Datenschutzerklärung

Internities GmbH — Website internities.com, Plattform app.internities.com und Verwaltungsoberfläche admin.internities.com

Diese Fassung führt die am 5. Juli 2026 veröffentlichte Fassung 1.1 fort. Sie bildet den Leistungs- und Verarbeitungsumfang ab, der mit der Freischaltung der Studierendenfläche am 1. September 2026 wirksam wird. Der Text enthält keine Vorbehalte, Platzhalter oder Redaktionshinweise.

Diese Datenschutzerklärung informiert Sie nach Art. 13 und Art. 14 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden „DSGVO") darüber, welche personenbezogenen Daten wir verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht, an wen wir Daten weitergeben, wie lange wir sie speichern und welche Rechte Ihnen zustehen.

Internities ist eine zweiseitige Praktikums-Vermittlungsplattform. Studierende erstellen ein Profil, laden Unterlagen hoch und bewerben sich auf Praktikums- und Werkstudentenstellen. Unternehmen schreiben Stellen aus, sichten Bewerbungen und entscheiden über Einladung und Absage. Daneben zeigen wir Stellenanzeigen, die wir von öffentlich zugänglichen Karriereseiten übernehmen, und wir betreiben ein Ambassador-Programm mit studentischen Empfehlungsgebern. Wo es für das Verständnis erforderlich ist, unterscheiden wir im Folgenden ausdrücklich zwischen diesen Nutzergruppen.

Wir haben diese Erklärung so aufgebaut, dass Sie zu jeder einzelnen Verarbeitung den Zweck, die Rechtsgrundlage, die Empfänger und die Speicherdauer finden. Die Abschnitte 5 bis 19 folgen dem Ablauf, den Sie bei uns durchlaufen. Die Abschnitte 20 bis 26 fassen die querschnittlichen Angaben zusammen: automatisierte Entscheidungen, fremdbeschaffte Daten, erforderliche Angaben, Empfänger, Drittlandübermittlungen, Speicherdauer und Sicherheit. Die Abschnitte 27 bis 29 betreffen Ihre Rechte.

Diese Erklärung besteht in einer deutschen und einer englischen Sprachfassung. Beide tragen dasselbe Datum, werden gleichzeitig veröffentlicht und geben denselben Verarbeitungsumfang wieder; sie werden nur gemeinsam geändert. Maßgeblich ist die deutsche Fassung. Die englische Fassung dient dem Verständnis; weicht sie inhaltlich ab, gilt der deutsche Text. Die frühere englische Fassung 1.1 bildet den hier beschriebenen Verarbeitungsumfang nicht mehr ab und wird nicht neben dieser Fassung ausgeliefert.

1. Verantwortliche, Kontakt und Geltungsbereich

1.1 Verantwortliche

Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO ist:

Internities GmbH, Hansastraße 42, 20144 Hamburg, Deutschland. Eingetragen im Handelsregister des Amtsgerichts Hamburg unter HRB 197434. Umsatzsteuer-Identifikationsnummer DE460791180. Vertreten durch die Geschäftsführung: Gwendolin Lüders, Alexander Krink, Boris Albert. E-Mail: hello@internities.de

Im Folgenden sprechen wir von „Internities", „wir" oder „uns".

1.2 Kontakt in Datenschutzfragen

Für alle Anliegen zum Datenschutz — Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch, Widerruf einer Einwilligung, Anforderung einer Kopie der Garantien für Drittlandübermittlungen nach Abschnitt 24 oder das Verlangen nach einer Überprüfung einer automatisierten Entscheidung durch eine Person — erreichen Sie uns unter:

• E-Mail: hello@internities.de
• Postanschrift: Internities GmbH, Hansastraße 42, 20144 Hamburg

Unsere E-Mail-Adresse endet auf .de, obwohl unsere Website unter internities.com erreichbar ist. Das ist kein Fehler; beide Adressen gehören zu uns.

Anfragen an hello@internities.de gehen in einem Postfach ein, das bei Microsoft gehostet wird. Microsoft ist insoweit unser Auftragsverarbeiter (Abschnitt 23); für den Drittlandbezug gelten die Angaben in Abschnitt 24.

Wir sind in der Union niedergelassen; ein Vertreter nach Art. 27 DSGVO ist deshalb nicht zu benennen.

1.3 Geltungsbereich

Diese Erklärung gilt für unsere Website internities.com, für die Plattform app.internities.com, für unsere interne Verwaltungsoberfläche admin.internities.com und für die E-Mails, die wir Ihnen in diesem Zusammenhang senden. Sie gilt für

• Studierende und Studieninteressierte, die unsere Plattform nutzen oder ihre Nutzung beantragen,
• Personen, die für ein Unternehmen handeln, das ein Unternehmenskonto bei uns führt oder anlegt,
• Teilnehmerinnen und Teilnehmer unseres Ambassador-Programms sowie Personen, die sich dafür bewerben,
• Besucherinnen und Besucher unserer Websites und
• Personen, deren Daten wir nicht bei ihnen selbst erhoben haben; für diese Gruppe gilt zusätzlich Abschnitt 21.

Für die Beschäftigten von Internities gilt diese Erklärung nur insoweit, als sie die Plattform selbst als Nutzer verwenden. Über die Verarbeitung ihrer Daten im Beschäftigungsverhältnis — einschließlich der in den Abschnitten 18.2 bis 18.4 beschriebenen Protokolle — informieren wir sie gesondert.

Für Websites Dritter, auf die wir verlinken — insbesondere für die Karriereseiten der Unternehmen, auf denen Sie sich bei externen Stellenanzeigen bewerben (Abschnitt 13) —, gelten die Datenschutzhinweise der jeweiligen Anbieter.

1.4 Mindestalter

Unsere Plattform richtet sich ausschließlich an Personen, die das 18. Lebensjahr vollendet haben; ein Angebot an Minderjährige erfolgt nicht. Mit der Registrierung und Nutzung sichern Sie zu, dass Sie volljährig sind. Da sich unser Angebot ausschließlich an Volljährige richtet, verarbeiten wir wissentlich keine personenbezogenen Daten von Minderjährigen; die besondere Einwilligungsschwelle für Kinder nach Art. 8 Abs. 1 DSGVO ist deshalb nicht einschlägig. Wir prüfen das Alter nicht gesondert und erheben kein Geburtsdatum. Erlangen wir Kenntnis davon, dass eine minderjährige Person ein Konto führt oder uns Daten übermittelt hat, löschen wir das Konto und die zugehörigen Daten unverzüglich und behandeln bis dahin erteilte Einwilligungen als unwirksam.

1.5 Was wir nicht tun

Damit Sie die folgenden Abschnitte einordnen können, vorab vier Klarstellungen:

• Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken Dritter weiter.
• Wir stellen Ihre Inhalte den von uns eingesetzten Anbietern künstlicher Intelligenz nicht zum Training oder zur Feinabstimmung von Modellen zur Verfügung; das ist vertraglich ausgeschlossen (Abschnitt 10.4).
• Wir binden auf unseren Seiten keine Werbenetzwerke und keine Social-Media-Plugins ein. In unseren E-Mails setzen wir keine Zählpixel ein; Öffnungen und Klicks werten wir nicht aus (Abschnitt 17.3).
• Es gibt keine für Unternehmen durchsuchbare Kandidatendatenbank. Ein Unternehmen sieht von Ihnen erst dann etwas, wenn Sie sich bei ihm beworben haben (Abschnitt 12.2).

2. Begriffe, die in diesem Text häufig vorkommen

• Rolle ist eine Praktikums- oder Werkstudentenstelle, die auf der Plattform dargestellt wird.
• Partnerunternehmen sind Unternehmen mit eigenem Konto bei uns, die ihre Rollen selbst anlegen und über die Plattform Bewerbungen entgegennehmen.
• Externe Stellenanzeigen sind Rollen, die wir von öffentlich zugänglichen Karriereseiten übernehmen. Die betreffenden Unternehmen sind keine Kunden von uns und erhalten über uns keine Bewerbungen (Abschnitt 13).
• ESCO ist die von der Europäischen Kommission herausgegebene europäische Klassifikation für Fähigkeiten, Kompetenzen und Berufe. Wir verwenden sie als gemeinsames Vokabular für den Abgleich zwischen Profilen und Rollen und bezeichnen sie im Folgenden als „europäischen Kompetenzkatalog".
• Übereinstimmungswert ist die rechnerische Kennzahl, die ausdrückt, wie gut Ihr Profil zu den Anforderungen einer Rolle passt (Abschnitt 11).
• Auftragsverarbeiter sind Dienstleister, die personenbezogene Daten ausschließlich nach unserer Weisung und auf Grundlage eines Vertrags nach Art. 28 Abs. 3 DSGVO verarbeiten.

3. Welche Kategorien personenbezogener Daten wir verarbeiten

3.1 Alle Nutzergruppen

• Kontodaten: Name, E-Mail-Adresse, Passwort-Prüfwert oder Anmeldung ohne Passwort, Rolle (Studierende, Unternehmen, Ambassador), Sprachwahl.
• Nutzungs- und Protokolldaten: IP-Adresse, Zeitstempel, Geräte- und Browserinformationen, Anwendungsereignisse wie Anmeldungen, Seitenaufrufe und Bewerbungen.
• Kommunikationsdaten: Support-Anfragen und -Nachrichten, plattforminterne Nachrichten, Benachrichtigungen, E-Mail-Korrespondenz mit unserem Team.
• Nachweise über Vertrags- und Einwilligungsannahmen: Zeitpunkt, Fassung des angenommenen Textes, Quelle der Erklärung, IP-Adresse und Browserkennung.

3.2 Studierende

• Profildaten: Hochschule, Studienfach und Studienfelder, Studienabschnitt, angestrebter und höchster erreichter Abschluss, voraussichtlicher Abschlusszeitpunkt, Gesamtnote, Fähigkeiten, Interessengebiete, Präferenzen zum Arbeitsumfeld, Sprachkenntnisse, Links auf Profile Dritter (etwa LinkedIn oder GitHub), Angaben zur Arbeitserlaubnis, aktueller Wohnort und Umzugsbereitschaft, Verfügbarkeitszeitraum und gewünschte Dauer sowie ein frei formulierter Kurztext über Sie.
• Angaben zu früheren Tätigkeiten: Name des früheren Arbeitgebers als Freitext sowie Branche und Dauer aus vorgegebenen Listen.
• Angaben zu Auszeichnungen und außercurricularem Engagement.
• Hochgeladene Dokumente: Lebenslauf, Notenauszüge, Zeugnisse, Zertifikate, Empfehlungsschreiben, Anschreiben und Immatrikulationsnachweise, jeweils einschließlich des daraus erkannten Textes und der daraus abgeleiteten strukturierten Angaben.
• Ergebnis der Immatrikulationsprüfung und die dafür eingereichten Nachweise.
• Antworten auf die Fragebögen zu Interessen und zum bevorzugten Arbeitsumfeld.
• Abgleichsdaten: dem europäischen Kompetenzkatalog zugeordnete Fähigkeiten, Übereinstimmungswerte, Eignungsbänder, Passungswort und Prüfliste zu externen Stellenanzeigen (Abschnitt 13.2), akademische Kennzahl, Ausschlussgründe bei zwingenden Anforderungen und die zugehörigen Berechnungsspuren.
• Bewerbungsdaten: Bewerbungsstatus, Zeitpunkte, Absageentscheidungen und Absagenachweise.
• Verbindungs- und Kommunikationsdaten: Kontaktanfragen und deren Status, die nach Annahme freigegebene E-Mail-Adresse, Chat-Nachrichten und Anhänge, Interviewtermine und Kalenderdateien.
• Klicks auf externe Stellenanzeigen (Abschnitt 13.3).
• Ausschließlich im Rahmen einer Übergabe nach bestätigter Einstellung (Abschnitt 12.7): Telefonnummer und Postanschrift.

Ein Geburtsdatum erheben wir nicht als Profilfeld. Enthält ein von Ihnen hochgeladenes Dokument ein Geburtsdatum, gilt Abschnitt 9.

3.3 Unternehmen und deren Mitarbeitende

• Unternehmensdaten: Firmenname, Branche, Website, Standort, Logo und Titelbild.
• Ansprechpersonen und Teammitglieder: Namen, E-Mail-Adressen, Rollen und Berechtigungen; bei eingeladenen, noch nicht registrierten Personen die zur Einladung verwendete E-Mail-Adresse.
• Stellenanzeigen, Antworten des Stellen-Fragebogens, Anforderungsprofile, Bearbeitungssitzungen, veröffentlichte Fassungen sowie die daraus erzeugten Beschreibungs- und Zusammenfassungstexte.
• Abrechnungsdaten: Abonnement- und Planstatus, Kundenkennung und Abonnementkennung des Zahlungsdienstleisters, Rechnungs-E-Mail-Adresse, Umfang der freigeschalteten Rollenkontingente, Zeitraum einer Testphase sowie Vorgangsprotokolle der Abrechnungsvorgänge einschließlich der von Stripe zurückgegebenen Verweise auf die jeweilige Bezahl- oder Verwaltungsseite. Die eigentlichen Zahlungs- und Rechnungsdaten werden ausschließlich beim Zahlungsdienstleister verarbeitet (Abschnitt 15).

3.4 Ambassadors

• Bewerbungsdaten: Name, E-Mail-Adresse, Telefonnummer, Hochschule, Studiengang, Semester, Angaben zu Hochschulgruppen und Reichweite, Freitext zur Motivation, verfügbare Wochenstunden, Sprachen, optionale Kennungen in beruflichen und sozialen Netzwerken und ein Freitextfeld für Empfehlungen.
• Teilnahmenachweise: Fassung und Zeitpunkt der Annahme der Programmbedingungen, ein Prüfwert über den angenommenen Text, IP-Adresse, Browserkennung und ein Abbild der Identitätsangaben zum Zeitpunkt der Annahme.
• Attributionsdaten zu geworbenen Unternehmen (Abschnitt 16.3).
• Prämien- und Auszahlungsdaten: Kennung des Auszahlungskontos und Freigabestatus. Ausweis-, Steuer- und Bankdaten geben Sie ausschließlich bei unserem Zahlungsdienstleister ein (Abschnitt 16.5).
• Private Notizen im Ambassador-Dashboard, die ausschließlich für Sie selbst sichtbar sind.

3.5 Personen, deren Daten wir nicht bei ihnen selbst erhoben haben

Hierzu gehören Ansprechpersonen, die in übernommenen Stellenanzeigen genannt sind, in Freitexten anderer Nutzerinnen und Nutzer genannte Dritte — etwa Referenzpersonen in Empfehlungsschreiben und Lebensläufen —, im Empfehlungsfeld einer Ambassador-Bewerbung benannte Personen sowie eingeladene Teammitglieder von Unternehmen. Für diese Personen gilt Abschnitt 21.

4. Zwecke und Rechtsgrundlagen im Überblick

Wir nennen die Rechtsgrundlage bei jeder Verarbeitung im jeweiligen Abschnitt einzeln. Dieser Abschnitt fasst sie nach Rechtsgrundlagen geordnet zusammen, damit Sie insbesondere erkennen können, gegen welche Verarbeitungen Ihnen das Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO zusteht.

4.1 Verarbeitungen zur Erfüllung des Nutzungsvertrags — Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO

• Registrierung, Zugangsantrag, Anmeldung und Sitzungsverwaltung (Abschnitt 6).
• Prüfung des Immatrikulationsstatus als Voraussetzung des Vertragsschlusses (Abschnitt 7).
• Anlage und Pflege des Studierendenprofils, der Interessen, der Präferenzen zum Arbeitsumfeld, der Angaben zu früheren Tätigkeiten, zu Auszeichnungen und Engagement sowie der Merklisten (Abschnitt 8).
• Speicherung und Bereitstellung hochgeladener Dokumente, deren Texterkennung und Strukturauswertung (Abschnitt 9).
• Zuordnung von Fähigkeiten und Anforderungen zum europäischen Kompetenzkatalog und Berechnung der Übereinstimmungswerte (Abschnitt 11).
• Bewerbung, Bewerbungsverwaltung, Statusführung und die daran anschließende Kommunikation (Abschnitt 12).
• Anlage von Unternehmenskonten, Mitgliederverwaltung, Stellenanlage und die dazugehörigen KI-Funktionen (Abschnitte 10.3 und 14).
• Abwicklung von Abonnements und kostenpflichtigen Zugängen (Abschnitt 15).
• Bewerbung und Durchführung des Ambassador-Programms sowie Terminbuchungen (Abschnitt 16).
• Versand vertragsdienlicher System- und Statusnachrichten (Abschnitt 17.1).
• Bearbeitung von Support-Anfragen der Nutzerinnen und Nutzer (Abschnitt 18.1).

4.2 Verarbeitungen aufgrund Ihrer Einwilligung — Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO

• Übermittlung des aus Ihren Dokumenten gewonnenen Textes an das Modell, das Ihre Fähigkeiten dem europäischen Kompetenzkatalog zuordnet (Abschnitte 9.5 und 11.1).
• Freigabe Ihrer Kontakt-E-Mail-Adresse an ein Unternehmen nach Annahme einer Kontaktanfrage (Abschnitt 12.5).
• Übergabe Ihrer Stammdaten und der von Ihnen ausgewählten Dokumente an das einstellende Unternehmen nach einer bestätigten Einstellung (Abschnitt 12.7); soweit die freigegebenen Dokumente Angaben nach Art. 9 Abs. 1 DSGVO enthalten, zusätzlich Art. 9 Abs. 2 lit. a DSGVO.
• Automatisierte Prüfung Ihres Immatrikulationsnachweises, soweit dieser Angaben nach Art. 9 Abs. 1 DSGVO enthält (Abschnitt 7.3); zusätzlich Art. 9 Abs. 2 lit. a und Art. 22 Abs. 4 DSGVO.
• Werbliche E-Mails (Abschnitt 17.4), zusätzlich gestützt auf § 7 Abs. 2 Nr. 2 UWG.
• Setzen und Auslesen des Empfehlungs-Cookies (Abschnitt 5.3), zusätzlich gestützt auf § 25 Abs. 1 TDDDG.
• Reichweitenmessung mit Vercel Web Analytics (Abschnitt 5.5), zusätzlich gestützt auf § 25 Abs. 1 TDDDG.

Jede Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerruflich; die Einzelheiten stehen in Abschnitt 27.7.

4.3 Verarbeitungen zur Wahrung berechtigter Interessen — Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO

Wir benennen bei jeder dieser Verarbeitungen das konkrete Interesse, das wir verfolgen:

• Auslieferung der Websites und die dabei beim Hoster anfallenden technischen Verbindungsprotokolle. Interesse: technisch fehlerfreier und gegen Missbrauch geschützter Betrieb (Abschnitt 5.1).
• Sicherheit der Plattform, Missbrauchs- und Betrugsabwehr, Schadsoftwareprüfung hochgeladener Dateien, Ratenbegrenzung und Bot-Abwehr. Interesse: Schutz der Konten, der hochgeladenen Unterlagen und der Verfügbarkeit des Dienstes vor Angriffen, Massenanlagen und Schadsoftware (Abschnitte 5.6, 9.2, 19.3).
• Betrieb, Fehlerdiagnose und Stabilität, einschließlich der Fehlererfassung im Browser, der internen Fehlerprotokollierung und der technischen Nutzungstelemetrie unserer KI-Funktionen. Interesse: Erkennung und Behebung von Störungen sowie Kontrolle der Kosten und der Auslastung der eingesetzten Modelle (Abschnitte 5.7, 19.1, 19.2).
• Nachweis erteilter Einwilligungen und Verwaltung von Verbindungen. Interesse: Erfüllung unserer Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO (Abschnitte 6.4, 12.5).
• Dokumentation von Absageentscheidungen und Zustellnachweis der Absage-E-Mail. Interesse: Beweisvorsorge zur Verteidigung gegen Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz innerhalb der Fristen des § 15 Abs. 4 AGG und des § 61b Abs. 1 ArbGG (Abschnitt 12.3).
• Fortbestehen eines minimalen Eintrags nach der Löschung einer abgelehnten Bewerbung. Interesse: Vermeidung einer versehentlichen erneuten Bewerbung auf dieselbe veröffentlichte Fassung derselben Rolle (Abschnitt 12.8).
• Übernahme, Auswertung und Anzeige öffentlich zugänglicher Stellenanzeigen. Interesse: Aufbau eines für Studierende brauchbaren Stellenangebots auch dort, wo noch keine Vertragsbeziehung zu dem ausschreibenden Unternehmen besteht (Abschnitt 13.1).
• Protokollierung des Klicks auf eine externe Stellenanzeige. Interesse: Nachvollziehbarkeit Ihres eigenen Bewerbungsverlaufs und Messung, welche Anzeigenquellen für Studierende überhaupt nützlich sind (Abschnitt 13.3).
• Ordnung der Liste externer Stellenanzeigen nach der Nähe zu Ihren Interessengebieten, Ihrer Branchenpräferenz, Ihrer Vorerfahrung und Ihrem Studienfach. Interesse: Ihnen aus einem großen Bestand fremdbeschaffter Anzeigen zuerst die inhaltlich naheliegenden zu zeigen (Abschnitt 13.2).
• Protokollierung der Katalogsuche und der Betriebssignale des Abgleichs. Interesse: Qualität, Richtigkeit und Nachvollziehbarkeit der Zuordnung (Abschnitte 11.6, 19.4).
• Zuordnung von Empfehlungen zu Ambassadors ohne Cookie über die Kontometadaten sowie die Anzeige des Vornamens und des ersten Buchstabens des Nachnamens bei Eingabe eines Empfehlungscodes. Interesse: korrekte und manipulationsfeste Zuordnung provisionsrelevanter Empfehlungen (Abschnitt 16.3).
• Zustellprotokoll unserer E-Mails. Interesse: zuverlässige Zustellung, Erkennung unzustellbarer Adressen und Fehlerdiagnose (Abschnitt 17.3).
• Beachtung von Widersprüchen und Unzustellbarkeiten über eine Sperrliste, soweit der Eintrag nicht bereits auf einem Widerruf oder Widerspruch beruht. Interesse: dauerhafte Vermeidung unzustellbarer Sendungen (Abschnitt 17.6).
• Interne Benachrichtigungen an unser Team. Interesse: geordneter interner Betrieb und zeitnahe Reaktion auf Störungen (Abschnitt 17.7).
• Aufbewahrung einer Meldung rechtswidriger Inhalte und der zu ihr getroffenen Entscheidung über die Bearbeitung hinaus. Interesse: Nachweis der ordnungsgemäßen und nicht willkürlichen Bearbeitung gegenüber der Aufsicht und im Streitfall sowie Erkennung missbräuchlicher Mehrfachmeldungen (Abschnitt 18.5).
• Interne Verwaltungssichten, protokollierte Offenlegung personenbezogener Daten gegenüber unseren Mitarbeitenden und die lesende Ansicht aus Nutzerperspektive. Interesse: Betrieb, Support und Missbrauchsaufklärung bei zugleich nachvollziehbarer Kontrolle des Mitarbeiterzugriffs (Abschnitte 18.2 bis 18.4).
• Kommunikation mit Ansprechpersonen von Unternehmen im Rahmen der Geschäftsbeziehung sowie deren Zuordnung zu Bearbeitungsvorgängen (Abschnitte 14.1, 14.4).
• Weitergabe an Behörden und Gerichte, soweit sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Interesse: Rechtsverteidigung (Abschnitt 23.4).

Gegen jede dieser Verarbeitungen können Sie nach Art. 21 Abs. 1 DSGVO Widerspruch einlegen; gegen Direktwerbung gilt der gesonderte Hinweis in Abschnitt 28.

4.4 Verarbeitungen zur Erfüllung rechtlicher Pflichten — Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO

• Nachweis erteilter Einwilligungen und angenommener Vertragsfassungen, Art. 7 Abs. 1 DSGVO (Abschnitt 6.4).
• Umsetzung und Dokumentation von Widerruf und Widerspruch, Art. 7 Abs. 3 und Art. 21 Abs. 3 DSGVO (Abschnitte 17.6 und 17.7).
• Bearbeitung und Dokumentation von Betroffenenanfragen, Art. 12 bis Art. 22 DSGVO (Abschnitt 27).
• Löschung und Anonymisierung fälliger Daten, Art. 5 Abs. 1 lit. e und Art. 17 Abs. 1 lit. a DSGVO (Abschnitt 19.5).
• Sicherstellung der sachlichen Richtigkeit ausgelesener Noten, Art. 5 Abs. 1 lit. d und Art. 16 DSGVO (Abschnitt 8.3).
• Rechnungsstellung, Buchführung und Aufbewahrung nach § 14 UStG, § 14b UStG, § 147 AO und § 257 HGB (Abschnitt 15.5).
• Dokumentation der Widerrufsbelehrung und einer etwaigen Erklärung zum vorzeitigen Beginn der Leistung nach §§ 312f, 355 ff. BGB (Abschnitt 15.4).
• Betrieb des Meldeverfahrens für rechtswidrige Inhalte, Empfangsbestätigung und Entscheidungsmitteilung nach Art. 16 der Verordnung (EU) 2022/2065 (Abschnitt 18.5).

5. Aufruf unserer Websites, Cookies und Zugriff auf Ihre Endeinrichtung (§ 25 TDDDG)

5.1 Auslieferung der Seiten und Protokolle des Hosters

Unsere drei Oberflächen werden von Vercel Inc. betrieben; die Auslieferung und die Ausführung des Servercodes erfolgen in einem Rechenzentrum in Frankfurt am Main. Beim Aufruf jeder Seite verarbeitet unser Hoster technische Verbindungsdaten: die IP-Adresse Ihres Endgeräts, den angeforderten Pfad, die Anfragemethode, Zeitstempel sowie Angaben zu Browser und Betriebssystem. Wir selbst führen darüber kein eigenes Protokoll; die Daten fallen bei unserem Hoster an, der insoweit als unser Auftragsverarbeiter tätig wird. Wir übernehmen diese Protokolle nicht in unsere eigenen Systeme; sie entstehen und liegen ausschließlich bei unserem Hoster und werden dort nach dessen für den von uns gebuchten Tarif geltender Aufbewahrungsregel gelöscht. Maßgebliches Kriterium für die Dauer ist die Erforderlichkeit für die Auslieferung der Seiten, die Fehlersuche und die Abwehr von Angriffen (Art. 13 Abs. 2 lit. a Alt. 2 DSGVO); darüber hinaus werden sie nicht vorgehalten. Die zum Zeitpunkt Ihrer Anfrage geltende Frist und ihre Fundstelle in der Dokumentation unseres Hosters teilen wir Ihnen auf Anfrage unter hello@internities.de mit. Zur Speicherdauer im Übrigen siehe Abschnitt 25.

Zweck ist die Auslieferung der Website, die Stabilität des Betriebs sowie die Erkennung und Abwehr von Angriffen und Überlastung. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einem technisch fehlerfreien und gegen Missbrauch geschützten Betrieb.

5.2 Unbedingt erforderliche Speicherung auf Ihrer Endeinrichtung

Wir speichern Informationen auf Ihrer Endeinrichtung und greifen darauf zu, soweit dies unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen. Der Zugriff ist insoweit nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei zulässig; die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO für die Anmeldesitzung und im Übrigen auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einer funktionsfähigen, bedienbaren und sicheren Bereitstellung. Es handelt sich um die folgenden Einträge:

• sb-…-auth-token (Cookie) — Ihre Anmeldesitzung. Laufzeit: nach dem Sitzungs- und Erneuerungszyklus der Anmeldung.
• NEXT_LOCALE (Cookie) — die von Ihnen gewählte Sprache. Laufzeit: 1 Jahr bei ausdrücklicher Sprachwahl, sonst bis zum Ende der Sitzung.
• internities_consent_v1 (lokaler Speicher) — Ihre Entscheidung im Einwilligungsbanner. Laufzeit: bis Sie den Speicher Ihres Browsers löschen oder wir die Fassung des Banners wechseln.
• internities_launch_preview (Cookie, nur nach Eingabe eines Schlüssels, signiert und für Skripte nicht lesbar) — internes Vorschau-Gate für gestaffelte Freischaltungen. Laufzeit: 30 Tage.
• announcement-dismissed:… und system-status-dismissed:… (Sitzungsspeicher) — von Ihnen ausgeblendete Hinweisleisten. Laufzeit: bis zum Ende der Sitzung.
• internities.locale.synced (Sitzungsspeicher) — technischer Schutz gegen doppelten Sprachabgleich. Laufzeit: bis zum Ende der Sitzung.
• companyWalkthroughDismissed:… und companyWalkthroughSeenSteps:… (lokaler Speicher) — Fortschritt der Einführungshilfe auf der Unternehmensseite; die maßgebliche Speicherung erfolgt serverseitig in Ihrem Profil. Laufzeit: bis Sie den Speicher Ihres Browsers löschen.
• student-roles-density (lokaler Speicher) — die von Ihnen gewählte Darstellungsdichte der Stellenliste. Laufzeit: bis Sie den Speicher Ihres Browsers löschen.
• internities.viewAs (lokaler Speicher) und admin:saved-views:… (lokaler Speicher) — nur in unserer internen Verwaltungsoberfläche und nur für unsere Mitarbeitenden: Metadaten der Ansicht aus Nutzerperspektive nach Abschnitt 18.3 und gespeicherte Filteransichten. Laufzeit: bis zum Abmelden aus der Verwaltungsoberfläche.

5.3 Einwilligungspflichtige Technologien

Ohne Ihre Einwilligung setzen wir keine weiteren Cookies und speichern keine weiteren Informationen auf Ihrer Endeinrichtung. Einwilligungspflichtig sind zwei Kategorien:

• Empfehlungszuordnung — das Cookie internities_ref mit dem Empfehlungscode eines Ambassadors, Laufzeit 45 Tage. Es wird ausschließlich auf app.internities.com und ausschließlich dann gesetzt, wenn Sie für diese Kategorie eingewilligt haben. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Einzelheiten in Abschnitt 16.3.
• Reichweitenmessung — Vercel Web Analytics, siehe Abschnitt 5.5.

5.4 Einwilligungsbanner, Widerruf und Bindung an die jeweilige Adresse

Beim ersten Besuch zeigen wir ein Banner, in dem Sie die optionalen Kategorien einzeln erlauben oder ablehnen können. Auf der ersten Ebene steht „Nur erforderliche" gleichrangig neben „Alle akzeptieren"; nichts ist vorausgewählt. Unbedingt erforderliche Technologien nach Abschnitt 5.2 bleiben in jedem Fall aktiv.

Ihre Entscheidung können Sie jederzeit ändern — über den Link „Cookie-Einstellungen" im Seitenfuß oder, wenn Sie den Link nicht finden, durch eine formlose Nachricht an hello@internities.de. Der Widerruf ist ebenso einfach wie die Erteilung (Art. 7 Abs. 3 S. 4 DSGVO) und wirkt sofort.

Ihre Entscheidung wird ausschließlich lokal in Ihrem Browser gespeichert; wir legen davon keine Kopie auf unseren Servern an. Weil Browser den lokalen Speicher je Adresse getrennt führen, gilt Ihre Entscheidung jeweils nur für die Adresse, auf der Sie sie getroffen haben: internities.com und app.internities.com führen getrennte Entscheidungen, und Sie werden auf beiden einmal gefragt. Wenn Sie den lokalen Speicher löschen oder ein anderes Gerät verwenden, fragen wir erneut.

5.5 Reichweitenmessung

Wir setzen Vercel Web Analytics zur Reichweiten- und Nutzungsmessung ein. Erfasst werden Seitenaufrufe, die verweisende Seite, das Land, der Browsertyp und der Gerätetyp. Nach dem Verfahren des Anbieters werden dabei keine Cookies gesetzt und keine geräteübergreifenden Kennungen gebildet. Weil dabei gleichwohl technische Merkmale Ihres Browsers ausgelesen werden, holen wir vorsorglich Ihre Einwilligung nach § 25 Abs. 1 TDDDG ein. Die Verwaltungsoberfläche admin.internities.com wird nicht gemessen.

Die Messung startet erst, nachdem Sie im Banner für die Kategorie „Analyse" eingewilligt haben; vorher wird kein entsprechendes Skript geladen. Widerrufen Sie Ihre Einwilligung, endet die Übermittlung sofort. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO. Empfänger ist Vercel Inc.; zum Drittlandbezug siehe Abschnitt 24.

5.6 Bot-Abwehr

Auf öffentlich zugänglichen Formularstrecken — Anmeldung, Zugangsantrag, Immatrikulationsprüfung, Registrierung von Unternehmen, Ambassador-Bewerbung und Einlösung von Zugangscodes — setzen wir Cloudflare Turnstile ein, um automatisierte Massenanfragen abzuwehren. Das dafür erforderliche Prüfmodul wird beim Aufruf der jeweiligen Seite von challenges.cloudflare.com geladen. Turnstile kann dabei auf Informationen in Ihrer Endeinrichtung zugreifen und wertet technische Merkmale Ihres Browsers aus; zur Prüfung übermitteln wir ein einmalig verwendbares Token und Ihre IP-Adresse an Cloudflare. Turnstile dient ausschließlich der Missbrauchsabwehr und nicht der Reichweitenmessung. Die Prüfsignale speichern wir nicht.

Wir stützen den Zugriff auf Ihre Endeinrichtung auf § 25 Abs. 2 Nr. 2 TDDDG und die anschließende Verarbeitung auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse, öffentlich zugängliche Formulare vor automatisiertem Missbrauch zu schützen.

5.7 Fehlerdiagnose im Browser

Wir setzen Sentry zur Erkennung technischer Fehler ein. Erfasst werden ausschließlich Fehlerereignisse, nicht der normale Seitenverlauf: die Fehlermeldung, der technische Aufrufpfad, die betroffene Adresse und Anfragemethode sowie Angaben zu Browser, Zeitzone und Spracheinstellung. Ihre Nutzerkennung wird dabei nicht im Klartext übertragen, sondern als Prüfwert, der eine Pseudonymisierung und keine Anonymisierung ist (Abschnitt 19.1). Vor dem Versand entfernt ein Filter erkennbare E-Mail-Adressen, Zugangstoken und Kennungen aus der Meldung. Die Daten werden in der europäischen Datenregion von Sentry verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einem fehlerfreien und sicheren Betrieb. Zur Speicherdauer siehe Abschnitt 25.

5.8 Schriftarten

Wir verwenden eigene, mit unserer Anwendung ausgelieferte Schriftarten (derzeit Poppins, JetBrains Mono und Satoshi). Sie werden zur Erstellungszeit gebündelt und von unserer eigenen Infrastruktur ausgeliefert; beim Besuch unserer Website werden hierfür keine Anfragen an Server Dritter gesendet.

6. Zugang zur Studierendenplattform, Konto und Nachweise

6.1 Zugangsantrag und Warteliste

Der Zugang zur Studierendenplattform beginnt mit einem Zugangsantrag. Sie geben dabei Ihre E-Mail-Adresse an und erklären, ob Sie unsere Allgemeinen Geschäftsbedingungen und diese Datenschutzerklärung annehmen; optional können Sie in den Erhalt werblicher E-Mails einwilligen.

Wir speichern Ihre E-Mail-Adresse in der eingegebenen und in einer normalisierten Form, die daraus abgeleitete Hochschul-Domain, den Bearbeitungsstand Ihres Antrags, die Quelle der Zulassung, Ihre Sprachwahl sowie zu Nachweiszwecken Ihre IP-Adresse und Ihre Browserkennung.

Stammt Ihre E-Mail-Adresse von einer uns bekannten Hochschule, erhalten Sie einen Zugangslink beziehungsweise werden auf die Warteliste gesetzt.

Stammt sie nicht von einer uns bekannten Hochschule, geschieht zweierlei. Erstens vermerken wir Ihren Antrag automatisch als Interessensbekundung für Ihre Hochschule, damit wir entscheiden können, ob wir sie aufnehmen. Das ist kein Weg, den Sie wählen, sondern eine unmittelbare Folge Ihres Antrags; sie tritt unabhängig davon ein, wie Sie sich anschließend entscheiden. Gespeichert werden dabei Ihre E-Mail-Adresse in eingegebener und in normalisierter Form, die daraus abgeleitete Hochschul-Domain, Ihre IP-Adresse, Ihre Browserkennung und die Zahl Ihrer Versuche. Zweck ist die Erschließung weiterer Hochschulen für unser Angebot; Rechtsgrundlage hierfür ist Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO. Sie können dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO widersprechen (Abschnitt 27.6); wir löschen den Eintrag dann. Zweitens bieten wir Ihnen im Anschluss an den Antrag an, Ihren Studierendenstatus durch ein Dokument nachzuweisen (Abschnitt 7). Wenn Sie keine automatisierte Prüfung wünschen, steht Ihnen daneben der in Abschnitt 7.3 beschriebene Weg über eine Prüfung durch eine Person offen.

Unsere Liste zugelassener Hochschul-Domains enthält selbst keine personenbezogenen Daten.

Rechtsgrundlage ist Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO für die vorvertragliche Bearbeitung Ihres Antrags, Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO für die Nachweisdaten, Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG für eine erteilte Werbeeinwilligung und Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO für den Bot-Schutz, die Ratenbegrenzung und die vorstehend beschriebene Interessensbekundung. Zur Speicherdauer siehe Abschnitt 25.

6.2 Anlage, Aktivierung und Anmeldung

Nach der Zulassung erhalten Sie einen personalisierten Aktivierungslink. Beim Einlösen setzen Sie ein Passwort und nehmen unsere Allgemeinen Geschäftsbedingungen und diese Datenschutzerklärung an. Wir speichern Ihr Konto mit E-Mail-Adresse und Passwort-Prüfwert sowie den Nachweis nach Abschnitt 6.4.

Bei jeder Anmeldung prüfen wir Ihre Zugangsdaten und richten eine Sitzung ein; Ihre Rollenzuordnung wird dabei aus Ihrem Profil in die Sitzungsinformationen übernommen, damit die Anwendung weiß, welche Bereiche Sie sehen dürfen. Die Sitzung wird über ein Cookie geführt (Abschnitt 5.2). Sie können Ihr Passwort selbst ändern und über die Funktion „Passwort vergessen" zurücksetzen; wir versenden dafür einen einmalig verwendbaren Link und speichern das Token nur als Prüfwert, nicht im Klartext. Ebenso können Sie Ihre Anmelde-E-Mail-Adresse ändern; die Bestätigung erfolgt über einen Link an die neue Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; für die Sicherheitsmechanismen ergänzend Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse am Schutz von Konten vor unbefugtem Zugriff.

6.3 Merklisten

Sie können Rollen merken, sie in selbst benannten Ordnern ablegen und Unternehmen folgen. Diese Angaben sind ausschließlich für Sie sichtbar; Unternehmen erfahren nicht, dass Sie eine Rolle gemerkt haben oder ihnen folgen. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO.

6.4 Nachweis der Vertrags- und Einwilligungsannahmen

Wir führen ein Register, in dem wir dokumentieren, welche Fassung unserer Bedingungen und dieser Erklärung Sie wann angenommen haben und welche Einwilligungen Sie erteilt oder widerrufen haben. Gespeichert werden die Zuordnung zu Ihrem Konto oder — vor der Kontoanlage — zu Ihrer E-Mail-Adresse, die Art der Erklärung, die angenommenen Fassungsbezeichnungen, die Quelle der Erklärung, der Zeitpunkt sowie Ihre IP-Adresse und Ihre Browserkennung. Wir benötigen diese Angaben, um nach Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO nachweisen zu können, wer wann welchem Text zugestimmt hat.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 und Art. 5 Abs. 2 DSGVO, für die zusätzlich erfassten technischen Merkmale Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einer beweissicheren Zuordnung der Erklärung.

7. Immatrikulationsprüfung — vollautomatisierte Entscheidung im Einzelfall

Wenn Ihre E-Mail-Adresse nicht von einer uns bekannten Hochschule stammt, können Sie Ihren Studierendenstatus über eine Immatrikulationsbescheinigung belegen. Dieser Abschnitt beschreibt eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO. Bitte lesen Sie ihn aufmerksam.

7.1 Was geschieht

Sie laden ein Dokument hoch. Es wird in einem gesonderten, nicht öffentlich erreichbaren Speicherbereich abgelegt. Anschließend laufen drei Schritte:

• Texterkennung. Das Dokument wird an Google Document AI übermittelt und dort in Text umgewandelt. Die Verarbeitung erfolgt in einer EU-Region. Den erkannten Text speichern wir vollständig.
• Prüfung durch ein Sprachmodell. Ein Ausschnitt des erkannten Textes — die ersten 12.000 Zeichen — wird an ein Sprachmodell von Anthropic PBC in den Vereinigten Staaten übermittelt. Das Modell beurteilt, ob aus dem Text eine gültige, aktuelle Immatrikulation hervorgeht, und gibt einen Punktwert zwischen 0 und 100, ein Ergebnis, die von ihm ausgelesenen Felder und eine kurze Begründung zurück.
• Entscheidung. Erreicht der Punktwert den von uns festgelegten Schwellenwert, wird Ihr Zugang automatisch freigeschaltet. Erreicht er ihn nicht, wird Ihr Antrag automatisch abgelehnt. In diesem Ablauf ist kein Mensch beteiligt. Nur wenn ein technischer Fehler auftritt, wird der Vorgang zur manuellen Bearbeitung ausgesteuert; er wird dann gerade nicht automatisch abgelehnt.

Wir speichern dazu: Ihre E-Mail-Adresse, Dateiname, Dateityp und Dateigröße, den Speicherort, den vollständigen erkannten Text, ein Maß für die Verlässlichkeit der Texterkennung, Punktwert, Ergebnis, ausgelesene Felder und Begründung der Prüfung, die Bezeichnung des eingesetzten Modells sowie Zeitpunkt und Fassung Ihrer Erklärung zur automatisierten Prüfung.

7.2 Involvierte Logik, Tragweite und angestrebte Auswirkungen (Art. 13 Abs. 2 lit. f DSGVO)

Das Modell bewertet fünf Punkte: ob das Dokument lesbar und inhaltlich vollständig ist; ob es erkennbar von einer Hochschule stammt und die ausstellende Stelle erkennbar ist; ob es auf Ihren Namen lautet und nicht bloß ein unausgefülltes Formular ist; ob es einen Studienabschnitt oder ein Studienjahr ausweist, das zum Zeitpunkt der Prüfung aktuell ist, und ein plausibles Ausstellungsdatum trägt; und ob die Angaben in sich stimmig sind und nicht auf ein anderes oder nachgemachtes Dokument hindeuten. Aus dieser Bewertung entsteht ein Punktwert auf einer Skala von 0 bis 100.

Erreicht der Punktwert den von uns festgelegten Schwellenwert, führt das zur Freischaltung, andernfalls zur Ablehnung. Den Schwellenwert nennen wir hier nicht, weil seine Veröffentlichung die gezielte Umgehung der Prüfung erleichtern und damit die Sicherheit der Plattform beeinträchtigen würde (Art. 32 Abs. 1 DSGVO); aus demselben Grund geben wir die Einzelmerkmale nicht wieder, an denen das Modell die vorstehenden fünf Punkte festmacht. Den Punktwert Ihrer eigenen Prüfung, die Begründung des Modells und den zum Zeitpunkt Ihrer Prüfung geltenden Schwellenwert teilen wir Ihnen auf Anfrage mit (Art. 15 Abs. 1 lit. h DSGVO); wenden Sie sich dazu an hello@internities.de.

Was nicht bewertet wird. Ihre Noten, Ihre Herkunft, Ihre Staatsangehörigkeit und Ihr Alter sind keine Bewertungskriterien. Ob Ihr Dokument einen Studiengang oder eine Fakultät nennt, wirkt sich auf die Bewertung aus, weil das ein Merkmal echter Immatrikulationsbescheinigungen ist — welchen Studiengang Sie belegen, wirkt sich nicht aus. Enthält Ihr Dokument Angaben, die für den Nachweis nicht erforderlich sind, werden sie zwar mitübermittelt (Abschnitt 7.1), aber nicht bewertet.

Die Tragweite der Entscheidung besteht darin, ob Sie die Studierendenplattform nutzen können. Eine weitergehende Wirkung hat die Entscheidung nicht: Ihre Angaben werden aufgrund dieser Entscheidung nicht an Dritte weitergegeben und nicht für andere Zwecke ausgewertet. Die angestrebte Auswirkung ist, dass ausschließlich tatsächlich immatrikulierte Personen Zugang zur Studierendenfläche erhalten.

7.3 Rechtsgrundlage und Zulässigkeit

Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; die Prüfung ist eine vorvertragliche Maßnahme auf Ihre Anfrage.

Der Zugang zur Plattform hängt nicht an dieser Prüfung. Es gibt drei Wege, den Studierendenstatus nachzuweisen:

• über die E-Mail-Adresse einer Hochschule, die wir in unsere Liste anerkannter Hochschul-Domains aufgenommen haben. Auf diesem Weg findet weder eine Dokumentenprüfung noch eine Prüfung durch ein KI-System statt; ein Dokument wird nicht einmal angefordert. Dies ist in der Praxis der Regelfall — der weit überwiegende Teil der bisher erteilten Zugänge ist so zustande gekommen.
• über das Hochladen eines Immatrikulationsnachweises, wenn Ihre E-Mail-Adresse nicht von einer anerkannten Hochschul-Domain stammt. Nur für diesen Weg gilt der vorliegende Abschnitt 7.
• über eine Prüfung durch eine Person. Wer keine automatisierte Prüfung wünscht, schreibt uns vor dem Hochladen unter hello@internities.de mit dem Stichwort „Immatrikulationsprüfung, manuell"; wir prüfen den Nachweis dann von Hand, ohne dass Ihnen daraus ein Nachteil entsteht.

Wird der Nachweis über ein Dokument geführt, ist dessen automatisierte Auswertung für diesen Weg unerlässlich. Die ausschließlich automatisierte Entscheidung stützen wir auf Art. 22 Abs. 2 lit. c DSGVO: Sie willigen vor dem Beginn der Prüfung ausdrücklich in die automatisierte Prüfung Ihres Dokuments ein. Diese Einwilligung ist freiwillig, weil der Zugang zur Plattform nicht von ihr abhängt; die beiden anderen Wege stehen Ihnen unabhängig davon offen und werden im Einreichungsvorgang selbst benannt.

Besondere Kategorien personenbezogener Daten in Ihrem Nachweis. Ein Immatrikulationsnachweis kann Angaben nach Art. 9 Abs. 1 DSGVO enthalten, ohne dass wir sie benötigen. Weil wir solche Angaben vor der Übermittlung an die in Abschnitt 7.1 genannten Dienstleister nicht automatisch entfernen (Abschnitt 7.5), holen wir Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO ein, bevor die Prüfung startet. Sie ist zugleich die Grundlage nach Art. 22 Abs. 4 DSGVO dafür, dass eine ausschließlich automatisierte Entscheidung auf einem Text beruhen darf, der solche Angaben enthalten kann. Als angemessene Maßnahmen zum Schutz Ihrer Rechte und Freiheiten haben wir vorgesehen: den ausdrücklichen Hinweis in Abschnitt 7.5 dieser Erklärung, vor dem Hochladen alles zu schwärzen, was für den Nachweis der Immatrikulation nicht erforderlich ist, die Beschränkung der Übermittlung an das Sprachmodell auf einen Ausschnitt von 12.000 Zeichen, die Beschränkung des Ergebnisses auf die reine Zugangsfrage ohne jede weitere Verwendung (Abschnitt 7.2), die Löschung des Nachweises und des erkannten Textes nach Abschnitt 25 sowie den Weg zur Überprüfung durch eine Person nach Abschnitt 7.4. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Abschnitt 27.7); wir löschen den Nachweis dann unverzüglich. Ohne diese Einwilligung können wir den Nachweis auf dem Dokumentenweg nicht prüfen; die beiden anderen Wege stehen Ihnen unverändert offen.

7.4 Ihre Rechte und der konkrete Weg dorthin (Art. 22 Abs. 3 DSGVO)

Sie haben das Recht, das Eingreifen einer natürlichen Person auf unserer Seite zu erwirken, Ihren eigenen Standpunkt darzulegen und die Entscheidung anzufechten. Konkret gehen Sie so vor:

• Sie schreiben eine E-Mail an hello@internities.de mit dem Stichwort „Immatrikulationsprüfung" und der E-Mail-Adresse, mit der Sie den Nachweis eingereicht haben.
• Sie können in dieser E-Mail Ihren Standpunkt darlegen und weitere oder andere Nachweise beifügen. Eine erneute Einreichung über das Formular ist nach einer Ablehnung nicht möglich; nutzen Sie deshalb bitte diesen Weg, wenn Sie ein neues oder besser lesbares Dokument vorlegen möchten.
• Ein Mitglied unseres Teams prüft den Vorgang manuell, sieht sich das eingereichte Dokument und die Begründung des Modells an und antwortet Ihnen unverzüglich, in der Regel innerhalb von fünf Werktagen und in jedem Fall innerhalb der Frist des Art. 12 Abs. 3 DSGVO.
• Fällt die manuelle Prüfung zu Ihren Gunsten aus, schalten wir Ihren Zugang frei.

Über das Ergebnis der automatisierten Prüfung unterrichten wir Sie in jedem Fall per E-Mail an die von Ihnen angegebene Adresse — auch dann, wenn die Prüfung zu Ihren Lasten ausgegangen ist. Die Mitteilung weist darauf hin, dass die Prüfung ohne Beteiligung eines Menschen erfolgt ist, und nennt die vorstehend beschriebene Anlaufstelle für die Überprüfung durch eine Person einschließlich der E-Mail-Adresse und des Stichworts. Sie müssen diesen Weg also nicht in dieser Erklärung suchen; er steht in der Mitteilung selbst.

7.5 Hinweis zu sensiblen Angaben

Immatrikulationsbescheinigungen enthalten in der Praxis regelmäßig ein Geburtsdatum und gelegentlich eine Staatsangehörigkeit; sie können darüber hinaus Angaben enthalten, die Sie für diesen Zweck nicht angeben müssen. Bitte schwärzen oder entfernen Sie vor dem Hochladen alles, was für den Nachweis der Immatrikulation nicht erforderlich ist. Das gilt insbesondere für Angaben, aus denen sich Gesundheitsdaten, religiöse oder weltanschauliche Überzeugungen, die ethnische Herkunft, politische Meinungen, eine Gewerkschaftszugehörigkeit oder Angaben zum Sexualleben ergeben können.

Wir setzen bei dieser Strecke kein technisches Verfahren ein, das solche Angaben vor der Übermittlung an die genannten Dienstleister automatisch entfernt (Abschnitt 9.7).

8. Ihr Studierendenprofil

8.1 Stammdaten, Präferenzen und Freitexte

Ihr Profil legen Sie selbst an und pflegen es selbst. Wir verarbeiten dazu die in Abschnitt 3.2 aufgeführten Profilangaben. Angaben, die aus einem hochgeladenen Dokument stammen, werden erst Teil Ihres Profils, wenn Sie sie bestätigen (Abschnitt 9.4).

Bei früheren Tätigkeiten sind Branche und Dauer aus vorgegebenen Listen zu wählen; nur der Name des früheren Arbeitgebers ist ein Freitext. Dieser Name fließt in den Übereinstimmungswert nicht ein (Abschnitt 11.3), wird einem Unternehmen nach Ihrer Bewerbung aber angezeigt (Abschnitt 12.2).

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. Speicherdauer: für die Dauer Ihres Kontos.

8.2 Interessen und Angaben zum Arbeitsumfeld

Sie können Interessengebiete und Präferenzen zum gewünschten Arbeitsumfeld angeben. Die Antworten bestehen aus vorgegebenen Kategorien und Skalen; ergänzend können Sie in einem Freitextfeld beschreiben, was Sie interessiert. Dieser Freitext wird ausschließlich für Sie selbst gespeichert; er wird weder an Unternehmen noch an einen Anbieter künstlicher Intelligenz übermittelt und fließt nicht in Vorschläge ein, die andere sehen. Die Vorschläge, die wir Ihnen auf dieser Grundlage machen, werden nach festen Regeln berechnet; ein KI-Modell ist daran nicht beteiligt.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO.

8.3 Notenauszug, Gesamtnote und akademische Kennzahl

Aus einem von Ihnen hochgeladenen Notenauszug leiten wir eine Gesamtnote und eine akademische Kennzahl ab. Die Berechnung erfolgt nach einer festen, versionierten Regel und ohne Beteiligung eines KI-Modells: Die nach Leistungspunkten gewichteten Noten werden in einen Wert zwischen 0 und 100 umgerechnet; hinzu kommt ein der Höhe nach begrenzter Zuschlag von höchstens 15 Punkten für erfasste Auszeichnungen, außercurriculares Engagement und den Umfang der belegten Leistungspunkte. Ohne belegte Note wird kein Zuschlag vergeben, und ohne Note entsteht überhaupt keine Kennzahl.

Sie können Auszeichnungen und Engagement zusätzlich selbst erfassen sowie von uns ausgelesene Einträge bestätigen, korrigieren oder verwerfen. Ihre Korrektur ist für das Ergebnis maßgeblich.

Halten Sie die von uns ausgelesene Gesamtnote für unzutreffend, können Sie sie beanstanden. Wir speichern dafür den von Ihnen bestrittenen Wert, den Zeitpunkt und Ihre Begründung. Eine solche Beanstandung wird von einer Person geprüft. Die Note selbst wird dabei nie von Hand überschrieben, sondern ausschließlich durch eine erneute Auswertung des Dokuments korrigiert.

Die akademische Kennzahl selbst wird Unternehmen nicht angezeigt; die Gesamtnote wird angezeigt (Abschnitt 12.2).

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; für die Bearbeitung von Beanstandungen ergänzend Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 1 lit. d und Art. 16 DSGVO.

8.4 KI-gestützte Zuordnung Ihres Studienfachs

Wenn Sie Ihr Studienfach oder Ihre Studienfelder in ein Freitextfeld eingeben, ordnet ein Sprachmodell von Mistral AI SAS (Frankreich) Ihre Eingabe einem offiziellen Katalogeintrag zu und schlägt Ihnen das Ergebnis vor. Übermittelt werden dabei nur die von Ihnen eingegebenen Bezeichnungen — höchstens fünf je Vorgang —, nicht Ihr Name und nicht Ihre Kennung. Übernommen wird nur, was Sie selbst bestätigen.

Ihre Interessengebiete sind hiervon nicht betroffen. Sie wählen sie aus einer festen Liste aus; dabei ist kein KI-Modell beteiligt, und es wird nichts an einen Anbieter künstlicher Intelligenz übermittelt (Abschnitt 8.2). Ein Sprachmodell schlägt Interessengebiete nur auf der Unternehmensseite vor, und zwar für die ausgeschriebene Rolle, nicht für Sie (Abschnitt 10.3).

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. Die bestätigte Zuordnung wird Teil Ihres Profils; die technischen Nutzungsdaten des Modellaufrufs löschen wir nach 90 Tagen (Abschnitt 19.2).

9. Hochgeladene Dokumente

9.1 Welche Dokumente, wo sie liegen, wer sie sehen kann

Sie können Lebensläufe, Notenauszüge, Zeugnisse, Zertifikate, Empfehlungsschreiben und Anschreiben hochladen (PDF, JPEG oder PNG, bis 10 MB). Die Dateien liegen in einem privaten Speicherbereich, auf den ohne einen gültigen, zeitlich eng befristeten Abruflink niemand zugreifen kann. Beim Hochladen entfernen wir eingebettete Zusatzinformationen der Datei und prüfen, ob der Dateityp tatsächlich dem angegebenen entspricht.

Unternehmen erhalten Ihre Dokumente nicht. Sie sehen im Bewerbungsverfahren ausschließlich, welche Arten von Dokumenten bei Ihnen hinterlegt sind — nicht die Dateien selbst. Eine Ausnahme gilt nur nach einer bestätigten Einstellung und nur für die Dokumente, die Sie dafür einzeln freigeben (Abschnitt 12.7).

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO.

9.2 Prüfung auf Schadsoftware

Jede hochgeladene Datei wird vor jeder weiteren Verwendung auf Schadsoftware geprüft. Dazu übermitteln wir die Datei vollständig, zusammen mit Dateiname und Dateityp, an Ionx Solutions LLP (Vereinigtes Königreich, Produktname „Verisys"); angesprochen wird ausschließlich der europäische Endpunkt des Dienstes. Zurück erhalten wir das Prüfergebnis und eine Prüfsumme, die wir an die Datei binden. Solange kein positives Prüfergebnis vorliegt, bleibt die Datei gesperrt. Ebenso geprüft werden Anhänge im plattforminternen Chat (Abschnitt 12.6).

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO in Verbindung mit Art. 32 Abs. 1 DSGVO mit dem Interesse, unsere Systeme und alle Nutzenden vor Schadsoftware zu schützen.

9.3 Texterkennung

Nach der Schadsoftwareprüfung wird jedes hochgeladene Dokument automatisch in Text umgewandelt. Dazu übermitteln wir die Rohdaten der Datei an Google Document AI; die Verarbeitung erfolgt in einer EU-Region. Den erkannten Text speichern wir vollständig, weil alle weiteren Auswertungsschritte darauf aufsetzen.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO.

9.4 Auswertung und Vorbefüllung Ihres Profils

Aus dem erkannten Text gewinnen wir strukturierte Angaben. Dazu übermitteln wir den Text — bis zu 30.000 Zeichen — an Sprachmodelle: die Bestimmung des Dokumenttyps erfolgt über Mistral AI SAS (Frankreich), die strukturierte Auswertung und eine gegebenenfalls erforderliche Nachbesserung des Ergebnisformats über Anthropic PBC (Vereinigte Staaten). Übermittelt wird der ausgelesene Text und die daraus abgeleiteten strukturierten Angaben, nicht die Rohdatei.

Ausgelesen werden je nach Dokument: Kontaktangaben, Ausbildungs- und Berufsstationen, Kursbelegungen und Noten, Fähigkeiten, Projekte, Sprachkenntnisse, Auszeichnungen, Zertifikate und in Empfehlungsschreiben genannte Referenzpersonen. Aus den Ergebnissen erstellen wir Vorschläge für Ihr Profil und eine kurze Zusammenfassung.

Vorschläge sind Vorschläge. Kein ausgelesener Wert wird ohne Ihre Bestätigung verbindlicher Teil Ihres Profils. Sie können jeden Vorschlag ändern oder verwerfen.

Hinweis zu Dritten. Wenn Ihr Dokument Angaben zu anderen Personen enthält — etwa den Namen und die Kontaktdaten einer Referenzperson —, werden diese Angaben mitübermittelt und gespeichert. Bitte laden Sie nur Dokumente hoch, für die Sie das dürfen, und schwärzen Sie die Kontaktdaten Dritter, wenn sie für Ihre Bewerbung nicht erforderlich sind. Für die betroffenen Dritten gilt Abschnitt 21.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO.

9.5 Ihre gesonderte Einwilligung für den Kompetenzabgleich und deren Widerruf

Beim Hochladen fragen wir Sie gesondert, ob der Text dieses Dokuments für die Zuordnung zu Einträgen des europäischen Kompetenzkatalogs verwendet werden darf (Abschnitt 11.1). Diese Einwilligung ist dokumentgenau: Sie gilt nur für das jeweilige Dokument und wird zusammen mit dem Dokument in einem einzigen Vorgang gespeichert. Ohne diese Einwilligung verwenden wir das Dokument für diesen Zweck nicht. Wir speichern dazu den Zeitpunkt Ihrer Einwilligung, die Fassung des Einwilligungstextes und die Stelle, an der Sie sie erteilt haben.

Eine einmal getroffene Entscheidung kann für ein bereits hochgeladenes Dokument nachträglich nicht mehr geändert werden. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie das betreffende Dokument löschen — mit der Löschung werden auch alle daraus abgeleiteten Zuordnungen storniert. Möchten Sie den Widerruf erklären, ohne das Dokument zu löschen, schreiben Sie uns bitte an hello@internities.de; wir setzen den Widerruf dann von Hand um. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 S. 1 DSGVO).

Rechtsgrundlage der Übermittlung ist Ihre Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO; für die Dokumentation der Einwilligung Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

9.6 Wenn ein Auswertungslauf wiederholt werden muss

Schlägt die Auswertung eines Dokuments technisch fehl, kann eine Person aus unserem Team sie erneut anstoßen. Dabei wird das Dokument erneut an die in den Abschnitten 9.3 und 9.4 genannten Dienstleister übermittelt. Der Vorgang wird protokolliert. Fehlermeldungen, die wir dazu speichern, können Ausschnitte des Dokumentinhalts enthalten.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; für die Protokollierung ergänzend Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einem nachvollziehbaren und kontrollierbaren Betrieb.

9.7 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Wir fordern von Ihnen keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO an — etwa Gesundheitsdaten, Angaben zu religiösen oder weltanschaulichen Überzeugungen, zur ethnischen Herkunft, zu politischen Meinungen, zur Gewerkschaftszugehörigkeit oder zum Sexualleben — und verarbeiten sie nicht gezielt.

In von Ihnen hochgeladenen Dokumenten und in Freitextfeldern können solche Angaben jedoch unbeabsichtigt enthalten sein, etwa ein Schwerbehindertenvermerk in einem Zeugnis oder die Zugehörigkeit zu einem konfessionellen Arbeitgeber im Lebenslauf. Wir bitten Sie deshalb, vor dem Hochladen alle Angaben zu schwärzen, die für den jeweiligen Zweck nicht erforderlich sind, und in Freitextfeldern keine sensiblen Angaben zu machen. An den Stellen im angemeldeten Bereich, an denen Sie Dokumente hochladen, weisen wir Sie hierauf ausdrücklich hin; für die Einreichung des Immatrikulationsnachweises gilt der Hinweis in Abschnitt 7.5.

Eine automatische technische Erkennung und Unterdrückung besonderer Kategorien vor der Übermittlung an unsere Auftragsverarbeiter gibt es nicht. Die einzige automatische Ersetzung, die stattfindet, betrifft Kontaktdaten und Kennungen vor der Zuordnung zum Kompetenzkatalog (Abschnitt 11.1); sie erfasst inhaltlich sensible Angaben nicht.

Wie es sich mit der Rechtsgrundlage verhält — offen dargelegt. Beim Hochladen eines Dokuments fragen wir eine Einwilligung ab. Sie betrifft ausschließlich die Verwendung des Dokumententextes für die Zuordnung zu Einträgen des europäischen Kompetenzkatalogs (Abschnitt 9.5), ist freiwillig und hat auf die übrigen Verarbeitungsschritte keinen Einfluss: Die Prüfung auf Schadsoftware (Abschnitt 9.2), die Texterkennung (Abschnitt 9.3) und die Auswertung zur Vorbefüllung Ihres Profils (Abschnitt 9.4) laufen auch dann, wenn Sie diese Einwilligung nicht erteilen. Eine gesonderte, ausdrückliche Einwilligung in die Verarbeitung besonderer Kategorien nach Art. 9 Abs. 2 lit. a DSGVO holen wir für die Dokumentenstrecke derzeit nicht ein — und wir behaupten hier auch keine.

Wir stützen uns für diesen Fall auf Folgendes: Wir fordern solche Angaben nicht an, richten die Verarbeitung nicht auf sie aus, werten sie nicht gezielt aus und leiten aus ihnen keine Bewertung ab; wir bitten Sie ausdrücklich, sie vor dem Hochladen zu schwärzen; und wir löschen ein Dokument unverzüglich, wenn Sie uns mitteilen, dass es solche Angaben enthält — schreiben Sie uns dazu an hello@internities.de.

Ob das rechtlich genügt, ist nicht abschließend geklärt, und wir sagen Ihnen das lieber, als es zu verschweigen. Art. 9 Abs. 1 DSGVO ist ein grundsätzliches Verarbeitungsverbot. Ob eine Verarbeitung, die auf solche Angaben nicht gerichtet ist, sie aber in einem Dokument oder Freitext unvermeidlich miterfasst, einen der Ausnahmetatbestände des Art. 9 Abs. 2 DSGVO benötigt, wird unterschiedlich beurteilt. Wir lassen diese Frage anwaltlich prüfen und ergänzen diese Erklärung, sobald das Ergebnis vorliegt; ergibt sich daraus die Notwendigkeit einer ausdrücklichen Einwilligung, holen wir sie ein und weisen sie hier aus.

Was das für Sie bedeutet. Laden Sie ein Dokument, dessen sensible Angaben Sie nicht schwärzen können oder wollen, bitte nicht hoch. Für die Bewerbungsfunktion benötigen wir mindestens einen Lebenslauf und einen Notenauszug (Abschnitt 22); beide müssen keine Angaben nach Art. 9 Abs. 1 DSGVO enthalten. Für den Immatrikulationsnachweis gilt eine andere Lage: Dort holen wir vor dem Start der Prüfung eine gesonderte Einwilligung ein, ohne die die Prüfung nicht stattfindet (Abschnitt 7.3).

10. Einsatz künstlicher Intelligenz: Überblick, Anbieter und kein Training

10.1 Überblick über die eingesetzten Systeme und Anbieter

Wir setzen KI-Systeme an mehreren Stellen der Plattform ein. Eingesetzt werden Sprachmodelle von Anthropic PBC (Vereinigte Staaten), Sprachmodelle von Mistral AI SAS (Frankreich) und Google Document AI zur Texterkennung (Verarbeitung in einer EU-Region). Die folgenden Verarbeitungen finden produktiv statt; es handelt sich nicht um geplante oder zukünftige Funktionen.

Die Zuordnung der einzelnen Funktionen zu den Anbietern ist wie folgt:

• Google Document AI übernimmt die Texterkennung aus hochgeladenen Dokumenten.
• Mistral AI SAS übernimmt die Bestimmung des Dokumenttyps, die Zuordnung von Studienfeldern, den Vorschlag von Interessengebieten für eine ausgeschriebene Rolle (Unternehmensseite, Abschnitt 10.3) und die Kürzung von Stellenbeschreibungen.
• Anthropic PBC übernimmt alle übrigen Modellaufrufe: die Gewinnung strukturierter Angaben aus Dokumenten, die Prüfung des Immatrikulationsnachweises, die Zuordnung von Fähigkeiten zum europäischen Kompetenzkatalog, die Erzeugung und Zusammenfassung der Stellenbeschreibungen sowie die Auswertung übernommener externer Stellenanzeigen. Bei Anthropic bestehen zwei technisch getrennte Verarbeitungswege: der Modellaufruf aus unserer Anwendung heraus und der Modellaufruf aus dem Dienst, der Fähigkeiten dem Kompetenzkatalog zuordnet.

Kennzeichnung KI-erzeugter Texte — Stand heute. Auf der Unternehmensseite sind die von einem KI-System vorbefüllten und erzeugten Texte ausdrücklich als solche gekennzeichnet (Abschnitt 10.3). Auf der Studierendenfläche gilt dasselbe: Der maschinell erzeugte Beschreibungstext einer Rolle ist ausdrücklich als KI-erzeugter Text gekennzeichnet und trägt den Hinweis, dass ein Sprachmodell ihn aus den Angaben zur Stelle erstellt hat. Externe Stellenanzeigen tragen den Hinweis, dass wir die Stelle auf der öffentlichen Karriereseite des Unternehmens gefunden haben und dass die dort angezeigten Eckdaten und der Beschreibungstext von einem Sprachmodell aus der Originalanzeige erzeugt sind; das zugehörige externe Unternehmensprofil trägt den Hinweis, dass es automatisch aus öffentlichen Quellen erstellt wurde und dass der dort angezeigte Profiltext maschinell von einem Sprachmodell erzeugt ist. Eine rechtliche Verpflichtung zur Kennzeichnung trifft uns als Betreiber nach Art. 50 der Verordnung (EU) 2024/1689 in den hier beschriebenen Fällen nicht; die Kennzeichnung erfolgt freiwillig. Eine zusätzliche maschinenlesbare Markierung solcher Texte nehmen wir derzeit nicht vor.

10.2 Wo künstliche Intelligenz nur unterstützt — und wo nicht

Bei den folgenden Funktionen erzeugt die künstliche Intelligenz ausschließlich Vorschläge, die erst durch die Bestätigung eines Menschen wirksam werden: die Zuordnung von Studienfächern (Abschnitt 8.4), die Auswertung Ihrer Dokumente (Abschnitt 9.4), die Zuordnung zum Kompetenzkatalog (Abschnitt 11.1) und die unternehmensseitigen Funktionen (Abschnitt 10.3), die jeweils eine Person des Unternehmens freigibt.

Zwei Funktionen sind davon ausgenommen:

• Die Immatrikulationsprüfung nach Abschnitt 7 trifft eine ausschließlich automatisierte Entscheidung; ein Mensch ist im Regelablauf nicht beteiligt.
• Bei den externen Stellenanzeigen nach Abschnitt 13.1 veröffentlichen wir den maschinell erzeugten Beschreibungstext selbst. Eine Person aus unserem Team prüft dabei nur, ob die Pflichtangaben vollständig sind, nicht, ob jede einzelne Angabe inhaltlich zutrifft. Maßgeblich ist deshalb stets die Originalanzeige auf der Karriereseite des Unternehmens.

10.3 KI-Funktionen auf der Unternehmensseite

Wenn ein Unternehmen eine Stelle anlegt, setzen wir KI-Modelle für folgende Schritte ein: das Auslesen einer eingefügten Stellenbeschreibung in strukturierte Angaben, das Vorschlagen offizieller Katalogeinträge für die geforderten Fähigkeiten, das Vorschlagen von Interessengebieten der Rolle, das Erzeugen der studierendensichtbaren Stellenbeschreibung in deutscher und englischer Sprache, das Kürzen dieser Beschreibung sowie das Erzeugen von Zusammenfassungen je Fragebogenabschnitt für die interne Unternehmensansicht.

Diese Funktionen verarbeiten die Eingaben des Unternehmens und die Stammdaten der Stelle. Sie bewerten Studierende nicht und verarbeiten keine Studierendendaten. Das Eingabefeld für den einzufügenden Anzeigentext weist ausdrücklich darauf hin, keine Bewerberdaten einzufügen. Jede erzeugte Beschreibung wird vor der Veröffentlichung von einer Person des Unternehmens freigegeben. In den Übereinstimmungswert fließt keine dieser Ausgaben als Zahl ein.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; soweit dabei personenbezogene Angaben von Mitarbeitenden des Unternehmens verarbeitet werden, zusätzlich Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Durchführung der Geschäftsbeziehung.

10.4 Kein Training mit Ihren Daten

Wir setzen die genannten KI-Modelle ausschließlich zur Verarbeitung im laufenden Betrieb ein. Nach den mit den Anbietern geschlossenen Auftragsverarbeitungsverträgen werden Ihre personenbezogenen Daten nicht zum Training oder zur Feinabstimmung der Modelle verwendet.

11. Kompetenzabgleich, Übereinstimmungswert und Eignungssortierung

11.1 Zuordnung Ihrer Fähigkeiten zum europäischen Kompetenzkatalog

Aus Ihren bestätigten Angaben und — nur wenn Sie nach Abschnitt 9.5 eingewilligt haben — aus den Texten Ihrer Dokumente leiten wir ein Kompetenzprofil ab, das in den Einträgen des europäischen Kompetenzkatalogs ausgedrückt ist.

Der Ablauf: Wir zerlegen den Text in einzelne Aussagen. Bevor eine Aussage unsere Datenbank verlässt, ersetzen wir automatisch E-Mail-Adressen, Telefonnummern, Web-Adressen, Kontonummern und ähnliche Kennungen durch Platzhalter. Namen und inhaltlich sensible Angaben werden durch dieses Verfahren nicht ersetzt. Die so bearbeitete Aussage und höchstens ein Satz Zusammenhang werden an Anthropic PBC (Vereinigte Staaten) übermittelt; das Modell schlägt dazu passende Katalogeinträge vor.

Das Modell schlägt nur vor. Es vergibt weder eine Zahl noch ein Niveau noch einen Sicherheitswert. Ein Vorschlag wird erst wirksam, wenn Sie ihn bestätigen. Ohne Ihre Einwilligung beim Hochladen wird ein Dokument für diesen Zweck nicht verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO für die Übermittlung von Dokumenttexten an den genannten Dienstleister; im Übrigen Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO für die Erstellung des Kompetenzprofils.

11.2 Anforderungsprofil der Rollen

Auf der Gegenseite leiten wir aus den Angaben, die ein Unternehmen zu seiner Rolle macht, ein Anforderungsprofil in derselben Katalogsprache ab. Auch hier schlägt ein Sprachmodell vor; die Auswahl bestätigt eine Person des Unternehmens. Personenbezogene Daten von Studierenden fließen in diesen Schritt nicht ein.

11.3 Wie der Übereinstimmungswert berechnet wird — die involvierte Logik

Der Übereinstimmungswert wird rein rechnerisch ermittelt. Es fließt keine von einem KI-Modell erzeugte Zahl, kein von einem Modell vergebenes Niveau und kein Konfidenzwert in ihn ein. KI-Unterstützung gibt es davor — beim Auslesen Ihrer Dokumente, beim Vorschlagen von Fähigkeiten und bei der Zuordnung von Studienfeldern und Interessengebieten; jeder dieser Vorschläge wird erst wirksam, wenn Sie ihn bestätigen.

In die Berechnung gehen genau vier Bereiche ein:

• Ihre bestätigten Katalogfähigkeiten und die dazu bestätigten Niveaus, abgeglichen gegen das bestätigte Anforderungsprofil der Rolle.
• Ihre Interessengebiete.
• Ihre Angaben zum gewünschten Arbeitsumfeld.
• Ihre akademische Kennzahl nach Abschnitt 8.3, verglichen mit dem vom Unternehmen gesetzten akademischen Anspruch.

Für den Vergleich einer Fähigkeit mit einer Anforderung gilt eine feste Wertetabelle: Ein wortgleicher Katalogeintrag zählt voll, ein enger verwandter Eintrag zählt anteilig weniger, weiter entfernte Einträge zählen nicht. Das Unternehmen kann die vier Bereiche unterschiedlich gewichten; der Bereich Fähigkeiten kann dabei nicht auf null gesetzt und nicht herausgerechnet werden. Bereiche, zu denen keine Angaben vorliegen, entfallen aus der Rechnung, statt mit null bewertet zu werden. Zusätzlich kann sich der Wert um höchstens 15 Prozentpunkte erhöhen, wenn Sie ausdrücklich als bevorzugt gekennzeichnete Eigenschaften einer Stelle erfüllen.

Die Regel ist versioniert und für die jeweilige Veröffentlichung der Stelle eingefroren. Das Ergebnis wird zusätzlich in drei Eignungsbänder eingeordnet. Bevor Sie sich auf eine Rolle bewerben, halten wir den maßgeblichen Stand fest: Ihr Kompetenzprofil, die veröffentlichte Fassung der Rolle und die Fassung der Rechenregel. Damit ist nachvollziehbar, auf welcher Grundlage der Wert zustande gekommen ist.

Ihre Angaben zu früheren Tätigkeiten und der Name eines früheren Arbeitgebers fließen in den Übereinstimmungswert nicht ein.

Diese Verarbeitung stellt ein Profiling im Sinne von Art. 4 Nr. 4 DSGVO dar. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. Ohne diese Verarbeitung ist ein Abgleich nicht möglich.

11.4 Zwingende Anforderungen und automatischer Ausschluss

Unternehmen können einzelne Anforderungen als zwingend kennzeichnen — etwa eine bestimmte Arbeitserlaubnis, einen Zeitraum der Verfügbarkeit, eine Mindestdauer, einen Ort oder eine Höchstnote. Erfüllen Ihre Angaben eine solche zwingende Anforderung nicht, wird Ihre Bewerbung automatisch der Gruppe der nicht in Betracht kommenden Bewerbungen zugeordnet und erscheint dem Unternehmen in einem eigenen Abschnitt der Liste, zusammen mit dem jeweiligen Ausschlussgrund. Ihr Übereinstimmungswert wird dabei nicht verändert, sondern lediglich anders einsortiert.

Über Einladung, Angebot oder Absage entscheidet auch in diesem Fall ausschließlich eine Person des Unternehmens. Sie können jederzeit verlangen, dass eine Person bei uns die automatische Einordnung überprüft; wenden Sie sich dazu an hello@internities.de. Wir antworten unverzüglich, in der Regel innerhalb von fünf Werktagen.

11.5 Eignungssortierung gegenüber Unternehmen — Tragweite und angestrebte Auswirkungen (Art. 13 Abs. 2 lit. f DSGVO)

Unternehmen sehen die Bewerbungen auf eine Stelle in vier getrennten Abschnitten: die in Betracht kommenden Bewerbungen, die wegen einer zwingenden Anforderung ausgeschlossenen, die noch nicht berechneten und diejenigen, bei denen die Berechnung technisch fehlgeschlagen ist. Bewerbungen der letzten beiden Gruppen tragen keinen Wert; es wird für sie kein Ersatzwert gebildet. Die Liste der in Betracht kommenden Bewerbungen ist standardmäßig absteigend nach dem Zahlenwert sortiert.

Tragweite und angestrebte Auswirkungen. Die Sortierung bestimmt die Reihenfolge, in der ein Unternehmen Bewerbungen sichtet. Die angestrebte Auswirkung ist, dass Unternehmen die aus Sicht der Anforderungen passendsten Bewerbungen zuerst sehen. Ein Rangplatz weiter unten kann dazu führen, dass Ihre Bewerbung später, weniger aufmerksam oder — bei einer großen Zahl von Bewerbungen — gar nicht gesichtet wird. Dasselbe gilt, wenn die Berechnung zu Ihrer Bewerbung nicht vorliegt.

Die Entscheidung über Einladung, Angebot oder Absage trifft stets eine Person auf Seiten des Unternehmens; die Plattform nimmt im Bewerbungsverfahren selbst keine Statusänderung vor und lehnt keine Bewerbung automatisch ab. Rechtlich ist die Berechnung deshalb ein Profiling nach Art. 4 Nr. 4 DSGVO und keine ausschließlich automatisierte Entscheidung nach Art. 22 Abs. 1 DSGVO.

Einordnung nach der KI-Verordnung. Ein System, das im Zusammenhang mit dem Zugang zu Beschäftigung Bewerbungen bewertet und ordnet, ist nach Anhang III Nr. 4 lit. a der Verordnung (EU) 2024/1689 ein Hochrisiko-KI-System. Wir behandeln die hier beschriebene Eignungssortierung als ein solches System und sind insoweit dessen Anbieter; das ausschreibende Unternehmen ist Betreiber. Wir haben die Unternehmen vertraglich verpflichtet, die Bewertung ausschließlich als Hilfsmittel zu verwenden, jede Bewerbung eigenständig zu würdigen und keine Bewerbung allein wegen des Zahlenwerts, des Bandes, der Rangstelle oder der Zuordnung zu einem gesonderten Abschnitt abzulehnen. Möchten Sie eine Erläuterung dazu, welche Rolle das System bei einer Sie betreffenden Entscheidung gespielt hat, wenden Sie sich an das Unternehmen oder an uns unter hello@internities.de; wir stellen die dafür erforderlichen Angaben bereit.

Als Studentin oder Student sehen Sie zu einer Stelle nur Ihr Eignungsband, nicht den Zahlenwert. Wenn Sie wissen möchten, welche Werte und welche Regelfassung einer konkreten Bewertung zugrunde lagen, teilen wir Ihnen das auf Anfrage mit.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO gegenüber beiden Vertragsseiten.

11.6 Katalogsuche, Benachrichtigungen und Betriebssignale

Wenn Sie oder ein Unternehmen im Katalog nach Fähigkeiten suchen, protokollieren wir die Suchsitzung, den Suchtext in bereinigter Form, die Treffer und die tatsächlich ausgewählten Einträge. Der Suchtext wird vor der Speicherung um erkennbare Kontaktangaben bereinigt. Aus den Suchdaten bilden wir zusätzlich Tagesaggregate ohne Personenbezug, um zu erkennen, welche Kompetenzen nachgefragt werden.

Über abgeschlossene Zuordnungsläufe informieren wir Sie in der Anwendung und — wenn Sie E-Mails zugelassen haben — per E-Mail. Diese Nachrichten enthalten nur Zählwerte, nie den Inhalt einer Aussage aus Ihren Dokumenten.

Rechtsgrundlage: für die Suche selbst Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO, für die Protokollierung Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an Qualität, Richtigkeit und Nachvollziehbarkeit der Zuordnung. Zur Speicherdauer siehe Abschnitt 25.

12. Bewerbungen, Offenlegung an Unternehmen, Absagen und Kommunikation

12.1 Bewerbung und Bewerbungsverwaltung

Sie können sich auf eine Stelle bewerben, sobald fünf Bereiche Ihres Profils vollständig sind: die Profilangaben, ein Lebenslauf, ein Notenauszug, Ihre Interessen und Ihre Angaben zum Arbeitsumfeld. Als Notenauszug genügt ein Hochschul- oder ein Schulzeugnis; liegt kein Hochschulzeugnis vor, wird die Bewerbung für das Unternehmen entsprechend gekennzeichnet.

Mit der Bewerbung speichern wir den Status der Bewerbung, den Zeitpunkt der Einreichung, Ihre Angabe zur Arbeitserlaubnis, Ihren derzeitigen Ort und Ihr Land, Ihre Umzugsbereitschaft und Ihre Bereitschaft zu ortsunabhängigem Arbeiten, Ihren verfügbaren Zeitraum und die gewünschte Dauer sowie die Verknüpfungen zum festgehaltenen Kompetenz- und Anforderungsstand. Sie können eine Bewerbung jederzeit zurückziehen.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO.

12.2 Was ein Unternehmen zu welchem Zeitpunkt sieht

Dies ist der Punkt, an dem Daten unseren Verantwortungsbereich verlassen. Deshalb im Einzelnen:

Vor Ihrer Bewerbung sieht ein Unternehmen von Ihnen nichts. Es gibt keine für Unternehmen durchsuchbare Kandidatendatenbank. Ruft ein Unternehmen ein Profil auf, zu dem keine Bewerbung bei einer seiner Rollen vorliegt, erhält es dieselbe Antwort wie bei einer nicht vorhandenen Seite.

Nach Ihrer Bewerbung und vor einer Kontaktfreigabe sehen die berechtigten Mitglieder des ausschreibenden Unternehmens:

• Ihren Anzeigenamen, Vornamen und Nachnamen;
• Ihre Ausbildungsangaben: Hochschule, Studienfach und Studienfelder, Studienabschnitt, angestrebten und höchsten erreichten Abschluss, voraussichtlichen Abschlusszeitpunkt sowie Ihre Gesamtnote, Ihre Leistungspunkte, eine Einordnung Ihrer Kursbelastung in Bandbreiten und die Zahl Ihrer Auszeichnungen;
• die Bereichsnamen Ihres außercurricularen Engagements aus einer vorgegebenen Kurzliste, nicht dessen Bezeichnung im Wortlaut;
• die Angabe, ob Sie bereits einschlägige Erfahrung haben, je erfasster Tätigkeit deren Branche aus einer vorgegebenen Liste, die Dauer in Bandbreiten (bis drei Monate, drei bis sechs Monate, mehr als sechs Monate) und, soweit Sie ihn erfasst haben, den Namen des früheren Arbeitgebers;
• aus Ihrer Bewerbung: die Angabe zur Arbeitserlaubnis, Ihren aktuellen Wohnort und Ihr Land, Ihre Umzugsbereitschaft, Ihre Bereitschaft zu Fernarbeit, Ihren Verfügbarkeitszeitraum und die gewünschte Dauer;
• welche Arten von Dokumenten bei Ihnen hinterlegt sind;
• aus dem Abgleich: den Übereinstimmungswert, das Eignungsband, die Aufschlüsselung nach den vier Bereichen, das Verzeichnis der abgeglichenen Anforderungen und etwaige Ausschlussgründe nach Abschnitt 11.4. Zu jeder abgeglichenen Anforderung wird auch die Aussage aus Ihren Unterlagen angezeigt, auf die sich die Zuordnung stützt, jeweils in dem Wortlaut, in dem Sie sie angegeben haben, wobei Kontaktangaben und Kennungen nach Abschnitt 11.1 durch Platzhalter ersetzt sind, und ausdrücklich als selbst angegeben und ungeprüft gekennzeichnet.

Nicht sichtbar sind in dieser Phase: Ihre E-Mail-Adresse, Ihre Telefonnummer, Ihre Dokumente selbst, Ihr frei formulierter Kurztext, Ihre akademische Kennzahl und Ihre Merklisten.

Nach Ihrer Annahme einer Kontaktanfrage wird zusätzlich Ihre E-Mail-Adresse sichtbar und der Nachrichtenkanal geöffnet (Abschnitt 12.5).

Nach einer beidseitig bestätigten Einstellung und nur auf Ihre gesonderte, dokumentgenaue Freigabe hin erhält das Unternehmen ein Übergabepaket (Abschnitt 12.7).

Hinweis zu sensiblen Angaben in angezeigten Aussagen. Die zu einer Anforderung angezeigte Aussage stammt aus Ihren Unterlagen. Enthält sie Angaben nach Art. 9 Abs. 1 DSGVO — etwa einen Hinweis auf eine Schwerbehinderung, eine Gewerkschafts- oder eine Religionszugehörigkeit —, wird sie dem Unternehmen mit diesem Inhalt angezeigt. Wir entfernen vor der Anzeige nur Kontaktangaben und Kennungen, keine inhaltlich sensiblen Angaben. Eine gesonderte Einwilligung in die Offenlegung solcher Angaben an das Unternehmen holen wir dafür derzeit nicht ein: Die Einwilligung nach Abschnitt 9.5 betrifft allein die Auswertung des Dokuments durch uns und deckt eine Offenlegung an einen eigenständig Verantwortlichen nicht ab. Es gilt insoweit dasselbe wie in Abschnitt 9.7, auf den wir ausdrücklich verweisen. Sie können jede aus einem Dokument stammende Aussage jederzeit aus Ihrem Kompetenzprofil entfernen; die Anzeige gegenüber Unternehmen entfällt dann für künftige Berechnungen.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. Zur Verantwortlichkeit des Unternehmens ab Kenntnisnahme siehe Abschnitt 12.9.

12.3 Absageentscheidung, Nachweisdokumentation und Versand

Das Unternehmen führt den Status Ihrer Bewerbung fort. Wir speichern den Status, den Zeitpunkt und die handelnde Person und benachrichtigen Sie über Änderungen. Entscheidet sich ein Unternehmen gegen Sie, geschieht Folgendes:

• Die Absage wird von einer Person des Unternehmens ausgelöst, einzeln oder für eine Auswahl mehrerer Bewerbungen. Eine automatische Absage findet nicht statt.
• Wir halten die Entscheidung in einem nachträglich unveränderbaren Nachweisprotokoll fest. Dieses Protokoll enthält ausschließlich technische Kennungen, Zeitstempel und einen Grundcode aus einer geschlossenen Liste; es enthält keine Namen und keine Freitexte. Der Grundcode verlässt unsere Datenbank nicht und wird Ihnen nicht mitgeteilt.
• Vor dem Versand besteht ein Zeitfenster von 15 Minuten, in dem das Unternehmen die Entscheidung zurücknehmen kann.
• Nach Ablauf dieses Zeitfensters versenden wir die Absage im Namen des Unternehmens per E-Mail. Die E-Mail enthält Ihren Vornamen, den Titel der Stelle, den Namen des Unternehmens und einen Hinweis darauf, dass sie im Auftrag dieses Unternehmens versandt wird. Sie enthält weder einen Ablehnungsgrund noch einen Übereinstimmungswert.
• Wir protokollieren die Zustellung der Absage-E-Mail je Empfängerin und Empfänger, weil an den Zugang gesetzliche Fristen anknüpfen.

Zweck des Nachweisprotokolls und des Zustellnachweises ist die Beweisvorsorge zur Verteidigung gegen Ansprüche, insbesondere nach dem Allgemeinen Gleichbehandlungsgesetz. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO; unser Interesse und das des Unternehmens ist die Verteidigung gegen solche Ansprüche innerhalb der Fristen des § 15 Abs. 4 AGG und des § 61b Abs. 1 ArbGG. Für den Versand im Namen des Unternehmens gilt Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO im Verhältnis zu Ihnen und zum Unternehmen.

12.4 Kontaktanfrage

Bevor Kontaktdaten offengelegt werden, verwalten wir eine Verbindungsanfrage mit den Zuständen „angefragt", „angenommen", „abgelehnt" und „zurückgezogen". Wir speichern die beteiligten Kennungen, den Status und die Zeitpunkte; ein Freitextfeld gibt es in diesem Vorgang nicht. Wir speichern diese Zustände auch, um Ihre Einwilligung in die spätere Kontaktfreigabe nachweisen zu können.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO; unser Interesse ist die Rechenschaft über die erteilte Einwilligung.

12.5 Kontaktfreigabe und deren Widerruf

Nehmen Sie als studierende Person eine Verbindungsanfrage an, geben wir Ihre Konto-E-Mail-Adresse an die berechtigten Mitglieder des anfragenden Unternehmens frei. Diese Offenlegung beruht auf Ihrer Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO, die Sie mit der Annahme erteilen. Telefonnummern geben wir in diesem Schritt nicht weiter.

Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 S. 1 DSGVO). Den Widerruf können Sie ebenso einfach erklären wie die Einwilligung (Art. 7 Abs. 3 S. 4 DSGVO) — über die Einstellungen in Ihrem Konto oder per E-Mail an hello@internities.de. Mit dem Widerruf endet die weitere Kontaktfreigabe. Bitte beachten Sie: Die Rücknahme wirkt für den betreffenden Vorgang endgültig; eine erneute Anfrage zu demselben Vorgang ist danach nicht mehr möglich.

12.6 Nachrichten, Anhänge und Terminplanung

Nach einer angenommenen Verbindung können Studierende und Unternehmen über einen plattforminternen Kanal Nachrichten austauschen, Dateien anhängen und Gesprächstermine vorschlagen und bestätigen; zu bestätigten Terminen versenden wir eine Kalenderdatei, in der Ihre E-Mail-Adresse als Teilnehmerin oder Teilnehmer aufgeführt ist. Anhänge werden wie in Abschnitt 9.2 beschrieben auf Schadsoftware geprüft und erst danach freigegeben; sie sind ausschließlich über zeitlich eng befristete Abruflinks erreichbar. Zur Missbrauchsbekämpfung können Konversationen gemeldet werden; entsprechende Meldungen speichern wir zu Prüfzwecken.

Bitte beachten Sie: Was Sie in Nachrichten und Anhängen schreiben, bestimmen Sie selbst. Es kann Angaben zu dritten Personen enthalten; für diese gilt Abschnitt 21.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO für beide Vertragsseiten, für die Meldungen und die Schadsoftwareprüfung Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einem missbrauchsfreien Kommunikationskanal. Widerrufen Sie Ihre Einwilligung nach Abschnitt 12.5, endet die weitere Kontaktfreigabe; bereits ausgetauschte Kommunikation bleibt hiervon unberührt, soweit ihre weitere Verarbeitung zur Vertragsdurchführung oder zur Missbrauchsprüfung erforderlich ist.

12.7 Übergabepaket nach bestätigter Einstellung

Bestätigen Sie und ein Unternehmen eine Einstellung, können Sie ein Übergabepaket freigeben. Sie entscheiden dabei je Datengruppe, was übergeben wird. Wählbar sind: Kontaktdaten, Anschrift, Ausbildungsangaben, Sprachkenntnisse, Angaben zu früheren Tätigkeiten und Ihre Dokumente. Ihre Dokumente wählen Sie einzeln aus. Nicht abwählbar sind zwei Gruppen, ohne die ein Übergabepaket keinen Sinn ergibt: Ihre Namensangaben — Vorname, Nachname, Anzeigename sowie ein etwa hinterlegtes Geburtsdatum — und die Angaben zur vermittelten Stelle. Der Freigabedialog bezeichnet die erste Gruppe entsprechend als „Name und Geburtsdatum". Möchten Sie auch diese nicht übergeben, lehnen Sie die Anfrage insgesamt ab — das ist jederzeit möglich und hat keine Auswirkung auf die Einstellung selbst. Für diesen Zweck erheben wir zusätzlich Ihre Telefonnummer und Ihre Postanschrift; diese beiden Felder werden ausschließlich in diesem Dialog erhoben und sonst nirgends verlangt, und wir speichern sie nur, wenn Sie die zugehörige Gruppe tatsächlich freigeben.

Die Freigabe ist eine Einwilligung. Sie ist nach ihrer Erteilung für den einzelnen Vorgang nicht mehr veränderbar, aber jederzeit mit Wirkung für die Zukunft widerrufbar. Der Widerruf sperrt sofort den Abrufweg des Unternehmens. Daten, die das Unternehmen vor dem Widerruf bereits abgerufen hat, liegen in dessen eigenen Systemen; wir haben darauf keinen Zugriff. Wir haben das Unternehmen deshalb vertraglich verpflichtet, die übergebenen Daten nach Ihrem Widerruf innerhalb von 14 Tagen zu löschen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Ihre Rechte gegenüber dem Unternehmen aus Art. 15 bis Art. 21 DSGVO können Sie unmittelbar dort geltend machen; wir unterstützen Sie dabei (Abschnitt 12.9). Der Abrufzugang des Unternehmens erlischt in jedem Fall automatisch nach 30 Tagen. Ab der Übergabe ist das Unternehmen für die weitere Verarbeitung eigenständig verantwortlich.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO; soweit die freigegebenen Dokumente Angaben nach Art. 9 Abs. 1 DSGVO enthalten, zusätzlich Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Der Freigabedialog weist Sie hierauf gesondert hin und verlangt Ihre ausdrückliche Zustimmung auch für diese Angaben.

12.8 Wie lange Bewerbungsdaten bleiben

• Abgelehnte Bewerbungen: Sechs Monate nach dem Zugang der Absage löschen wir die inhaltlichen Bewerbungsdaten. Erhalten bleibt ein minimaler Eintrag, der ausschließlich verhindert, dass Sie sich versehentlich erneut auf dieselbe veröffentlichte Fassung derselben Rolle bewerben; Rechtsgrundlage für diesen Eintrag ist Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse, Doppelbewerbungen zu vermeiden. Die Frist bildet die Fristen des § 15 Abs. 4 AGG und des § 61b Abs. 1 ArbGG mit einem Sicherheitszuschlag ab.
• Zurückgezogene Bewerbungen: Löschung sechs Monate nach der Rücknahme.
• Laufende Bewerbungen: bis zum Abschluss des Verfahrens, im Übrigen bis zur Löschung Ihres Kontos.

12.9 Rolle von Internities und der Unternehmen

Für die Bereitstellung der Plattform, den Abgleich und die Kommunikationskanäle ist Internities verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO.

Sobald ein Unternehmen Bewerberdaten zur Kenntnis nimmt und für seine eigene Auswahlentscheidung verwendet, ist es für diese Verarbeitung eigenständig verantwortlich; das gilt insbesondere für die Sichtung der Bewerbung, die Auswahlentscheidung und jede Verwendung außerhalb der Plattform. Insoweit richten sich die Informationspflichten und Ihre Rechte gegen das Unternehmen. Wir verpflichten die Unternehmen vertraglich, die Daten ausschließlich für das jeweilige Auswahlverfahren zu verwenden. Ausdrücklich untersagt sind ihnen insbesondere die Verwendung für Werbung, die Aufnahme in einen unternehmenseigenen Bewerberpool über das laufende Verfahren hinaus und jede Weitergabe an Dritte, soweit Sie nicht gesondert eingewilligt haben.

Für zwei Verarbeitungen bestimmen Internities und das jeweilige Unternehmen die Zwecke und Mittel gemeinsam im Sinne von Art. 26 Abs. 1 DSGVO: die Zusammenstellung und Sortierung der Bewerberkohorte nach den vom Unternehmen gesetzten Anforderungen, zwingenden Kriterien und Gewichtungen (Abschnitt 11) sowie den Versand der Absage im Namen des Unternehmens (Abschnitt 12.3).

Das Wesentliche der Vereinbarung (Art. 26 Abs. 2 S. 2 DSGVO). Für diese beiden Verarbeitungen gilt zwischen Internities und dem jeweiligen Partnerunternehmen die folgende Verteilung der Pflichten:

• Anlaufstelle für Sie ist Internities (Art. 26 Abs. 1 S. 3 DSGVO). Sie können sich mit jedem Anliegen zu diesen beiden Verarbeitungen an hello@internities.de wenden. Ihre Rechte nach Art. 26 Abs. 3 DSGVO können Sie gleichwohl auch unmittelbar gegenüber dem Unternehmen geltend machen.
• Die Informationspflichten nach Art. 13 und Art. 14 DSGVO für diese beiden Verarbeitungen erfüllt Internities — durch diese Erklärung.
• Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nimmt Internities entgegen, beantwortet sie für den eigenen Bereich und leitet sie unverzüglich an das Unternehmen weiter, soweit sie dessen Bereich betreffen; wir teilen Ihnen mit, an wen wir weitergeleitet haben. Das Unternehmen ist uns gegenüber verpflichtet, innerhalb von zehn Werktagen mitzuwirken — nur so können wir die Frist des Art. 12 Abs. 3 DSGVO Ihnen gegenüber einhalten.
• Die technische Durchführung der Kohortenbildung und des Absageversands liegt bei Internities; die inhaltlichen Vorgaben — Anforderungen, zwingende Kriterien, Gewichtungen — und die Auswahlentscheidung liegen beim Unternehmen.
• Die Sicherheit der Verarbeitung nach Art. 32 DSGVO auf der Plattform verantwortet Internities; das Unternehmen verantwortet sie in seinen eigenen Systemen.
• Eine Verletzung des Schutzes personenbezogener Daten in diesen Verarbeitungen meldet Internities nach Art. 33 DSGVO und benachrichtigt Sie erforderlichenfalls nach Art. 34 DSGVO; das Unternehmen unterrichtet uns unverzüglich über jede ihm bekannt gewordene Verletzung.

Den vollständigen Wortlaut dieser Regelung stellen wir Ihnen auf Anfrage unter hello@internities.de zur Verfügung, soweit keine Geschäftsgeheimnisse entgegenstehen.

Für alle übrigen Verarbeitungen gilt die vorstehend beschriebene getrennte Verantwortlichkeit.

13. Externe Stellenanzeigen

13.1 Woher diese Anzeigen kommen und was wir mit ihnen tun

Neben den Rollen unserer Partnerunternehmen zeigen wir Stellen, die wir von öffentlich zugänglichen Karriereseiten übernehmen. Das geschieht auf zwei Wegen: durch manuelle Übernahme durch eine Person aus unserem Team und durch automatischen Abruf der offiziellen Stellen-Feeds der von den Unternehmen eingesetzten Bewerbermanagementsysteme. Den übernommenen Anzeigentext speichern wir im Wortlaut.

Aus diesem Text lassen wir durch ein Sprachmodell von Anthropic PBC (Vereinigte Staaten) die Eckdaten auslesen und einen einheitlich strukturierten Beschreibungstext erzeugen. Die Anzeige ist als extern gekennzeichnet und trägt den Hinweis, dass wir die Stelle auf der öffentlichen Karriereseite des Unternehmens gefunden haben und dass die angezeigten Eckdaten und der Beschreibungstext von einem Sprachmodell aus der Originalanzeige erzeugt sind; ein externes Unternehmensprofil trägt zusätzlich den Hinweis, dass es automatisch aus öffentlichen Quellen erstellt wurde und dass der dort angezeigte Profiltext maschinell von einem Sprachmodell erzeugt ist (Abschnitt 10.1). Der Originaltext wird Studierenden nicht angezeigt. Eine Person aus unserem Team prüft vor der Veröffentlichung, ob die Pflichtangaben vollständig sind; wir prüfen nicht, ob jede einzelne Angabe inhaltlich zutrifft. Die betreffenden Unternehmen sind keine Partner von uns, betreuen diese Einträge nicht und haben sie nicht bestätigt. Maßgeblich ist allein die Originalanzeige auf der Karriereseite des Unternehmens.

Externe Anzeigen durchlaufen nicht den Kompetenzabgleich nach Abschnitt 11: Für sie gibt es keinen Übereinstimmungswert aus dem europäischen Kompetenzkatalog und keine Eignungssortierung gegenüber einem Unternehmen. Wir ordnen die Liste der externen Anzeigen aber nach Ihrem Profil; wie das geschieht, steht in Abschnitt 13.2.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, soweit die übernommenen Texte personenbezogene Daten enthalten. Unser Interesse besteht darin, Studierenden ein brauchbares und aktuelles Stellenangebot auch dort zu zeigen, wo noch keine Vertragsbeziehung zu dem ausschreibenden Unternehmen besteht. Soweit ein Anzeigentext Angaben zu einer Ansprechperson enthält, gilt Abschnitt 21.

Der übernommene Rohtext wird gelöscht, sobald der zugehörige Eintrag aus dem Katalog entfernt wird, spätestens 30 Tage danach. Anzeigen, die auf der Karriereseite des Unternehmens nicht mehr auffindbar sind, werden automatisch archiviert und Studierenden nicht mehr angezeigt; für den übernommenen Rohtext eines archivierten Eintrags gilt dieselbe Frist.

13.2 Wie wir externe Anzeigen für Sie ordnen

Damit die für Sie naheliegenden Anzeigen oben stehen, vergleichen wir jede externe Anzeige mit Ihrem Profil und ordnen die Liste nach dem Ergebnis dieses Vergleichs. Das geschieht auf unseren Servern, bevor Ihnen die Liste ausgeliefert wird.

Was in die Reihenfolge eingeht. Gewichtet verglichen werden vier Ihrer Angaben: Ihre Interessengebiete (stärkstes Gewicht), die Branche des ausschreibenden Unternehmens, Ihre bisherige Vorerfahrung — verglichen wird dabei die fachliche Nähe der Branchen, nicht ein Text — und Ihr Studienfach. Aus diesem Vergleich entsteht ein rechnerischer Wert.

Was zusätzlich angezeigt, aber nicht gewichtet wird. Neun weitere Angaben — Arbeitsort, Arbeitserlaubnis, Verfügbarkeit, Art der Position, Studienabschnitt, Immatrikulationsstatus, Sprachen, Praktikumsart und eine Notenanforderung — erscheinen Ihnen als Prüfliste mit den Zuständen „erfüllt", „nicht erfüllt" oder „keine Angabe". Sie gehen in den rechnerischen Wert nicht ein. Ist bei Arbeitsort, Arbeitserlaubnis oder Verfügbarkeit eine von der Anzeige ausdrücklich gesetzte Anforderung nicht erfüllt, wird die Anzeige gegenüber inhaltlich vergleichbaren Anzeigen nachrangig eingeordnet; inhaltlich besser passende Anzeigen bleiben davon unberührt.

Eine fehlende Angabe schadet Ihnen nicht. Ein Kriterium, zu dem uns keine Angabe vorliegt, geht weder in den Zähler noch in den Nenner der Rechnung ein.

Was Sie sehen. Angezeigt werden Ihnen ein Passungswort und die genannte Prüfliste. Ein Passungswort zeigen wir Ihnen nur, wenn drei Bedingungen zugleich erfüllt sind: Es muss überhaupt eine Mindestzahl von Kriterien bewertbar gewesen sein, wir müssen zu mindestens der Hälfte der gewichteten Kriterien, die eine Anzeige angibt, einen Abgleich haben vornehmen können, und Sie müssen Interessengebiete hinterlegt haben. Fehlt eine dieser Bedingungen — insbesondere, solange Sie keine Interessengebiete angegeben haben —, zeigen wir Ihnen kein Passungswort, sondern den Hinweis, dass wir dazu noch nichts sagen können.

Was wir nicht herausgeben. Der rechnerische Wert selbst wird Ihnen nicht angezeigt, verlässt unsere Systeme nicht und wird insbesondere nicht an das ausschreibende Unternehmen übermittelt. Die betreffenden Unternehmen sind keine Kunden von uns; sie erfahren von uns weder, dass Sie eine ihrer Anzeigen gesehen haben, noch irgendeine Ihrer Angaben (Abschnitt 13.1).

Diese Verarbeitung ist eine Profilbildung im Sinne von Art. 4 Nr. 4 DSGVO. Sie ist keine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO: Sie bestimmt allein die Reihenfolge einer Liste, die Sie frei durchsuchen, filtern und selbst auf „Neueste" oder „Nächstgelegene" umstellen können. Die Berechnung erfolgt bei jedem Aufruf neu; ein gespeicherter Bestand an Passungswerten entsteht dabei nicht.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO. Unser Interesse besteht darin, Ihnen aus einem großen Bestand fremdbeschaffter Anzeigen zuerst die inhaltlich naheliegenden zu zeigen. Sie können dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO widersprechen (Abschnitt 27.6); wir stellen Ihre Liste dann dauerhaft auf die Reihenfolge der Veröffentlichung um.

13.3 Wenn Sie auf eine externe Anzeige klicken

Die Bewerbung auf eine externe Anzeige läuft nicht über uns, sondern über die Karriereseite des Unternehmens. Wenn Sie die Schaltfläche betätigen, mit der Sie dorthin weitergeleitet werden, speichern wir die Kennung der Rolle, Ihre Nutzerkennung und den Zeitpunkt. Wir übermitteln diesen Vorgang nicht an das betreffende Unternehmen und nicht an Dritte.

Zweck ist einerseits, Ihnen Ihren eigenen Bewerbungsverlauf zuordnen zu können, und andererseits die Auswertung, welche Anzeigenquellen für Studierende überhaupt nützlich sind. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit den genannten Interessen. Sie können dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO widersprechen (Abschnitt 27.6).

13.4 Wenn Sie in einer solchen Anzeige genannt sind

Sind Sie als Ansprechpartnerin oder Ansprechpartner in einer von uns übernommenen Anzeige namentlich oder mit Kontaktdaten genannt, verarbeiten wir Daten, die wir nicht bei Ihnen selbst erhoben haben. Was in diesem Fall gilt, steht in Abschnitt 21.

14. Unternehmenskonten, Stellen und Empfehlungszuordnung

14.1 Registrierung, Firmendaten und Mitglieder

Bei der Registrierung erheben wir die Daten der handelnden Person (Name, geschäftliche E-Mail-Adresse, Passwort) sowie die Daten des Unternehmens (Firmenname, Branche, Website, Standort, Rechnungs-E-Mail-Adresse). Die Annahme unserer Bedingungen und dieser Erklärung protokollieren wir nach Abschnitt 6.4.

Sie können weitere Personen in Ihr Unternehmenskonto einladen. Wir speichern dazu die E-Mail-Adresse der eingeladenen Person, die vorgesehene Rolle, den Einladungszeitpunkt und ein Ablaufdatum von sieben Tagen; das Einladungs-Token speichern wir nur als Prüfwert. Die E-Mail-Adresse stammt in diesem Fall von dem einladenden Unternehmen und nicht von der eingeladenen Person selbst (Abschnitt 21).

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO gegenüber Einzelunternehmern und gegenüber dem Unternehmen; gegenüber Beschäftigten juristischer Personen und bis zur Annahme einer Einladung Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Durchführung der Geschäftsbeziehung und an der Einrichtung des vom Unternehmen gewünschten Teamzugangs; für den Nachweis der Erklärungen Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

14.2 Firmenprofil, Logo und Titelbild

Sie können ein Logo und ein Titelbild hochladen. Diese Dateien liegen in einem privaten Speicherbereich und werden Studierenden über zeitlich befristete Abruflinks angezeigt. Bitte laden Sie nur Bilder hoch, an denen Sie die erforderlichen Rechte halten; sind auf einem Bild Personen erkennbar, ist das Unternehmen dafür verantwortlich, dass deren Einwilligung vorliegt.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO.

14.3 Stellen anlegen und veröffentlichen

Beim Anlegen einer Rolle durchlaufen Sie einen strukturierten Fragebogen. Wir speichern Ihre Antworten, die Zuordnung zu der bearbeitenden Person, die Bearbeitungssitzungen und die veröffentlichten Fassungen. Die dabei eingesetzten KI-Funktionen sind in Abschnitt 10.3 beschrieben.

Sie können eine Rolle duplizieren. Dabei werden die Fragebogenantworten mitkopiert; in Freitexten enthaltene Angaben zu Personen werden dadurch vervielfältigt.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; für die Zuordnung der Bearbeitungssitzungen zur handelnden Person ergänzend Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Nachvollziehbarkeit von Änderungen.

14.4 Empfehlungszuordnung

Kommt ein Unternehmen über den Empfehlungscode einer Ambassadorin oder eines Ambassadors zu uns, halten wir diese Zuordnung fest: den verwendeten Code, den Zeitpunkt und die zugeordnete Person. Grundlage ist entweder die ohne Cookie in den Metadaten des Registrierungskontos mitgeführte Kennung oder das in Abschnitt 5.3 beschriebene Cookie. Die Zuordnung erfolgt einmalig bei der Kontoerstellung. Einzelheiten stehen in Abschnitt 16.3.

14.5 Löschung des Unternehmenskontos

Löscht die alleinige verwaltende Person das Unternehmenskonto, werden das Unternehmen, die zugehörigen Mitgliedskonten und die gespeicherten Dateien gelöscht; zuvor werden die Zuordnungen im Kompetenzabgleich storniert und ein laufendes Abonnement beim Zahlungsdienstleister gekündigt. Über den Abschluss versenden wir eine Bestätigung. Ausgenommen von der Löschung sind Daten, die wir gesetzlich weiter aufbewahren müssen, insbesondere Rechnungsdaten.

Endet der Vertrag, ohne dass das Konto gelöscht wird — etwa weil ein Abonnement ausläuft —, bleibt das Unternehmenskonto bestehen; wir stellen dem Unternehmen die Daten des Unternehmenskontos auf Anfrage in Textform an hello@internities.de zur Verfügung. Gelöscht wird das Konto in diesem Fall erst, wenn die verwaltende Person es nach Absatz 1 löscht; im Übrigen bleiben die gesetzlichen Aufbewahrungspflichten unberührt. Für personenbezogene Daten von Bewerberinnen und Bewerbern gelten die Fristen in Abschnitt 12.8.

14.6 Termine mit unserem Team

Über unsere Website können Sie einen Kennenlern- oder Beratungstermin mit unserem Team buchen. Wir verarbeiten dazu die Art des Gesprächs, Ihren Namen, Ihre E-Mail-Adresse, einen von Ihnen frei formulierten Kontexttext, den gewünschten Zeitraum und Ihre Zeitzone. Zur Durchführung legen wir einen Kalendereintrag mit Online-Konferenz bei Microsoft an; dabei werden Ihr Name, Ihre E-Mail-Adresse, der Betreff und der von Ihnen eingegebene Text an Microsoft übermittelt. Bitte geben Sie in dem Freitextfeld keine Angaben zu Dritten und keine sensiblen Angaben ein.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO gegenüber Einzelunternehmern und gegenüber dem Unternehmen; gegenüber Beschäftigten juristischer Personen Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Anbahnung und Durchführung der Geschäftsbeziehung. Speicherdauer: Abschnitt 25.

15. Zahlungen, Abonnements und Widerruf

15.1 Abonnements der Unternehmensseite

Unternehmen schließen kostenpflichtige Abonnements ab. Wir führen zu jedem Unternehmenskonto den Vertrags- und Planstatus, den Umfang der freigeschalteten Rollenkontingente (in unseren Allgemeinen Geschäftsbedingungen „Slots"), den Zeitraum einer etwaigen Testphase (dort „unentgeltliche Einstiegsphase") und die Rechnungs-E-Mail-Adresse.

Die Zahlungsabwicklung erfolgt über Stripe. Bei der Einrichtung und Durchführung eines Abonnements übermitteln wir an Stripe insbesondere die für die Abrechnung verwendete E-Mail-Adresse der handelnden Person, den Firmennamen und eine interne Kennung des Firmenkontos; zurück erhalten wir Angaben zu Abonnement und Rechnung. Rechnungsadresse, gegebenenfalls Umsatzsteuer-Identifikationsnummer und Zahlungsmittel geben Sie unmittelbar auf der von Stripe betriebenen Bezahlseite ein. Zahlungsdaten wie Kartennummern erreichen unsere Systeme nicht. Bezahlte Rechnungen spiegeln wir als Kopie in Ihre Rechnungsübersicht.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; für die steuer- und handelsrechtliche Aufbewahrung Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO.

15.2 Wechsel des Abonnements, Kündigung und Vorgangsprotokolle

Unternehmen können ihr Abonnement auf einen höheren oder niedrigeren Plan umstellen, es kündigen und die Kündigung zurücknehmen. Wir speichern dazu den bisherigen und den neuen Plan, den Zeitpunkt der Umstellung, den Zeitpunkt, zu dem sie wirksam wird, und den Status eines für das Periodenende vorgemerkten Wechsels.

Zusätzlich führen wir ein Vorgangsprotokoll der Abrechnungsvorgänge und speichern Empfangsbestätigungen der von Stripe an uns gesendeten Ereignismeldungen. Beides dient dazu, gleichzeitige oder wiederholte Vorgänge zu erkennen, Doppelausführungen und Zahlungsfehler zu vermeiden und abgebrochene Vorgänge nachvollziehen zu können. Das Vorgangsprotokoll enthält auch die von Stripe zurückgegebenen Verweise auf die jeweilige Bezahl- oder Verwaltungsseite.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; für die Vorgangs- und Empfangsprotokolle Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einer widerspruchsfreien und nachvollziehbaren Abrechnung.

15.3 Kostenpflichtige Zugänge für Studierende

Für kostenpflichtige Zugänge für Studierende gilt für Kauf, Verlängerung und Kündigung dasselbe wie für die Unternehmensseite: Die Zahlungsabwicklung erfolgt über Stripe, die Zahlungsdaten geben Sie unmittelbar bei Stripe ein, und wir speichern in unserer Anwendung die Kundenkennung, die Abonnementkennung, den Status und die Laufzeit. Vor Ablauf eines bezahlten Zugangs weisen wir Sie 14 Tage und 3 Tage vorher per E-Mail darauf hin. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO.

15.4 Widerrufsbelehrung und Dokumentation des Widerrufs

Verbraucherinnen und Verbrauchern steht bei den über unsere Plattform geschlossenen Fernabsatzverträgen ein gesetzliches Widerrufsrecht zu — auch dann, wenn kein Entgelt zu zahlen ist, sondern personenbezogene Daten bereitgestellt werden (§ 312 Abs. 1a S. 1 BGB); die Einzelheiten und das Muster-Widerrufsformular finden Sie in der Widerrufsbelehrung, die Bestandteil unserer Allgemeinen Geschäftsbedingungen ist. Wir speichern zum Nachweis, welche Fassung der Widerrufsbelehrung Ihnen bei Vertragsschluss übermittelt wurde, ob und wann Sie eine Erklärung zum vorzeitigen Beginn der Leistung abgegeben haben und ob und wann Sie den Widerruf erklärt haben.

Diese Speicherung ist gesetzlich veranlasst; Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit §§ 312f, 355 ff. BGB.

15.5 Rechnungen und gesetzliche Aufbewahrung

Wir führen ein Rechnungsverzeichnis mit den Rechnungsnummern, Beträgen, Zeitpunkten und dem Zahlungsstatus. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit § 14 UStG, § 14b UStG, § 147 AO und § 257 HGB. Solange eine gesetzliche Aufbewahrungspflicht besteht, sperren wir die betroffenen Daten für alle anderen Zwecke, statt sie zu löschen.

15.6 Rolle von Stripe und Drittlandbezug

Stripe wird für die Zahlungsabwicklung als unser Auftragsverarbeiter tätig. Für die Erfüllung eigener gesetzlicher Pflichten zur Feststellung der Identität und zur Geldwäscheprävention ist Stripe zugleich eigenständig verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO; Stripe ist als Zahlungsinstitut selbst Verpflichteter nach § 2 Abs. 1 Nr. 3 GwG. Insoweit gelten die Datenschutzhinweise von Stripe. Unsere Vertragspartnerin ist die Stripe Payments Europe, Limited mit Sitz in Irland; innerhalb des Stripe-Konzerns kann es zu einer Übermittlung in die Vereinigten Staaten kommen. Die dafür maßgeblichen Garantien stehen in Abschnitt 24.

16. Ambassador-Programm

16.1 Bewerbung um die Teilnahme

Über ein öffentliches Formular können Sie sich für das Programm bewerben. Wir verarbeiten die in Abschnitt 3.4 genannten Bewerbungsdaten zur Auswahl und zur Durchführung des Programms. Ihre Bewerbung erreicht zusätzlich als Volltextkopie unser internes Teampostfach (Abschnitt 17.7).

Bitte beachten Sie: Nennen Sie im Empfehlungsfeld andere Personen mit Namen oder Kontaktdaten, verarbeiten wir deren Daten mit. Bitte nennen Sie nur Personen, die damit einverstanden sind. Für diese Personen gilt Abschnitt 21.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO als vorvertragliche Maßnahme auf Ihre Anfrage und zur Durchführung des Programmvertrags; für die Verarbeitung der von Ihnen genannten Dritten Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Plausibilitätsprüfung Ihrer Angaben.

16.2 Gespräche, Zugangscode und Programmbedingungen

Für Kennenlern- und Auswahlgespräche buchen Sie über unsere Website einen Termin. Wir verarbeiten dazu die Art des Gesprächs, Ihren Namen, Ihre E-Mail-Adresse, einen von Ihnen frei formulierten Kontexttext, den gewünschten Zeitraum und Ihre Zeitzone. Zur Durchführung legen wir einen Kalendereintrag mit Online-Konferenz bei Microsoft an; dabei werden Ihr Name, Ihre E-Mail-Adresse, der Betreff und der von Ihnen eingegebene Text an Microsoft übermittelt.

Nach einer Zusage erhalten Sie einen persönlichen Zugangscode. Sie lösen ihn auf internities.com ein — dabei werden zur Missbrauchsabwehr Ihre IP-Adresse und Ihre Browserkennung an unseren Bot-Schutz übermittelt (Abschnitt 5.6) — und werden anschließend in die Kontoanlage geführt. Die Annahme der Programmbedingungen dokumentieren wir beweissicher mit der Fassungsbezeichnung, dem Zeitpunkt, einem Prüfwert über den angenommenen Text, Ihrer IP-Adresse, Ihrer Browserkennung und einem Abbild Ihrer Namens- und E-Mail-Angaben zum Zeitpunkt der Annahme.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; für den Annahmenachweis Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO sowie ergänzend Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Beweisbarkeit des Vertragsschlusses.

16.3 Empfehlungszuordnung und Namensanzeige

Erreicht ein Unternehmen unsere Registrierung über Ihren Empfehlungslink oder gibt es Ihren Empfehlungscode ein, ordnen wir das neue Unternehmenskonto einmalig bei der Kontoerstellung Ihnen zu. Der Empfehlungscode wird dabei in erster Linie in den Metadaten des Registrierungskontos mitgeführt; hierfür ist kein Cookie erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einer korrekten Zuordnung provisionsrelevanter Empfehlungen; im Verhältnis zur werbenden Person zugleich Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO.

Zusätzlich — und nur, wenn für die Kategorie „Empfehlungszuordnung" eingewilligt wurde — speichern wir das Cookie internities_ref mit dem Empfehlungscode für 45 Tage, damit die Zuordnung erhalten bleibt, falls die Registrierung später abgeschlossen wird. Ohne diese Einwilligung wird kein solches Cookie gesetzt; die Zuordnung funktioniert dann weiterhin über die Kontometadaten. Rechtsgrundlage für das Cookie: Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.

Während ein vollständiger Empfehlungscode eingegeben wird, zeigen wir über eine ratenbegrenzte Abfrage den Vornamen und den ersten Buchstaben des Nachnamens der empfehlenden Person an, damit die Zuordnung geprüft werden kann. Den vollständigen Nachnamen und die E-Mail-Adresse geben wir nicht preis. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Nachprüfbarkeit der Zuordnung.

16.4 Ihr Dashboard

In Ihrem Dashboard sehen Sie die Ihnen zugeordneten Unternehmen. Angezeigt werden nur der Firmenname und der Status; Kontaktdaten der Unternehmen und Einzelbeträge werden nicht angezeigt. Personenbezogene Daten von Studierenden erhalten Sie nicht. Sie können private Notizen anlegen; diese sind ausschließlich für Sie sichtbar.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; für die Statusanzeige des geworbenen Unternehmens ergänzend Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an nachvollziehbarer Abrechnung.

16.5 Prämien und Auszahlung

Ambassadors erhalten für erfolgreich geworbene, zahlende Unternehmen Prämien. Zur Abwicklung und zum Nachweis speichern wir dauerhafte Kennungen der beteiligten Seiten, den Vergütungssatz, den Grundbetrag, die Kennungen der Rechnung und der Auszahlung sowie Angaben zu einer etwaigen Rückbelastung innerhalb der ersten 60 Tage.

Für die Auszahlung nutzen wir das Onboarding von Stripe. Ihre Ausweis-, Steuer- und Bankdaten geben Sie ausschließlich bei Stripe ein; sie erreichen unsere Systeme nicht. In unserer Anwendung speichern wir nur die Kennung des Auszahlungskontos und den Freigabestatus. Für die Identitäts- und Geldwäscheprüfung ist Stripe eigener Verantwortlicher.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO; für die Aufbewahrung Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

17. E-Mail-Versand, Benachrichtigungen und Werbung

17.1 System- und Statusnachrichten

Wir senden Ihnen vertragsdienliche System- und Statusnachrichten innerhalb der Anwendung und per E-Mail, etwa zur Bestätigung der Registrierung, zu Zugangs- und Wiederherstellungslinks, zu Bewerbungsstatus, Verbindungen, Nachrichten, Interviewterminen, Absagen im Namen des Unternehmens, Abrechnung, Ablauf eines bezahlten Zugangs und Support. Verarbeitet werden dabei Ihre E-Mail-Adresse, Ihre Anrede, Ihre Sprachwahl und die jeweils erforderlichen Angaben zum Vorgang.

Für E-Mail-Benachrichtigungen können Sie einzelne Kategorien abbestellen; bestimmte Hinweise innerhalb der Anwendung bleiben systembedingt bestehen. Diese Nachrichten sind keine Werbung im Sinne von § 7 UWG.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO gegenüber Vertragspartnern; gegenüber Beschäftigten von Unternehmenskunden Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Abwicklung des Vertrags mit dem Unternehmen.

17.2 Wer die E-Mails versendet

Den Versand unserer plattformgetriggerten E-Mails übernimmt Plus Five Five, Inc. (Produktname „Resend"); übermittelt werden Adressen und Inhalte. Die E-Mails zur Anmeldung, zur Bestätigung der E-Mail-Adresse und zur Wiederherstellung des Passworts werden über die Authentifizierungsschicht unseres Datenbankdienstleisters Supabase, Inc. versandt. Hiervon zu unterscheiden ist das von Microsoft betriebene Postfach hello@internities.de für die persönliche Kommunikation, den Support und die Bearbeitung von Betroffenenanfragen; es dient nicht dem automatisierten Versand.

17.3 Zustellprotokoll

Zu jeder von uns versandten E-Mail protokollieren wir den Zustellverlauf: einen nicht umkehrbaren Prüfwert der Empfängeradresse — nicht die Adresse selbst —, die Art der Nachricht, das Zustellereignis, eine Kennung des Versands und technische Metadaten ohne Personenbezug. Erfasst werden insbesondere Zustellung, Verzögerung, Zurückweisung und Beschwerde. Öffnungen und Klicks werten wir nicht aus; entsprechende Meldungen unseres Versanddienstleisters verwerfen wir. Betreff und Inhalt der Nachrichten speichern wir in diesem Protokoll nicht.

Zweck ist der Nachweis der Zustellung, die Erkennung unzustellbarer Adressen und die Fehlersuche. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einer zuverlässigen und nachweisbaren Zustellung bei pseudonymisierter Speicherung und kurzer Frist; bei Absage-E-Mails zusätzlich an einem Zugangsnachweis. Zur Speicherdauer siehe Abschnitt 25.

17.4 Werbliche E-Mails

Werbliche E-Mails über unser Angebot erhalten Sie nur, wenn Sie ausdrücklich eingewilligt haben. Die Einwilligung wird in einem zweistufigen Verfahren wirksam: Sie erklären sie bei der Registrierung, und sie wird erst mit Ihrer Bestätigung über einen Bestätigungslink aktiv. Bis dahin versenden wir keine Werbung. Wir speichern den Status Ihrer Einwilligung sowie eine Nachweiszeile mit Zeitpunkt, Fassungsbezeichnung des Einwilligungstextes, IP-Adresse und Browserkennung.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG für den Versand; Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO für den Nachweis.

17.5 Einmalige Information über die Verfügbarkeit des Angebots

Personen, die sich für den Zugang zur Plattform angemeldet haben, und Teilnehmerinnen und Teilnehmern des Ambassador-Programms teilen wir einmalig mit, dass das Angebot verfügbar ist und wie sie es nutzen können. Diese Nachricht erfüllt das Anliegen, mit dem Sie sich bei uns angemeldet haben; sie bewirbt kein weiteres Produkt.

Wie diese Nachricht zugestellt wird. Sie wird an alle Empfängerinnen und Empfänger der genannten Gruppen zugestellt; eine Prüfung der Sperrliste nach Abschnitt 17.6 findet vor ihr nicht statt. Das gilt auch dann, wenn Ihre Adresse dort als dauerhaft unzustellbar geführt wird. Die Nachricht trägt gleichwohl einen Abmeldelink und die technischen Kopfzeilen für die Abmeldung mit einem Klick; betätigen Sie ihn, tragen wir Ihre Adresse in die Sperrliste ein, und Sie erhalten von uns keine werbliche Ansprache mehr. Haben Sie uns gegenüber der werblichen Ansprache widersprochen oder eine Einwilligung widerrufen, so hindert das den Versand dieser einen Nachricht nicht; wir versenden sie in diesem Fall nur, soweit sie sich auf Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO stützt, und beachten Ihren Widerspruch für jede weitere Ansprache.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. Beruht die Anmeldung nicht auf einem Nutzungsverhältnis, stützen wir die Nachricht auf Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG und versenden sie nur an Personen, die eingewilligt haben. Darüber hinausgehende Werbung erhalten Sie ausschließlich nach Abschnitt 17.4.

17.6 Sperrliste

Wir führen eine Sperrliste mit E-Mail-Adressen, an die keine Werbung und keine Massennachricht versandt werden darf. Sie enthält Adressen, deren Inhaberinnen und Inhaber der werblichen Ansprache widersprochen oder eine Einwilligung widerrufen haben, sowie Adressen, die dauerhaft unzustellbar sind. Gespeichert werden die Adresse im Klartext — die Sperre funktioniert nur so —, der Umfang der Sperre, der Grund und der Zeitpunkt.

Vor jedem werblichen Versand wird diese Liste geprüft. Kann die Prüfung nicht durchgeführt werden, unterbleibt der Versand. Von dieser Prüfung ausgenommen ist die einmalige Information über die Verfügbarkeit des Angebots nach Abschnitt 17.5; sie wird zugestellt, ohne dass die Liste zuvor abgefragt wird. Andere Massennachrichten versenden wir nicht.

Die Sperrliste besteht auch nach einer Löschung Ihres Kontos fort, weil sie nur dann ihren Zweck erfüllt: Ohne den Eintrag könnten wir Ihren Widerspruch nicht dauerhaft beachten. Einträge werden nur entfernt, wenn Sie selbst erneut ausdrücklich einwilligen.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 3 und Art. 21 Abs. 3 DSGVO für Einträge aufgrund eines Widerrufs oder Widerspruchs, im Übrigen Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse, unzustellbare Adressen nicht erneut anzuschreiben. Die Fortdauer nach einer Löschung stützen wir auf Art. 17 Abs. 3 lit. b DSGVO.

17.7 Abmeldung, Widerruf und interne Benachrichtigungen

Jede werbliche E-Mail enthält einen Abmeldelink, über den Sie sich mit einem Klick abmelden können; zusätzlich enthalten unsere Werbe-E-Mails die technischen Kopfzeilen, mit denen Ihr E-Mail-Programm eine Abmeldung mit einem Klick anbieten kann. Sie können Ihre Einwilligung außerdem jederzeit in den Benachrichtigungseinstellungen Ihres Kontos oder per E-Mail an hello@internities.de widerrufen. Der Widerruf ist ebenso einfach wie die Erteilung (Art. 7 Abs. 3 S. 4 DSGVO). Zum Nachweis der Ausübung speichern wir den Zeitpunkt, die IP-Adresse und die Browserkennung.

Bestimmte Vorgänge lösen eine Nachricht an unser internes Teampostfach aus: eingegangene Ambassador-Bewerbungen als Volltextkopie, Support- und Terminmeldungen sowie technische Warnungen und eine tägliche Fehlerübersicht in pseudonymisierter Form. Das Postfach wird bei Microsoft Ireland Operations Limited gehostet. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einem geordneten internen Betrieb und einer zeitnahen Reaktion auf Störungen.

18. Support, Verwaltung und interne Kontrollen

18.1 Support-Anfragen

Über die Anwendung können Sie ein Support-Ticket eröffnen. Wir verarbeiten dabei die Metadaten des Vorgangs und Ihre Nachrichten im Wortlaut. Bitte teilen Sie uns nur die Angaben mit, die zur Lösung Ihres Anliegens erforderlich sind, und verzichten Sie insbesondere auf besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO sowie auf Angaben zu Dritten. Übermitteln Sie solche Angaben dennoch von sich aus, verarbeiten wir sie ausschließlich zur Bearbeitung Ihres Anliegens auf Grundlage Ihrer damit erteilten ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); Sie können diese Einwilligung jederzeit widerrufen, indem Sie uns unter hello@internities.de zur Löschung der betreffenden Nachricht auffordern. Die Identität der bearbeitenden Person aus unserem Team wird Ihnen nicht angezeigt.

Ein Vorgang ohne weitere Rückmeldung wird nach sieben Tagen automatisch geschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO gegenüber Nutzerinnen und Nutzern; gegenüber Beschäftigten von Unternehmenskunden Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Erbringung des Supports für den Vertragspartner.

18.2 Verwaltungsansichten, Maskierung und Einsichtnahme in Klardaten

Unsere Verwaltungsoberfläche zeigt personenbezogene Daten standardmäßig maskiert. Um Klardaten — etwa eine vollständige E-Mail-Adresse — einzusehen, muss eine berechtigte Person aus unserem Team einen Grund angeben; erst danach werden die Daten angezeigt. Jede solche Einsichtnahme wird protokolliert, und zwar bevor die Daten sichtbar werden. Für Arbeitslisten können Ausschnitte als Datei exportiert werden; auch das wird protokolliert.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an einem geordneten Betrieb, der Bearbeitung von Support- und Missbrauchsfällen und der Kontrolle des Zugriffs auf Klardaten.

18.3 Ansicht aus Nutzerperspektive

Zur Fehlerdiagnose können berechtigte Personen aus unserem Team eine rein lesende Ansicht aus der Perspektive eines Nutzerkontos einnehmen. In dieser Ansicht kann nichts verändert, gesendet oder gelöscht werden; jeder Änderungsversuch wird blockiert. Der Zugang ist auf zwei Minuten befristet, erfordert eine Begründung und wird doppelt protokolliert. Konten unseres eigenen Teams können auf diesem Weg nicht eingesehen werden.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Behebung von Fehlern, die sich anders nicht nachvollziehen lassen. Wir halten diese Maßnahme für verhältnismäßig, weil sie streng lesend, eng befristet, begründungspflichtig und vollständig protokolliert ist; diese Beschränkungen sind die Schutzmaßnahmen, die die Abwägung tragen.

18.4 Protokoll administrativer Eingriffe

Alle Eingriffe unseres Teams in der Verwaltungsoberfläche protokollieren wir nachträglich unveränderbar: handelnde und betroffene Person, Art der Handlung, betroffener Datensatz, angegebener Grund, Zeitpunkt, IP-Adresse und Browserkennung.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO in Verbindung mit Art. 5 Abs. 2 DSGVO mit dem Interesse an der Nachvollziehbarkeit und Missbrauchskontrolle administrativer Zugriffe. Wurde Ihr Konto zwischenzeitlich gelöscht, kann das Protokoll bis zum Ablauf seiner Frist noch ein Abbild Ihrer E-Mail-Adresse enthalten; Grundlage dafür ist Art. 17 Abs. 3 lit. e DSGVO.

18.5 Meldung rechtswidriger Inhalte (Art. 16 DSA)

Unter internities.com/de/report-illegal-content stellen wir ein Formular bereit, über das jede Person und jede Einrichtung — auch ohne Nutzerkonto und ohne Anmeldung — uns Inhalte melden kann, die sie für rechtswidrig hält. Das Formular ist über die Fußzeile unserer Website, über die Fußzeile der Anwendung und über das Impressum erreichbar.

Was wir dabei verarbeiten. Die Begründung, warum der Inhalt als rechtswidrig angesehen wird, die Angabe des Speicherorts des gemeldeten Inhalts, die Art des gemeldeten Gegenstands sowie den Namen und die E-Mail-Adresse der meldenden Person oder Einrichtung. Name und E-Mail-Adresse entfallen bei Meldungen zu Inhalten, die eine Straftat nach den Art. 3 bis 7 der Richtlinie 2011/93/EU betreffen (Art. 16 Abs. 2 lit. c DSA). Hinzu kommen der Zeitpunkt des Eingangs und technische Metadaten der Übermittlung. Enthält Ihre Begründung Angaben zu weiteren Personen, so gilt für diese Abschnitt 21.

Was wir damit tun. Wir bestätigen den Eingang, prüfen die Meldung, entscheiden über sie und teilen Ihnen die Entscheidung nebst den möglichen Rechtsbehelfen mit. Die Bestätigung und die Mitteilung gehen ausschließlich an die E-Mail-Adresse, die in der Meldung angegeben ist.

🔴 Diese Adresse prüfen wir nicht. Wer das Formular ausfüllt, muss sich nicht anmelden und weist seine Identität nicht nach. Wir versenden die Empfangsbestätigung und die Entscheidungsmitteilung deshalb an die angegebene Adresse, ohne feststellen zu können, ob sie der meldenden Person gehört. Geben Sie deshalb keine Adresse an, die Ihnen nicht gehört, und beachten Sie, dass die Mitteilung den gemeldeten Sachverhalt wiedergibt.

Rechtsgrundlagen. Für den Betrieb des Verfahrens, die Empfangsbestätigung und die Entscheidungsmitteilung: Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 16 Abs. 1, Abs. 4 und Abs. 5 der Verordnung (EU) 2022/2065; die Verordnung ist unmittelbar geltendes Unionsrecht im Sinne des Art. 6 Abs. 3 UAbs. 1 lit. a DSGVO und legt die Pflicht hinreichend bestimmt fest. Für die Aufbewahrung über die Bearbeitung hinaus: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse, die ordnungsgemäße und nicht willkürliche Bearbeitung nachweisen und missbräuchliche Mehrfachmeldungen erkennen zu können. Ein Widerspruch nach Art. 21 Abs. 1 DSGVO ist gegen die Aufbewahrung möglich; ihm können wir nur stattgeben, soweit dem nicht unsere Nachweispflichten aus der genannten Verordnung entgegenstehen.

Empfänger. Unser E-Mail-Dienstleister für den Versand der Bestätigung und der Mitteilung (Abschnitt 23) und, soweit die Meldung dazu Anlass gibt, die zuständigen Behörden (Art. 18 DSA). Die meldende Person wird der von der Meldung betroffenen Person gegenüber nicht offengelegt, soweit dies nicht zur Bearbeitung unerlässlich oder rechtlich geboten ist.

Speicherdauer. 24 Monate ab der Entscheidung über die Meldung (Abschnitt 25).

19. Verarbeitungen, die im Hintergrund laufen

19.1 Interne Fehlerprotokollierung

Zusätzlich zur Fehlerdiagnose im Browser (Abschnitt 5.7) führen wir ein internes Fehlerprotokoll in unserer eigenen Datenbank. Es enthält die bereinigte Fehlermeldung und ihren Kontext, eine Kennung zur Gruppierung gleichartiger Fehler und — sofern der Fehler einem Konto zugeordnet werden kann — einen nicht umkehrbaren Prüfwert Ihrer Nutzerkennung. Dieser Prüfwert ist eine Pseudonymisierung, keine Anonymisierung: Wir können damit prüfen, ob ein bestimmtes Konto betroffen war.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Erkennung und Behebung von Störungen.

19.2 Nutzungsdaten der KI-Funktionen

Zu jedem Aufruf eines Sprachmodells protokollieren wir die Funktion, den Anbieter, die Modellbezeichnung, die Zahl der verarbeiteten Texteinheiten, den Abbruchgrund, die Dauer, den Erfolg und — nur in der Dokumentenstrecke — einen nicht umkehrbaren Prüfwert Ihrer Nutzerkennung. Der Inhalt der Anfragen und der Antworten wird dabei nicht gespeichert. Diese Nutzungsdaten erhält kein Anbieter von uns zurück.

Zweck ist die Kosten- und Mengensteuerung sowie die Erkennung von Missbrauch und Fehlfunktionen. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der wirtschaftlichen und technischen Kontrolle über den Einsatz kostenpflichtiger externer Dienste.

19.3 Begrenzung der Anfragerate

Zum Schutz vor Überlastung und automatisierten Angriffen begrenzen wir die Zahl der Anfragen je Zeiteinheit. Als Schlüssel dienen — je nach Endpunkt — Ihre IP-Adresse oder Ihre Nutzerkennung. Die Zähler werden bei Upstash, Inc. in einem Rechenzentrum in Frankfurt am Main geführt; Inhaltsdaten werden dabei nicht verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Verfügbarkeit des Dienstes und der Abwehr missbräuchlicher Nutzung.

19.4 Betriebsüberwachung des Abgleichs

Wir zeichnen technische Betriebssignale des Abgleichsverfahrens auf — Laufzustände, Bearbeitungsreservierungen und Ausfälle — und benachrichtigen unser Team bei Störungen.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO in Verbindung mit Art. 32 Abs. 1 DSGVO mit dem Interesse an Betriebs- und Datensicherheit.

19.5 Automatische Lösch- und Anonymisierungsläufe

Ein Teil der in Abschnitt 25 genannten Fristen wird durch planmäßig laufende Verfahren durchgesetzt, die fällige Daten löschen oder anonymisieren und darüber ein Protokoll ohne Personenbezug führen. Diese Verfahren sind selbst eine Verarbeitung.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 1 lit. e und Art. 17 Abs. 1 lit. a DSGVO.

19.6 Technischer Antwortpuffer

Ruft unsere Datenbank eigene Endpunkte auf, wird die Antwort kurzzeitig zwischengespeichert. Der Puffer kann Ausschnitte der jeweiligen Antwort enthalten und damit im Einzelfall personenbezogene Daten; er wird nach etwa sechs Stunden automatisch geleert.

Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der technischen Nachvollziehbarkeit interner Abläufe.

20. Automatisierte Entscheidungen und Profilbildung im Überblick

Dieser Abschnitt fasst zusammen, was in den Abschnitten 7 und 11 im Einzelnen beschrieben ist, und erfüllt insoweit die Angaben nach Art. 13 Abs. 2 lit. f DSGVO.

20.1 Die eine ausschließlich automatisierte Entscheidung

Es gibt genau eine Verarbeitung, bei der eine Entscheidung mit Wirkung Ihnen gegenüber ausschließlich automatisiert getroffen wird: die Prüfung des Immatrikulationsnachweises (Abschnitt 7). Logik, Tragweite, angestrebte Auswirkungen, Rechtsgrundlage, die Grundlage nach Art. 22 Abs. 4 DSGVO für besondere Kategorien und der Weg zur Überprüfung durch eine Person stehen dort.

20.2 Profilbildung ohne automatisierte Entscheidung

Die Berechnung des Übereinstimmungswerts, die Einordnung in Eignungsbänder, die Prüfung zwingender Anforderungen und die daran anknüpfende Sortierung der Bewerberliste (Abschnitt 11) sind eine Profilbildung im Sinne von Art. 4 Nr. 4 DSGVO. Sie sind keine ausschließlich automatisierte Entscheidung: Über Ihre Bewerbung entscheidet in jedem Fall eine Person des Unternehmens; das Verfahren nimmt keine Statusänderung selbst vor und lehnt keine Bewerbung ab.

Eine zweite, hiervon getrennte Profilbildung ist die Ordnung der Liste externer Stellenanzeigen nach Abschnitt 13.2. Auch sie ist keine automatisierte Entscheidung; sie bestimmt allein die Reihenfolge einer Liste und wird keinem Unternehmen zugänglich gemacht.

Wir weisen jedoch offen auf zweierlei hin: Die Bewerberliste ist standardmäßig nach dem berechneten Wert absteigend sortiert, und die Reihenfolge kann beeinflussen, welche Bewerbungen zuerst und aufmerksamer gelesen werden. Erfüllt eine Bewerbung ein vom Unternehmen gesetztes zwingendes Kriterium nicht, wird sie in einem eigenen Abschnitt der Liste geführt und dort mit dem Ausschlussgrund angezeigt. Auch in diesem Fall bleibt die Entscheidung über den Status der Bewerbung bei einer Person des Unternehmens; unabhängig davon können Sie nach Abschnitt 11.4 eine Überprüfung der automatischen Einordnung durch eine Person bei uns verlangen.

20.3 Wo künstliche Intelligenz nur unterstützt

Alle übrigen KI-gestützten Funktionen erzeugen Vorschläge, die erst durch die Bestätigung eines Menschen wirksam werden; die beiden Ausnahmen stehen in Abschnitt 10.2.

21. Daten, die wir nicht bei Ihnen selbst erhoben haben (Art. 14 DSGVO)

Dieser Abschnitt richtet sich an Personen, deren Daten wir aus anderen Quellen erhalten haben.

21.1 Um welche Daten es geht und woher sie stammen

• Ansprechpersonen in externen Stellenanzeigen. Wir übernehmen Anzeigentexte von öffentlich zugänglichen Karriereseiten der Unternehmen sowie aus deren offiziellen Stellen-Feeds. Diese Texte können Namen, dienstliche E-Mail-Adressen, dienstliche Telefonnummern und namentliche Anreden von Ansprechpersonen enthalten. Der Text wird im Wortlaut gespeichert und zur Auswertung an ein Sprachmodell übermittelt (Abschnitt 13.1).
• Von Nutzerinnen und Nutzern genannte Dritte. In Freitexten und Dokumenten unserer Nutzerinnen und Nutzer können Dritte genannt werden: Referenzpersonen in Empfehlungsschreiben und Lebensläufen (Abschnitt 9.4), Personen im Empfehlungsfeld einer Ambassador-Bewerbung (Abschnitt 16.1), Personen in Support-Nachrichten (Abschnitt 18.1) und Personen in Nachrichten zwischen Nutzenden (Abschnitt 12.6). Quelle sind in diesen Fällen die jeweiligen Nutzerinnen und Nutzer.
• Eingeladene Teammitglieder von Unternehmen. Bis zur Annahme einer Einladung stammt die E-Mail-Adresse von der einladenden Person des Unternehmens (Abschnitt 14.1).
• Daten aus der Zahlungsabwicklung. Von Stripe erhalten wir Angaben zu Abonnements, Rechnungen und Auszahlungen (Abschnitte 15 und 16.5).

21.2 Zwecke und Rechtsgrundlagen

• Ansprechpersonen in externen Anzeigen. Wir speichern den Anzeigentext im Original, um die Anzeige inhaltlich richtig wiedergeben und Änderungen der Originalanzeige nachvollziehen zu können, und werten ihn maschinell aus, um daraus Eckdaten und einen strukturierten Beschreibungstext zu erzeugen. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO. Unser Interesse besteht in der Vollständigkeit und Aktualität unseres Stellenkatalogs.

Unsere Abwägung, offen dargelegt: Wir benötigen die Angaben zu Ansprechpersonen für unseren Zweck nicht, werten sie nicht gesondert aus und sprechen die genannten Personen auf dieser Grundlage nicht an. Zu Ihren Lasten wirkt, dass wir den Text im Wortlaut speichern und zur Auswertung an einen Auftragsverarbeiter in den Vereinigten Staaten übermitteln (Abschnitte 21.3 und 24.2) und dass eine im Text genannte Adresse Ihren Namen enthalten kann. Zu Ihren Gunsten wirken die Zweckbindung auf die reine Anzeigendarstellung, die kurze Speicherdauer des Rohtexts (Abschnitt 25), der Ausschluss jeder Ansprache und Ihr jederzeit ausübbares Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO (Abschnitt 21.4), dem wir ohne weitere Prüfung nachkommen. Zu Ihren Gunsten wirkt ferner, dass die Angabe vom ausschreibenden Unternehmen selbst öffentlich zugänglich gemacht wurde — wir werten diesen Umstand allerdings nicht als für sich genommen ausschlaggebend.

Sind Sie in einem solchen Text genannt und möchten das nicht, genügt eine Nachricht an hello@internities.de; wir entfernen die Angabe unverzüglich (Abschnitt 21.4).

• Von Nutzenden genannte Dritte. Wir verarbeiten diese Angaben ausschließlich zur Erbringung der jeweiligen Leistung gegenüber der nennenden Person, im Fall der Ambassador-Bewerbung zur Plausibilitätsprüfung. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO. Unser Interesse: Wir können den Inhalt der von Nutzenden eingestellten Texte nicht vorab prüfen, ohne den Dienst unbrauchbar zu machen. Wir sprechen die genannten Personen nicht auf Grundlage dieser Angabe an.
• Eingeladene Teammitglieder. Wir verwenden die Adresse ausschließlich, um die Einladung zuzustellen und das Konto anzulegen. Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse des einladenden Unternehmens an der Einrichtung des Teamzugangs; ab der Annahme Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. Die Einladungs-E-Mail enthält den Verweis auf diese Datenschutzerklärung und erfüllt damit zugleich die Information nach Art. 14 Abs. 3 lit. a DSGVO.
• Daten aus der Zahlungsabwicklung. Art. 6 Abs. 1 UAbs. 1 lit. b und lit. c DSGVO.

21.3 Empfänger, Drittlandbezug und Speicherdauer

Der Anzeigentext im Original wird zur maschinellen Auswertung an Anthropic PBC (Vereinigte Staaten) übermittelt; im Übrigen ergeben sich die Empfänger aus Abschnitt 23 und die Drittlandübermittlungen aus Abschnitt 24. Die Speicherdauer ergibt sich aus dem jeweils in Bezug genommenen Abschnitt und aus Abschnitt 25; Angaben zu Dritten in Freitexten teilen das Schicksal des Vorgangs, in dem sie stehen.

21.4 Ihre Rechte

Ihnen stehen dieselben Rechte zu wie allen anderen betroffenen Personen (Abschnitte 27 bis 29), insbesondere das Recht auf Löschung und das Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO. Wenn Sie in einem bei uns gespeicherten Text genannt sind und nicht möchten, dass wir diese Angaben weiter verarbeiten, schreiben Sie uns an hello@internities.de. Wir prüfen den Fall und entfernen die Angaben unverzüglich, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

21.5 Wann und wie wir informieren

Wir informieren betroffene Personen innerhalb eines Monats nach Erlangung der Daten, bei einer Kommunikation mit ihnen spätestens zum Zeitpunkt der ersten Mitteilung und bei einer Offenlegung gegenüber Dritten spätestens zum Zeitpunkt dieser Offenlegung (Art. 14 Abs. 3 DSGVO).

Ist uns eine individuelle Information nicht oder nur mit unverhältnismäßigem Aufwand möglich, stellen wir sie hier öffentlich bereit (Art. 14 Abs. 5 lit. b DSGVO). Das betrifft insbesondere Ansprechpersonen in übernommenen Anzeigen, soweit uns keine über den Anzeigentext hinausgehenden Kontaktdaten vorliegen und die Zuordnung einer Textstelle zu einer bestimmten Person nicht zweifelsfrei möglich ist, sowie in Freitexten genannte Dritte, bei denen wir aus der Angabe nicht zuverlässig schließen können, ob und wie die Person erreichbar ist, und bei denen eine Kontaktaufnahme allein zum Zweck der Benachrichtigung ihrerseits eine zusätzliche Verarbeitung wäre.

22. Erforderlichkeit der Bereitstellung (Art. 13 Abs. 2 lit. e DSGVO)

Sie sind gesetzlich nicht verpflichtet, uns personenbezogene Daten bereitzustellen. Ein Teil der Angaben ist jedoch für den Abschluss oder die Durchführung des Nutzungsvertrags erforderlich. Wir stellen deshalb je Angabe klar, was die Folge einer Nichtbereitstellung ist:

• E-Mail-Adresse, Name und Passwort. Für den Vertragsschluss erforderlich. Ohne sie können wir kein Konto anlegen.
• Zugang zur Studierendenplattform. Erforderlich ist entweder eine E-Mail-Adresse einer uns bekannten Hochschul-Domain oder ein Immatrikulationsnachweis (Abschnitt 7). Ohne eines von beiden können wir den Zugang nicht freischalten.
• Profilangaben, Lebenslauf, Notenauszug — in der Anwendung „Notenblatt", in unseren Allgemeinen Geschäftsbedingungen „Zeugnis" —, Interessen und Angaben zum Arbeitsumfeld. Für die Nutzung der Bewerbungsfunktion erforderlich. Ohne sie können Sie das Stellenangebot ansehen, sich aber nicht bewerben.
• Angabe zur Arbeitserlaubnis, Verfügbarkeit, Wohnort und gewünschte Dauer. Für die Bewerbung erforderlich. Ohne sie können wir die zwingenden Anforderungen einer Stelle nicht prüfen; die Bewerbung kann nicht abgesendet werden. Erfüllen Ihre Angaben ein zwingendes Kriterium nicht, können Sie sich auf die betreffende Rolle nicht erfolgreich bewerben.
• Telefonnummer und Postanschrift. Nur für die Übergabe nach einer bestätigten Einstellung erforderlich (Abschnitt 12.7). Ohne sie kann das Übergabepaket nicht bereitgestellt werden; die Einstellung selbst hängt davon nicht ab.
• Einwilligung in die Modellnutzung beim Hochladen eines Dokuments (Abschnitt 9.5). Freiwillig. Ohne sie wird das betreffende Dokument nicht für die Zuordnung zum europäischen Kompetenzkatalog ausgewertet; alle übrigen Funktionen stehen Ihnen offen.
• Annahme einer Kontaktanfrage und Freigabe Ihrer E-Mail-Adresse (Abschnitt 12.5). Freiwillig. Ohne sie kommt kein direkter Kontakt und kein Nachrichtenkanal mit dem betreffenden Unternehmen zustande.
• Einwilligung in werbliche E-Mails (Abschnitt 17.4). Freiwillig. Eine Nichterteilung oder ein Widerruf hat keinerlei Auswirkung auf die Nutzung der Plattform.
• Einwilligung in optionale Cookies (Abschnitt 5.3). Freiwillig. Ohne sie funktioniert die Plattform vollständig; lediglich die Zuordnung einer Empfehlung kann in Einzelfällen verloren gehen.
• Zahlungsdaten (Abschnitt 15). Für kostenpflichtige Verträge erforderlich. Ohne sie kommt kein kostenpflichtiger Vertrag zustande.

Freiwillig sind darüber hinaus insbesondere Ihr frei formulierter Kurztext, die Angabe früherer Tätigkeiten, die Angabe von Auszeichnungen und Engagement sowie das Hochladen von Dokumenten über den Notenauszug hinaus. Machen Sie diese Angaben nicht, entstehen Ihnen daraus keine Nachteile; einzelne Funktionen stehen dann nicht oder nur eingeschränkt zur Verfügung, und Ihr Übereinstimmungswert kann niedriger ausfallen, weil weniger bestätigte Angaben vorliegen.

Für Unternehmen gilt entsprechend: Firmenname, Kontaktdaten der handelnden Person und die Angaben des Stellen-Fragebogens sind für die Anlage eines Unternehmenskontos und die Veröffentlichung einer Stelle erforderlich; für kostenpflichtige Pläne zusätzlich die Abrechnungsdaten.

23. Empfänger und Auftragsverarbeiter

23.1 Grundsatz

Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff, die ihn für ihre Aufgabe benötigen; der Zugriff auf Klardaten ist zusätzlich begründungspflichtig und protokolliert (Abschnitt 18.2). Nach außen geben wir Daten nur weiter, soweit dies in dieser Erklärung beschrieben ist, Sie eingewilligt haben oder wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken an Dritte weiter.

23.2 Dienstleister, die für uns tätig werden

Die folgenden Dienstleister verarbeiten personenbezogene Daten in unserem Auftrag auf Grundlage eines Vertrags nach Art. 28 Abs. 3 DSGVO. Für Übermittlungen in Drittländer gelten zusätzlich die Garantien nach Abschnitt 24.

• Supabase, Inc. — Datenbank, Authentifizierung einschließlich des Versands der Anmelde-, Bestätigungs- und Wiederherstellungs-E-Mails, Dateispeicherung, Echtzeitverbindungen und Hintergrundfunktionen. Hier liegen sämtliche in dieser Erklärung genannten Bestände, soweit nicht ausdrücklich etwas anderes angegeben ist. Das Projekt wird in der Region Irland betrieben. Sitz des Unternehmens: Vereinigte Staaten.
• Vercel Inc. — Hosting und Ausführung unserer Anwendungen sowie die dabei anfallenden Betriebsprotokolle; die Ausführung ist auf die Region Frankfurt am Main festgelegt. Über diese Infrastruktur laufen sämtliche Anfragen. Vercel erbringt außerdem die Reichweitenmessung nach Abschnitt 5.5. Sitz: Vereinigte Staaten.
• Plus Five Five, Inc. („Resend") — Versand unserer plattformgetriggerten E-Mails einschließlich Adressen und Inhalten sowie Rückmeldung der Zustellstatus. Sitz: Vereinigte Staaten.
• Anthropic PBC — Sprachmodelle. Es bestehen zwei technisch getrennte Verarbeitungswege: der Modellaufruf aus unserer Anwendung heraus (Prüfung des Immatrikulationsnachweises, Gewinnung strukturierter Angaben aus Dokumenten, Erzeugung von Stellenbeschreibungen und Zusammenfassungen, Auswertung externer Stellenanzeigen) und der Modellaufruf aus dem Dienst, der Fähigkeiten dem europäischen Kompetenzkatalog zuordnet. Übermittelt werden der aus Dokumenten gewonnene Text beziehungsweise einzelne daraus gebildete Aussagen sowie die von Unternehmen eingegebenen Texte; Rohdateien werden nicht übermittelt. Sitz: Vereinigte Staaten.
• Mistral AI SAS — Sprachmodelle für die Bestimmung des Dokumenttyps, die Zuordnung von Studienfeldern, den Vorschlag von Interessengebieten für ausgeschriebene Rollen und die Kürzung von Stellenbeschreibungen. Übermittelt werden der jeweilige Eingabetext und der aus Dokumenten gewonnene Text. Sitz: Frankreich.
• Google Cloud EMEA Limited (Google Document AI) — Texterkennung; hierbei werden die Rohdaten des hochgeladenen Dokuments übermittelt. Die Verarbeitung ist auf eine EU-Region konfiguriert; die Vertragspartnerin hat ihren Sitz in Irland, ein Konzernzugriff durch die Google LLC (Vereinigte Staaten) ist nicht ausgeschlossen.
• Ionx Solutions LLP („Verisys") — Prüfung hochgeladener Dateien und Chat-Anhänge auf Schadsoftware; übermittelt werden die vollständigen Dateiinhalte. Sitz: Vereinigtes Königreich; angesprochen wird der europäische Endpunkt des Dienstes.
• Stripe Payments Europe, Limited (Irland) und Stripe, Inc. (Vereinigte Staaten) — Zahlungsabwicklung, Abonnementverwaltung und Auszahlungs-Onboarding. Auftragsverarbeiter für die Abrechnung, zugleich eigenständig Verantwortliche für die eigenen Pflichten zur Identitätsfeststellung und Geldwäscheprävention.
• Cloudflare, Inc. — Schutz öffentlich zugänglicher Formulare vor automatisierten Zugriffen; verarbeitet werden Ihre IP-Adresse, Browser-Signale und ein Prüf-Token. Sitz: Vereinigte Staaten.
• Upstash, Inc. — Speicher für die Begrenzung der Anfragerate; verarbeitet werden vorübergehend Nutzerkennungen oder IP-Adressen mit Anfragezählern, keine Inhaltsdaten. Region Frankfurt am Main; Sitz: Vereinigte Staaten.
• Functional Software, Inc. („Sentry") — Erfassung von Anwendungsfehlern; übermittelt werden bereinigte Ereignisdaten und ein nicht rückrechenbarer Prüfwert der Nutzerkennung. Europäische Datenregion Frankfurt; Sitz: Vereinigte Staaten.
• Microsoft Ireland Operations Limited — zwei getrennte Leistungen: erstens das Hosting des zentralen Postfachs hello@internities.de für allgemeine Kommunikation, Support, interne Benachrichtigungen und die Bearbeitung von Betroffenenrechten, wobei sämtliche ein- und ausgehende Korrespondenz einschließlich Absender- und Empfängerangaben, Betreff, Nachrichtentext und Anhängen verarbeitet wird; zweitens die Kalender- und Online-Konferenzfunktion für Terminbuchungen nach den Abschnitten 14.6 und 16.2. Je nach Anliegen sind besondere Kategorien nach Art. 9 DSGVO in einer an uns gerichteten Nachricht nicht ausgeschlossen; Rechtsgrundlage ist insoweit Ihre mit der Übersendung erteilte ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, im Übrigen Abschnitt 18.1. Sitz: Irland; Konzernbezug: Vereinigte Staaten.

Diese Dienstleister setzen ihrerseits Unter-Auftragsverarbeiter ein — etwa Amazon Web Services für den Datenbankbetrieb, Twilio in der Kette der Schadsoftwareprüfung und OpenAI in der Kette der Datenbankplattform. Eine vollständige und aktuelle Aufstellung stellen wir Ihnen auf Anfrage unter hello@internities.de zur Verfügung.

23.3 Andere Nutzerinnen, Nutzer und Unternehmen

• Unternehmen, die auf unserer Plattform Stellen ausschreiben, erhalten Bewerberdaten nach Maßgabe von Abschnitt 12.2, die nach Abschnitt 12.5 freigegebene Kontakt-E-Mail-Adresse und die nach Abschnitt 12.7 übergebenen Unterlagen. Zur Rollenverteilung siehe Abschnitt 12.9.
• Studierende sehen die von Unternehmen veröffentlichten Rollen und Firmenprofile.
• Ambassadors sehen ausschließlich die ihnen zugeordneten Firmennamen und deren Status (Abschnitt 16.4); personenbezogene Daten von Studierenden erhalten sie nicht.

23.4 Behörden und Rechtsverfolgung

Wir geben Daten an Behörden und Gerichte weiter, soweit wir dazu rechtlich verpflichtet sind oder soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO beziehungsweise Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO mit dem Interesse an der Verteidigung gegen Ansprüche.

23.5 Datenquellen, die keine Empfänger sind

Von den Betreibern der Bewerbermanagementsysteme, aus deren öffentlichen Feeds wir Stellenanzeigen abrufen (Abschnitt 13.1), erhalten wir Daten; wir übermitteln ihnen keine. Den europäischen Kompetenzkatalog halten wir lokal vor; beim Abgleich entsteht keine Verbindung zur Europäischen Kommission.

24. Übermittlung in Drittländer (Art. 44 ff. DSGVO)

24.1 Grundsatz

Ein Teil der in Abschnitt 23.2 genannten Empfänger hat seinen Sitz oder seinen Konzernbezug außerhalb der Europäischen Union. In diesen Fällen kann eine Übermittlung personenbezogener Daten in ein Drittland stattfinden oder ein Zugriff aus einem Drittland nicht ausgeschlossen werden. Für jeden dieser Fälle haben wir geeignete Garantien vereinbart. Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage unter hello@internities.de.

Soweit eine Verarbeitung ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum erfolgt, findet insoweit keine Drittlandübermittlung statt; ein etwaiger Support- oder Fernzugriff aus einem Drittland ist gleichwohl je Anbieter durch die nachstehenden Garantien abgedeckt.

24.2 Empfänger in den Vereinigten Staaten

• Supabase, Inc. Die Verarbeitung findet in einem EU-Projekt in Irland statt. Ein Drittlandbezug entsteht durch einen möglichen Support- und Fernzugriff aus den Vereinigten Staaten. Grundlage: EU-Standardvertragsklauseln (Modul 2, Verantwortliche an Auftragsverarbeiter) nach Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO.
• Vercel Inc. Die Ausführung ist auf Frankfurt am Main festgelegt; Build-, Protokoll- und Verwaltungsdaten können in die Vereinigten Staaten gelangen. Grundlage: EU-Standardvertragsklauseln (Modul 2) nach Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO, ergänzt um das Zusatzdokument für Übermittlungen in das Vereinigte Königreich.
• Plus Five Five, Inc. („Resend"). Grundlage: EU-Standardvertragsklauseln (Modul 2) nach Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO. Der Anbieter beruft sich zusätzlich auf eine Zertifizierung nach dem EU-US-Datenschutzrahmen (Durchführungsbeschluss (EU) 2023/1795).
• Anthropic PBC. Grundlage: EU-Standardvertragsklauseln (Modul 2) nach Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO, ergänzt um die Zusatzdokumente für das Vereinigte Königreich und die Schweiz. Als ergänzende Maßnahmen sind die Beschränkung der Speicherung auf die Dauer der Verarbeitung und der Ausschluss der Nutzung zu Trainingszwecken vereinbart.
• Google LLC (Konzernzugriff auf die in der Union betriebene Texterkennung). Verarbeitung und Speicherung erfolgen in der EU-Region; Vertragspartnerin ist die Google Cloud EMEA Limited in Irland. Für einen verbleibenden Konzern- oder Supportzugriff gelten die EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO; ergänzend beruft sich die Google LLC auf eine Zertifizierung nach dem EU-US-Datenschutzrahmen.
• Stripe. Vertragspartnerin ist die Stripe Payments Europe, Limited mit Sitz in Irland; der Drittlandbezug entsteht durch konzerninterne Weiterübermittlung in die Vereinigten Staaten. Grundlage: EU-Standardvertragsklauseln (Module 1 und 2) nach Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO; ergänzend beruft sich der US-Rechtsträger auf eine Zertifizierung nach dem EU-US-Datenschutzrahmen.
• Cloudflare, Inc. Grundlage: EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO; ergänzend beruft sich Cloudflare auf eine Zertifizierung nach dem EU-US-Datenschutzrahmen.
• Upstash, Inc. Verarbeitung und Speicherung erfolgen in Frankfurt am Main. Für den verbleibenden Zugriff des US-Rechtsträgers gelten die EU-Standardvertragsklauseln (Modul 2) nach Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO.
• Functional Software, Inc. („Sentry"). Verarbeitung in der europäischen Datenregion Frankfurt. Für den verbleibenden Zugriff des US-Rechtsträgers gelten die EU-Standardvertragsklauseln (Modul 2) nach Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO; ergänzend beruft sich der Anbieter auf eine Zertifizierung nach dem EU-US-Datenschutzrahmen.
• Microsoft Corporation (Konzernbezug der Microsoft Ireland Operations Limited). Die Vertragspartnerin ist ein EU-Rechtsträger; im Rahmen der EU-Datengrenze werden personenbezogene Daten in der Europäischen Union gespeichert und verarbeitet. Für verbleibende Übermittlungen an die Microsoft Corporation gelten die EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO sowie das Zusatzdokument für das Vereinigte Königreich; ergänzend beruft sich Microsoft auf eine Zertifizierung nach dem EU-US-Datenschutzrahmen. Ein Restrisiko besteht bei Support- oder Fernzugriff aus den Vereinigten Staaten.

Was Sie dazu wissen sollten: In den Vereinigten Staaten können Behörden unter bestimmten Voraussetzungen auf Daten zugreifen, und die Rechtsschutzmöglichkeiten für betroffene Personen entsprechen dort nicht denen innerhalb der Europäischen Union. Die vorstehenden Standardvertragsklauseln und die vereinbarten ergänzenden Maßnahmen sollen dieses Risiko begrenzen; ausschließen können sie es nicht.

Für die Empfänger, die sich zusätzlich auf eine Zertifizierung nach dem EU-US-Datenschutzrahmen berufen, tragen wir die Übermittlung unabhängig davon auf die vorstehend genannten Standardvertragsklauseln. Auf die Zertifizierung kommt es für die Zulässigkeit der Übermittlung nach unserer Gestaltung nicht an.

24.3 Empfänger im Vereinigten Königreich

Betroffen ist die Ionx Solutions LLP. Für das Vereinigte Königreich hat die Europäische Kommission mit dem Durchführungsbeschluss (EU) 2021/1772 vom 28. Juni 2021 einen Angemessenheitsbeschluss nach Art. 45 Abs. 3 DSGVO erlassen; dieser Beschluss war von vornherein befristet. Solange für das Vereinigte Königreich ein Angemessenheitsbeschluss der Europäischen Kommission gilt, stützt sich die Übermittlung auf Art. 45 Abs. 1 DSGVO; einer gesonderten Garantie nach Art. 46 DSGVO bedarf es dann nicht. Gilt kein solcher Beschluss mehr, stützen wir die Übermittlung auf die EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 (Modul 2) in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO und weisen das an dieser Stelle aus. Welcher Rechtsakt zum Zeitpunkt Ihrer Anfrage gilt, teilen wir Ihnen unter hello@internities.de mit; verbindlich ist die von der Europäischen Kommission geführte und veröffentlichte Übersicht der Angemessenheitsbeschlüsse. Eine Kopie der Garantien erhalten Sie nach Abschnitt 24.5.

24.4 Mistral AI SAS

Die Mistral AI SAS hat ihren Sitz in Frankreich und ist damit in der Europäischen Union niedergelassen. Wir haben mit ihr einen Vertrag nach Art. 28 Abs. 3 DSGVO geschlossen. In welcher Region die Verarbeitung technisch stattfindet und welche Unterauftragsverarbeiter dabei eingesetzt werden, klären wir derzeit mit dem Anbieter ab. Sollte sich dabei ergeben, dass Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, weisen wir das hier zusammen mit der dann maßgeblichen Garantie aus. Eine Kopie der vertraglichen Grundlagen erhalten Sie auf Anfrage unter hello@internities.de.

24.5 Wie Sie eine Kopie der Garantien erhalten

Eine Kopie der Standardvertragsklauseln und der ergänzenden Vereinbarungen stellen wir Ihnen auf Anfrage zur Verfügung. Wenden Sie sich dazu bitte an hello@internities.de oder an unsere Postanschrift.

25. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten dies verlangen. Die nachstehenden Angaben nennen die von uns festgelegte Höchstdauer; entfällt der Zweck früher, löschen wir früher. Die maßgebliche Frist steht jeweils auch bei der einzelnen Verarbeitung.

An das Konto gebunden — Löschung oder Anonymisierung mit dem Konto: Profildaten, Präferenzen, Interessen, Angaben zum Arbeitsumfeld, Angaben zu früheren Tätigkeiten, Auszeichnungen und Engagement, Merklisten, bestätigtes Kompetenzprofil, akademische Kennzahl und Gesamtnote, laufende Bewerbungen sowie Unternehmens- und Ambassador-Stammdaten.

Zugang und Konto

• Zugangsanträge von Studierenden: Anonymisierung 90 Tage nach der Aktivierung des Kontos; Anträge, die nicht zu einer Aktivierung führen, spätestens 12 Monate nach der Antragstellung.
• Nicht bestätigte Einträge der früheren Interessentenliste: 7 Tage. Aus dieser inzwischen eingestellten Funktion sind noch wenige Datensätze aus Januar und Februar 2026 vorhanden; sie werden mit der nächsten planmäßigen Bereinigung anonymisiert.
• Nachweise über Vertrags- und Einwilligungsannahmen: für die Dauer des Kontos zu Rechenschaftszwecken; danach bleibt die Nachweiszeile in anonymisierter Form bestehen.
• Zugangscodes des Ambassador-Programms, die nie eingelöst wurden: 30 Tage nach Ablauf.

Dokumente und deren Auswertung

• Immatrikulationsnachweise: Löschung der Datei, des daraus erkannten Textes und der ausgelesenen Felder 30 Tage nach der abschließenden Entscheidung. Punktwert, Ergebnis, Begründung, der zugrunde gelegte Schwellenwert und die Bezeichnung des eingesetzten Modells bleiben für die Überprüfung durch eine Person nach Abschnitt 7.4 noch 60 weitere Tage erhalten; der Datensatz wird 90 Tage nach der abschließenden Entscheidung gelöscht.
• Hochgeladene Dokumente und die daraus gewonnenen Daten einschließlich des erkannten Textes und der strukturierten Auswertungsergebnisse: höchstens 24 Monate ab dem Hochladen; früher, wenn Sie das Dokument oder Ihr Konto löschen. Bestätigte Profilangaben, die Sie aus einem Dokument übernommen haben, bleiben als Profildaten bestehen.
• Zwischendaten der Zuordnung zum europäischen Kompetenzkatalog — Laufprotokolle, einzelne Aussagen, Vorschläge und Metadaten der Modellaufrufe: 90 Tage. Ausgenommen sind Aussagen und Auswahlvorgänge, die einem von Ihnen bestätigten Eintrag zugrunde liegen; sie bleiben als Herkunftsnachweis erhalten, solange der Eintrag besteht.

Abgleich

• Berechnungen, die beim Durchsuchen des Stellenangebots entstehen: 90 Tage.
• Berechnungen, die zu einer Bewerbung gehören: für die Dauer der Bewerbung nach Maßgabe der Bewerbungsfristen; im Übrigen Löschung mit dem Konto.
• Protokolle der Katalogsuche, Betriebssignale des Abgleichs und Benachrichtigungen aus dem Abgleich: 90 Tage.

Bewerbungen und Kommunikation

• Abgelehnte Bewerbungen: Löschung der inhaltlichen Angaben 6 Monate nach Zustellung der Absage; es verbleibt der minimale Eintrag nach Abschnitt 12.8.
• Zurückgezogene Bewerbungen: 6 Monate.
• Nachweisprotokoll der Absageentscheidungen nach Abschnitt 12.3: 4 Jahre ab der Entscheidung.
• Zustellnachweise für Absage-E-Mails: 24 Monate; alle übrigen Zustellprotokolle 90 Tage.
• Kontaktanfragen, Nachrichten, Anhänge, Interviewtermine und Terminvorschläge: 180 Tage nach Beendigung der Verbindung; bei bestehenden Verbindungen für deren Dauer. Meldungen zu Konversationen und Meldungen rechtswidriger Inhalte nach Abschnitt 18.5 einschließlich der Angaben zur meldenden Person: 24 Monate ab der Entscheidung über die Meldung.
• Abrufzugang des einstellenden Unternehmens auf übergebene Unterlagen nach Abschnitt 12.7: 30 Tage; die Freigabeentscheidung und ihr Protokoll 4 Jahre ab der Freigabe.
• Benachrichtigungen in der Anwendung: 12 Monate.

Unternehmensseite und externe Anzeigen

• Unternehmenskonto und Mitgliedskonten nach dem Ende des Vertrags: keine automatische Löschung; Löschung, sobald die verwaltende Person das Konto löscht, im Übrigen nach den gesetzlichen Aufbewahrungspflichten.
• Einladungen an Teammitglieder: 90 Tage ab Erstellung, sofern die Einladung nicht mehr offen ist.
• Gelöschte Stellen einschließlich der zugehörigen Anforderungsprofile, Fragebogenantworten und Beschreibungstexte: endgültige Löschung 30 Tage nach der Löschung durch das Unternehmen.
• Rohtexte übernommener externer Stellenanzeigen: Löschung mit der Entfernung der zugehörigen Anzeige, spätestens 30 Tage danach.
• Klickprotokoll externer Stellenanzeigen: 12 Monate ab dem Klick; früher, wenn Sie Ihr Konto löschen oder die Anzeige entfernt wird.

Abrechnung und Ambassador-Programm

• Rechnungen und Buchungsbelege: für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen nach § 147 AO, § 257 HGB und § 14b UStG, gerechnet ab dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist.
• Vorgangs- und Empfangsprotokolle der Abrechnung: 12 Monate.
• Prämien- und Auszahlungsunterlagen des Ambassador-Programms: 10 Jahre ab dem Ende des Jahres, in dem der Anspruch entstanden ist. Löschen Sie Ihr Konto, bleiben diese Datensätze in anonymisierter Form bestehen.
• Abgelehnte Ambassador-Bewerbungen: Anonymisierung 6 Monate nach der Entscheidung. Nicht entschiedene Bewerbungen: 12 Monate. Bewerbungen angenommener Ambassadors: für die Dauer der Programmteilnahme.
• Annahmen der Programmbedingungen von Personen, die das Programm verlassen haben: 10 Jahre ab der Annahme.
• Terminbuchungen (Termine mit unserem Team nach Abschnitt 14.6 sowie Kennenlern- und Auswahlgespräche des Ambassador-Programms): 12 Monate nach dem Termin.

Support, Verwaltung und Technik

• Support-Vorgänge und die zugehörigen Nachrichten: 24 Monate nach Schließung des Vorgangs.
• Protokoll der administrativen Eingriffe und Protokoll der Ansicht aus Nutzerperspektive: 12 Monate.
• Verbindungsprotokolle bei unserem Hoster: nach dessen tarifabhängiger Aufbewahrungsregel; maßgebliches Kriterium ist die Erforderlichkeit für Auslieferung, Fehlersuche und Angriffsabwehr, die genaue Frist teilen wir auf Anfrage mit (Abschnitt 5.1). Internes Fehlerprotokoll: 90 Tage. Bei Sentry erfasste Fehlerdaten: nach der dortigen Aufbewahrungsregel, längstens 90 Tage.
• Nutzungsdaten der KI-Funktionen: 90 Tage.
• Zähler der Ratenbegrenzung: höchstens rund 48 Stunden, in der Regel wenige Minuten.
• Technischer Antwortpuffer: rund 6 Stunden.

E-Mail-Werbung

• Sperrliste nach Abschnitt 17.6: unbefristet, solange der Widerspruch beziehungsweise die Unzustellbarkeit fortbesteht. Der Eintrag wird gelöscht, wenn Sie erneut ausdrücklich in die werbliche Ansprache einwilligen.

Gesetzliche Aufbewahrungspflichten gehen einer Löschung vor. Solange eine solche Pflicht besteht, sperren wir die Daten für alle anderen Zwecke, statt sie zu löschen.

Nach einer Kontolöschung werden Ihre personenbezogenen Daten gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Einzelne Nachweiszeilen können in anonymisierter oder auf den Aufbewahrungszweck beschränkter Form fortbestehen; das gilt insbesondere für die Nachweise nach Abschnitt 6.4, für das Protokoll nach Abschnitt 18.4 und für die Sperrliste nach Abschnitt 17.6.

26. Sicherheit der Verarbeitung

Wir treffen angemessene technische und organisatorische Maßnahmen, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Veränderung zu schützen (Art. 32 DSGVO). Dazu gehören insbesondere:

• verschlüsselte Übertragung aller Verbindungen zu unseren Diensten;
• datenbankseitige Zugriffsregeln, die für jede Tabelle festlegen, wer welche Zeile lesen und schreiben darf, und die unabhängig vom Anwendungscode greifen;
• Zugriffskontrollen und rollenbasierte Berechtigungen;
• private Dateispeicher ohne öffentliche Adressen; Zugriff ausschließlich über zeitlich eng befristete, individuell erzeugte Abruflinks;
• Prüfung jeder hochgeladenen Datei auf Schadsoftware, Freigabe erst nach positivem Ergebnis und keine Freigabe im Fehlerfall;
• standardmäßige Maskierung personenbezogener Daten in unserer Verwaltungsoberfläche, Einsichtnahme in Klardaten nur mit Begründung und mit vorheriger Protokollierung;
• nachträglich unveränderbare Protokollierung administrativer Eingriffe;
• Begrenzung der Anfragerate und Schutz öffentlich zugänglicher Formulare vor automatisierten Zugriffen;
• einmalig verwendbare, zeitlich befristete Token für Anmeldung, Wiederherstellung und Einladungen; Passwörter werden ausschließlich als Prüfwert gespeichert;
• Entfernen erkennbarer personenbezogener Angaben aus Fehlermeldungen vor deren Speicherung und Übermittlung.

27. Ihre Rechte

Nach der Datenschutz-Grundverordnung stehen Ihnen die folgenden Rechte zu. Sie können sie jederzeit ausüben, indem Sie uns unter hello@internities.de oder postalisch unter der in Abschnitt 1.1 genannten Anschrift kontaktieren.

27.1 Auskunft (Art. 15 DSGVO)

Sie erhalten Auskunft darüber, ob und welche personenbezogenen Daten wir zu Ihnen verarbeiten, zu welchen Zwecken, aus welchen Kategorien, an welche Empfänger, für welche Dauer und aus welcher Quelle, sowie eine Kopie dieser Daten. Bei der automatisierten Entscheidung nach Abschnitt 7 erhalten Sie zusätzlich aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen (Art. 15 Abs. 1 lit. h DSGVO); dazu gehören der zu Ihrem Nachweis ermittelte Punktwert, die Begründung des Modells und der zum Zeitpunkt Ihrer Prüfung geltende Schwellenwert. Die Rechte und Freiheiten anderer Personen bleiben dabei gewahrt (Art. 15 Abs. 4 DSGVO); Angaben zu Dritten in Freitexten geben wir nur insoweit heraus, als dadurch nicht in deren Rechte eingegriffen wird.

27.2 Berichtigung (Art. 16 DSGVO)

Unrichtige Daten berichtigen wir; unvollständige Daten vervollständigen wir. Viele Angaben können Sie unmittelbar in Ihrem Konto ändern; das gilt auch für die aus Ihren Dokumenten gewonnenen und von Ihnen bestätigten Angaben. Für die von uns aus Dokumenten ausgelesene Gesamtnote steht Ihnen zusätzlich das Beanstandungsverfahren nach Abschnitt 8.3 offen, für ausgelesene Einträge zu Auszeichnungen und Engagement die Bestätigungs- und Verwerfungsfunktion. Können Sie eine Angabe nicht selbst ändern, schreiben Sie uns.

27.3 Löschung (Art. 17 DSGVO)

Sie können die Löschung Ihrer Daten verlangen. Ihr Konto können Sie zudem in den Kontoeinstellungen selbst löschen; die Löschung umfasst dann auch Ihre Dateien und die daran hängenden Auswertungen und ist nicht umkehrbar.

Wenn Sie zuvor noch eine Auskunft nach Abschnitt 27.1 wünschen, stellen Sie diese Anfrage bitte vor der Löschung — nach deren Vollzug können wir sie nicht mehr bedienen.

Von der Löschung ausgenommen bleiben Daten, deren Aufbewahrung wir gesetzlich schulden oder die wir zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen; diese sperren wir stattdessen für die weitere Verwendung. Ausgenommen bleiben ferner die in dieser Erklärung ausdrücklich genannten Nachweis- und Sperrdaten.

27.4 Einschränkung der Verarbeitung (Art. 18 DSGVO)

Unter den Voraussetzungen des Art. 18 Abs. 1 DSGVO können Sie verlangen, dass wir Ihre Daten nur noch speichern und nicht weiter verwenden — etwa während der Prüfung eines Widerspruchs oder solange Sie die Daten zur Rechtsverfolgung benötigen. Bitte richten Sie ein solches Verlangen an hello@internities.de; wir setzen es organisatorisch um.

27.5 Datenübertragbarkeit (Art. 20 DSGVO)

Soweit wir Ihre Daten aufgrund einer Einwilligung oder zur Vertragserfüllung automatisiert verarbeiten, erhalten Sie die Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format oder können deren Übermittlung an einen anderen Verantwortlichen verlangen, soweit dies technisch machbar ist.

27.6 Widerspruch (Art. 21 Abs. 1 DSGVO)

Sie können jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen Verarbeitungen Widerspruch einlegen, die wir auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO stützen; das schließt ein darauf gestütztes Profiling ein. Die auf diese Rechtsgrundlage gestützten Verarbeitungen sind in Abschnitt 4.3 einzeln aufgeführt. Legen Sie Widerspruch ein, verarbeiten wir die betreffenden Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Für Direktwerbung gilt der gesonderte Hinweis in Abschnitt 28.

27.7 Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO)

Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Der Widerruf ist ebenso einfach wie die Erteilung. Konkret:

• Werbung: über die Benachrichtigungseinstellungen Ihres Kontos oder den Abmeldelink in jeder werblichen E-Mail (Abschnitt 17.7).
• Reichweitenmessung und Empfehlungszuordnung: über „Cookie-Einstellungen" im Seitenfuß oder formlos an hello@internities.de (Abschnitt 5.4).
• Verwendung eines Dokumenttexts für den Kompetenzabgleich: durch Löschen des Dokuments oder durch Mitteilung an uns (Abschnitt 9.5).
• Freigabe Ihrer E-Mail-Adresse an ein Unternehmen: durch Rücknahme der Zustimmung im jeweiligen Vorgang oder über die Einstellungen Ihres Kontos (Abschnitt 12.5).
• Freigabe eines Übergabepakets: durch Mitteilung an uns (Abschnitt 12.7).

27.8 Eingreifen einer Person bei automatisierten Entscheidungen (Art. 22 Abs. 3 DSGVO)

Bei der Immatrikulationsprüfung nach Abschnitt 7 haben Sie das Recht auf das Eingreifen einer natürlichen Person auf unserer Seite, auf Darlegung Ihres eigenen Standpunkts und auf Anfechtung der Entscheidung. Den konkreten Weg dorthin beschreibt Abschnitt 7.4. Eine Überprüfung der automatischen Einordnung nach zwingenden Anforderungen können Sie nach Abschnitt 11.4 verlangen.

27.9 Mitteilung an Empfänger (Art. 19 DSGVO)

Berichtigen, löschen oder beschränken wir Daten, teilen wir dies allen Empfängern mit, denen wir die Daten offengelegt haben, sofern sich dies nicht als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordert. Auf Verlangen teilen wir Ihnen diese Empfänger mit.

27.10 Wie Sie Ihre Rechte ausüben

Richten Sie Ihr Anliegen formlos an hello@internities.de oder an unsere Postanschrift. Die Ausübung Ihrer Rechte ist für Sie unentgeltlich. Wir antworten unverzüglich, in jedem Fall innerhalb eines Monats nach Eingang. Ist Ihr Anliegen komplex oder liegen mehrere Anliegen vor, können wir diese Frist um bis zu zwei weitere Monate verlängern; über eine Verlängerung und ihre Gründe unterrichten wir Sie innerhalb des ersten Monats (Art. 12 Abs. 3 DSGVO).

Bestehen begründete Zweifel an Ihrer Identität, können wir zusätzliche Angaben zu Ihrer Identifizierung anfordern (Art. 12 Abs. 6 DSGVO). Wir tun dies, um Ihre Daten vor unberechtigter Auskunft zu schützen.

Anfragen an hello@internities.de gehen in einem bei Microsoft gehosteten Postfach ein; Microsoft ist insoweit unser Auftragsverarbeiter (Abschnitt 23.2), und eine etwaige Übermittlung in ein Drittland richtet sich nach den Garantien in Abschnitt 24.

28. Ihr Widerspruchsrecht gegen Direktwerbung

Sie haben das Recht, jederzeit Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten zum Zweck der Direktwerbung einzulegen. Dies gilt auch für ein Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Widersprechen Sie, verarbeiten wir Ihre Daten für diese Zwecke nicht mehr — ohne Ausnahme, ohne Begründungspflicht Ihrerseits und ohne dass Ihnen dadurch Nachteile bei der Nutzung der Plattform entstehen (Art. 21 Abs. 2 und Abs. 3 DSGVO).

Der Widerspruch ist kostenfrei und formfrei. Sie können ihn insbesondere erklären

• über den Abmeldelink in jeder werblichen E-Mail,
• über die Benachrichtigungseinstellungen in Ihrem Konto oder
• durch eine formlose Nachricht an hello@internities.de.

Wir tragen Ihre E-Mail-Adresse daraufhin dauerhaft in die Sperrliste nach Abschnitt 17.6 ein, damit Sie auch künftig keine Werbung von uns erhalten.

Dieser Hinweis steht bewusst gesondert von den übrigen Angaben (Art. 21 Abs. 4 DSGVO).

29. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben unbeschadet anderer Rechtsbehelfe das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 Abs. 1 DSGVO).

Die für uns zuständige Aufsichtsbehörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg, Telefon 040 428 54 4040, E-Mail mailbox@datenschutz.hamburg.de, Internet https://datenschutz-hamburg.de

30. Änderungen dieser Datenschutzerklärung und Verarbeitung zu einem anderen Zweck

30.1 Fortschreibung

Wir aktualisieren diese Datenschutzerklärung, wenn sich die Plattform, unsere Datenverarbeitung oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung ist stets auf unserer Website verfügbar; den Stand erkennen Sie an der Fassungs- und Datumsangabe am Anfang. Über wesentliche Änderungen informieren wir Sie in geeigneter Weise und holen, soweit erforderlich, Ihre erneute Zustimmung ein. Frühere Fassungen stellen wir Ihnen auf Anfrage zur Verfügung.

30.2 Verarbeitung zu einem anderen Zweck

Beabsichtigen wir, Ihre Daten für einen anderen als den ursprünglich angegebenen Zweck zu verarbeiten, unterrichten wir Sie vorab über diesen anderen Zweck und über alle weiteren maßgeblichen Informationen (Art. 13 Abs. 3 und Art. 14 Abs. 4 DSGVO). Sofern die neue Verarbeitung auf einer Einwilligung beruhen muss, holen wir diese vorher ein.

30.3 Fassungsstand

Diese Fassung trägt die Versionsnummer 2.0 und das Datum 31. August 2026. Sie tritt mit der Freischaltung der Studierendenfläche am 1. September 2026 in Kraft und gilt ab diesem Zeitpunkt für alle Nutzerinnen und Nutzer, auch für vor diesem Zeitpunkt angelegte Konten; bis dahin gilt die am 5. Juli 2026 veröffentlichte Fassung 1.1. Welche Fassung dieser Erklärung Sie wann angenommen haben, ist im Nachweisregister nach Abschnitt 6.4 dokumentiert. Das gilt unabhängig davon, welche Fassung unserer Allgemeinen Geschäftsbedingungen für Ihren Vertrag maßgeblich ist: Für die datenschutzrechtliche Information gilt stets die jeweils aktuelle Fassung dieser Erklärung.