Rechtliche Informationen

Datenschutzhinweise nach KVKK

Zuletzt aktualisiert: 7. Oktober 2026 · 18 Min. Lesezeit

Diese Hinweise wurden gemäß Artikel 10 des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten (KVKK) und der Bekanntmachung über die Verfahren und Grundsätze zur Erfüllung der Informationspflicht erstellt. Sie informieren über die Verarbeitung Ihrer personenbezogenen Daten bei der Nutzung von Loop und ergänzen die Datenschutzerklärung für in der Türkei ansässige Nutzer; beide Texte gelten gemeinsam. Bei Abweichungen zwischen diesen Hinweisen und der Datenschutzerklärung in Bezug auf in der Türkei ansässige betroffene Personen sind diese Hinweise für KVKK-Angelegenheiten maßgeblich.

Loop ist ein Dienst für Aufgabenverwaltung und Automatisierung ohne Code für kleine und mittlere Unternehmen, angeboten von MercanWorks OÜ unter der Marke N-XPLUS. Diese Hinweise umfassen alle Datenkategorien und Übermittlungen im derzeitigen Betrieb des Produkts. Bei neuen Kategorien, Zwecken oder Empfängern wird der Text aktualisiert und die Änderung mit Datum auf dieser Seite veröffentlicht.

1. Verantwortlicher

Als MercanWorks OÜ (N-XPLUS — Loop) verarbeiten wir Ihre personenbezogenen Daten bezüglich Konto, Abonnement und technischen Protokollen als Verantwortlicher nach KVKK und DSGVO. Für die in den Dienst eingegebenen Geschäftsdaten ist Ihr Unternehmen verantwortlich; Abschnitt 13 erläutert diese Unterscheidung.

MercanWorks OÜ wurde nach dem Recht der Republik Estland gegründet und hat seinen Sitz in der Europäischen Union. Die Verarbeitung Ihrer personenbezogenen Daten unterliegt daher unabhängig von Ihrem Wohnsitz der Datenschutz-Grundverordnung (DSGVO); für betroffene Personen mit Wohnsitz in der Türkei gilt zusätzlich das türkische Datenschutzgesetz Nr. 6698 (KVKK). Für Fragen und Anträge zu Ihren personenbezogenen Daten können Sie die folgenden Kontaktdaten nutzen.

2. Verarbeitete personenbezogene Daten

Wir verarbeiten die folgenden Kategorien personenbezogener Daten. Bei jeder Kategorie sind Quelle und Verarbeitungszweck angegeben; die Rechtsgrundlagen sind in Abschnitt 5 einzeln aufgeführt. Die Liste umfasst den gesamten aktuellen Funktionsumfang des Produkts und wird bei neuen Kategorien aktualisiert.

2.1. Konto- und Identitätsdaten

Quelle: Registrierungs-, Anmelde- und Einstellungsseiten. Zweck: Kontoerstellung, Überprüfung der Anmeldung und Anzeige Ihrer Identität im Unternehmen. Das Konto ist persönlich; wer das Unternehmen anlegt, wird dessen Inhaber. Die Inhaberschaft kann übertragen werden.

Für die Kontoerstellung sind Ihr Name und eine bestätigte E-Mail-Adresse erforderlich; ohne diese Angaben kann kein Konto angelegt werden. Einstellungen sind freiwillig. Beim Wechsel zu einem kostenpflichtigen Tarif sind die von Stripe angeforderten Rechnungsangaben für den Vertragsabschluss erforderlich.

Personaldaten werden auf Entscheidung Ihres Unternehmens erhoben. Ihr Unternehmen bestimmt die angeforderten Felder und deren Sichtbarkeit. Loop verarbeitet diese Felder nicht für eigene Zwecke und nimmt sie nicht in Benachrichtigungen, Protokolle oder Exporte auf. Nur für Administratoren freigegebene Felder sind für andere Personen im Unternehmen nicht sichtbar. Die Angaben werden gelöscht, wenn Ihr Konto aus dem Unternehmen entfernt wird.

• Name
• E-Mail-Adresse (Anmeldekennung; Bestätigung erforderlich)
• Passwort — wird ausschließlich beim Authentifizierungsanbieter als Einweg-Hash gespeichert; Loop sieht oder speichert Ihr Passwort niemals im Klartext
• Sitzungstoken — wird während Ihrer Anmeldung im Browser gespeichert und bei jeder Anfrage zur Identitätsprüfung an den Authentifizierungsanbieter übermittelt; beim Abmelden wird es gelöscht
• Ihre Rolle im Unternehmen: Inhaber, Administrator oder Mitglied; Ihre Teamzugehörigkeit und Rolle im Team
• Darstellungswahl (Design, heller oder dunkler Modus, Hintergrund und Akzentfarbe), Benachrichtigungseinstellungen, Dashboard-Anordnung und die Sprache Ihrer E-Mails und Benachrichtigungen (in Ihrem Konto gespeichert); Kartenoberfläche, andere Anzeigeeinstellungen und die Sprache der Oberfläche bleiben ausschließlich auf Ihrem Gerät
• Personaldaten: die von Ihrem Unternehmen angeforderten Felder. Loop beginnt mit drei Feldern (Geburtsdatum, geschäftliche und private Telefonnummer); Ihr Unternehmensadministrator kann Felder hinzufügen oder entfernen. Ihr Unternehmen legt fest, wer ein Feld ausfüllen und einsehen darf; dies wird in den Einstellungen neben dem jeweiligen Feld angezeigt

2.2. Geschäftsdaten Ihres Unternehmens

Quelle: Mitglieder Ihres Unternehmens und Personen, die dessen extern freigegebene Formulare ausfüllen. Zweck: die eigentliche Dienstleistung — Aufgabenverfolgung, Automatisierung und Leistungsmessung. Diese Daten können personenbezogene Daten Dritter (Kunden, Lieferanten oder Formularteilnehmer) enthalten. Für diese Daten ist Ihr Unternehmen Verantwortlicher und Loop Auftragsverarbeiter (Abschnitt 13).

Werte vertraulicher Felder werden in einer separaten Datenbankspalte gespeichert und ausschließlich von autorisierten Personen Ihres Unternehmens über einen kontrollierten Zugang abgerufen. Sie werden weder an den AI-Einrichtungsassistenten noch an öffentlich zugängliche Formulare übermittelt.

• Aufgaben, Unteraufgaben und Aufgabenkommentare
• Projekte und Projektchatnachrichten
• Dateianhänge (Dateien zu Aufgaben und Chats)
• Formulardefinitionen und Antworten (interne Formulare und per Link extern freigegebene Formulare)
• Werte der für Aufgabentypen definierten Felder
• Automatisierungsregeln
• Aktivitätsverlauf (wer wann was änderte) und Zuweisungsverlauf

2.3. Benachrichtigungsprotokolle

Quelle: der Betrieb des Dienstes selbst. Zweck: doppelte Benachrichtigungen verhindern und den Zustellstatus anzeigen. Loop versendet keine E-Mail-Benachrichtigungen zu einzelnen Aufgaben; verwendet werden Benachrichtigungen innerhalb der Anwendung und, sofern aktiviert, Browserbenachrichtigungen sowie Telefonbenachrichtigungen in der mobilen App. Inhaber und Administratoren eines Unternehmens können außerdem in einem von ihnen gewählten Rhythmus eine E-Mail erhalten, die den Arbeitsstand des Unternehmens zusammenfasst. Interne Benachrichtigungen werden nach 12 Monaten gelöscht, Versandprotokolle für Browser- und Telefonbenachrichtigungen nach 30 Tagen.

• Empfänger, Versandzeitpunkt und Kanal einer Benachrichtigung (innerhalb der Anwendung, im Browser oder auf dem Telefon)
• Zustellstatus

2.4. Abonnement für Browser- und Telefonbenachrichtigungen

Quelle: Ihr Browser oder die mobile App, ausschließlich wenn Sie Benachrichtigungen aktivieren. Zweck: Zustellung von Benachrichtigungen auch bei geschlossener Anwendung. Sie können das Browser-Abonnement jederzeit in den Anwendungseinstellungen oder den Website-Berechtigungen Ihres Browsers und Telefonbenachrichtigungen in den Benachrichtigungseinstellungen Ihres Telefons deaktivieren; beim Abmelden in der mobilen App wird das Token des Telefons gelöscht. Ungenutzte Abonnements und die Tokens von Telefonen, die 12 Monate nicht geöffnet wurden, werden gelöscht.

• Vom Browser bereitgestellte Endpunktadresse
• Vom Browser erzeugte Schlüssel zur Ende-zu-Ende-Verschlüsselung der Benachrichtigungsinhalte
• Wenn Sie Benachrichtigungen in der mobilen App erlauben, das Benachrichtigungstoken Ihres Telefons und der Telefontyp (Android oder iOS)

2.5. Gespräche mit dem KI-Einrichtungsassistenten

Quelle: ausschließlich Ihre Nutzung des Assistenten. Zahlenfolgen mit 10–11 Stellen (Telefon- oder Identitätsnummern) und E-Mail-Adressen in Anfrage und Antwort werden beim Schreiben des Protokolls maskiert; sie stehen dort nicht im Klartext. Die Maskierung betrifft nur das in Loop gespeicherte Protokoll. Der Modellanbieter erhält Ihre Anfrage in der eingegebenen Form (Abschnitt 9). Zwecke sind Qualitäts- und Missbrauchskontrolle sowie die Zählung des KI-Guthabens Ihres Tarifs. Funktionsweise und internationale Datenübermittlung werden in Abschnitt 9 erläutert.

• Ihre Anfrage an den Assistenten
• Antwortzusammenfassung; Namen und Anzahl aufgerufener Werkzeuge, Bestätigungsstatus und Rundenergebnis

2.6. Sicherheitsprotokolle öffentlicher Formulare

Quelle: Anfragen von Personen, die ein per Link extern freigegebenes Formular Ihres Unternehmens ausfüllen. Zweck: Begrenzung der Anfragerate und Schutz vor Missbrauch. Die IP-Adresse selbst wird nicht gespeichert; der Hash wird nach 7 Tagen gelöscht.

• Einweg-Hash (SHA-256) der IP-Adresse eines öffentlichen Formularteilnehmers

2.7. Zahlungs- und Abonnementdaten

Quelle: Angaben auf der Stripe-Seite beim Wechsel zu einem kostenpflichtigen Tarif sowie Abonnement-Statusmeldungen von Stripe. Zweck: Einrichtung und Abrechnung des Abonnements sowie Umsetzung der Tarifkapazität. Karten- und Bankdaten gelangen niemals zu Loop; sie werden ausschließlich auf der Zahlungsseite von Stripe eingegeben und verarbeitet.

• Bei Stripe: Unternehmensname, E-Mail-Adresse des Inhabers und Rechnungsangaben
• Bei Loop: Tarif, Abonnementstatus und Stripe-Kunden-/Abonnementkennungen

2.8. Automatisierungsprotokolle

Quelle: Ausführung der von Ihrem Unternehmen eingerichteten Regeln. Zweck: Nachvollziehbarkeit der Automatisierung (welche Regel welche Änderung ausgelöst hat) und Erfassung des monatlichen Aktionskontingents Ihres Tarifs.

• Regelprotokoll: welche Regel wann mit welchem Ergebnis lief
• Ereigniswarteschlange: auslösendes Ereignis (30 Tage)
• Monatlicher Automatisierungszähler

2.9. Einladungsprotokolle

Quelle: Einladungen durch Inhaber oder Administratoren Ihres Unternehmens. Zweck: Beitritt zum Unternehmen und Erfassung der Nutzerkapazität des Tarifs. Einladungsdaten werden 30 Tage nach Annahme, Widerruf oder Ablauf gelöscht.

• E-Mail-Adresse der eingeladenen Person
• Einladungsstatus (ausstehend, angenommen, widerrufen, abgelaufen)

2.10. Informationen zur Vorgangssicherheit und erlaubte Werbemessung

Quelle: jede Ihrer Anfragen an Website und Anwendung. Zweck: Bereitstellung der Website und Schutz vor Angriffen. Diese Aufzeichnungen unterliegen den Richtlinien von Cloudflare; Loop führt kein zusätzliches Zugriffsprotokoll.

Für Besuchsstatistiken wird Cloudflare Web Analytics eingesetzt. Dabei werden weder Cookies noch lokaler Speicher oder Gerätefingerabdrücke genutzt, keine Personenkennungen erstellt und Besuche keinen Personen zugeordnet. Seitenaufrufe und ihre Quellen, etwa Suchmaschinen, KI-Assistenten oder direkte Zugriffe, werden aggregiert gezählt. Rechtsgrundlage ist das berechtigte Interesse (KVKK Art.5/2-f, DSGVO Art.6/1-f); mangels Cookies wird keine gesonderte Einwilligung eingeholt. Es gilt die Speicherdauer von Cloudflare; Loop erhält keine personenbezogenen Einzelberichte.

Fehlerprotokolle dienen dem Betrieb des Dienstes und der Fehlerbehebung; Rechtsgrundlage ist das berechtigte Interesse (KVKK Art. 5/2-f, DSGVO Art. 6 Abs. 1 lit. f). Sie verfolgen keine Personen, speichern nichts auf Ihrem Gerät und sind nur für den berechtigten Betreiber von Loop sichtbar. Wiederholungen desselben Fehlers werden in einem Eintrag gezählt; der Eintrag eines behobenen Fehlers wird nach 90 Tagen, alle übrigen nach höchstens 180 Tagen automatisch gelöscht.

Zweck der Werbemessung ist zu messen, wie unsere Anzeigen zu neuen Unternehmensregistrierungen beitragen; Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (KVKK Art. 5/1, DSGVO Art. 6 Abs. 1 lit. a). Ohne Einwilligung wird das Tag nicht geladen, kein Cookie gespeichert und keine Anfrage an Google gesendet; Website und Produkt funktionieren unverändert. Mit Ihrer Einwilligung werden Daten in zwei Momenten erhoben: Kommen Sie über einen Anzeigenklick auf die Website, wird eine Seitenaufruf-Meldung an Google gesendet; legen Sie in Loop ein Unternehmen an, wird ein einziges „Registrierung“-Ereignis an Google gesendet, unabhängig davon, ob Sie über eine Anzeige kamen, und Google zählt es nur dann als Conversion, wenn es einem Anzeigenklick zugeordnet werden kann. Das Tag läuft in einem separaten Rahmen statt in der Seite selbst; Loop übermittelt Google keine Namen, E-Mail-Adressen, Telefonnummern, Unternehmensdaten oder Aufgabeninhalte; erweiterte Conversions, die automatische Erfassung personenbezogener Daten von der Seite durch das Tag, Personalisierung und Remarketing werden nicht genutzt. Verantwortlicher ist MercanWorks OÜ, das das Tag auf der Website einbindet und die Erhebung dieser Daten veranlasst. Google Ireland Limited (Irland) und Google LLC (USA), die die Daten erhalten, verarbeiten sie für eigene Zwecke und nach eigenen Bedingungen als eigenständige Verantwortliche; Google kann die Daten auch auf seinen Servern in anderen Ländern verarbeiten. Ihre Einwilligung führt daher dazu, dass Ihre Daten aus der Türkei in die Länder übermittelt werden, in denen Google Server betreibt, insbesondere nach Irland und in die USA. Der türkische Datenschutzrat hat für diese Länder keinen Angemessenheitsbeschluss erlassen; dort besteht möglicherweise kein Schutzniveau und kein Rechtsschutz, der dem in der Türkei entspricht, Behörden dieser Länder können nach ihrem eigenen Recht auf die Daten zugreifen, und die Durchsetzung Ihrer Rechte gegenüber Google kann schwieriger sein. Die vom Tag gesetzten Cookies werden höchstens 90 Tage gespeichert; die Speicherfristen von Google stehen in Abschnitt 7. Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile der Website widerrufen; die Werbecookies werden dann gelöscht und es werden keine weiteren Daten an Google gesendet. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Einzelheiten stehen in Abschnitt 5 der Cookie-Richtlinie.

• Anfrage-Header (IP-Adresse) — vorübergehend im Cloudflare-Netzwerk, das Website und Anwendung bereitstellt
• Besuchsstatistik — Cloudflare Web Analytics: aufgerufene Seite, Herkunft (verweisende Website oder Anwendung), Browsertyp und Land; als aggregierte Zählwerte
• Fehlerprotokolle: Tritt in der App oder auf der Website ein Fehler auf, wird eine technische Zusammenfassung gespeichert (Fehlermeldung, betroffene Seite, App-Version, Browsertyp und gegebenenfalls Ihr Unternehmen); Werte wie E-Mail-Adressen, Telefon- und Ausweisnummern werden vor der Speicherung maskiert
• Werbemessung (nur wenn Sie sie im Hinweis auf der Website erlauben): über das Conversion-Tag von Google Ads an Google gesendete Daten, nämlich die Adresse der besuchten Loop-Seite (ohne den Abfrageteil der Adresse), eine Ihrem Browser zugewiesene Zufallskennung, die Anzeigenklick-Kennung (gclid, gbraid, wbraid) und das Cookie, das sie speichert, eine bei der Unternehmensanlage erzeugte zufällige Vorgangsnummer, die IP-Adresse, der Seitentitel, Browser-, Bildschirm- und Geräteinformationen, der Einwilligungsstatus und der Zeitpunkt des Ereignisses. Die Seitenadresse wird ohne ihren Abfrageteil an Google gesendet; an die Adresse angefügte Informationen und die Adresse der externen Seite, von der Sie auf die Website gekommen sind, werden nicht an Google übermittelt. Die Anzeigenklick-Kennung wird gesondert aus der Adresse entnommen, und nur diese Kennung wird übermittelt

2.11. Nicht verarbeitete Daten

• Ohne Ihre Einwilligung werden keine Analyse-, Tracking- oder Werbe-Cookies gespeichert; außer der erlaubten Werbemessung laufen keine Tracking-Skripte Dritter; es gibt keine Nutzungstelemetrie; als Werbekennungen werden nur die Anzeigenklick-Kennung und die Ihrem Browser zugewiesene Zufallskennung verwendet, und zwar nur für die erlaubte Werbemessung (2.10). Fehlerprotokolle enthalten nur eine technische Zusammenfassung des Fehlers (2.10).
• Standort, Screenshots, Tastatur- und Mausaktivität, Anwesenheit und Online-Zeit werden nicht überwacht. Änderungen in der Anwendung werden personenbezogen im Aktivitätsverlauf erfasst. Die Leistungsmessung beruht ausschließlich auf Aufgabenstatus und Zeitangaben; die Arbeitsqualität wird nicht bewertet.
• Kartennummern und Bankdaten gelangen niemals zu Loop.
• Loop versendet keine Marketing-E-Mails. Ihre E-Mail-Adresse dient der Anmeldung, den Nachrichten zur Kontobestätigung und Passwortzurücksetzung, der Einladungsnachricht, wenn Sie in ein Unternehmen eingeladen werden, der von Ihnen gewählten Zusammenfassungs-E-Mail, wenn Sie Inhaber oder Administrator eines Unternehmens sind, und der Beantwortung Ihrer Anfragen.
• Nachrichteninhalte und Zugriffstoken der unter Mail verbundenen Gmail- oder Outlook-Konten gelangen niemals auf die Server von Loop und werden nicht außerhalb Ihres Geräts verarbeitet (Abschnitt 8).
• Vertrauliche Feldwerte werden weder an den AI-Einrichtungsassistenten noch an öffentlich zugängliche Formulare übermittelt.

2.12. Rechteanfragen und Supportkorrespondenz

Quelle: Ihre Nachricht oder Ihr schriftlicher Antrag. Zwecke: Bearbeitung und Abschluss Ihrer Anfrage sowie Nachweisführung. Diese Korrespondenz wird in den E-Mail- und Korrespondenzsystemen des Unternehmens gespeichert, nicht in der Produktdatenbank. Die Aufbewahrungsfristen stehen in Abschnitt 7.

• Nachrichten an [email protected] und [email protected]: Absenderadresse, Ihr Name, Nachrichteninhalt und Anhänge
• Schriftliche Anträge per Post und Unterlagen zur Überprüfung Ihrer Identität
• Die Schaltfläche „Schreiben Sie uns auf WhatsApp“ auf der Website startet eine Unterhaltung mit uns in WhatsApp; wenn Sie uns schreiben, werden Ihre Telefonnummer, Ihr in WhatsApp angezeigter Name und Ihre Nachrichten verarbeitet, um diese Unterhaltung zu beantworten, und die Unterhaltung unterliegt zusätzlich den eigenen Bedingungen von WhatsApp.

3. Zwecke der Verarbeitung personenbezogener Daten

Ihre personenbezogenen Daten werden ausschließlich für die folgenden Zwecke verarbeitet:

• Konto eröffnen, E-Mail-Adresse verifizieren und Zugriff ermöglichen
• Unternehmenseinrichtung, Einladungen und Umsetzung von Rollen und Zugriffsrechten
• Bereitstellung und Betrieb des Dienstes: Aufgabenverfolgung, Projektchat und Dateianhänge, Formulare, Ausführung von Automatisierungsregeln und Zustellung von Benachrichtigungen
• Leistungsmessung: Auf Anweisung Ihres Unternehmens als Verantwortlichem wird der Wert für die termingerechte Erledigung je Mitarbeiter ausschließlich anhand der Abschlussdaten der Aufgaben berechnet und dem Unternehmensadministrator angezeigt. Der Wert ist lediglich ein Bericht, keine automatisierte Entscheidung mit rechtlicher Wirkung; die Entscheidung trifft stets der Unternehmensadministrator
• Aggregierte Messung der Website- und Anwendungsbesuche ohne Cookies und ohne Zuordnung zu einzelnen Personen
• AI-Einrichtungsassistent nur auf Anfrage und Guthabenzählung
• Erfüllung vertraglicher Pflichten; Einrichtung und Abrechnung kostenpflichtiger Abonnements sowie Umsetzung der Tarifkapazität
• Bearbeitung und Abschluss von Supportanfragen und Anträgen
• Erfüllung gesetzlicher Pflichten und Beantwortung schriftlicher Anfragen zuständiger Behörden
• Gewährleistung der Informationssicherheit und Verhinderung unbefugter Zugriffe, überschrittener Anfragelimits und Missbrauchs
• Nachvollziehbarkeit von Automatisierung und Benachrichtigungen; Fehlererkennung und Verbesserung des Dienstes
• Beweissicherung und Verteidigung bei Streitigkeiten
• Messung, wie unsere Anzeigen zu neuen Unternehmensregistrierungen beitragen, mit der Conversion-Messung von Google Ads und nur mit Ihrer ausdrücklichen Einwilligung (2.10)

4. Methoden der Erhebung personenbezogener Daten

Ihre personenbezogenen Daten werden auf folgende Weise gesammelt:

• Registrierungs-/Anmeldeformulare und E-Mail-Bestätigung
• Einrichtungsassistent, Einstellungen und Einladungsseiten
• Aufgaben, Kommentare, Chatnachrichten, Dateianhänge, Formularantworten und Feldwerte, die Sie in der Anwendung eingeben
• Antworten von Personen, die per Link extern freigegebene Formulare Ihres Unternehmens ausfüllen
• Anfragen an den AI-Einrichtungsassistenten
• Vom Browser erzeugte Abonnementdaten oder das Benachrichtigungstoken Ihres Telefons, wenn Sie Browser- oder Telefonbenachrichtigungen erlauben
• Angaben auf der Stripe-Zahlungsseite beim Wechsel zu einem kostenpflichtigen Tarif und Abonnement-Statusmeldungen von Stripe
• Supportanfragen, Anträge und Sicherheitsmeldungen an [email protected] und [email protected] sowie schriftliche Anträge per Post
• Im Betrieb automatisch erzeugte Aufzeichnungen: Aktivitätsverlauf, Benachrichtigungs- und Regelprotokolle, Ereigniswarteschlange und Anfragezähler für öffentliche Formulare
• Lokaler Browserspeicher — Ihre Einstellungen und gegebenenfalls die Token verbundener E-Mail-Konten bleiben auf Ihrem Gerät und werden nicht an den Server gesendet. Ihr Sitzungstoken wird bei jeder Anfrage ausschließlich zur Identitätsprüfung an den Authentifizierungsanbieter übermittelt (Cookie-Richtlinie)
• Mobile App — Ihre Sitzung wird im sicheren Speicher des Telefons (Keystore unter Android, Keychain auf dem iPhone) aufbewahrt und beim Abmelden gelöscht; die von Ihnen gewählte Sprache der Oberfläche wird im selben Speicher aufbewahrt; temporäre Kopien von Dateien, die Sie zum Teilen öffnen, werden beim Abmelden ebenfalls gelöscht
• Nur wenn Sie im Hinweis auf der Website einwilligen: das in einem separaten Rahmen laufende Conversion-Tag von Google Ads, die von ihm gesetzten Cookies und sein Eintrag im Browserspeicher; so erhobene Daten gehen direkt an Google (2.10, Cookie-Richtlinie, Abschnitt 5)

4.1. Art der Erhebung

Die Erhebung erfolgt im laufenden Betrieb ganz oder teilweise automatisiert und bei Anträgen und Supportkorrespondenz nicht automatisiert. Die Rechtsgrundlage jeder Kategorie ist in Abschnitt 5 angegeben.

Cookie-Richtlinie →

5. Rechtsgrundlagen der Datenverarbeitung

Ihre personenbezogenen Daten werden auf den folgenden Rechtsgrundlagen aus Artikel 5 KVKK verarbeitet. Neben jeder Überschrift steht die entsprechende Grundlage aus Artikel 6 DSGVO.

5.1. Erforderlich für Abschluss oder Erfüllung eines Vertrags — KVKK Art.5/2-c · DSGVO Art.6/1-b

Kontoerstellung und Überprüfung der Anmeldung; Unternehmensbeitritt durch Annahme einer Einladung; Bereitstellung von Konto-, Rollen- und Zugriffsfunktionen; bei Nutzung des AI-Einrichtungsassistenten Übermittlung Ihrer Anfrage, der Konfigurationsbezeichnungen Ihres Unternehmens und bei der Suche nach bestehenden Aufgaben der passenden Aufgabentitel an den Modellanbieter; Einrichtung und Abrechnung kostenpflichtiger Abonnements sowie Umsetzung der Tarifkapazität; Bearbeitung Ihrer Anträge und Supportanfragen.

5.2. Erfüllung rechtlicher Pflichten des Verantwortlichen — KVKK Art.5/2-ç · DSGVO Art.6/1-c

Bearbeitung schriftlicher, inhaltlich bestimmter Anfragen zuständiger Behörden; Rechnungs- und Aufbewahrungspflichten nach Finanzrecht (Rechnungen werden beim Zahlungsdienstleister Stripe gespeichert); Meldepflichten bei Datenschutzverletzungen; fristgerechte Bearbeitung von Betroffenenanträgen.

5.3. Erforderlich zur Begründung, Ausübung oder Verteidigung eines Rechts — KVKK Art.5/2-e · DSGVO Art.6/1-f

Beweissicherung und Verteidigung bei möglichen Streitigkeiten; Schutz der Rechte aus den Nutzungsbedingungen.

5.4. Erforderlich für berechtigte Interessen des Verantwortlichen — KVKK Art.5/2-f · DSGVO Art.6/1-f

Soweit Ihre Grundrechte und Freiheiten nicht beeinträchtigt werden: Speicherung von Benachrichtigungsdaten (Vermeidung von Duplikaten und Zustellnachweis), Regelausführungsprotokollen, Ereigniswarteschlange und Automatisierungszähler (Nachvollziehbarkeit und Kontingente), maskierten Gesprächszusammenfassungen des AI-Assistenten (Qualitäts- und Missbrauchskontrolle sowie Guthabenzählung), Einweg-Hashes von IP-Adressen bei öffentlichen Formularen (Anfragebegrenzung und Missbrauchsschutz) und E-Mail-Adressen eingeladener Personen bis zur Annahme gemäß den Einladungsanweisungen Ihres Unternehmens; Gewährleistung der Informationssicherheit und Fehlererkennung.

5.5. Ihre ausdrückliche Einwilligung — KVKK Art.5/1 · DSGVO Art.6/1-a

Soweit die vorstehenden Voraussetzungen nicht vorliegen, stützen wir uns auf Ihre ausdrückliche Einwilligung: Die Werbemessung mit Google Ads auf der Website läuft nur, wenn Sie im Cookie-Hinweis oder in den „Cookie-Einstellungen“ „Alle akzeptieren“ wählen oder in den „Cookie-Einstellungen“ die Werbemessung aktivieren, und Sie können diese Einwilligung über den Link „Cookie-Einstellungen“ in der Fußzeile der Website widerrufen (2.10); Browser-Benachrichtigungsabonnements und Telefonbenachrichtigungen entstehen nur mit Ihrer Erlaubnis und können jederzeit im Browser, in den Benachrichtigungseinstellungen Ihres Telefons oder in den Anwendungseinstellungen entfernt werden. Die Berechtigung beim Verbinden von Gmail oder Outlook unter Mail ist eine OAuth-Freigabe gegenüber Google oder Microsoft, keine ausdrückliche Einwilligung gegenüber Loop; MercanWorks OÜ hat keinen Zugriff auf diese Daten (Abschnitt 8). Ein Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

6. Übermittlung personenbezogener Daten

Ihre personenbezogenen Daten werden an die für den Betrieb eingesetzten Infrastrukturanbieter und die nachstehend genannten Empfänger übermittelt, soweit erforderlich und innerhalb des beschriebenen Umfangs. Wenn Sie der Werbemessung auf der Website zustimmen, werden Ihre Daten außerdem an Google übermittelt (6.2 und 2.10).

6.1. Übermittlung an zuständige Behörden

Loop setzt keine in der Türkei ansässigen Unterauftragsverarbeiter ein. Übermittlungen an zuständige öffentliche Stellen (in der Türkei, Estland oder anderen EU-Staaten) erfolgen ausschließlich auf schriftliche, inhaltlich bestimmte Anforderung und sind auf deren Umfang begrenzt.

6.2. Internationale Übermittlung: Unterauftragsverarbeiter und weitere Empfänger

MercanWorks OÜ ist ein Unternehmen mit Sitz in Estland (Europäische Union). Datenbank und Authentifizierungsinfrastruktur werden innerhalb der EU in Frankfurt (Deutschland, AWS eu-central-1) betrieben. Die eingesetzten Anbieter, ihre Aufgaben und die jeweils übermittelten Daten sind nachstehend aufgeführt:

6.3. Rechtliche Einordnung der Übermittlungen und Grenzen

Da der Dienst von der in der Europäischen Union ansässigen MercanWorks OÜ angeboten wird, werden Ihre Daten bei der Kontoeröffnung an Server in der Europäischen Union (Frankfurt) übermittelt; für in der Türkei ansässige betroffene Personen sind diese Übermittlung und die Übermittlungen an die in 6.2 genannten Anbieter Übermittlungen ins Ausland im Sinne von Artikel 9 KVKK. Der türkische Datenschutzrat hat für diese Länder keinen Angemessenheitsbeschluss erlassen; Einzelheiten stehen in Abschnitt 6 der Datenschutzerklärung. Wenn Sie den KI-Einrichtungsassistenten aufrufen, geht Ihr Text in die USA (OpenAI), Zahlungsdaten gehen an Stripe und die Inhalte der Dateianhänge an Cloudflare R2; diese Übermittlungen finden nur statt, wenn Sie den jeweiligen Bereich des Dienstes nutzen. Informationen für Nutzer in der Europäischen Union stehen in Abschnitt 6.4 der Datenschutzerklärung.

MercanWorks OÜ verkauft oder vermietet Ihre Daten unter keinen Umständen zu Marketingzwecken, übermittelt sie nicht an Datenhändler und verwendet sie nicht zum Training von KI-Modellen. Die einzige Übermittlung an ein Werbenetzwerk ist die Conversion-Messung von Google Ads, die auf der Website nur mit Ihrer ausdrücklichen Einwilligung läuft. Google verarbeitet diese Daten nach eigenen Bedingungen und für eigene Zwecke als eigenständiger Verantwortlicher; die Länder und möglichen Risiken dieser Übermittlung sind in 2.10 beschrieben.

7. Speicherdauer — wie lange Daten aufbewahrt werden

Die zeitgebundenen Aufbewahrungsfristen der folgenden Tabelle sind im Produktcode definiert und werden jede Nacht automatisch durchgesetzt; abgelaufene Daten werden gelöscht. Einträge, deren Löschung von Ihnen oder Ihrem Administrator abhängt, sowie Maßnahmen auf Antrag sind gesondert gekennzeichnet.

7.1. Dateianhänge

Dateianhänge werden in Cloudflare R2 gespeichert, ihre Metadaten (Name, Größe, hochladende Person) in der Datenbank. Der Zugriff wird bei jeder Anfrage anhand der Datenbank geprüft: Wer die Metadaten nicht sehen darf, erhält auch keinen Zugriff auf die Datei. Beim Löschen einer Datei werden ihre Daten aus dem Speicher entfernt. Eine Datei darf höchstens 25 MB groß sein; der Gesamtspeicher richtet sich nach Ihrem Tarifkontingent. Hochgeladene Dateien werden verlustfrei komprimiert; beim Download wird der SHA-256-Hash zur Integritätsprüfung kontrolliert.

7.2. Was nach Ablauf der Frist geschieht

Nach Ablauf der Aufbewahrungsfrist werden die Daten gelöscht. Einträge im lokalen Browserspeicher bleiben bis zu Ihrer Löschung auf dem Gerät; Einzelheiten enthält die Cookie-Richtlinie. Aufgabenliste und Leistungsbericht können in der Anwendung als CSV exportiert werden; diese Version bietet keinen vollständigen Backup-Download per Klick.

7.3. Außerhalb des Produktcodes umgesetzte Aufbewahrungsfristen

Die folgenden Fristen werden im Rahmen der gesetzlichen Pflichten und der Antragsbearbeitung des Unternehmens umgesetzt, nicht durch die nächtliche Bereinigung:

• Rechnungen werden über Stripe ausgestellt; MercanWorks OÜ bewahrt sie nach dem estnischen Rechnungslegungsgesetz für 7 Jahre ab Ende des betreffenden Geschäftsjahres als Buchhaltungsunterlagen auf, auch nach Schließung des Unternehmens. Der Abonnementdatensatz in Loop (Tarif, Status, Stripe-Kennungen) wird zusammen mit den Unternehmensdaten gelöscht.
• Antrags- und Supportkorrespondenz: höchstens 24 Monate nach Abschluss.
• Kontolöschung: Die Löschung in der Anwendung erfolgt sofort; Anträge per E-Mail werden spätestens innerhalb von 30 Tagen bearbeitet. Danach bleiben ausschließlich gesetzlich aufzubewahrende Finanzunterlagen bestehen; in den Arbeitsdaten (Aufgaben, Kommentare, Nachrichten) der Unternehmen, in denen Sie Mitglied waren, erscheint Ihr Name weiterhin.

Cookie-Richtlinie →

8. Mail: Ihre Gmail- und Outlook-Konten

Unter Mail können Sie Ihr Gmail- oder Outlook-/Microsoft 365-Konto verbinden und in Loop Nachrichten lesen, beantworten, verfassen, widerruflich (nicht dauerhaft) löschen, archivieren und als gelesen oder ungelesen markieren. Die Funktion erscheint nur bei konfiguriertem Anbieter und steht im Beispielunternehmen nicht zur Verfügung. Gmail-Verbindungen werden derzeit nicht angeboten; die Bestimmungen zu Google (Gmail) gelten, falls diese Verbindung erneut angeboten wird.

Die Autorisierung erfolgt in Ihrem Browser über OAuth 2.0. Loop verwendet weder ein Client-Geheimnis noch einen zwischengeschalteten Server; E-Mail-Daten werden ausschließlich direkt und verschlüsselt zwischen Ihrem Browser und den Servern von Google oder Microsoft übertragen.

8.1. Angeforderte Berechtigungen für Google (Gmail)

Ein Vollzugriff auf Gmail wird nicht angefordert. Die Verbindung nutzt den Implicit Flow: Das Zugriffstoken gilt etwa eine Stunde; ein Aktualisierungstoken oder dauerhafter Zugriff besteht nicht. Nach Ablauf wird die Verbindung im Hintergrund erneuert, sofern Sie noch bei Google angemeldet sind; andernfalls werden Sie zum erneuten Verbinden aufgefordert.

• gmail.modify — E-Mails lesen, Labels, Papierkorb und Archivstatus ändern sowie Nachrichten senden; dauerhaftes Löschen ist ausgeschlossen
• openid und email — Anzeige der E-Mail-Adresse des verbundenen Kontos unter Mail und Unterscheidung der verbundenen Konten

8.2. Angeforderte Berechtigungen für Microsoft (Outlook / Microsoft 365 / Hotmail)

Zugriff auf freigegebene Postfächer und organisationsweiter Zugriff (Mail.ReadWrite.All) werden nicht angefordert.

• Mail.ReadWrite — Lesen, Verschieben, Löschen und als gelesen markieren
• Mail.Send — Senden
• openid und email — Anzeige der E-Mail-Adresse des verbundenen Kontos unter Mail und Unterscheidung der verbundenen Konten
• offline_access — Aktualisierungstoken; die Verbindung bleibt bestehen, bis Sie sie entfernen oder den Zugriff in Ihrem Microsoft-Konto widerrufen

8.3. Daten bleiben auf Ihrem Gerät

Zugriffs- und Aktualisierungstoken liegen im lokalen Browserspeicher (loop-posta-hesaplar). Der Prüfschlüssel des Verbindungsablaufs (loop-posta-akis) und der Zeitstempel der Hintergrundaktualisierung (loop-posta-sessiz) liegen im Sitzungsspeicher und werden beim Schließen des Tabs gelöscht. Nachrichteninhalte werden im Arbeitsspeicher des Browsers verarbeitet und nicht dauerhaft auf Ihrem Gerät gespeichert.

E-Mail-Inhalte und Token werden weder an Server, Datenbank, Protokolle oder AI-Einrichtungsassistenten von Loop noch an andere Dritte übermittelt. Loop kann diese Daten nicht einsehen, speichern, verkaufen oder für Werbung oder Modelltraining verwenden. Deshalb müssen Sie das Konto auf anderen Geräten oder in anderen Browsern erneut verbinden; das Löschen der Browserdaten entfernt die Verbindung.

E-Mail-Daten werden ausschließlich auf Ihrem Gerät und unter Ihrer Kontrolle verarbeitet; MercanWorks OÜ hat keinen Zugriff; MercanWorks OÜ ist für diese Verarbeitung weder Verantwortlicher noch Auftragsverarbeiter. Die Google oder Microsoft erteilten OAuth-Berechtigungen unterliegen Ihrem Verhältnis zum jeweiligen Anbieter und können jederzeit widerrufen werden (8.4).

8.4. Verbindung eines Kontos trennen

Wenn Sie eine Verbindung unter Mail entfernen, werden Token und Kontodaten von Ihrem Gerät gelöscht. Sie können den Zugriff auch auf der Berechtigungsseite Ihres Google-Kontos oder unter den App-Berechtigungen in den Datenschutzeinstellungen Ihres Microsoft-Kontos widerrufen. Bei Microsoft-Geschäfts- oder Schulkonten (Microsoft 365) erfolgt dies über die App-Berechtigungen im Portal „Meine Apps“ Ihrer Organisation oder durch deren Administrator; die Links stehen am Ende dieses Abschnitts.

8.5. Darstellung von Nachrichteninhalten

E-Mail-Inhalte werden in einer Sandbox dargestellt, in der keine Skripte ausgeführt werden. Externe Bilder werden nur in einem separaten, eingeschränkten Frame geladen. Dabei sendet Ihr Browser eine Anfrage an den Bildserver des Absenders, der Ihre IP-Adresse sehen kann — wie in der eigenen Oberfläche des E-Mail-Anbieters.

8.6. Google API Services User Data Policy — Limited Use

Loop's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

Die Nutzung und Weitergabe von Informationen aus Google APIs durch Loop entspricht der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung. Konkret bedeutet dies:

• Gmail-Daten werden ausschließlich für die sichtbaren Mail-Funktionen verwendet: Lesen, Antworten, Senden, Löschen, Archivieren und Markieren als gelesen.
• Keine Nutzung zur Ausspielung oder Ausrichtung von Werbung.
• Menschen lesen die Daten nur mit Ihrer ausdrücklichen Erlaubnis, im Rahmen von Sicherheitsprüfungen oder aufgrund gesetzlicher Verpflichtungen.
• Keine Weitergabe oder Veräußerung an Dritte.
• Die Daten werden nicht zur Entwicklung, Verbesserung oder zum Training allgemeiner KI- oder Machine-Learning-Modelle verwendet.

Google API Services User Data Policy →

Google-Konto — App-Berechtigungen →

Microsoft-Konto — Datenschutz und App-Berechtigungen →

Microsoft-Geschäftskonto — Meine Apps →

9. KI-Einrichtungsassistent

Der AI-Einrichtungsassistent „Beschreiben Sie es, ich richte es ein“ wird nur auf Ihren Aufruf aktiv und hilft bei der Konfiguration Ihres Unternehmens: Aufgabentypen, Phasen, Felder, Arbeitsschritte, Aufgaben, Formulare und Regeln. Bei bestehenden Aufgaben kann er ausschließlich Zuständigkeit, Fälligkeitsdatum, Priorität und Phase ändern; Aufgabentexte kann er nicht bearbeiten und Datensätze nicht löschen. Auf Wunsch kann er auch Personen ohne Konto hinzufügen oder Einladungen erstellen. Der Assistent speichert nichts eigenständig: Jede vorgeschlagene Änderung wird als Vorschau angezeigt und erst nach Ihrer Bestätigung umgesetzt.

Wenn Sie den Assistenten starten, werden Ihre Anfrage, die Typ-, Feld-, Phasen- und Regelbezeichnungen, Projekt- und Teamnamen sowie Namen und Rollen der Mitglieder Ihres Unternehmens an den Modellanbieter (OpenAI, USA) übermittelt. Bei der Suche und Aktualisierung bestehender Aufgaben werden zusätzlich Titel, Nummer, Phase, Zuständigkeit und Fälligkeitsdatum der Treffer übermittelt. Aufgabenbeschreibungen, Kommentare, Projektchats, Anhänge, Formularantworten, vertrauliche Feldwerte und Mail-Daten werden nicht gesendet. MercanWorks OÜ übermittelt nur die für die jeweilige Antwort erforderlichen Daten und nutzt sie nicht für eigenes Modelltraining. Für die Verarbeitung beim Anbieter gilt dessen API-Datenrichtlinie: API-Ein- und -Ausgaben werden standardmäßig nicht zum Modelltraining verwendet; Protokolle zur Missbrauchsüberwachung werden höchstens 30 Tage aufbewahrt.

In den bei Loop gespeicherten Gesprächsprotokollen werden Zahlenfolgen mit 10–11 Stellen und E-Mail-Adressen maskiert. Die Protokolle werden nach 12 Monaten gelöscht und dienen der Qualitäts- und Missbrauchskontrolle sowie der Guthabenzählung. Jede Interaktion verbraucht einen Punkt des jährlichen KI-Guthabens Ihres Tarifs. Im Free-Tarif ist der Assistent deaktiviert, da kein KI-Guthaben enthalten ist. Der Assistent trifft keine Entscheidungen über Sie, sondern schlägt lediglich die Einrichtung Ihres Unternehmens vor.

10. Ihre Rechte nach KVKK

Nach Artikel 11 KVKK haben Sie folgende Rechte:

• Erfahren, ob Ihre personenbezogenen Daten verarbeitet werden
• Auskunft über die Verarbeitung verlangen
• Zweck der Verarbeitung und zweckgemäße Nutzung erfahren
• Empfänger im Inland oder Ausland erfahren
• Berichtigung unvollständiger oder falscher Daten verlangen
• Löschung oder Vernichtung unter den Voraussetzungen von Artikel 7 KVKK verlangen (der Inhaber kann das Unternehmen schließen; sämtliche Unternehmensdaten werden nach 30 Tagen dauerhaft gelöscht; Ihr Konto können Sie selbst in der Anwendung löschen oder die Löschung per E-Mail beantragen)
• Benachrichtigung der Empfänger über Berichtigung, Löschung oder Vernichtung übermittelter Daten verlangen
• Einer für Sie nachteiligen Folge ausschließlich automatisierter Datenanalyse widersprechen — Loop trifft keine solchen Entscheidungen; die Leistungsmessung ist ein Bericht und erzeugt keine automatisierten Entscheidungen mit rechtlicher Wirkung für Personen
• Ersatz eines durch rechtswidrige Verarbeitung entstandenen Schadens verlangen
• Außerdem Einwilligungen für einwilligungsbasierte Verarbeitungen (Werbemessung, Browser- und Telefonbenachrichtigungen) jederzeit widerrufen; die Einwilligung in die Werbemessung können Sie über den Link „Cookie-Einstellungen“ in der Fußzeile der Website widerrufen, und der Widerruf berührt nicht die Rechtmäßigkeit früherer Verarbeitung

10.1. In der Europäischen Union ansässige Nutzer

Ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nach Artikeln 15–22 DSGVO bleiben ebenfalls unberührt. Die Datenübertragbarkeit umfasst Kontodaten, für die MercanWorks OÜ verantwortlich ist; auf Antrag erhalten Sie eine strukturierte Kopie. Der CSV-Export von Aufgabenlisten und Leistungsberichten ist eine Produktfunktion für Geschäftsdaten und ersetzt dieses Recht nicht.

11. So stellen Sie eine Anfrage

Sie können Ihre Rechte über die folgenden Wege ausüben. Anträge werden gemäß dem türkischen Kommuniqué über Verfahren und Grundsätze für Anträge an den Verantwortlichen entgegengenommen und bearbeitet.

11.1. Inhalt der Anfrage und Identitätsprüfung

Geben Sie Ihren Namen, die betreffende E-Mail-Adresse oder Unternehmensdaten, Ihr Anliegen und gegebenenfalls zugehörige Unterlagen an. Zur Zuordnung muss der Antrag von Ihrer registrierten E-Mail-Adresse stammen oder Ihre Identität überprüft werden. Bei Anträgen für andere Personen ist ein Vertretungsnachweis erforderlich.

Wenn Sie kein Loop-Konto haben, etwa als Teilnehmer eines öffentlichen Formulars oder als Kunde oder Lieferant eines Unternehmens, ist dieses Unternehmen für Ihre Daten verantwortlich. Sie können sich direkt an dieses wenden. Entsprechende Anträge an [email protected] werden nach Identitätsprüfung an das zuständige Unternehmen weitergeleitet; die für dessen Antwort erforderliche technische Unterstützung wird bereitgestellt.

11.2. Antwortfrist und Gebühren

Ihr Antrag wird je nach Art so schnell wie möglich, spätestens innerhalb von 30 Tagen, kostenlos bearbeitet. Entstehen zusätzliche Kosten, kann eine Gebühr nach dem Tarif des türkischen Datenschutzrats erhoben werden. Die schriftliche Antwort erfolgt an die für den Antrag verwendete E-Mail-Adresse oder Ihre angegebene Postanschrift.

11.3. Beschwerderecht

Wird Ihr Antrag abgelehnt, unzureichend oder nicht fristgerecht beantwortet, können Sie innerhalb von 30 Tagen ab Kenntnis der Antwort und spätestens innerhalb von 60 Tagen ab Antragstellung Beschwerde beim türkischen Datenschutzrat einlegen. Bei Wohnsitz in der Europäischen Union können Sie sich an die Aufsichtsbehörde Ihres Wohn- oder Arbeitsorts, des Orts des mutmaßlichen Verstoßes oder an die federführende Aufsichtsbehörde von MercanWorks OÜ, die estnische Datenschutzinspektion (Andmekaitse Inspektsioon), wenden.

Kontakt →

12. Maßnahmen zur Datensicherheit

Zum Schutz Ihrer personenbezogenen Daten werden nach Artikel 12 KVKK die folgenden technischen und organisatorischen Maßnahmen ergriffen. Nicht genannte Zertifizierungen, Prüfungen oder Dienstleistungsniveaus werden nicht zugesagt.

12.1. Technische Maßnahmen

• Jedes Unternehmen sieht ausschließlich seine eigenen Daten; dies wird durch Sicherheit auf Datenbankzeilenebene durchgesetzt und mit Live-Tests überprüft
• Alle Verbindungen sind mit TLS verschlüsselt
• Passwort ausschließlich als Einweg-Hash beim Authentifizierungsanbieter
• Vertrauliche Felder separat gespeichert, Zugriff über kontrollierten Zugang
• Eine strenge Content Security Policy (CSP) wird durchgesetzt; die Anwendung lädt keine Skripte Dritter, die erlaubte Werbemessung läuft in einem separaten, eingeschränkten Rahmen
• Geheimnisse und Schlüssel gelangen nicht an den Client
• E-Mail-Inhalte werden unter Mail in einer Sandbox ohne Skriptausführung dargestellt
• Dateiintegrität durch SHA-256 geprüft
• Abhängigkeiten werden regelmäßig auf Sicherheitslücken überprüft
• Datenbank und Authentifizierung werden in der Europäischen Union (Frankfurt) betrieben; Dateianhänge liegen in Cloudflare R2 (6.2)

12.2. Organisatorische Maßnahmen

• Mindestbefugnisprinzip: Zugriff nur nach Aufgabenbedarf
• Keine Experimente mit Produktivdaten; getrennte Testkonten
• Aufbewahrungsfristen sind im Code definiert und werden automatisch durchgesetzt; abgelaufene Daten werden ohne manuelles Eingreifen gelöscht

12.3. Meldung von Sicherheitslücken und Datenschutzverletzungen

Sicherheitslücken können Sie mit dem Betreff „Sicherheit“ an [email protected] melden. Bei Verletzungen, die Geschäftsdaten Ihres Unternehmens betreffen, informiert MercanWorks OÜ als Auftragsverarbeiter Ihr Unternehmen als Verantwortlichen unverzüglich; die Meldung an Aufsichtsbehörden und betroffene Personen obliegt Ihrem Unternehmen. Bei Verletzungen von Konto- und Abonnementdaten, für die MercanWorks OÜ verantwortlich ist, erfolgt die Meldung innerhalb von 72 Stunden nach Bekanntwerden an den türkischen Datenschutzrat und an die estnische Datenschutzinspektion als federführende Aufsichtsbehörde nach der DSGVO. Betroffene Nutzer werden innerhalb angemessener Frist in der Anwendung, auf dieser Seite und erforderlichenfalls per registrierter E-Mail informiert.

13. Daten Ihres Unternehmens und Ihrer Kunden — unsere Rolle als Auftragsverarbeiter

Für die in Loop eingegebenen Geschäftsdaten — Aufgaben, Kommentare, Projektchats, Anhänge, Formularantworten, Feldwerte, Regeln sowie Aktivitäts- und Zuweisungsverlauf — sind Sie Verantwortlicher. MercanWorks OÜ verarbeitet diese Daten als Auftragsverarbeiter in Ihrem Auftrag und nach Ihren Weisungen. Sie können personenbezogene Daten von Formularteilnehmern, Kunden, Lieferanten und Mitarbeitern enthalten.

Ihr Unternehmen bestimmt als Verantwortlicher die Rechtsgrundlage für die Verarbeitung seiner Geschäftsdaten. MercanWorks OÜ verarbeitet sie ausschließlich im Rahmen des Dienstleistungsvertrags als schriftlicher Weisung Ihres Unternehmens und stützt sich hierfür nicht auf eine eigene Rechtsgrundlage.

Hierzu gehören:

• Sie sind für die Information Ihrer Kunden, Mitarbeiter und Formularteilnehmer und gegebenenfalls für deren ausdrückliche Einwilligung verantwortlich. Bewertungen Ihrer Mitarbeiter einschließlich der Leistungsmessung müssen Sie in Ihren eigenen Datenschutzhinweisen erläutern.
• Loop verarbeitet diese Daten ausschließlich zur Erbringung des Dienstes für Sie, nicht für eigene Zwecke, Verkauf, Werbung oder Modelltraining.
• Mitglieder können nur im Rahmen der von Ihrem Unternehmen erteilten Rollen und Projektberechtigungen auf Daten zugreifen.
• Unterauftragsverarbeiter für Unternehmensdaten sind Supabase, Cloudflare, Google Workspace für den E-Mail-Versand, Google Firebase Cloud Messaging und Apple für Telefonbenachrichtigungen, die Browser-Push-Dienste und OpenAI (wenn Sie den Assistenten aufrufen: Typ-, Feld-, Phasen-, Regel-, Projekt- und Teambezeichnungen, Namen und Rollen der Mitglieder und nur bei der Suche nach bestehenden Aufgaben die Titel der gefundenen Aufgaben); die vollständige Liste steht in Abschnitt 6.2 der Datenschutzerklärung. Neue Unterauftragsverarbeiter werden mindestens 30 Tage vor Verarbeitungsbeginn mit Aktualisierungsdatum auf dieser Seite und in der Datenschutzerklärung angekündigt. Sie können bei [email protected] widersprechen oder den Vertrag beenden.
• Zur Bearbeitung von Betroffenenanträgen können Sie als Verantwortlicher Daten in der Anwendung berichtigen und löschen sowie die Aufgabenliste als CSV exportieren. Nach Unternehmensschließung werden sämtliche Unternehmensdaten nach 30 Tagen dauerhaft gelöscht.
• Die Bestimmungen zur Auftragsverarbeitung nach Artikel 28/3 DSGVO (Gegenstand, Dauer, Art und Zweck; Weisungsbindung, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Löschung und Rückgabe sowie Kontrollen) und die vertraglichen Nutzungsbedingungen stehen in den Nutzungsbedingungen und gelten zusammen mit diesen Hinweisen.

Nutzungsbedingungen →

14. Aktualisierung dieser Datenschutzhinweise

Diese Datenschutzhinweise können aufgrund gesetzlicher Änderungen oder geänderter Verarbeitungstätigkeiten aktualisiert werden. Neue Fassungen erscheinen mit Aktualisierungsdatum auf dieser Seite. Sie sind zusammen mit der Datenschutzerklärung und der Cookie-Richtlinie zu lesen.

Datenschutzerklärung →

Cookie-Richtlinie →

Nutzungsbedingungen →