Datenschutzhinweise

Stand: 12. Oktober 2026

1. Allgemeine Hinweise

1.1. Verantwortlicher

Verantwortlicher für die in diesen Datenschutzhinweisen beschriebenen Verarbeitungen ist die Lunelink GmbH, Georgsplatz 1, 20099 Hamburg, Deutschland, E-Mail info@lunelink.com, Telefon +49 40 29997020 („Lunelink“, „wir“).

1.2. Worum es geht

Wir betreiben unter lunelink.com und app.lunelink.com eine Plattform mit zwei Seiten: Fach- und Führungskräfte der Immobilienbranche legen ein Bewerberprofil an, das Arbeitgebern zunächst anonymisiert angezeigt wird („Kandidaten“, Abschnitt 3). Unternehmen suchen darüber Personal und nutzen je nach gebuchtem Funktionsumfang weitere Werkzeuge für Marketing und Vertrieb, etwa Websites, Online-Terminbuchung, Kontaktverwaltung, Werbeanzeigen bei Meta und den KI-Assistenten „Lune“ („Kunden“, Abschnitt 4). Abschnitt 2 betrifft die Webseite lunelink.com, Abschnitt 5 die Websites unserer Kunden, Abschnitt 6 unsere Datenbank von Immobilienunternehmen aus öffentlichen Quellen und Abschnitt 7 die Kommunikation mit uns.

1.3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

  • Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO), etwa für das Meta-Pixel auf lunelink.com; für besondere Kategorien personenbezogener Daten, die Kandidaten selbst in ihr Profil oder ihre Unterlagen aufnehmen, Art. 9 Abs. 2 lit. a DSGVO.

  • Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (Art. 6 Abs. 1 S. 1 lit. b DSGVO), etwa für Bewerberprofile, Chats, Workspaces, Abrechnung und Angebotsanfragen.

  • Rechtliche Verpflichtungen (Art. 6 Abs. 1 S. 1 lit. c DSGVO), etwa handels- und steuerrechtliche Aufbewahrungspflichten.

  • Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO), etwa für den sicheren Betrieb der Plattform, die Reichweitenmessung ohne Cookies, die Erfolgsmessung unserer Werbung und die Ansprache von Unternehmen als potenzielle Arbeitgeber. Das jeweilige Interesse nennen wir bei der einzelnen Verarbeitung.

Das Speichern von und der Zugriff auf Informationen im Endgerät (Cookies) richtet sich nach § 25 TDDDG: unbedingt erforderliche Cookies nach § 25 Abs. 2 Nr. 2 TDDDG, alle anderen nur mit Einwilligung nach § 25 Abs. 1 TDDDG.

1.4. Speicherdauer

Wir löschen personenbezogene Daten, sobald der Zweck der Verarbeitung entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht. Konkrete Fristen nennen wir bei der jeweiligen Verarbeitung. Handels- und steuerrechtlich aufzubewahrende Unterlagen (Rechnungen, Gutschriften, Zahlungsdaten, Geschäftskorrespondenz) speichern wir für die gesetzlichen Fristen von sechs bis zehn Jahren.

1.5. Empfänger und Dienstleister

Innerhalb von Lunelink erhalten nur die Mitarbeiter Zugriff auf personenbezogene Daten, die sie für ihre Aufgaben benötigen. Darüber hinaus setzen wir folgende Dienstleister als Auftragsverarbeiter ein, die vertraglich nach Art. 28 DSGVO gebunden sind:

  • Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland: Hosting der Plattform (Anwendung, Datenbank, Dateispeicher, technische Protokolle) in Rechenzentren in der Europäischen Union.

  • Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA: Auslieferung der Webseite lunelink.com und der Websites unserer Kunden, Domains und Netzwerksicherheit.

  • OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland: KI-Modelle für die in diesen Hinweisen beschriebenen KI-Funktionen; die Verarbeitung erfolgt durch OpenAI in den USA. OpenAI nutzt die über die Schnittstelle übermittelten Daten nicht zum Training seiner Modelle.

  • ActiveCampaign, LLC (Postmark), 1 North Dearborn Street, Chicago, IL 60602, USA: Versand unserer E-Mails.

  • Twilio Ireland Limited, 3 Dublin Landings, North Wall Quay, Dublin 1, Irland: Versand von SMS und Weiterleitung von Telefonanrufen; die Verarbeitung erfolgt teilweise durch Twilio in den USA.

  • LiveKit Incorporated, 369 Sutter Street, San Francisco, CA 94108, USA: Übertragung von Bild und Ton in Videoterminen (Abschnitt 2.6).

  • Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland: WhatsApp Business Platform, über die wir mit Kandidaten per WhatsApp kommunizieren.

  • Pingen GmbH, Schweiz (Handelsregister CHE-115.571.921): Druck und Versand von Postbriefen.

  • Legistry GmbH, Hunoldstraße 52, 26203 Wardenburg, Deutschland: Erstellung und Versand unserer Rechnungen und Gutschriften sowie Zahlungsabgleich.

  • Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland: Google Workspace für unsere E-Mail-Kommunikation, Google Maps Platform für die Suche nach Unternehmen (Abschnitt 6).

Weitere Empfänger sind Arbeitgeber, denen Kandidaten ihr Profil freigeben (Abschnitt 3.6), Meta als Anbieter des Meta-Pixels und der Werbekonten unserer Kunden, Banken und Steuerberater im Rahmen der Buchhaltung sowie Behörden, soweit wir gesetzlich dazu verpflichtet sind.

1.6. Datenverarbeitung in Drittländern

Einige unserer Dienstleister verarbeiten personenbezogene Daten außerhalb der EU und des EWR. Für die USA stützen wir Übermittlungen auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist (Meta Platforms, Inc., Google LLC, Cloudflare, Inc., ActiveCampaign, LLC, Twilio Inc., LiveKit Incorporated), im Übrigen auf EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (insbesondere OpenAI). Für die Schweiz (Pingen) besteht ein Angemessenheitsbeschluss der EU-Kommission. Eine Kopie der EU-Standardvertragsklauseln finden Sie unter https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32021D0914.

1.7. Ihre Rechte

Sie haben gegenüber uns folgende Rechte:

  • Auskunft über die von uns verarbeiteten personenbezogenen Daten (Art. 15 DSGVO), insbesondere über Zwecke, Kategorien, Empfänger, Speicherdauer und Herkunft der Daten.

  • Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO).

  • Löschung (Art. 17 DSGVO), soweit die Verarbeitung nicht zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

  • Einschränkung der Verarbeitung (Art. 18 DSGVO).

  • Datenübertragbarkeit (Art. 20 DSGVO): Erhalt der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format.

  • Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

  • Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Zuständig für uns ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen (Art. 21 Abs. 1 DSGVO). Gegen die Verarbeitung zum Zweck der Direktwerbung – einschließlich der Ansprache von Unternehmen nach Abschnitt 6 – können Sie ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO). Richten Sie Ihren Widerspruch an info@lunelink.com.

1.8. Keine automatisierten Entscheidungen im Einzelfall

Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung – insbesondere die Freischaltung eines Bewerberprofils, die Ablehnung einer Registrierung, die Sperrung oder Löschung eines Kontos – treffen unsere Mitarbeiter. KI-Funktionen bereiten diese Entscheidungen nur vor (Art. 22 DSGVO findet keine Anwendung).

1.9. Datensicherheit

Die Übertragung zwischen Ihrem Browser und unseren Systemen ist mit TLS verschlüsselt, Datenbank und Dateispeicher sind im Ruhezustand verschlüsselt. Passwörter speichern wir ausschließlich als Hash. Zugriffe auf Daten sind auf Rollen und Workspaces beschränkt; Mitarbeiter sind zur Vertraulichkeit verpflichtet.

2. Webseite lunelink.com

2.1. Bereitstellung und Protokolle

Beim Aufruf von lunelink.com verarbeiten wir die Daten, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browsertyp und -version, Betriebssystem sowie das aus der IP-Adresse abgeleitete Land. Die Seiten werden über Cloudflare ausgeliefert und durch unsere bei Google Cloud gehostete Anwendung erzeugt. Technische Protokolle unserer Anwendung, die IP-Adressen enthalten können, löschen wir spätestens nach 30 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Bereitstellung, Sicherheit und Fehleranalyse der Webseite.

Tritt in Ihrem Browser ein Fehler unserer Webseite oder unserer Plattform auf, übermittelt die Seite eine Fehlermeldung mit technischen Angaben (Fehlertext, betroffene Seite, Browsertyp, bei angemeldeten Nutzern die Nutzer-ID) an uns, damit wir den Fehler beheben können. Diese Meldungen speichern wir 30 Tage.

2.2. Cookies

Auf lunelink.com setzen wir folgende unbedingt erforderliche Cookies (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 S. 1 lit. f DSGVO):

  • i18n_redirected (Lunelink, 1 Jahr): gewählte Sprache.

  • country_setting (Lunelink, 360 Tage): gewähltes Land.

  • cookie_consent_given (Lunelink, 270 Tage, ergänzt um die Kennung der Website): ob die Cookie-Auswahl getroffen wurde.

  • meta_pixel_enabled (Lunelink, 360 Tage, ergänzt um die Kennung der Website): ob dem Meta-Pixel zugestimmt wurde.

Nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 S. 1 lit. a DSGVO) werden die Cookies des Meta-Pixels gesetzt: _fbp und _fbc (Meta Platforms, jeweils 3 Monate). Ihre Auswahl können Sie jederzeit über den Link „Cookies“ in der Fußzeile der Webseite ändern.

Nach der Anmeldung in der Plattform (app.lunelink.com) setzen wir das Anmelde-Cookie user_tkn, das Ihre Sitzung bis zum Ende des Kalendertages hält; es ist für die Anmeldung unbedingt erforderlich.

2.3. Reichweitenmessung ohne Cookies

Wir messen die Nutzung von lunelink.com ohne Cookies und ohne Speicherung von IP-Adressen. Aus IP-Adresse, Browserkennung, Datum und Website-ID wird mit einem geheimen Schlüssel ein Hashwert gebildet, der sich täglich ändert und nach Ablauf des Tages keiner Person mehr zugeordnet werden kann. Gespeichert werden je Besuch dieser Hashwert, aufgerufene Seiten, Einstiegs- und Ausstiegsseite, Herkunft (Referrer-Domain, UTM-Parameter), Land, Gerätetyp sowie Browser- und Betriebssystemklasse, außerdem Ereignisse wie das Absenden eines Formulars oder eine Terminbuchung. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Auswertung und Verbesserung unserer Webseite. Da kein Cookie gesetzt wird, ist keine Einwilligung nach § 25 TDDDG erforderlich.

2.4. Meta-Pixel und Conversions API

Mit Ihrer Einwilligung setzen wir auf lunelink.com das Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“) ein. Dabei werden aufgerufene Seiten, erreichte Ziele (z. B. eine Angebotsanfrage), IP-Adresse, Browserdaten sowie die Pixel-Cookies _fbp und _fbc an Meta übermittelt. Zusätzlich übermitteln wir Ereignisse serverseitig über die Conversions API von Meta, wenn Sie über lunelink.com ein Angebot anfordern oder einen Termin buchen; dabei senden wir E-Mail-Adresse und Telefonnummer ausschließlich als gehashte Werte sowie Land, IP-Adresse, Browserkennung und die Pixel-Cookies. Zweck ist die Messung und Optimierung unserer Werbekampagnen bei Facebook und Instagram sowie die erneute Ansprache von Besuchern mit Werbung.

Für die Erhebung und Übermittlung an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung finden Sie unter https://www.facebook.com/legal/controller_addendum. Meta kann Daten in den USA verarbeiten; Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 S. 1 lit. a DSGVO), die Sie über den Link „Cookies“ in der Fußzeile jederzeit widerrufen können. Informationen zum Datenschutz bei Meta: https://www.facebook.com/privacy/policy.

2.5. Angebotsanfrage und Kontaktformulare

Über das Anfrageformular auf lunelink.com können Unternehmen ein Angebot anfordern. Wir verarbeiten die Antworten auf die Fragen des Formulars, Name, Telefonnummer und E-Mail-Adresse, Sprache, Zeitzone und Land, die Seite, von der die Anfrage stammt, sowie IP-Adresse und Browserkennung. Die Anfrage wird als Kontakt und Vorgang in unserer Kontaktverwaltung gespeichert und unserem Team per E-Mail zugestellt; wir melden uns zur Klärung von Unternehmen, Ansprechpartner, Rechnungsadresse und Konditionen und richten anschließend den Workspace ein (Abschnitt 4.1). Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO. Kommt kein Vertrag zustande, löschen wir die Anfrage, sobald der Vorgang abgeschlossen ist.

2.6. Online-Terminbuchung auf lunelink.com

Über den Terminkalender auf lunelink.com können Sie ein Gespräch mit uns buchen. Wir verarbeiten Name, Telefonnummer, E-Mail-Adresse, Ihre Nachricht, Sprache, Zeitzone und Land sowie den gewählten Termin. Der Termin wird in unserer Plattform gespeichert und den zuständigen Mitarbeitern per E-Mail mitgeteilt. Sie erhalten von uns per E-Mail eine Bestätigung mit einem Kalendereintrag als Dateianhang, der die Teilnehmer des Termins mit Name und E-Mail-Adresse nennt, und mit einem persönlichen Link, über den Sie den Termin verschieben oder absagen können, sowie Erinnerungen 24 Stunden, eine Stunde und zehn Minuten vor dem Termin. Bei einem Telefontermin rufen wir Sie an. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO. Buchungsdaten speichern wir, solange sie für die Kundenbeziehung erforderlich sind.

Ein Videotermin findet in einem Meeting-Raum unserer Plattform unter app.lunelink.com statt, den Sie über den Link in der Bestätigung im Browser öffnen; ein Konto benötigen Sie dafür nicht. Wer den Link kennt, kann unter einem selbst gewählten Namen teilnehmen – geben Sie ihn deshalb nur an Personen weiter, die teilnehmen sollen. Für die Übertragung von Bild und Ton setzen wir LiveKit ein (Abschnitt 1.5). Dabei werden der von Ihnen angegebene Name, Ihre IP-Adresse sowie Geräte- und Verbindungsdaten verarbeitet und Bild, Ton und freigegebene Bildschirminhalte an die anderen Teilnehmer übertragen. Schon vor dem Beitritt zeigt Ihnen die Seite eine Vorschau Ihrer Kamera und den Pegel Ihres Mikrofons, sobald Sie den Zugriff im Browser erlauben; diese Vorschau verlässt Ihren Browser nicht. Übertragen werden Bild und Ton erst mit Ihrem Beitritt zum Termin. Mikrofon und Kamera lassen sich vor dem Beitritt und während des Termins jederzeit ausschalten; Ihren Bildschirm geben Sie nur auf eigenen Wunsch frei. Die Übertragung zwischen Ihrem Browser und den Servern von LiveKit ist verschlüsselt. Videotermine werden nicht aufgezeichnet; Bild und Ton werden nach der Übertragung nicht gespeichert. Technische Protokoll- und Nutzungsdaten der Sitzung bewahrt LiveKit bis zu zwölf Monate auf. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO, für weitere Teilnehmer Art. 6 Abs. 1 S. 1 lit. f DSGVO (unser berechtigtes Interesse an der Durchführung des Termins).

2.7. Registrierung als Kandidat

Wer sich über lunelink.com als Kandidat registriert, wird zur Plattform app.lunelink.com geleitet; für die Registrierung gilt Abschnitt 3.

3. Kandidaten (Bewerberprofile)

3.1. Registrierung und Bestätigung per WhatsApp

Bei der Registrierung verarbeiten wir Ihre Angaben zur Jobsuche (Bereich, Postleitzahl, Suchumkreis, Deutschkenntnisse, Verfügbarkeit, gesuchte Rollen mit Erfahrung, Gehaltsvorstellung) und Ihre Mobilnummer. Aus der Postleitzahl leiten wir Koordinaten für die Umkreissuche ab. Zusätzlich speichern wir IP-Adresse, Browserkennung und – falls Sie dem Meta-Pixel auf lunelink.com zugestimmt haben – die Pixel-Cookies _fbp und _fbc zum Zeitpunkt der Registrierung, um später den Erfolg unserer Werbung messen zu können (Abschnitt 3.9).

Zur Bestätigung senden wir Ihnen über die WhatsApp Business Platform von Meta eine Nachricht mit der Bitte, die Registrierung zu bestätigen. Mit Ihrer Antwort gilt die Mobilnummer als bestätigt und Sie werden angemeldet. Mit der Bestätigung kommt der Vertrag über die unentgeltliche Nutzung der Plattform zustande; Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO. Nicht bestätigte Registrierungen behandeln wir wie Profile in der Vorprüfung und löschen sie, wenn kein Kontakt zustande kommt (Abschnitt 3.12).

3.2. Profildaten

In der Plattform vervollständigen Sie Ihr Profil. Wir verarbeiten die Angaben, die Sie dort machen: Anrede, Titel, Vor- und Nachname, Geburtsdatum, Geburtsort, Familienstand, Staatsangehörigkeiten, Adresse, E-Mail-Adresse, Telefonnummer, Sprache, Zeitzone, Werdegang (Stationen mit Arbeitgeber, Position, Zeitraum und Beschreibung), Fähigkeiten, Sprachkenntnisse, gesuchte Rollen mit Erfahrungsstufe, Gehaltsvorstellung, Verfügbarkeit, Suchumkreis, Profilbild, optional ein Vorstellungsvideo und eine Audioaufnahme sowie hochgeladene Unterlagen (Lebenslauf, Zeugnisse). Aus dem Profilbild erzeugen wir eine verkleinerte und eine unkenntlich gemachte Variante, aus Video und Audio abspielbare Fassungen. Welche Angaben Sie machen, entscheiden Sie; Pflichtangaben sind in der Plattform gekennzeichnet.

Enthalten Ihre Unterlagen oder Angaben besondere Kategorien personenbezogener Daten (z. B. Religionszugehörigkeit, Gesundheitsdaten, Schwerbehinderung), verarbeiten wir sie nur, weil Sie sie selbst bereitgestellt haben (Art. 9 Abs. 2 lit. a DSGVO); Sie können sie jederzeit aus dem Profil entfernen. Rechtsgrundlage im Übrigen ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

3.3. KI-Auswertung von Bewerbungsunterlagen

Auf Ihren Wunsch werten wir hochgeladene Unterlagen KI-gestützt aus und schlagen Ihnen daraus Profilangaben vor (z. B. Werdegang, Fähigkeiten, Sprachen, Kontaktdaten). Dazu übermitteln wir die Dateien an OpenAI (Abschnitt 1.5). Enthalten die Unterlagen ein Foto, ermittelt das Modell dessen Position, damit wir Ihnen einen Ausschnitt als Profilbild vorschlagen können; der Ausschnitt wird auf unseren Systemen erzeugt. Sie prüfen alle Vorschläge und entscheiden, was in Ihr Profil übernommen wird. Unser Team kann die Auswertung in Abstimmung mit Ihnen anstoßen (Abschnitt 3.5). Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

3.4. Anonymisierung und Zusammenfassung des Profils

Damit Arbeitgeber Ihr Profil sehen können, ohne Sie zu identifizieren, erstellen wir KI-gestützt eine anonymisierte Fassung Ihres Werdegangs und Ihrer Fähigkeiten, aus der Namen und identifizierende Angaben entfernt oder verallgemeinert werden, sowie eine kurze Zusammenfassung Ihres Werdegangs für Briefe an Arbeitgeber (Abschnitt 3.8). Dazu übermitteln wir die betreffenden Profilangaben an OpenAI. Die Fassungen werden bei Änderungen Ihres Profils neu erstellt. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

3.5. Vorprüfung, Freischaltung und Sichtbarkeit

Vor der Freischaltung prüft unser Team Ihr Profil, in der Regel im Austausch mit Ihnen per WhatsApp (Abschnitt 3.11). Eine KI-gestützte Vorprüfung kann dabei Ihre Profilangaben, Unterlagen und den bisherigen Austausch auswerten, um unsere Mitarbeiter zu unterstützen; die Entscheidung über die Freischaltung trifft ein Mitarbeiter. Nach der Freischaltung informieren wir Sie per E-Mail, WhatsApp oder SMS. Sie steuern anschließend, ob Ihr Profil Arbeitgebern nicht, anonymisiert oder öffentlich angezeigt wird. Wir speichern zu Ihrem Profil den Bearbeitungsstand (offen, zurückgestellt, geschlossen, freigeschaltet), den Zeitpunkt Ihrer letzten Anmeldung sowie interne Vermerke. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

3.6. Anzeige gegenüber Arbeitgebern und Chats

Nach der Freischaltung schlagen wir Ihr Profil Arbeitgebern vor, deren Standorte in Ihrem Suchumkreis liegen und die zu Ihren gesuchten Rollen passen. Arbeitgeber sehen dabei nur die anonymisierte Fassung: Anrede, Altersspanne, Land, Bundesland und die ersten zwei Ziffern der Postleitzahl, ungefähre Entfernung zu ihrem Standort, gesuchte Rollen mit Erfahrungsstufe, Verfügbarkeit, Gehaltsvorstellung, Deutschkenntnisse, den anonymisierten Werdegang und die anonymisierten Fähigkeiten, das unkenntlich gemachte Profilbild sowie die Information, ob Video, Audio, E-Mail-Adresse, Telefonnummer, Geburtsort, Familienstand und Staatsangehörigkeiten hinterlegt sind (nicht deren Inhalt).

Arbeitgeber können einen Chat mit Ihnen beginnen; einen Entwurf der ersten Nachricht erzeugen wir für den Arbeitgeber KI-gestützt auf Basis der anonymisierten Fassung. Chatnachrichten speichern wir für beide Seiten. Erst wenn Sie Ihr Profil für einen Chat freigeben oder Ihr Profil auf „öffentlich“ stellen, erhält der Arbeitgeber die vollständigen Angaben einschließlich Name, Alter, Geburtsort, Familienstand, Staatsangehörigkeiten, E-Mail-Adresse, Telefonnummer, Profilbild, Lebenslauf als PDF, Video und Audio. Ab diesem Zeitpunkt ist der Arbeitgeber für seine weitere Verarbeitung dieser Daten selbst verantwortlich; wir verpflichten Arbeitgeber vertraglich, die Daten nur für die Besetzung eigener Stellen zu nutzen und vertraulich zu behandeln. Auf Ihren Wunsch hinterlegen wir Arbeitgeber (z. B. Ihren aktuellen Arbeitgeber), denen Ihr Profil nicht angezeigt wird. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

3.7. Job-Agent

Der Job-Agent zeigt Ihnen Arbeitgeber und Standorte in Ihrem Suchumkreis, die zu Ihren Rollen passen: Arbeitgeberprofile unserer Kunden sowie Immobilienunternehmen aus unserer Datenbank (Abschnitt 6). Dabei werden keine Daten von Ihnen an diese Unternehmen übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

3.8. Vorstellung bei Arbeitgebern per Post

Wir stellen freigeschaltete Profile auch Immobilienunternehmen im Suchumkreis vor, die noch kein Konto bei uns haben, insbesondere per Brief. Der Brief enthält ausschließlich die anonymisierte Fassung: das unkenntlich gemachte Profilbild, Anrede, Altersspanne, Postleitregion und Bundesland, ungefähre Entfernung zum Standort, bis zu sechs gesuchte Rollen mit Erfahrungsstufe, die KI-erstellte Zusammenfassung des Werdegangs, Gehaltsvorstellung, Verfügbarkeit in Kategorien und Deutschkenntnisse – keinen Namen und keine Kontaktdaten. Druck und Versand übernimmt die Pingen GmbH (Schweiz), an die wir den Brief als PDF übermitteln. Empfänger sind Unternehmen aus unserer Datenbank (Abschnitt 6), deren Standorte in Ihrem Suchumkreis liegen und die zu Ihren Rollen passen; Unternehmen, die Sie gesperrt haben, erhalten keinen Brief. Stellen Sie Ihr Profil auf „nicht sichtbar“, werden Sie in keinem Brief vorgestellt. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

3.9. Erfolgsmessung unserer Werbung

Wenn Ihr Profil freigeschaltet wird, übermitteln wir ein Ereignis an die Conversions API von Meta, um zu messen, welche unserer Werbeanzeigen bei Facebook und Instagram zu Registrierungen führen. Dabei senden wir E-Mail-Adresse, Telefonnummer und Land ausschließlich als gehashte Werte sowie die bei der Registrierung gespeicherte IP-Adresse, Browserkennung und die Pixel-Cookies _fbp und _fbc. Meta gleicht die gehashten Werte mit seinen Nutzerkonten ab; Inhalte Ihres Profils werden nicht übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Erfolgsmessung und wirtschaftliche Steuerung unserer Werbung. Sie können dieser Verarbeitung jederzeit widersprechen (Abschnitt 1.7). Für die Verarbeitung durch Meta gilt Abschnitt 2.4.

3.10. Benachrichtigungen und Anmeldelinks

Wir benachrichtigen Sie über neue Chats und ungelesene Nachrichten per E-Mail (Postmark), per WhatsApp (Meta) und – wenn beides nicht möglich ist – per SMS (Twilio). Bei ungelesenen Nachrichten erhalten Sie eine erste Benachrichtigung kurz nach der Nachricht und danach höchstens drei Erinnerungen nach einem, drei und sieben Tagen; die Erinnerungen enden, sobald Sie den Chat öffnen, und werden ausgesetzt, wenn Sie länger als 60 Tage nicht in der Plattform aktiv waren. Benachrichtigungen enthalten einen persönlichen Anmeldelink, mit dem Sie ohne Passwort direkt in Ihr Profil gelangen; geben Sie diesen Link nicht weiter. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

3.11. Kommunikation per WhatsApp

Unser Team kommuniziert mit Ihnen über die WhatsApp Business Platform von Meta. Wir speichern die Nachrichten, die Sie uns senden und die wir Ihnen senden, einschließlich Anhängen, Ihres WhatsApp-Profilnamens sowie Zustellstatus. Außerhalb des von WhatsApp vorgegebenen 24-Stunden-Fensters nach Ihrer letzten Nachricht können wir Ihnen nur von Meta freigegebene Vorlagen senden, etwa die Bestätigungsanfrage, die Mitteilung über die Freischaltung, Hinweise auf ungelesene Nachrichten, Rückfragen zum Profil und die Mitteilung über eine Löschung. Für die Übermittlung gelten die Datenschutzbestimmungen von WhatsApp: https://www.whatsapp.com/legal/privacy-policy-eea. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

3.12. Speicherdauer und Löschung

Wir speichern Ihr Profil, solange Sie die Plattform nutzen. Sie können die Löschung jederzeit per WhatsApp oder per E-Mail an info@lunelink.com verlangen. Wir löschen ein Profil auch von uns aus, wenn Sie über längere Zeit nicht auf unsere Nachrichten reagieren oder nicht die von den Arbeitgebern gesuchte Berufserfahrung mitbringen; darüber informieren wir Sie per WhatsApp. Mit der Löschung entfernen wir Profil, Unterlagen, Bilder, Video, Audio, Chats und den WhatsApp-Verlauf. Technische Protokolle werden nach 30 Tagen gelöscht. Daten, die ein Arbeitgeber nach einer Freigabe bereits erhalten hat, unterliegen der Verantwortung dieses Arbeitgebers.

4. Kunden (Arbeitgeber und Werbetreibende)

4.1. Workspace, Mitglieder und Onboarding

Nach einer Angebotsanfrage klären wir mit dem Unternehmen Ansprechpartner, Rechnungsadresse und Konditionen und richten einen Workspace ein. Wir verarbeiten Unternehmensdaten (Name, Anschrift, Umsatzsteuer-Identifikationsnummer, Website), die Daten der Mitglieder des Workspace (Anrede, Titel, Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Sprache, Zeitzone, Land, Rolle im Workspace, Verfügbarkeiten für die Terminbuchung) sowie die Vertragsdaten (gebuchte Zugangspakete, Credits, Rechnungsempfänger, Benachrichtigungsempfänger). Neue Mitglieder erhalten ihre Zugangsdaten per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO; für Mitarbeiter des Kunden, die nicht selbst Vertragspartner sind, Art. 6 Abs. 1 S. 1 lit. f DSGVO (unser berechtigtes Interesse an der Bereitstellung der Plattform für den Kunden).

4.2. Anmeldung und Sicherheit

Die Anmeldung erfolgt mit E-Mail-Adresse oder Mobilnummer und Passwort oder mit einem Einmalcode, den wir per E-Mail oder SMS senden. Passwörter speichern wir als Hash. Für die Programmierschnittstelle erhält jeder Nutzer einen persönlichen API-Schlüssel. Wir speichern den Zeitpunkt der letzten Aktivität und setzen das Anmelde-Cookie user_tkn (Abschnitt 2.2). Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b und lit. f DSGVO (Sicherheit der Konten).

4.3. Abrechnung

Rechnungen und Gutschriften erstellen wir über die Legistry GmbH. Dazu übermitteln wir Empfängername, Anschrift, Umsatzsteuer-Identifikationsnummer, Website, E-Mail-Adresse und Telefonnummer des Rechnungsempfängers sowie die Rechnungspositionen; Legistry stellt die Rechnung per E-Mail zu und meldet uns Zahlungseingänge. Rechnungen sind in der Plattform abrufbar. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b und lit. c DSGVO; Abrechnungsdaten bewahren wir für die gesetzlichen Fristen auf (Abschnitt 1.4).

4.4. Arbeitgeberprofile und Kandidatendaten

Arbeitgeberprofile (Name, Beschreibung, Logo, Standorte mit Anschrift, Leistungsbereiche, gesuchte Rollen) zeigen wir Kandidaten im Job-Agent und in Chats. Kandidaten werden dem Kunden zunächst anonymisiert vorgeschlagen; vollständige Daten erhält er nur nach Freigabe durch den Kandidaten (Abschnitt 3.6). Chatnachrichten, Freigabeanfragen, ausgeblendete und archivierte Kandidaten speichern wir im Workspace. Der Entwurf der ersten Chatnachricht wird KI-gestützt aus dem anonymisierten Profil und früheren Nachrichten des Workspace erzeugt (OpenAI). Für die Verarbeitung freigegebener Kandidatendaten außerhalb der Plattform ist der Kunde selbst verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

4.5. Websites, Formulare, Terminbuchung und CRM

Erstellt der Kunde mit dem Website-Baukasten Websites, erfasst Formulare, Terminbuchungen und Kontakte oder verwaltet er Deals, verarbeiten wir die Daten der Besucher, Interessenten und Kontakte des Kunden in dessen Auftrag als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage des Auftragsverarbeitungsvertrags in unseren AGB. Für Besucher der Kundenwebsites gilt Abschnitt 5. Eigene Domains des Kunden verbinden wir über Cloudflare.

4.6. Kalender, Kalender-Abos und Videotermine

Jedes Mitglied eines Workspace hat in der Plattform einen eigenen Kalender, aus dem wir die buchbaren Zeitfenster der Online-Terminbuchung berechnen. Er enthält die Termine, die über die Terminbuchung bei dem Mitglied gebucht wurden, die hinterlegten Verfügbarkeiten sowie Sperrzeiten, die das Mitglied selbst einträgt (Zeitraum und wahlweise eine Bezeichnung).

Damit auch Termine aus anderen Kalendern berücksichtigt werden, kann das Mitglied bis zu fünf externe Kalender abonnieren (z. B. Google Kalender, Outlook oder iCloud). Dazu hinterlegt es die Abo-Adresse im iCalendar-Format, die der jeweilige Kalenderanbieter bereitstellt. Wir rufen den Kalender über diese Adresse etwa alle fünf Minuten beim Anbieter ab; ein Zugriff auf das dortige Konto ist damit nicht verbunden, und wir schreiben nichts in den externen Kalender. Der Abruf umfasst den Inhalt des Kalenders, wie ihn der Anbieter unter der Adresse ausgibt. Wir speichern daraus ausschließlich Beginn und Ende der belegten Zeiten vom Vortag bis ein Jahr im Voraus sowie den Namen des Kalenders – keine Betreffs, Teilnehmer, Orte oder Beschreibungen; alles Übrige verwerfen wir unmittelbar nach der Auswertung. Die Abo-Adresse erlaubt das Lesen des Kalenders; wir speichern sie in unserer im Ruhezustand verschlüsselten Datenbank und zeigen sie nach dem Speichern nicht wieder an. Entfernt das Mitglied ein Abo, löschen wir die Adresse und die daraus übernommenen Zeiten; dasselbe gilt bei Löschung des Kontos.

Bei einer Buchung, Verschiebung oder Absage senden wir der buchenden Person und den beteiligten Mitgliedern eine E-Mail mit einem Kalendereintrag als Dateianhang, der die Teilnehmer des Termins mit Name und E-Mail-Adresse nennt. Videotermine finden in dem in Abschnitt 2.6 beschriebenen Meeting-Raum statt; soweit daran Interessenten und Kontakte des Kunden teilnehmen, verarbeiten wir deren Daten im Auftrag des Kunden (Abschnitt 4.5).

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO; für Mitarbeiter des Kunden, die nicht selbst Vertragspartner sind, Art. 6 Abs. 1 S. 1 lit. f DSGVO (Abschnitt 4.1).

4.7. Meta-Werbekonten

Verbindet der Kunde sein Meta-Unternehmenskonto, speichern wir das Zugriffs-Token sowie ID und Name des Unternehmensportfolios und spiegeln die Werbekonten, Kampagnen, Anzeigengruppen und Anzeigen des Kunden einschließlich der von Meta gelieferten Felder in der Plattform. Bei der Bearbeitung von Zielgruppen, Facebook-Seiten, Instagram-Konten und Pixeln rufen wir die Listen live bei Meta ab. Werbemittel, Anzeigentexte und Ziel-URLs übermitteln wir auf Anweisung des Kunden an dessen Werbekonto. Conversion-Ereignisse der Websites des Kunden (Formulare, Terminbuchungen) senden wir auf dessen Weisung an dessen Meta-Pixel (Abschnitt 5). Die Verbindung kann der Kunde jederzeit trennen; wir widerrufen dann die Berechtigung bei Meta und löschen das Token. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO. Für die Verarbeitung im Werbekonto gelten die Datenschutzbestimmungen von Meta.

4.8. Werbemittel und KI-Assistent Lune

Bild-Werbemittel erzeugen wir aus den Vorgaben des Kunden (Text, Logos, Bilder, Farben) mit den Bildmodellen von OpenAI. Für hochgeladene Video-Werbemittel übermitteln wir Tonspur und einzelne Bilder des Videos an OpenAI, um Transkript und Anzeigentexte zu erzeugen; das Video selbst übermitteln wir auf Anweisung des Kunden an dessen Meta-Werbekonto.

Der KI-Assistent Lune führt Aufgaben in der Plattform auf Anweisung des Nutzers aus. Dazu übermitteln wir an OpenAI die Anweisungen und den Gesprächsverlauf, die Angaben des Nutzerprofils (Anrede, Name, E-Mail-Adresse, Telefonnummer, Sprache, Zeitzone, Land), Angaben zu den Workspaces des Nutzers sowie die Daten, die Lune für die Aufgabe aus der Plattform liest oder von Websites lädt, die es auf Anweisung aufruft. Gesprächsverläufe und Ergebnisse speichern wir im Konto des Nutzers und löschen sie auf seine Anfrage. Verbindet der Nutzer Lune per Klick mit Legistry, übermitteln wir seine Nutzer-ID und E-Mail-Adresse signiert an die Legistry GmbH, die damit ein Konto anlegt oder verknüpft; Lune kann anschließend im Auftrag des Nutzers in Legistry arbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

4.9. Benachrichtigungen

Wir senden Mitgliedern per E-Mail Zugangsdaten und Einmalcodes, Hinweise auf neue Interessenten und ungelesene Chats (nach einem Vorlauf von wenigen Minuten und danach höchstens drei Erinnerungen nach einem, drei und sieben Tagen), Terminbestätigungen und -erinnerungen, Hinweise zu Vorgängen in der Kontaktverwaltung sowie Hinweise sieben, drei und einen Tag vor Ablauf des Zugangs und bei Ablauf. Welche Mitglieder Hinweise zu Interessenten und Chats erhalten, legt der Kunde fest. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.

4.10. Speicherdauer

Wir speichern die Daten des Workspace, solange der Nutzungsvertrag besteht. Auf Anfrage des Kunden löschen wir den Workspace mit allen Inhalten; Rechnungen, Gutschriften und Zahlungsdaten bewahren wir für die gesetzlichen Fristen auf.

4.11. Verbundene KI-Apps

Der Nutzer kann KI-Anwendungen von Drittanbietern — etwa Claude (Anthropic) oder ChatGPT (OpenAI) — über eine standardisierte Schnittstelle (Model Context Protocol) mit der Plattform verbinden. Die Verbindung richtet der Nutzer selbst ein und bestätigt sie auf einer Zustimmungsseite; dabei entscheidet er, welche Anwendung er verbindet. Eine verbundene Anwendung greift danach im Auftrag des Nutzers über die Programmierschnittstelle auf die Daten seines Kontos und seiner Workspaces zu, soweit seine eigenen Rechte reichen; ausgenommen bleiben die Anmeldedaten, der API-Schlüssel und die WhatsApp-Kommunikation. Die Zugänge speichern wir nur als Hash und getrennt je Gerät; der Nutzer kann eine Verbindung jederzeit unter „Konto → KI-Apps“ trennen, womit alle Zugänge der Anwendung sofort erlöschen. Welche Daten die verbundene Anwendung an ihren Anbieter übermittelt und wie dieser sie verarbeitet, bestimmt der jeweilige Anbieter in eigener Verantwortung nach seinen Bedingungen und Datenschutzhinweisen; der Nutzer wählt die Anwendung aus und verantwortet, welcher Anwendung er den Zugriff gewährt. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO (Bereitstellung der vom Nutzer angeforderten Schnittstelle).

5. Websites unserer Kunden

Kunden veröffentlichen mit unserem Website-Baukasten eigene Websites unter lunelink.com oder unter eigenen Domains. Für diese Websites ist der jeweilige Kunde datenschutzrechtlich verantwortlich; Angaben zum Betreiber finden Sie im Impressum der jeweiligen Website. Wir betreiben die Websites in seinem Auftrag. Technisch verarbeiten wir dabei die in Abschnitt 2.1 genannten Zugriffsdaten, die Reichweitenmessung ohne Cookies nach Abschnitt 2.3, die Einwilligungs-Cookies des Consent-Managers nach Abschnitt 2.2, die Eingaben in Formularen, Terminbuchungen und hochgeladene Dateien für den Kunden sowie – wenn der Kunde ein eigenes Meta-Pixel hinterlegt hat und Sie einwilligen – das Meta-Pixel und die Conversions API mit dem Pixel des Kunden nach Abschnitt 2.4. Bettet der Kunde YouTube-Videos ein, werden diese über youtube-nocookie.com geladen; beim Abspielen verarbeitet Google Ihre Daten. Bei einer Terminbuchung senden wir Ihnen im Auftrag des Kunden die Bestätigung mit Kalendereintrag und die Erinnerungen per E-Mail; Videotermine finden in dem in Abschnitt 2.6 beschriebenen Meeting-Raum statt, für dessen Bild- und Tonübertragung wir LiveKit einsetzen.

6. Datenbank von Immobilienunternehmen aus öffentlichen Quellen

Um Kandidaten passende Arbeitgeber zeigen und Unternehmen als potenzielle Arbeitgeber ansprechen zu können, führen wir eine Datenbank von Immobilienunternehmen in Deutschland. Wir ermitteln Unternehmen über die Google Maps Platform (Places API) anhand von Ort und Tätigkeitsfeld und werten anschließend die öffentlich zugängliche Website des Unternehmens KI-gestützt aus (OpenAI). Dabei speichern wir Unternehmensdaten (Firma, Marke, Beschreibung, Leistungsbereiche, Standorte mit Anschrift, Rechtsträger mit Registerangaben, Logo, Hinweise auf offene Stellen) sowie personenbezogene Daten der auf der Website genannten Ansprechpartner: Name, Position und geschäftliche Kontaktdaten (E-Mail-Adresse, Telefonnummer), auch aus dem Muster geschäftlicher E-Mail-Adressen abgeleitete Adressen. Ergänzend können wir Daten aus dem Handelsregister einbeziehen, einschließlich der dort veröffentlichten vertretungsberechtigten Personen.

Zwecke sind die Anzeige der Unternehmen gegenüber Kandidaten als potenzielle Arbeitgeber (ohne Angaben zu Ansprechpartnern), die Ansprache der Unternehmen per Brief mit anonymisierten Kandidatenprofilen (Abschnitt 3.8) sowie die Ansprache per E-Mail oder Telefon. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Direktansprache von Unternehmen im geschäftlichen Bereich mit einem Angebot, das sich auf deren Personalbedarf bezieht. Wir verwenden nur Daten, die die Unternehmen selbst zu geschäftlichen Zwecken veröffentlicht haben. Da die Zahl der Unternehmen groß ist, ist eine individuelle Information der Ansprechpartner mit unverhältnismäßigem Aufwand verbunden; wir informieren daher durch diese Datenschutzhinweise (Art. 14 Abs. 5 lit. b DSGVO). Wir speichern die Daten, solange das Unternehmen für Kandidaten als Arbeitgeber in Betracht kommt. Sie können der Verarbeitung jederzeit widersprechen (Abschnitt 1.7); wir sperren das Unternehmen dann für die Anzeige und die Ansprache.

7. Kommunikation mit uns

Bei einer Kontaktaufnahme per E-Mail, Telefon, WhatsApp oder über die Plattform verarbeiten wir die Daten, die Sie uns mitteilen, ausschließlich zur Bearbeitung Ihrer Anfrage und für den Fall von Anschlussfragen. Zielt die Kommunikation auf den Abschluss eines Vertrags, ist Art. 6 Abs. 1 S. 1 lit. b DSGVO Rechtsgrundlage, im Übrigen Art. 6 Abs. 1 S. 1 lit. f DSGVO (unser berechtigtes Interesse an der Beantwortung Ihrer Anfrage). Wir löschen die Daten, sobald das Anliegen geklärt ist und keine Aufbewahrungspflicht besteht.

Unsere E-Mail-Postfächer betreiben wir mit Google Workspace (Google Ireland Limited). Anrufe an unsere Rufnummer werden über Twilio an unsere Mitarbeiter weitergeleitet; dabei verarbeitet Twilio Ihre Rufnummer und die Verbindungsdaten. Für WhatsApp gilt Abschnitt 3.11; die Datenschutzbestimmungen von WhatsApp finden Sie unter https://www.whatsapp.com/legal/privacy-policy-eea.

8. Vertragspartner und Lieferanten

Mit Vertragspartnern, Lieferanten und Dienstleistern verarbeiten wir die für die Vertragsbeziehung erforderlichen Daten: Namen und Kontaktdaten der Ansprechpartner, Auftrags-, Rechnungs- und Zahlungsdaten sowie die Korrespondenz. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO, für die Kontakt- und Vertragsverwaltung sowie den Betrieb unserer IT-Systeme Art. 6 Abs. 1 S. 1 lit. f DSGVO und für handels- und steuerrechtliche Pflichten Art. 6 Abs. 1 S. 1 lit. c DSGVO. Wir löschen die Daten nach Ende der Vertragsbeziehung, soweit keine Aufbewahrungspflichten bestehen.

9. Änderungen dieser Datenschutzhinweise

Wir passen diese Datenschutzhinweise an, wenn sich unsere Verarbeitungen oder die rechtlichen Anforderungen ändern. Es gilt die jeweils unter lunelink.com veröffentlichte Fassung; das Datum des Stands finden Sie am Anfang dieser Seite.