Datenschutzerklärung

Selimcan Özden
Karlsteinstraße 2
80937 München
E-Mail: fallflow.support@gmail.com

Für die Daten, die Endkunden in das Chat-Widget eines Energieberatungsbüros eingeben, ist grundsätzlich das jeweilige Büro verantwortlich (Art. 4 Nr. 7 DSGVO). Der Betreiber von FallFlow verarbeitet diese Daten in dessen Auftrag (Art. 28 DSGVO).

Nutzer der Anwendung (Mitarbeiter der Büros)

• Name, E-Mail-Adresse, Passwort (nur als Hash bei unserem Authentifizierungsdienst)
• Firmendaten des Büros, Rollen und Einstellungen
• Technische Zugriffsdaten (IP-Adresse, Zeitstempel) in Server-Logs

Anfragende Personen (Endkunden eines Büros)

• Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Adresse
• Gebäudeangaben: Gebäudetyp, Baujahr, Wohnfläche, Etagen, Heizung, Eigentümerstatus
• Anliegen, Inhalt der Chat-, E-Mail-, WhatsApp-Nachrichten und Telefonnotizen
• Hochgeladene Dokumente (z. B. Grundriss, Energieausweis, Fotos)

• Bereitstellung der Anwendung und Vertragserfüllung mit den Büros – Art. 6 Abs. 1 lit. b DSGVO
• Bearbeitung von Anfragen durch das jeweilige Büro (Vorbereitung eines Beratungsverhältnisses) – Art. 6 Abs. 1 lit. b DSGVO, im Auftrag des Büros
• Erfassung fehlender Angaben, Erinnerungen und Nachfassen zu einer offenen Anfrage – Art. 6 Abs. 1 lit. b bzw. f DSGVO (Interesse an einer zügigen Bearbeitung)
• Sicherheit, Missbrauchsabwehr und Fehleranalyse (Rate-Limits, Logs) – Art. 6 Abs. 1 lit. f DSGVO
• Erfüllung gesetzlicher Pflichten – Art. 6 Abs. 1 lit. c DSGVO

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein. Mit ihnen bestehen bzw. schließen wir Verträge zur Auftragsverarbeitung.

• Supabase (Datenbank, Authentifizierung, Dateispeicher). Speicherort des Projekts: Region eu-west-1 (Irland, EU).
• Vercel Inc. (Hosting und Auslieferung der Anwendung, Server-Logs).
• OpenAI (nur wenn die KI-Auswertung aktiviert ist): Chat-Texte werden zur Erkennung von Angaben (z. B. Baujahr, Heizung) und zur Erstellung einer Kurzzusammenfassung an die OpenAI-Schnittstelle übermittelt. Die Daten werden nach den Vertragsbedingungen von OpenAI nicht zum Training genutzt [bitte anhand Ihres OpenAI-Vertrags prüfen].
• Stripe (Zahlungsabwicklung): Zur Abrechnung der Büro-Abonnements verarbeitet Stripe Rechnungs- und Kontaktdaten des Büros (Name, E-Mail, Zahlungsmethode, Transaktionsdaten). FallFlow selbst speichert keine vollständigen Zahlungsdaten (z. B. Kartennummern) – diese liegen ausschließlich bei Stripe.
• Sentry (Fehler-Überwachung, nur soweit aktiviert): Bei technischen Fehlern werden Diagnosedaten (z. B. Stacktrace, aufgerufene Seite/Route, grob anonymisierte technische Kontextdaten) übermittelt, um Störungen zu beheben. Die Datenverarbeitung erfolgt in einer EU-Region (Frankfurt).

Weitere Kanäle (Gmail, Microsoft 365/Outlook, WhatsApp Business) werden nur genutzt, wenn ein Büro sie mit seinem eigenen Konto aktiv verbindet; dann kommt der jeweilige Anbieter für dieses Büro als weiterer Empfänger hinzu. Die Zugangsdaten jedes Büros (Zugriffs- und Aktualisierungstoken) werden verschlüsselt gespeichert, sind ausschließlich diesem Büro zugeordnet und für andere Büros oder im Browser nicht einsehbar.

Einzelne Dienstleister (z. B. Vercel, OpenAI, Stripe) haben ihren Sitz in den USA oder verarbeiten Daten auch dort. Die Übermittlung stützt sich auf Angemessenheitsbeschlüsse (EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist) bzw. Standardvertragsklauseln der EU-Kommission. [Bitte den aktuellen Zertifizierungsstatus der Anbieter prüfen.] Sentry verarbeitet Daten in dieser Konfiguration in einer EU-Region (Frankfurt), es findet insoweit keine Drittlandübermittlung statt.

Das Chat-Widget legt keine Werbe- oder Tracking-Cookies an. Für die Anmeldung in der Anwendung setzt unser Authentifizierungsdienst technisch notwendige Cookies (Sitzung). Diese sind für den Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Dokumente werden über einen persönlichen, zeitlich befristeten Link hochgeladen, der nur das Hochladen erlaubt. Zulässig sind PDF, JPG, PNG und WebP bis 10 MB. Die Dateien liegen in einem privaten Speicher ohne öffentliche Adresse und sind nur für Mitarbeiter des jeweiligen Büros abrufbar. Der Transport ist verschlüsselt (HTTPS).

Anfragen, die von einem Büro nicht übernommen werden, werden samt Dokumenten, Nachrichten und Verlauf automatisch gelöscht, wenn seit der letzten Aktivität 12 Monate vergangen sind. Von einem Büro übernommene Fälle bleiben gespeichert, bis das Büro sie löscht; das Büro entscheidet dabei nach seinen eigenen Aufbewahrungspflichten und kann Fälle jederzeit löschen. Konten und Büro-Daten werden nach Beendigung des Vertrags gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Server-Logs werden nach den Vorgaben des Hosting-Anbieters nur kurz aufbewahrt.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Bei Anfragen an ein Büro wenden Sie sich bitte an dieses Büro; wir unterstützen es bei der Beantwortung. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Die KI erkennt und sammelt Angaben und fasst sie zusammen. Sie trifft keine Entscheidungen mit rechtlicher Wirkung und gibt keine Energie-, Förder- oder Rechtsberatung. Über die Bearbeitung einer Anfrage entscheidet stets ein Mitarbeiter des Büros.

fallflow.support@gmail.com