Datenschutzerklärung

Verantwortlich für die Verarbeitung personenbezogener Daten im Rahmen des Betriebs von KandalisOS ist Birkan Erdogan (Einzelunternehmen), Gönserstr. 44, 35510 Butzbach, Deutschland.

Kontakt: info@kandalis.de, Telefon 0176 56988763.

Eine gesetzliche Pflicht zur Benennung einer oder eines Datenschutzbeauftragten besteht derzeit nicht; Anfragen richten Sie bitte an die vorstehende Adresse.

Für die Daten der registrierten Konten und Firmenkonten (Anmeldung, Firmenprofil, Vertrag und Abrechnung, Support) sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Diese Erklärung beschreibt insoweit unsere eigene Verarbeitung.

Für die Inhalte, die ein Betrieb in seinem Firmenkonto über eigene Leads, Kundinnen und Kunden, Ansprechpersonen, Projekte, Angebote, Rechnungen und Projektdokumentation erfasst, bleibt der jeweilige Betrieb Verantwortlicher. Wir verarbeiten diese Daten weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO.

Für diese Auftragsverarbeitung stellen wir eine Vereinbarung nach Art. 28 Abs. 3 DSGVO bereit; die Maßnahmen nach Art. 32 DSGVO sind in einer eigenen Anlage beschrieben. Betroffene Personen wenden sich für Auskunft, Berichtigung oder Löschung solcher betrieblichen Daten an den Betrieb, der sie erfasst hat; wir unterstützen den Betrieb dabei.

Beim Aufruf der Anwendung werden technisch notwendige Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Ressource, Statuscode sowie Browser- und Geräteangaben. Solche Daten fallen beim Betrieb von Web-, Datenbank- und Backend-Diensten an und dienen der Auslieferung, der Stabilität und der Sicherheit.

Zur Fehlerdiagnose werden Fehlermeldungen der Anwendung serverseitig protokolliert. Diese Protokolle sollen keine Inhaltsdaten enthalten; Zugangsdaten, Zugriffstoken und Einladungs- oder Angebotstoken werden nicht protokolliert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung der Anwendung sowie Art. 6 Abs. 1 lit. f DSGVO aus unserem berechtigten Interesse an einem sicheren und störungsfreien Betrieb.

Für die Nutzung ist ein Konto erforderlich. Verarbeitet werden E-Mail-Adresse und die für die Authentifizierung notwendigen Anmeldedaten sowie Zeitpunkte von Registrierung und Anmeldung. Passwörter werden nicht im Klartext gespeichert; die Speicherung übernimmt der eingesetzte Authentifizierungsdienst der Backend-Plattform.

Nach der Registrierung kann eine Bestätigungs-E-Mail an die angegebene Adresse versendet werden. Beim Passwort-Reset wird eine E-Mail mit einem zeitlich begrenzten Link an die hinterlegte Adresse versendet. Diese Authentifizierungs-E-Mails versendet die Backend-Plattform.

Eine Anmeldung über Konten Dritter, etwa über einen Social-Login, wird derzeit nicht angeboten.

Bei Einladungen von Mitarbeitenden werden die eingeladene E-Mail-Adresse, die vorgesehene Rolle sowie Status und Ablaufzeitpunkt der Einladung verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Innerhalb Ihres Firmenkontos verarbeiten wir die von Ihnen eingegebenen Daten, damit die Anwendung funktioniert. Verarbeitet werden insbesondere folgende Datenarten:

Rechtsgrundlage im Verhältnis zu Ihnen als Kunde ist Art. 6 Abs. 1 lit. b DSGVO. Für die darin enthaltenen Daten Dritter sind Sie als Betrieb verantwortlich; wir verarbeiten sie ausschließlich weisungsgebunden nach Art. 28 DSGVO.

Die Daten jedes Firmenkontos sind logisch getrennt. Der Zugriff wird serverseitig anhand der Firmenzugehörigkeit sowie der Rechte und Modulzuweisungen der jeweiligen Mitarbeitenden geprüft. Hochgeladene Dateien liegen in nicht öffentlichen Speicherbereichen und werden nur über zeitlich begrenzte, geprüfte Zugriffslinks ausgeliefert.

Eine Beschreibung der eingesetzten Maßnahmen enthält die Anlage zu den technischen und organisatorischen Maßnahmen.

Ein Betrieb kann ein Angebot über einen Link freigeben. Wer diesen Link aufruft, kann das Angebot ansehen, als PDF herunterladen sowie annehmen oder ablehnen. Dabei werden der Zeitpunkt und die Anzahl der Aufrufe, der Zeitpunkt der Entscheidung, optional angegebene Angaben wie Name oder Ablehnungsgrund und – falls die Annahme unterschrieben wird – die erfasste Unterschrift als Bilddatei gespeichert.

Zweck ist der Nachweis der Angebotsentscheidung gegenüber dem Betrieb. Verantwortlich für diese Inhalte ist der Betrieb, der das Angebot versendet hat. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Vertragsanbahnung mit dem Empfänger bzw. Art. 6 Abs. 1 lit. f DSGVO für den Nachweis der Entscheidung.

Einladungs- und Angebots-E-Mails sowie die Authentifizierungs-E-Mails werden über die E-Mail-Infrastruktur unserer Betriebsplattform (Lovable) versendet. Absenderdomain ist notify.kandalis.de. Ein externer Versanddienst wird von uns nicht gesondert eingesetzt; welche Unterauftragnehmer die Plattform ihrerseits für die Zustellung nutzt, ist uns im Einzelnen nicht offengelegt.

Übermittelt werden dabei Empfängeradresse, Betreff und Nachrichteninhalt (Firmenname, Angebotsnummer, Link, optionale Nachricht). Zustellstatus wie Zustellung, Rückläufer, Beschwerden und Abmeldungen werden von der Plattform protokolliert; die Abmeldeseite wird von der Plattform bereitgestellt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Für die Abwicklung kostenpflichtiger Abonnements setzen wir Stripe ein. Der Bezahlvorgang läuft in einem eingebetteten Bezahlfenster von Stripe. Stripe verarbeitet dabei die erforderlichen Daten, insbesondere Kunden- und Abonnementkennungen, Rechnungsanschrift, Zahlungsdaten und Zahlungsstatus. Zahlungsmittel-Daten speichern wir nicht; wir erhalten Status-, Rechnungs- und Abonnementinformationen über eine signierte Schnittstelle.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Vertragsdurchführung sowie Art. 6 Abs. 1 lit. c DSGVO für steuer- und handelsrechtliche Aufbewahrungspflichten.

Zur Aufrechterhaltung der Anmeldung wird eine Sitzung technisch notwendig im Browser gespeichert (lokaler Speicher bzw. Cookie). Diese Speicherung ist für die Nutzung der Anwendung erforderlich; Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

Wir setzen keine Cookies für Werbung, keine Analyse- oder Tracking-Dienste, kein Profiling und keine Reichweitenmessung ein. Ein Einwilligungsbanner ist deshalb nicht erforderlich.

Newsletter oder werbliche E-Mails versenden wir nicht.

Die verwendeten Schriftarten werden lokal aus der Anwendung selbst ausgeliefert. Es findet dabei kein Abruf bei einem externen Schriftartendienst und keine Übermittlung Ihrer IP-Adresse an einen solchen Dienst statt.

Personenbezogene Daten werden nur weitergegeben, soweit dies für den Betrieb erforderlich ist oder eine gesetzliche Pflicht besteht. Eingesetzt werden derzeit:

Zu den einzelnen Diensten kann eine Verarbeitung außerhalb der EU bzw. des EWR nicht ausgeschlossen werden. In diesen Fällen stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission, einen Angemessenheitsbeschluss oder einen sonstigen zulässigen Übermittlungsmechanismus des jeweiligen Anbieters. Konkrete Verarbeitungsregionen und die jeweiligen Auftragsverarbeitungsverträge der Anbieter prüfen und dokumentieren wir fortlaufend; Angaben dazu erhalten Sie auf Anfrage.

Kontodaten und Firmendaten werden für die Dauer des Nutzungsverhältnisses gespeichert. Leads, Kundinnen und Kunden, Projekte sowie Angebote und Rechnungen werden in der Anwendung archiviert statt gelöscht, damit der Beleg- und Nachweiszusammenhang erhalten bleibt. Projektdokumente können in der Anwendung gelöscht werden; dabei wird zuerst die Datei im Speicher und anschließend der Eintrag entfernt.

Für Rechnungen und andere steuer- oder handelsrechtlich relevante Unterlagen gelten die gesetzlichen Aufbewahrungsfristen. Im Übrigen löschen wir personenbezogene Daten, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Für die Löschung besteht ein dokumentiertes Löschkonzept. Es beschreibt je Datenkategorie das tatsächliche Verhalten der Anwendung (Archivierung, Löschung, gesetzliche Aufbewahrung) und den Ablauf bei einer Konto- oder Firmenlöschung. Die Löschung eines Firmenkontos einschließlich der zugehörigen Daten erfolgt derzeit nicht automatisiert über eine Schaltfläche in der Anwendung, sondern nach Anfrage an uns in einem kontrollierten manuellen Ablauf; eine Selbstbedienungsfunktion ist geplant.

Für Protokolldaten und Sicherungskopien der Infrastruktur nennen wir keine eigenen Fristen: Sie richten sich nach der Aufbewahrung des jeweiligen Infrastrukturanbieters. Diese Angaben prüfen und dokumentieren wir fortlaufend; auf Anfrage informieren wir über den aktuellen Stand.

Nachweise darüber, welche Fassung von Nutzungsbedingungen, Datenschutzerklärung und Auftragsverarbeitungsvereinbarung bei einer Registrierung oder kostenpflichtigen Buchung galt, werden unveränderbar gespeichert und für die Dauer des Nutzungsverhältnisses sowie für die Nachweisbarkeit darüber hinaus aufbewahrt.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) sowie das Recht auf Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung genügt eine Nachricht an info@kandalis.de.

Zudem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde nach Art. 77 DSGVO, insbesondere am Ort des gewöhnlichen Aufenthalts, des Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

Die Angabe der Konto- und Firmendaten ist für die Nutzung der Anwendung erforderlich. Ohne diese Angaben kann kein Konto bereitgestellt werden. Alle weiteren Inhalte geben Sie freiwillig ein.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die Kalkulations-, Angebots- und Rechnungsfunktionen rechnen ausschließlich mit den von Ihnen hinterlegten Stammdaten und Eingaben; die Entscheidungen treffen Sie.

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, insbesondere verschlüsselte Übertragung, Zugriffsprüfungen auf Server- und Datenbankebene, getrennte Firmenkonten, nicht öffentliche Dateispeicher und serverseitig verwahrte Zugangsschlüssel. Die eingesetzten Maßnahmen sind in einer eigenen Anlage beschrieben.

Diese Datenschutzerklärung wird angepasst, wenn sich die Anwendung oder die eingesetzten Dienste ändern. Stand: 2.9.2026.