Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die Blaukragen GmbH, Tannengasse 3/1a, 1150 Wien, FN 687474 t („Auftragsverarbeiter“), im Auftrag des Kunden („Verantwortlicher“) bei der Bereitstellung der Software blaukragen nach den Allgemeinen Geschäftsbedingungen und dem individuellen Angebot („Hauptvertrag“).
Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet (§ 12).
Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht für alle Fragen des Datenschutzes dieser Vertrag vor.
Der Auftragsverarbeiter betreibt die Software für den Verantwortlichen und verarbeitet dabei personenbezogene Daten ausschließlich zu folgenden Zwecken:
Die Verarbeitung umfasst Erheben, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Verantwortlichen bestimmten Empfänger, Einschränken und Löschen.
Betroffen sind:
Verarbeitet werden folgende Datenkategorien:
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht gezielt verarbeitet. Sie können aber in Lebensläufen, Freitexten oder Gesprächen enthalten sein. Der Verantwortliche wirkt darauf hin, dass solche Angaben nur erhoben werden, soweit dies zulässig ist.
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlagen, die Informationspflichten nach Art. 13 und 14 DSGVO, das Einholen und Dokumentieren von Einwilligungen (einschließlich der Einwilligung in die Aufzeichnung zu Beginn jedes aufgezeichneten Gesprächs) und die Wahrung der Rechte der Betroffenen.
Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Übermittlungen in Drittländer, es sei denn, er ist nach Unionsrecht oder österreichischem Recht dazu verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese Pflicht vorher mit, sofern das Recht dies nicht verbietet.
Weisungen sind der Hauptvertrag, dieser Vertrag sowie die Einstellungen und Aktionen, die der Verantwortliche und seine Nutzer in der Software vornehmen (etwa Freigabe einer E-Mail, Löschen eines Kandidaten, Einstellungen zur Gesprächsaufzeichnung). Weitere Weisungen erteilt der Verantwortliche in Textform.
Weisungsberechtigt sind beim Verantwortlichen die beim Onboarding benannte Person sowie die Geschäftsführung, beim Auftragsverarbeiter nimmt Moritz Klock (Geschäftsführer, hallo@blaukragen.com) Weisungen entgegen.
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und verpflichtet sie auf das Datengeheimnis nach § 6 DSG. Die Pflicht besteht nach Ende ihrer Tätigkeit fort.
Zugriff auf Daten des Verantwortlichen erhalten diese Personen nur, soweit es für Betrieb, Support oder Fehlerbehebung erforderlich ist.
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO.
Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen dokumentiert er.
Der Verantwortliche genehmigt allgemein den Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.
Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter vertraglich Pflichten auf, die diesem Vertrag gleichwertig sind (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.
Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne Zugriff auf Daten des Verantwortlichen, etwa Telekommunikationsleistungen Dritter für die Datenübertragung.
Daten werden vorrangig in der Europäischen Union verarbeitet. Eine Übermittlung in ein Drittland oder ein Zugriff aus einem Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere
Welche Grundlage für welchen Unterauftragsverarbeiter gilt, steht in Anlage 2.
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der Betroffenen (Art. 12 bis 23 DSGVO). Die Software stellt dafür insbesondere eine Datenauskunft je Kandidat (Art. 15 und 20 DSGVO), Berichtigung und Löschung bereit.
Wendet sich ein Betroffener direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
Unterstützung, die über die Funktionen der Software hinausgeht, wird nach Aufwand zu den Stundensätzen laut Angebot vergütet, außer der Aufwand beruht auf einem Verstoß des Auftragsverarbeiters.
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung, spätestens 24 Stunden nachdem sie ihm bekannt geworden ist, in Textform an die vom Verantwortlichen benannte Adresse.
Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Was noch nicht bekannt ist, reicht der Auftragsverarbeiter schrittweise nach.
Der Auftragsverarbeiter trifft unverzüglich die Maßnahmen, die zur Eindämmung und Behebung erforderlich sind, und dokumentiert die Verletzung. Meldungen an die Aufsichtsbehörde und an Betroffene nimmt der Verantwortliche vor.
Während der Laufzeit löscht der Auftragsverarbeiter Daten auf Weisung des Verantwortlichen, in der Regel durch die Löschfunktionen der Software (Anlage 1, Löschkonzept).
Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten über die Exportfunktionen binnen 30 Tagen nach Vertragsende herunterladen. Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen einschließlich vorhandener Kopien. Daten in Datensicherungen werden mit deren regulärem Ablauf überschrieben, spätestens nach 7 Tagen.
Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt; insoweit wird die Verarbeitung eingeschränkt.
Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Als Nachweis dienen vorrangig diese Dokumentation der Maßnahmen, Selbstauskünfte und Zertifikate oder Prüfberichte der Unterauftragsverarbeiter.
Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist, kann Überprüfungen durchführen. Überprüfungen werden mit einer Frist von 14 Tagen angekündigt, finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Sie sind höchstens einmal jährlich zulässig, außer nach einer Verletzung des Schutzes personenbezogener Daten. Die Kosten einer Überprüfung trägt der Verantwortliche.
Die Rechte der Aufsichtsbehörde bleiben unberührt.
Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.
Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für ein Abgehen von diesem Formerfordernis.
Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts. Gerichtsstand ist Wien.
Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine wirksame, die den Anforderungen des Art. 28 DSGVO entspricht.
Nach Art. 32 DSGVO. Beschrieben ist der Stand der Software zum Datum dieses Entwurfs.
Stand 2. Oktober 2026. Änderungen nach § 8.
Nicht aufgeführt, weil keine Auftragsverarbeitung für den Verantwortlichen: Meta (Pixel und Conversions-API laufen mit dem eigenen Konto des Verantwortlichen und nur mit Einwilligung), Cloudflare (Bot-Schutz derzeit abgeschaltet; DNS-Abfragen zu Domains enthalten keine personenbezogenen Daten), GitHub (Import öffentlicher Stellenanzeigen), Higgsfield Inc., USA (KI-Klon für Werbebilder: verarbeitet nur Fotos des Verantwortlichen bzw. seiner Ansprechperson selbst, auf Grundlage einer gesonderten Einwilligung der abgebildeten Person — keine Daten von Bewerbern oder Firmen).
Entwurf, Stand: 2. Oktober 2026 · AGB · AVV · Impressum · Datenschutz