Datenschutzerklärung

Stand: 25. Oktober 2026

1. Verantwortlicher

Mentabay UG (haftungsbeschränkt)
Kolonnenstraße 8
10827 Berlin
E-Mail: contact@mentabay.com

Steppwell ist ein Produkt und eine Marke der Mentabay UG (haftungsbeschränkt).

2. Hosting und Server-Logs

Website und App werden bei Render (Render Services, Inc., USA) gehostet. Beim Aufruf verarbeitet der Server automatisch technische Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser-Typ), soweit dies für Auslieferung, Stabilität und Sicherheit des Dienstes erforderlich ist.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit Render besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist durch EU-Standardvertragsklauseln abgesichert.

3. Webanalyse (Umami)

Auf der Website nutzen wir Umami, ein datenschutzfreundliches Analysewerkzeug, das ohne Cookies arbeitet und keine geräteübergreifenden Nutzungsprofile erstellt. IP-Adressen werden nicht gespeichert; die Auswertung erfolgt aggregiert und anonym.

Rechtsgrundlage ist unser berechtigtes Interesse an der Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung ist mangels Zugriff auf Endgeräteinformationen nicht erforderlich.

4. Registrierung und Nutzung der App

Steppwell lässt sich ohne Nutzerkonto ausprobieren (siehe Ziffer 5a und 6). Für ein gespeichertes Profil, weitere Jobangebote, Übereinstimmungen, Bewerbungsunterlagen und Vorstellungsgespräche ist ein Nutzerkonto erforderlich. Dabei verarbeiten wir:

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für die Kampagne unser berechtigtes Interesse, zu zählen, welche Anzeige zu Konten und Käufen führt (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden in unserer Datenbank bei InstantDB (Auftragsverarbeiter) gespeichert. Die Anmeldung wird über ein HttpOnly-Cookie gehalten; dieses ist technisch notwendig und einwilligungsfrei (§ 25 Abs. 2 Nr. 2 TDDDG).

5. KI-gestützte Funktionen

Zur Erstellung von Anschreiben, zur Analyse deines Profils und für das Interview-Training übermitteln wir die dafür erforderlichen Inhalte (z. B. Lebenslaufdaten, Stellenbeschreibung, im Interview-Training deine Spracheingaben) an folgende Auftragsverarbeiter:

Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge; deine Inhalte werden vertragsgemäß nicht zum Training der KI-Modelle verwendet. Die Übermittlung an OpenAI (USA) ist durch EU-Standardvertragsklauseln abgesichert.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die KI-Ergebnisse sind Vorschläge; eine automatisierte Entscheidungsfindung mit Rechtswirkung im Sinne von Art. 22 DSGVO findet nicht statt.

Ohne Konto kann zu einer gefundenen Stelle eine kurze Firmenübersicht erzeugt werden. Dafür übermitteln wir Stellen- und Firmendaten — kein Profil — an Mistral AI. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der Suche). Nach der Registrierung gilt für dieselben Funktionen die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

5a. Ausprobieren auf der Startseite ohne Konto

Auf der Startseite kannst du Steppwell einmal ohne Konto ausprobieren: Du lädst deinen Lebenslauf hoch, Steppwell findet deine 5 besten Jobangebote, rechnet die Übereinstimmung, erstellt zu einem Jobangebot Anschreiben und Lebenslauf, und du kannst ein kurzes Vorstellungsgespräch mit dem Gesprächstrainer führen. Dafür verarbeiten wir:

Legst du danach ein Konto an, übernehmen wir die Ergebnisse auf deinen Wunsch in dein Konto; dann gilt Ziffer 4. Für die Statistik zählen wir nur, wie viele Durchgänge welchen Schritt erreichen, mit Tag, Sprache und Kampagne der Anzeige, ohne personenbezogene Daten. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf deine Anfrage (Art. 6 Abs. 1 lit. b DSGVO), für die Missbrauchsbegrenzung unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

6. Stellensuche

Die Jobsuche greift auf Stellendatenbanken Dritter zu. Übermittelt werden ausschließlich Suchparameter (z. B. Berufsbezeichnung, Ort, Land, Arbeitszeit) — über unseren Server, ohne deine IP-Adresse, dein Gerät oder sonstige dich identifizierende Merkmale. Gehaltsspannen zur Rolle und Region kommen auf demselben Weg. Es findet keine Auftragsverarbeitung deiner personenbezogenen Daten durch diese Anbieter statt. Rechtsgrundlage der Suchanfrage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die konkreten Anbieter nennen wir auf Anfrage.

Ohne Konto ist eine Stellensuche möglich (eine Suche pro Browsersitzung, höchstens fünf Treffer). Dafür speichern wir die Suchparameter in einem sitzungsbezogenen Cookie und begrenzen Anfragen zusätzlich anhand der IP-Adresse gegen Missbrauch. Es wird kein Nutzerkonto angelegt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz und Bereitstellung der Suche).

7. Zahlungsabwicklung (Stripe)

Zugänge und Zusatzpakete werden über Stripe (Stripe Payments Europe, Ltd., Irland) abgewickelt. Deine Zahlungsdaten (z. B. Kartendaten, Name, Rechnungsadresse) gibst du direkt bei Stripe ein; wir erhalten und speichern keine vollständigen Zahlungsdaten, sondern nur Kunden- und Kaufreferenzen, den Betrag sowie den Zahlungs- und Erstattungsstatus.

Stripe ist für die Zahlungsabwicklung teilweise eigenständig datenschutzrechtlich verantwortlich. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Weitere Informationen: Datenschutzerklärung von Stripe.

8. Fehlererfassung (Sentry) — nur mit Einwilligung

Zur Erkennung technischer Fehler nutzen wir Sentry (Functional Software, Inc., USA). In der App wird Sentry erst geladen, wenn du im Consent-Banner ausdrücklich zugestimmt hast (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Erfasst werden dann technische Fehlerberichte (Fehlermeldung, Browser, Betriebssystem, gekürzte IP-Adresse) — keine Profil- oder Bewerbungsinhalte. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du die Website-Daten (Local Storage) deines Browsers für app.steppwell.de löschst; der Banner erscheint dann erneut. Mit Sentry besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist durch EU-Standardvertragsklauseln abgesichert.

9. Cookies und Local Storage

Wir setzen ausschließlich technisch notwendige Cookies bzw. Local-Storage-Einträge ein (Anmeldung, Gäste-Suche sw_guest_search, Zwischenstand beim Ausprobieren im sessionStorage des Tabs, Spracheinstellung, deine Consent-Entscheidung). Diese sind für den Betrieb erforderlich und einwilligungsfrei (§ 25 Abs. 2 Nr. 2 TDDDG).

Optionale Dienste (derzeit nur Sentry, siehe Ziffer 8) laden erst nach deiner Einwilligung. Marketing- oder Tracking-Cookies verwenden wir nicht. Cloudflare Turnstile am Kontaktformular setzt keine Marketing-Cookies.

10. Empfänger und Drittlandübermittlung

Mit allen genannten Auftragsverarbeitern (InstantDB, Render, Mistral AI, OpenAI, Sentry, Cloudflare, Resend) bestehen Verträge nach Art. 28 DSGVO.

Soweit Daten in Länder außerhalb der EU/des EWR übermittelt werden (USA: Render, OpenAI, Sentry, InstantDB, Cloudflare, Resend), ist die Übermittlung durch EU-Standardvertragsklauseln und ergänzende Maßnahmen abgesichert. Eine Weitergabe an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind.

11. Speicherdauer

Deine Konto- und Profildaten bleiben gespeichert, bis du dein Konto löschst. Die Löschung ist jederzeit direkt in der App möglich und entfernt alle personenbezogenen Daten unwiderruflich. Rechnungs- und Zahlungsdaten bewahren wir auf, solange gesetzliche Aufbewahrungsfristen (6 bzw. 10 Jahre, §§ 147 AO, 257 HGB) dies verlangen.

12. Deine Rechte

Du hast das Recht auf:

Löschung und Datenexport sind direkt in der App über dein Profil möglich. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), z. B. bei der Aufsichtsbehörde deines Wohnorts oder unseres Sitzes.

13. Kontaktformular

Über das Formular auf /kontakt nimmst du Kontakt zu Steppwell auf. Wir verarbeiten Name (wenn du ihn angibst), E-Mail-Adresse und Nachricht, um zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung deiner Anfrage).

Die Nachricht speichern wir in derselben Datenbank wie das Produkt (InstantDB), bis die Anfrage erledigt ist oder du Löschung verlangst. Die Antwort geht von service@steppwell.de an die Adresse, die du angegeben hast.

Damit wir deine Nachricht sofort sehen, leiten wir sie mit Resend (Plus Five Five, Inc., USA; Versand über Server in der EU) per E-Mail an unser Postfach service@steppwell.de weiter. Dabei werden Name, E-Mail-Adresse und Nachricht an Resend übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der zügigen Bearbeitung deiner Anfrage).

Zum Schutz vor Missbrauch prüfen wir die Absendung mit Cloudflare Turnstile (Cloudflare, Inc., USA). Dabei können technische Daten wie IP-Adresse und Browserdaten an Cloudflare übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr automatisierter Anfragen).

Das Prüf-Token speichern wir nicht. Zusätzlich speichern wir für höchstens eine Stunde eine Prüfsumme der Verbindungsadresse, um Wiederholungen zu begrenzen.

14. Kontakt

Bei Fragen zum Datenschutz wende dich an: contact@mentabay.com