Grasp

Die Marketing Website von Grasp setzt Analytics Cookies, die IP Adresse, User Agent, Betriebssystem, Browser, Bildschirmauflösung und Plugins erfassen. In der Grasp Plattform selbst werden Sessions über Authentifizierungs Cookies verwaltet, die für den eingeloggten Nutzer unbedingt erforderlich sind. Etwaige Cross Site Tracking Cookies hängen vom konkreten Deployment ab.

Eine Einwilligung ist nur für die Analytics Cookies auf der Marketing Website von Grasp nach 25 Abs 1 TDDDG und Art 5(3) ePrivacy erforderlich. In einem Konzern Deployment werden Reisedaten zur Durchführung des Arbeitsverhältnisses oder auf Grundlage berechtigter Interessen verarbeitet, nicht auf Einwilligung. Mitarbeitende müssen transparent informiert werden.

Für Analytics Cookies ist es die Einwilligung. Für den vereinheitlichten Reise und Spesendatenbestand stützt sich der Verantwortliche (der Konzernkunde) typischerweise auf die Durchführung des Arbeitsvertrags nach Art 6 Abs 1 lit b DSGVO, das berechtigte Interesse nach Art 6 Abs 1 lit f für Kostenkontrolle und Betrugsprävention oder eine rechtliche Verpflichtung für Steuer und Buchhaltung.

Ja. Grasp Technologies ist ein US Unternehmen und betreibt seine Standardinfrastruktur in den USA. Reise und Spesendaten der Kunden, einschließlich Daten zu in der EU ansässigen Reisenden, werden auf US Server übermittelt. Die Übermittlungen müssen sich auf Standardvertragsklauseln, das EU US Data Privacy Framework, sofern Grasp zertifiziert ist, und zusätzliche Schutzmaßnahmen stützen.

Eine DSFA ist in der Regel erforderlich, da Grasp Reisedaten von Mitarbeitenden in großem Umfang auf Infrastruktur in einem Drittland verarbeitet und systematisch Bewegungsmuster überwacht werden. Die DSFA sollte Erforderlichkeit, Verhältnismäßigkeit, Speicherdauer, Zugriffskontrollen, Verschlüsselung und die Wirksamkeit von SCCs sowie zusätzlichen Maßnahmen prüfen.

Schließen Sie einen AVV mit SCC, dokumentieren Sie Grasp im Verarbeitungsverzeichnis, führen Sie eine Transfer Impact Assessment durch, erstellen Sie eine DSFA, beschränken Sie Zugriffe über SSO und MFA, definieren Sie Aufbewahrungsfristen passend zu Steuer und Auditpflichten, informieren Sie Mitarbeitende und aktualisieren Sie die Datenschutzhinweise. Marketing Analytics auf den öffentlichen Grasp Seiten über eine Consent Management Platform steuern.

EU orientierte Alternativen sind SAP Concur mit EU Hosting, Mobilexpense, Cytric Travel by Amadeus, Egencia und Notilus. Für reine Reise Analytik können interne Data Warehouses mit Looker, Power BI oder Tableau in der EU die Reporting Schicht ersetzen, ohne dass Daten den EWR verlassen.

Fügen Sie in der öffentlichen Cookie Richtlinie einen eigenen Eintrag für die Marketing Analytics Cookies von Grasp hinzu, mit Anbieter, Zweck, Lebensdauer und Einwilligungskategorie. Dokumentieren Sie das interne Grasp Deployment in den Datenschutzhinweisen für Mitarbeitende statt in der öffentlichen Cookie Richtlinie. Überprüfen Sie die Richtlinie bei jeder Aktualisierung der Grasp Unterauftragnehmer oder Hosting Regionen.