Datenschutzerklärung

1. Verantwortlicher

Marco Schwemmlein
Buchenweg 15
42799 Leichlingen
Deutschland
E-Mail: hello@coldleads.net

Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Anfragen richtest du an die oben genannte Adresse.

2. Aufruf dieser Website

Beim Abruf einer Seite überträgt dein Browser technisch notwendige Daten an unseren Hoster. Diese werden in Server-Logfiles verarbeitet:

IP-Adresse des anfragenden Geräts
Datum und Uhrzeit des Abrufs
Adresse der abgerufenen Seite und übertragene Datenmenge
Browser- und Betriebssystemkennung, verweisende Adresse

Zweck und Rechtsgrundlage: Auslieferung der Seiten, Stabilität und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb der Website. Die Logdaten werden nicht mit anderen Datenquellen zusammengeführt und nicht zur Wiedererkennung einzelner Personen ausgewertet.

3. Cookies, Tracking und Einwilligung

Diese Website setzt keine Cookies, die eine Einwilligung erfordern.Sie bindet keine Analyse-, Werbe- oder Social-Media-Dienste ein und lädt keine Skripte von Dritten. Schriftarten liegen auf unserem eigenen Server; es besteht keine Verbindung zu Google Fonts oder einem vergleichbaren Dienst. Deshalb gibt es hier auch kein Einwilligungsbanner — es gäbe nichts, worin einzuwilligen wäre.

Sollte sich das ändern — etwa durch Reichweitenmessung oder Conversion-Tracking für Anzeigen —, wird zuvor eine Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO eingeholt und dieser Abschnitt entsprechend geändert.

4. Kontakt- und Demoanfragen

Wenn du uns über das Formular auf /demo, über /kontakt oder per E-Mail schreibst, verarbeiten wir die Angaben, die du machst: Name, Firma, E-Mail-Adresse, optional Telefonnummer sowie die Angaben zu Branche, Region und deinem Anliegen. Das Formular legt die Anfrage nicht in einer Datenbank ab: es leitet sie per E-Mail an uns weiter und schickt dir eine Eingangsbestätigung, beides über unseren E-Mail-Dienstleister Brevo (siehe Abschnitt 5).

Gegen massenhafte Anfragen speichern wir zu jeder Anfrage einen nicht umkehrbaren Hashwert deiner IP-Adresse und deiner E-Mail-Adresse samt Zeitpunkt. Damit begrenzen wir die Zahl der Anfragen je Anschluss und Stunde. Diese Einträge löschen wir nach 24 Stunden; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Zweck und Rechtsgrundlage: Beantwortung deiner Anfrage und Durchführung vorvertraglicher Maßnahmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen ohne Vertragsbezug Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Wir bewahren die Anfrage auf, solange sie zur Bearbeitung und für Rückfragen nötig ist, und löschen sie spätestens nach zwölf Monaten — sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Die Angabe der Daten ist freiwillig; ohne sie können wir aber nicht antworten.

4a. Konto, Bezahlung und Rechnungen

Wenn du in der Anwendung ein Konto anlegst oder etwas kaufst, verarbeiten wir deine E-Mail-Adresse, dein Passwort (nur als gesalzener Hash, nie im Klartext), den Namen deines Workspace, deine Rolle darin, Rechnungsdaten (Firma, Anschrift, USt-IdNr.) sowie Betrag, Zeitpunkt und Status deiner Zahlungen. Karten- und Kontodaten verarbeitet ausschließlich unser Zahlungsdienstleister Stripe; wir sehen sie nicht.

Zweck und Rechtsgrundlage: Durchführung des Vertrags, Abrechnung und Erfüllung steuerrechtlicher Pflichten — Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Speicherdauer: Kontodaten, solange dein Konto besteht. Rechnungen und die dazugehörigen Buchungsdaten bewahren wir zehn Jahre auf (§ 147 AO, § 14b UStG); sie werden auch dann nicht gelöscht, wenn du dein Konto auflöst.

Cookie: Die Anwendung setzt ein einziges, technisch notwendiges Sitzungs-Cookie, damit du angemeldet bleibst. Es dient keiner Reichweitenmessung und wird nach spätestens 30 Tagen ungültig; dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

Absicherung der Anmeldung

Um dein Konto vor dem Erraten von Passwörtern zu schützen, speichern wir zu jedem Anmeldeversuch einen nicht umkehrbaren Hashwert deiner E-Mail- und IP-Adresse, den Zeitpunkt und ob der Versuch erfolgreich war. Nach fünf Fehlversuchen wird die Anmeldung vorübergehend gesperrt. Für die Bestätigung deiner E-Mail-Adresse, die Anmeldung per Code und das Zurücksetzen des Passworts schicken wir dir Einmalcodes oder -links per E-Mail; gespeichert wird davon nur ein Hashwert. Versuche, Codes und Links löschen wir 24 Stunden nach ihrem Ablauf.

Zweck und Rechtsgrundlage: Sicherheit der Konten und Schutz vor Missbrauch — Art. 6 Abs. 1 lit. f DSGVO sowie Art. 32 DSGVO.

Kostenlose Testphase

Die kostenlose Testphase gibt es einmal je Firmendomain, bei Freemail-Anbietern einmal je E-Mail-Adresse, und nicht für Wegwerfadressen. Um das zu prüfen, speichern wir zur Testphase die E-Mail-Adresse, die daraus abgeleitete Domain bzw. Adresse, den Status und die Laufzeit. Zweck und Rechtsgrundlage: Verhinderung der mehrfachen Inanspruchnahme eines kostenlosen Angebots — Art. 6 Abs. 1 lit. f DSGVO.Speicherdauer: solange der Workspace besteht, für den die Testphase angelegt wurde.

Statt mit Passwort kannst du dich in der Anwendung über dein Google- oder X-Konto anmelden. Das ist freiwillig; die Anmeldung mit E-Mail und Passwort steht immer daneben. Nur wenn du den jeweiligen Knopf wählst, wirst du zum Anbieter weitergeleitet, meldest dich dort an und bestätigst, welche Angaben er an uns übermittelt.

Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland): Wir fragen nur die Berechtigungen openid und email an und erhalten eine Google-Kennung, deine E-Mail-Adresse und die Angabe, ob Google sie bestätigt hat.
X (Twitter International Unlimited Company, One Cumberland Place, Fenian Street, Dublin 2, Irland): X übermittelt deine X-Kennung, Name und Benutzernamen sowie deine bei X bestätigte E-Mail-Adresse; wir verwenden davon nur die Kennung und die E-Mail-Adresse. X verlangt für den Abruf des Profils technisch die Berechtigung, Beiträge zu lesen; wir rufen keine Beiträge ab, veröffentlichen nichts und lesen keine Kontakte.

Zweck: ausschließlich die Anmeldung — dein Konto in der Anwendung zu finden oder anzulegen und mit dem Google- bzw. X-Konto zu verknüpfen. Wir speichern dazu den Anbieter, die Kennung und die E-Mail-Adresse. Weder für Werbung noch zur Profilbildung verwenden wir diese Angaben, und wir geben an Google oder X keine Daten aus der Anwendung weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anmeldung zum Nutzungsvertrag auf dem von dir gewählten Weg). Speicherdauer: solange dein Konto besteht. Daten aus einem abgebrochenen Anmeldevorgang verfallen nach kurzer Zeit.

Google und X verarbeiten die Anmeldung in eigener Verantwortung nach ihren eigenen Datenschutzhinweisen; sie sind keine Auftragsverarbeiter von uns. Beide können Daten an ihre Muttergesellschaften in den USA übermitteln (siehe Abschnitt 6). Hinweise: Datenschutzerklärung von Google, Datenschutzrichtlinie von X.

5. Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit es für den Betrieb nötig ist. Eingesetzt werden:

Dienst	Zweck	Daten	Grundlage
Vercel Inc. San Francisco, USA	Hosting der Website und Auslieferung der Seiten	IP-Adresse, Zeitpunkt, abgerufene Adresse, Browserkennung (Server-Logs)	Art. 6 Abs. 1 lit. f DSGVO — Betrieb und Sicherheit der Website. Drittlandtransfer in die USA auf Grundlage der EU-Standardvertragsklauseln.
Stripe Payments Europe, Ltd. Irland (Konzern: Stripe, Inc., USA)	Zahlungsabwicklung, Rechnungsstellung und Steuerberechnung beim Kauf in der Anwendung	Name, E-Mail-Adresse, Rechnungsanschrift, USt-IdNr., Zahlungsdaten (Karten- und Kontodaten erhält ausschließlich Stripe), Betrag und Zeitpunkt der Zahlung	Art. 6 Abs. 1 lit. b DSGVO — Vertragsdurchführung; Art. 6 Abs. 1 lit. c DSGVO — steuerrechtliche Pflichten. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.
Supabase (Postgres) EU-Region	Datenbank der Anwendung	Daten, die in der Anwendung entstehen — auf der Marketing-Site keine	Art. 6 Abs. 1 lit. b und f DSGVO
Sendinblue SAS (Brevo) Paris, Frankreich	Versand von Transaktions-E-Mails: Anmelde- und Bestätigungscodes, Passwort zurücksetzen, Team-Einladungen, Start der Testphase, Weiterleitung und Eingangsbestätigung von Demo-Anfragen. Keine Newsletter, keine Werbe-E-Mails.	E-Mail-Adresse des Empfängers, Inhalt der jeweiligen E-Mail (bei Demo-Anfragen die Formularangaben), Zeitpunkt und Zustellstatus	Art. 6 Abs. 1 lit. b DSGVO — Durchführung des Vertrags bzw. vorvertraglicher Maßnahmen; Art. 6 Abs. 1 lit. f DSGVO — Absicherung der Anmeldung. Verarbeitung in der EU.

Mit diesen Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Google und X sind bei der Anmeldung über ihr Konto keine Auftragsverarbeiter, sondern eigenständig verantwortlich (Abschnitt 4b). Ein Verkauf von Daten findet nicht statt.

6. Übermittlung in Drittländer

Das Hosting erfolgt über einen Anbieter mit Sitz in den USA, und auch Stripe kann Daten in die USA übermitteln. Wählst du die Anmeldung über Google oder X, können auch diese Anbieter Daten an ihre Muttergesellschaften in den USA übermitteln. Brevo verarbeitet in der EU. Damit ist eine Verarbeitung außerhalb der EU nicht ausgeschlossen. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO bzw. den Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Ein gleichwertiges Schutzniveau kann trotz dieser Garantien nicht in jedem Fall zugesichert werden; insbesondere ist ein Zugriff durch US-Behörden nicht vollständig auszuschließen.

7. Daten im Produkt: Betriebe aus Google Maps

Dieser Abschnitt betrifft nicht deinen Besuch dieser Website, sondern das, was Coldleads als Werkzeug tut. Er steht hier, weil er der Kern der Verarbeitung ist.

7.1 Was verarbeitet wird

Coldleads erhebt zu Betrieben, die bei Google Maps öffentlich eingetragen sind: Name, Anschrift, Telefonnummer, Website, Bewertung und Öffnungszeiten. Ist eine Website hinterlegt, wird zusätzlich technisch geprüft, ob dort ein Impressum verlinkt ist — der Link wird nicht verfolgt und sein Inhalt nicht ausgelesen. Es werden keine Namen von Inhaberinnen und Inhabern, keine E-Mail-Adressen und keine zweiten Rufnummern beschafft.

Bei Einzelunternehmen können diese Angaben personenbezogen sein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

7.2 Anlassbezogene Nutzung statt pauschaler Werbung

Das Bundesverwaltungsgericht hat am 29. Januar 2025 (6 C 3.23) entschieden, dass öffentlich zugängliche Telefonnummern nicht allein auf ein berechtigtes Interesse gestützt für Werbeanrufe verarbeitet werden dürfen, wenn nicht wenigstens eine mutmaßliche Einwilligung nach § 7 UWG vorliegt. Coldleads setzt das im Werkzeug durch: Eine Liste lässt sich erst in den Anrufmodus schalten, wenn für sie ein sachlicher Anlass dokumentiert ist. Diese Begründung wird protokolliert und ist als Nachweis nach Art. 5 Abs. 2 DSGVO und § 7 UWG exportierbar.

7.3 Wer wofür verantwortlich ist

Für das Beschaffen und Vorhalten der Betriebsdaten sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Für die Entscheidung, welche Betriebe angerufen werden und mit welchem Anliegen, ist die jeweilige Nutzerin oder der jeweilige Nutzer verantwortlich; insoweit verarbeiten wir im Auftrag. Mit dem Start des kostenpflichtigen Angebots wird dieser Teil durch einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geregelt, der Bestandteil des Vertrags wird.

7.4 Wenn dein Betrieb betroffen ist

Für Betriebe, deren Daten wir verarbeiten, gibt es eine eigene Seite. Sie nennt die Herkunft der Daten nach Art. 14 DSGVO und nimmt den Widerspruch nach Art. 21 DSGVO über ein Formular entgegen. Sie ist ohne Zugangsdaten erreichbar — ein Widerspruch, der ein Passwort braucht, ist keiner.

Datenherkunft und Widerspruch →

Ein eingegangener Widerspruch sperrt die Rufnummer dauerhaft und für alle Konten. Diese Sperre lässt sich nicht aufheben.

8. Deine Rechte

Dir stehen gegenüber uns die folgenden Rechte zu:

Auskunft über die zu dir verarbeiteten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO) — für Betriebsdaten unmittelbar über die Seite Datenherkunft und Widerspruch (dort widersprechen)
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Bundesland deines gewöhnlichen Aufenthalts oder am Ort des mutmaßlichen Verstoßes.

9. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert — etwa wenn Reichweitenmessung hinzukommt. Es gilt die jeweils hier veröffentlichte Fassung. Stand: 10. Oktober 2026.

Siehe auch Impressum, AGB und Kontakt.