Datenschutz.

1. Verantwortlicher

2. Hosting und Server-Logfiles

Diese Website wird bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, gehostet. Beim Aufruf der Website verarbeitet der Hostinganbieter technisch erforderliche Verbindungsdaten in Server-Logfiles. Dazu können insbesondere IP-Adresse beziehungsweise anonymisierte IP-Adresse, Datum und Uhrzeit des Abrufs, aufgerufene Datei, übertragene Datenmenge, Referrer-URL, Browsertyp und Betriebssystem gehören.

Die Verarbeitung erfolgt, um die Website sicher und zuverlässig bereitzustellen sowie Missbrauch und technische Störungen erkennen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und fehlerfreien Betrieb dieser Website. Mit STRATO besteht ein Vertrag zur Auftragsverarbeitung.

3. Kontaktformular und E-Mail

Wenn du das Kontaktformular nutzt oder per E-Mail Kontakt aufnimmst, verarbeite ich die von dir übermittelten Angaben, insbesondere Name, E-Mail-Adresse, eine optional angegebene Telefonnummer, das gewählte Thema und deine Nachricht. Die Verarbeitung dient ausschließlich dazu, deine Anfrage zu bearbeiten und zu beantworten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage auf einen Vertrag oder vorvertragliche Maßnahmen gerichtet ist. Für sonstige Anfragen ist Art. 6 Abs. 1 lit. f DSGVO die Rechtsgrundlage; das berechtigte Interesse liegt in der Bearbeitung deiner Anfrage.

Die Angaben werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen einer Löschung entgegenstehen. Eine Weitergabe zu Werbezwecken findet nicht statt.

4. Cuvexa und lokale Browserdaten

Cuvexa verarbeitet die eingegebenen Lebenslaufdaten, ausgewählte Fotos sowie manuell ausgewählte PDF-, ZIP-, CSV- und JSON-Dateien unmittelbar im Browser. Für diese lokalen Basisfunktionen werden die Inhalte nicht an den Betreiber oder Dritte übermittelt. Eine gesonderte, ausdrücklich aktivierte externe KI-Funktion überträgt ausschließlich den dafür ausgewählten Kontext wie im Abschnitt „Cuvexa und externe KI-Dienste“ beschrieben. Für die Auslieferung der Anwendung und ihrer lokalen Schrift- und Programmdateien gelten die unter „Hosting und Server-Logfiles“ beschriebenen Verarbeitungsvorgänge.

Damit ein begonnener Lebenslauf nach einem erneuten Seitenaufruf weiterbearbeitet werden kann, speichert Cuvexa den aktuellen Dokumentstand im lokalen Speicher des Browsers unter dem Schlüssel cuvexa:document:v1. Ein vom Nutzer angelegtes Master-Karriereprofil, die je CV gewählte Auswahl und CV-spezifische Formulierungen, lokal gesicherte CV-Versionen sowie Bewerbungsmetadaten, Statusverlauf und optionale Referenzen werden davon getrennt unter cuvexa:career-workspace:v1 gespeichert. Stellenanzeigen liegen im separaten lokalen Bereich cuvexa:job-postings:v1. Karriere- und Lebenslaufdaten sind technisch von Stellenanzeigen, Payment und Lizenzierung getrennt; Bewerbungsdaten können ausschließlich über lokale IDs auf Stellenanzeigen und CV-Versionen verweisen. Diese Inhalte werden weder an PayPal übermittelt noch in der Cuvexa-Lizenzdatenbank gespeichert. Eine vom Nutzer gespeicherte Cuvexa-Projektdatei kann diese lokalen Bereiche zur selbstbestimmten Sicherung und Wiederherstellung enthalten.

Nach einem Pro-Kauf wird getrennt unter cuvexa:license:v1 ein serverseitig signierter Lizenznachweis mit Lizenztyp, Ablaufdatum, letzter erfolgreicher Prüfung und Offline-Toleranz gespeichert. Wartet eine Zahlung noch auf Bestätigung, enthält cuvexa:pending-payment:v1 vorübergehend PayPal-Abonnementreferenz, gewählten Tarif und Speicherzeitpunkt, jedoch keine Zahlungsinstrumentdaten. Der Lebenslauf kann über „Leeren“ entfernt werden; sämtliche lokalen Speicherbereiche lassen sich über die Browsereinstellungen beziehungsweise durch das Löschen der Website-Daten entfernen. Auf gemeinsam verwendeten Geräten können andere Personen mit Zugriff auf dasselbe Browserprofil diese Daten sehen.

Technisches Fehlerlogging

Bei kritischen Fehlern in Payment, Lizenzierung, Wiederherstellung, Billing oder den zugehörigen Cuvexa-API-Endpunkten schreibt Cuvexa ein minimiertes technisches Ereignis in das serverseitige Betriebslog. Es enthält ausschließlich Zeitpunkt, Entwicklungs- oder Produktionsumgebung, technische Eventart und Operation, eine zufällige Fehler-ID, gegebenenfalls HTTP- beziehungsweise Providerstatus und die Information, ob ein erneuter Versuch möglich ist. Eine Payment- oder Lizenzreferenz kann nur mit einem separaten geheimen Schlüssel als nicht rückrechenbarer HMAC-Pseudonymwert aufgenommen werden; die ursprüngliche Referenz wird nicht protokolliert.

Lebensläufe, Masterprofile, Anschreiben, Stellenanzeigen, Interviewantworten, Prompts, Request- oder Webhook-Payloads, Exceptiontexte, Recovery Keys, signierte Lizenznachweise, Auth-Tokens, API-Schlüssel sowie Karten- und Bankdaten gehören nicht zum Logschema. Unbekannte Felder werden verworfen. Produktionslogs enthalten außerdem weder Exceptionklasse noch Quellpfad oder Stacktrace. Die Fehler-ID kann in einer sicheren Nutzerfehlermeldung erscheinen und dient ausschließlich der technischen Support-Zuordnung. Es wird kein externer Monitoring- oder Trackinganbieter eingebunden.

5. Cuvexa und externe KI-Dienste

Aktueller Stand: Cuvexa enthält eine standardmäßig deaktivierte Schnittstelle zur OpenAI Responses API für die optionale Pro-Textoptimierung, den Anschreiben-Generator, mögliche Interviewfragen und Feedback zu einer konkreten Interviewantwort. Solange die öffentliche Anbieterinformation und die private Serverkonfiguration nicht vollständig freigeschaltet sind, werden keine Lebenslauf-, Stellenanzeigen-, Antwort- oder Bewerbungsinhalte an einen KI-Dienst übertragen. Editor, lokale Speicherung, Import, Jobanalyse und PDF-Export funktionieren ohne externe KI.

Vor der ersten externen Nutzung einer KI-Funktion informiert Cuvexa ausdrücklich über den konkret konfigurierten Anbieter beziehungsweise dessen Kategorie, den Zweck und den für diese Funktion übertragenen Datenumfang. Eine Übertragung erfolgt erst nach einer bewussten funktionsbezogenen Zustimmung und mit gültiger Pro-Lizenz. Die Entscheidung kann im Bereich „KI & Datenschutz“ später geändert oder widerrufen werden. Ändern sich Anbieter oder Datenschutzregel, ist eine frühere Zustimmung nicht mehr gültig und muss neu erteilt werden.

Bei der Textoptimierung übermittelt der Browser an den Cuvexa-Server ausschließlich den ausgewählten Kurzprofiltext, die ausgewählte Tätigkeitsbeschreibung oder einen einzelnen ausgewählten Stichpunkt samt technischem Feldpfad sowie den signierten Lizenznachweis. Der Cuvexa-Server prüft Lizenz, Berechtigung und Datenumfang und sendet nur den ausgewählten Text, die gewählte Optimierungsart und technische Quellenkennungen an OpenAI. Vollständiger Lebenslauf, Stellenanzeige, Projektdatei und andere CV-Abschnitte werden dabei nicht automatisch übertragen. OpenAI erhält nicht den Cuvexa-Lizenznachweis. Der Vorschlag erscheint nur zur manuellen Prüfung und wird erst nach ausdrücklichem Übernehmen lokal in das gewählte CV-Feld geschrieben.

Für ein Anschreiben wählt der Nutzer eine konkrete gespeicherte CV-Version, eine konkrete Stellenanzeige und bis zu zwölf sichtbare CV-Fakten aus. An den Cuvexa-Server gehen nur diese markierten CV-Fakten, Unternehmen, Rolle und der Text der gewählten Stelle samt vorhandenen strukturierten und lokal erkannten Anforderungen sowie der signierte Lizenznachweis. E-Mail und Telefonnummer werden im MVP nicht als Anschreibenquelle angeboten. Nach Prüfung von Lizenz, Berechtigung, Herkunft und Umfang übermittelt Cuvexa an OpenAI nur Fakt-ID, Herkunft, Kategorie und Wert. Lokale Feldpfade, CV-Version-ID und Lizenznachweis werden nicht an OpenAI weitergegeben. Der Entwurf ist editierbar und wird erst durch „Entwurf speichern“ lokal in den Karriere-Workspace und damit gegebenenfalls in ein vom Nutzer exportiertes Cuvexa-Projekt übernommen.

Für mögliche Interviewfragen gilt dieselbe bewusste Stellen-, CV- und Faktauswahl mit einer eigenen funktionsbezogenen Zustimmung. OpenAI erhält nur Fakt-ID, Herkunft, Kategorie und Wert, jedoch keine lokalen Feldpfade, CV-Version-ID oder Lizenznachweise. Die Antwort wird auf Quellenbezug, Kategorienmix, sensible Themen und unzulässige Erfolgsbehauptungen geprüft. Sie wird als Vorbereitungsmöglichkeit und nicht als Vorhersage tatsächlich gestellter Fragen dargestellt. Ein Fragenset gelangt erst nach „Vorbereitung speichern“ in den lokalen Karriere-Workspace und gegebenenfalls in ein vom Nutzer exportiertes Cuvexa-Projekt.

Freie und nach Situation, Aufgabe, Vorgehen und Ergebnis strukturierte Interviewantworten werden zunächst ausschließlich lokal gespeichert. Optionales externes Feedback benötigt eine davon getrennte Zustimmung. Übertragen werden nur tatsächlich ausgefüllte Felder der einen Antwort sowie die konkrete mögliche Interviewfrage, Rolle und Unternehmen; vollständiger CV, Stellenanzeigentext und andere Antworten werden nicht gesendet. OpenAI erhält keine lokalen Feldpfade, Fragenset-/Fragen-ID oder Lizenznachweise. Das Feedback besteht ausschließlich aus Rückfragen zu Klarheit, Struktur, Relevanz und Konkretheit, ergänzt keine Ergebnisse oder Kennzahlen und verändert die Antwort nicht automatisch. Erst „Feedback übernehmen“ speichert die Rückfragen zusammen mit dem lokalen Antwortentwurf.

Die lokale Präferenz liegt getrennt von CV-, Stellen-, Payment- und Lizenzdaten unter cuvexa:ai-privacy:v1. Darin stehen nur Funktion, öffentliche Anbieterkennung, Version der Datenschutzinformation, Entscheidung und Zeitpunkt – keine Lebenslaufinhalte, Stellenanzeigen, ausgewählten Texte, Prompts oder KI-Antworten. Fehlerhafte Präferenzdaten werden verworfen und externe KI bleibt ausgeschaltet. Technische Protokolle dürfen nur inhaltsfreie Status- und Mengenangaben enthalten; sensitive Payloads und Providerfehler werden weder in der Oberfläche noch in Anwendungslogs ausgegeben.

Der Provideraufruf fordert mit store: false keine Speicherung der Antwort als Provider-Anwendungszustand an. Davon unberührt bleiben die jeweils anwendbaren technischen Sicherheits- und Missbrauchsprotokolle, vertraglichen Aufbewahrungsregeln und gesetzlichen Pflichten des Providers. API-Schlüssel und andere Provider-Secrets werden ausschließlich serverseitig geschützt verarbeitet und gehören nicht in das Browserbundle. Vor produktiver Freischaltung werden Anbieter, Verarbeitungsregion, Rechtsgrundlage, Auftragsverarbeitung, Unterauftragnehmer, Speicher- und Trainingsbedingungen sowie Löschfristen anhand der dann geltenden Konfiguration und Verträge geprüft. Die juristische Prüfung und Freigabe ist vor einem Livegang verpflichtend offen.

6. Cuvexa Payment und Lizenzierung

Zahlungsanbieter: Für Cuvexa Pro ist PayPal vorgesehen, für Nutzer im Europäischen Wirtschaftsraum grundsätzlich PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. PayPal verarbeitet Zahlungs-, Konto-, Transaktions-, Geräte- und gegebenenfalls Identitätsdaten nach eigener Datenschutzerklärung in eigener datenschutzrechtlicher Verantwortung.

PayPal weist darauf hin, dass Daten abhängig vom Dienst auch außerhalb des Wohnsitzlandes, unter anderem in den USA, verarbeitet werden können und beschreibt dafür verwendete Schutzmechanismen in seiner Datenschutzerklärung. Welche Übermittlungen und Garantien für die finale Cuvexa-Konfiguration konkret gelten, wird vor dem Livegang anhand der dann aktuellen Providerverträge geprüft.

Datenfluss: Erst beim Öffnen des Cuvexa-Checkouts wird das PayPal JavaScript SDK vom Provider geladen. Dabei erhält PayPal technisch notwendige Verbindungsdaten wie IP-Adresse, Browser- und Geräteinformationen. Beim Start des gewählten Monats- oder Jahresabonnements übermittelt Cuvexa die öffentlich konfigurierte Produkt- beziehungsweise Plan-ID, Währung und Zahlungsabsicht. Zahlungsinstrument, PayPal-Zugangsdaten und die für den Zahlungsvorgang erforderlichen Kontoangaben werden direkt gegenüber PayPal eingegeben und von Cuvexa nicht gespeichert.

PayPal liefert nach dem Checkout eine Abonnementreferenz. Der Cuvexa-Server verwendet sie, um Abonnement-ID, Plan-ID, Status, Beginn und nächste Abrechnung bei PayPal zu verifizieren. Die Providerantwort kann darüber hinaus PayPal-Konto-, Abonnenten- oder Zahlungsquelleninformationen enthalten; Cuvexa übernimmt daraus ausschließlich die für Verifikation und Statusanzeige erforderlichen Felder und speichert die übrigen Inhalte nicht. Beim Öffnen von „Tarif & Rechnungen“ wird der Status erneut bei PayPal abgefragt. Rechnungen, Belege sowie Karten- und Bankdaten werden in Cuvexa nicht dupliziert.

Cuvexa-Speicherung: Serverseitig gespeichert werden Lizenz-ID, Lizenztyp, Status, validFrom, validUntil, Providername, PayPal-Referenz sowie Erstellungs- und Änderungszeitpunkte. Für einen freiwillig erzeugten Wiederherstellungsschlüssel wird nur dessen SHA-256-Prüfsumme und Erstellungszeitpunkt gespeichert; Cuvexa kann den Klartextschlüssel nicht erneut anzeigen. Fehlversuche werden zeitlich begrenzt anhand HMAC-pseudonymisierter Client- und Lizenzkennungen gezählt, ohne die rohe IP-Adresse oder den eingegebenen Schlüssel in dieser Tabelle abzulegen. Für idempotente Payment- und Lifecycle-Verarbeitung werden zusätzlich Ereignistyp, Event-Schlüssel, PayPal-Referenz, Verarbeitungszeitpunkt und eine SHA-256-Prüfsumme gespeichert. Rohe PayPal-Webhook- oder Abonnementantworten, Lebenslaufdaten, Stellenanzeigen, Karten-, Bank- oder PayPal-Zugangsdaten werden nicht in der Lizenzdatenbank gespeichert.

Die Verarbeitung der erforderlichen Payment- und Lizenzdaten dient Vertragsanbahnung, Zahlungsbestätigung, Bereitstellung und Prüfung der Pro-Lizenz, Laufzeit- und Kündigungsverwaltung, Fehlerbehebung sowie Missbrauchs- und Doppellizenzschutz. Als Rechtsgrundlagen kommen insbesondere Art. 6 Abs. 1 lit. b DSGVO für Vertrag und vorvertragliche Maßnahmen, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Aufbewahrungs- und Nachweispflichten sowie Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Missbrauchsvermeidung und technische Fehleranalyse in Betracht.

7. Speicherfristen für Cuvexa Payment

Der aktuell bearbeitete lokale Lebenslauf bleibt bis zum Verwenden von „Leeren“ oder bis zum Löschen der Website-Daten im Browser gespeichert. Das getrennte Master-Karriereprofil, CV-spezifische Auswahl- und Formulierungsdaten sowie gesicherte CV-Versionen bleiben erhalten, bis die Website-Daten über die Browsereinstellungen gelöscht oder durch eine ausdrücklich bestätigte Projektsicherung ersetzt werden; „Leeren“ betrifft nur den aktuellen CV. Eine ausstehende Payment-Bestätigung wird spätestens sieben Tage nach ihrer lokalen Speicherung als veraltet verworfen. Der signierte Lizenzcache bleibt bis zum Löschen der Website-Daten gespeichert, gewährt nach Ablauf aber keine Pro-Berechtigung.

Serverseitige Lizenz- und Eventdaten werden für die Vertragsdurchführung, Statusprüfung, Wiederherstellung, Erstattungs- und Missbrauchsnachweise benötigt. Inaktive Wiederherstellungs-Versuchszähler werden bei nachfolgenden Versuchen spätestens nach der zentral konfigurierten Frist von derzeit 48 Stunden entfernt; ein erfolgreicher Restore entfernt die zugehörigen Zähler sofort. Für die übrigen Lizenz- und Eventdaten ist eine automatisierte Löschroutine derzeit noch nicht produktiv eingerichtet. Vor Freischaltung des Live-Checkouts müssen konkrete Löschfristen und ein Löschprozess juristisch festgelegt und technisch umgesetzt beziehungsweise organisatorisch verbindlich geregelt werden. Gesetzlich aufzubewahrende Rechnungs- und Buchungsunterlagen können unabhängig davon längeren, insbesondere steuer- und handelsrechtlichen Aufbewahrungsfristen unterliegen; die Cuvexa-Lizenzdatenbank ersetzt kein Rechnungsarchiv.

Für die minimierten technischen Cuvexa-Fehlerereignisse gilt eine zentral konfigurierte Sollaufbewahrung von 30 Tagen. Die tatsächliche Logrotation, Löschung und Zugriffsbeschränkung muss auf der Hostingplattform entsprechend eingerichtet und vor dem Livegang geprüft werden. Die Ereignisse werden nicht für Werbung, Profiling oder die Bewertung von Bewerbungsinhalten verwendet. Reine Browser-Offlinesituationen werden nicht über einen zusätzlichen Telemetrie-Endpunkt an Cuvexa übertragen.

8. Cookies, Analyse und externe Inhalte

Diese Website setzt selbst keine Analyse- oder Marketingdienste ein und lädt keine externen Schriftarten. Es werden keine technisch nicht notwendigen Cookies oder vergleichbare Tracking-Technologien eingesetzt. Die lokale Speicherung durch Cuvexa dient ausschließlich der von dir gewünschten Bearbeitung und Sicherung des Lebenslaufs auf dem verwendeten Gerät.

Eine Ausnahme für externe Inhalte besteht nur auf der bewusst geöffneten Checkout-Seite: Dort wird bei vollständig freigeschalteter Konfiguration das PayPal JavaScript SDK eingebunden, um den gewählten Zahlungsvorgang zu ermöglichen. Auf den CV-Editorseiten wird das PayPal SDK nicht geladen.

9. Externe Links, Downloads und weitere Zahlungen

Für den Erwerb von PayFlow Premium wird PayPal als Zahlungsanbieter eingebunden. Beim Aufruf des Bezahlbereichs und während des Zahlungsvorgangs verarbeitet PayPal Daten in eigener Verantwortung. Die Download-Dateien von PayFlow werden direkt über diesen Webauftritt bereitgestellt.

10. Deine Rechte

Du hast im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft über deine gespeicherten personenbezogenen Daten, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Außerdem kannst du einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben.

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

11. Sicherheit und Aktualität

Die Website soll ausschließlich verschlüsselt über HTTPS ausgeliefert werden. Technische und organisatorische Maßnahmen werden eingesetzt, um personenbezogene Daten vor Verlust, Manipulation und unberechtigtem Zugriff zu schützen.

Stand dieser Datenschutzerklärung: September 2026.