Datenschutzerklärung

Gültig ab: 1. November 2026

Die Kurzfassung

Niemand liest Datenschutzerklärungen. Deshalb hier alles in zehn Zeilen – und darunter die vollständige Version.

• Deine Daten gehören dir. Bei Buchungen über dein Cal.com-Konto bist du der Verantwortliche und wir sind der Auftragsverarbeiter gemäß dem Auftragsverarbeitungsvertrag unter cal.com/dpa, der für jedes Konto, kostenlos oder bezahlt, Teil unserer Nutzungsbedingungen ist. Wir verarbeiten sie in deinem Auftrag und verkaufen sie nicht – an niemanden, niemals.
• Wir erheben nur das Minimum. Namen, E-Mail-Adressen, Telefonnummern und alles, wonach deine Buchungsfragen fragen. Dazu der langweilige technische Kram, den jede Website bekommt: IP-Adresse, Browser, angesehene Seiten.
• Die Datenbank ist der Ort, an dem personenbezogene Daten liegen. Nicht in unseren Logs, nicht in unseren Analytics, nicht in einer Tabelle. Unsere eigenen Engineering-Regeln verbieten personenbezogene Daten in Logs, Fehlerberichten und Analytics-Events. Wir senden IDs, keine Personen.
• Wir nutzen Unterauftragsverarbeiter und nennen sie alle. Hosting, E-Mail, SMS, Video, Zahlungen, KI, Analytics, Monitoring, Support und unsere eigenen Backoffice-Tools, die deine Daten sehen können. Die vollständige Tabelle und ihr Zweck stehen in unserem Trust Center; bevor ein neuer Anbieter startet, informieren wir Kontoinhaber vorab schriftlich per E-Mail, In-Product-Benachrichtigung oder einer anderen dokumentierten elektronischen Methode – früh genug, damit du die Änderung prüfen und widersprechen kannst.
• KI-Funktionen sind Opt-in und eng begrenzt. KI-Meetingnotizen senden den Transkripttext (keine Titel, keine Teilnehmerliste, keine Links). KI-Telefonagenten senden die Telefonnummer und die Gästedaten, die für den Anruf nötig sind. Nichts davon wird verwendet, um Modelle von irgendwem zu trainieren.
• Deine Apps sind deine Entscheidung. Wenn du Google Calendar, Zoom, Salesforce oder einen Webhook verbindest, fließen Daten dorthin, weil du es so festgelegt hast. Das sind deine Integrationen, nach deinen Anweisungen.
• Keine Drittanbieter-Cookies im Produkt. Unsere Marketing-Website nutzt Analytics und Anzeigenmessung. Siehe den Abschnitt zu Cookies.
• Du kannst deine Daten exportieren oder löschen. Jederzeit, selbstständig oder per E-Mail. Löschen heißt gelöscht, auch bei unseren Unterauftragsverarbeitern.
• Fragen: [email protected]. Echte Menschen, kein Formular.

Wer ist wer: Verantwortlicher vs. Auftragsverarbeiter

Das verwirrt viele, deshalb kommt es zuerst.

Cal.com’s eigene Dienstleister. Um unser eigenes Geschäft zu betreiben, nutzen wir Dienstleister, die Kontaktdaten unserer Kunden sehen, zum Beispiel Documenso und Fusial für die elektronische Unterzeichnung von Verträgen und DPAs (Vereinigte Staaten). Sie handeln nach unseren Anweisungen und sind keine Unterauftragsverarbeiter deiner Daten.

Was das bedeutet: Wenn du Teilnehmer bist, ein Meeting gebucht hast und deine Daten löschen lassen möchtest, ist der schnellste Weg die Person, bei der du gebucht hast. Wir helfen in jedem Fall und leiten die Anfrage weiter.

Was wir erheben

Daten, die du und deine Buchenden uns geben

• Kontodaten: Name, E-Mail, Benutzername, Passwort-Hash oder SSO-Identität, Zeitzone, Profilfoto und deine Verfügbarkeit. Bei der Registrierung können wir über AvatarAPI ein Profilfoto zu deiner E-Mail-Adresse abrufen; du kannst es ersetzen oder entfernen.
• Buchungsdaten: Namen und E-Mail-Adressen der Teilnehmer, Telefonnummern, wenn SMS-Erinnerungen oder Telefonanrufe genutzt werden, Meetingtitel und Orte, Antworten auf deine Buchungsfragen, Notizen, Gästelisten, Gründe für Stornierungen und Neu terminieren.
• Abrechnungsdaten: Firmenname, Rechnungsadresse und Zahlungskartendaten. Die Kartendaten gehen direkt an Stripe, und wir sehen oder speichern sie nie.
• Supportdaten: alles, was du uns schreibst, plus der zur Unterhaltung gehörende Kontokontext.

Daten, die wir automatisch erheben

• IP-Adresse, Browser und Gerät, verweisende URL, angesehene Seiten und Zeitstempel.
• Produktnutzungsereignisse (welche Funktionen du genutzt hast, wie oft), verknüpft mit einer undurchsichtigen ID, nicht mit deiner E-Mail.
• Fehler- und Leistungsdiagnosen, wenn etwas kaputtgeht.

Was wir bewusst nicht tun

• Wir erheben absichtlich keine Daten besonderer Kategorien. Deine Buchungsfragen könnten das aber tun. Wenn du nach Gesundheit fragst, sind das Gesundheitsdaten in deinem Cal.com-Konto, und es liegt bei dir, sie rechtmäßig abzufragen. Siehe „Gesundheitsinformationen“.
• Wir erheben wissentlich keine Daten von Personen unter 18 Jahren.
• Wir erstellen keine Werbeprofile aus Buchungsdaten und verkaufen oder vermieten keine personenbezogenen Daten.

Was das bedeutet: Wir speichern, was nötig ist, um ein Meeting in zwei Kalender einzutragen, dich abzurechnen und dich zu unterstützen. Die interessanten personenbezogenen Daten, die Antworten deiner Buchenden, speichern wir für dich, nicht für uns.

Warum wir das dürfen (Rechtsgrundlagen, GDPR Art. 6)

Unterauftragsverarbeiter: wer sonst personenbezogene Daten berührt

Wir setzen andere Unternehmen ein, um Cal.com. Für jeden Unterauftragsverarbeiter besteht mit uns ein Auftragsverarbeitungsvertrag; er erhält nur das, was er braucht, und verarbeitet Daten nur nach unseren Weisungen. Was sie tun und wo sie Daten verarbeiten, ist in unserem Trust Center aufgeführt.

Wie du von Änderungen erfährst. Bevor ein neuer oder ersetzender Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt, informieren wir dich vorab schriftlich per E-Mail an den Administrator deines Kontos oder deinen Datenschutz-/Rechtskontakt, per In-Product-Benachrichtigung oder über eine andere dokumentierte elektronische Methode. Wir bemühen uns wirtschaftlich angemessen, dich so früh zu informieren, dass du die Änderung prüfen und Widerspruch einlegen kannst (DPA §6.3-6.4). Die alleinige Aktualisierung der Unterauftragsverarbeiterliste ist nicht unsere einzige Art der Benachrichtigung.

Wenn du aus angemessenen und belegten Datenschutzgründen widersprichst, kannst du das wie im DPA beschrieben tun. Wenn du Fragen zu einem Unterauftragsverarbeiter hast, schreib an [email protected].

Werbung und Lead-Identifizierung (Marketing-Website und Marketing-Tools, nicht das Produkt)

Diese werden von unserem Marketingteam verwaltet und nicht in den Produktcode eingebunden. Sie sehen ausschließlich Daten von der Marketing-Website und aus Marketing-Listen, niemals Buchungsdaten, Antworten von Teilnehmern oder etwas aus deinem Cal.com-Konto.

Anbieter in dieser Kategorie (Google Analytics und Tag Manager, X Ads, Website-Attribution von Dub, LinkedIn- und Meta-Anzeigen-Tags) laufen nur auf der Marketing-Website mit deiner Einwilligung und sind im Cookie-Banner aufgeführt; sie sind keine Unterauftragsverarbeiter von Buchungsdaten.

Was das bedeutet: Wenn du im EWR oder im Vereinigten Königreich bist, laufen die Anbieter für Zielgruppenabgleich und Besucheridentifizierung bei dir nicht. Überall sonst kannst du sie deaktivieren, indem du Marketing-Cookies ablehnst oder Global Privacy Control verwendest.

Apps und Integrationen, die du verbindest

Wenn du eine App verbindest, weist du uns an, Daten an sie zu senden. Genau das tun wir – und nichts darüber hinaus.

• Kalender: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: Termintitel, Beschreibungen, Zeiten, Orte, Namen und E-Mail-Adressen von Organisatoren und Teilnehmern sowie Frei/Gebucht-Daten.
• Video: Zoom, Google Meet, Microsoft Teams und andere: Meetingdetails, die zum Erstellen des Links nötig sind.
• CRM und Automatisierung: Salesforce, HubSpot, Pipedrive und ähnliche: Name und E-Mail-Adresse des Teilnehmers, Meetingdetails und deine Antworten auf Buchungsfragen.
• Automatisierung und Links: Zapier, Dub, Close und ähnliche App-Store-Integrationen, die du verbindest, laufen unter deinem eigenen Konto bei diesem Anbieter.
• Webhooks und dein eigener SMTP-Server: Du stellst den Endpunkt oder Mailserver bereit; er erhält alles, was die von dir abonnierten Events enthalten.

Was das bedeutet: Das sind deine Auftragsverarbeiter, nicht unsere. Ihre Datenschutzrichtlinien gelten, und das Trennen der App stoppt den Datenfluss. Wir können nicht löschen, was bereits in deinem CRM ist.

Gesundheitsinformationen (PHI)

Cal.com ist kein Gesundheitsprodukt, aber Buchungen können Gesundheitsinformationen enthalten: eine Anamnesefrage, einen Meetingtitel, Notizen. Wenn du Cal.com für etwas nutzt, das unter HIPAA reguliert ist, sind diese Daten nur so geschützt wie die zugrunde liegende Vereinbarung: Bitte uns um ein Business Associate Agreement (verfügbar ab Teams-Tarifen; E-Mail an [email protected] oder Support oder Vertrieb fragen) und lass es unterzeichnen, bevor du solche Daten erhebst, es sei denn, dein Bestellformular oder eine andere mit uns unterzeichnete Vereinbarung erlaubt dies ausdrücklich. Halte sie außerdem aus Buchungsfeldern heraus, die in Drittanbieter-Apps kopiert werden.

Wie lange wir Daten aufbewahren

Wohin deine Daten gehen

Wir sind ein US-Unternehmen, und Daten werden in den Vereinigten Staaten verarbeitet; einige Unterauftragsverarbeiter verarbeiten sie anderswo (siehe Tabelle). Für Übermittlungen aus dem EWR und dem Vereinigten Königreich nimmt Cal.com, Inc. am EU-U.S. Data Privacy Framework und seiner UK Extension teil und hat die Einhaltung zertifiziert. Wo das Data Privacy Framework eine Übermittlung nicht abdeckt, sowie für die Schweiz, stützen wir uns auf die EU-Standardvertragsklauseln von 2021, das UK Addendum und die schweizerischen Ergänzungen, alle ausgefüllt in unserem SCC Schedule unter cal.com/dpa-scc, der Teil des DPA ist, wie im Abschnitt zum Data Privacy Framework unten beschrieben. Du kannst unsere Zertifizierung in der DPF List unter https://www.dataprivacyframework.gov/list überprüfen. Das Swiss-U.S. Data Privacy Framework gilt derzeit nicht. Wenn du EU-Datenresidenz benötigst, kontaktiere uns unter [email protected].

EU-U.S. Data Privacy Framework und UK Extension

Cal.com, Inc. hält das EU-U.S. Data Privacy Framework (EU-U.S. DPF) und die UK Extension to the EU-U.S. DPF ein, wie vom U.S. Department of Commerce festgelegt. Cal.com, Inc. hat dem Department zertifiziert, dass es die EU-U.S. DPF Principles für personenbezogene Nicht-HR-Daten einhält, die aus der Europäischen Union und dem Europäischen Wirtschaftsraum unter Berufung auf den EU-U.S. DPF sowie aus dem Vereinigten Königreich und Gibraltar unter Berufung auf die UK Extension erhalten werden. Diese Verpflichtung umfasst keine Mitarbeiter-HR-Daten, die zur Nutzung in einem Beschäftigungsverhältnis übermittelt werden. Wenn diese Richtlinie den DPF Principles widerspricht, gelten die Principles. Erfahre mehr über das Programm und sieh dir Cal.coms Eintrag auf der Data Privacy Framework List unter https://www.dataprivacyframework.gov/list.

Die erfassten Daten können Namen, E-Mail-Adressen, Telefonnummern, Konto- und Profildetails, Verfügbarkeit, Buchungs- und Meetingdetails, Antworten auf Buchungsfragen, Abrechnungs- und Supportinformationen sowie Website-, Geräte-, Nutzungs- und Sicherheitsinformationen umfassen. Kunden können Buchungsfragen konfigurieren, mit denen sensible Daten erfasst werden. Wir nutzen erfasste Daten, um Terminplanungs- und verwandte Dienste bereitzustellen, Konten, Buchungen und Zahlungen zu verwalten, mit Nutzern und Teilnehmern zu kommunizieren, Support zu leisten, den Dienst zu sichern und zu verbessern sowie Marketing zu betreiben, soweit dies zulässig ist. Andere Abschnitte dieser Richtlinie beschreiben diese Daten und Zwecke ausführlicher.

Wir geben relevante erfasste Daten an Dienstleister und Unterauftragsverarbeiter für Hosting, Speicherung, E-Mail und SMS, Video, Zahlungen, Support, Analysen, Sicherheit und optionale Funktionen sowie an von Kunden ausgewählte Integrationen weiter. In unserem Trust Center sind Unterauftragsverarbeiter und deren Zwecke aufgeführt. Wir können personenbezogene Daten außerdem offenlegen, wenn dies gesetzlich vorgeschrieben ist. Nach dem DPF-Grundsatz der Verantwortlichkeit für die Weiterübermittlung Cal.com bleibt haftbar, wenn ein Beauftragter erfasste Daten nicht im Einklang mit den Grundsätzen verarbeitet, es sei denn, Cal.com weist nach, dass es nicht für das Ereignis verantwortlich war, das den Schaden verursacht hat.

Einzelpersonen können Auskunft über erfasste Daten verlangen und uns bitten, Daten zu berichtigen, zu ändern oder zu löschen, die unrichtig sind oder unter Verstoß gegen die Grundsätze verarbeitet wurden. Soweit der DPF-Grundsatz der Wahlmöglichkeit dies verlangt, können Einzelpersonen widersprechen, bevor erfasste Daten an Dritte weitergegeben oder für einen wesentlich anderen Zweck verwendet werden. Soweit dieser Grundsatz eine ausdrückliche Einwilligung für sensible Informationen verlangt, holen wir sie vor der entsprechenden Nutzung oder Offenlegung ein. Sende Anfragen an [email protected]. Bei Buchungsdaten, die wir nach den Weisungen eines Kunden verarbeiten, stimmen wir uns mit diesem Kunden ab, um die Anfrage zu bearbeiten.

Personen in der EU und im Vereinigten Königreich sollten DPF-Anfragen oder Beschwerden zuerst an Cal.com, Inc., Datenschutz & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, Vereinigte Staaten; [email protected]; +1 415 212 6667 senden. Felix Kolodziej, Compliance-Verantwortlicher, ist ebenfalls erreichbar unter [email protected]. Wir beantworten DPF-Beschwerden innerhalb von 45 Tagen. Bei ungelösten Beschwerden über erfasste Daten verpflichten wir uns, mit dem von den EU-Datenschutzbehörden eingerichteten Gremium für EU-Daten sowie mit dem UK Information Commissioner’s Office und der Gibraltar Regulatory Authority für Daten aus dem Vereinigten Königreich und Gibraltar zusammenzuarbeiten und deren Empfehlungen zu befolgen. Diese unabhängigen Rechtsbehelfsmechanismen stehen Einzelpersonen kostenlos zur Verfügung.

Cal.com, Inc. unterliegt hinsichtlich seiner Einhaltung des EU-U.S. DPF und der UK Extension den Untersuchungs- und Durchsetzungsbefugnissen der U.S. Federal Trade Commission. Unter bestimmten Bedingungen können Einzelpersonen für verbleibende Ansprüche zur DPF-Compliance ein verbindliches Schiedsverfahren anrufen. Wir können verpflichtet sein, erfasste Daten als Antwort auf rechtmäßige Anfragen öffentlicher Behörden offenzulegen, auch zur Erfüllung von Anforderungen der nationalen Sicherheit oder Strafverfolgung.

Cookies

• In der App: Cookies, um dich anzumelden, Einstellungen zu speichern und Sicherheit zu gewährleisten. Keine Werbe-Cookies von Drittanbietern.
• Auf der Marketing-Website: die oben aufgeführten Analyse- und Anzeigenmessungs-Cookies. Du kannst sie ablehnen.
• Wir beachten Global Privacy Control und Do Not Track-Signale.

Deine Rechte

Egal, wo du lebst, du kannst uns bitten, auf deine Daten zuzugreifen, sie zu korrigieren, sie zu löschen, sie zu exportieren, die Verarbeitung einzuschränken oder ihr zu widersprechen oder deine Einwilligung zu widerrufen. Wenn du in Kalifornien bist, kommt hinzu: erfahren, was wir erfassen, diese Daten löschen, korrigieren und dem Verkauf oder der Weitergabe widersprechen. Wir verkaufen sie nicht und geben sie nicht weiter, daher gibt es nichts, dem du widersprechen müsstest. Wenn du im EWR oder im Vereinigten Königreich bist, kannst du dich außerdem bei deiner Datenschutzbehörde beschweren.

Das meiste davon kannst du selbst in deinen Einstellungen erledigen. Ansonsten schreibe an [email protected] und wir antworten innerhalb der nach geltendem Recht vorgeschriebenen Fristen. Wir bitten dich zuerst, deine Identität zu bestätigen, und wir behandeln dich nicht schlechter, weil du fragst.

Sicherheit

Verschlüsselung bei Übertragung und im Ruhezustand, Zugriff nach dem Least-Privilege-Prinzip, SSO und 2FA, geprüfte Infrastruktur und ein Bug-Bounty-Programm. Details und unsere aktuellen Berichte: cal.com/security. Kein System ist vollkommen sicher; wenn etwas schiefgeht, informieren wir betroffene Kunden ohne unangemessene Verzögerung, nachdem wir von einer Verletzung personenbezogener Daten erfahren haben, wie es unser Auftragsverarbeitungsvertrag verlangt.

Änderungen an dieser Richtlinie

Wir veröffentlichen die neue Version hier und aktualisieren das Datum des Inkrafttretens. Bei wesentlichen Änderungen, etwa einer neuen Kategorie von Unterauftragsverarbeitern oder einer neuen Datennutzung, benachrichtigen wir dich vor dem Inkrafttreten per E-Mail, Benachrichtigung im Produkt oder über eine andere dokumentierte elektronische Methode.

Kontakt

Datenschutzkontakt: [email protected]

EU-Vertreter (GDPR Art. 27): Felix Kolodziej, CAYA Postbox 1040588, 96035 Bamberg, Deutschland, [email protected]

Formelle Mitteilungen: Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Vereinigte Staaten, Kopie an [email protected]

Alles Weitere: [email protected]

Archiv der Datenschutzerklärung