Datenschutzerklärung

Claimo GmbH i. G., vertreten durch Andreas Joltea (Geschäftsführer)
Schmellerstr. 47, 92655 Grafenwöhr, Deutschland
E-Mail: support@claimo.eu

Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen derzeit nicht vor: Es sind nicht ständig mindestens zwanzig Personen mit der automatisierten Verarbeitung beschäftigt, und die Kerntätigkeit besteht weder in umfangreicher Überwachung noch in umfangreicher Verarbeitung besonderer Datenkategorien. Ändert sich das, bestellen wir eine Beauftragte oder einen Beauftragten und nennen die Kontaktdaten hier.

Diese Erklärung betrifft zwei verschiedene Verarbeitungen, und für beide gelten unterschiedliche Verantwortlichkeiten. Das ist keine Förmelei, sondern entscheidet, an wen Sie sich wenden.

Diese Vorschauseite

Für alles, was beim Aufruf von telcore.app geschieht, sind wir der Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Das betrifft die Abschnitte 3 bis 6.

Das angemeldete System

Für die Daten, die ein Fachhandelsbetrieb in Telcore verarbeitet — seine Kunden, Verträge, Belege, Beschäftigten —, ist dieser Betrieb der Verantwortliche. Wir verarbeiten sie ausschließlich in seinem Auftrag nach Art. 28 DSGVO. Das betrifft die Abschnitte 7 bis 11.

Beim Aufruf verarbeitet unser Betreiber Vercel technische Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, angefragte Adresse, übertragene Datenmenge, Antwortstatus sowie Browser- und Betriebssystemkennung. Ohne diese Daten kann die Seite nicht ausgeliefert werden; sie dienen außerdem der Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und funktionsfähige Betrieb; ein milderes Mittel gibt es nicht, weil jede Verbindung im Internet eine IP-Adresse voraussetzt.

Zum Schutz gegen automatisiertes Ausprobieren zählen wir Fehlversuche — beim Master-Passwort je IP-Adresse, bei der Anmeldung je E-Mail-Adresse und beim Bestätigungscode je Nutzerkonto. Die Zähler liegen in unserer Datenbank, damit die Grenze für alle Server zugleich gilt, und bestehen nur aus diesem Merkmal und einem Zeitstempel; die Eingabe selbst wird nie gespeichert. Eine richtige Eingabe wird nicht gezählt. Nach 15 Minuten werden die Einträge gelöscht, spätestens beim täglichen Wartungslauf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor unbefugtem Zugriff), zugleich eine Maßnahme nach Art. 32 DSGVO.

Wenn Sie uns schreiben, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag oder dessen Anbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen). Wir löschen die Korrespondenz, sobald sie erledigt ist und keine gesetzliche Aufbewahrungspflicht besteht — bei geschäftlicher Korrespondenz gelten die Fristen aus § 257 HGB und § 147 AO.

Telcore setzt ausschließlich Cookies, die für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Es gibt keine Cookies zu Werbe-, Reichweiten- oder Wiedererkennungszwecken, kein Tracking über Seiten hinweg und deshalb auch kein Einwilligungsbanner: Die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG greift. Rechtsgrundlage für die anschließende Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO.

telcore_zugang

Merkt sich, dass auf diesem Gerät das Master-Passwort eingegeben wurde. Enthält nicht das Passwort, sondern eine Signatur daraus, aus der es sich nicht zurückrechnen lässt. Laufzeit 30 Tage.

tsos_user

Die angemeldete Sitzung: Nutzerkennung und Rolle, signiert. Wird beim Abmelden gelöscht und ist auf die Sitzung beschränkt.

tsos_2fa

Nur bei eingeschaltetem zweitem Faktor: hält zwischen Passwort und Bestätigungscode fest, dass das Passwort stimmte. Nutzerkennung und Ablaufzeit, signiert. Laufzeit 5 Minuten.

tsos_2fa_rc

Nur beim Einrichten des zweiten Faktors: zeigt die Wiederherstellungscodes ein einziges Mal an. Verschlüsselt, nur auf der Seite „Sicherheit“ gültig, gelöscht nach Bestätigung, spätestens nach 10 Minuten.

Wir setzen keine weiteren Cookies und binden keine fremden Skripte ein, die welche setzen könnten — keine Kartendienste, keine Schriftarten von fremden Servern, keine Videoeinbettungen, keine sozialen Netzwerke.

Wir nutzen Vercel Speed Insights, um zu sehen, wie schnell die Seiten bei echten Aufrufen laden. Der Dienst misst technische Kennwerte des Seitenaufbaus und übermittelt dabei das Routenmuster statt der vollständigen Adresse — aus /kunden/abc123 wird /kunden/[id], es verlässt also keine Datensatzkennung die Anwendung. Er setzt kein Cookie, liest nichts aus dem Endgerät aus und bildet kein geräteübergreifendes Profil. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine Anwendung, die im Laden schnell genug ist, um benutzt zu werden.

Hinter der Anmeldung verarbeitet Telcore die Daten des jeweiligen Fachhandelsbetriebs: Kundenstammdaten und Werbeeinwilligungen, Verträge und Verkäufe, Gerätekennungen (IMEI), Reparatur- und Ankaufsvorgänge, Kundentermine mit Anlass und Ergebnis (erschienen, nicht erschienen, abgesagt), Provisionsabrechnungen und hochgeladene Dokumente sowie Beschäftigtendaten für Ziele, Schichten und Arbeitszeiten.

Für diese Daten ist der jeweilige Fachhandelsbetrieb der Verantwortliche; wir verarbeiten sie in seinem Auftrag nach Art. 28 DSGVO. Grundlage ist der Vertrag über die Nutzung von Telcore nebst Vereinbarung zur Auftragsverarbeitung. Betroffene Personen — Kunden und Beschäftigte des Betriebs — erhalten ihre Informationen nach Art. 13 und 14 DSGVO vom Betrieb, nicht von uns.

Statuslink einer Reparatur. Ein Fachhandelsbetrieb kann seinen Kundinnen und Kunden einen Link zu ihrem Reparaturvorgang geben, per QR-Code oder Nachricht. Die Seite ist ohne Anmeldung erreichbar; der Zugang ist eine zufällige, nicht erratbare Kennung im Link, die der Betrieb jederzeit durch eine neue ersetzen kann. Gezeigt werden nur Gerätebezeichnung, Stand, Vorgangsnummer, Kostenvoranschlag und der Shop — kein Name, keine Gerätenummer (IMEI), keine Fehlerbeschreibung. Wer über den Link einen Kostenvoranschlag annimmt oder ablehnt, dessen Entscheidung wird mit Zeitpunkt am Vorgang gespeichert. Nach abgeschlossener Reparatur fragt die Seite freiwillig, wie wahrscheinlich eine Weiterempfehlung ist (0 bis 10); gespeichert wird nur diese Zahl, zugeordnet zum Vorgang, ohne Freitext. Unbekannte Links werden je IP-Adresse gezählt, um Durchprobieren zu verhindern (siehe Abschnitt 3). Auch hier verarbeiten wir im Auftrag des Betriebs.

Jede Abfrage ist auf die Organisation des angemeldeten Nutzers eingegrenzt; die Trennung der Mandanten wird automatisiert getestet. Rollen bestimmen, wer welche Bereiche sieht und wer nur lesen darf. Änderungen an finanzrelevanten Werten werden mit Nutzer, Zeitpunkt und Begründung protokolliert.

Das System verarbeitet Daten der im Betrieb beschäftigten Personen: Verkaufszahlen und Quoten, Zielerreichung, Schichten, Arbeitszeiten, Pausen und Abwesenheiten sowie Ergebnisse der Akademie. Verantwortlich dafür ist der Arbeitgeber, also der Fachhandelsbetrieb. Rechtsgrundlage ist für ihn regelmäßig § 26 Abs. 1 BDSG beziehungsweise Art. 88 DSGVO in Verbindung mit dem Arbeitsverhältnis; die Zeiterfassung dient zugleich der Einhaltung des Arbeitszeitgesetzes.

Hinweis zur Rechtslage: Der Europäische Gerichtshof hat mit Urteil vom 30.03.2023 (C-34/21) Zweifel an nationalen Regelungen zum Beschäftigtendatenschutz geäußert, die über Art. 88 Abs. 2 DSGVO hinausgehen. Ob und wie weit § 26 BDSG als Rechtsgrundlage trägt, ist deshalb nicht abschließend geklärt. Betriebe mit Betriebsrat sollten zusätzlich prüfen, ob eine Betriebsvereinbarung erforderlich ist — Leistungs- und Verhaltenskontrolle ist nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig.

Telcore bildet Punktwerte, um Vorschläge zu ordnen: einen Opportunity Score je Kunde (aus Vertragslaufzeiten, Produktlücken und Umsatz), einen Lead Score je Anfrage, einen Focus Score je Produkt und Kennzahlen je beschäftigter Person. Das sind Bewertungen persönlicher Aspekte und damit Profiling im Sinne des Art. 4 Nr. 4 DSGVO — wir nennen es hier ausdrücklich, damit niemand es für bloße Statistik hält.

Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Kein Punktwert entscheidet über einen Vertrag, einen Preis, eine Einstellung oder eine Kündigung. Die Werte sortieren Listen und begründen Vorschläge; jede Entscheidung trifft ein Mensch. Jeder Wert nennt die Zahlen, aus denen er entstanden ist, und Schätzungen sind als solche gekennzeichnet.

Wenn Ihnen eine Bewertung nicht plausibel erscheint, können Sie ihr nach Art. 21 Abs. 1 DSGVO widersprechen. Ansprechpartner ist der Fachhandelsbetrieb als Verantwortlicher.

Einige Funktionen nutzen ein Sprachmodell: das Tagesbriefing, das Coaching, der Assistent, die Bewertung von Marktmeldungen und die Auswertung hochgeladener Unterlagen der Distribution. Sie sind abschaltbar: Ohne hinterlegten Zugangsschlüssel bleiben sie aus, und das System rechnet vollständig regelbasiert weiter. Der Aufruf erfolgt nur, wenn die Funktion ausgelöst wird, nie im Hintergrund.

Welche Anbieter erreichbar sind, entscheidet die Einstellung des Betriebs. Unterstützt werden OpenRouter, Anthropic und Google; alle drei sitzen in den Vereinigten Staaten. OpenRouter ist ein Vermittler und leitet die Anfrage an den Anbieter des gewählten Modells weiter — die Kette endet also nicht bei OpenRouter, und welches Unternehmen am Ende steht, hängt vom eingestellten Modell ab.

Übertragen wird ausschließlich der Text der jeweiligen Anfrage. Das ist konkret:

Briefing, Markt

Aggregierte Kennzahlen des Betriebs sowie Titel und Anrisse öffentlicher Meldungen. Keine Personendaten.

Dokumentauswertung

Text aus Unterlagen der Distribution (Newsletter, Briefings, Abrechnungen). Diese Unterlagen enthalten in aller Regel keine Kundendaten; enthalten sie welche, reisen sie mit — das ist bei der Auswahl der hochgeladenen Dateien zu beachten.

Coaching

Die Monatskennzahlen einer beschäftigten Person ohne ihren Namen. Der Name wird durch einen Platzhalter ersetzt und erst in der Antwort wieder eingesetzt; er verlässt die Anwendung nicht. Eine automatisierte Prüfung hält das fest.

Assistent

Die gestellte Frage und die dazu ermittelten Fakten. Je nach Frage können darin Bezeichnungen aus dem Betrieb vorkommen, etwa Dateinamen hochgeladener Dokumente.

Wir protokollieren je Aufruf nur Zweck, Anbieter, Modell, Zeitbedarf und die Zahl der verarbeiteten Token — nicht den Inhalt. Rechtsgrundlage ist Art. 28 DSGVO im Auftrag des Betriebs; die Anbieter sind Unterauftragsverarbeiter, deren Einsatz der Betrieb im Auftragsverarbeitungsvertrag genehmigt. Ein Betrieb, der keine Daten an ein Sprachmodell geben will, lässt den Schlüssel weg.

Angebote und Briefings lassen sich als Nachricht vorbereiten. Standardmäßig erzeugt Telcore dafür eine Datei im Postausgang, die im eigenen Mailprogramm geöffnet wird — es verlässt dabei nichts das System. Nur wenn der Betrieb einen Versanddienst einrichtet (Resend oder Brevo), werden Empfängeradresse, Betreff, Text und Anhang an diesen Dienst übermittelt. Ob und welcher Dienst eingerichtet ist, steht in den Einstellungen des Betriebs; er ist dann Unterauftragsverarbeiter.

Vercel Inc.
Walnut, Kalifornien, USA

Betrieb der Anwendung und Ablage hochgeladener Dokumente (Vercel Blob). Ausführung und Speicher sind auf die Region Frankfurt am Main festgelegt. Verwaltungs- und Protokolldaten des Betreibers können dabei auch außerhalb der EU verarbeitet werden.

Neon Inc.
USA, Projekt in eu-central-1

Datenbank. Das Projekt liegt in der Region Frankfurt am Main.

OpenRouter, Inc.
USA

Vermittlung an Sprachmodelle; leitet an den Anbieter des gewählten Modells weiter. Nur bei eingerichtetem Schlüssel.

Anthropic PBC
San Francisco, USA

Sprachmodell, alternativ zu OpenRouter. Nur bei eingerichtetem Schlüssel.

Google
USA

Sprachmodell (Gemini), alternativ zu OpenRouter. Nur bei eingerichtetem Schlüssel.

Resend / Brevo
USA / Frankreich

E-Mail-Versand, nur wenn der Betrieb ihn einrichtet. Ohne Einrichtung bleibt der Versand im Haus.

Über diese Dienstleister hinaus geben wir keine Daten weiter. Eine Übermittlung zu Werbezwecken findet nicht statt, und wir verkaufen keine Daten.

Soweit Daten in die Vereinigten Staaten übermittelt werden, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission, wenn der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist (Art. 45 DSGVO), andernfalls auf die Standardvertragsklauseln der Kommission nach Art. 46 Abs. 2 lit. c DSGVO in Verbindung mit einer Prüfung der Umstände der Übermittlung. Welcher Weg für welchen Empfänger gilt, halten wir im Verzeichnis der Verarbeitungstätigkeiten fest und legen es auf Anfrage offen. Trotz dieser Garantien lässt sich ein Zugriff US-amerikanischer Behörden nach dortigem Recht nicht vollständig ausschließen; wer das vermeiden will, verzichtet auf die KI-Funktionen und den externen Versanddienst.

Zugriffsdaten des Betreibers werden nach dessen Vorgaben kurzfristig gelöscht. Die Zähler der Drossel verfallen nach 15 Minuten. Die beiden Cookies laufen nach 30 Tagen beziehungsweise mit dem Abmelden ab.

Daten im angemeldeten System werden gelöscht, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht. Für Belege, Abrechnungen und Buchungen gelten die handels- und steuerrechtlichen Fristen von sechs bis zehn Jahren (§ 257 HGB, § 147 AO). Aufzeichnungen zur Arbeitszeit sind nach § 16 Abs. 2 ArbZG zwei Jahre aufzubewahren. Die konkreten Löschfristen legt der jeweilige Fachhandelsbetrieb als Verantwortlicher fest; nach Ende des Vertrages löschen oder übergeben wir die Daten nach seiner Weisung (Art. 28 Abs. 3 lit. g DSGVO).

Für den Aufruf dieser Seite ist die Verarbeitung der Zugriffsdaten technisch zwingend; ohne sie kommt keine Verbindung zustande. Eine gesetzliche oder vertragliche Pflicht zur Bereitstellung besteht nicht — Sie können die Seite schlicht nicht aufrufen.

Für die Anmeldung am System sind Zugangsdaten erforderlich. Ohne sie ist eine Nutzung nicht möglich; das ist die einzige Folge (Art. 13 Abs. 2 lit. e DSGVO). Welche Daten ein Fachhandelsbetrieb von seinen Kunden und Beschäftigten erheben muss, richtet sich nach seinem Vertrag und nach dem Gesetz und liegt in seiner Verantwortung.

Wir treffen Maßnahmen nach Art. 32 DSGVO, die zum Risiko passen: durchgehende Verschlüsselung der Übertragung (HTTPS mit HSTS), Passwörter nur als Hashwert, ein freiwilliger zweiter Faktor (Einmalcodes aus einer Authenticator-App; das Geheimnis dazu verschlüsselt, Wiederherstellungscodes nur als Hashwert), signierte Sitzungen mit zeitkonstantem Vergleich, eine Rollentabelle, die serverseitig durchgesetzt und automatisiert geprüft wird, Mandantentrennung in jeder Abfrage, Protokollierung von Änderungen an finanzrelevanten Werten, Drosselung gegen automatisiertes Ausprobieren sowie Sicherheitskopfzeilen gegen das Einbetten in fremde Seiten. Eine vollständige Beschreibung der technischen und organisatorischen Maßnahmen ist Anlage zum Auftragsverarbeitungsvertrag.

Eine Zwei-Faktor-Anmeldung ist derzeit nicht eingerichtet. Wir weisen darauf ausdrücklich hin, statt es zu verschweigen; für Betriebe mit mehreren Standorten ist sie in Vorbereitung.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

Wir beantworten Anfragen innerhalb eines Monats; bei besonderer Komplexität kann sich die Frist um zwei Monate verlängern, worüber wir Sie dann unterrichten (Art. 12 Abs. 3 DSGVO). Die Auskunft ist unentgeltlich.

Betrifft Ihre Anfrage Daten, die ein Fachhandelsbetrieb in Telcore verarbeitet, leiten wir sie unverzüglich an ihn weiter und unterrichten Sie darüber — er ist dafür der Verantwortliche, und nur er darf darüber entscheiden.

Ihnen steht ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert — etwa wenn ein Dienst hinzukommt oder wegfällt. Es gilt die hier veröffentlichte Fassung mit dem oben genannten Stand. Wesentliche Änderungen kündigen wir gegenüber unseren Vertragspartnern vorher an.