Datenschutzerklärung

1. Einführung

Willkommen bei Caramel ("wir", "unser" oder "uns"). Wir setzen uns für den Schutz Ihrer personenbezogenen Daten und die Wahrung Ihrer Datenschutzrechte gemäß der Datenschutz-Grundverordnung (DSGVO) und anderer anwendbarer Datenschutzgesetze weltweit ein. Diese Datenschutzerklärung erläutert, wie wir Ihre Informationen erheben, verwenden, offenlegen und schützen, wenn Sie unsere Plattform und unsere Dienste nutzen.

Caramel ist eine Business-to-Business-Plattform. Unternehmen nutzen sie, um Formulare zu erstellen und zu veröffentlichen, ihre eigenen Kundendatensätze zu erfassen und zu verwalten sowie Marketingkampagnen über E-Mail, SMS, Messaging-Apps und Push-Benachrichtigungen durchzuführen, ergänzt durch die Integrationen und Premium-Beratungsleistungen, die diese Arbeit unterstützen.

Unser Engagement für den Datenstandort EU: Wir legen Wert auf Datensouveränität, indem wir Ihre Daten vorrangig innerhalb der Europäischen Union über EU-ansässige Infrastrukturanbieter verarbeiten und speichern.

Diese Erklärung gilt für:

• Unsere Website und Webanwendungen
• Unsere mobilen Anwendungen (iOS und Android)
• Unsere API-Dienste
• Alle damit verbundenen von uns erbrachten Dienste

2. Angaben zum Verantwortlichen

Im Sinne der DSGVO handeln wir als:

• Verantwortlicher für Plattformnutzer und Unternehmenskonten
• Auftragsverarbeiter für die Daten der Endkunden, die unsere Unternehmenskunden über die Plattform hochladen, erfassen oder an die sie Nachrichten senden

3. Von uns erhobene Informationen

3.1 Informationen, die Sie uns direkt bereitstellen

Kontoinformationen:

• Vollständiger Name und Position
• E-Mail-Adresse (verifiziert)
• Telefonnummer (für 2FA und Benachrichtigungen)
• Firmenname und Registrierungsangaben (für Unternehmenskonten)
• USt-IdNr./Steuernummern
• Passwort (bcrypt-gehasht, niemals im Klartext gespeichert)

Zahlungsinformationen:

• Zahlungskartendaten (tokenisiert über Stripe-EU-Server)
• IBAN/Bankkontodaten (für SEPA-Zahlungen)
• Rechnungsanschrift
• Transaktionshistorie
• Rechnungspräferenzen

Endkundendaten (im Auftrag von Unternehmen verarbeitet):

Nutzt ein Unternehmen Caramel, um seine eigenen Kunden zu erreichen, verarbeiten wir die Daten, die dieses Unternehmen bereitstellt oder erfasst. Für alle diese Daten handeln wir als Auftragsverarbeiter:

• Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer)
• Über die vom Unternehmen veröffentlichten Formulare übermittelte Antworten
• Status der Marketingeinwilligung und Kommunikationspräferenzen
• Zustell-, Öffnungs-, Klick- und Abmeldeprotokolle von Nachrichten
• Segmentzugehörigkeit und Kampagnenhistorie
• Sprache und Gebietsschema, sofern angegeben

3.2 Automatisch erhobene Informationen

Technische Daten:

• IP-Adresse (nach 7 Tagen anonymisiert)
• Gerätetyp und -kennungen (gehasht)
• Browsertyp und -version
• Betriebssystem
• Zeitzonen- und Gebietsschema-Einstellungen
• Spracheinstellungen

Nutzungsdaten:

• Besuchte Seiten und genutzte Funktionen
• Klickmuster und Navigationspfade
• Suchanfragen innerhalb der Plattform
• Leistungskennzahlen
• Fehlerprotokolle (personenbezogene Daten entfernt)
• Sitzungsdauer

Cookie-Daten: Essenzielle Cookies für die Funktionalität sowie Analyse-/Marketing-Cookies, sofern Sie eingewilligt haben — siehe unsere Cookie-Richtlinie.

3.3 Informationen von Dritten

• Zahlungsverifizierung durch Stripe (EU-Server)
• Zustell- und Interaktionsereignisse von unseren Versanddienstleistern
• Analysedaten von PostHog (EU-Cloud)

3.4 Besondere Kategorien personenbezogener Daten

Wir erheben KEINE besonderen Kategorien personenbezogener Daten (Gesundheitsdaten, biometrische Daten, rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen usw.), es sei denn:

• dies ist zur Erfüllung rechtlicher Verpflichtungen erforderlich,
• sie werden ausdrücklich mit gesonderter Einwilligung bereitgestellt,
• dies ist zur Einhaltung arbeitsrechtlicher Vorschriften erforderlich (Unternehmenskonten).

4. Rechtsgrundlage der Verarbeitung (Art. 6 DSGVO)

Wir verarbeiten Ihre personenbezogenen Daten auf Grundlage der folgenden Rechtsgrundlagen:

5. Wie wir Ihre Informationen verwenden

5.1 Hauptzwecke

5.2 Automatisierte Entscheidungsfindung und Profiling

Wir verwenden eine begrenzte automatisierte Entscheidungsfindung für:

• Betrugserkennung: Bewertung des Transaktionsrisikos
• Marketingsegmentierung: Kundenkategorisierung
• Servicepersonalisierung: Funktionsempfehlungen

Ihre Rechte:

• Menschliche Überprüfung automatisierter Entscheidungen verlangen
• Profiling für Marketingzwecke widersprechen
• Der automatisierten Entscheidungsfindung widersprechen
• Erläuterung der zugrunde liegenden Logik verlangen

6. Weitergabe und Offenlegung von Daten

6.1 In der EU ansässige Dienstleister (Auftragsverarbeiter)

Alle unsere primären Auftragsverarbeiter unterhalten einen Datenstandort in der EU:

6.2 Kommunikationsdienste

6.3 Kategorien von Empfängern

• Geschäftspartner: Nur ihre eigenen Kundendaten
• Berater: Anwälte, Steuerberater (unter Vertraulichkeitsvereinbarung)
• Aufsichtsbehörden: Wenn gesetzlich vorgeschrieben
• Strafverfolgungsbehörden: Nur bei gültiger Rechtsgrundlage
• Potenzielle Erwerber: Im Rahmen von Unternehmenstransaktionen (unter Vertraulichkeitsvereinbarung)

6.4 Wir geben Daten niemals weiter an

• Datenhändler oder Werbetreibende
• Dritte für deren eigene Marketingzwecke
• Jemanden ohne Rechtsgrundlage
• Länder außerhalb der EU ohne Schutzmaßnahmen

7. Internationale Datenübermittlungen

7.1 Vorrang des Datenstandorts EU

Primäre Verarbeitung: Alle Daten werden innerhalb der EU verarbeitet und gespeichert:

• Datenbank: Deutschland (Hetzner)
• Anwendung: EU-Regionen
• Analyse: EU-Server
• Backups: EU-Standorte

7.2 Begrenzte Übermittlungen in Drittländer

Sofern Übermittlungen außerhalb der EU erforderlich sind:

7.3 Schutzmaßnahmen für Übermittlungen

• Standardvertragsklauseln (SVK): Modul 2 (Verantwortlicher an Auftragsverarbeiter)
• Zusätzliche Maßnahmen: Ende-zu-Ende-Verschlüsselung, Pseudonymisierung, Datenminimierung, Zugriffsbeschränkungen
• Transferfolgenabschätzungen (TIA): Für jede Übermittlung durchgeführt
• Ihre Rechte: Anforderung von Kopien der Dokumentation zu den Schutzmaßnahmen

8. Datensicherheit

8.1 Technische Maßnahmen (an ISO 27001 orientiert)

8.2 Organisatorische Maßnahmen

8.3 Reaktion auf Datenschutzverletzungen

Zeitplan für Erkennung & Reaktion:

1. 0–1 Stunden: Erkennung und Eindämmung des Vorfalls
2. 1–24 Stunden: Folgenabschätzung und Schadensbegrenzung
3. 24–72 Stunden: Meldung an die Aufsichtsbehörde (falls erforderlich)
4. ab 72 Stunden: Benachrichtigung betroffener Personen (bei hohem Risiko)

Verletzungsregister: Wird gemäß Art. 33 Abs. 5 DSGVO geführt.

9. Speicherdauer

9.1 Aufbewahrungsplan

9.2 Grundsätze der Speicherdauer

• Datenminimierung: Nur das Notwendige wird gespeichert
• Zweckbindung: Löschung nach Zweckerreichung
• Gesetzliche Anforderungen: Einhaltung verpflichtender Aufbewahrungsfristen
• Automatisierte Löschung: Systematische Löschzeitpläne
• Backup-Rotation: 90 Tage Backup-Aufbewahrung

10. Ihre Datenschutzrechte (Kapitel III DSGVO)

10.1 Übersicht Ihrer Rechte

10.2 Wie Sie Ihre Rechte ausüben

10.3 Identitätsprüfung

Zu Ihrer Sicherheit verlangen wir:

• Verifizierung der Konto-E-Mail-Adresse
• Zwei-Faktor-Authentifizierung
• Amtlichen Ausweis (bei sensiblen Anfragen, geschwärzt)
• Sicherheitsfragen

10.4 Beschwerden

Internes Verfahren: Kontaktieren Sie zunächst unseren Datenschutzbeauftragten, Eskalation an die Geschäftsführung, Lösung innerhalb von 30 Tagen.

11. Internationale Datenschutzrechte

12. Datenschutz für Kinder

Altersbeschränkungen:

• Mindestalter: 18 Jahre (allgemein)
• EU/EWR: 16 Jahre mit elterlicher Einwilligung
• Andere Regionen: Volljährigkeitsalter

Wenn wir minderjährige Nutzer feststellen:

1. Sofortige Kontosperrung
2. Versuch der Benachrichtigung der Eltern
3. Löschung der Daten innerhalb von 48 Stunden

13. Marketingkommunikation

13.1 Anmeldung/Abmeldung

13.2 Abmeldemethoden

• Ein-Klick-Abmeldung in E-Mails
• SMS: Antwort mit STOP
• Datenschutzportal: Granulare Einstellungen
• E-Mail: privacy@joincaramel.com

14. Links und Dienste Dritter

Unsere Plattform kann Links zu Websites Dritter enthalten. Wir sind nicht für deren Datenschutzpraktiken verantwortlich. Bitte prüfen Sie deren Datenschutzerklärungen, bevor Sie personenbezogene Daten bereitstellen.

Datenschutzerklärungen integrierter Dienste:

• Stripe-Datenschutz
• PostHog-Datenschutz
• AWS-Datenschutz

15. Datenverarbeitung für Unternehmen

Wenn wir Daten im Auftrag von Unternehmen verarbeiten:

Einzelheiten finden Sie in unserem AVV-Generator.

16. Änderungen dieser Erklärung

Benachrichtigung über Änderungen:

• E-Mail: 30 Tage Vorankündigung bei wesentlichen Änderungen
• Plattform: Banner-Benachrichtigung
• Frühere Versionen auf Anfrage erhältlich unter privacy@joincaramel.com

Überprüfungsturnus: Vierteljährliche Überprüfung, mindestens jährliche Aktualisierung.

17. Barrierefreiheit

Diese Datenschutzerklärung ist verfügbar in:

• Sprachen: Englisch, Französisch, Deutsch, Spanisch, Italienisch
• Barrierefreiheit: WCAG-2.1-AA-konform
• Alternative Formate: Auf Anfrage erhältlich

18. Gerichtsstand und Streitbeilegung

18.2 Kontaktaufnahme vor rechtlichen Schritten

Vor Einleitung eines Gerichtsverfahrens:

1. Reichen Sie eine Anfrage ein unter privacy@joincaramel.com oder über das Datenschutz-Antragsportal
2. Gewähren Sie 30 Tage zur Lösung
3. Erwägen Sie eine Mediation über die zuständigen französischen Behörden

Durch die Nutzung unserer Dienste akzeptieren Sie ausdrücklich, dass ausschließlich die Gerichte von Paris zuständig sind, außer soweit EU-Recht zwingende Verbraucherschutzrechte vorsieht.

Kontaktieren Sie uns