Datenschutzerklärung

Die Just Parity ApS ist Verantwortlicher für die Verarbeitung personenbezogener Daten von Besuchern der Website justparity.lu, von Ansprechpartnern bei Kunden und von Plattformnutzern (HR-Mitarbeiter, Führungskräfte).

Für Gehalts- und HR-Daten, die Kunden in die Plattform laden, handelt die Just Parity ApS als Auftragsverarbeiter. Verantwortlicher ist in diesen Fällen das Unternehmen des Kunden. Anfragen zu Mitarbeiterdaten sind daher an dieses Unternehmen zu richten.

Die Just Parity ApS ist in Dänemark niedergelassen und unterhält keine Niederlassung in Luxemburg. Da die Gesellschaft in der Europäischen Union niedergelassen ist, ist die Benennung eines Vertreters im Sinne des Art. 27 DSGVO nicht erforderlich.

Datenschutzbeauftragter (DSB): Die Just Parity ApS hat bislang keinen Datenschutzbeauftragten benannt, da der Umfang unserer Verarbeitungen die Benennungspflicht nach Art. 37 DSGVO gegenwärtig nicht auslöst. Fragen zum Datenschutz richten Sie bitte an contact@justparity.com.

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken:

• Bereitstellung der Justparity Compliance-Plattform
• Kundensupport und Kommunikation
• Rechnungsstellung und Buchhaltung
• Betrieb, Wartung und Verbesserung des Dienstes
• Marketing (nur mit Ihrer Einwilligung)
• Erfüllung gesetzlicher Pflichten
• Übermittlung von Angeboten im B2B-Bereich, einschließlich der Messung, ob der Empfänger die E-Mail geöffnet hat (Lesebestätigung über ein 1x1-Pixel-Bild)

Wir verarbeiten folgende Kategorien personenbezogener Daten:

• Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Unternehmen, Position
• Nutzungsdaten: Log-Daten, IP-Adresse, Browserinformationen, Geräteinformationen
• Kundendaten (als Auftragsverarbeiter): Gehalts- und HR-Daten, die Kunden in die Plattform hochladen

Gehaltsdaten und besondere Kategorien. Gehaltsdaten werden als gewöhnliche personenbezogene Daten verarbeitet (Art. 6 DSGVO). Die Verarbeitung kann jedoch Daten umfassen, die unter besondere Kategorien fallen (Art. 9 DSGVO):

• Gewerkschaftszugehörigkeit, die mittelbar in importierten Gehaltsdatensätzen enthalten sein kann (Art. 9 Abs. 2 lit. b DSGVO)

Das Geschlecht ist das eigentliche Kriterium der Entgeltgefälle-Analyse. Es ist in der abschließenden Aufzählung des Art. 9 Abs. 1 DSGVO nicht enthalten und fällt daher unter Art. 6 Abs. 1 lit. c DSGVO, gestützt auf die Richtlinie (EU) 2023/970 und auf die Pflicht zur Entgeltgleichheit nach Artikel L.225-1 des Code du travail. Wir schützen es gleichwohl mit denselben verstärkten Maßnahmen wie Daten nach Art. 9 DSGVO.

Die dänische Personenkennziffer (CPR-Nummer) kann bei angebundenen dänischen Entgeltsystemen (z. B. Intect) transient empfangen und ausschließlich zur technischen Ableitung des Geschlechts für die Entgeltgefälle-Analyse (letzte Ziffer) verwendet werden. Die CPR-Nummer wird in der Datenbank von Justparity nicht gespeichert; dort stehen nur Geschlecht und Geburtsdatum. Der Verantwortliche ist für die Rechtsgrundlage dieser Übermittlung verantwortlich. Dieser Mechanismus betrifft ausschließlich dänische Entgeltsysteme und gilt nicht für die luxemburgische nationale Kennnummer (matricule).

Diese Daten werden in separaten, zusätzlich gesicherten Tabellen mit strenger Zugriffskontrolle gespeichert.

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): zur Erbringung unserer Leistungen und zur Erfüllung des Vertrags
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Rechnungswesen, Buchführung, steuerliche Meldepflichten sowie Erfüllung der Richtlinie (EU) 2023/970
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Betrieb, Sicherheit, Missbrauchsprävention, Produktverbesserung sowie die Messung, ob ein Empfänger ein übermitteltes B2B-Angebot geöffnet hat (Lesebestätigung). Wir haben abgewogen, dass diese Messung in einem laufenden Geschäftsdialog den vernünftigen Erwartungen des Empfängers entspricht und der Eingriff minimal ist (wir erfassen Öffnungszeitpunkt, IP-Adresse und Browsertyp). Sie können dieser Verarbeitung jederzeit widersprechen, indem Sie uns unter contact@justparity.com kontaktieren.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Marketing, Newsletter und nicht notwendige Cookies

Geschlecht (Art. 6 Abs. 1 lit. c DSGVO): Die Verarbeitung von Geschlechtsdaten für die Analyse des Entgeltgefälles erfolgt zur Erfüllung arbeitsrechtlicher Pflichten aus der Richtlinie (EU) 2023/970 über Entgelttransparenz und, für Arbeitgeber, die luxemburgischem Recht unterliegen, aus Artikel L.225-1 des Code du travail. Das Geschlecht ist in der abschließenden Aufzählung des Art. 9 Abs. 1 DSGVO nicht enthalten und daher ein gewöhnliches personenbezogenes Datum.

Besondere Kategorien (Art. 9 Abs. 2 lit. b DSGVO): Die Verarbeitung von Angaben zur Gewerkschaftszugehörigkeit, soweit sie mittelbar in Gehaltsdatensätzen enthalten sind, erfolgt zur Erfüllung derselben arbeitsrechtlichen Pflichten.

Nationale Rechtsgrundlage bei luxemburgischen Verantwortlichen: Soweit ein Kunde als Verantwortlicher luxemburgischem Recht unterliegt, stützt sich die Verarbeitung besonderer Kategorien im Beschäftigungskontext auf Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit der Pflicht zur Entgeltgleichheit zwischen Frauen und Männern nach Artikel L.225-1 des Code du travail. Ergänzt wird die DSGVO im luxemburgischen Recht durch die loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. Der Verantwortliche, also der Kunde, hat für das Vorliegen der Rechtsgrundlage einzustehen; Justparity handelt insoweit als Auftragsverarbeiter.

CPR-Nummer: Sie wird nicht als Datum nach Art. 9 DSGVO verarbeitet. CPR-Nummern können bei angebundenen Entgeltsystemen transient empfangen und ausschließlich zur technischen Ableitung des Geschlechts (letzte Ziffer) verwendet werden; die CPR-Nummer wird nicht gespeichert. Der Verantwortliche ist für die Rechtsgrundlage einer etwaigen Übermittlung verantwortlich.

Wir können personenbezogene Daten an folgende Empfänger weitergeben:

Unterauftragsverarbeiter:

Behörden: soweit gesetzlich vorgeschrieben.

Eine Übermittlung in Drittländer außerhalb der EU/des EWR erfolgt nur, wenn geeignete Garantien vorliegen, in der Regel die Standardvertragsklauseln der EU (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Soweit die Muttergesellschaft eines Unterauftragsverarbeiters potenziellen Zugriff aus den USA hat, wurden Standardvertragsklauseln abgeschlossen.

Einwilligungsbasierte Marketing-Tools: Google Analytics und Google Ads (Statistik und Anzeigenmessung), Meta Pixel (Meta Platforms Ireland Ltd., Anzeigenmessung) und LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company, Anzeigenmessung) werden nur mit Ihrer Einwilligung eingesetzt und sind keine Unterauftragsverarbeiter für die personenbezogenen Daten der Plattform. Daten können auf Grundlage des EU-US Data Privacy Framework und der Standardvertragsklauseln (SCC) in die USA übermittelt werden. Die einzelnen Cookies, ihr Zweck und ihre Speicherdauer sind in unserer Cookie-Richtlinie aufgeführt, wo Sie Ihre Einwilligung auch ändern oder widerrufen können.

Rate-Limiting: Der Schutz vor Überlastung erfolgt im Arbeitsspeicher der Plattform selbst und bezieht keinen externen Anbieter ein.

Wir speichern personenbezogene Daten so lange, wie es für die Zwecke, für die sie erhoben wurden, erforderlich ist:

• Kundendaten in der Plattform: Löschung spätestens 30 Tage nach Vertragsende
• Kontaktdaten: 3 Jahre nach Ende der Kundenbeziehung, entsprechend der Verjährungsfrist für vertragliche Ansprüche (§ 3 des dänischen Verjährungsgesetzes, forældelsesloven)
• Buchhaltungsdaten: 5 Jahre (§ 12 des dänischen Buchführungsgesetzes, bogføringsloven)
• Angebote und Angebots-Audit-Daten: 5 Jahre ab dem Ende des Geschäftsjahres, auf das sich die Unterlagen beziehen, gemäß § 12 Abs. 1 des dänischen Buchführungsgesetzes. Nach Ablauf dieser Frist erfolgt eine Pseudonymisierung (personenbezogene Felder werden durch einen Hash ersetzt, Kennung und Ereigniszeitpunkt bleiben zu Revisionszwecken erhalten).
• Marketingdaten: bis zum Widerruf der Einwilligung
• Log-Daten: 90 Tage
• Lesebestätigung bei B2B-Angeboten: Öffnungszeitpunkt, IP-Adresse und Browsertyp werden zusammen mit dem Angebot gespeichert (5 Jahre) gemäß dem dänischen Buchführungsgesetz und anschließend pseudonymisiert

Die vorstehenden Fristen ergeben sich aus den gesetzlichen Pflichten der Just Parity ApS als dänischer Gesellschaft; die Verweise beziehen sich daher auf dänisches Recht. Soweit der Kunde als Verantwortlicher eigenen Aufbewahrungspflichten nach luxemburgischem Recht unterliegt, hat er diese selbst einzuhalten.

Als betroffene Person haben Sie nach Kapitel III der DSGVO folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung, "Recht auf Vergessenwerden" (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Mitteilung bei Berichtigung oder Löschung (Art. 19 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22 DSGVO)
• Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO). Der Widerruf berührt nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung

Für Daten, bei denen Justparity Auftragsverarbeiter ist (in die Plattform geladene Mitarbeiterdaten), sind Anfragen an den Verantwortlichen zu richten, also an das Unternehmen, das die Daten eingespielt hat. Für übrige Daten (Kontaktdaten, Nutzerdaten) können Sie Ihre Rechte ausüben, indem Sie uns unter contact@justparity.com kontaktieren. Wir beantworten Anfragen ohne unangemessene Verzögerung und spätestens einen Monat nach Eingang. Ist der Antrag komplex, kann die Frist um bis zu zwei Monate verlängert werden, und Sie werden in diesem Fall innerhalb des ersten Monats informiert.

Wir haben geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umgesetzt, darunter:

• Verschlüsselung der Daten bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256)
• rollenbasierte Zugriffskontrolle (RBAC) und Multi-Faktor-Authentifizierung
• Protokollierung und Überwachung des Zugriffs auf personenbezogene Daten
• laufende Schwachstellenscans und Sicherheitsupdates
• Backup, Wiederherstellung und Incident-Response-Verfahren
• Vertraulichkeitserklärungen und regelmäßige Sicherheitsschulungen der Mitarbeiter

Detaillierte Sicherheitsmaßnahmen ergeben sich aus unserem Auftragsverarbeitungsvertrag (/avv).

Jede betroffene Person kann sich mit einer Beschwerde über die Verarbeitung ihrer personenbezogenen Daten an eine Aufsichtsbehörde wenden. In Luxemburg ist die Nationale Datenschutzkommission (Commission nationale pour la protection des données, CNPD) zuständig:

Nach Art. 77 DSGVO können Sie sich an die Aufsichtsbehörde des Mitgliedstaats Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden. Da die Just Parity ApS ausschließlich in Dänemark niedergelassen ist, ist ihre federführende Aufsichtsbehörde im Sinne des Art. 56 DSGVO die dänische Datenschutzbehörde (Datatilsynet, Carl Jacobsens Vej 35, DK-2500 Valby, Dänemark, dt@datatilsynet.dk). Eine bei der CNPD eingereichte Beschwerde wird gegebenenfalls im Verfahren der Zusammenarbeit nach Kapitel VII DSGVO bearbeitet.

Wir behalten uns das Recht vor, diese Datenschutzerklärung zu aktualisieren. Über wesentliche Änderungen werden betroffene Personen per E-Mail oder beim Login in die Plattform informiert. Die jeweils aktuelle Fassung ist stets auf dieser Seite verfügbar.