Datenschutzerklärung

§ 1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

ErgoFlow, Axel Brinkmann
Schlüttgarten 15
33803 Steinhagen
Telefon: +49 160 6123965
E-Mail: contact@ergoflow.life

Ein Datenschutzbeauftragter ist gemäß Art. 37 DSGVO i. V. m. § 38 BDSG nicht zu benennen.

§ 2 Verarbeitete Daten und Zwecke

Kontodaten (Registrierung & Login): Zur Bereitstellung Ihres Nutzerkontos verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse sowie Ihr verschlüsseltes Passwort. Bei OAuth-Login (Google, Apple) erhalten wir diese Daten vom jeweiligen Anbieter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Abrechnungsdaten (Abonnement): Für die Abwicklung Ihres Abonnements agiert Paddle.com Market Ltd als sogenannter Merchant of Record — Paddle ist rechtlich der Verkäufer und verarbeitet Ihre Zahlungs- und Abrechnungsdaten (Name, Rechnungsanschrift, Zahlungsmittel) in eigenem Namen und auf eigene Verantwortung. ErgoFlow erhält von Paddle ausschließlich den Abonnement-Status und eine anonymisierte Kunden-ID. Rechtsgrundlage für unsere Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO.

Fachgebiete & Einstellungen: Ihre gewählten Fachgebiete und Nutzerpräferenzen speichern wir in unserer Datenbank, um die App-Inhalte auf Ihre Tätigkeit abzustimmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Einwilligungen: Alle von Ihnen erteilten oder widerrufenen Einwilligungen (AGB, Datenschutz, Newsletter) werden mit Zeitstempel und technischer Kennung protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO.

KI-Anfragen und Beratungs-Chats: Texteingaben für KI-gestützte Funktionen sowie die daraus entstehenden Antworten werden von ErgoFlow nicht dauerhaft gespeichert: Chatverläufe existieren ausschließlich für die Dauer der aktiven Browser-Sitzung; auf ErgoFlows eigenen Servern werden keine Eingaben oder Chat-Inhalte gespeichert. Zur Generierung der KI-Antwort werden die eingegebenen Inhalte jedoch an OpenAI (USA) übermittelt und dort serverseitig verarbeitet — diese Übermittlung und die zugehörige Rechtsgrundlage sind in § 3 beschrieben. OpenAI verwendet API-Inhalte vertraglich nicht zum Modelltraining. Es dürfen keine personenbezogenen Patientendaten eingegeben werden (vgl. AGB § 8). Rechtsgrundlage für ErgoFlows Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): ErgoFlow ist ausschließlich als berufliches Arbeitswerkzeug konzipiert — nicht als Patientendokumentation. Gemäß AGB § 8 sind Nutzer verpflichtet, keine zur Identifizierung von Patienten geeigneten Gesundheitsdaten (Art. 9 Abs. 1 DSGVO) einzugeben. Da eine technische Eingabeprüfung systembedingt nicht möglich ist, gilt: Nutzer, die im Rahmen ihrer Tätigkeit Gesundheitsdaten von Patienten verarbeiten, sind verpflichtet, vor jeder entsprechenden Eingabe sicherzustellen, dass sie über eine geeignete Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO verfügen — insbesondere über eine ausdrückliche Einwilligung der betroffenen Person (Art. 9 Abs. 2 lit. a DSGVO) oder eine Rechtsgrundlage nach Art. 9 Abs. 2 lit. h DSGVO im Rahmen der Gesundheitsversorgung. Gibt ein Nutzer dennoch solche Daten ein, ist er selbst datenschutzrechtlich Verantwortlicher für diese Verarbeitung. ErgoFlow agiert in diesem Fall als rein technischer Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO wird dem Nutzer auf Anfrage zur Verfügung gestellt.

Kontaktformular: Wenn Sie unser Kontaktformular nutzen, verarbeiten wir Ihre Angaben (Anrede, Name, E-Mail-Adresse sowie optional Praxisname, Anschrift und Ihre Nachricht) ausschließlich zur Bearbeitung Ihrer Anfrage. Die Daten werden nicht an Dritte weitergegeben und nach abschließender Bearbeitung, spätestens nach 6 Monaten, gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kommunikation mit Interessenten und Kunden).

Newsletter: Sofern Sie dem Erhalt unseres Newsletters zugestimmt haben, verarbeiten wir Ihre E-Mail-Adresse für den Versand. Die Einwilligung kann jederzeit widerrufen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Server-Protokolle: Unser Hosting-Anbieter erfasst technische Zugriffsdaten (IP-Adresse, Zeitstempel, aufgerufene Ressource). Diese werden nach spätestens 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

§ 3 Eingesetzte Drittanbieter

Mit Clerk, OpenAI und Strato, die als Auftragsverarbeiter in unserem Auftrag personenbezogene Daten verarbeiten, bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Paddle agiert als eigenverantwortlicher Verantwortlicher (Merchant of Record) und ist daher nicht Auftragsverarbeiter im Sinne des Art. 28 DSGVO.

Clerk, Inc. (Authentifizierung): Clerk Technologies, Inc., 548 Market St PMB 72878, San Francisco, CA 94104, USA. Clerk verwaltet Ihr Nutzerkonto, Ihre Login-Sitzungen und OAuth-Verbindungen. Datenübermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Datenschutzerklärung: clerk.com/privacy.

Paddle.com Market Ltd (Zahlungsabwicklung / Merchant of Record): Paddle.com Market Ltd, Judd House, 18-29 Mora Street, London EC1V 8BT, Vereinigtes Königreich. Paddle ist Merchant of Record für alle Abonnements und verarbeitet Zahlungs- und Abrechnungsdaten als eigenverantwortlicher Datenverantwortlicher. Datenübermittlung ins Vereinigte Königreich auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 28. Juni 2021 (Beschluss (EU) 2021/1772). Datenschutzerklärung: paddle.com/privacy.

OpenAI, L.L.C. (KI-Funktionen): OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA. Übermittelt werden ausschließlich die vom Nutzer eingegebenen Texte (Fachfragen, beruflicher Arbeitskontext) sowie ein systemseitig definierter Prompt-Kontext zur Steuerung der KI-Ausgabe. Personenbezogene Patientendaten dürfen nicht übermittelt werden (vgl. AGB § 8). OpenAI verarbeitet diese Daten auf eigenen Servern zur Generierung der KI-Antworten; eine dauerhafte Speicherung oder Nutzung für das Training von KI-Modellen erfolgt nach der API Data Usage Policy von OpenAI vertraglich nicht. Datenübermittlung in die USA auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO sowie — soweit zutreffend — des EU-US Data Privacy Framework. Hinweis: Die USA bieten kein mit der EU vergleichbares Datenschutzniveau; trotz der eingesetzten Schutzmaßnahmen besteht ein Restrisiko des Zugriffs durch US-Behörden gemäß US-Recht (z. B. FISA 702). Datenschutzerklärung: openai.com/policies/privacy-policy.

Strato AG (Hosting & Datenbank): Strato AG, Pascalstraße 10, 10587 Berlin, Deutschland. Unsere Anwendung und Datenbank werden auf Servern der Strato AG innerhalb der EU betrieben. Datenschutzerklärung: strato.de/datenschutz.

§ 4 Übermittlung in Drittländer

Clerk (USA) ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert (Beschluss vom 10. Juli 2023). Die Übermittlung an OpenAI (USA) erfolgt primär auf Grundlage von Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Paddle (Vereinigtes Königreich) ist durch den Angemessenheitsbeschluss der EU-Kommission vom 28. Juni 2021 abgedeckt. Alle übrigen Verarbeitungen finden ausschließlich innerhalb der EU statt.

§ 5 Speicherdauer und automatische Löschung

Profil- und Kontodaten: Ihre Profildaten werden für die Dauer des aktiven Abonnements gespeichert. Nach Ablauf des Abonnements werden diese Daten automatisch innerhalb von 30 Tagen unwiderruflich gelöscht (Art. 5 Abs. 1 lit. e DSGVO).

Abrechnungsdaten: Da Paddle als Merchant of Record auftritt, liegen Rechnungs- und Zahlungsdaten ausschließlich bei Paddle und unterliegen deren gesetzlichen Aufbewahrungspflichten. ErgoFlow speichert keine Zahlungsdaten.

Einwilligungsprotokolle: Nachweise über erteilte oder widerrufene Einwilligungen werden mindestens 3 Jahre nach Widerruf gespeichert (Art. 7 Abs. 1 DSGVO).

Kontaktformular-Daten: Anfragen über das Kontaktformular werden nach abschließender Bearbeitung, spätestens nach 6 Monaten, gelöscht.

Newsletter: Ihre E-Mail-Adresse für den Newsletter wird unmittelbar nach Widerruf der Einwilligung gelöscht.

Server-Protokolle: Technische Zugriffsprotokolle werden nach spätestens 30 Tagen gelöscht.

§ 6 Tracking und Analyse

Wir setzen keine Analyse- oder Tracking-Werkzeuge ein (kein Google Analytics, kein Matomo, kein eTracker oder vergleichbare Dienste). Es werden keine Nutzerprofile zu Werbezwecken erstellt. Es findet kein verhaltensbasiertes Targeting statt.

§ 7 Cookies

Wir verwenden ausschließlich technisch notwendige Cookies. Clerk setzt ein Session-Cookie zur Aufrechterhaltung Ihrer Anmeldung. Paddle setzt im Checkout-Prozess technisch notwendige Cookies zur Sitzungsverwaltung und Betrugsprävention. Beide Cookies sind für den Betrieb der App erforderlich und benötigen keine gesonderte Einwilligung (§ 25 Abs. 2 Nr. 2 TTDSG). Es werden keine Tracking-Cookies gesetzt.

§ 8 Ihre Rechte

Daneben haben Sie folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): Welche Daten wir über Sie verarbeiten
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO): Löschung Ihrer Daten, sofern keine Aufbewahrungspflicht besteht
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Herausgabe Ihrer Daten in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO): Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen
• Widerruf (Art. 7 Abs. 3 DSGVO): Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte wenden Sie sich an: contact@ergoflow.life

§ 9 Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Die zuständige Aufsichtsbehörde für Nordrhein-Westfalen ist der Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, Postfach 20 04 44, 40102 Düsseldorf, www.ldi.nrw.de. Eine Liste aller deutschen Aufsichtsbehörden finden Sie unter: bfdi.bund.de

§ 10 Aktualität

Diese Datenschutzerklärung ist aktuell gültig (Stand: 28.04.2026). Wir behalten uns vor, sie bei Änderungen der App, der eingesetzten Dienste oder der Rechtslage anzupassen. Wesentliche Änderungen werden registrierten Nutzern per E-Mail mitgeteilt.