Datenschutzhinweise

Version 2026-09-15

REDAKTIONELLE FREIGABEFASSUNG – Stand 11.09.2026; Freigabe siehe RELEASE_REVIEW.md

Datenschutzhinweise für Mach Sales – Graefer Sales Hub

1. Verantwortlicher für Website, Registrierung und Vertragskonto
Graefer Trading GmbH
Otto-Schott-Str. 10
47906 Kempen
Deutschland

Vertreten durch den Geschäftsführer Maximilian Graefer.
E-Mail: info@machsales.de
Telefon: +49 2161 9850020

Für die Verwaltung der Website, die Registrierung von Firmenkonten, Benutzerzugänge, Abrechnung, Sicherheit und den Support ist die Graefer Trading GmbH datenschutzrechtlich Verantwortlicher.

2. Rollenverteilung bei CRM-Daten
Unternehmen, die Graefer Sales Hub einsetzen, entscheiden selbst, welche Lead-, Kunden-, Ansprechpartner-, Kommunikations-, Telefonie-, E-Mail-, Angebots- und Projektdaten sie verarbeiten. Für diese Daten ist grundsätzlich der jeweilige Kunde Verantwortlicher im Sinne der DSGVO. Die Graefer Trading GmbH verarbeitet diese Daten im Rahmen der Bereitstellung regelmäßig als Auftragsverarbeiter auf dokumentierte Weisung des Kunden.

Vor der produktiven Verarbeitung von CRM-Daten wird mit dem Kunden ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO geschlossen. Betroffene Personen, deren Daten durch einen Kunden im CRM gespeichert wurden, wenden sich vorrangig an dieses Unternehmen. Wir unterstützen unsere Kunden im Rahmen der Auftragsverarbeitung bei der Bearbeitung von Betroffenenanfragen.

3. Daten bei Aufruf der Website und Anwendung
Beim Aufruf können technisch notwendige Verbindungsdaten verarbeitet werden. Dazu gehören insbesondere Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser- und Geräteinformationen, Referrer sowie die IP-Adresse. Die Verarbeitung dient der sicheren Auslieferung, Fehleranalyse, Abwehr von Angriffen und Sicherstellung des Betriebs.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren, stabilen und missbrauchsgeschützten SaaS-Betrieb. Sicherheitsprotokolle werden nur so lange gespeichert, wie dies für diese Zwecke, zur Aufklärung konkreter Vorfälle oder zur Erfüllung gesetzlicher Pflichten erforderlich ist. Im Anwendungssystem werden IP-Adressen für bestimmte Sicherheitsnachweise gesalzen gehasht und nicht im Klartext gespeichert.

4. Registrierung und Benutzerkonto
Bei Registrierung und Nutzung verarbeiten wir insbesondere Firmenname, geschäftliche E-Mail-Adresse, Anzeigename, Benutzerrolle, Firmenzugehörigkeit, Passwort-Hash, Zwei-Faktor-Status, Sitzungsdaten, Zustimmungen, gebuchten Tarif und Kontostatus. Passwörter und Einmal-Links werden nicht im Klartext gespeichert.

Die Verarbeitung dient vorvertraglichen Maßnahmen und der Vertragserfüllung nach Artikel 6 Absatz 1 Buchstabe b DSGVO, der sicheren Kontoverwaltung nach Artikel 6 Absatz 1 Buchstabe f DSGVO und der Erfüllung gesetzlicher Nachweis- und Aufbewahrungspflichten nach Artikel 6 Absatz 1 Buchstabe c DSGVO.

Bei der Registrierung speichern wir die akzeptierte Fassung der Nutzungsbedingungen, des Auftragsverarbeitungsvertrags und der Datenschutzhinweise, den Zeitpunkt, die jeweilige Versionsnummer und eine Inhaltsprüfsumme. Der dabei verwendete Netzwerkabdruck wird gesalzen gehasht. Dies dient dem Nachweis des Vertragsschlusses und der Systemsicherheit.

Ist ein Benutzer als Beschäftigter oder Ansprechpartner eines Firmenkunden tätig und selbst nicht Vertragspartei, stützen wir die notwendige Kontoverwaltung und geschäftliche Kommunikation auf Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser Interesse ist die Durchführung des Vertrags mit seinem Unternehmen. Die Kenntnisnahme dieser Hinweise ist keine pauschale Einwilligung in Datenverarbeitungen.

Soweit „Mit Google anmelden“ angeboten und vom Benutzer ausgewählt wird, werden zur Authentifizierung insbesondere die Google-Konto-ID, die bestätigte E-Mail-Adresse und der bereitgestellte Name verarbeitet. Google erhält dabei technische Verbindungsdaten und die Information über den Anmeldevorgang. Diese Anmeldung gewährt für sich keinen Zugriff auf Gmail, Kalender oder Dateien; solche Integrationen benötigen eine gesonderte Verbindung. Anbieter im EWR ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Weitere Informationen: https://policies.google.com/privacy. Die Verarbeitung auf unserer Seite dient der gewünschten Anmeldung nach Artikel 6 Absatz 1 Buchstabe b beziehungsweise f DSGVO. Mögliche Drittlandverarbeitungen durch Google richten sich nach dessen Hinweisen und den in Ziffer 14 beschriebenen Voraussetzungen.

5. Zwei-Faktor-Authentifizierung und Sicherheit
Für Benutzerkonten ist eine Authenticator-basierte Zwei-Faktor-Authentifizierung vorgesehen. Dabei werden ein verschlüsseltes TOTP-Geheimnis, der Aktivierungszeitpunkt sowie nur gehashte Wiederherstellungscodes verarbeitet. Aktive Sitzungen werden serverseitig verwaltet und können widerrufen werden.

Die Verarbeitung ist für die sichere Vertragserfüllung und zum Schutz von Firmen- und Kontaktdaten erforderlich. Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstaben b und f DSGVO.

6. Vertragsabwicklung, Abrechnung und Stripe
Für Testphase, Abonnement, Rechnungsstatus und Zahlungsverwaltung verarbeiten wir Konto-, Vertrags-, Tarif-, Laufzeit- und Abrechnungsdaten. Die eigentliche Zahlungsabwicklung kann über Stripe erfolgen. Dabei werden erforderliche Angaben wie E-Mail-Adresse, Rechnungsanschrift, Steuerinformationen, Zahlungsstatus und technische Transaktionskennungen an Stripe übermittelt beziehungsweise von Stripe empfangen. Vollständige Zahlungsdaten werden grundsätzlich durch Stripe verarbeitet und nicht in Graefer Sales Hub gespeichert.

Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstabe b DSGVO für Vertrag und Zahlung sowie Artikel 6 Absatz 1 Buchstabe c DSGVO für handels- und steuerrechtliche Pflichten. Für einzelne Sicherheits- und Betrugspräventionsmaßnahmen kann Artikel 6 Absatz 1 Buchstabe f DSGVO einschlägig sein. Die eigenständige Datenverarbeitung durch Stripe richtet sich ergänzend nach den Datenschutzhinweisen des Zahlungsdienstleisters.

7. System-E-Mails und Support
Wir verwenden die hinterlegte E-Mail-Adresse für notwendige Bestätigungslinks, Einladungen, Passwort-Zurücksetzungen, sicherheitsrelevante Hinweise, Vertragskommunikation und Support. Inhalte und technische Versandinformationen werden nur in dem Umfang verarbeitet, der für Zustellung, Missbrauchsschutz und Fehlerbehebung erforderlich ist.

Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstaben b und f DSGVO. Marketing-E-Mails werden nicht allein aufgrund der Kontoeröffnung versendet. Für freiwillige Werbung wird eine gesonderte Rechtsgrundlage berücksichtigt.

8. CRM-, Vertriebs- und Projektdaten im Auftrag
Je nach Nutzung verarbeitet Graefer Sales Hub im Auftrag des Kunden insbesondere Firmen- und Kontaktdaten, Telefonnummern, E-Mail-Adressen, Anschriften, Kundengruppen, Quellen, Interessen, Vertriebsphasen, Aufgaben, Notizen, Gesprächsprotokolle, Angebote, Finanzierungs- und Leasingunterlagen, Verkaufs- und Abwicklungsfälle sowie Angaben zu verantwortlichen Mitarbeitern.

Zwecke, Rechtsgrundlagen, Empfänger und Löschfristen bestimmt der jeweilige Kunde. Der Kunde muss insbesondere sicherstellen, dass Daten aus aktiver Neukundenansprache, aus Telefonaten, aus E-Mails und aus Drittsystemen rechtmäßig verarbeitet werden und erforderliche Informationen oder Einwilligungen erteilt wurden.

9. E-Mail- und Telefonieanbindungen
Wenn ein Kunde ein E-Mail-Postfach oder einen Telefoniedienst verbindet, verarbeitet das System die vom Kunden freigegebenen Verbindungs-, Absender-, Empfänger-, Rufnummern-, Zeit-, Status- und gegebenenfalls Inhaltsdaten. Der Kunde entscheidet über gemeinsame oder persönliche Postfachsichtbarkeit sowie über die Zuordnung zu Leads und Mitarbeitern.

Gesprächsaufzeichnungen oder Transkriptionen dürfen nur aktiviert und genutzt werden, wenn der Kunde die dafür erforderliche Rechtsgrundlage, Transparenz und gegebenenfalls Einwilligung aller Gesprächsteilnehmer sichergestellt hat. Eine heimliche Gesprächsaufzeichnung ist nicht Gegenstand einer zulässigen Standardnutzung.

10. Buchhaltungs-, Warenwirtschafts- und sonstige Integrationen
Auf Wunsch des Kunden kann das System Daten mit Diensten wie Lexware Office, sevdesk, easybill, Xentral, E-Mail-Anbietern, Telefonieanbietern, Meta, Google-Diensten oder weiteren ausdrücklich verbundenen Systemen austauschen. Je nach Anbindung können Stammdaten, Kontakte, Produkte, Belege, Zahlungsstatus, Lead-Daten oder Kommunikationsereignisse in beide Richtungen synchronisiert werden.

Die Verbindung erfolgt erst nach Einrichtung durch einen dafür berechtigten Benutzer; hierzu kann auch die Verbindung des eigenen persönlichen Postfachs gehören. Zugangsdaten und Zugriffsschlüssel werden verschlüsselt oder über geschützte Secret-Dateien verarbeitet. Der Kunde bestimmt Zweck und Umfang der Synchronisierung und ist für sein Vertragsverhältnis mit dem jeweiligen Drittanbieter verantwortlich. Bei einer freigegebenen WhatsApp-Business-Verbindung können insbesondere Business-Konto- und Rufnummernkennungen, Absender, Empfänger, Nachrichteninhalte, Anhänge sowie Zustell- und Lesestatus verarbeitet werden. Aktivierte Funktionen und Berechtigungen bestimmen den Umfang. Die eigenständige Verarbeitung durch Meta beziehungsweise WhatsApp richtet sich ergänzend nach deren Datenschutzhinweisen.

11. KI-gestützte Verarbeitung
Bei bewusster Nutzung einer KI-Funktion können die für die konkrete Aufgabe erforderlichen CRM-Auszüge, Notizen, Einwände oder Gesprächsinhalte an einen vertraglich angebundenen KI-Dienst übermittelt werden. Das System soll die Datenmenge auf das für die Anfrage erforderliche Maß begrenzen. Ergebnisse können als Zusammenfassung, Formulierungsvorschlag oder Vertriebsimpuls im Firmenkonto angezeigt werden.

Für die KI-Funktion wird die OpenAI API eingesetzt. Vor der Übermittlung werden unmittelbare Kontaktdaten nach Möglichkeit entfernt. Freitexte können dennoch personenbezogene Angaben enthalten; die Verarbeitung ist daher nicht als anonym anzusehen. Eine ausschließlich europäische KI-Verarbeitung oder eine vollständige Speicherfreiheit wird nicht zugesagt. Der gegenwärtig technisch vorgesehene Standardzugang kann Verarbeitung außerhalb des EWR einschließlich der USA umfassen. API-Inhalte werden nach den veröffentlichten Bedingungen für Geschäftskunden standardmäßig nicht zum Modelltraining verwendet; eine freiwillige Datenfreigabe ist davon zu unterscheiden. Missbrauchsüberwachungsprotokolle können standardmäßig bis zu 30 Tage gespeichert werden, vorbehaltlich gesetzlicher Ausnahmen. Die technische Einstellung zum Nicht-Speichern einer Antwort beseitigt diese mögliche Protokollierung nicht. Empfänger und Übermittlungsinstrumente sind in der Dienstleisterliste erläutert. KI-Ergebnisse werden nicht ohne menschliche Entscheidung für rechtliche oder ähnlich erhebliche Entscheidungen über Personen verwendet.

12. Cookies und lokale Speicherung
Die Anwendung verwendet technisch notwendige Sitzungs- und Sicherheitscookies, insbesondere für Anmeldung, Sitzungsverwaltung und Schutz vor gefälschten Anfragen. Diese Funktionen sind für den vom Benutzer angeforderten Dienst erforderlich. Rechtsgrundlage für personenbezogene Verarbeitung sind Artikel 6 Absatz 1 Buchstaben b und f DSGVO; der Zugriff auf das Endgerät richtet sich nach den einschlägigen Vorschriften des TDDDG.

Nach aktuellem technischen Stand werden im Anmeldebereich keine Werbe- oder Reichweitenmessungs-Cookies eingesetzt. Falls solche Funktionen später ergänzt werden, wird die Information vor Einsatz angepasst und eine erforderliche Einwilligung eingeholt.

Das Sitzungscookie crm_session hat eine maximale Laufzeit von acht Stunden. Schutzcookies für Formulare laufen regelmäßig nach zehn bis 15 Minuten ab. Zusätzlich speichert der Browser gewählte Ansichten, Listendichte, geöffnete Bereiche, Hinweise und Angaben zur persönlichen Tagesansicht im Local Storage; einzelne Schlüssel können die Benutzer-E-Mail-Adresse enthalten. Diese Daten bleiben bis zum Entfernen durch die Anwendung oder Löschen der Website-Daten im Browser erhalten. Kurzfristiger Verbindungsstatus für die WhatsApp-Anbindung wird im Session Storage gespeichert und bei Verarbeitung entfernt; ansonsten endet dessen Speicherung mit der Browsersitzung. Diese Speicherung dient der angeforderten Anmeldung, Verbindung und Bedienung. Soweit sie hierfür unbedingt erforderlich ist, erfolgt sie nach § 25 Absatz 2 Nummer 2 TDDDG; darüber hinausgehende einwilligungsbedürftige Endgerätezugriffe setzen eine vorherige Einwilligung voraus. Auf gemeinsam genutzten Geräten sollten Benutzer nach der Nutzung die Website-Daten entfernen. Bei Weiterleitung zu Stripe, Google oder anderen ausdrücklich aufgerufenen Diensten gelten für deren Endgerätezugriffe ergänzend deren eigene Hinweise.

13. Empfänger und Unterauftragnehmer
Zugriff erhalten intern nur Personen, die ihn für Betrieb, Support, Abrechnung oder Sicherheit benötigen. Externe Empfänger können – abhängig von der tatsächlichen Konfiguration – Hosting- und Infrastrukturprovider, E-Mail-Versanddienstleister, Stripe, verbundene Integrationsanbieter, der KI-Dienstleister sowie fachliche Berater und Behörden bei gesetzlicher Verpflichtung sein.

Die aktuelle Liste der von uns eingesetzten Dienstleister und Unterauftragnehmer ist unter /unterauftragnehmer abrufbar. Für Auftragsverarbeiter werden Verträge nach Artikel 28 DSGVO geschlossen. Vom Kunden selbst aktivierte Integrationsanbieter erhalten Daten ausschließlich aufgrund der Konfiguration und Weisung des Kunden; ihre eigenständige Verarbeitung richtet sich zusätzlich nach dem Vertragsverhältnis des Kunden mit dem jeweiligen Anbieter.

14. Verarbeitung außerhalb von EU und EWR
Einige vom Kunden aktivierte Drittanbieter oder Unterauftragnehmer können Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeiten. Eine solche Übermittlung erfolgt nur bei Vorliegen der gesetzlichen Voraussetzungen, beispielsweise aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien wie Standardvertragsklauseln und ergänzender Schutzmaßnahmen.

Die konkret eingesetzten Empfänger, Verarbeitungsregionen und Übermittlungsgrundlagen werden in der Dienstleisterliste ausgewiesen. Wo möglich wählen wir eine Verarbeitung im EWR. Bei Drittlandübermittlungen prüfen wir das anwendbare Übermittlungsinstrument und erforderliche ergänzende Schutzmaßnahmen.

15. Speicherdauer und Löschung
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten bestehen. Bestätigungslinks für Registrierungen sind 24 Stunden, Passwort- und Löschbestätigungslinks 60 Minuten und Teameinladungen sieben Tage gültig. Abgelaufene technische Token werden zeitversetzt bereinigt.

Eine bestätigte Kontolöschung wird zunächst 30 Tage widerrufbar vorgemerkt. Danach werden aktive CRM- und Kontodaten innerhalb von 30 Tagen gelöscht oder irreversibel anonymisiert, sofern keine gesetzlichen Pflichten oder berechtigten Nachweisinteressen entgegenstehen. Verschlüsselte Sicherungskopien werden rollierend spätestens nach weiteren 30 Tagen überschrieben und bis dahin nur für eine Wiederherstellung im Störungsfall verwendet. Sicherheitsprotokolle werden grundsätzlich 90 Tage gespeichert; bei einem konkreten Vorfall bis zu dessen Klärung und Ablauf einschlägiger Verjährungsfristen. Vertrags-, Abrechnungs- und steuerlich relevante Nachweise werden entsprechend den gesetzlichen Aufbewahrungsfristen gespeichert. Gesprächsaudiodateien werden bei aktivierter Funktion standardmäßig nach 24 Stunden gelöscht; Zusammenfassung oder Transkript richten sich nach der vom Kunden festgelegten CRM-Löschfrist.

16. Pflicht zur Bereitstellung
Die als erforderlich gekennzeichneten Registrierungs-, Sicherheits- und Vertragsdaten werden für Kontoeröffnung und Vertrag benötigt. Ohne diese Angaben kann Graefer Sales Hub nicht bereitgestellt werden. Optionale CRM-Inhalte und Integrationen bestimmt der Kunde selbst.

17. Automatisierte Entscheidungen
Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Artikel 22 DSGVO über registrierte Benutzer statt. Priorisierungen, Erinnerungen und KI-Vorschläge unterstützen Benutzer; die geschäftliche Entscheidung verbleibt bei einem Menschen.

18. Rechte betroffener Personen
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Soweit eine Verarbeitung auf Einwilligung beruht, kann diese mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde.

Widerspruchsrecht: Gegen Verarbeitungen auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO können Sie aus Gründen Ihrer besonderen Situation jederzeit Widerspruch einlegen. Wir verarbeiten die Daten dann nicht weiter, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder benötigen die Daten für Rechtsansprüche. Gegen Direktwerbung und damit verbundenes Profiling können Sie jederzeit ohne Begründung widersprechen. Kontakt: info@machsales.de.

Für Daten, die ein Kunde als Verantwortlicher in Graefer Sales Hub verarbeitet, sollte die Anfrage direkt an diesen Kunden gerichtet werden. Für unsere eigene Verantwortlichkeit können Anfragen an die oben genannte E-Mail-Adresse gesendet werden.

Zuständige Aufsichtsbehörde für den Anbieter ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
Internet: www.ldi.nrw.de

19. Sicherheit
Wir setzen technische und organisatorische Maßnahmen ein, die sich am Risiko der Verarbeitung orientieren. Dazu gehören insbesondere Mandantentrennung, rollenbasierte Berechtigungen, verschlüsselte Zugangsdaten, Passwort-Hashing, Zwei-Faktor-Authentifizierung, sichere Sitzungen, Protokollierung sicherheitsrelevanter Ereignisse, verschlüsselte Backups und kontrollierte Wiederherstellungsprozesse.

Kein System kann absolute Sicherheit gewährleisten. Sicherheitsmaßnahmen werden überprüft und entsprechend technischer Entwicklung und Risikolage angepasst.

20. Änderungen dieser Hinweise
Diese Datenschutzhinweise werden angepasst, wenn sich Funktionen, Empfänger, Rechtslage oder Datenverarbeitungen ändern. Die jeweils veröffentlichte Fassung trägt eine Versionsangabe. Wesentliche Änderungen werden registrierten Kunden in geeigneter Weise mitgeteilt.