Datenschutzerklärung

1. Verantwortlicher

Assetflow – Inh. Marco Koppenhöfer
Kaiserslauterer Straße 325
67098 Bad Dürkheim
Deutschland

Telefon: +49 176 63872438
E-Mail: marco@profitkonsole.de

2. Arten von Daten und Zwecke

Datenarten

• Account- und Bestandsdaten (E-Mail, Name, optional Unternehmensdaten/Team-Mitglieder)
• Geschäftsdaten aus dem OTTO-Konto (Produkte, Umsätze, Kosten, Bestellungen/Gebühren – keine Endkundendaten)
• Werbedaten aus optional verbundenen Werbekonten (Google Ads, Meta – Kampagnen-, Kosten- und Leistungskennzahlen, siehe Abschnitt 11)
• Nutzungs- und Metadaten (Log-/IP-Daten, technische Ereignisse)

Zwecke

• Bereitstellung und Betrieb der SaaS-Plattform
• Synchronisation/Auswertung von Mandanten-Geschäftsdaten
• Sicherheit, Fehlermanagement, Support

3. Rechtsgrundlagen

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Konto, Plattformnutzung, OTTO-Sync
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für Sicherheit, Logs, Fehleranalyse, Produktanalyse
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für optionale Waitlist/Newsletter sowie den optionalen KI-Assistenten „Cortex“ (siehe Abschnitt 16)

4. Empfänger / Auftragsverarbeiter

Wir setzen folgende Dienstleister (Subprozessoren) ein:

Eine Übermittlung in Drittländer erfolgt auf Basis des EU-US Data Privacy Frameworks (DPF) oder Standardvertragsklauseln (SCC). Die primäre Datenhaltung erfolgt in EU-Rechenzentren.

Die Einzelheiten der Auftragsverarbeitung sind im Auftragsverarbeitungsvertrag (AVV) geregelt.

5. Sicherheitsmaßnahmen (TOMs)

Gemäß Art. 32 DSGVO treffen wir folgende technische und organisatorische Maßnahmen:

Vertraulichkeit

• Verschlüsselung: TLS 1.2+ (Transport), AES-256 (Encryption at Rest)
• Mandanten-Trennung: Separate PostgreSQL-Schemas pro Kunde (tenant_xxxxx)
• Zugriffssteuerung: Row-Level Security (RLS), JWT-basierte Authentifizierung
• Rollenkonzept: Owner/Admin/Moderator mit Least-Privilege-Prinzip
• MFA: Für alle Admin-Zugänge (Vercel, Supabase, GitHub) verpflichtend
• Secrets: Umgebungsvariablen, keine Hardcodierung im Code

Verfügbarkeit & Wiederherstellung

• Hosting: Vercel Serverless mit Auto-Scaling und DDoS-Schutz (Edge Network)
• Datenbank: Supabase PostgreSQL mit automatischen täglichen Backups
• Point-in-Time Recovery innerhalb der Backup-Retention möglich
• Code-Versionierung via Git; Deployment-Rollback jederzeit möglich

Regelmäßige Überprüfung

• Schwachstellenscans: Alle 180 Tage (OWASP ZAP Baseline gegen Staging)
• Penetrationstests: Mindestens jährlich oder nach Major Releases
• Dependency-Checks: Automatisiert via npm audit und Dependabot
• Security-Updates: Regelmäßige Aktualisierung aller Abhängigkeiten

6. Speicherdauer und Löschung

Wir löschen Ihre personenbezogenen Daten, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Datenaufbewahrung nach Trial/Kündigung

Nach Ablauf des Testzeitraums oder Kündigung werden Ihre OTTO-Verkaufsdaten (Bestellungen, Produkte, Rechnungen) nach 30 Tagen automatisch gelöscht. Ihr Benutzerkonto (E-Mail, Name, Firmenname) bleibt für eine mögliche Reaktivierung erhalten.

Löschung bei Kontolöschung

Sie können jederzeit die vollständige Löschung Ihres Accounts in den Einstellungen beantragen. Nach einer 14-tägigen Widerrufsfrist werden alle personenbezogenen Daten anonymisiert. Ein etwaiges aktives Abonnement wird automatisch gekündigt. Innerhalb der 14-Tage-Frist können Sie die Löschung widerrufen.

Gesetzliche Aufbewahrungspflichten

Folgende Daten werden auch nach Kontolöschung aufgrund gesetzlicher Pflichten aufbewahrt:

Diese Daten werden bei unserem Zahlungsanbieter (Stripe, Irland/USA) aufbewahrt und nach Ablauf der gesetzlichen Fristen gelöscht. Der Zugriff ist auf die gesetzlich vorgeschriebenen Zwecke beschränkt (Einschränkung der Verarbeitung gem. Art. 18 DSGVO).

Aufbewahrungsfristen

7. Betroffenenrechte

Sie haben gegenüber uns folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, Tel. +49 6131 208-2449, www.datenschutz.rlp.de

Kontakt für alle Anfragen: datenschutz@profitkonsole.de

8. Bereitstellung der Website und Web-Analyse

Beim Aufruf unserer Website werden serverseitig IP-Adresse, Datum/Uhrzeit, URL, Referrer, Browser/OS zu Sicherheits- und Betriebszwecken verarbeitet (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

Vercel Web Analytics

Auf unserer Marketing-Website (profitkonsole.de) setzen wir Vercel Web Analytics ein, einen cookielosen Webanalysedienst der Vercel Inc. Es werden keine Cookies gesetzt und keine personenbezogenen Daten erhoben. Besucher werden anhand eines anonymisierten, tagesaktuellen Hashes identifiziert, der nicht über Tage oder Websites hinweg nachverfolgbar ist.

• Zweck: Analyse der Seitenaufrufe, Referrer, Geräte- und Standortdaten
• Cookies: Keine
• Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG)

Reichweiten- und Funnel-Messung (First-Party)

Zur Messung von Reichweite und Anmelde-Funnel (welche Inhalte zu einer Registrierung führen) erfassen wir eigene, cookielose Ereignisse (z. B. Seitenaufruf, CTA-Klick, Registrierung) in unserer eigenen Datenbank. Um die Aufrufe innerhalb einer Sitzung zu einem Pfad zusammenzuführen, verwenden wir eine zufällig erzeugte Session-ID, die ausschließlich in einem sessionStorage-Eintrag des Browsers gespeichert und beim Schließen des Tabs gelöscht wird. Es findet keine sitzungs- oder geräteübergreifende Wiedererkennung und kein Fingerprinting statt; eine Verknüpfung mit einer Person erfolgt erst, wenn Sie sich selbst registrieren.

• Zweck: Reichweiten-/Funnel-Analyse, Herkunft von Registrierungen (inkl. bezahlter Kampagnen wie Google Ads)
• Cookies: Keine (zufällige Session-ID in sessionStorage, endet mit dem Tab)
• Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG)

Demo-Nutzungsanalyse

Bei Nutzung der Demo-Funktion erfassen wir zusätzlich die Anzahl der aufgerufenen Seiten sowie ob eine Registrierung erfolgt ist. IP-Adressen werden dabei anonymisiert (letztes Segment auf 0 gesetzt), sodass keine Rückschlüsse auf einzelne Personen möglich sind. Diese Daten dienen ausschließlich der Verbesserung unseres Angebots und werden nach 30 Tagen automatisch gelöscht. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

9. Fehleranalyse (Sentry)

Zur Analyse von technischen Fehlern nutzen wir Sentry, einen Dienst der Functional Software Inc. Bei technischen Problemen werden Fehlermeldungen, Stack Traces und technische Kontextinformationen (Browser, Betriebssystem) erfasst, um Fehlerursachen schneller identifizieren und beheben zu können.

Erfasste Daten

• Technische Fehlermeldungen und Stack Traces
• Browser- und Betriebssysteminformationen
• URL der betroffenen Seite

Datenschutzmaßnahmen

• Es werden keine Cookies gesetzt und keine Nutzerinteraktionen aufgezeichnet
• Fehlerberichte werden nach 90 Tagen automatisch gelöscht
• Zugriff nur für autorisierte Entwickler zur Fehlerbehebung

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Fehleranalyse dient der Sicherstellung des technischen Betriebs und der Verbesserung der Anwendung.

10. Produktanalyse und Nutzungsstatistiken

Innerhalb der Anwendung erfassen wir nutzungsbezogene Daten, um unser Produkt zu verbessern und Ihnen ein besseres Nutzungserlebnis zu bieten. Die Daten werden mit Ihrem Nutzerkonto verknüpft und nicht an Dritte weitergegeben.

Erfasste Daten

• Aufgerufene Seiten innerhalb der Anwendung
• Genutzte Funktionen (z.B. OTTO-Verbindung, Daten-Synchronisierung)
• Onboarding-Fortschritt (Registrierung, E-Mail-Bestätigung, erste Anmeldung)
• Herkunft bei Registrierung (UTM-Parameter aus Verweislinks)

Keine Weitergabe

Die Daten werden ausschließlich in unserer eigenen Datenbank (Supabase, EU-Rechenzentrum) gespeichert und nicht an Dritte weitergegeben. Es werden keine externen Analyse-Dienste wie Google Analytics eingesetzt.

Speicherdauer: Für die Dauer Ihres Accounts. Nach Kontolöschung werden die Daten innerhalb von 14 Tagen gelöscht.

Rechtsgrundlage: Berechtigtes Interesse an der Produktverbesserung (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Verarbeitung jederzeit widersprechen unter datenschutz@profitkonsole.de.

11. OTTO-Verbindung, Werbekonten und Plattformnutzung

Die Verbindung zum OTTO-Account erfolgt per OAuth. Es werden keine OTTO-API-Credentials gespeichert; wir erhalten eine Verbindungs-ID, um in Ihrem Auftrag Daten abzurufen. Endkundendaten aus OTTO (Name, Adresse etc.) werden nicht gespeichert; verarbeitet werden nur die vom Händler freigegebenen Geschäftsdaten.

Werbekonten (Google Ads, Meta)

Zusätzlich können Sie Werbekonten verbinden, damit Ihre Werbekosten in die Gewinnermittlung einfließen. Ob und welche Konten Sie verbinden, entscheiden Sie.

• Google Ads: Die Verbindung erfolgt per Google-OAuth. Über die Google Ads API rufen wir ausschließlich lesend Kampagnen-, Kosten- und Leistungsdaten Ihres Werbekontos ab; Anzeigen werden von uns weder erstellt noch verändert. Gespeichert werden ein verschlüsseltes Zugriffs- bzw. Erneuerungs-Token sowie die abgerufenen Kampagnenkennzahlen.
• Meta (Facebook/Instagram Ads): Die Verbindung erfolgt über „Facebook Login for Business“ mit der Leseberechtigung „ads_read“. Über die Meta Marketing API rufen wir ausschließlich lesend Ausgaben- und Leistungsdaten der von Ihnen freigegebenen Werbekonten ab; Anzeigen werden von uns weder erstellt noch verändert.

Weitergabe der Werbedaten

Die über die Google Ads API und die Meta Marketing API abgerufenen Daten geben wir nicht an Dritte weiter. Ausgenommen sind allein die für den Betrieb der Anwendung eingesetzten, weisungsgebundenen Auftragsverarbeiter: Supabase Inc. (Datenbank, EU-Rechenzentrum Stockholm), Vercel Inc. (Hosting und Programmfunktionen, EU-Rechenzentrum Frankfurt) und Trigger.dev (Hintergrund-Synchronisation, EU-Rechenzentrum Frankfurt). Diese verarbeiten die Daten ausschließlich in unserem Auftrag und zu keinem eigenen Zweck; die Einzelheiten stehen in Abschnitt 4. Eine darüber hinausgehende Offenlegung erfolgt nur mit Ihrer ausdrücklichen Einwilligung oder soweit wir gesetzlich dazu verpflichtet sind.

Wir verkaufen diese Daten nicht und übermitteln sie nicht an Werbeplattformen, Datenhändler, Auskunfteien oder sonstige Informationsvermittler. Wir verwenden sie nicht für Werbung, nicht für Bonitätsprüfungen und nicht für das Training von KI- oder Machine-Learning-Modellen. Personen aus unserem Unternehmen lesen diese Daten nicht, es sei denn, Sie haben ausdrücklich zugestimmt, es ist zur Behebung eines von Ihnen gemeldeten Fehlers oder aus Sicherheitsgründen erforderlich, oder wir sind gesetzlich dazu verpflichtet. Verwendet werden die Daten ausschließlich für die für Sie sichtbare Funktion, Ihre Werbekosten in die Gewinnermittlung einzurechnen.

Trennen und Löschen: Sie können eine Verbindung jederzeit in der Anwendung trennen; die gespeicherten Zugriffs-Token werden dabei gelöscht. Zusätzlich können Sie den Zugriff direkt beim Anbieter widerrufen – bei Google unter myaccount.google.com/permissions, bei Meta in den Konto-Einstellungen unter „Business-Integrationen“. Auf Wunsch löschen wir auch bereits abgerufene Werbekennzahlen; eine E-Mail an datenschutz@profitkonsole.de genügt.

Für Google gilt ergänzend: Die Nutzung und Übertragung der über Google-APIs erhaltenen Informationen richtet sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen ("profitkonsole's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.").

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

12. E-Mail-Kommunikation

Für geschäftliche E-Mail-Kommunikation (Support-Anfragen, persönliche Korrespondenz) nutzen wir Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Systembedingte E-Mails (Registrierung, Passwort-Reset, Team-Einladungen, Systemhinweise) versenden wir über Resend (Resend Inc., USA). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Sofern Sie dem Newsletter-Empfang zugestimmt haben, versenden wir gelegentlich Produktupdates und Tipps ebenfalls über Resend. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an datenschutz@profitkonsole.de widerrufen.

13. Partner-/Affiliate-Tracking

Profitkonsole unterhält ein Vermittlungs-/Partnerprogramm. Ruft ein Besucher unsere Website über einen Partnerlink mit dem URL-Parameter ?via=CODE auf, speichern wir diesen Code in einem sessionStorage-Eintrag des Browsers (affiliate_code). Dies dient ausschließlich der korrekten Zuordnung einer anschließenden Registrierung zum empfehlenden Partner.

• Gespeichert wird ausschließlich der Partnercode (z.B. "KCM"), keine personenbezogenen Daten.
• Der Eintrag wird mit Schließen des Browsertabs gelöscht, spätestens nach Abschluss der Registrierung.
• Bei erfolgter Registrierung wird der Code mit dem angelegten Nutzerkonto verknüpft, damit der Partner anonymisiert Statistiken über Vermittlungen einsehen kann.
• Der Partner erhält zu keinem Zeitpunkt personenbezogene Daten des Endkunden, solange der Endkunde den Partner nicht explizit als Berater einlädt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der korrekten Zuordnung von Vermittlungsleistungen) sowie § 25 Abs. 2 Nr. 2 TDDDG (zur Erbringung des ausdrücklich gewünschten Dienstes unbedingt erforderlich).

14. Cookie- und Speicher-Übersicht

Die folgende Tabelle gibt eine Übersicht über die von uns verwendeten Cookies und lokalen Speichertechnologien:

15. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Der optionale KI-Assistent „Cortex“ (siehe Abschnitt 16) liefert lediglich informatorische Auswertungen und Antworten; eine Entscheidung mit rechtlicher Wirkung oder vergleichbarer erheblicher Beeinträchtigung wird dadurch nicht automatisiert getroffen.

16. KI-Assistent „Cortex“ (optional)

Cortex ist eine optionale Funktion, mit der Sie Fragen zu Ihren eigenen Geschäftsdaten in natürlicher Sprache stellen können. Cortex ist standardmäßig deaktiviert und wird erst nach Ihrer ausdrücklichen Aktivierung genutzt. Ohne Aktivierung werden keine Daten an den KI-Dienstleister übermittelt.

Verarbeitete Daten: die von Ihnen eingegebene Frage, daraus abgeleitete aggregierte Kennzahlen (z. B. Umsätze, Margen, Retouren) sowie die erzeugte Antwort. Personenbezogene Endkundendaten aus Ihrem OTTO-Konto werden dabei nicht übermittelt.

Empfänger: Mistral AI SAS, Frankreich (EU). Mistral nutzt die Daten ausschließlich zur Erzeugung der Antwort, nicht zum Training eigener Modelle, und löscht sie nach maximal 30 Tagen.

Protokollierung: Zur Qualitätssicherung und Verbesserung speichern wir Ihre Anfragen und die Antworten in Ihrem Mandanten-Bereich. Diese können durch das Profitkonsole-Team eingesehen werden, werden nach 90 Tagen automatisch gelöscht und bei Deaktivierung sofort.

Hinweis: KI-generierte Antworten können unrichtig oder unvollständig sein und ersetzen keine fachliche (steuerliche, rechtliche, buchhalterische) Beratung. Maßgeblich bleiben die Auswertungen im Dashboard und Ihre eigenen Unterlagen.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können Cortex jederzeit in den Einstellungen deaktivieren; damit endet die Verarbeitung und Ihre gespeicherten Konversationen werden gelöscht.