Version 1.0 — 17. Juni 2025
Letzte Aktualisierung: 17. Juni 2025

1. Wer sind wir

SIA Fluxy One („Fluxy One“, „wir“, „uns“), Reg. Nr. 40203559086, Rupniecības iela 16‑14B, Riga, LV‑1010, Lettland, betreibt die Website https://fluxy.one („Website“) und die FLXY Digital Product Passport-Plattform unter https://flxy.io („Plattform“).

Ansprechpartner für Datenschutzfragen: legal@fluxy.one

2. Personenbezogene Daten, die wir erheben

A. Webseitenbesucher — Verbindungs- und Analysedaten

• IP-Adresse
• Browser-Benutzeragent
• UTM-Parameter
• Von Google Analytics 4, HubSpot, skarbe.com gesetzte Cookies

B. Plattformkonten — Identifikations- und Geschäftsdaten

• Name und Berufsbezeichnung
• Geschäftliche E-Mail-Adresse und Telefonnummer
• Rechtliche Angaben zum Unternehmen und Rechnungsadresse
• Zahlungsmarken (Stripe/ Revolut Pay)
• Login-IP-Adresse, User-Agent, Cookies

C. DPP-Scans — Geräte- und Nutzungsprotokolle

• Datum und Uhrzeit des Scans
• Ungefährer Standort, abgeleitet von der IP-Adresse
• Geräte/Betriebssystem/Browserdetails
• DPP-Kennung, Cookies, UTM-Tags

Wir verarbeiten wissentlich keine Daten von Personen unter 16 Jahren; der Service ist ausschließlich B2B.

3. Warum wir Daten verarbeiten & Rechtsgrundlagen (GDPR Art 6)

• Bereitstellung, Sicherung und Fehlerbehebung der Plattform — Vertrag (Art 6 b)

• Generieren und hosten von Reisepässen für digitale Produkte — Vertrag; Rechtliche Verpflichtung gemäß ESPR 2024/1781 Art. 27

• DPP-Scans und -Analysen protokollieren — Legitimes Interesse (Art 6 f) — Nutzung messen und Betrug verhindern

• Zahlungen und Rechnungen bearbeiten — Vertrag; Rechtliche Verpflichtung (Steuern)

• Versand von Produktupdates und Marketing-E-Mails — Einwilligung (Art 6 a) per Double-Opt-In; Opt-Out jederzeit

• Verbesserung der Website mithilfe von Cookies und Heatmaps — Einwilligung (Art 6 a)

4. Cookies und Tracking

Wir verwenden:

• Google Analytics 4 — Analytik (Aufbewahrung 14 Monate)
• HubSpot — Marketingautomatisierung (Aufbewahrung bis zu 13 Monate)
• skarbe.com — A/B-Tests (Aufbewahrung bis zu 6 Monate)
• Sitzungscookies von Erstanbietern — erforderlich, 24 Stunden gespeichert

Einzelheiten und Opt-Out-Optionen finden Sie in unserer separaten Cookie-Richtlinie.

5. Unterprozessoren

• Google Cloud EMEA — Hosting und Speicher (EWR, kein SCC erforderlich)
• Stripe Payments Europe — Kartenzahlungen (EWR → USA, SCC + BCR)
• Revolut Pay — alternative Zahlungen (EWR, SCC)
• HubSpot Österreich — CRM und Marketing (EWR → USA, SCC)
• SendGrid//Twilio — Transaktions-E-Mails (US, SCC)
• Intercom R&D Unlimited — In‑App‑Unterstützung (EWR → USA, SCC)
• Zendesk Österreich — Ticketing (EWR → USA, SCC)

Eine aktuelle Liste ist auf Anfrage erhältlich.

6. Internationale Überweisungen

Fluxy One hostet keine Daten außerhalb des EWR. Wenn ein Unterauftragsverarbeiter Daten in den Vereinigten Staaten verarbeitet, stützen wir uns auf die Standardvertragsklauseln 2021/914/EU und zusätzliche technische Sicherheitsvorkehrungen wie TLS 1.3, Verschlüsselung im Ruhezustand und strenge Zugriffskontrollen.

7. Aufbewahrungsfristen

• Plattformkonto und Rechnungsdaten — solange das Konto aktiv ist, plus 10 Jahre DPP-Historie
• DPP-Inhalts- und Scanprotokolle — 10 Jahre ab dem letzten bezahlten Abrechnungszeitraum
• Marketingkontakte — bis zur Abmeldung oder bis zu 3 Jahren Inaktivität
• Analyseprotokolle der Website — 12 Monate
• Anwendungsprotokolle — 24 Monate

8. Rechte der betroffenen Person

Sie können Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit verlangen (GDPR Art 15‑22). Senden Sie Anfragen an legal@fluxy.one — wir antworten innerhalb von 30 Tagen.

9. Automatisierte Entscheidungen

Stripe und Revolut führen eine automatische Betrugsprüfung durch. Diese Überprüfungen haben keine rechtlichen oder ähnlich erheblichen Auswirkungen auf Sie.

10. Sicherheitsmaßnahmen

• ISO/IEC 27017-zertifizierte Rechenzentren (Google Cloud EMEA)
• TLS 1.3-Verschlüsselung während der Übertragung; AES-256 im Ruhezustand
• Multifaktorauthentifizierung und rollenbasierter Zugriff
• Tägliche verschlüsselte Backups (30-tägige Aufbewahrung)
• Reaktion auf Vorfälle rund um die Uhr
• Jährliche externe Penetrationstests

Die vollständigen technischen und organisatorischen Maßnahmen sind in Anlage B Abschnitt II aufgeführt.

11. Aufsichtsbehörde

Sie können eine Beschwerde bei der staatlichen Dateninspektion von Lettland (Datu valsts inspekcija) einreichen — https://www.dvi.gov.lv/.

12. Aktualisierungen

Wir können diese Datenschutzrichtlinie ändern; wesentliche Änderungen werden 30 Tage im Voraus per E-Mail oder Plattformbanner angekündigt.

Letzte Überprüfung: 17. Juni 2025

‍