Datenschutzerklärung
Stand: September 2026
1. Verantwortlicher
Kalkulai GmbH i. G.
Gabelsbergerstraße 87a, 80333 München, Deutschland
E-Mail: [email protected]
WhatsApp: +49 156 30103838
Website: www.kalkulai.de
Vertreten durch: Leon Prothmann, Paul Jones, Felix Magiera
2. Übersicht der Datenverarbeitung
Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Website und unserer Softwaredienstleistung (kalkulai) erforderlich ist. Die Verarbeitung erfolgt auf Grundlage der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG).
3. Rechtsgrundlagen der Verarbeitung
Wir verarbeiten personenbezogene Daten auf Basis folgender Rechtsgrundlagen:
- Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Verarbeitung zur Erfüllung unseres SaaS-Vertrages mit dem Lizenznehmer.
- Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Soweit eine Einwilligung eingeholt wurde (z. B. für optionale Analysetools).
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Für die Sicherheit und Verbesserung unserer Dienste.
- Gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Soweit wir gesetzlich zur Datenverarbeitung verpflichtet sind.
4. Datenverarbeitung auf der Website
4.1 Server-Logfiles
Bei Aufruf unserer Website werden technisch erforderliche Zugriffsdaten in Server-Logfiles verarbeitet. Das Hosting, der Webserverbetrieb und das Deployment der öffentlichen Website erfolgen nach unserem aktuellen Setup über Hostinger. Cloudflare kann davor als DNS-, CDN-/Proxy-, Sicherheits- und Content-Signal-Schicht eingesetzt sein. Verarbeitet werden können insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Browsertyp und -version sowie Betriebssystem. Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an der Gewährleistung der technischen Sicherheit. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.
4.2 Kontaktaufnahme
Wenn Sie uns per E-Mail kontaktieren, werden Ihre Angaben zur Bearbeitung der Anfrage verarbeitet und gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).
Sie können uns außerdem über WhatsApp erreichen. Wir nutzen dafür WhatsApp Business, einen Dienst der WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland (Teil von Meta). Ihre Angaben aus dem Chat verarbeiten wir ausschließlich zur Bearbeitung Ihrer Anfrage; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Unabhängig davon verarbeitet WhatsApp in eigener Verantwortung Metadaten wie Ihre Telefonnummer, Gerätedaten und den Zeitpunkt der Kommunikation; Nachrichteninhalte sind Ende-zu-Ende-verschlüsselt. Dabei werden Daten an die WhatsApp LLC und die Meta Platforms, Inc. in den USA übermittelt. Grundlage sind deren Zertifizierung nach dem EU-US Data Privacy Framework sowie die Standardvertragsklauseln der EU-Kommission. Einzelheiten finden Sie in der Datenschutzrichtlinie von WhatsApp. Wir übertragen keine Kontaktdaten Dritter an WhatsApp und bewahren den Chatverlauf nur so lange auf, wie die Bearbeitung es erfordert. Wenn Sie WhatsApp nicht nutzen möchten, erreichen Sie uns per E-Mail oder über unser Kontaktformular.
4.3 Cookies und Einwilligung
Technisch notwendige Cookies (z. B. Session-Cookies) und die lokale Speicherung Ihrer Cookie-Auswahl sind für den Betrieb der Seite erforderlich und werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO gesetzt. Alle nicht notwendigen Dienste (Statistik) laden ausschließlich nach Ihrer aktiven Einwilligung über unseren Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können Ihre Auswahl jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß ändern oder widerrufen.
4.4 Reichweitenmessung (PostHog)
Mit Ihrer Einwilligung nutzen wir PostHog zur anonymisierten Reichweitenmessung, um zu verstehen, wie unsere Website genutzt wird. Die Verarbeitung erfolgt auf EU-Servern. Verarbeitet werden Nutzungsdaten wie aufgerufene Seiten, ungefähre Herkunft und Interaktionen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung findet keine Reichweitenmessung statt.
4.5 Terminbuchung (cal.diy)
Für die Buchung von Kennenlern-Terminen binden wir den Kalender-Dienst cal.diy ein, den wir selbst auf unserer eigenen Infrastruktur unter cal.kalkulai.de betreiben. Er ist ein funktionaler Bestandteil der von Ihnen aktiv aufgerufenen Terminbuchung. Dabei werden First-Party-Cookies gesetzt und die zur Terminvereinbarung erforderlichen Angaben verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Terminbuchung). Eine Übermittlung an Dritte außerhalb unserer Infrastruktur findet nicht statt.
5. Datenverarbeitung in der Vertragssoftware kalkulai
5.1 Erhobene Daten
Im Rahmen der Nutzung der Vertragssoftware werden folgende Daten verarbeitet:
- Registrierungsdaten: Name, E-Mail-Adresse, Unternehmensdaten;
- Nutzungsdaten: Zugriffszeiten, eingegebene Prompts und Daten, generierte Ergebnisse;
- Geschäftsdaten des Lizenznehmers: Kundendaten, Projektdaten, Angebote, Rechnungen, Kommunikationsinhalte, Mitarbeiterdaten (soweit vom Lizenznehmer eingegeben).
5.2 Zweck der Verarbeitung
Die Daten werden ausschließlich zum Zweck der Bereitstellung der Vertragssoftware und der darin enthaltenen KI-Funktionalitäten verarbeitet.
5.3 KI-Verarbeitung
Die KI-Funktionalitäten nutzen den Dienst Azure OpenAI von Microsoft. Dabei gilt:
- Eingaben und Ergebnisse werden NICHT für das Training von KI-Modellen verwendet;
- Die Verarbeitung erfolgt auf Microsoft Azure Cloud-Servern in der EU;
- Es findet keine Weitergabe an OpenAI oder sonstige Dritte statt;
- Alle KI-generierten Ergebnisse werden dem Nutzer zur menschlichen Überprüfung vorgelegt (Human-in-the-Loop).
5a. Google API-Dienste (Gmail & Google Calendar)
kalkulai bietet optionale Integrationen mit Google-Diensten (Gmail und Google Calendar) an. Die Nutzung dieser Integrationen erfordert die ausdrückliche Einwilligung des Lizenznehmers via Google OAuth. Folgende Angaben beziehen sich ausschließlich auf Nutzer, die diese Integrationen aktiviert haben. Die Nutzung von kalkulai ist ohne Google-Integration vollständig möglich.
5a.1 Auf Google-Nutzerdaten zugegriffene Daten
Bei aktivierter Gmail-Integration:
- E-Mail-Adresse des verknüpften Google-Kontos
- E-Mail-Nachrichten (Betreff, Textinhalt, HTML-Inhalt, Absender, Empfänger, Zeitstempel)
- E-Mail-Anhänge (Dateiname, Dateigröße, Inhalt)
- IMAP-Ordnerstruktur (z. B. Posteingang, Gesendet)
- Nachrichten-IDs und Thread-IDs
Bei aktivierter Google Calendar-Integration:
- E-Mail-Adresse des verknüpften Google-Kontos
- Kalendertermine (Titel, Beschreibung, Start- und Endzeiten, Ganztages-Status)
5a.2 Verwendung der Google-Nutzerdaten
Google-Nutzerdaten werden ausschließlich für folgende Zwecke verarbeitet:
- Gmail-Daten: Automatisiertes Lesen, Kategorisieren und KI-gestütztes Beantworten von E-Mails im Auftrag und unter Kontrolle des Lizenznehmers (Human-in-the-Loop).
- Calendar-Daten: Anzeigen bestehender Termine und Anlegen neuer Termine im Kalender des Lizenznehmers.
Google-Nutzerdaten werden nicht für KI-Training, Werbung, Profilbildung oder andere Zwecke als die oben genannten verwendet. Sie werden insbesondere nicht an Azure OpenAI oder andere KI-Dienste weitergegeben.
5a.3 Weitergabe von Google-Nutzerdaten an Dritte
Google-Nutzerdaten werden nicht an Dritte weitergegeben. Kein Drittanbieter erhält Zugriff auf E-Mail-Inhalte oder Kalendertermine. Die Daten verbleiben ausschließlich im Kalkulai-System des Lizenznehmers.
5a.4 Speicherung und Schutz der Google-Nutzerdaten
- Google OAuth-Token (Zugriffstoken und Refresh-Token) werden vor der Speicherung mit Fernet-Verschlüsselung (symmetrische Verschlüsselung, AES-128 im CBC-Modus) gesichert.
- E-Mails und Anhänge werden in einer mandantengetrennten PostgreSQL-Datenbank (Supabase, EU-Server) gespeichert. Row-Level Security (RLS) stellt sicher, dass ausschließlich der jeweilige Lizenznehmer Zugriff auf seine Daten hat.
- Anhänge werden in einem verschlüsselten Objektspeicher (Supabase Storage) abgelegt.
- Alle Verbindungen erfolgen über TLS/HTTPS.
5a.5 Speicherdauer und Löschung von Google-Nutzerdaten
- Trennung der Integration: Der Lizenznehmer kann die Gmail- oder Google Calendar-Integration jederzeit in den kalkulai-Einstellungen trennen. Dadurch werden alle gespeicherten E-Mails, Anhänge und OAuth-Token dieser Integration gelöscht.
- Vertragsbeendigung: Nach Beendigung des Vertragsverhältnisses werden alle Google-Nutzerdaten spätestens innerhalb von 30 Tagen gelöscht.
- Löschung auf Anfrage: Der Lizenznehmer kann jederzeit die Löschung seiner Google-Nutzerdaten beantragen unter: [email protected].
Die Nutzung von Google-Nutzerdaten durch kalkulai entspricht der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung.
6. Auftragsverarbeitung
Soweit wir im Auftrag des Lizenznehmers personenbezogene Daten verarbeiten, handeln wir als Auftragsverarbeiter gemäß Art. 28 DSGVO. In diesem Fall wird ein separater Auftragsverarbeitungsvertrag (AVV) geschlossen. Der Lizenznehmer bleibt Verantwortlicher für die Rechtmäßigkeit der Datenverarbeitung.
7. Eingesetzte Dienstleister und Drittländerübermittlung
Wir setzen folgende Dienstleister ein:
- Microsoft Corporation (Azure OpenAI) · Zweck: KI-Funktionalitäten · Standort: EU · Garantien: Microsoft DPA, SCCs
- Hostinger · Zweck: Hosting, Webserverbetrieb und Deployment der öffentlichen Website · Standort: abhängig vom gebuchten Hosting-Setup · Garantien: AVV/DPA und weitere Garantien nach vertraglicher Einrichtung; finale Prüfung durch Legal erforderlich
- Cloudflare, Inc. · Zweck: DNS, CDN/Proxy, Sicherheitsfunktionen und Content-Signal-Schicht, sofern aktiv · Standort: Global (europäische Server bevorzugt) · Garantien: EU-US Data Privacy Framework, SCCs
- Google LLC · Zweck: OAuth-Authentifizierung, Gmail-Integration, Google Calendar-Integration (nur bei aktivierter Integration) · Standort: EU (Google Cloud, europäische Rechenzentren) · Garantien: Google API Services User Data Policy, SCCs
- Supabase, Inc. · Zweck: Datenbankhosting, Authentifizierung, Dateispeicherung · Standort: EU (AWS Frankfurt) · Garantien: Supabase DPA, SCCs
- PostHog Inc. · Zweck: Reichweiten- und Nutzungsanalyse der Website (nur nach Einwilligung) · Standort: EU-Cloud (eu.i.posthog.com) · Garantien: PostHog DPA (durch Legal final prüfen)
- n8n (Eigenbetrieb, EU-Server) · Zweck: Verarbeitung und Weiterleitung der Kontakt-, Pilot- und Bewerbungsformulare an die nachstehenden Empfänger · Standort: eigener Server in der EU · Garantien: Auftragsverarbeitung im Eigenbetrieb (durch Legal final prüfen)
- Attio, Inc. · Zweck: CRM, Speicherung eingehender Kontakt- und Pilotanfragen · Standort: USA · Garantien: SCCs (durch Legal final prüfen)
- Telegram Messenger · Zweck: interne Benachrichtigung des Teams über neue Anfragen · Standort: siehe Telegram-Datenschutzhinweise · Garantien: durch Legal final prüfen
- Resend · Zweck: Zustellung der Formular-Benachrichtigungen per E-Mail · Standort: USA · Garantien: SCCs (durch Legal final prüfen)
8. Speicherdauer
Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Nach Beendigung des Vertragsverhältnisses werden die Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
9. Ihre Rechte als betroffene Person
Sie haben folgende Rechte gegenüber uns:
- Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die von uns verarbeiteten personenbezogenen Daten verlangen.
- Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
- Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
- Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
- Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Herausgabe Ihrer Daten in einem maschinenlesbaren Format verlangen.
- Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
- Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: [email protected]
10. Beschwerderecht bei einer Aufsichtsbehörde
Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Website: www.lda.bayern.de
11. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unserer Dienste anzupassen. Die aktuelle Fassung finden Sie stets auf unserer Website.
← Zurück zur Startseite