1. Verantwortlicher und Kontakt

Dennis Pieper, Einzelunternehmer, handelnd unter „LeadAhoi – Softwareentwicklung & SaaSLösungen“, Falkenbrunnstraße 21, 12524 Berlin, Deutschland.

Datenschutzanfragen und Betroffenenrechte:	support@leadahoi.de
Technische Sicherheitsvorfälle:	tech@leadahoi.de
Geschäftsleitung:	dennis.pieper@leadahoi.de
Telefon:	+49 1525 7229887

Die genannten Adressen sind unsere Ansprechpartner für Datenschutz und Sicherheit. Die Benennung der Geschäftsleitung ist keine Benennung eines Datenschutzbeauftragten.

2. Wer ist für welche Daten verantwortlich?

Für unsere Website, die Verwaltung der Plattformkonten und Verträge, Abrechnung, eigene Plattformkommunikation, Marktplatzorganisation, plattformübergreifenden Missbrauchsschutz und die unten beschriebenen Nachfrageauswertungen ist LeadAhoi verantwortlich.

Bei der Speicherung und Bearbeitung von CRMKontakten, Dokumenten, Terminen und Nachrichten im Auftrag eines Nutzers handeln wir grundsätzlich als Auftragsverarbeiter. Der jeweilige Nutzer beziehungsweise das Unternehmen, für das er handelt, bestimmt die Zwecke und verantwortet die Rechtsgrundlagen, Informationen an Betroffene und Löschanweisungen. Entsprechendes gilt für rein technische Leadanbieterfunktionen im vereinbarten Auftrag. Unsere Nutzer-AVV regelt diese Verarbeitung.

Bei fremden Leads verantwortet der jeweilige Anbieter die ursprüngliche Erhebung und zulässige Weitergabe. Der Käufer verantwortet die anschließende Kontaktaufnahme, Beratung und eigene CRMNutzung. Unsere eigenen Marktplatzaufgaben bleiben davon getrennt. Bei als „Direkt von LeadAhoi“ gekennzeichneten Anfragen ist LeadAhoi auch für die eigene Erhebung und Weitergabe verantwortlich.

Ein Leadkauf ersetzt keine Einwilligung der anfragenden Person. Ebenso ersetzt unsere Erklärung nicht die Datenschutzhinweise des jeweiligen Anbieters, Käufers oder CRMVerantwortlichen. Wenn Sie nicht wissen, wer Ihre Daten eingestellt oder erhalten hat, helfen wir Ihnen bei der Zuordnung anhand der vorhandenen Informationen.

3. Grundlagen und Herkunft der Daten

Wir verarbeiten Daten zur Anbahnung und Durchführung eines Vertrags mit Ihnen nach Art. 6 Abs. 1 Buchst. b DSGVO, zur Erfüllung gesetzlicher Pflichten nach Buchst. c, aufgrund Ihrer Einwilligung nach Buchst. a oder aufgrund berechtigter Interessen nach Buchst. f. Die konkreten Zwecke und Interessen werden in den folgenden Abschnitten genannt.

Sind Sie Beschäftigter oder Ansprechpartner eines Geschäftskunden, ist regelmäßig unser berechtigtes Interesse an der Zusammenarbeit und Kommunikation mit diesem Unternehmen maßgeblich, soweit kein eigener Vertrag mit Ihnen besteht. Nicht jede Verarbeitung im Umfeld eines Vertrags beruht deshalb auf Art. 6 Abs. 1 Buchst. b DSGVO.

Wir erhalten Daten unmittelbar von Ihnen, von Ihrem einladenden Unternehmen beziehungsweise Kontoadministrator, von Leadanbietern und deren angebundenen Quellsystemen sowie von Zahlungs- und Kommunikationsdiensten. Dazu kommen technische Daten, die bei der Nutzung entstehen. Für die Prüfung geschäftlicher Berechtigungen können Angaben aus dem Vermittlerregister oder anderen einschlägigen öffentlichen Geschäftsregistern hinzukommen. Die Herkunft einer konkreten Versicherungsanfrage ergibt sich aus dem zugeordneten Anbieter-, Kampagnen- und Ereignisnachweis; Auskunft hierzu erhalten Sie über unseren Datenschutzkontakt.

4. Website, Betrieb und technisch notwendige Speicherung

Beim Aufruf werden insbesondere IPAdresse, Datum und Uhrzeit, angeforderte Seite oder Datei, Antwortstatus, übertragene Datenmenge sowie die vom Browser übermittelten Geräte-, Browser- und gegebenenfalls Herkunftsangaben verarbeitet. Das dient der Auslieferung der Website, Fehlerbehebung und Abwehr von Angriffen. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse ist ein sicherer und funktionsfähiger Dienst. Für angeforderte Vertragsfunktionen gilt ergänzend Art. 6 Abs. 1 Buchst. b DSGVO.

Technisch notwendige Sitzungs- und Sicherheitsinformationen unterstützen insbesondere Anmeldung, Zuordnung eines Kontos und Schutz vor unberechtigten Formularaufrufen. Soweit eine Speicherung oder ein Zugriff auf Ihrem Endgerät dafür unbedingt erforderlich ist, erfolgt dies nach § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten richtet sich nach den vorstehend genannten DSGVO Grundlagen. Sitzungsinformationen werden für die Gültigkeit der jeweiligen Sitzung benötigt und bei deren Ablauf ungültig; lokale Browserkopien können Sie über Ihren Browser entfernen. Das Blockieren notwendiger Speicherungen kann Anmeldung oder andere angeforderte Funktionen verhindern.

Diese Fassung beschreibt den Betrieb ohne freigeschaltete Werbepixel, websiteübergreifendes Werbetracking oder externe Reichweitenanalyse. Interne Vertrags-, Sicherheits- und Verwaltungsdaten sind in den Abschnitten 5 und 12 beschrieben. Zusätzliche nicht notwendige Endgerätezugriffe setzen eine vorherige Einwilligung nach § 25 Abs. 1 TDDDG voraus; personenbezogene Auswertungen benötigen zusätzlich eine passende DSGVOGrundlage. Eine solche spätere Funktion wird vor ihrer Aktivierung konkret erläutert. Diese Erklärung erteilt dafür keine Einwilligung.

5. Nutzerkonto, Teamzugänge und Zugangssicherheit

Für Einrichtung und Verwaltung verarbeiten wir Name, geschäftliche Kontaktdaten, Unternehmens- und Rechnungsangaben, Zugangsdaten in geschützter Form, Kontokennung, Tarif, Vertrags- und Zahlungsstatus, Teamzuordnung, Rolle, Berechtigungen und bestätigte Vertragsfassungen. Bei Marktplatznutzern können Vermittlerstatus, Vertriebszugehörigkeit, Verifizierungsnachweise und Freischaltungsstatus hinzukommen. Kontoadministratoren können im eigenen Team die zur Verwaltung nötigen Nutzer- und Berechtigungsdaten sehen.

Die Verarbeitung ermöglicht Bereitstellung, Berechtigungsprüfung, Nachweis von Vereinbarungen und Schutz gegen Mehrfachkonten oder Missbrauch. Grundlage sind Art. 6 Abs. 1 Buchst. b DSGVO bei eigenen Verträgen und Buchst. f für geschäftliche Ansprechpartner und Sicherheitsmaßnahmen. Gesetzlich erforderliche Nachweise beruhen auf Buchst. c in Verbindung mit der jeweiligen gesetzlichen Pflicht.

Bei der Einrichtung und bei einer Änderung der Telefonnummer wird ein SMSCode zur Prüfung der Nummer verarbeitet. Dies ist nicht der wiederkehrende zweite Faktor eines regulären Logins. Bei einer zusätzlich aktivierten Zwei-Faktor-Funktion verarbeiten wir die für das gewählte Verfahren nötigen Bestätigungs- und Sicherheitsdaten. Administrationszugänge unterliegen zusätzlichen Zugangskontrollen. Anmeldungen, fehlgeschlagene Versuche und sicherheitsrelevante Änderungen können mit Kontokennung, Zeitpunkt, IP Adresse und Ergebnis protokolliert werden.

Pflichtangaben werden bei der Eingabe gekennzeichnet. Ohne erforderliche Identitäts-, Kontakt-, Berechtigungs- oder Zahlungsangaben können wir die betroffene Leistung nicht bereitstellen. Freiwillige Angaben können weggelassen werden. Einladungen von Teammitgliedern enthalten nur die hierfür erforderlichen Daten; die Verantwortung für die Berechtigung der Einladung liegt beim einladenden Unternehmen.

6. CRM, Kommunikation und angebundene Postfächer

Im CRM können Nutzer Kontaktdaten, Versicherungsinteressen, Aufgaben, Notizen, Termine, Dokumente und Kommunikationsinhalte verwalten. Je nach rechtmäßiger Nutzung können auch Gesundheitsdaten enthalten sein. Wir verarbeiten diese Inhalte im Rahmen der AVV auf dokumentierte Weisung. Der Verantwortliche benötigt für Gesundheitsdaten zusätzlich eine einschlägige Ausnahme nach Art. 9 Abs. 2 DSGVO; die Nutzung unserer Software begründet diese nicht. Gesundheitsdaten gehören nicht in allgemeine Supportmeldungen oder ungeschützte SMS.

Bei einer vom Nutzer eingerichteten Gmail-, Outlook- oder Kalenderanbindung werden die im Berechtigungsdialog freigegebenen Konto-, Nachrichten- beziehungsweise Termindaten und Zugriffstoken verarbeitet, um die gewählte Synchronisierung oder Kommunikation auszuführen. Umfang und Empfänger richten sich nach der aktivierten Verbindung und den dort erteilten Berechtigungen. Eine Verknüpfung erfasst nicht automatisch sämtliche fremden Postfächer oder Kalender. Sie kann getrennt und die Berechtigung zusätzlich beim jeweiligen Anbieter widerrufen werden. Bereits rechtmäßig übernommene CRMDaten werden dadurch nicht automatisch gelöscht.

Die Entscheidung über Empfänger, Inhalte und Zulässigkeit von CRMEMails, SMS oder Newslettern trifft der jeweilige Nutzer als Verantwortlicher. Der technische Versand über unsere Dienste ist keine Erlaubnis zur Werbung. Empfänger können sich für Rechte und Widerrufe an den angegebenen Absender wenden; bei Eingang bei uns leiten wir das Anliegen zu. Unsere eigenen Plattformnachrichten werden in Abschnitt 7 beschrieben.

Die vorliegende Fassung umfasst keine Freigabe personenbezogener Öffnungs- oder Klickmessung in E Mails und keine Übertragung von CRMInhalten an KIAssistenten oder Werbeplattformen. Werden solche zusätzlichen Funktionen eingeführt, erfolgen vorher eine gesonderte Information und, soweit erforderlich, Einwilligung beziehungsweise eine Ergänzung der Auftragsverarbeitung.

7. Anfragen, Support und Benachrichtigungen

Bei Kontaktaufnahme verarbeiten wir Ihre Kontaktdaten, Nachricht, betroffene Konto- oder Vorgangsnummer und erforderliche Anhänge, um das Anliegen zu beantworten. Vertragsbezogene Anfragen beruhen auf Art. 6 Abs. 1 Buchst. b DSGVO; sonstige geschäftliche Anfragen und die Organisation des Supports auf Buchst. f. Unser Interesse besteht in einer nachvollziehbaren, sicheren Bearbeitung. Bitte übermitteln Sie nur die für das Anliegen erforderlichen personenbezogenen Angaben. Für sensible Inhalte stimmen wir einen geeigneten Übermittlungsweg ab.

Notwendige Konto-, Vertrags-, Kauf-, Zahlungs- und Sicherheitsmitteilungen werden zur Durchführung des Vertrags beziehungsweise aufgrund unserer Sicherheitsinteressen versandt. Sie sind von freiwilliger Werbung getrennt. Für zusätzlich abonnierte Spartenbenachrichtigungen und werbliche Informationen verarbeiten wir EMail-Adresse, Auswahl und Einwilligungsnachweis auf Grundlage von Art. 6 Abs. 1 Buchst. a DSGVO. Der Widerruf ist jederzeit über die angebotene Abmeldung, Kontoeinstellung oder unseren Datenschutzkontakt möglich.

Die Wahl einer Lieblingssparte zur Sortierung im Marktplatz ist keine Newsletter-Einwilligung. Eine Lead-E Mail mit freigegebenen Kontaktdaten nach dem Kauf wird nur bei gesondert aktivierter Versandoption versandt; die normale Kaufbestätigung ist davon zu unterscheiden. Zusätzliche Gesundheitsdaten werden dabei nicht versandt. Eine personenbezogene Messung von Öffnungen oder Klicks ist von einem reinen Versandauftrag nicht umfasst.

8. LeadBörse: Anbieter, Käufer und Versicherungsanfragen

Für Anbieter und Käufer verarbeiten wir Kontodaten, geschäftliche Identität, verifizierte Vertriebszugehörigkeit, berechtigte Sparten, Vertragsannahmen, Angebote, Preise, Steuerangaben, Kauf und Auszahlungsdaten sowie erforderliche Prüf- und Reklamationsangaben. Dies dient Teilnahme, Freischaltung, Vertragsabwicklung und Abrechnung nach Art. 6 Abs. 1 Buchst. b DSGVO beziehungsweise bei Ansprechpartnern Buchst. f. Prüfungen zum Schutz vor rechtswidrigen Angeboten und Betrug beruhen auf Buchst. f; gesetzliche Aufbewahrungspflichten auf Buchst. c.

Für Käufer sichtbar sind die freigegebenen geschäftlichen Anbieterinformationen, insbesondere Name beziehungsweise Firma, Verifizierungsstatus, Anbieterbedingungen, Datum der Freischaltung und Anzahl verkaufter Leads. Bei Einzelunternehmen können diese Angaben personenbezogen sein. Gegenparteien erhalten die für den konkreten Vertrag und dessen Abrechnung erforderlichen Identitäts- und Geschäftsdaten. Interne Prüfunterlagen und vollständige Nutzerlisten werden nicht allgemein veröffentlicht.

Ein Lead umfasst je nach Anfrage Name, Telefonnummer, EMail-Adresse, Postleitzahl beziehungsweise Ort, Versicherungsinteresse und freigegebene spartenspezifische Angaben. Hinzu kommen Herkunft, Anfragezeitpunkt, erlaubte Kontaktwege und Empfänger, Einwilligungstext und Version, Ereignis- oder Nachweisreferenzen sowie Widerrufsstatus. Nur erforderliche technische Belege des tatsächlichen

Anfrageereignisses werden verarbeitet. Gesundheits-, Diagnose-, Bonitäts- und Ausweisdaten sowie vollständige Versicherungsunterlagen sind für die LeadBörse nicht vorgesehen und dürfen dort nicht eingestellt werden.

Vor dem Kauf werden persönliche Kontaktdaten maskiert und nur freigegebene Angebotsmerkmale angezeigt. Auch eine maskierte Anzeige kann personenbezogen sein; wir behandeln sie nicht allein deshalb als anonym. Nach erfolgreicher Berechtigungs- und Zahlungsprüfung werden die freigegebenen Daten genau dem zulässigen Käufer bereitgestellt und in dessen CRM übertragen. Ein bereits verkaufter Lead wird nicht erneut auf der LeadBörse angeboten. Ein Kauf erweitert weder den erlaubten Empfängerkreis noch die erlaubten Kontaktwege.

Bei fremden Anfragen erfolgt die technische Speicherung und Übermittlung im Auftrag des Anbieters im Umfang der AVV. Für eigene LeadAhoi-Anfragen richten sich Erhebung und Weitergabe nach der im Anfrageformular konkret eingeholten Einwilligung gemäß Art. 6 Abs. 1 Buchst. a DSGVO. Im jeweiligen Formular werden Zweck, Kontaktwege und zulässige Empfänger konkretisiert. Eine bloße Zustimmung zu dieser allgemeinen Erklärung genügt dafür nicht. Eigene Plattformprüfungen sind im folgenden Abschnitt gesondert erläutert

9. Herkunft, Duplikatprüfung, Reklamationen und Widerruf

Die ursprüngliche Versicherungsanfrage stammt entweder aus einem LeadAhoi-Formular oder von einem fremden Anbieter beziehungsweise dessen dokumentierter Kampagne. Mögliche Quellen sind Vergleichsportale, Landingpages, digitale Werbekampagnen und andere im konkreten Herkunftsnachweis bezeichnete Kanäle. Die konkrete Quelle, der Anbieter und tatsächlich erfolgte Übermittlungen können über unseren Datenschutzkontakt erfragt werden. Fremde Anbieter und Käufer müssen ihre jeweiligen Informationspflichten selbst erfüllen.

Für eigene Marktplatzzwecke gleichen wir Telefonnummer und EMail-Adresse innerhalb derselben Sparte gegen bereits eingestellte Anfragen ab. Dafür werden pseudonymisierte Vergleichswerte für höchstens acht Wochen ab Anfrage verwendet. Diese Werte sind keine anonymen Daten. Zweck ist, unberechtigte Wiederverkäufe, fingierte neue Anfragen und Mehrfachbelastungen zu erkennen; Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Eine belegte neue Anfrage wird gesondert beurteilt. Andere Anbieter erhalten keinen Zugriff auf fremde vollständige Lead-Daten.

Vor einer Belastung wird zudem im Auftrag des Käufers geprüft, ob identische Kontaktdaten bereits in seinem CRM vorhanden sind. Das verhindert einen unerwünschten Doppelkauf. Es entsteht hierdurch kein allgemeiner, anderen Käufern zugänglicher CRMDatenbestand. Die Ergebnisse können dazu führen, dass eine Bestellung nicht ausgeführt oder ein Angebot zur Prüfung zurückgestellt wird.

Für Reklamationen und die Prüfung von Einwilligungen oder Missbrauch verarbeiten wir die erforderlichen Anfrage-, Ereignis-, Kommunikations- und Transaktionsdaten. Unser berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO ist ein rechtmäßiger Marktplatz, die Aufklärung konkreter Beschwerden und die Durchsetzung oder Abwehr von Ansprüchen. Die jeweiligen Vertragspartner erhalten nur die für die Bearbeitung erforderlichen Angaben. Unbeteiligte CRMInhalte gehören nicht in Reklamationsnachweise.

Ein Widerruf kann an den ursprünglichen Anbieter und an uns gerichtet werden. Nicht verkaufte betroffene Angebote werden gesperrt; bei bereits übermittelten Daten wird der zuständige Empfänger über einen relevanten Widerruf beziehungsweise eine unzulässige Weitergabe informiert. Die Verarbeitung aufgrund der widerrufenen Einwilligung endet für die Zukunft. Eine eigenständige gesetzliche Nachweispflicht oder ein bereits unabhängig begründetes Vertragsverhältnis wird gesondert beurteilt. Eine Erstattung des Kaufpreises ersetzt keine erforderliche Löschung oder Kontaktsperre.

Soweit wir Daten nicht unmittelbar von Ihnen erhalten und für eigene Zwecke verantwortlich verarbeiten, stellen wir die Informationen nach Art. 14 DSGVO grundsätzlich spätestens innerhalb eines Monats bereit, bei früherer Kontaktaufnahme spätestens dabei und bei früherer Offenlegung spätestens bei der ersten Offenlegung. Bereits nachweislich erteilte Informationen müssen nicht nochmals erteilt werden. Die bloße Veröffentlichung dieser Erklärung ersetzt die erforderliche Bereitstellung im konkreten Vorgang nicht.

10. Zahlungen und Anbieteridenti zierung durch Stripe

Abonnements, Leadkäufe, Erstattungen und Anbieterauszahlungen werden über Stripe abgewickelt. Für deutsche Geschäftskonten ist Stripe Payments Europe, Limited, Irland, Vertragspartner; für regulierte Zahlungsleistungen kann Stripe Technology Europe, Limited hinzukommen. Stripe Technology Company Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland, ist eine zentrale europäische Datenschutzverantwortliche innerhalb der Stripe-Gruppe. Welche Einheit verantwortlich ist, richtet sich nach dem jeweiligen Dienst; weitere Informationen: https://stripe.com/de/privacy und https://stripe.com/legal/privacy-center.

Stripe erhält die für Zahlung und Prüfung erforderlichen Rechnungs-, Kontakt-, Transaktions-, Zahlungsmittel- und technischen Sicherheitsdaten. Wir erhalten insbesondere Stripe-Kennungen, Zahlungsstatus, Beträge, Zeitpunkte, eingeschränkte Zahlungsmittelinformationen und gegebenenfalls Rückbuchungs- oder Prüfhinweise. Wir verwenden keine vollständigen Lead- oder Gesundheitsdaten als Zahlungsbeschreibung. Unsere Grundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, für Betrugsabwehr Buchst. f und für gesetzliche Buchführung Buchst. c.

Anbieter hinterlegen für Stripe Connect erforderliche Identitäts-, Unternehmens- und Auszahlungsangaben unmittelbar im Stripe-Onboarding. LeadAhoi übernimmt hierfür keine Ausweis-Rohdokumente in seine Plattform. Wir verarbeiten die angeschlossene Kontokennung, erforderliche Geschäftsangaben sowie den Freigabe- und Auszahlungsstatus. Stripe kann für Zahlungsverkehr, Identitätsprüfung, Geldwäscheprävention und Betrugsabwehr eigenständig verantwortlich handeln; bei anderen Leistungen kann Stripe Auftragsverarbeiter sein. Es gelten ergänzend die Stripe-Datenschutzhinweise, einschließlich der Angaben zu internationalen Übermittlungen.

Ohne erfolgreiche Zahlungs- oder erforderliche Anbieterprüfung kann die jeweilige kostenpflichtige Leistung beziehungsweise Auszahlung nicht erfolgen. Zahlungsbezogene Prüfungen von Stripe können zu Verzögerung oder Ablehnung führen. Eine Überprüfung eines Vorgangs können Sie bei uns anstoßen; über von Stripe eigenverantwortlich getroffene Entscheidungen und dortige Rechte informiert Stripe.

11. Dienstleister, Hosting, Versand und internationale Zugriffe

AWS: Hosting, Datenbank, Dateiablage, Sicherungen und Plattform-EMails nutzen Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L1855 Luxemburg. Die primäre Infrastruktur liegt in Frankfurt (eu central-1 ; EMails werden über Amazon SES in dieser Region versandt. Dabei werden insbesondere Empfänger- und Absenderdaten, Betreff, Nachricht, gegebenenfalls erforderliche Anhänge und Zustellinformationen verarbeitet. Die Beauftragung dient den in dieser Erklärung beschriebenen Vertrags-, Kommunikations- und Sicherheitszwecken. Informationen: https://aws.amazon.com/compliance/data privacy-faq/.

CodeHütte: CodeHütte GmbH, Charlottenstraße 75, 30449 Hannover, Deutschland, unterstützt Entwicklung, Wartung, Fehlerbehebung und technischen Betrieb. Personenbezogene Zugriffe sind auf den erforderlichen Auftrag begrenzt und erfolgen im Rahmen der Auftragsverarbeitung. Dabei können Kontodaten, Kommunikations- und CRMInhalte, Lead-Daten sowie technische Protokolle betroffen sein; bei zulässigen CRMInhalten auch Gesundheitsdaten.

Indien: Als weiterer Dienstleister von CodeHütte ist Forthpro IT Solution, Inhaber Megh Singh, B78 Mahesh Nagar, 80 Feet Road, Jaipur, Rajasthan 302015, Indien, für technische Unterstützung vorgesehen. Der Zugriff aus Indien ist eine Drittlandübermittlung, auch wenn die Datenbank in Frankfurt bleibt. Die vorgesehene Absicherung sind EUStandardvertragsklauseln, in der Auftragsverarbeitungskette insbesondere Modul 3, eine konkrete Transferprüfung und die daraus erforderlichen zusätzlichen Schutzmaßnahmen. Ein personenbezogener Zugriff ist erst nach dokumentierter Erfüllung dieser Voraussetzungen und ausdrücklicher Freigabe zulässig. Diese Erklärung bestätigt keine bereits abgeschlossene Prüfung. Für Indien besteht kein allgemeiner Angemessenheitsbeschluss der EUKommission.

Twilio: Telefonnummernprüfung und beauftragter SMSVersand nutzen Twilio. Für den EWR ist Twilio Ireland Limited, 70 Sir John Rogersonʼs Quay, Dublin 2, D02 R296, Irland, vorgesehen; beteiligt ist auch die US Gesellschaft Twilio Inc., 101 Spear Street, 5th Floor, San Francisco, CA 94105, USA. Verarbeitet werden Telefonnummer, Absenderkennung, Nachricht, Zeitpunkte und Zustellinformationen. Telekommunikationsanbieter sind am Versand beteiligt. Die globale Twilio-API ist keine ausschließlich europäische Verarbeitung. Twilio verarbeitet Daten für die Zustellung im Auftrag und für bestimmte eigene Sicherheits-, Missbrauchsbekämpfungs-, Analyse- und gesetzliche Zwecke in eigener Verantwortung. Näheres: https://www.twilio.com/en-us/legal/data-protection-addendum und https://www.twilio.com/en us/legal/privacy. Eine Telefonnummernprüfung dient der Kontosicherheit nach Art. 6 Abs. 1 Buchst. f DSGVO; der angeforderte Versand richtet sich nach dem jeweiligen Kommunikationszweck. Sensible CRM- oder Gesundheitsinhalte gehören nicht in diesen SMSVersand.

Weitere Empfänger: Innerhalb unseres Betriebs erhalten nur berechtigte Personen die benötigten Daten. Steuerberater, Rechtsberater, Banken, Gerichte und Behörden können Daten erhalten, soweit dies für Abrechnung, rechtliche Verpflichtungen oder konkrete Rechtsansprüche erforderlich ist. Direkt von Nutzern angebundene Postfach- und Kalenderanbieter verarbeiten die dafür freigegebenen Daten im Rahmen ihrer jeweiligen Vertragsbeziehung. Ein bloßer externer Link übermittelt erst beim Aufruf Daten an die aufgerufene Seite.

Drittlandgarantien: Neben Indien können bei internationalen Cloud-, Zahlungs- und SMSDiensten insbesondere Verarbeitungen in den USA sowie dienstabhängige weitere Empfänger außerhalb des EWR auftreten. Wir setzen geeignete Übermittlungsgrundlagen nach Kapitel V DSGVO voraus. Dazu gehören je nach konkreter Vertragskette Standardvertragsklauseln oder genehmigte verbindliche interne Datenschutzvorschriften; ein Angemessenheitsbeschluss kann nur innerhalb seines tatsächlichen Anwendungsbereichs genutzt werden. Insbesondere genügt für eine USÜbermittlung nicht allein der Sitz in den USA oder eine pauschale Bezugnahme auf das EUUS Data Privacy Framework.

Sie können über support@leadahoi.de Informationen zur konkreten Empfängerkette, zu Zugriffsländern und eine Kopie der einschlägigen Garantien erhalten, soweit erforderlich mit Schwärzung sachfremder vertraulicher Angaben. Speicherung in Frankfurt und Transport- beziehungsweise Speicherverschlüsselung schließen mögliche lesbare Administratorzugriffe nicht aus. Kann der erforderliche Schutz nicht sichergestellt werden, darf der betreffende Datenfluss nicht stattfinden.

12. Verwaltungsstatistiken, Nachfrageauswertung und automatisierte Prüfungen

Berechtigte Administratoren nutzen Konto-, Tarif-, Kauf-, Zahlungs-, Fehler- und Sicherheitsdaten zur Verwaltung, Abrechnung und Bearbeitung konkreter Probleme. Zugriffe werden nach Aufgabe begrenzt. Grundlage sind Vertragsdurchführung und Art. 6 Abs. 1 Buchst. f DSGVO; das berechtigte Interesse liegt in einem sicheren, wirtschaftlich nachvollziehbaren Plattformbetrieb. Dies ist keine pauschale Erlaubnis zur Auswertung sämtlicher CRMInhalte für eigene Werbung.

Für die Marktnachfrage werden aktive Käuferberechtigungen, gewählte Lieblingssparten, abonnierte Spartenbenachrichtigungen und verifizierte Vertriebszugehörigkeiten zusammengezählt. Verifizierte Anbieter einschließlich LeadAhoi als eigenem Anbieter erhalten ausschließlich aggregierte Nachfragewerte. Individuelle Käufe, Budgets, Kontaktdaten, Loginzeitpunkte und Nutzerlisten werden hierfür nicht offengelegt. Bei Gruppen mit weniger als drei aktiven Konten erscheint nur „unter 3“. Auch oberhalb dieser Schwelle werden Rückschlüsse auf Einzelpersonen durch die Begrenzung der Ausgabe vermieden; eine Zahlenschwelle allein garantiert keine Anonymität.

Grundlage der Verarbeitung vor der Aggregation ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser Interesse und das der Anbieter liegt darin, das Angebot an der Nachfrage auszurichten, ohne einzelne Käufer offenzulegen. Die Auswertung betrifft die aktuellen Einstellungen und Berechtigungen, nicht den Echtzeit-Onlinestatus. Änderungen fließen in die nächste regelmäßige Aktualisierung ein. Das Widerspruchsrecht aus Abschnitt 14 bleibt bestehen; die Einwilligung in Benachrichtigungen ist keine gesonderte Einwilligung in diese Auswertung.

Sortierungen nach selbst gewählten Sparten und automatisierte Prüfungen von Fristen, Berechtigung, Nachweisen, Zahlung und Duplikaten unterstützen den Marktplatz. Sie können zu einer vorläufigen Sperre oder Ablehnung eines Angebots beziehungsweise Kaufversuchs führen. Ein solches Ergebnis können Sie über support@leadahoi.de durch eine zuständige Person prüfen lassen und dabei Ihren Standpunkt darstellen. LeadAhoi trifft keine automatisierte Entscheidung darüber, ob Sie einen Versicherungsvertrag erhalten. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO ist für den hier beschriebenen LeadAhoi-Betrieb nicht vorgesehen. Davon getrennte Prüfungen eines Zahlungsdienstleisters sind in Abschnitt 10 beschrieben.

13. Speicherdauer und Löschung

Wir speichern Daten nur so lange, wie sie für den jeweiligen Zweck benötigt werden oder eine gesetzliche Pflicht beziehungsweise ein konkret erforderlicher Rechtsnachweis besteht. Eine Aufbewahrung zu Nachweiszwecken erlaubt keine weitere Werbung. Nachstehende Regeln unterscheiden die operative Marktplatzkopie, CRMDaten und getrennte Nachweise.

Konten und Vertragsverwaltung: Kontodaten werden während der Nutzung und erforderlichen Abwicklung vorgehalten. Nach Vertragsende werden nicht mehr benötigte operative Daten grundsätzlich innerhalb von 30 Tagen gelöscht. Gesetzlich oder vertraglich geschuldete längere Abrufzeiten, insbesondere bei einem Anbieterwechsel, bleiben gewahrt. Abrechnungs- und Rechtsnachweise werden getrennt weiter aufbewahrt, soweit erforderlich.

CRM: Die Speicherdauer richtet sich nach den rechtmäßigen Weisungen des jeweiligen Verantwortlichen. Reguläres Soft-Delete entfernt den Datensatz aus der aktiven Nutzung und sieht eine Wiederherstellungsmöglichkeit von 30 Tagen vor; anschließend erfolgt die operative Löschung. Erforderliche sofortige Löschungen sind gesondert möglich. Nach Auftragsende gilt die vereinbarte Export- und Löschregel; bestehende gesetzliche Datenabrufrechte bleiben gewahrt. Die Löschung der Marktplatzkopie löscht nicht automatisch eine rechtmäßig geführte CRMKopie beim Käufer.

Nicht verkaufte Leads: Das Verkaufsfenster endet 48 Stunden nach der ursprünglichen Anfrage. Unverkaufte operative Marktplatzkopien werden danach gelöscht, sobald ein etwaiger bereits laufender Zahlungsvorgang eindeutig geklärt ist. Nicht freigegebene API Leads werden nach diesem Fenster ebenfalls operativ gelöscht. Abgelehnte oder zurückgezogene Leads werden sofort deaktiviert und spätestens 30 Tage danach gelöscht. Abgebrochene manuelle Entwürfe werden spätestens zum Ende des 48Stunden-Fensters deaktiviert und 30 Tage später gelöscht.

Verkaufte Leads: Ohne rechtzeitig eröffnete Reklamation wird die operative Marktplatzkopie zum späteren der beiden Zeitpunkte gelöscht: sieben Tage nach Zahlung oder 24 Stunden nach bestätigter CRM Auslieferung. Bei einer innerhalb der Reklamationsfrist eröffneten Reklamation erfolgt die Löschung 30 Tage nach deren Abschluss. Offene Auslieferungs- oder Reklamationsvorgänge werden auf den notwendigen Zweck beschränkt und regelmäßig überprüft; sie rechtfertigen keine unbegrenzte Speicherung. Gesetzlich gebotene frühere Löschungen oder Sperrungen gehen vor.

Duplikatvergleich: Pseudonymisierte Vergleichswerte werden höchstens 56 Tage ab Anfrage vorgehalten. Neue, eigenständig nachgewiesene Anfragen werden als eigener Vorgang behandelt.

Support und Protokolle: Nicht weiter erforderliche personenbezogene Supportanhänge werden spätestens 30 Tage nach Fallabschluss entfernt. Bereinigte technische Fehler- und Betriebsprotokolle werden grundsätzlich 30 Tage, Sicherheits- und Administrationsprotokolle grundsätzlich 90 Tage vorgehalten. Konkrete Vorfälle können eine gesonderte, beschränkte Beweissicherung bis zur Aufklärung und gegebenenfalls Anspruchsabwicklung erfordern.

Einwilligungs- und Rechtsnachweise: Bei Werbung gegenüber Verbrauchern per Telefon muss das jeweils werbende Unternehmen die Einwilligung nach § 7a UWG ab Erteilung und nach jeder Verwendung fünf Jahre nachweisen können. Das begründet keine pauschale Pflicht für LeadAhoi, alle fremden Leads fünf Jahre aufzubewahren. Eine Archivierung erfolgt entweder im Auftrag des Verpflichteten oder für einen konkret bestehenden eigenen Nachweiszweck. Andere Einwilligungs- und Vertragsnachweise werden nur im erforderlichen Umfang während der Nutzung und gegebenenfalls zur Abwehr konkreter Ansprüche vorgehalten. Dabei berücksichtigen wir die regelmäßige dreijährige Verjährung ab dem maßgeblichen Jahresende und gegebenenfalls abweichende Fristen. Sperrvermerke können erforderlich bleiben, um einen Widerruf oder Werbewiderspruch dauerhaft zu beachten.

Steuerunterlagen: Rechnungen und Buchungsbelege werden grundsätzlich acht Jahre, aufbewahrungspflichtige Geschäftsbriefe grundsätzlich sechs Jahre und bestimmte steuerliche Grundaufzeichnungen zehn Jahre nach den jeweils gesetzlichen Fristbeginnregeln aufbewahrt, insbesondere nach § 14b UStG und § 147 AO. Laufende Prüfungen oder Verfahren können gesetzlich eine längere Aufbewahrung erfordern. Vollständige Lead- oder CRMInhalte werden dadurch nicht automatisch Bestandteil des Rechnungsarchivs.

Sicherungen: Gelöschte Daten können bis zum Ablauf des Sicherungszyklus, höchstens 35 Tage, in zugriffsbeschränkten Backups verbleiben. Sie werden nicht regulär weiter genutzt. Bei einer Wiederherstellung werden Löschungen und Sperren erneut berücksichtigt. Unabhängig verantwortliche Empfänger legen ihre eigenen rechtmäßigen Speicherfristen fest und informieren darüber selbst.

14. Ihre Rechte, Widerruf und Widerspruch

Unter den jeweiligen gesetzlichen Voraussetzungen können Sie Auskunft und eine Kopie Ihrer personenbezogenen Daten verlangen Art. 15 DSGVO, unrichtige Daten berichtigen lassen Art. 16, Löschung verlangen Art. 17, die Verarbeitung einschränken lassen Art. 18) und Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten beziehungsweise übertragen lassen, soweit Art. 20 DSGVO anwendbar ist. Auf Anfrage informieren wir auch über Empfänger von Berichtigungen, Löschungen oder Einschränkungen im Rahmen von Art. 19 DSGVO.

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Verwenden Sie die angebotene Abmeldefunktion oder schreiben Sie an support@leadahoi.de. Für einen Widerruf benötigen Sie keine besondere Form und müssen kein neues Konto anlegen.

Widerspruch gegen berechtigte Interessen

Sie können aus Gründen Ihrer besonderen Situation jederzeit gegen eine Verarbeitung nach Art. 6 Abs. 1 Buchst. f DSGVO widersprechen; das gilt auch für darauf gestütztes Profiling. Wir verarbeiten die betroffenen Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient Rechtsansprüchen.

Widerspruch gegen Direktwerbung

Der Verarbeitung für Direktwerbung können Sie jederzeit ohne Begründung widersprechen. Das gilt auch für damit verbundenes Profiling. Ihre Daten werden anschließend nicht mehr für diese Zwecke verarbeitet. Kontakt: support@leadahoi.de.

Wir beantworten Anträge grundsätzlich innerhalb eines Monats. Bei erforderlicher Verlängerung wegen Komplexität oder Anzahl informieren wir Sie innerhalb dieses Monats mit Begründung; die Verlängerung beträgt höchstens zwei weitere Monate. Bei berechtigten Zweifeln an der Identität können wir verhältnismäßige zusätzliche Angaben anfordern. Eine Ausweiskopie wird nicht routinemäßig verlangt.

Soweit wir ausschließlich Auftragsverarbeiter sind, unterstützen wir den verantwortlichen Nutzer beziehungsweise Anbieter und leiten Ihr Anliegen weiter. Ihre Rechte gegenüber uns für unsere eigenen Verarbeitungen bleiben davon unberührt. Kontolöschung und Kündigung sind unterschiedliche Vorgänge; gesetzliche Aufbewahrungspflichten können einer sofortigen vollständigen Löschung entgegenstehen.

15. Beschwerde, Sicherheit und Änderungen

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für unseren Sitz ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit zuständig: Alt-Moabit 5961, 10555 Berlin; EMail: mailbox@datenschutz-berlin.de; Telefon: 49 30 138890; Website: https://www.datenschutz-berlin.de. Sie müssen uns nicht zuerst kontaktieren.

Zum Schutz der Daten gehören risikobezogene Zugriffsrechte, abgesicherte Übertragung, Schutz gespeicherter Daten und Sicherungen sowie kontrollierte Supportzugriffe. Im Rahmen der Auftragsverarbeitung beschreibt die AVV die geschuldeten technischen und organisatorischen Maßnahmen. Diese Erklärung ist kein Prüfbericht und keine Zusage einer bestimmten Zertifizierung.

Bei Änderungen von Diensten, Empfängern oder Verarbeitungszwecken aktualisieren wir die Informationen rechtzeitig. Neue Zwecke werden vor der Weiterverarbeitung erläutert; erforderliche Einwilligungen werden gesondert eingeholt. Eine aktualisierte Datenschutzerklärung ersetzt weder eine Einwilligung noch eine erforderliche Vertrags- oder Transferprüfung. Den Stand dieser Fassung finden Sie auf der ersten Seite.