Privacy policy.Datenschutzerklärung.
What we collect, why we collect it, and how to exercise your rights. Written to be read, not skimmed past.Was wir erheben, warum wir es erheben und wie du deine Rechte ausübst. Geschrieben, um gelesen zu werden.
Last updated: August 9, 2026
1. Controller
The controller for data processing on this website is:
Afras MuhammedErlenweg 3
64646 Heppenheim
Germany
[email protected]
2. What data we collect and why
Account email address: when you enter your email on the pricing or sign-in page, we store it to create your account, send you a sign-in email containing a magic link and a one-time code, and associate your purchased credits. If you use "Sign in with Google" instead, we receive your verified email address from Google (see section 3). Legal basis: performance of contract (Art. 6(1)(b) GDPR).
CV and cover letter content: text you enter into the builder is transmitted to the AI model (Anthropic) to generate and refine your documents. Your current builder draft is also saved to your account so you can continue on another device; it is retained until you clear it or delete your account. Legal basis: performance of contract (Art. 6(1)(b) GDPR).
Profile photo: if you add a profile photo, it is stored in our cloud storage (Cloudflare R2), linked to your account email, so it appears on your CV on any device you sign in from. It is deleted when you remove it, clear your builder data, or delete your account. Legal basis: performance of contract (Art. 6(1)(b) GDPR).
Generated PDFs: finished CV and cover letter PDFs may be stored in our cloud storage (Cloudflare R2) to allow re-download from your dashboard. They are linked to your account email. Legal basis: performance of contract (Art. 6(1)(b) GDPR).
Usage and analysis data: number of credits used, plan type, application history, and any ATS analyses you run (including the analysed text and the resulting scores) are stored to enforce plan limits and to provide your dashboard and analysis history. Legal basis: legitimate interests (Art. 6(1)(f) GDPR).
Payment data: payments are processed by LemonSqueezy, which acts as the Merchant of Record. We receive confirmation of purchase and the email used at checkout. Bewerbheld does not receive or store your full card details. Legal basis: performance of contract (Art. 6(1)(b) GDPR).
Feedback you send us: if you use Help & feedback in the dashboard, we store your message, the category you chose, your account email, and any reply address and screenshot you add. To let us investigate a problem without asking you to describe your setup, we attach technical details: the page you were on, your browser and operating system, your window size, the app version, your interface language, the time, and any error messages or failed requests your browser recorded in this tab. The sheet shows you exactly what will be attached before you send, and you can switch the technical details off. We do not record your keystrokes, your form contents, or the pages you visit outside these entries. Legal basis: legitimate interests in diagnosing and fixing faults (Art. 6(1)(f) GDPR).
3. Third-party processors
- Cloudflare (USA): hosting, CDN, D1 database, R2 file storage, KV session store. Privacy policy.
- Anthropic (USA): AI generation (Claude). Your CV content is transmitted to Anthropic's API for document generation. Privacy policy.
- Resend (USA): transactional email (sign-in links and codes, delivery emails). Privacy policy.
- Google (USA): optional "Sign in with Google" authentication (OAuth 2.0). Only if you choose this method: Google confirms your verified email address to us. Privacy policy.
- LemonSqueezy (USA): payment processing. Privacy policy.
4. Cookies and local storage
Session cookie (lp_session): an HttpOnly, Secure session token stored for 30 days after you sign in. Used to keep you logged in. No tracking.
Sign-in cookie (g_state): if you sign in with Google, a short-lived HttpOnly cookie holds a one-time value used to check that the sign-in came from you. It is cleared as soon as the sign-in finishes.
localStorage: your CV builder form state (cv-state) and language preference (bp-lang) are stored locally in your browser. When you are signed in, your draft (and profile photo) are also synced to your account so you can continue on another device. If you start a checkout, the email address you entered is kept until the purchase completes (pendingCheckout). An unsent feedback draft (bh:fb-draft) is kept locally for up to 24 hours so a failed send does not lose what you wrote. Signing out clears your builder draft and your account details; your language preference and any unsent feedback draft are deliberately left in place.
sessionStorage: kept only while the tab is open. Your finished application (the generated CV, cover letter and ATS report) is held in cv-review-session for up to 24 hours so you can leave the review and come back without generating it again. Your application history and ATS analyses are cached (bhd: entries) so the dashboard does not refetch them on every page, together with your account details (_bh_u: name, email address, remaining credits). We also keep a small technical buffer (bh:diag) of error messages and failed requests from that tab, so that a feedback report can include them; it is capped and contains no request or form contents.
Alongside these we store a few small technical values that contain no personal data, such as which page to return to after signing in, whether you have signed in recently (bp-auth-hint), and whether a one-time hint has been dismissed.
We do not use advertising cookies, analytics cookies, or third-party tracking pixels.
5. Data retention
Account data (email, credit count, plan) and your saved builder draft are retained as long as your account exists. Generated PDFs stored in R2 are retained for up to 12 months after creation. Feedback you send us, and any screenshot attached to it, is retained while your account exists and is deleted with it. Magic-link tokens and one-time codes are single-use, expire after 15 minutes, and are deleted on use or expiry. You can delete your account and all associated data at any time from Settings, or by emailing us (see section 6); a refund also revokes access and deletes your stored PDFs. Residual copies may persist briefly in automated backups before being overwritten.
6. Your rights (GDPR)
As a data subject you have the right to: access your data (Art. 15), correct inaccurate data (Art. 16), request erasure (Art. 17), restrict processing (Art. 18), data portability (Art. 20), object to processing (Art. 21), and lodge a complaint with a supervisory authority (Art. 77). To exercise any right, email [email protected]. We will respond within 30 days.
7. International data transfers
All third-party processors listed above are based in the USA. Data transfers are covered by the EU-US Data Privacy Framework or Standard Contractual Clauses where applicable.
8. Changes to this policy
We may update this policy from time to time. The date at the top of this page always reflects the current version. Significant changes will be communicated by email or a notice on the site.
9. Contact
For privacy questions or requests: [email protected]
Stand: 9. August 2026
1. Verantwortlicher
Verantwortlicher für die Datenverarbeitung auf dieser Website ist:
Afras MuhammedErlenweg 3
64646 Heppenheim
Deutschland
[email protected]
2. Welche Daten wir erheben und warum
E-Mail-Adresse: wenn du auf der Preisseite oder Anmeldeseite deine E-Mail eingibst, speichern wir sie, um dein Konto zu erstellen, dir eine Anmelde-E-Mail mit einem Magic Link und einem Einmalcode zu senden und dein gekauftes Guthaben zuzuordnen. Wenn du stattdessen "Mit Google anmelden" nutzt, erhalten wir deine verifizierte E-Mail-Adresse von Google (siehe Abschnitt 3). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Lebenslauf- und Anschreiben-Inhalte: von dir eingegebene Texte werden an das KI-Modell (Anthropic) übermittelt, um deine Dokumente zu erstellen und zu verbessern. Dein aktueller Entwurf im Builder wird zudem in deinem Konto gespeichert, damit du auf einem anderen Gerät weiterarbeiten kannst; er bleibt gespeichert, bis du ihn löschst oder dein Konto löschst. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Profilfoto: wenn du ein Profilfoto hinzufügst, wird es in unserem Cloud-Speicher (Cloudflare R2) gespeichert und mit deiner Konto-E-Mail verknüpft, damit es auf jedem Gerät, mit dem du dich anmeldest, in deinem Lebenslauf erscheint. Es wird gelöscht, wenn du es entfernst, deine Builder-Daten löschst oder dein Konto löschst. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Generierte PDFs: fertige PDFs können in unserem Cloud-Speicher (Cloudflare R2) gespeichert werden, damit du sie über dein Dashboard erneut herunterladen kannst. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Nutzungs- und Analysedaten: Anzahl des verwendeten Guthabens, Plantyp, Bewerbungsverlauf sowie von dir durchgeführte ATS-Analysen (einschließlich des analysierten Textes und der Bewertungen) werden gespeichert, um Planlimits durchzusetzen und dein Dashboard sowie deinen Analyseverlauf bereitzustellen. Rechtsgrundlage: Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO).
Zahlungsdaten: Zahlungen werden von LemonSqueezy als Merchant of Record verarbeitet. Wir erhalten eine Kaufbestätigung und die beim Checkout verwendete E-Mail. Bewerbheld erhält oder speichert keine vollständigen Kartendaten. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Feedback, das du uns sendest: wenn du im Dashboard „Hilfe & Feedback" nutzt, speichern wir deine Nachricht, die gewählte Kategorie, deine Konto-E-Mail sowie eine optional angegebene Antwortadresse und einen optionalen Screenshot. Damit wir ein Problem untersuchen können, ohne dass du deine Umgebung beschreiben musst, hängen wir technische Angaben an: die Seite, auf der du warst, Browser und Betriebssystem, deine Fenstergröße, die App-Version, deine Oberflächensprache, den Zeitpunkt sowie Fehlermeldungen oder fehlgeschlagene Anfragen, die dein Browser in diesem Tab erfasst hat. Das Formular zeigt dir vor dem Senden genau, was angehängt wird, und du kannst die technischen Angaben abschalten. Wir zeichnen weder deine Tastatureingaben noch Formularinhalte oder Seitenaufrufe außerhalb dieser Einträge auf. Rechtsgrundlage: berechtigte Interessen an der Fehlerdiagnose und -behebung (Art. 6 Abs. 1 lit. f DSGVO).
3. Auftragsverarbeiter
- Cloudflare (USA): Hosting, CDN, D1-Datenbank, R2-Dateispeicher, KV-Sitzungsspeicher. Datenschutzerklärung.
- Anthropic (USA): KI-Generierung (Claude). Datenschutzerklärung.
- Resend (USA): Transaktions-E-Mails (Anmelde-Links und -Codes, Zustellungs-E-Mails). Datenschutzerklärung.
- Google (USA): optionale Anmeldung per "Mit Google anmelden" (OAuth 2.0). Nur wenn du diese Methode wählst: Google bestätigt uns deine verifizierte E-Mail-Adresse. Datenschutzerklärung.
- LemonSqueezy (USA): Zahlungsabwicklung. Datenschutzerklärung.
4. Cookies und lokaler Speicher
Sitzungs-Cookie (lp_session): ein HttpOnly-, Secure-Sitzungstoken, der nach der Anmeldung 30 Tage lang gespeichert wird. Kein Tracking.
Anmelde-Cookie (g_state): wenn du dich mit Google anmeldest, enthält ein kurzlebiges HttpOnly-Cookie einen Einmalwert, mit dem geprüft wird, dass die Anmeldung von dir stammt. Es wird gelöscht, sobald die Anmeldung abgeschlossen ist.
localStorage: dein Formularstand (cv-state) und deine Spracheinstellung (bp-lang) werden lokal gespeichert. Wenn du angemeldet bist, werden dein Entwurf (und dein Profilfoto) zusätzlich mit deinem Konto synchronisiert, damit du auf einem anderen Gerät weiterarbeiten kannst. Wenn du einen Kauf startest, wird die dabei eingegebene E-Mail-Adresse bis zum Abschluss des Kaufs gespeichert (pendingCheckout). Ein nicht abgesendeter Feedback-Entwurf (bh:fb-draft) wird bis zu 24 Stunden lokal aufbewahrt, damit ein fehlgeschlagener Versand nicht verloren geht. Beim Abmelden werden dein Entwurf im Builder und deine Kontodaten gelöscht; deine Spracheinstellung und ein nicht abgesendeter Feedback-Entwurf bleiben bewusst erhalten.
sessionStorage: nur so lange gespeichert, wie der Tab geöffnet ist. Deine fertige Bewerbung (der erstellte Lebenslauf, das Anschreiben und der ATS-Bericht) wird in cv-review-session bis zu 24 Stunden vorgehalten, damit du die Ansicht verlassen und zurückkommen kannst, ohne sie erneut zu erzeugen. Dein Bewerbungsverlauf und deine ATS-Analysen werden zwischengespeichert (bhd:-Einträge), damit das Dashboard sie nicht auf jeder Seite neu lädt, ebenso deine Kontodaten (_bh_u: Name, E-Mail-Adresse, verbleibendes Guthaben). Außerdem halten wir einen kleinen technischen Puffer (bh:diag) mit Fehlermeldungen und fehlgeschlagenen Anfragen aus diesem Tab vor, damit eine Feedback-Meldung sie enthalten kann; er ist begrenzt und enthält keine Anfrage- oder Formularinhalte.
Daneben speichern wir einige kleine technische Werte ohne Personenbezug, etwa auf welche Seite du nach der Anmeldung zurückkehrst, ob du dich kürzlich angemeldet hast (bp-auth-hint) und ob ein einmaliger Hinweis ausgeblendet wurde.
Wir verwenden keine Werbe-Cookies, Analyse-Cookies oder Drittanbieter-Tracking-Pixel.
5. Datenspeicherung
Kontodaten (E-Mail, Guthabenzähler, Plan) und dein gespeicherter Entwurf werden so lange gespeichert, wie dein Konto existiert. In R2 gespeicherte PDFs werden bis zu 12 Monate nach der Erstellung aufbewahrt. Feedback, das du uns sendest, und ein daran angehängter Screenshot werden gespeichert, solange dein Konto existiert, und mit ihm gelöscht. Magic-Link-Tokens und Einmalcodes sind einmalig verwendbar, laufen nach 15 Minuten ab und werden bei Verwendung oder Ablauf gelöscht. Du kannst dein Konto und alle zugehörigen Daten jederzeit in den Einstellungen oder per E-Mail (siehe Abschnitt 6) löschen; eine Rückerstattung widerruft ebenfalls den Zugang und löscht deine gespeicherten PDFs. Restkopien können kurzzeitig in automatischen Backups verbleiben, bevor sie überschrieben werden.
6. Deine Rechte (DSGVO)
Als betroffene Person hast du das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Beschwerde bei einer Aufsichtsbehörde (Art. 77). Schreibe an [email protected], wir antworten innerhalb von 30 Tagen.
7. Internationale Datenübermittlungen
Alle oben aufgeführten Auftragsverarbeiter haben ihren Sitz in den USA. Datenübermittlungen erfolgen auf Grundlage des EU-US-Datenschutzrahmens oder Standardvertragsklauseln.
8. Änderungen dieser Erklärung
Das Datum oben auf dieser Seite gibt immer den aktuellen Stand wieder. Wesentliche Änderungen werden per E-Mail oder durch einen Hinweis auf der Website mitgeteilt.
9. Kontakt
Für Datenschutzanfragen: [email protected]
Questions about your data?Fragen zu deinen Daten?
Email us and a person answers plainly. Every privacy request gets a reply within 30 days.Schreib uns, ein Mensch antwortet klar und verständlich. Jede Datenschutzanfrage wird innerhalb von 30 Tagen beantwortet.
Read the imprint →Impressum lesen →