Datenschutzerklärung

Verantwortlicher

Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung personenbezogener Daten ist die Kotao GmbH mit Sitz in Köln, Deutschland. Unser Datenschutzteam erreichen Sie unter legal@kotao.com, unseren Datenschutzbeauftragten unter dpo@kotao.com.

Welche Daten wir erheben

Wir verarbeiten die Daten, die Sie uns bereitstellen, sowie die Daten, die bei der Nutzung der Kotao-Plattform entstehen.

• Kontodaten: Name, geschäftliche E-Mail-Adresse, Firmenname, Rechnungsangaben und die Namen der von Ihnen eingeladenen Teammitglieder.
• Website- und Nutzungsdaten: Server-Log-Daten (IP-Adresse, Anfragezeitpunkt, Anfragepfad, Statuscode, User-Agent), Geräte- und Browserinformationen, Interaktionen auf Marketing-Flächen, Inhalte von Kontaktformularen, Inhalte von Lead-Formularen, Newsletter-Formulardaten und Einwilligungsnachweise.
• Zahlungsdaten: Kartendaten und Zahlungsmittel werden ausschließlich durch zertifizierte Zahlungsdienstleister verarbeitet. Kotao speichert vollständige Kartennummern niemals auf eigener Infrastruktur.
• Daten verbundener Bankkonten: Wenn eine berechtigte Person im Workspace ausgewählte Konten ausdrücklich verbindet, verarbeiten wir Kreditinstitut und Land, Anbieter- und Kontokennungen, Anzeigenamen und maskierte Kontodetails, Kontoart, Währung sowie Beträge, Buchungs- und Autorisierungszeitpunkte, Zahlungsreferenzen, Beschreibungen und Gegenpartei-Bezeichnungen eingehender Umsätze. Kotao begrenzt den für den Rechnungsabgleich verwendeten Feed bewusst auf Zahlungseingänge.

Optionale Bankverbindungen und Rechnungsabgleich

Das Finance-Modul kann ausgewählte Geschäftskonten über Plaid verbinden. Vor Beginn einer Verbindung zeigt Kotao einen zweckbezogenen Datenschutzhinweis und speichert dessen Version und Sprache sowie die einwilligende Workspace-Person und den Zeitstempel. Plaid kann zusätzlich eigene Endnutzerbedingungen und Datenschutzhinweise anzeigen, wenn Plaid regulierte Kontoinformationsdienste erbringt.

Kotao nutzt die Daten verbundener Bankkonten, um Zahlungseingänge zu synchronisieren, Zuordnungen zu offenen Rechnungen vorzuschlagen, freigegebene Zuordnungen zu verbuchen, mehrdeutige Zahlungen oder Überzahlungen zur Prüfung vorzulegen und die Verbindung zu betreiben. Soweit Kotao die Zwecke dieser Verarbeitung festlegt, beruht sie auf Art. 6 Abs. 1 lit. b DSGVO zur Bereitstellung des optionalen Finance-Dienstes und, soweit erforderlich, auf einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Verarbeitet Kotao diese Daten auf Weisung eines Kunden, bleibt der Kunde Verantwortlicher und der Auftragsverarbeitungsvertrag gilt.

Eine berechtigte Person im Workspace kann eine Bankverbindung trennen. Kotao fordert Plaid dann zur Entfernung der Anbieterverbindung auf, löscht das gespeicherte Anbieter-Zugriffstoken, die ausgewählten Bankkontodatensätze und die importierten Bankumsätze und beendet die weitere Synchronisierung. Rechnungszahlungs- und Buchungsnachweise, die bereits aus einer freigegebenen Zuordnung entstanden sind, können ohne Verknüpfung zum ursprünglichen Bankumsatz aufgrund handels-, steuer-, streit- oder prüfungsbezogener Pflichten bestehen bleiben. Kotao kann außerdem den versionierten Einwilligungs- und Trennungsnachweis aufbewahren, der zum Nachweis von Weisung und Widerruf erforderlich ist. Kunden können über legal@kotao.com zusätzlich Auskunft, Berichtigung, Einschränkung oder Löschung verlangen; gesetzliche Aufbewahrungspflichten und dokumentierte Legal Holds bleiben unberührt.

Verarbeitung auf Website und Marketing-Seite

Wenn Sie www.kotao.com nutzen, verarbeiten wir personenbezogene Daten für folgende Zwecke:

• Kontaktformulare und Lead-Formulare: Name, geschäftliche E-Mail-Adresse, Unternehmen, Website, Rolle, Geschäftstyp, Umsatzband, Nachricht, Spracheinstellung und Anfragezweck werden verarbeitet, damit wir Ihre Anfrage beantworten, Demos vorbereiten, B2B-Anfragen qualifizieren und vorvertragliche Kommunikation dokumentieren können. Je nach Anfrage ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse an B2B-Vertriebsprozessen und Missbrauchsprävention.
• Newsletter-Formulare: E-Mail-Adresse, Spracheinstellung, Anfragezeitpunkt, Bestätigungszeitpunkt, Anfrage-IP-Adresse, Bestätigungs-IP-Adresse, Anfrage-User-Agent, Bestätigungs-User-Agent und Quelle werden für Double-Opt-In, Zustellung, Abmeldung und Einwilligungsnachweis verarbeitet.
• Einwilligungsnachweise: Wenn ein Formular eine Datenschutz- oder Newsletter-Einwilligung erfordert, speichern wir ein consentRecord mit Erteilungsstatus, Zeitstempel, IP-Adresse, User-Agent, Spracheinstellung, Quelle und zugehörigen Anfrage-Metadaten, damit wir die Einwilligung nachweisen und prüfen können.
• Funnel-Events: Nach Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) verarbeiten wir in PostHog Marketing-Events wie Page Viewed, Trial Signup Started, Surface Key, Sprache, Vertical Context, CTA-Label, UTM-Parameter und Referrer-Host. Ein First-Touch-Marketing-Kontext wird für die aktuelle Browser-Sitzung in sessionStorage gespeichert, damit Attribution innerhalb derselben Sitzung erhalten bleibt.
• Fehler-Monitoring: Ein minimales Fehler- und Absturz-Monitoring (Sentry, EU-Ingest) läuft in deployten Umgebungen für alle Besucher auf Grundlage unseres berechtigten Interesses an einem stabilen und sicheren Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Diese Stufe ist bewusst minimiert: kein Session-Replay, kein Performance-Tracing, keine Breadcrumbs, sendDefaultPii: false, URLs ohne Query-Parameter — und auf Ihrem Endgerät wird nichts gespeichert oder ausgelesen. Verarbeitet werden technische Fehlerdaten wie Fehlermeldung, Stack Trace sowie Browser- und Gerätekontext; die bei der Übertragung netzwerkseitig anfallende IP-Adresse wird durch die Konfiguration nicht im Fehlerereignis gespeichert. Erweiterte Sentry-Telemetrie (Performance, Release Health) und PostHog-Analyse laufen ausschließlich nach Ihrer Einwilligung. Der Interessenabwägung liegt eine dokumentierte Prüfung zugrunde; Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO).
• Server-Logs: Wir verarbeiten Server-Logs einschließlich IP-Adresse, Anfragezeitpunkt, Anfragepfad, Statuscode und User-Agent für Sicherheit, Betrugs- und Missbrauchsprävention, Verfügbarkeit, Debugging und Incident-Untersuchung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Analyse-Cookies und vergleichbare Technologien erläutern wir in der Cookie-Richtlinie.

Newsletter

Wenn Sie den Kotao Newsletter abonnieren, verarbeiten wir Ihre E-Mail-Adresse und Spracheinstellung, um Ihnen Produkt-Updates und betriebliche Hinweise zu senden. Die Verarbeitung für den Newsletter beruht auf Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Wir verwenden Double-Opt-In, bevor wir Sie in den Verteiler aufnehmen. Nach Absenden des Newsletter-Formulars senden wir eine Bestätigungs-E-Mail. Erst nach Klick auf den Bestätigungslink erfassen wir Ihre Anmeldung. Als Einwilligungsnachweis speichern wir Anfragezeitpunkt, Anfrage-IP-Adresse, Anfrage-User-Agent, Bestätigungszeitpunkt, Bestätigungs-IP-Adresse und Bestätigungs-User-Agent.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den Abmeldelink in einer Newsletter-E-Mail nutzen oder sich an legal@kotao.com wenden.

Rechtsgrundlagen nach Art. 6 DSGVO

Wir verarbeiten Ihre Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, einschließlich Newsletter-Anmeldungen.
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung, soweit die Verarbeitung zur Bereitstellung der Plattform erforderlich ist.
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Verpflichtungen, einschließlich steuer- und handelsrechtlicher Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen am Betrieb, der Sicherung und der Weiterentwicklung der Plattform.

Auftragsverarbeiter

Wir nutzen Drittanbieter für Hosting, E-Mail, Zahlungen, Bankverbindungen, Analyse, Observability und optionale KI-Funktionen. Die aktuelle namentliche Liste, einschließlich Cloudflare, Neon, Kotao-Payments-Zahlungsabwickler, Resend, Amazon SES, PostHog, Sentry, OpenAI und der geplanten Aufnahme von Plaid, mit Zweck, Datenkategorien, Rolle, Verarbeitungsregion, Drittlandbasis, Versionierung und Änderungsbenachrichtigung finden Sie unter Unterauftragsverarbeiter.

Drittlandübermittlungen

Einige Auftragsverarbeiter und Serviceprozesse beziehen Empfänger in den USA oder anderen Staaten außerhalb des Europäischen Wirtschaftsraums, des Vereinigten Königreichs oder der Schweiz ein. Soweit personenbezogene Daten international übermittelt werden, stützt Kotao sich auf die veröffentlichten Garantien des jeweiligen Auftragsverarbeiters, einschließlich Angemessenheitsbeschlüssen wie dem EU-U.S. Data Privacy Framework (DPF) für zertifizierte Empfänger sowie Standard Contractual Clauses (SCC) oder gleichwertige Datenübermittlungsvereinbarungen, soweit erforderlich. Die jeweilige Drittlandbasis pro benanntem Auftragsverarbeiter ist in der Liste Unterauftragsverarbeiter aufgeführt.

Speicherdauer

Kontodaten werden für die Dauer Ihres Vertragsverhältnisses sowie drei Jahre nach Beendigung gespeichert. Server-Logs werden 90 Tage aufbewahrt. Verbundene Bankkonto- und Umsatzdaten werden während der aktiven Verbindung gespeichert und bei einer Trennung durch eine berechtigte Person entfernt; ausgenommen sind die oben beschriebenen entkoppelten Buchungs-, Einwilligungs-, Trennungs- und gesetzlichen Aufbewahrungsnachweise. Handels- und Steuerunterlagen werden abhängig von der Dokumentkategorie aufbewahrt: Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse und die zu ihrem Verständnis erforderlichen Unterlagen zehn Jahre; Buchungsbelege und Rechnungen acht Jahre; Handels- und Geschäftsbriefe sechs Jahre. Die jeweilige Frist beginnt mit dem Ende des maßgeblichen Kalenderjahres und kann sich verlängern, wenn ein Legal Hold, eine Prüfung, ein Rechtsstreit oder eine andere gesetzliche Regelung dies erfordert.

Nach Ablauf der Speicherdauer löschen oder anonymisieren wir personenbezogene Daten irreversibel, sofern keine anwendbare gesetzliche Pflicht oder dokumentierte Aufbewahrungssperre eine weitere, zugriffsbeschränkte Speicherung verlangt. Im Auftrag eines Kunden verarbeitete personenbezogene Daten werden nach Maßgabe des Auftragsverarbeitungsvertrags grundsätzlich innerhalb von 30 Tagen nach Vertragsende nach Wahl des Kunden zurückgegeben oder gelöscht, soweit anwendbares Recht nicht entgegensteht.

Ihre Rechte

Gemäß Art. 15 bis 22 DSGVO haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung und Widerspruch sowie auf Widerruf erteilter Einwilligungen. Zur Ausübung Ihrer Rechte wenden Sie sich bitte an legal@kotao.com.

Sie haben außerdem das Recht, sich bei der zuständigen Aufsichtsbehörde, der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), zu beschweren.