Datenschutzerklärung für flenski.io#

Stand: 01.08.2026

Der Schutz personenbezogener Daten hat für Flenski einen hohen Stellenwert. Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der geltenden Datenschutzgesetze, insbesondere der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zwecke der Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung der Plattform flenski.io.

1. Verantwortlicher und Kontakt#

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Flenski FZCO (registriert bei der International Free Zone Authority (IFZA), Dubai) Building A1, Dubai Digital Park Dubai Silicon Oasis Dubai Vereinigte Arabische Emirate

E-Mail (allgemeiner Kontakt und Support): support@flenski.io

Sie erreichen uns außerdem jederzeit über die offizielle Flenski Community: https://app.flenski.community/flenski/starte-hier

Datenschutz-Kontakt: Für alle datenschutzbezogenen Anliegen erreichen Sie uns unter finn@flenskiteam.com. Ansprechperson und Kontaktstelle für Datenschutzanliegen ist Finn Hansen. Finn Hansen ist weder Vertreter im Sinne des Art. 27 DSGVO noch Datenschutzbeauftragter, sondern die zentrale Kontaktstelle. Die Bestellung eines externen Datenschutzbeauftragten ist eingeleitet (geplant: noch in diesem Jahr); er wird nach Bestellung an dieser Stelle benannt.

Vertreter in der Europäischen Union (Art. 27 DSGVO): Die Flenski FZCO hat keine Niederlassung in der Europäischen Union, bietet ihre Dienste aber Personen in der EU an. Die Bestellung eines externen EU-Vertreters ist eingeleitet; der Vertreter wird nach Abschluss der Bestellung an dieser Stelle benannt. Bis dahin ist unser Datenschutz-Kontakt Ihr Ansprechpartner für alle Anliegen, für die der EU-Vertreter zuständig wäre: Finn Hansen, finn@flenskiteam.com.

Sie können sich in allen Fragen im Zusammenhang mit der Verarbeitung Ihrer personenbezogenen Daten jederzeit an den Verantwortlichen und — nach Bestellung — auch an den EU-Vertreter wenden.

2. Beschreibung der Plattform und Begriffe#

Flenski ist eine cloudbasierte Software-as-a-Service-Plattform („Plattform") für digitale Communitys, Mitgliederbereiche, Online-Kurse, digitale Produkte, Kommunikation, Downloads, Events, Automationen und KI-gestützte Funktionen. Flenski stellt ausschließlich die technische Plattform und Infrastruktur bereit.

Geltungsbereich: Diese Datenschutzerklärung gilt für die von Flenski selbst betriebenen Websites und Dienste — insbesondere flenski.io (Homepage), app.flenski.io (Login und Verwaltung für Creator), flenski.community (Discover-Verzeichnis), app.flenski.community/flenski (Flenski Academy) und legal.flenski.io (Rechtsseiten; die frühere Adresse imprint.flenski.io leitet hierher weiter) — sowie für die technische Plattform, auf der die Memberapps laufen. Memberapps sind unter Subdomains der Form name.flenski.app (bei Bestandskunden name.flenski.net; künftig auch unter weiteren Plattform-Domains) oder unter eigenen Domains der Creator erreichbar; für die dort vom jeweiligen Creator verantworteten Verarbeitungen gilt zusätzlich dessen eigene Datenschutzerklärung (Abschnitt 3).

In dieser Datenschutzerklärung bedeuten:

• Flenski: die Flenski FZCO als Betreiberin der Plattform.
• Creator (Community-Betreiber): der Kunde von Flenski — die Person, die einen Arbeitsbereich betreibt und Memberapps veröffentlicht.
• Mitglied: der Endnutzer einer Memberapp; Vertragspartner und datenschutzrechtlich Betroffener des jeweiligen Creators.
• Nutzer: Oberbegriff, wenn Creator und Mitglieder gemeinsam gemeint sind. Wo eine Aussage nur eine der beiden Rollen betrifft, wird sie ausdrücklich benannt.
• Memberapp (App): ein einzelner Mitgliederbereich mit eigener URL, eigenen Mitgliedern und Inhalten innerhalb eines Arbeitsbereichs — erreichbar unter einer Subdomain der Form name.flenski.app (bei Bestandskunden name.flenski.net; künftig auch unter weiteren Plattform-Domains) oder unter einer eigenen Domain des Creators.
• Arbeitsbereich: der Container auf Kontoebene des Creators (Tarif, Team, Domains, Integrationen, rechtliche Seiten, Kontakte, Cloud, Zugangspläne).
• Kontakt (Lead): ein personenbezogener Datensatz auf Arbeitsbereich-Ebene ohne App-Mitgliedschaft, z. B. aus Lead-Formularen.

3. Rollenverteilung: Flenski, Creator und Mitglieder#

Für das Verständnis dieser Datenschutzerklärung ist die Rollenverteilung entscheidend:

Flenski ↔ Creator: Flenski stellt dem Creator ausschließlich die technische Plattform bereit. Für die personenbezogenen Daten, die der Creator selbst als Vertragspartner Flenskis angibt (Konto-, Abrechnungs- und Nutzungsdaten des Creators und seiner Teammitglieder), ist Flenski Verantwortlicher im Sinne der DSGVO. Der Erwerb eines Flenski-Tarifs erfolgt über den jeweiligen Merchant of Record (derzeit Digistore24 GmbH, siehe Abschnitt 8).

Creator ↔ Mitglied: Der Creator ist alleiniger Anbieter und Vertragspartner seiner Mitglieder und datenschutzrechtlich Verantwortlicher für deren Daten. Jede Memberapp benötigt eigene Rechtstexte des Creators (Impressum, Datenschutzerklärung, ggf. AGB und Widerrufsbelehrung). Flenski stellt dafür die Funktion „Rechtliche Seiten" bereit; die mitgelieferten Demo-Texte ersetzen die eigenen Rechtstexte des Creators ausdrücklich nicht.

Flenski ↔ Mitglied: Zwischen Flenski und den Mitgliedern besteht kein Vertragsverhältnis über Inhalte oder Angebote. Soweit Flenski personenbezogene Daten von Mitgliedern, Kontakten (Leads) oder Besuchern einer Memberapp verarbeitet, geschieht dies als Auftragsverarbeiter des jeweiligen Creators gemäß Art. 28 DSGVO. Der Auftragsverarbeitungsvertrag (AVV) ist zwingender Bestandteil des Vertragsverhältnisses zwischen Flenski und dem Creator; Abschluss und Abruf erfolgen in den Arbeitsbereichseinstellungen.

Wenn Sie Mitglied einer Memberapp sind: Erster Ansprechpartner für Ihre Betroffenenrechte (Abschnitt 21) ist der jeweilige Creator als Verantwortlicher. Richten Sie ein Anliegen an Flenski, das die Daten einer Memberapp betrifft, leiten wir es an den zuständigen Creator weiter bzw. unterstützen ihn bei der Beantwortung.

4. Datenschutzfreundliche Systemarchitektur#

Flenski verfolgt einen „Privacy-by-Design"-Ansatz gemäß Art. 25 DSGVO. Die Plattform ist so konzipiert, dass Zugriffe auf personenbezogene Daten auf das notwendige Minimum beschränkt sind:

Kein personeller Zugriff ohne Freigabe: Flenski betreibt kein Support-Backend mit Einsicht in Kundendaten. Flenski-Mitarbeiter können auf interne Community-Bereiche, Mitgliederinhalte, Kursbereiche, Chats und geschützte Inhalte ausschließlich dann zugreifen, wenn der jeweilige Creator diesen Zugriff ausdrücklich freigibt; die Freigabe erfolgt über genau den Schalter „Flenski Team Zugriff gestatten" in den Arbeitsbereichseinstellungen. Der Zugriff erfolgt dann technisch wie der Login eines vom Creator ernannten Moderators — insbesondere für technischen Support, Fehleranalyse, Einrichtungshilfe oder die Bearbeitung von Supportanfragen. Eine solche Freigabe kann jederzeit widerrufen werden. Nur wenn der Creator dies im Einzelfall ausdrücklich wünscht und freigibt, kann ein freigegebener Zugriff auch von Standorten außerhalb der EU aus erfolgen (siehe Abschnitt 21); ohne eine solche ausdrückliche, dokumentierte Einzelfall-Freigabe findet ein Zugriff von außerhalb der EU nicht statt.

Automatisierte technische Verarbeitung: Unabhängig davon verarbeitet die Plattform hochgeladene Inhalte automatisiert, soweit dies für die Funktionen technisch erforderlich ist. Dazu gehören insbesondere: Transkodierung von Videos, Transkription von Video- und Audiodateien, Texterkennung (OCR) aus Dokumenten und Bildern, Indexierung von Inhalten für die Suche, verwandte Inhalte und GPT-Antworten sowie die Auslieferung über ein Content Delivery Network (CDN). Diese Verarbeitung erfolgt systemseitig auf Servern in der EU; sämtliche KI-gestützten Verarbeitungsschritte (Transkription, OCR, Indexierung, Zusammenfassungen und KI-Antworten) laufen — sofern der Creator keinen eigenen KI-Anbieter anbindet — ausschließlich auf einem Flenski-eigenen Server in Deutschland mit lokal installierter KI (siehe Abschnitt 14).

5. Welche Daten verarbeitet werden#

Je nach Nutzung der Plattform können insbesondere folgende personenbezogene Daten verarbeitet werden:

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer (im internationalen Format E.164), Benutzername, Profilbild.
• Accountdaten: Login-Daten, Passwort (gehasht), Rollen und Berechtigungen (Owner, Admin, Teammitglied, Mitglied), Registrierungszeitpunkt, App-Zugehörigkeiten und Zugangspläne.
• Nutzungs- und Protokolldaten: IP-Adresse, Browser- und Geräteinformationen, Zugriffszeitpunkte, Interaktionen innerhalb der Plattform, Server- und Zugriffslogs.
• Kommunikationsdaten: Community-Beiträge, Kommentare, Chatnachrichten, Sprachnachrichten, Support-Anfragen.
• Inhaltsdaten: Kursinhalte, Uploads, Videos, Audiodateien, Dokumente, Bilder, Downloads — einschließlich der daraus automatisiert erzeugten Transkripte, OCR-Texte und Suchindizes.
• KI-Interaktionsdaten: Eingaben und Chatverläufe mit KI-Assistenten (GPTs/AI Coach, Admin-Assistent), soweit diese Funktionen genutzt werden (siehe Abschnitt 14).
• Kontakt-/Lead-Daten: Datensätze aus Lead-Formularen und importierten Kontakten auf Arbeitsbereich-Ebene.
• Aktivitäts- und Gamification-Daten: z. B. Kursfortschritt, Belohnungspunkte, Teilnahme- und Zertifikatsdaten.
• Technische Kennungen: Cookies und Tokens (siehe Abschnitt 17), Push-Abonnements/Push-Token (siehe Abschnitt 13).

Die konkrete Ausgestaltung — welche Daten in einer Memberapp erhoben werden (z. B. ob die Telefonnummer bei der Registrierung Pflichtfeld ist) — bestimmt der jeweilige Creator in eigener Verantwortung.

6. Zwecke der Verarbeitung und Rechtsgrundlagen#

Wir verarbeiten personenbezogene Daten zu den folgenden Zwecken auf den jeweils genannten Rechtsgrundlagen:

Berechtigte Interessen im Sinne des Art. 6 Abs. 1 lit. f DSGVO sind insbesondere: der sichere und stabile Betrieb der Plattform, Missbrauchsverhinderung, Fehleranalyse und der wirtschaftliche Betrieb.

Soweit Flenski Daten von Mitgliedern, Kontakten und Besuchern einer Memberapp als Auftragsverarbeiter verarbeitet, ist die Rechtsgrundlage vom jeweiligen Creator als Verantwortlichem zu bestimmen; maßgeblich ist dessen Datenschutzerklärung.

7. Registrierung, Login und Einmalcodes#

Die Anmeldung an der Plattform und an Memberapps ist per Passwort oder per Einmalcode (OTP) möglich. Einmalcodes werden per E-Mail oder — wenn am Konto eine Telefonnummer hinterlegt ist — per SMS versendet. Die Codes werden nur in einem kurzlebigen Cache gehalten und nicht dauerhaft gespeichert; derselbe Mechanismus wird für die Bestätigung neuer E-Mail-Adressen und Telefonnummern sowie für die Bestätigung einer Kontolöschung verwendet.

Angemeldet bleiben (Login-Persistenz): Nach erfolgreichem Login bleiben Sie auf dem verwendeten Gerät angemeldet. Dazu setzen wir die First-Party-Cookies accessToken (30 Tage) und refreshToken (90 Tage) mit jeweils rollierender Laufzeit (Abschnitt 17) — bei jeder aktiven Nutzung verlängert sich die Laufzeit, bei längerer Inaktivität werden Sie automatisch abgemeldet; sie dienen ausschließlich der Authentifizierung — kein Tracking, keine Werbung, keine Weitergabe an Dritte. Beim ersten Login weisen wir Sie darauf hin, dass Sie auf diesem Gerät angemeldet bleiben, und in Ihrem Profil finden Sie dauerhaft den Schalter „Angemeldet bleiben" (standardmäßig aktiv): Schalten Sie ihn ab, endet Ihre Anmeldung künftig mit der Sitzung, und bestehende Langzeit-Tokens werden ungültig. Da der Login ohne Passwort über Einmalcodes läuft, erspart Ihnen das Angemeldet-Bleiben bei jeder Rückkehr einen erneuten Code-Versand — es ist damit Kernbestandteil des passwortlosen Login-Konzepts.

Ob die Telefonnummer bei der Registrierung in einer Memberapp Pflichtfeld ist, entscheidet der jeweilige Creator (Schalter im Registrierungsformular). Ist sie Pflichtfeld, ist die Angabe für die Registrierung in dieser App erforderlich; ohne Angabe kann die Registrierung dort nicht abgeschlossen werden (Art. 13 Abs. 2 lit. e DSGVO). Ohne hinterlegte Telefonnummer ist der SMS-Login-Weg nicht verfügbar; der E-Mail- und Passwort-Weg bleibt offen.

8. Zahlungsabwicklung#

Erwerb von Flenski-Tarifen: Der Verkauf von Flenski-Tarifen erfolgt derzeit ausschließlich über die Digistore24 GmbH als Merchant of Record. Vertragspartner für den Erwerb, die Zahlung, die Laufzeit und etwaige Rückabwicklungen ist Digistore24; es gelten ergänzend deren Datenschutzbestimmungen. Flenski selbst verarbeitet keine Zahlungsdaten als Zahlungsdienstleister oder Verkäufer.

Zahlungsanbieter der Creator: Creator können innerhalb der Plattform eigene externe Zahlungsanbieter und Checkout-Systeme anbinden, insbesondere Digistore24, Elopage, CopeCart, SamCart, ThriveCart und Stripe. Diese Anbieter sind Vertragspartner bzw. Dienstleister des jeweiligen Creators, nicht von Flenski (siehe Abschnitt 16). Für die Zahlungsabwicklung und die damit verbundene Datenverarbeitung gelten die Datenschutzbestimmungen des jeweiligen Anbieters und die Datenschutzerklärung des Creators. Flenski empfängt vom Zahlungsanbieter nur die Daten, die für die Zuordnung des Kaufs zu einem Zugangsplan erforderlich sind (z. B. Produkt-ID, Käufer-Zuordnung).

9. Hosting und Infrastruktur#

Die Hauptverarbeitung personenbezogener Daten erfolgt auf Servern in Deutschland. Hosting-Dienstleister ist die Hetzner Online GmbH (Deutschland); Zweck: Hosting der Plattform-Infrastruktur einschließlich des Flenski-eigenen KI-Servers (siehe Abschnitt 14.1).

10. CDN, Sicherheit und DDoS-Schutz#

Zur Absicherung und Auslieferung der Plattform nutzen wir Cloudflare, Inc. (USA); Zweck: Content Delivery Network (CDN), Sicherheitsmaßnahmen, Bot-Abwehr und DDoS-Schutz. Dabei können Verbindungsdaten (insbesondere IP-Adresse, technische Anfragedaten) durch Cloudflare auch in den USA verarbeitet werden. Grundlage der Übermittlung ist der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO): Cloudflare, Inc. ist unter dem EU-U.S. Data Privacy Framework (einschließlich der UK-Erweiterung) und dem Swiss-U.S. Data Privacy Framework aktiv zertifiziert. Sollte die Zertifizierung entfallen oder der Angemessenheitsbeschluss für ungültig erklärt werden, stützt sich die Übermittlung hilfsweise auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) nebst ergänzender technischer und organisatorischer Maßnahmen, wie im Datenverarbeitungszusatz mit Cloudflare vereinbart. Cloudflare setzt zudem technisch notwendige Cookies (siehe Tabelle in Abschnitt 17).

11. Medien- und Dateispeicherung#

Für die Speicherung und Auslieferung von Medieninhalten (Videos, Bilder, Audiodateien, Downloads) nutzen wir BUNNYWAY d.o.o. (bunny.net, Slowenien); Zweck: Medienspeicherung und CDN-Auslieferung. Speicherort und Auslieferungsregionen sind verbindlich auf Deutschland bzw. die EU begrenzt.

12. Fehleranalyse und Monitoring#

Zur technischen Stabilität und Fehleranalyse betreibt Flenski eine selbst gehostete Instanz der Fehleranalyse-Software Sentry auf dem Flenski-eigenen Server bei Hetzner in Deutschland. Fehlerberichte und technische Gerätedaten werden ausschließlich auf dieser eigenen Infrastruktur verarbeitet; ein externer Dienstleister ist für diese Funktion nicht eingebunden, eine Drittlandübermittlung findet nicht statt. Fehlerberichte werden 30 Tage aufbewahrt; Berichte zu kritischen Fehlern abweichend so lange, bis der Fehler behoben ist (Abschnitt 19).

13. E-Mail-Versand, SMS-Versand und Push-Benachrichtigungen#

E-Mail (SMTP): Transaktionale E-Mails (z. B. Login-Codes, Benachrichtigungen) werden standardmäßig über den gemeinsamen Flenski-Versand verschickt. Dafür setzen wir Mailgun Technologies, Inc. (Sinch-Gruppe), 112 E. Pecan Street #1135, San Antonio, Texas 78205, USA (primärer Versanddienst) und Elastic Email Inc., Unit 107, 1208 Wharf Street, Victoria, BC V8W 3B9, Kanada (Ausfall-Backup) ein; bei beiden Anbietern ist die EU-Region gebucht, die Verarbeitung der Versanddaten erfolgt in der EU (zu den Transfergrundlagen für etwaige Restzugriffe siehe Abschnitt 20). Creator können in den Arbeitsbereichseinstellungen einen eigenen SMTP-Server verbinden; der Versand über einen Creator-eigenen SMTP-Dienst liegt in der Verantwortung des Creators (siehe Abschnitt 16).

SMS: Einmalcodes per SMS werden über das deutsche SMS-Gateway smsflatrate.de der Kloppe Media GmbH, Ansbacher Str. 85, 91541 Rothenburg ob der Tauber, Deutschland versendet; Creator verbinden dafür keinen eigenen Anbieter. Verarbeitet werden dabei die Telefonnummer des Empfängers und der Nachrichteninhalt (Einmalcode).

Push-Benachrichtigungen: Push-Benachrichtigungen werden ausschließlich zugestellt, wenn Sie sie in Ihrem Browser bzw. Betriebssystem ausdrücklich erlaubt haben; diese Erlaubnis können Sie dort jederzeit widerrufen. Ohne Ihre Erlaubnis wird kein Push-Abonnement angelegt und keine Benachrichtigung versendet.

Technisch sind Memberapps als Progressive Web Apps (PWA) installierbar; die Zustellung erfolgt als Web-Push über Google Firebase Cloud Messaging (FCM) und die Push-Dienste der jeweiligen Browser- und Betriebssystem-Hersteller. Verarbeitet werden dabei das Push-Token Ihres Geräts und technische Zustelldaten. Vertragspartner für Kunden im EWR ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; die Datenverarbeitung kann auch durch Google LLC (USA) erfolgen. Grundlage einer Übermittlung in die USA ist der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) — Google LLC ist einschließlich seiner hundertprozentigen US-Tochtergesellschaften aktiv zertifiziert —; ergänzend gelten die in den Firebase Data Processing and Security Terms vereinbarten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Push-Benachrichtigungen enthalten dabei auch Benachrichtigungsinhalte — also personenbezogene Inhalte wie den Titel oder einen Auszug der auslösenden Nachricht —, die zur Zustellung über die genannten Push-Dienste übermittelt werden.

14. KI-Funktionen#

Die Plattform enthält KI-gestützte Funktionen. Standardmäßig laufen sämtliche KI-Funktionen über die Flenski-eigene, lokal installierte KI auf einem eigenen Server in Deutschland (Abschnitte 14.1 und 14.3). Alternativ kann der Creator eigene API-Schlüssel externer KI-Anbieter hinterlegen (BYOK, Abschnitt 14.2); dann läuft die jeweilige Funktion über den vom Creator gewählten Anbieter.

14.1 Lokale Flenski-KI: KI-Verarbeitung in Deutschland#

Hochgeladene Video- und Audiodateien werden automatisch transkribiert; aus Dokumenten und Bildern wird Text per OCR extrahiert. Diese Verarbeitung läuft vollständig auf einem Flenski-eigenen Server bei Hetzner in Deutschland mit lokal installierter KI. Das bedeutet:

• Keine Drittanbieter-KI: Ihre Inhalte werden an keinen externen KI-Anbieter übermittelt, sofern der Creator keinen eigenen API-Schlüssel hinterlegt hat (Abschnitt 14.2).
• Keine Drittlandübermittlung: Die Verarbeitung dieser Funktionen findet ausschließlich in Deutschland statt.
• Kein KI-Training: Flenski verwendet Nutzerinhalte nicht für das Training von KI-Modellen; auch die lokale Flenski-KI wird nicht mit Nutzerinhalten trainiert.

Die erzeugten Transkripte und OCR-Texte werden gespeichert, den Inhalten zugeordnet (z. B. als Transkript-Tab einer Lektion, sofern der Creator dies aktiviert) und in Abschnitte geteilt und indexiert. Auch die Indexierung (Embeddings), die KI-Zusammenfassungen und die GPT-Antworten laufen — sofern der Creator keinen eigenen API-Schlüssel hinterlegt hat — über die lokale Flenski-KI in Deutschland. Dieser Index speist die Suche, die Vorschläge verwandter Inhalte und die Wissensbasis der GPTs (Abschnitt 14.4).

14.2 BYOK — vom Creator hinterlegte eigene API-Schlüssel#

Creator können in den Arbeitsbereichseinstellungen (Integrationen → LLM) eigene API-Schlüssel externer KI-Anbieter hinterlegen — unterstützt werden Claude (Anthropic), ChatGPT (OpenAI), DeepSeek und Gemini (Google) — und die KI-Funktionen (GPTs/AI Coach, Admin-Assistent) darüber betreiben. In diesem Fall gilt:

• Der Creator beauftragt den KI-Anbieter eigenverantwortlich und zahlt direkt an ihn; das Vertrags- und Datenschutzverhältnis zum KI-Anbieter besteht ausschließlich zwischen dem Creator und dem Anbieter.
• Inhalte und Eingaben, die die jeweilige KI-Funktion verarbeitet — einschließlich der Eingaben von Mitgliedern in GPT-Chats —, werden weisungsgemäß an den vom Creator gewählten Anbieter übermittelt. Je nach Anbieter kann das eine Übermittlung in ein Drittland (z. B. USA) bedeuten; die Prüfung der Rechtsgrundlage und ggf. der Transfergarantien obliegt dem Creator.
• Flenski verwahrt den API-Schlüssel ausschließlich technisch, um die Funktion bereitzustellen; die Schlüssel werden verschlüsselt gespeichert. Die Anfragen laufen über Flenski-Server als technischen Proxy an den jeweiligen KI-Anbieter. Die Unterhaltungen selbst (Eingaben und KI-Antworten) werden — wie bei allen KI-Chat-Funktionen — als Chatverlauf in der Flenski-Datenbank gespeichert, damit Gespräche fortgesetzt werden können (zur Speicherdauer Abschnitt 19).
• Ob und wie der gewählte KI-Anbieter übermittelte Inhalte verwendet — einschließlich eines etwaigen KI-Trainings —, richtet sich ausschließlich nach dessen Bedingungen; die Prüfung obliegt dem Creator. Die Zusicherung aus Abschnitt 14.1, dass Nutzerinhalte nicht für KI-Training verwendet werden, gilt nur für die Flenski-Seite, nicht für BYOK-Anbieter.
• Der vom Creator gewählte KI-Anbieter ist Empfänger bzw. eigener Auftragsverarbeiter des Creators, kein Subprozessor von Flenski (siehe Abschnitt 16).

14.3 Eingebautes Flenski-Modell#

Alternativ zum eigenen API-Schlüssel steht — abhängig vom gebuchten Tarif — ein eingebautes Flenski-Modell für GPTs/AI Coach, den Admin-Assistenten und den KI-Seitenbauer zur Verfügung. Das eingebaute Flenski-Modell ist die lokal installierte KI auf dem Flenski-eigenen Server bei Hetzner in Deutschland (Abschnitt 14.1). Es wird kein externer KI-Anbieter eingebunden; eine Drittlandübermittlung findet für diese Funktion nicht statt, und Nutzerinhalte werden nicht für das Training von KI-Modellen verwendet.

14.4 AI Coach / GPTs — KI-Assistenten für Mitglieder#

Creator können in ihren Memberapps KI-Assistenten („GPTs", Funktion „AI Coach") veröffentlichen. Mitglieder chatten mit diesen Assistenten; die Antworten stützen sich auf die vom Creator freigegebenen Wissensbereiche der jeweiligen App (z. B. Kurse, Artikel, Community-Beiträge, Events, Downloads, Helpdesk, Gruppen, öffentliche Kanäle und Seiten — auf Basis des Index aus Transkripten und OCR-Texten, Abschnitt 14.1) sowie auf direkt zum GPT hochgeladene Wissensdateien. Dabei gilt:

• Isolation: Ein GPT antwortet nur aus seinem eigenen, vom Creator zugewiesenen Wissen. Eine App sieht nie das Wissen einer anderen App.
• Modellwahl: Ob ein GPT über einen eigenen API-Schlüssel des Creators (Abschnitt 14.2) oder das eingebaute Flenski-Modell (Abschnitt 14.3) antwortet, entscheidet der Creator je Assistent.
• Chatverläufe: Eingaben der Mitglieder und die KI-Antworten werden als Chatverlauf in der Flenski-Datenbank gespeichert, damit Gespräche fortgesetzt werden können. Eine automatische Löschfrist besteht derzeit nicht; zur Speicherdauer siehe Abschnitt 19.
• Kennzeichnung: Die Interaktion mit einem KI-Assistenten wird als solche gekennzeichnet. Gegenüber den Mitgliedern ist der Creator für den Einsatz und die Kennzeichnung der KI verantwortlich; die KI-Antworten sind Inhalte des Creators. Flenski stellt die Funktion und die Kennzeichnungsmöglichkeit bereit.
• KI-generierte Ergebnisse können fehlerhaft oder unvollständig sein und sind eigenverantwortlich zu prüfen.

15. MCP-Schnittstelle — vom Creator autorisierte externe KI-Zugriffe#

Der Admin bzw. Owner eines Arbeitsbereichs kann ein externes KI-Werkzeug — derzeit anbindbar sind Claude (Anthropic) und ChatGPT (OpenAI) — über die MCP-Schnittstelle (Model Context Protocol) mit genau einer Memberapp verbinden. Die Verbindung wird vom Creator selbst eingerichtet und autorisiert; das verbundene Werkzeug kann anschließend im Namen des autorisierenden Nutzers in dieser App arbeiten, insbesondere Inhalte erstellen und löschen. Aktive Sitzungen werden im MCP-Bildschirm mit ihrer letzten Aktivität angezeigt und können dort einzeln widerrufen werden.

Datenschutzrechtlich gilt:

• Der Anbieter des verbundenen KI-Werkzeugs (MCP-Client) ist Empfänger bzw. eigener Auftragsverarbeiter des Creators — kein Subprozessor von Flenski. Der Creator wählt den Anbieter aus, prüft dessen Datenschutzbedingungen und schließt erforderliche Verträge selbst.
• Jede Aktion über eine autorisierte MCP-Sitzung gilt im Verhältnis zu Flenski als Handlung und Weisung des Creators.
• Der Creator ist gehalten, Sitzungen, die er nicht mehr nutzt oder nicht mehr erkennt, unverzüglich zu widerrufen.
• Welche Daten und Rechte eine autorisierte Sitzung erhält, stellt der Creator selbst granular in den Einstellungen ein (Scopes). Je nach der vom Creator gewählten Konfiguration und den erteilten Aufgaben können bis zu sämtliche Inhalte der verbundenen App betroffen sein.
• Die Verbindung läuft technisch über Flenski-Server. Sitzungs-Tokens sind befristet: das Zugriffs-Token auf einen Monat, das Erneuerungs-Token auf ein Jahr; jede Sitzung kann darüber hinaus jederzeit einzeln widerrufen werden.

16. Vom Creator angebundene Drittanbieter-Dienste#

Creator können in ihren Arbeitsbereich und ihre Memberapps eigenverantwortlich externe Dienste einbinden, insbesondere:

• Zahlungsanbieter und Checkout-Systeme (Abschnitt 8),
• CRM- und E-Mail-Marketing-Dienste: KlickTipp, Quentn, ActiveCampaign, HubSpot, Brevo,
• Automatisierungsdienste: Zapier, Make sowie eigene Webhook-Endpunkte,
• eigener SMTP-Server für den E-Mail-Versand,
• Tracking und Pixel: eingebaute Schalter für Google Analytics, Meta (Facebook) Pixel, TikTok Pixel und LinkedIn sowie freie Codefelder,
• eingebettete Medien: z. B. YouTube, Vimeo, Loom, Spotify,
• BYOK-KI-Anbieter (Abschnitt 14.2) und MCP-Clients (Abschnitt 15).

Für alle diese Dienste gilt: Sie sind Empfänger bzw. eigene Auftragsverarbeiter des jeweiligen Creators, nicht von Flenski. Die Anbindung durch den Creator gilt als dessen dokumentierte Weisung; die Auswahl des Anbieters, die Rechtsgrundlage der Übermittlung, ein ggf. erforderlicher eigener Auftragsverarbeitungsvertrag und die Prüfung von Drittlandtransfers liegen beim Creator. Flenski übermittelt an den angebundenen Dienst nur die für die jeweilige Funktion erforderlichen Daten (bei Automationen z. B. den Mitglieds- bzw. Kontaktdatensatz mit Tags und Listen).

Tracking und Einwilligung: Für Analyse- und Marketing-Technologien, die der Creator einbindet, ist ausschließlich der Creator verantwortlich — einschließlich der Einholung erforderlicher Einwilligungen nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Die Plattform stellt dafür unter „Tracking & Cookie-Banner" einen Cookie-Banner mit gleichrangigen „Akzeptieren"/„Ablehnen"-Schaltflächen und einer Einstellungsansicht bereit: Legt der Creator seine Trackingcodes mit aktiviertem Banner an, werden einwilligungspflichtige Codes erst nach Zustimmung des Besuchers ausgeführt, und Besucher können ihre Auswahl jederzeit über den Link „Cookie-Einstellungen" im Fußbereich der Memberapp ändern oder widerrufen. Wählt der Creator für einen Trackingcode die Option ohne Banner, wird dieser Code ohne Einwilligungsabfrage ausgeführt — diese Option ist ausschließlich für technisch notwendige Einbindungen bestimmt; setzt der Creator sie für einwilligungspflichtige Dienste ein oder bindet er eine eigene Consent-Lösung ein, liegt die datenschutzkonforme Ausgestaltung vollständig in seiner Verantwortung (§ 6 der Nutzungsbedingungen).

17. Cookies und vergleichbare Technologien#

Flenski selbst verwendet auf der Plattform ausschließlich technisch notwendige Cookies und vergleichbare Technologien, die für den sicheren und stabilen Betrieb erforderlich sind. Die Speicherung und das Auslesen dieser Informationen sind nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, da sie unbedingt erforderlich sind, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen; eine Einwilligung über einen Cookie-Banner ist für diese Cookies nicht erforderlich. Sie können daher nicht deaktiviert werden, ohne dass die Plattform ihre Funktion verliert.

Im Einzelnen setzt die Plattform folgende Cookies ein:

Zusätzlich zu den Cookies der Tabelle speichert der Cookie-Banner einer Memberapp Ihre Einwilligungsauswahl: bei Gästen als Local-Storage-Eintrag mit dem Schlüssel „cookieConsent" in Ihrem Browser (ohne automatisches Ablaufdatum — der Eintrag bleibt, bis Sie Ihre Browserdaten löschen), bei angemeldeten Mitgliedern in Ihrem Nutzerkonto in der Flenski-Datenbank. Die Speicherung der Auswahl ist unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG, damit Ihre Entscheidung respektiert und nicht bei jedem Besuch neu abgefragt wird.

Flenski selbst setzt standardmäßig keine eigenen Marketing-, Retargeting-, Analyse- oder Tracking-Cookies zu Werbezwecken ein.

Cookies und Tracker der Creator: Bindet ein Creator in seiner Memberapp eigene Analyse-, Marketing- oder Medien-Dienste ein (Abschnitt 16), können dadurch weitere, nicht technisch notwendige Cookies gesetzt werden. Diese erfordern Ihre Einwilligung nach § 25 Abs. 1 TDDDG; verantwortlich hierfür ist der jeweilige Creator, der die Einwilligung über den bereitgestellten Cookie-Banner oder eine eigene Consent-Lösung einholt.

18. Weitere Verarbeitungen im Plattformbetrieb#

Support- und Admin-Sitzungen (Produkt-Simulation/Maskerade): Administratoren einer Memberapp — und Flenski-Support nach ausdrücklicher Freigabe (Abschnitt 4) — können die App aus Sicht eines Test-Nutzers ansehen, z. B. als Mitglied mit einem bestimmten Zugangsplan. Diese Simulations-Sitzung ist auf eine Stunde begrenzt und von der normalen Login-Persistenz (Cookies accessToken/refreshToken, 30 bzw. 90 Tage rollierend) getrennt; für sie werden eigene Sitzungs-Cookies gesetzt (siehe Tabelle in Abschnitt 17).

Lead-Formulare und Kontakte: Über Lead-Formulare erhobene Daten werden als Kontakte auf Arbeitsbereich-Ebene des Creators gespeichert. Verantwortlicher für diese Daten ist der Creator; Flenski verarbeitet sie als Auftragsverarbeiter.

Öffentliche Zertifikats-Prüfseite: Von Creatorn ausgestellte Zertifikate erhalten eine neunstellige Zertifikats-ID (Format 000-000-000); sie steht auf dem Zertifikat als Nummer, QR-Code und Prüf-URL. Über eine öffentliche, ohne Anmeldung erreichbare Prüfseite können Dritte (z. B. Arbeitgeber), denen der Inhaber sein Zertifikat vorlegt, dessen Echtheit prüfen. Ein Abruf ist ausschließlich mit Kenntnis der vollständigen Zertifikats-ID möglich; es gibt keine Namenssuche und keine Liste aller Zertifikate. Bei gültiger ID zeigt die Seite den vollständigen Namen des Inhabers, die Kursbezeichnung, das Ausstellungsdatum und die Gültigkeitsbestätigung; bei unbekannter ID wird nichts angezeigt. Verarbeitet werden dafür Vor- und Nachname, Kursbezeichnung, Ausstellungsdatum und Zertifikats-ID. Die Abrufe sind derzeit auf 20 pro Zeitfenster begrenzt (Rate-Limit); das erschwert ein massenhaftes Durchprobieren von IDs. Datenquelle ist eine öffentliche API; geplant vor Release ist, dass diese API ausschließlich Name, Ausstellungsdatum und Gültigkeitsstatus liefert — keine internen Kennungen oder Kontoinformationen. Ebenfalls geplant vor Release: die Prüfseite wird per noindex und robots.txt von Suchmaschinen ausgenommen, sodass Namen nicht über Suchmaschinen auffindbar sind, sowie ein Opt-out des Inhabers in seinem Profil gegen die Namensanzeige — es wirkt sofort, auch für bereits ausgestellte Zertifikate; das Zertifikat bleibt dann ohne Namensanzeige als „gültig" prüfbar. Bei Löschung des Kontos wird der Name nicht mehr ausgeliefert. Rechtsgrundlage der Namensanzeige ist Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse des Zertifikatsinhabers und des vorlegenden Dritten an der Echtheitsprüfung des Zertifikats.

Discover-Verzeichnis: Creator können ihre Memberapp in einem öffentlichen Verzeichnis listen lassen. Die dort angezeigten Angaben stammen vom Creator.

Exporte: Creator können Mitglieder- und Kontaktdaten ihres Arbeitsbereichs exportieren. Der Umgang mit exportierten Daten liegt in der Verantwortung des Creators.

19. Speicherdauer#

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Anschließend werden die Daten gelöscht oder anonymisiert. Im Einzelnen:

Soweit Flenski als Auftragsverarbeiter tätig ist, richtet sich die Speicherdauer nach den Weisungen des Creators und dem AVV; nach Vertragsende werden die Daten gemäß AVV gelöscht oder zurückgegeben.

20. Empfänger und Subprozessoren#

Flenski setzt zur Erbringung der Leistungen folgende Dienstleister ein. Diese Liste ist identisch mit Anlage 3 des Auftragsverarbeitungsvertrags:

Die Fehleranalyse (Sentry) läuft als selbst gehostete Instanz auf der Hetzner-Infrastruktur (Abschnitt 12) und ist daher kein externer Subprozessor.

Die jeweils aktuelle Fassung dieser Liste ist als eigenständige Subprozessorenliste abrufbar unter https://legal.flenski.io/subprozessoren.html; über Änderungen werden Creator gemäß Ziff. 9 des Auftragsverarbeitungsvertrags vorab informiert.

Nicht in dieser Liste stehen die Dienste, die der jeweilige Creator selbst anbindet (Abschnitte 8, 14.2, 15, 16) — sie sind Empfänger bzw. Auftragsverarbeiter des Creators. Behörden erhalten Daten nur, soweit eine gesetzliche Verpflichtung besteht.

21. Internationale Datenübermittlung und Sitz des Verantwortlichen#

Die Verarbeitung personenbezogener Daten erfolgt auf Servern in der Europäischen Union, im Regelfall in Deutschland. Übermittlungen in Drittländer finden nur in den in dieser Erklärung benannten Fällen statt (Cloudflare — Abschnitt 10; Google Firebase für Web-Push — Abschnitt 13; vom Creator ausdrücklich freigegebene Support-Zugriffe von außerhalb der EU — siehe unten) und nur auf Grundlage geeigneter Garantien (Angemessenheitsbeschluss gemäß Art. 45 DSGVO oder Standardvertragsklauseln gemäß Art. 46 DSGVO nebst ergänzender Maßnahmen). Bindet ein Creator eigene Dienste an (z. B. BYOK-KI-Anbieter, MCP-Clients, US-Tracker), verantwortet er die dabei ausgelösten Drittlandtransfers selbst.

Support-Zugriffe und unser Sitz in den VAE. Flenski hat kein zentrales Software-Backend; ein personeller Zugriff auf eine Memberapp ist nur möglich, wenn der Creator ihn über den Schalter „Flenski Team Zugriff gestatten" ausdrücklich freigibt (jederzeit widerrufbar, Abschnitt 4). Solche Support-Zugriffe erfolgen im Regelfall aus der EU/dem EWR. Nur wenn der Creator dies im Einzelfall ausdrücklich wünscht und freigibt, kann ein Support-Zugriff auch von außerhalb der EU/des EWR (z. B. aus den VAE) erfolgen. Für diesen Ausnahmefall haben wir mit dem Creator im Auftragsverarbeitungsvertrag die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 2) als geeignete Garantie nach Art. 46 Abs. 2 lit. c DSGVO vereinbart. Die Daten selbst bleiben dabei auf Servern in Deutschland gespeichert.

22. Sicherheitsmaßnahmen#

Flenski trifft technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um personenbezogene Daten zu schützen. Dazu zählen insbesondere: Transportverschlüsselung, Verschlüsselung ruhender Daten, Zugriffskontrollen und Rollen-/Berechtigungssystem (Owner, Admin, Teammitglied), Mandantentrennung (App- und GPT-Wissensisolation), Admin-Login mit Passwort und zusätzlichem Einmalcode per E-Mail, verschlüsselte Speicherung hinterlegter API-Schlüssel, personeller Supportzugriff nur nach ausdrücklicher, widerrufbarer Freigabe, Protokollierung von Moderator-Zugriffen, Firewalls und DDoS-Schutz, Monitoring über eine selbst gehostete Fehleranalyse (Abschnitt 12), gestaffelte Backups (täglich und monatlich sowie bei Releases) und Sicherheitsupdates. Die vollständige Beschreibung der Maßnahmen enthält Anlage 2 des Auftragsverarbeitungsvertrags.

23. Ihre Rechte als betroffene Person#

Sie haben gegenüber dem für Sie zuständigen Verantwortlichen folgende Rechte:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zuständigkeit: Betrifft Ihr Anliegen Daten, die Flenski als Verantwortlicher verarbeitet (insbesondere Creator-Konten), wenden Sie sich an finn@flenskiteam.com oder an den EU-Vertreter (Abschnitt 1). Betrifft Ihr Anliegen Ihre Daten als Mitglied, Kontakt oder Besucher einer Memberapp, ist der jeweilige Creator Verantwortlicher und erster Ansprechpartner; Flenski unterstützt ihn als Auftragsverarbeiter bei der Beantwortung.

Beschwerderecht bei einer Aufsichtsbehörde: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Sie können sich dafür insbesondere an die Aufsichtsbehörde des EU-Mitgliedstaats wenden, in dem Sie sich gewöhnlich aufhalten, in dem Sie arbeiten oder in dem der mutmaßliche Verstoß stattgefunden hat. Da Flenski keine Niederlassung in der EU hat, gibt es keine „federführende" Aufsichtsbehörde; Sie können Ihre Beschwerde bei jeder EU-Aufsichtsbehörde einlegen. In Deutschland ist das z. B. die Datenschutz-Aufsichtsbehörde Ihres Bundeslandes, in Österreich die Österreichische Datenschutzbehörde. Eine Übersicht aller EU-Aufsichtsbehörden veröffentlicht der Europäische Datenschutzausschuss unter https://www.edpb.europa.eu/about-edpb/about-edpb/members_en.

Keine automatisierte Entscheidungsfindung: Flenski trifft keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

24. Minderjährige#

Die Plattform richtet sich als B2B-Angebot an Creator und nicht an Personen unter 16 Jahren. An welche Zielgruppen sich eine einzelne Memberapp richtet und ob dort Einwilligungen Minderjähriger eine Rolle spielen (Art. 8 DSGVO), bestimmt und verantwortet der jeweilige Creator.

25. Änderungen dieser Datenschutzerklärung#

Flenski passt diese Datenschutzerklärung an, wenn technische Änderungen, rechtliche Anforderungen, neue Funktionen oder organisatorische Änderungen dies erfordern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung; das Stand-Datum finden Sie am Seitenanfang.

26. Kontakt#

Bei Fragen zum Datenschutz erreichen Sie uns unter: finn@flenskiteam.com (Kontaktstelle: Finn Hansen). Allgemeine Anfragen: support@flenski.io.

27. Marketing-Websites von Flenski (getrennt von der Plattform)#

Von der Plattform (App-Betrieb, Memberapps, Kundendaten) strikt zu unterscheiden sind die eigenen Marketing-Websites von Flenski — insbesondere die Homepage flenski.io und deren Unterseiten. Sie dienen der Information über Flenski und der Neukundengewinnung. Daten aus der Plattform — insbesondere Mitglieder-, Kunden- und Inhaltsdaten der Creator und ihrer Memberapps — werden auf den Marketing-Websites nicht verarbeitet und nicht mit dort eingesetzten Werkzeugen verknüpft.

Die Marketing-Websites werden bei Vercel Inc. (USA; Hosting der Marketing-Seiten, nicht der Plattform) betrieben; dabei können technisch erforderliche Verbindungsdaten (u. a. IP-Adresse) verarbeitet werden. Grundlage einer Übermittlung in die USA ist der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) — Vercel ist unter dem DPF zertifiziert (einschließlich der UK-Erweiterung und des Swiss-U.S. DPF; Zertifizierung seit Juni 2024, Nachweis über die Teilnehmerliste auf dataprivacyframework.gov sowie vercel.com/security) —; hilfsweise gelten die im Vercel Data Processing Addendum vereinbarten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Auf den Marketing-Websites können — jeweils erst nach Ihrer Einwilligung über den dortigen Cookie-Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) — Marketing- und Analyse-Dienste eingesetzt werden, derzeit oder künftig insbesondere: KlickTipp (E-Mail-Marketing), Calendly (Terminbuchung), FunnelCockpit (Landingpages/Funnels), WebinarJam (Webinare), Google Analytics, Google Ads, Meta Pixel und TikTok Pixel. Maßgeblich für die jeweils tatsächlich eingesetzten Dienste ist der Cookie-Banner der jeweiligen Seite; technisch nicht notwendige Dienste werden erst nach Einwilligung geladen. Details zu den einzelnen Diensten werden bei deren Aktivierung an dieser Stelle ergänzt.