calendly.com — 65/100 (Mittleres Datenschutzrisiko)
Zuletzt analysiert
Calendly, LLC · calendly.com
Berichtsdetails
Mittleres DatenschutzrisikoCalendly erfasst eine breite Palette personenbezogener und Nutzungsdaten, teilt diese mit Werbepartnern und bietet zwar Standard-EU-Rechte und Übermittlungsmechanismen an, aber die vagen Aufbewahrungsfristen und das Schweigen zum KI-Training für die Notetaker-Funktion sind besorgniserregend.
Die Datenschutzerklärung unterscheidet klar zwischen Calendlys Rolle als Verantwortlichem und Auftragsverarbeiter und bietet robuste Mechanismen für internationale Datenübermittlungen (DPF, SCCs) und Nutzerrechte. Sie weist jedoch erhebliche Transparenzmängel hinsichtlich der Nutzung hochsensibler Daten (Meeting-Transkripte/-Aufzeichnungen) für potenzielles KI-Training, zu weit gefasster Aufbewahrungsfristen und umfangreichem Tracking sowie der Weitergabe an Werbenetzwerke von Drittanbietern auf.
Kategoriebewertung
Aufschlüsselung der Richtlinie nach zentralen Compliance-Bereichen. Gut = stark, mittel = gemischt, schlecht = bedenklich.
Erfasst Standard-Konto- und Abrechnungsdaten, sammelt aber auch umfangreiche Tracking-Daten, Lead-Generierungsdaten von Drittanbietern und sensible Meeting-Inhalte, was über das strikt Notwendige hinausgehen kann.
Führt Datentypen und Weitergabe-Partner klar auf, klärt aber nicht darüber auf, ob sensible Meeting-Transkripte für das KI-Training verwendet werden, und verwendet eine zu vage Sprache für die Datenaufbewahrung.
Umfangreiche Weitergabe an Werbe- und Analysepartner (Facebook Pixel, Clearbit, MNTN, Google Analytics) und Session-Replay-Tools; gibt ausdrücklich zu, Daten im Sinne der CCPA-Definitionen zu 'verkaufen' oder zu 'teilen'.
Verlässt sich ausdrücklich auf das EU-U.S. Data Privacy Framework, Standardvertragsklauseln und den UK-Anhang und stellt Kontaktdaten von EU/UK-Vertretern zur Verfügung.
Die Richtlinie schweigt völlig dazu, ob die über die Notetaker-Funktion erfassten Meeting-Transkripte, -Aufzeichnungen und -Zusammenfassungen für das Training von KI-Modellen verwendet werden, was eine große Transparenzlücke darstellt.
Führt DSGVO-Rechte umfassend auf (Auskunft, Löschung, Portabilität, Widerspruch), bietet ein Privacy Center für Anfragen, berücksichtigt GPC-Signale und bietet Cookie-Verwaltungstools an.
Wichtigste Befunde
Bemerkenswerte Klauseln, Probleme oder positive Praktiken (kritische zuerst)
Schweigen zum KI-Training mit sensiblen Meeting-Daten
Die Richtlinie gibt ausdrücklich an, dass Calendly 'virtuelle Meeting-Aufzeichnungen, Transkripte und Zusammenfassungen' als Kundendaten verarbeitet. Sie schweigt jedoch völlig dazu, ob diese hochsensiblen Daten für das Training von Calendlys KI-Modellen verwendet werden, was einen erheblichen Transparenzmangel nach den Grundsätzen der Zweckbindung und Fairness der DSGVO darstellt.
Vage und zu weit gefasste Aufbewahrungsfristen
Die Richtlinie besagt, dass Daten 'so lange aufbewahrt werden, wie es vernünftigerweise erforderlich ist, um die Zwecke zu erfüllen... und für alle geltenden Verjährungsfristen'. Diese allgemeine Klausel liefert nicht die spezifischen Aufbewahrungszeiträume, die nach Artikel 5 Absatz 1 Buchstabe e DSGVO erforderlich sind, sodass Nutzer nicht wissen, wie lange ihre Daten gespeichert bleiben.
Umfangreiches Drittanbieter-Tracking und Werbung
Calendly teilt Nutzerkennungen und Internetaktivitäten mit gezielten Werbe- und Analysepartnern wie Facebook Pixel, Clearbit und MNTN. Die Richtlinie räumt ein, dass dies einen 'Verkauf' oder eine 'Weitergabe' im Sinne der CCPA darstellt, was bedeutet, dass EU-Nutzer streng auf Cookie-Einwilligungsbanner angewiesen sind, um unautorisiertes Tracking nach der DSGVO zu verhindern.
Verwischung der Grenzen zwischen Verantwortlichem und Auftragsverarbeiter über Nutzungsdaten
Während Calendly behauptet, für Kundendaten ein Auftragsverarbeiter zu sein, erfasst es auch 'Nutzungsdaten' (z. B. 'wie viele Meetings pro Tag geplant werden', 'ob das Meeting aufgezeichnet wurde'), um 'die Dienste zu überwachen und zu verbessern'. Diese duale Nutzung von Kundenereignisdaten für Calendlys eigene Produktentwicklung verwischt die Grenze zwischen Verantwortlichem und Auftragsverarbeiter und kann den ursprünglichen Erhebungszweck überschreiten.
Fazit für Nutzer
Ihre Meeting-Aufzeichnungen und -Transkripte werden erfasst, aber es ist unklar, ob Calendly diese für das KI-Training nutzt. Sie werden auf der Website von Drittanbieter-Werbetreibenden wie Facebook und Google getrackt, und Ihre Daten werden in die USA übermittelt, obwohl Schutzmaßnahmen bestehen.
Compliance-Posture
Gemischte Compliance-Haltung. Starke strukturelle Elemente (DPF-Zertifizierung, Verwendung von SCCs, EU/UK-Vertreter) werden durch vage Aufbewahrungsrichtlinien, mehrdeutige KI-Nutzung und umfangreiches Drittanbieter-Tracking untergraben, das unter der DSGVO möglicherweise ein strenges Einwilligungsmanagement erfordert.
EU-Übermittlungen
Angemessene Schutzmaßnahmen angegeben. Verlässt sich auf das EU-U.S. Data Privacy Framework, die UK-Erweiterung, das Swiss-U.S. DPF und Standardvertragsklauseln (SCCs) mit einem UK-Anhang. EU- und UK-Vertreter werden ausdrücklich benannt.
Erkannte Signale
Konkrete Datenpunkte und Praktiken im Text identifiziert
Textbelege
Direkte Zitate aus der Richtlinie, die diese Befunde stützen
When customers use our Services, they may process certain Personal Data, such as... virtual meeting recordings, transcripts and summaries, and other information about you.
We retain the Personal Data we collect for so long as is reasonably necessary to fulfill the purposes for which the data was collected... and for any applicable statute of limitations periods for the purposes of bringing and defending claims.
We may also disclose information or allow third parties to directly collect information using third party cookies and related tracking technologies... such as social media companies, advertising networks... We may sell or share information to the extent our use of Cookies and tracking technologies for targeted advertising or analytics purposes constitutes a “sale” or “share” under the CCPA.
We rely on the EU-U.S. Data Privacy Framework, Standard Contractual Clauses and the UK Addendum to legally transfer Personal Data submitted relating to individuals in the European Economic Area, the United Kingdom, and Switzerland.
Fehlend oder unklar
- Keine ausdrückliche Erwähnung, ob Meeting-Transkripte oder -Aufzeichnungen für das KI-Modelltraining verwendet werden.
- Keine spezifischen Aufbewahrungspläne für verschiedene Kategorien personenbezogener Daten.
- Keine Details zu Datenschutz-Folgenabschätzungen (DSFA) für die Notetaker-Funktion, die sensible Meeting-Inhalte verarbeitet.
- Keine Erwähnung von automatisierten Entscheidungen oder Profiling mit rechtlicher Wirkung.
Fragen zum Nachfragen
- Werden die über die Notetaker-Funktion erfassten Meeting-Transkripte und -Zusammenfassungen für das Training von Calendlys KI-Modellen verwendet, und wenn ja, wie können Nutzer dies ablehnen?
- Wie lauten die spezifischen Aufbewahrungsfristen für Kontodaten, Nutzungsdaten und Meeting-Aufzeichnungen/-Transkripte?
- Wie stellt Calendly sicher, dass seine eigenen Nutzungsanalysen (Verarbeitung als Verantwortlicher) nicht die Rechte der Betroffenen verletzen, deren Daten es streng im Auftrag von Kunden verarbeitet?
- Setzt Calendly dieselben Standardvertragsklauseln und Datenschutzpflichten bei den Werbepartnern von Drittanbietern durch, mit denen es Nutzerdaten teilt?
Diese Analyse teilen
Jeder mit diesem Link kann das Ergebnis oben einsehen.
Entwickelt von DentroChat
100 % europäischer KI-Chat für alle
Chatte mit KI, arbeite mit Dateien, generiere Bilder und suche im Web. Daten bleiben in Europa.
Weitere analysierte Datenschutzerklärungen
Alle anzeigenbestalternatives.eu
65/100
Mittleres DatenschutzrisikoBest European Alternatives minimiert Daten genuinely und verzichtet auf Cookies, nutzt jedoch US-basierte Auftragsverarbeiter ohne Nennung von Übertragungssicherungsmaßnahmen und lässt wesentliche DSGVO-Rechte und rechtliche Details aus.
Bericht ansehen →zoom.com
65/100
Mittleres DatenschutzrisikoZooms Datenschutz-Portal zeigt eine erhebliche Investition in Compliance-Infrastruktur und EU-spezifische Schutzmaßnahmen, aber die Seite selbst ist ein Navigations-Hub und keine inhaltliche Richtlinie, wodurch kritische Details zur Datenerhebung, KI-Training und Weitergabe an Dritte hinter Links verborgen bleiben, die für die Analyse nicht bereitgestellt wurden.
Bericht ansehen →pcloud.com
65/100
Mittleres DatenschutzrisikopCloud lässt Sie die Speicherung in der EU oder den USA wählen, teilt jedoch weiterhin umfangreiche persönliche und Nutzungsdaten mit vielen Parteien und es fehlen klare Grenzen für KI-Training oder Schutzmaßnahmen bei US-Übertragungen.
Bericht ansehen →qdrant.tech
65/100
Mittleres DatenschutzrisikoQdrants Richtlinie stützt sich stark auf berechtigte Interessen und US-Drittanbieterübertragungen, bietet Zustimmungsoptionen für Newsletter, enthält jedoch keine klaren Grenzen für die Datenerhebung und keine Erwähnung von KI-Modelltraining, was sie nur mäßig datenschutzfreundlich macht.
Bericht ansehen →