Datenschutzerklärung

Stand: 2. November 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

2. Überblick

FrankKi ist eine iOS-App, mit der du echte Briefe schreibst und per Post versendest. Du kannst Briefe selbst verfassen oder dir von einer KI beim Formulieren helfen lassen.FrankKi lässt deinen Brief drucken, kuvertieren und an den jeweils zuständigen postalischen Zustelldienst übergeben.

Einen Brief kannst du auch ohne Anmeldung über unsere Webseite oder die FrankKi-Verbindung in ChatGPT vorbereiten und einzeln über Stripe bezahlen. Für diesen Gastweg gelten die Angaben in Abschnitt 3.12 zusätzlich zu den allgemeinen Angaben dieser Erklärung.

Wir folgen dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO). Wir verarbeiten nur die personenbezogenen Daten, die wir für unseren Dienst und für die beschriebenen Statistiken brauchen. Wir setzen keine Werbenetzwerke und keine Social-Media-Plugins ein. Die Nutzungsstatistiken der App beschreibt Abschnitt 3.8, die Reichweitenmessung auf der Webseite Abschnitt 3.10.

3. Datenverarbeitung im Detail

3.1 Apple-Anmeldung („Sign in with Apple")

Zur Nutzung der App meldest du dich mit deiner Apple-ID an. Dabei erhalten wir von Apple folgende Daten:

• Deine Apple-Nutzer-ID (ein eindeutiger, anonymer Identifikator)
• Deine E-Mail-Adresse (oder eine private Relay-Adresse von Apple, falls du „E-Mail verbergen" wählst)
• Ob deine E-Mail-Adresse von Apple verifiziert wurde

Wir erstellen auf dieser Basis ein Nutzerkonto und eine Sitzung (JWT-Token, 30 Tage gültig). Die Verifizierung erfolgt über Apples öffentliche Schlüssel (JWKS). Wir speichern kein Passwort.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.2 Adressen

Du kannst Absender- und Empfängeradressen in der App speichern. Diese umfassen: Name, ggf. Firma, Straße, Postleitzahl, Ort und Land. Die Adressen werden benötigt, um deinen Brief korrekt zu adressieren und den für Druck und Zustellung eingesetzten Dienstleistern zu übermitteln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.3 Brieferstellung und KI-Unterstützung

In der iOS-App kannst du Briefe selbst verfassen oder dir von einer künstlichen Intelligenz (KI) beim Formulieren helfen lassen. Wenn du die KI-Funktion nutzt, beschreibst du dein Anliegen in eigenen Worten. Auf Basis dieser Beschreibung generiert ein Sprachmodell von OpenAI einen Briefentwurf.

Was wird an OpenAI übermittelt: der Inhalt, den du für die Brieferstellung bereitstellst. Dazu gehören deine Beschreibung des Anliegens, deine Antworten auf Rückfragen, von dir hochgeladene Dokumente sowie, wenn du die Funktion „Brief verstehen" nutzt, Bild und Text des von dir eingescannten Briefes. Diese Inhalte können personenbezogene Daten enthalten, die du selbst angibst (zum Beispiel Namen, Anschriften, Aktenzeichen oder Vertragsangaben). Wir übermitteln sie ausschließlich, um deinen Brief zu erstellen oder einen erhaltenen Brief zu erklären. Deine technischen Konto- und Anmeldedaten (Apple-ID, E-Mail-Adresse, Stripe-Zahlungsdaten) werden nicht an OpenAI übermittelt. Vor der Übermittlung prüft ein Sicherheitsfilter den Inhalt auf schädliche Muster (Drohungen, Betrug, Hassrede).

Du prüfst und bearbeitest den KI-generierten Text, bevor er versendet wird. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt (siehe Abschnitt 10).

Mit OpenAI (OpenAI Ireland Ltd. bzw. OpenAI, L.L.C., USA) besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum). Die Inhalte können dabei in den USA verarbeitet werden. Grundlage dieser Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, die Teil des Data Processing Addendum sind. OpenAI verarbeitet die Inhalte nur in unserem Auftrag und nutzt sie nicht zum Training eigener Modelle. Zur Missbrauchserkennung kann OpenAI die Inhalte bis zu 30 Tage speichern und löscht sie danach.

Für Briefe, die Firmenkonten im Partner-Bereich oder über MCP verschicken, prüft zusätzlich die Moderation-Schnittstelle von OpenAI den Brieftext auf Missbrauch, zum Beispiel Drohungen oder Betrug. Dafür gelten der Auftragsverarbeitungsvertrag mit dem jeweiligen Firmenkonto und die Liste der Subprozessoren.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): FrankKi ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (z. B. Gesundheits-, Religions-, Gewerkschafts- oder Beschäftigtendaten) ausgelegt. Bitte gib in der KI-gestützten Anliegen-Beschreibung keine derartigen Daten ein. Sollten dennoch besondere Kategorien personenbezogener Daten verarbeitet werden, erfolgt dies ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du jederzeit für die Zukunft widerrufen kannst.

Keine Rechtsdienstleistung: Die KI-Funktion ist ein Werkzeug zur Texterstellung in eigener Angelegenheit. FrankKi erbringt keine Rechtsdienstleistung im Sinne des Rechtsdienstleistungsgesetzes (RDG) und keine Rechtsberatung. Für rechtliche Bewertungen empfehlen wir die Konsultation einer Anwältin oder eines Anwalts.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Informationspflicht gem. Art. 13 Abs. 2 lit. f DSGVO; ergänzend Art. 9 Abs. 2 lit. a DSGVO bei besonderen Kategorien personenbezogener Daten

3.4 PDF-Erstellung und Speicherung

In der iOS-App wird dein Brief auf deinem Gerät als PDF im DIN-5008-Format erzeugt (clientseitig). Zum Versand wird das PDF auf unseren Server hochgeladen und dort temporär gespeichert, bis der Druck abgeschlossen ist. Nach erfolgreicher Verarbeitung durch den Fulfillment-Dienstleister wird das PDF gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.5 Briefversand über unsere Fulfillment- und Zustelldienstleister

Je nach Zielland und Verfügbarkeit übernehmen die LetterXPress GmbH(Deutschland) oder die Pingen AG (Schweiz) den physischen Druck, die Kuvertierung und die Übergabe an den postalischen Zustelldienst. Briefe innerhalb Deutschlands werden grundsätzlich über LetterXPress verarbeitet; für Briefe ins Ausland setzen wir Pingen ein. Bei Nichtverfügbarkeit von LetterXPress kann Pingen auch für deutsche Briefe als Ersatz eingesetzt werden. Die postalische Zustellung erfolgt durch die Deutsche Post AG beziehungsweise den jeweiligen Zustelldienst des Ziellandes. Dafür übermitteln wir an den jeweils eingesetzten Dienstleister:

• Das PDF deines Briefs
• Die Absender- und Empfängeradresse (Name, ggf. Firma, Straße, PLZ, Ort, Land)
• Die gewählte Versandart (z.B. Standardbrief, Einschreiben Einwurf, Einschreiben mit Übergabe)
• Druckoptionen (Farbe/Schwarz-Weiß, Briefformat)

LetterXPress und Pingen verarbeiten diese Daten ausschließlich in unserem Auftrag. Mit beiden Fulfillment-Dienstleistern besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Soweit Pingen eingesetzt wird und dabei Daten in die Schweiz übermittelt werden, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission für die Schweiz (Art. 45 DSGVO).

Nach dem Druck erhalten wir von den eingesetzten Dienstleistern Status-Updates (gedruckt, versendet, zugestellt), die wir dir in der App anzeigen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 28 DSGVO (Auftragsverarbeitung); Art. 45 DSGVO (Angemessenheitsbeschluss Schweiz)

3.6 Zahlungsabwicklung (Stripe)

In der iOS-App wird jeder Brief direkt bezahlt. Pro Brief, ohne Token oder Abonnement. Die Zahlungsabwicklung erfolgt über Stripe, Inc. (USA). Stripe stellt das Zahlungsformular bereit und verarbeitet deine Zahlungsdaten (Kreditkarte, Apple Pay). Wir erhalten von Stripe:

• Eine Stripe-Kunden-ID (wird einmalig für dein Konto erstellt)
• Die PaymentIntent-ID und Charge-ID jeder Transaktion
• Den Zahlungsstatus und -zeitpunkt

Wir erhalten keine Kartendaten (Kreditkartennummer, Prüfziffer, Bankverbindung). Diese verbleiben ausschließlich bei Stripe. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework sowie ergänzender Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Datenschutzerklärung von Stripe findest du unter stripe.com/privacy.

Für bezahlte Bestellungen in der iOS-App erstellen wir beim Abruf eine Rechnung als PDF (§19 UStG, Kleinunternehmerregelung) mit fortlaufender Rechnungsnummer (FK-JJJJ-NNNN). Die Rechnung wird auf unseren Servern gespeichert und dir auf Anfrage zur Verfügung gestellt. Gesetzliche Aufbewahrungspflicht: 10 Jahre (§147 AO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 46 Abs. 2 lit. c DSGVO (SCCs für Stripe/USA)

3.7 Push-Benachrichtigungen

Mit deiner ausdrücklichen Einwilligung senden wir dir Push-Benachrichtigungen über den Apple Push Notification Service (APNs). Dafür speichern wir:

• Dein APNs-Gerätetoken (ein anonymer, gerätespezifischer Identifikator)
• Die App-Version und die Umgebung (Produktion/Sandbox)

Wir senden dir Benachrichtigungen zu: Statusupdates deiner Briefe (gedruckt, versendet, zugestellt), Abschluss der KI-Brieferstellung und Bestätigung von Zahlungen. Du kannst Push-Benachrichtigungen jederzeit in den iOS-Einstellungen deaktivieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

3.8 Nutzungsstatistiken

Wir messen, wie die App genutzt wird, damit wir sehen, wo Leute beim ersten Brief hängen bleiben, und die App dort verbessern können. Dafür gibt es zwei Wege, beide von uns selbst betrieben. Google Analytics, Firebase und Werbenetzwerke setzen wir nicht ein.

Ereignisse an unseren Server. Die App schickt Ereignisse wie das Öffnen eines Bildschirms, einen erstellten Brief oder eine abgeschlossene Zahlung an backend.frankki.app. Zu einem Ereignis gehören Angaben zum Vorgang, etwa Versandart, Seitenzahl, Preis oder Bestellnummer, dazu App-Version, iOS-Version, Gerätemodell und eine Sitzungs-ID, die bei jedem App-Start neu entsteht. Bist du mit Apple angemeldet, speichern wir die Ereignisse zusammen mit deiner Nutzer-ID.

Revtrail in der App. Die App schickt außerdem Nutzungsereignisse an Revtrail, unseren eigenen Analysedienst auf Cloudflare Workers. Ein Ereignis hält fest, welchen Bildschirm du öffnest, welchen Schritt du beim ersten Brief erreichst, wann du den Bezahlvorgang startest, ob die Zahlung klappt, abgebrochen wird oder scheitert, ob der Brief verschickt wurde und wie du auf die Abfrage für Mitteilungen, Standort oder Kamera antwortest. Jeder Upload enthält App-Version, Build-Nummer, iOS-Version, Gerätemodell, Sprach- und Regionseinstellung und eine Installations-ID. Die Installations-ID ist eine Zufallskennung, die die App bei jedem Start neu erzeugt und nur im Arbeitsspeicher hält. Jeder Start bekommt also eine neue. Die App speichert für Revtrail nichts auf deinem Gerät.

Beim Start fragt die App Apple nach einem Apple-Ads-Attributionstoken und schickt ihn an Revtrail. Revtrail gibt den Token an Apple weiter, und Apple antwortet, ob die Installation aus einer Apple-Ads-Kampagne stammt. Land, Region und Stadt leitet Revtrail aus der IP-Adresse der Anfrage ab. Die IP-Adresse selbst speichert Revtrail nicht.

Bezahlst du einen Brief, schickt die App die Installations-ID mit der Bestellung an unseren Server. Wir hängen sie bei Stripe an die Zahlung. Stripe meldet die Zahlung dann an Revtrail, mit Betrag, Währung, Stripe-Kundennummer und, falls vorhanden, der E-Mail-Adresse für die Zahlungsbestätigung. So sehen wir, welcher Weg durch die App zu einer Zahlung geführt hat. Die Ereignisse dieses App-Starts sind damit der Zahlung zugeordnet.

Briefinhalte, Betreffzeilen, KI-Beschreibungen, Adressen, Namen, Dokumente, Fotos und Empfängerdaten gehen nie an Revtrail. Die App liest keine Werbe-ID und verfolgt dich nicht über andere Apps oder Webseiten. Auftragsverarbeiter für Revtrail ist Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln, und Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert. Wir speichern die Rohdaten in Revtrail bis zu 24 Monate.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, die App und insbesondere den ersten Brief einfacher zu machen)

3.9 Feedback

Du kannst uns freiwillig Feedback über die App senden. Dabei wird deine Nachricht zusammen mit deiner Nutzer-ID gespeichert, damit wir bei Rückfragen auf dich zukommen können. Die Angabe ist freiwillig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

3.10 Webseite

Unsere Webseite (frankki.app) dient der Information über die App und enthält einen Blog. Wir setzen keine Tracking-Cookies, keine Werbenetzwerke und keine Social-Media-Plugins ein. Es werden keine externen Schriftarten (z.B. Google Fonts) geladen. Zur Reichweitenmessung läuft auf den öffentlichen Seiten Revtrail. Im Partnerbereich misst Revtrail nur die Seiten für Registrierung, Anmeldung, Einrichtung, Guthaben-Aufladung und den Brief-Assistenten. Auf allen anderen Seiten des Partnerbereichs sendet dein Browser nichts an Revtrail.

Eigene Analyse (Revtrail). Revtrail ist unser eigener Analysedienst, den wir auf Cloudflare Workers betreiben. Auftragsverarbeiter ist Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) mit EU-Standardvertragsklauseln; Cloudflare ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert. Erfasst werden die Adresse der aufgerufenen Seite, die Herkunftsseite (Referrer), UTM-Parameter, Browser, Betriebssystem, Gerätetyp, Land, Region und Stadt (abgeleitet aus der IP-Adresse), Klicks auf markierte Schaltflächen und auf Links zu anderen Webseiten, die Schritte, die du im Briefformular erreichst (Formular ausgefüllt, Vorschau gesehen, Bezahlvorgang gestartet oder abgebrochen), Fehler in diesem Ablauf (ein nicht abrufbarer Preis, eine abgelehnte Anlage, ein Fehler beim Start der Zahlung), der Download einer Vorlage als Datei sowie die Verweildauer auf der Seite. Im Partnerbereich kommen Klicks auf "Konto erstellen", die Schritte der Einrichtung, das Aufladeformular, die Wahl einer Vorlage, der Start eines Versands und Klicks auf die Verbindung mit einem KI-Agenten hinzu. Von diesen Seiten speichert Revtrail nur den Pfad, und der enthält keine Kennungen. Zu allen Ereignissen speichern wir nur feste Kurzwerte wie den Schritt, die Rolle, die du bei der Registrierung gewählt hast, oder den Fehlergrund. Briefinhalte, Betreffzeilen, Empfänger, Adressen, Namen, E-Mail-Adressen, Preise, Suchbegriffe, Mandanten und Kontodaten gehen nie an Revtrail. Die IP-Adresse selbst speichern wir nicht. Sie wird zusammen mit dem User-Agent und einem Salt, der sich täglich ändert, zu einem Hashwert verrechnet. Deshalb lässt sich ein Besuch nicht mit derselben Person an einem anderen Tag verknüpfen. Für diese Messung setzen wir keine Cookies und speichern nichts auf deinem Gerät. Eine Einwilligung ist deshalb nicht erforderlich (§ 25 TDDDG ist nicht einschlägig). Wir speichern die Rohdaten bis zu 24 Monate. Bezahlst du einen Brief auf der Webseite, schickt dein Browser die Besucher-Kennung dieses Tages mit der Bestellung an unseren Server. Wir hängen sie bei Stripe an die Zahlung. Stripe meldet die Zahlung dann an Revtrail, mit Betrag, Währung und, falls vorhanden, der E-Mail-Adresse für die Zahlungsbestätigung. So sehen wir, welche Seite zu einer Zahlung geführt hat. Für eine Guthaben-Aufladung im Partnerbereich gilt dasselbe.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran zu verstehen, welche Seiten und Kanäle funktionieren)

Für den internen Administrationsbereich verwenden wir ein technisch notwendiges Session-Cookie („admin_session", 7 Tage Gültigkeit, HttpOnly, SameSite=Lax). Dieses Cookie ist gemäß § 25 Abs. 2 TDDDG von der Einwilligungspflicht ausgenommen, da es für den Betrieb des Dienstes technisch zwingend erforderlich ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse); § 25 Abs. 2 TDDDG

3.11 Server-Logdaten

Bei jedem Zugriff auf unsere Server werden automatisch folgende Daten in Logdateien gespeichert:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Aufgerufener Endpunkt und HTTP-Methode
• User-Agent (Browser-/App-Kennung)
• HTTP-Statuscode und Anfrage-ID

Diese Daten werden zur Sicherstellung des Betriebs, zur Erkennung von Missbrauch und zum Rate-Limiting (max. 60 Anfragen/Minute) verwendet. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit)

3.12 Gastbriefe über die Webseite und ChatGPT

Für einen Gastbrief verarbeiten wir Betreff und Brieftext, Absender- und Empfängeradresse, gegebenenfalls auf der Webseite hochgeladene Anlagen, Sprache, Versandart und Druckoptionen. Wir speichern den Entwurf samt Adressen in unserer Datenbank und das daraus erzeugte PDF im Objektspeicher. Der Dienst gibt dir einen Entwurfs- und einen Tracking-Token. In der Datenbank speichern wir deren Hashwerte. Die Vorschau besteht aus zeitlich begrenzten Seitenlinks. Wer einen solchen Link oder Token erhält, kann die damit freigegebenen Daten abrufen. Gib sie deshalb nicht weiter.

Bei der Erstellung eines Kassenlinks begrenzen wir Anfragen anhand eines Hashwerts der anfragenden IP-Adresse. Stripe erhebt im Checkout deine E-Mail-Adresse, Rechnungsadresse und Zahlungsdaten. An Stripe geben wir den Preis, die gewählte Sprache, technische Entwurfskennungen und eine kurze Beschreibung mit dem Namen und dem Ort des Empfängers. Die Straßenanschrift und den Brieftext enthält diese Beschreibung nicht. Nach dem Checkout speichern wir deine E-Mail-Adresse, einen Hashwert davon, die Zahlungskennung und den Bestellstatus. Wir erhalten keine vollständigen Kartendaten.

Eine lokale Inhaltsprüfung kann einen Brief ablehnen oder zur Prüfung durch eine Person zurückstellen. Bei einer Prüfung speichern wir den Brieftext, den Grund der Prüfung und die Entscheidung. Vor der Freigabe geben wir den Brief nicht an den Druckdienstleister. Nach Freigabe erhält der jeweils eingesetzte Druck- und Versanddienstleister, Pingen oder LetterXPress, das PDF und die für den Versand nötigen Adress- und Auftragsdaten. Bestell-, Prüf- und Versandnachrichten gehen an deine Checkout-E-Mail-Adresse. Dafür kann unser E-Mail-Dienstleister Resend eingesetzt werden. Nach dem Einzug des Betrags senden wir die Rechnung als PDF an dieselbe Adresse. Betriebswarnungen im internen Adminbereich können Bestellkennungen und die E-Mail-Adresse enthalten. Telegram erhält bei Prüfhinweisen Bestellkennung, Betrag, Zielland, Regelkennungen und einen Link zum internen Adminbereich. Bei einer fehlgeschlagenen Gast-E-Mail kommt nur die Bestellkennung mit gekürzter E-Mail-Adresse hinzu. Briefbetreff, Brieftext und die vollständige E-Mail-Adresse senden wir nicht an Telegram.

Wenn du die ChatGPT-Verbindung nutzt, erhält ChatGPT die Ergebnisse der aufgerufenen Werkzeuge. Dazu können Adressen, Entwurfs- und Tracking-Token, Vorschau-Links, Kassenlinks und der Bestellstatus gehören. FrankKi ruft für diese Gastwerkzeuge selbst kein OpenAI-Modell zur Texterstellung oder Inhaltsprüfung auf. FrankKi ist für alle Daten verantwortlich, die sein MCP-Server empfängt und speichert. OpenAI ist für das ChatGPT-Gespräch und den Umgang mit Werkzeugergebnissen eigenständig verantwortlich. FrankKi bestimmt nicht, wie OpenAI Gespräche speichert oder nutzt. Lies dazu die Datenschutzhinweise von OpenAI.

Rechtsgrundlage für Brieftext und Adressen ist Art. 6 Abs. 1 lit. b DSGVO. Die lokale Inhaltsprüfung, die Prüfung durch eine Person, IP-Hashwerte, Geschwindigkeitsbegrenzungen und Sicherheitsprotokolle beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Wir schützen damit einen Dienst, den jeder ohne Konto nutzen kann, vor Missbrauch und Betrug. Bestell- und Rechnungsunterlagen verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

Ein unbezahlter Entwurf läuft nach 24 Stunden ab. Eine zurückgestellte Prüfung verlängert die Frist auf mindestens acht Tage; nach Freigabe kann sie sich um weitere 48 Stunden verlängern. Abgelaufene Entwürfe ohne Kassenlink oder Bestellung löschen wir stündlich samt PDF. Bei einem Entwurf mit Kassenlink, aus dem keine bezahlte Bestellung wurde, entfernen wir Brieftext, Adressen und PDF 30 Tage nach Ablauf. Verwaiste PDFs ohne Bezug zu Entwurf, Brief oder Bestellung löschen wir nach neun Tagen.

Bei einer Gastbestellung entfernen wir Brieftext, Adressen und PDF aus Briefdatensatz, Entwurfsversionen und Prüfakte 120 Tage nach dem endgültigen Bestellstatus. Bestellnummer, Betrag, Währung, Datum, Zahlungskennung, Rechnungsland und Status bleiben für die steuerliche Aufbewahrung von zehn Jahren erhalten, ebenso die Rechnung. Prüfregeln, Status und Entscheidungshistorie behalten wir zwölf Monate. Inhalt abgelehnter oder nie bezahlter Prüfungen entfernen wir 30 Tage nach der Entscheidung. Den IP-Hashwert eines Checkouts entfernen wir nach 30 Tagen. Den E-Mail-Hashwert entfernen wir mit dem Briefinhalt nach 120 Tagen. Verknüpfungs-Token löschen wir 30 Tage nach ihrem Ablauf. Nicht verknüpfte Gastkonten anonymisieren wir drei Jahre nach der letzten Bestellung. Falls eine jüngere Rechnung die E-Mail-Adresse noch benötigt, behalten wir nur diese bis zum Ende der zehnjährigen Aufbewahrung.

Für die Zahlung nutzen wir Stripe, für den Druck Pingen oder LetterXPress und für E-Mails Resend. Unser Objektspeicher nutzt MinIO; die Anwendung läuft auf einem mit Coolify betriebenen Server. Falls konfiguriert, erhält Axiom Betriebsprotokolle. Telegram erhält Betreiberwarnungen. Für Protokolle, Kopien bei diesen Anbietern und Backups gilt die jeweilige Aufbewahrung des Anbieters. Eine einheitliche Frist für diese Kopien können wir nicht angeben.

Auch ohne App-Konto kannst du deine Rechte aus Abschnitt 7 ausüben. Schreib dazu an datenschutz@frankki.app. Nenne nach Möglichkeit deine Bestellnummer oder die beim Checkout verwendete E-Mail-Adresse, damit wir den Vorgang zuordnen können.

3.13 Firmenkonten und die Verbindung mit einem KI-Assistenten

Mit einem FrankKi-Firmenkonto kannst du FrankKi mit einem KI-Assistenten verbinden, zum Beispiel mit Claude von Anthropic oder ChatGPT von OpenAI. Die Verbindung läuft über das Model Context Protocol (MCP) unter mcp.frankki.app. Du meldest dich dafür in einem FrankKi-Fenster an und bestätigst, welche Rechte der Assistent bekommt.

Was wir bei der Verbindung speichern: den Namen und die Rücksprungadresse, mit denen sich der Assistent bei uns anmeldet, die erteilten Rechte und den Zeitpunkt. Der Assistent bekommt einen Zugangsschlüssel, der eine Stunde gilt, und einen Erneuerungsschlüssel, der 90 Tage nach der letzten Nutzung abläuft. Du kannst die Verbindung in deinem Assistenten trennen oder uns bitten, die Schlüssel zu widerrufen.

Was der Assistent an uns schickt: das, was du ihm für deinen Brief gibst, also zum Beispiel Brieftext, Empfänger- und Absenderadressen, Vorlagen, hochgeladene PDFs oder die Adresse deiner Webseite, aus der wir Logo und Farben lesen. Wir verarbeiten diese Daten wie Briefe aus dem Dashboard (Abschnitte 3.2 bis 3.5). Der Brieftext läuft vor dem Versand durch die Missbrauchsprüfung von OpenAI (Abschnitt 3.3). Zurück an den Assistenten gehen die Antworten unserer Werkzeuge, etwa Seitenbilder, Preise und der Versandstatus.

Was wir protokollieren: Zu jedem Werkzeugaufruf speichern wir einen Eintrag mit dem Werkzeug, dem Zeitpunkt, dem Ergebnis, den Kosten, der Auftragsnummer und einem Prüfwert der Eingaben. Die Eingaben selbst speichern wir dort nicht. Gibt der Assistent eine kurze Begründung für den Aufruf mit, steht sie ebenfalls im Eintrag. Die Einträge sind unveränderlich und dienen als Nachweis, welche Verbindung welchen Brief ausgelöst hat.

Was der Assistent selbst mit deinen Eingaben macht, regelt sein Anbieter in eigener Verantwortung, bei Claude also Anthropic, bei ChatGPT OpenAI. Für Briefe aus einem Firmenkonto gilt zusätzlich der Auftragsverarbeitungsvertrag, den du bei der Einrichtung unterschreibst. Fragen dazu beantworten wir unter datenschutz@frankki.app.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 28 DSGVO (Auftragsverarbeitung)

4. Empfänger und Auftragsverarbeiter

Die folgende Übersicht beschreibt die iOS-App. Die Empfänger von Gastdaten stehen in Abschnitt 3.12:

Apple agiert bei der Authentifizierung als eigenständiger Verantwortlicher im Sinne der DSGVO, nicht als unser Auftragsverarbeiter.

5. Übermittlung in Drittländer

Daten können an Empfänger in der Schweiz und in den USA übermittelt werden:

• Schweiz (Pingen): Soweit Pingen für den Briefversand eingesetzt wird, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission für die Schweiz gemäß Art. 45 DSGVO. Gesonderte Schutzmaßnahmen sind nicht erforderlich.
• USA (Stripe, Cloudflare, Apple): Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission für das EU-US Data Privacy Framework (DPF) gemäß Art. 45 DSGVO. Stripe, Cloudflare und Apple sind unter dem DPF zertifiziert. Zusätzlich bestehen mit Stripe und Cloudflare Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO als ergänzende Schutzmaßnahme.
• USA (OpenAI): Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, die Teil des Data Processing Addendum mit OpenAI sind.

6. Speicherdauer

Die folgenden Fristen beschreiben die Nutzung der iOS-App. Für Gastbriefe gelten die Angaben in Abschnitt 3.12:

7. Deine Rechte

Du hast nach der DSGVO folgende Rechte bezüglich deiner personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): Du hast das Recht zu erfahren, welche Daten wir über dich gespeichert haben.
• Berichtigung (Art. 16 DSGVO): Du kannst die Korrektur unrichtiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Du kannst unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Du hast das Recht, deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruch (Art. 21 DSGVO): Du kannst der Verarbeitung auf Grundlage berechtigter Interessen jederzeit widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf deiner Einwilligung beruht (z.B. Push-Benachrichtigungen), kannst du diese jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung deiner Rechte schreibe an datenschutz@frankki.app.

8. Recht auf Beschwerde bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs hast du das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

9. Kontolöschung

Du kannst dein Nutzerkonto jederzeit löschen:

• In der App unter Profil → Konto löschen
• Per E-Mail an datenschutz@frankki.app

Bei der Kontolöschung werden alle deine Daten unwiderruflich gelöscht: Nutzerkonto, Adressen, Briefe, Bestellungen, Sendungsverfolgung, Stripe-Zahlungsdaten, Gerätetoken und gespeichertes Feedback. Deine Brief-PDFs werden ebenfalls aus dem Speicher entfernt. Rechnungen unterliegen der gesetzlichen Aufbewahrungspflicht (§147 AO, 10 Jahre) und können daher nicht sofort gelöscht werden.

10. Automatisierte Entscheidungsfindung

FrankKi nutzt KI (OpenAI) zur Unterstützung bei der Brieferstellung. Die KI erstellt einen Textentwurf auf Basis deiner Beschreibung. Du prüfst, bearbeitest und genehmigst den Text, bevor ein Brief versendet wird. Es handelt sich nicht um eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO, da stets eine inhaltliche Überprüfung durch dich stattfindet.

Briefinhalte durchlaufen vor dem Versand eine automatische Prüfung auf Missbrauchsmuster (etwa Behörden- oder Bankimitate und Drohformeln). Grenzfälle und eingegangene Missbrauchsmeldungen werden zusätzlich von uns gesichtet; dabei lesen wir den betroffenen Briefinhalt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch und an der Erfüllung unserer Pflichten nach Art. 16 DSA). Wir sichten innerhalb von 48 Stunden und entscheiden innerhalb von 7 Tagen; jede Entscheidung wird protokolliert. Meldungen nimmt missbrauch@frankki.app oder das Formular unter frankki.app/missbrauch entgegen.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Die jeweils aktuelle Fassung ist stets unter frankki.app/app/privacy abrufbar. Bei wesentlichen Änderungen informieren wir dich per Push-Benachrichtigung oder in der App.