Datenschutz

Verantwortlicher

Arved Lanz (Coloqa)

Anschrift

Pestalozzistr. 8, 80469 München, Deutschland

Datenschutzkontakt

info@coloqa.com

Coloqa wird bei Vercel Inc. betrieben; statische Inhalte liefert das weltweite Netzwerk von Vercel aus.

Bei jedem Aufruf verarbeitet Vercel technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer sowie Browser- und Gerätetyp. Das dient der Auslieferung, der Stabilität und der Sicherheit der Website. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO.

Sitz, Übermittlungsgrundlage und, soweit bekannt, Speicherort von Vercel und unseren weiteren Auftragsverarbeitern stehen unter Dienstleister.

Für Anmeldung und Organisationen nutzen wir Clerk, Inc. Schon beim Aufruf der Website lädt dein Browser die Anmeldefunktion von Clerk; dabei erhält Clerk deine IP-Adresse und technische Browserdaten.

Wenn du ein Konto nutzt, verarbeitet Clerk Name, E-Mail-Adresse, Organisationszugehörigkeit und Anmeldesitzungen.

Bei der Registrierung prüft Clerk mit Cloudflare Turnstile, ob ein Mensch das Formular ausfüllt. Dein Browser lädt dafür ein Prüfskript von Cloudflare, Inc., USA, das deine IP-Adresse und technische Browserdaten erhält. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage ist die Bereitstellung deines Kontos (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer sicheren Anmeldung (Art. 6 Abs. 1 lit. f DSGVO).

Um Fehler zu erkennen und zu beheben, nutzen wir Sentry von Functional Software, Inc.

Sentry erhält technische Fehlermeldungen, Browser, Betriebssystem und die betroffene Seite. Außerdem meldet dein Browser bei jedem Seitenaufruf den Beginn einer Sitzung, damit wir sehen, wie viele Sitzungen ohne Fehler bleiben. Nur mit deiner Zustimmung zur Nutzungsanalyse sendet er zusätzlich bei etwa jedem zehnten Seitenaufruf Ladezeiten und aufgerufene Adressen. Namen, E-Mail-Adressen und ähnliche Angaben entfernen wir vor dem Versand; Sitzungsaufzeichnungen sind deaktiviert. Bei der Übertragung erhält Sentry auch deine IP-Adresse.

Rechtsgrundlage für Fehlermeldungen und Sitzungsbeginn ist unser berechtigtes Interesse an einer stabilen und sicheren Anwendung (Art. 6 Abs. 1 lit. f DSGVO), für Ladezeiten und aufgerufene Adressen deine Einwilligung (siehe „Einwilligung und Widerruf“).

Auf den öffentlichen Seiten sowie bei Anmeldung und Registrierung zählen wir ohne Einwilligung, wie die Website genutzt wird: welche Seite in welcher Sprache aufgerufen wurde, ob ein Besuch direkt, über eine Suchmaschine, ein soziales Netzwerk, einen KI-Assistenten oder eine andere Website kam (bei bekannten Diensten wie google.com oder linkedin.com mit deren Namen), die Kampagnenparameter eines Links (utm_source, utm_medium, utm_campaign) und welche Art von Link angeklickt wurde, etwa zum Kontakt oder zur Registrierung. Beim Absenden des Kontaktformulars zählen wir zusätzlich, wie es ausging (gesendet, unvollständig oder nicht zustellbar), zusammen mit der Einstiegsseite und der Herkunft dieses Besuchs; was du eingibst, gehört nie dazu.

Dein Browser sendet nur diese festen Angaben an unseren Server, der sie ohne IP-Adresse, Kennung und Browserdaten an PostHog Inc. weitergibt. Im Browser wird dafür nichts gespeichert; die Herkunft eines Besuchs kennt nur der geöffnete Tab, und keine Angabe lässt sich einer Person zuordnen.

Rechtsgrundlage ist unser berechtigtes Interesse, zu verstehen, welche Inhalte Besucher suchen und wie sie die Website nutzen (Art. 6 Abs. 1 lit. f DSGVO).

Mit deiner Zustimmung nutzen wir PostHog Inc., um Seitenaufrufe, Nutzungsereignisse, technische Browserdaten und Aufzeichnungen von Besuchen unserer öffentlichen Seiten auszuwerten und Coloqa zu verbessern.

PostHog erhält Seitenaufrufe, Zeitpunkte, Verweildauer und Scrolltiefe, die verweisende Seite und Kampagnenparameter, angeklickte Links als feste Bezeichnung, zufällige Sitzungskennungen und technische Browserdaten. Bei der Übertragung erhält der Anbieter auch deine IP-Adresse.

Auf den öffentlichen Seiten wie Startseite, Produkt, Wissen oder Kontakt zeichnet PostHog außerdem auf, wie du die Seite nutzt: Seitenaufbau, Mausbewegungen, Klicks und Scrollen. Eingaben in Formularfelder und Texte innerhalb von Formularen macht schon dein Browser unkenntlich; Netzwerkanfragen, Konsolenausgaben und Grafikflächen werden nicht aufgezeichnet. In der Planungsoberfläche, bei Anmeldung und Registrierung und in der Demo wird nichts aufgezeichnet. Mit den Aufzeichnungen sehen wir, wo Besucher hängen bleiben und welche Inhalte unklar sind.

Nutzungsereignisse enthalten die Kennung deiner Organisation: gestartete und abgeschlossene Suchen, angesehene Empfehlungen, exportierte oder geteilte Entscheidungsvorlagen sowie begonnene und bestätigte Buchungen mit ihrer Art (Flug, Bahn oder Hotel). Eingaben, Namen, Reiseziele, Preise und Personenprofile werden nicht erfasst.

Coloqa setzt nur technisch notwendige Cookies: Clerk speichert damit deine Anmeldung. Ohne sie ist kein Login möglich; sie sind deshalb ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG).

Deine Auswahl zur Nutzungsanalyse und zu Karten und Stadtfotos speichern wir im lokalen Speicher deines Browsers, bis du sie änderst oder die Website-Daten löschst. PostHog setzt keine Cookies; seine Kennungen bleiben nur im Arbeitsspeicher des geöffneten Browserfensters. Werbe- oder Tracking-Cookies verwenden wir nicht.

Rechtsgrundlage der Nutzungsanalyse, einschließlich der Ladezeitmessung durch Sentry, sowie der Karten und Stadtfotos im Browser ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Beides beginnt erst nach deiner Zustimmung; Coloqa ist auch ohne Zustimmung nutzbar.

Du kannst deine Einwilligung jederzeit widerrufen: für die Nutzungsanalyse über „Analyse-Einstellungen“ und „Ablehnen“, für Karten und Stadtfotos über „Karten und Fotos“ und „Nicht laden“. Die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.

Wenn du uns per E-Mail oder über das Kontaktformular schreibst oder ein Pilotprojekt oder einen Reisecheck anfragst, verarbeiten wir deine Angaben, um die Anfrage zu beantworten und das Pilotprojekt oder den Reisecheck vorzubereiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei sonstigen Anfragen unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

Das Kontaktformular übermittelt Name, E-Mail-Adresse, optional die Firma und deine Nachricht; sie erreichen uns als E-Mail. Bis zur Zustellung halten wir sie höchstens einen Tag lang vor.

Zum Schutz vor Missbrauch begrenzen wir die Nachrichten je Absender und insgesamt. Dafür speichern wir einen Hashwert deiner IP-Adresse (bei IPv6 des /64-Netzes) höchstens zehn Minuten lang. Rechtsgrundlage dafür ist unser berechtigtes Interesse, Formular und E-Mail-Versand vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Welche Dienstleister Nachrichten zustellen, zählen und empfangen, steht unter Dienstleister.

Wir sprechen Beratungen gezielt an. Dafür führen wir eine Vertriebsdatenbank mit Firmen und Ansprechpersonen: Name, Firma, Rolle, öffentlich zugängliche Angaben aus Berufsprofilen wie LinkedIn, Notizen und den Verlauf unseres Kontakts. Die Angaben stammen aus öffentlich zugänglichen Quellen oder aus dem Kontakt mit dir. Für einen Reisecheck verarbeiten wir außerdem die Büros einer Firma und wie viele Personen von dort anreisen; Personen erscheinen im Reisecheck nur als Platzhalter.

Rechtsgrundlage ist unser berechtigtes Interesse, mögliche Kundinnen und Kunden anzusprechen und zu betreuen (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern die Angaben, solange wir eine Zusammenarbeit anbahnen oder pflegen, und löschen sie, sobald du widersprichst oder kein Kontakt mehr zu erwarten ist. Du kannst dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO). Die Datenbank führt Notion; Näheres unter Dienstleister.

Organisationen planen mit Coloqa Projekttreffen und bereiten Reisen vor. Dafür verarbeiten wir die Daten, die eine Organisation bereitstellt: Namen, dienstliche E-Mail-Adressen, Büros und Heimatstandorte, Projektzugehörigkeiten, Reisezeiträume und Reisepräferenzen, für die Bürovernetzung Bürotage und wem eine Person folgt, sowie für Buchungen Angaben aus dem Reiseprofil, etwa die Passnummer. Reiseprofile speichern wir verschlüsselt.

Für diese Daten ist die jeweilige Organisation verantwortlich; wir verarbeiten sie in ihrem Auftrag (Art. 28 DSGVO) und setzen dafür die unter „Dienstleister“ genannten Unternehmen ein.

Fluggesellschaften, Hotels und Bahnunternehmen erhalten die für eine Buchung nötigen Angaben und verarbeiten sie in eigener Verantwortung.

Verbindet eine Person ihren Google- oder Outlook-Kalender, trägt Coloqa die Flug-, Bahn- und Hotelbuchungen, auf denen sie selbst reist, und ihre angenommenen Netzwerktermine in den Kalender „Coloqa Reisen“ in ihrem Konto ein. Das gilt auch für Administratoren; Buchungen für andere Reisende überträgt Coloqa nicht. Ein Eintrag zu einer Buchung enthält Titel, Zeit, Ort, Verbindung oder Hotel, Projektname, Projektcode und Buchungsreferenz, bei Flügen die PNR; ein Eintrag zu einem Netzwerktermin Titel, Zeit, Ort, die Nachricht der Einladung und die Namen beider Teilnehmenden. Google beziehungsweise Microsoft erhalten dafür diese Angaben. Abonniert eine Person ihren privaten Kalender-Feed, etwa in Apple Kalender, ruft der Kalenderdienst, den sie dafür wählt, dieselben Angaben über die geheime Feed-Adresse ab, sooft er den Kalender aktualisiert.

Für Entwicklung, Wartung und Fehleranalyse nutzt allein der Betreiber von Coloqa KI-Werkzeuge. Was sie dabei aus Coloqa lesen, erhält der jeweilige Anbieter, um die Antwort zu erzeugen. Welche Anbieter das sind und worauf ihre Werkzeuge zugreifen können, steht unter Dienstleister.

Daten der Organisationen verarbeiten wir dabei in deren Auftrag (Art. 28 DSGVO), im Übrigen auf Grundlage unseres berechtigten Interesses an einer sicheren und fehlerfreien Anwendung (Art. 6 Abs. 1 lit. f DSGVO).

Diese Dienstleister verarbeiten Daten in unserem Auftrag, für die Website ebenso wie für die Organisationen, die Coloqa nutzen. Für jeden nennt die Liste den Sitz, die Grundlage für Übermittlungen außerhalb der EU und, soweit uns bekannt, den Speicherort.

• Hosting: Vercel Inc., USA

  Betreibt Website und Anwendung; die Serverfunktionen laufen in der Region Frankfurt am Main. Das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert.

• Anmeldung und Organisationen: Clerk, Inc., USA

  Verwaltet Konten, Organisationen und Rollen sowie die Zugriffsberechtigungen verbundener Kalender und speichert diese Daten in den USA. Das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert.

• Datenbank und Dateiablage: Supabase Pte. Ltd., Singapur

  Speichert die Anwendungsdaten in der Region Frankfurt am Main. Für Zugriffe von außerhalb der EU gelten die EU-Standardvertragsklauseln.

• Zwischenspeicher: Upstash, Inc., USA

  Speichert Suchergebnisse von Reiseanbietern kurzzeitig zwischen, begrenzt Anfragen an diese Anbieter, zählt Nachrichten des Kontaktformulars und hält sie bis zur Zustellung vor; die Daten liegen in der Region Frankfurt am Main. Das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert.

• Hintergrundaufgaben: API Hero Ltd (Trigger.dev), Vereinigtes Königreich

  Erledigt im Hintergrund Suchen, Buchungen mit Reisekostenübersicht, HR-Importe, Kalenderabgleich, Treffvorschläge der Bürovernetzung, Benachrichtigungen und Anonymisierung nach Fristablauf; die Daten werden in den USA gespeichert. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission; für die Speicherung in den USA vereinbart der Anbieter EU-Standardvertragsklauseln mit seinen Unterauftragsverarbeitern.

• Hintergrunddienst: Railway Corporation, USA

  Betreibt einen Hintergrunddienst der Anwendung in der Region Amsterdam. Das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert.

• E-Mail-Versand: Brevo GmbH, Deutschland

  Versendet E-Mails zu Reisen, Buchungen und abgesagten Terminen der Bürovernetzung sowie Nachrichten des Kontaktformulars über Server in der EU. Das Unternehmen hat seinen Sitz in der EU.

• E-Mail-Postfächer: IONOS SE, Deutschland

  Betreibt unsere E-Mail-Postfächer, in denen Anfragen per E-Mail und Nachrichten des Kontaktformulars eingehen. Das Unternehmen hat seinen Sitz in der EU.

• Vertriebsdatenbank: Notion Labs, Inc., USA

  Führt unsere Vertriebsdatenbank mit Firmen, Ansprechpersonen und Reisechecks. Die Verarbeitung kann auch in den USA erfolgen. Für Übermittlungen in Drittländer gelten die EU-Standardvertragsklauseln.

• Fehlerüberwachung: Functional Software, Inc. (Sentry), USA

  Erhält bereinigte Fehlermeldungen und Sitzungsmeldungen aus Browser, Anwendung und Hintergrundaufgaben sowie Leistungsdaten aus Anwendung und Hintergrundaufgaben, auch mit der Kennung der Organisation, und speichert sie in Frankfurt am Main. Leistungsdaten aus dem Browser (Ladezeiten und aufgerufene Adressen) erhält Sentry nur mit Einwilligung in die Nutzungsanalyse. Das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert.

• Nutzungsanalyse und Betriebskennzahlen: PostHog, Inc., USA

  Erhält ohne IP-Adresse und Kennung die anonyme Besuchsstatistik der Website, mit Einwilligung die Nutzungsanalyse der Website und aus den Hintergrundaufgaben Ereignisname, Dauer, Ergebnis und einen festen Ergebnisgrund wie einen Fehlercode mit der Kennung der Organisation sowie zum Kontaktformular nur, ob eine Nachricht angenommen und zugestellt wurde, ohne Angaben zu Personen; Hosting in Frankfurt am Main (PostHog Cloud EU). Das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert. EU-Hosting allein schließt Zugriffe aus Drittländern nicht aus.

• Import aus HR-Systemen: Merge API, Inc., USA

  Überträgt Personendaten aus dem HR-System einer Organisation über die EU-Instanz von Merge, wenn die Organisation die Anbindung nutzt. Für die Übermittlung gelten die EU-Standardvertragsklauseln.

• Planungschat und KI-Werkzeuge: OpenAI Ireland Ltd, Irland

  Verarbeitet Nachrichten und die dafür abgerufenen Planungsdaten, wenn jemand den Planungschat nutzt. Der Planungschat steht allen Organisationen zur Verfügung. Bei Entwicklung, Wartung und Fehleranalyse kann außerdem das KI-Werkzeug Codex Daten aus der Produktionsdatenbank lesen. Die Verarbeitung kann auch in den USA und weiteren Ländern erfolgen. Für Übermittlungen in Drittländer gelten die EU-Standardvertragsklauseln.

• KI-Werkzeuge: Anthropic Ireland, Limited, Irland

  Bei Entwicklung, Wartung und Fehleranalyse können die KI-Werkzeuge Claude und Claude Code Daten aus der Produktionsdatenbank und weiteren Produktivsystemen lesen, etwa aus Nutzerverwaltung, Laufzeitprotokollen, Fehlerberichten und Hintergrundaufgaben. Die Daten werden in den USA gespeichert; Anfragen können auch in Europa, Asien und Australien verarbeitet werden. Für Übermittlungen in Drittländer gelten die EU-Standardvertragsklauseln.

• Flüge: Duffel Technology Limited, Vereinigtes Königreich

  Sucht Flugangebote und übermittelt Buchungen an Fluggesellschaften. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

• Hotels: Nuitée Travel Limited (LiteAPI), Irland

  Sucht Hotel- und Flugangebote und übermittelt Hotelbuchungen an Hotels. Das Unternehmen hat seinen Sitz in der EU.

• Bahn: All Aboard AB, Schweden

  Sucht Bahnverbindungen und übermittelt Buchungen an Bahnunternehmen. Das Unternehmen hat seinen Sitz in der EU.

Mit deiner Zustimmung zeigt Coloqa Karten von Google Maps (Google Cloud EMEA Limited, Irland) und Stadtfotos von Unsplash (Unsplash Inc., Kanada). Dein Browser lädt diese Inhalte dann direkt von den Anbietern; sie erhalten dabei deine IP-Adresse und technische Browserdaten. Ohne Zustimmung zeigt Coloqa keine Stadtfotos und statt Google Maps eine gezeichnete Übersicht oder die Liste. Karten und Stadtfotos lädt dein Browser dann nicht von diesen Anbietern.

Unabhängig davon fragen wir serverseitig bei der Google Maps Platform Koordinaten zu Adressen von Büros und Treffpunkten (Geocoding), Orte in der Nähe von Büros (Places) und Reisezeiten zwischen Orten (Routes) ab. Dabei übermitteln wir Adressen und Koordinaten, keine Namen von Personen. Rechtsgrundlage dafür ist unser berechtigtes Interesse an einer genauen Reiseplanung (Art. 6 Abs. 1 lit. f DSGVO). Für die CO₂-Werte von Flügen fragen wir das Travel Impact Model von Google ab und übermitteln dabei nur Flughäfen, Fluggesellschaft, Flugnummer und Datum, keine Angaben zu Personen.

Beide Anbieter verarbeiten diese Daten in eigener Verantwortung. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; für Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission.

Hotelfotos lädt dein Browser direkt von den Bildservern, die der Hotelanbieter LiteAPI dafür nennt, Fotos zu Restaurants von der Adresse, die Mitarbeitende beim Vorschlag angegeben haben, auch wenn sie bei Google oder Unsplash liegt. Logos von Fluggesellschaften lädt dein Browser direkt vom Bildserver unseres Flugdienstleisters Duffel; die Logos von Lufthansa und City Airlines liefert Coloqa selbst aus. Diese Inhalte lädt dein Browser unabhängig von deiner Auswahl zu Karten und Stadtfotos; die Bildserver erhalten dabei deine IP-Adresse und technische Browserdaten. Rechtsgrundlage ist unser berechtigtes Interesse, Hotels und Restaurants mit Fotos vergleichbar und Fluggesellschaften an ihrem Logo erkennbar zu machen (Art. 6 Abs. 1 lit. f DSGVO).

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Im Einzelnen:

Server-Logdaten und Fehlerdaten

Vercel bewahrt Laufzeitprotokolle für uns höchstens einen Tag auf. Sentry löscht Fehlermeldungen, Sitzungsmeldungen und Leistungsdaten spätestens nach 90 Tagen.

Konto

Bis zur Löschung deines Kontos.

Nutzungsanalyse

PostHog löscht die Analysedaten nach einem Jahr und Aufzeichnungen der öffentlichen Seiten nach 30 Tagen.

Anfragen per E-Mail

Bis die Anfrage erledigt ist; geschäftliche Korrespondenz für die gesetzlichen Aufbewahrungsfristen.

Daten der Organisationen

Solange die Organisation Coloqa nutzt. Personen, die eine Organisation deaktiviert, anonymisieren wir nach 90 Tagen automatisch und löschen ihre Profilbilder.

Technische Protokolle der Anwendung

Sie enthalten nur Ereignisnamen, Statuswerte und Zähler, keine Eingaben und keine Angaben zu Personen.

Nach Maßgabe der gesetzlichen Voraussetzungen kannst du Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Einer Verarbeitung auf Grundlage unseres berechtigten Interesses kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Für Datenschutzanfragen nutze den oben angegebenen Kontakt.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist: