Diese Erklärung informiert darüber, welche personenbezogenen Daten Zahlfluss verarbeitet, zu welchen Zwecken und welche Rechte dir zustehen.
Strate Business Service UG (Haftungsbeschränkt)
Michael Strate
Hans-Böckler-Str.21
40764 Langenfeld
Telefon: +49 2173 937 721 0
E-Mail: info@zahlfluss.de
Zahlfluss ist eine Web-Anwendung für Unternehmen, die Belegdaten aus dem Lexware-Office-Konto des Nutzers abruft, daraus Steuer- und Liquiditätsprognosen erstellt und auf Wunsch Zahlungserinnerungen und Mahnungen versendet. Das Angebot richtet sich ausschließlich an Unternehmer (B2B).
Die Anwendung läuft auf Servern der STRATO GmbH (Otto-Ostrowski-Straße 7, 10249 Berlin) in einem Rechenzentrum in Deutschland. Beim Aufruf der Seiten verarbeitet der Server technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent) in Server-Logdateien. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO); die Server-Logdateien werden täglich rotiert und spätestens nach 14 Tagen automatisch gelöscht.
Zahlfluss verwendet ausschließlich ein technisch notwendiges Session-Cookie für
den Login (Art. 6 Abs. 1 lit. b und f DSGVO; § 25 Abs. 2 TDDDG). Es kommen keine
Tracking-, Analyse- oder Marketing-Cookies und keine Dienste von Drittanbietern
(Webfonts, CDNs, Analytics) zum Einsatz. Das Ausblenden des Cookie-Hinweises
wird lokal in Ihrem Browser gespeichert (localStorage, Eintrag
zf_cookie_ok); dabei werden keine Daten an den Anbieter
übertragen.
Bei der Registrierung und Nutzung verarbeiten wir: Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Firmendaten (Firmenname, Anschrift, Rechtsform), Abo- und Zahlungsstatus sowie — bei aktivem Abo — Rechnungsdaten zur monatlichen Abrechnung. Zweck ist die Bereitstellung des Dienstes und die Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO); für Rechnungen gelten die gesetzlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO).
Der Nutzer hinterlegt einen API-Schlüssel seines Lexware-Office-Kontos. Damit ruft Zahlfluss in seinem Auftrag Belegdaten (Rechnungen, Gutschriften, Kontakte, Zahlungsstatus) von der Lexware-Office-API (Haufe-Lexware GmbH & Co. KG, Freiburg) ab. Diese Belegdaten können personenbezogene Daten der Kunden und Lieferanten des Nutzers enthalten (Namen, Anschriften, Rechnungsbeträge). Insoweit verarbeiten wir diese Daten als Auftragsverarbeiter des Nutzers auf Grundlage des bei der Registrierung geschlossenen Auftragsverarbeitungsvertrags (Art. 28 DSGVO). API-Schlüssel und Belegdaten werden auf dem Server verschlüsselt gespeichert (libsodium); die Übertragung erfolgt ausschließlich TLS-verschlüsselt.
Aktiviert der Nutzer das Mahnwesen, versendet Zahlfluss in seinem Namen und Auftrag Zahlungserinnerungen und Mahnungen per E-Mail an dessen Kunden — wahlweise über den vom Nutzer hinterlegten eigenen SMTP-Zugang (das SMTP-Passwort wird verschlüsselt gespeichert) oder über unseren Standardversand. Verantwortlicher für Inhalt und Empfängerauswahl dieser Mahnungen ist der Nutzer; wir werden insoweit als Auftragsverarbeiter tätig. System-E-Mails an den Nutzer selbst (Registrierung, Erinnerungen, Warnungen) versenden wir zur Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO).
Bei Support-Anfragen über das Ticket-System verarbeiten wir die Angaben aus der Anfrage, um sie zu beantworten (Art. 6 Abs. 1 lit. b DSGVO). Bitte keine Beleg- oder Finanzdaten in Tickets einfügen.
Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt. Daten werden nicht zu Werbezwecken weitergegeben oder verkauft.
Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um deine Daten zu schützen: Alle Verbindungen zur Anwendung und zur Lexware-Office-API sind TLS-verschlüsselt; API-Schlüssel, Belegdaten und hinterlegte SMTP-Zugangsdaten werden serverseitig verschlüsselt gespeichert (libsodium), Passwörter nur als Hash. Für den Login steht eine optionale Zwei-Faktor-Authentifizierung (TOTP) mit serverseitiger Brute-Force-Sperre bereit; Mandantendaten sind getrennt und der Zugriff ist rollenbasiert beschränkt.
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Soweit eine Verarbeitung ausnahmsweise auf deiner Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Wende dich dazu an die oben genannte Kontaktadresse. Außerdem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, z. B. der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Prognosen und Mahnvorschläge sind Auswertungen der eigenen Belegdaten des Nutzers und entfalten keine rechtliche Wirkung gegenüber Dritten ohne dessen Zutun.