Datenschutzerklärung

Verantwortlicher

CVumi, vertreten durch Eric Tchepanou
Erna-Eckstein-Straße 3, 81245 München, Deutschland
E-Mail: privacy@cvumi.com

1. Überblick

CVumi ist eine Desktop-Anwendung, die Ihre ursprünglichen Lebensläufe, Stellenbeschreibungen, Ihr Karriereprofil und erzeugte Dokumente auf Ihrem Gerät speichert. Wir erhalten oder speichern diese ursprünglichen Karrieredokumente nicht. Optionale KI-Funktionen können lokal pseudonymisierten Text direkt an einen von Ihnen gewählten KI-Drittanbieter senden, wie in Abschnitt 3 beschrieben.

Diese Erklärung behandelt der Reihe nach: was die Desktop-App überträgt und was nicht (Abschnitt 2), wie die optionalen KI-Funktionen arbeiten (Abschnitt 3), was wir verarbeiten, wenn Sie die Website nutzen oder eine Lizenz kaufen (Abschnitt 4), wer Daten in welcher Rolle erhält (Abschnitte 5 und 6), wie lange wir Daten aufbewahren (Abschnitt 7) und welche Rechte Sie haben (Abschnitt 8).

2. Die Desktop-App

Die App ist konsequent lokal aufgebaut; ihre Datenflüsse sind kurz genug, um sie vollständig aufzuzählen:

Keine Telemetrie. Die App enthält keine Nutzungsanalyse, kein Crash-Reporting und kein Tracking. Sie funkt nicht nach Hause.
Kein Konto. Es gibt kein CVumi-Konto und keinen Login; Ihr Lizenzschlüssel ist der einzige Berechtigungsnachweis.
Keine Cloud-Speicherung. Ihre Lebensläufe, Anschreiben, Stellenbeschreibungen, Ihr Karriereprofil, Notizen und erzeugte Dokumente werden ausschließlich auf Ihrem Gerät gespeichert. Ihr Foto, falls Sie eines in einen Lebenslauf einfügen, wird lokal eingebettet und von der App nirgendwohin übertragen, auch nicht an Ihren KI-Anbieter.
Genau zwei Netzwerkfunktionen. Die App verbindet sich nur für die Lizenzaktivierung und -deaktivierung (Abschnitt 4, Zeile zur Lizenzaktivierung) und für von Ihnen selbst gestartete KI-Anfragen (Abschnitt 3) mit dem Internet. Sonst verlässt nichts Ihr Gerät.
Diese Erklärung in der App. Die jeweils aktuelle Fassung dieser Datenschutzerklärung ist aus der App heraus verlinkt.

3. Optionale KI-Funktionen und lokale Pseudonymisierung

KI-Funktionen sind optional. Wenn Sie eine solche Funktion aktivieren, ersetzt die Software erkannte Namen, Kontaktdaten und ausgewählte karrierebezogene Kennungen lokal durch Platzhalter, bevor der erforderliche Text direkt an den von Ihnen gewählten KI-Drittanbieter und das ausgewählte Modell gesendet wird. Die Zuordnungstabelle bleibt auf Ihrem Gerät und wird dort verwendet, um die Angaben nach Eingang der Antwort wieder einzusetzen.

Bei diesem Verfahren handelt es sich um Pseudonymisierung (im Produkt als „Identitätsbereinigung“ bezeichnet), nicht um garantierte Anonymisierung. Die automatische Erkennung kann Kennungen übersehen, wenn sie mehrfach vorkommen, unerwartet formatiert, in Freitext enthalten oder nur aus dem Kontext ableitbar sind. Ein Anbieter kann eine Person möglicherweise auch durch die Kombination des bereinigten Textes mit anderen Informationen ableiten oder erneut identifizieren. Der übermittelte Text kann daher weiterhin personenbezogene Daten enthalten.

Der von Ihnen gewählte KI-Anbieter verarbeitet den übermittelten Text nach seinen eigenen Bedingungen und seiner Datenschutzerklärung und kann Daten außerhalb der EU/des EWR verarbeiten. Sie sind für die Auswahl des Anbieters, die Prüfung seiner Bedingungen und Datenschutzeinstellungen sowie die Entscheidung zur Nutzung einer KI-Funktion verantwortlich. CVumi erhält oder speichert weder Prompt noch Antwort.

4. Daten, die wir auf der Website und beim Kauf verarbeiten

Daten	Zweck	Rechtsgrundlage
Server-Logs (IP-Adresse, aufgerufene URL, Datum und Uhrzeit, Browser- und Geräteinformationen)	Auslieferung der Website und unserer Lizenz- und Formular-Endpunkte, Absicherung, Fehlerdiagnose. Unser Hosting-Anbieter ist Cloudflare (Abschnitt 5)	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): sicherer, zuverlässiger Betrieb der Website
Zahlungs- und Rechnungsdaten	Werden von Lemon Squeezy als Merchant of Record verarbeitet, um den Kauf abzuschließen, Steuern abzuführen und Rechnungen auszustellen. Ihre vollständigen Zahlungsdaten erhalten wir nie	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), durch Lemon Squeezy als eigenen Verantwortlichen
Kauf- und Lizenzdaten, die wir von Lemon Squeezy erhalten (Name, E-Mail-Adresse, Land, gekaufte Edition, Bestell- und Lizenzkennungen, Opt-in-Status für Update-E-Mails)	Auslieferung Ihres Lizenzschlüssels, Support, gesetzlich gebotene Aufzeichnungen. Gespeichert in unserem Content-Backend (Sanity, Auftragsverarbeiter; Abschnitt 5)	Vertragserfüllung (Art. 6 Abs. 1 lit. b); gesetzliche Aufbewahrung (Art. 6 Abs. 1 lit. c)
Daten zur Prüfung des Studierendenpreises (Bestelldaten und die Kauf-E-Mail-Adresse)	Den vergünstigten Studierendenpreis vor Missbrauch schützen. Jede Prüfung nimmt ein Mensch vor	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Schutz des vergünstigten Studierendenpreises vor Missbrauch
Lizenzaktivierungsdaten (Lizenzschlüssel, eine Gerätekennung, Aktivierungszähler)	Werden von der Desktop-App über cvumi.com an Lemon Squeezy gesendet, wenn Sie ein Gerät aktivieren oder deaktivieren, zur Durchsetzung des Limits von 3 Geräten und zur Verhinderung von Schlüsselmissbrauch	Vertragserfüllung (Art. 6 Abs. 1 lit. b)
Supportanfragen (Ihre E-Mail-Adresse, der Inhalt Ihrer Nachricht)	Ihre Anfrage beantworten und Ihr Problem beheben	Vertragserfüllung (Art. 6 Abs. 1 lit. b); im Übrigen berechtigtes Interesse an der Beantwortung
Feedback, Bewertungen, Funktionswünsche (Nachricht, Bewertung, optional Name, optional E-Mail, optional von Ihnen angehängte Screenshots)	Verbesserung des Produkts; Veröffentlichung von Bewertungen auf cvumi.com mit dem Namen, wie Sie ihn angegeben haben. Eine Bewertung setzt einen gültigen Lizenzschlüssel voraus (verifizierter Kauf). Gespeichert in unserem Content-Backend (Sanity), E-Mail-Versand über Resend	Vertragserfüllung (Art. 6 Abs. 1 lit. b) für die von Ihnen gewünschte Veröffentlichung; Einwilligung oder berechtigtes Interesse für Feedback zur Produktverbesserung
Optionale E-Mail für Produktaktualisierungen	Sie über neue Funktionen oder wichtige Aktualisierungen informieren (Double-Opt-in: erst nach Ihrer Bestätigung). Dieselbe Einwilligung umfasst auch eine einmalige Einladung, CVumi zu bewerten, etwa eine Woche nach dem Kauf	Einwilligung (Art. 6 Abs. 1 lit. a); Sie können sich jederzeit abmelden
Website-Nutzungsdaten (besuchte Seiten, Klicks, Gerätetyp, Referrer)	Verstehen, wie die Website genutzt wird, und sie verbessern (PostHog, EU-gehostet). Erhoben nur, wenn Sie Analytik akzeptieren	Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG für das Speichern oder Auslesen von Informationen auf Ihrem Gerät), jederzeit widerrufbar über „Cookie-Einstellungen“ im Footer

Wir als Betreiber von CVumi erfassen weder die Inhalte Ihrer Lebensläufe, Anschreiben, Stellenanzeigen, KI-Prompts oder -Antworten noch die von Ihnen verwendeten API-Schlüssel. Ein von Ihnen gewählter KI-Drittanbieter verarbeitet den pseudonymisierten Text, den Sie beim Aktivieren einer KI-Funktion senden.

Wenn wir eine Bewertung oder Aussage von Ihnen außerhalb der Bewertungsanzeige, für die sie eingereicht wurde, als Testimonial verwenden möchten (etwa in Werbematerial), fragen wir Sie vorher und stützen uns auf Ihre Einwilligung (Art. 6 Abs. 1 lit. a).

5. Empfänger und ihre Rollen

Wir halten die Liste der Empfänger kurz, und jeder hat eine definierte Rolle:

Lemon Squeezy (Merchant of Record): betreibt Checkout, Zahlung, Rechnungsstellung, Steuern, Erstattungen und den Lizenzschlüsseldienst. Für den Kaufvorgang ist Lemon Squeezy eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung; es übermittelt uns die in Abschnitt 4 genannten Bestelldaten.
Cloudflare: Website-Hosting, Auslieferung und die Edge-Funktionen hinter unseren Formularen und Lizenz-Endpunkten. Auftragsverarbeiter für uns.
Sanity: unser Content-Backend; speichert die in Abschnitt 4 beschriebenen Kaufdatensätze, Bewertungen, Feedback und Funktionswünsche einschließlich von Ihnen angehängter Screenshots. Auftragsverarbeiter für uns.
Resend: versendet unsere transaktionalen E-Mails und, bei Opt-in, die Produkt-Update-E-Mails. Auftragsverarbeiter für uns.
PostHog (EU): datenschutzfreundliche Website-Analytik, gehostet in der EU (Frankfurt), aktiv erst nach Ihrer Einwilligung. Auftragsverarbeiter für uns.
Ihr KI-Anbieter: kein Auftragsverarbeiter von uns und nicht von uns ausgewählt. Die App sendet Ihren pseudonymisierten Text auf Ihre Weisung direkt an den von Ihnen konfigurierten Anbieter und das gewählte Modell. Der Anbieter verarbeitet ihn als eigener Verantwortlicher nach seinen eigenen Bedingungen (Abschnitt 3).

Unsere Auftragsverarbeiter handeln nur auf unsere Weisung auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO). Wir verkaufen keine personenbezogenen Daten und nutzen sie nicht für Werbung.

6. Internationale Datenübermittlungen

Soweit ein Empfänger Daten außerhalb der EU/des EWR verarbeitet, stützen wir uns je Empfänger auf einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework, DPF) oder auf Standardvertragsklauseln (SCC):

Cloudflare (Cloudflare, Inc., USA): DPF-zertifiziert; SCC als Rückfallebene im Auftragsverarbeitungsvertrag.
PostHog: Die Analytikdaten werden in der EU (Frankfurt) gehostet. Die US-Muttergesellschaft (PostHog Inc.) ist für etwaige Restzugriffe DPF-zertifiziert.
Sanity (Sanity AS, Norwegen/EWR): Unser Datensatz wird in der EU gehostet; soweit Sanity-Unterauftragsverarbeiter in den USA beteiligt sind, gelten DPF oder SCC.
Resend (USA): SCC auf Grundlage des Auftragsverarbeitungsvertrags.
Lemon Squeezy (USA): eigenständiger Verantwortlicher; sichert seine Übermittlungen nach seiner eigenen Datenschutzerklärung ab (DPF oder SCC).
Ihr KI-Anbieter: hängt vollständig von Ihrer Wahl ab und kann außerhalb der EU/des EWR liegen; es gelten die eigenen Bedingungen des Anbieters (Abschnitt 3).

7. Speicherdauer

Kauf- und Rechnungsunterlagen: Aufbewahrung für die gesetzlichen handels- und steuerrechtlichen Fristen (bis zu 10 Jahre ab Ende des Kalenderjahres, § 147 AO, § 257 HGB).
Lizenz- und Käuferdatensatz: solange Ihre Lizenz aktiviert werden kann (sie ist unbefristet), damit wir Schlüssel validieren und Support leisten können; auf Wunsch gelöscht oder anonymisiert, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.
Server-Logs: automatische Löschung nach spätestens 30 Tagen, sofern nicht ein konkreter Vorfall eine längere Auswertung erfordert.
Produkt-Update-E-Mails: bis zu Ihrer Abmeldung; den Nachweis Ihres Opt-ins bewahren wir auf, solange wir Ihnen E-Mails senden, und bis zu 3 Jahre danach (Verjährungsfristen).
Bewertungseinladung: die Planungsdaten der einmaligen Einladung werden gelöscht, sobald die Einladung versandt oder verworfen wurde.
Bewertungen: angezeigt, solange das Produkt angeboten wird; auf Ihren Löschwunsch entfernt.
Feedback, Funktionswünsche, Screenshots: aufbewahrt, solange sie für die Produktentwicklung relevant sind, höchstens 24 Monate, danach gelöscht.
Analytikdaten (PostHog): in Rohform höchstens 12 Monate; Ihre Einwilligungsentscheidung wird 12 Monate in Ihrem Browser gespeichert.

8. Ihre Rechte (DSGVO)

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht auf Widerspruch und das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. Um Ihre Rechte auszuüben, kontaktieren Sie uns unter privacy@cvumi.com.

Soweit eine Verarbeitung auf berechtigtem Interesse beruht (Art. 6 Abs. 1 lit. f), können Sie ihr jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO); wir stellen die Verarbeitung dann ein, sofern nicht zwingende schutzwürdige Gründe überwiegen. Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Die für uns zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland, www.lda.bayern.de. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts wenden.

9. Einwilligung, Cookies und Analytik

Die Website funktioniert standardmäßig ohne Analytik. Die Analytik (PostHog, EU-gehostet) startet erst, wenn Sie sie im Einwilligungsbanner aktiv akzeptieren; Ablehnen ist so einfach wie Akzeptieren, und die Site wertet Global-Privacy-Control- und Do-Not-Track-Signale als „Nein“. Ihre Entscheidung können Sie jederzeit über „Cookie-Einstellungen“ im Footer ändern; mit dem Widerruf endet die Analytikerfassung ab diesem Moment. Rechtsgrundlage für das Speichern oder Auslesen von Informationen auf Ihrem Gerät ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG), für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO.

10. Keine automatisierten Einzelentscheidungen, kein Modelltraining

Wir treffen keine Entscheidungen über Sie, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Wirkung entfalten (Art. 22 DSGVO). Insbesondere nimmt jede Prüfung im Zusammenhang mit dem Studierendenpreis (Abschnitt 4) ein Mensch vor. Wir trainieren keine KI-Modelle mit Ihren Daten und haben keinen Zugriff auf die Inhalte, die Sie in der App verarbeiten.

11. Daten löschen und exportieren

Die Daten auf Ihrem Gerät exportieren, sichern oder löschen Sie direkt selbst: Sie laufen nie über uns. Für die geringe Menge serverseitiger Daten aus Abschnitt 4 genügt eine E-Mail an privacy@cvumi.com: Wir löschen sie oder händigen sie in einem übertragbaren Format aus, außer soweit gesetzliche Aufbewahrungspflichten (Abschnitt 7) entgegenstehen. Für Rechnungsdaten bei Lemon Squeezy gelten dessen eigene Aufbewahrungspflichten; wir nennen Ihnen gern den richtigen Ansprechpartner.

12. Änderungen

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, etwa wenn sich die Rechtslage, unsere Werkzeuge oder das Produkt ändern. Die jeweils aktuelle Fassung ist stets auf unserer Website verfügbar und aus der App verlinkt; das Datum („Stand“) zeigt Ihnen die letzte Änderung.

13. Kontakt

CVumi, vertreten durch Eric Tchepanou
Erna-Eckstein-Straße 3, 81245 München, Deutschland
E-Mail: privacy@cvumi.com