Aus Gründen der Übersichtlichkeit und Lesbarkeit und aufgrund der Anlehnung an offizielle Gesetzestexte und deren offiziellen Formulierungen wird hier bei der Formulierung auf die Erwähnung beider Geschlechter verzichtet und das generische Maskulin verwendet.
Löschkonzept
HRinstruments verarbeitet im Auftrag der Kundinnen und Kunden personenbezogene Daten. Gemäß Art. 5 Abs. 1c DSGVO („Datenminimierung“) und Art. 17 DSGVO („Recht auf Vergessenwerden“) werden diese Daten nach bestimmten Regeln gelöscht. Das nachfolgende Dokument spezifiziert, wie die HRinstruments GmbH dies bei den verschiedenen verarbeiteten Datenarten umsetzt.
Unabhängig von den nachfolgenden Regelungen gilt Folgendes:
Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch die Kundin oder den Kunden – spätestens mit Beendigung der Leistungsvereinbarung – hat die HRinstruments GmbH sämtliche in ihren Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, der Kundin oder dem Kunden auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedsstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (vgl. Art. 28 Abs. 3 lit. DSGVO).
Löschregeln
Endet das Arbeitsverhältnis zwischen dem / der Betroffenen (Mitarbeitenden) und der Kundin oder dem Kunden, so müssen:
- die Stammdaten des / der Betroffenen unverzüglich gelöscht werden.
- die personenbezogene Daten des / der Betroffenen in template-basierten Befragungen anonymisiert oder gelöscht werden.
- die personenbezogene Daten des / der Betroffenen in Instant Feedback anonymisiert werden.
- die personenbezogene Daten des / der Betroffenen in Anwendungsprotokollen anonymisiert werden.
Löschanfragen
Möchte eine Betroffene oder ein Betroffener ihre oder seine Daten löschen lassen, so muss sie oder er sich an den oder die für die Datenverarbeitung Verantwortliche oder Verantwortlichen wenden, d.h. die Kundin oder den Kunden. Geht ein Löschbegehren direkt bei der HRinstruments GmbH ein, so leitet diese es zunächst an die Weisungsberechtigten der Kundin oder des Kunden weiter, um den Prozess „Meldung zur Berichtigung, Einschränkung oder Löschung“ zu beginnen:
- Eine Weisungsberechtigte oder Weisungsberechtigter der Kundin oder des Kunden nimmt das Löschbegehren entgegen. Er leitet es an die Weisungsempfänger bei der HRinstruments GmbH weiter.
- Ist die Weisungsempfängerin oder der Weisungsempfänger nicht gleichzeitig der KAM (Key Account Manager) der Kundin oder des Kunden, so leitet sie oder er das Löschbegehren an die oder den den entsprechenden KAM weiter.
- Die oder der KAM beauftragt die Löschung bei der IT der HRinstruments GmbH.
- Die IT identifiziert die betroffenen Daten, löscht diese und meldet den Vollzug dann an die oder den KAM.
- Die oder der KAM bestätigt dann den Weisungsberechtigten den Vollzug.
Jeder Prozessschritt wird protokolliert und das Löschbegehren wird archiviert.
Gemäß Art. 12 Abs 3 DSGVO erfolgt die Löschung der Daten unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags.
Löschklassen
Je nach Datenart sind für personenbezogene Daten verschiedene Löscharten und -zeitpunkte vorgesehen. Diese teilen sich in folgende Klassen auf:
- Sofort
- Logfiles
- Datenschutzrelevante Protokolle
- Backups
Detaillierte Informationen zu unserem Löschkonzept befinden sich in der untenstehenden Datei.
Pseudonymisierung und Anonymisierung
Die hier aufgeführten Informationen zur Anonymisierung und Pseudonymisierung sind lediglich als grundlegende Information gedacht und bieten keine Grundlage für rechtliche Ansprüche.
Die tatsächliche Implementierung kann von Fall zu Fall variieren. Für weitere Informationen kontaktieren Sie den HRinstruments Support.
Um den Datenschutz von Befragungsteilnehmern zu gewährleisten, „pseudonymisiert“ oder „anonymisiert“ HRinstruments die Antworten aller Befragungsteilnehmer. Hierdurch ist, je nach Konfiguration, für den Kunden und auch HRinstruments, nicht nachvollziehbar, welche Antworten von welchem Benutzer abgegeben wurden.
Um die Anonymität auch auf Berichtsebene zu gewährleisten, arbeitet HRinstruments mit Auswertungsuntergrenzen.
Pseudonymisierung
Nach EU-DSGVO Art. 4 bezeichnet „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können.
Mit anderen Worten versteht man unter „Pseudonymisierung“ das Ersetzen von Identifikationsmerkmalen wie dem Namen oder einer E-Mail-Adresse mit einer eindeutigen Kennung, dem Pseudonym. Zielsetzung der „Pseudonymisierung“ ist, das Risiko der Identifikation für den Betroffenen zu senken.
| Umgang mit Daten | Pseudonymisierung (Empfehlung HRinstruments) |
|---|---|
| Erklärung | Benutzer-Zuordnung bleibt erhalten, ist aber für den Kunden nicht einsehbar Die Vertraulichkeit der Daten ist vertraglich zwischen HRinstruments und dem Kunden gewährleistet |
| Auswirkung auf Administratoren | Administratoren können sehen, wer eingeladen wurde Administratoren können nicht sehen, wer bereits teilgenommen hat Nur die Rücklaufquote in Prozent pro Organisationseinheit ist sichtbar Administratoren können bei Bedarf einzelnen Teilnehmern erneut deren Einladungslink zukommen lassen |
| Auswirkungen auf Handlungsmöglichkeiten HRinstruments | Einzelne Teilnehmer können nachträglich einer anderen Organisationseinheit zugeordnet werden Erinnerungs-E-Mails können den persönlichen Teilnahme-Link des Empfängers beinhalten Einladungs-E-Mails können erneut verschickt werden, falls z.B. ein Teilnehmer seine Einladung verloren oder aufgrund technischer Probleme nicht empfangen hat Teilnahme über das Dashboard im System ist möglich |
Anonymisierung
Laut § 3 Abs. 6 BDSG ist Anonymisieren „das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können“.
| Umgang mit Daten | Anonymisierung beim Start der Befragung | Anonymisierung nach Erzeugung der Berichte |
|---|---|---|
| Erklärung | Benutzer-Zuordnung der Teilnahme wird gelöscht, sobald die Einladungs-E-Mail versendet wurde | Benutzer-Zuordnung der Teilnahme wird gelöscht, sobald die Berichte erzeugt wurden |
| Auswirkung auf Administratoren | Administratoren können nicht sehen – wer eingeladen wurde – wer bereits teilgenommen hat Nur die Rücklaufquote in Prozent pro Organisationseinheit ist sichtbar | Administratoren können nicht sehen – wer eingeladen wurde – wer bereits teilgenommen hat Nur Rücklaufquote in Prozent pro Organisationseinheit ist sichtbar |
| Auswirkungen auf Handlungsmöglichkeiten HRinstruments | HRinstruments kann die Befragungsdaten nicht mehr einzelnen Benutzern zuordnen, nachdem das Verfahren gestartet wurde. Daraus ergeben sich folgende Implikationen: Einzelne Teilnehmer können im Nachhinein keiner anderen Organisationseinheit zugeordnet werden Erinnerungs-E-Mails können nur an alle Teilnehmer verschickt werden und können nicht mehr den persönlichen Teilnahme-Link des Empfängers beinhalten Einladungs-E-Mails können nicht erneut verschickt werden, falls z.B. ein Teilnehmer seine Einladung verloren oder aufgrund technischer Probleme nicht empfangen hat Teilnahme über das Dashboard im System ist nicht möglich | Auch HRinstruments kann die Befragungsdaten nicht mehr einzelnen Benutzern zuordnen, nachdem die Berichte erzeugt wurden. Daraus ergeben sich folgende Implikationen: Einzelne Teilnehmer können, nachdem die Berichte erzeugt wurden, keiner anderen Organisationseinheit zugeordnet werden Erinnerungs-E-Mails können den persönlichen Teilnahme-Link des Empfängers beinhalten Einladungs-E-Mails können erneut verschickt werden, falls z.B. ein Teilnehmer seine Einladung verloren oder aufgrund technischer Probleme nicht empfangen hat Teilnahme über das Dashboard im System ist möglich |
Detaillierte Informationen zu unseren Maßnahmen bezüglich Pseudonymisierung und Anonymisierung befinden sich in der untenstehenden Datei.