Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung des Nutzers oder wenn die Verarbeitung durch gesetzliche Vorschriften gestattet ist.

Im Rahmen der Nutzung von GrantFlow Advisor verarbeiten wir folgende Daten:

• Kontaktdaten: Name und E-Mail-Adresse (aus der Registrierung)
• Unternehmensdaten: Branche, Mitarbeiterzahl, Standort, Rechtsform, Umsatzklasse, Gründungsjahr, Gemeinnützigkeitsstatus
• Projektdaten: Projektbeschreibungen, Vorhaben, Investitionsvolumen, Projektphase, Projektbeginn, F&E-Status, Förderziele
• Nutzungsdaten: Anmeldezeitpunkt, aufgerufene Seiten, Interaktionen mit der Plattform
• Zahlungsdaten: Werden direkt von Stripe verarbeitet (siehe Abschnitt 8), wir speichern keine Kreditkartennummern
• E-Mail-Kommunikation: Protokolle des E-Mail-Versands (Abschnitt 7 und 11)
• Dokumente: Vom Nutzer hochgeladene Dateien im Rahmen der Antragsvorbereitung — Speicherung ausschließlich im privaten, zugriffsbeschränkten Speicher
• Berater-/Mandantenkontext: Bei Nutzung der Berater-Funktionen zusätzlich Mandantendaten, die von den Beratern über ihre Mandanten eingegeben werden
• Einladungsdaten: E-Mail-Adresse eingeladener Personen sowie der Einladungsstatus (versendet, verwendet, abgelaufen, widerrufen) — die Registrierung ist geschlossen und nur mit persönlicher Einladung möglich

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) – für optionale Funktionen und Formen der Analyse, die eine ausdrückliche Zustimmung erfordern (z. B. optionale Analyse- und Marketing-Cookies, Abschnitt 10)
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) – für die Bereitstellung der Plattform, Nutzerkonten, Fördermittel-Matching, die E-Mail-Kommunikation über die verbundenen Geschäftskonten (Gmail-Integration, Abschnitt 7), die KI-gestützte Textgenerierung und Förderempfehlungen (Abschnitt 9) sowie die Zahlungsabwicklung (Abschnitt 8)
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse) – für Sicherheitsmaßnahmen, Betrugsprävention, fristen- und sicherheitsrelevante Benachrichtigungen sowie die technische Optimierung der Plattform
• Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung) – für steuer- und handelsrechtliche Aufbewahrungspflichten

Die Plattform GrantFlow wird auf der Infrastruktur von Base44 Ltd. betrieben. Base44 stellt die technische Infrastruktur bereit, einschließlich Datenbankbetrieb, Authentifizierung und Dateispeicherung. Nach unseren gegenwärtigen Anbieterangaben erfolgt die Verarbeitung auf Servern innerhalb der Europäischen Union; das Vertragsverhältnis mit dem Hosting-Anbieter ist auftragsverarbeitungsrechtlich ausgestaltet (Art. 28 DSGVO).

Beim Aufruf unserer Website werden durch den Hosting-Provider automatisch Informationen in sogenannten Server-Logfiles erfasst (Browsertyp, Betriebssystem, Referrer-URL, IP-Adresse, Zeitpunkt der Anfrage). IP-Adressen können grundsätzlich personenbeziehbar sein; die Logfiles dienen ausschließlich der Sicherstellung eines störungsfreien Betriebs und werden vom Hosting-Anbieter nur kurzfristig vorgehalten (maximal 30 Tage).

Für die Registrierung und Anmeldung nutzen Sie Ihre E-Mail-Adresse und ein Passwort. Bei der Registrierung senden wir Ihnen zur Verifizierung Ihrer E-Mail-Adresse einen einmaligen Bestätigungscode per E-Mail, den Sie zur Kontoaktivierung eingeben. Es findet kein Google-Login (Google OAuth) statt; Google erhält keine Daten über Ihre Registrierung oder Anmeldung.

Die Verarbeitung Ihrer E-Mail-Adresse zur Kontoführung und Verifizierung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Die Registrierung ist geschlossen: Neue Konten können ausschließlich über eine persönliche, zeitlich begrenzte und einmal verwendbare Einladung des Betreibers erstellt werden; eine öffentliche Registrierung gibt es nicht. Im Rahmen der Einladungsverwaltung verarbeiten wir die E-Mail-Adresse der eingeladenen Person sowie den Einladungsstatus (Versand, Verwendung, Ablauf, Widerruf), um unbefugte Kontenerstellung zu verhindern. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vermeidung unbefugter Registrierungen). Einladungen werden gelöscht, sobald sie für diesen Zweck nicht mehr erforderlich sind.

E-Mails im Rahmen der Plattformfunktionen — Antragskommunikation mit Förderstellen, Status- und Fristenbenachrichtigungen, zusammengefasste Berichte — werden ausschließlich über vom Betreiber verbundene Geschäftskonten versendet: ein geschäftliches E-Mail-Postfach (Google Workspace/Gmail) für die Antrags- und Beratungskommunikation sowie der E-Mail-Versanddienst Resend (Abschnitt 11) für Transaktions- und Benachrichtigungs-E-Mails. Auf private Postfächer der Nutzer wird nicht zugegriffen.

Der Versand erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (sicherheits- und fristenrelevante Benachrichtigungen). Google (Postfach) und Resend verarbeiten die zur Zustellung erforderlichen Daten — Empfängeradresse, Betreff und Inhalt der jeweiligen E-Mail — als Auftragsverarbeiter bzw. im Rahmen des Transportwegs.

Für die Zahlungsabwicklung nutzen wir den Dienst Stripe, Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA. Stripe verarbeitet Zahlungsdaten (Kreditkartennummern, Bankdaten) direkt und in eigener Verantwortung. Wir erhalten von Stripe lediglich eine Bestätigung über den Zahlungsstatus, das gewählte Paket und die E-Mail-Adresse des Zahlenden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Stripe ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.

Zur Erstellung von Förderempfehlungen, Matching-Scores und Antragstextentwürfen werden Unternehmens- und Vorhabensdaten an KI-Modelle der Anbieter OpenAI, Anthropic und Google (Gemini) übermittelt. Die KI-Verarbeitung ist integraler Bestandteil der Vertragsleistung und erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO; ihre Vornahme wird in der Plattform angezeigt (etwa als laufendes Matching).

Pseudonymisierung vor Übermittlung: Vor jeder Übermittlung an KI-Dienste werden identifizierende Muster — E-Mail-Adressen, Telefonnummern, IBANen und Personennamen — serverseitig automatisch pseudonymisiert. Übermittelt werden die Unternehmens- und Vorhabensangaben, die in der Plattform eingegeben wurden. Im Berater-Kontext gibt der Berater Daten seiner Mandanten ein; wir weisen Berater darauf hin, dass die Nutzung der Plattform für Mandanten eine entsprechende Rechtsgrundlage gegenüber dem Mandanten erfordert (z. B. Auftragsverarbeitung oder Einwilligung).

Die KI-Anbieter werden über die Hosting-Plattform (Base44) eingebunden. Nach Anbieterangaben bestehen Auftragsverarbeitungsvereinbarungen gemäß Art. 28 DSGVO; die Anbieter sind teilweise in den USA ansässig, die Datenübermittlung erfolgt auf Basis des EU-US Data Privacy Framework (sofern der jeweilige Anbieter zertifiziert) bzw. der Standardvertragsklauseln der EU-Kommission. Das interne Diensteregister (Verzeichnis der Empfänger) wird laufend gepflegt.

GrantFlow verwendet technisch notwendige Cookies und vergleichbaren lokalen Speicher (localStorage), die für den Betrieb der Plattform erforderlich sind — insbesondere Session- und Authentifizierungs-Schlüssel sowie technische Funktionsschlüssel der Plattform (Base44). Diese werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO gesetzt und erfordern keine Einwilligung.

Ihre Cookie-Einwilligung speichern wir selbst im lokalen Speicher Ihres Browsers (Schlüssel „gf_cookie_consent"), damit Ihre Auswahl beim erneuten Besuch vorliegt.

Optionale Analyse- und Marketing-Werkzeuge werden erst nach Ihrer ausdrücklichen Einwilligung aktiviert. Empfänger im Marketing-Kontext ist insbesondere Meta Platforms Ireland Ltd. (Meta-Pixel) zur Conversion-Messung unserer Anzeigen. Analyse-Nutzungsdaten (z. B. Seitenaufrufe und Nutzerereignisse) werden über die Plattform-Analytics (Base44) nur verarbeitet, wenn Sie der Kategorie „Analyse" zugestimmt haben. Sie können die Einwilligung jederzeit über den Link „Cookie-Einstellungen" im Seitenfuß widerrufen oder ändern. Mit den Anbietern bestehen entsprechende Auftragsverarbeitungsverträge.

Wenn Sie uns per E-Mail kontaktieren, werden Ihre Angaben einschließlich der von Ihnen angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung Ihrer Anfrage).

Der technische Versand von Transaktions- und Benachrichtigungs-E-Mails der Plattform erfolgt über den E-Mail-Dienst Resend, Inc. (USA; zertifiziert nach dem EU-US Data Privacy Framework). Dabei werden Empfängeradresse, Betreff und Inhalt der jeweiligen E-Mail zur Zustellung an Resend übermittelt.

Auf der Website bieten wir ein Anfrageformular an (auch über die Schaltfläche „Demo vereinbaren" erreichbar), über das Sie uns unverbindlich kontaktieren können. Folgende Felder können Sie dort ausfüllen: Name, Firma, E-Mail-Adresse, Telefonnummer, Anliegen (Freitext) sowie optional der Wunsch, bevorzugt über WhatsApp kontaktiert zu werden.

Zweck der Verarbeitung ist die Bearbeitung Ihrer Anfrage und die persönliche Kontaktaufnahme. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung Ihrer Anfrage). Eine Kontaktaufnahme per WhatsApp ist optional; das Formular funktioniert auch ohne diese Angabe.

Ihre Angaben werden in der Anfrageverwaltung der Plattform (Base44) gespeichert und zur Bearbeitung an uns weitergeleitet. Sie werden gelöscht, sobald sie für die Bearbeitung Ihrer Anfrage nicht mehr erforderlich sind, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Auf unserer Website bieten wir zusätzlich den Kontakt über WhatsApp an (wa.me-Links zu unserer Geschäftsnummer). Wenn Sie uns über WhatsApp kontaktieren oder dort schreiben, verarbeitet WhatsApp (WhatsApp Ireland Ltd., Teil von Meta Platforms) Ihre Daten — etwa Ihre Telefonnummer, Ihren Profilnamen und den Inhalt Ihrer Nachrichten — in eigener Verantwortung. Die Nachrichtenübermittlung über WhatsApp kann auch Daten in die USA übermitteln.

Wir haben keinen Einfluss auf die Datenverarbeitung durch WhatsApp und erhalten keinen Einblick in deren Verarbeitungsprozesse. Eine Kontaktaufnahme über WhatsApp ist freiwillig — alternativ können Sie uns jederzeit per E-Mail an info@grant-flow.de erreichen.

• Kontodaten: Bis zur Löschung des Nutzerkontos
• Unternehmens-/Mandanten- und Vorhabensdaten: Bis zur Löschung; nach Löschung im Berater-Kontext werden sie 30 Tage als Wiederherstellungsfenster vorgehalten und danach endgültig gelöscht
• Dokumente: Bis zur Löschung des zugehörigen Datensatzes; Speicherung im privaten Speicher, nach Löschung ebenfalls 30 Tage Wiederherstellungsfenster bis zur Endlöschung
• Zahlungsdaten: Zahlungsdaten verarbeitet ausschließlich Stripe (Abschnitt 8); beim Betreiber verbleiben nur Zahlungsstatus, gewähltes Paket und Zahlenden-E-Mail — Aufbewahrung 10 Jahre nach Vertragsende (steuerrechtliche Aufbewahrungspflicht gemäß § 147 AO, § 257 HGB)
• E-Mail-Versandprotokolle: 180 Tage ab Versand (tägliche automatische Löschung)
• Einwilligungs-Nachweise (inkl. IP-Adresse, User-Agent): 3 Jahre (Nachweispflicht der Einwilligung, Verjährungsfrist § 195 BGB)
• Abmelde-Tokens für E-Mail-Abmeldung: Bis zum Ablauf oder der Verwendung, danach Löschung
• Sicherheits-Auditprotokolle: Inhaltsfreie Metadaten (Aktionen, Ergebnisse, Zähler); vorgesehene Aufbewahrung 3 Jahre zu Beweiszwecken
• Server-Logfiles: Maximal 30 Tage (Hosting-Anbieter)
• Nach Kontolöschung: Löschung Ihres Kontos und der zugehörigen Daten auf Anfrage über einen dokumentierten Prozess (strukturierter Export und Kaskadenlöschung) — Endlöschung innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen

Sie haben gemäß DSGVO jederzeit folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, dass wir Ihnen Ihre Daten in einem strukturierten, gängigen Format übermitteln.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen, sofern diese auf berechtigtem Interesse basiert.
• Widerrufsrecht: Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@grant-flow.de

Auskunft (Art. 15) und Datenübertragbarkeit (Art. 20) erfüllen wir über einen strukturierten Datenexport, Löschbegehren (Art. 17) über eine dokumentierte Kaskadenlöschung — jeweils mit Eingangsbestätigung; die Bearbeitung dauert in der Regel nicht länger als 30 Tage.

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu. Die für uns zuständige Aufsichtsbehörde ist:

Wir setzen technische und organisatorische Sicherheitsmaßnahmen gemäß Art. 32 DSGVO ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder gegen den Zugriff unberechtigter Personen zu schützen. Unsere Sicherheitsmaßnahmen umfassen unter anderem:

• Verschlüsselte Datenübertragung mittels HTTPS/TLS
• Zugriffskontrolle auf Basis des Prinzips der geringsten Berechtigung
• Regelmäßige Sicherheitsupdates der eingesetzten Systeme
• Sichere Authentifizierung mit Passwort und einmaligem Bestätigungscode (OTP)

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unseres Dienstes anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Wir empfehlen Ihnen, diese Datenschutzerklärung regelmäßig zu prüfen.