Datenschutzerklärung

Stand: 28. Oktober 2026

Diese Hinweise erläutern die Datenverarbeitung bei QORLYNT – der eigenständigen Plattform für Terminorganisation, Kundenkommunikation und Unternehmensautomatisierung von Smart TB Tech. Welche Verarbeitung stattfindet, richtet sich nach den tatsächlich genutzten Funktionen und angebundenen Diensten.

Inhalt dieser Seite

1. Verantwortlicher und Datenschutzkontakt

Smart TB Tech UG (haftungsbeschränkt), Oberviehhausen 7, 84533 Haiming, Deutschland. Geschäftsführer: Bernhard Waldherr und Thomas Elbl. E-Mail: support@qorlynt.com; Telefon: +49 8678 4499811. Technischer Support: support@qorlynt.com.

QORLYNT ist eine Produktmarke und keine eigenständige juristische Person. Diese Hinweise gelten für die QORLYNT-Website und die über QORLYNT bereitgestellten Dienste. Andere Produkte von Smart TB Tech haben eigene Datenschutzhinweise.

2. Unsere Rolle und die Rolle des nutzenden Unternehmens

Für die eigene Website, die Verwaltung unserer Vertragsbeziehungen, Abrechnung, eigene Supportanfragen und die Absicherung unserer Dienste handeln wir grundsätzlich als Verantwortlicher.

Verarbeitet ein Unternehmen über QORLYNT Daten seiner Kunden, Interessenten, Mitarbeiter oder Geschäftspartner für eigene Zwecke, bestimmt grundsätzlich dieses Unternehmen die Zwecke und Rechtsgrundlagen. Wir verarbeiten diese Betriebsdaten als Auftragsverarbeiter nach dokumentierter Weisung und auf Grundlage einer Vereinbarung nach Art. 28 DSGVO. Die Datenschutzerklärung ersetzt diese Vereinbarung nicht.

Für eine Buchung oder einen Kundendialog mit einem solchen Unternehmen gelten zusätzlich dessen Datenschutzhinweise. Es entscheidet insbesondere über seine Leistungen, Mitarbeiterplanung, Kommunikationskanäle, KI-Nutzung und Aufbewahrung. Externe Anbieter können für eigene Konto-, Sicherheits- oder Abrechnungszwecke selbst verantwortlich sein. Die Rollen sind je Verarbeitung zu unterscheiden.

3. Herkunft der Daten und erforderliche Angaben

Wir erhalten Daten von Ihnen, von den berechtigten Nutzern Ihres Unternehmens und aus ausdrücklich verbundenen Diensten. Dazu gehören manuelle Eingaben, CSV-/Excel-Importe, Buchungsformulare, Nachrichten, Kalenderimporte und eingerichtete Automationen. Beim technischen Zugriff fallen zusätzlich Verbindungsdaten an.

Pflichtangaben werden für die jeweilige Funktion benötigt, etwa eine E-Mail-Adresse für Anmeldung oder Buchungsbestätigung. Ohne diese Daten kann die betreffende Funktion nicht oder nur eingeschränkt bereitgestellt werden. Freitext, zusätzliche Kontaktfelder, optionale Integrationen und freiwillige Kontextangaben sind nicht generell erforderlich. Bitte übermitteln Sie nur die für den jeweiligen Zweck nötigen Daten.

Bei Daten, die ein Unternehmen nicht unmittelbar bei der betroffenen Person erhebt, muss es die Informationspflichten, insbesondere nach Art. 14 DSGVO, und die Zulässigkeit der jeweiligen Datenquelle prüfen.

Erhalten wir für unsere eigene Vertrags-, Konto- oder Kontaktverwaltung personenbezogene Daten mittelbar, stammen sie insbesondere vom Arbeitgeber beziehungsweise beauftragenden Unternehmen, von dessen Administratoren oder Ansprechpartnern und von beteiligten Zahlungs- oder Anmeldediensten. Dabei geht es um die in diesen Hinweisen beschriebenen Kontakt-, Rollen-, Vertrags-, Zahlungs- und technischen Daten. Soweit Art. 14 DSGVO anwendbar ist und keine gesetzliche Ausnahme vorliegt, stellen wir die erforderlichen Informationen spätestens innerhalb eines Monats, bei früherer Kontaktaufnahme spätestens bei dieser und bei früherer Offenlegung spätestens bei der ersten Offenlegung bereit. Vor einer Weiterverarbeitung für einen anderen Zweck informieren wir nach Maßgabe der Art. 13 Abs. 3 beziehungsweise 14 Abs. 4 DSGVO.

4. Website, Hosting und technische Protokolle

Beim Aufruf werden insbesondere IP-Adresse, Anfragezeitpunkt, aufgerufene Adresse, Browser-/Geräteinformationen, Antwortstatus und technische Fehler verarbeitet. Dies dient Auslieferung, Verbindungsaufbau, Fehleranalyse und Schutz vor missbräuchlichen Zugriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unsere berechtigten Interessen sind ein sicherer und funktionsfähiger Dienst.

Für Hosting, Datenbankbetrieb, Sicherungen und Authentifizierung nutzt QORLYNT Infrastruktur von Amazon Web Services (AWS). Unsere QORLYNT-Umgebung umfasst insbesondere EC2 und EBS für Server und Speichermedien, S3 für Sicherungen, Cognito für Identitäten sowie DynamoDB und Secrets Manager für jeweils konfigurierte Daten beziehungsweise Geheimnisse. Zu unserer AWS-Infrastruktur gehören außerdem Verwaltungs-, Netzwerk- und Sicherheitsdienste wie CloudFormation, IAM, VPC und Systems Manager. Weitere tatsächlich eingesetzte AWS-Dienste werden nach ihrem konkreten Datenfluss beurteilt; die Nennung eines Dienstes bedeutet nicht, dass jede Datenart dort liegt. Der Anwendungscode nutzt auch PostgreSQL für Betriebsdaten. Die Anmeldung erfolgt über einen eigenen Amazon-Cognito-Dienst für QORLYNT. AWS ist insoweit technischer Dienstleister; für europäische Vertragsbeziehungen ist regelmäßig AWS EMEA SARL, Luxemburg, zuständig. Informationen: https://aws.amazon.com/de/privacy/.

Der Standort regionaler Anwendungsressourcen in Stockholm bedeutet nicht, dass alle AWS-Verwaltungsdaten und Anbieterprozesse ausschließlich dort verbleiben. AWS beschreibt etwa für IAM eine gemeinsame Verwaltungsebene für kommerzielle Regionen in den USA und regionale Berechtigungsebenen. Die konkreten Zugriffe und Übermittlungen sind anhand der tatsächlich eingesetzten Dienste und Verträge zu prüfen. Hinweise zu Empfängern und Drittlandübermittlungen finden Sie weiter unten. Informationen zur IAM-Architektur: https://docs.aws.amazon.com/IAM/latest/UserGuide/disaster-recovery-resiliency.html. Technische Protokolle werden für Betrieb und Sicherheit benötigt und nicht allein aufgrund einer Kontaktlöschung automatisch entfernt.

5. Nutzerkonto, Unternehmen, Team und Berechtigungen

Wir verarbeiten E-Mail-Adresse, Nutzerkennung, persönlichen Anzeigenamen, Sprach- und Darstellungseinstellungen, Unternehmensangaben, Mitgliedschaften, Einladungen, Rollen, Berechtigungen, Anmelde- und Sitzungsdaten sowie Konto- und Paketstatus. Zur Kontosicherheit gehören insbesondere die Einrichtung und der Status einer Zwei-Faktor-Anmeldung, Gerätebezeichnung, Anmelde- und letzte Nutzungszeit aktiver Sitzungen sowie Art und Zeitpunkt jüngerer Sicherheitsereignisse. Dies ermöglicht Anmeldung, persönliche Profileinstellungen, Mandantenzuordnung, Teamverwaltung, Kontoschutz und die Durchsetzung gebuchter Berechtigungen. Sicherheitsereignisse enthalten keine in diesem Bereich angezeigten Passwörter oder Einmalcodes.

Rechtsgrundlage für eigene Vertrags- und Kontoverwaltung ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist. Bei Mitarbeitern und Ansprechpartnern eines Unternehmens stützen wir die erforderliche Geschäftskontakt- und Berechtigungsverwaltung auf Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist die Durchführung und Absicherung der Geschäftsbeziehung. Verarbeitung nach Kundenweisung richtet sich nach der Auftragsverarbeitung.

Berechtigte Administratoren können innerhalb ihres Unternehmens auf Daten entsprechend ihrer Rolle zugreifen. Nutzen Sie individuelle Zugänge und geben Sie Passwörter oder Bestätigungslinks nicht weiter.

Bei freiwillig aktivierten Web-Push-Mitteilungen verarbeiten wir für angemeldete Nutzer eine dem Unternehmen und Nutzer zugeordnete Browser-Push-Adresse, einen technischen Adressabdruck, die gewählten Benachrichtigungsarten sowie Versandstatus und Zustellversuche. Dies dient der vom Nutzer gewünschten Benachrichtigung über betriebliche Ereignisse und der zuverlässigen Zustellung. Die Adresse wird zur Zustellung an den Push-Dienst des jeweiligen Browsers oder Betriebssystems übermittelt; je nach Gerät können insbesondere Dienste von Google, Mozilla, Apple oder Microsoft beteiligt sein. Die Push-Nachricht enthält nur einen allgemeinen Hinweis ohne Kunden- oder Termindetails; Einzelheiten werden erst nach Anmeldung in QORLYNT angezeigt. Die Aktivierung setzt eine bewusste Auswahl und die Browserfreigabe voraus und kann in den Einstellungen deaktiviert werden. Bei erfolgreicher Deaktivierung wird die zugehörige Registrierung serverseitig entfernt; die Browserfreigabe kann zusätzlich in den Geräteeinstellungen verwaltet werden. Bereits erstellte Zustellnachweise können bis zur regulären Bereinigung fortbestehen. Die Verarbeitung betrieblicher Ereignisse erfolgt im Auftrag des Kunden; für die eigene Bereitstellung und Absicherung des Nutzerkontos gilt die oben erläuterte Rechtsgrundlage.

6. Browser-Speicher und eingebettete Funktionen

Für Anmeldung, sichere Rückkehr aus der Anmeldung, Sitzungen, Chat-Zugriff und gewählte Darstellung können Cookies sowie lokaler Browser- oder Sitzungsspeicher verwendet werden. Ein verifizierter Webchat speichert seine Zugangskennung im Sitzungsspeicher des jeweiligen Browser-Tabs. Beim Laden eines eingebetteten QORLYNT-Buchungsfensters entsteht eine Verbindung zu QORLYNT.

Das Sitzungscookie q_session läuft ohne ausdrücklich gewählte Option „angemeldet bleiben“ spätestens nach zwölf Stunden ab. Bei dieser Option kann eine Sitzung eines Nicht-Betreiberkontos bis zu 30 Tage bestehen; sie endet zuvor nach sieben Tagen ohne Nutzung. Betreiberkonten erhalten diese Option nicht. Der Anwendungszugang wird innerhalb der Sitzung zeitlich begrenzt und bei zulässiger weiterer Nutzung erneuert; Abmeldung oder Sicherheitsänderungen können ihn früher beenden. q_login für die sichere Anmeldung ist bis zu zehn Minuten gültig. q-theme speichert die gewählte Darstellung, q-selected-plan die Paketauswahl im lokalen Browser-Speicher; diese Einträge haben keine eigene automatische Ablauffrist. Kurzzeitige Verbindungs- und Chat-Einträge werden im Sitzungsspeicher gehalten und bei Abschluss des jeweiligen Ablaufs beziehungsweise durch den Browser entfernt. Die technische Gültigkeit eines Tokens ist von einer eventuellen Speicherung des zugehörigen Sicherheitsnachweises zu unterscheiden.

Bei Nutzung der installierbaren Web-App wird ein Service Worker registriert. Sein Offline-Cache enthält ausschließlich statische Hinweisseiten; angemeldete Seiten, API-Antworten, Kontakte, Nachrichten und Zugangsdaten werden nicht für die Offline-Nutzung gespeichert. Für die gewählte Sprache und einen allgemeinen Benachrichtigungstext kann außerdem ein lokaler Browser-Datenspeicher (IndexedDB) verwendet werden. Die Lebensdauer solcher Browserdaten richtet sich auch nach Browser und Geräteeinstellungen; sie können über die Browserdatenverwaltung entfernt werden.

Unbedingt erforderliche Speicherung beziehungsweise Zugriffe für einen ausdrücklich gewünschten Dienst beruhen auf § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende personenbezogene Verarbeitung richtet sich nach der jeweils beschriebenen DSGVO-Rechtsgrundlage. Einwilligungsbedürftige, nicht erforderliche Zugriffe dürfen nur mit Einwilligung nach § 25 Abs. 1 TDDDG erfolgen; für personenbezogene Daten gilt dann Art. 6 Abs. 1 lit. a DSGVO.

Die hier beschriebenen Produktfunktionen sind kein pauschales Einverständnis mit Werbung oder Tracking. Browser-Speicher lässt sich über den Browser löschen; dadurch können Anmeldung, Einstellungen oder Chat-Zugriff verloren gehen. Auf fremden Websites gelten ergänzend die Hinweise des jeweiligen Websitebetreibers.

6a. Freiwillige Website-Statistik mit Google Analytics

Unsere öffentliche Website bietet Google Analytics 4 als freiwillige Statistikfunktion an. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Erst nach Ihrer aktiven Zustimmung laden wir das Google-Skript und übermitteln Nutzungsdaten. Ohne Zustimmung werden keine Analytics-Anfragen ausgelöst. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG für Endgerätezugriffe und Art. 6 Abs. 1 lit. a DSGVO für die personenbezogene Verarbeitung.

Erfasst werden aufgerufene öffentliche Seiten, Zeitpunkte, pseudonyme Cookie-Kennungen sowie technische Browser-, Geräte- und Verbindungsdaten. Google verarbeitet die beim Verbindungsaufbau übermittelte IP-Adresse; GA4 speichert nach Anbieterangaben keine individuellen IP-Adressen. URL-Abfrageparameter, Fragmente und Verweisadressen werden von unserer Seitenaufrufmessung nicht übermittelt. Kundenbereich, Buchungsseiten, Mitarbeiterzugänge und Kalender-Verbindungsseiten sind von dieser Website-Messung ausgeschlossen. Google Signals, Werbepersonalisierung und die erweiterte automatische Ereignismessung werden nicht eingesetzt.

Die getrennten Entscheidungen zu Statistik und Google Ads werden mit Version, Auswahl und Zeitstempel unter qorlynt-consent im lokalen Browser-Speicher für 180 Tage berücksichtigt; abgelaufene oder ungültige Entscheidungen berechtigen nicht zur Messung. Analytics verwendet eigene Cookies mit dem Präfix qorlynt_ga und einer konfigurierten Laufzeit von maximal 180 Tagen ohne Verlängerung bei jedem Seitenaufruf. Browser können diese Frist verkürzen. Ereignis- und nutzerbezogene Detaildaten in GA4 werden für zwei Monate aufbewahrt; zusammengefasste Standardberichte können länger bestehen.

Über Cookie-Einstellungen im Seitenfuß können Sie ebenso einfach ablehnen wie zustimmen, Statistik und Werbung getrennt wählen, Ihre Auswahl ändern oder eine Einwilligung mit Wirkung für die Zukunft widerrufen. Beim Widerruf stoppen wir die betroffene Messung, entfernen deren über die Website gesetzte und technisch erreichbare Cookies und laden die Seite neu. Bereits rechtmäßig übermittelte Daten werden dadurch nicht automatisch bei Google gelöscht. Die Nutzung der Website bleibt auch ohne Statistik möglich.

Google kann Daten auch in den USA verarbeiten, insbesondere durch Google LLC. Für Übermittlungen an nach dem EU-US Data Privacy Framework zertifizierte US-Empfänger wird der entsprechende Angemessenheitsbeschluss genutzt; soweit erforderlich kommen geeignete Garantien wie EU-Standardvertragsklauseln hinzu. Informationen zu Google Analytics, den Datenverarbeitungsbedingungen und Datenschutz: https://support.google.com/analytics/answer/12017362, https://business.safety.google/adsprocessorterms/ und https://policies.google.com/privacy. Ihre unten beschriebenen Betroffenenrechte bleiben unberührt.

6b. Werbung über Google Ads

Google Ads kann für QORLYNT-Werbung eingesetzt werden. Wenn Anzeigen geschaltet werden, verarbeitet Google Daten im Rahmen der Anzeige und des Klicks nach eigenen Bedingungen, bereits bevor Sie unsere Website besuchen. Beim Aufruf einer beworbenen QORLYNT-Seite können Kampagnen- oder Klickparameter Teil der angefragten Adresse und damit technischer Server-Protokolle sein. Rechtsgrundlage für unsere Auswertung der Werbemaßnahmen und die Zuordnung eingehender Anfragen ist, soweit keine gesonderte Einwilligung erforderlich ist, Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Bewertung und wirtschaftliche Durchführung unserer Werbung. Eine gesonderte Nutzung von Endgerätedaten zu Werbezwecken setzt, sofern gesetzlich erforderlich, Ihre Einwilligung voraus.

Auf den öffentlichen QORLYNT-Seiten kann ein Google-Ads-Basistag von Google Ireland Limited geladen werden, sobald eine gültige AW-Kennung konfiguriert ist und Sie der gesonderten Werbeauswahl zugestimmt haben. Ohne diese Einwilligung laden wir keinen Ads-Tag und senden auch keine einwilligungslosen Google-Ads-Messsignale. Die Statistikentscheidung für Google Analytics aktiviert den Ads-Tag nicht. Der Tag kann technische Verbindungsdaten, besuchte öffentliche Seiten sowie Anzeigen-Klickkennungen verarbeiten und Werbe-Cookies mit Kennungen wie _gcl_* setzen. Anzeigenklickkennungen können aus der aufgerufenen URL für die Zuordnung verwendet werden; die getrennte Analytics-Seitenaufrufmessung übermittelt weiterhin keine URL-Abfrageparameter oder Verweisadressen. Rechtsgrundlagen für die optionale Ads-Messung sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Aktuell sind weder personalisierte Werbung noch Remarketing oder erweiterte Conversions über diesen Website-Tag freigeschaltet. Ein konkretes Conversion-Ereignis wird erst nach gesonderter technischer Zuordnung einer passenden Google-Ads-Aktion gesendet. Nach Widerruf stoppen wir den Tag, verweigern die Ads-Einwilligungssignale, löschen die für diese Integration erreichbaren Host-Cookies und laden neu; zuvor übermittelte Daten werden dadurch nicht automatisch bei Google gelöscht. Auch Google LLC in den USA kann beteiligt sein; für Drittlandübermittlungen gelten die in Ziffer 15 erläuterten Voraussetzungen. Informationen: https://policies.google.com/privacy und https://business.safety.google/adsprocessorterms/.

7. Buchungen, Kontakte, Mitarbeiter und Betriebsorganisation

Bei mehreren Standorten werden Betriebsdaten und Berechtigungen einem Standort oder ausdrücklich mehreren Standorten zugeordnet. Dazu gehören Mitarbeiterzuordnungen, Buchungslinks, Kalender, Kommunikationskanäle und standortbezogene Einstellungen. Ein Standortwechsel ist keine Weitergabe an ein anderes Unternehmen; standortübergreifende Zugriffe richten sich nach den vergebenen Berechtigungen. Der Kunde prüft insbesondere die Zulässigkeit der standortübergreifenden Nutzung von Beschäftigtendaten.

Je nach Nutzung verarbeitet QORLYNT Namen, E-Mail-Adressen, Telefonnummern, Kontaktkennungen, Tags, frei definierte Felder, Einwilligungs- und Sperrstatus, Leistungen, Termine, Ressourcen, zugeordnete Mitarbeiter, Öffnungszeiten, Abwesenheiten, Notizen, Aufgaben, Wartelisten und Änderungsstände. Freiwillige Felder können etwa Geburtstage oder Einsatzadressen enthalten.

Diese Daten dienen Kundenverwaltung, Terminvergabe und -änderung, Erinnerungen, Vorbereitung, Nachbesetzung und betrieblicher Planung. Terminreservierungen über öffentliche Buchungsseiten werden per E-Mail verifiziert; private Verwaltungslinks ermöglichen die zugehörige Terminverwaltung und dürfen nicht öffentlich geteilt werden. Ist eine manuelle Freigabe aktiviert, bleibt die Anfrage nach E-Mail-Bestätigung zunächst als Vormerkung gespeichert und blockiert den Zeitraum in QORLYNT. Die hinterlegte Empfängeradresse des Betriebs, Anfrage, Status und Freigabeentscheidung werden verarbeitet; Benachrichtigungen gehen an den Betrieb und nach Entscheidung an die buchende Person. Erst die Freigabe erzeugt den bestätigten Termin und gegebenenfalls einen Eintrag im verbundenen Kalender. Ablehnung oder Stornierung gibt den Zeitraum frei.

Importierte Kontakte erhalten nicht allein durch den Import eine Werbeeinwilligung. Eine postalische Gruppierung von Vor-Ort-Terminen ist keine GPS-Ortung. Angaben zu Mitarbeitern, Abwesenheiten und Aufgaben können Beschäftigtendaten sein; die rechtlichen Voraussetzungen dafür prüft das nutzende Unternehmen.

Für diese Betriebsdaten handeln wir grundsätzlich nach Kundenweisung. Das Unternehmen bestimmt eine geeignete Rechtsgrundlage, zum Beispiel Vertragserfüllung, zulässige berechtigte Interessen oder eine erforderliche Einwilligung. Besonders sensible Angaben, etwa Diagnosen oder Gesundheitsinformationen, sollen nicht in allgemeine Notiz- oder Nachrichtenfelder eingetragen werden. Ihre Verarbeitung setzt zusätzlich eine tragfähige Rechtsgrundlage nach Art. 9 DSGVO und eine dafür geeignete, vereinbarte Verarbeitung voraus.

Beim CSV-/Excel-Kontaktimport wird die ausgewählte Datei zunächst im Browser eingelesen; die Originaldatei wird nicht als Datei hochgeladen. Zugeordnete, normalisierte Kontaktzeilen und erforderliche Fehler- und Abgleichangaben werden für den fortsetzbaren Import als Vorschau beziehungsweise Auftragsdaten auf dem QORLYNT-Server gespeichert, bevor Kontakte übernommen werden. Erst eine ausdrückliche Freigabe schreibt die Kontakte; dabei können bereits übernommene Stapel auch nach einem Abbruch bestehen bleiben. Abgebrochene Aufträge entfernen ihre noch nicht übernommenen Vorschauzeilen; sonst werden Importaufträge und Staging-Daten nach sieben Tagen bereinigt. Die bereits übernommenen Kontakte bleiben hiervon unberührt. Nicht zugeordnete Quelldaten werden nicht übernommen. Der Import erteilt keine Werbeeinwilligung und hebt vorhandene Nachrichtensperren nicht auf.

8. Google Kalender und Microsoft Outlook

Bei ausdrücklich eingerichteten Online-Terminen können Google Meet oder Microsoft Teams Besprechungen im ausgewählten Organisatorkalender erstellen und bei Änderung oder Absage aktualisieren. Dabei werden erforderliche Termin- und Teilnehmerdaten, Organisator- und Kalenderkennungen sowie Besprechungslinks verarbeitet und an den verbundenen Anbieter übermittelt. Einladungen können durch den Kalenderanbieter versandt werden; die Besprechung selbst findet bei diesem Anbieter statt. Besprechungslinks sind nur für die vorgesehenen Teilnehmer bestimmt. Die QORLYNT-Integration aktiviert keine Aufzeichnung oder Transkription der Besprechung; etwaige vom Organisator separat aktivierte Anbieterfunktionen bedürfen einer eigenen Prüfung und Information.

Erst nach einer veranlassten Verbindung und Freigabe greifen wir auf die ausgewählten Kalender zu. Verarbeitet werden Anbieter-/Kalenderkennungen, verschlüsselte Zugangs- und Erneuerungsberechtigungen, ausgewählte Kalender, Terminzeiten, Zeitzonen, Titel, Verfügbarkeiten, Ressourcen, Synchronisationsstatus und – abhängig von Funktion und Freigabe – Termindetails und Teilnehmerdaten.

Kalenderabgleich verhindert Terminüberschneidungen und ermöglicht gemeinsame Ansichten. Freigegebene Schreibfunktionen können Termine anlegen, verschieben oder absagen. Ein optionaler Teilnehmerimport ist von einer Einwilligung in Nachrichten zu unterscheiden. Bei der Spiegelung von QORLYNT-Terminen werden Zuordnungs- und Synchronisationsnachweise gespeichert.

Die Verbindung lässt sich im Portal trennen. Dies stoppt die reguläre Nutzung dieser QORLYNT-Verbindung; vorhandene Termine beim Anbieter und erforderliche Zuordnungsnachweise werden dadurch nicht automatisch gelöscht. Eine QORLYNT-interne Sperrung ersetzt nicht zwingend den Widerruf der App-Berechtigung im Google- oder Microsoft-Konto.

Google-Informationen: https://policies.google.com/privacy. Microsoft-Informationen: https://privacy.microsoft.com/privacystatement. Für eigene europäische Dienste kommen insbesondere Google Ireland Limited beziehungsweise die in den Microsoft-Vertrags- und Datenschutzhinweisen benannten Gesellschaften in Betracht.

Die Freigabe im Google- oder Microsoft-Konto ist eine technische Zugriffsberechtigung und ersetzt nicht die Rechtsgrundlage für die Daten anderer Personen. Für Google-API-Daten gelten zusätzlich die Nutzungsbeschränkungen der Google API Services User Data Policy: https://developers.google.com/terms/api-services-user-data-policy. Kunden dürfen die verbundenen Abläufe insbesondere nicht für den Verkauf solcher Daten, personalisierte Werbung oder unzulässige Überwachung einsetzen. Die beschriebenen nutzerbezogenen Funktionen begründen keine Freigabe zur Nutzung dieser Daten für beliebige andere Zwecke.

Die Nutzung von Informationen, die QORLYNT über Google Workspace APIs erhält, erfolgt in Übereinstimmung mit der Google API Services User Data Policy und der Google Workspace API User Data and Developer Policy einschließlich der Limited Use Requirements: https://developers.google.com/workspace/workspace-api-user-data-developer-policy.

QORLYNT verkauft Google-Nutzerdaten nicht und verwendet rohe, aggregierte oder abgeleitete Daten aus Google Workspace APIs nicht für Werbung oder Profiling und nicht, um allgemeine, fundamentale oder anderweitig generalisierte KI- oder Machine-Learning-Modelle zu erstellen, zu trainieren oder zu verbessern. Solche Daten werden von QORLYNT auch nicht zu diesen Zwecken an Dritte weitergegeben.

Soweit eine vom Nutzer aktiv veranlasste QORLYNT-Funktion autorisierte Google-Workspace-Daten mithilfe eines KI-Dienstes verarbeitet, werden nur die für diese konkrete Funktion erforderlichen Daten übermittelt. Die Verarbeitung dient ausschließlich der Bereitstellung oder Verbesserung dieser konkreten nutzerbezogenen QORLYNT-Funktion; QORLYNT gibt Google-Workspace-Daten nicht zum Training oder zur Verbesserung allgemeiner oder fundamentaler KI-/ML-Modelle frei.

9. WhatsApp, Telegram, Webchat und Nachrichten

Bei verbundenen Kanälen werden insbesondere Telefonnummern beziehungsweise Chat-/Nutzerkennungen, Unternehmens- und Kanalzuordnungen, Nachrichteninhalte, Vorlagen, Sprache, Medienlinks, Zeitpunkte, Zustellstatus sowie Einwilligungen und Widersprüche verarbeitet. Bilder können in QORLYNT hochgeladen oder über externe HTTPS-Adressen eingebunden werden. QORLYNT speichert hochgeladene Bilddateien und ihre Zuordnung; der erzeugte Freigabelink ermöglicht den Abruf ohne zusätzliche Anmeldung. Jeder mit Kenntnis des Links kann das Bild abrufen. Nutzen Sie solche Bilder nicht für vertrauliche Inhalte. Bei externen Bildadressen erhält auch der jeweilige Medienhost Verbindungsdaten.

WhatsApp wird über das vom Unternehmen verbundene WhatsApp-Business-Konto und dessen Telefonnummer genutzt. Telegram verwendet den verbundenen Bot. Beim Webchat werden E-Mail-Adresse, Verifikations- und Zugangsstatus, Gesprächsinhalte und begrenzter Sitzungskontext verarbeitet. Ein Bot-Start, ein Kontaktimport oder die bloße Nutzung eines Chats ersetzt keine erforderliche Werbeeinwilligung.

Unternehmen können Service-Nachrichten, Erinnerungen und rechtmäßig freigegebene Kampagnen einrichten. Ein STOP beziehungsweise eine gesetzte Kontaktsperre blockiert weitere von dieser Sperre erfasste Nachrichten. Werbliche E-Mails setzen eine hierfür tragfähige Rechtsgrundlage und die Beachtung der jeweils anwendbaren Werberegeln voraus; eine technische Freischaltung oder QORLYNT-Kontaktaufnahme begründet diese nicht. Bereits übermittelte Nachrichten lassen sich dadurch nicht sicher zurückrufen. Eine Nachrichtensperre löscht nicht automatisch die gesamte Kundenbeziehung.

WhatsApp-/Meta-Dienste und Telegram verarbeiten auch Daten in eigener Verantwortung. Anbieterinformationen: https://www.whatsapp.com/legal/privacy-policy-eea und https://telegram.org/privacy. Telegram-Bot-Kommunikation ist kein Ende-zu-Ende-verschlüsselter Secret Chat; auch geschäftliche API-Verarbeitung bei WhatsApp erfordert Zugriff auf Nachrichteninhalte durch die beteiligten Geschäftssysteme.

Bei der gesonderten Verbindung einer bestehenden WhatsApp Business App können – abhängig von der dort erteilten Freigabe und dem unterstützten Verbindungsmodus – vorhandene Kontakte und freigegebene Nachrichtenverläufe importiert sowie in der Business App gesendete Nachrichten in QORLYNT übernommen werden. Dabei werden insbesondere Telefonnummern, vorhandene Kontaktnamen, Nachrichtenkennungen, Textinhalte, Zeitpunkte und die Nachrichtenrichtung verarbeitet. Der historische Import erzeugt im vorgesehenen Ablauf weder eine Werbeeinwilligung noch automatisch eine KI-Antwort. Das Entfernen eines Kontakts in der Business App löscht den zugehörigen QORLYNT-Datensatz nicht automatisch.

10. Automationen und allgemeine Integrationen

Optional verbundene Teams-Benachrichtigungen und der Teams-Bot verarbeiten Microsoft-Mandanten-, Nutzer-, Gesprächs- und Zielkennungen, die Zuordnung zu einem berechtigten QORLYNT-Konto, ausgewählte Ereignisse, Befehle, Antworten und Zustellnachweise. Welche betrieblichen Angaben in einen Teams-Kanal oder Chat gelangen, richtet sich nach dem eingerichteten Ziel und den erlaubten Funktionen und Standorten. Das Unternehmen muss den Teilnehmerkreis des Zielkanals prüfen. Die Verknüpfung ersetzt keine QORLYNT-Berechtigung; vorgesehene Bestätigungen sind für Schreibaktionen erforderlich.

Über den optionalen MCP-Connector können vom Unternehmen autorisierte externe KI-Anwendungen freigegebene Betriebsdaten abrufen und erlaubte Aktionen anfragen. Dabei entstehen unter anderem Client-, Berechtigungs-, Standort-, Anfrage- und Bestätigungsnachweise. Der externe KI-Anbieter erhält die für die freigegebene Werkzeugfunktion ausgegebenen Daten und verarbeitet sie nach seinen eigenen Bedingungen. Auch ein lesender Zugriff kann personenbezogene Daten übertragen. Der Kunde prüft vor Freigabe Anbieterrolle, Vertrag, Aufbewahrung und Übermittlungsgrundlage und beschränkt die Berechtigungen auf das Erforderliche. Ein Widerruf beendet die betreffende QORLYNT-Berechtigung, löscht aber keine schon übertragenen Daten beim externen Anbieter.

Eingehende und ausgehende Webhooks können beispielsweise Make oder kundenseitig betriebene Automationssysteme verbinden. Je nach freigegebenem Ereignis beziehungsweise Befehl werden Termin-, Kontakt-, Rückruf-, Übergabe- und Statusdaten, Feldzuordnungen, Zieladressen, Signatur-/Berechtigungsnachweise und Wiederholungsprotokolle verarbeitet. Der Kunde wählt Empfänger, Aktionen und Standorte. Protokolle und gespeicherte Antworten können personenbezogene Inhalte enthalten und unterliegen einer gesonderten Aufbewahrungsprüfung. Ein Testversand an ein externes Ziel ist bereits eine Übermittlung; verwenden Sie dafür geeignete Testdaten.

Optionale Google-Bewertungsanfragen verwenden den vom Betrieb hinterlegten Link, erforderliche Kontakt- und Termininformationen, Kanal- und Vorlageneinstellungen sowie Versand-, Sperr- und Wiederholungsnachweise. Der Link allein aktiviert keinen automatischen Versand. Bewertungsaufforderungen können Werbung sein; eine Buchung oder ein vorhandener Kontakt ersetzt die erforderliche Einwilligung nicht. Das Unternehmen muss die Voraussetzungen insbesondere nach § 7 UWG prüfen. Google erhält beim Öffnen des Bewertungslinks Verbindungsdaten und bei Anmeldung gegebenenfalls Kontodaten; Bewertungen veröffentlicht die Person bei Google nach dessen Bedingungen.

Bei aktivierten Automationen verarbeiten wir Ablaufdefinitionen, Versionen, Auslöser, Eingaben, Ergebnisse, Ausführungszeitpunkte, Status- und Fehlerdaten, Berechtigungen und Verbrauchswerte. Welche Inhalte übertragen werden, bestimmt die eingerichtete Verbindung und Aktion. Externe Aktionen können reale Auswirkungen haben, beispielsweise eine E-Mail versenden oder einen Kalendertermin verändern.

Allgemeine Google-/Microsoft-Integrationen sind von der reinen Kalenderverbindung zu unterscheiden: Freigegebene Automationen können zusätzlich E-Mails lesen oder senden; die Microsoft-Integration kann auch Kontakte lesen und bearbeiten. SMTP-/IMAP-Verbindungen verarbeiten konfigurierte Server-, Konto- und Zugangsdaten sowie die für Versand oder Abruf benötigten Nachrichten- und Metadaten. Ein IMAP-Abruf ist eine eingerichtete Automationsquelle und kein pauschaler Import aller historischen E-Mails.

Über gesondert eingerichtete OpenAI-, Stripe- oder HTTP-Verbindungen können die für den betreffenden Ablauf ausgewählten Inhalte und Anbieterkennungen verarbeitet werden. Kundenbezogene API-Schlüssel werden geschützt gespeichert. Der Kunde muss den Empfänger und die Datenübermittlung für seinen konkreten Ablauf prüfen. Eine im Katalog dargestellte, aber nicht aktivierte Integration verursacht allein dadurch keinen Datenabruf.

Gesondert aktivierte externe Anbindungen können Kontakte, Verfügbarkeiten und Termine über REST oder WebSocket austauschen und freigegebene Nachrichten planen. Optionale ausgehende Webhooks übertragen ausgewählte Terminereignisse an den vom Unternehmen eingerichteten HTTPS-Empfänger; berechtigte Abrufe können zusätzlich Kontaktdetails umfassen. Verarbeitet werden außerdem Feldzuordnungen, externe Objektkennungen, Versionen, Befehls- und Ereigniskennungen, Berechtigungen, Verbindungs-/Zustellstatus, Fehler- und Wiederholungsnachweise sowie Verbrauchszähler. Zugangstokens werden als Hash, Webhook-Signaturschlüssel verschlüsselt gespeichert. Das Unternehmen bestimmt den Empfänger und die freigegebenen Zwecke und muss auch dessen Rollen, Rechtsgrundlagen und gegebenenfalls Drittlandübermittlungen prüfen. Ein externer Import erteilt keine neue Nachrichteneinwilligung.

11. KI-Funktionen und OpenAI

Die produktseitige KI nutzt die OpenAI-API. Je nach Funktion werden Anweisungen, Unternehmenswissen, Leistungsinformationen, ausgewählter Kontaktkontext, Betriebs- und Einrichtungseinstellungen, freigegebene Kalenderinformationen oder ein begrenzter Nachrichten- beziehungsweise Assistentenverlauf an OpenAI übermittelt. Antworten, Vorschläge und Verbrauchswerte können für die jeweilige Funktion in QORLYNT gespeichert werden. Die allgemeine OpenAI-Integration verwendet dagegen den vom Kunden eingerichteten Zugang und die im Ablauf ausgewählten Daten.

Wenn eine ausdrücklich veranlasste KI-Funktion autorisierte Daten aus Google Workspace benötigt, beschränkt QORLYNT die Übermittlung auf den für diese konkrete Funktion erforderlichen Inhalt. Google-Workspace-Daten werden durch QORLYNT weder zum Aufbau, Training oder zur Verbesserung allgemeiner oder fundamentaler KI-/ML-Modelle verwendet noch zu diesem Zweck freigegeben. Diese Beschränkung gilt auch für aus Google-Workspace-Daten abgeleitete Informationen.

Der Mitarbeiterassistent unterstützt mit Antworten und Vorschlägen; Schreibaktionen erfordern die vorgesehene Bestätigung. Bei aktivierten Kundendialogen können KI-Antworten automatisch versandt werden. Buchungs- und Rückrufvorschläge werden erst nach der vorgesehenen ausdrücklichen Bestätigung umgesetzt. Mitarbeiter können die KI-Bearbeitung eines Kontakts pausieren.

Bei direkten KI-Kundendialogen ist der Webchat bereits vor der Eingabe als KI-Chat gekennzeichnet; automatisch versandte Antworten über verbundene Nachrichtenkanäle tragen im vorgesehenen Ablauf die Kennzeichnung „KI-Assistent“. Der Kunde darf diese Information gegenüber seinen Gesprächspartnern nicht entfernen oder verdecken. Bei den textbasierten produktseitigen KI-Anfragen wird die Speicherung der Antwort als abrufbarer API-Zustand deaktiviert (store: false). Das ist keine Zusage, dass OpenAI keinerlei Daten speichert: Anbieterprozesse zur Sicherheit und Missbrauchsbekämpfung können weiterhin Inhalte und Metadaten verarbeiten. Die tatsächlichen Aufbewahrungs- und Regionalbedingungen richten sich nach dem eingesetzten OpenAI-Vertrag und der Kontokonfiguration. Informationen: https://openai.com/policies/privacy-policy/ und https://developers.openai.com/api/docs/guides/your-data.

Für die Auftragsverarbeitung bestimmt das nutzende Unternehmen die Rechtsgrundlage und informiert seine Gesprächspartner über den KI-Einsatz. Die Plattform ist nicht für ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO vorgesehen. KI kann Fehler machen; fachlich oder rechtlich erhebliche Entscheidungen dürfen nicht ungeprüft aus Antworten übernommen werden.

Bei entsprechend freigeschalteter Gesprächsauswertung können aus ausdrücklich geäußerten Kundenzusagen Vorschläge für Aufgaben beziehungsweise nächste Schritte entstehen. Dazu können das zugehörige Textzitat und ein ausdrücklich genannter Termin gespeichert werden. Diese Vorschläge sind zur Prüfung durch Mitarbeiter bestimmt und keine verbindliche Beurteilung der Person. Ob eine konkrete automatisierte Verarbeitung Art. 22 DSGVO unterliegt, bestimmt sich nach ihrer tatsächlichen Wirkung; eine bloße Bezeichnung als Assistenz schließt die Vorschrift nicht aus.

11a. Optionale KI-Telefonannahme (Voice)

Bei aktivierter Voice-Funktion nimmt ein KI-Assistent eingehende oder vom Betrieb umgeleitete Anrufe an. Twilio stellt den Telefonanschluss und die SIP-Weiterleitung bereit; OpenAI verarbeitet die Sprache in Echtzeit für Verständnis und Sprachausgabe. Übermittelt werden Gesprächsaudio und erforderlicher Gesprächskontext, darunter Unternehmensinformationen, Öffnungszeiten, Leistungen, Preise und verfügbare Termine. Anrufkennungen, Verbindungsstatus, Dauer, Verbrauch sowie bestätigte Angaben für Terminbuchungen und Rückrufbitten werden zweckgebunden verarbeitet. Eine Anruferkennung oder mündliche Namensangabe gilt nicht als verifizierte Identität; bestehende Kundendaten werden darüber nicht offengelegt.

Für die Bereitstellung einer Rufnummer werden Unternehmensname, Anschrift, Kontaktangaben, Ortsnetzangaben und die von Twilio verlangten Registrierungs- oder Identitätsnachweise verarbeitet und an Twilio übermittelt. QORLYNT schützt diese Angaben und hochgeladene Nachweise durch Verschlüsselung. Lokale Dokumentoriginale werden nach erfolgreicher Nachweisfreigabe entfernt; die lokalen Registrierungsangaben werden bei erfolgreicher Rufnummernbereitstellung gelöscht. Bei noch offener Prüfung oder Bereitstellung bleiben benötigte Angaben für die Fortsetzung verfügbar. Twilio kann Nachweise und Anschlussdaten nach eigenen gesetzlichen und vertraglichen Vorgaben länger aufbewahren.

QORLYNT speichert in dieser Funktion keine Gesprächsaufnahmen und keine vollständigen Gesprächstranskripte. Bestätigte Termine, Rückrufaufgaben und gegebenenfalls Benachrichtigungen bleiben als betriebliche Datensätze gespeichert. Vorübergehende Werkzeugergebnisse werden nach sieben Tagen, lokale Anrufmetadaten nach 90 Tagen gelöscht; für diese Fristen zählt der frühere Zeitpunkt aus bestätigtem Gesprächsende und vorgesehenem Anrufende. Für Termine, Kontakte, Aufgaben, Rechnungen und Sicherheitsnachweise gelten deren gesonderte Aufbewahrungsregeln. Die lokale Löschung beendet nicht automatisch die Aufbewahrung bei Twilio oder OpenAI. Anbieter können Daten für Betrieb, Sicherheit, Missbrauchsschutz und gesetzliche Pflichten verarbeiten; die konkrete Aufbewahrung hängt auch von Vertrag und Kontokonfiguration ab.

Der Betrieb bestimmt die Rechtsgrundlage für die Verarbeitung seiner Anruferdaten und informiert Anrufende vor der betreffenden Verarbeitung verständlich über KI-Telefonannahme, Zwecke, Empfänger und Datenschutzinformationen. Der Assistent soll sich zu Beginn ausdrücklich als KI-Assistent vorstellen; diese Kennzeichnung darf nicht verdeckt werden. Ein eingehender Anruf begründet keine Werbe- oder Messenger-Einwilligung. Rückrufbenachrichtigungen gehen nur an den vom Betrieb eingerichteten Empfänger; eine gespeicherte Rückrufbitte garantiert weder ihre Zustellung noch einen Rückruf zu einem bestimmten Zeitpunkt.

Für unsere erforderliche Vertrags- und Anschlussverwaltung gelten je nach betroffener Person Art. 6 Abs. 1 lit. b oder f DSGVO, für gesetzlich erforderliche Nachweise Art. 6 Abs. 1 lit. c DSGVO. Betriebsdaten verarbeiten wir nach Kundenweisung im Rahmen der AVV. Twilio ist je nach Daten und Zweck Auftragsverarbeiter oder eigenständig Verantwortlicher, insbesondere für bestimmte Anschluss-, Verbindungs-, Sicherheits- und gesetzliche Zwecke. OpenAI wird für die produktseitige Sprachverarbeitung eingesetzt. Die eingesetzten Vertragsgesellschaften, Verarbeitungsorte, Genehmigungen und Übermittlungsgarantien sind in den für die Nutzung maßgeblichen Vertragsunterlagen und dem Unterauftragsverarbeiterverzeichnis zu konkretisieren. EU-Hosting der Kernplattform oder die Auswahl eines EU-Endpunkts ist keine Zusage ausschließlich europäischer Verarbeitung sämtlicher Telefoniedaten. Informationen: https://www.twilio.com/en-us/legal/privacy und https://www.twilio.com/en-us/legal/data-protection-addendum sowie die oben genannten OpenAI-Informationen.

Voice ist für allgemeine betriebliche Auskünfte, Terminannahme und Rückrufbitten vorgesehen. Notrufe, medizinische Beratung und die Verarbeitung besonders geschützter Inhalte werden nicht als Standardleistung angeboten. Eine solche Nutzung erfordert eine eigene Rechtsgrundlage und vorherige Prüfung geeigneter zusätzlicher vertraglicher und technischer Maßnahmen.

12. Kontakt, Website-Assistent und Supporttickets

Bei Anfragen verarbeiten wir Kontaktangaben, Inhalt, gegebenenfalls Unternehmenszuordnung und den Bearbeitungsverlauf. Die Bearbeitung vertragsbezogener Anfragen erfolgt nach Art. 6 Abs. 1 lit. b DSGVO, bei Unternehmensansprechpartnern und allgemeinen Anfragen nach Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist eine sachgerechte Kommunikation und Fehlerbehebung. Unsere geschäftlichen E-Mail- und Supportpostfächer werden bei Microsoft 365/Exchange betrieben und über Outlook genutzt. Microsoft verarbeitet dabei auch beim bloßen Empfang und Speichern die Absender- und Empfängeradressen, Mailinhalte und Anhänge. Teams nutzen wir für Online-Einrichtungshilfe und Supportbesprechungen. Die Domainverwaltung bei AWS und der automatische QORLYNT-Mailversand über AWS SES sind davon getrennte Dienste. Dabei können Absender- und Empfängeradressen, Inhalte, Termin- und Dateidaten sowie technische Nutzungsdaten an Microsoft übermittelt werden. Kundenseitig verbundene Microsoft-Konten für QORLYNT-Kalender und Automationen sind hiervon zu unterscheiden; bei Supportvorgängen mit Auftragsdaten ist zusätzlich die Rolle von Microsoft in der Auftragsverarbeitung zu prüfen. Informationen: https://privacy.microsoft.com/privacystatement.

Der öffentliche Website-Assistent beantwortet hinterlegte Produktfragen lokal im Browser und ruft dafür kein OpenAI auf. Erst beim ausdrücklichen Absenden eines Supporttickets werden die angegebenen Kontaktdaten und der sichtbare Gesprächsverlauf an QORLYNT übertragen. Für eine im Formular gesondert eingeholte freiwillige Einwilligung gilt Art. 6 Abs. 1 lit. a DSGVO. Alternativ können Sie uns unmittelbar per E-Mail erreichen.

Beim öffentlichen Kündigungsformular verarbeiten wir Name und Unternehmen, Kontakt-E-Mail, die angegebene Vertragszuordnung, Art und gegebenenfalls Grund der Kündigung, einen optionalen gewünschten Endtermin sowie Erklärung, Eingangszeitpunkt und Zustellstatus als Vertragsnachweis. Die unmittelbar abrufbare Empfangsbestätigung kann gespeichert werden; die E-Mail-Bestätigung wird versandt beziehungsweise bei Versandfehler erneut versucht. Die Prüfung des betroffenen Vertrags und seiner Beendigung erfolgt anschließend durch berechtigte Personen. Für natürliche Personen als Vertragspartei gilt Art. 6 Abs. 1 lit. b DSGVO, für Ansprechpartner von Unternehmen Art. 6 Abs. 1 lit. f DSGVO (Vertragsabwicklung und Nachweis); soweit eine gesetzliche Pflicht besteht, zusätzlich lit. c. Eine Werbeeinwilligung ist nicht erforderlich. Supporttickets werden in QORLYNT gespeichert und durch berechtigte Mitarbeiter bearbeitet. Bei aktivierter interner Weiterleitung kann eine Kopie in ein weiteres von Smart TB Tech betriebenes Supportsystem übertragen werden; eine Löschung ist dann in beiden Systemen zu berücksichtigen. Bitte keine Passwörter, API-Schlüssel oder unnötigen Kundendaten in Supporttexte aufnehmen.

Bei Meldungen über „Problem oder Wunsch melden“ in der angemeldeten App ordnen wir das Ticket serverseitig Ihrem Benutzerkonto und Unternehmen zu. Wir verarbeiten Name und E-Mail-Adresse des Kontos, Art der Meldung, Titel, Beschreibung, freiwillig beigefügte Bilder, App-Bereich, verfügbare Release-Kennung, Zeitpunkte, Bearbeitungsstatus und Antworten. Bilder werden vor dem Versand im Browser verkleinert. Eine automatische Bildschirmaufnahme oder Übernahme von Chatverläufen findet nicht statt. Zugriff auf die Meldung und ihre Bilder haben der Absender und berechtigte interne Supportmitarbeiter; andere Teammitglieder erhalten dadurch keinen Zugriff. Die Bearbeitung dient der Fehlerklärung, Unterstützung und Bewertung von Verbesserungsvorschlägen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person Vertragspartei ist, sonst Art. 6 Abs. 1 lit. f DSGVO für die erforderliche Betreuung von Unternehmensansprechpartnern und Verbesserung des Produkts. Die App-Meldung wird nicht automatisch an das optionale externe Ticket-Exportsystem weitergegeben. Eingangsbestätigungen und interne Benachrichtigungen nutzen den unten beschriebenen Plattform-Mailversand; Meldungstexte, frei eingegebene Titel, Bilder und Gesprächsantworten werden dabei nicht automatisch per E-Mail kopiert. Antworten und Status sind in „Meine Meldungen“ abrufbar. Freiwillige Angaben sind auf die zur Klärung nötigen Informationen zu beschränken; bitte Bilder auf unnötige personenbezogene Daten prüfen.

Für eingerichtete transaktionale E-Mails, etwa Buchungs- und Chat-Verifikationsnachrichten, Kontosicherheitsnachrichten sowie Support-Eingangsbestätigungen und interne Ticketbenachrichtigungen, nutzt QORLYNT Amazon SES (AWS). Auch der vom Kunden veranlasste Versand über die optionale QORLYNT-Versandadresse erfolgt über SES. Zur Vermeidung mehrfacher Plattformmails speichern wir Unternehmenszuordnung, technische Prüfsummen und Versandstatus in einem Versandprotokoll, ohne darin Empfängeradressen, Nachrichtentexte oder Zugriffstoken abzulegen. Dieses Protokoll bleibt für die Wiederholungserkennung erhalten; seine Aufbewahrung und Löschung werden zusammen mit den zugehörigen Versandaufträgen geprüft. Amazon SNS übermittelt zugehörige Zustell-, Rückläufer- und Beschwerdeereignisse an QORLYNT. Der SES-Versand und das zugeordnete SNS-Thema verwenden die für den Dienst konfigurierte AWS-Region; ein alternativ verbundenes eigenes SMTP-Konto nutzt dessen Anbieter. Bei der QORLYNT-Versandadresse verarbeiten wir die zugeordnete Absenderadresse, eine aus einer bestätigten Kontoidentität übernommene Antwortadresse, Empfängeradresse, Betreff, Nachrichteninhalt, Versandzeitpunkt, technische Anbieterkennung sowie Zustell-, Rückläufer- und Beschwerdenachweise. Rückläufer und Beschwerden können eine erneute Zustellung an die betroffene Adresse sperren. Die Versandadresse ist kein Postfach und nimmt keine eingehenden Nachrichten an; Antworten werden an das angezeigte bestehende Postfach des Kunden geleitet. Die Kommunikation mit dessen Empfängern erfolgt grundsätzlich nach Weisung und in datenschutzrechtlicher Verantwortung des Kunden gemäß Ziffer 2; dieser prüft insbesondere die Zulässigkeit werblicher Nachrichten. Eigene transaktionale Nachrichten von Smart TB Tech dienen der jeweils angeforderten Funktion, nicht automatisch der Werbung. Anbieterinformationen: https://aws.amazon.com/privacy/ und https://aws.amazon.com/compliance/gdpr-center/. Eine konfigurierte europäische AWS-Region ist keine Zusage ausschließlich europäischer Verarbeitung sämtlicher Verwaltungs- und Supportdaten; Ziffer 15 bleibt maßgeblich.

13. Missbrauchsschutz mit Cloudflare Turnstile

Wir setzen Cloudflare Turnstile zum Schutz öffentlicher Formulare ein, darunter Buchungs-, Chat- und Supportformulare. Dabei wird eine Verbindung zu Cloudflare, Inc., USA, hergestellt. Verarbeitet werden technische Verbindungs- und Browsersignale sowie Prüfergebnisse, um automatisierte oder missbräuchliche Anfragen zu erkennen. Ohne eine erfolgreiche erforderliche Prüfung kann das Formular nicht abgesendet werden; für eigene Supportanfragen steht E-Mail als Alternative zur Verfügung.

Rechtsgrundlage unseres erforderlichen Missbrauchsschutzes ist Art. 6 Abs. 1 lit. f DSGVO. Endgerätezugriffe werden gesondert nach § 25 TDDDG beurteilt: Die Ausnahme für notwendige Zugriffe gilt nur, soweit die gesetzlichen Voraussetzungen tatsächlich vorliegen. Cloudflare beschreibt eine Auftragsverarbeitung zum Schutz der Website und eine eigene Verantwortlichkeit für die Verbesserung seiner Bot-Erkennung. Einzelheiten: https://www.cloudflare.com/turnstile-privacy-policy/.

14. Abonnements, Zahlungen und Nutzungsabrechnung

Für QORLYNT-Verträge werden Unternehmens- und Rechnungsangaben, gewähltes Paket, Vertragsversion, Kunden-/Abo-/Zahlungskennungen, Rechnungen, Zahlungs- und Kündigungsstatus sowie gebuchte Zusatzkontingente verarbeitet. Nutzungszähler erfassen etwa Buchungs-, Nachrichten- und KI-Verbrauch zur Bereitstellung der vereinbarten Limits und zur Fehlerklärung.

Bei Buchung der optionalen persönlichen Ersteinrichtung verarbeiten wir außerdem Bestell- und Zahlungsstatus sowie E-Mail-Kontaktdaten zur Abstimmung und Durchführung eines Termins per Microsoft Teams. Für die Besprechung können Microsoft und die jeweiligen Kommunikationsdienste technisch erforderliche Verbindungs- und Nutzungsdaten verarbeiten. Die hierfür erforderliche Vertrags- und Geschäftskontaktverarbeitung richtet sich nach den nachfolgend genannten Rechtsgrundlagen; für die Zahlungsabwicklung gilt der folgende Stripe-Hinweis.

Für Checkout, Abonnementverwaltung und Zahlungsabgleich wird Stripe eingesetzt. Zahlungseingaben erfolgen in der Zahlungsoberfläche; QORLYNT erhält die zur Vertragsverwaltung erforderlichen Kennungen und Statusdaten, nicht die vollständige Kartennummer oder Kartenprüfnummer. Stripe verarbeitet außerdem Daten für eigene Zahlungs-, Sicherheits- und gesetzliche Zwecke. Informationen und zuständige Gesellschaften: https://stripe.com/privacy.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für den Vertrag mit der betroffenen Person, Art. 6 Abs. 1 lit. f DSGVO für erforderliche Verarbeitung von Unternehmensansprechpartnern, Missbrauchsabwehr und Nachweise sowie Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten. Ein für eigene Automationen verbundener Stripe-Zugang des Kunden ist von unserer QORLYNT-Abrechnung getrennt.

15. Empfänger und internationale Übermittlungen

Zugriff erhalten erforderlichenfalls berechtigte Mitarbeiter, technische Auftragsverarbeiter, die ausdrücklich verbundenen Integrationsanbieter sowie Beratungs-, Zahlungs- oder öffentliche Stellen, soweit dies für den jeweiligen Zweck erforderlich und rechtlich zulässig ist. Ein verbundenes System erhält die für seine Funktion übermittelten Daten; Zugangsdaten werden nicht als allgemeiner KI-Kontext benötigt.

Bei AWS, Cloudflare, OpenAI, Twilio, Meta/WhatsApp, Telegram, Google einschließlich Analytics und Ads, Microsoft einschließlich Microsoft 365 und Stripe können Verarbeitungen oder Zugriffe außerhalb der EU/des EWR vorkommen. Ein europäischer Vertrags- oder Serverstandort schließt dies nicht aus. Übermittlungen setzen die Voraussetzungen der Art. 44 ff. DSGVO voraus. In Betracht kommen ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien, insbesondere Standardvertragsklauseln mit erforderlichen zusätzlichen Maßnahmen.

Ein Angemessenheitsbeschluss für zertifizierte US-Unternehmen gilt nur für die tatsächlich erfasste Gesellschaft und Verarbeitung. Die bloße Auswahl eines Anbieters oder eine OAuth-Freigabe ist keine pauschale Einwilligung in ungesicherte Drittlandübermittlungen. Auskunft über die im konkreten Fall verwendeten Garantien und eine Kopie erhalten Sie über unseren Datenschutzkontakt, gegebenenfalls mit Schwärzung geschützter Angaben.

15a. Schutz sensibler Daten und Google-API-Daten

QORLYNT schützt sensible personenbezogene Daten und Daten aus verbundenen Google APIs durch technische und organisatorische Maßnahmen, die sich am jeweiligen Risiko und der tatsächlich aktivierten Funktion orientieren. Datenzugriffe sind mandantenbezogen und an Rollen und Berechtigungen gebunden; normale Nutzer erhalten keinen allgemeinen Zugriff auf fremde Mandanten oder auf gespeicherte Zugangsdaten.

OAuth-Zugangs- und Erneuerungstokens sowie vergleichbare Provider-Geheimnisse werden serverseitig verarbeitet und verschlüsselt beziehungsweise in dafür vorgesehenen geschützten Credential-Speichern gehalten. Die Google-Kalender-Autorisierung verwendet einen kurzlebigen, gebundenen OAuth-Zustand und PKCE. Zugangsdaten werden nicht als Klartext über reguläre Benutzeroberflächen oder normale Anwendungs-APIs ausgegeben.

Datenübertragungen zwischen Browser, QORLYNT und angebundenen Google- beziehungsweise sonstigen Provider-Schnittstellen erfolgen über verschlüsselte HTTPS/TLS-Verbindungen. QORLYNT beschränkt die Verarbeitung auf die für die jeweilige Funktion erforderlichen Daten und verwendet Berechtigungsprüfungen, Mandantentrennung sowie sicherheits- und funktionsbezogene Protokollierung, um unberechtigte Zugriffe zu verhindern beziehungsweise nachvollziehen zu können.

Verbindungen können in QORLYNT getrennt werden; erforderlichenfalls ist die externe App-Berechtigung zusätzlich beim jeweiligen Anbieter zu widerrufen. Sicherheitsmaßnahmen, Berechtigungen und Aufbewahrung werden angepasst, wenn sich Funktionen, Risiken oder rechtliche Anforderungen ändern. Kein technisches Verfahren kann jedes Risiko vollständig ausschließen; erkannte Sicherheitsvorfälle werden nach den anwendbaren gesetzlichen und vertraglichen Vorgaben behandelt.

16. Speicherdauer, Datenpflege und Sicherungen

Konto- und Vertragsdaten werden für die Vertragsdurchführung und anschließende erforderliche Abwicklung verarbeitet. Kundenbezogene Betriebsdaten richten sich nach Kundenweisung und dem vereinbarten Löschkonzept. Bei einer QORLYNT-Versandadresse bleibt der reservierte Absendername nach dem Trennen der Verbindung für die eindeutige Zuordnung gesperrt; er wird nicht automatisch erneut vergeben. Nachweise über Rückläufer und Beschwerden sowie daraus abgeleitete Empfängersperren können zur Vermeidung erneuter Fehlzustellungen und Beschwerden fortbestehen. Ob und wann personenbezogene Bestandteile dieser Nachweise zu löschen oder zu anonymisieren sind, ist nach Zweck, Kundenweisung und gesetzlichen Rechten gesondert zu beurteilen. Die im Produkt einstellbare Aufbewahrung bestimmter Nachrichteninhalte, Medienlinks, KI-Zwischenergebnisse und weiterer zugehöriger Datensätze ist keine automatische Löschfrist für sämtliche Kontaktdaten, Termine, Protokolle und Abrechnungsnachweise.

Sicherheitsereignisse im persönlichen Konto werden im derzeitigen Bereinigungslauf nach 90 Tagen entfernt. Abgelaufene Sitzungsdatensätze werden, sobald keine für den Widerruf erforderlichen verschlüsselten Anbieter-Zugangsdaten mehr enthalten sind, im derzeitigen Bereinigungslauf 30 Tage nach Ablauf entfernt. Eine abgemeldete oder widerrufene Sitzung kann vorher technisch ungültig sein; diese Fristen beschreiben die Speicherung der Nachweise, nicht die Nutzbarkeit eines Zugangs. Das Schließen einer App-Meldung löscht weder ihren Text noch Bilder und Antworten. Die Aufbewahrungseinstellung für Kundennachrichten und die persönliche Kontolöschung entfernen diese Supportdaten nicht automatisch. Datenschutzanfragen zu Meldungen können unter Angabe der Ticketkennung an unseren Datenschutzkontakt gerichtet werden; die Bearbeitung umfasst auch notwendige Kopien in Postfächern, Versandnachweisen und Sicherungen. Support- und weitere technische Daten werden nach Zweckfortfall gelöscht, soweit keine notwendige Fehler-/Sicherheitsaufklärung, Aufbewahrungspflicht oder konkrete Rechtsverteidigung entgegensteht. Gesetzliche Aufbewahrung betrifft nur die jeweils erfassten Unterlagen: beispielsweise regelmäßig acht Jahre für Buchungsbelege, sechs Jahre für Handels-/Geschäftsbriefe und zehn Jahre für Bücher und Abschlüsse nach § 257 HGB und § 147 AO. Beginn, Sonderregeln und zulässige Verlängerungen richten sich nach dem Gesetz. Diese Fristen rechtfertigen keine pauschale Aufbewahrung aller Chat- oder Kontaktdaten.

Für Rechtsansprüche dürfen erforderliche Nachweise während einschlägiger Verjährungs- oder laufender Verfahrensfristen aufbewahrt werden. Der Zugriff und die Nutzung sind auf diesen Zweck zu beschränken.

Sicherungen sind vom produktiven Datenbestand zu unterscheiden. Eine Löschung im Portal entfernt Daten nicht unmittelbar aus vorhandenen Sicherungen. Auch Sicherungskopien müssen nach dem festgelegten Sicherungs- und Löschverfahren entfernt werden; erforderliche Löschungen sind bei einer Wiederherstellung erneut anzuwenden. Auskunft zum konkreten Bearbeitungsstand und zu verbleibenden Kopien erhalten Sie auf Anfrage. Die Seite Datenlöschung erläutert die verfügbaren Wege.

Ein gesetzlicher Löschanspruch setzt nicht voraus, dass Sie zuvor ein Konto schließen oder eine kostenpflichtige Leistung kündigen. Ist eine Verarbeitung nicht mehr erforderlich oder fehlt ihre Rechtsgrundlage und greift keine gesetzliche Ausnahme, sind die betroffenen Daten unverzüglich zu löschen. Die Monatsfrist zur Beantwortung von Anfragen ist keine allgemeine Mindestaufbewahrung oder pauschale Wartefrist für Löschungen.

17. Ihre Rechte und Bearbeitung von Anfragen

Unter den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft einschließlich Datenkopie (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20). Bei erforderlichen Berichtigungen, Löschungen oder Einschränkungen berücksichtigen wir die Mitteilungspflichten gegenüber Empfängern nach Art. 19 DSGVO.

Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; bis dahin rechtmäßige Verarbeitung bleibt davon unberührt. Bei Verarbeitung aufgrund berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen (Art. 21 Abs. 1 DSGVO). Gegen Direktwerbung einschließlich damit verbundenen Profilings können Sie jederzeit ohne Begründung widersprechen (Art. 21 Abs. 2 und 3 DSGVO).

Anfragen sind grundsätzlich kostenlos. Wir informieren ohne unangemessene Verzögerung, grundsätzlich innerhalb eines Monats nach Eingang. Eine gesetzlich zulässige Verlängerung um bis zu zwei weitere Monate teilen wir innerhalb des ersten Monats mit Gründen mit. Bei begründeten Zweifeln können wir erforderliche zusätzliche Angaben zur Identitätsprüfung anfordern; bitte nicht unaufgefordert Ausweiskopien oder Geheimnisse senden.

Betrifft die Anfrage Daten eines QORLYNT-Unternehmenskunden, wenden Sie sich möglichst an dieses Unternehmen. Sie können uns dennoch kontaktieren; wir unterstützen die Zuordnung und die Bearbeitung nach Kundenweisung. Ein fehlender Portalzugang schließt Ihre Rechte nicht aus.

Das Recht auf Datenübertragbarkeit betrifft die Sie betreffenden, von Ihnen bereitgestellten Daten bei automatisierter Verarbeitung auf Grundlage einer Einwilligung oder eines Vertrags. Unter diesen Voraussetzungen erhalten Sie die Daten in einem strukturierten, gängigen und maschinenlesbaren Format; eine direkte Übermittlung an einen anderen Verantwortlichen können Sie verlangen, soweit technisch machbar und ohne Beeinträchtigung der Rechte anderer. Dieses Recht ist vom Auskunftsrecht und von vertraglichen beziehungsweise gesetzlichen Exportrechten eines Unternehmenskunden zu unterscheiden.

Nach einem begründeten Widerspruch gegen eine Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten wir die betroffenen Daten nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient Rechtsansprüchen. Bei einem Widerspruch gegen Direktwerbung findet keine solche Interessenabwägung statt; die Verarbeitung für diesen Werbezweck einschließlich zugehörigen Profilings wird beendet. Auf Wunsch informieren wir Sie über die Empfänger, denen eine Berichtigung, Löschung oder Einschränkung nach Art. 19 DSGVO mitgeteilt wurde.

18. Aufsichtsbehörde und Aktualisierungen

Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für uns ist grundsätzlich das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, zuständig: https://www.lda.bayern.de.

Wir aktualisieren diese Hinweise bei relevanten Änderungen. Der angegebene Stand kennzeichnet die Textfassung. Eine neue Datenschutzerklärung ersetzt keine erforderliche Einwilligung und ändert nicht automatisch bestehende Verträge.