Datenschutzerklärung

Peakflow Solutions
Inhaber: Daniel Trefzger
c/o Adressgeber #2098
An der Alten Ziegelei 38
48157 Münster
E-Mail: kontakt@peakflowsolutions.de
Telefonisch auf Anfrage erreichbar.

Wir haben keinen Datenschutzbeauftragten benannt, da die gesetzlichen Voraussetzungen (regelmäßige Beschäftigung von mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten gemäß § 38 BDSG bzw. Kerntätigkeit der umfangreichen Verarbeitung gemäß Art. 37 DSGVO) derzeit nicht erfüllt sind. Datenschutzanfragen können Sie an die unter Ziffer 1 genannten Kontaktdaten richten.

Bei der Nutzung von Invoice Dock werden folgende personenbezogene Daten verarbeitet:

• Registrierungsdaten: E-Mail-Adresse, Name, Unternehmen sowie die Bestätigung, als Unternehmer zu handeln (mit Zeitpunkt und Fassung der AGB)
• Abrechnungsdaten: Gebuchter Tarif, Stripe-Kundenkennung, Rechnungen über die Nutzung
• Support-Anfragen: Inhalt Ihrer Anfragen und unserer Antworten einschließlich Anhängen
• Herkunftsangaben: Über welchen Kanal und welche Kampagne Sie zur Registrierung gelangt sind (siehe Ziffer 10)
• Belegdaten: Von Ihnen hochgeladene oder per E-Mail importierte Belege, einschließlich darin enthaltener personenbezogener Daten Dritter (Lieferantennamen, Bankverbindungen, Empfängerangaben, Mitteilungstexte, Beträge)
• E-Mail-Zugangsdaten: IMAP-Serverdaten oder Zugangstoken für Microsoft-365-Postfächer für den automatischen E-Mail-Import (verschlüsselt gespeichert)
• Freigabedaten: Entscheidungen, Kommentare, Abwesenheiten und Vertretungen
• API-Schlüssel: Schlüssel für unsere Schnittstelle, ausschließlich als Hash gespeichert
• Nutzungsdaten: Technisch notwendige Sitzungsinformationen
• Server-Logfiles: IP-Adresse, Zeitstempel, aufgerufene URL, User-Agent, automatisch beim Aufruf erfasst und von unseren Hosting-Anbietern (Vercel, Supabase) nach deren Fristen automatisch gelöscht; eine eigene Speicherung findet nicht statt
• Leitfaden-Anforderungen: E-Mail-Adresse, optional Vorname, Einwilligungen und deren Zeitpunkte, wenn Sie auf unserer Website einen Leitfaden anfordern (siehe Ziffer 11)

Soweit wir selbst über Zwecke und Mittel entscheiden, verarbeiten wir Ihre Daten wie folgt:

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Ergebnisse der KI sind Vorschläge; jede Freigabe trifft ein Mensch.

Pflicht zur Bereitstellung: Die Angabe von Name, E-Mail-Adresse und Unternehmensdaten ist für den Vertragsschluss erforderlich; ohne sie können wir Ihnen kein Konto bereitstellen. Alle übrigen Angaben, insbesondere die Einwilligung in Marketing-Cookies, sind freiwillig. Eine Ablehnung hat keine Nachteile für die Nutzung.

Die Inhalte Ihrer Belege und Verträge und die Daten Dritter darin verarbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des mit Ihnen geschlossenen Auftragsverarbeitungsvertrags. Verantwortlicher und damit für die Rechtsgrundlage zuständig ist insoweit Ihr Unternehmen. Dazu gehören:

• Speicherung, Prüfung und Verwaltung Ihrer Belege einschließlich Freigabe-Workflow
• KI-gestützte Extraktion von Rechnungsdaten aus PDF-, Bild- und E-Mail-Dokumenten sowie aus Vertragsdokumenten
• KI-gestützte Kontierungs- und Kategorievorschläge sowie ein KI-Assistent für Fragen zu Ihren Belegdaten
• KI-gestützter Abgleich fehlender Belege (Beleg-Jäger, ab Tarif Team und in der Testphase): Vorschläge, ob eine fehlende Rechnung schon vorliegt, im Portal abgeholt oder beim Lieferanten angefragt werden sollte
• Automatischer E-Mail-Import von Rechnungsanhängen
• Export und Übergabe an Ihre Zielsysteme

Die Aufbewahrungspflicht nach § 147 AO trifft Sie als Verantwortlichen und begründet für uns keine eigene Speicherpflicht (siehe Ziffer 6).

Ihre Kontodaten werden gespeichert, solange Ihr Benutzerkonto besteht. Bei Löschung Ihres Kontos wird der Zugriff unverzüglich gesperrt. Sind Sie das einzige Mitglied Ihrer Organisation, wird die gesamte Organisation mit sämtlichen Rechnungen, Zahlungen, Integrations- und E-Mail-Verbindungsdaten gelöscht; für die Belege gilt dabei die unten beschriebene Karenzfrist. Gehören Sie einer Organisation mit weiteren Mitgliedern an, verlassen Sie beim Löschen Ihres Kontos lediglich die Organisation. Die gemeinsam genutzten Rechnungsdaten bleiben für die übrigen Mitglieder unverändert erhalten.

Speicherdauer der Belege: Ihre Belege werden gespeichert, solange der Vertrag über die Nutzung der Plattform besteht. Nach Vertragsende oder Löschung Ihres Kontos werden sie nach einer Karenzfrist von 30 Tagen, die allein dem Export dient, vollständig und unwiderruflich gelöscht.

Invoice Dock ist kein Aufbewahrungsort im Sinne des § 147 AO. Die handels- und steuerrechtliche Aufbewahrungspflicht trifft Sie als Verantwortlichen. Wir unterstützen Sie dabei, indem wir zu jedem Beleg das Ende der gesetzlichen Frist berechnen und anzeigen und Ihnen jederzeit einen vollständigen Export Ihrer Belege und Daten bereitstellen, den Sie in Ihr Zielsystem überführen können, etwa in ein Dokumentenmanagementsystem, Ihr ERP oder zu Ihrer Steuerberatung. Bitte überführen Sie Ihre Belege vor Ablauf der Karenzfrist dorthin.

Während der Vertragslaufzeit werden Änderungen an Belegen in einem Änderungsprotokoll festgehalten.

Für den Betrieb von Invoice Dock setzen wir folgende Auftragsverarbeiter ein:

Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO. Stripe verarbeitet Zahlungsdaten zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten zusätzlich als eigener Verantwortlicher.

7.1 Optionale Integrationen (nur nach Aktivierung durch den Nutzer)

Invoice Dock kann auf Wunsch Benachrichtigungen an Systeme senden, die der Nutzer selbst betreibt oder beauftragt hat. Diese Integrationen sind standardmäßig deaktiviert. Eine Übermittlung findet ausschließlich statt, wenn ein berechtigter Nutzer die Integration in den Einstellungen aktiviert und eine Ziel-Adresse (Webhook-URL) hinterlegt. Die Aktivierung stellt eine Weisung des Nutzers dar; der Nutzer bleibt für die Rechtmäßigkeit dieser Übermittlung innerhalb seiner eigenen Organisation verantwortlich.

Übermittelte Daten: Übermittelt werden ausschließlich Metadaten zum jeweiligen Ereignis, nämlich Lieferantenname, Rechnungsnummer, Betrag, Währung, Fälligkeitsdatum, Bezeichnung der Freigabestufe, Name der zuständigen bzw. entscheidenden Person sowie ein Link in die Anwendung. Nicht übermittelt werden Belegdateien, Rechnungspositionen, Bankverbindungen oder Dokumentinhalte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Information der zuständigen Personen über offene Vorgänge). Die Integration kann jederzeit in den Einstellungen getrennt werden; danach erfolgt keine weitere Übermittlung.

Übergabe an Xentral und Lexware Office (ab Plan Business): Verbindet ein Nutzer Invoice Dock mit seiner Xentral-Instanz oder mit Lexware Office, werden Belege ausschließlich auf seine Veranlassung an den jeweiligen Anbieter übergeben. Übermittelt werden die Belegdaten (etwa Lieferant, Rechnungsnummer, Beträge und Rechnungsdatum) zusammen mit der Belegdatei. Empfänger ist die vom Nutzer verbundene Xentral-Instanz bzw. die Lexware-Schnittstelle (api.lexware.io). Die Übergabe stellt eine Weisung des Nutzers dar; die Verarbeitung beim Empfänger richtet sich nach dessen Vertrag mit dem Nutzer.

Im Rahmen der Vertragsabwicklung werden Ihre Rechnungs- und Kontaktdaten (Name, E-Mail-Adresse) an Stripe, Inc. in den USA übermittelt, sowie technische Zugriffsdaten im Rahmen des Hostings an Vercel Inc. in den USA. Dokumentinhalte Ihrer Belege sind hiervon nicht betroffen. Supabase Inc. speichert alle Daten in der EU (Frankfurt), hat aber seinen Sitz in den USA; ein Zugriff aus den USA, etwa im Rahmen des Supports, ist daher nicht ausgeschlossen.

Für den Versand von System- und Benachrichtigungs-E-Mails setzen wir Plus Five Five, Inc. (Resend) in den USA ein. Übermittelt werden dabei die E-Mail-Adresse des Empfängers und der Inhalt der Nachricht. Benachrichtigungen enthalten keine Beleg- oder Vertragsangaben, sondern nur einen Hinweis und einen Link in die Anwendung. Beim Anfordern eines Leitfadens (Ziffer 11) sind es Ihre E-Mail-Adresse, gegebenenfalls Ihr Vorname und der Bestätigungs- beziehungsweise Download-Link. Resend ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten EU-Standardvertragsklauseln.

Bei Einwilligung in Marketing-Cookies werden zudem technische Nutzungsdaten (u.a. IP-Adresse, Browser-Informationen, besuchte Seiten) über den LinkedIn Insight Tag an LinkedIn Ireland Unlimited Company bzw. LinkedIn Corporation in den USA übermittelt. LinkedIn ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten EU-Standardvertragsklauseln.

Ebenfalls nur bei Einwilligung in Marketing-Cookies werden beim Abschluss einer Registrierung technische Nutzungsdaten (u.a. IP-Adresse, Browser-Informationen, Klick-Kennung der Anzeige) über das Conversion-Tracking von Google Ads an Google Ireland Limited bzw. Google LLC in den USA übermittelt. Google ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten EU-Standardvertragsklauseln.

Ebenso nur bei Einwilligung in Marketing-Cookies werden über den Meta-Pixel technische Nutzungsdaten (u.a. IP-Adresse, Browser-Informationen, Seitenadresse, Cookie-Kennungen und Klick-Kennung der Anzeige) an Meta Platforms Ireland Limited übermittelt und von dort auch an Meta Platforms, Inc. in den USA weitergegeben. Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage der Übermittlungen: Für LinkedIn, Google, Resend, Slack und Microsoft besteht ein Angemessenheitsbeschluss der EU-Kommission auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend gelten EU-Standardvertragsklauseln. Für Meta besteht ein Angemessenheitsbeschluss auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO). Für Stripe, Vercel und Supabase gelten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Beschluss 2021/914).

KI-gestützte Auswertung ohne Drittlandtransfer: Seit dem 13. Oktober 2026 läuft die KI-gestützte Auswertung von Belegen (Belegerkennung, Mailtext, Klassifizierung, Kontierungsvorschläge, seit dem 15. Oktober 2026 auch der Abgleich fehlender Belege) und der KI-Assistent über Amazon Bedrock. Vertragspartner ist die Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, Grundlage ist der Auftragsverarbeitungsvertrag von AWS (AWS GDPR Data Processing Addendum, Teil der AWS Service Terms) nach Art. 28 DSGVO. Eingesetzt wird das Modell Claude von Anthropic, betrieben von AWS in AWS-Rechenzentren. Wir nutzen das EU-Inferenzprofil: Die Anfragen werden ausschließlich in Rechenzentren in der EU verarbeitet (Regionen Frankfurt, Irland, Paris, Stockholm, Mailand und Spanien). Anthropic als Hersteller des Modells hat nach Angabe von AWS keinen Zugriff auf die Eingaben und Ausgaben (Quelle: AWS, Amazon Bedrock, Data protection). Die Amazon Web Services EMEA SARL gehört zu einem Konzern mit Sitz in den USA (Amazon.com, Inc.); ein Zugriff von US-Behörden nach US-Recht ist daher nicht vollständig ausgeschlossen.

Gespeichert werden Ihre Belege in der EU (AWS Frankfurt, bei Supabase). Für die automatisierte Texterkennung wird der Dokumentinhalt an Amazon Bedrock übermittelt, einschließlich darin enthaltener personenbezogener Daten Dritter (z.B. Lieferantennamen, Bankverbindungen, Empfängerangaben). Die Verarbeitung dauert wenige Sekunden, danach wird das strukturierte Ergebnis (etwa Lieferant, Betrag, Datum) in unsere Datenbank in der EU zurückgeschrieben. Für Kontierungs- und Kategorievorschläge und für den KI-Assistenten werden die dafür benötigten Belegdaten an Amazon Bedrock übermittelt. Für den Abgleich fehlender Belege (Beleg-Jäger) werden je offener Aufgabe die Lieferantenbezeichnung, Daten, Beträge und Rechnungsnummern früherer Rechnungen dieses und ähnlich benannter Lieferanten, Angaben zu den zugehörigen Verträgen (Status, Laufzeit, Abrechnungstakt) sowie Absendername und Betreff der zugehörigen E-Mails (Ankündigung, eingegangene Rechnungen) übermittelt, keine Dokumente. Als vertraulich markierte Belege und Verträge sind ausgenommen. Das Ergebnis ist ein Vorschlag mit Begründung; entschieden wird ausschließlich durch die Nutzer.

Speicherdauer bei Amazon Bedrock, Training: Amazon Bedrock speichert die übermittelten Inhalte und die Antworten der KI standardmäßig nicht. Beschäftigte von AWS haben keinen Zugriff darauf (Quelle: AWS, Amazon Bedrock, Abuse detection). Die Daten werden nicht an Anthropic weitergegeben. Sie stehen daher für ein Training des Modells nicht zur Verfügung.

Ausnahme bei Bildern: Bilddateien, die an Amazon Bedrock gehen, prüft AWS automatisiert auf Darstellungen sexuellen Kindesmissbrauchs. Treffer können von AWS gespeichert, geprüft und an Behörden gemeldet werden (Quelle wie zuvor, Abuse detection). Wir haben auf diese Prüfung keinen Einfluss und weisen daher ausdrücklich darauf hin.

Zusätzliche Übermittlungen bei aktivierten Integrationen: Aktiviert ein Nutzer die Anbindung an Slack oder Microsoft Teams (siehe Ziffer 7.1), werden die dort genannten Ereignis-Metadaten an den jeweiligen Anbieter in den USA übermittelt. Beide Anbieter sind unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten EU-Standardvertragsklauseln. Diese Übermittlung findet nur statt, solange die Integration aktiv ist, und unterbleibt vollständig, wenn sie nicht eingerichtet oder wieder getrennt wird. Belegdateien und Dokumentinhalte sind hiervon zu keinem Zeitpunkt betroffen.

Sie haben jederzeit folgende Rechte:

• Auskunft (Art. 15 DSGVO), über Ihre gespeicherten Daten
• Berichtigung (Art. 16 DSGVO), unrichtiger Daten
• Löschung (Art. 17 DSGVO), Ihres Kontos und aller Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO), Export Ihrer Daten als ZIP
• Widerspruch (Art. 21 DSGVO), gegen die Verarbeitung

Diese Rechte können Sie per E-Mail an kontakt@peakflowsolutions.de geltend machen. Wir antworten auf Ihre Anfrage innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).

Sind Sie als Lieferant oder sonstige Person in einem Beleg eines unserer Kunden genannt, ist dieser Kunde Verantwortlicher. Anfragen leiten wir unverzüglich an ihn weiter.

Invoice Dock verwendet technisch notwendige Cookies und Local-Storage-Einträge zur Sitzungsverwaltung (Authentifizierung, gespeicherte Filter-Einstellungen). Hierfür ist gemäß § 25 Abs. 2 Nr. 2 TDDDG (vormals TTDSG) keine Einwilligung erforderlich.

Mit Ihrer Einwilligung über den Cookie-Banner der Anwendung setzen wir auf den Seiten vor der Anmeldung (etwa Registrierung und Anmeldung) zusätzlich den LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company bzw. LinkedIn Corporation, USA) zur Reichweitenmessung und Erfolgskontrolle unserer LinkedIn-Werbeanzeigen ein. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Ihre Einwilligung wird der Insight Tag nicht geladen. Weitere Informationen bietet LinkedIn in der LinkedIn-Datenschutzrichtlinie.

Ebenfalls nur mit Ihrer Einwilligung setzen wir das Conversion-Tracking von Google Ads ein (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Es zeigt uns, ob eine Registrierung auf den Klick auf eine unserer Google-Anzeigen zurückgeht. Dazu wird die Klick-Kennung, die Google beim Klick auf die Anzeige an die Adresse anhängt, nach Ihrer Einwilligung in einem Cookie gespeichert, das nach 90 Tagen abläuft. Beim Abschluss der Registrierung wird diese Kennung zusammen mit IP-Adresse und Browser-Informationen an Google übermittelt. Wir erhalten nur die Gesamtzahl der Registrierungen je Anzeige und keine Angaben, mit denen wir Sie identifizieren könnten. Personalisierte Werbung (Remarketing) auf Basis dieser Daten schalten wir nicht; das Tag ist entsprechend konfiguriert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Ihre Einwilligung wird das Tag nicht geladen. Weitere Informationen bietet Google in der Google-Datenschutzerklärung und unter Werbung bei Google.

Ebenfalls nur mit Ihrer Einwilligung setzen wir auf den Seiten vor der Anmeldung den Meta-Pixel ein (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland). Er zeigt uns, ob eine Registrierung auf den Klick auf eine unserer Anzeigen bei Facebook oder Instagram zurückgeht. Nach Ihrer Einwilligung lädt Ihr Browser dazu ein Skript von Meta-Servern; dabei erhält Meta Ihre IP-Adresse und Browser-Informationen. Der Pixel speichert in Cookies eine pseudonyme Browser-Kennung (_fbp) und, wenn Sie über eine Meta-Anzeige kamen, deren Klick-Kennung (_fbc). Beide Cookies laufen nach 90 Tagen ab, die Frist beginnt bei jedem erneuten Aufruf neu. Beim Abschluss der Registrierung meldet der Pixel dieses Ereignis zusammen mit diesen Kennungen, der aufgerufenen Seitenadresse, IP-Adresse und Browser-Informationen an Meta. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta dabei eigene Cookies auslesen und das Ereignis Ihrem Meta-Konto zuordnen. Weitere Ereignisse, Ihre E-Mail-Adresse oder Ihr Name werden nicht übermittelt; die automatische Erfassung von Seiteninhalten und Formulareingaben ist abgeschaltet. Wir erhalten nur die Gesamtzahl der Registrierungen je Anzeige und keine Angaben, mit denen wir Sie identifizieren könnten. Zielgruppen für Remarketing bilden wir aus diesen Daten nicht. Meta nutzt die Daten auch, um die Auslieferung von Anzeigen zu optimieren, und kann sie nach eigenen Bedingungen für eigene Zwecke verwenden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Ihre Einwilligung wird der Pixel nicht geladen. Weitere Informationen bietet Meta in der Datenschutzrichtlinie von Meta.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie in der Anwendung über den Link „Cookie-Einstellungen“ am Seitenende bzw. in der Seitenleiste das Banner erneut aufrufen und „Nur notwendige“ wählen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Gemeinsame Verantwortlichkeit: Für die Erhebung der Daten über den LinkedIn Insight Tag, das Google-Ads-Conversion-Tracking und den Meta-Pixel und deren Übermittlung sind wir gemeinsam mit LinkedIn Ireland Unlimited Company, Google Ireland Limited bzw. Meta Platforms Ireland Limited verantwortlich (Art. 26 DSGVO). Mit LinkedIn besteht hierzu eine Vereinbarung als Teil der LinkedIn-Werbebedingungen; danach ist LinkedIn für die Erfüllung der Betroffenenrechte hinsichtlich der bei LinkedIn gespeicherten Daten zuständig. Google stellt keine gesonderte Vereinbarung nach Art. 26 DSGVO bereit und verarbeitet die Daten nach den Google Ads Controller-Controller Data Protection Terms als eigener Verantwortlicher. Mit Meta Platforms Ireland Limited besteht eine Vereinbarung über die gemeinsame Verantwortlichkeit (Meta Controller Addendum als Bestandteil der Meta Business Tools Terms, abrufbar unter facebook.com/legal/controller_addendum). Danach sind wir für die Information und die Einholung Ihrer Einwilligung zuständig, Meta für die Erfüllung der Betroffenenrechte hinsichtlich der bei Meta gespeicherten Daten. Sie können Ihre Rechte auch uns gegenüber geltend machen; wir leiten Anfragen, die LinkedIn, Google oder Meta betreffen, weiter. Die anschließende Verarbeitung bei LinkedIn, Google und Meta erfolgt in deren alleiniger Verantwortung.

Zur Reichweitenmessung unserer Website setzen wir außerdem Vercel Web Analytics ein (Vercel Inc., USA). Das Verfahren arbeitet cookielos und legt keine Informationen auf Ihrem Endgerät ab oder liest solche aus, weshalb hierfür nach § 25 TDDDG keine Einwilligung erforderlich ist. Erfasst werden ausschließlich aggregierte Aufrufzahlen sowie aufgerufene Seite, Referrer, Gerätetyp, Browser, Betriebssystem und Land. Hinzu kommen aggregierte Ereigniszahlen ohne Personenbezug, etwa wie oft ein Link in die Anwendung angeklickt und welcher Schritt des Registrierformulars erreicht wurde. Innerhalb der Anwendung zählen wir nur die Seiten vor der Anmeldung; Adressen, die Kennungen Ihrer Belege oder Verträge enthalten, werden nicht übermittelt. Von Ihnen eingegebene Inhalte wie Name, Firma oder E-Mail-Adresse fließen in keinem Fall ein. Vercel bildet daraus einen täglich wechselnden Hashwert, um wiederkehrende Aufrufe zu erkennen; dieser Wert lässt nach Ablauf des Tages keinen Rückschluss mehr auf Sie zu. IP-Adressen werden nicht gespeichert, es entstehen keine seitenübergreifenden Profile. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Der Drittlandtransfer in die USA ist über EU-Standardvertragsklauseln abgesichert (siehe Ziffer 8). Sie können der Erfassung widersprechen, indem Sie in Ihrem Browser einen Tracking-Blocker aktivieren.

Zusätzlich zählen wir Seitenaufrufe und Klicks auf Links in die Anwendung mit einem eigenen, ebenfalls cookielosen Zähler. Ihr Browser überträgt dabei nur das Ereignis, die aufgerufene Seite und beim Seitenaufruf den Kanal, über den Sie gekommen sind (etwa Google-Anzeige, Google-Suche, LinkedIn oder direkter Aufruf), samt einer Kampagnenkennung, sofern der Link eine trägt. Der Kanal wird in Ihrem Browser aus der Adresse und der verweisenden Seite abgeleitet; Klick-Kennungen der Werbenetze werden nicht übertragen. Empfänger ist unsere Verwaltungsanwendung (Hosting bei Vercel). Gespeichert wird bei Supabase mit Datenhaltung in der EU (Frankfurt). IP-Adressen werden nicht gespeichert. Um Besucher je Tag zu zählen, bilden wir aus IP-Adresse, Browserkennung und Datum einen täglich wechselnden Hashwert, der keinen Rückschluss auf Sie zulässt. Auf Ihrem Endgerät wird nichts abgelegt oder ausgelesen. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); widersprechen können Sie wie oben beschrieben.

Gelangen Sie über eine unserer Anzeigen oder über einen Link mit Kampagnenkennzeichnung zu uns, speichern wir bei der Registrierung zu Ihrem Konto, über welchen Kanal und welche Kampagne Sie kamen. Dazu gehören Kampagnenparameter wie utm_source oder utm_campaign, das Werbenetz (Google Ads oder LinkedIn Ads) und der Hostname der Website, von der Sie zu uns gekommen sind. Wechseln Sie von unserer Website in die Anwendung, geben wir diese Angaben in der Adresse (URL) des Links weiter. Die Klick-Kennung einer Google- oder Meta-Anzeige wird dabei nur von der Seite, auf der Sie gelandet sind, an die Anwendung weitergereicht und dort allein vom oben beschriebenen Conversion-Tracking genutzt, sofern Sie eingewilligt haben. Klick-Kennungen der Werbenetze speichern wir nicht zu Ihrem Konto. Für diese Zuordnung setzen wir keine Cookies, legen keine Informationen auf Ihrem Endgerät ab und übermitteln die Angaben nicht an die Werbenetze. Zweck ist die Erfolgsmessung unserer Werbemaßnahmen, Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben werden mit Ihrem Konto gelöscht.

Auf unserer Website können Sie Leitfäden anfordern, etwa „Fake-Rechnungen und geänderte IBAN erkennen“. Dafür verarbeiten wir:

• Ihre E-Mail-Adresse und, falls angegeben, Ihren Vornamen
• welchen Leitfaden Sie angefordert haben
• Zeitpunkt der Anforderung und Ihrer Einwilligungen, die Fassung des Einwilligungstextes sowie die Zeitpunkte von Bestätigung und Versand
• Kampagnenangaben aus der aufgerufenen Adresse (etwa utm_source oder utm_campaign), das Werbenetz und den Hostnamen der Website, von der Sie kamen, soweit vorhanden (wie in Ziffer 10 beschrieben)
• einen mit einem geheimen Schlüssel gebildeten Hashwert Ihrer IP-Adresse; die IP-Adresse selbst speichern wir dabei nicht

Ablauf (Double-Opt-In): Nach der Anforderung senden wir Ihnen eine E-Mail mit einem Bestätigungslink. Erst wenn Sie die Anforderung darüber bestätigen, erhalten Sie den Link zum Herunterladen, auf der Website und per E-Mail. Er ist sieben Tage gültig. So stellen wir sicher, dass die Anforderung von der Inhaberin oder dem Inhaber der Adresse stammt. Den Hashwert der IP-Adresse nutzen wir allein, um massenhafte Anforderungen zu begrenzen.

E-Mails zu Invoice Dock: Nur wenn Sie den gesonderten, freiwilligen Haken setzen, schreiben wir Ihnen auch zu Invoice Dock. Der Wortlaut der Einwilligung lautet: „Ja, Peakflow Solutions darf mir höchstens zweimal im Monat E-Mails zu Invoice Dock schicken: neue Funktionen, Leitfäden, Hinweise zur E-Rechnung. Abmelden geht jederzeit über einen Link in jeder Mail.“ Den Leitfaden erhalten Sie unabhängig davon. Auch diese Einwilligung wird erst mit Ihrer Bestätigung über den Link wirksam.

Rechtsgrundlage für den Versand des Leitfadens und für weitere E-Mails ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Begrenzung über den Hashwert der IP-Adresse beruht auf unserem berechtigten Interesse, den Versand vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Nicht bestätigte Anforderungen löschen wir nach 30 Tagen. Bestätigte Anforderungen ohne Einwilligung in weitere E-Mails löschen wir 30 Tage nach der Bestätigung. Haben Sie in weitere E-Mails eingewilligt, speichern wir die Angaben bis zu Ihrem Widerruf. Danach löschen wir alles außer dem Nachweis Ihrer Einwilligung, also Vorname, Hashwert der IP-Adresse, Kampagnenangaben und die Links aus den E-Mails. Der Nachweis besteht aus E-Mail-Adresse, Zeitpunkt von Einwilligung und Bestätigung, Fassung des Einwilligungstextes und Zeitpunkt des Widerrufs. Ihn bewahren wir drei Jahre nach dem Widerruf auf und löschen ihn dann. Rechtsgrundlage dafür ist unser berechtigtes Interesse, die Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO); die Dauer richtet sich nach der regelmäßigen Verjährungsfrist von drei Jahren (§ 195 BGB). Den Hashwert der IP-Adresse löschen wir nach einem Tag.

Widerruf: Sie können Ihre Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder unserer E-Mails oder per E-Mail an kontakt@peakflowsolutions.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt (Art. 7 Abs. 3 DSGVO).

Empfänger: Gespeichert werden die Angaben und die PDF-Datei bei Supabase mit Datenhaltung in der EU (AWS Frankfurt); der Download-Link verweist auf diesen Speicher. Die E-Mails versenden wir über Resend (Plus Five Five, Inc., USA), siehe Ziffern 7 und 8.

Die Angabe Ihrer E-Mail-Adresse ist freiwillig. Ohne sie können wir Ihnen den Leitfaden nicht schicken.

• Verschlüsselte Datenübertragung (TLS 1.2+/HTTPS)
• Verschlüsselte Speicherung auf Datenträgerebene beim Hosting-Anbieter
• Zugangsdaten für Postfächer und angebundene Systeme sind für angemeldete Anwendungsnutzer nicht lesbar; das Leserecht auf diese Datenbankspalten liegt ausschließlich bei serverseitigen Diensten
• Schlüssel unserer öffentlichen API werden ausschließlich als Hash gespeichert
• Row-Level Security (RLS), mandantengetrennte Datenbankzugriffe
• Service-Role-Trennung, Trennung von Endnutzer- und administrativen Datenbankrollen
• Änderungsprotokoll für Belegänderungen
• Regelmäßige Sicherheitsupdates aller eingesetzten Komponenten
• Backups durch den Cloud-Anbieter (Supabase) inkl. Point-in-Time-Recovery