Rechtliches
Version [email protected] · Zuletzt aktualisiert: 4. November 2026 (Europe/Amsterdam). Verarbeitung personenbezogener Daten durch BoldATS als Auftragsverarbeiter.
Vollständige deutsche Übersetzung der niederländischen Verwerkersovereenkomst. Bei Abweichungen ist der niederländische Text maßgeblich (Artikel 18.2).
1.1 Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Kunden, der ein Abonnement oder eine Testphase für BoldATS abgeschlossen hat (der „Kunde“, als Verantwortlicher), und S. Simon Communication, handelnd unter dem Namen BoldATS („BoldATS“, als Auftragsverarbeiter). S. Simon Communication ist im Handelsregister der niederländischen Handelskammer (KvK) unter der Nummer 62685252 eingetragen, hat die Umsatzsteuer-Identifikationsnummer NL002218668B93 und hat seinen Sitz in Pier Christiaanswei 11A, 8508 SB Delfstrahuizen, Niederlande.
1.2 Dieser AVV gehört zu den Allgemeinen Geschäftsbedingungen von BoldATS (die „AGB“) und gilt für jede Verarbeitung personenbezogener Daten, die BoldATS bei der Erbringung des BoldATS-Dienstes (der „Dienst“) im Auftrag des Kunden durchführt.
1.3 Dieser AVV gilt nicht für personenbezogene Daten, die BoldATS als Verantwortlicher für eigene Zwecke verarbeitet, etwa für die Marketing-Website, Anfragen zu Testphasen, Demos und Kontakt, die Kontoverwaltung, Zahlung und Rechnungsstellung sowie den Produktsupport (ausgenommen Personenbezogene Kundendaten, die in Supportanfragen geteilt werden; siehe Anlage C). Diese Verarbeitungen sind in der Datenschutzerklärung beschrieben.
1.4 Dieser AVV soll die Anforderungen von Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) erfüllen.
2.1 Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen die DSGVO gibt. Großgeschriebene Begriffe, die in diesem AVV nicht definiert sind, haben die Bedeutung aus den AGB.
3.1 Gegenstand der Verarbeitung ist die Erbringung des Dienstes: das SaaS-Applicant-Tracking-System (ATS) für Recruiting- und Hiring-Workflows, einschließlich Kandidaten, Stellen/Vakanzen, Bewerbungen, Pipelines und zugehöriger Automatisierung.
3.2 Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage A beschrieben.
3.3 Die Verarbeitung dauert während der Laufzeit des Abonnements oder der Testphase und danach so lange, wie BoldATS gemäß Artikel 13 dieses AVV noch Personenbezogene Kundendaten besitzt.
4.1 Für Personenbezogene Kundendaten ist der Kunde Verantwortlicher und BoldATS Auftragsverarbeiter. Der Kunde entscheidet über die Zwecke und Mittel der Verarbeitung.
4.2 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich einer gültigen Rechtsgrundlage, der Information der betroffenen Personen und der Richtigkeit der personenbezogenen Daten, die er in den Dienst eingibt.
4.3 Handelt der Kunde selbst als Auftragsverarbeiter für einen Dritten, gewährleistet der Kunde, dass seine Weisungen von diesem Verantwortlichen autorisiert sind; BoldATS handelt dann als Unterauftragsverarbeiter des Kunden.
5.1 BoldATS verarbeitet Personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in ein Drittland, sofern BoldATS nicht durch das Recht der Union oder der Mitgliedstaaten, dem BoldATS unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt BoldATS dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
5.2 Die AGB, dieser AVV sowie die Nutzung und Konfiguration des Dienstes durch den Kunden (einschließlich Einstellungen autorisierter Nutzer) bilden die vollständigen dokumentierten Weisungen des Kunden. Zusätzliche Weisungen erfolgen schriftlich und müssen mit den AGB und der Funktionalität des Dienstes vereinbar sein.
5.3 BoldATS informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. BoldATS darf die Ausführung einer solchen Weisung aussetzen, bis sie bestätigt oder geändert wurde.
5.4 BoldATS verarbeitet Personenbezogene Kundendaten nicht für eigene Zwecke, verkauft sie nicht und nutzt sie nicht für Werbung oder für Profiling außerhalb der Weisungen des Kunden.
6.1 BoldATS gewährleistet, dass sich die zur Verarbeitung der Personenbezogenen Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
6.2 Der Zugriff von BoldATS auf Personenbezogene Kundendaten ist auf das beschränkt, was zur Erbringung, Absicherung und Unterstützung des Dienstes oder zur Einhaltung gesetzlicher Pflichten erforderlich ist.
7.1 BoldATS trifft geeignete technische und organisatorische Maßnahmen im Sinne von Artikel 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für die Rechte und Freiheiten natürlicher Personen. Die Maßnahmen sind in Anlage B beschrieben.
7.2 BoldATS darf die Maßnahmen aktualisieren, sofern das Gesamtschutzniveau nicht sinkt.
7.3 Der Kunde ist für die Sicherheit seiner eigenen Konten und Geräte verantwortlich, einschließlich der Verwaltung von Nutzern und Berechtigungen, der Verwendung sicherer Passwörter und, soweit verfügbar, der Multi-Faktor-Authentifizierung.
8.1 Der Kunde erteilt BoldATS eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die zum Datum dieses AVV eingesetzten Unterauftragsverarbeiter sind in Anlage C beschrieben.
8.2 BoldATS informiert den Kunden mindestens vierzehn (14) Tage im Voraus per E-Mail und/oder im Dienst über eine beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Ist eine Ersetzung dringend erforderlich, um die Sicherheit oder die Kontinuität des Dienstes zu gewährleisten, darf BoldATS den neuen Unterauftragsverarbeiter früher einsetzen; BoldATS informiert den Kunden dann unverzüglich darüber. Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen schriftlich innerhalb der Frist von vierzehn (14) Tagen vor der Änderung oder, bei einer dringenden Ersetzung, innerhalb von vierzehn (14) Tagen nach der Mitteilung Einspruch erheben. BoldATS prüft den Einspruch und sucht in Abstimmung mit dem Kunden innerhalb einer angemessenen Frist nach einer angemessenen Lösung, etwa einer Alternative oder zusätzlichen Maßnahmen. Kommt keine Lösung zustande, kann der Kunde den betroffenen Teil des Abonnements mit Wirkung zum Datum des Einsatzes des neuen Unterauftragsverarbeiters oder, bei einer dringenden Ersetzung, mit sofortiger Wirkung kündigen; bereits gezahlte Beträge werden nicht erstattet, sofern zwingendes Recht nichts anderes vorschreibt. Abweichend davon erstattet BoldATS ausschließlich dann, wenn der Kunde einen berechtigten datenschutzrechtlichen Einspruch gegen einen hinzugezogenen oder ersetzten Unterauftragsverarbeiter erhoben hat, BoldATS keine angemessene Lösung anbietet und der Kunde den betroffenen Teil aus diesem Grund kündigt, anteilig den im Voraus gezahlten Betrag für den verbleibenden vorausbezahlten Zeitraum dieses Teils, gerechnet ab dem Wirksamkeitsdatum der Kündigung.
8.3 BoldATS erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die mindestens das gleiche Schutzniveau wie dieser AVV bieten, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.
8.4 BoldATS haftet gegenüber dem Kunden in vollem Umfang für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter, im Rahmen von Artikel 14.
9.1 BoldATS übermittelt Personenbezogene Kundendaten nur dann in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR), wenn die Bedingungen von Kapitel V DSGVO erfüllt sind, zum Beispiel auf Grundlage eines Angemessenheitsbeschlusses (einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger) oder der von der Europäischen Kommission erlassenen Standardvertragsklauseln (Beschluss (EU) 2021/914), erforderlichenfalls mit zusätzlichen Maßnahmen.
9.2 Übermittlungen und die dafür genutzten Garantien sind in Anlage D beschrieben.
10.1 Betroffenenrechte: Unter Berücksichtigung der Art der Verarbeitung unterstützt BoldATS den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch). Soweit der Dienst hierfür Funktionen bietet, kann der Kunde diese selbst nutzen. Erhält BoldATS einen Antrag direkt, leitet BoldATS ihn unverzüglich an den Kunden weiter und antwortet nicht selbst, es sei denn, der Kunde weist dies an.
10.2 Sonstige Pflichten: Unter Berücksichtigung der Art der Verarbeitung und der BoldATS zur Verfügung stehenden Informationen unterstützt BoldATS den Kunden bei der Einhaltung der Artikel 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörde).
10.3 BoldATS kann nach vorheriger Ankündigung angemessene Kosten für Unterstützung berechnen, die über die Standardfunktionen des Dienstes hinausgeht, es sei denn, die Unterstützung ist aufgrund eines Verstoßes von BoldATS gegen diesen AVV erforderlich.
11.1 BoldATS meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Personenbezogene Kundendaten betrifft, unverzüglich, nachdem BoldATS davon Kenntnis erlangt hat, und nach Möglichkeit innerhalb von 48 Stunden, damit der Kunde seine eigenen Pflichten aus den Artikeln 33 und 34 DSGVO erfüllen kann.
11.2 Die Meldung enthält, soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Anlaufstelle für weitere Informationen. Die erste Meldung kann vorläufig sein. Noch nicht verfügbare Informationen werden bereitgestellt, sobald sie verfügbar sind, ohne weitere unangemessene Verzögerung und erforderlichenfalls schrittweise.
11.3 BoldATS ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu begrenzen, und dokumentiert die Verletzung. Eine Meldung durch BoldATS ist kein Anerkenntnis von Verschulden oder Haftung.
11.4 Der Kunde entscheidet als Verantwortlicher, ob eine Meldung an die Aufsichtsbehörde und an betroffene Personen erfolgt.
12.1 BoldATS stellt alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Artikel 28 DSGVO nachzuweisen, etwa eine Beschreibung der Sicherheitsmaßnahmen und relevante Unterlagen der Unterauftragsverarbeiter.
12.2 (a) Reguläres Audit: Sind diese Informationen nachweislich unzureichend, kann der Kunde höchstens einmal pro Kalenderjahr mit einer schriftlichen Ankündigung von mindestens dreißig (30) Tagen, während der Geschäftszeiten und ohne unverhältnismäßige Störung des Geschäftsbetriebs von BoldATS ein Audit durchführen lassen. (b) Ausnahmeaudit: Darüber hinaus kann der Kunde unabhängig davon, ob die Informationen nach Artikel 12.1 ausreichen, und ohne jährliche Begrenzung ein Audit durchführen lassen bei: (i) einer Verletzung des Schutzes personenbezogener Daten, die Personenbezogene Kundendaten betroffen hat; (ii) einem schwerwiegenden Sicherheitsvorfall, der Personenbezogene Kundendaten betrifft oder betreffen kann; (iii) einem konkreten Hinweis auf einen Verstoß gegen diesen AVV; oder (iv) einem Ersuchen oder einer Anordnung einer zuständigen Aufsichtsbehörde. Für ein Ausnahmeaudit gilt eine kürzere, angemessene Ankündigungsfrist oder, soweit gesetzlich vorgeschrieben, sofortige Mitwirkung; ein solches Audit ist verhältnismäßig und nach Möglichkeit auf die betroffenen Daten und Systeme beschränkt. Jedes Audit wird vom Kunden oder von einem zur Verschwiegenheit verpflichteten unabhängigen Prüfer unter angemessenen Vertraulichkeits- und Sicherheitsbedingungen durchgeführt; der Prüfer erhält keinen Zugang zu Daten anderer Kunden von BoldATS. Dieser Artikel 12 beschränkt keine gesetzlichen Audit- oder Inspektionsrechte des Kunden oder von Aufsichtsbehörden.
12.3 Die Kosten eines regulären Audits trägt grundsätzlich der Kunde. Ergibt ein Audit ein nachweisliches wesentliches Versäumnis von BoldATS bei der Erfüllung dieses AVV, trägt BoldATS die angemessenen Kosten dieses Audits. Kostenregelungen setzen die gesetzlich erforderliche Mitwirkung gegenüber dem Kunden oder einer Aufsichtsbehörde niemals aus und blockieren sie nicht. Audits bei Unterauftragsverarbeitern erfolgen über die von ihnen bereitgestellten Prüfberichte und Zertifizierungen.
13.1 Nach Ende des Abonnements erhält der Kunde eine angemessene Gelegenheit, seine Daten zu exportieren, soweit der Dienst dies ermöglicht (AGB, Artikel 24). Ist ein Export über den Dienst nicht (vollständig) möglich, stellt BoldATS die Personenbezogenen Kundendaten auf Verlangen des Kunden innerhalb von 30 Tagen in einem gängigen, maschinenlesbaren Format bereit.
13.2 Nach der Exportfrist und einer etwaigen Aufbewahrungsfrist nach der Testphase (AGB, Artikel 7) löscht BoldATS die Personenbezogenen Kundendaten kontrolliert, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht oder ein Legal Hold gilt.
13.3 Kopien in Backups werden nicht für andere Zwecke wiederhergestellt und im normalen Backup-Zyklus überschrieben (siehe Anlage B). Bis dahin bleiben sie durch diesen AVV geschützt.
13.4 Auf Verlangen des Kunden bestätigt BoldATS schriftlich, dass die Löschung erfolgt ist.
14.1 Die Haftung der Parteien aus diesem AVV unterliegt den Haftungsbeschränkungen der AGB (Artikel 22), soweit gesetzlich zulässig.
14.2 Nichts in diesem AVV beschränkt die Rechte betroffener Personen nach Artikel 82 DSGVO oder eine Haftung, die nach zwingendem Recht nicht beschränkt werden kann.
15.1 Dieser AVV ist Bestandteil der AGB, wird zusammen mit den AGB angenommen und gilt ab Beginn der Testphase oder, ohne Testphase, des Abonnements; er bleibt in Kraft, solange BoldATS Personenbezogene Kundendaten im Auftrag des Kunden verarbeitet.
15.2 Pflichten, die ihrer Natur nach über das Ende dieses AVV hinaus fortbestehen sollen, wie Vertraulichkeit, Löschung und Haftung, bleiben in Kraft.
16.1 Bei Widersprüchen zwischen diesem AVV und den AGB hinsichtlich der Verarbeitung Personenbezogener Kundendaten hat dieser AVV Vorrang. Standardvertragsklauseln haben, soweit anwendbar, Vorrang vor diesem AVV.
17.1 Jede Version dieses AVV hat eine Versionskennung. Diese Version: [email protected].
17.2 BoldATS darf diesen AVV ändern, wenn dies aufgrund von Gesetzesänderungen, Leitlinien von Aufsichtsbehörden oder Änderungen des Dienstes oder der Unterauftragsverarbeiter erforderlich ist. Wesentliche Änderungen werden mit angemessener Frist im Voraus angekündigt. Änderungen dürfen das von der DSGVO geforderte Schutzniveau der Personenbezogenen Kundendaten nicht senken.
18.1 Auf diesen AVV ist niederländisches Recht anwendbar. Streitigkeiten werden dem zuständigen Gericht gemäß Artikel 26 der AGB vorgelegt.
18.2 Dieser AVV ist auf Niederländisch, Englisch und Deutsch verfügbar. Bei Abweichungen zwischen Sprachfassungen ist der niederländische Text maßgeblich.
BoldATS trifft geeignete technische und organisatorische Maßnahmen, die jedenfalls Maßnahmen in folgenden Bereichen umfassen: Zugriffskontrolle und Berechtigungen nach dem Erforderlichkeitsprinzip; Trennung der Kundenumgebungen (Tenants); Protokollierung relevanter Handlungen (Audit-Logs); Schutz von Daten bei der Übertragung; Sicherung und Wiederherstellung, wobei Backup-Kopien nach höchstens 30 Tagen automatisch gelöscht werden; sowie Vertraulichkeitspflichten für Personen mit Zugriff auf Personenbezogene Kundendaten.
Eine detaillierte, aktuelle Beschreibung der technischen und organisatorischen Maßnahmen ist auf Anfrage über die Kontaktseite erhältlich.
BoldATS setzt folgende Unterauftragsverarbeiter für Personenbezogene Kundendaten ein. Die aktuelle Liste der Unterauftragsverarbeiter ist nachstehend aufgeführt und Bestandteil dieser Anlage. Änderungen werden gemäß Artikel 8.2 angekündigt.
Keine Unterauftragsverarbeiter für Personenbezogene Kundendaten (BoldATS ist für diese Daten Verantwortlicher; siehe die Datenschutzerklärung): Cloudflare (Marketing-Website), Typeform (Demo-, Kontakt- und Testphasenformulare auf der Website), WeFact (Rechnungsstellung und Rechnungsversand per E-Mail), Stripe (Zahlungen) und Website-Analytics (falls aktiviert).
Verarbeitet ein Unterauftragsverarbeiter Personenbezogene Kundendaten außerhalb des EWR — was auch die Vereinigten Staaten betreffen kann — oder sind diese Daten von außerhalb des EWR zugänglich, erfolgt dies nur gemäß Artikel 9 (Kapitel V DSGVO), zum Beispiel auf Grundlage des EU-US Data Privacy Framework für zertifizierte Empfänger oder der Standardvertragsklauseln (Beschluss (EU) 2021/914), erforderlichenfalls mit zusätzlichen Maßnahmen.
Die betroffenen Empfänger, Orte und Garantien sind je Unterauftragsverarbeiter in Anlage C aufgeführt.
Kontakt für Datenschutzfragen und Anfragen nach diesem AVV: über die Kontaktseite.