Unsere Position zum Datenschutz

1. Werkzeug, nicht Datenbestand

ListPlus sammelt keine Personen und verkauft keine Daten. Jede Suche, Anreicherung oder Recherche findet statt, weil ein Kunde sie in seinem Workspace auslöst, und ihr Ergebnis gehört nur diesem Workspace. Zwischen Kunden wird nichts zu Personen geteilt; kundenübergreifend halten wir nur Firmendaten ohne Personenbezug, 30 Tage. Ohne Konto kann niemand bei ListPlus nach Personen suchen.

Deshalb sehen wir uns als Auftragsverarbeiter des Kunden (Art. 28 DSGVO): Der Kunde entscheidet, ob, über wen und wozu Daten abgerufen werden; wir stellen die Werkzeuge. Die Datenanbieter, bei denen wir im Auftrag des Kunden abfragen, sind für ihre Datenbestände selbst verantwortlich und erhalten nur den Suchschlüssel. Ob sie für diesen Suchschlüssel als Unterauftragsverarbeiter oder als eigenständige Empfänger einzuordnen sind, lassen wir anwaltlich klären; bis dahin behandeln wir sie wie Unterauftragsverarbeiter (Information, Widerspruchsrecht).

2. Der Kunde steuert, serverseitig

Der Eigentümer eines Workspace schaltet in den Workspace-Richtlinien ab, was sein Datenschutzbeauftragter nicht will: einzelne Datenanbieter, KI-Funktionen, verbundene Systeme, die Eingangsadresse, die Agent-API, Pipeline-E-Mails, den Support-Chat, Nutzungsereignisse, das Beitragen zum Firmen-Cache. Aus heißt: Kein Mitglied und kein angebundenes KI-System kann die Funktion nutzen, und an den jeweiligen Anbieter gehen keine Daten — geprüft auf dem Server, nicht nur in der Oberfläche ausgeblendet.

Zwei Funktionen behandeln wir besonders. Die Beobachtung von Personen (Watchlist-Alerts) ist in jedem Workspace ausgeschaltet, bis der Eigentümer sie nach einem Hinweis auf seine Verantwortung einschaltet; wer wann eingeschaltet hat, wird festgehalten. Die Bewertung von Recherche-Treffern (Fit-Score: wie gut ein Treffer zur Suchbeschreibung passt) ist an, lässt sich aber abschalten; dann wird niemand bewertet.

Die Richtlinie lässt sich als Textdatei exportieren, und das Datenschutz-Paket (Richtlinie, AVV mit Anlagen, Anbieterliste, Betroffenen-Hinweis, Datenschutzerklärung) als eine Datei öffnen, drucken oder als 30-Tage-Link weitergeben.

3. Transparenz: eine Liste, alle Namen

Alle Dienstleister, Datenanbieter und Quellen stehen mit Sitz, übermittelten Daten und Drittlandgarantie in einer Liste (listplus.ai/de/subprocessors), die zugleich Anlage 3 des AVV und der Empfängerabschnitt der Datenschutzerklärung ist — aus einer Quelle erzeugt, damit es keine zwei Fassungen gibt. Wir nennen auch, was unbequem ist: dass öffentliche Quellen wie LinkedIn, Crunchbase, Reddit oder X von Scrapern einer Datenerhebungsplattform gelesen werden, dass einige Dienstleister in den USA sitzen, und was bei einem Dienstleister noch zu bestätigen ist (als [PRÜFEN] markiert).

4. Die Personen in den Daten

Wer über ListPlus gefunden oder ergänzt wurde, findet unter listplus.ai/de/contact-data-notice eine an ihn gerichtete Erklärung: was ListPlus ist, woher die Daten kommen, wer sie bekommt, welche Rechte er hat. Ein Widerspruch an support@listplus.ai landet als Prüfsumme in einer Sperrliste, die für alle Kunden gilt: Die Person wird über ListPlus nicht mehr abgerufen, nicht als Treffer aufgenommen und nicht beobachtet. Eine Grenze benennen wir: Bei einer Suche nur mit Name und Firma kennen wir E-Mail-Adresse und Profil erst, wenn der Anbieter antwortet; das Ergebnis speichern wir dann nicht.

5. KI

KI-Modelle laufen nur auf unseren Servern, nie im Browser. An OpenAI gehen Anfragen mit der Einstellung „nicht speichern“ und laut Anbieter ohne Nutzung zum Training; das Bewertungsmodell arbeitet ohne Speicherung beim Anbieter. Welche Daten eine Funktion sendet, steht in der Datenschutzerklärung (Abschnitt 12), auch dort, wo es ganze Texte sind. Keine KI-Ausgabe entscheidet etwas mit rechtlicher Wirkung; alles sind Vorschläge, die der Nutzer prüft.

6. Was wir bewusst nicht tun

• Keine eigene Datenbank mit Personen, kein Data-Broker-Modell — auch nicht für Märkte, in denen es erlaubt wäre.
• Keine Weitergabe von Personendaten zwischen Kunden.
• Keine Beobachtung von Personen ohne ausdrückliche Freischaltung durch den Kunden.
• Keine Personensuche ohne Konto.
• Keine Nutzung von Kundendaten zum Training von Modellen, weder durch uns noch durch unsere KI-Anbieter.
• Kein regionaler „Nicht-EU-Modus“: Als deutsche GmbH wenden wir die DSGVO auf alle an, unabhängig vom Sitz des Kunden oder der Person.

7. Was noch offen ist

Wir schreiben auch auf, was nicht fertig ist. Die Rechtstexte werden anwaltlich geprüft (Entwurfs-Hinweis auf jeder Seite). Mit einigen Dienstleistern sind Verträge oder Sitzangaben noch zu bestätigen (in der Anbieterliste markiert). Ob für uns ein Datenschutzbeauftragter zu bestellen ist, klären wir mit dem Anwalt; die Funktionen, die diese Pflicht am ehesten auslösen (Beobachtung, Bewertung, Suche ohne Konto), haben wir auf Weisung des Kunden gestellt oder abgeschaltet. Der Dienst Pipedream, über den Verbindungen zu CRM-Systemen laufen, wird ersetzt. Fragen dazu beantworten wir unter support@listplus.ai.