Datenschutzerklärung – flowgeist DMS

Stand: 27.09.2026 Geltungsbereich: DSGVO Art. 13, 14 Verantwortlicher: flowgeist

---

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung auf der flowgeist DMS Plattform (flowgeist-dms.de) ist:

flowgeist Inhaber: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Deutschland

E-Mail: info@flowgeist.de Datenschutz: datenschutz@flowgeist.de

2. Überblick

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten durch die flowgeist DMS Plattform (European Dealer Management System für Autohäuser und Händlergruppen). Die Plattform richtet sich an Unternehmen (B2B); sie wird von flowgeist betrieben.

Soweit flowgeist personenbezogene Daten der Endkunden und Mitarbeiter des Autohauses im Auftrag des Kunden verarbeitet, erfolgt dies auf Grundlage einer Auftragsverarbeitungsvereinbarung (AVV) gemäß Art. 28 DSGVO; für diese Daten ist der jeweilige Kunde (Autohaus/Händlergruppe) Verantwortlicher.

3. Kategorien personenbezogener Daten

Die Plattform verarbeitet je nach gebuchtem Leistungsumfang folgende Kategorien personenbezogener Daten:

Kategorie	Beschreibung	Beispiele
Stammdaten	Identifikations- und Kontaktdaten	Name, Vorname, E-Mail-Adresse, Firmenname, Anschrift, Telefonnummer
Kundendaten des Autohauses	Daten der Endkunden des Kunden (Auftragsverarbeitung)	Name, Kontaktdaten, Fahrzeugzuordnung, Kauf-/Servicehistorie
Fahrzeug- und Geschäftsdaten	Daten zu Fahrzeugen und Transaktionen	FIN/VIN, Fahrzeugdaten, Angebote, Verträge, Serviceaufträge
Personaldaten	Daten der Mitarbeiter des Kunden	Name, Rolle, Arbeitszeiten, Provisionsdaten
Zugangsdaten	Authentifizierungsdaten	Keycloak/OIDC, Passwort-Hash (scrypt), TOTP-Secret, Session-Token, Benutzerrollen
Dokumente	Hochgeladene bzw. archivierte Dateien	Verträge, Nachweise, Abwesenheitsbescheinigungen (Mayan EDMS)
Audit-Daten	Protokollierung von Systemzugriffen	Login-Zeiten, ausgeführte Aktionen, IP-Adressen, Benutzerkennungen
Kommunikationsdaten	Benachrichtigungen über das eingebettete Benachrichtigungssystem	E-Mail-/Push-Benachrichtigungen (Novu, selbst-gehostet)

4. Verarbeitungszwecke

Die Verarbeitung personenbezogener Daten erfolgt zu folgenden Zwecken:

1. Dealer Management: Verwaltung von Verkaufs-, Service-, Fahrzeug- und Bestandsprozessen des Kunden.
2. CRM und Kommunikation: Verwaltung von Kundenbeziehungen, Leads und Kommunikationshistorie.
3. Rechnungswesen und Compliance: Buchhaltungs-, Steuer-, AML- und Nachweisprozesse gemäß den jeweils gebuchten Modulen.
4. KI-Funktionen: Copilot-Anfragen, prädiktive Insights und Agenten-Workflows — ausschließlich auf EU-residenten Modellen mit RAG auf den eigenen Mandantendaten; keine Übermittlung von DMS-Daten an öffentliche Modelle.
5. Betriebssicherheit: Protokollierung von Zugriffen und Systemaktivitäten zur Gewährleistung der Informationssicherheit und Aufklärung von Sicherheitsvorfällen.

5. Rechtsgrundlagen

Die Verarbeitung erfolgt auf folgenden Rechtsgrundlagen:

Rechtsgrundlage	Anwendungsbereich
Art. 6 Abs. 1 lit. b DSGVO	Vertragsdurchführung — Bereitstellung der SaaS-Plattform für den Kunden
Art. 6 Abs. 1 lit. f DSGVO	Berechtigtes Interesse — Betriebssicherheit, Audit-Protokollierung, Missbrauchserkennung
Art. 28 DSGVO	Auftragsverarbeitung — Verarbeitung der Endkunden- und Mitarbeiterdaten des Kunden im Auftrag

6. Empfänger personenbezogener Daten

Empfänger	Sitz	Zweck	Drittstaaten-Transfer
Hetzner Online GmbH	Deutschland (Falkenstein)	Hosting der Plattform (Single-Server Docker)	Keine (EU)

Die übrigen Plattform-Komponenten (PostgreSQL, Keycloak, MinIO, OpenSearch, ClickHouse, Kafka, Valkey, Temporal, Novu, Mayan EDMS, ERPNext, Kimai, APISIX, Infisical, SigNoz) werden als eingebettete Open-Source-Komponenten auf der eigenen Hetzner-Infrastruktur betrieben und stellen keine externen Empfänger dar.

Optionale Integrationen (kundenkonfiguriert): Über den Integration Hub können auf Veranlassung des Kunden Schnittstellen zu Drittsystemen aktiviert werden — insbesondere OEM-Connectoren (BMW, Mercedes-Benz, VAG, Stellantis u. a.), STAR, DAT/Schwacke, DATEV, PEPPOL, Banken und Lade-Netzbetreiber. Erst bei Aktivierung durch den Kunden können personenbezogene Daten an das jeweilige Drittsystem übermittelt werden; der jeweilige Betreiber ist dafür selbst Verantwortlicher.

7. Datenübermittlung in Drittstaaten

Die primäre Verarbeitung personenbezogener Daten erfolgt in Deutschland (Hetzner Online GmbH, Falkenstein). Eine Übermittlung in Drittstaaten findet im Standard-Betrieb nicht statt.

KI-Verarbeitung erfolgt ausschließlich auf EU-residenten Modellen (Azure OpenAI EU-Regionen bzw. selbst-gehostete Modelle); es findet keine Übermittlung an öffentliche KI-Dienste außerhalb der EU statt.

Bei kundenkonfigurierten Integrationen (z. B. OEM-Portale, DATEV, PEPPOL) richtet sich der Übermittlungsweg nach der jeweiligen Kundenkonfiguration; etwaige Drittstaatenbezüge werden vor Aktivierung mit dem Kunden abgestimmt.

8. Speicherdauer

Personenbezogene Daten werden für die Dauer des Vertragsverhältnisses gespeichert. Nach Vertragsende werden die Daten nach einer Karenzzeit von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (insbesondere handels- und steuerrechtliche Fristen, z. B. § 147 AO, § 257 HGB, sowie GoBD-Anforderungen für das Dokumentenarchiv) entgegenstehen.

9. Ihre Betroffenenrechte

Ihnen stehen die Rechte aus Art. 15–21 DSGVO zu (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch). Soweit die Verarbeitung auf Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Soweit Sie Endkunde oder Mitarbeiter eines Autohauses sind, das flowgeist DMS nutzt, wenden Sie sich zur Ausübung Ihrer Rechte bitte an das jeweilige Autohaus (Verantwortlicher); flowgeist unterstützt den Verantwortlichen im Rahmen der AVV.

10. Ausübung Ihrer Rechte

Zur Ausübung Ihrer Rechte wenden Sie sich an: datenschutz@flowgeist.de

11. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt. Die KI-Schicht erzeugt Vorschläge und Insights unter Human-in-the-Loop-Freigabe; verbindliche Entscheidungen werden nicht automatisiert getroffen.

12. Cookies und Tracking

Die Plattform verwendet ausschließlich technisch notwendige Cookies bzw. Session-Mechanismen (Authentifizierung via Keycloak/OIDC). Es werden keine Analytics-Cookies, Marketing-Cookies oder Tracking-Tools eingesetzt. Die betriebliche Überwachung erfolgt über das selbst-gehostete SigNoz auf eigener Infrastruktur.

13. Sicherheit

• TLS 1.2/1.3: Sämtliche Datenübertragungen erfolgen verschlüsselt (TLS via Let’s Encrypt/certbot, HSTS).
• scrypt: Passwörter werden mit dem scrypt-Verfahren (OWASP-Parameter) gehasht.
• Keycloak/OIDC: Zentrale Identitätsverwaltung mit JWT-Validierung (JWKS).
• MFA/TOTP: Mehrfaktor-Authentifizierung mittels Time-based One-Time Password (RFC 6238) verfügbar.
• RBAC: Rollenbasierte Zugriffskontrolle mit Berechtigungskatalog und -matrix.
• Multi-Tenant-Isolation: Strikte Trennung der Mandantendaten auf Datenbankebene via PostgreSQL Row-Level-Security.
• Audit-Trail: Protokollierung sicherheitsrelevanter Zugriffe (append-only).
• Secret-Management: Infisical; keine Secrets im Code.

14. Änderungen dieser Datenschutzerklärung

Über wesentliche Änderungen werden die Kunden rechtzeitig informiert.

15. Kontakt bei Datenschutzfragen

flowgeist — E-Mail: datenschutz@flowgeist.de

16. Rechtsbehelfe

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2-4, 40213 Düsseldorf.

---

17. Änderungshistorie

Version	Datum	Wesentliche Änderungen
1.0	27.09.2026	Erstfassung für flowgeist DMS (Code-verifiziert gegen flowgeist-dms / EuroDMS)