Datenschutzerklärung für Karuna Care

Diese Datenschutzerklärung verwendet die Begriffe der DSGVO. Damit sie für Sie verständlich ist, erläutern wir vorab die wichtigsten Begriffe:

• Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name, Anschrift, E-Mail-Adresse, Telefonnummer oder Online-Kennung).
• Besondere Kategorien personenbezogener Daten: Daten nach Art. 9 Abs. 1 DSGVO, die einen erhöhten Schutz genießen (insbesondere Daten über Gesundheit, ethnische Herkunft, religiöse Überzeugungen sowie biometrische Daten).
• Verarbeitung: Jeder Vorgang im Zusammenhang mit personenbezogenen Daten (z. B. Erheben, Speichern, Verwenden, Übermitteln oder Löschen).
• Einschränkung der Verarbeitung: Die Markierung gespeicherter Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken.
• Profiling: Jede automatisierte Verarbeitung, bei der Daten genutzt werden, um persönliche Aspekte einer Person zu bewerten.
• Pseudonymisierung: Die Verarbeitung in einer Weise, bei der die Daten ohne Hinzuziehung zusätzlicher, gesondert aufbewahrter Informationen keiner Person mehr zugeordnet werden können.
• Verantwortlicher: Die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung entscheidet.
• Auftragsverarbeiter: Eine Stelle, die personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet (z. B. unser Hosting-Dienstleister).
• Einwilligung: Jede freiwillig, informiert und unmissverständlich abgegebene Willensbekundung, mit der Sie der Verarbeitung Ihrer Daten zustimmen.

Verantwortlicher im Sinne der DSGVO ist:

Welche personenbezogenen Daten wir verarbeiten, hängt davon ab, in welcher Rolle Sie unsere Plattform nutzen.

Im Rahmen der Vermittlung verarbeiten wir Daten, die als besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO einzustufen sind oder solche Daten enthalten können:

• Lebenslauf und Arbeitszeugnisse können Rückschlüsse auf Gesundheitsdaten erlauben (z. B. Einsatzbereiche und Patientenkontakt).
• Reisepass, Personalausweis und Profilfoto enthalten biometrische Daten und können Hinweise auf die ethnische Herkunft geben.
• Namensänderungs- und Heiratsurkunden können Hinweise auf den Familienstand und mittelbar auf religiöse Überzeugungen enthalten.

Rechtsgrundlage: Diese Verarbeitung erfolgt ausschließlich auf Ihre ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO, die Sie bei der Registrierung über ein gesondertes Auswahlfeld erteilen. Ohne diese Einwilligung ist eine Teilnahme am Vermittlungsverfahren nicht möglich. Den Wortlaut Ihrer Einwilligung speichern wir versioniert. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Wir verarbeiten Ihre Daten ausschließlich für die folgenden Zwecke:

• Durchführung des Vermittlungsverfahrens von Pflegefachkräften aus Indien nach Deutschland.
• Auswahl und Zuordnung von Kandidaten zu passenden Gesundheitseinrichtungen (Matching) durch unser Administrationsteam.
• Verwaltung und Nachverfolgung des Verfahrensstatus (Bewerbung, Pool, Zuweisung, B2-Sprachphase, Anerkennung, Visum, Abschluss).
• Kommunikation zwischen uns, Kandidaten und Arbeitgebern per E-Mail und In-App-Benachrichtigung.
• Gewährleistung der Kontosicherheit (Passwortprüfung, Anmeldeschutz, E-Mail-Verifizierung).

• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung und vorvertragliche Maßnahmen (Durchführung des Vermittlungsverfahrens und Verwaltung des Nutzerkontos).
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (soweit erteilt); für besondere Kategorien zusätzlich Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).
• Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung (z. B. zur Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten).
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigtes Interesse (Plattformsicherheit, Missbrauchsprävention und progressive Kontosperrung bei fehlgeschlagenen Anmeldeversuchen).

Um unsere Plattform sicher und zuverlässig bereitzustellen und das Vermittlungsverfahren durchzuführen, geben wir personenbezogene Daten an Dritte weiter oder setzen externe Dienstleister ein. Dies geschieht nur, soweit es rechtlich zulässig und für die genannten Zwecke erforderlich ist.

Einsatz von Auftragsverarbeitern (IT-Dienstleister)

Wir setzen weisungsgebundene Dienstleister ein, die Daten ausschließlich in unserem Auftrag und nach unseren Vorgaben verarbeiten (Art. 28 DSGVO). Hierzu gehören Dienstleister aus folgenden Kategorien:

• Hosting- und Cloud-Anbieter: Zur Bereitstellung unserer Server-Infrastruktur, Datenbanken sowie zur sicheren Speicherung von hochgeladenen Dokumenten und Profilfotos.
• Kommunikationsdienstleister: Für den technischen Versand von System-E-Mails (z. B. Passwort-Reset, Verifizierungen).

Soweit wir Dienstleister einsetzen, deren Server oder Mutterkonzerne in einem Drittland (z. B. den USA) sitzen, stellen wir ein angemessenes Datenschutzniveau sicher. Dies erfolgt primär über den Abschluss von EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) sowie Zertifizierungen unter dem EU-US Data Privacy Framework.

Eine darüber hinausgehende Weitergabe an externe Dritte erfolgt nur, soweit eine gesetzliche Verpflichtung besteht oder dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen zwingend erforderlich ist.

Die Plattform verwendet ausschließlich ein technisch notwendiges Session-Cookie (next-auth.session-token) zur Aufrechterhaltung Ihrer Anmeldung. Es handelt sich um ein HTTP-Only-Cookie mit verschlüsseltem Inhalt (JWT). Tracking-, Marketing- oder Analyse-Cookies setzen wir nicht ein. Eine Einwilligung nach § 25 TDDDG ist daher nicht erforderlich.

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorsehen.

Daten aktiver Kandidaten und Arbeitgeber werden für die Dauer des Vermittlungsverfahrens verarbeitet. Nach Abschluss des Verfahrens werden Kontodaten archiviert und auf Ihren Wunsch gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Verifizierungs-Tokens werden automatisch nach 24 Stunden, Passwort-Reset-Tokens nach einer Stunde gelöscht.

Ihnen stehen nach der DSGVO die folgenden Rechte zu:

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an info@karunacare.de. Die für uns zuständige Aufsichtsbehörde ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

Wir setzen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO ein, die Ihnen gegenüber rechtliche Wirkung entfalten. Bestimmte Statusänderungen werden technisch unterstützt (z. B. der Wechsel von „Bewerber“ zu „Pool-Kandidat“ nach einem Upload). Diese Vorgänge dienen der Organisation und stehen stets unter der Aufsicht unseres Administrationsteams. Die Zuordnung von Kandidaten zu Arbeitgebern (Matching) erfolgt manuell. Ein Profiling zu Werbezwecken findet nicht statt.

Wir schützen Ihre Daten durch geeignete technische und organisatorische Maßnahmen:

• Verschlüsselte Datenübertragung (HTTPS/TLS)
• Als Hashes gespeicherte Passwörter & verschlüsselte Sitzungstokens (JWT)
• Rollenbasierte Zugriffskontrolle (Kandidaten sehen nur eigene Daten, Arbeitgeber nur zugewiesene Kandidaten)
• Datenschutzkonforme Dokumentenfilterung (Identitäts- und Rechtsdokumente sind für Arbeitgeber nie zugänglich)
• Progressive Kontosperrung bei verdächtigen Anmeldeaktivitäten

Trotz dieser Maßnahmen kann eine internetbasierte Datenübertragung grundsätzlich Sicherheitslücken aufweisen; ein absoluter Schutz ist nicht möglich.

Die Bereitstellung bestimmter Daten ist teils gesetzlich vorgeschrieben, teils vertraglich erforderlich oder ergibt sich aus der Natur des Vermittlungsverfahrens. Ohne die erforderlichen Daten und Dokumente können wir das Vermittlungsverfahren nicht durchführen.

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite.