Datenschutzerklärung

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit deinen personenbezogenen Daten passiert, wenn du diese Website besuchst. Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst. KiwiCV verkauft oder teilt deine personenbezogenen Informationen nicht.

Deine Daten werden zum einen dadurch erhoben, dass du uns diese mitteilst (z. B. Eingabe von Lebenslauf-Daten in die Applikation). Diese Eingaben werden jedoch vorrangig lokal in deinem Browser verarbeitet. Andere Daten werden automatisch beim Besuch der Website durch unsere IT-Systeme erfasst. Das sind vor allem technische Daten (z. B. Internetbrowser, Betriebssystem oder Uhrzeit des Seitenaufrufs).

Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten kannst du dem Abschnitt „Hinweis zur verantwortlichen Stelle“ in dieser Datenschutzerklärung entnehmen.

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Maikel Hajiabadi
KiwiCanopy
Moselstraße 43
60329 Frankfurt am Main
E-Mail: hello.kiwicv+legal@gmail.com

Du hast im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über deine gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten kannst du dich jederzeit an mich wenden.

Des Weiteren steht dir ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

Diese Website wird bei einem externen Dienstleister gehostet (Hoster). KiwiCV nutzt für das Hosting den Anbieter Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107.

Die Nutzung von Netlify erfolgt zum Zwecke einer sicheren, schnellen und effizienten Bereitstellung des Online-Angebots durch einen professionellen Anbieter (Art. 6 Abs. 1 lit. f DSGVO). Netlify nutzt ein weltweites Content Delivery Network (CDN), wodurch Daten (wie deine IP-Adresse) über Server auf der ganzen Welt geroutet werden können, um die Ladezeiten der Website zu minimieren. Die anfallenden Server-Logfiles (Zugriffsdaten) werden von Netlify aus Sicherheitsgründen in der Regel für 90 Tage (bzw. bis zu 1 Jahr offline) gespeichert und danach gelöscht.

Die Datenübertragung in die USA wird auf die Standardvertragsklauseln der EU-Kommission sowie auf das EU-US Data Privacy Framework (DPF) gestützt, unter dem Netlify zertifiziert ist.

Auftragsverarbeitung: KiwiCV hat einen Vertrag über Auftragsverarbeitung (AVV) zur Nutzung des oben genannten Dienstes geschlossen, der gewährleistet, dass Netlify die personenbezogenen Daten unserer Websitebesucher nur nach meinen Weisungen und unter Einhaltung der DSGVO verarbeitet.

KiwiCV bietet eine optionale Synchronisation deiner Lebenslaufdaten mit deinem persönlichen Google Drive an. Wenn du diese Funktion aktivierst, werden deine Lebenslauf-Dateien in dein Google-Drive-Konto (Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) übertragen und dort in einem von KiwiCV erstellten Ordner gespeichert.

Technisch wird diese Synchronisation über unsere Serverfunktionen geroutet: Deine Lebenslaufinhalte und die für die Übertragung erforderlichen Zugangsdaten (Refresh-Token) werden dort für die Dauer der Anfrage flüchtig verarbeitet und nicht dauerhaft auf unseren Servern gespeichert. Das Refresh-Token wird ansonsten ausschließlich lokal in deinem Browser gespeichert. KiwiCV erhält nur Zugriff auf Dateien, die es selbst erstellt hat (Google "drive.file"-Berechtigung) und zu keinem Zeitpunkt auf den Rest deines Drives.

Die Datenübertragung erfolgt ausschließlich auf Grundlage deiner aktiven Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) durch freiwillige Verknüpfung deines Google-Kontos. Du kannst diese jederzeit über "Trennen" in den Einstellungen widerrufen, wodurch auch die KiwiCV erteilte Berechtigung bei Google widerrufen wird. Bitte beachte, dass Google als US-Unternehmen Daten in die USA überträgt; diese Übertragung basiert auf dem EU-US Data Privacy Framework (DPF), unter dem Google zertifiziert ist, sowie auf den Standardvertragsklauseln der EU-Kommission.

Diese Anwendung bietet die Möglichkeit, über einen von dir freiwillig bereitgestellten GitHub Personal Access Token (PAT) direkt mit deinem GitHub-Account zu interagieren (z. B. zum Speichern oder Synchronisieren deiner Lebenslauf-Daten).

Wenn du diese Funktion nutzt, baut dein Browser eine direkte Verbindung zu den Servern von GitHub (GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA) auf. Dabei werden deine IP-Adresse sowie die von dir in der Applikation eingegebenen Daten direkt an GitHub übermittelt und dort verarbeitet.

Ich speichere deinen GitHub PAT zu keinem Zeitpunkt auf eigenen Servern; dieser wird lediglich temporär lokal in deinem Browser verwendet, um die API-Anfragen an GitHub in deinem Namen zu autorisieren.

Die Datenübertragung an GitHub erfolgt ausschließlich auf Grundlage deiner aktiven Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), indem du die Funktion freiwillig nutzt und deinen Token eingibst. Bitte beachte, dass GitHub als US-Unternehmen Daten in die USA überträgt. Weitere Informationen zum Datenschutz bei GitHub erhältst du hier:

Zur Bereitstellung und Funktion dieses CV-Builders nutzt KiwiCV die sogenannte Web-Storage-Technik (Local Storage). Dabei werden deine Eingaben (wie Textdaten für den Lebenslauf oder lokal verarbeitete Profilbilder im Base64-Format) lokal im Browser deines Endgeräts zwischengespeichert. Dies verhindert, dass deine Daten bei einem versehentlichen Neuladen der Seite verloren gehen.

Diese Daten werden lokal auf deinem Endgerät verarbeitet und nicht an Server übermittelt, es sei denn, du nutzt aktiv eine der in dieser Datenschutzerklärung beschriebenen optionalen Funktionen (zum Beispiel das Google Drive Backup in diesem Abschnitt oder die KI-Funktionen in Abschnitt 8). Ich habe zu keinem Zeitpunkt Zugriff auf diese lokal gespeicherten Daten.

Die Speicherung dieser Daten ist für die Kernfunktion der Anwendung technisch zwingend erforderlich. Die Rechtsgrundlage für das Speichern und Auslesen der Daten auf deinem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung erfolgt auf Grundlage meines berechtigten Interesses an einer nutzerfreundlichen Bereitstellung des Dienstes gemäß Art. 6 Abs. 1 lit. f DSGVO. Die Daten bleiben auf deinem Endgerät erhalten, bis du den Speicher (Cache/Local Storage) deines Browsers manuell leerst.

Wenn du ein Benutzerkonto erstellst (via Google OAuth), speichern wir deine E-Mail-Adresse, deinen Namen und dein Google-Profilbild, um deinen Zugang und deine personalisierten Daten zu verwalten. Bitte beachte, dass Premium-Funktionen nur registrierten Benutzern zur Verfügung stehen. Wir speichern außerdem Informationen über deinen aktiven Pro-Pass und etwaige kostenlose Testphasen sowie Metadaten zur KI-Nutzung (Zeitstempel und Token-Mengen) zu Abrechnungszwecken. Wir speichern Eingaben (Prompts) oder Ausgaben (Ergebnisse) der KI-Optimierung nicht dauerhaft auf unseren Servern; die temporäre Zwischenspeicherung während der Verarbeitung ist in Abschnitt 8 beschrieben.

Datenbank-Anbieter: Diese Kontodaten werden bei unserem Auftragsverarbeiter Supabase, Inc. in einem in der Europäischen Union gehosteten Projekt gespeichert. Ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO liegt mit Supabase vor.

Wir nutzen für die Abwicklung von Zahlungen den Dienstleister Stripe (Stripe, Inc.). Im Rahmen des Zahlungsprozesses erfasst Stripe Ihre Zahlungsinformationen. KiwiCV selbst speichert keine sensiblen Zahlungsdaten (wie Kreditkartennummern) auf eigenen Servern; KiwiCV erhält von Stripe lediglich Status-Informationen zur Transaktion.

Bei der Löschung Ihres Benutzerkontos werden Ihr Profil sowie alle damit verknüpften Metadaten (z. B. aktive Abonnements und Nutzungsprotokolle) unverzüglich und dauerhaft aus unserer von Supabase betriebenen Datenbank gelöscht (siehe Abschnitt 5). Bitte beachten Sie, dass Lebenslauf-Daten im Local Storage Ihres Browsers und bei Nutzung des Google Drive Backups in Ihrem persönlichen Google Drive gespeichert werden; beide sind von der serverseitigen Kontolöschung nicht betroffen. Eine Ausnahme gilt für den unten beschriebenen Hashwert zur Betrugsprävention.

Bitte beachten Sie, dass KiwiCV gesetzlich verpflichtet ist, transaktionsrelevante Rechnungsdaten (insbesondere Belege über getätigte Käufe via Stripe) für einen Zeitraum von 10 Jahren aufzubewahren. Dies erfolgt auf Grundlage der steuer- und handelsrechtlichen Vorgaben (z. B. gemäß AO und HGB). Die Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. c DSGVO.

Diese spezifischen Daten verbleiben für die Dauer der gesetzlichen Fristen bei unserem Zahlungsdienstleister Stripe gespeichert, um die ordnungsgemäße Dokumentation gegenüber den Finanzbehörden sicherzustellen.

Um eine wiederholte Inanspruchnahme der einmaligen kostenlosen Testphase zu verhindern, speichern wir beim Erhalt der Testphase einen kryptographischen Hashwert (SHA-256) der E-Mail-Adresse. Dieser Hash erlaubt uns nicht das Auslesen der E-Mail-Adresse selbst; er ermöglicht lediglich zu erkennen, ob dieselbe Adresse bereits eine Testphase erhalten hat. Weil er genau diesem Zweck dient, bleibt der Hash auch nach einer Kontolöschung gespeichert – für maximal 24 Monate nach Gewährung – und wird danach automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der Verhinderung des Missbrauchs kostenloser Dienste (Art. 6 Abs. 1 lit. f DSGVO).

Auf KiwiCV-Systemen werden nur Metadaten der KI-Anfragen protokolliert, nicht jedoch der Inhalt der Prompts. Folgendes wird gespeichert:

Art der Anfrage: (z. B. "Lebenslauf-Optimierung", "KI-Lebenslauf-Import"), um unser Produktangebot ständig zu verbessern.

Nutzungsdaten: Die Anzahl der verwendeten Token oder Anfragen, um den ordnungsgemäßen Betrieb sicherzustellen, zur Fehlerdiagnose und zur Durchsetzung unserer Fair-Use-Policy (Vermeidung von missbräuchlicher, automatisierter Nutzung).

Der Schutz deiner Daten hat für uns höchste Priorität. Im Rahmen der Nutzung der Google Cloud API (Vertex AI) gelten folgende Sicherheitsgarantien:

Kein Modelltraining: Google nutzt deine eingegebenen Daten (Prompts) explizit nicht zum Trainieren seiner globalen KI-Modelle. Deine Daten verbleiben in unserer isolierten Google Cloud-Umgebung.

Datenstandort: Die Verarbeitung erfolgt auf Servern innerhalb der Europäischen Union (Google Cloud EU-Multi-Region "eu", beschränkt auf EU-Mitgliedstaaten), um ein angemessenes Datenschutzniveau gemäß DSGVO zu gewährleisten.

Keine dauerhafte Speicherung beim Anbieter: Die Daten werden von Google nur flüchtig zur Bearbeitung der Anfrage verarbeitet und nach Abschluss der Generierung nicht dauerhaft gespeichert.

Um dir Funktionen zur intelligenten Optimierung und Erstellung von Lebensläufen und Anschreiben bereitzustellen, nutzen wir die Plattform Vertex AI von Google Cloud. Dabei werden die von dir eingegebenen Texte an Server von Google übermittelt und dort verarbeitet. Die KI-Funktionen laufen nur ab, wenn du sie aktiv auslöst; Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir angeforderten Funktion).

Zur Gewährleistung einer stabilen Verarbeitung von KI-Anfragen nutzt KiwiCV asynchrone Hintergrundprozesse. Die hochgeladenen Eingabedokumente (wie Lebenslauf-Dateien) sowie die von der KI generierten Ergebnisse werden in unserer von Supabase betriebenen Datenbank (siehe Abschnitt 5) kurzzeitig (in der Regel für wenige Sekunden, maximal jedoch für 24 Stunden) zwischengespeichert, bis Ihr Browser diese erfolgreich abruft. Anschließend oder spätestens nach Ablauf dieser Frist werden diese Zwischenergebnisse und Eingabedaten automatisch und vollständig gelöscht. Ihre Daten werden ausschließlich zur Bereitstellung des angeforderten Dienstes verwendet und niemals für Profiling, Training oder sonstige Zwecke genutzt.

Um besser zu verstehen, wie Nutzer mit KiwiCV interagieren und um unser Angebot zu verbessern, setzen wir das Analyse-Tool PostHog (PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA) ein. Zum Schutz Ihrer Privatsphäre haben wir PostHog strikt anonym und cookies-frei konfiguriert.

Anonymes Tracking: Wir verwenden keine Tracking-Cookies und speichern keine persönlichen Identifikationsmerkmale in Ihrem Browser. PostHog ist so konfiguriert, dass es eine reine Speicher-Persistenz (memory-only) nutzt, was bedeutet, dass alle Sitzungsdaten verloren gehen, sobald Sie die Seite schließen oder neu laden.

Datenresidenz (EU): Alle Daten werden an die europäischen Server von PostHog gesendet und dort gespeichert (Region: Frankfurt, Deutschland - https://eu.i.posthog.com), um die Einhaltung europäischer Datenschutzstandards zu gewährleisten.

Sitzungserkennung: Zur anonymen Sitzungserkennung wird serverseitig ein kurzzeitiger Hash-Wert erzeugt, der nach 24 Stunden automatisch gelöscht wird. Dies ermöglicht es uns, Interaktionsmuster zu erkennen (z. B. welche Designs beliebt sind oder wie viele Lebensläufe exportiert werden), ohne Sie als Person identifizieren zu können.

Der Einsatz von PostHog erfolgt auf Grundlage unseres berechtigten Interesses an der bedarfsgerechten Gestaltung und kontinuierlichen Optimierung unserer Website (Art. 6 Abs. 1 lit. f DSGVO).