Datenschutz

Kurz gesagt: sumwerk hat keine Analyse-Werkzeuge von Dritten, keine Werbe-Tracker und keine Skripte oder Schriften von Dritten; welche Seiten besucht werden und wie die Anwendung genutzt wird, erfassen wir auf unserem eigenen Server (Abschnitte 2 und 3). Wir verarbeiten zwei Arten von Daten. Ihre eigenen (Ihr Login, was Sie uns schreiben): dafür sind wir Verantwortlicher. Und die Ihrer Kunden (was sumwerk aus Stripe liest und was Sie und Ihre Systeme hinzufügen): diese verarbeiten wir in Ihrem Auftrag und nach Ihrer Weisung. Dort sind Sie Verantwortlicher und wir Ihr Auftragsverarbeiter.

1. Verantwortlicher

Kitchn Venture GmbH, Französische Straße 12, 10117 Berlin, Deutschland. Kontakt für alles auf dieser Seite: hello@sumwerk.com. Zur Benennung eines Datenschutzbeauftragten sind wir nicht verpflichtet.

2. Diese Website und die Anwendung

• Server-Protokolle. IP-Adresse, Zeitpunkt, aufgerufene Adresse, Status und Browserkennung, um den Dienst zu betreiben und abzusichern (Art. 6 Abs. 1 lit. f DSGVO). Das Protokoll ist in der Größe begrenzt und überschreibt sich selbst, in der Regel innerhalb von Tagen.
• Ein Cookie. Ein signiertes Cookie hält Sie angemeldet. Keine weiteren Cookies, kein lokaler Speicher zum Nachverfolgen, deshalb auch kein Cookie-Banner.
• Kein Tracking durch Dritte. Kein Google Analytics, kein Tag Manager, keine Zählpixel, kein Fingerprinting, nichts wird in Ihrem Browser erfasst. Schriften, Skripte und Bilder kommen von unserer eigenen Domain.
• Seitenaufrufe. Für jede geöffnete öffentliche Seite (nicht von bekannten Bots) erfasst unser Server die Seite, die Zeit, die Domain der Website, die darauf verlinkt hat (nicht ihre Adresse), und Kampagnen-Kennzeichen im Link (utm_…). Kein Cookie und kein Skript. Um Besucher zu zählen, berechnet unser Server aus IP-Adresse und Browser einen Code mit einem Zufallswert, der jeden Tag ersetzt und gelöscht wird, wie es Plausible tut: Ihre IP-Adresse wird nie gespeichert, und am nächsten Tag ist der Code ein anderer, sodass nichts Besuche über Tage hinweg verbindet. Aus derselben Adresse und demselben Browser vermerkt der Server außerdem Land, Region und Stadt (IP-Geolokalisierung durch DB-IP) sowie Browser, Betriebssystem und Geräteart; die Adresse und die Browser-Kennung selbst werden nicht aufbewahrt. Wenn Sie sich registrieren, wird die Registrierung als Ziel dieses Tages-Codes gezählt, getrennt von Ihrem Konto. Die Daten gehen an datalove (Abschnitt 3), um zu erkennen, welche Seiten gelesen werden und woher Besucher kommen (Art. 6 Abs. 1 lit. f DSGVO).
• Zahlen zur Nutzung. Wir zählen Aufrufe je Seitentyp und ihre Dauer, als Summen ohne IP-Adressen, Nutzer oder Konten, um langsame Seiten und Fehler zu finden.
• Die Statusseite (status.sumwerk.com) läuft bei Cloudflare, mit Absicht getrennt von unserem Server. Sie setzt keine Cookies und hält nichts über Besucher fest. Cloudflare verarbeitet die Verbindungsdaten, die das Ausliefern einer Seite braucht.

3. Ihr Konto

• Login. Name, E-Mail-Adresse, ein gehashtes Passwort, Ihre Rolle im Team und die angemeldeten Sitzungen (Browserkennung und IP-Adresse bei der Anmeldung), um den Dienst zu erbringen (Art. 6 Abs. 1 lit. b DSGVO).
• E-Mails von uns. Passwort zurücksetzen, Einladungen, Hinweise, die Sie eingeschaltet haben (zum Beispiel wenn ein abgeschlossener Monat korrigiert wurde), und Antworten, wenn Sie uns schreiben. Kein Newsletter ohne Ihre Einwilligung.
• Was Sie in der Anwendung tun, wird als Teil des Produkts gespeichert: Notizen tragen ihren Verfasser, Aufgaben ihren Bearbeiter, Einstellungen dort, wo es darauf ankommt, wer sie geändert hat.
• Wie Sie die Anwendung nutzen. Wenn Sie angemeldet sind, erfasst unser Server, welche Seiten der Anwendung Sie öffnen (die Art der Seite, nicht ihre Adresse), und jede Änderung, die Sie vornehmen (zum Beispiel dass eine Aufgabe angelegt, ein Kunde bearbeitet oder eine CSV heruntergeladen wurde, nie ihren Inhalt), mit Ihrer Nutzer- und Kontonummer, und bei der Anmeldung Ihren Namen, Ihre Rolle und den Namen Ihres Unternehmens in sumwerk. Wir nutzen das, um zu erkennen, welche Teile von sumwerk genutzt werden, und sie zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Daten gehen an datalove (datalove.io), einen Dienst für Produktanalyse, den wir selbst betreiben, auf einem eigenen Server bei Hetzner in Deutschland. In Sandboxes und über die API wird nichts erfasst, und kein Cookie ist beteiligt. Sie können jederzeit widersprechen, indem Sie uns schreiben; dann erfassen wir für Sie nichts mehr und löschen, was erfasst wurde.
• Sitzungsaufzeichnungen. Wenn Sie angemeldet sind, zeichnet ein Skript von datalove auf, was die Anwendung Ihnen zeigt und was Sie darin tun (Seiten, Klicks, Scrollen), um zu erkennen, wo sumwerk schwer zu bedienen ist, und das zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Bevor etwas Ihren Browser verlässt, verdeckt es, was Sie in Felder eingeben, den Seitentitel und den Inhalt jeder Seite mit Daten Ihrer Kunden (Namen, E-Mail-Adressen, Beträge): Wir sehen den Aufbau und Ihre Klicks, nicht Ihre Kunden. Die Aufzeichnung ist mit Ihrer Nutzer- und Kontonummer verknüpft; das Skript legt eine zufällige Sitzungskennung im Sitzungsspeicher Ihres Browsers ab, nur für diesen Tab (kein Cookie). Nicht in Sandboxes. In datalove 30 Tage aufbewahrt. Derselbe Widerspruch beendet sie und löscht, was aufgezeichnet wurde.
• Das API-Protokoll. Zu jedem Aufruf mit einem Ihrer Token: Zeitpunkt, Token, Methode, Adresse, die Namen der gesendeten Felder (nie ihre Werte), der Status. Aufbewahrt für 30 Tage. API-Token werden nur als Hash gespeichert.
• Funktionswünsche. Was Sie vorschlagen, erscheint ohne Ihren Namen öffentlich, sobald wir es gelesen haben. Ihre Stimmen werden gespeichert, damit wir Ihnen sagen können, wenn etwas fertig ist.
• Fehler. Wenn bei uns etwas fehlschlägt, halten wir die Art des Fehlers, unsere eigenen Codezeilen und den Ort fest, ohne Daten der Anfrage.

4. Die Daten Ihrer Kunden: Auftragsverarbeitung

Für diese Daten gibt es sumwerk, und sie gehören Ihnen. Wir verarbeiten sie nur, um Ihnen den Dienst zu erbringen, nach Ihrer Weisung, nach einem Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO), den Ihr Unternehmen bei der Registrierung annimmt. Er nennt unsere Sicherheitsmaßnahmen und Unterauftragsverarbeiter.

• Aus Stripe, über die sumwerk-App, die Sie in Ihrem Stripe-Konto installieren (sie liest nur, bis Sie die Abrechnungsverwaltung einschalten): Kunden (Name, E-Mail-Adresse, Anschrift und Steuerangaben, soweit Stripe sie hat), Abonnements, Preise, Produkte, Gutscheine, Rechnungen, Gutschriften und Ereignisse. sumwerk schreibt nie nach Stripe. Der Schlüssel wird verschlüsselt und nie wieder angezeigt.
• Von Ihnen und Ihren Systemen: Kunden und Interessenten, Personen in diesen Unternehmen (Name, E-Mail-Adresse, Position, Telefon, LinkedIn-Adresse), Ihre eigenen Merkmale und Nutzungszahlen pro Tag (zum Beispiel wie viele Anzeigen ein Kunde gestartet hat), Schlagworte, Notizen, Anrufprotokolle, Aufgaben, E-Mails, die Sie aus sumwerk senden, und was ein Import mitbringt (zum Beispiel aus ChartMogul. Der Import-Schlüssel wird gelöscht, wenn der Import endet).
• Aus Anbindungen, die Sie einrichten (Abschnitt 6).

Unsere eigenen Mitarbeiter sehen Zustände und Anzahlen eines Kontos (wer im Team ist, welche Verbindungen bestehen, wie viele Kunden), nicht Ihre Kunden und nicht, was diese zahlen. In Ihre Daten schauen wir, um Ihnen zu helfen, auf Ihre Bitte hin.

5. Wer für uns Daten verarbeitet

Das sind unsere Auftragsverarbeiter. Jeder arbeitet unter einem Vertrag, der ihn an unsere Weisungen bindet. Wir nehmen niemanden hinzu, ohne es auf dieser Seite zu sagen.

Meldungen über Ausfälle gehen in unseren Team-Chat und per E-Mail an uns. Sie nennen den Teil von sumwerk, der ausgefallen ist, nie einen Kunden. Wechselkurse kommen von der Europäischen Zentralbank. Dorthin wird nichts gesendet.

6. Plattformen, die Sie verbinden: Was auf Ihrer Seite liegt

sumwerk verbindet sich mit Diensten, mit denen Sie einen Vertrag haben. Sie sind nicht unsere Auftragsverarbeiter: Sie haben sie gewählt, Ihre Vereinbarung mit ihnen regelt, was sie tun, und sie mit sumwerk zu verbinden ist Ihre Weisung an uns. Bitte sorgen Sie auf Ihrer Seite für Ordnung:

• Stripe. Sie sind Verantwortlicher für die Abrechnungsdaten Ihrer Kunden. Stripe und sumwerk arbeiten beide für Sie. Ihre Datenschutzhinweise gegenüber Ihren Kunden sollten abdecken, dass Sie Dienstleister für die Abrechnung und für die Auswertung von Abonnements einsetzen. Stripe zeigt vor der Installation, was die sumwerk-App lesen und ändern darf. Deinstallieren Sie sie in Stripe, wenn Sie sumwerk nicht mehr nutzen.
• Google (Senden aus Ihrem Postfach). Freiwillig, und über eine Google-App Ihres eigenen Unternehmens. Ein Teammitglied erteilt die Erlaubnis, in seinem Namen E-Mails zu senden. Das Postfach lesen kann sumwerk nicht. Wir speichern das Token verschlüsselt und verwenden es nur, um die Mails zu senden, die diese Person oder ihre Automationen schreiben. sumwerk nutzt Informationen aus Google-APIs im Einklang mit der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Widerruf jederzeit in sumwerk oder im Google-Konto.
• Plain (Support-Gespräche). Mit Ihrem API-Schlüssel liest sumwerk Gespräche: Titel, Status, Labels, Bearbeiter sowie Name und E-Mail-Adresse des Kunden werden gespeichert, um sie in der Zeitleiste des Kunden zu zeigen. Die Nachrichten selbst werden geholt, wenn jemand sie öffnet, und nicht gespeichert.
• Calendly oder cal.com (optional). Wenn Sie Ihr Buchungstool verbinden, sendet es sumwerk jede Buchung: Name und E-Mail-Adresse der Person, Gastgeber, Zeitpunkt und die Antworten aus Ihrem Buchungsformular. sumwerk speichert sie als Lead, Kontakt, Notiz und Aufgabe, als Ihre Weisung. Das Buchungstool arbeitet unter Ihrer Vereinbarung mit ihm; sumwerk hält nur das Signaturgeheimnis, verschlüsselt, um einen Aufruf als echt zu erkennen.
• Kundenrecherche (optional). Mit Ihrem eigenen LLM-Schlüssel und, falls Sie einen hinterlegen, Ihrem eigenen Apify-Schlüssel liest sumwerk die öffentliche Website eines Unternehmens und über Apify dessen LinkedIn-Unternehmensseite sowie bis zu zehn seiner Personen, sendet den Text der Website und Ihren Prompt an Ihren LLM-Anbieter und speichert die Zusammenfassung als Notiz und einige Attribute bei diesem Kunden. Die Anbieter arbeiten unter Ihrer Vereinbarung mit ihnen, nicht unter unserer; sumwerk hält die Schlüssel verschlüsselt nur für diese Aufrufe und vergisst sie, wenn Sie die Recherche abschalten. Verwenden Sie sie nicht für Privatpersonen.
• ChartMogul (Import). Der Schlüssel wird für den Import verwendet und danach gelöscht. Was importiert wurde, bleibt als Ihre Daten in sumwerk.
• Ihre eigenen Systeme, Webhooks und KI-Assistenten. Was Ihre Systeme über die API senden, wird zu Ihren Daten in sumwerk. Ein Webhook, den Sie einrichten, sendet Kundendaten an die Adresse, die Sie angegeben haben. Ein Assistent, den Sie über MCP verbinden, erhält, was er mit dem von Ihnen erstellten Token abfragt: Der Anbieter dieses Assistenten verarbeitet es dann nach Ihrer Vereinbarung mit ihm, nicht nach unserer.
• E-Mails an Ihre Kunden. Sie entscheiden, wem Sie schreiben, und brauchen dafür eine Rechtsgrundlage. Jede automatische Mail trägt einen Abmeldelink, und sumwerk hält sich daran. Bitte umgehen Sie ihn nicht.
• Ihr Team. Laden Sie Personen mit eigenem Login ein, entfernen Sie, wer geht, und geben Sie jedem System ein eigenes API-Token, damit sich eines einzeln widerrufen lässt.

7. Wie lange

• Ihr Konto und die Daten Ihrer Kunden: solange das Konto besteht. Das Trennen von Stripe oder das Deinstallieren der sumwerk-App in Stripe beendet den Zugriff sofort und behält die Zahlen. Das Löschen des Kontos löscht alles darin. Ein leeres Konto löschen Sie selbst (Account, Gefahrenbereich), jedes andere auf Anfrage von der Adresse eines Inhabers, innerhalb von 30 Tagen.
• Sicherungen: 14 Tage auf dem Server, 30 Tage im Speicher, dann sind sie weg. Gelöschte Daten verschwinden mit ihnen aus den Sicherungen.
• Seitenaufrufe: nicht auf unserem Server gespeichert, innerhalb von Sekunden an datalove gesendet; in datalove die Rohdaten 30 Tage und die anonymen Seitenaufrufe (Tages-Code, Seite, Herkunft, Ort und Gerät, keine Adresse) 24 Monate.
• Wie Sie die Anwendung nutzen: nicht auf unserem Server gespeichert, innerhalb von Sekunden an datalove gesendet; in datalove die einzelnen Ereignisse 30 Tage, Ihr Name, Ihre Rolle und tägliche Zählungen, solange Ihr Konto besteht oder bis Sie widersprechen.
• Sitzungsaufzeichnungen: alle paar Sekunden aus Ihrem Browser an datalove gesendet; dort 30 Tage nach der Sitzung aufbewahrt.
• API-Protokoll 30 Tage, Webhook-Zustellungen 30 Tage (ihr Inhalt nur bis zur Zustellung), Server-Protokolle Tage, Sitzungen bis zur Abmeldung.
• Rechnungen und was das Steuerrecht aufzubewahren verlangt: so lange, wie das Gesetz es vorschreibt, sobald sumwerk Geld berechnet.

8. Sicherheit

Verschlüsselte Verbindungen überall. Schlüssel und Token verbundener Dienste liegen verschlüsselt in der Datenbank, Passwörter und API-Token nur als Hash, Sicherungen verschlüsselt. Zugang zu den Servern hat nur der Betreiber. Was ein Betreiber von Hand an einem Konto ändert, wird protokolliert.

9. Ihre Rechte

Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nach der DSGVO (Art. 15 bis 21) sowie der Widerruf einer Einwilligung zu jeder Zeit. Ihre Daten können Sie jederzeit als CSV und über die API exportieren. Schreiben Sie an hello@sumwerk.com. Fragt einer Ihrer Kunden uns nach seinen Daten, geben wir die Anfrage an Sie weiter, denn es sind Ihre Daten. Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehörde, zum Beispiel bei der an unserem Sitz: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Stuttgart.

Es gibt keine automatisierten Entscheidungen und kein Profiling mit rechtlicher Wirkung, und wir verkaufen niemandem Daten.

10. Änderungen

Kommt ein Auftragsverarbeiter hinzu oder ändert sich hier etwas Wesentliches, bekommt diese Seite ein neues Datum und das Changelog eine Zeile.