Datenschutzerklärung
Stand: [Datum]
Diese Seite enthält noch Platzhalter. Der Betreiber muss sie vor dem Livegang ersetzen.
Mit dieser Datenschutzerklärung informieren wir darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie lftr.ai besuchen, ein Konto anlegen und Apps buchen, wozu wir das tun und welche Rechte Sie haben.
1. Verantwortlicher
Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist [Firmenname und Rechtsform] [Straße und Hausnummer] [Postleitzahl und Ort] E-Mail: [E-Mail-Adresse für Datenschutzanfragen]
[Falls benannt: Unseren Datenschutzbeauftragten erreichen Sie unter [Kontaktdaten]. Andernfalls diesen Absatz streichen.]
2. Unsere Rolle: Verantwortlicher und Auftragsverarbeiter
Für die Daten, die wir zum Betrieb der Plattform selbst brauchen (Besuch der Website, Benutzerkonten, Unternehmen, Buchungen, Abrechnung, Support), sind wir Verantwortlicher. Darum geht es in dieser Erklärung.
Daten, die ein Kunde in den gebuchten Apps verarbeitet (zum Beispiel Inhalte, die er hochlädt oder auswerten lässt), verarbeiten wir in seinem Auftrag nach Art. 28 DSGVO. Verantwortlich ist dafür der Kunde; Grundlage ist unser Vertrag zur Auftragsverarbeitung. Wenn Ihre Daten in einer solchen App verarbeitet werden, wenden Sie sich bitte an das jeweilige Unternehmen.
3. Aufruf der Website
Bei jedem Aufruf verarbeiten unser Server und unser vorgeschalteter Dienstleister Cloudflare technisch notwendige Daten: – IP-Adresse – Datum und Uhrzeit – aufgerufene Adresse und übertragene Datenmenge – Browser und Betriebssystem (User-Agent)
Zweck ist die Auslieferung der Seiten sowie der Schutz vor Angriffen und Missbrauch (Firewall, Abwehr von Überlastungsangriffen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb. Server-Protokolle löschen wir nach [Anzahl] Tagen.
Wir setzen keine Analyse-, Tracking- oder Werbewerkzeuge ein und binden keine Schriften oder Skripte von fremden Servern ein.
5. Benutzerkonto und Anmeldung
Für ein Konto verarbeiten wir: – Name und E-Mail-Adresse – Passwort (nur als nicht umkehrbarer Hash) – bei Zwei-Faktor-Anmeldung das verschlüsselte Geheimnis und die Wiederherstellungscodes – bei Passkeys den öffentlichen Schlüssel Ihres Geräts (der private Schlüssel verlässt Ihr Gerät nie) – bevorzugte Sprache – zu jeder aktiven Sitzung IP-Adresse, Browser und Zeitpunkt der letzten Aktivität
Zweck ist die Bereitstellung des Kontos und eine sichere Anmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für die Sitzungsdaten zusätzlich lit. f (Sicherheit). Wir speichern die Daten, solange das Konto besteht.
6. Unternehmen, Mitglieder und Einladungen
Ein Konto gehört zu einem oder mehreren Unternehmen. Wir speichern dazu den Namen des Unternehmens, die Mitglieder, ihre Rolle und gegebenenfalls ihre Beschränkung auf einzelne Apps.
Lädt ein Unternehmen eine Person ein, verarbeiten wir deren E-Mail-Adresse und senden ihr eine Einladung. Eine Einladung ist sieben Tage gültig; nicht angenommene Einladungen werden danach nicht mehr verwendet und mit dem Unternehmen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Unternehmen und lit. f gegenüber der eingeladenen Person (Interesse des Unternehmens an der Zusammenarbeit im Team).
7. Buchung und Abrechnung
Wenn Sie Apps buchen, speichern wir, welche Apps und Pläne Ihr Unternehmen gebucht hat, Testphasen, Laufzeiten und Kündigungen. Die Zahlung wickelt Stripe ab (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Zahlungsdaten wie Kartennummer oder IBAN geben Sie direkt bei Stripe ein; wir erhalten sie nicht. Stripe übermittelt uns nur eine Kundennummer, den Status der Zahlung und Angaben zu Rechnungen. Für die Abrechnung erhält Stripe Name und E-Mail-Adresse des Inhabers, die Rechnungsadresse, gegebenenfalls die Umsatzsteuer-Identifikationsnummer sowie die gebuchten Positionen und den Verbrauch von KI-Funktionen. Stripe berechnet außerdem die Umsatzsteuer (Stripe Tax).
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Rechnungen und Buchungsbelegen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Diese Unterlagen bewahren wir je nach Art acht bis zehn Jahre auf, auch wenn das Unternehmen gelöscht wurde. Stripe kann Daten auch in den USA verarbeiten (siehe Abschnitt 13). Datenschutzhinweise von Stripe: https://stripe.com/de/privacy
8. KI-Funktionen
Einige Apps nutzen KI-Modelle von Anthropic (Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA). Wenn Sie eine solche Funktion verwenden, übermitteln wir die dafür nötigen Eingaben an Anthropic und erhalten die Antwort zurück. Das können personenbezogene Daten sein, wenn sie in den Eingaben enthalten sind. [Prüfen und bestätigen: Nach den gewerblichen Bedingungen von Anthropic werden diese Daten nicht zum Training von Modellen verwendet und nach [Frist] gelöscht.]
Für die Abrechnung protokollieren wir zu jedem Aufruf Unternehmen, App, Benutzer, Modell, Anzahl der Tokens, Kosten, Zeitpunkt und Zweck, nicht aber die Inhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Inhalte aus den Apps gilt Abschnitt 2 (Auftragsverarbeitung). Zur Übermittlung in die USA siehe Abschnitt 13.
9. E-Mails und Benachrichtigungen
Wir senden E-Mails, die für das Konto und die Buchungen nötig sind (zum Beispiel Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Einladungen, Hinweise zu Buchungen), sowie Benachrichtigungen der Apps, die Ihr Unternehmen eingeschaltet hat. Für den Versand nutzen wir Mailgun (Mailgun Technologies, Inc., USA) mit Servern in der EU. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir versenden keine Newsletter.
Benachrichtigungen erscheinen außerdem im Posteingang der Plattform. Hat ein Unternehmen eine Webhook-Adresse hinterlegt, senden wir die Benachrichtigung zusätzlich signiert an diese Adresse. Für die Verarbeitung beim Empfänger ist das Unternehmen selbst verantwortlich.
10. Änderungsprotokoll und Support
Wichtige Aktionen im Unternehmen, etwa Buchungen, Kündigungen, Änderungen an Mitgliedern und Rechten, protokollieren wir mit Zeitpunkt und handelnder Person. Das Protokoll sehen die Inhaber und Administratoren des Unternehmens und unsere Mitarbeiter. Zweck ist die Nachvollziehbarkeit von Änderungen und die Aufklärung von Missbrauch; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir speichern das Protokoll, [bis das Unternehmen gelöscht wird | höchstens [Anzahl] Tage].
Für den Support können sich unsere Mitarbeiter als Ihr Benutzer anmelden. Beginn, Ende und alle Aktionen dabei stehen im Änderungsprotokoll Ihres Unternehmens; Zugangsdaten ändern und Daten löschen ist dabei gesperrt.
11. Fehlerüberwachung
Um Fehler schnell zu finden, nutzen wir Sentry (Functional Software, Inc., 45 Fremont Street, San Francisco, CA 94105, USA) mit Datenspeicherung in der EU. Tritt ein Fehler auf, übermitteln wir technische Angaben wie Fehlermeldung, aufgerufene Adresse, Browser und Zeitpunkt. Namen, E-Mail-Adressen und Formularinhalte senden wir bewusst nicht mit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (stabiler Betrieb). Sentry löscht die Daten nach [90] Tagen.
12. Hosting und weitere Dienstleister
Wir setzen folgende Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein: – Hosting, Datenbank und Dateien: DigitalOcean, LLC, New York, USA; Rechenzentrum und Speicher (Spaces) in Frankfurt am Main – Schutz und Auslieferung der Website: Cloudflare, Inc., San Francisco, USA – Zahlungen: Stripe (Abschnitt 7) – E-Mail-Versand: Mailgun, Server in der EU (Abschnitt 9) – Fehlerüberwachung: Sentry, Speicherung in der EU (Abschnitt 11) – KI-Funktionen: Anthropic (Abschnitt 8)
Mit allen besteht ein Vertrag zur Auftragsverarbeitung. Stripe ist für Teile der Zahlungsabwicklung (zum Beispiel Betrugsprävention) selbst Verantwortlicher.
13. Übermittlung in Drittländer
Unsere Daten speichern wir in der EU. Einige Dienstleister haben ihren Sitz in den USA oder können im Einzelfall, etwa für Support oder Sicherheit, von dort auf Daten zugreifen. Für die USA besteht ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework), soweit der Empfänger danach zertifiziert ist. [Prüfen, welche Dienstleister zertifiziert sind.] Andernfalls stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie erhalten Sie auf Anfrage.
14. Speicherdauer und Löschung
Soweit oben nicht anders angegeben, löschen wir Daten, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht.
Inhaber können unter „Daten und Löschung“ jederzeit einen Export aller Daten ihres Unternehmens anfordern. Der Export steht sieben Tage zum Herunterladen bereit und wird dann gelöscht. Dort können Inhaber das Unternehmen auch vollständig löschen; damit werden alle Daten des Unternehmens einschließlich der Daten in den Apps gelöscht, ausgenommen Unterlagen, die wir aufbewahren müssen (Abschnitt 7). Die Löschung Ihres persönlichen Benutzerkontos können Sie per E-Mail an [E-Mail-Adresse] verlangen. Aus Sicherungskopien verschwinden gelöschte Daten spätestens nach [Anzahl] Tagen.
15. Ihre Rechte
Sie haben das Recht auf – Auskunft über Ihre Daten (Art. 15 DSGVO) – Berichtigung (Art. 16 DSGVO) – Löschung (Art. 17 DSGVO) – Einschränkung der Verarbeitung (Art. 18 DSGVO) – Datenübertragbarkeit (Art. 20 DSGVO) – Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Wenden Sie sich dazu formlos an [E-Mail-Adresse]. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: [Name und Anschrift der Aufsichtsbehörde].
16. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen
Die Angaben für Konto und Abrechnung brauchen wir, um den Vertrag zu schließen und zu erfüllen; ohne sie können Sie die Plattform nicht nutzen. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.
Wir passen diese Erklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.