Datenschutzerklärung
Stand: März 2026
1. Verantwortlicher
Assetflow – Inh. Marco Koppenhöfer
Kaiserslauterer Straße 325
67098 Bad Dürkheim
Deutschland
Telefon: +49 176 63872438
E-Mail: info@profitkonsole.de
2. Arten von Daten und Zwecke
Datenarten
- Account- und Bestandsdaten (E-Mail, Name, optional Unternehmensdaten/Team-Mitglieder)
- Geschäftsdaten aus dem Otto-Konto (Produkte, Umsätze, Kosten, Bestellungen/Gebühren – keine Endkundendaten)
- Nutzungs- und Metadaten (Log-/IP-Daten, technische Ereignisse)
Zwecke
- Bereitstellung und Betrieb der SaaS-Plattform
- Synchronisation/Auswertung von Mandanten-Geschäftsdaten
- Sicherheit, Fehlermanagement, Support
3. Rechtsgrundlagen
- Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Konto, Plattformnutzung, Otto-Sync
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für Sicherheit, Logs, Fehleranalyse, Produktanalyse
- Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für optionale Waitlist/Newsletter
4. Empfänger / Auftragsverarbeiter
Wir setzen folgende Dienstleister (Subprozessoren) ein:
| Dienstleister | Zweck | Standort | Rechtsgrundlage |
|---|---|---|---|
| Supabase Inc. | Datenbank, Authentifizierung | EU (Stockholm, Schweden) | DPA, EU-Rechenzentrum |
| Vercel Inc. | Hosting, Functions, CDN | EU (Frankfurt, fra1) | DPA, EU-Rechenzentrum |
| Trigger.dev | Background Jobs, Sync | EU (Frankfurt) | DPA, EU-Rechenzentrum |
| Google Workspace | Geschäftliche E-Mail-Kommunikation | EU / USA | DPA, EU-US DPF, SCC |
| Resend | Transaktionale E-Mails, Newsletter | USA | EU-US DPF, SCC |
| Sentry | Error Monitoring, Logs | USA/EU | EU-US DPF, SCC, berechtigtes Interesse |
| Stripe Inc. | Zahlungsabwicklung | Irland / USA | DPA, EU-US DPF, Vertragserfüllung |
Eine Übermittlung in Drittländer erfolgt auf Basis des EU-US Data Privacy Frameworks (DPF) oder Standardvertragsklauseln (SCC). Die primäre Datenhaltung erfolgt in EU-Rechenzentren.
Die Einzelheiten der Auftragsverarbeitung sind im Auftragsverarbeitungsvertrag (AVV) geregelt.
5. Sicherheitsmaßnahmen (TOMs)
Gemäß Art. 32 DSGVO treffen wir folgende technische und organisatorische Maßnahmen:
Vertraulichkeit
- Verschlüsselung: TLS 1.2+ (Transport), AES-256 (Encryption at Rest)
- Mandanten-Trennung: Separate PostgreSQL-Schemas pro Kunde (tenant_xxxxx)
- Zugriffssteuerung: Row-Level Security (RLS), JWT-basierte Authentifizierung
- Rollenkonzept: Owner/Admin/Moderator mit Least-Privilege-Prinzip
- MFA: Für alle Admin-Zugänge (Vercel, Supabase, GitHub) verpflichtend
- Secrets: Umgebungsvariablen, keine Hardcodierung im Code
Verfügbarkeit & Wiederherstellung
- Hosting: Vercel Serverless mit Auto-Scaling und DDoS-Schutz (Edge Network)
- Datenbank: Supabase PostgreSQL mit automatischen täglichen Backups
- Point-in-Time Recovery innerhalb der Backup-Retention möglich
- Code-Versionierung via Git; Deployment-Rollback jederzeit möglich
Regelmäßige Überprüfung
- Schwachstellenscans: Alle 180 Tage (OWASP ZAP Baseline gegen Staging)
- Penetrationstests: Mindestens jährlich oder nach Major Releases
- Dependency-Checks: Automatisiert via npm audit und Dependabot
- Security-Updates: Regelmäßige Aktualisierung aller Abhängigkeiten
6. Speicherdauer und Löschung
Wir löschen Ihre personenbezogenen Daten, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Datenaufbewahrung nach Trial/Kündigung
Nach Ablauf des Testzeitraums oder Kündigung werden Ihre Otto-Verkaufsdaten (Bestellungen, Produkte, Rechnungen) nach 30 Tagen automatisch gelöscht. Ihr Benutzerkonto (E-Mail, Name, Firmenname) bleibt für eine mögliche Reaktivierung erhalten.
Löschung bei Kontolöschung
Sie können jederzeit die vollständige Löschung Ihres Accounts in den Einstellungen beantragen. Nach einer 14-tägigen Widerrufsfrist werden alle personenbezogenen Daten anonymisiert. Ein etwaiges aktives Abonnement wird automatisch gekündigt. Innerhalb der 14-Tage-Frist können Sie die Löschung widerrufen.
Gesetzliche Aufbewahrungspflichten
Folgende Daten werden auch nach Kontolöschung aufgrund gesetzlicher Pflichten aufbewahrt:
| Datenkategorie | Frist | Rechtsgrundlage |
|---|---|---|
| Rechnungsdaten | 8 Jahre | § 147 Abs. 1 Nr. 4 AO, § 14b UStG |
| Handelsbriefe | 6 Jahre | § 257 Abs. 1 Nr. 2, 3 HGB |
| Buchführungsunterlagen | 10 Jahre | § 257 Abs. 1 Nr. 1 HGB |
Diese Daten werden bei unserem Zahlungsanbieter (Stripe, Irland/USA) aufbewahrt und nach Ablauf der gesetzlichen Fristen gelöscht. Der Zugriff ist auf die gesetzlich vorgeschriebenen Zwecke beschränkt (Einschränkung der Verarbeitung gem. Art. 18 DSGVO).
Aufbewahrungsfristen
| Datenkategorie | Frist nach Trial-Ende / Kündigung | Hinweis |
|---|---|---|
| Otto-Verkaufsdaten (Bestellungen, Produkte, Rechnungen) | 30 Tage | Automatische Löschung nach Ablauf |
| Benutzerkonto (E-Mail, Name, Firmenname) | Unbegrenzt | Für mögliche Reaktivierung; Löschung auf Anfrage |
| Sync-Protokolle | 90 Tage | Automatische Bereinigung |
7. Betroffenenrechte
Sie haben gegenüber uns folgende Rechte:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen
- Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, Tel. +49 6131 208-2449, www.datenschutz.rlp.de
Recht auf Löschung (Art. 17 DSGVO)
Sie können Ihren Account und alle zugehörigen Daten jederzeit direkt in der Anwendung unter Einstellungen > Account > Gefahrenzone löschen oder per E-Mail an datenschutz@profitkonsole.de. Ihr Konto wird sofort deaktiviert, ein etwaiges Abonnement automatisch gekündigt. Die unwiderrufliche Löschung erfolgt nach einer 14-tägigen Widerrufsfrist. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (siehe Abschnitt 6), werden erst nach Ablauf der jeweiligen Fristen gelöscht.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Sie haben das Recht, Ihre bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Sie können einen Datenexport direkt in der Anwendung unter Einstellungen > Account > Datenexport anfragen oder per E-Mail an datenschutz@profitkonsole.de. Wir bearbeiten Ihre Anfrage innerhalb von 30 Tagen.
Widerspruchsrecht (Art. 21 DSGVO)
Sofern wir Ihre personenbezogenen Daten auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Kontakt für alle Anfragen: datenschutz@profitkonsole.de
8. Bereitstellung der Website und Web-Analyse
Beim Aufruf unserer Website werden serverseitig IP-Adresse, Datum/Uhrzeit, URL, Referrer, Browser/OS zu Sicherheits- und Betriebszwecken verarbeitet (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
Vercel Web Analytics
Auf unserer Marketing-Website (profitkonsole.de) setzen wir Vercel Web Analytics ein, einen cookielosen Webanalysedienst der Vercel Inc. Es werden keine Cookies gesetzt und keine personenbezogenen Daten erhoben. Besucher werden anhand eines anonymisierten, tagesaktuellen Hashes identifiziert, der nicht über Tage oder Websites hinweg nachverfolgbar ist.
- Zweck: Analyse der Seitenaufrufe, Referrer, Geräte- und Standortdaten
- Cookies: Keine
- Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG)
Demo-Nutzungsanalyse
Bei Nutzung der Demo-Funktion erfassen wir zusätzlich die Anzahl der aufgerufenen Seiten sowie ob eine Registrierung erfolgt ist. IP-Adressen werden dabei anonymisiert (letztes Segment auf 0 gesetzt), sodass keine Rückschlüsse auf einzelne Personen möglich sind. Diese Daten dienen ausschließlich der Verbesserung unseres Angebots und werden nach 30 Tagen automatisch gelöscht. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
9. Fehleranalyse (Sentry)
Zur Analyse von technischen Fehlern nutzen wir Sentry, einen Dienst der Functional Software Inc. Bei technischen Problemen werden Fehlermeldungen, Stack Traces und technische Kontextinformationen (Browser, Betriebssystem) erfasst, um Fehlerursachen schneller identifizieren und beheben zu können.
Erfasste Daten
- Technische Fehlermeldungen und Stack Traces
- Browser- und Betriebssysteminformationen
- URL der betroffenen Seite
Datenschutzmaßnahmen
- Es werden keine Cookies gesetzt und keine Nutzerinteraktionen aufgezeichnet
- Fehlerberichte werden nach 90 Tagen automatisch gelöscht
- Zugriff nur für autorisierte Entwickler zur Fehlerbehebung
Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Fehleranalyse dient der Sicherstellung des technischen Betriebs und der Verbesserung der Anwendung.
10. Produktanalyse und Nutzungsstatistiken
Innerhalb der Anwendung erfassen wir nutzungsbezogene Daten, um unser Produkt zu verbessern und Ihnen ein besseres Nutzungserlebnis zu bieten. Die Daten werden mit Ihrem Nutzerkonto verknüpft und nicht an Dritte weitergegeben.
Erfasste Daten
- Aufgerufene Seiten innerhalb der Anwendung
- Genutzte Funktionen (z.B. Otto-Verbindung, Daten-Synchronisierung)
- Onboarding-Fortschritt (Registrierung, E-Mail-Bestätigung, erste Anmeldung)
- Herkunft bei Registrierung (UTM-Parameter aus Verweislinks)
Keine Weitergabe
Die Daten werden ausschließlich in unserer eigenen Datenbank (Supabase, EU-Rechenzentrum) gespeichert und nicht an Dritte weitergegeben. Es werden keine externen Analyse-Dienste wie Google Analytics eingesetzt.
Speicherdauer: Für die Dauer Ihres Accounts. Nach Kontolöschung werden die Daten innerhalb von 14 Tagen gelöscht.
Rechtsgrundlage: Berechtigtes Interesse an der Produktverbesserung (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Verarbeitung jederzeit widersprechen unter datenschutz@profitkonsole.de.
11. Otto-Verbindung und Plattformnutzung
Die Verbindung zum Otto-Account erfolgt per OAuth. Es werden keine Otto-API-Credentials gespeichert; wir erhalten eine Verbindungs-ID, um in Ihrem Auftrag Daten abzurufen. Endkundendaten aus Otto (Name, Adresse etc.) werden nicht gespeichert; verarbeitet werden nur die vom Händler freigegebenen Geschäftsdaten.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
12. E-Mail-Kommunikation
Für geschäftliche E-Mail-Kommunikation (Support-Anfragen, persönliche Korrespondenz) nutzen wir Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Systembedingte E-Mails (Registrierung, Passwort-Reset, Team-Einladungen, Systemhinweise) versenden wir über Resend (Resend Inc., USA). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Sofern Sie dem Newsletter-Empfang zugestimmt haben, versenden wir gelegentlich Produktupdates und Tipps ebenfalls über Resend. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an datenschutz@profitkonsole.de widerrufen.
13. Cookie- und Speicher-Übersicht
Die folgende Tabelle gibt eine Übersicht über die von uns verwendeten Cookies und lokalen Speichertechnologien:
| Name | Anbieter | Zweck | Dauer | Typ | Einwilligung |
|---|---|---|---|---|---|
| sb-* | Supabase | Authentifizierung, Session | Session | Cookie | Nicht erforderlich |
| pk_utm, pk_utm_data | profitkonsole | UTM-Attribution | Session | sessionStorage | Nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) |
| isDemoMode, demoToken | profitkonsole | Demo-Modus Status | Session | localStorage | Nicht erforderlich |
14. Automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt.
Diese Datenschutzerklärung wird bei Bedarf angepasst, um rechtliche Anforderungen oder Änderungen unserer Leistungen abzubilden.