Datenschutzerklärung

Swiss Partner

Version 2.4 · Stand: September 2026. Diese Erklärung gilt für die öffentlich zugänglichen Seiten der Dealmaker-CRM-Plattform (Login-/Auth-Seiten, Preis- und Vergleichsseiten, Lead-Formulare, Info-Seiten). Für Inhalte innerhalb einer Kundeninstanz gilt zusätzlich die Datenschutzerklärung des jeweiligen Kunden (Verantwortlicher). Zielmärkte: Deutschland und Schweiz — Idee, Konzeption und fachliche Ausrichtung des CRM stammen aus diesen beiden Ländern.

1. Verantwortlicher / Anbieter

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und Art. 5 lit. j revDSG für die Verarbeitungen auf den öffentlichen Seiten dieser Plattform ist:

Strattons Oakmont LLC
1501 South Greeley Highway, Suite C
82007 Cheyenne, Wyoming
United States of America
Filing ID (Wyoming Secretary of State): 2026-001871090
Kontakt (allgemein & Datenschutz): oakmont-strattons@proton.me

Hauptrechteinhaberin an Software, Marke, Quellcode und Inhalten der Dealmaker-CRM-Plattform ist Strattons Oakmont LLC (Limited Liability Company (LLC), Wyoming, USA).

1.1 EU-Vertretung (Art. 27 DSGVO) und Ansprechpartnerin für EU/Schweiz

Zentrale Anlauf- und Vertretungsstelle für betroffene Personen mit Sitz in der Europäischen Union sowie in der Schweiz (Vertretung i.S.v. Art. 27 DSGVO und Ansprechpartnerin i.S.v. Art. 14 revDSG) ist:

Grenzenlos Limited
CRO-Reg.: 822268
77 Camden Street Lower
Dublin 2, D02 XE80
Irland
Kontakt gemäß S.I. No. 68/2003: mail@grenzenlos.ie

Sämtliche europäischen Belange — insbesondere Datenschutzanfragen aus der EU und der Schweiz — laufen zentral über Grenzenlos Limited. Alternativ erreichen Sie den Verantwortlichen jederzeit direkt unter oakmont-strattons@proton.me.

2. Rollentrennung: Öffentliche Seiten vs. Kundeninstanzen

Strattons Oakmont LLC betreibt die Dealmaker-CRM-Plattform als Software-as-a-Service. Wir unterscheiden zwei Datenlagen:

Öffentliche Plattform-Seiten (diese Seite, Login, Preise, Vergleich, Founder-Offer, Lead-Formulare): Verantwortlicher ist Strattons Oakmont LLC. Diese Erklärung beschreibt diese Verarbeitungen.
Kundeninstanzen (Tenants): Personenbezogene Daten, die ein Kunde in seiner eigenen Instanz verarbeitet (z. B. Leads, Kontakte, Termine, Gesprächsaufzeichnungen), werden ausschließlich im Auftrag und nach Weisung des jeweiligen Kunden verarbeitet. Strattons Oakmont LLC ist insoweit Auftragsverarbeiterin nach Art. 28 DSGVO bzw. Art. 9 revDSG; der Kunde ist Verantwortlicher. Einzelheiten regelt der Auftragsverarbeitungsvertrag (AVV), den Kunden jederzeit digital in der Administration abschließen können.

3. Konkrete Verarbeitungen auf den öffentlichen Seiten

3.1 Bereitstellung der Website / Server-Logfiles

Beim Aufruf verarbeitet unser Hosting (Cloudflare Workers, EU-Edge) automatisch technische Verbindungsdaten: IP-Adresse (gekürzt/anonymisiert, sobald technisch möglich), Zeitpunkt, User-Agent, Referrer, angefragte URL, HTTP-Statuscode.
Zweck: technische Bereitstellung, Missbrauchsabwehr, IT-Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, störungsfreien Betrieb).
Speicherdauer: maximal 30 Tage, danach Löschung/Anonymisierung. Bei einem konkreten Sicherheitsvorfall behalten wir uns eine begrenzte Verlängerung zur Aufklärung ausdrücklich vor.

3.2 Login / Authentifizierung

Bei der Anmeldung verarbeiten wir E-Mail-Adresse, Passwort-Hash sowie ggf. einen zweiten Faktor (TOTP, WebAuthn/Passkey) bzw. Trust-Marker für vertraute Geräte.
Zweck: Zugangssicherung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung); für MFA zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).
Speicherdauer: für die Dauer des Vertragsverhältnisses; Sicherheits-/Anmeldeprotokolle max. 90 Tage.

3.3 Social-Login (Google, Apple)

Auf Login-/Auth-Seiten stehen Anmeldungen über Google und Apple zur Verfügung. Beim Klick auf eine dieser Optionen werden Sie zum jeweiligen Anbieter geleitet; nach erfolgreicher Anmeldung erhalten wir von diesem: E-Mail-Adresse, Name (soweit freigegeben) sowie eine anbietereigene Nutzer-ID. Die Übermittlung erfolgt über den technischen Auth-Broker der Plattform.
Zweck: Kontenerstellung und -bindung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Datenschutzerklärungen der Anbieter (Google LLC, Apple Inc.) gelten zusätzlich.
Speicherdauer: für die Dauer des Kontos; bei Widerruf/Löschung gemäß Ziffer 7.

3.4 Lead-Formulare (Vergleich-Anfrage, Vergleich-Report)

Auf /vergleich-anfrage und /vergleich-report verarbeiten wir die freiwillig angegebenen Felder (Name, Firma, E-Mail, Telefon, Teamgröße, Rolle, Anliegen, freier Nachrichtentext, optionaler Newsletter-Opt-in). Zusätzlich verarbeiten wir zur Missbrauchsabwehr einen Honeypot, das ALTCHA-Challenge-Token sowie UTM-Parameter (Herkunft der Kampagne).
Zweck: Beantwortung der Anfrage, Zusendung des angeforderten Reports, ggf. Kontaktaufnahme durch Vertrieb. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung); für Newsletter-Opt-in Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerruflich).
Empfänger: ActiveCampaign LLC (Postmark, USA) für den E-Mail-Versand; Grenzenlos Limited (IE) als EU-Vertretung und zentrale Ansprechpartnerin für Betroffenenanfragen (siehe Ziffer 5).
Speicherdauer: Lead bis Abschluss/Abbruch der Kontaktstrecke, danach max. 24 Monate; bei Vertragsabschluss gelten längere handels-/steuerrechtliche Fristen (bis zu 10 Jahre, § 147 AO / OR 958f).

3.5 Kontaktaufnahme per E-Mail

Bei Kontakt an oakmont-strattons@proton.me verarbeiten wir die von Ihnen übermittelten Inhalte zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO. Speicherdauer: bis zum Ende der Bearbeitung, ggf. plus gesetzliche Aufbewahrungsfristen.

3.6 Cookies und lokale Speichermechanismen

Diese öffentlichen Seiten setzen keine Tracking-, Marketing- oder Analyse-Cookies und binden keine externen Font-CDNs, Analytics- oder Consent-Banner ein. Wir verwenden ausschließlich technisch notwendige Speichermechanismen:

sb-<ref>-auth-token (localStorage): Supabase-Session nach Login — technisch notwendig.
pvb:active-org (localStorage): aktive Organisation nach Login — technisch notwendig.
pvb:passkey-verified (sessionStorage): Marker für aktive Passkey-Session — technisch notwendig.
oauth_redirect_to (sessionStorage): Ziel-URL nach OAuth-Rückkehr — technisch notwendig.
Theme-Präferenz (localStorage): Hell-/Dunkelmodus.
Versionsbanner-Marker (localStorage): einmalige Ausblendung eines Hinweisbanners.

Da ausschließlich technisch notwendige Mechanismen zum Einsatz kommen, ist keine Einwilligung nach § 25 Abs. 1 TDDDG (DE) bzw. Art. 45c FMG (CH) erforderlich (Ausnahme § 25 Abs. 2 Nr. 2 TDDDG).

4. Hosting / Speicherort

Hauptdatenhaltung und -verarbeitung erfolgen in Deutschland (Region Frankfurt am Main). Eine Verarbeitung in der Schweiz ist je nach gewählten Datenschutz- bzw. EU-AI-Act-Einstellungen und je nach eingesetztem Modell als zusätzliche Option vorgesehen.

Datenbank und Objektspeicher werden bei Supabase Inc. in der Europäischen Union (Region Frankfurt am Main) betrieben. Anwendungs-Frontend und Edge-Logik laufen auf dem Cloudflare-Workers-Netz, mit EU-Edge-Präferenz; US-Points-of-Presence können bei Ausfällen einspringen. Transaktions-E-Mails werden über Postmark (ActiveCampaign LLC, USA) versandt.

5. Empfänger / Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Auftragsverarbeiter ein. Alle Verarbeiter sind vertraglich nach Art. 28 DSGVO bzw. Art. 9 revDSG gebunden.

Empfänger	Zweck	Sitz	Rechtsgrundlage Drittland
Supabase Inc.	Datenbank, Auth, Storage (EU-Region)	USA (Speicherort EU)	DPF-zertifiziert
Cloudflare Inc.	Edge-Runtime, CDN, DDoS-Schutz	USA (Edge in EU)	DPF-zertifiziert
ActiveCampaign LLC (Postmark)	Transaktions-E-Mail-Versand	USA	DPF-zertifiziert
Google LLC	Optionaler Social-Login (nur bei Nutzung)	USA	DPF-zertifiziert
Apple Inc.	Optionaler Social-Login (nur bei Nutzung)	USA	DPF-zertifiziert
Grenzenlos Limited	EU-Vertretung, zentrale Ansprechpartnerin für Betroffenenanfragen aus EU und Schweiz	Irland	EU/EWR — kein Drittlandtransfer

6. Übermittlung in Drittländer (USA)

Anbieter der Plattform ist eine Gesellschaft mit Sitz in den USA. Soweit im Rahmen von Betrieb, Support und Auftragsverarbeitung ein Zugriff aus den USA erfolgt, gelten:

Für die oben genannten DPF-zertifizierten Empfänger: Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Die aktuelle Zertifizierungsliste ist einsehbar unter dataprivacyframework.gov.
Für Strattons Oakmont LLC selbst (aktuell keine DPF-Zertifizierung): Übermittlung auf Grundlage der Standardvertragsklauseln der EU-Kommission (Modul 3/4, Durchführungsbeschluss (EU) 2021/914) in Verbindung mit einem Transfer-Impact-Assessment sowie den intern getroffenen technischen und organisatorischen Zusatzmaßnahmen (Verschlüsselung, strikte Rollen- und Zugriffskontrolle, EU-Datenlage).

Die Grenzenlos Limited hat ihren Sitz in Irland (EU/EWR); für die Einbindung als EU-Vertretung und Ansprechpartnerin findet daher keine Drittlandübermittlung statt.

7. Betroffenenrechte

Sie haben — vorbehaltlich der jeweiligen gesetzlichen Voraussetzungen — folgende Rechte:

Auskunft (Art. 15 DSGVO / Art. 25 revDSG)
Berichtigung (Art. 16 DSGVO / Art. 32 revDSG)
Löschung (Art. 17 DSGVO / Art. 32 Abs. 2 lit. c revDSG)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO / Art. 28 revDSG)
Widerspruch (Art. 21 DSGVO) und Widerruf erteilter Einwilligungen
Nicht-automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO / Art. 21 revDSG)

Ausübung per E-Mail an oakmont-strattons@proton.me. Für personenbezogene Daten innerhalb einer Kundeninstanz ist der jeweilige Kunde Ihr erster Ansprechpartner.

8. Einsatz von KI-Systemen (EU-KI-Verordnung / EU AI Act)

Die Plattform stellt KI-gestützte Hilfsfunktionen bereit (z. B. Zusammenfassungen von Gesprächen und E-Mails, Textvorschläge, Gesprächscoaching, Extraktion von Kontaktdaten, Lead-Bewertung). Wir informieren hierüber transparent nach Art. 50 der Verordnung (EU) 2024/1689 (KI-VO):

Kennzeichnung: KI-erzeugte oder KI-bearbeitete Inhalte sind in der Oberfläche als solche gekennzeichnet. Sie interagieren an diesen Stellen mit einem KI-System, nicht mit einem Menschen.
Zweck und Rolle: Die Funktionen sind Assistenzsysteme. Sie unterstützen die Vorbereitung von Entscheidungen; die Entscheidung selbst trifft stets ein Mensch. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO statt.
Keine verbotenen Praktiken: Es erfolgen keine Emotionserkennung am Arbeitsplatz zu Bewertungszwecken, kein Social Scoring, keine biometrische Kategorisierung und keine verdeckte Beeinflussung im Sinne von Art. 5 KI-VO.
Risikoeinstufung: Die bereitgestellten Funktionen sind nach unserer Bewertung KI-Systeme mit begrenztem Risiko (Transparenzpflichten). Setzt ein Kunde sie abweichend in einem Hochrisiko-Kontext ein (z. B. Personalauswahl), ist er insoweit Anbieter/Betreiber im Sinne der KI-VO und für die Pflichtenerfüllung selbst verantwortlich.
Datenverarbeitung: Eingaben werden ausschließlich zur Erbringung der jeweiligen Funktion verarbeitet. Eine Nutzung von Kundendaten zum Training von Basismodellen findet nicht statt und ist vertraglich mit den eingesetzten KI-Dienstleistern ausgeschlossen.
KI-Kompetenz (Art. 4 KI-VO): Kunden erhalten in der Anwendung Hinweise zu Grenzen, typischen Fehlern und zur Prüfpflicht der Ergebnisse.
Souveränitätsmodus: Instanzen können auf „EU/CH-only“ gestellt werden. In diesem Modus werden ausschließlich KI-Modelle mit Verarbeitung in der EU eingesetzt; Modelle mit Verarbeitung in den USA werden serverseitig ausgeschlossen. Die eingesetzten Anbieter sind im Subprozessor-Register ausgewiesen.
Protokollierung und Widerspruch: KI-Aufrufe werden zu Zwecken der Nachvollziehbarkeit und Missbrauchserkennung protokolliert. Einzelne KI-Funktionen können je Instanz und je Nutzer deaktiviert werden.

8a. Begriffe und Abgrenzungen (einheitliche Fassung)

Die folgenden Erläuterungen sind wortgleich mit den Fassungen unter Rechtliche Hinweise und in den Nutzungsbedingungen.

EU AI Act — worum es geht

Die KI-Verordnung der EU (Verordnung (EU) 2024/1689, „EU AI Act“ bzw. „KI-VO“) regelt das Inverkehrbringen und den Einsatz von KI-Systemen risikobasiert. Sie verbietet bestimmte Praktiken (Art. 5 KI-VO), stellt an Hochrisiko-Systeme (Anhang III KI-VO) besondere Anforderungen und verlangt für alle übrigen Systeme vor allem Transparenz (Art. 50 KI-VO): Menschen sollen erkennen können, wann sie mit KI interagieren oder wann Inhalte maschinell erzeugt wurden.

Diese Anwendung ist ein Vertriebs- und Kommunikationswerkzeug. Sie trifft keine automatisierten Entscheidungen über Beschäftigungsverhältnisse, Kreditwürdigkeit, Zugang zu Bildung oder vergleichbare rechtlich erhebliche Sachverhalte. KI-Ausgaben sind Vorschläge, die Menschen prüfen, ändern oder verwerfen können; sie sind in der Oberfläche gekennzeichnet.

DSGVO und revDSG — Kurzfassung und Abgrenzung

Datenschutzrecht — in der EU die DSGVO, in der Schweiz das revidierte DSG (revDSG) — regelt, wer personenbezogene Daten auf welcher Rechtsgrundlage verarbeiten darf, wie lange, mit welcher Transparenz und mit welchen Rechten der betroffenen Personen. Es gilt unabhängig davon, ob KI im Spiel ist.

Kurze Abgrenzung: Datenschutzrecht fragt „Darf diese Stelle diese Daten zu diesem Zweck verarbeiten?“. Der AI Act fragt „Darf dieses System so gebaut und eingesetzt werden, und ist sein Einsatz erkennbar?“. Beide gelten nebeneinander; die Erfüllung des einen ersetzt das andere nicht.

Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Für die in einer Kundeninstanz eingestellten Daten ist der Betreiber dieser Instanz datenschutzrechtlich Verantwortlicher. Der Plattformanbieter handelt insoweit als Auftragsverarbeiter nach Art. 28 DSGVO bzw. Art. 9 revDSG.

Grundlage ist der Auftragsverarbeitungsvertrag (AVV), der in der Anwendung digital abgeschlossen werden kann; der Abschlussstand ist jederzeit einsehbar.

Wirkungseinschätzung statt Emotionserkennung

Die Gesprächsunterstützung gibt Hinweise darauf, wie Aussagen im Gespräch wirken — etwa Zögern, Einwand, Rückfrage oder Kaufsignal. Das ist eine sprachliche Wirkungseinschätzung auf Basis des gesprochenen Inhalts, keine objektive Emotionserkennung, keine biometrische Analyse und keine Diagnose. Stimmmerkmale, Gesichtsdaten und physiologische Merkmale werden nicht ausgewertet.

Die Einschätzung bezieht sich ausschließlich auf Beiträge des Gesprächsgegenübers, nicht auf die der Mitarbeitenden. Für Mitarbeitende werden keine Emotions- oder Stimmungsmerkmale abgeleitet, angezeigt oder gespeichert. Damit wird die nach Art. 5 KI-VO untersagte Emotionserkennung am Arbeitsplatz vermieden und der Beschäftigtendatenschutz gewahrt.

Transkription und Aufzeichnung

Bei der Live-Unterstützung wird der Ton lediglich flüchtig verarbeitet, um das gesprochene Wort in Text zu überführen. Es entsteht dabei keine dauerhafte Audiodatei; gespeichert werden ausschließlich der Text sowie daraus abgeleitete Hinweise.

Eine dauerhafte Aufzeichnung entsteht nur, wenn der Betreiber der Instanz die Gesprächsaufzeichnung ausdrücklich aktiviert. Dafür bestehen gesonderte Einwilligungs- und Ansageschritte; die Rechtslage in Deutschland, Österreich und der Schweiz verlangt regelmäßig die Einwilligung aller Beteiligten.

Keine Rechtsberatung

Diese Erläuterungen dienen der Transparenz und der Abgrenzung von Begriffen und Anwendungsbereichen. Sie sind ausdrücklich keine Rechtsberatung und ersetzen keine Prüfung des Einzelfalls durch qualifizierte Beraterinnen und Berater.

Maßgeblich sind die jeweils gültigen Fassungen von Datenschutzerklärung, Nutzungsbedingungen und Auftragsverarbeitungsvertrag.

9. Beschwerderecht bei Aufsichtsbehörden

Betroffene Personen mit Sitz in der EU können sich an die Datenschutzaufsichtsbehörde ihres gewöhnlichen Aufenthaltsorts oder des Orts der behaupteten Verletzung wenden.
Betroffene Personen mit Sitz in der Schweiz können sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Verarbeitungen, Empfänger oder Rechtsgrundlagen ändern. Die jeweils aktuelle Fassung ist unter dieser URL abrufbar.

Version 2.4 · Stand: September 2026.

Impressum · Nutzungsbedingungen · Cookie-Richtlinie · Open-Source-Lizenzen

Ansprechpartner: Grenzenlos Limited (Dublin) · mail@grenzenlos.ie