0. Unsere Position zum Datenschutz

Stand: 8. Oktober 2026

Diese Seite ist für Datenschutzbeauftragte und alle, die ListPlus vor dem Einsatz prüfen. Sie fasst zusammen, wie wir uns einordnen und warum. Die verbindlichen Texte sind der Auftragsverarbeitungsvertrag, die Datenschutzerklärung und die Anbieterliste; diese Seite erklärt sie.

1. Werkzeug, nicht Datenbestand

ListPlus sammelt keine Personen und verkauft keine Daten. Jede Suche, Anreicherung oder Recherche findet statt, weil ein Kunde sie in seinem Workspace auslöst, und ihr Ergebnis gehört nur diesem Workspace. Zwischen Kunden wird nichts zu Personen geteilt; kundenübergreifend halten wir nur Firmendaten ohne Personenbezug, 30 Tage. Ohne Konto kann niemand bei ListPlus nach Personen suchen.

Deshalb sehen wir uns als Auftragsverarbeiter des Kunden (Art. 28 DSGVO): Der Kunde entscheidet, ob, über wen und wozu Daten abgerufen werden; wir stellen die Werkzeuge. Die Datenanbieter, bei denen wir im Auftrag des Kunden abfragen, sind für ihre Datenbestände selbst verantwortlich und erhalten nur den Suchschlüssel. Ob sie für diesen Suchschlüssel als Unterauftragsverarbeiter oder als eigenständige Empfänger einzuordnen sind, lassen wir anwaltlich klären; bis dahin behandeln wir sie wie Unterauftragsverarbeiter (Information, Widerspruchsrecht).

2. Der Kunde steuert, serverseitig

Der Eigentümer eines Workspace schaltet in den Workspace-Richtlinien ab, was sein Datenschutzbeauftragter nicht will: einzelne Datenanbieter, KI-Funktionen, verbundene Systeme, die Eingangsadresse, die Agent-API, Pipeline-E-Mails, den Support-Chat, Nutzungsereignisse, das Beitragen zum Firmen-Cache. Aus heißt: Kein Mitglied und kein angebundenes KI-System kann die Funktion nutzen, und an den jeweiligen Anbieter gehen keine Daten — geprüft auf dem Server, nicht nur in der Oberfläche ausgeblendet.

Zwei Funktionen behandeln wir besonders. Die Beobachtung von Personen (Watchlist-Alerts) ist in jedem Workspace ausgeschaltet, bis der Eigentümer sie nach einem Hinweis auf seine Verantwortung einschaltet; wer wann eingeschaltet hat, wird festgehalten. Die Bewertung von Recherche-Treffern (Fit-Score: wie gut ein Treffer zur Suchbeschreibung passt) ist an, lässt sich aber abschalten; dann wird niemand bewertet.

Die Richtlinie lässt sich als Textdatei exportieren, und das Datenschutz-Paket (Richtlinie, AVV mit Anlagen, Anbieterliste, Betroffenen-Hinweis, Datenschutzerklärung) als eine Datei öffnen, drucken oder als 30-Tage-Link weitergeben.

3. Transparenz: eine Liste, alle Namen

Alle Dienstleister, Datenanbieter und Quellen stehen mit Sitz, übermittelten Daten und Drittlandgarantie in einer Liste (listplus.ai/de/subprocessors), die zugleich Anlage 3 des AVV und der Empfängerabschnitt der Datenschutzerklärung ist — aus einer Quelle erzeugt, damit es keine zwei Fassungen gibt. Wir nennen auch, was unbequem ist: dass öffentliche Quellen wie LinkedIn, Crunchbase, Reddit oder X von Scrapern einer Datenerhebungsplattform gelesen werden, dass einige Dienstleister in den USA sitzen, und was bei einem Dienstleister noch zu bestätigen ist (als [PRÜFEN] markiert).

4. Die Personen in den Daten

Wer über ListPlus gefunden oder ergänzt wurde, findet unter listplus.ai/de/contact-data-notice eine an ihn gerichtete Erklärung: was ListPlus ist, woher die Daten kommen, wer sie bekommt, welche Rechte er hat. Ein Widerspruch an support@listplus.ai landet als Prüfsumme in einer Sperrliste, die für alle Kunden gilt: Die Person wird über ListPlus nicht mehr abgerufen, nicht als Treffer aufgenommen und nicht beobachtet. Eine Grenze benennen wir: Bei einer Suche nur mit Name und Firma kennen wir E-Mail-Adresse und Profil erst, wenn der Anbieter antwortet; das Ergebnis speichern wir dann nicht.

5. KI

KI-Modelle laufen nur auf unseren Servern, nie im Browser. An OpenAI gehen Anfragen mit der Einstellung „nicht speichern“ und laut Anbieter ohne Nutzung zum Training; das Bewertungsmodell arbeitet ohne Speicherung beim Anbieter. Welche Daten eine Funktion sendet, steht in der Datenschutzerklärung (Abschnitt 12), auch dort, wo es ganze Texte sind. Keine KI-Ausgabe entscheidet etwas mit rechtlicher Wirkung; alles sind Vorschläge, die der Nutzer prüft.

6. Was wir bewusst nicht tun

• Keine eigene Datenbank mit Personen, kein Data-Broker-Modell — auch nicht für Märkte, in denen es erlaubt wäre.
• Keine Weitergabe von Personendaten zwischen Kunden.
• Keine Beobachtung von Personen ohne ausdrückliche Freischaltung durch den Kunden.
• Keine Personensuche ohne Konto.
• Keine Nutzung von Kundendaten zum Training von Modellen, weder durch uns noch durch unsere KI-Anbieter.
• Kein regionaler „Nicht-EU-Modus“: Als deutsche GmbH wenden wir die DSGVO auf alle an, unabhängig vom Sitz des Kunden oder der Person.

7. Was noch offen ist

Wir schreiben auch auf, was nicht fertig ist. Die Rechtstexte werden anwaltlich geprüft (Entwurfs-Hinweis auf jeder Seite). Mit einigen Dienstleistern sind Verträge oder Sitzangaben noch zu bestätigen (in der Anbieterliste markiert). Ob für uns ein Datenschutzbeauftragter zu bestellen ist, klären wir mit dem Anwalt; die Funktionen, die diese Pflicht am ehesten auslösen (Beobachtung, Bewertung, Suche ohne Konto), haben wir auf Weisung des Kunden gestellt oder abgeschaltet. Der Dienst Pipedream, über den Verbindungen zu CRM-Systemen laufen, wird ersetzt. Fragen dazu beantworten wir unter support@listplus.ai.

1. Workspace-Richtlinien

Workspace: Beispiel-Workspace · noch nie geändert — alle Schalter an

Was der Eigentümer dieses Workspace für alle Mitglieder abgeschaltet hat. „Aus“ heißt: Kein Mitglied und kein angebundenes KI-System kann die Funktion nutzen, und es gehen keine Daten an den jeweiligen Anbieter — serverseitig durchgesetzt.

Beispiel ohne Workspace: Ein neuer Workspace startet mit allen Schaltern an. Welche Schalter ein Kunde umgelegt hat, steht im Paket, das er aus seinen Workspace-Einstellungen erzeugt.

2. Auftragsverarbeitungsvertrag (AVV) mit Anlagen

Stand: 8. Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) regelt die Verarbeitung personenbezogener Daten durch die airrange software GmbH, Sperberweg 7, 82152 Krailling („ListPlus“, „Auftragsverarbeiter“) im Auftrag des Kunden („Kunde“, „Verantwortlicher“) bei der Nutzung von ListPlus. Er ergänzt die Allgemeinen Geschäftsbedingungen von ListPlus (listplus.ai/terms, „AGB“) und wird mit Abschluss des Nutzungsvertrags Vertragsbestandteil, ohne dass es einer gesonderten Unterzeichnung bedarf. Auf Wunsch stellen wir eine unterzeichnete Fassung bereit (support@listplus.ai).

§ 1 Gegenstand und Begriffe

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten, die ListPlus bei der Erbringung des Dienstes nach den AGB im Auftrag des Kunden vornimmt („Kundendaten“). Art, Zweck, Datenkategorien und betroffene Personen ergeben sich aus Anlage 1.

(2) Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach Art. 4 DSGVO.

(3) „Abrufwerkzeuge“ sind die Funktionen des Dienstes, mit denen der Kunde Daten bei externen Datenanbietern oder aus öffentlich zugänglichen Quellen abfragt, insbesondere Anreicherung, Personen- und Segmentsuche, E-Mail-Prüfung, LinkedIn-Importe, KI-Recherche und Signal-Abfragen, auch über die Agent-API.

§ 2 Rollen der Parteien

(1) ListPlus als Auftragsverarbeiter. Der Kunde ist Verantwortlicher und beauftragt ListPlus als Auftragsverarbeiter für

• Daten, die der Kunde hochlädt, importiert, anlegt, über verbundene Systeme synchronisiert oder an den Eingang weiterleitet;
• Daten, die der Kunde mit den Abrufwerkzeugen abfragt: ListPlus führt jede Suche, Anreicherung oder Recherche nur auf Veranlassung des Kunden und in dem von ihm festgelegten Rahmen aus, übermittelt dafür den nötigen Suchschlüssel an den jeweiligen Datenanbieter und stellt das Ergebnis ausschließlich diesem Kunden bereit;
• Daten, die der Kunde über Pipelines, Exporte, die Agent-API oder verbundene Systeme an von ihm gewählte Ziele übermittelt.

Der Kunde entscheidet, ob, über welche Personen, mit welchen Werkzeugen und zu welchem Zweck Daten verarbeitet werden. Er ist für die Einhaltung der Pflichten verantwortlich, die das Datenschutzrecht dem Verantwortlichen auferlegt.

(2) ListPlus als Verantwortlicher. ListPlus verarbeitet eigenverantwortlich und nicht im Auftrag:

• Konto-, Vertrags-, Abrechnungs-, Support- und Nutzungsdaten der Nutzer des Kunden;
• Daten, die zum Betrieb, zur Sicherheit, zur Missbrauchs- und Betrugsabwehr, zur Abrechnung von Credits und zur Erfüllung gesetzlicher Pflichten erforderlich sind;
• aggregierte oder anonymisierte Nutzungsstatistiken zur Verbesserung des Dienstes, die keinen Rückschluss auf einzelne betroffene Personen in Kundendaten zulassen;
• den kundenübergreifenden Unternehmens-Cache (§ 13 Abs. 3 AGB), soweit er ausnahmsweise personenbezogene Daten enthält;

Für diese Verarbeitungen gilt die Datenschutzerklärung von ListPlus (listplus.ai/privacy).

(3) Datenanbieter. Externe Datenanbieter sind für ihre eigenen Datenbestände selbst verantwortlich. ListPlus besitzt keine eigene Kontaktdatenbank und gibt keine Daten aus eigenem Bestand an den Kunden weiter. Die Datenanbieter und Quellen sind in Anlage 3, Teil B, aufgeführt; sie erhalten bei einem Abruf nur den Suchschlüssel. Ob sie insoweit Unterauftragsverarbeiter (§ 7) oder eigenständige Empfänger sind, an die der Kunde auf eigener Rechtsgrundlage übermittelt, wird anwaltlich geklärt; bis dahin gelten für sie die Informations- und Widerspruchsrechte des § 7 entsprechend.

§ 3 Weisungen

(1) ListPlus verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, es sei denn, ListPlus ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt ListPlus dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen des Kunden sind abschließend in den AGB, diesem AVV, den Workspace-Richtlinien und in der Bedienung des Dienstes festgelegt. Jede vom Kunden oder seinen Nutzern ausgelöste Aktion – etwa ein Import, eine Suche, eine Anreicherung, eine Beobachtung in der Watchlist, eine KI-Recherche mit der vom Kunden formulierten Suchbeschreibung und den von ihm gewählten Quellen, eine Pipeline oder ein Export – gilt als dokumentierte Weisung in dem durch die Aktion bestimmten Umfang. Dasselbe gilt für Aktionen, die der Kunde über die Agent-API oder ein von ihm angebundenes KI-System auslöst. Mit den Workspace-Richtlinien (AGB § 3 Abs. 4) weist der Kunde ListPlus an, bestimmte Funktionen, Datenanbieter oder Quellen für seinen Workspace nicht einzusetzen; ListPlus setzt diese Weisung technisch durch.

(3) Weitere Weisungen erteilt der Kunde in Textform an support@listplus.ai. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, kann ListPlus ablehnen oder gegen angemessene Vergütung ausführen.

(4) ListPlus informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und darf die Ausführung bis zur Bestätigung oder Änderung durch den Kunden aussetzen.

§ 4 Pflichten des Kunden

Der Kunde stellt sicher, dass

• für jede von ihm veranlasste Verarbeitung, insbesondere für das Abfragen von Daten mit den Abrufwerkzeugen und deren spätere Nutzung, eine Rechtsgrundlage besteht;
• er betroffene Personen nach Art. 13 und 14 DSGVO informiert, Widersprüche beachtet und Anträge betroffener Personen beantwortet;
• Werbung per E-Mail, Telefon oder auf anderen Kanälen nur im Rahmen der gesetzlichen Vorgaben erfolgt, insbesondere § 7 UWG;
• keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) verarbeitet werden;
• er berechtigt ist, ListPlus die Kundendaten zur Verarbeitung zu überlassen.

Der Kunde informiert ListPlus unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 5 Vertraulichkeit

ListPlus gewährleistet, dass sich alle Personen, die zur Verarbeitung der Kundendaten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Kundendaten erhalten nur Personen, die ihn für die Erbringung des Dienstes, den Support oder die Behebung von Störungen benötigen.

§ 6 Technische und organisatorische Maßnahmen

(1) ListPlus trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. ListPlus darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Sicherheitsniveau darf dabei nicht unterschritten werden.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt ListPlus die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) ListPlus informiert den Kunden mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform (z. B. per E-Mail oder durch Aktualisierung von Anlage 3 mit Hinweis per E-Mail). Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Nutzungsvertrag zum Zeitpunkt des Einsatzes des Unterauftragsverarbeiters kündigen. [PRÜFEN: Sonderregel für kurzfristigen Ersatz eines Datenanbieters, der ausfällt oder seinen Dienst einstellt.]

(3) ListPlus verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den in diesem AVV festgelegten im Wesentlichen entsprechen. ListPlus haftet gegenüber dem Kunden für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO.

(4) Keine Unterauftragsverarbeitung im Sinne dieses AVV sind Nebenleistungen, die ListPlus bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf Kundendaten erhalten (z. B. Telekommunikation, Zahlungsabwicklung für ListPlus selbst).

§ 8 Übermittlung in Drittländer

Eine Verarbeitung von Kundendaten außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-U.S. Data Privacy Framework) oder der EU-Standardvertragsklauseln (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter), die ListPlus mit dem jeweiligen Unterauftragsverarbeiter abschließt. Der Dienst wird in der EU-Region Frankfurt gehostet; die betroffenen Unterauftragsverarbeiter und die jeweilige Garantie sind in Anlage 3 genannt.

§ 9 Unterstützung des Kunden

(1) ListPlus unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen. Der Dienst ermöglicht es dem Kunden, Kundendaten selbst einzusehen, zu exportieren, zu berichtigen und zu löschen; die Block List des Workspace kennzeichnet Datensätze zu Personen, die nicht angesprochen werden sollen. Widerspricht eine Person gegenüber ListPlus, trägt ListPlus ihre Kennung als Hashwert in eine kundenübergreifende Sperrliste ein, sodass sie über den Dienst nicht mehr bei Datenanbietern abgerufen, nicht als Recherche-Treffer aufgenommen und nicht beobachtet wird; Datensätze, die der Kunde bereits hält, bleiben davon unberührt und sind vom Kunden zu behandeln.

(2) Wendet sich eine betroffene Person direkt an ListPlus, leitet ListPlus den Antrag unverzüglich an den Kunden weiter, soweit der Kunde erkennbar ist, und beantwortet ihn nicht selbst, es sei denn, der Kunde weist dies an oder das Gesetz verlangt es.

(3) ListPlus unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(4) Unterstützungsleistungen, die über die Funktionen des Dienstes hinausgehen und nicht auf einem Verstoß von ListPlus beruhen, kann ListPlus nach Aufwand angemessen in Rechnung stellen.

§ 10 Verletzungen des Schutzes personenbezogener Daten

ListPlus meldet dem Kunden eine Verletzung des Schutzes von Kundendaten unverzüglich, nachdem sie ListPlus bekannt geworden ist, möglichst innerhalb von 48 Stunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; noch fehlende Angaben werden nachgereicht. ListPlus ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen. Die Meldung an Aufsichtsbehörden und betroffene Personen obliegt dem Kunden.

§ 11 Löschung und Rückgabe

(1) Der Kunde kann Kundendaten während der Vertragslaufzeit jederzeit selbst exportieren und löschen. Bestimmte Daten werden nach den in der Datenschutzerklärung (Abschnitt 11) genannten Fristen automatisch gelöscht.

(2) Nach Beendigung des Nutzungsvertrags und Löschung des Kontos löscht ListPlus die Kundendaten, soweit keine gesetzliche Pflicht zur Speicherung besteht. Kopien in Sicherungen beim Hosting-Anbieter werden mit Ablauf des Sicherungszyklus überschrieben [PRÜFEN: Sicherungsfristen, derzeit bis zu 30 Tage].

(3) Eine Rückgabe erfolgt durch die Exportfunktion des Dienstes vor der Löschung.

§ 12 Nachweise und Kontrollen

(1) ListPlus stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Als Nachweis genügen in der Regel aktuelle Selbstauskünfte, die Beschreibung der Maßnahmen in Anlage 2 sowie Zertifikate und Prüfberichte der Unterauftragsverarbeiter (z. B. ISO 27001 oder SOC 2 des Hosting-Anbieters).

(2) Darüber hinausgehende Überprüfungen, einschließlich Inspektionen, kann der Kunde höchstens einmal pro Kalenderjahr nach Ankündigung mit angemessener Frist (mindestens 30 Tage) zu den üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb mit ListPlus stehenden Prüfer durchführen, es sei denn, eine Aufsichtsbehörde verlangt mehr oder ein konkreter Anlass besteht. Jede Partei trägt ihre eigenen Kosten.

§ 13 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen der AGB (§ 14 AGB) sowie die Freistellung nach § 15 AGB. ListPlus haftet als Auftragsverarbeiter nur für Schäden, die dadurch entstehen, dass ListPlus seine speziell den Auftragsverarbeitern auferlegten Pflichten nicht erfüllt oder unter Nichtbeachtung oder gegen die rechtmäßigen Weisungen des Kunden gehandelt hat.

§ 14 Laufzeit und Schlussbestimmungen

(1) Dieser AVV gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange ListPlus Kundendaten verarbeitet.

(2) Bei Widersprüchen zwischen diesem AVV und den AGB gehen in Fragen des Datenschutzes die Regelungen dieses AVV vor.

(3) ListPlus kann diesen AVV nach dem Verfahren des § 16 AGB ändern, insbesondere zur Anpassung an geänderte Rechtslage oder an Änderungen der Unterauftragsverarbeiter. Für Unterauftragsverarbeiter gilt vorrangig § 7.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz der airrange software GmbH.

(5) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Gegenstand und Umfang der Verarbeitung

Art und Zweck der Verarbeitung

Speichern, Prüfen, Bereinigen, Anreichern, Durchsuchen, Recherchieren, Übermitteln und Exportieren von Kontakt- und Unternehmenslisten im Rahmen des Dienstes nach den AGB, einschließlich der Abfrage externer Datenanbieter und öffentlich zugänglicher Quellen mit den Abrufwerkzeugen sowie der Verarbeitung durch KI-Modelle in dem in der Datenschutzerklärung (Abschnitt 12) beschriebenen Umfang.

Kategorien betroffener Personen

• Geschäftskontakte, Interessenten, Kunden und sonstige Personen in Listen des Kunden;
• Personen, deren Daten der Kunde mit den Abrufwerkzeugen abfragt, einschließlich Personen, die der Kunde in der Watchlist beobachten lässt, und Personen, die in der KI-Recherche als Autoren, Kommentatoren oder Reagierende öffentlicher Beiträge erfasst werden;
• Absender und in weitergeleiteten Inhalten genannte Personen (Eingang); Personen, die ein Formular des Kunden ausfüllen oder deren Daten ein System an den Webhook einer Liste sendet;
• Korrespondenten, die der Kunde über das Outlook-Add-in erfasst;
• Mitarbeitende des Kunden, soweit sie in Kundendaten enthalten sind.

Kategorien personenbezogener Daten

• Name, berufliche Position und Senioritätsstufe, Unternehmen;
• geschäftliche E-Mail-Adresse und deren Zustellbarkeitsstatus, geschäftliche Telefon- und ggf. Mobilnummer;
• URL des LinkedIn-Profils, Ort, öffentlich sichtbare Profilangaben (z. B. Werdegang, frühere Arbeitgeber), öffentliche Beiträge, Kommentare und Reaktionen; bei der KI-Recherche Fundstelle, Beleg und eine Passungs-Einschätzung;
• Inhalte weitergeleiteter E-Mails und Anhänge (Eingang);
• sonstige Daten, die der Kunde in seine Listen aufnimmt (keine Daten nach Art. 9 und 10 DSGVO).

Dauer

Für die Laufzeit des Nutzungsvertrags; Löschung nach § 11.

Anlage 2: Technische und organisatorische Maßnahmen

• Hosting und Standort: Anwendung, Dateispeicher und Arbeitsspeicher (Redis) in der EU-Region Frankfurt. Der Hosting-Anbieter Vercel ist nach ISO 27001:2022 zertifiziert und verfügt über einen SOC-2-Type-2-Bericht; ListPlus selbst hält keine eigene Zertifizierung.
• Verschlüsselung: Übertragung ausschließlich verschlüsselt (TLS), auch zwischen Anwendung und Datenbank und zu allen Dienstleistern; Dateispeicher verschlüsselt beim Hosting-Anbieter [PRÜFEN: Verschlüsselung im Ruhezustand bei Redis Cloud bestätigen]; vom Kunden hinterlegte Zugangsschlüssel verschlüsselt gespeichert.
• Zugangskontrolle: Anmeldung per E-Mail-Einmalcode oder über Google; Sitzungen über signierte Tokens (30 Tage); keine gemeinsam genutzten Konten.
• Zugriffskontrolle: Zugriff auf Listen nur für das jeweilige Konto, eingeladene Workspace-Mitglieder und ausdrücklich freigegebene Personen; jede Schnittstelle prüft die Berechtigung serverseitig. Datenbank- und API-Schlüssel werden ausschließlich serverseitig verwendet.
• Trennung: Kundendaten werden je Workspace getrennt gespeichert. Ergebnisse zu Personen werden nicht zwischen Kunden geteilt; kundenübergreifend gespeichert werden nur Unternehmensdaten ohne Personenbezug (30 Tage).
• Datenminimierung bei Abrufen: An Datenanbieter wird nur der für die Abfrage nötige Suchschlüssel übermittelt, nie die übrige Liste.
• Datenminimierung bei KI: KI-Verarbeitung ausschließlich serverseitig; an KI-Anbieter wird der für die Aufgabe nötige Ausschnitt übermittelt – für Prüfungen nur eindeutige Werte, für Textspalten, Eingang, Webhook-Prüfung und Diktat der jeweilige Text bzw. Datensatz (Datenschutzerklärung, Abschnitt 12); Anfragen an OpenAI mit der Einstellung „nicht speichern“, an das Bewertungsmodell ohne Speicherung beim Anbieter. Der Kunde kann KI-Funktionen je Workspace abschalten.
• Weitergabekontrolle: Externe Zugänge (Agent-API, Daten-Endpunkte, Eingangsadresse, Listen-Webhooks) sind durch geheime, widerrufbare Schlüssel geschützt; eingehende Webhooks prüfen Signaturen bzw. gemeinsame Geheimnisse; welche Dienstleister Daten erhalten, steuert der Kunde über die Workspace-Richtlinien.
• Verfügbarkeit: Die Listen liegen dauerhaft im Dateispeicher des Hosting-Anbieters und werden von dort geladen; die Datenbank ist repliziert und schreibt ein Journal, eine gesonderte Sicherung der Datenbank gibt es derzeit nicht [PRÜFEN: Sicherungsfristen des Dateispeichers]. Ratenbegrenzungen gegen Missbrauch.
• Löschung: Löschen von Listen, Workspaces und des Kontos durch den Kunden mit sofortiger Wirkung (Selbstbedienung); automatische Löschfristen für Eingang, geteilte Links, Recherchen, Zwischenspeicher und Pipeline-Verläufe (Datenschutzerklärung, Abschnitt 17).
• Organisation: Verpflichtung auf Vertraulichkeit; Zugriff auf Produktionsdaten nur, soweit für Betrieb und Support erforderlich [PRÜFEN: Protokollierung administrativer Zugriffe beschreiben].

Anlage 3: Unterauftragsverarbeiter

Teil A: Unterauftragsverarbeiter

Diese Dienstleister verarbeiten Kundendaten in unserem Auftrag nach Art. 28 DSGVO. „Abschaltbar“ nennt den Schalter der Workspace-Richtlinien, mit dem der Kunde die Übermittlung an diesen Dienstleister für seinen Workspace unterbindet.

Teil B: Datenanbieter und Quellen

Diese Anbieter erhalten bei einem Abruf nur den Suchschlüssel (z. B. E-Mail-Adresse, Domain, LinkedIn-URL, Name und Firma oder Suchfilter), nie die übrige Liste. Sie sind für ihre eigenen Datenbestände selbst Verantwortliche; ListPlus ist das Werkzeug, mit dem der Kunde sie abfragt. Ob sie für den Suchschlüssel als Unterauftragsverarbeiter oder als eigenständige Empfänger einzuordnen sind, wird anwaltlich geklärt.

Teil C: Vom Kunden gewählte Empfänger

Systeme, an die der Kunde Daten übermittelt, weil er sie selbst verbindet oder benennt. Für diese Übermittlung ist der Kunde Verantwortlicher; wir nennen sie der Vollständigkeit halber.

Offene Punkte je Dienstleister sind in der Tabelle als [PRÜFEN] markiert; die jeweils aktuelle Fassung dieser Anlage steht unter listplus.ai/de/subprocessors. Nicht in dieser Anlage: Dienstleister, die nur Konto-, Vertrags- und Abrechnungsdaten der Nutzer verarbeiten (Datenschutzerklärung, Abschnitt 15).

3. Dienstleister und Datenanbieter

Stand: 8. Oktober 2026

Diese Liste ist die Anlage 3 unseres Auftragsverarbeitungsvertrags (listplus.ai/de/dpa) und der Abschnitt „Empfänger“ unserer Datenschutzerklärung in einer Fassung — generiert aus einer Quelle, damit es keine zwei Versionen gibt. Änderungen an Unterauftragsverarbeitern kündigen wir Kunden 30 Tage vorher an (AVV § 7).

„Abschaltbar durch den Kunden“ nennt den Schalter der Workspace-Richtlinien, mit dem der Eigentümer eines Workspace die Übermittlung an diesen Dienstleister für seinen Workspace unterbindet.

Teil A: Unterauftragsverarbeiter

Diese Dienstleister verarbeiten Kundendaten in unserem Auftrag nach Art. 28 DSGVO. „Abschaltbar“ nennt den Schalter der Workspace-Richtlinien, mit dem der Kunde die Übermittlung an diesen Dienstleister für seinen Workspace unterbindet.

Teil B: Datenanbieter und Quellen

Diese Anbieter erhalten bei einem Abruf nur den Suchschlüssel (z. B. E-Mail-Adresse, Domain, LinkedIn-URL, Name und Firma oder Suchfilter), nie die übrige Liste. Sie sind für ihre eigenen Datenbestände selbst Verantwortliche; ListPlus ist das Werkzeug, mit dem der Kunde sie abfragt. Ob sie für den Suchschlüssel als Unterauftragsverarbeiter oder als eigenständige Empfänger einzuordnen sind, wird anwaltlich geklärt.

Teil C: Vom Kunden gewählte Empfänger

Systeme, an die der Kunde Daten übermittelt, weil er sie selbst verbindet oder benennt. Für diese Übermittlung ist der Kunde Verantwortlicher; wir nennen sie der Vollständigkeit halber.

4. Hinweis für die Personen in den Daten

Stand: 8. Oktober 2026

Sie lesen diese Seite vermutlich, weil ein Unternehmen Sie angeschrieben hat und ListPlus als Quelle genannt wurde, oder weil Sie wissen möchten, was ListPlus mit Ihren Daten zu tun hat. Hier steht es, so kurz wie möglich.

Was ListPlus ist — und was nicht

ListPlus (listplus.ai) ist ein Werkzeug der airrange software GmbH, Sperberweg 7, 82152 Krailling, mit dem Unternehmen ihre Kontaktlisten prüfen, ergänzen und recherchieren. ListPlus hat keine eigene Datenbank mit Personen. Wenn ein Kunde eine Person sucht oder eine Angabe ergänzt, fragt ListPlus in diesem Moment bei spezialisierten Datenanbietern oder in öffentlichen Quellen nach und zeigt dem Kunden das Ergebnis.

Für diese Abrufe handeln wir im Auftrag des jeweiligen Kunden (Auftragsverarbeiter, Art. 28 DSGVO). Verantwortlich dafür, Sie zu suchen, Ihre Daten zu nutzen und Sie anzusprechen, ist der Kunde. Wer das war, erfahren Sie aus der Nachricht, die Sie erhalten haben; wir dürfen und können es Ihnen nicht aus eigener Kenntnis sagen, wenn der Kunde nicht erkennbar ist.

Welche Daten abgerufen werden können

Nur Daten mit Bezug zu Ihrer beruflichen Rolle: Name, Position, Unternehmen und dessen Angaben (Branche, Größe, Standort), geschäftliche E-Mail-Adresse und ob sie zustellbar ist, geschäftliche Telefonnummer, die Adresse Ihres LinkedIn-Profils, Ort, sowie öffentlich sichtbare Profilangaben und öffentliche Beiträge oder Reaktionen, wenn ein Kunde diese ausdrücklich abruft. Keine privaten Daten, keine besonderen Kategorien (Gesundheit, Religion, politische Meinung).

Woher die Daten kommen

Von Datenanbietern, die eigene Datenbanken geschäftlicher Kontakte betreiben (zum Beispiel Prospeo, FullEnrich, CompanyEnrich, MillionVerifier), und aus öffentlich zugänglichen Quellen (zum Beispiel LinkedIn, Firmenwebsites, Google-Suche, Crunchbase, Hacker News, Reddit, X), die ein Dienst im Auftrag des Kunden liest. Die vollständige, aktuelle Liste mit Sitz der Anbieter steht unter listplus.ai/de/subprocessors, Teil B. Für ihre eigenen Datenbestände sind die Anbieter selbst verantwortlich; Auskunft über diese Bestände erhalten Sie bei ihnen.

Wer die Daten bekommt und wie lange sie bleiben

Das Ergebnis eines Abrufs sieht nur der Kunde, der ihn ausgelöst hat; es wird in seinem Arbeitsbereich gespeichert, bis er es löscht. Ergebnisse werden nicht zwischen Kunden geteilt. Bei uns bleibt außerdem für höchstens 30 Tage ein Zwischenspeicher je Kunde, damit derselbe Abruf nicht doppelt bezahlt wird. Ohne Konto kann niemand bei ListPlus nach Personen suchen.

Rechtsgrundlage für den Abruf ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) des Kunden, geschäftliche Ansprechpartner zu finden und zutreffende Geschäftsdaten zu pflegen, beschränkt auf das berufliche Umfeld. Ob der Kunde Sie darüber hinaus ansprechen darf, richtet sich nach seiner eigenen Rechtsgrundlage und dem Wettbewerbsrecht; dafür ist er verantwortlich.

Ihre Rechte — und was wir tun

Widerspruch (Art. 21 DSGVO). Schreiben Sie an support@listplus.ai mit Ihrer geschäftlichen E-Mail-Adresse oder der Adresse Ihres LinkedIn-Profils. Wir tragen beides als Prüfsumme (nicht im Klartext) in eine Sperrliste ein, die für alle Kunden gilt: Ihre Daten werden über ListPlus dann nicht mehr bei Anbietern abgerufen, nicht als Recherche-Treffer aufgenommen und nicht beobachtet. Eine Grenze müssen wir benennen: Sucht ein Kunde nur mit Ihrem Namen und Ihrer Firma, kennen wir E-Mail-Adresse und Profil erst, wenn der Anbieter antwortet; wir speichern das Ergebnis dann nicht, der Anbieter hat die Anfrage aber gesehen.

Auskunft, Berichtigung, Löschung (Art. 15 bis 17 DSGVO). Diese Rechte richten sich gegen den Kunden, der Ihre Daten verwendet; erreicht uns Ihr Antrag, leiten wir ihn an den Kunden weiter, wenn er erkennbar ist, und beantworten, was wir selbst wissen. Ihre Daten bei den Datenanbietern löschen diese selbst; die Kontaktwege stehen in der Anbieterliste.

Beschwerde (Art. 77 DSGVO). Zuständig für uns ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Alles Weitere, insbesondere wie wir mit Daten von Website-Besuchern und Kunden umgehen, steht in unserer Datenschutzerklärung unter listplus.ai/de/privacy.

5. Datenschutzerklärung

Stand: 8. Oktober 2026

Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir beim Betrieb der Website listplus.ai und der Anwendung ListPlus (listplus.ai/app, einschließlich Outlook-Add-in und Agent-API) verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Sie haben.

1. Verantwortlicher

airrange software GmbH
Sperberweg 7
82152 Krailling
Deutschland
Telefon: +49 (0)89 28741023
E-Mail: support@listplus.ai
Handelsregister: Amtsgericht München, HRB 271683
Geschäftsführer: Stephan Methner

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter support@listplus.ai.

2. Datenschutzbeauftragter

[PRÜFEN: Ob ein Datenschutzbeauftragter zu benennen ist, wird derzeit geprüft. Nach Benennung werden hier dessen Kontaktdaten angegeben.] Bis dahin richten Sie Datenschutzanfragen bitte an support@listplus.ai.

3. Überblick: In welcher Rolle wir Ihre Daten verarbeiten

Je nachdem, in welcher Beziehung Sie zu ListPlus stehen, verarbeiten wir Ihre Daten in unterschiedlichen Rollen:

• Besucher der Website (listplus.ai): Wir sind Verantwortlicher für die beim Aufruf der Website anfallenden Daten (Abschnitte 4 und 5).
• Nutzer der Anwendung (Kunden und deren Mitarbeitende mit eigenem Konto): Wir sind Verantwortlicher für Konto-, Vertrags-, Abrechnungs-, Nutzungs- und Supportdaten (Abschnitte 6 bis 10).
• Personen in Kundenlisten: Daten, die Kunden in ListPlus hochladen, importieren, anlegen, anreichern oder an den Eingang weiterleiten, verarbeiten wir im Auftrag des jeweiligen Kunden als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher ist der Kunde (Abschnitt 11).
• Personen, deren geschäftliche Kontaktdaten über ListPlus abgerufen werden: Wenn Kunden über ListPlus Kontakt- oder Unternehmensdaten bei Datenanbietern abrufen, informieren wir Sie in Abschnitt 13 nach Art. 14 DSGVO über die Quellen und die Verarbeitung.
• Besucher, die die Anwendung ohne Konto ansehen: Sie sehen die Oberfläche und die Beispiel-Liste mit erfundenen Daten; Suchen, Anreicherungen und alles, was Daten Dritter abruft, erfordern ein Konto. Für diese Besucher gilt Abschnitt 4.

4. Aufruf der Website und Hosting

Website und Anwendung werden bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet; Server und Dateispeicher befinden sich in der EU-Region Frankfurt am Main. Beim Aufruf einer Seite verarbeitet Vercel technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browser- und Betriebssysteminformationen sowie Statuscodes (Server-Logfiles).

Zweck: Auslieferung der Website, Stabilität, Sicherheit und Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Angebot). Speicherdauer: Server-Logfiles werden nach [PLATZHALTER: Aufbewahrungsdauer der Vercel-Logs, z. B. X Tage] gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.

Obwohl Server und Dateispeicher in der EU liegen, können Daten auch bei Vercel selbst in die USA übermittelt werden, da Vercel ein US-Unternehmen ist und auf Unterauftragnehmer zurückgreift. Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert; darüber hinaus haben wir mit Vercel einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln geschlossen (siehe Abschnitte 15 und 16).

5. Cookies, lokale Speicherung und Reichweitenmessung

Wir setzen keine Werbe- oder Tracking-Cookies und keine Cookies von Werbenetzwerken oder sozialen Netzwerken ein. Wir verwenden die folgenden Cookies und Einträge im lokalen Speicher Ihres Browsers (localStorage):

Rechtsgrundlage: Das Speichern und Auslesen dieser Informationen auf Ihrem Endgerät erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG, soweit es unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (Anmeldung, Spracheinstellung, Einstellungen der Anwendung, Support-Chat). Das Chat-Widget wird erst geladen, wenn Sie auf den Chat-Button klicken. Die anschließende Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) bzw. Art. 6 Abs. 1 lit. f DSGVO. [PRÜFEN: Einordnung von lp-first-views/lp-signup-tracked unter § 25 TDDDG.]

Reichweitenmessung, Nutzungsereignisse und Fehlerprotokolle

Website: Zur Reichweitenmessung und zur Messung der Ladegeschwindigkeit nutzen wir Vercel Web Analytics und Vercel Speed Insights. Diese Dienste arbeiten ohne Cookies und ohne geräteübergreifende Profile. Erfasst werden aufgerufene Seiten, Referrer, ungefährer Standort auf Länderebene, Gerätetyp, Browser und Betriebssystem sowie Ladezeiten; zur Unterscheidung von Besuchen wird ein aus Anfragedaten gebildeter Hashwert verwendet, der täglich verworfen wird.

Anwendung: Welche Funktionen wann genutzt werden, zählen wir mit PostHog (PostHog Inc., EU-Cloud in Frankfurt). Jedes Ereignis trägt ein Pseudonym Ihres Kontos (ein Hashwert der Nutzer-ID, nicht umkehrbar), den Tarif, einen Hashwert des Workspace, das Ereignis und seine Eigenschaften (z. B. „Liste angelegt“, „Anreicherung gestartet“, die Anzahl der Zeilen) – nie Namen, E-Mail-Adressen oder Inhalte Ihrer Listen. PostHog setzt bei uns keine Cookies und zeichnet keine Sitzungen auf. Sie können die Nutzungsmessung in den Einstellungen Ihres Kontos abschalten; der Eigentümer eines Workspace kann sie für alle Mitglieder abschalten (Workspace-Richtlinien). Unabhängig davon führen wir Tageszähler ohne Personenbezug (wie oft eine Funktion genutzt wurde).

Fehlerprotokolle: Protokolle unserer Server und Fehlerberichte aus dem Browser (Fehlertext, Stack, die aufgerufene Seite ohne Suchparameter, Browser) senden wir an Axiom (Axiom, Inc., USA) [PRÜFEN: Sitz, Datenstandort und Aufbewahrungsfrist]. Fehlerberichte enthalten keine Nutzer-ID.

Zweck: Verbesserung von Website und Anwendung, Fehleranalyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung und am stabilen Betrieb unseres Angebots). Empfänger: Vercel Inc., PostHog Inc., Axiom, Inc. (siehe Abschnitt 15).

Inhalte Dritter, die Ihr Browser lädt

An einigen Stellen lädt Ihr Browser Inhalte direkt von Dritten; diese erfahren dabei Ihre IP-Adresse: Erklärvideos auf der Startseite der Anwendung von Wistia (erst nach Klick), Kartenkacheln von OpenStreetMap in der Kontaktansicht (mit den Koordinaten des angezeigten Unternehmens, nicht Ihren), Icons von jsDelivr sowie Profilbilder von Personen direkt von LinkedIn bzw. vom Datenanbieter. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Zahlungsseiten von Stripe

Beim Abschluss eines Tarifs oder Kauf von Credits werden Sie auf eine Bezahlseite von Stripe (checkout.stripe.com bzw. das Stripe-Kundenportal) weitergeleitet. Dort gelten die Datenschutzhinweise von Stripe; Stripe setzt dort eigene, u. a. der Betrugsprävention dienende Cookies ein.

6. Registrierung, Anmeldung und Nutzerkonto

Für die Nutzung von ListPlus legen Sie ein Konto mit Ihrer E-Mail-Adresse an. Die Anmeldung erfolgt per E-Mail-Adresse und Einmal-Code, den wir Ihnen per E-Mail senden, oder über „Mit Google anmelden“; wir speichern kein Passwort. Den Anmeldedienst betreibt für uns die Hanko GmbH, Kiel (Hosting in der EU); eine Sitzung gilt 30 Tage. Wählen Sie die Anmeldung mit Google, bestätigt Google LLC (USA) Ihre Identität und übermittelt uns Ihre E-Mail-Adresse und die Kennung Ihres Google-Kontos; Google erfährt dabei, dass Sie sich bei ListPlus anmelden (Drittlandgarantie: EU-U.S. Data Privacy Framework). Wir verarbeiten E-Mail-Adresse, optional Ihren Namen, eine interne Nutzer-ID, den Anmeldeweg, Zeitpunkte von Registrierung und Anmeldung sowie technische Sitzungsdaten.

Zweck: Einrichtung und Absicherung Ihres Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen). Speicherdauer: Für die Dauer des Nutzungsverhältnisses; nach Löschung des Kontos werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Bereitstellung der Anwendung und Vertragsabwicklung

Wenn Sie ListPlus nutzen, verarbeiten wir Ihre Kontodaten, Ihren Tarif, Ihr Credit-Guthaben und die Buchungen darauf (Käufe, Verbrauch je Aktion, Gutschriften), Einstellungen, von Ihnen erstellte Listen, Ordner, gemerkte Kontakte, API-Verbindungen und deren Ausführungsprotokolle sowie technische Protokolle zur Fehleranalyse und Missbrauchserkennung.

Zweck: Erbringung der vertraglichen Leistungen, Abrechnung von Credits, Sicherheit und Missbrauchsabwehr (z. B. Begrenzung von Anfragen). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Sicherheit und Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO.

Für einen schnellen Arbeitsspeicher nutzen wir Redis Cloud (Redis Ltd.), gehostet in der Region Frankfurt (AWS eu-central-1). Für Live-Statusmeldungen im Browser (z. B. „Import abgeschlossen“) nutzen wir den Echtzeitdienst Pusher (Pusher Ltd.) [PRÜFEN: Sitz/Cluster]; übertragen werden Ereignis- und Statusinformationen zu Ihren Vorgängen.

Über Arbeitsabläufe (Webhooks) beim Dienst Pipedream, Inc. (USA; der Dienst wird derzeit durch einen in der EU betriebenen Automatisierungsdienst ersetzt, siehe Abschnitt 15) erhalten wir interne Benachrichtigungen über Ereignisse in unserem Dienst: Registrierung, Anmeldung, Abmeldung und Löschung eines Kontos (Nutzer-ID, E-Mail-Adresse, Anmeldeweg), angelegte und gelöschte Listen (Listen-ID, Nutzer-ID, Listenname, Importart und Zeilenanzahl, keine Listeninhalte) sowie eine Zusammenfassung der Ereignisse unseres Zahlungsdienstleisters Stripe (Art des Ereignisses, Kunden- und Vorgangskennung, E-Mail-Adresse des Zahlenden, Betrag, Währung, Status, Tarif – keine Zahlungsmittel, keine Rechnungsanschrift). Aus diesen Benachrichtigungen wird dauerhaft nur Ihre E-Mail-Adresse gespeichert, wie folgt:

• Bei der Registrierung legt ein Pipedream-Arbeitsablauf Ihre E-Mail-Adresse in unserem CRM-System Attio an und erstellt einen Nutzer-Datensatz in einer Datenbank bei Amazon Web Services (AWS DynamoDB), Region Frankfurt (EU). Weitere Daten werden dort nicht gespeichert. Das CRM-System versendet eine Willkommens-E-Mail.
• Bei einem Kauf ruft Stripe eine Schnittstelle unseres Dienstes auf; diese findet den Nutzer-Datensatz anhand der E-Mail-Adresse des Zahlenden und vermerkt dort den gekauften Tarif.

Zweck: Verwaltung Ihres Kontos und Tarifs sowie Versand der Willkommens-E-Mail zum Start. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). Die Willkommens-E-Mail ist eine reine Begrüßungs- und Einstiegsnachricht zu Ihrem Konto und keine Werbung. Einen Newsletter oder Werbe-E-Mails versenden wir nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

Workspaces und Einladungen

Sie arbeiten in Workspaces. Listen, Watchlist, Eingang, Recherchen, Pipelines und verbundene Systeme gehören dem Workspace, und jedes Mitglied sieht sie; Tarif und Credits gehören dem Eigentümer des Workspace. Wer ein Mitglied einlädt, veranlasst eine E-Mail an die eingeladene Adresse mit dem Namen des Einladenden und des Workspace, versandt über Postmark (Abschnitt 14) von notifications@listplus.ai; eine Einladung verfällt nach 14 Tagen. Der Eigentümer kann in den Workspace-Richtlinien Funktionen und Datenanbieter für alle Mitglieder abschalten; die jeweils gültige Richtlinie ist in den Workspace-Einstellungen einsehbar und als Textdatei exportierbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Einladungs-E-Mail an eine noch nicht registrierte Person Art. 6 Abs. 1 lit. f DSGVO (Interesse des Einladenden an der Zusammenarbeit).

8. Zahlungen und Rechnungen

Abonnements und Credit-Pakete werden über Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) abgewickelt. Stripe verarbeitet Name, E-Mail-Adresse, Rechnungsanschrift, ggf. USt-IdNr. und Zahlungsdaten und berechnet die Umsatzsteuer. Wir erhalten von Stripe keine vollständigen Karten- oder Kontodaten, sondern Kunden- und Zahlungsstatusinformationen sowie Rechnungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten). Speicherdauer: Buchungsbelege bewahren wir nach den gesetzlichen Fristen auf (§ 147 AO, § 257 HGB: 8 Jahre für Belege, 10 Jahre für Handelsbücher und Jahresabschlüsse). Stripe ist für bestimmte eigene Zwecke (z. B. Betrugsprävention, Erfüllung regulatorischer Pflichten) selbst Verantwortlicher.

9. Support per E-Mail und Chat

Wenn Sie uns per E-Mail (support@listplus.ai) oder über das Chat-Widget im Dashboard der Anwendung kontaktieren, verarbeiten wir Ihre Nachricht, Ihre Kontaktdaten und – bei angemeldeten Nutzern – Ihre Nutzer-ID, Ihren Namen und Ihre E-Mail-Adresse, damit wir Ihr Konto zuordnen können. Das Chat-Widget wird von Chatwoot Inc. [PRÜFEN: Anschrift], USA, bereitgestellt; die Daten werden auf Servern in den USA verarbeitet. Das Widget wird erst geladen, wenn Sie im Dashboard der Anwendung auf den Chat-Button klicken – vorher werden keine Daten an Chatwoot übertragen. Antworten im Chat können zunächst durch einen KI-Assistenten erfolgen, der ausschließlich auf freigegebene Hilfetexte zugreift; Sie können jederzeit eine Weiterleitung an einen Mitarbeiter verlangen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage den Vertrag betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Speicherdauer: Bis die Anfrage abschließend bearbeitet ist, danach [PLATZHALTER: z. B. 24 Monate] zur Nachvollziehbarkeit, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Verbindungen zu anderen Systemen

Wenn Sie ein CRM, eine Tabelle oder ein anderes Werkzeug verbinden (z. B. HubSpot, Salesforce, Pipedrive, Google Sheets, Airtable, Notion, Lemlist, Stripe, oder als Importquelle Apollo, Phantombuster, Intercom, Zoom, Calendly), verwaltet der Verbindungsdienst Pipedream, Inc. (San Francisco, USA) die Zugangsdaten (OAuth) in unserem Auftrag; ListPlus selbst speichert diese Zugangsdaten nicht. Abrufe aus dem verbundenen System und Übertragungen dorthin laufen ganz oder teilweise über den Proxy-Dienst von Pipedream; die übertragenen Datensätze passieren dabei die Server von Pipedream. Welche Daten übertragen werden, bestimmen Sie durch Ihre Aktionen (Import, Export, Pipeline-Ziel); eine Referenzliste lädt sich auf Ihren Wunsch regelmäßig aus ihrer Quelle nach. Ziele, die Sie mit einem eigenen API-Schlüssel anbinden (z. B. Instantly, Smartlead, Attio, Close, Slack, ein eigener Webhook-Endpunkt), erreichen wir direkt; den Schlüssel speichern wir verschlüsselt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Inhalte gilt Abschnitt 11.

Ihre eigene KI: Agent-API, MCP und Recherche-Link

Sie können ein KI-System Ihrer Wahl (z. B. ChatGPT, Claude oder eigene Agenten) über eine Verbindung je Liste (REST unter listplus.ai/d/…, MCP unter listplus.ai/mcp/…) oder über einen Recherche-Link (listplus.ai/r/…) an ListPlus anschließen. Dieses KI-System liest und schreibt dann, was die Verbindung freigibt (Spalten, Teillisten, erlaubte Aktionen); jeder Aufruf wird mit Aktion, Zeilen, Credits und Dauer protokolliert (90 Tage [PRÜFEN]). Der Anbieter dieses KI-Systems ist Ihr Empfänger, nicht unser Dienstleister: Welche Daten er erhält und wie er sie behandelt, bestimmen Sie durch die Wahl des Anbieters und den Zuschnitt der Verbindung. Der Zugangsschlüssel steht im Pfad der Adresse und erscheint deshalb in den Zugriffsprotokollen unseres Hosting-Anbieters.

11. Kundendaten: ListPlus als Auftragsverarbeiter

Personenbezogene Daten, die Kunden in ListPlus verarbeiten – etwa Listen aus Datei-Importen, Imports aus LinkedIn oder verbundenen Systemen, Anreicherungsergebnisse, gemerkte Kontakte und Eingangs-Einträge – verarbeiten wir im Auftrag und nach Weisung des Kunden (Art. 28 DSGVO). Verantwortlicher für diese Daten und für deren Nutzung, z. B. für Vertriebsansprache, ist der Kunde. Betroffene Personen wenden sich mit ihren Anliegen bitte an das jeweilige Unternehmen, das ihre Daten verwendet; erreicht uns eine solche Anfrage, leiten wir sie – soweit möglich – an den Kunden weiter.

Es gilt der Auftragsverarbeitungsvertrag (AVV) unter listplus.ai/dpa, der für Kunden aller Tarife Bestandteil des Nutzungsvertrags ist. Eine unterzeichnete Fassung erhalten Sie auf Anfrage unter support@listplus.ai.

Speicherdauer: Listen werden gespeichert, bis der Kunde sie löscht; eine Löschung ist sofort und endgültig. Einige Bereiche sind bewusst zeitlich begrenzt: Einträge im Eingang werden 14 Tage nach Eingang gelöscht, geteilte Ergebnis-Links sind 7 Tage nach ihrer Erstellung nicht mehr abrufbar, KI-Recherchen werden 1 bis 7 Tage nach dem Start gelöscht (nach Wahl des Nutzers; eine Recherche, die ihre Treffer an eine Liste übergibt, 30 Tage), nur angesehene (nicht gespeicherte oder angereicherte) Profile unter „Zuletzt angesehen“ entfallen nach 30 Tagen ohne weitere Aktivität, und der Verlauf einer Pipeline (an ein vom Kunden gewähltes Ziel gesendete Datensätze samt Antwort des Ziels) wird 30 Tage nach dem Versand gelöscht. Watchlist-Einträge, Kontakte aus dem Outlook-Add-in und Formular-Einsendungen bleiben, bis der Kunde sie löscht.

Löschung des Kontos: Sie löschen Ihr Konto selbst in den Einstellungen („Konto löschen“). Dabei löschen wir Ihr Konto, alle Workspaces, deren Eigentümer Sie sind, mit allen Listen, Dateien, Pipelines, Eingängen, Recherchen und Watchlists, Ihre persönlichen Daten in unserer Datenbank, Ihr Pseudonym bei PostHog samt Ereignissen und Ihren Support-Kontakt bei Chatwoot samt Gesprächen; laufende Abonnements werden gekündigt. Was bleibt: Rechnungen und der Kundendatensatz bei Stripe (gesetzliche Aufbewahrung), Daten, die Sie in Workspaces anderer Eigentümer angelegt haben (sie gehören diesem Workspace), Protokolle bei Hosting- und Protokolldienst bis zu deren Ablauf (ohne Nutzer-ID), die Nachrichtenhistorie beim E-Mail-Dienst (45 Tage) und die kundenübergreifenden Caches ohne Personenbezug. Eine 30 Tage gültige Sperrmarke verhindert, dass eine noch gültige Anmeldesitzung das Konto wieder anlegt.

12. KI-Verarbeitung

ListPlus nutzt KI-Modelle, um Befehle zu verstehen, Daten zu prüfen und zu bewerten, KI-Spalten zu füllen, Spalten beim Import zu erkennen, Eingangs-Einträge und Webhook-Datensätze zu erkennen, Diktate zu transkribieren und Recherchen durchzuführen. Die Aufrufe gehen ausschließlich von unseren Servern aus, nie aus Ihrem Browser; an den KI-Anbieter wird jeweils der für die Aufgabe nötige Ausschnitt übermittelt – bei Prüfungen nur eindeutige Werte, bei den im Folgenden genannten Funktionen auch ganze Texte oder Datensätze:

• Befehle und Fragen: Ihr Text, Spaltennamen und -typen, Zeilenanzahl und Namen von Teillisten; nur wenn ein Befehl Werte benötigt, die eindeutigen Werte der betroffenen Spalten (ohne Duplikate).
• KI-Prüfungen und Bewertungsspalten: nur die eindeutigen Werte bzw. Wertkombinationen der betroffenen Spalten (z. B. Jobtitel, Ort und Land); ein Urteil wird 30 Tage zwischengespeichert, ohne den Wert selbst.
• KI-Textspalten: der von Ihnen formulierte Prompt mit den Werten der darin genannten Spalten des jeweiligen Datensatzes (bis zu 2.000 Zeichen), einmal je eindeutiger Kombination.
• Listen-Webhooks und Formulare: unbekannte Feldnamen mit je einem Beispielwert, damit die Spalte zugeordnet werden kann; auf Wunsch eine Spam-Prüfung mit bis zu 12 Feldern à 120 Zeichen je Datensatz.
• Diktat: die Tonaufnahme Ihrer Spracheingabe (bis 3 MB) zur Umwandlung in Text.
• Spaltenerkennung beim Import: Spaltenüberschriften und eine Stichprobe von Beispielwerten (10 % der Datei, mindestens 50 und höchstens 200 Zeilen).
• Eingang: Um in einem längeren Eintrag Personen und Unternehmen zu erkennen, wird dessen Text an OpenAI übermittelt – bei weitergeleiteten E-Mails der E-Mail-Text und der aus unterstützten Anhängen (z. B. PDF) ausgelesene Text, gekürzt auf höchstens rund 24.000 Zeichen. Strukturierte Einträge (vCards, Kalendereinladungen, CSV- und JSON-Daten) werden ohne KI-Extraktion ausgelesen. Kurze Einträge (z. B. eine Signaturzeile) und die erkannten Kontaktangaben (Name, Position, Unternehmen, E-Mail-Adresse, Ort) werden zur Einordnung und Plausibilitätsprüfung an Groq bzw. an ein Modell über das AI Gateway von Vercel übermittelt; zur Bestätigung einer Person oder eines Unternehmens kann eine Google-Suche mit Name und Unternehmen erfolgen (Abschnitt 13).
• KI-Recherche: Ihre Suchbeschreibung bzw. die bekannten Identitätsangaben einer Person (Name, Unternehmen, Position, Ort) zur Suche in öffentlichen Webquellen.

Anbieter: OpenAI (Sprachmodelle und Transkription; Anfragen werden mit der Einstellung „nicht speichern“ gesendet und laut Anbieter nicht zum Training genutzt) [PRÜFEN: Vertragspartner Irland/USA], Groq, Inc. (USA; schnelles Modell für kurze Einzelaufrufe) und TypeSafe AI (Bewertungsmodell „Jev“, angebunden über das AI Gateway von Vercel Inc., ohne Speicherung beim Anbieter) [PRÜFEN: Sitz]. Sitz, Datenstandort und Garantie je Anbieter stehen in Abschnitt 15. Der Eigentümer eines Workspace kann alle KI-Funktionen für seinen Workspace abschalten (Workspace-Richtlinien); dann wird kein KI-Anbieter mehr aufgerufen. Rechtsgrundlage: Für Kundendaten handeln wir als Auftragsverarbeiter (Abschnitt 11); im Übrigen Art. 6 Abs. 1 lit. b DSGVO. Eine automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt; KI-Ergebnisse (auch Bewertungen wie Seniorität oder ein „Fit“-Wert in der Recherche) sind Vorschläge, die der Nutzer prüft und anwendet. Der Fit-Wert der Recherche beschreibt, wie gut ein Treffer zur Suchbeschreibung des Kunden passt; der Eigentümer eines Workspace kann diese Bewertung abschalten (Workspace-Richtlinien), dann wird kein Treffer bewertet.

13. Datenanbieter und Datenanreicherung (Informationen nach Art. 14 DSGVO)

ListPlus ermöglicht Kunden, geschäftliche Kontakt- und Unternehmensdaten zu suchen, zu ergänzen und zu prüfen. Diese Daten stammen nicht von ListPlus selbst – ListPlus besitzt keine eigene Kontaktdatenbank –, sondern werden im Moment der Anfrage bei spezialisierten Datenanbietern oder aus öffentlich zugänglichen Quellen abgerufen. Wenn Ihre geschäftlichen Kontaktdaten über ListPlus abgerufen wurden, informieren wir Sie hier über die Verarbeitung.

Kategorien von Daten

Name, berufliche Position und Senioritätsstufe, Unternehmen und Unternehmensdaten (Branche, Größe, Standort, Website, Finanzierung, Technologien), geschäftliche E-Mail-Adresse und deren Zustellbarkeitsstatus, geschäftliche Telefonnummer und ggf. Mobilnummer, URL des LinkedIn-Profils, Ort sowie öffentlich sichtbare Profilangaben (z. B. Werdegang, frühere Arbeitgeber) und öffentliche Beiträge, Kommentare oder Reaktionen, sofern ein Kunde diese abruft. Bei der KI-Recherche kommen hinzu: die Fundstelle (URL), ein kurzer Beleg (z. B. der Kommentar, der zum Treffer führte) und eine Einschätzung, wie gut die Person zur Suchbeschreibung passt („Fit“, 0–100, mit Begründung).

Quellen

Die Daten stammen von Datenanbietern, die eigene Datenbanken geschäftlicher Kontakte betreiben – Prospeo (Kontaktdatenbank, E-Mail und Telefon), FullEnrich (E-Mail und Telefon), CompanyEnrich (Unternehmensdaten), MillionVerifier (Zustellbarkeit), HarvestAPI und Enrich.so (öffentlich sichtbare LinkedIn-Daten), Serper (Google-Suchergebnisse) –, und aus öffentlich zugänglichen Quellen, die ein Dienst im Auftrag des Kunden liest: LinkedIn (Suchergebnisse, Mitarbeiterlisten, Beiträge, Kommentare und Reaktionen, Profilsuche auch nach früherem Arbeitgeber), Crunchbase-Unternehmensseiten, Reddit, X, Hacker News (Suche über Algolia, nur der Suchbegriff), Google-Maps-Profile, Web-Traffic-Schätzungen und beliebige Websites, auch zum Auffinden von Kontaktdaten. Diese öffentlichen Quellen liest die Datenerhebungsplattform Apify (Prag) mit Programmen Dritter („Actors“); die Plattformen selbst sind nicht unsere Vertragspartner. Die vollständige, aktuelle Liste mit Sitz, übermittelten Daten und Garantie steht unter listplus.ai/de/subprocessors, Teil B.

Die Datenanbieter sind für ihre eigenen Datenbestände selbst verantwortlich; Informationen zu deren Verarbeitung finden Sie in den Datenschutzhinweisen der jeweiligen Anbieter. Der Eigentümer eines Workspace kann einzelne Anbieter und Quellen für seinen Workspace abschalten (Workspace-Richtlinien).

Zwecke, Empfänger und Rechtsgrundlage

Die Daten werden abgerufen, wenn ein Kunde eine konkrete Suche oder Anreicherung auslöst, und ausschließlich diesem Kunden bereitgestellt, der sie für seine eigenen geschäftlichen Zwecke (z. B. Vertrieb, Pflege von CRM-Daten) verwendet. An den Datenanbieter übermitteln wir nur den für die Abfrage nötigen Suchschlüssel (z. B. E-Mail-Adresse, Domain, LinkedIn-URL, Name und Unternehmen oder Suchfilter), nie die übrige Liste des Kunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Das berechtigte Interesse des Kunden und von ListPlus besteht darin, geschäftliche Ansprechpartner zu finden und zutreffende Geschäftsdaten zu pflegen; es beschränkt sich auf Daten im beruflichen Kontext. Personenbezogene Anreicherungsergebnisse (E-Mail-Adressen, Telefonnummern, Positionen) werden nicht zwischen Kunden geteilt. Für Abrufe, die ein Kunde auslöst, handeln wir als Auftragsverarbeiter dieses Kunden (AVV § 2). [PRÜFEN: Rollenverteilung Verantwortlicher/Auftragsverarbeiter beim Abruf von Drittdaten, siehe Anwaltsnotizen L29.]

Watchlist: Beobachtung von Kontakten

Diese Funktion ist in jedem Workspace standardmäßig ausgeschaltet; nur der Eigentümer kann sie nach einem Hinweis auf seine Verantwortung einschalten (der Zeitpunkt wird festgehalten). Ein Kunde kann dann einzelne Kontakte seiner Watchlist beobachten lassen: wöchentlich oder täglich liest ListPlus das öffentliche LinkedIn-Profil der Person (über HarvestAPI) und prüft, ob sich Position oder Arbeitgeber geändert haben oder neue Beiträge erschienen sind; ein KI-Modell ordnet dabei die Art der Position ein. Ereignisse werden im Workspace des Kunden gespeichert und können an eine Pipeline des Kunden weitergegeben werden. Das ist eine wiederkehrende Beobachtung bestimmter Personen; sie findet nur auf ausdrückliche Einrichtung durch den Kunden statt, der Kunde ist dafür Verantwortlicher, und der Eigentümer eines Workspace kann sie abschalten. Wer der Beobachtung widerspricht (Abschnitt „Ihre Rechte“), wird nicht mehr abgerufen.

Outlook-Add-in

Nutzt ein Kunde das Outlook-Add-in, übermittelt es Name und E-Mail-Adresse des jeweils geöffneten Korrespondenten an ListPlus, das dazu wie bei einer Anreicherung Daten abruft und sie in einer Liste „Outlook-Kontakte“ des Workspace speichert, bis der Kunde sie löscht.

Speicherdauer

Ergebnisse, die in eine Liste eines Kunden übernommen werden, werden gespeichert, bis der Kunde sie löscht (Abschnitt 11). Abfrageergebnisse zu Personen werden nur im Workspace des jeweiligen Kunden zur Vermeidung doppelter Abfragen zwischengespeichert: 30 Tage ab dem letzten Abruf des Workspace. Unternehmensdaten zu einer Domain (Name, Branche, Größe, Standort, Website, Technologien, Finanzierung, Anschrift und Telefon des Hauptsitzes – keine Angaben zu Personen) halten wir in einem kundenübergreifenden Unternehmens-Cache für 30 Tage ab dem Abruf; ein Workspace kann das Beitragen zu diesem Cache abschalten.

Ihre Rechte

Sie haben die in Abschnitt 18 genannten Rechte, insbesondere das Recht, der Verarbeitung Ihrer Daten jederzeit zu widersprechen. Wenden Sie sich dazu an support@listplus.ai. Soweit ein Kunde Ihre Daten in eigenen Listen verarbeitet oder Sie kontaktiert, ist dieser Kunde Verantwortlicher; Ihr Widerspruch gegen Direktwerbung richtet sich dann an ihn. Eine kurze, an Sie gerichtete Fassung dieser Informationen steht unter listplus.ai/de/contact-data-notice. Ein Widerspruch wird in eine Sperrliste eingetragen, die für alle Kunden gilt: Ihre Daten werden über ListPlus dann nicht mehr abgerufen.

14. E-Mail-Empfang und -Versand (Postmark)

Nutzer können E-Mails an eine persönliche Adresse unter @in.listplus.ai weiterleiten, damit ListPlus darin Kontaktdaten erkennt (z. B. aus Signaturen, vCards oder Kalendereinladungen). Der Empfang dieser E-Mails erfolgt über den Dienst Postmark (ActiveCampaign, LLC, vormals Wildbit, USA). Postmark nimmt die E-Mail entgegen und übergibt uns ihren Inhalt als strukturierte Daten (JSON). Verarbeitet werden Absender, Empfänger, Betreff, Text und unterstützte Anhänge der weitergeleiteten E-Mail; darin enthaltene Daten Dritter verarbeiten wir als Auftragsverarbeiter des Nutzers (Abschnitt 11). Zur Erkennung der Kontakte wird der Inhalt an KI-Anbieter übermittelt (Abschnitt 12).

Über denselben Dienst versenden wir von notifications@listplus.ai Workspace-Einladungen (Adresse des Eingeladenen, Name des Einladenden, Name des Workspace) und, wenn ein Kunde eine Pipeline mit dem Ziel „E-Mail“ einrichtet, Digest-Mails an Mitglieder des Workspace mit Name, Position und Firma jedes Eintrags samt Link zur Kontaktkarte (die Links gelten 30 Tage). Anmelde-Codes versendet der Anmeldedienst (Abschnitt 6), nicht Postmark. Der Eigentümer eines Workspace kann die Eingangsadresse und die Pipeline-E-Mails abschalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vom Nutzer genutzten Funktion). Drittlandübermittlung: Die Übermittlung an Postmark in die USA stützen wir auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). [PRÜFEN: Auftragsverarbeitungsvertrag mit Postmark noch abzuschließen.] Speicherdauer: Postmark speichert Nachrichten standardmäßig 45 Tage [PRÜFEN: geplante Verkürzung dieser Frist]. Einträge im Eingang werden bei uns 14 Tage nach Eingang automatisch gelöscht; Kontakte, die der Nutzer speichert oder in eine Liste übernimmt, bleiben erhalten.

14a. Listen-Webhooks und Formulare

Ein Kunde kann je Liste einen Webhook (Adresse unter listplus.ai/i/…) einrichten, an den andere Systeme Datensätze senden, und ein Formular (listplus.ai/f/…) veröffentlichen, das Besucher seiner Website ausfüllen. Die so eingehenden Daten verarbeiten wir als Auftragsverarbeiter des Kunden (Abschnitt 11); er ist gegenüber den Betroffenen Verantwortlicher und sorgt für deren Information. Datensätze laufen durch die Warteschlangen unseres Hosting-Anbieters; unbekannte Feldnamen und auf Wunsch eine Spam-Prüfung gehen an KI-Modelle (Abschnitt 12); zweifelhafte Datensätze können im Eingang des Kunden zurückgehalten werden.

Beim Formular speichern wir je Einsendung die Seite, in die es eingebettet ist, bei einem Zustimmungshäkchen die Zustimmung mit Zeitpunkt, und für zwei Minuten einen gekürzten Hashwert der IP-Adresse des Besuchers, um Massen-Einsendungen zu begrenzen; Schriften liefern wir selbst aus, es werden keine Inhalte Dritter geladen. Der Zustimmungstext des Formulars ist ein Vorschlag an den Kunden, keine Rechtsberatung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Kunden; für die Missbrauchsbegrenzung Art. 6 Abs. 1 lit. f DSGVO.

15. Empfänger und Unterauftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies für die genannten Zwecke erforderlich ist. Innerhalb unseres Unternehmens erhalten nur Personen Zugriff, die ihn für ihre Aufgaben benötigen. Folgende Dienstleister setzen wir ein:

Teil A: Unterauftragsverarbeiter

Teil B: Datenanbieter und Quellen

Diese Anbieter erhalten bei einem Abruf nur den Suchschlüssel (z. B. E-Mail-Adresse, Domain, LinkedIn-URL, Name und Firma oder Suchfilter), nie die übrige Liste. Sie sind für ihre eigenen Datenbestände selbst Verantwortliche; ListPlus ist das Werkzeug, mit dem der Kunde sie abfragt. Ob sie für den Suchschlüssel als Unterauftragsverarbeiter oder als eigenständige Empfänger einzuordnen sind, wird anwaltlich geklärt.

Teil C: Vom Kunden gewählte Empfänger

Systeme, an die der Kunde Daten übermittelt, weil er sie selbst verbindet oder benennt. Für diese Übermittlung ist der Kunde Verantwortlicher; wir nennen sie der Vollständigkeit halber.

Mit Dienstleistern, die in unserem Auftrag tätig sind, haben wir Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen bzw. schließen diese ab. [PRÜFEN: Vollständigkeit der Verträge.] Die jeweils aktuelle Liste mit Sitz, Datenstandort und Garantie steht unter listplus.ai/de/subprocessors; sie ist zugleich Anlage 3 unseres Auftragsverarbeitungsvertrags. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Behörden oder Steuerberater im Rahmen gesetzlicher Pflichten).

16. Übermittlung in Drittländer

Einige der genannten Dienstleister haben ihren Sitz außerhalb der EU bzw. des EWR, insbesondere in den USA, oder greifen auf Unterauftragnehmer dort zurück. Wir hosten die Anwendung in der EU-Region Frankfurt, können aber nicht ausschließen, dass Daten in Drittländer übermittelt werden. Übermittlungen erfolgen nur, wenn ein Angemessenheitsbeschluss der EU-Kommission besteht (z. B. für nach dem EU-U.S. Data Privacy Framework zertifizierte Unternehmen, Art. 45 DSGVO) oder geeignete Garantien vorliegen, insbesondere EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien können Sie unter support@listplus.ai anfordern.

17. Speicherdauer im Überblick

Wir haben keine Funktion zur Wiederherstellung gelöschter Daten. Technische Sicherungskopien unseres Hosting-Anbieters werden nach dessen Fristen überschrieben [PRÜFEN: Backup-Fristen].

18. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO), einschließlich verfügbarer Informationen über die Herkunft der Daten
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Werden Ihre Daten für Direktwerbung verarbeitet, können Sie jederzeit ohne Angabe von Gründen widersprechen; die Daten werden dann nicht mehr für diesen Zweck verarbeitet.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an support@listplus.ai. Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

19. Pflicht zur Bereitstellung

Die Bereitstellung Ihrer E-Mail-Adresse ist für die Registrierung erforderlich; ohne sie können wir kein Konto einrichten. Zahlungsdaten sind für den Abschluss eines kostenpflichtigen Tarifs oder den Kauf von Credits erforderlich. Im Übrigen sind Sie nicht verpflichtet, uns Daten bereitzustellen.

20. Datensicherheit

Jede Übertragung – zwischen Ihrem Browser und uns, zwischen unseren Servern und der Datenbank sowie zu allen Dienstleistern – erfolgt verschlüsselt (TLS). Dateien werden bei unserem Hosting-Anbieter verschlüsselt gespeichert [PRÜFEN: Verschlüsselung im Ruhezustand bei Redis Cloud]. API- und KI-Schlüssel werden ausschließlich serverseitig verwendet; Zugangsschlüssel, die Kunden für eigene Ziele hinterlegen, speichern wir verschlüsselt. Zugriffe auf Listen erfordern eine Anmeldung und sind auf die Mitglieder des jeweiligen Workspace beschränkt. ListPlus selbst hält keine eigene Sicherheitszertifizierung; unser Hosting-Anbieter Vercel ist u. a. nach ISO 27001:2022 zertifiziert und verfügt über einen SOC-2-Type-2-Bericht.

21. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.