Datenschutzerklärung – Archivierte V1

Du siehst eine archivierte Version unserer Datenschutzerklärung. Bitte besuche die neueste Version, um aktuelle Informationen zu erhalten.

Neueste Datenschutzerklärung ansehen

Gültig: 1. Oktober 2026 – 31. Oktober 2026

Die Kurzversion

Niemand liest Datenschutzerklärungen. Deshalb hier das Ganze in zehn Zeilen – und die Vollversion darunter.

• Deine Daten gehören dir. Bei Buchungen über dein Cal.com-Konto bist du der Verantwortliche und wir sind der Auftragsverarbeiter. Wir verarbeiten sie in deinem Auftrag und verkaufen sie nicht – an niemanden, niemals.
• Wir erheben nur das Minimum. Namen, E-Mail-Adressen, Telefonnummern und alles, wonach deine Buchungsfragen fragen. Dazu kommt der langweilige technische Kram, den jede Website erhält: IP-Adresse, Browser, angesehene Seiten.
• Die Datenbank ist der Ort, an dem personenbezogene Daten liegen. Nicht in unseren Logs, nicht in unseren Analysen, nicht in einer Tabelle. Unsere eigenen Engineering-Regeln verbieten personenbezogene Daten in Logs, Fehlerberichten und Analyseereignissen. Wir senden IDs, keine Personen.
• Wir nutzen Unterauftragsverarbeiter und nennen sie alle. E-Mail, SMS, Video, Zahlungen, KI, Speicher, Support. Die vollständige Tabelle und ihr Zweck stehen in unserem Trust Center.
• KI-Funktionen sind Opt-in und eng begrenzt. KI-Meetingnotizen senden den Transkripttext (keine Titel, keine Teilnehmerliste, keine Links). KI-Telefonagenten senden die Telefonnummer und die Gästedetails, die für den Anruf nötig sind. Nichts davon wird verwendet, um die Modelle von irgendjemandem zu trainieren.
• Deine Apps sind deine Wahl. Wenn du Google Calendar, Zoom, Salesforce oder einen Webhook verbindest, fließen Daten dorthin, weil du es so eingerichtet hast. Das sind deine Integrationen, nach deinen Anweisungen.
• Keine Drittanbieter-Cookies im Produkt. Unsere Marketing-Website nutzt jedoch Analysen und Werbemessung. Siehe den Abschnitt zu Cookies.
• Du kannst deine Daten exportieren oder löschen. Jederzeit, selbstständig oder per E-Mail. Löschen heißt gelöscht, auch bei unseren Unterauftragsverarbeitern.
• Fragen: [email protected]. Echte Menschen, kein Formular.

Wer ist wer: Verantwortlicher vs. Auftragsverarbeiter

Das sorgt oft für Verwirrung, deshalb kommt es zuerst.

Was das bedeutet: Wenn du ein Teilnehmer bist, der ein Meeting gebucht hat, und du möchtest, dass deine Daten gelöscht werden, ist der schnellste Weg die Person, bei der du gebucht hast. Wir helfen in jedem Fall und leiten die Anfrage weiter.

Was wir erheben

Daten, die du und deine Buchenden uns geben

• Kontodaten: Name, E-Mail, Benutzername, Passwort-Hash oder SSO-Identität, Zeitzone, Profilfoto und deine Verfügbarkeit.
• Buchungsdaten: Namen und E-Mail-Adressen der Teilnehmer, Telefonnummern, wenn SMS-Erinnerungen oder Telefonanrufe genutzt werden, Meetingtitel und Orte, Antworten auf deine Buchungsfragen, Notizen, Gästelisten, Gründe für Stornierungen und Terminänderungen.
• Abrechnungsdaten: Firmenname, Rechnungsadresse und Zahlungskartendaten. Die Karte geht direkt an Stripe, und wir sehen oder speichern sie nie.
• Supportdaten: alles, was du uns schreibst, plus der Kontokontext, der an die Unterhaltung angehängt ist.

Daten, die wir automatisch erheben

• IP-Adresse, Browser und Gerät, verweisende URL, angesehene Seiten und Zeitstempel.
• Produktnutzungsereignisse (welche Funktionen du genutzt hast, wie oft), verknüpft mit einer undurchsichtigen ID, nicht mit deiner E-Mail.
• Fehler- und Leistungsdiagnosen, wenn etwas nicht funktioniert.

Was wir bewusst nicht tun

• Wir erheben nicht absichtlich besondere Kategorien personenbezogener Daten. Deine Buchungsfragen könnten das allerdings tun. Wenn du nach Gesundheit fragst, sind das Gesundheitsdaten in deinem Cal.com-Konto, und es liegt an dir, sie rechtmäßig abzufragen. Siehe „Gesundheitsinformationen“.
• Wir erheben wissentlich keine Daten von Personen unter 18 Jahren.
• Wir erstellen keine Werbeprofile aus Buchungsdaten und verkaufen oder vermieten keine personenbezogenen Daten.

Was das bedeutet: Wir speichern, was nötig ist, um ein Meeting in zwei Kalender einzutragen, dich abzurechnen und dich zu unterstützen. Die interessanten personenbezogenen Daten, die Antworten deiner Buchenden, speichern wir für dich, nicht für uns.

Warum wir das dürfen (Rechtsgrundlagen, GDPR Art. 6)

Unterauftragsverarbeiter: Wer sonst personenbezogene Daten verarbeitet

Wir nutzen andere Unternehmen, um Cal.com zu betreiben. Jeder Unterauftragsverarbeiter hat eine Datenverarbeitungsvereinbarung mit uns, erhält nur das, was er benötigt, und verarbeitet Daten nur auf unsere Weisung. Was sie tun und wo sie Daten verarbeiten, ist in unserem Trust Center.

Wie du von Änderungen erfährst. Gemäß unserer Datenverarbeitungsvereinbarung können wir Unterauftragsverarbeiter hinzufügen oder ersetzen, um Cal.com bereitzustellen, zu betreiben, abzusichern und zu unterstützen. Soweit nach der DPA erforderlich, informieren wir dich, bevor ein neuer oder ersetzender Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt.

Wenn du aus angemessenen und belegten Datenschutzgründen widersprichst, kannst du dies wie in der DPA beschrieben tun. Wenn du Fragen zu einem Unterauftragsverarbeiter hast, schreibe an [email protected].

Werbung und Lead-Identifikation (Marketingseite und Marketingtools, nicht das Produkt)

Diese werden von unserem Marketingteam verwaltet und nicht in den Produktcode eingebunden. Sie sehen ausschließlich Daten der Marketingseite und von Marketinglisten, niemals Buchungsdaten, Antworten von Teilnehmern oder irgendetwas aus deinem Cal.com-Konto.

Was das bedeutet: Wenn du im EWR oder im Vereinigten Königreich bist, laufen die Anbieter für Zielgruppenabgleich und Besucheridentifikation bei dir nicht. Überall sonst kannst du sie deaktivieren, indem du Marketing-Cookies ablehnst oder Global Privacy Control verwendest.

Apps und Integrationen, die du verbindest

Wenn du eine App verbindest, weist du uns an, Daten an sie zu senden. Wir tun genau das und nichts darüber hinaus.

• Kalender: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: Titel, Beschreibungen, Zeiten, Orte, Namen und E-Mail-Adressen von Organisator und Teilnehmern sowie Frei/Gebucht-Daten.
• Video: Zoom, Google Meet, Microsoft Teams und andere: Meetingdetails, die zum Erstellen des Links nötig sind.
• CRM und Automatisierung: Salesforce, HubSpot, Pipedrive und ähnliche: Name und E-Mail-Adresse des Teilnehmers, Meetingdetails und deine Antworten auf Buchungsfragen.
• Webhooks und dein eigener SMTP-Server: Du gibst den Endpunkt oder Mailserver an; er erhält alles, was die Ereignisse enthält, die du abonniert hast.

Was das bedeutet: Das sind deine Auftragsverarbeiter, nicht unsere. Ihre Datenschutzrichtlinien gelten, und wenn du die App trennst, stoppt der Datenfluss. Wir können nicht löschen, was bereits in deinem CRM ist.

Gesundheitsinformationen (PHI)

Cal.com ist kein Gesundheitsprodukt, aber Buchungen können Gesundheitsinformationen enthalten: eine Aufnahmefrage, einen Meetingtitel, Notizen. Wenn du Cal.com für etwas nutzt, das HIPAA-reguliert ist, sind diese Daten nur so gut geschützt wie die zugrunde liegende Vereinbarung: Schließe eine BAA unter go.Cal.com/BAA ab, bevor du sie erhebst, und halte sie aus Buchungsfeldern heraus, die in Drittanbieter-Apps kopiert werden.

Wie lange wir sie aufbewahren

Wohin deine Daten gehen

Wir sind ein US-Unternehmen, und Daten werden in den Vereinigten Staaten verarbeitet. Einige Unterauftragsverarbeiter verarbeiten sie anderswo. Für Übermittlungen aus dem EWR oder dem Vereinigten Königreich in die Vereinigten Staaten stützen wir uns, soweit anwendbar, auf das EU-U.S. Data Privacy Framework und dessen UK Extension, wie unten beschrieben. Außerdem verwenden wir gegebenenfalls Standardvertragsklauseln, auch für Übermittlungen aus der Schweiz. Wenn du EU-Datenresidenz benötigst, kontaktiere uns unter [email protected].

EU-U.S. Data Privacy Framework und UK Extension

Cal.com, Inc. erfüllt das EU-U.S. Data Privacy Framework (EU-U.S. DPF) und die UK Extension zum EU-U.S. DPF gemäß den Vorgaben des U.S. Department of Commerce. Cal.com, Inc. hat gegenüber dem Department zertifiziert, dass es die EU-U.S. DPF Principles für personenbezogene Nicht-HR-Daten einhält, die es aus der Europäischen Union und dem Europäischen Wirtschaftsraum auf Grundlage des EU-U.S. DPF sowie aus dem Vereinigten Königreich und Gibraltar auf Grundlage der UK Extension erhält. Diese Verpflichtung umfasst keine HR-Daten von Mitarbeitenden, die zur Nutzung im Rahmen eines Arbeitsverhältnisses übermittelt werden. Wenn diese Richtlinie den DPF Principles widerspricht, gelten die Principles. Erfahre mehr über das Programm und sieh dir, sobald Cal.com auf der Data Privacy Framework List erscheint, den Eintrag an unter dataprivacyframework.gov.

Die abgedeckten Daten können Namen, E-Mail-Adressen, Telefonnummern, Konto- und Profildetails, Verfügbarkeit, Buchungs- und Meetingdetails, Antworten auf Buchungsfragen, Abrechnungs- und Supportinformationen sowie Website-, Geräte-, Nutzungs- und Sicherheitsinformationen umfassen. Kunden können Buchungsfragen konfigurieren, die sensible Daten erfassen. Wir nutzen abgedeckte Daten, um Terminplanung und zugehörige Dienste bereitzustellen, Konten, Buchungen und Zahlungen zu verwalten, mit Nutzern und Teilnehmern zu kommunizieren, Support zu leisten, den Dienst zu sichern und zu verbessern sowie Marketing durchzuführen, wo dies erlaubt ist. Andere Abschnitte dieser Richtlinie beschreiben diese Daten und Zwecke ausführlicher.

Wir legen relevante abgedeckte Daten gegenüber Dienstleistern und Unterauftragsverarbeitern für Hosting, Speicherung, E-Mail und SMS, Video, Zahlungen, Support, Analysen, Sicherheit und optionale Funktionen offen sowie gegenüber Integrationen, die Kunden ausgewählt haben. Unser Trust Center listet Unterauftragsverarbeiter und ihre Zwecke auf. Wir können personenbezogene Daten außerdem offenlegen, wenn dies gesetzlich vorgeschrieben ist. Nach dem DPF Accountability for Onward Transfer Principle bleibt Cal.com haftbar, wenn ein Agent abgedeckte Daten entgegen den Principles verarbeitet, es sei denn, Cal.com weist nach, dass es nicht für das Ereignis verantwortlich war, das den Schaden verursacht hat.

Einzelpersonen können Auskunft über abgedeckte Daten verlangen und uns bitten, Daten zu berichtigen, zu ändern oder zu löschen, die ungenau sind oder unter Verstoß gegen die Principles verarbeitet werden. Wenn das DPF Choice Principle dies verlangt, können Einzelpersonen widersprechen, bevor abgedeckte Daten an Dritte offengelegt oder für einen wesentlich anderen Zweck verwendet werden. Wenn dieses Principle für sensible Informationen eine ausdrückliche Einwilligung verlangt, holen wir sie vor der entsprechenden Nutzung oder Offenlegung ein. Sende Anfragen an [email protected]. Bei Buchungsdaten, die wir auf Weisung eines Kunden verarbeiten, stimmen wir uns mit diesem Kunden ab, um die Anfrage zu bearbeiten.

Personen in der EU und im Vereinigten Königreich sollten DPF-Anfragen oder -Beschwerden zunächst an Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, United States; [email protected]; +1 415 212 6667 senden. Felix Kolodziej, Leiter Compliance, ist außerdem erreichbar unter [email protected]. Wir beantworten DPF-Beschwerden innerhalb von 45 Tagen. Bei ungelösten Beschwerden über abgedeckte Daten verpflichten wir uns, mit dem von den EU-Datenschutzbehörden für EU-Daten und dem UK Information Commissioner’s Office und der Gibraltar Regulatory Authority für Daten aus dem Vereinigten Königreich und Gibraltar eingerichteten Gremium zusammenzuarbeiten und dessen Rat zu befolgen. Diese unabhängigen Rechtsbehelfsmechanismen stehen Einzelpersonen kostenlos zur Verfügung.

Cal.com, Inc. unterliegt hinsichtlich der Einhaltung des EU-U.S. DPF und der UK Extension den Ermittlungs- und Durchsetzungsbefugnissen der U.S. Federal Trade Commission. Unter bestimmten Bedingungen können Einzelpersonen für verbleibende Ansprüche zur DPF-Compliance ein verbindliches Schiedsverfahren in Anspruch nehmen. Wir können verpflichtet sein, erfasste Daten auf rechtmäßige Anfragen von Behörden offenzulegen, auch um Anforderungen der nationalen Sicherheit oder Strafverfolgung zu erfüllen.

Cookies

• In der App: Cookies für deine Anmeldung, zum Merken deiner Einstellungen und für Sicherheit. Keine Drittanbieter-Werbecookies.
• Auf der Marketing-Website: die oben aufgeführten Analyse- und Werbemessungs-Cookies. Du kannst sie ablehnen.
• Wir beachten Global Privacy Control- und Do Not Track-Signale.

Deine Rechte

Egal, wo du lebst, kannst du uns bitten, auf deine Daten zuzugreifen, sie zu berichtigen, sie zu löschen, sie zu exportieren, die Verarbeitung einzuschränken oder ihr zu widersprechen oder deine Einwilligung zu widerrufen. Wenn du in Kalifornien wohnst, kommt hinzu: erfahren, was wir erfassen, es löschen, berichtigen und dem Verkauf oder der Weitergabe widersprechen. Wir verkaufen deine Daten nicht und geben sie nicht weiter, also gibt es nichts, dem du widersprechen müsstest. Wenn du im EWR oder im Vereinigten Königreich bist, kannst du dich außerdem bei deiner Datenschutzbehörde beschweren.

Das meiste kannst du selbst in deinen Einstellungen erledigen. Ansonsten schreib an [email protected] und wir antworten innerhalb von 30 Tagen. Wir bitten dich zuerst, deine Identität zu bestätigen, und behandeln dich nicht schlechter, weil du fragst.

Sicherheit

Verschlüsselung bei der Übertragung und im Ruhezustand, Least-Privilege-Zugriff, SSO und 2FA, geprüfte Infrastruktur und ein Bug-Bounty-Programm. Details und unsere aktuellen Berichte: cal.com/security. Kein System ist vollkommen sicher; wenn etwas schiefgeht, informieren wir betroffene Kunden ohne unnötige Verzögerung und gemäß unserem Auftragsverarbeitungsvertrag.

Änderungen an dieser Richtlinie

Wir veröffentlichen die neue Version hier und aktualisieren das Gültigkeitsdatum. Bei wesentlichen Änderungen, etwa einer neuen Kategorie von Unterauftragsverarbeitern oder einer neuen Datennutzung, schicken wir dir vor Inkrafttreten eine E-Mail.

Kontakt

Datenschutzbeauftragter: [email protected]
Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Vereinigte Staaten

EU-Vertreter (GDPR Art. 27): Felix Kolodziej, [email protected], Adresse auf Anfrage

Alles Weitere: [email protected]