Datenschutzerklärung für das Portal

Für Betriebe und ihre Mitarbeiter, die leanframe nutzen (app.leanframe.de). Für die Website leanframe.de gilt die Datenschutzerklärung der Website. Stand: 1. November 2026.

1. Verantwortlicher

Georg Flossmann, handelnd unter „leanframe“, Ickelsamerstraße 35, 81825 München, E-Mail: kontakt@leanframe.de (weitere Angaben im Impressum).

2. Worum es hier geht und worum nicht

Diese Erklärung betrifft Daten der Nutzer des Portals: Inhaber, Admins und Mitarbeiter eines Betriebs, die sich anmelden, sowie Daten zum Vertrag mit dem Betrieb.

Die Daten der Kunden eines Betriebs (Endkunden, die im Chat, per Mail oder über die Buchungsseite einen Termin buchen) verarbeiten wir im Auftrag des Betriebs. Verantwortlich ist dort der Betrieb; es gilt der Vertrag zur Auftragsverarbeitung. Endkunden finden die Datenschutzerklärung des Betriebs im Chat und auf der Buchungsseite.

3. Konto und Anmeldung

• Daten: Name, E-Mail-Adresse, Rolle (z. B. Inhaber, Mitarbeiter), Sprache, Einstellungen für Benachrichtigungen, Zeitpunkt der letzten Anmeldung.
• Anmeldung ohne Passwort: Sie bekommen einen Code oder Link per E-Mail. Er gilt 15 Minuten und einmal; die Anmelde-Mail löschen wir nach einem Tag aus unserem Versand.
• Passkey (freiwillig, oder vom Betrieb vorgeschrieben): Mit einem Passkey melden Sie sich ohne E-Mail an; Ihr Betrieb kann ihn für Admins oder alle Nutzer vorschreiben, dann bestätigen Sie nach dem Code zusätzlich mit dem Passkey. Wir speichern nur den öffentlichen Schlüssel, seine Kennung, den Namen des Geräts (z. B. „iPhone“), wann er eingerichtet und zuletzt benutzt wurde und für welche Betriebe er gilt. Fingerabdruck, Gesicht oder PIN prüft nur Ihr Gerät; sie erreichen uns nie. Bei einem neuen Passkey und beim Zurücksetzen bekommen Sie eine E-Mail; beides steht mit Name und Zeitpunkt im Protokoll des Betriebs. Admins Ihres Betriebs sehen, ob Sie einen Passkey haben, und können ihn zurücksetzen, wenn Sie alle verloren haben.
• Sitzung: ein technisch notwendiges Cookie (lf_session, nur für app.leanframe.de; bei der Anmeldung mit Passkey zusätzlich lf_pk für höchstens 5 Minuten). Es endet nach 14 Tagen oder nach 3 Tagen ohne Nutzung. Andere Cookies, Analyse- oder Werbedienste nutzen wir nicht. Einige Anzeige-Einstellungen (z. B. hell/dunkel, Anordnung der Übersicht) speichert Ihr Browser lokal; sie verlassen Ihr Gerät nicht.
• Rechtsgrundlage: Vertrag mit dem Betrieb und Ihre Nutzung des Portals (Art. 6 Abs. 1 lit. b DSGVO); bei Mitarbeitern eines Betriebs das berechtigte Interesse des Betriebs und von leanframe, den Zugang bereitzustellen (Art. 6 Abs. 1 lit. f DSGVO).

4. Nutzung des Portals

• Protokoll: Änderungen an Einstellungen, Terminen und Zugängen protokollieren wir mit Name und Zeitpunkt, damit der Betrieb nachvollziehen kann, wer was geändert hat (Art. 6 Abs. 1 lit. f DSGVO).
• Server-Protokolle: Bei jedem Aufruf verarbeitet unser Server IP-Adresse, Zeitpunkt, Adresse der Anfrage und Browser-Kennung, um das Portal auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle löschen wir nach 14 Tagen.
• Assistent im Portal: Fragen und Aufträge an den Assistenten werden mit dem KI-Sprachmodell von Anthropic beantwortet (siehe 7). Der Verlauf ist nur für Sie sichtbar. Gespräche, die Sie länger nicht fortgesetzt haben, löschen wir automatisch nach 6 Monaten (der Betrieb kann 1 bis 36 Monate einstellen); Sie können einzelne Gespräche auch selbst löschen. Vorschläge des Assistenten (z. B. ein Angebot oder eine Mail an einen Kunden) führt er erst aus, wenn Sie sie bestätigen.
• Support: Nur wenn der Betrieb uns darum bittet, öffnen wir eine zeitlich begrenzte Support-Sitzung. Sie wird mit Grund protokolliert, und der Betrieb wird per E-Mail informiert.

5. Verbindung mit Google, Microsoft und Apple

Auf Wunsch verbinden Sie Kalender, Postfach oder Adressbuch Ihres Betriebs mit leanframe. Dabei melden Sie sich beim Anbieter an und erlauben den Zugriff; bei Apple iCloud tragen Sie ein App-spezifisches Passwort ein.

• Was wir verarbeiten: Termine und frei/belegt-Zeiten der Kalender, die Sie auswählen (um freie Zeiten zu finden und Buchungen einzutragen); Mails im verbundenen Postfach (um Terminanfragen zu beantworten, nach Ihren Einstellungen); Kontakte in der Gruppe „leanframe“ (wenn Sie Ihre Kunden ins Adressbuch übernehmen; bei Outlook die Kategorie „leanframe“): Wir schreiben dort Name, Telefonnummer, E-Mail-Adresse und, je nach Ihrer Einstellung, eine kurze Notiz (mit oder ohne Namen Ihres Betriebs) zu Ihren Kunden mit Termin, halten sie aktuell und löschen sie, wenn Sie einen Kunden löschen oder zusammenführen, die Funktion mit „Kontakte entfernen“ abschalten oder Ihr Betrieb geschlossen wird. Kontakte außerhalb dieser Gruppe lesen oder ändern wir nicht (bei Google lesen wir nur die Namen Ihrer Kontaktgruppen, um die Gruppe „leanframe“ wiederzufinden).
• Zugangsdaten: Wir speichern nur den Zugangsschlüssel des Anbieters (Refresh-Token) bzw. das App-Passwort, verschlüsselt (AES-256-GCM). Trennen Sie die Verbindung im Portal, löschen wir sie sofort. Sie können den Zugriff jederzeit auch beim Anbieter widerrufen.
• Rechtsgrundlage: Vertrag mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO); für Daten der Kunden des Betriebs der Vertrag zur Auftragsverarbeitung.

Google-Daten (Limited Use): Verbinden Sie ein Google-Konto, liest und schreibt leanframe nur die Kalender, die Sie auswählen, und legt auf Wunsch Ihre Kunden in einer Kontaktgruppe „leanframe“ an. Die Nutzung und Weitergabe von Informationen, die leanframe über Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Wir nutzen diese Daten nicht für Werbung, verkaufen sie nicht, geben sie nur an die unten genannten Dienstleister weiter, soweit es für die Funktion nötig ist, und nutzen sie nicht zum Training allgemeiner KI-Modelle. Menschen bei leanframe sehen diese Daten nur, wenn Sie es ausdrücklich erlauben (Support-Sitzung), wenn es zur Sicherheit oder nach Gesetz nötig ist.

6. Vertrag und Bezahlung

• Daten: Name und Anschrift des Betriebs, Ansprechpartner, Paket, Abo-Zustand, Verbrauch im Monat (z. B. Zahl der Kunden-Chats), Rechnungen.
• Bezahlung: über Stripe (Stripe Payments Europe, Ltd., Irland). Zahlungsdaten (Karte, Konto) gibt der Betrieb direkt bei Stripe ein; wir sehen sie nicht. Stripe ist für die Zahlungsabwicklung selbst verantwortlich: Datenschutz bei Stripe.
• Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO); Rechnungen bewahren wir nach Steuer- und Handelsrecht auf (Art. 6 Abs. 1 lit. c DSGVO, in der Regel 8 bzw. 10 Jahre).

7. Dienstleister

Mit Hetzner, Scaleway und Anthropic haben wir Verträge zur Auftragsverarbeitung. Für die Übermittlung in die USA gelten das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Anthropic nutzt Daten aus der API nicht zum Training und löscht sie nach seinen Fristen (in der Regel nach 30 Tagen). Die aktuelle Liste steht unter Unterauftragnehmer.

8. Speicherdauer

• Konto und Einstellungen: solange der Zugang besteht. Entfernt ein Admin einen Nutzer, wird der Zugang sofort gesperrt; der Name bleibt im Protokoll des Betriebs.
• Passkeys: solange sie einem Zugang zugeordnet sind. Entfernen Sie einen Passkey, setzt ein Admin ihn zurück oder wird der Zugang gelöscht, löschen wir den öffentlichen Schlüssel sofort.
• Daten des Betriebs: Nach dem Ende des Vertrags oder der Testphase löschen wir alle Daten 30 Tage nach der Schließung endgültig (siehe AGB Ziffer 7).
• Sicherungen werden spätestens 35 Tage nach ihrer Erstellung überschrieben oder gelöscht; das gilt auch für die Kopie bei Scaleway.
• Gespräche mit dem Assistenten: 6 Monate nach der letzten Nachricht (einstellbar, siehe 4).
• Server-Protokolle: 14 Tage. Rechnungen: gesetzliche Fristen (siehe 6).

9. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen. Schreiben Sie an kontakt@leanframe.de. Sie können sich außerdem bei einer Aufsichtsbehörde beschweren, z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Pflicht zur Angabe von Daten: Ohne E-Mail-Adresse ist keine Anmeldung möglich. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht.