Datenschutzerklärung

1. Verantwortlicher

Valerio Antonelli, Handjerystr. 84, 12159 Berlin, E-Mail: support@cueflow.de.

2. Erhobene Daten & Zwecke

Pflichtangaben sind nur die Kontodaten bei der Registrierung; ohne sie können wir kein Konto anlegen. Alle anderen Angaben machst du freiwillig. Fehlen sie, stehen einzelne Funktionen nicht zur Verfügung (zum Beispiel braucht das Abzeichen „Verifiziert“ ein Profilfoto, und Angaben wie Anschrift und Steuernummer brauchst du nur, wenn du Rechnungen erstellst).

• •Kontodaten (Pflichtangaben): Vor- und Nachname, E-Mail-Adresse, Passwort (gespeichert nur als bcrypt-Hash), Rolle (Freelancer oder Unternehmen), bei Unternehmen der Firmenname, dazu Sprache und Zeitzone – zur Bereitstellung des Kontos (Art. 6 Abs. 1 lit. b DSGVO). Zu jeder Anmeldesitzung speichern wir IP-Adresse und Gerät, damit du deine aktiven Sitzungen sehen und andere Geräte abmelden kannst (Art. 6 Abs. 1 lit. f DSGVO).
• •Profil, Profilfoto und Telefonnummer (freiwillig): Profilfoto, Beschreibung, Fähigkeiten, Ort, Preise, Portfolio, Hörproben und Telefonnummer gibst du freiwillig an. Ein öffentliches Freelancer- oder Unternehmensprofil ist für alle im Internet sichtbar und kann von Suchmaschinen gefunden werden; E-Mail-Adresse und Telefonnummer zeigen wir dort nicht. Hochgeladene Fotos und Dateien liegen in unserem Dateispeicher bei DigitalOcean in Frankfurt (Art. 6 Abs. 1 lit. b DSGVO).
• •Buchungsdaten und Weitergabe an die andere Seite: Termin, Ort, Leistung, Preis, Notizen und der Verlauf der Buchung – zur Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO). Schon ab der Anfrage sieht die andere Seite der Buchung die dafür nötigen Daten: Name, Profilfoto, E-Mail-Adresse und, falls angegeben, Telefonnummer, beim Unternehmen außerdem Anschrift und Hinweise zu Zugang und Parken. Eigene Notizen einer Seite sieht die andere Seite nicht.
• •Nachrichten und Dokumente: Nachrichten, Dateianhänge, Verträge, Callsheets und andere Dokumente, die du in CueFlow schreibst oder hochlädst. Sie sehen nur die Beteiligten der jeweiligen Unterhaltung oder Buchung. Hochgeladene Dateien prüfen wir auf unserem eigenen Server auf Viren (Art. 6 Abs. 1 lit. b DSGVO).
• •Rechnungen: Rechnungen, die Freelancer mit CueFlow erstellen, enthalten Namen, Anschriften und Steuerangaben beider Seiten und, falls angegeben, die Bankverbindung des Freelancers. CueFlow speichert sie und stellt sie dem Empfänger bereit (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen und Buchungsbelege bewahren wir auf, weil das Gesetz es verlangt (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB; Fristen in Abschnitt 3).
• •Zahlungsdaten: Für bezahlte Tarife: Tarif, Abrechnungsperiode, Beträge, Zahlungsstatus und die Kennung des Abos bei PayPal. Bezahlt wird bei PayPal; Konto- oder Kartendaten erhalten wir nicht (Art. 6 Abs. 1 lit. b DSGVO, für unsere Rechnungen Art. 6 Abs. 1 lit. c DSGVO).
• •Server-Protokolle: Beim Aufruf der Seiten verarbeitet unser Server IP-Adresse, aufgerufene Adresse, Zeitpunkt und Browser-Kennung, um die Seiten auszuliefern, Angriffe abzuwehren und Fehler zu finden (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer siehe Abschnitt 3.
• •Cookies und lokaler Speicher: Ohne Einwilligung nur, was technisch unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG); Statistik nur mit Einwilligung. Die Liste steht in Abschnitt 4c.
• •Anmeldung mit Google (optional): Meldest du dich mit Google an, bekommen wir von Google deinen Namen, deine E-Mail-Adresse, die Information, ob sie bestätigt ist, deine Google-Kennung und die Adresse deines Google-Profilbilds; bei einem neuen Konto wird dieses Bild dein Profilfoto und von Google-Servern geladen. Die Zugangsschlüssel von Google speichern wir verschlüsselt. Google erfährt dabei, dass du dich bei CueFlow anmeldest (Art. 6 Abs. 1 lit. b DSGVO).
• •Kalender-Anbindung (optional): Verbindest du einen Kalender, übernehmen wir deine belegten Zeiten, damit dich niemand dann bucht. Was wir genau lesen und speichern, steht in Abschnitt 4b.
• •Karten und Adresssuche (Google Maps, nur wenn eingerichtet): Auf Seiten im angemeldeten Bereich, die eine Karte oder ein Adressfeld mit Vorschlägen zeigen (Freelancer-Suche mit Karte, Buchungsdetails, neue Buchung, Anfahrt, Studio-Zugang), lädt dein Browser die Google Maps Platform von Google Ireland Limited. Dabei erhält Google deine IP-Adresse, die eingegebenen Suchbegriffe und den gezeigten Kartenausschnitt; auf anderen Seiten wird nichts von Google Maps geladen. Für die Umkreissuche und für Fahrzeiten und Routen sendet unser Server Ortsnamen, Adressen oder Koordinaten an Google, ohne deine IP-Adresse (Art. 6 Abs. 1 lit. b und f DSGVO).
• •Apps und Push-Mitteilungen: Die CueFlow-Apps für iOS und Android nutzen dasselbe Konto und dieselben Daten wie die Website. Erlaubst du in der App Push-Mitteilungen, speichern wir die Push-Kennung deines Geräts und senden Titel und Text der Mitteilung (zum Beispiel zu einer Buchung) über den Apple Push Notification Service (Apple Distribution International Ltd.) beziehungsweise Firebase Cloud Messaging (Google Ireland Limited) an dein Gerät. Die Erlaubnis erteilst und widerrufst du in den Einstellungen deines Geräts. Im Browser bietet CueFlow derzeit keine Push-Mitteilungen an (Art. 6 Abs. 1 lit. a und b DSGVO, § 25 Abs. 1 TDDDG).
• •Nutzungsstatistik (nur mit Einwilligung): Google Analytics 4 und Plausible, nur wenn du im Cookie-Banner „Statistik erlauben“ wählst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); jederzeit widerrufbar über die Cookie-Einstellungen. Einzelheiten in Abschnitt 4a.
• •Fehlerüberwachung (Sentry, nur wenn aktiviert): Ist die Fehlerüberwachung aktiviert, senden Website, Server und Apps bei Fehlern technische Angaben (Fehlermeldung, aufgerufene Seite, Browser, Gerät, Betriebssystem) und bei einem Teil der Seitenaufrufe Ladezeiten an Sentry. Zugangsdaten und Cookies werden vorher entfernt. Die Website zeichnet außerdem bei etwa 5 % der Besuche und bei Besuchen mit einem Fehler den Ablauf der Sitzung auf; alle Texte sind dabei maskiert, Bilder und Medien blockiert (Art. 6 Abs. 1 lit. f DSGVO).
• •Support-Anfragen und Feedback: Was du über das Support- oder das Feedback-Formular schickst (Name, E-Mail-Adresse, Betreff und Nachricht, bei Feedback auch die Seite und deine Rolle), speichern wir, um dir zu antworten und CueFlow zu verbessern. Ist es eingerichtet, erscheint die Anfrage außerdem in einem internen Discord-Kanal unseres Supports (Art. 6 Abs. 1 lit. b und f DSGVO).
• •Nachrichten über WhatsApp (optional, nur wenn aktiviert): Nur wenn die Funktion aktiviert ist und du eingewilligt hast, senden wir Buchungsnachrichten über die WhatsApp Business Plattform von Meta. Dafür werden deine Telefonnummer und der Nachrichtentext an Meta übermittelt (Art. 6 Abs. 1 lit. a DSGVO); die Einwilligung kannst du unter Einstellungen → Meine Daten jederzeit widerrufen.
• •Benachrichtigungen an Discord (optional): Hinterlegst du in den Einstellungen eine Discord-Webhook-Adresse, senden wir Benachrichtigungen (z. B. zu Buchungen) an diese Adresse bei Discord (Art. 6 Abs. 1 lit. b DSGVO).
• •Hörproben und SoundCloud: Hörproben, die ein Profil von einer fremden Adresse einbindet, lädt dein Browser erst beim Abspielen von dort. Einen SoundCloud-Player laden wir erst, wenn du auf „SoundCloud-Player laden“ tippst; dann erhält SoundCloud deine IP-Adresse und kann eigene Cookies setzen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

3. Speicherdauer

Wir speichern personenbezogene Daten, solange du dein Konto nutzt und solange sie für den jeweiligen Zweck nötig sind. Danach löschen oder anonymisieren wir sie, soweit keine gesetzliche Aufbewahrungspflicht besteht (Art. 17 Abs. 3 lit. b DSGVO). Im Einzelnen:

• Konto: Beantragst du die Löschung, sperren wir das Konto sofort und löschen oder anonymisieren deine Angaben nach 30 Tagen, sobald keine Buchung mehr läuft und keine Rechnung offen ist (siehe Datenlöschung).
• Rechnungen und andere Buchungsbelege: 8 Jahre (§ 147 Abs. 1 Nr. 4 und Abs. 3 AO, § 257 Abs. 1 Nr. 4 und Abs. 4 HGB in der seit 2025 geltenden Fassung).
• Handelsbücher, Inventare, Jahresabschlüsse und Lageberichte: 10 Jahre.
• Empfangene und versandte Handels- und Geschäftsbriefe (zum Beispiel E-Mails zu einem Vertrag): 6 Jahre. Die Fristen beginnen jeweils mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.
• Bei einer Kontolöschung bleiben deshalb Buchungen, Rechnungen (mit den darauf stehenden Namen und Anschriften) und Prüfprotokolle erhalten; alle anderen Konto- und Profildaten werden gelöscht oder anonymisiert. Eine automatische Löschung dieser Unterlagen nach Ablauf der Fristen ist noch nicht eingerichtet; bis dahin bleiben sie auch danach gespeichert.
• Belegte Zeiten und Termine aus verbundenen Kalendern: bis du die Verbindung trennst oder dein Konto löschst.
• Abgemeldete Anmeldesitzungen mit IP-Adresse und Gerät: 90 Tage nach der Abmeldung.
• Server-Protokolle: nur so lange, wie wir sie für Sicherheit und Fehlersuche brauchen. Eine feste technische Löschfrist dafür ist noch nicht eingerichtet.
• Sicherungskopien der Datenbank: Vor jedem Update entsteht eine; auf dem Server behalten wir die 14 neuesten. Gelöschte Daten können in diesen Kopien und, falls eingerichtet, in der externen Kopie enthalten bleiben, bis sie durch neuere ersetzt werden.

4. Empfänger und Dienstleister

Bei CueFlow sehen deine Daten nur die Personen, die sie für Betrieb und Support brauchen, und im Rahmen einer Buchung die andere Seite (Abschnitt 2). Daneben setzen wir die folgenden Dienstleister ein. Wo Daten in die USA übermittelt werden, stützen wir das auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023), soweit der Empfänger danach zertifiziert ist, und zusätzlich auf Standardvertragsklauseln der EU-Kommission.

• DigitalOcean, LLC (USA): Server, Datenbank, Dateispeicher (Spaces) und Sicherungskopien im Rechenzentrum Frankfurt am Main. Ist eine externe Sicherungskopie eingerichtet, liegt sie verschlüsselt in einem weiteren DigitalOcean-Spaces-Speicher in der EU. Auftragsverarbeitung (Art. 28 DSGVO); weil DigitalOcean ein US-Unternehmen ist, zusätzlich Standardvertragsklauseln.
• E-Mail-Versand: E-Mails von CueFlow (zum Beispiel Bestätigungen, Buchungs- und Rechnungsmails) verschicken wir über unseren eigenen Mailserver auf unserem Server bei DigitalOcean in Frankfurt; ein weiterer Versanddienst ist nicht beteiligt.
• PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg: Zahlungsabwicklung der bezahlten Tarife. PayPal verarbeitet die Zahlungsdaten in eigener Verantwortung nach seiner eigenen Datenschutzerklärung.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (Google LLC, USA): Anmeldung mit Google, Google-Kalender-Anbindung, Karten und Adresssuche, Push-Mitteilungen auf Android (Firebase Cloud Messaging) und, nur mit Einwilligung, Google Analytics (Abschnitte 2, 4a und 4b).
• Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland: Nur wenn du einen Outlook- oder Microsoft-365-Kalender verbindest (Abschnitt 4b).
• Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Ireland: Push-Mitteilungen an iPhone und iPad (Apple Push Notification Service) und, wenn du einen iCloud-Kalender verbindest, dessen Abruf (Abschnitt 4b).
• Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland: Nutzungsstatistik, nur mit Einwilligung (Abschnitt 4a).
• Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA: Fehlerüberwachung, nur wenn aktiviert (Abschnitt 2).
• Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland: Nachrichten über die WhatsApp Business Plattform, nur wenn diese Funktion aktiviert ist und du eingewilligt hast.
• Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA: Benachrichtigungen an eine Discord-Webhook-Adresse, die du selbst hinterlegst. Außerdem, wenn eingerichtet, interne Meldungen an unser Team: Support-Anfragen und Feedback (mit Name, E-Mail-Adresse und Nachricht) sowie technische Störungsmeldungen, die interne Kennungen (zum Beispiel eines Abos oder einer Zahlung) und Fehlermeldungen enthalten können.
• SoundCloud Global Limited & Co. KG, Berlin: Eingebetteter Player für Hörproben, erst nach deinem Tippen (Abschnitt 2).
• 650 Industries, Inc. (Expo), USA: Aktualisierungen der Apps, nur wenn aktiviert: Die Apps fragen dabei bei Expo nach neuen Versionen; Expo erhält dabei die IP-Adresse und Angaben zur App-Version.

4a. Nutzungsstatistik (Google Analytics und Plausible)

Nur wenn du im Cookie-Banner „Statistik erlauben“ wählst, laden wir Google Analytics 4 und Plausible. Vorher und nach „Nur notwendige“ wird von beiden nichts geladen.

Google Analytics 4

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft Google LLC, USA). Google Analytics setzt Cookies mit pseudonymen Kennungen (_ga und _ga_…, Laufzeit bis zu 2 Jahre) und erfasst damit aufgerufene Seiten (ihre Adresse), Zeitpunkt, Herkunftsseite, Angaben zu Gerät und Browser (zum Beispiel Typ, Betriebssystem, Bildschirmgröße, Sprache) und den ungefähren Standort, den Google aus der IP-Adresse ableitet. Nach Angaben von Google werden IP-Adressen in Google Analytics 4 weder protokolliert noch gespeichert. Ereignisdaten werden nach 2 Monaten gelöscht, nutzerbezogene Daten nach 14 Monaten (Einstellung in unserem Google-Analytics-Konto). Wir nutzen Google Analytics nur zur eigenen Reichweitenmessung, nicht für Werbung: Werbe-Speicher, Werbesignale und Google Signals sind abgeschaltet.

• Rechtsgrundlage: Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). Ohne Einwilligung werden keine Analyse-Daten auf deinem Gerät gespeichert.
• Widerruf: Jederzeit mit Wirkung für die Zukunft: Öffne die Cookie-Einstellungen (den Link findest du auch in der Fußzeile der Website und im Menü des angemeldeten Bereichs) und wähle „Nur notwendige“, oder schalte die Statistik in den Einstellungen unter „Meine Daten“ aus. Bereits gesetzte Analyse-Cookies kannst du zusätzlich in deinem Browser löschen.
• Datenübermittlung in die USA: Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023); zusätzlich gelten Standardvertragsklauseln der EU-Kommission.
• Widerspruch (Opt-out): Du kannst der Datenerhebung außerdem mit dem Google Analytics Opt-out Browser-Add-on widersprechen.
• Datenschutzerklärung von Google: policies.google.com/privacy

Plausible

Anbieter ist Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland. Plausible setzt keine Cookies und erfasst aufgerufene Seiten, Herkunftsseite, Browser, Betriebssystem, Gerätetyp und das Land. Nach Angaben von Plausible wird die IP-Adresse nicht gespeichert und die Daten werden in der EU verarbeitet. Rechtsgrundlage und Widerruf wie bei Google Analytics.

4b. Kalender-Anbindung

Google Kalender

Outlook, iCloud und Kalender-Links

4c. Cookies und lokaler Speicher

Ohne deine Einwilligung speichern wir auf deinem Gerät nur, was für den von dir gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG; Rechtsgrundlage für die damit verbundene Verarbeitung: Art. 6 Abs. 1 lit. b und f DSGVO):

• cf_at, cf_refresh und cf_session (im Kundenbereich cf_client_session): deine Anmeldung; der Zugangsschlüssel gilt bis zu 4 Stunden, die Anmeldung bis zu 30 Tage.
• cf_csrf: Schutz vor gefälschten Anfragen (CSRF), bis zu 4 Stunden.
• cf_signed_in (bis zu 30 Tage) und cf_no_session (bis zum Schließen des Browsers): ob du angemeldet bist, damit die Seite ohne Umweg lädt.
• cf_oauth_state: sichert die Anmeldung mit Google ab, nur während der Anmeldung.
• cf_deletion_grant: erlaubt nach einem Löschantrag, die Löschung abzubrechen.
• cueflow_locale: die von dir gewählte Sprache, 1 Jahr.
• Im lokalen Speicher des Browsers: deine Auswahl im Cookie-Banner, dein Design (hell oder dunkel), ausgeblendete Hinweise und technische Merker für Updates und die Push-Anmeldung der Apps.
• Nur mit deiner Einwilligung: die Cookies von Google Analytics (_ga, _ga_…, Abschnitt 4a).

4d. E-Mails von CueFlow: Erinnerungen, Tipps und Neuigkeiten

5. Deine Rechte

Du hast das Recht auf:

• • Auskunft (Art. 15 DSGVO)
• • Berichtigung (Art. 16 DSGVO)
• • Löschung (Art. 17 DSGVO)
• • Einschränkung der Verarbeitung (Art. 18 DSGVO)
• • Datenübertragbarkeit (Art. 20 DSGVO)
• • Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• • Widerruf jeder Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO): Statistik über die Cookie-Einstellungen, WhatsApp und andere Einwilligungen unter Einstellungen → Meine Daten, Tipps und Neuigkeiten per E-Mail unter Einstellungen → Benachrichtigungen oder über den Link in jeder dieser E-Mails, Push-Mitteilungen in den Einstellungen deines Geräts
• • Beschwerde bei einer Datenschutz-Aufsichtsbehörde, zum Beispiel bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit

Schreib uns dafür an support@cueflow.de. Eine Kopie deiner Daten und die Löschung deines Kontos bekommst du auch direkt in den Einstellungen unter „Meine Daten“.