Datenschutz­erklärung

Verantwortlicher im Sinne der DSGVO und anderer nationaler Datenschutzgesetze ist:

Dr. phil. Alexander Groß
c/o Postflex #10628
Emsdettener Str. 10
48268 Greven
Deutschland

E-Mail: kontakt@denkhebel.de
Telefon: 01567 9792895

Datenschutzbeauftragter: Es ist kein Datenschutzbeauftragter bestellt. Die Voraussetzungen nach Art. 37 DSGVO bzw. § 38 BDSG liegen nicht vor (Einzelunternehmen ohne regelmäßige Beschäftigung von mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten).

Fahrschulix ist ein Anbieter von Software-as-a-Service für unabhängige Fahrschulen. Die folgende Erklärung informiert Sie umfassend gemäß Art. 13 und 14 DSGVO über Art, Umfang und Zweck aller Verarbeitungen personenbezogener Daten — auf dieser Website, im Rahmen unserer Geschäftsanbahnung (inkl. ausgehender Kontakt-E-Mails an Fahrschulen) und bei späterer Nutzung unseres Produkts durch Fahrschulen und deren Schüler/innen.

Sofern einzelne Produktmodule (z. B. WhatsApp Cloud API, Online-Theorieunterricht) erst mit dem späteren Rollout aktiviert werden, ist das jeweils im entsprechenden Abschnitt gekennzeichnet.

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — soweit Sie uns eine ausdrückliche Einwilligung erteilt haben.
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / vorvertragliche Maßnahmen) — für Anbahnung, Abschluss und Durchführung unseres Vertragsverhältnisses.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) — soweit wir zu gesetzlicher Aufbewahrung oder Auskunft verpflichtet sind.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) — für technische Bereitstellung der Website, Sicherheit, zulässige geschäftliche Korrespondenz und Abwehr von Missbrauch. Für die optionale Reichweitenanalyse gilt Ihre Einwilligung nach lit. a. Werbliche E-Mails unterliegen zusätzlich § 7 UWG.
• Auftragsverarbeitung: Art. 28 DSGVO regelt unsere Pflichten gegenüber der Fahrschule; er ist keine eigenständige Rechtsgrundlage nach Art. 6 DSGVO.

Wir setzen folgende Dienstleister ein, die im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO oder als eigenverantwortliche Empfänger Zugang zu personenbezogenen Daten erhalten können. Für die Verarbeitung in unserem Auftrag sind die Anforderungen des Art. 28 DSGVO maßgeblich; die jeweiligen Vertrags- und Transfergrundlagen sind getrennt von der Rechtsgrundlage für den Zweck zu betrachten.

Eine vollständige und aktuelle Liste aller eingesetzten Auftragsverarbeiter stellen wir Geschäftskunden auf Anfrage im Rahmen des Auftragsverarbeitungsvertrags zur Verfügung. Zukünftige Produktmodule mit zusätzlichen Auftragsverarbeitern sind separat in § 22 beschrieben.

Vercel, Upstash, Plus Five Five (Resend), Anthropic und ImprovMX haben ihren Sitz in den USA. Auch eine konfigurierte EU-Serverregion schließt Zugriffe oder weitere Verarbeitung außerhalb des EWR nicht vollständig aus. Die Anbieter veröffentlichen Vertragsregelungen zur Auftragsverarbeitung und zu internationalen Übermittlungen, insbesondere EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Ein Angemessenheitsbeschluss kann nur für Übermittlungen an einen entsprechend zertifizierten Empfänger und innerhalb des Zertifizierungsumfangs herangezogen werden.

Informationen zu den veröffentlichten Schutzregelungen: Vercel, Upstash, Resend, Anthropic und ImprovMX. Eine Kopie der für Ihre Verarbeitung maßgeblichen Garantien können Sie über unsere Kontaktadresse anfragen. Die Rechtsgrundlage der jeweiligen Verarbeitung ist in den einzelnen Abschnitten genannt.

Diese Website wird bei Vercel Inc. gehostet. Bei jedem Zugriff werden automatisch folgende Daten in Server-Logfiles erhoben:

• IP-Adresse (anonymisiert nach spätestens 30 Tagen)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL / Seite
• Übertragene Datenmenge
• Browser-Typ, Browser-Version, Betriebssystem
• Referrer-URL

Diese Daten sind für einen sicheren und stabilen Betrieb technisch erforderlich und werden nicht mit anderen Datenquellen zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technischem Betrieb und Sicherheit).

Einfache Serverzählung

Die Serverzählung ist für diesen Browser ausgeschlossen.

Unabhängig von Ihrer Auswahl zur freiwilligen Statistik zählen wir eingehende HTML-Anfragen an bekannte öffentliche Seiten. Gespeichert werden ausschließlich Tagesdatum (UTC), öffentlicher Seitenpfad und die jeweilige Summe sowie der Beginn der gesamten Messung. Die Tageswerte werden spätestens 90 Tage nach Tagesbeginn automatisch gelöscht. In diesen Zählern speichern wir weder IP-Adresse noch Browserkennung, Besucherkennung, Herkunft, URL-Parameter oder individuelle Besuchsverläufe. Eine Zuordnung zu Anfragen, Chats oder Kontakten findet nicht statt.

Vercel prüft die ohnehin eintreffende Anfrage und übermittelt nur den öffentlichen Seitenpfad für die Summenbildung an die bestehende Upstash-Datenbank. Bekannte automatisierte Abrufe, Vorabladen, Verwaltungs- und persönliche Briefseiten sind ausgeschlossen. Eine vollständige Erkennung aller Bots ist nicht möglich. Zweck ist eine grobe Einschätzung, welche öffentlichen Inhalte nachgefragt werden. Grundlage für die Verarbeitung der normalen HTTP-Anfrage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der bedarfsgerechten Gestaltung des Angebots. Die Beschränkung auf Summen ohne Personenkennungen vermeidet eine individuelle Analyse. Für die Zählung werden keine zusätzlichen Messpixel, Browsermeldungen oder Identifikations-Cookies eingesetzt.

DNT- und GPC-Signale werden berücksichtigt. Sie können die Serverzählung auch für diesen Browser ausschließen oder den Ausschluss wieder aufheben. Dafür wird ein einheitlicher Ausschlussmerker (fx_basis_optout) für bis zu ein Jahr gespeichert, ohne individuelle Kennung. Im Verwaltungsbereich wird zusätzlich fx_basis_eigen gesetzt, damit eigene Aufrufe nicht mitgezählt werden. Diese Merker dienen der jeweiligen Ausschlussfunktion (§ 25 Abs. 2 Nr. 2 TDDDG). Hosting- und Sicherheitsprotokolle bleiben davon getrennt.

Freiwillige Detailstatistik

Wenn Sie im Hinweisbanner die Statistik erlauben, messen wir die Nutzung der Website, um Inhalte und Angebotswege zu verbessern. Ohne Einwilligung wird diese freiwillige Messung nicht gestartet. Rechtsgrundlage sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Gespeichert werden Zeitpunkt, Seitenpfad, verweisende Seite, Kampagnenangaben, Land, Region und Stadt, Geräte- und Browserkategorie, Betriebssystem, Bildschirmgröße und Sprache. Hinzu kommen ausgewählte Klicks, Verweildauer und Scrolltiefe. Formularinhalte werden nicht in die Statistik übernommen.

Zur Zuordnung wird aus IP-Adresse, Browserkennung, Datum und einem geheimen Schlüssel eine pseudonyme Besuchskennung gebildet. Die IP-Adresse selbst wird nicht in der Statistik gespeichert. Die Kennung ist keine Anonymisierung und kein Nachweis einer bestimmten Person. Erkannte Bots und eigene Prüfungen werden herausgefiltert; eine lückenlose Trennung aller Menschen und Bots ist nicht möglich.

Die Daten liegen bei Upstash in der konfigurierten Region Frankfurt und werden nach 90 Tagen gelöscht. Vercel Web Analytics und Umami sind nicht eingebunden. Unter „Datenschutz-Einstellungen“ im Seitenfuß können Sie Ihre Wahl jederzeit ändern. Zusätzlich kann die Messung über ?notrack=1 ausgeschlossen werden. Ein DNT-Signal wird berücksichtigt.

Wenn Sie über das Kontaktformular auf dieser Website eine Demo anfragen, erheben wir:

• Name des Ansprechpartners
• Name der Fahrschule
• E-Mail-Adresse
• Website und Ihre Nachricht (optional)

Diese Daten werden an unser internes Postfach kontakt@denkhebel.de weitergeleitet (Versand technisch über Plus Five Five, Inc. (Resend)) und ausschließlich zur Bearbeitung Ihrer Anfrage genutzt. Anti-Spam-Schutz erfolgt durch Rate-Limiting auf IP-Basis via Upstash (kurzzeitige Speicherung eines IP-Tokens, max. 1 Stunde).

Speicherdauer: bis zur abgeschlossenen Bearbeitung, längstens 12 Monate.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) bzw. Art. 6 Abs. 1 lit. f DSGVO.

Auf der Seite /demo können Sie einen KI-Assistenten interaktiv testen. Ihre eingegebenen Nachrichten werden über unsere Server an die API von Anthropic PBC (Claude) weitergeleitet, um eine Antwort zu generieren. Rate-Limiting zur Missbrauchsprävention erfolgt via Upstash.

Datenminimierung: Geben Sie im Demo-Chat keine personenbezogenen oder vertraulichen Daten ein. Der Chat dient ausschließlich zur Funktionsdemonstration.

Aufzeichnung der Demo-Inhalte: Die im Demo-Chat ausgetauschten Nachrichten (Frage und Antwort) werden zu Qualitätsprüfung und Produktverbesserung für 30 Tage in Upstash Redis (Frankfurt) gespeichert. Die Speicherung erfolgt unter einer aus Datum und technischen Verbindungsdaten abgeleiteten, gehashten Kennung. Diese ist pseudonym und nicht anonym. Bei aktivem DNT-Header oder Admin-Session wird nicht aufgezeichnet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung).

Speicherung bei Anthropic: bis zu 30 Tage zu Trust-&-Safety-Zwecken gemäß Anthropic Privacy Policy. Kein Training der Modelle mit diesen Daten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktdemonstration).

Werbliche E-Mails versenden wir nur mit vorheriger Einwilligung oder wenn sämtliche Voraussetzungen der Bestandskundenausnahme nach § 7 Abs. 3 UWG erfüllt sind. Eine veröffentlichte Geschäftsadresse allein genügt dafür nicht. Eine angeforderte Antwort auf eine konkrete Produktanfrage behandeln wir als Anfragebearbeitung, nicht als Einwilligung in weitere Werbung.

Soweit Geschäftskontaktdaten aus öffentlichen Unternehmenswebsites oder Verzeichnissen recherchiert wurden, können dies Name und Anschrift der Fahrschule, geschäftliche Kontaktdaten sowie Namen geschäftlicher Ansprechpartner sein. Wir dokumentieren die konkrete Quelle und verwenden diese Daten nur für einen rechtlich zulässigen Zweck. Bei einer Kontaktaufnahme erhalten Sie die erforderlichen Informationen spätestens mit der ersten Nachricht (Art. 14 DSGVO). Die allgemeine Recherche beruht, soweit erforderlich und nach Abwägung vertretbar, auf Art. 6 Abs. 1 lit. f DSGVO; eine Werbeeinwilligung auf lit. a.

Sie können Direktwerbung jederzeit widersprechen, etwa mit „STOP“ als Antwort oder per E-Mail an kontakt@denkhebel.de. Danach werden die Angaben nicht mehr für Werbung verwendet. Eine auf den erforderlichen Umfang beschränkte Sperrkennzeichnung kann erhalten bleiben, um den Widerspruch einzuhalten. Ohne erforderlichen weiteren Zweck werden recherchierte Kontaktangaben spätestens nach zwölf Monaten gelöscht. Es werden keine Öffnungspixel eingesetzt.

Bei Abschluss eines Abonnements erheben wir folgende Daten:

• Name, Firmenname, ladungsfähige Anschrift
• E-Mail-Adresse, Telefonnummer
• USt-ID oder Steuernummer (bei Rechnungsstellung)

Diese Daten werden zur Vertragsdurchführung, Rechnungsstellung und gesetzlicher Aufbewahrung verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrung).

Über diese Website findet derzeit keine Zahlungsabwicklung statt. Wir erheben keine Zahlungs- oder Kontodaten und binden keinen Zahlungsdienstleister ein. Verträge über Fahrschulix kommen im direkten Kontakt zustande und werden auf Rechnung abgewickelt.

Sollte künftig eine Online-Zahlung angeboten werden, wird dieser Abschnitt vor Aufnahme des Betriebs um den jeweiligen Dienstleister, die verarbeiteten Datenkategorien, die Rechtsgrundlage und die Aufbewahrungsfristen ergänzt.

Wird Fahrschulix von einer Fahrschule im Produktbetrieb eingesetzt, verarbeiten wir personenbezogene Daten von Fahrschülerinnen und Fahrschülern ausschließlich im Auftrag der jeweiligen Fahrschule (Art. 28 DSGVO). Die Fahrschule ist datenschutzrechtlich Verantwortliche für diese Daten; Fahrschulix ist Auftragsverarbeiter.

Im Produktbetrieb können verarbeitet werden:

• Name, Telefonnummer und E-Mail von Fahrschülerinnen und Fahrschülern
• Nachrichteninhalte aus WhatsApp- oder Chat-Anfragen (geplantes Modul)
• Termindaten, Zahlungsstatus, Fortschrittsdaten
• Video-/Audio-/Chat-Daten aus Online-Theorieunterricht (geplantes Modul)

Mit jedem Fahrschul-Kunden schließen wir einen Auftragsverarbeitungsvertrag gem. Art. 28 Abs. 3 DSGVO mit technisch-organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO.

Rechtsgrundlage: Die Fahrschule bestimmt die Rechtsgrundlage nach Art. 6 DSGVO. Unsere Verarbeitung erfolgt innerhalb ihrer dokumentierten Weisungen nach Art. 28 DSGVO.

Die Fahrschule legt als Verantwortliche die Rechtsgrundlage für die Verarbeitung ihrer Schülerdaten fest. Art. 8 DSGVO betrifft speziell einwilligungsbasierte Dienste der Informationsgesellschaft, die einem Kind direkt angeboten werden. Er ist keine allgemeine Altersregel für jede Datenverarbeitung. Im Anwendungsbereich dieser Vorschrift ist in Deutschland bei unter 16-Jährigen die Zustimmung der elterlich verantwortlichen Person erforderlich. Vertragsfähigkeit und sonstige Einwilligungsfähigkeit sind davon gesondert zu prüfen.

Fahrschulix nimmt keine medizinische Beurteilung vor und benötigt keine Gesundheitsdaten. Der konkrete Produktbetrieb mit Schülerdaten beginnt erst auf Grundlage der vereinbarten Verarbeitung, des Auftragsverarbeitungsvertrags und geeigneter Informationen der Fahrschule an die Betroffenen.

Sowohl der Demo-Chat als auch — im späteren Produktbetrieb — der Fahrschul-Assistent nutzen die API von Anthropic PBC (Claude). Anthropic speichert API-Anfragen standardmäßig für bis zu 30 Tage zu Trust-&-Safety-Zwecken und verwendet sie nicht zum Training der Modelle. Ausnahmen von der Standardfrist können insbesondere bei Sicherheitsprüfungen, gesetzlichen Pflichten oder gesondert vereinbarten Diensten gelten. Eine Vereinbarung über sofortige Löschung (Zero Data Retention) wird nicht zugesagt.

Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Die KI-Assistenten generieren automatisierte Antworten zu Standardanfragen (z. B. Preise, Kursstarts, Klassen-Informationen). Es handelt sich dabei nicht um automatisierte Einzelfallentscheidungen mit rechtlicher Wirkung oder ähnlicher erheblicher Beeinträchtigung im Sinne des Art. 22 Abs. 1 DSGVO. Rechtsverbindliche Handlungen (Vertragsabschluss, verbindliche Terminzusagen) bleiben stets der Fahrschule vorbehalten.

Rechtsgrundlage: Für die öffentliche Demo gilt Abschnitt 9; für Schülerdaten im Produktbetrieb Abschnitt 13.

Auf der Seite /reform-2027 können Sie sich eintragen, um benachrichtigt zu werden, wenn sich am Gesetzgebungsverfahren zur Fahrschulausbildung etwas ändert. Der Eintrag ist freiwillig und für die Nutzung der Website nicht erforderlich.

Verfahren (Double-Opt-In): Nach Eingabe Ihrer Adresse senden wir Ihnen eine Bestätigungsmail. Erst wenn Sie den darin enthaltenen Link anklicken, wird Ihre Adresse in den Verteiler aufgenommen. Bestätigen Sie nicht, wird der vorgemerkte Datensatz nach sieben Tagen automatisch gelöscht.

Verarbeitete Daten: E-Mail-Adresse, Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, die Seite, über die der Eintrag erfolgte, ein kryptografischer Hash Ihrer IP-Adresse sowie ein technischer Vermerk darüber, ob und wann die Begrüßungsnachricht zugestellt werden konnte. Die IP-Adresse selbst wird nicht gespeichert. Anmelde- und Bestätigungszeitpunkt dienen ausschließlich dem Nachweis Ihrer Einwilligung und werden nicht für Werbezwecke ausgewertet.

Zweck und Inhalt: Ausschließlich sachliche Hinweise auf belegbare Verfahrensschritte, etwa eine Lesung im Bundestag, eine Bundesratssitzung oder eine Verkündung im Bundesgesetzblatt. Es findet kein regelmäßiger Versand statt und keine Produktwerbung.

Versanddienstleister: Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Das Unternehmen ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung in die USA stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO, ergänzend gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Die Speicherung des Verteilers selbst erfolgt bei Upstash (Serverstandort Frankfurt am Main).

Widerruf: Jede Nachricht enthält einen Abmeldelink, der mit einem Klick und ohne Rückfrage wirkt. Nach der Abmeldung wird Ihre Adresse aus dem Verteiler entfernt und in eine Sperrliste übernommen, damit Sie nicht versehentlich erneut angeschrieben werden. Möchten Sie auch diesen Eintrag gelöscht haben, genügt eine Nachricht an kontakt@denkhebel.de.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Der Widerruf für die Zukunft ist jederzeit möglich und berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.

Ihre Auswahl zur Nutzungsstatistik speichern wir für bis zu 180 Tage im lokalen Browserspeicher. Außerdem kann ein von Ihnen ausgelöster Ausschlussmerker gespeichert werden; das Schließen des Reformhinweises wird für den Besuch gemerkt. Im Verwaltungsbereich werden notwendige Anmelde-Cookies gesetzt. Diese Vorgänge dienen der jeweiligen angeforderten Funktion (§ 25 Abs. 2 Nr. 2 TDDDG). Die Ausschlussmerker für die Serverzählung sind in Abschnitt 7 beschrieben. Die freiwillige Detailstatistik bleibt einwilligungspflichtig. Ihre Auswahl ändern Sie über „Datenschutz-Einstellungen“ im Seitenfuß.

Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt, es sei denn, gesetzliche Aufbewahrungspflichten stehen einer Löschung entgegen:

• Vertragsdaten: Löschung nach Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
• Rechnungen und Buchungsbelege: grundsätzlich acht Jahre (§ 147 AO); Bücher und Aufzeichnungen zehn Jahre. Gesetzlicher Fristbeginn und Verlängerungen bleiben maßgeblich.
• Geschäftsbriefe und E-Mails mit Geschäftsbezug: grundsätzlich sechs Jahre nach § 147 AO, soweit aufbewahrungspflichtig.
• Server-Logfiles: maximal 30 Tage.
• Freiwillige Detailstatistik (Seitenaufrufe, Klicks, Verweildauer, Scrolltiefe): 90 Tage, danach automatische Löschung (§ 07).
• Rate-Limiting-Tokens (Upstash): maximal 1 Stunde.
• Demo-Chat-Transkripte: 30 Tage in Upstash Redis (Frankfurt), danach automatische Löschung; bei Anthropic zusätzlich bis zu 30 Tage (§ 09).
• Benachrichtigungs-Verteiler: bis zum Widerruf. Unbestätigte Anmeldungen verfallen nach 7 Tagen. Nach Abmeldung verbleibt die Adresse in einer Sperrliste, damit sie nicht erneut angeschrieben wird (§ 15a).
• Fahrschüler-Daten im Produktbetrieb: nach Weisung der Fahrschule; Standard-Löschung 30 Tage nach Kündigung des Kundenvertrags.

Sie haben jederzeit folgende Rechte gegenüber uns:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Direktwerbung und gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Die Ausübung dieser Rechte ist für Sie kostenfrei. Bitte richten Sie Ihre Anfrage an: kontakt@denkhebel.de

Sie haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des vermuteten Verstoßes.

Wir haben geeignete technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO getroffen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten. Die folgenden Maßnahmen sind eingerichtet:

Vertraulichkeit

• Transportverschlüsselung aller Verbindungen per TLS 1.2+ (HTTPS), HSTS-Preload aktiviert
• Content-Security-Policy, X-Frame-Options DENY, X-Content-Type-Options nosniff
• Zugangskontrolle zu allen Admin-Bereichen durch geschützte Anmeldung und eingeschränkte Zugriffsrechte
• API-Schlüssel und Secrets nur in verschlüsselten Secret-Stores (Vercel Environment Variables, nicht im Repository)
• IP-Adressen werden nur in gehashter Form protokolliert

Integrität

• Signierte Webhooks mit Verifizierung der Signatur vor Verarbeitung
• CSRF-Schutz auf allen formulargestützten Endpunkten
• Rate-Limiting via Upstash auf schreibenden Endpunkten gegen Missbrauch
• Input-Sanitisierung und XSS-Schutz auf allen Benutzereingaben

Verfügbarkeit und Wiederherstellbarkeit

• Hosting auf Edge-Infrastruktur mit automatischer Redundanz und geografischer Verteilung
• Versionierte Code-Basis in Git mit vollständiger Change-History
• Automatische Backups aller Kundendaten; Wiederherstellung dokumentiert

Organisation

• Datenschutz by Design und by Default in allen Produktentscheidungen (Art. 25 DSGVO)
• Dokumentation der eingesetzten Dienstleister und ihrer Vertragsgrundlagen
• Prozess zur Erkennung und Meldung von Datenschutzverletzungen innerhalb von 72 Stunden (Art. 33 DSGVO)

Auf Anfrage stellen wir Geschäftskunden eine detaillierte TOM-Beschreibung nach Art. 32 DSGVO als Anlage zum Auftragsverarbeitungsvertrag zur Verfügung.

Diese Datenschutzerklärung ist aktuell gültig (Stand: 27. September 2026, Version 1.7). Durch Weiterentwicklung unserer Plattform oder geänderte gesetzliche Vorgaben kann eine Anpassung erforderlich werden. Die jeweils aktuelle Fassung ist stets unter dieser URL abrufbar. Wesentliche Änderungen teilen wir bestehenden Kunden per E-Mail rechtzeitig mit.

WhatsApp-Anbindung und Online-Theorie sind geplante Erweiterungen und gehören nicht zum aktuellen Empfangs-Pilot. Vor ihrer Einführung werden der konkrete Leistungsumfang, die rechtlichen Voraussetzungen, Dienstleister, Datenwege und Schutzmaßnahmen gesondert geprüft und vereinbart. Erst dann werden die entsprechenden Datenschutzinformationen ergänzt. Ein bestimmter Starttermin oder eine bestimmte technische Umsetzung wird hier nicht zugesagt.