Datenschutzrichtlinie
Zuletzt aktualisiert
21. Oktober 2026
Verantwortliche Stelle
Capitality wird von der Capkrea GmbH, München, betrieben. Diese Seite gilt für diese Produkt-Website: Registrierung, Konten, Demo-Anfragen und den zugehörigen Support. Die Firmenwebsite hat eine eigene Datenschutzerklärung.
Informationen, die wir sammeln
Wir erheben, was Sie bei der Registrierung und für Ihr Konto angeben, und was Sie uns in einer Anfrage schreiben. Diese Website setzt keine Werbe-Cookies. Besuche und Ladezeiten dieser Website messen wir mit Cloudflare Web Analytics: ohne Cookies, ohne Speicherung auf Ihrem Gerät und ohne Fingerprinting, ausschließlich als zusammengefasste Werte.
Wie wir Informationen verwenden
Wir nutzen Ihre Angaben, um Ihr Konto und Ihren Arbeitsbereich anzulegen, das Produkt zu betreiben und Ihre Anfragen zu beantworten.
Rechtsgrundlagen
Anfragen vor einem Vertrag, etwa nach einer Demo: Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen auf Ihre Anfrage vor einem Vertrag). Registrierung, Konten, Betrieb des Produkts und Support: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Sicherheit, Missbrauchsabwehr, Server-Protokolle und die cookielose Reichweitenmessung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden Dienst). Vertrags- und Rechnungsunterlagen: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten). Daten, die ein Unternehmen als Kunde in Capitality über seine eigenen Kunden, Eigentümer, Mieter oder Interessenten speichert, verarbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO; verantwortlich dafür ist dieses Unternehmen.
Informationsaustausch
Wir verkaufen Ihre Daten nicht. Hosting in Deutschland; die unten genannten Dienstleister verarbeiten Daten nur in unserem Auftrag.
Dienstleister (Auftragsverarbeiter)
Diese Dienstleister verarbeiten Daten ausschließlich in unserem Auftrag und nach unseren Weisungen: Hetzner Online GmbH (Hosting, Deutschland); Cloudflare, Inc. (DNS, Schutz der Website und Dateispeicher mit Speicherort EU; EU-Standardvertragsklauseln und Data Privacy Framework); Mailgun Technologies, Inc. / Sinch (E-Mail-Versand aus der EU-Region, Deutschland und Belgien; Zugriffe aus den USA, etwa im Support, auf Grundlage der EU-Standardvertragsklauseln und des Data Privacy Framework); Armitage Labs OÜ / Creem (Zahlungsabwicklung bezahlter Tarife, Estland); PostHog, Inc. (Fehlerberichte, technische Ablaufdaten und Nutzungsstatistik aus Serveranfragen ohne Inhalte, technische Kennzahlen von KI-Aufrufen ohne Eingaben und Antworten und mit Einwilligung die Nutzungsanalyse der App; PostHog Cloud EU, Deutschland).
Sobald Sie KI-Funktionen einschalten, können Sprachmodell- und weitere KI-Dienstleister die Eingaben dieser Funktionen verarbeiten. Außerhalb der EU geschieht das nur mit einer geeigneten Garantie nach Art. 46 DSGVO. Sie trainieren nicht mit Ihren Daten, soweit der Anbietervertrag das untersagt. Namen, Sitz und Zweck stehen im Anhang des Auftragsverarbeitungsvertrags, den Sie bei der Registrierung eines Arbeitsbereichs schließen; Änderungen kündigen wir 30 Tage vorher an.
Verbundene Postfächer (Microsoft, Google und andere)
Wenn Sie in Capitality ein eigenes Postfach verbinden, melden Sie sich dafür beim Anbieter des Postfachs an (etwa Microsoft oder Google) oder geben dessen Server und Passwort ein. Capitality ruft dann die E-Mails dieses Postfachs ab, zeigt sie im Posteingang Ihres Arbeitsbereichs und versendet Ihre Antworten über dieses Postfach. Anmelde-Token und Passwörter speichern wir verschlüsselt und verwenden sie nur dafür. Microsoft und Google übermitteln uns dabei die Daten, die Sie freigeben, und sind für Ihr Konto dort eigenständig verantwortlich (Datenschutzerklärungen von Microsoft und Google). Die E-Mails verarbeiten wir im Auftrag Ihres Unternehmens nach dem AVV. Sie können ein Postfach jederzeit in den Einstellungen unter „Quellen“ trennen — dann löschen wir die gespeicherten Kopien — und die Freigabe zusätzlich in Ihrem Konto bei Microsoft oder Google widerrufen.
Die Nutzung und Übermittlung von Informationen, die Capitality über Google-APIs erhält, an andere Apps hält die Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen ein. Wir nutzen diese Daten nur, um Ihnen die Postfach-Funktion bereitzustellen, nicht für Werbung, verkaufen sie nicht und lassen sie nicht von Menschen lesen, außer mit Ihrer Zustimmung, aus Sicherheitsgründen oder wenn das Gesetz es verlangt.
KI-Funktionen
Für KI-Funktionen sind besondere personenbezogene Daten (etwa Steuerkennzeichen, Gesundheits- oder Ausweisdaten) nicht erforderlich und sollten nicht eingegeben werden. Werden solche oder andere personenbezogene Daten dennoch eingegeben (aufgedrängte Daten), verarbeiten wir und die eingesetzten KI-Dienstleister sie im Rahmen der jeweiligen Funktion und des Auftragsverarbeitungsvertrags. Ausgaben der KI sind allgemeine, unverbindliche Arbeitshilfen und ersetzen keine Fachberatung; wer sie verwendet, bleibt dafür verantwortlich. Namen und Sitze der KI-Dienstleister stehen im Anhang des AVV.
Datensicherheit
Wir hosten in der EU mit Datenresidenz in Deutschland und setzen Zugriffskontrollen sowie Verschlüsselung in der Übertragung ein.
Speicherdauer
Anfragen vor einem Vertrag (etwa nach einer Demo): bis sie erledigt sind, längstens zwölf Monate nach dem letzten Kontakt. Kontodaten: für die Dauer des Vertrags; nach dem Ende eines Arbeitsbereichs bleiben seine Daten 30 Tage für den Export verfügbar und werden danach aus dem Produkt entfernt — die Fristen für Kundendaten regelt der Auftragsverarbeitungsvertrag. Server-Protokolle: 30 Tage; E-Mail-Adressen, IP-Adressen, lange Zahlen und Zugangsschlüssel werden vor dem Schreiben nach festen Mustern entfernt. Datenbanksicherungen: laufende Kopien 30 Tage, dazu ein Monatsarchiv bis zu 90 Tage; frühere Werte persönlicher Felder liegen nur in den laufenden Kopien (30 Tage). Das Ereignisprotokoll enthält keine personenbezogenen Werte; seine Sicherungen werden bis zu 365 Tage aufbewahrt. Gelöschte Daten bleiben bis zum Ablauf der Sicherungen außer Gebrauch; wird eine Sicherung zurückgespielt, werden sie vor der Wiederaufnahme des Betriebs erneut gelöscht. Dafür führen wir 400 Tage lang ein Löschprotokoll mit Art und Kennung, ohne Namen und Adressen. Vertrags- und Rechnungsunterlagen: solange gesetzliche Aufbewahrungspflichten bestehen, bis zu zehn Jahre (§ 147 AO, § 257 HGB).
Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht, einer Verarbeitung aus berechtigtem Interesse zu widersprechen (Art. 15–21 DSGVO) — über die im Impressum genannten Kontaktdaten. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Außerdem haben Sie das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
Kontaktieren Sie uns
Fragen zu diesem Hinweis? Schreiben Sie uns über das Kontaktformular.