Datenschutzerklärung

Die Just Parity ApS ist Verantwortlicher für die Bearbeitung der Personendaten von Besuchern von justparity.ch, von Ansprechpersonen bei unseren Kunden und von Nutzern der Plattform (HR-Personal und Führungskräfte).

Für Lohn- und HR-Daten, die Kunden auf die Plattform laden, handelt die Just Parity ApS als Auftragsbearbeiter im Sinne von Art. 9 DSG. Verantwortlicher ist in diesen Fällen das Unternehmen des Kunden, an das Anfragen zu Mitarbeiterdaten zu richten sind.

Anwendbares Recht: Das DSG gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Art. 3 Abs. 1 DSG). Da die Just Parity ApS ihren Sitz in Dänemark hat, untersteht die Bearbeitung zusätzlich der Datenschutz-Grundverordnung der EU (DSGVO). Die DSGVO ersetzt das DSG gegenüber betroffenen Personen in der Schweiz nicht: Gelten beide Regelwerke, halten wir uns an den strengeren Standard.

Vertretung in der Schweiz: Ein privater Verantwortlicher mit Sitz im Ausland muss nur dann eine Vertretung in der Schweiz bezeichnen, wenn sämtliche Voraussetzungen von Art. 14 DSG kumulativ erfüllt sind. Sobald diese Voraussetzungen erfüllt sein sollten, bezeichnen wir eine Vertretung und veröffentlichen ihre Angaben auf dieser Seite. Bis dahin ist contact@justparity.com die Anlaufstelle für betroffene Personen in der Schweiz.

Datenschutzberater: Das Schweizer Recht verpflichtet private Verantwortliche nicht dazu, einen Datenschutzberater zu ernennen, denn Art. 10 DSG sieht diese Ernennung als freiwillig vor. Die Just Parity ApS hat weder einen Datenschutzberater nach Art. 10 DSG noch einen Datenschutzbeauftragten nach Art. 37 DSGVO ernannt, da die Voraussetzungen der zuletzt genannten Bestimmung nicht erfüllt sind. Fragen zum Datenschutz richten Sie bitte an contact@justparity.com.

Wir bearbeiten Personendaten zu den folgenden Zwecken:

• Bereitstellung der Compliance-Plattform Justparity
• Kundenbetreuung und Kommunikation
• Rechnungsstellung und Buchhaltung
• Betrieb, Wartung und Verbesserung des Dienstes
• Marketing (ausschliesslich mit Einwilligung)
• Erfüllung gesetzlicher Pflichten
• Versand von Offerten im B2B-Bereich, einschliesslich der Messung, ob die Empfängerin oder der Empfänger die Nachricht geöffnet hat (Lesebestätigung mittels 1x1-Pixelbild)

Wir bearbeiten die folgenden Kategorien von Personendaten:

• Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Unternehmen, Funktion
• Nutzungsdaten: Protokolldaten, IP-Adresse, Browserinformationen, Geräteinformationen
• Kundendaten (in der Rolle als Auftragsbearbeiter): Lohn- und HR-Daten, die Kunden auf die Plattform laden

Lohndaten und besonders schützenswerte Personendaten. Lohndaten stehen nicht in der abschliessenden Aufzählung von Art. 5 Bst. c DSG und werden deshalb als gewöhnliche Personendaten bearbeitet. Die Bearbeitung kann jedoch Folgendes umfassen:

• das Geschlecht, das wir für die Analyse des Lohnunterschieds bearbeiten. Das Geschlecht steht nicht in der Aufzählung von Art. 5 Bst. c DSG und ist nach Schweizer Recht daher kein besonders schützenswertes Personendatum; wir bearbeiten es dennoch mit den verstärkten Massnahmen nach Ziffer 8
• die Gewerkschaftszugehörigkeit und die gewerkschaftliche Tätigkeit, die indirekt in importierten Lohndatensätzen erscheinen können. Dabei handelt es sich um besonders schützenswerte Personendaten im Sinne von Art. 5 Bst. c DSG

Die dänische Personenkennziffer (CPR-Nummer) kann aus angebundenen dänischen Lohnsystemen (z. B. Intect) transient empfangen und ausschliesslich zur technischen Ableitung des Geschlechts für die Analyse des Lohnunterschieds (letzte Ziffer) verwendet werden. Die CPR-Nummer wird nicht in der Datenbank von Justparity gespeichert: Gespeichert werden nur das Geschlecht und das Geburtsdatum. Für die Rechtsgrundlage der Bekanntgabe ist der Verantwortliche zuständig.

Diese Daten werden in separaten Tabellen gespeichert, mit zusätzlichen Schutzmassnahmen und einer strengen Zugriffskontrolle.

Anders als die DSGVO verlangt das DSG nicht für jede Bearbeitung durch eine private Person eine besondere Rechtsgrundlage. Eine Bearbeitung ist rechtmässig, wenn sie die Grundsätze von Art. 6 DSG einhält: Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Erkennbarkeit, Richtigkeit und Datensicherheit. Ein Rechtfertigungsgrund nach Art. 31 DSG (Einwilligung, überwiegendes privates oder öffentliches Interesse oder Gesetz) ist nur nötig, wenn die Bearbeitung eine widerrechtliche Persönlichkeitsverletzung nach Art. 30 DSG darstellt.

Auf dieser Grundlage bearbeiten wir Personendaten wie folgt:

• Vertragserfüllung: um unsere Leistungen zu erbringen und den mit dem Kunden geschlossenen Vertrag zu erfüllen
• Gesetzliche Pflichten: Buchhaltung, Buchführung und Steuerpflichten. Die Just Parity ApS hat ihren Sitz in Dänemark: Diese Pflichten ergeben sich aus dänischem und nicht aus Schweizer Recht
• Überwiegendes Interesse (Art. 31 DSG): Betrieb, Sicherheit, Missbrauchsprävention, Produktverbesserung und die Messung, ob eine von uns versandte B2B-Offerte geöffnet wurde (Lesebestätigung). Wir haben abgewogen, dass diese Messung im Rahmen einer laufenden Geschäftsanbahnung den vernünftigen Erwartungen der Empfängerin oder des Empfängers entspricht und dass der Eingriff gering ist (wir erfassen den Zeitpunkt des Öffnens, die IP-Adresse und den Browsertyp). Sie können dieser Bearbeitung jederzeit widersprechen, indem Sie an contact@justparity.com schreiben
• Einwilligung (Art. 31 DSG): Marketing, Newsletter und nicht notwendige Cookies

Kunden, die der DSGVO unterstehen: Hat der Kunde als Verantwortlicher seinen Sitz im Europäischen Wirtschaftsraum, untersteht die Bearbeitung der Daten seiner Mitarbeitenden zusätzlich Art. 6 und 9 DSGVO. Wir handeln in diesem Fall auf Weisung des Verantwortlichen, dem die Rechtsgrundlage obliegt.

Schweizer Kunden, Lohngleichheitsanalyse: Die Richtlinie (EU) 2023/970 über Lohntransparenz ist in der Schweiz nicht anwendbar. Für Arbeitgeber in der Schweiz ergibt sich die einschlägige Pflicht aus dem Gleichstellungsgesetz (GlG): Wer mindestens 100 Arbeitnehmende beschäftigt, muss eine Lohngleichheitsanalyse durchführen und sie von einer unabhängigen Stelle überprüfen lassen (Art. 13a und 13d GlG), wobei der Vorgang in der Regel alle vier Jahre zu wiederholen ist. Die Plattform unterstützt Kunden bei der Erfüllung dieser Pflicht, die jedoch dem Arbeitgeber als Verantwortlichem obliegt.

Besonders schützenswerte Personendaten: Daten über die Gewerkschaftszugehörigkeit, die in importierten Lohndatensätzen erscheinen sollten, bearbeiten wir ausschliesslich im Rahmen der Lohngleichheitsanalyse und nur im Rahmen der Weisungen des Verantwortlichen.

CPR-Nummer: Sie ist kein besonders schützenswertes Personendatum im Sinne von Art. 5 Bst. c DSG. Sie kann aus dänischen Lohnsystemen transient empfangen und ausschliesslich zur technischen Ableitung des Geschlechts (letzte Ziffer) verwendet werden; sie wird nicht gespeichert. Für die Rechtsgrundlage einer allfälligen Bekanntgabe ist der Verantwortliche zuständig.

Wir können Personendaten bekanntgeben an:

Unterauftragsbearbeiter:

Behörden: soweit das Gesetz es vorschreibt.

Die Bekanntgabe von Personendaten ins Ausland richtet sich nach Art. 16 und 17 DSG. Die Daten werden hauptsächlich in der Europäischen Union bearbeitet: Dänemark und die übrigen Staaten der EU und des EWR stehen auf der vom Bundesrat festgelegten Liste der Staaten mit einem angemessenen Datenschutz (Anhang 1 der Datenschutzverordnung, DSV, SR 235.11), weshalb keine zusätzlichen Garantien nötig sind. In die Vereinigten Staaten erfolgt die Bekanntgabe nur an Unternehmen, die nach dem vom Bundesrat anerkannten Swiss-U.S. Data Privacy Framework zertifiziert sind, oder gestützt auf Standardvertragsklauseln, die vom EDÖB anerkannt sind (Art. 16 Abs. 2 Bst. d DSG).

Marketinginstrumente auf Einwilligungsbasis: Google Analytics und Google Ads (Statistik und Werbemessung), Meta Pixel (Meta Platforms Ireland Ltd., Werbemessung) und LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company, Werbemessung) setzen wir ausschliesslich mit Ihrer Einwilligung ein; sie sind keine Unterauftragsbearbeiter für die Personendaten der Plattform. Die Daten können gestützt auf das Swiss-U.S. Data Privacy Framework und auf vom EDÖB anerkannte Standardvertragsklauseln in die Vereinigten Staaten bekanntgegeben werden. Die einzelnen Cookies, ihre Zwecke und ihre Dauer sind in unserer Cookie-Richtlinie aufgeführt, wo Sie Ihre Einwilligung auch ändern oder widerrufen können.

Begrenzung der Anfragehäufigkeit: Der Schutz vor Überlastung erfolgt im Speicher der Plattform selbst und bezieht keinen externen Anbieter ein.

Wir bewahren Personendaten so lange auf, wie es für die Zwecke nötig ist, für die sie erhoben wurden:

• Kundendaten in der Plattform: spätestens 30 Tage nach Vertragsende gelöscht
• Kontaktdaten: 3 Jahre ab dem Ende der Kundenbeziehung, entsprechend der Verjährungsfrist für vertragliche Forderungen nach § 3 des dänischen Verjährungsgesetzes
• Buchhaltungsdaten: 5 Jahre (§ 12 des dänischen Buchführungsgesetzes)
• Offerten und Audit-Daten zu Offerten: 5 Jahre ab dem Ende des Geschäftsjahres, auf das sich die Unterlagen beziehen, nach § 12 Abs. 1 des dänischen Buchführungsgesetzes. Nach Ablauf dieser Frist werden die Daten pseudonymisiert (die identifizierenden Felder werden durch einen Hash ersetzt; die Kennung und der Zeitstempel des Ereignisses bleiben zu Revisionszwecken erhalten)
• Marketingdaten: bis zum Widerruf der Einwilligung
• Protokolldaten: 90 Tage
• Lesebestätigungen zu B2B-Offerten: Der Zeitpunkt des Öffnens, die IP-Adresse und der Browsertyp werden zusammen mit der Offerte (5 Jahre) nach dem dänischen Buchführungsgesetz aufbewahrt und anschliessend pseudonymisiert

Die genannten Fristen ergeben sich aus dem dänischen Recht, dem die Just Parity ApS als Gesellschaft mit Sitz in Dänemark untersteht. Für Kunden in der Schweiz gelten weiterhin ihre eigenen Aufbewahrungspflichten nach Schweizer Recht, namentlich im Handels- und im Steuerrecht, die sie als Verantwortliche treffen.

Als betroffene Person stehen Ihnen nach dem DSG namentlich die folgenden Rechte zu:

• das Auskunftsrecht (Art. 25 DSG), im Rahmen der Einschränkungen von Art. 26 DSG
• das Recht auf Herausgabe der Daten oder auf ihre Übertragung an Dritte (Art. 28 DSG)
• das Recht, die Berichtigung unrichtiger Daten zu verlangen, in Anwendung des Grundsatzes der Richtigkeit (Art. 6 DSG)
• das Recht, die Löschung oder die Vernichtung der Personendaten zu verlangen (Art. 32 DSG)
• das Recht zu verlangen, dass eine bestimmte Bearbeitung oder eine bestimmte Bekanntgabe an Dritte untersagt wird (Art. 30 und 32 DSG)
• das Recht, über das Vorliegen einer automatisierten Einzelentscheidung informiert zu werden und den eigenen Standpunkt geltend zu machen (Art. 21 DSG)
• das Recht, eine erteilte Einwilligung jederzeit zu widerrufen; der Widerruf berührt die Rechtmässigkeit der vor ihm erfolgten Bearbeitung nicht

Für Daten, bei denen Justparity Auftragsbearbeiter ist (auf die Plattform geladene Mitarbeiterdaten), sind die Anfragen an den Verantwortlichen zu richten, also an das Unternehmen, das die Daten hochgeladen hat. Für die übrigen Daten (Kontaktdaten, Nutzerdaten) können Sie Ihre Rechte unter contact@justparity.com ausüben.

Wir erteilen die Auskunft in der Regel innert 30 Tagen nach Eingang des Gesuchs. Ist dies nicht möglich, teilen wir Ihnen dies innert dieser Frist mit und geben an, wann Sie die Antwort erhalten (Art. 18 DSV).

Betroffene Personen in der EU und im EWR: Die Rechte aus Kapitel III der DSGVO (Art. 15 ff. DSGVO) gelten zusätzlich. Für die auf die Plattform geladenen Daten sind sie gegenüber dem Kunden als Verantwortlichem geltend zu machen.

Wir haben angemessene technische und organisatorische Massnahmen zum Schutz der Personendaten getroffen, namentlich:

• Verschlüsselung der Daten bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256)
• rollenbasierte Zugriffskontrolle (RBAC) und Mehrfaktor-Authentifizierung
• Protokollierung und Überwachung der Zugriffe auf Personendaten
• regelmässige Schwachstellen-Scans und Sicherheitsupdates
• Verfahren für Sicherung, Wiederherstellung und Vorfallmanagement
• Vertraulichkeitspflichten und regelmässige Schulung der Mitarbeitenden in Sicherheitsfragen

Verletzungen der Datensicherheit: Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führen, melden wir dem EDÖB so rasch als möglich (Art. 24 DSG). Das Schweizer Recht kennt die feste Frist von 72 Stunden der DSGVO nicht; gilt die DSGVO zusätzlich, halten wir auch diese Frist ein.

Die detaillierten Sicherheitsmassnahmen sind in unserem Auftragsbearbeitungsvertrag (/avv) beschrieben.

Zuständige Aufsichtsbehörde in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Wer der Ansicht ist, dass eine Bearbeitung die Datenschutzvorschriften verletzt, kann Anzeige erstatten: Der EDÖB eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung, wenn genügend Anzeichen für eine Verletzung bestehen (Art. 49 DSG).

Die Anzeige nach Schweizer Recht entspricht nicht der Beschwerde nach Art. 77 DSGVO. Die anzeigende Person wird über die Folge, die der Anzeige gegeben wurde, und über das Ergebnis einer allfälligen Untersuchung informiert (Art. 49 Abs. 4 DSG), doch verleiht ihr das DSG keine Parteistellung im Verfahren. Zivilrechtliche Ansprüche, namentlich die Löschung oder die Vernichtung der Daten und das Verbot einer bestimmten Bearbeitung, sind vor dem Zivilgericht geltend zu machen (Art. 32 DSG in Verbindung mit Art. 28 ff. des Zivilgesetzbuchs).

Betroffene Personen in der EU und im EWR: Das Recht, bei der Aufsichtsbehörde des Staates des gewöhnlichen Aufenthalts oder des Arbeitsorts Beschwerde einzureichen, bleibt unberührt (Art. 77 DSGVO). Für die Just Parity ApS als Gesellschaft mit Sitz in Dänemark ist das Datatilsynet zuständig, Carl Jacobsens Vej 35, 2500 Valby, Dänemark, dt@datatilsynet.dk, datatilsynet.dk.

Dieser Abschnitt betrifft personenbezogene Daten, die wir nicht bei Ihnen selbst erhoben haben. Er gilt für Kontaktpersonen bei Unternehmen, die wir als mögliche Kunden in Betracht ziehen und mit denen wir nicht notwendigerweise gesprochen haben. Die Daten liegen in unserem internen Vertriebssystem, nicht in der Plattform.

Woher die Daten stammen (Art. 19 Abs. 3 DSG): die eigenen öffentlich zugänglichen Webseiten der Unternehmen, auf denen Beschäftigte mit Namen, Funktion und geschäftlichen Kontaktdaten aufgeführt sind. Die Extraktion erfolgt automatisiert. Die Unternehmen selbst finden wir im dänischen Handelsregister (CVR); CVR ist nicht die Quelle der Daten über die einzelnen Personen.

Welche Daten: Name, Funktion, geschäftliche E-Mail-Adresse, geschäftliche Telefonnummer und Arbeitgeber. Besondere Kategorien personenbezogener Daten und nationale Identifikationsnummern erheben wir zu diesem Zweck nicht.

Zwecke und Rechtfertigungsgrund: zu beurteilen, ob das Unternehmen von unserem Produkt profitieren kann, und die richtige Ansprechperson kontaktieren zu können. Die Bearbeitung stützt sich auf unser überwiegendes Interesse an der Vermarktung einer Dienstleistung gegenüber anderen Unternehmen (Art. 31 DSG). Wir haben dieses Interesse gegen die Interessen der betroffenen Person abgewogen; die Daten beschränken sich auf die berufliche Rolle.

Keine automatisierten Einzelentscheidungen: Wir treffen keine Entscheidungen über eine einzelne Person, die ausschliesslich auf automatisierter Bearbeitung beruhen (Art. 21 DSG), und wir erstellen keine Profile von Personen. Die von uns vorgenommene Priorisierung betrifft das Unternehmen.

Empfängerinnen und Empfänger: keine über die Auftragsverarbeiter hinaus, die unsere eigenen Systeme betreiben, siehe Abschnitt 5. Die Daten werden nicht verkauft und nicht zu Werbezwecken an Dritte weitergegeben.

Wie lange wir sie aufbewahren: Eine Kontaktperson wird spätestens 12 Monate nach der Erhebung gelöscht, wenn in diesem Zeitraum kein Kontakt zwischen uns und der Person oder dem Unternehmen stattgefunden hat. Hat Kontakt stattgefunden, gelten die Fristen in Abschnitt 6.

Ihre Rechte, insbesondere das Recht zu widersprechen: Sie haben das Auskunftsrecht (Art. 25 DSG), das Recht auf Berichtigung (Art. 32 Abs. 1 DSG) sowie das Recht, der Bearbeitung zu widersprechen und die Löschung zu verlangen (Art. 32 Abs. 2 DSG). Widersprechen Sie der Bearbeitung zum Zweck der Werbung, stellen wir sie ein. Eine Begründung ist nicht erforderlich, und eine bestimmte Formulierung ist nicht nötig. Schreiben Sie an contact@justparity.com, dann löschen wir die Daten über Sie.

Warum Sie dies hier lesen: Art. 19 Abs. 1 DSG verpflichtet uns, Sie über die Beschaffung zu informieren, auch wenn die Daten nicht bei Ihnen selbst beschafft wurden. Art. 20 Abs. 2 Bst. b DSG lässt die Pflicht entfallen, wenn die Information einen unverhältnismässigen Aufwand erfordert. Wir stützen uns nicht auf diese Ausnahme, sondern informieren hier. Wir haben uns entschieden, Personen, die nie darum gebeten haben, von uns zu hören, nicht anzuschreiben, gerade um aus einer Informationspflicht keine Kontaktaufnahme zu machen.

Sind Sie mit unserem Umgang mit Ihren Daten nicht einverstanden, können Sie sich an den EDÖB wenden, siehe Abschnitt 9.

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren. Bei wesentlichen Änderungen werden die betroffenen Personen per E-Mail oder beim Zugriff auf die Plattform informiert. Die aktuellste Fassung ist stets auf dieser Seite verfügbar.