Auftragsverarbeitungsvertrag
Stand: 12.09.2026
zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und [Firmierung, z. B. Quontio GmbH] als Auftragsverarbeiter („Auftragnehmer“) nach Art. 28 Abs. 3 DSGVO.
[Firmierung, z. B. Quontio GmbH]
[Straße Hausnummer]
[PLZ] [Ort]
Deutschland
1. Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Nutzung der Plattform Quontio nach den Nutzungsbedingungen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art und Zweck der Verarbeitung
Entgegennahme, Speicherung, Anzeige, Weitergabe an Jobbörsen (nur Stelleninhalte, keine Bewerberdaten), Kommunikation mit Bewerber:innen, Auswertung und Löschung von Daten im Bewerbungsverfahren des Auftraggebers.
3. Kategorien betroffener Personen und Daten
- Bewerber:innen: Name, Kontaktdaten, Lebenslauf und weitere Dokumente, Antworten auf Fragen, Anschreiben, Kommunikationsverlauf, Bewertungen und Notizen des Auftraggebers, Herkunft der Bewerbung.
- Mitarbeitende des Auftraggebers: Name, E-Mail-Adresse, Rolle, Aktivitäten in der Plattform.
4. Weisungen
Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und aus den Einstellungen, die der Auftraggeber in der Plattform vornimmt (etwa Aufbewahrungsfrist, Löschung, Export). Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
5. Vertraulichkeit
Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit und beschränkt den Zugang auf Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen.
6. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und entwickelt sie fort.
7. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens 30 Tage im Voraus per E-Mail. Der Auftraggeber kann aus wichtigem Grund innerhalb dieser Frist widersprechen.
8. Rechte betroffener Personen
Der Auftragnehmer unterstützt den Auftraggeber mit den Funktionen der Plattform (Auskunftsexport, Löschung, Löschanfragen von Bewerber:innen) und darüber hinaus in angemessenem Umfang. Anfragen betroffener Personen leitet der Auftragnehmer unverzüglich an den Auftraggeber weiter.
9. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie ihm vorliegen.
10. Löschung und Rückgabe
Nach Beendigung des Vertrags löscht der Auftragnehmer alle Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Auftraggeber kann seine Daten vorher über die Exportfunktionen der Plattform sichern.
11. Kontrollrechte
Der Auftragnehmer stellt dem Auftraggeber alle Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen, in der Regel durch Beantwortung von Fragen und Vorlage von Unterlagen, auf Verlangen und nach Abstimmung auch vor Ort.
12. Haftung
Für die Haftung gelten Art. 82 DSGVO und die Haftungsregelung der Nutzungsbedingungen.
13. Abschluss
Der Auftraggeber schließt diesen Vertrag ab, indem er ihn per E-Mail an hallo@quontio.com bestätigt. Der Auftragnehmer sendet das gegengezeichnete Dokument zurück.
Anlage 1: Technische und organisatorische Maßnahmen
- Verschlüsselung: Übertragung ausschließlich über TLS; Speicherung auf verschlüsselten Datenträgern in Rechenzentren in Deutschland.
- Zugriffskontrolle: Zugriff auf Systeme nur über personengebundene Konten mit Schlüsselauthentifizierung; Zugriff auf Daten nur für berechtigte Personen.
- Rollen und Rechte: Rollenmodell in der Plattform (Inhaber:in, Admin, Recruiter:in, Fachbereich); jede Organisation ist von anderen getrennt.
- Protokollierung: Zugriffe auf Bewerberprofile, Exporte und Löschungen werden mit Zeit und Person protokolliert.
- Backups: tägliche verschlüsselte Sicherungen mit begrenzter Aufbewahrung; regelmäßige Wiederherstellungstests.
- Löschkonzept: automatische Löschung nach der eingestellten Aufbewahrungsfrist; Löschung von Dateien im Speicher; Löschanfragen von Bewerber:innen mit Bestätigungslink.
- Trennung: keine Nutzung von Kundendaten für andere Zwecke; getrennte Umgebungen für Entwicklung, Test und Betrieb.
Anlage 2: Unterauftragsverarbeiter
- Hetzner Online GmbH: Hosting von Servern, Datenbank und Dateispeicher (Deutschland)
- Anthropic PBC: Optionale KI-Funktionen (Textvorschläge, Lebenslauf-Zusammenfassung), nur wenn vom Kunden aktiviert (USA, EU-Standardvertragsklauseln)