Datenschutzerklärung

1. Verantwortlicher und Datenschutzbeauftragter

Pactos GmbH
Pettenkoferstraße 33, 80336 München
privacy@pactos.ai
Geschäftsführer: Antonio Zill, Philipp Eckert
Amtsgericht München, HRB 284386 · weitere Angaben im Impressum (https://www.pactos.ai/impressum)

Datenschutzbeauftragter
Dr. Kilian Schmidt, Kertos GmbH, Brienner Straße 41, 80333 München
dataprivacy@kertos.io

Für alle Fragen zum Datenschutz genügt eine formlose Nachricht an eine der beiden Adressen.

2. Besuch unserer Website

2.1 Auslieferung und Sicherheit

Unsere Website wird über Cloudflare Pages ausgeliefert (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA).

Bei jedem Aufruf verarbeitet Cloudflare die Daten, die Ihr Browser technisch bedingt übermittelt: IP-Adresse, Zeitpunkt, aufgerufene Seite, Statuscode, übertragene Datenmenge, Referrer sowie Browser, Sprache und Betriebssystem. Das dient der Auslieferung der Website und der Abwehr von Angriffen und Missbrauch.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.
• Speicherdauer: 30 Tage.
• Drittland: USA, siehe Ziffer 6.

2.2 Einwilligungsverwaltung

Ihre Auswahl im Cookie-Dialog verwalten und dokumentieren wir mit Cookiebot (Usercentrics A/S, Havnegade 39, 1058 Kopenhagen, Dänemark). Gespeichert werden eine zufällige Kennung, Zeitpunkt und Umfang Ihrer Auswahl — in einem Cookie auf Ihrem Endgerät und beim Anbieter.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung); Speicherung auf dem Endgerät nach § 25 Abs. 2 Nr. 2 TDDDG.
• Speicherdauer: 12 Monate.

2.3 Cookies

Unbedingt erforderliche Cookies setzen wir ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); dazu gehört der Einwilligungsnachweis aus 2.2.

Ohne reCAPTCHA können Sie unsere Formulare nicht absenden. Sie erreichen uns dann unter info@pactos.ai. Rechtsgrundlage für reCAPTCHA ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz unserer Formulare vor Missbrauch. Google kann Daten an die Google LLC in den USA übermitteln (Ziffer 6).

Alle anderen Cookies und vergleichbaren Technologien (Local Storage, Pixel) setzen wir nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die vollständige, laufend aktuelle Liste mit Anbieter, Zweck und Laufzeit finden Sie in den Cookie-Einstellungen.

2.4 Analyse und Werbung — nur mit Einwilligung

Die folgenden Dienste laden erst, wenn Sie eingewilligt haben. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Google und Microsoft können Daten an ihre Muttergesellschaften in den USA übermitteln (Ziffer 6) und sie teilweise in eigener Verantwortung verarbeiten, etwa zur Verbesserung ihrer Dienste und für Werbung. Datenschutzhinweise der Anbieter: Google https://policies.google.com/privacy und https://policies.google.com/technologies/partner-sites, Microsoft https://privacy.microsoft.com/de-de/privacystatement. Einstellungen zu personalisierter Werbung bei Google: https://myadcenter.google.com.

2.5 Unsere LinkedIn-Seite

Auf unserer Unternehmensseite bei LinkedIn (LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland) verarbeitet LinkedIn Ihre Daten in eigener Verantwortung. Für die Seitenstatistiken („Page Insights") sind wir mit LinkedIn gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung: https://legal.linkedin.com/pages-joint-controller-addendum.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Information über unsere Leistungen und der Austausch mit Interessenten und Bewerbern.
• Ihre Rechte machen Sie am wirksamsten direkt bei LinkedIn geltend; Anfragen an uns leiten wir weiter.

3. Kontakt und Geschäftsbeziehung

3.1 Formulare, E-Mail und CRM

Für Formulare (Demo-Anfragen, Downloads, Veranstaltungen, Newsletter), die Kontaktverwaltung und den E-Mail-Versand nutzen wir HubSpot (HubSpot Ireland Ltd., One Dockland Central, Guild Street, Dublin 1, Irland). Die Daten werden in der EU gespeichert.

Wir verarbeiten Ihre Angaben — in der Regel Name, geschäftliche E-Mail-Adresse, Unternehmen, gegebenenfalls Telefonnummer und Nachricht — um Ihre Anfrage zu bearbeiten. Für E-Mails an uns gilt dasselbe.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag zielt; sonst Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Anfragen).
• Speicherdauer: bis zur Erledigung der Anfrage; entsteht eine Geschäftsbeziehung, nach Ziffer 7.
• Drittland: Zugriffe aus den USA sind nicht ausgeschlossen, siehe Ziffer 6.

3.2 Newsletter

Den Newsletter versenden wir nur, wenn Sie Ihre Anmeldung über den Link in unserer Bestätigungs-E-Mail bestätigt haben (Double-Opt-in). Anmeldung und Bestätigung protokollieren wir.

Ob und wann Sie den Newsletter öffnen und welche Links Sie anklicken, werten wir nur aus, wenn Sie dem bei der Anmeldung gesondert zugestimmt haben. Dazu enthalten die E-Mails ein Zählpixel und personalisierte Links. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Diese Zustimmung können Sie unabhängig vom Newsletter-Bezug jederzeit widerrufen, über die Abonnement-Einstellungen am Ende jeder E-Mail oder an info@pactos.ai. Die Auswertungsdaten löschen wir mit Ihrer Abmeldung oder Ihrem Widerruf.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Protokollierung nach Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO.
• Speicherdauer: bis zur Abmeldung; den Einwilligungsnachweis bewahren wir bis zum Ablauf der Verjährungsfristen auf.
• Abmeldung: über den Link in jeder Ausgabe oder formlos an info@pactos.ai.

3.3 Geschäftskontakte und Direktansprache

Wir verarbeiten geschäftliche Kontaktdaten von Ansprechpartnern bei Unternehmen, die als Kunden oder Partner in Betracht kommen: Name, Funktion, Unternehmen, geschäftliche E-Mail-Adresse und Telefonnummer.

• Herkunft: Ihre eigenen Angaben, öffentlich zugängliche Quellen (Unternehmenswebsites, berufliche Netzwerke) und Anbieter von Geschäftskontaktdaten (z. B. Lusha).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Direktwerbung gegenüber Unternehmen. Wo das Gesetz für die Ansprache eine Einwilligung verlangt (§ 7 UWG), holen wir sie ein.
• Speicherdauer: 24 Monate nach dem letzten Kontakt, sofern keine Geschäftsbeziehung entsteht.

Sie können dieser Verarbeitung jederzeit ohne Begründung widersprechen (Ziffer 8).

3.4 Termine, Demos und Videokonferenzen

Für Demos, Testzugänge und Onboarding verarbeiten wir Kontaktdaten, Termine, Angaben zu Ihrem Unternehmen und Ihren Anforderungen sowie den Gesprächsverlauf. Online-Termine führen wir über Google Meet oder Microsoft Teams durch. Termine buchen Sie über Cal.com (Cal.com, Inc., USA); die Termindaten übernehmen wir in HubSpot (Ziffer 3.1).

Mit Ihrer vorherigen Zustimmung zeichnen wir Termine auf und lassen daraus eine Zusammenfassung erstellen. Ohne Zustimmung findet keine Aufzeichnung statt. Dies gilt auch für Telefonate, die ausschließlich zu internen Schulungen genutzt werden.

• Rechtsgrundlage (im Übrigen): Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: nach Ziffer 7; kommt kein Vertrag zustande, 90 Tage nach dem letzten Kontakt.
• Drittland: USA (Cal.com), siehe Ziffer 6.

3.5 Zugänge und Anmeldung

Zugänge zu unseren Produkten richten wir auf Benennung Ihres Unternehmens ein, oder Sie registrieren sich selbst. Wir verarbeiten Name, geschäftliche E-Mail-Adresse, Rolle, Berechtigungen und Anmeldezeitpunkte. Die Anmeldung erfolgt per Passwort oder per einmaligem Anmeldelink an Ihre E-Mail-Adresse; dabei protokollieren wir technische Daten, um Missbrauch zu erkennen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartner sind; sonst Art. 6 Abs. 1 lit. f DSGVO (sichere Zugangsverwaltung).
• Speicherdauer: für die Dauer des Zugangs; Sicherheitsprotokolle 180 Tage.

4. Bewerbungen

Im Rahmen des Bewerbungsprozesses verarbeiten wir Ihre personenbezogenen Daten, um Ihre Bewerbung zentral entgegenzunehmen, zu bearbeiten und auszuwerten, Ihre Eignung für die ausgeschriebene Stelle zu überprüfen und das Bewerbungsverfahren ordnungsgemäß und bewerberfreundlich durchzuführen. Hierbei prüfen wir Ihre Angaben und Unterlagen – etwa Ihren Lebenslauf, Ihr Anschreiben sowie Ihre Zeugnisse und weitere Qualifikationsnachweise – und gleichen diese mit dem Anforderungsprofil der jeweiligen Position ab. Sofern dies für die Beurteilung Ihrer Qualifikation erforderlich ist, können zudem entsprechende Tests, Case Studies oder Ähnliches durchgeführt werden, deren Ergebnisse in die Entscheidung einfließen.

Stellenanzeigen und Bewerbungen wickeln wir über JOIN ab (JOIN Solutions AG, Eichenstrasse 2, 8808 Pfäffikon SZ, Schweiz). Im Verlauf des Bewerbungsprozesses können Sie zu persönlichen, telefonischen oder virtuellen Vorstellungsgesprächen eingeladen werden. Letztere können sowohl telefonisch als auch über Online-Meeting-Tools erfolgen. Zur Koordination und Einladung zu diesen Gesprächen sowie zur Klärung etwaiger Rückfragen, zur Anforderung ergänzender Informationen oder Unterlagen und zur Information über den aktuellen Stand Ihrer Bewerbung kontaktieren wir Sie gegebenenfalls über die von Ihnen bereitgestellten Kontaktdaten.

Hierbei können wir Ihre Stammdaten, Qualifikationsdaten, sowie freiwillige Daten, die Sie zur Verfügung stellen, verarbeiten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Bewerbungsverfahrens). Angaben, die wir nicht erfragt haben, verarbeiten wir nur, soweit sie für das Verfahren von Bedeutung sind. Besondere Kategorien personenbezogener Daten, etwa eine Schwerbehinderung, verarbeiten wir nur, soweit dies zur Erfüllung arbeits- und sozialrechtlicher Pflichten erforderlich ist (Art. 9 Abs. 2 lit. b DSGVO).
• Speicherdauer: sechs Monate nach Abschluss des Verfahrens, um uns gegen Ansprüche nach dem AGG verteidigen zu können (Art. 6 Abs. 1 lit. f DSGVO). Länger nur mit Ihrer Einwilligung, etwa für unseren Bewerberpool.
• Drittland: Schweiz; für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

5. Daten innerhalb unserer Plattform

Grundsatz. Unsere Kunden steuern mit der Plattform ihre Prozesse rund um externes Personal. Für die Daten, die sie dort verarbeiten — auch Daten von Leiharbeitskräften, freien Mitarbeitern und Bewerbern, die unsere Website nie besucht haben — ist das Unternehmen verantwortlich, das die Plattform einsetzt: je nach Konstellation der Kunde, ein Managed Service Provider oder ein angebundener Personaldienstleister. Pactos verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO.

Informationen zu dieser Verarbeitung erhalten Sie von diesem Unternehmen, meist Ihrem Arbeitgeber oder Auftraggeber. Dort machen Sie auch Ihre Rechte geltend. Erreicht uns Ihre Anfrage, leiten wir sie unverzüglich weiter.

Wo wir selbst verantwortlich sind. Unabhängig davon verarbeiten wir in eigener Verantwortung:

• Nutzerkonten und Anmeldedaten (Ziffer 3.5),
• Protokolle zur Sicherheit und Missbrauchserkennung der Plattform,
• die Anonymisierung von Plattformdaten zu statistischen Auswertungen und zur Weiterentwicklung unserer Produkte; nach der Anonymisierung ist kein Personenbezug mehr herstellbar.

Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer Betrieb und die Verbesserung unserer Produkte.

Künstliche Intelligenz („KI“)

Im Rahmen der in diesen Datenschutzhinweisen beschriebenen Verarbeitungen personenbezogener Daten können wir künstliche Intelligenz einsetzen. Dies kann insb. zu folgenden Zwecken erfolgen:

• Prozessunterstützung, -optimierung und -automatisierung,
• Sichtung und Zusammenfassung von Bewerbungsunterlagen,
• Unterstützung der IT-Sicherheit, bspw. durch Identifikation sicherheitsrelevanter Auffälligkeiten,
• Unterstützung bei der Erstellung, Überarbeitung, Analyse und Prüfung von Inhalten sowie beim Zugriff auf, der Aufbereitung und Nutzung von Unternehmenswissen,
• Datenanalyse, Auswertung und Erkennung von Mustern, Trends und Zusammenhängen

Der Einsatz von KI dient ausschließlich unterstützenden, vorbereitenden oder kontrollierenden Zwecken. Eine automatisierte Entscheidungsfindung oder ein Profiling mit Rechtswirkung bzw. ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Sämtliche Entscheidungen über Einladungen, Einstellungen oder Ablehnungen von Bewerbenden treffen qualifizierte Mitarbeitende. Personenbezogene Daten verwenden wir zu keinem Zeitpunkt zum Training von KI-Modellen.

6. Empfänger und Drittländer

Innerhalb von Pactos erhalten nur die Personen Zugriff, die ihn für den jeweiligen Zweck benötigen. Dienstleister setzen wir als Auftragsverarbeiter mit Vertrag nach Art. 28 DSGVO ein — neben den oben genannten für E-Mail und Büroanwendungen, interne Kommunikation, Dokumentenablage und elektronische Signatur sowie KI-gestützte Assistenzsysteme zum Entwerfen, Zusammenfassen und Auswerten von Texten. Diese Anbieter verwenden die Daten nicht zum Training ihrer Modelle. An sonstige Dritte geben wir Daten nur weiter, wenn Sie eingewilligt haben, wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung oder Abwehr von Rechtsansprüchen erforderlich ist.

Übermittlungen in die USA stützen wir auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist (https://www.dataprivacyframework.gov/list), und im Übrigen auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage.

Ist ein Empfänger nicht zertifiziert oder übermitteln wir Daten in andere Drittländer ohne Angemessenheitsbeschluss, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO). Soweit erforderlich, haben wir zusätzliche Schutzmaßnahmen vereinbart, um ein angemessenes Datenschutzniveau sicherzustellen.

7. Speicherdauer

Wir verarbeiten personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist. Sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht oder ein sonstiger im Folgenden genannter Grund einer Löschung entgegensteht, werden die Daten gelöscht oder anonymisiert.

Die konkrete Speicherdauer richtet sich nach den nachfolgenden Kriterien. Greifen mehrere Kriterien, ist jeweils die längste Frist maßgeblich. Nach deren Ablauf werden die Daten routinemäßig gelöscht.

Zweckbindung

Solange wir die Daten zur Erreichung des jeweiligen Verarbeitungszwecks benötigen – etwa zur Bereitstellung unserer Leistungen, zur Kommunikation mit Ihnen oder zur Erfüllung eines Vertrags – speichern wir sie für die Dauer dieses Zwecks.

Einwilligung

Daten, die wir auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) verarbeiten, speichern wir bis zum Widerruf Ihrer Einwilligung, längstens jedoch bis der Zweck der Verarbeitung entfällt.

Vertragsverhältnis

Daten, die wir im Rahmen eines Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) verarbeiten, speichern wir grundsätzlich bis zur vollständigen Abwicklung des Vertrags, soweit nicht eine gesetzliche Aufbewahrungspflicht oder ein berechtigtes Interesse eine längere Speicherung erfordert.

Gesetzliche Aufbewahrungspflichten

Zahlreiche Daten unterliegen gesetzlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO i.V.m. den jeweiligen gesetzlichen Vorschriften), die einer früheren Löschung entgegenstehen. Insbesondere handelsrechtliche Fristen nach dem Handelsgesetzbuch („HGB“) sowie steuerrechtliche Fristen nach der Abgabenordnung („AO“) sind hierbei relevant. Sie betragen je nach Art der Unterlage regelmäßig sechs bis zehn Jahre ab Ende des jeweiligen Geschäftsjahres. Während dieser Fristen wird die Verarbeitung der Daten eingeschränkt und ausschließlich zur Erfüllung der gesetzlichen Nachweispflicht vorgehalten.

Berechtigte Interessen

Eine über die vorgenannten Fristen hinausgehende Speicherung kann erfolgen, soweit wir ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Aufbewahrung haben und dieses die schutzwürdigen Interessen der betroffenen Person überwiegt. Ein solches Interesse kann sich insbesondere ergeben aus der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen für die Dauer der anwendbaren zivilrechtlichen Verjährungsfristen nach dem Bürgerlichen Gesetzbuch („BGB“) – die regelmäßige Verjährungsfrist beträgt drei Jahre (§ 195 BGB), in bestimmten Fällen bis zu 30 Jahre (§ 197 BGB) – sowie der Verhinderung erneuter Kontaktaufnahme bei einem Widerspruch oder Widerruf, etwa durch das Führen einer Sperrliste (z. B. bei abgemeldeten Newsletter-Empfängern). In diesen Fällen schränken wir die Verarbeitung ein und löschen die Daten, sobald das berechtigte Interesse entfällt.

Bewerbungen

Bewerbungsunterlagen und personenbezogene Daten von Bewerbern löschen wir grundsätzlich spätestens sechs Monate nach Abschluss des Bewerbungsverfahrens, sofern Ihre Bewerbung nicht zu einer Einstellung führt und keine berechtigten Interessen einer Löschung entgegenstehen. Die Aufbewahrung für diesen Zeitraum dient insbesondere der Geltendmachung, Ausübung oder Verteidigung von Ansprüchen nach dem Allgemeinen Gleichbehandlungsgesetz („AGG“). Führt Ihre Bewerbung zu einer Einstellung, überführen wir die für das Beschäftigungsverhältnis erforderlichen Daten in unser Personalverwaltungssystem und verarbeiten sie nach Maßgabe der Datenschutzhinweise für Mitarbeiter weiter. Haben Sie in die Aufnahme in unseren Talentpool eingewilligt, speichern wir Ihre Daten auf Grundlage Ihrer Einwilligung bis zu deren Widerruf. Sofern Sie Ihre Einwilligung nicht widerrufen, löschen wir Ihre Daten spätestens nach 2 Jahren Inaktivität.

Die konkreten Löschfristen für einzelne Verarbeitungstätigkeiten ergeben sich aus unserem internen Lösch- und Aufbewahrungskonzept.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Eine formlose Nachricht an privacy@pactos.ai oder an unseren Datenschutzbeauftragten (Ziffer 1) genügt.

Beschwerderecht, Art. 77 DSGVO. Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Postfach 1349, 91504 Ansbach, https://www.lda.bayern.de.

9. Weitere Hinweise

Bereitstellung. Sie sind nicht verpflichtet, uns Daten bereitzustellen. Ohne Kontaktdaten können wir jedoch keine Anfrage beantworten, ohne Zugangsdaten keinen Zugang einrichten.

Automatisierte Entscheidungen. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet im Rahmen dieser Datenschutzerklärung nicht statt.

Sicherheit. Die Website wird verschlüsselt (TLS) ausgeliefert. Wir schützen Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Unser Informationssicherheits-Managementsystem ist nach ISO/IEC 27001 zertifiziert; Geltungsbereich und Gültigkeit des Zertifikats teilen wir auf Anfrage mit.

10. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, unsere Leistungen oder die Rechtslage ändern. Maßgeblich ist die hier veröffentlichte Fassung.