Datenschutzerklärung
Stand: September 2026
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Brandilyst UG (haftungsbeschränkt)
Gasthaus Str. 2, 47533 Kleve, Deutschland
E-Mail: info@brandilyst.de
Telefon: +49 1521 3573675
2. Überblick über die Datenverarbeitung
Einfach Fahrschule ist eine KI-gestützte SaaS-Plattform für Fahrschulen. Sie besteht aus:
- Admin-Dashboard (app.einfach-fahrschule.de) — für Fahrschulmitarbeiter zur Verwaltung von Einstellungen, FAQs, Preisen und Chat-Auswertung.
- Chatbot-Widget — wird auf Fahrschul-Websites eingebettet und beantwortet Schüleranfragen automatisiert mittels KI.
Diese Datenschutzerklärung gilt für beide Bereiche.
3. Welche Daten wir erheben
3.1 Admin-Dashboard (Mitarbeiter-Bereich)
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Name, E-Mail, Passwort (gehasht) | Benutzerauthentifizierung und Zugangssteuerung | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Rolle (Super Admin, Besitzer, Personal) | Berechtigungssteuerung innerhalb der Plattform | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Session-JWT (httpOnly-Cookie) | Aufrechterhaltung der Anmeldesitzung | Art. 6 Abs. 1 lit. f DSGVO (Berechtigt) |
3.2 Chatbot-Widget (Website-Besucher)
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Name, E-Mail (vom Besucher eingegeben) | Kontaktzwecke und Zuordnung der Chat-Sitzung | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Chat-Nachrichten | Beantwortung von Anfragen mittels KI, Qualitätssicherung | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Standort (optional, Dropdown-Auswahl) | Standortspezifische Informationen bereitstellen | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Zufriedenheitsbewertung (CSAT, optional) | Qualitätssicherung und Serviceoptimierung | Art. 6 Abs. 1 lit. f DSGVO (Berechtigt) |
4. Auftragsverarbeiter und Drittdienste
Zur Bereitstellung unseres Dienstes setzen wir folgende Drittanbieter ein:
| Dienst | Anbieter | Zweck | Standort |
|---|---|---|---|
| KI-Sprachmodell (Chat, Standard) | OpenAI, L.L.C. | Verarbeitung von Chat- und E-Mail-Nachrichten zur KI-Antwortgenerierung (Modell GPT-4o mini) | USA (EU-Standardvertragsklauseln) |
| KI-Sprachmodell (Chat, Alternative) | Anthropic, PBC | Alternatives Modell zur KI-Antwortgenerierung (Claude Haiku), umschaltbar | USA (EU-Standardvertragsklauseln) |
| KI-Sprachverarbeitung (Telefonie) | OpenAI, L.L.C. (Realtime API) | Echtzeit-Verarbeitung eingehender Sprache im Telefon-Kanal | USA (EU-Standardvertragsklauseln) |
| Vektordatenbank (RAG) | Qdrant Solutions GmbH (Qdrant Cloud) | Semantische Suche in FAQs und Schulinhalten | EU (Frankfurt, Deutschland) |
| Telefonie | sipgate GmbH | Bereitstellung der Rufnummer und Anrufweiterleitung im Telefon-Kanal | Deutschland |
| WhatsApp Business | Meta Platforms Ireland Ltd. / Meta Platforms, Inc. | Empfang und Versand von Nachrichten im WhatsApp-Kanal | Irland / USA (EU-Standardvertragsklauseln, EU-US Data Privacy Framework) |
| E-Mail-Postfach (IMAP/SMTP) | Von der Fahrschule bereitgestellter E-Mail-Anbieter | Empfang und Versand von E-Mails im E-Mail-Kanal | Abhängig vom Anbieter der Fahrschule |
| E-Mail-Versand (transaktional) | Resend, Inc. | Transaktions-E-Mails (Passwort-Zurücksetzung, Einladungen, Benachrichtigungen) | USA (EU-Standardvertragsklauseln) |
| Server-Hosting (Produktion) | Hostinger International Ltd. | VPS-Hosting der Anwendung und der Produktionsdatenbank (PostgreSQL) | Deutschland (Frankfurt) |
| Datenbank (Entwicklung) | Neon, Inc. | PostgreSQL-Hosting der Entwicklungsumgebung (keine produktiven Fahrschüler-Daten) | USA (Unternehmenssitz), Server in der EU (Frankfurt) |
Mit allen Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO. Bei Datenübermittlungen in die USA wird die Datenübermittlung durch EU-Standardvertragsklauseln (SCC) abgesichert.
4.1 Google-Nutzerdaten (Gmail / Google Workspace über OAuth)
Verbindet eine Fahrschule ihr Gmail- oder Google-Workspace-Postfach über "Mit Google verbinden" mit dem E-Mail-Kanal, erfolgt die Anmeldung über Google OAuth 2.0. Es wird kein Passwort an uns übermittelt. Einfach Fahrschule fordert dabei folgende Google-Berechtigungen (Scopes) an:
- https://mail.google.com/: Zugriff auf das verbundene Postfach über IMAP und SMTP, um eingehende E-Mails zu lesen und Antworten im Namen der Fahrschule zu versenden.
- openid, https://www.googleapis.com/auth/userinfo.email: Ermittlung der E-Mail-Adresse des verbundenen Google-Kontos, damit das richtige Postfach zugeordnet wird.
Zweck: Die Berechtigungen werden ausschließlich dafür genutzt, an das Postfach der Fahrschule gerichtete Anfragen zu empfangen, dazu KI-gestützte Antwortentwürfe zu erstellen (siehe Ziffer 6) und freigegebene oder automatische Antworten über SMTP zu versenden. Eine Nutzung für Werbung, ein Verkauf der Daten oder eine Weitergabe an Dritte, die nicht in Ziffer 4 als Auftragsverarbeiter genannt sind, findet nicht statt. Mitarbeiter von Brandilyst lesen E-Mail-Inhalte nur, wenn dies für Support auf ausdrücklichen Wunsch der Fahrschule, zur Sicherheitsanalyse oder aus rechtlichen Gründen erforderlich ist.
Speicherung: Die von Google ausgestellten Zugriffs- und Aktualisierungstoken werden mit AES-256-GCM verschlüsselt in unserer Produktionsdatenbank in Deutschland gespeichert und ausschließlich serverseitig zum Aufbau der IMAP/SMTP-Verbindung entschlüsselt. E-Mail-Inhalte werden wie Chat-Nachrichten behandelt (Ziffern 3, 6 und 7).
Widerruf: Die Fahrschule kann die Verbindung jederzeit im Dashboard unter "E-Mail" trennen; die gespeicherten Token werden dabei gelöscht. Zusätzlich kann der Zugriff in den Google-Kontoeinstellungen unter myaccount.google.com/permissions entzogen werden.
Die Nutzung und Weitergabe der Informationen, die Einfach Fahrschule über Google-APIs erhält, richtet sich nach der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).Einfach Fahrschule's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
5. Cookies und Sitzungsdaten
Wir verwenden ausschließlich technisch notwendige Cookies:
| Cookie | Zweck | Dauer |
|---|---|---|
| authjs.session-token | Authentifizierung im Admin-Dashboard (JWT, httpOnly) | Sitzung |
| ef_lang | Sprachpräferenz (DE/EN) im localStorage | Dauerhaft |
Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt. Ein Cookie-Banner ist daher nicht erforderlich.
6. KI-Verarbeitung
Der Schutz Ihrer personenbezogenen Daten hat bei der KI-Verarbeitung für uns oberste Priorität. Zur Verarbeitung von Nutzernachrichten und zur Generierung von Antworten setzt der Chatbot große Sprachmodelle (LLM) sorgfältig ausgewählter Anbieter ein. Standardmäßig wird das Modell GPT-4o mini von OpenAI verwendet; alternativ kann das Modell Claude Haiku von Anthropic zum Einsatz kommen. Im Telefon-Kanal wird eingehende Sprache in Echtzeit über die Realtime-Schnittstelle von OpenAI verarbeitet. Wir haben diese Verarbeitung durchgängig datenschutzfreundlich ausgestaltet:
- Auftragsverarbeitung und geeignete Garantien: Mit allen KI-Anbietern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Übermittlungen in die USA werden durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert (siehe Ziffer 4).
- Kein Training mit Ihren Daten: Die KI-Anbieter verwenden die über die Programmierschnittstelle (API) übermittelten Inhalte gemäß ihren Nutzungsbedingungen nicht zum Training ihrer Modelle.
- Speicherung in Deutschland: Chatverläufe und Stammdaten werden in unserer Produktionsdatenbank auf Servern in Deutschland gespeichert. Die semantische Suche (RAG) erfolgt über einen Dienst mit Serverstandort in der EU (Frankfurt).
- Datenminimierung: An die KI-Anbieter werden ausschließlich die für die Beantwortung der jeweiligen Anfrage erforderlichen Inhalte übermittelt.
- Es findet kein automatisiertes Profiling oder automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.
- Die KI-Antworten dienen ausschließlich der Information und stellen keine rechtsverbindlichen Auskünfte dar.
7. Speicherdauer
| Datenkategorie | Aufbewahrungsfrist |
|---|---|
| Chat-Sitzungen und Nachrichten | Gespeichert für die Dauer der Geschäftsbeziehung zwischen Ihnen und der Fahrschule; Löschung auf Anfrage (Art. 17 DSGVO, "Recht auf Vergessenwerden") oder sobald die Daten nicht mehr benötigt werden |
| Audit-Protokolle | Gespeichert für die Dauer der Geschäftsbeziehung; Löschung, sobald die Daten nicht mehr benötigt werden |
| Leistungsmetriken | Gespeichert für die Dauer der Geschäftsbeziehung; Löschung, sobald die Daten nicht mehr benötigt werden |
| Benutzerkonten (Mitarbeiter) | Bis zur Kontolöschung durch den Administrator |
8. Ihre Rechte
Sie haben gemäß DSGVO folgende Rechte:
- Auskunft (Art. 15) — Welche Daten wir über Sie gespeichert haben
- Berichtigung (Art. 16) — Korrektur unrichtiger Daten
- Löschung (Art. 17) — Löschung Ihrer Daten ("Recht auf Vergessenwerden")
- Einschränkung (Art. 18) — Einschränkung der Verarbeitung
- Datenübertragbarkeit (Art. 20) — Erhalt Ihrer Daten in maschinenlesbarem Format
- Widerspruch (Art. 21) — Widerspruch gegen die Verarbeitung
- Widerruf der Einwilligung (Art. 7 Abs. 3) — Jederzeit mit Wirkung für die Zukunft
Zur Ausübung Ihrer Rechte wenden Sie sich an: info@brandilyst.de
9. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die zuständige Aufsichtsbehörde richtet sich nach dem Sitz unseres Unternehmens:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestr. 2-4, 40213 Düsseldorf
www.ldi.nrw.de
10. Datensicherheit
Wir setzen folgende technische und organisatorische Maßnahmen ein:
- Verschlüsselte Datenübertragung (TLS/HTTPS) für alle Verbindungen
- Passwörter werden mit bcrypt (Kostenfaktor 12) gehasht und nie im Klartext gespeichert
- Authentifizierung über signierte JWT-Token in httpOnly-Cookies
- Rollenbasierte Zugriffskontrolle (Super Admin, Besitzer, Personal)
- Mandantenisolation — jede Fahrschule sieht nur ihre eigenen Daten
- HMAC-signierte Widget-Sitzungstoken mit Replay-Schutz
- Passwort-Zurücksetzungs-Token mit 1-Stunden-Ablauf
- Rate-Limiting auf allen API-Endpunkten
11. Änderungen
Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die aktuelle Version ist stets auf dieser Seite abrufbar.