Datenschutzerklärung & Datenschutzrichtlinie
Umfassende Einhaltung der DSGVO (EU 2016/679), des spanischen LOPDGDD (Organgesetz 3/2018), der digitalen Arbeitnehmerrechte und internationaler Datenschutzstandards.
Bei SekiaHR schützen wir personenbezogene und arbeitsbezogene Daten durch Verschlüsselung auf Bankenniveau (AES-256 im Ruhezustand und TLS 1.3 bei der Übertragung), strikte Mandantentrennung (Multi-Tenant) und eine zu 100 % in der Europäischen Union gehostete Infrastruktur. Wir verkaufen niemals Daten an Dritte und nutzen keine Mitarbeiterdokumente zum Training externer KI-Modelle.
1. Rollenabgrenzung: Verantwortlicher vs. Auftragsverarbeiter
Gemäß der Verordnung (EU) 2016/679 (DSGVO) und dem Organgesetz 3/2018 (LOPDGDD) handelt SekiaHR je nach Art der verarbeiteten Daten in zwei klar getrennten rechtlichen Rollen:
SekiaHR als Verantwortlicher (Art. 4 Nr. 7 DSGVO)
In Bezug auf Kontaktdaten, Abrechnungsdaten, Administratorenkonten des Kundenunternehmens und Besucher unserer Website (sekiahr.com) handelt SekiaHR als Verantwortlicher zur Verwaltung der B2B-Vertragsbeziehung, Rechnungsstellung, Systemsicherheit und Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. b, c und f DSGVO).
SekiaHR als Auftragsverarbeiter (Art. 4 Nr. 8 & Art. 28 DSGVO)
In Bezug auf die Personal- und Arbeitsdaten der vom Kundenunternehmen angelegten Beschäftigten (Arbeitszeiterfassung, Schichtpläne, Abwesenheiten, Arbeitsunfähigkeitsbescheinigungen, Gehaltsabrechnungen, signierte Dokumente, Spesen und Hinweisgebermeldungen) ist allein das Kundenunternehmen der Verantwortliche, und SekiaHR handelt ausschließlich als Auftragsverarbeiter nach dokumentierten Weisungen gemäß dem in unsere AGB integrierten Auftragsverarbeitungsvertrag (AVV Art. 28 DSGVO).
2. Spezifische Schutzmaßnahmen im Arbeitskontext & Besondere Datenkategorien
Real Decreto-ley 8/2019 & Art. 34.9 ET
Gesetzliche 4-Jahres-Aufbewahrung & Unveränderbarkeit: Gemäß Artikel 34.9 des spanischen Arbeitnehmerstatuts (RDL 8/2019) werden tägliche Arbeitszeitaufzeichnungen für vier (4) Jahre vollständig, unveränderbar und nachvollziehbar zur Einsicht durch Arbeitnehmer, Betriebsräte und die Arbeitsinspektion aufbewahrt.
Art. 20 bis ET & Art. 90 LOPDGDD
Punktuelle, Nicht-Invasive Geolokalisierung: Wenn das Kundenunternehmen die geolokalisierte Zeiterfassung aktiviert, erfasst die App die GPS-Koordinate ausschließlich im exakten Zeitpunkt des Ein-, Pausen- oder Ausstempelns. SekiaHR garantiert durch technische Gestaltung (Privacy by Design), dass niemals eine kontinuierliche Verfolgung oder Hintergrundüberwachung des Endgeräts stattfindet, unter Wahrung der Privatsphäre und des Rechts auf digitale Nichterreichbarkeit (Art. 87, 88 und 90 LOPDGDD).
Art. 9 Abs. 2 lit. b DSGVO — Arbeitsunfähigkeitsbescheinigungen & Gesundheitsnachweise
Besondere Kategorien personenbezogener Daten & Verstärktes Dokumenten-Audit-Log: Wenn Beschäftigte oder Administratoren ärztliche Arbeitsunfähigkeitsbescheinigungen (Krankmeldung, Folgebescheinigung oder Gesundschreibung) oder Abwesenheitsnachweise mit Gesundheitsdaten hochladen, liegt die Rechtsgrundlage beim Kundenunternehmen zur Erfüllung seiner Pflichten aus dem Arbeitsrecht und der sozialen Sicherheit (Art. 9 Abs. 2 lit. b DSGVO). SekiaHR wendet eine strikte Speicherisolierung an und protokolliert jeden Upload, Abruf, Download und jede Löschung unveränderbar (handelnder Nutzer, Zeitstempel und IP-Adresse).
Ley 2/2023 & Directiva (UE) 2019/1937
Internes Hinweisgebersystem (Ethik-Kanal): Über den Hinweisgeberkanal eingereichte Meldungen werden mit verstärkter Verschlüsselung, streng beschränktem Zugriff für den Systembeauftragten und der Option vollständiger Anonymität verarbeitet. Gemäß Art. 24 des Gesetzes 2/2023 werden Daten nach drei (3) Monaten aus dem aktiven System gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.
RDL 8/2019 & Art. 28 Abs. 3 lit. g DSGVO — Kündigung, Export & Backup-Bereinigung (60 Tage)
Unterscheidung zwischen Abonnementkündigung und Unwiderruflicher Kontolöschung: Bei einer Kündigung des Abonnements bleibt der Lese- und Exportzugriff bis zum Ende des Abrechnungszeitraums zuzüglich eines 30-tägigen Exportfensters erhalten. Beantragt das Kundenunternehmen hingegen die endgültige Kontolöschung, ist die Löschung im Produktivsystem unwiderruflich; das Kundenunternehmen ist allein dafür verantwortlich, seine 4-Jahres-Arbeitszeitnachweise (RDL 8/2019) vorab zu exportieren. Restdaten in verschlüsselten Backups werden innerhalb von maximal sechzig (60) Tagen automatisch überschrieben und gelöscht.
3. Ausübung von Betroffenenrechten & Kontakt zum Datenschutzbeauftragten (DPO)
Jede betroffene Person kann ihre Rechte auf Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie das Recht, keiner ausschließlich automatisierten Entscheidung ohne menschliches Eingreifen unterworfen zu werden (Art. 15–22 DSGVO), geltend machen. Beschäftigte eines Kundenunternehmens richten ihre Anfrage vorrangig an ihren Arbeitgeber (Verantwortlicher); SekiaHR leitet eingehende Anfragen unverzüglich weiter und unterstützt technisch. Zudem besteht ein Beschwerderecht bei der spanischen Datenschutzbehörde (AEPD — www.aepd.es) oder der zuständigen Aufsichtsbehörde.
Direktes Postfach unseres Datenschutzbeauftragten (DPO):
4. Internationale Datenschutz-Compliance (UK, USA, Brasilien)
UK GDPR
Einhaltung der UK GDPR und des Data Protection Act 2018 für Organisationen oder Beschäftigte im Vereinigten Königreich.
US / CCPA
Einhaltung des California Consumer Privacy Act (CCPA / CPRA): SekiaHR handelt als „Service Provider“ und verkauft oder teilt niemals personenbezogene Daten für verhaltensbezogene Werbung.
Brasil / LGPD
Einhaltung des brasilianischen Datenschutzgesetzes (Lei nº 13.709/2018 — LGPD): volle Gewährleistung der Betroffenenrechte nach Art. 18 LGPD.
Zur Ausübung Ihrer Datenschutzrechte oder zur Kontaktaufnahme mit unserem DPO schreiben Sie an dpo@sekiahr.com.
Version v2.0 · Letzte Aktualisierung: Oktober 2026