Datenschutzerklärung

Für die KI-Funktionen von Colex können Texte, Bilder und Sprachaufnahmen an die API von Mistral AI (Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich) übermittelt werden – und zwar nur, wenn eine solche Funktion genutzt wird. Dazu gehören insbesondere:

• Support-Chat und KI-Assistent (auch Spracheingabe)
• Belegerkennung: Auslesen von Belegen und Rechnungen sowie Vorschläge zur Kontierung
• Visitenkarten-Scan
• Zusammenfassungen und Aufgaben-Entwürfe aus E-Mails (MailDock)
• KI-Hilfen im Sicherheitsdienst-Modul (Wakon) und im Website-Check (SiteCheck)

Kein Training mit Ihren Daten: Wir nutzen die bezahlte API von Mistral und haben der Verwendung unserer Anfragen zur Verbesserung oder zum Training von KI-Modellen widersprochen. Ihre Inhalte werden ausschließlich verwendet, um die jeweilige Anfrage zu beantworten; die Ergebnisse speichern wir in Colex – sie gehören Ihnen. Mistral verarbeitet die Daten in der EU und bewahrt Anfragen nach eigenen Angaben höchstens 30 Tage zur Missbrauchserkennung auf; danach werden sie gelöscht. Es werden nur die für die jeweilige Anfrage notwendigen Inhalte übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (bereitgestellte Funktion) bzw. Art. 6 Abs. 1 lit. a DSGVO, soweit eine Einwilligung erforderlich ist. Mistral ist als Auftragsverarbeiter nach Art. 28 DSGVO eingebunden. Datenschutz von Mistral AI

Wenn ein Mandant Google-Dienste mit Colex verbindet (z. B. für die Module TaskFlow, Kontakte, TrustBase oder Kundenakte / Drive), werden Daten an Google Ireland Limited / Google LLC übermittelt. Colex nutzt und überträgt Informationen, die über Google APIs bezogen wurden, ausschließlich in Übereinstimmung mit der Google API Services User Data Policy (einschließlich der Bestimmungen zur eingeschränkten Nutzung – „Limited Use“).

Erfasste Daten (Data Accessed)

Wir greifen nur auf Daten zu, für die der Mandant bzw. der jeweilige Nutzer bei der OAuth-Authentifizierung ausdrücklich die Berechtigung erteilt hat. Je nach verbundener Funktion kann das insbesondere sein:

• TaskFlow / Google Kalender: Kalenderlisten, Kalenderereignisse (z. B. Titel, Zeiten, Beschreibung) sowie die Google-Konto-E-Mail zur Identifikation der Verbindung
• Kontakte / Google Kontakte: Einträge im Google-Adressbuch (Namen, Telefonnummern, E-Mail-Adressen) zum Abgleich mit Colex-Kontakten; Colex überträgt Stammdaten mit Telefonnummer (Name, Telefon, E-Mail, Adresse) in dieses Adressbuch. Die Google-Konto-E-Mail dient zur Identifikation der Verbindung
• TrustBase / Google Business Profile: Unternehmensprofil, Standortdaten, Google-Bewertungen und Antworten sowie die Google-Konto-E-Mail zur Verbindung
• Kundenakte / Google Drive: Ordner- und Dateimetadaten sowie Dateiinhalte, soweit der Mandant die Synchronisation aktiviert; Google-Konto-E-Mail zur Verbindung

Es werden keine weiteren Google-Daten abgerufen, als für die jeweilige Funktion technisch erforderlich sind. Google-Zugangsdaten (OAuth-Tokens) werden gesondert und verschlüsselt gespeichert; Passwörter des Google-Kontos werden von uns nicht abgefragt.

Datennutzung (Data Usage)

Die abgerufenen Google-Nutzerdaten werden ausschließlich zur Bereitstellung der jeweiligen Funktionen innerhalb der Colex-Webanwendung verwendet – z. B. Anzeige und Synchronisation von Terminen im Kanban-Board, Export von Kontakten nach Google Kontakte, Anzeige und Beantwortung von Bewertungen im TrustBase-Modul bzw. Dateizugriff in der Kundenakte. Eine Nutzung zu Werbezwecken, Profilbildung, KI-Training durch uns oder zur Weitergabe an Datenbroker findet nicht statt.

Weitergabe von Daten (Data Sharing)

Google-Nutzerdaten werden von uns vertraulich behandelt. Wir verkaufen, vermieten oder teilen diese Daten nicht mit Dritten zu deren eigenen Zwecken (z. B. Werbetreibende oder Datenbroker). Eine Übermittlung an Auftragsverarbeiter (z. B. Hosting) erfolgt nur, soweit dies für den Betrieb der Anwendung erforderlich ist und die Dienstleister die Daten nicht für eigene Zwecke verwenden dürfen. Eine Weitergabe an andere Dritte erfolgt nur, wenn der Mandant dies ausdrücklich veranlasst (z. B. Antwort auf eine Bewertung über die Google-API) oder wir gesetzlich dazu verpflichtet sind.

Speicherung & Schutz (Storage & Protection)

Alle abgerufenen Google-Daten werden verschlüsselt (TLS/SSL) übertragen und mandantentrennend in unserer Datenbank bzw. im Dateispeicher gehalten. Der Zugriff innerhalb der Anwendung ist durch Rollen- und Mandantentrennung geschützt. Technische Sicherheitsmaßnahmen (z. B. Zugriffskontrolle, Protokollierung, regelmäßige Updates) werden im Rahmen des Standes der Technik umgesetzt.

Speicherdauer & Löschung (Retention & Deletion)

Google-Nutzerdaten werden nur so lange gespeichert, wie die jeweilige Verknüpfung zwischen Colex und dem Google-Konto aktiv ist. Mandanten bzw. Nutzer können die Verknüpfung jederzeit in den Einstellungen der Anwendung aufheben. Bei einer Aufhebung werden die zugehörigen OAuth-Tokens gelöscht; bei TrustBase werden synchronisierte Bewertungsdaten aus unseren Systemen entfernt. Nach Löschung des Nutzer- oder Mandantenkontos bzw. nach Widerruf über Google werden die Daten unverzüglich gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Rechtsgrundlage der Verarbeitung ist in der Regel die Vertragserfüllung mit dem Mandanten (Art. 6 Abs. 1 lit. b DSGVO) sowie ggf. dessen Einwilligung über den OAuth-Dialog (Art. 6 Abs. 1 lit. a DSGVO). Weitere Informationen: Datenschutzerklärung von Google.

Für Abonnements und Zahlungen kann Stripe Payments Europe Ltd. (bzw. verbundene Stripe-Gesellschaften) als Zahlungsdienstleister eingesetzt werden. Dabei werden u. a. Zahlungs- und Vertragsdaten verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutz von Stripe

Für Live-Updates im Support-Bereich können WebSockets auf unserem Server (siehe Abschnitt 5) eingesetzt werden. Es werden dabei technische Verbindungsdaten verarbeitet, keine Werbeprofile.

Wenn ein Mandant ein E-Mail-Postfach anbindet (MailDock oder Beleg-Posteingang), ruft die Anwendung Nachrichten über IMAP vom jeweiligen E-Mail-Provider des Mandanten ab und kann über SMTP versenden. Zugangsdaten werden verschlüsselt gespeichert. Colex Werbeagentur betreibt dabei den E-Mail-Provider nicht; Verantwortlicher für das Postfach bleibt der Mandant. Wir verarbeiten die Inhalte als Auftragsverarbeiter für den Mandanten (Art. 28 DSGVO).

Für Kontoanbindung und Transaktionsabruf nutzen wir die finAPI GmbH, Adams-Lehmann-Str. 44, 80797 München – einen von der BaFin zugelassenen Kontoinformationsdienst. Das geschieht nur, soweit der Mandant die Funktion aktiviert und die bankseitige Einwilligung im Anmeldedialog von finAPI bzw. der Bank erteilt. Abrufe erfolgen in begrenzten Intervallen (kein Dauer-Polling). Zugangsdaten des Anbieters werden nicht im Klartext in Anwendungs-Konfigurationen abgelegt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Einwilligung im PSD2-/OAuth-Dialog. Datenschutz von finAPI

Soweit Module zur steuerlichen Übermittlung genutzt werden, können dafür erforderliche Daten an die zuständigen technischen Schnittstellen (z. B. ELSTER/ERIC) übermittelt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. c bzw. lit. b DSGVO.

Wenn ein Mandant eine Schnittstelle zu einer externen Buchhaltungssoftware verbindet, können Kontakte, Belege und zugehörige Metadaten zwischen Colex und diesem Drittdienst übertragen werden. Der Drittdienst wird vom Mandanten selbst beauftragt; es besteht keine Partnerschaft und keine Unterauftragsverarbeitung mit Colex. Die Verbindung erfolgt nur auf Veranlassung des Mandanten (API-Token). Verantwortlicher für die bei dem Drittdienst gespeicherten Daten bleibt der Mandant. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Optionale Beleg-Importer können Belegdaten von angebundenen Anbieterkonten abrufen (z. B. Amazon Business), soweit der Mandant die Verbindung herstellt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Auf der öffentlichen Marketing-Website nutzen wir Google Analytics 4 (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Mutterunternehmen ggf. Google LLC, USA), um Reichweite und Nutzung der Website zu verstehen (z. B. Seitenaufrufe, ungefähre Region, Gerät/Browser, Verweisquellen). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Die Verarbeitung startet erst, wenn Sie im Cookie-Banner „Alle akzeptieren“ wählen oder dort unter „Mehr Infos & Auswahl“ „Statistik & Herkunft“ aktivieren. Mit derselben Einwilligung messen wir Klicks auf „Kostenlos testen“ und, wenn Sie sich danach registrieren, einmalig den Abschluss der Registrierung in der App (app.colex.io) mit dem gewählten Paket (Colex oder WAKON) – ohne Name, E-Mail-Adresse oder Firmendaten. Zusätzlich erfassen wir mit einer eigenen Statistik auf unseren Servern (ohne Weitergabe an Dritte), welche Seiten besucht und welche Links bzw. Schaltflächen angeklickt werden (Seitenadresse ohne Parameter, Beschriftung und Ziel des Klicks, Zeitpunkt, Gerät/Browser, Verweisquelle). Eine IP-Adresse, Eingaben in Formularen oder ein Name werden dabei nicht gespeichert; die Besuche werden nur über eine zufällige Kennung im Browser (Session-Speicher) zusammengefasst. Es gilt dieselbe Einwilligung und derselbe Widerruf wie oben. IP-Adressen werden von Google Analytics 4 standardmäßig gekürzt/anonymisiert verarbeitet. Es kann zu einer Übermittlung in Drittländer (insb. USA) kommen; Google stützt sich u. a. auf Standardvertragsklauseln. Weitere Informationen: Google-Datenschutzerklärung, Google Ads Data Processing Terms. Widerruf: Cookie-Einstellungen im Fußbereich oder Browser-Einstellungen; der Widerruf gilt für die Zukunft.

Auf der Marketing-Website bieten wir einen Live-Chat an. Anbieter ist die tawk.to Inc., 187 East Warm Springs Rd, SB298, Las Vegas, NV 89119, USA. Der Chat wird erst geladen, wenn Sie im Cookie-Banner „Alle akzeptieren“ wählen, dort unter „Mehr Infos & Auswahl“ den Live-Chat aktivieren oder auf „Fragen? Chat starten“ klicken (Einwilligung nur für den Chat). Dabei wird Ihre IP-Adresse an tawk.to übermittelt; tawk.to nutzt Cookies bzw. ähnliche Technik zur Wiedererkennung im Chat und kann Nutzungsdaten wie besuchte Seiten, Browser und ungefähren Standort verarbeiten. Wenn Sie den Chat nutzen, verarbeiten wir Ihre Nachrichten und die von Ihnen angegebenen Kontaktdaten, um Ihre Anfrage zu beantworten. Wir speichern Chats so lange, wie es zur Bearbeitung Ihrer Anfrage nötig ist; auf Wunsch löschen wir sie.

KI-Assistentin: Im Chat antwortet zunächst eine KI-Assistentin („Clara“). Sie beantwortet Fragen auf Grundlage unserer Webseite, Dokumentation und FAQ. Dafür werden Ihre Chat-Nachrichten von tawk.to und deren Unterauftragsverarbeiter OpenAI (USA) verarbeitet. Sie werden im Chat darauf hingewiesen, dass es sich um eine KI handelt, und können jederzeit darum bitten, mit einer Person aus unserem Team zu sprechen. Geben Sie im Chat bitte keine sensiblen Daten (z. B. Passwörter oder Zahlungsdaten) ein.

Drittlandübermittlung und Vertrag: tawk.to verarbeitet Daten in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), dem tawk.to angeschlossen ist, sowie auf Standardvertragsklauseln (Art. 46 DSGVO) im Auftragsverarbeitungsvertrag von tawk.to (Data Processing Addendum), der Teil der Nutzungsbedingungen ist. Eine Liste der Unterauftragsverarbeiter finden Sie unter tawk.to/data-protection/sub-processors. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung); bei konkreten Anfragen zusätzlich Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Widerruf: Cookie-Einstellungen im Fußbereich; der Widerruf gilt für die Zukunft.

Für E-Mail-Versand von Systemnachrichten, Backups, Virenscan hochgeladener Dateien (sofern aktiviert) oder Infrastrukturkomponenten können weitere Auftragsverarbeiter eingesetzt werden, sofern dies für den Betrieb erforderlich ist. Mit allen Auftragsverarbeitern werden Verträge nach Art. 28 DSGVO geschlossen, soweit gesetzlich erforderlich. Ein produktanalytischer Dienst (PostHog) ist derzeit nicht aktiv.

Die aktuelle Unterauftragsverarbeiter-Liste ist Bestandteil des AVV (öffentliche Kurzfassung bzw. PDF unter Einstellungen → Rechtliches).

Karten, Adress-Vorschläge, Kartenpunkte und Routen in Colex (z. B. in TaskFlow, der Kundenakte, MailDock, Wakon, TrustBase und im Mitarbeiter-Onboarding) liefert ein eigener Kartendienst auf unserem Server in Deutschland. Er arbeitet mit Kartendaten von OpenStreetMap, die wir auf unserem Server vorhalten. Ihre Eingaben, Adressen und Ihre IP-Adresse werden dafür nicht an Google oder andere Kartenanbieter übertragen. Nur wenn Sie selbst auf einen Link wie „In OpenStreetMap öffnen“ klicken, öffnet sich die Website der OpenStreetMap Foundation in einem neuen Fenster; dort gilt deren Datenschutzerklärung. Die Branche beim Visitenkarten-Scan erkennt unsere KI (siehe 7.1), nicht Google.

Die Wakon-App kann Push-Nachrichten senden (z. B. Schicht-Erinnerungen und Alarme). Dafür nutzen wir den Apple Push Notification Service der Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA (iPhone), und Firebase Cloud Messaging der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Android). Übermittelt werden ein Geräte-Kennzeichen (Push-Token) und der Inhalt der jeweiligen Nachricht. Push-Nachrichten gibt es nur, wenn Sie sie auf Ihrem Gerät erlauben; Sie können sie jederzeit in den Handy-Einstellungen abschalten. Es kann zu einer Übermittlung in die USA kommen; Apple und Google stützen sich u. a. auf Standardvertragsklauseln und das EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (bereitgestellte Funktion) bzw. Art. 6 Abs. 1 lit. a DSGVO (Ihre Erlaubnis im Gerät). Datenschutz von Apple, Datenschutz bei Firebase