Datenschutzerklärung

1. Verantwortlicher

Krüger Consulting GmbH
Große Elbstraße 14
22767 Hamburg
Deutschland

Geschäftsführer: Maximilian Krüger
E-Mail: datenschutz@krueger-personal.de
Telefon: +49 40 74304290
Handelsregister: HRB 172020, Amtsgericht Hamburg
Umsatzsteuer-Identifikationsnummer: DE341603444

2. Datenschutz-Kontakt

Bei allen Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter: datenschutz@krueger-personal.de.

3. Zweck der Plattform

PersonalmarketingOS ist eine Plattform der Krüger Consulting GmbH zur Verwaltung von Recruiting-Kampagnen, Landingpages und Bewerber-Leads. Die Plattform wird von Mitarbeitenden der Krüger Consulting GmbH bedient; Kunden der Krüger Consulting GmbH erhalten einen eigenen, passwortgeschützten Kundenbereich, in dem sie den Status ihrer Anzeigen einsehen, Freigaben erteilen und ihre Meta-Verbindung verwalten können. Im Rahmen der Plattform werden Werbekampagnen über die Meta Marketing API (Facebook und Instagram) im Auftrag von Kunden der Krüger Consulting GmbH geschaltet und ausgewertet. Bewerber-Leads werden auf den von Krüger Consulting betriebenen Landingpages (krueger-os.de/lp/<slug>) erhoben und an die jeweiligen Kunden weitergeleitet — Meta Lead Forms (Sofort-Formulare innerhalb von Facebook/Instagram) werden nicht eingesetzt.

4. Verarbeitete Daten

Im Zuge der Plattformnutzung werden folgende Datenkategorien verarbeitet:

• Bewerber-Daten aus Landingpages: Vor- und Nachname, E-Mail-Adresse, Telefonnummer sowie Antworten aus Bewerbungs- und Quizformularen (z. B. Berufserfahrung, Verfügbarkeit, Wohnort). Diese Daten werden ausschließlich auf den von Krüger Consulting betriebenen Landingpages (`krueger-os.de/lp/...`) erhoben und im Auftrag des jeweiligen Kunden verarbeitet. Meta Lead Forms (Sofort-Formulare innerhalb von Facebook/Instagram) werden nicht eingesetzt — Bewerber-Daten werden zu keinem Zeitpunkt von Meta an uns übermittelt. Bei einzelnen, dafür freigegebenen Stellenanzeigen wird aus den Quiz-Antworten eine KI-gestützte Vorsortierung (Empfehlung) für den Auftraggeber erstellt — Details dazu in Abschnitt 7 (OpenRouter).
• Werbekonto- und Page-IDs: Identifikatoren der Meta-Werbekonten und Facebook-/Instagram-Seiten der Kunden
• Performance-Daten: Reichweite, Impressionen, Klicks, Kosten pro Lead und weitere statistische Auswertungen aus Werbekampagnen
• Access Tokens: Zugriffstokens der Meta-Werbekonten, verschlüsselt abgelegt im Supabase Vault, ausschließlich serverseitig nutzbar
• Mitarbeiter-Stammdaten: Name, dienstliche E-Mail-Adresse, Rolle und Berechtigungen — zur Authentifizierung und Zugriffskontrolle
• Technische Logdaten: Zeitpunkt, IP-Adresse, User-Agent, aufgerufene Endpunkte und Fehler-Stacktraces — zur Sicherheits- und Fehleranalyse

5. Rechtsgrundlagen

Die Verarbeitung erfolgt auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — für die Erbringung der vertraglich geschuldeten Leistungen gegenüber den Auftraggebern
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — für den sicheren und effizienten Betrieb der Plattform sowie zur Missbrauchsprävention
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — für das Meta-Tracking auf den Landingpages (Abschnitte 7 und 10) sowie für die Weiterverwendung von Bewerber-Daten nach Ablehnung durch den Erstkunden (Abschnitt 6)

Soweit wir Bewerber-Leads im Auftrag unserer Kunden verarbeiten, erfolgt dies als Auftragsverarbeitung auf Grundlage einer Vereinbarung nach Art. 28 DSGVO (siehe Abschnitt 6); maßgebliche Rechtsgrundlage ist insoweit die des jeweiligen Kunden als Verantwortlichem (regelmäßig Art. 6 Abs. 1 lit. b DSGVO — Durchführung des Bewerbungsverfahrens).

6. Auftragsverarbeitung

Bewerber-Daten, die auf den von uns betriebenen Landingpages erhoben werden, verarbeiten wir im Auftrag der jeweiligen Kunden der Krüger Consulting GmbH. Bereits in den Nutzungsbedingungen der Plattform (§ 11 Abs. 1) ist festgelegt, dass die Parteien für die Verarbeitung personenbezogener Daten im Auftrag des Kunden eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO schließen. Diese regelt Art und Umfang der Verarbeitung, technische und organisatorische Maßnahmen sowie Pflichten zur Unterstützung des Verantwortlichen.

Eigenverantwortliche Verarbeitung durch Krüger Consulting GmbH erfolgt nur im Rahmen des Plattformbetriebs (z. B. Authentifizierung von Mitarbeitenden, Logging, Sicherheit). Soweit Krüger Consulting Bewerber nach Ablehnung durch den Erstkunden — mit ausdrücklicher Einwilligung des Bewerbers — weiteren Kunden präsentiert (§ 7 Abs. 2 der Nutzungsbedingungen), erfolgt diese Verarbeitung eigenverantwortlich auf Grundlage der Einwilligung des Bewerbers.

7. Empfänger und Drittlandtransfer

Daten werden an folgende Empfänger übermittelt:

• Meta Platforms Ireland Ltd. (Irland) und Meta Platforms, Inc. (USA) — wir nutzen die Meta Marketing API, die Meta Graph API und die Meta Conversions API. Konkret greifen wir mit Einwilligung des jeweiligen Auftraggebers auf dessen Werbekonto, Facebook-Seite und Instagram-Konto zu, um Anzeigen zu schalten, deren Leistung auszuwerten und Beiträge zu veröffentlichen. Die dafür von Meta erteilten Berechtigungen sind: ads_management, ads_read, business_management, pages_show_list, pages_read_engagement, pages_manage_posts, instagram_basic und instagram_content_publish. Wir fragen keine Berechtigung zum Abruf von Lead-Formularen (leads_retrieval) an und verwenden keine Meta-Sofortformulare. Nur wenn Sie auf einer Landingpage ausdrücklich in Marketing-Cookies eingewilligt haben, übermitteln wir zusätzlich ein Ereignis über Ihre Bewerbung an Meta (Conversions API). Dieses enthält Ihre E-Mail-Adresse und Ihre Telefonnummer ausschließlich als irreversiblen Hash-Wert (SHA-256). Im Klartext übermittelt werden Ihre IP-Adresse, Ihre Browser-Kennung, die Meta-Cookies _fbp und _fbc sowie die Adresse der Landingpage, auf der Sie sich beworben haben, samt Ereignisname und Zeitpunkt. Ihr Name wird nicht übermittelt. Zweck ist die Messung des Anzeigenerfolgs. Ohne Ihre Einwilligung erfolgt keine solche Übermittlung. Ihre Bewerbungsunterlagen und Ihre Antworten aus dem Bewerbungsformular werden Meta nicht übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Der Transfer in die USA wird auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework abgesichert.
• Supabase Inc. (USA, Hosting in Frankfurt/EU) — als Datenbank- und Auth-Anbieter (Postgres, Auth, Vault, Storage). Verarbeitung vorrangig in der EU; Standardvertragsklauseln für etwaige US-Verarbeitungsvorgänge.
• Hostinger International Ltd. — Hosting der Anwendung. Server-Standort: Frankfurt am Main, Deutschland. Verarbeitung ausschließlich innerhalb der EU.
• ClickUp (ClickUp Inc., USA) — Projekt- und Aufgabenverwaltung. Zu jeder eingehenden Bewerbung wird dort eine Aufgabe in der Liste des jeweiligen Auftraggebers angelegt, damit dieser die Bewerbung bearbeiten kann. Übermittelt werden dabei Ihr Name, Ihre E-Mail-Adresse, Ihre Telefonnummer, Ihre Antworten aus dem Bewerbungsformular sowie — falls im Formular erhoben — Postleitzahl und Wohnort. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bewerbungsverfahren). Der Transfer in die USA wird auf Grundlage der EU-Standardvertragsklauseln abgesichert.
• OpenRouter (USA) — Vermittlung von KI-Anfragen für das Plattform-Backend. Dahinter stehen als weitere Empfänger Anthropic PBC (USA) und Google LLC (USA). Übermittelt werden Stellen- und Unternehmenstexte sowie Protokolle interner Kundengespräche. Bei einzelnen, dafür freigegebenen Stellenanzeigen werden zusätzlich Ihre Antworten aus dem Bewerbungs-Quiz zusammen mit den Anforderungen der Stelle übermittelt, um Bewerbungen für den jeweiligen Auftraggeber vorzusortieren. Ihr Name, Ihre E-Mail-Adresse und Ihre Telefonnummer werden dabei nicht übermittelt — Kontakt- und Upload-Felder sind von der Übermittlung ausgeschlossen, und personenbezogene Angaben in Freitexten werden vor dem Versand automatisiert maskiert. Die Vorsortierung ist eine bloße Empfehlung: Die Entscheidung über Ihre Bewerbung trifft ausschließlich der jeweilige Arbeitgeber; eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Lebensläufe und Bewerbungsunterlagen werden nicht an KI-Anbieter übermittelt.
• Fireflies.ai (USA) — automatische Verschriftlichung von Kundengesprächen. Übermittelt werden Gesprächsaufzeichnungen sowie Namen und E-Mail-Adressen der Gesprächsteilnehmenden. Keine Bewerbungsdaten.
• Firecrawl (USA) — automatisiertes Auslesen öffentlich zugänglicher Kunden-Websites zur Vorbereitung von Anzeigen. Dabei können Impressumsangaben (Namen, Adressen) verarbeitet werden. Keine Bewerbungsdaten.
• Resend (Resend, Inc., USA — Versand über die EU-Region Irland) — Versand von Benachrichtigungs-E-Mails an unsere Auftraggeber. Übermittelt werden Empfängeradresse, Unternehmens- und Stellenbezeichnung. Keine Bewerbungsdaten — die Mail enthält lediglich einen Hinweis und einen Link. Die Verarbeitung findet innerhalb der EU statt.
• Close.com (USA) — Vertriebs-CRM für unsere eigenen Kunden- und Interessentenkontakte. Keine Bewerbungsdaten.
• Die jeweiligen Kunden der Krüger Consulting GmbH als Auftraggeber, an die Bewerber-Leads weitergeleitet werden.

8. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweilige Zweckerreichung erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorschreiben. Es gelten die folgenden Fristen:

• Bewerber-Daten aus Landingpages: bis zur Übermittlung an den Kunden, anschließend spätestens 6 Monate ab Eingang der Bewerbung — entsprechend der Bewerbungs-Speicherpolitik der Krüger Consulting GmbH. Nach Ablauf dieser Frist werden Name, E-Mail-Adresse, Telefonnummer und alle Freitext-Angaben unwiderruflich und automatisiert unkenntlich gemacht (anonymisiert). Zurück bleiben ausschließlich Auswertungsdaten ohne jeden Personenbezug — etwa die Anzahl der Bewerbungen je Stelle und Zeitraum sowie die Verteilung der Auswahlantworten. Ein Rückschluss auf Ihre Person ist danach nicht mehr möglich, weshalb die Anonymisierung die Löschung im Sinne von Art. 17 DSGVO ersetzt.
• Bewerber-Pool (nur bei ausdrücklicher Einwilligung gemäß § 7 Abs. 2 der Nutzungsbedingungen): spätestens 2 Jahre nach Erteilung der Einwilligung — anschließend unwiderrufliche Löschung
• Performance-Daten von Werbekampagnen: bis zu 24 Monate nach Kampagnenende für interne Auswertungen
• Access Tokens: bis zum Widerruf durch den Kunden oder Vertragsende
• Meta-Asset-Verknüpfungen (Werbekonto-, Kampagnen-, Facebook-Seiten- und Instagram-Konto-IDs): bis zum Widerruf, zur Löschanfrage des Auftraggebers oder zum Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Authentifizierungs- und Sicherheitslogs: bis zu 90 Tage
• Mitarbeiter-Stammdaten: für die Dauer des Beschäftigungsverhältnisses zzgl. gesetzlicher Aufbewahrungsfristen
• Daten aus laufenden Vertragsbeziehungen: bis zum Ende der gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO — i. d. R. 6 bis 10 Jahre)

9. Datenlöschung

Bewerber, Auftraggeber und Nutzer eines verbundenen Meta-Kontos haben das Recht, die Löschung ihrer Daten zu beantragen. Dies umfasst auch gespeicherte Meta-Tokens, Asset-Verknüpfungen und zugeordnete Kampagnen-Performance-Daten. Anfragen richten Sie bitte per E-Mail an datenschutz@krueger-personal.de. Eine ausführliche Lösch-Anleitung mit den benötigten Angaben und Bearbeitungsfristen finden Sie unter /data-deletion.

10. Cookies und Session-Speicher

Plattform (Mitarbeiter- und Kundenbereich): Hier setzen wir ausschließlich technisch notwendige Cookies und Session-Tokens ein, die für die Authentifizierung und den Betrieb der Anwendung erforderlich sind. Tracking- oder Marketing-Cookies werden in diesem Bereich nicht eingesetzt. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG.

Landingpages für Stellenanzeigen: Auf den von uns betriebenen Bewerbungs-Landingpages kann — auf Wunsch des jeweiligen Auftraggebers — ein Meta-Pixel eingebunden sein. Dieser setzt das Cookie _fbp und liest den Klick-Parameter _fbc, um den Erfolg von Werbeanzeigen zu messen. Das sind Marketing-Cookies.

Diese Verarbeitung findet ausschließlich nach Ihrer ausdrücklichen Einwilligung statt, die wir über das Cookie-Banner der Landingpage einholen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Solange Sie nicht einwilligen, wird kein Pixel geladen und kein Cookie gesetzt. Ihre Einwilligung ist freiwillig und jederzeit widerrufbar; die Ablehnung ist im Banner gleichwertig möglich und hat keine Auswirkung auf Ihre Bewerbung. Zur Übermittlung an Meta siehe Abschnitt 7.

11. Technische und organisatorische Maßnahmen

Wir setzen geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ein, insbesondere:

• TLS-Verschlüsselung der gesamten Datenübertragung
• Verschlüsselte Speicherung von Access Tokens im Supabase Vault
• Row-Level-Security in der Datenbank
• Rollenbasierte Zugriffsrechte für Mitarbeitende
• Regelmäßige Sicherheits-Reviews und Audit-Logs

Unsere Mitarbeitenden sind zur Vertraulichkeit verpflichtet. Gegenüber unseren Auftraggebern gilt darüber hinaus die Geheimhaltungsvereinbarung nach § 10 der Nutzungsbedingungen dieser Plattform; sie wirkt fünf Jahre über das Ende des zugrundeliegenden Mandatsverhältnisses hinaus fort (§ 10 Abs. 2 der Nutzungsbedingungen).

12. Betroffenenrechte

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Rechtslage, unsere Verarbeitungsprozesse oder eingebundene Drittanbieter ändern. Die jeweils aktuelle Fassung ist unter dieser URL abrufbar.