Datenschutzerklärung

Stand: August 2026

1. Verantwortlicher

LokalFlow
Tim Brehmer
Untergasse 32
55234 Esselborn
Deutschland
E-Mail: lokalflow.ai@gmail.com

Bei Fragen zum Datenschutz wenden Sie sich bitte direkt an die oben genannte E-Mail-Adresse.

2. Übersicht der Verarbeitungen

LokalFlow ist eine SaaS-Plattform zur KI-gestützten Geschäftskommunikation für kleine und mittlere Unternehmen (KMU). Im Rahmen der Bereitstellung und Nutzung des Dienstes verarbeiten wir personenbezogene Daten. Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und ihre Zwecke zusammen; vollständige Details finden sich in den jeweiligen Abschnitten dieser Datenschutzerklärung.

Verarbeitete Datenkategorien im Überblick:

Stamm- und Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer)
Kommunikationsinhalte (Nachrichten, E-Mails, Sprachaufnahmen)
Nutzungs- und Protokolldaten (IP-Adresse, User-ID, Zeitstempel)
Inhaltsdaten (hochgeladene Dokumente, Geschäftsdaten)
Kalender- und Termindaten
KI-generierte Texte und Bilder (Entwürfe)

Verarbeitungszwecke im Überblick:

Bereitstellung und Betrieb der Plattform (Vertragserfüllung)
Kundenkommunikation über verschiedene Kanäle
KI-gestützte Textgenerierung, Bildgenerierung und Sprachtranskription
Verwaltung von Kundenbewertungen
CRM- und Kontaktverwaltung
Sicherheit, Audit-Logging und Compliance
Kalender-Synchronisation
Erstellung von Marketing-Inhalten

3. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, wenn eine der folgenden Rechtsgrundlagen gemäß Art. 6 Abs. 1 DSGVO vorliegt:

Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Die betroffene Person hat ihre Einwilligung zur Verarbeitung für einen oder mehrere bestimmte Zwecke gegeben. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.
Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Die Verarbeitung ist zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich.
Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung: Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt (z. B. handels- oder steuerrechtliche Aufbewahrungspflichten, Audit-Logging).
Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse: Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen. Wir setzen diese Rechtsgrundlage insbesondere für KI-gestützte Dienste, Sicherheitsmaßnahmen und die Weiterentwicklung unserer Plattform ein.

4. Cookies und Tracking

LokalFlow verwendet ausschließlich technisch notwendige Cookies für den Betrieb der Plattform (Session-Token, Authentifizierungs-Cookies, CSRF-Schutz). Für diese Cookies ist gemäß § 25 Abs. 2 TTDSG keine Einwilligung erforderlich.

Optionale Analyse- und Marketing-Cookies werden nur eingesetzt, wenn Sie hierzu ausdrücklich eingewilligt haben (§ 25 Abs. 1 TTDSG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Cookie-Einstellungen jederzeit in den Datenschutz-Einstellungen Ihres Nutzerkontos anpassen oder eine erteilte Einwilligung widerrufen.

Wir setzen aktuell keine Tracking-Pixel, Social-Media-Plugins oder verhaltensbasierte Werbenetzwerke ein.

5. Hosting und Infrastruktur

Unsere Server werden betrieben bei:

Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen
Deutschland

Der Kernbetrieb der Plattform erfolgt auf Servern innerhalb der Europäischen Union. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Die Infrastruktur ist ISO 27001-zertifiziert. Soweit für einzelne Funktionen weitere Auftragsverarbeiter eingesetzt werden, gelten die Angaben zu diesen Empfängern und möglichen Drittlandtransfers in den nachfolgenden Abschnitten und der aktuellen AVV-Anlage. Bei Zugriffen können Server-Logdaten (IP-Adresse, Zeitstempel, aufgerufene URL, HTTP-Statuscode) zur IT-Sicherheit und Fehlerdiagnose vorübergehend gespeichert werden. Die konkrete Aufbewahrung richtet sich nach der dokumentierten Betriebs- und Providerkonfiguration.

6. KI-Verarbeitung

Für KI-gestützte Funktionen setzen wir Modelle von Mistral AI, S.A.S., 15 rue des Halles, 75001 Paris, Frankreich, ein. Mistral AI ist ein europäisches Unternehmen mit Sitz in Frankreich. Die Verarbeitung erfolgt auf Grundlage des Data Processing Addendum (DPA) von Mistral AI; die konkrete Verarbeitungsregion sowie Subprozessoren ergeben sich aus den jeweils geltenden Anbieterbedingungen und werden im Rahmen der AVV-Anlage transparent gemacht.

Für die Erzeugung und gezielte Bearbeitung von Marketingbildern kann zusätzlich Microsoft Foundry der Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, mit dem Modell FLUX.2 Pro eingesetzt werden. Der freigegebene Pfad nutzt eine EU Data Zone; Prompts und Antworten werden dabei nach der Microsoft-Dokumentation innerhalb der EU-Datenzone verarbeitet und nicht zum Training der Basismodelle verwendet. Ein direkter Produktivaufruf der Black-Forest-Labs-API erfolgt nicht. Automatisierte Inhalts- und Missbrauchsprüfungen sowie begrenzte Prüfungen markierter Inhalte durch autorisierte Personen können nach den Microsoft-Bedingungen stattfinden. Details und der jeweilige Freigabestatus stehen in der AVV-Anlage.

Technisch freigegebene KI-Anbieter werden zweck-, datenklassen- und regionsbezogen über einen zentralen KI-Router ausgewählt. Zulässige Anbieter und Verarbeitungsregionen werden in der AVV-Anlage geführt.

Eingesetzte KI-Dienste:

Textgenerierung: Automatische Antwortvorschläge und E-Mail-Entwürfe. Vor dem KI-Aufruf erfolgt eine zweck- und datenklassenbezogene Datenschutzprüfung. Der übermittelte Inhalt wird minimiert und, soweit für den Zweck möglich, durch ein internes Maskierungsverfahren reduziert. Nicht zulässige Aufrufe werden blockiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Bildgenerierung und Bildbearbeitung: Erstellung von Marketing-Bildmaterial auf Basis von Prompt-Texten sowie gezielte Bearbeitung eines vom Nutzer ausgewählten Referenzbilds. Übertragen werden der erforderliche Prompt und bei einer Bearbeitung das konkrete Referenzbild. Bilder mit erkennbaren Personen oder anderen personenbezogenen Angaben dürfen nur mit einer passenden Rechtsgrundlage und geklärten Bild-, Persönlichkeits-, Marken- und Urheberrechten verwendet werden. Eine Veröffentlichung bleibt ein separater Freigabeschritt. Die konkrete Rechtsgrundlage richtet sich nach Zweck und Bildinhalt, insbesondere Art. 6 Abs. 1 lit. b oder f DSGVO sowie, soweit erforderlich, einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Sprachtranskription: Umwandlung von Sprachnachrichten in Text, sofern entsprechende Kanäle aktiv sind. Audiodaten werden zur Transkription übertragen und nur im erforderlichen Umfang verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Wir setzen technische und organisatorische Maßnahmen wie Datenminimierung, zweckbezogene Datenschutzprüfungen, risikoadäquate Maskierung und Human-in-the-loop-Freigaben ein. Externe oder folgenreiche Aktionen werden nur nach konkreter Freigabe oder innerhalb einer zuvor genehmigten engen Regel ausgeführt. Aussagen zu Speicherdauer, Trainingsnutzung und Verarbeitungsregion richten sich nach den jeweils geltenden Vertragsbedingungen des eingesetzten Anbieters und werden in der AVV-Anlage ausgewiesen.

KI-generierte Inhalte werden in den unterstützten Oberflächen gekennzeichnet. Bei direkter automatisierter KI-Interaktion wird der Transparenzhinweis kanalbezogen beim ersten Kontakt dokumentiert (vgl. EU AI Act, Art. 50).

7. Kommunikationskanäle

7.1 WhatsApp Business

Sofern die WhatsApp-Integration aktiv ist, erfolgt sie über Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland. Bei der Nutzung von WhatsApp für die Kundenkommunikation werden Nachrichten über die Infrastruktur von Meta übertragen. Meta verarbeitet hierbei Metadaten gemäß den WhatsApp Business Terms of Service und den zugehörigen Data Processing Terms. Für eine mögliche Datenübertragung in Drittländer nutzt Meta Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Je nach genutztem WhatsApp-Modus (geteilte Pilotnummer, dediziert verwaltete Nummer oder kundeneigener WhatsApp Business Account) kann die Verantwortlichkeit unterschiedlich verteilt sein; Einzelheiten regelt der jeweilige Auftragsverarbeitungsvertrag.

7.2 Telegram (optional, intern)

Sofern ein Telegram-Kanal als interner Steuerungs-, Freigabe- oder Reportkanal aktiviert ist, erfolgt die Integration über die Bot-API von Telegram FZ-LLC (Dubai, VAE) und Telegram Messenger Limited (London, UK). Bot-Nachrichten sind nicht Ende-zu-Ende-verschlüsselt. Über LokalFlow verarbeitete Nachrichten werden auf unseren EU-Servern gespeichert. Telegram wird nicht als klassischer Auftragsverarbeiter behandelt; der Einsatz erfolgt im Rahmen einer dokumentierten Risikoentscheidung und ist auf interne Pilotfälle beschränkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

7.3 E-Mail-Versand (Brevo)

Für den Versand von System-E-Mails (z. B. Registrierungs- und Verifikations-Mails, Passwort-Reset, Benachrichtigungen) nutzen wir den SMTP-Relay-Dienst von Brevo SAS (ehemals Sendinblue), 55 rue d'Amsterdam, 75008 Paris, Frankreich. Brevo ist ein EU-ansässiges Unternehmen. Mit Brevo gelten die in den General Conditions of Use enthaltenen Vertrags- und Datenschutzbestimmungen einschließlich des Data Processing Agreement gemäß Art. 28 DSGVO. Verarbeitet werden insbesondere E-Mail-Adresse, ggf. Name, Inhalt der jeweiligen Nachricht sowie Zustell- und Bounce-Metadaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

7.4 KI-Telefonie (optional)

Sofern KI-Telefonie als optionale Funktion aktiviert wird, erfolgt die Bereitstellung über einen darauf spezialisierten Anbieter (Famulor). Verarbeitet werden in diesem Fall insbesondere Telefonnummern, Anruf-Metadaten, ggf. Audioaufnahmen und Transkripte. Diese Funktion ist nicht standardmäßig aktiv und wird erst nach gesonderter Aktivierung im jeweiligen Mandanten genutzt. Region, Speicherfristen und Subprozessoren ergeben sich aus dem jeweiligen Anbietervertrag und werden im Rahmen der AVV-Anlage ausgewiesen, sobald die Funktion produktiv genutzt wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

8. Google-Dienste (optional, je Mandant)

Folgende Dienste von Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland bzw. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA werden nur eingesetzt, wenn die zugehörige Funktion oder Verknüpfung im Mandanten ausdrücklich aktiviert wurde:

Google Calendar API: Bidirektionale Kalender-Synchronisation für Terminverwaltung. Übertragen werden Name, E-Mail-Adresse und Terminzeiten.
Google Business Profile API: Abruf und Verwaltung von Kundenbewertungen (Bewertungstext, Kundenname).
Google Maps: Kartendarstellung in optionalen Funktionen. Generierte Kundenwebsites zeigen ohne separate Freigabe nur einen Kartenlink oder Platzhalter; externe Embeds duerfen erst nach Consent-/Legal-Pruefung genutzt werden.
Google Fonts: Generierte Kundenwebsites laden Google Fonts standardmaessig nicht extern. Falls ein Mandant externe Fonts einbindet, ist lokale Bereitstellung oder eine passende Consent-/Legal-Pruefung erforderlich.

Die Authentifizierung für Google-API-Dienste erfolgt über OAuth 2.0. Google kann Daten in die USA übermitteln; die Übermittlung wird durch Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

8a. Microsoft-Dienste (optional, je Mandant)

Sofern Funktionen wie Outlook-/Microsoft-365-Kalender- Synchronisation aktiviert sind, werden Daten an Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland bzw. Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA übermittelt. Die Authentifizierung erfolgt über OAuth 2.0. Microsoft kann Daten ggf. in die USA übermitteln; die Übermittlung ist durch Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Zahlungsabwicklung (optional)

Sofern eine kostenpflichtige Nutzung aktiviert wird, erfolgt die Zahlungsabwicklung über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland bzw. Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA. Zahlungsdaten werden ausschließlich über die verschlüsselte Stripe-Infrastruktur verarbeitet; LokalFlow selbst speichert keine Kreditkarten- oder Bankdaten. Stripe verarbeitet Daten ggf. in den USA auf Grundlage von Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

9a. Weitere optionale Integrationen

Bestimmte Integrationen sind nicht standardmäßig aktiv, sondern werden nur eingesetzt, wenn der Verantwortliche sie in seinem Mandanten verbindet oder beauftragt:

Zapier, Inc. für externe Automationen und Drittsystem-Integrationen. Übertragen werden je nach Zap unterschiedliche Datenkategorien (z. B. Leads, Termine, Formulardaten). Zapier kann Daten in den USA verarbeiten und nutzt hierfür SCC.
Trustpilot A/S für optionalen Review-Import, Review-Einladungen oder Widgets. Übertragen werden je nach Funktion Name, E-Mail-Adresse, Bestell-/Reviewdaten sowie Metadaten.

Die jeweiligen Anbieter handeln auf Basis ihrer Vertragsbedingungen und DPA. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

9b. Clientseitige Drittinhalte und Website-Analyse

In von LokalFlow erzeugten Website-Inhalten und in der Website-Analyse können Dienste Dritter eingebunden sein. Diese Dienste sind keine klassischen Auftragsverarbeiter, werden jedoch aus Transparenzgründen ausgewiesen:

Unsplash: Bildmaterial fuer generierte Website-Vorlagen. Template- oder KI-Bilder duerfen nur mit geklaerter Lizenz und bevorzugt lokal gespeichert genutzt werden; Kunden bleiben fuer Bildrechte verantwortlich.
Jina AI / Elastic: Website-Analyse und Fallback-Fetching öffentlicher Inhalte. Verarbeitet werden URLs und öffentlich abrufbare Inhalte.
Internet Archive (Wayback): Abruf historischer Website-Zustände für die Analyse.
QRServer (api.qrserver.com): Erzeugung von QR-Codes für Referral-/Marketing-Funktionen. Eine Migration zu lokaler QR-Code-Generierung ist geplant.
Web Push (VAPID): Browser-Push-Benachrichtigungen werden über die Push-Dienste der jeweiligen Browserhersteller zugestellt und ausschließlich nach Opt-in genutzt.

10. Rechte der betroffenen Personen

Sie haben gegenüber uns folgende Rechte bezüglich Ihrer personenbezogenen Daten:

Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die von uns verarbeiteten personenbezogenen Daten verlangen. LokalFlow stellt hierfür eine integrierte Exportfunktion in den Kontoeinstellungen bereit.
Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten zu verlangen.
Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine Aufbewahrungspflichten entgegenstehen. Eine vollständige Account-Löschung ist direkt in den Datenschutz-Einstellungen möglich.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung Ihrer Daten verlangen.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. LokalFlow bietet einen vollständigen Datenexport in den Kontoeinstellungen an.
Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) jederzeit widersprechen. Bei Verarbeitungen zu Direktmarketingzwecken ist der Widerspruch stets ohne Angabe von Gründen möglich.
Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: lokalflow.ai@gmail.com

11. Speicherfristen

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Konkrete Fristen im Überblick:

Audit-Logs: 90 Tage, danach automatische Löschung
Personenbezogene Opportunity-Evidenz und Report-Payloads: standardmäßig 90 Tage
Minimierte Aktions-, Zustell- und KI-Nachweise: standardmäßig 90 Tage; abweichende gesetzliche Aufbewahrung oder ein dokumentierter Legal Hold gehen vor
Flowy-Chat-Sessions: 30 Tage nach der letzten Aktivität
Marketing-Bilder (KI-generiert): 90 Tage
Kontaktdaten: Bis zur Löschung durch den Nutzer oder Vertragsbeendigung
Konversationen (alle Kanäle): 90 Tage nach Konversationsende
Mandantendaten nach Vertragsbeendigung: Löschung innerhalb von 30 Tagen nach Vertragsende, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen
Buchhaltungsrelevante Daten (Rechnungen, Zahlungsbelege): 10 Jahre gemäß § 257 HGB und § 147 AO

Nach Ablauf der jeweiligen Frist werden Daten nach der technisch hinterlegten Löschregel gelöscht oder so anonymisiert, dass kein Bezug mehr zu natürlichen Personen hergestellt werden kann. Gesetzliche Aufbewahrungspflichten, dokumentierte Legal Holds und technisch notwendige Sicherungszyklen können dem vorübergehend entgegenstehen.

12. Datensicherheit

Wir setzen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO ein:

Transportverschlüsselung: Externe Plattformverbindungen werden über HTTPS/TLS abgesichert; die konkret eingesetzten Protokollversionen ergeben sich aus der produktiven Infrastrukturkonfiguration.
Authentifizierung: JWT-basierte Authentifizierung mit kurzen Token-Laufzeiten sowie optionale Zwei-Faktor-Authentifizierung (2FA).
Mandantentrennung: Logische Trennung durch verpflichtende Tenant-Zuordnung, tenantgebundene Abfragen und rollenbasierte Zugriffskontrollen.
Audit-Logging: Sicherheitsrelevante Aktionen werden tenantbezogen mit einer dokumentierten Aufbewahrungsregel protokolliert.
Datenschutz-Gateway: KI-Aufrufe werden vor der Übertragung zweck-, rollen- und datenklassenbezogen geprüft. Inhalte werden je nach Zweck minimiert oder maskiert; unzulässige Aufrufe werden blockiert.
Backups: Sicherungen, Aufbewahrung und Wiederherstellung richten sich nach der dokumentierten produktiven Backup-Konfiguration und werden regelmäßig geprüft.
Zugriffskontrollen: Rollenbasierte Zugriffskontrolle (RBAC), Prinzip der minimalen Rechtevergabe (Least Privilege).
Sicherheitsupdates: Regelmäßige Aktualisierung aller Systemkomponenten und Abhängigkeiten.

13. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen gemäß Art. 77 DSGVO das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.

Zuständig ist der/die Landesbeauftragte/r für den Datenschutz des jeweiligen Bundeslandes des Verantwortlichen sowie des Landes, in dem Sie Ihren gewöhnlichen Aufenthalt oder Arbeitsplatz haben. Eine Liste aller deutschen Datenschutz-Aufsichtsbehörden finden Sie auf der Website der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI).

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen oder Änderungen unserer Leistungen zu entsprechen. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert. Die jeweils aktuelle Fassung gilt ab dem angegebenen Datum.

Stand: Mai 2026