Datenschutzerklärung der Intoconvo GmbH

Wenn Sie unsere Website besuchen, verarbeiten wir Ihre personenbezogenen Daten. Der Schutz dieser Daten ist uns wichtig. Wir halten uns an alle einschlägigen Gesetze, insbesondere die Datenschutz-Grundverordnung (DSGVO). In dieser Datenschutzinformation erhalten Sie alle wichtigen Informationen darüber, auf welchen Grundlagen, zu welchen Zwecken und wie lange wir Ihre Daten verarbeiten.

Verantwortlicher für die Datenverarbeitung auf dieser Website im Sinne der DSGVO ist:

Intoconvo GmbH
Agnes-Pockels-Bogen 1, 80992 München
E-Mail: info@intoconvo.com

Unser Datenschutzbeauftragter ist Gregor Klar (brainosphere 1 GmbH). Sie erreichen ihn unter: datenschutz@intoconvo.com

Clara ist ein KI-gestützter Assistent für Steuerkanzleien. Über die Clara Web-App sowie das Outlook Add-in „Clara für Outlook“ unterstützt Clara die Bearbeitung von E-Mails – insbesondere die Klassifizierung eingehender Nachrichten, die Ablage in Ordnern, die Verschlagwortung, die Erstellung von Antwortentwürfen sowie die Ablage in das Dokumentenmanagementsystem (DMS).

Verarbeitung von Kanzlei- und Mandantendaten (Auftragsverarbeitung): Im Rahmen dieser Funktionen verarbeitet Clara Inhalte und Metadaten von E-Mails sowie deren Anhänge aus den verbundenen Postfächern der Kanzlei; diese können personenbezogene Daten der Mandanten enthalten. Insoweit handelt die Intoconvo GmbH als Auftragsverarbeiter (Art. 28 DSGVO) im Auftrag und nach Weisung der jeweiligen Kanzlei, die Verantwortliche im Sinne der DSGVO ist. Grundlage ist ein mit der Kanzlei geschlossener Auftragsverarbeitungsvertrag. Die Verarbeitung erfolgt ausschließlich auf Servern in der EU bzw. im EWR. Die eingesetzten KI-Anbieter (Amazon Web Services, Google Cloud, Mistral AI) nutzen die Daten nicht zum Training von KI-Modellen und speichern sie nicht dauerhaft. Eine Übersicht der eingesetzten Unterauftragsverarbeiter sowie den AV-Vertrag finden Sie in unserem Trust Center.

Verarbeitung von Konto- und Nutzungsdaten (Verantwortlichkeit der Intoconvo GmbH): Für den Betrieb des Dienstes verarbeiten wir in eigener Verantwortung:

• Authentifizierung: Zur Anmeldung im Outlook Add-in nutzen Sie Ihr Microsoft-/Office-Konto (Single Sign-On) oder Ihre E-Mail-Adresse und ein Passwort. Verarbeitet werden Konto-Identifikatoren (z. B. Office-Objekt- und Mandanten-ID), Name und E-Mail-Adresse.
• Add-in-Kontext: Beim Öffnen des Add-ins zu einer E-Mail werden Kennungen der jeweils geöffneten Nachricht an Clara übermittelt, um den zugehörigen Kontext anzuzeigen.
• Produkt- und Fehleranalyse: Zur Analyse der Nutzung und zur Fehlererkennung setzen wir PostHog (Serverstandort EU/Frankfurt) ein. Dabei werden Name und E-Mail-Adresse der Nutzer, der Kanzleiname, Ereignis- und Nutzungsdaten, maskierte Sitzungsaufzeichnungen sowie Fehlerprotokolle erfasst, keine Inhalte aus E-Mails, Anhängen oder Chats. Da die PostHog, Inc. ihren Sitz in den USA hat, stützt sich die Übermittlung auf das EU-US Data Privacy Framework (DPF), für das PostHog zertifiziert ist, sowie ergänzend auf Standardvertragsklauseln (SCCs).

Rechtsgrundlage der Verarbeitung in eigener Verantwortung ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung des Dienstes) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität und Produktverbesserung).

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um alle von uns verarbeiteten personenbezogenen Daten – insbesondere sensible Kanzlei- und Mandantendaten aus verbundenen Postfächern – vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen. Dazu gehören insbesondere:

• Verschlüsselung: Alle Daten werden bei der Übertragung mit TLS 1.2 oder höher und bei der Speicherung mit AES-256 verschlüsselt. Zugangsdaten und Original-Inhalte von E-Mails sind zusätzlich auf Anwendungsebene mit AES-256-GCM verschlüsselt.
• Zugriffskontrolle: Der Zugriff auf personenbezogene Daten ist auf autorisiertes Personal nach dem Least-Privilege-Prinzip beschränkt und durch Zwei-Faktor-Authentifizierung abgesichert.
• Mandantentrennung: Die Daten verschiedener Kanzleien werden auf Datenbankebene strikt getrennt (Tenant-ID und PostgreSQL Row-Level Security).
• Infrastruktur: Hosting, Datenbank und Dateien liegen in Rechenzentren in der EU (Region Frankfurt am Main), KI-Verarbeitung, Mailversand und Sicherungskopien in weiteren EU-Regionen von Google Cloud und Amazon Web Services. Beide Anbieter sind nach ISO/IEC 27001 und SOC 2 zertifiziert. Die Datenbank wird täglich verschlüsselt gesichert, zusätzlich nachts bei einem zweiten Anbieter.

Eine ausführliche Übersicht unserer Sicherheitsmaßnahmen finden Sie in unserem Trust Center.

Wir hosten unsere Website bei der Google Cloud EMEA Limited, Dublin, Irland (nachfolgend: „Google Cloud"). Die Auslieferung der Inhalte erfolgt aus einem Rechenzentrum in der Europäischen Union (Region Frankfurt am Main, Deutschland); eine Verarbeitung außerhalb der Europäischen Union findet im Rahmen des Hostings nicht statt.

Wenn Sie unsere Website besuchen, werden personenbezogene Daten (z. B. IP-Adressen, Zeitstempel, aufgerufene URL, User-Agent) im Rahmen von Zugriffsprotokollen (Logfiles) bei Google Cloud verarbeitet. Diese Daten sind technisch erforderlich, um die Website ausliefern und vor Missbrauch (z. B. DDoS-Angriffen) schützen zu können.

Zweck: Sichere, schnelle und performante Bereitstellung unseres Online-Angebots.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen und sicheren Auslieferung unserer Website).

Drittstaatentransfer: Das Hosting erfolgt innerhalb der Europäischen Union (Region Frankfurt am Main); Vertragspartner ist die Google Cloud EMEA Limited mit Sitz in Irland. Mit Google haben wir einen Auftragsverarbeitungsvertrag (Data Processing Agreement) inklusive der EU-Standardvertragsklauseln geschlossen, der etwaige Zugriffe aus Drittstaaten absichert. Die Google LLC mit Sitz in den USA ist zudem nach dem „EU-US Data Privacy Framework" (DPF) zertifiziert.

Bei der bloßen informatorischen Nutzung der Website, also wenn Sie sich nicht registrieren oder uns anderweitig Informationen übermitteln, erheben wir nur die personenbezogenen Daten, die Ihr Browser an unseren Server übermittelt. Dazu zählen:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• Inhalt der Anforderung (konkrete Seite)
• Zugriffsstatus/HTTP-Statuscode
• Jeweils übertragene Datenmenge
• Website, von der die Anforderung kommt (Referrer-URL)
• Browser, Betriebssystem und dessen Oberfläche

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der technisch fehlerfreien Darstellung und der Optimierung der Stabilität und Sicherheit unserer Website.

Speicherdauer: Zugriffslogfiles werden maximal 30 Tage aufbewahrt und anschließend automatisch gelöscht.

Unsere Website verwendet technisch notwendige Cookies sowie (mit Ihrer Einwilligung) Cookies zu Analysezwecken. Technisch notwendige Cookies sind für den Betrieb der Website erforderlich (z. B. Speicherung Ihrer Cookie-Einstellungen, Sicherheitsfunktionen) und werden ohne Einwilligung gesetzt.

Analyse-Cookies werden nur gesetzt, wenn Sie über unseren Consent-Banner aktiv einwilligen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Auswahl im Cookie-Banner anpassen (Link „Cookie-Einstellungen ändern" im Footer).

Rechtsgrundlage: Für technisch notwendige Cookies Art. 6 Abs. 1 lit. f DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG. Für Analyse-Cookies Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG (Einwilligung).

Sie können das Setzen von Cookies zusätzlich in Ihren Browser-Einstellungen deaktivieren oder bereits gesetzte Cookies löschen. Bei vollständiger Deaktivierung kann es zu Funktionseinschränkungen kommen.

Zur Einholung, Verwaltung und Dokumentation Ihrer Einwilligungen in das Setzen von Cookies und den Einsatz von Tracking-Technologien setzen wir das Consent-Management-Tool Cookiebot der Cybot A/S, Havnegade 39, 1058 Kopenhagen, Dänemark, ein.

Verarbeitete Daten: Cookiebot speichert in Ihrem Browser das Cookie „CookieConsent" mit einer anonymen User-ID, Ihrem Einwilligungsstatus und dem Zeitstempel. Zusätzlich werden Ihre anonymisierte IP-Adresse, die abgegebene Einwilligung sowie Daten zum Endgerät bei Cybot A/S gespeichert.

Zweck: Nachweis und Dokumentation Ihrer Einwilligung gemäß Art. 7 Abs. 1 DSGVO und § 25 Abs. 1 TDDDG.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung zum Nachweis der Einwilligung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer rechtskonformen Einholung von Einwilligungen).

Speicherdauer: 12 Monate ab Erteilung oder erneuter Bestätigung der Einwilligung.

Serverstandort: EU (Dänemark).

Details zum Datenschutz bei Cookiebot: www.cookiebot.com/de/privacy-policy.

Auf unserer Website setzen wir (mit Ihrer Einwilligung; zur cookielosen Messung auf der Seite /testen siehe unten) PostHog ein, einen Webanalysedienst der PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA (nachfolgend: „PostHog"). Die Verarbeitung erfolgt in der EU-Cloud von PostHog mit Serverstandort Frankfurt am Main, Deutschland.

Verarbeitete Daten: Zur Analyse des Nutzungsverhaltens verwendet PostHog Cookies und localStorage sowie Identifier wie eine zufällige Nutzer-ID, Ihre IP-Adresse, Browser- und Geräteinformationen, Zeitstempel, aufgerufene Seiten und Interaktionen. Zusätzlich setzen wir Session Replay ein: Dabei werden Interaktionen mit der Website (Mausbewegungen, Klicks, Scrollverhalten, besuchte Seiten) als Sitzungsaufzeichnung erfasst; Eingaben in Formularfelder werden dabei maskiert.

Zweck: Statistische Auswertung der Websitenutzung, Identifikation von Nutzerströmen und Optimierung unseres Angebots. Wir nutzen PostHog ausschließlich zu Analyse-, nicht zu Marketing-Zwecken.

Drittstaatentransfer: Die Speicherung und Verarbeitung der Analysedaten erfolgt ausschließlich auf Servern in der EU. Soweit im Einzelfall (z. B. im Rahmen des Supports) ein Zugriff durch die PostHog, Inc. aus den USA nicht ausgeschlossen werden kann, stützt sich die Übermittlung auf das EU-US Data Privacy Framework (DPF), für das PostHog zertifiziert ist, sowie ergänzend auf Standardvertragsklauseln (SCCs) nach Art. 46 Abs. 2 lit. c DSGVO im Rahmen unseres Auftragsverarbeitungsvertrags.

Rechtsgrundlage: Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung in die Kategorie „Statistiken" wird PostHog nicht geladen, mit Ausnahme der cookielosen Messung auf der Seite /testen (siehe unten). Die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Auswahl im Cookie-Banner anpassen; bei Widerruf werden die gespeicherten Identifier in Ihrem Browser gelöscht.

Speicherdauer: Das von PostHog gesetzte Cookie hat eine Lebensdauer von 12 Monaten. Die im localStorage Ihres Browsers abgelegten Einträge haben keine automatische Ablauffrist; sie werden gelöscht, wenn Sie Ihre Einwilligung widerrufen oder Ihre Browserdaten löschen. Analysedaten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind.

Cookielose Messung auf der Seite /testen: Auf der Seite clara-agent.de/testen, auf die unsere Anzeigen verweisen, setzen wir PostHog auch ohne Ihre Einwilligung ein, dann aber ohne Cookies und ohne Einträge im localStorage oder sessionStorage: Auf Ihrem Endgerät wird dafür nichts gespeichert. Erfasst werden die aufgerufene Seite, Ihre Interaktionen auf der Seite (etwa welche Schaltfläche Sie antippen, wie weit Sie die Videos ansehen und ob dabei der Ton an ist, ob Sie das Formular absenden und die Terminbuchung öffnen oder abschließen), Browser- und Geräteinformationen sowie der Zeitpunkt. Um Besuche zählen zu können, bildet PostHog auf seinen Servern aus IP-Adresse, Browserkennung, aufgerufener Domain und einem täglich wechselnden Zufallswert einen Hashwert; die IP-Adresse wird nicht mit den Ereignissen gespeichert, und der Zufallswert wird verworfen, sodass sich Besuche an verschiedenen Tagen nicht verknüpfen lassen. Eine Sitzungsaufzeichnung findet ohne Einwilligung nicht statt. Zweck ist die Messung, wie viele Besucher die Seite erreichen, wie weit sie die Videos ansehen und wie viele sich anschließend eintragen und einen Termin buchen. Rechtsgrundlage ist unser berechtigtes Interesse an der statistischen Auswertung und Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Willigen Sie in die Kategorie „Statistiken" ein, nutzt PostHog auch auf dieser Seite Cookies wie oben beschrieben.

Weitere Informationen: posthog.com/privacy.

Auf unserer Website setzen wir (ausschließlich mit Ihrer Einwilligung) das Meta Pixel ein, ein Analyse- und Marketing-Tool der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland (nachfolgend: „Meta"). Kommen Sie über eine Anzeige auf Facebook oder Instagram zu uns, melden wir den weiteren Verlauf Ihrer Anfrage außerdem von unserem Server an Meta (Conversions API).

Verarbeitete Daten: Das Meta Pixel setzt Cookies (insbesondere „_fbp") und erfasst Ihre IP-Adresse, Browser- und Geräteinformationen, aufgerufene Seiten sowie Zeitstempel. Sofern Sie über eine Werbeanzeige auf unsere Website gelangen, wird zudem eine Klick-Kennung („fbclid") verarbeitet. Sind Sie bei Facebook oder Instagram eingeloggt, kann Meta diese Daten Ihrem Konto zuordnen.

Meldung von unserem Server (Conversions API): Gelangen Sie über eine Anzeige auf Facebook oder Instagram auf unsere Website und buchen Sie anschließend einen Demo-Termin (siehe „Terminvereinbarung über Cal.com") oder melden Sie sich zum Test an, melden wir den weiteren Verlauf Ihrer Anfrage zusätzlich von unserem Server an Meta, etwa wenn wir Ihre Anfrage als passend einstufen, die Demo stattgefunden hat, Sie Clara testen, Kunde werden oder wir feststellen, dass Clara nicht zu Ihnen passt. Ob Sie über eine Anzeige bei Meta kamen, erkennen wir an den Kampagnenparametern im Link der Anzeige, die unsere Website an Ihre Anfrage weitergibt. Übermittelt werden die Bezeichnung der Stufe und ihr Zeitpunkt, die Klick-Kennung „fbclid", die Meta an den Link der Anzeige anhängt (sofern vorhanden, als „fbc"), sowie Ihre E-Mail-Adresse(n) und, sofern angegeben, Ihre Telefonnummer, diese nicht im Klartext, sondern als SHA-256-Hashwerte. Ihren Namen und den Inhalt Ihrer Nachrichten übermitteln wir nicht. Mit den Hashwerten kann Meta die Meldung einem Anzeigenklick zuordnen, wenn Meta dieselbe E-Mail-Adresse oder Telefonnummer bereits kennt. Haben Sie Marketing-Cookies im Cookie-Banner abgelehnt, gibt unsere Website diese Entscheidung an Ihre Anfrage weiter, und wir melden nichts davon an Meta. Anfragen, die nicht über eine Anzeige bei Meta zustande kamen, melden wir nicht.

Zweck: Messung der Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram sowie Bildung von Zielgruppen (z. B. Besucher unserer Website und ihnen ähnliche Personen, sog. Custom Audiences und Lookalike Audiences) für die Ausspielung interessenbezogener Werbung. Über die Meldung von unserem Server außerdem Messung, welche Anzeigen zu passenden Anfragen, Demo-Terminen, Tests und Kundenverhältnissen führen, und Optimierung unserer Kampagnen darauf.

Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung dieser Daten an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die wesentlichen Inhalte der Vereinbarung finden Sie unter facebook.com/legal/controller_addendum. Für die anschließende Verarbeitung der Daten ist Meta allein verantwortlich.

Drittstaatentransfer: Eine Übermittlung Ihrer Daten an Server der Meta Platforms, Inc. in den USA findet statt. Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; ergänzend kommen Standardvertragsklauseln (SCCs) nach Art. 46 Abs. 2 lit. c DSGVO zum Einsatz.

Rechtsgrundlage: Für das Meta Pixel Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung in die Kategorie „Marketing" wird das Meta Pixel nicht geladen. Die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Auswahl im Cookie-Banner anpassen. Die Meldung von unserem Server stützen wir auf unser berechtigtes Interesse an der Erfolgsmessung unserer Werbung (Art. 6 Abs. 1 lit. f DSGVO). Dieser Verarbeitung können Sie jederzeit über die oben genannten Kontaktdaten widersprechen (Art. 21 DSGVO); lehnen Sie Marketing-Cookies ab, bevor Sie die Terminbuchung öffnen oder sich anmelden, unterbleibt die Meldung von vornherein.

Speicherdauer: Das Cookie „_fbp" hat eine Lebensdauer von 90 Tagen. Bei Widerruf Ihrer Einwilligung wird es von uns gelöscht. Wie lange Meta die übermittelten Daten speichert, richtet sich nach den Datenschutzbestimmungen von Meta.

Weitere Informationen: facebook.com/privacy/policy.

Wir schalten Anzeigen über Google Ads, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (nachfolgend: „Google"). Um zu messen, ob unsere Anzeigen zu Demo-Buchungen führen, ist auf unserer Website das Google-Tag (gtag.js) eingebunden. Es wird im sogenannten Google Consent Mode betrieben, der sein Verhalten nach Ihrer Auswahl im Cookie-Banner richtet. Nur mit Ihrer Einwilligung melden wir Ihre Buchung zusätzlich von unserem Server an Google.

Ohne Einwilligung („Consent Mode"): Solange Sie der Kategorie „Marketing" nicht zugestimmt haben, setzt das Google-Tag keine Cookies und liest keine Informationen auf Ihrem Endgerät aus. Es übermittelt lediglich cookielose Signale an Google: den Einwilligungsstatus, Zeitstempel, Browsertyp (User-Agent), die verweisende Seite, die aufgerufene Seite einschließlich der Information, ob die Adresse eine Klick-Kennung einer Anzeige enthielt, sowie eine bei jedem Seitenaufruf neu erzeugte Zufallszahl. Bei der Übermittlung ist technisch bedingt Ihre IP-Adresse sichtbar. Diese Signale enthalten keine dauerhafte Kennung; Google kann Sie damit weder über mehrere Seitenaufrufe wiedererkennen noch einem Google-Konto zuordnen und nutzt sie ausschließlich, um die Zahl der Conversions statistisch zu modellieren.

Mit Einwilligung „Marketing": Das Google-Tag setzt Cookies (insbesondere „_gcl_aw", Lebensdauer 90 Tage), in denen die Klick-Kennung Ihrer Anzeige gespeichert wird. Buchen Sie anschließend einen Demo-Termin, wird die Buchung als Conversion an Google übermittelt und dem Anzeigenklick zugeordnet. Sind Sie bei Google eingeloggt, kann Google diese Daten Ihrem Konto zuordnen.

Meldung von unserem Server (mit Einwilligung „Marketing"): Haben Sie der Kategorie „Marketing" zugestimmt und buchen Sie im Buchungsfenster auf unserer Website, gibt unsere Website diese Entscheidung an die Buchung weiter (siehe „Terminvereinbarung über Cal.com"), und wir melden die Buchung zusätzlich von unserem Server an Google (Data Manager API); maßgeblich ist Ihre Auswahl beim Öffnen der Terminbuchung. Übermittelt werden Buchungsnummer, Zeitpunkt und Ihre E-Mail-Adresse, diese nicht im Klartext, sondern als SHA-256-Hashwert. Mit dem Hashwert kann Google die Buchung einer Anzeige zuordnen, wenn Google dieselbe E-Mail-Adresse bereits kennt, etwa aus einem Google-Konto, auch wenn das Google-Tag den Anzeigenklick nicht erfassen konnte. Melden Google-Tag und Server dieselbe Buchung, zählt Google sie nur einmal. Sind Sie über eine Anzeige bei Google auf unsere Website gelangt, melden wir außerdem, wenn aus Ihrer Anfrage ein Test oder ein Kundenverhältnis wird, diese Stufe mit der Klick-Kennung der Anzeige („gclid") und ihrem Zeitpunkt. Haben Sie Marketing-Cookies abgelehnt oder den Cookie-Banner nicht beantwortet, melden wir nichts davon an Google.

Zweck: Messung der Wirksamkeit unserer Anzeigen bei Google (welche Anzeige zu einer Demo-Buchung und, über die Meldung von unserem Server, zu einem Test oder Kundenverhältnis geführt hat) und Optimierung der Kampagnen. Wir nutzen Google Ads nicht für Remarketing-Zielgruppen.

Rechtsgrundlage: Für das Setzen und Auslesen von Cookies Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, die Sie jederzeit mit Wirkung für die Zukunft im Cookie-Banner widerrufen können. Die Meldung von unserem Server stützen wir ebenfalls auf Ihre Einwilligung in die Kategorie „Marketing" (Art. 6 Abs. 1 lit. a DSGVO). Widerrufen Sie sie vor dem Öffnen der Terminbuchung, unterbleibt die Meldung. Nach der Buchung können Sie den Widerruf über die oben genannten Kontaktdaten erklären; dann melden wir keine weiteren Stufen dieser Anfrage an Google. Eine neue Buchung richtet sich nach Ihrer Auswahl im Cookie-Banner zu diesem Zeitpunkt. Die cookielosen Signale des Consent Mode stützen wir auf unser berechtigtes Interesse an der Erfolgsmessung unserer Werbung (Art. 6 Abs. 1 lit. f DSGVO); dabei werden keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen. Dieser Verarbeitung können Sie jederzeit über die oben genannten Kontaktdaten widersprechen (Art. 21 DSGVO).

Drittstaatentransfer: Eine Übermittlung an Server der Google LLC in den USA findet statt. Google LLC ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; ergänzend kommen Standardvertragsklauseln (SCCs) nach Art. 46 Abs. 2 lit. c DSGVO zum Einsatz.

Weitere Informationen: policies.google.com/privacy sowie zum Consent Mode support.google.com/google-ads/answer/10000067.

Wir schalten Anzeigen in ChatGPT. Für Personen im Europäischen Wirtschaftsraum verarbeitet die OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland (nachfolgend: „OpenAI"), die Daten dazu. Um zu messen, ob eine Anzeige in ChatGPT zu einer Demo-Buchung geführt hat, nutzen wir zwei Wege: das Measurement Pixel von OpenAI auf unserer Website, nur mit Ihrer Einwilligung, und eine Meldung der Buchung von unserem Server (Conversions API).

Measurement Pixel (mit Einwilligung „Marketing"): Erst wenn Sie der Kategorie „Marketing" zustimmen, laden wir das Pixel und seine Konfiguration von Servern von OpenAI. Gelangen Sie über eine Anzeige in ChatGPT auf unsere Website, enthält die Adresse eine Klick-Kennung von OpenAI („oppref"). Das Pixel speichert sie im Cookie „__oppref" und legt im Cookie „__obref" eine zufällig erzeugte Kennung Ihres Browsers an. Seine Einwilligungsentscheidung hält es im Cookie „__oaiq_consent" und im lokalen Speicher Ihres Browsers („oaiq_consent") fest, die laufende Sitzung im Sitzungsspeicher. Bei jedem vollständigen Laden einer Seite meldet das Pixel OpenAI seinen Start mit der Adresse der aufgerufenen Seite (ohne Parameter), der verweisenden Seite, der Browserkennung und, sofern vorhanden, der Klick-Kennung. Buchen Sie einen Demo-Termin, übermittelt es zusätzlich die Buchung mit Buchungsnummer und Zeitpunkt. Außerdem kann das Pixel Kontaktangaben erkennen, die Sie in Formulare auf unserer Website eingeben (etwa bei der Anforderung von Nachweisen oder der Anmeldung zum Test), sie noch in Ihrem Browser mit SHA-256 in einen Hashwert umwandeln und nur diesen Hashwert mit seinen Meldungen an OpenAI senden; die Angaben selbst erhält OpenAI so nicht. Bei jeder Verbindung zu den Servern von OpenAI ist technisch bedingt Ihre IP-Adresse sichtbar.

Meldung von unserem Server (ohne Cookies): Buchen Sie über eine Anzeige in ChatGPT einen Demo-Termin, melden wir die Buchung zusätzlich von unserem Server an OpenAI. Ob Sie über eine Anzeige in ChatGPT kamen, erkennen wir an der Klick-Kennung oder den Kampagnenparametern der Anzeige in der Adresse, die wir an die Buchung weitergeben (siehe „Terminvereinbarung über Cal.com"). Übermittelt werden Buchungsnummer, Zeitpunkt, die Adresse unserer Website, die Klick-Kennung „oppref" (sofern vorhanden) und Ihre E-Mail-Adresse, diese nicht im Klartext, sondern als SHA-256-Hashwert. Mit dem Hashwert kann OpenAI die Buchung einem Anzeigenklick zuordnen, wenn OpenAI dieselbe E-Mail-Adresse bereits kennt. Haben Sie Marketing-Cookies im Cookie-Banner abgelehnt, gibt unsere Website diese Entscheidung an die Buchung weiter, und wir melden die Buchung nicht an OpenAI; maßgeblich ist Ihre Auswahl beim Öffnen der Terminbuchung. Buchungen, die nicht über eine Anzeige in ChatGPT zustande kamen, melden wir nicht. Für diese Meldung setzt unsere Website keine Cookies; ausgelesen wird nur Ihre Auswahl im Cookie-Banner, damit wir eine Ablehnung beachten können. Melden Pixel und Server dieselbe Buchung, zählt OpenAI sie nur einmal.

Zweck: Messung, welche Anzeigen in ChatGPT zu Demo-Buchungen führen, und Optimierung unserer Kampagnen auf Demo-Buchungen. OpenAI verwendet die Daten nach seinen Bedingungen außerdem, um seine Dienste bereitzustellen, zu messen und zu verbessern, und nach seiner Datenschutzerklärung auch, um Nutzern von ChatGPT relevantere Anzeigen zu zeigen. Personalisierte Werbung auf Grundlage solcher Daten ist im Europäischen Wirtschaftsraum nach Angaben von OpenAI derzeit nicht verfügbar, und Daten aus dem Pixel nutzt OpenAI nach eigenen Angaben derzeit nicht für eine nutzerbezogene Personalisierung.

Verantwortlichkeit: Nach den Vertragsbedingungen von OpenAI (Ad Tools Data Processing Addendum) sind wir und OpenAI für diese Verarbeitung jeweils eigenständig verantwortlich und nicht gemeinsam verantwortlich nach Art. 26 DSGVO. Für die Verarbeitung nach dem Eingang der Daten bei OpenAI ist OpenAI allein verantwortlich.

Rechtsgrundlage: Für das Pixel Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung in die Kategorie „Marketing" wird das Pixel nicht geladen. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft im Cookie-Banner widerrufen; das Pixel übermittelt dann keine Buchungen und keine Kennungen mehr, und die Cookies „__oppref" und „__obref" werden gelöscht. Die Meldung von unserem Server stützen wir auf unser berechtigtes Interesse an der Erfolgsmessung unserer Werbung (Art. 6 Abs. 1 lit. f DSGVO). Dieser Verarbeitung können Sie jederzeit über die oben genannten Kontaktdaten widersprechen (Art. 21 DSGVO); lehnen Sie Marketing-Cookies ab, bevor Sie die Terminbuchung öffnen, unterbleibt die Meldung von vornherein.

Drittstaatentransfer: OpenAI Ireland Ltd gibt Daten an verbundene Unternehmen in den USA weiter, darunter die OpenAI OpCo, LLC. OpenAI ist nicht nach dem EU-US Data Privacy Framework (DPF) zertifiziert; die Übermittlung stützt sich auf Standardvertragsklauseln (SCCs) nach Art. 46 Abs. 2 lit. c DSGVO.

Speicherdauer: Die Cookies „__oppref" und „__oaiq_consent" haben eine Lebensdauer von 30 Tagen, das Cookie „__obref" von 365 Tagen. Der Eintrag „oaiq_consent" im lokalen Speicher bleibt bis zur Löschung durch Sie bestehen, der Eintrag im Sitzungsspeicher bis zum Ende der Browsersitzung. Wie lange OpenAI die übermittelten Daten speichert, richtet sich nach den Datenschutzbestimmungen von OpenAI.

Weitere Informationen: openai.com/policies/eu-privacy-policy. Ihre Rechte gegenüber OpenAI können Sie unter privacy.openai.com oder per E-Mail an dsar@openai.com geltend machen.

Wenn Sie uns per Kontaktformular oder E-Mail Anfragen zukommen lassen, werden Ihre Angaben inklusive der von Ihnen dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert.

Empfänger (Google Workspace): Für den Empfang, Versand und die Speicherung von E-Mails nutzen wir den Dienst Google Workspace der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Drittstaatentransfer: Google Workspace ist ein cloudbasierter Dienst. Ihre Daten können dabei auch an Server der Muttergesellschaft Google LLC in den USA übertragen werden. Google LLC ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert, wodurch ein angemessenes Datenschutzniveau sichergestellt ist.

Rechtsgrundlage: Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt) oder auf Grundlage unseres berechtigten Interesses an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Wir speichern Ihre Daten, bis Sie uns zur Löschung auffordern, Ihre Einwilligung zur Speicherung widerrufen oder der Zweck für die Datenspeicherung entfällt (z. B. nach abgeschlossener Bearbeitung Ihrer Anfrage). Zwingende gesetzliche Aufbewahrungsbestimmungen bleiben unberührt.

Wenn Sie sich auf den Seiten clara-agent.de/testen oder clara-agent.de/kennenlernen eintragen, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten und Ihnen einen Termin anzubieten.

Verarbeitete Daten: Auf /testen Name, E-Mail-Adresse und Telefonnummer, auf /kennenlernen die E-Mail-Adresse und, wenn Sie einen Rückruf wünschen, die Telefonnummer. Dazu kommen wie bei der Terminbuchung die Kampagnenparameter und Klick-Kennungen Ihres Besuchs, die Herkunft und Einstiegsseite sowie Ihre Entscheidung zur Kategorie „Marketing" (siehe „Terminvereinbarung über Cal.com").

Empfänger: Wir speichern Ihre Anfrage in unserem CRM-System Attio der Attio Limited, Unit 120, Exmouth House, 3–11 Pine Street, London EC1R 0JH, Vereinigtes Königreich. Name, E-Mail-Adresse, Telefonnummer und Herkunft der Anfrage gehen außerdem in einen internen Kanal unseres Teams bei Slack der Slack Technologies Limited, Salesforce Tower, North Dock, Dublin, Irland. Ihre E-Mail-Adresse nehmen wir in eine Nachfass-Mailserie auf, die wir über lemlist der lempire SAS, 128 rue La Boétie, 75008 Paris, Frankreich, versenden; das unterbleibt, wenn Sie bereits einen Demo-Termin gebucht haben, und eine spätere Buchung beendet die Serie. Haben Sie der Kategorie „Marketing" zugestimmt, melden wir die Eintragung außerdem von unserem Server an Google, mit Ihrer E-Mail-Adresse als SHA-256-Hashwert (siehe „Google Ads Conversion-Tracking").

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage); für die Nachfass-Mails unser berechtigtes Interesse an der Nachverfolgung Ihrer Anfrage (Art. 6 Abs. 1 lit. f DSGVO). Den Nachfass-Mails können Sie jederzeit widersprechen, etwa per E-Mail an datenschutz@intoconvo.com.

Drittstaatentransfer: Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Soweit Slack Daten in die USA überträgt, stützt sich die Übermittlung auf Standardvertragsklauseln (SCCs) nach Art. 46 Abs. 2 lit. c DSGVO.

Speicherdauer: Wir speichern Ihre Daten, bis Sie uns zur Löschung auffordern oder der Zweck entfällt (z. B. nach abgeschlossener Bearbeitung Ihrer Anfrage). Zwingende gesetzliche Aufbewahrungsbestimmungen bleiben unberührt.

Zur Vereinbarung von Demo-Terminen nutzen wir die Terminbuchung von Cal.com, einem Dienst der Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, USA (nachfolgend: „Cal.com"). Die Buchung öffnet sich erst, wenn Sie auf einen Buchungs-Button klicken, als eingebettetes Fenster von Cal.com auf unserer Website; vorher wird nichts von Cal.com geladen. Ab dem Klick gelten zusätzlich die Datenschutzbestimmungen von Cal.com.

Verarbeitete Daten: Die Angaben, die Sie bei der Buchung machen (Name, E-Mail-Adresse, gewählter Termin, ggf. Ihre Nachricht). Gelangen Sie über eine Werbeanzeige auf unsere Website, geben wir zusätzlich die Kampagnenparameter aus der Adresszeile (sog. UTM-Parameter) sowie ggf. die Klick-Kennung der Anzeige („gclid", „fbclid" bzw. „oppref") an die Buchung weiter, damit wir Ihre Anfrage der Kampagne zuordnen können. Diese Parameter hält Ihr Browser nur im Arbeitsspeicher für die Dauer Ihres Besuchs vor; gespeichert werden sie nicht. Ebenso geben wir die Domain der Seite bzw. die Kennung der App weiter, über die Sie auf unsere Website gekommen sind (z. B. „www.google.com"), oder dass Sie aus der Gemini-App kamen, sowie die Seite unserer Website, auf der Ihr Besuch begonnen hat, damit wir auch Anfragen ohne Werbeanzeige ihrer Herkunft zuordnen können. Die vollständige Adresse der verweisenden Seite geben wir nicht weiter; auch diese Angaben hält Ihr Browser nur im Arbeitsspeicher für die Dauer Ihres Besuchs vor. Haben Sie den Cookie-Banner beantwortet, geben wir auch Ihre Entscheidung zur Kategorie „Marketing" (zugestimmt oder abgelehnt) an die Buchung weiter, eine Zustimmung allerdings nur bei einer Buchung im Fenster auf unserer Website: Ein Buchungslink, den Sie in einem neuen Tab öffnen, kopieren oder weitergeben, enthält sie nicht. Nach abgeschlossener Buchung melden wir die Buchung als Conversion an Google Ads, Meta und OpenAI (siehe die jeweiligen Abschnitte oben) und erfassen sie in PostHog.

Zweck: Vereinbarung und Durchführung des von Ihnen gewünschten Gesprächs sowie Erfolgsmessung unserer Werbekampagnen und unserer Website.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage) sowie, für die Zuordnung zur Werbekampagne bzw. zur Herkunft Ihres Besuchs, unser berechtigtes Interesse an der Messung unserer Werbung und unserer Website (Art. 6 Abs. 1 lit. f DSGVO).

Drittstaatentransfer: Cal.com verarbeitet Daten in den USA. Die Übermittlung stützt sich auf Standardvertragsklauseln (SCCs) nach Art. 46 Abs. 2 lit. c DSGVO.

Speicherdauer: Bis zur Durchführung des Termins und der Bearbeitung Ihrer Anfrage; darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen.

Weitere Informationen: cal.com/privacy.

Im Zusammenhang mit der Datenverarbeitung kann es zu einer Datenübermittlung in Drittstaaten, d. h. an Empfänger außerhalb der EU bzw. des Europäischen Wirtschaftsraums (EWR), kommen. Soweit in Bezug auf den Drittstaat ein Beschluss der Europäischen Kommission über das Bestehen eines angemessenen Schutzniveaus (vgl. Art. 45 Abs. 3 DSGVO) vorliegt, sind für die Datenübermittlung keine zusätzlichen Maßnahmen erforderlich.

Im Falle einer Datenweitergabe an Empfänger mit Sitz in den USA erfolgt diese auf Grundlage des sog. Transatlantic Data Privacy Framework (DPF) vom 10.07.2023, sofern der Empfänger über eine entsprechende Zertifizierung verfügt.

In anderen Fällen sowie bei Datenweitergaben in andere sog. nicht-sichere Drittstaaten findet eine Datenweitergabe nur statt, wenn die Voraussetzung der Art. 46 ff. DSGVO gegeben sind. Konkret bedeutet das, dass eine Übermittlung in Drittstaaten nur erfolgt, wenn:

• durch den Empfänger ausreichende sogenannte Garantien nach Art. 46 DSGVO für den Schutz der personenbezogenen Daten geboten werden,
• Sie in die Übermittlung, nachdem wir Sie über die Risiken informiert haben, nach Art. 49 Abs. 1 lit. a DSGVO ausdrücklich eingewilligt haben,
• die Übermittlung erforderlich ist, für die Erfüllung vertraglicher Verpflichtungen zwischen Ihnen und uns oder
• eine andere Ausnahme gemäß Art. 49 DSGVO greift.

Ihnen stehen als betroffene Person nach der DSGVO verschiedene Rechte zu. Diese sind:

• Recht auf Auskunft (Art. 15 DSGVO): Sie haben jederzeit das Recht, von uns Auskunft über alle Daten zu verlangen, die wir über Sie speichern. Das beinhaltet insbesondere die Auskunft über die Verarbeitungszwecke, die Kategorie der Daten, die Empfänger, die Speicherdauer und die Herkunft der Daten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sollten Ihre Daten bei uns unrichtig oder unvollständig sein, können Sie jederzeit deren Berichtigung oder Vervollständigung verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, wenn z. B. der Zweck der Verarbeitung entfallen ist, Sie Ihre Einwilligung widerrufen haben oder die Verarbeitung unrechtmäßig war.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen, wenn Sie die Richtigkeit der Daten bestreiten oder wir die Daten nicht mehr benötigen, Sie diese jedoch zur Geltendmachung von Rechtsansprüchen brauchen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem gängigen, maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sofern wir Daten auf Basis Ihrer Einwilligung verarbeiten, können Sie diese jederzeit für die Zukunft widerrufen.
• Widerspruchsrecht (Art. 21 DSGVO): Sofern wir Ihre personenbezogenen Daten auf Grundlage von berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen. Richtet sich Ihr Widerspruch gegen Direktwerbung, haben Sie ein generelles Widerspruchsrecht; wir werden die Verarbeitung dann ohne Angabe einer besonderen Situation umgehend einstellen.

Möchten Sie von Ihrem Widerrufs- oder Widerspruchsrecht Gebrauch machen, genügt eine E-Mail an: datenschutz@intoconvo.com

Beschwerderecht (Art. 77 DSGVO): Sie haben zudem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt.