Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Maron Kornath (Einzelunternehmen, Energieberater)
Kastanienweg 12
53842 Troisdorf
Deutschland
Telefon: +49 173 2942350
E-Mail: maronrusty377@gmail.com

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht erforderlich. Die gesetzlichen Schwellen nach § 38 BDSG (in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind) sind nicht erreicht. Datenschutzanfragen richten Sie bitte direkt an den Verantwortlichen (siehe Abschnitt 1).

3. Allgemeine Hinweise zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzerinnen und Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Anwendung sowie unserer vertraglichen Leistungen erforderlich ist. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

4. Hosting, Datenbank, Authentifizierung — Firebase / Google Cloud

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (für Nutzer im EWR), zugehörig zu Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Zweck: Bereitstellung der CRM-Webanwendung (angeboten unter den Marken „dersieber CRM" und „AGI-CRM"), Speicherung von CRM-Daten, Nutzerauthentifizierung, Datei-Speicher, serverseitige Verarbeitung (Cloud Functions), Push-Benachrichtigungen (Firebase Cloud Messaging) sowie Schutz der Backend-APIs vor Missbrauch (Firebase App Check). Die Anwendung wird primär in der Region europe-west3 (Frankfurt am Main) betrieben.

Datenarten: E-Mail-Adresse, verschlüsseltes Passwort, Anmeldezeitpunkte, eindeutige Nutzer-ID, vom Nutzer eingestellte CRM-Daten (Kundendaten, Projekte, Aufgaben, Notizen, Termine, Anhänge), Geräte-IDs für Push-Benachrichtigungen, IP-Adresse, technische Logdaten.

Empfänger / Sitz: Google Ireland Limited (Irland) und verbundene Unternehmen der Google-Gruppe; Datenübermittlung in die USA möglich.

Drittlandtransfer: Google LLC (USA) ist nach dem EU-U.S. Data Privacy Framework (DPF) zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023). Ergänzend werden Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) eingesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Verarbeitung ist zur Bereitstellung des Dienstes erforderlich); für App-Check und Sicherheits-Logs zusätzlich Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsschutz).

Speicherdauer: CRM-Daten bis zur Vertragsbeendigung zuzüglich 30 Tage Export-Frist (siehe AGB § 7); technische Logs i. d. R. 30 Tage; Authentifizierungsdaten bis zur Account-Löschung.

Datenschutzerklärung Google: https://policies.google.com/privacy

5. Zahlungsabwicklung — Stripe

Anbieter: Stripe Payments Europe Ltd, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland; technisch verbunden mit Stripe Inc., 510 Townsend Street, San Francisco, CA 94103, USA.

Zweck: Abwicklung von Abonnementzahlungen (Tarifgebühren), Verwaltung der Kundenstammdaten für die Rechnung, Betrugsprävention.

Datenarten: Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsmittel-Daten (Kreditkarte oder SEPA — werden ausschließlich an Stripe übermittelt und nicht bei uns gespeichert), Workspace-ID, Stripe-Customer-ID, Abonnement- und Rechnungshistorie.

Empfänger / Sitz: Stripe Payments Europe Ltd (Irland), Stripe Inc. (USA).

Drittlandtransfer: Stripe Inc. (USA) ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Zahlungsabwicklung ist Voraussetzung für die kostenpflichtige Nutzung).

Speicherdauer: Zahlungs- und Rechnungsdaten werden entsprechend handels- und steuerrechtlicher Aufbewahrungsfristen (§ 257 HGB, § 147 AO — i. d. R. 10 Jahre) aufbewahrt.

Datenschutzerklärung Stripe: https://stripe.com/de/privacy

6. Transaktions-E-Mails — Brevo

Anbieter: Sendinblue (vereinfachte Aktiengesellschaft nach französischem Recht, Markenauftritt „Brevo"), 9-17, rue Salneuve, 75017 Paris, Frankreich; eingetragen im Handelsregister Paris unter Nr. 498 019 298.

Zweck: Versand transaktionaler E-Mails aus der Anwendung — insbesondere die Bestätigungs-E-Mail (Double-Opt-In) und die Eingangs-Hinweis-E-Mail zu Interessenten-Anfragen über agi-crm.com (Abschnitt 18), Workspace-Einladungen, Termin-Erinnerungen sowie Konto- und Abrechnungs-Benachrichtigungen.

Datenarten: Name und E-Mail-Adresse des Empfängers, Betreff und Inhalt der jeweiligen E-Mail (bei Interessenten-Anfragen z. B. der Bestätigungslink und die im Formular gemachten Angaben), technische Versand- und Zustelldaten.

Empfänger / Sitz: Sendinblue („Brevo", Frankreich); nach Anbieterangaben werden konzernverbundene Unternehmen als Sub-Auftragsverarbeiter eingesetzt, darunter die Brevo GmbH (Berlin, Deutschland) und Sendinblue Inc. (USA) für Kundenbetreuung und Wartung.

Drittlandtransfer: Das Hosting der Versanddaten erfolgt nach Anbieterangaben in Rechenzentren in Frankreich und Belgien (OVH, Google Cloud Platform). Zugriffe der US-Konzerngesellschaft sind über das EU-U.S. Data Privacy Framework und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen — etwa die Bestätigung einer Interessenten-Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der zuverlässigen Zustellung von System-Benachrichtigungen).

Speicherdauer: Versand- und Zustelldaten werden nur so lange verarbeitet, wie es für die Zustellung und deren Nachweis erforderlich ist. Für die zugrunde liegenden Daten gelten die Fristen der jeweiligen Abschnitte (für Interessenten-Anfragen: Abschnitt 18).

Datenschutzerklärung Brevo: https://www.brevo.com/de/legal/privacypolicy/

7. KI-Funktionen — Google Gemini API

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google AI / Gemini API).

Zweck: KI-gestützte Funktionen innerhalb des CRM — KI-Assistent (Chat-Widget), KI-Import von CSV- und Screenshot-Daten, KI-Diktat-Strukturierung, Smart Autofill für Formularfelder.

Datenarten: Vom Nutzer eingegebene Texte und Inhalte (Chat-Anfragen, hochgeladene CSV-Inhalte, Screenshots, Diktate), zugehörige Workspace- und Nutzer-IDs.

Empfänger / Sitz: Google Ireland Limited (Irland), Google LLC (USA). Eingaben werden gemäß Google-AI-Nutzungsbedingungen für die zahlungspflichtige API nicht zum Training der allgemeinen Modelle verwendet.

Drittlandtransfer: Google LLC (USA) ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — KI-Funktionen sind ab Tarif „Starter" Bestandteil des gebuchten Leistungsumfangs). KI-Funktionen sind im Free-Tarif standardmäßig deaktiviert.

Speicherdauer: Anfragen werden bei Google im Rahmen der API-Verarbeitung temporär gespeichert (Caching, Missbrauchsanalyse) und nach maximal 55 Tagen gelöscht.

Hinweis: Geben Sie über KI-Funktionen keine besonders sensiblen personenbezogenen Daten Dritter ein (z. B. Gesundheitsdaten), sofern hierfür keine Rechtsgrundlage besteht.

8. Karten-Tiles — OpenFreeMap (über Cloudflare)

Anbieter: OpenFreeMap (kostenfreie Open-Source-Tiles auf Basis von OpenStreetMap-Daten), ausgeliefert über die Cloudflare Inc. Edge-Infrastruktur, 101 Townsend St, San Francisco, CA 94107, USA.

Zweck: Anzeige von Vertriebsgebieten und Standorten auf interaktiven Karten innerhalb des CRM.

Datenarten: IP-Adresse des Endgeräts (technisch zwingend für die Auslieferung), aufgerufene Kartenausschnitte (Tile-URLs), Browser-Header, Zeitstempel.

Empfänger / Sitz: Cloudflare Inc. (USA / globales Edge-Netz, Auslieferung typischerweise vom geografisch nächsten Rechenzentrum innerhalb der EU).

Drittlandtransfer: Möglich. Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend werden Standardvertragsklauseln eingesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer performanten und kostengünstigen Karten-Darstellung ohne Aufbau eines Tracking-Profils).

Speicherdauer: Cloudflare-seitige Edge-Logs werden i. d. R. nach wenigen Stunden bis Tagen anonymisiert oder gelöscht. Wir selbst speichern keine Karten-Aufrufe.

9. Bot-Schutz — Cloudflare Turnstile

Anbieter: Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA.

Zweck: Schutz der Login- und Signup-Formulare vor automatisierten Angriffen (Credential-Stuffing, Bot-Anmeldungen). Turnstile arbeitet ohne sichtbares CAPTCHA-Rätsel und nutzt nicht-invasive Browser-Signale.

Datenarten: IP-Adresse, Browser-Header, eingeschränkte Browser-Telemetrie (z. B. Hardware-Concurrency, Bildschirmauflösung, Verhaltensmuster). Es werden keine Cookies zur nutzerübergreifenden Wiedererkennung gesetzt.

Empfänger / Sitz: Cloudflare Inc. (USA / globales Edge-Netz).

Drittlandtransfer: Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend werden Standardvertragsklauseln eingesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Authentifizierung und am Schutz vor Missbrauch). Da Turnstile keine optionalen Cookies setzt und für die Sicherheit unverzichtbar ist, ist keine separate Einwilligung nach § 25 TDDDG (vormals TTDSG) erforderlich.

Speicherdauer: Sicherheits-Token sind nur wenige Minuten gültig; Cloudflare löscht zugehörige Telemetriedaten nach kurzer Frist.

10. Optional: Google Calendar API (nur bei aktiver Verbindung)

Sofern Sie als Nutzer Ihren Google-Kalender freiwillig mit dem CRM verbinden, verarbeiten wir Kalenderdaten zusätzlich über die Google Calendar API.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Google LLC, USA.

Zweck: Bidirektionaler Termin-Sync zwischen Ihrem Google-Kalender und dem CRM-Kalender (Lesen, Anlegen, Aktualisieren, Löschen von Terminen im verbundenen Kalender).

Datenarten: OAuth-Access- und Refresh-Token, Kalender-IDs, Termine (Titel, Zeitraum, Teilnehmer, Beschreibung, Ort), Aktualisierungs-Tokens für Webhook-Benachrichtigungen.

Empfänger / Sitz: Google Ireland Limited (Irland), Google LLC (USA).

Drittlandtransfer: Google LLC (USA) ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — erteilt durch den OAuth-Consent-Dialog von Google). Die Einwilligung ist jederzeit widerrufbar, indem Sie die Verbindung in den CRM-Einstellungen trennen oder die Berechtigung im Google-Konto entziehen.

Speicherdauer: Tokens und Termin-Spiegelung bestehen, bis Sie die Verbindung trennen oder den Account löschen.

11. Cookies und lokaler Speicher

Essenzielle Cookies / Speicher (ohne Einwilligung)

Firebase Authentication und unsere Anwendung setzen technisch notwendige Cookies und nutzen den lokalen Browser-Speicher (localStorage / IndexedDB) zur Aufrechterhaltung Ihrer Anmeldung sowie für CSRF-Schutz und Workspace-Zuordnung. Diese sind technisch erforderlich und können nicht deaktiviert werden, ohne die Funktionsfähigkeit zu zerstören.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich); Verarbeitung gem. Art. 6 Abs. 1 lit. b DSGVO.

Sicherheits-Token (Cloudflare Turnstile)

Turnstile setzt keine nutzerübergreifenden Tracking-Cookies. Siehe Abschnitt 9.

Optionale Cookies (nur mit Einwilligung)

Statistik- und Marketing-Cookies werden nur nach Ihrer ausdrücklichen Einwilligung gesetzt. Aktuell sind keine solchen Cookies aktiv, und es wird daher auch kein Cookie-Banner angezeigt. Sollten zukünftig Statistik- oder Marketing-Cookies eingesetzt werden, erfolgt dies erst nach Einführung einer Einwilligungsverwaltung (Cookie-Banner), über die Sie Ihre Einwilligung erteilen und jederzeit widerrufen können.

Rechtsgrundlage (sofern eingesetzt): § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

12. Server-Logs

Google Cloud Logging erfasst technische Log-Daten (IP-Adresse, User-Agent, Zeitstempel, aufgerufene URL, HTTP-Statuscode). Diese werden zur Fehlerbehebung und Sicherheitsüberwachung genutzt und nach spätestens 30 Tagen automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Stabilität).

13. Auftragsverarbeiter (Übersicht)

Mit folgenden Dienstleistern bestehen Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO bzw. werden über deren Standardbedingungen (Data Processing Addendum, Standardvertragsklauseln) geregelt:

• Google Ireland Limited / Google LLC (Firebase, Firestore, Auth, Storage, Functions, Cloud Messaging, App Check, Gemini API, Calendar API) — Irland / USA, DPF-zertifiziert
• Stripe Payments Europe Ltd / Stripe Inc. (Zahlungsabwicklung) — Irland / USA, DPF-zertifiziert
• Cloudflare Inc. (Karten-Tile-Auslieferung, Turnstile-Bot-Schutz) — USA, DPF-zertifiziert
• Sendinblue („Brevo", Transaktions-E-Mail-Versand, siehe Abschnitt 6) — Frankreich; Hosting in Frankreich und Belgien, US-Konzernzugriffe DPF-abgesichert

14. Speicherdauer (allgemeiner Überblick)

• Account- und CRM-Daten: bis zur Beendigung der Vertragsbeziehung zuzüglich 30 Tagen Export-Frist (siehe AGB § 7)
• Rechnungs- und Zahlungsdaten: 10 Jahre (handels-/steuerrechtliche Aufbewahrungsfristen, § 257 HGB, § 147 AO)
• Server-Logs: 30 Tage
• KI-API-Verarbeitungsspeicher (Google): bis zu 55 Tage

15. Ihre Rechte als betroffene Person

Sie haben jederzeit folgende Rechte:

• Auskunft über Ihre verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO) — insbesondere bei Verarbeitungen auf Grundlage berechtigter Interessen
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich an: maronrusty377@gmail.com

16. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem der Verantwortliche seinen Sitz hat. Eine Liste aller Aufsichtsbehörden finden Sie auf der Webseite der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI): www.bfdi.bund.de.

17. Automatisierte Entscheidungsfindung

Eine vollautomatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO (mit rechtlicher Wirkung Ihnen gegenüber) findet nicht statt. KI-Funktionen unterstützen lediglich die Eingabe und Strukturierung von Daten und treffen keine bindenden Entscheidungen.

18. Interessenten-Anfragen über agi-crm.com

Zweck: Über das Kontakt-/Anfrageformular auf der Marketing-Seite agi-crm.com können Interessenten unverbindlich einen Workspace anfragen. Die Angaben dienen ausschließlich der Bearbeitung und Beantwortung dieser Anfrage sowie der Anbahnung eines möglichen Vertragsverhältnisses. Es entsteht dabei kein Konto und kein Workspace.

Datenarten: Ansprechpartner (Name), Firma (optional), geschäftliche E-Mail-Adresse, Telefonnummer (optional), Branche, Freitext-Beschreibung des Anwendungsfalls (optional). Zusätzlich werden aus technischen Sicherheitsgründen ein pseudonymisierter IP-Hash (die rohe IP-Adresse wird nicht gespeichert) und die Browser-Kennung (User-Agent) abgelegt.

Bestätigungsverfahren (Double-Opt-In): Nach dem Absenden erhalten Sie an die angegebene Adresse eine Bestätigungs-E-Mail mit einem Bestätigungslink (Versand über den Dienst Brevo, Abschnitt 6). Der Link ist 72 Stunden gültig. Erst nach Ihrer Bestätigung wird die Anfrage bearbeitet; ohne Bestätigung verfällt sie. Das Bestätigungs-Token wird bei uns nur als kryptografischer Hash gespeichert.

Empfänger / Sitz: Speicherung in der Google-Cloud-/ Firebase-Infrastruktur (siehe Abschnitt 4). Die Bestätigungs-E-Mail an Sie und die Hinweis-E-Mail über den Eingang der bestätigten Anfrage an den Verantwortlichen (Abschnitt 1) werden über den Dienst Brevo versendet (Abschnitt 6).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Geschäftsanfragen und am Schutz des Formulars vor automatisiertem Missbrauch — IP-Hash/User-Agent). Die Angabe erfolgt freiwillig; ohne die als Pflicht gekennzeichneten Felder kann die Anfrage nicht bearbeitet werden.

Speicherdauer: Bestätigen Sie Ihre Anfrage nicht innerhalb der Gültigkeit des Bestätigungslinks (72 Stunden), wird sie nicht weiter bearbeitet und automatisch gelöscht — spätestens 30 Tage nach Ablauf des Links. Bereits bestätigte Anfragen werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind, spätestens 12 Monate nach dem letzten Kontakt, sofern kein Vertragsverhältnis zustande kommt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sie können die Löschung jederzeit verlangen (Abschnitt 15).

19. Stand dieser Datenschutzerklärung

Stand: 28.08.2026. Wir behalten uns vor, diese Erklärung bei Änderungen der Datenverarbeitung oder der Rechtslage anzupassen. Über wesentliche Änderungen informieren wir Sie aktiv per E-Mail.