Datenschutz

1. Verantwortlicher

Maikel Szymanski, Bahnhofstr. 24, 01796 Pirna, Deutschland. E-Mail: info@drlocal.de, Telefon +49 15560 498761.

Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen von Art. 37 DSGVO und § 38 BDSG nicht vorliegen. Fragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse.

2. Das Wichtigste in Kürze

• Keine Werbung, keine Werbe- oder Statistik-Cookies, kein Verkauf von Daten.
• Reichweite messen wir ohne Cookies und ohne Profile; IP-Adressen speichern wir dafür nicht.
• Ihre Kontaktdaten aus einer Anfrage sehen nur die Betriebe, die Sie auswählen, und erst, wenn diese antworten. Ausnahme: Betriebe, die noch nicht auf DrLocal aktiv sind, bekommen Ihre Anfrage mit Ihren Kontaktdaten per E-Mail, wenn Sie dem zustimmen (Abschnitt 7).
• Karten laden über unseren eigenen Server, ohne Datenübermittlung an Dritte.
• Unsere Server stehen in Deutschland. Dienste außerhalb der EU nutzen wir nur für die Zahlungsabwicklung, die KI-Auswertung öffentlicher Websites und eingefügter Bewertungstexte, Adressvorschläge, Google-Bewertungen von Betrieben; die jeweiligen Abschnitte nennen die Einzelheiten.

3. Hosting, Server-Protokolle und Sicherungen

DrLocal läuft auf einem virtuellen Server im Rechenzentrum Frankfurt am Main. Anbieter ist Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaka, Zypern, der in unserem Auftrag tätig ist (Art. 28 DSGVO). Verschlüsselte Sicherungen liegen zusätzlich auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein (Vogtland), Deutschland. Hetzner kann die Sicherungen nicht lesen, weil sie vor der Übertragung bei uns verschlüsselt werden. Sicherungen bewahren wir höchstens sechs Monate auf (täglich, wöchentlich und monatlich gestaffelt); danach werden sie automatisch gelöscht.

Beim Aufruf jeder Seite verarbeitet der Webserver technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung. Das ist nötig, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolldateien werden automatisch rotiert und überschrieben und nur bei Störungen oder Angriffen ausgewertet.

4. Cookies und lokaler Speicher

Wir setzen nur technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG):

• Sitzungs-Cookie und XSRF-TOKEN: halten Formulare und Anmeldung zusammen und schützen vor gefälschten Anfragen. Gültig für 120 Minuten ohne Aktivität.
• Angemeldet bleiben: nur, wenn Sie das beim Anmelden auswählen; gilt bis zur Abmeldung.

Im lokalen Speicher Ihres Browsers legen wir für Karten nichts ab, weil Karten ohne Einwilligung über unseren eigenen Server laden (Abschnitt 15).

5. Reichweitenmessung ohne Cookies

Um zu zählen, wie oft Seiten, Profile und Listen aufgerufen werden und wie oft auf Telefon, Website oder Route eines Betriebs geklickt wird, sendet Ihr Browser eine kurze Meldung an unseren eigenen Server. Dabei entsteht aus IP-Adresse und Browserkennung ein Prüfwert mit täglich wechselndem Schlüssel, der nur doppelte Zählungen verhindert und nach spätestens einem Tag nicht mehr zuzuordnen ist. Gespeichert werden ausschließlich Summen je Seite und Tag, keine IP-Adressen, keine Cookies, keine Profile. Auf Ihrem Gerät wird dafür nichts gespeichert oder ausgelesen. Ob ein Besuch von einer Suchmaschine kam, wird ausgewertet, die Herkunftsadresse selbst wird nicht gespeichert. Betriebe sehen diese Summen in ihrem Bereich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Betrieben belastbare Zahlen zu zeigen und das Angebot zu verbessern. Es gibt keine Dienste Dritter für Statistik.

Auf den Branchenseiten können Sie nach den besten Betrieben in Ihrer Nähe suchen. Wenn Sie „Meinen Standort nutzen“ anklicken, fragt Ihr Browser Sie, ob er Ihren Standort freigeben darf; ohne Ihre Freigabe passiert nichts. Die Koordinaten gehen einmalig an unseren Server, der daraus die nächstgelegenen Betriebe ermittelt. Wir speichern sie nicht, schreiben sie in kein Protokoll und hängen sie an keine Adresse an. Alternativ geben Sie einen Ort oder eine Postleitzahl ein, die wir mit unserer Ortsliste abgleichen (Art. 6 Abs. 1 lit. a DSGVO durch Ihre Freigabe im Browser bzw. lit. f).

6. Spam-Schutz

Formulare für Anfragen, Registrierung und den KI-Check schützen wir mit einer Rechenaufgabe, die Ihr Browser im Hintergrund löst (ALTCHA). Sie läuft vollständig auf unserem Server, es werden keine Daten an Dritte übertragen und keine Cookies gesetzt (Art. 6 Abs. 1 lit. f DSGVO).

7. Anfragen an Betriebe

Wenn Sie eine Anfrage senden, verarbeiten wir Ihr Vorhaben (Leistung, Beschreibung, Ort bzw. Postleitzahl, Zeitrahmen und Wunschtermine), Ihren Namen, Ihre E-Mail-Adresse, freiwillig Ihre Telefonnummer und Ihren bevorzugten Rückweg, um die Anfrage an die von Ihnen gewählten Betriebe (höchstens fünf) weiterzuleiten (Art. 6 Abs. 1 lit. b DSGVO). Ohne bestätigtes Konto bestätigen Sie Ihre E-Mail-Adresse per Link (Double-Opt-in); ohne Bestätigung wird die Anfrage nicht zugestellt. Die Betriebe sehen Ihr Vorhaben; Ihre Kontaktdaten erhalten sie erst, wenn sie antworten. Ab dann ist jeder Betrieb für Ihre Daten selbst verantwortlich. Antworten und Rückfragen laufen über DrLocal und werden Ihnen per E-Mail mitgeteilt.

Betriebe, die noch nicht auf DrLocal aktiv sind. Hat ein Betrieb seinen Eintrag nicht übernommen und ist eine geschäftliche E-Mail-Adresse bekannt (Quelle: öffentliche Angaben wie das Impressum des Betriebs, die Herkunft speichern wir), leiten wir Ihre Anfrage nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) per E-Mail an diese Adresse weiter, mit Ihrem Namen, Ihrer E-Mail-Adresse, ggf. Telefonnummer und dem Text Ihrer Anfrage. Die Antwort des Betriebs geht direkt an Ihre E-Mail-Adresse; „Antworten“ im Postfach des Betriebs schreibt an Sie, ohne Umweg über DrLocal. Wir leiten höchstens 10 Anfragen je Betrieb und Monat weiter, nicht an Berufe mit Standesrecht (zum Beispiel Rechtsanwälte, Notare, Steuerberater) und nicht an erkennbar private E-Mail-Adressen. Jede weitergeleitete E-Mail enthält einen Link „Keine weiteren Anfragen über DrLocal“; wer ihn bestätigt, bekommt von uns keine Anfragen mehr (wir speichern dafür den Betrieb und einen nicht umkehrbaren Prüfwert der Adresse). Für die weitergeleiteten Daten ist der Betrieb ab Empfang selbst verantwortlich. Die Einwilligung können Sie nur bis zum Absenden zurückziehen, indem Sie den Vorgang abbrechen; danach können wir die E-Mail nicht zurückholen. Ist der Betrieb nicht erreichbar, bereiten wir Ihre Anfrage als Text vor, den Sie selbst senden; dann gehen keine Daten von DrLocal an den Betrieb.

Vorabprüfung jeder Anfrage. Bevor eine Anfrage zugestellt wird, prüfen wir sie automatisch auf Spam, Werbung, anstößige Inhalte und darauf, ob sie zur Branche passt (Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Betriebe und Besucher vor Missbrauch zu schützen). Zuerst gleichen wir den Text mit festen Mustern ab (zum Beispiel Zahl der Links). Dann bewertet ein KI-Modell über OpenRouter, Inc., USA, Titel und Beschreibung Ihrer Anfrage. Vorher maskieren wir E-Mail-Adressen, Telefonnummern und Links; Ihren Namen und Ihre Kontaktdaten schicken wir nicht mit. Wir speichern weder Ihren Text noch die Antwort des Modells im KI-Protokoll, nur Zeitpunkt, Modell, Verbrauch und Kosten. Das Ergebnis (Klasse und kurze Begründung) speichern wir an der Anfrage. Die Entscheidung über die Zustellung trifft kein Automat allein: Wird eine Anfrage zurückgehalten, prüft sie ein Mensch im Verwaltungsbereich und gibt sie frei oder verwirft sie; Sie bekommen dann eine Nachricht. Ist die KI nicht erreichbar, stellen wir die Anfrage zu und markieren sie zur späteren Prüfung. Die Übermittlung in die USA stützen wir auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Zum Nachweis speichern wir die Fassung dieser Datenschutzerklärung, zur Missbrauchsabwehr einen Prüfwert Ihrer IP-Adresse (gelöscht nach 30 Tagen) und gegebenenfalls Kampagnenparameter aus der aufgerufenen Adresse. Nach 12 Monaten werden Kontaktdaten und Freitext der Anfrage anonymisiert; übrig bleiben Zahlen ohne Personenbezug.

8. Bewertungen

DrLocal sammelt derzeit keine eigenen Bewertungen; dafür verarbeiten wir also keine Daten von Kunden.

Google-Bewertungen von Betrieben. Für Profile rufen wir über die Google Places API die Kennung des Google-Eintrags (Place-ID), den Durchschnitt und die Anzahl der Google-Bewertungen ab und speichern diese Werte mit dem Abrufdatum. Texte und Namen von Bewertenden rufen wir nicht ab. Den passenden Google-Eintrag suchen wir anhand von Firmenname und Anschrift. Die Abrufe stellt unser Server; Daten von Besuchern gehen dabei nicht an Google. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Google verarbeitet Daten auch in den USA, Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, soweit überhaupt Personenbezug besteht; unser Interesse ist, Nutzern eine verlässliche Einordnung des Betriebs zu geben. Die Werte speichern wir, solange der Eintrag besteht, und aktualisieren sie monatlich.

Einladungen zur Google-Bewertung. Betriebe mit Plus oder Pro können Kunden per E-Mail einladen, sie bei Google zu bewerten. Dafür tragen sie die E-Mail-Adresse des Kunden und optional dessen Namen ein und bestätigen, dass der Kunde einverstanden ist. Wir verarbeiten die Daten im Auftrag des Betriebs (Art. 28 DSGVO): Wir versenden die E-Mail mit dem Link zu Google und speichern die Adresse nicht, nur einen nicht umkehrbaren Prüfwert, damit eine Adresse je Betrieb höchstens einmal in 90 Tagen eingeladen wird, und einen Prüfwert für die Abmeldeliste. Name und Adresse liegen verschlüsselt in der Warteschlange bis zum Versand, bei Fehlern höchstens 48 Stunden. Wer sich über den Link in der E-Mail abmeldet, wird von keinem Betrieb mehr eingeladen. Verantwortlich für die Einladung ist der Betrieb. Mit dem Link verlassen Sie DrLocal; für die Bewertung bei Google gilt dessen Datenschutzerklärung.

Antwortvorschläge per KI. Betriebe mit Pro können den Text einer Google-Bewertung einfügen und erhalten einen Vorschlag für ihre Antwort. Der Text wird dafür an OpenRouter und das gewählte Modell übermittelt. Vorher schwärzen wir E-Mail-Adressen, Telefonnummern und Links nach festen Mustern; Namen erkennen wir nicht, deshalb weisen wir Betriebe an, keine Namen einzufügen. Wir speichern weder den Bewertungstext noch den Vorschlag; im KI-Protokoll bleiben nur Zeitpunkt, Modell, Verbrauch und Kosten.

KI-Sichtbarkeit. Betriebe mit Pro können Suchfragen festlegen, die wir jede Woche an zwei KI-Suchen mit Websuche stellen, um zu zeigen, ob der Betrieb genannt wird. Die Fragen schicken wir über OpenRouter, Inc., USA, an die Modellbetreiber (derzeit Perplexity AI, Inc., USA, und Google, jeweils mit Websuche); eine zweite Anfrage an ein günstiges Modell liest aus der Antwort die genannten Betriebsnamen heraus. Die Fragen enthalten keine personenbezogenen Daten: Betriebe dürfen keine E-Mail-Adressen, Telefonnummern oder Links eintragen, und wir maskieren solche Muster vor dem Versand. Wir speichern je Frage und Woche, ob der Betrieb genannt wurde, die Position, ob die Website oder das DrLocal-Profil als Quelle stand und die Namen anderer genannter Betriebe, 13 Monate lang. Die Antworttexte der KI speichern wir nicht; im KI-Protokoll bleiben nur Zeitpunkt, Modell, Verbrauch und Kosten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Betrieb; die Namen anderer Betriebe sind Unternehmensdaten, die nur der Betrieb in seinem Bereich sieht. Die Übermittlung in die USA stützen wir auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

9. Kundenkonto

Ein Konto ist freiwillig. Wir speichern Name, E-Mail-Adresse und Ihr Passwort (nur als Hash), auf Wunsch die Zwei-Faktor-Anmeldung (Art. 6 Abs. 1 lit. b DSGVO). Im Konto sehen Sie Ihre Anfragen und die Antworten der Betriebe. Sie können Ihr Konto in den Einstellungen jederzeit löschen. Das Konto wird dann sofort gelöscht; Anfragen bleiben ohne Kontobezug bestehen und werden nach den Fristen aus Abschnitt 7 anonymisiert.

10. Konten von Betrieben, Einrichtung und Übernahme

Betriebe legen ein Konto mit Name, E-Mail-Adresse und Passwort an und pflegen ihr Profil (Art. 6 Abs. 1 lit. b DSGVO). Für die Übernahme eines Eintrags prüfen wir, ob die Person zum Betrieb gehört: über eine E-Mail-Adresse mit der Domain des Betriebs oder durch eine Prüfung von Hand anhand Ihrer Angaben. Die Übernahme und Änderungen am Status protokollieren wir (Abschnitt 17).

Einrichtung eines Eintrags. Beim Einrichten können Sie Ihren Betrieb bei Google suchen, Ihre Website auslesen lassen oder alles von Hand eingeben. Bei der Google-Suche schickt unser Server Ihren Suchbegriff an die Google Places API und übernimmt aus dem gewählten Treffer Vorschläge für Name, Anschrift, Telefon, Website und Öffnungszeiten; von Google gespeichert wird danach nur die Place-ID (Abschnitt 8). Beim Auslesen ruft unser Crawler öffentliche Seiten Ihrer Website ab und lässt Leistungen und eine Kurzbeschreibung von einem KI-Modell vorschlagen (Abschnitt 14). Vorschläge übernehmen wir erst, wenn Sie sie bestätigen. Für Adressen zeigen wir Vorschläge von LocationIQ an und bestimmen die Kartenposition darüber (Abschnitt 15). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Nachweise zur Übernahme. Wählen Sie die Prüfung von Hand, laden Sie ein bis drei Dateien hoch (zum Beispiel Gewerbeanmeldung, Handelsregisterauszug, Rechnung oder Briefkopf mit Adresse, Visitenkarte) und beschreiben kurz, woran wir die Berechtigung erkennen (Art. 6 Abs. 1 lit. b und f DSGVO). Die Dateien liegen nicht öffentlich auf unserem Server und sind nur für unser Team abrufbar. Wir löschen sie 30 Tage nach unserer Entscheidung über die Übernahme. Schwärzen Sie, was wir nicht brauchen, etwa Konto- oder Steuernummern.

Logos und Bilder. Laden Sie Logo, Fotos oder Referenzbilder hoch, speichern wir die Dateien und zu jedem Bild, wer wann die Nutzungsrechte bestätigt hat (Art. 6 Abs. 1 lit. b und f DSGVO). Die Bilder sind öffentlich auf Ihrem Profil zu sehen, bis Sie sie löschen oder der Eintrag gelöscht wird.

Betriebe erhalten E-Mails zu Anfragen, zum Ablauf der Testphase und einen monatlichen Befund mit ihren Zahlen. Den Befund können Sie mit dem Link in jeder E-Mail abbestellen; Benachrichtigungen stellen Sie in den Einstellungen ein. Mitteilungen über Moderationsentscheidungen sind gesetzlich vorgeschrieben und nicht abbestellbar.

11. Abos und Zahlungen

Kostenpflichtige Abos für Betriebe wickeln wir über Stripe ab: Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland. Beim Abschluss werden Sie zu Stripe weitergeleitet und geben dort Rechnungsanschrift und Zahlungsdaten ein (Karte oder PayPal). Wir erhalten von Stripe nur den Status des Abos, Rechnungsdaten und die letzten Ziffern des Zahlungsmittels, nie vollständige Karten- oder Kontodaten (Art. 6 Abs. 1 lit. b und c DSGVO). Für die Zahlungsabwicklung, die Betrugsprävention und eigene gesetzliche Pflichten ist Stripe eigener Verantwortlicher; es gilt die Datenschutzerklärung von Stripe. Stripe verarbeitet Daten auch in den USA; Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Wählen Sie PayPal, leitet Stripe Sie zu PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, weiter; PayPal ist für die Zahlung eigener Verantwortlicher, es gilt die Datenschutzerklärung von PayPal. Rechnungen bewahren wir nach § 147 AO und § 257 HGB zehn Jahre auf.

12. E-Mails

E-Mails zu Anfragen, Konten und Abos versenden wir über den E-Mail-Dienst von Hostinger International Ltd. (Anschrift in Abschnitt 3), der in unserem Auftrag tätig ist. Wir senden keine Werbe-E-Mails und keinen Newsletter.

Branchenvorschläge. Wenn Sie uns eine fehlende Branche vorschlagen, speichern wir den Branchennamen und, falls Sie ihn angeben, einen Ort. Das sind keine personenbezogenen Daten. Ihre E-Mail-Adresse speichern wir nur, wenn Sie das Kästchen „Sag mir Bescheid“ anhaken. Wir nutzen sie ausschließlich für eine einzige Mail, sobald die Branche aufgenommen ist (Zweck: Benachrichtigung; Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO). Die Adresse löschen wir sofort nach dieser Mail oder wenn wir den Vorschlag ablehnen, spätestens nach 12 Monaten. Sie können die Einwilligung jederzeit widerrufen: Eine formlose E-Mail an info@drlocal.de genügt, wir löschen die Adresse dann umgehend. Zum Schutz vor Missbrauch nutzt das Formular einen Spam-Schutz (Abschnitt 6) und begrenzt die Zahl der Vorschläge je Verbindung.

13. KI-Check für Websites

Mit dem KI-Check prüfen Betriebe, wie gut KI-Assistenten ihre Website verstehen. Wer eine Adresse einträgt, löst einen Abruf von höchstens 6 öffentlichen Seiten dieser Website durch unseren Crawler „DrLocalBot“ aus; die robots.txt der Website wird beachtet. Für übernommene Betriebe mit Website startet der Check auch automatisch nach der Übernahme oder einer Änderung der Website-Adresse. Wir speichern die Adresse, die Ergebnisse und einen Prüfwert der IP-Adresse der Person, die den Check startet (gelöscht nach 30 Tagen). Der Bericht ist über einen geheimen Link 90 Tage abrufbar; Berichte ohne zugeordneten Betrieb löschen wir 30 Tage danach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber der Person, die den Check anfordert oder ihren Eintrag pflegt, und Art. 6 Abs. 1 lit. f DSGVO für etwaige Personenangaben auf der geprüften Website.

14. KI-Auswertung öffentlicher Websites

Für den KI-Check, für das Auslesen der Website beim Einrichten und um Einträge aus öffentlichen Quellen mit Angaben von der Website des Betriebs zu ergänzen, schicken wir Textauszüge öffentlicher Seiten an den KI-Dienst OpenRouter, Inc., USA. OpenRouter leitet sie an ein Sprachmodell weiter (derzeit google/gemma-4-31b-it, google/gemini-3.1-flash-lite). Wir lassen dabei nur Rechenzentrumsbetreiber zu, die die Daten nach den Angaben von OpenRouter weder speichern noch für Training nutzen. E-Mail-Adressen und Telefonnummern werden vorher maskiert; in Einträge aus öffentlichen Quellen übernehmen wir aus den Antworten keine Personennamen. Daten von Verbrauchern gehen dafür nicht an OpenRouter; die Vorabprüfung von Anfragen (Abschnitt 7) ist davon getrennt. Die Antwort des Modells speichern wir 90 Tage, danach nur noch die Kosten des Aufrufs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Betrieb, der den Check oder das Auslesen anfordert, sonst Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist ein vollständiges und aktuelles Verzeichnis. Die Übermittlung in die USA stützen wir auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

14a. KI-Assistenten verbinden

Betriebe mit dem Tarif Plus oder Pro können einen KI-Assistenten (zum Beispiel Claude, ChatGPT oder Gemini) mit ihrem Profil verbinden; mit dem Tarif Basis ist nur Lesen möglich. Die Verbindung geht immer vom Betrieb aus: Die Person im Betrieb meldet sich bei uns an und gibt dem KI-Assistenten den Zugriff frei (OAuth 2.1 mit PKCE über unsere Zustimmungsseite). Ohne diese Freigabe erhält kein KI-Assistent Zugriff.

Dabei speichern wir den Namen des KI-Assistenten (Client), die Zugriffstoken (Zugriff 60 Minuten, Erneuerung 30 Tage; abgelaufene und widerrufene Token löschen wir täglich), welches Konto welchen Betrieb freigegeben hat, und ein Protokoll jeder Änderung: Werkzeug, Betrieb, Konto, Zeitpunkt sowie den Stand vor und nach der Änderung, damit sie 30 Tage zurückgenommen werden kann. Das Protokoll löschen wir nach 90 Tagen. Für Fotos erzeugt der KI-Assistent auf Wunsch einen einmaligen Upload-Link, der 30 Minuten gilt; wir speichern davon nur einen Prüfwert, nicht den Link selbst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags mit dem Betrieb) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Nachvollziehbarkeit von Änderungen).

An den KI-Assistenten geben wir nur Profildaten des freigegebenen Betriebs heraus: Texte, Leistungen, Fotos, Öffnungszeiten, Score und Tipps, ab Plus auch Zahlen des Monatsberichts, bei Pro zusätzlich Marktvergleich und KI-Sichtbarkeit. Anfragen, Namen, Telefonnummern und Nachrichten von Kunden geben wir nicht heraus. Den KI-Anbieter wählt der Betrieb selbst. Er ist für seine Verarbeitung eigener Verantwortlicher und verarbeitet die Inhalte des Chats nach seinen Bedingungen; mit uns besteht kein Auftragsverhältnis. Die Freigabe kann der Betrieb jederzeit im Dashboard beenden.

15. Karten, Adressvorschläge und Routenlink

Karten werden über unseren eigenen Server ausgeliefert. Kartenstil, Kacheln, Schriften und Symbole bezieht unser Server von LocationIQ (Unwired Labs (India) Pvt Ltd) und reicht sie an Ihren Browser weiter. Ihr Browser nimmt keinen Kontakt zu LocationIQ auf: Ihre IP-Adresse, Ihre Browserkennung und der gezeigte Kartenausschnitt bleiben bei uns, es findet keine Datenübermittlung an Dritte statt und es ist keine Einwilligung nötig (Art. 6 Abs. 1 lit. f DSGVO). Die Karte selbst zeichnet die freie Bibliothek MapLibre in Ihrem Browser; sie wird von unserem Server geladen. Die Kartendaten stammen von OpenStreetMap-Mitwirkenden.

Adressvorschläge und Kartenposition. Wenn Betriebe beim Einrichten eine Anschrift eingeben, schickt unser Server den eingegebenen Text an LocationIQ (Unwired Labs (India) Pvt Ltd, Indien), um Adressvorschläge anzuzeigen und die Kartenposition zu bestimmen. Wir nutzen dafür den europäischen Zugang von LocationIQ. Ihre IP-Adresse und Browserdaten gehen dabei nicht an LocationIQ. Vorschläge speichern wir bis zu einem Tag zwischen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Der Link „Route in Google Maps öffnen“ auf Profilen ist ein einfacher Link: Daten fließen erst an Google, wenn Sie ihn anklicken; dann gilt die Datenschutzerklärung von Google.

16. Einträge von Betrieben aus öffentlichen Quellen

Damit Listen vollständig sind, legt DrLocal Einträge mit öffentlichen Geschäftsdaten an: Firmenname, Geschäftsanschrift, zentrale Telefonnummer, Website, Branche und Lage. Quelle ist der offene Datensatz Overture Maps Places (Lizenz CDLA-Permissive-2.0; Teile stammen aus Foursquare OS Places, Lizenz Apache-2.0). Wir übernehmen nur Unternehmen in der Rechtsform einer juristischen Person (zum Beispiel GmbH, UG, AG, eG, SE) sowie GmbH & Co. KG, keine Einzelunternehmen, keine Namen von Personen und keine persönlichen E-Mail-Adressen. Ergänzend werten wir die öffentliche Website des Unternehmens aus (Abschnitt 14). Für jede Angabe speichern wir ihre Herkunft. Alle Quellen und Lizenzen stehen unter Datenquellen. Solche Einträge sind als „Nicht übernommen“ gekennzeichnet. Anfragen leiten wir an sie nur unter den Bedingungen aus Abschnitt 7 weiter oder sie werden von Besuchern selbst gesendet. Jeder Betrieb kann der Weiterleitung mit dem Link in der E-Mail widersprechen.

Daten juristischer Personen sind keine personenbezogenen Daten. Soweit in einem solchen Eintrag doch Daten einer Person stecken, etwa ein Name in der Firma, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser Interesse und das der Nutzer ist ein vollständiges Verzeichnis. Diese Erklärung dient dann zugleich der Information nach Art. 14 DSGVO. Sie können der Veröffentlichung jederzeit widersprechen: Der Eintrag wird dann gelöscht und gegen eine erneute Aufnahme gesperrt. Schreiben Sie dazu an info@drlocal.de, nutzen Sie das Formular „Fehler oder Inhalt melden“ auf dem Profil oder nach der Übernahme „Eintrag löschen“ in den Einstellungen.

17. Moderation, Meldungen und Protokoll

Wer einen Inhalt meldet, gibt uns Grund, Begründung, Namen und E-Mail-Adresse; wir nutzen sie, um die Meldung zu prüfen und das Ergebnis mitzuteilen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 DSA). Löschwünsche von Inhabern bestätigen wir über einen Link an eine Adresse auf der Domain der Website. Wenn wir einen Eintrag sperren oder einen Inhalt entfernen, speichern wir Grund, Begründung und Rechtsgrundlage und teilen sie den Betroffenen mit (Art. 17 DSA, Art. 4 P2B-Verordnung). Statusänderungen wie Übernahmen, Moderationsentscheidungen, Abos und Änderungen im Verwaltungsbereich protokollieren wir zur Nachweisführung und Missbrauchsabwehr (Art. 6 Abs. 1 lit. c und f DSGVO). Das Protokoll wird nach 3 Jahren gelöscht.

18. Empfänger und Dienstleister

• Hostinger International Ltd., Zypern: Server (Rechenzentrum Frankfurt am Main) und E-Mail-Versand
• Hetzner Online GmbH, Deutschland: verschlüsselte Sicherungen
• Stripe Payments Europe, Limited, Irland: Zahlungsabwicklung für Betriebe
• OpenRouter, Inc., USA, und die dort ausgewählten Modellbetreiber: KI-Auswertung öffentlicher Websites, Antwortvorschläge auf Google-Bewertungen (nur der eingefügte Text), die KI-Sichtbarkeit (nur die Suchfragen der Betriebe) und die Vorabprüfung von Anfragen (nur Titel und Beschreibung, maskiert)
• Unwired Labs (India) Pvt Ltd (LocationIQ), Indien: Kartendaten über unseren Server, Adressvorschläge und Kartenposition
• Google Ireland Limited, Irland: Google-Bewertungen und Betriebssuche über die Places API
• die von Ihnen gewählten Betriebe: Ihre Anfrage; bei Betrieben, die noch nicht auf DrLocal aktiv sind, per E-Mail mit Ihren Kontaktdaten und nur mit Ihrer Einwilligung

Mit Dienstleistern, die Daten in unserem Auftrag verarbeiten, bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

19. Speicherdauer

Wir löschen Daten, sobald der Zweck entfällt und keine Aufbewahrungspflicht besteht. Feste Fristen:

• Anfragen: Kontaktdaten und Freitext nach 12 Monaten anonymisiert
• Prüfwerte von IP-Adressen (Anfragen, KI-Check, Meldungen, Einwilligungen, Protokoll): 30 Tage
• Antworten des KI-Modells: 90 Tage
• Änderungsprotokoll verbundener KI-Assistenten: 90 Tage
• KI-Check-Berichte ohne Betrieb: 30 Tage nach Ablauf des Links
• E-Mail-Adressen zu Branchenvorschlägen: nach der Benachrichtigung oder Ablehnung, spätestens nach 12 Monaten
• Nachweise zur Übernahme: 30 Tage nach der Entscheidung
• Protokoll der Statusänderungen: 3 Jahre
• Rechnungen und Buchungsbelege: zehn Jahre (§ 147 AO, § 257 HGB)
• Profile, Bilder und Google-Bewertungswerte: bis zur Löschung des Eintrags
• Kundenkonto: bis zur Löschung durch Sie
• Sicherungen: höchstens sechs Monate

20. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Eine formlose E-Mail an info@drlocal.de genügt.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist: Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden.

21. Automatisierte Entscheidungen

Der DrLocal-Score und die Reihenfolge in Listen werden automatisch aus Geschäftsdaten berechnet (siehe So funktioniert der Score). Das ist keine Entscheidung mit rechtlicher Wirkung gegenüber Personen im Sinne von Art. 22 DSGVO. Sperrungen und das Entfernen von Inhalten entscheidet immer eine Person.

22. Pflicht zur Angabe

Sie müssen uns keine Daten geben. Ohne Name und E-Mail-Adresse können wir eine Anfrage aber nicht weiterleiten, ohne Konto keinen Eintrag verwalten.

Stand: 12.10.2026 · Fassung 2026-10