Datenschutzerklärung
Stand: 16. August 2026 · Informationen nach Art. 13, 14 DSGVO
Diese Erklärung beschreibt eine bestimmte technische Einrichtung. Wenn du Dienste hinzufügst oder entfernst — etwa ein Analysewerkzeug oder einen anderen Mailversender — muss dieser Text mitwachsen. Eine Datenschutzerklärung, die nicht zur Wirklichkeit passt, ist schlimmer als eine knappe, die stimmt.
1. Verantwortlicher
Engehausen Industries, Inhaber Nils-Malte Engehausen, In den Gärten 29, 32108 Bad Salzuflen, E-Mail kontakt@enoxo-flow.de
Ein Datenschutzbeauftragter ist nicht benannt. Die Voraussetzungen des § 38 BDSG liegen nicht vor.
2. Das Wichtigste vorweg: Wir können deine Inhalte nicht lesen
Enoxo Flow ist so gebaut, dass deine Rechnungen, Angebote, Verträge, Kundendaten, dein Logo und deine hochgeladenen Dateien in deinem Browser verschlüsselt werden, bevor sie unseren Server erreichen (AES-256-GCM, Schlüsselableitung mit PBKDF2). Auf dem Server liegt ausschließlich ein unlesbarer Block.
Der Schlüssel wird aus deinem Passwort abgeleitet und zusätzlich mit deinem Wiederherstellungscode gesichert. Beides kennen wir nicht.
Die Kehrseite: Verlierst du Passwort und Wiederherstellungscode, können wir dir nicht helfen. Deine Daten sind dann dauerhaft nicht mehr lesbar — auch für uns nicht. Das ist keine Bequemlichkeitsentscheidung, sondern die Bedingung dafür, dass wirklich niemand sonst mitlesen kann.
3. Aufruf der Website (Server-Logfiles)
Beim Aufruf werden durch unseren Hosting-Dienstleister automatisch Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer, Browser- und Betriebssystemangaben.
Zweck: Auslieferung der Seite, Betriebssicherheit, Abwehr von
Angriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes
Interesse ist der sichere und störungsfreie Betrieb.
Speicherdauer: 30 Tage (Netlify, Auslieferung der Website)
4. Konto und Nutzung von Enoxo Flow
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse | Anmeldung, Passwort-Zurücksetzung, wichtige Mitteilungen zum Dienst | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Passwort-Prüfwert | Anmeldung. Das Passwort selbst wird nicht gespeichert, sondern nur ein nicht rückrechenbarer Wert. | Art. 6 Abs. 1 lit. b DSGVO |
| Kryptografische Hilfswerte (Salt, verpackter Schlüssel) | Entsperren deiner Daten auf deinen Geräten | Art. 6 Abs. 1 lit. b DSGVO |
| Verschlüsselter Datenblock | Speicherung deiner Inhalte. Für uns nicht lesbar. | Art. 6 Abs. 1 lit. b DSGVO |
| Zeitstempel, Abo- und Zahlungsstatus | Abwicklung des Abonnements | Art. 6 Abs. 1 lit. b DSGVO |
Speicherdauer: für die Dauer des Kontos. Nach Kündigung bleiben die Daten 30 Tage erhalten, damit du sie noch sichern kannst, und werden danach gelöscht. Rechnungsunterlagen über dein Abonnement bewahren wir nach § 147 AO und § 257 HGB auf.
5. Eingesetzte Dienste und Empfänger
Wir setzen die folgenden Auftragsverarbeiter ein. Mit allen bestehen Verträge nach Art. 28 DSGVO.
| Dienst | Zweck | Ort der Verarbeitung |
|---|---|---|
| Supabase | Datenbank, Anmeldung, Server-Funktionen | EU (Frankfurt, eu-central-1) |
| Netlify | Auslieferung der Website | USA (Netlify Inc.), Auslieferung über europäische Standorte |
| Stripe | Zahlungsabwicklung des Abonnements | EU / USA |
| Brevo | Versand von Systemnachrichten per E-Mail | EU |
| IONOS | Domainverwaltung | EU |
Übermittlung in Drittländer
Soweit Daten in die USA übermittelt werden, stützen wir dies auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und, sofern der Empfänger zertifiziert ist, auf einen Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework).
Selbst nachsehen: Prüfe für jeden Dienst, ob er im Data-Privacy-Framework gelistet ist und in welcher Region dein Projekt tatsächlich läuft. Bei Supabase steht die Region in den Projekteinstellungen — wähle eine EU-Region, dann wird dieser Abschnitt deutlich einfacher. Der Angemessenheitsbeschluss ist rechtlich umstritten und war bereits Gegenstand von Klagen; sein Bestand kann sich ändern.
6. Zahlungsabwicklung
Für die Abwicklung des Abonnements nutzen wir Stripe. Bei einem Zahlungsvorgang werden die von dir eingegebenen Zahlungsdaten unmittelbar an Stripe übermittelt. Wir erhalten und speichern keine vollständigen Kartendaten. Wir erhalten lediglich die Information, ob eine Zahlung erfolgreich war, sowie eine Kennung des Vorgangs.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
7. Cookies und lokale Speicherung
Enoxo Flow setzt keine Cookies zu Werbe- oder Analysezwecken und bindet keine Zählpixel ein. Verwendet werden ausschließlich technisch notwendige Speicher:
- Anmelde-Token — hält dich angemeldet. Ohne ihn müsstest du dich bei jedem Seitenaufruf neu anmelden.
- Geräte-Entsperrung (IndexedDB) — ein nicht auslesbarer Schlüssel, damit du auf deinem Gerät bis zu 30 Tage nicht jedes Mal dein Passwort eingeben musst. Beim Abmelden wird er gelöscht.
Für diese Speicher ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich, weil sie für den von dir gewünschten Dienst unbedingt erforderlich sind. Ein Einwilligungsbanner ist deshalb nicht nötig — und wäre hier auch irreführend.
8. Deine Rechte
- Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
- Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist für uns die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.
Zur Ausübung genügt eine Nachricht an kontakt@enoxo-flow.de.
Auskunft und Übertragbarkeit im Klartext: Weil wir deine Inhalte nicht entschlüsseln können, umfasst eine Auskunft von uns nur die Kontodaten. Deine eigentlichen Inhalte holst du dir jederzeit selbst über „Daten & Sicherung → Sicherung“ als vollständige Datei. Das ist zugleich deine Datenübertragbarkeit nach Art. 20 DSGVO.
9. Pflicht zur Bereitstellung
Die Angabe der E-Mail-Adresse ist für den Vertragsschluss erforderlich. Ohne sie können wir kein Konto einrichten. Weitere Angaben sind freiwillig.
10. Keine automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.