Stand: 17.05.2026 · Version 2026-05-17.1 · Fluvy Business Suite
Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und 14 DSGVO über die Verarbeitung personenbezogener Daten bei der Nutzung der Fluvy Business Suite — bestehend aus der Webanwendung unter https://fluvy.de und der zugehörigen Mobile-App.
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze der Mitgliedsstaaten ist:
Frank Schulz
Galgenbusch 4
32839 Steinheim
Deutschland
E-Mail: info@fluvy.de
Ein Datenschutzbeauftragter ist nach derzeitigem Stand nicht bestellt, da die Voraussetzungen nach Art. 37 DSGVO und § 38 BDSG (mind. 20 ständig mit der automatisierten Verarbeitung beschäftigte Personen) nicht erfüllt sind. Für Datenschutzanfragen wenden Sie sich bitte direkt an den oben genannten Verantwortlichen.
Diese Datenschutzerklärung gilt für die Webanwendung der Fluvy Business Suite, die zugehörige Mobile-App für iOS und Android (geplante Veröffentlichung — derzeit nur in interner Testverteilung verfügbar) sowie unsere öffentliche Webpräsenz unter https://fluvy.de.
Begriffe wie „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „Empfänger" und „Einwilligung" werden im Sinne der Definitionen des Art. 4 DSGVO verwendet.
Bei der Nutzung von Fluvy treten zwei Verarbeitungsrollen auf:
Beim Aufruf unserer Webseiten und der Web-Anwendung werden vom Webserver automatisch Verbindungsdaten in sogenannten Server-Logfiles erfasst:
Eine Zusammenführung dieser Daten mit anderen Datenquellen erfolgt nicht.
Zweck: Sicherstellung eines reibungslosen Verbindungsaufbaus, Fehlerdiagnose, IT-Sicherheit (Abwehr und Aufklärung von Angriffen).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im sicheren und stabilen Betrieb des Dienstes.
Speicherdauer: Webserver-Zugriffsprotokolle und Applikations-Logs werden spätestens nach 30 Tagen rotiert und automatisch gelöscht. Bei konkretem Verdacht auf Angriffe können einzelne Datensätze zur Beweissicherung länger aufbewahrt werden.
Wir setzen ausschließlich technisch notwendige Cookies im Sinne von § 25 Abs. 2 Nr. 2 TTDSG ein. Eine Einwilligung Ihrerseits ist hierfür nicht erforderlich.
| Cookie | Zweck | Lebensdauer |
|---|---|---|
fluvy-session | Sitzungsverwaltung nach Login | Sitzungsbezogen / 120 Min. Inaktivität |
XSRF-TOKEN | Schutz vor Cross-Site-Request-Forgery (CSRF) | Sitzungsbezogen |
remember_web_* | Automatisches Wiedereinloggen, nur wenn von Ihnen aktiviert | Bis zu 5 Jahre |
Wir setzen keine Tracking-, Analyse- oder Marketing-Cookies ein. Es kommen keine Drittanbieter-Tools wie Google Analytics, Matomo, Plausible, Hotjar oder ähnliche zum Einsatz. Aus diesem Grund verzichten wir auch auf ein Cookie-Banner.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (technisch unbedingt erforderlich) in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO.
Zur Nutzung der Software ist eine Registrierung erforderlich. Im Rahmen der Registrierung erheben wir:
Im weiteren Verlauf können von Ihnen ergänzt werden: Telefonnummer, Avatar-Bild, Sprachpräferenz, Unternehmens-Stammdaten (Adresse, Steuernummer, USt-ID, Bankverbindung, Logo) sowie Konfigurationen wie BCC-Adressen je Belegart oder Nummernkreis-Präfixe.
Für die Mobile-App-Nutzung wird zusätzlich auf Ihren Wunsch hin ein Expo-Push-Token (Geräte-Kennung für Push-Benachrichtigungen) sowie ein Kalender-Token (zufälliger 64-Zeichen-Schlüssel zum Abruf Ihres Kalender-Feeds in Drittanwendungen) gespeichert.
Zweck: Vertragsabschluss und -durchführung, Authentifizierung, Benachrichtigung über relevante Ereignisse, Wiederherstellung des Zugangs bei Passwort-Vergessen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für IP-Adresse der AGB-Zustimmung ergänzend Art. 6 Abs. 1 lit. f DSGVO (Beweissicherung).
Nach der Registrierung versenden wir an die angegebene E-Mail-Adresse eine Verifizierungsmail mit einem Bestätigungs-Link. Erst nach Bestätigung steht der volle Funktionsumfang zur Verfügung. Dies dient dem Schutz vor missbräuchlichen Registrierungen und der Sicherstellung einer erreichbaren Kommunikationsadresse.
Die kostenfreie Testphase beträgt 14 Tage. Im Anschluss ist ein Abonnement abzuschließen. Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) sowie deren US-Mutterkonzern Stripe, Inc. (354 Oyster Point Blvd, South San Francisco, CA 94080, USA).
An Stripe übermittelt werden: Name des Unternehmens, E-Mail-Adresse, gewählter Tarif sowie die Anzahl der Nutzer (zur Mengensteuerung). Die von Ihnen eingegebenen Zahlungsdaten (Kreditkarten-, SEPA- oder PayPal-Daten) werden ausschließlich durch Stripe verarbeitet und sind für uns zu keinem Zeitpunkt einsehbar. Wir erhalten von Stripe lediglich einen Zahlungsmethoden-Token (z.B. die letzten vier Stellen der Karte) sowie den Zahlungsstatus.
Stripe ist nach dem EU-US Data Privacy Framework zertifiziert; ein angemessenes Datenschutzniveau im Sinne von Art. 45 DSGVO ist somit gewährleistet. Weitere Informationen zur Datenverarbeitung durch Stripe: stripe.com/de/privacy.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung).
Die mit Fluvy verarbeiteten Geschäftsdaten verbleiben ausschließlich in Ihrer Verfügung. Dazu zählen insbesondere:
Rolle und Rechtsgrundlage: Für diese Daten sind Sie Verantwortlicher gegenüber den betroffenen Personen, wir handeln als Auftragsverarbeiter nach Art. 28 DSGVO. Rechtsgrundlage für unsere Verarbeitung ist Art. 28 DSGVO in Verbindung mit dem (auf Anforderung abzuschließenden) Auftragsverarbeitungsvertrag und Art. 6 Abs. 1 lit. b DSGVO (Vertrag zwischen uns und Ihnen).
Mandantentrennung: Eine technische Isolierung sämtlicher Geschäftsdaten zwischen den verschiedenen Mandanten ist mehrstufig sichergestellt (Globale Query-Filter auf Modellebene, explizite Datenbankspalten je Mandant, Validierung jeder fremden ID-Referenz). Zugriff auf Ihre Daten durch andere Mandanten ist ausgeschlossen.
Hinweis zum Drittlandtransfer: Diese Funktion übermittelt Inhalte Ihrer Eingangsrechnungen in die USA.
Beim Hochladen einer Eingangsrechnung bieten wir eine automatische Erkennung von Rechnungsdaten (Lieferant, Beträge, Positionen, Daten) an. Hierzu wird die hochgeladene PDF-Datei base64-kodiert an die Gemini API von Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) übertragen. Google verwendet die übermittelten Inhalte nach eigenen Angaben nicht zum Modelltraining (für API-Zugriffe der „Gemini API Paid"-Stufe).
Datenkategorien: der vollständige Inhalt der jeweiligen Eingangsrechnungs-PDF, einschließlich darin enthaltener personenbezogener Daten (Lieferantenname, Adresse, Kontaktdaten, ggf. Bankverbindung, Rechnungsbeträge).
Zweck: Automatisierte Datenextraktion zur Reduzierung manueller Eingabearbeit beim Erfassen einer Eingangsrechnung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse — und das Interesse unserer Kunden — besteht in der effizienten Erfassung von Eingangsrechnungen.
Drittlandgarantie: Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Ergänzend kommen die EU-Standardvertragsklauseln zur Anwendung.
Weitere Informationen: policies.google.com/privacy sowie ai.google.dev/gemini-api/terms.
Eine Übermittlung Ihrer Daten findet nur an folgende Empfänger statt:
| Dienst / Anbieter | Sitz | Zweck | Datenkategorien | Garantie |
|---|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, DE | Server-Hosting der Anwendung und Datenbank | Alle in Fluvy gespeicherten Daten | AVV nach Art. 28 DSGVO; ausschließlich Rechenzentren in Deutschland |
| Hetzner Object Storage | Nürnberg, DE | Speicherung von Dokumenten und PDFs (privater S3-Speicher, signierte URLs) | Hochgeladene Dateien, generierte Beleg-PDFs, Eingangsrechnungs-PDFs | AVV nach Art. 28 DSGVO; Region Deutschland |
| Stripe Payments Europe, Ltd. / Stripe, Inc. | Dublin, IE / San Francisco, US | Zahlungsabwicklung des Abonnements | E-Mail, Firmenname, Zahlungsmethoden-Token, Nutzungszahl | EU-US Data Privacy Framework; Standardvertragsklauseln |
| Google LLC (Gemini API) | Mountain View, US | OCR-Erkennung beim Upload von Eingangsrechnungen (Ziff. 7.1) | Inhalt der jeweiligen Eingangsrechnungs-PDF | EU-US Data Privacy Framework; Standardvertragsklauseln |
| Expo (650 Industries, Inc.) | Palo Alto, US | Push-Benachrichtigungen an die Mobile-App (Vermittler zwischen unserem Server und Apple/Google) | Expo-Push-Token des Geräts, Push-Inhalt (Titel, Kurztext, Bezug) | EU-US Data Privacy Framework; Standardvertragsklauseln |
| Apple Inc. (APNs) | Cupertino, US | Zustellung von iOS-Push-Benachrichtigungen | Apple-Push-Token, Push-Inhalt | EU-US Data Privacy Framework |
| Google LLC (Firebase Cloud Messaging) | Mountain View, US | Zustellung von Android-Push-Benachrichtigungen | FCM-Token, Push-Inhalt | EU-US Data Privacy Framework |
| Hetzner Online GmbH (E-Mail-Hosting) | Gunzenhausen, Deutschland (Server in Falkenstein/Nürnberg) | Versand und Empfang sämtlicher Transaktions- und Geschäfts-E-Mails (Verifizierungs-Mails, Angebots- und Rechnungs-Mails, Mahnungen, Benachrichtigungen, Antworten Ihrer Empfänger an unser Kontakt-Postfach). Der E-Mail-Versand erfolgt über das von uns betriebene Postfach info@fluvy.de auf den Hetzner-Mailservern (gleicher Anbieter wie unser Web-Hosting). |
Empfänger-E-Mail-Adresse, Absenderadresse, Betreff und Inhalt der E-Mail, ggf. Beleg-PDF als Anhang, technische Verbindungsdaten (IP, TLS-Zertifikat) | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Server ausschließlich in Deutschland — kein Drittlandtransfer |
| Cloudflare, Inc. (Turnstile) | San Francisco, US | Bot-Schutz beim Registrierungs-Formular (Captcha-Alternative). Erst aktiv, wenn Sie das Registrierungs-Formular aufrufen. | IP-Adresse, Browser-Merkmale (User-Agent, Cookie-Test), kein Tracking-Cookie | EU-US Data Privacy Framework; Standardvertragsklauseln |
| jsDelivr (Cachefly / Fastly) | verschiedene Regionen weltweit (Hauptsitz Cachefly: Iowa, US) | Auslieferung statischer Frontend-Bibliotheken (Sprach-Flaggen, Emoji-Auswahl) | IP-Adresse, Browser-Merkmale (User-Agent, Referer) | EU-US Data Privacy Framework; Standardvertragsklauseln |
| Cloudflare, Inc. (cdnjs) | San Francisco, US | Auslieferung der PDF-Vorschau-Bibliothek (pdf.js) für die Dokumentenanzeige | IP-Adresse, Browser-Merkmale (User-Agent, Referer) | EU-US Data Privacy Framework; Standardvertragsklauseln |
| unpkg (Cloudflare) | San Francisco, US | Auslieferung der Karten-Bibliothek (Leaflet) für die Auftragsplanung | IP-Adresse, Browser-Merkmale (User-Agent, Referer) | EU-US Data Privacy Framework; Standardvertragsklauseln |
| OpenStreetMap Foundation | Cambridge, UK | Karten-Kacheln für die Auftragsplanung (Adresse anzeigen) | IP-Adresse, angezeigte Karten-Region | UK gilt nach Angemessenheitsbeschluss der EU-Kommission als sicheres Drittland (Art. 45 DSGVO) |
Eine darüber hinausgehende Weitergabe Ihrer Daten an Dritte erfolgt nur, wenn Sie ausdrücklich eingewilligt haben oder eine rechtliche Verpflichtung besteht (z.B. Auskunft an Strafverfolgungsbehörden).
Mit den oben unter Ziff. 8 genannten Empfängern aus den USA besteht ein Drittlandtransfer im Sinne von Art. 44 ff. DSGVO. Folgende Garantien stellen ein angemessenes Datenschutzniveau sicher:
Eine Kopie der angewendeten Garantien können Sie unter info@fluvy.de anfordern.
Die Fluvy Mobile-App für iOS und Android befindet sich derzeit in einer internen Testverteilung; die Veröffentlichung über den Apple App Store und den Google Play Store ist geplant.
Sie können jede dieser Berechtigungen in den Systemeinstellungen Ihres Geräts jederzeit widerrufen.
Nach Veröffentlichung im Apple App Store und Google Play Store erheben Apple und Google jeweils eigene Statistiken zum Download und zur Nutzung der App (Crash-Reports, anonymisierte Nutzungszahlen). Hierfür sind Apple bzw. Google selbst Verantwortliche im Sinne der DSGVO. Diese Datenverarbeitung entzieht sich unserer Kontrolle.
Über das integrierte Ticketsystem können Sie Anfragen, Fehlermeldungen oder Verbesserungsvorschläge an uns übermitteln. Verarbeitet werden:
Diese Daten werden zur Bearbeitung Ihrer Anfrage und gegebenenfalls zur Fehleranalyse verwendet. Im Rahmen der Bearbeitung haben wir als Anbieter Einsicht in den Ticket-Inhalt — bitte übermitteln Sie keine Passwörter, Karten-PINs oder andere sensible Zugangsdaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. f DSGVO (Produktverbesserung).
Zur Erfüllung unserer Pflichten aus der Abgabenordnung (§ 147 AO) und den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form (GoBD, BMF-Schreiben vom 28.11.2019) führen wir ein revisionssicheres Änderungsprotokoll:
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung — §§ 145 ff. AO, § 257 HGB) für das steuerrelevante Audit-Log; Art. 6 Abs. 1 lit. f DSGVO (Beweissicherung) für die IP- und User-Agent-Erfassung bei der Annahme und der AGB-Zustimmung.
Aufbewahrung: 10 Jahre (siehe Ziff. 13).
Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder wir gesetzlich dazu verpflichtet sind.
| Datenkategorie | Aufbewahrung |
|---|---|
| Aktives Nutzerkonto und Stammdaten | Für die Dauer des Vertragsverhältnisses |
| Nach Kündigung (Account, Stammdaten ohne Aufbewahrungspflicht) | 30 Tage, dann vollständige Löschung — auf ausdrücklichen Wunsch sofort |
| Buchungs- und Rechnungsdaten (Belege, Positionen, archivierte PDFs) | 10 Jahre gemäß § 257 HGB, § 147 AO |
| Geschäftsbriefe und Angebote | 6 Jahre gemäß § 257 HGB |
| Änderungsprotokoll der Geschäftsdaten (Audit-Log) | 10 Jahre (Bestandteil der Buchführung) |
| Webserver-Zugriffsprotokolle und Applikations-Logs | 30 Tage |
| Zustimmungs-Nachweise zu AGB / Datenschutzerklärung | Vertragsdauer + 3 Jahre Verjährungsfrist |
| Stripe-Zahlungs-Zuordnungen | 10 Jahre (steuerlich) |
| Support-Tickets | Bis zur Schließung + 12 Monate |
| Push-Token (Geräte-Kennungen) | Bis zum Widerruf oder Logout vom jeweiligen Gerät |
Im Konfliktfall zwischen Ihrem Löschanspruch nach Art. 17 DSGVO und unseren gesetzlichen Aufbewahrungspflichten (§§ 257 HGB, 147 AO) greift Art. 17 Abs. 3 lit. b DSGVO: Daten, die einer Aufbewahrungspflicht unterliegen, werden nicht gelöscht, sondern in der Verarbeitung eingeschränkt (gesperrt), bis die jeweilige Aufbewahrungsfrist abgelaufen ist. Anschließend erfolgt die vollständige Löschung.
Auch finalisierte Belege (z.B. eine versendete Rechnung) sind aus diesem Grund nach Finalisierung inhaltlich nicht mehr veränderbar. Korrekturen erfolgen ausschließlich über das Storno-Verfahren — sowohl das Original als auch der Storno-Beleg bleiben dauerhaft erhalten.
Eine ausführliche Beschreibung der technischen und organisatorischen Maßnahmen (TOM) stellen wir auf Anforderung bereit (z.B. als Anlage zum Auftragsverarbeitungsvertrag).
Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:
Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an: info@fluvy.de. Anfragen beantworten wir innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).
Für Ihr Recht auf Datenübertragbarkeit (Art. 20 DSGVO) stellen wir eine Self-Service-Funktion bereit: Im Bereich Profil können Sie jederzeit per Knopfdruck ein ZIP-Archiv mit allen Ihren in Fluvy gespeicherten Daten herunterladen (strukturierte JSON-Dateien plus alle hochgeladenen Dokumente). Die vollständige Konto-Löschung erfolgt aktuell auf E-Mail-Anfrage; Daten, die einer gesetzlichen Aufbewahrungspflicht unterliegen, werden gemäß Ziff. 13.1 in der Verarbeitung eingeschränkt statt gelöscht.
Sie haben unbeschadet anderer Rechtsbehelfe das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere bei der für Ihren gewöhnlichen Aufenthaltsort, Arbeitsplatz oder den Ort des mutmaßlichen Verstoßes zuständigen Behörde. Eine Liste der Aufsichtsbehörden in Deutschland finden Sie unter: bfdi.bund.de.
Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO einschließlich Profiling findet nicht statt. Die in Ziff. 7.1 beschriebene OCR-Erkennung von Eingangsrechnungen erzeugt lediglich einen Vorschlag, den Sie eigenverantwortlich prüfen und übernehmen oder ändern; eine automatisierte Entscheidung mit rechtlicher Wirkung Ihnen gegenüber ist damit nicht verbunden.
Die Angabe Ihrer personenbezogenen Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Sie sind nicht verpflichtet, uns Ihre Daten bereitzustellen. Ohne die Angabe ist allerdings ein Vertragsabschluss und die Nutzung der Software nicht möglich.
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie aktuellen rechtlichen Anforderungen oder Änderungen unserer Dienste anzupassen. Wesentliche Änderungen kommunizieren wir vorab per E-Mail oder direkt in der Anwendung. Die jeweils aktuelle Fassung finden Sie stets unter https://fluvy.de/datenschutz.
Bei Fragen zur Verarbeitung Ihrer personenbezogenen Daten oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an:
Frank Schulz
E-Mail: info@fluvy.de