Datenschutzerklärung

Diese Datenschutzerklärung erläutert, wie Collecta („Collecta“, „wir“, „uns“) personenbezogene Daten erhebt, verwendet, weitergibt und schützt, wenn Sie unsere mandantenfähige Betriebsplattform, unsere Websites und verwandte Dienste (zusammen der „Dienst“) nutzen.

Sie gilt für Besucher, Kontoinhaber sowie für die Mitarbeiter und Mitwirkenden von Organisationen, die einen Collecta-Arbeitsbereich betreiben. Ist Ihre Organisation unser Kunde, ist diese Organisation der Verantwortliche für die von ihr übermittelten Arbeitsbereichsdaten, und Collecta handelt in ihrem Auftrag als Auftragsverarbeiter. Für unsere eigenen Websites und die Kontoverwaltung ist Collecta der Verantwortliche.

Wir erheben die folgenden Kategorien von Informationen:

• Kontodaten — Name, geschäftliche E-Mail-Adresse, gehashtes Passwort, Rolle, Organisation und Authentifizierungsdetails (einschließlich 2FA- und SSO-Kennungen).
• Arbeitsbereichs- und Modulinhalte — die Module, benutzerdefinierten Felder, Datensätze, Anhänge, Automatisierungen und sonstigen Daten, die Sie und Ihr Team in den Dienst eingeben.
• Nutzungs- und Telemetriedaten — Protokolldaten, Geräte- und Browserinformationen, IP-Adresse, Funktionsnutzung und Diagnoseereignisse, die zum Betrieb und zur Absicherung des Dienstes verwendet werden.
• Zahlungsinformationen — Rechnungskontakt und Abonnementdetails. Kartendaten werden direkt von Stripe erhoben und verarbeitet; Collecta speichert keine vollständigen Kartennummern.
• Support-Kommunikation — Nachrichten, Tickets und Feedback, die Sie uns senden.
• Cookies — unbedingt erforderliche Cookies für Anmeldung und Sicherheit (siehe den Abschnitt „Cookies“ unten).

Wir verwenden personenbezogene Daten, um:

• den Dienst bereitzustellen, zu warten und abzusichern, einschließlich Authentifizierung und Zugriffskontrolle;
• Abonnements, Sitzplätze und Abrechnungen über unseren Zahlungsanbieter zu verarbeiten;
• auf Supportanfragen zu reagieren und Dienst- sowie Sicherheitshinweise zu kommunizieren;
• die Zuverlässigkeit, Sicherheit und Leistung des Produkts zu überwachen, Fehler zu beheben und zu verbessern;
• KI-Funktionen zu betreiben — wenn Sie den produktinternen Agenten nutzen, werden relevante Prompts und Datensätze von Anthropics Claude-Modellen verarbeitet, um Antworten zu erzeugen (siehe „KI-Verarbeitung“ unten);
• gesetzlichen Verpflichtungen nachzukommen und unsere Vereinbarungen durchzusetzen.

Soweit die DSGVO oder ähnliche Gesetze anwendbar sind, stützen wir uns auf die folgenden Rechtsgrundlagen:

• Vertragserfüllung — um Ihnen und Ihrer Organisation den Dienst bereitzustellen.
• Berechtigte Interessen — um den Dienst abzusichern, zu verbessern und zu betreiben, soweit nicht durch Ihre Rechte überwogen.
• Einwilligung — soweit erforderlich, zum Beispiel für optionale Mitteilungen; Sie können Ihre Einwilligung jederzeit widerrufen.
• Rechtliche Verpflichtung — zur Einhaltung von Steuer-, Buchhaltungs- und anderen geltenden Gesetzen.

Wir geben personenbezogene Daten an einen begrenzten Kreis geprüfter Unterauftragsverarbeiter weiter, die sie nur auf unsere Anweisung und im Rahmen eines Vertrags verarbeiten:

• Anthropic — KI-Modellverarbeitung für den produktinternen Agenten und die KI-Funktionen.
• Stripe — Zahlungsabwicklung und Abonnementverwaltung.
• Cloud-Hosting — Infrastruktur, Rechenleistung und verwaltetes Datenbank-Hosting.
• E-Mail-Zustellung — transaktionale E-Mails und Service-E-Mails.

Die vollständige, aktuelle Liste der Unterauftragsverarbeiter wird in unserer Datenverarbeitungsvereinbarung geführt. Wir verkaufen keine personenbezogenen Daten und geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter.

Der KI-Agent von Collecta wird von Anthropics Claude-Modellen angetrieben. Wenn Sie eine KI-Funktion aufrufen, werden die relevanten Prompts und die zur Beantwortung Ihrer Anfrage erforderlichen Arbeitsbereichsdatensätze zur Verarbeitung an Anthropic gesendet und als Antwort zurückgegeben. Kunden können auf Arbeitsbereichsebene auch ihren eigenen Anthropic-API-Schlüssel mitbringen (BYOK); in diesem Fall werden KI-Anfragen unter diesem Schlüssel verarbeitet.

Zur Bereitstellung dieser Funktionen gesendete Daten werden nicht zum Training von Drittanbietermodellen verwendet. Die KI-Verarbeitung unterliegt den Bedingungen unserer Datenverarbeitungsvereinbarung.

Wir bewahren Arbeitsbereichsinhalte auf, solange Ihre Organisation einen aktiven Arbeitsbereich unterhält. Ist ein Arbeitsbereich zur Löschung vorgesehen, werden die Daten während einer Übergangsfrist aufbewahrt und anschließend dauerhaft entfernt, vorbehaltlich verschlüsselter Backups, die nach einem rollierenden Aufbewahrungsplan ablaufen.

Konto-, Abrechnungs- und Audit-Datensätze werden so lange aufbewahrt, wie es für Sicherheit, Streitbeilegung sowie rechtliche oder buchhalterische Verpflichtungen erforderlich ist, und anschließend gelöscht oder anonymisiert.

Wir wenden mehrschichtige technische und organisatorische Schutzmaßnahmen an, darunter:

• PostgreSQL-Sicherheit auf Zeilenebene für eine strikte mandantenbezogene Datenisolierung;
• AES-256-GCM-Verschlüsselung für sensible Geheimnisse im Ruhezustand;
• kurzlebige JWT-Zugriffstoken mit Rotation von Refresh-Token und Gerätenachverfolgung;
• TOTP-basierte Zwei-Faktor-Authentifizierung und SSO-Unterstützung;
• ein manipulationssicheres Audit-Log der Benutzer- und Konfigurationsaktionen.

Kein System ist absolut sicher, aber wir arbeiten kontinuierlich daran, Ihre Daten zu schützen und umgehend auf jeden Vorfall zu reagieren.

Personenbezogene Daten können in anderen Ländern als Ihrem eigenen verarbeitet werden. Werden Daten aus dem EWR oder dem Vereinigten Königreich übermittelt, stützen wir uns auf geeignete Garantien wie die Standardvertragsklauseln (SCCs) der Europäischen Kommission und gleichwertige Mechanismen. EU-Datenresidenz ist für berechtigte Tarife optional verfügbar — kontaktieren Sie uns, um Ihre Anforderungen zu besprechen.

Vorbehaltlich geltenden Rechts haben Sie das Recht auf Zugang, Berichtigung, Löschung, Einschränkung und Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten sowie auf Datenübertragbarkeit. Sie können außerdem eine Beschwerde bei Ihrer örtlichen Aufsichtsbehörde einreichen.

Um diese Rechte auszuüben, kontaktieren Sie uns unter privacy@collecta.app oder über unsere Kontaktseite. Wenn Sie Mitarbeiter einer Kundenorganisation sind, leiten wir Ihre Anfrage möglicherweise an diese Organisation als Verantwortlichen weiter. Weitere Einzelheiten finden Sie auf unserer DSGVO-Seite.

Wir verwenden ausschließlich unbedingt erforderliche Cookies — für Anmeldung, Sitzungsintegrität und Sicherheit. Wir verwenden keine Werbe- oder seitenübergreifenden Tracking-Cookies. Produkteinstellungen wie Design, Sprache und Tabellenlayout werden in Ihrem Konto innerhalb des Produkts gespeichert, nicht in Cookies.

Collecta ist ein Geschäftstool und richtet sich nicht an Kinder. Der Dienst ist nicht für Personen unter 16 Jahren bestimmt, und wir erheben wissentlich keine personenbezogenen Daten von ihnen. Wenn Sie glauben, dass ein Minderjähriger uns personenbezogene Daten zur Verfügung gestellt hat, kontaktieren Sie uns bitte; wir werden die Daten löschen.

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Bei wesentlichen Änderungen aktualisieren wir das oben genannte Datum „Zuletzt aktualisiert“ und benachrichtigen Sie gegebenenfalls über den Dienst oder per E-Mail. Ihre fortgesetzte Nutzung des Dienstes nach einer Aktualisierung stellt die Annahme der überarbeiteten Richtlinie dar.

Fragen zu dieser Richtlinie oder Ihren personenbezogenen Daten? Schreiben Sie unserem Datenschutzteam eine E-Mail an privacy@collecta.app oder erreichen Sie uns über unsere Kontaktseite.