Datenschutzerklärung

Verantwortlicher (Art. 4 Nr. 7 DSGVO)

Simon Grammel
Am Schwaigfeld 13a
82061 Neuried
Deutschland
E-Mail: info@midvalla.ai

1. Worum es hier geht

Diese Datenschutzerklärung informiert dich darüber, welche personenbezogenen Daten Midvalla verarbeitet, zu welchem Zweck und welche Rechte du hast. Bewerbungsdaten sind besonders sensibel — Datensparsamkeit ist deshalb ein Grundprinzip dieser Plattform: Wir erheben nur, was für die Funktionen nötig ist, verkaufen keine Daten und schalten keine Werbung.

2. Hosting (Vercel)

Diese Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Beim Aufruf der Seiten verarbeitet Vercel technisch notwendige Verbindungsdaten (insbesondere IP-Adresse, Zeitpunkt des Abrufs, aufgerufene Seite, Browser-Kennung) in Server-Logs, um die Website auszuliefern und die Sicherheit des Betriebs zu gewährleisten. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Vercel ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen EU-Standardvertragsklauseln.

3. Konto, Profil und Bewerbungsdaten (Supabase)

Wenn du ein Konto anlegst, speichern wir deine E-Mail-Adresse und dein (verschlüsselt abgelegtes) Passwort. Die Daten, die du in dein Profil einträgst — z. B. Berufserfahrung, Ausbildung, Fähigkeiten, Kontaktdaten — sowie deine erstellten Lebensläufe, Anschreiben und Einträge im Bewerbungstracker speichern wir, damit du die Funktionen der Plattform nutzen kannst. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Datenbank und Anmeldung betreibt unser Auftragsverarbeiter Supabase; die Daten liegen in der Region Frankfurt am Main (EU). Der Zugriff ist technisch durch Row Level Security abgesichert: Jeder Nutzer kann nur die eigenen Daten lesen und ändern.

Optional kannst du dich mit deinem Google-Konto anmelden. Dabei erhalten wir von Google deine E-Mail-Adresse; es gelten ergänzend die Datenschutzhinweise von Google.

4. KI-Funktionen (Anthropic)

Für die KI-Funktionen (Lebenslauf- und Anschreiben-Erstellung, Profil-Chat, Bewerbungscoach, CV-Import, Stellenanzeigen-Import, Matching-Score, Priorisierung von Suchtreffern, Mehrwert-Analyse „Deine Argumente“) übermitteln wir die dafür nötigen Inhalte — z. B. deine Profildaten oder eine von dir bereitgestellte Stellenanzeige — an die Claude-API von Anthropic (Anthropic PBC, USA). Die Übermittlung erfolgt nur, wenn du eine KI-Funktion aktiv nutzt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Anthropic verwendet über die API übermittelte Daten nach eigenen Angaben nicht zum Training seiner Modelle und speichert sie nur befristet zur Missbrauchskontrolle. Für die Übermittlung in die USA bestehen EU-Standardvertragsklauseln; Anthropic ist zudem unter dem EU-US Data Privacy Framework zertifiziert.

Der öffentliche Arbeitszeugnis-Check (ohne Konto nutzbar) funktioniert genauso: Der von dir eingefügte Zeugnistext wird ausschließlich für die Analyse an die Claude-API übermittelt und von uns nicht gespeichert; wir erfassen nur anonyme technische Werte (z. B. Textlänge, Dauer, Kosten). Zur Begrenzung auf drei Analysen pro Tag setzen wir ein technisch notwendiges Cookie mit einem Tageszähler — ohne Personenbezug (Art. 6 Abs. 1 lit. f DSGVO).

Auch beim öffentlichen Lebenslauf-Check wird die hochgeladene Datei ausschließlich im Arbeitsspeicher verarbeitet, für die Analyse an die Claude-API übermittelt und von uns nicht gespeichert. Ohne Konto bewahren wir nur das Prüfergebnis (Score und Befunde) für 24 Stunden auf und löschen es dann automatisch; mit Konto bleibt der Report bis zur Löschung durch dich gespeichert. Auch hier begrenzt ein technisch notwendiges Zähler-Cookie die anonyme Nutzung (Art. 6 Abs. 1 lit. f DSGVO). Bitte lade nur eigene Unterlagen hoch.

Der öffentliche LinkedIn-Profil-Check folgt denselben Regeln: Der hochgeladene PDF-Export deines LinkedIn-Profils wird ausschließlich im Arbeitsspeicher verarbeitet, für die Analyse an die Claude-API übermittelt und von uns nicht gespeichert; gespeichert wird nur das Ergebnis (ohne Konto: 24 Stunden, danach automatische Löschung). Ein technisch notwendiges Zähler-Cookie begrenzt die anonyme Nutzung (Art. 6 Abs. 1 lit. f DSGVO). Bitte lade nur den Export deines eigenen Profils hoch. Midvalla steht in keiner Verbindung zu LinkedIn.

5. Jobsuche (Bundesagentur für Arbeit)

Die Jobsuche nutzt die öffentliche Jobsuche-API der Bundesagentur für Arbeit. Dabei werden deine Suchparameter (z. B. Stichwort, Ort, Umkreis) an die Bundesagentur übermittelt — ohne deinen Namen oder deine Kontodaten.

6. Zahlungsabwicklung (Stripe)

Wenn du ein Premium-Abo abschließt, läuft die Zahlung über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland; Muttergesellschaft: Stripe, Inc., USA). Deine Zahlungsdaten (z. B. Kartennummer oder Bankverbindung, Name, E-Mail-Adresse, Rechnungsbetrag) gibst du direkt auf den Seiten von Stripe ein — sie erreichen unsere Server nicht. Wir speichern lediglich eine Kunden- und Abo-Kennung von Stripe, den Abo-Status und das Laufzeitende, um dein Premium freizuschalten.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für Rechnungs- und Buchungsdaten bestehen zudem gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB) — diese Daten überdauern deshalb auch eine Konto-Löschung. Stripe verarbeitet Zahlungsdaten teilweise in eigener Verantwortung, etwa zur Betrugsprävention und zur Erfüllung zahlungsrechtlicher Pflichten; es gelten ergänzend die Datenschutzhinweise von Stripe. Für mögliche Übermittlungen in die USA bestehen EU-Standardvertragsklauseln; Stripe ist zudem unter dem EU-US Data Privacy Framework zertifiziert.

Rechnungen, Zahlungsart und Kündigung verwaltest du selbst über das Stripe-Kundenportal, das du im eingeloggten Bereich (Karte „Dein Tarif“) erreichst.

7. Cookies und Werbe-Messung auf Aktions-Seiten

Im normalen Betrieb verwendet Midvalla ausschließlich technisch notwendige Cookies: für deine Anmeldesitzung (Login), für deine Spracheinstellung und für Tageszähler der kostenlosen Checks. Es gibt keine Werbe- oder Tracking-Cookies von Drittanbietern. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG bzw. Art. 6 Abs. 1 lit. b DSGVO.

Eine Ausnahme sind unsere Aktions-Landing-Pages (Adressen unter /lp/…), auf die z. B. Werbeanzeigen verlinken: Dort fragen wir per Banner, ob wir deinen Besuch mit einem Erste-Partei-Cookie wiedererkennen und die Klick-Herkunft (etwa die Google-Klick-ID und Kampagnen-Parameter) speichern dürfen, um zu messen, welche Werbung zu Registrierungen führt. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO); sie ist freiwillig, die Seite funktioniert ohne genauso, und ohne Einwilligung zählen wir Besuche nur anonym und ohne Gerätezugriff. Die Cookies laufen nach spätestens 6 Monaten (Einwilligungs-Merker) bzw. 90 Tagen (Klick-Herkunft) ab; die Messdaten enthalten keine Klarnamen und keine IP-Adressen und werden nach 14 Monaten gelöscht.

8. Anonyme Besucherstatistik (Plausible) und Ratgeber-Klickzählung

Für eine anonyme Besucherstatistik nutzen wir Plausible Analytics (Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland). Plausible arbeitet ohne Cookies und ohne geräteübergreifendes Tracking und speichert keine personenbezogenen Daten: Die IP-Adresse wird nur flüchtig verarbeitet (z. B. um das ungefähre Herkunftsland zu bestimmen) und nicht gespeichert; ein Bezug zu deiner Person oder deinem Konto wird nicht hergestellt. Die Daten liegen auf Servern in der EU. Rechtsgrundlage ist unser berechtigtes Interesse daran zu verstehen, wie unser Angebot genutzt wird (Art. 6 Abs. 1 lit. f DSGVO).

Zusätzlich zählen wir Seitenaufrufe auch selbst in unserer eigenen Datenbank — ebenfalls ohne Cookies, ohne Besucher-Kennung und ohne IP-Adresse. Gespeichert werden dabei nur der aufgerufene Seitenpfad, die verweisende Seite bzw. Kampagnen-Parameter, der Zeitpunkt und ob der Aufruf aus einer eingeloggten Sitzung kam (als reines Ja/Nein ohne Kontobezug). Ein Bezug zu deiner Person wird nicht hergestellt; die Rohdaten werden nach 14 Monaten gelöscht. Rechtsgrundlage ist auch hier unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Im Ratgeber-Bereich zählen wir zusätzlich, wie oft empfohlene Artikel-Links angeklickt werden — als reines Tagesaggregat ohne IP-Adresse, ohne Cookies und ohne Bezug zu deinem Konto. Diese Zählung enthält keine personenbezogenen Daten.

9. Fehlerdiagnose (Sentry)

Um technische Fehler schnell zu erkennen und zu beheben, nutzen wir den Dienst Sentry (Functional Software, Inc., 45 Fremont Street, San Francisco, CA 94105, USA). Tritt in der App ein Fehler auf, wird automatisch ein technischer Fehlerbericht übermittelt — insbesondere Fehlermeldung, betroffene Seite, Browser- und Systeminformationen sowie der Zeitpunkt. Wir haben Sentry bewusst datensparsam konfiguriert: IP-Adressen werden nicht gespeichert, und Profil- oder Bewerbungsinhalte sind nicht Teil der Fehlerberichte; die Daten werden in der EU-Datenregion von Sentry gespeichert.

Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und sicheren Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO). Für Übermittlungen in die USA bestehen EU-Standardvertragsklauseln; Sentry ist zudem unter dem EU-US Data Privacy Framework zertifiziert.

10. E-Mail-Benachrichtigungen

Soweit aktiviert, senden wir dir Konto-E-Mails (z. B. Registrierungsbestätigung, Passwort-Zurücksetzen) und Erinnerungen zu deinen im Bewerbungstracker eingetragenen Follow-ups und Fristen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Werbe-Newsletter versenden wir nicht.

11. Firmen-Scout und Montags-Digest (nur mit Einwilligung)

Wenn du den Firmen-Scout einschaltest, werten wir aus, wonach du suchst und wofür du dich bewirbst — deine Suchprofile, deine Einträge im Bewerbungstracker und deine Profilangaben (z. B. Wunschposition, Ort, Fähigkeiten) — um dir passende Unternehmen vorzuschlagen. Die Empfehlungen erscheinen auf deinem Dashboard und werden dir per E-Mail geschickt. Die Empfehlungen werden KI-gestützt erstellt.

Wenn du den Montags-Digest „Frische Jobs zum Wochenstart“ einschaltest, werten wir dein Profil und deine Suchziele aus, um neue Stellenanzeigen aus unseren Jobquellen KI-gestützt nach Passung zu bewerten, und schicken dir einmal pro Woche die besten Treffer per E-Mail.

Rechtsgrundlage ist jeweils deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du beim Einschalten der jeweiligen Funktion getrennt erteilst. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen — über den Schalter auf deinem Dashboard oder den Abmeldelink in jeder Mail. Ohne Einwilligung findet die jeweilige Auswertung nicht statt.

12. Speicherdauer und Löschung

Wir speichern deine Daten, solange dein Konto besteht. Du kannst dein Konto jederzeit selbst löschen (Profilseite, Abschnitt „Konto & Daten“) oder die Löschung per E-Mail verlangen — deine personenbezogenen Daten werden dann gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Nutzungsstatistiken bleiben nur in anonymisierter Form (ohne Bezug zu deiner Person) erhalten; technische Nutzungsereignisse (z. B. Zeitpunkt und Funktion eines Aufrufs) löschen wir darüber hinaus spätestens 24 Monate nach ihrer Entstehung automatisch. Server-Logs werden automatisch nach kurzer Zeit gelöscht.

13. Deine Rechte

Du hast das Recht auf Auskunft über deine gespeicherten Daten (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Datenexport und Konto-Löschung kannst du direkt auf deiner Profilseite unter „Konto & Daten“ selbst durchführen; für alles Weitere wende dich an die oben genannte E-Mail-Adresse.

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — zum Beispiel bei der Aufsichtsbehörde deines Bundeslandes.