Datenschutzerklärung Zusagly

Stand: 31.10.2026 · Version 1.0

1. Verantwortlicher

Evangelos Ntoumos, Zusagly, Ernsthöfer Straße 65, 64342 Seeheim-Jugenheim, Deutschland. E-Mail: [email protected], Telefon: +1 347 884 4151 (US-Rufnummer; Sprechzeiten siehe Impressum). Für Datenschutzanfragen nutzen Sie bitte bevorzugt die E-Mail-Adresse.
Ein Datenschutzbeauftragter ist nicht benannt, da keine Pflicht besteht (§ 38 BDSG).

2. Überblick

Zusagly hilft Ihnen, Lebenslauf und Anschreiben zu erstellen, Stellen zu finden und Bewerbungen zu verwalten. Ohne Konto bleiben Ihre Daten auf Ihrem iPhone. Wir zeigen keine Werbung, setzen keine Tracking- oder Analyse-Tools ein und verkaufen keine Daten. Zusagly trifft keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und versendet keine Bewerbung ohne Ihre ausdrückliche Bestätigung.

3. Verarbeitungen im Einzelnen

3.1 Nutzung ohne Konto (lokal)

Profil, Lebenslauf, gespeicherte Stellen, Bewerbungen und Erinnerungen werden nur auf Ihrem Gerät gespeichert. Wir haben darauf keinen Zugriff. Löschung: Daten in der App löschen oder App deinstallieren.

3.2 Konto und Anmeldung

Wenn Sie ein Konto anlegen, verarbeiten wir Ihre E-Mail-Adresse bzw. bei „Mit Apple anmelden“ die von Apple übermittelte Kennung und (ggf. weitergeleitete) E-Mail-Adresse. Für die Anmeldung per E-Mail-Code senden wir Ihnen einen Einmal-Code über Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter (Art. 28 DSGVO); Absender ist [email protected]. Dabei werden Ihre E-Mail-Adresse, der Einmal-Code bzw. Inhalt der E-Mail sowie Versand-Metadaten (Zeitpunkt, Zustellstatus) verarbeitet. Der Versand erfolgt über die EU-Region Irland (eu-west-1); Kontodaten, Versandprotokolle und Metadaten speichert Resend jedoch in den USA. Öffnungs- und Klick-Tracking ist deaktiviert. Die Versandprotokolle löscht Resend nach 30 Tagen. Drittlandübermittlung (Art. 44 ff. DSGVO): Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), bei dem Resend zertifiziert ist, sowie ergänzend EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Modul 2) im Auftragsverarbeitungsvertrag von Resend.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

3.3 Synchronisierung (Cloud)

Mit Konto speichern wir Profil, Lebenslauf, gespeicherte Stellen und Bewerbungen bei Supabase (Supabase Inc., USA; Server in Frankfurt am Main, EU) als Auftragsverarbeiter (Art. 28 DSGVO). Ein Zugriff aus den USA ist z. B. für Support nicht ausgeschlossen; Grundlage sind EU-Standardvertragsklauseln bzw. der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Soweit Ihr Lebenslauf besondere Kategorien personenbezogener Daten enthält (z. B. Gesundheit, Schwerbehinderung, Religion, ethnische Herkunft, Gewerkschaftszugehörigkeit), speichern wir diese nur auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie beim Aktivieren der Synchronisierung erteilen. Ohne diese Einwilligung bleiben Ihre Daten lokal. Widerrufen Sie die Synchronisierung unter Mehr › Datenschutz & KI, löschen wir nach einem deutlichen Hinweis in der App die auf dem Server gespeicherten Kopien Ihrer Lebensläufe, Bewerbungen und gespeicherten Stellen; Entfernung aus Backups spätestens nach 30 Tagen. Ihre Daten auf dem Gerät bleiben erhalten.

3.4 KI-Funktionen (nur mit Einwilligung)

Wenn Sie KI-Funktionen einschalten (standardmäßig aus), senden wir für die jeweils ausgelöste Funktion den Text Ihres Lebenslaufs, die ausgewählte Stellenanzeige und benötigte Profilangaben (z. B. Name, Wohnort, Wunschberuf) über unseren Server in Frankfurt an OpenAI (OpenAI Ireland Ltd., Dublin, Irland; Unterauftragsverarbeiter OpenAI OpCo LLC, USA) als Auftragsverarbeiter. Die Verarbeitung kann in den USA stattfinden; Grundlage sind die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von OpenAI bzw. das EU-US Data Privacy Framework. OpenAI verwendet über die API übermittelte Daten nicht zum Training. Wir weisen OpenAI an, Anfragen und Antworten nicht dauerhaft zu speichern (Einstellung ‚store: false‘); eine Speicherung von höchstens 30 Tagen zur Missbrauchserkennung bleibt möglich, danach werden sie gelöscht.
Wir selbst speichern keine KI-Inhalte in Protokollen, sondern nur technische Metadaten (Zeitpunkt, Funktion, Dauer) und einen Nutzungszähler.
Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a und – für besondere Kategorien – Art. 9 Abs. 2 lit. a DSGVO. Die Einwilligung ist freiwillig; die App funktioniert ohne KI. Widerruf jederzeit unter Mehr › Datenschutz & KI; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt. Ihre Einwilligung speichern wir mit Zeitpunkt und Textversion (z. B. ‚ki-v1‘) als Nachweis (Art. 7 Abs. 1 DSGVO). Nach Löschung Ihres Kontos oder Widerruf bewahren wir nur diesen Nachweis auf (Nutzer-Kennung bzw. Hash, Textversion, Zeitstempel; keine Lebenslauf-Inhalte, keine E-Mail-Adresse), um nachweisen und Rechtsansprüche abwehren zu können (Art. 6 Abs. 1 lit. f DSGVO, Art. 17 Abs. 3 lit. e DSGVO), für 3 Jahre ab Ende des Jahres der Kontolöschung bzw. des Widerrufs. Sie können sie jederzeit unter Mehr › Datenschutz & KI widerrufen; ohne Einwilligung sind KI-Funktionen gesperrt.
KI-Ergebnisse können fehlerhaft sein. Bitte prüfen Sie jeden Vorschlag vor der Verwendung.

3.5 Stellensuche

Die App zeigt nur von Ihnen eingefügte Anzeigen und Links zur Suche bei Drittanbietern; dabei werden keine Daten von uns an diese übermittelt. Wenn Sie eine Anzeige öffnen oder auf „Weitersuchen auf …“ tippen, gelangen Sie auf die Website des jeweiligen Anbieters (z. B. LinkedIn, XING, StepStone, Indeed); dort gilt dessen Datenschutzerklärung. Eine selbst eingefügte Anzeige („Stelle einfügen“) bleibt auf Ihrem Gerät; die App ruft den Link nicht ab.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.6 Bewerbungen versenden

Zusagly versendet Bewerbungen nicht selbst. Nach Ihrer Bestätigung öffnet die App Ihr E-Mail-Programm mit einem vorbereiteten Entwurf oder den Bewerbungslink des Arbeitgebers. Den Versand lösen Sie selbst aus; Empfänger ist der von Ihnen gewählte Arbeitgeber, der eigenständig Verantwortlicher ist. Wir protokollieren in Ihrer Bewerbungsliste Datum, Stelle, Arbeitgeber und Status (für Ihren Nachweis, z. B. gegenüber dem Jobcenter). Das Bewerbungsdatum ist nach dem Eintragen gesperrt; nachträgliche Korrekturen eines Eintrags werden mit Datum und Ihrer Notiz protokolliert.

3.7 Käufe und Abonnements

Käufe (Pro-Abo, Sprint) wickelt Apple (Apple Distribution International Ltd., Irland) als Verkäufer in eigener Verantwortung ab; wir erhalten keine Zahlungsdaten. Zur Verwaltung des Kaufstatus nutzen wir RevenueCat (RevenueCat Inc., USA) als Auftragsverarbeiter; RevenueCat erhält eine pseudonyme Nutzerkennung, Gerätetyp, App-Version und Kaufbelege von Apple. Drittlandübermittlung auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung steuerlich relevanter Daten Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO.

3.8 Erinnerungen (Mitteilungen)

Erinnerungen an Fristen werden lokal auf Ihrem Gerät geplant; es werden keine Daten an uns übermittelt.

3.9 Server-Protokolle und Sicherheit

Beim Zugriff auf unseren Server verarbeitet Supabase technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, angefragte Funktion, Fehlercodes) zur Sicherheit und Fehlersuche. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb). Speicherdauer: höchstens 7 Tage.

3.10 Kontakt per E-Mail und Telefon

Wenn Sie uns schreiben oder anrufen, verarbeiten wir Ihre Angaben (z. B. Name, E-Mail-Adresse, Telefonnummer, Inhalt der Anfrage) zur Bearbeitung: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage die Nutzung der App oder einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen die Angaben, wenn sie nicht mehr erforderlich sind, spätestens nach 3 Jahren, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
E-Mails an [email protected] und [email protected] werden über Cloudflare Email Routing (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) an unser Postfach weitergeleitet; Cloudflare verarbeitet dabei Absender, Empfänger, Inhalt (nur zur Durchleitung, ohne Speicherung des Inhalts nach Zustellung laut Cloudflare) und Verbindungsdaten als Auftragsverarbeiter. Das Zielpostfach wird bei Google (Gmail) geführt. Antworten auf Anmelde-E-Mails gelangen ebenfalls über diesen Weg zu uns. Drittlandübermittlung (Art. 44 ff. DSGVO): EU-US Data Privacy Framework (Art. 45 DSGVO), bei dem Cloudflare zertifiziert ist, ergänzend EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Cloudflare-Auftragsverarbeitungsvertrag.

3.11 Website

Unsere Website https://zusagly.de wird über Cloudflare Pages (Cloudflare, Inc., USA) bereitgestellt; Cloudflare ist zugleich DNS-Anbieter und Netzwerkdienstleister (CDN, Schutz vor Angriffen) für die Domain. Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung) als Auftragsverarbeiter, um die Seite auszuliefern und abzusichern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, schnellen Website). Wir selbst führen keine Zugriffsprotokolle, setzen keine Cookies und kein Tracking ein und nutzen keine Cloudflare Web Analytics. Cloudflare speichert sicherheitsbezogene Protokolle (Security Events) nach eigenen Angaben bis zu 31 Tage; diese Dauer können wir nicht verkürzen. Drittlandübermittlung: wie in §3.10 (EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln).

3.12 Empfänger (Übersicht)

Auftragsverarbeiter: Supabase (Hosting/Datenbank, Frankfurt), OpenAI (KI, nur mit Einwilligung), RevenueCat (Kaufstatus, USA), Resend / Plus Five Five, Inc. (Versand der Anmelde- und Support-E-Mails; Versand über EU-Region Irland, Kontodaten/Protokolle in den USA; AVV mit Standardvertragsklauseln, EU-US Data Privacy Framework; Protokolle 30 Tage), Cloudflare, Inc. (Website-Hosting, DNS, E-Mail-Weiterleitung; USA; AVV mit Standardvertragsklauseln, EU-US Data Privacy Framework). Übermittlungen in die USA stützen sich auf Art. 45 DSGVO (Data Privacy Framework) und ergänzend Art. 46 Abs. 2 lit. c DSGVO (Standardvertragsklauseln), siehe Art. 44 ff. DSGVO. Eigenständig Verantwortliche bzw. Dienstleister mit eigenen Nutzungsbedingungen: Google (Google Ireland Limited / Google LLC, USA: Postfach Gmail, in das Support-E-Mails weitergeleitet werden, sowie Google Fi als Mobilfunkanbieter der Support-Telefonnummer inkl. Mailbox; Übermittlung in die USA auf Grundlage von Art. 45 DSGVO bzw. Standardvertragsklauseln), Apple (Kauf, Zahlung, Anmeldung mit Apple), von Ihnen gewählte Arbeitgeber (Bewerbung, von Ihnen selbst gesendet).

4. Speicherdauer (Übersicht)

5. Konto löschen

Mehr › „Konto & alle Daten löschen“. Dabei löschen wir alle Daten bei Supabase und Ihre Kennung bei RevenueCat. Ein laufendes Abo kündigen Sie bitte zusätzlich bei Apple.

6. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO). Anfrage an [email protected].

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Beschwerderecht: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden, https://datenschutz.hessen.de – oder jede andere Aufsichtsbehörde.

7. Pflicht zur Bereitstellung

Für die Nutzung mit Konto ist eine E-Mail-Adresse oder Apple-ID erforderlich. KI-Funktionen und Synchronisierung sind freiwillig.

8. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen oder Dienstleister ändern. Bei neuen Einwilligungen fragen wir Sie erneut.