Datenschutzerklärung

01Verantwortlicher

Lukasz Piotr Karwot, WarenFlow, Hirschweg 10, 44869 Bochum, Deutschland Telefon: +49 178 5598793 · E-Mail: hallo@warenflow.de

Ein Datenschutzbeauftragter ist nicht benannt, weil keine gesetzliche Pflicht dazu besteht.

02Wer wofür verantwortlich ist

Wir sind Verantwortlicher für die Daten, die wir für den Betrieb unserer Website und der App, für Konten, Verträge, Abrechnung, Support und Sicherheit verarbeiten (Abschnitte 3–13).

Wir sind Auftragsverarbeiter für die Inhalte, die Kundinnen und Kunden in WarenFlow erfassen – zum Beispiel Artikel, Einkäufe, Verkäufe, Retouren, Fotos, Belege, Eigenbelege mit Namen und Anschriften von Privatverkäufern, Daten von Käufern sowie Daten, die WarenFlow auf Wunsch des Kunden aus seinem eBay-Konto abruft (Abschnitt 8). Verantwortlich für diese Daten ist der jeweilige Kunde; wir verarbeiten sie nur nach seinen Weisungen auf Grundlage des Auftragsverarbeitungsvertrags (app.warenflow.de/rechtliches/avv). Betroffene wenden sich bitte an den jeweiligen Kunden.

03Hosting und Server-Protokolle

Website und App laufen auf Servern der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland, Standort Nürnberg. Mit netcup besteht ein Auftragsverarbeitungsvertrag.

Bei jedem Aufruf werden IP-Adresse, Datum und Uhrzeit, abgerufene Adresse, Referrer, Statuscode, übertragene Datenmenge und Browserkennung protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Die Protokolle werden regulär nach 7 Tagen, spätestens nach 30 Tagen gelöscht.

Alle Verbindungen sind per TLS verschlüsselt (Zertifikate von Let's Encrypt).

04Registrierung und Konto

Daten: Vor- und Nachname, E-Mail-Adresse, Passwort (nur als bcrypt-Hash), Zeitpunkt und Fassung der Zustimmung zu AGB und Auftragsverarbeitungsvertrag, Firmenangaben, sofern Sie sie eintragen, sowie der Zeitpunkt der letzten Nutzung des Kontos.

Zweck und Rechtsgrundlage: Bereitstellung des Kontos und Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Bereitstellung ist für den Vertrag erforderlich; ohne diese Daten können wir kein Konto anlegen.

E-Mail-Bestätigung: Wir senden einen Bestätigungslink. Unbestätigte Konten im Tarif Kostenlos löschen wir nach 30 Tagen (Erinnerungen nach 3 und 25 Tagen).

Inaktive kostenlose Konten: Wir speichern den Zeitpunkt der letzten Nutzung eines Kontos (höchstens zweimal täglich). Wird ein kostenloses Konto zwölf Monate nicht genutzt, kündigen wir es mit 60 Tagen Frist per E-Mail (Erinnerungen 30, 7 und 1 Tag vorher), sperren es danach 30 Tage und löschen es anschließend vollständig (Art. 5 Abs. 1 lit. e, Art. 6 Abs. 1 lit. b und f DSGVO). Nach der Löschung bewahren wir nur ein Protokoll ohne Inhalte auf (Kennung des Kontos, Zeitpunkte der Hinweise und der Löschung).

Unterschrift für Eigenbelege (freiwillig): Wer möchte, zeichnet in WarenFlow einmal seine Unterschrift. Wir speichern sie als Bild zu Ihrer Person und setzen sie nur auf Eigenbelege, die Sie selbst damit erstellen; sie wird fest Teil des jeweiligen Belegs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von Ihnen genutzte Funktion). Speicherdauer: bis Sie die Unterschrift entfernen oder Ihr Zugang gelöscht wird; bereits erstellte Eigenbelege behalten sie (Abschnitt 13).

Team-Einladungen: Lädt ein Admin eine Person ein, verarbeiten wir deren E-Mail-Adresse und Rolle, um die Einladung zu versenden (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse des einladenden Kunden an der Zusammenarbeit). Einladungslinks gelten 72 Stunden.

05Bezahlte Tarife: Zahlungsabwicklung über Stripe

Die Zahlungsabwicklung erfolgt über Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Übermittelt werden Name, E-Mail-Adresse, Rechnungsanschrift (auch zur Berechnung der Umsatzsteuer), Tarif, Betrag und Währung; Zahlungsdaten geben Sie direkt bei Stripe ein. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Zur Betrugsprävention und für eigene gesetzliche Pflichten verarbeitet Stripe Daten als eigener Verantwortlicher (stripe.com/de/privacy).

Vor der Weiterleitung zu Stripe speichern wir Ihr ausdrückliches Verlangen, dass wir sofort mit der Leistung beginnen (Wortlaut, Zeitpunkt, Tarif), als Nachweis (Art. 6 Abs. 1 lit. c und f DSGVO).

06Vertragserklärungen: Kündigung und Widerruf

Wenn Sie über „Verträge hier kündigen“ oder „Vertrag widerrufen“ eine Erklärung abgeben, speichern wir deren Inhalt (Name, E-Mail-Adresse, Angaben zum Vertrag, Art und Zeitpunkt), Datum und Uhrzeit des Eingangs und die von uns versandte Bestätigung. Zum Schutz vor Missbrauch speichern wir zusätzlich einen gekürzten Hashwert der IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (§§ 312k, 356a BGB). Wir bewahren die Erklärungen als Geschäftsunterlagen sechs Jahre auf (§ 257 HGB, § 147 AO).

07E-Mail-Versand über Brevo

Für E-Mails zu Ihrem Konto und Vertrag (z. B. Bestätigungen, Rechnungshinweise, Pflichthinweise) nutzen wir Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland) als Auftragsverarbeiter. Übermittelt werden E-Mail-Adresse, Name und Inhalt der Nachricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Werbe-E-Mails versenden wir nur mit Ihrer Einwilligung.

Kostenloser Startplan: Wenn Sie auf der Website den Startplan anfordern, speichern wir Ihre E-Mail-Adresse, den Zeitpunkt, die Seite der Anforderung, den Wortlaut des Formulars und einen gekürzten Hashwert der IP-Adresse. Sie erhalten zuerst eine E-Mail mit einem Bestätigungslink (Double-Opt-in); erst nach der Bestätigung senden wir Ihnen den Startplan als PDF. So stellen wir sicher, dass die Anforderung von Ihnen stammt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zusendung auf Ihre Anforderung) und lit. f DSGVO (Nachweis der Anforderung, Schutz vor Missbrauch). Nicht bestätigte Anforderungen löschen wir nach 30 Tagen, bestätigte 30 Tage nach dem Versand des Startplans.

Tipps und Neuigkeiten per E-Mail: Haben Sie dabei zusätzlich den freiwilligen Haken für Tipps und Neuigkeiten gesetzt und Ihre E-Mail-Adresse bestätigt, senden wir Ihnen gelegentlich E-Mails mit Tipps zum Reselling und Neuigkeiten zu WarenFlow. Den Startplan erhalten Sie auch ohne diesen Haken. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG); als Nachweis speichern wir Zeitpunkt und Wortlaut der Einwilligung und der Bestätigung. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder E-Mail oder per E-Mail an hallo@warenflow.de. Ihre Adresse wird dann sofort gelöscht.

08Verbindung mit eBay

Kundinnen und Kunden können in WarenFlow ihr eBay-Verkäuferkonto verbinden. WarenFlow ruft dann aus diesem Konto aktive Angebote, Bestellungen und Gebühren ab, um sie den Artikeln zuzuordnen und Verkäufe einzutragen. WarenFlow stellt bei eBay nichts ein. Ändern kann WarenFlow bei eBay nur die verfügbare Menge und das Feld „Bestandseinheit (SKU)“ verknüpfter Angebote und ein Angebot beenden, wenn kein verknüpfter Artikel mehr verfügbar ist – und nur, wenn der Kunde „eBay-Angebote automatisch aktualisieren“ eingeschaltet hat (siehe unten). Die Verbindung entsteht erst, wenn sich der Kunde bei eBay anmeldet und den Zugriff ausdrücklich erlaubt; eBay zeigt dabei die erbetenen Berechtigungen an (Lesen von Angeboten, Bestellungen und Finanzdaten sowie Verwaltung des Bestands).

Verbindungsdaten (wir sind Verantwortlicher): eBay-Kontoname und eBay-Nutzerkennung, die von eBay ausgestellten Zugänge (ausschließlich verschlüsselt gespeichert, AES-256), Zeitpunkte von Verbinden, Abgleich und Trennen sowie ein Protokoll ohne Inhalte (zum Beispiel „verbunden“, „getrennt“, Fehler-Code). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vom Kunden gewünschte Funktion).

Abgerufene Inhalte (wir sind Auftragsverarbeiter, Abschnitt 2): Angebote (eBay-Nummer, eigene Artikelnummer, Titel, Preis, Mengen), Bestellpositionen (Bestellnummer, Beträge, Zeitpunkte von Bestellung, Zahlung und Versand, Stornostatus), Gebührenbuchungen sowie Erstattungen an Käufer (Betrag, Datum, Gebühren-Gutschrift und die eBay-Kennung einer Rücksendung, eines Falls oder einer Stornierung) und bei eBay angemeldete Rücksendungen (eBay-Rücksendenummer, Bestellung, Stückzahl, Zustand, Grund-Kategorie, Fristen, erwarteter Erstattungsbetrag – ohne Kommentare des Käufers). Name, Anschrift, E-Mail-Adresse und Benutzername der Käufer ruft WarenFlow nicht ab.

eBay als eigener Verantwortlicher: Bei jedem Abruf erhält eBay die technisch nötigen Angaben (Zugang, Art und Zeitraum der Abfrage, Adresse unseres Servers). eBay verarbeitet Daten in eigener Verantwortung; für Nutzer in der EU ist das die eBay GmbH, Albert-Einstein-Ring 2–6, 14532 Kleinmachnow, Deutschland. eBay kann Daten innerhalb seines Konzerns auch in die USA übermitteln und stützt sich dabei nach eigenen Angaben auf verbindliche interne Datenschutzvorschriften, Standarddatenschutzklauseln und den EU-US-Datenschutzrahmen. Einzelheiten: Datenschutzerklärung von eBay (www.ebay.de/help/policies/member-behavior-policies/user-privacy-notice?id=4260).

Automatisches Aktualisieren: Ist es eingeschaltet, übermittelt WarenFlow an eBay nur die eBay-Nummer des Angebots und die neue verfügbare Menge bzw. die Artikel-ID oder Mehrfach-ID als Bestandseinheit (SKU) sowie bei Verkäufen aus Mehrfach-Angeboten die Kennung der Bestellposition und eine private Notiz mit Artikel-ID und Lagerort (vom Kunden selbst eingegebener Text) – keine Daten von Käufern. Um eigene Notizen des Kunden nicht zu überschreiben, liest WarenFlow vorher die Notizen seiner Verkäufe bei eBay; sie werden nur dafür verwendet und nicht gespeichert. Wir speichern, wer die Funktion wann ein- oder ausgeschaltet hat, sowie jede Änderung (Zeitpunkt, eBay-Nummer, bisherige und neue Menge bzw. SKU, bei Aktionen des Nutzers auch Person und auslösender Artikel) im Protokoll bzw. im Verlauf des Artikels, bei Notizen an Bestellungen die von WarenFlow geschriebene Notiz mit Zeitpunkt an der Bestellposition und im Verlauf des Artikels. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vom Kunden eingeschaltete Funktion) und lit. f DSGVO (Nachweis). Speicherdauer: bis zur Löschung des Kontos.

Trennen: Der Kunde kann die Verbindung jederzeit in den Einstellungen trennen. Wir löschen dann sofort die Zugänge, den eBay-Kontonamen sowie die abgerufenen Angebote und deren Verknüpfungen mit Artikeln. Bereits eingetragene Verkäufe sowie die zugehörigen Bestellpositionen, Gebührenbuchungen, Erstattungen und Rücksendungen (ohne Käuferdaten) bleiben als Unterlagen des Kunden erhalten, bis er sie oder sein Konto löscht. Den Zugriff kann der Kunde zusätzlich in seinem eBay-Konto bei den Berechtigungen für Apps widerrufen.

Löschmeldungen von eBay: Löscht eine Person ihr eBay-Konto, informiert eBay uns darüber. Wir löschen dann unwiderruflich alle Daten zu diesem eBay-Konto – Zugänge, Kontoname, Nutzerkennung, Angebote, Verknüpfungen, Bestellpositionen, Gebührenbuchungen, Erstattungen und Rücksendungen – und protokollieren nur, dass eine Löschung stattgefunden hat (ohne Namen und Kennungen). Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO (Löschpflicht nach Art. 17 DSGVO, Bedingungen der eBay-Schnittstelle). Bereits eingetragene Verkäufe bleiben als Geschäftsunterlagen des Kunden ohne Bezug zum eBay-Konto erhalten.

09Fehleranalyse mit Sentry

Um Fehler in der App zu erkennen und zu beheben, nutzen wir Sentry (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Übermittelt werden technische Fehlerdaten (Fehlermeldung, betroffene Funktion, Browser- und Gerätetyp, Zeitpunkt, eine pseudonyme Nutzerkennung und gegebenenfalls technische Angaben zur fehlgeschlagenen Anfrage). E-Mail-Adressen, Passwörter und Zugangsdaten werden vor der Übermittlung entfernt; es gibt keine Sitzungsaufzeichnungen, und IP-Adressen werden nicht gespeichert. Die Daten werden in der EU-Region von Sentry (Frankfurt am Main, Deutschland) gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (fehlerfreier Betrieb). Speicherdauer: höchstens 90 Tage. Sentry ist zudem unter dem EU-US Data Privacy Framework zertifiziert.

10Speicherung in Ihrem Browser

Für die Anmeldung setzt die App ein technisch notwendiges Sitzungs-Cookie (nicht per Skript lesbar, höchstens 30 Tage gültig, nach 7 Tagen ohne Nutzung abgelaufen); im Browser (Local Storage) speichert sie Anzeige-Einstellungen. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Analyse- und Werbedienste nutzt die App – wie die Website – nur mit Ihrer Einwilligung (Abschnitt 11).

11Website und App: Einwilligungen, Google Tag Manager, Google Analytics 4, Google Ads, Plausible

Auf der Website warenflow.de und in der App (app.warenflow.de) verwalten wir Einwilligungen mit Usercentrics (Usercentrics GmbH, Sendlinger Str. 7, 80331 München). Gespeichert werden Ihre Auswahl und ein Nachweis darüber (Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO; § 25 Abs. 2 Nr. 2 TDDDG); die Einwilligungsprotokolle werden 3 Jahre aufbewahrt. Website und App fragen getrennt; Ihre Auswahl gilt jeweils dort, wo Sie sie getroffen haben. Sie können sie jederzeit über „Cookie-Einstellungen“ ändern oder widerrufen – auf der Website und in der App jeweils am Seitenende, in der App zusätzlich im Konto-Menü (am Handy im Menü „Mehr“).

Nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) setzen wir über den Google Tag Manager (Container GTM-58MP9GP9) Google Analytics 4 (Measurement-ID G-65CNLK5K1G; Speicherdauer 14 Monate) und Google Ads (Conversion-Tracking und Remarketing; Cookies bis 13 Monate) ein. In der App messen wir damit die Nutzung der Seiten sowie abgeschlossene Registrierungen und Käufe (Tarif, Betrag). Anbieter ist jeweils Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei können Daten an Google LLC in den USA übermittelt werden (siehe Abschnitt 12).

Zusätzlich nutzen wir auf der Website Plausible Analytics (Plausible Insights OÜ, Estland; Server in Deutschland) ohne Cookies und ohne Personenbezug (IP-Adressen werden nur als täglich wechselnder Hashwert verwendet). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; Speicherdauer 12 Monate.

12Übermittlung in Drittländer

Stripe, Sentry und Google können Daten in die USA übermitteln; zu eBay siehe Abschnitt 8. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO); die Anbieter sind zertifiziert. Ergänzend bestehen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). netcup, Brevo und Plausible verarbeiten die Daten in der EU.

13Speicherdauer

• Konto- und Vertragsdaten: bis zur Löschung des Kontos; anschließend nur noch, soweit gesetzliche Aufbewahrungspflichten bestehen.
• Rechnungen und Buchungsbelege: 8 Jahre (§ 14b UStG, § 147 Abs. 1 Nr. 4 und Abs. 3 AO).
• Handels- und Geschäftsbriefe, z. B. Vertragserklärungen: 6 Jahre (§ 257 HGB, § 147 AO).
• Unbestätigte kostenlose Konten: 30 Tage.
• Startplan-Anforderungen: unbestätigt 30 Tage, sonst 30 Tage nach dem Versand; mit Einwilligung in Tipps und Neuigkeiten bis zur Abmeldung.
• Inaktive kostenlose Konten: siehe Abschnitt 4.
• Server-Protokolle: 7 bis höchstens 30 Tage.
• Fehlerdaten (Sentry): höchstens 90 Tage.
• eBay-Verbindung: Zugänge, Kontoname, Angebote und Verknüpfungen bis zum Trennen; Bestellpositionen, Gebührenbuchungen, Erstattungen und Rücksendungen bis zur Löschung durch den Kunden oder des Kontos; bei einer Löschmeldung von eBay sofort.
• Eigenbelege: Jede erstellte Fassung wird unveränderbar archiviert (Inhalt, PDF, gegebenenfalls Unterschrift) – bis zur Löschung des Kontos. Die gesetzliche Aufbewahrung (in der Regel 8 Jahre, § 147 AO) obliegt dem Kunden; vor einer Löschung des Kontos kann er alle Fassungen über den Daten-Export sichern.
• Sicherungskopien: werden rotierend überschrieben; gelöschte Daten verschwinden spätestens mit dem Ende des Sicherungszyklus (30 Tage).

Während gesetzlicher Aufbewahrungsfristen sind die Daten gesperrt und werden nur noch für diesen Zweck verwendet. Die Fristen beginnen jeweils mit dem Ende des Kalenderjahres.

14Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). Wenden Sie sich dafür an hallo@warenflow.de. Ihr Konto können Sie zudem in den Einstellungen selbst löschen und Ihre Daten unter Einstellungen › Daten & Export herunterladen.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Einer Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

15Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

16Keine automatisierten Entscheidungen

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile.

17Sicherheit

Wir schützen die Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem verschlüsselte Übertragung, Trennung der Daten je Konto, rollenbasierte Zugriffe, Firewall und regelmäßige verschlüsselte Sicherungen. Einzelheiten stehen in Anlage 1 des Auftragsverarbeitungsvertrags.

18Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.