Datenschutzerklärung der Coverflex-Anwendung

1. Geltungsbereich

1.1. Diese Datenschutzerklärung („Erklärung“) erläutert, wie personenbezogene Daten im Zusammenhang mit der Coverflex-Anwendung und den zugehörigen geschützten Webbereichen (zusammen die „Anwendung“) verarbeitet werden, die unter der Marke Coverflex betrieben werden.

1.2. Die Einsichtnahme in diese Erklärung ersetzt nicht die Datenschutzerklärung der Website, in der die Verarbeitung über die öffentliche Website erläutert wird.

1.3. Eine Person, die lediglich die öffentliche Website besucht und nicht auf die Anwendung zugreift, gilt im Sinne dieser Erklärung als Website-Besucher und nicht als Nutzer.

1.4. Die Anwendung ermöglicht berechtigten Nutzern und autorisierten Kundenadministratoren den Zugriff auf die vom Kunden ausgewählten Dienste sowie deren Verwaltung. Je nach relevantem Markt und Konfiguration können dazu Benefits, Zulagen und Budgets, Verpflegungszuschüsse, versicherungsbezogene Dienste, Erstattungen, die Prüfung von Rechnungen oder Belegen, die Dokumentenspeicherung, lohn- und gehaltsbezogene Berichte, Gehaltstransparenz sowie vom Kunden aktivierte Integrationen gehören. Nicht jede Funktion steht jedem Kunden oder Nutzer zur Verfügung oder ist für jeden aktiviert.

1.5. Über die Anwendung können Nutzer verfügbare Guthaben für Benefits einsehen und nutzen, Erstattungsanträge und Belege einreichen, auf Aktivitäts- und Ausgabenaufzeichnungen zugreifen, zulässige persönliche und Haushaltsdaten verwalten sowie den Support kontaktieren. Autorisierte Kundenadministratoren können auf arbeitgeberbezogene Funktionen zugreifen, die im Rahmen der geltenden Dienstkonfiguration zur Verfügung gestellt werden.

1.6. Diese Richtlinie gilt für die Unternehmen der Coverflex-Gruppe, die die Anwendung in den in Abschnitt 10 genannten Rechtsordnungen bereitstellen. Die Identität und Rolle des jeweiligen Unternehmens hängen von der Verarbeitungsaktivität und dem Land ab, in dem die Dienste erbracht werden. Soweit erforderlich, gelten rechtsordnungsspezifische Bestimmungen.

‍

2. Verantwortlicher und Auftragsverarbeiter

2.1. Die Coverflex-Anwendung wird von der Coverflex-Gruppe betrieben.

2.2. Universal Cover, S.A. hat innerhalb der Gruppe eine doppelte Rolle. Als Muttergesellschaft zentralisiert sie bestimmte Funktionen in den Bereichen Governance, Compliance, Datenschutz, Informationssicherheit, Technologie, Berichterstattung und Aufsicht; gleichzeitig ist sie eine portugiesische Betriebsgesellschaft, die als Verantwortlicher für die von ihr in Portugal festgelegten Verarbeitungsvorgänge fungiert. Universal Cover ist daher kein reines Governance-Unternehmen und standardmäßig kein Auftragsverarbeiter.

2.3. Die Rolle jeder Einheit wird für jede einzelne Tätigkeit unter Berücksichtigung der Frage bewertet, wer die Zwecke und Mittel der jeweiligen Verarbeitungstätigkeit festlegt, und im Verzeichnis der Verarbeitungstätigkeiten der Gruppe (RoPA) erfasst. Die lokale Coverflex-Einheit ist der Verantwortliche für die Tätigkeiten, die sie in Bezug auf Nutzer in ihrem Zuständigkeitsbereich festlegt:

• Universal Cover, S.A. – für Nutzer mit Wohnsitz in Portugal
• Coverflex España, S.L. – für Nutzer mit Wohnsitz in Spanien
• Evinrude Due S.r.l. – für Nutzer mit Wohnsitz in Italien
• Coverflex Germany GmbH – für Nutzer mit Wohnsitz in Deutschland

2.4. Erhält eine Gesellschaft der Coverflex-Gruppe personenbezogene Daten von einer anderen Gesellschaft der Gruppe für eigene Zwecke – wie beispielsweise Unternehmensführung, Compliance, Datenschutz, Informationssicherheit, Risikomanagement, interne Kontrollen, Managementberichterstattung oder Unternehmensaufsicht –, handelt sie als eigenständiger Verantwortlicher, und es besteht eine Beziehung zwischen zwei Verantwortlichen; jede Gesellschaft bleibt für die von ihr kontrollierte Verarbeitung verantwortlich.

2.5. Unternehmen der Coverflex-Gruppe agieren derzeit bei keiner Verarbeitungsaktivität im Rahmen dieser Richtlinie als gemeinsam Verantwortliche. Sollte es in Zukunft zu einer gemeinsamen Verantwortlichkeit kommen, würde diese durch eine gesonderte Vereinbarung gemäß Artikel 26 DSGVO geregelt, deren wesentlicher Inhalt den Nutzern zur Verfügung gestellt würde.

2.6. Coverflex fungiert je nach Art und Zweck der Verarbeitungsaktivität sowohl als Verantwortlicher als auch als Auftragsverarbeiter.

• 2.6.1. Als Verantwortlicher ist Coverflex für die Verarbeitung verantwortlich, bei der es die Zwecke und wesentlichen Mittel festlegt, einschließlich Aspekten seiner direkten Beziehung zu den Nutzern, des Betriebs und der Sicherheit der Anwendung, der Betrugsbekämpfung, der Einhaltung gesetzlicher Verpflichtungen und der für eigene Zwecke erbrachten Unterstützung.
• 2.6.2. Als Auftragsverarbeiter verarbeitet Coverflex personenbezogene Daten im Auftrag seiner Kunden, die als Verantwortliche fungieren, für vom Arbeitgeber in Auftrag gegebene Tätigkeiten wie den Empfang und die Aktualisierung von Personalunterlagen, die Verwaltung vom Arbeitgeber zugewiesener Benefits und Erstattungen, die Überprüfung von Belegen anhand konfigurierter Regeln, die Unterstützung bei der Lohn- und Gehaltsabrechnung und der Dokumentenarchivierung sowie die Bereitstellung von Gehaltstransparenz oder Integrationen, die vom Kunden ausgewählt und konfiguriert wurden.

2.7. Wenn Coverflex als Auftragsverarbeiter auftritt, legt der Kunde die Rechtsgrundlage, die betroffenen Personen und die betreffenden Daten sowie die Zwecke und die Konfiguration fest und ist dafür verantwortlich, den Mitarbeitern und anderen betroffenen Personen die erforderlichen Informationen zur Verfügung zu stellen. Coverflex handelt gemäß den dokumentierten Anweisungen des Kunden und dem geltenden Auftragsverarbeitungsvertrag („AVV“), bleibt jedoch für seine eigenen Verpflichtungen als Auftragsverarbeiter verantwortlich. Der AVV regelt die Bestimmungen zur Datenverarbeitung; sie begründet jedoch nicht selbst die Rechtsgrundlage des Kunden. Coverflex benötigt keine gesonderte Einwilligung, um lediglich die gleiche Verarbeitung als Auftragsverarbeiter durchzuführen.

2.8. Im Bereich „Gehaltstransparenz“ legt der Kunde den Mitarbeiterkreis, die Quelldateien, die Zuordnungen, die Vergleichsgruppen, die Bewertungskriterien und die Verwendung der Ergebnisse fest. Im Bereich „Integrationen“ wählt der Kunde die Verbindung, die autorisierten Bereiche, die zugeordneten Felder, die Filter, das Routing und die Dateispezifikationen aus und konfiguriert diese. In jedem Fall verarbeitet Coverflex die relevanten Daten zur Erbringung der aktivierten Dienstleistung und erwirbt kein eigenständiges Recht, die Mitarbeiterdaten des Kunden für andere Zwecke zu nutzen.

2.9. Die Rolle jeder Partei hängt vom Zweck der Tätigkeit ab und nicht allein davon, ob ein Konto angelegt oder aktiviert wurde. Der Erhalt von Daten auf Anweisung des Kunden berechtigt Coverflex allein dadurch noch nicht, diese Daten für eigene Zwecke zu nutzen.

2.10. Bei deutschen Benefits kann die vom Arbeitgeber in Auftrag gegebene Verarbeitung die Verwaltung konfigurierter Sozialleistungsmodule, die Prüfung und Speicherung von Belegen für Erstattungsanträge, die Führung relevanter Aufzeichnungen sowie die Erstellung von Lohn- und Gehaltsexporten umfassen. Der Kunde bleibt verantwortlich für die Anspruchsberechtigung auf Benefits, die endgültige Genehmigung, die lohn- und steuerrechtliche Behandlung, die geltende Rechtsgrundlage sowie für erforderliche Informationen oder Konsultationen des Betriebsrats.

2.11. Werden Dienste, Infrastruktur oder Governance-Funktionen zentral von Universal Cover verwaltet, wird die Rolle jeder Einheit für die betreffende Tätigkeit auf der oben beschriebenen, tätigkeitsbezogenen Basis festgelegt und im RoPA der Gruppe festgehalten.

‍

3. Erfasste personenbezogene Daten

3.1. Die verarbeiteten personenbezogenen Daten hängen von den ausgewählten Diensten, dem jeweiligen Markt, der Konfiguration des Kunden und der Art und Weise der Nutzung der Anwendung ab. Die nachstehenden Kategorien gelten nicht für jeden Nutzer oder jede Dienstleistung.

3.2. Personenbezogene Daten können sein:

• vom Kunden oder seinen bevollmächtigten Vertretern bereitgestellt, unter anderem über Personalakten, HRIS-, ERP- oder Lohnabrechnungssysteme;
• direkt von Ihnen bereitgestellt, wenn Sie sich registrieren, eine Funktion nutzen, einen Erstattungsantrag oder einen Beleg einreichen oder den Support kontaktieren;
• von Leistungs-, Versicherungs-, Zahlungs- oder anderen Dienstleistern erhalten, die an einem von Ihnen genutzten Dienst beteiligt sind; oder
• durch die Nutzung der Anwendung generiert, wie z. B. Transaktionsaufzeichnungen, Verarbeitungsbelege, Prüfprotokolle und technische Protokolle.

3.3. Wenn Coverflex personenbezogene Daten für eigene Zwecke direkt von Ihnen erhebt, werden die gemäß Artikel 13 DSGVO erforderlichen Informationen bei der Erhebung bereitgestellt. Wenn Coverflex Daten indirekt als Verantwortlicher erhebt, gilt Artikel 14 DSGVO, und die erforderlichen Informationen werden innerhalb der geltenden Frist bereitgestellt, sofern keine rechtmäßige Ausnahme vorliegt. Wenn Coverflex als Auftragsverarbeiter auftritt, ist der Kunde für die Bereitstellung der für die Verarbeitung erforderlichen Informationen verantwortlich.

3.4. Je nach den aktivierten Diensten kann Coverflex folgende Daten verarbeiten:

• Identifikationsdaten wie Name, Benutzername, Mitarbeiter- oder sonstige interne Kennung, Steuer-Identifikationsnummer sowie, sofern für einen aktivierten Dienst erforderlich, in begrenztem Umfang amtliche Identifikationsdaten;
• Kontaktdaten, wie z. B. geschäftliche oder private E-Mail-Adresse, Postanschrift und Telefonnummer;
• demografische und berufliche Daten, wie Geburtsdatum, Geschlecht, Staatsangehörigkeit, Arbeitgeber, Beschäftigungsstatus, Abteilung, Team, Rolle, Berufsbezeichnung, Beruf, Beschäftigungszeiträume und Informationen zur Anspruchsberechtigung;
• Daten zu Gehaltsabrechnung, Steuern, Vergütung und Benefits, wie z. B. Informationen zu Gehalt oder Gehaltsstufe, Arbeitszeit, Vertragsart, Zulagen, Boni, Benefits und anderen Vergütungskomponenten, sofern dies für einen aktivierten Dienst erforderlich ist;
• Bank- und Zahlungsabwicklungsdaten, wie z. B. IBAN, Angaben zu Ein- oder Auszahlungen sowie begrenzte Zahlungs- oder Transaktionsreferenzen;
• Daten zu Haushalt, unterhaltsberechtigten Personen, Begünstigten und Versicherten, einschließlich Daten zu Minderjährigen, sofern dies für eine aktivierte Kinderbetreuung, Versicherung oder andere familienbezogene Benefits erforderlich ist;
• Daten zur Authentifizierung, Kontoführung und Zugriffsverwaltung;
• Daten zu Benefits, Zulagen, Budgets, Erstattungen, Versicherungen und Produktnutzung;
• Rechnungen, Quittungen, Belege und andere Nachweise, einschließlich Angaben zu Händlern oder Anbietern, Artikeln oder Diensten, Beträgen, Daten und Steuerinformationen;
• Support-Kommunikation und -Inhalte, die Sie oder der Kunde im Zusammenhang mit einer Supportanfrage übermitteln; und
• technische Daten, Gerätedaten, Nutzungsdaten, Sicherheitsdaten und Integrationsdaten, wie z. B. IP-Adresse, Gerätekonfiguration, Metadaten zur Authentifizierung oder Verbindung, Synchronisationsstatus, Verarbeitungsbelege, Fehlerberichte, Audit- und Fehlerbehebungsprotokolle. Cookies und ähnliche Technologien werden in der geltenden Cookie-Richtlinie behandelt.

3.5. Wenn die Gehaltstransparenz aktiviert ist, kann der Kunde Daten zur Belegschaft, zur Stellenarchitektur und zur Vergütung bereitstellen, die für die konfigurierte Analyse erforderlich sind. Dazu können Mitarbeiterkennungen, Geschlecht und Geburtsdatum, Arbeitgeber, Abteilung, Team, Rolle, Berufsbezeichnung oder Beruf, Beschäftigungs- und Vertragsinformationen, Arbeitszeit, Qualifikationen oder Bildungsniveau, Gehalt, Boni, Zulagen, Benefits und Bestandteile der Gesamtvergütung sowie vom Kunden ausgewählte Klassifizierungen oder Informationen zu Vergleichsgruppen gehören. Coverflex kann diese Daten strukturieren, validieren, normalisieren und zuordnen sowie für autorisierte Nutzer des Kunden Indikatoren zu Lohnunterschieden, Lohngleichheit und Datenqualität sowie damit verbundene Dashboards, Berichte und Exporte erstellen. Diese Daten können weiterhin mit namentlich genannten oder anderweitig identifizierbaren Mitarbeitern verknüpft bleiben und sollten nicht als anonymisiert angesehen werden.

3.6. Wird eine Integration aktiviert, legt der Kunde fest, welche zulässigen Felder mit seinem HRIS, ERP, seiner Lohnabrechnung oder einer anderen autorisierten Umgebung ausgetauscht werden. Je nach Konfiguration kann dies die oben beschriebenen Kategorien, vom Kunden ausgewählte benutzerdefinierte Felder außerhalb der besonderen Kategorien, Integrationskennungen sowie Datensätze umfassen, die zum Zuordnen, Weiterleiten, Validieren, Synchronisieren und zur Fehlerbehebung beim Datenaustausch erforderlich sind. Die Aktivierung einer Integration berechtigt nicht zur Übertragung von Daten außerhalb des dokumentierten Umfangs.

3.7. Die Tatsache, dass Gehalts- oder Arbeitszeitdaten für die Gehaltstransparenz oder eine vom Kunden konfigurierte Integration verarbeitet werden können, bedeutet nicht, dass diese Daten für jede Leistung verwendet werden. Insbesondere verwendet Coverflex weder das Bruttogehalt noch die vertraglich vereinbarten Arbeitszeiten, um die Übereinstimmung eines deutschen Gehaltsverzichtsvertrags mit dem gesetzlichen Mindestlohn, Tarifverträgen oder Sozialversicherungsvorschriften zu überprüfen; die Verantwortung für diese Beurteilung verbleibt beim Kunden.

3.8. Die für Arbeitgeber bestimmten Dienste sind nicht dafür ausgelegt oder vorgesehen, Sozialversicherungsnummern, Daten, aus denen eine Gewerkschaftszugehörigkeit hervorgeht, Daten zu strafrechtlichen Verurteilungen oder Straftaten, vollständige Zahlungskartendaten oder biometrische Daten als personenbezogene Daten des Kunden zu empfangen. Kunden und Nutzer dürfen diese Datenkategorien nicht über die Dienste übermitteln.

3.9. In begrenztem Umfang können gesundheitsbezogene Informationen offengelegt werden, wenn eine zur Erstattung eingereichte Rechnung, Quittung oder ein anderer Beleg eine medizinische Behandlung, einen Gesundheitsdienstleister, ein medizinisches Zentrum oder ein Medikament identifiziert. Coverflex verarbeitet diese Informationen nur dann, wenn die entsprechende medizinische Leistung in der jeweiligen Rechtsordnung verfügbar ist und vom Kunden aktiviert wurde, und nur in dem Umfang, der zur Überprüfung der dokumentierten Ausgabe gemäß den Anweisungen des Kunden erforderlich ist. Der Kunde ist für die Einhaltung der geltenden Bestimmungen gemäß Artikel 9 DSGVO, der erforderlichen Hinweise und der Anspruchsvoraussetzungen verantwortlich. Nutzer sollten es vermeiden, nicht relevante Gesundheitsdaten anzugeben, und diese, soweit möglich, vor der Übermittlung unkenntlich machen.

3.10. Sind Daten für die Verwaltung einer aktivierten Leistung oder die Erbringung einer angeforderten Dienstleistung erforderlich, kann die Nichtbereitstellung dieser Daten dazu führen, dass die Leistung oder Dienstleistung nicht erbracht werden kann.

‍

4. Auf welcher Rechtsgrundlage und zu welchen Zwecken werden meine personenbezogenen Daten verarbeitet?

4.1. Die Ergebnisse der Gehaltstransparenz dienen dem Kunden als Entscheidungshilfe. Sie stellen keine Rechtsberatung oder Feststellung der Compliance dar, und Coverflex nutzt sie nicht im Auftrag des Kunden, um ausschließlich automatisierte Entscheidungen zu treffen, die rechtliche oder ähnlich weitreichende Auswirkungen auf Einzelpersonen haben.

4.2. Bei konfigurierten Erstattungs- oder Rechnungsprüfungsdiensten kann die Anwendung dokumentierte, regelbasierte Prüfungen an Belegen durchführen und einen Antrag kennzeichnen oder ablehnen, wenn die konfigurierten Kriterien nicht erfüllt sind. Diese Prüfungen sind administrativer Natur und können vom Kunden überprüft, korrigiert oder außer Kraft gesetzt werden, sofern dies durch die Dienstkonfiguration unterstützt wird. Der Kunde bleibt verantwortlich für die Festlegung der Anspruchs- und Genehmigungsregeln sowie für die operative Entscheidung und deren rechtliche, steuerliche, lohn- und abrechnungstechnische Behandlung.

‍

5. Wie lange werden meine personenbezogenen Daten verarbeitet?

5.1. Coverflex speichert personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist, unter Berücksichtigung des jeweiligen Dienstes, der Beziehung zum Nutzer oder Kunden, gesetzlicher und behördlicher Anforderungen, der Geltendmachung oder Abwehr von Rechtsansprüchen sowie dokumentierter Aufbewahrungsfristen. Nach Ablauf der jeweiligen Frist werden die Daten gelöscht, sicher vernichtet oder unwiderruflich anonymisiert, vorbehaltlich gesetzlicher Aufbewahrungspflichten und kontrollierter Backup-Zyklen.

5.2. Wenn Coverflex als Auftragsverarbeiter auftritt, einschließlich bei der Verwaltung von Benefits, der Gehaltstransparenz und bei Integrationen, richtet sich die Aufbewahrung nach dem Auftragsverarbeitungsvertrag (AVV), den gültigen, dokumentierten Anweisungen des Kunden, der Dienstkonfiguration und etwaigen geltenden Aufbewahrungsfristen. Nach Beendigung der entsprechenden Verarbeitungsdienstleistungen werden die personenbezogenen Daten des Kunden nach dessen Wahl zurückgegeben oder gelöscht, einschließlich Kopien, es sei denn, das Recht der Union oder eines Mitgliedstaats schreibt eine Aufbewahrung vor. Daten können vorübergehend in geschützten Sicherungskopien verbleiben, bis sie im Rahmen des geltenden Sicherungszyklus überschrieben oder gelöscht werden, und werden während dieses Zeitraums nicht für die gewöhnliche Datenverarbeitung verwendet.

5.3. Quelldateien zur Gehaltstransparenz, strukturierte Datensätze, Dashboards und Exporte sowie Integrationsdateien, Synchronisationsprotokolle, Verarbeitungsbelege, Fehlerberichte, Audit- oder Fehlerbehebungsprotokolle werden nur für die Zeiträume aufbewahrt, die für den konfigurierten Dienst und die rechtmäßigen Anweisungen des Kunden gelten. Coverflex gibt keine einheitliche Aufbewahrungsfrist für diese Aufzeichnungen an, da die angemessene Dauer vom ausgewählten Dienst, dem Markt, der Konfiguration und dem geltenden Recht abhängt.

5.4. Daten, die von Coverflex als Verantwortlicher verarbeitet werden, unterliegen der für den jeweiligen Zweck geltenden Frist oder den entsprechenden Kriterien. Für die Rechnungsstellung erforderliche Daten werden in der Regel zehn Jahre lang aufbewahrt, sofern keine abweichende nationale Frist gilt. In Deutschland werden Rechnungen, die unter § 14b UStG fallen, in der Regel acht Jahre ab Ablauf des Kalenderjahres, in dem sie ausgestellt wurden, aufbewahrt, vorbehaltlich etwaiger gesetzlicher Verlängerungen. Diese Abrechnungsfristen stellen keine allgemeinen Aufbewahrungsfristen für alle Mitarbeiter-, Konto- oder Dienstleistungsdaten dar.

5.5. Weitere Informationen zu den geltenden Aufbewahrungsfristen können Sie unter [email protected] anfordern.

‍

6. Wer sind die Empfänger meiner personenbezogenen Daten?

6.1. Personenbezogene Daten werden nur weitergegeben, soweit dies für den jeweiligen Zweck erforderlich ist und im Einklang mit der in Abschnitt 2 beschriebenen Rollenverteilung steht. Zu den Empfängern können Unternehmen der Coverflex-Gruppe, Dienstleister, Leistungs- oder Produktpartner, regulierte Zahlungs- oder Versicherungsanbieter, fachliche Berater, zuständige Behörden und andere gesetzlich befugte oder verpflichtete Personen gehören.

6.2. Wenn ein Dritter seine eigenen Zwecke und wesentlichen Mittel festlegt – beispielsweise ein reguliertes Zahlungsinstitut, ein Versicherer, eine Bildungseinrichtung oder ein Händler –, handelt er als unabhängiger Verantwortlicher und informiert über seine eigene Verarbeitung. Wenn ein Dienstleister personenbezogene Daten im Auftrag von Coverflex verarbeitet, handelt er als Auftragsverarbeiter. Wenn Coverflex personenbezogene Daten für einen Kunden verarbeitet, handelt ein für diese Verarbeitung beauftragter Dienstleister als Unterauftragsverarbeiter und unterliegt dem geltenden Auftragsverarbeitungsvertrag (AVV).

6.3. Innerhalb der Coverflex-Gruppe können personenbezogene Daten an ein anderes Unternehmen der Gruppe für Zwecke der Unternehmensführung, der Compliance, des Datenschutzes, der Informationssicherheit, des Risikomanagements, der internen Kontrolle, der Managementberichterstattung oder der Unternehmensaufsicht weitergegeben werden. Legt das empfangende Unternehmen diese Zwecke fest, handelt es als eigenständiger Verantwortlicher und ist für die von ihm kontrollierte Verarbeitung verantwortlich. Dadurch entsteht keine gemeinsame Verantwortlichkeit.

6.4. Je nach aktiviertem Dienst und Rechtsordnung können zu den Empfängern gehören:

6.5. Die für die vom Arbeitgeber in Auftrag gegebene Verarbeitung eingesetzten Anbieter hängen von den vom Kunden aktivierten Diensten ab. Änderungen bei den Unterauftragsverarbeitern werden gemäß dem Auftragsverarbeitungsvertrag (AVV) abgewickelt, einschließlich des geltenden Benachrichtigungs- und Widerspruchsverfahrens.

‍

7. Gibt es internationale Datenübermittlungen?

7.1. Coverflex ist bestrebt, personenbezogene Daten innerhalb des Europäischen Wirtschaftsraums („EWR“) zu verarbeiten, sofern dies für die jeweilige Dienstleistung und Konfiguration angemessen ist. Die für EWR-Programme genutzten Kartenausgabe- und E-Geld-Dienste werden von im EWR ansässigen, regulierten Unternehmen erbracht.

7.2. Werden personenbezogene Daten in ein Land außerhalb des EWR übermittelt oder von dort abgerufen, wendet Coverflex einen gemäß Kapitel V der DSGVO anerkannten Übermittlungsmechanismus an, der für die jeweilige Übermittlung gilt. Dies kann eine Angemessenheitsentscheidung, die Standardvertragsklauseln der Europäischen Kommission, die Teilnahme an einem zugelassenen Datenschutzrahmenwerk, verbindliche Unternehmensregeln oder eine andere rechtlich anerkannte Schutzmaßnahme umfassen, gegebenenfalls ergänzt durch zusätzliche Maßnahmen, sofern die Umstände dies erfordern.

7.3. Der anzuwendende Mechanismus hängt vom Empfänger, dem Ort der Verarbeitung und der Konfiguration des Dienstes ab. Sie können Informationen zu den für Ihre personenbezogenen Daten relevanten Schutzmaßnahmen anfordern, indem Sie sich schriftlich an [email protected] wenden.

‍

8. Welche Datenschutzrechte habe ich und wie kann ich diese ausüben?

8.1. Gemäß den geltenden Rechtsvorschriften können Sie jederzeit die folgenden Datenschutzrechte geltend machen:

• Auskunftsrecht: das Recht, eine Bestätigung darüber zu erhalten, ob Sie betreffende personenbezogene Daten verarbeitet werden, und, falls ja, das Recht auf Auskunft über diese personenbezogenen Daten und bestimmte Informationen.
• Recht auf Berichtigung: das Recht, unrichtige Sie betreffende personenbezogene Daten zu berichtigen oder unvollständige personenbezogene Daten vervollständigen zu lassen.
• Recht auf Löschung: das Recht, die Löschung Ihrer personenbezogenen Daten unverzüglich zu erwirken, sofern keine berechtigten Gründe für deren Aufbewahrung vorliegen, wie beispielsweise Fälle, in denen sie zur Erfüllung einer gesetzlichen Verpflichtung oder aufgrund eines laufenden Gerichtsverfahrens aufbewahrt werden müssen.
• Recht auf Einschränkung der Verarbeitung: das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, und zwar in Form einer Aussetzung der Verarbeitung oder einer Beschränkung des Umfangs der Verarbeitung auf bestimmte Datenkategorien oder Verarbeitungszwecke, wie in Artikel 18 der DSGVO festgelegt.
• Recht auf Datenübertragbarkeit: Das Recht, die Sie betreffenden personenbezogenen Daten, die Sie bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und/oder das Recht, die Übermittlung dieser Daten an einen anderen Verantwortlichen zu verlangen.
• Widerspruchsrecht: das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung auf der Grundlage berechtigter Interessen Widerspruch einzulegen, es sei denn, es liegen zwingende berechtigte Gründe vor, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Beruht die Verarbeitung auf einer Einwilligung, können Sie Ihre Einwilligung jederzeit widerrufen, ohne dass dies die Rechtmäßigkeit der Verarbeitung beeinträchtigt, die während der Gültigkeitsdauer der Einwilligung erfolgt ist.

8.2. Sie haben außerdem das Recht, eine Beschwerde bei der zuständigen Datenschutzbehörde in Ihrem Rechtsgebiet einzureichen, wie in Abschnitt 10 (Anwendbares Recht, Aufsichtsbehörden und Gerichtsstand) angegeben.

8.3. Sie können Ihre Rechte jederzeit ausüben, indem Sie sich an [email protected] wenden. Coverflex bearbeitet Anfragen bezüglich der Tätigkeiten, für die es als Verantwortlicher fungiert. Für Tätigkeiten, die im Auftrag Ihres Arbeitgebers durchgeführt werden, ist Ihr Arbeitgeber für die Beantwortung zuständig; Coverflex leitet relevante Anfragen umgehend an ihn weiter und leistet die gemäß dem Auftragsverarbeitungsvertrag erforderliche Unterstützung. Sie können sich bezüglich dieser Tätigkeiten auch direkt an Ihren Arbeitgeber wenden.

8.4. Um Ihre Identität als betroffene Person zu überprüfen, sollte die Mitteilung zudem, soweit möglich, folgende Angaben enthalten: Name, E-Mail-Adresse und das Recht, das Sie ausüben möchten.

8.5. Bitte beachten Sie, dass, wenn ein bevollmächtigter Vertreter ein Recht in Ihrem Namen ausübt, ein Nachweis dieser Bevollmächtigung erforderlich ist.

8.6. Ist Coverflex für die Beantwortung zuständig, wird das Unternehmen unverzüglich und innerhalb eines Monats nach Eingang des Antrags antworten. Falls erforderlich, kann diese Frist unter Berücksichtigung der Komplexität und der Anzahl der Anträge um weitere zwei Monate verlängert werden. Coverflex wird Sie innerhalb des ersten Monats über eine etwaige Verlängerung und deren Gründe informieren. Elektronische Anfragen werden nach Möglichkeit elektronisch beantwortet, sofern Sie nichts anderes wünschen.

8.7. Wenn sich ein Indikator zur Gehaltstransparenz, ein Integrationsdatensatz oder ein regelbasiertes Validierungsergebnis auf eine im Auftrag des Kunden durchgeführte Verarbeitung bezieht, können Sie sich bezüglich der Quelldaten, Kriterien, Korrekturen oder der Überprüfung der entsprechenden Beschäftigungs- oder Leistungsentscheidung an den Kunden wenden. Coverflex unterstützt den Kunden gemäß dem Auftragsverarbeitungsvertrag (AVV). Coverflex bearbeitet alle Anfragen, die sich auf eine Verarbeitung beziehen, bei der es als Verantwortlicher auftritt, direkt selbst.

‍

9. Wie werden meine personenbezogenen Daten geschützt?

9.1. Coverflex unterhält technische und organisatorische Maßnahmen, die darauf ausgelegt sind, personenbezogene Daten vor versehentlicher oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen. Die Maßnahmen werden unter Berücksichtigung der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der Risiken für betroffene Personen ausgewählt und können Zugriffskontrollen, Vertraulichkeitsverpflichtungen, Verschlüsselung, Protokollierung und Überwachung, Schwachstellenmanagement, sichere Entwicklung, Reaktion auf Vorfälle, Geschäftskontinuität, Datensicherung und Sicherheitskontrollen bei Lieferanten umfassen.

9.2. Der Zugriff auf personenbezogene Daten ist auf autorisiertes Personal und Dienstleister beschränkt und erfolgt nach dem „Need-to-know“-Prinzip sowie nach dem Prinzip der geringsten Berechtigungen, wobei entsprechende Vertraulichkeits- und Sicherheitsverpflichtungen gelten. Die Sicherheitsmaßnahmen werden risikobasiert überprüft und aktualisiert. Es kann nicht garantiert werden, dass ein System vollständig sicher ist, und diese Maßnahmen dienen dazu, Risiken zu reduzieren und zu bewältigen, anstatt zu gewährleisten, dass jeder Sicherheitsvorfall verhindert werden kann.

9.3. Coverflex verfügt über die Zertifizierung nach ISO/IEC 27001:2022 für sein Informationssicherheits-Managementsystem innerhalb des im jeweiligen Zertifikat definierten Geltungsbereichs, vorbehaltlich einer laufenden Überwachung und fortwährenden Konformität.

‍

10. Anwendbares Recht, Aufsichtsbehörden und Gerichtsstand

10.1. Die Verarbeitung personenbezogener Daten im Rahmen dieser Datenschutzerklärung unterliegt der Verordnung (EU) 2016/679 (DSGVO), ergänzt durch die nationalen Rechtsvorschriften, die im Gerichtsstand der jeweiligen Coverflex-Einheit gelten, die als Verantwortlicher auftritt.

10.2. Je nach Standort des Nutzers und der vertragschließenden Einheit gilt Folgendes:

Portugal

• Verantwortlicher: Universal Cover, S.A.
• Anwendbares Recht: Portugiesisches Datenschutzrecht und Gesetz 41/2004 (E-Privacy)
• Aufsichtsbehörde: Comissão Nacional de Proteção de Dados (CNPD)
• Gerichtsstand: portugiesische Gerichte

Spanien

• Verantwortlicher: Coverflex España, S.L.
• Anwendbares Recht: Spanisches Datenschutzrecht, einschließlich des Ley Orgánico 3/2018 (LOPDGDD) und des Ley 34/2002 (LSSI)
• Aufsichtsbehörde: Agencia Española de Protección de Datos (AEPD)
• Gerichtsstand: Spanische Gerichte

Italien

• Verantwortlicher: Evinrude Due Srl
• Anwendbares Recht: Italienisches Datenschutzrecht
• Aufsichtsbehörde: Garante per la protezione dei dati personali
• Gerichtsstand: italienische Gerichte

Deutschland

• Verantwortlicher: Coverflex Germany GmbH, c/o Osborne Clarke, Lilli-Palmer-Straße 2, 80636 München, Deutschland
• Anwendbares Recht: Deutsches Datenschutzrecht, einschließlich des Bundesdatenschutzgesetzes (BDSG) und des Telekommunikations-Digital-Dienste-Datenschutz-Gesetzes (TDDDG); für elektronisches Marketing gilt § 7 UWG
• Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), unbeschadet des Rechts, gemäß der DSGVO Beschwerde bei einer anderen zuständigen Aufsichtsbehörde einzulegen
• Gerichtsstand: Deutsche Gerichte, vorbehaltlich zwingender Zuständigkeitsvorschriften der DSGVO

10.7. Die jeweilige lokale Coverflex-Gesellschaft ist der primäre Ansprechpartner für betroffene Personen und fungiert als Verantwortlicher für die von ihr festgelegten Verarbeitungsvorgänge, wie im RoPA der Gruppe festgehalten. Die Gesellschaften der Coverflex-Gruppe agieren derzeit nicht als gemeinsam Verantwortliche; eine etwaige künftige gemeinsame Verantwortlichkeit würde durch eine gesonderte Vereinbarung gemäß Artikel 26 DSGVO geregelt.

‍

11. Schlussbestimmungen

11.1. Cookies
Die Verwendung von Cookies und ähnlichen Technologien unterliegt den geltenden ePrivacy-Vorschriften, einschließlich des Gesetzes 41/2004 in Portugal, des Gesetzes 34/2002 (LSSI) in Spanien und des § 25 TDDDG in Deutschland.

11.2. Minderjährige

• Anwendungskonten und Self-Service-Funktionen sind für berechtigte Arbeitnehmer und andere autorisierte erwachsene Nutzer bestimmt und nicht für die Nutzung durch Kinder vorgesehen. Daten, die sich auf Minderjährige beziehen, können jedoch verarbeitet werden, sofern dies für eine aktivierte Kinderbetreuungs-, Versicherungs-, Unterhalts- oder sonstige familienbezogene Leistung erforderlich ist. Dazu können beispielsweise der Name des Kindes, die Steueridentifikationsnummer, das Geburtsdatum, die Beziehung zum Nutzer sowie für die Leistung erforderliche Nachweise gehören.
• Wenn Coverflex diese Verarbeitung auf Anweisung des Kunden durchführt – einschließlich für „Coverflex Child“ oder eine aktivierte deutsche KITA-Leistung –, ist der Kunde für die Rechtsgrundlage, die erforderlichen Informationen und die Anspruchsvoraussetzungen verantwortlich. Coverflex beschränkt die Verarbeitung auf den aktivierten Dienst und stützt sich in Bezug auf das Kind nicht auf den Geschäftsvertrag mit dem Kunden als Rechtsgrundlage gemäß Artikel 6 Absatz 1 Buchstabe b.

11.3. Recht und Gerichtsstand
Alle Streitigkeiten im Zusammenhang mit dieser Datenschutzerklärung unterliegen der Zuständigkeit der Gerichte des Landes, in dem die jeweilige Coverflex-Einheit als Verantwortlicher ansässig ist, unbeschadet zwingender gesetzlicher Bestimmungen.

11.4. Änderungen der Datenschutzerklärung
Coverflex kann diese Datenschutzerklärung jederzeit ändern. Diese Änderungen werden ordnungsgemäß auf den Seiten der Website bekannt gegeben; sollten sie eine wesentliche Änderung hinsichtlich der Art und Weise der Datenverarbeitung mit sich bringen, wird Coverflex diese Änderungen über die angegebenen Kontaktdaten mitteilen.

11.5. Datenschutzbeauftragter
Auf Konzernebene wurde gemäß Artikel 37 Absatz 2 DSGVO ein einziger Datenschutzbeauftragter (DSB) ernannt, der für alle Coverflex-Unternehmen zuständig ist. Der Datenschutzbeauftragte ist erreichbar unter: [email protected]

11.6. Fragen
Wenn Sie Fragen zur Verarbeitung Ihrer personenbezogenen Daten und zur Ausübung der Ihnen durch die geltenden Rechtsvorschriften eingeräumten Rechte haben, insbesondere der in dieser Erklärung genannten, kontaktieren Sie uns bitte über die E-Mail-Adresse [email protected]