach dem EU–US-Datenschutzrahmen (DPF) zertifiziert ist (Du kannst dies auf dataprivacyframework.gov prüfen). |
| Arbeitgeber, bei denen Du Dich bewirbst | Wenn Du Dich auf eine bei Xeito ausgeschriebene Stelle bewirbst, erhält der Arbeitgeber, der sie ausgeschrieben hat, Deinen Namen, Deine E-Mail-Adresse und die Berufsbezeichnung aus Deinem Profil, zusammen mit der Stelle und dem Zeitpunkt Deiner Bewerbung, damit er Deine Bewerbung prüfen kann. Jeder Arbeitgeber ist für seine eigenen Rekrutierungszwecke ein eigenständiger Verantwortlicher und nicht unser Auftragsverarbeiter. Siehe unten „Arbeitgeberportal und Bewerbungen“. | EU (Arbeitgeber müssen in einem EU-Mitgliedstaat niedergelassen sein) |
Wir verkaufen, vermieten oder übertragen Deine personenbezogenen Daten nicht an Dritte zu kommerziellen Zwecken.
Internationale Datenübermittlungen
Einige der oben genannten Empfänger sind außerhalb des Europäischen Wirtschaftsraums niedergelassen oder verarbeiten dort Daten, vor allem in den Vereinigten Staaten. Wenn in der Zeile eines Empfängers steht, dass die Garantie für die Übermittlung in Prüfung ist, haben wir noch nicht bestätigt, welche Garantie gilt, und werden diesen Abschnitt aktualisieren, sobald wir das getan haben. Wenn eine Zeile Standardvertragsklauseln (SCC) oder den EU–US-Datenschutzrahmen (DPF) nennt, bezieht sie sich auf Folgendes:
SCC: Standardvertragsklauseln (SCC) der Europäischen Kommission (Beschluss 2021/914), Modul 2 (Verantwortlicher → Auftragsverarbeiter) oder, sofern die eigenen Datenverarbeitungsbedingungen eines Empfängers dies vorsehen, Modul 3 (Auftragsverarbeiter → Auftragsverarbeiter).
DPF: EU–US-Datenschutzrahmen (DPF), sofern der US-Empfänger, ob unser Auftragsverarbeiter oder ein eigenständiger Verantwortlicher, danach zertifiziert ist. Ob ein Unternehmen zertifiziert ist, kannst Du auf dataprivacyframework.gov prüfen.
Eine Kopie der geltenden SCC kannst Du unter [email protected] anfordern.
Automatisierte Entscheidungen und Profiling
Xeito verwendet automatisierte Systeme, die erhebliche Auswirkungen auf Nutzer haben können:
KI-Jobempfehlungen
Unser ML-Empfehlungsmotor analysiert Dein Profil und Deinen Interaktionsverlauf, um relevante Stellen anzuzeigen.
Semantische KI-Suche
Suchergebnisse werden durch ein Sprachmodell neu geordnet. Es werden keine verbindlichen Entscheidungen generiert.
KI-Lebenslaufanalyse (ATS)
Die Kompatibilitätsbewertung ist rein informativ; Einstellungsentscheidungen trifft ausschließlich der Arbeitgeber.
Diskriminierungsfilter für Stellenangebote
Von Arbeitgebern veröffentlichte und aggregierte Stellenangebote werden durch automatisierte Mustererkennung und eine semantische KI-Überprüfung auf diskriminierende Inhalte geprüft (Geschlecht, Alter, Herkunft, Behinderung und weitere nach Ley 15/2022 geschützte Kategorien). Vom Filter gekennzeichnete Angebote werden automatisch blockiert; es gibt keinen menschlichen Prüfschritt. In diesem Prozess werden keine Kandidatendaten verwendet.
Du hast das Recht, nicht einer ausschließlich automatisierten Verarbeitung unterworfenen Entscheidung unterworfen zu werden, die rechtliche oder ähnlich erhebliche Auswirkungen hat (Art. 22 DSGVO). Wende Dich dazu an [email protected].
Speicherfristen
Wir speichern Deine Daten nur so lange wie notwendig gemäß Art. 5(1)(e) DSGVO:
| Datenkategorie | Speicherfrist | Rechtsgrundlage |
|---|---|---|
| Kontodaten (E-Mail, Name, gehashtes Passwort) | Kontolaufzeit + 30 Tage nach Löschung | Vertrag |
| Authentifizierungssitzungen | Bis zum Ablaufdatum | Berechtigtes Interesse (Sicherheit) |
| Suchverlauf | 90 Tage | Berechtigtes Interesse (UX) |
| Job-Interaktionsverlauf | 12 Monate | Berechtigtes Interesse (Empfehlungen) |
| KI-Nutzungsprotokolle | 90 Tage | Berechtigtes Interesse (Abrechnung/Missbrauch) |
| KI-Assistent-Unterhaltungen (Anschreiben- und Gehaltscoaching-Chats) | 90 Tage nach Deiner letzten Aktivität in der Unterhaltung | Berechtigtes Interesse (Dienstkontinuität) |
| Lebenslauf-/CV-Dokumente (hochgeladene Datei und deren ausgelesene Inhalte) | Kontolaufzeit — wird bei Löschung Deines Kontos gelöscht. Durch einen neueren Upload ersetzte Versionen werden einige Tage nach der Ersetzung durch einen geplanten Löschlauf entfernt. | Vertrag |
| Abonnement- und Kaufaufzeichnungen (einschließlich des Rechnungsnamens und der Rechnungsadresse auf Deinen Rechnungen) | 6 Jahre | Gesetzliche Pflicht (Buchhaltung) |
| Verlauf der Credit-Bewegungen (verbraucht, erstattet und gewährt) | 6 Jahre, wobei Deine Identität bei Löschung Deines Kontos entfernt wird | Gesetzliche Pflicht (Buchhaltung) |
| Widerrufs- und Kündigungsanträge | 6 Jahre | Gesetzliche Pflicht (Verbraucherrecht) |
| Unternehmens-/Arbeitgeberdaten (Name, NIF, Mitgliedschaft, veröffentlichte Stellenangebote) | Kontolaufzeit + 30 Tage nach Löschung des Unternehmens | Vertrag |
| Plattformaktivität (gespeicherte, verfolgte und ausgeblendete Stellenanzeigen; Bewerbungen auf Arbeitgeber-Stellenanzeigen; Meldungen) | Gespeicherte, verfolgte und ausgeblendete Stellenanzeigen sowie Deine Bewerbungen auf Arbeitgeber-Stellenanzeigen: Kontolaufzeit — wird bei Löschung Deines Kontos gelöscht, oder sofort, wenn Du eine Bewerbung auf eine Arbeitgeber-Stellenanzeige zurückziehst; das beendet zudem den Zugriff des Arbeitgebers über das Arbeitgeberportal; ein minimaler pseudonymisierter Datensatz über die Löschung oder das Zurückziehen wird aufbewahrt, wie in der Zeile zu Lösch- und Rückzugsdatensätzen weiter unten beschrieben. Meldungen: werden 24 Monate nach Abschluss der Meldung für Moderationszwecke und DSA-Notice-and-Action-Aufzeichnungen aufbewahrt; bei Löschung Deines Kontos wird die Verknüpfung zu Deinem Konto entfernt, die von Dir angegebenen Details oder die Kontakt-E-Mail bleiben jedoch erhalten. | Vertrag — DSGVO Art. 6(1)(b) (Stellenanzeigen sowie Übermittlung Deiner Bewerbung an den von Dir gewählten Arbeitgeber gemäß unseren Bedingungen); berechtigtes Interesse — DSGVO Art. 6(1)(f) (Meldungen) |
| Datensatz über die Löschung eines Kontos oder das Zurückziehen einer Bewerbung auf eine Arbeitgeber-Stellenanzeige (pseudonymisierte Kontoreferenz; Zeitpunkt, zu dem die Löschung beantragt und abgeschlossen wurde; welche Daten gelöscht wurden oder von Deiner Identität getrennt wurden, und in welchen Systemen; und, sofern Deine Bewerbungen an Arbeitgeber weitergegeben worden waren, jeder Arbeitgeber, jede Stelle, Stellenbezeichnung und das Bewerbungsdatum sowie der Zeitpunkt, zu dem wir den Arbeitgeber benachrichtigt haben) | Bis zu 6 Jahre nach der Löschung oder dem Zurückziehen, danach gelöscht | Rechtliche Verpflichtung — Art. 6(1)(c) DSGVO: Benachrichtigung der Arbeitgeber, die Deine Bewerbung erhalten haben (Art. 19 DSGVO), Nachweis der Rechtskonformität (Art. 5(2) DSGVO) und Sperrung gelöschter Daten (Art. 32 des spanischen Organgesetzes 3/2018, LOPDGDD) |
Wenn Du Dein Konto löschst, löschen wir sofort alle Profildaten, Lebenslaufdateien, Sitzungen, Interaktionen und Präferenzen, einschließlich Job-Tracker-Einträgen sowie gespeicherter und ausgeblendeter Stellenanzeigen. Buchhaltungsunterlagen und Widerrufsanträge werden gesetzlich vorgeschrieben 6 Jahre aufbewahrt. Ein pseudonymisierter Datensatz über die Löschung (einschließlich, sofern Deine Bewerbungen an Arbeitgeber weitergegeben worden waren, jedes Arbeitgebers, jeder Stelle und des Bewerbungsdatums) wird bis zu 6 Jahre aufbewahrt, um diese Arbeitgeber gemäß Art. 19 DSGVO zu benachrichtigen und die Rechtskonformität nachzuweisen. Meldungen werden 24 Monate nach ihrer Klärung aufbewahrt, wobei die Verknüpfung zu Deinem Konto entfernt wird. Der Rechnungsname und die Rechnungsadresse in Deinem Stripe-Kundendatensatz werden mit Deinem Konto gelöscht; Kopien auf ausgestellten Rechnungen werden 6 Jahre aufbewahrt.
Datensicherheit
Wir wenden geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO an:
Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand für alle sensiblen Daten
Multi-Faktor-Authentifizierung (MFA) für den Mitarbeiterzugang zu internen Systemen
Prinzip der minimalen Rechtevergabe: Nur autorisiertes Personal hat Zugang zu Nutzerdaten
Alle Verarbeiter sind durch AVV mit gleichwertigen Sicherheitspflichten gebunden
Fehlerüberwachung und Anomalieerkennung über selbst gehostetes GlitchTip (Fly EU)
Regelmäßige Sicherheitsaudits und Schwachstellenmanagement
Datenschutz für Minderjährige
Gemäß Art. 7 LOPDGDD beträgt das Mindestalter für die Nutzung von Xeito 16 Jahre. Wir erheben wissentlich keine Daten von Nutzern unter 16 Jahren. Wenn wir feststellen, dass ein Nutzer unter 16 ist, löschen wir das Konto unverzüglich. Wenn Du Elternteil oder Vormund bist und glaubst, Dein Kind hat ein Konto erstellt, kontaktiere uns unter [email protected].
Deine Rechte gemäß DSGVO
Gemäß der DSGVO und dem BDSG hast Du folgende Rechte:
Auskunftsrecht (Art. 15 DSGVO)
Du kannst eine Kopie aller persönlichen Daten anfordern, die wir über Dich gespeichert haben
Recht auf Berichtigung (Art. 16 DSGVO)
Du kannst die Korrektur unrichtiger oder unvollständiger Daten verlangen
Recht auf Löschung (Art. 17 DSGVO)
Du kannst die Löschung Deiner persönlichen Daten unter bestimmten Bedingungen verlangen
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Du kannst verlangen, dass wir die Verarbeitung Deiner Daten einschränken
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Du kannst verlangen, Deine Daten in einem strukturierten, gängigen Format zu erhalten
Widerspruchsrecht (Art. 21 DSGVO)
Du kannst der Verarbeitung Deiner persönlichen Daten widersprechen
Beschwerderecht bei der AEPD
Wenn Du der Meinung bist, dass die Verarbeitung Deiner Daten gegen die DSGVO verstößt, hast Du das Recht, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzulegen:
Spanische Datenschutzbehörde (AEPD — Agencia Española de Protección de Datos)
C/ Jorge Juan, 6 — 28001 Madrid, Spanien
Du kannst Dich auch zuerst an uns wenden unter [email protected], um Dein Anliegen zu klären, bevor Du eine formelle Beschwerde einreichst.
Werbung und Google AdSense
Xeito trägt zur Finanzierung seiner kostenlosen Dienste bei, indem auf öffentlichen Blog- und Marketingseiten über Google AdSense Werbung angezeigt wird. Werbung erscheint nur, wenn Du im Cookie-Banner der Werbung zustimmst. Werbung wird nie angezeigt, solange Du bei Xeito angemeldet bist; angemeldete Premium-Abonnenten sehen sie daher nie.
Was Google erfasst
Google AdSense wird erst geladen, nachdem Du im Cookie-Banner der Werbung zugestimmt hast. Bis dahin wird keine Anzeige angefordert, und es wird weder ein Google-Werbe-Cookie noch ein Google-Werbespeicher gesetzt. Nachdem Du zugestimmt hast, fordern wir von Google ausschließlich nicht personalisierte Anzeigen an. Google verwendet Deinen Browserverlauf nicht, um Anzeigen auszuwählen, nutzt aber Cookies, lokalen Speicher und Kennungen auf Deinem Gerät sowie Deine IP-Adresse, um Anzeigen auszuliefern, zu begrenzen, wie oft Du dieselbe Anzeige siehst, Anzeigen aggregiert zu messen und Betrug zu verhindern.
Deine Einwilligung
Werbung wird nur mit Deiner Einwilligung geladen. Wenn Du Werbung ablehnst oder keine Auswahl triffst, zeigen wir keine Anzeigen, und Google setzt keine Werbe-Cookies. Wenn Du zustimmst, siehst Du nicht personalisierte Anzeigen wie oben beschrieben. Du kannst Deine Auswahl jederzeit über den Link „Cookie-Einstellungen" in der Fußzeile ändern. Werbung wird nie angezeigt, solange Du bei Xeito angemeldet bist; angemeldete Premium-Abonnenten sehen sie daher nie.
So widerrufst Du Deine Einwilligung zur Werbung
Du kannst Deine Einwilligung zur Werbung jederzeit über „Cookie-Einstellungen" in der Fußzeile widerrufen. Ab Deinem nächsten Seitenaufruf werden keine Anzeigen geladen, und Google setzt keine neuen Werbe-Cookies. Wenn Du widerrufst, löschen wir die Google-Werbe-Cookies und den Google-Werbespeicher, die auf xeito.ai gespeichert sind; Cookies, die Google auf seinen eigenen Domains gesetzt hat, bleiben, bis sie ablaufen oder Du sie in Deinen Browsereinstellungen löschst. Du kannst Werbeeinstellungen außerdem direkt bei Google unter myadcenter.google.com verwalten und Werbe-Cookies von Drittanbietern unter youronlinechoices.eu (EWR) oder aboutads.info/choices (USA) deaktivieren.
Weitere Informationen
Google veröffentlicht detaillierte Informationen darüber, wie Werbedaten verwendet werden, unter policies.google.com/technologies/ads und policies.google.com/privacy.
Mock-Interview-Personalisierung (Opt-in)
Wenn Du die Mock-Interview-Personalisierung in Deinen Dashboard-Einstellungen aktivierst, speichern wir Deine Interview-Sitzungen, die gestellten Fragen, den Text Deiner Antworten und Verhaltenssignale (welche Fragen Du geübt, wiederholt oder übersprungen hast, sowie Deine Score-Bänder), um adaptive Fragenempfehlungen, Skill-Gap-Analysen und passgenaue Schwierigkeitsstufen zu Deinem eigenen Coaching-Nutzen zu trainieren. Die Speicherung ist vollständig freiwillig (Art. 6 Abs. 1 lit. a DSGVO) — wenn der Schalter aus ist, wird nichts gespeichert: Deine Mock-Interview-Sitzung existiert nur in Deinem Browser, genau wie vor dem Launch dieser Funktion.
Ein zweiter unabhängiger Opt-in-Schalter — Kohortenbeitrag — steuert, ob Deine anonymisierten Signale in das kandidatenübergreifende Ähnlichkeitsmodell einfließen, auf das die Empfehlungen anderer Nutzer:innen zurückgreifen. Weder Deine Identität noch der Text Deiner Antworten wird jemals mit anderen Nutzer:innen geteilt. Beide Schalter sind standardmäßig aus und jederzeit separat in den Dashboard-Einstellungen widerrufbar. Das Deaktivieren stoppt neue Speichervorgänge für zukünftige Sitzungen; um vorhandene Zeilen zu löschen, nutze Konto löschen (oder die gezielte Löschaktion, sobald verfügbar). Alle Daten werden bei Kontolöschung kaskadierend nach Art. 17 DSGVO entfernt — siehe Rechte-Sektion oben.
Die vollständige Compliance-Analyse ist in unserem EU-KI-Verordnungs-Rahmendokument verfügbar (§ 4.10). Speicherdauer: Mock-Interview-Zeilen existieren so lange wie Dein Konto; es gibt kein separates Speicherzeitfenster.
Spracheingabe im Mock Interview
Mock Interview kann Dir die Spracheingabe als Alternative zum Tippen Deiner Antworten anbieten. Wenn Dein Browser Spracherkennung direkt auf dem Gerät unterstützt (derzeit aktuelle Versionen von Chrome und Edge, für einige Sprachen), wird Deine Stimme auf Deinem Gerät transkribiert und verlässt es nie: Wir empfangen keinerlei Audio, zeichnen nichts auf und speichern nichts. Beim ersten Mal kann Dein Browser ein Sprachpaket von seinem eigenen Anbieter herunterladen (bei Chrome zum Beispiel von Google); diesen Download übernimmt Dein Browser, und er enthält nicht Deine Stimme.
Wenn keine Transkription auf dem Gerät möglich ist, planen wir eine Transkription durch unseren KI-Anbieter Scaleway in der EU (Paris, Frankreich): Dein Browser würde Deine Antwort (bis zu 3 Minuten) aufnehmen und nur zur Transkription an Scaleway senden, ohne dass wir die Aufnahme speichern. Diese Server-Transkription ist noch nicht aktiv. Kann Dein Browser heute nicht auf dem Gerät transkribieren, wird die Sprachtaste als nicht verfügbar angezeigt und Du tippst Deine Antwort. Bevor eine Aufnahme an Scaleway gesendet wird, aktualisieren wir diese Datenschutzerklärung und beschreiben das, einschließlich wie lange Scaleway eine Anfrage aufbewahren darf.
Egal wie Deine Antwort transkribiert wird: Der entstandene Text erscheint im Antwortfeld, wo Du ihn prüfen und bearbeiten kannst. Wenn Du ihn absendest, wird er genau wie eine getippte Antwort verarbeitet, wie in dieser Datenschutzerklärung beschrieben. Rechtsgrundlage der Transkription: Erfüllung des von Dir angeforderten Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Wir nutzen Deine Stimme nicht, um Dich zu identifizieren.
Arbeitgeberportal und Bewerbungen
Arbeitgeber veröffentlichen Stellen über unser Arbeitgeberportal, und Bewerberinnen und Bewerber bewerben sich darauf über Xeito. Dieser Abschnitt erklärt, wie Deine Daten bei einer Bewerbung verarbeitet werden. Xeito besitzt keine Zulassung als agencia de colocación und beansprucht auch keine; die Bearbeitung von Stellen und die Weiterleitung von Bewerbungen sind vollständig automatisiert.
Wenn sich ein Kandidat auf eine von einem Arbeitgeber ausgeschriebene Stelle bewirbt, werden die Bewerbungsdaten (Name, E-Mail-Adresse und die Berufsbezeichnung aus Deinem Profil, zusammen mit der Stelle, auf die Du Dich bewirbst, und dem Zeitpunkt der Bewerbung) an den Arbeitgeber weitergegeben, der die Stelle ausgeschrieben hat. Dies wird jedes Mal, bevor Du Dich bewirbst, neben der Schaltfläche zum Bewerben unter Nennung des Arbeitgebers angezeigt. Arbeitgeber können ausschließlich Bewerbungen für ihre eigenen Stellenangebote einsehen, und jeder Arbeitgeber ist für seine eigenen Rekrutierungszwecke ein eigenständiger Verantwortlicher. Wir geben Kandidatendaten niemals über den Rahmen einer konkreten Bewerbung hinaus an Arbeitgeber weiter. Du kannst eine Bewerbung auf eine von einem Arbeitgeber ausgeschriebene Stelle jederzeit über Deinen Bewerbungs-Tracker zurückziehen; das Zurückziehen löscht die Bewerbung sofort aus Xeito und beendet den Zugriff des Arbeitgebers über das Arbeitgeberportal. Wir bewahren nur einen minimalen pseudonymisierten Datensatz über das Zurückziehen auf (den Arbeitgeber, die Stelle und ihre Bezeichnung sowie den Zeitpunkt Deiner Bewerbung), damit wir den Arbeitgeber gemäß Art. 19 DSGVO benachrichtigen und nachweisen können, dass wir dies getan haben; siehe Speicherfristen. Wenn Du Dein Konto löschst, werden Deine Bewerbungsdatensätze aus Xeito gelöscht und der Arbeitgeber kann sie über das Arbeitgeberportal nicht mehr einsehen. Einen ebensolchen minimalen pseudonymisierten Datensatz bewahren wir auf, wenn Du Dein Konto löschst. Eine vom Arbeitgeber aufbewahrte Kopie verbleibt bei diesem als eigenständigem Verantwortlichen gemäß dessen eigener Datenschutzerklärung und Aufbewahrungsrichtlinie.
Die Bewerbung auf Stellen über Xeito ist für Bewerbende kostenlos. Wir verpflichten uns zu Gleichbehandlung und Nichtdiskriminierung bei der Bearbeitung von Stellen. Stellenanzeigen werden vor der Veröffentlichung automatisch auf diskriminierende Inhalte geprüft — siehe den Abschnitt Automatisierte Entscheidungen oben.
Kontakt
Wenn Du Fragen zu dieser Datenschutzerklärung hast oder Deine Rechte ausüben möchtest, kannst Du uns kontaktieren:
E-Mail-Adresse: [email protected]
Datenschutzbeauftragter: [email protected]