Datenschutzerklärung – Archivierte V1

Du siehst eine archivierte Version unserer Datenschutzerklärung. Bitte rufe die neueste Version auf, um aktuelle Informationen zu erhalten.

Neueste Datenschutzerklärung anzeigen

Gültigkeitszeitraum: 1. Oktober 2026 – 31. Oktober 2026

Kurzfassung

Niemand liest Datenschutzerklärungen. Deshalb hier das Ganze in zehn Zeilen, darunter die vollständige Version.

• Deine Daten gehören dir. Für Buchungen, die über dein Cal.com-Konto vorgenommen werden, bist du der Verantwortliche und wir sind der Auftragsverarbeiter. Wir verarbeiten sie in deinem Auftrag und verkaufen sie nicht – an niemanden, niemals.
• Wir erheben das Minimum. Namen, E-Mail-Adressen, Telefonnummern und alles, was du in deinen Buchungsfragen abfragst. Außerdem der langweilige technische Kram, den jede Website bekommt: IP-Adresse, Browser, aufgerufene Seiten.
• Die Datenbank ist der Ort, an dem personenbezogene Daten liegen. Nicht in unseren Logs, nicht in unseren Analysen, nicht in einer Tabelle. Unsere eigenen Engineering-Regeln verbieten personenbezogene Daten in Logs, Fehlerberichten und Analytics-Events. Wir senden IDs, keine Menschen.
• Wir nutzen Unterauftragsverarbeiter und nennen sie alle. E-Mail, SMS, Video, Zahlungen, KI, Speicher, Support. Die vollständige Tabelle und ihr Zweck stehen in unserem Trust Center.
• KI-Funktionen sind Opt-in und eng begrenzt. KI-Meetingnotizen senden den Transkripttext (keine Titel, keine Teilnehmerliste, keine Links). KI-Telefonagenten senden die Telefonnummer und die Gastdetails, die für den Anruf nötig sind. Nichts wird verwendet, um die Modelle irgendeines Anbieters zu trainieren.
• Deine Apps sind deine Entscheidung. Wenn du Google Calendar, Zoom, Salesforce oder einen Webhook verbindest, fließen Daten dorthin, weil du es so festgelegt hast. Das sind deine Integrationen, nach deinen Anweisungen.
• Keine Drittanbieter-Cookies im Produkt. Auf unserer Marketing-Website laufen allerdings Analysen und Anzeigenmessung. Siehe den Cookie-Abschnitt.
• Du kannst deine Daten exportieren oder löschen. Jederzeit, per Self-Service oder per E-Mail. Löschen heißt gelöscht, auch bei unseren Unterauftragsverarbeitern.
• Fragen: [email protected]. Echte Menschen, kein Formular.

Wer ist wer: Verantwortlicher vs. Auftragsverarbeiter

Das sorgt oft für Verwirrung, deshalb kommt es zuerst.

Was das bedeutet: Wenn du ein Teilnehmer bist, der einen Termin gebucht hat, und deine Daten gelöscht haben möchtest, geht es am schnellsten über die Person, bei der du gebucht hast. Wir helfen in jedem Fall und leiten die Anfrage weiter.

Was wir erheben

Daten, die du und deine Buchenden uns geben

• Kontodaten: Name, E-Mail-Adresse, Benutzername, Passwort-Hash oder SSO-Identität, Zeitzone, Profilfoto und deine Verfügbarkeit.
• Buchungsdaten: Namen und E-Mail-Adressen der Teilnehmer, Telefonnummern, wenn SMS-Erinnerungen oder Telefonanrufe genutzt werden, Meetingtitel und Orte, Antworten auf deine Buchungsfragen, Notizen, Gästelisten, Gründe für Stornierungen und Terminänderungen.
• Abrechnungsdaten: Firmenname, Rechnungsadresse und Zahlungskartendaten. Die Karte geht direkt an Stripe, und wir sehen oder speichern sie nie.
• Supportdaten: alles, was du uns schreibst, plus der zur Unterhaltung gehörende Kontokontext.

Daten, die wir automatisch erheben

• IP-Adresse, Browser und Gerät, verweisende URL, aufgerufene Seiten und Zeitstempel.
• Produktnutzungsereignisse (welche Funktionen du genutzt hast und wie oft), verknüpft mit einer nicht aussagekräftigen ID, nicht mit deiner E-Mail-Adresse.
• Fehler- und Leistungsdiagnosen, wenn etwas kaputtgeht.

Was wir bewusst nicht tun

• Wir erheben absichtlich keine Daten besonderer Kategorien. Deine Buchungsfragen könnten das aber tun. Wenn du nach Gesundheit fragst, sind das Gesundheitsdaten in deinem Cal.com-Konto, und du bist dafür verantwortlich, sie rechtmäßig abzufragen. Siehe „Gesundheitsinformationen“.
• Wir erheben wissentlich keine Daten von Personen unter 18.
• Wir erstellen keine Werbeprofile aus Buchungsdaten und verkaufen oder vermieten keine personenbezogenen Daten.

Was das bedeutet: Wir speichern, was nötig ist, um einen Termin in zwei Kalender einzutragen, dich abzurechnen und dich zu unterstützen. Die interessanten personenbezogenen Daten – die Antworten deiner Buchenden – speichern wir für dich, nicht für uns.

Warum wir das dürfen (Rechtsgrundlagen, GDPR Art. 6)

Unterauftragsverarbeiter: wer sonst personenbezogene Daten berührt

Wir nutzen andere Unternehmen, um Cal.com zu betreiben. Jeder Unterauftragsverarbeiter hat mit uns einen Auftragsverarbeitungsvertrag, erhält nur, was er benötigt, und verarbeitet Daten nur nach unseren Weisungen. Was sie tun und wo sie Daten verarbeiten, steht in unserem Trust Center.

Wie du von Änderungen erfährst. Gemäß unserem Auftragsverarbeitungsvertrag können wir Unterauftragsverarbeiter hinzufügen oder ersetzen, um Cal.com bereitzustellen, zu betreiben, abzusichern und zu unterstützen. Wenn die DPA es verlangt, informieren wir dich, bevor ein neuer oder ersetzter Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt.

Wenn du aus angemessenen und belegten Datenschutzgründen widersprichst, kannst du das wie in der DPA beschrieben tun. Wenn du Fragen zu einem Unterauftragsverarbeiter hast, schreib an [email protected].

Werbung und Lead-Identifikation (Marketing-Website und Marketing-Tools, nicht das Produkt)

Diese werden von unserem Marketing-Team verwaltet und sind nicht fest in den Produktcode eingebunden. Sie sehen nur Daten der Marketing-Website und von Marketing-Listen, niemals Buchungsdaten, Antworten von Teilnehmern oder etwas aus deinem Cal.com-Konto.

Was das bedeutet: Wenn du im EWR oder Vereinigten Königreich bist, laufen die Anbieter für Audience-Matching und Besucheridentifikation nicht für dich. Überall sonst kannst du sie deaktivieren, indem du Marketing-Cookies ablehnst oder Global Privacy Control nutzt.

Apps und Integrationen, die du verbindest

Wenn du eine App verbindest, weist du uns an, Daten an sie zu senden. Genau das tun wir – und nichts darüber hinaus.

• Kalender: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: Termintitel, Beschreibungen, Zeiten, Orte, Namen und E-Mail-Adressen von Organisator und Teilnehmern sowie Frei/Gebucht-Daten.
• Video: Zoom, Google Meet, Microsoft Teams und andere: Meeting-Details, die zum Erstellen des Links benötigt werden.
• CRM und Automatisierung: Salesforce, HubSpot, Pipedrive und ähnliche: Name und E-Mail-Adresse des Teilnehmers, Meeting-Details und deine Antworten auf Buchungsfragen.
• Webhooks und dein eigener SMTP-Server: du stellst den Endpunkt oder Mailserver bereit; er erhält alles, was die Events enthalten, die du abonniert hast.

Was das bedeutet: Das sind deine Auftragsverarbeiter, nicht unsere. Ihre Datenschutzrichtlinien gelten, und wenn du die App trennst, endet der Datenfluss. Wir können nicht löschen, was bereits in deinem CRM ist.

Gesundheitsinformationen (PHI)

Cal.com ist kein Gesundheitsprodukt, aber Buchungen können Gesundheitsinformationen enthalten: eine Aufnahmefrage, einen Meeting-Titel, Notizen. Wenn du Cal.com für alles, was HIPAA-reguliert ist, sind diese Daten nur so gut geschützt wie die Vereinbarung dahinter: schließe eine BAA ab bei go.Cal.com/BAA eine BAA ab, bevor du sie erhebst, und halte sie aus Buchungsfeldern heraus, die in Drittanbieter-Apps kopiert werden.

Wie lange wir sie aufbewahren

Wohin deine Daten gehen

Wir sind ein US-Unternehmen, und Daten werden in den Vereinigten Staaten verarbeitet. Einige Unterauftragsverarbeiter verarbeiten sie anderswo. Für Übermittlungen aus dem EWR oder dem Vereinigten Königreich in die Vereinigten Staaten stützen wir uns, soweit anwendbar, auf das EU-U.S. Data Privacy Framework und dessen UK Extension, wie unten beschrieben. Außerdem verwenden wir, wo angemessen, Standardvertragsklauseln, einschließlich für Übermittlungen aus der Schweiz. Wenn du EU-Datenresidenz benötigst, kontaktiere uns unter [email protected].

EU-U.S. Data Privacy Framework und UK Extension

Cal.com, Inc. hält das EU-U.S. Data Privacy Framework (EU-U.S. DPF) und die UK Extension zum EU-U.S. DPF ein, wie vom U.S. Department of Commerce festgelegt. Cal.com, Inc. hat gegenüber dem Department zertifiziert, dass es die EU-U.S. DPF Principles für personenbezogene Nicht-HR-Daten einhält, die aus der Europäischen Union und dem Europäischen Wirtschaftsraum auf Grundlage des EU-U.S. DPF sowie aus dem Vereinigten Königreich und Gibraltar auf Grundlage der UK Extension erhalten werden. Diese Verpflichtung umfasst keine HR-Daten von Beschäftigten, die zur Nutzung im Rahmen eines Beschäftigungsverhältnisses übermittelt werden. Wenn diese Richtlinie den DPF Principles widerspricht, gelten die Principles. Erfahre mehr über das Programm und sieh dir, sobald Cal.com in der Data Privacy Framework List erscheint, den Eintrag an unter dataprivacyframework.gov.

Die abgedeckten Daten können Namen, E-Mail-Adressen, Telefonnummern, Konto- und Profildetails, Verfügbarkeit, Buchungs- und Meeting-Details, Antworten auf Buchungsfragen, Abrechnungs- und Supportinformationen sowie Website-, Geräte-, Nutzungs- und Sicherheitsinformationen umfassen. Kunden können Buchungsfragen konfigurieren, die sensible Daten erfassen. Wir verwenden abgedeckte Daten, um Terminplanung und zugehörige Dienste bereitzustellen, Konten, Buchungen und Zahlungen zu verwalten, mit Nutzern und Teilnehmern zu kommunizieren, Support zu leisten, den Dienst abzusichern und zu verbessern sowie Marketing durchzuführen, sofern erlaubt. Andere Abschnitte dieser Richtlinie beschreiben diese Daten und Zwecke genauer.

Wir legen relevante abgedeckte Daten gegenüber Dienstleistern und Unterauftragsverarbeitern für Hosting, Speicherung, E-Mail und SMS, Video, Zahlungen, Support, Analysen, Sicherheit und optionale Funktionen sowie gegenüber von Kunden ausgewählten Integrationen offen. Unser Trust Center listet Unterauftragsverarbeiter und ihre Zwecke auf. Wir können personenbezogene Daten auch offenlegen, wenn dies gesetzlich erforderlich ist. Nach dem DPF Accountability for Onward Transfer Principle bleibt Cal.com haftbar, wenn ein Beauftragter abgedeckte Daten entgegen den Principles verarbeitet, es sei denn, Cal.com weist nach, dass es für das schadensverursachende Ereignis nicht verantwortlich war.

Einzelpersonen können Zugang zu abgedeckten Daten verlangen und uns bitten, Daten zu berichtigen, zu ändern oder zu löschen, die unrichtig sind oder unter Verstoß gegen die Principles verarbeitet werden. Wenn das DPF Choice Principle es verlangt, können Einzelpersonen widersprechen, bevor abgedeckte Daten an Dritte offengelegt oder für einen wesentlich anderen Zweck verwendet werden. Wenn dieses Principle für sensible Informationen eine ausdrückliche Einwilligung verlangt, holen wir sie vor der entsprechenden Nutzung oder Offenlegung ein. Sende Anfragen an [email protected]. Bei Buchungsdaten, die wir auf Weisung eines Kunden verarbeiten, stimmen wir uns mit diesem Kunden ab, um die Anfrage zu bearbeiten.

Personen aus der EU und dem Vereinigten Königreich sollten DPF-Anfragen oder Beschwerden zuerst an Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, United States; [email protected]; +1 415 212 6667 senden. Felix Kolodziej, Compliance Lead, ist auch erreichbar unter [email protected]. Wir beantworten DPF-Beschwerden innerhalb von 45 Tagen. Bei ungelösten Beschwerden über abgedeckte Daten verpflichten wir uns, mit dem Gremium der EU data protection authorities für EU-Daten sowie dem UK Information Commissioner’s Office und der Gibraltar Regulatory Authority für Daten aus dem Vereinigten Königreich und Gibraltar zusammenzuarbeiten und deren Empfehlungen zu befolgen. Diese unabhängigen Rechtsbehelfsmechanismen stehen Einzelpersonen kostenlos zur Verfügung.

Cal.com, Inc. unterliegt hinsichtlich der Einhaltung des EU-U.S. DPF und der UK Extension den Untersuchungs- und Durchsetzungsbefugnissen der U.S. Federal Trade Commission. Unter bestimmten Bedingungen können Personen für verbleibende Ansprüche zur DPF-Einhaltung ein bindendes Schiedsverfahren in Anspruch nehmen. Wir können verpflichtet sein, erfasste Daten als Reaktion auf rechtmäßige Anfragen öffentlicher Behörden offenzulegen, auch zur Erfüllung von Anforderungen der nationalen Sicherheit oder Strafverfolgung.

Cookies

• In der App: Cookies, um dich einzuloggen, Einstellungen zu speichern und die Sicherheit zu gewährleisten. Keine Werbe-Cookies von Drittanbietern.
• Auf der Marketing-Website: die oben aufgeführten Analyse- und Werbemessungs-Cookies. Du kannst sie ablehnen.
• Wir respektieren Global Privacy Control- und Do Not Track-Signale.

Deine Rechte

Egal, wo du lebst, kannst du uns um Folgendes bitten: Auskunft über deine Daten, Berichtigung, Löschung, Export, Einschränkung der Verarbeitung oder Widerspruch gegen die Verarbeitung oder Widerruf deiner Einwilligung. Wenn du in Kalifornien bist, kommt hinzu: Du kannst erfahren, was wir erfassen, deine Daten löschen und berichtigen lassen und dem Verkauf oder der Weitergabe widersprechen. Wir verkaufen oder geben sie nicht weiter, also gibt es nichts, dem du widersprechen müsstest. Wenn du im EWR oder im Vereinigten Königreich bist, kannst du dich außerdem bei deiner Datenschutzbehörde beschweren.

Das meiste davon kannst du selbst in deinen Einstellungen erledigen. Andernfalls schreib an [email protected] und wir antworten innerhalb von 30 Tagen. Wir bitten dich zuerst, deine Identität zu bestätigen, und behandeln dich nicht schlechter, nur weil du fragst.

Sicherheit

Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriff nach dem Least-Privilege-Prinzip, SSO und 2FA, geprüfte Infrastruktur und ein Bug-Bounty-Programm. Details und unsere aktuellen Berichte: cal.com/security. Kein System ist vollkommen sicher; wenn etwas schiefgeht, informieren wir betroffene Kunden ohne unnötige Verzögerung und gemäß unserem Auftragsverarbeitungsvertrag (DPA).

Änderungen an dieser Richtlinie

Wir veröffentlichen die neue Version hier und aktualisieren das Gültigkeitsdatum. Bei wesentlichen Änderungen, etwa einer neuen Kategorie von Unterauftragsverarbeitern oder einer neuen Datennutzung, schicken wir dir eine E-Mail, bevor sie wirksam werden.

Kontakt

Datenschutzbeauftragter: [email protected]
Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, United States

EU-Vertreter (GDPR Art. 27): Felix Kolodziej, [email protected], Adresse auf Anfrage

Alles andere: [email protected]