Datenschutzerklärung

Warteliste

Bis zum Start von HocDoc können Sie sich auf der Website in eine Warteliste eintragen. Das Formular hat zwei Felder: Name und E-Mail-Adresse. Ihr Browser überträgt Ihre Eingaben an die App von HocDoc unter app.hocdoc.com und an keinen Dritten. Die App wird über Vercel ausgeliefert. Dabei fallen die Verbindungsdaten an, die unter Aufruf der App stehen.

Zu Ihrem Eintrag speichern wir in der Datenbank der App bei Supabase in Frankfurt:

• Ihren Namen und Ihre E-Mail-Adresse. Die Adresse steht zusätzlich in vereinheitlichter Schreibweise dort, damit jede Adresse nur einmal auf der Liste steht.
• Die Sprache der Seite, auf der Sie sich eingetragen haben (Deutsch oder Englisch).
• Ihren Platz auf der Liste und Ihren Empfehlungscode.
• Den Eintrag, über dessen Empfehlungslink Sie gekommen sind, falls Sie über einen gekommen sind.
• Die Angabe utm_source oder source aus der Adresse der Seite, falls sie eine enthält, zum Beispiel linkedin.
• Einen Hash Ihrer IP-Adresse, gebildet mit einem geheimen Schlüssel. Die IP-Adresse selbst speichern wir nicht. Mit dem Hash erkennen wir Empfehlungen, die von derselben IP-Adresse kommen, und begrenzen neue Einträge je IP-Adresse.
• Den Zeitpunkt des Eintrags, den Zeitpunkt und die Zahl der Mails zur Bestätigung, den Link zur Bestätigung nur als Hash und den Zeitpunkt der Bestätigung.

Nach dem Eintragen schicken wir Ihnen eine Mail mit einem Link, über den Sie Ihre E-Mail-Adresse bestätigen. Tragen Sie sich vor der Bestätigung noch einmal ein, schicken wir die Mail erneut, frühestens nach 10 Minuten und je Eintrag höchstens dreimal. Die Mail verschicken wir über Resend in der Region EU, von der Domain mail.hocdoc.com. Resend erhält dafür Ihre E-Mail-Adresse und den Inhalt der Mail mit Ihrem Namen.

Jeder Eintrag bekommt einen Empfehlungscode und damit einen Empfehlungslink. Wir zählen, wie viele Personen sich über Ihren Link eingetragen und ihre E-Mail-Adresse bestätigt haben. Die Website zeigt Ihnen Ihren Platz und diese Zahl. Sie ruft beides mit Ihrem Empfehlungscode ab. Name und E-Mail-Adresse gibt die App dabei nie zurück. Wer eine E-Mail-Adresse einträgt, die schon auf der Liste steht, sieht Platz und Empfehlungscode dieses Eintrags.

Nach dem Eintragen zeigt die Website Links zum Teilen auf LinkedIn und X. Ihr Browser ruft diese Adressen erst auf, wenn Sie einem Link folgen. Dann geht Ihr Empfehlungslink als Teil der Adresse an den Anbieter.

Lokaler Speicher der Website

Die Website setzt kein Cookie. Im lokalen Speicher des Browsers legt sie nur diese Einträge ab. Ihr Name und Ihre E-Mail-Adresse stehen dort nicht.

Aufruf der App

Die App wird über Vercel ausgeliefert. Bei jedem Aufruf verarbeitet Vercel die Verbindungsdaten, die dafür technisch nötig sind: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browser-Kennung.

Konto und Anmeldung

Für ein Konto verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und Ihr Passwort. Konto und Anmeldung laufen über Supabase Auth in Frankfurt.

• Ihre E-Mail-Adresse bestätigen Sie über einen Link, den wir Ihnen per Mail schicken.
• Die Zwei-Faktor-Anmeldung mit einer Authenticator-App ist freiwillig. Schalten Sie sie ein, speichern wir den Faktor und zehn Wiederherstellungscodes, die Codes nur als Hash.
• Wir schicken Ihnen eine Mail, wenn Ihr Passwort geändert, die Zwei-Faktor-Anmeldung ein- oder ausgeschaltet oder ein Wiederherstellungscode verwendet wurde.

Workspace und Team

Ein Workspace gehört zu einem Unternehmen oder Team. Dort speichern wir:

• Name, Zeitzone und Währung des Workspace, Logo und Farbe, die Angaben zum Absender (Name, Antwortadresse, Kontakt, Links zu Impressum und AGB).
• Die Mitglieder mit ihrer Rolle (Inhaber, Admin, Mitglied, Betrachter).
• Einladungen: die E-Mail-Adresse der eingeladenen Person und wer sie eingeladen hat.

Inhalte, die Sie anlegen

• Angebote, Vorlagen und Einträge der Bibliothek samt Bildern.
• Kontakte: E-Mail-Adresse, Name, Firma, Telefonnummer und Notiz.
• API-Keys. Gespeichert wird nur ein Hash des Keys.

Legen Sie Daten Ihrer Kunden an, verarbeiten wir sie in Ihrem Auftrag. Dafür gilt die Vereinbarung zur Auftragsverarbeitung.

Cookies und lokaler Speicher

Die App setzt nur Cookies und Einträge im lokalen Speicher des Browsers, die sie für Anmeldung und Bedienung braucht, sowie die Einträge der Produkt-Analytics. Cookies zu Werbezwecken gibt es nicht.

Die Seiten mit den Rechtstexten setzen kein Cookie.

Produkt-Analytics

Um zu verstehen, wie die App genutzt wird, setzen wir PostHog in der Region EU ein. Das gilt nur in der angemeldeten App und nur im Produktivbetrieb.

• Gesendet werden: die ID Ihres Kontos, die IDs von Workspace und Angebot, fünf Ereignisse (Registrierung abgeschlossen, Workspace angelegt, Angebot angelegt, Angebot versendet, Angebot angenommen), Seitenaufrufe ohne Seitentitel und ohne Parameter der Adresse, Ladezeiten (Web Vitals) sowie Browser, Betriebssystem, Gerätetyp und Bildschirmgröße.
• Nie gesendet werden: E-Mail-Adressen, Namen, Firmen, Titel und Inhalte von Angeboten und Daten von Empfängern.
• PostHog setzt kein Cookie. Die IDs liegen im lokalen Speicher des Browsers.
• Es gibt keine Aufzeichnung von Sitzungen und keine Erfassung von Klicks. Aus der IP-Adresse wird kein Ort abgeleitet.

Fehler-Monitoring

Damit Fehler auffallen, setzen wir Sentry in der Region EU ein, nur im Produktivbetrieb. Gemeldet werden nur Fehler.

• Eine Fehlermeldung enthält keine IP-Adresse, keine Cookies, keine Formulardaten und keine Inhalte von Anfragen.
• Von Ihrem Konto geht nur die ID mit, nie E-Mail-Adresse oder Name.
• Zugangs-Token und E-Mail-Adressen in Adressen und Meldungen werden maskiert. Die Browser-Kennung bleibt erhalten.

E-Mails

E-Mails der App und der Anmeldung verschicken wir über Resend in der Region EU, von der Domain mail.hocdoc.com. Resend erhält dafür die Adresse des Empfängers und den Inhalt der Mail.

Hintergrund-Jobs

Mails nach Versand, Unterschrift und Annahme eines Angebots laufen als Hintergrund-Jobs über Inngest. Inngest erhält dafür nur IDs, nie E-Mail-Adressen, Namen oder Inhalte.

Entwurf aus dem Interview

Im Interview zum Gespräch können Sie aus Ihren Antworten den Entwurf eines Angebots erzeugen lassen. Dafür setzen wir Anthropic (Claude API) ein. Erst mit dem Klick auf „Entwurf erzeugen“ gehen Ihre Antworten, der Angebotstyp und die Firma des Empfängers dorthin. Kontakte, E-Mail-Adressen und andere Angebote gehen nicht dorthin.

Rechtsgrundlagen

• Konto, Workspace und Betrieb der App: Erfüllung des Vertrags über die Nutzung von HocDoc (Art. 6 Abs. 1 lit. b DSGVO).
• Sicherheit der Anmeldung, Fehler-Monitoring und Produkt-Analytics: unser berechtigtes Interesse an einem sicheren und funktionierenden Produkt (Art. 6 Abs. 1 lit. f DSGVO).

Wer verantwortlich ist

Das Angebot stammt vom Absender. Er entscheidet, welche Daten er einträgt und wem er das Angebot schickt, und ist für diese Verarbeitung verantwortlich. Sein Impressum und seine AGB sind im Fuß des Angebots verlinkt, soweit er sie hinterlegt hat.

Die Leadscape GmbH verarbeitet Ihre Daten im Auftrag des Absenders (Art. 28 DSGVO), siehe Vereinbarung zur Auftragsverarbeitung. Mit Fragen und Anträgen zu Ihren Daten wenden Sie sich bitte an den Absender. Wir unterstützen ihn dabei.

Welche Daten verarbeitet werden

• Angaben, die der Absender einträgt: Ihr Name, Ihre E-Mail-Adresse und Ihre Firma, dazu der Inhalt des Angebots und eine persönliche Nachricht.
• Öffnungen des Angebots und seiner Kurzfassung: Zeitpunkt, IP-Adresse, Browser-Kennung und eine zufällige Besucher-ID.
• Verweildauer je Abschnitt: welcher Abschnitt wie lange sichtbar war, mit Zeitpunkt, IP-Adresse und Browser-Kennung.
• Eingaben in einen Rechner, falls das Angebot einen enthält, mit Zeitpunkt, IP-Adresse und Browser-Kennung.
• Code für die Annahme: dass ein Code angefordert, falsch eingegeben oder bestätigt wurde, jeweils mit Zeitpunkt, IP-Adresse und Browser-Kennung. Zu einem angeforderten Code speichern wir ein Hash des Codes, der Name und die E-Mail-Adresse der Person, die ihn angefordert hat.
• Annahme: Name und E-Mail-Adresse der Person, die annimmt, Zeitpunkt, IP-Adresse, Browser-Kennung, ein Abbild des angenommenen Dokuments mit seinem Hash und das Zertifikat als PDF.
• Unterschrift, gezeichnet oder getippt, falls der Absender eine verlangt, mit Zeitpunkt, IP-Adresse und Browser-Kennung.
• Antworten auf das Onboarding-Formular, falls der Absender nach der Annahme eines zeigt, mit Zeitpunkt, IP-Adresse und Browser-Kennung.
• Dass Sie weitere Erinnerungen zu einem Angebot abgestellt haben.

Der Absender sieht in seinem Workspace, ob und wie sein Angebot gelesen wurde, und er sieht Annahme, Unterschrift und Antworten.

E-Mails an Sie

• Die Mail mit dem Link zum Angebot.
• Der Code für die Annahme. Er gilt 15 Minuten.
• Die Bestätigung der Annahme mit dem Angebot und dem Zertifikat als PDF.
• Erinnerungen an ein offenes Angebot, falls der Absender sie eingeschaltet hat. Jede Erinnerung enthält einen Link, über den Sie weitere Erinnerungen abstellen.

Diese Mails verschicken wir über Resend in der Region EU.

Cookies der Angebotsseite

Die Cookies sind für Skripte im Browser nicht lesbar. Auf den Angebotsseiten gibt es keine Produkt-Analytics und keine Cookies zu Werbezwecken.

Fehler-Monitoring auf der Angebotsseite

Tritt auf einer Angebotsseite ein technischer Fehler auf, geht eine Fehlermeldung an Sentry in der Region EU. Sie enthält keine IP-Adresse, keine Cookies und keine Formulardaten. Der Zugang zum Angebot in der Adresse wird maskiert. Die Browser-Kennung bleibt erhalten.

Eingebettete Videos

Enthält ein Angebot ein Video, lädt Ihr Browser es erst, wenn Sie auf die Vorschaufläche klicken. Dann kommt es direkt vom jeweiligen Anbieter (YouTube über youtube-nocookie.com, Vimeo oder Loom). Vor dem Klick geht keine Anfrage an den Anbieter.

Prüfseite für Zertifikate

Auf der Prüfseite kann jeder prüfen, ob ein Zertifikat echt ist. Die Datei bleibt im Browser. Übertragen wird nur ihr SHA-256-Wert.