Zurück zur Kontoanlage ↗ Zur Anmeldung ↗
Datenschutzhinweise – Entwurf zur Betreiberprüfung
1. Verantwortlicher
Verantwortlich für Website, Firmenregistrierung und SaaS-Vertragsabrechnung ist der im Impressum genannte Betreiber. Kontakt, gegebenenfalls Datenschutzbeauftragter, Hostinganbieter und Verarbeitungsorte müssen vom Betreiber vollständig ergänzt werden.
2. Website und notwendige Sitzungen
Beim Zugriff verarbeitet das Hosting technische Verbindungsdaten. Flow verwendet technisch notwendige Sitzungscookies für Anmeldung, Formularschutz und Firmenzuordnung. In diesem Paket sind keine Werbetracker, kein externes Analytics und keine automatisch ladenden Social-Media-Pixel eingebunden.
3. Firmenkonto und Vertrag
Name, geschäftliche E-Mail-Adresse, Rechnungsanschrift, Rollen, Bestätigungsdaten, Abonnement- und Rechnungsdaten werden für Registrierung, Vertragserfüllung und Abrechnung verarbeitet. Grundlage ist insbesondere Art. 6 Abs. 1 Buchst. b DSGVO; steuerlich aufbewahrungspflichtige Daten zusätzlich Art. 6 Abs. 1 Buchst. c DSGVO.
4. Zugangssicherheit
Passwörter werden als nicht umkehrbare Hashes gespeichert. Optionale Authenticator-Schlüssel und technische Zugangsdaten werden mit AES-256-GCM verschlüsselt. Anmeldebegrenzungen speichern zeitlich begrenzte pseudonyme Schlüssel. Verwaltungsaktionen werden protokolliert. Die Übertragung muss im Produktivbetrieb per HTTPS erfolgen.
5. Operative Daten des Firmenkunden
Der Firmenkunde bleibt für Kundenkontakte, Buchungen, Dokumente und Gutscheindaten in seinem Arbeitsbereich verantwortlich. Der Betreiber verarbeitet diese Daten grundsätzlich nach der gesonderten Auftragsverarbeitungsvereinbarung. Jedes Unternehmen erhält eine eigene Datenbank und ein privates Dateiverzeichnis.
6. Zahlungsdienst und Empfänger
Bei aktivierter Online-Abrechnung verarbeitet der ausgewählte Zahlungsdienst Zahlungs- und Vertragsdaten nach seinen eigenen Hinweisen. Kartendaten werden nicht in Flow gespeichert. Tatsächlich eingesetzte Hosting-, E-Mail- und Zahlungsdienstleister sowie mögliche Drittlandtransfers und deren Garantien sind hier vom Betreiber konkret zu benennen.
7. Löschung und Aufbewahrung
Daten werden gelöscht, wenn der jeweilige Zweck entfällt und keine gesetzlichen oder vertraglichen Aufbewahrungsgründe entgegenstehen. Konkrete Fristen für Rechnungen, Auditprotokolle, Firmenarchive, Konten und Backups sind im Löschkonzept festzulegen. Die Backupaufbewahrung ist technisch einstellbar; Datenbankbackups werden nach Ablauf dieser Frist entfernt.
8. Rechte
Betroffene können nach den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen. Es besteht ein Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde. Zuständige Behörde und Kontaktwege sind vom Betreiber zu ergänzen.
9. Marketing und Kampagnenlinks
Die Werbewerkstatt erzeugt Textvorlagen und UTM-Links, versendet aber keine Werbung automatisch. Ein Analysesystem ist gesondert einzurichten und datenschutzrechtlich zu bewerten. Marketingnachrichten an Endkunden benötigen eine passende Rechtsgrundlage.