Fassung 2.3.1 · Stand 5. Oktober 2026 · Entwurf, noch nicht anwaltlich geprüft
Was Firstnote mit deinen Daten macht, wozu, wie lange und wer sie sonst noch sieht. In der Reihenfolge, in der du es wissen willst.
Luke Bente, Fürstenbergerstraße 155, 60322 Frankfurt am Main, kontakt@firstnote.de. Vollständige Angaben im Impressum.
Ein Datenschutzbeauftragter ist nicht bestellt. Die Schwellen des § 38 BDSG (in der Regel 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind) sind bei einem Einzelbetrieb nicht erreicht.
| Daten | Zweck | Rechtsgrundlage | Wie lange |
|---|---|---|---|
| E-Mail, Passwort (nur als Hash), Name | Konto führen, Anmeldung, Passwort zurücksetzen | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Bis zur Löschung des Kontos |
| Lebenslauf, hochgeladene Dokumente (als Text), Antworten auf Rückfragen | Grundlage für deine Anschreiben | Art. 6 Abs. 1 lit. b DSGVO | Bis du sie löschst oder das Konto löschst |
| Bewerbungen: Stellenanzeige, Anschreiben, Gesprächsverlauf | Deine Arbeitsergebnisse, jederzeit abrufbar | Art. 6 Abs. 1 lit. b DSGVO | Bis du sie löschst oder das Konto löschst |
| Guthaben, Buchungen, Bestellungen | Abrechnung, Nachvollziehbarkeit | Art. 6 Abs. 1 lit. b und lit. c DSGVO | Buchungen bis zur Kontolöschung; Zahlungsbelege danach pseudonym, soweit steuerlich nötig |
| Sitzungen (Cookie-Token als Hash), Zähler für Bremsen | Anmeldung, Schutz gegen Missbrauch und Überlastung | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) | Sitzungen bis zum Ablauf oder Abmelden; Zähler wenige Stunden |
| Technische Protokolle (Zeitpunkt, Fehlerkennung, keine Inhalte) | Störungen finden, Missbrauch erkennen | Art. 6 Abs. 1 lit. f DSGVO | Kurzfristig auf dem Server |
| Kontaktanfragen: deine Nachricht, Anliegen, E-Mail-Adresse, freiwillig dein Name; bei einem Problem mit einem Anschreiben der technische Stand des letzten Laufs dieser Bewerbung | Dein Anliegen bearbeiten und dir antworten | Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. Anfrage vor Vertragsschluss), sonst lit. f (berechtigtes Interesse an der Beantwortung) | 12 Monate nach Eingang; mit deinem Konto sofort. Unsere Antwort-E-Mails liegen in unserem Postfach. |
| Besucherzählung: aufgerufene Seite (ohne Adresszusätze, Kennungen entfernt), die Domain der Seite, von der du kommst, oder eine Kampagnenkennung, Geräteklasse (Smartphone, Tablet, Computer), ob du angemeldet bist (nicht welches Konto), Zeitpunkte. Aus IP-Adresse, Browserkennung und Sprache bilden wir eine Tageskennung; diese drei Angaben selbst speichern wir nicht. | Messen, wie viele Menschen die Seite nutzen, woher sie kommen und wo sie abspringen, um das Angebot zu verbessern | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung ohne Cookies und ohne Dritte) | Der Schlüssel zur Tageskennung wird beim Tageswechsel gelöscht; danach ist kein Besuch mehr einer Person zuordenbar. Die Zählerdaten nach 13 Monaten. |
| Widerrufserklärungen | Nachweis eines Widerrufs mit Zeitpunkt | Art. 6 Abs. 1 lit. c DSGVO | Bleibt auch nach einer Kontolöschung als Beleg bestehen |
| Sicherungen der Datenbank | Wiederherstellung nach einem Ausfall | Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO | Bis zu 7 Tage lokal, bis zu 30 Tage verschlüsselt an einem zweiten Ort |
Wichtig zu Bewerbungsunterlagen. Lebensläufe und Zeugnisse enthalten oft mehr, als man beim Hochladen bedenkt: Gesundheitsangaben, eine Schwerbehinderung, Religionszugehörigkeit, Gewerkschaft, oder Namen von Kolleginnen und Vorgesetzten. Das sind teils besondere Kategorien nach Art. 9 DSGVO, teils Daten anderer Personen.
Du entscheidest, was du hochlädst. Schwärze, was nicht gebraucht wird — für ein gutes Anschreiben ist fast nichts davon nötig.
Nur die folgenden Stellen, und nur so viel, wie sie für ihre Aufgabe brauchen. Wir verkaufen keine Daten und setzen keine Werbe- oder Analysedienste ein.
| Empfänger | Wozu | Was geht hin | Ort | Wie lange dort |
|---|---|---|---|---|
| Google Ireland Ltd. / Google LLC (Gemini API) Auftragsverarbeiter | Erzeugen von Anschreiben, Auslesen von Stellenanzeigen, Texterkennung in gescannten PDFs | Für den jeweiligen Lauf: Lebenslauftext, hochgeladene Dokumententexte, deine Antworten auf Rückfragen, die Stellenanzeige und der bisherige Gesprächsverlauf | EU und USA | Bis zu 55 Tage zur Missbrauchserkennung (Nutzungsrichtlinien, Stand 09.06.2026). Bei Recherche über die Google-Suche zusätzlich 30 Tage, die sich nicht abschalten lassen (ZDR-Dokumentation, Stand 14.09.2026). Kein Training mit bezahlten Anfragen. |
| OpenRouter Inc., mit Parallel Web Systems Inc. (Websuche) und Microsoft Azure bzw. OpenAI (Modell GPT-6 Luna) zu klären | Faktenprüfung: Zahlen und Firmenangaben im fertigen Anschreiben per Websuche prüfen | Einzelne Tatsachenaussagen über die Firma, bei der du dich bewirbst, oder über andere Firmen und Märkte (z. B. „Die Muster GmbH hat 1.200 Mitarbeitende“) samt Suchbegriffen. Namen von Personen in öffentlicher Rolle können darin vorkommen. Nicht dabei: dein Name, deine Anschrift, dein Lebenslauf oder das Anschreiben selbst. | USA | Das Modell läuft zuerst bei Microsoft Azure ohne Datenspeicherung (laut OpenRouter, Stand 29.09.2026). Nur wenn Azure ausfällt, antwortet OpenAI direkt; dort bis zu 30 Tage zur Missbrauchsprüfung. OpenRouter und Parallel: nach deren Bedingungen. |
| Stripe Payments Europe Ltd. eigenverantwortlich | Bezahlung von Guthaben | E-Mail-Adresse, Betrag, Bestellkennung und alles, was du direkt bei Stripe eingibst (Zahlungsdaten). Kartendaten sehen wir nie. | EU und USA | Nach den Regeln von Stripe; Zahlungsbelege unterliegen steuerlichen Fristen |
| Mailversand (konfigurierter Anbieter) Auftragsverarbeiter | Passwort zurücksetzen, E-Mail-Adresse bestätigen, Eingangsbestätigung eines Widerrufs, Benachrichtigung über eine Kontaktanfrage an unser Postfach | E-Mail-Adresse und der Inhalt der jeweiligen Nachricht (bei Kontaktanfragen: deine Nachricht und Adresse, nur an uns) | abhängig vom gewählten Anbieter | Nach den Regeln des Anbieters |
| Server-Hoster Auftragsverarbeiter | Betrieb der Anwendung und Speicherung der Datenbank | Alle gespeicherten Daten liegen auf diesem Server | wird vom Betreiber festgelegt | Solange dein Konto besteht; Sicherungen bis zu 7 Tage lokal und 30 Tage verschlüsselt außerhalb |
Soweit Daten in die USA gehen, stützen wir das auf die Standardvertragsklauseln bzw. den Angemessenheitsbeschluss der EU-Kommission für zertifizierte US-Unternehmen. Ein US-Anbieter kann US-Behördenzugriffen unterliegen; ein gleichwertiges Schutzniveau lässt sich nicht garantieren.
Für jeden Lauf gehen die dafür nötigen Inhalte an das gewählte Modell: dein Lebenslauf, die hinterlegten Dokumente, deine Antworten und die Stellenanzeige. Bei bezahlter Nutzung der Gemini-API verwendet Google diese Inhalte nach eigenen Angaben nicht zum Training seiner Modelle.
Was Google trotzdem aufbewahrt, und was sich nicht abschalten lässt:
Bei der Recherche ruft Google öffentliche Webseiten ab. Was dabei bei Dritten passiert, entzieht sich unserem Einfluss und unserer Kenntnis — wir können darüber keine Zusage machen.
Es gibt keinen Cookie-Banner, weil es nichts einzuwilligen gibt. Gesetzt wird nur, was technisch nötig ist:
| Name | Art | Wozu | Dauer |
|---|---|---|---|
cp_session | Cookie | Hält dich angemeldet. Enthält einen Zufallswert, dessen Hash bei uns liegt. | Bis zum Abmelden oder Ablauf |
cp-theme | Lokaler Speicher im Browser | Merkt sich hell oder dunkel. Verlässt deinen Browser nie. | Bis du den Browserspeicher leerst |
Keine Werbe-Cookies, keine Analysedienste von Dritten, keine externen Schriftarten- oder Skript-Server zur Laufzeit. Unsere eigene Besucherzählung kommt ohne Cookies und ohne lokalen Speicher aus: Ein kleines Skript meldet nur, welche Seite du aufrufst und, solange der Tab sichtbar ist, alle 30 Sekunden, dass du noch da bist. Sendet dein Browser „Do Not Track“ oder „Global Privacy Control“, zählen wir dich nicht.
Eine Sicherung lässt sich nicht einzeln durchsuchen. Nach einer Löschung kann dein Konto deshalb noch bis zu 30 Tage in einer verschlüsselten Sicherung enthalten sein. Wird eine Sicherung zurückgespielt, werden die Löschungen anhand eines Löschjournals erneut angewendet.
Konto, Lebenslauf, Dokumente, Antworten, Bewerbungen, Anschreiben, Verläufe und Nutzungsprotokolle werden gelöscht. Bestehen bleiben: pseudonyme Zahlungsbelege, soweit steuerliche Aufbewahrungspflichten das verlangen, ein Eintrag über die Löschung selbst (ohne deine Inhalte) und eine etwaige Widerrufserklärung als Beleg.
Übertragung nur über HTTPS. Passwörter als bcrypt-Hash, Sitzungstoken nur als Hash. Die Datenbank liegt auf einem Server mit eingeschränkten Rechten; Sicherungen liegen privat, die Kopie außerhalb des Servers ist verschlüsselt. Zugriff hat nur der Betreiber.
Fassung und Stand dieser Erklärung stehen oben. Ändert sich etwas Wesentliches — etwa ein neuer Empfänger —, ändern sich Fassung und Datum mit.