Rechtliche Informationen

Datenschutzerklärung

Zuletzt aktualisiert: 7. Oktober 2026 · 26 Min. Lesezeit

Wir, die MercanWorks OÜ („wir“ oder die „Gesellschaft“), legen großen Wert auf die Vertraulichkeit und Sicherheit Ihrer personenbezogenen Daten. Loop ist ein Dienst zur Aufgabenverfolgung und Automatisierung ohne Programmierung für kleine und mittlere Unternehmen, den die MercanWorks OÜ unter der Dachmarke N-XPLUS anbietet.

Diese Datenschutzerklärung erläutert, wie Ihre personenbezogenen Daten erhoben, zu welchen Zwecken sie verwendet, an wen sie weitergegeben, wie lange sie gespeichert und wie sie geschützt werden, wenn Sie die Website unter loop.n-xplus.com („Website“) und die Loop-Anwendung („Dienst“) nutzen. Der Text beschreibt die derzeitige Funktionsweise des Produkts; ändert sich das Produkt, wird diese Seite mit neuem Datum aktualisiert, und Daten werden zu keinem Zweck verarbeitet, der hier nicht genannt ist.

Für in der Türkei ansässige Personen werden zusätzlich Datenschutzhinweise nach KVKK veröffentlicht; beide Texte gelten gemeinsam. Cookies und die in Ihrem Browser gespeicherten Einträge werden in der Cookie-Richtlinie ausführlich beschrieben.

1. Verantwortlicher

Die MercanWorks OÜ ist eine nach dem Recht der Republik Estland gegründete Gesellschaft mit Sitz in der Europäischen Union. Die Verarbeitung Ihrer personenbezogenen Daten unterliegt daher unabhängig von Ihrem Wohnort der Datenschutz-Grundverordnung der Europäischen Union („DSGVO“); für in der Türkei ansässige Personen gilt zusätzlich das türkische Gesetz Nr. 6698 zum Schutz personenbezogener Daten („KVKK“).

1.1. In welcher Rolle wir bei welchen Daten handeln

Aufgrund der Funktionsweise des Dienstes handelt die MercanWorks OÜ in zwei unterschiedlichen Rollen. Diese Unterscheidung ist wichtig, weil sie bestimmt, gegenüber wem Sie Ihre Rechte geltend machen.

• Als Verantwortlicher: Ihre Kontodaten (Name, E-Mail-Adresse, Passwort-Hash, Ihre Rolle in Ihrem Unternehmen, Ihre Einstellungen), die personenbezogenen Daten in den Abonnementunterlagen Ihres Unternehmens (E-Mail-Adresse des Unternehmensinhabers, Name einer natürlichen Person in den Rechnungsangaben), die für den Betrieb des Dienstes geführten technischen Aufzeichnungen und die Daten der Werbemessung, die auf der Website mit Ihrer Einwilligung läuft, verarbeiten wir als Verantwortlicher. Für diese Daten sind wir Ihr Ansprechpartner.
• Als Auftragsverarbeiter: Verantwortlicher für die Geschäftsdaten, die Ihr Unternehmen in Loop eingibt (Aufgaben, Kommentare, Projektchatnachrichten, Dateianhänge, Formulardefinitionen und -antworten, Feldwerte sowie darin möglicherweise enthaltene Daten von Kunden, Lieferanten oder Geschäftspartnern), ist Ihr Unternehmen. Wir verarbeiten diese Daten nur auf Weisung Ihres Unternehmens und zum Betrieb des Dienstes. Für die rechtmäßige Erhebung dieser Daten, die Information der betroffenen Personen und gegebenenfalls die Einholung ihrer Einwilligung ist Ihr Unternehmen verantwortlich. Wir verwenden diese Daten nicht für eigene Zwecke, verkaufen sie nicht, nutzen sie nicht für Werbung und verwenden sie nicht zum Training von KI-Modellen. Die Bedingungen der Auftragsverarbeitung (Art. 28 Abs. 3 DSGVO) stehen im Abschnitt über die Auftragsverarbeitung in den Nutzungsbedingungen.

1.2. Loop verfolgt Arbeit, nicht Mitarbeitende

Loop erhebt keine Daten, mit denen Personen überwacht werden, wie Standort, Screenshots, Tastatur- und Mausbewegungen, Anwesenheit oder Online-Zeit; eine solche Messung ist im Datenmodell des Produkts nicht vorgesehen. Gemessen werden Aufgaben: welche Arbeit sich in welcher Phase befindet und wann sie abgeschlossen wurde. Die Kennzahlen im Leistungsbereich werden aus den Daten zur termingerechten Aufgabenerledigung abgeleitet und messen nicht die Arbeitsqualität von Personen.

2. Welche Daten wir erheben

2.1. Von Ihnen direkt bereitgestellte Daten

• Konto: Ihr Name, Ihre E-Mail-Adresse und der kryptografische Hash Ihres Passworts. Das Passwort liegt nur beim Authentifizierungsanbieter in gehashter Form vor, wird nirgends im Klartext gespeichert und ist für uns nicht einsehbar. Die Bestätigung Ihrer E-Mail-Adresse ist erforderlich.
• Ihre Rolle im Unternehmen: ob Sie Inhaber, Administrator oder Mitglied sind, und Ihr Zugriff auf Projekte, die durch eine Zugriffsliste eingeschränkt sind.
• Einstellungen: Ihre Darstellungswahl (Design, heller oder dunkler Modus, Hintergrund und Akzentfarbe), Ihre Benachrichtigungseinstellung und Ihre Dashboard-Anordnung werden in Ihrem Konto gespeichert; die übrigen Darstellungseinstellungen bleiben nur auf Ihrem Gerät.
• Einladungsdaten: die in ein Unternehmen eingeladene E-Mail-Adresse und der Status der Einladung (ausstehend, angenommen, widerrufen, abgelaufen).
• Korrespondenz: Wenn Sie an [email protected] oder [email protected] schreiben, Ihr Name, Ihre E-Mail-Adresse, Ihre Nachricht und bei Betroffenenanträgen die Angaben, die Sie zur Prüfung Ihrer Identität machen. Die Schaltfläche „Schreiben Sie uns auf WhatsApp“ auf der Website startet eine Unterhaltung mit uns in WhatsApp. Wenn Sie uns schreiben, werden Ihre Telefonnummer, Ihr in WhatsApp angezeigter Name und Ihre Nachrichten verarbeitet, um diese Unterhaltung zu beantworten; die Unterhaltung unterliegt zusätzlich den eigenen Bedingungen von WhatsApp.

Für die Kontoerstellung sind Name, E-Mail-Adresse und Passwort erforderlich; ohne diese Angaben kann kein Konto erstellt werden. Einstellungen sowie Browser- und Telefonbenachrichtigungen sind freiwillig.

2.2. Geschäftsdaten Ihres Unternehmens

Bei der Nutzung des Dienstes durch Ihr Unternehmen werden die folgenden Daten eingegeben und gespeichert; für diese Daten gilt unsere Rolle als Auftragsverarbeiter nach Abschnitt 1.1:

• Aufgaben, Unteraufgaben, Phasen, Zuweisungen und Zuweisungsverlauf, Aufgabentypen und Felddefinitionen.
• Aufgabenkommentare und Aktivitätsverlauf (wer wann was geändert hat).
• Projekte, Projektchatnachrichten und an Nachrichten angehängte Dateien.
• Formulardefinitionen und Formularantworten (aus Formularen in der App und aus öffentlich freigegebenen Formularen).
• Automatisierungsregeln und das Regelausführungsprotokoll (welche Regel wann mit welchem Ergebnis ausgeführt wurde).
• Als „vertraulich“ gekennzeichnete Feldwerte. Diese Werte werden in einer separaten Spalte gespeichert, nur von den von Ihrem Unternehmen berechtigten Personen über einen einzigen kontrollierten Zugang gelesen und weder an den KI-Assistenten noch an öffentlich freigegebene Formulare übermittelt.

2.3. Öffentlich freigegebene Formulare

Wenn Ihr Unternehmen ein Formular per Link öffentlich freigibt, werden die Antworten der ausfüllenden Person als Geschäftsdaten Ihres Unternehmens gespeichert, und Verantwortlicher für diese Antworten ist Ihr Unternehmen. Zur Begrenzung von Missbrauch und übermäßigen Anfragen wird ein Einweg-Hash (SHA-256) der IP-Adresse des Absenders 7 Tage lang gespeichert; die IP-Adresse selbst wird nicht gespeichert. Für die ausfüllende Person wird kein Konto angelegt und auf ihrem Gerät kein Cookie gespeichert.

2.4. Automatisch erhobene technische Daten

• Benachrichtigungsprotokolle: an wen, wann und über welchen Kanal eine Benachrichtigung gesendet wurde, und der Zustellstatus.
• Browser- und Telefonbenachrichtigungen: nur wenn Sie sie aktivieren, die von Ihrem Browser bereitgestellte Abonnementadresse und Verschlüsselungsschlüssel oder in der mobilen App das Benachrichtigungstoken und der Typ Ihres Telefons.
• Automatisierungszähler und Ereigniswarteschlange: die Zahl der Regelausführungen (für das monatliche Kontingent) und die noch zu verarbeitenden Ereignisse.
• Gespräche mit dem KI-Assistenten: eine Zusammenfassung Ihrer Anfrage und der Antwort. Beim Speichern der Zusammenfassung werden Zahlenfolgen mit 10 bis 11 Stellen und E-Mail-Adressen maskiert (Abschnitt 7).
• Anfragedaten: Cloudflare, das Website und App bereitstellt, verarbeitet die IP-Adresse der Anfragen vorübergehend nach seiner eigenen Datenschutzerklärung. Loop führt in seinem eigenen Anwendungscode kein Zugriffsprotokoll; die Betriebs- und Sicherheitsprotokolle von Cloudflare und Supabase (einschließlich IP-Adressen) unterliegen den Richtlinien und Speicherfristen dieser Anbieter.
• Besuchszählung ohne Cookies: Die Besuche der Website werden mit Cloudflare Web Analytics ohne Cookies und Kennungen gezählt. Diese Messung erstellt keine Profile einzelner Personen, sondern nur zusammengefasste Zahlen nach Seite, Herkunft, Browsertyp und Land.
• Im Browser gespeicherte Einträge: Einträge, die Ihre Sitzung aufrechterhalten und Ihre Einstellungen speichern, bleiben auf Ihrem Gerät. Das Sitzungstoken wird zur Prüfung Ihrer Identität bei jeder Anfrage an den Server übertragen. Die vollständige Liste steht in der Cookie-Richtlinie. In der mobilen App wird die Sitzung im sicheren Speicher des Telefons (unter Android im Keystore, auf dem iPhone in der Keychain) gehalten und bei der Abmeldung gelöscht.
• Fehlerprotokolle: Tritt in der App oder auf der Website ein Fehler auf, wird eine technische Zusammenfassung des Fehlers (Fehlermeldung, Seite, App-Version, Browsertyp und gegebenenfalls Unternehmen) auf dem Server gespeichert; Werte wie E-Mail-Adressen, Telefonnummern und Ausweisnummern werden vor der Speicherung maskiert. Diesen Eintrag sieht nur der berechtigte Betreiber von Loop.

2.5. Zahlungsdaten

Zahlungen für kostenpflichtige Tarife werden von Stripe verarbeitet. Kartendaten werden auf der eigenen Zahlungsseite von Stripe eingegeben; Kartennummer, Prüfnummer und Ablaufdatum gelangen nie auf unsere Server und werden unter keinen Umständen gespeichert. In Loop werden nur der Tarif, der Abonnementstatus sowie die Kunden- und Abonnementkennungen von Stripe gespeichert. An Stripe werden Unternehmensname, E-Mail-Adresse des Unternehmensinhabers und Rechnungsangaben übermittelt. Für den Free-Tarif werden keine Kartendaten verlangt.

2.6. Daten der Werbemessung, die nur mit Ihrer Einwilligung erhoben werden

Wenn Sie im Cookie-Hinweis oder in den „Cookie-Einstellungen“ der Website in die Werbemessung einwilligen, sendet das Conversion-Tag von Google Ads die folgenden Daten direkt an Google: die Adresse der besuchten Loop-Seite (ohne den Abfrageteil der Adresse), eine Ihrem Browser zugewiesene Zufallskennung, die Anzeigenklick-Kennung und das Cookie, das sie speichert, eine bei der Unternehmensanlage erzeugte zufällige Vorgangsnummer, Ihre IP-Adresse sowie Browser- und Geräteinformationen. Die Seitenadresse wird ohne ihren Abfrageteil an Google gesendet; an die Adresse angefügte Informationen und die Adresse der externen Seite, von der Sie auf die Website gekommen sind, werden nicht an Google übermittelt. Die Anzeigenklick-Kennung wird gesondert aus der Adresse entnommen, und nur diese Kennung wird übermittelt. Ohne Ihre Einwilligung wird das Google-Tag nicht geladen, und diese Daten werden nicht erhoben. Einzelheiten stehen im Abschnitt der Cookie-Richtlinie über die Werbemessung.

2.7. Daten, die wir nicht erheben

• Werbe- oder Tracking-Cookies ohne Ihre Einwilligung; Tracking-Skripte Dritter außer der erlaubten Werbemessung; Nutzungstelemetrie (es werden nur Fehlerprotokolle geführt); Werbekennungen außer der Anzeigenklick-Kennung und der zufälligen Browserkennung der erlaubten Werbemessung; Gerätefingerabdrücke.
• Standort, Screenshots, Tastatur- und Mausbewegungen, Anwesenheit oder Online-Zeit.
• Kartennummern oder Bankverbindungsdaten.
• Inhalte und Zugriffstoken des unter Mail verbundenen Gmail- oder Outlook-Kontos. Diese gelangen nie auf unsere Server (Abschnitt 8).

3. Cookies und ähnliche Technologien

Website und App speichern die für ihren Betrieb erforderlichen Einträge im lokalen Speicher Ihres Browsers. Die einzige für den Betrieb des Dienstes nicht erforderliche Verwendung ist die Werbemessung mit Google Ads, die auf der Website nur mit Ihrer Einwilligung läuft. Deshalb wird beim ersten Öffnen der Website ein Cookie-Hinweis angezeigt; Sie können die Werbemessung mit den Optionen „Alle akzeptieren“, „Alle ablehnen“ oder „Einstellungen verwalten“ steuern. Ihre Entscheidung können Sie jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile der Seite ändern. Name, Zweck und Speicherdauer jedes verwendeten Eintrags stehen in der Cookie-Richtlinie.

4. Zu welchen Zwecken und auf welchen Rechtsgrundlagen wir Daten verarbeiten

Da die Gmail- und Outlook-Daten unter Mail nicht auf unsere Server gelangen, gelten die Rechtsgrundlagen dieser Tabelle für diese Daten nicht (Abschnitt 8).

4.1. Zwecke, für die wir keine Daten verarbeiten

• Wir verarbeiten Ihre personenbezogenen Daten nicht für Marketing, Werbepersonalisierung oder Verhaltensanalyse. Einzige Ausnahme ist die Conversion-Messung für Werbung, die auf der Website nur mit Ihrer ausdrücklichen Einwilligung läuft.
• Loop versendet keine Marketing-E-Mails und führt keine Ankündigungsliste. Zu einzelnen Aufgaben werden keine E-Mails gesendet. Nur der Inhaber und die Administratoren eines Unternehmens erhalten in einem von ihnen gewählten Rhythmus (täglich oder wöchentlich) eine einzige E-Mail, die den Arbeitsstand des Unternehmens zusammenfasst; diese Zusammenfassung kann in den Einstellungen deaktiviert werden. Nachrichten zur Kontobestätigung und Passwortzurücksetzung werden nur gesendet, wenn Sie den jeweiligen Vorgang starten. Wenn Sie in ein Unternehmen eingeladen werden, erhalten Sie auf Veranlassung der einladenden Person eine Einladungs-E-Mail.

4.2. Leistungsbereich

Der Leistungsbereich ist ein Bericht, der auf Weisung Ihres Unternehmens aus den Daten zur Aufgabenerledigung abgeleitet wird und eine Bewertung der Arbeitsleistung im Sinne der DSGVO enthalten kann. Die Verwendung des Berichts gegenüber Mitarbeitenden, deren Information darüber und gegebenenfalls die arbeitsrechtlichen Pflichten liegen in der Verantwortung Ihres Unternehmens. Loop trifft auf Grundlage des Berichts keine eigenständigen Entscheidungen.

5. Übermittlung personenbezogener Daten innerhalb der Türkei

Nach Artikel 8 KVKK werden personenbezogene Daten grundsätzlich mit ausdrücklicher Einwilligung der betroffenen Person übermittelt. Liegt eine der im zweiten Absatz von Artikel 5 des Gesetzes genannten Voraussetzungen vor (zum Beispiel, dass die Übermittlung gesetzlich ausdrücklich vorgesehen ist, für die Erfüllung eines Vertrags erforderlich ist, der Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen dient oder für die Begründung, Ausübung oder Verteidigung eines Rechts zwingend erforderlich ist) und bei besonderen Kategorien personenbezogener Daten eine der Voraussetzungen von Artikel 6 des Gesetzes, ist keine ausdrückliche Einwilligung erforderlich.

Ihre personenbezogenen Daten können in der Türkei nur in folgenden Fällen übermittelt werden:

• An zuständige öffentliche Stellen (zum Beispiel Gerichte und die türkische Datenschutzbehörde), wenn eine gesetzliche Verpflichtung besteht, auf schriftliche und inhaltlich bestimmte Anfrage und beschränkt auf deren Umfang (KVKK Art. 5/2-a und ç).
• Bei Bedarf an unsere Steuer- und Rechtsberater, soweit dies zur Erfüllung unserer gesetzlichen Pflichten oder zur Begründung, Ausübung oder Verteidigung eines Rechts erforderlich ist (KVKK Art. 5/2-ç und e).

6. Übermittlung personenbezogener Daten ins Ausland

6.1. Die gesetzlich vorgesehenen Wege

Artikel 9 KVKK wurde durch das am 1. Juni 2024 in Kraft getretene Gesetz Nr. 7499 geändert. Nach der heutigen Fassung des Artikels können personenbezogene Daten auf einem der folgenden Wege ins Ausland übermittelt werden:

1. Angemessenheitsbeschluss: wenn eine der Verarbeitungsvoraussetzungen der Artikel 5 oder 6 des Gesetzes vorliegt und der türkische Datenschutzrat (Kişisel Verileri Koruma Kurulu) für das Empfängerland, einen Sektor in diesem Land oder die internationale Organisation einen Angemessenheitsbeschluss erlassen hat. 2. Geeignete Garantien: wenn kein Angemessenheitsbeschluss vorliegt, eine der Verarbeitungsvoraussetzungen erfüllt ist, die betroffene Person ihre Rechte auch im Empfängerland ausüben und wirksame Rechtsbehelfe einlegen kann und die Parteien eine der im Gesetz genannten geeigneten Garantien vorsehen. Diese Garantien sind eine vom Rat genehmigte Vereinbarung zwischen öffentlichen Stellen, vom Rat genehmigte verbindliche interne Datenschutzvorschriften, ein vom Rat bekannt gemachter Standardvertrag und eine vom Rat genehmigte schriftliche Verpflichtungserklärung. Ein Standardvertrag wird innerhalb von fünf Arbeitstagen nach seiner Unterzeichnung der Behörde gemeldet. 3. Gelegentliche Übermittlung: wenn weder ein Angemessenheitsbeschluss noch eine geeignete Garantie vorliegt, nur bei nicht regelmäßigen und nicht fortlaufenden Übermittlungen und wenn einer der im Gesetz genannten Fälle vorliegt. Zu diesen Fällen gehören die ausdrückliche Einwilligung der betroffenen Person in die Übermittlung, nachdem sie über die möglichen Risiken informiert wurde, und die Erforderlichkeit der Übermittlung für die Erfüllung eines Vertrags mit der betroffenen Person.

Für Weiterübermittlungen ins Ausland übermittelter Daten in andere Länder gelten dieselben Regeln.

Der türkische Datenschutzrat hat zum Datum dieser Erklärung für kein Land einen Angemessenheitsbeschluss erlassen. Keine der nachstehenden Übermittlungen beruht daher auf einem Angemessenheitsbeschluss.

6.2. Empfänger der übermittelten Daten

Die MercanWorks OÜ hat ihren Sitz in Estland und damit in der Europäischen Union und erbringt den Dienst mit den folgenden Anbietern. Für Nutzer in der Türkei ist die Übermittlung an diese Anbieter eine Übermittlung ins Ausland.

Die eigenen Unterauftragsverarbeiter jedes Anbieters (zum Beispiel Amazon Web Services bei Supabase) stehen in der Liste des jeweiligen Anbieters. Ihre Daten werden unter keinen Umständen verkauft oder vermietet und nicht an Datenhändler übermittelt.

Der türkische Datenschutzrat hat für die Länder, in denen sich diese Anbieter befinden, keinen Angemessenheitsbeschluss erlassen. Für Nutzer in der Türkei ist daher nicht gewährleistet, dass in diesen Ländern dasselbe Schutzniveau und dieselben Rechtsbehelfe wie in der Türkei bestehen. Informationen für Nutzer in der Europäischen Union stehen in Abschnitt 6.4.

6.3. Werbemessung mit Google Ads

Wenn Sie auf der Website in die Werbemessung einwilligen, werden die Daten nach Abschnitt 2.6 an Google Ireland Limited (Irland) und Google LLC (USA) übermittelt; Google kann diese Daten auch auf seinen Servern in anderen Ländern verarbeiten. Google verarbeitet diese Daten nach eigenen Bedingungen und für eigene Zwecke als eigenständiger Verantwortlicher.

Diese Übermittlung erfolgt nur mit Ihrer ausdrücklichen Einwilligung; ohne Einwilligung findet sie nicht statt, und Sie können Ihre Einwilligung jederzeit widerrufen. Für Nutzer in der Türkei ist Folgendes wichtig: Der Rat hat für diese Länder keinen Angemessenheitsbeschluss erlassen; dort besteht möglicherweise kein Schutzniveau und kein Rechtsschutz, der dem in der Türkei entspricht, Behörden dieser Länder können nach ihrem eigenen Recht auf die Daten zugreifen, und die Durchsetzung Ihrer Rechte gegenüber Google kann schwieriger sein.

Wie Google diese Daten verwendet, ist auf der Seite „Wie Google Informationen von Partnerwebsites verwendet“ beschrieben. Google gibt an, in seinen Werbeserver-Protokollen einen Teil der IP-Adresse nach 9 Monaten und Cookie-Informationen nach 18 Monaten zu entfernen.

6.4. Nutzer in der Europäischen Union

Ihre Datenbank- und Authentifizierungsdaten werden innerhalb der Europäischen Union gespeichert. Die begrenzten Übermittlungen außerhalb der Europäischen Union sind folgende: Wenn Sie den KI-Assistenten aufrufen, geht Ihr Text an OpenAI in den USA, Zahlungsdaten gehen an Stripe; die Inhalte der Dateianhänge werden im globalen Netzwerk von Cloudflare gespeichert und können außerhalb der Europäischen Union verarbeitet werden; mit Google Workspace versendete E-Mails und WhatsApp-Unterhaltungen können auch auf Servern außerhalb der Europäischen Union verarbeitet werden. Informationen zu den bei diesen Übermittlungen angewandten Garantien erhalten Sie auf Anfrage an [email protected]. Die Daten der Werbemessung von Besuchern im Europäischen Wirtschaftsraum empfängt Google Ireland Limited; Google gibt an, sich bei der Übermittlung in die USA auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US-Datenschutzrahmen zu stützen.

6.5. Wechsel von Anbietern

Mindestens 30 Tage bevor ein neuer Auftragsverarbeiter hinzukommt oder ein bestehender ersetzt wird, wird die Tabelle in Abschnitt 6.2 aktualisiert und die Änderung auf dieser Seite angekündigt. Ihr Unternehmen kann innerhalb dieser Frist durch eine Nachricht an [email protected] widersprechen; kann der Widerspruch nicht ausgeräumt werden, kann der Unternehmensinhaber das Unternehmen schließen (bei einem laufenden Abonnement wird zuvor das Abonnement gekündigt).

Mit der Aktualisierung vom [Veröffentlichungsdatum] wurde in die Tabelle in Abschnitt 6.2 Google Workspace aufgenommen, das für den Versand der E-Mails zur Kontobestätigung, der Einladungen und der Zusammenfassungen verwendet wird. Ihr Unternehmen kann dieser Änderung innerhalb von 30 Tagen ab diesem Datum durch eine Nachricht an [email protected] widersprechen.

6.6. Direkte Verbindungen aus Ihrem Browser

Wenn Sie Mail nutzen, verbindet sich Ihr Browser direkt mit den Servern von Google oder Microsoft; dieser Datenverkehr läuft nicht über unsere Server, und die MercanWorks OÜ übermittelt diese Daten nicht. Zur Zahlung werden Sie auf die Zahlungsseite von Stripe weitergeleitet; diese Seite unterliegt der eigenen Richtlinie von Stripe. Bei diesen Verbindungen ist Ihre IP-Adresse für den jeweiligen Anbieter technisch sichtbar.

7. KI-Einrichtungsassistent

Der Assistent „Beschreiben Sie es, ich richte es ein“ hilft Ihnen, die Aufgabentypen, Phasen, Felder, Arbeitsschritte, Aufgaben, Formulare und Automatisierungsregeln Ihres Unternehmens anhand Ihrer Beschreibung einzurichten. Der Assistent wird nur aktiv, wenn Sie ihn aufrufen, läuft nicht selbstständig im Hintergrund und liest Ihre Daten nicht von sich aus. Das Sprachmodell stellt OpenAI bereit.

• Übermittelt: Ihr Anfragetext; die Bezeichnungen der Typen, Felder, Phasen, Regeln, Projekte und Teams Ihres Unternehmens; die Liste der Namen und Rollen der Mitglieder, damit der Assistent Aufgaben zuweisen kann. Wenn Sie den Assistenten bitten, eine bestehende Aufgabe zu finden oder zu aktualisieren, werden außerdem Nummer, Titel, Phase, Projekt, zuständige Personen und Fälligkeitsdatum der bei dieser Suche gefundenen Aufgaben übermittelt.
• Nicht übermittelt: Beschreibungen von Aufgaben, Kommentare, Projektchatnachrichten, Dateianhänge, Formularantworten, Feldwerte und vertrauliche Feldwerte, E-Mail-Inhalte und Zahlungsdaten.
• Maskierung: Der an OpenAI gesendete Anfragetext wird nicht maskiert, und alles, was Sie schreiben, wird unverändert übertragen; wir empfehlen daher, keine personenbezogenen Daten in die Anfrage zu schreiben. Die Maskierung erfolgt nur beim Speichern der Gesprächszusammenfassung: Zahlenfolgen mit 10 bis 11 Stellen (Telefonnummern, türkische Identitätsnummern und Bestellnummern haben dieselbe Länge und werden nicht unterschieden) und E-Mail-Adressen werden beim Schreiben der Zusammenfassung maskiert.
• Vorschau und Bestätigung: Alles, was der Assistent einrichten möchte, wird zunächst als Vorschau angezeigt, und ohne Ihre Bestätigung wird kein Datensatz gespeichert. Die maskierte Zusammenfassung des Gesprächs wird zur Qualitäts- und Missbrauchskontrolle und zur Guthabenzählung 12 Monate gespeichert. Ihre Gespräche und die Daten Ihres Unternehmens verwenden wir nicht zum Training von Modellen. Nach der API-Richtlinie von OpenAI werden über die API gesendete Ein- und Ausgaben standardmäßig nicht zum Modelltraining verwendet, und OpenAI bewahrt diese Aufzeichnungen zur Missbrauchsüberwachung höchstens 30 Tage auf.
• Guthaben: Der Assistent arbeitet mit KI-Guthaben; eine Guthabeneinheit entspricht einer Runde mit dem Assistenten. Der Free-Tarif enthält kein KI-Guthaben, der Assistent ist deaktiviert, und an OpenAI werden keine Daten gesendet.
• Keine automatisierten Entscheidungen: Loop trifft keine eigenständigen Entscheidungen über Personen; ein automatisiertes System, das Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Personen trifft, ist im Produkt nicht vorhanden. Ihr Widerspruchsrecht nach KVKK Art. 11/1-g und Art. 22 DSGVO bleibt unberührt.

8. Mail-Daten (Gmail und Outlook)

Unter Mail können Sie Ihr eigenes Gmail- oder Outlook- und Microsoft 365-Konto in Loop lesen und beantworten. Mail wird nicht angezeigt, wenn kein Anbieter konfiguriert ist, und funktioniert nicht, während Sie mit dem Beispielunternehmen arbeiten. Die Gmail-Verbindung wird derzeit nicht angeboten; die Bestimmungen dieses Abschnitts zu Gmail gelten, sobald die Verbindung wieder angeboten wird.

In diesem Abschnitt bezeichnet „Loop-Anwendung“ die in Ihrem Browser laufende Software und „unsere Server“ die von der MercanWorks OÜ betriebenen Server. Auf Ihre Gmail- und Outlook-Daten greift nur die Loop-Anwendung in Ihrem Browser zu und verarbeitet sie nur dort; unsere Server erhalten diese Daten nicht, speichern sie nicht und können sie nicht sehen.

8.1. Was Mail tut

• Es listet Ihren Posteingang auf und zeigt Nachrichten an.
• Es ermöglicht Ihnen, Antworten zu schreiben und neue Nachrichten zu senden.
• Es löscht Nachrichten (nicht dauerhaft; die Nachricht kann aus dem Papierkorb des Anbieters wiederhergestellt werden), archiviert sie und markiert sie als gelesen oder ungelesen.
• Darüber hinaus führt es in Ihrem Konto keine Aktionen aus; es greift nicht auf Ihre Kontakte, Ihren Kalender, Ihre Dateien oder freigegebene Postfächer zu.

8.2. Die Autorisierung erfolgt in Ihrem Browser

Beim Verbinden Ihres Kontos werden Sie auf die eigene Anmeldeseite von Google oder Microsoft weitergeleitet und geben Ihr Passwort nie in Loop ein. Die Autorisierung wird mit OAuth 2.0 vollständig in Ihrem Browser abgeschlossen; es gibt keine zwischengeschaltete Serverkomponente, und die Token werden nicht an unsere Server übermittelt. Die angeforderten Berechtigungen sind der engste Umfang, der für die Aktionen nach Abschnitt 8.1 erforderlich ist. Ändert sich der Umfang, wird diese Seite aktualisiert, und Sie werden über den Zustimmungsdialog des Anbieters um eine erneute Autorisierung gebeten. Da die Daten unter Mail nicht auf unsere Server gelangen, gelten die Rechtsgrundlagen aus Abschnitt 4 für diese Daten nicht; die Autorisierung ist Ihre Freigabe gegenüber Google oder Microsoft und kann auf den Wegen nach Abschnitt 8.5 jederzeit widerrufen werden.

8.3. Berechtigungsumfang

• Google (Gmail): gmail.modify (E-Mails lesen; Labels, Papierkorb und Archiv ändern; senden; dauerhaftes Löschen gehört nicht zu diesem Umfang), openid und email (um Ihr Konto mit seiner E-Mail-Adresse anzuzeigen). Vollzugriff auf Gmail sowie Umfänge für Kontakte, Kalender, Drive oder andere Google-Dienste werden nicht angefordert. Bei der Google-Verbindung gilt das Zugriffstoken etwa eine Stunde; es wird kein Aktualisierungstoken abgerufen, und es besteht kein dauerhafter Zugriff.
• Microsoft (Outlook, Microsoft 365, Hotmail): Mail.ReadWrite (Loop nutzt von dieser Berechtigung nur Lesen, Verschieben und Markieren; Nachrichten werden in den Papierkorb verschoben und nicht dauerhaft gelöscht), Mail.Send (Senden von Nachrichten in Ihrem Namen), openid und email, offline_access (Aktualisierungstoken, damit die Verbindung ohne erneute Anmeldung bei jedem Öffnen bestehen bleibt). Wegen dieser letzten Berechtigung bleibt die Microsoft-Verbindung bestehen, bis Sie sie entfernen, im Microsoft-Konto widerrufen oder Microsoft das Token ungültig macht. Mail.ReadWrite.All oder Berechtigungen für freigegebene Postfächer werden nicht angefordert.

8.4. Die Daten bleiben nur auf Ihrem Gerät

Zugriffs- und Aktualisierungstoken werden im lokalen Speicher Ihres Browsers gespeichert. Nachrichteninhalte werden im Arbeitsspeicher Ihres Browsers verarbeitet und nicht dauerhaft auf Ihrem Gerät gespeichert. E-Mail-Inhalte und Token gelangen weder an unsere Server, die Datenbank, Protokolle oder den KI-Assistenten noch an andere Dritte; die Daten bewegen sich nur zwischen Ihrem Browser und den Servern von Google oder Microsoft, direkt und verschlüsselt. Wir können diese Daten nicht sehen, speichern sie nicht, verkaufen sie nicht, nutzen sie weder für Werbung noch für Modelltraining, und Menschen lesen sie nicht. Die Verbindung ist an Gerät und Browser gebunden: Auf einem anderen Gerät müssen Sie Ihr Konto erneut verbinden, und wenn Sie die Browserdaten löschen, wird die Verbindung getrennt.

8.5. Verbindung entfernen und Zugriff widerrufen

Wenn Sie die Verbindung unter Mail entfernen, werden die Token und die Kontoangaben von Ihrem Gerät gelöscht; auf unseren Servern gibt es keine Kopie, die gelöscht werden müsste. Den Zugriff können Sie außerdem auf der Seite für Drittanbieter-App-Berechtigungen Ihres Google-Kontos und im Bereich App-Berechtigungen der Datenschutzeinstellungen Ihres Microsoft-Kontos widerrufen.

8.6. Nachrichtentext und externe Bilder

Der Nachrichtentext wird in einem isolierten Rahmen ohne Skriptausführung angezeigt. Externe Bilder in der Nachricht werden nur in einem separaten, eingeschränkten Rahmen geladen; die Bildanfrage geht direkt von Ihrem Browser an den Server des Absenders, und dieser Server kann Ihre IP-Adresse sehen. Loop vermittelt diese Anfragen nicht.

9. Google API Services User Data Policy, eingeschränkte Nutzung

Loop's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements. Deutsche Fassung: Die Nutzung und Weitergabe von Informationen aus Google APIs durch Loop an andere Apps entspricht der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Diese Zusage gilt für alle Daten, die für Mail aus Ihrem Gmail-Konto abgerufen werden, und umfasst folgende Grundsätze:

• Gmail-Daten werden nur zur Bereitstellung der für Sie sichtbaren Mail-Funktion (Lesen, Beantworten, Senden, Löschen, Archivieren, Markieren als gelesen) verwendet.
• Sie werden nicht verwendet, um Werbung auszuspielen, auszurichten oder für Werbung zu messen.
• Sie werden nicht von Menschen gelesen. Die von der Richtlinie anerkannten Ausnahmen sind nur Ihre ausdrückliche Zustimmung, Prüfungen aus Sicherheitsgründen und gesetzliche Pflichten; da die Daten nicht auf unsere Server gelangen, tritt keine dieser Ausnahmen in der Praxis ein.
• Sie werden nicht an Dritte übermittelt und nicht verkauft; für externe Bilder gilt die begrenzte Ausnahme nach Abschnitt 8.6.
• Sie werden nicht zur Entwicklung, Verbesserung oder zum Training allgemeiner KI- oder Machine-Learning-Modelle verwendet.

Für die aus Ihrem Microsoft-Konto abgerufenen E-Mail-Daten wenden wir dieselben Grundsätze an.

10. Speicherdauer

Die folgenden Fristen sind, soweit nicht anders angegeben, im Code festgelegt und werden jede Nacht automatisch angewendet. Nach Ablauf der Frist werden die Daten gelöscht.

Die Inhalte der Dateianhänge werden in Cloudflare R2 gespeichert, ihre Metadaten in der Datenbank; wird eine Datei gelöscht, werden auch ihre Inhalte gelöscht. Eine Datei darf höchstens 25 MB groß sein. Für Mail werden auf unseren Servern keine Daten gespeichert. Die Aufgabenliste und den Leistungsbericht können Sie in der App als CSV exportieren; eine Funktion, die das gesamte Unternehmen auf einmal als Archiv herunterlädt, gibt es nicht.

11. Datensicherheit

Zum Schutz Ihrer Daten vor unbefugtem Zugriff, Verlust und Offenlegung wenden wir die folgenden Maßnahmen an. Hier sind nur die Maßnahmen aufgeführt, die das Produkt heute tatsächlich umsetzt.

• Trennung der Unternehmen: Jedes Unternehmen sieht nur seine eigenen Daten; diese Regel wird auf Datenbankebene durch Sicherheit auf Zeilenebene umgesetzt und mit Live-Tests geprüft.
• Verschlüsselte Übertragung: Alle Verbindungen sind mit TLS verschlüsselt.
• Passwort: Liegt nur beim Authentifizierungsanbieter in gehashter Form vor; ein Passwort im Klartext gibt es nirgends.
• Vertrauliche Felder: Werden in einer separaten Spalte gespeichert und nur von berechtigten Personen über einen einzigen kontrollierten Zugang gelesen.
• Content Security Policy: In die App gelangen keine Skripte Dritter. Die erlaubte Werbemessung läuft nicht in der Seite selbst, sondern in einem separaten, eingeschränkten Rahmen; geheime Schlüssel werden nicht an den Browser gesendet.
• Mail: Nachrichtentexte werden in einem isolierten Rahmen ohne Skriptausführung angezeigt, und Token werden nicht an den Server übermittelt.
• Dateiintegrität: Der SHA-256-Hash jedes Dateianhangs wird beim Herunterladen geprüft; stimmt er nicht überein, wird die Datei nicht angezeigt.
• Abhängigkeiten: Die verwendeten Softwarekomponenten werden regelmäßig auf bekannte Sicherheitslücken geprüft.
• Rechenzentrum: Die Datenbank befindet sich in der Europäischen Union. Die Sicherheitsunterlagen der Anbieter stehen in Abschnitt 11.1.
• Organisatorische Maßnahmen: Der Zugriff ist nach dem Grundsatz der geringsten Berechtigung beschränkt, Tests werden nicht mit echten Daten durchgeführt, und Testkonten sind getrennt.

Wenn Sie glauben, eine Sicherheitslücke gefunden zu haben, können Sie sie an [email protected] melden und dabei in die Betreffzeile „Sicherheit“ schreiben.

Bei einer Verletzung, die die Geschäftsdaten Ihres Unternehmens betrifft, informieren wir Ihr Unternehmen unverzüglich; die Meldepflicht gegenüber der Aufsichtsbehörde und den betroffenen Personen liegt für diese Daten bei Ihrem Unternehmen. Bei den Konto- und Abonnementdaten, für die wir Verantwortlicher sind, erfolgt die Meldung nach KVKK spätestens innerhalb von 72 Stunden an den türkischen Datenschutzrat und nach DSGVO spätestens innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde, und die betroffenen Nutzer werden innerhalb angemessener Frist informiert.

11.1. Sicherheitsunterlagen unserer Anbieter

Die Sicherheitsprogramme und -unterlagen unserer Anbieter werden auf deren eigenen Seiten veröffentlicht: Supabase, Cloudflare, Stripe, OpenAI, Firebase und Google Workspace. Diese Unterlagen zeigen das Informationssicherheitsniveau des jeweiligen Anbieters und ersetzen nicht die in Abschnitt 6 beschriebenen rechtlichen Regeln für Übermittlungen. Diese Unterlagen gehören den Anbietern; sie bedeuten kein Zertifikat für Loop oder die MercanWorks OÜ selbst.

Supabase →

Cloudflare →

Stripe →

OpenAI →

Firebase →

Google Workspace →

12. Links zu anderen Websites

Auf der Website und in der App gibt es Links zu Seiten anderer Anbieter wie Google, Microsoft, Stripe und WhatsApp. Diese Seiten unterliegen den Datenschutzrichtlinien ihrer Betreiber, und diese Erklärung umfasst die Datenverarbeitung auf diesen Seiten nicht. Wir empfehlen, die jeweiligen Richtlinien zu lesen, bevor Sie diese Seiten aufrufen. Die Schaltfläche „Schreiben Sie uns auf WhatsApp“ leitet Sie zu WhatsApp weiter, und diese Unterhaltung unterliegt zusätzlich der Datenschutzrichtlinie von WhatsApp.

Datenschutzrichtlinie von WhatsApp →

13. Daten von Kindern

Loop ist ein Dienst für Unternehmen und richtet sich nicht an Kinder; wir erheben nicht wissentlich personenbezogene Daten von Kindern. Wenn Sie glauben, dass personenbezogene Daten eines Kindes in den Dienst eingegeben wurden, können Sie an [email protected] schreiben; Ihre Anfrage wird nach dem Verfahren in Abschnitt 14 bearbeitet. Wir weisen darauf hin, dass Verantwortlicher für die Daten von Personen in den Geschäftsdaten Ihres Unternehmens Ihr Unternehmen ist.

14. Ihre Rechte

Nach Artikel 11 KVKK und Artikel 15 bis 22 DSGVO haben Sie folgende Rechte:

• Zu erfahren, ob Ihre personenbezogenen Daten verarbeitet werden, und, falls ja, Auskunft darüber zu verlangen.
• Den Zweck der Verarbeitung und die zweckgemäße Verwendung der Daten zu erfahren.
• Die Dritten im In- oder Ausland zu erfahren, an die Ihre Daten übermittelt werden.
• Die Berichtigung unvollständig oder unrichtig verarbeiteter Daten zu verlangen.
• Die Löschung oder Vernichtung zu verlangen.
• Zu verlangen, dass Berichtigung, Löschung und Vernichtung den Dritten mitgeteilt werden, an die die Daten übermittelt wurden.
• Einem für Sie nachteiligen Ergebnis zu widersprechen, das ausschließlich durch automatisierte Analyse Ihrer Daten entsteht (Loop trifft keine solche Entscheidung; Abschnitt 7).
• Bei einwilligungsbasierten Verarbeitungen (Werbemessung, Browser- und Telefonbenachrichtigungen) Ihre Einwilligung jederzeit zu widerrufen. Die Einwilligung in die Werbemessung können Sie über den Link „Cookie-Einstellungen“ in der Fußzeile der Seite widerrufen.
• Den Ersatz eines Schadens zu verlangen, der Ihnen durch rechtswidrige Verarbeitung entstanden ist.
• Nach der DSGVO zusätzlich: Auskunft (Art. 15), Datenübertragbarkeit (Art. 20; auf Antrag erhalten Sie eine strukturierte Kopie der Kontodaten, für die wir Verantwortlicher sind), Einschränkung der Verarbeitung (Art. 18) und Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21).

Einige Vorgänge können Sie in der App selbst ausführen: Ihre Aufgaben- und Leistungsdaten als CSV exportieren, Browser- oder Telefonbenachrichtigungen deaktivieren, die Mail-Verbindung entfernen, als Unternehmensinhaber das Unternehmen schließen und Ihr Konto löschen (Einstellungen, Konto löschen).

14.1. Antrag

Um diese Rechte auszuüben, können Sie sich von Ihrer registrierten E-Mail-Adresse aus schriftlich an [email protected] oder [email protected] wenden; dabei wird Ihre Identität geprüft. Ihr Antrag wird spätestens innerhalb von 30 Tagen und kostenlos beantwortet, im Einklang mit der Bekanntmachung über die Verfahren und Grundsätze für Anträge an den Verantwortlichen. Für Daten von Personen in den Geschäftsdaten Ihres Unternehmens ist Ihr Unternehmen Ansprechpartner; einen solchen Antrag, der uns erreicht, leiten wir an das betreffende Unternehmen weiter.

14.2. Beschwerderecht

Wenn Sie in der Europäischen Union ansässig sind, können Sie bei der Aufsichtsbehörde des Mitgliedstaats, in dem Sie wohnen oder arbeiten, oder bei unserer federführenden Aufsichtsbehörde, der estnischen Datenschutzaufsichtsbehörde (Andmekaitse Inspektsioon), Beschwerde einlegen. Wenn Sie in der Türkei ansässig sind, können Sie beim türkischen Datenschutzrat Beschwerde einlegen, wenn Ihr Antrag abgelehnt wird, Sie die Antwort für unzureichend halten oder der Antrag nicht fristgerecht beantwortet wird.

15. Änderungen dieser Erklärung

Wenn sich diese Erklärung ändert, wird die neue Fassung mit dem Aktualisierungsdatum oben auf dieser Seite veröffentlicht. Wenn dem Produkt eine neue Datenkategorie, ein neuer Zweck, Empfänger oder eine neue Speicherfrist hinzugefügt wird, wird der Text entsprechend aktualisiert; Änderungen bei Auftragsverarbeitern unterliegen der Regel der Vorankündigung von 30 Tagen nach Abschnitt 6.5. Dieser Text dient der Information und erfordert nicht Ihre Zustimmung. Führt eine Änderung eine neue Verarbeitung ein, die auf ausdrücklicher Einwilligung beruht, wird Ihre Einwilligung gesondert und vorab eingeholt.

16. Kontakt

Fragen zu dieser Erklärung oder zu Ihren personenbezogenen Daten richten Sie bitte an [email protected], allgemeine Fragen an [email protected]. Unsere Postanschrift: MercanWorks OÜ, Harju maakond, Tallinn, Põhja-Tallinna linnaosa, Paavli tn 5a/1, 10412, Estland.

Datenschutzhinweise nach KVKK →

Cookie-Richtlinie →

Nutzungsbedingungen →

Kündigung und Erstattung →

Kontaktseite →

Google API Services User Data Policy →

Wie Google Informationen von Partnerwebsites verwendet →

Drittanbieter-App-Berechtigungen des Google-Kontos →

App-Berechtigungen des Microsoft-Kontos →