Datenschutzerklärung
Stand: April 2026 · Version 2.0
1. Verantwortlicher
Verantwortlicher im Sinne der DSGVO ist:
2. Überblick
Pathly ist eine KI-gestützte Bewerbungsplattform. Diese Datenschutzerklärung gilt für die Marketing-Website (path-ly.eu) sowie die registrierungspflichtige Plattform (Dashboard).
Daten werden nur erhoben, soweit es für den Betrieb erforderlich ist — nach dem Prinzip der Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO).
3. Hosting & Infrastruktur
Website und Plattform werden bei Vercel Inc. gehostet. Primäre Server: EU (Frankfurt). Vercel verarbeitet technische Zugriffsdaten (IP-Adresse, User-Agent, Zeitstempel). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Datenbank und Authentifizierung laufen auf Supabase (AWS eu-central-1, Frankfurt). Alle Daten sind AES-256 verschlüsselt (at rest) und via TLS 1.3 gesichert (in transit).
4. Datenerfassung auf der Website
Server-Log-Dateien
Bei jedem Aufruf werden technische Daten erfasst (IP-Adresse, Browser, Betriebssystem, Referrer, Uhrzeit). Diese dienen ausschließlich dem Betrieb und ermöglichen keine Personenidentifikation. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Warteliste (Tally.so)
Bei Eintragung in die Warteliste wird Ihre E-Mail-Adresse über Tally.so (EU-Server, DSGVO-konform) verarbeitet. Zweck: Launch-Benachrichtigung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Widerruf jederzeit unter contact@path-ly.eu.
Cookies & Tracking
Auf der Marketing-Website werden keine Tracking-Cookies gesetzt. Kein Google Analytics oder vergleichbares Tracking.
5. Datenverarbeitung in der Plattform
Für registrierte Nutzer werden folgende Datenkategorien verarbeitet:
6. KI-Verarbeitung & Transparenz
Pflichthinweis nach EU AI Act Art. 50
Pathly nutzt KI-Systeme zur Erstellung von Anschreiben, zur Lebenslauf-Optimierung und für Coaching-Gespräche. Diese Inhalte sind im Interface als „KI-generiert" gekennzeichnet.
Kein KI-Training mit Ihren Daten
Ihre Inhalte werden nicht zur Verbesserung externer KI-Modelle genutzt. Alle KI-Anbieter haben Zero Data Retention (ZDR) vertraglich zugesichert.
Datentrennung bei der Dokumentenverarbeitung
Bei der Verarbeitung Ihres Lebenslaufs werden Kontaktdaten (Name, E-Mail, Telefon) automatisch vom beruflichen Inhalt getrennt. Alle KI-Dienste arbeiten unter Zero Data Retention.
Mensch entscheidet
Alle KI-generierten Inhalte müssen aktiv vom Nutzer geprüft und freigegeben werden.
Besondere Datenkategorien
Fotos oder Angaben zu Behinderungen werden nur mit ausdrücklicher Einwilligung an KI-Dienste übertragen. Widerruf jederzeit in den Einstellungen.
Sprachaufnahmen
Coaching-Audio wird via Whisper transkribiert und sofort verworfen. Nur der Text verbleibt für die Sitzung.
7. Auftragsverarbeiter
Wir setzen technische Dienstleister ein, mit denen Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO bestehen. Die vollständige Liste ist auf Anfrage einsehbar:
8. Speicherdauer
Account-Daten
Solange das Konto aktiv ist. Bei Inaktivität > 12 Monate werden Anwendungsdaten automatisch gelöscht (Art. 5 Abs. 1 lit. e DSGVO).
Dokumente & Lebenslauf
Bis zur Nutzer-Löschung oder automatisch nach 12 Monaten Inaktivität.
Coaching-Protokolle
Chat anonymisiert nach 90 Tagen, Sitzung gelöscht nach 180 Tagen.
Einwilligungsnachweise
3 Jahre nach Account-Löschung (Art. 7 DSGVO — Beweissicherung).
Zahlungs-Audittrail
10 Jahre nach handels- und steuerrechtlichen Vorgaben (§ 147 AO).
Server-Logs
7 Tage, danach automatisch gelöscht.
9. Ihre Rechte
Sie können Ihre Rechte jederzeit unter contact@path-ly.eu oder direkt in der Plattform (Dashboard → Einstellungen → Sicherheit) ausüben:
Auskunft
Abruf aller gespeicherten Daten — als JSON-Export direkt in der App verfügbar.
Berichtigung
Korrektur unrichtiger Daten.
Löschung
Selbstständige Account-Löschung in der App (Dashboard → Einstellungen → Sicherheit).
Einschränkung
Einschränkung der Verarbeitung auf Anfrage.
Datenportabilität
Export Ihrer Daten als maschinenlesbares JSON direkt in der Plattform.
Widerspruch
Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen.
Widerruf
Widerruf Ihrer Einwilligung jederzeit mit Wirkung für die Zukunft.
Auf Anfragen antworten wir innerhalb von 30 Tagen (Art. 12 Abs. 3 DSGVO).
10. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), www.lda.bayern.de.
11. Sicherheitsmaßnahmen (TOM)
Verschlüsselung
AES-256 (gespeicherte Daten), TLS 1.3 (Übertragung).
Zugriffskontrolle
Row Level Security — jeder Nutzer sieht ausschließlich seine eigenen Daten.
Datentrennung
Kontaktdaten werden bei der Dokumentenverarbeitung automatisch vom beruflichen Inhalt getrennt. Alle KI-Dienste unter Zero Data Retention.
Rate Limiting
Alle APIs sind gegen Missbrauch geschützt (14 Endpunkte via Upstash Redis).
Fehlermonitoring
Sentry mit PII-Filterung, Session Replay deaktiviert.
Produktanalyse
PostHog via localStorage (keine Cookies), alle Eingaben maskiert.
12. Änderungen
Bei wesentlichen Änderungen der Verarbeitungstätigkeiten aktualisieren wir diese Erklärung und informieren registrierte Nutzer per Banner in der Plattform. Das Datum der letzten Änderung ist oben angegeben.