Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist die Luchs Schadensanierung GmbH, Bayrische Str. 61, 44339 Dortmund. Gesetzlicher Vertreter (Geschäftsführer) ist Ahmet Kutlu. Verantwortlich für den Inhalt gemäß § 18 Abs. 2 MStV (CEO) ist Osman Baltaci. Kontakt: info@luchs-schadensanierung.de. Weitere Angaben siehe Impressum.

2. Zweck der Verarbeitung

LuchsFlow ist eine Software zur Dokumentation von Sanierungseinsätzen (Fotos, Sprachnotizen, Tagesrapport, Angebote, Trocknungsprotokolle). Wir verarbeiten personenbezogene Daten ausschließlich zur Erbringung dieser Funktionen für den jeweils angemeldeten Betrieb.

3. Kategorien von Daten

• Konto- und Profildaten (E-Mail, Name, Firmenzuordnung, Rolle)
• Auftragsdaten (Kunde, Adresse, Versicherung, Schadennummer)
• Dokumentation (Fotos inkl. optionaler GPS-Metadaten, Sprachnotizen, Transkripte)
• Signaturen (Grafik-Datei aus dem Signature-Pad)
• Technische Daten (IP, User-Agent, Zeitstempel, Log-Daten)

4. Empfänger / Auftragsverarbeiter

Hosting, Datenbank, Auth und Storage: Supabase (EU-Region). Auslieferung der Web-Anwendung, DDoS-Schutz und TLS-Terminierung: Cloudflare. KI-Transkription und KI-Zusammenfassung: Lovable AI Gateway (mit Modell-Providern OpenAI und Google). Fehler-Überwachung des Frontends: AppSignal B.V. (Niederlande, EU). Verträge nach Art. 28 DSGVO liegen vor. Eine Datenübermittlung in Drittländer erfolgt nur bei den ausdrücklich benannten Modell-Providern über EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Die vollständige, tagesaktuelle Liste steht unter Subprozessoren.

5. Öffentliche Freigabelinks

Wenn ein Betrieb einen Freigabelink (z. B. /r/<token> oder /a/<token>) an einen Kunden versendet, werden ausschließlich die für die Ansicht und Signatur notwendigen Angaben ausgeliefert. Bank- und Steuerdaten des Betriebs werden nicht in den öffentlichen Payload aufgenommen.

6. Speicherdauer

Auftragsbezogene Daten werden für die Dauer der Geschäftsbeziehung sowie im Rahmen gesetzlicher Aufbewahrungsfristen (§147 AO, §257 HGB, i. d. R. 10 Jahre) gespeichert.

7. Rechte der betroffenen Personen

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie Beschwerde bei einer Aufsichtsbehörde (Art. 15–21, 77 DSGVO). Anfragen bitte an die im Impressum genannte Adresse.

8. Cookies / lokale Speicherung

Es werden ausschließlich technisch notwendige Speicher verwendet: Auth-Session, Formular-Entwürfe, Signatur-Puffer, Upload-Warteschlange (IndexedDB). Kein Tracking, keine Werbe-Cookies.

9. Sicherheits-Protokollierung (Audit-Log)

Zur Erfüllung unserer Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) und zur Abwehr missbräuchlicher Zugriffe protokollieren wir sicherheitsrelevante Ereignisse: An- und Abmeldungen (inkl. Fehlversuche), Änderungen an der Zwei-Faktor-Authentifizierung, Team-Rollen­änderungen, Datenexporte, Aktivierung und Widerruf externer Freigabe-Links (Kunden- und Sachverständigen-Portal) sowie endgültige Löschungen. IP-Adressen werden ausschließlich als tagesweise gesalteter SHA-256-Hash gespeichert und sind nicht rückverfolgbar. Die Aufbewahrungsdauer beträgt 12 Monate, danach werden die Einträge automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Nachweisführung).

10. KI-gestützte Funktionen

LuchsFlow bietet optionale KI-Funktionen: Transkription von Sprachdiktaten (Audio → Text), Textverbesserung und -analyse, Foto-Beschreibung, Zähler-OCR sowie Angebotserstellung aus Freitext. Werden diese Funktionen aktiv genutzt, übermitteln wir die dabei eingegebenen Inhalte (Audio, Fotos, Texte) über das Lovable AI Gateway an die Modell-Provider OpenAI und Google (Gemini). Ein Teil dieser Verarbeitung findet in den USA statt. Details zu den eingesetzten Diensten stehen in der Subprozessoren-Liste.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Dokumentation und Berichtserstellung); soweit besondere Inhalte (z. B. identifizierbare Personen auf Fotos) verarbeitet werden, holt der Betrieb zusätzlich die erforderliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ein. Übermittlungen an OpenAI und Google in die USA stützen wir ausschließlich auf die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. KI-Funktionen sind optional und können pro Vorgang übersprungen werden.

11. Fehler-Überwachung (AppSignal)

Zur Stabilisierung der Anwendung nutzen wir AppSignal (AppSignal B.V., Niederlande) für Frontend-Fehler-Tracking. Bei einem JavaScript-Fehler sendet der Browser die Fehlermeldung und einen Stacktrace an AppSignal; dabei wird technisch bedingt die IP-Adresse übertragen. Es werden keine Cookies gesetzt. Personenbezogene Inhalte (Namen, Adressen, E-Mail, Telefon, Tokens, Fotos) werden bereits im Browser vor dem Versand herausgefiltert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität und Fehlerbehebung der Anwendung). AppSignal verarbeitet die Daten ausschließlich in der EU (Niederlande); eine Drittlandübermittlung findet nicht statt.