Datenschutzerklärung

Verarbeitung nach dem Schutzstandard der DSGVO

Die Milan Fries Advisory d.o.o. hat ihren Sitz in Banja Luka, Bosnien und Herzegowina. Bosnien und Herzegowina hat sein Datenschutzrecht mit dem Gesetz über den Schutz personenbezogener Daten (Zakon o zaštiti ličnih podataka, „Službeni glasnik BiH“ Nr. 12/25, in Kraft seit dem 8. März 2025, vollständig anwendbar seit dem 4. Oktober 2025) umfassend an die Datenschutz-Grundverordnung der Europäischen Union (Verordnung (EU) 2016/679 – DSGVO) angeglichen. Das Gesetz löst das frühere Recht aus dem Jahr 2006 ab und folgt der DSGVO in ihren Grundsätzen, in den Rechten der betroffenen Personen sowie im Sanktionsrahmen.

Für Personen in der Europäischen Union ist und bleibt die DSGVO maßgeblich (Block A). Wir verarbeiten Ihre personenbezogenen Daten nach dem Schutzstandard der DSGVO – unabhängig davon, ob Sie aus der Europäischen Union, der Schweiz oder einem anderen Land mit uns in Kontakt treten.

Diese Datenschutzerklärung ist in zwei Blöcke gegliedert:

• Block A – DSGVO (Datenschutz-Grundverordnung der Europäischen Union): Gilt für alle natürlichen Personen und Unternehmen, die ihren Sitz oder gewöhnlichen Aufenthalt innerhalb der Europäischen Union haben.
• Block B – DSG (Datenschutzgesetz der Schweiz): Gilt ergänzend für natürliche Personen und Unternehmen mit Sitz oder gewöhnlichem Aufenthalt in der Schweiz.

1. Verantwortlicher (Art. 4 Nr. 7 DSGVO)

Milan Fries Advisory d.o.o.

Bulevar Vojvode Stepe Stepanovića 181C

78000 Banja Luka, Bosnien und Herzegowina

E-Mail: mfries@milanfries.com

Telefon: +387 (0)65 326 148

Vertreten durch den Geschäftsführer: Milan Fries

2. Vertreter in der Europäischen Union (Art. 27 DSGVO)

Rickert Rechtsanwaltsgesellschaft mbH

– Milan Fries Advisory d.o.o. –

Colmantstraße 15

D-53115 Bonn, Deutschland

E-Mail: art-27-rep-milanfries@rickert.law

Telefon: +49.228.74 898.0

Telefax: +49.228.74 898.66

3. Anwendungsbereich

Diese Datenschutzerklärung gilt für die Verarbeitung personenbezogener Daten von Personen innerhalb der Europäischen Union gemäß Art. 3 Abs. 2 DSGVO.

4. Art und Umfang der Datenverarbeitung im Rahmen der Geschäftstätigkeit

Wir verarbeiten personenbezogene Daten insbesondere in folgenden Fällen:

• Aktive Kontaktaufnahme über LinkedIn
• Kommunikation über LinkedIn, E-Mail, Telefon, Microsoft Teams und WhatsApp
• Terminvereinbarung und Durchführung von Beratungsgesprächen
• Abschluss und Durchführung von Verträgen
• Entgegennahme und Bearbeitung von Bewerber-/Kandidatenunterlagen im Rahmen von Recruiting- und Interim-Recruiting-Tätigkeiten

Dabei verarbeiten wir insbesondere folgende personenbezogene Daten:

• Name, Vorname
• Position im Unternehmen
• Unternehmenszugehörigkeit
• E-Mail-Adresse
• Telefonnummer
• Kommunikationsinhalte
• Vertragsdaten
• WhatsApp-Nummer
• Bewerbungs- und Kandidatenunterlagen (insbesondere Lebenslauf/CV und darin enthaltene Angaben)

5. Zwecke und Rechtsgrundlagen der Verarbeitung

Die Verarbeitung erfolgt zu folgenden Zwecken:

• Geschäftsanbahnung
• Durchführung von Beratungsleistungen
• Recruiting- und Interim-Recruiting-Tätigkeiten (Bearbeitung und Präsentation von Kandidaten)
• Kommunikation mit Interessenten, Kunden und Kandidaten

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Geschäftstätigkeit und Kommunikation)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, soweit erteilt)

6. Kontaktaufnahme und Kommunikation

Wenn wir Sie über LinkedIn kontaktieren oder Sie uns kontaktieren, verarbeiten wir Ihre Daten zur Durchführung der Kommunikation und Geschäftsanbahnung. Die Kommunikation kann erfolgen über: LinkedIn, E-Mail, Telefon, Microsoft Teams und WhatsApp. Die Daten werden gelöscht, sobald sie für den Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Verarbeitung von Kandidatendaten bei Direktübermittlung durch Bewerber (Interim Recruiting)

Im Rahmen unserer (Interim-)Recruiting-Tätigkeit übermitteln uns Kandidatinnen und Kandidaten ihre Unterlagen (insbesondere Lebenslauf/CV) direkt, damit wir sie bei potenziellen Auftraggebern (Kunden) vorstellen.

Verarbeitete Daten: Name, Kontaktdaten, beruflicher Werdegang, Qualifikationen sowie weitere im CV enthaltene Angaben.

Zweck: Prüfung der Eignung sowie Präsentation und Vermittlung gegenüber potenziellen Auftraggebern.

Empfänger: Im Rahmen der Vermittlung geben wir die Unterlagen an konkrete Kunden weiter, bei denen eine Präsentation in Betracht kommt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Maßnahmen auf Veranlassung des Kandidaten). Soweit eine Weitergabe an einen bestimmten Kunden über die reine Geschäftsanbahnung hinausgeht, erfolgt diese auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Besondere Kategorien personenbezogener Daten: Wir benötigen für die Vermittlung grundsätzlich keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (z. B. Gesundheitsdaten, Angaben zu einer Schwerbehinderung, Lichtbild). Wir bitten Sie, solche Angaben nur dann zu übermitteln, wenn dies erforderlich ist. Übermitteln Sie uns derartige Daten freiwillig im Rahmen Ihrer Unterlagen, erfolgt die Verarbeitung auf Grundlage Ihrer Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO.

Speicherdauer: Wir speichern Ihre Unterlagen für die Dauer des Vermittlungsprozesses. Danach werden die Daten gelöscht, sofern Sie keiner weiteren Aufbewahrung zugestimmt haben und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

8. Personenbezogene Daten, die wir von unseren Kunden erhalten (Art. 14 DSGVO)

Im Rahmen unserer Beratungs- und Recruiting-Tätigkeit übermitteln uns unsere Kunden personenbezogene Daten. Dabei handelt es sich insbesondere um Kontaktdaten von Beschäftigten des Recruiting-Teams des Kunden sowie um Daten von Kandidatinnen und Kandidaten (insbesondere Lebensläufe/CVs).

Kategorien der Daten: Name, Position und Unternehmenszugehörigkeit, E-Mail-Adresse, Telefonnummer sowie – bei Kandidaten – die im Lebenslauf enthaltenen Angaben.

Quelle der Daten: Diese Daten stammen von dem jeweiligen Kunden, der sie uns übermittelt.

Bei der Verarbeitung von Kandidatendaten unterscheiden wir zwei Konstellationen:

a) Verarbeitung im Auftrag des Kunden (Auftragsverarbeitung):

Soweit wir Kandidatendaten ausschließlich auf Weisung und für Zwecke des Kunden verarbeiten, etwa zur Besetzung einer konkreten Vakanz des Kunden, ist der Kunde Verantwortlicher im Sinne der DSGVO und wir handeln als Auftragsverarbeiter. Grundlage hierfür ist ein mit dem Kunden geschlossener Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. In diesem Fall richten sich die Informationspflichten gegenüber den betroffenen Kandidaten nach der Datenschutzerklärung des jeweiligen Kunden.

b) Verarbeitung in eigener Verantwortung:

Soweit wir Kandidatendaten zu eigenen Zwecken verarbeiten, insbesondere zur eigenständigen Prüfung, zur Aufnahme in unseren Kandidatenpool und zur Vermittlung im Rahmen unserer eigenen Recruiting-Tätigkeit, sind wir selbst Verantwortlicher. Für diese Verarbeitung gilt die vorliegende Datenschutzerklärung. Da wir diese Daten nicht unmittelbar bei der betroffenen Person, sondern von unserem Kunden erhalten, informieren wir die betroffenen Personen gemäß Art. 14 DSGVO.

Zwecke: Schulung, Befähigung und Kommunikation mit dem Recruiting-Team des Kunden sowie Prüfung, Bearbeitung und Vorstellung von Kandidaten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung des Beratungs- beziehungsweise Recruiting-Auftrags).

Speicherdauer: Die Daten werden gelöscht, sobald sie für den jeweiligen Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen.

9. Terminvereinbarung über Calendly

Zur Terminvereinbarung nutzen wir den Dienst Calendly LLC, 115 E Main St, Ste A1B, Buford, GA 30518, USA. Wenn Sie über einen Button („Termin vereinbaren“) einen Termin buchen, werden Sie auf eine externe Seite von Calendly weitergeleitet. Eine Datenverarbeitung durch Calendly erfolgt erst nach dem aktiven Aufruf dieser externen Seite; durch das bloße Aufrufen unserer Website werden keine Daten an Calendly übermittelt.

Auf der Calendly-Seite werden folgende Daten verarbeitet: Name, E-Mail-Adresse sowie ggf. weitere von Ihnen gemachte Angaben. Die Verarbeitung erfolgt ausschließlich zur Organisation von Terminen. Calendly verarbeitet diese Daten als Auftragsverarbeiter; hierzu besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Dabei kann es zu einer Verarbeitung personenbezogener Daten in Drittländern, insbesondere in den USA, kommen. Calendly ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; ergänzend werden für Übermittlungen in Drittländer Standardvertragsklauseln (SCCs) eingesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Durchführung von Online-Meetings über Microsoft Teams

Zur Durchführung von Beratungsgesprächen nutzen wir Microsoft Teams, einen Dienst der Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA. Für Nutzerinnen und Nutzer aus dem Europäischen Wirtschaftsraum und der Schweiz ist datenschutzrechtlich Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland, Ansprechpartner.

Dabei werden personenbezogene Daten verarbeitet, insbesondere: Name bzw. Anzeigename, E-Mail-Adresse, IP-Adresse, Datum und Dauer des Meetings, technische Verbindungsdaten, Audio- und Videodaten, Chat-Inhalte sowie ggf. übermittelte Dateien. Solche Daten fallen typischerweise bei Online-Meetings an und umfassen auch sogenannte Meeting-Metadaten und Kommunikationsinhalte. Die Verarbeitung erfolgt ausschließlich zur Durchführung von Beratungsgesprächen.

Microsoft verarbeitet diese Daten in unserem Auftrag; hierzu besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Dabei kann es zu einer Verarbeitung personenbezogener Daten in Drittländern, insbesondere in den USA, kommen. Übermittlungen aus dem EWR, dem Vereinigten Königreich und der Schweiz erfolgen auf Grundlage der von Microsoft implementierten Standardvertragsklauseln (SCCs) 2021; für Übermittlungen aus dem Vereinigten Königreich gilt ergänzend der UK International Data Transfer Addendum (IDTA). Darüber hinaus ist Microsoft nach dem EU-US Data Privacy Framework (DPF) zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Hinweise:

• Die Teilnahme an Online-Meetings ist freiwillig.
• Alternativ kann die Kommunikation auch telefonisch erfolgen.
• Eine Aufzeichnung von Meetings erfolgt nur mit vorheriger ausdrücklicher Zustimmung aller Teilnehmer per Chat oder E-Mail.

11. E-Mail-Kommunikation über Microsoft 365

Für unsere geschäftliche E-Mail-Kommunikation nutzen wir Microsoft 365 (insbesondere Exchange Online/Outlook), einen Dienst der Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA. Für Nutzerinnen und Nutzer aus dem Europäischen Wirtschaftsraum und der Schweiz ist datenschutzrechtlich Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland, Ansprechpartner.

Wenn Kunden, Interessenten oder Kandidatinnen und Kandidaten uns per E-Mail kontaktieren oder uns Unterlagen zusenden, werden die dabei übermittelten personenbezogenen Daten verarbeitet, insbesondere: Name, E-Mail-Adresse, Inhalt der Nachricht, etwaige Anhänge (einschließlich Bewerbungs- und Kandidatenunterlagen wie Lebensläufe) sowie Verbindungs- und Metadaten. Die Verarbeitung erfolgt zur Entgegennahme und Bearbeitung der Kommunikation sowie zur Durchführung unserer Beratungs- und Recruiting-Tätigkeit.

Microsoft verarbeitet diese Daten in unserem Auftrag; hierzu besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Dabei kann es zu einer Verarbeitung personenbezogener Daten in Drittländern, insbesondere in den USA, kommen. Übermittlungen aus dem EWR, dem Vereinigten Königreich und der Schweiz erfolgen auf Grundlage der von Microsoft implementierten Standardvertragsklauseln (SCCs) 2021; für Übermittlungen aus dem Vereinigten Königreich gilt ergänzend der UK International Data Transfer Addendum (IDTA). Darüber hinaus ist Microsoft nach dem EU-US Data Privacy Framework (DPF) zertifiziert.

Soweit uns per E-Mail freiwillig besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO übermittelt werden (etwa in Bewerbungsunterlagen), erfolgt deren Verarbeitung auf Grundlage Ihrer Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter geschäftlicher Kommunikation).

12. Kommunikation über WhatsApp

Für die Kommunikation nutzen wir teilweise WhatsApp, einschließlich Text-, Sprach- und Videonachrichten sowie Sprach- und Videoanrufen. Anbieter für Nutzerinnen und Nutzer in der Europäischen Region ist die WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland. WhatsApp gehört zur Meta-Unternehmensgruppe.

Bei der Nutzung von WhatsApp werden personenbezogene Daten verarbeitet, insbesondere: Telefonnummer, Profilname, Kommunikationsinhalte sowie Verbindungs- und Metadaten (z. B. Zeitpunkt der Kommunikation). Die Inhalte von Nachrichten und Anrufen sind nach Angaben des Anbieters Ende-zu-Ende-verschlüsselt. Die Nutzung von WhatsApp ist freiwillig. Alternativ können Sie uns auch telefonisch, per E-Mail oder über Microsoft Teams erreichen.

Im Rahmen der Nutzung von WhatsApp kann es zu einer Übermittlung personenbezogener Daten in Drittländer kommen, insbesondere in die USA (WhatsApp LLC und Meta Platforms Inc.). WhatsApp Ireland übermittelt diese Daten auf Grundlage des EU-US Data Privacy Framework (DPF); WhatsApp LLC ist nach dem DPF zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Kommunikation) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Kommunikation).

13. Website und Server-Logfiles

Beim Besuch unserer Website werden automatisch folgende Daten verarbeitet: IP-Adresse, Datum und Uhrzeit des Zugriffs, Browsertyp und Version, Betriebssystem, Referrer-URL, aufgerufene Seiten. Diese Daten sind erforderlich zur technischen Bereitstellung der Website, zur Systemsicherheit und zur Fehleranalyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald sie nicht mehr erforderlich sind.

14. Hosting

Unsere Website wird gehostet durch Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Vercel verarbeitet dabei personenbezogene Daten (insbesondere Server-Logdaten wie IP-Adresse, Zugriffszeitpunkt und technische Verbindungsdaten) in unserem Auftrag. Hierzu besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Darüber hinaus verarbeitet Vercel bestimmte Nutzungs- und Metadaten zur Bereitstellung, Sicherheit und Verbesserung seiner Dienste in eigener Verantwortung.

Die Verarbeitung kann auch in Drittländern, insbesondere in den USA, erfolgen. Vercel ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; ergänzend werden für Übermittlungen in Drittländer Standardvertragsklauseln (SCCs) sowie – für Übermittlungen aus dem Vereinigten Königreich – der UK International Data Transfer Addendum (IDTA) eingesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und zuverlässigen Betrieb der Website).

15. Bot-Schutz / CAPTCHA über Cloudflare

Zum Schutz unserer Website vor automatisierten Anfragen und Missbrauch (Bot-Abwehr / CAPTCHA) setzen wir einen Dienst von Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, ein. Beim Aufruf der Website bzw. der geschützten Funktionen verarbeitet Cloudflare insbesondere die IP-Adresse sowie technische Verbindungs- und Geräteinformationen, um zwischen menschlichen Nutzern und automatisierten Zugriffen zu unterscheiden.

Zweck: Gewährleistung der Sicherheit, Verfügbarkeit und Integrität unserer Website sowie Abwehr von Bot- und Missbrauchsanfragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und dem störungsfreien Betrieb der Website).

Cloudflare verarbeitet die Daten als Auftragsverarbeiter; hierzu besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Dabei kann es zu einer Verarbeitung personenbezogener Daten in Drittländern (insbesondere USA) kommen. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; ergänzend werden Standardvertragsklauseln (SCCs) eingesetzt.

16. Cookies

Unsere Website verwendet keine einwilligungspflichtigen Tracking-, Analyse- oder Marketing-Cookies. Soweit überhaupt Cookies eingesetzt werden, handelt es sich ausschließlich um technisch notwendige Cookies, die für den sicheren und ordnungsgemäßen Betrieb der Website unbedingt erforderlich sind (etwa im Rahmen des Bot-Schutzes / CAPTCHA über Cloudflare). Solche Cookies sind nach § 25 Abs. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) einwilligungsfrei; ein Cookie-Banner bzw. ein Einwilligungs-Pop-up ist daher nicht erforderlich. Nähere Einzelheiten enthält unsere Cookie-Richtlinie.

17. Verlinkung zu unserem LinkedIn-Profil

An mehreren Stellen unserer Website befindet sich ein mit einem LinkedIn-Logo hinterlegter Link zu unserem Profil auf LinkedIn. Datenschutzrechtlich verantwortlich für Nutzerinnen und Nutzer aus der Europäischen Union bzw. dem Europäischen Wirtschaftsraum (EWR) ist die LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland.

Das verwendete LinkedIn-Logo ist als lokale Grafik (eingebettete Bilddatei) Bestandteil unserer Website und wird nicht von Servern von LinkedIn nachgeladen. Es handelt sich um einen einfachen Hyperlink (statischen Link) ohne eingebettetes Plugin, Widget oder Social-Button. Durch das bloße Aufrufen unserer Website werden keine Daten an LinkedIn übermittelt. Eine Datenübertragung an LinkedIn findet ausschließlich dann statt, wenn Sie aktiv auf den Link bzw. das Logo klicken und die LinkedIn-Seite besuchen. Das vollständige Profil ist zudem regelmäßig nur für bei LinkedIn angemeldete Nutzer einsehbar.

Sobald Sie die LinkedIn-Plattform besuchen, gilt die Datenschutzerklärung von LinkedIn, abrufbar unter: https://de.linkedin.com/legal/privacy-policy. Auf diese Verarbeitung haben wir keinen Einfluss; verantwortlich ist insoweit ausschließlich LinkedIn. Dabei kann es auch zu einer Verarbeitung personenbezogener Daten außerhalb der EU/des EWR, insbesondere in den USA (LinkedIn Corporation, USA), kommen.

Rechtsgrundlage für die Verlinkung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Präsenz auf beruflichen Netzwerken und Kommunikation mit Interessenten und Kunden).

18. Verlinkung zu unserem XING-Profil

Im Footer unserer Website befindet sich ein Link zu unserem Profil auf XING (New Work SE, Am Strandkai 1, 20457 Hamburg, Deutschland). Das verwendete XING-Logo ist als lokale Grafik (eingebettete Bilddatei) Bestandteil unserer Website und wird nicht von Servern von XING nachgeladen. Bei diesem Link handelt es sich um einen einfachen Hyperlink (statischen Link) ohne eingebettetes Plugin, Widget oder Social-Button. Durch das bloße Aufrufen unserer Website werden keine Daten an XING übermittelt. Eine Datenübertragung an XING findet ausschließlich dann statt, wenn Sie aktiv auf den Link klicken und die XING-Seite besuchen.

In diesem Fall gilt die Datenschutzerklärung von XING, abrufbar unter: https://privacy.xing.com/de/datenschutzerklaerung. Da XING seinen Sitz im Europäischen Wirtschaftsraum (EWR) hat, findet keine Übermittlung personenbezogener Daten in ein datenschutzrechtlich unsicheres Drittland statt. Für Daten, die XING nach Ihrem Besuch auf der XING-Plattform verarbeitet, ist ausschließlich New Work SE verantwortlich. Wir haben auf diese Verarbeitung keinen Einfluss.

Rechtsgrundlage für die Verlinkung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Präsenz auf beruflichen Netzwerken und Kommunikation mit Interessenten und Kunden).

19. Newsletter-Versand über Brevo (Double-Opt-in)

Wir versenden Newsletter über den Dienst Brevo. Anbieter für Nutzerinnen und Nutzer mit Sitz in Deutschland, Österreich und der Schweiz ist die Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland (Tochtergesellschaft der Sendinblue SAS, 9–17 rue de Salneuve, 75017 Paris, Frankreich). Im Folgenden: „Brevo“.

Anmeldung und Double-Opt-in-Verfahren: Die Anmeldung erfolgt ausschließlich über das Double-Opt-in-Verfahren. Nach Ihrer Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach Ihrem aktiven Klick auf diesen Link wird Ihre Anmeldung aktiviert und Sie in den Verteiler aufgenommen. Ohne diese Bestätigung erhalten Sie keine Newsletter-E-Mails von uns. Dieses Verfahren stellt sicher, dass die Anmeldung tatsächlich von Ihnen stammt und dient dem Nachweis Ihrer Einwilligung.

Verarbeitete Daten: E-Mail-Adresse (Pflichtfeld), ggf. Name (freiwillige Angabe), IP-Adresse und Zeitstempel der Anmeldung (zum Nachweis der Einwilligung), Öffnungs- und Klickraten (zur Analyse der Newsletter-Kampagnen).

Zweck der Verarbeitung: Versand von Newslettern mit Informationen zu Recruiting-Themen, IT-Consulting und unseren Beratungsleistungen; Analyse und Optimierung unserer Newsletter-Kampagnen; Nachweis der erteilten Einwilligung.

Auftragsverarbeitung: Wir haben mit Brevo einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Brevo verarbeitet Ihre Daten ausschließlich auf unsere Weisung und nicht für eigene Zwecke. Die Verarbeitung erfolgt vorrangig auf Servern innerhalb der Europäischen Union. Brevo setzt jedoch auch Unterauftragsverarbeiter ein, bei denen es zu einer Verarbeitung in Drittländern, insbesondere in den USA, kommen kann. Für diese Übermittlungen gewährleistet Brevo ein angemessenes Datenschutzniveau durch Standardvertragsklauseln (SCCs) sowie, soweit einschlägig, durch das EU-US Data Privacy Framework (DPF).

Speicherdauer: Ihre Daten werden gespeichert, solange das Newsletter-Abonnement besteht. Nach einer Abmeldung werden Ihre personenbezogenen Daten aus dem Verteiler gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Widerrufsrecht: Sie können Ihre Einwilligung jederzeit widerrufen. Jeder Newsletter enthält einen Abmeldelink. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitungsvorgänge bleibt unberührt.

Weitere Informationen zu den Datenschutzpraktiken von Brevo: https://www.brevo.com/de/legal/privacypolicy/

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

20. Empfänger personenbezogener Daten

Personenbezogene Daten werden nur weitergegeben, soweit dies erforderlich ist:

• Hosting-Anbieter (Vercel)
• Cloudflare (Bot-Schutz / CAPTCHA)
• Calendly (Terminorganisation)
• Microsoft (Kommunikation über Microsoft Teams sowie E-Mail-Kommunikation über Microsoft 365)
• WhatsApp / Meta (Kommunikation über WhatsApp)
• Brevo (Newsletter-Versand)
• Auftraggeber/Kunden (im Rahmen der Vorstellung von Kandidaten)
• ggf. Behörden, sofern gesetzlich erforderlich

21. Drittlandübermittlungen

Es kann zu Datenübermittlungen in Länder außerhalb der Europäischen Union kommen, insbesondere in die USA (Hosting durch Vercel, Bot-Schutz durch Cloudflare, Terminbuchung durch Calendly, Online-Meetings durch Microsoft Teams, E-Mail-Kommunikation über Microsoft 365, Kommunikation über WhatsApp, Newsletter-Versand über Brevo beziehungsweise dessen Unterauftragsverarbeiter). Diese Übermittlungen erfolgen ausschließlich unter Einhaltung der Art. 44 ff. DSGVO. Für Vercel, Cloudflare, Calendly, Microsoft, WhatsApp/Meta sowie Brevo wird ein angemessenes Datenschutzniveau durch das EU-US Data Privacy Framework (DPF) und – soweit einschlägig – durch abgeschlossene Standardvertragsklauseln (SCCs) gewährleistet.

22. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

23. Rechte der betroffenen Personen

Sie haben folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf von Einwilligungen

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die unter Ziffer 1 genannten Kontaktdaten. Wir beantworten Ihre Anfrage unverzüglich, in der Regel innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Diese Frist kann bei besonders komplexen oder zahlreichen Anfragen um weitere zwei Monate verlängert werden; über eine solche Verlängerung informieren wir Sie.

Zudem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Maßgeblich ist die für Sie zuständige Aufsichtsbehörde. Da unser Vertreter in der Europäischen Union seinen Sitz in Nordrhein-Westfalen hat, können Sie sich beispielhaft auch an folgende Aufsichtsbehörde wenden:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)

Kavalleriestraße 2–4

40213 Düsseldorf, Deutschland

Telefon: +49 211 38424-0

E-Mail: poststelle@ldi.nrw.de

Web: https://www.ldi.nrw.de

24. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO statt.

25. Sicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen.

Anwendbarkeit des Schweizer Datenschutzrechts (DSG)

Soweit personenbezogene Daten von Personen in der Schweiz verarbeitet werden, erfolgt dies zusätzlich im Einklang mit dem schweizerischen Datenschutzgesetz (DSG). Das DSG schützt – ebenso wie die DSGVO – die Persönlichkeit und die Grundrechte natürlicher Personen bei der Bearbeitung personenbezogener Daten.

Die Datenverarbeitung erfolgt nach den Grundsätzen:

• Rechtmäßigkeit
• Treu und Glauben
• Zweckbindung
• Verhältnismäßigkeit
• Datensicherheit

Eine gesonderte Vertretung in der Schweiz ist derzeit nicht erforderlich, da keine umfangreiche oder risikobehaftete Datenbearbeitung im Sinne des DSG erfolgt.

Geltung der Verarbeitungsbeschreibungen aus Block A

Die in Block A beschriebenen Verarbeitungstätigkeiten, die eingesetzten Dienstleister (Auftragsverarbeiter), die Empfänger sowie die Drittlandübermittlungen gelten für Personen in der Schweiz entsprechend. Für Übermittlungen in Länder ohne angemessenes Schutzniveau stützen wir uns auf geeignete Garantien, insbesondere die von den jeweiligen Anbietern verwendeten Standardvertragsklauseln (SCCs) sowie – soweit einschlägig – auf anerkannte Angemessenheitsmechanismen wie das Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF).

Rechte betroffener Personen nach dem DSG

Personen in der Schweiz stehen nach dem DSG insbesondere folgende Rechte zu:

• Recht auf Auskunft über die Bearbeitung ihrer Personendaten
• Recht auf Berichtigung unrichtiger Daten
• Recht auf Löschung oder Vernichtung von Daten
• Recht auf Herausgabe oder Übertragung der Daten
• Recht, einer Bearbeitung zu widersprechen

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die unter Block A, Ziffer 1 genannten Kontaktdaten.

Zuständige Aufsichtsbehörde

Zuständige Aufsichtsbehörde in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, CH-3003 Bern, https://www.edoeb.admin.ch. Sie haben das Recht, sich beim EDÖB zu melden, wenn Sie der Auffassung sind, dass die Bearbeitung Ihrer Personendaten gegen das DSG verstößt.