Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Aufsichtsbehörde: Office of the Commissioner for Personal Data Protection (Zypern)

Diese Datenschutzerklärung gilt für alle Leadmatix-Webseiten und -Dienste. Wir agieren dabei in unterschiedlichen Rollen:

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen:

Kategorien personenbezogener Daten

• Account- und Vertragsdaten (z.B. Namen, E-Mail, Unternehmensdaten)
• Kommunikationsdaten (z.B. Anfragen, Support-Tickets)
• Zahlungs- und Abrechnungsdaten (via Stripe; Kartendaten speichern wir nicht)
• Inhalts- und Analysedaten (URLs, Seiteninhalte, Kommentare)
• Nutzungs-, Geräte- und Telemetriedaten (IP, Browser, Sitzungsdaten)
• Marketing-Kommunikation (optional)

Kategorien betroffener Personen

• Geschäfts- und Vertragspartner
• Interessenten
• Kommunikationspartner
• Kunden (B2B)
• Nutzer (z.B. Webseitenbesucher, Nutzer von Onlinediensten)

Zwecke der Verarbeitung

• Bereitstellung unseres Onlineangebotes und Nutzerfreundlichkeit
• Kontaktanfragen und Kommunikation
• Sicherheitsmaßnahmen
• Reichweitenmessung und Analyse
• Vertragliche Leistungen und Service
• Verwaltung und Beantwortung von Anfragen

Im Folgenden erhalten Sie eine Übersicht der Rechtsgrundlagen der DSGVO, auf deren Basis wir personenbezogene Daten verarbeiten:

• Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO) – Die betroffene Person hat ihre Einwilligung in die Verarbeitung der sie betreffenden personenbezogenen Daten für einen spezifischen Zweck oder mehrere bestimmte Zwecke gegeben.
• Vertragserfüllung und vorvertragliche Anfragen (Art. 6 Abs. 1 S. 1 lit. b DSGVO) – Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c DSGVO) – Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt.
• Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO) – Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.

Leadmatix nutzt KI-Technologien zur Verbesserung unserer Dienste. Dabei gelten folgende Grundsätze:

• Keine Schulung öffentlicher Modelle: Kundenspezifische Inhalte werden nicht zum Training öffentlicher KI-Modelle verwendet.
• Pseudonymisierung: Für interne Qualitätszwecke werden Daten nur pseudonymisiert oder aggregiert verwendet.
• Keine automatisierten Einzelentscheidungen: Es erfolgen keine Entscheidungen mit Rechtsfolgen nach Art. 22 DSGVO ohne menschliche Überprüfung.
• Sub-Prozessoren: KI-Anbieter sind vertraglich gebunden und unterliegen den EU-Standardvertragsklauseln.

Wir treffen nach Maßgabe der gesetzlichen Vorgaben unter Berücksichtigung des Stands der Technik geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO:

• Rollenbasierte Zugriffskontrollen
• Verschlüsselung (SSL/TLS für Datenübertragung)
• Least-Privilege-Prinzip
• Sichere Geheimnisverwaltung
• Netzwerksegmentierung
• Protokollierung und Monitoring
• Regelmäßige Backups
• Lieferanten-Assessments

SSL- bzw. TLS-Verschlüsselung: Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von "http://" auf "https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

Im Rahmen unserer Verarbeitung von personenbezogenen Daten werden Daten an folgende Kategorien von Empfängern übermittelt:

• Hosting-, Cloud- und CDN-Anbieter
• E-Mail-Services
• Stripe (eigenständiger Verantwortlicher für Zahlungsdaten)
• KI- und Technologie-Provider
• Support- und Success-Tools
• Beratung und Steuerkanzlei

Sofern wir Daten in einem Drittland (d.h., außerhalb der Europäischen Union (EU), des Europäischen Wirtschaftsraums (EWR)) verarbeiten, erfolgt dies nur im Einklang mit den gesetzlichen Vorgaben.

Wir nutzen EU-Standardvertragsklauseln (SCC) und zusätzliche Sicherheitsmaßnahmen für Drittländer-Transfers. Transfer Impact Assessments werden durchgeführt, wo erforderlich.

Die von uns verarbeiteten Daten werden nach Maßgabe der gesetzlichen Vorgaben gelöscht, sobald deren zur Verarbeitung erlaubten Einwilligungen widerrufen werden oder sonstige Erlaubnisse entfallen.

Aufbewahrungsfristen

• Vertragsdaten: Vertragsdauer + gesetzliche Aufbewahrungspflichten
• Analysen/Inhalte: Bis Löschung durch Nutzer oder Kontobeendigung
• Logs/Telemetrie: 90–365 Tage
• 10 Jahre: Handels- und steuerrechtliche Aufbewahrungspflicht (§ 257 HGB, § 147 AO)
• 6 Jahre: Handelsbriefe und Geschäftsunterlagen (§ 257 HGB)
• 3 Jahre: Regelmäßige Verjährungsfrist für zivilrechtliche Ansprüche

Ihnen stehen als Betroffene nach der DSGVO verschiedene Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht auf Berichtigung unrichtiger Daten.
• Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht auf Löschung Ihrer Daten.
• Recht auf Einschränkung (Art. 18 DSGVO): Sie haben das Recht auf Einschränkung der Verarbeitung.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, der Verarbeitung zu widersprechen.
• Widerrufsrecht (Art. 7 Abs. 3 DSGVO): Sie haben das Recht, erteilte Einwilligungen jederzeit zu widerrufen.

Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Sie können sich auch an die zypriotische Aufsichtsbehörde oder jede andere EU-Aufsichtsbehörde wenden.

Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden.

Technisch notwendige Cookies

Diese Cookies sind für den Betrieb der Seite unbedingt notwendig und werden ohne Einwilligung gesetzt. Sie ermöglichen beispielsweise sicherheitsrelevante Funktionalitäten wie Session-Management.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) und § 25 TDDDG

Nicht notwendige Cookies

Alle anderen Cookies (Analyse, Marketing) erfordern Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 TDDDG. Welche Dienste das sind, erläutern wir in Abschnitt 12. Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen“ im Footer widerrufen.

Affiliate-Tracking-Cookies

Im Rahmen unseres Partnerprogramms setzen wir zwei funktionale First-Party-Cookies, die der Zuordnung von Empfehlungen zu unseren Affiliate-Partnern dienen.

• lm_ref — Speichert das Empfehlungs-Token des Affiliates, über dessen Link du auf die Seite gelangt bist. Lebensdauer: 90 Tage. HTTPOnly, SameSite=Lax. Wird ausschließlich serverseitig ausgewertet, um bei einer späteren Registrierung die Provision korrekt zuzuordnen.
• lm_recruiter_ref — Speichert das Recruitment-Token, wenn du über einen Sub-Affiliate-Link auf das Partnerprogramm gelangt bist. Lebensdauer: 180 Tage. HTTPOnly, SameSite=Lax. Wird nur ausgewertet, wenn du dich selbst als Affiliate anmeldest, um die Tier-2-Beziehung herzustellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung Affiliate-Programm) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an korrekter Provisionsabrechnung).

In diesem Abschnitt erfahren Sie, welche Analyse- und Marketing-Dienste wir einsetzen, welche Daten dabei verarbeitet werden und wie Sie Ihre Einwilligung verwalten.

Cookie-Banner und Einwilligungsverwaltung

Beim ersten Besuch fragen wir über ein eigenes Cookie-Banner (ohne externes Consent-Tool), ob Sie der Kategorie „Analyse“ und der Kategorie „Marketing“ zustimmen. Ohne Ihre Zustimmung werden nur technisch notwendige Cookies gesetzt. Ändern wir die Beschreibung der Kategorien wesentlich, fragen wir erneut.

Verarbeitete Daten: Ihre Auswahl (Analyse ja/nein, Marketing ja/nein), Version der Einwilligungstexte, Zeitpunkt, Art der Entscheidung (Banner oder Einstellungen), Sprache, eine zufällige Kennung aus dem lokalen Speicher Ihres Browsers, eine gekürzte IP-Adresse (IPv4 ohne letztes Oktett, IPv6 gekürzt auf /48), die Browser-Kennung (User-Agent) sowie bei angemeldeten Nutzern die Nutzer-ID. Ihre Auswahl speichern wir außerdem im Cookie lm_consent auf leadmatix.io und allen Subdomains sowie im lokalen Speicher Ihres Browsers.

Zweck: Speichern Ihrer Entscheidung und Nachweis der Einwilligung (Protokoll consent_log, Art. 7 Abs. 1 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung zum Nachweis) und § 25 Abs. 2 Nr. 2 TDDDG (für das Speichern der Auswahl unbedingt erforderlich).

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder ändern, über den Link „Cookie-Einstellungen“ im Footer jeder Seite. Beim Widerruf löschen wir die betroffenen Cookies (_fbp, _fbc, lm_attr, ph_*) in Ihrem Browser.

Produktanalyse mit PostHog (EU)

Wir nutzen PostHog, um zu verstehen, welche Seiten und Funktionen genutzt werden, und um Fehler zu finden. Die Daten werden auf Servern in der EU (Frankfurt) gespeichert. Mit Ihrer Einwilligung in die Kategorie „Analyse“ setzt PostHog Cookies bzw. Einträge im lokalen Speicher (ph_*), erkennt Ihren Browser über Besuche hinweg wieder und nutzt Sitzungsaufzeichnungen (Eingaben in Formularfeldern werden maskiert), Heatmaps und kurze Umfragen. Ohne Einwilligung läuft nur eine Reichweitenmessung ohne Cookies und ohne Speicherung auf Ihrem Endgerät, ohne Wiedererkennung über Sitzungen hinweg und ohne diese Zusatzfunktionen. Geheimnisse in Adressen (z. B. Passwort-Links) entfernen wir vor dem Versand.

Anbieter: PostHog Inc., 2261 Market St., San Francisco, CA 94114, USA, mit Datenhaltung in der EU (Auftragsverarbeitung nach Art. 28 DSGVO).

Verarbeitete Daten: Aufgerufene Seiten und Referrer, Klicks und Interaktionen, Geräte- und Browser-Informationen, ungefährer Standort (Land/Stadt aus der IP-Adresse), bei Einwilligung eine pseudonyme Kennung, Sitzungsaufzeichnungen und Umfrageantworten; bei angemeldeten Nutzern die Nutzer-ID und E-Mail-Adresse.

Rechtsgrundlage: Mit Einwilligung Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die cookielose Messung ohne Einwilligung stützen wir auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung und Fehleranalyse).

Drittlandübermittlung: Die Speicherung erfolgt in der EU. Zugriffe des US-Anbieters (z. B. im Support) sind nicht ausgeschlossen; sie sind über die EU-Standardvertragsklauseln abgesichert.

Speicherdauer: Cookies ph_* bis zu 12 Monate; Ereignisdaten und Sitzungsaufzeichnungen nach den Aufbewahrungsfristen unseres PostHog-Projekts.

Meta Pixel und Meta Conversions API

Wir schalten Anzeigen auf Facebook und Instagram. Um zu messen, ob diese Anzeigen zu Anmeldungen und Käufen führen, und um sie auszusteuern, setzen wir mit Ihrer Einwilligung in die Kategorie „Marketing“ den Meta Pixel und die Meta Conversions API ein. Der Meta Pixel lädt ein Skript von Meta, setzt die Cookies _fbp und _fbc und sendet Seitenaufrufe und Ereignisse (z. B. Aufruf einer Lektion, Anmeldung) direkt aus Ihrem Browser an Meta. Über die Conversions API melden wir Anmeldung und Kauf zusätzlich von unserem Server an Meta, damit Meta beide Meldungen zusammenführen kann. Auf Seiten, deren Adresse ein Geheimnis enthält (z. B. Passwort-Links), läuft der Pixel nicht.

Anbieter: Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland. Für die Erhebung und Übermittlung der Daten über den Pixel sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die weitere Verarbeitung verantwortet Meta allein.

Verarbeitete Daten: Pixel: aufgerufene Adresse und Referrer, Ereignisse, IP-Adresse, Browser- und Geräte-Informationen, Cookie-Kennungen _fbp/_fbc. Conversions API: Ereignis (Anmeldung, Kauf) mit Zeitpunkt, Wert und Währung, gehashte E-Mail-Adresse, gehashter Vorname, pseudonyme Nutzer-ID, IP-Adresse, Browser-Kennung (User-Agent), Klick-ID (fbclid bzw. _fbc) und _fbp.

Zweck: Erfolgsmessung und Aussteuerung unserer Werbeanzeigen auf Facebook und Instagram, Bildung von Zielgruppen für Anzeigen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Ohne Einwilligung wird der Pixel nicht geladen, und es gehen keine Daten über die Conversions API an Meta.

Drittlandübermittlung: Meta kann Daten an Meta Platforms Inc. in den USA übermitteln. Meta ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission); ergänzend gelten die EU-Standardvertragsklauseln.

Speicherdauer: Cookies _fbp und _fbc 90 Tage. Die bei Meta gespeicherten Daten löscht Meta nach eigenen Fristen (siehe Datenschutzrichtlinie von Meta).

Widerruf: Über „Cookie-Einstellungen“ im Footer. Danach lädt der Pixel nicht mehr, wir löschen _fbp, _fbc und lm_attr in Ihrem Browser, und noch nicht gesendete Meldungen gehen nicht mehr an Meta.

Google Ads Conversion-Messung (Offline-Conversions)

Wenn Sie über eine Google-Anzeige zu uns kommen, enthält die Adresse eine Klick-ID (gclid, gbraid oder wbraid). Mit Ihrer Einwilligung in die Kategorie „Marketing“ melden wir eine spätere Anmeldung oder einen Kauf von unserem Server aus an Google zurück. Auf unseren Seiten wird dafür kein Google-Skript geladen.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Verarbeitete Daten: Klick-ID (gclid, gbraid oder wbraid), ersatzweise die gehashte E-Mail-Adresse, Art der Conversion (Anmeldung, Kauf), Zeitpunkt, Wert und Währung sowie eine interne Ereignis-ID.

Zweck: Erfolgsmessung und Aussteuerung unserer Google-Anzeigen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Ohne Einwilligung melden wir nichts an Google.

Drittlandübermittlung: Google kann Daten an Google LLC in den USA übermitteln. Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln.

Widerruf: Über „Cookie-Einstellungen“ im Footer. Noch nicht gesendete Meldungen gehen danach nicht mehr an Google.

Kampagnen-Attribution

Damit wir wissen, über welche Kampagne Sie zu uns gekommen sind, lesen wir beim Aufruf Kampagnen-Parameter aus der Adresse (UTM-Parameter, Klick-IDs wie fbclid und gclid, Einstiegsseite, Referrer) und speichern sie bei einer Registrierung zusammen mit Ihrem Konto. Ohne Einwilligung in die Kategorie „Marketing“ bleiben diese Angaben nur im Sitzungsspeicher Ihres Browsers und in unserem System (First Party) und werden nie an Werbeplattformen übermittelt. Mit Einwilligung speichern wir sie zusätzlich im Cookie lm_attr auf leadmatix.io und allen Subdomains, damit die Zuordnung auch funktioniert, wenn Sie sich später oder auf app.leadmatix.io registrieren.

Rechtsgrundlage: Für die interne Zuordnung ohne Cookie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung unserer Kampagnen); für den Cookie lm_attr Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).

Speicherdauern im Überblick

• lm_consent: Cookie mit Ihrer Auswahl, 12 Monate. Danach fragen wir erneut.
• lm_attr: Cookie mit Kampagnen-Parametern (nur mit Marketing-Einwilligung), 90 Tage; wird beim Widerruf gelöscht.
• _fbp, _fbc: Cookies des Meta Pixels (nur mit Marketing-Einwilligung), 90 Tage; werden beim Widerruf gelöscht.
• Conversion-Warteschlange: Die für die Conversions API zwischengespeicherte IP-Adresse und Browser-Kennung löschen wir nach 30 Tagen. Die übrigen Angaben zur Conversion bleiben mit Ihrem Konto gespeichert, bis es gelöscht wird.
• consent_log: Protokoll Ihrer Einwilligungsentscheidungen, so lange wir die Einwilligung nachweisen müssen, in der Regel bis zum Ablauf der regelmäßigen Verjährungsfrist von 3 Jahren.

Bei der Registrierung für ein Kundenkonto werden die von Ihnen angegebenen Daten gespeichert und für die Vertragserfüllung sowie zur Kundenbetreuung verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)

Elektronische Rechnungen werden via Stripe Invoicing erstellt und versendet.

Für deutsche Unternehmenskunden stellen wir auf Anforderung EN 16931-kompatible eRechnungen (Factur-X/ZUGFeRD) bereit.

Leadmatix richtet sich ausschließlich an Unternehmen (B2B). Wir verarbeiten nicht wissentlich personenbezogene Daten von Minderjährigen. Sollten wir Kenntnis davon erlangen, dass Daten von Minderjährigen ohne Einwilligung eines Erziehungsberechtigten erhoben wurden, werden diese Daten unverzüglich gelöscht.

Bei Nutzung unserer SaaS-Plattform Leadmatix für WhatsApp Business Kommunikation werden folgende Daten verarbeitet:

Verarbeitete Daten

• Kontaktdaten Ihrer Endkunden (Name, Telefonnummer)
• Kommunikationsinhalte (Nachrichten über WhatsApp)
• Nutzungsdaten der Plattform
• Protokolldaten für Support und Fehlerbehebung

Auftragsverarbeitung

Sofern wir in Ihrem Auftrag personenbezogene Daten verarbeiten, schließen wir mit Ihnen einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. In diesem Fall agieren Sie als Verantwortlicher und wir als Auftragsverarbeiter.

WhatsApp Business API

Die WhatsApp-Kommunikation erfolgt über die offizielle WhatsApp Business API von Meta. Meta verarbeitet dabei Daten gemäß der eigenen Datenschutzrichtlinien. Wir empfehlen, Ihre Endkunden über die Nutzung von WhatsApp für geschäftliche Kommunikation zu informieren.

Share- und Einladungsfunktion

Wenn Sie Einladungen an Teammitglieder oder externe Nutzer versenden, bestimmen Sie als Kunde die Empfänger und tragen die Verantwortung für die entsprechende Rechtsgrundlage. Wir verarbeiten die E-Mail-Adressen zum Versand und Zugriffsmanagement. Einladungen werden protokolliert.