cal.com — 55/100 (Mittleres Datenschutzrisiko)
Zuletzt analysiert
Cal.com, Inc. · cal.com
Berichtsdetails
Mittleres DatenschutzrisikoCal.com bietet standardmäßige DSGVO-Rechte und eine Unterauftragsverarbeiter-Liste, nennt jedoch nicht die Rechtsgrundlage für EU-US-Datenübermittlungen und schweigt zur Nutzung von Daten für das KI-Training.
Die Datenschutzrichtlinie zeigt ein gewisses Compliance-Bewusstsein, indem sie DSGVO-Rechte auflistet, einen Datenschutzbeauftragten (DPO) benennt und einen EU-Vertreter nennt. Sie weist jedoch erhebliche Lücken auf, die typisch für US-zentrierte Richtlinien sind, wie die Berufung auf vage 'angemessene Kontrollen' für internationale Datenübermittlungen ohne Nennung des Rechtsmechanismus. Darüber hinaus schweigt die Richtlinie völlig zum Training von KI-Modellen, obwohl das Unternehmen aktiv ein KI-Produkt (Cal.ai) vermarktet, und sie verwendet eine zu breite Sprache in Bezug auf die erhobenen personenbezogenen Daten.
Kategoriebewertung
Aufschlüsselung der Richtlinie nach zentralen Compliance-Bereichen. Gut = stark, mittel = gemischt, schlecht = bedenklich.
Erfasst Standard-Terminplanungsdaten, verwendet jedoch Werbe-Cookies und teilt E-Mails für Anzeigenabgleich, was über die strenge Erforderlichkeit hinausgeht.
Listet Unterauftragsverarbeiter und Rechte klar auf, aber die Kategorien der erhobenen personenbezogenen Daten sind vage definiert.
Unterauftragsverarbeiter sind gut dokumentiert, aber die Weitergabe von Daten an Werbeplattformen wie Google und Meta für Zielgruppenabgleich wirft Einwilligungsfragen auf.
Übermittelt EU-Daten explizit in die USA, nennt jedoch nicht den nach DSGVO Kapitel V erforderlichen rechtlichen Übermittlungsmechanismus.
Die Richtlinie schweigt völlig dazu, ob Nutzerdaten für das KI-Training verwendet werden, obwohl das Unternehmen ein KI-Produkt vermarktet.
Listet alle standardmäßigen DSGVO-Rechte klar auf, bietet eine DPO-Kontaktmöglichkeit und hat einen EU-Vertreter nach Artikel 27 benannt.
Wichtigste Befunde
Bemerkenswerte Klauseln, Probleme oder positive Praktiken (kritische zuerst)
Fehlende Rechtsgrundlage für internationale Übermittlungen
Die Richtlinie räumt ein, Daten in die USA zu übermitteln, zitiert jedoch keine Standardvertragsklauseln, Binding Corporate Rules oder das EU-US Data Privacy Framework, sondern verlässt sich auf vage Formulierungen zu 'angemessenen Kontrollen'.
Schweigen zu KI-Trainingspraktiken
Trotz der prominenten Bewerbung von 'Cal.ai' und KI-gestützten Anrufen enthält die Datenschutzrichtlinie absolut keine Offenlegung darüber, ob Nutzerdaten, Meeting-Inhalte oder Transkripte zum Training von KI-Modellen verwendet werden.
Vage Definition der Kategorien personenbezogener Daten
Die Richtlinie besagt, dass personenbezogene Daten 'einschließen können, aber nicht beschränkt sind auf: Cookies und Nutzungsdaten', und listet die spezifischen Kategorien der erhobenen personenbezogenen Daten (z. B. Name, E-Mail-Adresse) im Definitionsabschnitt nicht explizit auf, was gegen die Bestimmtheitsanforderungen von Artikel 13 Abs. 2 Buchst. a DSGVO verstößt.
Mehrdeutiges Werbe-Tracking und Einwilligung
Die Richtlinie räumt ein, Werbe-Cookies zu verwenden und E-Mails mit Werbeplattformen (Google, Meta, LinkedIn) für Zielgruppenabgleich zu teilen, was als US-exklusives Feature mit E-Mail-Opt-out dargestellt wird, klärt jedoch nicht, wie eine ausdrückliche Einwilligung nach DSGVO-Standard für EU-Nutzer eingeholt wird, die in diese Tracking-Netze geraten könnten.
Fazit für Nutzer
Ihre Daten werden wahrscheinlich unter unspezifiziertem rechtlichem Schutz in die USA übermittelt, und obwohl grundlegende DSGVO-Rechte angeboten werden, lässt die Richtlinie gefährliche Grauzonen in Bezug auf Werbe-Tracking und KI-Nutzung.
Compliance-Posture
Gemischte Compliance-Haltung; strukturelle DSGVO-Elemente sind vorhanden, aber es fehlen wesentliche Schutzmaßnahmen für internationale Übermittlungen und KI-Verarbeitung.
EU-Übermittlungen
Unzureichend. Die Richtlinie übermittelt Daten explizit in die USA, nennt jedoch keinen gültigen DSGVO-Übermittlungsmechanismus wie Standardvertragsklauseln oder das EU-US Data Privacy Framework.
Erkannte Signale
Konkrete Datenpunkte und Praktiken im Text identifiziert
Textbelege
Direkte Zitate aus der Richtlinie, die diese Befunde stützen
If you are located outside United States and choose to provide information to us, please note that we transfer the data, including Personal Data, to United States and process it there.
Personally identifiable information may include, but is not limited to: Cookies and Usage Data
For users located in the United States, we may share limited information—such as your email address—with advertising platforms including Google Ads, Meta (Facebook and Instagram), and LinkedIn.
Fehlend oder unklar
- Rechtsmechanismus für EU-US-Datenübermittlungen
- Spezifische Kategorien der erhobenen personenbezogenen Daten
- Offenlegungen zum KI-Modell-Training
- Speicherfristen für Daten
- Rechtsgrundlage für die Verarbeitung nach Artikel 6 DSGVO
Fragen zum Nachfragen
- Was ist der spezifische Rechtsmechanismus (z. B. Standardvertragsklauseln, EU-US Data Privacy Framework), der zur Autorisierung der Übermittlung von EU-Personendaten in die Vereinigten Staaten verwendet wird?
- Werden Nutzerdaten, einschließlich Buchungsinhalten, Video-Transkripten oder Anrufaufzeichnungen, zum Trainieren oder Verbessern der Cal.ai-Modelle oder anderer maschineller Lernalgorithmen verwendet?
- Wie wird die ausdrückliche Einwilligung von EU-Nutzern eingeholt, bevor Werbe-Cookies platziert oder ihre Daten mit Werbenetzwerken für Zielgruppenabgleich geteilt werden?
- Wie lauten die spezifischen Aufbewahrungsfristen für die verschiedenen Kategorien personenbezogener Daten, die Sie erheben?
Diese Analyse teilen
Jeder mit diesem Link kann das Ergebnis oben einsehen.
Entwickelt von DentroChat
100 % europäischer KI-Chat für alle
Chatte mit KI, arbeite mit Dateien, generiere Bilder und suche im Web. Daten bleiben in Europa.
Weitere analysierte Datenschutzerklärungen
Alle anzeigenbsky.social
55/100
Mittleres DatenschutzrisikoBluesky erhebt weitreichende Verhaltensdaten und speichert Ihre Direktnachrichten unverschlüsselt, sammelt aber Pluspunkte durch die Weigerung, Ihre Daten für zielgerichtete Werbung zu verkaufen, und durch eine solide DSGVO-Rechte-Infrastruktur.
Bericht ansehen →scaleway.com
55/100
Mittleres DatenschutzrisikoScaleway macht viel Aufhebens um die europäische Datensouveränität, aber diese Marketingseite bietet keinerlei tatsächliche Substanz einer Datenschutzrichtlinie, um diese Behauptungen zu untermauern.
Bericht ansehen →linkedin.com
55/100
Mittleres DatenschutzrisikoLinkedIn sammelt eine riesige Menge Ihrer Daten – einschließlich aus Ihren Kontakten, Kalendern und im gesamten Web –, nutzt diese zum Training von KI-Modellen ohne klare Opt-out-Möglichkeit, teilt sie umfassend mit Microsoft und Werbetreibenden und speichert sie breit gefächert, obwohl EU-Nutzer einigen zusätzlichen Schutz genießen.
Bericht ansehen →peerpush.com
55/100
Mittleres DatenschutzrisikoPeerPush hat starke Anonymisierungspraktiken für seine öffentlichen Analysen, fällt jedoch bei den DSGVO-Grundlagen zurück, da es keine Rechtsgrundlagen offenlegt, keinen EU-Vertreter hat und vage Sprache bei internationalen Datenübermittlungen verwendet.
Bericht ansehen →