Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

codea IT-Services GmbH
Mindermannweg 31
22609 Hamburg, Deutschland
Vertreten durch Juri Schewe und Max Biege

E-Mail für Datenschutzanfragen: info@codea.de
Telefon: +49 (0)40 88 21 80 68

Weitere Anbieterangaben finden Sie im Impressum. Die Bestellung und gegebenenfalls gesonderten Kontaktdaten eines Datenschutzbeauftragten sind vor der Freigabe zu bestätigen.

2. Geltungsbereich und Rollenverteilung

Diese Informationen betreffen das codea Mini-CRM. Für die Verwaltung eigener Vertragsbeziehungen, Benutzerzugänge und die Sicherheit des Betriebs ist codea verantwortlich. Soweit ein Kunde personenbezogene Daten in seinem Mandanten verwaltet, ist grundsätzlich dieser Kunde für deren Verarbeitung verantwortlich. codea verarbeitet diese Daten nach seinen Weisungen als Auftragsverarbeiter auf Grundlage eines Vertrags gemäß Art. 28 DSGVO.

Für die Rechtmäßigkeit eingetragener Kontakt-, Beschäftigten- und Kundendaten, erforderliche Einwilligungen und Informationen gemäß Art. 13 bzw. 14 DSGVO ist der jeweilige Kunde verantwortlich. Datenschutzanfragen zu diesen Inhalten richten Sie bitte an ihn; codea unterstützt ihn bei der Erfüllung seiner Pflichten.

3. Hosting: aktueller Betrieb und geplante Umstellung

Aktueller Betrieb

Die Anwendung wird derzeit über Lovable Cloud bereitgestellt; Datenhaltung, Anmeldung und Dateispeicherung sind noch an diesen Betrieb angebunden. Der vollständige Umzug zu Hetzner ist nicht abgeschlossen. Die für diesen aktuellen Betrieb geltenden Vertragsgesellschaften, Unterauftragnehmer, Verarbeitungsorte und Transfergarantien müssen vor einer rechtlichen Freigabe anhand der tatsächlich vereinbarten Cloud-Verträge ergänzt werden. Die nachfolgende Hetzner-Beschreibung ersetzt diese Angaben nicht.

Geplanter Betrieb bei Hetzner

Für das Hosting der Anwendung einschließlich Datenbank, Anmeldedienst, Dateien und Backups ist die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland vorgesehen. Hetzner wird dabei als Infrastruktur-Auftragsverarbeiter eingesetzt. Grundlage muss ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO sein; sein Abschluss für diesen Betrieb ist noch zu bestätigen.

Der konkrete Serverstandort und die Backup-Standorte stehen noch nicht verifiziert fest. Hetzner bietet auch Standorte außerhalb Deutschlands und der EU an; die deutsche Unternehmensanschrift ist kein Nachweis für ausschließlich deutsche Speicherung. Maßgeblich sind das gebuchte Produkt, die gewählte Region und die tatsächlich eingesetzten Unterauftragnehmer.

Bei Seitenaufrufen können IP-Adresse, Zeitpunkt, angeforderte URL, Browser- und Betriebssysteminformationen sowie Statuscodes für die Auslieferung, Fehleranalyse und Abwehr von Angriffen verarbeitet werden. Für notwendige Vertragsleistungen gilt Art. 6 Abs. 1 lit. b DSGVO; für die Absicherung des Betriebs Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist ein sicherer, verfügbarer Dienst. Der tatsächlich konfigurierte Logumfang und dessen Löschfrist sind vor der Freigabe festzulegen.

Offizielle Quellen: Hetzner-Datenschutzhinweise, Auftragsverarbeitungsvertrag und Unterauftragnehmer.

4. Benutzerkonto, Einladung und Anmeldung

Verarbeitet werden insbesondere Name, E-Mail-Adresse, geschützte Authentifizierungsdaten, Sitzungsinformationen, Rolle, Mandantenzugehörigkeit sowie Einladungs- und Bestätigungsstatus. Der Zugang wird ausschließlich per Einladung eingerichtet; eine eigenständige Registrierung wird nicht angeboten. Beim erstmaligen Einrichten über einen gültigen signierten Einladungslink wird die E-Mail-Zugehörigkeit über diesen Link nachgewiesen. Eine zusätzliche Bestätigungs-E-Mail ist für diese Einladungsstrecke nicht erforderlich.

Die Daten dienen Kontoeinrichtung, Anmeldung, Passwortwiederherstellung und Berechtigungsverwaltung. Soweit die Person selbst Vertragspartner ist, gilt Art. 6 Abs. 1 lit. b DSGVO. Für die Bereitstellung und Absicherung des Teamzugangs von Beschäftigten oder anderen berechtigten Personen gilt grundsätzlich Art. 6 Abs. 1 lit. f DSGVO. Die Rechtsgrundlage des Kunden für die Nutzung durch seine Beschäftigten ist gesondert zu beurteilen. Ohne die erforderlichen Angaben kann kein Benutzerzugang bereitgestellt werden.

Optionale Google-Anmeldung

Die Anwendung bietet eine Google-Anmeldung an. Wenn Sie diese auswählen, werden Sie zu Google weitergeleitet. Dabei werden Anmeldeinformationen und die für die Identifikation freigegebenen Kontodaten, insbesondere E-Mail-Adresse und gegebenenfalls Name oder Profilbild, ausgetauscht. Anbieter für Nutzer im EWR ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; weitere Gesellschaften wie Google LLC in den USA können beteiligt sein. Die Anmeldung mit E-Mail und Passwort bleibt als Alternative verfügbar.

Es gelten außerdem die Datenschutzinformationen von Google. Die tatsächlich freigegebenen Daten, die produktive Anmeldekonfiguration und gegebenenfalls erforderliche Einwilligungen oder Transfergarantien müssen vor Freigabe abgeglichen werden. Ob die Google-Anmeldung nach dem Umzug beibehalten wird, ist noch nicht entschieden.

5. Zugangsanfrage über die Startseite

Über das Formular auf der Startseite können Sie einen Zugang anfragen. Verarbeitet werden Name, E-Mail-Adresse, optional Firma, Teamgröße und Ihre Nachricht sowie der Zeitpunkt der Anfrage. Zur Missbrauchsabwehr enthält das Formular ein für Menschen unsichtbares Prüffeld und eine Mengenbegrenzung je E-Mail-Adresse; dafür werden keine Cookies gesetzt und keine Profile gebildet.

Zweck ist die Bearbeitung Ihrer Anfrage, die Kontaktaufnahme und gegebenenfalls die Einrichtung eines Arbeitsbereichs. Rechtsgrundlage sind vorvertragliche Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Beantwortung geschäftlicher Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben sind nur für befugte Betreiberadministratoren von codea einsehbar.

Nach dem Absenden erhalten Sie und die zuständigen Administratoren eine Benachrichtigung per E-Mail über Brevo (siehe Abschnitt 8). Die Angaben werden gelöscht, sobald die Anfrage erledigt ist und keine Vertragsbeziehung entsteht oder Sie der Verarbeitung widersprechen; eine verbindliche Löschfrist für erledigte Anfragen ist vor der Freigabe festzulegen. Sie werden ohne Ihre gesonderte Einwilligung nicht für Newsletter verwendet.

6. CRM-Inhalte, Dokumente und Teamzugriff

Je nach Nutzung werden Kontakt- und Firmendaten, Anschriften, Notizen, Aktivitäten, Aufgaben, Deals, Positionen, Preise, Beteiligte, individuelle Felder, Auswertungen und hochgeladene Dokumente verarbeitet. Zweck ist die vom jeweiligen Kunden bestimmte Organisation seiner Geschäftsbeziehungen. Die Rechtsgrundlage für diese Daten bestimmt der verantwortliche Kunde; sie kann insbesondere Art. 6 Abs. 1 lit. b oder f DSGVO sein.

CRM-Daten werden mandantenbezogen verarbeitet. Berechtigte Teammitglieder greifen entsprechend ihrer Rolle darauf zu. Dateien werden nicht als öffentliches Dateiverzeichnis bereitgestellt. Befugte Betreiberadministratoren können im erforderlichen Umfang für Administration und Support zugreifen. Die Trennung der Mandanten ersetzt nicht die Prüfung der Berechtigungen innerhalb eines Teams.

7. Verbundene E-Mail-Postfächer und CardDAV

Beim Verbinden eines Postfachs werden Serveradressen, Benutzerkennung und verschlüsselt gespeicherte Zugangsdaten verarbeitet. Über IMAP werden Nachrichten und Metadaten synchronisiert; über SMTP können Nachrichten mit dem verbundenen Mailanbieter versendet werden. Synchronisierte Inhalte umfassen insbesondere Absender, Empfänger, Betreff, Datum und Nachrichtentext. Der jeweilige Postfachanbieter verarbeitet zusätzlich Daten nach seinen eigenen Bedingungen und im Rahmen der Vereinbarungen des Kunden.

Nachrichten können Kontakten, Firmen und Deals zugeordnet werden. Persönliche und im Team freigegebene Nachrichten unterscheiden sich in ihren Zugriffsrechten. Zweck ist die Verwaltung geschäftlicher Korrespondenz. Die Rechtsgrundlage und zulässige Postfachnutzung bestimmt der verantwortliche Kunde. Das CRM-Postfach ist vom Brevo-Systemmailversand getrennt.

Optionales, mandantenweit freigeschaltetes CardDAV erlaubt berechtigten Geräten das Lesen von Kontaktdaten. Gerätezugänge sind personenbezogen und widerrufbar; das CRM unterstützt über CardDAV keine Schreibzugriffe. Die weitere Speicherung auf einem Endgerät unterliegt der Verantwortung des jeweiligen Nutzers bzw. Kunden.

8. Transaktionale Systemmails über Brevo

Einladungen, Passwort- und gegebenenfalls erforderliche Bestätigungsmails sowie Eingangsbestätigungen und Benachrichtigungen zu Zugangsanfragen werden über die Brevo-API versendet. Anbieter laut veröffentlichten Vertragsbedingungen ist Brevo, eine französische vereinfachte Aktiengesellschaft (SAS), 9–17, rue Salneuve, 75017 Paris, Frankreich, eingetragen im Handelsregister Paris unter 498 019 298. Der tatsächliche Vertragspartner des verwendeten Kontos ist vor Freigabe mit den Vertragsunterlagen abzugleichen.

An Brevo werden Empfängeradresse, Absenderangaben, Betreff, E-Mail-Inhalt und Versandkennzeichnung übermittelt. Einladungen enthalten den Mandantennamen und einen signierten Einladungslink; Passwort- und Bestätigungsmails enthalten die vom Anmeldedienst erzeugten Aktionslinks. Diese Links können Zugangsvorgänge auslösen und sind vertraulich zu behandeln. Das gewählte Passwort wird nicht an Brevo übermittelt. Brevo verarbeitet außerdem technische Versand- und Zustellinformationen, etwa Versandzeit, Zustellstatus, Fehler und gegebenenfalls Sperrlisteneinträge.

Zwecke sind die sichere Bereitstellung des eingeladenen Zugangs, erforderliche Kontoaktionen und die Zustellung dieser Nachrichten. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für Vertragsleistungen oder Art. 6 Abs. 1 lit. f DSGVO für sichere Team- und Kontoverwaltung. Diese Systemmails sind keine Newsletter; aus ihrer Zustellung folgt keine Einwilligung in Werbung.

Brevo wird für den Versand als Auftragsverarbeiter eingesetzt. Die veröffentlichten Vertragsbedingungen enthalten den Auftragsverarbeitungsvertrag in Anhang 3 und eine Unterauftragnehmerliste. Dort werden unter anderem Hosting in Frankreich und Belgien sowie weitere Infrastruktur- und Supportanbieter mit möglichen USA-Bezügen genannt. Eine ausschließlich deutsche oder ausschließlich europäische Verarbeitung wird daher nicht zugesichert. Tatsächlich verwendete Dienste und etwaige Drittlandzugriffe sind anhand des Vertrags und der Kontoeinstellungen zu prüfen.

Brevos Unterauftragnehmerliste nennt je nach Anbieter Standardvertragsklauseln, ergänzende Maßnahmen, verbindliche interne Datenschutzvorschriften oder das EU–US Data Privacy Framework. Welche Garantie für einen konkreten Transfer trägt, ist nach Art. 44 ff. DSGVO zu prüfen; ein Angemessenheitsbeschluss gilt nur in seinem jeweiligen Anwendungsbereich und bei US-Unternehmen nur bei einschlägiger gültiger Zertifizierung.

Die Anwendung fordert keine Öffnungs- oder Klickauswertung ausdrücklich an. Ob Brevo solche Funktionen über Kontoeinstellungen aktiviert hat, ist noch nicht verifiziert. Vor Freigabe sind diese Einstellungen zu prüfen und für reine Systemmails ohne entsprechende Rechtsgrundlage zu deaktivieren; die erforderlichen Versand- und Zustellnachweise sind davon zu unterscheiden.

Offizielle Quellen: Brevo-Vertragsbedingungen, Auftragsverarbeitung und Unterauftragnehmer sowie Brevo-Datenschutzhinweise. Vertragsabschluss und Löschkonfiguration für das verwendete Konto sind noch zu bestätigen.

9. Browser-Speicher, Schriften und Kartenlinks

Für die Anmeldung werden technisch erforderliche Sitzungsinformationen im Browser gespeichert. Soweit der Zugriff auf das Endgerät unbedingt erforderlich ist, erfolgt er nach § 25 Abs. 2 Nr. 2 TDDDG; die personenbezogene Verarbeitung beruht je nach Zweck auf Art. 6 Abs. 1 lit. b oder f DSGVO. Nicht erforderliche Tracking-Technologien benötigen vor ihrem Einsatz eine wirksame Einwilligung. Das bloße Weiternutzen der App ist keine solche Einwilligung.

Derzeit lädt die Anwendung die Schriftarten Urbanist und Epilogue von Google Fonts. Dabei verbindet sich der Browser mit Google-Servern; insbesondere IP-Adresse und technische Anfragedaten können an Google gelangen. Anbieterinformationen finden Sie in den Google-Datenschutzhinweisen. Für den Hetzner-Betrieb ist eine lokale Bereitstellung ohne diese externen Schriftanfragen vorgesehen, aber noch nicht umgesetzt. Die aktuelle Einbindung und ihre Rechtsgrundlage müssen vor Freigabe angepasst bzw. geprüft werden.

Die PLZ-Erkennung nutzt lokal eingebundene Daten. Dabei werden keine eingegebenen Adressen an OpenStreetMap oder einen PLZ-Dienst gesendet. Google Maps ist nicht eingebettet. Erst wenn Sie einen Kartenlink öffnen, wird die ausgewählte Adresse in der Ziel-URL an Google übergeben; Google verarbeitet die weiteren Daten des Besuchs nach seinen Bedingungen. Quellen und Lizenzen finden Sie unter Quellen & Lizenzen.

10. Sicherheit, weitere Empfänger und Drittlandtransfers

Zugangskontrolle, mandantenbezogene Berechtigungen und Sicherheitsprotokolle dienen der Absicherung des Dienstes. Protokolliert werden können Akteur, E-Mail-Adresse, Aktion, betroffene Objekte, Zeitpunkt und technische Zusatzinformationen zu sensiblen Verwaltungs- und Mailvorgängen. Für codeas eigene Betriebssicherheit ist Art. 6 Abs. 1 lit. f DSGVO maßgeblich; im Auftrag verarbeitete Daten unterliegen zusätzlich den Weisungen des Kunden.

Empfänger können befugte Mitarbeiter und Administratoren, die hier genannten Dienstleister, vom Kunden gewählte Postfachanbieter, berechtigte Geräte und gesetzlich zuständige Behörden sein. Fehlerdiagnosen im aktuellen Vorschau- und Cloud-Betrieb können zusätzlich technische Fehler- und Nutzungsinformationen verarbeiten. Umfang, beteiligte Dienstleister und Speicherorte dieses Betriebs sind vor Freigabe zu vervollständigen.

Bei Übermittlungen außerhalb des EWR sind Art. 44 ff. DSGVO zu beachten. Hetzner-Hosting allein verhindert keine Drittlandverarbeitung über Brevo, Google oder andere verbundene Dienste. Informationen zu den konkret einschlägigen Garantien und gegebenenfalls Kopien können über den oben genannten Datenschutzkontakt angefragt werden, soweit gesetzliche Voraussetzungen und Schutzrechte Dritter dies zulassen.

11. Speicherdauer und Löschung

Daten werden nur so lange verarbeitet, wie der jeweilige Zweck dies erfordert. Vertrags- und Buchhaltungsunterlagen unterliegen, soweit einschlägig, den gesetzlichen Aufbewahrungspflichten, insbesondere nach Handels- und Steuerrecht. Für vom Kunden verwaltete CRM-Inhalte bestimmt dieser die erforderliche Speicherdauer und Löschung; codea setzt die vertraglich vereinbarten Weisungen um.

Beim Entfernen eines Teammitglieds werden dessen zugehörige Einladung und Einladungsverlauf im Mandanten entfernt. Dies ist nicht gleichbedeutend mit der Löschung des Benutzerkontos oder aller von der Person bearbeiteten CRM-Inhalte. Sicherheitsprotokolle sind getrennte Nachweise. Die Löschung eines Mandanten entfernt seine operativen CRM- und verbundenen Postfachdaten; Nachrichten beim ursprünglichen Mailanbieter werden dadurch nicht gelöscht.

Für Serverlogs, Benutzerkonten, Sicherheitsprotokolle, Brevo-Versanddaten und Backups sind die verbindlichen Löschfristen und tatsächlichen Löschverfahren noch festzulegen und zu dokumentieren. Es wird keine bereits eingerichtete automatische Löschung nach einer bestimmten Frist zugesichert. Die Gültigkeit eines Einladungslinks ist keine Speicherfrist. Vertragliche Löschregeln müssen auch Brevo und Backups einschließen; Sperrlisteneinträge und gesetzlich erforderliche Nachweise sind gesondert zu beurteilen.

12. Ihre Datenschutzrechte

Bei Vorliegen der gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.

Widerspruch nach Art. 21 DSGVO: Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen. Gegen Direktwerbung besteht ein jederzeitiges Widerspruchsrecht, einschließlich damit zusammenhängenden Profilings. Anfragen zu codeas eigener Verarbeitung richten Sie an info@codea.de; bei CRM-Daten eines Kunden wenden Sie sich an diesen.

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort eines mutmaßlichen Verstoßes. Für codea in Hamburg ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit zuständig: Ludwig-Erhard-Str. 22, 20459 Hamburg, Telefon +49 (0)40 428 54 – 4040, E-Mail mailbox@datenschutz.hamburg.de. Beschwerdeformulare und Informationen: datenschutz-hamburg.de.

13. Automatisierte Entscheidungen

Die gegenwärtigen CRM-Funktionen ordnen Daten zu und unterstützen die Verwaltung. codea setzt in diesen Funktionen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung gemäß Art. 22 DSGVO ein. Setzt ein Kunde solche Verfahren auf Basis seiner CRM-Daten ein, muss er dies gesondert prüfen und erläutern.

Vor der rechtlichen Freigabe

• Hetzner-Umstellung tatsächlich abschließen und Server- sowie Backup-Standorte dokumentieren.
• Auftragsverarbeitungsverträge mit Kunden, Hetzner und Brevo sowie tatsächlich eingesetzte Unterauftragnehmer und Transfergarantien prüfen.
• Angaben zum aktuellen Cloud-Betrieb vervollständigen, solange dieser noch genutzt wird.
• Google-Anmeldung, externe Schriftanfragen, Diagnosefunktionen und Brevo-Tracking mit dem tatsächlichen Betrieb abgleichen.
• Verbindliche Löschfristen und -verfahren für Logs, Konten, Zugangsanfragen, Versanddaten und Backups festlegen; Datenschutzbeauftragtenstatus bestätigen.
• Die Erklärung mit den produktiven Einstellungen und Verträgen rechtlich prüfen lassen.