Stand: 7. September 2026
Verantwortlicher: Thomas Hoche / Joshua Tree Labs, Am Carlusbaum 11, 65812 Bad Soden am Taunus, Deutschland, [email protected]

Kurzfassung

• Alles Persönliche, also Name, Anschrift, Kontaktdaten, Geburtsdatum, Foto, Unterschrift, deine Bewerbungen und die erzeugten PDF-Dateien, bleibt auf deinem Gerät. Es gibt keine Werbung, kein Tracking und keine Analysewerkzeuge.
• Zum Erzeugen eines Textes verlassen nur die beruflichen Angaben deines Profils, die strukturierte Stellenanzeige und deine Notizen das Gerät. Dein Name, deine Anschrift, Telefonnummer, E-Mail-Adresse, Geburtsdatum, Foto und Unterschrift bleiben hier; Briefkopf und Unterschriftszeile setzt erst das PDF ein.
• Unser Dienst speichert diese Anfragen nicht. Das KI-Modell wird nur über Wege angesprochen, die das Speichern und Trainieren mit deinen Inhalten ausschließen.
• Es gibt kein Nutzerkonto. Du meldest dich nirgends an, und es liegen keine Bewerbungsunterlagen bei uns.
• Löschen kannst du alles selbst, jederzeit, in der App.

1. Welche Daten wo verarbeitet werden

Auf deinem Gerät

Der Bewerbungs-Coach speichert dein Profil, importierte Lebensläufe und Stellenanzeigen im Originaltext, deine Bewerbungen, Anschreiben, Notizen, Foto, Unterschrift und die erzeugten PDF-Dateien auf deinem Gerät. In den Apps für iPhone und Mac liegen sie im geschützten Bereich der App, in der Fassung im Browser in dessen IndexedDB, dort zusätzlich verschlüsselt mit einem Schlüssel, der bei der ersten Nutzung entsteht, nicht auslesbar ist und das Gerät nicht verlässt. Diese Daten verlassen das Gerät nicht, außer du überträgst sie selbst, etwa als exportierte Datei. Das PDF entsteht vollständig auf dem Gerät; der Briefkopf mit deinen Kontaktdaten wird erst dort eingesetzt.

Beim Erzeugen eines Textes

Wenn du ein Anschreiben, einen zugeschnittenen Lebenslauf, eine Prüfung oder eine Neuformulierung anforderst, sendet die App an unseren Dienst: Berufserfahrung, Ausbildung, Kenntnisse, Sprachen, Zertifikate und Projekte ohne Kontaktdaten und ohne deinen Namen; die strukturierte Stellenanzeige mit Firma, Titel, Anforderungen, Aufgaben und dem Namen einer dort genannten Ansprechperson; deine Notizen zu dieser Bewerbung. Beim Import eines Lebenslaufs oder einer Anzeige wird der eingegebene Text zur Strukturierung gesendet, ohne E-Mail-Adressen, Telefonnummern und Links, die die App vorher auf dem Gerät entfernt. Gibst du den Link zu einer Stellenanzeige oder zu deinem öffentlichen Profil an, ruft unser Dienst die Seite ab, liest daraus nur, was ohne Anmeldung sichtbar ist, entfernt dieselben Kennungen und sendet den Text zur Strukturierung; die Seite selbst wird nicht gespeichert. Unser Dienst leitet die Anfrage an das KI-Modell weiter, prüft die Antwort und gibt sie zurück. Er speichert weder die Anfrage noch die Antwort.

Kein Nutzerkonto

Es gibt keine Anmeldung und kein Konto. Der Dienst nimmt keine E-Mail-Adresse und kein Passwort mehr entgegen und legt keine Bewerbungsunterlagen ab. Bis zum 7. September 2026 gab es ein freiwilliges, Ende-zu-Ende verschlüsseltes Konto; es wurde ersatzlos entfernt, weil die Apps alles auf dem Gerät halten und ein Konto damit Datenhaltung ohne Zweck wäre. Die Restbestände aus dieser Zeit, also E-Mail-Adressen und für uns unlesbare Chiffrate, werden beim Hoster gelöscht; der Code, der sie lesen könnte, existiert nicht mehr. Ein Gerätewechsel läuft über eine Datei, die du selbst exportierst.

Betrieb des Dienstes

Unser Dienst schreibt keine Inhalte, keine Anfragekörper und keine IP-Adressen in Protokolle, sondern nur Zeitpunkt, Art der Operation, Dauer und Tokenzahl. Zur Begrenzung von Missbrauch hält er die IP-Adresse kurzzeitig als Hash im Arbeitsspeicher. Die App erzeugt eine zufällige Installationskennung, die den Dienst nur als SHA-256-Hash erreicht und dort mit Zählern für die Nutzung gespeichert wird. Ein Rückschluss auf dich ist daraus nicht möglich.

Diese Website

Diese Rechtsseiten, die Produktseite und die noch bis zum 5. Oktober 2026 erreichbare Fassung im Browser werden von Cloudflare ausgeliefert. Die Fassung im Browser setzt keine Cookies und lädt keine fremden Ressourcen; ihre Schriften sind eingebettet. Diese Rechtsseiten und die Produktseite laden die Schrift Plus Jakarta Sans von Google Fonts; dabei erhält Google die IP-Adresse deines Geräts.

2. Zwecke und Rechtsgrundlagen

Die Verarbeitung zum Erzeugen der Texte erfolgt, um die von dir angeforderte Leistung zu erbringen (Art. 6 Abs. 1 lit. b DSGVO). Nutzungszähler, Missbrauchsschutz und die technische Absicherung des Dienstes stützen sich auf unser berechtigtes Interesse an einem sicheren und bezahlbaren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Lebensläufe können Angaben enthalten, die besonders geschützt sind, etwa zur Gesundheit, zu einer Schwerbehinderung, zur Religion bei kirchlichen Arbeitgebern oder zur Gewerkschaftszugehörigkeit. Der Bewerbungs-Coach fragt solche Angaben nicht ab und braucht sie nicht. Trägst du sie dennoch ein, verarbeiten wir sie auf Grundlage deiner ausdrücklichen Einwilligung durch die Eingabe (Art. 9 Abs. 2 lit. a DSGVO); du kannst sie jederzeit wieder entfernen. Wir empfehlen, sie wegzulassen.

3. Empfänger und Auftragsverarbeiter

Railway Corporation, USA

Hosting unseres Dienstes und des Speichers für die Nutzungszähler in der von uns gewählten Region EU West (Niederlande). Railway weist darauf hin, dass unterstützende Verarbeitungsvorgänge, etwa Verwaltung und Protokollierung, auch in den USA stattfinden können. Informationen: Privacy Policy und DPA.

OpenRouter, Inc., USA

Vermittlung der Anfragen an das KI-Modell. Jeder Aufruf verlangt technisch Zero Data Retention, untersagt Daten sammelnde Endpunkte und verlangt die Unterstützung aller Parameter; findet sich kein solcher Endpunkt, schlägt die Anfrage fehl statt auszuweichen. OpenRouter speichert nach eigener Dokumentation ohne Opt-in keine Prompt- oder Antwortinhalte, jedoch nichtinhaltliche Metadaten. Informationen: Privacy Policy und Zero Data Retention.

Google LLC, USA

Betreiber des eingesetzten Sprachmodells Gemini, angesprochen ausschließlich über Endpunkte, die OpenRouter als Zero-Data-Retention-fähig ausweist. Das aktuell eingesetzte Modell zeigt die App unter „Datenschutz“ an.

Cloudflare, Inc., USA

Auslieferung dieser Seiten und der Fassung im Browser. Informationen: Privacy Policy.

Weitere Empfänger gibt es nicht. Wir geben keine Daten an Arbeitgeber, Jobbörsen oder Werbepartner weiter und verkaufen nichts.

4. Drittlandübermittlungen

Railway, OpenRouter, Google und Cloudflare sind Unternehmen mit Sitz in den USA und können Daten dort verarbeiten. Eine ausschließlich europäische Verarbeitung können wir derzeit nicht zusagen. Die Anbieter verpflichten sich in ihren Auftragsverarbeitungsverträgen auf die Standardvertragsklauseln der EU-Kommission; soweit ein Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist, stützen wir uns zusätzlich darauf. Was dieses Restrisiko klein hält: Kontaktdaten verlassen das Gerät nicht, es liegen keine Bewerbungsunterlagen bei uns, und die Modellaufrufe schließen Speicherung und Training aus.

5. Speicherdauer und Löschung

• Anfragen zum Erzeugen: keine Speicherung; beantwortet und verworfen.
• Sitzungen: höchstens 30 Tage, oder bis du dich abmeldest.
• Kontingentzähler zur gehashten Installationskennung: bis du unter Einstellungen alles löschst; damit erhält die App eine neue Kennung, und der alte Zähler verweist auf nichts mehr.
• Daten in deinem Browser: bis du sie löschst, unter Einstellungen mit einem Klick.
• Betriebsprotokolle ohne Inhalte und ohne IP-Adressen: höchstens 30 Tage beim Hosting-Anbieter.

6. Keine automatisierte Entscheidung, kein Profiling

Der Bewerbungs-Coach erzeugt Entwürfe, die du prüfst und veränderst. Er bewertet dich nicht, trifft keine Entscheidungen über dich, sagt keine Eignung voraus und gibt nichts an Arbeitgeber weiter. Es gibt keine Werbung, kein Tracking, keine Analysewerkzeuge und keine Profilbildung.

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 15 bis 21 DSGVO). Die meisten dieser Rechte übst du direkt in der App aus: Dein Profil und deine Bewerbungen liegen vollständig bei dir, du kannst sie jederzeit exportieren, ändern und löschen.

Anfragen an [email protected]. Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren, etwa beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

8. Daten anderer Personen

Stellenanzeigen nennen oft eine Ansprechperson. Ihr Name wird beim Erzeugen mitgesendet, damit die Anrede stimmt; er stammt aus einer öffentlichen Anzeige, und die Verarbeitung stützt sich auf unser und dein berechtigtes Interesse an einer korrekten Bewerbung (Art. 6 Abs. 1 lit. f DSGVO). Bitte trage keine Daten Dritter ein, die nicht in einer Anzeige stehen.

9. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst, die Anbieter oder die Rechtslage ändern. Die aktuelle Fassung steht immer hier; der Stand oben nennt das Datum. Wesentliche Änderungen zeigt die App an.

This English text is a courtesy translation. The German version is the only legally binding one.

Version: 6 September 2026
Controller: Thomas Hoche / Joshua Tree Labs, Am Carlusbaum 11, 65812 Bad Soden am Taunus, Germany, [email protected]

In short

• Everything personal — name, address, contact details, date of birth, photo, signature, your applications and the generated PDFs — stays on your device. No advertising, no tracking, no analytics.
• To generate a text, only the professional part of your profile, the structured job posting and your notes leave the device. Your name, address, phone, email, date of birth, photo and signature stay here; the letterhead and signature line are set by the PDF.
• Our service does not store these requests. The AI model is reached only through paths that exclude storage and training on your content.
• There is no user account. You sign in nowhere, and no application documents sit with us.
• You can delete everything yourself, at any time, in the app.

What is processed where

On your device: profile, imported CVs and postings, applications, letters, notes, photo, signature and PDFs — in the iPhone and Mac apps inside the app's protected storage, in the browser version in its IndexedDB, there additionally encrypted with a non-extractable key created in your browser, so the database file holds no readable text. When importing a CV or posting: the entered text, with e-mail addresses, phone numbers and links removed on the device first; for a link to a posting or to your public profile, our service fetches the page, reads only what is visible without signing in, removes the same identifiers and sends that text for structuring, without storing the page. When generating: experience, education, skills, languages, certificates and projects, without contact details and without your name; the structured posting including the name of a contact person named in it; your notes. Our service forwards the request to the model, checks the answer and returns it without storing either. No account: there is no sign-up; the service no longer accepts an email address or a password and stores no application documents. A voluntary end-to-end encrypted account existed until 7 September 2026 and was removed without replacement; the remnants from that period, email addresses and ciphertexts unreadable to us, are being deleted at the hosting provider, and the code that could read them is gone. Operations: logs contain no content, no request bodies and no IP addresses; an IP hash is held briefly in memory for abuse limits; a random installation id reaches the service only as a SHA-256 hash with usage counters. This website: delivered by Cloudflare; the browser version sets no cookies and embeds its fonts; these legal pages and the product page load Plus Jakarta Sans from Google Fonts, which gives Google your IP address.

Purposes and legal bases

Generating texts: performance of the service you request (Art. 6(1)(b) GDPR). Usage counters, abuse protection and security: our legitimate interest in a safe and affordable service (Art. 6(1)(f)). Special categories such as health, disability, religion or union membership are not requested; if you enter them anyway they are processed on the basis of your explicit consent by entering them (Art. 9(2)(a)) and can be removed at any time. We recommend leaving them out.

Recipients and processors

Railway Corporation (USA) hosts the service and the store for the usage counters in the region we chose, EU West (Netherlands); Railway notes that supporting processing such as administration and logging may take place in the USA. OpenRouter, Inc. (USA) routes model requests; every call requires zero data retention, refuses data-collecting endpoints and fails rather than falling back. Google LLC (USA) operates the Gemini model used, reached only through endpoints OpenRouter lists as zero-data-retention capable; the app shows the current model under “Datenschutz”. Cloudflare, Inc. (USA) delivers these pages and the browser version, which will be switched off on 5 October 2026. There are no other recipients; nothing is passed to employers, job boards or advertisers, and nothing is sold.

Transfers outside the EU

All processors are US companies and may process data there; we cannot currently promise EU-only processing. Their data processing agreements rely on the EU Commission's standard contractual clauses, and on the EU-US Data Privacy Framework where a provider is certified. Contact details never leave the device, no application documents sit with us, and model calls exclude storage and training.

Retention and deletion

Generation requests: not stored. Usage counters keyed by the hashed installation id: until you delete everything under Settings, which gives the app a new id. Data on your device: until you delete it. Operational logs without content or IP addresses: at most 30 days at the hosting provider.

No automated decisions, your rights, third parties

The service produces drafts you review and change; it does not rate you, decide about you, predict suitability or pass anything to employers. You have the rights of access, rectification, erasure, restriction, portability and objection (Art. 15–21 GDPR); most of them you exercise directly in the app, where your data lives. Requests to [email protected]; you may also complain to a supervisory authority, for example the Hessian Commissioner for Data Protection and Freedom of Information, PO Box 3163, 65021 Wiesbaden, Germany. The name of a contact person from a public posting is sent so the salutation is correct, on the basis of legitimate interest; please do not enter third-party data that is not in a posting.