Betrieb und Datenschutz

Wo Ihre Daten liegen, wer sie verarbeitet, wie sie geschützt und wie lange sie aufbewahrt werden. Alles hier Genannte lässt sich prüfen — und was nicht gilt, steht ausdrücklich am Ende.

Wo die Daten liegen

Die Website, das Kundenportal und die Datenbank laufen bei Cloudflare (Pages, Workers, D1-Datenbank, R2-Speicher, KV) in Rechenzentren innerhalb der EU. Die Sprachverarbeitung — also das eigentliche Telefongespräch mit dem Assistenten und die Demo — erfolgt bei Retell AI in den USA.

Website und Portal

Cloudflare Pages und Workers, Rechenzentren in der EU

Datenbank und Dateispeicher

Cloudflare D1 und R2, Rechenzentren in der EU

Sprachverarbeitung

Retell AI, USA — Telefon-Assistent und Demo

Auftragsverarbeiter

Dienstleister, die Daten in unserem Auftrag verarbeiten. Grundlage ist jeweils ein Auftragsverarbeitungsvertrag, ergänzt um Standardvertragsklauseln bei Verarbeitung außerhalb der EU.

Anbieter	Zweck	Land
Cloudflare, Inc.	Hosting, Datenbank, Dateispeicher, E-Mail-Weiterleitung	EU / Global
Retell AI, Inc.	Sprach- und Dialogverarbeitung (Telefon-Assistent, Demo)	USA
Resend, Inc.	Versand von System-Mails	USA
Telnyx LLC	Telefonnummern und Sprachverbindungen	USA
Stripe, Inc. / Stripe Payments Europe	Zahlungsabwicklung	USA / Irland
Cal.com, Inc.	Terminbuchung für Erstgespräche	USA

Technische und organisatorische Maßnahmen

Abgeleitet aus dem tatsächlichen Aufbau des Systems — nicht aus einem Katalog.

Transportverschlüsselung: alle Zugriffe auf Website, Portal und Schnittstellen laufen über HTTPS/TLS.
Rollen und Rechte: Inhaber, Disponent und Mitarbeiter. Mitarbeiter sehen ausschließlich ihre eigenen Daten; die Beschränkung wird serverseitig erzwungen, nicht in der Oberfläche.
Änderungsnachweis: sicherheitsrelevante Aktionen werden in einem Audit-Log protokolliert.
Anmeldung: Passwort, optional eine Zwei-Faktor-Bestätigung per E-Mail-Code, Passwort-Reset über ein Einmal-Token.
Abwehr von Massenanfragen: Rate-Limits und WAF-Regeln an den öffentlichen Endpunkten.
Getrennte Rufnummern: Kunden- und Mitarbeiteranliegen laufen über verschiedene Nummern; auf der Mitarbeiterleitung ist der Werkzeugumfang eingeschränkt.
Keine Zweckentfremdung: keine Weitergabe von Daten zu Werbezwecken, kein Verkauf von Daten.
Löschung: nach Ablauf der Speicherfristen, siehe unten.

Speicherfristen

Server-Logs

bis 30 Tage

Chat-Verläufe und Demo-Anfragen

bis 90 Tage

Protokoll-Anforderungen nach dem Test

180 Tage

Anrufdaten und Transkripte

nach Vorgabe des Betriebs, in der Regel 90 Tage

Kontodaten

bis zur Löschung des Kontos

Rechnungen

6 bzw. 10 Jahre (gesetzliche Aufbewahrung)

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Außerdem können Sie sich bei der zuständigen Aufsichtsbehörde beschweren. Wie Sie diese Rechte ausüben, steht in der Datenschutzerklärung.

Zur Datenschutzerklärung →

Dokumente

Datenschutzerklärung
Verarbeitung, Rechtsgrundlagen, Rechte, SpeicherfristenÖffnen → Auftragsverarbeitungsvertrag
Für Betriebe, die FlowAssist mit Personendaten beauftragenÖffnen → Allgemeine Geschäftsbedingungen
Vertragsgegenstand, Laufzeit, PflichtenÖffnen → Betriebszustand
Live-Prüfung von Website, Portal und SprachdienstÖffnen →

Was hier (noch) nicht steht

Keine Zertifikate, die wir nicht haben.

Es besteht keine Zertifizierung nach ISO 27001.
Es liegt kein externes Pentest-Zertifikat vor.
Wir betreiben keine eigene Rechenzentrums-Infrastruktur; wir nutzen die oben genannten Anbieter.

Diese Punkte werden an keiner Stelle behauptet. Wer sie für eine Beschaffung braucht: bitte ansprechen, wir sagen, was tatsächlich vorliegt.

Sicherheitsfragen, Hinweise auf Schwachstellen oder Rückfragen zur Verarbeitung: [email protected]. Wir melden uns zurück.