Datenschutzrichtlinie

1. Einleitung

Diese Datenschutzrichtlinie erläutert, wie Optimas Organisasjonspsykologi AS ("Optimas", "wir") personenbezogene Daten über die OnlineJTI-Plattform erhebt und nutzt. Sie gilt für Practitioners, Respondenten und Besucher von onlinejti.com.

Wir verarbeiten personenbezogene Daten gemäß der Verordnung (EU) 2016/679 (DSGVO), dem norwegischen Personopplysningsloven und den anwendbaren nationalen Vorschriften im EWR. Unsere interne Datenschutzrichtlinie (DPP-001) führt die technischen und organisatorischen Maßnahmen aus, die hinter dieser Richtlinie stehen, und ist auf Anfrage erhältlich.

Wenn Sie eine Kurzfassung möchten: Wir erheben, was zur Bereitstellung des Assessments und der Berichte erforderlich ist; wir hosten die Daten in Deutschland; wir geben Daten nur an die in Abschnitt 8 genannten Unterauftragsverarbeiter weiter; Sie können Ihre personenbezogenen Daten jederzeit exportieren und löschen lassen.

2. Unsere Rolle: Verantwortlicher und Auftragsverarbeiter

OnlineJTI hat zwei verschiedene Nutzertypen, und unsere Rolle nach DSGVO hängt vom Datentyp ab:

• Assessment-Daten der Respondenten: Die Organisation der Practitioner ist Verantwortlicher. Optimas verarbeitet die Daten im Auftrag der Practitioner als Auftragsverarbeiter unter einer Auftragsverarbeitungsvereinbarung.
• Practitioner-Konten, Abrechnung, Plattformtelemetrie: Optimas ist Verantwortlicher.
• Öffentliche Website und Marketingkommunikation: Optimas ist Verantwortlicher.

Wenn Sie Respondent sind und Rechte hinsichtlich Ihrer Assessment-Daten ausüben möchten (zum Beispiel Auskunft oder Löschung), wenden Sie sich bitte zuerst an Ihre Practitioner; Sie können uns auch direkt unter den Kontaktangaben in Abschnitt 18 erreichen, und wir leiten die Anfrage entsprechend weiter.

3. Welche personenbezogenen Daten wir erheben

Was wir erheben, hängt davon ab, wie Sie den Dienst nutzen.

Von Practitioners

• Name, E-Mail-Adresse, Telefonnummer (optional), bevorzugte Sprache, Profilbild (optional);
• die Organisation, der Distributor und das Team, dem Sie angehören, sowie Ihre Rolle darin;
• JTI-Zertifizierungsstatus;
• Anmeldedaten (Passwort als gesalzener bcrypt-Hash gespeichert) und Authentifizierungstoken;
• Guthabenstand, Kaufhistorie und Rechnungen;
• Freitext-Notizen, Teamkontext-Informationen und Chatnachrichten, die Sie an KI-Funktionen senden;
• Protokolle Ihrer Aktivitäten in der Plattform, IP-Adresse und Browser-Metadaten zur Sicherheit und Missbrauchsprävention;
• Mitteilungen, die Sie uns per E-Mail, In-App-Nachricht oder Supportanfrage senden.

Von Respondenten

• Name, E-Mail-Adresse und (optional) Alter, Geschlecht, Beruf, Bildungsabschluss, Sprache;
• Ihre 56 Antworten auf den JTI-Fragebogen (jeweils als A oder B gespeichert), den errechneten Persönlichkeitstyp und die acht Dimensionswerte (E/I, S/N, T/F, J/P);
• den Zeitpunkt des Abschlusses des Assessments und den letzten Zugriff auf Ihren Datensatz;
• Reflexionsantworten, Tagebucheinträge oder Chatnachrichten, die Sie an KI-Funktionen in Kurs- oder Coaching-Modulen senden;
• etwaige Teamzuordnung durch Ihre Practitioner;
• Zustellnachweise von E-Mails oder SMS, die wir Ihnen senden (ohne Inhalt nach Zustellung).

Von Besucherinnen und Besuchern von onlinejti.com

• notwendige Cookies für Sitzung, Sicherheit und Spracheinstellung (siehe unsere Cookie-Richtlinie);
• Server-Protokolle (IP, Browser, Verweisseite) für den Zeitraum, der für den sicheren Betrieb der Website nötig ist.

Wir erheben keine besonderen Kategorien personenbezogener Daten (z. B. Gesundheit, Religion, politische Meinungen) im Sinne von Art. 9 DSGVO. JTI-Persönlichkeitsergebnisse sind keine Art. 9-Daten, wir behandeln sie aber als sensibel und beschränken den Zugriff entsprechend.

4. Wie wir personenbezogene Daten verwenden

Wir verwenden personenbezogene Daten, um:

• den Dienst bereitzustellen: Respondenten einzuladen, das Assessment auszuwerten, Berichte zu erzeugen, Kurs- und Coaching-Inhalte bereitzustellen;
• Practitioner-Konten, Guthaben und Rechnungen zu verwalten;
• mit Ihnen über Assessments, Berichte, Kontoänderungen und Sicherheitsmitteilungen zu kommunizieren;
• KI-Funktionen (Typ-Erkenntnisse, Teamanalyse, Course Coach) zu betreiben, indem die nötigen Eingaben gemäß Abschnitt 7 an unsere KI-Unterauftragsverarbeiter gesendet werden;
• den Dienst gegen Betrug, Missbrauch, Kontoübernahmen und unverhältnismäßige Belastung abzusichern;
• den Dienst durch aggregierte und anonymisierte Statistiken zu verbessern;
• rechtliche Verpflichtungen einschließlich Steuern, Buchhaltung und Vorfallmeldungen zu erfüllen;
• Marketing-E-Mails an Practitioners zu senden, die zugestimmt haben (Respondenten erhalten kein Marketing).

5. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen (Art. 6 DSGVO):

• Vertragserfüllung (Art. 6 Abs. 1 lit. b) zur Bereitstellung des Dienstes für Practitioners und für Respondenten, die eine Einladung angenommen haben;
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f) für Sicherheit, Betrugsprävention, Missbrauchsprävention, interne Verwaltung und aggregierte Produktverbesserung; wir haben dieses Interesse mit Ihren Rechten abgewogen und halten die Verarbeitung für notwendig und verhältnismäßig;
• Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c) wie Buchhaltung, Steuern und Vorfallmeldung;
• Einwilligung (Art. 6 Abs. 1 lit. a) für Marketingkommunikation und alle optionalen Funktionen, die ausdrücklich Einwilligung erfordern. Sie können Ihre Einwilligung jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

6. Sensible Daten

JTI-Ergebnisse beschreiben psychologische Präferenzen und sind keine Gesundheitsdaten oder andere besondere Kategorien gemäß Art. 9 DSGVO. Wir behandeln sie dennoch als sensibel: Der Zugriff ist auf Ihre Practitioner und die wenigen Optimas-Mitarbeitenden beschränkt, die Zugriff zu Support- und Sicherheitszwecken benötigen; wir wenden die in dieser Richtlinie beschriebenen Grundsätze von Datenminimierung, Speicherbegrenzung und Sicherheit an.

7. KI-Funktionen und an KI-Anbieter übermittelte Daten

OnlineJTI nutzt Anthropic (Claude), OpenAI und Groq, um Texte für Typ-Erkenntnisse, Teamanalyse und Course Coach zu erzeugen. Wir nutzen diese Anbieter unter unterzeichneten Auftragsverarbeitungsvereinbarungen, die die EU-Standardvertragsklauseln für Übermittlungen außerhalb des EWR enthalten, und weisen jeden Anbieter an, Eingaben nicht zu speichern und nicht zum Training seiner Modelle zu verwenden.

Bevor Daten unser Backend verlassen, werden echte Namen durch sitzungsstabile Codenamen wie „Member42“ ersetzt. Der Codename hat nur innerhalb Ihrer aktuellen Sitzung Bedeutung und wird auf unserer Seite zum echten Namen zurückgeführt, bevor Ihnen etwas angezeigt wird. Der KI-Anbieter erhält daher nur das Mindestmaß an Informationen, das für die Analyse erforderlich ist — typischerweise einen Typcode und einen Codenamen — und sieht nie die echte Person dahinter. Direkte Identifikatoren wie E-Mail-Adressen sowie demografische Angaben wie Geschlecht, Alter und Beruf werden vollständig aus den an die KI gesendeten Daten entfernt.

Was wir an KI-Anbieter übermitteln (je nach genutzter Funktion):

• Ihren Persönlichkeitstyp und die Dimensionswerte;
• sitzungsstabile Codenamen wie „Member42“ für die besprochenen Teammitglieder oder Respondenten (niemals deren echte Namen);
• Freitext-Inhalte, die Sie eingeben, etwa Notizen, Teamkontext, Reflexionsantworten und Chatnachrichten;
• Kurs- und Modulkontext, der zur Beantwortung Ihrer Frage nötig ist.

Was wir nicht übermitteln:

• echte Namen von Practitioners, Respondenten oder Teammitgliedern — diese werden vor der Übertragung durch sitzungsstabile Codenamen ersetzt;
• demografische Angaben zu Respondenten wie Geschlecht, Alter oder Beruf;
• E-Mail-Adressen, Telefonnummern oder Postanschriften;
• Passwörter, Authentifizierungstoken oder Zahlungsdaten;
• Ihre vollständige Liste der 56 Rohantworten;
• Personalausweis-, Steuer- oder andere nationale Identifikationsnummern.

Alle KI-Aufrufe erfolgen Server-zu-Server aus unserem Backend; KI-Schlüssel sind nicht im Browser sichtbar. Konversations- und Analyseverläufe werden in unserer eigenen Datenbank gespeichert, solange Ihr Konto aktiv ist oder bis Sie eine Sitzung löschen, je nachdem, was zuerst eintritt.

KI-Funktionen treffen keine automatisierten Entscheidungen mit Rechtswirkung oder ähnlich erheblichen Auswirkungen auf Sie im Sinne von Art. 22 DSGVO. Eine qualifizierte Practitioner bleibt bei jeder auf KI-Ausgaben gestützten Entscheidung im Loop.

8. Unterauftragsverarbeiter

Wir setzen folgende Unterauftragsverarbeiter zum Betrieb des Dienstes ein. Jeder ist durch eine schriftliche Vereinbarung mit DSGVO-konformen Bedingungen gebunden.

Wir prüfen jeden Unterauftragsverarbeiter vor dem Einsatz auf Eignung. Die aktuelle Liste ist auch in unserer internen Datenschutzrichtlinie veröffentlicht. Wesentliche Änderungen kündigen wir Practitioners mit angemessenem Vorlauf an.

9. Internationale Datenübermittlungen

Die primäre Verarbeitung findet innerhalb des EWR statt (Hetzner, Deutschland). Einige Unterauftragsverarbeiter sitzen in den USA. Für solche Übermittlungen stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission (SCCs), die Bestandteil der jeweiligen Auftragsverarbeitungsvereinbarung sind, ergänzt durch zusätzliche technische Maßnahmen wie Verschlüsselung in Transit und at Rest, soweit erforderlich.

Sie können eine Kopie der geltenden SCCs für einen bestimmten Unterauftragsverarbeiter unter privacy@onlinejti.com anfordern.

10. Aufbewahrung und Anonymisierung

Wir bewahren personenbezogene Daten nur so lange auf, wie es für die in dieser Richtlinie genannten Zwecke erforderlich ist.

Wir setzen eine automatisierte, inaktivitätsbasierte Anonymisierung der Assessment-Daten von Respondenten ein. Vor jeder automatischen Anonymisierung gilt eine Mindest-Sicherheitsfrist von 90 Tagen. Respondenten und Practitioners erhalten vor einer geplanten Anonymisierung eine Warnmail und können diese über einen signierten Link aufschieben.

Sie können auch jederzeit die sofortige Löschung Ihrer Assessment-Daten verlangen, siehe Abschnitt 14.

11. Weitergabe von Daten

Wir geben personenbezogene Daten ausschließlich weiter:

• an die Organisation der Practitioner, die eine Respondent eingeladen hat, sowie an Teammitglieder, die im Auftrag der Practitioner in einen Teambericht aufgenommen wurden;
• an die in Abschnitt 8 genannten Unterauftragsverarbeiter, nur soweit zum Betrieb des Dienstes notwendig;
• an professionelle Berater (Wirtschaftsprüfer, Anwältinnen, Versicherer) unter Verschwiegenheit, nur soweit unbedingt erforderlich;
• soweit gesetzlich oder per Gerichtsbeschluss bzw. Anordnung einer zuständigen Behörde erforderlich, nach Prüfung der Anfrage;
• im Zusammenhang mit einer Unternehmenstransaktion (z. B. Fusion oder Übernahme); betroffene Nutzer werden vorab informiert.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für Werbung Dritter weiter.

12. Cookies und lokaler Speicher

Wir verwenden ausschließlich Cookies und Browser-Speicher, die für den Betrieb des Dienstes notwendig sind: Sitzung, Sicherheit (CSRF), Sprach- und Themen-Voreinstellungen und eine Warenkorb-ID für Practitioners.

Wir setzen derzeit keine Drittanbieter-Cookies für Werbung oder Verhaltensanalyse ein. Sollten wir einwilligungspflichtige Analysefunktionen hinzufügen, werden wir vorab ein Einwilligungsbanner einblenden.

Vollständige Informationen, einschließlich der Verwaltung von Cookies in Ihrem Browser, finden Sie in unserer Cookie-Richtlinie unter /about/cookies.

13. Marketingkommunikation

Marketing-E-Mails senden wir nur an Practitioners, die ihre Einwilligung erteilt haben. Jede Marketing-E-Mail enthält einen Abmeldelink, und Sie können Ihre Einwilligung auch über privacy@onlinejti.com widerrufen.

Respondenten erhalten keine Marketingkommunikation. Service-E-Mails (z. B. Einladungen und Ergebnisbenachrichtigungen) werden auf Grundlage der Vertragsdurchführung versendet und können nicht abbestellt werden, solange ein aktiver Assessment-Datensatz besteht.

14. Ihre Rechte

Nach der DSGVO stehen Ihnen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten zu. Wir beantworten verifizierte Anfragen innerhalb von 30 Tagen.

• Auskunftsrecht (Art. 15) — Bestätigung der Verarbeitung und Kopie Ihrer personenbezogenen Daten.
• Recht auf Berichtigung (Art. 16) — Korrektur unrichtiger oder unvollständiger Daten. Die Antworten des Assessments selbst können nach Abschluss nicht geändert werden (das ist eine Datenintegritätsanforderung der JTI-Methodik); umliegende Identitätsdaten kann Ihre Practitioner berichtigen.
• Recht auf Löschung (Art. 17) — Löschung Ihrer personenbezogenen Daten verlangen. Wir setzen dies durch Anonymisierung um, bei der identifizierende Felder entfernt werden, während Typ und Werte in nicht identifizierbarer Form für aggregierte Statistiken erhalten bleiben.
• Recht auf Einschränkung der Verarbeitung (Art. 18) — Pausieren der Verarbeitung in näher bestimmten Fällen.
• Recht auf Datenübertragbarkeit (Art. 20) — Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten. Respondenten können auf der Kontoseite einen JSON-Export selbst durchführen.
• Widerspruchsrecht (Art. 21) — Widerspruch gegen die Verarbeitung auf Grundlage berechtigter Interessen, einschließlich Profiling.
• Widerruf der Einwilligung — jederzeit und ohne Auswirkung auf die Rechtmäßigkeit bisheriger Verarbeitung.
• Recht, keiner ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu sein (Art. 22) — solche Entscheidungen treffen wir nicht.

Selbstbedienung

Respondenten können ihre Daten exportieren und sofortige Löschung über den Datenschutzbereich der Kontoseite (/account) verlangen. Die Löschung erfolgt durch den AnonymizationService und ist unwiderruflich.

So üben Sie Ihre Rechte aus

Für Daten zu einem Assessment wenden Sie sich bitte zuerst an Ihre Practitioner; sie ist Verantwortlicher. Sie können uns auch direkt unter privacy@onlinejti.com erreichen, dann leiten wir die Anfrage an die zuständige Stelle weiter.

Beschwerderecht

Wenn Sie der Meinung sind, dass wir Ihre personenbezogenen Daten nicht ordnungsgemäß behandelt haben, können Sie sich bei einer Aufsichtsbehörde beschweren. Federführende Aufsichtsbehörde für Optimas ist Datatilsynet (Norwegen), Postboks 458 Sentrum, 0105 Oslo, post@datatilsynet.no, https://www.datatilsynet.no. Als Person mit Wohnsitz in Deutschland können Sie sich auch an die zuständige Landesdatenschutzbehörde oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) wenden, https://www.bfdi.bund.de.

15. Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein, die dem Risiko entsprechen, darunter:

• TLS 1.2 oder höher für sämtliche Daten in Transit;
• Verschlüsselung at Rest für unsere Datenbanken und Backups;
• gesalzener bcrypt für Passwort-Hashes und JWT-basierte Authentifizierung;
• Zwei-Faktor-Authentifizierung über SMS für sensible Konten;
• rollenbasierte Zugriffskontrolle und Mandantentrennung pro Distributor;
• Schwachstellenmanagement, Abhängigkeitsüberwachung und routinemäßiges Patchen;
• ein Incident-Response-Plan mit Meldungspflichten an Aufsichtsbehörden binnen 72 Stunden und an Betroffene unverzüglich, soweit gesetzlich erforderlich;
• Pseudonymisierung personenbezogener Identifikatoren in an KI gerichteten Daten: echte Namen von Practitioners, Respondenten und Teammitgliedern werden durch sitzungsstabile Codenamen ersetzt, bevor Daten unsere KI-Schnittstelle passieren, und demografische Angaben werden vollständig aus an KI gerichteten Daten entfernt.

Keine Sicherheitsmaßnahme ist perfekt. Sollten Sie eine Schwachstelle entdecken, melden Sie diese bitte an security@onlinejti.com.

16. Kinder

Der Dienst richtet sich nicht an Kinder unter 16 Jahren, und wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16. Erlangen Sie Kenntnis davon, dass ein Kind dem Dienst personenbezogene Daten übermittelt hat, kontaktieren Sie bitte privacy@onlinejti.com, damit wir diese entfernen können.

17. Änderungen dieser Datenschutzrichtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren. Die aktuelle Version steht oben auf dieser Seite. Bei wesentlichen Änderungen aktualisieren wir die Versionsangabe und bitten Sie in der Anwendung, vor Ihrer nächsten Nutzung des Dienstes erneut zuzustimmen.

18. Kontakt und Aufsichtsbehörde

Optimas Organisasjonspsykologi AS ist Verantwortlicher für die in dieser Richtlinie beschriebenen personenbezogenen Daten, sofern nicht anders angegeben.

Optimas Organisasjonspsykologi AS
Myrdalskogen 435, 5117 Ulset, Norwegen
Norwegische Organisationsnummer: 979 972 660

Datenschutz und Betroffenenrechte: privacy@onlinejti.com
Juristische Anfragen und Auftragsverarbeitung: legal@onlinejti.com
Sicherheitsvorfälle: security@onlinejti.com

Sie können auch Datatilsynet unter post@datatilsynet.no kontaktieren.