Datenschutzerklärung

1. Verantwortlicher

Karl Emanuel-Mischke (Einzelunternehmen), Enderstraße 94, 01277 Dresden. E-Mail: support@kundoo.de, Telefon: +49 (0) 3531 4343264 (nachfolgend "wir" bzw. "Anbieter").

2. Datenschutzbeauftragter

Nach § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter erst zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle wird nicht erreicht; auch die übrigen Benennungspflichten des § 38 Abs. 1 Satz 2 BDSG greifen nicht. Ein Datenschutzbeauftragter wurde daher nicht benannt. Anfragen zum Datenschutz richten Sie bitte direkt an die oben genannten Kontaktdaten.

3. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Ihre personenbezogenen Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Widerspruch kann formlos an support@kundoo.de gerichtet werden. Direktwerbung betreiben wir nicht.

Sie haben zudem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist: Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden, Telefon 0351 85471-101, E-Mail post@sdtb.sachsen.de. Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden.

Automatisierte Entscheidungen im Einzelfall einschließlich Profiling (Art. 22 DSGVO) finden nicht statt.

4. Hosting, Bereitstellung der Website und Server-Logfiles

Website (kundoo.de) und Anwendung (app.kundoo.de) werden bei der Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4-6, 32339 Espelkamp, gehostet. Sämtliche Daten einschließlich der Sicherungskopien werden ausschließlich im Rechenzentrum von Mittwald in Espelkamp (Deutschland) verarbeitet. Mittwald verarbeitet die Daten in unserem Auftrag; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht. Mittwald betreibt ein nach ISO/IEC 27001:2022 zertifiziertes Informationssicherheits-Managementsystem (TÜV Rheinland, Zertifikat-Nr. 01 153 1600386, gültig bis 03.03.2028).

Beim Aufruf unserer Website und der Anwendung werden automatisch technische Zugriffsdaten in Server-Logfiles erhoben: Datum und Uhrzeit des Zugriffs, aufgerufene Seite bzw. Ressource, übertragene Datenmenge, HTTP-Statuscode, Referrer-URL, Browsertyp und Betriebssystem sowie die IP-Adresse in gekürzter Form — der letzte Zahlenblock wird durch eine Null ersetzt, aus 203.0.113.42 wird 203.0.113.0. Die Verarbeitung dient der technischen Bereitstellung, der Sicherheit und Stabilität der Systeme und der Abwehr von Angriffen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Die Aufbewahrung gibt unser Hoster vor; eine eigene Frist können wir dort nicht festlegen. Die gekürzten Zugriffsprotokolle werden nach 60 Tagen gelöscht. Fehlerprotokolle des Webservers, die fehlerhafte Seitenaufrufe mit der vollständigen IP-Adresse festhalten, werden nach sieben Tagen gelöscht.

Sicherungskopien (Backups) der Anwendung werden bei Mittwald für 30 Tage vorgehalten und danach automatisch überschrieben.

Fehlerprotokoll der Anwendung. Tritt in der Anwendung ein technischer Fehler auf, speichern wir die Fehlermeldung, die betroffene Programmdatei und Zeile, den aufgerufenen Pfad ohne Abfrageparameter (etwa /customer.php, nicht die daran angehängten Werte), den Zeitpunkt des ersten und des letzten Auftretens sowie die Anzahl der Wiederholungen. Ein Bezug zu Ihrem Konto wird dabei nicht gespeichert. Personenbezogene Daten können ausnahmsweise enthalten sein, wenn sie Bestandteil der technischen Fehlermeldung selbst sind. Die Verarbeitung dient dem Erkennen und Beheben von Störungen. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Einträge werden 90 Tage nach ihrem letzten Auftreten automatisch gelöscht. Das Protokoll ist ausschließlich für die Administration zugänglich.

Sicherheitsprotokoll der Anwendung. Um Angriffe und unbefugte Zugriffe erkennen und aufklären zu können, protokollieren wir sicherheitsrelevante Vorgänge: angeforderte und durchgeführte Exporte von Kontaktdaten, fehlgeschlagene Bestätigungscodes, Fehlversuche bei der Anmeldung am Verwaltungsbereich, Sperren nach wiederholten Fehlversuchen, Anlage und Widerruf von Kalender-Passwörtern sowie zurückgewiesene Meldungen unseres Zahlungsdienstleisters. Gespeichert werden der Zeitpunkt, die Art des Ereignisses, das betroffene Konto, eine kurze technische Beschreibung sowie ein mit einem geheimen Zufallswert gebildeter Streuwert Ihrer IP-Adresse; die IP-Adresse selbst speichern wir hier nicht. Die Verarbeitung dient der Erkennung, Eindämmung und Aufklärung von Sicherheitsvorfällen und erfüllt zugleich unsere Pflicht zur Sicherheit der Verarbeitung nach Art. 32 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb und am Schutz der in Kundoo verarbeiteten Daten (Art. 6 Abs. 1 lit. f DSGVO); Erwägungsgrund 49 nennt die Sicherheit von Netz- und Informationssystemen ausdrücklich als solches Interesse. Einträge werden nach 90 Tagen automatisch gelöscht. Die letzten zwanzig Ereignisse zu Ihrem eigenen Konto können Sie jederzeit in Ihren Kontoeinstellungen einsehen.

Es werden keine Analyse-, Tracking- oder Marketing-Werkzeuge eingesetzt.

5. Registrierung und Nutzung der Kundoo-Anwendung

Kundoo kann von jedermann genutzt werden, unabhängig davon, ob die Nutzung beruflich oder privat erfolgt. Bei der Registrierung erheben wir Vor- und Nachname, E-Mail-Adresse und Passwort (ausschließlich gehasht gespeichert). Die Angabe von Firma bzw. Betrieb und Branche ist freiwillig und dient ausschließlich der Personalisierung der Anwendung. Zur Aktivierung des Kontos wird die E-Mail-Adresse per Bestätigungslink verifiziert; Zeitpunkt der Registrierung und der Bestätigung werden zum Nachweis des Vertragsschlusses gespeichert.

Im Kundenkonto können Sie Anschrift und Telefonnummer ergänzen. Diese Angaben benötigen wir für die Vertragsdokumentation, die Zuordnung Ihres Abonnements und die Kommunikation mit Ihnen.

Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Bereitstellung von Name, E-Mail-Adresse und Passwort ist für den Vertragsschluss erforderlich; ohne diese Angaben kann kein Konto eingerichtet werden. Alle übrigen Angaben sind freiwillig.

5.1 Bearbeitung von Kündigungen und Widerrufen. Kündigen Sie Ihren Vertrag oder erklären Sie den Widerruf, speichern wir Ihre Erklärung mit Zeitpunkt und Inhalt, um sie ausführen und nachweisen zu können. Für die Bearbeitung halten wir zusätzlich fest, wann und durch wen auf unserer Seite die Anfrage bearbeitet wurde, sowie eine interne Notiz zum Bearbeitungsstand; diese Notiz wird verschlüsselt gespeichert und ist ausschließlich für die Administration zugänglich. Wird das zugehörige Konto später gelöscht, halten wir auch diesen Zeitpunkt fest, damit eine erledigte Anfrage nicht erneut zur Bearbeitung erscheint. Rechtsgrundlage ist die Durchführung des Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer nachvollziehbaren und fristgerechten Bearbeitung (Art. 6 Abs. 1 lit. f DSGVO). Die Vermerke werden zusammen mit der Anfrage gelöscht; soweit die Anfrage zur Geschäftskorrespondenz gehört, gelten die Fristen aus Abschnitt 9.

5.2 Abgleich mit dem Kalender Ihres Geräts. Auf Wunsch können Sie Ihren Kundoo-Kalender mit dem Kalender Ihres iPhones oder eines anderen Geräts abgleichen. Dazu legen Sie in Ihrem Kundenkonto ein Kalender-Passwort an, das wir ausschließlich als Prüfwert (Hash) speichern und das Sie jederzeit widerrufen können; ändern Sie Ihr Kundoo-Passwort, werden alle Kalender-Passwörter automatisch widerrufen. Übertragen werden Beginn und Ende Ihrer Termine der letzten zwölf Monate und der Zukunft, der Name des zugehörigen Kunden als Titel, der Ort sowie das Bundesland als Name des Kalenders; Notizen nur, wenn Sie dies ausdrücklich einschalten. Termine, die Sie auf dem Gerät in einem Kundoo-Kalender anlegen, ändern oder löschen, übernehmen wir entsprechend in Kundoo, einschließlich der dort eingestellten Erinnerungen. Tragen Sie dabei als Titel genau den Namen eines Ihrer Kunden ein und ist die Zuordnung eindeutig, verknüpfen wir den Termin mit diesem Kunden; Name und Adresse des Kunden werden dann auf das Gerät übertragen. Die Übertragung erfolgt direkt und TLS-verschlüsselt zwischen Ihrem Gerät und unserem Server; weitere Empfänger (etwa Apple iCloud) sind daran nicht beteiligt. Auf dem Gerät liegen die übertragenen Daten im Kalender wie andere Termine und unterliegen dem Schutz des Geräts; die Verschlüsselung auf Anwendungsebene gilt dort nicht. Zum Schutz vor Missbrauch speichern wir zu jedem Kalender-Passwort seine Bezeichnung sowie den Zeitpunkt der Anlage und der letzten Verbindung und protokollieren Anlage und Widerruf als sicherheitsrelevantes Ereignis (Abschnitt 4, Löschung nach 90 Tagen). Um wiederholtes Ausprobieren zu begrenzen, zählen wir fehlgeschlagene Anmeldeversuche, fehlgeschlagene Bestätigungen mit Ihrem Kundoo-Passwort und automatische Verknüpfungen mit Kunden; dafür speichern wir nur einen Prüfwert (Hash) aus IP-Adresse und E-Mail-Adresse bzw. aus der Kennung Ihres Kontos und löschen ihn nach etwa 24 Stunden. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); die Nutzung ist freiwillig. Mit dem Widerruf des Kalender-Passworts endet der Abgleich; bereits übertragene Termine entfernen Sie auf dem Gerät, indem Sie dort das Konto löschen.

Zur Absicherung des Kontos setzen wir Zwei-Faktor-Authentifizierung, E-Mail-Bestätigung und automatische Abmeldung nach Inaktivität ein. Besonders schutzbedürftige Inhalte speichern wir zusätzlich auf Anwendungsebene verschlüsselt (AES-256-GCM): Telefonnummern, E-Mail-Adressen und freie Notizen zu den von Ihnen erfassten Kontakten, interne Bearbeitungsvermerke sowie den Schlüssel Ihrer Zwei-Faktor-Anmeldung. Namen, Firmenbezeichnungen und Anschriften speichern wir unverschlüsselt, weil Suche, Sortierung und Kartendarstellung unmittelbar darauf zugreifen; der Schutz dieser Angaben erfolgt über die Zugriffskontrolle der Anwendung und die Maßnahmen nach Abschnitt 10. Die Übertragung erfolgt ausschließlich über TLS-verschlüsselte Verbindungen.

6. Von Ihnen in Kundoo verwaltete Daten Dritter

Erfassen Sie in Kundoo Daten anderer Personen (z. B. Ihrer Kunden, Interessenten oder Ansprechpartner), sind Sie für diese Daten selbst datenschutzrechtlich Verantwortlicher. Wir verarbeiten diese Daten ausschließlich in Ihrem Auftrag und nach Ihrer Weisung als Auftragsverarbeiter (Art. 28 DSGVO); die Rechtsgrundlage für die Verarbeitung dieser Daten bestimmen Sie als Verantwortlicher. Die Einzelheiten regelt ein Auftragsverarbeitungsvertrag (AVV), den Sie über Ihr Kundenkonto abschließen können. In diesem AVV sind auch die von uns eingesetzten Unterauftragsverarbeiter benannt (Abschnitt 8). Bei rein privater Nutzung ohne beruflichen oder wirtschaftlichen Bezug findet die DSGVO auf Ihre Erfassung nicht Anwendung (Art. 2 Abs. 2 lit. c DSGVO); die in dieser Erklärung beschriebenen Schutzmaßnahmen gelten unabhängig davon.

7. Kontaktaufnahme

Wenn Sie uns per E-Mail (support@kundoo.de) oder Telefon kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (Name, Kontaktdaten, Inhalt der Anfrage) zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist die Vertragsdurchführung bzw. die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Die Korrespondenz löschen wir, sobald das Anliegen abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen; Geschäftskorrespondenz mit steuerlicher Relevanz bewahren wir sechs Jahre auf (Abschnitt 9).

7.1 Freiwillige Rückmeldungen. Über „Feedback geben" in Ihrem Konto sowie über die Abfrage, die nach einer abgeschlossenen Kündigung oder einem abgegebenen Widerruf erscheint, können Sie uns eine Rückmeldung geben. Diese Angaben sind ausnahmslos freiwillig: Kündigung, Widerruf, Rückerstattung und die Nutzung von Kundoo hängen nicht davon ab, und Sie können die Abfrage jederzeit überspringen. Verarbeitet werden die von Ihnen gewählte Antwortmöglichkeit, Ihr Freitext, bei einer Nachricht aus dem Konto zusätzlich die gewählte Art und der betroffene Bereich sowie bei einer Fehlermeldung die Kennung Ihres Browsers zur Nachstellung des Fehlers. Die Rückmeldung wird Ihrem Konto zugeordnet gespeichert und an support@kundoo.de übermittelt; mitgesendet werden dabei ausschließlich Name, E-Mail-Adresse, Kundennummer, Sprache und Kontostatus, damit wir Ihnen antworten können. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung und der Unterstützung unseres Dienstes (Art. 6 Abs. 1 lit. f DSGVO), bei Anliegen aus dem Vertragsverhältnis zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Wir löschen Rückmeldungen, sobald sie für die Verbesserung von Kundoo nicht mehr benötigt werden, spätestens jedoch auf Ihre Aufforderung hin; bei Löschung Ihres Kontos entfällt die Zuordnung zu Ihrer Person. Der Verarbeitung können Sie nach Art. 21 DSGVO jederzeit widersprechen.

7.2 Funktionswünsche und Abstimmung. In Ihrem Konto können Sie uns unter „Funktionswünsche" einen Vorschlag zur Weiterentwicklung von Kundoo schreiben und den dort veröffentlichten Vorschlägen Stimmen geben. Beides ist freiwillig; die Nutzung von Kundoo hängt nicht davon ab. Bei einer Einreichung speichern wir Ihren Text verschlüsselt und Ihrem Konto zugeordnet sowie den Zeitpunkt. Bei einer Stimmabgabe speichern wir, welchem Vorschlag Sie wie viele Ihrer monatlich verfügbaren Stimmen gegeben haben, und den betreffenden Monat. Anderen Nutzern werden ausschließlich die Gesamtzahl der Stimmen je Vorschlag und die Anzahl der beteiligten Konten angezeigt — nicht, wer wie abgestimmt hat. Eingereichte Texte veöffentlichen wir nicht im Wortlaut; wir entscheiden, ob und in welcher Formulierung ein Thema auf dem Board erscheint. Rechtsgrundlage ist unser berechtigtes Interesse an der Weiterentwicklung unseres Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Einreichungen löschen wir, sobald sie für die Weiterentwicklung nicht mehr benötigt werden, spätestens auf Ihre Aufforderung hin. Löschen Sie Ihr Konto, werden Ihre Stimmen gelöscht und die Zuordnung Ihrer Einreichungen zu Ihrer Person entfällt. Der Verarbeitung können Sie nach Art. 21 DSGVO jederzeit widersprechen.

8. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an die nachfolgend genannten Empfänger weiter. Eine Weitergabe zu Werbezwecken findet nicht statt.

8.1 Hosting

Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4-6, 32339 Espelkamp (Auftragsverarbeiter, siehe Abschnitt 4). Die von Mittwald seinerseits eingesetzten Unterauftragnehmer sind unter mittwald.de/unsere-dienstleister veröffentlicht; für den laufenden Betrieb von Kundoo ist keiner dieser Unterauftragnehmer mit Ihren Daten befasst.

8.2 E-Mail-Versand

Transaktions-E-Mails (Registrierungsbestätigung, Codes der Zwei-Faktor-Authentifizierung, Hinweise zum Konto und zum Abonnement, Antworten auf Support-Anfragen) versenden wir über die Mail-Infrastruktur von Mittwald (Abschnitt 8.1). Newsletter oder Werbe-E-Mails versenden wir nicht.

Versandprotokoll. Über jede von uns versendete E-Mail speichern wir die Empfängeradresse, den Anlass (etwa „Registrierungsbestätigung" oder „Passwort zurücksetzen"), den Betreff, den Zeitpunkt sowie, ob der Versand gelungen ist, und andernfalls die technische Fehlermeldung. Der Inhalt der E-Mail wird nicht gespeichert. Das Protokoll dient dem Nachweis, dass vertragliche und gesetzliche Pflichtmitteilungen abgesendet wurden, und der Aufklärung von Zustellproblemen. Rechtsgrundlage ist unser berechtigtes Interesse an einem nachweisbaren und funktionierenden Versand (Art. 6 Abs. 1 lit. f DSGVO), bei vertragsbezogenen Mitteilungen zusätzlich die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Einträge werden nach 90 Tagen automatisch gelöscht; löschen Sie Ihr Konto, werden die zu Ihrer Adresse gehörenden Einträge zusätzlich sofort entfernt. Das Protokoll ist ausschließlich für die Administration zugänglich.

8.3 Zahlungsabwicklung

Die Zahlungsabwicklung erfolgt über Paddle. Paddle tritt als "Merchant of Record" auf, d. h. der Kaufvertrag über das Abonnement kommt mit Paddle zustande, und Paddle ist für Zahlungs- und Rechnungsdaten eigenständig datenschutzrechtlich Verantwortlicher. Verantwortliche Stelle ist die Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich; die Datenschutzerklärung von Paddle ist unter paddle.com/legal/privacy abrufbar.

Wir übermitteln an Paddle zur Zuordnung des Abonnements Ihre E-Mail-Adresse und eine Kundennummer; Paddle übermittelt uns den Status Ihres Abonnements (aktiv, gekündigt, Zahlungsproblem) und die Vertragslaufzeit. Kreditkarten- und Kontodaten geben Sie ausschließlich im Bezahlvorgang bei Paddle ein; wir erhalten diese Daten nicht. Rechtsgrundlage ist die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO).

Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Übermittlungen innerhalb der Paddle-Unternehmensgruppe an Empfänger in den USA erfolgen nach Angaben von Paddle auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

8.4 Kartendarstellung

Kartenkacheln bezieht unser Server von Geoapify (KEPTAGO LTD, Paphos, Zypern) über deren EU-Endpunkt und speichert sie bis zu 30 Tage zwischen. Ihr Browser stellt keine Verbindung zu Geoapify her; übermittelt werden nur Kachelkoordinaten, keine personenbezogenen Daten. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

8.5 Ortsbestimmung von Adressen (Geokodierung)

Um Adressen auf der Karte anzuzeigen und Termine im Umkreis zu finden, übermittelt unser Server Straße, Postleitzahl und Ort – aus von Ihnen erfassten Datensätzen, Terminen oder dem Suchbegriff der Umkreissuche – an Geoapify als unseren Auftragsverarbeiter (Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; EU-Endpunkt api-eu.geoapify.com mit vertraglicher Zusicherung der Verarbeitung innerhalb der EU; Geoapify setzt hierfür BunnyCDN – BUNNYWAY d.o.o., Slowenien – und Rechenzentren von Hetzner in Deutschland und Finnland ein). Ihre IP-Adresse wird nicht übertragen. Die Anfragen können die übermittelte Anschrift vollständig enthalten; Geoapify löscht sie im Regelfall nach rund 24 Stunden und bewahrt sie nur ausnahmsweise bis zu rund zwei Monate auf, soweit dies für Sicherheitsuntersuchungen, die Abwehr von Missbrauch und Betrug oder die Störungssuche erforderlich ist. Die ermittelten Koordinaten speichern wir, bis Sie den Datensatz löschen; Suchbegriffe speichern wir nicht. Soweit es sich um Ihre eigenen Angaben handelt, ist Rechtsgrundlage die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); Daten Dritter verarbeiten wir insoweit in Ihrem Auftrag (Abschnitt 6). Kartendaten stammen aus OpenStreetMap (openstreetmap.org/copyright).

9. Speicherdauer und Löschung

Aktive Konten: Ihre Daten bleiben gespeichert, solange das Konto besteht.

Nicht bestätigte Registrierungen: Bestätigen Sie die bei der Registrierung angegebene E-Mail-Adresse nicht, kommt kein Nutzungsverhältnis zustande und der Zugang bleibt gesperrt. Wir erinnern Sie einmalig nach 24 Stunden an die Bestätigung. Bleibt sie aus, löschen wir die bei der Registrierung angegebenen Daten 14 Tage nach der Registrierung automatisch und vollständig; eine gesonderte Mitteilung erfolgt dann nicht, da die Adresse nicht bestätigt ist. Rechtsgrundlage für die Speicherung bis dahin ist die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).

Selbstlöschung: Löschen Sie Ihr Konto über "Mein Konto", werden das Konto und alle darin erfassten Datensätze sofort und unwiderruflich gelöscht. Eine Wiederherstellung ist nicht möglich; auch aus Sicherungskopien können wir einzelne Konten weder zurückholen noch Ihnen daraus Daten zur Verfügung stellen. Bitte laden Sie Ihre Daten daher vor der Löschung über die Exportfunktion herunter. Sicherungskopien, die das Konto noch enthalten, werden innerhalb von 30 Tagen automatisch überschrieben (Abschnitt 4).

Beendete Konten: Endet Ihr Zugang, weil die Testphase abgelaufen ist, der Vertrag gekündigt wurde oder Sie widerrufen haben, bleiben Ihre Daten zunächst erhalten, damit Sie sie exportieren oder den Zugang wieder aufnehmen können. 14 Tage nach dem Ende des Zugangs wird das Konto zur Löschung vorgemerkt, weitere 30 Tage danach werden Konto und Daten endgültig und automatisch gelöscht. Wir weisen Sie vor der Vormerkung und erneut spätestens sieben Tage vor der Löschung per E-Mail darauf hin. Auch hier ist nach der Löschung keine Wiederherstellung möglich. Sicherungskopien werden innerhalb von weiteren 30 Tagen automatisch überschrieben (Abschnitt 4).

Nachweis der Löschung: Von jeder automatischen Löschung protokollieren wir ausschließlich Zeitpunkt, Anlass und die zugrunde liegenden Fristdaten sowie die Angabe, ob ein kostenpflichtiger Vertrag bestand — ohne Namen, E-Mail-Adresse oder sonstige Angaben zu Ihrer Person. Dieses Protokoll dient dem Nachweis unserer Löschpflichten (Art. 5 Abs. 2 DSGVO).

Gesetzliche Aufbewahrungspflichten: Unterlagen, die wir nach Handels- und Steuerrecht aufbewahren müssen, werden von der Löschung ausgenommen und nach Ablauf der jeweiligen Frist gelöscht: Buchungsbelege und Rechnungen acht Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB, § 14b UStG), Bücher und Aufzeichnungen zehn Jahre, Handels- und Geschäftsbriefe sechs Jahre. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Rechtsgrundlage ist die Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO). Die Rechnungsstellung für Ihr Abonnement erfolgt durch Paddle (Abschnitt 8.3); die dortige Aufbewahrung richtet sich nach den Angaben von Paddle.

Server-Logfiles: siehe Abschnitt 4. Fehlerprotokoll der Anwendung: 90 Tage, siehe Abschnitt 4. Vermerke zu Kündigungen und Widerrufen: siehe Abschnitt 5.1. Support-Korrespondenz: siehe Abschnitt 7. Funktionswünsche und Stimmen: siehe Abschnitt 7.2. Versandprotokoll für E-Mails: 90 Tage, siehe Abschnitt 8.2. Sicherheitsprotokoll der Anwendung: 90 Tage, siehe Abschnitt 4.

10. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein: einen Session-Cookie, der Sie nach der Anmeldung als angemeldeten Nutzer erkennt, sowie einen Cookie zum Schutz vor Cross-Site-Request-Forgery. Marketing- oder Tracking-Cookies werden nicht eingesetzt. Der Zugriff auf Ihr Endgerät ist für die Bereitstellung des von Ihnen ausdrücklich gewünschten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Verarbeitung der damit verbundenen personenbezogenen Daten erfolgt zur Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Eine Einwilligung ist hierfür nicht erforderlich. Der Session-Cookie wird bei Abmeldung, bei automatischer Abmeldung nach Inaktivität oder beim Schließen des Browsers gelöscht.

11. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Manipulation und unbefugten Zugriff zu schützen: Verschlüsselung besonders schutzbedürftiger Inhalte auf Anwendungsebene (AES-256-GCM, Einzelheiten in Abschnitt 5), Protokollierung sicherheitsrelevanter Ereignisse mit Benachrichtigung des Kontoinhabers (Abschnitt 4), gesonderte Bestätigung vor dem Export von Kontaktdaten, TLS-Verschlüsselung aller Übertragungen, gehashte Passwörter, Zwei-Faktor-Authentifizierung, automatische Abmeldung nach Inaktivität, tägliche Sicherungskopien mit 30 Tagen Vorhaltezeit sowie ein nach ISO/IEC 27001:2022 zertifiziertes Hosting in Deutschland (Abschnitt 4).

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, sobald sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils aktuelle, auf kundoo.de veröffentlichte Fassung; das Datum der Fassung ist oben angegeben.