Datenschutzerklärung

Stand: Oktober 2026

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Diese Website dient der Information über das Produkt Vemix; eine Registrierung oder Nutzung der Anwendung erfolgt gesondert unter app.vemix.io mit eigener Datenschutzerklärung.

Website und Anwendung getrennt betrachtet: Zu unterscheiden sind die Auslieferung dieser Informations-Website und der Betrieb der eigentlichen vemix-Anwendung. Diese Website wird über das Content-Delivery-Network von Cloudflare (USA, abgesichert über das EU-US Data Privacy Framework) ausgeliefert. Die vemix-Anwendung, in der Ihre Konto-, Nutzungs- und Inhaltsdaten tatsächlich verarbeitet werden, wird demgegenüber ausschließlich auf Infrastruktur innerhalb der Europäischen Union betrieben. Angaben, die Sie in das auf dieser Website eingebundene Kontaktformular eingeben, werden direkt und verschlüsselt an diese EU-Anwendung übertragen; eine Übermittlung der Formularinhalte in ein Drittland außerhalb der EU findet nicht statt. Davon ausgenommen ist die Terminbuchung für eine Live-Demo, die über den Dienst Cal.com (USA) läuft (siehe Abschnitt 4, „Terminbuchung für eine Live-Demo"). Einzelheiten zur Abgrenzung beider Systeme und zu den Schutzmaßnahmen der Anwendung finden Sie in Abschnitt 5.

2. Verantwortliche Stelle

Verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

3. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Rechtsgrundlagen der Verarbeitung

Sofern Sie in die Verarbeitung eingewilligt haben, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Die Verarbeitung zur Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen erfolgt nach Art. 6 Abs. 1 lit. b DSGVO. Im Übrigen verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses an einer sicheren und funktionsfähigen Bereitstellung dieser Website (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung zur Datenverarbeitung widerrufen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung haben.

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Recht auf Datenübertragbarkeit

Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen.

Auskunft, Berichtigung und Löschung

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung sowie ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit an uns wenden.

4. Datenerfassung auf dieser Website

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt.

Hosting der Website (Cloudflare)

Diese Website wird als rein statische Seite bei der Cloudflare Inc., 101 Townsend St., San Francisco, CA 94107, USA, gehostet und ausgeliefert. Cloudflare besorgt dabei ausschließlich die Auslieferung der Seiteninhalte (statisches Content Delivery, Transportverschlüsselung, WAF/DDoS-Schutz) — eine inhaltliche Verarbeitung Ihrer Formulareingaben durch Cloudflare findet nicht statt (siehe hierzu den Abschnitt „Kontaktformular"). Beim Aufruf der Seiten verarbeitet Cloudflare technisch notwendige Verbindungsdaten (u. a. IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Ressource, übertragene Datenmenge, Browser- und Betriebssysteminformationen), um die Inhalte sicher und performant bereitzustellen und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und effizienten Bereitstellung). Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Cloudflare ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert; für Datenübermittlungen in die USA bestehen zudem Standardvertragsklauseln. Weitere Informationen: cloudflare.com/privacypolicy.

Server-Log-Dateien

Der Hosting-Anbieter erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch übermittelt. Dies sind: Browsertyp und Browserversion, verwendetes Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage und IP-Adresse. Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Cookies und Tracking

Diese Website ist eine rein informierende, statische Seite. Sie setzt keine Tracking-, Analyse- oder Marketing-Cookies ein und bindet keine Webanalyse-Dienste (z. B. Google Analytics) ein. Es findet kein nutzerbezogenes Tracking statt. Sofern technisch notwendige Cookies zum sicheren Betrieb erforderlich werden, erfolgt deren Einsatz auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TDDDG. Für den Buchungskalender auf der Seite „Demo buchen" gelten die Angaben im Abschnitt „Terminbuchung für eine Live-Demo".

Kontaktformular

Auf dieser Website ist ein Kontaktformular eingebunden. Die von Ihnen dort eingegebenen Angaben (etwa Name, E-Mail-Adresse, Unternehmen und Ihre Nachricht) werden beim Absenden direkt und verschlüsselt an die vemix-Anwendung übertragen und dort zur Bearbeitung Ihrer Anfrage gespeichert. Die Anwendung wird auf Servern des Anbieters Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich, innerhalb der Europäischen Union betrieben. Ihre Formulareingaben verbleiben damit im europäischen Rechtsraum; eine Übermittlung in ein Drittland außerhalb der EU findet nicht statt. Mit Scaleway besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Anbahnung oder Erfüllung eines Vertrags zusammenhängt, im Übrigen unser berechtigtes Interesse an der effektiven Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. f DSGVO) bzw. Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Daten werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Terminbuchung für eine Live-Demo (Cal.com)

Auf der Seite „Demo buchen" können Sie einen Termin für eine Live-Demo vereinbaren. Dafür binden wir den Terminbuchungsdienst der Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, USA, ein. Beim Aufruf dieser Seite lädt Ihr Browser den Buchungskalender direkt von den Servern von Cal.com. Dabei erhält Cal.com technisch notwendige Verbindungsdaten wie Ihre IP-Adresse, Angaben zu Browser und Betriebssystem sowie die aufrufende Seite. Auf den übrigen Seiten dieser Website wird Cal.com nicht geladen.

Wenn Sie einen Termin buchen, verarbeitet Cal.com die Angaben aus dem Buchungsformular: Name, E-Mail-Adresse, Unternehmen, den gewählten Termin und Ihre Zeitzone sowie, falls Sie sie angeben, Ihre Anmerkungen und die E-Mail-Adressen weiterer Gäste. Cal.com sendet Ihnen eine Terminbestätigung mit Kalendereintrag, über die Sie den Termin auch verschieben oder absagen können. Die Demo findet als Videokonferenz über Cal Video statt; Cal.com setzt dafür den Dienst Daily (USA) ein. Die Buchung wird außerdem in unseren Kalender eingetragen.

Zugleich übermittelt Cal.com die Buchungsangaben verschlüsselt an die vemix-Anwendung, die innerhalb der EU betrieben wird (siehe Abschnitt „Kontaktformular"). Dort legen wir Sie als Kontakt und als Interessenten in unserem CRM an, um die Demo vorzubereiten und Sie danach zu betreuen. Verschieben oder sagen Sie den Termin ab, erhalten wir darüber eine Benachrichtigung.

Cal.com verarbeitet die Daten in den USA. Cal.com ist unter dem EU-US Data Privacy Framework zertifiziert; wo dieses nicht greift, gelten die Standardvertragsklauseln der EU-Kommission. Mit Cal.com besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Rechtsgrundlage der Terminbuchung und der Anlage im CRM ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage). Das Laden des Buchungskalenders beruht auf unserem berechtigten Interesse an einer einfachen Terminvereinbarung (Art. 6 Abs. 1 lit. f DSGVO); soweit dabei Informationen in Ihrem Endgerät gespeichert oder ausgelesen werden, ist das für den von Ihnen ausdrücklich gewünschten Buchungsdienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Wir löschen die Daten, sobald sie für die Demo und die anschließende Betreuung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Möchten Sie Cal.com nicht nutzen, können Sie einen Termin auch über das Kontaktformular, per E-Mail oder Telefon mit uns vereinbaren. Weitere Informationen: cal.com/privacy.

Kontaktaufnahme per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, werden Ihre Angaben inklusive der von Ihnen dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf unserem berechtigten Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO) oder auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

5. Die vemix-Anwendung (app.vemix.io)

Diese Datenschutzerklärung betrifft die vorliegende Informations-Website. Die Registrierung für die vemix-Anwendung und deren Nutzung erfolgen gesondert unter app.vemix.io. Da Website und Anwendung auf unterschiedlicher Infrastruktur betrieben werden, grenzen wir beide nachfolgend ausdrücklich voneinander ab und beschreiben die in der Anwendung getroffenen Datenschutzmaßnahmen.

Abgrenzung: Hosting der Website (Cloudflare) und der Anwendung (Scaleway)

Diese Website ist eine rein statische Informationsseite und wird über das Content-Delivery-Network der Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA) ausgeliefert. Cloudflare verarbeitet dabei technisch notwendige Verbindungsdaten (u. a. IP-Adresse) an weltweit verteilten Edge-Standorten, um die Inhalte sicher und performant bereitzustellen und Angriffe abzuwehren; für Übermittlungen in die USA ist Cloudflare unter dem EU-US Data Privacy Framework zertifiziert (Einzelheiten im Abschnitt „Hosting der Website (Cloudflare)"). Eine inhaltliche Speicherung Ihrer Nutzungsdaten durch Cloudflare findet nicht statt.

Die vemix-Anwendung hingegen — in der Ihre Konto-, Nutzungs- und Inhaltsdaten tatsächlich gespeichert und verarbeitet werden — wird ausschließlich auf Infrastruktur der Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich, in der Region Paris (fr-par) innerhalb der Europäischen Union betrieben (Compute, Managed-Datenbanken, Objektspeicher). Ihre in der Anwendung verarbeiteten Daten verbleiben damit im europäischen Rechtsraum; eine Übermittlung in ein Drittland außerhalb der EU findet grundsätzlich nicht statt. Die Ausnahmen nennen wir in den Abschnitten „KI-gestützte Funktionen" und „Feedback in der Anwendung". Mit Scaleway besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Datenschutzmaßnahmen in der Anwendung

Zum Schutz der in der Anwendung verarbeiteten personenbezogenen Daten setzen wir dem Risiko angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO um. Dazu zählen insbesondere:

• EU-Datenhaltung: Betrieb und Speicherung ausschließlich in zertifizierten Rechenzentren innerhalb der EU (Scaleway, Region Paris).
• Strikte Mandantentrennung: Jeder Kunde erhält eine eigene, isolierte Datenbank; ein mandantenübergreifender Datenzugriff ist ausgeschlossen. Auch der Datei- und Objektspeicher ist je Mandant getrennt.
• Verschlüsselung: durchgehende Transportverschlüsselung (TLS/HTTPS inkl. HSTS) sowie anbieterseitige Verschlüsselung ruhender Daten in Datenbanken und Objektspeicher. Besonders sensible Geheimnisse (z. B. OAuth-Token, Zwei-Faktor-Secrets) werden zusätzlich mit AES-256-GCM verschlüsselt gespeichert.
• Zugangs- und Zugriffsschutz: Passwörter werden ausschließlich als gesalzener bcrypt-Hash gespeichert; optionale Zwei-Faktor-Authentifizierung (TOTP) und Single Sign-On; Schutz vor automatisierten Angriffen durch Rate-Limiting und Account-Lockout; rollen- und rechtebasiertes Zugriffsmodell (RBAC) nach dem Prinzip der minimalen Rechtevergabe.
• Integrität: serverseitige Eingabevalidierung, ausschließlich parametrisierte Datenbankzugriffe (Schutz vor SQL-Injection), Schutz vor XSS/CSRF und Path-Traversal, Sicherheits-HTTP-Header (u. a. Content-Security-Policy) sowie ein Audit-Trail sicherheitsrelevanter Vorgänge.
• Verfügbarkeit und Wiederherstellung: Betrieb auf hochverfügbarer Cloud-Infrastruktur; zweistufige Datensicherung aus anbieterseitigen Snapshots und einem täglichen, AES-256-verschlüsselten Off-Site-Export (30 Tage rollierend).
• Keine Werbe- oder Tracking-Profile: Die in der Anwendung verarbeiteten Daten werden nicht zu Werbezwecken ausgewertet oder an Dritte verkauft.

Eine ausführliche Beschreibung dieser Maßnahmen (Technische und organisatorische Maßnahmen nach Art. 32 DSGVO) sowie die vollständige, stets aktuelle Liste der eingesetzten Unterauftragsverarbeiter (u. a. Scaleway für das Hosting und die KI-gestützte Auswertung, Cloudflare als Sicherheits-Proxy, Anthropic für die Websuche der Firmenrecherche, Sentry für die Fehlerüberwachung und Paddle für die Zahlungsabwicklung) stellen wir angemeldeten Kunden innerhalb der Anwendung im Bereich „Datenschutz & Auftragsverarbeitung" bereit. Bei der Verarbeitung der von Kunden in die Anwendung eingestellten Inhalte wird die Betreiberin als Auftragsverarbeiterin nach Art. 28 DSGVO ausschließlich auf Weisung des jeweiligen Kunden tätig; für die zur Kontoführung erforderlichen Stammdaten ist sie Verantwortliche.

KI-gestützte Funktionen

Einzelne Funktionen der Anwendung werten Inhalte mithilfe künstlicher Intelligenz aus, etwa um aus einem Vertrag Vertragspartner, Klauseln und Fristen auszulesen, Belege und Eingangsrechnungen zu erfassen, Anforderungen und Fristen in Behördenschreiben zu erkennen oder aus einer E-Mail eine Aufgabe vorzuschlagen. Die Inhalte, die eine solche Funktion verarbeitet (z. B. eine E-Mail, ein Beleg oder ein Vertrag), werden zur Auswertung an Open-Weight-Sprachmodelle übermittelt, die die Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich, in Rechenzentren innerhalb der Europäischen Union betreibt. Die Inhalte werden weder zum Training von KI-Modellen verwendet noch über die jeweilige Verarbeitung hinaus gespeichert. Ein automatisches Ausweichen auf einen Anbieter außerhalb der Europäischen Union findet auch bei Störungen nicht statt. Mit Scaleway besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Ausnahme beim Verarbeitungsort – Firmenrecherche: Die Firmenrecherche ergänzt Angaben zu einem Unternehmen mithilfe einer Websuche. Hierfür nutzen wir den KI-Dienst der Anthropic (USA). An Anthropic werden ausschließlich der Firmenname sowie die Internetadresse (Domain) des Unternehmens als Suchanfrage übermittelt. E-Mail-, Kontakt-, Mitarbeiter-, Dokumenten- und sonstige Inhalte aus der Anwendung werden nicht an Anthropic übermittelt.

Eigene KI-Modelle des Kunden: Administratoren eines Kunden können für einzelne KI-gestützte Funktionen anstelle des von uns bereitgestellten Modells ein eigenes KI-Modell hinterlegen, das über eine OpenAI-kompatible Schnittstelle erreichbar ist. Die Anwendung übermittelt die Inhalte, die eine solche Funktion verarbeitet, dann an den vom Kunden angegebenen Anbieter. Das geschieht auf Grundlage der Vereinbarung des Kunden mit diesem Anbieter, nach dessen Vertragsbedingungen und gegebenenfalls außerhalb der EU. Dieser Anbieter ist kein Unterauftragsverarbeiter der Betreiberin; die Auswahl des Anbieters, der Vertrag mit ihm und die Rechtsgrundlage der Übermittlung liegen beim Kunden. Den dafür hinterlegten Zugangsschlüssel speichern wir verschlüsselt. Die Websuche der Firmenrecherche läuft stets wie oben beschrieben.

Administratoren eines Kunden können die KI-gestützten Funktionen in den Einstellungen der Anwendung für ihren Mandanten einzeln abschalten. Für die Inhalte, die Kunden in die Anwendung einstellen, ist der jeweilige Kunde Verantwortlicher; die Betreiberin verarbeitet sie einschließlich der KI-gestützten Auswertung als Auftragsverarbeiterin nach Art. 28 DSGVO auf Grundlage des Auftragsverarbeitungsvertrags.

Die Anwendung ist nicht für Daten bestimmt, die einer beruflichen Schweigepflicht im Sinne von § 203 StGB unterliegen, etwa Patientendaten oder Mandantendaten von Berufsgeheimnisträgern (siehe AGB, Abschnitt 6).

KI-Assistent (MCP): Davon zu unterscheiden ist der KI-Assistent, den Nutzer über den MCP-Server von vemix anbinden können (z. B. Claude oder ChatGPT). Er ruft Daten aus der Anwendung ab und verarbeitet sie bei dem KI-Anbieter, den der Kunde gewählt hat. Das geschieht über das Konto des Kunden bzw. Nutzers bei diesem Anbieter, nach dessen Vertragsbedingungen und gegebenenfalls außerhalb der EU. Dieser Anbieter ist kein Unterauftragsverarbeiter der Betreiberin; die Auswahl des Anbieters, der Vertrag mit ihm und die Rechtsgrundlage der Übermittlung liegen beim Kunden. Der Zugriff setzt eine Freigabe des Nutzers per OAuth voraus, wird bei jedem Aufruf gegen die Rechte des Nutzers geprüft und kann in der Anwendung jederzeit getrennt werden (Einstellungen → MCP-Server). Einzelheiten finden Sie auf der Seite KI-Assistent.

Feedback in der Anwendung

Nutzer können in der Anwendung Feedback geben, etwa einen Fehler melden oder eine Verbesserung vorschlagen. Dabei verarbeiten wir die Angaben der Meldung (Titel, Beschreibung, Art und Dringlichkeit), freiwillig beigefügte Bildschirmfotos und Anhänge, technische Angaben zum Kontext (aufgerufene Seite der Anwendung, Fenstergröße, Browser, Tarif und Version der Anwendung) sowie die E-Mail-Adresse des Nutzers und die Kennung seines Mandanten. Für diese Verarbeitung ist die Betreiberin Verantwortliche. Rechtsgrundlage ist unser berechtigtes Interesse, Fehler zu beheben und die Anwendung weiterzuentwickeln (Art. 6 Abs. 1 lit. f DSGVO).

Zur Einordnung (z. B. Fehler oder Vorschlag, Dringlichkeit, Duplikate) wird die Meldung samt E-Mail-Adresse des Nutzers, Bildschirmfoto und Anhängen wie im Abschnitt „KI-gestützte Funktionen" beschrieben über KI-Modelle bei Scaleway in der EU ausgewertet. Anschließend legen wir zu jeder Meldung einen Eintrag in unserer nicht öffentlichen Aufgabenverwaltung bei der GitHub, Inc. (88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA) an. Der Eintrag enthält die Meldung, die E-Mail-Adresse des Nutzers, die Kennung des Mandanten, die technischen Angaben, das Bildschirmfoto und Links zu den Anhängen. Diese Daten werden damit in die USA übermittelt; GitHub ist unter dem EU-US Data Privacy Framework zertifiziert. Über den Stand der Bearbeitung informieren wir den Nutzer per E-Mail über den E-Mail-Dienstleister Brevo (Paris, Frankreich). Wir speichern die Daten, solange sie für die Bearbeitung der Meldung und die Weiterentwicklung der Anwendung erforderlich sind. Bitte nehmen Sie in Meldungen, Bildschirmfotos und Anhänge nur die Angaben auf, die zur Beschreibung Ihres Anliegens nötig sind.

Fehlerüberwachung (Sentry)

Um Fehler in der Anwendung zu erkennen und zu beheben, nutzen wir den Dienst Sentry der Functional Software, Inc. (45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Mit Sentry besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Für die Fehlerberichte haben wir die EU-Region von Sentry gewählt; sie werden in Frankfurt am Main gespeichert. Die Einstellungen unseres Sentry-Kontos und unserer Projekte liegen in den USA, und Sentry kann auch von dort auf die Daten zugreifen. Für solche Übermittlungen in die USA nimmt Sentry am EU-US Data Privacy Framework teil; hilfsweise gelten die im Vertrag vereinbarten Standardvertragsklauseln der EU-Kommission.

Tritt ein Fehler auf, übermitteln Anwendung und Server einen Fehlerbericht mit technischen Angaben: Fehlermeldung und betroffene Programmstelle, aufgerufene Seite bzw. Schnittstelle, Browser und Betriebssystem, Zeitpunkt und Version der Anwendung. Für eine Stichprobe von etwa 10 % der Aufrufe übermitteln sie zusätzlich Ladezeiten, um die Leistung der Anwendung zu messen. Name, E-Mail-Adresse und sonstige Nutzerangaben, Cookies, Inhalte von Formularen und Anfragen sowie IP-Angaben aus den Kopfzeilen der Anfrage senden wir bewusst nicht mit. Bei der Übermittlung kann technisch die IP-Adresse anfallen. Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen und sicheren Anwendung (Art. 6 Abs. 1 lit. f DSGVO). Sentry löscht die Fehlerberichte automatisch nach Ablauf der vereinbarten Speicherfrist.

6. Browser-Erweiterung „vemix für LinkedIn"

Die Browser-Erweiterung „vemix für LinkedIn" (Chrome, Edge und weitere Chromium-Browser sowie Firefox) überträgt Angaben aus einem LinkedIn-Profil, das der Nutzer gerade geöffnet hat, in die vemix-Anwendung. Sie richtet sich an angemeldete Nutzer der vemix-Anwendung und funktioniert nur mit einem vemix-Konto. Die Erweiterung steht in keiner Verbindung zu LinkedIn und wird von LinkedIn weder unterstützt noch geprüft.

Welche Daten die Erweiterung liest

Die Erweiterung liest ausschließlich auf ausdrückliche Aktion des Nutzers (Öffnen des Seitenbereichs, in Firefox der Seitenleiste, auf einem Profil oder Klick auf „Profil auslesen") und nur das gerade im Tab geöffnete LinkedIn-Profil. Gelesen werden die dort für den Nutzer sichtbaren Angaben: Name, Titel, Position, Unternehmen, Ort und Land sowie die Adresse des Profils. Hat der Nutzer die „Kontaktinformationen" des Profils geöffnet, zusätzlich die dort angezeigten E-Mail-Adressen und Telefonnummern. Profilfotos, Beiträge, Nachrichten und Verbindungen werden nicht gelesen. Es gibt kein Auslesen im Hintergrund, kein automatisches Durchblättern und keinen Massenabruf.

Was mit den Daten geschieht

Die gelesenen Angaben werden im Seitenbereich des Browsers angezeigt und können dort bearbeitet werden. An die vemix-Anwendung (app.vemix.io) übertragen werden sie erst, wenn der Nutzer einen Kontakt anlegt oder einen vorhandenen Kontakt ergänzt — und nur in den Mandanten, bei dem er angemeldet ist. Die Übertragung ist TLS-verschlüsselt. Zum Abgleich, ob die Person in vemix bereits erfasst ist, sendet die Erweiterung Profiladresse, E-Mail-Adressen, Vor- und Nachnamen und das Unternehmen an die Anwendung des Nutzers; den Unternehmensnamen außerdem zur Suche nach der passenden Firma in vemix. Am angelegten Kontakt speichert vemix die Herkunft („LinkedIn-Erweiterung") und den Zeitpunkt der Erfassung; das unterstützt den Kunden bei seiner Informationspflicht nach Art. 14 DSGVO.

Die Erweiterung speichert keine Profildaten. Lokal im Browser legt sie nur ab: die Anmeldung bei vemix (Zugriffstoken für die Dauer der Browsersitzung, Refresh-Token bis zur Abmeldung) und eine von vemix bezogene Konfiguration, welche Seitenelemente sie auf LinkedIn liest. Sie überträgt keine Daten an Dritte, enthält keine Werbung, keine Analyse- oder Tracking-Werkzeuge und lädt keinen Programmcode nach. Abmelden in der Erweiterung oder Entfernen der Erweiterung löscht die lokal gespeicherte Anmeldung.

Firefox: Für Firefox wird die Erweiterung nicht über einen Store, sondern direkt über diese Website verteilt; sie ist von Mozilla signiert. Firefox fragt deshalb regelmäßig unter vemix.io ab, ob eine neue Version vorliegt, und lädt sie gegebenenfalls von dort herunter. Dabei fallen beim Hosting-Anbieter Cloudflare die gleichen Verbindungsdaten an wie beim Aufruf dieser Website (siehe Abschnitt 4, „Hosting der Website (Cloudflare)"). Die Abfrage enthält keine Angaben über die Nutzung der Erweiterung. Firefox zeigt bei der Installation außerdem an, welche Arten von Daten die Erweiterung verarbeitet: personenbezogene Angaben, Inhalte von Websites und Anmeldeinformationen.

In Chrome, Edge und anderen Chromium-Browsern kann die vemix-Anwendung erfragen, ob die Erweiterung installiert ist, um statt eines Installationshinweises „installiert" anzuzeigen. Die Erweiterung antwortet darauf nur der vemix-Anwendung und nur mit dieser Angabe und ihrer Versionsnummer. In Firefox gibt es diese Abfrage nicht.

Verantwortlichkeit und Rechtsgrundlage

Für die Kontaktdaten, die ein Nutzer mit der Erweiterung in vemix anlegt, ist der jeweilige vemix-Kunde (Mandant) Verantwortlicher. Er entscheidet, welche Personen er erfasst; die Rechtsgrundlage ist in der Regel sein berechtigtes Interesse an der Geschäftsanbahnung (Art. 6 Abs. 1 lit. f DSGVO). Die Betreiberin verarbeitet diese Daten als Auftragsverarbeiterin nach Art. 28 DSGVO auf Weisung des Kunden; es gelten die in Abschnitt 5 beschriebenen Schutzmaßnahmen und Speicherorte (EU). Für die Anmeldung des Nutzers bei vemix gelten die Angaben zur vemix-Anwendung.

Berechtigungen der Erweiterung

• Seitenbereich (sidePanel, nur Chromium-Browser): Anzeige des Formulars neben dem Profil. In Firefox dient dazu die Seitenleiste, für die es keine eigene Berechtigung gibt.
• Anmeldung (identity): Anmeldung bei vemix über OAuth 2.1 mit PKCE.
• Speicher (storage): Anmeldung und Konfiguration der Seitenelemente, nie Profildaten.
• Skript ausführen (scripting): Auslesen des geöffneten Profils, nur auf Klick des Nutzers.
• Zugriff auf linkedin.com/in/…: erkennen, dass ein Profil geöffnet ist, damit das Symbol nur dort aktiv ist.
• Zugriff auf app.vemix.io: Verbindung zur vemix-Anwendung.

7. vemix App für Android

Die „vemix App für Android" richtet sich an Nutzer der vemix-Anwendung und funktioniert nur mit einem vemix-Konto. Sie erkennt Anrufe von Kontakten und Unternehmen aus dem CRM des Kunden und zeigt dazu Name und Firma an, stellt Kontakte und Aufgaben aus dem CRM bereit und bindet die mobile Ansicht der vemix-Anwendung ein (Zeiterfassung, Abwesenheiten, Belege, QM-Meldungen). Die App wird über Google Play verteilt und befindet sich derzeit in einem geschlossenen Beta-Test. Sie enthält keine Werbung und keine Analyse-, Tracking- oder Absturzmelde-Werkzeuge.

Anmeldung und gespeicherte Sitzung

Die Anmeldung erfolgt bei der vemix-Anwendung, wahlweise mit E-Mail-Adresse und Passwort (gegebenenfalls mit zweitem Faktor) oder über Microsoft bzw. Google als Single Sign-On. Die App speichert danach ein Sitzungstoken auf dem Gerät, verschlüsselt mit AES-256-GCM und einem Schlüssel, der im Android Keystore liegt und das Gerät nicht verlässt. Für die eingebundene mobile Ansicht erhält die App von der vemix-Anwendung eine eigene, zeitlich begrenzte Web-Sitzung, damit keine zweite Anmeldung nötig ist. Zur Erkennung der App übermittelt die eingebundene Ansicht in ihrer Browserkennung den Zusatz „vemixApp" mit der Versionsnummer.

Anrufer-Erkennung

Damit die App Anrufer erkennen kann, lädt sie ein Telefonverzeichnis des Mandanten aus der vemix-Anwendung: die Rufnummern der Kontakte und Unternehmen im CRM mit Name, Firma und Kennung des Datensatzes. Das Verzeichnis wird verschlüsselt (TLS) übertragen, etwa alle 30 Minuten aktualisiert und im geschützten Speicherbereich der App abgelegt.

Bei einem eingehenden Anruf übergibt Android der App die Rufnummer. Die App gleicht sie ausschließlich auf dem Gerät mit dem gespeicherten Verzeichnis ab. Die Rufnummer wird dafür nicht an vemix oder Dritte übertragen, und die App liest keine Anrufliste aus. Gehört die Nummer nicht zu einem Eintrag im Verzeichnis, verwirft die App sie. Anrufe werden nie blockiert oder abgewiesen. Gehört die Nummer zu einem Eintrag, zeigt die App während des Anrufs eine Karte mit Name und Firma über der Telefon-App an und merkt sich den laufenden Anruf (Rufnummer, Kontakt, Zeitpunkt) bis zum Ende der Nachbearbeitung auf dem Gerät.

Nach dem Gespräch bietet die App an, eine Telefonnotiz oder eine Aufgabe zum Kontakt anzulegen. Erst wenn der Nutzer das tut, überträgt die App die Notiz bzw. Aufgabe mit Datum und Uhrzeit an die vemix-Anwendung; ein Vorschlagstext kann die Rufnummer enthalten und lässt sich vor dem Speichern ändern.

Telefonbuch (optional)

Auf Wunsch legt die App die CRM-Kontakte im Telefonbuch des Geräts unter einem eigenen Konto „vemix" an, damit auch die Telefon-App sie anzeigt. Die Funktion ist standardmäßig ausgeschaltet. Die App liest und ändert dabei nur die Einträge ihres eigenen Kontos; andere Kontakte im Telefonbuch werden weder gelesen noch übertragen. Ausschalten der Funktion oder Abmelden entfernt die Einträge wieder.

Mobile Ansicht und Kamera

Die eingebundene mobile Ansicht ist dieselbe wie im Browser unter app.vemix.io; es gelten die Angaben zur vemix-Anwendung in Abschnitt 5. Fotos, etwa von Belegen, nimmt die App über die Kamera-App des Geräts auf und legt sie nur vorübergehend im Zwischenspeicher der App ab, bis der Nutzer sie hochlädt.

Speicherung auf dem Gerät und Löschung

Sitzung, Telefonverzeichnis und Einstellungen sind von der Android-Datensicherung und der Übertragung auf ein neues Gerät ausgenommen. Beim Abmelden, bei Ablauf der Sitzung und beim Wechsel des Mandanten löscht die App Sitzung, Telefonverzeichnis, die Telefonbuch-Einträge, offene Benachrichtigungen sowie Cookies und Speicher der eingebundenen Ansicht. Deinstallieren der App entfernt alle Daten der App vom Gerät.

Berechtigungen der App

• Internet und Netzwerkstatus: Verbindung zur vemix-Anwendung.
• Telefonstatus und Anrufliste (READ_PHONE_STATE, READ_CALL_LOG) sowie die Rolle „Anrufer-ID": Rufnummer eines eingehenden Anrufs für den Abgleich auf dem Gerät. Die Anrufliste selbst wird nicht gelesen.
• Anrufe tätigen: einen Kontakt per Tipp aus der App anrufen.
• Über anderen Apps einblenden und Vordergrunddienst: Anzeige der Anrufer-Karte während des Anrufs, höchstens drei Minuten lang.
• Benachrichtigungen: Hinweis zur Nachbearbeitung nach dem Anruf.
• Kontakte lesen und schreiben: nur für das optionale Telefonbuch-Konto „vemix".

Beta-Test und Google Play

Für die Teilnahme am geschlossenen Beta-Test teilen Nutzer uns per E-Mail das Google-Konto mit, mit dem sie Google Play nutzen. Wir tragen diese E-Mail-Adresse in die Testerliste in der Google Play Console ein und entfernen sie, wenn die Teilnahme endet oder der Beta-Test abgeschlossen ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Installation und Aktualisierung der App über Google Play gelten die Datenschutzbestimmungen der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland: policies.google.com/privacy.

Verantwortlichkeit und Rechtsgrundlage

Für die CRM-Daten, die die App anzeigt, und für die Notizen und Aufgaben, die Nutzer mit ihr anlegen, ist der jeweilige vemix-Kunde (Mandant) Verantwortlicher; die Betreiberin verarbeitet sie als Auftragsverarbeiterin nach Art. 28 DSGVO auf Weisung des Kunden, mit den in Abschnitt 5 beschriebenen Schutzmaßnahmen und Speicherorten (EU). Der Abgleich eingehender Rufnummern findet allein auf dem Gerät statt. Für die Anmeldung des Nutzers gelten die Angaben zur vemix-Anwendung.