Sind Sie Klientin oder Klient einer Behandlerin oder eines Behandlers? Ihre Behandlerin, Ihr Behandler oder die Praxis ist in der Regel Verantwortlicher für Ihre Buchungen, Journale und sonstigen Klientendaten. Wenden Sie sich deshalb an die Behandlerin oder den Behandler, wenn es um Auskunft, Berichtigung, Löschung oder andere Rechte geht. FlowDule verarbeitet diese Daten im Auftrag der Behandlerin oder des Behandlers und unterstützt nach deren Weisung.
1. Für wen diese Erklärung gilt
#Diese Erklärung gilt, wenn FlowDule den Zweck der Verarbeitung selbst bestimmt, insbesondere für Besucherinnen und Besucher von flowdule.com, Anfragende, potenzielle und aktuelle Geschäftskunden, Ansprechpartner und Nutzer von Kunden, Testteilnehmende sowie Personen in Support-, Sicherheits- oder Rechtefällen.
FlowDule ist nicht Verantwortlicher für die fachlichen Leistungen oder das Klientenjournal des Kunden. Dass Daten technisch in FlowDule vorhanden sind, ändert die Rollenverteilung nicht. Der jeweilige Kunde muss seinen Klientinnen und Klienten eigene Datenschutzinformationen geben.
2. Unsere Verarbeitungen als Verantwortlicher
#| Zweck und Personen | Daten und Quellen | Grundlage und berechtigtes Interesse | Frist/Kriterium |
|---|---|---|---|
| Vertrieb, Demo, Veranstaltungen und Anfragen | Name, geschäftliche Kontaktdaten, Unternehmen, Rolle, Nachricht und Veranstaltungswahl von Ihnen, Ihrer Organisation oder einem öffentlichen Unternehmensregister. | Art. 6 Abs. 1 lit. b vor Vertragsschluss; Art. 6 Abs. 1 lit. f für relevante B2B-Anfragen. Interesse: den Dialog beantworten und dokumentieren. | 12 Monate nach dem letzten relevanten Kontakt, sofern nicht ein Vertrag oder ein konkreter Rechtsanspruch eine längere Frist erfordert. |
| Kunde, Vertrag und Konto | Juristischer Name und Kontaktname, Anschrift, Land, CVR/Registrierung sofern vorhanden, Rolle, E-Mail, Telefon, Vertrag, Annahmenachweis, Abonnement, Module und Kontoaktivität von Ihnen, dem Kunden und der Plattform. | Art. 6 Abs. 1 lit. b für Vertrag und vorvertragliche Schritte; Art. 6 Abs. 1 lit. f für B2B-Verwaltung und Nachweis. Interesse: das Kundenverhältnis erbringen und dokumentieren. | Das Kundenverhältnis zuzüglich in der Regel 5 Jahre für Vertrags- und Anspruchsdokumentation; der Zugang wird bei Beendigung sofort geschlossen. |
| Rechnungsstellung, Zahlung und Buchführung | Kunde, Rechnung, Betrag, Zahlungsstatus und Transaktionsreferenz von Kunde, FlowDule, Stripe und Bank. Wir erhalten keine vollständigen Kartendaten. | Art. 6 Abs. 1 lit. b und lit. c; Art. 6 Abs. 1 lit. f für Abstimmung und Rechtsansprüche. | Buchführungsunterlagen 5 Jahre ab dem Ende des Geschäftsjahres; übrige Daten werden gelöscht, wenn Zweck und Anspruchsfrist abgelaufen sind. |
| Support und Service | Kontakt, Fall, Korrespondenz und notwendige Konto- und technische Daten von Ihnen, dem Kunden und dem System. Unterlassen Sie nicht erforderliche Gesundheits- und Journaldaten. | Art. 6 Abs. 1 lit. b für vereinbarten Support; Art. 6 Abs. 1 lit. f. Interesse: den konkreten Fall lösen und dokumentieren. | In der Regel 24 Monate nach Abschluss; Journalinhalte folgen der Weisung des Kunden und nicht dieser Frist. |
| Betrieb, Sicherheit und Missbrauch | IP, Gerät/Browser, Anmeldung, Rolle, Zeitpunkt, Request- und Ereignis-ID, Aktivitäts- und Sicherheitslogs von Plattform, Cloud und autorisierten Untersuchungen. | Art. 6 Abs. 1 lit. f und lit. c, wo eine Pflicht besteht. Interesse: Personen, Kunden, Dienst und Rechtsansprüche schützen. | Fehlerprotokolle 90 Tage, Alarme 180 Tage, Buchungslog 90 Tage und Aktivitätsverlauf 24 Monate; wesentliche Vorfallsakten in der Regel 5 Jahre nach Abschluss. |
| Test, Feedback und Produktqualität | Testidentität, Rolle, Kontoaktivität, Fehlerbericht, bearbeitetes Bildschirmfoto und technische Metadaten von der teilnehmenden Person und der Testumgebung. | Art. 6 Abs. 1 lit. b für vereinbarte Teilnahme; Art. 6 Abs. 1 lit. f. Interesse: Fehlerbehebung und Qualität. Journaldaten aus dem Produktivbetrieb werden nicht für Entwicklung, Test oder Feedback verwendet. | Rohes Testmaterial spätestens 3 Monate nach dem Ablauf; datenminimierte Fehler- und Verbesserungshistorie in der Regel 24 Monate. |
| Newsletter und Direktmarketing | Name, geschäftliche E-Mail, Präferenz, Einwilligung und Abmeldenachweis von Ihnen und unserem Versandsystem. | Art. 6 Abs. 1 lit. a, wenn eine Einwilligung erforderlich ist; sonst nur eine dokumentierte rechtmäßige B2B-Regel und Art. 6 Abs. 1 lit. f. Die Funktion ist in dieser Version nicht aktiv. | Bis zur Abmeldung oder zum Widerruf oder in der Regel 24 Monate Inaktivität; ein minimaler Abmeldenachweis bleibt erhalten. |
| Rechte, Compliance und Rechtsansprüche | Identität, Kontakt, Fall, Korrespondenz, Entscheidung und notwendige Nachweisreferenzen von Ihnen, Kunde, Berater, Behörde und internen Registern. | Art. 6 Abs. 1 lit. c, lit. f und gegebenenfalls lit. b. Interesse: Einhaltung dokumentieren sowie Ansprüche geltend machen und verteidigen. | Gewöhnliche Rechtefälle 3 Jahre nach Abschluss; Streitigkeiten nach dem konkreten Anspruchs- und Dokumentationsbedarf mit jährlicher Überprüfung. |
3. Welche Daten notwendig sind
#Bei einer gewöhnlichen gewerblichen Registrierung werden in der Regel Name, geschäftliche E-Mail, Telefon, Unternehmen/Praxis, Land und Passwort benötigt. Eine CVR- oder Registernummer wird nur verlangt, wenn der Kunde eine hat; eine rechtmäßig selbstständige Person ohne Nummer kann mit juristischem Namen und Geschäftsanschrift nachgewiesen werden.
Fehlt eine notwendige Angabe, können wir das Konto nicht anlegen oder absichern, den Vertrag nicht schließen oder eine konkrete gesetzliche Pflicht nicht erfüllen. Geburtsdatum, Geschlecht und Staatsangehörigkeit werden für die eigenen Kontozwecke von FlowDule standardmäßig nicht erhoben.
4. Woher die Daten stammen
#Wir erhalten die Daten in der Regel unmittelbar von Ihnen. Wir können außerdem geschäftliche Kontaktdaten und die Rolle von Ihrem Arbeitgeber oder Kunden, den Zahlungsstatus von Stripe oder der Bank, technische Daten aus Ihrer Nutzung des Dienstes und Unternehmensdaten aus einem öffentlichen Unternehmensregister erhalten.
Stammen Daten von anderen als von Ihnen, geben wir die erforderlichen Informationen spätestens innerhalb der Fristen des Art. 14 DSGVO, sofern keine rechtmäßige Ausnahme gilt. Wir nutzen keine öffentlichen Personenregister für allgemeines Profiling oder Marketing.
5. Wo wir Daten über Sie erheben
#Wir erheben Daten über Sie auf der Website und im Kontaktformular, bei Veranstaltungen, wenn Sie sich registrieren oder eingeladen werden, bei Bestellung und Zahlung, im Support und im Klientenportal. Bei jedem Formular können Sie vor dem Absenden sehen, wer verantwortlich ist, wofür die Daten verwendet werden, welche Felder Pflichtfelder sind, wer die Daten erhält und ob etwas Ihre Einwilligung erfordert.
Im Klientenportal ist in der Regel der Kunde (die Praxis) Verantwortlicher. Die Praxis ist für die Zwecke verantwortlich, die sie selbst bestimmt, und zeigt ihre eigene Datenschutzinformation auf ihren Seiten, während diese Erklärung die eigene Verarbeitung von FlowDule abdeckt. Ein Newsletter ist in dieser Version nicht aktiviert, und in der Plattform sowie auf den Buchungsseiten werden keine nicht notwendige Produktanalyse und kein entsprechendes Tracking eingesetzt. Auf der eigenen Marketingwebsite von FlowDule, www.flowdule.com, wird Google Analytics über Google Tag Manager für Statistiken verwendet, aber nur, wenn Sie im Einwilligungsbanner von Usercentrics eingewilligt haben, siehe Cookie-Richtlinie.
6. Empfänger und Anbieter
#Daten können an relevante, autorisierte Mitglieder von FlowDule und an Anbieter weitergegeben werden, die bei Hosting, Identität und Zugang, E-Mail und Kommunikation, Zahlung, Support, Sicherheit und genehmigten Webfunktionen unterstützen. Die Plattform wird bei Sevalla (Kinsta) in Rechenzentren von Google Cloud gehostet, mit der Datenbank in Frankfurt und mit Cloudflare davor für Netzwerk und Sicherheit sowie für die Speicherung von Dateien und Sicherungen. AWS wird in der EU für Anmeldung, E-Mail und KI-Dienste eingesetzt, und Stripe wird für die relevanten Zahlungsfunktionen eingesetzt. Die Website www.flowdule.com ist eine statische Website bei Sevalla hinter Cloudflare; das Einwilligungsbanner wird von Usercentrics geliefert und über Google Tag Manager geladen.
Die aktuelle öffentliche Anbieter- und Unterauftragsverarbeiterliste nennt Rechtsträger, Rolle, Zweck, Verarbeitungsort und Übermittlungsgrundlage. Berater, Banken, Wirtschaftsprüfer, Versicherungen, Behörden oder Gerichte erhalten Daten nur bei konkretem Bedarf und gültiger Grundlage.
7. Übermittlungen außerhalb der EU und des EWR
#Ein Anbieter kann eine Übermittlung oder einen Fernzugriff außerhalb der EU und des EWR bedeuten, auch wenn die primäre Speicherung in der EU erfolgt. Für jede solche Übermittlung dokumentieren wir Empfänger, Länder, Zweck und gültige Grundlage nach Kapitel V DSGVO.
Die Grundlage kann ein Angemessenheitsbeschluss sein, das EU-US Data Privacy Framework für einen gültig zertifizierten US-Empfänger oder die Standardvertragsklauseln der Europäischen Kommission mit Transfer Impact Assessment und den notwendigen ergänzenden Maßnahmen. Eine Kopie oder Beschreibung der Garantien kann über privacy@flowdule.com angefordert werden; vertrauliche Sicherheitsangaben können geschwärzt werden.
8. Aufbewahrung und Löschung
#Wir wenden die Fristen in der Tabelle an und löschen oder anonymisieren, wenn der Zweck und etwaige gesetzliche oder anspruchsbezogene Bedarfe entfallen sind. Eine konkrete Streitigkeit, ein Sicherheitsvorfall oder ein rechtmäßiger Legal Hold kann die Aufbewahrung für genau abgegrenzte Daten vorübergehend verlängern. Bedarf und Zugang werden mindestens jährlich neu bewertet.
Daten können für einen begrenzten Zeitraum in isolierten, rollierenden Sicherungen liegen, bis sie nach einer Rotation von 30 Tagen überschrieben werden. Sie dürfen nicht zu anderen Zwecken verwendet und nicht in den normalen Betrieb zurückgeführt werden; nach einer Wiederherstellung werden registrierte Löschungen und Legal Holds erneut angewendet.
Die Klienten- und Journaldaten des Kunden folgen dem dokumentierten Aufbewahrungsprofil des Kunden und dem Auftragsverarbeitungsvertrag. FlowDule legt keine allgemeine Journalfrist für Psychotherapeutinnen und Psychotherapeuten fest, und die eigene Buchführungspflicht von FlowDule ist keine Grundlage dafür, die Journaldaten des Kunden aufzubewahren.
9. Sicherheit
#Wir wenden risikobasierte technische und organisatorische Maßnahmen an, unter anderem persönlichen Zugang, Rollen- und Bedarfssteuerung, MFA für die eigenen Plattformnutzer von FlowDule und als Option für die Nutzer der Kette, Verschlüsselung während der Übertragung und, wo relevant, im Ruhezustand, Logging, Sicherungen, Vorfallbehandlung und Anbieterkontrolle.
Weitere Sicherheitsangaben können unter angemessener Vertraulichkeit gegeben werden, wenn dies notwendig ist und kein Risiko für andere Kunden oder den Dienst entsteht.
10. KI und automatisierte Entscheidungen
#Wir treffen keine Entscheidungen über Sie, die ausschließlich auf einer automatisierten Verarbeitung beruhen und rechtliche Wirkung oder eine vergleichbare erhebliche Wirkung entfalten. Die KI-Funktionen von FlowDule sind eine Dokumentationshilfe und dürfen nicht eigenständig diagnostizieren, triagieren oder über Behandlung oder Zugang zu Leistungen entscheiden. Welche KI-Ergebnisse eine behandelnde Person prüft, ergibt sich aus den KI-Informationen.
Die Nutzung von KI auf Klienteninhalten durch den Kunden erfolgt grundsätzlich nach der Weisung des Kunden und wird vom Kunden gegenüber der Klientin oder dem Klienten beschrieben. Klienten- und Journaldaten werden nicht für das eigene Modelltraining von FlowDule verwendet.
11. Ihre Rechte
#- Auskunft über die Daten, die wir über Sie verarbeiten, und eine Kopie
- Berichtigung unrichtiger Daten
- Löschung oder Einschränkung, wenn die Voraussetzungen erfüllt sind
- Widerspruch gegen eine Verarbeitung auf Grundlage eines berechtigten Interesses und stets gegen Direktmarketing
- Datenübertragbarkeit für Daten, die Sie uns gegeben haben, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt
- Widerruf einer Einwilligung ohne Wirkung auf die rechtmäßige Verarbeitung vor dem Widerruf
Schreiben Sie an privacy@flowdule.com. Wir können die für eine sichere Identifizierung notwendigen Angaben verlangen. Wir antworten ohne unangemessene Verzögerung und in der Regel spätestens einen Monat nach Eingang. Die Frist kann bei komplexen oder zahlreichen Anträgen um bis zu zwei Monate verlängert werden; in diesem Fall informieren wir Sie innerhalb des ersten Monats mit einer Begründung.
Die Rechte sind nicht absolut. Wenn wir einen Antrag ablehnen oder einschränken, erläutern wir die Grundlage und die Beschwerdemöglichkeit. Betrifft Ihre Anfrage Klienten- oder Journaldaten einer Behandlerin oder eines Behandlers, leiten wir sie sicher an den Kunden weiter oder teilen Ihnen mit, an wen Sie sich wenden müssen.
12. Beschwerde
#Sie können sich bei der dänischen Datenschutzbehörde (Datatilsynet), Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk beschweren. Sie können sich außerdem an die Aufsichtsbehörde des EU-/EWR-Landes wenden, in dem Sie gewöhnlich wohnen oder arbeiten oder in dem Ihrer Auffassung nach ein Verstoß stattgefunden hat.
13. Datenschutzbeauftragter und Kontakt
#FlowDule hat keinen Datenschutzbeauftragten benannt. Die Geschäftsleitung ist für die Datenschutzarbeit verantwortlich. Haben Sie Fragen zu Ihren personenbezogenen Daten, können Sie an privacy@flowdule.com schreiben.
14. Cookies und ähnliche Technologien
#Notwendige Technologien werden nur für die Funktion und die Sicherheit verwendet, für die sie erforderlich sind. Nicht notwendige Cookies, Messung oder Marketing werden erst nach einer gültigen Einwilligung aktiviert. Welche Technologien wir verwenden, wer sie liefert, wofür sie verwendet werden und wie lange sie gespeichert werden, sehen Sie in der Cookie-Richtlinie.
15. Änderungen
#Wir aktualisieren diese Erklärung bei wesentlichen Änderungen an Zwecken, Daten, Empfängern, Übermittlungen oder Rechten. Datum und Version stehen oben. Wenn eine Änderung eine Einwilligung oder eine neue Information unmittelbar an betroffene Personen erfordert, führen wir dies vor der neuen Verarbeitung durch.
Das Trust Center erklärt Sicherheit und DSGVO in einfacher Sprache: Zum Trust Center. Jedes geltende Dokument hat ein Datum und eine Version: Alle Dokumente ansehen.