Datenschutzerklärung

Gemploy GmbH, Stand: 7. Oktober 2026

Sind Sie Beschäftigte oder Beschäftigter eines Unternehmens, das Gemploy einsetzt?

Dann ist für Ihre Personaldaten Ihr Arbeitgeber verantwortlich, nicht Gemploy. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag und nach seiner Weisung.

Anträge auf Auskunft, Berichtigung, Löschung oder Einschränkung richten Sie deshalb bitte an Ihren Arbeitgeber. Anträge, die uns erreichen, dürfen wir nicht selbst beantworten; wir leiten sie unverzüglich an Ihren Arbeitgeber weiter.

Welche Daten wir innerhalb der Anwendung darüber hinaus in eigener Verantwortung verarbeiten, beschreiben die Datenschutzhinweise zur Anwendung, die Sie nach der Anmeldung in Gemploy finden.

Diese Erklärung hier betrifft unsere Website und unsere Geschäftskontakte.

1 Verantwortlicher

Gemploy GmbH
Borselstraße 3
22765 Hamburg

Handelsregister: Amtsgericht Hamburg, HRB 194703
Geschäftsführer: Frank Heindörfer, Philip Chinery

E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt. Für Fragen zum Datenschutz erreichen Sie uns unter der vorstehenden Adresse.

2 Besuch unserer Website

Beim Aufruf von gemploy.com verarbeiten wir die technisch erforderlichen Verbindungsdaten, insbesondere die IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Seite, den übertragenen Datenumfang sowie Angaben zu Browser und Betriebssystem. Ohne diese Verarbeitung kann die Seite nicht ausgeliefert werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Bereitstellung und Absicherung unseres Internetauftritts.

Speicherdauer: 30 Tage

Wir setzen auf dieser Website keine Werkzeuge Dritter zur Analyse oder Reichweitenmessung ein. Gemessen wird nur auf der Seite des Fit-Checks, auf unseren eigenen Servern und je Token (siehe „Fit-Check”). Schriften und andere Inhalte werden von unseren eigenen Servern ausgeliefert. Inhalte Dritter binden wir an genau einer Stelle ein: beim Spam-Schutz des Kontaktformulars, der erst geladen wird, wenn Sie ein Feld des Formulars anwählen (siehe Abschnitt 3).

Was wir auf Ihrem Gerät speichern

Zwei Einstellungen, die Sie selbst treffen, merken wir uns auf Ihrem Gerät, damit die Seite beim nächsten Aufruf so erscheint, wie Sie sie verlassen haben:

Bezeichnung	Inhalt	Gespeichert als	Dauer
`pref_locale`	die von Ihnen gewählte Sprache, `de` oder `en`	Cookie	ein Jahr
`gm-theme`	die von Ihnen gewählte Darstellung, hell oder dunkel	lokaler Speicher des Browsers	bis Sie die Websitedaten löschen

Beide entstehen erst, wenn Sie die jeweilige Einstellung anklicken. Sie enthalten keine Kennung, mit der sich eine Person wiedererkennen ließe, und wir werten sie nicht aus. Die Sprachwahl wird technisch bedingt bei jedem Seitenaufruf an unseren Auslieferungsdienstleister mitgesendet (siehe „Hosting und Auslieferung”), weil die Weiterleitung auf die gewählte Sprache dort stattfindet.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG. Die Speicherung ist erforderlich, um einen von Ihnen ausdrücklich gewünschten Dienst bereitzustellen, nämlich die von Ihnen gewählte Sprache und Darstellung. Eine Einwilligung ist dafür nicht erforderlich. Sie können beides jederzeit entfernen, indem Sie die Websitedaten in Ihrem Browser löschen.

Hosting und Auslieferung

Unsere Website wird über die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA ausgeliefert. Cloudflare verarbeitet dabei die vorgenannten Verbindungsdaten in unserem Auftrag und betreibt auch die Namensauflösung unserer Domains. Dabei kann eine Übermittlung in die USA stattfinden.

Grundlage der Übermittlung: Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, vereinbart im Cloudflare Data Processing Addendum. Soweit Cloudflare, Inc. unter dem EU-US Data Privacy Framework zertifiziert ist, stützt sich die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO.

Der Datenverkehr unserer Anwendung wird nicht über Cloudflare geleitet.

Fit-Check

Die Seite gemploy.com/fit-check ist ein kurzer Selbsttest mit vier Fragen. Auf ihn weisen wir in einem Brief per QR-Code hin. Der Link im Brief enthält einen Token: zehn zufällige Zeichen, die wir für ein Unternehmen vergeben, nicht für eine Person. Wer die Seite ohne Token öffnet, bekommt mit der ersten Antwort einen neuen Token, der in die Adresse der Seite geschrieben wird. Ab dann wird dieser Besuch behandelt wie ein Brief.

Je Token speichern wir auf unseren Servern:

die Antworten auf die vier Fragen, je Frage leer oder die gewählte Antwortmöglichkeit,
den aktuellen Schritt und die Phase: Einstieg, Fragen oder Ergebnis,
die Zahl der Besuche und den Zeitpunkt des ersten Aufrufs,
die Zeitpunkte, zu denen der Test erstmals begonnen und erstmals beendet wurde,
den Zeitpunkt des ersten Klicks auf eine der Schaltflächen, die zum Kontaktformular führen: „Kontakt” in der Kopfzeile, „Lieber persönlich? Rückruf vereinbaren” auf der Startseite des Tests und bei den Fragen, „Ergebnis mit uns besprechen” und „Mit uns sprechen” auf der Ergebnisseite,
die Zahl der Weitergaben des Links und den Zeitpunkt der ersten. Auf welchem Weg Sie den Link weitergeben (kopieren, E-Mail, WhatsApp, Systemmenü), speichern wir nicht,
den Zeitpunkt der letzten Änderung und das Datum, an dem der Eintrag gelöscht wird.

Die Seite zeigt keinen Firmennamen. Welches Unternehmen zu einem Token gehört, steht nicht in der Datenbank, sondern nur in der Liste, die unser Marketing für den Briefversand führt. Über den Brief lässt sich ein Token einem Unternehmen und dort einer Ansprechperson zuordnen. Deshalb behandeln wir ihn als personenbezogenes Datum.

Zwecke: Der Test soll dort weitergehen, wo Sie aufgehört haben, auch auf einem anderen Gerät. Dafür genügt der Link, denn der Stand liegt unter dem Token bei uns. Außerdem werten wir je Brief aus, wie oft die Seite aufgerufen wurde, wie weit der Test beantwortet wurde und ob daraus eine Anfrage über das Kontaktformular entstanden ist (siehe Abschnitt 3).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Ihnen den Test über mehrere Geräte hinweg anzubieten und den Erfolg des Briefversands je Brief zu beurteilen.

Auf Ihrem Gerät: Wir setzen dafür keine Cookies ein und speichern nichts auf Ihrem Gerät. Der Token steht in der Adresse der Seite.

Hinweis zum Link: Der Stand wird allein über den Token abgerufen. Wer den Link kennt, sieht die gespeicherten Antworten und kann sie ändern. Geben Sie den Link deshalb nur an Personen weiter, denen Sie Ihre Antworten zeigen möchten.

Empfänger: Die Aufrufe der Seite laufen wie alle Aufrufe unserer Website über den in „Hosting und Auslieferung” genannten Dienstleister, der die Antworten unseres Servers auf diese Aufrufe nicht zwischenspeichert. Weitere Empfänger sind die in Abschnitt 7 genannten Dienstleister für den Betrieb unserer Server.

Speicherdauer: 12 Wochen nach der letzten Aktivität unter dem Token, also nach der letzten Änderung am Stand des Tests, dem letzten Aufruf, Klick auf eine Kontakt-Schaltfläche oder der letzten Weitergabe. Jede neue Aktivität verlängert die Frist erneut auf 12 Wochen. Danach löschen wir den Eintrag automatisch. In unseren Datensicherungen kann er noch bis zu 7 Tage länger liegen (siehe „Datensicherungen” in Abschnitt 7).

Für Auskunft, Löschung oder Widerspruch nennen Sie uns bitte den Token aus dem Link, mit dem Sie die Seite geöffnet haben. Ohne ihn können wir einen Eintrag keiner Person zuordnen. Ihre Rechte beschreibt Abschnitt 8.

3 Kontaktformular und Kontaktaufnahme

Wenn Sie uns über das Kontaktformular oder per E-Mail schreiben, verarbeiten wir die von Ihnen angegebenen Daten, um Ihre Anfrage zu bearbeiten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist, sonst Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beantwortung von Anfragen.

Speicherdauer: Jede Anfrage bearbeiten wir in unserem Ticketsystem, auch Anfragen per E-Mail. Dafür gibt es keine feste Frist. Führt die Anfrage zu einer Kundenbeziehung, werden die Daten des Tickets Teil dieser Beziehung und folgen den Aufbewahrungsfristen in Abschnitt 6. Führt sie zu keinem Geschäft, löschen wir das Ticket, wenn wir es abschließen.

Eine Anfrage über das Kontaktformular liegt zusätzlich in einem Eingangssystem. Dieser Datensatz wird 12 Wochen nach Eingang gelöscht, unabhängig davon, wie weit die Bearbeitung ist. Der Datensatz im Eingangssystem kann nach seiner Löschung noch bis zu 7 Tage in unseren Datensicherungen liegen (siehe „Datensicherungen” in Abschnitt 7).

Adresse der Seite: Mit Ihrer Anfrage speichern wir die Adresse der Seite, von der Sie sie abgeschickt haben. Haben Sie das Formular über eine der Kontakt-Schaltflächen im Fit-Check geöffnet, enthält sie den Token aus Ihrem Brief (?p=…). So ordnen wir eine Anfrage dem Brief zu. Die Adresse gehört zum Datensatz der Anfrage und steht auch in dem Ticket, das daraus entsteht. Sie wird also nach denselben Fristen gelöscht wie die Anfrage: im Eingangssystem nach 12 Wochen, im Ticket wie oben beschrieben. Die Rechtsgrundlage ist die oben genannte.

Spam-Schutz des Kontaktformulars

Das Kontaktformular ist durch Cloudflare Turnstile geschützt, einen Dienst der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Er unterscheidet menschliche Eingaben von automatisierten und verhindert so, dass das Formular für Massenanfragen missbraucht wird.

Der dafür nötige Programmcode wird von Cloudflare geladen, und zwar erst in dem Moment, in dem Sie ein Feld des Formulars anwählen. Wer das Formular nicht benutzt, baut keine Verbindung zu Cloudflare auf. Beim Aufruf der Seite geschieht das nicht.

Cloudflare verarbeitet dabei Ihre IP-Adresse, Angaben zu Browser und Endgerät sowie Ihre Interaktion mit dem Formular, um zu bewerten, ob die Anfrage von einem Menschen stammt. Turnstile kann zu diesem Zweck Informationen auf Ihrem Endgerät speichern und auslesen. Diese dienen ausschließlich der Missbrauchserkennung, nicht der Werbung und nicht der Analyse Ihres Verhaltens über Websites hinweg.

Wenn Sie das Formular absenden, übermitteln wir das von Turnstile ausgestellte Prüfmerkmal zusammen mit Ihrer IP-Adresse an Cloudflare, um es prüfen zu lassen. Weder das Prüfmerkmal noch Ihre IP-Adresse werden von uns gespeichert; sie sind nicht Teil des Datensatzes, der aus Ihrer Anfrage entsteht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Abwehr automatisierter und missbräuchlicher Anfragen. Für das Speichern und Auslesen von Informationen auf Ihrem Endgerät stützen wir uns auf § 25 Abs. 2 Nr. 2 TDDDG: der Spam-Schutz ist erforderlich, damit wir Ihnen das von Ihnen ausdrücklich aufgerufene Formular bereitstellen können.

Grundlage der Übermittlung: dieselbe wie in Abschnitt 2 für Cloudflare beschrieben.

Speicherdauer: Bei uns entsteht kein Datensatz. Wie lange Cloudflare die Prüfdaten aufbewahrt, richtet sich nach den Angaben von Cloudflare.

Für den Versand unseres Newsletters verarbeiten wir Ihre E-Mail-Adresse und die von Ihnen angegebenen weiteren Daten.

Die Anmeldung erfolgt im Double-Opt-In-Verfahren: nach Ihrer Anmeldung senden wir Ihnen eine E-Mail mit einem Bestätigungslink. Erst nach Ihrer Bestätigung nehmen wir Sie in den Verteiler auf. Wir protokollieren Anmeldung und Bestätigung einschließlich Zeitpunkt, um den Nachweis Ihrer Einwilligung führen zu können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa über den Abmeldelink in jedem Newsletter. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Speicherdauer: Bis zum Widerruf. Der Nachweis der Einwilligung wird darüber hinaus so lange aufbewahrt, wie er zur Verteidigung gegen Ansprüche erforderlich ist.

Der Versand erfolgt über einen von uns selbst betriebenen Newsletter-Dienst; für die technische Zustellung setzen wir den in Abschnitt 7 genannten Versanddienstleister ein.

5 Anmeldeseite der Anwendung

Beim Aufruf der Anmeldeseite unserer Anwendung verarbeiten wir dieselben technisch erforderlichen Verbindungsdaten wie in Abschnitt 2 beschrieben, um die Seite auszuliefern und Angriffe auf die Anmeldung zu erkennen und abzuwehren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Sicherheit des Anmeldevorgangs.

Was nach der Anmeldung geschieht, beschreiben die Datenschutzhinweise zur Anwendung.

6 Geschäftskontakte, Kunden und Interessenten

Für die Anbahnung und Durchführung von Verträgen verarbeiten wir die Daten der Ansprechpersonen unserer Kunden und Interessenten, insbesondere Name, Funktion, dienstliche Kontaktdaten sowie Korrespondenz und Abrechnungsdaten. Für die Abwicklung von Zahlungen setzen wir einen Zahlungsdienstleister ein; die dabei anfallenden Zahlungsdaten sind in Abschnitt 7 beschrieben. Hat eine Anfrage zu einer Kundenbeziehung geführt, gehören die Daten des Tickets dazu (siehe Abschnitt 3).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, bei Ansprechpersonen eines Unternehmens Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Durchführung der Geschäftsbeziehung; für die Aufbewahrung von Rechnungsunterlagen Art. 6 Abs. 1 lit. c DSGVO.

Speicherdauer: Für die Dauer der Geschäftsbeziehung, anschließend nach den gesetzlichen Aufbewahrungsfristen von bis zu 8 Jahren.

7 Empfänger

Wir geben personenbezogene Daten nur weiter, soweit dies erforderlich ist. Empfänger sind:

Empfänger	Zweck	Ort
Cloudflare, Inc., USA	Auslieferung der Website, Namensauflösung, Spam-Schutz des Kontaktformulars	USA (siehe Abschnitt 2)
Hetzner Online GmbH, Deutschland	Betrieb unserer Server	Deutschland; Sicherungen der Serverkonfiguration in Finnland
IONOS Cloud GmbH, Deutschland	Objektspeicher	Deutschland (Frankfurt am Main)
Lettermint B.V., Niederlande	Versand von E-Mails	Niederlande, Frankreich, Deutschland
JetBrains s.r.o., Tschechien	Ticketsystem für Störungsmeldungen	Europäische Union
Microsoft Deutschland GmbH, Deutschland	E-Mail, Dateiablage und Identitätsverwaltung	Deutschland, mit eng begrenzten Ausnahmen (siehe unten)
Steuerberatung	Buchhaltung und Rechnungswesen	Deutschland
Stripe Payments Europe, Limited, Irland	Zahlungsabwicklung	Europäische Union, mit Übermittlungen in die USA (siehe unten)

Diese Empfänger sind für uns als Auftragsverarbeiter tätig und an unsere Weisungen gebunden. Darüber hinaus geben wir Daten an Behörden weiter, soweit wir dazu gesetzlich verpflichtet sind.

Microsoft: Anfragen, Korrespondenz und Bewerbungen erreichen uns über Microsoft 365. Anfragen bearbeiten wir in unserem Ticketsystem (Abschnitt 3). Die Region des Postfachdienstes ist Deutschland. Für die eng begrenzten Fälle, in denen Microsoft Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, gelten die Standardvertragsklauseln aus dem Microsoft-Datenschutznachtrag nach Art. 46 Abs. 2 lit. c DSGVO, ergänzend der Angemessenheitsbeschluss EU-US Data Privacy Framework nach Art. 45 DSGVO.

Stripe: Für die Abwicklung von Zahlungen setzen wir die Stripe Payments Europe, Limited, Irland ein. Stripe verarbeitet dabei Zahlungs- und Rechnungsdaten teilweise in unserem Auftrag und teilweise als eigener Verantwortlicher, insbesondere zur Betrugsprävention und zur Erfüllung eigener aufsichtsrechtlicher Pflichten. Für Übermittlungen an die US-Muttergesellschaft gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, ergänzend der Angemessenheitsbeschluss EU-US Data Privacy Framework nach Art. 45 DSGVO. Maßgeblich ist der Stripe-Datenschutznachtrag in der Fassung vom 18. November 2025.

Datensicherungen: Die Datenbank, in der wir den Stand des Fit-Checks und den Datensatz Ihrer Anfrage speichern, wird regelmäßig gesichert. Wir bewahren diese Sicherungen 7 Tage auf. Ein Eintrag, den wir gelöscht haben, nach Ablauf seiner Frist (siehe Abschnitte 2 und 3) oder auf Ihren Wunsch (siehe Abschnitt 8), kann deshalb noch bis zu 7 Tage in den Sicherungen liegen und ist danach auch dort gelöscht. Die Sicherungen dienen ausschließlich dazu, die Datenbank nach einem Ausfall wiederherzustellen, und werden für nichts anderes verwendet.

8 Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO).

Widerspruchsrecht: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender Daten Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruht (Art. 21 DSGVO).

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg.

9 Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

10 Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die beschriebenen Verarbeitungen oder die Rechtslage ändern. Es gilt die auf dieser Seite veröffentlichte Fassung; der Stand ist oben angegeben.