Datenschutzrichtlinie

1. Wann Caballus Verantwortlicher oder Auftragsverarbeiter ist

Caballus ist Verantwortlicher für personenbezogene Daten, die wir zum Betrieb von Konten, zur Verwaltung von Abonnements, zur Sicherung und Verbesserung von Clearslot, zur Kommunikation mit Nutzern, zur Unterstützung, zur Einhaltung gesetzlicher Pflichten und zur Führung unseres Unternehmens verwenden.

Wenn ein Clearslot-Geschäftskunde (Organisator) den Dienst nutzt, um Informationen über seine Kunden, Interessenten, Beschäftigten, eingeladenen Personen oder buchenden Personen (Buchende) zu erheben oder zu verwalten, bestimmt gewöhnlich der Organisator, warum und wie diese Informationen verwendet werden. Der Organisator ist Verantwortlicher, und Caballus handelt als sein Auftragsverarbeiter gemäß dem Clearslot-Zusatz zur Auftragsverarbeitung (DPA).

Buchende sollten Datenschutzfragen zu einer Buchung, einem Formular oder einer Nachricht des Organisators zunächst an den betreffenden Organisator richten. Wir unterstützen den Organisator bei Anfragen, soweit das Datenschutzrecht dies verlangt.

Einige Anbieter, insbesondere Zahlungsanbieter und vom Kunden autorisierte Integrationsanbieter, verarbeiten Daten außerdem als eigenständige oder gemeinsam Verantwortliche nach ihren eigenen Datenschutzhinweisen.

2. Welche personenbezogenen Daten wir verarbeiten

Je nach Nutzung von Clearslot verarbeiten wir:

• Konto- und Organisationsdaten: Name, E-Mail-Adresse, Telefonnummer, Profilbild, Organisation, Rolle, Sprache, Zeitzone, Kontoeinstellungen und Kennungen.
• Buchungs- und Kontaktdaten: Name und Kontaktdaten der Buchenden, Unternehmen, Zeitzone, angefragte Leistung, Terminzeit, Teilnehmende, Status, Notizen, Stornierungsgrund, Antworten auf individuelle Formularfragen und zugehörige Kommunikation.
• Verfügbarkeits- und Integrationsdaten: Verfügbarkeitsregeln, Kalenderkennungen und Metadaten, Termindetails, Konferenzlinks, Kennungen verbundener Konten sowie Berechtigungen und Token, die für eine Integration erforderlich sind.
• Abonnement- und Transaktionsdaten: Tarif, Rechnungsadresse und Steuerangaben, Stripe-Kunden-/Kontokennungen, Zahlungsbetrag, Währung, Status, Erstattungen und Metadaten zu Rückbuchungen. Caballus erhält von Stripe keine vollständigen Zahlungskartennummern.
• Inhalte: Texte von Buchungsseiten, Bilder, Markenauftritt, Formulare, Weiterleitungsregeln, hochgeladene Materialien und über den Dienst bereitgestellte Nachrichten.
• Unterlagen zur Unternehmensberechtigung und Medienentfernung: Angaben zur Niederlassung, nicht öffentliche Betreiberentscheidungen und Nachweisverweise sowie notwendige Aufzeichnungen zur Zuordnung und Entfernung von Medien. Sie werden nicht in den Hinweisen des Organisators veröffentlicht und unterliegen den nachstehenden Regeln zur Kontoaufbewahrung und gegebenenfalls zur rechtlich erforderlichen Aufbewahrung.
• Support- und Geschäftskommunikation: Nachrichten, Anhänge, Rückmeldungen und Aufzeichnungen über die Bearbeitung einer Anfrage.
• Technische und Sicherheitsdaten: IP-Adresse, Geräte- und Browserinformationen, Zeitstempel, Sitzungskennungen, Authentifizierungs- und Sicherheitsereignisse, Anfrageprotokolle, Fehlerinformationen und Signale zur Missbrauchsabwehr.
• Nutzungsdaten: Handlungen im Produkt sowie Funktions- und Konfigurationszustände, die wir zum Betrieb, zur Fehlerbehebung und zur Verbesserung benötigen. Zum Marktstart verwenden wir weder verhaltensbezogene Werbung Dritter noch nicht erforderliche Analyse-Cookies.

Clearslot ist nicht für Zahlungskartennummern in Formularfeldern, Passwörter, Authentifizierungsgeheimnisse, staatliche Identifikationsnummern, besondere Kategorien personenbezogener Daten oder Daten über Straftaten bestimmt. Zum Marktstart dürfen Organisatoren solche Informationen weder anfordern noch übermitteln und Clearslot nicht für regulierte Abläufe im Gesundheitswesen verwenden.

Pflichtfelder für Konto, Sicherheit und Abrechnung sind erforderlich, um die angefragte Leistung zu erbringen oder gesetzliche Pflichten zu erfüllen. Ohne diese Angaben können wir möglicherweise kein Konto erstellen, keine Zahlung verarbeiten oder die Funktion nicht anbieten. Freiwillige Profilangaben und optionale Integrationen sind freiwillig. Der Organisator entscheidet, welche Buchungsfelder notwendig sind, und muss die Folgen fehlender Angaben erläutern. Der Verzicht auf eine freiwillige Antwort darf nicht als Verzicht auf sämtliche Datenschutzrechte dargestellt werden.

3. Woher die Daten stammen

Wir erhalten Daten:

• direkt von Kontonutzern, Buchenden und Personen, die uns kontaktieren;
• vom Organisator, der eine Buchungsseite einrichtet oder Teammitglieder, Kontakte oder Buchungen hinzufügt;
• von einem verbundenen Dienst, wenn ein Nutzer eine Integration wie Stripe oder Google Calendar aktiviert;
• automatisch von Geräten, Browsern sowie unseren Sicherheits- und Anwendungssystemen; und
• aus öffentlichen Quellen sowie von Hinweisgebern, Dienstleistern oder Behörden, soweit dies zur Missbrauchsabwehr, zur Prüfung einer Meldung oder zur Einhaltung des Rechts erforderlich ist.

4. Warum wir Daten verwenden und auf welchen Rechtsgrundlagen

Wenn Caballus Verantwortlicher ist, verwenden wir personenbezogene Daten wie folgt:

Wenn wir Buchungsdaten verarbeiten oder betriebliche Buchungsnachrichten ausschließlich für einen Organisator versenden, folgen wir seinen dokumentierten Weisungen gemäß dem DPA. Diese Weisungen sind keine eigenständige Rechtsgrundlage nach der DSGVO: Der Organisator muss seine eigene Grundlage bestimmen und offenlegen. Die Annahme der Geschäftsbedingungen oder die Bestätigung der Kenntnisnahme dieser Hinweise erteilt weder eine Werbeeinwilligung noch eine Einwilligung im Namen von Buchenden.

Bei berechtigten Interessen prüfen wir Notwendigkeit und Auswirkungen der Verarbeitung. Wir verwenden diese Grundlage nicht, wenn die Rechte einer Person unsere Interessen überwiegen. Sie können weitere Informationen zu einer für Sie relevanten Interessenabwägung anfordern.

Wenn wir um Einwilligung bitten, können Sie diese jederzeit widerrufen. Der Widerruf berührt die zuvor rechtmäßige Verarbeitung nicht.

5. Wer personenbezogene Daten erhält

Wir geben an folgende Empfänger nur weiter, was vernünftigerweise erforderlich ist:

Stripe kann je nach Zahlungsaktivität Auftragsverarbeiter, eigenständiger Verantwortlicher oder gemeinsam Verantwortlicher sein. Für ein verbundenes Zahlungskonto des Organisators schließt Stripe außerdem direkt mit diesem einen Vertrag. Google verarbeitet Daten nach seinen eigenen Bedingungen, wenn ein Nutzer die Integration aktiviert.

Wir können Daten außerdem an zur Vertraulichkeit verpflichtete Fachberater und Wirtschaftsprüfer, an einen Käufer, Investor oder Rechtsnachfolger bei einer tatsächlichen Unternehmenstransaktion, an zuständige Behörden bei gesetzlicher Verpflichtung sowie an andere Personen weitergeben, soweit dies zum Schutz von Rechten, Sicherheit oder dem Dienst notwendig ist.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für kontextübergreifende verhaltensbezogene Werbung weiter.

Die aktuelle Liste der für personenbezogene Kundendaten eingesetzten Auftragsverarbeiter steht im Unterauftragsverarbeiterverzeichnis unseres DPA. Schriftdateien werden von Clearslots eigenen Domains bereitgestellt; das Laden einer Seite sendet keine Schriftanfrage an Google.

Bei einer Google-Calendar-/Meet-Verbindung greifen wir auf die Kalender- und Termininformationen zu, die für die vom Nutzer angeforderte Verfügbarkeit, Synchronisierung und Besprechungserstellung erforderlich sind. Unsere Nutzung und Übermittlung von über Google-APIs erhaltenen Informationen entspricht der Google API Services User Data Policy, einschließlich ihrer Limited-Use-Anforderungen. Wir verwenden diese Informationen nicht für Werbung oder das Training allgemeiner Modelle. Sie können die Integration in Clearslot trennen und den Zugriff über Ihr Google-Konto widerrufen. Das Trennen löscht nicht automatisch bereits rechtmäßig erstellte oder vom Organisator gespeicherte Datensätze.

6. Internationale Übermittlungen

Unsere primäre Anwendungsdatenbank und Rechenleistung werden im Europäischen Wirtschaftsraum gehostet, verschlüsselte Sicherungen in Frankreich gespeichert. Dies ist keine Zusage, dass sämtliche Verarbeitung in der EU oder im EWR erfolgt. Cloudflare, Stripe, Google Workspace sowie optionale Google-Integrationen umfassen weltweite Verarbeitung, auch in den Vereinigten Staaten. Resend speichert und verarbeitet E-Mail-Inhalte und Zustellungsdaten überwiegend in den Vereinigten Staaten; die Wahl einer EU-Versandregion ändert diesen Speicherort nicht. Auch Scaleways Vereinbarung erlaubt abgesicherte Übermittlungen außerhalb der EU, obwohl unsere Sicherungen in Frankreich gespeichert werden.

Das [Unterauftragsverarbeiterverzeichnis des DPA](/dpa) beschreibt Anbieterfunktionen, Standorte und vertragliche Übermittlungsgarantien. Für verbundene Google-Konten gelten die jeweiligen Bedingungen und Garantien; Caballus' eigener Workspace-Zusatz gilt nicht für jedes Google-Konto eines Organisators.

Soweit die DSGVO Übermittlungen außerhalb des EWR beschränkt, muss eine anwendbare Grundlage bestehen, etwa ein Angemessenheitsbeschluss, das EU-US Data Privacy Framework bei einem berechtigten zertifizierten Empfänger oder ausgefüllte Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen. Die Grundlage hängt vom Empfänger und der Verarbeitung ab, nicht allein vom Markennamen. Kontaktieren Sie [email protected] für die anwendbaren Garantien und eine Kopie, vorbehaltlich rechtmäßiger Schwärzungen zum Schutz vertraulicher Informationen und der Rechte anderer.

7. Wie lange wir Daten aufbewahren

Wir bewahren personenbezogene Daten nur so lange auf, wie es für den Erhebungszweck erforderlich ist, einschließlich der Erbringung des Dienstes, der Befolgung von Organisatorweisungen, der Sicherheit, der Einhaltung des Rechts, der Streitbeilegung und der Durchsetzung von Vereinbarungen.

Zum Marktstart gilt folgender Aufbewahrungsplan:

Anbieterlöschungen können nach Entfernung aus der aktiven Nutzung zusätzliche Zeit beanspruchen. Googles Workspace-Zusatz erlaubt bis zu 180 Tage für den Abschluss der Löschung, nachdem Daten über den Dienst nicht mehr wiederherstellbar sind; bei Beendigung der Workspace-Vereinbarung kann zunächst eine Wiederherstellungsfrist von bis zu 30 Tagen bestehen. Restkopien bleiben geschützt und dürfen nicht für gewöhnliche Geschäftszwecke verwendet werden. Wir übermitteln anwendbare Löschanweisungen; die Schließung eines Clearslot-Kontos beendet weder unsere gemeinsam genutzten Anbieterkonten noch löscht sie automatisch unabhängig bei Stripe oder den verbundenen Diensten des Organisators gespeicherte Daten.

Ein Organisator kann, soweit der Dienst dies erlaubt, kürzere oder längere Fristen für eigene Buchungsdatensätze festlegen. Caballus kann nach Löschung einen minimalen Sperrvermerk behalten, um einen Widerspruch zu beachten oder die Wiederherstellung eines missbräuchlichen Kontos zu verhindern.

Diese Standardfristen rechtfertigen keine Verzögerung einer verbindlichen Löschanweisung oder einer kürzeren gesetzlichen Frist. Vorgeschriebene Abruffristen und Beschränkungen der Aufbewahrung durch Auftragsverarbeiter richten sich weiterhin nach dem DPA und anwendbarem Recht.

Wir können relevante Daten während rechtlicher Aufbewahrungsanordnungen, Streitfälle oder Untersuchungen sichern. Danach gilt wieder der gewöhnliche Aufbewahrungsplan.

8. Kontoschließung löscht nicht sofort jeden Datensatz

Eine Kontoschließung widerruft den Zugang und beginnt das anwendbare Lösch- oder Deidentifizierungsverfahren. Nicht jeder Datensatz wird zwingend sofort gelöscht. Beispielsweise können gesetzlich erforderliche Rechnungs- und Transaktionsdaten, Sicherheitsnachweise, zum Schutz von Buchenden oder zur Streitbeilegung erforderliche Aufzeichnungen, konsistent zu haltende historische Buchungsreferenzen und verschlüsselte Sicherungen bis zum automatischen Ablauf verbleiben.

Wenn Caballus Auftragsverarbeiter ist, bestimmt der Organisator die Löschanweisungen vorbehaltlich des DPA. Buchende mit einem Löschbegehren sollten zunächst den Organisator kontaktieren. Anwendbare Löschanweisungen müssen auf wiederhergestellte Daten erneut angewendet werden, bevor wiederhergestellte Dienste geöffnet werden.

9. Ihre Datenschutzrechte

Unter den Bedingungen und Ausnahmen des anwendbaren Rechts können Sie folgende Rechte haben:

• Zugang zu Ihren personenbezogenen Daten und Informationen über ihre Verwendung;
• Berichtigung unrichtiger Daten;
• Löschung;
• Einschränkung der Verarbeitung;
• Widerspruch gegen Verarbeitung aufgrund berechtigter Interessen oder gegen Direktwerbung;
• Erhalt der Daten in einem übertragbaren Format; und
• Widerruf einer Einwilligung.

Für Rechte bezüglich eines Clearslot-Kontos oder Caballus' eigener Verarbeitung kontaktieren Sie [email protected]. Bei einer Buchungsseite oder Aufzeichnungen eines Organisators kontaktieren Sie diesen. Wir können Informationen zur Prüfung von Identität und Befugnis benötigen. Bevollmächtigte müssen ihre Befugnis nachweisen.

Bei DSGVO-Anfragen antworten wir ohne unangemessene Verzögerung und normalerweise innerhalb eines Monats nach Eingang. Erfordert die Komplexität oder Zahl der Anfragen eine gesetzlich zulässige Verlängerung, erläutern wir dies innerhalb dieses ersten Monats. Anfragen sind normalerweise kostenlos; eine Ablehnung oder Gebühr muss die rechtlichen Voraussetzungen erfüllen. Wir erläutern Grund und verfügbare Beschwerderechte.

Sie können der Verwendung Ihrer personenbezogenen Daten für Direktwerbung jederzeit widersprechen. Wir beenden diese Verwendung. Sie können außerdem aus Gründen Ihrer besonderen Situation einer Verarbeitung aufgrund berechtigter Interessen widersprechen; dann wenden wir die gesetzlich erforderlichen Prüfungen und Ausnahmen an.

Sie können sich bei der Datenschutzaufsichtsbehörde an Ihrem Wohn- oder Arbeitsort oder am Ort des mutmaßlichen Verstoßes beschweren. Sie können auch gerichtlich vorgehen. Wir würden die Gelegenheit begrüßen, Ihr Anliegen zuerst zu klären.

10. Cookies und Gerätespeicherung

Clearslot verwendet Cookies oder vergleichbare Gerätespeicherung, soweit erforderlich, um:

• Anmeldesitzungen aufrechtzuerhalten und den Sicherheitszustand zu merken;
• Formulare und Anfragen vor Fälschung, Bots und Missbrauch zu schützen;
• Sprache oder wesentliche Oberflächeneinstellungen zu speichern; und
• Datenverkehr über Cloudflare zu leiten und zu sichern.

Lässt sich ein Werbehinweis ausblenden, merkt eine Browsereinstellung diese Wahl für 30 Tage. Dies ist eine Ausblendpräferenz, keine Werbeeinwilligung und keine Kennung für Werbetracking.

Diese Technologien sind für die Bereitstellung oder Sicherung des angefragten Dienstes erforderlich und dienen nicht der Werbung. Ihre Blockierung kann Anmeldung, Buchung oder andere Kernfunktionen verhindern.

Zum Marktstart setzen wir keine nicht erforderlichen Analyse- oder Werbe-Cookies. Bei Änderungen aktualisieren wir diese Hinweise und holen, soweit erforderlich, vor deren Setzen die Einwilligung ein.

11. Sicherheit

Wir verwenden dem Risiko angemessene technische und organisatorische Schutzmaßnahmen. Dazu zählen TLS bei Übertragung, eingeschränkter administrativer Zugang, Authentifizierungs- und Sitzungskontrollen, Netzwerk- und Anwendungssicherheit, Protokollierung und Überwachung, Schwachstellen- und Patchmanagement, verschlüsselte externe Sicherungen, Geheimnisverwaltung sowie dokumentierte Vorfall- und Wiederherstellungsverfahren.

Kein Internetdienst ist vollständig sicher. Kunden müssen Zugangsdaten schützen, Nutzerzugriffe angemessen konfigurieren und vermutete Kompromittierungen umgehend an [email protected] melden.

12. Kinder

Personen unter 18 Jahren dürfen kein Clearslot-Konto führen. Der Dienst richtet sich nicht an Kinder.

Kinder unter 13 Jahren dürfen kein Buchungsformular absenden; ein befugter Erwachsener muss eine sie betreffende Buchung vornehmen. Dies ist eine Produktbeschränkung, keine Behauptung einer EU-weit einheitlichen Einwilligungsaltersgrenze von 13 Jahren. Ein Organisator, der Termine für oder bezüglich Kindern erlaubt, ist für eine passende Rechtsgrundlage, altersgerechte Transparenz, erforderliche Sorgeberechtigtenbefugnis, Datenminimierung und alle anderen Garantien verantwortlich. Das Verbot sensibler Informationen zum Marktstart gilt ebenso für Daten über Kinder.

13. Automatisierte Entscheidungen

Wir verwenden technische Signale, um Spam, Betrug, Kontoübernahmen und unzulässige Nutzung zu erkennen und Prüfungen zu priorisieren. Das aus der IP-Adresse abgeleitete Land und Tor-Signale unseres Netzwerkanbieters können Produktanfragen ablehnen; fehlende oder widersprüchliche Angaben zur Unternehmensniederlassung oder zum endgültigen Rechnungsland können den Produktzugang bis zur Betreiberprüfung aussetzen. Eine geografische Ablehnung allein sperrt eine Organisation nicht dauerhaft. Befugtes Caballus-Personal prüft dauerhafte Berechtigungs- und Sperrentscheidungen. Wenden Sie sich an [email protected], um eine menschliche Prüfung zu verlangen, Ihren Standpunkt darzulegen oder eine Entscheidung anzufechten. Wir stellen weitere Informationen und Schutzmaßnahmen bereit, die das anwendbare Recht verlangt.

14. Informationen zur Europäischen Union

Caballus ist eine in Irland eingetragene Gesellschaft. Bei Verarbeitungen, für die Caballus Verantwortlicher ist, stehen die nach Artikel 13 und 14 DSGVO erforderlichen Angaben zu Zwecken, Rechtsgrundlagen, Empfängern, Aufbewahrung und Rechten oben. Sie können sich bei der Datenschutzaufsichtsbehörde an Ihrem Wohn- oder Arbeitsort oder am Ort eines mutmaßlichen Verstoßes beschweren.

Wenn ein Organisator die Daten Buchender verantwortet, muss er eigene vollständige Datenschutzinformationen bereitstellen. Der gestufte Hinweis einer Buchungsseite benennt ihn und verlinkt seine Hinweise. Caballus verwendet Einwilligung nicht allein deshalb als Rechtsgrundlage, weil ein Nutzer die Kenntnisnahme dieser Hinweise bestätigt.

15. Sprachen und zwingende Rechte

Datenschutzinformationen müssen für die Personen, an die wir uns richten, verständlich sein. Lokalisierte Hinweise beschreiben dieselbe Verarbeitung und dieselben Rechte; sie sind keine eigenständigen Geschäftsverträge. Die Regelung zur englischen Sprache in unseren Geschäftsbedingungen hebt weder diese Transparenzpflicht noch Ihre zwingenden Datenschutzrechte auf. Kontaktieren Sie uns bei unklaren Hinweisen oder einem Übersetzungsfehler.

16. Änderungen und Kontakt

Wir können diese Hinweise bei Änderungen von Gesetzen, Anbietern oder dem Dienst aktualisieren. Wir veröffentlichen die aktuelle Version und informieren gegebenenfalls gesondert über wesentliche Änderungen.

Datenschutzfragen und Rechtebegehren: [email protected]

Support: [email protected]

Postanschrift: CABALLUS LIMITED, 2 Bridge Street, Athlone, Co. Westmeath, Ireland