Bürofluss
Kostenlos testen

Rechtliches

Datenschutzerklärung Bürofluss

Fassung 1.0 · gültig ab 12.09.2026

Diese Fassung und alle früheren Fassungen finden Sie in Abschnitt 24 und dauerhaft unter https://bürofluss.de/datenschutz-historie.html.

1. Worum es in diesem Dokument geht

Bürofluss ist eine Software für Berufsbetreuer, Betreuungsvereine und Betreuungsbüros. Sie läuft im Browser und lässt sich zusätzlich als App auf dem Gerät installieren.

Diese Erklärung sagt Ihnen, welche personenbezogenen Daten wir verarbeiten, warum wir das tun, auf welcher Rechtsgrundlage, wie lange wir die Daten speichern und welche Rechte Sie haben. Sie gilt sowohl für den Besuch unserer Website als auch für die Nutzung der eingeloggten Anwendung.

Ein Punkt vorweg, weil er den Aufbau des ganzen Dokuments bestimmt: Bürofluss verarbeitet Daten in zwei verschiedenen Rollen. Für Ihre eigenen Daten als Kunde sind wir Verantwortlicher, wir entscheiden also selbst über Zweck und Mittel der Verarbeitung. Für die Daten der Menschen, die Sie betreuen, sind wir dagegen nur Auftragsverarbeiter, wir handeln also ausschließlich nach Ihren Weisungen. Jeder Abschnitt sagt in seiner ersten Zeile, welche der beiden Rollen dort gilt. Berührt ein Abschnitt beide Rollen, sagt die Zeile das ausdrücklich.

Diese Erklärung richtet sich nicht an die von Ihnen betreuten Personen. Sie richtet sich an Sie als unseren Kunden und an Besucher unserer Website. Warum das so ist, erklärt Abschnitt 11.

2. Wer für Ihre Daten verantwortlich ist

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

2.1 Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 der Datenschutz-Grundverordnung (DSGVO) ist:

Roth Systems, Einzelunternehmen Köhlstraße 10 65205 Wiesbaden-Erbenheim Deutschland

Vertretungsberechtigt: Tobias Roth E-Mail: kontakt@buerofluss.de

Im weiteren Text nennen wir uns "wir" oder "Bürofluss". "Bürofluss" ist zugleich der Name unseres Produkts.

2.2 Kontakt in Datenschutzfragen

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter: kontakt@buerofluss.de

Sie können sich auch schriftlich an die oben genannte Anschrift wenden. Eine formlose Nachricht genügt, ein bestimmtes Formular verlangen wir nicht.

2.3 Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt. Roth Systems ist ein Einzelunternehmen; die Schwelle des § 38 Abs. 1 BDSG (in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt) wird nicht erreicht.

Zur Einordnung: Ein Datenschutzbeauftragter ist eine Person, die die Einhaltung des Datenschutzrechts im Unternehmen überwacht. Ob wir eine solche Person benennen müssen, richtet sich nach Art. 37 Abs. 1 DSGVO und nach § 38 Abs. 1 des Bundesdatenschutzgesetzes (BDSG). Ist eine Benennung erfolgt, stehen Name und Kontaktdaten an dieser Stelle (Art. 13 Abs. 1 lit. b DSGVO).

3. Die zwei Rollen von Bürofluss im Überblick

Die folgende Übersicht zeigt, wer für welche Daten verantwortlich ist. Sie ist der Schlüssel zum ganzen Dokument. Jeder Punkt nennt genau die Abschnitte, für die er gilt.

Websitebesuch, Serverprotokolle, Kontaktanfragen. Verantwortlicher ist Bürofluss, wir handeln hierfür als Verantwortlicher (Abschnitte 4, 5).

Kontodaten, Vertrag, Rechnung, Support, Transaktions-E-Mails. Verantwortlicher ist Bürofluss, wir handeln hierfür als Verantwortlicher (Abschnitte 6, 8, 9).

Kontodaten von Team-Mitgliedern, die Ihre Organisation angelegt hat. Verantwortlicher ist Bürofluss, wir handeln hierfür als Verantwortlicher (Abschnitt 7).

Zahlungs- und Rechnungsdaten bei Stripe. Verantwortlicher ist Bürofluss für die Abrechnung, Stripe für seine eigenen Zwecke; wir sind insoweit eigenständiger Empfänger, es besteht keine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO (Abschnitt 8).

Protokolle über Ihr eigenes Nutzerverhalten (Anmeldung, Rollenänderung, Export). Verantwortlicher ist Bürofluss, wir handeln hierfür als Verantwortlicher (Abschnitt 10).

Protokolle über Zugriffe auf Daten der betreuten Personen. Verantwortlicher sind Sie, wir handeln hierfür als Auftragsverarbeiter (Abschnitt 10).

Auf Ihrem Endgerät gespeicherte Informationen. Verantwortlicher ist Bürofluss, wir handeln hierfür als Verantwortlicher (Abschnitt 17).

Von Ihnen hinterlegte Zugangsdaten für E-Mail-Postfach und Bankkonto. Verantwortlicher ist Bürofluss, wir handeln hierfür als Verantwortlicher (Abschnitt 13).

Daten der von Ihnen betreuten Personen. Verantwortlicher sind Sie persönlich als bestellter Betreuer, bei einem zum Betreuer bestellten Verein der Verein (Einzelheiten und Fallunterscheidung: Abschnitt 11.1); wir handeln hierfür als Auftragsverarbeiter (Abschnitte 11, 12, 13).

Diese Trennung ist keine Formsache. Sie entscheidet darüber, an wen sich eine betroffene Person mit einem Auskunfts- oder Löschverlangen wenden muss, und sie entscheidet darüber, wer die Rechtsgrundlage für eine Verarbeitung liefern muss.

Was das für Sie bedeutet

Aus den vorstehenden Abschnitten ergeben sich vier Punkte, die Sie selbst umsetzen müssen, wenn Sie Bürofluss nutzen:

  1. Sie informieren Ihre Betreuten selbst nach Art. 13 und Art. 14 DSGVO über die Verarbeitung ihrer Daten. Diese Erklärung übernimmt das nicht für Sie (Abschnitt 11.2).
  2. Sie schließen den Auftragsverarbeitungsvertrag ab und entscheiden, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist (Abschnitt 11.4).
  3. Binden Sie ein E-Mail-Postfach oder ein Bankkonto an, sichern Sie diese Verbindung selbst ab und prüfen Sie vorher Ihren eigenen Vertrag mit dem jeweiligen Anbieter (Abschnitt 13).
  4. Nach Vertragsende teilen Sie uns mit, ob wir Ihre Daten zurückgeben oder löschen sollen (Abschnitt 18).

4. Besuch unserer Website und Serverprotokolle

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

4.1 Welche Daten anfallen

Wenn Sie unsere Website aufrufen, überträgt Ihr Browser technisch notwendige Angaben an unseren Server. Diese Angaben fallen dabei technisch an, werden aber aktuell nicht in einer eigenen, dauerhaft durchsuchbaren Protokolldatei gespeichert — nur in der allgemeinen Betriebsausgabe unserer Serverinfrastruktur (Abschnitt 4.4). Dazu gehören:

  • die IP-Adresse Ihres Geräts oder Ihres Zugangsanbieters,
  • Datum und Uhrzeit des Zugriffs,
  • die aufgerufene Adresse und die übertragene Datenmenge,
  • die Meldung, ob der Abruf erfolgreich war (HTTP-Statuscode),
  • die zuvor besuchte Seite, sofern Ihr Browser sie übermittelt (Referrer),
  • Browsertyp, Browserversion und Betriebssystem.

4.2 Zweck und Rechtsgrundlage

Wir verarbeiten diese Daten, um die Seiten technisch auszuliefern und um unsere Systeme abzusichern. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Unser berechtigtes Interesse besteht in der technischen Auslieferung der Seiten sowie darin, Angriffsversuche wie automatisierte Anmeldeversuche und Überlastungsangriffe erkennen und abwehren zu können.

4.3 Wer die Daten erhält

Die Website läuft auf einem von uns gemieteten Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland (Falkenstein). Hetzner ist für uns Auftragsverarbeiter; ein Vertrag nach Art. 28 DSGVO besteht. Einzelheiten stehen in Abschnitt 15.

4.4 Speicherdauer

Die allgemeine Betriebsausgabe unserer Serverinfrastruktur, in der diese Angaben technisch bedingt kurzzeitig enthalten sein können, wird automatisch überschrieben, sobald ein Umfang von rund 30 MB erreicht ist; damit ist keine feste Zeitspanne verbunden, in der Praxis handelt es sich um einen kurzen Zeitraum von Tagen bis wenigen Wochen. Einzelne Einträge bewahren wir länger auf, wenn wir sie zur Aufklärung eines konkreten Angriffs oder einer konkreten Störung benötigen. Sobald der Vorfall geklärt ist, löschen wir auch diese Einträge.

4.5 Videos und eingebettete Inhalte

Auf unserer Website binden wir Videos ein. Diese Videos liegen als Dateien (MP4/WebM) auf unserem eigenen Server und werden von dort direkt ausgeliefert; ein externer Videoanbieter (etwa YouTube oder Vimeo) ist nicht eingebunden, es fließen deshalb keine Daten an einen solchen Dienst ab.

Wird an dieser Stelle ein externer Anbieter eingetragen, sind zwingend zugleich Abschnitt 15.1 um diesen Empfänger, Abschnitt 17.1 um dessen Speichereinträge und die Website um einen vorgeschalteten Einwilligungsmechanismus nach § 25 Abs. 1 TDDDG zu ergänzen.

5. Kontaktformular und Anfragen per E-Mail

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

Wenn Sie unser Kontaktformular nutzen, verarbeiten wir die Angaben Name, E-Mail-Adresse, Art des Anliegens und Ihre Nachricht. Schreiben Sie uns stattdessen direkt per E-Mail, verarbeiten wir die Angaben, die Sie in dieser E-Mail machen.

Zweck ist ausschließlich die Bearbeitung und Beantwortung Ihrer Anfrage.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss eines Vertrags gerichtet ist. Im Übrigen ist es Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, an uns gerichtete Anfragen beantworten zu können.

Die Angabe der genannten Felder ist erforderlich, damit wir Ihnen antworten können. Ohne sie können wir die Anfrage nicht bearbeiten. Eine gesetzliche Pflicht zur Angabe besteht nicht.

Ihre Anfrage löschen wir drei Monate nach abschließender Bearbeitung, sofern keine gesetzliche Aufbewahrungspflicht besteht. Führt die Anfrage zu einem Vertrag, gelten die Fristen aus Abschnitt 18.

Das Kontaktformular überträgt Ihre Angaben verschlüsselt an unseren Server bei Hetzner in Deutschland (Abschnitt 4.3). Dort werden sie nicht gespeichert, sondern unmittelbar als E-Mail an unser Postfach kontakt@buerofluss.de weitergeleitet. Für diese Zustellung setzen wir den Dienst Resend ein (Abschnitt 9.2); Ihre Angaben werden dabei in den Vereinigten Staaten von Amerika verarbeitet (Abschnitt 16). Eine Eingangsbestätigung an Ihre E-Mail-Adresse versenden wir nicht. Schreiben Sie uns stattdessen direkt per E-Mail, gilt dieselbe Übertragung wie bei jeder anderen an uns gesendeten E-Mail. Der beteiligte Empfänger für eingehende E-Mail steht in Abschnitt 15.1.

Zum Schutz vor missbräuchlicher Nutzung, etwa dem massenhaften automatisierten Absenden, begrenzen wir die Zahl der Anfragen je IP-Adresse. Die IP-Adresse wird dazu ausschließlich im Arbeitsspeicher des Servers gezählt und spätestens nach 24 Stunden verworfen. Zusätzlich enthält das Formular ein für Menschen unsichtbares Feld, das nur automatisierte Programme ausfüllen. Cookies, eine Nachverfolgung oder ein externer Prüfdienst wie ein Captcha-Anbieter werden dafür nicht eingesetzt. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr solcher Missbräuche (Art. 6 Abs. 1 lit. f DSGVO).

6. Registrierung, Testphase und Nutzerkonto

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

6.1 An wen sich unser Angebot richtet

Bürofluss richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, also an Berufsbetreuer, Betreuungsvereine und Betreuungsbüros. Mit Verbrauchern schließen wir keine Verträge. Die Daten, die wir in diesem Abschnitt verarbeiten, sind deshalb regelmäßig Daten von Personen, die in beruflicher Eigenschaft handeln. Am Schutz durch die DSGVO ändert das nichts: Auch geschäftliche Kontaktdaten einer natürlichen Person sind personenbezogene Daten.

6.2 Welche Daten wir verarbeiten

  • Anmeldedaten: Name, E-Mail-Adresse, Passwort (wir speichern das Passwort nur als nicht rückrechenbaren Hashwert, niemals im Klartext),
  • Angaben zu Ihrer Organisation: Name des Büros oder Vereins, Anschrift,
  • Angaben zur Zwei-Faktor-Anmeldung, wenn Sie sie einrichten,
  • Vertragsdaten: gebuchtes Paket, Zahl der Nutzer, Zahl der betreuten Personen im Sinne der Preisstaffel, Beginn und Ende der Laufzeit,
  • Nachweisdaten zur Zustimmung: Zeitpunkt und Fassung der Datenschutzerklärung und der Nutzungsbedingungen, denen Sie zugestimmt haben,
  • freiwillige Angaben: Telefonnummer (Festnetz und Mobil).

6.3 Zwecke und Rechtsgrundlagen

Anlegen und Verwalten Ihres Kontos, Bereitstellung des Zugangs zur Anwendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

Durchführung der kostenlosen Testphase. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des zunächst unentgeltlichen Nutzungsvertrags; dieser kommt mit der Registrierung zustande, der Auftragsverarbeitungsvertrag gilt ab demselben Zeitpunkt, siehe Abschnitt 6.4).

Nachweis, welcher Fassung der Rechtstexte Sie zugestimmt haben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, nachweisen zu können, über welche Fassung unserer Rechtstexte Sie informiert wurden. Das verlangt die Rechenschaftspflicht, also unsere Pflicht, die Einhaltung des Datenschutzrechts belegen zu können (Art. 5 Abs. 2 DSGVO).

Absicherung des Zugangs, insbesondere Zwei-Faktor-Anmeldung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Erfüllung unserer Sicherheitspflichten nach Art. 32 DSGVO, insbesondere darin, fremden Zugriff auf Ihr Konto zu verhindern.

6.4 Testphase

Sie können Bürofluss drei Monate lang kostenlos testen.

Bereits in der Testphase können Sie echte Daten der von Ihnen betreuten Personen eingeben. Deshalb gilt der Auftragsverarbeitungsvertrag (siehe Abschnitt 11.4) ab dem Beginn der Testphase, nicht erst ab der ersten Zahlung.

Schließen Sie nach der Testphase keinen kostenpflichtigen Vertrag, löschen wir Ihr Konto und die darin gespeicherten Daten 30 Kalendertage nach Ablauf der Testphase, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Abschnitt 18). Daten der von Ihnen betreuten Personen löschen wir dabei vollständig aus dem laufenden Betrieb; für Sicherungskopien gilt zusätzlich der Absatz "Löschung und Sicherungskopien" in Abschnitt 18. Wir weisen Sie vorher per E-Mail auf die bevorstehende Löschung hin, damit Sie Ihre Daten vorher exportieren können.

7. Daten von Team-Mitgliedern, die für Sie angelegt wurden

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

Dieser Abschnitt richtet sich an Personen, die selbst kein Konto bestellt haben, sondern für die ein Konto angelegt wurde, etwa durch die Leitung eines Betreuungsvereins oder durch einen Büro-Administrator. Wenn Sie eine Einladung zu Bürofluss erhalten haben, betrifft Sie dieser Abschnitt.

7.1 Welche Daten verarbeitet werden

Name, dienstliche E-Mail-Adresse, zugewiesene Rolle und Berechtigungen sowie Protokolle über Anmeldungen, Rollenänderungen und Exporte.

Protokolle über Zugriffe auf Daten der betreuten Personen sind hiervon nicht erfasst. Für sie ist Ihre Organisation Verantwortlicher, wir führen sie in deren Auftrag (Abschnitt 10). Ansprüche auf Auskunft, Löschung oder Widerspruch richten Sie insoweit an Ihre Organisation.

7.2 Woher die Daten stammen

Diese Daten haben wir nicht bei Ihnen selbst erhoben, sondern von der Organisation erhalten, die Ihr Nutzerkonto angelegt hat (Art. 14 Abs. 2 lit. f DSGVO). Es handelt sich nicht um eine öffentlich zugängliche Quelle.

7.3 Zweck und Rechtsgrundlage

Zweck ist die Einrichtung und Verwaltung Ihres Zugangs sowie die Absicherung der Anwendung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, den mit der Organisation geschlossenen Vertrag durchführen zu können, Zugänge den richtigen Personen zuzuordnen und unberechtigte Zugriffe nachvollziehbar zu machen (Art. 14 Abs. 2 lit. b DSGVO).

7.4 Speicherdauer

Wir löschen diese Daten, sobald Ihr Zugang von Ihrer Organisation entfernt wird oder der Vertrag Ihrer Organisation mit uns endet. Anmelde- und Zugriffsprotokolle löschen wir nach der in Abschnitt 18 genannten Frist.

7.5 Empfänger und Übermittlung in die USA

Ihre E-Mail-Adresse wird an unseren Dienstleister für Transaktions-E-Mails übermittelt, damit Ihnen die Einladung und Systembenachrichtigungen zugestellt werden können. Dieser Dienstleister speichert Empfängeradressen und Zustellprotokolle in den Vereinigten Staaten von Amerika. Empfänger und Übermittlungsgrundlage nennen die Abschnitte 15 und 16.

7.6 Ihre Rechte

Ihnen stehen die in Abschnitt 22 beschriebenen Rechte zu. Sie können sie uns gegenüber geltend machen, soweit wir für die betreffenden Daten Verantwortlicher sind (siehe Abschnitt 7.1). Ihr Widerspruchsrecht nach Art. 21 DSGVO steht im hervorgehobenen Kasten zwischen Abschnitt 22 und Abschnitt 23.

8. Zahlungsabwicklung und Rechnungen

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher für die Abrechnung. Für Stripe als eigenständigen Empfänger siehe Abschnitt 8.4.

8.1 Was abgerechnet wird

Abgerechnet werden das gebuchte Paket, die Zahl der Nutzer, das gegebenenfalls gebuchte Zusatzmodul eBO und die Zahl der betreuten Personen nach der geltenden Staffel. Die aktuellen Preise und die Regeln zur Zahlweise stehen in unseren Nutzungsbedingungen und auf unserer Preisseite.

Für den Datenschutz ist nur erheblich, dass wir die Zahl der Nutzer und die Zahl der betreuten Personen als Bemessungsgrundlage speichern. Namen oder sonstige Angaben zu den betreuten Personen fließen in die Abrechnung nicht ein; abgerechnet wird nur ihre Anzahl.

8.2 Welche Daten wir verarbeiten

Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, sofern Sie eine angeben, gebuchte Leistungen, Rechnungsbeträge, Zahlungszeitpunkte und Zahlungsstatus.

8.3 Zwecke und Rechtsgrundlagen

Abrechnung der Nutzungsentgelte, Einzug der Zahlung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Erstellung und Aufbewahrung der Rechnungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14b Abs. 1 UStG, § 147 AO und § 257 HGB.

Beitreibung offener Forderungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, offene Forderungen aus dem Vertrag durchsetzen zu können.

8.4 Zahlungsdienstleister

Für die Abwicklung der Abonnementzahlungen setzen wir Stripe ein, betrieben von Stripe Payments Europe, Limited, 3 Dublin Landings, North Wall Quay, Dublin 1, D01 C4E0, Irland.

Stripe legt für die Auswahl von Banken und Zahlungsdienstleistern, für die Überwachung, Verhinderung und Aufdeckung betrügerischer Transaktionen, für die Erfüllung gesetzlicher Pflichten (etwa zur Prüfung auf Geldwäsche und zur Feststellung der Identität) sowie für die Analyse, Verbesserung und Entwicklung eigener Produkte Zwecke und Mittel selbst fest. Stripe ist für diese Verarbeitungen eigenständiger Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und selbst auskunftspflichtig; es gelten dann die Datenschutzhinweise von Stripe, abrufbar unter https://stripe.com/privacy.

Daten der von Ihnen betreuten Personen werden nicht an einen Zahlungsdienstleister übermittelt. Die Zahlungsabwicklung betrifft ausschließlich das Verhältnis zwischen Ihnen und uns.

Ihre vollständigen Zahlungsmitteldaten, also etwa die Kartennummer, geben Sie unmittelbar bei dem Zahlungsdienstleister ein. Uns werden diese Daten nicht im Klartext bekannt.

9. Support und Transaktions-E-Mails

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

9.1 Support

Wenden Sie sich mit einer Störung oder Frage an uns, verarbeiten wir Ihre Kontaktdaten, den Inhalt Ihrer Anfrage und, soweit für die Klärung nötig, technische Angaben zu Ihrem Konto (etwa Zeitpunkt und Art eines Fehlers). Der dabei beteiligte Empfänger für eingehende E-Mail steht in Abschnitt 15.1.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Unterstützung bei der Nutzung Teil unseres Vertrags ist.

Wir bitten Sie ausdrücklich, uns bei Support-Anfragen keine Daten der von Ihnen betreuten Personen zu übermitteln, soweit das nicht zwingend nötig ist.

Für einen Zugriff auf die in Ihrem Konto gespeicherten Daten gilt:

  • Ein Support-Zugriff auf Ihre gespeicherten Daten setzt eine Freigabe im Einzelfall voraus; erteilt wird sie in Textform und ist auf den erforderlichen Umfang und einen bestimmten Zeitraum beschränkt (§ 10 Abs. 1 des Auftragsverarbeitungsvertrags). Nur bei einer unmittelbar drohenden Störung oder einem Sicherheitsvorfall ist ein Zugriff ausnahmsweise ohne vorherige Freigabe zulässig; wir unterrichten Sie darüber spätestens innerhalb von 24 Stunden (§ 10 Abs. 2 des Auftragsverarbeitungsvertrags).
  • Ob und in welchem Umfang Support-Zugriffe auf Ihre gespeicherten Daten protokolliert werden, steht in Abschnitt 10 unter Lesezugriffe; diese Angabe gilt zugleich hier.
  • Eine eigene, laufende Einsicht in das Protokoll der Support-Zugriffe steht Ihnen derzeit nicht zur Verfügung. Wir führen den Nachweis aktuell von Hand und legen ihn Ihnen auf Anforderung monatlich vor (§ 10 Abs. 5 und 6 des Auftragsverarbeitungsvertrags). Eine technische Selbsteinsicht ist geplant, ein Zieldatum steht noch nicht fest; wir unterrichten Sie unaufgefordert, sobald sie umgesetzt ist (§ 10 Abs. 7 des Auftragsverarbeitungsvertrags).

Welche Personen bei uns überhaupt technisch auf gespeicherte Daten zugreifen können, steht in Abschnitt 21 unter "Administrativer Zugriff". Die vertraglichen Einzelheiten regelt der Auftragsverarbeitungsvertrag.

Wie lange wir Support-Vorgänge speichern, steht in Abschnitt 18.

9.2 Transaktions-E-Mails

Für den Versand von E-Mails, die technisch zum Betrieb gehören, setzen wir den Dienst Resend ein, betrieben von Plus Five Five, Inc. (handelnd als „Resend“), 2261 Market Street #5039, San Francisco, CA 94114, USA. Betroffen sind zum Beispiel die Bestätigung Ihrer Registrierung, das Zurücksetzen des Passworts, Einladungen an Team-Mitglieder und Systembenachrichtigungen aus der Anwendung. Außerdem stellt Resend Anfragen aus unserem Kontaktformular als E-Mail an unser eigenes Postfach zu; für diese Zustellung gilt die Rechtsgrundlage aus Abschnitt 5.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Resend ist für uns Auftragsverarbeiter.

Bei Resend werden Ihre E-Mail-Adresse, technische Absende- und Zustellprotokolle sowie unsere Kontodaten in den Vereinigten Staaten von Amerika gespeichert, bei Anfragen über das Kontaktformular außerdem die Angaben aus dem Formular. Was das bedeutet und auf welcher Grundlage die Übermittlung erfolgt, steht in Abschnitt 16.

Wir halten die Inhalte dieser E-Mails bewusst arm an personenbezogenen Angaben. Namen und Daten der von Ihnen betreuten Personen stehen nicht in diesen E-Mails; Systembenachrichtigungen verweisen stattdessen auf den entsprechenden Bereich der Anwendung. Das gilt auch für den Betreff und für die technischen Begleitangaben: Sie enthalten keinen Namen, kein Aktenzeichen und keine Fallnummer einer betreuten Person. Diese Gestaltung hält die Menge personenbezogener Angaben auf diesem Weg so gering wie möglich. Weil sich Restangaben nicht vollständig ausschließen lassen, behandeln wir Resend vorsorglich als Unterauftragsverarbeiter; Ihr Einspruchsrecht nach Art. 28 Abs. 2 DSGVO gilt deshalb auch für diesen Dienstleister.

Werbliche E-Mails versenden wir nicht. Einen Newsletter gibt es nicht.

10. Protokolle innerhalb der Anwendung

Rolle in diesem Abschnitt: gilt für beide Rollen. Für Protokolle über Ihr eigenes Nutzerverhalten ist Bürofluss Verantwortlicher. Für Protokolle über Zugriffe auf Daten der von Ihnen betreuten Personen handeln wir als Auftragsverarbeiter.

Die Anwendung führt Protokolle über sicherheitsrelevante Vorgänge. Protokolliert werden:

  • erfolgreiche und fehlgeschlagene Anmeldungen,
  • Änderungen an Rollen und Berechtigungen,
  • Exporte von Daten,
  • Änderungen an organisationsweiten Sicherheitseinstellungen (u. a. der Zwei-Faktor-Pflicht), Einladung, Archivierung und Reaktivierung von Nutzerkonten sowie der Versand über den elektronischen Rechtsverkehr (eBO), sobald dieser aktiv ist.

Das bloße Lesen einer Betreutenakte wird nicht gesondert protokolliert; protokolliert werden Schreibvorgänge und die oben genannten sicherheitsrelevanten Änderungen. Diese Angabe gilt zugleich für Support- und Administrationszugriffe (Abschnitte 9.1 und 21.1).

Zweck ist die Sicherheit der Anwendung und die Nachvollziehbarkeit von Zugriffen. Rechtsgrundlage für die Protokolle, die Ihr eigenes Konto betreffen, ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Erfüllung unserer Sicherheitspflichten nach Art. 32 DSGVO, insbesondere darin, unberechtigte Zugriffe auf Kundendaten nachvollziehbar zu machen.

Soweit die Protokolle Zugriffe auf Daten der von Ihnen betreuten Personen betreffen, führen wir sie für Sie und in Ihrem Auftrag. Verantwortlich sind für diese Protokolle Sie. Weil Sie für diese Protokolle Verantwortlicher sind, gehören sie in Ihr eigenes Verzeichnis der Verarbeitungstätigkeiten. Wir stellen Ihnen die dafür nötigen Angaben auf Anfrage bereit.

Ein Werkzeug zur automatischen Übertragung von Fehlermeldungen an einen externen Dienst (Fehler-Telemetrie) ist in der Anwendung angelegt, aber abgeschaltet. Es werden keine Daten an einen Telemetrie-Anbieter übertragen. Sollten wir das ändern, nehmen wir den Anbieter vorher in Abschnitt 15 auf und informieren Sie darüber.

11. Daten der von Ihnen betreuten Personen

Rolle in diesem Abschnitt: Bürofluss ist Auftragsverarbeiter. Verantwortlicher sind Sie.

11.1 Wer verantwortlich ist

Wer Verantwortlicher ist, hängt davon ab, wie Sie organisiert sind.

  • Sind Sie selbstständiger Berufsbetreuer, sind Sie es persönlich.
  • Ist ein Betreuungsverein zum Betreuer bestellt, ist der Verein Verantwortlicher.
  • Ist eine natürliche Person als Vereins- oder Behördenbetreuer bestellt und bei einem Betreuungsverein oder einer Behörde beschäftigt, ist der Betreuungsverein oder die Behörde, bei dem oder der die Person angestellt ist, Verantwortlicher — wie beim bestellten Verein handelt die Person die Betreuung im Rahmen ihres Anstellungsverhältnisses, nicht in eigener Verantwortlichkeit (§ 20 Abs. 3 BtOG). Vertragspartner des Auftragsverarbeitungsvertrags ist in diesem Fall derselbe Verein oder dieselbe Behörde; fallen Verantwortlicher und Vertragspartner auseinander, bezeichnet der Auftragsverarbeitungsvertrag beide ausdrücklich und regelt, wie der Vertragspartner für den Verantwortlichen handelt.
  • Arbeiten mehrere bestellte Betreuer in einem gemeinsamen Büro, ist jeder bestellte Betreuer für die von ihm geführten Betreuungen Verantwortlicher. Schließt das Büro den Vertrag mit uns, handelt es dabei für diese Betreuer.

Wer in Ihrem Fall Verantwortlicher ist, halten wir im Auftragsverarbeitungsvertrag fest. Der Auftragsverarbeitungsvertrag bezeichnet den oder die Verantwortlichen namentlich; ohne diese Bezeichnung dürfen keine Daten betreuter Personen eingegeben werden.

Der Verantwortliche ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Die Verarbeitung stützt sich auf § 20 Abs. 1 des Betreuungsorganisationsgesetzes (BtOG) in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO; sie ist zulässig, soweit sie zur Erfüllung der Aufgaben nach den §§ 1814 bis 1881 BGB erforderlich ist.

§ 20 Abs. 1 BtOG lautet: "Die Verarbeitung personenbezogener Daten einschließlich besonderer Kategorien personenbezogener Daten nach Artikel 9 der Verordnung (EU) 2016/679 durch den Betreuer ist zulässig, soweit sie zur Erfüllung seiner Aufgaben nach den §§ 1814 bis 1881 des Bürgerlichen Gesetzbuchs erforderlich ist." Nach § 20 Abs. 3 BtOG gilt das entsprechend für Vereins- und Behördenbetreuer.

Für Tätigkeiten außerhalb dieses gerichtlich zugewiesenen Aufgabenkreises, etwa für die Geltendmachung oder Abwehr von Haftungsansprüchen, sind nach der Gesetzesbegründung die Rechtsgrundlagen des Art. 6 Abs. 1 lit. b und lit. f DSGVO heranzuziehen (Bundestags-Drucksache 19/24445, Begründung zu § 20 BtOG-E).

Wir verarbeiten diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO. Eine eigene Rechtsgrundlage für diese Verarbeitung haben wir nicht und brauchen wir nicht.

11.2 Was das für die Informationspflicht bedeutet

Die Pflicht, die betreuten Personen nach Art. 13 oder Art. 14 DSGVO über die Verarbeitung ihrer Daten zu informieren, trifft ausschließlich Sie. Wir unterstützen Sie dabei nach Art. 28 Abs. 3 lit. e DSGVO durch geeignete technische und organisatorische Maßnahmen, übernehmen die Information aber nicht für Sie.

Diese Datenschutzerklärung richtet sich daher nicht an die von Ihnen betreuten Personen. Sie ist die Information, die wir Ihnen als unserem Kunden schulden.

Dasselbe gilt für die Betroffenenrechte: Verlangt eine betreute Person Auskunft, Berichtigung oder Löschung, ist dieses Verlangen an Sie zu richten, nicht an uns. Erreicht uns ein solches Verlangen dennoch, leiten wir es an Sie weiter und beantworten es nicht selbst.

11.3 Welche Daten in der Anwendung gespeichert werden

Welche Daten Sie in Bürofluss speichern, bestimmen Sie. Typischerweise sind das:

  • Stammdaten der betreuten Person: Name, Anschrift, Geburtsdatum, Aktenzeichen des Betreuungsgerichts, Umfang der Betreuung,
  • Kontaktdaten von Angehörigen, Einrichtungen, Ärzten und Behörden,
  • Korrespondenz mit Gerichten, Behörden, Banken und Einrichtungen sowie hochgeladene Dokumente,
  • Angaben zur Vermögenssorge: Konten, Buchungen, Belege, Vermögensverzeichnisse, Rechnungslegungen,
  • Angaben zur Gesundheitssorge, soweit Sie sie führen,
  • Fristen, Wiedervorlagen, Termine und Aktenvermerke,
  • Angaben zur Abrechnung Ihrer Vergütung.

11.4 Auftragsverarbeitungsvertrag

Einzelheiten zu Gegenstand, Dauer, Art und Zweck der Verarbeitung, zu den Kategorien betroffener Personen und Daten sowie zu unseren Pflichten und Ihren Rechten regelt der Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO.

Der Auftragsverarbeitungsvertrag ist Bestandteil der Nutzungsbedingungen; wie er einbezogen wird, regeln diese. Sie können ihn jederzeit in Ihrem Konto abrufen und herunterladen; vor Vertragsschluss senden wir ihn Ihnen auf Anfrage zu.

Alle Dienstleister, die wir für die Verarbeitung der Daten der von Ihnen betreuten Personen einsetzen, sind Unterauftragsverarbeiter im Sinne des Art. 28 Abs. 2 und Abs. 4 DSGVO. Die Liste steht in Abschnitt 15 und als Anlage zum Auftragsverarbeitungsvertrag; wir stellen sie Ihnen auf Anfrage zur Verfügung.

Setzen wir einen neuen Unterauftragsverarbeiter ein oder tauschen wir einen bestehenden aus, kündigen wir das vorher per E-Mail an die in Ihrem Konto hinterlegte Adresse an. Sie können der Änderung innerhalb der Ankündigungsfrist widersprechen (Art. 28 Abs. 2 DSGVO). Widersprechen Sie, setzen wir den Dienstleister für Ihre Daten nicht ein; ist uns das technisch oder wirtschaftlich nicht zumutbar, können Sie den Vertrag zum geplanten Wechseltermin außerordentlich kündigen, und wir erstatten im Voraus gezahlte Entgelte anteilig. Die Länge der Ankündigungsfrist und den Ablauf im Einzelnen regelt allein § 8 Abs. 3 des Auftragsverarbeitungsvertrags.

Weil die Verarbeitung von Gesundheitsdaten in der Betreuung regelmäßig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO auslöst, also eine vorherige Risikoprüfung durch Sie als Verantwortlichen, unterstützen wir Sie dabei nach Art. 28 Abs. 3 lit. f DSGVO. Wir stellen Ihnen dafür auf Anfrage bereit: eine Beschreibung der Verarbeitungsvorgänge und der beteiligten Systeme, die Anlage zu den technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter mit Verarbeitungsort sowie die Angaben zu Speicherdauern und Löschung. Dasselbe gilt für eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO.

12. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO

Rolle in diesem Abschnitt: Bürofluss ist Auftragsverarbeiter.

Wenn Sie Bürofluss nutzen, werden regelmäßig Gesundheitsdaten der von Ihnen betreuten Personen verarbeitet, etwa in der Aktenführung, in ärztlichen Unterlagen oder in der Dokumentation von Betreuungsmaßnahmen. Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO und unterliegen einem gesteigerten Schutz.

Wir verarbeiten diese Daten nicht auf eigener Rechtsgrundlage. Die Erlaubnis für diese Verarbeitung folgt für Sie aus § 20 Abs. 1 BtOG, der die besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO ausdrücklich einschließt (Abschnitt 11.1). Ob eine einzelne Verarbeitung zur Erfüllung Ihrer Aufgaben nach den §§ 1814 bis 1881 BGB erforderlich ist, entscheiden allein Sie als Verantwortlicher; wir verarbeiten diese Daten ausschließlich nach Ihren Weisungen (Art. 28 Abs. 3 lit. a DSGVO). Unsere Aufgabe ist es, für ein dem Risiko angemessenes Schutzniveau nach Art. 32 DSGVO zu sorgen.

Vermögensdaten zählen nicht zu den besonderen Kategorien nach Art. 9 DSGVO. Für Vermögensdaten gelten dieselben technischen und organisatorischen Maßnahmen wie für Gesundheitsdaten (Abschnitt 21), weil sie Rückschlüsse auf die wirtschaftlichen Verhältnisse einer besonders schutzbedürftigen Personengruppe zulassen.

Welche Schutzmaßnahmen wir konkret einsetzen, insbesondere zur Verschlüsselung gespeicherter Daten, steht in Abschnitt 21.1.

13. Schnittstellen, die Sie selbst einrichten: E-Mail-Postfach und Bankkonto

Rolle in diesem Abschnitt: gilt für beide Rollen. Für die über die Schnittstellen abgerufenen Inhalte handeln wir als Auftragsverarbeiter auf Ihre Weisung. Für die Zugangsdaten, die Sie bei uns hinterlegen, sind wir Verantwortlicher.

Bürofluss kann auf Ihren Wunsch Verbindungen zu Systemen herstellen, die nicht uns gehören:

  • E-Mail-Postfach: Sie können ein eigenes Postfach anbinden, entweder über die Schnittstelle Microsoft Graph oder über das Protokoll IMAP. Dafür hinterlegen Sie Ihre eigenen Zugangsdaten. Viele E-Mail-Anbieter verarbeiten Daten auch außerhalb der EU. Man nennt das Drittlandübermittlung. Sie brauchen dafür als Verantwortlicher eine eigene Grundlage, in der Regel den Auftragsverarbeitungsvertrag Ihres E-Mail-Anbieters mit den darin enthaltenen Standardvertragsklauseln. Prüfen Sie vor dem Anbinden, ob Ihr Anbieter Ihnen einen solchen Vertrag stellt, und legen Sie ihn zu Ihren Unterlagen.
  • Bankkonto: Sie können Kontoumsätze über das Verfahren FinTS abrufen, das deutsche Banken für den Online-Zugriff bereitstellen. Auch dafür hinterlegen Sie Ihre eigenen Zugangsdaten. Nutzen Sie einen Zugangsdienst mit Sitz oder Verarbeitung außerhalb der EU, gilt für die Drittlandübermittlung dieselbe Erklärung wie beim E-Mail-Postfach.

Diese Verbindungen entstehen nur, wenn Sie sie einrichten, und sie laufen unter Ihrem eigenen Vertrag mit dem jeweiligen Anbieter (Ihrem E-Mail-Anbieter, Ihrer Bank). Wir schließen mit diesen Anbietern keinen eigenen Vertrag und setzen sie nicht als Unterauftragsverarbeiter ein. Sie erscheinen deshalb nicht in der Liste in Abschnitt 15.

Für uns bedeutet das: Der Abruf und die Speicherung der so erlangten Daten in Bürofluss ist eine Verarbeitung auf Ihre Weisung nach Art. 28 Abs. 3 lit. a DSGVO.

Für die von Ihnen hinterlegten Zugangsdaten selbst sind wir Verantwortlicher. Zweck ist allein die Durchführung des von Ihnen eingerichteten Abrufs, Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Für die über die Schnittstelle abgerufenen Inhalte bleibt es bei der Auftragsverarbeitung nach Art. 28 DSGVO.

Die Zugangsdaten, die Sie hinterlegen, speichern wir verschlüsselt und verwenden sie ausschließlich für den von Ihnen eingerichteten Abruf. Die Zugangsdaten werden mit einem symmetrischen Verfahren verschlüsselt, das heißt mit einem geheimen Schlüssel, ohne den sich der Inhalt nicht lesen lässt. Der Schlüssel wird getrennt von der Datenbank in der Serverumgebung des Anwendungscontainers vorgehalten und ist ausschließlich dem Betrieb des Servers zugänglich (aktuell dem Inhaber). Sie können hinterlegte Zugangsdaten in der Anwendung selbst wieder entfernen: über die jeweilige Verwaltungsseite für E-Mail-Postfächer bzw. Bankkonten in Ihren Einstellungen.

Bitte prüfen Sie vor dem Einrichten, ob Ihr Vertrag mit dem jeweiligen Anbieter den Zugriff durch eine von Ihnen eingesetzte Software erlaubt. Bei der Bank sehen Sie dafür in den Online-Banking-Bedingungen nach, Stichwort Zugriff durch Drittanbieter oder FinTS. Bei Ihrem E-Mail-Anbieter sehen Sie in dessen Nutzungsbedingungen zur Anbindung externer Programme nach. Ist der Zugriff dort ausgeschlossen, richten Sie die Anbindung nicht ein.

Wo Ihr E-Mail-Anbieter oder Ihre Bank Daten verarbeitet, richtet sich nach Ihrem eigenen Vertrag mit diesem Anbieter und nicht nach dieser Erklärung (siehe auch Abschnitt 16).

14. Keine künstliche Intelligenz, keine automatisierte Entscheidungsfindung

Rolle in diesem Abschnitt: gilt für beide Rollen.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 Abs. 1 DSGVO findet nicht statt. Damit ist gemeint: Es gibt bei uns keine Entscheidung, die allein von einem Computer getroffen wird und Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

Insbesondere setzen wir keine Systeme künstlicher Intelligenz zur Auswertung Ihrer Daten oder der Daten der von Ihnen betreuten Personen ein. Entsprechende Funktionen wurden am 22.07.2026 vollständig aus der Anwendung und aus der Datenbank entfernt.

Wir werten Ihre Daten und die Daten der von Ihnen betreuten Personen auch nicht für eigene Zwecke aus. Wir verwenden sie nicht, um Modelle zu trainieren, keine eigenen und keine fremden. Diese Grenze ist der Kern unserer Rolle als Auftragsverarbeiter: Sobald wir Ihre Daten für eigene Zwecke auswerten würden, wären wir für diese Verarbeitung selbst Verantwortlicher, und genau das wollen und tun wir nicht.

Sollten wir künftig eine Funktion einführen, die von sich aus rechtlich erhebliche Folgen auslöst, prüfen wir vorher Art. 22 DSGVO, informieren Sie vorab und ergänzen diesen Abschnitt.

15. Empfänger und Unterauftragsverarbeiter

Rolle in diesem Abschnitt: Es gelten beide Rollen. Ein Unterauftragsverarbeiter ist ein Dienstleister, den wir für die Verarbeitung Ihrer Daten einsetzen, also unser eigener Zulieferer. Berührt ein Dienstleister Daten der von Ihnen betreuten Personen, ist er insoweit Unterauftragsverarbeiter nach Art. 28 Abs. 2 und Abs. 4 DSGVO. Dienstleister ohne Zugang zu diesen Daten sind es nicht. Die folgende Übersicht sagt das für jeden Dienstleister einzeln.

15.1 Übersicht

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Zweck: Betrieb des Servers, auf dem Anwendung, Datenbank, Dateispeicher und Website laufen. Sitz und Verarbeitungsort: Deutschland, Rechenzentrum Falkenstein. Rolle: Auftragsverarbeiter, für die Daten der betreuten Personen Unterauftragsverarbeiter. Ein Vertrag nach Art. 28 DSGVO besteht, Stand 12.09.2026.

Resend, Plus Five Five, Inc. (handelnd als „Resend"), 2261 Market Street #5039, San Francisco, CA 94114, USA. Zweck: Versand von Transaktions-E-Mails und Zustellung von Kontaktformular-Anfragen an uns. Sitz und Verarbeitungsort: Vereinigte Staaten von Amerika. Rolle: Auftragsverarbeiter für Ihre Kontodaten und Unterauftragsverarbeiter nach Art. 28 Abs. 2 und Abs. 4 DSGVO (Abschnitt 9.2). Ein Vertrag nach Art. 28 DSGVO besteht, Stand 14.01.2026. Siehe Abschnitt 16.

Stripe, Stripe Payments Europe, Limited, 3 Dublin Landings, North Wall Quay, Dublin 1, D01 C4E0, Irland. Zweck: Abwicklung der Abonnementzahlungen. Sitz und Verarbeitungsort: EU (Irland) und USA (Stripe, LLC) — Data Privacy Framework / EU-Standardvertragsklauseln Modul 1. Rolle: eigenständiger Verantwortlicher nach Art. 4 Nr. 7 DSGVO, kein Auftragsverarbeiter und kein Unterauftragsverarbeiter (Abschnitt 8.4). Daten der betreuten Personen werden nicht übermittelt.

Eingehende E-Mail. Kontakt-, Support- und Datenschutzanfragen empfangen und speichern wir auf demselben Server bei Hetzner; ein zusätzlicher Anbieter ist dafür nicht eingeschaltet.

Darüber hinaus geben wir Daten weiter (1) an unseren Steuerberater und an Finanzbehörden, soweit dies zur Erfüllung unserer steuer- und handelsrechtlichen Pflichten erforderlich ist, (2) bei einer offenen Forderung an ein von uns beauftragtes Inkassounternehmen, an einen Rechtsanwalt oder an das zuständige Gericht, jeweils beschränkt auf Ihre Rechnungs- und Vertragsdaten, und (3) an sonstige Dritte nur, soweit wir gesetzlich dazu verpflichtet sind, etwa aufgrund einer behördlichen oder gerichtlichen Anordnung. Daten der von Ihnen betreuten Personen werden in keinem dieser Fälle weitergegeben.

Wir nennen ausschließlich Empfänger, die tatsächlich eingesetzt werden. Künftige Dienstleister tragen wir vor ihrem ersten Einsatz in diese Liste ein. Setzen wir einen weiteren Unterauftragsverarbeiter für die Daten der von Ihnen betreuten Personen ein, informieren wir Sie vorab und Sie können dagegen Einspruch erheben; Einzelheiten und Fristen regelt der Auftragsverarbeitungsvertrag (Art. 28 Abs. 2 DSGVO). Die jeweils aktuelle Liste stellen wir Ihnen auf Anfrage zur Verfügung.

15.2 Warum Supabase nicht in dieser Liste steht

Als Datenbank-, Anmelde- und Speicherdienst setzen wir die quelloffene Software Supabase ein, betrieben auf unserem eigenen Server bei Hetzner in Deutschland. Supabase ist damit für uns eingesetzte Software, keine Stelle, die Daten empfängt; eine Vertragsbeziehung zur Supabase Inc. besteht nicht.

15.3 Elektronischer Rechtsverkehr (eBO)

Das elektronische Bürger- und Organisationenpostfach (eBO) ist der Weg, über den Berufsbetreuer rechtsverbindlich mit Gerichten kommunizieren können. Wir planen, diese Anbindung über einen externen Partner umzusetzen. Der Partner ist noch nicht ausgewählt, und es findet bislang keine Übertragung statt. Vor der ersten Übertragung nehmen wir den Partner in diese Liste auf, schließen die erforderlichen Verträge und informieren Sie vorab.

15.4 Kein Hosting außerhalb unseres eigenen Servers

Anwendung, Datenbank, Dateispeicher und Weboberfläche laufen alle auf dem Server bei Hetzner in Deutschland. Einen zusätzlichen Anbieter für die Auslieferung der Weboberfläche setzen wir nicht ein.

16. Übermittlung in Länder außerhalb der EU und des EWR

Rolle in diesem Abschnitt: gilt für beide Rollen. Für unsere eigenen Kundendaten sind wir Verantwortlicher; soweit eine Übermittlung Daten der von Ihnen betreuten Personen berühren könnte, handeln wir als Auftragsverarbeiter und der eingesetzte Dienstleister ist Unterauftragsverarbeiter.

Durch uns findet für die Daten der von Ihnen betreuten Personen keine Übermittlung in ein Land außerhalb der EU und des Europäischen Wirtschaftsraums (EWR) statt. Anwendung, Datenbank und Dateispeicher laufen ausschließlich auf unserem Server in Deutschland. Nicht erfasst sind die Schnittstellen, die Sie nach Abschnitt 13 selbst einrichten: Wo Ihr E-Mail-Anbieter oder Ihre Bank Daten verarbeitet, richtet sich nach Ihrem eigenen Vertrag mit diesem Anbieter.

Eine Übermittlung in ein Land außerhalb der EU und des EWR findet beim Versand von Transaktions-E-Mails und bei der Zustellung von Anfragen aus dem Kontaktformular statt. Unser Dienstleister Resend speichert unsere Kontodaten, die Empfängeradressen, die technischen Zustellprotokolle und bei Kontaktformular-Anfragen deren Inhalt in den Vereinigten Staaten von Amerika.

Weitere Übermittlungen entstehen, soweit Sie selbst eine Schnittstelle zu einem Anbieter außerhalb der EU einrichten (Abschnitt 13); diese Übermittlung erfolgt in Ihrem Verantwortungsbereich und auf Grundlage Ihres eigenen Vertrags mit dem Anbieter.

Grundlage der Übermittlung an Resend ist: EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sowie die Teilnahme am EU-U.S. Data Privacy Framework

Zur Einordnung: Die Vereinigten Staaten sind kein Land, für das die EU-Kommission allgemein ein angemessenes Datenschutzniveau festgestellt hat. Eine Übermittlung dorthin ist deshalb nur auf zwei Wegen zulässig.

Der erste Weg ist ein Angemessenheitsbeschluss, also eine Feststellung der EU-Kommission, dass für ein Land oder für eine Gruppe zertifizierter Unternehmen ein vergleichbares Schutzniveau besteht (Art. 45 DSGVO). Für die USA gibt es einen solchen Beschluss nur für Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind.

Der zweite Weg sind Standardvertragsklauseln, also ein von der EU-Kommission vorformulierter Vertrag, den der Dienstleister unterschreibt und der ihn zu einem bestimmten Schutzniveau verpflichtet (Art. 46 Abs. 2 lit. c DSGVO).

Eine Kopie der Garantien stellen wir Ihnen auf Anfrage zur Verfügung.

Wir halten die Inhalte der Transaktions-E-Mails bewusst arm an personenbezogenen Angaben, damit dieser Übermittlungsweg so wenig Daten wie möglich berührt.

17. Speicherung von Informationen auf Ihrem Endgerät (Cookies)

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

17.1 Warum Sie kein Einwilligungsbanner sehen

Für den Betrieb unserer Website und der Anwendung speichern wir ausschließlich Informationen auf Ihrem Endgerät, die für die von Ihnen ausdrücklich gewünschte Nutzung unbedingt erforderlich sind. Das schließt die auf unserer Website eingebundenen Inhalte ein; wie Videos ausgeliefert werden, steht in Abschnitt 4.5. Dafür ist nach § 25 Abs. 2 Nr. 2 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) keine Einwilligung nötig. Deshalb zeigen wir Ihnen kein Einwilligungsbanner.

Analyse-, Reichweiten- und Marketingwerkzeuge setzen wir nicht ein. Eine Übertragung von Fehlermeldungen an einen externen Dienst findet nicht statt; die dafür vorhandene Programmkomponente ist abgeschaltet (Abschnitt 10). Welche Inhalte in unsere Seiten eingebettet sind und wie sie ausgeliefert werden, steht in Abschnitt 4.5; die vorstehende Feststellung gilt nur, soweit diese Inhalte von unserem eigenen Server ausgeliefert werden.

Sollte sich das ändern, holen wir vorher Ihre Einwilligung nach § 25 Abs. 1 TDDDG ein und passen diese Erklärung an.

Ein Hinweis zur Klarstellung: Dass sich unser Angebot ausschließlich an Unternehmer richtet, ändert an dieser Prüfung nichts. § 25 TDDDG gilt für Endnutzer unabhängig davon, ob sie beruflich oder privat handeln. Die Freiheit vom Einwilligungsbanner ergibt sich allein aus der Erforderlichkeit, nicht aus dem gewerblichen Charakter unseres Angebots.

17.2 Was konkret gespeichert wird

Anmelde-Cookie. Art der Speicherung: Cookie (nicht localStorage), durch secure und sameSite=lax abgesichert. Zweck: hält Ihre Anmeldung aufrecht, damit Sie nicht bei jedem Seitenwechsel erneut Zugangsdaten eingeben müssen. Dauer: die eigentliche Anmeldung läuft bereits nach einer Stunde ab und wird nur über ein rotierendes Erneuerungstoken verlängert (§ 15 Nutzungsbedingungen).

Lokale Warteschlange für Offline-Eingaben (IndexedDB). Art der Speicherung: Datenbank im Browser. Zweck: speichert Ihre Eingaben zwischen, solange keine Netzverbindung besteht, bis sie erfolgreich an den Server übertragen wurden. Dauer: bis zur erfolgreichen Übertragung, danach gelöscht.

Sie können gespeicherte Informationen jederzeit über die Einstellungen Ihres Browsers löschen. Löschen Sie den Anmelde-Token, werden Sie abgemeldet und müssen sich neu anmelden.

17.3 Installierte Anwendung und Offline-Nutzung

Die als App installierte Anwendung speichert Inhalte Ihrer Betreutenakten nicht im Voraus für die Offline-Nutzung zwischen: Abrufe der Akten-API laufen ausschließlich über das Netzwerk (kein Caching sensibler Daten). Erfassen Sie während einer Phase ohne Netzverbindung Daten in der Anwendung, werden diese Änderungen als Warteschlange auf Ihrem Gerät (IndexedDB) zwischengespeichert, bis wieder eine Netzverbindung besteht; danach werden sie an den Server übertragen und aus der Warteschlange entfernt.

18. Speicherdauer, Löschung und Rückgabe

Rolle in diesem Abschnitt: Für die Zeilen 1 bis 7 ist Bürofluss Verantwortlicher. Zeile 8 betrifft beide Rollen: für Protokolle über Ihr eigenes Nutzerverhalten sind wir Verantwortlicher, für Protokolle über Zugriffe auf Daten der von Ihnen betreuten Personen Auftragsverarbeiter. Für Zeile 9 ist Bürofluss ausschließlich Auftragsverarbeiter. Zeile 10 betrifft beide Rollen, weil Sicherungskopien alle vorgenannten Daten enthalten.

Wir speichern personenbezogene Daten nur so lange, wie wir sie für den jeweiligen Zweck brauchen oder wie wir sie gesetzlich aufbewahren müssen.

  1. Server-Logfiles der Website. Speicherdauer: keine eigene Protokolldatei; nur allgemeine, größenbasiert rotierte Betriebsausgabe (Abschnitt 4.4). Grundlage: Art. 6 Abs. 1 lit. f DSGVO.
  2. Kontaktanfragen. Speicherdauer: drei Monate nach abschließender Bearbeitung; die zur Missbrauchsabwehr des Kontaktformulars gezählte IP-Adresse spätestens nach 24 Stunden (Abschnitt 5). Grundlage: Wegfall des Zwecks (Art. 5 Abs. 1 lit. e DSGVO).
  3. Support-Anfragen und die dazu gespeicherten technischen Angaben. Speicherdauer: so lange, wie sie für die Bearbeitung und für eine mögliche Anschlusskommunikation zu demselben Anliegen hilfreich sind, soweit keine Aufbewahrungspflicht besteht. Grundlage: Wegfall des Zwecks (Art. 5 Abs. 1 lit. e DSGVO).
  4. Konto- und Vertragsdaten. Speicherdauer: für die Dauer des Vertrags, danach Löschung nach 120 Kalendertagen. Grundlage: Art. 5 Abs. 1 lit. e DSGVO, soweit keine Aufbewahrungspflicht besteht.
  5. Konten aus abgebrochener Testphase. Speicherdauer: 30 Kalendertage nach Ablauf der Testphase. Grundlage: Wegfall des Zwecks (Art. 5 Abs. 1 lit. e DSGVO).
  6. Rechnungen und Buchungsbelege. Speicherdauer: acht Jahre. Grundlage: § 14b Abs. 1 UStG, § 147 Abs. 1 Nr. 4 in Verbindung mit Abs. 3 AO, § 257 Abs. 1 Nr. 4 in Verbindung mit Abs. 4 HGB.
  7. Empfangene und abgesandte Geschäftsbriefe, zum Beispiel Vertragskorrespondenz. Speicherdauer: sechs Jahre. Grundlage: § 147 Abs. 1 Nr. 2 und 3 in Verbindung mit Abs. 3 AO, § 257 Abs. 1 Nr. 2 und 3 in Verbindung mit Abs. 4 HGB.
  8. Anmelde- und Sicherheitsprotokolle der Anwendung. Speicherdauer: 12 Monate. Grundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO.
  9. Daten der von Ihnen betreuten Personen. Speicherdauer: nach Ihrer Weisung; nach Vertragsende nach den Regeln des Auftragsverarbeitungsvertrags und nach den folgenden Absätzen. Grundlage: Art. 28 Abs. 3 lit. g DSGVO.
  10. Sicherungskopien aller vorgenannten Daten. Speicherdauer: höchstens 30 Tage, danach automatisch überschrieben. Grundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 Abs. 1 lit. c DSGVO.
  11. Bücher, Aufzeichnungen, Inventare und Jahresabschlüsse, soweit sie Angaben zu Ihnen enthalten. Speicherdauer: zehn Jahre. Grundlage: § 147 Abs. 1 Nr. 1 in Verbindung mit Abs. 3 AO, § 257 Abs. 1 Nr. 1 in Verbindung mit Abs. 4 HGB.

Die steuer- und handelsrechtlichen Fristen beginnen nicht am Tag des Vorgangs, sondern mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden, die Rechnung ausgestellt oder der Geschäftsbrief empfangen oder abgesandt worden ist (§ 147 Abs. 4 AO, § 257 Abs. 5 HGB, § 14b Abs. 1 Satz 3 UStG). Eine Rechnung aus März 2027 ist danach bis zum 31.12.2035 aufzubewahren. Das gilt entsprechend für Zeile 11.

Für die Zeit der Aufbewahrung schränken wir die Verarbeitung ein: Wir bewahren die Unterlagen auf, verwenden sie aber nicht mehr für andere Zwecke.

Löschung und Sicherungskopien. Verlangen Sie die Löschung eines Datensatzes, entfernen wir ihn unverzüglich aus dem laufenden Betrieb. Aus Sicherungskopien wird er nicht gesondert entfernt; er verschwindet, sobald diese nach der in Zeile 10 genannten Frist überschrieben werden. Bis dahin schränken wir die Verarbeitung ein, verwenden die Sicherungskopie nur zur Wiederherstellung nach einer Störung und stellen den Datensatz nicht wieder her.

Rückgabe oder Löschung nach Vertragsende. Für die Daten der von Ihnen betreuten Personen wählen Sie nach Art. 28 Abs. 3 lit. g DSGVO, ob wir sie Ihnen zurückgeben oder löschen. Ihre Wahl teilen Sie uns per E-Mail an kontakt@buerofluss.de mit; ohne Ihre Mitteilung gehen wir von Rückgabe durch Export aus.

In der Anwendung können Sie derzeit für jede einzelne von Ihnen betreute Person einen strukturierten Export (JSON) aller zu ihr gespeicherten Daten auslösen (Funktion „Auskunftsexport" in der jeweiligen Akte). Einen zusammenfassenden Export sämtlicher Daten Ihrer gesamten Organisation auf einen Klick gibt es noch nicht; auf Anfrage stellen wir Ihnen einen vollständigen Datenexport manuell zusammen.

Nach Vertragsende bleibt der Zugang zu diesem Export noch 120 Kalendertage bestehen. Danach löschen wir die Daten endgültig, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Vor der endgültigen Löschung erinnern wir Sie per E-Mail an die in Ihrem Konto hinterlegte Adresse. Dieselbe Frist steht wortgleich im Auftragsverarbeitungsvertrag.

19. Müssen Sie uns diese Daten geben?

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

Die Angabe von Name, E-Mail-Adresse und Passwort ist für den Abschluss des Nutzungsvertrags erforderlich. Ohne diese Angaben können wir kein Konto anlegen und Ihnen den Zugang zu Bürofluss nicht bereitstellen.

Für die kostenlose Testphase von drei Monaten benötigen wir keine Zahlungsdaten. Nach Ablauf der Testphase ist die Angabe von Rechnungsanschrift und eines bei Stripe hinterlegten Zahlungsmittels für die Fortsetzung des Vertrags erforderlich (Abschnitt 8.4).

Gesetzlich verpflichtet sind Sie zur Bereitstellung nicht. Die Folge einer Nichtbereitstellung ist allein, dass der Vertrag nicht zustande kommt oder nicht fortgesetzt werden kann.

Freiwillig sind Angaben wie Telefonnummer (Festnetz und Mobil). Wenn Sie diese Angaben nicht machen, entstehen Ihnen keine Nachteile.

In unseren Formularen kennzeichnen wir Pflichtfelder mit einem Sternchen, damit Sie schon beim Ausfüllen sehen, welche Angabe nötig ist und welche nicht.

20. Verarbeitung zu einem anderen Zweck

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

Wenn wir Ihre Daten für einen anderen Zweck verarbeiten wollen als für den, zu dem wir sie erhoben haben, informieren wir Sie vor dieser Weiterverarbeitung über den neuen Zweck und über alle weiteren maßgeblichen Angaben (Art. 13 Abs. 3 DSGVO).

Eine Weiterverarbeitung ist nur zulässig, wenn der neue Zweck mit dem ursprünglichen vereinbar ist (Art. 6 Abs. 4 DSGVO), wenn eine Rechtsvorschrift sie erlaubt oder wenn Sie eingewilligt haben.

Für die Daten der von Ihnen betreuten Personen gilt das nicht, weil wir sie ausschließlich auf Ihre Weisung verarbeiten. Eine Zweckänderung könnten wir dort gar nicht selbst vornehmen. Wir würden damit über unsere Rolle als Auftragsverarbeiter hinausgehen, also selbst über Zweck und Mittel entscheiden; nach Art. 28 Abs. 10 DSGVO wären wir dann für diese Verarbeitung selbst Verantwortlicher. Genau das schließen wir aus.

21. Datensicherheit

Rolle in diesem Abschnitt: gilt für beide Rollen.

21.1 Unsere Maßnahmen

Wir treffen technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Dazu gehören:

  • Verschlüsselte Übertragung: Der gesamte Datenverkehr zwischen Ihrem Gerät und unserem Server läuft über eine verschlüsselte Verbindung (TLS).
  • Standort: Anwendung, Datenbank und Dateispeicher laufen ausschließlich auf unserem eigenen Server in einem Rechenzentrum in Deutschland. Zur einzigen Ausnahme beim Versand von Transaktions-E-Mails siehe Abschnitt 16.
  • Trennung der Kunden: Die Daten verschiedener Kunden sind auf Datenbankebene voneinander getrennt. Der Zugriff eines Kontos ist technisch auf die Daten der eigenen Organisation beschränkt.
  • Rollen und Berechtigungen: Innerhalb Ihrer Organisation können Sie festlegen, wer welche Bereiche sehen und bearbeiten darf.
  • Zwei-Faktor-Anmeldung: Der Zugang lässt sich mit einem zweiten Faktor absichern. Eine Person mit Administratorrechten Ihrer Organisation kann die Zwei-Faktor-Anmeldung unter „Einstellungen → Sicherheit" für alle Mitglieder Ihrer Organisation verbindlich vorgeben; ist dies aktiviert, weist der Server jede Anfrage ohne bestätigten zweiten Faktor zurück.
  • Protokollierung: Sicherheitsrelevante Vorgänge werden protokolliert. Welche Ereignisarten das sind, steht in Abschnitt 10.
  • Verpflichtung auf Vertraulichkeit: Personen, die bei uns Zugang zu Kundendaten erhalten, werden vor dem ersten Zugang nach Art. 28 Abs. 3 lit. b DSGVO schriftlich zur Vertraulichkeit verpflichtet; die Verpflichtung gilt über das Ende der Tätigkeit hinaus.
  • Administrativer Zugriff: Administrativer Zugriff auf die Datenbank ist auf einen engen, festgelegten Personenkreis beschränkt. Ein Zugriff auf Klartextdaten einer Betreutenakte erfolgt nur nach Ihrer Weisung und nur nach einer dokumentierten Störungsmeldung; eine Offenlegung gegenüber dem betroffenen Kunden ist auf Anfrage möglich.
  • Datensicherung: Wir erstellen täglich automatisiert Sicherungskopien der Datenbank, zusätzlich nutzen wir die von der Hetzner Online GmbH bereitgestellte automatisierte Server-Sicherung (letzte 7 Tage), und halten darüber hinaus eine räumlich getrennte, verschlüsselte Zweitkopie an einem ausschließlich eigenen Standort vor. Eine Wiederherstellung aus den Sicherungskopien wird wöchentlich automatisiert getestet. Wie lange wir Sicherungskopien aufbewahren und wie sich eine Löschung dazu verhält, steht in Abschnitt 18.
  • Verschlüsselte Ablage von Zugangsdaten: Zugangsdaten, die Sie für Schnittstellen hinterlegen (Abschnitt 13), speichern wir verschlüsselt.

Ausgewählte besonders sensible Felder werden über die Verschlüsselung der Datenträger hinaus gesondert verschlüsselt: Diagnosen, Grad der Behinderung, Merkzeichen, Inhalt einer Patientenverfügung, Krankenkasse, Versichertennummer, Hausarztdaten, IBANs und FinTS-Zugangsdaten. Verfahren ist Fernet (symmetrische Verschlüsselung auf Basis von AES). Der Schlüssel für die Klientendaten liegt technisch getrennt von den verschlüsselten Daten selbst in einem eigenen Schlüsseltresor (Supabase Vault), jedoch innerhalb derselben Serverumgebung; die Schlüssel für E-Mail- und Bankzugangsdaten liegen ebenfalls dort. Hochgeladene Dokumente und übrige Datenbankinhalte sind nicht zusätzlich feld- oder spaltenverschlüsselt.

Eine vollständige Beschreibung der technischen und organisatorischen Maßnahmen ist Anlage zum Auftragsverarbeitungsvertrag.

21.2 Nachweis und Kontrolle

Als Verantwortlicher können Sie die Einhaltung unserer Pflichten überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Auf Anfrage stellen wir Ihnen eine ausgefüllte Selbstauskunft zu unseren technischen und organisatorischen Maßnahmen zur Verfügung. Eine Überprüfung vor Ort ist nach Terminabsprache möglich; Einzelheiten regelt § 16 Abs. 4 des Auftragsverarbeitungsvertrags.

Welche Nachweise für das eingesetzte Rechenzentrum vorliegen, mit Norm und Geltungsbereich: ISO/IEC 27001, § 8a BSI-KritisV sowie ein BSI-C5-Typ-2-Testat; das Rechenzentrum wird zusätzlich jährlich extern auf die technischen und organisatorischen Maßnahmen geprüft. Die Zertifikate im Einzelnen mit Nummer und Laufzeit sind bei Hetzner öffentlich einsehbar.

Eine eigene Zertifizierung des Betreibers besteht nicht.

Ihre Anfrage richten Sie an kontakt@buerofluss.de.

21.3 Wenn etwas schiefgeht

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, also wenn Daten unbeabsichtigt offengelegt, verändert, vernichtet oder unbefugt eingesehen wurden, gilt Folgendes. Betrifft die Verletzung Daten der von Ihnen betreuten Personen, melden wir sie Ihnen als Verantwortlichem unverzüglich nach Art. 33 Abs. 2 DSGVO. Betrifft sie Daten, für die wir selbst Verantwortlicher sind, also insbesondere Ihre Konto-, Vertrags- und Rechnungsdaten, melden wir den Vorfall nach Art. 33 Abs. 1 DSGVO unserer Aufsichtsbehörde und benachrichtigen Sie zusätzlich nach Art. 34 Abs. 1 DSGVO unverzüglich, wenn die Verletzung voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten zur Folge hat.

  • Wir informieren Sie, wenn Daten Ihrer Organisation oder Daten der von Ihnen betreuten Personen unbefugt eingesehen, verändert, abgeflossen, verloren gegangen oder vernichtet worden sind.
  • Wir schreiben Ihnen dazu per E-Mail an die in Ihrem Konto hinterlegte Adresse.
  • Betrifft die Verletzung Daten der von Ihnen betreuten Personen, liefern wir Ihnen dabei die Angaben, die Sie für Ihre eigene Meldung an Ihre Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO brauchen. Ihre eigene Frist von 72 Stunden beginnt, sobald Sie Kenntnis haben.

Inhalt und Weg der Meldung im Einzelnen regelt § 12 des Auftragsverarbeitungsvertrags.

22. Ihre Rechte

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

Die nachfolgenden Rechte können Sie uns gegenüber für alle Daten geltend machen, für die wir Verantwortlicher sind; das sind die in den Abschnitten 4 bis 9 und 17 beschriebenen Daten, der auf Ihr eigenes Nutzerverhalten bezogene Teil der Protokolle aus Abschnitt 10 sowie die in Abschnitt 18 Zeilen 1 bis 7 genannten Bestände. Für die Protokolle über Zugriffe auf Daten der von Ihnen betreuten Personen sind Sie selbst Verantwortlicher; dafür gilt der folgende Satz. Für die Daten der von Ihnen betreuten Personen richten sich diese Rechte gegen Sie als Verantwortlichen; wir unterstützen Sie dabei nach Art. 28 Abs. 3 lit. e DSGVO.

  • Auskunft (Art. 15 DSGVO): Sie können erfahren, ob und welche Daten wir über Sie verarbeiten, und eine Kopie dieser Daten verlangen.
  • Berichtigung (Art. 16 DSGVO): Sie können verlangen, dass wir unrichtige Daten berichtigen und unvollständige Daten vervollständigen.
  • Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, etwa wenn wir sie für den ursprünglichen Zweck nicht mehr brauchen. Gesetzliche Aufbewahrungspflichten können dem entgegenstehen (siehe Abschnitt 18).
  • Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können verlangen, dass wir Ihre Daten nur noch speichern und nicht weiter verwenden, etwa solange strittig ist, ob sie richtig sind.
  • Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten oder deren direkte Übermittlung an einen anderen Anbieter verlangen, soweit das technisch machbar ist. Dieses Recht besteht, soweit wir diese Daten aufgrund Ihrer Einwilligung oder zur Erfüllung des Vertrags automatisiert verarbeiten (Art. 20 Abs. 1 lit. a und lit. b DSGVO). Für Verarbeitungen, die wir auf ein berechtigtes Interesse stützen, besteht dieses Recht nicht.
  • Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit wir eine Verarbeitung ausnahmsweise auf Ihre Einwilligung stützen, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Derzeit stützen wir keine Verarbeitung auf eine Einwilligung.

Ihr Recht auf Widerspruch nach Art. 21 DSGVO steht im hervorgehobenen Kasten unmittelbar unter diesem Abschnitt.

Zur Ausübung genügt eine formlose Nachricht an kontakt@buerofluss.de oder an unsere Postanschrift. Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang Ihres Antrags (Art. 12 Abs. 3 DSGVO). Können wir die Frist ausnahmsweise nicht einhalten, teilen wir Ihnen das innerhalb dieses Monats mit und nennen die Gründe.

Wenn wir begründete Zweifel an Ihrer Identität haben, können wir zusätzliche Informationen anfordern, die zur Bestätigung Ihrer Identität erforderlich sind (Art. 12 Abs. 6 DSGVO).

⚠ Ihr Widerspruchsrecht nach Art. 21 DSGVO

Dieser Hinweis steht bewusst getrennt von den übrigen Informationen, weil Art. 21 Abs. 4 DSGVO das ausdrücklich verlangt.

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen, soweit wir diese Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO stützen, also auf ein berechtigtes Interesse.

Das betrifft bei uns:

  • die Auslieferung und Absicherung unserer Website und die dabei anfallenden Server-Logfiles (Abschnitt 4),
  • die Beantwortung von Anfragen, die nicht auf einen Vertragsschluss gerichtet sind (Abschnitt 5),
  • den Nachweis Ihrer Zustimmung zu den Rechtstexten und die Absicherung des Zugangs zu Ihrem Konto (Abschnitt 6),
  • die Verarbeitung der Kontodaten von Team-Mitgliedern (Abschnitt 7),
  • die Beitreibung offener Forderungen (Abschnitt 8),
  • die Anmelde- und Sicherheitsprotokolle unserer Anwendung (Abschnitt 10),
  • die Aufbewahrung von Sicherungskopien (Abschnitt 18).

Was ein Widerspruch praktisch bedeutet: Bei den Sicherheitsprotokollen, der Zwei-Faktor-Anmeldung und den Sicherungskopien können wir den Dienst ohne diese Verarbeitungen nicht sicher bereitstellen. Wir prüfen Ihren Widerspruch trotzdem im Einzelfall und teilen Ihnen das Ergebnis mit. Führt er dazu, dass wir den Zugang nicht mehr bereitstellen können, sagen wir Ihnen das vor einer Sperrung und geben Ihnen Gelegenheit, Ihre Daten zu exportieren.

Legen Sie Widerspruch ein, verarbeiten wir Ihre Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ihren Widerspruch richten Sie formlos an kontakt@buerofluss.de oder an unsere Postanschrift. Eine bestimmte Form ist nicht vorgeschrieben. Sie müssen den Widerspruch nicht begründen, es hilft uns aber bei der Abwägung, wenn Sie Ihre besondere Situation schildern.

Direktwerbung: Verarbeiten wir Ihre Daten für Direktwerbung, können Sie dieser Verarbeitung jederzeit widersprechen, ohne dass es auf eine Abwägung ankommt (Art. 21 Abs. 2 und 3 DSGVO). Nach dem Widerspruch verarbeiten wir Ihre Daten für diesen Zweck nicht mehr. Derzeit betreiben wir keine Direktwerbung.

23. Beschwerderecht bei einer Aufsichtsbehörde

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren (Art. 13 Abs. 2 lit. d und Art. 77 Abs. 1 DSGVO).

Die für uns zuständige Aufsichtsbehörde ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, www.datenschutz.hessen.de

Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Ihres Arbeitsplatzes wenden (Art. 77 Abs. 1 DSGVO). Dieses Beschwerderecht besteht zusätzlich zu allen anderen Möglichkeiten, sich zu wehren, etwa vor einem Gericht.

24. Änderungen dieser Erklärung und frühere Fassungen

Rolle in diesem Abschnitt: Bürofluss ist Verantwortlicher.

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung ändert, zum Beispiel wenn wir einen neuen Dienstleister einsetzen oder eine neue Funktion einführen.

Bei wesentlichen Änderungen informieren wir Sie vorab per E-Mail an die in Ihrem Konto hinterlegte Adresse. Die jeweils geltende Fassung finden Sie stets unter dieser Adresse.

Jede Fassung trägt oben eine Nummer und ein Datum. Bei der Registrierung speichern wir, welcher Fassung Sie zugestimmt haben, damit später nachvollziehbar bleibt, worüber Sie informiert wurden.

Fassungen dieser Erklärung:

Fassung 1.0, gültig ab 12.09.2026, gültig bis laufend, abrufbar unter https://bürofluss.de/datenschutz.html.