Datenschutzerklärung
Banana CRM · Fassung 2026-10-21

1. Verantwortlicher
Verantwortlich für Website, Registrierung, Testphase, Kundenkonto, Rechnung und den Betrieb als Anbieter:
Banana CRM, Martin Elmentaler, Einzelunternehmen, Hittfeldstraße 40, 45478 Mülheim an der Ruhr, E-Mail martin.elmentaler@bananacrm.de, Telefon 0179 7376 872.
Für Kontaktdaten und sonstige CRM-Inhalte, die ein Kunde in Banana CRM speichert, ist der jeweilige Kunde Verantwortlicher. Banana CRM verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO, auch während der Testphase.

2. Gegenstand
Diese Erklärung betrifft die Verarbeitung durch den Anbieter selbst. Sie ersetzt nicht den AVV und nicht die Informationspflichten des Kunden gegenüber seinen Ansprechpartnern.

3. Datenarten
3.1 Registrierung und Testphase
Bei der Registrierung: Firmenname, E-Mail-Adresse und Passwort (gespeichert nur als Hashwert). Im ersten Schritt danach: der Name der Person. Dazu Beginn und Ende der Testphase sowie, wenn Nutzer eingeladen werden, deren Name und E-Mail-Adresse.
3.1a Vorbereitung eines Kontos
Bereitet der Anbieter auf Wunsch eines Kunden oder im Rahmen einer Einladung ein Konto vor, verarbeitet er den Firmennamen des Kunden, Firmendaten (Firmen, Websites, Beschreibungen, Filter, Aufgaben) sowie Name und geschäftliche E-Mail-Adresse der vorgesehenen Vertriebsleitung. Weitere Nutzer sowie Ansprechpartner und deren Kontaktdaten werden in diesem Stadium nicht verarbeitet. Bis zur Annahme ist der Anbieter hierfür Verantwortlicher. Der Zugangslink wird nur als Hashwert gespeichert und vom Anbieter selbst, nicht von Banana CRM, verschickt. Änderungen, die der Anbieter während der Vorbereitung vornimmt, werden im Änderungsprotokoll des Kontos als „Einrichtung durch Banana CRM“ gekennzeichnet.
3.2 Kostenpflichtiger Abschluss
Erst wenn der Kunde Banana CRM kostenpflichtig weiter nutzt: Firmenanschrift, Land, ggf. USt-ID, Nutzerzahl, Zeitpunkt des Abschlusses und die abschließende Person. Später ggf. Änderungs- und Kündigungsdaten.
3.3 Nachweis der Zustimmungen
Bei Registrierung, Annahme eines vorbereiteten Kontos und Abschluss speichern wir den angezeigten Wortlaut, die Fassungen von AGB, Datenschutzerklärung und AVV, den Zeitpunkt, die E-Mail-Adresse und die IP-Adresse, um die Zustimmung nachweisen zu können.
3.4 Betrieb und Sicherheit
Login-Zeitpunkte, IP-Adresse bei Zugang und sicherheitsrelevanten Ereignissen, grobe Browser-/Geräteinformationen, Fehler- und Sicherheitsprotokolle, soweit erforderlich.
3.5 CRM-Daten des Kunden
Vom Kunden eingegebene Firmen-, Kontakt-, Aufgaben-, Notiz-, Import- und E-Mail-Inhalte, vom Kunden hochgeladene Dokumente (PDF-Dateien) sowie, soweit Postfächer angebunden sind, die dafür erforderlichen Zugangs- und Verbindungsdaten. Keine eigene Werbung, kein Verkauf, keine Weitergabe an Dritte zu deren Zwecken.
3.6 Rechnung und Buchhaltung
Nur bei kostenpflichtiger Nutzung: Rechnungsdaten, Zahlungsstatus, geschäftliche Korrespondenz zur Abrechnung.

4. Zwecke und Rechtsgrundlagen
Art. 6 Abs. 1 lit. b DSGVO: Konto, Testphase, Bereitstellung, Vertrag, Nutzerverwaltung, Kommunikation, einschließlich der E-Mails zum Ende der Testphase und vor der Löschung;
Art. 6 Abs. 1 lit. f DSGVO: Name und geschäftliche E-Mail-Adresse der vorgesehenen Vertriebsleitung bei der Vorbereitung eines Kontos (Einladung zur Nutzung), bei Vorbereitung auf Wunsch des Kunden zusätzlich Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme);
Art. 6 Abs. 1 lit. c DSGVO: handels- und steuerrechtliche Pflichten;
Art. 6 Abs. 1 lit. f DSGVO: IT-Sicherheit, Missbrauchserkennung, Nachweis der Zustimmungen und Löschungen, Rechtsverteidigung;
Art. 28 DSGVO i. V. m. dem AVV: CRM-Daten des Kunden, einschließlich der KI-Auswertung nach Ziffer 5a, wenn der Kunde sie einschaltet.
Das Häkchen bei der Registrierung ist die Annahme der Vertragsbedingungen und des AVV, keine zusätzliche Einwilligung in eine Verarbeitung außerhalb des Vertrags.

5. Hosting und Empfänger
Die öffentliche Website (www.bananacrm.de) wird mit Carrd bereitgestellt und ist von der Anwendung getrennt.
Die Anwendung Banana CRM (app.bananacrm.de) und die dort gespeicherten Anwendungs- und Datenbankdaten werden bei Render Services, Inc. (USA) betrieben. Anwendung und Postgres-Primärdaten liegen in der Region Frankfurt. Nach dem Render-DPA findet wesentliche Verarbeitung auch in den USA statt; Garantien sind das EU-US Data Privacy Framework und hilfsweise die EU-Standardvertragsklauseln 2021. Subprozessoren veröffentlicht Render unter render.com/trust.
Zusätzlich zur Sicherung des Hosters entsteht jede Nacht ein eigenes, vor dem Verlassen des Servers verschlüsseltes Backup. Es wird bei Hetzner Online in Falkenstein gespeichert. Dort ist es 30 Tage gegen Ändern und Löschen gesperrt. Der Entschlüsselungsschlüssel liegt nicht auf den Anwendungsservern.
E-Mails aus Banana CRM, darunter die Hinweise zur Testphase, werden über Brevo versendet. Öffentlich verfügbare Firmenlogos werden über Logo.dev abgerufen; dazu wird die hinterlegte Website-Domain der jeweiligen Firma übermittelt.
Auftragsverarbeitungsverträge bestehen bzw. werden mit den genannten Stellen geschlossen, soweit erforderlich. Bei Drittlandbezug EU-US Data Privacy Framework und/oder Standardvertragsklauseln.
Weitere Empfänger nur soweit nötig: Steuerberatung, Buchhaltung, Kreditinstitute, Behörden. Keine Weitergabe zu Werbezwecken Dritter.

Unterauftragsverarbeiter (Stand 21. Oktober 2026)
Carrd – Bereitstellung der Website
Render Services, Inc. – Hosting von Anwendung und Datenbank (Frankfurt; Verarbeitung auch USA laut DPA)
Hetzner Online – Speicherung der verschlüsselten eigenen Backups (Falkenstein)
Brevo – Versand von E-Mails aus Banana CRM
Logo.dev – Abruf öffentlich verfügbarer Firmenlogos
X.AI LLC (in den aktuellen Vertragsbedingungen SpaceXAI LLC), 1450 Page Mill Road, Palo Alto, Kalifornien, USA – KI-Auswertung mit Grok, nur wenn der Kunde die KI einschaltet oder sie ausprobiert, Mail-Entwürfe bei eingeschalteter KI sowie die Sortierung von Rechnungstexten im Handwerk-Modus (Ziffer 5a)

5a. KI-Auswertung (Reiter „KI“)
Schaltet ein Kunde im Reiter „KI“ die KI ein, nutzt Banana CRM den KI-Dienst Grok. Empfänger und Auftragsverarbeiter ist X.AI LLC (in den aktuellen Vertragsbedingungen SpaceXAI LLC), 1450 Page Mill Road, Palo Alto, Kalifornien, USA, Anbieter von Grok.
Zweck: Banana CRM sucht für den Kunden bei seinen Firmen nach öffentlichen Meldungen, die ein guter Anlass für eine Kontaktaufnahme sind (z. B. neuer Standort, neues Projekt, neue Geschäftsführung), und wertet neue Meldungen auf bis zu zehn vom Kunden selbst eingetragenen Websites aus. Gefundene Anlässe erscheinen als „Aufgabe von Banana“ in der Aufgabenliste.
Übermittelt werden ausschließlich: Firmenname, Ort und Website der Firmen im Konto des Kunden, öffentliche Meldungstexte von Websites und die Angabe des Kunden zu seiner Leistung („Unsere Leistung“). Name, Ort und Website der eigenen Firma des Kunden werden nur übermittelt, wenn er auf „Banana einen Vorschlag machen lassen“ klickt, um sich die Angabe zu seiner Leistung vorschlagen zu lassen. Trägt der Kunde eine eigene Website ein, prüft Banana CRM sie; ist dabei unklar, ob dort Meldungen stehen, wird der öffentliche Text dieser Website an die KI übermittelt. Für die Suche nicht übermittelt werden Ansprechpartner, E-Mail-Adressen, Telefonnummern, Notizen und E-Mail-Inhalte (zum Mail-Entwurf siehe unten). E-Mail-Adressen und Telefonnummern werden vor der Übermittlung auch aus öffentlichen Meldungstexten und aus der Angabe des Kunden entfernt.
„Mal gratis ausprobieren“: Auch ohne eingeschaltete KI kann der Kunde die Suche höchstens dreimal je Konto ausprobieren. Je Versuch werden Name, Ort und Website von zehn Firmen aus seinem Konto sowie, falls ausgefüllt, seine Angabe zu seiner Leistung übermittelt. Der Klick auf „Mal gratis ausprobieren“ gilt als Zustimmung für diese zehn Firmen.
Die Verarbeitung erfolgt nur, wenn der Kunde die KI einschaltet oder ausprobiert, und nur, solange er sie nutzt. Die Ergebnisse (Überschrift, Kurzgrund, Link zur Meldung) speichert Banana CRM im Konto des Kunden; zu jedem KI-Aufruf werden nur Zeitpunkt, Zweck, Modell, Mengenangaben und Kosten ohne Inhalte protokolliert.
Sortierung von Rechnungstexten (Handwerk-Modus): Ist für ein Konto der Handwerk-Modus eingerichtet und importiert der Kunde Rechnungen, ordnet die KI die Rechnungstexte (z. B. „Anstrich Treppenhaus inkl. Material“) einmalig wenigen Leistungen zu (z. B. „Treppenhaus streichen“). Übermittelt werden ausschließlich die Rechnungstexte und die Namen bereits vorhandener Leistungen, nicht Namen, Adressen, Beträge, Rechnungsnummern oder Zahlungsstatus. E-Mail-Adressen und Telefonnummern werden vorher aus den Texten entfernt. Bereits zugeordnete Texte werden nicht erneut übermittelt. Die Zuordnung speichert Banana CRM im Konto des Kunden.
Mail-Entwurf: Klickt der Kunde bei eingeschalteter KI an einer Aufgabe auf „Mail-Entwurf“, schreibt die KI einen kurzen Entwurf für eine E-Mail, die der Kunde in seinem eigenen Mailprogramm prüft und selbst versendet. Je Klick übermittelt werden der Anlass der Aufgabe (Meldung, Wiedervorlage oder Aufgabentext), die letzten bis zu zehn Einträge des Verlaufs zu diesem Kontakt (Notizen, E-Mails, Aufgaben) in gekürzter Form, im Handwerk-Modus die früheren Aufträge (Leistung und Jahr), der Firmenname und die Angabe des Kunden zu seiner Leistung. Vorher ersetzt Banana CRM in einer nur für diesen Aufruf erstellten Kopie die Namen der Ansprechpartner und Nutzer, weitere erkennbare Personennamen, E-Mail-Adressen, Telefonnummern und Anschriften durch neutrale Ersatzbegriffe; die echten Namen setzt Banana CRM erst nach der Antwort in seinem eigenen System wieder ein. Freitext in Notizen und E-Mails kann trotzdem vereinzelt persönliche Angaben enthalten, die sich nicht automatisch erkennen lassen. Der Entwurf wird weder gespeichert noch im Verlauf abgelegt; versendet wird nur, was der Kunde selbst aus seinem Mailprogramm schickt.
Es gilt der Datenverarbeitungsvertrag von xAI (x.ai/legal/data-processing-addendum, Fassung vom 22.09.2026). Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln, Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter); soweit Banana selbst Verantwortlicher ist, Modul 2.
Die KI legt nur Aufgaben an; ob und wann er sich meldet, entscheidet der Kunde. Eine Aufgabe von Banana kann er jederzeit mit „Nicht melden“ entfernen.

6. Drittland
Übermittlungen außerhalb der EU/des EWR nur nach Art. 44 ff. DSGVO. Ein Serverstandort in Frankfurt allein schließt Support- oder Konzernzugriffe nicht aus. Eine Zusicherung „ausschließlich EU, keinerlei US-Bezug" wird nicht gegeben.

7. Speicherdauer
Testphase ohne Abschluss: Nach Ende der Testphase ist der Zugang bis zum Abschluss gesperrt, der Export bleibt möglich. 60 Tage nach Ende der Testphase werden alle Daten des Kontos endgültig gelöscht, einschließlich CRM-Daten, Nutzerkonten, Protokollen und Zustimmungsnachweisen. Vorher erhält der Kunde Hinweise per E-Mail. Verschiebt der Anbieter die Löschung auf Wunsch des Kunden, verlängert sich die Frist entsprechend. Als Nachweis der Löschung bleiben nur der Firmenname, eine interne Kennung ohne Personenbezug und der Zeitpunkt der Löschung gespeichert. Verwaltungseinträge im Betreiberprotokoll (z. B. Aufruf des Kontos durch den Anbieter) enthalten keine CRM-Inhalte und bleiben bestehen.
Vorbereitetes Konto ohne Annahme: 30 Tage nach seiner Anlage werden alle Daten des Kontos endgültig gelöscht. Als Nachweis bleiben nur Firmenname, eine interne Kennung ohne Personenbezug und der Zeitpunkt der Löschung im Betreiberprotokoll.
Kontodaten bei kostenpflichtiger Nutzung: Vertragslaufzeit, danach soweit Aufbewahrungspflichten (häufig bis zu zehn Jahre für Rechnungen und Buchhaltung).
CRM-Daten des Kunden: während der Testphase und der Laufzeit; gelöschte Einträge bleiben 90 Tage wiederherstellbar und werden danach entfernt. Nach Ende eines kostenpflichtigen Vertrags Exportfrist 30 Tage, anschließend Löschung.
Backups: Das Hetzner-Backup bleibt bis zu 30 Tage unveränderbar und wird nicht für den laufenden Betrieb genutzt. Gelöschte Daten können bis zu 30 Tage in diesen Sicherungen enthalten sein. Der Hoster kann eigene, zeitlich begrenzte Sicherungen vorhalten. Versandprotokolle beim E-Mail-Dienst werden nach dessen Speicherfristen gelöscht.
Sicherheits- und Zugangsprotokolle: Anmeldeversuche werden nach 7 Tagen gelöscht. Das Änderungsprotokoll eines Kontos besteht für die Dauer der Nutzung und wird mit dem Konto gelöscht. Länger nur bei konkretem Vorfall oder gesetzlicher Pflicht.

8. Website-Technologien
Technisch notwendige Speicherung für Sitzung und Login kann erforderlich sein. Cookies, Analyse, Captcha oder schriftanbietende Drittdienste werden nur aufgeführt, wenn sie tatsächlich eingesetzt werden. Banana CRM speichert im Browser außerdem einige Ansichts-Einstellungen, die du selbst wählst (z. B. sichtbare Listenspalten, Voreinstellungen beim Nachhalten), sowie kurzzeitige Merker, die beim Schließen des Tabs verfallen. Diese Angaben verlassen deinen Browser nicht und dienen nur der Bedienung.
Anonyme Besucherzählung: Aufrufe der Demo sowie der Registrierungs- und der Login-Seite werden ohne Cookies und ohne Drittdienste gezählt. Gespeichert werden nur der Tag, die aufgerufene Seite und die Herkunft als Kurzangabe (Domain der verweisenden Seite oder ein Kürzel aus dem Link, z. B. „linkedin"). Damit ein Besucher je Seite und Tag nur einmal zählt, wird aus IP-Adresse und Browserkennung zusammen mit einem täglich wechselnden Zufallswert ein nicht umkehrbarer Hashwert gebildet; die IP-Adresse selbst wird dafür nicht gespeichert, Zufallswert und Hashwerte werden nach Tagesende gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung des eigenen Angebots).

9. Keine Weitergabe zu fremden Zwecken
Kein Verkauf von Kundendaten, keine Weitergabe an Dritte zu deren Werbung oder sonstigen eigenen Zwecken. Technische Auftragsverarbeitung und gesetzliche Pflichten bleiben unberührt.

10. Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Kontakt: die oben genannte E-Mail. Beschwerde bei einer Aufsichtsbehörde, für den Anbieter etwa bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
Personen, deren Daten ein Kunde in Banana CRM gespeichert hat, wenden sich an diesen Kunden. Der Anbieter leitet erkennbare Anfragen weiter und unterstützt im Rahmen des AVV.

11. Pflichtangaben
Firmenname, E-Mail-Adresse und Passwort sind für die Testphase erforderlich. Anschrift und Land sind erst für den kostenpflichtigen Abschluss erforderlich, die USt-ID ist freiwillig. Ohne die erforderlichen Angaben wird kein Konto eingerichtet bzw. kein Abschluss vorgenommen.

12. Automatisierte Entscheidungen
Keine automatisierte Entscheidung einschließlich Profiling nach Art. 22 DSGVO. Das automatische Ende der Testphase und die Löschung nach Fristablauf folgen allein den hier beschriebenen festen Fristen. Die KI-Auswertung nach Ziffer 5a legt nur Aufgaben zu öffentlichen Meldungen über Firmen an; ob und wann er sich meldet, entscheidet der Kunde.

13. Änderungen
Anpassungen bei Änderung von Technik, Verarbeitung oder Recht. Wesentliche Änderungen werden Kunden in Textform mitgeteilt.