Datenschutz-erklärung.

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

Vertreten durch: [Vertretungsberechtigte Person]

E-Mail: [E-Mail-Adresse]

Telefon: [Telefonnummer (empfohlen)]

Weitere Angaben finden Sie in unserem Impressum.

Ein Datenschutzbeauftragter ist bei uns nicht benannt, da die gesetzlichen Voraussetzungen hierfür (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte direkt an den Verantwortlichen unter [E-Mail-Adresse].

flect ist eine Plattform zur Erstellung, Planung und Veröffentlichung von Inhalten für soziale Medien mit Unterstützung durch künstliche Intelligenz (KI). Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung der Website und der Plattform, die Vertragserfüllung, die Sicherheit des Dienstes oder die Erfüllung gesetzlicher Pflichten erforderlich ist oder Sie eingewilligt haben.

Wir setzen keine Analyse-, Tracking- oder Marketing-Tools ein, binden keine Inhalte Dritter (z. B. Social-Media-Plugins, externe Schriftarten oder Videos) in unsere Seiten ein und verwenden ausschließlich technisch erforderliche bzw. funktionale Cookies (siehe Cookies).

Einige Verarbeitungen finden nur statt, wenn der Betreiber der jeweiligen Installation den entsprechenden Dienst (z. B. einen KI-Anbieter, Zahlungsdienst oder E-Mail-Versand) konfiguriert hat und Sie die zugehörige Funktion nutzen. Darauf weisen wir bei den einzelnen Abschnitten mit dem Zusatz „soweit konfiguriert“ hin.

Wir stützen die Verarbeitung auf folgende Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) – soweit Sie in eine bestimmte Verarbeitung eingewilligt haben.
• Art. 6 Abs. 1 lit. b DSGVO (Vertrag) – zur Erfüllung des Nutzungsvertrags über flect und zur Durchführung vorvertraglicher Maßnahmen, etwa Registrierung, Bereitstellung der Funktionen, Abrechnung und Support.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) – zur Erfüllung gesetzlicher Pflichten, insbesondere handels- und steuerrechtlicher Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) – zur Wahrung unserer berechtigten Interessen, insbesondere an einem sicheren und stabilen Betrieb, an der Abwehr von Missbrauch und Angriffen, an der Fehleranalyse sowie an der Kommunikation mit eingeladenen Personen. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen.
• Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) – für das Klonen von Stimmen, soweit Stimmdaten als besondere Kategorie personenbezogener Daten anzusehen sind (siehe Stimmklonen).

Die Website und die Plattform werden bei OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich betrieben. Beim Aufruf unserer Seiten verarbeitet der Server technisch notwendig folgende Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Adresse (URL), übertragene Datenmenge, HTTP-Statuscode, Referrer-URL sowie Browsertyp und Betriebssystem (User-Agent).

Zweck: Auslieferung der Website, Gewährleistung von Stabilität und Sicherheit, Erkennung und Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Betrieb.

Speicherdauer: Server-Logfiles werden nach spätestens 14 Tagen gelöscht, sofern sie nicht im Einzelfall zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.

Der Hosting-Anbieter verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Gleiches gilt für die Anbieter der Datenbank (PostgreSQL), des Zwischenspeichers (Redis) und des Objektspeichers, soweit diese getrennt betrieben werden.

Für die Nutzung der Plattform ist ein Benutzerkonto erforderlich. Dabei verarbeiten wir:

• Name und E-Mail-Adresse,
• Passwort ausschließlich als kryptografischer Hash (Verfahren scrypt) – das Passwort selbst wird nicht gespeichert,
• Einstellungen wie Sprache und Darstellung (Theme), optional ein Profilbild,
• Zeitpunkt der Registrierung und der letzten Anmeldung,
• aktive Sitzungen mit IP-Adresse, User-Agent und Zeitpunkt der letzten Aktivität, damit Sie Ihre angemeldeten Geräte einsehen und abmelden können.

Zweck: Bereitstellung des Kontos und der Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Sitzungsdaten zur Sicherheit zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Sitzungen laufen nach 30 Tagen ab bzw. enden mit der Abmeldung. Kontodaten speichern wir bis zur Löschung des Kontos.

Inhalte werden in Workspaces organisiert, an denen mehrere Personen mit unterschiedlichen Rollen (z. B. Inhaber, Administrator, Manager, Editor, Betrachter) mitwirken können. Dabei verarbeiten wir Mitgliedschaften und Rollen, Einladungen, Kommentare, Freigaben (Approvals), Aufgaben, Projekte, Marken-Profile sowie Benachrichtigungen. Andere Mitglieder desselben Workspace können Ihren Namen, Ihr Profilbild und Ihre Beiträge im Workspace sehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung durch Berechtigte, zum Austritt aus dem Workspace bzw. bis zur Löschung des Workspace.

Nutzen Unternehmen flect und verarbeiten dabei personenbezogene Daten Dritter (z. B. von Mitarbeitenden, Kundinnen und Kunden oder abgebildeten Personen), handeln wir insoweit als Auftragsverarbeiter. Einzelheiten finden Sie unter Auftragsverarbeitung.

Wir speichern die Inhalte, die Sie hochladen oder mit flect erstellen, z. B. Texte, Bilder, Videos, Audiodateien, Vorlagen, Entwürfe und geplante Beiträge. Mediendateien werden in einem S3-kompatiblen Objektspeicher abgelegt (soweit konfiguriert, z. B. Amazon Web Services S3, Cloudflare R2 oder ein selbst betriebener MinIO-Speicher).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung durch Sie oder bis zur Löschung des Kontos bzw. Workspace.

Für KI-Funktionen übermitteln wir Ihre Eingaben (Prompts), ausgewählte Inhalte und gegebenenfalls Marken-Angaben (z. B. Zielgruppe, Tonalität) an den jeweiligen KI-Anbieter, und zwar nur dann, wenn Sie eine Generierung selbst starten oder ein von Ihnen eingerichteter KI-Agent im Rahmen Ihrer Regeln tätig wird. Die Ergebnisse werden an uns zurückgegeben und in Ihrem Workspace gespeichert. Je nach Funktion und Konfiguration kommen folgende Anbieter zum Einsatz:

Die Anbieter werden auf Grundlage von Verträgen zur Auftragsverarbeitung tätig, soweit diese angeboten werden; im Übrigen verarbeiten sie die Daten nach Maßgabe ihrer API-Bedingungen. Nach den API-Bedingungen der Anbieter zum Zeitpunkt der Erstellung dieser Erklärung werden API-Eingaben standardmäßig nicht zum Training von Modellen verwendet; maßgeblich sind die jeweils aktuellen Richtlinien der Anbieter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Bitte geben Sie in Prompts nur personenbezogene Daten Dritter ein, wenn Sie hierzu berechtigt sind. Hinweise zu Grenzen und zur Kennzeichnung von KI-Inhalten finden Sie unter KI-Transparenz.

Mit der Funktion Stimmklonen kann aus Sprachaufnahmen eine synthetische Stimme erstellt werden. Stimmaufnahmen und daraus abgeleitete Stimmmodelle können biometrischen Daten gleichkommen. Wir verarbeiten sie daher nur auf Grundlage einer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO).

• Vor dem Klonen müssen Sie den Namen der sprechenden Person angeben und ausdrücklich bestätigen, dass es sich um Ihre eigene Stimme handelt oder Ihnen die schriftliche Erlaubnis der sprechenden Person vorliegt.
• Die Bestätigung wird mit Zeitpunkt, handelndem Konto und Workspace im Audit-Log protokolliert, um die Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO).
• Die Aufnahmen werden zur Erstellung des Stimmmodells an ElevenLabs übermittelt (soweit konfiguriert).
• Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Wir löschen die geklonte Stimme dann bzw. wenn Sie sie in der Plattform löschen, auch beim Anbieter, soweit dieser eine Löschung ermöglicht.

Sie können Konten bei TikTok, Meta (Instagram, Facebook, Threads), Google (YouTube), LinkedIn, X und Pinterest verbinden. Die Verbindung erfolgt ausschließlich auf Ihre Veranlassung über das offizielle OAuth-Verfahren der jeweiligen Plattform. Dabei verarbeiten wir:

• Zugriffs- und Aktualisierungs-Tokens – diese werden mit AES-256-GCM verschlüsselt gespeichert und nie an den Browser ausgegeben,
• öffentliche Profildaten (z. B. Kontoname, Profilbild, Follower-Zahl),
• von Ihnen veröffentlichte oder geplante Beiträge sowie Kennzahlen (z. B. Aufrufe, Likes, Kommentare), die wir über die offiziellen Schnittstellen der Plattformen abrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Sie können die Verbindung jederzeit trennen; die Tokens werden dann gelöscht. Zusätzlich können Sie den Zugriff in den Einstellungen der jeweiligen Plattform widerrufen. Für die Verarbeitung durch die Plattformen selbst gelten deren Datenschutzbestimmungen.

Kostenpflichtige Abonnements und Credit-Pakete werden über Stripe abgewickelt (soweit konfiguriert). Zahlungsdaten wie Kartennummern geben Sie direkt bei Stripe ein; sie werden nicht auf unseren Servern gespeichert. Wir speichern die Stripe-Kundennummer, den Abonnementstatus, gebuchte Pläne und Credit-Pakete, Zahlungsereignisse sowie Rechnungsinformationen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung von Buchungsbelegen Art. 6 Abs. 1 lit. c DSGVO. Stripe kann für eigene Zwecke wie Betrugsprävention und die Erfüllung regulatorischer Pflichten als eigenständiger Verantwortlicher handeln; insoweit gilt die Datenschutzerklärung von Stripe.

Wir versenden transaktionale E-Mails, etwa Einladungen in einen Workspace, über einen SMTP-E-Mail-Dienstleister (soweit konfiguriert). Laden Mitglieder eine Person ein, verarbeiten wir deren E-Mail-Adresse, die vorgesehene Rolle und den Einladungsstatus. Ist kein E-Mail-Versand konfiguriert, wird der Einladungslink stattdessen der einladenden Person angezeigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber Nutzerinnen und Nutzern; gegenüber eingeladenen Personen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Ermöglichung der Zusammenarbeit). Offene Einladungen verfallen und werden gelöscht, wenn sie nicht angenommen werden.

Wir versenden keine Werbe-Newsletter.

Zum Schutz vor Missbrauch und unbefugtem Zugriff protokollieren wir Anmeldeversuche (E-Mail-Adresse bzw. IP-Adresse, Erfolg, Zeitpunkt) und begrenzen die Anzahl von Anfragen pro Zeiteinheit. Sicherheitsrelevante Vorgänge (z. B. Einladungen, Rollenänderungen, Veröffentlichungen, Änderungen an Integrationen, Einwilligungen zum Stimmklonen) halten wir in einem Audit-Log mit handelndem Konto, Zeitpunkt und IP-Adresse fest.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes, Nachvollziehbarkeit), für Einwilligungsnachweise zusätzlich Art. 7 Abs. 1 DSGVO. Speicherdauer: Anmeldeversuche bis zu 30 Tage; Audit-Logs bis zu 12 Monate bzw. bis zur Löschung des Workspace.

Tritt ein technischer Fehler auf, speichern wir eine Fehlermeldung mit technischem Kontext (z. B. betroffene Funktion, Zeitpunkt, interne Kennungen). Diese können im Einzelfall einen Personenbezug aufweisen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Fehleranalyse und Stabilität). Speicherdauer: in der Regel 30 bis 90 Tage.

Wenn Sie eine Support-Anfrage stellen, verarbeiten wir Betreff, Nachricht, Antworten, Status sowie Ihre Konto- und Workspace-Zuordnung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: bis zur Erledigung der Anfrage und danach bis zu zwei Jahre, soweit zur Nachvollziehbarkeit erforderlich, längstens bis zur Löschung des Workspace.

Wir geben personenbezogene Daten nur weiter, soweit dies für die genannten Zwecke erforderlich ist. Folgende Kategorien von Empfängern kommen in Betracht – jeweils nur, soweit der Betreiber den Dienst konfiguriert hat:

Daneben können Daten an Behörden oder Gerichte übermittelt werden, wenn wir hierzu gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

Einige der genannten Anbieter haben ihren Sitz in den USA oder verarbeiten Daten dort. Für Übermittlungen in die USA besteht ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework), soweit der Empfänger danach zertifiziert ist. Andernfalls stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und gegebenenfalls zusätzliche Schutzmaßnahmen. Eine Kopie der Garantien können Sie über die oben genannten Kontaktdaten anfordern.

Wir löschen personenbezogene Daten, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Im Überblick:

Sie können Ihre Daten jederzeit unter Einstellungen → Datenschutz exportieren und Ihr Konto dort löschen. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, werden bis zum Ablauf der Frist gesperrt und anschließend gelöscht.

Ihnen stehen gegenüber uns folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) – etwa über den Datenexport in den Einstellungen,
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an [E-Mail-Adresse].

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist: [Zuständige Datenschutz-Aufsichtsbehörde].

Wir verwenden ausschließlich eigene (First-Party-)Cookies, die für den Betrieb unbedingt erforderlich sind oder von Ihnen gewünschte Funktionen bereitstellen:

Die Speicherung dieser Cookies ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil sie unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen. Die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b und f DSGVO. Wir setzen keine Cookies von Drittanbietern und keine Tracking- oder Marketing-Cookies ein; ein Cookie-Einwilligungsbanner ist daher nicht erforderlich. Weitere Informationen finden Sie in unserer Cookie-Richtlinie.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt.

KI-Agenten (einschließlich des Autopilot-Modus) erstellen, planen oder veröffentlichen Inhalte ausschließlich auf Grundlage der Regeln und Einstellungen, die Sie bzw. Ihr Workspace festgelegt haben. Sie treffen keine Entscheidungen über Personen.

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die für das Benutzerkonto erforderlichen Angaben (Name, E-Mail-Adresse, Passwort) können wir jedoch keinen Nutzungsvertrag mit Ihnen abschließen. Optionale Funktionen wie KI-Generierungen, Stimmklonen oder Plattform-Verbindungen müssen Sie nicht nutzen.

Unser Angebot richtet sich nicht an Personen unter 16 Jahren. Wir verarbeiten nicht wissentlich personenbezogene Daten von Kindern.

Wir treffen angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO), insbesondere:

• verschlüsselte Übertragung (TLS/HTTPS),
• verschlüsselte Speicherung von Zugangsdaten zu Integrationen (AES-256-GCM) und Passwort-Hashing (scrypt),
• rollenbasierte Zugriffskontrolle und strikte Trennung der Daten verschiedener Workspaces,
• Ratenbegrenzung, Protokollierung sicherheitsrelevanter Vorgänge und regelmäßige Datensicherungen.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; das Datum der letzten Aktualisierung ist oben angegeben. Über wesentliche Änderungen informieren wir registrierte Nutzerinnen und Nutzer zusätzlich in geeigneter Weise.