Datenschutzerklärung

Stand dieser Erklärung: 9. August 2026.

Verantwortliche Stelle

ma-kom agentur UG (haftungsbeschränkt), gesetzlich vertreten durch den Geschäftsführer Pascal Sanwald, Merkelbach 12, 74541 Vellberg, Deutschland. Fragen zum Datenschutz beantworten wir unter mail@annexflow.com.

Zwecke und Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, wenn eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt. Im Einzelnen:

• Auslieferung und Betrieb der Website: technisch erforderliche Verarbeitung von Verbindungsdaten, um die Seite auszuliefern, Angriffe abzuwehren und Fehler zu finden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Auftritt).
• Registrierung, Vertrag, Nutzerkonto und Abrechnung: Anlegen und Führen des Kontos, Bereitstellung der gebuchten Leistung, Rechnungsstellung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen).
• Inhalte in deinem Workspace: Daten, die du oder deine Mitarbeitenden in die Plattform einbringen, verarbeiten wir ausschließlich weisungsgebunden für dich. Verantwortlicher bist dann du; Grundlage ist die Auftragsverarbeitungs-Vereinbarung nach Art. 28 DSGVO.
• Gesetzliche Aufbewahrungspflichten: Rechnungs- und Buchungsbelege. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.
• Reichweitenmessung und Web-Analyse: nur nach deiner Einwilligung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.
• Kontaktaufnahme: Bearbeitung deiner Anfrage per E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Vertragsbezug, sonst Art. 6 Abs. 1 lit. f DSGVO.

Hosting

AnnexFlow wird auf einer Plesk-Subscription betrieben, die die ma-kom agentur UG in Deutschland unterhält. Verarbeitung und Sicherung der Plattformdaten finden in Deutschland statt. Eine Übermittlung von Workspace-Inhalten in Drittländer findet nur statt, wenn du in deinem Workspace ausdrücklich Cloud-KI-Provider (z. B. Anthropic) freigibst — die eingesetzten Dienstleister stehen in der Subprozessorenliste.

Erhobene Daten

• Konto-Stammdaten: Name, E-Mail-Adresse, Rolle, zugeordneter Mandant.
• Audit-Trail: schreibende Aktionen in der Plattform mit Akteur, Zeitpunkt, Berechtigung sowie Ein- und Ausgabe. Er dient dem Nachweis nach Art. 30 DSGVO und der Missbrauchserkennung.
• Server-Logdaten: beim Aufruf der Seite fallen technisch bedingt Protokolldaten an (angefragte Adresse, Zeitpunkt, Statuscode, übertragene Datenmenge, Browser-Kennung, IP-Adresse). Sie werden im Rahmen der Log-Rotation des Hosting-Systems automatisch gelöscht.
• Einwilligungsnachweis: deine Cookie-Entscheidung wird zusammen mit Zeitpunkt, Browser-Kennung und der aufgerufenen Adresse protokolliert, damit wir die Einwilligung nach Art. 7 Abs. 1 DSGVO nachweisen können.

Cookies und Speicherung auf deinem Endgerät

Wir unterscheiden drei Kategorien. Nur die erste läuft ohne deine Einwilligung:

• Technisch notwendig: Login-Session, CSRF-Schutz, Zugangs-Gate. Ohne sie funktioniert die Anwendung nicht. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO.
• Funktional: Oberflächen-Einstellungen (z. B. gewählter Tarif-Filter). Nur mit Einwilligung.
• Statistik: Reichweitenmessung, siehe nächster Abschnitt. Nur mit Einwilligung.

Deine Entscheidung selbst speichern wir unter dem Schlüssel „annexflow_consent_v1" im lokalen Speicher deines Browsers. Sie bleibt dort, bis du sie änderst oder den Browser-Speicher löschst.

Reichweitenmessung und Web-Analyse

Auf den öffentlichen Seiten setzen wir drei Messverfahren ein. Alle drei starten erst, nachdem du in die Kategorie „Statistik" eingewilligt hast; ohne Einwilligung wird kein Analyse-Skript geladen und kein Analyse-Cookie gesetzt.

1. Eigene Reichweitenmessung

Seitenaufrufe und Klicks auf externe Links melden wir an unseren eigenen Endpunkt auf annexflow.com. Aus IP-Adresse, Browser-Kennung und einem täglich wechselnden Zufallswert bilden wir einen Einweg-Hash; IP-Adresse und Browser-Kennung selbst werden nicht gespeichert. Der Hash unterscheidet lediglich wiederholte Besuche innerhalb desselben Tages. Die täglichen Zufallswerte werden nach 30 Tagen gelöscht; danach lässt sich der Hash keiner IP-Adresse mehr zuordnen. Es verlassen keine Daten unsere eigene Infrastruktur.

2. Google Analytics 4

Wir setzen Google Analytics 4 mit der Mess-Kennung G-0E7F0C3PTZ ein. Das Skript wird von googletagmanager.com geladen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; sie kann sich zur Verarbeitung ihrer Muttergesellschaft Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, bedienen.

Verarbeitet werden dabei insbesondere: gekürzte IP-Adresse, Angaben zu Gerät, Browser und Betriebssystem, ungefährer Standort auf Länder- bzw. Regionsebene, aufgerufene Seiten, verweisende Seite sowie Zeitpunkt und Dauer der Nutzung. Zweck ist die statistische Auswertung der Nutzung unseres Angebots.

Rechtsgrundlage ist ausschließlich deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Wir setzen zusätzlich den Google-Einwilligungsmodus (Consent Mode v2) ein: Sämtliche Einwilligungssignale stehen vor deiner Entscheidung auf „denied", und das Google-Skript wird erst geladen, wenn du eingewilligt hast. Ohne Einwilligung findet weder eine Speicherung auf deinem Endgerät noch ein Aufruf von Google-Servern statt.

Soweit dabei personenbezogene Daten in die USA übermittelt werden, stützen wir die Übermittlung auf deine ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO. Ergänzend gelten die zwischen Google und uns geschlossenen Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914); Google LLC ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss gefasst hat. Wir weisen darauf hin, dass US-Behörden unter US-Recht Zugriff auf dort verarbeitete Daten nehmen können und dass ein den europäischen Standards vollständig entsprechender Rechtsschutz nicht in jedem Fall gewährleistet ist. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen — über die Cookie-Einstellungen.

3. Plausible Analytics (selbst betrieben)

Ergänzend läuft eine von uns selbst betriebene Plausible-Instanz unter analytics.annexflow.com. Sie zählt Seitenaufrufe ohne Cookies und ohne geräteübergreifende Wiedererkennung. Die Daten bleiben auf unserer eigenen Infrastruktur; eine Übermittlung an die Plausible Insights OÜ findet nicht statt. Auch dieses Skript laden wir erst nach deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Webfonts

Wir hosten alle Webfonts (Plus Jakarta Sans, IBM Plex Sans) selbst auf annexflow.com/fonts/…. Es findet keine Übertragung an Google Fonts, Bunny Fonts oder andere externe Anbieter statt.

Speicherdauer

• Konto- und Vertragsdaten: für die Dauer des Vertragsverhältnisses, danach bis zum Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen (bis zu zehn Jahre).
• Tägliche Zufallswerte der eigenen Reichweitenmessung: 30 Tage, danach automatische Löschung.
• Server-Logdaten: bis zur turnusmäßigen Rotation durch das Hosting-System.
• Einwilligungsnachweis: bis zum Widerruf und anschließend so lange, wie die Nachweispflicht nach Art. 7 Abs. 1 DSGVO reicht.
• Daten in Google Analytics: nach der im Google-Analytics-Konto hinterlegten Aufbewahrungseinstellung; Google löscht danach automatisiert.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) — die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Anfragen richtest du bitte an mail@annexflow.com.

Beschwerderecht bei der Aufsichtsbehörde

Unabhängig davon steht dir nach Art. 77 DSGVO ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Stuttgart (www.baden-wuerttemberg.datenschutz.de). Du kannst dich auch an die Aufsichtsbehörde deines Aufenthaltsorts oder Arbeitsplatzes wenden.

Auftragsverarbeitung (AVV)

Für die Verarbeitung deiner Workspace-Inhalte schließen wir mit dir eine Auftragsverarbeitungs-Vereinbarung nach Art. 28 DSGVO. Die Mustervorlage liegt in jedem Tarif bereit; auf Wunsch passen wir sie an deine Anforderungen an.

Empfänger und Subprozessoren

Wir setzen Subprozessoren nur ein, soweit es für die Leistungserbringung erforderlich ist. Die vollständige, jederzeit abrufbare Liste mit Sitz, Zweck, Datenkategorien, Drittlandbezug und Rechtsgrundlage findest du hier: Subprozessorenliste (JSON) · als Text · als PDF. Änderungen kündigen wir Mandanten mit Vorlauf an; Widerspruchs- und Kündigungsrechte ergeben sich aus der AVV.

AnnexFlow® ist eine eingetragene Wortmarke der ma-kom agentur UG.