Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO):

Johannes Krupp
Innsbrucker Weg 1, 67067 Ludwigshafen am Rhein
E-Mail: kontakt@autflow.de

Besonderheit dieser Plattform: Für Daten, die Gäste über die Buchungsseite eines Betriebs eingeben oder die im Auftrag eines Betriebs verarbeitet werden (z. B. Feedback-E-Mails, Anruf-Transkripte), ist datenschutzrechtlich der jeweilige Betrieb (Restaurant, Hotel usw.) Verantwortlicher; wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags.

Diese Anwendung wird bei Netlify, Inc. (USA) gehostet; die Datenbank liegt bei Supabase (PostgreSQL). Beim Aufruf der Seiten verarbeitet der Hoster technisch notwendige Zugriffsdaten (IP-Adresse, Zeitpunkt, abgerufene Ressource, User-Agent) zur Auslieferung und Absicherung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Mit den Anbietern bestehen Auftragsverarbeitungsverträge; Übermittlungen in die USA stützen sich auf das EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln.

Wir setzen ausschließlich technisch notwendige Session-Cookies für den Login (Dashboard und Kunden-Portal) ein. Diese sind für den Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung (Cookie-Banner) ist dafür nicht erforderlich. Es werden keine Tracking-, Analyse- oder Marketing-Cookies verwendet.

Wenn Sie über die öffentliche Buchungsseite eines Betriebs reservieren, verarbeiten wir die von Ihnen angegebenen Daten (Name, E-Mail-Adresse, ggf. Telefonnummer, Datum/Uhrzeit, Personenzahl, Anmerkungen) ausschließlich zur Durchführung der Reservierung (Art. 6 Abs. 1 lit. b DSGVO). Die Reservierung wird im Google-Kalender des jeweiligen Betriebs gespeichert (Google Ireland Ltd.) und ist für dessen Personal einsehbar. Reservierungsdaten werden gelöscht bzw. anonymisiert, sobald sie für den Betrieb der Reservierung nicht mehr erforderlich sind.

Ihre E-Mail-Adresse wird zusätzlich gespeichert, um pro Adresse und Tag nur eine Reservierung zuzulassen. Das verhindert, dass Buchungsplätze durch automatisierte oder mehrfache Anfragen blockiert werden; Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen Reservierungssystem (Art. 6 Abs. 1 lit. f DSGVO). Diese Angabe wird 24 Monate nach Ihrer letzten Reservierung automatisch gelöscht. Beim Absenden prüfen wir außerdem technisch, ob die angegebene Domain überhaupt E-Mails empfangen kann — dabei wird keine Nachricht an Sie versendet.

Einige Betriebe nutzen einen telefonischen Reservierungsassistenten. Dabei sprechen Sie mit einem KI-System; darauf wird zu Gesprächsbeginn hingewiesen. Das Gespräch wird zur Durchführung der Reservierung und zur Qualitätssicherung transkribiert und ausgewertet (Art. 6 Abs. 1 lit. b und f DSGVO). Zur Sprachverarbeitung setzen wir technische Dienstleister ein (Vapi, Anthropic); mit diesen bestehen Auftragsverarbeitungsverträge. Wenn Sie nicht mit einem KI-System sprechen möchten, können Sie sich an das Personal des Betriebs weiterverbinden lassen oder den Betrieb direkt kontaktieren.

Im Auftrag der angeschlossenen Betriebe verarbeiten wir öffentlich einsehbare Bewertungen (z. B. Google, Trustpilot) einschließlich Bewertername und Bewertungstext, um Antwortentwürfe zu erstellen und Auswertungen für den Betrieb bereitzustellen (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an professioneller Reaktion auf öffentliche Bewertungen). Zum Abruf öffentlicher Bewertungen setzen wir Outscraper als technischen Dienstleister ein; KI-Antwortentwürfe werden über die API von Anthropic (Claude) erstellt. Die Inhalte werden dabei nicht für das Training von KI-Modellen verwendet.

Leitet ein Betrieb an ihn gerichtete Feedback-E-Mails an unser System weiter, verarbeiten wir Absenderadresse und Inhalt, um dem Betrieb einen Antwortentwurf bereitzustellen. Nach einer Reservierung kann der Betrieb Ihnen einmalig eine E-Mail mit der Bitte um eine Bewertung senden; dieser können Sie jederzeit formlos widersprechen (Antwort genügt).

Für unsere Geschäftskunden verarbeiten wir Bestands- und Vertragsdaten (Firmenname, Ansprechpartner, Kontaktdaten, Vertragsplan) zur Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO). Die Zahlungsabwicklung erfolgt über Stripe Payments Europe Ltd. (Irland); Zahlungsdaten (z. B. IBAN, Kartendaten) werden direkt von Stripe erhoben und verarbeitet. Rechnungs- und Buchungsdaten bewahren wir gemäß den gesetzlichen Aufbewahrungsfristen (§ 147 AO: bis zu 10 Jahre) auf.

Eingesetzte Auftragsverarbeiter bzw. Dienstleister:

• Netlify, Inc. (Hosting, USA — DPF/SCC)
• Supabase (Datenbank; Region gemäß Konfiguration)
• Google Ireland Ltd. (Kalender, E-Mail-Versand)
• Anthropic PBC (KI-Textentwürfe, USA — DPF/SCC)
• Stripe Payments Europe Ltd. (Zahlungsabwicklung)
• Outscraper (Abruf öffentlicher Bewertungen, USA)
• Vapi (Sprachassistent, USA)
• n8n (Workflow-Automatisierung, selbst betrieben)

Soweit Daten in Drittländer (insbesondere USA) übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses (EU-U.S. Data Privacy Framework) oder von EU-Standardvertragsklauseln (Art. 46 DSGVO).

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Kundendaten werden nach Vertragsende gelöscht, soweit keine Aufbewahrungspflichten entgegenstehen; Betriebe können die Löschung der für sie verarbeiteten Daten jederzeit verlangen.

Sie haben gegenüber dem jeweiligen Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zudem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, z. B. bei der für Ihren Wohnsitz zuständigen Landesdatenschutzbehörde.

Stand dieser Datenschutzerklärung: Juli 2026.