Datenschutzerklärung

Stand: August 2026. Wir nehmen den Schutz deiner persönlichen Daten ernst. Diese Erklärung informiert über Erhebung, Verarbeitung und deine Rechte gemäß DSGVO.

1. Verantwortlicher

Lokalbesucher GmbH
Karl-Breuing-Str. 2
45770 Marl
E-Mail: info@lokalbesucher.de
Telefon: +49 151 22358883

2. Hosting — Cloudflare Pages

Diese Website wird über Cloudflare Pages (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) gehostet. Cloudflare verarbeitet technische Zugriffsdaten (IP-Adresse, Zeitstempel, aufgerufene URLs) zum Betrieb und zur Sicherheit der Website. Die Verarbeitung erfolgt über das globale Edge-Netzwerk von Cloudflare, Anfragen aus der EU werden überwiegend in europäischen Rechenzentren verarbeitet.

Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Website-Betrieb). Ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO besteht.

3. Datenbank und Authentifizierung — Supabase

Für die Speicherung von Nutzerdaten, Unternehmensprofilen und Bewertungen nutzen wir Supabase (Supabase Inc., 970 Toa Payoh North, #07-04, Singapore 318992; EU-Infrastruktur über AWS Frankfurt). Folgende personenbezogene Daten werden gespeichert:

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Konten und Bewertungen; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für optionale Profildaten. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht. Supabase ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

4. E-Mail-Versand — Resend

Für den Versand von Transaktions-E-Mails (Registrierungsbestätigung, Konto-Freischaltung, Passwort-Reset) nutzen wir Resend (Resend Inc., USA). Dabei wird deine E-Mail-Adresse zur Zustellung übertragen. Resend verarbeitet E-Mail-Metadaten (Empfängeradresse, Zustellzeitstempel). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht. Resend Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung in die USA erfolgt auf dieser Grundlage (Art. 45 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5. Spam-Schutz — Cloudflare Turnstile

Auf Registrierungs- und Bewerbungsformularen setzen wir Cloudflare Turnstile (Cloudflare, Inc., USA) als datenschutzfreundliche Alternative zu CAPTCHA ein. Turnstile analysiert Browserverhalten und IP-Adresse zur Bot-Erkennung, ohne personenbezogene Daten für Werbezwecke zu nutzen und ohne Tracking-Cookies zu setzen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Dienste).

6. Webanalyse und Besuchsstatistik für Betriebe

Diese Website verwendet Cloudflare Web Analytics (Cloudflare, Inc., USA). Cloudflare Web Analytics ist cookiefrei und verarbeitet keine personenbezogenen Daten. Es werden ausschließlich aggregierte, anonyme Nutzungsstatistiken erfasst (Seitenaufrufe, Verweildauer, grobe geografische Region). IP-Adressen werden nicht gespeichert, kein Nutzertracking findet statt.

Da keine personenbezogenen Daten verarbeitet werden, ist kein Cookie-Consent erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an anonymer Reichweitenmessung).

Eigene Besuchs- und Interaktionsstatistik: Damit wir Betrieben eine Statistik über die Resonanz ihres Profils bereitstellen können (z. B. Aufrufe, Kontakt-Klicks), zählen wir Profil-Aufrufe und Kontakt-Interaktionen serverseitig. Dabei speichern wir keine Klartext-IP-Adresse. Zur Unterscheidung von Besuchen bilden wir einen pseudonymen Kurzzeit-Kennwert aus IP-Adresse und Browser-Kennung mittels kryptografischer Einweg-Funktion (HMAC mit geheimem Schlüssel); der ursprüngliche Wert lässt sich daraus nicht wiederherstellen. Diese Kennwerte dienen ausschließlich der Statistik für den jeweiligen Betrieb und dem Schutz vor Manipulation (z. B. künstlich erzeugte Klicks); sie werden nicht mit deinem Nutzerkonto verknüpft und nicht für Werbung verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Betriebe an einer Resonanz-Statistik und an Manipulationsschutz). Speicherdauer: aggregierte Statistikwerte bis zu 24 Monate; die pseudonymen Einweg-Kennwerte werden nicht darüber hinaus vorgehalten.

7. Kartendarstellung (Google Maps)

Auf Unternehmensprofilseiten zeigen wir eine Standortkarte. Diese wird als serverseitig zwischengespeichertes Kartenbild ausgeliefert — beim bloßen Betrachten der Karte wird keine IP-Adresse und keine Standortdaten deines Geräts an Google übertragen. Der Abruf des Kartenbilds bei Google Maps (Google Ireland Limited) erfolgt einmalig durch unseren Server, nicht durch deinen Browser.

Erst wenn du aktiv auf „Route planen" bzw. den Kartenlink klickst, wirst du zu Google Maps weitergeleitet; dann gelten die Datenschutzbestimmungen von Google, und deine IP-Adresse wird an Google übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Standortdarstellung).

8. Nutzerkonto und Authentifizierung

Bei der Registrierung auf lokalisto.de erheben wir deinen Namen (nicht öffentlich), einen von dir gewählten öffentlichen Nutzernamen, deine E-Mail-Adresse und dein Passwort (verschlüsselt). Öffentlich sichtbar ist ausschließlich dein Nutzername, nie dein Klarname. Zur Bestätigung deiner E-Mail-Adresse erhältst du einen Link per E-Mail (Double-Opt-in).

Session-Daten (Zugriffstoken) werden in deinem Browser-LocalStorage gespeichert — kein Cookie, keine Übertragung an Dritte. Du kannst dich jederzeit ausloggen (Token wird gelöscht) oder dein Konto löschen lassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

9. Bewertungen und Nutzerinhalte

Wenn du eine Bewertung abgibst, werden gespeichert: Bewertungstext, Sternebewertungen in 5 Kategorien, optional Fotos, Datum und Uhrzeit. Bewertungen werden vor Veröffentlichung moderiert und unter deinem Nutzernamen (nicht deinem Klarnamen) öffentlich angezeigt. Auch Check-ins bei Betrieben (Betrieb und Zeitpunkt) speichern wir zu deinem Konto; sie fließen in dein Punktekonto und deine persönlichen Empfehlungen (Abschnitt 18) ein.

Fotos werden in unserem Supabase Storage gespeichert und sind öffentlich zugänglich. Stelle sicher, dass du das Recht zur Veröffentlichung der Fotos besitzt und keine Personen ohne deren Einwilligung erkennbar abgebildet sind.

Einwilligung zur Nutzung deiner Inhalte: Bei der Registrierung willigst du aktiv ein, dass wir deine Bewertungen, hochgeladenen Bilder und deinen Nutzernamen dauerhaft und unentgeltlich nutzen, veröffentlichen und vervielfältigen dürfen. Zweck ist der Betrieb der Plattform sowie ihre Bewerbung (nähere Ausgestaltung in § 4 der AGB). Wir dokumentieren Zeitpunkt und Version deiner Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb und der Bewerbung einer Bewertungsplattform).

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (E-Mail an info@lokalbesucher.de). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Bereits veröffentlichte Bewertungen bleiben erhalten; dein Nutzername wird bei einer Kontolöschung zu „ehemaliger Nutzer" anonymisiert.

Speicherdauer: Kontodaten speichern wir, solange dein Konto besteht; nach einer Löschung werden sie entfernt bzw. anonymisiert. Veröffentlichte Bewertungen bleiben aus Gründen der Nachvollziehbarkeit auch nach einer Kontolöschung anonymisiert erhalten. Check-ins und eingereichte Events speichern wir für die Punkte- und Statistikfunktion bis zu 24 Monate. Technische Schutz-Kennwerte (z. B. tagesbezogene Kennungen zur Missbrauchsabwehr) werden spätestens nach wenigen Tagen gelöscht. Bewerbungsdaten (Abschnitt 11) löschen wir nach Abschluss der Bearbeitung, sofern kein Vertragsverhältnis zustande kommt.

10. Lokale Schriften

Diese Website verwendet die Schriftart Fraunces, die lokal auf unserem Server gehostet wird. Es findet keine Verbindung zu externen Schriftdiensten (z.B. Google Fonts CDN) statt.

11. Bewerbungsformulare

Über das Formular auf der Startseite können sich Nutzer als Lokalisto-Reviewer oder Unternehmen bewerben. Dabei erheben wir:

Diese Daten werden zur Bearbeitung der Bewerbung genutzt und nicht für Werbezwecke verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung).

12. Cookies und LocalStorage

Diese Website verwendet keine Tracking-Cookies zu Werbezwecken. Für eingeloggte Nutzer werden Sitzungsdaten (Zugriffstoken) im Browser-LocalStorage gespeichert — diese verlassen deinen Browser nicht und werden beim Ausloggen gelöscht. Darüber hinaus setzen wir keine Cookies; unsere Reichweitenmessung (Abschnitt 6) arbeitet cookiefrei.

Für die „Frage der Woche" speichern wir zudem eine zufällige Kennung und deine abgegebene Stimme im LocalStorage deines Browsers, damit jede Person nur einmal abstimmen kann. Diese Kennung enthält keinen Bezug zu deiner Person, wird nicht mit deinem Konto verknüpft und dient keinem Tracking (§ 25 Abs. 2 Nr. 2 TDDDG — unbedingt erforderlich für die von dir gewünschte Funktion). Öffnest du einen Einladungslink, wird der Einladungscode bis zur Registrierung im LocalStorage vorgehalten.

Beim NFC-Check-in an einem Lokalisto-Tag im Laden speichern wir kurzzeitig (bis zu 24 Stunden, längstens bis zum Einlösen) einen Vor-Ort-Nachweis im LocalStorage, damit dein Besuch nach dem Anmelden deinem Konto gutgeschrieben werden kann. Dieser Nachweis enthält nur eine signierte Kennung des Betriebs und des Tags, keinen Bezug zu deiner Person, und ist zur Erbringung der von dir angestoßenen Check-in-Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

13. Keine sonstige Weitergabe an Dritte

Wir geben deine personenbezogenen Daten nicht an Dritte weiter, außer an die in dieser Erklärung genannten Auftragsverarbeiter (Cloudflare, Supabase, Resend, Google, Anthropic — Abschnitt 15, seven.io — Abschnitt 16) und soweit gesetzlich vorgeschrieben.

14. Deine Rechte

Du hast gemäß DSGVO folgende Rechte:

Anfragen an: info@lokalbesucher.de

Beschwerderecht bei der Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, www.ldi.nrw.de

15. KI-gestützte Funktionen — Anthropic

Für einzelne Funktionen setzen wir KI-Dienste von Anthropic (Anthropic PBC, San Francisco, USA) ein: die Erstellung kurzer Teaser-Zeilen über freigegebene Bewertungen, das automatische Auslesen von hochgeladenen Event-Plakaten sowie Textentwürfe für Unternehmensinhalte (z. B. Stellenanzeigen). Dabei werden die jeweiligen Inhalte (z. B. Bewertungstext und öffentlicher Nutzername oder hochgeladene Fotos) an Anthropic übertragen und ausschließlich zur Erbringung der Funktion verarbeitet. Eine Nutzung deiner Daten zum Training von KI-Modellen findet nicht statt. Anthropic ist nach dem EU-U.S. Data Privacy Framework zertifiziert; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht. KI-erzeugte Kurztexte entstehen ausschließlich aus deinen tatsächlichen Inhalten; die Original-Bewertung ist stets verlinkt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an ansprechender und effizienter Darstellung der Plattform-Inhalte).

16. SMS-Verifikation — seven.io

Wenn du deine Telefonnummer verifizierst, senden wir dir über seven.io (seven communications GmbH & Co. KG, Kiel, Deutschland) eine SMS mit einem Bestätigungscode. Dabei wird deine Telefonnummer zur Zustellung an seven.io übertragen. Wir speichern deine Nummer nicht im Klartext, sondern nur als kryptografischen Hash zur Verhinderung von Mehrfach-Verifikationen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir angeforderte Verifikations-Funktion).

17. Betriebssuche und Betriebsdaten aus öffentlichen Quellen

Wenn du über „Laden vorschlagen" nach einem Betrieb suchst, übermitteln wir deinen Suchbegriff über unsere Server an Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), um passende Betriebe (Name, Adresse) zu finden. Deine IP-Adresse wird dabei nicht an Google übertragen. Bitte gib in das Suchfeld keine personenbezogenen Daten ein. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir angeforderten Funktion).

Aus Vorschlägen der Community legen wir Vorschau-Seiten mit öffentlich verfügbaren Basisdaten des Betriebs an (Firmenname, Adresse, Branche). Diese Seiten sind von Suchmaschinen ausgeschlossen, enthalten keine Bewertungen und dienen ausschließlich dazu, das Interesse der Community zu bündeln und den Betrieb einzuladen. Soweit dabei Daten von Einzelunternehmern betroffen sind, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb eines lokalen Branchenverzeichnisses). Betriebsinhaber können der Darstellung jederzeit widersprechen (Art. 21 DSGVO): Eine E-Mail an info@lokalbesucher.de genügt — der Eintrag wird dann unverzüglich entfernt.

18. Personalisierte Empfehlungen („Mein Lokalisto")

Eingeloggten Nutzern zeigen wir auf der Startseite einen personalisierten Bereich mit Empfehlungen, Aktivitäten aus deinem Netzwerk und deinem Punktestand. Grundlage sind ausschließlich deine eigenen Aktivitäten auf Lokalisto: gespeicherte Betriebe, Check-ins, abgegebene Bewertungen und die Nutzer, denen du folgst. Die Auswahl erfolgt regelbasiert nach nachvollziehbaren Kriterien; bei jeder Empfehlung zeigen wir dir den Grund an (z. B. „Weil du … gespeichert hast"). Es werden keine Daten aus anderen Quellen einbezogen, keine Daten an Dritte übermittelt und keine Werbung ausgespielt. Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt. Du kannst den Bereich jederzeit über „Warum sehe ich das?" ausblenden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Plattform-Funktionen für dein Nutzerkonto).

19. Einladungen („Freunde einladen")

Jeder Nutzer erhält einen persönlichen Einladungslink. Registrierst du dich über einen solchen Link, speichern wir die Verbindung zwischen deinem Konto und dem Konto des Einladenden und verknüpfen euch automatisch gegenseitig als Follower — das kannst du jederzeit in deinem Profil wieder lösen. Der Einladende sieht die Anzahl der von ihm eingeladenen Nutzer, nicht jedoch automatisch deine Aktivitäten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von beiden Seiten gewünschte Funktion) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Wachstum der Plattform).

20. Bewerbungen über Lokalisto

Über Lokalisto kannst du dich auf ausgeschriebene Stellen eines Betriebs bewerben oder dich initiativ bei einem Betrieb vorstellen. Bewirbst du dich, übermitteln wir an den jeweiligen Betrieb die von dir bereitgestellten Bewerbungsdaten:

Empfänger: Deine Bewerbungsdaten erhält ausschließlich der Betrieb, bei dem du dich bewirbst. Es findet keine Weitergabe an sonstige Dritte statt, und deine Bewerbungsdaten werden nicht per E-Mail nach außen versendet — sie bleiben innerhalb von Lokalisto und sind nur über einen zugriffsgeschützten Abruf einsehbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung). Diese Einwilligung erteilst du bei jeder Bewerbung aktiv über eine Checkbox; wir dokumentieren Zeitpunkt und Version deiner Einwilligung. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du deine Bewerbung zurückziehst — dabei werden die betreffenden Daten einschließlich der beim Betrieb hinterlegten CV-Kopie gelöscht.

Sicherheit: Dein Lebenslauf wird verschlüsselt (AES-256) in einem privaten, nicht öffentlich zugänglichen Speicher abgelegt. Einsehbar ist er ausschließlich für dich als bewerbende Person, für den Ziel-Betrieb sowie für Administratoren — jeweils nur über einen zugriffsgeschützten Abruf. Öffentliche Datei-Links auf deinen Lebenslauf gibt es nicht.

Gespeicherter Lebenslauf im Profil: Du kannst optional einen Lebenslauf in deinem Profil hinterlegen, ihn dort jederzeit ersetzen und selbst löschen.

Speicherdauer: Eine Bewerbung samt der beim Betrieb hinterlegten CV-Kopie wird spätestens nach 6 Monaten automatisch gelöscht. Ein in deinem Profil gespeicherter Lebenslauf, der 3 Monate lang nicht für eine Bewerbung genutzt wurde, wird automatisch gelöscht. Unabhängig davon kannst du deine Bewerbung und deinen gespeicherten Lebenslauf jederzeit selbst löschen.

21. Öffentliche Nutzerprofile und Folgen

Jeder registrierte Nutzer erhält ein öffentliches Profil, erreichbar über eine eigene Adresse (z. B. lokalisto.de/lokalisto/deinname). Darauf sind ausschließlich Angaben sichtbar, die du selbst erstellt hast oder die aus deiner freiwilligen Aktivität entstehen: dein selbst gewählter Nutzername (nicht dein Klarname), dein Titel und dein Fortschritts-/Levelstand, dein Verifikationsstatus, dein Profilbild (sofern hinterlegt), die Anzahl deiner Follower sowie deine bereits freigegebenen, öffentlichen Bewertungen.

Nicht öffentlich sind insbesondere deine E-Mail-Adresse, deine Telefonnummer, dein Geburtsdatum sowie sämtliche Bewerbungs- und Lebenslaufdaten (Abschnitt 20).

Diese Profilseiten sind für Suchmaschinen gesperrt (noindex) und damit nicht Teil des öffentlichen Suchindex; sie dienen der Community innerhalb von Lokalisto.

Folgen: Du kannst anderen Nutzern folgen und selbst gefolgt werden. Die Anzahl deiner Follower ist öffentlich sichtbar. Wem du folgst, nutzen wir ausschließlich dazu, dir Inhalte von Personen, denen du folgst oder mit denen du dich gegenseitig verbunden hast, bevorzugt anzuzeigen (Reihenfolge von Bewertungen und deinem Startseiten-Feed).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung bei der Registrierung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb einer sozialen Entdeckungs- und Bewertungsplattform).

Löschung: Bei einer Kontolöschung wird dein öffentliches Profil entfernt bzw. dein Nutzername anonymisiert (vgl. Abschnitt 9); bestehende Follow-Verbindungen werden dabei aufgelöst.

22. Aktualität

Stand: August 2026. Wir behalten uns vor, diese Erklärung bei Änderungen unserer Dienste oder gesetzlicher Anforderungen anzupassen.