Datenschutzerklärung

1. Verantwortlicher

salesperformer GmbH Sperberweg 7 82152 Krailling Deutschland Telefon: +49 (0)89 28741023 E-Mail: support@listplus.ai Handelsregister: Amtsgericht München, HRB 189481 Geschäftsführer: Stephan Methner

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter support@listplus.ai.

2. Datenschutzbeauftragter

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (Art. 37 DSGVO, § 38 BDSG). Richten Sie Datenschutzanfragen bitte an support@listplus.ai.

3. Überblick: In welcher Rolle wir Ihre Daten verarbeiten

Je nachdem, in welcher Beziehung Sie zu ListPlus stehen, verarbeiten wir Ihre Daten in unterschiedlichen Rollen:

• Besucher der Website (listplus.ai): Wir sind Verantwortlicher für die beim Aufruf der Website anfallenden Daten (Abschnitte 4 und 5).
• Nutzer der Anwendung (Kunden und deren Mitarbeitende mit eigenem Konto): Wir sind Verantwortlicher für Konto-, Vertrags-, Abrechnungs-, Nutzungs- und Supportdaten (Abschnitte 6 bis 10).
• Personen in Kundenlisten: Daten, die Kunden in ListPlus hochladen, importieren, anlegen, anreichern oder an den Eingang weiterleiten, verarbeiten wir im Auftrag des jeweiligen Kunden als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher ist der Kunde (Abschnitt 11).
• Personen, deren geschäftliche Kontaktdaten über ListPlus abgerufen werden: Wenn Kunden über ListPlus Kontakt- oder Unternehmensdaten bei Datenanbietern abrufen, informieren wir Sie in Abschnitt 13 nach Art. 14 DSGVO über die Quellen und die Verarbeitung.
• Besucher, die die Anwendung ohne Konto ansehen: Sie sehen die Oberfläche und die Beispiel-Liste mit erfundenen Daten; Suchen, Anreicherungen und alles, was Daten Dritter abruft, erfordern ein Konto. Für diese Besucher gilt Abschnitt 4.

4. Aufruf der Website und Hosting

Website und Anwendung werden bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet; Server und Dateispeicher befinden sich in der EU-Region Frankfurt am Main. Beim Aufruf einer Seite verarbeitet Vercel technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browser- und Betriebssysteminformationen sowie Statuscodes (Server-Logfiles).

Zweck: Auslieferung der Website, Stabilität, Sicherheit und Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Angebot). Speicherdauer: Server-Logfiles werden nach höchstens 30 Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.

Obwohl Server und Dateispeicher in der EU liegen, können Daten auch bei Vercel selbst in die USA übermittelt werden, da Vercel ein US-Unternehmen ist und auf Unterauftragnehmer zurückgreift. Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert; darüber hinaus haben wir mit Vercel einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln geschlossen (siehe Abschnitte 15 und 16).

5. Cookies, lokale Speicherung und Reichweitenmessung

Wir setzen keine Werbe- oder Tracking-Cookies und keine Cookies von Werbenetzwerken oder sozialen Netzwerken ein. Wir verwenden die folgenden Cookies und Einträge im lokalen Speicher Ihres Browsers (localStorage):

Rechtsgrundlage: Das Speichern und Auslesen dieser Informationen auf Ihrem Endgerät erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG, soweit es unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (Anmeldung, Spracheinstellung, Einstellungen der Anwendung, Verlauf der KI-Hilfe). Die anschließende Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) bzw. Art. 6 Abs. 1 lit. f DSGVO.

Reichweitenmessung, Nutzungsereignisse und Fehlerprotokolle

Website: Zur Reichweitenmessung und zur Messung der Ladegeschwindigkeit nutzen wir Vercel Web Analytics und Vercel Speed Insights. Diese Dienste arbeiten ohne Cookies und ohne geräteübergreifende Profile. Erfasst werden aufgerufene Seiten, Referrer, ungefährer Standort auf Länderebene, Gerätetyp, Browser und Betriebssystem sowie Ladezeiten; zur Unterscheidung von Besuchen wird ein aus Anfragedaten gebildeter Hashwert verwendet, der täglich verworfen wird.

Anwendung: Welche Funktionen wann genutzt werden, zählen wir mit PostHog (PostHog Inc., EU-Cloud in Frankfurt). Jedes Ereignis trägt ein Pseudonym Ihres Kontos (ein Hashwert der Nutzer-ID, nicht umkehrbar), den Tarif, einen Hashwert des Workspace, das Ereignis und seine Eigenschaften (z. B. „Liste angelegt“, „Anreicherung gestartet“, die Anzahl der Zeilen) – nie Namen, E-Mail-Adressen oder Inhalte Ihrer Listen. PostHog setzt bei uns keine Cookies und zeichnet keine Sitzungen auf. Sie können die Nutzungsmessung in den Einstellungen Ihres Kontos abschalten; der Eigentümer eines Workspace kann sie für alle Mitglieder abschalten (Workspace-Richtlinien). Unabhängig davon führen wir Tageszähler ohne Personenbezug (wie oft eine Funktion genutzt wurde).

Fehlerprotokolle: Die Protokolle unserer Server liegen bei unserem Hoster Vercel. Tritt in Ihrem Browser ein Fehler auf, zählen wir nur, auf welcher Art von Seite er auftrat (als Nutzungsereignis bei PostHog, siehe oben) – ohne Fehlertext; der Fehler selbst verlässt Ihren Browser nicht.

Zweck: Verbesserung von Website und Anwendung, Fehleranalyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung und am stabilen Betrieb unseres Angebots). Empfänger: Vercel Inc., PostHog Inc. (siehe Abschnitt 15).

Inhalte Dritter, die Ihr Browser lädt

An einigen Stellen lädt Ihr Browser Inhalte direkt von Dritten; diese erfahren dabei Ihre IP-Adresse: Erklärvideos auf der Startseite der Anwendung von Wistia (erst nach Klick), Kartenkacheln von OpenStreetMap in der Kontaktansicht (mit den Koordinaten des angezeigten Unternehmens, nicht Ihren), Icons von jsDelivr sowie Profilbilder von Personen direkt von LinkedIn bzw. vom Datenanbieter. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Zahlungsseiten von Stripe und Link

Beim Abschluss eines Tarifs oder Kauf von Credits werden Sie auf eine Bezahlseite von Stripe Managed Payments (checkout.stripe.com) weitergeleitet, auf der Sold Through Link, LLC als „Merchant of Record“ in unserem Auftrag auftritt (Abschnitt 8); für die Verwaltung des Abonnements führen wir Sie auf das Stripe-Kundenportal, Bestellungen können Sie auch auf link.com verwalten. Dort gelten die Datenschutzhinweise von Stripe bzw. Link; Stripe und Link setzen dort eigene, u. a. der Betrugsprävention dienende Cookies ein.

6. Registrierung, Anmeldung und Nutzerkonto

Für die Nutzung von ListPlus legen Sie ein Konto mit Ihrer E-Mail-Adresse an. Die Anmeldung erfolgt per E-Mail-Adresse und Einmal-Code, den wir Ihnen per E-Mail senden, oder über „Mit Google anmelden“; wir speichern kein Passwort. Den Anmeldedienst betreibt für uns die Hanko GmbH, Kiel (Hosting in der EU); eine Sitzung gilt 30 Tage. Wählen Sie die Anmeldung mit Google, bestätigt Google LLC (USA) Ihre Identität und übermittelt uns Ihre E-Mail-Adresse und die Kennung Ihres Google-Kontos; Google erfährt dabei, dass Sie sich bei ListPlus anmelden (Drittlandgarantie: EU-U.S. Data Privacy Framework). Wir verarbeiten E-Mail-Adresse, optional Ihren Namen, eine interne Nutzer-ID, den Anmeldeweg, Zeitpunkte von Registrierung und Anmeldung sowie technische Sitzungsdaten.

Zweck: Einrichtung und Absicherung Ihres Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen). Speicherdauer: Für die Dauer des Nutzungsverhältnisses; nach Löschung des Kontos werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Bereitstellung der Anwendung und Vertragsabwicklung

Wenn Sie ListPlus nutzen, verarbeiten wir Ihre Kontodaten, Ihren Tarif, Ihr Credit-Guthaben und die Buchungen darauf (Käufe, Verbrauch je Aktion, Gutschriften), Einstellungen, von Ihnen erstellte Listen, Ordner, gemerkte Kontakte, API-Verbindungen und deren Ausführungsprotokolle sowie technische Protokolle zur Fehleranalyse und Missbrauchserkennung.

Zweck: Erbringung der vertraglichen Leistungen, Abrechnung von Credits, Sicherheit und Missbrauchsabwehr (z. B. Begrenzung von Anfragen). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Sicherheit und Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO.

Für einen schnellen Arbeitsspeicher nutzen wir Redis Cloud (Redis EMEA Ltd., London), gehostet in der Region Frankfurt (AWS eu-central-1). Für Live-Statusmeldungen im Browser (z. B. „Import abgeschlossen“) nutzen wir den Echtzeitdienst Pusher (Pusher Ltd.) (London; Server in Irland); übertragen werden Ereignis- und Statusinformationen zu Ihren Vorgängen.

Für die Verwaltung Ihres Kontos gilt außerdem:

• Bei der Registrierung legen wir Sie in unserem CRM-System Attio an: Ihre E-Mail-Adresse und Ihre Nutzer-ID. Dort vermerken wir außerdem Ihren Tarif und wichtige Ereignisse Ihres Kontos — Registrierung, erste Liste, erste Anreicherung, erster Ablauf, Beitritt zu einem Workspace, Kauf eines Tarifs oder von Credits, Kündigung — und den Stand daraus (eine Stufe und einen Punktwert, z. B. „Angereichert“, 40 von 100), damit wir sehen, wie weit Sie ListPlus nutzen. Inhalte Ihrer Listen gehen nicht dorthin. Das CRM-System versendet eine Willkommens-E-Mail.
• Bei einem Kauf meldet Stripe den Kauf an eine Schnittstelle unseres Dienstes; wir vermerken den gekauften Tarif bzw. die Credits an Ihrem Konto.

Zweck: Verwaltung Ihres Kontos und Tarifs, Versand der Willkommens-E-Mail zum Start und Betreuung unserer Kunden (z. B. Hilfe beim Einstieg, Rückfragen zu Tarif und Kündigung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags); für die Kontoereignisse im CRM Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Betreuung unserer Kunden). Mit der Löschung Ihres Kontos löschen wir auch diese Einträge; nur Ihre E-Mail-Adresse bleibt dort auf einer Sperrliste, damit wir Sie nicht erneut anschreiben (Art. 6 Abs. 1 lit. f DSGVO). Die Willkommens-E-Mail ist eine reine Begrüßungs- und Einstiegsnachricht zu Ihrem Konto und keine Werbung. Einen Newsletter oder Werbe-E-Mails versenden wir nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

Workspaces und Einladungen

Sie arbeiten in Workspaces. Listen, Watchlist, Eingang, Recherchen, Pipelines und verbundene Systeme gehören dem Workspace, und jedes Mitglied sieht sie; Tarif und Credits gehören dem Eigentümer des Workspace. Wer ein Mitglied einlädt, veranlasst eine E-Mail an die eingeladene Adresse mit dem Namen des Einladenden und des Workspace, versandt über Postmark (Abschnitt 14) von notifications@listplus.ai; eine Einladung verfällt nach 14 Tagen. Der Eigentümer kann in den Workspace-Richtlinien Funktionen und Datenanbieter für alle Mitglieder abschalten; die jeweils gültige Richtlinie ist in den Workspace-Einstellungen einsehbar und als Textdatei exportierbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Einladungs-E-Mail an eine noch nicht registrierte Person Art. 6 Abs. 1 lit. f DSGVO (Interesse des Einladenden an der Zusammenarbeit).

8. Zahlungen und Rechnungen

Tarife und Credit-Pakete verkaufen wir über Stripe Managed Payments. Den Verkauf wickelt dabei in unserem Namen als „Merchant of Record“ die Sold Through Link, LLC (vormals Lemon Squeezy, LLC) ab, 354 Oyster Point Boulevard, South San Francisco, California 94080, USA, ein Unternehmen der Stripe-Gruppe; die Zahlungsabwicklung übernimmt in der EU die Stripe Technology Europe, Limited, in anderen Regionen eine andere Gesellschaft der Stripe-Gruppe. Link berechnet, erhebt und führt die Umsatzsteuer (bzw. Sales Tax oder GST) ab, stellt Rechnungen, Zahlungsbelege und Erstattungsmitteilungen aus und sendet sie Ihnen per E-Mail, bearbeitet Anfragen zu Zahlungen und Erstattungen (support.link.com) und stellt Ihnen auf link.com Bestellverlauf und Verwaltung von Abonnement, Zahlungsmittel und Rechnungsanschrift bereit; Stripe bearbeitet Zahlungsanfechtungen und prüft Zahlungen auf Betrug.

Daten: Im Bezahlvorgang geben Sie Name, E-Mail-Adresse, Rechnungsanschrift und Zahlungsdaten direkt bei Stripe bzw. Link ein; Sie können dabei ein Link-Konto anlegen oder als Gast bezahlen. Wir übergeben an Stripe Ihre E-Mail-Adresse, Ihre Nutzer-ID sowie das gekaufte Produkt und den Preis. Wir erhalten von Stripe keine vollständigen Karten- oder Kontodaten, sondern Kunden- und Zahlungsstatusinformationen (Kunden- und Vorgangskennung, E-Mail-Adresse, Betrag, Währung, Steuerbetrag, Status, Tarif) sowie Rechnungsdaten.

Verantwortlichkeit: Für den Kauf, die Rechnungsstellung, die Steuer, die Zahlungsabwicklung, die Betrugsprävention und das Link-Konto sind Link und Stripe eigenständig Verantwortliche; es gelten die Datenschutzhinweise von Link und Stripe. Die Löschung der Daten aus Ihren Käufen über Managed Payments und Ihres Link-Kontos können Sie bei Stripe bzw. Link beantragen. Wir verarbeiten die von Stripe erhaltenen Daten, um Ihren Tarif und Ihre Credits freizuschalten und unsere Buchhaltung zu führen. Zwecke und Mittel dieser Verarbeitung legt Stripe nach seinen Bedingungen allein fest (Stripe Managed Payments Terms, Ziff. 6.1; Auftragsverarbeitungsvertrag von Stripe, „Stripe als Verantwortlicher“); eine gemeinsame Verantwortlichkeit besteht nicht. Datenschutzhinweise: stripe.com/privacy und link.com/privacy.

Drittlandübermittlung: Sold Through Link, LLC und Stripe, LLC haben ihren Sitz in den USA; Daten Ihres Kaufs werden deshalb in die USA übermittelt. Grundlage ist das Data Transfers Addendum von Stripe: vorrangig das EU-U.S. Data Privacy Framework (Art. 45 DSGVO; Stripe, LLC ist zertifiziert), sonst die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Das Addendum gilt auch für die verbundenen Unternehmen von Stripe, darunter Sold Through Link, LLC.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten). Speicherdauer: Buchungsbelege bewahren wir nach den gesetzlichen Fristen auf (§ 147 AO, § 257 HGB: 8 Jahre für Belege, 10 Jahre für Handelsbücher und Jahresabschlüsse); wie lange Link und Stripe Daten aufbewahren, richtet sich nach deren Datenschutzhinweisen.

9. Support per E-Mail und KI-Hilfe

Wenn Sie uns per E-Mail (support@listplus.ai) kontaktieren, verarbeiten wir Ihre Nachricht, Ihre Kontaktdaten und – soweit Sie ein Konto haben – Ihre Nutzer-ID, Ihren Namen und Ihre E-Mail-Adresse, damit wir Ihr Konto zuordnen können. Einen Chat mit Mitarbeitenden gibt es in der Anwendung nicht; Fragen beantwortet dort die KI-Hilfe (siehe unten), die an unseren Support per E-Mail weiterleiten kann.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage den Vertrag betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Speicherdauer: Bis die Anfrage abschließend bearbeitet ist, danach 24 Monate zur Nachvollziehbarkeit, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

KI-Hilfe („Frag ListPlus“)

Im Hilfe-Fenster der Anwendung und über die Schaltfläche „Fragen zu ListPlus?“ auf unserer Website können Sie Fragen zu ListPlus stellen. Die Antworten gibt ein KI-Modell, kein Mensch; es antwortet ausschließlich aus unseren Hilfetexten und unserer Produktbeschreibung. Wenn Sie eine Frage stellen, übermitteln wir an unsere Server und von dort an den KI-Anbieter OpenAI (Abschnitt 12): Ihre Frage, die letzten Beiträge des laufenden Gesprächs, die Sprache der Oberfläche und die Adresse der Seite, auf der Sie sich befinden (ohne Suchparameter). Bei angemeldeten Nutzern kommen der Tarif und das Guthaben des Workspace hinzu, damit die Antwort dazu passt, und – wenn Sie die Frage in einer geöffneten Liste stellen – Zählungen dieser Liste (z. B. die Zahl der Zeilen, der Zeilen mit E-Mail-Adresse oder Firma, der doppelten oder ungültigen E-Mail-Adressen). Inhalte Ihrer Listen – Namen, Adressen oder andere Werte, auch der Name der Liste – werden nicht übermittelt. Bitte geben Sie in Ihre Fragen keine personenbezogenen Daten Dritter ein.

Der Verlauf wird in Ihrem Browser gehalten, bis Sie den Tab schließen. Zusätzlich speichern wir jede Frage und die Antwort darauf 30 Tage lang, um die Qualität der Antworten zu prüfen und unsere Hilfetexte zu verbessern. Diese Einträge enthalten den Text Ihrer Frage, die Antwort, die Sprache, die Seitenadresse und die Angabe, ob die Frage von einem angemeldeten Nutzer (mit dessen Tarif) oder einem Besucher stammt – aber keine Nutzer-ID, keine E-Mail-Adresse und keine IP-Adresse. Außerdem zählen wir, wie viele Fragen gestellt und wie sie beantwortet wurden (beantwortet, nichts gefunden, nicht zum Produkt gehörend). Um Missbrauch zu begrenzen, zählen wir die Fragen je Tag: bei angemeldeten Nutzern zur Nutzer-ID, bei Besuchern ohne Konto zu einem gekürzten Hashwert der IP-Adresse; diese Zähler enthalten keinen Fragetext und werden nach spätestens zwei Tagen gelöscht.

Kann die KI-Hilfe nicht weiterhelfen, können angemeldete Nutzer das Gespräch mit einem Klick an unseren Support senden („An Support senden“). Dann erhalten wir per E-Mail den Verlauf, Ihre Ergänzung, Ihre E-Mail-Adresse, Workspace, Tarif, die zuletzt aufgerufene Seite und die Browser-Kennung; eine Kopie geht an die E-Mail-Adresse Ihres Kontos. Der Versand erfolgt über Postmark (Abschnitt 14).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Hilfe als Teil der Anwendung bzw. vorvertragliche Auskunft auf Ihre Anfrage); für die Zähler zur Missbrauchsbegrenzung und für die 30-tägige Speicherung von Fragen und Antworten Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz des Dienstes und an der Verbesserung der Antworten). Der Eigentümer eines Workspace kann die KI-Funktionen und damit auch die KI-Hilfe für seinen Workspace abschalten (Workspace-Richtlinien).

10. Verbindungen zu anderen Systemen

Wenn Sie ein CRM, eine Tabelle oder ein anderes Werkzeug verbinden (z. B. HubSpot, Salesforce, Pipedrive, Google Sheets, Airtable, Notion, Lemlist, Stripe, oder als Importquelle Apollo, Phantombuster, Intercom, Zoom, Calendly), verwaltet der Verbindungsdienst Pipedream, LLC (San Francisco, USA) die Zugangsdaten (OAuth) in unserem Auftrag; ListPlus selbst speichert diese Zugangsdaten nicht. Abrufe aus dem verbundenen System und Übertragungen dorthin laufen ganz oder teilweise über den Proxy-Dienst von Pipedream; die übertragenen Datensätze passieren dabei die Server von Pipedream. Welche Daten übertragen werden, bestimmen Sie durch Ihre Aktionen (Import, Export, Pipeline-Ziel); eine Referenzliste lädt sich auf Ihren Wunsch regelmäßig aus ihrer Quelle nach. Ziele, die Sie mit einem eigenen API-Schlüssel anbinden (z. B. Instantly, Smartlead, ein eigener Webhook-Endpunkt), erreichen wir direkt; den Schlüssel speichern wir verschlüsselt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Inhalte gilt Abschnitt 11.

E-Mail-Entwürfe: Richtet ein Kunde eine Pipeline mit dem Ziel „E-Mail-Entwurf“ ein, legt ListPlus über diesen Verbindungsdienst je Kontakt einen Entwurf im verbundenen Postfach (Gmail oder Outlook) der Person an, die sendet (bei automatischer Freigabe: der Person, die die Pipeline eingerichtet hat): Empfängeradresse und Name des Kontakts, Betreff und Text nach der Vorlage des Kunden. ListPlus versendet dabei keine E-Mails; ob und wann ein Entwurf verschickt wird, entscheidet der Nutzer in seinem E-Mail-Programm. Den Namen des Absenders lesen wir aus dem verbundenen Postfach. Wir speichern am Datensatz die Kennung des Entwurfs und einen Link darauf („Im Postfach öffnen“) und je Pipeline die E-Mail-Adressen, an die bereits ein Entwurf ging, damit niemand zweimal einen Entwurf derselben Pipeline erhält – bis die Pipeline gelöscht wird. Der Inhalt der Postfächer wird nicht gelesen. Der Eigentümer eines Workspace kann E-Mail-Entwürfe für alle Mitglieder abschalten (Workspace-Richtlinien), unabhängig von den übrigen verbundenen Systemen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Kontaktdaten gilt Abschnitt 11.

Ihre eigene KI: Agent-API, MCP und Recherche-Link

Sie können ein KI-System Ihrer Wahl (z. B. ChatGPT, Claude oder eigene Agenten) über eine Verbindung je Liste (REST unter listplus.ai/d/…, MCP unter listplus.ai/mcp/…) oder über einen Recherche-Link (listplus.ai/r/…) an ListPlus anschließen. Dieses KI-System liest und schreibt dann, was die Verbindung freigibt (Spalten, Teillisten, erlaubte Aktionen); jeder Aufruf wird mit Aktion, Zeilen, Credits und Dauer protokolliert (die letzten 50 Aufrufe je Verbindung, gelöscht einen Tag nach dem letzten Aufruf). Der Anbieter dieses KI-Systems ist Ihr Empfänger, nicht unser Dienstleister: Welche Daten er erhält und wie er sie behandelt, bestimmen Sie durch die Wahl des Anbieters und den Zuschnitt der Verbindung. Der Zugangsschlüssel steht im Pfad der Adresse und erscheint deshalb in den Zugriffsprotokollen unseres Hosting-Anbieters.

11. Kundendaten: ListPlus als Auftragsverarbeiter

Personenbezogene Daten, die Kunden in ListPlus verarbeiten – etwa Listen aus Datei-Importen, Imports aus LinkedIn oder verbundenen Systemen, Anreicherungsergebnisse, gemerkte Kontakte und Eingangs-Einträge – verarbeiten wir im Auftrag und nach Weisung des Kunden (Art. 28 DSGVO). Verantwortlicher für diese Daten und für deren Nutzung, z. B. für Vertriebsansprache, ist der Kunde. Betroffene Personen wenden sich mit ihren Anliegen bitte an das jeweilige Unternehmen, das ihre Daten verwendet; erreicht uns eine solche Anfrage, leiten wir sie – soweit möglich – an den Kunden weiter.

Es gilt der Auftragsverarbeitungsvertrag (AVV) unter listplus.ai/dpa, der für Kunden aller Tarife Bestandteil des Nutzungsvertrags ist. Eine unterzeichnete Fassung erhalten Sie auf Anfrage unter support@listplus.ai.

Speicherdauer: Listen werden gespeichert, bis der Kunde sie löscht; eine Löschung ist sofort und endgültig. Einige Bereiche sind bewusst zeitlich begrenzt: Einträge im Eingang werden 14 Tage nach Eingang gelöscht, geteilte Ergebnis-Links sind 7 Tage nach ihrer Erstellung nicht mehr abrufbar, KI-Recherchen werden 1 bis 7 Tage nach dem Start gelöscht (nach Wahl des Nutzers; eine Recherche, die ihre Treffer an eine Liste übergibt, 30 Tage), nur angesehene (nicht gespeicherte oder angereicherte) Profile unter „Zuletzt angesehen“ entfallen nach 30 Tagen ohne weitere Aktivität, und der Verlauf einer Pipeline (an ein vom Kunden gewähltes Ziel gesendete Datensätze samt Antwort des Ziels) wird 30 Tage nach dem Versand gelöscht. Watchlist-Einträge, Kontakte aus dem Outlook-Add-in und Formular-Einsendungen bleiben, bis der Kunde sie löscht.

Löschung des Kontos: Sie löschen Ihr Konto selbst in den Einstellungen („Konto löschen“). Dabei löschen wir Ihr Konto, alle Workspaces, deren Eigentümer Sie sind, mit allen Listen, Dateien, Pipelines, Eingängen, Recherchen und Watchlists, Ihre persönlichen Daten in unserer Datenbank und Ihr Pseudonym bei PostHog samt Ereignissen; laufende Abonnements werden gekündigt. Was bleibt: Rechnungen und der Kundendatensatz bei Stripe (gesetzliche Aufbewahrung), ein Link-Konto, falls Sie beim Kauf eines angelegt haben (es gehört zu Link; die Löschung beantragen Sie dort), Daten, die Sie in Workspaces anderer Eigentümer angelegt haben (sie gehören diesem Workspace), Protokolle bei Hosting- und Protokolldienst bis zu deren Ablauf (ohne Nutzer-ID), die Nachrichtenhistorie beim E-Mail-Dienst (45 Tage) und die kundenübergreifenden Caches ohne Personenbezug. Eine 30 Tage gültige Sperrmarke verhindert, dass eine noch gültige Anmeldesitzung das Konto wieder anlegt.

12. KI-Verarbeitung

ListPlus nutzt KI-Modelle, um Befehle zu verstehen, Daten zu prüfen und zu bewerten, KI-Spalten zu füllen, Spalten beim Import zu erkennen, Eingangs-Einträge und Webhook-Datensätze zu erkennen, Diktate zu transkribieren, Recherchen durchzuführen und – auf Einrichtung bzw. Klick des Kunden – Texte für E-Mail-Entwürfe zu schreiben und zu prüfen sowie das Firmenwissen aus der Website des Kunden vorzuschlagen. Die Aufrufe gehen ausschließlich von unseren Servern aus, nie aus Ihrem Browser; an den KI-Anbieter wird jeweils der für die Aufgabe nötige Ausschnitt übermittelt – bei Prüfungen nur eindeutige Werte, bei den im Folgenden genannten Funktionen auch ganze Texte oder Datensätze:

• Befehle und Fragen: Ihr Text, Spaltennamen und -typen, Zeilenanzahl und Namen von Teillisten; nur wenn ein Befehl Werte benötigt, die eindeutigen Werte der betroffenen Spalten (ohne Duplikate).
• KI-Prüfungen und Bewertungsspalten: nur die eindeutigen Werte bzw. Wertkombinationen der betroffenen Spalten (z. B. Jobtitel, Ort und Land); ein Urteil wird 30 Tage zwischengespeichert, ohne den Wert selbst.
• KI-Textspalten: der von Ihnen formulierte Prompt mit den Werten der darin genannten Spalten des jeweiligen Datensatzes (bis zu 2.000 Zeichen), einmal je eindeutiger Kombination.
• Listen-Webhooks und Formulare: unbekannte Feldnamen mit je einem Beispielwert, damit die Spalte zugeordnet werden kann; auf Wunsch eine Spam-Prüfung mit bis zu 12 Feldern à 120 Zeichen je Datensatz.
• Diktat: die Tonaufnahme Ihrer Spracheingabe (bis 3 MB) zur Umwandlung in Text.
• Spaltenerkennung beim Import: Spaltenüberschriften und eine Stichprobe von Beispielwerten (10 % der Datei, mindestens 50 und höchstens 200 Zeilen).
• Eingang: Um in einem längeren Eintrag Personen und Unternehmen zu erkennen, wird dessen Text an OpenAI übermittelt – bei weitergeleiteten E-Mails der E-Mail-Text und der aus unterstützten Anhängen (z. B. PDF) ausgelesene Text, gekürzt auf höchstens rund 24.000 Zeichen. Strukturierte Einträge (vCards, Kalendereinladungen, CSV- und JSON-Daten) werden ohne KI-Extraktion ausgelesen. Kurze Einträge (z. B. eine Signaturzeile) und die erkannten Kontaktangaben (Name, Position, Unternehmen, E-Mail-Adresse, Ort) werden zur Einordnung und Plausibilitätsprüfung an Groq bzw. an ein Modell über das AI Gateway von Vercel übermittelt; zur Bestätigung einer Person oder eines Unternehmens kann eine Google-Suche mit Name und Unternehmen erfolgen (Abschnitt 13).
• KI-Recherche: Ihre Suchbeschreibung bzw. die bekannten Identitätsangaben einer Person (Name, Unternehmen, Position, Ort) zur Suche in öffentlichen Webquellen.
• KI-Hilfe: Ihre Frage an die Hilfe mit den letzten Beiträgen des Gesprächs, Sprache und Seitenadresse, bei angemeldeten Nutzern Tarif und Guthaben (Abschnitt 9) – auch von Besuchern der Website ohne Konto.
• KI-Texte in E-Mail-Entwürfen: nur wenn der Kunde in die Vorlage einer Pipeline „E-Mail-Entwurf“ einen KI-Text einfügt. Dann erhält der KI-Anbieter für jeden Entwurf die Anweisungen der Vorlage, das Briefing, das Firmenwissen des Workspace, den Namen des Absenders und die Daten des jeweiligen Datensatzes einschließlich seiner Anreicherungsdaten (z. B. Position, Werdegang, frühere Arbeitgeber, Unternehmensdaten, jeweils mit Datum) – ohne E-Mail-Adressen und Telefonnummern. Ohne KI-Text in der Vorlage werden keine Kontaktdaten an einen KI-Anbieter übermittelt. Das Ergebnis halten wir einen Tag im Workspace vor, damit derselbe Text nicht zweimal erzeugt wird.
• Inhalt prüfen: nur auf Klick auf „Inhalt prüfen“: Betreff, Text und Signatur der Vorlage mit Platzhaltern (ohne Daten von Kontakten), das Briefing und das Firmenwissen des Workspace.
• Firmenwissen aus der Website: nur auf Klick auf „Vorschlagen“ in den Einstellungen (Firmenwissen): ListPlus ruft die Website des Kunden ab – die Startseite und bis zu vier verlinkte öffentliche Seiten, keine Rechtstexte oder Anmeldeseiten – und übermittelt deren Text zur Auswertung. Das Firmenwissen (Angaben über das eigene Unternehmen des Kunden, seine Produkte, Zielgruppen und Belege) speichern wir im Workspace, bis der Kunde es ändert oder den Workspace löscht.

Anbieter: OpenAI (Sprachmodelle und Transkription; Anfragen werden mit der Einstellung „nicht speichern“ gesendet und laut Anbieter nicht zum Training genutzt; Vertragspartner: OpenAI Ireland Ltd., Dublin; Standardvertragsklauseln), Groq UK Limited (London, Verarbeitung in den USA; schnelles Modell für kurze Einzelaufrufe) und TypeSafe AI (Bewertungsmodell „Jev“, angebunden über das AI Gateway von Vercel Inc., ohne Speicherung beim Anbieter; TypeSafe AI, Inc., USA). Sitz, Datenstandort und Garantie je Anbieter stehen in Abschnitt 15. Der Eigentümer eines Workspace kann alle KI-Funktionen für seinen Workspace abschalten (Workspace-Richtlinien); dann wird kein KI-Anbieter mehr aufgerufen. Rechtsgrundlage: Für Kundendaten handeln wir als Auftragsverarbeiter (Abschnitt 11); im Übrigen Art. 6 Abs. 1 lit. b DSGVO. Eine automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt; KI-Ergebnisse (auch Bewertungen wie Seniorität oder ein „Fit“-Wert in der Recherche) sind Vorschläge, die der Nutzer prüft und anwendet. Der Fit-Wert der Recherche beschreibt, wie gut ein Treffer zur Suchbeschreibung des Kunden passt; der Eigentümer eines Workspace kann diese Bewertung abschalten (Workspace-Richtlinien), dann wird kein Treffer bewertet.

13. Datenanbieter und Datenanreicherung (Informationen nach Art. 14 DSGVO)

ListPlus ermöglicht Kunden, geschäftliche Kontakt- und Unternehmensdaten zu suchen, zu ergänzen und zu prüfen. Diese Daten stammen nicht von ListPlus selbst – ListPlus besitzt keine eigene Kontaktdatenbank –, sondern werden im Moment der Anfrage bei spezialisierten Datenanbietern oder aus öffentlich zugänglichen Quellen abgerufen. Wenn Ihre geschäftlichen Kontaktdaten über ListPlus abgerufen wurden, informieren wir Sie hier über die Verarbeitung.

Kategorien von Daten

Name, berufliche Position und Senioritätsstufe, Unternehmen und Unternehmensdaten (Branche, Größe, Standort, Website, Finanzierung, Technologien), geschäftliche E-Mail-Adresse und deren Zustellbarkeitsstatus, geschäftliche Telefonnummer und ggf. Mobilnummer, URL des LinkedIn-Profils, Ort sowie öffentlich sichtbare Profilangaben (z. B. Werdegang, frühere Arbeitgeber) und öffentliche Beiträge, Kommentare oder Reaktionen, sofern ein Kunde diese abruft. Bei der KI-Recherche kommen hinzu: die Fundstelle (URL), ein kurzer Beleg (z. B. der Kommentar, der zum Treffer führte) und eine Einschätzung, wie gut die Person zur Suchbeschreibung passt („Fit“, 0–100, mit Begründung).

Quellen

Die Daten stammen von Datenanbietern, die eigene Datenbanken geschäftlicher Kontakte betreiben – Prospeo (Kontaktdatenbank, E-Mail und Telefon), FullEnrich (E-Mail und Telefon), CompanyEnrich (Unternehmensdaten), Crustdata (Firmenerkennung anhand der Domain, Finanzierungsrunden beobachteter Unternehmen; nur die Domain), MillionVerifier (Zustellbarkeit), HarvestAPI und Enrich.so (öffentlich sichtbare LinkedIn-Daten), Serper (Google-Suchergebnisse) –, und aus öffentlich zugänglichen Quellen, die ein Dienst im Auftrag des Kunden liest: LinkedIn (Suchergebnisse, Mitarbeiterlisten, Beiträge, Kommentare und Reaktionen, Profilsuche auch nach früherem Arbeitgeber), Crunchbase-Unternehmensseiten, Reddit, X, Hacker News (Suche über Algolia, nur der Suchbegriff), Google-Maps-Profile, Web-Traffic-Schätzungen und beliebige Websites, auch zum Auffinden von Kontaktdaten. Diese öffentlichen Quellen liest die Datenerhebungsplattform Apify (Prag) mit Programmen Dritter („Actors“); die Plattformen selbst sind nicht unsere Vertragspartner. Die vollständige, aktuelle Liste mit Sitz, übermittelten Daten und Garantie steht unter listplus.ai/de/subprocessors, Teil B.

Die Datenanbieter sind für ihre eigenen Datenbestände selbst verantwortlich; Informationen zu deren Verarbeitung finden Sie in den Datenschutzhinweisen der jeweiligen Anbieter. Der Eigentümer eines Workspace kann einzelne Anbieter und Quellen für seinen Workspace abschalten (Workspace-Richtlinien).

Zwecke, Empfänger und Rechtsgrundlage

Die Daten werden abgerufen, wenn ein Kunde eine konkrete Suche oder Anreicherung auslöst, und ausschließlich diesem Kunden bereitgestellt, der sie für seine eigenen geschäftlichen Zwecke (z. B. Vertrieb, Pflege von CRM-Daten) verwendet. An den Datenanbieter übermitteln wir nur den für die Abfrage nötigen Suchschlüssel (z. B. E-Mail-Adresse, Domain, LinkedIn-URL, Name und Unternehmen oder Suchfilter), nie die übrige Liste des Kunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Das berechtigte Interesse des Kunden und von ListPlus besteht darin, geschäftliche Ansprechpartner zu finden und zutreffende Geschäftsdaten zu pflegen; es beschränkt sich auf Daten im beruflichen Kontext. Personenbezogene Anreicherungsergebnisse (E-Mail-Adressen, Telefonnummern, Positionen) werden nicht zwischen Kunden geteilt. Für Abrufe, die ein Kunde auslöst, handeln wir als Auftragsverarbeiter dieses Kunden und übermitteln den Suchschlüssel auf seine Weisung an den Datenanbieter; die Datenanbieter sind für ihre eigenen Datenbestände selbst Verantwortliche (AVV § 2 Abs. 3).

Watchlist: Beobachtung von Kontakten

Diese Funktion ist in jedem Workspace standardmäßig ausgeschaltet; nur der Eigentümer kann sie nach einem Hinweis auf seine Verantwortung einschalten (der Zeitpunkt wird festgehalten). Ein Kunde kann dann einzelne Kontakte seiner Watchlist beobachten lassen: wöchentlich oder täglich liest ListPlus das öffentliche LinkedIn-Profil der Person (über HarvestAPI) und prüft, ob sich Position oder Arbeitgeber geändert haben oder neue Beiträge erschienen sind; ein KI-Modell ordnet dabei die Art der Position ein. Ereignisse werden im Workspace des Kunden gespeichert und können an eine Pipeline des Kunden weitergegeben werden. Das ist eine wiederkehrende Beobachtung bestimmter Personen; sie findet nur auf ausdrückliche Einrichtung durch den Kunden statt, der Kunde ist dafür Verantwortlicher, und der Eigentümer eines Workspace kann sie abschalten. Wer der Beobachtung widerspricht (Abschnitt „Ihre Rechte“), wird nicht mehr abgerufen.

Outlook-Add-in

Nutzt ein Kunde das Outlook-Add-in, übermittelt es Name und E-Mail-Adresse des jeweils geöffneten Korrespondenten an ListPlus, das dazu wie bei einer Anreicherung Daten abruft und sie in einer Liste „Outlook-Kontakte“ des Workspace speichert, bis der Kunde sie löscht.

Browser-Erweiterung für Chrome

Browser-Erweiterung „ListPlus“ für Chrome. Die Erweiterung speichert Personen, Firmen und Seiten, die der Nutzer merkt, ausschließlich lokal in seinem Browser (chrome.storage). Seiteninhalte werden nur auf Klick des Nutzers gelesen und mit Chromes eingebautem KI-Modell auf dem Gerät verarbeitet; sie werden nicht an uns übertragen. Details von LinkedIn-Seiten liest die Erweiterung nur, wenn der Nutzer dies einschaltet. Erst wenn der Nutzer Einträge an ListPlus übergibt, werden die ausgewählten Einträge (Name, Profiladresse, Rolle, Firma, Ort, Kontaktdaten, auf Wunsch Notizen) an seinen ListPlus-Workspace übertragen und dort wie andere Listendaten verarbeitet (Abschnitt 11); fordert er eine Anreicherung an, gelten die in diesem Abschnitt genannten Anbieter. Übergibt der Nutzer Einträge an einen eigenen Endpunkt, sendet die Erweiterung sie direkt an die vom Nutzer eingetragene Adresse; wir erhalten diese Daten nicht. Zur Anmeldung nutzt die Erweiterung die bestehende ListPlus-Sitzung im Browser. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Übergabe an ListPlus); die lokale Speicherung findet ohne Übermittlung an uns statt.

Speicherdauer

Ergebnisse, die in eine Liste eines Kunden übernommen werden, werden gespeichert, bis der Kunde sie löscht (Abschnitt 11). Abfrageergebnisse zu Personen werden nur im Workspace des jeweiligen Kunden zur Vermeidung doppelter Abfragen zwischengespeichert: 30 Tage ab dem letzten Abruf des Workspace. Unternehmensdaten zu einer Domain (Name, Branche, Größe, Standort, Website, Technologien, Finanzierung, Anschrift und Telefon des Hauptsitzes – keine Angaben zu Personen) halten wir in einem kundenübergreifenden Unternehmens-Cache für 30 Tage ab dem Abruf; ein Workspace kann das Beitragen zu diesem Cache abschalten.

Ihre Rechte

Sie haben die in Abschnitt 18 genannten Rechte, insbesondere das Recht, der Verarbeitung Ihrer Daten jederzeit zu widersprechen. Wenden Sie sich dazu an support@listplus.ai. Soweit ein Kunde Ihre Daten in eigenen Listen verarbeitet oder Sie kontaktiert, ist dieser Kunde Verantwortlicher; Ihr Widerspruch gegen Direktwerbung richtet sich dann an ihn. Eine kurze, an Sie gerichtete Fassung dieser Informationen steht unter listplus.ai/de/contact-data-notice. Ein Widerspruch wird in eine Sperrliste eingetragen, die für alle Kunden gilt: Ihre Daten werden über ListPlus dann nicht mehr abgerufen.

14. E-Mail-Empfang und -Versand (Postmark)

Nutzer können E-Mails an eine persönliche Adresse unter @in.listplus.ai weiterleiten, damit ListPlus darin Kontaktdaten erkennt (z. B. aus Signaturen, vCards oder Kalendereinladungen). Der Empfang dieser E-Mails erfolgt über den Dienst Postmark (ActiveCampaign, LLC, vormals Wildbit, USA). Postmark nimmt die E-Mail entgegen und übergibt uns ihren Inhalt als strukturierte Daten (JSON). Verarbeitet werden Absender, Empfänger, Betreff, Text und unterstützte Anhänge der weitergeleiteten E-Mail; darin enthaltene Daten Dritter verarbeiten wir als Auftragsverarbeiter des Nutzers (Abschnitt 11). Zur Erkennung der Kontakte wird der Inhalt an KI-Anbieter übermittelt (Abschnitt 12).

Über denselben Dienst versenden wir von notifications@listplus.ai Workspace-Einladungen (Adresse des Eingeladenen, Name des Einladenden, Name des Workspace) und, wenn ein Kunde eine Pipeline mit dem Ziel „E-Mail“ einrichtet, Digest-Mails an Mitglieder des Workspace mit Name, Position und Firma jedes Eintrags samt Link zur Kontaktkarte (die Links gelten 30 Tage), außerdem die Support-Anfragen aus der KI-Hilfe an unseren Support. Anmelde-Codes versendet der Anmeldedienst (Abschnitt 6), nicht Postmark. Der Eigentümer eines Workspace kann die Eingangsadresse und die Pipeline-E-Mails abschalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vom Nutzer genutzten Funktion). Drittlandübermittlung: Die Übermittlung an Postmark in die USA stützen wir auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Postmark ist zudem unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO); der Auftragsverarbeitungsvertrag ist Teil der Nutzungsbedingungen von Postmark. Speicherdauer: Postmark speichert Nachrichten standardmäßig 45 Tage. Einträge im Eingang werden bei uns 14 Tage nach Eingang automatisch gelöscht; Kontakte, die der Nutzer speichert oder in eine Liste übernimmt, bleiben erhalten.

14a. Listen-Webhooks und Formulare

Ein Kunde kann je Liste einen Webhook (Adresse unter listplus.ai/i/…) einrichten, an den andere Systeme Datensätze senden, und ein Formular (listplus.ai/f/…) veröffentlichen, das Besucher seiner Website ausfüllen. Die so eingehenden Daten verarbeiten wir als Auftragsverarbeiter des Kunden (Abschnitt 11); er ist gegenüber den Betroffenen Verantwortlicher und sorgt für deren Information. Datensätze laufen durch die Warteschlangen unseres Hosting-Anbieters; unbekannte Feldnamen und auf Wunsch eine Spam-Prüfung gehen an KI-Modelle (Abschnitt 12); zweifelhafte Datensätze können im Eingang des Kunden zurückgehalten werden.

Beim Formular speichern wir je Einsendung die Seite, in die es eingebettet ist, bei einem Zustimmungshäkchen die Zustimmung mit Zeitpunkt, und für zwei Minuten einen gekürzten Hashwert der IP-Adresse des Besuchers, um Massen-Einsendungen zu begrenzen; Schriften liefern wir selbst aus, es werden keine Inhalte Dritter geladen. Der Zustimmungstext des Formulars ist ein Vorschlag an den Kunden, keine Rechtsberatung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Kunden; für die Missbrauchsbegrenzung Art. 6 Abs. 1 lit. f DSGVO.

15. Empfänger und Unterauftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies für die genannten Zwecke erforderlich ist. Innerhalb unseres Unternehmens erhalten nur Personen Zugriff, die ihn für ihre Aufgaben benötigen. Folgende Dienstleister setzen wir ein:

Teil A: Unterauftragsverarbeiter

Teil B: Datenanbieter und Quellen

Diese Anbieter erhalten bei einem Abruf nur den Suchschlüssel (z. B. E-Mail-Adresse, Domain, LinkedIn-URL, Name und Firma oder Suchfilter), nie die übrige Liste. Sie sind für ihre eigenen Datenbestände selbst Verantwortliche und keine Unterauftragsverarbeiter; ListPlus übermittelt den Suchschlüssel auf Weisung des Kunden (AVV § 2 Abs. 3). „Abschaltbar“ nennt den Schalter der Workspace-Richtlinien, mit dem der Kunde einen Anbieter für seinen Workspace abschaltet.

Teil C: Vom Kunden gewählte Empfänger

Systeme, an die der Kunde Daten übermittelt, weil er sie selbst verbindet oder benennt. Für diese Übermittlung ist der Kunde Verantwortlicher; wir nennen sie der Vollständigkeit halber.

Mit Dienstleistern, die in unserem Auftrag tätig sind, haben wir Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen; bei den meisten ist er Teil der Nutzungsbedingungen des Dienstleisters. Die jeweils aktuelle Liste mit Sitz, Datenstandort und Garantie steht unter listplus.ai/de/subprocessors; sie ist zugleich Anlage 3 unseres Auftragsverarbeitungsvertrags. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Behörden oder Steuerberater im Rahmen gesetzlicher Pflichten).

16. Übermittlung in Drittländer

Einige der genannten Dienstleister haben ihren Sitz außerhalb der EU bzw. des EWR, insbesondere in den USA, oder greifen auf Unterauftragnehmer dort zurück. Wir hosten die Anwendung in der EU-Region Frankfurt, können aber nicht ausschließen, dass Daten in Drittländer übermittelt werden. Übermittlungen erfolgen nur, wenn ein Angemessenheitsbeschluss der EU-Kommission besteht (z. B. für nach dem EU-U.S. Data Privacy Framework zertifizierte Unternehmen, Art. 45 DSGVO) oder geeignete Garantien vorliegen, insbesondere EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien können Sie unter support@listplus.ai anfordern.

17. Speicherdauer im Überblick

Wir haben keine Funktion zur Wiederherstellung gelöschter Daten. Die Datenbank wird täglich gesichert; jede Sicherung wird nach 7 Tagen gelöscht. Gelöschte Daten können bis dahin noch in einer Sicherung enthalten sein.

18. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO), einschließlich verfügbarer Informationen über die Herkunft der Daten
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Werden Ihre Daten für Direktwerbung verarbeitet, können Sie jederzeit ohne Angabe von Gründen widersprechen; die Daten werden dann nicht mehr für diesen Zweck verarbeitet.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an support@listplus.ai. Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

19. Pflicht zur Bereitstellung

Die Bereitstellung Ihrer E-Mail-Adresse ist für die Registrierung erforderlich; ohne sie können wir kein Konto einrichten. Zahlungsdaten sind für den Abschluss eines kostenpflichtigen Tarifs oder den Kauf von Credits erforderlich. Im Übrigen sind Sie nicht verpflichtet, uns Daten bereitzustellen.

20. Datensicherheit

Jede Übertragung – zwischen Ihrem Browser und uns, zwischen unseren Servern und der Datenbank sowie zu allen Dienstleistern – erfolgt verschlüsselt (TLS). Dateien werden bei unserem Hosting-Anbieter verschlüsselt gespeichert; auch die Datenbank (Redis Cloud) ist im Ruhezustand verschlüsselt. API- und KI-Schlüssel werden ausschließlich serverseitig verwendet; Zugangsschlüssel, die Kunden für eigene Ziele hinterlegen, speichern wir verschlüsselt. Zugriffe auf Listen erfordern eine Anmeldung und sind auf die Mitglieder des jeweiligen Workspace beschränkt. ListPlus selbst hält keine eigene Sicherheitszertifizierung; unser Hosting-Anbieter Vercel ist u. a. nach ISO 27001:2022 zertifiziert und verfügt über einen SOC-2-Type-2-Bericht.

21. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.