Datenschutzerklärung

CLIMB wird entwickelt von BeGOOD Solutions Ltd („wir“, „uns“), einem in England und Wales unter der Handelsregisternummer 16854996 eingetragenen Unternehmen mit Sitz in 128 City Road, London EC1V 2NX. Wir sind beim Information Commissioner’s Office (ICO) unter der Registrierungsnummer ZC286091 gemeldet.

Diese Datenschutzerklärung gilt für unsere Website (climb.begood.solutions), die CLIMB-App für Mitarbeitende, die CLIMB Coach-App für Inhabende und Führungskräfte, deren Webversionen im Browser sowie die dahinterstehenden Dienste. Bei Fragen zu Ihren Daten schreiben Sie bitte an privacy@begood.solutions.

Nach dem britischen Datenschutzrecht nehmen wir zwei unterschiedliche Rollen ein.

• Wir sind der Verantwortliche (Controller) für Informationen über Website-Besuchende, Personen, die uns kontaktieren, sowie für die Kontodaten, mit denen Sie sich bei CLIMB anmelden. Wir entscheiden, wie diese Daten genutzt werden, und erläutern dies in dieser Erklärung.
• Wir sind Auftragsverarbeiter (Processor) für die betrieblichen Daten, die ein Unternehmen über seine Mitarbeitenden in CLIMB eingibt, wie Personalakten und Anwesenheitszeiten. Das Unternehmen (Ihr Arbeitgeber, wenn Sie für einen CLIMB-Kunden arbeiten) ist der Verantwortliche: Es entscheidet, was warum erhoben wird, und wir verarbeiten diese Daten ausschließlich auf seine Weisung gemäß den Auftragsverarbeitungsbedingungen in unseren Nutzungsbedingungen.

Wenn Sie CLIMB über Ihren Arbeitgeber nutzen, gilt für Ihre Arbeitsplatzdaten die Datenschutzerklärung Ihres Arbeitgebers. Er ist Ihr erster Ansprechpartner für Fragen oder Anträge dazu. Wir unterstützen ihn bei der Beantwortung.

Wenn Sie unsere Website besuchen

Wir nutzen einen Analysedienst, um Seitenaufrufe zu zählen, zu sehen, welche Bereiche einer Seite angeklickt werden, Ladezeiten zu messen und Fehler auf der Website zu erkennen. Dieser Dienst verwendet keine Cookies, speichert nichts in Ihrem Browser, identifiziert Sie nicht und verfolgt Sie nicht über andere Websites hinweg. Er erfasst Angaben wie die besuchte Seite, Klickbereiche, die verweisende Website, Ihren Browser- und Gerätetyp sowie Ihr ungefähres Land. Wiederkehrende Besuche unterscheidet er anhand eines Codes aus IP-Adresse und Browser, der sich täglich ändert und nicht auf Sie zurückgeführt werden kann; die IP-Adresse selbst wird nicht gespeichert. Unser Hosting-Anbieter führt zudem kurzlebige Server-Protokolle einschließlich IP-Adressen, um die Sicherheit und den Betrieb der Website zu gewährleisten.

Wenn Sie ein Video abspielen

Unsere Website zeigt Produktvideos, die auf YouTube gehostet werden, einem Dienst von Google. Bevor Sie auf Abspielen drücken, wird nichts von YouTube geladen. Sobald Sie das tun, verbindet sich Ihr Browser mit dem erweiterten Datenschutzmodus von YouTube (youtube-nocookie.com). YouTube erhält Ihre IP-Adresse, Angaben zu Ihrem Browser und Gerät sowie die Seite, auf der Sie sich befanden, und kann Informationen in Ihrem Browser speichern, um das Video abzuspielen und zu messen, wie es angesehen wird. Google entscheidet als eigenständig Verantwortlicher nach seiner eigenen Datenschutzerklärung (policies.google.com/privacy), wie es diese Informationen verwendet, und verarbeitet sie möglicherweise in den USA.

Wenn Sie uns kontaktieren

Wenn Sie uns eine E-Mail schreiben – etwa um Early Access anzufragen –, erhalten wir Ihren Namen, Ihre E-Mail-Adresse und alle Angaben, die Sie uns über Ihr Unternehmen mitteilen.

Wenn Sie ein CLIMB-Konto haben

• Kontodaten: Ihr Name, Ihre E-Mail-Adresse und ob Sie diese bestätigt haben.
• Passwort: wird ausschließlich als Einweg-Hash gespeichert. Wir sehen oder speichern niemals das Passwort im Klartext.
• Zwei-Faktor-Authentifizierung: falls aktiviert (für Inhabende und Führungskräfte verpflichtend), der Schlüssel Ihrer Authenticator-App sowie Ihre Backup-Codes – beides verschlüsselt.
• Passkeys: falls Sie einen hinzufügen, dessen öffentlicher Schlüssel, ein Name dafür (z. B. „iPhone“) und ein Nutzungszähler. Ihr Fingerabdruck, Ihr Gesicht und Ihre PIN verlassen niemals Ihr Smartphone.
• Ihr Unternehmen und Ihre Rolle: welchen Unternehmen Sie angehören, Ihre jeweilige Rolle (Inhaber/in, Manager/in oder Mitarbeitende/r) sowie Einladungen, die Sie senden oder erhalten, einschließlich der E-Mail-Adresse der eingeladenen Person.
• Anmelde- und Sicherheitsprotokolle: aktive Sitzungen mit IP-Adresse und dem verwendeten Gerät oder Browser sowie kurzlebige Protokolle von Anmeldeversuchen nach IP-Adresse, um Passwort-Rateangriffe abzuwehren.

Arbeitsplatzdaten (verarbeitet für Ihren Arbeitgeber)

Je nachdem, welche Funktionen ein Unternehmen nutzt, kann dies Folgendes umfassen:

• Personalakten: Name, Personalnummer, Kontaktdaten und Adresse.
• Anwesenheit: Ein- und Ausstempelzeiten, welcher betriebliche Tag an welchem Standort angetippt wurde, geleistete Arbeitsstunden sowie fehlgeschlagene oder abgelehnte Scans samt Smartphone-Betriebssystem (iOS oder Android).
• Einen Änderungsverlauf darüber, wer wann eine Personalakte oder einen Anwesenheitseintrag geändert hat und was geändert wurde. Sensible Werte werden in diesem Verlauf ausgeblendet.

Benachrichtigungen

Wenn Sie sich in einer CLIMB-App anmelden, registriert diese Ihr Smartphone bei unserem Push-Benachrichtigungsdienst und verknüpft es mit Ihrer CLIMB-Nutzer-ID, damit Hinweise wie eine neue Einladung die richtige Person erreichen. Der Dienst erhält eine Kennung für die App auf Ihrem Smartphone sowie grundlegende Gerätedaten wie Modell, Betriebssystem und Sprache. Dies geschieht unabhängig davon, ob Sie Benachrichtigungen zulassen; beim Abmelden wird die Verknüpfung entfernt. Benachrichtigungen werden nur angezeigt, wenn Sie ihnen zustimmen, und lassen sich jederzeit in den Geräteeinstellungen deaktivieren.

Wie Sie CLIMB nutzen

Wir erfassen, welche Bildschirme Sie in den Apps öffnen und welche wichtigen Aktionen Sie in CLIMB ausführen: Konto erstellen, E-Mail bestätigen, Unternehmen anlegen, Personen einladen oder Einladungen annehmen, ein- oder ausstempeln sowie NFC-Tags registrieren. Jedes Ereignis wird mit Ihrer CLIMB-Nutzer-ID, Ihrem Unternehmen und – sofern relevant – Ihrer Rolle oder der Art des Einstempelns (Button oder Tag) verknüpft, niemals jedoch mit Ihrem Namen, Ihrer E-Mail-Adresse oder Ihren Texteingaben. Unsere Server protokollieren die Kernaktionen, die Apps die Bildschirmaufrufe. Bei unseren eigenen Mitarbeitenden werden diese Einträge als intern markiert, damit sie unsere Statistiken nicht verfälschen. So erkennen wir, welche Funktionen genutzt werden und wo Probleme auftreten.

Sie können dies deaktivieren: über „App-Nutzungsdaten teilen“ unter „Konto“ (bzw. „Einstellungen“ in CLIMB Coach). Ihre Auswahl wird in Ihrem Konto gespeichert und gilt damit auf jedem Gerät sowie für unsere Serverprotokolle. Absturzberichte werden in jedem Fall gesendet: was schiefgelaufen ist, Smartphone-Modell, Betriebssystem- und App-Version sowie Ihre CLIMB-Nutzer-ID.

Was wir nicht erheben

CLIMB erfasst Ihren Standort nicht. Beim Einstempeln wird gespeichert, welchen Tag Ihres Betriebs Sie angetippt haben, nicht wo sich Ihr Smartphone befindet. Sollten wir künftig optionale Standortprüfungen einführen, aktualisieren wir vorab diese Erklärung; Unternehmen, die diese aktivieren, müssen ihre Mitarbeitenden klar darüber informieren, wann und warum der Standort genutzt wird. Wir fragen keine besonderen Kategorien personenbezogener Daten wie Gesundheitsdaten ab – bitte geben Sie solche Daten nicht in CLIMB ein.

• Zur Bereitstellung von CLIMB: Erstellen und Betreiben Ihres Kontos, Beitritt zu Ihrem Unternehmen und Nutzung der Ihrer Rolle entsprechenden Funktionen. Rechtsgrundlage: Vertragserfüllung.
• Zum Versand von Service-E-Mails: E-Mail-Bestätigung, Passwortzurücksetzung und Einladungen. Diese sind Teil des Dienstes und können während des Bestehens Ihres Kontos nicht abbestellt werden. Rechtsgrundlage: Vertragserfüllung.
• Zum Versand von Push-Benachrichtigungen: Registrierung Ihres Smartphones bei unserem Benachrichtigungsdienst beim Anmelden, damit Hinweise zuverlässig zugestellt werden. Rechtsgrundlage: berechtigtes Interesse an einer zuverlässigen Zustellung von Systemhinweisen. Angezeigt werden Benachrichtigungen nur nach Ihrer Freigabe am Gerät. Rechtsgrundlage: Einwilligung, die Sie jederzeit in den Smartphone-Einstellungen widerrufen können.
• Zur Sicherheit von CLIMB: Schutz vor Betrug, Missbrauch und unbefugtem Zugriff, einschließlich Rate-Limiting nach IP-Adresse. Rechtsgrundlage: berechtigtes Interesse am Schutz unserer Nutzenden und Dienste.
• Zur Beantwortung von Anfragen und Durchführung des Early Access. Rechtsgrundlage: berechtigtes Interesse, Personen zu antworten, die uns kontaktieren.
• Zum Verstehen und Verbessern unserer Website und Apps mithilfe von Website-Analysen und App-Nutzungsdaten (deaktivierbar). Rechtsgrundlage: berechtigtes Interesse an der Verbesserung unseres Angebots.
• Zum Anzeigen von Produktvideos auf Ihren Wunsch: Ein Video auf unserer Website wird erst von YouTube geladen, wenn Sie auf Abspielen drücken. Rechtsgrundlage: Einwilligung, die Sie durch das Drücken auf Abspielen erteilen. Sie können sie widerrufen, indem Sie keine Videos abspielen und die Daten von YouTube in Ihrem Browser löschen.
• Zur Erfüllung gesetzlicher Pflichten, etwa zur Aufbewahrung von Nachweisen oder zur Beantwortung rechtmäßiger behördlicher Anfragen. Rechtsgrundlage: rechtliche Verpflichtung.

Wir verkaufen keine personenbezogenen Daten, nutzen sie nicht für Werbung und versenden Marketing-E-Mails nur, wenn Sie ausdrücklich darum gebeten haben. CLIMB trifft keine automatisierten Entscheidungen über Personen, die rechtliche oder ähnlich erhebliche Auswirkungen haben.

Für den Betrieb von CLIMB setzen wir Dienstleister (Unterauftragsverarbeiter) der folgenden Kategorien ein. Diese dürfen personenbezogene Daten ausschließlich zur Erbringung ihrer Leistung für uns und auf Basis schriftlicher Datenschutzvereinbarungen nutzen. Schreiben Sie an privacy@begood.solutions, wenn Sie wissen möchten, welche Anbieter wir aktuell einsetzen.

• Hosting-Anbieter: betreiben unsere Website und Dienste, leiten Anfragen von den Webversionen der Apps an unsere Server weiter und speichern kurzlebige Server-Protokolle einschließlich IP-Adressen.
• Ein Datenbank-Anbieter: speichert CLIMB-Daten in einem Rechenzentrum im Vereinigten Königreich oder in der EU.
• Ein E-Mail-Versanddienstleister: stellt unsere Service-E-Mails zu.
• Ein Analyse- und Monitoring-Anbieter (EU-Rechenzentrum): speichert unsere Dienstprotokolle (wie Anmeldungen, blockierte Anfragen und Fehler mit Ihrer CLIMB-Nutzer-ID und IP-Adresse), Fehler- und Absturzberichte mit Ihrer CLIMB-Nutzer-ID, App-Nutzungsdaten sowie unsere Website-Analysen, damit wir Angriffe erkennen, Fehler beheben und CLIMB verbessern können – niemals jedoch Passwörter, Zwei-Faktor-Codes oder Nachrichteninhalte.
• Ein Push-Benachrichtigungsdienst: sendet Push-Mitteilungen an die CLIMB-Apps.
• Plattformanbieter für Mobilgeräte: stellen Benachrichtigungen auf Smartphones zu und vertreiben die Apps über ihre App Stores.
• Unser Bereitstellungsunternehmen in Sri Lanka: unterstützt bei der Bereitstellung von CLIMB und verarbeitet personenbezogene Daten ausschließlich nach unserer Weisung.

Innerhalb eines Unternehmens sehen Personen CLIMB-Daten entsprechend ihrer Rolle: Führungskräfte sehen beispielsweise die Anwesenheit ihres Teams, Mitarbeitende ihre eigene. Darüber hinaus können wir Daten an professionelle Berater, bei gesetzlicher Pflicht an Behörden oder im Falle eines Unternehmensverkaufs an einen Erwerber weitergeben (wobei diese Datenschutzerklärung weiterhin gilt).

Wenn Sie ein Video auf unserer Website abspielen, erhält YouTube (Google) die unter „Wenn Sie ein Video abspielen“ beschriebenen Informationen direkt von Ihrem Browser – als eigenständig Verantwortlicher, nicht als einer unserer Dienstleister.

Wir speichern die Daten von CLIMB im Vereinigten Königreich oder im Europäischen Wirtschaftsraum. Einige Dienstleister haben ihren Sitz in den USA oder greifen von dort aus auf Daten zu, und unser Unternehmen in Sri Lanka kann von Sri Lanka aus auf personenbezogene Daten zugreifen. Wenn personenbezogene Daten das Vereinigte Königreich verlassen, stellen wir sicher, dass sie durch einen Angemessenheitsbeschluss (wie die UK Extension zum EU-US Data Privacy Framework) oder durch das UK International Data Transfer Agreement bzw. Addendum geschützt sind. Schreiben Sie uns gerne für nähere Informationen zu diesen Garantien.

• Anmeldesitzungen für Inhabende und Führungskräfte enden nach 30 Minuten Inaktivität und spätestens 12 Stunden nach der Anmeldung; für Mitarbeitende gelten sie in der Smartphone-App bis zu 30 Tage. Im Webbrowser enden die Sitzungen für alle nach 30 Minuten Inaktivität und spätestens nach 12 Stunden. Sie enden sofort, wenn Sie sich abmelden, Ihr Passwort zurücksetzen, Zwei-Faktor-Einstellungen ändern oder sich Ihre Rolle ändert. Protokolle über Anmeldeversuche sowie Links zur E-Mail-Bestätigung und Passwortzurücksetzung laufen innerhalb weniger Stunden ab. Dienstprotokolle werden 14 Tage lang aufbewahrt, Protokolle über Sicherheitsereignisse (wie Anmeldungen und blockierte Anfragen) 90 Tage lang. App-Nutzungsdaten und Absturzberichte werden bis zu einem Jahr gespeichert.
• Kontodaten werden gespeichert, solange Ihr Konto besteht, und innerhalb von 90 Tagen nach Schließung gelöscht oder anonymisiert.
• Arbeitsplatzdaten werden so lange aufbewahrt, wie das Unternehmen CLIMB nutzt oder wie es dessen Weisungen vorsehen. Wenn ein Unternehmen CLIMB verlässt, kann es seine Daten 30 Tage lang exportieren; wir löschen sie innerhalb von 90 Tagen nach Kontoschließung. Die Unternehmen bleiben selbst dafür verantwortlich, gesetzlich vorgeschriebene Unterlagen wie Lohnabrechnungen aufzubewahren.
• Anfragen werden bis zu 2 Jahre nach unserem letzten Kontakt aufbewahrt, sofern daraus keine Kundenbeziehung entsteht.

• Daten werden bei der Übertragung zwischen den Apps und unseren Servern verschlüsselt.
• Passwörter werden ausschließlich als starke Einweg-Hashes gespeichert und müssen mindestens 12 Zeichen lang sein. Neue Passwörter werden gegen eine öffentliche Liste bekannter Datenlecks geprüft: Dabei werden nur die ersten fünf Zeichen eines Passwort-Hashes an den Prüfdienst übermittelt, niemals das Passwort selbst.
• Inhabende und Führungskräfte müssen eine Zwei-Faktor-Authentifizierung nutzen und ihre Identität erneut bestätigen (per Code oder Passkey), bevor sie Datensätze löschen, Schichten stornieren, Tags ändern oder Rollen anpassen.
• Die Apps sperren sich bei Inaktivität automatisch (Climb nach 30 Minuten, Climb Coach nach 2 Minuten) und lassen sich per Gesichtserkennung, Fingerabdruck oder Gerätecode entsperren. Diese Prüfung erfolgt auf Ihrem Smartphone; wir erhalten niemals biometrische Daten. Im Webbrowser melden die Apps Sie nach 15 Minuten Inaktivität ab.
• Die Anmeldung ist durch E-Mail-Verifizierung und Rate-Limiting geschützt. Die Apps bewahren Ihre Sitzung im sicheren Speicher Ihres Smartphones auf; im Browser wird ein sicheres Cookie verwendet, das weder vom Seitencode ausgelesen noch von fremden Websites gesendet werden kann.
• Der Zugriff ist rollenbasiert beschränkt, und Änderungen an Personaldaten und Anwesenheiten werden protokolliert.
• Unsere Hosting-Anbieter verschlüsseln gespeicherte Daten.

Kein System ist vollkommen sicher. Sollte eine Datenschutzverletzung Ihre personenbezogenen Daten betreffen und Ihre Rechte gefährden, informieren wir Sie (bzw. das Unternehmen, für das wir die Daten verarbeiten) sowie das Information Commissioner’s Office wie gesetzlich vorgeschrieben.

Nach dem britischen Datenschutzrecht können Sie von uns verlangen:

• Ihnen eine Kopie Ihrer personenbezogenen Daten zur Verfügung zu stellen;
• unrichtige oder unvollständige Daten zu berichtigen;
• Ihre Daten zu löschen oder deren Verarbeitung einzuschränken;
• die Verarbeitung einzustellen, soweit wir uns auf berechtigte Interessen stützen;
• Ihre Daten in einem übertragbaren Format an Sie oder einen anderen Anbieter zu übermitteln.

Soweit wir Daten auf Grundlage Ihrer Einwilligung verarbeiten, können Sie diese jederzeit widerrufen. Um eines dieser Rechte auszuüben, schreiben Sie an privacy@begood.solutions. Wir antworten innerhalb eines Monats. Bei Arbeitsplatzdaten wenden Sie sich bitte zuerst an Ihren Arbeitgeber: Er ist für diese Daten verantwortlich, und wir unterstützen ihn bei der Bearbeitung.

Wenn Sie mit unserem Umgang mit Ihren Daten unzufrieden sind, teilen Sie uns dies bitte zuerst mit, damit wir Abhilfe schaffen können. Sie haben außerdem das Recht, sich beim Information Commissioner’s Office unter ico.org.uk oder telefonisch unter +44 303 123 1113 zu beschweren.

Unsere Website setzt keine Cookies und speichert nichts zu Analyse- oder Werbezwecken in Ihrem Browser – daher gibt es auch kein Cookie-Banner zum Akzeptieren oder Ablehnen. Zwei Dinge werden nur auf Ihren Wunsch gespeichert. Wenn Sie mit dem Schalter oben auf der Seite den hellen oder dunklen Modus wählen, merkt sich Ihr Browser diese Wahl (in seinem lokalen Speicher, als „climb-theme“), damit die Website Ihre Einstellung beibehält; sie verlässt Ihr Gerät nie und wird entfernt, wenn Sie erneut wählen oder die Browserdaten für unsere Website löschen. Wenn Sie ein Video abspielen, kann YouTube Informationen in Ihrem Browser speichern, wie unter „Wenn Sie ein Video abspielen“ beschrieben. Die CLIMB-Apps speichern ein Anmelde-Token im sicheren Speicher Ihres Smartphones, damit Sie angemeldet bleiben; dies ist für die Funktion der Apps zwingend erforderlich. Zudem speichern sie eine Kennung für Nutzungsdaten und Absturzberichte sowie Ihre Einstellung zur Freigabe von Nutzungsdaten, damit diese schon vor der Anmeldung greift. Die Webversionen der Apps tun dasselbe in Ihrem Browser: ein technisch notwendiges Anmelde-Cookie sowie im Browserspeicher den Zeitpunkt Ihrer letzten Aktivität (für die automatische Abmeldung bei Inaktivität), die Nutzungsdaten-Kennung und Ihre Auswahl.

Unsere Website und Dienste richten sich an Unternehmen und nicht an Kinder. Beschäftigt ein Unternehmen jugendliche Mitarbeitende, ist es selbst dafür verantwortlich, CLIMB rechtmäßig und altersgerecht einzusetzen.

Wir aktualisieren diese Erklärung, wenn sich CLIMB oder die Rechtslage ändert, und passen das Datum oben auf der Seite entsprechend an. Bei wesentlichen Änderungen informieren wir Kontoinhabende vorab per E-Mail oder direkt in den Apps.

Fragen oder Anliegen zum Datenschutz richten Sie bitte an privacy@begood.solutions oder postalisch an BeGOOD Solutions Ltd, 128 City Road, London EC1V 2NX.