Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO:

EntgeltPilot GmbH

Musterstraße 1, 10115 Berlin

E-Mail: datenschutz@entgeltpilot.de

2. Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung der Softwareleistung)
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung (Umsetzung des EntgTranspG)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (Systemsicherheit, Protokollierung)
• Art. 9 Abs. 2 lit. b DSGVO — Verarbeitung besonderer Kategorien (Geschlecht) zur Erfüllung arbeitsrechtlicher Pflichten

3. Datenkategorien

Stammdaten (Mitarbeiter)

Name, Personalnummer, Geschlecht, Arbeitszeit, Vergleichsgruppe, Eintrittsdatum

Entgeltdaten

Grundgehalt, Zulagen, Bonus, Gültigkeitszeitraum — gespeichert als Ganzzahl in Cent

Benutzerdaten

E-Mail-Adresse, Name, Rolle, gehashtes Passwort (bcrypt)

4. Speicherdauer

• Entgeltdaten und Auskunftsanfragen: Mindestens 5 Jahre nach Erstellung (steuerliche Aufbewahrungspflichten)
• Audit-Protokolle: 3 Jahre
• Benutzerkonten: Bis zur Löschung durch den Administrator
• Gelöschte Mitarbeiter: Soft-Delete, Löschung der personenbezogenen Daten nach Ablauf der Aufbewahrungsfrist

5. Betroffenenrechte (Art. 15–21 DSGVO)

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15) — Recht auf Auskunft über die verarbeiteten Daten
• Berichtigungsrecht (Art. 16) — Recht auf Berichtigung unrichtiger Daten
• Löschungsrecht (Art. 17) — Recht auf Löschung, sofern keine Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18) — Recht auf Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20) — Recht auf Erhalt der Daten in maschinenlesbarem Format (CSV-Export)
• Widerspruchsrecht (Art. 21) — Recht auf Widerspruch gegen die Verarbeitung

Beschwerderecht bei der zuständigen Aufsichtsbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Friedrichstr. 219, 10969 Berlin

6. Auftragsverarbeitung

Soweit Dritte im Auftrag personenbezogene Daten verarbeiten (z.B. Hosting-Provider), wurden Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen.

Hosting: IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland

7. Technische und organisatorische Maßnahmen

• Verschlüsselung: TLS/HTTPS für alle Verbindungen
• Authentifizierung: JWT-basiert mit bcrypt-gehashten Passwörtern
• Autorisierung: Rollenbasierte Zugriffskontrolle (RBAC) mit drei Stufen
• CSRF-Schutz: Double-Submit-Cookie-Pattern
• Datenisolierung: Schema-per-Tenant in PostgreSQL
• Audit-Protokollierung: Alle datenrelevanten Aktionen werden protokolliert
• Rate-Limiting: Schutz gegen Brute-Force-Angriffe
• Keine externen Dienste: Schriften und Skripte werden lokal ausgeliefert, keine CDN- oder Drittanbieter-Anfragen