Du bist Verantwortlicher für diese Anfrage
Du entscheidest, wen du über ListPlus kontaktierst, also beantwortest du Auskunfts-, Lösch- und Widerspruchsanfragen selbst, nicht ListPlus.
Datenschutz & DSGVO
Datenschutz & DSGVO bei ListPlus
Rollen, Hosting-Standorte, benannte Unterauftragsverarbeiter, Aufbewahrungsfristen und wie du eine AVV anforderst — die Details zu ListPlus' Datenverarbeitung.
Du steuerst die Ansprache
Du entscheidest, wen du kontaktierst; ListPlus verarbeitet deine Listendaten in deinem Auftrag, geregelt durch eine AVV.
EU-Hosting
Anwendung und Dateien laufen bei Vercel in Frankfurt; auch der Arbeitsdaten-Cache liegt in Frankfurt.
AVV in jedem Tarif
Ein Auftragsverarbeitungsvertrag ist für jeden Plan verfügbar — schreib an support@listplus.ai.
Rollen
Du bist Verantwortlicher. ListPlus ist Auftragsverarbeiter.
Für die Kontaktdaten in deinen Listen sind die beiden Rollen klar getrennt.
- Du (Verantwortlicher)
- Du entscheidest, wen du kontaktierst, warum, und auf welcher Rechtsgrundlage. Diese Verantwortung bleibt bei dir.
- ListPlus (Auftragsverarbeiter)
- ListPlus verarbeitet deine Listendaten in deinem Auftrag — Speicherung, Anreicherung, Checks —, geregelt durch den Auftragsverarbeitungsvertrag (AVV), der für jeden Tarif gilt.
Unsere Position
Unsere Position lesen Wie wir unsere Rolle sehen — geschrieben für deinen Datenschutzbeauftragten.
Werkzeug, nicht Datenbestand. Der Kunde ist Verantwortlicher und steuert, serverseitig. Eine Anbieterliste mit allen Namen. Hinweis und Sperrliste für die Personen in den Daten. Und ein Abschnitt zu dem, was noch offen ist — auch das schreiben wir auf.
Derselbe Text eröffnet das Datenschutz-Paket.
Deine Kontrollen
Was du abschalten kannst.
Ein Datenschutzbeauftragter, der einen Anbieter oder eine Funktion ablehnt, muss nicht das Produkt ablehnen.
- Workspace-Richtlinien
- Der Workspace-Eigentümer schaltet für alle im Workspace ab: einzelne Datenanbieter (Prospeo, FullEnrich, CompanyEnrich, LinkedIn-Daten, E-Mail-Prüfung, Google-Suche, Scraper), KI-Funktionen, Watchlist-Alerts, die Eingangsadresse, die Agent-API, verbundene Systeme, Pipeline-E-Mails, Nutzungsereignisse oder das Beitragen zum gemeinsamen Firmen-Cache. Aus heißt: Es gehen keine Daten an diesen Anbieter — serverseitig durchgesetzt, nicht nur in der Oberfläche ausgeblendet. Die Richtlinie lässt sich als Textdatei für deine Prüfung exportieren.
- Veröffentlichte Anbieterliste
- Jeder Unterauftragsverarbeiter, Datenanbieter und jede Quelle mit Sitz, übermittelten Daten, Garantie und dem Schalter, der sie stoppt, unter listplus.ai/de/subprocessors — dieselbe Liste wie Anlage 3 des AVV, aus einer Quelle erzeugt.
- Für die Personen in den Daten
- Ein an sie gerichteter Hinweis unter listplus.ai/de/contact-data-notice und eine globale Sperrliste: Wer widerspricht, wird über ListPlus nicht mehr abgerufen, bei keinem Kunden.
Ein Klick
Beispiel-Paket öffnen Das Datenschutz-Paket, noch vor der Registrierung.
Alles, was ein Datenschutzbeauftragter fragt, auf einer druckbaren Seite: die Workspace-Schalter, der AVV mit Anlagen, jeder Anbieter mit Sitz und Garantie, der Hinweis für die Personen in den Daten und die Datenschutzerklärung. Kunden erzeugen dasselbe Paket mit ihren eigenen Schaltern aus den Workspace-Einstellungen — oder versenden es als 30-Tage-Link.
Öffnet sich im Browser; drucken oder herunterladen von dort.
Hosting & Standorte
EU-Hosting, Region Frankfurt.
Anwendung, Dateien und der Arbeitsdaten-Cache werden in der Region Frankfurt gehostet.
- Anwendung & Dateispeicher
- Vercel, EU-Region Frankfurt. Betreibt ListPlus und speichert deine Listen und hochgeladenen Dateien.
- Arbeitsdaten-Cache
- Redis Cloud, gehostet auf AWS eu-central-1 (Frankfurt), für schnelle Zugriffe während du in einer Liste arbeitest.
- Grenzüberschreitende Übermittlungen
- Manche Verarbeitung — KI-Funktionen, Anreicherungs-Lookups — läuft bei Unterauftragsverarbeitern außerhalb der EU. Diese Übermittlungen sind durch Auftragsverarbeitungsverträge abgedeckt.
Unterauftragsverarbeiter
Wer Daten im Auftrag von ListPlus verarbeitet.
Zuerst die Unterauftragsverarbeiter, dann die Datenanbieter, die bei einem Abruf nur den Suchschlüssel erhalten. Jeder übernimmt einen Teil des Produkts und erhält nur, was dafür nötig ist. Die vollständige Liste mit Garantien und dem Richtlinien-Schalter je Anbieter steht unter listplus.ai/de/subprocessors.
| Unterauftragsverarbeiter | Zweck | Erhaltene Daten | Sitz / Standort |
|---|---|---|---|
| Vercel Inc. | Betrieb der Anwendung, Dateispeicher für Listen und Importe, Warteschlangen für Hintergrundarbeit, Reichweitenmessung und Ladezeitmessung, KI-Gateway (Zugang zum Modell „Jev“) | Alle Daten der Anwendung; Verbindungsdaten beim Aufruf (IP-Adresse, Browser) | Covina, Kalifornien, USA — Hosting, Dateispeicher und Warteschlangen in der EU-Region Frankfurt |
| Redis EMEA Ltd. (Redis Cloud) | Datenbank der Anwendung: Workspaces, Listen, Arbeitsdaten, Zwischenspeicher | Alle Daten der Anwendung | London, Vereinigtes Königreich (Vertragspartner für Kunden in Europa; Konzernmutter Redis Ltd., Tel Aviv, Israel) — Datenbanken in Frankfurt (AWS eu-central-1), im Ruhezustand verschlüsselt, Übertragung TLS-verschlüsselt |
| Amazon Web Services EMEA SARL (Amazon S3) | Tägliche Sicherung der Datenbank; jede Sicherung wird nach 7 Tagen gelöscht | Alle Daten der Datenbank zum Zeitpunkt der Sicherung | Luxemburg — Eigener Speicher (S3-Bucket) in Frankfurt (eu-central-1), verschlüsselt, ohne öffentlichen Zugriff |
| Pusher Ltd. | Live-Statusmeldungen im Browser (Import fertig, Anreicherung läuft, neue Treffer) | Ereignisse zu Vorgängen; bei kleinen Änderungen die geänderten Zellwerte | London, Vereinigtes Königreich (Bird-Gruppe) — Cluster „eu“: AWS eu-west-1 (Irland) |
| Pipedream, LLC | Verbindungen zu CRM-Systemen und Tabellen (OAuth-Zugangsdaten, Weiterleitung der Aufrufe); Anlegen von E-Mail-Entwürfen im verbundenen Postfach des Nutzers (Gmail, Outlook) – ohne Versand; Zustellung von App-Ereignissen aus verbundenen Apps (Formularantworten, Buchungen, Nachrichten) | Datensätze, die der Kunde mit einem verbundenen System austauscht (bei E-Mail-Entwürfen Adresse und Name des Kontakts, Betreff und Text); der Inhalt der App-Ereignisse, die der Kunde einrichtet | San Francisco, Kalifornien, USA |
| Postmark (AC PM LLC, ActiveCampaign) | Empfang weitergeleiteter E-Mails an die Eingangsadresse @in.listplus.ai; Versand von Workspace-Einladungen und Pipeline-Digest-Mails von notifications@listplus.ai; Versand der Support-Anfragen aus der KI-Hilfe an unseren Support | Weitergeleitete E-Mails ganz (Absender, Betreff, Text, Anhänge); Adresse des Eingeladenen und Name des Einladenden; je Digest-Eintrag Name, Position, Firma; bei einer Support-Anfrage der Gesprächsverlauf, die E-Mail-Adresse des Nutzers, Workspace, Tarif und Seite | Chicago, Illinois, USA |
| OpenAI | Sprachmodelle für Befehle, Prüfungen, KI-Spalten, Spaltenerkennung beim Import, Erkennung von Kontakten im Eingang, Zuordnung unbekannter Webhook-Felder, KI-Recherche; Transkription von Diktaten | Der für die Aufgabe nötige Ausschnitt (Abschnitt „KI-Verarbeitung“ der Datenschutzerklärung); Anfragen mit der Einstellung „nicht speichern“ (store: false), nicht zum Training genutzt; Protokolle zur Missbrauchsüberwachung hält der Anbieter bis zu 30 Tage | OpenAI Ireland Ltd., Dublin, Irland (Vertragspartner für die EU) / OpenAI, L.L.C., San Francisco, USA |
| Groq UK Limited | Schnelles Sprachmodell für kurze Einzelaufrufe: Verstehen einer Suchanfrage, Rollenauflösung, Listentitel, kurze Eingangs-Einträge | Der kurze Text der jeweiligen Anfrage (Suchbeschreibung, Signaturzeile); laut Anbieter standardmäßig nicht gespeichert, höchstens 30 Tage für Betrieb und Missbrauchsabwehr; nicht zum Training genutzt (Services Agreement § 4.2) | London, Vereinigtes Königreich (Vertragspartner für den EWR) — Verarbeitung und Speicher in den USA |
| TypeSafe AI (Modell „Jev“, über das AI Gateway von Vercel) | Bewertungsmodell: Seniorität von Jobtiteln, Art einer LinkedIn-Position, Vorprüfung von Eingangs-Einträgen und Webhook-Datensätzen, Bewertungsspalten | Die zu bewertenden Werte (Jobtitel, Positionen, bis zu 12 Felder eines Datensatzes); ohne Speicherung beim Anbieter (Zero Data Retention); laut Anbieter nicht zum Training genutzt | TypeSafe AI, Inc., Oakland, Kalifornien, USA |
| Apify Technologies s.r.o. | Datenerhebungsplattform: führt Scraper („Actors“) aus, die öffentliche Seiten lesen — LinkedIn-Importe (Sales Navigator, Mitarbeiterlisten, Beitragsreaktionen und -kommentare, Personensuche auch nach früherem Arbeitgeber), Crunchbase-Firmenseiten, Reddit, X, Google-Maps-Profile, Web-Traffic, Kontaktdaten auf Websites | Die Such-URL, Firmen-URL, Beitrags-URL, der Firmenname oder die Recherche-Anfrage — nie die Liste des Kunden; die Actors anderer Entwickler laufen auf Apifys Infrastruktur unter Apifys Bedingungen | Prag, Tschechien |
| PostHog Inc. (EU-Cloud) | Nutzungsereignisse der Anwendung (welche Funktion wann genutzt wurde), pseudonym | Ereignisname und -eigenschaften, ein Pseudonym des Kontos (Hash), Tarif, Workspace-Hash; keine Namen, E-Mail-Adressen oder Listeninhalte; abschaltbar je Konto und je Workspace | San Francisco, Kalifornien, USA — EU-Cloud in Frankfurt |
| Hanko GmbH | Anmeldung: E-Mail-Adresse mit Einmal-Code oder Google-Login; Sitzungen (30 Tage) | E-Mail-Adresse, Nutzer-ID, Anmeldeweg, Zeitpunkte | Kiel, Deutschland — Rechenzentren ausschließlich in Deutschland |
| Google LLC (Anmeldung mit Google) | Bestätigung der Anmeldung, wenn der Nutzer „Mit Google anmelden“ wählt | E-Mail-Adresse und Google-Konto-ID; Google erfährt, dass sich die Person bei ListPlus anmeldet | Mountain View, Kalifornien, USA |
| Sold Through Link, LLC und Stripe (Stripe Managed Payments) | Abwicklung des Verkaufs von Tarifen und Credits in unserem Namen als „Merchant of Record“: Bezahlvorgang, Zahlungsabwicklung, Rechnungen und Belege, Umsatzsteuer, Erstattungen, Zahlungsanfechtungen, Betrugsprävention, Link-Konto des Käufers. Für den Kauf und das Link-Konto eigenständig Verantwortliche, nicht nur Auftragsverarbeiter | Von uns: E-Mail-Adresse, Nutzer-ID, gekauftes Produkt und Preis; im Bezahlvorgang gibt der Käufer Name, Rechnungsanschrift und Zahlungsdaten direkt bei Stripe/Link ein | Sold Through Link, LLC (vormals Lemon Squeezy, LLC): South San Francisco, Kalifornien, USA; Zahlungsabwicklung in der EU: Stripe Technology Europe, Limited, Dublin, Irland |
| Attio Ltd. (CRM) | Kundenbetreuung: Konto mit E-Mail-Adresse, Tarif und wichtigen Kontoereignissen; versendet die Willkommens-E-Mail | E-Mail-Adresse, Nutzer-ID, Tarif, Kontoereignisse | London, Vereinigtes Königreich |
| Prospeo | B2B-Kontaktdatenbank (Segmentsuche), verifizierte geschäftliche E-Mail-Adressen und Telefonnummern, Firmenprofile, Jobwechsel | Suchfilter oder der Suchschlüssel: LinkedIn-URL, Name und Firma, Domain | Defastra Tech Inc. (Prospeo), Toronto, Kanada; EU-Vertreter in Paris — Hosting in den USA (AWS us-east-1) |
| FullEnrich | Geschäftliche E-Mail-Adresse und Telefonnummer aus Name und Firma oder LinkedIn-URL (Abfrage bei 20+ Unterquellen) | Name und Firma, Domain oder LinkedIn-URL | FullEnrich Corp., San Francisco, USA |
| CompanyEnrich | Unternehmensdaten aus Domain oder Firmenname (Branche, Größe, Standort, Website); Mitarbeiterstruktur, Entscheider, ähnliche Unternehmen | Domain oder Firmenname; bei Personensuchen Name und Firma | STDİO Bilişim San. ve Tic. Ltd. Şti., Ankara, Türkei — Server, Datenbanken und Sicherungen in Finnland (Hetzner, Helsinki) |
| Crustdata | Firmenerkennung anhand der Domain (LinkedIn-Unternehmensseite, Name, Größenklasse); Finanzierungsrunden beobachteter Unternehmen für den Watchlist-Alert | Nur die Firmen-Domain (beim Finanzierungs-Alert zusätzlich das Datum der letzten Prüfung); keine Personendaten | Crustdata Technologies Inc., San Francisco, Kalifornien, USA — Daten in den USA |
| HarvestAPI | Öffentlich sichtbare LinkedIn-Daten: Profil, Unternehmen, Profilsuche, Beiträge und Reaktionen, offene Stellen; Grundlage der Watchlist-Alerts | LinkedIn-URL, Name und Firma, Beitrags-URL | Aventra Technologies Limited (Sitz nicht angegeben) |
| Enrich.so | Öffentlich sichtbare LinkedIn-Profildaten anhand einer URL (Ersatz, wenn HarvestAPI nicht antwortet) | LinkedIn-URL | Enrich Labs L.L.C-FZ, Dubai, Vereinigte Arabische Emirate |
| MillionVerifier | Prüfung der Zustellbarkeit einer E-Mail-Adresse | Die E-Mail-Adresse | Southern Vector Limited, Christchurch, Neuseeland — Verarbeitung in Neuseeland, Ungarn und weiteren Ländern des EWR, den USA und anderen Ländern |
| Serper (Google-Suche) | Google-Suchergebnisse: LinkedIn-Profil-URL zu Name und Firma, Firmenwebsite, Nachrichten, Websuche der KI-Recherche, Bestätigung erkannter Kontakte im Eingang | Der Suchbegriff (z. B. Name und Firma) | Serper (Gesellschaft nicht genannt; Bedingungen nach dem Recht des Vereinigten Königreichs) |
| Hacker News (Suche über Algolia) | Öffentliche Beiträge und Kommentare auf Hacker News einschließlich Benutzernamen, für die KI-Recherche | Nur der Suchbegriff, nie Daten aus Kundenlisten | Algolia, Inc., San Francisco, USA — öffentliche Schnittstelle ohne Konto |
| Öffentliche Quellen (über Apify gelesen) | Öffentlich sichtbare Seiten, die ein Scraper im Auftrag des Kunden liest; die Plattformen sind nicht unsere Vertragspartner, ihre Nutzungsbedingungen beachtet der Kunde | Die aufgerufene URL bzw. Suche | LinkedIn, Crunchbase, Reddit, X, Google Maps, Similarweb, beliebige Websites |
Manche Unterauftragsverarbeiter verarbeiten Daten außerhalb der EU; die Garantie für jede Übermittlung und den Workspace-Schalter, der sie stoppt, findest du unter listplus.ai/de/subprocessors.
Aufbewahrung
Wie lange Daten aufbewahrt werden.
Deine Listen bleiben, bis du sie löschst. Ein paar Bereiche sind bewusst temporär.
| Was | Aufbewahrt für |
|---|---|
| Listen | Bis du sie löschst — kein automatisches Ablaufdatum |
| Eingang-Einträge | 14 Tage nach Eingang |
| Geteilte Ergebnis-Links | 7 Tage ab Erstellung — ein Aufruf verlängert den Link nicht |
| KI-Recherchen im Hintergrund | 7 Tage ab Start |
| Zuletzt angesehene Profile (Personensuche) | 30 Tage ohne weitere Aktivität — in einen Ordner gespeicherte oder angereicherte Kontakte laufen nicht ab |
| Suchergebnis-Sitzungen (Segmentsuche, Personensuche) | 30 Tage, gleitend — bei jedem erneuten Öffnen verlängert |
| LinkedIn-Lookup-Cache (Profil, Firma, Suche) | 30 Tage |
| Provider-Lookup-Cache (Prospeo, FullEnrich, Crunchbase) | 7 Tage, pro Nutzer — nur Lookups mit Ergebnis |
| Wiederholte Segmentsuche | 30 Tage |
| Firmendaten-Cache (per Domain) | Von allen Kunden geteilt, keine feste Ablaufzeit |
| KI-Klassifizierungs-Cache | 30 Tage für eindeutige Ergebnisse |
| E-Mail-Verifizierungs-Cache | 7 Tage |
| Eingehende E-Mail beim Provider (Postmark) | 45 Tage (Standard des Anbieters) |
Was die KI sieht
Nie die ganze Liste.
Jede KI-Funktion erhält nur die Daten, die sie für ihre eine Aufgabe braucht.
- KI-Befehle (Prompts-Panel)
- Deine Anweisung, Spaltennamen und -typen und die Zeilenanzahl — keine Zellenwerte, außer der Befehl muss Werte beurteilen; dann werden nur die eindeutigen Werte der betroffenen Spalten gesendet.
- KI-Checks & AI Column
- Nur die eindeutigen (unique) Werte der betroffenen Spalte(n), nie ganze Zeilen. Eine 10.000-Zeilen-Liste mit ein paar hundert eindeutigen Jobtiteln sendet ein paar hundert Kombinationen, nicht zehntausend Zeilen.
- Anreicherungs-Provider
- Nur die für den Lookup nötige Kennung — eine E-Mail, eine Domain, eine LinkedIn-URL, ein Name und eine Firma, oder ein Firmenname — nie deine anderen Spalten.
- KI-Recherche
- Deine Recherche-Beschreibung, oder die bekannten Identitätsdetails einer Person — nie den Rest deiner Liste.
- Erkennung im Eingang
- Der Text eines Eintrags, den du einfügst oder weiterleitest (E-Mail-Text und unterstützte Anhänge), um die Kontakte darin zu erkennen.
- Spaltenerkennung beim Import
- Eine Stichprobe der ersten Zeilen deiner Datei (10 %, 50–200 Zeilen) mit echten Zellenwerten, dazu die eindeutigen Werte von Geschlechts-, Länder- und Ja/Nein-Spalten aus der ganzen Datei — bei jedem Import, um Spaltentypen vorzuschlagen.
- Wo das läuft
- All das passiert auf ListPlus' Servern, nie in deinem Browser.
AVV
AVV lesen Ein Auftragsverarbeitungsvertrag, in jedem Tarif.
Er gilt für jeden Plan — Basic, Pro und Premium — als Teil des Nutzungsvertrags; du musst ihn nicht anfordern. Eine unterzeichnete Fassung bekommst du per E-Mail an support@listplus.ai. ListPlus selbst hält keine eigene Sicherheitszertifizierung (kein ISO 27001, SOC 2 oder Ähnliches). Vercel, ListPlus' Hosting-Anbieter, hält eigene Zertifizierungen, darunter SOC 2 Type 2 und ISO 27001:2022 — das ist Vercels Zertifizierung, nicht die von ListPlus, und deckt Vercels Infrastruktur ab.
Betroffenenanfragen
Jemand fragt, woher du seine Daten hast, oder will sie gelöscht haben.
Diese Anfrage richtet sich an dich, nicht an ListPlus — aber ListPlus gibt dir, was du zur Beantwortung brauchst.
Die Quelle eines Werts
Das Zahlen-Badge in der Sparkles-Spalte am rechten Zeilenrand öffnet das Datensatz-Panel, wo jedes Anreicherungsergebnis mit seinem Provider überschrieben ist, zum Beispiel "Prospeo · Contact".
Eine Zeile entfernen
Zeile auswählen und im ⋯-Menü der Auswahlleiste Löschen wählen (wird automatisch gespeichert, Rückgängig holt sie zurück). Das entfernt die Zeile nur aus dieser Liste — nicht aus anderen Listen, der Watchlist, dem Eingang, einem Export oder einem CRM, an das du sie schon übertragen hast.
Kontakt
support@listplus.ai schreiben Fragen zu deinen Daten?
AVV-Anfragen und Fragen zu Backup und Aufbewahrung bei ListPlus' Anbietern laufen über den Support. Die vollständige Liste der Unterauftragsverarbeiter steht unter listplus.ai/de/subprocessors; dein gesamtes Konto löschst du selbst unter Einstellungen → Profil.
support@listplus.ai
Gut zu wissen.
Wo wird ListPlus gehostet?
Bei Vercel, in der EU-Region Frankfurt. Der Arbeitsdaten-Cache (Redis Cloud) liegt ebenfalls in Frankfurt, auf AWS eu-central-1.
Wer ist Verantwortlicher für die Kontakte in meinen Listen?
Du. ListPlus verarbeitet diese Daten in deinem Auftrag, geregelt durch eine AVV, aber du entscheidest, wen du kontaktierst und warum.
Hat ListPlus eine ISO-27001- oder SOC-2-Zertifizierung?
Nicht ListPlus selbst. Vercel, der Hosting-Anbieter, hält eigene Zertifizierungen, darunter SOC 2 Type 2 und ISO 27001:2022 — das deckt Vercels Infrastruktur ab, nicht eine Zertifizierung von ListPlus.
Kann ich eine AVV bekommen?
Ja, für jeden Plan. Schreib mit deinem Firmennamen an support@listplus.ai, dann wird dir der Vertrag zum Unterschreiben zugeschickt.
Sieht ein KI-Modell jemals meine ganze Liste?
Nein. KI-Befehle sehen deine Anweisung und die Spaltenstruktur; KI-Checks und AI Column sehen nur eindeutige Werte; Anreicherungs-Provider sehen nur die gesuchte Kennung.
Jemand hat gefragt, woher ich seine Daten habe — beantwortet ListPlus das?
Nein, das machst du — du bist Verantwortlicher für diese Ansprache. Das Provider-Badge im Datensatz-Panel jeder Zeile zeigt dir die Quelle.
Wie lange werden meine Daten aufbewahrt?
Listen bleiben, bis du sie löschst. Ein paar Bereiche sind bewusst temporär: Eingang (14 Tage), geteilte Ergebnis-Links (7 Tage ab Erstellung), Recherchen (1 bis 7 Tage, 30 bei Übergabe an eine Liste), Lookup-Caches zu Personen (30 Tage je Workspace) und ein geteilter Firmen-Cache ohne Personendaten (30 Tage).
Weiter erkunden
Egal womit du startest. Du weißt, was bereit ist.
Probiere die Beispielliste oder bring deinen eigenen Startpunkt mit.