Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und in QCRM ist die Medcycle UG (haftungsbeschränkt), Kolonnenstraße 8, 10827 Berlin, Deutschland, vertreten durch den Geschäftsführer Eik-Robert Burggraf, E-Mail: info@medcycle.eu („wir“). Einen Datenschutzbeauftragten haben wir nicht benannt, da hierzu keine gesetzliche Pflicht besteht. Datenschutzanfragen richten Sie bitte an die genannte Adresse.

2. Geltungsbereich und Rollen

Diese Erklärung gilt für die Website q-crm.com und für die Daten, die wir als Anbieter von QCRM selbst verarbeiten, etwa zu Kundenkonten, Benutzern und Abrechnung. Daten, die Kunden in ihrem QCRM-Workspace speichern (z. B. Kontakte, Leads, E-Mails, Dokumente), verarbeiten wir als Auftragsverarbeiter nach Weisung des jeweiligen Kunden (Art. 28 DSGVO); Verantwortlicher ist insoweit der Kunde. Einzelheiten regelt der Auftragsverarbeitungsvertrag. Anliegen zu diesen Daten richten Sie bitte an den jeweiligen Kunden; wir unterstützen ihn dabei.

3. Besuch der Website

Die Website wird auf Servern der Hetzner Online GmbH in Deutschland betrieben. Beim Aufruf verarbeitet der Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Seite, übertragene Datenmenge, verweisende Seite sowie Browser- und Betriebssystemangaben. Das dient der Auslieferung, Stabilität und Sicherheit der Website (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer, funktionsfähiger Betrieb). Server-Protokolle werden nach spätestens 30 Tagen gelöscht.

Die Website setzt keine Cookies, nutzt keine Analyse- oder Marketingdienste und lädt keine Inhalte von Drittanbietern wie Schriftarten, Karten oder Videos.

4. Kontaktaufnahme

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b DSGVO, soweit sie einen Vertrag betrifft, sonst lit. f). Die Korrespondenz löschen wir, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.

5. Registrierung und Nutzung von QCRM

Für Konto und Vertrag verarbeiten wir Name, E-Mail-Adresse, Firmenname und Firmenangaben, das Passwort (nur als kryptografischen Hash), Rolle und Organisationszugehörigkeit, Spracheinstellung, gewählten Tarif sowie Zeitpunkte der Anmeldung und der Bestätigung rechtlicher Texte (Art. 6 Abs. 1 lit. b DSGVO). Zum Schutz der Konten protokollieren wir Anmeldungen und sicherheitsrelevante Vorgänge (Art. 6 Abs. 1 lit. f DSGVO). Ohne diese Angaben können wir kein Konto bereitstellen.

Lädt ein Administrator eines Kunden eine Person ein, erhalten wir vom Kunden deren E-Mail-Adresse, Rolle und gegebenenfalls Namen; die Person erhält per E-Mail ein einmaliges Passwort.

Damit Sie angemeldet bleiben, speichert die Anwendung Anmelde-Token und einzelne Einstellungen im lokalen Speicher Ihres Browsers. Das ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking- oder Werbe-Cookies verwenden wir nicht.

6. Systemnachrichten per E-Mail

Einladungen, einmalige Passwörter, Passwort-Rücksetzungen und Benachrichtigungen versenden wir über einen Mailserver der IONOS SE, Montabaur, Deutschland (Art. 6 Abs. 1 lit. b DSGVO).

7. Abonnement und Zahlung

QCRM und die KI-Telefonie Omnesto werden über ein gemeinsames Abonnement abgeschlossen, das im Kundenkonto bei Omnesto verwaltet wird; beide Dienste betreiben wir selbst. Zahlungen wickelt Stripe ab (Stripe Payments Europe, Ltd., Dublin, Irland). Stripe erhält dafür Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsdaten und Betrag; vollständige Kartendaten erhalten wir nicht. Stripe verarbeitet Daten auch in den USA (Abschnitt 11). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO. Weitere Informationen: stripe.com/de/privacy.

8. KI-Telefonie Omnesto

Nutzt ein Kunde Omnesto, das in QCRM eingebunden ist, übermittelt QCRM an Omnesto Name, E-Mail-Adresse, Rolle und Organisation der berechtigten Benutzer, damit sie ohne weiteres Passwort darauf zugreifen können, sowie Verbrauchsdaten zur Abrechnung der KI-Credits. Termine, die der Telefonassistent bucht, werden in den Kalender von QCRM eingetragen. Omnesto läuft auf Servern der Hetzner Online GmbH in Helsinki, Finnland. Für Telefonie und Sprach-KI setzt Omnesto weitere Dienstleister ein (Telnyx, ElevenLabs, OpenAI), die im Auftragsverarbeitungsvertrag aufgeführt sind. Näheres zu Gesprächsdaten enthält die Datenschutzerklärung auf omnesto.pro. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. KI-Funktionen

QCRM bietet KI-Funktionen wie Lead-Bewertung, Antwortentwürfe, Zusammenfassungen von E-Mails und Analysen von Deals. Nur wenn ein Benutzer eine solche Funktion aufruft, werden die dafür nötigen Inhalte an die kostenpflichtige Gemini API von Google übermittelt (Google Ireland Limited, Dublin, Irland, unter Einbeziehung der Google LLC, USA). Google verwendet Eingaben und Ergebnisse dieses kostenpflichtigen Dienstes nicht zur Verbesserung seiner Produkte und speichert sie nur befristet zur Erkennung von Missbrauch. KI-Ergebnisse sind Vorschläge; die Entscheidung trifft der Benutzer. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

10. E-Mail-Postfächer und Outreach

Kunden können eigene E-Mail-Postfächer per IMAP/SMTP verbinden. Die Zugangsdaten werden verschlüsselt gespeichert; Nachrichten werden über den vom Kunden gewählten Anbieter abgerufen und versendet, dessen Datenschutzbestimmungen zusätzlich gelten.

Versendet ein Kunde mit der Outreach-Funktion E-Mails an seine Kontakte, enthält jede E-Mail einen Abmeldelink. Im Auftrag des Kunden erfasst QCRM, ob eine E-Mail geöffnet wurde (über ein unsichtbares Bild) und welche Links angeklickt wurden, und zeigt dies dem versendenden Kunden an. Werden Bilder nicht geladen, wird keine Öffnung gezählt. Eine Abmeldung wird gespeichert und verhindert weitere Outreach-E-Mails dieses Kunden. Für die Rechtmäßigkeit dieser E-Mails, insbesondere eine erforderliche Einwilligung der Empfänger, ist der versendende Kunde verantwortlich.

11. Übermittlung in Drittländer

Unsere Server stehen in Deutschland (QCRM) und Finnland (Omnesto). Stripe, Google, Telnyx, ElevenLabs und OpenAI verarbeiten Daten auch in den USA. Übermittlungen erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO: auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und im Übrigen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission.

12. Speicherdauer

Kontodaten speichern wir für die Dauer des Vertrags. Endet ein Abonnement ohne Verlängerung, werden die CRM-Funktionen gesperrt; die Daten bleiben gespeichert, werden nach 30 Tagen geprüft und erst nach vorheriger Ankündigung an den Kunden gelöscht. Auf Verlangen des Kunden löschen wir früher. Rechnungs- und Buchungsunterlagen bewahren wir nach den gesetzlichen Fristen auf (§ 147 AO, § 257 HGB; bis zu zehn Jahre). Datenbanksicherungen werden täglich erstellt und spätestens 30 Tage nach ihrer Erstellung gelöscht oder überschrieben; gelöschte Daten können daher bis zu 30 Tage in Sicherungen enthalten sein. Server-Protokolle löschen wir nach spätestens 30 Tagen.

13. Datensicherheit

Wir schützen Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem durch verschlüsselte Übertragung (TLS), gehashte Passwörter, verschlüsselt gespeicherte Zugangsdaten zu Drittsystemen, getrennte Workspaces mit Rollen und Rechten, beschränkten administrativen Zugang und tägliche Sicherungen. Einzelheiten enthält die Anlage zum Auftragsverarbeitungsvertrag.

14. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21 DSGVO). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

15. Personen und Kunden in der Schweiz

Für Personen in der Schweiz gilt zusätzlich das Bundesgesetz über den Datenschutz (DSG). Deutschland und Finnland gewährleisten nach Anhang 1 der Datenschutzverordnung einen angemessenen Datenschutz; die Bekanntgabe dorthin ist nach Art. 16 Abs. 1 DSG zulässig. Für Empfänger in den USA gilt das Swiss-U.S. Data Privacy Framework, soweit der Empfänger zertifiziert ist, im Übrigen gelten vom EDÖB anerkannte Standardvertragsklauseln. Beschwerden können beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) eingereicht werden.

16. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die hier veröffentlichte Fassung.