Datenschutzerklärung

Zuletzt aktualisiert: 12. August 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten Aptora bei der Nutzung des Dienstes verarbeitet, warum wir sie verarbeiten, an wen wir sie weitergeben und welche Rechte dir nach der EU-Datenschutz-Grundverordnung (DSGVO) zustehen. Wir verarbeiten nur die Daten, die wir für den Betrieb des Dienstes brauchen, und betreiben unsere Infrastruktur und die primäre Datenbank in der Europäischen Union.

1. Wer verantwortlich ist

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten ist:

Lasse Borchard

Cloudsurf IT Consulting (Einzelunternehmen)

Elisabethstr. 1 84570 Annabrunn Deutschland

aptora@cloudsurf.digital

2. Welche Daten wir verarbeiten, wozu und auf welcher Rechtsgrundlage

Wir verarbeiten die folgenden Kategorien personenbezogener Daten:

Konto & Identität

Daten:: Name, E-Mail-Adresse, Profilfoto, Workspace-/Organisationszugehörigkeit und die Kennung, die unser Authentifizierungsanbieter vergibt.
Zweck:: Um dein Konto anzulegen und abzusichern, dich anzumelden und Teamzugriffe zu verwalten.
Rechtsgrundlage:: Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Profil- & Lebenslaufinhalte

Daten:: Alles, was du einem Profil oder Lebenslauf hinzufügst: Name, Kontaktdaten, Anschrift, beruflicher und schulischer Werdegang, Skills, Sprachen, Projekte, Links sowie Referenzen oder Stimmen, die du über andere Personen einträgst.
Zweck:: Um deine Lebensläufe und Profile zu speichern, zu bearbeiten, darzustellen und zu exportieren — der Kernzweck des Dienstes.
Rechtsgrundlage:: Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Jobs & Bewerbungen

Daten:: Jobs, die du speicherst oder weiterleitest, und die Bewerbungen, die du erstellst — einschließlich Name und E-Mail-Adresse der Person, an die eine Bewerbung gerichtet ist.
Zweck:: Um Jobs mit deinem Profil abzugleichen und dich beim Verfassen und Nachverfolgen von Bewerbungen zu unterstützen.
Rechtsgrundlage:: Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Eingehende E-Mails

Daten:: Alles, was an deine persönliche Aptora-Adresse gesendet oder weitergeleitet wird: die vollständige Nachricht (Header, Absender, Betreff, Text, Anhänge) und Zustellungs-Metadaten. Dazu gehört auch Mail, die keine Job-Benachrichtigung ist — vor dem Eingang lässt sich das nicht unterscheiden.
Zweck:: Um deine Nachrichten in Aptora anzuzeigen und, bei Mail von Jobportalen, die wir kennen, die enthaltenen Jobs zu extrahieren. Die Extraktion nutzt Mustererkennung, eigene Modelle und unseren KI-Anbieter. Extrahierte Jobs werden Teil des gemeinsamen Job-Pools von Aptora und können auch anderen Nutzenden vorgeschlagen werden; der gespeicherte Job enthält keinen Verweis auf dich oder dein Postfach. Mail, die nicht von einem bekannten Portal stammt, wird für dich gespeichert, aber nicht auf Jobinhalte hin ausgewertet und nie mit anderen geteilt.
Rechtsgrundlage:: Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Zahlungsdaten

Daten:: Abo-Datensätze und die Kundenkennung, die unser Zahlungsanbieter vergibt. Kartendaten verarbeitet der Zahlungsanbieter — wir sehen und speichern sie nie.
Zweck:: Um Zahlungen für kostenpflichtige Pläne abzuwickeln und buchhalterische Pflichten zu erfüllen.
Rechtsgrundlage:: Vertrag (Art. 6 Abs. 1 lit. b) und rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)

Verbundene KI-Werkzeuge (MCP)

Daten:: Einträge zu KI-Clients (z. B. Cursor, Claude), die du über unseren OAuth-Ablauf verbindest, und die dafür ausgestellten Zugriffstoken.
Zweck:: Damit ein von dir autorisierter KI-Assistent deine Profile in deinem Auftrag anlegen und verwalten kann und du diesen Zugriff einsehen und widerrufen kannst.
Rechtsgrundlage:: Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Nutzungsstatistiken

Daten:: Aggregierte Aufrufzahlen und Verweildauern für Freigabelinks zu Lebensläufen. Auf IP-Adressen, User-Agents und Referrer der Besuchenden verzichten wir bewusst.
Zweck:: Um dir zu zeigen, wie oft ein geteilter Lebenslauf-Link geöffnet wurde und wie lange.
Rechtsgrundlage:: Berechtigtes Interesse an einer einfachen, datensparsamen Statistik (Art. 6 Abs. 1 lit. f)

Sichtbarkeit in der Talentsuche

Daten:: Wenn dein Profil in Aptoras Talentsuche ausgeliefert, geöffnet, auf eine Shortlist gesetzt oder kontaktiert wird, protokollieren wir das handelnde Team, den handelnden Nutzer, dein Profil, die Art des Zugriffs und den Zeitpunkt.
Zweck:: Transparenz dir gegenüber als betroffener Person — du kannst diese Zugriffe einsehen, in bezahlten persönlichen Plänen mit dem Namen des zugreifenden Unternehmens — sowie Schutz vor Missbrauch und unfairer Nutzung der Suche. Nutzer der Talentsuche werden Kandidaten gegenüber als ihr Team sichtbar, nie als einzelne Person. Einträge werden 12 Monate aufbewahrt und dann gelöscht.
Rechtsgrundlage:: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — Transparenz und Missbrauchsschutz

3. Verarbeitung durch KI

Aptora nutzt KI, um unstrukturierte Inhalte zu erschließen — einen strukturierten Lebenslauf aus einem hochgeladenen PDF zu gewinnen, Jobs auszuwerten (auch solche in E-Mails, die von bekannten Jobportalen an deine Eingangsadresse gehen), Skills zu erkennen und zu bewerten, wie gut ein Job zu deinem Profil passt. Dafür werden die betreffenden Inhalte (etwa eine Lebenslaufdatei, ein Job oder der Text einer Jobportal-Mail) an unseren KI-Anbieter Anthropic übermittelt und auf dessen Infrastruktur in den Vereinigten Staaten verarbeitet. Mail, die nicht von einem bekannten Jobportal stammt, wird nicht zur Jobextraktion an unseren KI-Anbieter gesendet. Das Ergebnis der KI ist ein Vorschlag, über den du weiterhin bestimmst. Wir nutzen deine Daten nicht, um KI-Modelle zu trainieren, und Anthropic gibt an, dass über seine API übermittelte Daten nicht zum Training seiner Modelle verwendet werden.

4. An wen wir Daten weitergeben

Wir verkaufen deine personenbezogenen Daten nicht. Wir geben sie ausschließlich an die Dienstleister (Auftragsverarbeiter) weiter, auf die wir für den Betrieb von Aptora angewiesen sind — jeweils gebunden durch einen Auftragsverarbeitungsvertrag und nur zur Erbringung ihrer Leistung für uns berechtigt:

Amazon Web Services (AWS) — Cloud-Hosting und E-Mail-Eingang (Rechenleistung, Speicher, eingehende Mail). Unsere Infrastruktur läuft in der Region eu-central-1 (Frankfurt). (EU (Frankfurt) — AWS ist ein US-Unternehmen)
Neon — Verwaltete PostgreSQL-Datenbank — unser primärer Datenspeicher. (EU (aws-eu-central-1))
Clerk — Authentifizierung, Sitzungs- und Organisationsverwaltung (Kontoidentität). (USA)
Anthropic (Claude) — KI-Modellanbieter. Wir senden Lebenslaufdateien und Jobs an die API von Anthropic, um strukturierte Daten zu gewinnen, Skills zu erkennen und Matches zu bewerten. Anthropic gibt an, dass über seine API übermittelte Daten nicht zum Training seiner Modelle verwendet werden. (USA)
Voyage AI — Optionaler Anbieter für Text-Embeddings, genutzt für semantisches Skill-Matching und nur, wenn diese Funktion aktiviert ist. (USA)
Stripe — Zahlungsabwicklung für kostenpflichtige Pläne. (USA / EU)

Verbindest du darüber hinaus ein externes KI-Werkzeug über unseren MCP-/OAuth-Ablauf, erhält dieses Werkzeug die Daten, die es für die von dir autorisierten Aktionen braucht. Diese Verbindungen kannst du jederzeit in den Einstellungen einsehen und widerrufen.

5. Internationale Datenübermittlung

Unser Hosting und unsere primäre Datenbank liegen in der Europäischen Union (Frankfurt). Einige unserer Anbieter (Clerk, Anthropic, Voyage AI und Stripe) sitzen in den Vereinigten Staaten oder übermitteln Daten dorthin. Werden personenbezogene Daten außerhalb der EU/des EWR übermittelt, ist die Übermittlung durch die Standardvertragsklauseln der Europäischen Kommission abgesichert und, soweit einschlägig, durch die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework.

6. Wie lange wir deine Daten speichern

Wir speichern deine personenbezogenen Daten, solange dein Konto aktiv ist und du den Dienst nutzt. Einzelne Lebensläufe, Bewerbungen und verbundene Werkzeuge kannst du jederzeit selbst löschen. Wenn du die Löschung deines Kontos verlangst, löschen oder anonymisieren wir deine personenbezogenen Daten, soweit wir sie nicht gesetzlich aufbewahren müssen (etwa Zahlungsbelege für buchhalterische und steuerliche Pflichten). Zugriffstoken für verbundene KI-Werkzeuge laufen automatisch ab — Zugriffstoken nach einer Stunde, die zugrunde liegende Verbindung nach 30 Tagen ohne Erneuerung.

7. Cookies und Einwilligung

Cookies und vergleichbare Speichertechniken setzen wir nur so ein, wie du es entschieden hast. Technisch notwendige Cookies sind nach § 25 Abs. 2 TDDDG einwilligungsfrei; alles Weitere wird erst nach deiner Einwilligung gesetzt (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Deine Entscheidung speichern wir sechs Monate lang und fragen danach erneut.

Notwendig (immer aktiv)

Ohne diese Cookies funktioniert der Dienst nicht: Du bleibst nicht angemeldet, und die Anwendung kann nicht in deiner Sprache und Zeitzone dargestellt werden. Sie werden ohne Einwilligung gesetzt und lassen sich nicht abschalten.

Cookie	Zweck	Speicherdauer	Anbieter
__session, __client_uat	Anmeldesitzung und Workspace-Kontext; derselbe Anbieter kann weitere Sitzungs-Cookies setzen.	Sitzung, bis zu 12 Monate	Clerk, Inc., USA
NEXT_LOCALE	Die von dir gewählte Oberflächensprache.	12 Monate	Aptora (1st party)
NEXT_TIMEZONE	Deine Zeitzone, damit Datum und Uhrzeit so erscheinen, wie sie bei dir gelten.	12 Monate	Aptora (1st party)
rf_inbox_notice	Merkt sich, dass du den Postfach-Hinweis bestätigt hast, damit er nicht erneut erscheint.	12 Monate	Aptora (1st party)
rf_consent	Deine Entscheidung auf dieser Seite — welche Kategorien du erlaubt hast und wann. Enthält keine Kennung.	6 Monate	Aptora (1st party)

Analyse (nur mit Einwilligung)

Anonymisierte Reichweiten- und Nutzungsmessung, damit wir sehen, welche Teile von Aptora genutzt werden und wo es hakt. Derzeit setzen wir gar keine Analyse-Cookies ein — die Kategorie existiert, damit nichts geladen werden kann, bevor du zugestimmt hast. Sollten wir ein Werkzeug einführen, wird es hier benannt, höchstens 12 Monate gespeichert und erst nach deiner Einwilligung geladen.

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen — genauso einfach, wie du sie erteilt hast, über „Cookie-Einstellungen“ im Footer jeder Seite oder hier:

8. Deine Rechte

Nach der DSGVO hast du das Recht,

Auskunft über die bei uns gespeicherten personenbezogenen Daten zu erhalten (Art. 15);
unrichtige Daten berichtigen zu lassen (Art. 16);
deine Daten löschen zu lassen (Art. 17);
die Verarbeitung einschränken zu lassen oder ihr zu widersprechen (Art. 18 und 21);
deine Daten in einem übertragbaren, maschinenlesbaren Format zu erhalten (Art. 20);
eine erteilte Einwilligung mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3).

Um eines dieser Rechte auszuüben, wende dich an die in Abschnitt 1 genannten Kontaktdaten. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Ansbach; du kannst dich auch an die Behörde des EU-Mitgliedstaats deines Wohnorts oder Arbeitsplatzes wenden.

9. Datensicherheit

Wir schützen deine Daten mit angemessenen technischen und organisatorischen Maßnahmen, darunter Verschlüsselung bei der Übertragung, Hashing sensibler Zugangsdaten, Verschlüsselung gespeicherter Secrets und Zugriffskontrollen, die begrenzen, wer deine Daten erreichen kann. Kein Onlinedienst kann vollständige Sicherheit garantieren, aber wir arbeiten daran, deine Daten zu schützen und diese Maßnahmen aktuell zu halten.

10. Kinder

Aptora richtet sich nicht an Kinder. Für die Nutzung des Dienstes musst du mindestens 16 Jahre alt sein. Wir erheben wissentlich keine personenbezogenen Daten von Kindern.

11. Änderungen dieser Erklärung

Wir können diese Erklärung anpassen, wenn sich der Dienst weiterentwickelt oder die Rechtslage ändert. Bei wesentlichen Änderungen aktualisieren wir das Datum „Zuletzt aktualisiert“ oben und weisen dich, wo angebracht, in der App darauf hin.