Datenschutzerklärung

Stand: 30. Juli 2026

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Dienst FLOW SIGNATURE (erreichbar unter signature.ximplflow.de), einem Angebot der XIMPL UG (haftungsbeschränkt) zur zentralen Verwaltung und Verteilung von E-Mail-Signaturen.

Verantwortlicher

XIMPL UG (haftungsbeschränkt)
Universitätsstraße 3
56070 Koblenz

Vertretungsberechtigte Person: Gerold Hinzen

E-Mail-Adresse: hallo@ximpl.digital

Impressum: /impressum

Grundprinzipien: Kein Tracking, Hosting in Deutschland

FLOW SIGNATURE ist auf Datensparsamkeit ausgelegt. Konkret bedeutet das:

  • Keine Tracking- oder Analyse-Dienste: Wir setzen keine Web-Analyse-Tools, Werbenetzwerke, Marketing-Pixel oder vergleichbare Dienste ein.
  • Keine Marketing-Cookies: Es werden ausschließlich technisch notwendige bzw. funktionale Cookies und Speichereinträge verwendet (siehe Abschnitt „Cookies und lokale Speicherung“).
  • Hosting in Deutschland: Die Anwendung, die Datenbank sowie der von uns selbst betriebene Automatisierungs-Workflow (n8n) laufen auf Servern der Hetzner Online GmbH in Deutschland.
  • Keine Speicherung von IP-Adressen im Produkt: Beim Aufruf persönlicher Signatur-Links werden weder IP-Adressen noch Browser-Kennungen (User-Agent) dauerhaft gespeichert, sondern nur aggregierte Zähler geführt.

Tutorial-Videos hosten wir selbst auf unseren Servern in Deutschland; eine Einbindung externer Videoplattformen (z. B. YouTube) findet auf dieser Website nicht statt. Soweit einzelne Dienstleister mit Drittlandbezug zum Einsatz kommen (Stripe, Slack, Google, Microsoft), stützen sich Übermittlungen in die USA jeweils auf das EU-US Data Privacy Framework (DPF) sowie ergänzend auf Standardvertragsklauseln; wir weisen in dem jeweiligen Abschnitt gesondert darauf hin.

Unsere Rolle: Verantwortlicher und Auftragsverarbeiter

Bei FLOW SIGNATURE handelt es sich um ein Angebot für Unternehmen (B2B). Datenschutzrechtlich sind dabei zwei Rollen zu unterscheiden:

  • XIMPL als Verantwortlicher: Für die Daten unserer Interessenten und Kunden (z. B. Zugangsanfragen, Vertrags-, Konto- und Rechnungsdaten der Ansprechpartner) sind wir Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Diese Verarbeitungen beschreibt diese Datenschutzerklärung.
  • XIMPL als Auftragsverarbeiter: Für die Daten der Mitarbeiterinnen und Mitarbeiter unserer Kundenorganisationen (z. B. Namen, E-Mail-Adressen, Telefonnummern und Funktionsbezeichnungen, die in Signaturen verwendet werden) sind die jeweiligen Kundenunternehmen Verantwortliche. Wir verarbeiten diese Daten ausschließlich in deren Auftrag und auf deren Weisung auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

Maßgebliche Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage der folgenden Rechtsgrundlagen der DSGVO:

  • Einwilligung (Art. 6 Abs. 1 S. 1 lit. a) DSGVO): z. B. bei der Zugangsanfrage über das Kontaktformular oder beim Empfang von Produktinformationen.
  • Vertragserfüllung und vorvertragliche Anfragen (Art. 6 Abs. 1 S. 1 lit. b) DSGVO): z. B. Bereitstellung des Dienstes, Kontoeinrichtung, transaktionale E-Mails, Rechnungsstellung.
  • Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c) DSGVO): z. B. handels- und steuerrechtliche Aufbewahrungspflichten.
  • Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO): z. B. sicherer und stabiler Betrieb des Dienstes, Missbrauchsvermeidung, interne Nachvollziehbarkeit sowie Direktwerbung gegenüber Bestandskunden im gesetzlich zulässigen Umfang (§ 7 Abs. 3 UWG).

Sicherheitsmaßnahmen

Wir treffen nach Maßgabe des Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere die verschlüsselte Übertragung aller Daten per TLS (erkennbar am Präfix https:// in der Adresszeile), die Speicherung von Passwörtern ausschließlich als kryptografische Hashes, Zugriffskontrollen auf Konto- und Organisationsebene sowie die Beschränkung der erhobenen Daten auf das erforderliche Maß.

Hosting und Server-Logfiles

FLOW SIGNATURE wird auf Servern in Deutschland betrieben. Beim Aufruf der Website und der Anwendung verarbeitet der Server technisch bedingt Verbindungsdaten (insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Adresse, übertragene Datenmenge, Browser-Typ). Diese Server-Logfiles dienen der Sicherstellung des Betriebs, der Fehleranalyse und der Abwehr von Angriffen und werden nach spätestens 30 Tagen gelöscht bzw. anonymisiert. Rechtsgrundlage sind unsere berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO).

Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige bzw. funktionale Cookies und Browser-Speichereinträge. Es werden keine Cookies zu Marketing-, Tracking- oder Analysezwecken gesetzt. Eine Einwilligung ist für die nachfolgend genannten Einträge nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); der Cookie-Hinweis auf unserer Website dient der Information.

  • Session-Cookie (st_session): Hält die Anmeldung im Kundenkonto aufrecht. Speicherdauer: 14 Tage. Das Cookie ist mit den Attributen HttpOnly, SameSite und (im Produktivbetrieb) Secure geschützt.
  • Cookie-Hinweis-Präferenz: Speichert, dass der Cookie-Hinweis geschlossen wurde, damit er nicht erneut eingeblendet wird.
  • Editor-Einstellungen (localStorage): Speichert Layout-Präferenzen des Template-Editors lokal im Browser. Es werden dabei keine personenbezogenen Daten gespeichert; die Daten verbleiben im Browser und werden nicht an uns übertragen.

Die auf der Website eingebundenen Tutorial-Videos werden von unseren eigenen Servern ausgeliefert; beim Abspielen werden keine Daten an Dritte übertragen und keine zusätzlichen Cookies gesetzt.

Zugangsanfrage über das Kontaktformular

Da es derzeit keine Selbstregistrierung gibt, erfolgt der Zugang zu FLOW SIGNATURE über eine Zugangsanfrage. Über das Formular verarbeiten wir die von Ihnen angegebenen Daten (insbesondere Name, geschäftliche E-Mail-Adresse, Firmenname und ggf. Ihre Nachricht) zur Bearbeitung Ihrer Anfrage, zur Kontaktaufnahme und zur Einrichtung des Zugangs. Die Übermittlung erfolgt an einen von uns selbst betriebenen Automatisierungs-Workflow (n8n), der auf demselben Server in Deutschland läuft.

Über diesen Workflow erhalten wir zur zeitnahen Bearbeitung Ihrer Anfrage eine interne Benachrichtigung in unserem Team-Messenger Slack, die die Anfragedaten (insbesondere Firmenname sowie Name der Ansprechpartnerin bzw. des Ansprechpartners, ggf. E-Mail-Adresse und Nachricht) enthält. Dienstanbieter: Slack Technologies Limited, Salesforce Tower, 60 R801, North Dock, Dublin, Irland; Mutterunternehmen: Salesforce, Inc., USA; Rechtsgrundlagen: Berechtigte Interessen an einer effizienten internen Organisation (Art. 6 Abs. 1 S. 1 lit. f) DSGVO); Grundlage Drittlandtransfers: EU-US Data Privacy Framework (DPF) sowie Standardvertragsklauseln; Website: https://slack.com; Datenschutzerklärung: https://slack.com/intl/de-de/trust/privacy/privacy-policy; Auftragsverarbeitungsvertrag: mit dem Anbieter geschlossen.

Intern protokollieren wir zu jeder Anfrage lediglich den Firmennamen, den Zeitpunkt und die erteilte Einwilligung; dieses Protokoll wird nach 90 Tagen automatisch gelöscht. Rechtsgrundlagen sind Ihre Einwilligung (Art. 6 Abs. 1 S. 1 lit. a) DSGVO) sowie die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 S. 1 lit. b) DSGVO).

Nutzerkonten und Anmeldung

Konten für FLOW SIGNATURE werden derzeit ausschließlich von uns nach Abstimmung mit dem jeweiligen Kundenunternehmen eingerichtet. Im Rahmen der Kontoverwaltung verarbeiten wir Name, E-Mail-Adresse, Organisationszugehörigkeit, Rolle sowie das Passwort in Form eines kryptografischen Hashes. Für Funktionen wie Einladungen und das Zurücksetzen von Passwörtern versenden wir zeitlich begrenzte Links per E-Mail (siehe Abschnitt „Transaktionale E-Mails“). Änderungen an Organisationsdaten werden zur Nachvollziehbarkeit in einem internen Protokoll festgehalten. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b) DSGVO), für das interne Protokoll unsere berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO).

Verwaltung von Mitarbeiterdaten (Auftragsverarbeitung)

Kundenunternehmen hinterlegen in FLOW SIGNATURE Daten ihrer Mitarbeiterinnen und Mitarbeiter, damit daraus persönliche E-Mail-Signaturen erzeugt werden können — typischerweise Name, Funktionsbezeichnung, geschäftliche E-Mail-Adresse und Telefonnummer, ggf. weitere Signaturbestandteile. Diese Daten können einzeln erfasst oder per CSV-Datei importiert werden. Verantwortlich für diese Daten ist das jeweilige Kundenunternehmen; wir verarbeiten sie ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Die Daten werden auf Servern in Deutschland gespeichert und nicht zu eigenen Zwecken verwendet.

Persönliche Signatur-Links (Signatur-Portal)

Mitarbeiterinnen und Mitarbeiter unserer Kunden erhalten einen persönlichen Link, über den sie ihre E-Mail-Signatur abrufen und in ihr E-Mail-Programm übernehmen können. Beim Aufruf dieser Links werden ausschließlich aggregierte Zähler gespeichert (Anzahl der Aufrufe, Anzahl der Kopiervorgänge, Zeitpunkt des letzten Aufrufs). Es werden keine IP-Adressen, Browser-Kennungen oder sonstige gerätebezogenen Daten dauerhaft gespeichert. Die IP-Adresse wird lediglich kurzzeitig im Arbeitsspeicher verarbeitet, um automatisierte Massenabrufe zu begrenzen (Rate-Limiting), und nicht in der Datenbank abgelegt. Rechtsgrundlage sind unsere berechtigten Interessen an einem sicheren Betrieb sowie die Erbringung des Dienstes gegenüber dem Kundenunternehmen (Art. 6 Abs. 1 S. 1 lit. b) und f) DSGVO).

Transaktionale E-Mails

Für den Betrieb des Dienstes versenden wir transaktionale E-Mails, z. B. Einladungen, Links zum Zurücksetzen des Passworts oder die Zustellung persönlicher Signatur-Links. Hierfür verarbeiten wir die jeweilige E-Mail-Adresse sowie die für den Versand erforderlichen Inhalte. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b) DSGVO). Für den Versand setzen wir folgenden Dienstleister ein:

  • Mailjet: Versand transaktionaler E-Mails; Dienstanbieter: Mailjet SAS, 13-13 bis, rue de l'Aubrac, 75012 Paris, Frankreich; Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b) DSGVO), berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO); Website: https://www.mailjet.de; Datenschutzerklärung: https://www.mailjet.de/privacy-policy; Auftragsverarbeitungsvertrag: mit dem Anbieter geschlossen.

Produktinformationen und Release Notes

Wir informieren Ansprechpartner unserer Kunden höchstens einmal pro Monat per E-Mail über Neuerungen und Funktionsupdates von FLOW SIGNATURE (Release Notes). Der Versand erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 S. 1 lit. a) DSGVO) oder — gegenüber Bestandskunden für eigene ähnliche Leistungen — auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO in Verbindung mit § 7 Abs. 3 UWG). Sie können dem Empfang jederzeit widersprechen bzw. Ihre Einwilligung widerrufen, z. B. über den Abmeldelink in jeder E-Mail oder formlos per E-Mail an hallo@ximpl.digital. Der Versand erfolgt über den oben genannten Dienstleister Mailjet. Ein Öffnungs- oder Klick-Tracking zu Werbezwecken führen wir nicht durch.

Umfragen und Feedback

Um FLOW SIGNATURE weiterzuentwickeln, führen wir gelegentlich Umfragen unter unseren Kunden durch, z. B. zur Zufriedenheit oder zu gewünschten Funktionen. Die Teilnahme ist stets freiwillig; die Umfragen werden, soweit möglich, anonym ausgewertet. Sofern Sie freiwillig Kontaktdaten angeben (z. B. für Rückfragen), verarbeiten wir diese nur zu diesem Zweck. Rechtsgrundlagen sind Ihre Einwilligung durch die freiwillige Teilnahme (Art. 6 Abs. 1 S. 1 lit. a) DSGVO) sowie unsere berechtigten Interessen an der Verbesserung des Dienstes (Art. 6 Abs. 1 S. 1 lit. f) DSGVO). Für die Durchführung setzen wir folgenden Dienst ein:

  • Google Formulare: Erstellung und Auswertung von Umfragen; Dienstanbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Mutterunternehmen: Google LLC, USA; Grundlage Drittlandtransfers: EU-US Data Privacy Framework (DPF) sowie Standardvertragsklauseln; Website: https://docs.google.com/forms; Datenschutzerklärung: https://policies.google.com/privacy; Auftragsverarbeitungsvertrag: mit dem Anbieter geschlossen.

Produktdemos und Videokonferenzen

Für Produktdemonstrationen, Onboardings und Abstimmungen bieten wir Videokonferenzen an. Dabei verarbeiten wir die Daten der Teilnehmenden (Name bzw. Anzeigename, E-Mail-Adresse, Verbindungsdaten sowie Ton- und ggf. Videoübertragung während des Termins). Aufzeichnungen erfolgen nicht bzw. nur nach vorheriger ausdrücklicher Ankündigung und Einwilligung aller Teilnehmenden. Rechtsgrundlagen sind die Durchführung vorvertraglicher Maßnahmen bzw. Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b) DSGVO) und unsere berechtigten Interessen an einer effizienten Kommunikation (Art. 6 Abs. 1 S. 1 lit. f) DSGVO). Je nach Termin setzen wir einen der folgenden Dienste ein:

  • Google Meet: Durchführung von Videokonferenzen; Dienstanbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Mutterunternehmen: Google LLC, USA; Grundlage Drittlandtransfers: EU-US Data Privacy Framework (DPF) sowie Standardvertragsklauseln; Website: https://meet.google.com; Datenschutzerklärung: https://policies.google.com/privacy; Auftragsverarbeitungsvertrag: mit dem Anbieter geschlossen.
  • Microsoft Teams (Microsoft 365): Durchführung von Videokonferenzen und Online-Meetings; Dienstanbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; Mutterunternehmen: Microsoft Corporation, USA; Grundlage Drittlandtransfers: EU-US Data Privacy Framework (DPF) sowie Standardvertragsklauseln; Website: https://www.microsoft.com/de-de/microsoft-teams; Datenschutzerklärung: https://privacy.microsoft.com/de-de/privacystatement; Auftragsverarbeitungsvertrag: mit dem Anbieter geschlossen.

Vertragsabwicklung, Rechnungsstellung und Zahlung

Zur Abwicklung von Lizenzverträgen verarbeiten wir Vertrags- und Kontaktdaten der Ansprechpartner unserer Kunden (Name, Firma, Anschrift, E-Mail-Adresse) sowie Rechnungs- und Zahlungsdaten. Rechtsgrundlagen sind die Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b) DSGVO) und rechtliche Verpflichtungen, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten (Art. 6 Abs. 1 S. 1 lit. c) DSGVO). Hierfür setzen wir folgende Dienstleister ein:

  • Lexware Office: Rechnungsstellung, Buchhaltung und Verwaltung von Kundendaten; Dienstanbieter: Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg, Deutschland; Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b) DSGVO), rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c) DSGVO); Website: https://www.lexware.de/buchhaltungssoftware/; Datenschutzerklärung: https://datenschutz.lexware.de/lexware-office; Auftragsverarbeitungsvertrag: https://avv.lexware.de/lexware-office.
  • Stripe: Zahlungsdienstleistungen (technische Anbindung von Online-Bezahlmethoden); Dienstanbieter: Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA; Rechtsgrundlagen: Vertragserfüllung und vorvertragliche Anfragen (Art. 6 Abs. 1 S. 1 lit. b) DSGVO); Website: https://stripe.com; Datenschutzerklärung: https://stripe.com/de/privacy; Grundlage Drittlandtransfers: EU-US Data Privacy Framework (DPF) sowie Standardvertragsklauseln.

Kommunikation per E-Mail

Wenn Sie mit uns per E-Mail kommunizieren (z. B. im Rahmen von Anfragen, Vertragsabwicklung oder Support), verarbeiten wir die übermittelten Angaben zur Bearbeitung des Anliegens. Für unsere geschäftliche E-Mail-Kommunikation nutzen wir Google Workspace (Gmail) des Anbieters Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag. Soweit dabei Daten durch Google in die USA übermittelt werden, stützt sich dies auf das EU-US Data Privacy Framework sowie Standardvertragsklauseln. Datenschutzerklärung des Anbieters: https://policies.google.com/privacy. Rechtsgrundlagen sind die Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 S. 1 lit. b) DSGVO) und unsere berechtigten Interessen an einer effizienten Kommunikation (Art. 6 Abs. 1 S. 1 lit. f) DSGVO).

Speicherdauer und Löschung

Wir löschen personenbezogene Daten, sobald sie für die jeweiligen Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Insbesondere gilt:

  • Server-Logfiles: Löschung bzw. Anonymisierung nach spätestens 30 Tagen.
  • Protokolle zu Zugangsanfragen: automatische Löschung nach 90 Tagen.
  • Konto- und Mitarbeiterdaten: Löschung bei Vertragsende nach Maßgabe des Auftragsverarbeitungsvertrags bzw. auf Weisung des Kundenunternehmens.
  • Rechnungs- und Buchhaltungsunterlagen: Aufbewahrung nach den handels- und steuerrechtlichen Fristen (§ 147 AO, § 257 HGB), anschließend Löschung.

Rechte der betroffenen Personen

Ihnen stehen als betroffene Person nach der DSGVO insbesondere die folgenden Rechte zu:

  • Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die auf Grundlage von Art. 6 Abs. 1 lit. e) oder f) DSGVO erfolgt, Widerspruch einzulegen. Werden Ihre Daten zum Zweck der Direktwerbung verarbeitet, können Sie dieser Verarbeitung jederzeit ohne Angabe von Gründen widersprechen.
  • Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
  • Auskunft (Art. 15 DSGVO): Sie haben das Recht auf Auskunft darüber, ob und welche Daten wir über Sie verarbeiten, sowie auf eine Kopie dieser Daten.
  • Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Vervollständigung oder Berichtigung unrichtiger Daten zu verlangen.
  • Löschung und Einschränkung (Art. 17, 18 DSGVO): Sie haben das Recht, die unverzügliche Löschung Ihrer Daten oder alternativ die Einschränkung der Verarbeitung zu verlangen.
  • Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre uns bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder deren Übermittlung an einen anderen Verantwortlichen zu verlangen.
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an hallo@ximpl.digital. Betrifft Ihr Anliegen Mitarbeiterdaten, die wir im Auftrag eines Kundenunternehmens verarbeiten, leiten wir Ihre Anfrage an das verantwortliche Unternehmen weiter bzw. empfehlen, sich direkt an dieses zu wenden.

Änderung und Aktualisierung dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der von uns durchgeführten Datenverarbeitungen dies erforderlich machen. Bitte informieren Sie sich regelmäßig über den aktuellen Stand. Sofern durch Änderungen eine Mitwirkung Ihrerseits (z. B. eine Einwilligung) erforderlich wird oder Sie individuell benachrichtigt werden müssen, informieren wir Sie gesondert.