Datenschutzerklärung

Stand: Oktober 2026

1. Allgemeine Informationen

Der Schutz personenbezogener Daten hat für die Heron GmbH einen hohen Stellenwert. Wir behandeln personenbezogene Informationen vertraulich und verarbeiten diese unter Beachtung der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG), des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) und weiterer anwendbarer Datenschutzvorschriften.

Diese Datenschutzerklärung informiert darüber, wie wir personenbezogene Daten beim Besuch unserer Website, bei Anfragen über unsere Formulare, bei der Registrierung als Kandidatin oder Kandidat, im Rahmen unserer Personalvermittlungsleistungen sowie bei der Nutzung unserer Angebote auf Facebook, Instagram und TikTok verarbeiten.

2. Verantwortliche Stelle

Heron GmbH
Hansaallee 190
40547 Düsseldorf
Deutschland

Telefon: +49 211 5424 1290
E-Mail: kontakt@heron-one.de
Website: www.heron-one.de

Datenschutzanfragen richten Sie bitte an: n.sito@heron-one.de

Sofern ein Datenschutzbeauftragter gesetzlich zu bestellen ist oder bestellt wurde, werden dessen Kontaktdaten gesondert angegeben.

3. Zwecke unserer Datenverarbeitung

Die Heron GmbH ist auf die Direktvermittlung von Fach- und Führungskräften spezialisiert.

Wir verarbeiten personenbezogene Daten insbesondere zu folgenden Zwecken:

• Registrierung und Verwaltung von Kandidatenprofilen
• Ermittlung geeigneter beruflicher Möglichkeiten
• Abgleich von Kandidatenprofilen mit Stellenanforderungen (Matching)
• Kontaktaufnahme zu konkreten Stellenangeboten
• Durchführung und Begleitung von Bewerbungs- und Vermittlungsverfahren
• Langfristige Betreuung registrierter Kandidaten im Rahmen unseres Talentpools
• Kommunikation mit Bewerbern, Interessenten und Geschäftskunden
• Bearbeitung von Anfragen, die uns über die Formulare unserer Website erreichen
• Erfüllung gesetzlicher Verpflichtungen
• Sicherstellung des technischen Betriebs unserer Website
• Bewerbung unserer Vermittlungsleistungen auf Facebook, Instagram und TikTok sowie Messung des Erfolgs dieser Werbekampagnen, soweit Sie hierin eingewilligt haben (siehe Abschnitte 14 bis 16)

4. Kategorien personenbezogener Daten

Im Rahmen unserer Personalvermittlung können wir insbesondere folgende Daten verarbeiten:

Stamm- und Kontaktdaten: Name, Anschrift, Telefonnummer, E-Mail-Adresse und weitere freiwillig bereitgestellte Kontaktinformationen.

Berufsbezogene Daten: Ausbildung, Qualifikationen, beruflicher Werdegang, Berufserfahrung, Kenntnisse, Zertifikate, aktuelle Tätigkeit, Gehaltsvorstellungen, gewünschter Arbeitsort, Mobilität und Verfügbarkeit.

Bewerbungsunterlagen: Lebenslauf, Arbeitszeugnisse, Qualifikationsnachweise und weitere freiwillig übermittelte Dokumente.

Vermittlungsbezogene Daten: Gesprächsnotizen, berufliche Präferenzen, Informationen zu vorgeschlagenen Positionen, Bewerbungsstatus und Ergebnisse von Vermittlungsverfahren.

Technische Daten: IP-Adresse, Browserinformationen, Geräteinformationen, Zugriffszeitpunkte und technisch erforderliche Protokolldaten.

Daten von Geschäftskunden: Firmenname, Ansprechpartner, Kontaktdaten sowie Angaben zu gesuchten Berufen, Einsatzregionen und Anforderungen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, beispielsweise Gesundheitsdaten, werden grundsätzlich nicht gezielt erhoben. Soweit deren Verarbeitung im Einzelfall erforderlich ist, erfolgt diese nur bei Vorliegen einer gesonderten gesetzlichen Grundlage. Bitte machen Sie in Lebensläufen und Nachrichten keine Angaben zu Gesundheit, Religion oder ähnlich sensiblen Merkmalen, soweit diese für die Vermittlung nicht erforderlich sind.

5. Bereitstellung der Website und Server-Logdateien

Unsere Website wird bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland, betrieben. STRATO verarbeitet die Daten in unserem Auftrag auf Servern in Deutschland. Mit STRATO besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Bei jedem Aufruf unserer Website werden automatisch Informationen erfasst, die Ihr Browser übermittelt. Dazu gehören die IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Seite, die zuvor besuchte Seite (Referrer), der verwendete Browser und das Betriebssystem. Diese Daten benötigen wir, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Internetauftritt nach Art. 6 Abs. 1 lit. f DSGVO. Die Server-Logdateien werden nach kurzer Zeit automatisch gelöscht, soweit sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.

Die Verbindung zu unserer Website ist per TLS verschlüsselt. Sie erkennen das am Schloss-Symbol und an „https://“ in der Adresszeile Ihres Browsers.

6. Cookies und Einwilligungsverwaltung

Unsere Website setzt Cookies und vergleichbare Technologien ein. Das sind kleine Dateien oder Einträge, die auf Ihrem Endgerät gespeichert oder von dort ausgelesen werden.

Technisch notwendige Cookies, ohne die die Website oder die von Ihnen gewünschten Funktionen nicht bereitgestellt werden können, setzen wir auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG ein. Die anschließende Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO.

Alle übrigen Cookies und Technologien, insbesondere für Statistik und Marketing, setzen wir nur ein, wenn Sie vorher eingewilligt haben (§ 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO). Ihre Auswahl treffen Sie beim ersten Besuch in unserem Einwilligungsbanner. Die Schaltflächen zum Ablehnen und zum Zustimmen sind gleichwertig gestaltet. Für den Einwilligungsbanner nutzen wir das WordPress-Plugin CookieYes. Es läuft auf dem Server unserer Website und ist nicht mit den Online-Diensten von CookieYes verbunden, Ihre Auswahl wird deshalb nur in Ihrem Browser gespeichert.

Ihre Auswahl speichern wir in einem Cookie, damit wir Sie nicht bei jedem Besuch erneut fragen müssen und Ihre Einwilligung nachweisen können. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO. Sie können Ihre Auswahl jederzeit über das kleine Cookie-Symbol unten links auf jeder Seite („Cookie-Einstellungen“) ändern und eine erteilte Einwilligung mit Wirkung für die Zukunft widerrufen.

7. Anfragen über unsere Website-Formulare

Auf unserer Website bieten wir drei Formulare an:

• Anfrage für Unternehmen: gesuchte Berufe, Region, Firma, Name, Telefonnummer, E-Mail-Adresse und eine optionale Nachricht.
• Bewerbung für Kandidaten: Beruf, persönliche Wünsche an die neue Stelle, möglicher Starttermin, gewünschte Region, Name, Telefonnummer sowie freiwillig E-Mail-Adresse, Wohnort, bevorzugter Kontaktweg und ein Lebenslauf.
• Kontaktformular: freiwillig der Firmenname, Name, E-Mail-Adresse oder Telefonnummer, bevorzugter Kontaktweg und Ihre Nachricht.

Pflichtfelder sind mit einem Sternchen gekennzeichnet. Ohne diese Angaben können wir Ihre Anfrage nicht bearbeiten. Alle weiteren Angaben sind freiwillig. Eine gesetzliche oder vertragliche Pflicht, uns Daten bereitzustellen, besteht nicht.

Die Angaben werden verschlüsselt übertragen, per E-Mail an uns weitergeleitet und in der Datenbank unserer Website gespeichert. Einen hochgeladenen Lebenslauf erhalten wir ausschließlich als Anhang dieser E-Mail. Auf dem Server unserer Website wird er nicht gespeichert. Erlaubt sind nur gängige Dokument- und Bildformate bis 10 MB.

Wir verwenden die Daten, um Ihre Anfrage zu bearbeiten und mit Ihnen Kontakt aufzunehmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf die Anbahnung oder Durchführung einer Vermittlung gerichtet ist, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen nach Art. 6 Abs. 1 lit. f DSGVO. Mit der Einwilligung im Formular willigen Kandidaten zusätzlich ein, dass wir ihre Angaben und gegebenenfalls ihren Lebenslauf zur Jobvermittlung verarbeiten und mit ihrer Zustimmung an passende Unternehmen weitergeben (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Für die weitere Betreuung übernehmen wir die Angaben in unser Bewerbermanagementsystem (siehe Abschnitt 17). Die Einträge in der Datenbank der Website und hochgeladene Dateien löschen wir, sobald die Übernahme erfolgt oder die Anfrage erledigt ist, spätestens nach drei Monaten. Auf Ihren Wunsch löschen wir Ihre Daten in der Regel innerhalb von 24 Stunden, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

8. Schriftarten

Die Schriftarten unserer Website werden von unserem eigenen Server geladen. Beim Aufruf der Website wird keine Verbindung zu Servern von Google oder anderen Schriftanbietern hergestellt.

9. Links zu Bewertungsplattformen

Am Ende unserer Website zeigen wir unsere Bewertungen bei Google und Trustpilot und verlinken auf die jeweiligen Seiten. Die Bewertungen sind als Text in unsere Website eingefügt. Beim bloßen Aufruf unserer Website werden keine Daten an Google oder Trustpilot übermittelt. Erst wenn Sie einen der Links anklicken, wechseln Sie auf die Seite des jeweiligen Anbieters. Dort gelten die Datenschutzhinweise von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) beziehungsweise Trustpilot (Trustpilot A/S, Pilestræde 58, 1112 Kopenhagen, Dänemark).

10. Registrierung als Kandidat und Einrichtung eines Kandidatenprofils

Interessenten können sich über unsere Website, über Werbeanzeigen, über Kontaktformulare oder durch unmittelbare Kontaktaufnahme für unsere Personalvermittlungsleistungen registrieren.

Im Rahmen der Registrierung legen wir ein Kandidatenprofil in unserem Bewerbermanagementsystem an.

Dieses Profil dient dazu, berufliche Qualifikationen und Interessen zu erfassen, geeignete Beschäftigungsmöglichkeiten zu identifizieren und Vermittlungsleistungen anzubieten.

Soweit durch die Registrierung ein Nutzungs- beziehungsweise Vermittlungsverhältnis mit uns begründet wird, erfolgt die hierfür erforderliche Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Darüber hinausgehende Verarbeitungen, insbesondere die freiwillige Aufnahme in unseren langfristigen Talentpool, erfolgen auf Grundlage einer gesonderten Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, soweit keine andere Rechtsgrundlage einschlägig ist.

11. Langfristige Kandidatenbetreuung und Talentpool

Die Heron GmbH bietet registrierten Kandidaten die Möglichkeit, auch unabhängig von einer konkreten Stellenbesetzung langfristig für zukünftige berufliche Möglichkeiten berücksichtigt zu werden.

Mit entsprechender Einwilligung können wir Kandidatenprofile in unserem Talentpool speichern und für folgende Zwecke verwenden:

• Identifikation zukünftiger Beschäftigungsmöglichkeiten
• Regelmäßiger Abgleich mit neuen Stellenanforderungen
• Individuelle Kontaktaufnahme bei geeigneten Stellenangeboten
• Aktualisierung beruflicher Qualifikationen und Präferenzen
• Fortsetzung der persönlichen Betreuung durch unsere Recruiter

Die freiwillige Einwilligung in die Talentpool-Aufnahme erfolgt getrennt von einer gegebenenfalls laufenden Einzelbewerbung.

Speicherdauer: Kandidatendaten werden im Talentpool zunächst für bis zu 24 Monate ab Erteilung der Einwilligung gespeichert.

Vor Ablauf dieses Zeitraums können wir die Kandidatin oder den Kandidaten um eine erneute Einwilligung zur Fortsetzung der Speicherung und Betreuung bitten.

Bei erneuter Einwilligung beginnt ein weiterer, ausdrücklich mitgeteilter Speicherzeitraum.

Erfolgt keine Verlängerung und besteht keine andere Rechtsgrundlage für eine weitere Speicherung, werden die betreffenden Daten gelöscht oder anonymisiert.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

12. Vermittlung an potenzielle Arbeitgeber

Im Rahmen unserer Vermittlungstätigkeit gleichen wir Kandidatenprofile mit den Anforderungen unserer Geschäftskunden ab.

Dabei können wir zunächst interne Eignungsprüfungen durchführen und Kandidaten passende Stellenangebote vorstellen.

Eine Weitergabe identifizierbarer Kandidatenprofile oder Bewerbungsunterlagen an potenzielle Arbeitgeber erfolgt grundsätzlich erst nach vorheriger Zustimmung der betreffenden Person beziehungsweise auf Grundlage einer hierfür bestehenden gesetzlichen Erlaubnis.

Die Datenübermittlung wird auf diejenigen Informationen beschränkt, die für das jeweilige Vermittlungsverfahren erforderlich sind.

Potenzielle Arbeitgeber verarbeiten die übermittelten personenbezogenen Daten im Rahmen ihrer eigenen datenschutzrechtlichen Verantwortlichkeit, soweit keine abweichende rechtliche Rollenverteilung besteht.

Eine pauschale Freigabe sämtlicher Kandidatendaten an beliebige Unternehmen erfolgt nicht.

13. Bewerbungen auf konkrete Stellenangebote

Wenn sich Kandidaten auf eine bestimmte Position bewerben, verarbeiten wir die hierfür erforderlichen Daten zur Durchführung und Begleitung des Vermittlungsverfahrens.

Rechtsgrundlage ist insbesondere Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Erbringung unserer Vermittlungsleistung erforderlich ist.

Nach Abschluss eines erfolglosen Bewerbungsverfahrens können verfahrensbezogene Daten für einen begrenzten Zeitraum zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche gespeichert werden. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO.

Die Löschung erfolgt grundsätzlich spätestens sechs Monate nach Abschluss des jeweiligen Verfahrens, sofern keine längere Speicherung aufgrund eines laufenden Rechtsstreits, gesetzlicher Pflichten oder einer gesonderten Rechtsgrundlage erforderlich ist.

Die Speicherung eines eigenständigen Talentpool-Profils bleibt hiervon unberührt, sofern hierfür eine gültige Einwilligung vorliegt.

14. Kandidatengewinnung über Facebook und Instagram (Meta Ads)

Wir nutzen Werbedienstleistungen der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“), um über Facebook und Instagram auf unsere Personalvermittlungsangebote aufmerksam zu machen.

Dabei setzen wir sogenannte Lead Ads beziehungsweise Instant-Formulare ein. Das sind Formulare, die direkt in Facebook oder Instagram angezeigt werden, ohne dass Sie die Plattform verlassen.

Wenn Interessenten ein solches Formular ausfüllen und absenden, werden die dort angegebenen Daten an uns übermittelt.

Hierzu gehören insbesondere Name, Telefonnummer, E-Mail-Adresse und freiwillig übermittelte berufsbezogene Angaben. Teilweise füllt Meta Felder mit Angaben aus Ihrem Profil vor. Sie können diese Angaben vor dem Absenden ändern oder löschen.

Wir verwenden diese Daten ausschließlich im Rahmen der jeweils mitgeteilten Zwecke, insbesondere zur Bearbeitung der Registrierungsanfrage und zur Kontaktaufnahme hinsichtlich unserer Vermittlungsleistungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie mit dem Formular eine Vermittlung anfragen, sowie Ihre im Formular erteilte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Eine längerfristige Übernahme in unseren Talentpool erfolgt nur, wenn hierfür eine geeignete Rechtsgrundlage, insbesondere eine gesonderte Einwilligung, vorliegt.

Für die Auslieferung der Anzeigen nutzt Meta Informationen aus Ihrem Nutzerkonto, zum Beispiel Alter, Wohnort und Interessen. Wir legen dabei nur allgemeine Zielgruppenmerkmale fest und erhalten keine Daten über einzelne Personen, die eine Anzeige sehen. Meta verarbeitet personenbezogene Daten im Zusammenhang mit der Nutzung seiner Plattformen auch in eigener Verantwortlichkeit. Informationen hierzu finden sich in der Datenschutzrichtlinie von Meta unter https://www.facebook.com/privacy/policy/.

Soweit wir gemeinsam mit Meta über Zwecke und Mittel einer Verarbeitung entscheiden, insbesondere bei der Erhebung und Übermittlung von Daten über den Meta Pixel (siehe Abschnitt 16), sind wir mit Meta gemeinsam Verantwortliche nach Art. 26 DSGVO. Wir haben dazu mit Meta eine Vereinbarung geschlossen (Meta Controller Addendum, abrufbar unter https://www.facebook.com/legal/controller_addendum). Darin ist geregelt, dass Meta für die Information der Nutzer zur gemeinsamen Verarbeitung, für die Sicherheit der Daten und für die Bearbeitung von Betroffenenrechten zuständig ist. Sie können Ihre Rechte sowohl bei uns als auch direkt bei Meta geltend machen. Für die weitere Verarbeitung der Daten durch Meta ist Meta allein verantwortlich.

Meta kann Daten auch an die Meta Platforms, Inc. in den USA übermitteln. Die Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung erfolgt damit auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission nach Art. 45 DSGVO.

15. Kandidatengewinnung über TikTok (TikTok Ads)

Wir schalten außerdem Anzeigen auf TikTok, einem Dienst der TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland („TikTok“), um auf unsere Personalvermittlungsangebote aufmerksam zu machen.

Wenn Sie über ein Formular in der TikTok-App oder über eine Anzeige mit uns Kontakt aufnehmen, verarbeiten wir die übermittelten Angaben, insbesondere Name, Telefonnummer, E-Mail-Adresse und freiwillige berufsbezogene Angaben, zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Für die Auslieferung der Anzeigen verwendet TikTok Informationen aus Ihrem Nutzerkonto. Wir legen nur allgemeine Zielgruppenmerkmale fest. Soweit wir mit TikTok gemeinsam über Zwecke und Mittel einer Verarbeitung entscheiden, sind wir gemeinsam Verantwortliche nach Art. 26 DSGVO. Die Einzelheiten ergeben sich aus den Werbebedingungen von TikTok. Ihre Rechte können Sie bei uns und bei TikTok geltend machen. TikTok kann Daten auch in Länder außerhalb der Europäischen Union übermitteln und stützt sich dabei auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Weitere Informationen finden Sie in der Datenschutzrichtlinie von TikTok unter https://www.tiktok.com/legal/page/eea/privacy-policy/de.

16. Meta Pixel, Meta Conversions API, TikTok Pixel und Werbeanalyse

Zur Analyse und Optimierung unserer Werbekampagnen werden wir auf unserer Website den Meta Pixel und die Meta Conversions API sowie den TikTok Pixel einsetzen. Derzeit ist keiner dieser Dienste eingebunden. Sobald wir sie einsetzen, geschieht das ausschließlich, wenn Sie im Einwilligungsbanner der Kategorie „Marketing“ zugestimmt haben.

Meta Pixel: Ein kleines Programm auf unserer Website, das Ihren Besuch und bestimmte Handlungen, zum Beispiel das Absenden eines Formulars, an Meta meldet. Dabei werden insbesondere Ihre IP-Adresse, Informationen zu Browser und Gerät, die aufgerufenen Seiten, der Zeitpunkt und eine Kennung in einem Cookie (_fbp, Speicherdauer nach Angaben von Meta 90 Tage) verarbeitet. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta den Besuch Ihrem Konto zuordnen.

Meta Conversions API: Eine direkte Verbindung von unserem Server zu Meta. Sie übermittelt dieselben Ereignisse wie der Pixel, aber zuverlässiger, weil sie nicht vom Browser abhängt. Kontaktdaten wie E-Mail-Adresse oder Telefonnummer werden dabei vor der Übermittlung verschlüsselt (gehasht). Auch die Conversions API nutzen wir nur, wenn Sie eingewilligt haben.

TikTok Pixel: Funktioniert wie der Meta Pixel und meldet Besuche und Handlungen auf unserer Website an TikTok. Dabei kommt insbesondere ein Cookie mit einer Kennung zum Einsatz (_ttp, Speicherdauer nach Angaben von TikTok 13 Monate).

Mit diesen Daten messen wir, wie viele Personen nach einer Anzeige unsere Website besuchen oder eine Anfrage stellen, und spielen unsere Anzeigen gezielter aus. Meta und TikTok können die Daten auch für eigene Zwecke verwenden, etwa zur Verbesserung ihrer Werbedienste.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Für die Erhebung und Übermittlung der Daten sind wir mit Meta beziehungsweise TikTok gemeinsam Verantwortliche nach Art. 26 DSGVO (siehe Abschnitte 14 und 15). Zur Übermittlung in die USA und andere Drittländer siehe Abschnitt 22.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über das kleine Cookie-Symbol unten links auf jeder Seite („Cookie-Einstellungen“) widerrufen. Danach werden Pixel und Conversions API nicht mehr aufgerufen.

17. Bewerbermanagementsystem

Für die Organisation und Durchführung unserer Personalvermittlungsleistungen verwenden wir ein elektronisches Bewerbermanagementsystem.

In diesem System verarbeiten und verwalten wir personenbezogene Daten von Kandidaten und Bewerbern, insbesondere zur Erstellung und Pflege von Kandidatenprofilen, zur Dokumentation von Kontakten, zum Abgleich mit Stellenanforderungen (Matching) sowie zur Durchführung und Nachverfolgung von Vermittlungsverfahren.

Zur technischen Bereitstellung und Wartung des Bewerbermanagementsystems setzen wir externe IT- und Softwaredienstleister ein. Soweit diese personenbezogene Daten in unserem Auftrag verarbeiten, erfolgt dies auf Grundlage entsprechender Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO.

Der Zugriff auf personenbezogene Daten ist auf berechtigte Personen beschränkt, die diese Informationen zur Erfüllung ihrer jeweiligen Aufgaben benötigen.

18. Kontaktaufnahme und Kommunikation

Im Rahmen unserer Personalvermittlungsleistungen kontaktieren wir Kandidatinnen und Kandidaten, um sie über passende Stellenangebote, berufliche Entwicklungsmöglichkeiten sowie den aktuellen Stand laufender Vermittlungsverfahren zu informieren.

Die Kontaktaufnahme kann über folgende Kommunikationswege erfolgen:

• Telefon
• E-Mail
• WhatsApp
• Facebook, insbesondere über den Facebook Messenger
• Instagram, insbesondere über Direktnachrichten
• gegebenenfalls weitere, von den Kandidaten ausdrücklich gewünschte Kommunikationskanäle

Auf unserer Website können Sie im Formular angeben, auf welchem Weg wir uns melden sollen. Wir richten uns nach dieser Auswahl.

Die Verarbeitung personenbezogener Daten erfolgt zur Durchführung unserer Vermittlungsleistungen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit die Kommunikation hierfür erforderlich ist.

Soweit die Kontaktaufnahme werblichen Charakter hat oder eine gesonderte Einwilligung gesetzlich erforderlich ist, erfolgt sie ausschließlich auf Grundlage einer entsprechenden Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO unter Beachtung der einschlägigen Vorschriften des UWG.

Kommunikation über WhatsApp

Für die Kommunikation über WhatsApp können wir WhatsApp Business nutzen, einen Dienst der WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.

Bei der Nutzung können insbesondere Telefonnummern, Kommunikationsinhalte, Zeitpunkte der Kommunikation sowie technische Verbindungsdaten verarbeitet werden. Die Inhalte der Nachrichten sind Ende-zu-Ende-verschlüsselt.

WhatsApp kann Daten an die Meta Platforms, Inc. in den USA übermitteln. Diese ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Weitere Informationen ergeben sich aus den Datenschutzhinweisen von WhatsApp unter https://www.whatsapp.com/legal/privacy-policy-eea.

Die Kontaktaufnahme über WhatsApp erfolgt nur, soweit hierfür eine geeignete Rechtsgrundlage besteht. Soweit erforderlich, holen wir vorab eine ausdrückliche Einwilligung ein.

Kandidaten können jederzeit mitteilen, dass sie über bestimmte Kommunikationskanäle nicht mehr kontaktiert werden möchten. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Kommunikation über Facebook und Instagram

Für die Kommunikation mit Kandidatinnen, Kandidaten und Interessenten nutzen wir Facebook und Instagram, Dienste der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland.

Die Kontaktaufnahme und Kommunikation kann insbesondere über den Facebook Messenger, Instagram-Direktnachrichten sowie über weitere von den Plattformen bereitgestellte Kommunikationsfunktionen erfolgen.

Im Rahmen dieser Kommunikation können insbesondere folgende personenbezogene Daten verarbeitet werden:

• Profilname und öffentlich zugängliche Profilinformationen
• Nutzerkennung beziehungsweise Benutzername
• Inhalte ausgetauschter Nachrichten
• Freiwillig übermittelte Kontaktdaten und berufsbezogene Informationen
• Zeitpunkt und Verlauf der Kommunikation
• Weitere Informationen, die uns im Rahmen der jeweiligen Kontaktaufnahme zur Verfügung gestellt werden

Wir verwenden diese Informationen zur Bearbeitung von Anfragen, zur Vorstellung geeigneter Stellenangebote, zur Abstimmung von Vermittlungsverfahren sowie zur Betreuung interessierter Kandidaten.

Soweit die Kommunikation zur Durchführung unserer Personalvermittlungsleistungen erforderlich ist, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Bei allgemeinen Anfragen kann die Verarbeitung auf Grundlage unseres berechtigten Interesses an der Bearbeitung und Beantwortung von Anfragen gemäß Art. 6 Abs. 1 lit. f DSGVO erfolgen.

Soweit eine werbliche Kontaktaufnahme erfolgt, beachten wir die gesetzlichen Anforderungen und holen erforderliche Einwilligungen gemäß Art. 6 Abs. 1 lit. a DSGVO ein.

Meta verarbeitet personenbezogene Daten im Zusammenhang mit der Nutzung seiner Plattformen auch in eigener Verantwortlichkeit. Dabei können personenbezogene Daten außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums verarbeitet werden.

Weitere Informationen zur Datenverarbeitung durch Meta, zu möglichen Drittlandübermittlungen sowie zu den Rechten betroffener Personen finden sich in der Datenschutzerklärung von Meta: https://www.facebook.com/privacy/policy/

Eine Übernahme personenbezogener Daten aus der Kommunikation in unser Bewerbermanagement- und Kundenbeziehungsmanagementsystem (ATS/CRM) erfolgt nur, soweit hierfür eine geeignete Rechtsgrundlage besteht.

Kandidaten können jederzeit mitteilen, dass sie keine weitere Kontaktaufnahme über Facebook oder Instagram wünschen. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

19. Matching, Profilbewertung und Einsatz von KI

Zur Identifikation geeigneter beruflicher Möglichkeiten können wir personenbezogene Kandidatendaten anhand berufsbezogener Kriterien auswerten.

Hierzu gehören insbesondere Qualifikation, Berufserfahrung, Arbeitsort, Gehaltsvorstellungen und fachliche Kenntnisse.

Die Auswertung dient dazu, die Übereinstimmung zwischen Kandidatenprofilen und Stellenanforderungen festzustellen.

Dabei unterstützt uns Software mit Funktionen künstlicher Intelligenz (KI). Sie gleicht die Angaben in Kandidatenprofilen mit Stellenanforderungen ab und schlägt unseren Recruitern passende Kandidaten und Stellen vor. Die Vorschläge sind eine Arbeitshilfe. Ob ein Kandidat für eine Stelle vorgeschlagen, einem Unternehmen vorgestellt oder nicht weiter berücksichtigt wird, entscheidet immer ein Mitarbeiter der Heron GmbH nach eigener Prüfung.

Eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, im Sinne von Art. 22 DSGVO findet nicht statt.

Rechtsgrundlage für den Abgleich ist Art. 6 Abs. 1 lit. b DSGVO, soweit er zur Erbringung unserer Vermittlungsleistung erforderlich ist, und für Talentpool-Profile Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Soweit wir hierfür Software externer Anbieter einsetzen, verarbeiten diese die Daten in unserem Auftrag auf Grundlage von Verträgen nach Art. 28 DSGVO und dürfen sie nicht für eigene Zwecke, etwa das Training eigener KI-Modelle, verwenden.

20. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Verarbeitungszwecke erforderlich und gesetzlich zulässig ist.

Dabei unterscheiden wir insbesondere zwischen:

• Daten einzelner Bewerbungsverfahren
• Daten langfristig registrierter Talentpool-Kandidaten
• Kommunikations- und Kontaktdaten
• Vertrags- und Abrechnungsunterlagen
• Daten zur Erfüllung gesetzlicher Pflichten
• Daten zur Geltendmachung oder Verteidigung rechtlicher Ansprüche

Für Kandidatenprofile im freiwilligen Talentpool gilt grundsätzlich die in Abschnitt 11 genannte Speicherdauer. Für Anfragen über unsere Website gilt Abschnitt 7.

Gesetzliche Aufbewahrungspflichten, insbesondere nach Handels- und Steuerrecht, bleiben unberührt. Diese gelten ausschließlich für die jeweils betroffenen Unterlagen und Daten.

Bei rechtlichen Auseinandersetzungen können erforderliche Informationen bis zum Abschluss des Verfahrens und gegebenenfalls darüber hinaus im Rahmen einschlägiger Verjährungsfristen gespeichert werden.

Nach Ablauf der jeweiligen Speicherfrist werden personenbezogene Daten gelöscht oder wirksam anonymisiert, sofern keine weitere Rechtsgrundlage besteht.

21. Empfänger personenbezogener Daten

Personenbezogene Daten können im Rahmen der gesetzlichen Vorschriften insbesondere an folgende Empfängerkategorien übermittelt werden:

• Potenzielle Arbeitgeber im Rahmen konkreter Vermittlungsverfahren
• Technische Dienstleister und Hosting-Anbieter, insbesondere die STRATO GmbH
• Anbieter von Bewerbermanagement- und Kommunikationssystemen
• IT-Dienstleister, einschließlich Anbieter von KI-gestützter Software
• Meta und TikTok im Rahmen von Werbeanzeigen und, soweit Sie eingewilligt haben, der Werbeanalyse
• Werbe- und Marketingdienstleister, soweit rechtlich zulässig
• Rechtsberater und sonstige zur Verschwiegenheit verpflichtete Berater
• Behörden und öffentliche Stellen, soweit eine gesetzliche Verpflichtung besteht

Eine Weitergabe erfolgt nur, soweit eine geeignete Rechtsgrundlage besteht.

22. Übermittlung in Drittländer

Bei der Nutzung bestimmter technischer Dienstleister kann eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums stattfinden.

Soweit eine solche Übermittlung erfolgt, beachten wir die Voraussetzungen der Art. 44 ff. DSGVO.

Konkret betrifft das folgende Anbieter:

• Meta Platforms Ireland Limited (Facebook, Instagram, Meta Pixel, Conversions API) und WhatsApp Ireland Limited: Übermittlung an die Meta Platforms, Inc. in den USA. Grundlage ist der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Meta zertifiziert ist.
• TikTok Technology Limited (TikTok Ads, TikTok Pixel): Übermittlung unter anderem in die USA, nach Singapur und nach China. Grundlage sind Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Wir weisen darauf hin, dass in diesen Ländern Behörden unter Umständen auf Daten zugreifen können, ohne dass Ihnen dagegen wirksame Rechtsbehelfe zustehen.

Unsere Website selbst wird ausschließlich auf Servern in Deutschland betrieben.

23. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten vor unberechtigtem Zugriff, Verlust, Veränderung oder unzulässiger Offenlegung zu schützen.

Hierzu gehören insbesondere angemessene Zugriffsberechtigungen, eine verschlüsselte Übertragung über unsere Website (TLS) und organisatorische Schutzmaßnahmen.

Unsere Sicherheitsmaßnahmen werden entsprechend den technischen Entwicklungen und gesetzlichen Anforderungen überprüft und angepasst.

24. Rechte betroffener Personen

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft über gespeicherte personenbezogene Daten gemäß Art. 15 DSGVO
• Berichtigung unrichtiger Daten gemäß Art. 16 DSGVO
• Löschung gemäß Art. 17 DSGVO
• Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
• Datenübertragbarkeit gemäß Art. 20 DSGVO
• Widerspruch gegen bestimmte Verarbeitungen gemäß Art. 21 DSGVO
• Widerruf erteilter Einwilligungen gemäß Art. 7 Abs. 3 DSGVO
• Rechte im Zusammenhang mit automatisierten Entscheidungen gemäß Art. 22 DSGVO, soweit einschlägig

Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an n.sito@heron-one.de oder an die oben genannte Anschrift.

Widerspruchsrecht nach Art. 21 DSGVO: Verarbeiten wir Ihre Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Werden Ihre Daten zur Direktwerbung verarbeitet, können Sie dem jederzeit ohne Angabe von Gründen widersprechen. Wir verarbeiten sie dann nicht mehr für diesen Zweck.

Betroffene Personen haben außerdem das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren.

Für die Heron GmbH mit Sitz in Düsseldorf ist dies die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf, Telefon 0211 38424-0, E-Mail poststelle@ldi.nrw.de.

25. Hinweis zur geschlechtsneutralen Sprache

Aus Gründen der besseren Lesbarkeit wird in dieser Datenschutzerklärung auf die gleichzeitige Verwendung männlicher, weiblicher und diverser Sprachformen verzichtet. Sämtliche Personenbezeichnungen gelten gleichermaßen für alle Geschlechter. Mit der gewählten Sprachform ist keinerlei Wertung verbunden.

26. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn dies aufgrund gesetzlicher Änderungen, neuer technischer Entwicklungen oder Veränderungen unserer Dienstleistungen erforderlich wird.

Es gilt die jeweils auf unserer Website veröffentlichte Fassung.