Datenschutzerklärung

0. Geltungsbereich

Diese Datenschutzerklärung gilt für die Plattform „LeadPark“. „LeadPark“ ist eine interne Projekt- und Produktbezeichnung der Orca Sales & Marketing (Inhaber: Marvin Kretz) und stellt kein eigenständiges Unternehmen und keine eingetragene Marke dar. Verantwortliche Stelle im Sinne der DSGVO ist ausschließlich Orca Sales & Marketing (siehe Abschnitt 1).

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung auf dieser Plattform ist:

2. Übersicht der Datenverarbeitung

2.1 Welche Daten verarbeiten wir?

• Bestandsdaten: Name, E-Mail-Adresse, Telefonnummer
• Nutzungsdaten: Zugriffszeiten, besuchte Seiten, IP-Adresse
• Inhaltsdaten: Leads, Kontakte, Deals, Notizen, Nachrichten
• Vertragsdaten: Bestellungen, Rechnungen, Zahlungsinformationen

2.2 Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO:Einwilligung (z. B. optionale Cookies, Mail-Integration)
• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (Nutzung der Plattform, Lead-Bestellungen)
• Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung (Buchhaltung, Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen (IT-Sicherheit, Missbrauchsprävention)

3. Hosting und Infrastruktur

Die Kern-Infrastruktur von LeadPark (Anwendung, Datenbank) wird innerhalb der Europäischen Union betrieben. Einzelne Sicherheits-, Monitoring- und optionale Dienste haben einen US-Bezug (siehe Drittland-Hinweis unten und Abschnitt 10). Wir nutzen:

• Anwendung: Hostinger (Hostinger International Ltd.), Serverstandort EU
• Datenbank: Supabase (PostgreSQL), Serverstandort Frankfurt am Main
• Verschlüsselung: TLS 1.3 für alle Verbindungen, Verschlüsselung gespeicherter Daten

Folgende eingesetzte Dienste können personenbezogene Daten in ein Drittland (insbesondere die USA) übermitteln: Stripe Payments Europe, Ltd., Google Ireland Ltd., Google Ireland Ltd.. Die Übermittlung erfolgt jeweils auf Grundlage geeigneter Garantien (EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln nach Art. 46 DSGVO; Details je Dienst in Abschnitt 10). Eine Kopie der Garantien erhalten Sie auf Anfrage unter marvin@orcasales.marketing.

4. Cookies und Einwilligung

4.1 Notwendige Cookies

Diese Cookies sind für den Betrieb der Plattform erforderlich und können nicht deaktiviert werden:

• Session-Cookie für Login und Authentifizierung
• CSRF-Token zum Schutz vor Cross-Site-Request-Forgery
• Speicherung Ihrer Cookie-Präferenzen
• Von Ihnen aktiv gewählte Darstellungs-Einstellungen (z. B. Hell-/Dunkelmodus) — Speicherung erfolgt nur auf Ihre ausdrückliche Handlung hin (§ 25 Abs. 2 TDDDG)

4.2 Optionale Cookies und Dienste

Hierbei sind zwei unterschiedliche Einwilligungs-Wege zu unterscheiden: Cookies, die über den Cookie-Banner gesteuert werden, und optionale Konto-Integrationen, die Sie separat per OAuth verbinden.

Derzeit sind keine optionalen Analyse- oder Marketing-Cookies aktiv. Kämen künftig welche hinzu, würden sie ausschließlich über den Cookie-Banner mit Ihrer vorherigen Einwilligung gesetzt.

Folgende funktionalen Dienste setzen wir nicht über den Cookie-Bannerein — die Einwilligung erfolgt separat und aktiv, wenn Sie das jeweilige Konto per OAuth verbinden (Einzelheiten siehe Abschnitt 6):

• Google Ireland Ltd.: Optionale Anbindung eines Gmail-Kontos (vom Nutzer per OAuth verbunden). Drittlandübermittlung abgesichert durch EU-US Data Privacy Framework.
• Google Ireland Ltd.: Optionale Anbindung eines Google-Kalenders zur Termin-Synchronisation (vom Nutzer per OAuth verbunden). Drittlandübermittlung abgesichert durch EU-US Data Privacy Framework.

Eine über den Cookie-Banner erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft ändern oder widerrufen (Art. 7 Abs. 3 DSGVO) — direkt hier über Cookie-Einstellungen öffnen oder über den "Cookie-Einstellungen"-Link im Footer unserer Startseite. Eine Konto-Integration widerrufen Sie durch Trennen des jeweiligen Kontos in den Einstellungen.

5. Zahlungsabwicklung

Für die Abwicklung von Zahlungen nutzen wir Stripe(Stripe Payments Europe, Ltd., Irland). Ihre Zahlungsdaten (z. B. Kartendaten) werden direkt von Stripe erhoben und verarbeitet — sie erreichen unsere Server zu keinem Zeitpunkt. Stripe kann Daten in die USA übermitteln; dies erfolgt auf Grundlage des EU-US Data Privacy Framework. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Weitere Informationen: stripe.com/de/privacy

6. E-Mail-Integration und KI-Funktionen

Sie können optional eigene E-Mail-Konten (Google Gmail, Microsoft 365) mit LeadPark verbinden. In diesem Fall verarbeiten wir E-Mail-Metadaten und -Inhalte der verbundenen Konten ausschließlich zur Bereitstellung der Mail-Funktionen (Posteingang, Versand, Regeln). Die Verbindung erfolgt über OAuth — Ihre Zugangsdaten werden uns nicht bekannt; Zugriffs-Token speichern wir AES-256-verschlüsselt. Die Einwilligung erteilen Sie aktiv beim Verbinden des Kontos und können sie jederzeit durch Trennen des Kontos widerrufen; dabei werden die zugehörigen Mail-Daten aus der Plattform gelöscht. Mail-Nachrichteninhalte (Klartext) werden zudem automatisch nach 90 Tagen entfernt; Metadaten wie Betreff, Absender und Zeitpunkt bleiben zur Thread-Übersicht erhalten (siehe auch Abschnitt 11).

Optionale KI-Funktionen (z. B. Zusammenfassungen, Antwortvorschläge, Kategorisierung) werden vorrangig auf eigener Infrastruktur (Ollama, EU-Server) verarbeitet. Soweit dafür ein externer KI-Anbieter eingebunden wird, weisen wir an der jeweiligen Funktion darauf hin.

7. Ihre Rechte (DSGVO Art. 15-22)

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter: marvin@orcasales.marketing

8. Datenexport und Löschung

Direkt in der Plattform können Sie:

• Daten exportieren: alle Ihre Daten als JSON-Datei herunterladen
• Konto löschen: die unwiderrufliche Löschung Ihrer personenbezogenen Daten anstoßen

Alternativ genügt eine formlose E-Mail. Nach einer Löschungsanfrage werden Ihre Daten innerhalb von 30 Tagen vollständig aus unseren Systemen entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein:

• Verschlüsselung aller Daten bei Übertragung (TLS 1.3) und Speicherung
• Zwei-Faktor-Authentifizierung (2FA/TOTP) für alle Benutzerkonten verfügbar
• Regelmäßige Sicherheitsüberprüfungen des Quellcodes
• Automatische, verschlüsselte Backups
• Strikte Zugriffskontrolle nach dem Least-Privilege-Prinzip
• Audit-Logging sicherheitsrelevanter Aktionen

10. Eingesetzte Dienste und Auftragsverarbeitung

Wir setzen externe Dienste als Auftragsverarbeiter gemäß Art. 28 DSGVO ein. Die folgende Übersicht wird automatisch aus der tatsächlich aktiven Konfiguration der Plattform erzeugt und ist damit stets aktuell:

• Supabase Inc.: Datenbank-Hosting und Authentifizierung. Serverstandort: Frankfurt am Main, Deutschland (EU). Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO.
• Hostinger International Ltd.: Anwendungs-Hosting (Server, Auslieferung der Plattform). Serverstandort: Europäische Union. Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO.
• Stripe Payments Europe, Ltd.: Zahlungsabwicklung. Serverstandort: Irland (EU); Übermittlung in die USA möglich. Drittlandübermittlung abgesichert durch EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Google Ireland Ltd.: Optionale Anbindung eines Gmail-Kontos (vom Nutzer per OAuth verbunden). Serverstandort: Irland (EU); Übermittlung in die USA möglich. Drittlandübermittlung abgesichert durch EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung beim Verbinden).
• Google Ireland Ltd.: Optionale Anbindung eines Google-Kalenders zur Termin-Synchronisation (vom Nutzer per OAuth verbunden). Serverstandort: Irland (EU); Übermittlung in die USA möglich. Drittlandübermittlung abgesichert durch EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung beim Verbinden).

Dienste, deren Einsatz konkret vorgesehen ist

Die folgenden Dienste sind in dieser Umgebung noch nicht aktiv, ihr Einsatz ist aber konkret vorgesehen — wir weisen bereits jetzt darauf hin, statt erst beim Live-Schalten:

• Anthropic PBC: KI-gestützte Mail-Funktionen (Fallback, sofern aktiviert). Konkret vorgesehen als KI-Assistenz-Funktion über die reine Mail-Zusammenfassung hinaus.
• Meta Platforms Ireland Ltd. (WhatsApp Business Platform): Vorgesehene Anbindung über die offizielle WhatsApp Business API bzw. einen Business Solution Provider (BSP) als Nachfolge/Ergänzung der heutigen Bridge-Lösung. Konkret vorgesehen als offizieller WhatsApp-Kanal; heute läuft die WhatsApp-Anbindung über die WAHA-Bridge (siehe oben).

Trotz unserer Bemühungen können wir nicht für jeden künftig eingesetzten Dienst im Vorfeld einen vollständigen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO garantieren; in diesen Fällen stützen wir die Verarbeitung auf andere zulässige Rechtsgrundlagen der DSGVO (insb. Art. 6 Abs. 1 lit. f oder Ihre Einwilligung).

11. Speicherdauer

• Nutzungsdaten: werden nach 90 Tagen anonymisiert
• Mail-Nachrichteninhalte (Klartext): werden automatisch nach 90 Tagen entfernt; Metadaten wie Betreff, Absender und Zeitpunkt bleiben zur Thread-Übersicht erhalten
• Inhaltsdaten: bis zur Kontolöschung oder auf Anfrage
• Rechnungsdaten: 10 Jahre (gesetzliche Aufbewahrungspflicht, § 147 AO)
• Audit-Logs: 12 Monate (berechtigtes Interesse an IT-Sicherheit)

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
www.lda.bayern.de

Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts wenden: www.bfdi.bund.de

13. Änderungen

Diese Datenschutzerklärung kann von Zeit zu Zeit aktualisiert werden. Die aktuelle Version finden Sie stets auf dieser Seite. Über wesentliche Änderungen informieren wir registrierte Nutzerinnen und Nutzer in geeigneter Weise.