Datenschutzerklärung – FloziSurvey
Stand: 12. September 2026
1. Verantwortlicher
Flozify GmbH
Brühlstr. 3/1
75236 Kämpfelbach, Deutschland
Amtsgericht Mannheim, HRB 759143
E-Mail: service@flozify.com
Vertreten durch die Geschäftsführung: Colin Aydt
Weitere Angaben: Impressum
2. Rolle
Für die Verarbeitung personenbezogener Daten aus dem Shop eines Händlers ist der Händler der Verantwortliche; Flozify wird als Auftragsverarbeiter nach Art. 28 DSGVO tätig. Grundlage ist die Vereinbarung zur Auftragsverarbeitung (AVV), die mit der Installation der App geschlossen wird und dort jederzeit abrufbar ist.
3. Welche Daten verarbeitet werden
FloziSurvey zeigt nach dem Kauf eine Umfrage an und wertet die Antworten aus. Dafür werden folgende personenbezogene Daten aus dem Shopify-Shop verarbeitet:
| Datum | Zweck | Herkunft |
|---|---|---|
| Vor- und Nachname | Zuordnung und Anzeige der Antwort für den Händler, CSV-Export | Shopify-Webhooks orders/create, customers/create, customers/update |
| E-Mail-Adresse | Zuordnung der Antwort, CSV-Export, Übermittlung an vom Händler eingerichtete Marketing-Integration | dieselben |
| Lieferadresse | Länderbezogene Ausspielung von Umfragen (ausgewertet wird ausschließlich der Ländercode) | orders/create |
| Bestelldaten (Nummer, Betrag, Währung, Status, Positionen) | Zuordnung der Antwort zur Bestellung, Auswertung | orders/create, orders/paid |
| Umfrageantworten | Kernfunktion der App | Eingabe der Kundin bzw. des Kunden |
| IP-Adresse, User-Agent | Erkennung missbräuchlicher Mehrfachantworten | Antwort-Endpunkt |
| Kampagnenparameter (UTM-Werte aus dem Einstiegslink) | Zuordnung von Antworten und Bestellungen zu Marketingkampagnen (nur wenn der Händler das App-Embed „UTM-Attribution“ aktiviert hat) | Browser der Besucherin bzw. des Besuchers (lokaler Speicher), übertragen als versteckte Warenkorb-Attribute an die Shopify-Bestellung |
Nicht verarbeitet wird die Telefonnummer. Sie ist für die Funktion nicht erforderlich und wird bewusst nicht erhoben.
4. Zweckbindung
Die Daten werden ausschließlich zu den in Abschnitt 3 genannten Zwecken verarbeitet. Es findet kein Verkauf, keine Weitergabe zu eigenen Werbezwecken und keine Profilbildung mit rechtlicher Wirkung statt.
5. Einwilligung
Antworten werden nur dann an eine Marketing-Integration (Klaviyo) übermittelt, wenn die betroffene Person dem E-Mail-Marketing im Shop zugestimmt hat. Die Einwilligung wird aus Shopifys Feld email_marketing_consent übernommen; ein unbekannter Status gilt als fehlende Einwilligung.
Das optionale App-Embed „UTM-Attribution“ im Onlineshop des Händlers läuft nur, wenn die Besucherin bzw. der Besucher im Cookie-Banner des Shops der Analyse zugestimmt hat (Shopify Customer Privacy API). Es speichert ausschließlich die UTM-Parameter des Einstiegslinks für höchstens 90 Tage (Standard 30 Tage) im lokalen Speicher des Browsers und überträgt sie an den Shopify-Warenkorb des Shops. Es werden keine Dritten aufgerufen und keine Profile gebildet.
Weitere Integrationen (eigener Webhook, Google Sheets, n8n, API-Zugänge, MCP) sind keine Marketing-Kanäle, sondern vom Händler selbst konfigurierte Datenziele in seinem eigenen Verantwortungsbereich. Über Integrationen und die API werden keine Namen oder E-Mail-Adressen übertragen, sondern nur Antworten, Bestellnummern und Kennzahlen.
6. Empfänger und Auftragsverarbeiter
| Empfänger | Zweck | Ort |
|---|---|---|
| Supabase Pte. Ltd. (Singapur) | Datenbank und Backups | EU (Frankfurt, eu-central-1); Daten verbleiben in der EU, Vertrag mit EU-Standardvertragsklauseln |
| Vercel Inc. | Anwendungshosting (Backend-Funktionen und Datenbankzugriff) sowie Auslieferung der Admin-Oberfläche | Funktionsregion Frankfurt (fra1); Anbieter mit Sitz in den USA, Absicherung über EU-Standardvertragsklauseln |
| Klaviyo Inc. | Übermittlung von Umfrageantworten, nur bei erteilter Marketing-Einwilligung und vom Händler aktivierter Integration | USA; EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln |
| Anthropic Ireland, Limited (Dublin), Verarbeitung durch Anthropic, PBC (USA) | KI-gestützte Beantwortung im Support-Chat der Admin-Oberfläche; verarbeitet werden ausschließlich die vom Händler im Chat eingegebenen Nachrichten, keine Kundendaten aus dem Shop | USA; EU-Standardvertragsklauseln |
| Vom Händler konfigurierte Ziele (eigener Webhook, Google Sheets, n8n, API-Zugänge) | Empfang von Antworten, Bestellnummern und Kennzahlen ohne Namen und E-Mail-Adressen | im Verantwortungsbereich des Händlers |
Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses oder von EU-Standardvertragsklauseln.
6a. Support-Chat
In der Admin-Oberfläche steht ein Support-Chat zur Verfügung. Nachrichten, die Händler dort schreiben, werden zusammen mit der Shop-Domain und einer Nutzerkennung an den zentralen Support-Dienst von Flozify übermittelt (Datenbank: Supabase, EU) und zur automatischen Beantwortung an Anthropic Ireland, Limited weitergegeben (Verarbeitung in den USA auf Grundlage von EU-Standardvertragsklauseln). Auf Wunsch übernimmt das Support-Team von Flozify die Unterhaltung. Kundendaten aus dem Shop werden im Support-Chat nicht verarbeitet. Die Nutzung des Chats ist freiwillig; Anfragen sind alternativ per E-Mail möglich.
7. Speicherdauer
Personenbezogene Daten werden 730 Tage nach Erhebung gelöscht. Ein täglich laufender automatischer Prozess entfernt abgelaufene Kundendatensätze und anonymisiert ältere Antworten, indem Personenbezug, IP-Adresse und User-Agent entfernt werden. Der Händler kann eine kürzere Frist vereinbaren.
Bei Deinstallation der App werden sämtliche Daten des Shops nach Eingang des Shopify-Löschwebhooks entfernt.
8. Betroffenenrechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Anfragen richten Kundinnen und Kunden an den Händler; dieser leitet sie über Shopifys Datenschutz-Webhooks an uns weiter. Wir bearbeiten sie innerhalb der gesetzlichen Fristen. Direkter Kontakt: service@flozify.com.
Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.
9. Sicherheit
Verschlüsselung im Ruhezustand und bei der Übertragung, verschlüsselte Backups, Trennung von Test- und Produktionsdaten, protokollierter Zugriff auf personenbezogene Daten (Zugriffsprotokoll), beschränkter Mitarbeiterzugriff mit Zwei-Faktor-Authentifizierung.
10. Änderungen
Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Die jeweils gültige Fassung ist unter dieser URL abrufbar.