Anwendungsbereich der Datenschutzerklärung
Diese Datenschutzerklärung gilt für die webbasierte SaaS-Anwendung Flowdue einschließlich der zugehörigen Kunden- und Debitorenportale (im Folgenden "Anwendung"). Sie erläutert Art, Zweck und Umfang der Verarbeitung bei der Nutzung der Anwendung. Die Anwendung richtet sich ausschließlich an , Freiberufler und sonstige gewerbliche oder berufliche Nutzer. Es werden keine Verträge mit Verbrauchern oder Privatpersonen im Sinne von § 13 BGB geschlossen. Flowdue ist ausschließlich für das Forderungsmanagement im B2B-Bereich vorgesehen; eine Nutzung für Forderungen gegen private Verbraucher ist nicht vorgesehen.
Wir behalten uns das Recht vor, diese Datenschutzbestimmungen unter Einhaltung der gesetzlichen Vorgaben jederzeit zu ändern.
Verantwortliche Stelle
Die für die in dieser Datenschutzerklärung beschriebene Datenverarbeitung ist:
Flowdue UG (haftungsbeschränkt)
Bonhoefferplatz 7
74906 Bad Rappenau
E-Mail-Adresse: info@flowdue.de
Telefonnummer: +49 152 07830573
Zweck und Rechtsgrundlage der Datenverarbeitung
Soweit in dieser Datenschutzerklärung keine spezielleren Angaben gemacht werden, verarbeiten wir , um die Funktionen der Anwendung bereitzustellen, die Sicherheit und Stabilität der Anwendung zu gewährleisten und vertragsbezogene Kommunikation zu ermöglichen. ist Art. 6 Abs. 1 lit. b , soweit die Verarbeitung für die Durchführung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich ist. Im Übrigen beruht die Verarbeitung auf unserem an einer sicheren und funktionsfähigen Anwendung gemäß Art. 6 Abs. 1 lit. f DSGVO. Soweit eine Verarbeitung zur Erfüllung einer gesetzlichen Pflicht erforderlich ist, erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Innerhalb der Anwendung werden derzeit keine Analyse-, Marketing- oder Trackingdienste eingesetzt.
Verarbeitete Datenkategorien
Je nach Nutzung der Anwendung verarbeitet Flowdue der Nutzer sowie - im Auftrag des jeweiligen Kunden - Daten von dessen Kunden, Debitoren, Rechnungsempfängern und Ansprechpartnern. Welche Daten konkret verarbeitet werden, richtet sich nach den aktivierten Funktionen und den vom Kunden importierten oder eingegebenen Informationen.
Benutzer-, Unternehmens- und Kontaktdaten:
- Vor- und Nachname, geschäftliche E-Mail-Adresse und gegebenenfalls Telefonnummer
- Unternehmensname, Geschäftsanschrift, Rolle und Benutzerberechtigungen
- Zugangs- und Kontoinformationen; Passwörter werden ausschließlich als gespeichert
- Bei Nutzung der Debitorenportale: eigenes Portal-Benutzerkonto, selbst eingegebene Registrierungsdaten, E-Mail-Adresse, Login- und Bestätigungsdaten sowie im Portal ausgeführte Vorgänge
Vertrags-, Abrechnungs- und Zahlungsdaten:
- Angebots-, Vertrags-, Rechnungs- und Abrechnungsdaten
- Zahlungsart, Zahlungsstatus und die für die Zahlungsabwicklung erforderlichen Transaktionsdaten
Im Auftrag des Kunden verarbeitete Anwendungsdaten:
- Kunden- und Debitorenstammdaten, geschäftliche Kontaktdaten und Anschriften
- Rechnungsnummern, Rechnungsdaten, Beträge, Fälligkeiten, Forderungs-, Mahn- und Zahlungsstatus
- Bank- und Transaktionsdaten, insbesondere IBAN, Kontoinhaber, Betrag, Buchungsdatum und Verwendungszweck
- E-Mail-Inhalte, Versandinformationen und sonstige Kommunikation im Forderungsmanagement
- Notizen, Aufgaben, Streitfälle, Zahlungszusagen und Teilzahlungen
- Importierte Daten, insbesondere aus CSV-Dateien, sowie daraus erzeugte Auswertungen
- Firmenlogo und vom Kunden bereitgestellte Inkasso-Dokumente
Rechnungs- und Mahn-PDFs werden nicht dauerhaft gespeichert. Sie können aus den gespeicherten strukturierten Daten neu erzeugt werden. Sonstige allgemeine Anhänge werden derzeit nicht gespeichert.
Technische und sicherheitsbezogene Daten:
- , , Datum und Uhrzeit von Zugriffen und Anmeldungen
- Browser-, Geräte- und Betriebssysteminformationen sowie technische Anfrage- und Zustellinformationen
- Applikations-, , API-, E-Mail-, CSP-, Nginx- und Sicherheitsprotokolle
- Fehler-, Sitzungs- und Sicherheitsereignisse sowie übertragene Datenmengen
Auf die technischen Protokolle haben ausschließlich Administratoren beziehungsweise der Host Zugriff. Die jeweils geltenden Aufbewahrungsfristen sind im Abschnitt "Speicherdauer" aufgeführt.
Eine planmäßige Verarbeitung , beispielsweise Gesundheitsdaten, Angaben zur Religion oder zur Gewerkschaftszugehörigkeit, ist nicht vorgesehen. Die Anwendung ist für die reguläre Verarbeitung solcher Daten nicht ausgelegt.
Portalnutzer werden durch Flowdue zur Registrierung eingeladen und geben die erforderlichen Registrierungsdaten selbst ein. Der Bestätigungslink wird ausschließlich bei der erstmaligen Registrierung verwendet. Anschließend erfolgt die Anmeldung mit E-Mail-Adresse und Passwort.
Im Debitorenportal können Portalnutzer Rechnungen einsehen, Zahlungen über bereitgestellte Zahlungslinks vornehmen, Einsprüche beziehungsweise Streitfälle übermitteln, Zahlungszusagen abgeben sowie Teil- oder Ratenzahlungen vereinbaren.
Eine Funktion zum dauerhaften Hochladen oder Speichern von Rechnungs-PDFs, Belegen oder sonstigen allgemeinen Anhängen durch Kunden oder Portalnutzer steht derzeit nicht zur Verfügung. Gespeichert werden jedoch das Firmenlogo und die vom Flowdue-Kunden bereitgestellten Inkasso-Dokumente. Unberührt bleibt der Import strukturierter Daten, insbesondere aus CSV-Dateien.
Bei aktivierter BANKSapi-Anbindung werden Bank- und Transaktionsdaten automatisiert abgerufen und zum Zahlungsabgleich verarbeitet. Die Anbindung und der automatisierte Abruf erfolgen auf Veranlassung und im Auftrag des Kunden.
Flowdue kann ausschließlich anhand der in der Anwendung vorhandenen bisherigen Zahlungs- und Forderungsdaten automatisiert eine interne Risikostufe (Low, Medium oder High) zuordnen. Daten externer Auskunfteien wie SCHUFA oder Creditreform werden hierfür nicht verwendet. Der Kunde kann diese Einstufung manuell ändern. Automatisierte Mahnungen und Zahlungserinnerungen werden ausschließlich nach den vom Kunden festgelegten Regeln, Fristen und Texten ausgeführt.
von Kunden und Debitoren werden nicht verkauft und nicht für Werbung oder die Bildung eigener Marketingprofile verwendet. Über die Anwendung werden derzeit keine Newsletter oder Werbe-E-Mails an registrierte Benutzer versendet.
Technisch notwendige Browser-Speicherung:
- Access-Token als mit und einer Speicherdauer von 15 Minuten
- Refresh-Token als HttpOnly-Cookie mit SameSite=Strict beziehungsweise Lax und einer Speicherdauer von sieben Tagen
- (_csrf) mit einer Speicherdauer von fünf Stunden
- Portal- als HttpOnly-Cookie mit SameSite=Lax und einer Speicherdauer von 30 Minuten
- Beim Abruf der Portal-Sitzung kann zusätzlich ein langlebigeres Portal-JWT mit einer Speicherdauer von acht Stunden gesetzt werden
- Portal-Refresh-Token als HttpOnly-Cookie mit SameSite=Lax und einer Speicherdauer von sieben Tagen
Im des Browsers können funktionale Einstellungen gespeichert werden, insbesondere brandingDisabled. In der Session Storage des Browsers können Statusangaben gespeichert werden, insbesondere portal_has_account, portal_invoice_id, portal_token und portal_selected_seller. Diese Speicherung dient der Darstellung und Steuerung der jeweils verwendeten Portal- und Branding-Funktionen. Soweit für einen Eintrag eine technische Gültigkeitsdauer vorgesehen ist, wird er mit deren Ablauf gelöscht beziehungsweise nicht weiter verwendet. Im Übrigen verbleibt der Eintrag, bis er durch den Nutzer oder den Browser gelöscht wird.
Kontaktaufnahme
Wenn Sie uns per E-Mail an support@flowdue.de kontaktieren, wird Ihre Anfrage einschließlich der daraus hervorgehenden (z. B. Name, E-Mail-Adresse und Inhalt der Anfrage) zum Zwecke der Bearbeitung gespeichert und verarbeitet. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage mit einem Vertrag oder vorvertraglichen Maßnahmen zusammenhängt. In allen übrigen Fällen beruht sie auf unserem an der sachgerechten Bearbeitung von Anfragen gemäß Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten oder sonstigen rechtlichen Gründe entgegenstehen.
Versand von System- und Kommunikationsnachrichten
Eigene Flowdue-E-Mail-Infrastruktur
Allgemeine Vertrags-, Support- und Abrechnungsnachrichten werden über die E-Mail-Infrastruktur von Flowdue mittels SMTP und Nodemailer versendet. Hierfür werden insbesondere die Adressen info@flowdue.de, support@flowdue.de und billing@flowdue.de verwendet. Die technische E-Mail-Infrastruktur wird bei Hetzner betrieben.
Postmark
Für den White-Label-Versand im Namen eines Flowdue-Kunden setzen wir Postmark ein. Anbieter des Postmark-Dienstes ist AC PM LLC, 1 North Dearborn Street, 5th Floor, Chicago, IL 60602, USA. Dazu gehören insbesondere Zahlungserinnerungs- und Mahn-E-Mails. Hierbei können insbesondere E-Mail-Adresse, Vor- und Nachname, Inhalt der Nachricht, Versand- und Zustellinformationen sowie technische Kommunikationsdaten verarbeitet werden.
der Datenverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Kommunikation für die Durchführung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich ist. Soweit Flowdue Nachrichten mit von Debitoren im Auftrag eines Kunden versendet, erfolgt die Verarbeitung nach dessen Weisungen und auf Grundlage der . Im Übrigen beruht die Verarbeitung auf unserem an einer zuverlässigen und effizienten Kommunikation gemäß Art. 6 Abs. 1 lit. f DSGVO.
Bei der Löschung eines Flowdue-Kontos werden Postmark-Domänen und nach aktueller technischer Auskunft nur lokal entfernt; eine automatische Löschung beim Anbieter findet nicht statt. Gesetzliche Aufbewahrungspflichten und die beim Anbieter geltenden Löschfristen bleiben unberührt.
Das Öffnungs- und Klicktracking ist für die von Flowdue über Postmark versandten Transaktions-E-Mails deaktiviert. Flowdue verwendet solche Daten nicht für eigene Auswertungen und stellt seinen Kunden hierzu keine Auswertung bereit.
Zahlungsabwicklung
Stripe
Wir haben Stripe in dieser Anwendung eingebunden. Anbieter ist für Nutzer im Europäischen Wirtschaftsraum insbesondere die Stripe Technology Company Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland; im Rahmen der Vertrags- und Zahlungsabwicklung können weitere Unternehmen der Stripe-Gruppe, insbesondere Stripe Payments Europe, Limited und Stripe Technology Europe, Limited, beteiligt sein (nachfolgend Stripe).
Stripe ermöglicht es uns, Abonnementzahlungen für die Nutzung von Flowdue, insbesondere per Kreditkarte oder , abzuwickeln. Außerdem können Flowdue-Kunden ihren Debitoren über die Anwendung Stripe-Zahlungslinks bereitstellen. Hierbei können insbesondere Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsart, Zahlungsinformationen, Transaktionsbetrag, Datum und Status der Zahlung sowie weitere für die Zahlungsabwicklung erforderliche Transaktionsdaten verarbeitet werden. Abhängig von der gewählten Zahlungsart können Daten auch an Banken, Zahlungsdienstleister und weitere an der Zahlungsabwicklung beteiligte Stellen übermittelt werden.
der Datenverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die Durchführung des Flowdue-Vertrags und die Abwicklung der Abonnementzahlung erforderlich ist. Soweit Stripe-Zahlungslinks für Debitoren im Auftrag eines Flowdue-Kunden bereitgestellt werden, erfolgt die Verarbeitung nach dessen Weisungen und auf Grundlage der . Soweit Daten aufgrund gesetzlicher handels- oder steuerrechtlicher Pflichten verarbeitet werden, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.
Weitere Details entnehmen Sie der Datenschutzerklärung des Anbieters unter https://stripe.com/de/privacy.
Die erfassten werden solange gespeichert, wie dies für die Abwicklung der Zahlung und die Erfüllung der damit verbundenen vertraglichen und gesetzlichen Pflichten erforderlich ist. Gesetzliche Aufbewahrungsfristen, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten, bleiben unberührt.
Bankkontenanbindung und Zahlungsabgleich
BANKSapi
Wir haben BANKSapi in dieser Anwendung eingebunden. Anbieter ist die BANKSapi Technology GmbH, Pettenkoferstr. 35, 80336 München, Deutschland (nachfolgend BANKSapi).
BANKSapi ermöglicht es uns, Funktionen für die Anbindung von Bankkonten und die Verarbeitung von Bank- und Kontoinformationen innerhalb unserer SaaS-Anwendung bereitzustellen. Zu diesem Zweck können insbesondere Informationen zum ausgewählten Kreditinstitut, Konto- und Kontoinhaberdaten, IBAN, Kontostände, Umsätze, Buchungsinformationen, Verwendungszwecke und weitere vom jeweiligen Kreditinstitut bereitgestellte Kontoinformationen verarbeitet werden. Welche Daten konkret verarbeitet werden, richtet sich nach den jeweils verwendeten BANKSapi-Funktionen und den vom Nutzer freigegebenen Bankinformationen.
Die Bank- und Kontoinformationen werden ausschließlich im Verantwortungsbereich des Kunden verarbeitet. Der Kunde ist allein dafür verantwortlich, dass die von ihm importierten Bankdaten und Kontoinformationen rechtmäßig verarbeitet werden dürfen und inhaltlich richtig sind. Der Anbieter verarbeitet diese Daten nur als Auftragsverarbeiter nach Maßgabe der gesondert abzuschließenden .
der Datenverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung einer vom Nutzer angeforderten Funktion unserer SaaS-Anwendung erforderlich ist. Soweit für den Abruf oder die Verarbeitung bestimmter Bankinformationen eine erforderlich ist, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.
Weitere Details entnehmen Sie der Datenschutzerklärung des Anbieters unter https://banksapi.de/datenschutz/.
Die erfassten werden grundsätzlich solange gespeichert, wie dies für die Bereitstellung der jeweiligen Bank- oder Kontofunktion und die Erfüllung der damit verbundenen vertraglichen oder gesetzlichen Verpflichtungen erforderlich ist. Die konkrete Speicherdauer kann abhängig von der verwendeten BANKSapi-Funktion und der Art der verarbeiteten Bankdaten variieren.
Empfänger von personenbezogenen Daten
werden nur übermittelt, soweit dies für die Bereitstellung der Anwendung, die Erfüllung vertraglicher Pflichten oder eine vom Nutzer aktivierte Funktion erforderlich ist. Nach dem technisch bestätigten Stand kommen insbesondere folgende externe Empfänger und Dienstleister in Betracht:
- Hetzner Online GmbH - Hosting, Server- und E-Mail-Infrastruktur in Europa
- Backblaze B2, S3-kompatibel - verschlüsselte externe Datensicherung in Europa
- Postmark - Versand und Zustellverwaltung
- BANKSapi Technology GmbH - Bankkontenanbindung und Zahlungsabgleich
- Stripe - Abonnement-, Zahlungs- und Abrechnungsabwicklung
- Lexware und sevDesk - Synchronisation mit einem vom Kunden aktivierten Buchhaltungssystem
- Cloudflare beziehungsweise Google - DNS-Auflösung und technische Erreichbarkeit der Flowdue-Domains; eine Übermittlung von Anwendungsinhalten ist hierfür nicht vorgesehen
Soweit der Kunde eine Schnittstelle zu einem Buchhaltungs- oder sonstigen Drittsystem aktiviert, werden die für die gewählte Funktion erforderlichen Daten mit diesem Dienst ausgetauscht. Mit Auftragsverarbeitern werden, soweit gesetzlich erforderlich, Vereinbarungen nach Art. 28 DSGVO abgeschlossen.
In der regulären Anwendung kann die Geschäftsführung E-Mail-Adresse, Name, Firma und Vertragsfelder einsehen. Änderungen werden im protokolliert; reine Lesezugriffe derzeit nicht gesondert. Der technische Administrator besitzt für erforderliche Administration, Support und Fehlerbehebung Datenbankzugriff und kann grundsätzlich alle nicht gehashten oder gesondert verschlüsselten Daten einsehen. Der Zugriff ist auf die zur Aufgabenerfüllung erforderlichen Personen beschränkt.
Innerhalb der Flowdue-Infrastruktur eingesetzte technische Komponenten:
- Gotenberg - Erzeugung von PDF-Dokumenten
- CrowdSec LAPI und Wazuh Manager - Erkennung, Auswertung und Abwehr sicherheitsrelevanter Ereignisse
Datenübermittlung in
Bei der Nutzung einzelner Dienstleister, insbesondere Postmark, Backblaze, Stripe sowie Cloudflare beziehungsweise Google, kann eine Verarbeitung in den USA oder anderen Staaten außerhalb des Europäischen Wirtschaftsraums nicht vollständig ausgeschlossen werden. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, einer gültigen Zertifizierung nach dem oder der der EU-Kommission einschließlich erforderlicher zusätzlicher Schutzmaßnahmen.
Verschlüsselung
Diese Anwendung nutzt aus Gründen der Sicherheit und zum Schutz der Übertragung vertraulicher Inhalte, eine Verschlüsselung. Durch diese Verschlüsselung wird verhindert, dass die Daten, die Sie übermitteln, von unbefugten Dritten mitgelesen werden können.
Hosting
Hetzner
Wir hosten unsere Anwendung mit Hetzner. Anbieter ist die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (nachfolgend Hetzner).
Hetzner ermöglicht es uns, die für unsere SaaS-Anwendung erforderliche Server- und Hosting-Infrastruktur bereitzustellen. Hierzu werden insbesondere die Daten verarbeitet, die im Rahmen der Nutzung unserer Anwendung auf den von uns bei Hetzner eingesetzten Servern gespeichert oder übertragen werden. Hierzu können insbesondere Stammdaten, Kontaktdaten, Vertragsdaten, Inhaltsdaten sowie technische Daten wie , Server-Logfiles, Zugriffszeitpunkte und Informationen über die aufgerufenen Ressourcen gehören. Welche konkret verarbeitet werden, hängt davon ab, welche Funktionen der SaaS-Anwendung genutzt werden.
der Datenverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung unserer vertraglich geschuldeten SaaS-Leistungen erforderlich ist. Im Übrigen erfolgt die Verarbeitung auf Grundlage unseres an einer sicheren, stabilen und wirtschaftlichen Bereitstellung unserer Anwendung gemäß Art. 6 Abs. 1 lit. f DSGVO.
Weitere Details entnehmen Sie der Datenschutzerklärung des Anbieters unter https://www.hetzner.com/de/legal/privacy-policy/.
Die erfassten werden grundsätzlich solange gespeichert, wie dies für die Bereitstellung unserer SaaS-Anwendung und die jeweiligen Verarbeitungszwecke erforderlich ist. Anschließend werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder sonstigen rechtlichen Gründe einer Löschung entgegenstehen.
Speicherdauer
Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben bei uns, bis der jeweilige Verarbeitungszweck entfällt. Nach Beendigung der SaaS-Leistung ermöglichen wir dem Kunden für sieben Kalendertage die Nutzung der verfügbaren Standardexporte. Auf Anforderung stellen wir innerhalb dieses Zeitraums zusätzlich ein vollständiges Datenpaket bereit. Dieses umfasst die zusätzlich vorhandenen strukturierten Daten in einem gängigen, maschinenlesbaren Format sowie gespeicherte Inkasso-Dokumente und das Firmenlogo im ursprünglichen oder einem anderen gängigen Dateiformat. Rechnungs- und Mahn-PDFs werden nicht dauerhaft gespeichert und können aus den gespeicherten strukturierten Daten neu erzeugt werden. Nach Rückgabe beziehungsweise Ablauf der Exportfrist werden die Daten aus den produktiven Systemen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht oder ein sonstiger rechtlich zulässiger Grund für eine weitere Speicherung besteht. Für bestehende Datensicherungen gelten die nachfolgend genannten Sicherungsfristen.
Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine widerrufen, werden die betroffenen Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder andere rechtlich zulässige Gründe für eine weitere Speicherung bestehen. In diesem Fall erfolgt die Löschung nach Fortfall dieser Gründe.
Technische Protokolle und Vorgangsdaten:
- Applikations-Logs (audit.log und errors.log): 30 Tage
- revisionssicheres für -relevante (personenbezogene) Vorgänge: 10 Jahre
- Sicherheitsprotokolle ohne Personenbezug: 90 Tage
- Systemprotokolle: 3 Jahre
- Security-Reports: 12 Monate
- API-Request-Logs: 270 Tage
- E-Mail-Logs: rechnungsbezogene Versandprotokolle (Mahn-/Zahlungs-Mails als Geschäftsbriefe nach §257 HGB / §147 AO) 6 Jahre, übrige 12 Monate
- CSP-Reports: 30 Tage
- Einladungsdaten (customer_invites): 90 Tage
- : 24 Stunden; anschließend Löschung
- : 96 Stunden; anschließend Anonymisierung
- abgeschlossene Vorgänge wie Mahnungen, Einsprüche und Zahlungszusagen: 24 Monate, soweit keine längere gesetzliche Aufbewahrungspflicht besteht
- Nginx-Access-Logs: höchstens sieben Tage
Auf die genannten Protokolle und Reports haben ausschließlich Administratoren beziehungsweise der Host Zugriff.
Löschung bei angebundenen Diensten:
- Stripe: Die lokale Account-ID wird gelöscht und die Verbindung getrennt; eine Löschung der beim Zahlungsdienstleister gespeicherten Daten wird durch Flowdue nicht automatisch ausgelöst.
- Postmark: Domänen- und werden lokal entfernt; eine automatische Löschung beim Anbieter findet nicht statt.
- BANKSapi: Der Bankzugang wird beim Anbieter über die bereitgestellte Schnittstelle gelöscht.
- Lexware und sevDesk: Die lokale Verbindung wird getrennt; Daten im jeweiligen Quellsystem werden durch Flowdue nicht gelöscht.
- E-Mail-Infrastruktur bei Hetzner: Nach aktueller technischer Auskunft ist keine zusätzliche Speicherung außerhalb der eingesetzten Infrastruktur vorgesehen.
Löschmöglichkeiten während der Vertragslaufzeit:
- Kundenstammdaten werden bei Auslösen der Löschfunktion aus dem produktiven System gelöscht. Rechnungen können zunächst als gelöscht markiert und ausgeblendet werden; sie werden grundsätzlich zehn Jahre nach dem jeweiligen Rechnungsdatum endgültig gelöscht, soweit keine längere gesetzliche Aufbewahrung erforderlich ist.
- Zahlungsdatensätze, Rechnungspositionen, Kontaktpersonen, Webhooks, API-Schlüssel, Bankverbindungen, Logos, E-Mail-Aliasse und Mahnaufgaben können aus dem produktiven System endgültig gelöscht werden (Hard Delete).
Datensicherungen:
werden lokal komprimiert und mit verschlüsselt sowie zusätzlich verschlüsselt in Backblaze B2 in Europa gespeichert. Tägliche Sicherungen werden 30 Tage, monatliche Sicherungen 365 Tage und jährliche Sicherungen 10 Jahre aufbewahrt. Eine selektive Löschung einzelner betroffener Datensätze aus bestehenden Sicherungen ist technisch nicht vorgesehen; die Löschung erfolgt mit Ablauf der jeweiligen Sicherungsfrist. Bei einer Wiederherstellung sind zwischenzeitlich gelöschte Daten vor einer erneuten produktiven Nutzung erneut zu löschen beziehungsweise zu sperren.
Monitoring und Wiederherstellung:
Für Serverausfälle und einen Teil der Backup-Fehler bestehen automatische Warnmeldungen. Weitere technische Zustände werden im Administrations-Dashboard kontrolliert. Eine Wiederherstellung aus einem Backup wurde praktisch getestet. Weitere dokumentierte Wiederherstellungstests werden mindestens alle sechs Monate in einem Wartungsfenster durchgeführt, vorzugsweise sonntags bei Nichtnutzung der Anwendung. Während eines solchen Tests kann die Anwendung voraussichtlich für etwa zwei Stunden nicht verfügbar sein.
Automatisierte Entscheidungsfindung
Flowdue kann Zahlungs- und Forderungsdaten automatisiert auswerten und hieraus eine interne Risikostufe (Low, Medium oder High) ableiten. Diese Einstufung dient der Priorisierung im Forderungsmanagement, kann vom Kunden jederzeit manuell geändert werden und entfaltet durch Flowdue keine rechtliche oder vergleichbar erhebliche Wirkung gegenüber der betroffenen Person. Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung im Sinne von findet durch Flowdue nicht statt.
Ihre Rechte
Ihnen stehen im Rahmen der Vorgaben der die folgenden zu. Zur Ausübung Ihrer Rechte können Sie sich an support@flowdue.de wenden. Soweit Ihre Anfrage Daten betrifft, die Flowdue ausschließlich im Auftrag eines Kunden verarbeitet, stimmen wir die Bearbeitung mit dem verantwortlichen Kunden ab.
Recht auf Auskunft (Art. 15 DSGVO): Sie haben das Recht, Auskunft über bei uns Ihre gespeicherten zu verlangen.
Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Berichtigung Sie betreffender unrichtiger zu verlangen. Unter Berücksichtigung des Verarbeitungszwecks haben Sie ferner das Recht, die Vervollständigung unvollständiger zu verlangen.
Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer zu verlangen.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung der Sie betreffenden zu verlangen.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, , die wir automatisiert, auf Grundlage Ihrer oder in Erfüllung eines Vertrags verarbeiten an sich oder an einen anderen Verantwortlichen in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.
Recht auf Widerruf Ihrer Einwilligungen (Art. 7 Abs. 3 DSGVO): Wenn Sie eine in die Verarbeitung Ihrer Daten erteilt haben, haben Sie das Recht, diese jederzeit mit Wirkung für die Zukunft zu widerrufen.
Recht auf Beschwerde (Art. 77 DSGVO): Wenn Sie der Auffassung sind, dass wir bei der Verarbeitung Ihrer datenschutzrechtliche Vorschriften nicht beachten, haben Sie das Recht eine Beschwerde bei einer hiergegen einzulegen.
In Fällen, in denen die Datenverarbeitung auf Art. 6 Abs. 1 S. 1 lit. e oder f DSGVO erfolgt, haben Sie das Recht, der Datenverarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, zu widersprechen ().