Datenschutzerklärung für Endbenutzer

1. Einleitung

1.1 Worum es in dieser Datenschutzerklärung geht

Die Hrmony GmbH betreibt eine Plattform, über die Arbeitgeber ihren Mitarbeitenden steuerbegünstigte Benefits bereitstellen können, zum Beispiel einen Essenszuschuss, Gutscheine oder einen Mobilitätszuschuss. Sie nutzen Hrmony, weil Ihr Arbeitgeber einen oder mehrere dieser Benefits für Sie eingerichtet hat.

In dieser Datenschutzerklärung erläutern wir, welche personenbezogenen Daten dabei verarbeitet werden, zu welchen Zwecken das geschieht, wer darauf Zugriff hat und welche Rechte Ihnen zustehen.

1.2 Für wen und für welche Angebote diese Erklärung gilt

Diese Datenschutzerklärung richtet sich an Endbenutzer, also an Mitarbeitende von Unternehmen, die Hrmony einsetzen. Sie gilt unabhängig davon, über welchen Weg Sie Hrmony nutzen, insbesondere für die Nutzung der Hrmony App als installierte App, als Web-App im Browser sowie für die Einreichung von Nachweisen per E-Mail.

1.3 Für welche Angebote diese Erklärung nicht gilt

Nicht erfasst sind das Hrmony Admin Portal, das ausschließlich Arbeitgebern zur Verwaltung der Benefits zur Verfügung steht, sowie unsere Website www.hrmony.de. Für die Website gilt eine eigene Datenschutzerklärung.

Wenn Sie einen Gutschein einlösen, verarbeitet der jeweilige Gutscheinpartner Ihre Daten in eigener Verantwortung und nach seinen eigenen Datenschutzbestimmungen. Hrmony hat darauf keinen Einfluss und erfährt nicht, was Sie mit einem Gutschein kaufen.

1.4 Wer wir sind

Hrmony GmbH
Friedrichstraße 171
10117 Berlin

Geschäftsführung: Jan Saupe, Dennis Ortmann
Amtsgericht Berlin-Charlottenburg, HRB 178216 B

E-Mail für Datenschutzanfragen: privacy@hrmony.de

Wir haben einen externen Datenschutzbeauftragten bestellt:

Simpliant GmbH, Boris Arendt
Fasanenstraße 12
10623 Berlin
datenschutz@hrmony.de

2. Wie diese Datenschutzerklärung aufgebaut ist

2.1 Zwei unterschiedliche Arten der Datenverarbeitung

Bei der Nutzung von Hrmony werden Daten in zwei unterschiedlichen Rollen verarbeitet. Diese Unterscheidung ist der Grund dafür, dass diese Erklärung in zwei Hauptteile gegliedert ist.

Verarbeitungen im Auftrag Ihres Arbeitgebers. Der größte Teil der Verarbeitung betrifft die Abwicklung der Benefits selbst, also etwa die Prüfung eingereichter Nachweise, die Bereitstellung von Gutscheinen und die Vorbereitung der Erstattung über Ihre Lohnabrechnung. Diese Benefits hat Ihr Arbeitgeber eingerichtet und finanziert. Er entscheidet, welche Benefits angeboten werden, in welcher Höhe und für welche Mitarbeitenden. Datenschutzrechtlich ist Ihr Arbeitgeber für diese Verarbeitungen verantwortlich. Hrmony handelt insoweit als Auftragsverarbeiter nach Art. 28 DSGVO, also weisungsgebunden im Auftrag Ihres Arbeitgebers. Grundlage dafür ist ein Vertrag zur Auftragsverarbeitung zwischen Ihrem Arbeitgeber und Hrmony. Diese Verarbeitungen beschreiben wir in Abschnitt 3.

Verarbeitungen in eigener Verantwortung von Hrmony. Damit Sie die Benefits nutzen können, betreiben wir eine Plattform mit einem persönlichen Nutzerkonto, wir leisten Support, wir sorgen für den technischen Betrieb und die Sicherheit der Systeme. Über diese Verarbeitungen entscheiden wir selbst. Für sie ist Hrmony Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Diese Verarbeitungen beschreiben wir in Abschnitt 4.

2.2 Warum diese Unterscheidung für Sie praktisch wichtig ist

Die Rolle entscheidet darüber, an wen Sie sich mit einem Anliegen wenden.

Möchten Sie Auskunft über Ihre Daten erhalten, Daten berichtigen oder löschen lassen, richtet sich Ihr Anliegen bei den in Abschnitt 3 beschriebenen Verarbeitungen an Ihren Arbeitgeber, in der Regel an die Personalabteilung oder den dortigen Datenschutzkontakt. Ihr Arbeitgeber koordiniert die Bearbeitung und stimmt sich, soweit erforderlich, mit uns ab. Bei den in Abschnitt 4 beschriebenen Verarbeitungen können Sie sich direkt an uns wenden. Ausführlich erläutern wir Ihre Rechte und die jeweiligen Ansprechstellen in Abschnitt 8.

3. Verarbeitungen im Auftrag Ihres Arbeitgebers

3.1 Rolle und Rechtsgrundlage

Für die in diesem Abschnitt beschriebenen Verarbeitungen ist Ihr Arbeitgeber Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Hrmony verarbeitet diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO. Die Rechtsgrundlage für die Verarbeitung ergibt sich aus dem Verhältnis zwischen Ihnen und Ihrem Arbeitgeber, in der Regel aus dem Arbeitsverhältnis und der Vereinbarung über den jeweiligen Benefit.

Das bedeutet auch: Wir verwenden diese Daten nicht für eigene Zwecke. Wir werten Ihr Nutzungsverhalten nicht aus, erstellen keine Profile, nehmen keine Bewertung Ihrer Person vor und geben diese Daten nicht an Dritte weiter, soweit dies nicht in dieser Erklärung beschrieben ist.

Welche Informationen Ihr Arbeitgeber Ihnen darüber hinaus zur Verfügung stellen muss, ergibt sich aus seiner eigenen Datenschutzinformation. Diese Erklärung ersetzt sie nicht.

3.2 Welche Daten verarbeitet werden

Für alle Benefits verarbeiten wir folgende Daten, die uns Ihr Arbeitgeber bereitstellt oder die Sie bei der Registrierung angeben:

• Vorname, Nachname
• E-Mail-Adresse
• Passwort

Darüber hinaus kann Ihr Arbeitgeber im Hrmony Admin Portal eigene Merkmale, sogenannte Attribute, anlegen und Ihrem Profil zuordnen. Welche Attribute das sind, legt Ihr Arbeitgeber selbst fest. Typische Beispiele sind eine Personalnummer, eine Kostenstelle, ein Standort, eine Abteilung oder die Anstellungsart. Kein Attribut ist verpflichtend. Ihr Arbeitgeber nutzt Attribute, um Mitarbeitende zu gruppieren, Benefits gezielt zuzuweisen sowie Rechnungen und Lohndateien zu strukturieren. Diese Angaben werden ausschließlich von Ihrem Arbeitgeber definiert und verwaltet. Hrmony speichert sie, wertet sie aber nicht eigenständig aus.

Je nach Benefit kommen weitere Daten hinzu:

Nicht verarbeitet werden Ihre Bankverbindung, Ihre Steuer-Identifikationsnummer, Sozialversicherungsdaten oder sonstige Lohndaten. Die Erstattung selbst zahlt Ihr Arbeitgeber über die Lohnabrechnung aus, nicht Hrmony.

Besonderheit beim Sportangebot Urban Sports Club

Wenn Sie sich für das über Sachbezug wählbare Angebot von Urban Sports Club entscheiden, registrieren Sie sich direkt auf der Plattform der Urban Sports GmbH. Für die Verwaltung Ihrer Mitgliedschaft sind Hrmony und Urban Sports GmbH gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO.

Urban Sports übermittelt bei Ihrer Registrierung Ihren Namen, Ihre E-Mail-Adresse, gegebenenfalls Ihre Personalnummer sowie Mitgliedsnummer, Plan und Zeitraum Ihrer Mitgliedschaft an Hrmony. Wir prüfen damit Ihre Berechtigung und bestätigen oder beenden Ihre Mitgliedschaft entsprechend. Zahlungsdaten erhält Hrmony nicht.

Wie lange Urban Sports Ihre Mitgliedsdaten speichert, richtet sich danach, wie lange dies zur Erfüllung des jeweiligen Zwecks erforderlich ist. Nach Beendigung Ihrer Mitgliedschaft bewahrt Urban Sports Ihre Daten für weitere zwölf Monate auf, um eine Reaktivierung zu ermöglichen; dieser Speicherung können Sie jederzeit widersprechen. Gesetzliche Aufbewahrungspflichten können zu einer längeren Speicherung führen. Näheres finden Sie in der Datenschutzerklärung von Urban Sports.

3.3 Wie eingereichte Nachweise geprüft werden

Wenn ein Benefit einen Nachweis erfordert, laden Sie diesen in der Hrmony App hoch, etwa als Foto eines Belegs. Die Prüfung läuft in zwei Stufen.

Ein großer Teil der Nachweise wird zunächst automatisiert ausgelesen. Dafür setzen wir Amazon Textract ein, einen Dokumentenanalysedienst unseres Cloud-Anbieters Amazon Web Services, den der Anbieter selbst als KI-Dienst einordnet. Der Dienst erkennt Text und Struktur des Dokuments und extrahiert die für die Prüfung erforderlichen Angaben. Es handelt sich nicht um generative KI, und es findet kein Profiling im Sinne von Art. 4 Nr. 4 DSGVO statt. Die Verarbeitung erfolgt in der Europäischen Union.

Nachweise, die sich nicht vollständig automatisiert auslesen lassen, werden von Mitarbeitenden von Hrmony geprüft. Diese Prüfung erfolgt ausschließlich durch eigenes Personal, nicht durch externe Dienstleister. Die Ansicht, in der Belege geprüft werden, zeigt ausschließlich den Beleg selbst, ohne Ihren Namen und ohne Angaben zu Ihrem Arbeitgeber. Die Belege sind in diesem Schritt pseudonymisiert im Sinne von Art. 4 Nr. 5 DSGVO, also nicht anonym, sondern intern wieder zuordenbar.

Ob ein Nachweis erstattungsfähig ist, ergibt sich aus den steuerlichen Vorgaben und den von Ihrem Arbeitgeber festgelegten Bedingungen. Hrmony wendet diese Kriterien an, legt sie aber nicht selbst fest. Wird ein Nachweis abgelehnt, erhalten Sie in der App eine Mitteilung mit dem Ablehnungsgrund und können eine Überprüfung anfordern. In diesem Fall wird der Nachweis erneut durch eine Person geprüft. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet damit nicht statt.

3.4 Was Ihr Arbeitgeber erfährt

Ihr Arbeitgeber erhält von uns die für die Lohnabrechnung erforderlichen Angaben, typischerweise den Erstattungsbetrag und die zugehörige Lohnart.

Ihr Arbeitgeber erhält von uns grundsätzlich keinen Zugriff auf Ihre Belege, nicht den Bearbeitungsstatus einzelner Belege und keine Informationen aus Ihren Supportanfragen. Ein Zugriff auf Belegdaten kommt nur in Ausnahmefällen und auf Weisung Ihres Arbeitgebers in Betracht, etwa im Rahmen einer steuerlichen Betriebsprüfung.

Wenn Sie einen Gutschein erhalten, sieht weder Hrmony noch Ihr Arbeitgeber, welche Produkte Sie damit kaufen. Sichtbar ist nur, welche Gutscheinmarke in welchem Wert bereitgestellt wurde.

3.5 Zusätzliche Angaben auf Nachweisen

Belege und Nachweise enthalten manchmal Angaben, die für die Prüfung nicht erforderlich sind, beispielsweise eine Privatanschrift oder Zahlungsdaten. Solche Angaben werden ausschließlich als Bestandteil des hochgeladenen Dokuments verarbeitet. Wir lesen sie nicht gezielt als strukturierte Daten aus, verknüpfen sie nicht mit anderen Informationen und verwenden sie nicht für eigene Zwecke. Wir empfehlen Ihnen, nicht erforderliche Angaben vor dem Hochladen unlesbar zu machen, soweit das für Sie zumutbar ist.

3.6 Speicherdauer

Wie lange diese Daten gespeichert werden, erläutern wir in Abschnitt 7.

4. Verarbeitungen in eigener Verantwortung von Hrmony

4.1 Rolle und Rechtsgrundlagen

Für die in diesem Abschnitt beschriebenen Verarbeitungen ist die Hrmony GmbH Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Wir entscheiden hier selbst über Zwecke und Mittel der Verarbeitung. Die jeweilige Rechtsgrundlage benennen wir bei den einzelnen Verarbeitungen.

Auch für diese Verarbeitungen gilt: Wir erstellen keine Nutzungsprofile, nehmen keine Bewertung Ihrer Person vor und verwenden Ihre Daten nicht für Werbung Dritter.

4.2 Nutzerkonto und Anmeldung

Um Hrmony zu nutzen, benötigen Sie ein persönliches Nutzerkonto. Wir verarbeiten dafür Ihren Namen, Ihre E-Mail-Adresse und Ihr Passwort. Das Passwort speichern wir ausschließlich in verschlüsselter Form und können es nicht einsehen.

Zweck ist die Bereitstellung eines geschützten Zugangs zu Ihren Benefits sowie die Sicherstellung, dass nur Sie auf Ihre Daten zugreifen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Bereitstellung des Kontos zur Erfüllung des Nutzungsverhältnisses zwischen Ihnen und Hrmony erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO, soweit es um die Sicherheit des Zugangs geht.

4.3 Technischer Betrieb und Hosting

Die Hrmony-Plattform wird auf Servern von Amazon Web Services in der Region Frankfurt am Main betrieben. Wir betreiben keine eigenen Server und keine eigenen Datenträger. Alle produktiven Systeme und Datenbanken liegen innerhalb der Europäischen Union.

Für den technischen Betrieb verarbeiten wir technische Daten, die bei der Nutzung anfallen, insbesondere Zugriffs- und Protokolldaten wie Zeitpunkt eines Zugriffs, aufgerufene Funktion und technische Kennungen. Diese Daten dienen dem stabilen Betrieb, der Fehlersuche und der Systemsicherheit.

Der Zugriff auf gespeicherte Nachweise und Belegbilder ist durch geeignete technische Maßnahmen abgesichert. Für die Auslieferung von Inhalten nutzen wir ein Content Delivery Network, das auf die Region Europa beschränkt ist. Daten werden bei der Übertragung und im gespeicherten Zustand nach dem jeweils aktuellen Stand der Technik verschlüsselt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb der Plattform.

4.4 Support

Sie können uns über verschiedene Wege erreichen, insbesondere über den Chat in der Hrmony App, über unser Help Center und per E-Mail an support@hrmony.de.

Für die Bearbeitung Ihrer Anfragen setzen wir die Support-Plattform von Zendesk ein. Verarbeitet werden dabei die Angaben, die Sie in Ihrer Anfrage machen, insbesondere Ihr Name, Ihre E-Mail-Adresse und der Inhalt der Konversation. Wenn Sie einem Chat eine Datei beifügen, etwa einen Screenshot oder ein Belegfoto, wird auch diese Datei bei Zendesk gespeichert.

Bitte beachten Sie: Der Chat läuft ohne automatische Übernahme Ihrer Kontodaten. Wir erhalten in der Konversation nur die Angaben, die Sie selbst eingeben. Teilen Sie daher nur Informationen mit, die für die Bearbeitung Ihres Anliegens erforderlich sind.

Wenn Sie den Support-Bereich in der App aufrufen, wird das Chat-Fenster geladen und speichert dabei technische Kennungen in Ihrem Browser. Diese dienen dazu, Ihre Konversation über mehrere Nachrichten hinweg zuzuordnen, damit ein Gesprächsverlauf entstehen kann. Sie enthalten keine Angaben zu Ihrer Person und werden nicht zu Analyse- oder Werbezwecken verwendet.

Im Chat antwortet zunächst ein KI-Agent, der in der App als solcher gekennzeichnet ist. Er beantwortet Fragen auf Grundlage unserer Hilfe-Inhalte. Für diese Funktion setzt Zendesk den Anbieter OpenAI als weiteren Dienstleister ein. Die Verarbeitung findet in der Europäischen Union statt. Die Inhalte werden nicht zum Training von KI-Modellen verwendet und beim Modellanbieter nicht dauerhaft gespeichert. Sie können jederzeit verlangen, dass Ihr Anliegen an eine Person aus unserem Support-Team weitergeleitet wird. Auch wenn der KI-Agent eine Frage nicht beantworten kann, wird die Anfrage an unser Support-Team übergeben.

Wir haben für unser Support-System Löschfristen festgelegt, die automatisch angewendet werden: Support-Anfragen und dazugehörige Anhänge werden drei Jahre nach ihrer Erstellung gelöscht, Konversationen mit dem KI-Agenten drei Jahre nach ihrer Archivierung, Nutzerprofile im Support-System nach vier Jahren ohne Aktivität.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage die Nutzung Ihres Kontos betrifft, und Art. 6 Abs. 1 lit. f DSGVO im Übrigen. Unser berechtigtes Interesse liegt in einer nachvollziehbaren und effizienten Bearbeitung von Anfragen.

4.5 Fehler- und Absturzdiagnose

Damit wir technische Fehler erkennen und beheben können, erfassen wir Fehlermeldungen aus der Anwendung. Dafür setzen wir den Dienst Sentry der Functional Software, Inc. ein. Übertragen werden die Fehlermeldung selbst, technische Angaben zum Programmablauf, die verwendete Programmversion sowie Angaben zu Browser und Betriebssystem.

Wir haben diesen Dienst so konfiguriert, dass möglichst wenige Daten anfallen. Es werden keine IP-Adresse und keine Standortdaten übertragen, keine Kennung Ihres Kontos und keine Kennung Ihres Arbeitgebers. Über diesen Dienst werden keine Klick- oder Navigationsverläufe erfasst und keine Leistungsmessung durchgeführt. Kennungen einzelner Vorgänge, etwa eines eingereichten Nachweises, werden aus den übermittelten Seitenadressen entfernt. Zur technischen Zuordnung eines Fehlers wird eine zufällige Kennung verwendet, die nur für die Dauer der Sitzung gilt, nicht dauerhaft gespeichert wird und keinen Bezug zu Ihrem Konto hat.

Die Verarbeitung erfolgt in der Europäischen Union. Fehlermeldungen werden bei dem Dienst nach 90 Tagen automatisch gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Fehler zu erkennen und die Funktionsfähigkeit der Anwendung sicherzustellen.

4.6 Sicherheit und Missbrauchsschutz

Wir protokollieren sicherheitsrelevante Vorgänge, insbesondere Anmeldungen, fehlgeschlagene Anmeldeversuche und Zugriffe auf Nachweise durch unsere Mitarbeitenden. Diese Protokolle dienen dazu, unberechtigte Zugriffe zu erkennen, Missbrauch zu verhindern und im Störungsfall nachvollziehen zu können, was geschehen ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz Ihrer Daten und unserer Systeme. Zugleich erfüllen wir damit unsere Pflicht zur Sicherheit der Verarbeitung nach Art. 32 DSGVO.

4.7 Mitteilungen im Rahmen der Nutzung

Wir senden Ihnen E-Mails, die für die Nutzung Ihrer Benefits erforderlich sind. Dazu gehören insbesondere Hinweise zur Registrierung und zum Zurücksetzen Ihres Passworts, Mitteilungen zum Bearbeitungsstand eingereichter Nachweise, Hinweise auf bereitgestellte Gutscheine sowie Informationen über Änderungen dieser Datenschutzerklärung oder der Nutzungsbedingungen.

Diese Mitteilungen sind Teil der Leistung und können nicht abbestellt werden, solange Sie Hrmony nutzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie, bei rechtlich erforderlichen Hinweisen, Art. 6 Abs. 1 lit. c DSGVO.

Werbliche Mitteilungen oder allgemeine Produktinformationen versenden wir nicht ohne Ihre ausdrückliche Einwilligung.

4.8 Hrmony+

Hrmony+ ist ein kostenloses Zusatzangebot, das unabhängig von den Benefits Ihres Arbeitgebers besteht. Es umfasst ausgewählte Partner-Angebote sowie den Zugang zu einer Rabatt-Plattform mit Angeboten zahlreicher Marken. Ihr Arbeitgeber ist an Hrmony+ nicht beteiligt, finanziert es nicht und erfährt nicht, ob und wie Sie es nutzen.

Für die Anzeige der Angebote in der App verarbeiten wir keine über Ihr Nutzerkonto hinausgehenden Daten.

Partner-Angebote. Wenn Sie ein Angebot aufrufen, werden Sie zum jeweiligen Partner weitergeleitet. Die verwendeten Links enthalten eine Kennung, die den Partner darüber informiert, dass die Vermittlung über Hrmony erfolgt ist. Diese Kennung enthält keine Angaben zu Ihrer Person. Der Partner erfährt durch die Kennung nicht, welcher Nutzer das Angebot aufgerufen hat. Hrmony erhält für vermittelte Abschlüsse eine Vergütung.

Rabatt-Plattform. Die Rabatt-Plattform wird nicht von Hrmony betrieben, sondern von der Sovendus GmbH. Wenn Sie sie aufrufen, verlassen Sie die Hrmony App und werden in Ihrem Browser auf die Seite des Anbieters weitergeleitet. Dabei übermitteln wir keine Daten aus Ihrem Hrmony-Konto. Es findet keine Anmeldung mit Ihren Hrmony-Zugangsdaten statt.

Ab dem Zeitpunkt der Weiterleitung verarbeitet der jeweilige Anbieter Ihre Daten in eigener Verantwortung und nach seinen eigenen Datenschutzbestimmungen. Bitte informieren Sie sich dort, wenn Sie wissen möchten, welche Daten dabei verarbeitet werden. Hrmony hat darauf keinen Einfluss.

Rechtsgrundlage für die Bereitstellung von Hrmony+ ist Art. 6 Abs. 1 lit. b DSGVO, da es Bestandteil des Nutzungsverhältnisses zwischen Ihnen und Hrmony ist.

4.9 Empfehlungsprogramm

Über Hrmony+ sowie über unsere Website können Sie Hrmony an andere Unternehmen weiterempfehlen und im Erfolgsfall eine Prämie erhalten.

Wenn Sie teilnehmen, verarbeiten wir Ihren Namen, Ihre Kontaktdaten sowie Angaben zur ausgesprochenen Empfehlung. Die Empfehlung erfolgt über einen personalisierten Link. Personenbezogene Daten der empfohlenen Unternehmen oder der dort tätigen Personen erheben wir dabei nicht über Sie.

Kommt es zu einer erfolgreichen Empfehlung und steht Ihnen eine Prämie zu, verarbeiten wir zusätzlich die für die Auszahlung erforderlichen Angaben, insbesondere Ihre Bankverbindung. Diese Daten verwenden wir ausschließlich zur Auszahlung der Prämie sowie zur Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Teilnahme am Empfehlungsprogramm setzt Ihre Einwilligung in die hierfür erforderliche Verarbeitung voraus. Sie können diese Einwilligung jederzeit widerrufen. Der Widerruf gilt für die Zukunft; bereits erfolgte Auszahlungen und die dazu bestehenden gesetzlichen Aufbewahrungspflichten bleiben davon unberührt. Für die Auszahlung selbst ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit den Teilnahmebedingungen.

Die Einzelheiten regeln die Teilnahmebedingungen des Empfehlungsprogramms.

4.10 Nutzung nach Ende des Arbeitsverhältnisses

Wenn Sie Ihren Arbeitgeber wechseln oder das Unternehmen verlassen, endet die Bereitstellung der von Ihrem Arbeitgeber finanzierten Benefits. Ihr Hrmony-Konto können Sie unabhängig davon weiter nutzen, insbesondere für Hrmony+.

Ab diesem Zeitpunkt besteht kein Auftragsverhältnis zu Ihrem früheren Arbeitgeber mehr. Für die weitere Verarbeitung Ihrer Kontodaten ist dann ausschließlich Hrmony verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO auf Grundlage der Nutzungsbedingungen für Hrmony-Accounts.

Daten, die im Rahmen der früheren Benefit-Nutzung entstanden sind, unterliegen weiterhin den Weisungen Ihres früheren Arbeitgebers und den gesetzlichen Aufbewahrungspflichten. Näheres dazu finden Sie in Abschnitt 7.

5. Wer Ihre Daten erhält

5.1 Dienstleister, die in unserem Auftrag verarbeiten

Für die in dieser Erklärung beschriebenen Verarbeitungen setzen wir sorgfältig ausgewählte Dienstleister ein, die uns vertraglich gebunden sind und personenbezogene Daten ausschließlich nach unserer Weisung verarbeiten dürfen.

5.2 Empfänger, die in eigener Verantwortung handeln

Bei einigen Vorgängen treten Sie außerhalb von Hrmony mit weiteren Anbietern in Kontakt. Diese Anbieter sind keine Dienstleister von Hrmony, sondern verarbeiten Ihre Daten in eigener Verantwortung:

• Wenn Sie einen über Sachbezug oder Hrmony Geschenke bereitgestellten Gutschein einlösen, tritt der jeweilige Gutscheinpartner mit Ihnen in Kontakt. Hrmony übermittelt hierfür keine personenbezogenen Daten an den Gutscheinpartner.
• Wenn Sie ein Angebot über Hrmony+ aufrufen, wechseln Sie auf die Seite des jeweiligen Partners oder auf die von der Sovendus GmbH betriebene Rabatt-Plattform. Näheres hierzu finden Sie in Abschnitt 4.8.
  Abweichend hiervon besteht beim Sportangebot Urban Sports Club eine gemeinsame Verantwortlichkeit, siehe Abschnitt 3.2.

6. Übermittlung in Länder außerhalb der Europäischen Union

Ein Großteil der in dieser Erklärung genannten Verarbeitungen findet ausschließlich innerhalb der Europäischen Union statt.

Bei der Nutzung von Zendesk sowie bei der damit verbundenen Nutzung von OpenAI für den KI-gestützten Support kann es durch die globale Infrastruktur der Anbieter im Einzelfall zu einer Verarbeitung außerhalb der Europäischen Union kommen. Für diesen Fall haben wir mit den Anbietern geeignete Garantien vereinbart, insbesondere das EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln nach Art. 46 DSGVO.

7. Speicherdauer und Löschung

7.1 Allgemeiner Grundsatz

Wir speichern Ihre Daten nur so lange, wie es für die jeweilige Verarbeitung erforderlich ist, wie es Ihr Arbeitgeber im Rahmen seiner Weisungen bestimmt oder wie es gesetzliche Aufbewahrungspflichten vorschreiben.

7.2 Belege und Erstattungsdaten

Belege, Erstattungsbeträge und Gutscheinbuchungen werden bis zum Ende der Zusammenarbeit zwischen Hrmony und Ihrem Arbeitgeber gespeichert, sofern Ihr Arbeitgeber nicht zuvor Ihre Entfernung anweist. Buchungsbelege unterliegen zusätzlich einer gesetzlichen Aufbewahrungspflicht von acht Jahren nach § 147 Abs. 3 Satz 1 AO, Lohnkonten von sechs Jahren nach § 41 Abs. 1 Satz 9 EStG, jeweils gerechnet ab dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.

7.3 Support

Support-Anfragen und dazugehörige Anhänge löschen wir drei Jahre nach ihrer Erstellung, Konversationen mit dem KI-Agenten drei Jahre nach ihrer Archivierung und Nutzerprofile im Support-System nach vier Jahren ohne Aktivität.

7.4 Fehlerdiagnose

Bei dem für die Fehlerdiagnose eingesetzten Dienst werden Fehlermeldungen nach 90 Tagen automatisch gelöscht.

7.5 Löschung Ihres Kontos

Sie können die Löschung Ihres Nutzerkontos sowie der Daten, für die Hrmony nach Abschnitt 4 verantwortlich ist, bei uns beantragen. Daten, die im Rahmen der von Ihrem Arbeitgeber beauftragten Benefits entstanden sind, unterliegen den Weisungen Ihres Arbeitgebers und den in Abschnitt 7.2 genannten gesetzlichen Fristen und können deshalb nicht auf Ihren alleinigen Wunsch gelöscht werden.

8. Rechte der Betroffenen

8.1 Welche Rechte Ihnen zustehen

Ihnen stehen nach der Datenschutz-Grundverordnung folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) darüber, welche Daten wir über Sie verarbeiten
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten
• Löschung (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO), etwa während die Richtigkeit Ihrer Daten geprüft wird
• Datenübertragbarkeit (Art. 20 DSGVO) für Daten, die Sie uns bereitgestellt haben
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO), soweit eine Verarbeitung auf einer Einwilligung beruht, etwa beim Empfehlungsprogramm nach Abschnitt 4.9

8.2 An wen Sie sich wenden

Wie in Abschnitt 2.2 beschrieben, richtet sich Ihr Ansprechpartner nach der jeweiligen Verarbeitung.

Für Verarbeitungen im Auftrag Ihres Arbeitgebers (Abschnitt 3) wenden Sie sich bitte an Ihren Arbeitgeber, in der Regel an die Personalabteilung oder den dortigen Datenschutzkontakt. Ihr Arbeitgeber koordiniert die Bearbeitung und stimmt sich, soweit erforderlich, mit uns ab.

Für Verarbeitungen in eigener Verantwortung von Hrmony (Abschnitt 4) können Sie sich direkt an uns wenden: privacy@hrmony.de. Das betrifft insbesondere Ihr Nutzerkonto, den Support, Hrmony+ und das Empfehlungsprogramm.

Bei einer an Sie gerichteten Anfrage prüfen wir Ihre Identität, bevor wir Auskunft erteilen oder Daten löschen, um zu verhindern, dass Unberechtigte Zugriff auf Ihre Daten erhalten.

8.3 Beschwerde bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für Hrmony ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Friedrichstr. 219
10969 Berlin

Sie können sich auch an die für Ihren Wohnort oder Arbeitsplatz zuständige Aufsichtsbehörde wenden.

9. Stand und Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die beschriebenen Verarbeitungen oder die rechtlichen Rahmenbedingungen ändern. Über wesentliche Änderungen informieren wir Sie in der Hrmony App oder per E-Mail. Die jeweils aktuelle Fassung finden Sie in der Hrmony App unter Profil, Rechtliches.