1. Einleitung

Kalima ("wir", "uns", "unser") verpflichtet sich, Ihre Privatsphäre zu schützen. Diese Datenschutzerklärung erläutert, wie wir Ihre personenbezogenen Daten erheben, verwenden, offenlegen und schützen, wenn Sie unsere mehrsprachige Transkriptions- und Übersetzungsplattform ("Dienst") nutzen. Sie steht im Einklang mit der EU-Datenschutz-Grundverordnung (DSGVO) und weiteren anwendbaren Datenschutzgesetzen.

2. Verantwortlicher

Verantwortlicher für die Verarbeitung Ihrer personenbezogenen Daten ist:

ByteHawk GmbH
Vertreten durch den Geschäftsführer Onur Can Karaduman
Fährstraße 217, 40221 Düsseldorf, Deutschland

Bei Fragen oder Anliegen zu Ihren personenbezogenen Daten erreichen Sie unsere Datenschutz-Kontaktstelle unter privacy@meetkalima.com. Wir haben keinen gesonderten Datenschutzbeauftragten bestellt; über diese Adresse erreichen Sie das für den Datenschutz zuständige Team.

3. Welche Daten wir erheben

3.1 Kontodaten

Bei der Registrierung erheben wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Anmeldedaten. Wenn Sie sich über Google anmelden, erhalten wir Ihre Google-Profildaten (Name, E-Mail-Adresse, Profilbild).

3.2 Nutzungsdaten

Wir erheben automatisch Informationen darüber, wie Sie den Dienst nutzen, einschließlich Sitzungsdauer, genutzter Funktionen und Leistungskennzahlen.

3.3 Audiodaten

Wenn Sie eine Sitzung aufnehmen oder eine Datei hochladen, transkribieren wir das Audio und speichern auch die Aufnahme selbst, damit Sie sie später anhören und exportieren können. Das Audio bleibt gespeichert, bis Sie die Sitzung oder Ihr Konto löschen. Gelöschte Sitzungen entfernen wir samt Audio nach 30 Tagen endgültig. Die gesamte Audioverarbeitung findet auf Servern in der EU statt.

3.4 Cookies und ähnliche Technologien

Wir verwenden essenzielle Cookies für die Authentifizierung und Sitzungsverwaltung. Optionale Analyse- und Marketing-Cookies werden nur mit Ihrer ausdrücklichen Einwilligung gesetzt. Einzelheiten und Einstellungen finden Sie in unserem Cookie-Banner. Solange Sie keine Auswahl getroffen haben und wenn Sie ablehnen, zählen wir Besuche trotzdem, allerdings ohne Cookies und ohne etwas auf Ihrem Gerät zu speichern. Die Fehlerüberwachung verwendet in keinem Fall Cookies (siehe Abschnitt 6).

3.5 Missbrauchsabwehr

Neue Konten erhalten kostenlose Minuten. Damit niemand sie über zusätzliche Konten mehrfach abruft, prüfen wir bei der Registrierung einige technische Merkmale: Ihre IP-Adresse, Ihren Browser, wie lange das Ausfüllen des Formulars gedauert hat, ob die E-Mail-Adresse von einem Wegwerf-Anbieter stammt, die Bot-Prüfung von Cloudflare Turnstile und eine Gerätekennung, die die Bibliothek FingerprintJS beim Absenden der Registrierung in Ihrem Browser berechnet. An den Hersteller von FingerprintJS gehen dabei keine Daten.

Solange Ihr Gratis-Konto nicht freigeschaltet ist, übermittelt Ihr Browser nach der Freigabe des Mikrofons außerdem die Namen Ihrer Audiogeräte (Mikrofone und Lautsprecher, nie Kameras). Davon speichern wir nur einen Hashwert. Wir löschen ihn drei Jahre, nachdem das Gerät zuletzt verwendet wurde, auch wenn Sie Ihr Konto vorher löschen. So erkennen wir in dieser Zeit neue Gratis-Konten auf demselben Gerät.

Aus diesen Merkmalen berechnet ein Programm einen Risikowert. Ist er hoch oder nutzen mehr als zwei Konten dasselbe Gerät oder denselben Anschluss, pausieren wir die kostenlosen Minuten, bis ein Moderator das Konto geprüft hat. Gekaufte Minuten bleiben nutzbar, und wir sperren kein Konto automatisch. Halten Sie die Pause für einen Irrtum, schreiben Sie an support@meetkalima.com. Wir prüfen den Fall dann von Hand, und Sie können Ihre Sicht darlegen. Rechtsgrundlage ist unser berechtigtes Interesse, den Missbrauch der kostenlosen Minuten zu verhindern (Art. 6 Abs. 1 lit. f DSGVO).

3.5 Newsletter-Daten

Wenn Sie sich freiwillig für unseren Newsletter anmelden, speichern wir Ihre E-Mail-Adresse, die Sprache der Oberfläche, die Herkunft der Anmeldung, die Fassung des angezeigten Einwilligungstextes sowie Zeitstempel und technische Nachweise für Anmeldung und Bestätigung. Newsletter senden wir erst, nachdem Sie den Link in unserer Bestätigungs-E-Mail geöffnet haben.

4. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten Ihre personenbezogenen Daten auf folgenden Rechtsgrundlagen:

Vertragserfüllung - zur Bereitstellung des von Ihnen gebuchten Dienstes.
Einwilligung - für optionale Cookies, Sitzungsaufzeichnungen, Marketingkommunikation und eine Analyse im Browser, die Ihrem Konto zugeordnet ist.
Berechtigtes Interesse - für Sicherheit, Betrugsprävention (einschließlich der Missbrauchsabwehr in Abschnitt 3.5), Fehler- und Leistungsüberwachung, Besuchsstatistiken ohne Cookies und die Auswertung, wie der Dienst genutzt wird, damit wir ihn verbessern können.
Rechtliche Verpflichtung - zur Einhaltung geltender Gesetze und Vorschriften.

5. Wie wir Ihre Daten nutzen

Um den Dienst bereitzustellen, zu betreiben und zu verbessern.
Um Ihre Identität zu authentifizieren und Ihr Konto zu verwalten.
Um Zahlungen abzuwickeln und Abonnements zu verwalten.
Um dienstbezogene Mitteilungen zu versenden (z. B. Abrechnung, Sicherheitshinweise).
Um Ihnen nach bestätigter freiwilliger Anmeldung den Newsletter zu senden.
Um Fehler, Leistung und Zuverlässigkeit zu überwachen und auszuwerten, wie der Dienst genutzt wird.
Um technische Probleme und Sicherheitsbedrohungen zu erkennen, zu verhindern und zu beheben.

Für den Betrieb des Dienstes geben wir personenbezogene Daten an Anbieter der folgenden Kategorien weiter:

Anbieter der Transkriptionsverarbeitung - Audiodaten für die Echtzeit-Spracherkennung, verarbeitet auf EU-Servern.
Anbieter der KI-Verarbeitung - Textdaten für Zusammenfassungen, Chat- und Übersetzungsfunktionen.
Anbieter der Cloud-Infrastruktur - Hosting und Datenspeicherung in der EU.
Netzwerk- und Sicherheitsdienstleister (Cloudflare) - liefert Website und App aus, verschlüsselt die Verbindung und schützt den Dienst vor Angriffen und automatisierten Registrierungen (Turnstile). Dafür verarbeitet Cloudflare Ihre IP-Adresse und technische Verbindungsdaten.
Produktanalyse und Sitzungsaufzeichnung (PostHog) - Nutzungsanalyse, Sitzungsaufzeichnungen (Session Replay), Umfragen und Feature-Flags, gehostet in der EU und über einen eigenen Reverse-Proxy angebunden. Mit Ihrer Einwilligung setzt PostHog ein Cookie, ordnet Ihre Nutzung des Dienstes Ihrer internen Konto-ID zu und kann Sitzungen aufzeichnen. Das endet, sobald Sie die Einwilligung widerrufen. In den Aufzeichnungen sind Formularfelder, Tooltips und alle Texte verborgen, die nicht zu den festen Beschriftungen unserer Oberfläche gehören (etwa Schaltflächen, Menüs und Überschriften). Sitzungsnamen, Namen, E-Mail-Adressen und Zahlen bleiben dadurch unkenntlich. Audio und Video werden nie aufgezeichnet, und Transkripte, KI-Chats, Zusammenfassungen und Momente erscheinen nur als leere Flächen. Den Verwaltungsbereich und die Geschenkseiten zeichnen wir nie auf. Solange Sie im Cookie-Banner noch nichts ausgewählt haben, und nachdem Sie abgelehnt oder Ihre Einwilligung widerrufen haben, zählt unser Server Seitenaufrufe. Dafür nutzt er nur Angaben, die Ihr Browser ohnehin mit jeder Anfrage sendet: Seitenadresse, verweisende Seite, Kampagnen-Parameter im Link, Browser, Sprache und Land. Nach einer Ablehnung zählt PostHog außerdem Klicks im Browser, ohne Cookies und ohne etwas auf Ihrem Gerät zu speichern. In beiden Fällen bildet PostHog auf seinen Servern eine Besucherkennung aus Ihrer IP-Adresse, Ihrem Browser und einem täglich wechselnden Zufallswert und verwirft IP-Adresse und Browserangaben danach. Eine Aufzeichnung gibt es dabei nicht, und die Daten werden nicht mit Ihrem Konto verknüpft. Damit wir sehen, wie Besucher auf uns aufmerksam werden, speichert unser Server zusätzlich die verweisende Seite, die Kampagnen-Parameter und die erste aufgerufene Seite Ihres ersten Besuchs am Tag für höchstens 26 Stunden. Abgelegt wird das unter einem Wert, der aus Ihrer IP-Adresse, Ihrem Browser und einem täglich wechselnden Zufallsschlüssel berechnet wird; die IP-Adresse selbst speichern wir nicht. Registrieren Sie sich am selben Tag, hinterlegen wir diese Angaben als Herkunft Ihrer Registrierung in Ihrem Konto. Grundlage dieser Zählung ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Sie können ihr jederzeit über den Schalter „Anonyme Statistik ohne Cookies“ in den Cookie-Einstellungen widersprechen. Für diesen Browser entfällt dann alles oben Genannte, und PostHog wird gar nicht mehr geladen. PostHog kann aus Ihrer IP-Adresse einen groben, länderbezogenen Standort ableiten; Ihre IP-Adresse wird nicht zu Ihrer Identifizierung genutzt.
Fehler- und Leistungsüberwachung (Sentry) - Fehlerberichte, Leistungsmessungen und Anwendungsprotokolle, gehostet in der EU (Deutschland). Sentry verwendet keine Sitzungsaufzeichnung. Wir übermitteln weder Ihre IP-Adresse noch Cookies an Sentry und identifizieren Sie ausschließlich über eine interne Konto-ID, niemals über Ihren Namen oder Ihre E-Mail-Adresse. Die Berichte enthalten außerdem, welche App Sie nutzen (Desktop-App, Browser oder Smartphone), deren Version, Ihren Tarif und die Sprache der Oberfläche. Der Dienst läuft nur im Produktivbetrieb. Da er keine Cookies setzt und nichts auf Ihrem Gerät speichert, arbeitet er unabhängig von Ihrer Cookie-Einstellung, gestützt auf unser berechtigtes Interesse an einem sicheren und funktionierenden Dienst. Ein Filter entfernt Geheimnisse und bekannte Inhaltsfelder aus jedem Bericht, bevor er Ihr Gerät verlässt.
Authentifizierungsanbieter (Google) - nur, wenn Sie die Anmeldung über Google nutzen.
Zahlungsdienstleister (Stripe) - für die Abrechnung von Abonnements und Guthaben.
Push-Mitteilungen (Apple, Google) - nur in der Kalima-App für iPhone und Android und nur, wenn Sie Mitteilungen erlaubt haben. Damit wir Ihnen auch bei geschlossener App melden können, dass die Zusammenfassung einer Aufnahme fertig ist oder eine Aufnahme ihr Zeitlimit erreicht, speichern wir eine Kennung, die Apple (Apple Push Notification Service) oder Google (Firebase Cloud Messaging) Ihrem Telefon zuteilt. Über diesen Dienst versenden wir die Mitteilungen. Die Mitteilung zur Zusammenfassung enthält den Namen der Aufnahme, die zum Zeitlimit nur die verbleibenden Minuten oder den Hinweis, dass die Aufnahme beendet wurde. Ein Transkript oder eine Zusammenfassung steht nie darin. Sie können jede dieser Mitteilungen in der App unter Profil > Mitteilungen einzeln abschalten. Die Kennung löschen wir, wenn Sie sich auf dem Telefon abmelden, nach 90 Tagen ohne Nutzung und zusammen mit Ihrem Konto.
E-Mail-Versanddienstleister (Mailjet) - für den Versand dienstbezogener Nachrichten und, nach Ihrer doppelten Bestätigung, des Newsletters.

Manche betrieblichen Ereignisse, etwa Abrechnungs- und Abonnementänderungen über Stripe, die Kontoerstellung sowie der Start oder Abschluss einer Aufnahme, werden unabhängig von Ihrer Cookie-Einstellung über PostHog auf unseren Servern erfasst, weil sie aus Zahlungs-Webhooks und Hintergrundprozessen stammen, die Ihren Browser nie zu Gesicht bekommen. Diese Ereignisse enthalten niemals Transkript- oder KI-Inhalte, sind ausschließlich Ihrer internen Konto-ID zugeordnet und dienen der Vertragserfüllung und dem Betrieb des Dienstes, nicht der einwilligungsbasierten Analyse. Außerdem verwenden wir Feature-Flags, um zu bestimmen, welche Produktfunktionen für Ihr Konto aktiviert sind; das ist eine funktionale Entscheidung über den Funktionsumfang Ihres Produkts, kein Tracking, und kann auch dann greifen, wenn Sie der Analyse widersprochen haben.

Die Aktionen im Dienst, die wir bereits in unserer eigenen Datenbank festhalten, leiten unsere Server ebenfalls an PostHog weiter, unabhängig von Ihrer Cookie-Einstellung. Dazu gehören etwa die Anmeldung, das Erstellen, Teilen und Exportieren von Sitzungen, geänderte Einstellungen, Onboarding-Schritte, Änderungen an Teams und Abrechnung sowie die Nutzung einzelner Funktionen. Jedes Ereignis enthält nur Ihre interne Konto-ID, die Art der Aktion und technische Angaben wie Anzahlen, Formate oder den App-Typ. Transkript- und KI-Inhalte, Namen, E-Mail-Adressen sowie die Titel von Sitzungen und Dateien sind nie enthalten. Damit wir erkennen, wie verschiedene Nutzergruppen den Dienst verwenden, speichert PostHog zu Ihrer Konto-ID zusätzlich folgende Angaben: Tarif, Sprache der Oberfläche, Anmeldeart, ob Ihre E-Mail-Adresse bestätigt ist, den Monat Ihrer Registrierung, ob Sie das Onboarding abgeschlossen haben, ob Sie einer Organisation angehören und ob Sie über eine Empfehlung zu uns gekommen sind. Rechtsgrundlage ist unser berechtigtes Interesse, den Dienst zu verstehen und zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung jederzeit per E-Mail an privacy@meetkalima.com widersprechen. Wir leiten dann keine Ereignisse zu Ihrem Konto mehr weiter und löschen Ihr Profil bei PostHog.

Ihre Antworten im Onboarding-Fragebogen (Einsatzzwecke, Rolle, was Ihnen wichtig ist, Audioquellen, geplante Nutzungshäufigkeit, wie Sie auf Kalima aufmerksam geworden sind) erhält PostHog nur, wenn Sie in Analyse-Cookies eingewilligt haben. Ihr Browser ergänzt sie dann in Ihrem PostHog-Profil. Ohne Einwilligung geben unsere Server sie nicht weiter.

Zu Organisationen speichert PostHog auf derselben Rechtsgrundlage einige Angaben über die Organisation selbst, nie ihren Namen: Tarif, Zahl der Mitglieder, Plätze und Teams sowie den Monat, in dem sie angelegt wurde. Gelegentlich stellen wir in der App eine kurze Frage, etwa warum Sie noch keine Aufnahme gestartet haben. Solche Umfragen erscheinen nur, wenn Sie in Analyse-Cookies eingewilligt haben. Die Antwort ist freiwillig. PostHog speichert sie zusammen mit Ihrer internen Konto-ID. Bitte tragen Sie in optionale Freitextfelder keine persönlichen Angaben ein.

Zur Umsatzauswertung übertragen wir außerdem Abrechnungsdaten aus Stripe an PostHog in der EU. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem jederzeit per E-Mail an privacy@meetkalima.com widersprechen.

KI-Assistenten, die Sie mit Kalima verbinden

Sie können einen KI-Assistenten wie Claude oder ChatGPT über den Kalima-Connector (MCP) mit Ihrem Kalima-Konto verbinden. Dazu richten Sie die Verbindung im KI-Tool ein und bestätigen den Lesezugriff auf einer Kalima-Seite. Wenn Sie den Assistenten zu Ihren Aufnahmen befragen, kann er bei Kalima Titel, Beginn und Dauer, Namen von Projekten, Teams und Organisationen, Sprechernamen sowie Transkripttext oder Auszüge anfordern. Kalima übermittelt nur Daten, auf die Sie in der App Zugriff haben. Audio und Kalimas KI-Zusammenfassungen werden nicht übermittelt. Die Übermittlung erfolgt auf Ihre Anfrage hin zur Erfüllung unseres Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Für die anschließende Verarbeitung durch den Anbieter gelten dessen Bedingungen und Datenschutzerklärung.

Zu jeder Verbindung speichern wir die Angaben, mit denen sich das KI-Tool registriert hat, etwa seinen Namen und die Rücksprungadresse. Wir speichern auch Ihre Freigabe und die Hashwerte der Refresh-Tokens. Bei einem Tool-Aufruf protokollieren wir die verwendete Funktion, das Ergebnis, die Dauer und die Kennung der verbundenen App. Wenn ein erfolgreicher Aufruf eine einzelne Aufnahme betrifft, speichern wir auch deren Kennung. Die Protokolle enthalten weder Ihre Suchbegriffe noch die übermittelten Inhalte. Abgelaufene Anmeldecodes löschen wir nach einem Tag, abgelaufene Refresh-Tokens nach 30 Tagen, widerrufene Freigaben nach 90 Tagen und nie freigegebene Registrierungen nach sieben Tagen. Die Protokolle der Tool-Aufrufe löschen wir nach einem Jahr.

Sie können eine Verbindung jederzeit unter „Verbundene Apps“ in Ihrem Kalima-Konto widerrufen. Das KI-Tool verliert beim nächsten Aufruf den Zugriff. Bereits an den Anbieter übermittelte Daten werden dadurch nicht gelöscht. Für sie gelten dessen Aufbewahrungs- und Löschregeln. Mit der Löschung Ihres Kalima-Kontos enden alle Verbindungen.

Wir verkaufen Ihre personenbezogenen Daten nicht an Dritte und verwenden Ihre Gespräche nicht zum Training von KI-Modellen.

7. Speicherdauer

Wir speichern Ihre personenbezogenen Daten, solange Ihr Konto aktiv ist oder soweit dies zur Bereitstellung des Dienstes erforderlich ist. Gelöschte Sitzungen und zugehörige Daten werden innerhalb von 30 Tagen endgültig entfernt. Sie können die Löschung Ihres Kontos jederzeit verlangen. Sie wird 14 Tage nach dem Antrag ausgeführt, und bis dahin können Sie den Antrag jederzeit zurückziehen.

Zwei Kategorien überdauern Ihr Konto. Rechnungen und die zugehörigen Buchungsunterlagen bewahren wir so lange auf, wie das Gesetz es vorschreibt, derzeit 8 Jahre nach § 147 Abs. 1 Nr. 4 und Abs. 3 AO sowie § 257 HGB und 10 Jahre für die zugrunde liegenden Umsatzaufzeichnungen. Art. 17 Abs. 3 lit. b DSGVO erlaubt das ausdrücklich, und wir nutzen diese Daten zu keinem anderen Zweck. Daneben behalten wir Nutzungsdaten: wie lange eine Aufnahme lief, wie viele Wörter dabei entstanden sind und welche Funktionen wann verwendet wurden. Transkripte, Audio und Kontaktdaten sind darin nicht enthalten. Verknüpft bleiben diese Daten aber mit Ihrem Kontodatensatz, den wir anonymisieren statt ihn zu löschen. Deshalb bezeichnen wir sie nicht als anonyme Daten.

Unbestätigte Newsletter-Anmeldungen löschen wir nach 30 Tagen. Wenn Sie den Newsletter abbestellen, behalten wir Ihre E-Mail-Adresse und den Zeitpunkt des Widerrufs als Sperrvermerk. So verhindern wir, dass wir Sie versehentlich erneut anschreiben. Technische Angaben zur Anmeldung entfernen wir innerhalb von 30 Tagen nach der Abbestellung.

8. Ihre Rechte (DSGVO)

Als betroffene Person haben Sie nach der DSGVO folgende Rechte:

Auskunft - eine Kopie Ihrer personenbezogenen Daten anzufordern.
Berichtigung - unrichtige oder unvollständige Daten korrigieren zu lassen.
Löschung - die Löschung Ihrer personenbezogenen Daten zu verlangen ("Recht auf Vergessenwerden").
Einschränkung - die Verarbeitung Ihrer Daten einschränken zu lassen.
Datenübertragbarkeit - Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten.
Widerspruch - der auf berechtigtem Interesse beruhenden Verarbeitung zu widersprechen.
Widerruf der Einwilligung - eine erteilte Einwilligung jederzeit zu widerrufen.

Um eines dieser Rechte auszuüben, kontaktieren Sie uns unter privacy@meetkalima.com. Wir antworten innerhalb von 30 Tagen. Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

9. Internationale Datenübermittlungen

Wir speichern Ihre Daten in der Europäischen Union. Einige unserer Dienstleister haben ihren Sitz in den USA oder können Daten dort verarbeiten: Cloudflare, Stripe, Google, Apple, der Anbieter hinter unseren KI-Funktionen (OpenRouter), unser Anbieter für Spracherkennung sowie unsere Dienste für Produktanalyse und Fehlerüberwachung (PostHog, Sentry). Bei den drei Letztgenannten liegen die Daten in der EU, die Unternehmen sitzen aber in den USA. Übermittlungen an sie stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter danach zertifiziert ist, und im Übrigen auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie dieser Garantien erhalten Sie auf Anfrage unter privacy@meetkalima.com.

10. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, darunter Verschlüsselung bei der Übertragung (TLS), strenge Zugriffskontrollen, die verschlüsselte Speicherung von Passwörtern für Freigabelinks (AES-256-GCM) sowie regelmäßige Sicherheitsüberprüfungen.

11. Datenschutz von Minderjährigen

Der Dienst richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Sollten Sie der Ansicht sein, dass wir versehentlich solche Daten erhoben haben, kontaktieren Sie uns bitte umgehend.

12. Änderungen dieser Richtlinie

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen teilen wir Ihnen per E-Mail oder über eine In-App-Benachrichtigung mit. Das oben angegebene Datum ("Gültig ab") weist auf die jeweils aktuelle Fassung hin.

13. Kontakt

Bei datenschutzbezogenen Fragen, Anliegen oder Anfragen wenden Sie sich an unsere Datenschutz-Kontaktstelle unter privacy@meetkalima.com.

Datenschutzerklärung