Datenschutzerklärung

Zuletzt aktualisiert: März 2026

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website ist: Christian Wenterodt, Birkenweg 9, 21629 Neu Wulmstorf, E-Mail: [email protected].

2. Datenerfassung auf dieser Website

Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Personenbezogene Daten werden nur erhoben, wenn du uns diese im Rahmen der Kontaktaufnahme oder Registrierung freiwillig mitteilst.

3. Hosting und Server-Log-Dateien

Diese Website wird bei einem externen Dienstleister in der EU gehostet. Der Hoster erhebt automatisch Informationen in sogenannten Server-Log-Dateien, die dein Browser automatisch übermittelt. Dies sind: Browsertyp und -version, verwendetes Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage und IP-Adresse. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Die Erfassung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fehlerfreien Betrieb der Website).

4. Cookies

Diese Website verwendet ausschließlich technisch notwendige Cookies, die für den Betrieb der Website erforderlich sind (z. B. Sprachauswahl). Es werden keine Tracking- oder Marketing-Cookies eingesetzt. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. Kontaktformular

Wenn du uns über das Kontaktformular kontaktierst, werden die von dir angegebenen Daten (Name, E-Mail-Adresse, Nachricht) zum Zweck der Bearbeitung deiner Anfrage gespeichert. Diese Daten geben wir nicht ohne deine Einwilligung weiter. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

6. Registrierung und App-Nutzung

Bei der Registrierung für Pelatis CRM erheben wir die erforderlichen Daten (Name, E-Mail-Adresse, Unternehmen). Diese Daten werden zur Bereitstellung unseres Dienstes verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Deine Daten werden in der EU (Frankfurt am Main) gespeichert.

7. Nutzung von Google-API-Daten

Pelatis CRM bietet optionale Integrationen mit Google-Diensten, darunter Gmail (zum Empfangen und Senden von E-Mails) sowie Google Calendar (zum Synchronisieren von Kalendereinträgen). Diese Integrationen erfordern deine ausdrückliche Zustimmung über den Google-OAuth-Anmeldeprozess. Du kannst den Zugriff jederzeit in deinen Google-Kontoeinstellungen unter „Sicherheit → Drittanbieter-Apps mit Kontozugriff“ widerrufen.

Zweck der Datenverarbeitung

Wir greifen ausschließlich auf die Google-Nutzerdaten zu, die für die jeweilige CRM-Funktion erforderlich sind:

• Gmail-Daten: Zum Abrufen und Senden von E-Mails direkt aus dem CRM, damit du deine Kundenkommunikation zentral verwalten kannst.
• Google-Calendar-Daten: Zum Synchronisieren und Erstellen von Kalendereinträgen, damit Termine und Aktivitäten mit deinem Google-Kalender verknüpft werden können.

Datenschutzmaßnahmen

Wir setzen umfassende technische und organisatorische Maßnahmen ein, um deine Google-Nutzerdaten zu schützen:

• Verschlüsselung bei der Übertragung: Sämtliche Datenübertragungen erfolgen über TLS 1.2 oder höher (HTTPS).
• Verschlüsselung im Ruhezustand: Alle gespeicherten Daten werden mit AES-256 verschlüsselt.
• EU-Hosting: Alle Daten werden ausschließlich auf Servern in der EU (Frankfurt am Main, Deutschland) gespeichert.
• Zugriffskontrolle: Der Zugriff auf Google-Nutzerdaten ist strikt auf den authentifizierten Nutzer beschränkt. Unser Personal hat keinen Zugriff auf deine E-Mail- oder Kalenderinhalte.
• OAuth-Tokens: Zugriffs- und Aktualisierungstokens werden verschlüsselt gespeichert und ausschließlich für die vorgesehene Integration verwendet.

Datenspeicherung und Löschung

Google-Nutzerdaten werden nur so lange gespeichert, wie dein Konto aktiv ist und die Integration aktiviert bleibt. E-Mail-Inhalte werden im CRM zwischengespeichert, um eine performante Darstellung zu ermöglichen. Wenn du die Google-Integration deaktivierst oder dein Konto löschst, werden alle zugeordneten Google-Nutzerdaten innerhalb von 30 Tagen vollständig von unseren Servern gelöscht.

Keine Weitergabe an Dritte

Wir geben deine Google-Nutzerdaten nicht an Dritte weiter, verkaufen sie nicht und verwenden sie nicht für Werbezwecke, Marktforschung, Künstliche Intelligenz oder maschinelles Lernen. Deine Daten werden ausschließlich dazu verwendet, dir die angeforderten CRM-Funktionen bereitzustellen.

Google API Services User Data Policy

Die Nutzung und Weitergabe von Informationen, die von Google APIs empfangen werden, an andere Apps unterliegt der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Pelatis CRM erfüllt die Google API Services User Data Policy vollständig.

8. Nutzung von Microsoft-API-Daten

Pelatis CRM bietet optionale Integrationen mit Microsoft-Diensten, darunter Outlook E-Mail (zum Empfangen und Senden von E-Mails) sowie Outlook Kalender (zum Synchronisieren von Kalendereinträgen). Diese Integrationen erfordern deine ausdrückliche Zustimmung über den Microsoft-OAuth-Anmeldeprozess. Du kannst den Zugriff jederzeit in deinen Microsoft-Kontoeinstellungen unter „Datenschutz → Apps und Dienste“ widerrufen.

Zweck der Datenverarbeitung

Wir greifen ausschließlich auf die Microsoft-Nutzerdaten zu, die für die jeweilige CRM-Funktion erforderlich sind:

• Outlook-E-Mail-Daten: Zum Abrufen und Senden von E-Mails direkt aus dem CRM, damit du deine Kundenkommunikation zentral verwalten kannst.
• Outlook-Kalender-Daten: Zum Synchronisieren und Erstellen von Kalendereinträgen, damit Termine und Aktivitäten mit deinem Outlook-Kalender verknüpft werden können.

Microsoft-Nutzerdaten werden nur so lange gespeichert, wie dein Konto aktiv ist und die Integration aktiviert bleibt. Wenn du die Microsoft-Integration deaktivierst oder dein Konto löschst, werden alle zugeordneten Microsoft-Nutzerdaten innerhalb von 30 Tagen vollständig von unseren Servern gelöscht.

Wir geben deine Microsoft-Nutzerdaten nicht an Dritte weiter, verkaufen sie nicht und verwenden sie nicht für Werbezwecke, Marktforschung, Künstliche Intelligenz oder maschinelles Lernen. Deine Daten werden ausschließlich dazu verwendet, dir die angeforderten CRM-Funktionen bereitzustellen.

9. KI-gestützte Funktionen (Anthropic Claude)

Pelatis CRM bietet optionale KI-gestützte Funktionen, darunter Lead-Zusammenfassungen, Meeting-Briefings, Lead-Anreicherung, KI-Chat und KI-gestützte Textbearbeitung. Diese Funktionen nutzen die Anthropic-Claude-API als zugrunde liegendes Sprachmodell.

An Anthropic übermittelte Daten

Bei Nutzung einer KI-Funktion werden relevante Lead-Daten zur Verarbeitung an die Anthropic-API übermittelt. Dies kann umfassen: Firmenname, Kontaktnamen, E-Mail-Betreffs und -Auszüge, Notizinhalte, Anrufzusammenfassungen, Aufgabentitel und Kalendertermin-Titel. Es werden nur die für die jeweilige Funktion erforderlichen Daten gesendet.

KI-generierte Ergebnisse (wie Lead-Zusammenfassungen und Konversationsverläufe) werden in unserer EU-basierten Datenbank gespeichert. Anthropic speichert deine Daten nicht nach der Verarbeitung. Die Datenverarbeitung durch Anthropic erfolgt gemäß deren kommerziellen API-Bedingungen, die die Nutzung von Kundendaten für das Modelltraining ausschließen.

Wir erfassen die KI-Nutzung pro Organisation zu Abrechnungszwecken, einschließlich des verwendeten Modells, der Token-Anzahl, des Funktionsnamens und der zugehörigen Lead-ID.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), da die KI-Funktionen Teil des abonnierten Dienstes sind, sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), da du die Nutzung jeder KI-Funktion aktiv auslöst.

10. Telefonie (Twilio)

Pelatis CRM bietet optionale VoIP-Telefonie- und SMS-Funktionen, die von Twilio bereitgestellt werden. Bei Aktivierung der Telefonie wird ein Twilio-Unterkonto für deine Organisation erstellt.

Über Twilio verarbeitete Daten

Folgende Daten werden an Twilio übermittelt und dort verarbeitet: Telefonnummern (Anrufer und Empfänger), Anrufdauer und -status, SMS-Nachrichteninhalte sowie Anrufaufzeichnungen (sofern aktiviert). Für die regulatorische Compliance (A2P-Registrierung) können Geschäftsregistrierungsdaten wie Firmenname, Adresse und Kontaktdaten des bevollmächtigten Vertreters an Twilio übermittelt werden.

Anrufaufzeichnungen werden von Twilio heruntergeladen und in unserem EU-basierten Cloud-Speicher (Cloudflare R2) gespeichert. Aufzeichnungen sind nur für autorisierte Benutzer innerhalb deiner Organisation über zeitlich begrenzte vorsignierte URLs zugänglich.

Twilio-API-Zugangsdaten werden verschlüsselt gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

11. Zahlungsabwicklung (Stripe)

Wir nutzen Stripe für die Abonnementabrechnung und Zahlungsabwicklung. Wenn du ein kostenpflichtiges Abo abschließt, werden deine Zahlungsdaten (Kreditkarte oder SEPA-Daten) direkt von Stripe erhoben und verarbeitet. Wir speichern keine vollständigen Zahlungsdaten auf unseren Servern. Von Stripe erhalten wir: eine Kunden-ID, den Abonnementstatus, Planinformationen und Abrechnungsereignisse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Weitere Informationen findest du in der Datenschutzerklärung von Stripe unter https://stripe.com/privacy.

12. Transaktions-E-Mails (Resend)

Wir nutzen Resend als E-Mail-Zustelldienst für Transaktions-E-Mails wie Passwort-Zurücksetzen-Links, E-Mail-Verifizierung, Team-Einladungen und Benachrichtigungs-Digests. Deine E-Mail-Adresse und dein Name werden zu diesem Zweck an Resend übermittelt. Resend verarbeitet diese Daten ausschließlich in unserem Auftrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

13. Dateispeicherung und -verarbeitung

Von Nutzern hochgeladene Dateien (Anhänge, Dokumente, Importdateien) werden auf Cloudflare R2 gespeichert, einem S3-kompatiblen Cloud-Speicherdienst mit Servern in der EU. Dateien sind nur über zeitlich begrenzte vorsignierte URLs zugänglich.

Alle hochgeladenen Dateien werden vor der Freigabe auf Viren und Schadsoftware geprüft. Dateien, die die Prüfung nicht bestehen, werden markiert und nicht ausgeliefert.

Datenexporte (CSV-Dateien) werden vorübergehend auf Cloudflare R2 gespeichert und über vorsignierte Download-URLs bereitgestellt. Importdateien, die beim CSV-Datenimport hochgeladen werden, werden ebenfalls auf Cloudflare R2 zur Verarbeitung gespeichert.

Wenn du KI-Kontextdokumente hochlädst, wird deren Textinhalt extrahiert und in unserer Datenbank gespeichert, um in KI-Prompts für die Editor-Assist-Funktion einbezogen zu werden.

14. Lead-Anreicherung (Web-Scraping)

Die optionale Lead-Anreicherungsfunktion führt serverseitige HTTP-Anfragen an die öffentlich zugängliche Website-URL durch, die im Lead-Datensatz hinterlegt ist. Der abgerufene Webseiteninhalt wird an die Anthropic-API gesendet, um Unternehmensinformationen (Branche, Mitarbeiterzahl, Beschreibung) zu extrahieren. Es werden keine personenbezogenen Daten von Website-Besuchern durch diesen Prozess erhoben.

15. Webhooks und öffentliche API

Du kannst ausgehende Webhooks konfigurieren, die CRM-Ereignisdaten (wie Lead-Erstellung, Statusänderungen oder neue Aktivitäten) an externe URLs deiner Wahl senden. Diese Datenweitergabe wird vollständig von dir initiiert und kontrolliert. Webhook-Payloads werden kryptografisch zur Authentizitätsprüfung signiert. Zustellungsversuche und -ergebnisse werden zu Debug-Zwecken protokolliert.

Die öffentliche REST-API ermöglicht es externen Systemen, CRM-Daten mithilfe von bereichsbeschränkten API-Schlüsseln zu lesen und zu schreiben. Die API-Schlüssel-Nutzung (Zeitstempel der letzten Verwendung) wird zu Sicherheitszwecken erfasst.

16. Aktivitätsprotokoll

Pelatis CRM protokolliert wesentliche administrative Aktionen (z. B. Benutzerverwaltung, Berechtigungsänderungen, Datenlöschung) in einem Aktivitätsprotokoll, einschließlich der IP-Adresse der handelnden Person.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Sicherheit, Rechenschaftspflicht und Betrugsprevention.
• Aufbewahrung: Einträge im Aktivitätsprotokoll werden aufbewahrt, bis sie vom Organisationsinhaber manuell gelöscht werden.
• Zugriff: Nur Organisationsadministratoren und -inhaber können die Daten des Aktivitätsprotokolls einsehen. IP-Adressen sind in der Benutzeroberfläche standardmäßig ausgeblendet.

17. Auftragsverarbeiter

Wir setzen die folgenden Drittanbieter (Auftragsverarbeiter) zur Erbringung unseres Dienstes ein:

• Hetzner (Gunzenhausen, Deutschland) — Server-Hosting, EU (Frankfurt)
• Cloudflare (San Francisco, USA) — Dateispeicherung (R2), Daten in der EU gespeichert
• Anthropic (San Francisco, USA) — KI-Sprachmodell-API, Daten werden nach der Verarbeitung nicht gespeichert
• Twilio (San Francisco, USA) — VoIP-Telefonie und SMS
• Stripe (San Francisco, USA) — Zahlungsabwicklung
• Resend (San Francisco, USA) — Transaktions-E-Mail-Zustellung
• Google (Mountain View, USA) — Gmail- und Kalender-Integration (nutzerinitiiert)
• Microsoft (Redmond, USA) — Outlook-E-Mail- und Kalender-Integration (nutzerinitiiert)

Für US-basierte Auftragsverarbeiter werden Datenübermittlungen durch Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO und/oder das EU-U.S. Data Privacy Framework abgesichert. Wir stellen sicher, dass alle Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen zum Schutz deiner Daten aufrechterhalten.

18. Datenaufbewahrung

Wir bewahren deine Daten für die Dauer deines aktiven Kontos auf. Bei Kontolöschung oder Kündigung werden deine Daten 30 Tage lang aufbewahrt, um einen Export zu ermöglichen, danach werden sie endgültig gelöscht. Dies umfasst alle CRM-Daten, hochgeladene Dateien, KI-Konversationsverläufe, Anrufaufzeichnungen und Integrationsdaten. Server-Logdateien werden 14 Tage aufbewahrt. Einträge im Aktivitätsprotokoll werden aufbewahrt, bis sie vom Organisationsinhaber manuell gelöscht werden. Abrechnungsunterlagen werden gemäß den geltenden steuer- und handelsrechtlichen Vorschriften aufbewahrt (in Deutschland in der Regel 10 Jahre).

19. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — du kannst deine Daten jederzeit über die integrierte CSV-Export-Funktion exportieren
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Wende dich hierzu an: [email protected].

20. Beschwerderecht bei einer Aufsichtsbehörde

Wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt, hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

21. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unseres Dienstes anzupassen. Die aktuelle Version findest du stets auf dieser Seite.