Datenschutzerklärung — Kunden-Onboarding

Stand: 11. Juli 2026 · Diese Erklärung informiert Sie nach Art. 13 und 14 DSGVO über die Verarbeitung personenbezogener Daten im Rahmen des Kunden-Onboardings (Antrag auf Eröffnung eines Kundenkontos) der D Flow Global GmbH.

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der DSGVO ist:

• D Flow Global GmbH, Martener Str. 328, 44379 Dortmund, Deutschland
• Vertreten durch den Geschäftsführer: Dale Galloway
• E-Mail: onboarding@dflowglobal.de
• Amtsgericht Dortmund, HRB 38367 · USt-IdNr. DE462103733

Ein Datenschutzbeauftragter ist nicht benannt; die gesetzlichen Benennungspflichten (Art. 37 DSGVO, § 38 BDSG) bestehen für uns derzeit nicht. Anfragen zum Datenschutz richten Sie bitte an die Geschäftsführung unter onboarding@dflowglobal.de oder postalisch an die oben genannte Anschrift.

2. Wen diese Erklärung betrifft

Wir verarbeiten personenbezogene Daten folgender Personengruppen:

• Antragsteller bzw. ausfüllende Person (Unterzeichner/in des Antrags),
• Geschäftsführer, Inhaber oder vertretungsberechtigte Personen des antragstellenden Unternehmens,
• Ansprechpartner für Buchhaltung und Einkauf,
• Kontaktpersonen der angegebenen Handelsreferenzen.

Geben Sie im Formular Daten anderer Personen an (z. B. Geschäftsführer, Ansprechpartner, Referenzen), stellen Sie bitte sicher, dass Sie hierzu berechtigt sind, und informieren Sie diese Personen über diese Datenschutzerklärung. Für Personen, deren Daten wir nicht direkt erheben, gilt: Quelle der Daten sind die Angaben des Antragstellers im Onboarding-Formular sowie ggf. öffentlich zugängliche Register (Handelsregister) und die unter Ziffer 3.3 genannten Wirtschaftsauskunfteien (Art. 14 DSGVO).

3. Verarbeitungszwecke, Rechtsgrundlagen und Speicherdauern

3.1 Kundenkonto-Antrag und Stammdaten (ERP-System Xentral)

Zur Bearbeitung Ihres Antrags und zur Anlage des Kundenkontos verarbeiten wir Firmen-, Adress- und Kontaktdaten, Rechtsform, USt-IdNr., Handelsregisternummer, Liefer- und Rechnungsadressen sowie Ansprechpartnerdaten in unserem ERP-System (Xentral). Rechtsgrundlage ist die Vertragsanbahnung und -durchführung (Art. 6 Abs. 1 lit. b DSGVO); bei Ansprechpartnerdaten unser berechtigtes Interesse an einer geordneten Geschäftsabwicklung (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: Dauer der Geschäftsbeziehung zuzüglich gesetzlicher Aufbewahrungsfristen (Ziffer 7).

3.2 Bankverbindung (freiwillige Angabe)

Ihre Bankverbindung (Kontoinhaber, Bank, IBAN, BIC) verarbeiten wir zur Zahlungsabwicklung und im Rahmen der Bonitätsprüfung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Angabe ist freiwillig; ohne sie kann sich die Prüfung eines Zahlungsziels verzögern.

3.3 Bonitäts- und Vertragsprüfung; Wirtschaftsauskunfteien

Neukunden beliefern wir zunächst gegen Vorkasse. Vor Einräumung eines Zahlungsziels oder Kreditlimits prüfen wir die Bonität des antragstellenden Unternehmens. Hierzu verarbeiten wir die freiwilligen Angaben aus dem Formular (Bankverbindung, Angaben zur Geschäftsführung einschließlich Privatanschrift, Handelsreferenzen) und holen ggf. Auskünfte folgender Wirtschaftsauskunfteien ein:

• Creditreform (Verband der Vereine Creditreform e. V., Hellersbergstraße 12, 41460 Neuss, und der örtlich zuständige Verein Creditreform) — Informationen nach Art. 14 DSGVO: www.creditreform.de/datenschutz
• SCHUFA Holding AG, Kormoranweg 5, 65201 Wiesbaden — Informationen nach Art. 14 DSGVO: www.schufa.de/datenschutz

Die Auskunfteien sind dabei Empfänger (Übermittlung der Anfrage-Daten) und Quelle (erhaltene Auskünfte einschließlich Score-Werten). Rechtsgrundlagen: gegenüber dem Antragsteller Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage); im Übrigen — insbesondere für Daten von Geschäftsführern und Inhabern — Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz vor Zahlungsausfällen bei Lieferung gegen Rechnung. Soweit wir Score-Werte der Auskunfteien heranziehen, erfolgt dies nach Maßgabe des § 37a BDSG. Die Entscheidung über Kundenkonto, Zahlungsziel und Kreditlimit trifft stets ein Mitarbeiter der D Flow Global GmbH; eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt (Ziffer 9).

Die freiwilligen Bonitätsangaben (Bankdaten, Geschäftsführer-Daten, Handelsreferenzen) werden nicht in unserem ERP-System gespeichert, sondern ausschließlich verschlüsselt an die zuständige interne Stelle übermittelt und nach Abschluss der Prüfung gemäß Ziffer 7 gelöscht. Soweit diese Angaben auf Ihrer Einwilligung beruhen (Art. 6 Abs. 1 lit. a DSGVO), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

3.4 Nachweis Ihrer Zustimmung (Consent-Protokoll)

Beim Absenden des Formulars protokollieren wir Ihre Zustimmung zu AGB und Datenschutzerklärung mit Zeitstempel, IP-Adresse, User-Agent Ihres Browsers, Sprachfassung sowie Version und SHA-256-Prüfsumme der angezeigten Dokumente und erstellen hierüber ein Protokoll-PDF. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit unseren Nachweispflichten (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO). Speicherdauer: für die Dauer der Geschäftsbeziehung, mindestens jedoch bis zum Ablauf der regelmäßigen Verjährungsfrist von drei Jahren (§ 195 BGB).

3.5 Bot-Schutz (Cloudflare Turnstile)

Zum Schutz des Formulars vor missbräuchlicher automatisierter Nutzung setzen wir auf der Formularseite Cloudflare Turnstile ein (Cloudflare, Inc. bzw. Cloudflare Germany GmbH). Dabei verarbeitet Cloudflare technische Verbindungs- und Interaktionsdaten (u. a. IP-Adresse, User-Agent). Turnstile kommt ohne Tracking-Cookies aus; die Pre-Clearance-Funktion ist deaktiviert. Der Zugriff auf Ihr Endgerät ist für den von Ihnen angeforderten Dienst (sichere Übermittlung des Antrags) unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage der Datenverarbeitung ist unser berechtigtes Interesse an der Missbrauchs- und Bot-Abwehr (Art. 6 Abs. 1 lit. f DSGVO).

3.6 Missbrauchsabwehr und Ausfallsicherung (Rate-Limiting, Übermittlungsprotokoll)

Zur Abwehr automatisierter Massenanfragen speichern wir Ihre IP-Adresse für zehn Minuten in einer Redis-Datenbank (Rate-Limiting und Duplikat-Erkennung). Damit Ihr Antrag bei einer technischen Störung nicht verloren geht, speichern wir die Formulardaten zusätzlich für 90 Tage in einem technischen Übermittlungsprotokoll; sensible Inhalte werden dabei verschlüsselt (AES-256-GCM). Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit und Zuverlässigkeit des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Beide Speicherungen werden nach Ablauf der genannten Fristen automatisch gelöscht.

3.7 Hosting und Server-Logs (Vercel)

Diese Website wird bei Vercel Inc. gehostet (Serverstandort für die Anwendung: EU-Region Frankfurt). Beim Aufruf der Seiten verarbeitet Vercel technische Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, User-Agent) in Server-Logs. Rechtsgrundlage ist unser berechtigtes Interesse an der sicheren und stabilen Bereitstellung der Website (Art. 6 Abs. 1 lit. f DSGVO).

3.8 Fehlerdiagnose (Sentry)

Zur Erkennung und Behebung technischer Fehler setzen wir Sentry (Functional Software, Inc.) ein. Fehlerberichte werden vor der Übermittlung automatisiert um personenbezogene Inhalte bereinigt; Formulardaten werden nicht übertragen. Rechtsgrundlage ist unser berechtigtes Interesse an einem fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

3.9 E-Mail-Kommunikation (Resend)

Nach dem Absenden erhalten Sie eine Bestätigungs-E-Mail; intern wird eine Benachrichtigung an unsere zuständige Abteilung versandt. Für den Versand nutzen wir den Dienst Resend, Inc. Rechtsgrundlage ist die Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse an der internen Antragsbearbeitung (Art. 6 Abs. 1 lit. f DSGVO).

3.10 Cookies und lokale Speicherung

Diese Website verwendet keine Tracking- oder Marketing-Cookies und keine Analysedienste. Gespeichert wird lediglich ein technisch notwendiges Cookie zur Sprachauswahl (`NEXT_LOCALE`, § 25 Abs. 2 Nr. 2 TDDDG) sowie die unter Ziffer 3.5 beschriebene, unbedingt erforderliche Turnstile-Funktion. Ein Einwilligungs-Banner ist daher nicht erforderlich.

4. Pflichtangaben und freiwillige Angaben

Die im Formular als Pflichtfelder gekennzeichneten Angaben (insbesondere Firmendaten, Adresse, Kontaktdaten, Unterzeichner) benötigen wir zur Bearbeitung Ihres Antrags; ohne sie kann kein Kundenkonto eröffnet werden (Art. 13 Abs. 2 lit. e DSGVO). Alle Angaben zur Bonität (Bankverbindung, Geschäftsführung, Handelsreferenzen) sind freiwillig; ihre Nichtangabe kann lediglich dazu führen, dass wir kein Zahlungsziel einräumen können und die Belieferung gegen Vorkasse erfolgt.

5. Empfänger und Auftragsverarbeiter

Innerhalb der D Flow Global GmbH erhalten nur die mit der Antrags- und Bonitätsprüfung sowie der Kundenbetreuung befassten Stellen Zugriff auf Ihre Daten. Daneben setzen wir folgende Dienstleister ein, mit denen Auftragsverarbeitungsverträge nach Art. 28 DSGVO bestehen:

• Vercel Inc. — Hosting und Betrieb der Website (EU-Region Frankfurt)
• Xentral ERP Software GmbH — ERP-System zur Kundenverwaltung
• Cloudflare, Inc. — Bot-Schutz (Turnstile)
• Redis Ltd. (Redis Cloud) — Rate-Limiting und technisches Übermittlungsprotokoll (EU-Region, verschlüsselt)
• Resend, Inc. — E-Mail-Versand
• Functional Software, Inc. (Sentry) — Fehlerdiagnose

Eigenständige Verantwortliche (keine Auftragsverarbeiter) sind die unter Ziffer 3.3 genannten Wirtschaftsauskunfteien Creditreform und SCHUFA.

6. Übermittlung in Drittländer

Einige der genannten Dienstleister haben ihren Sitz in den USA oder gehören US-Konzernen an (Vercel, Cloudflare, Redis Ltd., Resend, Sentry). Auch wenn die Verarbeitung — wo möglich — in EU-Rechenzentren erfolgt, kann ein Zugriff aus den USA nicht ausgeschlossen werden (Drittlandübermittlung). Wir sichern diese Übermittlungen doppelt ab: durch EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und — soweit der jeweilige Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist — zusätzlich durch den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Eine Kopie der jeweiligen Garantien können Sie über die unter Ziffer 1 genannten Kontaktdaten anfordern.

7. Übersicht Speicherfristen

• Vertrags- und Stammdaten: Dauer der Geschäftsbeziehung; danach gesetzliche Aufbewahrung — Handelsbücher und Jahresabschlüsse 10 Jahre (§ 257 HGB, § 147 AO), Buchungsbelege 8 Jahre, Handels- und Geschäftsbriefe einschließlich geschäftlicher E-Mails 6 Jahre
• Bonitätsunterlagen (Bank-, Geschäftsführer-, Referenzdaten): Löschung nach Abschluss der Prüfung, spätestens mit Wegfall des Zwecks
• Abgelehnte Anträge: Löschung spätestens 6 Monate nach Ablehnung
• Consent-Protokoll: Dauer der Geschäftsbeziehung, mindestens 3 Jahre (§ 195 BGB)
• Technisches Übermittlungsprotokoll: automatische Löschung nach 90 Tagen
• Rate-Limiting-Daten (IP): automatische Löschung nach 10 Minuten

8. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruht, Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Richten Sie den Widerspruch formlos an onboarding@dflowglobal.de.

Sie haben zudem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, E-Mail: poststelle@ldi.nrw.de. Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

9. Keine automatisierte Entscheidung im Einzelfall

Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung im Sinne des Art. 22 DSGVO — einschließlich Profiling — findet nicht statt. Score-Werte von Wirtschaftsauskunfteien fließen als ein Kriterium in die Bewertung ein; die Entscheidung über Kundenkonto, Zahlungsziel und Kreditlimit trifft in jedem Einzelfall ein Mitarbeiter der D Flow Global GmbH.

10. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; Version und Stand sind oben angegeben. Die Fassung, der Sie beim Absenden des Formulars zugestimmt haben, wird mit Version und Prüfsumme protokolliert.

D Flow Global GmbH · Martener Str. 328 · 44379 Dortmund · onboarding@dflowglobal.de