Datenschutzerklärung

1. Verantwortlicher

airrange software GmbH Sperberweg 7 82152 Krailling Deutschland Telefon: +49 (0)89 28741023 E-Mail: support@listplus.ai Handelsregister: Amtsgericht München, HRB 271683 Geschäftsführer: Stephan Methner

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter support@listplus.ai.

2. Datenschutzbeauftragter

[PRÜFEN: Ob ein Datenschutzbeauftragter zu benennen ist, wird derzeit geprüft. Nach Benennung werden hier dessen Kontaktdaten angegeben.] Bis dahin richten Sie Datenschutzanfragen bitte an support@listplus.ai.

3. Überblick: In welcher Rolle wir Ihre Daten verarbeiten

Je nachdem, in welcher Beziehung Sie zu ListPlus stehen, verarbeiten wir Ihre Daten in unterschiedlichen Rollen:

• Besucher der Website (listplus.ai): Wir sind Verantwortlicher für die beim Aufruf der Website anfallenden Daten (Abschnitte 4 und 5).
• Nutzer der Anwendung (Kunden und deren Mitarbeitende mit eigenem Konto): Wir sind Verantwortlicher für Konto-, Vertrags-, Abrechnungs-, Nutzungs- und Supportdaten (Abschnitte 6 bis 10).
• Personen in Kundenlisten: Daten, die Kunden in ListPlus hochladen, importieren, anlegen, anreichern oder an den Eingang weiterleiten, verarbeiten wir im Auftrag des jeweiligen Kunden als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher ist der Kunde (Abschnitt 11).
• Personen, deren geschäftliche Kontaktdaten über ListPlus abgerufen werden: Wenn Kunden über ListPlus Kontakt- oder Unternehmensdaten bei Datenanbietern abrufen, informieren wir Sie in Abschnitt 13 nach Art. 14 DSGVO über die Quellen und die Verarbeitung.
• Besucher, die die Anwendung ohne Konto ausprobieren (Gastzugang): Für Suchen im Gastzugang sind wir selbst Verantwortlicher (Abschnitt 13).

4. Aufruf der Website und Hosting

Website und Anwendung werden bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet; Server und Dateispeicher befinden sich in der EU-Region Frankfurt am Main. Beim Aufruf einer Seite verarbeitet Vercel technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browser- und Betriebssysteminformationen sowie Statuscodes (Server-Logfiles).

Zweck: Auslieferung der Website, Stabilität, Sicherheit und Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Angebot). Speicherdauer: Server-Logfiles werden nach [PLATZHALTER: Aufbewahrungsdauer der Vercel-Logs, z. B. X Tage] gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.

Obwohl Server und Dateispeicher in der EU liegen, können Daten auch bei Vercel selbst in die USA übermittelt werden, da Vercel ein US-Unternehmen ist und auf Unterauftragnehmer zurückgreift. Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert; darüber hinaus haben wir mit Vercel einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln geschlossen (siehe Abschnitte 15 und 16).

5. Cookies, lokale Speicherung und Reichweitenmessung

Wir setzen keine Werbe- oder Tracking-Cookies und keine Cookies von Werbenetzwerken oder sozialen Netzwerken ein. Wir verwenden die folgenden Cookies und Einträge im lokalen Speicher Ihres Browsers (localStorage):

Rechtsgrundlage: Das Speichern und Auslesen dieser Informationen auf Ihrem Endgerät erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG, soweit es unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (Anmeldung, Spracheinstellung, Einstellungen der Anwendung, Support-Chat). Das Chat-Widget wird erst geladen, wenn Sie auf den Chat-Button klicken. Die anschließende Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) bzw. Art. 6 Abs. 1 lit. f DSGVO. [PRÜFEN: Einordnung von lp-first-views/lp-signup-tracked unter § 25 TDDDG.]

Vercel Web Analytics und Speed Insights

Zur Reichweitenmessung und zur Messung der Ladegeschwindigkeit nutzen wir Vercel Web Analytics und Vercel Speed Insights. Diese Dienste arbeiten ohne Cookies und ohne geräteübergreifende Profile. Erfasst werden aufgerufene Seiten, Referrer, ungefährer Standort auf Länderebene, Gerätetyp, Browser und Betriebssystem sowie Ladezeiten; zur Unterscheidung von Besuchen wird ein aus Anfragedaten gebildeter Hashwert verwendet, der täglich verworfen wird. In der Anwendung werden zusätzlich zusammengefasste Nutzungsereignisse gezählt (z. B. erster Aufruf einer Ansicht, Registrierung, Liste angelegt, Anreicherung gestartet, Tarif abgeschlossen), ohne Nutzer-ID, E-Mail-Adresse oder Listeninhalte.

Zweck: Verbesserung von Website und Anwendung, Fehleranalyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots). Empfänger: Vercel Inc. (siehe Abschnitt 15).

Zahlungsseiten von Stripe

Beim Abschluss eines Tarifs oder Kauf von Credits werden Sie auf eine Bezahlseite von Stripe (checkout.stripe.com bzw. das Stripe-Kundenportal) weitergeleitet. Dort gelten die Datenschutzhinweise von Stripe; Stripe setzt dort eigene, u. a. der Betrugsprävention dienende Cookies ein.

6. Registrierung, Anmeldung und Nutzerkonto

Für die Nutzung von ListPlus legen Sie ein Konto mit Ihrer E-Mail-Adresse an. Die Anmeldung erfolgt ausschließlich per E-Mail-Adresse und Einmal-Code, den wir Ihnen per E-Mail senden; wir speichern kein Passwort. Den Anmeldedienst betreibt für uns Hanko GmbH [PRÜFEN: Sitz und Hosting-Ort; laut bisheriger Datenschutzerklärung von airrange in der EU gehostet]. Wir verarbeiten E-Mail-Adresse, optional Ihren Namen, eine interne Nutzer-ID, Zeitpunkte von Registrierung und Anmeldung sowie technische Sitzungsdaten.

Zweck: Einrichtung und Absicherung Ihres Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen). Speicherdauer: Für die Dauer des Nutzungsverhältnisses; nach Löschung des Kontos werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Bereitstellung der Anwendung und Vertragsabwicklung

Wenn Sie ListPlus nutzen, verarbeiten wir Ihre Kontodaten, Ihren Tarif, Ihr Credit-Guthaben und die Buchungen darauf (Käufe, Verbrauch je Aktion, Gutschriften), Einstellungen, von Ihnen erstellte Listen, Ordner, gemerkte Kontakte, API-Verbindungen und deren Ausführungsprotokolle sowie technische Protokolle zur Fehleranalyse und Missbrauchserkennung.

Zweck: Erbringung der vertraglichen Leistungen, Abrechnung von Credits, Sicherheit und Missbrauchsabwehr (z. B. Begrenzung von Anfragen). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Sicherheit und Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO.

Für einen schnellen Arbeitsspeicher nutzen wir Redis Cloud (Redis Ltd.), gehostet in der Region Frankfurt (AWS eu-central-1). Für Live-Statusmeldungen im Browser (z. B. „Import abgeschlossen“) nutzen wir den Echtzeitdienst Pusher (Pusher Ltd.) [PRÜFEN: Sitz/Cluster]; übertragen werden Ereignis- und Statusinformationen zu Ihren Vorgängen.

Über Arbeitsabläufe (Webhooks) beim Dienst Pipedream, Inc. (USA) erhalten wir interne Benachrichtigungen über Ereignisse in unserem Dienst: Registrierung, Anmeldung, Abmeldung und Löschung eines Kontos (Nutzer-ID, E-Mail-Adresse, Anmeldeweg), angelegte Listen (Listen-ID, Nutzer-ID, Listenname, Importart und Zeilenanzahl, keine Listeninhalte) sowie Ereignisse unseres Zahlungsdienstleisters Stripe. Pipedream erhält diese Benachrichtigungen; gespeichert wird daraus nur Ihre E-Mail-Adresse, wie folgt:

• Bei der Registrierung legt ein Pipedream-Arbeitsablauf Ihre E-Mail-Adresse in unserem CRM-System Attio an und erstellt einen Nutzer-Datensatz in einer Datenbank bei Amazon Web Services (AWS DynamoDB), Region Frankfurt (EU). Weitere Daten werden dort nicht gespeichert. Das CRM-System versendet eine Willkommens-E-Mail.
• Bei einem Kauf ruft Stripe eine Schnittstelle unseres Dienstes auf; diese findet den Nutzer-Datensatz anhand der E-Mail-Adresse des Zahlenden und vermerkt dort den gekauften Tarif.

Zweck: Verwaltung Ihres Kontos und Tarifs sowie Versand der Willkommens-E-Mail zum Start. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). Die Willkommens-E-Mail ist eine reine Begrüßungs- und Einstiegsnachricht zu Ihrem Konto und keine Werbung. Einen Newsletter oder Werbe-E-Mails versenden wir nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

8. Zahlungen und Rechnungen

Abonnements und Credit-Pakete werden über Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) abgewickelt. Stripe verarbeitet Name, E-Mail-Adresse, Rechnungsanschrift, ggf. USt-IdNr. und Zahlungsdaten und berechnet die Umsatzsteuer. Wir erhalten von Stripe keine vollständigen Karten- oder Kontodaten, sondern Kunden- und Zahlungsstatusinformationen sowie Rechnungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten). Speicherdauer: Rechnungs- und Buchungsbelege bewahren wir nach den gesetzlichen Fristen (§ 147 AO, § 257 HGB) auf, derzeit bis zu 10 Jahre. Stripe ist für bestimmte eigene Zwecke (z. B. Betrugsprävention, Erfüllung regulatorischer Pflichten) selbst Verantwortlicher.

9. Support per E-Mail und Chat

Wenn Sie uns per E-Mail (support@listplus.ai) oder über das Chat-Widget im Dashboard der Anwendung kontaktieren, verarbeiten wir Ihre Nachricht, Ihre Kontaktdaten und – bei angemeldeten Nutzern – Ihre Nutzer-ID, Ihren Namen und Ihre E-Mail-Adresse, damit wir Ihr Konto zuordnen können. Das Chat-Widget wird von Chatwoot Inc. [PRÜFEN: Anschrift], USA, bereitgestellt; die Daten werden auf Servern in den USA verarbeitet. Das Widget wird erst geladen, wenn Sie im Dashboard der Anwendung auf den Chat-Button klicken – vorher werden keine Daten an Chatwoot übertragen. Antworten im Chat können zunächst durch einen KI-Assistenten erfolgen, der ausschließlich auf freigegebene Hilfetexte zugreift; Sie können jederzeit eine Weiterleitung an einen Mitarbeiter verlangen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage den Vertrag betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Speicherdauer: Bis die Anfrage abschließend bearbeitet ist, danach [PLATZHALTER: z. B. 24 Monate] zur Nachvollziehbarkeit, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Verbindungen zu anderen Systemen

Wenn Sie ein CRM, eine Tabelle oder ein anderes Werkzeug verbinden (z. B. HubSpot, Salesforce, Pipedrive, Google Sheets, Airtable, Notion, Lemlist, Stripe), verwaltet der Verbindungsdienst Pipedream, Inc. [PRÜFEN: Sitz, USA] die Zugangsdaten (OAuth) in unserem Auftrag; ListPlus selbst speichert diese Zugangsdaten nicht. Abrufe aus dem verbundenen System und Übertragungen dorthin laufen ganz oder teilweise über den Proxy-Dienst von Pipedream; die übertragenen Datensätze passieren dabei die Server von Pipedream. Welche Daten übertragen werden, bestimmen Sie durch Ihre Aktionen (Import oder Export). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Inhalte gilt Abschnitt 11.

11. Kundendaten: ListPlus als Auftragsverarbeiter

Personenbezogene Daten, die Kunden in ListPlus verarbeiten – etwa Listen aus Datei-Importen, Imports aus LinkedIn oder verbundenen Systemen, Anreicherungsergebnisse, gemerkte Kontakte und Eingangs-Einträge – verarbeiten wir im Auftrag und nach Weisung des Kunden (Art. 28 DSGVO). Verantwortlicher für diese Daten und für deren Nutzung, z. B. für Vertriebsansprache, ist der Kunde. Betroffene Personen wenden sich mit ihren Anliegen bitte an das jeweilige Unternehmen, das ihre Daten verwendet; erreicht uns eine solche Anfrage, leiten wir sie – soweit möglich – an den Kunden weiter.

Es gilt der Auftragsverarbeitungsvertrag (AVV) unter listplus.ai/dpa, der für Kunden aller Tarife Bestandteil des Nutzungsvertrags ist. Eine unterzeichnete Fassung erhalten Sie auf Anfrage unter support@listplus.ai.

Speicherdauer: Listen werden gespeichert, bis der Kunde sie löscht; eine Löschung ist sofort und endgültig. Einige Bereiche sind bewusst zeitlich begrenzt: Einträge im Eingang werden 14 Tage nach Eingang gelöscht, geteilte Ergebnis-Links sind 7 Tage nach dem letzten Aufruf nicht mehr abrufbar, im Hintergrund ausgeführte KI-Recherchen werden 7 Tage nach dem Start gelöscht, nur angesehene (nicht gespeicherte oder angereicherte) Profile unter „Zuletzt angesehen“ entfallen nach 30 Tagen ohne weitere Aktivität, und der Verlauf einer Pipeline (an ein vom Kunden gewähltes Ziel gesendete Datensätze samt Antwort des Ziels) wird 30 Tage nach dem Versand gelöscht. Bei Löschung des Kontos (auf Anfrage an support@listplus.ai) löschen wir Konto, Listen und gemerkte Kontakte.

12. KI-Verarbeitung

ListPlus nutzt KI-Modelle, um Befehle zu verstehen, Daten zu prüfen, KI-Spalten zu füllen, Spalten beim Import zu erkennen, Eingangs-Einträge zu erkennen und Recherchen durchzuführen. Die Verarbeitung findet ausschließlich auf unseren Servern statt; an den KI-Anbieter wird jeweils nur der für die Aufgabe nötige Ausschnitt übermittelt:

• Befehle und Fragen: Ihr Text, Spaltennamen und -typen, Zeilenanzahl und Namen von Teillisten; nur wenn ein Befehl Werte benötigt, die eindeutigen Werte der betroffenen Spalten (ohne Duplikate).
• KI-Prüfungen und KI-Spalte: nur die eindeutigen Werte bzw. Wertkombinationen der betroffenen Spalten, nie vollständige Zeilen.
• Spaltenerkennung beim Import: Spaltenüberschriften und eine Stichprobe von Beispielwerten (10 % der Datei, mindestens 50 und höchstens 200 Zeilen).
• Eingang: Um in einem längeren Eintrag Personen und Unternehmen zu erkennen, wird dessen Text an OpenAI übermittelt – bei weitergeleiteten E-Mails der E-Mail-Text und der aus unterstützten Anhängen (z. B. PDF) ausgelesene Text, gekürzt auf höchstens rund 24.000 Zeichen. Strukturierte Einträge (vCards, Kalendereinladungen, CSV- und JSON-Daten) werden ohne KI-Extraktion ausgelesen. Kurze Einträge (z. B. eine Signaturzeile) und die erkannten Kontaktangaben (Name, Position, Unternehmen, E-Mail-Adresse, Ort) werden zur Einordnung und Plausibilitätsprüfung an Groq bzw. an ein Modell über das AI Gateway von Vercel übermittelt; zur Bestätigung einer Person oder eines Unternehmens kann eine Google-Suche mit Name und Unternehmen erfolgen (Abschnitt 13).
• KI-Recherche: Ihre Suchbeschreibung bzw. die bekannten Identitätsangaben einer Person (Name, Unternehmen, Position, Ort) zur Suche in öffentlichen Webquellen.

Anbieter: OpenAI [PRÜFEN: Vertragspartner und Sitz], Groq, Inc. [PRÜFEN: Sitz, USA] sowie Modelle, die über das AI Gateway von Vercel Inc. angebunden sind. [PRÜFEN: Ausschluss der Nutzung der übermittelten Daten zum Training und Aufbewahrungsfristen bei den KI-Anbietern.] Rechtsgrundlage: Für Kundendaten handeln wir als Auftragsverarbeiter (Abschnitt 11); im Übrigen Art. 6 Abs. 1 lit. b DSGVO. Eine automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt; KI-Ergebnisse sind Vorschläge, die der Nutzer prüft und anwendet.

13. Datenanbieter und Datenanreicherung (Informationen nach Art. 14 DSGVO)

ListPlus ermöglicht Kunden, geschäftliche Kontakt- und Unternehmensdaten zu suchen, zu ergänzen und zu prüfen. Diese Daten stammen nicht von ListPlus selbst – ListPlus besitzt keine eigene Kontaktdatenbank –, sondern werden im Moment der Anfrage bei spezialisierten Datenanbietern oder aus öffentlich zugänglichen Quellen abgerufen. Wenn Ihre geschäftlichen Kontaktdaten über ListPlus abgerufen wurden, informieren wir Sie hier über die Verarbeitung.

Kategorien von Daten

Name, berufliche Position und Senioritätsstufe, Unternehmen und Unternehmensdaten (Branche, Größe, Standort, Website, Finanzierung, Technologien), geschäftliche E-Mail-Adresse und deren Zustellbarkeitsstatus, geschäftliche Telefonnummer und ggf. Mobilnummer, URL des LinkedIn-Profils, Ort sowie öffentlich sichtbare Profilangaben (z. B. Werdegang) und öffentliche Beiträge oder Reaktionen, sofern ein Kunde diese importiert.

Quellen

Die Datenanbieter sind für ihre eigenen Datenbestände selbst verantwortlich; Informationen zu deren Verarbeitung finden Sie in den Datenschutzhinweisen der jeweiligen Anbieter. Eine vollständige Liste mit Sitz und Datenstandort erhalten Sie auf Anfrage unter support@listplus.ai.

Zwecke, Empfänger und Rechtsgrundlage

Die Daten werden abgerufen, wenn ein Kunde eine konkrete Suche oder Anreicherung auslöst, und ausschließlich diesem Kunden bereitgestellt, der sie für seine eigenen geschäftlichen Zwecke (z. B. Vertrieb, Pflege von CRM-Daten) verwendet. An den Datenanbieter übermitteln wir nur den für die Abfrage nötigen Suchschlüssel (z. B. E-Mail-Adresse, Domain, LinkedIn-URL, Name und Unternehmen oder Suchfilter), nie die übrige Liste des Kunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Das berechtigte Interesse des Kunden und von ListPlus besteht darin, geschäftliche Ansprechpartner zu finden und zutreffende Geschäftsdaten zu pflegen; es beschränkt sich auf Daten im beruflichen Kontext. Personenbezogene Anreicherungsergebnisse (E-Mail-Adressen, Telefonnummern, Positionen) werden nicht zwischen Kunden geteilt. Für Abrufe, die ein Kunde auslöst, handeln wir als Auftragsverarbeiter dieses Kunden (AVV § 2). [PRÜFEN: Rollenverteilung Verantwortlicher/Auftragsverarbeiter beim Abruf von Drittdaten, siehe Anwaltsnotizen L29.]

Suche ohne Nutzerkonto (Gastzugang)

Besucher können die Personen- und Unternehmenssuche ohne Nutzerkonto ausprobieren. In diesem Fall gibt es keinen Kunden, in dessen Auftrag wir handeln; für diese Abrufe sind wir selbst Verantwortlicher. Wir rufen dabei in begrenzter Zahl pro Tag Daten bei den oben genannten Quellen ab (z. B. Google-Suche, LinkedIn-Datenanbieter, Unternehmensdaten) und zeigen dem Besucher das Ergebnis an, etwa Name, Position, Unternehmen, Profilbild und LinkedIn-Profil. Zweck ist es, Interessenten die Funktionsweise von ListPlus vor einer Registrierung zu zeigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Ergebnisse werden keinem Konto zugeordnet und nicht in Listen gespeichert; der Suchverlauf kann im Browser des Besuchers gespeichert werden (Abschnitt 5). Zur Begrenzung von Missbrauch und Kosten zählen wir Suchen je IP-Adresse und Tag; diese Zähler werden nach rund 26 Stunden automatisch gelöscht. [PRÜFEN: Interessenabwägung für die Anzeige personenbezogener Ergebnisse an nicht registrierte Besucher; Alternative: Gastzugang auf Unternehmensdaten oder anonymisierte Personentreffer beschränken. Zwischenspeicherung von Abfrageergebnissen bei Gastsuchen im Code bestätigen.]

Speicherdauer

Ergebnisse, die in eine Liste eines Kunden übernommen werden, werden gespeichert, bis der Kunde sie löscht (Abschnitt 11). Abfrageergebnisse werden im Konto des jeweiligen Kunden zur Vermeidung doppelter Abfragen 7 Tage (LinkedIn-Daten: 30 Tage) zwischengespeichert. Unternehmensdaten zu einer Domain werden in einem kundenübergreifenden Unternehmens-Cache gespeichert [PLATZHALTER: Speicherdauer des Unternehmens-Cache].

Ihre Rechte

Sie haben die in Abschnitt 18 genannten Rechte, insbesondere das Recht, der Verarbeitung Ihrer Daten jederzeit zu widersprechen. Wenden Sie sich dazu an support@listplus.ai. Soweit ein Kunde Ihre Daten in eigenen Listen verarbeitet oder Sie kontaktiert, ist dieser Kunde Verantwortlicher; Ihr Widerspruch gegen Direktwerbung richtet sich dann an ihn.

14. Eingang: E-Mail-Weiterleitung

Nutzer können E-Mails an eine persönliche Adresse unter @in.listplus.ai weiterleiten, damit ListPlus darin Kontaktdaten erkennt (z. B. aus Signaturen, vCards oder Kalendereinladungen). Der Empfang dieser E-Mails erfolgt über den Dienst Postmark (ActiveCampaign, LLC, vormals Wildbit, USA). Postmark nimmt die E-Mail entgegen und übergibt uns ihren Inhalt als strukturierte Daten (JSON). Verarbeitet werden Absender, Empfänger, Betreff, Text und unterstützte Anhänge der weitergeleiteten E-Mail; darin enthaltene Daten Dritter verarbeiten wir als Auftragsverarbeiter des Nutzers (Abschnitt 11). Zur Erkennung der Kontakte wird der Inhalt an KI-Anbieter übermittelt (Abschnitt 12).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vom Nutzer genutzten Eingangsfunktion). Drittlandübermittlung: Die Übermittlung an Postmark in die USA stützen wir auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). [PRÜFEN: Auftragsverarbeitungsvertrag mit Postmark noch abzuschließen.] Speicherdauer: Postmark speichert eingegangene Nachrichten standardmäßig 45 Tage [PRÜFEN: geplante Verkürzung dieser Frist]. Einträge im Eingang werden bei uns 14 Tage nach Eingang automatisch gelöscht; Kontakte, die der Nutzer speichert oder in eine Liste übernimmt, bleiben erhalten.

15. Empfänger und Unterauftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies für die genannten Zwecke erforderlich ist. Innerhalb unseres Unternehmens erhalten nur Personen Zugriff, die ihn für ihre Aufgaben benötigen. Folgende Dienstleister setzen wir ein:

Mit Dienstleistern, die in unserem Auftrag tätig sind, haben wir Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen bzw. schließen diese ab. [PRÜFEN: Vollständigkeit der Verträge.] Eine vollständige, aktuelle Liste mit Sitz und Datenstandort erhalten Sie auf Anfrage unter support@listplus.ai. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Behörden oder Steuerberater im Rahmen gesetzlicher Pflichten).

16. Übermittlung in Drittländer

Einige der genannten Dienstleister haben ihren Sitz außerhalb der EU bzw. des EWR, insbesondere in den USA, oder greifen auf Unterauftragnehmer dort zurück. Wir hosten die Anwendung in der EU-Region Frankfurt, können aber nicht ausschließen, dass Daten in Drittländer übermittelt werden. Übermittlungen erfolgen nur, wenn ein Angemessenheitsbeschluss der EU-Kommission besteht (z. B. für nach dem EU-U.S. Data Privacy Framework zertifizierte Unternehmen, Art. 45 DSGVO) oder geeignete Garantien vorliegen, insbesondere EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien können Sie unter support@listplus.ai anfordern.

17. Speicherdauer im Überblick

Wir haben keine Funktion zur Wiederherstellung gelöschter Daten. Technische Sicherungskopien unseres Hosting-Anbieters werden nach dessen Fristen überschrieben [PRÜFEN: Backup-Fristen].

18. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO), einschließlich verfügbarer Informationen über die Herkunft der Daten
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Werden Ihre Daten für Direktwerbung verarbeitet, können Sie jederzeit ohne Angabe von Gründen widersprechen; die Daten werden dann nicht mehr für diesen Zweck verarbeitet.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an support@listplus.ai. Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

19. Pflicht zur Bereitstellung

Die Bereitstellung Ihrer E-Mail-Adresse ist für die Registrierung erforderlich; ohne sie können wir kein Konto einrichten. Zahlungsdaten sind für den Abschluss eines kostenpflichtigen Tarifs oder den Kauf von Credits erforderlich. Im Übrigen sind Sie nicht verpflichtet, uns Daten bereitzustellen.

20. Datensicherheit

Die Übertragung erfolgt verschlüsselt (TLS). Daten werden bei unserem Hosting-Anbieter verschlüsselt gespeichert. API- und KI-Schlüssel werden ausschließlich serverseitig verwendet. Zugriffe auf Listen erfordern eine Anmeldung und sind auf das jeweilige Konto bzw. freigegebene Personen beschränkt. ListPlus selbst hält keine eigene Sicherheitszertifizierung; unser Hosting-Anbieter Vercel ist u. a. nach ISO 27001:2022 zertifiziert und verfügt über einen SOC-2-Type-2-Bericht.

21. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.