Datenschutzerklärung

Stand: 25. Oktober 2026

English version below — a courtesy translation. In case of discrepancies, the German version prevails.

1. Verantwortlicher

SellerTech LLC
30 N Gould Street
Sheridan, WY 82801
USA
E-Mail: info@floone.de
Telefon: +48 538 100 455
WhatsApp: +48 538 100 455 (Chat oder Anruf starten)

Hinweis zur datenschutzrechtlichen Rolle: Für diese Website und die eigene Geschäftstätigkeit (z. B. Kontaktanfragen, Registrierung, Vertragsabwicklung, Abrechnung) ist der Anbieter Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Für die personenbezogenen Daten, die im Rahmen des SaaS-Dienstes FloOne im Auftrag der Kunden verarbeitet werden (insbesondere Bestell- und Endkundendaten der Händler), ist der jeweilige Kunde Verantwortlicher und der Anbieter Auftragsverarbeiter; Einzelheiten regelt der Auftragsverarbeitungsvertrag (AVV).

Hinweis zum Betreiber-Sitz: Der Betreiber selbst (SellerTech LLC) ist in den USA ansässig. Die Anwendungs- und Kundendaten von FloOne werden auf Servern in Deutschland (Hetzner) gespeichert und verarbeitet; eine Verlagerung dieser Datenhaltung in die USA findet nicht statt. Einzelne Daten werden im Rahmen bestimmter Funktionen durch die in Abschnitt 9 genannten Dienstleister innerhalb der EU oder in Drittländern verarbeitet. Da SellerTech LLC als US-Rechtsperson jedoch im Rahmen von Wartung, Support und Administration auf die in Deutschland gespeicherten Daten zugreifen kann, ist ein Zugriff aus dem Drittland USA nicht vollständig auszuschließen. Dieser Zugriff wird durch technische und organisatorische Maßnahmen (Verschlüsselung, auf das Erforderliche beschränkter und protokollierter Administrationszugriff — siehe Auftragsverarbeitungsvertrag, § 8) sowie durch Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert. Die einschlägigen Standardvertragsklauseln für das Verhältnis zwischen dem Kunden (Verantwortlicher) und SellerTech LLC (Auftragsverarbeiterin) werden dem Kunden mit Abschluss des Auftragsverarbeitungsvertrags zur Verfügung gestellt.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit es für die Bereitstellung dieser Website und die Beantwortung Ihrer Anfragen erforderlich ist, oder soweit wir hierzu gesetzlich verpflichtet sind. Rechtsgrundlagen sind in der Regel Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertrag/vorvertragliche Maßnahmen) und lit. f (berechtigtes Interesse) DSGVO.

3. Bereitstellung der Website / Server-Logs

Beim Aufruf unserer Website werden vom Hosting-Anbieter automatisch technische Informationen in Logdateien gespeichert: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Referrer, User-Agent. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zum Zweck der technischen Bereitstellung und zur Abwehr von Missbrauch. Logs werden nach spätestens 14 Tagen gelöscht, sofern keine sicherheitsrelevanten Ereignisse eine längere Speicherung erforderlich machen.

4. Hosting

Unsere Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, gehostet. Mit dem Anbieter wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen. Server-Standort ist ausschließlich Deutschland.

5. Kontaktaufnahme

Nehmen Sie per E-Mail, Telefon oder Kontaktformular Kontakt mit uns auf, werden Ihre Angaben zur Bearbeitung der Anfrage und für den Fall von Anschlussfragen verarbeitet (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Die Daten werden gelöscht, sobald sie nicht mehr erforderlich sind, spätestens nach Ablauf gesetzlicher Aufbewahrungsfristen.

Zusätzlich bieten wir die Kontaktaufnahme über WhatsApp an. Nutzen Sie diesen Weg, werden Ihre Telefonnummer und die Inhalte Ihrer Nachrichten durch WhatsApp verarbeitet. Anbieter ist für Nutzer im Europäischen Wirtschaftsraum die WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland; eine Übermittlung an die WhatsApp LLC beziehungsweise weitere Meta-Gesellschaften in den USA findet statt. Auf die Verarbeitung durch WhatsApp haben wir keinen Einfluss; Einzelheiten ergeben sich aus der Datenschutzrichtlinie von WhatsApp. Rechtsgrundlage für unsere Verarbeitung der über diesen Kanal eingehenden Nachrichten ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Wenn Sie diese Übermittlung vermeiden möchten, nutzen Sie bitte einen der übrigen Kontaktwege.

6. Beta-Registrierung

Wenn Sie sich für unsere geschlossene Beta anmelden, verarbeiten wir die von Ihnen angegebenen Daten (insbesondere Name, E-Mail-Adresse und ggf. Unternehmensangaben) zum Zweck der Verwaltung der Warteliste und der späteren Einladung zur Beta. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. lit. b DSGVO (vorvertragliche Maßnahme). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z.B. per E-Mail an info@floone.de.

7. Nutzerkonto / Login

Sofern Sie als bestehender Kunde ein Nutzerkonto verwenden, verarbeiten wir die für den Login und den Betrieb des Kontos erforderlichen Daten (E-Mail-Adresse, Passwort — ausschließlich als Hashwert nach einem aktuellen, gesalzenen Verfahren gespeichert —, Sitzungs-Token und, sofern aktiviert, das Geheimnis der Zwei-Faktor-Authentisierung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zur Abwehr von Brute-Force-Angriffen und zur Forensik bei Sicherheitsvorfällen führen wir ein strukturiertes Login-Audit-Log. Protokolliert werden Anmeldeversuche (erfolgreich und fehlgeschlagen), Passwort-Reset-Anfragen und 2FA-Vorgänge — jeweils mit Zeitstempel, Quell-IP-Adresse, der versuchten E-Mail-Adresse sowie dem Ereignis-Typ. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes). Die Speicherdauer beträgt 12 Monate.

Wenn ein Mitarbeiter des FloOne-Supports auf Ihren Account zugreifen muss (z.B. zur Fehleranalyse), wird dieser Vorgang in einem Admin-Zugriffs-Protokoll mit Zeitstempel, Grund, Quell-IP-Adresse und Sitzungsdauer dokumentiert. Sie können die Sessions gegen Ihren Tenant in Ihrem Dashboard unter „Einstellungen → Admin-Zugriffe" einsehen.

Aufbewahrung: 12 Monate, anschließend automatische Löschung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes und an der Beweissicherung gegen Manipulationen).

7a. Vertragsabwicklung und Abrechnung

Für die Durchführung des Nutzungsvertrages verarbeiten wir die Vertrags- und Abrechnungsdaten unserer Kunden: Firmenname, Rechtsform, Anschrift, Name und Kontaktdaten der Ansprechpartner, USt-IdNr. beziehungsweise Steuernummer, gewählter Tarif und gebuchte Module, nutzungsabhängige Abrechnungsdaten, gestellte Rechnungen sowie der Zahlungsstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrages), für die Rechnungsstellung zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

Empfänger dieser Daten ist der Zahlungsdienstleister Stripe (Abschnitt 9). Für diese Daten ist SellerTech LLC Verantwortlicher — anders als für die im Auftrag unserer Kunden verarbeiteten Bestell- und Endkundendaten (Abschnitt 1).

Speicherdauer: für die Dauer des Vertragsverhältnisses; zu den Stammdaten, die nach Vertragsende bleiben, siehe Abschnitt 7b. Darüber hinaus bewahren wir diejenigen Unterlagen auf, für die uns selbst eine gesetzliche Aufbewahrungspflicht trifft — insbesondere die von uns gestellten Rechnungen als Buchungsbelege. Die Aufbewahrungsdauer richtet sich nach der jeweils anwendbaren gesetzlichen Frist; für Rechnungen und Buchungsbelege beträgt sie seit dem 1. Januar 2025 regelmäßig acht Jahre, für bestimmte Bücher und Abschlüsse können längere Fristen gelten. Die Verarbeitung ist während dieser Zeit auf den Aufbewahrungszweck eingeschränkt.

7b. Kontaktdaten nach Vertragsende und Informationen per E-Mail

Wird ein Kundenkonto nach Vertragsende oder nach Ablauf einer Testphase gelöscht, behalten wir die Stammdaten des Kunden: Firmenname, Anschrift, Telefonnummer, USt-IdNr. beziehungsweise Steuernummer sowie Namen, E-Mail-Adressen und Rollen der Nutzer des Kontos. Alle übrigen Daten des Kontos werden gelöscht (§ 12 Abs. 6 der AGB).

Zwecke sind der Nachweis, wer wann gekündigt hat und welches Konto wann gelöscht wurde, sowie Informationen über FloOne und unsere Leistungen per E-Mail an Kunden und ehemalige Kunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Nachweis der Vertragsabwicklung und in der Information unserer Kunden über unsere eigenen Leistungen.

Speicherdauer: ohne feste Frist. Widersprechen Sie, vermerken wir das und senden Ihnen keine solchen E-Mails mehr. Die Löschung der Daten können Sie nach Art. 17 DSGVO verlangen; Ihre E-Mail-Adresse behalten wir dann nur noch in einer Sperrliste, damit Sie auch künftig keine E-Mails von uns erhalten.

Widerspruchsrecht: Sie können der Verwendung Ihrer E-Mail-Adresse für Informationen über FloOne jederzeit widersprechen (Art. 21 Abs. 2 DSGVO), ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Eine kurze Nachricht an info@floone.de genügt.

8. Cookies

Wir setzen nur technisch notwendige Cookies ein (insbesondere Session- und Authentifizierungs-Cookies für den Login). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG bzw. Art. 6 Abs. 1 lit. f DSGVO. Tracking- oder Marketing-Cookies werden nicht verwendet.

9. Weitergabe an Dritte und Drittlandsübermittlung

Eine Übermittlung Ihrer personenbezogenen Daten an Dritte findet nur statt, soweit dies zur Erfüllung des Vertrags erforderlich ist, Sie ausdrücklich eingewilligt haben oder eine gesetzliche Verpflichtung besteht.

Eigenständig Verantwortliche: Folgende Empfänger sind keine Auftragsverarbeiter, sondern eigenständig Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Die Übermittlung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung):

Stripe, LLC (USA) — Zahlungsabwicklung und Rechnungsstellung für die Nutzung des Dienstes. Stripe kann je nach konkreter Verarbeitung als eigenständig Verantwortlicher oder als Auftragsverarbeiter tätig werden; Einzelheiten ergeben sich aus den Datenschutz- und Datenverarbeitungsbedingungen von Stripe;
Versanddienstleister (DPD Deutschland GmbH, GLS Germany GmbH & Co. OHG, Deutsche Post DHL Group, UPS Deutschland S.à r.l. & Co. OHG, Deutsche Post AG / Internetmarke) — als Frachtführer für die Zustellung von Sendungen.

Eine vollständige Liste aller Sub-Auftragsverarbeiter und eigenständig Verantwortlichen finden Sie in unserem Auftragsverarbeitungsvertrag (AVV) § 6.

Auftragsverarbeiter (Sub-Verarbeiter): Im Auftrag und nach Weisung verarbeiten für uns insbesondere die Hetzner Online GmbH (Hosting, Deutschland), Plus Five Five, Inc. (Resend) (Versand transaktionaler E-Mails), Google LLC (Google Cloud Document AI zur OCR-Erkennung hochgeladener Belege, Verarbeitung in der EU-Multiregion „eu"; es gilt das Google Cloud Data Processing Addendum gemäß Art. 28 DSGVO) sowie Mango Technologies, Inc. (ClickUp) (Ablage und Bearbeitung von Anfragen aus „Hilfe & Support" in FloOne). Mit allen Sub-Verarbeitern bestehen Verträge nach Art. 28 DSGVO.

Drittlandsübermittlung: Eine Datenübermittlung in Drittländer außerhalb der EU/des EWR findet an folgende Empfänger statt:

Stripe, LLC (USA) — Zahlungsabwicklung und Rechnungsstellung für die Nutzung des Dienstes (verarbeitete Daten: Name, E-Mail, Rechnungsanschrift, Zahlungsdaten der zahlenden Kunden des Anbieters).
Plus Five Five, Inc. (Resend) (USA) — Versand transaktionaler E-Mails (Account-Bestätigungen, Passwort-Reset, Rechnungsversand).
Mango Technologies, Inc. (ClickUp) (USA) — Ablage und Bearbeitung von Anfragen aus „Hilfe & Support" in FloOne (Anfragetext, Antworten, Anhänge, Name und E-Mail-Adresse des anfragenden Nutzers).

Sowohl Stripe, LLC als auch Plus Five Five, Inc. (Resend) sind unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheits- beschluss der EU-Kommission vom 10. Juli 2023); ergänzend bestehen Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Die Übermittlung an Mango Technologies, Inc. (ClickUp) beruht auf Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Sollte die Angemessenheitsentscheidung der EU-Kommission für die USA wegfallen oder die Zertifizierung eines der genannten Empfänger enden, stützen wir die Übermittlung auf Standardvertragsklauseln in Verbindung mit ergänzenden Schutzmaßnahmen (insbesondere TLS-Verschlüsselung in Transit, Pseudonymisierung, Beschränkung auf den jeweils erforderlichen Datenumfang). Eine Kopie der Standardvertragsklauseln kann über die in Abschnitt 1 genannten Kontaktdaten angefordert werden.

Übermittlung auf Betreiber-Ebene: Sämtliche personenbezogenen Daten werden ausschließlich auf Servern in Deutschland (Hetzner) gespeichert und verarbeitet. Da der Betreiber (SellerTech LLC) seinen Sitz in einem Drittland hat und für Wartung, Support und Administration auf diese Daten zugreifen kann, liegt gleichwohl eine Übermittlung im Sinne des Kapitels V DSGVO vor — maßgeblich ist der Zugriff, nicht der Serverstandort. Rechtsgrundlage sind die Standardvertragsklauseln der EU-Kommission (Durchführungs- beschluss (EU) 2021/914), Modul 2, gemäß Art. 46 Abs. 2 lit. c DSGVO. Einzelheiten sowie die technischen und organisatorischen Schutzmaßnahmen regelt der Auftragsverarbeitungsvertrag; siehe auch den Hinweis zum Betreiber-Sitz in Abschnitt 1.

10. Ihre Rechte

Ihnen stehen uns gegenüber nach Maßgabe der jeweiligen gesetzlichen Voraussetzungen insbesondere die folgenden Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zum Widerspruch gegen Informationen per E-Mail siehe Abschnitt 7b.

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Sie können sich hierfür insbesondere an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes wenden. Eine vollständige Übersicht der deutschen Aufsichtsbehörden finden Sie unter bfdi.bund.de.

11a. Vertreter nach Art. 27 DSGVO

Da der für diese Website verantwortliche Betreiber (SellerTech LLC) seinen Sitz außerhalb der Europäischen Union hat, benennen wir nach Art. 27 DSGVO einen Vertreter in der Europäischen Union. Unser Vertreter in der EU ist:

Instant EU GDPR Representative Ltd
Adam Brogden
Office 2, 12A Lower Main Street
Lucan, Co. Dublin, K78 X5P8
Irland
E-Mail: contact@gdprlocal.com

Betroffenenanfragen (Auskunft, Berichtigung, Löschung nach Art. 15 ff. DSGVO) können Sie auch direkt über die Eingabeseite unseres EU-Vertreters stellen: https://sellertechllc.gdprlocal.com/eu

12. Verarbeitung bei Nutzung der Amazon-Integration (SP-API)

Sofern Sie als Nutzer einen Amazon-Seller-Central-Account mit FloOne verbinden, verarbeiten wir personenbezogene Daten, die wir über die Amazon Selling Partner API (SP-API) im Auftrag Ihres Verkäuferkontos abrufen. Diese Verarbeitung erfolgt im Auftrag und nach dokumentierter Weisung des jeweiligen Kunden gemäß Art. 28 DSGVO. Die Bestimmung der Rechtsgrundlage für die Verarbeitung der Endkundendaten obliegt dem Kunden als Verantwortlichem.

Beantragte Zugriffsrollen (Restricted Roles):

Direct-To-Consumer Shipping — zur Erstellung von Versandetiketten (DHL, DPD, GLS, UPS, Internetmarke der Deutschen Post AG) für an Endkunden adressierte Amazon-Bestellungen.
Tax Invoicing — zur Erzeugung GoBD-konformer deutscher Rechnungen (§ 14 UStG) inklusive ZUGFeRD-/XRechnung-Format, Differenzbesteuerung (§ 25a UStG) und OSS-Meldung (§ 18j UStG).

Kategorien verarbeiteter personenbezogener Daten: Name, Liefer- und Rechnungsadresse, Telefonnummer, E-Mail-Adresse, ggf. USt-ID, Bestellpositionen, Bestell- und Versanddatum, Zahlungs- und Erstattungsbeträge.

Zwecke: Erzeugung von Versandetiketten und Tracking-Rückmeldung an Amazon, Erstellung gesetzlich vorgeschriebener Rechnungen, Eingang in die Buchhaltung (DATEV-/Lexoffice-Export, OSS-Meldedatei). Eine Verarbeitung der Daten zu Werbe-, Profiling- oder Analysezwecken findet nicht statt. Eine Weitergabe an Dritte erfolgt nur an die für den Versand erforderlichen Carrier-APIs (DHL, DPD, GLS, UPS, Internetmarke der Deutschen Post AG), an die vom Nutzer gewählte Buchhaltungs-Schnittstelle (DATEV, Lexoffice). Die OSS-Meldedatei wird lediglich erzeugt und vom Nutzer selbst beim BZSt eingereicht.

Speicherort und Verschlüsselung: Die Daten werden ausschließlich in einem Rechenzentrum der Hetzner Online GmbH in Deutschland gespeichert. Sensible Zugangsdaten (OAuth-Tokens, API-Schlüssel, 2FA-Geheimnisse) werden mit Fernet (AES-128-CBC + HMAC-SHA256) verschlüsselt at-Rest abgelegt. Die Übertragung erfolgt ausschließlich über TLS 1.2+.

Aufbewahrungsdauer: E-Mail-Adresse und Telefonnummer der Endkunden werden spätestens 30 Tage nach Zustellung der Bestellung gelöscht. Die übrigen Bestelldaten werden für die Dauer des Vertragsverhältnisses mit dem Kunden gespeichert und nach dessen Beendigung gemäß § 12 der AGB gelöscht. Soweit der Kunde als Verantwortlicher gesetzlichen Aufbewahrungspflichten unterliegt, erfüllt er diese durch Export der Daten; eine darüber hinausgehende Archivierung durch den Anbieter findet nicht statt.

Auftragsverarbeitung: Mit Nutzern, die FloOne gewerblich einsetzen, schließen wir einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Die Liste der Sub-Auftragsverarbeiter (Hetzner, Resend, Google, ClickUp) und der eigenständig Verantwortlichen (Stripe, Carrier) wird im Rahmen dieses Vertrags bereitgestellt.

Die Verarbeitung der über die Amazon SP-API erhobenen Daten erfolgt unter Beachtung der Amazon Data Protection Policy für die Selling Partner API (SP-API DPP) sowie der Amazon Acceptable Use Policy.

13. Verarbeitung bei Nutzung der eBay-Integration

Sofern Sie als Nutzer ein eBay-Verkäuferkonto mit FloOne verbinden, verarbeiten wir personenbezogene Daten, die wir über die eBay-APIs (insbesondere Fulfillment API, Trading API, Inventory API) im Auftrag Ihres Verkäuferkontos abrufen. Diese Verarbeitung erfolgt im Auftrag und nach dokumentierter Weisung des jeweiligen Kunden gemäß Art. 28 DSGVO. Die Bestimmung der Rechtsgrundlage für die Verarbeitung der Endkundendaten obliegt dem Kunden als Verantwortlichem.

Kategorien verarbeiteter personenbezogener Daten: Käufername, Liefer- und Rechnungsadresse, Telefonnummer, E-Mail-Adresse (soweit von eBay übermittelt), eBay-Username bzw. -ID, ggf. USt-ID, Bestellpositionen, Bestell- und Versanddatum, Zahlungs- und Erstattungsbeträge, optional Käufer-Hinweise (Buyer Notes) im Bestellprozess.

Zwecke: Erzeugung von Versandetiketten und Tracking-Rückmeldung an eBay, Erstellung gesetzlich vorgeschriebener Rechnungen, Eingang in die Buchhaltung (DATEV-/Lexoffice-Export, OSS-Meldedatei), GPSR-konforme Listing-Erstellung. Eine Verarbeitung der Daten zu Werbe-, Profiling- oder Analysezwecken findet nicht statt.

Löschwünsche von Endkunden (eBay Marketplace Account Deletion / Closure Notification): Wenn ein eBay-Käufer gegenüber eBay ein Löschverlangen stellt, wird FloOne über den eBay-Account-Deletion-Webhook benachrichtigt und löscht unverzüglich die E-Mail-Adresse und Telefonnummer der betroffenen Bestellungen. Die übrigen Bestelldaten (Name, Anschrift, Bestellpositionen, Beträge) verbleiben zunächst im System, weil der Kunde als Verantwortlicher sie für seine eigenen gesetzlichen Aufbewahrungspflichten benötigt; sie werden mit einem Lösch-Vormerk-Flag versehen und mit Beendigung des Vertragsverhältnisses gemäß § 12 der AGB gelöscht.

Quell-IP-Whitelist: Der eBay-Account-Deletion- Webhook akzeptiert ausschließlich Anfragen aus den von eBay offiziell veröffentlichten IP-Adressbereichen (AS10780). Anfragen aus anderen Quellen werden abgewiesen.

14. Verarbeitung bei Nutzung weiterer Plattform-Integrationen

Für die Anbindung weiterer Plattformen (Shopify, WooCommerce, Mirakl-basierte Marktplätze, Refurbed, PayPal, Stripe, Billbee, JTL-Wawi) gelten sinngemäß die in Ziffer 12 und 13 dargestellten Grundsätze: Die Verarbeitung erfolgt im Auftrag und nach dokumentierter Weisung des jeweiligen Kunden gemäß Art. 28 DSGVO; die Bestimmung der Rechtsgrundlage obliegt dem Kunden als Verantwortlichem. Die Daten werden bei der Hetzner Online GmbH in Deutschland gespeichert; sensible Zugangsdaten werden at-Rest verschlüsselt. Die konkreten Datenkategorien, Zwecke, Rollen und Empfänger je Integration sind im Auftragsverarbeitungsvertrag aufgeführt.

15. Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

FloOne setzt automatisierte Verfahren zur Klassifizierung von Transaktionsdaten ein (z.B. Zuordnung von Steuersätzen, OSS-Erkennung, §13b-Zuordnung, SKR-Mapping, OCR-Belegerkennung mit Auto-Confirm). Diese Klassifizierungen sind Vorschläge und entfalten keine unmittelbaren rechtlichen Wirkungen gegenüber den betroffenen Personen im Sinne von Art. 22 Abs. 1 DSGVO. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt; sämtliche Klassifizierungen können vom Verantwortlichen manuell überprüft und korrigiert werden.

16. Reichweitenmessung (Umami Analytics)

Zur Analyse der Nutzung unserer Marketing-Seiten (z.B. welche Themen-Landingpages Besucher anziehen, von welcher Quelle sie kommen) setzen wir auf den öffentlich zugänglichen Seiten von floone.de die Web-Analytics-Software Umami Analytics ein. Umami ist eine cookielose, Open-Source-Lösung, die wir auf einem eigenen Server bei der Hetzner Online GmbH in Deutschland selbst betreiben. Es findet keine Übermittlung von Daten an Dritte oder in Drittländer statt.

Erhobene Daten: aufgerufene Seite, Zeitpunkt des Aufrufs, Referrer (verweisende Seite), Bildschirmgröße, Browser-Typ, ungefährer Standort (Land/Region anhand der IP-Adresse, ausschließlich anonymisiert ohne Speicherung der IP selbst), Verweildauer auf der Seite. Es werden keine Cookies gesetzt. Die IP-Adresse wird technisch verarbeitet, aber nicht gespeichert. Umami speichert ausschließlich pseudonymisierte beziehungsweise aggregierte Nutzungsinformationen; die Erkennung wiederkehrender Besucher erfolgt über einen rotierenden Hash, der nicht zur Personenidentifikation geeignet ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Gestaltung unserer Marketing-Seiten). Umami speichert keine Informationen auf Ihrem Endgerät und liest keine dort gespeicherten Informationen aus; ausgewertet werden ausschließlich Angaben, die Ihr Browser beim Seitenaufruf ohnehin übermittelt. Nach unserer Einschätzung liegt darin keine einwilligungsbedürftige Speicherung oder Auslesung von Informationen im Sinne des § 25 Abs. 1 TDDDG.

Speicherdauer: aggregierte Statistikdaten werden unbefristet aufbewahrt, sind jedoch nicht personenbeziehbar. Einzelne Sitzungsdaten werden nach 90 Tagen automatisch verworfen.

Der eingeloggte Bereich (Dashboard unter /app, Login-, Signup- und Passwort-Reset-Seiten) wird nicht getrackt.

17. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Fassung. Über wesentliche Änderungen, die bestehende Kunden oder die Verarbeitung ihrer Daten betreffen — etwa die Einbeziehung neuer Dienstleister, neue Verarbeitungszwecke oder längere Speicherdauern —, informieren wir in geeigneter Weise, insbesondere per E-Mail oder innerhalb des Dienstes.

Privacy Policy (English translation)

This is a courtesy translation of the German version above, which is the legally binding text. In case of discrepancies, the German version prevails. Last updated: 25 October 2026.

1. Controller

SellerTech LLC
30 N Gould Street
Sheridan, WY 82801
USA
E-mail: info@floone.de
Phone: +48 538 100 455

Note on our role under data protection law: For this website and for our own business activities (contact enquiries, registration, contract performance, billing), the provider is the controller within the meaning of Art. 4(7) GDPR. For the personal data processed within the FloOne SaaS service on behalf of our customers — in particular the merchants’ order and buyer data — the respective customer is the controller and the provider acts as processor; the details are governed by the data processing agreement (DPA).

Note on the provider’s place of establishment: The provider itself (SellerTech LLC) is established in the United States. FloOne’s application and customer data are stored and processed on servers in Germany (Hetzner); this data storage is not relocated to the United States. Individual data may be processed within the EU or in third countries by the service providers listed in section 9 as part of specific functions. However, because SellerTech LLC as a US legal entity can access the data stored in Germany for maintenance, support and administration, access from the third country United States cannot be entirely ruled out. That access is safeguarded by technical and organisational measures (encryption, administrative access limited to what is necessary and logged — see the data processing agreement, § 8) and by Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR. The applicable Standard Contractual Clauses for the relationship between the customer (controller) and SellerTech LLC (processor) are provided to the customer upon conclusion of the data processing agreement.

2. General information on data processing

We process personal data only to the extent necessary to provide this website and to respond to your enquiries, or where we are legally obliged to do so. The legal bases are generally Art. 6(1)(a) (consent), (b) (contract / pre-contractual measures) and (f) (legitimate interests) GDPR.

3. Provision of the website / server logs

When you access our website, the hosting provider automatically stores technical information in log files: IP address, date and time of access, page accessed, volume of data transferred, referrer, user agent. Processing is based on Art. 6(1)(f) GDPR for the purpose of technical provision and prevention of misuse. Logs are deleted after no more than 14 days, unless security-relevant events require longer storage.

4. Hosting

Our website is hosted by Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany. A data processing agreement pursuant to Art. 28 GDPR has been concluded with this provider. The server location is exclusively Germany.

5. Contacting us

If you contact us by e-mail, telephone or the contact form, the information you provide is processed in order to handle your enquiry and for any follow-up questions (Art. 6(1)(b) or (f) GDPR). The data is deleted once it is no longer required, at the latest upon expiry of statutory retention periods.

We also offer contact via WhatsApp. If you use this channel, your phone number and the content of your messages are processed by WhatsApp. For users in the European Economic Area the provider is WhatsApp Ireland Limited, Merrion Road, Dublin 4, Ireland; a transfer to WhatsApp LLC and other Meta companies in the United States does take place. We have no influence on WhatsApp’s processing; details can be found in WhatsApp’s privacy policy. The legal basis for our processing of messages received through this channel is Art. 6(1)(b) or (f) GDPR. If you wish to avoid this transfer, please use one of the other contact channels.

6. Beta registration

If you sign up for our closed beta, we process the data you provide (in particular name, e-mail address and, where applicable, company details) for the purpose of managing the waiting list and issuing a later invitation to the beta. The legal basis is Art. 6(1)(a) GDPR (consent) or Art. 6(1)(b) GDPR (pre-contractual measure). You may withdraw your consent at any time with effect for the future, for example by e-mail to info@floone.de.

7. User account / login

If you use a user account as an existing customer, we process the data required for login and for operating the account (e-mail address; password — stored exclusively as a hash using a current, salted procedure; session tokens and, where enabled, the two-factor authentication secret). The legal basis is Art. 6(1)(b) GDPR.

To prevent brute-force attacks and for forensic analysis of security incidents, we maintain a structured login audit log. It records login attempts (successful and failed), password reset requests and 2FA events — each with a timestamp, source IP address, the e-mail address used and the event type. The legal basis is Art. 6(1)(f) GDPR (legitimate interest in the security of the service). The retention period is 12 months.

If a member of FloOne support needs to access your account (for example for error analysis), that action is documented in an admin access log with timestamp, reason, source IP address and session duration. You can review sessions affecting your tenant in your dashboard under „Settings → Admin access“.

Retention: 12 months, followed by automatic deletion. The legal basis is Art. 6(1)(f) GDPR (legitimate interest in the security of the service and in preserving evidence against manipulation).

7a. Contract performance and billing

To perform the usage contract we process our customers’ contract and billing data: company name, legal form, address, names and contact details of contact persons, VAT identification number or tax number, the selected plan and booked modules, usage-based billing data, invoices issued and payment status. The legal basis is Art. 6(1)(b) GDPR (performance of the contract) and, for invoicing, additionally Art. 6(1)(c) GDPR.

The recipient of this data is the payment service provider Stripe (section 9). For this data SellerTech LLC is the controller — unlike for the order and buyer data processed on behalf of our customers (section 1).

Retention: for the term of the contractual relationship; for the master data that remains after the end of the contract, see section 7b. Beyond that we retain those records for which a statutory retention duty applies to us ourselves — in particular the invoices we issue, as accounting vouchers. The retention period follows the applicable statutory period; for invoices and accounting vouchers this has, since 1 January 2025, regularly been eight years, while longer periods can apply to certain books and annual accounts. During that time processing is restricted to the retention purpose.

7b. Contact data after the end of the contract and information by e-mail

When a customer account is deleted after the end of the contract or after a trial period has expired, we keep the customer’s master data: company name, address, phone number, VAT identification number or tax number, and the names, e-mail addresses and roles of the account’s users. All other data of the account is deleted (§ 12(6) of the terms and conditions).

The purposes are to evidence who terminated when and which account was deleted when, and to inform customers and former customers about FloOne and our services by e-mail. The legal basis is Art. 6(1)(f) GDPR; our legitimate interest lies in evidencing the performance of the contract and in informing our customers about our own services.

Retention: without a fixed period. If you object, we record this and no longer send you such e-mails. You may request erasure of the data under Art. 17 GDPR; we then keep only your e-mail address on a suppression list so that you do not receive e-mails from us in the future either.

Right to object: You may object at any time to the use of your e-mail address for information about FloOne (Art. 21(2) GDPR), without incurring any costs other than transmission costs at basic rates. A short message to info@floone.de is sufficient.

8. Cookies

We use strictly necessary cookies only (in particular session and authentication cookies for the login). The legal basis is § 25(2) no. 2 TDDDG and Art. 6(1)(f) GDPR. No tracking or marketing cookies are used.

9. Disclosure to third parties and third-country transfers

Your personal data is transferred to third parties only where this is necessary to perform the contract, where you have expressly consented, or where there is a statutory obligation.

Independent controllers: The following recipients are not processors but independent controllers within the meaning of Art. 4(7) GDPR. The transfer is based on Art. 6(1)(b) GDPR (performance of contract) or Art. 6(1)(c) GDPR (legal obligation):

Stripe, LLC (USA) — payment processing and invoicing for use of the service. Depending on the specific processing, Stripe may act as an independent controller or as a processor; details follow from Stripe’s privacy and data processing terms.
Carriers (DPD Deutschland GmbH, GLS Germany GmbH & Co. OHG, Deutsche Post DHL Group, UPS Deutschland S.à r.l. & Co. OHG, Deutsche Post AG / Internetmarke) — as carriers for the delivery of consignments.

A complete list of all sub-processors and independent controllers can be found in § 6 of our data processing agreement (DPA).

Processors (sub-processors): The following process data for us on our behalf and on our instructions: Hetzner Online GmbH (hosting, Germany), Plus Five Five, Inc. (Resend) (sending of transactional e-mail), Google LLC (Google Cloud Document AI for OCR recognition of uploaded receipts, processing in the EU multi-region „eu“; the Google Cloud Data Processing Addendum pursuant to Art. 28 GDPR applies) and Mango Technologies, Inc. (ClickUp) (storing and handling of requests from „Hilfe & Support“ in FloOne). Agreements pursuant to Art. 28 GDPR are in place with all sub-processors.

Third-country transfers: Personal data is transferred to third countries outside the EU/EEA to the following recipients:

Stripe, LLC (USA) — payment processing and invoicing for use of the service (data processed: name, e-mail, billing address, payment data of the provider’s paying customers).
Plus Five Five, Inc. (Resend) (USA) — sending of transactional e-mail (account confirmations, password reset, invoice delivery).
Mango Technologies, Inc. (ClickUp) (USA) — storing and handling of requests from „Hilfe & Support“ in FloOne (request text, replies, attachments, name and e-mail address of the requesting user).

Both Stripe, LLC and Plus Five Five, Inc. (Resend) are certified under the EU-US Data Privacy Framework (adequacy decision of the European Commission of 10 July 2023); in addition, Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR are in place. The transfer to Mango Technologies, Inc. (ClickUp) is based on Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR.

Should the European Commission’s adequacy decision for the United States cease to apply, or should the certification of one of the named recipients end, we will base the transfer on Standard Contractual Clauses together with supplementary safeguards (in particular TLS encryption in transit, pseudonymisation, and limitation to the data strictly required). A copy of the Standard Contractual Clauses can be requested using the contact details in section 1.

Transfer at provider level: All personal data is stored and processed exclusively on servers in Germany (Hetzner). Because the provider (SellerTech LLC) is established in a third country and can access this data for maintenance, support and administration, a transfer within the meaning of Chapter V GDPR nevertheless takes place — what matters is the access, not the server location. The legal basis is the European Commission’s Standard Contractual Clauses (Implementing Decision (EU) 2021/914), Module 2, pursuant to Art. 46(2)(c) GDPR. Details and the technical and organisational safeguards are set out in the data processing agreement; see also the note on the provider’s place of establishment in section 1.

10. Your rights

Subject to the respective statutory conditions, you have in particular the following rights against us: access (Art. 15 GDPR), rectification (Art. 16 GDPR), erasure (Art. 17 GDPR), restriction of processing (Art. 18 GDPR), data portability (Art. 20 GDPR) and objection (Art. 21 GDPR). You may withdraw consent given at any time with effect for the future (Art. 7(3) GDPR). On objecting to information by e-mail, see section 7b.

11. Right to lodge a complaint

You have the right to lodge a complaint with a data protection supervisory authority about the processing of your personal data (Art. 77 GDPR). You may in particular contact the supervisory authority of your habitual residence, your place of work, or the place of the alleged infringement.

11a. Representative pursuant to Art. 27 GDPR

Because the provider responsible for this website (SellerTech LLC) is established outside the European Union, we have designated a representative in the European Union pursuant to Art. 27 GDPR. Our EU representative is:

Instant EU GDPR Representative Ltd
Adam Brogden
Office 2, 12A Lower Main Street
Lucan, Co. Dublin, K78 X5P8
Irland
E-mail: contact@gdprlocal.com

Data subject requests (access, rectification, erasure under Art. 15 et seq. GDPR) can also be submitted directly through our EU representative’s intake page: https://sellertechllc.gdprlocal.com/eu

12. Processing when using the Amazon integration (SP-API)

If you connect an Amazon Seller Central account to FloOne, we process personal data that we retrieve via the Amazon Selling Partner API (SP-API) on behalf of your seller account. This processing is carried out on behalf of, and on the documented instructions of, the respective customer pursuant to Art. 28 GDPR. Determining the legal basis for processing buyer data is the responsibility of the customer as controller.

Restricted roles applied for:

Direct-To-Consumer Shipping — for creating shipping labels (DHL, DPD, GLS, UPS, Internetmarke of Deutsche Post AG) for Amazon orders addressed to buyers.
Tax Invoicing — for generating GoBD-compliant German invoices (§ 14 UStG) including ZUGFeRD/XRechnung format, the margin scheme (§ 25a UStG) and One-Stop-Shop reporting (§ 18j UStG).

Categories of personal data processed: name, delivery and billing address, phone number, e-mail address, VAT ID where applicable, order line items, order and shipping date, payment and refund amounts.

Purposes: creating shipping labels and returning tracking information to Amazon, producing legally required invoices, and entry into the accounting records (DATEV/Lexoffice export, OSS report file). The data is not processed for advertising, profiling or analytics purposes. Disclosure to third parties takes place only to the carrier APIs required for shipping (DHL, DPD, GLS, UPS, Internetmarke of Deutsche Post AG) and to the accounting interface selected by the user (DATEV, Lexoffice). The OSS report file is only generated; it is submitted to the BZSt by the user.

Storage location and encryption: the data is stored exclusively in a Hetzner Online GmbH data centre in Germany. Sensitive credentials (OAuth tokens, API keys, 2FA secrets) are stored encrypted at rest. Transmission takes place exclusively over TLS 1.2+.

Retention: buyers’ e-mail addresses and phone numbers are deleted no later than 30 days after delivery of the order. The remaining order data is stored for the term of the contractual relationship with the customer and deleted after it ends in accordance with § 12 of the Terms. Where the customer, as controller, is subject to statutory retention obligations, the customer discharges them by exporting the data; no archiving beyond that is carried out by the provider.

Processing on behalf: with users who use FloOne commercially we conclude a data processing agreement pursuant to Art. 28 GDPR. The list of sub-processors (Hetzner, Resend, Google, ClickUp) and of independent controllers (Stripe, carriers) is provided as part of that agreement.

Data collected via the Amazon SP-API is processed in compliance with the Amazon Data Protection Policy for the Selling Partner API (SP-API DPP) and the Amazon Acceptable Use Policy.

13. Processing when using the eBay integration

If you connect an eBay seller account to FloOne, we process personal data that we retrieve via the eBay APIs (in particular the Fulfillment API, Trading API and Inventory API) on behalf of your seller account. This processing is carried out on behalf of, and on the documented instructions of, the respective customer pursuant to Art. 28 GDPR. Determining the legal basis for processing buyer data is the responsibility of the customer as controller.

Categories of personal data processed: buyer name, delivery and billing address, phone number, e-mail address (where transmitted by eBay), eBay username or ID, VAT ID where applicable, order line items, order and shipping date, payment and refund amounts, and optionally buyer notes entered during the order process.

Purposes: creating shipping labels and returning tracking information to eBay, producing legally required invoices, entry into the accounting records (DATEV/Lexoffice export, OSS report file), and GPSR-compliant listing creation. The data is not processed for advertising, profiling or analytics purposes.

Buyer erasure requests (eBay Marketplace Account Deletion / Closure Notification): if an eBay buyer submits an erasure request to eBay, FloOne is notified via the eBay account deletion webhook and immediately deletes the e-mail address and phone number of the affected orders. The remaining order data (name, address, order line items, amounts) initially remains in the system because the customer, as controller, needs it for their own statutory retention obligations; it is flagged for deletion and deleted when the contractual relationship ends in accordance with § 12 of the Terms.

Source IP allowlist: the eBay account deletion webhook accepts requests only from the IP address ranges officially published by eBay (AS10780). Requests from other sources are rejected.

14. Processing when using further platform integrations

For the connection of further platforms (Shopify, WooCommerce, Mirakl-based marketplaces, Refurbed, PayPal, Stripe, Billbee, JTL-Wawi), the principles set out in sections 12 and 13 apply accordingly: processing is carried out on behalf of, and on the documented instructions of, the respective customer pursuant to Art. 28 GDPR; determining the legal basis is the responsibility of the customer as controller. The data is stored at Hetzner Online GmbH in Germany; sensitive credentials are encrypted at rest. The specific data categories, purposes, roles and recipients for each integration are set out in the data processing agreement.

15. Automated decision-making (Art. 22 GDPR)

FloOne uses automated procedures to classify transaction data (for example assignment of tax rates, OSS detection, § 13b classification, SKR mapping, OCR receipt recognition with auto-confirm). These classifications are proposals and produce no direct legal effects concerning data subjects within the meaning of Art. 22(1) GDPR. No decision based solely on automated processing within the meaning of Art. 22 GDPR takes place; all classifications can be reviewed and corrected manually by the controller.

16. Reach measurement (Umami Analytics)

To analyse the use of our marketing pages (for example which topic landing pages attract visitors and which source they come from), we use the web analytics software Umami Analytics on the publicly accessible pages of floone.de. Umami is a cookieless, open-source solution that we host ourselves on our own server at Hetzner Online GmbH in Germany. No data is transferred to third parties or to third countries.

Data collected: page accessed, time of access, referrer, screen size, browser type, approximate location (country/region derived from the IP address, anonymised and without storing the IP itself), and time spent on the page. No cookies are set. The IP address is processed technically but not stored. Umami stores only pseudonymised or aggregated usage information; recurring visitors are recognised via a rotating hash that is not suitable for identifying a person.

The legal basis is Art. 6(1)(f) GDPR (legitimate interest in designing our marketing pages to meet demand). Umami neither stores information on your device nor reads information stored there; only information that your browser transmits anyway when the page is requested is evaluated. In our assessment this does not constitute storage or access requiring consent within the meaning of § 25(1) TDDDG.

Retention: aggregated statistical data is retained indefinitely but cannot be related to a person. Individual session data is discarded automatically after 90 days.

The logged-in area (dashboard under /app, login, signup and password reset pages) is not tracked.

17. Changes to this policy

We reserve the right to amend this privacy policy so that it always meets current legal requirements, or to implement changes to our services. The version in force at the time applies to your next visit. We will inform customers in an appropriate manner — in particular by e-mail or within the service — of material changes affecting existing customers or the processing of their data, such as the engagement of new service providers, new processing purposes or longer retention periods.