Datenschutzhinweis

Dieser Hinweis gilt für epicworkpulse.com — den EpicWork Index, eine öffentliche und anonyme Befragung zur Arbeitskultur in Deutschland. Für die Website epicwork.de und das Produkt PULSE gilt die dort veröffentlichte Datenschutzerklärung; dieser Text ersetzt sie nicht und wird von ihr nicht ersetzt.

Das Wichtigste zuerst

Keine Cookies. Weder eigene noch fremde. Deshalb gibt es auf dieser Seite auch kein Einwilligungs-Banner — es gibt nichts einzuwilligen.
Kein Tracking, keine Analyse-Werkzeuge, kein Werbe-Pixel. Auch nicht von Meta, Google oder LinkedIn. Keine eingebetteten Inhalte Dritter, keine Social-Plugins.
Keine Anmeldung, kein Konto, keine Profilbildung.
Keine IP-Adresse im Klartext. Gespeichert wird nur ein nicht umkehrbarer Hash mit geheimem Zusatzwert.
Keine Verbindung zwischen E-Mail-Adresse und Antworten. Es gibt dafür kein Feld und keinen Verweis.
Server in der EU. Datenbank in Frankfurt am Main, E-Mail-Versand und Fehler-Monitoring in der EU-Region.

Verantwortliche Stelle

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

EpicWork AG
Boulevard der EU 7
30539 Hannover
E-Mail: datenschutz@epicwork.de

Die vollständige Anbieterkennzeichnung steht im Impressum.

Datenschutzbeauftragter

Bei Fragen zum Datenschutz wenden Sie sich an unseren externen Datenschutzbeauftragten:

Rink Rechtsanwaltsgesellschaft mbH
Rechtsanwalt Daniel Rink
Neues Haus 4
30175 Hannover
E-Mail: datenschutz@epicwork.de

Teilnahme an der Befragung

Die Teilnahme ist ohne Konto und ohne Anmeldung möglich. Beim Absenden des Fragebogens wird gespeichert:

Rolle	Mitarbeitend, Führungskraft oder Geschäftsführung — erforderlich, weil davon abhängt, welche Fragen gestellt werden.
Antworten	Ihre Bewertungen auf der fünfstufigen Skala sowie die Auswahl bei der Benefit-Frage — erforderlich, das ist der Zweck der Befragung.
Angaben zum Arbeitsumfeld	Branche, Bundesland, Unternehmensgröße — freiwillig.
Angaben zur Person	Geschlecht, Altersgruppe, Beschäftigungsart — freiwillig. Name, Adresse oder Arbeitgeber werden nicht erhoben und auch nicht abgefragt.
Befragungskultur	Zwei Fragen über Ihren Arbeitgeber: wann es dort zuletzt eine Mitarbeiterbefragung gab und in welchem Abstand. Feste Kategorien aus einem Katalog einschließlich „weiß ich nicht", kein Freitext. Ein Bezug zu einem bestimmten Unternehmen entsteht nicht, weil die Unternehmenszugehörigkeit nirgends erhoben wird.
Kennung der Teilnahme	Eine Zufallskennung (122 Bit), die die Antworten zusammenhält. Sie enthält keine Information über Sie.
IP-Hash	Ein SHA-256-Hash aus Ihrer IP-Adresse und einem geheimen Zusatzwert — keine Klartext-IP. Zweck ist ausschließlich die Abwehr von Mehrfach- und automatisierten Eingaben. Der Zusatzwert liegt nicht im Programmcode; fehlt er, verweigert die Anwendung den Dienst, statt schwächer zu hashen.
Technische Werte	Bearbeitungsdauer, Zeitpunkt des Absendens und der berechnete Ergebniswert.

Rechtsgrundlage: Soweit diese Angaben personenbezogen sind, ist es Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie mit dem Absenden erteilen. Für den IP-Hash zur Missbrauchsabwehr ist es unser berechtigtes Interesse an einer unverfälschten Erhebung (Art. 6 Abs. 1 lit. f DSGVO).

Hinweis zur Zufallskennung. Ihr Browser erhält diese Kennung beim Absenden zurück. Wer sie besitzt, kann die dazugehörigen Antworten abrufen — sie ist der einzige Weg von einer Kennung zu einzelnen Antworten. Sie ist nicht zu erraten, wird nicht verlinkt und nicht an Suchmaschinen ausgeliefert.

Speicherung im Browser

Die Anwendung legt zwei Dinge in der lokalen Ablage Ihres Browsers ab (localStorage, kein Cookie): den Fortschritt im Fragebogen, damit eine unterbrochene Teilnahme fortgesetzt werden kann, und die gewählte Sprache. Beides verlässt Ihr Gerät nicht und ist für Sie jederzeit über die Browser-Einstellungen löschbar. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG — die Speicherung ist für den von Ihnen gewünschten Dienst erforderlich.

Werbung für die Befragung

Wir bewerben die Teilnahme auf sozialen Netzwerken, unter anderem bei Meta (Facebook, Instagram) und LinkedIn. Dazu gehört eine Unterscheidung, auf die es ankommt:

Auf den Plattformen

Die Anzeigen werden dort ausgeliefert. Was ein Netzwerk dabei über Sie verarbeitet — welche Anzeige Sie sehen, was es daraus über Ihre Interessen schließt —, geschieht in dessen Verantwortung und nach dessen Datenschutzbestimmungen. Wir haben darauf keinen Einfluss und erhalten daraus keine personenbezogenen Daten.

Auf dieser Website

Hier ist kein Werbewerkzeug eingebaut: kein Meta-Pixel, keine Conversions API, kein Zählpixel, kein Skript eines Werbenetzes. Für Werbezwecke wird nichts auf Ihrem Gerät gespeichert oder ausgelesen. Es wird nichts an ein Werbenetzwerk zurückgemeldet — ein Netzwerk erfährt von uns also nicht, ob Sie nach dem Klick teilgenommen haben. Wir laden auch keine Daten zu Werbenetzwerken hoch und bilden daraus keine Zielgruppen.

Was wir stattdessen tun: Der Link in einer Anzeige trägt Kampagnenangaben in der Adresszeile (etwa ?utm_source=…&utm_campaign=…). Senden Sie den Fragebogen ab, werden diese vier Werte zusammen mit Ihrer Teilnahme gespeichert, damit wir erkennen, über welche Kampagne Teilnahmen zustande kommen. Die Werte beschreiben die Anzeige, nicht Sie. Sie werden serverseitig auf die Zeichen a-z 0-9 . _ - und 64 Zeichen beschnitten und nur aus der Adresszeile gelesen, nie aus einem Speicher Ihres Geräts.

Rechtsgrundlage ist unser berechtigtes Interesse an der Beurteilung eigener Werbemaßnahmen (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung ist nicht erforderlich, weil auf Ihrem Endgerät weder Informationen gespeichert noch ausgelesen werden (§ 25 TDDDG).

Die Angabe einer E-Mail-Adresse ist freiwillig und ausschließlich die Anmeldung zum Newsletter. Sie läuft im Double-Opt-In-Verfahren: Erst nach Klick auf den Bestätigungslink werden Nachrichten versendet. Gespeichert werden die Adresse, Bestätigungs- und Abmeldekennung, die Zeitpunkte von Anmeldung, Bestätigung und Abmeldung sowie die gewählte Sprache. Zum Nachweis der Einwilligung werden die Ereignisse protokolliert, jeweils mit IP-Hash (nicht mit der IP-Adresse) und Browserkennung.

Die Adresse liegt getrennt von den Antworten. Es gibt keine Spalte, kein Feld und keinen Verweis, der eine E-Mail-Adresse mit einer Teilnahme verbindet. Wir können Ihre Antworten also auch dann nicht Ihrer Adresse zuordnen, wenn wir es wollten.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für den Versand; unser berechtigtes Interesse am Nachweis dieser Einwilligung (Art. 6 Abs. 1 lit. f DSGVO) für das Protokoll. Sie können jederzeit über den Link in jeder Nachricht abmelden, ohne Anmeldung und ohne Begründung.

Auslieferung der Website und Server-Protokolle

Die Website wird von Vercel ausgeliefert. Dabei fallen technisch zwingend Zugriffsdaten an — IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browsertyp —, die zum Verbindungsaufbau und zur Abwehr von Angriffen verarbeitet und kurzfristig in Protokollen gehalten werden. Die Serverfunktionen dieser Anwendung laufen in der EU. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Die verwendete Schrift (Open Sans) liegt auf unserem eigenen Server. Beim Aufruf der Seite wird keine Verbindung zu Google Fonts oder einem anderen fremden Server hergestellt.

Fehler-Monitoring

Zur Erkennung technischer Fehler nutzen wir Sentry in der EU-Region. Tritt ein Fehler auf, werden Fehlermeldung, Aufrufliste, die betroffene Seitenadresse und Angaben zur Browser- bzw. Laufzeitumgebung übermittelt. Die Einstellung sendDefaultPii: false unterbindet das automatische Mitsenden personenbezogener Felder — keine IP-Adressen, keine Anfrage-Kopfzeilen, keine Cookies; ein Leistungs-Tracking findet nicht statt. Ein wöchentlicher automatischer Prüflauf stellt fest, dass diese Einstellung gesetzt bleibt.

Was das nicht ausschließt: Eine Fehlermeldung kann im Einzelfall Daten enthalten, die im Fehlerkontext stecken — etwa eine Seitenadresse mit der oben genannten Zufallskennung. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen Angebot (Art. 6 Abs. 1 lit. f DSGVO).

Abwehr von Missbrauch

Damit die Erhebung nicht durch automatisierte oder mehrfache Eingaben verfälscht wird, prüft die Anwendung jede Einsendung. Abgewiesene Versuche werden mit Grund, gehashter Quelle, gekürzter Browserkennung und Zeitpunkt protokolliert — ohne Antworten, ohne E-Mail-Adresse, ohne Angaben zur Person; die Einsendung wurde ja abgewiesen. Diese Einträge werden nach 90 Tagen automatisch gelöscht. Zusätzlich laufen Zähler je Zeitfenster, die nur einen gehashten Schlüssel und eine Trefferzahl enthalten. Rechtsgrundlage ist unser berechtigtes Interesse an einer unverfälschten Erhebung und am Schutz vor Überlastung (Art. 6 Abs. 1 lit. f DSGVO).

Auswertung und Veröffentlichung

Aus den Antworten werden Kennzahlen gebildet, öffentlich berichtet und über eine zugangsgeschützte Schnittstelle an unser Produkt PULSE als Referenzwerte weitergegeben. Ausgeliefert werden ausschließlich Zusammenfassungen. Eine Auswertung für ein Segment — etwa „Branche × Bundesland" — erscheint erst ab 30 Antworten; darunter wird ausdrücklich vermerkt, dass es zu wenige sind, statt eine Zahl zu nennen. Einzelantworten verlassen die Datenbank nicht. Ein Verkauf von Daten findet nicht statt.

Empfänger

Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag verarbeiten:

Dienst	Zweck	Ort
Supabase	Datenbank (Antworten, IP-Hashes, Newsletter)	EU — Frankfurt am Main
Vercel	Hosting, Auslieferung, zeitgesteuerte Aufgaben	Serverfunktionen in der EU
Mailgun	Versand der Bestätigungs- und Newsletter-E-Mails	EU-Region
Sentry	Fehler-Monitoring	EU-Region

Die Mutterunternehmen dieser Anbieter haben ihren Sitz überwiegend in den USA; die Verarbeitung für dieses Angebot ist auf EU-Regionen eingerichtet. Soweit es im Einzelfall dennoch zu einer Übermittlung in ein Drittland kommt, erfolgt sie auf Grundlage des Angemessenheits- beschlusses zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) oder ergänzend auf Grundlage von Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer

Teilnahmen und Antworten	Dauerhaft. Der Index ist eine wiederkehrende Erhebung; sein Zweck ist der Vergleich über Jahre, und gelöschte Quartale wären aus der Zeitreihe nicht nachträglich zu ersetzen. Die Angaben sind nicht mit einem Namen, einer Adresse oder einem Arbeitgeber verknüpft.
Newsletter-Abonnenten	Bis zur Abmeldung.
Protokoll abgewiesener Einsendungen	90 Tage, danach automatische Löschung.
Zähler der Mengenbegrenzung	Jeweiliges Zeitfenster (60 Sekunden bzw. 24 Stunden).

Ihre Rechte

Unter den oben angegebenen Kontaktdaten unseres Datenschutzbeauftragten können Sie jederzeit folgende Rechte ausüben:

Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung der zu Ihnen gespeicherten Daten (Art. 17 DSGVO),
Einschränkung der Verarbeitung, soweit wir die Daten aufgrund gesetzlicher Pflichten noch nicht löschen dürfen (Art. 18 DSGVO),
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO) und
Datenübertragbarkeit, soweit Sie eingewilligt haben oder ein Vertrag besteht (Art. 20 DSGVO).

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Was bei einer anonymen Befragung möglich ist — und was nicht. Eine Teilnahme ist absichtlich nicht mit Ihrer Person verknüpft. Für Auskunft oder Löschung einer einzelnen Teilnahme brauchen wir daher die Zufallskennung aus der Adresszeile, die Ihr Browser nach dem Absenden erhalten hat — ohne sie können wir Ihre Antworten unter den anderen nicht auffinden. Für den Newsletter genügt Ihre E-Mail-Adresse; dort funktionieren Auskunft und Löschung ohne Einschränkung. Dass wir eine Zuordnung nicht herstellen können, ist die Kehrseite derselben Entscheidung, die Ihre Antworten anonym hält.

Unabhängig davon können Sie sich jederzeit mit einer Beschwerde an die für Sie zuständige Aufsichtsbehörde wenden. Welche das ist, richtet sich nach dem Bundesland Ihres Wohnsitzes, Ihrer Arbeit oder der mutmaßlichen Verletzung. Eine Liste der Aufsichtsbehörden für den nichtöffentlichen Bereich mit Anschrift finden Sie beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.

Sicherheit der Übertragung

Die Verbindung zu dieser Website ist durchgehend verschlüsselt (HTTPS/TLS). Der Zugriff auf die Datenbank ist auf die Serverfunktionen dieser Anwendung beschränkt; alle Tabellen sind standardmäßig gesperrt.

Änderungen dieses Hinweises

Wir passen diesen Hinweis an, wenn sich die Verarbeitung ändert — etwa durch einen neuen Dienstleister oder eine neue Frage im Fragebogen. Für Ihren erneuten Besuch gilt die dann veröffentlichte Fassung. Das Datum unten nennt den Stand.

Stand: 16. Oktober 2026