RECHTLICHES
Datenschutzerklärung
Stand: 01. Mai 2026
1. Verantwortlicher
Weboa – Webdesign & Marketing
Abdulhamit Özdemir
Planckstraße 9
71665 Vaihingen an der Enz, Deutschland
E-Mail: info@weboa.de
Telefon: +49 173 905 3339
USt-IdNr: DE459371712
Klientrix ist ein Produkt von Weboa.
2. Geltungsbereich
Diese Erklärung gilt für die Webseite klientrix.de (Marketing-Seite) und die Web-Anwendung app.klientrix.de (SaaS-Plattform). Beide werden auf identischer Infrastruktur in Deutschland betrieben.
3. Server-Logs & Hosting
Beim Aufruf der Seiten werden technisch notwendige Server-Logs erfasst: IP-Adresse, User-Agent, Referrer, Datum und Uhrzeit, abgerufene URL. Diese Daten dienen ausschließlich der Fehleranalyse und Abwehr missbräuchlicher Zugriffe (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an stabilem Betrieb). Die Logs werden nach 14 Tagen automatisch gelöscht.
4. Cookies
Auf der Marketing-Seite (klientrix.de) werden keine Cookies gesetzt.
In der App (app.klientrix.de) werden ausschließlich technisch notwendige Cookies
verwendet — ein Session-Cookie zur Authentifizierung sowie ein Workspace-Cookie zur
Zuweisung des aktiven Arbeitsbereichs. Beide Cookies sind HttpOnly und
SameSite=Lax, werden nicht an Dritte weitergegeben und 30 Tage nach
dem letzten Besuch invalidiert.
5. Konto-Daten
Bei der Registrierung erheben wir: Name, E-Mail-Adresse, Workspace-Name und ein gewähltes Passwort (gespeichert als bcrypt-Hash, nicht im Klartext). Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
6. Sub-Prozessoren
Wir setzen folgende Auftragsverarbeiter mit eigenem AVV nach Art. 28 DSGVO ein:
| Anbieter | Zweck | Standort |
|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen | Server-Hosting, Datenbank, Backup-Storage | Deutschland (Falkenstein) |
| Resend (Anti-Capitalist Software Ltd.) 2261 Market Street #5039, San Francisco | Versand transaktionaler System-Mails (Verify, Password-Reset). EU-Region aktiv — Daten werden ausschließlich in der EU verarbeitet. | EU (Irland) |
| Anthropic PBC (optional) 548 Market Street, San Francisco | KI-gestützte Notiz-Zusammenfassung — nur wenn explizit aktiviert. Keine Trainingsdaten-Nutzung (Zero-Retention). | USA (mit SCCs) |
| Stripe Payments Europe Ltd. (optional) 1 Grand Canal Street Lower, Dublin | Zahlungsabwicklung — nur wenn der Coach Stripe in seinen Klientrix-Einstellungen aktiviert. | EU (Irland) |
| Google Ireland Ltd. (optional) Gordon House, Dublin | Google Calendar Synchronisation via OAuth — nur bei aktiver Verbindung. | EU (Irland) |
| Twilio Ireland Ltd. (optional) 3 Dublin Landings, North Wall Quay | SMS-Termin-Erinnerungen — nur wenn der Coach Twilio aktiviert. | EU (Irland) |
| Plausible Insights OÜ Tartu, Estonia | Cookie- und PII-freie Reichweitenmessung der Marketing-Seite. Keine personenbezogenen Daten. | EU (Estland) |
Mit allen Sub-Prozessoren bestehen Auftragsverarbeitungsverträge. Anbieter mit Sitz außerhalb der EU werden auf Basis der EU-Standardvertragsklauseln (SCCs) eingebunden.
7. Klienten-Daten (B2B-Auftragsverarbeitung)
Wenn du Klientrix als Coach oder Berater einsetzt und Daten deiner Klienten eingibst, sind wir Auftragsverarbeiter und du der Verantwortliche im Sinne der DSGVO. Den dazugehörigen Auftragsverarbeitungsvertrag findest du unter /avv und kannst ihn nach Konto-Anmeldung ebenfalls digital unterzeichnen.
8. Speicherdauer
- Server-Logs: 14 Tage
- Konto-Daten: bis 30 Tage nach Konto-Löschung
- Backup-Snapshots: 14 Tage rollierend
- Buchhaltungsrelevante Daten: 10 Jahre (§ 147 AO)
9. Technische Maßnahmen
- TLS 1.3 für alle Verbindungen (HSTS preload)
- AES-256 für Datenverschlüsselung at-rest
- bcrypt für Passwort-Hashes
- Verschlüsselung sensibler Konfiguration (SMTP-Passwörter, OAuth-Tokens) mit projektweitem Schlüssel
- Tägliche automatisierte Backups (14 Tage Retention)
- Fail2Ban + UFW + Hetzner-Firewall
- SSH ausschließlich per Public-Key, kein Root-Login
10. Deine Rechte
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO) — vollständiger JSON-Export jederzeit in den Konto-Einstellungen
- Widerspruch (Art. 21 DSGVO)
- Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)
Anfragen bitte per E-Mail an info@weboa.de. Wir antworten innerhalb von 30 Tagen.
11. Aufsichtsbehörde
Zuständige Aufsicht ist der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart (baden-wuerttemberg.datenschutz.de).
Diese Erklärung deckt den aktuellen technischen Stand. Bei Änderungen veröffentlichen wir die neue Fassung mit aktualisiertem Stand-Datum.