Datenschutzerklärung

Zuletzt aktualisiert: 4. Oktober 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten Aptora bei der Nutzung des Dienstes verarbeitet, warum wir sie verarbeiten, an wen wir sie weitergeben und welche Rechte dir nach der EU-Datenschutz-Grundverordnung (DSGVO) zustehen. Wir verarbeiten nur die Daten, die wir für den Betrieb des Dienstes brauchen, und betreiben unsere Infrastruktur und die primäre Datenbank in der Europäischen Union.

1. Wer verantwortlich ist

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten ist:

Lasse Borchard

Cloudsurf IT Consulting (Einzelunternehmen)

Elisabethstr. 1 84570 Annabrunn Deutschland

aptora@cloudsurf.digital

2. Welche Daten wir verarbeiten, wozu und auf welcher Rechtsgrundlage

Wir verarbeiten die folgenden Kategorien personenbezogener Daten:

Konto & Identität

Daten:: Name, E-Mail-Adresse, Profilfoto, Workspace-/Organisationszugehörigkeit und die Kennung, die unser Authentifizierungsanbieter vergibt.
Zweck:: Um dein Konto anzulegen und abzusichern, dich anzumelden und Teamzugriffe zu verwalten.
Rechtsgrundlage:: Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Profil- & Lebenslaufinhalte

Daten:: Alles, was du einem Profil oder Lebenslauf hinzufügst: Name, Kontaktdaten, Anschrift, beruflicher und schulischer Werdegang, Skills, Sprachen, Projekte, Links sowie Referenzen oder Stimmen, die du über andere Personen einträgst.
Zweck:: Um deine Lebensläufe und Profile zu speichern, zu bearbeiten, darzustellen und zu exportieren — der Kernzweck des Dienstes.
Rechtsgrundlage:: Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Jobs & Bewerbungen

Daten:: Jobs, die du speicherst oder weiterleitest, und die Bewerbungen, die du erstellst — einschließlich Name und E-Mail-Adresse der Person, an die eine Bewerbung gerichtet ist.
Zweck:: Um Jobs mit deinem Profil abzugleichen und dich beim Verfassen und Nachverfolgen von Bewerbungen zu unterstützen.
Rechtsgrundlage:: Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Eingehende E-Mails

Daten:: Alles, was an deine persönliche Aptora-Adresse gesendet oder weitergeleitet wird: die vollständige Nachricht (Header, Absender, Betreff, Text, Anhänge) und Zustellungs-Metadaten. Dazu gehört auch Mail, die keine Job-Benachrichtigung ist — vor dem Eingang lässt sich das nicht unterscheiden.
Zweck:: Um deine Nachrichten in Aptora anzuzeigen und, bei Mail von Jobportalen, die wir kennen, die enthaltenen Jobs zu extrahieren. Die Extraktion nutzt Mustererkennung, eigene Modelle und unseren KI-Anbieter. Extrahierte Jobs werden Teil des gemeinsamen Job-Pools von Aptora und können auch anderen Nutzenden vorgeschlagen werden; der gespeicherte Job enthält keinen Verweis auf dich oder dein Postfach. Mail, die nicht von einem bekannten Portal stammt, wird für dich gespeichert, aber nicht auf Jobinhalte hin ausgewertet und nie mit anderen geteilt.
Rechtsgrundlage:: Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Zahlungsdaten

Daten:: Abo-Datensätze und die Kundenkennung, die unser Zahlungsanbieter vergibt. Kartendaten verarbeitet der Zahlungsanbieter — wir sehen und speichern sie nie.
Zweck:: Um Zahlungen für kostenpflichtige Pläne abzuwickeln und buchhalterische Pflichten zu erfüllen.
Rechtsgrundlage:: Vertrag (Art. 6 Abs. 1 lit. b) und rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)

Verbundene KI-Werkzeuge (MCP)

Daten:: Einträge zu KI-Clients (z. B. Cursor, Claude), die du über unseren OAuth-Ablauf verbindest, und die dafür ausgestellten Zugriffstoken.
Zweck:: Damit ein von dir autorisierter KI-Assistent deine Profile in deinem Auftrag anlegen und verwalten kann und du diesen Zugriff einsehen und widerrufen kannst.
Rechtsgrundlage:: Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Nutzungsstatistiken

Daten:: Aggregierte Aufrufzahlen und Verweildauern für Freigabelinks zu Lebensläufen. Auf IP-Adressen, User-Agents und Referrer der Besuchenden verzichten wir bewusst.
Zweck:: Um dir zu zeigen, wie oft ein geteilter Lebenslauf-Link geöffnet wurde und wie lange.
Rechtsgrundlage:: Berechtigtes Interesse an einer einfachen, datensparsamen Statistik (Art. 6 Abs. 1 lit. f)

Produktinterne Nutzungsauswertung

Daten:: Für einige erste Schritte in Aptora, etwa Registrierung, erstes Profil, erste Bewerbung oder erste Zahlung, speichern wir einmalig den Zeitpunkt, die Art des Arbeitsbereichs (persönlich, Beratung, Agentur) und im persönlichen Bereich die Arbeitsform, die du angegeben hast. Bei wenigen Schritten kommt ein Merkmal hinzu: woher das erste Profil stammt, wie die Testphase begann oder der Betrag der ersten Zahlung. Inhalte deiner Profile, Jobs oder Nachrichten gehören nicht dazu.
Zweck:: Um in Summe zu verstehen, an welcher Stelle Menschen in Aptora weiterkommen oder hängen bleiben, und das Produkt danach zu verbessern. Ausgewertet wird nur intern und gruppiert nach Registrierungswoche; nichts davon wird weitergegeben oder mit Daten außerhalb von Aptora verknüpft. Die Einträge werden mit deinem Konto gelöscht.
Rechtsgrundlage:: Berechtigtes Interesse an der Verbesserung des Produkts (Art. 6 Abs. 1 lit. f)

Sichtbarkeit in der Talentsuche

Daten:: Wenn dein Profil in Aptoras Talentsuche ausgeliefert, geöffnet, auf eine Shortlist gesetzt oder kontaktiert wird, protokollieren wir das handelnde Team, den handelnden Nutzer, dein Profil, die Art des Zugriffs und den Zeitpunkt.
Zweck:: Transparenz dir gegenüber als betroffener Person — du kannst diese Zugriffe einsehen, in bezahlten persönlichen Plänen mit dem Namen des zugreifenden Unternehmens — sowie Schutz vor Missbrauch und unfairer Nutzung der Suche. Nutzer der Talentsuche werden Kandidaten gegenüber als ihr Team sichtbar, nie als einzelne Person. Einträge werden 12 Monate aufbewahrt und dann gelöscht.
Rechtsgrundlage:: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — Transparenz und Missbrauchsschutz

Herkunft deiner Registrierung

Daten:: Nur mit Marketing-Einwilligung: die Kampagnenangaben des Links, über den du zu uns kamst (UTM-Parameter), die Klick-Kennung der Anzeigenplattform (Google, Meta oder LinkedIn), deine Einstiegsseite, die Domain der verweisenden Website, die Zeitpunkte von Ankunft, Klick und Einwilligung sowie der daraus abgeleitete Kanal.
Zweck:: Um zu sehen, über welche Kanäle Menschen zu Aptora finden, und um der Anzeigenplattform zu melden, dass auf ihren Klick eine Registrierung folgte.
Rechtsgrundlage:: Einwilligung (Art. 6 Abs. 1 lit. a)

3. Verarbeitung durch KI

Aptora nutzt KI, um unstrukturierte Inhalte zu erschließen — einen strukturierten Lebenslauf aus einem hochgeladenen PDF zu gewinnen, Jobs auszuwerten (auch solche in E-Mails, die von bekannten Jobportalen an deine Eingangsadresse gehen), Skills zu erkennen und zu bewerten, wie gut ein Job zu deinem Profil passt. Dafür werden die betreffenden Inhalte (etwa eine Lebenslaufdatei, ein Job oder der Text einer Jobportal-Mail) an unseren KI-Anbieter Anthropic übermittelt und auf dessen Infrastruktur in den Vereinigten Staaten verarbeitet. Mail, die nicht von einem bekannten Jobportal stammt, wird nicht zur Jobextraktion an unseren KI-Anbieter gesendet. Das Ergebnis der KI ist ein Vorschlag, über den du weiterhin bestimmst. Wir nutzen deine Daten nicht, um KI-Modelle zu trainieren, und Anthropic gibt an, dass über seine API übermittelte Daten nicht zum Training seiner Modelle verwendet werden.

4. An wen wir Daten weitergeben

Wir verkaufen deine personenbezogenen Daten nicht. Wir geben sie ausschließlich an die Dienstleister (Auftragsverarbeiter) weiter, auf die wir für den Betrieb von Aptora angewiesen sind — jeweils gebunden durch einen Auftragsverarbeitungsvertrag und nur zur Erbringung ihrer Leistung für uns berechtigt:

Amazon Web Services (AWS) — Cloud-Hosting und E-Mail-Eingang (Rechenleistung, Speicher, eingehende Mail). Unsere Infrastruktur läuft in der Region eu-central-1 (Frankfurt). (EU (Frankfurt) — AWS ist ein US-Unternehmen)
Neon — Verwaltete PostgreSQL-Datenbank — unser primärer Datenspeicher. (EU (aws-eu-central-1))
Clerk — Authentifizierung, Sitzungs- und Organisationsverwaltung (Kontoidentität). (USA)
Anthropic (Claude) — KI-Modellanbieter. Wir senden Lebenslaufdateien und Jobs an die API von Anthropic, um strukturierte Daten zu gewinnen, Skills zu erkennen und Matches zu bewerten. Anthropic gibt an, dass über seine API übermittelte Daten nicht zum Training seiner Modelle verwendet werden. (USA)
Voyage AI — Optionaler Anbieter für Text-Embeddings, genutzt für semantisches Skill-Matching und nur, wenn diese Funktion aktiviert ist. (USA)
Stripe — Zahlungsabwicklung für kostenpflichtige Pläne. (USA / EU)
Google (Web Risk) — Bedrohungsprüfung für externe Links. Klickst du einen Link an, der aus Aptora hinausführt, zeigen wir zuerst eine Prüfseite und übermitteln die Ziel-URL an Googles Web-Risk-API, um zu erfragen, ob sie als Schadsoftware oder Phishing bekannt ist. Übermittelt wird ausschließlich die URL, keine Kontodaten; für Links innerhalb von Aptora findet keine Abfrage statt. (USA / EU)
Google (Google Chat) — Team-Benachrichtigungen, und nur für einen Organisations-Workspace, dessen Admin einen Google-Chat-Space verbunden hat. Wir posten dann kurze Hinweise zu Workspace-Ereignissen in diesen Space: den Namen des handelnden Mitglieds, den Titel des betroffenen Profils oder Jobs und einen Link zurück nach Aptora. Alle im Space können mitlesen. Aptora verbindet sich nur mit privaten Spaces und stellt die Posts ein — und entfernt sich selbst —, wenn ein Space später auffindbar wird; wer Mitglied des Space ist, verantwortet der Workspace selbst. Ohne verbundenen Space findet keine Übermittlung statt, und das Trennen beendet sie. (USA / EU)

Daneben gibt es zwei Dinge, die nur stattfinden, wenn du sie einschaltest. Verbindest du über unseren MCP/OAuth-Ablauf ein externes KI-Werkzeug, erhält dieses die Daten, die für die von dir freigegebenen Aktionen nötig sind. Verbindet ein Organisations-Workspace einen Google-Chat-Space, werden Workspace-Benachrichtigungen dorthin gepostet. Beides kannst du jederzeit unter Einstellungen → Integrationen einsehen und widerrufen.

5. Internationale Datenübermittlung

Unser Hosting und unsere primäre Datenbank liegen in der Europäischen Union (Frankfurt). Einige unserer Anbieter (Clerk, Anthropic, Voyage AI und Stripe) sitzen in den Vereinigten Staaten oder übermitteln Daten dorthin. Werden personenbezogene Daten außerhalb der EU/des EWR übermittelt, ist die Übermittlung durch die Standardvertragsklauseln der Europäischen Kommission abgesichert und, soweit einschlägig, durch die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework.

6. Wie lange wir deine Daten speichern

Wir speichern deine personenbezogenen Daten, solange dein Konto aktiv ist und du den Dienst nutzt. Einzelne Lebensläufe und verbundene Werkzeuge kannst du jederzeit selbst löschen. Ein gelöschter Lebenslauf ist sofort nicht mehr abrufbar; spätestens nach 90 Tagen wird er endgültig entfernt, zusammen mit seinen Versionen und den Bewerbungen, die du mit ihm versendet hast. Übrige Bewerbungen bleiben gespeichert, solange dein Konto besteht. Eine bereits versendete Bewerbung lässt sich beim Empfänger nicht zurückziehen. Wenn du die Löschung deines Kontos verlangst, löschen oder anonymisieren wir deine personenbezogenen Daten einschließlich deiner Bewerbungen, soweit wir sie nicht gesetzlich aufbewahren müssen (etwa Zahlungsbelege für buchhalterische und steuerliche Pflichten). Zugriffstoken für verbundene KI-Werkzeuge laufen automatisch ab — Zugriffstoken nach einer Stunde, die zugrunde liegende Verbindung nach 30 Tagen ohne Erneuerung.

7. Cookies und Einwilligung

Cookies und vergleichbare Speichertechniken setzen wir nur so ein, wie du es entschieden hast. Technisch notwendige Cookies sind nach § 25 Abs. 2 TDDDG einwilligungsfrei; alles Weitere wird erst nach deiner Einwilligung gesetzt (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Deine Entscheidung speichern wir sechs Monate lang und fragen danach erneut.

Notwendig (immer aktiv)

Ohne diese Cookies funktioniert der Dienst nicht: Du bleibst nicht angemeldet, und die Anwendung kann nicht in deiner Sprache und Zeitzone dargestellt werden. Sie werden ohne Einwilligung gesetzt und lassen sich nicht abschalten.

Cookie	Zweck	Speicherdauer	Anbieter
__session, __client_uat	Anmeldesitzung und Workspace-Kontext; derselbe Anbieter kann weitere Sitzungs-Cookies setzen.	Sitzung, bis zu 12 Monate	Clerk, Inc., USA
NEXT_LOCALE	Die von dir gewählte Oberflächensprache.	12 Monate	Aptora (1st party)
NEXT_TIMEZONE	Deine Zeitzone, damit Datum und Uhrzeit so erscheinen, wie sie bei dir gelten.	12 Monate	Aptora (1st party)
rf_inbox_notice	Merkt sich, dass du den Postfach-Hinweis bestätigt hast, damit er nicht erneut erscheint.	12 Monate	Aptora (1st party)
rf_consent	Deine Entscheidung auf dieser Seite — welche Kategorien du erlaubt hast und wann. Enthält keine Kennung.	6 Monate	Aptora (1st party)

Analyse (nur mit Einwilligung)

Reichweiten- und Nutzungsmessung mit Plausible Analytics. Wir betreiben Plausible selbst auf eigener Infrastruktur innerhalb der EU; es wird kein Anbieter eingebunden und es werden keine Daten an Dritte übertragen. Plausible arbeitet cookiefrei und legt nichts auf deinem Gerät ab — deshalb ist diese Tabelle leer. Erfasst werden Seitenaufrufe (aufgerufene Seite, verweisende Seite, Gerätetyp, Browser, Betriebssystem) sowie einzelne Produktereignisse wie „Registrierung abgeschlossen“ oder „Upgrade gestartet“. Im eingeloggten Bereich tragen Seitenaufrufe keine Kennungen: statt der Adresse nur die Art der Seite, etwa „Stellenanzeige“, und keine verweisende Seite. Deine IP-Adresse wird dabei nur verwendet, um zusammen mit einem täglich wechselnden Zufallswert eine nicht umkehrbare Prüfsumme zu bilden, die Besuche eines Tages zusammenfasst; sie wird nicht gespeichert und ist am Folgetag nicht mehr zuordenbar. Namen, E-Mail-Adressen, Lebenslauf- und Anzeigeninhalte werden nicht übertragen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit für die Zukunft widerrufen kannst.

Marketing (nur mit Einwilligung)

Erfolgsmessung unserer Anzeigen bei Google (Google Ireland Limited), Meta (Meta Platforms Ireland Limited) und LinkedIn (LinkedIn Ireland Unlimited Company). Kommst du über eine Anzeige oder einen Kampagnenlink zu Aptora, speichert ein Cookie die Kampagnenangaben aus dem Link (UTM-Parameter), die Klick-Kennung der Plattform, deine Einstiegsseite und die Domain der verweisenden Website. Bei deiner Registrierung übernehmen wir diese Angaben in dein Konto und löschen das Cookie. Der Plattform, über die du kamst, melden wir von unserem Server aus nur Klick-Kennung, Ereignis (z. B. Registrierung) und Wert — keine E-Mail-Adresse, auch nicht verschlüsselt, und keine Profildaten. Die Plattformen verarbeiten diese Meldung als eigene Verantwortliche; dabei kann eine Übermittlung in die USA stattfinden. Im Browser binden wir keine Skripte oder Pixel dieser Anbieter ein. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Widerrufst du sie, löschen wir das Cookie.

Cookie	Zweck	Speicherdauer	Anbieter
rf_attr	Kampagnenangaben, Klick-Kennung, Einstiegsseite und verweisende Domain bis zu deiner Registrierung. Wird bei der Registrierung und beim Widerruf gelöscht.	90 Tage	Aptora (1st party)

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen — genauso einfach, wie du sie erteilt hast, über „Cookie-Einstellungen“ im Footer jeder Seite oder hier:

8. Deine Rechte

Nach der DSGVO hast du das Recht,

Auskunft über die bei uns gespeicherten personenbezogenen Daten zu erhalten (Art. 15);
unrichtige Daten berichtigen zu lassen (Art. 16);
deine Daten löschen zu lassen (Art. 17);
die Verarbeitung einschränken zu lassen oder ihr zu widersprechen (Art. 18 und 21);
deine Daten in einem übertragbaren, maschinenlesbaren Format zu erhalten (Art. 20);
eine erteilte Einwilligung mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3).

Um eines dieser Rechte auszuüben, wende dich an die in Abschnitt 1 genannten Kontaktdaten. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Ansbach; du kannst dich auch an die Behörde des EU-Mitgliedstaats deines Wohnorts oder Arbeitsplatzes wenden.

9. Datensicherheit

Wir schützen deine Daten mit angemessenen technischen und organisatorischen Maßnahmen, darunter Verschlüsselung bei der Übertragung, Hashing sensibler Zugangsdaten, Verschlüsselung gespeicherter Secrets und Zugriffskontrollen, die begrenzen, wer deine Daten erreichen kann. Kein Onlinedienst kann vollständige Sicherheit garantieren, aber wir arbeiten daran, deine Daten zu schützen und diese Maßnahmen aktuell zu halten.

10. Kinder

Aptora richtet sich nicht an Kinder. Für die Nutzung des Dienstes musst du mindestens 18 Jahre alt sein. Wir erheben wissentlich keine personenbezogenen Daten von Kindern.

11. Änderungen dieser Erklärung

Wir können diese Erklärung anpassen, wenn sich der Dienst weiterentwickelt oder die Rechtslage ändert. Bei wesentlichen Änderungen aktualisieren wir das Datum „Zuletzt aktualisiert“ oben und weisen dich, wo angebracht, in der App darauf hin.