Rechtliches
Datenschutz.
Was mit deinen Daten passiert.
Diese Erklärung gilt für die Website von Arowana, für die Plattform, in der Kundinnen und Kunden ihre Kommunikation verwalten, und für die E-Mails, die Arowana selbst verschickt. Wir beschreiben, was tatsächlich passiert – nicht, was theoretisch möglich wäre.
Stand: 18. Oktober 2026English version (Übersetzung)
Wer verantwortlich ist
Verantwortlich für die Verarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist die Colortreat GmbH & Co. KG, Gerhofstraße 1-3, 20354 Hamburg, Deutschland (siehe Impressum).
- E-Mail für Datenschutzfragen
- info@colortreat.de
- Telefon
- 040 60056752
Zwei Rollen: Verantwortlicher und Auftragsverarbeiter
Für unsere Website, für die Konten unserer Kundinnen und Kunden und deren Teams, für Zahlungen, Support und unsere eigenen E-Mails sind wir selbst verantwortlich. Darum geht es in den folgenden Abschnitten bis einschließlich Produktanalyse.
Wenn Kundinnen und Kunden mit Arowana ihre eigenen Kontakte verwalten und ihnen Nachrichten schicken, Anmeldeseiten veröffentlichen oder das Tracking auf ihrer Website einsetzen, verarbeiten wir diese Daten in ihrem Auftrag und nach ihren Weisungen (Art. 28 DSGVO). Verantwortlich ist dann die jeweilige Kundin oder der jeweilige Kunde; mit ihnen schließen wir einen Vertrag zur Auftragsverarbeitung. Wenn du Nachrichten eines Absenders bekommst, der Arowana nutzt, wende dich mit Fragen zu deinen Daten bitte zuerst an diesen Absender – seine Kontaktdaten stehen in jeder Nachricht und auf seinen Seiten. Was die Plattform dabei technisch tut, beschreiben wir trotzdem offen unter Was die Plattform für Kundinnen und Kunden verarbeitet.
Besuch der Website
Wenn du eine Seite von uns aufrufst, verarbeiten unsere Hosting-Anbieter technisch notwendige Daten: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die übertragene Datenmenge, den Statuscode, die Seite, von der du kommst (Referrer), sowie Browser und Betriebssystem (User-Agent). Ohne diese Daten kann die Seite nicht ausgeliefert und nicht vor Angriffen geschützt werden.
Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionierenden Angebot (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle der Hosting-Anbieter werden nach deren Fristen gelöscht (siehe Speicherdauer).
Schriften liefern wir von unserem eigenen Server aus; beim Laden unserer Seiten wird dafür kein Dritter kontaktiert. Auch die Anmeldung läuft über unsere eigenen Seiten und Server; dein Browser lädt dafür kein Skript eines Dritten (Cookies). Die API-Dokumentation unter /docs/api lädt ihr Darstellungsprogramm (Scalar) vom Content-Delivery-Netzwerk jsDelivr und dessen Schriften von den Servern von Scalar (fonts.scalar.com); dabei erhalten jsDelivr und Scalar deine IP-Adresse und Browserdaten. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden Dokumentation (Art. 6 Abs. 1 lit. f DSGVO).
Wir binden keine Werbenetzwerke, keine Social-Media-Plugins und keine Karten ein.
Registrierung, Anmeldung und Konto
Für ein Konto brauchen wir deine E-Mail-Adresse; Vor- und Nachname sind freiwillig. Meldest du dich über ein anderes Konto an (zum Beispiel Google), erhalten wir von dort Name, E-Mail-Adresse und gegebenenfalls ein Profilbild. Die Anmeldekonten selbst (E-Mail-Adresse, Passwort als Hashwert, verbundenes Google-Konto, Zeitpunkte der Anmeldung) führt Google Cloud Identity Platform in unserem eigenen Google-Cloud-Projekt (Dienstleister); wir selbst speichern kein Passwort. Anmeldelinks und Bestätigungs-Mails verschicken wir selbst. Bei uns gespeichert werden außerdem deine Sprache, deine Organisationen und Workspaces mit deiner Rolle darin, Einladungen, die du verschickst oder bekommst, deine Antworten beim Einstieg (etwa wofür du die Plattform nutzen willst) und ein Protokoll wichtiger Aktionen im Team (zum Beispiel wer eine Kampagne gestartet oder eine Einstellung geändert hat).
Rechtsgrundlage ist die Erfüllung des Vertrags über die Nutzung der Plattform (Art. 6 Abs. 1 lit. b DSGVO); das Aktivitätsprotokoll dient zusätzlich unserem und dem berechtigten Interesse deines Teams an Nachvollziehbarkeit und Sicherheit (lit. f).
Wenn du dein Konto löschst, löschen wir dein Anmeldekonto bei Google Cloud Identity Platform und entfernen Name, E-Mail-Adresse und Profilbild aus deinem Profil bei uns; übrig bleibt ein anonymer Eintrag, damit frühere Aktionen im Team nachvollziehbar bleiben. Organisationen, in denen sonst niemand mehr arbeitet, werden geschlossen: Deren Workspaces werden archiviert und verschicken nichts mehr. Die Daten dieser Organisationen bleiben zunächst gespeichert – schreib uns, wenn sie gelöscht werden sollen. Rechnungen und Buchungen bewahren wir so lange auf, wie das Gesetz es verlangt.
Bezahlung und Rechnungen
Guthaben, Telefonnummern und andere kostenpflichtige Leistungen bezahlst du über Stripe. Kartennummern und Bankdaten gibst du direkt bei Stripe ein; wir sehen und speichern sie nicht. Bei uns liegen die Rechnungsdaten der Organisation (Firmenname, Rechnungsanschrift, Rechnungs-E-Mail, Umsatzsteuer-Identifikationsnummer), die Buchungen des Guthabens und die Rechnungen. Stripe berechnet die Umsatzsteuer (Stripe Tax) und lässt eine angegebene Umsatzsteuer-Identifikationsnummer bei der zuständigen Behörde prüfen.
Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und unsere Pflicht zur Buchführung und Aufbewahrung (lit. c, § 147 AO, § 257 HGB). Zur Vorbeugung von Betrug wertet Stripe Zahlungsdaten aus (lit. f).
E-Mails von Arowana
Arowana schickt dir selbst E-Mails, wenn es für dein Konto nötig ist: Einladungen in ein Team, Hinweise zu Absendern, Nummern, Freigaben und deinem Guthaben, Antworten auf Support-Anfragen und Testnachrichten, die du dir selbst schickst. Wir verschicken sie über unseren E-Mail-Dienstleister (Dienstleister). In diese E-Mails fügen wir kein Öffnungs-Pixel und keine umgeleiteten Links ein.
Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO); Einladungen an Personen, die noch kein Konto haben, verschicken wir im berechtigten Interesse des einladenden Teams (lit. f). Werbe-Newsletter verschicken wir nicht.
Support und Kontakt
Wenn du uns schreibst oder in der Plattform eine Support-Anfrage stellst, speichern wir deine Angaben, deine Nachricht und unsere Antwort, um dein Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO, sonst lit. f).
Spam-Meldungen
Auf der Seite „Spam melden“ (verlinkt unten auf unserer Website und unter jeder Werbe-E-Mail, die über Arowana verschickt wird) kannst du uns einen Absender melden, der dir über Arowana eine Nachricht geschickt hat, die du nicht wolltest. Wir speichern, was du angibst (Kanal, Absender, Tag des Empfangs und auf Wunsch eine Beschreibung), deine E-Mail-Adresse und eine Vorgangsnummer und schicken dir eine E-Mail mit einer Adresse, an die du die Nachricht weiterleitest. Die weitergeleitete Nachricht – mit allem, was sie enthält, auch deiner eigenen Adresse und Anhängen – nimmt Amazon SES für uns entgegen und legt sie in Amazon S3 ab (Amazon Web Services, Frankfurt); wir kopieren sie in unseren Speicher (Dienstleister) und ordnen sie deiner Meldung zu. Gegen Missbrauch des Formulars zählen wir Meldungen je Hashwert deiner IP-Adresse und deiner E-Mail-Adresse (mit einem geheimen Schlüssel gebildet); die IP-Adresse selbst speichern wir nicht.
Zweck ist, Missbrauch unserer Plattform nachzugehen und unsere Regeln gegenüber unseren Kundinnen und Kunden durchzusetzen. Rechtsgrundlage ist unser berechtigtes Interesse und das der Empfängerinnen und Empfänger an einer Plattform ohne Spam (Art. 6 Abs. 1 lit. f DSGVO) und, soweit uns Gesetze zum Vorgehen gegen rechtswidrige Inhalte verpflichten, Art. 6 Abs. 1 lit. c DSGVO.
Empfänger: Die weitergeleiteten Nachrichten sehen nur die Mitarbeitenden unseres Trust-&-Safety-Teams. Eröffnen wir gegen den Absender – unseren Kunden – einen Fall, erfährt er, dass eine Meldung vorliegt und worum es geht, aber nicht deinen Namen und nicht deine Adresse. Speicherdauer: Deine Adresse, deine Beschreibung und die weitergeleiteten Nachrichten löschen wir 12 Monate nach Abschluss des Falls; eine Meldung, zu der nichts weitergeleitet wird, schließen wir nach 90 Tagen. Die Kopie bei Amazon S3 wird nach 90 Tagen gelöscht.
Produktanalyse
Um zu verstehen, welche Funktionen genutzt werden und wo der Einstieg hakt, können wir die Nutzung der Plattform pseudonym mit PostHog auswerten (Server in der EU, Frankfurt). Erfasst werden Seitenaufrufe mit bereinigter Adresse, Klicks ohne Text, technische Geräteangaben, ausgewählte Ereignisse (zum Beispiel „Kampagne gestartet“) und deine interne Nutzer-ID bei uns – keine Namen, keine E-Mail-Adressen, keine Inhalte und nichts über die Kontakte unserer Kundinnen und Kunden. Es wird kein Cookie gesetzt und nichts dauerhaft im Browser gespeichert; beim Start legt das Skript kurz Testeinträge im Browser-Speicher an, löscht sie sofort wieder und liest eigene Einstellungen. Die Daten laufen über unsere eigene Domain; dabei wird deine IP-Adresse an PostHog übermittelt (für grobe Herkunft und Bot-Erkennung). Sendet dein Browser das Signal „Do Not Track“ oder „Global Privacy Control“, findet keine Auswertung statt. Auf veröffentlichten Kundenseiten und Abmeldeseiten läuft die Produktanalyse nie.
Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung des Produkts (Art. 6 Abs. 1 lit. f DSGVO). Du kannst jederzeit widersprechen – eine E-Mail an uns genügt, oder du schaltest „Do Not Track“ bzw. „Global Privacy Control“ in deinem Browser ein.
Was die Plattform für Kundinnen und Kunden verarbeitet
Hier sind wir Auftragsverarbeiter (zwei Rollen). Kundinnen und Kunden speichern in Arowana Kontakte (zum Beispiel E-Mail-Adresse, Telefonnummer, Name, Einwilligungen mit Zeitpunkt, Herkunft und Nachweis, Merkmale und Notizen) und schicken ihnen E-Mails, SMS und RCS-Nachrichten. Die Plattform speichert, welche Nachricht wann an wen ging, ob sie zugestellt wurde, Antworten, Abmeldungen und Beschwerden. Unzustellbare Adressen und Spam-Beschwerden sperrt sie automatisch für weitere E-Mails.
Öffnungen von E-Mails
Newsletter und andere Massen-E-Mails unserer Kundinnen und Kunden können ein unsichtbares Bild (Öffnungs-Pixel) enthalten. Lädt dein E-Mail-Programm es, speichert die Plattform zu dieser Nachricht nur den Zeitpunkt und ob die Abfrage vermutlich von einer Maschine kam (etwa einem Sicherheitsfilter oder dem Datenschutz-Proxy von Apple Mail) – keine IP-Adresse und keinen User-Agent. Die IP-Adresse wird nur kurzzeitig in Form eines Hashwerts verwendet, um Missbrauch zu begrenzen. Viele E-Mail-Programme laden solche Bilder automatisch oder über einen Proxy; eine Öffnung heißt deshalb nicht sicher, dass jemand die E-Mail gelesen hat. Lädst du Bilder nicht automatisch, wird keine Öffnung erfasst. Einzelne E-Mails wie Bestätigungen, Belege oder Codes enthalten kein Pixel. Solange E-Mails über Resend verschickt werden, zählt Resend Öffnungen auf dieselbe Weise mit einem eigenen Pixel. Kundinnen und Kunden können das Pixel abschalten, indem sie das Link-Tracking für E-Mails ausschalten.
Klicks auf Links
Links in Nachrichten können über eine Adresse der Plattform umgeleitet werden. Beim Klick speichert die Plattform den Zeitpunkt, den angeklickten Link, ob der Klick vermutlich von einer Maschine kam, und einen mit einem geheimen Schlüssel gebildeten Hashwert deiner IP-Adresse – nicht die IP-Adresse selbst und nicht den User-Agent – und leitet dich sofort weiter. Führt der Link auf die Website des Absenders, kann ein Kennzeichen (aw_c) angehängt werden; es enthält keine E-Mail-Adresse oder Telefonnummer, sondern verweist auf die Nachricht, damit der Absender einen späteren Kauf oder eine Anmeldung innerhalb von bis zu 90 Tagen der Nachricht zuordnen kann. Umgeleitete Links funktionieren zwei Jahre.
Auswertungen für den Absender
Aus Öffnungen, Klicks, Antworten, Anmeldungen und Käufen bildet die Plattform für den Absender Kennzahlen, ordnet Kontakte nach Regeln, die der Absender festlegt, Phasen zu (zum Beispiel „neu“, „aktiv“, „inaktiv“) und berechnet einen Aktivitätswert, um die aktivsten Kontakte zu zeigen. Solche Phasen können automatisch den Versand weiterer Nachrichten auslösen. Darüber hinaus hat das keine rechtliche oder ähnlich erhebliche Wirkung für dich.
Tracking auf Websites der Kundinnen und Kunden
Kundinnen und Kunden können ein Skript von uns auf ihrer eigenen Website einbinden. Ohne Einwilligung arbeitet es ohne Cookies und ohne Speicher im Browser und meldet nur Seitenaufrufe und Ereignisse (zum Beispiel einen Kauf) mit Adresse und Herkunftsseite. Erst nach einer Einwilligung, die der Betreiber der Website einholt, speichert es eine zufällige Besucher-ID und das Kennzeichen aw_c im lokalen Speicher des Browsers, um Besuche wiederzuerkennen; sendet dein Browser „Global Privacy Control“, speichert es nichts. Die IP-Adresse wird nur als Hashwert gegen Missbrauch verwendet. Ob und wie das Skript eingesetzt wird, entscheidet der Betreiber der jeweiligen Website; seine Datenschutzerklärung beschreibt das.
Anmeldeseiten und Datenschutz-Center
Kundinnen und Kunden können mit der Plattform Anmeldeseiten veröffentlichen. Was du dort einträgst, geht an den Betreiber der Seite; dazu speichert die Plattform einen Hashwert deiner IP-Adresse, deinen User-Agent, die Herkunftsseite und Kampagnenparameter, als Nachweis der Einwilligung und gegen Missbrauch. Aufrufe der Seite zählt sie nur als Summe pro Tag. Analyse- oder Werbe-Cookies setzt die Plattform dort nicht, die Produktanalyse lädt dort nicht, und Schriften kommen über unseren eigenen Server. Videos von YouTube oder Vimeo werden erst geladen, wenn du auf „Abspielen“ drückst. Im Datenschutz-Center eines Absenders kannst du nach Bestätigung per Code deine Daten ansehen, Einwilligungen ändern und deine Löschung verlangen; dafür setzt die Plattform für 15 Minuten ein technisch notwendiges Cookie (aw_privacy).
Mailbox (Festnetznummern)
Nutzt ein Absender eine Festnetznummer mit Mailbox, speichert die Plattform bei Anrufen die Rufnummer, den Zeitpunkt, die Dauer und die hinterlassene Nachricht als Aufnahme. Aufnahmen werden nach der vom Absender eingestellten Frist gelöscht (standardmäßig 90 Tage).
Verbundene Dienste
Auf Anweisung der Kundinnen und Kunden tauscht die Plattform Kontakt- und Bestelldaten mit Diensten aus, die sie selbst verbinden – etwa Shopify, HubSpot, Google Sheets, ihre eigenen Systeme über Schnittstellen und Webhooks oder ihr eigenes PostHog. Für diese Dienste sind die Kundinnen und Kunden verantwortlich.
Was die Plattform an Dienstleister weitergibt, um Nachrichten zuzustellen (E-Mail-Versand, SMS- und RCS-Netze), steht unter Dienstleister und Empfänger.
Dienstleister und Empfänger
Wir arbeiten mit den folgenden Dienstleistern. Mit jedem haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen; sie verarbeiten Daten nur nach unseren Weisungen. Wo Daten in ein Land außerhalb der EU bzw. des EWR gehen, steht dabei, auf welcher Grundlage. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (zum Beispiel an Finanzbehörden) oder wenn du es veranlasst (etwa durch eine Verbindung zu einem anderen Dienst).
Vercel
- Anbieter
- Vercel Inc., San Francisco, USA
- Zweck
- Hosting der Website, der Plattform-Oberfläche und der veröffentlichten Kundenseiten.
- Daten
- Verbindungsdaten (IP-Adresse, Zeitpunkt, Adresse, User-Agent), Server-Protokolle, alle Daten, die über die Seiten übertragen werden.
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b und f DSGVO
- Ort der Verarbeitung
- Rechenzentrum in der EU (Frankfurt am Main); Zugriffe durch den Anbieter aus den USA. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), soweit der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert ist, zusätzlich der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
Google Cloud
- Anbieter
- Google Cloud EMEA Limited, Dublin, Irland / Ireland
- Zweck
- Betrieb der Schnittstellen und Hintergrundaufgaben (Cloud Run, Cloud Tasks), Datenbank (Cloud SQL), Dateispeicher (Cloud Storage), Protokolle und Überwachung; die Anmeldekonten der Plattform (Identity Platform: Registrierung, Anmeldung per Link, Passwort oder Google, Sitzungen).
- Daten
- Alle Daten der Plattform (Konten, Organisationen, Kontakte und Nachrichten unserer Kundinnen und Kunden), Verbindungsdaten und Protokolle der Schnittstellen; für die Anmeldung: E-Mail-Adresse, Name, Profilbild, Passwort-Hash, verbundenes Google-Konto, Zeitpunkte der Anmeldung.
- Rechtsgrundlage
- Für unsere Kundinnen und Kunden im Auftrag (Art. 28 DSGVO); im Übrigen Art. 6 Abs. 1 lit. b und f DSGVO
- Ort der Verarbeitung
- EU (Frankfurt am Main, Region europe-west3); Datenbank-Sicherungen in der EU. Ein Zugriff durch Google LLC (USA) ist nicht ausgeschlossen; dafür gelten die EU-Standardvertragsklauseln und der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework.
Stripe
- Anbieter
- Stripe Payments Europe, Limited, Dublin, Irland / Ireland
- Zweck
- Zahlungen, Rechnungen, Berechnung der Umsatzsteuer (Stripe Tax), Prüfung der Umsatzsteuer-ID, Betrugsprävention.
- Daten
- Rechnungs-E-Mail, Firmen- oder Workspace-Name, Rechnungsanschrift, Umsatzsteuer-ID, Zahlungsdaten (Karte, Lastschrift), Beträge.
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b, c und f DSGVO
- Ort der Verarbeitung
- EU; zum Teil Verarbeitung durch Stripe, Inc. in den USA. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), soweit der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert ist, zusätzlich der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
Resend
- Anbieter
- Plus Five Five, Inc. (Resend), San Francisco, USA
- Zweck
- Versand von E-Mails – unseren eigenen und denen unserer Kundinnen und Kunden – und Rückmeldungen zur Zustellung.
- Daten
- Absender, Empfängeradresse, Betreff und Inhalt der E-Mail, Zustell-, Bounce- und Beschwerdemeldungen; bei Kundenmails zählt Resend auch Öffnungen (siehe Öffnungen von E-Mails).
- Rechtsgrundlage
- Für unsere Kundinnen und Kunden im Auftrag (Art. 28 DSGVO); im Übrigen Art. 6 Abs. 1 lit. b und f DSGVO
- Ort der Verarbeitung
- Verarbeitung in den USA. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), soweit der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert ist, zusätzlich der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
- Wann
- Solange E-Mails über Resend gehen; wir stellen auf Amazon SES um.
Amazon Simple Email Service (SES)
- Anbieter
- Amazon Web Services EMEA SARL, Luxemburg / Luxembourg
- Zweck
- Versand von E-Mails – unseren eigenen und denen unserer Kundinnen und Kunden – und Rückmeldungen zur Zustellung.
- Daten
- Absender, Empfängeradresse, Betreff und Inhalt der E-Mail, Zustell-, Bounce- und Beschwerdemeldungen.
- Rechtsgrundlage
- Für unsere Kundinnen und Kunden im Auftrag (Art. 28 DSGVO); im Übrigen Art. 6 Abs. 1 lit. b und f DSGVO
- Ort der Verarbeitung
- EU (Frankfurt am Main, Region eu-central-1).
- Wann
- Sobald der Versand über Amazon SES eingeschaltet ist.
Upstash
- Anbieter
- Upstash, Inc., Santa Clara, USA
- Zweck
- Zwischenspeicher für Zähler und Begrenzungen gegen Missbrauch (Redis); gegebenenfalls Warteschlange für Hintergrundaufgaben (QStash).
- Daten
- Mit einem geheimen Schlüssel gebildete Hashwerte von IP-Adressen und Kontaktangaben mit kurzer Lebensdauer; bei Aufrufen der Programmierschnittstelle ohne Schlüssel die IP-Adresse für 60 Sekunden; Kennungen von Aufgaben (keine Inhalte).
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
- Ort der Verarbeitung
- Verarbeitung in den USA. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), soweit der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert ist, zusätzlich der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
Cloudflare R2
- Anbieter
- Cloudflare, Inc., San Francisco, USA
- Zweck
- Speicher für Dateien.
- Daten
- Logos und Bilder der Marken, Bilder, die Besucher über Formulare auf Kundenseiten hochladen, Aufnahmen der Mailbox (Anrufer-Nachrichten), Nachweisdokumente für die Bestellung von Festnetznummern.
- Rechtsgrundlage
- Für unsere Kundinnen und Kunden im Auftrag (Art. 28 DSGVO); im Übrigen Art. 6 Abs. 1 lit. b und f DSGVO
- Ort der Verarbeitung
- Verarbeitung in den USA. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), soweit der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert ist, zusätzlich der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
- Wann
- Solange Dateien bei Cloudflare liegen und nicht in Google Cloud Storage (Frankfurt).
Twilio
- Anbieter
- Twilio Ireland Limited, Dublin, Irland / Ireland
- Zweck
- Deutsche Festnetznummern für die Mailbox: Bereitstellung der Nummern, Anrufe und Ansagen.
- Daten
- Für die regulatorisch vorgeschriebene Registrierung der Nummer: Firmenname, Anschrift, Name und E-Mail-Adresse der vertretenden Person, Nachweisdokument. Bei Anrufen: Rufnummer des Anrufers, Zeitpunkt, Dauer und die Aufnahme (wir laden sie zu uns und löschen sie danach bei Twilio). Keine Transkription.
- Rechtsgrundlage
- Für unsere Kundinnen und Kunden im Auftrag (Art. 28 DSGVO); im Übrigen Art. 6 Abs. 1 lit. b und f DSGVO
- Ort der Verarbeitung
- Zum Teil Verarbeitung durch Twilio Inc. in den USA. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), soweit der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert ist, zusätzlich der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
- Wann
- Nur für Kundinnen und Kunden, die eine Festnetznummer nutzen.
mdex (SMS-Netz)
- Anbieter
- mdex (Deutschland)
- Zweck
- Zustellung von SMS über unsere eigenen Mobilfunknummern und Empfang von Antworten und Zustellberichten.
- Daten
- Rufnummer des Empfängers, Absender, Text der SMS, Antworten und Zustellberichte.
- Rechtsgrundlage
- Für unsere Kundinnen und Kunden im Auftrag (Art. 28 DSGVO); im Übrigen Art. 6 Abs. 1 lit. b und f DSGVO
- Ort der Verarbeitung
- Deutschland.
- Wann
- Sobald SMS über unsere eigenen Nummern verschickt werden.
BulkGate
- Anbieter
- TOPefekt s.r.o. (BulkGate), Tschechien / Czech Republic
- Zweck
- Zustellung von SMS und RCS-Nachrichten über einen Partner und Empfang von Antworten und Zustellberichten.
- Daten
- Rufnummer des Empfängers, Absender, Inhalt der Nachricht, Antworten und Zustellberichte.
- Rechtsgrundlage
- Für unsere Kundinnen und Kunden im Auftrag (Art. 28 DSGVO); im Übrigen Art. 6 Abs. 1 lit. b und f DSGVO
- Ort der Verarbeitung
- EU.
- Wann
- Derzeit nur für Tests mit freigegebenen Testnummern; im Regelbetrieb sobald freigeschaltet.
PostHog
- Anbieter
- PostHog, Inc., San Francisco, USA
- Zweck
- Pseudonyme Produktanalyse der Plattform (siehe Produktanalyse).
- Daten
- Interne Nutzer-ID (bei uns), bereinigte Seitenadressen, Ereignisse, Geräte- und Browserangaben, IP-Adresse (zur groben Herkunft und Bot-Erkennung).
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
- Ort der Verarbeitung
- EU (Frankfurt am Main); Zugriffe durch den Anbieter aus den USA. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), soweit der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert ist, zusätzlich der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
- Wann
- Nur wenn die Produktanalyse eingeschaltet ist.
Axiom
- Anbieter
- Axiom, Inc., San Francisco, USA
- Zweck
- Sammlung und Auswertung von Fehler- und Betriebsprotokollen.
- Daten
- Protokollzeilen mit internen Kennungen (zum Beispiel Nutzer- und Workspace-ID), Fehlermeldungen.
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
- Ort der Verarbeitung
- Verarbeitung in den USA. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), soweit der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert ist, zusätzlich der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
- Wann
- Nur wenn die Protokollweitergabe eingeschaltet ist.
Wie lange wir Daten speichern
- Konto: solange es besteht. Nach der Löschung wird dein Profil anonymisiert und dein Anmeldekonto (Google Cloud Identity Platform) gelöscht.
- Rechnungen, Buchungen und Belege: bis zum Ende der gesetzlichen Aufbewahrungsfristen (bis zu zehn Jahre, § 147 AO, § 257 HGB).
- Support-Anfragen: solange es für die Bearbeitung und mögliche Rückfragen nötig ist.
- Spam-Meldungen: deine Adresse, deine Beschreibung und weitergeleitete Nachrichten bis 12 Monate nach Abschluss des Falls; Meldungen ohne weitergeleitete Nachricht werden nach 90 Tagen geschlossen.
- Protokolle unserer Hosting-Anbieter: nach deren Fristen, in der Regel wenige Wochen.
- Zähler gegen Missbrauch (Hashwerte von IP-Adressen): Minuten bis höchstens 26 Stunden.
- Daten, die wir für Kundinnen und Kunden verarbeiten: solange sie sie in der Plattform behalten und der Vertrag läuft. Unabhängig davon löscht die Plattform automatisch: Öffnungs- und Zustellereignisse von E-Mails nach 180 Tagen; Klicks und Website-Ereignisse nach der Frist, die der Absender wählt (30, 90, 180 oder 395 Tage, voreingestellt 180); Ereignisse und eingehende Nachrichten bei SMS nach 35 bis 180 Tagen; Mailbox-Aufnahmen nach der eingestellten Frist (7 bis 365 Tage, voreingestellt 90); Nachweisdokumente für Festnetznummern 30 Tage nach Abschluss der Bestellung; nicht abgeschickte Uploads auf Anmeldeseiten nach 24 Stunden; Bestätigungscodes des Datenschutz-Centers nach zwei Stunden.
- Löscht ein Absender einen Kontakt, entfernt die Plattform den Kontakt mit seinen Ereignissen und leert Inhalt und Zuordnung bereits verschickter Nachrichten; zurück bleibt ein nicht umkehrbarer Hashwert, damit die Person nicht versehentlich erneut angeschrieben wird.
- Sicherungen der Datenbank: 14 Tage, dazu sieben Tage zur Wiederherstellung eines beliebigen Zeitpunkts.
Deine Rechte
Du hast gegenüber uns das Recht
- auf Auskunft über die Daten, die wir über dich verarbeiten (Art. 15 DSGVO),
- auf Berichtigung unrichtiger Daten (Art. 16 DSGVO),
- auf Löschung (Art. 17 DSGVO) und auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
- auf Datenübertragbarkeit (Art. 20 DSGVO),
- eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).
Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Schreib uns dazu einfach an info@colortreat.de. Geht es um Daten, die ein Absender über Arowana verarbeitet (siehe hier), richte deine Anfrage bitte an den Absender oder nutze sein Datenschutz-Center; erreicht uns eine solche Anfrage, leiten wir sie an ihn weiter.
Beschwerde bei der Aufsichtsbehörde
Du kannst dich bei jeder Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat, in dem du lebst oder arbeitest. Für uns zuständig ist:
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Straße 22, 7. OG, 20459 Hamburg, datenschutz-hamburg.de
Pflicht zur Bereitstellung, keine automatisierten Entscheidungen
Die Website kannst du ohne Angaben zu deiner Person nutzen. Für ein Konto brauchen wir deine E-Mail-Adresse, für Zahlungen die Rechnungsdaten – ohne sie können wir den Vertrag nicht erfüllen.
Eine automatische Entscheidung gibt es beim Versand unserer Kundinnen und Kunden: Überschreiten die Bounce- oder Beschwerdequoten eines Absenders über 30 Tage festgelegte Schwellen, erteilt die Plattform automatisch eine Verwarnung; nach drei Verwarnungen pausiert sie den Versand des Workspaces, bis unser Team den Fall prüft. Das schützt Empfängerinnen und Empfänger und die Zustellbarkeit aller Kundinnen und Kunden (Art. 6 Abs. 1 lit. b und f DSGVO). Gegen eine Verwarnung oder Pause kannst du innerhalb von 30 Tagen in der Plattform Einspruch einlegen; darüber entscheidet ein Mensch. Ebenso pausiert der Versand automatisch, wenn das Guthaben nach einer Rückbuchung unter null fällt, bis es wieder aufgeladen ist. Darüber hinaus treffen wir keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).
Änderungen
Wenn sich die Plattform oder die Rechtslage ändert, passen wir diese Erklärung an. Es gilt die Fassung, die hier veröffentlicht ist; das Datum steht oben.