Was hier über dich gespeichert wird
Und wohin es geht. Stand 22.9.2026 — wenn sich etwas ändert, ändert sich diese Seite mit.
Das Kurze zuerst
Dieses System sammelt öffentliche Stellenanzeigen und hält sie neben dein Suchprofil. Über dich selbst speichert es so wenig wie möglich — aber nicht nichts, und ein Teil davon geht an Dritte. Die drei Punkte, die man wissen muss, bevor man etwas hochlädt:
- Wenn du auf „Anschreiben erzeugen" drückst, geht der Text deiner hochgeladenen Unterlagen an Anthropic — bis zu 40 000 Zeichen, über das Konto des Betreibers.
- Der Betreiber kommt technisch an alles. Nicht durch eine Lücke, sondern weil ihm der Rechner gehört.
- Der Löschknopf löscht wirklich — ausser in den Sicherungen, die 14 Tage nachlaufen.
Was gespeichert wird
Dein Konto: Mailadresse und ein Name, den das System beim ersten Mal aus der Adresse ableitet. Kein Passwort — es gibt keins. Angemeldet wird per Link an dein Postfach; in der Datenbank steht davon nur eine Prüfsumme, und der Link gilt 20 Minuten und einmal.
Dein Suchprofil: Ort, Umkreis, Stichwörter, Gehaltsuntergrenze und wie du dein Profil genannt hast.
Deine Unterlagen: die Datei selbst liegt verschlüsselt auf der Platte (AES-256-GCM); der Schlüssel steht nicht in der Datenbank. Der herausgelesene Text steht dagegen unverschlüsselt in der Datenbank — er muss dort lesbar sein, damit ein Anschreiben daraus entstehen kann. Wer die Datenbank hat, hat deinen Lebenslauf als Text.
Deine Anschreiben (der erzeugte und der von dir bearbeitete Text), dein Bewerbungsstand je Stelle samt Notiz und Verlauf, und zu jedem Treffer die Begründung, warum er zu deiner Suche passt.
Nicht gespeichert wird: Ansprechpartner aus Stellenanzeigen. Dafür gibt es keine Spalte, und das ist eine Zusicherung, keine Einstellung. Was ein Inserat im Fliesstext an Namen nennt, steht allerdings im Anzeigetext — das System liest ihn, wie die Quelle ihn geschrieben hat.
Wohin es geht
An Anthropic — nur beim Anschreiben
Erst wenn du den Knopf drückst. Dann gehen hinaus: Titel, Firma, Ort und der Anzeigentext der Stelle (bis 12 000 Zeichen), und der herausgelesene Text aller deiner nicht gelöschten Unterlagen — bis 15 000 Zeichen je Unterlage und 40 000 Zeichen zusammen. Du wählst dabei nicht aus, welche Unterlage mitgeht; es gehen alle.
Gerufen wird claude-opus-5 über das Konto des Betreibers. Einen eigenen Schlüssel kann man hier nicht hinterlegen. Ohne Knopfdruck geht nichts an Anthropic — das Sammeln, Filtern und Sortieren kommt ohne Modell aus.
An den Mailanbieter
Anmeldelinks, die Willkommensmail und der Wochenbericht gehen über mailbox.org hinaus; der Wochenbericht geht an deine eigene Adresse und enthält deine Treffer mit Titel, Firma und Ort. Die Mails sind reiner Text — kein HTML, kein Bild, keine Nachverfolgung.
An den Störungsmelder
Der Wächter meldet Betriebsstörungen an einen ntfy-Dienst. Dort stehen keine Namen und keine Adressen — aber bei zwei Prüfungen die Kennnummer eines Suchprofils und die Zahl seiner Treffer. Wer die Datenbank hat, kann die Nummer einer Person zuordnen.
Nicht an die Stellenbörsen
Das System holt Anzeigen und verrät dabei nichts über dich: kein Suchbegriff, keine Adresse, kein Hinweis, dass jemand sucht. Es lädt öffentliche Seiten, als läse sie jemand der Reihe nach.
Wer hineinsieht
Der Betreiber sieht in der Oberfläche die Liste aller Konten mit Mailadresse, Name, Rolle und Zustand, und kann jedes Konto ausser seinem eigenen sperren. Die Technikseiten zeigen Quellen, Läufe und Prüfbefunde — sie haben keine Verbindung zu Unterlagen oder Anschreiben, und das ist eine Eigenschaft der Abfragen, nicht eine Einstellung.
Technisch kommt er an alles. Die Datenbank läuft auf seinem Rechner, der Schlüssel für die Unterlagen liegt in einer Datei daneben, die Dateien selbst auch. Es gibt keine Verschlüsselung, die den Betreiber aussperrt, und es wäre unehrlich, so zu tun. Was dich schützt, ist nicht die Technik, sondern dass er es nicht tut.
Löschen und Mitnehmen
Unter Konto gibt es beides. Der Export gibt dir ein ZIP mit allem, was dir gehört: Konto, Suchprofil, Treffer samt Begründung, Bewerbungsstände, Anschreiben — und deine hochgeladenen Dateien im Klartext.
Der Löschknopf setzt eine Frist von 30 Tagen. Bis dahin kannst du es zurücknehmen — und du kommst auch in dieser Zeit noch herein, genau dafür. Danach wird hart gelöscht: Konto, Suchprofil, Treffer, Bewerbungsstände, Anschreiben, Unterlagen samt Datei auf der Platte.
Was der Löschknopf nicht erreicht
Die Sicherungen. Jede Nacht entsteht eine Kopie der Datenbank, und sie liegt 14 Tage. Der Löschpfad fasst sie nicht an. Nach einer Löschung stehst du also noch bis zu 14 Tage in diesen Kopien — danach nicht mehr, weil sie sich selbst wegräumen. Das ist der ehrliche Satz; „sofort und überall weg" wäre der unehrliche.
Die Stellenanzeigen selbst. Sie bleiben unbegrenzt — sie sind nicht über dich, sondern über den Arbeitsmarkt, und ein reparierter Leser muss alte Dokumente neu lesen können, ohne die Börsen noch einmal zu belasten.
Betriebsprotokolle. Prüfbefunde und Laufprotokolle bleiben stehen. Sie tragen keine Namen und keine Adressen — aber die Kennnummer eines Suchprofils kann darin stehen bleiben, nachdem das Profil weg ist. Sie zeigt dann ins Leere.
Woher die Anzeigen kommen
Jede Quelle trägt im System vermerkt, wie ihre Rechtslage beurteilt wurde. Drei der elf stehen auf „unangenehm": ihre Nutzungsbedingungen untersagen automatisiertes Auswerten, ihre robots.txt erlaubt die Stellenseiten aber. Sie laufen, solange dieses System privat genutzt wird — das ist eine bewusste Entscheidung des Betreibers und keine Auslegung, die er dir unterschiebt. Die übrigen acht sind öffentliche Arbeitgeber, Hochschulen und Karriereseiten ohne solche Klausel.
Gegenüber den Börsen verhält sich das System zurückhaltend: eine Anfrage zugleich je Anbieter, eine Pause dazwischen, nur nachts, und ein ehrlicher Absender mit Kontaktadresse. Wer sich beschweren will, findet, an wen.
Wenn etwas davon nicht stimmt
Dann ist es ein Fehler und gehört gemeldet. Die belegte Fassung dieses Textes — mit Datei und Zeile zu jedem Satz — liegt im Quellbaum unter docs/DATENFLUSS.md.