v1.0 · 08.08.2026
Stand: 08.08.2026 Geltungsbereich: DSGVO Art. 13, 14 Verantwortlicher: flowgeist
Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG):
flowgeist Inhaber: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Deutschland
E-Mail: info@flowgeist.de Web: https://flowgeist.de
Datenschutzbeauftragter: Gemäß Art. 37 DSGVO und § 38 BDSG ist derzeit kein Datenschutzbeauftragter bestellt, da die Voraussetzungen des § 38 Abs. 1 BDSG (in der Regel mehr als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt) nicht erfüllt sind. Als Datenschutz-Ansprechpartner steht Ihnen zur Verfügung: datenschutz@flowgeist.de (interim).
Diese Datenschutzerklärung informiert Sie über die Art, den Umfang und die Zwecke der Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die flowgeist ZERO Plattform sowie über Ihre Betroffenenrechte gemäß DSGVO und BDSG.
flowgeist ZERO ist eine KI-Compliance-Plattform zur Verwaltung von KI-Systemen gemäß EU AI Act. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich auf der Grundlage der DSGVO und des BDSG unter Beachtung der Grundsätze der Datenminimierung, Zweckbindung und Datenvermeidung.
Im Rahmen der Bereitstellung und Nutzung der flowgeist ZERO Plattform werden folgende Kategorien personenbezogener Daten verarbeitet:
| Kategorie | Beschreibung | Beispiele |
|---|---|---|
| Kontaktdaten | Daten zur Kommunikation und Kontoverwaltung | Name, E-Mail-Adresse, Telefonnummer (optional), Firmenname |
| KI-System-Daten | Daten zu verwalteten KI-Systemen | Bezeichnung, Klassifizierung, Risikokategorie, Dokumentationsfelder |
| Schulungs-Daten | Daten im Rahmen des Schulungsmoduls | Name, E-Mail, Schulungsfortschritt, Prüfungsergebnisse, Zertifikatsstatus |
| Audit-Daten | Protokollierungsdaten gemäß ISO 27001 A.12.4 | Timestamp, User-ID, Tenant-ID, Aktion, Ressource, IP-Adresse, User-Agent |
| Zahlungsdaten | Abrechnungsrelevante Daten | Stripe-Kunden-ID, SEPA-Lastschriftmandat, IBAN (verschüsselt gespeichert) |
Die Verarbeitung personenbezogener Daten erfolgt zu folgenden Zwecken:
Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Rechtsgrundlagen:
Soweit für die Verarbeitung eine Einwilligung eingeholt wird (z.B. bei Analytics via Umami oder beim Partner-Programm), erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.
Personenbezogene Daten werden an folgende Empfänger bzw. Kategorien von Empfängern weitergegeben:
| Empfänger | Sitz / Land | Drittstaatenbezug | Rechtsgrundlage / Garantien |
|---|---|---|---|
| Stripe Payments Europe, Ltd. | Irland (IE) / USA (US) | EU-US Data Privacy Framework (DPF) + Standardvertragsklauseln (SCC) | Auftragsverarbeitung gemäß Art. 28 DSGVO; Zahlungsabwicklung |
| Postmark / ActiveCampaign | USA (US) | EU-US Data Privacy Framework (DPF) + Standardvertragsklauseln (SCC) | Auftragsverarbeitung gemäß Art. 28 DSGVO; E-Mail-Versand |
| Hetzner Online GmbH | Deutschland (DE) | Keine Drittstaatenübermittlung | Auftragsverarbeitung gemäß Art. 28 DSGVO; Hosting |
| Lexware GmbH | Deutschland (DE) | Keine Drittstaatenübermittlung | Auftragsverarbeitung gemäß Art. 28 DSGVO; Buchhaltung |
| Mistral AI | Frankreich (FR) | Keine Drittstaatenübermittlung | Auftragsverarbeitung gemäß Art. 28 DSGVO; KI-Textgenerierung |
| Partner bei High-Risk-Referral | Deutschland (DE) / EU | Keine Drittstaatenübermittlung | Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO; Lead-Übermittlung nach aktiver Auswahl |
Die primäre Verarbeitung personenbezogener Daten erfolgt in Deutschland. Die Hosting-Infrastruktur wird bei der Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland) betrieben. Eine Übermittlung in Drittstaaten (Staaten außerhalb des Europäischen Wirtschaftsraums) findet in folgenden Fällen statt:
Für alle übrigen Empfänger (Hetzner, Lexware, Mistral AI) erfolgt die Verarbeitung ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums, sodass keine Drittstaatenübermittlung stattfindet.
Die Aufbewahrungsfristen richten sich nach den gesetzlichen Vorgaben, vertraglichen Erfordernissen und dem Prinzip der Datenminimierung. Die folgenden Fristen gelten für die jeweilige Datenkategorie:
| Datenkategorie | Speicherdauer | Begründung |
|---|---|---|
| Kontaktdaten | 30 Tage nach Kündigung | Datenminimierung nach Vertragsende |
| KI-System-Daten | 30 Tage nach Kündigung | Datenminimierung nach Vertragsende |
| Schulungs-Daten | 30 Tage nach Kündigung | Datenminimierung nach Vertragsende |
| Audit-Logs | 3 Jahre | ISO 27001 A.12.4; Sicherheits- und Compliance-Anforderungen |
| Stripe-Webhook-Logs (mit PII) | 30 Tage, danach Pseudonymisierung | Datenminimierung; PII wird nach 30 Tagen pseudonymisiert |
| Stripe-Webhook-Logs (ohne PII) | 10 Jahre | Buchführungs- und Nachweispflichten |
| Rechnungen | 10 Jahre | § 147 AO (Aufbewahrungsfrist für Handels- und Geschäftsbriefe) |
Nach Ablauf der jeweiligen Speicherdauer werden die Daten gelöscht oder – soweit gesetzlich vorgeschrieben – pseudonymisiert, sofern eine weitere Speicherung nicht mehr erforderlich ist.
Als betroffene Person stehen Ihnen nach der DSGVO folgende Rechte zu:
Sie haben das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob Sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so haben Sie ein Recht auf Auskunft über diese personenbezogenen Daten sowie auf die in Art. 15 Abs. 1 DSGVO im Einzelnen aufgeführten Informationen.
Sie haben das Recht, die unverzügliche Berichtigung Sie betreffender unrichtiger personenbezogener Daten zu verlangen. Ferner haben Sie das Recht, die Vervollständigung unvollständiger personenbezogener Daten – auch mittels einer ergänzenden Erklärung – zu verlangen.
Sie haben das Recht, von dem Verantwortlichen zu verlangen, dass Sie betreffende personenbezogene Daten unverzüglich gelöscht werden, sofern einer der in Art. 17 Abs. 2 DSGVO genannten Gründe zutrifft und die Verarbeitung nicht zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
Sie haben das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der in Art. 18 Abs. 1 DSGVO genannten Voraussetzungen gegeben ist.
Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie dem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und Sie haben das Recht, diese Daten einem anderen Verantwortlichen zu übermitteln.
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Sie haben das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen, in der Regel in dem Mitgliedstaat Ihres Aufenthaltsortes, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.
Zur Ausübung Ihrer oben genannten Rechte können Sie sich jederzeit an den Verantwortlichen wenden:
Ihr Anliegen wird gemäß Art. 12 Abs. 3 DSGVO innerhalb von einem Monat nach Eingang bearbeitet und beantwortet. Diese Frist kann bei komplexeren Anliegen um weitere zwei Monate verlängert werden, sofern Sie hierüber innerhalb des ersten Monats informiert werden.
Zur Identifizierung Ihrer Person können wir zusätzliche Angaben anfordern, sofern dies zur Sicherstellung erforderlich ist, dass die Auskunft nicht an unbefugte Personen erfolgt.
Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt. Die flowgeist ZERO Plattform nutzt KI-Technologie (Mistral AI) zur Textgenerierung für Compliance-Felder, jedoch erfolgt keine automatisierte Entscheidung, die Ihnen gegenüber rechtliche Wirkungen entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Alle KI-generierten Outputs müssen vor Verwendung durch eine fachkundige natürliche Person geprüft werden (menschliche Aufsicht gemäß Art. 14 EU AI Act).
Die flowgeist ZERO Plattform verwendet technisch notwendige Cookies zur Aufrechterhaltung der Session und Authentifizierung. Diese Cookies sind für den Betrieb der Plattform erforderlich und basieren auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Eine Einwilligung ist nicht erforderlich.
Für die Web-Analytics verwendet flowgeist das cookie-freie Analytics-Tool Umami. Umami arbeitet ohne Cookies und setzt kein Fingerprinting ein. Die Nutzung von Analytics erfolgt auf Basis einer ausdrücklichen Einwilligung (Opt-in) gemäß Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit widerrufen, ohne dass dies die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt.
Zum Schutz Ihrer personenbezogener Daten vor unbefugtem Zugriff, Verlust oder Manipulation setzt flowgeist folgende technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO ein:
Eine detaillierte Aufstellung der TOMs finden Sie im separaten TOMs-Dokument.
flowgeist behält sich vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder auf Änderungen der Leistungen und der Datenverarbeitung reagiert. Die jeweils aktuelle Version ist auf der Website unter https://flowgeist.de/rechtliches abrufbar.
Bei wesentlichen Änderungen, die die Verarbeitung Ihrer personenbezogener Daten betreffen, werden wir Sie rechtzeitig vor Inkrafttreten informieren.
Bei Fragen zum Datenschutz, zur Verarbeitung Ihrer personenbezogener Daten oder zur Ausübung Ihrer Betroffenenrechten können Sie sich jederzeit an uns wenden:
flowgeist Inhaber: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Deutschland
E-Mail: info@flowgeist.de Datenschutz-Ansprechpartner: datenschutz@flowgeist.de
Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt. Zuständige Aufsichtsbehörde ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) Postfach 20 04 44 40102 Düsseldorf Web: https://www.ldi.nrw
| Version | Datum | Wesentliche Änderungen |
|---|---|---|
| 1.0 | 02.05.2026 | Erstfassung |
| 1.1 | 23.06.2026 | Finalisierung |
| 1.2 | 08.08.2026 | Produktspezifische Anpassung für flowgeist ZERO |
© 2026 flowgeist – Ralf Carsjens · Alle Rechte vorbehalten