1. Verantwortlicher
Christoph Daniel Grohme
FlowUnion
Im Bröltal 108
53773 Hennef (Sieg)
Deutschland
E-Mail: support@flowunion.de
2. Geltungsbereich und Rollen
Diese Erklärung gilt für die Website flowunion.de und für die Software FlowUnion (Web-App, installierbare App und Android-App).
- Website und Vertragsabschluss: FlowUnion ist Verantwortlicher für die Daten von Interessenten, Testnutzern und Vertragspartnern (Firma, Ansprechpartner, Rechnungs- und Zahlungsdaten).
- Nutzung der Software durch Kunden: Gibt ein Kunde (Unternehmer) personenbezogene Daten seiner eigenen Mitarbeiter, Kunden, Mieter oder Verwalter in FlowUnion ein, ist der Kunde Verantwortlicher. FlowUnion verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags.
3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| Name, Firma, E-Mail, Telefon, Anschrift, USt-IdNr., Branche | Testzugang, Vertragsabschluss, Kundenverwaltung | Art. 6 Abs. 1 lit. b DSGVO |
| Zugangsdaten (E-Mail, Passwort als Hash, optional Zwei-Faktor-Code), Nutzer-ID, Geräte-Kennung, letzte Aktivität | Anmeldung, Schutz vor unbefugtem Zugriff, Prüfung der Gerätesitzung | Art. 6 Abs. 1 lit. b und f DSGVO |
| Vertrags-, Rechnungs-, Zahlungs- und SEPA-Mandatsdaten (IBAN, Kontoinhaber, Unterschrift) | Abrechnung, Zahlungseinzug, Nachweis der Vertragsannahme | Art. 6 Abs. 1 lit. b, c DSGVO |
| Technische Verbindungsdaten (IP-Adresse, Zeitpunkt, Browser, Gerät, Fehlerprotokolle) | Betrieb, Sicherheit, Fehleranalyse | Art. 6 Abs. 1 lit. f DSGVO |
| Inhalte, die der Kunde in der Software speichert (Objekte, Termine, Fotos, Videos, Dokumente, Leistungsverzeichnisse, Zeiten, Unterschriften) | Bereitstellung der Software | Art. 28 DSGVO (Auftragsverarbeitung) |
| E-Mail-Verkehr (Support, Systemmails wie Passwort-Link, Vertrags- und Rechnungsmails) | Kommunikation, Vertragsdurchführung | Art. 6 Abs. 1 lit. b, f DSGVO |
| Push-Benachrichtigungen (Geräte-Token), nur nach Zustimmung im Gerät | Hinweise zu Terminen und Meldungen | Art. 6 Abs. 1 lit. a DSGVO |
4. Empfänger und eingesetzte Dienstleister
Wir setzen folgende Dienstleister ein, mit denen, soweit erforderlich, Verträge zur Auftragsverarbeitung bestehen:
- Google Firebase / Google Cloud (Google Ireland Limited, Irland; Google LLC, USA): Anmeldung, Datenbank, Dateispeicher, Push-Benachrichtigungen. Die Daten werden in einer Region der Europäischen Union gespeichert. Ein Zugriff von Google-Gesellschaften in den USA (z. B. Wartung, Support) ist nicht auszuschließen (siehe Ziffer 5).
- Vercel Inc. (USA): Hosting der Website und der Software.
- Resend (Resend, Inc., USA): Versand von Systemmails (z. B. Passwort-Link, Vertrags- und Rechnungsmails).
- Stripe (Stripe Payments Europe, Ltd., Irland, und Stripe, Inc., USA): Zahlungsabwicklung per Karte oder SEPA-Lastschrift. Stripe verarbeitet Zahlungsdaten in eigener Verantwortung nach seiner Datenschutzerklärung: https://stripe.com/de/privacy
- Bankanbindung (optionales Online-Banking in FlowUnion, nur wenn der Kunde sie nutzt): Abruf von Kontoumsätzen des Kunden über FinTS (direkt bei der Bank des Kunden) oder den Kontoinformationsdienst GoCardless (Bank Account Data). Das ist unabhängig von Stripe, das ausschließlich die Zahlung der FlowUnion-Entgelte abwickelt. Dafür geben Sie Ihre Online-Banking-Zugangsdaten (Anmeldename und PIN) ein. Die PIN wird nur zur Anmeldung bei der Bank bzw. beim Dienst übermittelt. Nur wenn Sie „Zugangsdaten merken“ wählen, wird die PIN verschlüsselt (AES-256-GCM) gespeichert; ohne diese Auswahl wird sie nicht gespeichert. Die Verarbeitung können Sie jederzeit per E-Mail an support@flowunion.de widerrufen.
- Adress- und Kartendienste (bei Nutzung der jeweiligen Funktion): OpenPLZ-API (Postleitzahlen/Orte), OpenStreetMap-Nominatim (Adresssuche). Dabei werden die eingegebenen Suchbegriffe und die IP-Adresse an den Dienst übermittelt.
- Wetterdaten: Open-Meteo (Wetteranzeige am Standort, nur nach Freigabe des Standorts). Dabei werden Ihre Standortkoordinaten über unseren Server an den Dienst übermittelt.
- Weitere Dienste: Darstellung von Flaggen (flagcdn.com) und Erzeugen von QR-Codes (api.qrserver.com); dabei werden die IP-Adresse und der Inhalt des QR-Codes übermittelt.
Eine Weitergabe an sonstige Dritte erfolgt nur, wenn eine gesetzliche Pflicht besteht oder Sie eingewilligt haben.
5. Übermittlung in Drittländer
Einige Dienstleister haben ihren Sitz in den USA. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (soweit der Anbieter zertifiziert ist) oder von EU-Standardvertragsklauseln nach Art. 46 DSGVO. Kopien erhalten Sie auf Anfrage.
6. Cookies, lokaler Speicher, Tracking
FlowUnion setzt keine Werbe- oder Analyse-Cookies ein und bindet keine Tracking-Dienste ein. Technisch notwendig sind Einträge im lokalen Speicher des Browsers bzw. der App (z. B. Anmeldung, Gerätekennung, Darstellungs- und Spracheinstellungen, Zwischenspeicher für den Offline-Betrieb). Sie sind für den Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und benötigen keine Einwilligung. Stripe kann bei der Zahlung eigene technisch notwendige Cookies zur Betrugsprävention setzen.
7. Speicherdauer
- Vertrags- und Abrechnungsdaten: bis zum Ablauf der gesetzlichen Aufbewahrungsfristen (in der Regel 6 bis 10 Jahre nach § 257 HGB, § 147 AO).
- Testzugänge: werden nach Ablauf der Testphase gesperrt und nach den gesetzlichen Vorgaben gelöscht.
- Kundeninhalte in der Software: bis zur Löschung durch den Kunden oder bis zum Vertragsende, danach nach Vorgabe im Auftragsverarbeitungsvertrag.
- Technische Protokolle: in der Regel wenige Wochen bis Monate.
7a. Automatisierte Entscheidungen
Es findet keine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO statt.
8. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an support@flowunion.de. Eine Anleitung zur Löschung von Konto und Daten finden Sie unter flowunion.de/konto-loeschen. Betrifft Ihre Anfrage Daten, die ein Kunde von FlowUnion in der Software verarbeitet, leiten wir sie an diesen weiter.
9. Beschwerderecht
Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig für den Sitz des Verantwortlichen ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
E-Mail: poststelle@ldi.nrw.de
10. Datensicherheit
Die Übertragung erfolgt verschlüsselt (TLS/HTTPS). Passwörter werden nicht im Klartext gespeichert. Zugriffe sind rollen- und mandantenbezogen getrennt. Eine optionale Zwei-Faktor-Anmeldung (Authenticator-App) steht zur Verfügung. Wir ergreifen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
11. Änderungen
Wir passen diese Erklärung an, wenn sich die Software, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils veröffentlichte Fassung.
Stand: 14.10.2026