Datenschutzerklärung

Version 2.0 · Stand: Juli 2026. Diese Erklärung gilt für die öffentlich zugänglichen Seiten der Dealmaker-CRM-Plattform (Login-/Auth-Seiten, Preis- und Vergleichsseiten, Lead-Formulare, Info-Seiten). Für Inhalte innerhalb einer Kundeninstanz gilt zusätzlich die Datenschutzerklärung des jeweiligen Kunden (Verantwortlicher). Zielmärkte: Deutschland und Schweiz.

1. Verantwortlicher / Anbieter

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und Art. 5 lit. j revDSG für die Verarbeitungen auf den öffentlichen Seiten dieser Plattform ist:

Strattons Oakmont LLC
1501 South Greeley Highway, Suite C
82007 Cheyenne, Wyoming
United States of America
Filing ID (Wyoming Secretary of State): 2026-001871090
Kontakt (allgemein & Datenschutz): oakmont-strattons@proton.me

1.1 Schweizer Vertretung (Art. 14 revDSG)

Für Anfragen betroffener Personen mit Sitz in der Schweiz erreichen Sie unsere Schweizer Vertretung unter:

Eskalator AG
UID: CHE-399.487.701
Churerstrasse 135
CH-8808 Pfäffikon SZ
Schweiz
Kontakt: oakmont-strattons@proton.me

1.2 EU-Vertreter (Art. 27 DSGVO)

Ein Vertreter in der Europäischen Union nach Art. 27 DSGVO ist derzeit noch nicht benannt. Bis zur Benennung wenden sich betroffene Personen mit Sitz in der EU bitte direkt an oakmont-strattons@proton.me. Wir werden die Benennung nachholen und diese Erklärung entsprechend aktualisieren.

2. Rollentrennung: Öffentliche Seiten vs. Kundeninstanzen

Strattons Oakmont LLC betreibt die Dealmaker-CRM-Plattform als Software-as-a-Service. Wir unterscheiden zwei Datenlagen:

• Öffentliche Plattform-Seiten (diese Seite, Login, Preise, Vergleich, Founder-Offer, Lead-Formulare): Verantwortlicher ist Strattons Oakmont LLC. Diese Erklärung beschreibt diese Verarbeitungen.
• Kundeninstanzen (Tenants): Personenbezogene Daten, die ein Kunde in seiner eigenen Instanz verarbeitet (z. B. Leads, Kontakte, Termine, Gesprächsaufzeichnungen), werden ausschließlich im Auftrag und nach Weisung des jeweiligen Kunden verarbeitet. Strattons Oakmont LLC ist insoweit Auftragsverarbeiterin nach Art. 28 DSGVO bzw. Art. 9 revDSG; der Kunde ist Verantwortlicher. Einzelheiten regelt der jeweilige Auftragsverarbeitungsvertrag (AVV) mit dem Kunden.

3. Konkrete Verarbeitungen auf den öffentlichen Seiten

3.1 Bereitstellung der Website / Server-Logfiles

Beim Aufruf verarbeitet unser Hosting (Cloudflare Workers, EU-Edge) automatisch technische Verbindungsdaten: IP-Adresse (gekürzt/anonymisiert, sobald technisch möglich), Zeitpunkt, User-Agent, Referrer, angefragte URL, HTTP-Statuscode.
Zweck: technische Bereitstellung, Missbrauchsabwehr, IT-Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, störungsfreien Betrieb).
Speicherdauer: maximal 30 Tage, danach Löschung/Anonymisierung. Bei einem konkreten Sicherheitsvorfall behalten wir uns eine begrenzte Verlängerung zur Aufklärung ausdrücklich vor.

3.2 Login / Authentifizierung

Bei der Anmeldung verarbeiten wir E-Mail-Adresse, Passwort-Hash sowie ggf. einen zweiten Faktor (TOTP, WebAuthn/Passkey) bzw. Trust-Marker für vertraute Geräte.
Zweck: Zugangssicherung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung); für MFA zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).
Speicherdauer: für die Dauer des Vertragsverhältnisses; Sicherheits-/Anmeldeprotokolle max. 90 Tage.

3.3 Social-Login (Google, Apple)

Auf Login-/Auth-Seiten stehen Anmeldungen über Google und Apple zur Verfügung. Beim Klick auf eine dieser Optionen werden Sie zum jeweiligen Anbieter geleitet; nach erfolgreicher Anmeldung erhalten wir von diesem: E-Mail-Adresse, Name (soweit freigegeben) sowie eine anbietereigene Nutzer-ID. Die Übermittlung erfolgt über den technischen Auth-Broker der Plattform.
Zweck: Kontenerstellung und -bindung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Datenschutzerklärungen der Anbieter (Google LLC, Apple Inc.) gelten zusätzlich.
Speicherdauer: für die Dauer des Kontos; bei Widerruf/Löschung gemäß Ziffer 7.

3.4 Lead-Formulare (Vergleich-Anfrage, Vergleich-Report)

Auf /vergleich-anfrage und /vergleich-report verarbeiten wir die freiwillig angegebenen Felder (Name, Firma, E-Mail, Telefon, Teamgröße, Rolle, Anliegen, freier Nachrichtentext, optionaler Newsletter-Opt-in). Zusätzlich verarbeiten wir zu Missbrauchsabwehr einen Honeypot, das ALTCHA-Challenge-Token sowie UTM-Parameter (Herkunft der Kampagne).
Zweck: Beantwortung der Anfrage, Zusendung des angeforderten Reports, ggf. Kontaktaufnahme durch Vertrieb. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung); für Newsletter-Opt-in Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerruflich).
Empfänger: ActiveCampaign LLC (Postmark, USA) für den E-Mail-Versand; Eskalator AG (CH) als Schweizer Vertriebspartner erhält Zugriff auf Leads mit CH-Bezug (siehe Ziffer 5).
Speicherdauer: Lead bis Abschluss/Abbruch der Kontaktstrecke, danach max. 24 Monate; bei Vertragsabschluss gelten längere handels-/steuer- rechtliche Fristen (bis zu 10 Jahre, § 147 AO / OR 958f).

3.5 Kontaktaufnahme per E-Mail

Bei Kontakt an oakmont-strattons@proton.me verarbeiten wir die von Ihnen übermittelten Inhalte zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO. Speicherdauer: bis zum Ende der Bearbeitung, ggf. plus gesetzliche Aufbewahrungsfristen.

3.6 Cookies und lokale Speichermechanismen

Diese öffentlichen Seiten setzen keine Tracking-, Marketing- oder Analyse-Cookies und binden keine externen Font-CDNs, Analytics- oder Consent-Banner ein. Wir verwenden ausschließlich technisch notwendige Speichermechanismen:

• sb-<ref>-auth-token (localStorage): Supabase-Session nach Login — technisch notwendig.
• pvb:active-org (localStorage): aktive Organisation nach Login — technisch notwendig.
• pvb:passkey-verified (sessionStorage): Marker für aktive Passkey-Session — technisch notwendig.
• oauth_redirect_to (sessionStorage): Ziel-URL nach OAuth-Rückkehr — technisch notwendig.
• Theme-Präferenz (localStorage): Hell-/Dunkelmodus.
• Versionsbanner-Marker (localStorage): einmalige Ausblendung eines Hinweisbanners.

Da ausschließlich technisch notwendige Mechanismen zum Einsatz kommen, ist keine Einwilligung nach § 25 Abs. 1 TDDDG (DE) bzw. Art. 45c FMG (CH) erforderlich (Ausnahme § 25 Abs. 2 Nr. 2 TDDDG).

4. Hosting / Speicherort

Datenbank und Objektspeicher werden bei Supabase Inc. in der Europäischen Union (Region Frankfurt am Main) betrieben. Anwendungs-Frontend und Edge-Logik laufen auf dem Cloudflare-Workers-Netz, mit EU-Edge-Präferenz; US-Points-of-Presence können bei Ausfällen einspringen. Transaktions-E-Mails werden über Postmark (ActiveCampaign LLC, USA) versandt.

5. Empfänger / Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Auftragsverarbeiter ein. Alle Verarbeiter sind vertraglich nach Art. 28 DSGVO bzw. Art. 9 revDSG gebunden.

6. Übermittlung in Drittländer (USA)

Anbieter der Plattform ist eine Gesellschaft mit Sitz in den USA. Soweit im Rahmen von Betrieb, Support und Auftragsverarbeitung ein Zugriff aus den USA erfolgt, gelten:

• Für die oben genannten DPF-zertifizierten Empfänger: Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Die aktuelle Zertifizierungsliste ist einsehbar unter dataprivacyframework.gov.
• Für Strattons Oakmont LLC selbst (aktuell keine DPF-Zertifizierung): Übermittlung auf Grundlage der Standardvertragsklauseln der EU-Kommission (Modul 3/4, Durchführungsbeschluss (EU) 2021/914) in Verbindung mit einem Transfer-Impact-Assessment sowie den intern getroffenen technischen und organisatorischen Zusatzmaßnahmen (Verschlüsselung, strikte Rollen- und Zugriffskontrolle, EU-Datenlage).

Für die Übermittlung an die Eskalator AG in die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Schweiz gilt als sicheres Drittland).

7. Betroffenenrechte

Sie haben — vorbehaltlich der jeweiligen gesetzlichen Voraussetzungen — folgende Rechte:

• Auskunft (Art. 15 DSGVO / Art. 25 revDSG)
• Berichtigung (Art. 16 DSGVO / Art. 32 revDSG)
• Löschung (Art. 17 DSGVO / Art. 32 Abs. 2 lit. c revDSG)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO / Art. 28 revDSG)
• Widerspruch (Art. 21 DSGVO) und Widerruf erteilter Einwilligungen
• Nicht-automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO / Art. 21 revDSG)

Ausübung per E-Mail an oakmont-strattons@proton.me. Für personenbezogene Daten innerhalb einer Kundeninstanz ist der jeweilige Kunde Ihr erster Ansprechpartner.

8. Beschwerderecht bei Aufsichtsbehörden

Betroffene Personen mit Sitz in der EU können sich an die Datenschutzaufsichtsbehörde ihres gewöhnlichen Aufenthaltsorts oder des Orts der behaupteten Verletzung wenden.
Betroffene Personen mit Sitz in der Schweiz können sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

9. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Verarbeitungen, Empfänger oder Rechtsgrundlagen ändern. Die jeweils aktuelle Fassung ist unter dieser URL abrufbar. Version 2.0 · Stand: Juli 2026.

Impressum · Nutzungsbedingungen · Open-Source-Lizenzen