DatenschutzerklärungPrivacy policy

01VerantwortlicherController

Für diese Website und für die Konten der Beratungen, die Novus Labor nutzen, ist verantwortlich: The controller for this website and for the accounts of the consultancies using Novus Labor is:

Für die Daten der Klienten, die eine Beratung in Novus Labor anlegt, ist die jeweilige Beratung verantwortlich. Wir verarbeiten diese Daten als Auftragsverarbeiter nach ihrer Weisung (siehe Abschnitt 05). For the data of clients that a consultancy creates in Novus Labor, that consultancy is the controller. We process this data as a processor on its instructions (see section 05).

02Diese WebsiteThis website

Die Website wird bei Vercel Inc. gehostet. Bei jedem Aufruf speichert Vercel technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser und Betriebssystem), um die Seite auszuliefern und Angriffe abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). The website is hosted by Vercel Inc. On every request Vercel stores technical access data (IP address, time, page requested, browser and operating system) to deliver the page and fend off attacks. The legal basis is our legitimate interest in secure operation (Art. 6(1)(f) GDPR).

Wir setzen auf der Website keine Analyse- oder Marketing-Tools und keine Cookies ein. Die Schrift liegt auf unserem eigenen Server, es wird keine Verbindung zu Google Fonts aufgebaut. Ihre Sprachwahl (Deutsch oder Englisch) speichert Ihr Browser lokal; sie wird nicht an uns übertragen. We use no analytics or marketing tools and no cookies on the website. The font is served from our own server, so no connection to Google Fonts is made. Your language choice (German or English) is stored locally by your browser and is not sent to us.

Demo-Termine buchen Sie über Cal.com (Cal.com Inc., USA). Der Buchungskalender wird erst geladen, wenn Sie auf einen Buchungs-Button oder auf „Kalender laden“ klicken. Erst dann werden Ihre IP-Adresse und die Angaben, die Sie dort eintragen, an Cal.com übermittelt. Rechtsgrundlage ist die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Wenn Sie uns per E-Mail schreiben, verwenden wir Ihre Angaben nur zur Beantwortung. Demo appointments are booked via Cal.com (Cal.com Inc., USA). The booking calendar only loads once you click a booking button or "Load calendar". Only then are your IP address and the details you enter sent to Cal.com. The legal basis is the preparation of a contract (Art. 6(1)(b) GDPR). If you email us, we use your details only to reply.

03Daten in der SoftwareData in the software

Für Jobsuche und Matching verarbeitet Novus Labor im Auftrag der Beratung: For job search and matching, Novus Labor processes on behalf of the consultancy:

• Stammdaten der Klienten wie Name, E-Mail-Adresse und Wohnort.Client master data such as name, email address and place of residence.
• Den Text aus hochgeladenen Lebensläufen und den Dateinamen. Die Datei selbst wird nach dem Auslesen nicht gespeichert.The text from uploaded CVs and the file name. The file itself is not stored after it has been read.
• Suchprofile mit Zieltiteln, Standort, Suchradius, Arbeitsmodell, Zielfirmen und Ausschlusskriterien sowie Zeitpläne für automatische Suchläufe.Search profiles with target titles, location, search radius, work model, target companies and exclusion criteria, plus schedules for automatic search runs.
• Gefundene Stellen, Match-Scores mit Begründung, gespeicherte und verworfene Stellen sowie Bewerbungsstatus.Roles found, match scores with rationale, saved and dismissed roles, and application status.
• Einwilligungen, Anfragen auf menschliche Überprüfung, Lösch- und Exportanfragen.Consents, requests for human review, deletion and export requests.
• Konten der Beratungsnutzer und Anmeldedaten, Verläufe des KI-Assistenten.Consultancy user accounts and sign-in data, AI assistant conversation history.
• Protokolldaten zu sicherheitsrelevanten Aktionen (Audit-Log) mit IP-Adresse und Browserkennung.Log data on security-relevant actions (audit log) with IP address and browser identifier.

Ist für einen Klienten ein LinkedIn-Profil hinterlegt, ruft Novus Labor die öffentlichen Profilangaben ab. Für die Jobsuche erhalten Jobbörsen und Stellen-Schnittstellen nur Suchbegriffe und Orte, keine Namen oder Lebensläufe. If a LinkedIn profile is stored for a client, Novus Labor retrieves the public profile information. For the job search, job boards and job APIs receive only search terms and locations, never names or CVs.

04Zwecke & RechtsgrundlagenPurposes & legal bases

Die Software dient dazu, passende Stellen für Klienten zu finden, zu bewerten und an die Beratung und den Klienten zu übergeben. Rechtsgrundlagen sind die Erfüllung des Beratungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), die Einwilligung des Klienten (Art. 6 Abs. 1 lit. a DSGVO) und berechtigte Interessen, etwa an Sicherheit und Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO). The software is used to find suitable roles for clients, score them and pass them to the consultancy and the client. The legal bases are performance of the consulting contract (Art. 6(1)(b) GDPR), the client's consent (Art. 6(1)(a) GDPR) and legitimate interests such as security and abuse prevention (Art. 6(1)(f) GDPR).

Für die KI-Auswertung holt die Beratung eine eigene Einwilligung des Klienten ein. Fehlt sie, lehnt das System die KI-Auswertung ab. E-Mails mit Stellenvorschlägen gehen nur an Klienten, die einen Portalzugang haben, Benachrichtigungen erlauben und eingewilligt haben. Einwilligungen lassen sich jederzeit für die Zukunft widerrufen. For AI evaluation, the consultancy obtains a separate consent from the client. Without it, the system refuses the AI evaluation. Emails with job matches only go to clients who have portal access, allow notifications and have consented. Consent can be withdrawn at any time with effect for the future.

05AuftragsverarbeitungProcessing on behalf

Mit jeder Beratung schließen wir einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit einer Anlage zu den technischen und organisatorischen Maßnahmen. Wir verarbeiten Klientendaten nur nach Weisung der Beratung. Exportiert die Beratung Ergebnisse über CSV, Google Sheets, Webhook, API oder in ihr Beratungsportal, ist sie für die Verarbeitung am Ziel verantwortlich. Mandanten können auch eigene Schlüssel für KI-Anbieter hinterlegen; dann läuft die KI-Auswertung über deren Vertrag mit diesem Anbieter. We conclude a data processing agreement (DPA) under Art. 28 GDPR with every consultancy, including an annex on technical and organisational measures. We process client data only on the consultancy's instructions. When the consultancy exports results via CSV, Google Sheets, webhook, API or into its own consulting portal, it is responsible for processing at the destination. Tenants can also store their own keys for AI providers; AI evaluation then runs under their own contract with that provider.

06Dienstleister & ServerstandorteService providers & locations

Für den Betrieb der Software setzen wir diese Unterauftragsverarbeiter ein: We use the following subprocessors to run the software:

Für Ortsangaben und Entfernungen im Umkreis-Matching werden Orte (keine Namen) an die offenen Dienste Open-Meteo (Geokodierung) und OSRM (Routenberechnung) übermittelt. For locations and distances in radius matching, place names (no personal names) are sent to the open services Open-Meteo (geocoding) and OSRM (routing).

Soweit Daten in die USA übermittelt werden, geschieht das auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss nach Art. 45 DSGVO), sofern der Anbieter zertifiziert ist, und im Übrigen auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Nach den Bedingungen von OpenAI werden über die API übermittelte Daten nicht zum Training von Modellen verwendet. Where data is transferred to the USA, this is based on the EU-US Data Privacy Framework (adequacy decision under Art. 45 GDPR) if the provider is certified, and otherwise on EU standard contractual clauses (Art. 46(2)(c) GDPR). Under OpenAI's terms, data sent via the API is not used to train models.

07SicherheitSecurity

• Verbindungen sind per TLS verschlüsselt; HSTS und eine Content-Security-Policy sind aktiv.Connections are TLS-encrypted; HSTS and a Content Security Policy are enforced.
• Datenbank und Speicher sind auf Datenträgerebene verschlüsselt. Datenbank-Backups werden zusätzlich mit AES-256-GCM verschlüsselt.Database and storage are encrypted at disk level. Database backups are additionally encrypted with AES-256-GCM.
• Zwei-Faktor-Anmeldung per Authenticator-App; Mandanten können sie für alle Nutzer verbindlich machen.Two-factor sign-in via authenticator app; tenants can make it mandatory for all users.
• Rollenbasierte Rechte und Trennung der Mandanten: Jede Anfrage ist an ihren Mandanten gebunden.Role-based permissions and tenant separation: every request is bound to its tenant.
• Sicherheitsrelevante Änderungen werden im Audit-Log protokolliert.Security-relevant changes are recorded in the audit log.
• Klienten melden sich per Einmal-Link an; der Link wird nur als Hash gespeichert und ist sieben Tage gültig.Clients sign in via a one-time link; the link is stored only as a hash and is valid for seven days.

08KI & menschliche EntscheidungAI & human decision

Das KI-Matching ordnet Stellen nach Passung und begründet den Score. Welche Stellen die Beratung mit dem Klienten weiterverfolgt, entscheidet ein Mensch. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt; eine Stelle wird wegen eines niedrigen Scores nach unten sortiert, aber nicht ausgeblendet. The AI matching orders roles by fit and explains the score. A person decides which roles the consultancy pursues with the client. No solely automated decision within the meaning of Art. 22 GDPR takes place; a role with a low score is ranked lower but not hidden.

KI-Ergebnisse sind im Portal gekennzeichnet. Klienten können dort eine Überprüfung durch einen Menschen anfordern; die Beratung bearbeitet sie innerhalb von 14 Tagen. Beratungen und einzelne Nutzer können die KI-Auswertung abschalten, dann erscheinen Stellen chronologisch. Jede KI-Entscheidung wird mit einem Hash der Eingabe protokolliert, damit sie nachvollziehbar bleibt. AI results are labelled in the portal. Clients can request a review by a person there; the consultancy handles it within 14 days. Consultancies and individual users can turn off AI evaluation, in which case roles appear chronologically. Every AI decision is logged with a hash of its input so it remains traceable.

09Speicherdauer & LöschungRetention & deletion

Klientendaten speichern wir, solange die Beratung den Klienten in Novus Labor betreut. Für einzelne Daten gelten feste Fristen: We store client data for as long as the consultancy supports the client in Novus Labor. Fixed periods apply to certain data:

• Audit-Logs und Verläufe des KI-Assistenten: 90 Tage.Audit logs and AI assistant history: 90 days.
• Abgelehnte Bewerbungen: sechs Monate.Rejected applications: six months.
• Protokolle einzelner Suchläufe: 30 Tage nach Ende des Laufs.Logs of individual search runs: 30 days after the run ends.
• Archive aus Datenexporten: 24 Stunden.Data export archives: 24 hours.
• Protokolle von KI-Entscheidungen (nur Hash der Eingabe): fünf Jahre, als Nachweis nach Art. 22 DSGVO und KI-Verordnung.AI decision logs (input hash only): five years, as evidence under Art. 22 GDPR and the EU AI Act.
• Server-Logs der Website: nach den Fristen von Vercel, in der Regel wenige Tage.Website server logs: according to Vercel's retention, usually a few days.

Beantragt ein Klient die Löschung, prüft die Beratung den Antrag. Mit der Bestätigung werden die personenbezogenen Angaben sofort pseudonymisiert, Exporte, gespeicherte Stellen und der Portalzugang gelöscht, und der Klient erhält eine Bestätigung per E-Mail. Die endgültige Löschung folgt nach 30 Tagen. Einwilligungs- und Löschnachweise bewahren wir ohne Bezug zur Person auf. Nach Vertragsende löschen wir die Daten der Beratung oder geben sie nach dem AVV zurück. If a client requests deletion, the consultancy reviews the request. On confirmation, personal details are pseudonymised immediately, exports, saved roles and portal access are deleted, and the client receives a confirmation email. Final deletion follows after 30 days. We keep records of consent and deletion without reference to the person. After the contract ends, we delete the consultancy's data or return it in line with the DPA.

10Ihre RechteYour rights

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, Einwilligungen jederzeit zu widerrufen. You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and objection (Art. 21), as well as the right to withdraw consent at any time.

Klienten können im Portal selbst eine vollständige Kopie ihrer Daten als ZIP-Datei anfordern und dort auch die Löschung beantragen. Da die Beratung für Klientendaten verantwortlich ist, können Sie sich auch direkt an Ihre Beratung wenden; wir unterstützen sie dabei. Für alle anderen Anliegen schreiben Sie an contact@siegert.tech. Clients can request a complete copy of their data as a ZIP file in the portal and also request deletion there. Because the consultancy is the controller for client data, you can also contact your consultancy directly; we support it in this. For anything else, write to contact@siegert.tech.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow. You can also lodge a complaint with a data protection supervisory authority. The authority responsible for us is the Brandenburg Commissioner for Data Protection and Access to Information, Stahnsdorfer Damm 77, 14532 Kleinmachnow, Germany.

11CookiesCookies

Diese Website setzt keine Cookies. Die Software Novus Labor verwendet nur Cookies, die für den Betrieb nötig sind: das Sitzungs-Cookie der Anmeldung (bei Beratungsnutzern 30 Tage gleitend), ein Cookie für die Portal-Vorschau, ein Schutz-Cookie für die Google-Anmeldung sowie Cookies für Sprache und Darstellung. Tracking- oder Werbe-Cookies gibt es nicht. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Die Kartenansicht im Dashboard lädt Google Maps; dabei kann Google eigene Cookies setzen. This website sets no cookies. The Novus Labor software only uses cookies required for operation: the sign-in session cookie (30 days rolling for consultancy users), a cookie for the portal preview, a protection cookie for Google sign-in, and cookies for language and display. There are no tracking or advertising cookies. The legal basis is Section 25(2) no. 2 TDDDG. The map view in the dashboard loads Google Maps, and Google may set its own cookies.