Datenschutzerklärung

2.1 Bestandsdaten

Bei der Registrierung und Nutzung von CloudyBird erheben und verarbeiten wir folgende personenbezogene Daten:

• E-Mail-Adresse (für Login und Kommunikation)
• Passwort (verschlüsselt gespeichert, nicht im Klartext)
• Vor- und Nachname
• Profilbild (optional)
• Benutzereinstellungen und Präferenzen

2.2 Nutzungsdaten

Beim Aufruf der Plattform verarbeiten wir technisch notwendige Daten:

• IP-Adresse und Zugriffszeitpunkte (Schutz vor Missbrauch, z. B. Begrenzung von Anmeldeversuchen)
• Geräteinformationen (Browser, Betriebssystem)
• Fehlerberichte ohne Inhalte, auf eigenem Server

Wir verwenden keine Analyse- oder Statistikwerkzeuge.

2.3 Inhaltsdaten (im Auftrag unserer Kunden)

Inhalte, die in CloudyBird erfasst werden – z. B. Aufgaben, Kommentare, Nachrichten, Arbeitszeiten, Abwesenheiten, Personalakten, Dokumente und Dateien (inkl. Texterkennung), Kunden, Angebote und Rechnungen – verarbeiten wir ausschließlich im Auftrag und nach Weisung des jeweiligen Kunden. Zweck, Umfang und Speicherdauer bestimmt der Kunde; Grundlage ist der Vertrag zur Auftragsverarbeitung mit dem Kunden.

2.4 Calls und Meetings

Bei Anrufen im Chat und in Meetingräumen werden Ton, Kamerabild und Bildschirmfreigabe direkt zwischen den Geräten der Teilnehmenden übertragen (WebRTC, Peer-to-Peer) und dabei Ende-zu-Ende verschlüsselt (DTLS-SRTP). Mikrofon und Kamera werden erst in der Vorschau bzw. beim Beitreten angefragt. Calls und Meetings werden weder aufgezeichnet noch transkribiert; der Chat im Meeting, Reaktionen und der Wartebereich werden nicht gespeichert.

Den Verbindungsaufbau vermittelt unser Server. Er speichert dabei, welche Mitglieder wann an einem Call teilgenommen haben (bei Chat-Anrufen als Eintrag im Chatverlauf), sowie die Meetingräume Ihrer Organisation. Kommt keine direkte Verbindung zustande, z. B. hinter Firmen-Firewalls, leitet unser selbst betriebener Relay-Server (TURN, bei Scaleway in der EU) die verschlüsselten Datenpakete weiter. Er verarbeitet dafür IP-Adressen und Verbindungsdaten, kann die Inhalte aber nicht entschlüsseln und speichert sie nicht. Die direkte Verbindung macht Ihre IP-Adresse für die anderen Teilnehmenden sichtbar.

Gäste in Meetings nehmen über einen Link ohne Konto teil. Dafür verarbeiten wir den angegebenen Namen (für die anderen Teilnehmenden sichtbar) und die IP-Adresse (Verbindungsaufbau, Missbrauchsschutz) und setzen ein technisch notwendiges Cookie für die Gast-Sitzung (höchstens 12 Stunden, nur für unseren Server lesbar). Gastnamen werden nicht gespeichert – im Verlauf steht nur die Zahl der Gäste. Das Formular ist gegen automatisierte Anfragen geschützt.

Geräuschunterdrückung und Hintergründe (Unschärfe, Hintergrundbild) berechnet ausschließlich Ihr Gerät im Browser; Ton und Kamerabild werden dafür nicht an uns oder Dritte übermittelt. Eigene Hintergrundbilder bleiben im Speicher Ihres Browsers und werden nicht hochgeladen.

2.5 Zahlungsdaten

Bei kostenpflichtigen Abonnements werden Zahlungsdaten über den Zahlungsdienstleister Mollie verarbeitet. Wir speichern keine vollständigen Kreditkartendaten oder andere sensible Zahlungsinformationen auf unseren Servern. Für die Zuordnung von Zahlungen verarbeiten wir technische Zahlungsreferenzen (z.B. Zahlungs- und Abonnement-IDs) sowie abrechnungsbezogene Metadaten.

5.1 Hosting-Provider

Die Plattform wird bei Scaleway in Rechenzentren in Amsterdam (Niederlande) betrieben; verschlüsselte Sicherungskopien liegen in Paris (Frankreich). Scaleway ist ein europäischer Anbieter ohne Muttergesellschaft außerhalb der EU und handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO. Es besteht ein Auftragsverarbeitungsvertrag (AVV). Datenbank, Dateien, Suchindex und Anwendung laufen ausschließlich dort.

Scaleway SAS
8 rue de la Ville l'Evêque
75008 Paris, Frankreich (EU)

5.2 Zahlungsdienstleister

Für die Abwicklung von Zahlungen nutzen wir Mollie. Mollie verarbeitet Zahlungsdaten als eigenständiger Verantwortlicher. Wir übermitteln lediglich die für die Zahlungsabwicklung erforderlichen Informationen (z.B. E-Mail-Adresse, Abonnement-Details). Zur Verifikation von Zahlungsstatus verarbeiten wir außerdem Rückmeldungen aus dem Mollie-Webhook.

Mollie B.V.
Keizersgracht 126
1015 CW Amsterdam, Niederlande

Weitere Informationen zur Datenverarbeitung durch Mollie finden Sie in der Datenschutzerklärung von Mollie.

5.3 E-Mail-Versand

System-E-Mails (z. B. Anmeldecodes, Passwort-Zurücksetzen, Benachrichtigungen) versenden wir über Lettermint (Niederlande, EU) als Auftragsverarbeiter gemäß Art. 28 DSGVO. Verarbeitet werden Empfängeradresse, Betreff und Inhalt der jeweiligen E-Mail.

5.4 Anmeldung mit Google (optional)

Wenn Sie „Mit Google fortfahren“ wählen, übermittelt Ihr Browser die Anmeldung an Google (Google Ireland Limited, Dublin, Irland). Wir erhalten Name, E-Mail-Adresse und eine Kennung Ihres Google-Kontos. Eine Übermittlung in die USA durch Google ist möglich (siehe Abschnitt 6). Erst wenn Sie auf „Mit Google fortfahren“ klicken, lädt Ihr Browser ein Skript von Google und zeigt die Google-Anmeldung an; dabei erhält Google Ihre IP-Adresse und technische Browserdaten (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG – Ihre Einwilligung durch den Klick). Ohne diesen Klick findet keine Verbindung zu Google statt.

5.5 Push-Benachrichtigungen (optional)

Aktivieren Sie Push-Benachrichtigungen, werden diese über den Push-Dienst Ihres Browser- bzw. Betriebssystemherstellers zugestellt. Die Inhalte sind Ende-zu-Ende verschlüsselt; der Dienst sieht nur eine Gerätekennung, Ihre IP-Adresse und den Zeitpunkt.

5.6 Eingebettete Videos (optional)

Kunden können in Einarbeitungs-Inhalten und Texten Videos von YouTube (im erweiterten Datenschutzmodus, youtube-nocookie.com) oder Vimeo verlinken. Der Player wird erst geladen, wenn Sie auf „Video laden“ klicken; erst dann lädt Ihr Browser Inhalte vom jeweiligen Anbieter, der dabei Ihre IP-Adresse erhält. Bilder von externen Adressen lädt CloudyBird nicht – sie werden nur als Link angezeigt.

5.7 KI-Assistenten (optional)

Nutzer können eigene KI-Assistenten (z. B. Claude oder ChatGPT) mit CloudyBird verbinden. Der Assistent greift dann mit den Rechten des Nutzers auf die freigegebenen Bereiche zu; die Daten gehen an den Anbieter des Assistenten, den der Nutzer selbst gewählt hat. Administratoren können das in den Einstellungen einschränken. Wir protokollieren je Zugriff Verbindung, Nutzer, Funktion und Ergebnis – ohne Inhalte – und löschen das Protokoll nach 90 Tagen.

8.1 Auskunftsrecht (Art. 15 DSGVO)

Sie haben das Recht, Auskunft über die von uns gespeicherten personenbezogenen Daten zu erhalten.

8.2 Berichtigungsrecht (Art. 16 DSGVO)

Sie haben das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten zu verlangen.

8.3 Löschungsrecht (Art. 17 DSGVO)

Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen entgegenstehen.

8.4 Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.

8.5 Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln.

8.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, der Verarbeitung Ihrer personenbezogenen Daten zu widersprechen, wenn die Verarbeitung auf Grundlage berechtigter Interessen erfolgt.

8.7 Widerruf der Einwilligung

Sofern die Verarbeitung auf einer Einwilligung beruht, haben Sie das Recht, diese jederzeit zu widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

8.8 Beschwerderecht

Sie haben das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzulegen, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

9.1 Anmeldung

Für die Anmeldung setzen wir zwei technisch notwendige Cookies (Sitzung und Erneuerung der Sitzung), die nur unser Server lesen kann (HttpOnly), beim Google-Drive-Import ein kurzlebiges Sicherheits-Cookie und für Gäste in Meetings ein Cookie für die Gast-Sitzung (höchstens 12 Stunden, siehe 2.4). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO.

9.2 Benutzereinstellungen

Im lokalen Speicher Ihres Browsers (LocalStorage/SessionStorage) legen wir ab: Profil- und Firmendaten zur Anzeige, den Ablaufzeitpunkt der Sitzung, bei der Firmenauswahl nach der Anmeldung ein kurzlebiges Auswahl-Token, Sprache, Design, Einstellungen zu Seitenleiste, Spalten und Kalender, geöffnete Chatfenster sowie während der Registrierung Ihre E-Mail-Adresse. Diese Daten verlassen Ihr Gerät nicht und sind für die von Ihnen gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

9.3 Keine Tracking-Cookies

Wir verwenden derzeit keine Cookies für Tracking- oder Analysezwecke. Es werden keine Drittanbieter-Cookies (z.B. Google Analytics) gesetzt.