Datenschutzhinweise für Teilnehmer/innen an der Great Place To Work® Befragung*
1. Wer ist für die Datenverarbeitung verantwortlich und an wen kann ich mich wenden?
Bei der Durchführung einer Great Place To Work® Befragung handelt es sich um eine Auftragsverarbeitung gemäß Art. 28 DSGVO. Die verantwortliche Stelle für die Datenverarbeitung ist somit Ihr Arbeitgeber. Anfragen sind dem entsprechend zunächst an Ihren Arbeitgeber zu richten. Sofern erforderlich erreichen sie aber auch den Datenschutzbeauftragten der GPTW Deutschland GmbH folgendermaßen: GPTW Deutschland GmbH Datenschutzbeauftragter Im Klapperhof 7-23 50670 Köln Deutschland datenschutz@greatplacetowork.de2. Welche Quellen und Daten nutzen wir?
Wir verarbeiten personenbezogene Daten, welche wir im Rahmen unserer Great Place To Work® Befragung erheben bzw. die uns von Ihrem Arbeitgeber zur Verfügung gestellt werden. Es gibt drei Durchführungsarten für die Great Place To Work® Befragung. Jedes Unternehmen entscheidet selbst, welche Durchführungsarten eingesetzt werden. Dies hat wiederum Auswirkungen auf die genutzten Quellen und Daten: (i) Bei einer Online-Befragung werden standardmäßig folgende relevante personenbezogene Daten erhoben: Vorname, Name, (i.d.R. dienstliche) E-Mail-Adresse (für die Durchführung der Befragung) sowie Altersgruppe, Geschlecht, Betriebszugehörigkeit, Art der Beschäftigung und berufliche Position (soziodemographische Fragen während der Befragung). Ihr Unternehmen stellt der GPTW Deutschland GmbH im Vorfeld der Befragung E-Mail-Adressen der Mitarbeitenden, die zur Teilnahme an der Befragung ausgewählt wurden, zur Verfügung. Die Einladungsmails zur Befragung enthalten einen personalisierten Link, mit dem die Mitarbeitenden zum Online-Fragebogen weitergeleitet werden. Die Website des Fragebogens ist verschlüsselt. Die Verschlüsselung unterstützt sowohl gängige 128bit- als auch 256bit-Verschlüsselung (ebenfalls gebräuchliche Sicherheitsstandards beim Online-Banking). Nach Abschluss der Befragung erfolgt vor der weiteren Bearbeitung und Berichtlegung eine Trennung der Befragungsdaten von allen personenbezogenen Daten (Name, E-Mail-Adresse). Auf diese Weise wird sichergestellt, dass kein Rückschluss auf die Antworten einzelner Befragungsteilnehmer/innen möglich ist. Eine Weiterleitung oder Drittverwendung der personenbezogenen Daten findet in keinem Fall statt. (ii) Bei einer Codebrief-Befragung werden standardmäßig folgende relevante personenbezogene Daten erhoben: Vorname, Name (sofern überhaupt erforderlich), Wohnanschrift (sofern ein Versand an die Privatadresse notwendig ist) sowie Altersgruppe, Geschlecht, Betriebszugehörigkeit, Art der Beschäftigung, und berufliche Position (soziodemographische Fragen während der Befragung). Bei einer Codebrief-Befragung werden keine individuellen E-Mail-Adressen benötigt. Stattdessen erhalten Mitarbeitende über einen individuellen Code Zugang zur Befragung, der in einem verschlossenen Briefumschlag übergeben wird. Die Umschläge sind in der Regel teiladressiert und nicht kodiert bzw. personalisiert. Im Adressfeld befindet sich lediglich ein Eindruck mit dem Namen des Unternehmens sowie ggf. einer bestimmten Organisationseinheit. Rückschlüsse auf einzelne Personen sind somit grundsätzlich nicht möglich, auch nicht durch die individuellen Codes. (iii) Bei einer Paper-Pencil-Befragung werden standardmäßig folgende relevante personenbezogene Daten erhoben: Vorname, Name (sofern überhaupt erforderlich), Wohnanschrift (ausschließlich sofern der Versand an die Privatadresse gewünscht ist) sowie Altersgruppe, Geschlecht, Betriebszugehörigkeit, Art der Beschäftigung und berufliche Position (soziodemographische Fragen während der Befragung). Die einzelnen Papierfragebögen sind nicht personalisiert. Auf jedem Papierfragebogen befindet sich lediglich ein Eindruck mit dem Unternehmensnamen sowie ggf. einer zusätzlichen Organisationseinheit, jeweils in Verbindung mit einer korrespondierenden Nummer. Zur Verbesserung der EDV-technischen Erfassung der Papierfragebögen befindet sich auf jeder Seite des Fragebogens ein zusätzlicher QR-Code. Alle Mitarbeitenden eines Unternehmens bzw. einer Organisationseinheit erhalten jedoch stets identische Nummern bzw. QR-Codes. Rückschlüsse auf einzelne Personen sind somit grundsätzlich nicht möglich, auch nicht anhand der aufgedruckten Nummern bzw. QR-Codes. Die Rücksendung des Papier-Fragebogens erfolgt anonym mithilfe des zur Verfügung gestellten frankierten und adressierten Rückumschlags direkt an die GPTW Deutschland GmbH.3. Wofür verarbeiten wir Ihre Daten (Zweck der Verarbeitung) und auf welcher Rechtsgrundlage?
Wir verarbeiten personenbezogene Daten im Einklang mit den Bestimmungen der EU-Datenschutzgrundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG). Bei der Durchführung unserer Great Place To Work® Befragung, bei der ein Unternehmen der GPTW Deutschland GmbH Kontaktdaten seiner Mitarbeitenden zur Verfügung stellt, handelt es sich um eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO. Rechtsgrundlage ist dementsprechend ein Vertrag zur Auftragsverarbeitung zwischen der GPTW Deutschland GmbH und dem Unternehmen, das die Befragung beauftragt.3.1 Zur Erfüllung von vertraglichen Pflichten (Art. 6 Abs. 1 lit. b DSGVO i.V.m. § 26 Abs. 1 BDSG; Art. 88 Abs. 1 DSGVO i.V.m. § 26 Abs. 4 BDSG)
Die Verarbeitung Ihrer personenbezogenen Daten erfolgt alleine im Rahmen unserer Great Place To Work® Befragung. Die Modalitäten sind vertraglich zwischen Ihrem Arbeitgeber und der GPTW Deutschland GmbH geregelt.3.2 Aufgrund gesetzlicher Vorgaben (Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 26 BDSG)
Darüber hinaus verarbeiten wir Ihre Daten zur Erfüllung gesetzlicher Verpflichtungen (z.B. aufsichtsrechtlicher Vorgaben, handels- und steuerrechtlicher Aufbewahrungs- und Nachweispflichten).4. Wer bekommt meine Daten und werden Daten in ein Drittland oder an eine internationale Organisation übermittelt?
Innerhalb der GPTW Deutschland GmbH erhalten diejenigen Stellen Zugriff auf Ihre Daten, die diese zur Erfüllung unserer vertraglichen und gesetzlichen Pflichten brauchen. Daneben bedienen wir uns zur Erfüllung unserer vertraglichen und gesetzlichen Pflichten zum Teil unterschiedlicher externer Dienstleister gemäß Art. 28 DSGVO, welche die Sicherheitsvorkehrungen gemäß Art. 32 DSGVO erfüllen und von der GPTW Deutschland GmbH beauftragt worden sind. Dies sind z.B. Plattform-Hoster für die Durchführung der Online-Befragung, Scan-Dienstleister, Wartung- und Benutzerservices sowie Datenentsorgungsunternehmen. Im Hinblick auf die Datenweitergabe an Empfänger außerhalb der GPTW Deutschland GmbH ist zunächst zu beachten, dass wir personenbezogene Daten grundsätzlich nur weitergeben dürfen, wenn gesetzliche Bestimmungen dies gebieten, oder ihr Arbeitgeber eingewilligt hat. Sofern wir Daten in einem Drittland (d.h., außerhalb der Europäischen Union (EU), des Europäischen Wirtschaftsraums (EWR)) verarbeiten oder die Verarbeitung im Rahmen der Inanspruchnahme von Diensten Dritter oder der Offenlegung bzw. Übermittlung von Daten an andere Personen, Stellen oder Unternehmen stattfindet, erfolgt dies nur im Einklang mit den gesetzlichen Vorgaben. Vorbehaltlich ausdrücklicher Einwilligung oder vertraglich oder gesetzlich erforderlicher Übermittlung verarbeiten oder lassen wir die Daten nur in Drittländern mit einem anerkannten Datenschutzniveau, vertraglichen Verpflichtung durch sogenannte Standardschutzklauseln der EU-Kommission, beim Vorliegen von Zertifizierungen oder verbindlicher internen Datenschutzvorschriften verarbeiten (Art. 44 bis 49 DSGVO). Wir setzen folgende Hosting-Anbieter zur Durchführung der Great Place To Work® Befragung mittels Online- und Codebrief-Befragung (siehe „2. Welche Quellen und Daten nutzen wir?“) ein: Hofstede Insights Oy, Arabiankatu 12, 00560 Helsinki, Finnland: Dienstleister im Bereich Online-Befragungssoftware und Reportinglösungen: Nutzung einer an die Anforderungen der GPTW Deutschland GmbH angepassten Befragungs- und Reportingsoftware sowie Nutzung von Serverleistungen (Befragungsserver). Die Datenschutzerklärung von Hofstede Insights Oy ist im Internet unter https://www.hofstede-insights.com/privacy-policy/ abrufbar. Great Place To Work® Institute, Inc., 1999 Harrison Street, Suite 2070, Oakland, CA 9461, USA: Bereitstellung der Befragungsplattform EMPRISING zur Durchführung von Online-Befragungen und zum Abrufen von Befragungsergebnissen über Dashboards. Die Datenschutzerklärungen von Great Place To Work® Institute, Inc. sind im Internet unter https://www.greatplacetowork.com/privacy-policy sowie unter https://www.greatplacetowork.com/external-security-policy abrufbar. Zum Schutz Ihrer personenbezogenen Daten erhält Ihr Unternehmen Auswertung(en) der Befragung ausschließlich in aggregierter Form, so dass kein Rückschluss auf einzelne Befragungsteilnehmer/innen möglich ist.5. Wie lange werden meine Daten gespeichert?
Wir verarbeiten und speichern Ihre personenbezogenen Daten solange dies für die Erfüllung unserer vertraglichen und gesetzlichen Pflichten erforderlich ist. Sind die Daten für die Erfüllung vertraglicher oder gesetzlicher Pflichten nicht mehr erforderlich, werden diese regelmäßig gelöscht. In der Regel werden sämtliche Adressdaten standardmäßig im Mai des Folgejahres, in dem die Befragung durchgeführt wurde, gelöscht. Im Einzelfall werden mit dem Auftraggeber abweichende Löschfristen vereinbart.6. Welche Datenschutzrechte habe ich?
Jede betroffene Person hat grundsätzlich das Recht auf Auskunft nach Art. 15 DSGVO, das Recht auf Berichtigung nach Art. 16 DSGVO, das Recht auf Löschung nach Art. 17 DSGVO, das Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO sowie das Recht auf Datenübertragbarkeit aus Art. 20 DSGVO. Beim Auskunftsrecht und beim Löschungsrecht gelten die Einschränkungen nach §§ 34 und 35 BDSG. Darüber hinaus besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO i.V.m. § 19 BDSG). Ansprechpartner für ein entsprechendes Auskunftsrecht, ein etwaiges Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung sowie Datenübertragung ist Ihr Arbeitgeber.7. Besteht für mich eine Pflicht zur Bereitstellung von Daten?
Die Teilnahme an der Great Place To Work® Befragung ist freiwillig. Dementsprechend besteht für Sie keine Pflicht, im Rahmen der Befragung personenbezogene Daten bereitzustellen. Darüber hinaus ist die Teilnahme an der Great Place To Work® Befragung anonym. Ihr Arbeitgeber erhält zu keiner Zeit eine Rückmeldung darüber, welche Bewertungen Sie persönlich vorgenommen haben. Die Ergebnisrückmeldung an Ihren Arbeitgeber erfolgt ausschließlich für Gruppen von mindestens fünf Befragungsteilnehmern. Informationen über Ihr Widerspruchsrecht nach Art. 21 DSGVO Einzelfallbezogenes Widerspruchsrecht Sie haben grundsätzlich das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 lit. e DSGVO (Datenverarbeitung im öffentlichen Interesse) und Artikel 6 Absatz 1 lit. f DSGVO (Datenverarbeitung auf der Grundlage einer Interessenabwägung) erfolgt, Widerspruch einzulegen. Legen Sie Widerspruch ein, werden wir Ihre personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende berechtigte Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Empfänger eines Widerspruchs Ansprechpartner für ein etwaiges Widerspruchsrecht ist Ihr Arbeitgeber.=======
Information on data protection for respondents of the Great Place To Work® survey
Are you invited by Great Place To Work® or your employer to participate in a Great Place To Work® survey or management feedback? That makes us happy. With the following information we would like to give you an overview about how your personal data is processed by us and your rights according to data privacy laws. Which type of personal data is processed and how it is used depends largely on the services requested by your employer or agreed with GPTW Deutschland GmbH. Therefore, not all parts of this information may apply to you.
1. Who is responsible for data processing and to whom can I contact?
A Great Place To Work® survey is a commissioned processing of personal data pursuant to Art. 28 GPPR. Hence, your employer is responsible for data processing.
Inquiries should therefore first be addressed to your employer. If necessary, the data protection officer (DPA) of GPTW Deutschland GmbH can also be reached as follows:
GPTW Deutschland GmbH
Data protection officer
Im Klapperhof 7-23
50670 Köln
Germany
datenschutz@greatplacetowork.de
2. What sources and data do we use?
We process personal data that we collect as part of our Great Place To Work® survey or that is made available to us by your employer.
There are three types of implementation for the Great Place To Work® survey. Each company decides for itself which types of implementation are used. This in turn affects the sources and data used:
(i) In an online survey, the following relevant personal data is collected by default: first name, last name, (usually official) e-mail address (for conducting the survey) as well as age group, gender, length of service, type of employment and professional position (sociodemographic questions during the survey). In advance of the survey, your company provides GPTW Deutschland GmbH with e-mail addresses of selected employees that will participate in the survey. The invitation e-mails contain a personalized link forwarding you to the online questionnaire. The website of the questionnaire is encrypted. Encryption supports both common 128-bit and 256-bit encryption (also common security standards for online banking). After completion of the survey, data is separated from all personal data (name, e-mail address) before further processing and reporting. This ensures that it is not possible to draw conclusions about the answers of individual respondents. Under no circumstances will your personal data be forwarded or used by third parties.
(iii) In a code-letter survey, the following relevant personal data is collected by default: first name, surname (if any), home address (if delivery to home address is required), age group, gender, length of service, type of employment and professional position (socio-demographic questions during the survey). No individual e-mail addresses are required for a code letter survey. Instead, employees receive access to the survey via an individual code, which is handed over to them in a sealed envelope. Envelopes are usually partially addressed and not coded or personalised. The address field only contains an imprinted company name and, if applicable, a specific organizational unit. It is therefore not possible to draw conclusions about individual persons – not even from the imprinted numbers.
(ii) In a paper-and-pencil survey, the following relevant personal data is collected by default: first name, surname (if any), home address (only if you wish to be sent to your home address), age group, gender, length of service, type of employment and professional position (socio-demographic questions during the survey). Individual paper questionnaires are not personalised. On the questionnaire, we have imprinted the name of your employer and, if applicable, your organizational unit in conjunction with a number. All questionnaires for employees of your organization or organizational unit have the same number. The QR code is used to facilitate the collection of the questionnaire and contains only information on the questionnaire, not on the individual persons. Conclusions on the answers of individuals are impossible – neither by the imprinted number or codes nor by any confidential information provided by you. However, all employees of a company or organizational unit always receive identical numbers and QR codes. It is therefore not possible to draw conclusions about individual persons, not even on the basis of the imprinted numbers or QR codes. The paper questionnaire will be returned anonymously to GPTW Deutschland GmbH using a self-addressed stamped envelope.
3. What do we process your data for (purpose of processing) and on what legal basis?
We process personal data in accordance with the provisions of the EU General Data Protection Regulation (GDPR) and the German Federal Data Protection Act (“Bundesdatenschutzgesetz”; BDSG). The implementation of our Great Place To Work® survey, in which a company provides GPTW Deutschland GmbH with contact data of its employees, is a commissioned processing of personal data pursuant to Art. 28 GPPR. Accordingly, the legal basis is a data processing agreement (processing of personal data) between GPTW Deutschland GmbH and the company commissioning the survey.
3.1 For the fulfilment of contractual obligations (Art. 6 para. 1 lit. b GDPR in conjunction with § 26 para. 1 BDSG; Art. 88 para. 1 GDPR in conjunction with § 26, para. 4 BDSG)
Your personal data will only be processed within the framework of our Great Place To Work® survey. The modalities are contractually regulated between your employer and GPTW Deutschland GmbH.
3.2 Due to legal requirements (Art. 6 para. 1 lit. c GDPR in conjunction with § 26 BDSG)
In addition, we process your data to fulfil legal obligations (e.g., regulatory requirements, commercial and tax storage and proof obligations):
4. Who has access to my data and is data transferred to a third country or an international organization?
Those departments within GPTW Deutschland GmbH receive access to your data which are needed to fulfil our contractual and legal obligations. In addition, to fulfil our contractual and statutory obligations, we make use of various external service providers in accordance with Art. 28 GDPR, which fulfil the safety precautions according to Art. 32 GDPR and have been commissioned by GPTW Deutschland GmbH. These service providers may be platform hosters for conducting the online survey, scan service providers, maintenance and user services as well as data disposal companies. With regard to the transfer of data to recipients outside GPTW Deutschland GmbH, it should first be noted that we may only pass on personal data if required to do so by law or if your employer has given its consent.
If we process data in a third country (i.e., outside the European Union (EU), the European Economic Area (EEA)) or if the processing takes place in the context of the use of services of third parties or the disclosure or transfer of data to other persons, bodies or companies, this is only done in accordance with the legal requirements.
Subject to express consent or contractually or legally required transfer, we process or have the data processed only in third countries with a recognized level of data protection, contractual obligation through so-called Standard Contractual Clauses (SCCs) of the EU Commission, presence of certifications or Binding Corporate Rules (BCRs) (Art. 44 to 49 GDPR).
We use the following hosting providers to conduct the Great Place To Work® survey using online and code letter surveys (see “2. What sources and data do we use?”):
Hofstede Insights Oy, Arabiankatu 12, 00560 Helsinki, Finland:
Service provider in the field of online survey software and reporting solutions: Use of a survey and reporting software adapted to the requirements of GPTW Deutschland GmbH as well as the use of server services (survey server). The privacy policy of Hofstede Insights Oy is available at https://www.hofstede-insights.com/privacy-policy/.
Great Place To Work® Institute, Inc., 1999 Harrison Street, Suite 2070, Oakland, CA 9461, USA:
Allocation of the EMPRISING survey platform for conducting online surveys and retrieving survey results via dashboards. The privacy policy of Great Place To Work® Institute, Inc. is available at https://www.greatplacetowork.com/privacy-policy and https://www.greatplacetowork.com/external-security-policy.
In order to protect your personal data, your company will only receive evaluation(s) of the survey in aggregated form, so that no conclusions can be drawn about individual survey participants (employees).
5. How long will my data be stored?
We process and store your personal data as long as this is necessary for the fulfilment of our contractual and legal obligations. If the data are no longer required for the fulfilment of contractual or legal obligations, they are regularly deleted. As a rule, all personal data is deleted by default in May of the following year in which the survey was conducted. In individual cases, different deletion periods will be agreed with your employer.
6. What data protection rights do I have?
In principle, every data subject has the right of access (Art. 15 GDPR), the right to rectification (Art. 16 GDPR), the right to erasure (Art. 17 GDPR), the right to restriction of processing (Art. 18 GDPR) and the right to data portability (Art. 20 GDPR). The restrictions according to §§ 34 and 35 BDSG apply to the right to information and the right to erasure. In addition, there is a right to lodge a complaint with a supervisory authority (Art. 77 GDPR in conjunction with § 19 BDSG).
Your employer is the corresponding contact with respect to any right to rectification, erasure, restriction of processing as well as data transfer of your personal data.
7. Is there an obligation for me to provide personal data?
Participation in the Great Place To Work® survey is voluntary. Accordingly, there is no obligation for you to provide personal data within the scope of the survey.
Furthermore, participation in the Great Place To Work® survey is anonymous. Your employer will never receive any feedback on your personal answers and thus final results contain no recognizable answers given by you. Final results of the survey are reported to your employer only for groups of at least five responses (employees).
Information on your right of objection in accordance with Art. 21 GDPR
Right of objection on a case-by-case basis
In principle, you have the right to object to the processing of your personal data at any time on the basis of Art. 6 para. 1 lit. e GDPR (data processing in the public interest) and Article 6 para. lit. f GDPR (data processing on the basis of legitimate interests) for reasons arising from your particular situation.
If you object, we will no longer process your personal data unless we can prove compelling legitimate reasons for the processing, which outweigh your interests, rights and freedoms, or the processing serves to assert, exercise or defend legal claims.
Receiver of an objection
Your employer is the suitable contact for any right of objection.