Datenschutzerklärung

Verantwortlicher

Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung personenbezogener Daten ist die Kotao GmbH mit Sitz in Köln, Deutschland. Unser Datenschutzteam erreichen Sie unter legal@kotao.com, unseren Datenschutzbeauftragten unter dpo@kotao.com.

Welche Daten wir erheben

Wir verarbeiten die Daten, die Sie uns bereitstellen, sowie die Daten, die bei der Nutzung der Kotao-Plattform entstehen.

• Kontodaten: Name, geschäftliche E-Mail-Adresse, Firmenname, Rechnungsangaben und die Namen der von Ihnen eingeladenen Teammitglieder.
• Website- und Nutzungsdaten: Server-Log-Daten (IP-Adresse, Anfragezeitpunkt, Anfragepfad, Statuscode, User-Agent), Geräte- und Browserinformationen, Interaktionen auf Marketing-Flächen, Inhalte von Kontaktformularen, Inhalte von Lead-Formularen, Newsletter-Formulardaten und Einwilligungsnachweise.
• Zahlungsdaten: Kartendaten und Zahlungsmittel werden ausschließlich durch zertifizierte Zahlungsdienstleister verarbeitet. Kotao speichert vollständige Kartennummern niemals auf eigener Infrastruktur.

Verarbeitung auf Website und Marketing-Seite

Wenn Sie www.kotao.com nutzen, verarbeiten wir personenbezogene Daten für folgende Zwecke:

• Kontaktformulare und Lead-Formulare: Name, geschäftliche E-Mail-Adresse, Unternehmen, Website, Rolle, Geschäftstyp, Umsatzband, Nachricht, Spracheinstellung und Anfragezweck werden verarbeitet, damit wir Ihre Anfrage beantworten, Demos vorbereiten, B2B-Anfragen qualifizieren und vorvertragliche Kommunikation dokumentieren können. Je nach Anfrage ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse an B2B-Vertriebsprozessen und Missbrauchsprävention.
• Newsletter-Formulare: E-Mail-Adresse, Spracheinstellung, Anfragezeitpunkt, Bestätigungszeitpunkt, Anfrage-IP-Adresse, Bestätigungs-IP-Adresse, Anfrage-User-Agent, Bestätigungs-User-Agent und Quelle werden für Double-Opt-In, Zustellung, Abmeldung und Einwilligungsnachweis verarbeitet.
• Einwilligungsnachweise: Wenn ein Formular eine Datenschutz- oder Newsletter-Einwilligung erfordert, speichern wir ein consentRecord mit Erteilungsstatus, Zeitstempel, IP-Adresse, User-Agent, Spracheinstellung, Quelle und zugehörigen Anfrage-Metadaten, damit wir die Einwilligung nachweisen und prüfen können.
• Funnel-Events: Nach Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) verarbeiten wir in PostHog Marketing-Events wie Page Viewed, Trial Signup Started, Surface Key, Sprache, Vertical Context, CTA-Label, UTM-Parameter und Referrer-Host. Ein First-Touch-Marketing-Kontext wird für die aktuelle Browser-Sitzung in sessionStorage gespeichert, damit Attribution innerhalb derselben Sitzung erhalten bleibt.
• Fehler-Monitoring: Ein minimales Fehler- und Absturz-Monitoring (Sentry, EU-Ingest) läuft in deployten Umgebungen für alle Besucher auf Grundlage unseres berechtigten Interesses an einem stabilen und sicheren Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Diese Stufe ist bewusst minimiert: kein Session-Replay, kein Performance-Tracing, keine Breadcrumbs, sendDefaultPii: false, URLs ohne Query-Parameter — und auf Ihrem Endgerät wird nichts gespeichert oder ausgelesen. Verarbeitet werden technische Fehlerdaten wie Fehlermeldung, Stack Trace sowie Browser- und Gerätekontext; die bei der Übertragung netzwerkseitig anfallende IP-Adresse wird durch die Konfiguration nicht im Fehlerereignis gespeichert. Erweiterte Sentry-Telemetrie (Performance, Release Health) und PostHog-Analyse laufen ausschließlich nach Ihrer Einwilligung. Der Interessenabwägung liegt eine dokumentierte Prüfung zugrunde; Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO).
• Server-Logs: Wir verarbeiten Server-Logs einschließlich IP-Adresse, Anfragezeitpunkt, Anfragepfad, Statuscode und User-Agent für Sicherheit, Betrugs- und Missbrauchsprävention, Verfügbarkeit, Debugging und Incident-Untersuchung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Analyse-Cookies und vergleichbare Technologien erläutern wir in der Cookie-Richtlinie.

Newsletter

Wenn Sie den Kotao Newsletter abonnieren, verarbeiten wir Ihre E-Mail-Adresse und Spracheinstellung, um Ihnen Produkt-Updates und betriebliche Hinweise zu senden. Die Verarbeitung für den Newsletter beruht auf Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Wir verwenden Double-Opt-In, bevor wir Sie in den Verteiler aufnehmen. Nach Absenden des Newsletter-Formulars senden wir eine Bestätigungs-E-Mail. Erst nach Klick auf den Bestätigungslink erfassen wir Ihre Anmeldung. Als Einwilligungsnachweis speichern wir Anfragezeitpunkt, Anfrage-IP-Adresse, Anfrage-User-Agent, Bestätigungszeitpunkt, Bestätigungs-IP-Adresse und Bestätigungs-User-Agent.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den Abmeldelink in einer Newsletter-E-Mail nutzen oder sich an legal@kotao.com wenden.

Rechtsgrundlagen nach Art. 6 DSGVO

Wir verarbeiten Ihre Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, einschließlich Newsletter-Anmeldungen.
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung, soweit die Verarbeitung zur Bereitstellung der Plattform erforderlich ist.
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Verpflichtungen, einschließlich steuer- und handelsrechtlicher Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen am Betrieb, der Sicherung und der Weiterentwicklung der Plattform.

Auftragsverarbeiter

Wir nutzen Drittanbieter für Hosting, E-Mail, Zahlungen, Analyse, Observability und optionale KI-Funktionen. Die aktuelle namentliche Liste, einschließlich Cloudflare, Neon, Kotao-Payments-Zahlungsabwickler, Resend, Amazon SES, PostHog, Sentry, OpenAI, Zweck, Verarbeitungsregion, Drittlandbasis, Versionierung und Änderungsbenachrichtigung finden Sie unter Unterauftragsverarbeiter.

Drittlandübermittlungen

Einige Auftragsverarbeiter und Serviceprozesse beziehen Empfänger in den USA oder anderen Staaten außerhalb des Europäischen Wirtschaftsraums, des Vereinigten Königreichs oder der Schweiz ein. Soweit personenbezogene Daten international übermittelt werden, stützt Kotao sich auf die veröffentlichten Garantien des jeweiligen Auftragsverarbeiters, einschließlich Angemessenheitsbeschlüssen wie dem EU-U.S. Data Privacy Framework (DPF) für zertifizierte Empfänger sowie Standard Contractual Clauses (SCC) oder gleichwertige Datenübermittlungsvereinbarungen, soweit erforderlich. Die jeweilige Drittlandbasis pro benanntem Auftragsverarbeiter ist in der Liste Unterauftragsverarbeiter aufgeführt.

Speicherdauer

Kontodaten werden für die Dauer Ihres Vertragsverhältnisses sowie drei Jahre nach Beendigung gespeichert. Server-Logs werden 90 Tage aufbewahrt. Buchhalterische Unterlagen werden gemäß § 257 HGB für zehn Jahre aufbewahrt.

Ihre Rechte

Gemäß Art. 15 bis 22 DSGVO haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung und Widerspruch sowie auf Widerruf erteilter Einwilligungen. Zur Ausübung Ihrer Rechte wenden Sie sich bitte an legal@kotao.com.

Sie haben außerdem das Recht, sich bei der zuständigen Aufsichtsbehörde, der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), zu beschweren.