Datenschutz­erklärung

Verantwortlicher im Sinne der DSGVO und anderer nationaler Datenschutzgesetze ist:

Dr. phil. Alexander Groß
c/o Postflex #10628
Emsdettener Str. 10
48268 Greven
Deutschland

E-Mail: kontakt@denkhebel.de
Telefon: 01567 9792895

Datenschutzbeauftragter: Es ist kein Datenschutzbeauftragter bestellt. Die Voraussetzungen nach Art. 37 DSGVO bzw. § 38 BDSG liegen nicht vor (Einzelunternehmen ohne regelmäßige Beschäftigung von mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten).

Fahrschulix ist ein Anbieter von Software-as-a-Service für unabhängige Fahrschulen. Die folgende Erklärung informiert Sie umfassend gemäß Art. 13 und 14 DSGVO über Art, Umfang und Zweck aller Verarbeitungen personenbezogener Daten — auf dieser Website, im Rahmen unserer Geschäftsanbahnung (inkl. ausgehender Kontakt-E-Mails an Fahrschulen) und bei späterer Nutzung unseres Produkts durch Fahrschulen und deren Schüler/innen.

Sofern einzelne Produktmodule (z. B. WhatsApp Cloud API, Online-Theorieunterricht) erst mit dem späteren Rollout aktiviert werden, ist das jeweils im entsprechenden Abschnitt gekennzeichnet.

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — soweit Sie uns eine ausdrückliche Einwilligung erteilt haben.
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / vorvertragliche Maßnahmen) — für Anbahnung, Abschluss und Durchführung unseres Vertragsverhältnisses.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) — soweit wir zu gesetzlicher Aufbewahrung oder Auskunft verpflichtet sind.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) — für technische Bereitstellung der Website, Sicherheit, Direktwerbung an Geschäftskunden, Reichweitenanalyse und Abwehr von Missbrauch.
• Art. 28 DSGVO (Auftragsverarbeitung) — soweit wir für unsere Fahrschul-Kunden Schülerdaten verarbeiten.

Wir setzen folgende Dienstleister ein, die im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO oder als eigenverantwortliche Empfänger Zugang zu personenbezogenen Daten erhalten können. Mit allen Auftragsverarbeitern haben wir schriftliche Auftragsverarbeitungsverträge (AVV) abgeschlossen.

Eine vollständige und aktuelle Liste aller eingesetzten Auftragsverarbeiter stellen wir Geschäftskunden auf Anfrage im Rahmen des Auftragsverarbeitungsvertrags zur Verfügung. Zukünftige Produktmodule mit zusätzlichen Auftragsverarbeitern sind separat in § 22 beschrieben.

Soweit Daten in den USA verarbeitet werden, stützen wir uns auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023). Alle in der obigen Tabelle genannten US-Dienstleister sind unter dem DPF zertifiziert. Ergänzend kommen mit allen Dienstleistern Standardvertragsklauseln (SCC-Modul 2, Durchführungsbeschluss (EU) 2021/914) als zweite Rechtsgrundlage zur Anwendung. Transfer-Impact-Assessments werden pro Dienstleister intern dokumentiert und bei Änderungen der Rechtslage fortgeschrieben.

Der DPF-Status kann unter dataprivacyframework.gov eingesehen werden.

Diese Website wird bei Vercel Inc. gehostet. Bei jedem Zugriff werden automatisch folgende Daten in Server-Logfiles erhoben:

• IP-Adresse (anonymisiert nach spätestens 30 Tagen)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL / Seite
• Übertragene Datenmenge
• Browser-Typ, Browser-Version, Betriebssystem
• Referrer-URL

Diese Daten sind für einen sicheren und stabilen Betrieb technisch erforderlich und werden nicht mit anderen Datenquellen zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technischem Betrieb und Sicherheit).

Wir nutzen Reichweitenanalyse, um die Nutzung dieser Website zu verstehen und zu verbessern. Dafür kommen folgende Dienste zum Einsatz, jeweils ohne Setzen von Cookies und ohne Speicherung identifizierender Merkmale im Sinne des § 25 Abs. 1 TDDDG:

• Vercel Web Analytics — standardmäßig aktiv. Es werden nur aggregierte, anonyme Kennzahlen verarbeitet. IP-Adressen werden nach Anbieterangaben nicht gespeichert.
• Umami Cloud Analytics — optional, nur aktiv wenn die Umgebungsvariable NEXT_PUBLIC_UMAMI_WEBSITE_IDgesetzt ist. Cookieless; erzeugt eine täglich rotierende, gehashte Besucher-ID aus IP+User-Agent, die nicht re-identifizierbar ist.

Ein Einwilligungsbanner ist nach derzeitiger Rechtslage (OLG Köln, Beschluss vom 3.11.2023, 6 U 58/23) nicht erforderlich, da keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an bedarfsgerechter Gestaltung der Website).

Wenn Sie über das Kontaktformular auf dieser Website eine Demo anfragen, erheben wir:

• Name des Ansprechpartners
• Name der Fahrschule
• E-Mail-Adresse
• Telefonnummer (optional)

Diese Daten werden an unser internes Postfach kontakt@denkhebel.de weitergeleitet (Versand technisch über Resend, Inc.) und ausschließlich zur Bearbeitung Ihrer Anfrage genutzt. Anti-Spam-Schutz erfolgt durch Rate-Limiting auf IP-Basis via Upstash (kurzzeitige Speicherung eines IP-Tokens, max. 1 Stunde).

Speicherdauer: bis zur abgeschlossenen Bearbeitung, längstens 12 Monate.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) bzw. Art. 6 Abs. 1 lit. f DSGVO.

Auf der Seite /demo können Sie einen KI-Assistenten interaktiv testen. Ihre eingegebenen Nachrichten werden über unsere Server an die API von Anthropic PBC (Claude) weitergeleitet, um eine Antwort zu generieren. Rate-Limiting zur Missbrauchsprävention erfolgt via Upstash.

Datenminimierung: Geben Sie im Demo-Chat keine personenbezogenen oder vertraulichen Daten ein. Der Chat dient ausschließlich zur Funktionsdemonstration.

Aufzeichnung der Demo-Inhalte: Die im Demo-Chat ausgetauschten Nachrichten (Frage und Antwort) werden zu Produktverbesserung und Sales-Nachverfolgung für 30 Tage in Upstash Redis (Frankfurt) gespeichert. Die Speicherung erfolgt unter einer tagesrotierenden, gehashten Visitor-ID — eine Re-Identifizierung über Tage hinweg ist nicht möglich. Bei aktivem DNT-Header oder Admin-Session wird nicht aufgezeichnet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung).

Speicherung bei Anthropic:bis zu 30 Tage zu Trust-&-Safety-Zwecken gemäß Anthropic Privacy Policy. Kein Training der Modelle mit diesen Daten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktdemonstration).

Art. 14 DSGVO — Information bei nicht direkter Erhebung

Wenn Sie diese Erklärung lesen, weil Sie ein E-Mail von uns erhalten haben: Ihre E-Mail-Adresse und die Zuordnung zu Ihrer Fahrschule haben wir aus öffentlich zugänglichen Impressum-Seiten und Branchenverzeichnissen entnommen.

• Kategorien von Daten: geschäftliche E-Mail-Adresse, Name und Anschrift der Fahrschule, Name des Inhabers/der Inhaberin.
• Quelle: öffentlich zugängliche Websites (Impressum Ihrer Fahrschul-Website), Fahrschulcheck.de, ClickClickDrive.de, dasoertliche.de, Google Maps.
• Zweck: einmalige Kontaktaufnahme zur Produktvorstellung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an B2B-Direktansprache; Erwägungsgrund 47).
• Speicherdauer: bis zu Ihrer Antwort oder maximal 12 Monate nach Versand.
• Kein Follow-up: Antworten Sie nicht, erhalten Sie keine weitere Nachricht.

Öffnungs-Tracking-Pixel

Unsere Kontakt-E-Mails enthalten ein 1×1-Pixel-Bild, das bei Öffnung der Mail einmalig an https://fahrschulix.de/api/track-openabgerufen wird. Dabei erheben wir zur Zustell-Erfolgsmessung:

• Zeitstempel der Öffnung
• User-Agent Ihres E-Mail-Programms (anonymisiert)
• Referrer (falls vom Mailprogramm gesendet)
• IP-Adresse — ausschließlich als gehashter Wert, ohne Klartext-Speicherung
• Eine nicht-personenbezogene Kampagnen-ID (z. B. „outbound-bn-2026-04")

Die Daten werden nicht mit anderen Quellen zusammengeführt und ausschließlich statistisch zur Messung der Zustellqualität genutzt.

Ihr Widerspruchs- und Abmelderecht

Sie können dieser Datenverarbeitung jederzeit widersprechen (Art. 21 DSGVO). Ein Widerruf genügt formlos per Antwort mit „STOP" oder per E-Mail an kontakt@denkhebel.de. Wir löschen Ihre Daten daraufhin unverzüglich und sperren sie für künftige Kontaktaufnahmen.

Bei Abschluss eines Abonnements erheben wir folgende Daten:

• Name, Firmenname, ladungsfähige Anschrift
• E-Mail-Adresse, Telefonnummer
• Zahlungsdaten (ausschließlich direkt von Stripe verarbeitet, nicht auf unseren Systemen)
• USt-ID oder Steuernummer (bei Rechnungsstellung)

Diese Daten werden zur Vertragsdurchführung, Rechnungsstellung und gesetzlicher Aufbewahrung verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrung).

Zahlungen werden über Stripe Inc. abgewickelt. Stripe ist insoweit eigenverantwortlicher Verantwortlicher für die Verarbeitung der Zahlungsdaten. Kreditkarten- oder Kontodaten werden direkt von Stripe verarbeitet und erreichen unsere Systeme nicht. Wir erhalten lediglich eine Bestätigung über die erfolgte Zahlung, die E-Mail-Adresse des Zahlenden und eine Transaktions-ID.

Datenschutzhinweise von Stripe: stripe.com/de/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wird Fahrschulix von einer Fahrschule im Produktbetrieb eingesetzt, verarbeiten wir personenbezogene Daten von Fahrschülerinnen und Fahrschülern ausschließlich im Auftrag der jeweiligen Fahrschule (Art. 28 DSGVO). Die Fahrschule ist datenschutzrechtlich Verantwortliche für diese Daten; Fahrschulix ist Auftragsverarbeiter.

Im Produktbetrieb können verarbeitet werden:

• Name, Telefonnummer und E-Mail von Fahrschülerinnen und Fahrschülern
• Nachrichteninhalte aus WhatsApp- oder Chat-Anfragen (geplantes Modul)
• Termindaten, Zahlungsstatus, Fortschrittsdaten
• Video-/Audio-/Chat-Daten aus Online-Theorieunterricht (geplantes Modul)

Mit jedem Fahrschul-Kunden schließen wir einen Auftragsverarbeitungsvertrag gem. Art. 28 Abs. 3 DSGVO mit technisch-organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO i. V. m. Art. 28 DSGVO.

Im Fahrschulbetrieb werden regelmäßig Daten von Minderjährigen verarbeitet — insbesondere im Rahmen des begleiteten Fahrens ab 17 (BF17), bei dem Schüler ab vollendetem 16. Lebensjahr angemeldet werden können.

Einwilligung unter 16 Jahren:Soweit ausnahmsweise Daten von Personen unter 16 Jahren auf Grundlage einer Einwilligung verarbeitet werden (z. B. bei Mofa-/AM-Klassen ab 15), ist diese Einwilligung gem. Art. 8 Abs. 1 DSGVO nur wirksam, wenn sie durch den oder die Träger der elterlichen Verantwortung erteilt bzw. ausdrücklich zugestimmt wird. Die Fahrschule als datenschutzrechtlich Verantwortliche holt diese Einwilligung im Rahmen des Ausbildungsvertrages schriftlich ein und dokumentiert sie.

Einwilligung ab 16 Jahren:Ab dem vollendeten 16. Lebensjahr können Minderjährige gem. Art. 8 Abs. 1 Satz 1 DSGVO eigenständig in die Verarbeitung einwilligen (z. B. in WhatsApp-Kommunikation).

Vertragsschluss durch Minderjährige: Ausbildungsverträge und Zahlungsverpflichtungen benötigen nach §§ 107, 108 BGB die Zustimmung der gesetzlichen Vertreter, soweit nicht der Minderjährige bereits volljährig ist. Fahrschulix unterstützt seine Kunden-Fahrschulen mit geeigneten Prozessen zur Dokumentation dieser Zustimmung.

Rechtsgrundlage:Art. 8 DSGVO i. V. m. §§ 104 ff. BGB und § 41 BDSG.

Sowohl der Demo-Chat als auch — im späteren Produktbetrieb — der Fahrschul-Assistent nutzen die API von Anthropic PBC (Claude). Anthropic speichert API-Anfragen standardmäßig für bis zu 30 Tage zu Trust-&-Safety-Zwecken und verwendet sie nicht zum Training der Modelle. Im Produktbetrieb für Fahrschul-Kunden strebt Fahrschulix den Enterprise-Modus mit Zero-Retention an.

Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Die KI-Assistenten generieren automatisierte Antworten zu Standardanfragen (z. B. Preise, Kursstarts, Klassen-Informationen). Es handelt sich dabei nicht um automatisierte Einzelfallentscheidungen mit rechtlicher Wirkung oder ähnlicher erheblicher Beeinträchtigung im Sinne des Art. 22 Abs. 1 DSGVO. Rechtsverbindliche Handlungen (Vertragsabschluss, verbindliche Terminzusagen) bleiben stets der Fahrschule vorbehalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 28 DSGVO.

Diese Website verwendet keine Cookies im Sinne des § 25 Abs. 1 TDDDG. Keine Tracking-Cookies, keine Analyse-Cookies, keine Marketing-Cookies. Auf Ihrem Endgerät werden keine Informationen gespeichert oder ausgelesen. Ein Cookie-Banner ist daher nicht erforderlich.

Ausnahme: technisch notwendige Session-Informationen zur Sicherung von Login-Vorgängen im Kundenbereich (geplantes Modul).

Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt, es sei denn, gesetzliche Aufbewahrungspflichten stehen einer Löschung entgegen:

• Vertragsdaten: Löschung nach Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
• Rechnungen und Buchungsbelege: 10 Jahre (§ 147 Abs. 1 AO, § 257 Abs. 1 HGB).
• Geschäftsbriefe und E-Mails mit Geschäftsbezug: 6 Jahre (§ 257 Abs. 1 Nr. 2 HGB).
• Server-Logfiles: maximal 30 Tage.
• Tracking-Pixel-Ereignisse (Outbound): maximal 12 Monate oder bis zur Abmeldung.
• Rate-Limiting-Tokens (Upstash): maximal 1 Stunde.
• Demo-Chat-Transkripte: auf unseren Systemen nicht gespeichert; bei Anthropic bis zu 30 Tage.
• Fahrschüler-Daten im Produktbetrieb: nach Weisung der Fahrschule; Standard-Löschung 30 Tage nach Kündigung des Kundenvertrags.

Sie haben jederzeit folgende Rechte gegenüber uns:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Direktwerbung und gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Die Ausübung dieser Rechte ist für Sie kostenfrei. Bitte richten Sie Ihre Anfrage an: kontakt@denkhebel.de

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist — nach dem Sitz unserer ladungsfähigen Geschäftsadresse in 48268 Greven (Nordrhein-Westfalen):

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
Web: ldi.nrw.de

Sie können sich auch an die Aufsichtsbehörde Ihres Wohnsitz- oder Arbeitsortes wenden.

Wir haben geeignete technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO getroffen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten. Die folgenden Maßnahmen sind eingerichtet:

Vertraulichkeit

• Transportverschlüsselung aller Verbindungen per TLS 1.2+ (HTTPS), HSTS-Preload aktiviert
• Content-Security-Policy, X-Frame-Options DENY, X-Content-Type-Options nosniff
• Zugangskontrolle zu allen Admin-Bereichen durch Passwortschutz (bcrypt), kein Klartext-Speichern
• API-Schlüssel und Secrets nur in verschlüsselten Secret-Stores (Vercel Environment Variables, nicht im Repository)
• IP-Adressen werden nur in gehashter Form protokolliert

Integrität

• Signierte Webhooks (Stripe) mit Verifizierung der Signatur vor Verarbeitung
• CSRF-Schutz auf allen formulargestützten Endpunkten
• Rate-Limiting via Upstash auf schreibenden Endpunkten gegen Missbrauch
• Input-Sanitisierung und XSS-Schutz auf allen Benutzereingaben

Verfügbarkeit und Wiederherstellbarkeit

• Hosting auf Edge-Infrastruktur mit automatischer Redundanz und geografischer Verteilung
• Versionierte Code-Basis in Git mit vollständiger Change-History
• Automatische Backups aller Kundendaten; Wiederherstellung dokumentiert

Organisation

• Datenschutz by Design und by Default in allen Produktentscheidungen (Art. 25 DSGVO)
• Auftragsverarbeitungsverträge mit allen Dienstleistern, Liste auf Anfrage verfügbar
• Prozess zur Erkennung und Meldung von Datenschutzverletzungen innerhalb von 72 Stunden (Art. 33 DSGVO)

Auf Anfrage stellen wir Geschäftskunden eine detaillierte TOM-Beschreibung nach Art. 32 DSGVO als Anlage zum Auftragsverarbeitungsvertrag zur Verfügung.

Diese Datenschutzerklärung ist aktuell gültig (Stand: 21. Juni 2026). Durch Weiterentwicklung unserer Plattform oder geänderte gesetzliche Vorgaben kann eine Anpassung erforderlich werden. Die jeweils aktuelle Fassung ist stets unter dieser URL abrufbar. Wesentliche Änderungen teilen wir bestehenden Kunden per E-Mail rechtzeitig mit.

Die folgenden Module sind Bestandteil unserer Produkt-Roadmap, werden aber aktuell noch nicht im Live-Betrieb eingesetzt. Wir beschreiben sie hier aus Transparenzgründen bereits heute — die in den folgenden Abschnitten genannten Datenflüsse und Auftragsverarbeiter sind erst mit dem Rollout und nach entsprechender Aktualisierung dieser Datenschutzerklärung aktiv.

Modul 1 — WhatsApp-Empfang (Meta Platforms Ireland Ltd.)

Im späteren Produktbetrieb kommuniziert unser KI-Assistent „Lena" über die WhatsApp Cloud API (Meta Platforms Ireland Ltd., Irland/USA) mit Fahrschülerinnen und Fahrschülern im Auftrag der jeweiligen Fahrschule. Dabei werden die Telefonnummer, die Nachrichteninhalte und Zeitstempel verarbeitet. WhatsApp ist unter dem EU-US Data Privacy Framework zertifiziert; Nachrichten sind Ende-zu-Ende-verschlüsselt.

Modul 2 — Online-Theorieunterricht (Hetzner Online GmbH / Jitsi)

Mit dem Rollout des Online-Theorieunterrichts (voraussichtlich ab Mai 2027) kommt eine auf unseren eigenen Servern bei Hetzner Online GmbH (Deutschland) gehostete Jitsi-Instanz zum Einsatz. Verarbeitet werden Anzeigename, IP-Adresse während der Sitzung, Audio- und Videodaten (ohne Aufzeichnung) sowie Chat-Nachrichten innerhalb der Sitzung. Keine Drittlandübermittlung.

Vor Produktivschaltung dieser Module wird diese Datenschutzerklärung vollständig aktualisiert; bestehende Fahrschul-Kunden werden rechtzeitig informiert.