Datenschutzerklärung

Klarruf ist ein Dienst für Geschäftskunden: Vertriebsteams laden Aufzeichnungen ihrer Verkaufsgespräche hoch und erhalten Transkript, Zusammenfassung und Auswertung zurück. Diese Erklärung beschreibt, welche personenbezogenen Daten dabei verarbeitet werden, auf welcher Rechtsgrundlage, wer sie erhält und wie lange sie gespeichert bleiben.

Dabei sind zwei Rollen streng zu trennen:

a) der Anbieter dieser Website als Verantwortlicher. Für den Besuch dieser Website, die Registrierung und Verwaltung Ihres Kontos, die Abrechnung sowie den Support entscheiden wir über Zwecke und Mittel der Verarbeitung. Für diese Vorgänge gilt diese Erklärung unmittelbar.

b) der Anbieter dieser Website als Auftragsverarbeiter. Für die Inhalte, die Sie als Kunde in den Dienst geben — Audioaufnahmen, Transkripte, Namen und Kontaktdaten Ihrer Gesprächspartner, CRM-Datensätze — verarbeiten wir ausschließlich nach Ihrer Weisung (Art. 28 DSGVO). Verantwortlicher im Sinne der DSGVO sind dann Sie, nicht wir. Grundlage ist der Auftragsverarbeitungsvertrag (AVV), der Bestandteil des Nutzungsvertrags ist. Abschnitt 7 beschreibt diese Verarbeitung transparent, begründet sie aber nicht: die Rechtsgrundlage und die Information Ihrer Gesprächspartner liegen bei Ihnen.

Betroffene Personen, deren Gespräch bei einem Kunden von uns ausgewertet wurde, wenden sich bitte zuerst an das Unternehmen, mit dem sie gesprochen haben. Erreichen Sie es nicht, hilft Ihnen info@klarruf.de dabei, den richtigen Verantwortlichen zu ermitteln.

—
E-Mail: info@klarruf.de

Datenschutzanfragen richten Sie bitte an info@klarruf.de.

Ein Datenschutzbeauftragter ist derzeit nicht bestellt, weil die Voraussetzungen des § 38 BDSG und des Art. 37 DSGVO nach unserer dokumentierten Prüfung nicht vorliegen. Für alle Fragen zum Datenschutz erreichen Sie uns unter info@klarruf.de.

Server-Logfiles. Beim Aufruf jeder Seite überträgt Ihr Browser technisch notwendige Daten, die unser Server protokolliert: IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, HTTP-Statuscode, übertragene Datenmenge, Referrer und User-Agent. Diese Daten sind für die Auslieferung der Seite erforderlich und dienen uns darüber hinaus der Betriebssicherheit, der Fehlersuche und der Abwehr von Angriffen — die IP-Adresse ist zugleich der Schlüssel unserer Zugriffsbegrenzung gegen automatisierte Anmeldeversuche.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb des Dienstes. Speicherdauer: Logfiles werden spätestens nach 30 Tagen gelöscht, es sei denn, ein konkreter Sicherheitsvorfall macht eine längere Aufbewahrung zu Beweiszwecken erforderlich.

Schriften. Die verwendeten Schriftarten werden beim Build-Vorgang in unsere Anwendung eingebettet und von unserem eigenen Server ausgeliefert. Beim Seitenaufruf entsteht keine Verbindung zu Google Fonts oder einem anderen externen CDN, Ihre IP-Adresse wird dorthin nicht übertragen.

Keine Reichweitenmessung, kein Tracking. Wir setzen keine Analyse-, Werbe- oder Tracking-Dienste ein — kein Google Analytics, keine Social-Media-Plugins, keine Pixel, kein seitenübergreifendes Tracking und kein Verkauf von Daten. Es findet kein Profiling zu Werbezwecken statt.

Wir verwenden ausschließlich Cookies und Speichereinträge, die für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Für diese ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich; ein Einwilligungsbanner mit Wahlmöglichkeit wäre hier irreführend, weil es nichts zu entscheiden gibt. Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) bzw. lit. f DSGVO.

Verarbeitete Daten. Name, geschäftliche E-Mail-Adresse, Passwort (ausschließlich als Hash gespeichert), Firmenname, Teamgröße, Branche, Sprache und Rolle im Team. Zur Bestätigung der E-Mail-Adresse erzeugen wir einen zeitlich begrenzten Bestätigungscode und zählen fehlgeschlagene Versuche.

Einladungen. Laden Sie Kolleginnen und Kollegen ein, verarbeiten wir deren Namen und E-Mail-Adresse, um die Einladung zu versenden und das Konto anzulegen. Die Angaben stammen von Ihnen; wir nutzen sie für keinen anderen Zweck und versenden über sie keine Werbung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags bzw. vorvertragliche Maßnahmen). Ohne diese Angaben kann kein Konto bereitgestellt werden.

Service-E-Mails. Bestätigungscodes, Einladungen und Hinweise zum Verarbeitungsstand versenden wir über einen Auftragsverarbeiter für den E-Mail-Versand (siehe Abschnitt 11). Diese Nachrichten sind Bestandteil des Dienstes und keine Werbung; ein Newsletter wird nicht versendet.

Diesen Abschnitt beschreiben wir vollständig, obwohl wir dabei nur Auftragsverarbeiter sind — Sie können nur dann rechtmäßig einwilligen lassen und informieren, wenn Sie wissen, was technisch geschieht.

Datenkategorien. Die hochgeladene Audiodatei nebst Dateiname, Größe und Dauer; das daraus erzeugte Transkript mit Zeitmarken und Sprecherzuordnung; die Auswertung (Zusammenfassung, Gesprächsphasen, Einwände, Qualitätsbewertung, nächste Schritte); Name der hochladenden Person, Name des Vertriebsmitarbeiters, Firma und Bezeichnung des Geschäfts. Aufnahmen enthalten regelmäßig personenbezogene Daten Dritter — Ihrer Gesprächspartner — und können im Einzelfall besondere Kategorien nach Art. 9 DSGVO enthalten, wenn im Gespräch etwa Gesundheitsdaten fallen.

Verarbeitungskette.

Zum Einsatz von OpenAI. Die Verarbeitung erfolgt über die API mit europäischer Datenresidenz; die Inhalte werden in der EU verarbeitet und ruhend gespeichert. Mit OpenAI Ireland Ltd. besteht ein Auftragsverarbeitungsvertrag samt EU-Standardvertragsklauseln. Ihre Inhalte werden nicht zum Training von Modellen verwendet. OpenAI speichert API-Inhalte nach eigenen Angaben für bis zu 30 Tage zur Missbrauchskontrolle und löscht sie anschließend. Ein Zugriff durch US-Konzerngesellschaften zu Support- und Sicherheitszwecken ist nicht vollständig ausgeschlossen; er ist durch EU-Standardvertragsklauseln und die Zertifizierung nach dem EU-US Data Privacy Framework abgesichert.

Kein Mitschnitt durch uns. Klarruf nimmt keine Gespräche auf, wählt sich nicht in Videokonferenzen ein und hört nicht mit. Verarbeitet wird ausschließlich, was Sie hochladen.

Für die Aufzeichnung selbst sind Sie verantwortlich, und sie ist in Deutschland kein Randthema:

§ 201 StGB. Wer das nichtöffentlich gesprochene Wort eines anderen unbefugt auf einen Tonträger aufnimmt, macht sich strafbar. Die Aufzeichnung eines Telefon- oder Videogesprächs setzt deshalb die — nachweisbare — Einwilligung aller Beteiligten voraus, eingeholt vor Beginn der Aufnahme. Ein Hinweis in den AGB genügt dafür nicht.

Rechtsgrundlage gegenüber Gesprächspartnern. Sie benötigen zusätzlich eine datenschutzrechtliche Grundlage nach Art. 6 DSGVO — in aller Regel die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO — und müssen Ihre Gesprächspartner nach Art. 13 DSGVO informieren, auch über die Auswertung durch ein KI-System und über uns als Auftragsverarbeiter.

Beschäftigtendaten. Die Auswertung von Gesprächen einzelner Beschäftigter ist eine Verarbeitung von Beschäftigtendaten (§ 26 BDSG) und regelmäßig eine technische Einrichtung, die zur Überwachung von Leistung und Verhalten geeignet ist — sie ist damit nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Besteht ein Betriebsrat, schließen Sie vor dem Einsatz eine Betriebsvereinbarung. Aus demselben Grund ist die Übertragung der Qualitätsbewertung samt Namen in Ihr CRM in den Einstellungen standardmäßig deaktiviert.

Datenschutz-Folgenabschätzung. Die systematische KI-gestützte Auswertung von Gesprächen kann nach Art. 35 DSGVO eine Folgenabschätzung erfordern, insbesondere bei Bezug zu Beschäftigten. Die Prüfung obliegt Ihnen als Verantwortlichem; wir stellen die dafür nötigen technischen Angaben bereit.

Die Auswertung eines Gesprächs — Zusammenfassung, Bewertung, Empfehlungen — wird maschinell erzeugt. Sie ist ein Vorschlag zur Unterstützung von Menschen und trifft keine Entscheidung. Eine automatisierte Entscheidung im Einzelfall mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 Abs. 1 DSGVO findet auf unserer Seite nicht statt.

Ergebnisse eines KI-Systems können fehlerhaft sein: Sprecher können verwechselt, Aussagen falsch transkribiert und Bewertungen verzerrt sein. Setzen Sie die Ergebnisse deshalb nicht als alleinige Grundlage für Entscheidungen über Personen ein — insbesondere nicht für Beförderung, Vergütung, Abmahnung oder Kündigung. Eine solche Verwendung würde eine eigenständige Bewertung nach Art. 22 DSGVO und nach der KI-Verordnung (EU) 2024/1689 auslösen, deren Anforderungen dann Sie treffen.

Sie können Ihren Arbeitsbereich mit HubSpot, Salesforce, Slack, Google Calendar oder Outlook verbinden. Jede Verbindung stellen ausschließlich Sie her; ohne diesen Schritt findet keinerlei Datenaustausch mit dem jeweiligen Anbieter statt.

Was übertragen wird. Bei aktivierter CRM-Integration übermitteln wir Gesprächsnotiz, Zeitpunkt, Dauer, beteiligte Ansprechpartner und — nur wenn Sie es einschalten — die Qualitätsbewertung an Ihr CRM. Bei Slack senden wir eine Benachrichtigung in den von Ihnen gewählten Kanal. Bei den Kalendern lesen wir anstehende Termine, um Gespräche zuzuordnen.

Zugangsdaten. Die bei der Verbindung erteilten OAuth-Token speichern wir spaltenweise mit AES-256-GCM verschlüsselt. Sie können jede Verbindung jederzeit in den Einstellungen trennen; die zugehörigen Token werden dabei gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Integration ist Teil des von Ihnen bestellten Leistungsumfangs; die Übermittlung erfolgt auf Ihre Weisung als Verantwortlicher.

Wir geben Daten nur weiter, soweit es für die Erbringung des Dienstes erforderlich ist oder wir gesetzlich dazu verpflichtet sind. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Ein Verkauf von Daten findet nicht statt.

Eine jeweils aktuelle Liste der Unterauftragsverarbeiter ist Teil des Auftragsverarbeitungsvertrags. Über beabsichtigte Änderungen informieren wir unsere Kunden vorab; Sie können ihnen nach Maßgabe des AVV widersprechen.

Audioaufnahmen verlassen die EU nicht. Transkription und Speicherung finden in Deutschland statt, die KI-Auswertung in der Europäischen Union.

Soweit Empfänger nach Abschnitt 11 Daten außerhalb der EU/des EWR verarbeiten können — im Rahmen von Support, Missbrauchskontrolle oder weil Sie eine Integration mit einem US-Anbieter aktiviert haben — stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um technische und organisatorische Zusatzmaßnahmen, bzw. auf einen Angemessenheitsbeschluss nach Art. 45 DSGVO (Vereinigtes Königreich; USA, soweit der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist). Eine Kopie der Garantien erhalten Sie auf Anfrage unter info@klarruf.de.

Trotz dieser Garantien lässt sich in Drittländern ein Zugriff durch dortige Behörden nicht mit derselben Sicherheit ausschließen wie innerhalb der EU. Wenn Sie das vermeiden möchten, verzichten Sie auf die optionalen Integrationen; der Kernbetrieb des Dienstes ist davon nicht betroffen.

Zahlungen wickelt Paddle.com Market Ltd. als Merchant of Record ab. Paddle wird Ihr Vertragspartner für den Zahlungsvorgang und verarbeitet Zahlungsdaten — Zahlungsmittel, Rechnungsanschrift, Steuerangaben — als eigener Verantwortlicher nach der Datenschutzerklärung von Paddle. Vollständige Kreditkartendaten erreichen unsere Systeme zu keinem Zeitpunkt. Wir erhalten von Paddle den Status des Abonnements, den gebuchten Tarif, die Laufzeit und eine Abonnement-Kennung, um Ihren Arbeitsbereich freizuschalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten aus § 147 AO und § 257 HGB.

Wenn Sie uns per E-Mail oder über das Feedback-Formular im Produkt schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um sie zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zum Vertrag, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung von Anfragen); bei Anfragen betroffener Personen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 DSGVO.

Als Datenschutzanfrage gekennzeichnete Meldungen werden mit einer Frist von einem Monat nach Art. 12 Abs. 3 DSGVO geführt und nachverfolgt. Korrespondenz löschen wir, sobald der Vorgang abgeschlossen ist und keine Aufbewahrungspflicht entgegensteht.

Nach Beendigung des Vertrags löschen wir die Daten Ihres Arbeitsbereichs entsprechend dem AVV; auf Wunsch geben wir sie vorher heraus.

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören: Transportverschlüsselung mit TLS für jede Verbindung; Passwörter ausschließlich als Hash; Sitzungen in httpOnly-Cookies, die JavaScript nicht auslesen kann; Verschlüsselung der besonders sensiblen Datenbankspalten — namentlich der OAuth-Token — mit AES-256-GCM; strikte Trennung der Arbeitsbereiche, sodass niemand die Gespräche einer anderen Organisation sehen kann; Zugriffsbegrenzung gegen automatisierte Anmeldeversuche; Zugriff auf Produktivsysteme nur für einen eng begrenzten Personenkreis und nur nach dem Grundsatz der Erforderlichkeit; verschlüsselte Sicherungen mit dokumentiertem Wiederherstellungsweg.

Sie haben uns gegenüber folgende Rechte:

Auskunft (Art. 15 DSGVO) darüber, ob und welche Daten wir zu Ihnen verarbeiten; Berichtigung unrichtiger Daten (Art. 16 DSGVO); Löschung (Art. 17 DSGVO); Einschränkung der Verarbeitung (Art. 18 DSGVO); Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO) sowie Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21 DSGVO).

Widerruf von Einwilligungen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Ihre Anfrage richten Sie an info@klarruf.de. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); bei komplexen Anfragen kann sich die Frist um zwei Monate verlängern, worüber wir Sie informieren. Betrifft Ihre Anfrage Inhalte eines Gesprächs, leiten wir sie an den verantwortlichen Kunden weiter, weil wir sie nach Art. 28 Abs. 3 lit. e DSGVO nur mit dessen Weisung beantworten dürfen.

Beschwerderecht (Art. 77 DSGVO). Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

—

Die Angaben bei der Registrierung und für die Abrechnung sind für den Vertragsschluss erforderlich; ohne sie können wir den Dienst nicht bereitstellen. Alle weiteren Angaben — Integrationen, Branche, Teamgröße, eigenes Vokabular — sind freiwillig, und ihr Fehlen hat keine Nachteile über den entfallenden Funktionsumfang hinaus.

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Maßgeblich ist die hier veröffentlichte Fassung mit dem oben genannten Stand. Über wesentliche Änderungen — insbesondere über neue Auftragsverarbeiter — informieren wir angemeldete Kunden zusätzlich per E-Mail.