Coreflow-Ai Routenplaner
‹ Zurück zur Anwendung

Datenschutzerklärung

Stand: 10. Oktober 2026 · gilt für den Coreflow-Ai Routenplaner (routenplaner.coreflow-ai.de)

1. Verantwortlicher

Coreflow-Ai UG (haftungsbeschränkt)
Tassilostraße 14, 94327 Bogen, Deutschland
E-Mail: team@coreflow-ai.de

2. Das Wichtigste in Kürze

3. Hosting (Vercel)

Die Anwendung wird bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet; dort laufen auch unsere Server-Funktionen (z. B. Adresssuche, Hotelsuche, Routenberechnung). Beim Aufruf verarbeitet Vercel technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Ressource) in Server-Logs. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit Vercel besteht ein Auftragsverarbeitungsvertrag; Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

4. Konto: Datenbank und Anmeldung (Supabase, Region Frankfurt)

Konto- und Anwendungsdaten liegen bei Supabase, betrieben auf Servern von Amazon Web Services in Frankfurt am Main (eu-central-1). Verarbeitet werden:

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Soweit wir Daten im Auftrag unserer Firmenkunden verarbeiten (z. B. deren Kundenstamm), handeln wir als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Der Zugriff ist durch mandantengetrennte Zugriffsregeln auf Datenbankebene (Row Level Security) abgesichert. Ein Konto entsteht auf genau zwei Wegen: durch die Einladung eines Firmen-Administrators oder durch den Abschluss eines Abonnements über unsere Preisseite — in beiden Fällen nur für die dabei angegebene E-Mail-Adresse. Mit Supabase besteht ein Auftragsverarbeitungsvertrag.

5. Kartendarstellung (OpenStreetMap-Daten)

Die Karte lädt ihre Kartendaten aus einem Objektspeicher, den wir bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in Deutschland nutzen — nicht von Servern der OpenStreetMap Foundation. Dabei wird Ihre IP-Adresse an diesen Speicher übertragen. Die Kartendaten stammen von den OpenStreetMap-Mitwirkenden (ODbL). Rechtsgrundlage ist unser berechtigtes Interesse an der Kartendarstellung als Kernfunktion der Anwendung (Art. 6 Abs. 1 lit. f DSGVO).

6. Adresssuche und Geokodierung

Einzelne Adressen (z. B. zur Festlegung des Heimatorts) werden über unsere eigenen Server an den Geokodierungsdienst der OpenCage GmbH (Pappelallee 78/79, 10437 Berlin — Details siehe folgender Absatz) weitergereicht. Die Anfrage wird mit dem Parameter no_record gestellt: OpenCage speichert den Inhalt der Anfrage dann nicht. Übermittelt wird nur die eingegebene Adresse bzw. die gewählte Koordinate — nicht Ihre IP-Adresse oder Kontodaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Beim erstmaligen Import eines Kundenstamms müssen viele Anschriften auf einmal in Koordinaten übersetzt werden. Dafür setzen wir die OpenCage GmbH, Pappelallee 78/79, 10437 Berlin (HRB 272249, Amtsgericht Berlin-Charlottenburg) ein. Die Verarbeitung findet ausschließlich in der EU statt (Server in Deutschland und Finnland); eine Übermittlung in ein Drittland findet nicht statt.

Übermittelt wird ausschließlich die Anschrift in der Form Straße, PLZ Ort — ohne Firmenname, ohne Kundennummer, ohne Kunden- oder Nutzerkennung und ohne Ihre IP-Adresse; die Anfrage stellt unser Server, nicht Ihr Browser. Der Dienstleister kann der Anfrage daher nicht entnehmen, zu wem die Anschrift gehört. Mit OpenCage besteht seit dem 16. August 2026 ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; sein Volltext ist öffentlich einsehbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Tourenplanung).

Ermittelte Zuordnungen von Anschrift zu Koordinate speichern wir zwischen, damit dieselbe Anschrift nicht wiederholt an den Dienstleister übermittelt werden muss. Dieser Zwischenspeicher enthält ausschließlich Anschrift und Koordinate — keine Namen, keine Kundennummern und keine Zuordnung zu einem Konto oder Unternehmen.

7. Hotelsuche und Routenberechnung

Für die Hotelsuche fragen unsere Server den Dienst „LiteAPI“ der Nuitée Travel Ltd (Dublin, Irland) mit den Zielkoordinaten und Reisedaten an; dabei werden weder Ihre IP-Adresse noch Namen oder Kontodaten übermittelt — nur Ortsangaben. Die Berechnung von Fahrstrecken erfolgt auf einem eigenen, von uns betriebenen Routing-Server in einem deutschen Rechenzentrum (Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, als Hosting-Auftragsverarbeiter); Koordinatenpaare verlassen unsere Systeme dafür nicht an externe Routing-Anbieter. Kartengrundlage sind Daten der OpenStreetMap-Mitwirkenden (ODbL). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. Bezahlung und Abonnement (Stripe)

Buchen Sie ein Abonnement, wickeln wir die Zahlung über Stripe ab. Unser Vertragspartner ist dafür die Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland — eine Gesellschaft irischen Rechts, eingetragen beim Companies Registration Office unter Nr. 513174.

Ihre Kartendaten erreichen unsere Server nie. Für die Bezahlung leiten wir Sie auf eine von Stripe betriebene Bezahlseite weiter. Kartennummer, Ablaufdatum und Prüfziffer geben Sie dort unmittelbar bei Stripe ein. Diese Daten werden weder an uns übertragen noch von uns gespeichert; welche Angaben wir stattdessen zurückerhalten, steht unten.

Auf der Bezahlseite verarbeitet Stripe:

Nicht abgefragt werden Telefonnummer und Lieferanschrift.

Von Stripe zurück erhalten wir ausschließlich E-Mail-Adresse, Name, Zahlungsstatus und eine Stripe-Kundenkennung. Damit legen wir Ihr Konto an und steuern die Laufzeit des Abonnements. Ihre Rechnungsanschrift und Ihre Zahlungsdaten speichern wir nicht — sie verbleiben bei Stripe.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), für die Betrugsprävention zusätzlich unser berechtigtes Interesse an einer missbrauchsfreien Abwicklung (Art. 6 Abs. 1 lit. f DSGVO) und für die Aufbewahrung der Zahlungsbelege die gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB).

Soweit Stripe Daten in unserem Auftrag verarbeitet, besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Für die eigentliche Zahlungsabwicklung, die Betrugsprävention und ihre aufsichts- und geldwäscherechtlichen Pflichten handelt Stripe als eigenständig Verantwortliche; insoweit gilt die Datenschutzerklärung von Stripe.

Stripe verarbeitet Daten auch in den USA. Die Übermittlung stützt sich auf die Zertifizierung der Stripe, LLC unter dem EU-US Data Privacy Framework — Grundlage ist der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 — und ergänzend auf die EU-Standardvertragsklauseln.

Weitere Informationen: Datenschutzerklärung von Stripe unter stripe.com/de/privacy, Auftragsverarbeitungsvertrag unter stripe.com/legal/dpa.

9. Übersicht der Auftragsverarbeiter (Subprozessoren)

Die folgenden Dienstleister sind an der Erbringung unserer Leistung beteiligt. Wir führen sie getrennt danach auf, ob sie personenbezogene Daten verarbeiten — denn nur dann ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO überhaupt erforderlich.

A — Verarbeiter personenbezogener Daten (mit Auftragsverarbeitungsvertrag)

B — Dienstleister ohne Personenbezug (kein Auftragsverarbeitungsvertrag erforderlich)

Ihre Daten werden in Rechenzentren innerhalb der EU verarbeitet (Frankfurt bzw. Falkenstein). Wo ein Dienstleister einem Drittland-Konzern gehört, gelten die EU-Standardvertragsklauseln. Alle Verarbeiter sind in dieser öffentlichen Subprozessor-Liste benannt; mit jedem Verarbeiter, der personenbezogene Daten verarbeitet, besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

10. Externe Links

Buchungs- und Kartenlinks (z. B. Booking.com, Google Maps, Hotel-Websites) öffnen externe Angebote in einem neuen Fenster. Ab dem Klick gilt die Datenschutzerklärung des jeweiligen Anbieters. Wir übermitteln dabei keine personenbezogenen Daten; die Links enthalten lediglich Ortsangaben und Reisedaten.

11. Cookies und lokale Speicherung

Wir verwenden keine Cookies zu Werbe- oder Analysezwecken. Die Anwendung nutzt die lokale Speicherung Ihres Browsers (localStorage und sessionStorage) für Funktionsdaten:

Alle diese Daten lassen sich durch Löschen der Website-Daten in Ihrem Browser jederzeit entfernen.

12. Speicherdauer und Löschung

Konto- und Anwendungsdaten speichern wir für die Dauer des Vertrags. Nach Vertragsende sperren wir den Zugang; dasselbe gilt, wenn eine fällige Zahlung dauerhaft ausbleibt. Coreflow löscht die Mandantendaten vollständig 30 Tage nach der Sperre. Sichern Sie Belege und Berichte bitte vor dem Vertragsende über den Export. Auf berechtigte Anfrage löschen wir früher.

Von der Datenbank wird täglich eine Sicherung erstellt. Hochgeladene Dateien (z. B. Bilder von Belegen) sind darin nicht enthalten. In bereits erstellten Sicherungen können gelöschte Daten noch enthalten sein.

13. Ihre Rechte

Wenden Sie sich dazu formlos an team@coreflow-ai.de. Ist Ihr Arbeitgeber unser Firmenkunde und betrifft Ihr Anliegen dessen Datenbestand, stimmen wir uns mit diesem als Verantwortlichem ab.

14. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt. Die Routen- und Besuchsvorschläge der Anwendung sind Arbeitshilfen ohne rechtliche Wirkung für Sie.

15. Änderungen

Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.