Datenschutzerklärung

Verantwortlich für die in dieser Erklärung beschriebenen eigenen Verarbeitungen ist die Craftbase GmbH, Schorndorfer Straße 137, 71638 Ludwigsburg, Deutschland, vertreten durch den Geschäftsführer Kim Dominik Hintz.

Datenschutzanfragen und Anliegen zu Ihren Rechten können Sie an support@craftbase.de richten. Die allgemeine Supportadresse dient auch als Kontakt für Datenschutzanfragen.

Diese Erklärung betrifft die Website craftbase.de, die Kontaktaufnahme und die eigenen Verarbeitungen im Zusammenhang mit der Anwendung unter app.craftbase.de sowie den mobilen Craftbase-Anwendungen. Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen.

Craftbase handelt als Verantwortlicher, wenn es eigene Zwecke und Mittel festlegt, etwa für Interessentenkommunikation, Vertragsverwaltung, Abrechnung und die dafür erforderlichen Sicherheitsmaßnahmen.

Für betriebliche Inhalte, die ein Kunde in Craftbase verwaltet, bestimmt grundsätzlich der Kunde die Zwecke der Verarbeitung. Craftbase handelt insoweit als Auftragsverarbeiter nach Art. 28 DSGVO. Verarbeitet der Kunde Daten selbst im Auftrag eines Dritten, kann Craftbase als weiterer Auftragsverarbeiter handeln. Die AVV einschließlich Anlagen regelt diese Verarbeitung, Weisungen, Unterstützung und Unterauftragsverarbeiter.

Diese Erklärung ersetzt nicht die Datenschutzinformation, die ein Kunde gegenüber seinen Beschäftigten, Auftraggebern oder anderen betroffenen Personen bereitstellen muss.

Soweit Sie selbst Vertragspartei sind oder auf Ihren Wunsch vorvertragliche Maßnahmen erfolgen, ist Art. 6 Abs. 1 lit. b DSGVO die Grundlage für erforderliche Verarbeitungen. Sind Sie Ansprechpartner eines Unternehmens, erfolgt die geschäftliche Kommunikation regelmäßig nach Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Anbahnung und Durchführung der Geschäftsbeziehung mit diesem Unternehmen.

Gesetzlich vorgeschriebene Verarbeitungen beruhen auf Art. 6 Abs. 1 lit. c DSGVO. Eine freiwillige Einwilligung ist Grundlage nach Art. 6 Abs. 1 lit. a DSGVO. Bei berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO werden die Interessen und Rechte der betroffenen Personen berücksichtigt.

Daten stammen insbesondere aus Ihren Eingaben, Nachrichten, Vertrags- und Zahlungsvorgängen oder technischen Zugriffen. Geschäftliche Kontaktdaten können auch von Ihrem Unternehmen, einem berechtigten Ansprechpartner oder aus der von Ihnen veranlassten Terminbuchung übermittelt werden.

Für eine Anfrage, Registrierung oder Vertragsabwicklung erforderliche Angaben ergeben sich aus dem jeweiligen Vorgang. Ohne diese Daten kann die betreffende Leistung gegebenenfalls nicht erbracht werden. Freiwillige Angaben und die Einwilligung in Werbung oder optionale Analyse sind keine Voraussetzung für die allgemeine Kontaktaufnahme.

Beim Aufruf der Website werden technisch erforderliche Verbindungs- und Zugriffsdaten verarbeitet. Dazu können IP-Adresse, Zeitpunkt, angeforderte Adresse oder Datei, HTTP-Methode und Status, übertragene Datenmenge, Referrer sowie Browser-, Geräte- und Betriebssystemangaben gehören.

Diese Verarbeitung ermöglicht die Auslieferung, die Stabilität, die Abwehr von Missbrauch und die Untersuchung technischer Fehler. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist der sichere und zuverlässige Betrieb der Website. Empfänger sind die mit Hosting und technischer Betriebsunterstützung betrauten Dienstleister.

Zugriffsdaten werden nur für den jeweils erforderlichen Betriebs- und Sicherheitszweck aufbewahrt. Für die Untersuchung eines konkreten Vorfalls erforderliche Daten können zweckgebunden gesondert gesichert werden; anschließend entfällt diese Aufbewahrung, sofern keine weitere rechtliche Grundlage besteht.

Craftbase nutzt Google Cloud und Firebase für den technischen Betrieb. Dazu gehören Firebase Hosting, Firebase App Hosting, Cloud Run, Firebase Auth und Firebase Data Connect. Google ist Empfänger der für den jeweiligen Dienst erforderlichen Daten und wird für Auftragsdaten nach Maßgabe der AVV als Unterauftragsverarbeiter einbezogen.

Deutschland, insbesondere Frankfurt, ist der maßgebliche Datenstandort für entsprechend regional konfigurierte Kerndaten. Diese Angabe gilt nicht pauschal für alle Dienste: Hosting-Auslieferung, Authentifizierung, Support, technische Metadaten und weitere Unterauftragsverarbeitung können andere Standorte betreffen.

Bei Kontaktaufnahme per E-Mail, Telefon oder Formular verarbeitet Craftbase Name, geschäftliche Kontaktdaten, Unternehmensangaben, Nachrichten und die für die Bearbeitung erforderlichen Kommunikationsdaten. Bei Supportanfragen können zusätzlich technische Angaben und von Ihnen zur Fehlerbeschreibung übermittelte Inhalte erforderlich sein.

Zweck sind die Bearbeitung Ihrer Anfrage, Beratung, Unterstützung und die nachvollziehbare Kommunikation. Für eigene Vertragsanfragen gilt Art. 6 Abs. 1 lit. b DSGVO; für Unternehmensansprechpartner und sonstige Anfragen regelmäßig Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse an einer sachgerechten Geschäfts- und Supportkommunikation.

Empfänger sind zuständige Craftbase-Mitarbeitende sowie die für Kommunikation und Kundenverwaltung eingesetzten Dienstleister. Anlassbezogene Zugriffe auf Auftragsdaten erfolgen nur im erforderlichen, autorisierten Umfang und nach der AVV. Bitte übermitteln Sie keine Zugangspasswörter oder nicht benötigten sensiblen Daten.

Anfragedaten werden für die Bearbeitung und erforderliche Nachbereitung gespeichert. Eine weitere Aufbewahrung erfolgt nur für einen konkreten Vertrags-, Nachweis- oder gesetzlichen Zweck; andernfalls werden sie gelöscht.

Craftbase verwendet HubSpot für die Verwaltung von Interessenten- und Kundenbeziehungen. Der vorgesehene Funktionsumfang umfasst CRM, Formulare und E-Mail-Kommunikation. Die Datenverarbeitung richtet sich nach dem von Ihnen genutzten Kontaktweg und den dafür aktivierten Funktionen; eine CRM-Erfassung ist nicht automatisch eine Anmeldung zu Marketing-E-Mails.

HubSpot erhält die für diese Funktionen erforderlichen Kontakt- und Kommunikationsdaten. Eine Einbindung von Formularen kann außerdem technische Verbindungsdaten auslösen. Optionales Website-Tracking oder eine individuelle Auswertung von E-Mail-Öffnungen und Klicks ist von der bloßen Bearbeitung einer Nachricht zu unterscheiden und benötigt eine gesonderte rechtliche Grundlage.

Soweit Sie Newsletter oder automatisierte Marketing-E-Mails bestellen, verarbeitet Craftbase Ihre Kontaktdaten, die gewünschte Kommunikation und erforderliche Einwilligungsnachweise für den Versand über HubSpot. Einwilligungsbasierter Versand beruht auf Art. 6 Abs. 1 lit. a DSGVO. Eine Anfrage oder Registrierung allein ist keine pauschale Werbeeinwilligung.

Werbung für eigene ähnliche Leistungen an Bestandskunden ohne gesonderte Einwilligung kommt nur in Betracht, wenn sämtliche Voraussetzungen des § 7 Abs. 3 UWG vorliegen. Die datenschutzrechtliche Grundlage ist dann Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in dieser begrenzten Bestandskundenwerbung.

Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen und Direktwerbung widersprechen, insbesondere über die in der Nachricht angebotene Abmeldemöglichkeit oder per E-Mail an support@craftbase.de. Der Widerspruch gegen Direktwerbung nach Art. 21 Abs. 2 und 3 DSGVO ist ohne Begründung möglich.

Nach der Abmeldung endet die betreffende werbliche Nutzung. Einwilligungsnachweise und ein erforderlicher Sperrvermerk können zweckgebunden erhalten bleiben, um Nachweispflichten zu erfüllen und unerwünschte erneute Zusendungen zu verhindern. Ein individuelles Öffnungs- oder Klicktracking darf nur mit der dafür erforderlichen rechtlichen Grundlage erfolgen; eine Versand-Einwilligung umfasst es nicht automatisch.

Die Demo-Schaltflächen auf der Website öffnen derzeit die externe Website cal.com. Der Buchungsdienst ist nicht eingebettet. Erst beim Öffnen des externen Angebots entstehen die dortigen Verbindungen; dessen Datenschutzinformationen erläutern die Verarbeitung durch den Betreiber.

Soweit Craftbase Buchungsdaten erhält, werden Name, Unternehmens- und Kontaktdaten, Termin und von Ihnen mitgeteilte Anliegen für die Vorbereitung, Durchführung und Nachbereitung des gewünschten Gesprächs verarbeitet. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei eigenen vorvertraglichen Maßnahmen oder Art. 6 Abs. 1 lit. f DSGVO bei Unternehmensansprechpartnern.

Terminbezogene Daten werden für die Durchführung und erforderliche Nachbereitung aufbewahrt. Bei anschließender Geschäftsbeziehung gelten deren Aufbewahrungskriterien; ohne weiteren Zweck werden sie gelöscht. Eine Terminbuchung allein erlaubt weder Newsletterversand noch eine Gesprächsaufzeichnung.

Registrierung und Login erfolgen unter app.craftbase.de. Craftbase verarbeitet die für Kontoanlage, Anmeldung, Nutzerverwaltung, Tarifzuordnung, Vertragsabschluss und Kommunikation erforderlichen Konto-, Authentifizierungs-, Kontakt-, Unternehmens- und Vertragsdaten. Hinzu kommen erforderliche Sicherheits- und Nutzungsprotokolle.

Für Vertragsparteien beruhen erforderliche Verarbeitungen auf Art. 6 Abs. 1 lit. b DSGVO. Für geschäftliche Ansprechpartner sowie die sichere Verwaltung der Geschäftsbeziehung gilt regelmäßig Art. 6 Abs. 1 lit. f DSGVO. Gesetzliche Aufbewahrung und Nachweise beruhen auf Art. 6 Abs. 1 lit. c DSGVO, soweit die konkrete Pflicht dies erfordert.

Empfänger sind zuständige Craftbase-Mitarbeitende und die für Authentifizierung, Betrieb, Kundenverwaltung und Abrechnung eingesetzten Dienstleister. Welche Rechte einzelne Nutzer innerhalb eines Kundenkontos erhalten, bestimmt der Kunde über die dafür vorgesehenen Rollen.

Kontodaten werden für die Nutzung und Abwicklung der Geschäftsbeziehung benötigt. Vertrags- und Nachweisdaten können darüber hinaus für gesetzliche Pflichten oder die Geltendmachung beziehungsweise Abwehr konkreter Ansprüche aufbewahrt werden. Das Ende der Anwendungsmöglichkeit führt deshalb nicht automatisch zur Löschung sämtlicher Abrechnungsdaten.

Je nach aktivierten Funktionen verwalten Kunden Stammdaten, Kontakte, Projekte und Aufträge, Aufgaben, Einsatz- und Arbeitszeiten, Abwesenheiten, Nachrichten, Angebote, Rechnungen und weitere Dokumente. Betroffen sein können Beschäftigte, Auszubildende und Praktikanten einschließlich Minderjähriger, Ansprechpartner, Auftraggeber, Lieferanten und andere vom Kunden erfasste Personen.

Bei dieser Auftragsverarbeitung legt der Kunde die zulässigen Zwecke, Rechtsgrundlagen und Berechtigungen fest. Craftbase verarbeitet die Daten nach dokumentierten Weisungen und der AVV, nicht für eigene Werbung oder Datenhandel. Rechteanfragen zu diesen Inhalten sind grundsätzlich an den jeweiligen Kunden zu richten; Craftbase unterstützt ihn nach der AVV.

Die Abwesenheitsfunktion kann die Angabe einer krankheitsbedingten Abwesenheit und damit einen begrenzten Gesundheitsbezug enthalten. Diagnosen und sonstige besondere Datenkategorien sind ohne gesonderte Vereinbarung und geeignete Schutzmaßnahmen nicht bestimmungsgemäß vorgesehen. Standort- oder GPS-Verarbeitung setzt eine entsprechend vereinbarte, tatsächlich aktivierte Funktion voraus.

Ausgegebene Rechnungen und Dokumente werden während der Nutzung nicht still überschrieben oder gelöscht. Diese Integritätssicherung begründet keine unbegrenzte Speicherung nach Vertragsende; Rückgabe und Löschung richten sich nach der AVV und den nachfolgend beschriebenen Kriterien.

Craftbase nutzt Stripe für die Abrechnung und Zahlungsabwicklung seiner eigenen Abonnements. Diese Beschreibung betrifft nicht Zahlungen zwischen Craftbase-Kunden und deren Auftraggebern. Stripe erhält die für die jeweilige Zahlung erforderlichen Informationen und verarbeitet darüber hinaus bestimmte Daten für eigene Pflichten, etwa Betrugsprävention und gesetzliche Anforderungen.

Zahlungsdetails können direkt in der Zahlungsoberfläche von Stripe erhoben werden. Craftbase verarbeitet die für Vertrag, Abrechnung und Zuordnung benötigten Zahlungsreferenzen, Status- und Rechnungsinformationen. Umfang und Empfänger richten sich nach der gewählten Zahlungsmethode; Banken und weitere Zahlungsdienstleister können beteiligt sein.

Für tarifabhängige KI-Funktionen wird die OpenAI-API verwendet. Die Verarbeitung erfolgt nur bei aktiver Nutzung oder einer entsprechenden Konfiguration durch berechtigte Nutzer. Übermittelt werden die für die konkrete Funktion ausgewählten Texte, Sprach- und Audioeingaben, Bilder oder Dokumentinhalte sowie erforderliche technische Anfragedaten, nicht automatisch der gesamte Datenbestand eines Betriebs.

Für Auftragsdaten gelten die Weisungen des Kunden und die AVV. Ein KI-Dienstleister darf Kundendaten nur nach wirksamer Einbindung als Unterauftragsverarbeiter verarbeiten. Craftbase erlaubt keine Verwendung von Kundendaten zum Training eigener allgemein verfügbarer oder fremder Modelle. Beta-Funktionen setzen die dafür vorgesehene freiwillige Aktivierung voraus.

KI-Ausgaben können fehlerhaft oder unvollständig sein und sind vor der Verwendung fachlich zu prüfen. Die Nutzung einer KI-Funktion ersetzt nicht die Entscheidung und Verantwortung der zuständigen Person. Verarbeitungsorte und Löschung richten sich nach dem konkret eingesetzten API-Dienst und den dafür vereinbarten Bedingungen, nicht allein nach dem Standort der Craftbase-Datenbank.

Sentry unterstützt die Fehlerdiagnose und Performance-Messung von Website und Anwendung. Dazu können Fehlerberichte, technische Ereignisse, Lade- und Antwortzeiten sowie Informationen über betroffene Geräte und Programmabläufe verarbeitet werden. Empfänger ist der mit Sentry beauftragte Dienstleister.

Eine technische Fehleranalyse ist von optionaler Nutzungsbeobachtung zu unterscheiden. Soweit eine Funktion eine Einwilligung oder eine gesonderte Erlaubnis für den Zugriff auf Endgeräte erfordert, darf sie nur unter diesen Voraussetzungen eingesetzt werden. Session Replay, also die Nachbildung einer Nutzungssitzung, ist eine gesonderte Funktion und nicht mit Fehlerdiagnosen oder Performance-Messung gleichzusetzen.

Die öffentliche Website aktiviert derzeit keine optionalen Analyse- oder Marketingtracker. Für die gewählte helle, dunkle oder systemabhängige Darstellung wird die Einstellung unter dem Schlüssel „theme“ im Local Storage des Browsers gespeichert. Sie bleibt bis zur Änderung oder zum Entfernen der Browserdaten erhalten.

Speicherung oder Zugriff auf Informationen im Endgerät beurteilen sich gesondert nach § 25 TDDDG. Eine Einwilligung ist erforderlich, soweit keine gesetzliche Ausnahme für Übertragung oder eine ausdrücklich gewünschte, unbedingt erforderliche Funktion greift. Die anschließende Verarbeitung personenbezogener Daten benötigt zusätzlich eine Rechtsgrundlage nach der DSGVO.

Einwilligungsabhängige Funktionen dürfen erst nach der entsprechenden Einwilligung aktiviert werden. Ihre Entscheidung zu optionaler Analyse oder Werbung ist von Anmeldung, Vertrag und erforderlichen Sicherheitsfunktionen zu unterscheiden. Eine Einwilligung kann mit Wirkung für die Zukunft widerrufen werden; bis dahin rechtmäßige Verarbeitung bleibt unberührt.

Browserdaten können über die Einstellungen des jeweiligen Browsers entfernt werden; dadurch können gespeicherte Präferenzen entfallen. Die Speicherung für Anmeldung und Sitzungen in der Anwendung ist von der Darstellungspräferenz der öffentlichen Website zu unterscheiden.

Soweit Google Analytics 4 (GA4) auf der Website oder in der Anwendung nach entsprechender Einwilligung eingesetzt wird, dient es der statistischen Auswertung von Aufrufen, Interaktionen und technischen Nutzungsmustern.

Je nach tatsächlich freigegebener Konfiguration können technische Geräte- und Browserangaben, Zeitpunkte, aufgerufene Seiten oder Ansichten, Ereignisse sowie pseudonyme Analysekennungen verarbeitet und an Google übermittelt werden. Namen, E-Mail-Adressen, Nachrichten sowie Kunden- und Dokumentinhalte dürfen nicht als Analyseereignisse übermittelt werden. Pseudonyme Daten sind nicht automatisch anonym.

Rechtsgrundlage für einwilligungsbasierte Analyse ist Art. 6 Abs. 1 lit. a DSGVO; erforderliche Endgerätezugriffe setzen zusätzlich die Einwilligung nach § 25 Abs. 1 TDDDG voraus. Die Nutzung von Craftbase darf nicht von einer Einwilligung in optionale Analyse abhängig gemacht werden. Für Website und mobile Anwendung ist die Einwilligung jeweils im passenden Nutzungskontext zu berücksichtigen.

Analysekennungen und Ereignisdaten dürfen nur für den genehmigten Analysezweck und dessen erforderliche Dauer gespeichert werden. Ein Widerruf beendet die entsprechende weitere Erhebung; die Behandlung bereits vorhandener Daten richtet sich nach der Rechtsgrundlage und den Löschkriterien. Ein technischer Consent-Modus ersetzt keine wirksame Einwilligung.

Zugriff erhalten zuständige Personen bei Craftbase und die für den jeweiligen Zweck erforderlichen Dienstleister, insbesondere Google Cloud/Firebase, HubSpot, Stripe, OpenAI und Sentry im jeweils beschriebenen Umfang. Nicht jeder Anbieter verarbeitet sämtliche Datenkategorien oder handelt in derselben datenschutzrechtlichen Rolle.

Auftragsverarbeiter werden nach Art. 28 DSGVO vertraglich eingebunden. Bei Auftragsdaten des Kunden gelten die Unterauftragsverarbeiterregelungen und die Anlage der AVV. Weitere Empfänger können Banken, fachliche Berater, Gerichte oder Behörden sein, soweit eine konkrete rechtliche Grundlage oder Pflicht besteht.

Verarbeitungen außerhalb des Europäischen Wirtschaftsraums können auch bei einem regionalen Datenstandort durch Support, Metadaten oder Unterauftragsverarbeitung entstehen. Für solche Übermittlungen gelten die Voraussetzungen der Art. 44 ff. DSGVO. Je nach Empfänger kommen ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien, insbesondere EU-Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen, in Betracht.

Informationen zu den für einen konkreten Vorgang einschlägigen Empfängern und Übermittlungsgarantien sowie eine Kopie der entsprechenden Garantien können Sie über support@craftbase.de anfragen. Geheimhaltungsbedürftige Angaben und Rechte anderer Personen bleiben geschützt.

Die Aufbewahrung richtet sich nach der jeweiligen Datenkategorie und dem konkreten Zweck. Personenbezogene Daten werden gelöscht oder anonymisiert, sobald der Zweck entfällt und keine andere rechtliche Grundlage die weitere Aufbewahrung trägt. Gesetzliche Nachweise und die Sicherung konkreter Ansprüche können eine zweckgebundene weitere Aufbewahrung rechtfertigen.

Nach Ende eines entgeltlichen Vertrags besteht nach der AVV für 30 Kalendertage eingeschränkter Lese- und Exportzugriff. Danach werden Auftragsdaten einschließlich Kundendokumenten gelöscht, sofern keine gesonderte Aufbewahrung beauftragt ist oder eine Craftbase unmittelbar bindende Pflicht nachgewiesen ist.

Aufbewahrungspflichten des Kunden begründen für sich allein keine eigene Aufbewahrungsbefugnis von Craftbase. Der Kunde muss erforderliche Daten rechtzeitig exportieren. Technische Sicherungskopien werden nur für Wiederherstellung und Sicherheit verarbeitet und nach den für den jeweiligen Dienst festgelegten Sicherungszyklen überschrieben.

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen. Bei Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen.

Gegen Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen; das gilt auch für Profiling, soweit es mit dieser Direktwerbung verbunden ist. Nach einem solchen Widerspruch werden Ihre personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.

Richten Sie Anfragen zu eigenen Verarbeitungen von Craftbase an support@craftbase.de. Soweit erforderlich, wird Ihre Identität angemessen geprüft, ohne zusätzliche Daten ohne Grund zu verlangen. Betrifft die Anfrage betriebliche Auftragsdaten, ist grundsätzlich der jeweilige Kunde zuständig; Craftbase unterstützt die Bearbeitung nach der AVV.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere im Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des vermuteten Verstoßes. Für ein Unternehmen mit Sitz in Baden-Württemberg ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg die zuständige Landesaufsicht.

Craftbase trifft risikogerechte technische und organisatorische Maßnahmen, um personenbezogene Daten gegen unberechtigten Zugriff, Verlust und unzulässige Veränderung zu schützen. Dazu gehören angemessene Zugriffsberechtigungen, Vertraulichkeit, Schutz der Übertragung sowie Betriebs-, Wiederherstellungs- und Sicherheitsverfahren. Die vertraglichen Schutzmaßnahmen für Auftragsdaten stehen in der TOM-Anlage der AVV.

Diese Erklärung wird bei relevanten Änderungen der Verarbeitungen aktualisiert. Das angegebene Datum kennzeichnet den Informationsstand, nicht die Zustimmung zu einer Vertragsänderung. Änderungen einer einwilligungsabhängigen Verarbeitung ersetzen weder eine erforderliche neue Information noch eine erforderliche Einwilligung.