Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und in der FlowCards-App, soweit FlowCards selbst über Zwecke und Mittel entscheidet (Teil A), ist:

FlowCards, Salim Tekin (Inhaber)
Theuerstadt 7
96050 Bamberg, Deutschland
Telefon: +49 152 24874355
E-Mail: info@flowcards.app

Einen Datenschutzbeauftragten haben wir nicht benannt, weil keine gesetzliche Pflicht dazu besteht.

2. Überblick

FlowCards ist eine Shopify-App, mit der Händler automatisch Postkarten an ihre Kundinnen und Kunden versenden. Diese Erklärung hat zwei Teile:

• Teil A (Abschnitte 3–8): Verarbeitung, für die FlowCards verantwortlich ist — Besuch der Website, Händlerkonten, die Verbindung zum Shopify-Shop, Abrechnung, Support und Sicherheit.
• Teil B (Abschnitte 9–11): Verarbeitung, die FlowCards im Auftrag des Händlers durchführt — Bestell- und Adressdaten der Empfängerinnen und Empfänger, Druck und Versand der Postkarten sowie das Aufrufen von QR-Codes auf den Karten. Verantwortlich ist hier der Händler, bei dem Sie bestellt haben; FlowCards ist sein Auftragsverarbeiter (Art. 28 DSGVO).

Wenn Sie eine Postkarte eines Shops erhalten haben, lesen Sie bitte Teil B, insbesondere Abschnitt 11 „QR-Codes auf Postkarten“.

3. Besuch dieser Website

Teil A — Verarbeitung durch FlowCards als Verantwortlicher

Hosting. Die Website wird als statische Seite aus Amazon S3 in der AWS-Region Frankfurt (eu-central-1) über das Content-Delivery-Netzwerk Amazon CloudFront ausgeliefert. CloudFront beantwortet Anfragen von Servern in Europa und Nordamerika; dabei verarbeitet AWS technisch Ihre IP-Adresse, um die Seite auszuliefern. Wir haben für die Website keine Zugriffsprotokolle eingerichtet; weder CloudFront noch unsere API speichern Protokolle einzelner Seitenaufrufe.

Unsere Domain-Namen werden bei Cloudflare verwaltet. Cloudflare beantwortet nur DNS-Anfragen; der Datenverkehr zu unserer Website läuft nicht über Cloudflare.

Schriftarten. Die Schriftarten liegen auf unseren eigenen Servern. Beim Aufruf der Website wird keine Verbindung zu Google oder einem anderen Schriftarten-Anbieter aufgebaut.

Keine Cookies, keine Analyse. Diese Website setzt keine Cookies und verwendet keine Analyse-, Tracking- oder Werbedienste. Welche Daten Ihr Browser nach einer Anmeldung speichert, steht in Abschnitt 8.

Schutz vor Angriffen. Anfragen an unsere Programmierschnittstelle (API) durchlaufen eine Web Application Firewall von AWS. Sie begrenzt Anfragen je IP-Adresse und sperrt Anfragen aus bestimmten Ländern. AWS hält dabei Stichproben einzelner Anfragen einschließlich der IP-Adresse für höchstens drei Stunden vor; darüber hinaus protokolliert die Firewall keine Anfragen.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO).

4. Händlerkonto und Anmeldung

Wenn Sie als Händler ein Konto bei FlowCards anlegen, verarbeiten wir Ihre E-Mail-Adresse (zugleich Ihr Benutzername) und, falls angegeben, Vor- und Nachname. Die Anmeldung läuft über Amazon Cognito in Frankfurt. Sie können eine Zwei-Faktor-Anmeldung mit einer Authenticator-App einrichten.

Zum Schutz Ihres Kontos wertet Amazon Cognito bei der Anmeldung Merkmale wie IP-Adresse und Gerät aus, um verdächtige Anmeldeversuche zu erkennen (Bedrohungsschutz von Amazon Cognito).

Wenn mehrere Personen einen Shop gemeinsam verwalten, speichern wir die Zuordnung zwischen Benutzerkonto, Shop und Rolle. E-Mails zur Anmeldung (Bestätigung, Passwort zurücksetzen) versenden wir über Amazon Simple Email Service (SES) in Frankfurt.

Rechtsgrundlage: Erfüllung des Vertrags über die Nutzung von FlowCards (Art. 6 Abs. 1 lit. b DSGVO); für den Anmeldeschutz unser berechtigtes Interesse an der Sicherheit der Konten (Art. 6 Abs. 1 lit. f DSGVO).

5. Verbindung mit Ihrem Shopify-Shop

Shopify ist die Plattform des Händlers und für FlowCards die Datenquelle und der Abrechnungsweg. Shopify ist kein Auftragsverarbeiter von FlowCards.

Bei der Installation erhalten wir von Shopify Name, E-Mail-Adresse, Kennung und Domain Ihres Shops, die Angabe, ob es sich um einen Entwicklungsshop handelt, sowie einen Zugangsschlüssel. Den Zugangsschlüssel speichern wir verschlüsselt im AWS Systems Manager Parameter Store. Während der Anmeldung über Shopify speichern wir für 10 Minuten einen Sicherheitswert zusammen mit IP-Adresse und Browserkennung (User Agent), um Missbrauch des Anmeldevorgangs zu verhindern.

Berechtigungen. FlowCards fragt bei der Installation folgende Berechtigungen an: Bestellungen lesen (auch ältere als 60 Tage), Kundendaten lesen und Produkte lesen (read_orders, read_all_orders, read_customers, read_products).

Was FlowCards mit den Bestell- und Kundendaten tut, beschreibt Teil B; diese Verarbeitung erfolgt im Auftrag des Händlers.

Eingebettete App. Wenn Sie FlowCards innerhalb des Shopify-Adminbereichs öffnen, lädt die Seite das App-Bridge-Skript von Shopify (cdn.shopify.com). Wir speichern, welches Shopify-Benutzerkonto mit welchem FlowCards-Konto verknüpft ist.

Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

6. Abrechnung

FlowCards wird über Ihre Shopify-Rechnung abgerechnet. Dafür melden wir jede versendete Postkarte an Shopify: Shop-Kennung, Art der Postkarte (Abrechnungszähler), Zeitpunkt, einen technischen Schlüssel gegen Doppelbuchungen und die Menge. Personenbezogene Daten Ihrer Kundinnen und Kunden übermitteln wir dabei nicht. Den Stand Ihres Abonnements lesen wir über die Partner-Schnittstelle von Shopify. Simulierte Karten eines Entwicklungsshops (Abschnitt 10) werden nicht abgerechnet.

Buchhaltungsrelevante Aufzeichnungen bewahren wir zehn Jahre auf, weil das Handels- und Steuerrecht es verlangt.

Rechtsgrundlage: Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB).

7. Support, E-Mails, Vertragsnachweise und Sicherheit

Support. Wenn Sie uns an info@flowcards.app schreiben, verarbeiten wir Ihre Nachricht und Ihre Kontaktdaten, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Das Postfach wird bei der IONOS SE betrieben (Abschnitt 12).

Benachrichtigungen. Wir senden Händlern betriebliche E-Mails über Amazon SES, zum Beispiel zu wartenden Sammelsendungen, Abrechnungsgrenzen, fehlgeschlagenen Sendungen, dem ersten Scan eines QR-Codes oder dem Ablauf der Aufbewahrungsfrist nach einer Deinstallation. Diese E-Mails enthalten keine Adressen Ihrer Empfängerinnen und Empfänger. Wird eine E-Mail als unzustellbar zurückgewiesen oder als Spam gemeldet, sperrt Amazon SES die Adresse für weitere Sendungen.

Annahme der AGB. Wenn Sie unsere AGB und den Auftragsverarbeitungsvertrag annehmen, speichern wir als Nachweis: welche Dokumentfassungen Sie angenommen haben, den Zeitpunkt, die Shop-Domain, Ihre Bestätigungen (Unternehmereigenschaft, Vertretungsbefugnis) und eine Kennung der annehmenden Person (Ihre FlowCards-Benutzerkennung oder Ihre Shopify-Benutzerkennung). Name, E-Mail-Adresse und IP-Adresse speichern wir dabei nicht. Diese Nachweise bleiben auch nach der Löschung der übrigen Daten eines Shops erhalten; eine feste Löschfrist dafür haben wir noch nicht festgelegt.

Rechtsgrundlage: Nachweis des Vertragsschlusses und berechtigtes Interesse an der Beweissicherung (Art. 6 Abs. 1 lit. b und f DSGVO).

Protokolle und Sicherheit. Unsere Serverfunktionen schreiben technische Protokolle, die wir 30 Tage aufbewahren; bei Fehlern und Angriffsversuchen können sie IP-Adresse und Browserkennung enthalten. Zugriffe unseres Support-Teams auf Shop-Daten (zum Beispiel auf fehlgeschlagene Sendungen) protokollieren wir mit Person, Shop und Zweck und bewahren dieses Protokoll zehn Jahre auf, um nachweisen zu können, wer wann worauf zugegriffen hat. AWS-Kontoaktivitäten werden über AWS CloudTrail protokolliert; diese Protokolle bewahren wir ein Jahr auf.

Rechtsgrundlage: berechtigtes Interesse an Sicherheit und Nachvollziehbarkeit (Art. 6 Abs. 1 lit. f DSGVO) und Art. 32 DSGVO.

8. Daten im Browser

Diese Website und die App setzen keine Cookies. Nach einer Anmeldung speichert Ihr Browser technisch notwendige Werte im lokalen Speicher (localStorage) bzw. im Sitzungsspeicher (sessionStorage):

• localStorage: Anmeldeschlüssel von Amazon Cognito einschließlich Ihres Benutzernamens (der E-Mail-Adresse); der zuletzt gewählte Shop; Einstellungen zur Anzeige (ausgeblendete Hinweise, Tabellenspalten, zuletzt gewählter Aufladebetrag).
• sessionStorage: die Sitzung in der eingebetteten Shopify-App, die gewählte Sprache und kurzlebige Zwischenstände beim Abschluss eines Tarifs.

Diese Speicherung ist für die von Ihnen gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Sie können die Werte jederzeit in Ihrem Browser löschen; danach sind Sie abgemeldet.

9. Hinweis zur Verantwortlichkeit

Teil B — Verarbeitung im Auftrag der Händler

In diesem Teil verarbeitet FlowCards Daten im Auftrag des Händlers, in dessen Shop Sie bestellt haben. Der Händler entscheidet, ob und an wen Postkarten gesendet werden; er ist Verantwortlicher im Sinne der DSGVO und muss Sie selbst über die Verarbeitung informieren. Grundlage unserer Tätigkeit ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, den der Händler vor der ersten Verarbeitung mit unseren AGB annimmt.

Ihre Rechte (Auskunft, Löschung, Widerspruch gegen Werbung) richten Sie bitte an den Händler. Erreicht uns Ihre Anfrage direkt, leiten wir sie an den Händler weiter. Einen Widerspruch gegen Werbung per Post erfasst der Händler in FlowCards; danach erstellen wir für diesen Shop keine Postkarten mehr an Sie; Karten, die zu diesem Zeitpunkt bereits gedruckt oder übergeben sind, erfasst der Widerspruch nicht mehr (siehe Abschnitt 10).

10. Bestell- und Empfängerdaten, Druck und Versand

Woher die Daten kommen. Shopify übermittelt uns Bestellungen des Händlers, sobald sie angelegt, erfüllt, storniert oder erstattet werden, sowie Änderungen an Produkten. Bei der ersten Installation importieren wir außerdem Bestellungen der letzten 365 Tage, damit Regeln des Händlers auch frühere Bestellungen berücksichtigen können; nach einer erneuten Verbindung die letzten 7 Tage.

Was wir speichern. Aus einer Bestellung speichern wir unter anderem: Bestellnummer und -status, Beträge, den Namen der Empfängerin oder des Empfängers, die Lieferanschrift (ohne Telefonnummer), eine Kunden-Kennung von Shopify, ob Werbung zugestimmt wurde, die bestellten Artikel einschließlich individueller Artikelangaben, Rabattcodes, Tags und Sendungsverfolgung. Die E-Mail-Adresse der Käuferin oder des Käufers übernehmen wir nicht in diese Daten. Versendet der Händler nach der Widerspruchslösung (siehe „Einwilligung oder Widerspruchslösung“), fragen wir bei Shopify vor dem Erstellen einer Karte und vor einem verzögerten Versand ab, ob sich die Kundin oder der Kunde von der E-Mail-Werbung des Shops abgemeldet hat; das Ergebnis speichern wir nicht.

Zusätzlich speichern wir die von Shopify übermittelten Nachrichten vollständig, wie sie eingehen. Eine Bestellnachricht enthält unter anderem E-Mail-Adresse, Telefonnummer, Rechnungs- und Lieferanschrift der Käuferin oder des Käufers. Diese Nachrichten bewahren wir für die Dauer der Installation auf und löschen sie spätestens 90 Tage nach einer Deinstallation.

Einwilligung oder Widerspruchslösung. Der Händler legt fest, ob wir nur an Kundinnen und Kunden versenden, die im Shop der Werbung zugestimmt haben, oder an alle Bestandskunden, die nicht widersprochen haben (berechtigtes Interesse des Händlers, Art. 6 Abs. 1 lit. f DSGVO). Über Ihr Widerspruchsrecht informiert Sie der Händler in seiner Datenschutzerklärung; Ihren Widerspruch richten Sie an den Händler, der ihn in FlowCards erfasst. Als Widerspruch gilt auch eine Abmeldung von der E-Mail-Werbung des Shops. Bietet der Händler auf seiner Bestellbestätigungs- oder Bestellstatusseite das Kästchen „Ich möchte keine Post von …“ an, können Sie dort direkt widersprechen; wir erhalten dann nur die Bestellnummer und bilden den Schlüssel aus der gespeicherten Bestellung. Um einen Widerspruch dauerhaft zu beachten, speichern wir keinen Namen und keine Anschrift, sondern nur einen verschlüsselten Schlüssel (HMAC) aus Kundennummer bzw. Name und Anschrift, der nur für diesen Shop gilt, sowie einen gekürzten Hinweis für den Händler (z. B. „M*** · 96050 · DE“). Diese Einträge löschen wir mit den übrigen Daten des Shops spätestens 90 Tage nach Deinstallation.

Pausierte Automatisierung. Hat der Händler den Versand pausiert, erstellen wir für Bestellungen, die während der Pause eingehen, keine Postkarten; Sendungen, die bereits warteten, halten wir bis zur Fortsetzung zurück. Dafür speichern wir nur den Zeitraum der Pause; zurückgehaltene Sendungen unterliegen denselben Fristen wie andere wartende Karten (Abschnitt 13).

Druck und Versand. Derzeit ist noch kein Druck- und Versandweg in Betrieb; wir übermitteln keine Empfängerdaten an Druckdienstleister. Sobald ein Druckweg startet, übermitteln wir für jede Karte Name und Anschrift der Empfängerin oder des Empfängers sowie die Gestaltung der Karte an den jeweiligen Druckdienstleister; die Karten werden dann von der Deutschen Post AG als eigenständigem Postdienstleister befördert. Den Druckdienstleister nennen wir vorher in dieser Erklärung. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeiten wir nicht.

Entwicklungsshops. Bestellungen aus einem Shopify-Entwicklungsshop sind Testbestellungen. Für sie erstellen wir die Karte nur zum Schein: Wir speichern die Sendung wie jede andere, übermitteln aber keine Empfängerdaten an einen Druckdienstleister, und es wird nichts gedruckt oder versendet.

Aufbewahrung. Wartende Karten einer Sammelsendung löschen wir spätestens zwölf Monate nach dem Auslöser (mit Vorwarnung an den Händler 30 Tage vorher) oder 30 Tage nach unserem Hinweis an den Händler, wenn er nicht reagiert. Versendete oder stornierte Karten löschen wir nach 90 Tagen, Sendungsnachweise nach den in Abschnitt 13 genannten Fristen. Bei der Deinstallation der App löschen wir wartende Karten einschließlich Name und Anschrift sofort. Nach einer Deinstallation löschen wir alle übrigen Daten des Shops nach 90 Tagen; fordert Shopify vorher die Löschung der Kundendaten an, löschen wir sie zu diesem Zeitpunkt.

Den Bestellspiegel, die Datensätze versendeter Postkarten und die Kartenbilder speichern wir, solange der Händler FlowCards nutzt, damit er seine Sendungen und Auswertungen einsehen kann; nach einer Deinstallation löschen wir sie spätestens nach 90 Tagen.

11. QR-Codes auf Postkarten

Dieser Abschnitt richtet sich an Empfängerinnen und Empfänger einer Postkarte.

Händler können auf ihre Postkarten einen QR-Code drucken, der zu ihrem Shop führt: zu den Bewertungen eines Produkts, zur Übersicht aller Produkte oder zu einer anderen Seite des Shops. Der Code führt zunächst zu unserem Weiterleitungsdienst qr.flowcards.app, der Sie sofort zum Shop des Händlers weiterleitet. Hat der Händler für den QR-Code einen Gutscheincode hinterlegt, führt die Weiterleitung über den Rabatt-Link des Shops (/discount/CODE), damit der Rabatt im Warenkorb angewendet wird. Der Gutscheincode ist für alle Karten mit diesem QR-Code gleich und enthält keine personenbezogenen Daten. Verantwortlich ist der Händler, der Ihnen die Karte geschickt hat (siehe Abschnitt 9).

Was bei einem Scan gespeichert wird:

• Zeitpunkt des Aufrufs und der aufgerufene QR-Code (der Code gilt für alle Karten derselben Gestaltung),
• Verweise auf den Shop, das Produkt und die Kartengestaltung,
• ein pseudonymisierter Wert Ihrer IP-Adresse und Ihrer Browserkennung (mit einem geheimen Schlüssel gebildet; die IP-Adresse selbst speichern wir nicht),
• die Domain der Seite, von der Sie kamen (falls Ihr Browser sie mitsendet), und Ihre bevorzugte Sprache (nur das Sprachkürzel, z. B. „de“),
• die Domain des Weiterleitungsziels und ob die Weiterleitung gelungen ist (nicht der Gutscheincode und nicht die aufgerufene Seite).

Der Link auf der Karte kann außerdem eine Kennung der einzelnen Karte enthalten. Sie wird beim Aufruf an uns übermittelt, derzeit aber weder ausgewertet noch gespeichert.

Zweck. Der Händler sieht ausschließlich zusammengefasste Zahlen: wie oft Codes aufgerufen wurden, wie viele verschiedene Geräte das waren, Aufrufe je Tag und die meistaufgerufenen Gestaltungen. Einzelne Aufrufe, Herkunftsangaben, Sprachen oder pseudonymisierte Werte sieht er nicht. Beim allerersten Aufruf eines Codes erhält der Händler eine E-Mail mit Kartengestaltung und Uhrzeit, ohne Angaben zu Ihrer Person.

Keine Cookies, keine Skripte. Die Weiterleitung setzt keine Cookies und führt kein Skript aus.

Speicherdauer. Aufrufe werden nach 90 Tagen automatisch gelöscht, bei einer Löschanfrage des Shops auch früher.

Die Aufrufdaten werden von AWS in Frankfurt gespeichert und an niemanden weitergegeben.

Ihre Rechte richten Sie bitte an den Händler, der Ihnen die Karte geschickt hat. Anfragen, die uns direkt erreichen, leiten wir an ihn weiter.

12. Dienstleister und Übermittlung in Drittländer

Allgemeine Angaben

Wir setzen folgende Dienstleister ein:

• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg — Hosting, Datenbanken, Dateispeicher, Anmeldung, E-Mail-Versand und Protokolle, Region Frankfurt (eu-central-1). Das Content-Delivery-Netzwerk CloudFront beantwortet Anfragen auch von Servern außerhalb der EU; zudem kann AWS eigene Unterauftragnehmer einsetzen und in Einzelfällen Daten außerhalb der EU verarbeiten. Grundlage sind der Datenverarbeitungsvertrag von AWS und die Standardvertragsklauseln der EU-Kommission.
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA — Verwaltung unserer Domain-Namen (DNS). Cloudflare beantwortet nur DNS-Anfragen; der Datenverkehr zu Website und App läuft nicht über Cloudflare.
• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur — E-Mail-Postfach info@flowcards.app.
• Druckdienstleister und die Deutsche Post AG als Postdienstleister, sobald ein Druckweg in Betrieb ist (Abschnitt 10).

Shopify ist nicht unser Dienstleister, sondern die Plattform des Händlers (Abschnitt 5).

Wir sichern nicht zu, dass Daten nur innerhalb der EU verarbeitet werden.

Die Unterauftragsverarbeiter, die wir im Rahmen des Auftragsverarbeitungsvertrags mit den Händlern vereinbart haben, stehen in der Liste der Unterauftragsverarbeiter.

13. Speicherdauer im Überblick

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20).

Widerspruchsrecht: Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Wenden Sie sich dazu an info@flowcards.app. Für Daten aus Teil B wenden Sie sich bitte an den Händler (Abschnitt 9). Das gilt auch für einen Widerspruch gegen Werbung per Post: Er geht an den Shop (Teil B, Abschnitt 9), der ihn in FlowCards erfasst; ab dann erstellen wir für diesen Shop keine Postkarten mehr an Sie. Karten, die zu diesem Zeitpunkt bereits gedruckt oder übergeben sind, erfasst der Widerspruch nicht mehr.

15. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für FlowCards zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

16. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Fassungen: 22.10.2026 — vollständige Neufassung: beschreibt die Shopify-Anbindung, Empfängerdaten, QR-Codes, Speicherfristen und Dienstleister so, wie sie heute tatsächlich laufen (ersetzt die Fassung „Stand: März 2026“).