Datenschutzerklärung der Dealcode GmbH

für die Marketing-Website dealcode.ai, die CRM- & Vertriebsplattform app.dealcode.ai, den mobilen Event-Lead-Scanner scanner.dealcode.ai sowie die Buchungsplattform meetings.dealcode.ai

Stand: September 2026

1. Einleitung, Geltungsbereich & Kontaktdaten

Im Folgenden informieren wir über die Erhebung und Verarbeitung personenbezogener Daten bei der Nutzung unserer Dienste.

1.1. Geltungsbereich

Diese Datenschutzerklärung gilt für: 1. unsere öffentliche Marketing-Website unter https://www.dealcode.ai/ (einschließlich aller Unterseiten und des Trust Centers), 2. unsere cloudbasierte B2B-CRM- und Vertriebsplattform unter https://app.dealcode.ai/ (nachfolgend „Plattform“), 3. unsere mobile Web-App zur Messe- und Event-Leaderfassung unter https://scanner.dealcode.ai/ (nachfolgend „Lead-Scanner-App“), 4. unsere integrierte Terminbuchungs-Plattform unter https://meetings.dealcode.ai/ (nachfolgend „Buchungs-Subdomain“), sowie 5. unsere geschäftlichen Unternehmensprofile in sozialen Netzwerken (z. B. LinkedIn).

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name, geschäftliche Kontaktdaten, IP-Adresse, E-Mail-Inhalte).

1.2. Verantwortliche Stelle

Verantwortlicher im Sinne von Art. 4 Nr. 7 der EU-Datenschutz-Grundverordnung (DSGVO) für die Datenverarbeitungen im Rahmen des Betriebs der Website dealcode.ai, der Kundenkontenverwaltung und der Bereitstellung der technischen Infrastruktur ist:

Dealcode GmbH
c/o SPACE Hamburg
Am Sandtorkai 27
20457 Hamburg
Deutschland

Telefon: +49 40 822 116 30
E-Mail: contact@dealcode.ai / datenschutz@dealcode.ai
Handelsregister: HRB 168195 (Amtsgericht Hamburg)
Geschäftsführung: Alexander Weltzsch, Dennis Hilger
Umsatzsteuer-Identifikationsnummer: DE341860858

1.3. Datenschutzbeauftragter

Wir haben für unser Unternehmen einen externen Datenschutzbeauftragten bestellt:

Martin Bastius
heyData GmbH
Kantstraße 99, 10627 Berlin
Deutschland
E-Mail: datenschutz@heydata.eu
Website: www.heydata.eu

2. Differenzierung der Rollen nach DSGVO: Verantwortlicher vs. Auftragsverarbeiter

Zur Wahrung größtmöglicher Transparenz unterscheiden wir strikt zwischen zwei Verarbeitungsrollen:

2.1. dealcode als Verantwortlicher (Art. 4 Nr. 7 DSGVO)

dealcode ist datenschutzrechtlich Verantwortlicher für Verarbeitungen, die: den Besuch und die Nutzung unserer öffentlichen Website dealcode.ai betreffen; die Begründung, inhaltliche Ausgestaltung und Abwicklung des Nutzungsvertrages mit unseren Kunden betreffen (z. B. Registrierungsdaten der Kunden-Accounts, Rechnungs- und Zahlungsdaten, Berechtigungsverwaltung, Kommunikation mit Kunden-Ansprechpartnern); sicherheitsrelevante System- und Zugriffsprotokolle (Server-Logs, Audit-Trails zur Betrugsprävention) betreffen.

2.2. dealcode als Auftragsverarbeiter (Art. 28 DSGVO)

Soweit der Kunde oder dessen autorisierte Nutzer die Plattform app.dealcode.ai oder die Lead-Scanner-App scanner.dealcode.ai als B2B-CRM-System nutzen und darin Kontaktdaten eigener Geschäftspartner, Interessenten, Leads, Notizen, E-Mails oder Kalenderdaten anlegen, importieren, synchronisieren oder über die Schnittstellen der Plattform anreichern („CRM-Kundendaten“), agiert dealcode ausschließlich als technischer Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

Der Kunde ist und bleibt alleiniger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für diese CRM-Kundendaten.
dealcode verarbeitet diese Daten streng weisungsgebunden auf Grundlage einer gesondert abzuschließenden Auftragsverarbeitungsvereinbarung (AVV / DPA).
Der Kunde ist dafür verantwortlich, dass für die Speicherung, Anreicherung und Kontaktaufnahme der im CRM hinterlegten Personen eine wirksame Rechtsgrundlage vorliegt (z. B. Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 7 UWG) und eventuelle Informationspflichten gem. Art. 14 DSGVO erfüllt werden.

3. Technische Infrastruktur, Domain-Registrierung & 100 % Google Cloud Hosting

3.1. Domain-Registrierung über GoDaddy (Reiner Domain-Registrar)

Die Domain dealcode.ai sowie zugehörige Subdomains wurden über den Domain-Registrar GoDaddy.com LLC, 2155 E. GoDaddy Way, Tempe, AZ 85284, USA eingekauft und registriert. GoDaddy fungiert ausschließlich als Domain-Registrar zur Zuweisung der DNS-Einträge (Domain Name System). Es findet keinerlei Hosting von Website-Inhalten, Anwendungsdaten oder Datenbanken bei GoDaddy statt.

3.2. 100 % Hosting auf der Google Cloud Platform (Frankfurt am Main, Deutschland)

Sowohl die öffentliche Website dealcode.ai, die SaaS-Plattform app.dealcode.ai, die mobile Lead-Scanner-App scanner.dealcode.ai als auch die Buchungs-Subdomain meetings.dealcode.ai und alle zugehörigen Datenbanken werden zu 100 % über die Google Cloud Platform in Deutschland gehostet.

Dienstanbieter: Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland bzw. Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
Serverstandort / Rechenzentrum: Sämtliche produktiven Kernsysteme, Kundendaten und Datenbanken werden ausschließlich in der europäischen Google Cloud Region Frankfurt am Main, Deutschland (europe-west3) betrieben. Interne Entwicklungs-, Staging- oder Testumgebungen verarbeiten keine produktiven Kundendaten.
Eingesetzte Google Cloud Technologien:
Google Cloud Run: Hochverfügbare, serverlose Container-Ausführung unserer Next.js 16 Backend- und Frontend-Dienste.
Google Cloud SQL (MySQL 8.0): Vollständig verwaltete, verschlüsselte relationale Datenbank zur Speicherung von CRM-, Benutzer- und Workspace-Daten. Der Datenbankzugriff erfolgt ausschließlich über IAM-gesicherte, verschlüsselte Cloud SQL Auth Proxies (kein öffentlicher IP-Zugriff).
Google Cloud KMS (Key Management Service): Hardware-gestützte kryptografische Verschlüsselung sensibler Tokens (z. B. OAuth-Refresh-Tokens, API-Keys) im Ruhezustand (Encryption at Rest).
Google Cloud Tasks: Asynchrone Warteschlangen zur sicheren und entkoppelten Ausführung von Hintergrundaufgaben.
Google Cloud Storage: Verschlüsselte Ablage für Dateianhänge, Dokumente, Visitenkarten-Bilder und Sprachmemos.
Google Cloud Pub/Sub & Redis: Skalierbare Nachrichten- und Caching-Infrastruktur mit verteilten Sperren (distributed locks) zur Vermeidung von Dateninkonsistenzen.
Rechtsgrundlage: Berechtigtes Interesse an einer sicheren, hochverfügbaren, skalierbaren und performanten Bereitstellung unserer Dienste (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Mit Google Cloud besteht ein Vertrag über die Auftragsverarbeitung (Data Processing Addendum) einschließlich EU-Standardvertragsklauseln (SCCs).

4. Datenverarbeitung bei Nutzung der Plattform app.dealcode.ai

4.1. Registrierung, Login & Workspace-Verwaltung

Zur Nutzung der Plattform richtet der Kunde einen Workspace ein. Hierbei verarbeiten wir: Namen des Nutzers, geschäftliche E-Mail-Adresse, Telefonnummer (optional), Firmenname, Unternehmensdomain; Authentifizierungsdaten: Kryptografisch gehashte Passwörter (bcrypt), Zwei-Faktor-Authentifizierungs-Tokens (AuthToken via E-Mail); Rollen- und Rechtezuweisungen (Workspace Owner, Administrator, Manager, Campaign Manager, Viewer, Agency). Zweck & Rechtsgrundlage: Erfüllung des Nutzungsvertrages bzw. Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 S. 1 lit. b DSGVO) sowie berechtigtes Interesse an der Zugriffskontrolle (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

4.2. Sicherheits-Logging & Audit-Trails

Zur Gewährleistung der IT-Sicherheit, zur Erkennung von Angriffen und zur Verhinderung von betrügerischen Aktivitäten protokollieren wir: TenantLogin: Erfassung jedes Login-Vorgangs mit Zeitstempel, IP-Adresse und User-Agent; TenantActivity: Protokollierung funktionaler Aktionen und View-Aufrufe; AdminAuditLog: Protokollierung administrativer Eingriffe (z. B. Rollenänderungen, Lizenzanpassungen). Rechtsgrundlage: Berechtigtes Interesse an der IT-Sicherheit und dem Schutz der Plattform vor Missbrauch (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

4.3. Credit-Ledger („Stromzähler“) & Abrechnungsdaten

Die Plattform rechnet modulare Services (z. B. Anreicherungen, KI-Analysen, Kampagnenversand) verbrauchsgenau über ein internes Credit-System ab. Wir protokollieren jede Transaktion im Credit Ledger (CreditLedgerTransaction) mit Zeitstempel, Nutzer-E-Mail, gebuchter Aktion, Betrag und resultierendem Saldo. Rechnungs- und Zahlungsdaten werden gemäß den gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB) für die Dauer von 10 Jahren gespeichert. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO) und Erfüllung rechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 S. 1 lit. c DSGVO).

5. Aktive Datenanreicherung (Enrichment) & B2B-Recherche-Schnittstellen

Die Plattform stellt Schnittstellen bereit, mit denen der Kunde Unternehmens- und Kontaktdatensätze aktiv anreichern kann. dealcode führt diese Anreicherungen zu keinem Zeitpunkt eigenmächtig durch. Das Enrichment erfolgt stets auf aktive Veranlassung des Kunden.

5.1. FullEnrich (E-Mail- & Telefon-Wasserfall)

Zweck: Ergänzung und Verifizierung geschäftlicher E-Mail-Adressen und direkter geschäftlicher Telefonnummern von B2B-Ansprechpartnern. Übermittelte Parameter: Name des Ansprechpartners, Domain des Unternehmens, Firmenname. Private E-Mail-Adressen (z. B. @gmail.com, @gmx.de) werden herausgefiltert und nicht abgefragt. Dienstanbieter: FullEnrich SAS, 10 Rue de Penthièvre, 75008 Paris, Frankreich (EU). Rechtsgrundlage: Auftragsverarbeitung im Auftrag des Kunden (Art. 28 DSGVO).

5.2. Unipile (LinkedIn API Bridge via Hosted Session)

Zweck: Optionale technische Kopplung des vom Nutzer angebundenen LinkedIn-Profils zur rollenbasierten Suche nach B2B-Entscheidungsträgern sowie zur Ausführung vom Kunden initiierter Kontaktsequenzen (z. B. Profilbesuche, Vernetzungsanfragen, Nachrichten). Dienstanbieter: Unipile SAS, 11 Rue Danielle Casanova, 75001 Paris, Frankreich (EU). Funktionsweise („Auth on Behalf“ & Hosted Session): Die Verknüpfung des LinkedIn-Kontos erfolgt über einen gesicherten Authentifizierungs-Assistenten (Hosted Auth Wizard). Unipile baut eine isolierte gehostete Nutzersitzung (Hosted Session) auf. Es findet kein unautorisiertes Plattform-Scraping statt. Alle Abfragen und Interaktionen werden rein weisungsgebunden direkt im Namen des Nutzers über dessen aktive Sitzung ausgeführt. Sitzungsdaten und Tokens werden serverseitig in der EU verschlüsselt verarbeitet. Bei Session-Ablauf unterstützt das System automatische Reconnects. Die Entkopplung und vollständige Löschung auf den Servern von Unipile ist jederzeit über die Plattform möglich. Rechtsgrundlage: Auftragsverarbeitung im Auftrag des Kunden (Art. 28 DSGVO).

5.3. Google Vertex AI Search Grounding & Gemini 3.8 Flash

Zweck: Strukturierte B2B-Websuche zur Extraktion öffentlich zugänglicher Firmendaten (Impressumsangaben, Handelsregisterdaten, Unternehmensgröße, Branche, Geschäftsführung) mittels KI-Grounding über Google Vertex AI. Dienstanbieter: Google Cloud EMEA Limited, Dublin, Irland. Rechtsgrundlage: Auftragsverarbeitung im Auftrag des Kunden (Art. 28 DSGVO).

5.4. SalesViewer (Buyer Intent & LeadStream)

Zweck: Empfang von Unternehmens-Besucherdaten über Webhooks und die 72-Stunden-Puffer-Synchronisationsschleife (salesviewerSync.ts) zur Visualisierung im LeadStream des Kunden. Dienstanbieter: SalesViewer GmbH, Hiltroper Str. 88, 44789 Bochum, Deutschland (EU). Rechtsgrundlage: Auftragsverarbeitung im Auftrag des Kunden (Art. 28 DSGVO).

6. Anbindung von externen Nutzerkonten (Google Workspace & Microsoft 365)

Kunden können ihre externen E-Mail- und Kalenderkonten freiwillig über gesicherte OAuth-2.0-Schnittstellen mit der Plattform verbinden.

6.1. Google Workspace (Gmail, Google Kalender, Google Meet, Google Docs, Google Chat)

Kunden können ihre geschäftlichen Google Workspace-Konten freiwillig über das offizielle OAuth-2.0-Autorisierungsverfahren mit dealcode verknüpfen.

6.1.1. Erfasste Google-Nutzerdaten (Data Access Disclosure)

Bei der Anbindung von Google Workspace erfasst und verarbeitet dealcode ausschließlich folgende Datenarten im Rahmen der vom Nutzer explizit autorisierten Scopes (Prinzip der minimalen Berechtigungen / Least Privilege): E-Mail-Adresse und Profilidentifikation: Abfrage der geschäftlichen Google-E-Mail-Adresse des Nutzers (https://www.googleapis.com/auth/userinfo.email) zur eindeutigen Zuordnung und Authentifizierung des verbundenen Postfachs. Ausgehende E-Mail-Parameter (Gmail Send): Über den sensitiven Scope https://www.googleapis.com/auth/gmail.send verarbeitet die Plattform die vom Nutzer aktiv verfassten Nachrichtendaten (Empfänger-E-Mail-Adresse, Betreffzeile, Nachrichtentext, Dateianhänge) ausschließlich zur technischen Übermittlung der E-Mail über die offizielle Schnittstelle gmail.users.messages.send. Kalender- und Termindaten (Google Kalender & Google Meet): Über den sensitiven Scope https://www.googleapis.com/auth/calendar.events synchronisiert die Plattform Termindaten (Titel, Start-/Endzeitpunkt, Teilnehmer, automatische Google Meet-Videokonferenzlinks und Ortsangaben) des primären Kalenders des Nutzers zur bidirektionalen Terminabstimmung im CRM sowie zur Berechnung verfügbarer Buchungsfenster für persönliche Terminbuchungsseiten (/book/...). Dokumenten- und Vorlagendaten (Google Drive Per-File Access): Über den nicht-sensitiven Scope https://www.googleapis.com/auth/drive.file ermöglicht die Plattform die optionale Erstellung und Bearbeitung von Angeboten und Vertragsvorlagen. Der Zugriff beschränkt sich dabei strikt auf einzelne Dokumente und Dateien, die von dealcode selbst erstellt oder vom Nutzer explizit geöffnet wurden (kein allgemeiner Zugriff auf das Google Drive des Nutzers). OAuth-Authentifizierungs-Tokens: Speicherung der temporären Zugriffstokens (access_tokens) und kryptografisch geschützten Aktualisierungstokens (refresh_tokens), um die API-Verbindung ohne erneute Passworteingabe aufrechtzuerhalten.

6.1.2. Weitergabe und Offenlegung von Google-Nutzerdaten (Data Sharing Disclosure)

Strikter Weitergabe-Ausschluss: Sensible Google-Nutzerdaten werden unter keinen Umständen an Dritte, externe Plattformen, Werbenetzwerke, Datenbroker oder externe KI-Modellbetreiber verkauft, vermietet, geteilt oder offengelegt. Reine Auftragsübermittlung: Die erfassten Daten werden ausschließlich direkt und verschlüsselt zwischen dealcode und den offiziellen Servern von Google (gmail.googleapis.com, www.googleapis.com/calendar, www.googleapis.com/drive) übertragen, um die vom Nutzer aktiv beauftragten Aktionen (E-Mail-Versand, Terminsynchronisation, Dokumentenerstellung) auszuführen. Kein Auslesen zu Werbezwecken: Es findet keinerlei Verwertung der Google-Nutzerdaten für zielgerichtete Werbung, Retargeting oder Nutzer-Profiling statt.

6.1.3. Schutzmechanismen für sensible Daten (Data Protection Mechanisms for Sensitive Data)

Zum Schutz sämtlicher über Google-APIs empfangenen und verarbeiteten sensiblen Nutzerdaten (insbesondere Kalender- und Termindaten, Teilnehmerinformationen, ausgehende E-Mail-Inhalte/-Metadaten sowie OAuth-Authentifizierungs-Tokens) setzt dealcode verbindliche technische und organisatorische Schutzmechanismen gemäß Art. 32 DSGVO ein: Verschlüsselung bei der Übertragung (Encryption in Transit): Sämtliche Datenübertragungen zwischen dem Endgerät des Nutzers (Browser), den dealcode-Applikationsservern und den offiziellen Google-API-Endpunkten erfolgen ausschließlich über kryptografisch gesicherte Verbindungen mittels TLS 1.3 / HTTPS inklusive Strict Transport Security (HSTS). Verschlüsselung im Ruhezustand (Encryption at Rest für alle sensiblen Daten & Tokens): Datenbank- und Speicherverschlüsselung: Alle in der Datenbank gespeicherten sensiblen Google-Nutzerdaten (synchronisierte Kalenderereignisse, Teilnehmerlisten, Meeting-Metadaten, E-Mail-Versandprotokolle) sowie Dateianhänge im Cloud Storage werden im Ruhezustand vollständig mit AES-256 (Google Cloud SQL & Cloud Storage Encryption at Rest) verschlüsselt. Hardwaregestützte Token-Verschlüsselung (Envelope Encryption): Sämtliche Google OAuth 2.0 Access- und Refresh-Tokens werden niemals im Klartext gespeichert, sondern zusätzlich auf Applikationsebene über den hardwaregestützten Google Cloud Key Management Service (Cloud KMS) mittels AES-256-GCM kryptografisch verschlüsselt. Strikte Zugriffskontrolle, Mandantentrennung & Least-Privilege-Architektur: Logische Multi-Tenant-Isolation: Jeder Kunden-Workspace ist datenbankseitig strikt logisch isoliert (tenantDomain / Workspace-Scope), sodass ein mandantenübergreifender Datenzugriff technisch ausgeschlossen ist. Rollenbasierte Zugriffskontrolle (RBAC) & 2FA: Der Zugriff auf die Plattform ist durch rollenbasierte Berechtigungen, starke Passwort-Hashing-Verfahren (bcrypt) und Zwei-Faktor-Authentifizierung (2FA) geschützt. Abgeschirmte Datenbank-Infrastruktur: Unsere Cloud-SQL-Datenbanken besitzen keine öffentlichen IP-Adressen und sind ausschließlich intern über IAM-authentifizierte, verschlüsselte Cloud SQL Auth Proxies erreichbar. Interne Zugriffe unterliegen dem Prinzip der minimalen Rechtevergabe (Least Privilege) und werden lückenlos in Sicherheits-Audit-Logs (TenantLogin, AdminAuditLog) protokolliert. Zertifiziertes EU-Rechenzentrum & Sicherheitsüberwachung: Alle Datenbanken, Backups und Verarbeitungsdienste werden zu 100 % in nach ISO/IEC 27001, SOC 1/2/3 und BSI C5 zertifizierten Rechenzentren der Google Cloud Region Frankfurt am Main, Deutschland (europe-west3) betrieben und kontinuierlich auf Sicherheitslücken überwacht. Datensparsamkeit, Speicherdauer, sofortiger Widerruf & Löschung (Retention & Deletion): Sensible Google-Nutzerdaten werden ausschließlich für die Dauer der aktiven Integration zur Bereitstellung der beauftragten CRM-Funktionen gespeichert. Nutzer können die Google-Verknüpfung jederzeit mit einem Klick in den Plattform-Einstellungen unter „Einstellungen > Integrationen“ (oder direkt im Google-Konto unter myaccount.google.com/permissions) trennen. Bei Trennung werden die zugehörigen OAuth-Tokens sowie synchronisierte Sitzungsdaten umgehend und unwiderruflich aus der aktiven Datenbank gelöscht und serverseitig bei Google widerrufen.

#### 6.1.4. Verbindliche Google API Limited Use & KI-Konformitätserklärung

dealcode's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy and Google Workspace API User Data and Developer Policy, including the Limited Use requirements.

> Affirmative Compliance Statement on AI/ML Models:

The use of raw or derived user data received from Google Workspace APIs adheres strictly to the Google User Data Policy, including the Limited Use requirements.

dealcode does NOT use Google Workspace user data (including raw, derived, or aggregated email content or metadata) to develop, create, train, or improve any foundational, generalized, or third-party machine learning and artificial intelligence models.

6.2. Microsoft 365 (Outlook & Exchange Kalender)

Umfang der Integration: Synchronisation von E-Mails und Kalenderterminen über die Microsoft Graph API (/v1.0/me). Dienstanbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Datenschutzrechtliche Einordnung: Microsoft ist Auftragsverarbeiter des Kunden auf Grundlage des direkten Kundenvertrags mit Microsoft. dealcode greift auf Weisung des Kunden als autorisierter Client im Rahmen der Auftragsverarbeitung (Art. 28 DSGVO) über die Microsoft Graph API zu.

7. Automatisierte Datenanalyse, KI-Scanning & KI-Nachrichtengenerierung

7.1. KI-Posteingangsanalyse, automatisches Tagging & adaptives Lernen

Verbindet der Nutzer sein E-Mail-Konto, führt die Plattform automatisierte KI-gestützte Verarbeitungen durch: Inhaltsanalyse: Auslesen und Analysieren eingehender E-Mail-Texte zur Erkennung von Kaufabsichten, Terminanfragen, Rückfragen oder Beschwerden. Automatisches Tagging: Zuordnung der E-Mail-Threads zu den 11 geschlossenen Systemkategorien (Alles erledigt, Aufgabe (To-do), Chat/Kommentar, Erinnerung, Kaltakquise, Marketing-Newsletter, Social Media, Spam, System-/Tool-Benachrichtigung, Wartet auf Antwort, Zur Kenntnisnahme (FYI)). Nutzerspezifisches KI-Lernen (UserTagFeedback): Korrigiert der Nutzer manuell eine Kategorie, speichert das System dieses Feedback datenbankseitig und lernt workspace-spezifisch dazu, um künftige E-Mails desselben Absenders oder derselben Domain präziser zuzuordnen. Sprachsynthese (Daily Audio Briefing): Umwandlung der täglichen Dashboard-Zusammenfassungen in deutsche Audiosprachnachrichten mittels Google Cloud Text-to-Speech (High-Definition Modell de-DE-Chirp3-HD-Charon).

7.2. KI-basierte Nachrichtengenerierung (Kampagnen & Sequenzen)

Die Plattform stellt Kunden fortschrittliche Werkzeuge zur KI-gestützten Erstellung, Personalisierung und Ausführung von Kommunikationskampagnen und Kontaktsequenzen bereit: KI-Texterstellung & Prompting (generate-copy): Nutzer können über Eingabeaufforderungen (Prompts) passgenaue Betreffzeilen, E-Mail-Nachrichten und LinkedIn-Texte für mehrstufige Sequenzen durch Enterprise-KI-Modelle (Google Vertex AI / Gemini) generieren lassen. KI-Preflight-Prüfung (aiPreflight.ts / verifyAndPolishMessage): Vor dem Einplanen oder Versenden prüft eine automatisierte KI-Routine die Textentwürfe auf grammatikalische Korrektheit, Tonalität und unaufgelöste Platzhalter, um fehlerhafte Nachrichten zu verhindern. Streaming-Vorschau & Personalisierung (preview-stream): Dynamische Echtzeit-Voransicht generierter Nachrichten unter Einbindung von CRM-Feldern (z. B. Vorname, Nachname, Firma, Anrede). Technisches E-Mail-Tracking bei Kampagnen (emailTracking.ts): Zur Erfolgsmessung im Kampagnen-Dashboard können ausgehende HTML-Nachrichten mit einem unsichtbaren 1x1-Zählpixel (/track/open) und weiterleitenden Tracking-Links (/track/click) versehen werden. Hierüber werden das Öffnen der Nachricht sowie Klicks auf enthaltene Hyperlinks (inkl. Zeitstempel, Message-ID und Empfänger-ID) erfasst. Abmeldelink & Unsubscribe-Management (buildUnsubscribeUrl / /unsubscribe): Kampagnen-E-Mails enthalten einen eindeutigen, kryptografisch gesicherten Abmeldelink. Klickt ein Empfänger auf diesen Link, wird dessen E-Mail-Adresse automatisch in die mandantenweite Sperrliste eingetragen und von allen künftigen Kampagnen und Sequenzen des Kunden dauerhaft ausgeschlossen. Versandfenster & Feiertagsschutz (mailboxLimiter.ts): Zum Schutz der Absender-Reputation und zur Wahrung üblicher Geschäftszeiten begrenzt das System tägliche Versandvolumina (Warmup-Quoten) und verhindert den automatisierten Versand an Wochenenden sowie an bundesweiten deutschen Feiertagen.

7.3. KI-Meeting-Transkripte & Besprechungsanalyse (meetingTranscriptAi.ts)

Das System kann angebundene Kalendertermine mit zugehörigen Notizen oder Meeting-Transkripten (z. B. aus Google Docs / Google Drive oder Microsoft Graph) abgleichen. Mittels generativer KI werden automatisiert Zusammenfassungen, Action Items (Aufgaben), Stimmungslagen (Sentiment) und Kaufabsichten (Buyer Intent) extrahiert und im Kunden-CRM dokumentiert.

7.4. Vertraulichkeit & Ausschluss des Modelltrainings

Sämtliche KI-Verarbeitungen erfolgen über dedizierte Enterprise-Schnittstellen (insbesondere Google Vertex AI). Wir garantieren vertraglich, dass Kundendaten, geschäftliche E-Mail-Inhalte, Kampagnentexte, Prompts und Notizen zu keinem Zeitpunkt in den allgemeinen Trainings-Datenpool der KI-Modellhersteller (Google, OpenAI, Anthropic) einfließen. Rechtsgrundlage: Auftragsverarbeitung im Auftrag des Kunden (Art. 28 DSGVO) auf Basis der vertraglichen Vereinbarungen in den AGB.

8. Mobile Lead-Scanner-App scanner.dealcode.ai (Messe- & Event-Leaderfassung)

Unter der Subdomain https://scanner.dealcode.ai/ stellt dealcode eine spezialisierte mobile Web-Applikation bereit, mit der Nutzer auf Messen, Konferenzen und Vertriebsevents vor Ort Kontakte schnell und strukturiert erfassen können.

8.1. Visitenkarten-Scan & Kamera-Datenverarbeitung

Funktionsweise: Nach nativer Freigabe der Gerätekamera durch den Nutzer oder durch manuellen Foto-Upload fotografiert der Nutzer Visitenkarten oder Teilnehmer-Badges ab. OCR- und KI-Extraktion: Mittels optischer Zeichenerkennung (OCR) und multimodaler Sprachmodelle (Google Vertex AI Vision) werden Kontaktdaten (Name, akademischer Titel, Funktion, Firmenname, E-Mail-Adresse, Telefonnummern, Postadresse, Website, LinkedIn-Profil) automatisiert ausgelesen und in standardisierte Datenfelder überführt. Bildspeicherung: Das aufgenommene Foto wird als Verifizierungsnachweis verschlüsselt in Google Cloud Storage (uploadBufferToGcs) im EU-Rechenzentrum gespeichert.

8.2. Auto-QR-Scanning & LinkedIn-Identifikation

Die Scanner-App verfügt über eine integrierte QR-Code-Erkennung (jsQR), die QR-Codes auf Namensschildern und Ausweisen in Echtzeit dekodiert. Handelt es sich um ein LinkedIn-Profil, löst die Schnittstelle (resolve-linkedin) den Profil-Identifikator auf, um den Datensatz im CRM mit dem LinkedIn-Profil des Kontakts zu verknüpfen.

8.3. Audio-Sprachmemos (Voice Notes) & Transkription

Mikrofon-Zugriff: Der Nutzer kann nach nativer Erteilung der Mikrofon-Berechtigung im Mobilbrowser kurze Sprachmemos zu dem geführten Gespräch aufnehmen. Verarbeitung & KI-Zusammenfassung: Die Audiodatei wird verschlüsselt an Google Cloud Storage übermittelt und mittels Sprachtranskription (processMeetingAudioAndNotes) in Text umgewandelt. Eine KI extrahiert daraus strukturierte Notizen, Vereinbarungen und Folgeaufgaben.

8.4. Erfassung von Werbeeinwilligungen (Opt-In-Dokumentation)

Die App bietet dedizierte Eingabefelder zur Dokumentation von Werbeeinwilligungen (Marketing Opt-In, Double Opt-In Kontrollkästchen) sowie zur Vergabe von Prioritäten, Event-Zuordnungen und Lead-Status. Der Kunde ist dafür verantwortlich, dass die betroffene Person vor Ort über die Datenerhebung informiert wird und eine eventuell erforderliche Einwilligung wirksam erteilt wird.

8.5. CRM-Synchronisation & Timeline-Audit (submit-lead)

Nach Prüfung und Bestätigung durch den Nutzer wird der Kontakt samt Event-Verknüpfung, Bilddatei, Notizen und Opt-In-Status synchron in den Kunden-Workspace auf app.dealcode.ai übertragen und dort als chronologisches Timeline-Ereignis protokolliert. Rollenverteilung & Rechtsgrundlage: Der Kunde agiert als alleiniger Verantwortlicher (Art. 4 Nr. 7 DSGVO). dealcode verarbeitet diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO.

9. Terminbuchungs-Subdomain meetings.dealcode.ai

Über die Subdomain https://meetings.dealcode.ai/{tenant}/{slug} stellt dealcode öffentliche Buchungsseiten für Kalender unserer Kunden bereit.

9.1. Datenerhebung bei Terminbuchung

Bucht eine Person einen Termin über eine Buchungsseite, verarbeiten wir: Vorname, Nachname, geschäftliche E-Mail-Adresse, Telefonnummer, Firmenname; Datum, Uhrzeit, Dauer und Zeitzone des gebuchten Termins; Freitext-Notizen und Besprechungsthemen; E-Mail-Adressen etwaiger zusätzlicher Gäste (additionalGuests).

9.2. Automatisierter Einladungsversand (meetingMailer.ts)

Das System generiert automatisch eine formelle Terminbestätigung und Kalendereinladung in der „Sie“-Form. Der Versand erfolgt direkt über das authentifizierte Postfach des Hosts (z. B. via Gmail API oder Microsoft Graph API), sodass die Bestätigung unmittelbar aus der Mailbox des Gesprächspartners versendet wird. Zusatzgäste erhalten separate personalisierte Einladungen und werden automatisch im CRM des Kunden als Kontakt mit zugehörigem Timeline-Ereignis angelegt. Rechtsgrundlage: Durchführung vorvertraglicher Maßnahmen bzw. Erfüllung des Terminwunsches der buchenden Person (Art. 6 Abs. 1 S. 1 lit. b DSGVO) im Rahmen der Auftragsverarbeitung für den Kunden (Art. 28 DSGVO).

10. Datenverarbeitung auf der Marketing-Website dealcode.ai

10.1. Informatorische Nutzung & Server-Logfiles

Beim reinen Aufrufen der Website erheben wir die technisch erforderlichen Daten: IP-Adresse des anfragenden Rechners Datum und Uhrzeit des Zugriffs Aufgerufene Seite / Name der abgerufenen Datei Übertragene Datenmenge und HTTP-Statuscode Browsertyp, Version und Betriebssystem des Nutzers Referrer-URL (die zuvor besuchte Seite).

Diese Logfiles werden zum Schutz vor Angriffen und zur Fehlerdiagnose gespeichert und nach spätestens 14 Tagen automatisch gelöscht.
Rechtsgrundlage: Berechtigtes Interesse an der IT-Sicherheit und Systemstabilität (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

10.2. Technisch notwendige Cookies

Wir setzen Cookies ein, die für den Betrieb der Website zwingend erforderlich sind (z. B. zur Speicherung von Spracheinstellungen und Consent-Status). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 S. 1 lit. f DSGVO.

10.3. Web-Analyse & Consent-basierte Tools

10.3.1. SalesViewer auf der Marketing-Website

Auf dealcode.ai setzen wir die Technologie der SalesViewer GmbH, Hiltroper Str. 88, 44789 Bochum ein. Diese erhebt Daten zu Unternehmensbesuchern (Firmenname, Branche, Herkunft) auf Basis eines statistischen IP-Abgleichs. Es werden keine privaten IP-Adressen dauerhaft gespeichert. Rechtsgrundlage: Ihre ausdrückliche Einwilligung über unseren Cookie-Consent-Banner (Art. 6 Abs. 1 S. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Die Einwilligung kann jederzeit widerrufen werden.

10.3.2. Google Analytics

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Wir nutzen Google Analytics mit aktivierter IP-Anonymisierung (anonymizeIP). Rechtsgrundlage: Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), widerrufbar über das Consent-Tool.

10.4. Kontaktformulare & Demo-Terminbuchung

Treten Sie über Formulare mit uns in Kontakt, verarbeiten wir Ihre eingegebenen Daten (Name, E-Mail, Telefonnummer, Nachricht) zur Beantwortung Ihrer Anfrage. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 S. 1 lit. f DSGVO) oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 S. 1 lit. b DSGVO).

10.5. Bewerbungen

Bewerberdaten verarbeiten wir zur Durchführung des Bewerbungsverfahrens. Rechtsgrundlage: Art. 88 Abs. 1 DSGVO i. V. m. § 26 Abs. 1 BDSG. Im Falle einer Absage werden die Unterlagen nach spätestens sechs (6) Monaten gelöscht.

11. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO jederzeit folgende Rechte gegenüber uns:
1. Recht auf Auskunft (Art. 15 DSGVO): Sie können Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten verlangen.
2. Recht auf Berichtigung (Art. 16 DSGVO): Sie können unverzüglich die Berichtigung unrichtiger Daten verlangen.
3. Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
4. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
5. Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
6. Recht auf Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung widersprechen, soweit diese auf unserem berechtigten Interesse (Art. 6 Abs. 1 S. 1 lit. f DSGVO) beruht.
7. Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte genügt eine formlose E-Mail an: datenschutz@dealcode.ai oder an unseren Datenschutzbeauftragten: datenschutz@heydata.eu.

Beschwerderecht bei der Aufsichtsbehörde

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für unseren Unternehmenssitz zuständige Aufsichtsbehörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI)
Ludwig-Erhard-Straße 22, 7. OG
20459 Hamburg
Deutschland
Telefon: +49 40 428 54 4040
E-Mail: mailbox@datenschutz.hamburg.de
Website: https://datenschutz-hamburg.de/

12. Aktualität und Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen oder Änderungen unserer Plattform und Dienste anzupassen. Die jeweils aktuelle Fassung ist jederzeit unter https://www.dealcode.ai/legal/privacy-policy abrufbar.

Rechtlicher Dokumentenverbund der Dealcode GmbH

Diese Datenschutzerklärung ist integraler Bestandteil des vertraglichen und datenschutzrechtlichen Gesamtregelwerks von dealcode:

Allgemeine Geschäftsbedingungen (AGB): https://www.dealcode.ai/legal/terms
Auftragsverarbeitungsvertrag (AVV gem. Art. 28 DSGVO): https://www.dealcode.ai/legal/data-processing-agreement
Technische und organisatorische Maßnahmen (TOMs gem. Art. 32 DSGVO): https://www.dealcode.ai/legal/technical-and-organisational-measurements
Verzeichnis der Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO): https://www.dealcode.ai/legal/list-of-sub-processors
Opt-Out & Profilsichtbarkeit (Art. 21 DSGVO): https://www.dealcode.ai/opt-out

• Dealcode Trust Center: https://www.dealcode.ai/trust-center