Datenschutzerklärung

Zuletzt aktualisiert: 21. Oktober 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Websites unter saasflow.com (die "Websites") besuchen oder die SaaSFlow-Anwendung unter app.saasflow.com (die "Dienste") nutzen, warum wir sie verarbeiten, wer sie erhält und welche Rechte Sie haben. Wir haben versucht, sie so zu schreiben, dass man sie tatsächlich lesen kann.

Wer verantwortlich ist

Verantwortlicher für die hier beschriebene Verarbeitung ist:

Walletguide GmbH
Rüggeberger Str. 94
58256 Ennepetal
Deutschland

Vertreten durch Alexander Peiniger (CEO und Geschäftsführer)
support@saasflow.com

Wann wir stattdessen Auftragsverarbeiter sind

SaaSFlow analysiert die Finanzdaten Ihres Unternehmens: Transaktionen, Kunden, Abonnements, Bankkonten und die Personen, die in diesen Daten vorkommen. Für diese Daten ist Ihr Unternehmen der Verantwortliche und wir sind Auftragsverarbeiter nach Art. 28 DSGVO. Diese Verarbeitung regelt unser Auftragsverarbeitungsvertrag einschließlich seiner Anlagen zu Sicherheitsmaßnahmen und Unterauftragsverarbeitern. Der Rest dieser Erklärung beschreibt die Verarbeitung, für die wir selbst Verantwortlicher sind.

Was wir verarbeiten, warum, und auf welcher Rechtsgrundlage

Konto- und Profildaten

Wenn Sie sich registrieren oder in einen Unternehmens-Workspace eingeladen werden, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Rolle und Ihre Anmeldedaten, um Ihr Konto einzurichten, abzusichern und die Dienste bereitzustellen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Zahlungsdaten

Bei kostenpflichtigen Tarifen stellen Sie uns und unserem Zahlungsanbieter Stripe (siehe unsere Liste der Unterauftragsverarbeiter) Zahlungsinformationen bereit, mit denen wir wiederkehrende Entgelte abrechnen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Support und Kommunikation

Wenn Sie uns per E-Mail oder über das Support-Formular in den Diensten kontaktieren, verarbeiten wir den Inhalt der Konversation und Ihre Kontaktdaten, um Ihr Anliegen zu lösen. Rechtsgrundlage: Vertragserfüllung und unser berechtigtes Interesse an gutem Support (Art. 6 Abs. 1 lit. b und f DSGVO).

Website-Besuche

Beim Besuch der Websites verarbeiten unsere Server technische Verbindungsdaten (IP-Adresse, aufgerufene Seiten, Browsertyp), um die Seiten auszuliefern und abzusichern. Unsere Web-Analyse arbeitet ohne Cookies und aggregiert Seitenaufrufe, ohne Sie zu identifizieren. Rechtsgrundlage: unser berechtigtes Interesse am Betrieb und an der Sicherheit der Websites (Art. 6 Abs. 1 lit. f DSGVO).

Anzeigenmessung

Wir schalten Anzeigen auf Plattformen wie Google Ads. Gelangen Sie über eine unserer Anzeigen zu uns, speichern wir die Klick-Kennung der Anzeige in einem First-Party-Cookie und melden, falls Sie sich später registrieren, die Conversion von unseren Servern an die Werbeplattform zurück. Wir binden keine Werbe-Pixel oder Tracking-Skripte von Dritten ein und bilden keine Remarketing-Zielgruppen aus Ihrem Surfverhalten. Details stehen in unserer Cookie-Richtlinie. Rechtsgrundlage: unser berechtigtes Interesse zu messen, ob unsere Werbung funktioniert (Art. 6 Abs. 1 lit. f DSGVO).

Wenn Sie unseren Newsletter abonnieren, verwenden wir Ihre E-Mail-Adresse für den Versand, bis Sie sich abmelden. Jeder Newsletter enthält einen Abmeldelink. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Fehlerüberwachung

Wenn in den Diensten etwas in Ihrem Browser fehlschlägt, sendet die Anwendung uns den Fehler: die Meldung, den Stack-Trace, die aufgerufene Seite, Ihre Browserversion und, sofern Sie angemeldet sind, Ihre Nutzer-ID. Das geht an unsere eigenen Server. Ein Dritter erhält diese Daten nicht, und es wird kein Cookie gesetzt. Wir bewahren die Meldungen 90 Tage auf und nutzen sie ausschließlich, um den Fehler zu finden und zu beheben. Rechtsgrundlage: unser berechtigtes Interesse an einer funktionierenden Anwendung (Art. 6 Abs. 1 lit. f DSGVO).

KI-Verarbeitung

Einige Funktionen der Dienste nutzen große Sprachmodelle. Der monatliche Performance-Bericht, der Bericht-Chat und die Kategorisierungsvorschläge analysieren Ihre Unternehmensdaten. Wenn Sie ein Dokument wie eine Rechnung, einen Beleg oder einen Vertrag hochladen, liest ein Modell Betrag, Datum und Dokumenttyp aus, und bei Importen aus Finway und Pleo schlägt ein Modell vor, wie noch nicht zugeordnete Werte zugeordnet werden können. Diese Funktionen laufen nie von selbst: Sie laufen nur, wenn jemand in Ihrem Unternehmen sie startet, zum Beispiel durch das Anfordern eines Berichts, eine Frage im Chat oder das Hochladen einer Datei.

Alle diese Modelle laufen über den Dienst Vertex AI von Google Cloud in Rechenzentren in der EU: die Claude-Modelle von Anthropic für Berichte, Chat und Kategorisierung und die Gemini-Modelle von Google für Dokumente und Zuordnungsvorschläge. Google Cloud, wo auch die Dienste gehostet sind, betreibt die Modelle selbst als unser Auftragsverarbeiter. Die Daten, mit denen eine Funktion arbeitet (zum Beispiel Transaktionen, Kunden, Abonnements und Kontostände), werden dort verarbeitet und nicht an Anthropic oder einen anderen KI-Anbieter weitergegeben. Einzelheiten stehen in unserer Liste der Unterauftragsverarbeiter.

KI-Assistenten, die Sie verbinden

Sie können SaaSFlow mit ChatGPT, Claude, Cursor oder einer anderen App verbinden, die das Model Context Protocol (MCP) unterstützt. Dieser Abschnitt beschreibt alles, was dabei mit Ihren Daten geschieht: was der Assistent erhält, was wir erhalten und speichern, wer sonst beteiligt ist und wie Sie die Verbindung beenden.

Die Verbindung richten Sie selbst ein. Sie fügen SaaSFlow im Assistenten hinzu, melden sich bei SaaSFlow an und bestätigen den Zugriff auf unserer Freigabeseite. Dort steht, was der Assistent darf:

Unternehmensdaten ansehen. Immer enthalten.
Unternehmensdaten ändern (anlegen, ändern und löschen). Nur wenn Sie es ankreuzen.
Unternehmenseinstellungen und Integrationen verwalten. Nur wenn die App es anfragt und Sie es ankreuzen. Mitglieder hinzufügen oder entfernen, API-Schlüssel anlegen und ein Unternehmen löschen erfordern weiterhin für jede einzelne Änderung Ihre Bestätigung in SaaSFlow.
Unternehmen für Sie anlegen. Nur wenn die App es anfragt und Sie es ankreuzen.

Unabhängig davon, was Sie freigeben, erreicht der Assistent nur die Unternehmen, auf die Sie Zugriff haben, und nur im Rahmen Ihrer eigenen Rolle dort.

Wenn Sie die Verbindung bestätigen, erhält der Assistent Ihren Namen und Ihre E-Mail-Adresse aus Ihrem SaaSFlow-Konto, damit er anzeigen kann, welches Konto verbunden ist. Danach erhält er, was er über unsere Werkzeuge anfragt, wenn Sie ihn etwas fragen. Je nach Frage kann das Folgendes sein:

Unternehmensdaten und Einstellungen, Mitglieder und Einladungen, einschließlich Namen, E-Mail-Adressen und Rollen
Bankkonten und Kontostände sowie Transaktionen mit Betrag, Datum, Buchungstext und Gegenpartei
Kunden und Lieferanten, einschließlich der Namen und Kontaktdaten, die in SaaSFlow zu ihnen gespeichert sind
Abonnements, Produkte, Planungen und Prognosen
Kennzahlen, die wir berechnen, etwa MRR, Churn, Cashflow, Gewinn und Verlust oder Runway
Berichte, Dashboards, Kommentare, Benachrichtigungen und hochgeladene Dateien wie Rechnungen
den Status Ihrer Integrationen

Alle Werkzeuge, ihre Parameter und was sie zurückgeben, finden Sie in unserer Referenz der MCP-Werkzeuge.

Ihre Unterhaltung mit dem Assistenten erhalten wir nicht, nur die Anfragen, die er an SaaSFlow schickt: das aufgerufene Werkzeug und seine Parameter, etwa ein Unternehmen, einen Zeitraum, einen Suchbegriff oder, mit Schreibzugriff, die zu speichernden Werte. Parameter können Text aus Ihrer Unterhaltung enthalten. Wir nutzen eine Anfrage nur, um sie zu beantworten oder, mit Schreibzugriff, um die Änderung in Ihren Unternehmensdaten vorzunehmen, wo sie wie eine Änderung in der App gespeichert wird. Der Assistent kann einer Anfrage technische Angaben hinzufügen, etwa Ihre Sprache oder Ihren ungefähren Standort. Diese nutzen und speichern wir nicht.

Zu jeder Anfrage protokollieren wir, welche App sie unter welchem Konto gestellt hat, welches Werkzeug sie aufgerufen hat, wann, ob sie erfolgreich war, eine etwaige Fehlermeldung und die Dauer. Die Anfrage und die Antwort selbst protokollieren wir nicht, eine Fehlermeldung kann aber Teile der Anfrage wiedergeben. Unsere Server erfassen außerdem zu jeder Anfrage technische Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse). Beides nutzen wir nur, um Fehler, Sicherheitsvorfälle und Missbrauch aufzuklären. Keine dieser Daten nutzen wir für Werbung oder zum Training von KI-Modellen, und wir verkaufen sie nicht.

Der Anbieter des Assistenten (zum Beispiel OpenAI für ChatGPT oder Anthropic für Claude) erhält die Daten auf Ihre Anweisung. Er handelt nicht in unserem Auftrag und ist keiner unserer Unterauftragsverarbeiter. Sie wählen den Assistenten aus, und sein Anbieter verarbeitet die Daten nach Ihrer Vereinbarung mit ihm und seinen Datenschutzbestimmungen, unter Umständen auch außerhalb der EU. Dort und in seinen Einstellungen sehen Sie, wie lange er Ihre Unterhaltungen speichert und ob er sie für Training nutzt. Auf unserer Seite verarbeitet dieselbe Infrastruktur wie für die übrigen Dienste die Anfragen, gehostet in der EU (siehe unsere Liste der Unterauftragsverarbeiter).

Wie lange wir die Daten speichern:

das Protokoll der Anfragen: 90 Tage, danach löschen wir es
die technischen Verbindungsdaten: 30 Tage
Ihre Freigabe und die Zugriffstoken: bis Sie die App trennen. Ein Zugriffstoken gilt eine Stunde; der Assistent erneuert es mit einem Aktualisierungstoken, das nach 30 Tagen ohne Nutzung abläuft.
Änderungen, die der Assistent vorgenommen hat: Sie gehören zu Ihren Unternehmensdaten und werden wie jede andere Änderung gespeichert, wie in unserem Auftragsverarbeitungsvertrag beschrieben

Alle verbundenen Apps sehen und trennen Sie in den Diensten unter User settings → Connected apps. Das Trennen wirkt sofort, löscht Ihre Freigabe und alle Token dieser App und beendet jeden weiteren Zugriff. Änderungen, die der Assistent schon vorgenommen hat, macht es nicht rückgängig, und Daten, die er schon erhalten hat, holt es nicht zurück; dafür nutzen Sie die Einstellungen des Assistenten oder wenden sich an seinen Anbieter. Auskunft über die Protokolleinträge zu Ihrer Person oder deren Löschung erhalten Sie über support@saasflow.com.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für die Verbindung und die Beantwortung der Anfragen sowie unser berechtigtes Interesse an sicheren Diensten (Art. 6 Abs. 1 lit. f DSGVO) für die Protokolle.

Wer Ihre Daten erhält

Wir setzen Dienstleister für Hosting, Zahlungen, E-Mail-Versand, Support und die oben beschriebenen Funktionen ein. Jeder Anbieter, der personenbezogene Daten für uns verarbeitet, ist durch einen Auftragsverarbeitungsvertrag gebunden. Diejenigen, die am Betrieb der Websites und Dienste mitwirken, sind mit Zweck, Standort und Übermittlungsgarantien in unserer Liste der Unterauftragsverarbeiter veröffentlicht. Anbieter rein interner Arbeitsmittel, etwa unserer eigenen E-Mail- und Kollaborationsumgebung, sind nicht Teil dieser Liste. Wir verkaufen keine personenbezogenen Daten.

Bei der Bankanbindung ist das anders. Ein Bankkonto anzubinden ist optional; Sie können Umsätze auch aus CSV-Dateien importieren. Binden Sie ein Konto an, beauftragen Sie den Anbieter selbst, in dessen eigenem Fenster und zu dessen eigenen Nutzungsbedingungen und Datenschutzbestimmungen: finAPI (Deutschland) für Banken in Europa, Plaid (USA) für Banken in den USA und Kanada. Der Anbieter ruft die Daten bei Ihrer Bank ab und übermittelt sie auf Ihre Anweisung an uns. Er handelt dabei als eigenständiger Verantwortlicher, nicht in unserem Auftrag. Wir übermitteln ihm lediglich eine pseudonyme technische Kennung, damit er die Verbindung Ihrem Konto zuordnen kann. Beide Anbieter sind in einem eigenen Abschnitt der Liste der Unterauftragsverarbeiter aufgeführt. Auch KI-Assistenten, die Sie selbst verbinden, erhalten Daten auf Ihre Anweisung: die Daten, die Sie über sie anfragen, wie oben unter „KI-Assistenten, die Sie verbinden“ beschrieben.

Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn eine Fusion, Übernahme oder Finanzierung des SaaSFlow-Geschäfts es erfordert (wir würden Sie darüber informieren) oder wenn wir gesetzlich dazu verpflichtet sind, etwa durch eine gerichtliche Anordnung oder eine rechtmäßige behördliche Anfrage.

Internationale Datenübermittlung

Unsere Anwendungsdaten werden in der EU gehostet. Einige unserer Anbieter sind US-Unternehmen; bei ihnen stützen wir uns auf deren Zertifizierung nach dem EU-US Data Privacy Framework, soweit vorhanden, und zusätzlich auf die Standardvertragsklauseln der EU-Kommission, sodass in jedem Fall eine gültige Übermittlungsgrundlage besteht. Die Garantie je Anbieter steht in der Liste der Unterauftragsverarbeiter.

Wie wir Ihre Daten schützen

Wir schützen Ihre Daten mit dem Risiko angemessenen technischen und organisatorischen Maßnahmen: verschlüsselte Übertragung, Verschlüsselung im Ruhezustand, strikte Zugriffskontrollen, Mandantentrennung und regelmäßige Überprüfungen. Die vollständige Übersicht ist als Anlage 2 unseres Auftragsverarbeitungsvertrags veröffentlicht.

Wie lange wir Ihre Daten speichern

Wir speichern personenbezogene Daten nur so lange, wie wir sie für den Zweck benötigen, für den sie erhoben wurden; die Speicherdauer ist deshalb je Anwendungsfall unterschiedlich. Wo möglich gilt eine allgemeine Regel: Personenbezogene Daten werden gelöscht oder anonymisiert, wenn Sie unsere Websites und Dienste länger als 9 Monate nicht genutzt haben. Ausnahmen gelten, wo technische Einschränkungen dies verhindern oder Gesetze eine längere Speicherung verlangen, etwa steuerrechtliche Aufbewahrungspflichten. Die Löschung nach dem Ende eines Unternehmensvertrags richtet sich nach § 9 des Auftragsverarbeitungsvertrags.

Ihre Rechte

Sie haben das Recht auf Auskunft über die personenbezogenen Daten, die wir über Sie gespeichert haben, auf Berichtigung, Löschung und Einschränkung der Verarbeitung sowie auf Herausgabe in einem maschinenlesbaren Format. Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Soweit eine Verarbeitung auf unserem berechtigten Interesse beruht, können Sie ihr jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO).

Vieles davon können Sie selbst in den Kontoeinstellungen der Dienste erledigen. Für alles andere schreiben Sie an support@saasflow.com; wir antworten so schnell wie möglich, nachdem wir Ihre Identität geprüft haben. In manchen Fällen können wir nur eingeschränkt Auskunft geben, etwa wenn eine Anfrage Informationen über eine andere Person offenlegen würde.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen; Sie können sich auch an die Behörde Ihres eigenen EU-Mitgliedstaats wenden.

Minderjährige

Die Websites und Dienste richten sich nicht an Personen unter 16 Jahren, und wir erheben wissentlich keine Daten von ihnen. Sollten Sie erfahren, dass eine Person unter 16 uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte; wir löschen die Daten.

Änderungen dieser Erklärung

Bei wesentlichen Änderungen dieser Erklärung kündigen wir sie mindestens 30 Tage vor dem Wirksamwerden auf unserer Website an.

Kontakt

Walletguide GmbH
Rüggeberger Str. 94
58256 Ennepetal
Deutschland

Vertreten durch Alexander Peiniger
CEO und Geschäftsführer
support@saasflow.com