Rechtliches

Datenschutzrichtlinie

Wie Grouper Technology Limited Ihre personenbezogenen Daten als autorisierter europäischer Partner von BambooHR erhebt, verwendet, hostet und schützt, mit primärer Datenspeicherung auf AWS Irland.

Zuletzt aktualisiert: 16 August 2026

Diese Übersetzung wird nur zur Bequemlichkeit bereitgestellt. Im Falle eines Widerspruchs oder einer Unstimmigkeit ist die englische Version maßgeblich.

Grouper verpflichtet sich zum Schutz personenbezogener Daten und zur Einhaltung hoher Standards in den Bereichen Datenschutz, Sicherheit und regulatorische Compliance. Datenschutz wird als zentrale operative und vertragliche Verantwortung behandelt, nicht als nachträglicher Gedanke. Wir gestalten unsere Servicebereitstellung, Zugriffskontrollen, Supportprozesse und das Lieferantenmanagement so, dass sie die Grundsätze der Rechenschaftspflicht, Integrität, Vertraulichkeit und Transparenz der DSGVO widerspiegeln.

Diese Datenschutzerklärung erläutert, wie Grouper Technology Limited („Grouper“, „wir“, „uns“ oder „unser“) personenbezogene Daten im Zusammenhang mit den von uns bereitgestellten Diensten erhebt, nutzt, abruft, hostet, speichert, schützt, überträgt und anderweitig verarbeitet, einschließlich unserer Rolle als europäischer Partner von BambooHR.

Grouper unterstützt Organisationen in Irland, dem Vereinigten Königreich, Europa und anderen Regionen bei der Bereitstellung, Verwaltung und Nutzung der BambooHR HRIS-Plattform sowie verwandter HR-Technologie.

Unser europäisches Servicemodell ist um ein klares Prinzip der europäischen Datenresidenz herum gestaltet. Kundenpersonenbezogene Daten, die über den europäischen Grouper BambooHR Dienst verarbeitet werden, werden innerhalb des Europäischen Wirtschaftsraums („EWR“) gehostet und gespeichert, wobei das primäre Hosting in Irland erfolgt.

Diese Datenschutzerklärung gilt für personenbezogene Daten, die im Zusammenhang mit Folgendem verarbeitet werden:

BambooHR Implementierung und Onboarding;
HRIS-Konfiguration;
Kontoverwaltung;
Kundensupport;
technischer Support;
Integrationssupport;
Datenmigration;
Kundenerfolg;
Schulung;
professionelle Dienstleistungen;
Sicherheit und Serviceverwaltung;
Kundenkommunikation;
Vertrieb und Präsentationen;
Grouper Websites und digitale Dienste; und
unsere allgemeinen Geschäftstätigkeiten.

Grouper Technology Limited ist ein irisches Unternehmen mit Sitz in 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Irland.

BambooHR stellt das zugrunde liegende Human-Resources-Informationssystem und die zugehörige Produktfunktionalität bereit. Grouper übernimmt europäische Implementierung, Migration, Konfiguration, Schulung, Kundenerfolg, Support, Servicemanagement und damit verbundene professionelle Dienstleistungen. Abhängig vom Abonnement und der Konfiguration des Kunden kann die BambooHR HRIS-Plattform Mitarbeiterdaten, Onboarding, Rekrutierung, Zeit- und Anwesenheitserfassung, Abwesenheitsmanagement, Leistungsmanagement, Vergütung, Benefits, Gehaltsabrechnungsfunktionen, Berichterstattung, Analysen, Integrationen, APIs und Funktionen für künstliche Intelligenz unterstützen.

Je nach den vom Kunden erworbenen Diensten kann Grouper Folgendes bereitstellen:

BambooHR Implementierung;
Onboarding;
Konfiguration;
Kontoeinrichtung;
Unterstützung bei der Migration;
Integrationsdienste;
technischer Support;
HRIS-Support;
Schulung;
Kundenerfolgsdienste;
Serviceverwaltung;
Fehlerbehebung; und
damit verbundene professionelle Dienstleistungen.

Die genaue datenschutzrechtliche Rolle von Grouper hängt von der jeweiligen Verarbeitungstätigkeit ab.

Wenn Grouper die Zwecke und Mittel der Verarbeitung bestimmt — beispielsweise bei bestimmten Website-, Vertriebs-, Geschäftsbeziehungs-, Sicherheits- oder Unternehmensverwaltungsaktivitäten — fungiert Grouper als Verantwortlicher.

Wenn Grouper personenbezogene Kundendaten ausschließlich im Auftrag eines Kunden und gemäß dessen dokumentierten Anweisungen verarbeitet, fungiert Grouper als Auftragsverarbeiter.

Wenn der Kunde selbst als Auftragsverarbeiter für einen anderen Verantwortlichen handelt, kann Grouper soweit anwendbar als Unterauftragsverarbeiter fungieren.

BambooHR kann separat als Auftragsverarbeiter oder Unterauftragsverarbeiter in Bezug auf Kundendaten agieren, die über die BambooHR HRIS-Plattform verarbeitet werden. Die Rollen werden in Teil B und der geltenden Kundenvereinbarung weiter beschrieben.

4.1 Kernverpflichtung zur europäischen Datenresidenz

Für Kunden, die den europäischen Grouper BambooHR Dienst mit EWR-Datenresidenz erwerben, werden Kundenpersonenbezogene Daten, die Teil der zentralen HRIS-Produktionsumgebung sind, innerhalb des EWR gehostet und gespeichert, wobei der primäre Hosting-Standort in Irland liegt.

Die primäre Cloud-Hosting-Infrastruktur für den europäischen Dienst wird von Amazon Web Services (AWS) bereitgestellt, mit primärer Datenspeicherung in der AWS-Irland-Region. Der Dienst ist so konzipiert, dass die gewöhnliche Produktionsspeicherung in der vertraglich vereinbarten europäischen Region verbleibt.

Dies gilt für personenbezogene Daten, die innerhalb der europäischen HRIS-Umgebung gepflegt werden, einschließlich Informationen über Mitarbeitende, Bewerber und andere Beschäftigte.

4.2 Speicherung versus Zugriff

Datenresidenz beschreibt, wo Kundenpersonenbezogene Daten gespeichert werden. Sie bedeutet nicht, dass niemals ein autorisierter Support- oder technischer Zugriff aus einem anderen Land erfolgen kann.

Außergewöhnlicher Zugriff von außerhalb des EWR kann nur erfolgen, wenn dies notwendig, autorisiert und rechtlich geschützt ist, wie in den Abschnitten 17 und 18 dieser Richtlinie beschrieben.

4.3 Backups, Resilienz und Notfallwiederherstellung

Backup-, Resilienz- und Disaster-Recovery-Maßnahmen sind darauf ausgelegt, Vertraulichkeit, Integrität und Verfügbarkeit zu wahren und mit den vertraglich vereinbarten regionalen Hosting-Verpflichtungen des Kunden in Einklang zu bleiben.

Wenn Replikations-, Ausfallsicherheits- oder Disaster-Recovery-Infrastruktur verwendet wird, verbleiben Kundendaten innerhalb des EWR, vorbehaltlich dokumentierter Notfall-, Kontinuitäts- oder Support-Szenarien und geltender Übertragungsschutzmaßnahmen.

4.4 Keine routinemäßige Verlagerung außerhalb des EWR

Grouper nutzt außergewöhnlichen Supportzugriff nicht als Mechanismus zur routinemäßigen Verlagerung europäischer Kundenpersonenbezogener Daten.

Kundendaten, die Teil des europäischen Dienstes sind, werden nicht routinemäßig außerhalb des EWR gehostet oder gespeichert. Jede wesentliche Änderung des vertraglich vereinbarten Datenresidenzmodells unterliegt der geltenden Vereinbarung, den Benachrichtigungspflichten und dem geltenden Datenschutzrecht.

„Anwendbares Datenschutzrecht“ bedeutet alle für die Verarbeitung geltenden Datenschutz-, Privatsphäre- und Datensicherheitsgesetze und -vorschriften, einschließlich, soweit relevant:

Verordnung (EU) 2016/679 — die Datenschutz-Grundverordnung (DSGVO);
das irische Datenschutzgesetz 2018;
anwendbare irische ePrivacy- und elektronische Kommunikationsvorschriften;
die britische DSGVO und das britische Datenschutzgesetz 2018 soweit anwendbar;
anwendbares Schweizer Datenschutzrecht soweit anwendbar;
anwendbare nationale Gesetzgebung zur Umsetzung europäischer Datenschutzanforderungen; und
jegliche Gesetzgebung, die diese Gesetze ersetzt, ergänzt oder ändert.

content.legal-document.record.content.811c9dc5

Die Parteien werden diese Richtlinie und jede geltende DPA im Einklang mit zwingendem Datenschutzrecht auslegen. Zwingende Bestimmungen der DSGVO, geltende Übermittlungsinstrumente und Anforderungen der Aufsichtsbehörden haben Vorrang, wo dies erforderlich ist.

Die verarbeiteten Informationen hängen von den vom Kunden ausgewählten Diensten und den Daten ab, die der Kunde in die HR-Umgebung einbringen möchte.

6.1 Mitarbeiter- und Beschäftigtendaten

Personenbezogene Daten können Folgendes umfassen:

Name und Mitarbeiter-Identifikationsnummern;
Fotos, sofern bereitgestellt;
Kontaktangaben zu Hause oder am Arbeitsplatz;
Geburtsdatum, Geschlecht und demografische Informationen, sofern bereitgestellt;
Ehe- oder Familieninformationen, sofern bereitgestellt;
Notfallkontakte und Telefonnummern;
akademische und berufliche Qualifikationen;
Lebenslauf- oder CV-Informationen, Beschäftigungshistorie und Sprachkenntnisse;
Berufsbezeichnung, Einstufung, Abteilung, Standort, Berichtslinien und Teamzugehörigkeit;
Einstellungs- und Austrittsdaten, Arbeitszeiten und Vertragsdetails;
Leistungs-, Bewertungs-, Disziplinar- und Beschäftigungshistorie;
Benefits, Versicherungen, Unternehmensvermögen und Schulungsinformationen; und
Abwesenheits-, Anwesenheits- und Urlaubsinformationen.

6.2 Gehaltsabrechnung und Vergütungsinformationen

Wenn relevante Dienste genutzt werden, können personenbezogene Daten Folgendes umfassen:

Gehalt, Vergütung und Boni;
Steuer- und Sozialversicherungsinformationen;
Bank- und Zahlungsdetails;
Pensionsinformationen;
Aktienoptionen und andere Benefits; und
andere gehaltsabrechnungsbezogene Informationen.

6.3 Rekrutierungs-, Bewerber- und Referenzinformationen

Für Bewerber, potenzielle Mitarbeitende und Referenzen können Informationen Folgendes umfassen:

Identitäts- und Kontaktdaten;
Lebensläufe, CVs, Beschäftigungshistorie und Qualifikationen;
Bewerbungs-, Interview- und Rekrutierungsunterlagen;
Kandidatkommunikation und Rekrutierungsstatus;
vorgesehene Vergütungsinformationen;
Namen der Referenzgeber, Kontaktdaten und berufliche Beziehung; und
in Referenzen enthaltene Informationen.

6.4 Besondere Kategorien und sensible Daten

Abhängig von der Nutzung der BambooHR HRIS-Plattform durch einen Kunden können die Dienste Gesundheits- oder Behinderteninformationen sowie andere personenbezogene Daten besonderer Kategorien oder sensible personenbezogene Daten enthalten.

Der Kunde bleibt dafür verantwortlich, eine angemessene rechtmäßige Grundlage von Article 6 sicherzustellen und, sofern die DSGVO Article 9 gilt, einen gültigen Sonderkategorien-Tatbestand.

Kunden sollten sensible Informationen nicht in Freitextfelder oder KI-Funktionen eingeben, es sei denn, dies ist notwendig, rechtmäßig und nach den einschlägigen Produktbedingungen zulässig.

Personenbezogene Daten, die im Zusammenhang mit den Diensten von Grouper verarbeitet werden, können sich beziehen auf:

aktuelle, ehemalige, zukünftige und potenzielle Mitarbeiter;
Kandidaten und Bewerber;
Auftragnehmer, Berater, Agenten und selbstständige Auftragnehmer;
Leiharbeitskräfte, Zeitarbeitskräfte und Gelegenheitsarbeiter;
Praktikanten und Freiwillige;
Angehörige von Mitarbeitern, Begünstigte und Notfallkontakte;
Referenzgeber und Aussteller von Referenzen;
Kundenadministratoren und autorisierte Nutzer; und
andere Personen, deren personenbezogene Daten ein Kunde rechtmäßig an die Dienste übermittelt.

Personenbezogene Daten können aus folgenden Quellen stammen:

direkt von der betroffenen Person;
vom Arbeitgeber oder potenziellen Arbeitgeber der betroffenen Person;
von Kundenadministratoren und autorisierten Nutzern;
während Implementierung, Konfiguration und Datenmigration;
über autorisierte Integrationen oder APIs;
über Supportanfragen und Fehlerbehebung;
über die BambooHR HRIS-Plattform oder ein anderes vom Kunden ausgewähltes System;
über Rekrutierungsprozesse;
aus öffentlichen Quellen, sofern rechtmäßig verwendet; und
aus anderen vom Kunden autorisierten rechtmäßigen Quellen.

Grouper verarbeitet personenbezogene Daten nur zu festgelegten und rechtmäßigen Zwecken. Diese können Folgendes umfassen:

Implementierung und Konfiguration der BambooHR HRIS-Plattform;
Hosting oder Ermöglichung des Hostings von Kundenpersonenbezogenen Daten;
Verwaltung von Konten und Benutzerberechtigungen;
Wartung und Sicherung des Dienstes;
Bereitstellung von Kunden- und technischem Support;
Unterstützung von Integrationen und Migrationen;
Bereitstellung von Schulungen und professionellen Dienstleistungen;
Verwaltung von Abonnements und Kundenbeziehungen;
Erkennung und Untersuchung von Sicherheitsereignissen;
Führen von Audit-Protokollen;
Verhinderung von Betrug oder Missbrauch;
Erfüllung gesetzlicher Verpflichtungen; und
die Serviceleistung zu verbessern, sofern dies durch die Vereinbarung und das geltende Datenschutzrecht zulässig ist.

content.legal-document.record.content.811c9dc5

Wenn Supportmitarbeiter auf personenbezogene Kundendaten zugreifen, muss der Zugriff auf das Minimum an Informationen beschränkt sein, das für den Supportzweck vernünftigerweise erforderlich ist, und von autorisiertem Personal unter Einhaltung von Vertraulichkeits- und Zugriffskontrollen durchgeführt werden.

Wenn Grouper als Verantwortlicher handelt, kann die anwendbare rechtmäßige Grundlage Folgendes umfassen:

10.1 Vertrag

Verarbeitung, die erforderlich ist, um einen Vertrag abzuschließen oder zu erfüllen, oder um auf Antrag der betroffenen Person vor dem Vertragsabschluss Schritte zu unternehmen.

10.2 Berechtigte Interessen

Verarbeitung, die zur Wahrung berechtigter geschäftlicher Interessen erforderlich ist, sofern diese Interessen nicht durch die Rechte und Freiheiten der betroffenen Personen überlagert werden. Berechtigte Interessen können umfassen:

Dienstbereitstellung;
Kundenverwaltung;
Informationssicherheit;
Betrugsprävention;
Geschäftskontinuität;
Kundensupport; und
Beziehungsmanagement.

10.3 Gesetzliche Verpflichtung

Verarbeitung, die zur Einhaltung geltender gesetzlicher oder regulatorischer Anforderungen erforderlich ist.

10.4 Einwilligung

Sofern angemessen, kann die Verarbeitung auf Einwilligung beruhen. Die Einwilligung kann jederzeit widerrufen werden, ohne die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung zu beeinträchtigen.

Wenn der Kunde als Verantwortlicher handelt, ist der Kunde verantwortlich für:

die Zwecke zu bestimmen, für die personenbezogene Daten verarbeitet werden;
rechtmäßige Grundlagen und Bedingungen für besondere Kategorien festzulegen;
erforderliche Datenschutzhinweise bereitzustellen;
gegebenenfalls Einwilligungen einzuholen;
Datenrichtigkeit und -qualität sicherzustellen;
geeignete Aufbewahrungsfristen festzulegen;
autorisierte Nutzer und Berechtigungen zu verwalten;
die Dienste sicher zu nutzen; und
sicherzustellen, dass seine Anweisungen an Grouper rechtmäßig sind.

content.legal-document.record.content.811c9dc5

Der Kunde darf Grouper nicht anweisen, personenbezogene Daten in einer Weise zu verarbeiten, die gegen anwendbares Datenschutzrecht verstößt.

Grouper wird den Kunden benachrichtigen, wenn nach seiner angemessenen Einschätzung eine Anweisung gegen anwendbares Datenschutzrecht verstößt, und kann die betroffene Verarbeitung aussetzen, bis das Problem gelöst ist.

Grouper beschränkt den Zugriff auf personenbezogene Kundendaten auf autorisierte Personen, die diesen für ihre Aufgaben vernünftigerweise benötigen. Das Personal unterliegt angemessenen Vertraulichkeitsverpflichtungen und erhält für seine Rolle geeignete Datenschutz- und Sicherheitsschulungen. Der Zugriff wird nach dem Prinzip der geringsten Privilegien und des Need-to-know-Prinzips gesteuert.

Zu den Zugriffskontrollen gehören:

Identitäts- und Authentifizierungskontrollen;
rollenbasierte und privilegierte Zugriffskontrollen;
Kontrollen für administrative Konten;
Verwaltung des Kontolebenszyklus;
Zugriffsprotokollierung und Überwachung;
regelmäßige Überprüfung des Zugriffs;
Vertraulichkeits- und Nutzungsanforderungen; und
angemessene Personalsicherheit und Schulung.

Grouper hält angemessene technische und organisatorische Maßnahmen aufrecht und verlangt dies auch von relevanten Technologieanbietern, um den mit der Verarbeitung verbundenen Risiken Rechnung zu tragen, wobei der Stand der Technik, Implementierungskosten, Art, Umfang, Kontext und Zwecke der Verarbeitung sowie das Risiko für die betroffenen Personen berücksichtigt werden.

Zu den Maßnahmen gehören:

physische und logische Zugriffskontrollen;
starke Authentifizierung und angemessene Passwortkontrollen;
Verschlüsselung bei Übertragung und bei rest , sofern angemessen;
Pseudonymisierung, sofern angemessen;
Netzwerk-Firewalls, Perimetersicherheit und Eindringungserkennung;
Protokollierung, Überwachung und Audit-Trails;
Schwachstellenmanagement und Sicherheitstests;
eingeschränkter administrativer Zugriff;
sichere Übertragung, einschließlich geschützter Übertragungskanäle;
Sicherung, Redundanz, Wiederherstellung und Resilienz;
Planung von Geschäftskontinuität und Notfallwiederherstellung;
sichere Entwicklung und Änderungsmanagement;
Datentrennung zwischen Kunden und Verarbeitungszwecken;
Verfahren zur Reaktion auf Vorfälle;
Sicherheitsbewusstsein und Schulung für Mitarbeitende; und
Sorgfaltsprüfung und Sicherheits-Governance für Unterauftragsverarbeiter.

content.legal-document.record.content.811c9dc5

Weitere Einzelheiten zu den Mindestkontrolldomänen sind in Schedule 2 des Datenverarbeitungsvertrags festgelegt. Sicherheitsmaßnahmen können sich im Laufe der Zeit weiterentwickeln, aber Änderungen werden das Gesamtschutzniveau für Kundendaten während eines aktiven Abonnements nicht wesentlich verringern, es sei denn, dies ist gesetzlich vorgeschrieben oder mit dem Kunden vereinbart.

Grouper unterhält dokumentierte Verfahren, um Datenschutzverletzungen zu identifizieren, zu untersuchen, einzudämmen, zu mindern, zu beheben und zu melden.

Wenn Grouper als Auftragsverarbeiter handelt und von einer tatsächlichen oder vermuteten Verletzung personenbezogener Daten, die personenbezogene Kundendaten betrifft, Kenntnis erlangt, wird Grouper den betreffenden Kunden so schnell wie vernünftigerweise möglich und in jedem Fall innerhalb von 48 Stunden nach Kenntniserlangung über den Vorfall benachrichtigen.

Soweit vernünftigerweise verfügbar, wird die Benachrichtigung Folgendes enthalten:

die Art des Vorfalls;
betroffene Kategorien personenbezogener Daten;
ungefähre Kategorien und Zahlen der betroffenen Personen und Datensätze;
wahrscheinliche Folgen;
ergriffene oder vorgeschlagene Maßnahmen;
Abhilfemaßnahmen; und
eine Kontaktstelle für weitere Informationen.

content.legal-document.record.content.811c9dc5

Informationen können in Phasen bereitgestellt werden, sobald sie verfügbar sind.

Grouper wird angemessen mitwirken, um den Kunden bei der Erfüllung geltender regulatorischer Benachrichtigungs- und Informationspflichten gegenüber betroffenen Personen zu unterstützen.

Öffentliche oder behördliche Mitteilungen zu einer kundenspezifischen Datenschutzverletzung werden in Übereinstimmung mit dem Gesetz und der geltenden Vereinbarung koordiniert.

Grouper kann sorgfältig ausgewählte Unterauftragsverarbeiter und Dienstleister benennen, soweit dies erforderlich ist, um die Dienste bereitzustellen, zu hosten, abzusichern, zu unterstützen, zu überwachen oder zu verbessern.

Bevor ein Unterauftragsverarbeiter Kundendaten verarbeitet, führt Grouper eine angemessene Due-Diligence-Prüfung durch und auferlegt schriftliche Datenschutzpflichten, die der Verarbeitung angemessen sind. Zu diesen Pflichten gehören Vertraulichkeit, angemessene technische und organisatorische Maßnahmen, Zweckbindung, Unterstützung von Betroffenenrechten und Pflichten bei Datenschutzverletzungen, Anforderungen an Löschung oder Rückgabe sowie rechtmäßige Schutzmaßnahmen für internationale Übermittlungen, sofern zutreffend.

Grouper bleibt im gesetzlich und vertraglich erforderlichen Umfang für die Leistung von Unterauftragsverarbeitern verantwortlich.

content.legal-document.record.content.811c9dc5

Sofern die anwendbaren Kundenbedingungen eine allgemeine schriftliche Genehmigung vorsehen, erhalten Kunden vorab Mitteilung über wesentliche neue Unterauftragsverarbeiter sowie die Möglichkeit, aus angemessenen datenschutzrechtlichen Gründen zu widersprechen.

Für die Unterauftragsverarbeiter von BambooHR sieht die derzeitige BambooHR DPA eine Vorankündigung von mindestens 30 Tagen für einen neuen Unterauftragnehmer vor, der Kundendaten verarbeitet.

Schedule 4 sorgt für Transparenz hinsichtlich der wichtigsten Anbieterkategorien und der in den maßgeblichen Servicematerialien benannten Anbieter.

BambooHR LLC stellt die zugrunde liegende HR-Technologieplattform bereit, die in Verbindung mit den betreffenden Diensten verwendet wird. Grouper kann mit BambooHR für Plattformwartung, Hosting, Implementierung, Fehlerbehebung, Service-Support, Sicherheit, technische Administration, Integrationen und andere Funktionen zusammenarbeiten, die zur Bereitstellung der vertraglich vereinbarten Dienste erforderlich sind.

Die Verarbeitung durch BambooHR unterliegt den anwendbaren vertraglichen und datenschutzrechtlichen Bedingungen, einschließlich seiner DPA, Sicherheitsmaßnahmen, Unterauftragsverarbeiterregelungen und Schutzmaßnahmen für internationale Übermittlungen.

content.legal-document.record.content.811c9dc5

Grouper bleibt für seine eigenen Verpflichtungen nach dem geltenden Datenschutzrecht und der anwendbaren Kundenvereinbarung verantwortlich. Wenn BambooHR personenbezogene Daten zur Unterstützung der europäischen Kundenumgebung von Grouper verarbeitet, gelten die anwendbaren vertraglichen, Sicherheits- und Datenresidenzanforderungen.

Für den vertraglich vereinbarten europäischen Dienst von Grouper sind Kundendaten so konzipiert, dass sie im EWR gespeichert werden, mit primärem Hosting in Irland über Amazon Web Services (AWS). Autorisierte Verarbeitung oder Fernzugriff von außerhalb des EWR kann eine eingeschränkte Übermittlung darstellen, auch wenn die Daten weiterhin in Irland gespeichert bleiben. Ein solcher Zugriff ist nur zulässig, wenn er rechtmäßig und erforderlich ist und durch geeignete Schutzmaßnahmen abgesichert wird.

Beispiele für Ausnahmesituationen sind:

ein Notfall, der die irische Rechenzentrumsumgebung oder die Dienstkontinuität beeinträchtigt;
eine Support- oder Wartungsanfrage, die autorisierten Fachzugriff von außerhalb des EWR erfordert, vorbehaltlich der jeweils geltenden Genehmigung des Kunden oder einer vertraglichen Autorisierung; und
eine verifizierte Anfrage des Kunden, Daten in eine andere Region zu verlagern oder anderweitig außerhalb der vereinbarten europäischen Hosting-Region zu verarbeiten.

content.legal-document.record.content.811c9dc5

Wenn eine eingeschränkte Übermittlung erfolgt, verwenden Grouper und/oder der jeweilige Technologieanbieter ein rechtlich anerkanntes Instrument wie:

einen Angemessenheitsbeschluss;
die Standardvertragsklauseln der Europäischen Kommission;
gegebenenfalls den UK International Data Transfer Addendum;
die Teilnahme am EU-US Data Privacy Framework, soweit rechtlich verfügbar und anwendbar;
Binding Corporate Rules, soweit anwendbar; oder
eine andere nach dem geltenden Datenschutzrecht anerkannte wirksame Schutzmaßnahme.

content.legal-document.record.content.811c9dc5

Sofern erforderlich, werden eine Transfer-Folgenabschätzung und ergänzende technische, vertragliche oder organisatorische Maßnahmen umgesetzt.

Nichts in solchen Regelungen für den ausnahmsweisen Zugriff ändert an Grouper’s Zusage, dass Kundendaten für den europäischen Dienst innerhalb des EWR gespeichert werden.

Soweit die EU-Standardvertragsklauseln erforderlich sind, werden sie in ihrer offiziell genehmigten Fassung ohne Änderung der zwingenden Formulierungen übernommen. Bei Übermittlungen von Verantwortlichem an Auftragsverarbeiter gilt in der Regel Modul Zwei, sofern nicht aufgrund der Rollen der Parteien ein anderes Modul erforderlich ist.

Wird Irland als anwendbares EU-Recht und Gerichtsstand gewählt, vereinbaren die Parteien die Gerichte Irlands gemäß dem jeweiligen SCC-Anhang.

Für Übermittlungen, die dem britischen Datenschutzrecht unterliegen, gelten die EU-SCCs zusammen mit dem dann aktuellen UK International Data Transfer Addendum oder einem anderen rechtlich anerkannten britischen Übermittlungsmechanismus.

content.legal-document.record.content.811c9dc5

Ergänzende Maßnahmen können Folgendes umfassen:

Verschlüsselung;
Zugriffsbeschränkungen;
Schlüsselverwaltungskontrollen;
Datenminimierung;
Protokollierung;
vertragliche Beschränkungen für die Weiterübermittlung;
Verfahren zur Prüfung behördlicher Anfragen;
Transparenzmaßnahmen; und
Aussetzung oder Beendigung von Übermittlungen, wenn ein angemessenes Schutzniveau nicht gewährleistet werden kann.

Grouper erkennt an, dass rechtmäßige behördliche Zugriffsanfragen erhebliche Datenschutzrisiken mit sich bringen können. Soweit gesetzlich zulässig, wird eine verbindliche Anfrage einer öffentlichen, strafverfolgenden oder justiziellen Behörde nach Kundendaten, die Grouper oder ein relevanter Auftragsverarbeiter erhält, auf Gültigkeit, Umfang und Verhältnismäßigkeit geprüft.

Rechtswidrige oder unverhältnismäßige Anfragen werden angefochten, sofern hierfür berechtigte Gründe und eine rechtmäßige Grundlage bestehen.

content.legal-document.record.content.811c9dc5

Eine Offenlegung erfolgt auf das gesetzlich erforderliche Minimum beschränkt.

Der Kunde wird benachrichtigt, soweit dies gesetzlich zulässig ist. Ist eine Benachrichtigung untersagt, werden angemessene Anstrengungen unternommen, gegebenenfalls die Erlaubnis einzuholen, eine Mitteilung zu machen.

Aufzeichnungen über die Anfrage und die Antwort werden in dem gesetzlich vorgeschriebenen Umfang sowie nach dem anwendbaren Übermittlungsmechanismus aufbewahrt.

Je nach geltendem Datenschutzrecht können betroffene Personen Rechte haben, darunter:

Auskunft;
Berichtigung;
Löschung;
Einschränkung der Verarbeitung;
Datenübertragbarkeit;
Widerspruch;
Widerruf der Einwilligung;
Rechte in Bezug auf automatisierte Entscheidungsfindung und Profiling; und
das Recht, sich bei einer zuständigen Aufsichtsbehörde zu beschweren.

content.legal-document.record.content.811c9dc5

Wenn Grouper als Auftragsverarbeiter handelt, sollten Anfragen zu Kundendaten in der Regel an den betreffenden Kunden als Verantwortlichen gerichtet werden. Erhält Grouper eine solche Anfrage direkt, wird Grouper diese, sofern nicht gesetzlich untersagt, an den Kunden weiterleiten oder ihn benachrichtigen und inhaltlich nicht antworten, außer auf dokumentierte Weisung des Kunden oder wenn dies gesetzlich erforderlich ist. Grouper wird angemessene Unterstützung leisten, damit der Kunde seinen Verpflichtungen nachkommen kann.

Unter Berücksichtigung der Art der Verarbeitung und der Grouper zur Verfügung stehenden Informationen wird Grouper angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und, sofern erforderlich, bei der vorherigen Konsultation mit einer zuständigen Aufsichtsbehörde leisten.

Der Kunde bleibt dafür verantwortlich zu bestimmen, ob für seine Nutzung der Dienste eine Datenschutz-Folgenabschätzung oder vorherige Konsultation erforderlich ist.

Grouper wird Informationen bereitstellen, die angemessen erforderlich sind, um die Einhaltung der geltenden Pflichten des Auftragsverarbeiters nachzuweisen. Dies kann Folgendes umfassen:

Sicherheitsdokumentation;
Richtlinien;
Compliance-Informationen;
Auditinformationen;
unabhängige Zusicherungsberichte;
relevante Zertifizierungen; und
Antworten auf angemessene Sicherheitsfragebögen.

content.legal-document.record.content.811c9dc5

Soweit gesetzlich oder vertraglich erforderlich und angemessene Nachweise unzureichend sind, können Kunden die anwendbaren Auditrechte nach angemessener Vorankündigung ausüben, vorbehaltlich von Vertraulichkeit, Sicherheit, Nichtbeeinträchtigung und Schutzmaßnahmen für Informationen anderer Kunden. Sofern nicht aufgrund eines Sicherheitsvorfalls, einer regulatorischen Anforderung oder berechtigter Anhaltspunkte für eine wesentliche Nichteinhaltung erforderlich, sollten formale Audits in der Regel auf einmal in einem Zeitraum von zwölf Monaten beschränkt sein. Die Kunden tragen im Allgemeinen ihre eigenen Auditkosten, sofern Gesetz oder Vertrag nichts anderes vorsehen.

Grouper speichert personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck angemessen erforderlich ist oder gesetzlich vorgeschrieben ist.

Wenn Grouper als Auftragsverarbeiter handelt, wird die Aufbewahrung in erster Linie bestimmt durch:

dokumentierte Anweisungen des Kunden;
die anwendbare Kundenvereinbarung;
die Dauer der Dienste;
Support-Anforderungen;
gesetzliche Verpflichtungen; und
vertragliche Löschanforderungen.

content.legal-document.record.content.811c9dc5

Bei Beendigung oder Ablauf der Dienste oder früher auf eine gültige Weisung des Kunden, sofern technisch und rechtlich praktikabel, wird Grouper Kundendaten gemäß der Vereinbarung zurückgeben, zum Export bereitstellen oder sicher löschen.

Wenn das Gesetz eine fortgesetzte Aufbewahrung verlangt, bleiben die betroffenen Daten geschützt, vom normalen Gebrauch getrennt und nur in dem gesetzlich erforderlichen Umfang verarbeitet.

Supportbezogene Informationen werden nur so lange aufbewahrt, wie es erforderlich ist, um die Supporttätigkeit zu erbringen, zu belegen und abzuschließen, vorbehaltlich der geltenden gesetzlichen und betrieblichen Aufbewahrungspflichten.

Grouper unterstützt die Grundsätze der Datenminimierung, Richtigkeit und Zweckbindung. Kunden sollten nur personenbezogene Daten verarbeiten, die für legitime HR- und Personalmanagementzwecke angemessen erforderlich sind, und unnötige sensible Informationen in Freitextfeldern, Anhängen, Notizen, benutzerdefinierten Feldern oder optionalen Funktionen vermeiden.

content.legal-document.record.content.811c9dc5

Die Kunden sind dafür verantwortlich, korrekte Kundendaten zu pflegen. Wenn Grouper oder ein Auftragsverarbeiter feststellt, dass Daten in einer Situation, die Maßnahmen erfordert, unrichtig oder veraltet sind, wird Grouper mit dem Kunden zusammenarbeiten, um die Daten gemäß dokumentierten Anweisungen und dem geltenden Datenschutzrecht zu berichtigen oder zu löschen.

content.legal-document.record.content.811c9dc5

Besondere Kategorien personenbezogener Daten sollten auf Informationen beschränkt werden, für die der Kunde eine angemessene rechtmäßige Grundlage und einen tatsächlichen geschäftlichen Bedarf hat.

Bestimmte Funktionen von BambooHR können künstliche Intelligenz oder maschinelles Lernen verwenden. Die KI-Funktionalität ist optional, sofern sie als solche gekennzeichnet ist, und kann gesonderten BambooHR-KI-Bedingungen unterliegen.

Aktuelle Materialien zum KI-Dienst von BambooHR benennen Drittanbieter von KI, darunter OpenAI, Cohere und Anthropic/Claude, und aktuelle Unterauftragsmaterialien können je nach Funktionskonfiguration zusätzliche KI- oder Dokumentenverarbeitungsanbieter (etwa LlamaIndex) nennen.

Kunden bleiben verantwortlich für:

beurteilen, ob der Einsatz von KI für ihre Organisation geeignet ist;
eine rechtmäßige Grundlage zu schaffen;
erforderliche Transparenz gegenüber betroffenen Personen herzustellen;
gegebenenfalls Einwilligungen einzuholen;
ausreichende menschliche Aufsicht umzusetzen;
Bias- und Fairnessrisiken zu bewerten; und
die Einhaltung von Arbeits-, Gleichstellungs-, KI- und Datenschutzrecht.

content.legal-document.record.content.811c9dc5

Kunden dürfen keine sensiblen oder regulierten Informationen an KI-Funktionen übermitteln, sofern dies nach den geltenden KI-Bedingungen verboten ist, einschließlich Gesundheits-, genetischer oder biometrischer Informationen, behördlich ausgestellter Identifikatoren sowie persönlicher Finanz- oder Bankinformationen. KI-Ausgaben können ungenau, unvollständig, verzerrt, nicht einzigartig oder für einen bestimmten Zweck ungeeignet sein und dürfen nicht als Ersatz für verantwortungsbewusstes menschliches Urteilsvermögen behandelt werden.

content.legal-document.record.content.811c9dc5

Wenn BambooHR Kundendaten, Eingaben oder Ausgaben verwendet, um ein kundenspezifisches Modell fein abzustimmen oder zu trainieren, stellen die jeweils anwendbaren BambooHR-KI-Bedingungen klar, dass eine solche Nutzung der Bereitstellung der KI-Funktionen für diesen Kunden dient und dass das so trainierte Kundenmodell nicht anderweitig zur Erbringung von Leistungen für andere Kunden verwendet wird.

content.legal-document.record.content.811c9dc5

KI-Anbieter und KI-bezogene Verarbeitung können autorisierte Verarbeitungen außerhalb des EWR umfassen. Solche Verarbeitungen unterliegen den internationalen Übertragungsschutzmaßnahmen in dieser Richtlinie und jeder geltenden Datenverarbeitungsvereinbarung. Zusagen zur Speicherresidenz des Kern-HRIS bedeuten für sich genommen nicht, dass jede optionale KI-Inferenzoperation physisch innerhalb des EWR stattfindet.

Grouper bietet HR-Technologieimplementierung, Support und verwandte Dienstleistungen an. Grouper bestimmt in der Regel nicht, wen ein Kunde rekrutiert oder beschäftigt, sowie auch nicht Beförderungen, Vergütung, Leistungsergebnisse, disziplinarische Maßnahmen, Entscheidungen über Zusatzleistungen, Beendigung oder andere Beschäftigungsentscheidungen. Diese Entscheidungen bleiben in der Verantwortung des jeweiligen Arbeitgebers oder Verantwortlichen.

Kunden müssen sicherstellen, dass KI-, Analyse-, Bewertungs- oder Workflow-Funktionen nicht zur Vornahme unrechtmäßig automatisierter Entscheidungen verwendet werden, die rechtliche oder ähnlich erhebliche Auswirkungen haben, ohne die nach geltendem Datenschutzrecht erforderlichen Schutzmaßnahmen, einschließlich sinnvoller menschlicher Beteiligung, sofern erforderlich.

Die BambooHR HRIS-Plattform unterstützt APIs und Integrationen, die Mitarbeiter- und andere HR-Daten abrufen, übertragen oder ändern können. Kunden sind dafür verantwortlich, angemessene Berechtigungen zu erteilen, API-Zugangsdaten zu schützen, den Integrationszugriff auf legitime Geschäftszwecke zu beschränken und sicherzustellen, dass Integrationen von Drittanbietern rechtmäßig konfiguriert und vertraglich geregelt sind.

content.legal-document.record.content.811c9dc5

Der programmgesteuerte Zugriff sollte unterstützte Authentifizierungsmethoden verwenden und darf Kundendaten oder Zugangsdaten nicht unbefugten Parteien offenlegen.

Integrationen dürfen Kundendaten nicht über den dokumentierten und autorisierten Zweck hinaus verwenden.

Wenn ein Integrationsanbieter personenbezogene Daten im Auftrag des Kunden oder von Grouper verarbeitet, müssen angemessene Auftragsverarbeiter- oder Unterauftragsverarbeiterbedingungen sowie Schutzmaßnahmen für Übermittlungen gelten.

Wenn Grouper in Bezug auf seine eigenen Geschäftstätigkeiten als Verantwortlicher handelt, können wir Geschäftskontaktdaten verarbeiten, die Folgendes betreffen:

potenzielle Kunden;
Kundenkontakte;
Lieferanten;
Partner;
Berater aus dem Berufsstand;
Teilnehmer von Veranstaltungen;
Website-Besucher; und
Personen, die Grouper kontaktieren.

content.legal-document.record.content.811c9dc5

Zu den Informationen können Name, Organisation, Rolle, geschäftliche Kontaktdaten, Kommunikation, Anfrageinformationen, IP-Adresse, Browser- und Geräteinformationen, besuchte Seiten und ähnliche technische Daten gehören.

content.legal-document.record.content.811c9dc5

Wir verarbeiten solche Informationen, um Anfragen zu beantworten, Beziehungen zu verwalten, angeforderte Dienste bereitzustellen, die Sicherheit aufrechtzuerhalten, Verträge zu erfüllen, gesetzliche Vorgaben einzuhalten und, soweit zulässig, relevante Geschäftskommunikation zu versenden. Empfänger können jederzeit dem Direktmarketing widersprechen. Operative, vertragliche, sicherheitsbezogene und kundenservicebezogene Mitteilungen sind kein Marketing.

content.legal-document.record.content.811c9dc5

Websites können essenzielle, funktionale und Analyse-Cookies sowie ähnliche Technologien verwenden. Soweit gesetzlich erforderlich, werden nicht wesentliche Cookies nur nach entsprechender Einwilligung verwendet, und Nutzern werden Kontrollen zur Verwaltung ihrer Präferenzen bereitgestellt.

Grouper ist bestrebt, Datenschutz in Design und Betrieb der Dienste zu verankern. Dazu gehören:

Optionen für europäische Datenresidenz;
Datenminimierung;
Zugriff nach dem Prinzip der geringsten Rechte;
geeignete Authentifizierung;
Verschlüsselung;
Zugriffsprotokollierung;
rollenbasierte Berechtigungen;
sichere Übertragung;
Kontrollen für Unterauftragsverarbeiter;
Aufbewahrungskontrollen;
Prozesse für die Reaktion auf Vorfälle;
Schulungen zu Datenschutz und Sicherheit;
Sicherheitsprüfungen;
DPIA-Unterstützung; und
dokumentierte Rechenschaftspflicht.

content.legal-document.record.content.811c9dc5

Grouper wird Aufzeichnungen und Governance-Maßnahmen führen, die seiner Rolle angemessen sind, und in gutem Glauben mit Kunden, betroffenen Personen und zuständigen Aufsichtsbehörden zusammenarbeiten.

Grouper ist in Irland niedergelassen. Die Data Protection Commission („DPC“) ist Irlands unabhängige Aufsichtsbehörde, die für die Wahrung des Grundrechts auf Datenschutz zuständig ist, und ist die irische Aufsichtsbehörde für die DSGVO.

Wenn die DPC die zuständige Aufsichtsbehörde für eine relevante Verarbeitungstätigkeit ist, arbeitet Grouper mit der DPC zusammen und hält verbindliche Entscheidungen sowie rechtmäßige regulatorische Anforderungen ein.

Personen, die der Ansicht sind, dass ihre Datenschutzrechte verletzt wurden, können die Angelegenheit gegenüber dem zuständigen Verantwortlichen vorbringen und gegebenenfalls eine Beschwerde bei der DPC oder einer anderen zuständigen Aufsichtsbehörde einreichen, sofern dies gesetzlich zulässig ist.

content.legal-document.record.content.811c9dc5

Aktuelle Kontaktdaten der DPC: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Irland. Die DPC empfiehlt die Nutzung ihrer Online-Kontaktkanäle für Beschwerden und Datenschutzanliegen.

Grouper empfiehlt Personen, sich zunächst an den zuständigen Verantwortlichen zu wenden, wenn das Problem ein vom Arbeitgeber verwaltetes BambooHR-Konto betrifft, damit die Angelegenheit umgehend untersucht und gelöst werden kann.

Grouper kann diese Datenschutzrichtlinie und DPA bei angemessener Notwendigkeit aktualisieren, um Änderungen in Gesetz, regulatorischen Leitlinien, Sicherheitsanforderungen, Technologie, Diensten, Verarbeitungstätigkeiten, Unterauftragsverarbeitern oder Übermittlungsmechanismen widerzuspiegeln. Wesentliche Änderungen werden mitgeteilt, sofern erforderlich.

content.legal-document.record.content.811c9dc5

Wenn Grouper Kundendaten als Auftragsverarbeiter verarbeitet, regeln Teil B und die anwendbare Kundenvereinbarung das vertragliche Verarbeitungsverhältnis. Bei Widersprüchen in Bezug auf Kundendaten gilt die folgende Rangfolge: zwingendes anwendbares Datenschutzrecht; anwendbare SCCs, UK Addendum oder anderer zwingender Übermittlungsmechanismus; der Datenverarbeitungsvertrag; anwendbare datenschutzrechtliche Bestimmungen der Vereinbarung; und der Rest der Vereinbarung.

Grouper’s europäisches BambooHR-Leistungsversprechen basiert auf drei Grundsätzen:

Europäische Datenresidenz.

Kundendaten werden im EWR gehostet und gespeichert, mit primärem Hosting in Irland über Amazon Web Services (AWS).

Europäische Datenschutzstandards.

Kundendaten werden in Übereinstimmung mit den geltenden europäischen Datenschutzanforderungen einschließlich der DSGVO verarbeitet.

Europäischer Service und Support.

Grouper bietet Kunden europäische Implementierung, Support und Serviceverwaltung rund um die BambooHR HRIS-Plattform.

content.legal-document.record.content.811c9dc5

Unser Ziel ist es, Organisationen die Nutzung von BambooHR zu ermöglichen und gleichzeitig die von europäischen Kunden erwarteten Datenschutz-, Governance- und Datenresidenzstandards einzuhalten.

Fragen zu dieser Datenschutzrichtlinie, den Verarbeitungsaktivitäten von Grouper, Rechten betroffener Personen, Sicherheit oder unseren europäischen Datenresidenzregelungen können über die benannten Datenschutz- oder Kundensupportkanäle von Grouper eingereicht werden.

Grouper Technology Limited kann auch unter 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland kontaktiert werden.

Soweit die betreffende personenbezogene Daten in einem BambooHR-Konto eines Arbeitgebers enthalten sind, sollten sich betroffene Personen in der Regel zunächst an diesen Arbeitgeber wenden, da diese Organisation üblicherweise der für die Entscheidung über die Verwendung der Informationen verantwortliche Verantwortliche ist.

Teil B — Datenverarbeitungsvereinbarung mit dem KundenVertragliche Auftragsverarbeiter-Bedingungen, die gelten, wenn Grouper Kundenpersonenbezogene Daten in Ihrem Auftrag verarbeitet

Diese Vereinbarung zur Auftragsverarbeitung („DPA“) ist Teil der Vereinbarung, des Bestellformulars, der Leistungsbeschreibung oder eines anderen Vertrags, der die Erbringung der Grouper-bezogenen Dienstleistungen von BambooHR zwischen dem Kunden und Grouper Technology Limited regelt.

Bei der Erbringung der Dienste kann Grouper Kundendaten im Auftrag des Kunden verarbeiten. Diese DPA legt die jeweiligen Verpflichtungen der Parteien für diese Verarbeitung fest.

Diese DPA gilt, soweit Grouper Kundendaten im Auftrag des Kunden verarbeitet und diese Verarbeitung dem geltenden Datenschutzrecht unterliegt. Sie ergänzt die Vereinbarung und ist Bestandteil derselben; hier nicht definierte Begriffe mit Großschreibung haben die in der Vereinbarung festgelegte Bedeutung.

Für diese DPA gilt:

Kundendaten

Personenbezogene Daten, die von einem Kunden oder einer verbundenen Kundengesellschaft kontrolliert und von Grouper im Zusammenhang mit den Diensten verarbeitet werden.

Eingeschränkte Übermittlung

Eine Übermittlung personenbezogener Daten, die nach dem geltenden Datenschutzrecht einen rechtmäßigen Übermittlungsmechanismus erfordert.

Standardvertragsklauseln (SCCs)

Die jeweils geltenden Standardvertragsklauseln der Europäischen Kommission für die Übermittlung personenbezogener Daten in Drittländer, in der jeweils geänderten, ersetzten oder ergänzten Fassung.

Unterauftragsverarbeiter

Ein Dritter, der von oder im Namen von Grouper benannt wird, um Kundendaten zu verarbeiten.

Technologieanbieter

BambooHR LLC und gegebenenfalls verbundene BambooHR-Gesellschaften, die die zugrunde liegende HR-Technologieplattform bereitstellen.

Sofern nicht schriftlich anders vereinbart, handelt der Kunde als Verantwortlicher und Grouper als Auftragsverarbeiter. Wenn der Kunde als Auftragsverarbeiter für einen anderen Verantwortlichen handelt, agiert Grouper insoweit als Unterauftragsverarbeiter.

content.legal-document.record.content.811c9dc5

Grouper wird Kundendaten nur auf dokumentierte Weisung des Kunden und nur insoweit verarbeiten, wie dies erforderlich ist, um die Dienste bereitzustellen, zu warten, abzusichern und zu unterstützen, sofern eine Verarbeitung der Daten nicht durch geltendes Recht vorgeschrieben ist.

Grouper wird den Kunden unverzüglich informieren, wenn eine Weisung nach seiner angemessenen Einschätzung gegen das geltende Datenschutzrecht verstößt, und kann die betroffene Verarbeitung bis zur Klärung aussetzen.

Jede Partei wird ihre Verpflichtungen nach geltendem Datenschutzrecht in Bezug auf personenbezogene Daten erfüllen, die im Rahmen der Vereinbarung oder im Zusammenhang damit verarbeitet werden. Grouper wird Kundendaten nicht wissentlich in einer Weise verarbeiten, die wahrscheinlich dazu führt, dass der Kunde gegen geltendes Datenschutzrecht verstößt.

Grouper stellt sicher, dass autorisierte Personen geeigneten Vertraulichkeitsverpflichtungen unterliegen, nur soweit angemessen erforderlich auf Kundendaten zugreifen, eine angemessene Datenschutz- und Sicherheitsschulung erhalten und Kundendaten nur in Übereinstimmung mit dieser DPA und dokumentierten Anweisungen des Kunden verarbeiten. Der Zugriff wird nach dem Prinzip der geringsten Rechte und dem Need-to-know-Prinzip beschränkt.

Grouper wird angemessene technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, um Kundendaten gegen zufällige oder unrechtmäßige Zerstörung, Verlust, Veränderung, unbefugte Offenlegung oder unbefugten Zugriff zu schützen.

Die Mindestkontrollbereiche sind in Schedule 2 beschrieben. Grouper kann diese Maßnahmen aktualisieren, sofern die Änderungen das insgesamt gewährte Schutzniveau für Kundendaten nicht wesentlich mindern.

Grouper wird den Kunden so bald wie vernünftigerweise möglich und, sofern die 48-Stunden-Verpflichtung gilt, in keinem Fall später als 48 Stunden nach Kenntniserlangung über einen tatsächlichen oder vermuteten Sicherheitsvorfall, der Kundendaten betrifft, benachrichtigen.

Informationen können abschnittsweise bereitgestellt werden, sobald sie verfügbar sind. Grouper wird die angemessene Mitwirkung leisten, die der Kunde benötigt, um Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen zu erfüllen.

Der Kunde erteilt Grouper eine allgemeine schriftliche Genehmigung, zur Erbringung der Dienste erforderliche Unterauftragsverarbeiter zu beauftragen.

content.legal-document.record.content.811c9dc5

Grouper wird Informationen über Unterauftragsverarbeiter, die Kundendaten verarbeiten, vorhalten und angemessene Vorabinformationen über wesentliche Ergänzungen oder Ersetzungen bereitstellen.

Wenn die zugrunde liegende DPA von BambooHR gilt, gewährt BambooHR derzeit eine Vorankündigung von mindestens 30 Tagen für einen neuen Unterauftragnehmer, der Kundendaten verarbeiten wird.

Grouper wird schriftliche Datenschutzpflichten gegenüber Unterauftragsverarbeitern auferlegen, die den von dieser DPA geforderten Schutzmaßnahmen wesentlich gleichwertig sind. Grouper bleibt im gesetzlich erforderlichen Umfang für die Leistung von Unterauftragsverarbeitern verantwortlich.

Unter Berücksichtigung der Art der Verarbeitung wird Grouper angemessene Unterstützung leisten, damit der Kunde Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und andere geltende Rechte beantworten kann.

Erhält Grouper eine Anfrage direkt zu Kundendaten, wird Grouper den Kunden unverzüglich weiterleiten oder benachrichtigen und nicht inhaltlich antworten, außer auf dokumentierte Weisung oder wenn dies gesetzlich erforderlich ist.

Grouper wird unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessene Unterstützung bei Datenschutz-Folgenabschätzungen, der vorherigen Konsultation mit Aufsichtsbehörden sowie bei angemessenen Anfragen oder Untersuchungen einer zuständigen Aufsichtsbehörde in Bezug auf die Dienste leisten.

Grouper wird Informationen bereitstellen, die angemessen erforderlich sind, um die Einhaltung der geltenden Pflichten des Auftragsverarbeiters nachzuweisen; dies kann Sicherheitsdokumentation, Zertifizierungen, Prüfberichte und Zusammenfassungen umfassen.

Wenn solche Informationen unzureichend sind und nach geltendem Datenschutzrecht eine Prüfung erforderlich ist, kann der Kunde nach angemessener Frist eine Prüfung verlangen. Prüfungen sind in der Regel auf einmal innerhalb eines Zwölfmonatszeitraums beschränkt, es sei denn, ein Sicherheitsvorfall oder eine regulatorische Anforderung rechtfertigt eine häufigere Überprüfung. Der Kunde trägt seine eigenen Prüfungskosten, sofern das Gesetz oder die Vereinbarung nichts anderes vorsieht.

Grouper stellt sicher, dass eingeschränkte Übermittlungen von Kundendaten in Übereinstimmung mit geltendem Datenschutzrecht erfolgen. Wenn der Kunde den europäischen Datenspeicherungsdienst erwirbt, befindet sich die primäre Speicherung von Kundendaten in Irland/EEA über Amazon Web Services (AWS), aber autorisierter Remote-Zugriff außerhalb des EWR kann dennoch eine eingeschränkte Übermittlung darstellen und muss entsprechend geschützt werden.

Wenn ein Übermittlungsmechanismus unzulässig wird, arbeitet Grouper mit dem Kunden zusammen, um einen alternativen rechtmäßigen Mechanismus umzusetzen oder die betroffene Übermittlung auszusetzen.

Soweit gesetzlich zulässig, wird Grouper rechtlich bindende Anfragen öffentlicher Stellen nach Kundendaten prüfen, rechtswidrige oder unverhältnismäßige Anfragen bei berechtigtem Grund anfechten, die Offenlegung auf das gesetzlich erforderliche Minimum beschränken, den Kunden, wo rechtlich zulässig, benachrichtigen und angemessene Aufzeichnungen führen.

Auf Anfrage des Kunden oder bei Beendigung oder Ablauf der Dienste wird Grouper nach Wahl des Kunden und vorbehaltlich der technischen Machbarkeit sowie der Vereinbarung Kundendaten zurückgeben oder sicher löschen und die betreffenden Unterauftragsverarbeiter verpflichten, dasselbe zu tun. Soweit das Gesetz eine Aufbewahrung verlangt, wird Grouper die aufbewahrten Daten isolieren und schützen und sie nur gesetzlich erforderlich verarbeiten.

Der Kunde sichert zu, dass er über die für die Bereitstellung von Kundendaten zur Verarbeitung erforderlichen Rechte, Genehmigungen, Hinweise, rechtmäßigen Grundlagen und Einwilligungen verfügt; dass seine Weisungen dem geltenden Datenschutzrecht entsprechen; dass er keine rechtswidrige Verarbeitung anweisen wird; und dass er die Dienste sicher konfigurieren und nutzen sowie angemessene Kontrollen über Benutzerkonten, Zugangsdaten und Integrationen aufrechterhalten wird.

Die aus oder im Zusammenhang mit dieser DPA entstehende Haftung unterliegt den Beschränkungen und Ausschlüssen in der Vereinbarung, soweit dies nicht durch geltendes Datenschutzrecht oder zwingende SCC-Bestimmungen untersagt ist. Nichts in dieser DPA beschränkt Rechte von betroffenen Personen oder Aufsichtsbehörden, die rechtlich nicht beschränkt werden können.

Diese DPA wird wirksam, wenn der Kunde an sie gebunden wird, und gilt so lange, wie Grouper Kundendaten im Auftrag des Kunden verarbeitet. Verpflichtungen, die ihrer Natur nach oder gesetzlich während der Aufbewahrung der Daten fortgelten müssen, bleiben auch nach Ablauf oder Beendigung bestehen.

Grouper kann diese DPA bei angemessener Notwendigkeit aktualisieren, um Gesetze einzuhalten, neue Übermittlungsmechanismen umzusetzen, auf regulatorische Leitlinien zu reagieren oder Änderungen an Diensten oder Verarbeitung widerzuspiegeln. Kein Update wird den Schutz während einer aktiven Abonnementlaufzeit wesentlich verringern, es sei denn, dies ist gesetzlich vorgeschrieben oder ausdrücklich vereinbart.

Sofern geltendes Datenschutzrecht oder zwingende Übermittlungsbedingungen nichts anderes verlangen, unterliegt diese DPA dem für die Vereinbarung geltenden Recht.

Bei Widersprüchen in Bezug auf Kundendaten gilt die folgende Rangfolge: zwingendes anwendbares Datenschutzrecht; anwendbare SCCs, UK Addendum oder anderer zwingender Übermittlungsmechanismus; diese DPA; anwendbare datenschutzrechtliche Bestimmungen der Vereinbarung; und der Rest der Vereinbarung.

AnhängeEinzelheiten zu Verarbeitung, technischen Maßnahmen, Übermittlungsschutz, Unterauftragsverarbeitern und KI-Bedingungen

Verantwortlicher / Datenexporteur

Der in der geltenden Vereinbarung oder im Bestellformular genannte Kunde.

Auftragsverarbeiter / Datenimporteur

Grouper Technology Limited, 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.

Technologieanbieter

BambooHR LLC und anwendbare BambooHR-Gesellschaften, die die zugrunde liegende HRIS-Plattform bereitstellen.

Vertragsgegenstand

Bereitstellung, Implementierung, Konfiguration, Betrieb, Wartung, Hosting-Support, Sicherheit und Support von BambooHR-bezogenen HR-Informationssystemdiensten.

Art der Verarbeitung

Erhebung, Empfang, Aufzeichnung, Organisation, Strukturierung, Migration, Hosting, Speicherung, Abruf, Konsultation, Nutzung, Übermittlung, Bereitstellung, Einschränkung, Unterstützungszugriff, Löschung und andere für die Erbringung der Dienste angemessenerweise erforderliche Verarbeitung.

Zweck

Die Dienste gemäß den dokumentierten Anweisungen des Kunden und der Vereinbarung bereitzustellen, zu implementieren, zu betreiben, zu sichern, zu warten und zu unterstützen.

Dauer

Für die Dauer der Dienste und jeden nachfolgenden Zeitraum, der erforderlich ist, um Kundendaten zurückzugeben oder zu löschen oder gesetzliche Vorgaben einzuhalten.

Betroffene Personen

Mitarbeitende, ehemalige Mitarbeitende, potenzielle Mitarbeitende, Bewerber, Auftragnehmer, Berater, Zeitarbeitende, befristet und gelegentlich Beschäftigte, Praktikanten, Freiwillige, Referenzen, Angehörige, Begünstigte, Notfallkontakte, Kundenadministratoren und andere Personen, deren personenbezogene Daten vom Kunden oder in seinem Auftrag übermittelt werden.

Personenbezogene Daten

Identitäts-, Kontakt-, demografische, Beschäftigungs-, Rekrutierungs-, Qualifikations-, Organisations-, Vergütungs-, Gehaltsabrechnungs-, Steuer-, Sozialversicherungs-, Bank-, Renten-, Zusatzleistungs-, Anwesenheits-, Urlaubs-, Leistungs-, Schulungs-, Disziplinar-, Notfallkontakt-, Konto-, System- und zugehörige HR-Informationen.

Besondere Daten

Wenn vom Kunden ausgewählt, kann dies Gesundheits- und Behinderteninformationen sowie andere durch die Dienste zulässige besondere Kategorien oder sensible Daten umfassen.

Primäre europäische Speicherung

Irland / EWR über Amazon Web Services (AWS) für Kunden, die den europäischen Datenresidenzdienst erwerben.

Zuständige Aufsichtsbehörde

Wenn die DPC zuständig ist: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Irland.

Grouper unterhält technische und organisatorische Maßnahmen in den folgenden Mindestkontrollbereichen:

1. Informationssicherheits-Governance

Dokumentierte Sicherheitsverantwortlichkeiten, Risikobewertung, Governance, Aufsicht durch das Management und angemessene Richtlinien.

2. Personalsicherheit

Vertraulichkeitsverpflichtungen, rollenangemessene Überprüfungen, soweit rechtlich zulässig, Sicherheitsbewusstsein und Datenschutzschulungen sowie disziplinarische Maßnahmen bei unbefugtem Zugriff.

3. Physische Sicherheit

Eingeschränkter Zugang zu relevanten Einrichtungen und Infrastrukturen; kontrollierte Zugangswege; Zugangsberechtigungen; physische Überwachung und andere für die Hosting-Umgebung geeignete Schutzmaßnahmen.

4. Identitäts- und Zugriffsmanagement

Authentifizierung, rollenbasierter Zugriff, geringstes Privileg, Kontrollen für privilegierte Konten, Kontolebenszyklusverwaltung, Inaktivitäts-Timeout und regelmäßige Überprüfung.

5. Datenzugriffskontrolle

Kontrollen, die sicherstellen, dass autorisierte Nutzer nur auf Daten innerhalb ihrer Berechtigungen zugreifen können; Protokollierung und Überwachung des Zugriffs; Herausgabe von Daten nur an autorisierte Personen.

6. Verschlüsselung und Pseudonymisierung

Angemessene Verschlüsselung personenbezogener Daten bei der Übertragung und bei rest; Pseudonymisierung, soweit für den Verarbeitungszweck angemessen.

7. Netzwerk- und Übertragungssicherheit

Firewalls, geschützte Gateways, sichere Kommunikationskanäle, TLS/SFTP oder gleichwertige geschützte Übermittlungsmechanismen sowie Kontrollen gegen unbefugtes Abfangen oder Verändern.

8. Protokollierung und Überwachung

Protokollierung relevanter System-, Verwaltungs- und Zugriffsaktivitäten; Überwachung auf verdächtige Ereignisse; Aufbewahrung von Audit-Informationen entsprechend dem Risiko.

9. Eingabe- und Änderungssteuerung

Kontrollen zur Identifizierung, wer Daten eingegeben, geändert oder gelöscht hat; Authentifizierung autorisierter Nutzer und Systeme; dokumentierte Änderungsmanagementpraktiken.

10. Schwachstellen- und Sicherheitstests

Prozesse zur Identifizierung, Bewertung und Behebung von Schwachstellen; regelmäßige Penetrations- oder Sicherheitstests; regelmäßige Bewertung und Überprüfung der Wirksamkeit der Kontrollen.

11. Verfügbarkeit, Sicherung und Wiederherstellung

Infrastrukturredundanz, Sicherung, Wiederherstellungsfähigkeit, Verfügbarkeitskontrollen und Schutz vor versehentlichem Verlust oder Zerstörung.

12. Geschäftskontinuität und Notfallwiederherstellung

Dokumentierte Kontinuitäts- und Wiederherstellungspläne, die darauf ausgelegt sind, Verfügbarkeit und Zugriff nach einer Störung oder einem Sicherheitsvorfall zeitnah wiederherzustellen.

13. Datentrennung

Logische oder anwendungsebene Trennung zwischen Kunden und zwischen Verarbeitungszwecken; Kontrollen zur Verhinderung unbefugten kundenzentrierten Zugriffs.

14. Sichere Entwicklung

Sicherheitspraktiken, die für Softwareentwicklung, Tests, Freigabe und Änderungsmanagement angemessen sind.

15. Verwaltung von Unterauftragsverarbeitern

Sorgfaltspflicht, schriftliche Datenschutzverpflichtungen, Sicherheitsprüfung, Schutzmaßnahmen für Übermittlungen und laufende Überwachung, die der Verarbeitung angemessen sind.

16. Vorfallmanagement

Dokumentierte Verfahren zur Erkennung, Untersuchung, Eindämmung, Behebung, Eskalation, Kundenbenachrichtigung und zu gewonnenen Erkenntnissen.

Eingeschränkte EU-Übermittlungen

Soweit EU-SCCs erforderlich sind, werden die offiziellen SCCs der Europäischen Kommission durch Verweis einbezogen, ohne die zwingenden Formulierungen zu ändern. Sofern die Rollen nichts anderes erfordern, ist der Kunde der Datenexporteur, Grouper und/oder der jeweilige Technologieanbieter der Datenimporteur, und Modul Zwei gilt für Übermittlungen von Verantwortlichem an Auftragsverarbeiter.

Eingeschränkte UK-Übermittlungen

Schweizer Übermittlungen

Für Übermittlungen, die dem Schweizer Datenschutzrecht unterliegen, werden die SCCs nach dem anwendbaren Schweizer Recht ausgelegt und erforderlichenfalls angepasst, einschließlich geeigneter Verweise auf die Schweizer Aufsichtsbehörde und Schweizer betroffene Personen.

EU-US Data Privacy Framework

Wenn ein Empfänger in den USA ein teilnahmeberechtigter Teilnehmer am EU-US Data Privacy Framework ist und die Angemessenheitsentscheidung der Europäischen Kommission für die betreffende Verarbeitung weiterhin gültig bleibt, kann auf das Framework als Angemessenheitsmechanismus zurückgegriffen werden. Grouper stützt sich nicht auf die veralteten Rahmenwerke EU-US oder Swiss-US Privacy Shield.

Datenschutz-Folgenabschätzungen und ergänzende Maßnahmen

Soweit erforderlich, bewerten die Parteien die Umstände der Übermittlung, die Gesetze und Praktiken des Bestimmungslands, Weiterübermittlungen, Datenkategorien, den Speicherort, Übertragungskanäle und ergänzende technische, vertragliche oder organisatorische Schutzmaßnahmen. Übermittlungen werden ausgesetzt, wenn vernünftigerweise keine rechtmäßige und angemessene Schutzmaßnahme aufrechterhalten werden kann.

Ausnahmsweise Zugriffsszenarien für europäische Kunden

Autorisierter ausnahmsweiser Zugriff außerhalb des EWR kann nur in den folgenden Umständen erfolgen:

ein Notfall, der die irische Rechenzentrumsumgebung oder die Dienstkontinuität beeinträchtigt;
eine Support- oder Wartungsanfrage, die autorisierten Fachzugriff außerhalb des EWR erfordert, vorbehaltlich der jeweils geltenden Genehmigung des Kunden oder vertraglichen Autorisierung; und
eine verifizierte Anfrage des Kunden zur Verarbeitung oder zum Hosting außerhalb der europäischen Region.

Die konkret eingesetzten Anbieter variieren je nach Produkt, Funktion, Supportweg und Kundenkonfiguration. Das aktuelle von Grouper und/oder BambooHR gepflegte Live-Verzeichnis der Unterauftragsverarbeiter ist für die aktive Leistungserbringung maßgeblich.

Die folgenden wichtigen Anbieter sind in den maßgeblichen Servicematerialien benannt. Ein hier aufgeführter Anbieter verarbeitet nicht zwangsläufig Kundendaten für jeden Kunden oder jede Bereitstellung.

BambooHR LLC

Technologieanbieter; Wartung, Hosting und Support des HRIS. Standort: Vereinigte Staaten / Serviceregionen einschließlich Europa.

Amazon Web Services (AWS)

Primäre Cloud-Hosting-Infrastruktur; europäisches regionales Hosting in Irland. Standort: Irland / Europa und andere Regionen je nach Servicekonfiguration.

Anthropic / Claude

Verarbeitung mit KI / Sprachmodellen. Standort: Vereinigte Staaten.

Cohere

Sprachmodell-API / KI-Verarbeitung. Standort: Vereinigte Staaten.

OpenAI

Sprachmodell-API / KI-Verarbeitung. Standort: Vereinigte Staaten.

LlamaIndex / LlamaParse

Optionale Dokumentenverarbeitung im Zusammenhang mit KI-Funktionalität. Standort: Vereinigte Staaten.

Atlas MongoDB

Datenspeicherung zur Unterstützung ausgewählter Dienste / KI-bezogener Funktionalität. Standort: Vereinigte Staaten.

Gainsight

Kundenbeziehungs- / CRM-Dienstleistungen.

Salesforce

CRM-Plattform.

Cloudflare

Webanwendungs-Firewall / Sicherheit.

Datadog

Infrastruktur- und Anwendungsüberwachung.

Microsoft / Google Workspace

Zusammenarbeit, Kommunikation und Dokumentenspeicherung, abhängig von der aktuellen Konfiguration.

Mailgun

Anwendungskommunikation.

Snowflake

Datenanalyse.

Twilio

MFA / SMS-Zustellung.

Weitere Anbieter

Zu den in den aktuellen Servicematerialien identifizierten weiteren Anbietern können Celonis/Make, Databricks, Formstack, Jira, Netskope, Omni/Visier, Pendo, Rollbar, Slack, Tableau, OneTrust/TrustArc, Wrike und weitere gehören. Kunden sollten die aktuelle BambooHR-Liste der Unterauftragsverarbeiter und die aktuellen Subprozessor-Informationen von Grouper für die aktuellsten Details heranziehen.

1. Umfang

Dieser Anhang gilt, wenn der Kunde BambooHR-Funktionen für künstliche Intelligenz oder maschinelles Lernen in Verbindung mit von Grouper unterstützten Diensten aktiviert oder nutzt.

2. KI-Anbieter

Aktuelle Servicematerialien nennen KI-Anbieter, einschließlich OpenAI, Cohere und Anthropic/Claude, und können zusätzliche Anbieter wie LlamaIndex für optionales Dokumentenparsen nennen. Der aktive Anbieterbestand kann sich in Übereinstimmung mit den geltenden Benachrichtigungspflichten für Unterauftragsverarbeiter ändern.

3. Eingaben und Ausgaben

Vom Kunden bereitgestellte Eingabeaufforderungen, Anweisungen oder Daten, die an KI-Funktionen übermittelt werden, können „Eingaben“ darstellen, und erzeugte Antworten können „Ausgaben“ darstellen. Je nach Funktion können Eingaben oder Ausgaben Kundendaten enthalten. Ausgaben sind möglicherweise nicht einzigartig und können Ausgaben ähneln, die für andere Nutzer erzeugt werden.

4. Kundenverantwortlichkeiten und menschliche Aufsicht

Der Kunde ist dafür verantwortlich sicherzustellen, dass er über die Rechte, die rechtmäßige Grundlage, die Hinweise und die Einwilligungen verfügt, die erforderlich sind, um Eingaben zu übermitteln und Ausgaben zu verwenden. Der Kunde muss eine ausreichende menschliche Aufsicht umsetzen und Ausgaben vor ihrer Verwendung für beschäftigungsbezogene, rechtliche, finanzielle, sicherheitskritische oder ähnlich bedeutsame Entscheidungen unabhängig bewerten.

5. Beschränkungen für sensible und regulierte Daten

Sofern dies durch die geltenden KI-Bedingungen verboten ist, darf der Kunde keine sensiblen oder regulierten Informationen an KI-Funktionen übermitteln, einschließlich Gesundheits-, genetischer oder biometrischer Informationen, behördlich ausgestellter Identifikationsnummern oder persönlicher Finanz- oder Bankkontoinformationen. Kunden sollten personenbezogene Daten in Eingaben minimieren.

6. Genauigkeit, Verzerrung und Fairness

Generative KI hat bekannte und unbekannte Einschränkungen. Ausgaben können ungenau, unvollständig, unsicher, voreingenommen, unfair, beleidigend oder anderweitig ungeeignet sein. Kunden sind dafür verantwortlich, Ausgaben zu prüfen, auf relevante Risiken zu testen und unrechtmäßige Diskriminierung oder ausschließlich automatisierte Beschäftigungsentscheidungen zu vermeiden.

7. Modellverbesserung

Soweit die geltenden BambooHR-KI-Bedingungen die Nutzung von Leistungsdaten und Feedback zur Verbesserung von KI-Funktionen erlauben, unterliegt eine solche Nutzung diesen Bedingungen. Wenn Kundendaten verwendet werden, um ein kundenspezifisches Modell fein abzustimmen, wird das resultierende Modell verwendet, um diesem Kunden KI-Funktionen bereitzustellen, und andernfalls nicht zur Bereitstellung von Diensten für andere Kunden verwendet.

8. Internationale Verarbeitung

KI-Anbieter dürfen autorisierte Eingaben oder damit verbundene personenbezogene Daten außerhalb des EWR verarbeiten. Eine solche Verarbeitung unterliegt den Übertragungsschutzmaßnahmen in diesem DPA und verändert nicht den Standort der vom Kunden vertraglich gebundenen Kernspeicherregion des HRIS. Kunden sollten prüfen, ob die optionale KI-Nutzung mit ihren eigenen Anforderungen an Datenresidenz, Betriebsrat, Arbeitsrecht und Risiko vor der Aktivierung vereinbar ist.

Fragen zu dieser Datenschutzrichtlinie oder Ihren Datenschutzrechten?

Kontaktieren Sie uns