Datenschutzerklärung

ENTWURF vom 27. Oktober 2026 – vor der Veröffentlichung von RA Notdurfter zu prüfen. Platzhalter in eckigen Klammern, offene Punkte mit [zu prüfen] markiert.

Diese Erklärung beschreibt, wie die HW Capital GmbH personenbezogene Daten verarbeitet, wenn Sie unsere Website besuchen, ein Benutzerkonto anlegen und die App nutzen. Sie gilt nach der Datenschutz-Grundverordnung (DSGVO) und, für Nutzer in der Schweiz, nach dem Bundesgesetz über den Datenschutz (DSG).

1. Verantwortlicher

HW Capital GmbH, [Anschrift], E-Mail: [datenschutz@…]. Einen Datenschutzbeauftragten haben wir [nicht bestellt, da nicht vorgeschrieben / bestellt: Kontakt …] [zu prüfen].

2. Zwei Rollen: Ihre Kundendaten und Ihr Benutzerkonto

• Daten, die Ihre Firma in der App verwaltet (Firmen, Leads, Kontakte, Aktivitäten, Angebote, Umsätze): Hier ist Ihre Firma der Verantwortliche. Wir verarbeiten diese Daten nur in ihrem Auftrag und nach ihren Weisungen auf Grundlage des Auftragsverarbeitungsvertrags (AV-Vertrag). Fragen zu diesen Daten richten Sie bitte an Ihre Firma.
• Daten zu Ihrem Benutzerkonto, zur Abrechnung und zur Nutzung der Website: Hierfür sind wir verantwortlich. Davon handelt diese Erklärung.

3. Welche Daten wir verarbeiten und wozu

• Benutzerkonto: E-Mail-Adresse, Passwort (nur als Prüfwert gespeichert), Rolle in der Firma, Einstellungen wie Sprache, bei Zwei-Faktor-Login das Geheimnis Ihrer Authenticator-App. Zweck: Anmeldung, Zugriffsschutz, Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).
• Einladungen: E-Mail-Adresse der eingeladenen Person, Rolle, Ablaufdatum. Gespeichert wird nur ein Prüfwert des Einladungslinks.
• Protokolle und Sicherheit: technische Daten beim Aufruf (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser) in den Protokollen unseres Hosting-Anbieters; Protokolle von Änderungen (wer, wann, was) in der App. Zweck: Betrieb, Fehlersuche, Schutz vor Missbrauch (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
• Abrechnung: Firmenname, Rechnungsanschrift, Steuernummer, Zahlungsart; Kartendaten erhält nur unser Zahlungsdienstleister. Zweck: Vertrag und gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. b und c DSGVO).
• Feedback und Support: Ihre Nachricht, die Seite, auf der Sie waren, und der Browser. Bei einem Support-Zugang, den die Leitung Ihrer Firma freigibt, sehen unsere Support-Mitarbeiter die Daten Ihrer Firma lesend; jede Sitzung wird mit Grund protokolliert.
• KI-Funktionen: Wenn Sie eine KI-Funktion nutzen (z. B. Wiedervorlage aus einer Notiz, Visitenkarte lesen, Angebot aus einer weitergeleiteten E-Mail), senden wir die dafür nötigen Inhalte an unseren KI-Anbieter und speichern Eingabe, Ergebnis, Kosten und Ihre Entscheidung in einem Protokoll. Bilder und PDF-Dateien speichern wir nicht. KI-Ergebnisse sind Vorschläge; nichts wird ohne Bestätigung eines Menschen übernommen. Es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO.
• Weitergeleitete E-Mails (falls Ihre Firma die Funktion nutzt): Absender, Betreff, Text und PDF-Anhänge der E-Mails, die Sie an die Eingangsadresse Ihrer Firma senden.

4. Cookies und ähnliche Techniken

Wir verwenden nur Cookies, die für die App technisch nötig sind: Anmeldung (Sitzung), gewählte Firma, Sprache und Ansichtseinstellungen. Wir verwenden keine Analyse- oder Werbe-Cookies, keine Tracking-Dienste und laden keine Schriften oder Skripte von fremden Servern. Einige Hinweise (z. B. „später erinnern“ beim Installieren auf dem Handy) merkt sich Ihr Browser lokal.

5. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein, jeweils mit Vertrag nach Art. 28 DSGVO:

• Supabase (Datenbank und Anmeldung): Supabase Inc., USA; Speicherort der Daten: Frankfurt am Main (EU).
• Vercel (Hosting der Website und Server): Vercel Inc., USA; Serverfunktionen in Frankfurt am Main (EU), Auslieferung statischer Dateien über ein weltweites Netz.
• Anthropic (KI-Funktionen): Anthropic PBC, USA [bzw. Anthropic Ireland, Limited für Kunden im EWR und in der Schweiz – zu prüfen]. Nach den Geschäftsbedingungen des Anbieters werden Eingaben und Ausgaben nicht zum Training verwendet und nur befristet gespeichert [Frist zu prüfen].
• Stripe (Zahlungen und Rechnungen): Stripe Payments Europe, Limited, Irland.
• Mistral AI (Umwandlung von Sprachnotizen in Text, nur wenn die Funktion eingeschaltet ist): Mistral AI SAS, Paris, Frankreich [Vertrag zur Auftragsverarbeitung und Speicherdauer beim Anbieter zu prüfen]. Die Aufnahme wird einmal übertragen und von uns nicht gespeichert.
• ALL-INKL.COM (E-Mail: Einladungen und Anmelde-Mails, Postfach für weitergeleitete Angebote und Auftragsbestätigungen): Neue Medien Münnich, Friedersdorf, Deutschland; Server in Deutschland [Vertrag zur Auftragsverarbeitung abschließen].

Daten werden in die USA übermittelt, soweit diese Anbieter von dort aus arbeiten. Grundlage sind die Standardvertragsklauseln der EU-Kommission und, soweit der Anbieter zertifiziert ist, das EU-US Data Privacy Framework bzw. das Swiss-US Data Privacy Framework [Zertifizierungen je Anbieter zu prüfen].

6. Wie lange wir Daten speichern

• Benutzerkonto: solange das Konto besteht. Deaktivierte Benutzer bleiben als Eigentümer ihrer Einträge sichtbar, bis die Firma gelöscht wird.
• Daten einer Firma: bis zur Löschung der Firma. Eine Löschung wird nach 14 Tagen ausgeführt und kann bis dahin zurückgenommen werden. Sicherungskopien werden danach innerhalb von [7] Tagen überschrieben [zu prüfen].
• Protokolle des Hosting-Anbieters: [Frist zu prüfen]. Änderungsprotokolle in der App: mindestens 24 Monate, solange die Firma besteht.
• Rechnungen und Buchungsbelege: nach den gesetzlichen Aufbewahrungspflichten (in der Regel 10 Jahre) [zu prüfen].

7. Sicherheit

Verbindungen sind verschlüsselt (TLS). Die Daten jeder Firma sind in der Datenbank durch Zugriffsregeln getrennt; Verkäufer sehen nur ihre eigenen Einträge, die Leitung die ganze Firma. Für die Leitung ist der Zwei-Faktor-Login Pflicht. Die Daten liegen in einem Rechenzentrum in Frankfurt am Main; täglich wird eine Sicherung erstellt.

8. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen. Wenden Sie sich dafür an [datenschutz@…]. Für Daten, die Ihre Firma in der App verwaltet, ist Ihre Firma zuständig; wir leiten Anfragen an sie weiter.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. in Italien beim Garante per la protezione dei dati personali, in Deutschland bei der Behörde Ihres Bundeslandes, in Österreich bei der Datenschutzbehörde und in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) [zuständige Hauptbehörde zu prüfen].

9. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Die aktuelle Fassung steht immer unter dieser Adresse.