Datenschutzerklärung

Stand: 11. Mai 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website (docflow-business.de) und innerhalb der Anwendung „DocFlow“ (docflow-personal.de) im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

ibx company
Michel Winkler
Laher Kirchweg 24
30659 Hannover
Deutschland
E-Mail: [apbct_skip_encoding]info@docflow-personal.de[/apbct_skip_encoding]

Ein Datenschutzbeauftragter ist nach den gesetzlichen Vorgaben nicht zwingend erforderlich. Datenschutzanfragen können direkt an die oben genannte E-Mail-Adresse gerichtet werden.

2. Allgemeine Hinweise zur Datenverarbeitung

Der Schutz personenbezogener Daten hat für uns höchste Priorität. Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie weiterer datenschutzrechtlicher Bestimmungen.

DocFlow ist eine KI-gestützte Plattform zur digitalen Verwaltung, Analyse und Strukturierung von Dokumenten. Nutzer können Dokumente hochladen, automatisiert klassifizieren lassen, durchsuchen und über einen KI-Chat befragen.

Die Verarbeitung erfolgt ausschließlich zu den in dieser Datenschutzerklärung genannten Zwecken.

3. Hosting und technische Bereitstellung

3.1 Marketing-Website (docflow-business.de)

Diese Website wird gehostet bei:

Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern.
Der Server-Standort ist Deutschland (Hostinger Premium Hosting). Mit Hostinger besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

3.2 Anwendung DocFlow (docflow-personal.de)

Die Anwendung läuft auf einem dedizierten Virtual Private Server (VPS) am Standort Frankfurt am Main, Deutschland, ebenfalls betrieben durch Hostinger International Ltd.

Für die Speicherung von Metadaten, Authentifizierung und Systemdaten nutzen wir:

Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992, mit Datenbank-Standort in Frankfurt am Main, Deutschland (AWS-Region eu-central-1). Mit Supabase besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

3.3 Beim Aufruf der Website / Anwendung werden automatisiert folgende Daten verarbeitet:

  • IP-Adresse
  • Datum und Uhrzeit der Anfrage
  • Browsertyp und -version
  • Betriebssystem
  • Referrer-URL
  • Zugriffsstatus
  • Übertragene Datenmenge

Die Verarbeitung dient der technischen Stabilität, Systemsicherheit, Fehleranalyse und Missbrauchserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

4. Registrierung und Benutzerkonto

Zur Nutzung von DocFlow ist die Erstellung eines Benutzerkontos erforderlich. Dabei verarbeiten wir:

  • Name
  • E-Mail-Adresse
  • Passwort (gehasht, nicht im Klartext gespeichert)
  • Benutzer-ID
  • Profilinformationen und Einstellungen
  • Login- und Nutzungsdaten

Zweck: Bereitstellung des Nutzerkontos, Authentifizierung, Verwaltung der Anwendung, Sicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5. Dokumenten-Upload und Speicherung

DocFlow ermöglicht das Hochladen und die automatisierte Verarbeitung von Dokumenten, darunter:

  • Rechnungen
  • Verträge
  • Versicherungsunterlagen
  • Lohnabrechnungen
  • Behördliche Schreiben
  • Konto- und Finanzunterlagen
  • Sonstige Dokumente mit personenbezogenen Daten

Wichtig — Speicherort der Originaldateien:

Die hochgeladenen Originaldokumente werden nicht dauerhaft auf unseren Servern oder in unserer Datenbank gespeichert, sondern ausschließlich im vom Nutzer angebundenen Cloud-Speicher des Nutzers (Google Drive, Dropbox; weitere optional). Die Anbindung erfolgt über OAuth — DocFlow erhält ausschließlich verschlüsselt gespeicherte Zugriffstoken, keine Cloud-Passwörter.

In unserer Datenbank (Supabase) speichern wir lediglich Metadaten (Dateiname, Kategorie, extrahierte Eckdaten wie Beträge oder Fristen, Verweis auf die Originaldatei im Nutzer-Cloud-Speicher) sowie für die semantische Suche berechnete Vektoren („Embeddings“).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6. KI-gestützte Verarbeitung — eingesetzte Dienste

Für die Funktionen Texterkennung (OCR), automatische Klassifizierung sowie Chat-Antworten setzt DocFlow ein einziges externes KI-Modell ein:

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (für EU-Kunden) bzw. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA — Gemini API, Modell gemini-2.5-flash.

Was wird übermittelt:

  • Der vollständige Text- und Bildinhalt der hochgeladenen Dokumente zum Zwecke der OCR-Texterkennung und Klassifizierung.
  • Chat-Eingaben des Nutzers sowie die relevanten Dokumenten-Auszüge, die zur Beantwortung benötigt werden.

Transparenz-Hinweis zur Datenabtrennung:
Vor der Übermittlung an Google findet aktuell keine automatische Maskierung oder Pseudonymisierung personenbezogener Daten innerhalb des Dokumenteninhalts statt — der Volltext wird unverkürzt zur Verarbeitung übergeben, da OCR und semantische Klassifizierung auf den Originalinhalt angewiesen sind. Die Übertragung erfolgt verschlüsselt über TLS 1.2+.

Vertragliche Absicherung:
Die Nutzung der Gemini API erfolgt im Rahmen der kostenpflichtigen API-Nutzungsbedingungen von Google. Nach den Google API Terms verarbeitet Google die API-Eingaben:

  • ausschließlich zur Erbringung der angefragten Funktion,
  • nicht zum Training der Gemini-Modelle,
  • und speichert sie nicht dauerhaft (nur transient zur Verarbeitung).

Lokale Embedding-Berechnung:
Für die semantische Such-Indizierung („Embeddings“) setzen wir ein Open-Source-Modell ein, das vollständig lokal auf unserem VPS in Frankfurt ausgeführt wird. Dokumenten-Volltexte verlassen für diese Indizierung unseren Server nicht.

Rechtsgrundlage und Einwilligungs-Verfahren:
Die Rechtsgrundlage für die KI-Verarbeitung ist die ausdrückliche Einwilligung des Nutzers gemäß Art. 6 Abs. 1 lit. a DSGVO. Bei der Registrierung wird diese Einwilligung über eine separate, von der allgemeinen Datenschutz-/AGB-Bestätigung getrennte Checkbox eingeholt, in der der Nutzer ausdrücklich der Verarbeitung durch externe KI-Dienste (Google Gemini), der Drittlandübermittlung in die USA sowie der Verarbeitung besonderer Datenkategorien gemäß Art. 9 Abs. 2 lit. a DSGVO (z. B. Gesundheitsdaten in Arztrechnungen, Sozialdaten in Lohnabrechnungen) zustimmt. Die Übermittlung in die USA ist zusätzlich abgesichert durch das EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln nach Art. 46 DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden — entweder durch Löschung des Nutzerkontos in den Einstellungen oder formlos per E-Mail an [apbct_skip_encoding]info@docflow-personal.de[/apbct_skip_encoding] (vgl. Ziffer 22).

7. Cloud-Speicher und Integrationen

DocFlow kann mit externen Cloud- und Drittanbieterdiensten verbunden werden, um Originaldokumente im Nutzerkonto zu speichern oder Kalendereinträge zu verwalten:

  • Google Drive (Google Ireland Ltd. / Google LLC)
  • Dropbox (Dropbox International Unlimited Company, Irland)
  • Google Kalender
  • Weitere Dienste optional, je nach Nutzer-Auswahl

Die Verbindung erfolgt ausschließlich nach aktiver OAuth-Autorisierung durch den Nutzer. DocFlow speichert keine Cloud-Passwörter, sondern ausschließlich verschlüsselte OAuth-Tokens. Der Nutzer kann die Verbindung jederzeit in den Einstellungen widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

8. Kalender- und Erinnerungsfunktionen

DocFlow kann aus erkannten Dokumenteninhalten Fristen, Termine oder Vertragslaufzeiten ableiten und Kalendereinträge oder Erinnerungen vorschlagen. Verarbeitet werden:

  • Vertragslaufzeiten und Kündigungsfristen
  • Rechnungsdaten
  • Terminangaben
  • Erinnerungsdaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Chat- und Suchfunktionen

Nutzer können innerhalb von DocFlow Fragen zu hochgeladenen Dokumenten stellen. Das System verarbeitet dafür Chat-Eingaben, Suchanfragen sowie die relevanten Dokumentenauszüge und übermittelt diese gemäß Ziffer 6 an die Gemini API.

Chat-Verläufe werden in unserer Datenbank gespeichert, um Folge-Anfragen kontextuell beantworten zu können. Chat-Verläufe werden spätestens nach 7 Tagen automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Zahlungsabwicklung

Sofern kostenpflichtige Leistungen (Pro- oder Premium-Abonnement) gebucht werden, erfolgt die Zahlungsabwicklung ausschließlich über:

PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg.

Beim Abschluss eines kostenpflichtigen Abonnements wird der Nutzer auf die Zahlungsseite von PayPal weitergeleitet. PayPal verarbeitet als eigenständiger Verantwortlicher u.a. Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsinformationen, Transaktionsdaten und Abonnementdaten. Innerhalb von DocFlow speichern wir lediglich die von PayPal vergebene Subscription-ID sowie den Abonnement-Status (aktiv, gekündigt, abgelaufen) zur Steuerung der App-Funktionen. Wir erhalten keine Zahlungsdaten (Kreditkartennummern, Bankverbindungen).

Weitere Informationen zur Datenverarbeitung durch PayPal finden sich in der Datenschutzerklärung von PayPal: https://www.paypal.com/de/legalhub/privacy-full

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

11. Kontaktaufnahme

Bei Kontaktaufnahme per E-Mail, Kontaktformular oder Chat verarbeiten wir Name, E-Mail-Adresse, Telefonnummer (sofern angegeben) sowie Nachrichteninhalte zur Bearbeitung der Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.

12. Cookies und ähnliche Technologien

Unsere Website verwendet Cookies sowie vergleichbare Technologien:

  • Technisch notwendige Cookies: Session-Management, Spracheinstellungen, Sicherheits-Cookies. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i.V.m. § 25 Abs. 2 Nr. 2 TTDSG.
  • Statistik- und Analyse-Cookies: ausschließlich nach Einwilligung über unseren Cookie-Banner (Consent-Management durch Complianz GDPR). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TTDSG.

Der Nutzer kann seine Cookie-Einwilligung jederzeit über den Banner widerrufen oder anpassen.

13. Analyse- und Statistikdienste

Wir setzen ausschließlich folgenden Statistikdienst ein:

Jetpack Statistics (Automattic Inc., 60 29th Street #343, San Francisco, CA 94110, USA): Erfasst aggregierte Besucherstatistiken (Seitenaufrufe, Referrer, Geräte-Typ). Die IP-Adresse wird anonymisiert, es werden keine personenbezogenen Profile gebildet. Jetpack Statistics wird ausschließlich nach aktiver Einwilligung des Nutzers über den Cookie-Banner geladen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TTDSG.

Die Übermittlung an Automattic in den USA erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) sowie ergänzender Standardvertragsklauseln.

14. Newsletter

Auf dieser Website kann ein Newsletter über das Plugin Hostinger Reach abonniert werden. Hierbei werden E-Mail-Adresse und Anmeldezeitpunkt gespeichert. Die Anmeldung erfolgt im Double-Opt-In-Verfahren. Der Versand erfolgt über die Hostinger-Infrastruktur (Server-Standort EU). Eine Abmeldung ist jederzeit über den in jeder E-Mail enthaltenen Abmeldelink möglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

15. Anfrage-Formular und KI-Chatbot auf docflow-business.de

Auf unserer Business-Solutions-Seite (https://docflow-business.de/business-solutions/) bieten wir ein KI-gestütztes Anfrage-Formular an, bestehend aus einem Kontaktformular und einem Chat-Bereich, der von einem KI-Assistenten betreut wird.

Erhobene Daten:

  • Pflichtangaben: Vorname, Nachname, E-Mail-Adresse, Telefonnummer
  • Freiwillige Angaben: Unternehmen, Straße, PLZ, Stadt
  • Inhalte des Chat-Verlaufs (Eingaben sowie KI-Antworten)
  • Technische Daten: IP-Adresse und Zeitpunkt der Anfrage

Zweck: Vorqualifizierung der Anfrage durch einen KI-Assistenten, damit ein Berater anschließend ein konkretes Angebot unterbreiten kann.

Verarbeitung durch Drittanbieter: Für die Generierung der Chat-Antworten nutzen wir die Gemini API von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Die Eingaben werden ausschließlich zur Erzeugung der Bot-Antwort an Google übermittelt. Google sichert vertraglich zu, die Inhalte der Gemini API nicht zum Training der Modelle zu verwenden. Eine Datenübermittlung in die USA kann erfolgen und ist abgesichert durch das EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln.

Empfänger: Die abgesendete Anfrage wird per E-Mail an [apbct_skip_encoding]info@docflow-personal.de[/apbct_skip_encoding] übermittelt und in unserer WordPress-Datenbank beim Hosting-Anbieter Hostinger gespeichert (Server-Standort: Deutschland).

Speicherdauer: Bis zur abschließenden Bearbeitung der Anfrage, längstens 12 Monate ab Eingang. Eine Löschung kann jederzeit formlos per E-Mail an [apbct_skip_encoding]info@docflow-personal.de[/apbct_skip_encoding] verlangt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen).

16. Datensicherheit

Wir treffen technische und organisatorische Sicherheitsmaßnahmen gemäß Art. 32 DSGVO, insbesondere:

  • Verschlüsselte Datenübertragung (TLS 1.2+)
  • Verschlüsselte Speicherung von Zugriffstoken und Passwörtern (Hashing mit modernen Verfahren)
  • Row-Level-Security in der Datenbank — jeder Nutzer kann technisch ausschließlich auf seine eigenen Daten zugreifen
  • OAuth-Authentifizierung mit kurzlebigen Tokens für Cloud-Anbindungen
  • Lokale Embedding-Berechnung — Volltexte verlassen unseren Server nicht für die Such-Indizierung
  • Hosting in der EU (VPS in Frankfurt, Datenbank in EU-Region)
  • Regelmäßige Sicherheitsupdates und Backups
  • Zugriffsbeschränkungen, Rollen- und Berechtigungssysteme
  • Sicherheitsprotokollierung

17. Speicherdauer und Löschung

  • Originaldokumente: verbleiben im vom Nutzer angebundenen Cloud-Speicher und werden von uns nicht persistiert
  • Metadaten und Embeddings: bis zur Löschung durch den Nutzer bzw. bis zur Löschung des Nutzerkontos
  • Chat-Verläufe: automatische Löschung nach 7 Tagen
  • Nutzerkonto-Daten: bis zur Löschung des Nutzerkontos durch den Nutzer; danach Löschung innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen
  • Anfrage-Formular-Daten (Ziffer 15): bis zur abschließenden Bearbeitung, längstens 12 Monate
  • Server-Logfiles: 14 Tage

18. Datenübermittlung in Drittländer

Im Rahmen der oben genannten Dienste kann eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union erfolgen, insbesondere in die USA. Dies betrifft konkret:

  • Google (Gemini API): Übermittlung der Dokumenten-Volltexte zur OCR, Klassifizierung und Chat-Verarbeitung (vgl. Ziffer 6 und 15)
  • Google Drive / Google Kalender: bei aktiver Anbindung durch den Nutzer (vgl. Ziffer 7)
  • Dropbox: bei aktiver Anbindung durch den Nutzer
  • Automattic (Jetpack Statistics): nach Einwilligung über Cookie-Banner (vgl. Ziffer 13)

Die Übermittlung erfolgt auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO:

  • EU-Standardvertragsklauseln nach Art. 46 DSGVO
  • Für US-Anbieter, die nach dem EU-US Data Privacy Framework zertifiziert sind (Google, Dropbox, Automattic), gilt zusätzlich der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023
  • Bei der KI-Verarbeitung zusätzlich die Einwilligung des Nutzers gemäß Art. 49 Abs. 1 lit. a DSGVO

19. Keine automatisierte Entscheidung mit rechtlicher Wirkung

DocFlow nutzt KI zur Unterstützung organisatorischer Tätigkeiten (Klassifizierung, Suche, Fristen-Erkennung). Es erfolgt keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die rechtliche Wirkung gegenüber dem Nutzer entfaltet oder ihn in ähnlicher Weise erheblich beeinträchtigt. Die KI-Ergebnisse dienen ausschließlich als Vorschlag — der Nutzer behält jederzeit die volle Kontrolle und kann Klassifizierungen, Kategorien und Daten manuell anpassen.

20. Hinweis zu sensiblen Daten (Art. 9 DSGVO)

Da DocFlow die Verarbeitung von Dokumenten ermöglicht, die personenbezogene Daten enthalten — einschließlich potenziell besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (z. B. Gesundheitsdaten in Arztrechnungen, Sozialdaten in Lohnabrechnungen, Daten zur Gewerkschaftszugehörigkeit, religiöse Daten) — wird die Einwilligung in die Verarbeitung dieser Datenkategorien nach Art. 9 Abs. 2 lit. a DSGVO bei der Registrierung über eine separate, dedizierte Checkbox eingeholt, getrennt von der allgemeinen Datenschutz-/AGB-Bestätigung.

Der Nutzer kann diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — entweder durch Löschung des Nutzerkontos in den Einstellungen, durch Trennen der Cloud-Verbindung oder formlos per E-Mail an [apbct_skip_encoding]info@docflow-personal.de[/apbct_skip_encoding].

21. Rechte betroffener Personen

Betroffene Personen haben das Recht auf:

  • Auskunft (Art. 15 DSGVO)
  • Berichtigung (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch (Art. 21 DSGVO)
  • Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
  • Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO)

Für Niedersachsen zuständig ist:
Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
[apbct_skip_encoding]poststelle@lfd.niedersachsen.de[/apbct_skip_encoding]

22. Widerspruchsrecht

Soweit personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden, kann der Nutzer aus Gründen, die sich aus seiner besonderen Situation ergeben, jederzeit Widerspruch einlegen.

23. Minderjährigenschutz

Das Angebot richtet sich ausschließlich an volljährige Personen. Eine Nutzung durch Minderjährige ist nur mit ausdrücklicher Zustimmung der Erziehungsberechtigten zulässig.

24. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, sofern dies aufgrund technischer, rechtlicher oder organisatorischer Änderungen erforderlich wird. Es gilt jeweils die zum Zeitpunkt der Nutzung veröffentlichte Version. Wesentliche Änderungen werden den Nutzern per E-Mail oder durch Hinweis in der Anwendung kommuniziert.

Diese Datenschutzerklärung wurde individuell auf den tatsächlichen Datenfluss der Plattform DocFlow angepasst. Bei Fragen wenden Sie sich an [apbct_skip_encoding]info@docflow-personal.de[/apbct_skip_encoding].