Datenschutzerklärung

Die Just Parity ApS ist Verantwortlicher für die Verarbeitung personenbezogener Daten von Besuchern der Website justparity.de, von Ansprechpartnern bei Kunden und von Plattformnutzern (HR-Mitarbeiter, Führungskräfte).

Für Gehalts- und HR-Daten, die Kunden in die Plattform laden, handelt die Just Parity ApS als Auftragsverarbeiter. Verantwortlicher ist in diesen Fällen das Unternehmen des Kunden. Anfragen zu Mitarbeiterdaten sind daher an dieses Unternehmen zu richten.

Datenschutzbeauftragter (DSB): Die Just Parity ApS hat derzeit keinen Datenschutzbeauftragten benannt, da der Umfang der Verarbeitung die Benennungspflicht nach Art. 37 DSGVO gegenwärtig nicht auslöst. Fragen zum Datenschutz richten Sie bitte an contact@justparity.com.

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken:

• Bereitstellung der Justparity Compliance-Plattform
• Kundensupport und Kommunikation
• Rechnungsstellung und Buchhaltung
• Betrieb, Wartung und Verbesserung des Dienstes
• Marketing (nur mit Einwilligung)
• Erfüllung gesetzlicher Pflichten
• Übermittlung von Angeboten im B2B-Bereich, einschließlich der Messung, ob der Empfänger die E-Mail geöffnet hat (Lesebestätigung über ein 1x1-Pixel-Bild)

Wir verarbeiten folgende Kategorien personenbezogener Daten:

• Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Unternehmen, Position
• Nutzungsdaten: Log-Daten, IP-Adresse, Browserinformationen, Geräteinformationen
• Kundendaten (als Auftragsverarbeiter): Gehalts- und HR-Daten, die Kunden in die Plattform hochladen

Gehaltsdaten und besondere Kategorien. Gehaltsdaten werden als gewöhnliche personenbezogene Daten verarbeitet (Art. 6 DSGVO). Die Verarbeitung kann jedoch Daten umfassen, die unter besondere Kategorien fallen (Art. 9 DSGVO):

• Gewerkschaftszugehörigkeit kann mittelbar in importierten Gehaltsdatensätzen enthalten sein (Art. 9 Abs. 2 lit. b DSGVO)

Das Geschlecht ist das eigentliche Kriterium der Entgeltgefälle-Analyse. Es ist in der abschließenden Aufzählung des Art. 9 Abs. 1 DSGVO nicht enthalten und ist daher ein gewöhnliches personenbezogenes Datum, das wir nach Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung der Richtlinie (EU) 2023/970 und der gesetzlichen Pflichten zur Entgeltgleichheit verarbeiten. Wir schützen es gleichwohl mit denselben verstärkten Maßnahmen wie Daten nach Art. 9 DSGVO.

Nationale Kennnummern werden nicht gespeichert. Bei angebundenen dänischen Entgeltsystemen (z. B. Intect) kann die dänische Personenkennziffer (CPR-Nummer) transient empfangen und ausschließlich zur technischen Ableitung des Geschlechts für die Entgeltgefälle-Analyse (letzte Ziffer) verwendet werden; in der Datenbank von Justparity werden nur Geschlecht und Geburtsdatum gespeichert. Aus deutschen Entgeltsystemen (z. B. DATEV) werden keine Steuer-Identifikationsnummern und keine Sozialversicherungsnummern übernommen; die Zuordnung erfolgt über die Personalnummer. Der Verantwortliche ist für die Rechtsgrundlage der Übermittlung verantwortlich.

Diese Daten werden in separaten, zusätzlich gesicherten Tabellen mit strenger Zugriffskontrolle gespeichert.

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): zur Erbringung unserer Leistungen und zur Erfüllung des Vertrags
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Rechnungswesen, Buchführung, steuerliche Meldepflichten sowie Erfüllung der EU-Richtlinie (EU) 2023/970
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Betrieb, Sicherheit, Missbrauchsprävention, Produktverbesserung sowie die Messung, ob ein Empfänger ein übermitteltes B2B-Angebot geöffnet hat (Lesebestätigung). Wir haben abgewogen, dass diese Messung in einem laufenden Geschäftsdialog den vernünftigen Erwartungen des Empfängers entspricht und der Eingriff minimal ist (wir erfassen Öffnungszeitpunkt, IP-Adresse und Browsertyp). Sie können dieser Verarbeitung jederzeit widersprechen, indem Sie uns unter contact@justparity.com kontaktieren.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Marketing, Newsletter und nicht notwendige Cookies

Geschlecht (Art. 6 Abs. 1 lit. c DSGVO): Die Verarbeitung von Geschlechtsdaten für die Analyse des Entgeltgefälles erfolgt zur Erfüllung arbeitsrechtlicher Pflichten gemäß der EU-Entgelttransparenzrichtlinie und den nationalen Pflichten zur Entgeltgleichheit (in Deutschland §§ 3 und 7 EntgTranspG). Das Geschlecht ist in der abschließenden Aufzählung des Art. 9 Abs. 1 DSGVO nicht enthalten und daher ein gewöhnliches personenbezogenes Datum.

Besondere Kategorien (Art. 9 Abs. 2 lit. b DSGVO): Die Verarbeitung von Angaben zur Gewerkschaftszugehörigkeit, soweit sie mittelbar in Gehaltsdatensätzen enthalten sind, erfolgt zur Erfüllung arbeitsrechtlicher Pflichten gemäß der EU-Entgelttransparenzrichtlinie und dem für den Verantwortlichen geltenden Arbeitsrecht (in Deutschland das Entgelttransparenzgesetz).

Nationale Rechtsgrundlage bei deutschen Verantwortlichen: Soweit ein Kunde als Verantwortlicher dem deutschen Recht unterliegt, richtet sich die Rechtsgrundlage für die Verarbeitung besonderer Kategorien im Beschäftigungskontext nach Art. 9 Abs. 2 lit. b DSGVO. Eine ergänzende nationale Grundlage kann sich aus § 26 Abs. 3 des Bundesdatenschutzgesetzes (BDSG) ergeben; dessen Anwendbarkeit als eigenständige Rechtsgrundlage ist nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH, Urteil vom 30. März 2023, C-34/21) allerdings umstritten, sodass die Verarbeitung vorrangig auf Art. 9 Abs. 2 lit. b DSGVO gestützt wird. Der Verantwortliche (Kunde) ist für das Vorliegen der Rechtsgrundlage verantwortlich; Justparity handelt insoweit als Auftragsverarbeiter.

Nationale Kennnummern: werden nicht als Art. 9-Datum verarbeitet und nicht gespeichert. Die dänische CPR-Nummer kann bei angebundenen dänischen Entgeltsystemen transient zur technischen Ableitung des Geschlechts (letzte Ziffer) verwendet werden; siehe Abschnitt 3. Der Verantwortliche ist für die Rechtsgrundlage einer etwaigen Übermittlung verantwortlich.

Wir können personenbezogene Daten weitergeben an:

Unterauftragsverarbeiter:

Behörden: soweit gesetzlich vorgeschrieben.

Eine Übermittlung in Drittländer außerhalb der EU/des EWR erfolgt nur, wenn geeignete Garantien vorliegen, in der Regel die Standardvertragsklauseln der EU (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Soweit die Muttergesellschaft eines Unterauftragsverarbeiters potenziellen Zugriff aus den USA hat, wurden Standardvertragsklauseln abgeschlossen.

Einwilligungsbasierte Marketing-Tools: Google Analytics und Google Ads (Statistik und Anzeigenmessung), Meta Pixel (Meta Platforms Ireland Ltd., Anzeigenmessung) und LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company, Anzeigenmessung) werden nur mit Ihrer Einwilligung eingesetzt und sind keine Unterauftragsverarbeiter für die personenbezogenen Daten der Plattform. Daten können auf Grundlage des EU-US Data Privacy Framework und der Standardvertragsklauseln (SCC) in die USA übermittelt werden. Die einzelnen Cookies, ihr Zweck und ihre Speicherdauer sind in unserer Cookie-Richtlinie aufgeführt, wo Sie Ihre Einwilligung auch ändern oder widerrufen können.

Rate-Limiting: Der Schutz vor Überlastung erfolgt im Arbeitsspeicher der Plattform selbst und bezieht keinen externen Anbieter ein.

Wir speichern personenbezogene Daten so lange, wie es für die Zwecke, für die sie erhoben wurden, erforderlich ist:

• Kundendaten in der Plattform: Löschung spätestens 30 Tage nach Vertragsende
• Kontaktdaten: 3 Jahre nach Ende der Kundenbeziehung, entsprechend der Verjährungsfrist für vertragliche Ansprüche (§ 3 des dänischen Verjährungsgesetzes, forældelsesloven)
• Buchhaltungsdaten: 5 Jahre (§ 12 des dänischen Buchführungsgesetzes, bogføringsloven)
• Angebote und Angebots-Audit-Daten: 5 Jahre ab dem Ende des Geschäftsjahres, auf das sich die Unterlagen beziehen, gemäß § 12 Abs. 1 des dänischen Buchführungsgesetzes. Nach Ablauf dieser Frist erfolgt eine Pseudonymisierung (personenbezogene Felder werden durch einen Hash ersetzt, Kennung und Ereigniszeitpunkt bleiben zu Revisionszwecken erhalten).
• Marketingdaten: bis zum Widerruf der Einwilligung
• Log-Daten: 90 Tage
• Lesebestätigung bei B2B-Angeboten: Öffnungszeitpunkt, IP-Adresse und Browsertyp werden zusammen mit dem Angebot gespeichert (5 Jahre) gemäß dem dänischen Buchführungsgesetz und anschließend pseudonymisiert

Als betroffene Person haben Sie nach Kapitel III der DSGVO folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung, "Recht auf Vergessenwerden" (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Mitteilung bei Berichtigung oder Löschung (Art. 19 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22 DSGVO)
• Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO). Der Widerruf berührt nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung

Für Daten, bei denen Justparity Auftragsverarbeiter ist (in die Plattform geladene Mitarbeiterdaten), sind Anfragen an das verantwortliche Unternehmen zu richten, das die Daten eingespielt hat. Für übrige Daten (Kontaktdaten, Nutzerdaten) können Sie Ihre Rechte ausüben, indem Sie uns unter contact@justparity.com kontaktieren. Wir beantworten Anfragen ohne unangemessene Verzögerung und spätestens einen Monat nach Eingang. Ist der Antrag komplex, kann die Frist um bis zu zwei Monate verlängert werden, und Sie werden in diesem Fall innerhalb des ersten Monats informiert.

Wir haben geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umgesetzt, darunter:

• Verschlüsselung der Daten bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256)
• rollenbasierte Zugriffskontrolle (RBAC) und Multi-Faktor-Authentifizierung
• Protokollierung und Überwachung des Zugriffs auf personenbezogene Daten
• laufende Schwachstellenscans und Sicherheitsupdates
• Backup, Wiederherstellung und Incident-Response-Verfahren
• Vertraulichkeitserklärungen und regelmäßige Sicherheitsschulungen der Mitarbeiter

Detaillierte Sicherheitsmaßnahmen ergeben sich aus unserem Auftragsverarbeitungsvertrag (/avv).

Beschwerden über die Verarbeitung personenbezogener Daten können an die dänische Datenschutzbehörde (Datatilsynet) gerichtet werden:

Sie haben nach Art. 77 DSGVO außerdem das Recht, sich an die Datenschutzaufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes zu wenden, in Deutschland an die zuständige Landesdatenschutzbehörde.

Dieser Abschnitt betrifft personenbezogene Daten, die wir nicht bei Ihnen selbst erhoben haben. Er gilt für Kontaktpersonen bei Unternehmen, die wir als mögliche Kunden in Betracht ziehen und mit denen wir nicht notwendigerweise gesprochen haben. Die Daten liegen in unserem internen Vertriebssystem, nicht in der Plattform.

Woher die Daten stammen (Artikel 14 Absatz 2 Buchstabe f): die eigenen öffentlich zugänglichen Webseiten der Unternehmen, auf denen Beschäftigte mit Namen, Funktion und geschäftlichen Kontaktdaten aufgeführt sind. Die Extraktion erfolgt automatisiert. Die Unternehmen selbst finden wir im dänischen Handelsregister (CVR); CVR ist nicht die Quelle der Daten über die einzelnen Personen.

Welche Daten: Name, Funktion, geschäftliche E-Mail-Adresse, geschäftliche Telefonnummer und Arbeitgeber. Besondere Kategorien personenbezogener Daten und nationale Identifikationsnummern erheben wir zu diesem Zweck nicht.

Zwecke und Rechtsgrundlage: zu beurteilen, ob das Unternehmen von unserem Produkt profitieren kann, und die richtige Ansprechperson kontaktieren zu können. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f, unser berechtigtes Interesse an der Vermarktung einer Dienstleistung gegenüber anderen Unternehmen. Wir haben dieses Interesse gegen die Interessen der betroffenen Person abgewogen; die Daten beschränken sich auf die berufliche Rolle.

Keine automatisierten Entscheidungen: Wir treffen keine Entscheidungen über eine einzelne Person, die ausschließlich auf automatisierter Verarbeitung beruhen, und wir erstellen keine Profile von Personen. Die von uns vorgenommene Priorisierung betrifft das Unternehmen.

Empfänger: keine über die Auftragsverarbeiter hinaus, die unsere eigenen Systeme betreiben, siehe Abschnitt 5. Die Daten werden nicht verkauft und nicht zu Werbezwecken an Dritte weitergegeben.

Wie lange wir sie speichern: Eine Kontaktperson wird spätestens 12 Monate nach der Erhebung gelöscht, wenn in diesem Zeitraum kein Kontakt zwischen uns und der Person oder dem Unternehmen stattgefunden hat. Hat Kontakt stattgefunden, gelten die Fristen in Abschnitt 6.

Ihre Rechte, insbesondere das Recht auf Widerspruch: Sie haben das Recht auf Auskunft (Artikel 15), Berichtigung (Artikel 16), Löschung (Artikel 17) und Einschränkung (Artikel 18). Da die Verarbeitung auf einem berechtigten Interesse beruht, haben Sie zudem das Recht auf Widerspruch nach Artikel 21. Widersprechen Sie der Verarbeitung zum Zweck der Direktwerbung, stellen wir sie ein. Eine Begründung ist nicht erforderlich, und eine bestimmte Formulierung ist nicht nötig. Schreiben Sie an contact@justparity.com, dann löschen wir die Daten über Sie.

Warum Sie dies hier lesen und keine Nachricht erhalten haben: Artikel 14 Absatz 5 Buchstabe b erlaubt es, auf die Benachrichtigung jeder einzelnen Person zu verzichten, wenn diese einen unverhältnismäßigen Aufwand erfordern würde, und verlangt im Gegenzug, dass die Information öffentlich bereitgestellt wird. Genau das tut diese Seite. Wir haben uns entschieden, Personen, die nie darum gebeten haben, von uns zu hören, nicht anzuschreiben, gerade um aus einer Informationspflicht keine Kontaktaufnahme zu machen.

Sind Sie mit unserem Umgang mit Ihren Daten nicht einverstanden, können Sie sich bei einer Aufsichtsbehörde beschweren, siehe Abschnitt 9.

Wir behalten uns das Recht vor, diese Datenschutzerklärung zu aktualisieren. Über wesentliche Änderungen werden betroffene Personen per E-Mail oder beim Login in die Plattform informiert. Die jeweils aktuelle Fassung ist stets auf dieser Seite verfügbar.