Datenschutz.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben. Für Datenschutz-Anfragen wende dich bitte an die oben genannte E-Mail-Adresse.

2. Verarbeitung im Überblick

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Website, unserer Produkte und unserer Dienstleistungen erforderlich ist. Diese Datenschutzerklärung gilt für die Website startandconnect.com sowie für alle unter der Marke „Start & Connect" angebotenen Produkte und Services (Spotlight, Quitt, Atlas, Nexus, Connector, Orbit sowie Managed Hosting und Dienstleistungen).

Welche Daten verarbeiten wir?

• Bestandsdaten: Name, Firma, Anschrift, USt-IdNr.
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Konto- und Sicherheitsdaten: Passwort (als Hash), Zwei-Faktor-Geheimnisse (TOTP), Passkeys, Login-Zeiten, Sicherheits- und Audit-Protokolle
• Vertrags- und Bestelldaten: Tarif, Laufzeit, Bestellungen, Rechnungen, Custom-Felder, Consent-Snapshots
• Zahlungsdaten: Zahlungsmethode, letzte vier Ziffern der Karte/IBAN (keine vollständigen Kartendaten auf unseren Servern)
• Buchhaltungs- und Finanzdaten: Belege, Rechnungen, Kontoumsätze (bei Nutzung von Quitt)
• Nutzungs- und Analysedaten: aufgerufene Seiten, Verhalten, Attribution, Conversion-Events
• Geräte- und Zugriffsdaten: IP-Adresse, User-Agent, Browser, Betriebssystem, Gerätetyp
• Inhaltsdaten: vom Kunden und dessen Endnutzern gespeicherte Inhalte, Nachrichten, Dateien, Formulareingaben
• Standortdaten: Land und Stadt (abgeleitet aus der IP-Adresse, keine GPS-Ortung)

Wer ist betroffen? Besucher unserer Website, Kunden und Geschäftspartner, Kontaktpersonen, Nutzer unserer Produkte sowie Endnutzer der von unseren Kunden betriebenen Plattformen (Auftragsverarbeitung).

3. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Basis folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): z. B. bei nicht notwendigen Cookies, Tracking und Marketing.
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): z. B. Bereitstellung unserer Produkte, Bearbeitung von Bestellungen.
• Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): z. B. steuerliche Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigte Interessen): z. B. technische Bereitstellung, IT-Sicherheit, Optimierung unserer Dienste.

Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

4. Bereitstellung der Website

Server-Logfiles. Beim Aufruf unserer Website werden automatisch Informationen in Server-Logfiles gespeichert: aufgerufene Seite, Datum und Uhrzeit, übertragene Datenmenge, Browsertyp und -version, Betriebssystem, Referrer-URL und IP-Adresse. Diese Daten dienen der technischen Bereitstellung und Sicherheit. Sie werden nach 14 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

DNS und SSL. Für DNS-Verwaltung und SSL-Zertifikate nutzen wir Cloudflare. Dabei kann deine IP-Adresse an Cloudflare übermittelt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere und performante Bereitstellung, Schutz vor Angriffen).

Unsere Website und alle Dienste nutzen eine SSL/TLS-Verschlüsselung (erkennbar am „https://" in der Adresszeile).

5. Kontaktaufnahme und Formulare

Wenn du ein Kontakt- oder Anfrageformular ausfüllst oder uns per E-Mail schreibst, verarbeiten wir die von dir angegebenen Daten (u. a. Name, E-Mail, Nachricht) zur Bearbeitung deiner Anfrage. Formulare können frei konfigurierbare Felder enthalten; welche Daten erhoben werden, hängt vom jeweiligen Formular ab und kann variieren. Bitte gib in Freitextfeldern keine nicht erforderlichen personenbezogenen Daten an.

Die Daten werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind, spätestens nach 6 Monaten, sofern kein Vertragsverhältnis zustande kommt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Terminbuchung (cal.com). Für die Buchung von Erstgesprächen und Terminen nutzen wir den Dienst cal.com. Buchst du einen Termin, werden die von dir angegebenen Daten (insbesondere Name, E-Mail-Adresse, gewünschter Termin und optionale Angaben) an cal.com übermittelt und dort zur Durchführung und Verwaltung der Buchung verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO.

6. Kundenkonto und Vertragsabwicklung

Wenn du eines unserer Produkte oder Dienstleistungen buchst, verarbeiten wir:

• E-Mail-Adresse (Kennung und Kommunikation), Passwort (als kryptografischer Hash), Vor- und Nachname, Telefonnummer und Profilbild (optional)
• Firmenname und USt-IdNr. für die Rechnungsstellung, Vertragsgegenstand, Tarif, Laufzeit, Bestell- und Rechnungshistorie, Kundenstatus, interne Tags und Notizen
• Sicherheitsmerkmale: Zwei-Faktor-Authentifizierung (TOTP-Geheimnis, verschlüsselt), Passkeys, Sitzungen (IP-Adresse und User-Agent), API-Schlüssel (verschlüsselt) sowie Sicherheits- und Audit-Protokolle (Login-Zeiten, Rollen- und Passwortänderungen)
• Bei aktiver Affiliate-Teilnahme: Auszahlungsdaten (IBAN, Steuernummer)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für Sicherheitsprotokolle Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit).

7. Unsere Produkte und Plattformen

Unsere Produkte (Spotlight, Quitt, Atlas, Nexus, Connector, Orbit) ermöglichen es Kunden, eigene Websites, Shops, Buchhaltung, Projekte, Verbindungen und Communities zu betreiben. Wir verarbeiten personenbezogene Daten dabei in zwei Rollen:

Als Verantwortlicher für die Daten unserer direkten Kunden (Konto-, Vertrags- und Zahlungsdaten). Diese Verarbeitung ist in den Abschnitten 6, 11, 12 und 21 beschrieben.

Als Auftragsverarbeiter (Art. 28 DSGVO) für die Daten der Endnutzer unserer Kunden. Die Einzelheiten regelt die Vereinbarung zur Auftragsverarbeitung (AVV), die Bestandteil unserer AGB ist (Anlage 1). Jede Kundeninstanz verfügt über eine eigene, isolierte Datenbank und einen eigenen Container; eine mandantenübergreifende Verarbeitung findet nicht statt.

Produktspezifisch verarbeiten wir insbesondere: in Quitt Buchhaltungs- und Finanzdaten (Belege, Rechnungen, Kontoumsätze); in Atlas vom Kunden eingegebene Inhalte, Aufgaben, Zeiten, Kontakte (CRM), Nachrichten und Dateien; in Nexus Shop-, Bestell- und Analysedaten; in Connector die vom Kunden verschlüsselt hinterlegten Zugangsdaten sowie die über den Connector geleiteten Anfragen und Inhalte. Der Kunde ist als Betreiber seiner Instanz für die datenschutzrechtliche Zulässigkeit verantwortlich.

8. Web-Analyse

Unsere Website und unsere Plattform Nexus nutzen eine eigene, selbst betriebene Web-Analyse (keine Weitergabe an Google zu Analysezwecken). Erhoben werden Seitenaufrufe, Verweildauer, Referrer, Gerätetyp und ein pseudonymes Nutzungsprofil sowie eine First- und Last-Touch-Attribution (u. a. UTM-Parameter) und Conversion-Events (z. B. Registrierungen, Bestellabschlüsse).

• Für Web-Sessions speichern wir die IP-Adresse ausschließlich in gehashter Form zur Standort- und Dubletten-Bestimmung.
• Server-seitige Ereignisse (z. B. Kauf, Warenkorb) speichern die IP-Adresse und den User-Agent im Klartext, um Bestellungen technisch zuzuordnen und Missbrauch zu erkennen.

Die Analyse respektiert die „Do Not Track"-Einstellung des Browsers und ist über den Cookie-Banner deaktivierbar. Ohne Einwilligung nutzen wir einen cookielosen Fallback mit einem täglich rotierenden, nicht rückverfolgbaren Kennwert. Speicherdauer der Analysedaten: 180 Tage. Auf Kundenplattformen erfolgt die Analyse im Rahmen der Auftragsverarbeitung; verantwortlich ist dort der jeweilige Kunde. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über den Cookie-Banner).

9. Externe Marketing- und Tracking-Dienste

Für Reichweitenmessung und Werbung können externe Dienste eingebunden werden. Diese sind optional, standardmäßig deaktiviert und werden nur nach deiner ausdrücklichen Einwilligung über den Cookie-Banner geladen. Zum Zeitpunkt der Veröffentlichung sind sie nicht aktiv; die folgende Beschreibung gilt, sobald wir sie aktivieren.

Meta Pixel und Conversions API (Meta Platforms). Erfasst Seitenaufrufe und Conversion-Ereignisse. Über die Conversions API wird die IP-Adresse im Klartext sowie gehashte Merkmale (z. B. E-Mail, Telefonnummer) an Meta übermittelt.

Google Analytics 4 und Google Ads (Google). Erfasst Nutzungsverhalten und Conversions über den Google Tag Manager; setzt Cookies (u. a. `_ga`) und übermittelt Daten an Google.

Daneben können individuell konfigurierte Pixel oder Tags eingebunden werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst deine Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.

10. Newsletter und E-Mail-Marketing

Eigener Newsletter. Sofern wir einen Newsletter anbieten, erfolgt der Versand nur mit deiner Einwilligung (Double-Opt-In). Du kannst dich jederzeit über den Abmeldelink abmelden. Öffnungs- und Klickmessung erfolgen über unseren eigenen Server (das Tracking des E-Mail-Dienstleisters ist bewusst deaktiviert); ein personenbezogener Klick-Bezug erfolgt nur bei erteilter Marketing-Einwilligung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Newsletter unserer Kunden. Nexus enthält eine Newsletter-Funktion, die unsere Kunden für den Versand an ihre eigenen Kontakte nutzen. Diese Verarbeitung erfolgt im Auftrag des Kunden; für die erforderlichen Einwilligungen ist der Kunde verantwortlich. Optional können Kunden Marketing-Dienste wie Brevo oder Mailchimp anbinden (siehe Abschnitt 19).

11. Zahlungsabwicklung

Für Zahlungen nutzen wir den Zahlungsdienstleister Stripe. Deine vollständigen Zahlungsdaten (z. B. Kartennummer, IBAN) werden direkt an Stripe übermittelt und dort verarbeitet. Auf unseren Systemen speichern wir lediglich: Stripe-Kunden-ID, Zahlungsstatus, die letzten vier Ziffern der Karte bzw. IBAN, Zahlungsmethode, Beträge und Währung.

Bei Verkäufen über Nexus erfolgt die Abwicklung über das Stripe-Konto des jeweiligen Kunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12. E-Mail-Versand

Für den Versand von Transaktions-E-Mails (z. B. Registrierung, Passwort-Reset, Bestell- und Rechnungsmails) nutzen wir Mailgun. Übermittelt werden E-Mail-Adresse, Name (sofern vorhanden), Betreff und Inhalt sowie die Absenderadresse. Wir protokollieren den Versand (Empfänger, Betreff, Status, Zeitpunkt) zur Sicherstellung der Zustellbarkeit.

Konfiguriert ein Kunde in Nexus einen eigenen E-Mail-Dienst (SMTP), erfolgt der Versand über den vom Kunden gewählten Dienst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

13. KI-gestützte Funktionen

Einige Produkte bieten KI-gestützte Funktionen (z. B. Belegerkennung in Quitt, Chat- und Textfunktionen, Verbindungen über Connector). Anfragen werden über unseren AI-Gateway an den jeweiligen KI-Dienstleister geleitet. Übermittelt werden die Eingaben des Nutzers und der zugehörige Kontext; es werden keine Konto-, Vertrags- oder Zahlungsdaten an KI-Dienstleister übermittelt. Wir protokollieren den Verbrauch (Anbieter, Modell, Tokenanzahl) zu Abrechnungszwecken, nicht die Inhalte.

• Anthropic PBC (Claude), USA
• OpenAI, LLC (GPT), USA
• Google LLC (Gemini), USA
• Mistral AI (Mistral, Belegerkennung Quitt), Paris, Frankreich (EU)

Für US-Anbieter gelten EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Auftragsverarbeitung für Kunden.

14. Hosting-Dienste

Im Rahmen unserer Managed-Hosting-Leistungen betreiben wir für Kunden Instanzen von Open-Source-Software (derzeit insbesondere WordPress und n8n) auf unserer Infrastruktur bei Hetzner. Diese Verarbeitung erfolgt ausschließlich als Auftragsverarbeiter (Art. 28 DSGVO). Jede Instanz läuft isoliert; auf die Inhalte haben wir nur im Rahmen von Wartung oder auf Wunsch des Kunden Zugriff. Für die datenschutzrechtliche Zulässigkeit auf seiner Instanz ist der Kunde verantwortlich.

15. Eingebettete YouTube-Videos

Auf einigen Seiten binden wir YouTube-Videos im erweiterten Datenschutzmodus (youtube-nocookie.com) ein. Vor dem Klick wird nur ein Vorschaubild geladen (Lazy-Load), kein YouTube-iframe. Erst beim Abspielen wird eine Verbindung zu YouTube hergestellt und deine IP-Adresse sowie Geräte- und Browserinformationen an YouTube übermittelt. Anbieter: Google Ireland Ltd., Dublin, Irland. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

16. Webschriftarten und externe Medien

Diese Website nutzt die Schriftarten „Inter" und „JetBrains Mono", die derzeit über Google Fonts geladen werden; dabei wird deine IP-Adresse an Google übermittelt. Eine Umstellung auf lokales Hosting ist geplant. Zusätzlich können einzelne Seiten externe Medien (z. B. Vorschaubilder) einbinden, deren Abruf eine Verbindung zum jeweiligen Anbieter herstellt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

17. Cookies und lokale Speicherung

Wir setzen Cookies und vergleichbare Speichertechnologien ein. Technisch notwendige Cookies sind für den Betrieb erforderlich und benötigen keine Einwilligung (§ 25 Abs. 2 TDDDG). Nicht notwendige Cookies (Statistik, Attribution) werden nur nach Einwilligung über den Cookie-Banner gesetzt; deine Auswahl wird respektiert und kann jederzeit geändert werden.

Technisch notwendig (7): Sitzungs- und Login-Cookies, Warenkorb, Consent-Speicherung und Theme-Einstellung. Hinzu kommen Cookies des Zahlungsdienstleisters Stripe (`__stripe_mid`, `__stripe_sid`).

Einwilligungspflichtig (3): `nx_va` und `nx_vs` (eigene Statistik) sowie `nx_attr` (Attribution). Ohne Einwilligung nutzen wir einen cookielosen Fallback (täglich rotierender Kennwert).

Nach Einwilligung in externe Dienste (Abschnitt 9) können zusätzlich deren Cookies gesetzt werden (z. B. `_ga` von Google).

18. Automatisierte Entscheidungsfindung

Wir treffen keine automatisierten Entscheidungen im Sinne des Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen. KI-Funktionen dienen ausschließlich als Hilfsmittel und treffen keine eigenständigen Entscheidungen über Vertragsverhältnisse oder Rechte betroffener Personen.

19. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, wenn dies zur Vertragserfüllung erforderlich ist, du eingewilligt hast oder wir gesetzlich dazu verpflichtet sind. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Kernfunktionen (immer im Einsatz):

• Hetzner Online GmbH (Deutschland) - Server-Infrastruktur und Rechenzentrum.
• Stripe (kontoabhängig, EU bei EU-Konto) - Zahlungsabwicklung.
• Mailgun / Sinch (EU) - Versand von Transaktions-E-Mails.
• Cloudflare, Inc. (USA, SCC + DPF) - DNS und SSL.
• Provisioning-Dienst (Nexus-Manager) - automatisierte Bereitstellung von Instanzen.

Optionale Dienste (nur bei Aktivierung durch den Kunden oder nach Einwilligung):

• DHL (EU) - Versandlabels und Zustellung.
• Objektspeicher (S3, Standardregion `eu-central-1`) - Datei-Speicher; bei lokaler Konfiguration erfolgt keine Weitergabe.
• Brevo (EU) und EU-VIES (EU) - E-Mail-Marketing bzw. USt-IdNr.-Prüfung.
• Cal.com, Inc. (USA, Drittland) - Terminbuchung von Erstgesprächen. Garantien: EU-Standardvertragsklauseln.
• Mailchimp, Circle, Meta, Google (USA, Drittland) - Marketing, Community, Tracking und Werbung. Einsatz nur nach Einwilligung; Garantien über EU-Standardvertragsklauseln und, soweit zertifiziert, das EU-US Data Privacy Framework.

Subunternehmer und Freelancer werden vertraglich zur Vertraulichkeit verpflichtet. Behörden erhalten Daten nur bei gesetzlicher Verpflichtung (z. B. die Finanzverwaltung bei über Quitt im Auftrag des Kunden übermittelten Steueranmeldungen).

20. Datenweitergabe in Drittländer

Einige optionale Dienstleister haben ihren Sitz außerhalb des EWR, insbesondere in den USA (u. a. Meta, Google, Mailchimp, Circle, Cal.com sowie je nach Konfiguration Stripe, Cloudflare und KI-Anbieter). Bei einer Übermittlung stellen wir ein angemessenes Datenschutzniveau durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit der Empfänger zertifiziert ist, durch das EU-US Data Privacy Framework (Art. 45 DSGVO) sicher. Mistral AI (Frankreich) unterliegt als EU-Unternehmen unmittelbar der DSGVO.

21. Speicherdauer und Löschung

Eine DSGVO-Löschung erfolgt technisch als Anonymisierung: personenbezogene Bezüge werden entfernt, gesetzlich aufbewahrungspflichtige Belege (Rechnungen) bleiben in anonymisierter bzw. gesetzlich vorgeschriebener Form erhalten. Eine Löschung ist ausgeschlossen, solange ein aktives Abonnement oder eine gesetzliche Aufbewahrungspflicht besteht.

22. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen: SSL/TLS für alle Übertragungen, Verschlüsselung sensibler Daten in der Datenbank (API-Schlüssel, TOTP-Geheimnisse, Zugangsdaten), Passwort-Hashing (bcrypt), Zugangskontrolle über SSH-Schlüssel und rollenbasierte Berechtigungen, Mandantentrennung (eigene Datenbank und eigener Container je Kunde), Zwei-Faktor-Authentifizierung sowie regelmäßige Backups und Monitoring. Die Zugangsdaten im Connector werden zweifach verschlüsselt (Server-Ebene und persönliches Passwort), sodass wir auch als Betreiber keinen Zugriff auf die Klartext-Zugangsdaten haben.

23. Deine Rechte

Du hast jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine erteilte Einwilligung zu widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO): Soweit wir Daten zum Zwecke der Direktwerbung verarbeiten, kannst du jederzeit widersprechen; danach werden deine Daten dafür nicht mehr verwendet. Der Widerspruch ist formlos möglich, per E-Mail oder über den Abmeldelink in jeder Marketing-E-Mail.

Zur Ausübung deiner Rechte wende dich an hallo@startandconnect.com. Wir bearbeiten dein Anliegen unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

24. Pflicht zur Bereitstellung von Daten

Die Bereitstellung personenbezogener Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Bestimmte Daten sind jedoch für den Vertragsschluss und die Nutzung unserer Dienste erforderlich (insbesondere E-Mail-Adresse, Zahlungsdaten sowie Firmenname und USt-IdNr. für die Rechnungsstellung). Ohne diese Daten können wir den Vertrag nicht erfüllen.

25. Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Behörde ist:

26. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte rechtliche Anforderungen, neue Technologien oder Änderungen unserer Dienste anzupassen. Die jeweils aktuelle Fassung findest du immer auf dieser Seite. Bei wesentlichen Änderungen, die deine Rechte betreffen, informieren wir gesondert.