Datenschutzerklärung

Hier erklären wir, welche personenbezogenen Daten Loslegen verarbeitet, wofür und auf welcher Rechtsgrundlage (Art. 13 DSGVO). Kurz gesagt: Wir verarbeiten nur, was die Funktionen brauchen, nutzen keine Tracker und keine Werbung, und du kannst deine Daten jederzeit herunterladen oder löschen.

1. Verantwortlich

Verantwortlich

TODO: Vor- und Nachname bzw. Firma (mit Rechtsform)

Anschrift

TODO: Straße und Hausnummer, TODO: PLZ und Ort, Deutschland

E-Mail für Datenschutz

TODO: datenschutz@loslegen.app

TODO: Falls ein Datenschutzbeauftragter benannt ist, hier Name und Kontaktdaten angeben. Sonst diesen Absatz löschen.

2. Das Wichtigste in Kürze

• Ohne Konto bleiben deine Angaben auf deinem Gerät (Gastmodus).
• Mit Konto speichern wir dein Profil verschlüsselt in unserer Datenbank.
• Wir setzen nur ein technisch notwendiges Cookie und nutzen keine Analyse- oder Werbedienste.
• Betriebe sehen deine Daten nur, wenn du dich aktiv über Loslegen bei ihnen bewirbst.
• KI-Funktionen und Standortsuche laufen nur, wenn du sie anklickst.
• Datenexport und Kontolöschung findest du in den Einstellungen.

3. Hosting und Server-Protokolle

Loslegen läuft bei Cloudflare. Cloudflare liefert die Seite aus und betreibt unsere Server-Funktionen (Cloudflare Pages und Pages Functions). Dabei verarbeitet Cloudflare bei jedem Aufruf technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung (User-Agent) und ähnliche Angaben. Cloudflare nutzt diese Daten auch, um Angriffe abzuwehren.

Dienstleister

Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA – Hosting, Auslieferung, Pages Functions, Workers AI (EU-US Data Privacy Framework, Standardvertragsklauseln)

Cloudflare verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Dabei können Daten in die USA übermittelt werden. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten die Standardvertragsklauseln der EU-Kommission. Fehlermeldungen unserer Server-Funktionen können in den Protokollen von Cloudflare landen; wir nutzen sie nur zur Fehlersuche.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und schnellen Auslieferung (Art. 6 Abs. 1 lit. f DSGVO). Die Verbindung zwischen deinem Browser und Loslegen ist per HTTPS verschlüsselt.

4. Datenbank und Verschlüsselung

Konten, Profile und alle weiteren Inhalte speichern wir in einer MySQL-Datenbank bei unserem Webhoster, der ebenfalls in unserem Auftrag arbeitet.

Dienstleister

TODO: Ihr Webhoster für die MySQL-Datenbank (z. B. IONOS SE, Elgendorfer Str. 57, 56410 Montabaur)

Profile, Tracker-Einträge, Dokumente, Bewerbungen und Firmenangaben (außer dem Firmennamen) legen wir verschlüsselt ab (AES-GCM). Der Schlüssel liegt nicht in der Datenbank, sondern nur bei unseren Server-Funktionen. TODO: Aussagen zur Verschlüsselung (hier, in Abschnitt 2 und im Ratgeber „Für Eltern“) nur behalten, wenn APP_SECRET in Cloudflare gesetzt ist.

Unverschlüsselt bleiben Angaben, die wir für Anmeldung und Suche brauchen, zum Beispiel E-Mail-Adresse, Anzeigename, Altersgruppe und Bundesland, sowie öffentliche Stellenanzeigen. Passwörter speichern wir nie im Klartext, sondern nur als Hash.

5. Nutzung ohne Konto (Gastmodus)

Du kannst Loslegen ohne Konto nutzen. Dein Profil speichert dann dein Browser im lokalen Speicher (localStorage) auf deinem Gerät. Wir erhalten es nicht. Du kannst es jederzeit entfernen, indem du die Websitedaten in deinem Browser löschst. Legst du später ein Konto an, können deine Angaben vom Gerät in dein Konto übernommen werden.

Für die Jobsuche schickt dein Browser nur die nötigen Suchangaben an unseren Server: Altersgruppe, Bundesland, optional Postleitzahl und Umkreis, Suchbegriff, Interessen und gewünschte Jobarten. Wir speichern diese Anfragen nicht zu deiner Person. Damit es schneller geht, legt Cloudflare Suchergebnisse kurz im Zwischenspeicher ab, ohne Bezug zu dir.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn du nutzt unseren Dienst. Die Speicherung im Browser ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung erlaubt, weil sie für den von dir gewünschten Dienst unbedingt nötig ist.

6. Konto

Für ein Konto brauchen wir deine E-Mail-Adresse, ein Passwort, die Art des Kontos (Bewerbung oder Betrieb) und bei Bewerbungskonten deine Altersgruppe. Freiwillig sind Name und Bundesland. Außerdem speichern wir deine Spracheinstellung, wann du dich registriert und zuletzt angemeldet hast und bei den Altersgruppen 14 und 15 die Bestätigung, dass deine Eltern einverstanden sind.

Passwort und Wiederherstellungscode speichern wir nur als Hash. Mit dem Code kannst du dein Passwort auch ohne E-Mail zurücksetzen. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

7. Profil, Lebenslauf, Tracker und Dokumente

In deinem Profil entscheidest du selbst, was du angibst, zum Beispiel Name, Kontaktdaten, Adresse, Geburtsdatum, Foto, Schule, Abschlüsse, Erfahrungen, Kenntnisse, Sprachen, Stärken und Schwächen, Interessen, Zeitfenster sowie Wohnort und Umkreis. Daraus baut Loslegen deinen Lebenslauf und berechnet, wie gut Stellen zu dir passen. Das PDF deines Lebenslaufs erzeugt dein Browser über die Druckfunktion.

Im Bewerbungs-Tracker speicherst du Stellen, Status, Notizen und Termine, außerdem kannst du Anschreiben als Dokumente sichern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Freiwillige Angaben wie ein Foto machst du mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie jederzeit wieder entfernen.

8. Standort

Wenn du die Standortsuche antippst, fragt dein Browser um Erlaubnis. Die Koordinaten verarbeitet Loslegen nur auf deinem Gerät: Dort wird daraus die nächstgelegene Postleitzahl ermittelt. Die Liste der Postleitzahlen laden wir dafür von unserem eigenen Server (Daten von GeoNames). Für die Jobsuche geht nur die Postleitzahl an unseren Server.

Die Koordinaten landen nur in deinem Profil, wenn du es danach speicherst: ohne Konto auf deinem Gerät, mit Konto in unserer Datenbank. Sie dienen dann dazu, Entfernungen zu Stellen zu berechnen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit in den Browser-Einstellungen widerrufen und den Standort aus deinem Profil entfernen.

9. Stellenanzeigen und Jobquellen

Die Stellen stammen aus der Jobsuche der Bundesagentur für Arbeit, von Arbeitnow (nur für Erwachsene), von Adzuna (nur wenn eingerichtet, ab 16 Jahren) und aus Anzeigen, die Betriebe direkt bei Loslegen einstellen. Unser Server ruft die Anzeigen ab und schickt dabei nur Suchangaben wie Bundesland, Ort oder Postleitzahl, Umkreis und Suchbegriff. Deine IP-Adresse und dein Profil erhalten diese Anbieter von uns nicht.

Die ausführliche Beschreibung einer Anzeige der Bundesagentur für Arbeit lädt unser Server erst, wenn du sie öffnest. Gehst du zur Originalanzeige, verlässt du Loslegen. Dann gilt die Datenschutzerklärung der jeweiligen Seite, etwa der Bundesagentur für Arbeit, von Arbeitnow, von Adzuna oder des Betriebs.

10. Passt-Wert: keine automatisierten Entscheidungen

Den Prozentwert, wie gut eine Stelle zu dir passt, berechnen wir nach festen, offengelegten Regeln (siehe „Quellen und Transparenz“). Er ist nur ein Vorschlag. Es gibt keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO: Niemand wird dadurch ausgewählt oder abgelehnt, und du entscheidest selbst, wo du dich bewirbst. Die automatische Prüfung von Stellenanzeigen ist eine Hilfe für die Moderation; über die Freigabe entscheidet ein Mensch. Profile für Werbezwecke bilden wir nicht.

11. KI-Entwürfe mit Cloudflare Workers AI

Loslegen kann Anschreiben entwerfen und Texte für deinen Lebenslauf umformulieren. Das passiert nur, wenn du die KI-Funktion anklickst. Für ein Anschreiben schicken wir an Cloudflare Workers AI: Angaben zur Stelle (Titel, Betrieb, Art, Berufsfeld, Ort, Auszug aus der Beschreibung) und die dafür nötigen Angaben aus deinem Profil, etwa Altersgruppe, Schule, Abschlüsse, Erfahrungen, Stärken, Kenntnisse, Sprachen, Hobbys, Motivation und Zeitfenster. Name, Kontaktdaten und Foto schicken wir nicht mit. Beim Umformulieren geht nur der Text an die KI, den du dafür eingibst.

Die Sprachmodelle laufen auf der Infrastruktur von Cloudflare. Nach Angaben von Cloudflare werden Eingaben und Ergebnisse nicht zum Training von KI-Modellen verwendet. Das Ergebnis speichern wir nur, wenn du es als Dokument sicherst. Ist die KI nicht erreichbar, erstellt Loslegen den Entwurf aus einer Vorlage, ohne KI.

Rechtsgrundlage ist deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO); unter 16 müssen deine Eltern einverstanden sein (Art. 8 DSGVO). Die Übermittlung in die USA ist wie beim Hosting abgesichert. KI-Texte sind Entwürfe. Prüf sie, bevor du sie verwendest.

12. Bewerbungen über Loslegen

Bewirbst du dich über Loslegen auf die Anzeige eines Betriebs, erhält dieser Betrieb die Inhalte deines Lebenslaufs zum Zeitpunkt der Bewerbung, dein Anschreiben, deine Nachricht und deine E-Mail-Adresse. Nicht weitergegeben werden: dein Standort (Koordinaten und Suchradius), die Einwilligungsangaben, Schwächen und Gehaltswunsch; dein Geburtsdatum und Geburtsort nur, wenn du sie im Lebenslauf anzeigst, ein Foto nur, wenn du das auswählst. Der Betrieb kann den Status ändern und dir kurze Nachrichten schicken; beides siehst du in deinem Tracker.

Rechtsgrundlage für die Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO, denn du möchtest dich bewerben. Für die weitere Verwendung deiner Bewerbung ist der Betrieb selbst verantwortlich. Bei Anzeigen anderer Jobbörsen bewirbst du dich direkt beim Anbieter oder Betrieb; wir übermitteln dabei nichts.

13. Konten von Betrieben

Betriebe geben Firmendaten an: Name, Ansprechperson, E-Mail, Telefon, Website, Anschrift, Beschreibung und Größe. Der Firmenname und die Inhalte freigegebener Stellenanzeigen sind öffentlich sichtbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

14. Meldungen und Moderation

Meldest du eine Anzeige, speichern wir die Anzeige, den Grund, deine Beschreibung und, wenn du angemeldet bist, deine Nutzer-ID. Wir prüfen Meldungen und Anzeigen von Betrieben und halten unsere Entscheidungen mit Begründung fest. Zugriff haben nur Personen mit Admin-Rechten und nur, soweit es für Betrieb, Moderation und Support nötig ist.

Rechtsgrundlage sind unsere Pflichten aus dem Digital Services Act (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 DSA) und unser berechtigtes Interesse an einer sicheren Plattform (Art. 6 Abs. 1 lit. f DSGVO).

15. Schutz vor Missbrauch

Um Missbrauch zu verhindern, begrenzen wir die Zahl der Versuche, etwa bei Anmeldung, Registrierung, Passwort-Zurücksetzen, Bewerbungen, Meldungen, KI-Nutzung und Suchanfragen. Dafür speichern wir kurzzeitig einen Zähler zu deiner IP-Adresse, E-Mail-Adresse oder Nutzer-ID. Außerdem protokollieren wir wichtige Aktionen wie Registrierung, Kontolöschung, Bewerbungen und Moderationsentscheidungen mit Zeitpunkt und interner Nutzer-ID, ohne IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

16. E-Mails

Ist der E-Mail-Versand eingerichtet, schicken wir dir auf Wunsch einen Link zum Zurücksetzen deines Passworts. Der Link ist eine Stunde gültig. Ohne E-Mail-Versand nutzt du deinen Wiederherstellungscode.

Dienstleister

Optional: Resend, Inc. (nur wenn E-Mail-Versand eingerichtet ist)

Für den Versand verarbeitet Resend deine E-Mail-Adresse und den Inhalt der Nachricht. Resend sitzt in den USA und ist nach eigenen Angaben nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Schreibst du uns selbst eine E-Mail, nutzen wir deine Angaben nur, um dir zu antworten (Art. 6 Abs. 1 lit. b oder f DSGVO).

17. Cookies, lokaler Speicher und Schriften

Wir setzen genau ein Cookie: ll_sid. Es hält dich angemeldet, ist für Skripte nicht lesbar (HttpOnly), wird nur über HTTPS übertragen und läuft nach 30 Tagen ab. Es enthält eine zufällige Sitzungskennung; in unserer Datenbank liegt davon nur ein Hash. Weil das Cookie technisch notwendig ist, brauchen wir keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG) und zeigen kein Cookie-Banner. Tracking- oder Werbe-Cookies gibt es nicht.

Im Gastmodus nutzt Loslegen den lokalen Speicher deines Browsers (siehe Abschnitt 5). Schriften und Symbole liefern wir von unserem eigenen Server aus; es werden keine Schriften von Drittanbietern wie Google Fonts geladen.

18. Kinder und Jugendliche

Loslegen ist für Menschen ab 14 Jahren. Unter 16 ist eine Registrierung nur mit Einverständnis der Eltern möglich (Art. 8 DSGVO); das bestätigst du bei der Anmeldung. Eltern können sich jederzeit an TODO: datenschutz@loslegen.app wenden, etwa wenn sie die Löschung des Kontos ihres Kindes wünschen.

19. Empfänger

• Cloudflare: Hosting, Server-Funktionen und KI (Auftragsverarbeiter)
• unser Webhoster: Datenbank (Auftragsverarbeiter)
• Resend: E-Mail-Versand, nur wenn eingerichtet (Auftragsverarbeiter)
• Betriebe: nur wenn du dich über Loslegen aktiv bei ihnen bewirbst
• Behörden: nur wenn wir gesetzlich dazu verpflichtet sind

Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.

20. Speicherdauer

• Konto, Profil, Tracker und Dokumente: bis du dein Konto löschst
• Sitzungen: 30 Tage oder bis du dich abmeldest
• Links zum Zurücksetzen des Passworts: eine Stunde gültig
• Zähler gegen Missbrauch: nur für ihr Zeitfenster von 15 Minuten bis 24 Stunden
• Bewerbungen über Loslegen: bis du oder der Betrieb das jeweilige Konto löscht
• Stellenanzeigen von Betrieben: öffentlich bis zum Ende der Laufzeit, gespeichert bis zur Löschung des Betriebskontos
• Gastmodus: bis du die Daten in deinem Browser löschst

TODO: Speicherfristen für das Aktionsprotokoll, erledigte Meldungen, Datenbank-Sicherungen beim Webhoster und die Protokolle bei Cloudflare festlegen bzw. prüfen und hier eintragen.

21. Deine Rechte

• Auskunft über deine Daten (Art. 15 DSGVO)
• Berichtigung falscher Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du dem jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben.

In den Einstellungen kannst du alle Daten als Datei herunterladen und dein Konto selbst löschen. Für alles andere schreib uns an TODO: datenschutz@loslegen.app. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO).

Liste der Datenschutz-Aufsichtsbehörden

22. Musst du Daten angeben?

Nein. Ohne E-Mail-Adresse und Passwort können wir aber kein Konto anlegen. Loslegen funktioniert dann im Gastmodus auf deinem Gerät.

Stand: 31.10.2026