Datenschutzerklärung

Zuletzt aktualisiert

5. August 2026

1. Rollen von Catalog gemäß DSGVO

Zwei Rollen

Je nach Kontext agiert Catalog entweder als Verantwortlicher oder als Auftragsverarbeiter im Sinne von DSGVO.

Verantwortlicher

Catalog fungiert als Verantwortlicher für die Verwaltung seiner Website, seiner Interessenten, seiner Benutzerkonten, seines Supports und seiner rechtlichen Verpflichtungen.

Auftragsverarbeiter

Catalog fungiert als Auftragsverarbeiter, wenn es personenbezogene Daten verarbeitet, die in E-Mails, Bestellungen, Angeboten, Anhängen, Kundendaten, Produktdaten oder ERP-Systemen enthalten sind, und zwar im Auftrag seiner B2B-Kunden.

Unternehmen

Catalog SAS, eine französische vereinfachte Aktiengesellschaft (SAS) mit einem Stammkapital von 2.001.000 €, eingetragen im Handels- und Gesellschaftsregister von Bordeaux (RCS) unter der Nummer 950 871 848.

Firmensitz

51 Quai Lawton, 33300 Bordeaux, Frankreich.

Kontakt für personenbezogene Daten

dpo@startcatalog.com.

2. Erhobene Daten

Benutzerkontodaten

Nachname, Vorname, geschäftliche E-Mail-Adresse, gehashtes Passwort, Rolle, Organisation (Verkäufer).

Verbundene Postfächer

Inhalt der verbundenen Postfächer (Gmail, Microsoft 365 / Outlook, IMAP): ein- und ausgehende Nachrichten, Anhänge, Absender, Empfänger, Betreffzeilen, Header, Labels/Kategorien, Konversationsverläufe (Threads), technische Kennungen.

B2B-Geschäftsdaten

Bestellungen, Angebote, Produkte, Kunden, Preise, ERP-Integrationen.

Anwendungs- und technische Protokolle

IP-Adressen, User-Agent, Sitzungskennungen, Ausführungs-Traces, Fehler, Leistungskennzahlen.

Cookies und Browserdaten

Auf startcatalog.com, sofern zutreffend, verwaltet über das Cookie-Banner oder das Cookie-Management-Modul.

Telefondaten

Sofern von Ihren Kunden eingegeben: normalisierte Rufnummern zu Abgleichzwecken.

3. Zwecke und Rechtsgrundlagen

Bereitstellung des Dienstes

Bereitstellung des Dienstes Catalog (Vertragserfüllung): E-Mail-Erfassung, Extraktion von Bestelldaten, Klassifizierung, Nachverfolgung, Versand von Antworten, ERP-Integration.

Verbesserung des Dienstes

Verbesserung der Dienstqualität und der Leistung der für den Dienst konfigurierten KI-Funktionen (berechtigtes Interesse oder Vertragserfüllung, je nach Kontext): Auswertung, Qualitätskontrolle, Fehlererkennung. Es werden keine Kundendaten zum Training öffentlicher Modelle oder Modelle für allgemeine Zwecke verwendet.

Sicherheit

Sicherheit, Betrugsprävention und Kontinuität (berechtigtes Interesse und rechtliche Verpflichtung).

Transaktionsbezogene Kommunikation

Transaktionsbezogene Kommunikation und Support (Vertragserfüllung).

Marketingkommunikation

Marketingkommunikation (nur mit Einwilligung; Sie können sich jederzeit abmelden).

4. Verarbeitung durch künstliche Intelligenz

Modelle

Catalog nutzt KI-Modelle, einschließlich Modellen von Drittanbietern, um E-Mail-Inhalte zu analysieren, Bestellungen zu extrahieren, Nachrichten zu klassifizieren und Antwortvorschläge zu generieren.

Drittanbieter

Wenn KI-Modelle von Drittanbietern eingesetzt werden, konfiguriert Catalog die Dienste und verpflichtet die Anbieter vertraglich dazu, Kundendaten nicht für das Training öffentlicher Modelle oder Modelle für allgemeine Zwecke zu verwenden.

Menschliche Aufsicht

Es werden keine rein automatisierten Entscheidungen getroffen, die rechtliche Wirkungen entfalten oder eine Person erheblich beeinträchtigen, ohne dass ein Mensch eingreift. Sie behalten die letzte Entscheidungsgewalt darüber, was an Ihr ERP-System oder an Ihre Kunden gesendet wird.

5. Einhaltung der „Google API Services User Data Policy“ (Richtlinie zur eingeschränkten Nutzung)

Grundsatz

Die Nutzung von Informationen, die Catalog über Google-APIs (einschließlich Gmail) erhält, erfolgt in Übereinstimmung mit der „Google API Services User Data Policy“ und insbesondere deren Anforderungen zur eingeschränkten Nutzung (Limited Use).

In der Praxis

Wir verwenden Gmail-Daten ausschließlich zur Bereitstellung der vom Nutzer angeforderten Funktionen (Smart Inbox, Smart Order, Smart Agents); wir verkaufen diese Daten niemals; wir nutzen sie nicht für Werbezwecke; wir geben sie nur dann an Dritte weiter, wenn dies für die Erbringung der Dienstleistung zwingend erforderlich ist (an die unten aufgeführten Auftragsverarbeiter); Mitarbeiter von Catalog lesen Ihre E-Mails nur mit Ihrer ausdrücklichen Zustimmung, aufgrund einer gesetzlichen Verpflichtung oder zu Sicherheits- bzw. Supportzwecken.

Aufbewahrung

Gmail-Daten werden nur so lange gespeichert, wie es für die Bereitstellung des Dienstes erforderlich ist – unter Einhaltung der nachstehend aufgeführten Aufbewahrungsfristen – und anschließend gemäß den geltenden Einstellungen und vertraglichen Verpflichtungen gelöscht oder anonymisiert.

6. Einhaltung der Vorgaben für Microsoft Graph und IMAP

Gleiche Grundsätze

Wenn Sie ein Microsoft 365-, Outlook- oder IMAP-Postfach verbinden, gelten die oben genannten Grundsätze (Datenminimierung, kein Weiterverkauf, keine Werbung, keine Wiederverwendung für öffentliches Training) gleichermaßen.

Token und Widerruf

Access- und Refresh-Token werden im Ruhezustand verschlüsselt gespeichert. Sie können den Zugriff jederzeit über Ihre Microsoft-Administratorkonsole, Ihren E-Mail-Anbieter oder die Catalog-Konsole widerrufen, abhängig von der verwendeten Verbindungsmethode.

7. Auftragsverarbeiter und Partner

Amazon Web Services (AWS)

Hosting, Speicherung, Datenbanken, Cache, Messaging und verwaltete KI-Dienste. Standort: Europäische Union.

MongoDB Atlas

Dokumentendatenbank (Verkäufereinstellungen, E-Mail-Metadaten, Protokolle). Standort: Europäische Union.

Google Cloud / Google Workspace-APIs

Gmail / Workspace-Verbindung, Push-Benachrichtigungen, verwaltete Cloud- und KI-Dienste. Standort: Europäische Union.

Microsoft Corporation

Outlook / Microsoft 365-Verbindung, Microsoft Graph, Entra ID und konfigurierte Azure-Dienste. Standort: Europäische Union.

Microsoft Azure OpenAI

GPT-Modelle für die KI-Funktionen des Dienstes. Standort: Europäische Union.

Datadog Inc.

Anwendungsüberwachung und Observability. Standort: Europäische Union.

Vercel Inc.

Hosting der Frontend-Schnittstellen (Verkäufer-Frontend, öffentliche Website). Standort: Europäische Union.

Auth0 (Okta)

Identitätsmanagement und SSO. Standort: Europäische Union.

Amazon Cognito

Benutzerauthentifizierung und Identitätsmanagement. Standort: Europäische Union.

SendGrid (Twilio Inc.)

Versand transaktionsbezogener E-Mails (Benachrichtigungen, Konten). Standort: Europäische Union.

8. Datenstandort

Präferenz

Catalog bevorzugt das Hosting und die Verarbeitung von Daten innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums.

Vertragliche Verpflichtungen

Sehen die gegenüber einem Kunden eingegangenen vertraglichen Verpflichtungen ein Hosting oder eine Verarbeitung ausschließlich innerhalb des Europäischen Wirtschaftsraums vor, so haben diese spezifischen Verpflichtungen für den betreffenden Kunden Vorrang.

Übermittlungen außerhalb des EWR

Sollte eine Übermittlung außerhalb des Europäischen Wirtschaftsraums erforderlich werden, stellt Catalog sicher, dass ein mit DSGVO konformer Übermittlungsmechanismus genutzt wird, wie etwa ein Angemessenheitsbeschluss, die Standardvertragsklauseln der Europäischen Kommission oder eine sonstige geeignete Schutzmaßnahme.

9. Aufbewahrungsfristen

Kontodaten

Für die gesamte Dauer des Vertragsverhältnisses, anschließend 3 Jahre zu Beweiszwecken.

Zugehörige E-Mails und Anhänge

So lange wie für die Erbringung des Dienstes erforderlich; anschließend Löschung innerhalb eines angemessenen Zeitraums nach Beendigung, Deaktivierung des Postfachs oder einer entsprechenden Aufforderung, sofern keine gesetzliche oder vertragliche Verpflichtung etwas anderes vorsieht.

Archivierte Anhänge

Auf S3 archivierte Anhänge für Zwecke der Smart Order-Extraktion: so lange wie für die Erbringung des Dienstes erforderlich, gemäß den für den Kunden geltenden Einstellungen.

Technische Protokolle

Beschränkt auf die Erfordernisse von Überwachung, Sicherheit, Diagnose und Dienstkontinuität, gemäß den für die betroffenen Systeme geltenden Einstellungen.

BigQuery-Analysedaten

Standardmäßig 13 Monate, konfigurierbar.

Buchhaltungsdaten und Rechnungen

10 Jahre (gesetzliche Verpflichtung).

10. Sicherheit

Maßnahmen

Wir setzen angemessene technische und organisatorische Maßnahmen um: TLS-Verschlüsselung bei der Übertragung, Verschlüsselung ruhender Daten (Encryption-at-Rest) für OAuth-Token und Secrets, strikte Trennung von Umgebungen und Daten pro Kunde, rollenbasierte Zugriffssteuerung, Protokollierung und Alarmierung, Code-Reviews, automatisierte Tests sowie kontinuierliche Überwachung.

Google-Sicherheitsbewertungen

Catalog erstellt oder durchläuft die von Google für die Nutzung eingeschränkter Gmail-Bereiche (Scopes) geforderten Sicherheitsbewertungen, sofern diese Bereiche für den Dienst erforderlich sind.

11. Ihre Rechte

Auskunft, Berichtigung, Löschung

Auskunft über Ihre personenbezogenen Daten sowie deren Berichtigung und Löschung.

Einschränkung und Widerspruch

Einschränkung der Verarbeitung und Widerspruch gegen die Verarbeitung.

Übertragbarkeit

Übertragbarkeit Ihrer Daten.

Widerruf der Einwilligung

Jederzeitiger Widerruf der Einwilligung ohne Rückwirkung.

Anweisungen für den Todesfall

Festlegung von Anweisungen zum Verbleib Ihrer Daten nach Ihrem Tod.

Beschwerde

Einreichung einer Beschwerde bei der CNIL (cnil.fr).

12. Cookies

Einwilligungsmodul

Beim ersten Laden der Website werden Sie über ein Einwilligungsmodul gebeten, drei Kategorien von Cookies zu akzeptieren oder abzulehnen: unbedingt erforderlich (festgelegt; speichert nur Ihre Auswahl), Reichweitenmessung (Google Analytics) und Werbung (Google Ads, LinkedIn). Die Ablehnung ist ebenso einfach wie die Zustimmung, und Sie können Ihre Entscheidung jederzeit auf derSeite „Cookies“ändern, die über die Fußzeile erreichbar ist.

Detaillierte Liste

Eine detaillierte Liste der verwendeten Cookies und Speichertechnologien sowie deren Herkunft und Speicherdauer ist auf dieser „Cookies“-Seite veröffentlicht.

13. Änderungen

Aktualisierungen

Wir können diese Richtlinie aktualisieren, um rechtlichen, technischen oder geschäftlichen Entwicklungen Rechnung zu tragen. Das Datum der letzten Aktualisierung ist oben auf der Seite angegeben. Bei wesentlichen Änderungen werden wir Sie per E-Mail oder über die Anwendung benachrichtigen.