Datenschutzerklärung
Gemäß Art. 13/14 DSGVO · Stand: Juni 2026
Hinweis: StammSpot ist ein B2B-SaaS-Dienst. Betreiber (Gastronomen, Einzelhändler etc.) nutzen die Plattform, um Treueprogramme für ihre Endkunden zu betreiben. Diese Datenschutzerklärung gilt sowohl für Betreiber-Accounts als auch — als Ergänzung zu den Informationen des jeweiligen Betreibers — für Endkunden.
1. Verantwortlicher
Mawaldi, Abdulrahman und Mhjazi, Moaz und Saranek, Eyad GbR
(Handelsname: Flowdas / StammSpot)
Nora-Platiel-Straße 10, 34127 Kassel
E-Mail: support@flowdas.de
Tel.: +49 152 16217369
Zuständige Aufsichtsbehörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden.
2. Welche Daten wir verarbeiten
2.1 Betreiber-Daten (B2B-Nutzer)
| Datenkategorie | Konkrete Daten | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Stammdaten | Name, E-Mail-Adresse | Account, Kommunikation | Art. 6 Abs. 1 lit. b DSGVO |
| Authentifizierung | Passwort-Hash (bcrypt) | Sicherheit | Art. 6 Abs. 1 lit. b DSGVO |
| Unternehmen | Unternehmensname, Logo-Bild | Dashboard-Betrieb | Art. 6 Abs. 1 lit. b DSGVO |
| Zahlungsdaten | Stripe-Customer-ID | Abrechnung | Art. 6 Abs. 1 lit. b DSGVO |
| Standort | Google Place ID, Standortname | Wallet-Karten, Maps | Art. 6 Abs. 1 lit. b DSGVO |
| Nutzungsdaten | IP-Adresse (Logs), Sitzungsdauer | Sicherheit, Fehleranalyse | Art. 6 Abs. 1 lit. f DSGVO |
2.2 Endkunden-Daten (über Betreiber als Auftragsverarbeiter)
Für Endkunden verarbeiten wir als Auftragsverarbeiter (Art. 28 DSGVO) im Auftrag des jeweiligen Betreibers:
| Datenkategorie | Konkrete Daten | Pflicht / Optional |
|---|---|---|
| Identifikator | Geräte-UUID (Seriennummer) | Pflicht |
| Stammdaten | Vorname | Optional |
| Besondere Kategorie | Geburtstag (Tag + Monat, kein Jahr) | Optional |
| Besuchsdaten | Stempelanzahl, Besuchsdatum/-uhrzeit | Pflicht |
| Treuedaten | Punkte, Klasse (Bronze–Diamant), Rang | Je nach Plan |
| Kommunikation | Web-Push-Subscription (VAPID-Endpunkt) | Optional (Opt-in) |
| Feedback | Sterne-Bewertung (1–5), Freitext | Optional |
| Akquise | Akquise-Quelle | Optional |
Endkunden werden primär über eine gerätegebundene UUID identifiziert — ohne E-Mail oder Telefonnummer. Der Betreiber ist nach Art. 13/14 DSGVO verpflichtet, seine Endkunden zu informieren.
3. Anonyme Nutzungsstatistiken
Zur Analyse der Websitenutzung setzen wir Plausible Analytics (Plausible Insights OÜ, Estland/DE) ein. Plausible ist cookiefrei, erfasst keine personenbezogenen Daten, erstellt keine Nutzerprofile und setzt keine Tracking-IDs. Es erfolgt keine Übermittlung in Drittländer.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (technisch notwendig) i. V. m. Art. 6 Abs. 1 lit. f DSGVO.
4. Cookies und lokaler Speicher
Wir verwenden ausschließlich technisch notwendige Cookies und localStorage-Einträge:
| Name / Schlüssel | Typ | Zweck | Lebensdauer |
|---|---|---|---|
sb-*-auth-token |
Cookie (HttpOnly, Secure) | Supabase-Session | Sitzung / 7 Tage |
stemply_pass_* |
localStorage | Wallet-Karten-Fallback | Bis Löschung |
Da keine Marketing- oder Tracking-Cookies eingesetzt werden, ist kein Cookie-Banner erforderlich (§ 25 Abs. 2 Nr. 2 TTDSG).
5. Dienstleister und Drittländer
5.1 Übersicht
| Dienstleister | Land | Zweck | Garantie |
|---|---|---|---|
| Hetzner Online GmbH | Deutschland | Serverhosting | EU |
| Supabase (AWS eu-central-1) | EU (Frankfurt) | Datenbank, Auth, Storage | AVV, EU-Hosting |
| Stripe Inc. | USA | Zahlungsabwicklung | EU-US DPF + SCC |
| Google LLC (Wallet API) | USA | Digitale Wallet-Karten (Android) | EU-US DPF + SCC |
| Apple Inc. (PassKit/APNs) | USA | Digitale Wallet-Karten (iOS) | SCC |
| Brevo SAS | Frankreich | Transaktions-E-Mails | EU, AVV |
| Mistral AI SAS | Frankreich | KI-Texterstellung (kein Kundenbezug) | EU, AVV |
5.2 Drittlandtransfers (Art. 44 ff. DSGVO)
- Google und Stripe (USA): EU-US Data Privacy Framework (DPF), Beschluss (EU) 2023/1795. Zertifizierung prüfbar unter data.privacyframework.gov.
- Apple (USA): EU-Standardvertragsklauseln (SCC), Beschluss 2021/914/EU, Modul 2.
- Supabase: Datenverarbeitung ausschließlich in der EU (Frankfurt) — kein Drittlandtransfer.
- Brevo, Mistral: Sitz in Frankreich (EU) — kein Drittlandtransfer.
6. Ihre Rechte (Art. 15–22 DSGVO)
Sie haben das Recht auf:
- Auskunft (Art. 15) — welche Daten wir über Sie verarbeiten
- Berichtigung (Art. 16) — unrichtige Daten korrigieren lassen
- Löschung (Art. 17) — Daten löschen lassen, wenn keine Speicherpflicht besteht
- Einschränkung (Art. 18) — Verarbeitung einschränken lassen
- Datenübertragbarkeit (Art. 20) — Daten in maschinenlesbarem Format erhalten
- Widerspruch (Art. 21) — gegen Verarbeitungen auf Basis von Art. 6 Abs. 1 lit. f widersprechen
- Widerruf (Art. 7 Abs. 3) — Einwilligungen jederzeit widerrufen
- Beschwerde bei der HBDI (s. o.)
Anfragen bitte an: support@flowdas.de
7. Speicherdauer und Löschfristen
| Datenkategorie | Frist | Grund |
|---|---|---|
| Betreiber-Account | Bis zur Kündigung + 30 Tage | Vertragspflicht |
| Rechnungs-/Zahlungsdaten | 10 Jahre | § 147 AO |
| Endkunden (inaktiv) | Konfigurierbar durch Betreiber | Datensparsamkeit |
| Logs / IP-Adressen | 30 Tage | Sicherheit |
| Push-Subscriptions | Bis Widerruf oder Sitzungsende | Einwilligung |
8. Minderjährige
Unser Dienst richtet sich nicht an Personen unter 16 Jahren. Optionale Felder (z. B. Geburtstag) dürfen von Personen unter 16 Jahren nur mit elterlicher Einwilligung ausgefüllt werden.
9. Technische und organisatorische Maßnahmen (TOM)
- Verschlüsselte Verbindungen (TLS 1.2+, HTTPS, HSTS)
- Passwörter als bcrypt-Hash gespeichert
- Rollenbasierte Zugriffskontrollen (Row-Level Security)
- Tägliche automatische Datenbankbackups
- Löschkonzept mit automatischer Retention-Routine
- Sentry für Fehlermonitoring (ohne personenbezogene Endkunden-Daten in Traces)
10. Änderungen
Wir behalten uns vor, diese Datenschutzerklärung bei rechtlichen Änderungen oder neuen Diensten anzupassen. Die jeweils aktuelle Version ist unter stammspot.flowdas.de/datenschutz abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Betreiber per E-Mail.