Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten Joblumi verarbeitet, warum, wie lange und wer sie außerdem erhält. Sie gilt für die Website joblumi.com und die Joblumi-App unter joblumi.com/app. Grundlage sind die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

1. Auf einen Blick

• Ihr Lebenslauf ist ein personenbezogenes Datum. Wir nutzen ihn nur für die Funktionen, die Sie aufrufen. Wir verkaufen ihn nie und geben ihn nie an Arbeitgeber.
• Bevor Sie ein Konto anlegen, bleiben Ihre Antworten und Entwürfe in Ihrem Browser. Ein hochgeladener Lebenslauf wird einmal gelesen und von uns nicht gespeichert.
• Ihre Kontodaten liegen in der EU (Cloudflare-Datenbank mit EU-Gerichtsbarkeit).
• KI-Funktionen laufen über Anthropic in den USA. Anthropic trainiert seine Modelle nicht mit Ihren Daten.
• Zahlungen wickelt Link (Stripe) ab, als eigener Verantwortlicher.
• Analyse und Werbung nur mit Ihrer Einwilligung: Google Analytics und das Meta Pixel laden nur, wenn Sie im Cookie-Banner zustimmen (Abschnitt 4).
• Sie können jederzeit alle Ihre Daten herunterladen und Ihr Konto löschen, auf der Seite „Konto“ in der App (joblumi.com/app/account).

2. Wer verantwortlich ist

Verantwortlicher nach Art. 4 Nr. 7 DSGVO:

Nick Schäfer, Joblumi An der Mannsfaust 9, 60599 Frankfurt am Main, Deutschland E-Mail: hello@joblumi.com

Einen Datenschutzbeauftragten haben wir nicht benannt. Bei allen Fragen zum Datenschutz schreiben Sie an hello@joblumi.com. E-Mails an diese Adresse leitet Cloudflare Email Routing an das geschäftliche Postfach von Nick Schäfer bei Google Workspace weiter (Abschnitt 15).

3. Besuch unserer Website

Was passiert: Wenn Sie eine Seite öffnen, schickt Ihr Browser technische Daten an unseren Hoster Cloudflare: IP-Adresse, Datum und Uhrzeit, Seitenadresse, vorherige Seite, Browsertyp und Betriebssystem. Cloudflare braucht das, um die Seite auszuliefern und vor Angriffen zu schützen.

Wo: Cloudflare betreibt ein weltweites Netz. Ihre Anfrage beantwortet ein Rechenzentrum in Ihrer Nähe. Ihre Kontodaten liegen getrennt davon in der EU (Abschnitt 7).

Fehlerprotokolle: Cloudflare bewahrt die Protokolle unseres Dienstes bis zu 7 Tage auf, damit wir Fehler finden. Lebenslauf-Inhalte und E-Mail-Adressen schreiben wir nicht hinein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere, funktionierende Website. Das Auslesen technischer Daten von Ihrem Gerät ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Cookies und Browser-Speicher: Die Tabelle nennt jedes Cookie und jeden Eintrag im Speicher Ihres Browsers, den joblumi.com für Anmeldung, Einwilligung, Statistik und Marketing nutzt. Statistik- und Marketing-Cookies setzen wir erst nach Ihrer Einwilligung (Abschnitt 4).

Name	Anbieter	Zweck	Dauer	Kategorie
__Secure-better-auth.session_token	Joblumi	Hält Sie angemeldet (Abschnitt 7)	30 Tage	Notwendig
jl_li_state, jl_li	Joblumi	Nur beim Verbinden mit LinkedIn: Schutz gegen untergeschobene Antworten, danach Name und E-Mail bis zum Abholen (Abschnitt 6)	10 bzw. höchstens 5 Minuten	Notwendig
joblumi_consent (Browser-Speicher, kein Cookie)	Joblumi	Speichert Ihre Wahl im Cookie-Banner und die Fassung des Banner-Textes; nach 12 Monaten fragen wir neu	12 Monate	Notwendig
_ga	Google	Unterscheidet Besucher (Google Analytics)	13 Monate	Statistik
_ga_<ID>	Google	Hält den Stand eines Besuchs (Google Analytics)	13 Monate	Statistik
_fbp	Meta	Erkennt Ihren Browser für die Werbemessung (Meta Pixel)	3 Monate	Marketing
_fbc	Meta	Speichert die Klick-Kennung einer Anzeige, nur wenn Sie über eine Meta-Anzeige kamen	3 Monate	Marketing

4. Analyse und Werbung (nur mit Ihrer Einwilligung)

Google Analytics 4 und das Meta Pixel nutzen wir auf unserer Website und, nur für Anmeldung und Kauf, in der App, und nur, wenn Sie im Cookie-Banner zustimmen. In der App senden wir mit Ihrer Einwilligung nur zwei Ereignisse: Konto angelegt und Pass gekauft (mit Preis und Währung). Inhalte der App, Lebensläufe oder Daten zu Stellen senden wir nie. Vorher lädt keines der beiden Werkzeuge und keines setzt ein Cookie. „Alle akzeptieren“ und „Alle ablehnen“ sind gleich einfach. Sie können die Kategorien „Statistik“ und „Marketing“ auch einzeln wählen. Ihre Wahl können Sie jederzeit unter „Cookie-Einstellungen“ in der Fußzeile jeder Seite ändern oder widerrufen. Der Widerruf berührt die Verarbeitung bis dahin nicht.

Statistik: Google Analytics 4

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als unser Auftragsverarbeiter (Art. 28 DSGVO).

Wofür: um zu sehen, welche Seiten besucht werden, wie Menschen uns finden und wo sie abspringen, damit wir die Website verbessern können.

Daten: eine pseudonyme Kennung in einem Cookie, die aufgerufenen Seiten, Kampagnen-Angaben in der Seitenadresse (utm), Zeitpunkt, verweisende Seite, Geräte- und Browsertyp und ein ungefährer Standort (Land, Region, Stadt), den Google aus Ihrer IP-Adresse ableitet. Google Analytics 4 speichert keine IP-Adressen. Google Signals haben wir ausgeschaltet, und wir verknüpfen Google Analytics nicht mit Werbekonten. Google löscht die Ereignisdaten nach 2 Monaten.

Übermittlung: Google kann Daten in den USA verarbeiten. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Marketing: Meta Pixel

Anbieter: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.

Wofür: um zu messen, wie gut unsere Werbung auf Facebook und Instagram wirkt, und um unsere Werbung Menschen zu zeigen, die unsere Website besucht haben.

Daten: Cookie-Kennungen, die aufgerufene Seite, Aktionen wie Anmeldung oder Kauf eines Passes (ohne den Inhalt Ihrer Unterlagen), Ihre IP-Adresse und Browserdaten. Ihre E-Mail-Adresse oder Telefonnummer schicken wir nicht an Meta. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta diese Daten Ihrem Konto zuordnen.

Rollen: Für das Erheben der Daten auf unserer Website und die Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Unsere Vereinbarung mit Meta ist der Meta Controller Addendum (facebook.com/legal/controller_addendum). Für Ihre Rechte in diesem Teil ist Meta zuständig. Sie können sich dafür auch an uns wenden (Art. 26 Abs. 3 DSGVO). Für alles, was Meta danach mit den Daten macht, ist Meta allein verantwortlich, nach seiner Datenschutzrichtlinie (facebook.com/privacy/policy).

Übermittlung: Meta kann Daten in den USA verarbeiten. Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Speicherdauer: Wie lange Meta diese Daten speichert, legt Meta fest (siehe die Datenschutzrichtlinie von Meta); die Cookies laufen ab wie in Abschnitt 3 angegeben.

Rechtsgrundlage

Ihre Einwilligung: Art. 6 Abs. 1 lit. a DSGVO, für das Speichern und Auslesen von Cookies auf Ihrem Gerät § 25 Abs. 1 TDDDG. Übermittlungen in die USA beruhen auf dem EU-US Data Privacy Framework (Art. 45 DSGVO); gegen diesen Rahmen ist ein Rechtsmittel beim Gerichtshof der Europäischen Union anhängig.

Google Search Console

Mit der Google Search Console sehen wir, wie unsere Seiten in der Google-Suche erscheinen. Sie setzt auf unserer Website keine Cookies. Von Google erhalten wir nur zusammengefasste Zahlen wie Suchbegriffe und Klicks, keine Daten über Sie.

5. Cloudflare Turnstile (Schutz vor Bots)

Bevor wir einen Anmelde-Code schicken und vor KI-Funktionen ohne Konto prüfen wir mit Cloudflare Turnstile, dass Sie ein Mensch sind. Turnstile liest technische Signale Ihres Browsers, etwa IP-Adresse, Browser-Header und TLS-Fingerabdruck. Cloudflare nutzt sie, um Bots zu erkennen, und als eigener Verantwortlicher, um seine Bot-Erkennung zu verbessern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz der Anmeldung und unserer KI-Funktionen vor automatisiertem Missbrauch und Kosten. Das Auslesen dieser Signale ist für diesen Schutz unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

6. Bevor Sie ein Konto haben

Ihre Antworten und Entwürfe bleiben in Ihrem Browser

Unter /start fragen wir nach Ihrem Ziel, Zielberuf, Ihrer Erfahrung, Ihren Sprachen, Wunschorten, bisherigen Bewerbungen, Hürden, Ihrem Wochenziel und wie Sie von uns erfahren haben. Bis Sie ein Konto anlegen, speichern wir Ihre Antworten nur im lokalen Speicher Ihres Browsers, damit Sie später weitermachen können. Das gilt auch für einen Lebenslauf- oder Anschreiben-Entwurf ohne Konto, für Ihre Einstellungen im Assessment Trainer und für Ihre Sprachwahl. Wir erhalten diese Daten nicht. Sie können sie jederzeit löschen, indem Sie Ihre Browserdaten löschen.

Rechtsgrundlage: Das Speichern in Ihrem Browser ist für den Dienst, den Sie nutzen wollen, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Wenn Sie einen Lebenslauf hochladen

Wenn Sie einen Lebenslauf (PDF oder Word) unter /start oder auf einer Werkzeug-Seite wie dem CV-Check hochladen:

1. Unser Server empfängt die Datei und hält sie nur im Arbeitsspeicher.
2. Er schickt die Datei an unseren KI-Anbieter Anthropic (Abschnitt 9), der die Stationen Ihres Lebenslaufs in Felder überträgt.
3. Wir schicken die Felder an Ihren Browser zurück. Ihr Browser zeigt Ihren (G)ATS Score (German ATS Score), die Funde und eine Vorschau.
4. Wir löschen die Datei. Die Originaldatei speichern wir nicht. Bis Sie ein Konto anlegen, bleiben die Felder nur in Ihrem Browser.

In der App (mit Konto) läuft das Einlesen im Hintergrund. Dafür liegt die hochgeladene Datei für die Dauer des Einlesens verschlüsselt in Cloudflare R2 in der EU. Danach löschen wir sie, spätestens nach 24 Stunden. Die gelesenen Felder speichern wir als Ihren Lebenslauf im Konto (Abschnitt 8).

Anthropic löscht die Datei automatisch innerhalb von 30 Tagen (Einzelheiten in Abschnitt 9).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil Sie uns bitten, Ihren Lebenslauf zu prüfen.

Mit LinkedIn verbinden

Im Einstieg unter /start können Sie beim Weg „Aus meinem LinkedIn-Profil“ auf „Mit LinkedIn verbinden“ klicken. Ihr Browser geht dann zu LinkedIn. Dort melden Sie sich an und stimmen zu. Danach übermittelt LinkedIn uns über die Schnittstelle „Sign In with LinkedIn using OpenID Connect“ Ihren Namen, Ihre E-Mail-Adresse, einen Link zu Ihrem Profilbild, Ihre Spracheinstellung und eine Kennung, die nur für Joblumi gilt. Wir nutzen davon nur Name und E-Mail-Adresse, um diese Felder in Ihrem Lebenslauf auszufüllen. Profilbild, Sprache und Kennung verwerfen wir sofort. Stationen, Ausbildung und Kenntnisse übermittelt LinkedIn über diese Schnittstelle nicht.

Unser Server speichert nichts davon: Er legt Name und E-Mail für höchstens 5 Minuten in ein Cookie (jl_li), damit Ihr Browser sie nach der Rückkehr abholen kann, und löscht es beim Abholen. Den Zugangsschlüssel von LinkedIn nutzen wir einmal und verwerfen ihn. Danach liegen Name und E-Mail wie Ihre übrigen Antworten nur in Ihrem Browser, bis Sie ein Konto anlegen. Sie können die Übernahme mit „Meine LinkedIn-Daten nicht nutzen“ zurücknehmen.

Für die Verarbeitung bei LinkedIn (Anmeldung, Ihre Zustimmung) ist die LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland, selbst verantwortlich, nach ihrer Datenschutzrichtlinie. LinkedIn erfährt dabei, dass Sie Joblumi verbinden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil Sie uns bitten, Ihren Lebenslauf mit Ihren LinkedIn-Angaben zu beginnen. Die Verbindung ist freiwillig; ohne sie tippen Sie Name und E-Mail selbst ein.

Kostenlose Werkzeuge auf unserer Website

Einige Werkzeuge auf unserer Website funktionieren ohne Konto.

• Laufen nur in Ihrem Browser: der CV-Check (Format und Lesbarkeit), der Deutsch-Niveau-Test, der Bewerbungsfoto-Check, der Netto-Rechner, das Anschreiben-Layout und der Übungstest für Online-Assessments. Was Sie eingeben, bleibt in Ihrem Browser und wird nicht an uns geschickt.
• CV in German: Wir schicken nur den Text Ihres Lebenslaufs an unseren KI-Anbieter Anthropic (Abschnitt 9). Fotos und andere Bilder in Ihrer Datei werden nie mitgeschickt. Ein eingescanntes PDF ohne Text wird gar nicht gelesen. Wir speichern weder Ihre Datei noch ihren Text noch das Ergebnis. Das Ergebnis bleibt nur in diesem Browser-Tab, höchstens 2 Stunden.
• Job-Ad-Analyzer: E-Mail-Adressen und Telefonnummern in der Anzeige entfernen wir, bevor die KI sie liest. Wir speichern nichts.
• Grenzen gegen Missbrauch: Wir zählen Anfragen je Verbindung und je Netz für einen Tag. Dafür speichern wir nur eine Kennung mit einem täglich wechselnden Schlüssel, nie Ihre IP-Adresse (siehe auch Abschnitt 7).
• Weiter in der App: Nehmen Sie ein Ergebnis in die App mit, bleibt es dabei in Ihrem Browser. Wir speichern es erst, wenn Sie ein Konto haben und es in der App ausdrücklich übernehmen, etwa mit „Diesen Lebenslauf nutzen“, „Stelle aufs Board“, „Sprachniveau übernehmen“, „Foto übernehmen“, „Grauen Hintergrund verwenden“ oder „Netto in den Vergleich“ (in der englischen App: „Use this CV“, „Add this job to my board“, „Add German B2 to my CV“, „Use this photo in my CV“, „Use the grey background“, „Compare this offer“). Ohne diesen Klick bleibt das Ergebnis nur in Ihrem Browser-Tab und verfällt wie oben beschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil Sie das Werkzeug auf Ihren Wunsch nutzen. Grenzen gegen Missbrauch: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist der Schutz der Werkzeuge vor Missbrauch und Kosten.

Kontaktformular

Nutzen Sie unser Kontaktformular, geht Ihre Nachricht per E-Mail an hello@joblumi.com. In unserer Datenbank speichern wir sie nicht. Sie wird behandelt wie jede E-Mail an uns (Abschnitt 17). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist, Ihnen zu antworten.

Herkunft über Kampagnen

Kommen Sie über eine Anzeige oder einen Partner-Link, kann der Link einen Kampagnen-Code (UTM-Parameter) und die Seite enthalten, von der Sie kommen. Das halten wir nur im Speicher der geöffneten Seite. Legen Sie ein Konto an, speichern wir es in Ihrem Profil. So sehen wir, welche Kanäle Menschen bringen, denen Joblumi hilft.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, unser Marketing ohne Tracking-Cookies zu messen.

7. Ihr Konto

Anmeldung: Sie melden sich mit Ihrer E-Mail-Adresse und einem 6-stelligen Code an, den wir Ihnen schicken. Passwörter nutzen wir nicht.

Daten: E-Mail-Adresse, Name (wenn Sie ihn angeben), Ihre Antworten aus dem Fragebogen und der Zeitpunkt, an dem Sie das Konto angelegt haben.

Anmelde-Cookie: Nach der Anmeldung setzen wir das Cookie __Secure-better-auth.session_token. Es hält Sie 30 Tage angemeldet. Es ist für das Konto, das Sie nutzen wollen, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Sitzungsdaten: Für jede Anmeldung speichert unsere Anmelde-Software die Sitzung mit ihrer Gültigkeit und Ihrer Browserkennung (User-Agent). Ihre IP-Adresse speichern wir dabei nicht. Wir nutzen das, um Sitzungen abzusichern.

Angemeldete Geräte und geteilte Konten. Für jede Anmeldung speichern wir den Zeitpunkt sowie den Browser- und Gerätetyp, den Ihr Browser übermittelt (User-Agent). Ihre IP-Adresse speichern wir dafür nicht. Wir nutzen diese Daten, um Ihnen Ihre angemeldeten Geräte anzuzeigen, um Sie auf dem ältesten Gerät abzumelden, wenn Sie auf mehr als 3 Geräten angemeldet sind, und um Ihnen bei einer Anmeldung auf einem neuen Gerät eine E-Mail zu schicken. Außerdem zählen wir, wie viele neue Anmeldungen ein Konto in kurzer Zeit hat. Ist die Zahl ungewöhnlich hoch, sieht sich ein Mensch bei Joblumi das an; wir sperren nie automatisch und schreiben Ihnen zuerst (AGB, Ziffer 3.5). Rechtsgrundlage: unser Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, Konten sicher und persönlich zu halten (Art. 6 Abs. 1 lit. f DSGVO). Anmeldedaten löschen wir mit dem Ende der Sitzung, spätestens nach 30 Tagen, die Zählungen nach 30 Tagen. Haben wir Ihnen eine Warnung geschickt, bewahren wir einen Vermerk darüber 12 Monate auf. Sie können dieser Verarbeitung widersprechen (Art. 21 DSGVO).

Grenzen für Anmelde-Codes: Gegen Missbrauch zählen wir, wie viele Codes für eine E-Mail-Adresse angefordert werden. Dafür speichern wir nur einen Hashwert (SHA-256) der Adresse, für kurze Zeit.

Schutz des Gratisangebots: Damit niemand das Gratisangebot mit vielen Konten ausnutzt, prüfen wir vier Dinge. Die ersten beiden beim Anfordern eines Anmelde-Codes, die anderen beim Anlegen des Kontos:

• Wir prüfen die Domain Ihrer E-Mail-Adresse gegen eine Liste von Wegwerf-Adressdiensten, die auf unserem eigenen Server liegt. Steht die Domain auf der Liste, schicken wir keinen Code. Dafür speichern wir nichts zusätzlich.
• Cloudflare Turnstile prüft, dass Sie ein Mensch sind (Abschnitt 5).
• Wir vergleichen Ihre E-Mail-Adresse mit den Adressen der anderen Konten, klein geschrieben und ohne +Zusatz (bei Gmail auch ohne Punkte). Gehört schon ein Konto zum selben Postfach, etwa kim@… und kim+2@…, bekommt das neue Konto keine Gratis-KI-Läufe. Dafür speichern wir nichts zusätzlich.
• Aus Ihrer IP-Adresse, gekürzt auf das Netz (IPv4 /24, IPv6 /64), und einem geheimen Schlüssel bilden wir eine Kennung (HMAC). Den Schlüssel erzeugen wir jeden Tag neu und zufällig und löschen ihn nach Ablauf des Tages. Nur solange er besteht, könnten wir einer Kennung ihr Netz zuordnen. Danach kann das niemand mehr, auch wir nicht. Wir speichern nur diese Kennung mit einem Zähler, wie viele neue Konten aus diesem Netz an diesem Tag die Gratis-KI-Funktionen bekommen haben. Ihre IP-Adresse speichern wir nicht. Den Zähler löschen wir nach etwa einem Tag.

Ab dem sechsten neuen Konto aus demselben IPv6-Netz (/64) oder ab dem einundzwanzigsten neuen Konto aus demselben IPv4-Netz (/24) am selben Tag bekommt das neue Konto keine Gratis-KI-Läufe, auch nicht bei Ask Lumi. Das vermerken wir im Konto. Das Konto selbst funktioniert wie gewohnt, und ein Pass schaltet alles frei. Für unseren eigenen Überblick behalten wir nur Summen, wie viele Netze an einem Tag ein, zwei, drei oder mehr neue Konten hatten. Die Kennungen sehen wir nicht.

Geteilte Netze: Büros, Hochschulen und Mobilfunknetze teilen oft ein Netz für viele Menschen. Hat Ihr neues Konto keine Gratis-KI-Läufe bekommen, obwohl Sie nur dieses eine Konto angelegt haben, schreiben Sie an hello@joblumi.com von der E-Mail-Adresse Ihres Kontos. Wir prüfen das von Hand und schalten Ihre Gratis-Läufe frei.

Wo: Cloudflare-D1-Datenbank, angelegt mit EU-Gerichtsbarkeit, die Daten liegen also in der EU.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung von Joblumi). Sitzungsdaten, Code-Grenzen und Schutz des Gratisangebots: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist ein sicherer Dienst und der Schutz des Gratisangebots vor Missbrauch und Kosten. Sie können dem widersprechen (Abschnitt 18).

8. Nutzung der App

Was wir in Ihrem Konto speichern:

Daten	Wofür
Ihre Lebensläufe (als strukturierte Daten, mit Foto, falls Sie eines hinzufügen) und Anschreiben	Editor, Export als PDF und Word
Ältere Stände je Lebenslauf (die letzten 10) und der Verlauf Ihres (G)ATS Score (Score und Zeitpunkt)	„Ältere Stände“ wiederherstellen, Kurve auf der Score-Seite
Stellen, die Sie anlegen: Titel, Firma, Ort, Anzeigentext, Status, Daten, Notizen, Gehalt und unsere Analyse der Anzeige	Fassungen je Stelle, Sprach-Check, Board
Interview-Material: wahrscheinliche Fragen, Ihre Selbstvorstellung, Ihre Beispiele, Notizen zum Gesprächstag, Ihre Antworten im Mock Interview Trainer mit Rückmeldung	Vorbereitung auf Gespräche
Angebote, Gehaltswünsche, Verhandlungstexte, gespeicherte Notizen zu Nachfassen und Absagen	Angebots- und Nachfass-Funktionen
Assessment Trainer: bearbeitete Aufgaben, Ihre Antworten, Zeit je Aufgabe, Ergebnisse	Üben und Ihr Fortschritt
Ergebnisse und Funde des (G)ATS Score	Anzeigen und Beheben von Funden
Pass-Daten: Art, Beginn und Ende, Betrag, Zahlungsreferenz, ein Merkmal Ihres Zahlungsmittels (Abschnitt 11), Erstattungen	Freischalten des Passes, Geld zurück, Widerruf
Einwilligungsnachweise: wozu Sie zugestimmt haben, Textfassung, Zeitpunkt	Nachweis (Art. 7 Abs. 1 DSGVO)
Nutzungszähler je Tag und Funktion	Gratis-Grenzen und faire Nutzung
Fortschritt: Punkte, Stufe, Serie, Tagesaufgaben, Abzeichen	Serie und Belohnungen in der App
Ereignisse, etwa „Score angezeigt“, „App geöffnet“ (höchstens einmal je Tag) oder „Pass gekauft“, ohne Freitext und ohne IP-Adresse. Nach einem Widerruf fragen wir freiwillig, was gefehlt hat; Sie wählen aus festen Gründen, wir speichern nur den gewählten Grund, keinen Freitext	Sehen, wo es hakt, wer wiederkommt, das Produkt verbessern
Ihre Stimme zu einer KI-Antwort (Daumen hoch oder runter): Art der Antwort, ein Verweis auf das Stück (etwa die Stelle), Zeitpunkt, kein Text	Qualität unserer KI-Funktionen prüfen
Ihre Mail-Einstellungen (Abschnitt 12)	Nur die E-Mails schicken, die Sie wollen
Zeitpunkt Ihrer letzten Anmeldung	Löschen nach 12 Monaten ohne Anmeldung (Abschnitt 17)

Foto und andere freiwillige Felder: Foto, Geburtsdatum, Staatsangehörigkeit oder Familienstand sind in einem deutschen Lebenslauf nicht nötig. Diese Felder sind freiwillig. Wenn wir Ihren gespeicherten Lebenslauf an die KI schicken, lassen wir das Foto weg. Bitte tragen Sie keine Angaben zu Gesundheit, Religion, politischer Meinung, Gewerkschaftszugehörigkeit oder sexueller Orientierung in Ihre Unterlagen ein. Joblumi braucht sie nicht. Daten anderer Menschen: Nennen Ihre Unterlagen andere Menschen, etwa eine Referenz oder die Ansprechperson einer Anzeige, müssen Sie deren Daten verwenden dürfen. Wir verarbeiten sie nur, um Ihre Unterlagen zu erstellen.

PDF-Export: PDFs erzeugen wir mit Cloudflare Browser Rendering. Ihr Dokument wird dafür einige Sekunden verarbeitet und dort nicht gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für alle Funktionen. Ereignisse, Rückgabegrund und Stimmen zu KI-Antworten: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist die Verbesserung des Produkts. Letzte Anmeldung: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist, ungenutzte Konten nicht unbegrenzt zu speichern. Einwilligungsnachweise: Art. 6 Abs. 1 lit. c DSGVO mit Art. 7 Abs. 1 DSGVO.

Spracheingabe

Textfelder in der App haben einen Mikrofon-Knopf. Nach einem kurzen Hinweis und nur, wenn Sie ihn anklicken, nutzt die App die Spracherkennung Ihres Browsers. Dafür schickt Ihr Browser den Ton an seinen eigenen Anbieter (Google bei Chrome, Apple bei Safari, Microsoft bei Edge), nach dessen Datenschutzbedingungen. Joblumi erhält nur den erkannten Text, nie den Ton.

Arbeitgebern folgen

Folgen Sie einer Firma, speichern wir in Ihrem Konto, welchen Firmen Sie folgen. Das nutzen wir nur, um neue Stellen dieser Firmen zu prüfen und Ihnen davon in der App und per E-Mail zu berichten. Wir sagen einer Firma nie, dass Sie ihr folgen, und nutzen Ihre Liste für nichts anderes. Rechtsgrundlage: unser Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Sie können einer Firma jederzeit unter „Alerts“ und über den Link in jeder E-Mail nicht mehr folgen oder die E-Mails ändern oder abbestellen. Ihre Liste löschen wir, wenn Sie Ihr Konto löschen.

Um neue Stellen zu finden, rufen wir die öffentlichen Stellenlisten der Firmen einmal am Tag ab, ohne Daten über Sie. Wir speichern nur Stellentitel, Ort, Link und Datum und keine Namen von Ansprechpersonen (siehe auch joblumi.com/bot).

Ansprechpartner in Stellenanzeigen

Wenn Sie eine Stellenanzeige auf Ihr Board holen, kann sie Namen und Kontaktdaten einer Ansprechperson im Unternehmen enthalten. Wir speichern diese nur in Ihrem Board, damit Sie Ihre Bewerbung vorbereiten und nachfassen können. Niemand sonst sieht sie, und wir nutzen sie für nichts anderes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Ihr Interesse und das des Unternehmens an der Abwicklung der Bewerbung). Weil die Daten aus einer veröffentlichten Anzeige stammen und nur in Ihrem Board genutzt werden, informieren wir die Ansprechpersonen nicht einzeln (Art. 14 Abs. 5 lit. b DSGVO). Sie werden mit der Stelle oder Ihrem Konto gelöscht.

Firmen-Briefing

Mit einem Pass können Sie ein Briefing über die Firma hinter einer Stellenanzeige anfordern. Unser Abrufdienst JoblumiBot liest dafür bis zu 5 öffentliche Seiten der Website dieser Firma. Den Seitentext senden wir an unseren KI-Anbieter Anthropic (Abschnitt 9), um das Briefing zu schreiben. Die Seitentexte speichern wir nicht. Nur für Sie speichern wir die Adressen und Titel der Seiten und die Aussagen des Briefings, jede mit einem kurzen Zitat von der Seite der Firma. Wir löschen sie nach 30 Tagen, früher mit der Stelle oder Ihrem Konto.

Die Seiten können Personen nennen. Das Briefing nennt nur die Geschäftsführung oder andere Führungspersonen und die in der Anzeige genannte Ansprechperson, jeweils nur mit Name und Funktion. Andere Mitarbeitende nennt es nicht, Fotos und private Angaben verwendet es nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser und Ihr berechtigtes Interesse ist die Vorbereitung auf ein Gespräch mit Angaben, die die Firma selbst veröffentlicht hat. Die auf diesen Seiten genannten Personen informieren wir nicht einzeln, weil das unverhältnismäßigen Aufwand bedeuten würde (Art. 14 Abs. 5 lit. b DSGVO). Sie können jederzeit widersprechen oder die Löschung verlangen: hello@joblumi.com. Mehr zu JoblumiBot: joblumi.com/bot.

Browser-Erweiterung (Chrome)

Unsere Chrome-Erweiterung arbeitet nur, wenn Sie auf ihr Symbol klicken oder Alt+Shift+J drücken, und nur im Tab, den Sie offen haben. Im Hintergrund liest sie nichts, und sie hat keinen Zugriff auf andere Tabs oder Ihren Browserverlauf.

• In Joblumi speichern: Nach Ihrem Klick liest die Erweiterung den Text der Stellenanzeige auf dieser Seite. Haben Sie Text auf der Seite markiert, liest sie nur diesen. Auf LinkedIn, Indeed und StepStone liest sie nur die geöffnete Anzeige; findet sie dort keine, liest sie nichts und bittet Sie, den Text zu markieren. Auf anderen Seiten, etwa Karriereseiten, liest sie den Hauptbereich der Seite, wenn sie die Anzeige nicht findet, und sonst den sichtbaren Text der Seite, beides ohne Formulare, Auswahllisten, Cookie-Hinweise, Menüs und den Fuß der Seite. Speichern bietet sie nur an, wenn der Text nach einer einzelnen Stellenanzeige aussieht. Wenn Sie auf „In Joblumi speichern“ klicken, schickt sie diesen Text und die Adresse der Seite (ohne Tracking-Teile) an Ihr Konto. Sonst geht nichts von der Seite an uns. Ist der Text keine Stellenanzeige, speichern wir ihn nicht. Sonst speichern wir die Stelle auf Ihrem Board wie eine Stelle, die Sie in der App hinzufügen (Tabelle oben, KI-Auswertung wie in Abschnitt 9). Nennt die Anzeige eine Kontaktperson, gilt der Abschnitt „Ansprechpartner in Stellenanzeigen“.
• Schon gespeichert: Nach Ihrem Klick schickt die Erweiterung von selbst die Adresse der Seite an Ihr Konto und erhält nur den Status Ihrer eigenen Karte zurück, um zu zeigen, ob Sie diese Stelle schon gespeichert haben.
• Schnell-Check: Wenn Sie auf „Passung zu dieser Anzeige prüfen“ klicken, vergleichen wir die gespeicherte Stelle mit Ihrem Lebenslauf, wie in der App (Abschnitt 9).
• Dieses Formular ausfüllen: Wenn Sie auf „Dieses Formular ausfüllen“ klicken, lädt die Erweiterung Ihren Joblumi-Lebenslauf. In leere Felder des Formulars auf dieser Seite setzt sie nur Name, E-Mail, Telefon, Ort, LinkedIn-Profil und, wo es ein Datumsfeld dafür gibt, Ihren frühesten Eintrittstermin ein. In Auswahllisten wählt sie nur Ländervorwahl, Land, Ort, Kündigungsfrist und frühesten Eintrittstermin (auch als Datum oder Monat), und nur aus Ihrem Lebenslauf und den Angaben, die Sie selbst in Ihrem Profil gesetzt haben; andere Fragen beantwortet sie nie, und Einwilligungen gibt sie nie für Sie ab. Hat das Formular ein Feld für den Lebenslauf, erstellt Joblumi Ihren Lebenslauf als PDF (Abschnitt 8, PDF-Export), und die Erweiterung hängt es an. Das PDF enthält Ihren ganzen Lebenslauf, auch ein Foto, falls Sie eines hinzugefügt haben. Die Erweiterung schickt das Formular nie ab: Sie prüfen es und senden es selbst. Nichts aus dem Formular geht an Joblumi. Was Sie absenden, geht an den Arbeitgeber oder sein Bewerbungsportal, nach deren Datenschutzbedingungen.

Wir bieten die Erweiterung im Chrome Web Store an, den Google Ireland Limited betreibt. Wenn Sie sie installieren oder aktualisieren, verarbeitet Google Daten als eigener Verantwortlicher nach seiner Datenschutzerklärung (policies.google.com/privacy). Von Google erhalten wir nur zusammengefasste Zahlen, etwa die Zahl der Installationen.

Die Erweiterung spricht nur mit joblumi.com. Nachdem Sie sich bei Joblumi angemeldet haben, holt sie einmal einen eigenen Anmeldeschlüssel, der 30 Tage gilt und nur für die Funktionen der Erweiterung; wir speichern davon nur einen Fingerabdruck (Hash). Abmelden in der App, „Überall abmelden“ und das Löschen des Kontos widerrufen ihn. Bis sie diesen Schlüssel hat, nutzt sie Ihre Joblumi-Anmeldung (das Anmelde-Cookie, Abschnitt 7). Beim Öffnen des Seitenpanels fragt sie bei Ihrem Konto ab, ob Sie angemeldet sind, einen Pass haben und welche App-Sprache Sie gewählt haben. Den gelesenen Text behält sie nur im offenen Seitenpanel, bis Sie ihn speichern. Sie enthält kein Tracking und keine Werbung und lädt keinen Code von außerhalb ihres Pakets. In Ihrem Browser speichert sie nur ihre Einstellung (welche Joblumi-Adresse sie nutzt), ihren Anmeldeschlüssel, Ihre App-Sprache und, bis Sie den Browser schließen, welchen Tab Sie angeklickt haben.

Daten aus der Erweiterung nutzen wir nur für die hier beschriebenen Funktionen. Wir verkaufen sie nicht, nutzen sie nicht für Werbung oder Bonitätsprüfungen und geben sie nur an die Auftragsverarbeiter aus Abschnitt 15 weiter. Niemand bei Joblumi liest sie, außer Sie bitten uns darum, oder aus Gründen der Sicherheit oder wegen gesetzlicher Pflichten. Unser Umgang mit diesen Daten folgt der Chrome Web Store User Data Policy, einschließlich der Anforderungen zu Limited Use. Alle Übertragungen laufen verschlüsselt (HTTPS).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für Kontaktpersonen in Anzeigen Art. 6 Abs. 1 lit. f DSGVO (siehe oben). Das Lesen der Seite und die Einträge der Erweiterung in Ihrem Browser sind für die Funktion, die Sie aufrufen, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können die Erweiterung jederzeit unter chrome://extensions entfernen. Dabei werden auch ihre Einträge in Ihrem Browser gelöscht. Gespeicherte Stellen bleiben in Ihrem Konto, bis Sie sie löschen.

9. KI-Funktionen (Anthropic)

Welche Funktionen KI nutzen: Einlesen eines hochgeladenen Lebenslaufs, der Inhalts- und Sprachteil des (G)ATS Score, Sprach-Check und Analyse von Stellenanzeigen, „Mit KI verbessern“, Übersetzung zwischen Deutsch und Englisch, Fassungen je Stelle, Anschreiben, wahrscheinliche Interviewfragen, das Firmen-Briefing, Ihre Selbstvorstellung, die Rückmeldung des Mock Interview Trainers, Ask Lumi und die übrigen Schreibhilfen der App. Jeder KI-Text ist als „Mit KI-Unterstützung geschrieben“ gekennzeichnet. Der Format- und Lesbarkeitsteil des (G)ATS Score und die Aufgaben des Assessment Trainers laufen ohne KI auf Ihren Daten: Die Aufgaben sind vorab erstellt, Ihre Antworten prüft unser eigener Code.

Gleiches Dokument, gleicher Score: Damit dasselbe Dokument immer denselben (G)ATS Score bekommt, speichern wir eine Prüfsumme seines Inhalts mit den Bewertungsstufen der KI. Wir speichern keinen Text und keinen Bezug zu Ihrem Konto und löschen das nach 90 Tagen. Für Job match gilt dasselbe für eine Stellenanzeige und einen Lebenslauf: Wir speichern eine Prüfsumme beider mit den Anforderungszeilen, die die KI in der Anzeige gefunden hat, und deren Stufen (gezeigt, teilweise, fehlt). Wir speichern keinen Lebenslauftext und keinen Bezug zu Ihrem Konto und löschen das nach 90 Tagen.

Was übermittelt wird: der für die Aufgabe nötige Inhalt, etwa Ihr Lebenslauf und die Stellenanzeige. Ihr Lebenslauf enthält meist Ihren Namen und Ihre Kontaktdaten. Ihre Konto-E-Mail oder Konto-ID schicken wir nicht gesondert mit. Übersetzen Sie einen Lebenslauf, gehen seine Texte an die KI. Fügen Sie beim Anschreiben ein Muster-Anschreiben als Vorlage ein, geht sein Text mit an die KI; das Muster speichern wir nicht.

Ask Lumi: Ihre Nachricht an Lumi geht mit den nötigen Angaben aus Ihrem Konto (etwa Ihre Stellen und Ihr nächster Schritt) an Anthropic. Damit Sie ein Gespräch fortsetzen können, speichern wir die letzten 40 Nachrichten bei Cloudflare in der EU. Mit „Neues Gespräch“ leeren Sie den Verlauf; mit Ihrem Konto wird er gelöscht. Er ist Teil von „Alle meine Daten herunterladen“.

LinkedIn-Profil-Check: Den Text, den Sie aus Ihrem LinkedIn-Profil einfügen, prüft die App zuerst nur in Ihrem Browser. Erst wenn Sie Vorschläge anfordern, geht er an Anthropic. Wir speichern ihn nicht und rufen LinkedIn nie selbst ab.

Anbieter: Anthropic Ireland, Limited, als unser Auftragsverarbeiter mit Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Anthropic verarbeitet die Daten in den USA. Einen Verarbeitungsort in der EU gibt es nicht.

Übermittlung in die USA: auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Teil des Auftragsverarbeitungsvertrags von Anthropic sind.

Kein Training: Die Geschäftsbedingungen von Anthropic verbieten Anthropic, seine Modelle mit Inhalten unserer Kundschaft zu trainieren.

Speicherung bei Anthropic: Anthropic löscht Ein- und Ausgaben automatisch innerhalb von 30 Tagen. Markieren seine automatischen Sicherheitssysteme einen Inhalt als Verstoß gegen seine Nutzungsrichtlinie, kann Anthropic ihn bis zu 2 Jahre aufbewahren.

Unser Gateway: Im Live-Betrieb laufen KI-Anfragen über das Cloudflare AI Gateway. Die Protokollierung ist dort ausgeschaltet: Das Gateway speichert weder den Inhalt noch andere Angaben zu den Anfragen. Unsere Tagesgrenzen zählen wir in unserer eigenen Datenbank.

Jedes Ergebnis prüfen: KI kann Fehler machen. Prüfen Sie jede Zeile, bevor Sie sie verschicken.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Keine automatisierten Entscheidungen über Sie

Joblumi trifft keine Entscheidungen über Sie, die rechtliche Wirkung haben oder Sie ähnlich erheblich beeinträchtigen (Art. 22 DSGVO). Der (G)ATS Score bewertet ein Dokument nach veröffentlichten Regeln. Assessment Trainer und Mock Interview Trainer bewerten Ihre Übungsantworten für Sie. Das sind Vorschläge für Sie, keine Entscheidungen über Sie. Scores und Ergebnisse geben wir weder an Arbeitgeber noch an andere weiter. Sie entscheiden, was Sie verschicken. Bekommt ein neues Konto wegen der Netz-Grenze keine Gratis-KI-Läufe (Abschnitt 7), betrifft das nur eine kostenlose Zusatzleistung, und Sie können uns bitten, das von Hand zu prüfen.

11. Kauf eines Passes (Stripe und Link)

So funktioniert es: Pässe werden über Stripe Managed Payments verkauft. Sold Through Link, LLC, ein Unternehmen der Stripe-Gruppe („Link“), tritt als Wiederverkäufer auf. Sie bezahlen auf einer Kassenseite von Stripe.

Was wir an Stripe übermitteln: Ihre Konto-ID, Ihre E-Mail-Adresse und den gewählten Pass.

Was Stripe und Link selbst erheben: Ihre Zahlungsdaten, Ihr Rechnungsland und weitere Daten, die sie für Zahlung, Steuer, Betrugsvorbeugung und Belege brauchen. Bei Zahlungen aus Europa wickelt Stripe Technology Europe, Limited (Irland) die Transaktion ab. Stripe und Link sind für diese Daten eigene Verantwortliche. Es gilt deren Datenschutzerklärung: stripe.com/de/privacy.

Was wir zurückbekommen: ob die Zahlung geklappt hat, den Betrag, eine Zahlungsreferenz, Hinweise auf Erstattungen oder Rückbuchungen und ein Merkmal Ihres Zahlungsmittels, das Stripe liefert (bei Karten ein Fingerabdruck). Es verrät Ihre Kartennummer nicht. Ihre vollständige Kartennummer erhalten wir nie.

Warum wir das Zahlungsmerkmal speichern: Unsere Geld-zurück-Zusage erstattet den vollen Preis einmal je Konto und einmal je Zahlungsmittel (siehe unsere AGB, Abschnitt 7). Das Merkmal nutzen wir nur, um diese Grenze zu prüfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist, Missbrauch einer freiwilligen Zusage zu verhindern.

Wir speichern kein Zahlungsmittel. Speichern Sie Ihre Daten in einem Link-Konto, ist das eine Sache zwischen Ihnen und Link.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wenn Sie widerrufen: Wir speichern Ihren Namen, die E-Mail-Adresse des Kaufs, die Bestellnummer, wenn Sie sie angeben, den Zeitpunkt Ihres Widerrufs und die Bestätigung, die wir Ihnen geschickt haben. Diesen Nachweis behalten wir auch nach dem Löschen Ihres Kontos und löschen ihn 3 Jahre nach Ende des Jahres, in dem Sie widerrufen haben. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO (Nachweis des Widerrufs gegenüber Ansprüchen, Verjährung nach §§ 195, 199 BGB); von der Löschung ausgenommen nach Art. 17 Abs. 3 lit. e DSGVO.

Wenn Sie kündigen: Kündigen Sie über unsere Kündigungsseite (/cancel), speichern wir Ihren Namen, die E-Mail-Adresse des Kaufs, die Bestellnummer und den Grund, wenn Sie sie angeben, das gewünschte Vertragsende, die Sprache und den Zeitpunkt des Eingangs. Diesen Nachweis nach § 312k BGB behalten wir auch nach dem Löschen Ihres Kontos und löschen ihn 3 Jahre nach Ende des Jahres des Eingangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO. Die Bestätigung schicken wir an die angegebene Adresse, höchstens 2 je Adresse und Tag; für diesen Zähler speichern wir die Adresse nur als Hashwert.

12. E-Mails zum Dienst

E-Mails, die zum Dienst gehören, schicken wir über Cloudflare Email Service (unser Auftragsverarbeiter):

• Anmelde-Codes,
• Kaufbestätigung mit Vertragsangaben und Widerrufsbelehrung,
• Bestätigung einer Erstattung, eines Widerrufs oder einer Kündigung,
• Bestätigung, dass Ihr Konto gelöscht ist,
• eine E-Mail nach dem Anlegen Ihres Kontos, dass Ihr Plan gespeichert ist,
• Bestätigungscodes zum Löschen Ihres Kontos und zum Ändern Ihrer E-Mail-Adresse (je ein Code an die alte und die neue Adresse; gültig 10 Minuten; wir speichern nur einen Hashwert),
• eine E-Mail bei einer Anmeldung auf einem neuen Gerät (Abschnitt 7),
• eine Nachricht, wenn eine Zahlung nicht durchgegangen ist,
• Hinweise vor dem Ende Ihres Passes (höchstens zwei, in seinen letzten 5 Tagen, mit dem Weg, weitere Tage dazuzunehmen) und dass er geendet hat, solange Sie „Dein Pass endet bald“ in den Einstellungen nicht abschalten,
• beim 90-Tage-Pass an Tag 30 und Tag 60 Ihr Stand in Zahlen,
• eine Vorwarnung, bevor wir ein Konto nach 12 Monaten ohne Anmeldung löschen (Abschnitt 17),
• nur wenn Sie sie einschalten: eine Erinnerung an Ihren nächsten Schritt (höchstens eine am Tag, keine, wenn Sie an dem Tag schon in Joblumi waren) und ein Wochenrückblick am Sonntag,
• Hinweise auf neue Stellen bei Firmen, denen Sie folgen, wenn Sie sie eingeschaltet haben (keine Werbung),
• eine wöchentliche Erinnerung zu gefolgten Firmen, die wir nicht automatisch prüfen können, wenn Sie sie eingeschaltet haben (keine Werbung).

Ihre Mail-Einstellungen. In den Einstellungen schalten Sie die Erinnerung, den Wochenrückblick, „Dein Pass endet bald“ und die E-Mails zu gefolgten Firmen ein oder aus. Erinnerung und Wochenrückblick sind aus, bis Sie sie einschalten. Wir speichern Ihre Wahl mit dem Zeitpunkt der letzten Änderung, bis Sie Ihr Konto löschen. Keine dieser E-Mails enthält Werbung.

Wöchentliche Erinnerung. Manche Firmen bieten keine öffentliche Stellenliste an, deshalb kann Joblumi sie nicht prüfen. Schalten Sie „Wöchentliche Erinnerung für Arbeitgeber ohne Benachrichtigung“ ein (standardmäßig aus), schicken wir Ihnen einmal pro Woche, immer am selben Wochentag, eine E-Mail mit Links zu den offiziellen Karriereseiten dieser Firmen. Die E-Mail enthält nur die Firmennamen, die Links, den Grund für die E-Mail und Links zum Abschalten und Verwalten. Keine Werbung, keine Angebote. Folgen Sie keiner solchen Firma, schicken wir nichts. Klicken Sie 8 Wochen lang keinen Link an, fragen wir einmal, ob die Erinnerung weiterlaufen soll, sonst schalten wir sie ab. Sie können sie in jeder E-Mail mit einem Klick ohne Anmeldung oder in Ihren Einstellungen abschalten. Um Ihre Wahl belegen zu können, speichern wir, wann Sie die Erinnerung ein- und ausgeschaltet haben und welche Fassung des Einstellungstextes Sie gesehen haben. Rechtsgrundlage: unser Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO); für den Nachweis unser berechtigtes Interesse, Ihre Wahl belegen zu können (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Kauf-, Widerrufs- und Kündigungsbestätigungen sind auch gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO; §§ 312f, 312k, 356a BGB).

13. Newsletter

Nur mit Ihrer Einwilligung: Sie können sich auf unserer Newsletter-Seite anmelden oder beim Anlegen Ihres Kontos „Schickt mir Tipps zur Jobsuche per E-Mail“ ankreuzen. Wir speichern dann Ihre E-Mail-Adresse, Datum und Uhrzeit und wo Sie sich angemeldet haben (zum Beispiel die Newsletter-Seite oder ein Link aus einer unserer Nachrichten in sozialen Medien). Vor dem ersten Newsletter schicken wir Ihnen eine Bestätigungs-E-Mail (Double-Opt-in). Erst nach Ihrer Bestätigung erhalten Sie eine Willkommensreihe (7 E-Mails in den ersten 14 Tagen) und danach einen Newsletter pro Woche.

Anbieter: Den Newsletter verschicken wir mit Brevo (Sendinblue-Gruppe, Frankreich) als Auftragsverarbeiter (Art. 28 DSGVO), die Daten liegen in der EU. Brevo verschickt auch die Bestätigungs-E-Mail und speichert den Nachweis Ihrer Bestätigung.

Messung von Öffnungen und Klicks: Mit Ihrer Einwilligung in den Newsletter willigen Sie auch ein, dass wir messen, ob Sie unsere E-Mails öffnen und welche Links Sie anklicken. Dazu enthält jede E-Mail ein winziges unsichtbares Bild, das beim Öffnen geladen wird, und die Links laufen zuerst über Brevo (em.joblumi.com). Wir sehen das je Empfänger:in und nutzen es, um zu erkennen, welche Themen helfen, und um Adressen, die unsere E-Mails nie öffnen, nicht weiter anzuschreiben. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Wenn Sie die E-Mails ohne diese Messung möchten, können Sie in Ihrem E-Mail-Programm Bilder sperren; Links laufen dann trotzdem über Brevo. Mit der Abmeldung endet die Messung.

Abmelden: Jeder Newsletter enthält einen Abmeldelink. Sie können auch an hello@joblumi.com schreiben. Nach der Abmeldung behalten wir Ihre E-Mail-Adresse auf einer Sperrliste und den Nachweis Ihrer Einwilligung bis zu 3 Jahre, damit wir Ihre Entscheidung beachten und Ihre frühere Zustimmung belegen können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Sperrliste und Nachweis: Art. 6 Abs. 1 lit. f DSGVO.

14. Angebote an Kund:innen

Wenn Sie einen Pass kaufen, können wir Ihnen auch ohne Newsletter-Einwilligung E-Mails zu eigenen ähnlichen Produkten schicken, etwa zu einem neuen Pass (§ 7 Abs. 3 UWG). Sie können dem jederzeit widersprechen, über den Link in jeder solchen E-Mail oder per Nachricht an hello@joblumi.com. Dafür entstehen keine anderen als die Übermittlungskosten nach den Basistarifen.

Sobald wir solche E-Mails starten, tragen wir dafür Ihre E-Mail-Adresse bei Brevo (Abschnitt 13) ein, mit der Angabe, ob Ihr Pass läuft und wie viele Tage er hat. Endet Ihr Pass, vermerken wir das dort.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist Direktwerbung an unsere Kundschaft.

15. Wer Ihre Daten erhält

Empfänger	Rolle	Wofür
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA	Auftragsverarbeiter (Art. 28 DSGVO); für die Verbesserung von Turnstile eigener Verantwortlicher	Hosting, Datenbank in der EU, Dateispeicher (R2), AI Gateway, PDF-Erstellung, E-Mails zum Dienst, Weiterleitung von E-Mails an hello@joblumi.com (Email Routing), Turnstile
Anthropic Ireland, Limited	Auftragsverarbeiter (Art. 28 DSGVO)	KI-Funktionen
Sold Through Link, LLC und Unternehmen der Stripe-Gruppe	eigene Verantwortliche	Zahlung, Steuer, Belege, Support zur Zahlung
Google Ireland Limited (Google Workspace)	Auftragsverarbeiter (Art. 28 DSGVO)	Postfach für E-Mails an hello@joblumi.com und Antworten
Google Ireland Limited (Google Analytics 4)	Auftragsverarbeiter (Art. 28 DSGVO)	Statistik der Website, nur mit Ihrer Einwilligung
Meta Platforms Ireland Limited	Gemeinsam verantwortlich für Erheben und Übermitteln (Art. 26 DSGVO), danach eigener Verantwortlicher	Werbemessung, nur mit Ihrer Einwilligung
LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland	eigener Verantwortlicher	Nur wenn Sie im Einstieg „Mit LinkedIn verbinden“ nutzen: Anmeldung bei LinkedIn, Übermittlung von Name und E-Mail an uns (Abschnitt 6)
Brevo (Sendinblue-Gruppe), Frankreich	Auftragsverarbeiter (Art. 28 DSGVO)	Newsletter und Angebote an Kund:innen, sobald wir sie starten
Hetzner Online GmbH, Gunzenhausen, Deutschland (Speicherort Falkenstein)	Auftragsverarbeiter (Art. 28 DSGVO)	Verschlüsselte Sicherungskopie unserer Datenbank und hochgeladener Dateien, höchstens 30 Tage; der Schlüssel liegt nie bei Hetzner

Wir verkaufen Ihre Daten nie und geben sie nie an Arbeitgeber, Personalvermittler oder Datenhändler. An Behörden geben wir Daten nur, wenn das Gesetz es verlangt.

16. Übermittlung in Länder außerhalb der EU

Anbieter	Land	Grundlage der Übermittlung
Cloudflare	USA (gespeicherte Daten bleiben in der EU; Anfragen werden weltweit bearbeitet)	EU-US Data Privacy Framework (Art. 45 DSGVO); Standardvertragsklauseln als Rückfall
Anthropic	USA	Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Stripe und Link	unter anderem USA	EU-US Data Privacy Framework, laut Datenschutzerklärung von Stripe
Google (Workspace)	EU, Übermittlung in die USA möglich	EU-US Data Privacy Framework; Standardvertragsklauseln als Rückfall
Brevo	EU	keine Übermittlung
LinkedIn	verarbeitet in eigener Verantwortung auch in den USA	nach der Datenschutzrichtlinie von LinkedIn; von Joblumi geht nur die Anfrage zur Anmeldung dorthin
Google (Analytics) und Meta (Pixel)	USA möglich	EU-US Data Privacy Framework (Art. 45 DSGVO)

Die Europäische Kommission hat festgestellt, dass die USA für Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind, ein angemessenes Schutzniveau bieten (Angemessenheitsbeschluss vom 10. Juli 2023). Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage bei uns.

17. Wie lange wir Daten speichern

Daten	Wie lange
Antworten, Entwürfe und Einstellungen in Ihrem Browser	bis Sie ein Konto anlegen oder Ihre Browserdaten löschen
Name und E-Mail aus LinkedIn	bei uns höchstens 5 Minuten im Cookie jl_li, danach nur in Ihrem Browser bzw. Konto
Hochgeladene Lebenslauf-Datei	ohne Konto bei uns nicht gespeichert; in der App bis zum Ende des Einlesens, spätestens 24 Stunden; bei Anthropic bis 30 Tage (bis 2 Jahre bei Markierung, Abschnitt 9)
Konto und alles darin (Unterlagen, Stellen, Interview- und Assessment-Daten, Pass-Daten, Einwilligungsnachweise)	bis Sie Ihr Konto löschen. Melden Sie sich 12 Monate nicht an, schreiben wir Ihnen; 30 Tage später löschen wir das Konto
Firmen-Briefing (Adressen, Titel, Aussagen mit Zitat)	30 Tage, früher mit der Stelle oder Ihrem Konto
Widerrufsnachweis (Name, Kauf-E-Mail, Bestellnummer falls angegeben, Zeitpunkt, Bestätigung)	3 Jahre nach Ende des Jahres des Widerrufs, auch nach Löschen des Kontos
Kündigungsnachweis (Name, Kauf-E-Mail, Bestellnummer und Grund falls angegeben, Vertragsende, Sprache, Zeitpunkt)	3 Jahre nach Ende des Jahres des Eingangs, auch nach Löschen des Kontos
Datenbank-Verlauf (Cloudflare D1 Time Travel)	30 Tage, dann überschrieben
Ereignisse	solange Ihr Konto besteht; beim Löschen entfernen wir den Bezug zu Ihnen. Ereignisse ohne Bezug zu einem Konto löschen wir nach 14 Monaten
Ältere Stände eines Lebenslaufs	die letzten 10, bis Sie den Lebenslauf oder Ihr Konto löschen
Ask-Lumi-Verlauf	die letzten 40 Nachrichten, bis Sie ein neues Gespräch beginnen oder Ihr Konto löschen
Stimmen zu KI-Antworten, Mail-Einstellungen, letzte Anmeldung	bis Sie Ihr Konto löschen
Bestätigungscodes (nur Hashwert, gültig 10 Minuten)	zum Löschen des Kontos: bis zum nächsten täglichen Löschlauf nach Ablauf; zur Änderung der E-Mail-Adresse: bis Sie den Code nutzen oder einen neuen anfordern
Sicherungskopien der Datenbank und Dateien	höchstens 30 Tage
Hashwert der E-Mail bei der Code-Grenze	kurze Zeit
Anmeldedaten (Zeitpunkt, User-Agent)	bis zum Ende der Sitzung, höchstens 30 Tage
Zählung neuer Anmeldungen	30 Tage
Vermerk über eine Warnung (geteiltes Konto)	12 Monate
Netz-Kennung mit Zähler neuer Konten (Schutz des Gratisangebots)	etwa ein Tag; der Tagesschlüssel wird nach Ablauf des Tages gelöscht
Score-Speicher (Prüfsumme eines Dokuments und seine Bewertungsstufen, kein Text, kein Kontobezug)	90 Tage
Server-Protokolle	bis zu 7 Tage
Firmen, denen Sie folgen	bis Sie nicht mehr folgen oder Ihr Konto löschen
Stellenliste gefolgter Firmen (Titel, Ort, Link, Datum)	bis 30 Tage nachdem die Stelle nicht mehr ausgeschrieben ist
Wöchentliche Erinnerung: Nachweis über Ein- und Ausschalten (Zeitpunkt, Textfassung)	solange die Funktion oder Ihr Konto besteht, danach 3 Jahre nach Ende dieses Jahres, gesperrt für jede andere Nutzung
Ereignisdaten in Google Analytics	2 Monate; Cookies wie in der Tabelle in Abschnitt 3
Daten des Meta Pixels	Meta legt die Dauer fest; Cookies wie in der Tabelle in Abschnitt 3
Newsletter-Wunsch und Einwilligung	bis zur Abmeldung; Sperrliste und Nachweis bis 3 Jahre danach
Öffnungen und Klicks in unseren E-Mails	bis zur Abmeldung, höchstens 2 Jahre
E-Mails an uns und Nachrichten über das Kontaktformular	bis die Sache erledigt ist, außer wir müssen sie länger aufbewahren

Wenn Sie Ihr Konto löschen, löschen wir alle Daten in Ihrem Konto sofort. Wir behalten nur die Nachweise zu Ihren Pässen, Ihren Zustimmungen (etwa zum sofortigen Start des Passes), Erstattungen, Widerrufen und den Nachweis zur wöchentlichen Erinnerung, gesperrt für jede andere Nutzung, um unsere Verträge zu belegen und die Grenze der Geld-zurück-Zusage anzuwenden (Art. 6 Abs. 1 lit. c und f DSGVO). Diese Nachweise löschen wir 3 Jahre nach Ende des Jahres, in dem Sie Ihr Konto löschen. Stripe und Link behalten ihre eigenen Zahlungsunterlagen nach ihren eigenen gesetzlichen Pflichten. Nach 30 Tagen sind die übrigen gelöschten Daten auch aus dem Datenbank-Verlauf verschwunden.

18. Ihre Rechte

Sie haben das Recht,

• Auskunft über Ihre Daten und eine Kopie zu bekommen (Art. 15 DSGVO),
• falsche Daten berichtigen zu lassen (Art. 16 DSGVO),
• Ihre Daten löschen zu lassen (Art. 17 DSGVO),
• die Verarbeitung einschränken zu lassen (Art. 18 DSGVO),
• Ihre Daten in einem gängigen maschinenlesbaren Format mitzunehmen (Art. 20 DSGVO),
• eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).

Das meiste erledigen Sie selbst auf der Seite „Konto“ in der App: „Alle meine Daten herunterladen“ liefert eine Datei mit allen Ihren Daten (JSON). „Konto löschen“ löscht Ihr Konto sofort. Für alles andere schreiben Sie an hello@joblumi.com. Wir können Sie bitten, Ihre Identität zu bestätigen, etwa über die E-Mail-Adresse Ihres Kontos.

Ihr Widerspruchsrecht (Art. 21 DSGVO)

Verarbeiten wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir hören dann auf, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient Rechtsansprüchen.

Der Direktwerbung können Sie jederzeit ohne Begründung widersprechen. Wir nutzen Ihre Daten dann nicht mehr dafür.

Für Ihren Widerspruch schreiben Sie an hello@joblumi.com oder nutzen den Link in der E-Mail.

19. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, besonders in dem EU-Land, in dem Sie leben oder arbeiten oder in dem der Verstoß vermutlich stattgefunden hat (Art. 77 DSGVO). Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit Postfach 3163, 65021 Wiesbaden poststelle@datenschutz.hessen.de

20. Müssen Sie uns Daten geben?

Unsere Website und den Fragebogen unter /start können Sie nutzen, ohne uns personenbezogene Daten zu geben. Für ein Konto brauchen Sie eine E-Mail-Adresse. Lebenslauf, Foto und die übrigen Angaben sind freiwillig, manche Funktionen gehen aber nicht ohne sie. Ohne Konto können Sie keine Unterlagen herunterladen und keinen Pass kaufen.

21. Mindestalter

Joblumi ist für Menschen ab 16 Jahren. Daten von Kindern unter 16 verarbeiten wir nicht wissentlich.

22. Sicherheit

Wir nutzen verschlüsselte Verbindungen (TLS). Schlüssel unserer Dienste liegen als geschützte Geheimnisse vor, nie in unserem Code. Für alle Konten bei Dienstleistern nutzen wir Zwei-Faktor-Anmeldung. Unsere KI-Anbieter behandeln Ihren Lebenslauf und Stellenanzeigen als Daten, nicht als Anweisungen. Lebenslauf-Inhalte und E-Mail-Adressen schreiben wir nicht in unsere Protokolle.

23. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Dienste oder das Recht ändern. Das Datum oben zeigt die aktuelle Fassung. Betrifft eine Änderung, wie wir bereits erhaltene Daten nutzen, informieren wir Sie vorher per E-Mail.

24. Sprachfassungen

Diese Erklärung gibt es auf Deutsch und auf Englisch (Privacy Policy). Beide haben denselben Inhalt. Weichen sie voneinander ab, gilt die Fassung in der Sprache, in der Sie Joblumi nutzen: Deutsch, wenn die App auf Deutsch eingestellt ist, sonst Englisch.