Datenschutzhinweise für Kandidatinnen und Kandidaten (Art. 13 und 14 DSGVO)

Diese Hinweise gelten für Kandidatinnen und Kandidaten, die wir im Rahmen der Personalberatung und -vermittlung ansprechen oder die sich bei uns bewerben. Suchen wir im Auftrag eines Unternehmens Kandidatinnen und Kandidaten für dessen eigene Positionen (Recruitment Process Outsourcing), ist dieses Unternehmen Verantwortlicher und wir verarbeiten Ihre Daten als dessen Auftragsverarbeiter. In diesem Fall informieren wir Sie bei der ersten Kontaktaufnahme im Namen dieses Unternehmens.

I. Verantwortliche und Datenschutzbeauftragter

Verantwortlich ist die Gesellschaft, über deren Marke wir Sie ansprechen:

CareerTeam GmbH, Am Sandtorkai 48, 20457 Hamburg, E-Mail: datenschutz@ctg-consulting.com

Die Gesellschaften der CareerTeam Group nutzen eine gemeinsame Recruiting-Plattform und sind für die Verarbeitung im Recruiting gemeinsam verantwortlich (Art. 26 DSGVO, siehe Ziffer XI): CTG Consulting GmbH (mit den Marken Scalable Talent und Findus Finds), CareerTeam GmbH (mit der Marke Benomik), PALTRON GmbH, Numeris Consulting GmbH, Sinceritas GmbH, alphacoders GmbH und Foxio Consulting GmbH, jeweils Am Sandtorkai 48, 20457 Hamburg, sowie CareerTeam Schweiz GmbH, Weinplatz 10, 8001 Zürich.

Datenschutzbeauftragter für alle genannten Gesellschaften:

ARTANA Digital GmbH, Prof. Dr. Christian Rauda, Alstertwiete 3, 20099 Hamburg, Tel. +49 40 537 981 260, E-Mail: data.security.officer@careerteam.de, www.artana.law

II. Zwecke und Rechtsgrundlagen

Wir verarbeiten Ihre Daten, um geeignete Kandidatinnen und Kandidaten – einzeln oder als Team – mit Unternehmen zusammenzubringen, die eine Position besetzen möchten.

• Direktansprache ohne vorherige Bewerbung, einschließlich der Beobachtung beruflicher Veränderungen (Ziffer IV): Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Kandidatinnen und Kandidaten individuell und zu einem passenden Zeitpunkt anzusprechen, ihnen passende Positionen anzubieten und Stellen unserer Kunden zu besetzen.

• Bewerbung und laufender Vermittlungsprozess: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen und Durchführung des Vermittlungsverhältnisses).

• Aufnahme in die Kandidatendatenbank der Unternehmensgruppe über den konkreten Prozess hinaus sowie freiwillig mitgeteilte besondere Kategorien personenbezogener Daten (z. B. Angaben zu einer Schwerbehinderung): Ihre Einwilligung, Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

• Aufzeichnung und Transkription von Video-Interviews: nur mit Ihrer Einwilligung, Art. 6 Abs. 1 lit. a DSGVO (siehe Ziffer VII).

• Kontaktaufnahme per WhatsApp: nur mit Ihrer ausdrücklichen Einwilligung, Art. 6 Abs. 1 lit. a DSGVO (siehe Ziffer VI).

• Nutzungsanalyse und Funktionssteuerung in unserem Kandidatenportal: nur mit Ihrer Einwilligung, § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO (siehe Ziffer VII).

III. Kategorien personenbezogener Daten

Name; Profil-Link (z. B. LinkedIn, XING); Profilfoto aus Ihren öffentlichen beruflichen Profilen; aktuelle und frühere Positionen und Arbeitgeber; beruflicher Werdegang; Fähigkeiten, Qualifikationen und Sprachen; Standort; dienstliche und – soweit Sie sie uns mitteilen – private Kontaktdaten; vom Anbieter Coresignal geschätzte Gehaltsspannen; Informationen über berufliche Veränderungen (z. B. Arbeitgeberwechsel); Suchbegriffe (Skill-Tags), über die wir Sie gefunden haben; Status und Verlauf unserer Kontakte (z. B. angesprochen, Rückmeldung, Interesse, Interview); Inhalte unserer Nachrichten mit Ihnen (LinkedIn, XING, E-Mail, WhatsApp); Gesprächsnotizen sowie – mit Ihrer Einwilligung – Aufzeichnungen und Transkripte von Video-Interviews; von Ihnen übermittelte Unterlagen (z. B. Lebenslauf, Zeugnisse); die von uns erstellte Einschätzung der Passung (Ziffer V); Ihre Einwilligungen und Widersprüche.

IV. Herkunft der Daten

Soweit wir die Daten nicht bei Ihnen selbst erheben, stammen sie aus folgenden Quellen:

• öffentlich zugängliche berufliche Profile in Karrierenetzwerken, insbesondere LinkedIn und XING, einschließlich Profilfotos, sowie weitere öffentlich zugängliche Fachplattformen und Websites (z. B. GitHub, Stack Overflow, persönliche Websites);

• Suchergebnisse und Nachrichtenverläufe aus XING TalentManager, die unsere Recruiterinnen und Recruiter über eine Browser-Erweiterung unserer Recruiting-Plattform übernehmen;

• XING-Profile, die wir über den Dienstleister Bright Data (Bright Data Ltd., Israel) abrufen;

• lizenzierte, aus öffentlich zugänglichen beruflichen Profilen zusammengestellte Profildaten des Anbieters Coresignal (Coresignal UAB, Vilnius, Litauen), einschließlich Profilfotos und daraus abgeleiteter Gehaltsschätzungen. Coresignal informiert uns außerdem über berufliche Veränderungen (z. B. Arbeitgeberwechsel) von Personen in unserer Kandidatendatenbank;

• bei Ärztinnen und Ärzten (Marke Sinceritas): kommerziell erworbene Verzeichnisse von Krankenhäusern und Kliniken mit dienstlichen Kontaktdaten.

Wir informieren Sie spätestens bei der ersten Kontaktaufnahme über diese Verarbeitung. Der Beobachtung beruflicher Veränderungen können Sie jederzeit widersprechen.

V. KI-gestützte Verarbeitung

Wir setzen KI-Sprachmodelle ein, um Lebensläufe und Profile auszuwerten und zusammenzufassen, Profildaten mit den Anforderungen einer Position abzugleichen, Interview-Transkripte zusammenzufassen und unsere Kandidatendatenbank zu durchsuchen. Dabei nutzen wir Google Vertex AI (Gemini-Modelle) ausschließlich in EU-Regionen. Beim Abgleich mit einer Position erstellt das System eine Einschätzung der Passung (Punktwert und Begründung). Dies ist ein Profiling im Sinne von Art. 4 Nr. 4 DSGVO.

Unsere Recruiterinnen und Recruiter können außerdem über eine geschützte Schnittstelle unserer Plattform den KI-Assistenten Claude (Anthropic) in Firmenkonten nutzen, etwa um Kandidatenprofile zusammenzufassen. Anthropic verarbeitet die Daten als Auftragsverarbeiter und speichert sie in den USA (siehe Ziffer IX).

Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt: Ob Sie angesprochen oder einem Kunden vorgestellt werden, entscheidet immer eine Recruiterin oder ein Recruiter. Die Modelle werden nicht mit Ihren Daten trainiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO bzw. bei einer Bewerbung Art. 6 Abs. 1 lit. b DSGVO. Sie können dieser Verarbeitung jederzeit widersprechen und eine Erläuterung der Einschätzung verlangen.

VI. Kontaktaufnahme

• LinkedIn: Nachrichten über die Konten unserer Recruiterinnen und Recruiter. Die technische Anbindung erfolgt über Unipile (Unipile SAS, Frankreich), das hierfür die Zugangsdaten der Recruiter-Konten sowie ein- und ausgehende Nachrichten verarbeitet.

• XING: Nachrichten über XING TalentManager.

• E-Mail: kurze, berufsbezogene Erstansprache, Art. 6 Abs. 1 lit. f DSGVO. Wir versenden E-Mails im Namen der jeweiligen Marke über den Dienst Mailjet (Verarbeitung in der EU). Jede E-Mail enthält einen Hinweis auf Ihr Widerspruchsrecht und eine Abmeldemöglichkeit.

• Telefon: kurze, berufsbezogene Erstansprache, Art. 6 Abs. 1 lit. f DSGVO.

• WhatsApp: ausschließlich nach Ihrer vorherigen ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir protokollieren. Die technische Anbindung erfolgt über Unipile. Anbieter von WhatsApp ist die Meta Platforms Ireland Ltd., Dublin, Irland. Dabei kann eine Übermittlung in die USA erfolgen; die Meta Platforms, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Sie können Ihre Einwilligung jederzeit widerrufen, z. B. mit einer Nachricht „STOP“.

Sie können jeder Kontaktaufnahme jederzeit widersprechen – formlos per E-Mail an datenschutz@ctg-consulting.com, als Antwort auf unsere Nachricht oder über den Abmeldelink in unseren Nachrichten und im Kandidatenportal.

VII. Kandidatenportal und Video-Interviews

Wenn wir Sie ansprechen, erhalten Sie einen persönlichen Link zu unserem Kandidatenportal; Anmeldelinks versenden wir per E-Mail über den Dienst Mailgun (EU-Region). Im Portal können Sie Informationen zur Position abrufen, Unterlagen hochladen, Termine buchen (über die Terminbuchung von Google Workspace) und uns Nachrichten senden. Ihre Einwilligungen und Widersprüche protokollieren wir zum Nachweis (Art. 7 Abs. 1 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für freiwillige Angaben Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Nur wenn Sie im Portal einwilligen, werten wir dessen Nutzung mit Amplitude aus und steuern Funktionen mit Reflag. Beide Dienste erhalten dabei nur pseudonyme Kennungen, keine Namen; die Daten werden in der EU verarbeitet. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie im Portal jederzeit widerrufen können.

Video-Interviews führen wir über Google Meet. Nur wenn Sie zu Beginn des Gesprächs mündlich einwilligen, zeichnen wir das Gespräch auf und lassen es transkribieren, um die Inhalte zu dokumentieren und zusammenzufassen; Ihre Einwilligung dokumentieren wir. Die Aufzeichnung löschen wir nach Erstellung des Transkripts, spätestens nach 30 Tagen; das Transkript speichern wir mit den übrigen Prozessdaten (Ziffer X).

VIII. Empfänger

• Intern: jeweils nur die Mitarbeiterinnen und Mitarbeiter der zuständigen Gesellschaft, die die jeweilige Position betreuen. Innerhalb der gemeinsamen Plattform sind die Daten markenbezogen getrennt.

• Kunden: potenzielle Arbeitgeber erhalten Ihre Daten erst, nachdem Sie der Weitergabe zugestimmt haben.

• Dienstleister (Auftragsverarbeiter nach Art. 28 DSGVO):

– Google Cloud EMEA Ltd., Dublin, Irland – Betrieb unserer Recruiting-Plattform (Region Belgien, europe-west1), KI-Dienst Vertex AI (EU-Regionen), Google Maps Platform (nur Ortsangaben zur Berechnung von Entfernungen), Google Workspace (E-Mail, Kalender und Terminbuchung, Dokumente, Videokonferenzen mit Google Meet einschließlich Aufzeichnung und Transkription);

– Elasticsearch B.V., Amsterdam, Niederlande (Elastic Cloud) – Suchfunktion der Recruiting-Plattform, Region Belgien;

– Mailjet SAS, Paris, Frankreich (Sinch Mailjet) – Versand von E-Mails, Verarbeitung in der EU;

– Mailgun Technologies, Inc., USA (Sinch Mailgun) – Versand von Anmeldelinks und Empfang von E-Mail-Antworten, EU-Region;

– Unipile SAS, Frankreich – Anbindung von LinkedIn und WhatsApp;

– Bright Data Ltd., Israel – Abruf von XING-Profilen;

– Anthropic, PBC, San Francisco, USA – KI-Assistent Claude in Firmenkonten, Speicherung in den USA;

– Amplitude, Inc., USA – Nutzungsanalyse in unseren Portalen (nur mit Einwilligung), EU-Rechenzentrum;

– Functional Software, Inc. (Sentry), USA – Fehleranalyse unserer Anwendungen, Verarbeitung in der EU;

– Bucket ApS (Reflag), Kopenhagen, Dänemark – Funktionssteuerung in unseren Portalen (nur mit Einwilligung, pseudonyme Kennungen), Verarbeitung in der EU;

– Supabase, Inc., USA – Datenbank interner Recruiting-Werkzeuge, gehostet in Frankfurt am Main;

– Vercel Inc., USA – Hosting interner Recruiting-Werkzeuge, Region Frankfurt am Main;

– Hetzner Online GmbH, Gunzenhausen – Server für unsere Workflow-Automatisierung, Standort Deutschland;

– Pipedrive OÜ, Tallinn, Estland – Kundenbeziehungsmanagement;

– nur Marke Sinceritas: eRecruiter GmbH – Bewerbermanagementsystem.

IX. Übermittlung in Drittländer

Unsere Recruiting-Plattform und unsere Dienstleister speichern und verarbeiten Ihre Daten grundsätzlich in der EU. Eine Übermittlung außerhalb der EU/des EWR erfolgt nur, wenn ein Angemessenheitsbeschluss der EU-Kommission besteht (z. B. für Israel, die Schweiz oder für nach dem EU-U.S. Data Privacy Framework zertifizierte US-Unternehmen) oder geeignete Garantien vorliegen, insbesondere EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Das betrifft:

• den KI-Assistenten Claude (Anthropic, PBC, USA): Speicherung in den USA auf Grundlage von EU-Standardvertragsklauseln;

• den Abruf von XING-Profilen über Bright Data in Israel (Angemessenheitsbeschluss);

• WhatsApp (Meta, EU-U.S. Data Privacy Framework);

• Support- und Wartungszugriffe der US-Gesellschaften einzelner Dienstleister (Google, Mailgun, Amplitude, Sentry, Supabase, Vercel) auf in der EU gespeicherte Daten (EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln).

Stellen wir Sie einem Kunden außerhalb der EU vor, informieren wir Sie vorher über den Empfänger und das Land.

X. Speicherdauer

Wir löschen Ihre Daten, wenn die Zusammenarbeit im Recruiting-Prozess seit mehr als sechs Monaten beendet ist, keine Einwilligung zur weiteren Speicherung vorliegt und kein berechtigtes Interesse an der Speicherung besteht. Ein solches berechtigtes Interesse besteht

• für Daten, die Sie in Karrierenetzwerken veröffentlicht haben (z. B. Name, Profil-Link, Position, Arbeitgeber), die Suchbegriffe, über die wir Sie gefunden haben, und den Status unserer Kontakte, solange Ihr Profil öffentlich zugänglich ist;

• für die Daten, die wir zum Nachweis einer Vermittlung gegenüber unseren Kunden benötigen, bis zum Ablauf der Verjährungsfrist von drei Jahren.

Haben Sie in die Verarbeitung besonderer Kategorien personenbezogener Daten eingewilligt und widerrufen Sie diese Einwilligung, löschen wir diese Daten unverzüglich, soweit keine gesetzliche Pflicht entgegensteht. Aufzeichnungen von Video-Interviews löschen wir wie in Ziffer VII beschrieben; Transkripte, Profilfotos und Gehaltsschätzungen löschen wir zusammen mit den übrigen Profildaten.

XI. Gemeinsame Verantwortlichkeit (Art. 26 DSGVO) – wesentlicher Inhalt der Vereinbarung

• Die unter Ziffer I genannten Gesellschaften legen die Zwecke und Mittel der Verarbeitung im Recruiting und bei der Kundengewinnung gemeinsam fest und nutzen eine gemeinsame Recruiting-Plattform.

• Jede Gesellschaft stellt die Informationen nach Art. 13 und 14 DSGVO bereit und gewährleistet die Rechtmäßigkeit ihrer Verarbeitung.

• Sie können Ihre Rechte gegenüber jeder der beteiligten Gesellschaften geltend machen; die Gesellschaften leiten Ihr Anliegen untereinander weiter.

• Verletzungen des Schutzes personenbezogener Daten meldet die Gesellschaft, in deren Bereich die Verletzung entstanden ist, im Zweifel die CTG Consulting GmbH.

XII. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf erteilter Einwilligungen (Art. 7 Abs. 3). Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten – insbesondere für die Direktansprache, die Beobachtung beruflicher Veränderungen und die KI-gestützte Verarbeitung –, können Sie dieser Verarbeitung jederzeit widersprechen. Wir verarbeiten Ihre Daten dann nicht mehr zu diesen Zwecken.

Weitere Einzelheiten finden Sie in der Datenschutzerklärung der jeweiligen Gesellschaft: CTG Consulting GmbH – www.ctg-consulting.com/datenschutz; CareerTeam GmbH – www.careerteam.de/datenschutz; CareerTeam Schweiz GmbH – www.careerteam.ch/datenschutz; PALTRON GmbH – www.paltron.com/privacy-policy; Numeris Consulting GmbH – www.numeris-consulting.de/datenschutz; Sinceritas GmbH – www.sinceritas.com/datenschutz; alphacoders GmbH – www.alphacoders.de/datenschutz; Foxio Consulting GmbH – www.foxio.com/datenschutz.

Stand: Oktober 2026

English version

Privacy information for candidates (Art. 13 and 14 GDPR)

This information applies to candidates whom we approach in the course of recruitment consulting and placement or who apply to us. If we search for candidates on behalf of a company for its own positions (recruitment process outsourcing), that company is the controller and we process your data as its processor. In this case, we inform you on behalf of that company when we first contact you.

I. Controllers and data protection officer

The controller is the company through whose brand we contact you:

CareerTeam GmbH, Am Sandtorkai 48, 20457 Hamburg, Germany, e-mail: datenschutz@ctg-consulting.com

The companies of the CareerTeam Group use a shared recruiting platform and are joint controllers for processing in recruiting (Art. 26 GDPR, see section XI): CTG Consulting GmbH (with the brands Scalable Talent and Findus Finds), CareerTeam GmbH (with the brand Benomik), PALTRON GmbH, Numeris Consulting GmbH, Sinceritas GmbH, alphacoders GmbH and Foxio Consulting GmbH, each at Am Sandtorkai 48, 20457 Hamburg, Germany, and CareerTeam Schweiz GmbH, Weinplatz 10, 8001 Zurich, Switzerland.

Data protection officer for all companies named above:

ARTANA Digital GmbH, Prof. Dr. Christian Rauda, Alstertwiete 3, 20099 Hamburg, Germany, phone +49 40 537 981 260, e-mail: data.security.officer@careerteam.de, www.artana.law

II. Purposes and legal bases

We process your data in order to match suitable candidates – individually or as a team – with companies that want to fill a position.

• Direct approach without a prior application, including the monitoring of career changes (section IV): Art. 6(1)(f) GDPR. Our legitimate interest is to approach candidates individually and at a suitable time, offer them suitable positions and fill our clients' vacancies.

• Application and ongoing placement process: Art. 6(1)(b) GDPR (pre-contractual steps and performance of the placement relationship).

• Inclusion in the group's candidate database beyond the specific process and special categories of personal data you provide voluntarily (e.g. information on a severe disability): your consent, Art. 6(1)(a) and Art. 9(2)(a) GDPR. You can withdraw your consent at any time with effect for the future.

• Recording and transcription of video interviews: only with your consent, Art. 6(1)(a) GDPR (see section VII).

• Contact via WhatsApp: only with your express consent, Art. 6(1)(a) GDPR (see section VI).

• Usage analysis and feature management in our candidate portal: only with your consent, Section 25(1) TDDDG, Art. 6(1)(a) GDPR (see section VII).

III. Categories of personal data

Name; profile link (e.g. LinkedIn, XING); profile photo from your public professional profiles; current and previous positions and employers; career history; skills, qualifications and languages; location; business contact details and – if you provide them – private contact details; salary ranges estimated by the provider Coresignal; information on career changes (e.g. a change of employer); search terms (skill tags) through which we found you; status and history of our contacts (e.g. contacted, response, interest, interview); the content of our messages with you (LinkedIn, XING, e-mail, WhatsApp); notes from conversations and – with your consent – recordings and transcripts of video interviews; documents you send us (e.g. CV, references); the assessment of fit we produce (section V); your consents and objections.

IV. Sources of the data

Where we do not collect the data from you directly, it comes from the following sources:

• publicly accessible professional profiles on career networks, in particular LinkedIn and XING, including profile photos, and other publicly accessible professional platforms and websites (e.g. GitHub, Stack Overflow, personal websites);

• search results and message histories from XING TalentManager that our recruiters transfer via a browser extension of our recruiting platform;

• XING profiles that we retrieve via the service provider Bright Data (Bright Data Ltd., Israel);

• licensed profile data compiled from publicly accessible professional profiles by the provider Coresignal (Coresignal UAB, Vilnius, Lithuania), including profile photos and salary estimates derived from them. Coresignal also informs us about career changes (e.g. a change of employer) of persons in our candidate database;

• for physicians (Sinceritas brand): commercially acquired directories of hospitals and clinics containing business contact details.

We inform you about this processing no later than at our first contact with you. You may object to the monitoring of career changes at any time.

V. AI-assisted processing

We use AI language models to evaluate and summarise CVs and profiles, compare profile data with the requirements of a position, summarise interview transcripts and search our candidate database. For this we use Google Vertex AI (Gemini models) exclusively in EU regions. When comparing a profile with a position, the system produces an assessment of fit (score and reasoning). This constitutes profiling within the meaning of Art. 4(4) GDPR.

Our recruiters can also use the AI assistant Claude (Anthropic) with company accounts via a protected interface of our platform, for example to summarise candidate profiles. Anthropic processes the data as a processor and stores it in the USA (see section IX).

No decision based solely on automated processing within the meaning of Art. 22 GDPR takes place: whether you are contacted or presented to a client is always decided by a recruiter. The models are not trained with your data. The legal basis is Art. 6(1)(f) GDPR or, if you have applied, Art. 6(1)(b) GDPR. You may object to this processing at any time and request an explanation of the assessment.

VI. How we contact you

• LinkedIn: messages via our recruiters' accounts. The technical connection is provided by Unipile (Unipile SAS, France), which processes the login credentials of the recruiter accounts and incoming and outgoing messages for this purpose.

• XING: messages via XING TalentManager.

• E-mail: a brief, job-related first contact, Art. 6(1)(f) GDPR. We send e-mails on behalf of the respective brand via the Mailjet service (processing in the EU). Every e-mail contains a notice of your right to object and an unsubscribe option.

• Telephone: a brief, job-related first contact, Art. 6(1)(f) GDPR.

• WhatsApp: only after your express prior consent (Art. 6(1)(a) GDPR), which we log. The technical connection is provided by Unipile. The provider of WhatsApp is Meta Platforms Ireland Ltd., Dublin, Ireland. Data may be transferred to the USA; Meta Platforms, Inc. is certified under the EU-U.S. Data Privacy Framework. You can withdraw your consent at any time, e.g. by replying "STOP".

You can object to being contacted at any time – informally by e-mail to datenschutz@ctg-consulting.com, by replying to our message or via the unsubscribe link in our messages and in the candidate portal.

VII. Candidate portal and video interviews

When we contact you, you receive a personal link to our candidate portal; we send login links by e-mail via the Mailgun service (EU region). In the portal you can view information on the position, upload documents, book appointments (via Google Workspace appointment scheduling) and send us messages. We log your consents and objections as evidence (Art. 7(1) GDPR). The legal basis is Art. 6(1)(b) GDPR and, for voluntary information, your consent (Art. 6(1)(a) GDPR).

Only if you consent in the portal do we analyse its use with Amplitude and manage features with Reflag. Both services receive only pseudonymous identifiers, no names; the data is processed in the EU. The legal basis is your consent (Section 25(1) TDDDG, Art. 6(1)(a) GDPR), which you can withdraw in the portal at any time.

We conduct video interviews via Google Meet. Only if you consent orally at the beginning of the conversation do we record it and have it transcribed in order to document and summarise its content; we document your consent. We delete the recording once the transcript has been created, at the latest after 30 days; we store the transcript together with the other process data (section X).

VIII. Recipients

• Internal: only the staff of the responsible company who handle the respective position. Within the shared platform, data is separated by brand.

• Clients: potential employers only receive your data after you have agreed to it being passed on.

• Service providers (processors under Art. 28 GDPR):

– Google Cloud EMEA Ltd., Dublin, Ireland – operation of our recruiting platform (region Belgium, europe-west1), AI service Vertex AI (EU regions), Google Maps Platform (location data only, to calculate distances), Google Workspace (e-mail, calendar and appointment scheduling, documents, video conferencing with Google Meet including recording and transcription);

– Elasticsearch B.V., Amsterdam, Netherlands (Elastic Cloud) – search function of the recruiting platform, region Belgium;

– Mailjet SAS, Paris, France (Sinch Mailjet) – sending e-mails, processing in the EU;

– Mailgun Technologies, Inc., USA (Sinch Mailgun) – sending login links and receiving e-mail replies, EU region;

– Unipile SAS, France – connection of LinkedIn and WhatsApp;

– Bright Data Ltd., Israel – retrieval of XING profiles;

– Anthropic, PBC, San Francisco, USA – AI assistant Claude with company accounts, storage in the USA;

– Amplitude, Inc., USA – usage analysis in our portals (only with consent), EU data centre;

– Functional Software, Inc. (Sentry), USA – error analysis of our applications, processing in the EU;

– Bucket ApS (Reflag), Copenhagen, Denmark – feature management in our portals (only with consent, pseudonymous identifiers), processing in the EU;

– Supabase, Inc., USA – database of internal recruiting tools, hosted in Frankfurt am Main;

– Vercel Inc., USA – hosting of internal recruiting tools, region Frankfurt am Main;

– Hetzner Online GmbH, Gunzenhausen, Germany – servers for our workflow automation, located in Germany;

– Pipedrive OÜ, Tallinn, Estonia – customer relationship management;

– Sinceritas brand only: eRecruiter GmbH – applicant management system.

IX. Transfers to third countries

Our recruiting platform and our service providers generally store and process your data in the EU. Transfers outside the EU/EEA only take place where there is an adequacy decision of the European Commission (e.g. for Israel, Switzerland or US companies certified under the EU-U.S. Data Privacy Framework) or where appropriate safeguards exist, in particular EU Standard Contractual Clauses (Art. 46(2)(c) GDPR). This concerns:

• the AI assistant Claude (Anthropic, PBC, USA): storage in the USA on the basis of EU Standard Contractual Clauses;

• the retrieval of XING profiles via Bright Data in Israel (adequacy decision);

• WhatsApp (Meta, EU-U.S. Data Privacy Framework);

• support and maintenance access by the US companies of individual service providers (Google, Mailgun, Amplitude, Sentry, Supabase, Vercel) to data stored in the EU (EU-U.S. Data Privacy Framework or EU Standard Contractual Clauses).

If we present you to a client outside the EU, we will inform you of the recipient and the country beforehand.

X. Retention period

We delete your data once the collaboration in the recruiting process ended more than six months ago, no consent to further storage exists and there is no legitimate interest in storage. Such a legitimate interest exists

• for data you have published on career networks (e.g. name, profile link, position, employer), the search terms through which we found you and the status of our contacts, for as long as your profile is publicly accessible;

• for data we need to prove a placement to our clients, until the three-year limitation period expires.

If you have consented to the processing of special categories of personal data and withdraw this consent, we delete this data without undue delay unless a legal obligation prevents this. We delete recordings of video interviews as described in section VII; we delete transcripts, profile photos and salary estimates together with the other profile data.

XI. Joint controllership (Art. 26 GDPR) – essence of the arrangement

• The companies named in section I jointly determine the purposes and means of processing in recruiting and client acquisition and use a shared recruiting platform.

• Each company provides the information required under Art. 13 and 14 GDPR and ensures the lawfulness of its processing.

• You can exercise your rights against any of the companies involved; the companies forward your request to one another.

• Personal data breaches are notified by the company in whose sphere the breach occurred, or by CTG Consulting GmbH if this is unclear.

XII. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to withdraw consent (Art. 7(3)). You can lodge a complaint with a data protection supervisory authority, in particular the Hamburg Commissioner for Data Protection and Freedom of Information.

Right to object (Art. 21 GDPR): Where we process your data on the basis of Art. 6(1)(f) GDPR – in particular for direct approaches, the monitoring of career changes and AI-assisted processing – you may object to this processing at any time. We will then no longer process your data for these purposes.

Further details can be found in the privacy policy of the respective company: CTG Consulting GmbH – www.ctg-consulting.com/datenschutz; CareerTeam GmbH – www.careerteam.de/datenschutz; CareerTeam Schweiz GmbH – www.careerteam.ch/datenschutz; PALTRON GmbH – www.paltron.com/privacy-policy; Numeris Consulting GmbH – www.numeris-consulting.de/datenschutz; Sinceritas GmbH – www.sinceritas.com/datenschutz; alphacoders GmbH – www.alphacoders.de/datenschutz; Foxio Consulting GmbH – www.foxio.com/datenschutz.

As of October 2026