Stand: November 2026
1. Verantwortlicher im Sinne der DSGVO
Verantwortlich für die Datenverarbeitung auf dieser Website ist:
HR Firefighters
Jeremy Rizer
Hessenstr. 43
86916 Kaufering
Telefon: +49 160 5994595
E-Mail: legal@hr-firefighters.de
2. Allgemeines zur Datenverarbeitung
Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a, b, c oder f DSGVO.
Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
3. Bereitstellung der Website und Server-Logfiles
Bei jedem Aufruf der Website erfasst unser Hosting-Provider technische Informationen (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browsertyp, Referrer). Diese Daten dienen der technischen Bereitstellung und Sicherheit und werden nach kurzer Zeit gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
4. Cookies
Wir verwenden Cookies und vergleichbare Technologien (z. B. localStorage), um unsere Website betreiben und verbessern zu können. Cookies sind kleine Textdateien, die im Browser gespeichert werden. Deine Einwilligung zu nicht technisch notwendigen Cookies erteilst Du über unser Cookie-Banner. Du kannst Deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Du die im Browser gespeicherten Cookies löschst.
4.1 Übersicht der eingesetzten Cookies / Speichereinträge
| Name | Anbieter | Zweck | Speicherdauer | Kategorie |
|---|---|---|---|---|
| hrff-cookie-consent | HR Firefighters (localStorage) | Speichert Deine Auswahl im Cookie-Banner (Einwilligung oder Ablehnung). | bis zum manuellen Löschen | Essenziell |
| Session-Cookie (Hosting) | Hosting-Provider | Sicherstellung der technischen Funktion der Website. | Sitzung | Essenziell |
| sb-…-auth-token | HR Firefighters / Supabase (localStorage) | Hält Dich nach der Anmeldung auf der HR-Projektbörse angemeldet. | bis zur Abmeldung | Essenziell |
| zcal_* | zcal.co (siehe Abschnitt 6) | Wird beim Aufruf der eingebetteten Terminbuchung gesetzt; dient der Sitzungsverwaltung und Funktionalität der Buchungsoberfläche. | Sitzung / bis zu 12 Monate | Funktional (Drittanbieter) |
Rechtsgrundlage: § 25 Abs. 2 TDDDG (für technisch notwendige Cookies) bzw. § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
5. Kontaktformular und Kontaktaufnahme per E-Mail
Wenn Du uns über das Kontaktformular oder per E-Mail kontaktierst, werden die von Dir mitgeteilten Daten (Name, E-Mail-Adresse, Unternehmen, Nachricht) zum Zwecke der Bearbeitung der Anfrage verarbeitet. Die Verarbeitung erfolgt auf Basis Deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).
Deine Anfrage wird in unserer Anfrageverwaltung gespeichert. Entsteht aus Deiner Anfrage kein Auftrag, löschen wir die Daten automatisch nach 6 Monaten. Entsteht ein Auftrag, bewahren wir sie im Rahmen der gesetzlichen Aufbewahrungspflichten auf. Einzelheiten zu den Empfängern und zur Speicherdauer findest Du in Abschnitt 5a.
5a. Anfrageformular auf /start und Kontaktformular
Wenn Du uns über das Anfrageformular auf /start oder über das Kontaktformular kontaktierst, verarbeiten wir die Angaben, die Du dort machst. Das sind je nach Formular Anliegen, Dringlichkeit, Unternehmensgröße, Name, Unternehmen, E-Mail-Adresse, optional Telefonnummer und Nachricht sowie die gewünschte Art der Kontaktaufnahme. Zusätzlich speichern wir den Zeitpunkt Deiner Einwilligung, die Seite, von der Du kamst, und gegebenenfalls Kampagnenparameter aus dem aufgerufenen Link (UTM-Parameter). Diese Daten nutzen wir, um Deine Anfrage zu bearbeiten und Kontakt zu Dir aufzunehmen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) sowie Deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst Deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an legal@hr-firefighters.de.
Empfänger: Hauptauftragsverarbeiter ist die Lovable Labs Incorporated, 1111b South Governors Avenue, Dover, DE 19904, USA (Betrieb von Website, Datenbank und E-Mail-Versand). EU-Kontakt und Datenschutzbeauftragter: Lovable Labs AB, Box 190, 101 23 Stockholm, Schweden, dpo@lovable.dev. Grundlage ist der Auftragsverarbeitungsvertrag (DPA) mit Lovable; die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Für diese Leistungen setzt Lovable Unterauftragsverarbeiter ein, insbesondere Supabase Inc. (Datenbank), Cloudflare, Inc. (Auslieferung der Website), jeweils USA. Der E-Mail-Versand erfolgt über den verwalteten E-Mail-Versand von Lovable. Die verifizierte Versanddomain ist notify.hrff.eu; die sichtbare Absenderadresse ist noreply@hrff.eu. Die aktuelle Liste der Unterauftragsverarbeiter findest Du unter https://trust.lovable.dev. Nach dem Absenden erhältst Du eine Bestätigung per E-Mail und wir eine interne Benachrichtigung.
Dabei können Daten in die USA übermittelt werden. Grundlage dafür ist das EU-US Data Privacy Framework, soweit der jeweilige Anbieter danach zertifiziert ist, andernfalls Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO.
Speicherdauer: Anfragen, aus denen kein Auftrag entsteht, werden automatisch nach 6 Monaten gelöscht. Entsteht aus Deiner Anfrage ein Auftrag, bewahren wir die Daten im Rahmen der gesetzlichen Aufbewahrungsfristen auf.
5b. Aktionen (Nikolaus- und Weihnachts-Special)
Wenn Du an einer unserer Aktionen teilnimmst, verarbeiten wir Deine Angaben, um Deine Anfrage zu bearbeiten und Deine Aktionsberechtigung zu prüfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Anfragen, aus denen kein Auftrag entsteht, löschen wir spätestens 6 Monate nach Aktionsende automatisch. Entsteht ein Auftrag, bewahren wir die Daten im Rahmen der gesetzlichen Aufbewahrungspflichten auf. Eine Weitergabe an Dritte erfolgt nicht; es gelten die in Abschnitt 5a genannten Auftragsverarbeiter.
5c. HR-Projektbörse (/plattform)
Zweck und Daten: Wenn Du Dich auf unserer HR-Projektbörse registrierst und sie nutzt, verarbeiten wir die Daten, die für die Plattform erforderlich sind oder die Du dort freiwillig angibst:
- Konto: Name, E-Mail-Adresse, verschlüsseltes Passwort, Rolle (Unternehmen oder HR-Expert:in), Nachweis Deiner Bestätigungen (Nutzungsbedingungen, Datenschutzhinweise, Unternehmereigenschaft) mit Version und Zeitpunkt.
- Profil von Expert:innen: Foto, Name, Titel, Kurzprofil, Fachgebiete, Skills, Branchenerfahrung, Referenzen, Qualifikationen, Sprachen, Verfügbarkeit, Einsatzort und -radius, Stunden- oder Tagessatz sowie Lebenslauf.
- Firmenprofil von Unternehmen: Firmenname, Branche, Ort und Ansprechpartner:in.
- Projekte, Interessenbekundungen und Merklisten.
- Nachrichten einschließlich Anhängen, Gelesen-Status sowie Online-Status und Zeitpunkt der letzten Aktivität.
- Vertragsdaten und -dokumente, erfasste Stunden, Freigaben und Ablehnungen.
- Meldungen von Inhalten und Moderationsentscheidungen.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags und Anbahnung bzw. Durchführung von Einsätzen); Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten sowie Pflichten nach dem Digital Services Act); Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren Betrieb, an der Verhinderung von Missbrauch und an der Einhaltung des Verbots der Arbeitnehmerüberlassung). Die Angabe eines Fotos ist freiwillig. Bitte gib in Profil und Lebenslauf keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO an, etwa Gesundheitsdaten, Religion oder Gewerkschaftszugehörigkeit.
Sichtbarkeit und Empfänger: Profile von Expert:innen einschließlich Name, Foto und Lebenslauf sind nach unserer Freigabe für angemeldete Unternehmen sichtbar. Veröffentlichte Projekte sind für angemeldete Nutzer:innen sichtbar. Nachrichten sehen nur die Beteiligten der Unterhaltung; wir sehen sie nur ein, soweit dies zur Bearbeitung einer Meldung, zur Aufklärung von Missbrauch oder auf Wunsch der Beteiligten erforderlich ist. Vertragsdaten und Stunden sehen nur die am Einsatz beteiligte Kundin, die Expert:in und wir. Unternehmen, die Daten von Expert:innen erhalten, verarbeiten diese als eigene Verantwortliche. Technische Dienstleister sind die in Abschnitt 5a genannten Auftragsverarbeiter (Lovable und deren Unterauftragsverarbeiter); es gelten die dort beschriebenen Garantien für Übermittlungen in die USA.
Match-Ampel und automatische Prüfung: Die Match-Ampel berechnet regelbasiert, wie gut Angaben in Projekt und Profil übereinstimmen. Sie dient der Sortierung und Orientierung; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Projekttexte prüfen wir vor der Veröffentlichung automatisch auf Begriffe, die auf Arbeitnehmerüberlassung hindeuten; Sperrungen und Freigaben entscheidet eine Person.
E-Mail-Benachrichtigungen: Wir senden Dir E-Mails, die für die Nutzung erforderlich sind, z. B. zur Bestätigung Deiner Adresse, zur Freigabe Deines Profils, zu Stundenfreigaben und – wenn Du offline bist – zu neuen Nachrichten (gebündelt). Über den Abmeldelink in diesen E-Mails kannst Du die Benachrichtigungen abbestellen; dann erhältst Du keine E-Mails der Plattform mehr.
KI-gestützte Formulierungs- und Ausfüllhilfen: Auf Wunsch kannst Du Projektbeschreibungen, Anschreiben und Profilangaben mit einer KI-Hilfe vorbereiten lassen. Dazu übermitteln wir die von Dir eingegebenen Stichpunkte, die für den Vorschlag nötigen Projekt- oder Profilangaben und – nur nach Deiner ausdrücklichen Zustimmung – den Text eines von Dir hochgeladenen Dokuments. Kontaktdaten, Anschriften, Geburtsdaten, Links und Fotos entfernen wir vor der Übermittlung automatisch. Die Verarbeitung erfolgt über unseren Auftragsverarbeiter Lovable Labs Incorporated, Dover (Delaware, USA), der hierfür das KI-Modell GPT-6 Astra (openai/gpt-6-astra) des Anbieters OpenAI nutzt. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Nach Angaben unseres Dienstleisters handelt es sich um ein Modell ohne Speicherung der Anfragen beim Modellanbieter (Zero Data Retention); Deine Daten werden vertraglich nicht zum Training von KI-Modellen verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für hochgeladene Dokumente zusätzlich Deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Du jederzeit mit Wirkung für die Zukunft widerrufen kannst. Die Nutzung ist freiwillig. Die KI erstellt nur Vorschläge, die Du prüfst und selbst übernimmst; sie bewertet, sortiert oder filtert keine Personen, und es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt. Die Match-Ampel ist regelbasiert und nutzt keine KI.
KI-Credits und Zahlungsabwicklung: Für den Kauf von KI-Creditpaketen verarbeiten wir Firmenname, Rechnungsanschrift, E-Mail-Adresse, USt-IdNr., Paket, Preis, Zahlungsstatus, Creditbewegungen und Rechnungsdaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Kauf und Abrechnung sowie Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Aufbewahrungspflichten. Für den einmaligen Gratis-Credit speichern wir eine abgeleitete Kennung Deiner Firmendomain zur Verhinderung von Mehrfachbezug, auch nach Kontolöschung. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO.
Zahlung und Rechnungsbereitstellung erfolgen über unser eigenes Stripe-Konto. Für die Datenverarbeitung außerhalb Nord- und Südamerikas nennt Stripe die Stripe Payments Europe, Limited, Irland, als Partei des Datenverarbeitungsvertrags. Stripe verarbeitet Daten je nach Zweck als Auftragsverarbeiter oder in eigener Verantwortung, insbesondere für Zahlungsabwicklung, Betrugsprävention und gesetzliche Pflichten. Karten- und Bankdaten gibst Du direkt bei Stripe ein; wir speichern diese nicht. Stripe kann Daten weltweit, einschließlich in den USA, verarbeiten. Stripe beschreibt hierfür unter anderem Standardvertragsklauseln und das EU-US Data Privacy Framework, soweit anwendbar. Weitere Angaben findest Du in der Stripe-Datenschutzerklärung und im Stripe-Datenverarbeitungsvertrag.
Rechnungs- und Buchungsnachweise für Creditkäufe bewahren wir acht Jahre ab Ende des Kalenderjahres auf. Bei Kontolöschung trennen wir diese Nachweise vom Konto; gesetzlich notwendige Rechnungsangaben bleiben erhalten. Stripe führt eigene gesetzlich erforderliche Aufbewahrung durch. Der Kaufbetrieb ist derzeit auf Tests begrenzt; Pakete bleiben bis zur Preisfreigabe inaktiv.
Speicherdauer: Kontodaten, Profile, Projekte, Merklisten und Nachrichten speichern wir, bis Du Dein Konto löschst. Vertragsdaten, Stundennachweise und abrechnungsrelevante Unterlagen bewahren wir nach den gesetzlichen Fristen auf: Buchungsbelege acht Jahre, Handels- und Geschäftsbriefe sechs Jahre, jeweils ab Ende des Kalenderjahres. Nachweise Deiner Bestätigungen und Moderationsentscheidungen speichern wir bis zum Ablauf der regelmäßigen Verjährungsfrist von drei Jahren nach Ende des Nutzungsvertrags.
Erforderlichkeit: Ohne die als Pflichtangaben gekennzeichneten Daten ist eine Registrierung nicht möglich. Weitere Angaben sind freiwillig; sie verbessern Deine Auffindbarkeit und die Aussagekraft der Match-Ampel.
6. Online-Terminbuchung über zcal
Für die Vereinbarung von Terminen nutzen wir das Tool zcal der zcal Inc. Beim Aufruf der Terminbuchung werden personenbezogene Daten (insbesondere Name, E-Mail-Adresse, gewählter Termin sowie ggf. von Dir freiwillig mitgeteilte Angaben) an zcal übermittelt und dort gespeichert, um die Terminbuchung durchzuführen.
Anbieter: zcal.co. Datenschutzerklärung des Anbieters: https://zcal.co/privacy.
Rechtsgrundlage ist Deine Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO sowie Art. 6 Abs. 1 lit. b DSGVO zur Durchführung vorvertraglicher Maßnahmen. Eine Übermittlung in Drittländer (z. B. USA) kann erfolgen; in diesem Fall stützen wir uns auf Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO. Du kannst Deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
7. Hosting
Diese Website wird von der Lovable Labs Incorporated, 1111b South Governors Avenue, Dover, DE 19904, USA, gehostet (EU-Kontakt und Datenschutzbeauftragter: Lovable Labs AB, Box 190, 101 23 Stockholm, Schweden, dpo@lovable.dev). Lovable verarbeitet die über die Website übermittelten Daten ausschließlich zum Zwecke des Betriebs der Website auf Grundlage des Auftragsverarbeitungsvertrags (DPA) gemäß Art. 28 DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Unterauftragsverarbeiter ist Cloudflare, Inc. (USA), die an der Auslieferung der Website beteiligt ist (siehe auch Abschnitt 5a).
8. Empfänger und Datenweitergabe
Eine Weitergabe Deiner personenbezogenen Daten erfolgt ausschließlich an Auftragsverarbeiter (z. B. Hosting, zcal) sowie an Behörden, soweit eine gesetzliche Pflicht besteht.
Auf der HR-Projektbörse sind Deine Daten zudem für die in Abschnitt 5c genannten Nutzer:innen sichtbar.
9. Deine Rechte
Du hast das Recht:
- auf Auskunft (Art. 15 DSGVO),
- auf Berichtigung (Art. 16 DSGVO),
- auf Löschung (Art. 17 DSGVO),
- auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
- auf Datenübertragbarkeit (Art. 20 DSGVO),
- auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO),
- auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO),
- auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. dem Bayerischen Landesamt für Datenschutzaufsicht (BayLDA).
Zur Ausübung Deiner Rechte genügt eine formlose Mitteilung an legal@hr-firefighters.de.
10. SSL-/TLS-Verschlüsselung
Diese Seite nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung, um die Übertragung vertraulicher Inhalte zu schützen. Eine verschlüsselte Verbindung erkennst Du an „https://" in der Adresszeile Deines Browsers.
11. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen.