Kvarlo.

Datenschutzerklärung

Stand: November 2026

English version

1. Verantwortlicher

Michael Timofeev
Sürther Str. 99
50996 Köln
E-Mail: michael@kvarlo.io

Bei Fragen zum Datenschutz erreichen Sie uns unter der oben genannten E-Mail-Adresse.

2. Überblick

Kvarlo ist ein CRM für Vertriebsteams, erreichbar unter www.kvarlo.io („die Anwendung"), ergänzt um eine Browser-Erweiterung für Google Chrome („Kvarlo für LinkedIn"). Diese Erklärung beschreibt, welche personenbezogenen Daten beim Besuch dieser Website, bei der Nutzung der Anwendung und bei der Nutzung der Erweiterung verarbeitet werden.

3. Besuch der öffentlichen Website

Beim Aufruf der Website verarbeitet der Server technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent), soweit dies für die Auslieferung der Seite und die Sicherheit des Betriebs erforderlich ist (Art. 6 Abs. 1 lit. f DSGVO). Server-Protokolle werden nach spätestens 90 Tagen gelöscht. Sicherheitsprotokolle des Servers (etwa zu fehlgeschlagenen Anmeldeversuchen per SSH und zu gesperrten Adressen) werden nach etwa fünf Wochen gelöscht.

Die öffentlichen Seiten setzen keine Cookies und binden keine Analyse-, Tracking- oder Werbedienste ein. Es werden keine Inhalte von Servern Dritter geladen, mit einer Ausnahme: Auf den Seiten zur Registrierung und zum Zurücksetzen des Passworts schützt Cloudflare Turnstile (Cloudflare, Inc., USA) die Formulare vor automatisierten Anfragen. Dabei werden Ihre IP-Adresse und technische Angaben Ihres Browsers an Cloudflare übermittelt, um zu prüfen, ob die Anfrage von einem Menschen stammt. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert.

4. Nutzung der Anwendung (mit Konto)

Die Anwendung ist nur mit einem Konto nutzbar, das die jeweilige Organisation einrichtet.

  • Kontodaten: Name, E-Mail-Adresse, Passwort (als Hash gespeichert) und Organisationszugehörigkeit, zur Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO).
  • Cookies: ausschließlich technisch erforderliche Cookies: die Sitzung (authjs.session-token), die Sprachwahl (NEXT_LOCALE) und das Erscheinungsbild (KVARLO_THEME). Keine Tracking-Cookies.
  • CRM-Inhalte: Leads, Kontakte, E-Mails, Notizen, Aufgaben und Aktivitäten, die Ihre Organisation einträgt oder über angebundene Postfächer synchronisiert. Diese Inhalte verarbeitet Kvarlo als Auftragsverarbeiter für die jeweilige Organisation (Art. 28 DSGVO); für sie ist die Organisation verantwortlich.
  • E-Mail-Anbindung: Zugangsdaten zu angebundenen Postfächern werden ausschließlich verwendet, um E-Mails der Organisation abzurufen und zu versenden.

Hosting und Dienstleister: Die Anwendung läuft auf Servern der Contabo GmbH (Rechenzentrum in Deutschland). Verschlüsselte Datensicherungen liegen bei Cloudflare, Inc. (Cloudflare R2) auf Servern in der EU; Cloudflare hat seinen Sitz in den USA und ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten die EU-Standardvertragsklauseln. Systemmails (zum Beispiel Passwort zurücksetzen, Einladungen und Buchungsbestätigungen) versendet Sand Dune Mail Ltd (SMTP2GO, Neuseeland) über Server im Europäischen Wirtschaftsraum; für Neuseeland besteht ein Angemessenheitsbeschluss der EU-Kommission. Mit diesen Anbietern besteht jeweils ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO.

Abrechnung über Stripe: Schließt Ihre Organisation ein Abonnement ab, erfolgen Bezahlung und Rechnungsstellung über Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin 2, Irland). Dafür verarbeitet Stripe den Namen der Organisation, Rechnungsadresse, Umsatzsteuer-Identifikationsnummer, die E-Mail-Adresse der Person, die das Abonnement abschließt, die Zahl der Nutzer sowie die Zahlungsdaten (zum Beispiel Kartendaten oder IBAN). Die Zahlungsdaten geben Sie direkt bei Stripe ein; Kvarlo erhält und speichert sie nicht. Rechtsgrundlagen sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), soweit der Kunde ein Einzelunternehmer ist, unser berechtigtes Interesse an der Abwicklung des Vertrags mit Ihrem Unternehmen (Art. 6 Abs. 1 lit. f DSGVO), soweit Sie als Ansprechperson eines Firmenkunden handeln, und die Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten für Rechnungen (Art. 6 Abs. 1 lit. c DSGVO). Stripe verarbeitet diese Daten teilweise auch als eigener Verantwortlicher, etwa zur Betrugsprävention und zur Erfüllung finanzaufsichtsrechtlicher Pflichten; Einzelheiten unter https://stripe.com/de/privacy. Stripe verarbeitet Daten auch in den USA; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten die EU-Standardvertragsklauseln. Die Inhalte im CRM (Leads, Kontakte, E-Mails, Notizen) erhält Stripe nicht.

Kalender-Anbindung: Nutzerinnen und Nutzer können einen Kalender mit Kvarlo verbinden, über eine geheime iCal-Adresse, über CalDAV mit Benutzername und Passwort oder über ihr Google-Konto. Kvarlo liest daraus nur: Beginn und Ende von Terminen, deren Titel sowie die Adressen der Eingeladenen und des Organisators. Kvarlo nutzt diese Daten, um belegte Zeiten auf der Buchungsseite auszublenden, Termine mit Kunden dem passenden Lead zuzuordnen und interne Termine zu erkennen. Kvarlo legt in Ihrem Kalender keine Termine an und ändert keine. Zugangsdaten (CalDAV-Passwort, Google-Zugriffsschlüssel) werden verschlüsselt gespeichert. Den Zugriff können Sie jederzeit beenden, indem Sie den Kalender in Kvarlo entfernen oder bei Google unter myaccount.google.com/permissions den Zugriff für Kvarlo widerrufen.

Die Nutzung und Übertragung von Informationen, die Kvarlo über Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Kvarlo verwendet diese Daten nicht für Werbung, verkauft sie nicht und nutzt sie nicht zum Training von KI-Modellen.

Vom Kunden gewählte Dienste: Postfächer, Kalender und KI-Assistenten, die Ihre Organisation selbst mit Kvarlo verbindet, wählt und verantwortet die Organisation. Kvarlo setzt sie nicht als eigene Dienstleister ein.

Auftragsverarbeitungsvertrag: Organisationen, die Kvarlo nutzen, schließen mit uns einen Vertrag nach Art. 28 DSGVO.

5. Browser-Erweiterung „Kvarlo für LinkedIn"

Die Erweiterung verbindet den eigenen Kvarlo-Server mit LinkedIn. Für sie gilt:

  • Lokal gespeichert (im Browser, chrome.storage.local) werden nur die Adresse des konfigurierten Kvarlo-Servers und ein API-Schlüssel. Beides verlässt den Browser nur für Anfragen an genau diesen Server.
  • Gelesen werden ausschließlich Inhalte auf LinkedIn-Profil- und Nachrichtenseiten: die dort angezeigten Profilangaben (Name, Titel, Unternehmen, Profil-URL) sowie, nur wenn Sie eine Aktion auslösen, der Text der geöffneten Konversation.
  • Übermittelt werden diese Daten ausschließlich an den von Ihnen konfigurierten Kvarlo-Server, um Leads anzulegen oder Nachrichten als Aktivität zu protokollieren. Es findet keine Übermittlung an den Anbieter der Erweiterung oder an sonstige Dritte statt.
  • Die Erweiterung enthält keine Analyse-, Tracking- oder Werbefunktionen. Daten werden nicht verkauft und nicht für Zwecke außerhalb der beschriebenen Kernfunktion verwendet.
  • Für die im CRM gespeicherten Daten gilt Abschnitt 4: Kvarlo verarbeitet sie im Auftrag der Organisation, der das genutzte Konto gehört.

6. Empfänger

Eine Weitergabe personenbezogener Daten an Dritte findet nicht statt, mit Ausnahme des in Abschnitt 4 genannten Dienstleister (Hosting, Datensicherung, Systemmails, Abrechnung) sowie der E-Mail-Anbieter und sonstigen Dienste, die Ihre Organisation selbst mit Kvarlo verbindet.

7. Speicherdauer

Aus verbundenen Kalendern gespeicherte Titel und Teilnehmeradressen löschen wir nach 31 Tagen, belegte Zeiten nach 90 Tagen, alles Übrige zu einem Kalender spätestens, wenn er entfernt wird.

Konto- und CRM-Daten werden gespeichert, solange das Konto bzw. die Organisation besteht, und nach Vertragsende gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen: aus dem laufenden System 30 Tage nach Vertragsende, aus den Datensicherungen nach deren Rotation, spätestens sechs Monate nach der Löschung aus dem Produktivsystem. Testkonten ohne Abonnement werden auf Anfrage, spätestens 90 Tage nach Ende des Testzeitraums gelöscht. Rechnungen und die zugehörigen Abrechnungsdaten bewahren wir 8 Jahre auf, wie es die handels- und steuerrechtlichen Aufbewahrungspflichten verlangen (§ 147 AO, § 257 HGB in der jeweils geltenden Fassung; Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO).

8. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Betrifft Ihr Anliegen CRM-Inhalte einer Organisation (Abschnitt 4), wenden Sie sich bitte zusätzlich an diese Organisation als Verantwortliche.

9. Änderungen

Diese Erklärung wird angepasst, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.