Datenschutzerklärung

1. Verantwortlicher

ClimaHQ ist eine Kulturanalyseplattform.

• Kontakt-E-Mail: [email protected]

Im Sinne der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, "DSGVO") ist der Verantwortliche die oben genannte Stelle.

1a. Rechtsträger

Die Angaben zur juristischen Person werden derzeit abgeschlossen und hier veröffentlicht.

• Firmenname: Wird bestätigt
• Eingetragener Sitz: Wird bestätigt
• Registernummer: Wird bestätigt

1b. Rollen als Verantwortlicher und Auftragsverarbeiter

Wir handeln als Verantwortlicher für Kontodaten (die Informationen, die Sie und die Administratoren Ihrer Organisation zur Erstellung und Verwaltung des Kontos bereitstellen) sowie für Nutzungsdaten, die zur Absicherung und zum Betrieb des Dienstes erhoben werden.

Wir handeln als Auftragsverarbeiter für die Mitarbeiterdaten, die Ihre Organisation übermittelt oder verbindet: Umfrageantworten, aus dem HRIS importierte Datensätze und demografische Daten. Ihre Organisation ist Verantwortlicher für diese Daten, und wir verarbeiten sie nach ihren Weisungen gemäß der in unseren Nutzungsbedingungen genannten Auftragsverarbeitungsvereinbarung.

1c. Datenschutzkontakt

Fragen oder Anfragen zu dieser Erklärung oder zu unseren Datenschutzpraktiken richten Sie bitte an [email protected].

2. Erhobene Daten

Wir erheben und verarbeiten die folgenden Kategorien personenbezogener Daten:

2.1 Kontoinformationen

Bei der Registrierung erheben wir Ihren Namen, Ihre E-Mail-Adresse und den Namen Ihrer Organisation. Diese Daten sind für die Erstellung und Verwaltung Ihres Kontos erforderlich.

2.2 Umfrageantworten

Wenn Mitarbeitende Pulsbefragungen ausfüllen, sind die Antworten pseudonym: Sie sind mit einer internen Referenz verknüpft, werden Managern oder Administratoren nie einzeln angezeigt und erscheinen nur als Teil eines Aggregats von 5 oder mehr Antworten. Demografische Daten (Abteilung, Geschlecht, Ethnizität) werden nur erhoben, wenn sie per HRIS-Import bereitgestellt werden; Geschlecht und Ethnizität werden im Ruhezustand verschlüsselt.

2.3 Nutzungsdaten

Wir erheben automatisch technische Informationen bei der Nutzung des Dienstes, darunter IP-Adressen, Browsertyp, besuchte Seiten und Zeitstempel. Diese Daten helfen uns, die Sicherheit aufrechtzuerhalten und den Dienst zu verbessern.

2a. Unterauftragsverarbeiter und Integrationen

Dies sind die Stellen, die in unserem Auftrag Kundendaten verarbeiten. Jede ist durch einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO gebunden.

Integrationen, die Sie aktivieren

Optional und vom Kunden veranlasst: Sie entscheiden, sie zu verbinden, und Sie schließen den Vertrag mit dem Anbieter. Sie sind keine Unterauftragsverarbeiter von ClimaHQ.

Unser Analysedienst, der aus den in dieser Erklärung beschriebenen Daten Kultur- und Risikowerte berechnet, läuft auf unserer eigenen Infrastruktur und ist kein Dritter.

2b. Besondere Kategorien personenbezogener Daten

Geschlecht und Ethnizität sind, sofern Ihre Organisation sich für deren Bereitstellung entscheidet, besondere Kategorien personenbezogener Daten gemäß Artikel 9 DSGVO. Wir stützen deren Verarbeitung auf folgende Bedingungen, nicht auf Einwilligung:

• Arbeitsschutz und Gesundheit am Arbeitsplatz (Art. 9 Abs. 2 lit. b): Verarbeitung erforderlich zur Bewertung und Berichterstattung über Gerechtigkeitslücken und psychosoziale Risiken im Rahmen der Arbeitsschutzpflichten Ihrer Organisation.
• Gesetzliche Verpflichtung im Bereich des Arbeitsrechts (Art. 9 Abs. 2 lit. b): Verarbeitung erforderlich zur Erstellung des Entgeltregisters, des Gleichstellungsplans und weiterer Compliance-Nachweise, zu deren Aufbewahrung Ihre Organisation gesetzlich verpflichtet ist.

2c. Automatisierte Entscheidungsfindung und Profiling

Die Funktion Predictions berechnet Burnout- und Fluktuationsrisiko-Werte für Teams aus aggregierten Umfrage- und Praxisdaten. Dies stellt eine Form des Profilings im Sinne von Artikel 22 DSGVO dar.

Diese Bewertungen dienen den Personalverantwortlichen Ihrer Organisation als Entscheidungshilfe, nicht als automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung einer Person: Keine Bewertung löst automatisch eine Maßnahme aus, und jede Bewertung wird von einem Menschen geprüft, bevor sie eine Entscheidung über eine Person beeinflusst.

3. Rechtsgrundlage der Verarbeitung

Wir verarbeiten Ihre personenbezogenen Daten auf folgenden Rechtsgrundlagen gemäß Artikel 6 DSGVO:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Die Verarbeitung von Kontodaten und Umfrageantworten ist zur Erbringung des ClimaHQ-Dienstes im Rahmen unserer Nutzungsbedingungen erforderlich.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Wir verarbeiten Nutzungsdaten zur Sicherheit, Betrugsprävention und Dienstverbesserung. Unser berechtigtes Interesse überwiegt nicht Ihre Grundrechte.
• Einwilligung (Art. 6 Abs. 1 lit. a): Soweit erforderlich, holen wir vor der Verarbeitung eine ausdrückliche Einwilligung ein, beispielsweise für die optionale Erhebung demografischer Daten. Sie können Ihre Einwilligung jederzeit widerrufen.

4. Datenspeicherung

4.1 Praxisdaten

• Kontodaten: Werden für die Dauer Ihres Kontos und bis zu 30 Tage nach der Löschung aufbewahrt, sofern keine längere Aufbewahrung gesetzlich vorgeschrieben ist.
• Umfragedaten: Aggregierte Umfragewerte werden für die Dauer Ihres Kontos aufbewahrt. Rohe Umfrageantworten werden 24 Monate lang aufbewahrt und danach automatisch gelöscht.
• Nutzungs- und Sicherheitsprotokolle: Werden bis zu 90 Tage aufbewahrt.
• Kontaktanfragen: Über die Website gesendete Demo-, Partner-, Wartelisten- und Kontaktanfragen werden 24 Monate gespeichert und danach dauerhaft gelöscht.
• Kanalmeldungen: Meldungen, bei denen innerhalb von 3 Monaten nach Eingang keine Untersuchung eröffnet wurde, werden dauerhaft gelöscht, übrig bleibt nur ein anonymer Zähler (Eingangsdatum, Kategorie, Ergebnis). Abgeschlossene Fälle werden 10 Jahre nach Abschluss dauerhaft gelöscht, oder früher, wenn die Organisation eine kürzere Frist festlegt.
• Zugriff auf den Kanal: Nur die einem Fall zugewiesenen Ermittler und der von der Organisation benannte Systemverantwortliche können ihn öffnen. Organisationsadministratoren, die keines von beiden sind, können es nicht, ebenso wenig ClimaHQ-Mitarbeitende, die sich als sie ausgeben. Jeder Versuch, einen Fall zu öffnen, wird protokolliert.

4.2 Gesetzliche und Compliance-Nachweise

Compliance-Berichte, Bewertungen und andere Nachweise, die zum Beleg einer bestimmten gesetzlichen Verpflichtung erstellt werden (zum Beispiel ein Entgeltregister oder ein Gleichstellungsplan), werden getrennt von den oben genannten Praxisdaten aufbewahrt, und zwar so lange, wie die zugrunde liegende Verpflichtung die Vorlage dieses Nachweises verlangt, auch wenn dieser Zeitraum die 24-monatige Aufbewahrungsfrist für Umfragedaten übersteigt.

4.3 Aufbewahrungsfristen

Wie lange jede Art von Datensatz aufbewahrt wird. Fristen, die von einer rechtlichen Bewertung abhängen, sind entsprechend gekennzeichnet.

• Hinweisgeberkanal: 3 Monate, wenn nicht untersucht, höchstens 10 Jahre nach Abschluss (Ley 2/2023, Art. 26 und 32).
• Zeiterfassung: 4 Jahre (Art. 34.9 ET), danach die Regel des Landes der Arbeitsstätte aus der Zeiterfassungskonfiguration: Spanien 4 Jahre, Deutschland 2 Jahre, Frankreich 1 Jahr, übrige EU-Länder 4 Jahre.
• Website-Analyse (Funnel): 13 Monate.
• Kontaktanfragen (Leads): 24 Monate nach dem letzten Kontakt, danach endgültige Löschung. Diese Frist wird rechtlich geprüft.
• Psychosoziale Gefährdungsbeurteilungen und Berichte: Aufbewahrt, solange das Gesetz Sie zur Aufbewahrung dieses Nachweises verpflichtet; die genauen Fristen veröffentlichen wir.
• Entgeltregister: Aufbewahrt, solange das Gesetz Sie zur Aufbewahrung dieses Nachweises verpflichtet; die genauen Fristen veröffentlichen wir.
• Audit-Protokoll: Aufbewahrt, solange das Gesetz Sie zur Aufbewahrung dieses Nachweises verpflichtet; die genauen Fristen veröffentlichen wir.

5. Ihre Rechte

Gemäss der DSGVO haben Sie folgende Rechte in Bezug auf Ihre personenbezogenen Daten:

• Auskunftsrecht (Art. 15): Erhalten Sie Auskunft darüber, ob Ihre Daten verarbeitet werden, und fordern Sie eine Kopie an.
• Recht auf Berichtigung (Art. 16): Fordern Sie die Korrektur unrichtiger personenbezogener Daten an.
• Recht auf Löschung (Art. 17): Fordern Sie die Löschung Ihrer personenbezogenen Daten an ("Recht auf Vergessenwerden").
• Recht auf Datenportabilität (Art. 20): Erhalten Sie Ihre Daten in einem strukturierten, maschinenlesbaren Format.
• Widerspruchsrecht (Art. 21): Widersprechen Sie der Verarbeitung auf Grundlage berechtigter Interessen.
• Recht auf Einschränkung (Art. 18): Fordern Sie unter bestimmten Umständen die Einschränkung der Verarbeitung an.

Um eines dieser Rechte auszuüben, kontaktieren Sie uns unter [email protected]. Wir antworten innerhalb von 30 Tagen.

6. Internationale Übermittlungen

Kundendaten werden auf Servern gespeichert. Der Datenverkehr läuft über das Netzwerk von Cloudflare. Wenn Sie eine optionale Integration eines Anbieters mit Sitz außerhalb des EWR verbinden (Slack, Microsoft, Google, Okta, BambooHR, Gusto), werden die Daten, die Sie synchronisieren, nach den Bedingungen dieses Anbieters, dem EU-US Data Privacy Framework oder Standardvertragsklauseln übermittelt.

7. Cookies

ClimaHQ verwendet ausschließlich technisch notwendige Cookies zur Aufrechterhaltung Ihrer Sitzung und Authentifizierung. Diese Cookies sind für die Funktion des Dienstes unerlässlich und benötigen keine Einwilligung.

Wir verwenden keine Tracking- oder Werbe-Cookies von Drittanbietern.

8. Sicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer personenbezogenen Daten um, darunter Verschlüsselung bei der Übertragung (TLS), Verschlüsselung im Ruhezustand (AES-256-GCM), Zugriffskontrollen und regelmäßige Sicherheitsüberprüfungen. Weitere Einzelheiten finden Sie auf unserer Sicherheitsseite.

9. Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass Ihre Datenschutzrechte verletzt wurden, haben Sie das Recht, eine Beschwerde bei Ihrer zuständigen Datenschutzbehörde einzureichen.

10. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wir werden Sie über wesentliche Änderungen per E-Mail oder durch einen deutlichen Hinweis im Dienst informieren. Das "Gültig ab"-Datum oben auf dieser Seite gibt an, wann die Erklärung zuletzt überarbeitet wurde.

11. Kontakt

Bei Fragen zu dieser Datenschutzerklärung oder unseren Datenpraktiken kontaktieren Sie uns unter [email protected].