Datenschutzerklärung
Banana CRM · Fassung 2026-10-26

1. Verantwortlicher
Verantwortlich für Website, Registrierung, Testphase, Kundenkonto, Rechnung und den Betrieb als Anbieter:
Banana CRM, Martin Elmentaler, Einzelunternehmen, Hittfeldstraße 40, 45478 Mülheim an der Ruhr, E-Mail martin.elmentaler@bananacrm.de, Telefon 0179 7376 872.
Für Kontaktdaten und sonstige CRM-Inhalte, die ein Kunde in Banana CRM speichert, ist der jeweilige Kunde Verantwortlicher. Banana CRM verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO, auch während der Testphase.

2. Gegenstand
Diese Erklärung betrifft die Verarbeitung durch den Anbieter selbst. Sie ersetzt nicht den AVV und nicht die Informationspflichten des Kunden gegenüber seinen Ansprechpartnern.

3. Datenarten
3.1 Registrierung und Testphase
Bei der Registrierung: Firmenname, E-Mail-Adresse und Passwort (gespeichert nur als Hashwert). Im ersten Schritt danach: der Name der Person. Dazu Beginn und Ende der Testphase sowie, wenn Nutzer eingeladen werden, deren Name und E-Mail-Adresse.
3.1a Vorbereitung eines Kontos
Bereitet der Anbieter auf Wunsch eines Kunden oder im Rahmen einer Einladung ein Konto vor, verarbeitet er den Firmennamen des Kunden, Firmendaten (Firmen, Websites, Beschreibungen, Filter, Aufgaben) sowie Name und geschäftliche E-Mail-Adresse der vorgesehenen Vertriebsleitung. Weitere Nutzer sowie Ansprechpartner und deren Kontaktdaten werden in diesem Stadium nicht verarbeitet. Bis zur Annahme ist der Anbieter hierfür Verantwortlicher. Der Zugangslink wird nur als Hashwert gespeichert und vom Anbieter selbst, nicht von Banana CRM, verschickt. Änderungen, die der Anbieter während der Vorbereitung vornimmt, werden im Änderungsprotokoll des Kontos als „Einrichtung durch Banana CRM“ gekennzeichnet.
3.2 Kostenpflichtiger Abschluss
Erst wenn der Kunde Banana CRM kostenpflichtig weiter nutzt: Firmenanschrift, Land, ggf. USt-ID, Nutzerzahl, Zeitpunkt des Abschlusses und die abschließende Person. Später ggf. Änderungs- und Kündigungsdaten.
3.3 Nachweis der Zustimmungen
Bei Registrierung, Annahme eines vorbereiteten Kontos und Abschluss speichern wir den angezeigten Wortlaut, die Fassungen von AGB, Datenschutzerklärung und AVV, den Zeitpunkt, die E-Mail-Adresse und die IP-Adresse, um die Zustimmung nachweisen zu können.
3.4 Betrieb und Sicherheit
Login-Zeitpunkte, IP-Adresse bei Zugang und sicherheitsrelevanten Ereignissen, grobe Browser-/Geräteinformationen, Fehler- und Sicherheitsprotokolle, soweit erforderlich.
3.5 CRM-Daten des Kunden
Vom Kunden eingegebene Firmen-, Kontakt-, Aufgaben-, Notiz-, Import- und E-Mail-Inhalte, vom Kunden hochgeladene Dokumente (PDF-Dateien) sowie, soweit Postfächer angebunden sind, die dafür erforderlichen Zugangs- und Verbindungsdaten. Keine eigene Werbung, kein Verkauf, keine Weitergabe an Dritte zu deren Zwecken.
3.6 Rechnung und Buchhaltung
Nur bei kostenpflichtiger Nutzung: Rechnungsdaten, Zahlungsstatus, geschäftliche Korrespondenz zur Abrechnung.

4. Zwecke und Rechtsgrundlagen
Art. 6 Abs. 1 lit. b DSGVO: Konto, Testphase, Bereitstellung, Vertrag, Nutzerverwaltung, Kommunikation, einschließlich der E-Mails zum Ende der Testphase und vor der Löschung;
Art. 6 Abs. 1 lit. f DSGVO: Name und geschäftliche E-Mail-Adresse der vorgesehenen Vertriebsleitung bei der Vorbereitung eines Kontos (Einladung zur Nutzung), bei Vorbereitung auf Wunsch des Kunden zusätzlich Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme);
Art. 6 Abs. 1 lit. c DSGVO: handels- und steuerrechtliche Pflichten;
Art. 6 Abs. 1 lit. f DSGVO: IT-Sicherheit, Missbrauchserkennung, Nachweis der Zustimmungen und Löschungen, Rechtsverteidigung;
Art. 28 DSGVO i. V. m. dem AVV: CRM-Daten des Kunden, einschließlich der KI-Auswertung nach Ziffer 5a, wenn der Kunde sie einschaltet.
Das Häkchen bei der Registrierung ist die Annahme der Vertragsbedingungen und des AVV, keine zusätzliche Einwilligung in eine Verarbeitung außerhalb des Vertrags.

5. Hosting und Empfänger
Die öffentliche Website (www.bananacrm.de) wird mit Carrd bereitgestellt und ist von der Anwendung getrennt.
Die Anwendung Banana CRM (app.bananacrm.de) und die dort gespeicherten Anwendungs- und Datenbankdaten werden bei Render Services, Inc. (USA) betrieben. Anwendung und Postgres-Primärdaten liegen in der Region Frankfurt. Nach dem Render-DPA findet wesentliche Verarbeitung auch in den USA statt; Garantien sind das EU-US Data Privacy Framework und hilfsweise die EU-Standardvertragsklauseln 2021. Subprozessoren veröffentlicht Render unter render.com/trust.
Zusätzlich zur Sicherung des Hosters entsteht jede Nacht ein eigenes, vor dem Verlassen des Servers verschlüsseltes Backup. Es wird bei Hetzner Online in Falkenstein gespeichert. Dort ist es 30 Tage gegen Ändern und Löschen gesperrt. Der Entschlüsselungsschlüssel liegt nicht auf den Anwendungsservern.
E-Mails aus Banana CRM, darunter die Hinweise zur Testphase, werden über Brevo versendet. Öffentlich verfügbare Firmenlogos werden über Logo.dev abgerufen; dazu wird die hinterlegte Website-Domain der jeweiligen Firma übermittelt.
Auftragsverarbeitungsverträge bestehen bzw. werden mit den genannten Stellen geschlossen, soweit erforderlich. Bei Drittlandbezug EU-US Data Privacy Framework und/oder Standardvertragsklauseln.
Weitere Empfänger nur soweit nötig: Steuerberatung, Buchhaltung, Kreditinstitute, Behörden. Keine Weitergabe zu Werbezwecken Dritter.
Wer aus einer Demo von Banana CRM im WhatsApp-Fenster auf „Senden“ klickt, öffnet WhatsApp mit einer vorbereiteten Beispielnachricht an uns und schreibt uns damit freiwillig über WhatsApp (Meta Platforms Ireland Limited); Banana CRM selbst überträgt dabei nichts an WhatsApp.

Unterauftragsverarbeiter (Stand 23. Oktober 2026)
Carrd – Bereitstellung der Website
Render Services, Inc. – Hosting von Anwendung und Datenbank (Frankfurt; Verarbeitung auch USA laut DPA)
Hetzner Online – Speicherung der verschlüsselten eigenen Backups (Falkenstein)
Brevo – Versand von E-Mails aus Banana CRM
Logo.dev – Abruf öffentlich verfügbarer Firmenlogos
X.AI LLC (in den aktuellen Vertragsbedingungen SpaceXAI LLC), 1450 Page Mill Road, Palo Alto, Kalifornien, USA – KI-Auswertung mit Grok, nur wenn der Kunde die KI einschaltet oder sie ausprobiert, bei eingeschalteter KI Mail- und WhatsApp-Entwürfe sowie die Einordnung eingehender E-Mails von Kontakten, außerdem die Sortierung von Rechnungstexten im Handwerk-Modus (Ziffer 5a)

5a. KI-Auswertung (Reiter „KI“)
Schaltet ein Kunde im Reiter „KI“ die KI ein, nutzt Banana CRM den KI-Dienst Grok. Empfänger und Auftragsverarbeiter ist X.AI LLC (in den aktuellen Vertragsbedingungen SpaceXAI LLC), 1450 Page Mill Road, Palo Alto, Kalifornien, USA, Anbieter von Grok.
Zweck: Banana CRM sucht für den Kunden bei seinen Firmen nach öffentlichen Meldungen, die ein guter Anlass für eine Kontaktaufnahme sind (z. B. neuer Standort, neues Projekt, neue Geschäftsführung), und wertet neue Meldungen auf bis zu zehn vom Kunden selbst eingetragenen Websites aus. Gefundene Anlässe erscheinen als „Aufgabe von Banana“ in der Aufgabenliste. Klickt der Kunde im Schreibfenster auf „Anlass suchen“, sucht Banana CRM auf diesen Klick hin nach Meldungen der letzten sechs Wochen zu genau dieser einen Firma; mit denselben übermittelten Daten wie unten. Ein Fund wird an der Firma im Konto des Kunden gespeichert und in den Entwurf übernommen. Bei der Suche nach Anlässen nennt die KI außerdem, nur wenn es verlässlich belegt ist, das Gründungsjahr der Firma und die Seite, auf der es steht (eigene Website, Impressum oder öffentliches Register). Banana CRM liest diese Seite selbst und speichert Gründungsjahr und Quelle an der Firma im Konto des Kunden nur, wenn Firma und Jahr dort stehen; ein rundes Firmenjubiläum erscheint dann als Anlass. Dafür werden keine weiteren Daten übermittelt.
Übermittelt werden ausschließlich: Firmenname, Ort und Website der Firmen im Konto des Kunden, öffentliche Meldungstexte von Websites und die beiden Angaben des Kunden zu seinem Betrieb („Was wir anbieten“ und „Wie wir Kontakte pflegen“). Name, Ort und Website der eigenen Firma des Kunden werden nur übermittelt, wenn er auf „Banana einen Vorschlag machen lassen“ klickt, um sich die Angabe „Was wir anbieten“ vorschlagen zu lassen. Trägt der Kunde eine eigene Website ein, prüft Banana CRM sie; ist dabei unklar, ob dort Meldungen stehen, wird der öffentliche Text dieser Website an die KI übermittelt. Für die Suche nicht übermittelt werden Ansprechpartner, E-Mail-Adressen, Telefonnummern, Notizen und E-Mail-Inhalte (zu Mail- und WhatsApp-Entwürfen und zur Einordnung eingehender E-Mails siehe unten). E-Mail-Adressen und Telefonnummern werden vor der Übermittlung auch aus öffentlichen Meldungstexten und aus den Angaben des Kunden entfernt.
„Mal gratis ausprobieren“: Auch ohne eingeschaltete KI kann der Kunde die Suche höchstens dreimal je Konto ausprobieren. Je Versuch werden Name, Ort und Website von zehn Firmen aus seinem Konto sowie, falls ausgefüllt, seine Angaben „Was wir anbieten“ und „Wie wir Kontakte pflegen“ übermittelt. Der Klick auf „Mal gratis ausprobieren“ gilt als Zustimmung für diese zehn Firmen.
Die Verarbeitung erfolgt nur, wenn der Kunde die KI einschaltet oder ausprobiert, und nur, solange er sie nutzt. Die Ergebnisse (Überschrift, Kurzgrund, Link zur Meldung) speichert Banana CRM im Konto des Kunden; zu jedem KI-Aufruf werden nur Zeitpunkt, Zweck, Modell, Mengenangaben und Kosten ohne Inhalte protokolliert.
Sortierung von Rechnungstexten (Handwerk-Modus): Ist für ein Konto der Handwerk-Modus eingerichtet und importiert der Kunde Rechnungen, ordnet die KI die Rechnungstexte (z. B. „Anstrich Treppenhaus inkl. Material“) einmalig wenigen Leistungen zu (z. B. „Treppenhaus streichen“). Übermittelt werden ausschließlich die Rechnungstexte und die Namen bereits vorhandener Leistungen, nicht Namen, Adressen, Beträge, Rechnungsnummern oder Zahlungsstatus. E-Mail-Adressen und Telefonnummern werden vorher aus den Texten entfernt. Bereits zugeordnete Texte werden nicht erneut übermittelt. Die Zuordnung speichert Banana CRM im Konto des Kunden.
Mail- und WhatsApp-Entwurf: Klickt der Kunde bei eingeschalteter KI an einer Aufgabe auf „Mail“ oder „WhatsApp“ (oder auf „Neu schreiben“), schreibt die KI einen kurzen Entwurf für eine E-Mail bzw. eine WhatsApp-Nachricht, die der Kunde selbst prüft und aus seinem eigenen Mailprogramm bzw. aus WhatsApp versendet. Ohne eingeschaltete KI geht nichts an die KI. Je Aufruf übermittelt werden der Anlass der Aufgabe (Meldung, Wiedervorlage oder Aufgabentext), die letzten bis zu zehn Einträge des Verlaufs zu diesem Kontakt (Notizen, E-Mails, Aufgaben) in gekürzter Form, bei Firmen mit gespeicherten Aufträgen die neuesten Aufträge (Leistung und Datum, nie Beträge) und nur die Angabe, ob die Zahlungen dazu reibungslos liefen (ja oder nein), Datum und Art des letzten Kontakts (z. B. „E-Mail vom Kunden“), weitere aktuelle Anlässe der Firma, der Firmenname und die beiden Angaben des Kunden zu seinem Betrieb („Was wir anbieten“ und „Wie wir Kontakte pflegen“), dazu, wenn Banana CRM die Firma an diesem Tag vorlegt, ein kurzer Grund dafür (z. B. Datum der letzten Ansprache, einer Antwort oder einer Nachricht mit Preisen) und gegebenenfalls ein mit „Anlass suchen“ gefundener Anlass. Vorher ersetzt Banana CRM in einer nur für diesen Aufruf erstellten Kopie die Namen der Ansprechpartner und Nutzer, weitere erkennbare Personennamen, E-Mail-Adressen, Telefonnummern und Anschriften durch neutrale Ersatzbegriffe; die echten Namen setzt Banana CRM erst nach der Antwort in seinem eigenen System wieder ein. Freitext in Notizen und E-Mails kann trotzdem vereinzelt persönliche Angaben enthalten, die sich nicht automatisch erkennen lassen. Der Entwurf wird nur im Konto des Kunden gespeichert, bis die Aufgabe erledigt ist, und nicht im Verlauf abgelegt. Ob eine Mail versendet wurde, erkennt Banana CRM nur über den Gesendet-Ordner eines verbundenen Postfachs; sonst hakt der Kunde die Aufgabe selbst ab. Beim Öffnen in WhatsApp übergibt der Browser die Handynummer und den Text über den offiziellen Link (wa.me) an WhatsApp; Banana CRM selbst überträgt nichts an WhatsApp.
Einordnung eingehender Kunden-Mails: Ist die KI eingeschaltet, ordnet Banana CRM jede eingehende E-Mail eines Kontakts, die in den letzten 14 Tagen im Konto gespeichert wurde (aus einem verbundenen Postfach oder von Hand gespeichert), einmal automatisch ein. Als Abwesenheitsnotiz erkannte E-Mails werden nicht übermittelt. Ohne eingeschaltete KI geht keine E-Mail an die KI. Auf Veranlassung des Anbieters kann für ein einzelnes Konto mit eingeschalteter KI zusätzlich je Firma die letzte eingegangene E-Mail der letzten sechs Monate einmalig eingeordnet werden. Je E-Mail übermittelt werden das aktuelle Datum, der Betreff und der Text der E-Mail ohne zitierte frühere Nachrichten, höchstens 2.000 Zeichen. Nicht übermittelt werden Absender- und Empfängeradresse, Kopfzeilen, Anhänge und der Firmenname aus dem Konto. Vorher ersetzt Banana CRM in einer nur für diesen Aufruf erstellten Kopie durch neutrale Ersatzbegriffe: die Namen der Kontakte dieser Firma und der Nutzer des Kontos, Personennamen nach einer Anrede oder einem Titel (z. B. „Frau“, „Herr“, „Dr.“, „Hallo“) und in der Zeile nach einer Grußformel, E-Mail-Adressen, Telefonnummern mit mindestens sieben Ziffern sowie Anschriften, die als Straße mit Hausnummer oder als Postleitzahl mit Ort erkennbar sind. E-Mail-Adressen und Telefonnummern werden unmittelbar vor der Übermittlung ein zweites Mal entfernt. Das ist keine Anonymisierung: Auch der so bereinigte Text kann personenbezogene Angaben enthalten, etwa Namen in anderer Schreibweise oder ohne Anrede, Funktionen, Firmen- und Ortsnamen, Termine oder persönliche Umstände, die der Absender selbst schreibt. Die KI liefert die Art der E-Mail (z. B. Interesse, Rückfrage, Zusage, Bitte um späteren Kontakt mit Zeitpunkt, Absage, automatische Nachricht, Ansprechpartner nicht mehr im Unternehmen), gegebenenfalls einen Zeitpunkt, eine Einschätzung ihrer Sicherheit und einen kurzen Satz zur Begründung. Banana CRM speichert diese Angaben an der E-Mail im Konto des Kunden und richtet danach aus, wann die Firma wieder vorgelegt wird, zum Beispiel ein Erinnerungstermin zum genannten Zeitpunkt oder bei eindeutiger Absage das Archiv; teilt die E-Mail mit, dass der Ansprechpartner nicht mehr im Unternehmen ist, wird er im Konto so markiert, und ein in der E-Mail genannter Nachfolger wird dem Kunden als Hinweis angezeigt (ermittelt in Banana CRM, nicht durch die KI). Zweck ist allein diese Einordnung für den Kunden.
Es gilt der Datenverarbeitungsvertrag von xAI (x.ai/legal/data-processing-addendum, Fassung vom 22.09.2026). Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln, Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter); soweit Banana selbst Verantwortlicher ist, Modul 2.
Die KI legt Aufgaben an und ordnet eingehende E-Mails ein; ob und wann er sich meldet, entscheidet der Kunde. Eine Aufgabe von Banana kann er jederzeit mit „Nicht melden“ entfernen.

6. Drittland
Übermittlungen außerhalb der EU/des EWR nur nach Art. 44 ff. DSGVO. Ein Serverstandort in Frankfurt allein schließt Support- oder Konzernzugriffe nicht aus. Eine Zusicherung „ausschließlich EU, keinerlei US-Bezug" wird nicht gegeben.

7. Speicherdauer
Testphase ohne Abschluss: Nach Ende der Testphase ist der Zugang bis zum Abschluss gesperrt, der Export bleibt möglich. 60 Tage nach Ende der Testphase werden alle Daten des Kontos endgültig gelöscht, einschließlich CRM-Daten, Nutzerkonten, Protokollen und Zustimmungsnachweisen. Vorher erhält der Kunde Hinweise per E-Mail. Verschiebt der Anbieter die Löschung auf Wunsch des Kunden, verlängert sich die Frist entsprechend. Als Nachweis der Löschung bleiben nur der Firmenname, eine interne Kennung ohne Personenbezug und der Zeitpunkt der Löschung gespeichert. Verwaltungseinträge im Betreiberprotokoll (z. B. Aufruf des Kontos durch den Anbieter) enthalten keine CRM-Inhalte und bleiben bestehen.
Vorbereitetes Konto ohne Annahme: 30 Tage nach seiner Anlage werden alle Daten des Kontos endgültig gelöscht. Als Nachweis bleiben nur Firmenname, eine interne Kennung ohne Personenbezug und der Zeitpunkt der Löschung im Betreiberprotokoll.
Kontodaten bei kostenpflichtiger Nutzung: Vertragslaufzeit, danach soweit Aufbewahrungspflichten (häufig bis zu zehn Jahre für Rechnungen und Buchhaltung).
CRM-Daten des Kunden: während der Testphase und der Laufzeit; gelöschte Einträge bleiben 90 Tage wiederherstellbar und werden danach entfernt. Nach Ende eines kostenpflichtigen Vertrags Exportfrist 30 Tage, anschließend Löschung.
Backups: Das Hetzner-Backup bleibt bis zu 30 Tage unveränderbar und wird nicht für den laufenden Betrieb genutzt. Gelöschte Daten können bis zu 30 Tage in diesen Sicherungen enthalten sein. Der Hoster kann eigene, zeitlich begrenzte Sicherungen vorhalten. Versandprotokolle beim E-Mail-Dienst werden nach dessen Speicherfristen gelöscht.
Sicherheits- und Zugangsprotokolle: Anmeldeversuche werden nach 7 Tagen gelöscht. Das Änderungsprotokoll eines Kontos besteht für die Dauer der Nutzung und wird mit dem Konto gelöscht. Länger nur bei konkretem Vorfall oder gesetzlicher Pflicht.

8. Website-Technologien
Technisch notwendige Speicherung für Sitzung und Login kann erforderlich sein. Cookies, Analyse, Captcha oder schriftanbietende Drittdienste werden nur aufgeführt, wenn sie tatsächlich eingesetzt werden. Banana CRM speichert im Browser außerdem einige Ansichts-Einstellungen, die du selbst wählst (z. B. sichtbare Listenspalten, Voreinstellungen beim Nachhalten), sowie kurzzeitige Merker, die beim Schließen des Tabs verfallen. Diese Angaben verlassen deinen Browser nicht und dienen nur der Bedienung.
Anonyme Besucherzählung: Aufrufe der Demo sowie der Registrierungs- und der Login-Seite werden ohne Cookies und ohne Drittdienste gezählt. Gespeichert werden nur der Tag, die aufgerufene Seite und die Herkunft als Kurzangabe (Domain der verweisenden Seite oder ein Kürzel aus dem Link, z. B. „linkedin"). Damit ein Besucher je Seite und Tag nur einmal zählt, wird aus IP-Adresse und Browserkennung zusammen mit einem täglich wechselnden Zufallswert ein nicht umkehrbarer Hashwert gebildet; die IP-Adresse selbst wird dafür nicht gespeichert, Zufallswert und Hashwerte werden nach Tagesende gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung des eigenen Angebots).

9. Keine Weitergabe zu fremden Zwecken
Kein Verkauf von Kundendaten, keine Weitergabe an Dritte zu deren Werbung oder sonstigen eigenen Zwecken. Technische Auftragsverarbeitung und gesetzliche Pflichten bleiben unberührt.

10. Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Kontakt: die oben genannte E-Mail. Beschwerde bei einer Aufsichtsbehörde, für den Anbieter etwa bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
Personen, deren Daten ein Kunde in Banana CRM gespeichert hat, wenden sich an diesen Kunden. Der Anbieter leitet erkennbare Anfragen weiter und unterstützt im Rahmen des AVV.

11. Pflichtangaben
Firmenname, E-Mail-Adresse und Passwort sind für die Testphase erforderlich. Anschrift und Land sind erst für den kostenpflichtigen Abschluss erforderlich, die USt-ID ist freiwillig. Ohne die erforderlichen Angaben wird kein Konto eingerichtet bzw. kein Abschluss vorgenommen.

12. Automatisierte Entscheidungen
Keine automatisierte Entscheidung einschließlich Profiling nach Art. 22 DSGVO. Das automatische Ende der Testphase und die Löschung nach Fristablauf folgen allein den hier beschriebenen festen Fristen. Die KI-Auswertung nach Ziffer 5a legt Aufgaben zu öffentlichen Meldungen über Firmen an. Die Einordnung eingehender E-Mails nach Ziffer 5a bestimmt nur, wann Banana CRM dem Kunden eine Firma wieder vorlegt, zum Beispiel eine Erinnerung zum genannten Zeitpunkt oder bei eindeutiger Absage das Archiv; der Kunde kann eine Firma jederzeit aus dem Archiv zurückholen. Ob und wann er sich meldet, entscheidet der Kunde.

13. Änderungen
Anpassungen bei Änderung von Technik, Verarbeitung oder Recht. Wesentliche Änderungen werden Kunden in Textform mitgeteilt.