Datenschutzerklärung

Übersicht

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Diese Datenschutzerklärung beschreibt die Verarbeitung auf der Marketing-Website www.carmuca.de sowie — soweit einschlägig — Hinweise zum Carmuca-Produkt unter app.carmuca.de. Maßgeblich sind die jeweils beschriebenen Verarbeitungszwecke und Rechtsgrundlagen. Für verbundene Postfächer und Kalender siehe insbesondere die Abschnitte E-Mail-Integration, Weitergabe von Google-/Microsoft-/Postfachdaten und KI-/ML-Dienste und Limited Use.

Verantwortliche Stelle

MUCA Software UG (haftungsbeschränkt)

Wiesental Straße 40

88074 Meckenbeuren

Deutschland

DE461279368

Telefon: +49 7542 94 999 78

E-Mail: info@muca-software.de

Website: muca-software.de

Geltungsbereich: Website und Produkt

www.carmuca.de (diese Seite) dient der Information über Carmuca und der Kontaktaufnahme. Hier setzen wir — wie unten beschrieben — ein Einwilligungs-Banner ein und können nach Ihrer freiwilligen Zustimmung den Meta Pixel zur Reichweitenmessung laden.

app.carmuca.de ist die eigentliche Geschäftsanwendung für registrierte Autohäuser. Dort gelten die in Ihrem Nutzungsvertrag und der ggf. gesonderten Auftragsverarbeitung (AVV) geregelten Verarbeitungen; sie sind nur dann betroffen, wenn Sie Carmuca als Dienst nutzen.

Erhobene Daten

Besuch der Website www.carmuca.de

Beim Aufruf der Seite verarbeitet unser Hosting-Anbieter technisch erforderliche Daten (z. B. IP-Adresse in Server-Logfiles, Zeitstempel, angeforderte URL), um die Auslieferung der Seite zu ermöglichen und Missbrauch zu erkennen.

Wenn Sie im Cookie-Banner „Einwilligen & fortfahren“ wählen, speichern wir Ihre Entscheidung lokal im Browser (localStorage, Schlüssel carmuca_cookie_consent) und laden Marketing-Skripte (Meta Pixel sowie das Google-Tag für Google Ads, Kennung AW-18372610226). Anbieter können dadurch u. a. Nutzungsprofile bilden und Daten in Drittländer (u. a. USA) übermitteln. Ohne diese Einwilligung werden diese Skripte auf dieser Marketing-Seite nicht aktiviert.

Demo-Terminbuchung („Demo buchen“)

Wenn Sie über die Website einen Demo-Termin buchen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und optional den Firmennamen sowie den gewählten Termin. Die Daten werden an unsere Anwendung unter app.carmuca.de übermittelt und dort zur Erstellung eines Kalendertermins mit Microsoft Teams-Meeting genutzt (Microsoft 365 / Microsoft Graph). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) bzw. lit. f (berechtigtes Interesse an der Organisation von Produktdemos). Die Einladung und der Teams-Link werden über Microsoft zugestellt.

Carmuca-Konto und Nutzung von app.carmuca.de

Bei Registrierung und Nutzung der Software erheben wir u. a.:

Name und Firmendaten, E-Mail-Adresse
Autohaus- bzw. Mandantendetails
Passwort (gespeichert in nicht rückrechenbarer Form)
Von Ihnen angelegte Geschäftsdaten (Fahrzeuge, Kunden, Verkäufe usw.) — gespeichert zur Vertragserfüllung

Technische Nutzungs- und Protokolldaten können wir zur Sicherstellung des Betriebs, zur Fehleranalyse und zur Missbrauchs- bzw. Compliance-Prüfung verarbeiten.

E-Mail-Integration (Google Gmail, Microsoft 365 / Outlook, IMAP/SMTP)

In der Anwendung app.carmuca.de können registrierte Nutzer freiwillig Postfächer verbinden, um E-Mails im Carmuca-Postfach zu synchronisieren, zu lesen, zu kennzeichnen, in den Papierkorb zu verschieben und zu versenden. Die Verbindung erfolgt nur nach ausdrücklicher Authentifizierung beim jeweiligen Anbieter (OAuth) bzw. nach Eingabe eigener Serverzugangsdaten (IMAP/SMTP). Carmuca greift nicht ungefragt auf Fremdpostfächer zu.

Google Gmail (Google-Nutzerdaten)

Bei der Verbindung eines Gmail-Kontos fordert Carmuca über Google OAuth insbesondere die Berechtigungen https://www.googleapis.com/auth/gmail.modify und https://www.googleapis.com/auth/gmail.send sowie grundlegende Identitätsangaben (email, openid). Damit können wir Nachrichten und Ordner/Labels synchronisieren, Lesestatus und ähnliche Zustände setzen, Nachrichten in den Papierkorb verschieben sowie E-Mails im Namen des verbundenen Kontos versenden. Engere Nur-Lese-Berechtigungen reichen für diese produktiven Funktionen nicht aus.

Verarbeitet werden können u. a.: Absender, Empfänger, Betreff, Nachrichteninhalt (Text/HTML), Anhänge, Ordner-/Label-Zuordnung, Zeitstempel, Nachrichten-IDs sowie OAuth-Tokens zur Aufrechterhaltung der Verbindung. Die Daten werden in Carmuca gespeichert, damit das Team das Postfach in der Anwendung nutzen kann.

Microsoft 365 / Outlook (Microsoft Graph)

Bei der Verbindung eines Microsoft-Kontos fordert Carmuca über Microsoft Identity Platform / Graph u. a. Mail.ReadWrite, Mail.Send, offline_access, openid und email. Zweck und Umfang entsprechen der Gmail-Integration: Sync, Lesen/Schreiben von Nachrichtenstatus, Papierkorb sowie Senden im Namen des verbundenen Kontos. Verarbeitet werden dieselben Kategorien von Postfachdaten wie oben beschrieben sowie Tokens zur API-Anbindung.

Andere Mail-Anbieter (IMAP / SMTP)

Nutzer können Postfächer anderer Anbieter (z. B. eigene Domain, Hosting-Provider) per IMAP (Empfang/Sync) und SMTP (Versand) anbinden. Dafür werden die vom Nutzer hinterlegten Serverzugangsdaten (Host, Port, Benutzername, Passwort bzw. App-Passwort) verschlüsselt gespeichert und ausschließlich zur Synchronisation und zum Versand verwendet. Inhaltlich gelten die gleichen Datenkategorien (Metadaten, Inhalt, Anhänge) wie bei Gmail/Microsoft.

Kalender-Integration (optional)

Sofern Nutzer den Carmuca-Kalender mit Google Calendar oder Microsoft Outlook/Exchange verbinden, greifen wir über OAuth auf Kalenderereignisse zu (Google: calendar.events.owned; Microsoft: Calendars.ReadWrite), um Termine zu synchronisieren und zu verwalten. Kalenderdaten werden nur für diese Kalenderfunktion verarbeitet, nicht für Werbung und nicht zum Trainieren von KI-Grundmodellen.

Carmuca verkauft keine Google-Nutzerdaten, Microsoft-Nutzerdaten oder sonstigen Postfachdaten und gibt sie nicht an Datenbroker, Werbenetzwerke oder vergleichbare Dritte weiter. Die Nutzung erfolgt ausschließlich zur Bereitstellung der vom Nutzer angeforderten E-Mail- und Kalenderfunktionen in Carmuca.

Mit wem wir Daten teilen, übertragen oder offenlegen können:

Google LLC / Google Ireland — als Anbieter von Gmail und Google Calendar: Carmuca kommuniziert über die Google APIs mit dem Konto des Nutzers (Lesen/Schreiben/Senden gemäß erteilter Scopes). Google verarbeitet diese Zugriffe nach eigenen Bedingungen; Carmuca übermittelt an Google nur die für die jeweilige API-Aktion erforderlichen Anfragen (inkl. OAuth-Tokens).
Microsoft Corporation / Microsoft Ireland — als Anbieter von Microsoft 365, Outlook und Graph: analog zu Google für Mail- und Kalender-API-Zugriffe gemäß erteilter Berechtigungen.
IMAP-/SMTP-Anbieter des Nutzers — der jeweils vom Nutzer konfigurierte Mailserver empfängt die für Sync und Versand nötigen Verbindungs- und Inhaltsdaten.
Hosting- und Infrastruktur-Dienstleister (Auftragsverarbeiter), die Carmuca betreiben bzw. speichern, insbesondere: Anwendungs-Hosting (z. B. Railway), objektbasierter Dateispeicher für Anhänge und Uploads (S3-kompatibel) sowie Authentifizierungsinfrastruktur (z. B. Supabase Auth für Kontodaten). Diese Anbieter erhalten Zugriff nur, soweit zur Erbringung der Carmuca-Dienste technisch erforderlich, und sind vertraglich bzw. über geeignete Garantien an Datenschutzpflichten gebunden. Speicherung erfolgt vorrangig in der EU.
Behörden / Rechtsdurchsetzung — nur soweit wir gesetzlich dazu verpflichtet sind oder dies zur Durchsetzung unserer Rechte, zum Schutz von Nutzern oder zur Abwehr von Missbrauch erforderlich ist.
Unternehmensübertragungen — im Fall einer Fusion, Übernahme oder Vermögensübertragung können Daten im gesetzlich zulässigen Rahmen an den Rechtsnachfolger übergehen; Nutzer werden informiert, soweit erforderlich.

Keine Weitergabe an KI-Anbieter von Postfach-/Workspace-Inhalten: Rohe, aggregierte oder abgeleitete Daten aus Google Workspace APIs (einschließlich Gmail und Google Calendar) sowie aus Microsoft Graph Mail/Calendar und aus per IMAP synchronisierten Postfächern werden nicht an Dritt-KI-Dienste übermittelt, um grundlegende oder allgemeine Machine-Learning-/KI-Modelle zu erstellen, zu trainieren oder zu verbessern. Siehe auch den folgenden Abschnitt zu KI-Diensten.

Mandantenfähigkeit: Postfach- und Kalenderdaten eines Autohauses sind in Carmuca dem jeweiligen Mandanten zugeordnet und nicht für andere Kunden einsehbar.

KI-/ML-Dienste und Limited Use (Google Workspace & Microsoft)

Carmuca bietet optionale KI-Funktionen (z. B. Entwürfe für Lead-/Ankauf-Kommunikation, KI-Assistent für Geschäftsdaten in der App). Dazu können wir den Drittanbieter OpenAI (API) einsetzen.

Wichtig für Google- und Microsoft-Nutzerdaten: Inhalte und Metadaten, die über Gmail-, Google-Calendar-, Microsoft-Mail-/Calendar-APIs oder IMAP-Sync bezogen wurden, werden nicht an OpenAI oder andere KI-/ML-Anbieter übermittelt und nicht zum Training von Foundation- oder General-Purpose-Modellen verwendet. KI-Funktionen arbeiten mit App-/CRM-Daten, die Nutzer in Carmuca pflegen oder dort explizit für die jeweilige Funktion bereitstellen — nicht mit dem verbundenen Gmail-/Outlook-Postfach-Inhalt aus den OAuth-Scopes.

Wir verpflichten uns, die Google API Services User Data Policy einschließlich der Limited Use-Anforderungen für Workspace-APIs einzuhalten. Entsprechendes gilt sinngemäß für die Nutzung von Microsoft-Graph-Daten: nur für die dokumentierten, nutzerseitigen Funktionen; kein Verkauf; keine Nutzung für unabhängige Modellverbesserung durch uns oder Dritte auf Basis dieser Postfach-/Kalenderdaten.

Widerruf und Trennung von E-Mail-/Kalender-Konten

Nutzer können die Verbindung zu Google, Microsoft oder einem IMAP/SMTP-Konto jederzeit in den Carmuca-Einstellungen trennen. Zusätzlich kann der Zugriff in den jeweiligen Anbieter-Konten widerrufen werden (Google-Konto → Sicherheit / Drittanbieterzugriff; Microsoft-Konto → App-Berechtigungen). Nach Trennung stellen wir den API-Zugriff ein; gespeicherte Sync-Kopien können gemäß Aufbewahrungs- und Löschkonzept des Mandanten entfernt oder anonymisiert werden.

Rechtsgrundlage der Verarbeitung

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Verarbeitung im Zusammenhang mit der Nutzung von Carmuca (app.carmuca.de) zur Erbringung der vereinbarten Leistung, einschließlich optional verbundener E-Mail- und Kalenderfunktionen, soweit sie Bestandteil des gebuchten Dienstes sind.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): z. B. Sicherheit der Website, Missbrauchserkennung, aggregierte Auswertungen, soweit nicht von Ihren Interessen überwogen.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Setzen von Meta Pixel, Google Ads-Tag und vergleichbarer Reichweitenmessung auf www.carmuca.de nur, wenn Sie im Banner aktiv zustimmen. Die Einwilligung ist freiwillig; ohne sie können Sie die Seite dennoch nutzen (ohne diese Skripte). Die Anbindung von Google-, Microsoft- oder IMAP/SMTP-Konten erfolgt zusätzlich über die ausdrückliche Freigabe am Anbieter (OAuth bzw. Zugangsdaten) und kann dort jederzeit widerrufen werden.

Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG): Für den Einsatz nicht unbedingt erforderlicher Technologien im Endgerät (z. B. speichernde oder auslesende Verfahren im Rahmen von Tracking durch Drittanbieter) ist in der Regel Ihre vorherige Einwilligung erforderlich. Diese holen wir über das Banner ein, bevor Meta Pixel und Google-Tag geladen werden.

Datenspeicherung und Sicherheit

Ihre Daten werden sicher unter Verwendung branchenüblicher Verschlüsselung und Sicherheitsmaßnahmen gespeichert. Wir implementieren geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer Daten.

Daten werden in sicheren Rechenzentren innerhalb der Europäischen Union gespeichert.

Cookies, localStorage und ähnliche Technologien

Marketing-Website www.carmuca.de

Für die reine Darstellung der Inhalte sind keine Marketing-Cookies erforderlich. Ihre Entscheidung im Cookie-Banner legen wir im localStorage des Browsers ab, damit wir Sie nicht bei jedem Seitenaufruf erneut fragen müssen. Diese Speicherung dient der Umsetzung Ihrer Präferenz; sie können sie jederzeit löschen (siehe unten „Widerruf“).

Meta Pixel (Facebook / Instagram)

Anbieter ist die Meta Platforms Ireland Ltd. (bzw. nachgelagerte Konzerngesellschaften). Wir setzen den Pixel auf www.carmuca.de nur nach Ihrer Einwilligung ein (Pixel-ID: 1662797461312083). Meta verarbeitet die Daten eigenverantwortlich im Rahmen seiner Produktbedingungen; es kann zu Übermittlungen in die USA und zu Profilbildung kommen. Informationen von Meta: Datenschutz bei Meta.

Software app.carmuca.de

Für die Anwendung können Sitzungs- und Sicherheits-Cookies bzw. vergleichbare Technologien erforderlich sein (z. B. Login). Die Einzelheiten ergeben sich aus der Nutzung der App und ggf. weiteren Hinweisen in der Anwendung.

Ihre Rechte

Widerruf der Einwilligung: Eine erteilte Einwilligung zur Nutzung des Meta Pixel können Sie mit Wirkung für die Zukunft widerrufen, indem Sie im Browser die Website-Daten / den localStorage-Eintrag carmuca_cookie_consent löschen und die Seite neu laden — das Banner erscheint erneut. Alternativ wählen Sie künftig „Nur erforderlich“, sofern das Banner noch sichtbar ist.

Auskunftsrecht: Sie können Auskunft über die von uns gespeicherten Daten verlangen
Recht auf Berichtigung: Sie können die Korrektur unrichtiger Daten verlangen
Recht auf Löschung: Sie können die Löschung Ihrer Daten verlangen
Datenübertragbarkeit: Sie können Ihre Daten in einem strukturierten Format anfordern
Widerspruchsrecht: Sie können bestimmten Datenverarbeitungsaktivitäten widersprechen

Kontakt für Datenschutzfragen

Für Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte: