Datenschutzerklärung

Gültig ab: 1. November 2026

Die Kurzfassung

Niemand liest Datenschutzerklärungen. Deshalb hier das Ganze in zehn Zeilen, darunter die vollständige Version.

• Deine Daten gehören dir. Für Buchungen, die über dein Cal.com-Konto vorgenommen werden, bist du der Verantwortliche und wir sind der Auftragsverarbeiter gemäß dem Auftragsverarbeitungsvertrag unter cal.com/dpa, der für jedes Konto, ob kostenlos oder kostenpflichtig, Teil unserer Nutzungsbedingungen ist. Wir verarbeiten sie in deinem Auftrag und verkaufen sie nicht, an niemanden, niemals.
• Wir erheben nur das Minimum. Namen, E-Mails, Telefonnummern und alles, wonach deine Buchungsfragen fragen. Dazu der langweilige technische Kram, den jede Website bekommt: IP-Adresse, Browser, aufgerufene Seiten.
• In der Datenbank liegen personenbezogene Daten. Nicht in unseren Logs, nicht in unseren Analysen, nicht in einer Tabelle. Unsere eigenen Engineering-Regeln verbieten personenbezogene Daten in Logs, Fehlerberichten und Analyse-Events. Wir senden IDs, keine Menschen.
• Wir nutzen Unterauftragsverarbeiter und nennen sie alle. Hosting, E-Mail, SMS, Video, Zahlungen, KI, Analysen, Monitoring, Support und unsere eigenen Backoffice-Tools, die deine Daten sehen können. Die vollständige Tabelle und ihr Zweck stehen in unserem Trust Center; bevor ein neuer hinzukommt, informieren wir Kontoinhaber vorab schriftlich per E-Mail, Benachrichtigung im Produkt oder auf einem anderen dokumentierten elektronischen Weg, früh genug, damit du die Änderung prüfen und widersprechen kannst.
• KI-Funktionen sind Opt-in und eng begrenzt. KI-Meetingnotizen senden den Transkripttext (keine Titel, keine Teilnehmerliste, keine Links). KI-Telefonagenten senden die Telefonnummer und die Gastdetails, die für den Anruf nötig sind. Nichts davon wird verwendet, um Modelle von irgendwem zu trainieren.
• Deine Apps sind deine Entscheidung. Wenn du Google Calendar, Zoom, Salesforce oder einen Webhook verbindest, fließen Daten dorthin, weil du es so festgelegt hast. Das sind deine Integrationen, nach deinen Anweisungen.
• Keine Drittanbieter-Cookies im Produkt. Unsere Marketing-Website nutzt Analysen und Anzeigenmessung. Siehe den Abschnitt zu Cookies.
• Du kannst deine Daten exportieren oder löschen. Jederzeit, selbstständig oder per E-Mail. Löschen heißt gelöscht, auch bei unseren Unterauftragsverarbeitern.
• Fragen: [email protected]. Echte Menschen, kein Formular.

Wer ist wer: Verantwortlicher vs. Auftragsverarbeiter

Das sorgt oft für Verwirrung, deshalb kommt es zuerst.

Cal.com-eigene Dienstleister. Um unser eigenes Geschäft zu betreiben, nutzen wir Dienstleister, die Kontaktdaten unserer Kunden sehen, zum Beispiel Documenso und Fusial für die E-Signatur von Verträgen und AVVs (Vereinigte Staaten). Sie handeln nach unseren Anweisungen und sind keine Unterauftragsverarbeiter deiner Daten.

Das bedeutet: Wenn du ein Teilnehmer bist, der ein Meeting gebucht hat, und deine Daten löschen lassen möchtest, geht es am schnellsten über die Person, bei der du gebucht hast. Wir helfen in jedem Fall und leiten die Anfrage weiter.

Was wir erheben

Daten, die du und deine Buchenden uns geben

• Kontodaten: Name, E-Mail, Benutzername, Passwort-Hash oder SSO-Identität, Zeitzone, Profilfoto und deine Verfügbarkeit. Bei der Registrierung können wir über AvatarAPI ein Profilfoto für deine E-Mail-Adresse abrufen; du kannst es ersetzen oder entfernen.
• Buchungsdaten: Namen und E-Mails von Teilnehmern, Telefonnummern, wenn SMS-Erinnerungen oder Telefonanrufe genutzt werden, Meetingtitel und Orte, Antworten auf deine Buchungsfragen, Notizen, Gästelisten, Gründe für Stornierungen und Neu terminieren.
• Abrechnungsdaten: Firmenname, Rechnungsadresse und Zahlungskartendaten. Die Karte geht direkt an Stripe, und wir sehen oder speichern sie nie.
• Supportdaten: alles, was du uns schreibst, plus der Kontokontext, der zur Unterhaltung gehört.

Daten, die wir automatisch erheben

• IP-Adresse, Browser und Gerät, verweisende URL, aufgerufene Seiten und Zeitstempel.
• Produktnutzungsereignisse (welche Funktionen du genutzt hast, wie oft), verknüpft mit einer nichtssagenden ID, nicht mit deiner E-Mail.
• Fehler- und Leistungsdiagnosen, wenn etwas kaputtgeht.

Was wir bewusst nicht tun

• Wir erheben nicht absichtlich besondere Kategorien personenbezogener Daten. Deine Buchungsfragen können das aber tun. Wenn du nach Gesundheit fragst, sind das Gesundheitsdaten in deinem Cal.com-Konto, und du bist dafür verantwortlich, sie rechtmäßig abzufragen. Siehe „Gesundheitsdaten“.
• Wir erheben wissentlich keine Daten von Personen unter 18 Jahren.
• Wir erstellen keine Werbeprofile aus Buchungsdaten und verkaufen oder vermieten keine personenbezogenen Daten.

Das bedeutet: Wir speichern, was nötig ist, um ein Meeting in zwei Kalender einzutragen, dir Rechnungen zu stellen und dich zu unterstützen. Die interessanten personenbezogenen Daten – die Antworten deiner Buchenden – speichern wir für dich, nicht für uns.

Warum wir das dürfen (Rechtsgrundlagen, GDPR Art. 6)

Unterauftragsverarbeiter: wer sonst mit personenbezogenen Daten in Kontakt kommt

Wir nutzen andere Unternehmen, um Cal.com. Mit jedem Unterauftragsverarbeiter haben wir einen Datenverarbeitungsvertrag geschlossen; er erhält nur, was er benötigt, und verarbeitet Daten nur nach unseren Weisungen. Was sie tun und wo sie Daten verarbeiten, ist in unserem Trust Center.

Wie du von Änderungen erfährst. Bevor ein neuer oder Ersatz-Unterauftragsverarbeiter personenbezogene Kundendaten verarbeitet, informieren wir dich vorab schriftlich per E-Mail an deinen Kontoadministrator oder Datenschutz-/Rechtskontakt, per Benachrichtigung im Produkt oder über eine andere dokumentierte elektronische Methode. Wir bemühen uns wirtschaftlich angemessen, dies früh genug zu tun, damit du die Änderung prüfen und widersprechen kannst (DPA §6.3-6.4). Allein die Aktualisierung der Unterauftragsverarbeiterliste ist nicht unsere einzige Art der Benachrichtigung.

Wenn du aus angemessenen und belegten Datenschutzgründen widersprichst, kannst du das wie im DPA beschrieben tun. Wenn du Fragen zu einem Unterauftragsverarbeiter hast, schreib an [email protected].

Werbung und Lead-Identifizierung (Marketing-Website und Marketing-Tools, nicht das Produkt)

Diese werden von unserem Marketingteam verwaltet, statt im Produktcode verankert zu sein, und sehen ausschließlich Daten der Marketing-Website und Marketing-Listen – niemals Buchungsdaten, Antworten von Teilnehmern oder irgendetwas aus deinem Cal.com-Konto.

Anbieter in dieser Kategorie (Google Analytics und Tag Manager, X Ads, Website-Attribution von Dub, LinkedIn- und Meta-Anzeigen-Tags) laufen nur mit deiner Einwilligung auf der Marketing-Website und sind im Cookie-Banner aufgeführt; sie sind keine Unterauftragsverarbeiter für Buchungsdaten.

Was das bedeutet: Wenn du im EWR oder Vereinigten Königreich bist, werden die Anbieter für Zielgruppenabgleich und Besucheridentifizierung bei dir nicht ausgeführt. Überall sonst kannst du sie deaktivieren, indem du Marketing-Cookies ablehnst oder Global Privacy Control nutzt.

Apps und Integrationen, die du verbindest

Wenn du eine App verbindest, weist du uns an, Daten an sie zu senden. Genau das tun wir – und nichts mehr.

• Kalender: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: Termintitel, Beschreibungen, Zeiten, Orte, Namen und E-Mail-Adressen von Organisator und Teilnehmern sowie Frei/Gebucht-Daten.
• Video: Zoom, Google Meet, Microsoft Teams und andere: Meetingdetails, die zum Erstellen des Links nötig sind.
• CRM und Automatisierung: Salesforce, HubSpot, Pipedrive und ähnliche: Name und E-Mail-Adresse des Teilnehmers, Meetingdetails und deine Antworten auf Buchungsfragen.
• Automatisierung und Links: Zapier, Dub, Close und ähnliche App-Store-Integrationen, die du verbindest, laufen über dein eigenes Konto bei diesem Anbieter.
• Webhooks und dein eigener SMTP-Server: Du gibst den Endpunkt oder Mailserver an; er erhält alles, was die von dir abonnierten Ereignisse enthalten.

Was das bedeutet: Das sind deine Auftragsverarbeiter, nicht unsere. Es gelten deren Datenschutzrichtlinien, und wenn du die App trennst, stoppt der Datenfluss. Wir können nicht löschen, was bereits in deinem CRM ist.

Gesundheitsinformationen (PHI)

Cal.com ist kein Gesundheitsprodukt, aber Buchungen können Gesundheitsinformationen enthalten: eine Anamnesefrage, einen Meetingtitel, Notizen. Wenn du Cal.com für irgendetwas nutzt, das unter HIPAA fällt, sind diese Daten nur so geschützt wie die Vereinbarung dahinter: Frag uns nach einem Business Associate Agreement (verfügbar in Teams-Tarifen und höher; E-Mail an [email protected] oder frag den Support oder Vertrieb) und lass es unterschreiben, bevor du solche Daten erhebst, es sei denn, dein Bestellformular oder eine andere unterzeichnete Vereinbarung mit uns erlaubt es ausdrücklich. Halte sie außerdem aus Buchungsfeldern heraus, die in Drittanbieter-Apps kopiert werden.

Wie lange wir sie aufbewahren

Wohin deine Daten gehen

Wir sind ein US-Unternehmen, und Daten werden in den Vereinigten Staaten verarbeitet; einige Unterauftragsverarbeiter verarbeiten sie anderswo (siehe Tabelle). Bei Übermittlungen aus dem EWR und dem Vereinigten Königreich nimmt Cal.com, Inc. am EU-U.S. Data Privacy Framework und dessen UK Extension teil und hat seine Einhaltung zertifiziert. Wo das Data Privacy Framework eine Übermittlung nicht abdeckt, und für die Schweiz, stützen wir uns auf die EU-Standardvertragsklauseln von 2021, das UK Addendum und die Schweizer Ergänzungen, allesamt ausgefüllt in unserem SCC Schedule unter cal.com/dpa-scc, der Teil des DPA ist, wie im Abschnitt zum Data Privacy Framework unten beschrieben. Du kannst unsere Zertifizierung auf der DPF-Liste unter https://www.dataprivacyframework.gov/list. Das Swiss-U.S. Data Privacy Framework gilt derzeit nicht. Wenn du EU-Datenresidenz brauchst, kontaktiere uns unter [email protected].

EU-U.S. Data Privacy Framework und UK Extension

Cal.com, Inc. hält das EU-U.S. Data Privacy Framework (EU-U.S. DPF) und die UK Extension zum EU-U.S. DPF ein, wie vom U.S. Department of Commerce festgelegt. Cal.com, Inc. hat gegenüber dem U.S. Department of Commerce zertifiziert, dass es die Grundsätze des EU-U.S. DPF für personenbezogene Nicht-HR-Daten einhält, die aus der Europäischen Union und dem Europäischen Wirtschaftsraum auf Grundlage des EU-U.S. DPF sowie aus dem Vereinigten Königreich und Gibraltar auf Grundlage der UK Extension erhalten werden. Diese Verpflichtung gilt nicht für HR-Daten von Beschäftigten, die zur Nutzung in einem Beschäftigungsverhältnis übermittelt werden. Wenn diese Richtlinie den DPF-Grundsätzen widerspricht, gelten die Grundsätze. Erfahre mehr über das Programm und sieh dir Cal.coms Eintrag in der Data Privacy Framework List unter https://www.dataprivacyframework.gov/list.

Die erfassten Daten können Namen, E-Mail-Adressen, Telefonnummern, Konto- und Profildetails, Verfügbarkeiten, Buchungs- und Besprechungsdetails, Antworten auf Buchungsfragen, Abrechnungs- und Supportinformationen sowie Website-, Geräte-, Nutzungs- und Sicherheitsinformationen umfassen. Kunden können Buchungsfragen konfigurieren, die sensible Daten erheben. Wir verwenden erfasste Daten, um Terminplanung und damit verbundene Dienste bereitzustellen, Konten, Buchungen und Zahlungen zu verwalten, mit Nutzern und Teilnehmern zu kommunizieren, Support zu leisten, den Dienst zu sichern und zu verbessern sowie Marketing durchzuführen, soweit dies erlaubt ist. Andere Abschnitte dieser Richtlinie beschreiben diese Daten und Zwecke ausführlicher.

Wir geben relevante erfasste Daten an Dienstleister und Unterauftragsverarbeiter für Hosting, Speicherung, E-Mail und SMS, Video, Zahlungen, Support, Analysen, Sicherheit und optionale Funktionen sowie an von Kunden ausgewählte Integrationen weiter. Unser Trust Center listet Unterauftragsverarbeiter und ihre Zwecke auf. Wir können personenbezogene Daten auch offenlegen, wenn dies gesetzlich vorgeschrieben ist. Nach dem DPF-Grundsatz der Rechenschaftspflicht bei Weiterübermittlung bleibt Cal.com haftbar, wenn ein Beauftragter erfasste Daten nicht im Einklang mit den Grundsätzen verarbeitet, es sei denn, Cal.com weist nach, dass es für das schadensauslösende Ereignis nicht verantwortlich war.

Einzelpersonen können Zugang zu erfassten Daten beantragen und uns bitten, Daten zu korrigieren, zu ändern oder zu löschen, die unrichtig sind oder unter Verstoß gegen die Grundsätze verarbeitet wurden. Wenn der DPF-Choice-Grundsatz dies verlangt, können Einzelpersonen widersprechen, bevor erfasste Daten an Dritte weitergegeben oder für einen wesentlich anderen Zweck verwendet werden. Wenn dieser Grundsatz eine ausdrückliche Einwilligung für sensible Informationen verlangt, holen wir sie vor der entsprechenden Nutzung oder Offenlegung ein. Sende Anfragen an [email protected]. Für Buchungsdaten, die wir nach Weisung eines Kunden verarbeiten, stimmen wir uns mit diesem Kunden ab, um die Anfrage zu bearbeiten.

Personen aus der EU und dem Vereinigten Königreich sollten DPF-Anfragen oder Beschwerden zuerst an Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, Vereinigte Staaten; [email protected]; +1 415 212 6667 senden. Felix Kolodziej, Compliance Lead, ist ebenfalls erreichbar unter [email protected]. Wir antworten auf DPF-Beschwerden innerhalb von 45 Tagen. Bei ungelösten Beschwerden über erfasste Daten verpflichten wir uns, mit dem von den EU-Datenschutzbehörden eingerichteten Gremium für EU-Daten sowie dem UK Information Commissioner’s Office und der Gibraltar Regulatory Authority für Daten aus dem Vereinigten Königreich und Gibraltar zusammenzuarbeiten und deren Empfehlungen zu befolgen. Diese unabhängigen Rechtsbehelfsmechanismen stehen Einzelpersonen kostenlos zur Verfügung.

Cal.com, Inc. unterliegt hinsichtlich der Einhaltung des EU-U.S. DPF und der UK Extension den Ermittlungs- und Durchsetzungsbefugnissen der U.S. Federal Trade Commission. Unter bestimmten Bedingungen können Einzelpersonen für verbleibende Ansprüche zur DPF-Compliance ein verbindliches Schiedsverfahren anrufen. Wir können verpflichtet sein, erfasste Daten auf rechtmäßige Anfragen öffentlicher Behörden hin offenzulegen, auch um Anforderungen der nationalen Sicherheit oder der Strafverfolgung zu erfüllen.

Cookies

• In der App: Cookies fürs Einloggen, Merken von Einstellungen und für Sicherheit. Keine Werbe-Cookies von Drittanbietern.
• Auf der Marketing-Website: die oben aufgeführten Analyse- und Werbemessungs-Cookies. Du kannst sie ablehnen.
• Wir berücksichtigen Global Privacy Control- und Do Not Track-Signale.

Deine Rechte

Egal, wo du lebst, kannst du uns bitten, Folgendes zu tun: Zugriff auf deine Daten zu gewähren, sie zu berichtigen, sie zu löschen, sie zu exportieren, die Verarbeitung einzuschränken oder der Verarbeitung zu widersprechen oder deine Einwilligung zu widerrufen. Wenn du in Kalifornien bist, kommt hinzu: erfahren, was wir erheben, es löschen, berichtigen und dem Verkauf oder Teilen widersprechen. Wir verkaufen oder teilen sie nicht, also gibt es nichts, dem du widersprechen müsstest. Wenn du im EWR oder im Vereinigten Königreich bist, kannst du dich außerdem bei deiner Datenschutzbehörde beschweren.

Das meiste davon kannst du selbst in deinen Einstellungen erledigen. Ansonsten schreib an [email protected] und wir antworten innerhalb der nach geltendem Recht vorgeschriebenen Fristen. Wir bitten dich zuerst, deine Identität zu bestätigen, und wir behandeln dich nicht schlechter, weil du fragst.

Sicherheit

Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriff nach dem Least-Privilege-Prinzip, SSO und 2FA, geprüfte Infrastruktur und ein Bug-Bounty-Programm. Details und unsere aktuellen Berichte: cal.com/security. Kein System ist vollkommen sicher. Wenn etwas schiefgeht, informieren wir betroffene Kunden ohne unangemessene Verzögerung, nachdem wir von einer Verletzung des Schutzes personenbezogener Daten erfahren haben, wie es unser DPA verlangt.

Änderungen an dieser Richtlinie

Wir veröffentlichen die neue Version hier und aktualisieren das Datum des Inkrafttretens. Bei wesentlichen Änderungen, etwa einer neuen Kategorie von Unterauftragsverarbeitern oder einer neuen Datennutzung, informieren wir dich, bevor sie wirksam werden, per E-Mail, Benachrichtigung im Produkt oder auf einem anderen dokumentierten elektronischen Weg.

Kontakt

Datenschutzkontakt: [email protected]

EU-Vertreter (GDPR Art. 27): Felix Kolodziej, CAYA Postbox 1040588, 96035 Bamberg, Deutschland, [email protected]

Formelle Mitteilungen: Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Vereinigte Staaten, Kopie an [email protected]

Alles andere: [email protected]

Archiv der Datenschutzerklärung