Datenschutzerklärung

Version 2026-10-06-v1 · Stand: 06.10.2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
ELMACO, Marco Thiele
Anrather Straße 113
47877 Willich
E-Mail: info@clappo.de
Telefon: +49 2154 8886881

2. Besuch dieser Website (clappo.de)

Beim Aufruf von clappo.de verarbeitet unser Server automatisch technische Daten, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Abrufs, aufgerufene Seite, übertragene Datenmenge, Referrer-URL sowie Browsertyp und Betriebssystem (Server-Logfiles). Das ist erforderlich, um die Website auszuliefern und ihre Sicherheit und Stabilität zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden spätestens nach 14 Tagen gelöscht, sofern ihre weitere Aufbewahrung nicht zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich ist.

Die Website wird bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein (Deutschland) betrieben. Das gilt auch für den Anwendungsserver des Portals. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

Die Schriftarten dieser Website werden lokal von unserem Server geladen. Es findet keine Verbindung zu Servern von Google oder anderen Schriftanbietern statt. Die Website setzt keine Cookies, verwendet kein Tracking und keine Analyse- oder Werbedienste.

3. Kontakt- und Plananfragen

Wenn Sie über das Formular bei den Preisen einen Plan anfragen, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, optional Firma und Nachricht sowie den gewählten Plan), um Ihre Anfrage zu beantworten und gegebenenfalls einen Testzugang einzurichten. Die Anfrage wird an unseren Portal-Server (app.clappo.de) übertragen und von dort per E-Mail an unser Vertriebspostfach weitergeleitet; der E-Mail-Versand erfolgt über Brevo (Sendinblue GmbH, Berlin). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).

Ihre Angaben werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4. Kontakt per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben ausschließlich zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO) und löschen sie, sobald sie hierfür nicht mehr erforderlich sind.

5. Ansprache von Interessenten und Testzugänge

Dieser Abschnitt betrifft Personen, die uns als Interessenten anfragen oder die wir wegen eines erkennbaren geschäftlichen Bezugs zu unserem Angebot ansprechen, und dient zugleich der Information nach Art. 14 DSGVO.

• Welche Daten: Name, Firma, berufliche E-Mail-Adresse, gegebenenfalls Telefonnummer und Position, Notizen zu Gesprächen, der Verlauf unserer E-Mails, Termine für Rückmeldungen und der Status eines Testzugangs.
• Woher die Daten stammen: von Ihnen selbst (Anfrage, Gespräch, Antwort auf unsere Nachricht) oder aus öffentlich zugänglichen beruflichen Quellen, etwa Ihrer Website, Ihrem Impressum oder Ihrem beruflichen Profil in einem Netzwerk.
• Wofür: um Ihre Anfrage zu beantworten, Ihnen auf Wunsch einen Testzugang einzurichten, Ihnen ein Angebot zu machen und unsere Kommunikation nachzuhalten.
• Rechtsgrundlage: bei Ihrer Anfrage Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), bei unserer Ansprache Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Gewinnung von Geschäftskunden). Werbliche E-Mails senden wir nur, wenn Sie uns zuvor selbst angefragt oder ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG).
• Testzugang: Ein Testzugang wird nur auf Ihren Wunsch eingerichtet, ist zeitlich befristet und enthält ausschließlich fiktive Demodaten.
• Empfänger: die in Punkt 15 genannten Dienstleister, insbesondere für Hosting und E-Mail-Versand. Eine Weitergabe zu Werbezwecken an Dritte findet nicht statt.
• Speicherdauer: Wir löschen Ihre Daten, wenn sie nicht mehr benötigt werden, spätestens 24 Monate nach dem letzten Kontakt, es sei denn, Sie sind Kunde geworden oder gesetzliche Aufbewahrungsfristen gelten.
• Widerspruch: Sie können der Verwendung Ihrer Daten für Direktwerbung jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO), formlos per E-Mail an info@clappo.de oder durch Antwort auf unsere Nachricht. Wir tragen Ihre Adresse dann in eine Sperrliste ein, damit wir Sie nicht erneut ansprechen. Dafür speichern wir die Adresse weiter (Art. 6 Abs. 1 lit. c und f DSGVO).

6. Nutzung des Portals: Zweck der Datenverarbeitung

Wir verarbeiten Ihre personenbezogenen Daten ausschließlich zu folgenden Zwecken:

• Bereitstellung und Betrieb des Portals
• Authentifizierung und Absicherung Ihres Zugangs
• Verwaltung und Abwicklung von Bildfreigabe-Prozessen
• Kommunikation mit Ihnen im Rahmen der Portal-Nutzung
• Erfüllung gesetzlicher Aufbewahrungspflichten

7. Wer für Inhalte im Portal verantwortlich ist

Unsere Kunden (zum Beispiel Agenturen) nutzen das Portal, um Dateien mit ihren eigenen Kunden, Mitarbeitern und Dienstleistern abzustimmen. Für die Daten, die ein Kunde in seinem Kundenbereich verarbeitet (hochgeladene Dateien, Kommentare, Freigaben, eingeladene Personen), ist der jeweilige Kunde Verantwortlicher im Sinne der DSGVO. Wir verarbeiten diese Daten in seinem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO).

Wenn Sie als Freigeber oder Mitarbeiter eines Kunden in das Portal eingeladen wurden, wenden Sie sich mit Anfragen zu Ihren Daten bitte zuerst an das Unternehmen, das Sie eingeladen hat. Wir unterstützen es bei der Beantwortung. Für die Daten unserer Kunden selbst (Vertragspartner, Rechnungsdaten, Konten der Admins) und für den Besuch dieser Website sind wir Verantwortlicher.

8. Verarbeitete Daten

Im Rahmen der Portal-Nutzung verarbeiten wir folgende Daten:

• Kontaktdaten: Vor- und Nachname, E-Mail-Adresse, Rolle im Portal
• Zugangsdaten: Passwort-Hash (nicht das Passwort selbst), zeitlich begrenzt gültige Login-Links, Session-Token, Login-Zeitstempel
• Nutzungsdaten: Von Ihnen hochgeladene oder bearbeitete Dateien (Bilder, Videos, PDFs, Office-Dokumente), Kommentare und Kommentar-Anhänge, Freigabestatus, Aktivitätsprotokoll
• Technische Daten: IP-Adresse (nur temporär zur Missbrauchsabwehr, siehe Punkt 11), Browsertyp, Betriebssystem

9. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Portal-Zugang)
• Art. 6 Abs. 1 lit. c DSGVO — Gesetzliche Verpflichtung (z.B. Handels- und Steuerrecht)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (IT-Sicherheit, Missbrauchsabwehr, Ansprache und Betreuung von Interessenten)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z.B. für optionale Funktionen)

10. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen (z.B. 6/10 Jahre nach HGB/AO) es vorschreiben.

Nach Vertragsende werden Zugangsdaten deaktiviert. Kunden können ihre Daten noch 30 Tage lang exportieren. Danach werden die projektbezogenen Daten endgültig gelöscht, sofern keine Aufbewahrungspflicht entgegensteht. In Sicherungen sind sie bis zu 30 weitere Tage enthalten (siehe Punkt 13).

11. IP-Adressen und Sicherheit

Zur Abwehr von Angriffen (z.B. Brute-Force auf Login) werden IP-Adressen kurzzeitig im Arbeitsspeicher gehalten. Diese Daten werden nicht persistent gespeichert und automatisch nach spätestens einer Stunde vergessen.

Für die Fehleranalyse setzen wir Sentry ein. Dabei werden ausschließlich anonymisierte Kennungen (User-UUID + Rolle) sowie technische Fehlerdaten übertragen. Personenbezogene Daten wie Name, E-Mail-Adresse oder IP werden nicht an Sentry übermittelt. Sentry wird in der EU (Frankfurt) gehostet. Adressen von Benachrichtigungs-Webhooks sowie Parameter in aufgerufenen Adressen werden vor der Übermittlung entfernt oder unkenntlich gemacht.

12. Umwandlung von Office-Dokumenten

Damit Office-Dokumente (Word, PowerPoint, Excel) im Portal angezeigt und kommentiert werden können, wandeln wir sie in PDF um. Dafür übertragen wir die Datei an CloudConvert (Lunaweb GmbH, Nördliche Münchner Straße 47, 82031 Grünwald, Deutschland). CloudConvert verarbeitet die Datei auf Servern in Deutschland und löscht sie nach der Umwandlung, spätestens nach 24 Stunden. Die umgewandelte Datei speichern wir in unserem Dateispeicher. Bilder, Videos und PDFs werden nicht an CloudConvert übertragen.

13. Datensicherung

Damit Daten nach einem technischen Fehler wiederhergestellt werden können, sichern wir die Datenbank des Portals jede Nacht. Die Sicherung wird über GitHub Actions (GitHub, Inc., USA) erstellt und in einem geschäftlichen Microsoft-365-Speicher (OneDrive, Microsoft Ireland Operations Ltd., Dublin) abgelegt. Hochgeladene Dateien sichern wir zusätzlich regelmäßig in denselben Speicher. Sicherungen werden nach 30 Tagen gelöscht. Unabhängig davon hält unser Datenbank-Anbieter Supabase tägliche Sicherungen für 7 Tage vor.

Daten, die im Portal gelöscht wurden, können deshalb bis zu 30 Tage in Sicherungen enthalten sein. Sie werden dort nicht mehr genutzt und mit Ablauf der Frist gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO (Sicherheit der Verarbeitung).

14. Benachrichtigungen an Slack und Microsoft Teams

Admins eines Kunden können einstellen, dass das Portal bei neuen Dateien, Versionen, Kommentaren und Entscheidungen eine Nachricht an einen Kanal in Slack oder Microsoft Teams sendet. Die Funktion ist standardmäßig ausgeschaltet. Ist sie eingeschaltet, übermitteln wir an die vom Kunden hinterlegte Adresse: die Art des Ereignisses, den Projektnamen, den Dateinamen, bei Kommentaren die ersten 80 Zeichen des Kommentartexts sowie einen Link ins Projekt, der nur nach Anmeldung funktioniert.

Empfänger ist der Kunde über seinen eigenen Arbeitsbereich bei Slack (Slack Technologies) bzw. Microsoft. Für diese Übermittlung und die weitere Verarbeitung dort ist der Kunde verantwortlich. Es gelten seine Vereinbarungen mit Slack bzw. Microsoft.

15. Auftragsverarbeiter und Empfänger

Wir setzen folgende Dienstleister auf Basis von Auftragsverarbeitungsverträgen (AVV) ein:

• Hosting: Hetzner Online GmbH, Gunzenhausen (Rechenzentrum Falkenstein, Deutschland)
• Datenbank und Dateispeicher: Supabase, Inc. (Rechenzentrum Frankfurt am Main, EU)
• Umwandlung von Office-Dokumenten: CloudConvert, Lunaweb GmbH, Grünwald (Server in Deutschland)
• E-Mail-Versand: Brevo (Sendinblue GmbH, Berlin)
• Fehler-Monitoring: Sentry (Functional Software, Inc., Server-Standort EU/Frankfurt)
• Wartung und Betreuung der Systeme: ein externer IT-Dienstleister mit Sitz in Deutschland
• Datensicherung: Microsoft Ireland Operations Ltd., Dublin (Microsoft 365, OneDrive) und GitHub, Inc., USA (GitHub Actions)
• Zahlungsabwicklung (nur bei Buchung eines Plans): Stripe (Stripe Payments Europe Ltd., Dublin, Irland)

16. Übermittlung in Drittländer

Einige unserer Dienstleister haben ihren Sitz in den USA (Supabase, Sentry, GitHub). Die Daten des Portals liegen in der EU. Ein Zugriff aus den USA, etwa für Support oder Wartung, ist dennoch nicht ausgeschlossen. Sentry und GitHub sind unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO). Mit Supabase sind EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

17. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde, z. B. bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf

Zur Ausübung Ihrer Rechte wenden Sie sich bitte formlos an die in Punkt 1 genannte E-Mail-Adresse. Diese Rechte gelten gleichermaßen für die Website und das Portal.

18. Cookies und Session-Speicher

Das Portal verwendet ausschließlich technisch notwendige Session-Cookies zur Aufrechterhaltung Ihrer Anmeldung. Es werden keine Tracking-Cookies, kein Werbe-Tracking und keine Analyse-Tools eingesetzt.

19. Kontakt und AGB

Weitere Informationen zu den vertraglichen Grundlagen finden Sie in unseren Allgemeinen Geschäftsbedingungen.