W flow LEGAL ← Zurück zur App
DeutschEnglishРусский

Datenschutzerklärung

Stand: october 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website ist:

Egor Iskhakov
Essenheimer str 131
Mainz 55128
Germany

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie mich unter: main@w-flow.tech

Diese Website (w-flow.tech) wird von mir selbst betrieben. Soweit Dienste Dritter eingebunden sind (siehe die folgenden Abschnitte), werden diese ausdrücklich benannt.

2. Hosting / VPS

Diese Anwendung läuft auf einem eigenen Server (Virtual Private Server, VPS) bzw. — bei einer selbst installierten Kopie — auf dem Rechner oder Server des jeweiligen Betreibers. Der von mir eingesetzte Hosting-Anbieter ist:

STRATO GmbH
Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland
Deutschland

Der Hosting-Anbieter stellt Rechenleistung, Speicher und Netzwerkzugang bereit und verarbeitet dabei technisch notwendige Verbindungsdaten (insbesondere IP-Adresse, Zeitpunkt der Anfrage). Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Zweck: Bereitstellung und Betrieb dieser Website.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

3. Cloudflare

Diese Website wird über das Netzwerk von Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA) bereitgestellt und abgesichert. Cloudflare übernimmt als Reverse-Proxy DNS-Auflösung, TLS-Verschlüsselung und Schutz vor Angriffen (u. a. DDoS-Schutz, Web Application Firewall).

Bei jeder Anfrage verarbeitet Cloudflare die technisch notwendigen Verbindungsdaten, insbesondere die IP-Adresse, Zeitpunkt, angeforderte URL, Browser- und Betriebssystemangaben sowie Sicherheits-Metadaten. Diese Daten werden für den Betrieb, die Sicherheit und die Analyse von Angriffen verwendet.

Zweck: sichere, schnelle und ausfallsichere Auslieferung der Website.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Verfügbarkeit).
Auftragsverarbeitung: mit Cloudflare besteht ein Vertrag nach Art. 28 DSGVO.

4. Datenbank und Dateien

Benutzerkonten, Sitzungen, Workflows, Ausführungsprotokolle, Einstellungen und verschlüsselte Zugangsdaten werden in einer Datenbank gespeichert. Standardmäßig ist dies eine SQLite-Datei auf demselben Server; alternativ kann eine PostgreSQL-Datenbank eingesetzt werden — bei einer selbst installierten Kopie auf Wunsch auf einem eigenen Server.

Dateien, die Sie hochladen oder die Ihre Workflows schreiben („Meine Dateien“), liegen in einem eigenen Ordner Ihres Kontos auf demselben Server und sind nur für Ihr Konto zugänglich.

Zugangsdaten und Geheimnisse (z. B. API-Schlüssel) werden verschlüsselt gespeichert (AES-256-GCM); Passwörter werden ausschließlich als Hash hinterlegt. Der Betreiber der Datenbank hat keinen Zugriff auf entschlüsselte Geheimnisse ohne den Schlüssel der Installation.

SQLite-Datenbank auf dem eigenen STRATO-Server in Deutschland

Zweck: Speicherung und Bereitstellung Ihrer Daten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrung) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Betriebs).

5. Registrierung (Nutzerkonto)

Für die Nutzung des Workflow-Builders ist eine Registrierung erforderlich. Dabei werden folgende Daten erhoben:

Die Angabe dieser Daten ist für die Nutzung erforderlich; ohne sie kann kein Konto angelegt werden.

Zweck: Bereitstellung des Nutzerkontos, Zuordnung Ihrer Workflows und Agenten, Missbrauchsprävention.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsprävention).
Speicherdauer: bis zur Löschung des Kontos (siehe Ziffer 10 und 11).

6. Login / Authentifizierung

Zur Anmeldung verwende ich einen sicheren Server-Vorgang: Ihr Passwort wird mit einem Salz-Verfahren (scrypt) geprüft; gespeichert wird nur der Hash. Nach erfolgreicher Anmeldung wird eine Sitzung erstellt und technisch als Sitzungs-Cookie gesetzt (ein technisch notwendiges Session-Cookie (HttpOnly) sowie die lokale Speicherung Ihrer Cookie-Auswahl).

Das Sitzungs-Cookie wird ausschließlich dazu genutzt, den Anmeldestatus aufrechtzuerhalten. Optional können Google- oder GitHub-Login (OAuth) genutzt werden; dabei werden nur die für die Anmeldung erforderlichen Angaben (Anbieter, Kennung, E-Mail) verarbeitet.

Für die Passwort-Zurücksetzung und zur Bestätigung der E-Mail-Adresse werden Einmal-Tokens erzeugt, die nach kurzer Zeit ungültig werden.

Zweck: Authentifizierung und Aufrechterhaltung der Sitzung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).
Speicherdauer: 14 Tage bzw. bis zur Abmeldung

6a. Verbundene Konten (Google und andere Dienste)

In Workflow-Nodes können Sie ein Konto eines Drittanbieters verbinden, etwa Google (Gmail, Google Drive, Google Sheets, Google Kalender, Google Docs), Microsoft, GitHub, Slack oder Notion. Dabei melden Sie sich direkt beim jeweiligen Anbieter an und erteilen W flow dort eine Berechtigung (OAuth). Ihr Passwort für diesen Dienst erhalte ich dabei nie.

Gespeichert werden ausschließlich:

Ein Telegram-Konto verbinden Sie stattdessen mit Ihrer Telefonnummer: Die Nummer wird nur an Telegram übermittelt, um den Anmeldecode zu senden. Gespeichert wird danach ausschließlich die Telegram-Sitzung, ebenfalls verschlüsselt.

Verwendung: Die Daten Ihres verbundenen Kontos werden ausschließlich verwendet, um die Aktionen auszuführen, die Sie selbst in Ihren Workflows festlegen — zum Beispiel eine E-Mail über Gmail senden, eine Zeile in Google Sheets schreiben oder einen Kalendereintrag anlegen — und nur, während ein Workflow läuft. Inhalte aus Ihren Konten werden nur im Rahmen dieser Ausführung verarbeitet und, wie jedes Ausführungsergebnis, im Ausführungsprotokoll Ihres eigenen Kontos gespeichert. Sie werden nur an Dienste weitergegeben, die Sie selbst in demselben Workflow konfigurieren.

KI-Anbieter: Für KI-Nodes, Agenten und den KI-Workflow-Builder hinterlegen Sie Ihren eigenen API-Schlüssel eines KI-Anbieters (z. B. Anthropic, OpenAI, Google). Ihre Eingaben werden direkt an den von Ihnen gewählten Anbieter gesendet und dort nach dessen Datenschutzbestimmungen verarbeitet.

Workflows übermitteln nur die Daten, die Sie selbst in einem Knoten konfigurieren, an den dort gewählten Dienst (z. B. KI-Anbieter, E-Mail-, Chat- oder Cloud-Dienste). Diese Übermittlung erfolgt in Ihrem Auftrag.

Ich verkaufe diese Daten nicht, gebe sie nicht zu Werbezwecken weiter, verwende sie nicht für Werbung und nicht zum Trainieren von KI-Modellen. Eine Einsicht durch Menschen findet nur statt, wenn Sie ausdrücklich zustimmen (z. B. für eine Support-Anfrage), wenn es zur Sicherheit oder zur Aufklärung von Missbrauch erforderlich ist oder wenn das Gesetz es verlangt.

Google-Nutzerdaten: Die Nutzung und Übertragung von Informationen, die W flow über Google-APIs erhält, an andere Apps erfolgt gemäß der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use“). Im Original: „W flow's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.“

Widerruf: Sie können eine Verbindung jederzeit trennen — in W flow unter „Credentials“ (die gespeicherten Tokens werden dabei gelöscht) und zusätzlich in den Kontoeinstellungen des Anbieters, bei Google unter myaccount.google.com/permissions.

Zweck: Ausführung der von Ihnen erstellten Workflows mit Ihren eigenen Konten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung beim Verbinden des Kontos).
Speicherdauer: bis Sie die Verbindung trennen oder Ihr Konto löschen.

7. Bestätigungs-E-Mails

Wenn Sie ein Konto anlegen, Ihr Passwort zurücksetzen oder Ihre E-Mail-Adresse bestätigen, sendet der Server eine E-Mail an Ihre hinterlegte Adresse. Die Nachricht enthält einen einmaligen Link bzw. Code.

Für den Versand nutze ich einen E-Mail-Dienstleister bzw. meinen eigenen SMTP-Server. Übermittelt werden Ihre E-Mail-Adresse, der Versandzeitpunkt und technische Metadaten des Mailservers.

checkdomain GmbH (E-Mail-Postfach der Domain w-flow.tech)

Zweck: Bestätigung der E-Mail-Adresse, Kontosicherheit, Passwort-Zurücksetzung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Kontos).
Auftragsverarbeitung: mit dem eingesetzten Versanddienstleister besteht ein Vertrag nach Art. 28 DSGVO.

7a. Bezahlung und Lizenzen (Stripe)

Die Nutzung von W flow ist im kostenlosen Tarif ohne Zahlungsdaten möglich. Wenn Sie einen kostenpflichtigen Tarif (Pro oder Team) buchen, wickelt Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, die Zahlung ab. Ihre Zahlungsdaten (z. B. Kartennummer) geben Sie direkt bei Stripe ein; ich erhalte sie nicht.

Bei mir gespeichert werden nur: die Stripe-Kunden- und Abonnement-Kennung, Ihr Tarif, der Status und die Laufzeit des Abonnements sowie — für eine selbst installierte Kopie — Ihr Lizenzschlüssel. Bei einer Anfrage für den Team-Tarif zusätzlich die gewünschte Zahl der Konten, ein optionaler Firmenname und Ihre Nachricht.

Lizenzprüfung: Eine selbst installierte Kopie fragt regelmäßig bei w-flow.tech nach, ob ihr Lizenzschlüssel gültig ist. Dabei wird nur der Schlüssel übertragen (und technisch bedingt die IP-Adresse der Kopie); Konten, Workflows, Ausführungen oder Zugangsdaten der Kopie erreichen mich nicht.

Weitere Informationen zum Datenschutz bei Stripe: stripe.com/de/privacy.

Zweck: Abwicklung des Abonnements, Freischaltung des Tarifs, Lizenzprüfung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrung).
Speicherdauer: bis zum Ende des Abonnements; Rechnungsdaten bis zu 10 Jahre (§ 147 AO, § 257 HGB).

8. IP-Adressen / Server-Logs

Bei jedem Aufruf der Website und jeder Ausführung über die API erfasst der Server automatisiert technische Zugriffsdaten:

Diese Daten dienen der Sicherstellung eines störungsfreien Betriebs, der Fehleranalyse und der Abwehr von Angriffen. Eine Zusammenführung mit anderen Datenquellen oder eine Auswertung zu Marketingzwecken findet nicht statt.

Zweck: Betriebssicherheit, Fehleranalyse, Missbrauchs- und Angriffserkennung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

9. Cookies / lokaler Speicher

Diese Website verwendet technisch notwendige Cookies und den lokalen Speicher (localStorage) Ihres Browsers. Konkret:

Beim ersten Besuch frage ich mit einem Hinweis-Banner, ob Sie neben den technisch notwendigen Cookies auch optionale Einstellungen zulassen. Ihre Entscheidung können Sie jederzeit in den Einstellungen ändern. Technisch notwendige Cookies sind für den Betrieb erforderlich und werden auf Grundlage von Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO gesetzt; optionale Speicherung erfolgt auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO bzw. § 25 Abs. 1 TDDDG.

Analyse-, Tracking- oder Werbe-Cookies werden nicht eingesetzt.

Speicherdauer: 14 Tage bzw. bis zur Abmeldung

10. Löschung von Daten

Sie können Ihr Konto jederzeit selbst löschen. Mit der Löschung werden das Konto, Ihre Workflows, Agenten, Zugangsdaten, Variablen, Daten-Tabellen, Dateien und die Ausführungsprotokolle entfernt. Veröffentlichte Vorlagen können Sie zusätzlich einzeln aus Ihrem Profil heraus löschen.

Ihr Konto können Sie löschen über: die Kontoeinstellungen (Einstellungen → Konto) oder eine formlose E-Mail. Alternativ genügt eine Nachricht an main@w-flow.tech; ich lösche die Daten dann unverzüglich, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Sofern gesetzliche Aufbewahrungspflichten bestehen (z. B. handels- oder steuerrechtliche Pflichten bei kostenpflichtigen Leistungen), werden die betroffenen Daten für die Dauer der Pflicht aufbewahrt und danach gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrung) und Art. 17 DSGVO (Recht auf Löschung).

11. Speicherdauer

Ich speichere personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Pflichten dies vorsehen:

Server-Logs: 7 Tage; automatische Datenbank-Sicherungen: 14 Tage; Konto-, Workflow- und Ausführungsdaten: bis zur Löschung des Kontos

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder so anonymisiert, dass eine Zuordnung zu Ihrer Person nicht mehr möglich ist.

12. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten stützt sich auf folgende Rechtsgrundlagen der DSGVO:

Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) findet nicht statt. Soweit Sie eigene Workflows betreiben, die personenbezogene Daten verarbeiten, sind Sie hierfür eigenverantwortlich; der Builder und die von Ihnen konfigurierten Dienste verarbeiten die Daten ausschließlich auf Ihre Veranlassung.

13. Rechte der Betroffenen

Ihnen stehen als betroffene Person folgende Rechte zu:

Zur Ausübung dieser Rechte genügt eine Nachricht an main@w-flow.tech. Ein Export aller Ihrer Daten ist zudem direkt in den Kontoeinstellungen verfügbar. Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren (siehe Ziffer 15).

14. Internationale Datenübermittlungen

Einige eingebundene Dienste können Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums verarbeiten, insbesondere in den USA (Cloudflare, Inc. und — bei kostenpflichtigen Tarifen — Stripe, Inc.). Eine Übermittlung erfolgt nur, soweit dies für den Betrieb erforderlich oder gesetzlich erlaubt ist.

Cloudflare und Stripe sind unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO) und ergänzend auf die EU-Standardvertragsklauseln (Art. 46 DSGVO).

Sie können eine Kopie der getroffenen Garantien anfordern unter main@w-flow.tech.

15. Aufsichtsbehörde / Beschwerderecht

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs haben Sie gemäß Art. 77 DSGVO das Recht, sich bei einer Aufsichtsbehörde zu beschweren — insbesondere bei der Behörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des vermuteten Verstoßes.

Etwaige Bedenken können Sie zuerst an mich richten; ich kümmere mich dann unverzüglich um Ihr Anliegen.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz

Weitere Maßnahmen: TLS-Verschlüsselung (HTTPS), verschlüsselt gespeicherte Zugangsdaten, Passwort-Hashing (scrypt), Firewall und tägliche Datensicherungen.