David Hörnlein-Ulrich

Kolonie 2, 14798 Havelsee, Deutschland

E-Mail: info@apexlead-pro.de

ApexLead-pro verarbeitet personenbezogene Daten zur Bereitstellung eines webbasierten CRM-Systems (SaaS). Dazu gehören Registrierung, Login, Nutzerverwaltung, Speicherung von CRM-Daten, E-Mail-Benachrichtigungen, Terminverwaltung, die Durchführung von Videogesprächen, Zahlungsabwicklung, Fehleranalyse und Sicherheitsmaßnahmen.

Bei der Registrierung kann optional der Newsletter abonniert werden (Einwilligung per Checkbox). Wir informieren Abonnenten per E-Mail über Vertriebs-Tipps und Produkt-Updates. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, z. B. per E-Mail an info@apexlead-pro.de.

• Bestandsdaten (Name, E-Mail, Unternehmensdaten)
• Login-Daten (E-Mail, Passwort-Hash, Tokens)
• Daten des optionalen zweiten Faktors: verschlüsseltes Geheimnis der Authenticator-App, Prüfsummen der Wiederherstellungscodes, öffentliche Schlüssel hinterlegter Passkeys sowie Merkmale als vertrauenswürdig gemerkter Geräte (siehe Abschnitt 5a)
• CRM-Daten, die Nutzer selbst eingeben
• Nutzungsdaten (Logins, Aktionen, Zeitstempel)
• Server-Logfiles (IP-Adresse, Browser, Zeitpunkt, Referrer)
• Anonyme Website-Reichweitenstatistik (siehe Abschnitt 15) — ohne IP-Speicherung, ohne Cookies
• E-Mail-Kommunikation
• Zahlungsdaten (über Stripe)
• Datei-Uploads (Hetzner, Falkenstein; siehe Abschnitt 8)
• Importierte Daten aus Dateien, eingefügtem Text, der Schnittstelle (API) und verbundenen Quellen (siehe Abschnitt 13a)
• E-Mail-, Kalender- und optional Adressbuchdaten verbundener Microsoft- oder Google-Konten (siehe Abschnitt 13b)
• Geschäftsadressen und daraus berechnete Koordinaten für die Tourenplanung (siehe Abschnitt 13c)
• Telefonie-Daten des optionalen Browser-Softphones und des Anrufmodus: verschlüsselte SIP-Zugangsdaten, Verbindungsdaten (Rufnummer, Zeitpunkt, Dauer, Ergebnis), Anruflisten, Gesprächsnotizen, Anrufsperren (siehe Abschnitt 13d)
• Angaben aus Buchungsseiten unserer Kunden, für die wir als Auftragsverarbeiter tätig sind (siehe Abschnitt 10b)
• Bewerbungsunterlagen auf ausgeschriebene Stellen und Partnerschaften (siehe Abschnitt 10c)
• Verbindungs- und Teilnahmedaten von Videokonferenzen über Apex-Meet: Anzeigename, IP-Adresse, Zeitpunkt und Dauer der Teilnahme sowie die Bild- und Tonübertragung im Durchlauf, ohne Aufzeichnung (siehe Abschnitt 13e)

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung für SaaS-Nutzung und Zahlungen
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse an Sicherheit, Logging, Missbrauchserkennung
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Newsletter, Leitfaden-Download, Vertriebs-Kontaktaufnahme)

Zur Nutzung der Web-App ist ein Nutzerkonto erforderlich. Dabei werden E-Mail-Adresse, Passwort-Hash und technische Metadaten gespeichert. Passwörter werden ausschließlich verschlüsselt gespeichert. Das Konto kann zusätzlich mit einem zweiten Faktor abgesichert werden (siehe Abschnitt 5a).

Nutzer können ihr Konto freiwillig zusätzlich absichern. Zur Wahl stehen ein zeitbasiertes Einmalkennwort aus einer Authenticator-App (Verfahren nach RFC 6238) und ein Passkey nach dem Standard WebAuthn, der die Anmeldung per Biometrie oder Geräte-PIN erlaubt. Beide Wege sind unabhängig voneinander nutzbar, jederzeit wechselbar und jederzeit abschaltbar. Ein Master-Nutzer kann den zweiten Faktor für die Mitglieder seines Teams verpflichtend machen; in diesem Fall ist die Einrichtung Voraussetzung für die weitere Nutzung des Kontos.

Es ist kein Dritter beteiligt. Es findet kein SMS-Versand statt, es wird kein externer Authentifizierungsdienst eingesetzt und es wird keine Telefonnummer erhoben. Die Prüfung erfolgt ausschließlich auf unseren Servern in Frankfurt am Main. Für diese Funktion entsteht daher kein zusätzlicher Unterauftragsverarbeiter.

Im Einzelnen werden verarbeitet:

• Authenticator-App: das Geheimnis, aus dem die Einmalkennwörter berechnet werden. Es wird ausschließlich authentifiziert verschlüsselt gespeichert (AES-256-GCM) und niemals im Klartext. Zusätzlich der zuletzt verbrauchte Zeitabschnitt sowie Anzahl und Zeitpunkt fehlgeschlagener Versuche, um Missbrauch zu begrenzen.
• Wiederherstellungscodes: ausschließlich als SHA-256-Prüfsumme. Der Klartext wird einmalig angezeigt und ist danach auch für uns nicht mehr rekonstruierbar.
• Passkeys: der öffentliche Teil des Schlüssels, seine Kennung, eine vom Nutzer vergebene Bezeichnung des Geräts, die Angabe, ob der Schlüssel vom Betriebssystem auf weitere Geräte synchronisiert wird, sowie Zeitpunkte der Anlage und letzten Verwendung. Der private Schlüssel verbleibt auf dem Gerät des Nutzers und ist für uns grundsätzlich nicht zugänglich.
• Vertrauenswürdige Geräte: auf ausdrücklichen Wunsch des Nutzers eine Prüfsumme des Wiedererkennungsmerkmals, eine grobe Bezeichnung aus der Browserkennung (etwa „Chrome auf Windows“) sowie Zeitpunkte der Verwendung und des Ablaufs. Eine IP-Adresse wird hierfür bewusst nicht gespeichert.
• Einmal-Aufgaben: bei der Anmeldung mit Passkey ein Zufallswert mit fünf Minuten Gültigkeit, der beim Einlösen gelöscht wird.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des vertraglich geschuldeten Zugangs sowie Art. 6 Abs. 1 lit. f DSGVO, gestützt auf unser berechtigtes Interesse an der Sicherheit der Konten und der darin verarbeiteten Daten. Die Umsetzung dient zugleich der Erfüllung unserer Pflichten aus Art. 32 DSGVO.

Setzt ein Nutzer das Merkmal für ein vertrauenswürdiges Gerät, wird hierfür eine Information auf seinem Endgerät gespeichert. Dies geschieht ausschließlich auf seine ausdrückliche Veranlassung hin und ist für die von ihm gewünschte Funktion unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG. Das Merkmal lässt sich in den Einstellungen jederzeit für einzelne oder alle Geräte widerrufen.

Die Website und Web-App laufen auf der Infrastruktur von Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Die eigentliche Serververarbeitung erfolgt dabei physisch in einem Rechenzentrum in Frankfurt am Main, Deutschland (Vercel-Region „fra1“) — Ihre CRM-Daten werden also innerhalb der EU verarbeitet.

Vercel Inc. als Unternehmen hat ihren Sitz in den USA. Soweit im Rahmen von Support, Abrechnung oder Wartung ausnahmsweise ein Zugriff aus einem Drittland erfolgen kann, ist dieser durch Standardvertragsklauseln gemäß Art. 46 DSGVO bzw. das EU-US Data Privacy Framework abgesichert. Vercel verarbeitet technische Daten wie IP-Adresse, Logfiles und Browserinformationen zur Bereitstellung und Sicherheit der Dienste.

Die Datenbank wird bei Neon Tech, Inc. betrieben. Es werden CRM-Daten, Nutzerkontodaten und Systemdaten gespeichert. Die Speicherung erfolgt physisch in einem Rechenzentrum in Frankfurt am Main, Deutschland (AWS-Region eu-central-1) — vollständig innerhalb der EU.

Dateien, die Nutzer im CRM hochladen, speichern wir bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein/Vogtland, Deutschland. Verarbeitete Daten:

• Datei-Inhalte
• Metadaten (Zeitpunkt, Größe, Dateiname, hochladender Nutzer)
• IP-Adressen bei Zugriffen

Grundsätzlich kein öffentlicher Zugriff: Der Speicher ist privat. Dateien sind ausschließlich über das CRM abrufbar, und zwar nur nach Anmeldung und nur für Mitglieder des Teams, dem die Datei gehört. Einzige Ausnahme sind Bilder, die ein Nutzer ausdrücklich für seine E-Mail-Signatur hinterlegt (Abschnitt 8a). Die Datei wird dabei über unseren Server ausgeliefert; eine direkt aufrufbare Adresse des Speichers wird weder vergeben noch an den Browser weitergegeben. Ein weitergegebener Link ist für Außenstehende damit wertlos.

Beim Löschen eines Teams oder Kontos werden die zugehörigen Dateien aus dem Speicher entfernt, nicht nur ihre Verweise. Ausgenommen sind allein unsere eigenen Rechnungen an den Kunden, die wir nach § 147 AO zehn Jahre aufbewahren müssen.

Nutzer können für ihre E-Mail-Signatur ein Bild hinterlegen, etwa ein Firmenlogo. Damit die Empfänger einer E-Mail dieses Bild sehen, ist es über eine eigene Adresse ohne Anmeldung abrufbar. Die Adresse besteht aus einer zufällig erzeugten Kennung und ist nicht erratbar. Gespeichert wird das Bild im Dateispeicher aus Abschnitt 8 (Falkenstein/Vogtland, Deutschland), ausgeliefert über unseren Server (Abschnitt 6).

Beim Öffnen einer E-Mail lädt das Mailprogramm des Empfängers das Bild von unserem Server. Dabei fallen die üblichen technischen Daten an:

• IP-Adresse des Empfängers bzw. seines Mailservers
• Datum und Uhrzeit des Abrufs
• Browser- bzw. Programmkennung
• Abgerufene Adresse des Bildes

Keine Lesebestätigung, kein Zählpixel: Die Adresse eines Signaturbildes ist für alle E-Mails und alle Empfänger dieselbe. Aus einem Abruf lässt sich deshalb weder erkennen, welche E-Mail geöffnet wurde, noch wer sie geöffnet hat. Wir werten die Abrufe nicht aus, weder für uns noch für unsere Kunden. Die technischen Daten dienen allein der Auslieferung sowie der Sicherheit und Fehleranalyse und werden wie die übrigen Logfiles (Abschnitt 14) nur kurz aufbewahrt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das unserer Kunden liegt darin, dass eine Signatur beim Empfänger vollständig angezeigt wird. Wer das nicht wünscht, kann in seinem Mailprogramm das automatische Laden von Bildern abschalten; die E-Mail bleibt dann vollständig lesbar.

Signaturbilder werden mit dem Team gelöscht (Abschnitt 8). Über den Inhalt entscheidet der Nutzer, der das Bild hinterlegt. Bei einem Porträtfoto sollte er bedenken, dass es für jeden abrufbar ist, der die Adresse aus einer erhaltenen E-Mail kennt.

Für System-E-Mails wird der SMTP-Dienst von IONOS SE genutzt. Verarbeitete Daten:

• E-Mail-Adresse
• Inhalt der Nachricht
• Technische Headerdaten
• Versandzeitpunkt

Über das öffentliche Formular unter apexlead-pro.de/angebot kann ein automatisiert erstelltes, unverbindliches Angebot als PDF angefordert werden. Dabei verarbeiten wir:

• Firmenname und Firmenadresse
• Vorname (optional), Nachname, E-Mail-Adresse, Telefonnummer (optional) des Ansprechpartners
• Anzahl der gewünschten Nutzer
• Quelle der Anfrage (z. B. Google, LinkedIn, Empfehlung)

Diese Daten werden in unserem CRM als Lead, Organisation und Kontakt gespeichert und für die Erstellung des PDF-Angebots sowie eine anschließende persönliche Nachfassung durch unseren Vertrieb verwendet. Die Kontaktaufnahme durch den Vertrieb setzt eine gesonderte Einwilligung per Checkbox im Formular voraus.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf ausdrücklichen Wunsch der betroffenen Person) für die Angebotserstellung selbst; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Kontaktaufnahme durch den Vertrieb. Betroffene Personen, die selbst kein ApexLead-pro-Nutzerkonto besitzen, können sich für Auskunft oder Löschung jederzeit an info@apexlead-pro.de wenden.

Beim Download des Vertriebsleitfadens verarbeiten wir Name, E-Mail-Adresse sowie optional Unternehmen und Telefonnummer, um den Leitfaden per E-Mail zuzusenden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Bestätigung im Formular). Der Versand erfolgt ausschließlich über unsere eigene E-Mail-Infrastruktur (siehe Abschnitt 9) — eine Übermittlung an einen externen E-Mail-Marketing-Dienstleister findet nicht statt. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft über den Abmeldelink in der E-Mail selbst oder per E-Mail an info@apexlead-pro.de widerrufen werden.

Über das Formular unter apexlead-pro.de/founding-partner können sich Unternehmen um einen Platz in unserem einmaligen Founding-Partner-Programm bewerben. Dabei verarbeiten wir:

• Unternehmen, Website
• Vorname, Nachname, Funktion, geschäftliche E-Mail-Adresse des Ansprechpartners
• Telefonnummer und LinkedIn-Profil, jeweils freiwillig
• Angaben zum Vertrieb: Vertriebswelt, Teamgröße, eingesetzte Werkzeuge und Systeme, beteiligte Rollen, benannte Hürden, ungefähre CRM-Kosten
• Ihre Freitextangaben zur heutigen Vertriebsorganisation und zur Eignung als Founding Partner
• Zeitpunkt und Wortlaut der von Ihnen gesetzten Einwilligungen

Diese Angaben werden in unserem eigenen CRM als Lead, Organisation und Kontakt gespeichert und ausschließlich für die Prüfung Ihrer Bewerbung, die Rückmeldung an Sie und, im Fall einer Zusage, für die Durchführung der Partnerschaft verwendet. Aus Ihren Angaben wird automatisiert ein interner Orientierungswert berechnet, der die Bewerbungen für uns vorsortiert. Die Auswahlentscheidung selbst trifft immer eine natürliche Person; eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage) für die Bearbeitung der Bewerbung; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Kontaktaufnahme per E-Mail oder Telefon, für das einmalige Angebot eines individuellen Testzugangs, falls keine Partnerschaft zustande kommt, sowie für die freiwillige Aufnahme auf die Warteliste.

Speicherdauer: Angaben aus nicht ausgewählten Bewerbungen löschen wir 90 Tage nach unserer Absage. Haben Sie der Warteliste zugestimmt, speichern wir Ihre Angaben bis zum Ende des Programms und löschen sie anschließend. Kommt eine Partnerschaft zustande, gelten die Fristen der Founding-Partner-Vereinbarung und die gesetzlichen Aufbewahrungspflichten. Ihre Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft per E-Mail an info@apexlead-pro.de widerrufen.

Unter apexlead-pro.de/termin/… stellen wir Kunden unseres CRM eine eigene Buchungsseite bereit, über die deren Interessenten selbst einen Termin buchen können. Für die dort eingegebenen Daten ist nicht ApexLead-pro verantwortlich, sondern der jeweilige Kunde, dessen Buchungsseite Sie aufrufen. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO.

Impressum und Datenschutzerklärung des jeweiligen Verantwortlichen sind auf jeder Buchungsseite im Fußbereich verlinkt. Bitte wenden Sie sich für Auskunft, Berichtigung oder Löschung an ihn. Buchungsseiten sind von der Suche ausgenommen und nur über den Link erreichbar, den der jeweilige Kunde weitergibt.

Verarbeitet werden dabei: Name, E-Mail-Adresse, optional Telefonnummer, Unternehmen, Website und Nachricht, der gewählte Zeitpunkt und die Terminart. Bei Terminen vor Ort zusätzlich die von Ihnen angegebene Besuchsadresse; sie wird an OpenRouteService der HeiGIT gGmbH übermittelt, um Koordinaten und Fahrzeiten zu berechnen und Ihnen nur erreichbare Zeiten anzubieten (siehe Abschnitt 13c). Ein Termin wird erst nach Ihrer Bestätigung über den Link in der E-Mail verbindlich; bis dahin ist er nur vorgemerkt.

Online-Termine: Hat der Kunde für die gewählte Terminart ein Online-Format hinterlegt, erzeugen wir zusätzlich einen Zugang zum Videogespräch und übermitteln ihn mit der Bestätigungsnachricht und im Kalendereintrag. Je nach Einstellung des Kunden ist das ein Zugang unseres eigenen Werkzeugs Apex-Meet (siehe Abschnitt 13e) oder ein Zugang von Google Meet bzw. Microsoft Teams aus dem vom Kunden verbundenen Konto; im letzteren Fall gelten ergänzend die Datenschutzbestimmungen des jeweiligen Anbieters. Verschiebt oder sagt der Kunde den Termin ab, erhalten Sie darüber eine Nachricht mit aktualisiertem Kalendereintrag.

Über das Formular unter apexlead-pro.de/karriere/… können Sie sich auf eine von uns ausgeschriebene Position bewerben, derzeit als selbständige Vertriebspartnerin oder selbständiger Vertriebspartner. Dabei verarbeiten wir:

• Vorname, Nachname, E-Mail-Adresse, Telefonnummer
• Unternehmen, sofern angegeben, und die Region, in der Sie tätig sein möchten
• Angaben zu Vertriebserfahrung, Schwerpunkt und aktueller beruflicher Situation
• Ihre Freitextangaben zur Bewerbung
• Ihren Lebenslauf sowie freiwillig beigefügte weitere Unterlagen (PDF- oder Word-Dateien)

Wohin Ihre Unterlagen gehen: Bewerbungen werden ausschließlich per E-Mail an unser eigenes Postfach übermittelt und dort bearbeitet. Eine Speicherung im CRM findet nicht statt, Ihre Unterlagen werden auch nicht in unseren Datei-Speicher hochgeladen. Der Versand erfolgt über unsere eigene E-Mail-Infrastruktur (siehe Abschnitt 9); ein Bewerbermanagement-System eines Drittanbieters setzen wir nicht ein. Sie erhalten eine automatische Eingangsbestätigung an die von Ihnen angegebene Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage). Soweit im Einzelfall ein Beschäftigungsverhältnis begründet werden soll, tritt § 26 Abs. 1 BDSG hinzu. Die Angabe der Pflichtfelder ist für die Bearbeitung Ihrer Bewerbung erforderlich; ohne sie können wir Ihre Bewerbung nicht prüfen. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Speicherdauer: Kommt keine Zusammenarbeit zustande, löschen wir Ihre Bewerbung und Ihre Unterlagen spätestens sechs Monate nach Abschluss des Auswahlverfahrens. Diese Frist dient der Verteidigung gegen mögliche Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz. Wünschen Sie eine frühere Löschung oder möchten Sie, dass wir Ihre Unterlagen darüber hinaus für spätere Positionen aufbewahren, schreiben Sie uns an info@apexlead-pro.de. Kommt eine Zusammenarbeit zustande, werden die Unterlagen Teil der Vertragsunterlagen und unterliegen den gesetzlichen Aufbewahrungsfristen.

Die im Rahmen des Auswahlverfahrens geführten Gespräche können auf Ihren Wunsch oder nach Absprache als Videokonferenz über unser eigenes Werkzeug Apex-Meet stattfinden; dafür gilt ergänzend Abschnitt 13e.

Für die Abwicklung von Zahlungen nutzen wir den Zahlungsdienstleister Stripe. Stripe wird betrieben von:

Stripe Payments Europe, Ltd.
1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland

Stripe, Inc.
510 Townsend Street, San Francisco, CA 94103, USA

Stripe verarbeitet u. a.:

• Name des Karteninhabers
• E-Mail-Adresse
• Rechnungsadresse
• Kreditkartendaten
• Bankverbindung
• Transaktionsdaten (Betrag, Datum, Uhrzeit)
• IP-Adresse und Geräteinformationen

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b, f und ggf. a DSGVO. Weitere Informationen: stripe.com/privacy

ApexLead-pro verwendet:

• Technisch notwendige Cookies (Session-Cookies, Auth-Tokens)
• Ein Cookie für als vertrauenswürdig gemerkte Geräte, ausschließlich wenn der Nutzer dies bei der Anmeldung ausdrücklich auswählt. Es enthält einen Zufallswert ohne Personenbezug, läuft nach 30 Tagen ab und ist in den Einstellungen jederzeit widerrufbar (siehe Abschnitt 5a).
• LocalStorage für UI-Einstellungen

Es werden keine Marketing- oder Tracking-Cookies eingesetzt.

ApexLead-pro bietet optional eine installierbare mobile Companion-App (Progressive Web App) als Ergänzung zur Desktop-Web-App an. Die Companion-App nutzt dasselbe Nutzerkonto und dieselbe Datenbasis wie die Desktop-Version; zusätzlich zu den bereits in dieser Erklärung genannten Daten werden dabei ausschließlich die in diesem Abschnitt beschriebenen Daten verarbeitet.

13.1 Gerätekopplung & Click-to-Dial (Web Push)

Nutzer, die diese Funktion aktivieren, koppeln ihr Smartphone per QR-Code. Dabei werden folgende zusätzliche Daten verarbeitet:

• Geräteinformationen: Plattform (iOS/Android/sonstig), vom Nutzer vergebener Gerätename, Zeitpunkt der Kopplung, Zeitpunkt der letzten Aktivität
• Web-Push-Zustelldaten: eine vom Browser erzeugte Push-Endpoint-URL sowie kryptografische Schlüssel zur verschlüsselten Zustellung von Anruf-Benachrichtigungen

Zweck: Auslösung von Anrufen auf dem gekoppelten Smartphone bei Klick auf eine Telefonnummer im CRM. Es handelt sich um reguläre Mobilfunkanrufe über die eigene SIM-Karte des Nutzers — kein VoIP, keine Erfassung von Gesprächsinhalten oder Gesprächsdauer.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung auf aktiven Wunsch des Nutzers — die Funktion wird durch bewusstes Scannen eines QR-Codes aktiviert).

Speicherdauer: Die Zugangsdaten für die Push-Zustellung werden sofort gelöscht, sobald der Nutzer die Verbindung in den Einstellungen trennt. Die übrigen Gerätedaten (Gerätename, Plattform, Zeitstempel) bleiben als inaktiver Datensatz bis zur Löschung des Nutzerkontos gespeichert.

Widerruf: Jederzeit über CRM → Einstellungen → „Gerät & Click-to-Dial“ → „Verbindung trennen“ möglich. Eine erneute Kopplung ersetzt automatisch ein zuvor gekoppeltes Gerät.

13.2 Allgemeine App-Benachrichtigungen (Web Push)

Unabhängig von der Gerätekopplung kann der Nutzer in der Companion-App Benachrichtigungen für App-Ereignisse aktivieren (z. B. neuer Lead, fällige Aufgabe, freigegebenes oder korrekturbedürftiges Angebot bzw. Rechnung). Dabei wird — technisch getrennt von der Gerätekopplung — eine eigene, vom Browser erzeugte Push-Endpoint-URL samt kryptografischer Schlüssel zur verschlüsselten Zustellung gespeichert.

Zweck: Information des Nutzers über für ihn relevante CRM-Ereignisse außerhalb einer aktiven Sitzung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b, hilfsweise lit. f DSGVO (Vertragserfüllung bzw. berechtigtes Interesse an zeitnaher Information, aktiviert durch bewusste Erteilung der Benachrichtigungserlaubnis).

Speicherdauer: bis zum Widerruf der Benachrichtigungserlaubnis, zur Deinstallation der Companion-App oder zur Löschung des Nutzerkontos.

Widerruf: Über die Benachrichtigungseinstellungen des Betriebssystems bzw. Browsers oder durch Deinstallation der Companion-App.

13.3 Kamerazugriff (QR-Code-Scan)

Zur Kopplung eines Smartphones bietet die Companion-App einen In-App-QR-Code-Scanner, der über die Standard-Browser-Schnittstelle (getUserMedia) auf die Gerätekamera zugreift. Das Kamerabild wird ausschließlich lokal auf dem Gerät zur Erkennung des QR-Codes ausgewertet, nicht gespeichert und nicht an unsere Server übertragen. Der Zugriff erfolgt nur nach expliziter Freigabe durch den Nutzer über den Berechtigungsdialog des Betriebssystems bzw. Browsers und kann dort jederzeit widerrufen werden.

13.4 Gemeinsame Empfänger (13.1 und 13.2)

Die Zustellung der Push-Benachrichtigungen (Click-to-Dial und allgemeine App-Benachrichtigungen) erfolgt technisch über die Push-Dienste der Browser-/ Betriebssystemhersteller — je nach Gerät:

Google LLC (Firebase Cloud Messaging, Android/Chrome)
1600 Amphitheatre Parkway, Mountain View, CA 94043, USA

Apple Inc. (Apple Push Notification Service für Web Push, iOS/Safari)
One Apple Park Way, Cupertino, CA 95014, USA

Diese Anbieter erhalten dabei ausschließlich Zustellmetadaten (Endpoint, Zeitpunkt, verschlüsselte Nutzlast) — Inhalte (z. B. Telefonnummer, Kontaktname, Aufgaben- oder Angebotsbezeichnung) sind durch die Web-Push-Verschlüsselung Ende-zu-Ende geschützt und für diese Anbieter nicht einsehbar. Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln bzw., soweit vorhanden, einer Angemessenheitsentscheidung (z. B. EU-US Data Privacy Framework).

ApexLead-pro bietet Nutzern die Möglichkeit, bestehende Listen (Excel, CSV, JSON, Word, vCard oder eingefügter Text) in das CRM zu übernehmen. Die hochgeladene Datei wird ausschließlich im Browser des Nutzers gelesen und ausgewertet. An unsere Server werden nur die daraus gebildeten Datensätze (Organisationen, Ansprechpartner, Leads) übertragen. Die Rohdatei wird weder übertragen noch gespeichert. Die Erkennung der Spalten erfolgt regelbasiert, ohne Einsatz externer KI-Dienste.

Zu jedem Import speichern wir Metadaten (Dateiname, Zeitpunkt, ausführender Nutzer, Zuordnung der Spalten, Statistik) sowie für die Funktion „Rückgängig machen“ den vorherigen Stand geänderter Datensätze und einen Fehlerbericht. Diese Zusatzdaten werden nach 30 Tagen automatisch gelöscht; nicht abgeschlossene Importvorgänge nach 24 Stunden.

Schnittstelle (API): Kunden können Zugangsschlüssel (API-Keys) erzeugen, mit denen eigene Systeme oder Automatisierungsdienste (z. B. Zapier, Make, n8n) Datensätze an das CRM übermitteln. Der Schlüssel wird bei uns ausschließlich als kryptografischer Hash gespeichert. Jeder Aufruf wird mit Zeitpunkt und Schlüssel-Kennung protokolliert. Die eingesetzten Drittsysteme wählt der Kunde selbst; sie sind keine Auftragsverarbeiter von ApexLead-pro.

Verbundene Quellen: Kunden können ein Google-Tabellenblatt per Freigabelink verbinden. Unser Server ruft die Tabelle dann einmal täglich sowie auf Anforderung des Nutzers bei Google ab und übernimmt neue oder geänderte Zeilen. An Google wird dabei lediglich die Abrufanfrage übermittelt; es werden keine CRM-Daten an Google gesendet. Der Kunde ist dafür verantwortlich, nur Tabellen zu verbinden, deren Freigabe per Link für die enthaltenen Daten angemessen ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für die Rechtmäßigkeit der importierten Daten selbst ist der Kunde als Verantwortlicher zuständig (siehe AVV).

Nutzer können optional ein Microsoft-365-/Outlook- oder Google-Konto mit ApexLead-pro verbinden (OAuth 2.0). Dabei erteilt der Nutzer beim jeweiligen Anbieter die Berechtigung, E-Mails abzurufen und zu versenden sowie Kalendereinträge zu lesen und zu schreiben. Die Zugriffstoken werden verschlüsselt (AES-256) in unserer Datenbank in Frankfurt gespeichert; das Passwort des Kontos erhalten wir nicht. Abgerufene E-Mails und Termine werden dem zugehörigen CRM-Datensatz zugeordnet und in unserer Datenbank gespeichert.

Adressbuch (optional): Zusätzlich kann der Nutzer die Übernahme seines Adressbuchs aktivieren. Dann werden Kontakte aus dem verbundenen Konto einmal täglich sowie auf Anforderung abgerufen und als Organisationen und Ansprechpartner im CRM angelegt bzw. ergänzt. Kontakte ohne Firmenangabe und ohne geschäftliche E-Mail-Adresse werden nicht übernommen. Der Nutzer ist dafür verantwortlich, nur geschäftliche Kontakte zu übernehmen, für deren Verarbeitung im CRM eine Rechtsgrundlage besteht. Die Berechtigung für das Adressbuch wird erst beim Aktivieren dieser Funktion angefordert und kann jederzeit beim Anbieter widerrufen werden; die Verbindung kann in den Einstellungen getrennt werden.

Eigenes Postfach (IMAP/SMTP): Alternativ zu Microsoft und Google kann ein beliebiges Postfach über die offenen Standards IMAP und SMTP verbunden werden. Dann speichern wir Servernamen, Port, Benutzernamen und das Postfach-Passwort, letzteres ausschließlich verschlüsselt (AES-256). Der Abruf erfolgt unmittelbar beim Mailserver des Nutzers; ein Dritter ist daran nicht beteiligt. Beim Versand legen wir eine Kopie der Nachricht im Ordner „Gesendet“ des Postfachs ab, damit der Nutzer sie auch in seinem gewohnten Mailprogramm findet.

Anhänge: Dateianhänge abgerufener Nachrichten speichern wir nicht. Wir merken uns lediglich, dass eine Nachricht Anhänge hat, und holen die Datei erst beim Öffnen oder Herunterladen unmittelbar aus dem Postfach. Beim Weiterleiten wird der Anhang im selben Vorgang geholt und übernommen, ohne bei uns zu verbleiben.

Kalender: Termine des verbundenen Kontos werden in beide Richtungen abgeglichen. Legt der Nutzer im CRM einen Termin mit Eingeladenen an, versenden wir in seinem Auftrag Einladungen, Änderungs- und Absagenachrichten samt Kalenderdatei an die von ihm benannten Personen. Verarbeitet werden dabei Name und E-Mail-Adresse der Eingeladenen, Titel, Beschreibung, Ort und Zeitraum des Termins sowie der Zeitpunkt einer Zusage.

Microsoft und Google sind in diesem Zusammenhang die vom Nutzer gewählten Anbieter seines Kontos; der Abruf erfolgt in seinem Auftrag. Ergänzend gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Adressbuch-Übernahme zusätzlich die aktive Einrichtung durch den Nutzer.

Für die Tourenplanung werden Geschäftsadressen von Organisationen in Koordinaten umgewandelt und Fahrtzeiten zwischen Adressen berechnet. Dazu übermitteln wir die Adresse (Straße, PLZ, Ort) bzw. Koordinaten an den Dienst OpenRouteService der HeiGIT gGmbH, Heidelberg, Deutschland. Es werden keine Namen, Kontaktdaten oder sonstigen CRM-Inhalte übermittelt. Die ermittelten Koordinaten speichern wir am Datensatz der Organisation. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Nutzer können optional die Zugangsdaten eines eigenen SIP-/VoIP-Anbieters hinterlegen und Anrufe direkt im Browser führen (WebRTC). Den Telefonieanbieter wählt der Nutzer selbst; ApexLead-pro erbringt keine Telefondienstleistung. Der SIP-Benutzername, die WebSocket-Adresse des Anbieters und eine optionale Caller-ID werden in unserer Datenbank in Frankfurt gespeichert, das SIP-Passwort ausschließlich verschlüsselt (AES-256). Die Sprachverbindung läuft zwischen dem Browser des Nutzers und dem Telefonieanbieter; Gesprächsinhalte werden von uns weder übertragen noch gespeichert noch aufgezeichnet.

Verbindungsaufbau (STUN): Damit ein WebRTC-Anruf hinter Routern und Firewalls zustande kommt, fragt der Browser bei einem STUN-Server seine öffentliche IP-Adresse und den Port ab. Ohne eigene Einstellung wird dafür der Server stun.l.google.com der Google LLC (USA) genutzt; Google erhält dabei nur diese Verbindungsinformationen, keine Rufnummern, Namen oder Gesprächsinhalte. Nutzer können in den VoIP-Einstellungen stattdessen den STUN-Server ihres Telefonieanbieters oder einen eigenen Server hinterlegen; dann findet keine Anfrage an Google statt. Die Übermittlung an Google erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der Standardvertragsklauseln.

Anrufprotokoll: Zu jedem über das Softphone geführten Anruf speichern wir Richtung, Rufnummer, Zeitpunkt und Dauer als Aktivität am zugehörigen Datensatz (Lead bzw. Organisation). Bei eingehenden Anrufen wird die anrufende Rufnummer nur mit den Ansprechpartnern und Organisationen des eigenen Teams abgeglichen, um den Anrufer anzuzeigen (Kontakterkennung); es erfolgt kein Abgleich mit externen Verzeichnissen.

Anrufmodus: Der Anrufmodus stellt Anruflisten aus vorhandenen CRM-Datensätzen zusammen und speichert je Anruf-Session die Liste, den Bearbeitungsstand, das erfasste Ergebnis, eine Gesprächsnotiz und die Gesprächsdauer sowie eine Zusammenfassung (Anzahl Anrufe, Termine, Wiedervorlagen). Ansprechpartner und Organisationen können mit einer Anrufsperre versehen werden; gesperrte Datensätze werden aus allen Anruflisten ausgeschlossen. Als Privatkunde gekennzeichnete Organisationen werden nur mit dokumentierter Einwilligung in Anruflisten aufgenommen. Das automatische Wählen des nächsten Kontakts baut jeweils genau eine Verbindung auf; ein paralleles Anwählen mehrerer Rufnummern (Predictive Dialing) findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, aktive Einrichtung durch den Nutzer). Für die Zulässigkeit der Anrufe selbst, insbesondere von Werbeanrufen (§ 7 UWG) und für die Anzeige der Rufnummer (§ 120 TKG), ist der Kunde verantwortlich. Speicherdauer: SIP-Zugangsdaten bis zur Entfernung in den Einstellungen; Anruf-Sessions, Ergebnisse und Anrufprotokolle bis zur Löschung durch den Nutzer bzw. bis zur Löschung der zugehörigen Datensätze.

Apex-Meet ist unser eigenes Werkzeug für Videogespräche. Es läuft auf einem Server, den wir selbst betreiben, und setzt dabei auf der quelloffenen Software Jitsi Meet auf. Ein Videokonferenz-Dienst eines Drittanbieters wird nicht eingeschaltet.

13e.1 Wer verantwortlich ist

Legt ein Kunde unseres CRM ein Gespräch an und lädt Sie dazu ein, ist er der Verantwortliche für die Durchführung dieses Gesprächs; wir verarbeiten die Daten in seinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO. Bitte wenden Sie sich in diesem Fall für Auskunft oder Löschung an ihn. Für Gespräche, zu denen wir selbst einladen, sind wir der Verantwortliche nach Abschnitt 1.

13e.2 Welche Daten verarbeitet werden

• Der Anzeigename, den Sie vor dem Beitritt selbst eingeben. Ein Klarname ist nicht erforderlich, ein Konto ebenfalls nicht.
• Bild- und Tonübertragung sowie, falls Sie sie starten, die Übertragung Ihres Bildschirms und Ihre Nachrichten im Gesprächs-Chat. Diese Inhalte laufen nur durch den Server und werden dort nicht gespeichert.
• Verbindungsdaten: IP-Adresse, Zeitpunkt des Beitritts und des Verlassens, technische Angaben zu Browser und Verbindungsqualität.
• Zum angelegten Gespräch selbst speichern wir in unserer Datenbank in Frankfurt: einen zufällig erzeugten Raumnamen, den Zugangsschlüssel des Gastgebers, eine optionale Bezeichnung, den geplanten Zeitraum sowie Name und E-Mail-Adresse einer eingeladenen Person, falls eine Einladung verschickt wurde.

Keine Aufzeichnung: Eine Aufzeichnung von Bild, Ton oder Bildschirm wird weder angeboten noch technisch vorgehalten. Es findet keine Transkription, keine Gesichts- oder Spracherkennung und keine Auswertung von Gesprächsinhalten statt, auch nicht durch Systeme der künstlichen Intelligenz.

13e.3 Kamera und Mikrofon

Der Zugriff auf Kamera und Mikrofon erfolgt ausschließlich über die Standardschnittstelle des Browsers und erst, nachdem Sie ihn im Berechtigungsdialog Ihres Browsers oder Betriebssystems ausdrücklich erlaubt haben. Sie können beides jederzeit im Gespräch abschalten und die Erlaubnis in Ihren Browsereinstellungen widerrufen. Eine Teilnahme nur mit Ton ist möglich.

13e.4 Serverstandort und Verbindungsaufbau

Der Konferenzserver läuft unter meet.apexlead-pro.de auf einem von uns angemieteten Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein/Vogtland, Deutschland. Hetzner stellt die Infrastruktur bereit und ist insoweit unser Unterauftragsverarbeiter; ein inhaltlicher Zugriff auf Gespräche findet nicht statt.

Für den Verbindungsaufbau betreiben wir den nötigen Vermittlungsdienst (STUN/TURN) auf demselben Server. Die bei Jitsi ab Werk voreingestellten fremden Vermittlungsserver, insbesondere die von Google LLC und der 8x8 Inc. betriebenen, haben wir bewusst entfernt; ebenso sind Anfragen an Drittdienste in der Oberfläche abgeschaltet (disableThirdPartyRequests). Es werden dadurch weder Schriften, Symbole, Profilbilder noch Analyse-Skripte von fremden Servern nachgeladen. Lässt Ihre Netzwerkumgebung keine direkte Verbindung zu, wird der Datenstrom über unseren eigenen Server geleitet und nicht über einen fremden.

13e.5 Verschlüsselung

Die Übertragung zwischen Ihrem Gerät und dem Server ist durchgehend verschlüsselt (DTLS-SRTP für Bild und Ton, TLS für die Steuerung). Bei Gesprächen mit mehr als zwei Teilnehmenden werden die Datenströme auf dem Server zusammengeführt und sind dort technisch bedingt für die kurze Dauer der Weiterleitung entschlüsselt. Eine durchgehende Ende-zu-Ende-Verschlüsselung über den Server hinweg sichern wir daher nicht zu.

13e.6 Protokolle und Speicherdauer

• Die Betriebsprotokolle des Konferenzservers werden nach 48 Stunden automatisch gelöscht. Ein zeitgesteuerter Auftrag auf dem Server sorgt täglich dafür.
• Raumnamen werden zufällig erzeugt und lassen keinen Rückschluss auf Anlass, Person oder Unternehmen zu; eine frei vergebene Bezeichnung liegt ausschließlich in unserer Datenbank, nicht auf dem Konferenzserver.
• Der Datensatz zum angelegten Gespräch bleibt bis zur Löschung durch den Kunden bzw. bis zur Löschung seines Kontos gespeichert.
• Bild, Ton, Bildschirmfreigabe und Chatnachrichten enden mit dem Gespräch und werden nicht gespeichert.

13e.7 Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO für die Durchführung eines vereinbarten Gesprächs im Rahmen eines Vertrags oder seiner Anbahnung; Art. 6 Abs. 1 lit. f DSGVO für den technisch notwendigen Betrieb und die Sicherheit des Servers, einschließlich der kurzzeitigen Protokollierung. Nehmen Sie aus einem anderen Anlass teil, stützt sich die Verarbeitung auf Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie durch das Betreten des Gesprächsraums erklären und durch Verlassen für die Zukunft widerrufen können.

Der Server speichert automatisch:

• IP-Adresse
• Browsertyp
• Datum und Uhrzeit
• Angefragte URL
• Statuscodes

Die Speicherung erfolgt zur Sicherheit und Fehleranalyse.

Zusätzlich zu den Logfiles (Abschnitt 14) erfassen wir für die öffentliche Website statistische Kennzahlen zu Seitenaufrufen (aufgerufene Seite, verweisende Domain, grober Gerätetyp/Browser, Land). Diese Erfassung ist bewusst so gestaltet, dass sie keinen Rückschluss auf einzelne Personen zulässt:

• Es wird keine IP-Adresse gespeichert. Stattdessen wird aus IP-Adresse, Browser-Kennung und Tagesdatum ein Einweg-Hash gebildet.
• Dieser Hash ändert sich täglich automatisch, sodass am Folgetag kein Rückschluss auf denselben Besucher mehr möglich ist.
• Es werden keine Cookies oder sonstigen dauerhaften Kennungen gesetzt.
• Diese Statistik betrifft ausschließlich die öffentliche Website, nicht die Nutzung der CRM-Web-App durch angemeldete Kunden.

Zweck: Ermittlung der tatsächlichen Besucherzahlen zur technischen und redaktionellen Optimierung der Website (ergänzend zu den Daten der Google Search Console, die nur Klicks aus der Google-Suche erfasst).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an anonymer Reichweitenmessung). Da keine Cookies gesetzt und keine personenbezogenen Daten gespeichert werden, ist hierfür keine Einwilligung erforderlich.

Speicherdauer: Einzelne Seitenaufrufe werden nach 30 Tagen gelöscht. Danach verbleiben nur noch vollständig anonyme, tagesweise aggregierte Summenwerte (Aufrufe/Besucherzahl pro Tag und Seite) ohne jeden Einzelbezug.

Eine Weitergabe erfolgt ausschließlich an:

• Vercel (Hosting, Serverstandort Frankfurt/Deutschland; Unternehmenssitz USA)
• Neon (Datenbank, Serverstandort Frankfurt/Deutschland)
• Hetzner Online GmbH, Gunzenhausen (Dateispeicher im Rechenzentrum Falkenstein/Vogtland; siehe Abschnitt 8)
• IONOS (E-Mail-Versand)
• Stripe (Zahlungsabwicklung)
• Google LLC / Apple Inc. (technische Zustellung von Web-Push-Benachrichtigungen für Click-to-Dial und allgemeine App-Benachrichtigungen, jeweils nur bei aktivierter Funktion)
• Microsoft Corporation / Google LLC (Abruf von E-Mails, Kalender und optional Adressbuch aus einem vom Nutzer verbundenen Konto, nur bei aktivierter Verbindung und im Auftrag des Nutzers; siehe Abschnitt 13b)
• Google LLC (Abruf verbundener Google-Tabellenblätter; es wird nur die Abrufanfrage übermittelt; siehe Abschnitt 13a)
• HeiGIT gGmbH, Heidelberg (OpenRouteService: Geocoding von Geschäftsadressen und Routenberechnung für die Tourenplanung; siehe Abschnitt 13c)
• Der vom Nutzer gewählte SIP-/VoIP-Anbieter (Signalisierung und Sprachverbindung des Browser-Softphones, nur bei eingerichtetem Softphone und im Auftrag des Nutzers; siehe Abschnitt 13d)
• Google LLC (STUN-Server stun.l.google.com zur Verbindungsherstellung von WebRTC-Anrufen; nur öffentliche IP-Adresse und Port; nur bei eingerichtetem Softphone ohne eigenen STUN-Server; siehe Abschnitt 13d)
• Hetzner Online GmbH, Gunzenhausen (Betrieb des Konferenzservers meet.apexlead-pro.de im Rechenzentrum Falkenstein/Vogtland, Deutschland; siehe Abschnitt 13e)
• Der vom Nutzer gewählte Anbieter seines Postfachs, wenn dieses über IMAP/SMTP verbunden ist (Abruf und Versand von Nachrichten im Auftrag des Nutzers; siehe Abschnitt 13b)

Es erfolgt keine Weitergabe an Dritte zu Werbezwecken.

• Kontodaten: bis zur Löschung des Nutzerkontos
• CRM-Daten: bis zur Löschung durch den Nutzer
• Angebots-Anfragen (/angebot): als Lead im CRM bis zur Löschung durch uns, auf Anfrage der betroffenen Person unter info@apexlead-pro.de
• Logfiles: 7–30 Tage
• Zweiter Faktor: Geheimnis der Authenticator-App und hinterlegte Passkeys bis zum Abschalten durch den Nutzer, bis zum Zurücksetzen durch einen Master-Nutzer oder bis zur Löschung des Nutzerkontos; Wiederherstellungscodes bis zur Erzeugung eines neuen Satzes; vertrauenswürdige Geräte 30 Tage oder bis zum Widerruf; Einmal-Aufgaben der Passkey-Anmeldung fünf Minuten
• Zahlungsdaten: gemäß gesetzlichen Aufbewahrungsfristen
• Backups: gemäß interner Backup-Policy
• Newsletter-Daten: bis zum Widerruf der Einwilligung bzw. zur Abmeldung
• Gerätekopplungsdaten: Push-Zugangsdaten sofort bei „Verbindung trennen“, übrige Gerätedaten bis zur Löschung des Nutzerkontos
• Allgemeine App-Benachrichtigungsdaten: bis zum Widerruf der Benachrichtigungserlaubnis, zur Deinstallation der Companion-App oder zur Löschung des Nutzerkontos
• Datenimport: Import-Historie (Metadaten, Statistik) bis zur Löschung des Nutzerkontos; Rückgängig-Daten und Fehlerberichte 30 Tage; nicht abgeschlossene Importe 24 Stunden
• Zugangsschlüssel (API-Keys): bis zum Widerruf durch den Kunden; verbundene Quellen: bis zur Entfernung durch den Kunden
• Zugriffstoken verbundener Microsoft- oder Google-Konten: bis zum Trennen der Verbindung
• SIP-Zugangsdaten des Browser-Softphones: bis zur Entfernung in den Einstellungen; Anruf-Sessions, Ergebnisse und Anrufprotokolle: bis zur Löschung durch den Nutzer bzw. der zugehörigen Datensätze
• Zugangsdaten eines über IMAP/SMTP verbundenen Postfachs: bis zum Trennen der Verbindung; Anhänge werden nicht gespeichert
• Videokonferenzen (Apex-Meet): Betriebsprotokolle des Konferenzservers 48 Stunden; Bild, Ton, Bildschirmfreigabe und Chat werden nicht gespeichert; der Datensatz zum angelegten Gespräch bis zur Löschung durch den Kunden
• Bewerbungen: sechs Monate nach Abschluss des Auswahlverfahrens, bei früherem Wunsch der bewerbenden Person unverzüglich

ApexLead-pro nutzt:

• TLS-Verschlüsselung
• Passwort-Hashing
• Optionaler zweiter Faktor für Nutzerkonten: Einmalkennwort nach RFC 6238 oder Passkey nach WebAuthn, durch den Kunden für sein gesamtes Team verpflichtend schaltbar (siehe Abschnitt 5a)
• Zugriffsbeschränkungen
• Verschlüsselte Übertragung zum Dateispeicher und zur Datenbank
• Verschlüsselte Speicherung von SIP- und Postfach-Zugangsdaten sowie von Zugriffstoken verbundener Konten (AES-256)
• Serververarbeitung von App und Datenbank ausschließlich im EU-Rechenzentrum Frankfurt am Main, Videokonferenzen im EU-Rechenzentrum Falkenstein
• Verschlüsselte Übertragung von Videokonferenzen (DTLS-SRTP und TLS) ohne Aufzeichnung, mit auf 48 Stunden begrenzten Serverprotokollen
• Regelmäßige Sicherheitsupdates

Nutzer haben folgende Rechte:

• Auskunft
• Berichtigung
• Löschung
• Einschränkung
• Datenübertragbarkeit
• Widerspruch
• Widerruf von Einwilligungen (z. B. Abmeldung vom Newsletter oder von Leitfaden-Mails)

Anfragen bitte an: info@apexlead-pro.de

Zuständige Aufsichtsbehörde: Landesbeauftragte für den Datenschutz Brandenburg.

Diese Datenschutzerklärung wird aktualisiert, wenn neue Funktionen oder gesetzliche Anforderungen hinzukommen.