Datenschutzrichtlinie

Zuletzt aktualisiert: 16. April 2026

1. Einleitung & Verantwortliche Stelle

Diese Datenschutzrichtlinie erläutert, wie Zumia ('wir', 'uns' oder 'unser') Ihre personenbezogenen Daten erhebt, verwendet, speichert und schützt, wenn Sie unseren KI-gestützten Lebenslauf-Optimierungsdienst unter zumia.app nutzen.

Zumia wird von einer Einzelperson mit Sitz in der Schweiz betrieben. Es gibt keine formale juristische Person. Für die Zwecke der EU-Datenschutz-Grundverordnung (DSGVO) und des Schweizer Bundesgesetzes über den Datenschutz (DSG) handelt der Betreiber als Verantwortlicher. Die Kontaktdaten sind in Abschnitt 12 angegeben.

Durch die Nutzung von Zumia stimmen Sie den in dieser Richtlinie beschriebenen Praktiken zu. Bitte lesen Sie auch unsere Nutzungsbedingungen.

2. Von uns erhobene Daten

Kontoinformationen

  • E-Mail-Adresse - wird zur Authentifizierung, Kontowiederherstellung und für Transaktionsbenachrichtigungen verwendet
  • Passwort - sicher gehasht mit branchenüblichem Hashing (wir speichern niemals Passwörter im Klartext)
  • Konto-Zeitstempel - wann Ihr Konto erstellt wurde und Ihr letztes Aktivitätsdatum

Informationen zu Zugriffsanfragen

  • Für den Frühzugang eingereichte E-Mail-Adresse - wird erhoben, wenn Sie Zugang anfordern, damit wir Ihre Anfrage prüfen und Sie benachrichtigen können, wenn der Zugang gewährt wird

Lebenslauf- & Stellendaten

  • Basis-Lebenslauf-Inhalt - der Lebenslauf, den Sie hochladen oder in den Dienst einfügen
  • Stellenbeschreibungen - Stellenbeschreibungen und Anforderungen, die Sie angeben
  • KI-generierte optimierte Lebensläufe - individuell zugeschnittene Versionen, die vom KI-Assistenten erstellt wurden
  • Gesprächsverlauf - Ihre Interaktionen mit dem KI-Assistenten. Dieser wird mit der gleichen Sorgfalt behandelt wie Ihre Lebenslauf-Inhalte und ist in allen Datenexporten und -löschungen enthalten.
  • Wissensbibliotheks-Einträge - wiederverwendbare Erfahrungsfakten, die Sie für zukünftige Lebenslauf-Optimierungen speichern

Benutzereinstellungen

  • KI-Richtlinien (benutzerdefinierte Anweisungen für den KI-Assistenten)
  • Dateinamen-Vorlage
  • Druckränder
  • Bevorzugte Sprache

Abrechnungsdaten

  • Guthaben und Transaktionsverlauf - verwaltet über Lemon Squeezy. Wir speichern keine Zahlungskartendaten direkt.

Analysedaten (Nur bei Opt-in)

  • PostHog-Analysen - Seitenaufrufe, Funktionsnutzung und Ausnahmen. Diese Daten werden nur erhoben, wenn Sie der Analyse zugestimmt haben. Wenn Sie ablehnen, werden keine Tracking-Daten erfasst.

3. Wie wir Ihre Daten verwenden

Wir verarbeiten Ihre personenbezogenen Daten für die folgenden Zwecke, jeweils mit einer spezifischen Rechtsgrundlage gemäß DSGVO:

Bereitstellung des Lebenslauf-Optimierungsdienstes

Zweck: Verarbeitung Ihrer Lebenslauf-Inhalte, Stellenbeschreibungen und des Gesprächsverlaufs zur Erstellung personalisierter Lebenslauf-Optimierungsvorschläge.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) – diese Verarbeitung ist erforderlich, um den Dienst zu erbringen, für den Sie sich angemeldet haben.

Kontoverwaltung & Benachrichtigungen

Zweck: Versand von Transaktions-E-Mails (Kontobestätigung, Passwortzurücksetzung) über Loops.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Abrechnung & Guthabenverwaltung

Zweck: Verwaltung Ihres Guthabens und Abwicklung von Transaktionen über Lemon Squeezy.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Verwaltung von Zugriffsanfragen

Zweck: Verwaltung von Zugriffsanfragen und Benachrichtigung der Nutzer, wenn der Zugang gewährt wird.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) – wir müssen den Zugang zur Beta-Version kontrollieren und Anfragesteller über ihren Status informieren.

Kontosicherheit

Zweck: CAPTCHA-Verifizierung über Cloudflare Turnstile zur Verhinderung von Missbrauch und automatisierten Angriffen.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) – Schutz des Dienstes und seiner Nutzer vor Betrug und Missbrauch.

Analyse & Dienstverbesserung

Zweck: Verstehen, wie der Dienst genutzt wird, um die Qualität zu verbessern und Probleme zu beheben, über PostHog-Analysen.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) – Analysen werden nur erhoben, wenn Sie ausdrücklich zugestimmt haben.

Wir verkaufen, vermieten oder teilen Ihre personenbezogenen Daten nicht mit Dritten zu Werbe- oder Marketingzwecken.

Ist die Bereitstellung Ihrer Daten obligatorisch? Die Angabe Ihrer E-Mail-Adresse zur Anforderung des Zugangs und später Ihrer E-Mail-Adresse und Lebenslauf-Inhalte zur Nutzung des Dienstes sind in jedem Stadium notwendige Schritte. Ohne diese können wir Ihre Anfrage nicht bearbeiten oder den Dienst erbringen. Analysedaten sind völlig optional.

4. KI-Verarbeitung & Drittanbieter-Dienste

OpenAI – KI-Verarbeitung

Zumia verwendet die OpenAI-API, um seinen KI-Assistenten zu betreiben. OpenAI hat seinen Sitz in den Vereinigten Staaten. Wir verwenden die aktuellen Sprachmodelle von OpenAI für Chat-Interaktionen, Lebenslauf-Analyse, Inhaltsextraktion und semantische Einbettungen.

An OpenAI übermittelte Daten:

  • Ihre Lebenslauf-Inhalte
  • Stellenbeschreibungen
  • Gesprächsverlauf
  • Wissensbibliotheks-Einträge
  • Von Ihnen konfigurierte KI-Richtlinien

Wichtige Schutzmaßnahmen:

  • Zero-Retention-Modus ist aktiviert - OpenAI speichert nach der Verarbeitung Ihrer Anfrage keine Anfrage- oder Antwortdaten.
  • Kein Modelltraining - gemäß den API-Bedingungen von OpenAI werden über die API übermittelte Daten nicht zum Training oder zur Verbesserung der OpenAI-Modelle verwendet.
  • Keine autonomen Entscheidungen - der KI-Assistent unterstützt Sie bei der Optimierung Ihres Lebenslaufs durch die Generierung von Vorschlägen. Er trifft keine autonomen Entscheidungen, die rechtliche oder ähnlich bedeutsame Auswirkungen auf Sie haben. Sie behalten die volle Kontrolle über das Annehmen, Bearbeiten oder Ablehnen von KI-generierten Vorschlägen.

Weitere Drittanbieter-Dienste

  • Supabase - Datenbank-Hosting und Authentifizierung (EU-gehostet, Frankfurt)
  • Digital Ocean - Server-Infrastruktur (EU-gehostet, Frankfurt)
  • Lemon Squeezy - Abrechnung und Zahlungsabwicklung (Vereinigte Staaten)
  • Loops - Transaktions-E-Mail-Versand (Vereinigte Staaten)
  • Cloudflare Turnstile - CAPTCHA-Verifizierung für Kontosicherheit (Vereinigte Staaten)
  • PostHog - Analysen (nur bei Opt-in, EU-gehostet)

Mit allen Drittanbieter-Verarbeitern haben wir Datenverarbeitungsverträge abgeschlossen.

5. Datenspeicherung & Sicherheit

Wir nehmen die Sicherheit Ihrer Daten ernst und setzen folgende Maßnahmen um:

  • Datenbank: - Ihre Daten werden in Supabase mit strengen Zugriffskontrollen gespeichert, die sicherstellen, dass jeder Nutzer nur auf seine eigenen Daten zugreifen kann.
  • Verschlüsselung bei der Übertragung: - Alle Daten, die zwischen Ihrem Browser, unseren Servern und Drittanbieter-Diensten übertragen werden, sind verschlüsselt.
  • Verschlüsselung im Ruhezustand: - In der Datenbank gespeicherte Daten werden im Ruhezustand verschlüsselt.
  • Passwortsicherheit: - Passwörter werden mit branchenüblichem Hashing über Supabase Auth gehasht. Wir speichern niemals Passwörter im Klartext und haben keinen Zugriff darauf.
  • Server-Infrastruktur: - Die Anwendung wird auf Digital Ocean mit sicheren Standardeinstellungen bereitgestellt.

6. Internationale Datentransfers

Da Zumia von der Schweiz aus betrieben wird und internationale Dienstleister nutzt, können Ihre Daten außerhalb der Schweiz und des Europäischen Wirtschaftsraums (EWR) übertragen werden. Wir stellen sicher, dass für alle Übertragungen geeignete Schutzmaßnahmen vorhanden sind:

  • OpenAI (Vereinigte Staaten) - Lebenslauf-Inhalte und Gesprächsdaten werden für die KI-Verarbeitung an OpenAI-Server in den USA übermittelt. OpenAI ist nach dem EU-US-Datenschutzrahmen zertifiziert. Zusätzlich bedeutet der Zero-Retention-Modus, dass Ihre Daten nach der Verarbeitung nicht bei OpenAI gespeichert werden.
  • PostHog (Europäische Union) - Analysedaten werden innerhalb der EU gehostet und nur erhoben, wenn Sie zugestimmt haben.
  • Supabase (EU-gehostet, Frankfurt) - Datenbank-Hosting und Authentifizierungsdienste. Kein Transfer außerhalb des EWR.
  • Digital Ocean (EU-gehostet, Frankfurt) - Server-Infrastruktur. Kein Transfer außerhalb des EWR.
  • Lemon Squeezy (Vereinigte Staaten) - Abrechnung und Zahlungsdatenverarbeitung.
  • Loops (Vereinigte Staaten) - Transaktions-E-Mail-Versand.
  • Cloudflare (Vereinigte Staaten) - CAPTCHA-Verifizierung (Turnstile).

Die Schweiz wird von der Europäischen Kommission als Land mit einem angemessenen Datenschutzniveau anerkannt. Für Übertragungen in die Vereinigten Staaten stützen wir uns, sofern anwendbar, auf den EU-US-Datenschutzrahmen, von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCCs) oder andere geeignete Schutzmaßnahmen gemäß den gesetzlichen Anforderungen.

7. Datenspeicherfristen

  • Ausstehende Zugriffsanfragen - über die Warteliste zur Zugriffsanfrage eingereichte E-Mail-Adressen werden bis zu 12 Monate lang gespeichert, während die Anfrage aussteht, und dann automatisch gelöscht.
  • Aktive Kontodaten - Ihre Lebenslauf-Inhalte, Stellenbeschreibungen, Gesprächsverlauf, Wissensbibliothek, Einstellungen und andere Kontodaten werden gespeichert, solange Ihr Konto aktiv ist.
  • Inaktive Konten - wenn Ihr Konto für 365 Tage keine nennenswerte Aktivität aufweist, senden wir Warnmails 30 Tage und 7 Tage vor der Löschung Ihrer gespeicherten Stellenkontexte, Wissensbibliotheks-Einträge, Lebenslauf-Versionen, Benachrichtigungen, des Basis-Lebenslaufs und der KI-Richtlinien. Ihr Konto, Ihre Authentifizierungsdaten, Ihr Guthaben, Ihr Transaktionsverlauf, Ihre bevorzugte Sprache, Ihre Dateinamen-Vorlage und Ihre Druckränder bleiben verfügbar, damit Sie neu beginnen können.
  • KI-Verarbeitungsdaten - Der Zero-Retention-Modus ist aktiviert. OpenAI speichert nach der Verarbeitung keine Anfrage- oder Antwortdaten.
  • Analysedaten - unterliegen den Aufbewahrungsrichtlinien von PostHog. Analysen sind nur bei Opt-in verfügbar.
  • Kredit-Transaktionen - Der Transaktionsverlauf wird für Abrechnungsunterlagen gespeichert, solange Ihr Konto besteht, und wird gelöscht, wenn Ihr Konto gelöscht wird.
  • Nennenswerte Aktivität - das Erstellen oder Aktualisieren eines Stellenkontexts, das Erstellen oder Aktualisieren eines Wissensbibliotheks-Eintrags, das Generieren oder Herunterladen eines Lebenslaufs oder das Aktualisieren Ihrer Einstellungen setzt den Inaktivitätszähler zurück. Das bloße Einloggen oder Aktualisieren Ihrer Sitzung tut dies nicht.

8. Ihre Rechte

Gemäß der DSGVO und dem Schweizer DSG haben Sie folgende Rechte bezüglich Ihrer personenbezogenen Daten:

  • Auskunftsrecht (Art. 15 DSGVO) - Sie können eine Kopie Ihrer personenbezogenen Daten anfordern. Zumia bietet eine integrierte Datenexportfunktion in Ihren Kontoeinstellungen.
  • Recht auf Berichtigung (Art. 16 DSGVO) - Sie können unrichtige Daten korrigieren. Alle Ihre Daten (Lebenslauf-Inhalte, Wissensbibliothek, Einstellungen usw.) können direkt in der App bearbeitet werden.
  • Recht auf Löschung (Art. 17 DSGVO) - Sie können Ihr Konto und alle zugehörigen Daten jederzeit über die Kontolöschungsfunktion in Ihren Einstellungen löschen. Diese Aktion ist unwiderruflich und umfasst die Löschung Ihres Kontos und Ihrer Authentifizierungsdaten, Lebenslauf-Inhalte und Stellenbeschreibungen, KI-generierten optimierten Lebensläufe, des Gesprächsverlaufs, der Wissensbibliotheks-Einträge, Benutzereinstellungen sowie des Guthabens und Transaktionsverlaufs.
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO) - Sie können alle Ihre Daten in einer strukturierten, maschinenlesbaren Datei über die Exportfunktion in Ihren Kontoeinstellungen exportieren. Dies umfasst Ihre Lebenslauf-Inhalte, Stellenbeschreibungen, den Gesprächsverlauf, Wissensbibliotheks-Einträge und Einstellungen, sodass Sie Ihre Daten bei Bedarf zu einem anderen Dienst übertragen können.
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) - Sie können beantragen, dass wir die Verarbeitung Ihrer Daten einschränken. Kontaktieren Sie uns unter privacy@zumia.app.
  • Widerspruchsrecht (Art. 21 DSGVO) - Sie können der Verarbeitung aufgrund berechtigter Interessen widersprechen. Kontaktieren Sie uns unter privacy@zumia.app.
  • Rechte im Zusammenhang mit automatisierter Entscheidungsfindung (Art. 22 DSGVO) - Der KI-Assistent von Zumia gibt nur Vorschläge und Empfehlungen. Er trifft keine autonomen Entscheidungen, die rechtliche oder ähnlich bedeutsame Auswirkungen auf Sie haben. Sie haben stets die volle Kontrolle darüber, ob Sie KI-Vorschläge annehmen, ändern oder ablehnen.

Um diese Rechte auszuüben, können Sie die In-App-Funktionen nutzen oder uns unter privacy@zumia.app kontaktieren. Wir werden innerhalb von 30 Tagen auf Ihre Anfrage antworten.

9. Cookies & Tracking-Technologien

Wesentliche Speicherung

Wir verwenden den lokalen Speicher Ihres Browsers (keine Cookies) für wesentliche Funktionen:

  • Supabase-Auth-Sitzung - hält Sie angemeldet
  • Sprachpräferenz - speichert Ihre gewählte Sprache

Diese sind für das Funktionieren des Dienstes unbedingt erforderlich und benötigen keine Einwilligung.

Analysen (Nur bei Opt-in)

Wenn Sie der Analyse zustimmen, erhebt PostHog Nutzungsdaten (Seitenaufrufe, Funktionsnutzung, Ausnahmen), um uns bei der Verbesserung des Dienstes zu helfen. Wenn Sie Analysen ablehnen, werden keine Cookies oder Tracking-Kennungen gesetzt.

Was wir nicht verwenden

  • Keine Werbe-Cookies
  • Keine Drittanbieter-Marketing-Tracker
  • Keine Social-Media-Tracking-Pixel

Sie können Ihre Analyse-Einwilligung jederzeit über die Cookie-Einstellungen in der App oder durch Löschen des lokalen Speichers Ihres Browsers ändern.

10. Datenschutz für Kinder

Zumia ist nicht für die Nutzung durch Personen unter 16 Jahren vorgesehen. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Wenn Sie glauben, dass ein Kind unter 16 Jahren uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte unter privacy@zumia.app und wir werden Maßnahmen ergreifen, um diese Informationen zu löschen.

11. Änderungen dieser Richtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren, um Änderungen in unseren Praktiken, der Technologie oder rechtlichen Anforderungen widerzuspiegeln. Bei wesentlichen Änderungen werden wir Sie per E-Mail oder durch einen prominenten Hinweis in der App benachrichtigen, bevor die Änderungen in Kraft treten.

Wir empfehlen Ihnen, diese Seite regelmäßig zu überprüfen. Das Datum 'Zuletzt aktualisiert' oben auf der Seite gibt an, wann die Richtlinie zuletzt überarbeitet wurde.

12. Kontakt & Aufsichtsbehörde

Wenn Sie Fragen, Bedenken oder Anfragen zu dieser Datenschutzrichtlinie oder der Verarbeitung Ihrer personenbezogenen Daten haben, kontaktieren Sie uns bitte:

Wenn Sie der Meinung sind, dass Ihre Datenschutzrechte verletzt wurden, haben Sie das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen:

  • Für Nutzer in der Schweiz: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) – www.edoeb.admin.ch
  • Für EU-Nutzer: Ihre lokale Datenschutzbehörde (DSB) in dem EU-Mitgliedstaat, in dem Sie wohnen, arbeiten oder in dem der behauptete Verstoß begangen wurde.