Datenschutz – finflow Software

Auf einen Blick

• Für dein Nutzerkonto und deinen Vertrag sind wir verantwortlich. Dazu gehören Registrierung, Anmeldung, Abrechnung, Support, Sicherheitsprotokolle und Mitteilungen zum Produkt.
• Für die Inhalte, die du in finflow speicherst, bist du verantwortlich. Kontakte, Tippgeber, Anfragen deiner Endkunden und deren Unterlagen verarbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO, geregelt im Vertrag zur Auftragsverarbeitung.
• Bist du Endkunde oder Tippgeber eines Vermittlers? Dann ist dein Vermittler für deine Daten verantwortlich. Wende dich mit Fragen zuerst an ihn.
• Deine Daten liegen in Deutschland und der EU. finflow speichert Daten in der EU, gehostet in Frankfurt am Main; die App selbst läuft in einem Rechenzentrum in Nürnberg. Nur für die KI Vela verarbeitet unser KI-Anbieter Daten in den USA, abgesichert durch EU-Standardvertragsklauseln.

Verantwortlicher

finflow GmbH
Am Sandtorkai 27, 20457 Hamburg, Deutschland
Telefon: +49 (0)40 573098440
E-Mail: hello@finflow.io

Wir haben derzeit keinen Datenschutzbeauftragten benannt. Sobald wir einen benennen, nennen wir hier seine Kontaktdaten. Bis dahin erreichst du uns zu allen Fragen des Datenschutzes unter hello@finflow.io.

Allgemeine Informationen zu Rechtsgrundlagen, zu deinen Rechten und zur zuständigen Aufsichtsbehörde findest du in unserer Erklärung Datenschutz – Allgemein.

Zwei Rollen: verantwortlich oder im Auftrag

In finflow arbeiten Kreditvermittler mit Daten anderer Menschen: mit ihren Teams, Tippgebern und Endkunden. Datenschutzrechtlich ist deshalb wichtig, wer über diese Daten entscheidet.

• finflow als Verantwortlicher (Art. 4 Nr. 7 DSGVO). Wir entscheiden selbst über Daten, die wir brauchen, um dir die App bereitzustellen, den Vertrag abzuwickeln und den Betrieb sicher zu halten. Diese Verarbeitungen beschreiben wir im nächsten Abschnitt.
• finflow als Auftragsverarbeiter (Art. 28 DSGVO). Alles, was du und dein Team in finflow anlegt, hochladet oder empfangt, gehört dir. Wir verarbeiten diese Daten nur nach deinen Weisungen und nur, um dir die vereinbarten Funktionen zu liefern. Verantwortlicher ist hier das Unternehmen, das finflow gebucht hat.

Daten, für die finflow verantwortlich ist

Registrierung und Nutzerkonto

Für dein Nutzerkonto verarbeiten wir deinen Namen, deine E-Mail-Adresse, dein Unternehmen, deinen Standort und deine Rolle in der Organisation. Jede Person in finflow hat genau eine Rolle mit einer Reichweite: eigene Datensätze, eigener Standort oder alles. Diese Angaben brauchen wir, damit du dich anmelden kannst und nur siehst, wofür du zuständig bist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit du selbst unser Vertragspartner bist, etwa als freier Berater, der finflow selbst bezahlt. Hat dein Arbeitgeber oder deine Organisation dich eingeladen, stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das deiner Organisation ist, dir den vereinbarten Zugang bereitzustellen.

Anmeldung und Sicherheit

Bei der Anmeldung und während der Nutzung fallen technische Daten an, etwa Zeitpunkt der Anmeldung, IP-Adresse, Browser- und Geräteinformationen sowie Protokolle sicherheitsrelevanter Ereignisse wie fehlgeschlagener Anmeldeversuche. Wir nutzen sie, um Konten zu schützen, Missbrauch zu erkennen und Störungen zu beheben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb. Protokolle über Anmeldungen und sicherheitsrelevante Ereignisse speichern wir 90 Tage und löschen sie danach, es sei denn, wir brauchen sie länger, um einen konkreten Sicherheitsvorfall aufzuklären.

Die App setzt nur Cookies und Einträge im Speicher deines Browsers, die für die Anmeldung und deine Sitzung technisch notwendig sind. Dafür brauchen wir keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

Vertrag und Abrechnung

Für die Abrechnung verarbeiten wir die gebuchten Module, die Zahl der Nutzer und Verbindungen, die gewählte Laufzeit und Zahlungsweise, die Rechnungsanschrift und die Kontaktdaten der Person, die Rechnungen erhält. In finflow lässt sich je Standort festlegen, wer zahlt: die Organisation, der Standort selbst oder der einzelne Nutzer. Je nach Einstellung verarbeiten wir die Abrechnungsdaten deshalb für die Organisation, den Standort oder dich persönlich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Rechnungen und Buchungsbelege bewahren wir auf, weil wir handels- und steuerrechtlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO).

Zahlungen wickeln wir über Stripe ab (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Deine Zahlungsdaten, etwa Karten- oder Kontodaten, verarbeitet Stripe selbst. Wir erhalten von Stripe nur den Zahlungsstatus, Rechnungs- und Kundendaten und gegebenenfalls die Art deines Zahlungsmittels und dessen letzte Ziffern. Für Teile der Zahlungsabwicklung, etwa zur Verhinderung von Betrug und Geldwäsche, ist Stripe selbst verantwortlich; dafür gelten die Datenschutzhinweise von Stripe.

Support und Rückmeldungen

Wenn du uns schreibst oder anrufst, verarbeiten wir deine Anfrage, deine Kontaktdaten und den Verlauf, um dir zu helfen. Über den Vela-Button kannst du außerdem Tickets zu Fehlern und Verbesserungsideen für die App anlegen; diese Tickets erreichen uns mit deinem Namen und deiner Beschreibung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um deinen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Fragen zu beantworten und finflow zu verbessern.

Für den Support nutzen wir kein Werkzeug eines Drittanbieters: Anfragen und Tickets laufen über eine eigene Funktion in der App oder per E-Mail an hello@finflow.io; dieses Postfach betreiben wir über Google Workspace. Telefonate laufen über die sipgate GmbH, Gladbacher Straße 74, 40219 Düsseldorf, die deine Telefonnummer und die Verbindungsdaten in Deutschland und in unserem Auftrag verarbeitet. Müssen wir für eine Supportanfrage in deine gespeicherten Inhalte schauen, tun wir das nur auf deine Weisung und als Auftragsverarbeiter.

Mitteilungen zum Produkt

Wir schreiben dir, wenn es für deinen Vertrag oder die Nutzung nötig ist: etwa bei Einladungen ins Team, zum Zurücksetzen des Passworts, bei Sicherheitshinweisen, Änderungen an Funktionen oder Vertragsbedingungen und bei Rechnungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Hinweise auf wesentliche Änderungen auch Art. 6 Abs. 1 lit. f DSGVO. Einen Newsletter versenden wir nicht. E-Mails aus der App versenden wir über Google Workspace oder über Resend; Einzelheiten stehen unter „Hosting und Dienstleister“.

Auswertung der Nutzung

In der App setzen wir keine Tracking- oder Analyse-Tools von Drittanbietern ein. Damit wir Fehler erkennen und beheben können, schreibt die App technische Fehlerprotokolle; sie enthalten keine Inhalte aus Anfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine stabile und fehlerfreie App.

Daten, die du in finflow speicherst

Für folgende Daten bist du als Kunde verantwortlich. finflow verarbeitet sie in deinem Auftrag:

• Workspace: Kontakte und Unternehmen, Kalendereinträge, Aufgaben, E-Mails, Chatnachrichten, Dokumente und Favoriten.
• Leadflow: Daten deiner Tippgeber und Partnermakler, ihre Empfehlungslinks, die vereinbarten Regeln zur Tippgeberprovision und deren Abrechnung.
• Anfragen: Angaben der anfragenden Person oder des anfragenden Unternehmens, die Immobilie mit ihren Details, der Finanzierungswunsch, der Kaufpreis, hochgeladene Unterlagen und die bei der Anfrage erteilte Einwilligung zur Weitergabe.
• Salesflow: Phase, nächste Aktivität, zuständige Person, Einschätzung und Volumen einer Anfrage.
• Vela: Eingaben an Vela, die erzeugten Scores, Hinweise und Entwürfe.
• Organisation: Standorte, Rollen und Zuständigkeiten deines Teams, soweit sie sich auf deine Inhalte beziehen.

Welche Daten du erfasst, auf welcher Rechtsgrundlage und wie lange du sie brauchst, entscheidest du. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeiten wir nur, wenn du sie selbst in finflow eingibst oder hochlädst. Einzelheiten zu Weisungen, Unterauftragsverarbeitern, technischen und organisatorischen Maßnahmen und Löschung regelt der Vertrag zur Auftragsverarbeitung.

Einwilligung bei der Anfrage

Wenn ein Tippgeber eine Finanzierungsanfrage an seinen Vermittler weitergibt, holt finflow die Einwilligung der betroffenen Person zur Weitergabe direkt bei der Anfrage ein. Verantwortlich für die Einwilligung und ihren Inhalt bleibt der Vermittler; finflow stellt die Funktion dafür bereit. Für den Einwilligungstext stellt finflow eine Vorlage bereit, die der Vermittler anpassen kann. finflow speichert jede erteilte Einwilligung mit Zeitpunkt und Wortlaut als Nachweis. Widerruft die betroffene Person ihre Einwilligung, wird der Widerruf in finflow vermerkt und gilt ab diesem Zeitpunkt.

Für Endkunden und Tippgeber

Hast du über einen Vermittler eine Finanzierung angefragt oder gibst du als Tippgeber Empfehlungen weiter, ist der Vermittler für deine Daten verantwortlich, nicht finflow. Bitte richte Fragen und Anträge, etwa auf Auskunft oder Löschung, direkt an deinen Vermittler. Erreicht uns dein Anliegen trotzdem, leiten wir es an ihn weiter und unterstützen ihn bei der Antwort.

Tippgeber und Partnerspace

Vermittler binden ihre Tippgeber auf zwei Wegen an:

• Empfehlungslink oder Empfehlungs-QR-Code: Der Tippgeber braucht kein Konto. Er gibt die Anfrage über den Link weiter; wir verarbeiten seine Angaben und die der anfragenden Person im Auftrag des Vermittlers.
• Partnerspace (Gastzugang): Der Tippgeber erhält einen eigenen Bereich in finflow. Dafür verarbeiten wir seinen Namen, seine E-Mail-Adresse, Anmeldedaten und die Anfragen, die er übermittelt. Immobilienmakler können im Einrichtungs-Wizard ihre Maklersoftware Propstack anbinden; dann erreichen ihre Anfragen den Vermittler automatisch als Tipps.

Für die Anmeldedaten im Partnerspace ist der Vermittler verantwortlich, weil er den Tippgeber einlädt; finflow verarbeitet sie in seinem Auftrag. Selbst verantwortlich sind wir nur für Sicherheitsprotokolle und die Abwehr von Missbrauch, wie oben unter „Anmeldung und Sicherheit“ beschrieben (Art. 6 Abs. 1 lit. f DSGVO).

Bindet ein Makler Propstack an, entscheidet er selbst, dass Anfragen aus seiner Software an den Vermittler gehen. Für die Daten in Propstack bleibt der Makler verantwortlich.

Vela, die KI in finflow

Vela unterstützt dich bei der Arbeit in finflow. Heute kann Vela:

• Anfragen vorqualifizieren: Vela prüft Finanzierungswunsch, Kaufpreis und Unterlagen und vergibt einen Score, der die Vollständigkeit und Machbarkeit der Anfrage bewertet,
• morgens auf überfällige Aufgaben, Fristen und Geburtstage hinweisen,
• beim Formulieren von E-Mails helfen,
• über den Vela-Button Sprache in Text und Text in Sprache umwandeln, Aufgaben und Kalendereinträge anlegen, Fragen zu Kontakten und Unternehmen beantworten und Tickets an finflow anlegen.

Welche Daten Vela verarbeitet

Vela verarbeitet die Daten, die für die jeweilige Aufgabe nötig sind: deine Eingaben und Spracheingaben, die betroffene Anfrage mit Angaben zur Person, zur Immobilie, zum Finanzierungswunsch und zu den Unterlagen sowie die Kontakte, Aufgaben und Termine, auf die sich deine Frage bezieht. Vela sieht dabei nur, was du mit deiner Rolle auch selbst sehen darfst. Diese Verarbeitung geschieht im Auftrag des Kunden und ist Teil des Vertrags zur Auftragsverarbeitung.

Für Vela nutzen wir KI-Modelle von Anthropic (Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA). Die Verarbeitung findet in den USA statt, auf Grundlage der Datenverarbeitungsbedingungen von Anthropic einschließlich der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Nach den geschäftlichen Bedingungen von Anthropic werden Eingaben und Ergebnisse nicht zum Training von Modellen verwendet.

Vela entscheidet nicht

Der Score von Vela bewertet nur die Vollständigkeit und Machbarkeit einer Anfrage. Er ist eine Vorbereitung, keine Entscheidung. Vela prüft nicht die Kreditwürdigkeit einer Person und trifft keine Entscheidungen. Über eine Finanzierung entscheidet allein die finanzierende Bank, über die Weiterbearbeitung einer Anfrage der Vermittler. Den Mindestscore, ab dem eine Anfrage als qualifiziert gilt, legt der Vermittler selbst fest; er kann die Vorqualifizierung auch ganz ohne Vela selbst vornehmen. Wann eine Anfrage übergeben wird, legt der Vermittler in finflow fest. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet durch Vela nicht statt.

EU AI Act

Wir setzen Vela im Rahmen der Verordnung (EU) 2024/1689 über künstliche Intelligenz (EU AI Act) ein. Vela dient nicht der Bewertung der Kreditwürdigkeit natürlicher Personen: Der Score bezieht sich allein auf die Vollständigkeit und Machbarkeit einer Anfrage. Vorschläge von Vela prüfst du, bevor du sie verwendest, etwa einen E-Mail-Entwurf vor dem Versand.

Integrationen, die du aktivierst

finflow lässt sich mit Systemen verbinden, die du selbst auswählst und einschaltest:

• FinCRM, FinLink und HYPOFY: Qualifizierte Anfragen übergibst du als Vorhaben (bei FinLink: Antrag) mit Kontakt, Immobilie und Unterlagen an dein CRM.
• Propstack: Makler binden ihre Maklersoftware an, damit ihre Anfragen dich als Tipps erreichen.
• Postfach-Synchronisation: Du verbindest finflow mit deinem E-Mail- und Kalenderanbieter, um E-Mails aus finflow zu senden, Termine abzugleichen und Kontakte zu synchronisieren. Andere E-Mail-Konten lassen sich für E-Mails anbinden.

Diese Anbieter sind keine Unterauftragsverarbeiter von finflow. Sie sind Empfänger, an die wir Daten auf deine Weisung übermitteln, sobald du die Verbindung einrichtest. Für die Verarbeitung dort gelten die Bedingungen und Datenschutzhinweise des jeweiligen Anbieters; den nötigen Vertrag mit ihm schließt du selbst. Trennst du eine Verbindung, übermitteln wir ab dann keine Daten mehr. Was bereits übermittelt wurde, bleibt beim Anbieter, bis du es dort löschst.

Hosting und Dienstleister

Für den Betrieb der App setzen wir die folgenden Dienstleister als Empfänger ein:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Aufgabe: Hosting der App. Daten: alle Daten, die beim Aufruf und bei der Nutzung der App verarbeitet werden, etwa IP-Adresse, Anmeldedaten und Inhalte. Ort: Rechenzentrum in Nürnberg, Deutschland. Eine Übermittlung in ein Drittland findet nicht statt.
• Supabase Inc., USA. Aufgabe: Datenbank und Dateispeicher der App. Daten: Nutzerkonten und alle Inhalte, die in finflow gespeichert werden, einschließlich Dokumenten. Ort: Region EU, Frankfurt am Main. Supabase verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO. Für mögliche Zugriffe aus den USA, etwa im Support, gelten die EU-Standardvertragsklauseln aus diesem Vertrag.
• Google Workspace, Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Aufgabe: Versand von E-Mails aus der App und unser Postfach hello@finflow.io. Daten: Name, E-Mail-Adresse und Inhalt der Nachricht. Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert.
• Resend, Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Aufgabe: Versand von E-Mails aus der App. Daten: Name, E-Mail-Adresse und Inhalt der Nachricht. Ort: Versand über Server in der EU (Irland). Resend verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO; für mögliche Übermittlungen in die USA gelten EU-Standardvertragsklauseln.
• Anthropic, Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA. Aufgabe: KI-Modelle für Vela. Daten: die Eingaben und Inhalte, die Vela für die jeweilige Aufgabe braucht, wie oben beschrieben. Ort: USA. Garantie: Datenverarbeitungsbedingungen von Anthropic einschließlich EU-Standardvertragsklauseln. Eingaben und Ergebnisse werden nicht zum Training von Modellen verwendet.
• Stripe, Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Aufgabe: Zahlungsabwicklung. Daten: Zahlungs-, Rechnungs- und Kundendaten. Stripe ist für die Zahlungsabwicklung teils selbst verantwortlich, etwa zur Verhinderung von Betrug und Geldwäsche. Stripe betrifft nur unseren Vertrag mit dir und erhält keine Inhalte, die du in finflow speicherst.

Ändern sich die Unterauftragsverarbeiter, die Inhalte aus finflow in deinem Auftrag verarbeiten, kündigen wir das mindestens vier Wochen vorher an. Du kannst der Änderung widersprechen. Einzelheiten regelt der Vertrag zur Auftragsverarbeitung.

Wo deine Daten liegen

finflow speichert Daten in Deutschland und der EU: Die App läuft in einem Rechenzentrum in Nürnberg, Datenbank und Dateispeicher liegen in Frankfurt am Main. Übermittlungen in Länder außerhalb der EU und des EWR finden nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa für die KI Vela auf Grundlage von EU-Standardvertragsklauseln, oder wenn du selbst eine Integration mit einem Anbieter außerhalb der EU aktivierst.

Sicherheit

Zugriff auf Daten steuert finflow über Standorte, Rollen und Rechte: Jede Person sieht nur die eigenen Datensätze, den eigenen Standort oder alles, je nachdem, welche Reichweite ihre Rolle hat. Beratungs- und Abschlussrechte gelten erst, wenn die Qualifikation der Person bestätigt ist.

Außerdem schützen wir Daten mit diesen Maßnahmen:

• Verschlüsselung bei der Übertragung (TLS) und bei der Speicherung,
• Zwei-Faktor-Anmeldung,
• regelmäßige Datensicherungen,
• Zugriff nur im Rahmen der jeweiligen Rolle und ihrer Rechte,
• Datenhaltung in Deutschland und der EU.

Nach Angaben der Anbieter sind die Rechenzentren von Hetzner nach ISO/IEC 27001 zertifiziert, und Supabase ist nach SOC 2 Typ II geprüft. Weitere Einzelheiten zu den technischen und organisatorischen Maßnahmen regelt der Vertrag zur Auftragsverarbeitung.

Speicherdauer und Löschung

• Nutzerkonto: solange dein Zugang besteht. Wird ein Nutzer aus der Organisation entfernt oder endet der Vertrag, löschen wir das Konto innerhalb von 30 Tagen.
• Protokolle über Anmeldungen und sicherheitsrelevante Ereignisse: 90 Tage, danach löschen wir sie, außer wir brauchen sie zur Aufklärung eines Vorfalls.
• Rechnungen und Buchungsbelege: so lange, wie es das Handels- und Steuerrecht vorschreibt (§ 257 HGB, § 147 AO), danach löschen wir sie.
• Support-Anfragen: zwei Jahre nach Abschluss der Anfrage, soweit keine Aufbewahrungspflicht besteht; danach löschen wir sie.
• Deine Inhalte: Während der Laufzeit kannst du Daten in finflow jederzeit selbst löschen. Auf Anfrage geben wir dir deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format heraus. Nach Vertragsende speichern wir deine Inhalte höchstens bis einen Monat nach Vertragsende oder, wenn du uns ein Export- oder Löschdatum nennst, bis zu diesem Datum, jeweils unter Beachtung gesetzlicher Aufbewahrungspflichten. Danach löschen wir sie. Datensicherungen werden im Rahmen ihrer regelmäßigen Rotation überschrieben.

Deine Rechte

Für Daten, für die finflow verantwortlich ist, kannst du deine Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch direkt bei uns geltend machen, am einfachsten per E-Mail an hello@finflow.io. Alle Rechte, dein Widerspruchsrecht und dein Beschwerderecht bei der Aufsichtsbehörde erklären wir ausführlich unter Datenschutz – Allgemein.

Für Daten, die ein Kunde in finflow speichert, ist der Kunde dein Ansprechpartner. Als Endkunde oder Tippgeber wendest du dich also an deinen Vermittler.

Änderungen dieser Erklärung

Wenn sich finflow weiterentwickelt oder sich die Rechtslage ändert, passen wir diese Erklärung an. Die jeweils aktuelle Fassung steht auf dieser Seite; frühere Fassungen findest du unten.