Datenschutzerklärung für FlowEngine

Stand: 30. Juli 2026

1. Allgemeine Hinweise

Mit dieser Datenschutzerklärung informieren wir darüber, wie personenbezogene Daten beim Besuch unserer Website, bei der Kontaktaufnahme, bei der Registrierung, beim Abschluss und bei der Durchführung eines Vertrags sowie bei der Nutzung unserer Software-as-a-Service-Plattform verarbeitet werden.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Hierzu gehören beispielsweise Namen, geschäftliche Kontaktdaten, Benutzerkennungen, IP-Adressen, Kommunikationsinhalte und personenbezogene Angaben in verarbeiteten Geschäftsdokumenten.

Diese Datenschutzerklärung gilt insbesondere für:

  • unsere Website unter https://km-digitalwerk.de/,
  • unsere SaaS-Plattform unter der jeweils bereitgestellten FlowEngine-App-Domain,
  • Registrierungs- und Anmeldebereiche,
  • Kunden- und Benutzerkonten,
  • Kontakt-, Demo- und Supportanfragen,
  • Vertrags- und Abrechnungsverwaltung,
  • Zahlungsabwicklung,
  • den Versand transaktionaler E-Mails,
  • technische Nutzungs- und Fehleranalyse,
  • Verarbeitung geschäftlicher Dokumente und
  • KI-gestützte Funktionen.

Unsere Plattform richtet sich ausschließlich an Unternehmen, Selbstständige, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Sie ist nicht für die private Nutzung durch Verbraucher bestimmt.

2. Verantwortlicher

Verantwortlicher für die in eigener Verantwortlichkeit durchgeführten Verarbeitungen ist:

KM-Digitalwerk Gbr

GbR

Brookstr. 4

33449 Langenberg

Deutschland

Vertreten durch:

Pascal Kleinehanding & Heinrich Mater

Telefon: 0157 33666382

E-Mail: p.kleinehanding@km-digitalwerk.de

Datenschutzkontakt: p.kleinehanding@km-digitalwerk.de

Website: https://km-digitalwerk.de/

Angaben zu einem Registergericht oder einer Registernummer sind nicht Bestandteil dieser Datenschutzerklärung.

3. Datenschutzbeauftragter

Es wurde kein Datenschutzbeauftragter bestellt.

Datenschutzanfragen sind unmittelbar an folgende Stelle zu richten:

KM-Digitalwerk Gbr

E-Mail: p.kleinehanding@km-digitalwerk.de

4. Unsere datenschutzrechtlichen Rollen

Wir können abhängig von der jeweiligen Verarbeitung entweder als Verantwortlicher oder als Auftragsverarbeiter tätig werden.

4.1 Verarbeitung in eigener Verantwortlichkeit

Wir handeln insbesondere als Verantwortlicher, wenn wir personenbezogene Daten verarbeiten für:

  • den Betrieb unserer Website,
  • die technische Bereitstellung unserer Plattform,
  • die Registrierung und Benutzerverwaltung,
  • die Authentifizierung von Nutzern,
  • die Bearbeitung von Anfragen,
  • die Vorbereitung und Durchführung von Verträgen,
  • die Verwaltung von Kundenkonten,
  • die Abrechnung und Zahlungsabwicklung,
  • den Versand vertraglicher oder technischer E-Mails,
  • die Gewährleistung der IT-Sicherheit,
  • die Verhinderung von Missbrauch,
  • die technische Fehleranalyse,
  • die Ermittlung und Abrechnung von Nutzungsmengen,
  • die Kapazitäts- und Ressourcenplanung,
  • die Weiterentwicklung der technischen Plattform,
  • die Bearbeitung von Supportfällen und
  • die Erfüllung eigener gesetzlicher Pflichten.

4.2 Verarbeitung von Kundendokumenten im Auftrag

Soweit unsere Kunden Geschäftsdokumente, E-Mails, Anhänge, Stammdaten oder sonstige Inhalte über die Plattform verarbeiten, handeln wir grundsätzlich als Auftragsverarbeiter. Der jeweilige Kunde bleibt datenschutzrechtlich Verantwortlicher und bestimmt insbesondere Zweck, Rechtsgrundlage, betroffene Personengruppen, Benutzerberechtigungen, Speicherfristen und die Verwendung der Verarbeitungsergebnisse.

Mit unseren Kunden schließen wir einen gesonderten Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

4.3 Anfragen zu Daten in Kundendokumenten

Bezieht sich eine Anfrage einer betroffenen Person auf Daten, die wir ausschließlich im Auftrag eines Kunden verarbeiten, leiten wir die Anfrage grundsätzlich an den verantwortlichen Kunden weiter. Wir dürfen solche Daten grundsätzlich nur auf dokumentierte Weisung des jeweiligen Kunden berichtigen, einschränken, exportieren, herausgeben oder vorzeitig löschen.

5. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten abhängig vom jeweiligen Zweck auf Grundlage folgender Vorschriften.

5.1 Vertrag und vorvertragliche Maßnahmen

Art. 6 Abs. 1 Buchstabe b DSGVO dient als Rechtsgrundlage, soweit eine Verarbeitung erforderlich ist zur Anbahnung oder Durchführung eines Vertrags, zur Bereitstellung eines Benutzerkontos, zur Erbringung vertraglicher Leistungen oder zur Bearbeitung vertragsbezogener Anfragen.

5.2 Rechtliche Verpflichtungen

Art. 6 Abs. 1 Buchstabe c DSGVO dient als Rechtsgrundlage, wenn wir personenbezogene Daten zur Erfüllung gesetzlicher Pflichten verarbeiten. Dies betrifft insbesondere steuerrechtliche Aufbewahrungspflichten, handelsrechtliche Dokumentationspflichten, Rechnungslegung, Buchhaltung, behördliche Anfragen und datenschutzrechtliche Nachweispflichten.

5.3 Berechtigte Interessen

Art. 6 Abs. 1 Buchstabe f DSGVO dient als Rechtsgrundlage, wenn die Verarbeitung zur Wahrung unserer berechtigten Interessen oder der berechtigten Interessen eines Dritten erforderlich ist und keine überwiegenden Interessen der betroffenen Person entgegenstehen.

Unsere berechtigten Interessen bestehen insbesondere in einem sicheren und stabilen Betrieb der Plattform, Fehleranalyse, Abwehr von Cyberangriffen, Verhinderung missbräuchlicher Nutzung, Verwaltung geschäftlicher Ansprechpartner, technischer Weiterentwicklung, Kapazitätsplanung, Ermittlung tarifabhängiger Nutzungsmengen, Sicherung vertraglicher Ansprüche und Gewährleistung eines ordnungsgemäßen Geschäftsbetriebs.

5.4 Einwilligung

Art. 6 Abs. 1 Buchstabe a DSGVO dient als Rechtsgrundlage, wenn eine betroffene Person freiwillig in eine bestimmte Verarbeitung eingewilligt hat. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Derzeit verwenden wir keine externen Analyse-, Werbe- oder Trackingdienste, für die eine Einwilligung erforderlich wäre.

5.5 Verarbeitung im Auftrag

Soweit wir Kundendokumente oder sonstige Kundeninhalte als Auftragsverarbeiter verarbeiten, erfolgt dies auf Grundlage des Vertrags mit dem Kunden, des Auftragsverarbeitungsvertrags, dokumentierter Weisungen des Kunden und der vom Kunden festgelegten Rechtsgrundlage.

6. Aufruf der Website und Serverprotokolle

Beim Aufruf unserer Website oder SaaS-Plattform werden technisch erforderliche Verbindungs- und Protokolldaten verarbeitet. Dabei können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse oder Funktion, HTTP-Methode, HTTP-Statuscode, übertragene Datenmenge, Referrer-Adresse, Browsertyp, Browserversion, Betriebssystem, Geräteinformationen, Hostname, Sitzungskennung, Anfragekennung, Fehlermeldungen und sicherheitsrelevante Ereignisse anfallen.

Die Verarbeitung erfolgt, um Website und Plattform auszuliefern, die technische Funktionsfähigkeit sicherzustellen, Fehler zu erkennen und zu beheben, Angriffe und Missbrauch zu erkennen, Sicherheitsvorfälle aufzuklären und eine stabile Verbindung bereitzustellen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO. Protokolldaten werden gelöscht oder anonymisiert, sobald sie für die genannten Zwecke nicht mehr erforderlich sind. Eine längere Speicherung kann erfolgen, wenn konkrete Anhaltspunkte für einen Sicherheitsvorfall vorliegen, die Daten zur Aufklärung einer Störung benötigt werden, Ansprüche geltend gemacht oder abgewehrt werden müssen oder eine gesetzliche Aufbewahrungspflicht besteht.

7. Technisch erforderliche Cookies und lokale Speicherung

Unsere Website und Plattform verwenden ausschließlich technisch erforderliche Cookies und vergleichbare Speichertechnologien. Dabei kann es sich insbesondere um Sitzungs-Cookies, Authentifizierungs-Cookies, Sicherheits-Cookies, CSRF-Schutzinformationen, Spracheinstellungen, Informationen zum Anmeldestatus, Mehr-Faktor-Authentifizierungsinformationen und technisch notwendige lokale Einstellungen handeln.

Diese Technologien sind erforderlich, um Benutzer sicher anzumelden, Sitzungen aufrechtzuerhalten, Angriffe und unberechtigte Zugriffe zu verhindern, Berechtigungen umzusetzen und ausdrücklich gewünschte Plattformfunktionen bereitzustellen.

Der Zugriff auf das Endgerät erfolgt auf Grundlage von § 25 Abs. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten erfolgt je nach Zweck auf Grundlage von Art. 6 Abs. 1 Buchstaben b, c oder f DSGVO.

Wir verwenden keine Cookies oder vergleichbaren Technologien für personalisierte Werbung, Werbeprofile, geräteübergreifendes Tracking, Social-Media-Tracking, externe Reichweitenmessung oder die Weitergabe des Surfverhaltens an Werbenetzwerke.

8. Keine externen Analyse- und Trackingdienste

Wir verwenden insbesondere keine externen Dienste wie Google Analytics, Google Ads, Meta Pixel, LinkedIn Insight Tag, Hotjar, Microsoft Clarity, externe Trackingpixel, externe Werbenetzwerke oder vergleichbare Profilingdienste. Es findet keine Weitergabe des Nutzungsverhaltens an externe Analyse- oder Werbeanbieter statt.

Unsere technische Nutzungsanalyse erfolgt ausschließlich innerhalb unserer eigenen Plattform und unserer betriebenen Infrastruktur.

9. Interne technische Nutzungs- und Fehleranalyse

Zur Sicherstellung eines stabilen, sicheren und wirtschaftlichen Betriebs erfassen wir technische Nutzungs- und Betriebsdaten. Dabei können insbesondere Kundenkennung, Benutzerkennung, Zeitpunkt und Dauer der Nutzung, aufgerufene Funktionen, Anzahl hochgeladener und verarbeiteter Dokumente, Dateigrößen, Speichernutzung, API-Aufrufe, Verarbeitungsdauer, Warteschlangenstatus, Fehlercodes, technische Statusmeldungen, Systemauslastung, Antwortzeiten, Versionsstände und sicherheitsrelevante Ereignisse verarbeitet werden.

Die Auswertung dient ausschließlich technischer Problemanalyse, Fehlerbehebung, Überwachung der Systemstabilität, Feststellung und Abrechnung von Nutzungsmengen, tarifabhängiger Steuerung von Kontingenten, Kapazitätsplanung, Skalierung, technischer Weiterentwicklung, Erkennung missbräuchlicher Nutzung und IT-Sicherheit.

Die Daten werden nicht verwendet für Werbeprofile, personenbezogene Leistungsbewertungen, Bonitätsbewertungen, den Verkauf von Nutzungsdaten, eine Weitergabe an Werbenetzwerke oder die Verfolgung von Nutzern außerhalb unserer Plattform.

Rechtsgrundlagen sind Art. 6 Abs. 1 Buchstabe b DSGVO, soweit die Verarbeitung zur Erbringung und Abrechnung des gebuchten Dienstes erforderlich ist, und Art. 6 Abs. 1 Buchstabe f DSGVO für Fehleranalyse, Sicherheit, Kapazitätsplanung und technische Weiterentwicklung.

10. Kontaktaufnahme

Bei einer Kontaktaufnahme per E-Mail, Telefon, Kontaktformular oder über andere Kommunikationswege verarbeiten wir die übermittelten Informationen. Hierzu können Vor- und Nachname, Unternehmen, Position oder Abteilung, geschäftliche Anschrift, E-Mail-Adresse, Telefonnummer, Inhalt der Anfrage, übermittelte Dateien, Kommunikationsverlauf, Datum und Uhrzeit sowie technische Metadaten gehören.

Die Verarbeitung erfolgt, um die Anfrage zu bearbeiten, Rückfragen zu beantworten, Informationen zu FlowEngine bereitzustellen, eine Produktdemonstration zu vereinbaren, ein Angebot zu erstellen, einen Vertrag vorzubereiten oder eine bestehende Kundenbeziehung zu betreuen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO bei vertragsbezogenen Anfragen, Art. 6 Abs. 1 Buchstabe f DSGVO bei geschäftlichen Ansprechpartnern oder Art. 6 Abs. 1 Buchstabe c DSGVO, soweit gesetzliche Pflichten bestehen.

11. Produktdemonstrationen und Testzugänge

Bei einer Produktdemonstration oder einem Testzugang können wir insbesondere Name, Unternehmen, geschäftliche Kontaktdaten, Position oder Funktion, Angaben zum beabsichtigten Einsatz, gewünschte Termine, technische Anforderungen, Kommunikationsverlauf, Benutzerkonto- und Zugangsdaten sowie technische Nutzungs- und Sicherheitsdaten verarbeiten.

Die Verarbeitung erfolgt zur Terminvereinbarung, Durchführung einer Demonstration, Bereitstellung eines Testzugangs, Vorbereitung eines Angebots, Beratung und Verhinderung eines Missbrauchs von Testkonten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b oder f DSGVO.

Testdaten werden nach Beendigung des Testzeitraums gelöscht, soweit kein Vertrag zustande kommt und keine gesetzlichen oder sicherheitsbezogenen Gründe für eine weitere Speicherung bestehen. In Testkonten sollen keine echten personenbezogenen Daten oder vertraulichen Originaldokumente verwendet werden, sofern dies nicht ausdrücklich vereinbart wurde.

12. Registrierung und Benutzerkonten

Zur Einrichtung und Verwaltung eines Benutzerkontos können wir insbesondere Vor- und Nachname, Unternehmen, Abteilung oder Funktion, geschäftliche E-Mail-Adresse, Telefonnummer, Kundenkennung, Benutzerkennung, Rolle und Berechtigungen, Passwort-Hash, Mehr-Faktor-Authentifizierungsdaten, Einladungsstatus, Aktivierungsstatus, Zeitpunkte von Registrierung und Anmeldung, fehlgeschlagene Anmeldeversuche, IP-Adresse, Geräteinformationen, Sitzungsdaten und sicherheitsrelevante Ereignisse verarbeiten.

Passwörter werden nicht im Klartext gespeichert.

Die Verarbeitung erfolgt, um das Benutzerkonto einzurichten, Nutzer zu authentifizieren, Berechtigungen zu verwalten, die Plattform bereitzustellen, Zugriffe Benutzern zuzuordnen, Kontowiederherstellungen zu ermöglichen, unberechtigte Zugriffe zu verhindern und sicherheitsrelevante Vorgänge nachzuvollziehen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO, soweit die betroffene Person selbst Vertragspartei ist, oder Art. 6 Abs. 1 Buchstabe f DSGVO bei Beschäftigten und sonstigen Nutzern eines Unternehmenskunden.

13. Vertrags- und Kundenverwaltung

Im Rahmen der Vertragsanbahnung und Vertragsdurchführung können wir insbesondere Unternehmensname, Rechtsform, Geschäftsanschrift, Umsatzsteuer-Identifikationsnummer, Namen und Kontaktdaten von Ansprechpartnern, Funktion und Vertretungsberechtigung, Vertrags- und Tarifdaten, gebuchte Leistungen, Laufzeit, Kündigungsdaten, Rechnungsanschrift, Rechnungsdaten, Zahlungsstatus, Kommunikationshistorie und Supporthistorie verarbeiten.

Die Verarbeitung dient Angebotserstellung, Vertragsschluss, Freischaltung von Leistungen, Vertragsverwaltung, Rechnungsstellung, Zahlungsüberwachung, Tarifänderungen, Kündigungen, Durchsetzung vertraglicher Ansprüche und Erfüllung gesetzlicher Pflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchstaben b, c und f DSGVO.

14. Nutzung der SaaS-Plattform

Bei der Nutzung der Plattform verarbeiten wir neben den vom Kunden bereitgestellten Inhalten technische Nutzungs- und Metadaten. Hierzu können Kunden- und Mandantenkennung, Benutzerkennung, Zeitpunkt einer Aktion, aufgerufene Funktion, Dokumenten- oder Vorgangskennung, Bearbeitungsstatus, Freigabestatus, Rollen- und Berechtigungsänderungen, Anzahl verarbeiteter Dokumente, API-Aufrufe, Speicherverbrauch, technische Fehler, Audit-Informationen, IP-Adresse, Browserinformationen, Sitzungsdaten und Sicherheitsereignisse gehören.

Die Verarbeitung erfolgt zur Bereitstellung der Plattform, Umsetzung der Mandantentrennung, Verwaltung von Rollen und Berechtigungen, Nachvollziehbarkeit von Bearbeitungsvorgängen, Ermittlung von Nutzungsmengen, Abrechnung tarifabhängiger Leistungen, Fehlerbehebung, Supportbearbeitung, Missbrauchsverhinderung und Gewährleistung der IT-Sicherheit. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchstaben b und f DSGVO.

15. Verarbeitung geschäftlicher Dokumente

Die Plattform ermöglicht insbesondere das Hochladen, Empfangen, Speichern, Auslesen, Klassifizieren, Strukturieren, Zuordnen, Vergleichen, Zusammenfassen, Anzeigen, Exportieren und automatische Löschen geschäftlicher Dokumente.

Verarbeitet werden können insbesondere Anfragen, Angebote, Auftragsbestätigungen, Bestellungen, Lieferscheine, Rechnungen, Gutschriften, Mahnungen, Vertragsunterlagen, Preislisten, geschäftliche E-Mails und Dateianhänge.

Je nach Dokumentinhalt können insbesondere Namen, geschäftliche Anschriften, E-Mail-Adressen, Telefonnummern, Positionen und Abteilungen, Unterschriften, Kunden- und Lieferantennummern, Bestell- und Rechnungsdaten, Artikel- und Leistungsinformationen, Lieferinformationen, Bankverbindungen, Zahlungsbedingungen, Kommunikationsinhalte, Vertragsangaben und Dokumentenmetadaten verarbeitet werden.

Betroffen sein können insbesondere Beschäftigte des Kunden, Beschäftigte von Lieferanten, Ansprechpartner von Geschäftskunden, Dienstleister, freie Mitarbeiter, Handelsvertreter, Rechnungsempfänger, Lieferempfänger und sonstige in Dokumenten genannte Personen.

Bei der Verarbeitung dieser Dokumente handeln wir grundsätzlich als Auftragsverarbeiter des jeweiligen Kunden.

16. Automatische Löschung nach 30 Tagen

Soweit keine abweichende individuelle Vereinbarung mit dem Kunden besteht, werden über die Plattform bereitgestellte Dokumente automatisch nach 30 Tagen gelöscht. Die Frist beginnt grundsätzlich mit dem Eingang beziehungsweise Upload des jeweiligen Dokuments in die Plattform.

Die automatische Löschung umfasst grundsätzlich hochgeladene Originaldateien, per E-Mail empfangene Dokumentdateien, erzeugte Vorschaudateien, temporäre Verarbeitungskopien, OCR- und Texterkennungsergebnisse, aus dem Dokument extrahierte Inhalte, Dokumentklassifizierungen, Dokumentzuordnungen und dokumentenbezogene KI-Verarbeitungsergebnisse, soweit diese Daten nicht aus technischen oder vertraglichen Gründen getrennt und für einen anderen zulässigen Zeitraum gespeichert werden müssen.

Die Plattform ist ohne ausdrückliche Vereinbarung kein revisionssicheres Archivierungs- oder Dokumentenmanagementsystem. Der Kunde ist selbst dafür verantwortlich, Dokumente, die gesetzlichen oder geschäftlichen Aufbewahrungspflichten unterliegen, rechtzeitig in einem hierfür geeigneten System zu speichern oder zu exportieren.

16.1 Sicherungskopien

Soweit gelöschte Daten noch vorübergehend in verschlüsselten Sicherungskopien enthalten sind, werden sie innerhalb des regulären Sicherungs- und Überschreibungszyklus entfernt. Daten in Sicherungskopien werden nicht mehr im Produktivsystem angezeigt, grundsätzlich nicht für andere Zwecke verarbeitet und nur im Rahmen einer erforderlichen Systemwiederherstellung verwendet.

16.2 Gesetzliche Ausnahmen

Eine längere Speicherung kann ausnahmsweise erfolgen, wenn eine gesetzliche Aufbewahrungspflicht besteht, die Speicherung zur Geltendmachung oder Abwehr von Ansprüchen erforderlich ist, ein Sicherheitsvorfall untersucht werden muss, eine behördliche oder gerichtliche Anordnung vorliegt oder der Kunde eine abweichende Weisung im Rahmen einer individuellen Vereinbarung erteilt hat.

17. Besondere Kategorien personenbezogener Daten

Die Plattform ist grundsätzlich nicht für die gezielte Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO vorgesehen. Hierzu gehören insbesondere Daten über Gesundheit, genetische Merkmale, biometrische Merkmale zur Identifizierung, ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, Sexualleben und sexuelle Orientierung.

Auch strafrechtliche Daten im Sinne des Art. 10 DSGVO sollen nicht ohne ausdrückliche Vereinbarung verarbeitet werden. Soll die Plattform solche Daten verarbeiten, muss dies vorab ausdrücklich vereinbart und datenschutzrechtlich geprüft werden.

18. KI-gestützte Dokumentenverarbeitung

Für einzelne Funktionen setzen wir künstliche Intelligenz, Sprachmodelle, Texterkennung und automatisierte Analyseverfahren ein. Diese Funktionen können insbesondere der Erkennung von Dokumentinhalten, Extraktion von Feldern, Klassifizierung von Dokumentarten, Zuordnung zu Geschäftsvorgängen, Erkennung möglicher Abweichungen, Strukturierung unstrukturierter Texte, Zusammenfassung von Inhalten und Erstellung von Formulierungsvorschlägen dienen.

Abhängig von der jeweiligen Funktion können insbesondere vollständige Dokumente, einzelne Dokumentseiten, extrahierte Textabschnitte, Tabellen, Dokumentenmetadaten, technische Arbeitsanweisungen, Prompts, kundenspezifische Konfigurationen und erforderliche Kontextinformationen übermittelt werden. Die Übermittlung wird auf die für die jeweilige Funktion erforderlichen Daten beschränkt.

Für KI-gestützte Funktionen können je nach Konfiguration API-Dienste von OpenAI Ireland Limited verwendet werden.

OpenAI Ireland Limited

1st Floor

The Liffey Trust Centre

117-126 Sheriff Street Upper

Dublin 1, D01 YC43

Irland

Kundendokumente und über die API übermittelte Ein- und Ausgaben werden von uns nicht zum allgemeinen Training eigener KI-Modelle verwendet. Wir aktivieren keine freiwillige Freigabe, durch die Kundendokumente für das allgemeine Training oder die allgemeine Verbesserung von KI-Modellen bereitgestellt werden. OpenAI verwendet Daten aus Business- und API-Angeboten nach den für diese Angebote geltenden Bedingungen standardmäßig nicht zum Training seiner Modelle.

OpenAI kann API-Eingaben, API-Ausgaben und zugehörige Sicherheitsprotokolle abhängig vom verwendeten Endpunkt und der Kontokonfiguration grundsätzlich für bis zu 30 Tage speichern, insbesondere zur Missbrauchserkennung und Systemsicherheit. Soweit für unser Konto Zero Data Retention oder eine vergleichbare Konfiguration aktiviert ist, erfolgt die Verarbeitung nach Maßgabe dieser abweichenden Einstellung.

KI-Ausgaben dienen ausschließlich als technische Arbeitshilfe. Sie führen nicht automatisch zu Bestellungen, Zahlungen, Vertragsschlüssen, Rechnungsfreigaben, Kündigungen, Mahnungen, verbindlichen Freigaben oder sonstigen rechtlich oder wirtschaftlich erheblichen Entscheidungen. Relevante Ergebnisse müssen vor ihrer Verwendung durch einen hierzu befugten Menschen geprüft werden.

19. Hosting und Datenspeicherung bei Hetzner

Unsere Website, SaaS-Plattform, Datenbanken und Datenspeicher können auf Infrastruktur der Hetzner Online GmbH betrieben werden.

Hetzner Online GmbH

Industriestraße 25

91710 Gunzenhausen

Deutschland

Wir verwenden insbesondere virtuelle oder dedizierte Server, Netzwerk- und Rechenzentrumsleistungen, Datenbankinfrastruktur, Hetzner-Speicherdienste beziehungsweise Data Storage, Sicherungsspeicher und technische Infrastrukturleistungen. Über Hetzner können insbesondere Website- und Plattformdaten, Serverprotokolle, Benutzerkontodaten, Vertrags- und Kundendaten, technische Nutzungsdaten, Datenbanken, hochgeladene Dokumente, Verarbeitungsergebnisse, Sicherungskopien und sicherheitsrelevante Informationen verarbeitet werden.

Hetzner verarbeitet personenbezogene Daten im Rahmen eines Auftragsverarbeitungsvertrags. Rechtsgrundlagen für die von uns verantwortete Verarbeitung sind Art. 6 Abs. 1 Buchstaben b und f DSGVO. Die konkrete für unsere Systeme verwendete Rechenzentrumsregion lautet: Deutschland.

Es wird kein Supabase-Dienst eingesetzt. Eine Übermittlung von Plattform- oder Kundendaten an Supabase findet nicht statt.

20. Zahlungsabwicklung mit Stripe

Zur Abwicklung von Zahlungen können wir Stripe verwenden.

Für Kunden im Europäischen Wirtschaftsraum können insbesondere folgende Stripe-Gesellschaften beteiligt sein:

Stripe Payments Europe, Limited

One Wilton Park

Wilton Place

Dublin 2, D02 FX04

Irland

sowie, abhängig von der konkreten Zahlungsleistung:

Stripe Technology Company Limited

One Wilton Park

Wilton Place

Dublin 2, D02 FX04

Irland

Bei einer Zahlung können insbesondere Name, Unternehmen, Rechnungsanschrift, E-Mail-Adresse, Zahlungsbetrag, Währung, Kunden- und Rechnungsnummer, gewählte Zahlungsart, Transaktionskennung, Zahlungsstatus, Zeitpunkt der Zahlung, IP-Adresse, Geräte- und Browserinformationen, Betrugs- und Risikoinformationen und steuerlich erforderliche Angaben verarbeitet werden.

Vollständige Karten- oder Kontodaten werden grundsätzlich unmittelbar durch Stripe verarbeitet, soweit die verwendete Integration dies vorsieht. Wir erhalten regelmäßig nur eingeschränkte Informationen wie Zahlungsstatus, Zahlungsart, letzte Ziffern des Zahlungsmittels, Ablaufdatum, Transaktionskennung und Informationen über fehlgeschlagene Zahlungen.

Rechtsgrundlagen sind Art. 6 Abs. 1 Buchstaben b, c und f DSGVO. Stripe kann abhängig von der konkreten Verarbeitung sowohl als Auftragsverarbeiter als auch als eigenständig oder gemeinsam Verantwortlicher handeln und Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten.

21. Versand transaktionaler E-Mails

Wir versenden insbesondere Registrierungsbestätigungen, Einladungen zu Benutzerkonten, E-Mail-Verifizierungen, Passwort-Zurücksetzungen, Sicherheitswarnungen, technische Systemmeldungen, Dokumenten- und Prozessbenachrichtigungen, Supportantworten, Rechnungen und vertragsbezogene Mitteilungen.

Dabei können insbesondere Name, E-Mail-Adresse, Unternehmen, Benutzer- oder Kundenkennung, Nachrichteninhalt, Versandzeitpunkt, Zustellstatus, Fehlermeldungen, technische Headerdaten und IP-Adresse verarbeitet werden. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchstaben b, c und f DSGVO.

Wir verwenden keine versteckten Trackingpixel zur personenbezogenen Messung von Öffnungen oder Klicks in transaktionalen E-Mails. Der Versand transaktionaler E-Mails erfolgt über die jeweils produktiv konfigurierte SMTP-Infrastruktur. Ein konkreter externer E-Mail-Dienstleister wird in dieser Datenschutzerklärung nicht genannt, solange kein solcher Anbieter verbindlich eingesetzt und dokumentiert ist.

22. Kein Newsletter und keine werbliche Profilbildung

Soweit nicht ausdrücklich anders angegeben, versenden wir keinen allgemeinen Newsletter und erstellen keine personenbezogenen Werbeprofile. Vertragsbezogene, technische und sicherheitsrelevante E-Mails sind keine Werbenachrichten.

23. Kundensupport

Bei Supportanfragen können wir insbesondere Name, Unternehmen, geschäftliche Kontaktdaten, Kunden- und Benutzerkennung, Tarifinformationen, Inhalt der Anfrage, Kommunikationsverlauf, Bildschirmaufnahmen, Fehlermeldungen, Protokolldaten, Dokumenten- oder Vorgangskennungen und bereitgestellte Dateien verarbeiten.

Die Verarbeitung erfolgt, um die Anfrage zu beantworten, technische Störungen zu analysieren, Fehler zu beheben, Sicherheitsprobleme zu untersuchen und vertragliche Supportleistungen zu erbringen. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchstaben b und f DSGVO.

24. Empfänger personenbezogener Daten

Personenbezogene Daten werden nur offengelegt, wenn dies zur Vertragsdurchführung erforderlich ist, eine gesetzliche Verpflichtung besteht, eine Einwilligung vorliegt, ein berechtigtes Interesse die Offenlegung rechtfertigt oder ein Auftragsverarbeiter auf geeigneter vertraglicher Grundlage eingesetzt wird.

Empfänger beziehungsweise Empfängerkategorien können insbesondere sein:

  • Hetzner Online GmbH für Hosting und Datenspeicherung,
  • OpenAI Ireland Limited für KI-gestützte Verarbeitung,
  • Stripe-Gesellschaften für Zahlungsabwicklung,
  • produktiv konfigurierte SMTP- oder E-Mail-Infrastrukturdienstleister für transaktionale E-Mails,
  • Steuerberater,
  • Rechtsberater,
  • Wirtschaftsprüfer,
  • Versicherungen,
  • Banken,
  • Zahlungsinstitute,
  • Behörden und Gerichte.

Andere Analyse-, Werbe- oder Trackinganbieter erhalten keine Nutzungsdaten.

25. Unterauftragsverarbeiter

Soweit wir als Auftragsverarbeiter tätig werden, können wir weitere Auftragsverarbeiter einsetzen. Hierzu gehören nach derzeitiger Konfiguration insbesondere:

  1. Hetzner Online GmbH - Hosting, Server, Speicher und Datensicherung,
  2. OpenAI Ireland Limited - KI-gestützte Dokumentenverarbeitung, soweit OpenAI für den jeweiligen Kunden oder Vorgang aktiviert ist,
  3. produktive SMTP- oder E-Mail-Infrastrukturdienstleister - transaktionaler E-Mail-Versand, soweit ein externer Anbieter eingesetzt wird,
  4. Stripe Payments Europe, Limited - soweit Stripe im konkreten Verarbeitungsvorgang als Auftragsverarbeiter tätig wird.

Eine aktuelle Liste der Unterauftragsverarbeiter kann über den Datenschutzkontakt angefordert werden: p.kleinehanding@km-digitalwerk.de

Neue oder ausgetauschte Unterauftragsverarbeiter werden entsprechend dem mit dem Kunden geschlossenen Auftragsverarbeitungsvertrag angekündigt.

26. Drittlandübermittlungen

Durch die Nutzung von OpenAI, Stripe und einem gegebenenfalls eingesetzten E-Mail-Versanddienst kann eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums nicht vollständig ausgeschlossen werden.

Eine Drittlandübermittlung erfolgt nur, wenn die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Als Übermittlungsgrundlage können insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission, die EU-Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften oder eine gesetzlich vorgesehene Ausnahme dienen.

Informationen über die konkret verwendeten Garantien können unter p.kleinehanding@km-digitalwerk.de angefordert werden.

27. Daten, die wir nicht unmittelbar bei der betroffenen Person erhalten

Bei geschäftlichen Kontakten können wir personenbezogene Daten auch von Arbeitgebern oder Auftraggebern der betroffenen Person, unseren Kunden, Geschäftspartnern, öffentlich zugänglichen Unternehmenswebseiten, geschäftlichen Verzeichnissen, E-Mail-Signaturen, Vertragsunterlagen oder verarbeiteten Geschäftsdokumenten erhalten.

Dabei kann es sich insbesondere um Name, Unternehmen, Position, geschäftliche Anschrift, geschäftliche E-Mail-Adresse, geschäftliche Telefonnummer und Informationen über die geschäftliche Zuständigkeit handeln. Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 Buchstabe f DSGVO.

Soweit wir die Daten lediglich im Auftrag eines Kunden verarbeiten, ist der betreffende Kunde für die Erfüllung der Informationspflichten verantwortlich.

28. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist. Bei der Festlegung der Speicherdauer berücksichtigen wir insbesondere den Verarbeitungszweck, die Vertragslaufzeit, die automatische 30-Tage-Löschung für Dokumente, individuelle Kundenvereinbarungen, gesetzliche Aufbewahrungspflichten, Verjährungsfristen, offene Rechtsstreitigkeiten, Sicherheitsanforderungen, Beweissicherung und technische Sicherungszyklen.

Es gelten insbesondere folgende Grundsätze:

  • Kundendokumente werden grundsätzlich automatisch nach 30 Tagen gelöscht.
  • Benutzerkontodaten werden für die Dauer der Berechtigung und des Vertrags gespeichert.
  • Vertrags- und Rechnungsdaten werden entsprechend gesetzlicher Pflichten aufbewahrt.
  • Technische Nutzungsdaten werden gelöscht oder anonymisiert, sobald sie nicht mehr für Abrechnung, Technik oder Sicherheit benötigt werden.
  • Supportdaten werden nach Abschluss des Supportfalls gelöscht, sofern keine weitere Erforderlichkeit besteht.
  • Sicherheitsdaten können bis zur abschließenden Klärung eines Vorfalls gespeichert werden.
  • Daten in Sicherungskopien werden innerhalb des regulären Überschreibungszyklus entfernt.

29. Pflicht zur Bereitstellung

Bestimmte personenbezogene Daten sind erforderlich, um eine Anfrage zu bearbeiten, einen Vertrag vorzubereiten oder abzuschließen, ein Benutzerkonto einzurichten, Nutzer zu authentifizieren, die Plattform bereitzustellen, Zahlungen abzuwickeln oder gesetzliche Pflichten zu erfüllen.

Ohne diese Daten können wir die betreffende Leistung möglicherweise nicht oder nicht vollständig erbringen. Freiwillige Angaben sind als solche zu behandeln.

30. Automatisierte Entscheidungen und Profiling

Wir führen grundsätzlich keine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO durch, die gegenüber einer Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Technische Sicherheitsmechanismen können automatisiert ungewöhnliche Anmeldeversuche erkennen, Zugriffe vorübergehend blockieren, zusätzliche Authentifizierung verlangen, schädliche Dateien zurückweisen oder ungewöhnliche Nutzungsmuster kennzeichnen. Solche Maßnahmen dienen der Systemsicherheit und werden bei erheblichen Auswirkungen auf Anfrage menschlich überprüft.

Wir verwenden Plattformdaten nicht zur automatisierten Bewertung von beruflicher Leistung, Kreditwürdigkeit, Zuverlässigkeit, Persönlichkeit, Gesundheit oder sonstigen persönlichen Eigenschaften.

31. Rechte betroffener Personen

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch, Widerruf einer Einwilligung und Beschwerde bei einer Datenschutzaufsichtsbehörde.

Ein Löschungsanspruch besteht insbesondere nicht, soweit die Verarbeitung weiterhin zur Erfüllung einer gesetzlichen Verpflichtung, zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche oder aus einem anderen gesetzlich vorgesehenen Grund erforderlich ist.

Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchstabe f DSGVO kann aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, Widerspruch eingelegt werden. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

32. Ausübung von Betroffenenrechten

Anfragen zur Ausübung datenschutzrechtlicher Rechte können gerichtet werden an:

KM-Digitalwerk Gbr

Brookstr. 4

33449 Langenberg

E-Mail: p.kleinehanding@km-digitalwerk.de

Zum Schutz vor einer unberechtigten Herausgabe können wir einen angemessenen Identitätsnachweis verlangen. Wir beantworten Anfragen innerhalb der gesetzlichen Fristen. Bezieht sich eine Anfrage auf Daten, die wir ausschließlich im Auftrag eines Kunden verarbeiten, leiten wir die Anfrage grundsätzlich an den betreffenden Kunden weiter.

33. Beschwerderecht bei der Aufsichtsbehörde

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für ein in Nordrhein-Westfalen ansässiges Unternehmen ist regelmäßig folgende Aufsichtsbehörde zuständig:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

Kavalleriestraße 2-4

40213 Düsseldorf

Deutschland

Postanschrift:

Postfach 20 04 44

40102 Düsseldorf

Telefon: 0211 38424-0

E-Mail: poststelle@ldi.nrw.de

Betroffene Personen können sich auch an die Aufsichtsbehörde ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des vermuteten Datenschutzverstoßes wenden.

34. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten insbesondere vor Verlust, Zerstörung, Veränderung, unbefugter Offenlegung, unberechtigtem Zugriff und sonstiger unzulässiger Verarbeitung zu schützen.

Die Maßnahmen können insbesondere verschlüsselte Datenübertragung, Verschlüsselung gespeicherter Daten soweit technisch umgesetzt, rollenbasierte Berechtigungskonzepte, Mandantentrennung, Mehr-Faktor-Authentifizierung, sichere Passwortspeicherung, Zugriffsbeschränkungen, Protokollierung sicherheitsrelevanter Ereignisse, regelmäßige Sicherheitsaktualisierungen, Viren- und Schadsoftwareprüfungen, Datensicherungen, Wiederherstellungsverfahren, Schulung und Verpflichtung von Mitarbeitern sowie Verfahren zur Behandlung von Sicherheitsvorfällen umfassen.

Es dürfen nur solche Sicherheitsmaßnahmen als umgesetzt dargestellt werden, die technisch tatsächlich vorhanden und dokumentiert sind.

35. Meldung von Sicherheitsvorfällen

Hinweise auf unberechtigte Kontozugriffe, verlorene Zugangsdaten, falsch zugeordnete Dokumente, unberechtigte Datenoffenlegungen, technische Schwachstellen oder sonstige Sicherheitsvorfälle sollen unverzüglich gemeldet werden an:

h.mater@km-digitalwerk.de

Die Meldung sollte nach Möglichkeit eine Beschreibung des Vorfalls, Zeitpunkt, betroffenes Konto, betroffene Daten, bereits ergriffene Maßnahmen und Kontaktdaten für Rückfragen enthalten.

36. Keine Veräußerung personenbezogener Daten

Wir verkaufen personenbezogene Daten nicht. Wir überlassen personenbezogene Daten nicht gegen Entgelt an Dritte zur eigenständigen werblichen Nutzung. Die Einbindung von Hosting-, KI-, Zahlungs- und E-Mail-Dienstleistern zur Erbringung unserer eigenen Leistungen stellt keinen Verkauf personenbezogener Daten dar.

37. Daten von Minderjährigen

Unsere Website und Plattform richten sich ausschließlich an Unternehmen und beruflich handelnde Personen. Die Leistungen sind nicht für Kinder oder Jugendliche bestimmt. Wir erheben nicht wissentlich personenbezogene Daten von Minderjährigen zur Einrichtung von Kunden- oder Benutzerkonten.

Dies schließt nicht aus, dass ein von einem Kunden bereitgestelltes Geschäftsdokument im Einzelfall Angaben zu Minderjährigen enthält. Für die Zulässigkeit einer solchen Verarbeitung ist grundsätzlich der jeweilige Kunde verantwortlich.

38. Unternehmensumstrukturierungen

Im Rahmen einer Umwandlung, Verschmelzung, Finanzierung, Veräußerung eines Unternehmens oder Unternehmensteils, Rechtsnachfolge oder vergleichbaren Unternehmenstransaktion können personenbezogene Daten an beteiligte Berater, Interessenten oder Erwerber übermittelt werden, soweit dies rechtlich zulässig und erforderlich ist.

Dabei werden der Umfang der Offenlegung beschränkt, Vertraulichkeitsverpflichtungen vereinbart und die berechtigten Interessen der betroffenen Personen berücksichtigt. Rechtsgrundlage kann Art. 6 Abs. 1 Buchstabe f DSGVO sein.

39. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Datenverarbeitungen ändern, neue Funktionen eingeführt werden, andere Dienstleister eingesetzt werden, Speicherfristen geändert werden, gesetzliche Vorgaben geändert werden oder eine Anpassung aufgrund behördlicher oder gerichtlicher Entscheidungen erforderlich ist.

Die jeweils aktuelle Fassung wird auf unserer Website veröffentlicht. Bei wesentlichen Änderungen, die registrierte Nutzer oder Kunden betreffen, informieren wir zusätzlich in angemessener Weise, beispielsweise per E-Mail, über das Kundenkonto oder durch einen deutlichen Hinweis innerhalb der Plattform.

Eine Änderung dieser Datenschutzerklärung ersetzt keine erforderliche Einwilligung und keine erforderliche Änderung des Auftragsverarbeitungsvertrags.

40. Datenschutzkontakt

Für Fragen zur Verarbeitung personenbezogener Daten und zur Ausübung datenschutzrechtlicher Rechte stehen wir unter folgender Adresse zur Verfügung:

KM-Digitalwerk Gbr

Brookstr. 4

33449 Langenberg

Deutschland

E-Mail: p.kleinehanding@km-digitalwerk.de

Telefon: 0157 33666382

Sicherheitsmeldungen: h.mater@km-digitalwerk.de

Supportanfragen: p.kleinehanding@km-digitalwerk.de