NeuBefehlspalette (Strg+K) und komplette TastaturbedienungWas ist neu

Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO):
Hermann Berket
c/o Impressumservice Dein-Impressum
Stettiner Str. 41
35410 Hungen, Deutschland
E-Mail: support@drillflow.de

2. Das Wichtigste vorab: local-first

DrillFlow ist ein local-first Diagramm-Editor. Ihre Diagramme werden im Speicher Ihres Browsers auf Ihrem Gerät abgelegt und verlassen Ihr Gerät nur, wenn Sie selbst eine Funktion nutzen, die Daten überträgt (Teilen, Benutzerkonto). Wir setzen keine Analyse-, Tracking- oder Werbedienste ein.

3. Hosting und Server-Logfiles

Diese Website und die DrillFlow-Dienste werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, gehostet. Mit Hetzner besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO.

Wir führen Zugriffsprotokolle ohne IP-Adressen. Protokolliert werden ausschließlich Zeitpunkt, angefragter Hostname, Methode, Pfad, Statuscode, übertragene Größe, Antwortdauer und – sofern vom Browser gesendet – die verweisende Seite (Referer). IP-Adresse, User-Agent und Cookies werden bereits vor dem Schreiben entfernt und gelangen nicht auf die Festplatte. Eine Zuordnung zu einzelnen Personen oder eine Wiedererkennung über mehrere Aufrufe hinweg ist damit nicht möglich. Die Protokolle sind in der Größe begrenzt und werden nach spätestens sieben Tagen überschrieben; daraus abgeleitet speichern wir längerfristig lediglich Tageszählungen je Seite (Anzahl der Aufrufe), ohne jeden Personenbezug. Zusätzlich zählt der Webserver aggregierte Kennzahlen je Hostname und Statuscode, die nur im Arbeitsspeicher liegen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb sowie an der Reichweitenmessung ohne Personenbezug (Art. 6 Abs. 1 lit. f DSGVO).

Technische Fehlerprotokolle können im Fehlerfall auch IP-Adressen enthalten; diese Protokolle sind ebenfalls in der Größe begrenzt, werden automatisch rotiert und dabei fortlaufend überschrieben.

4. Benutzerkonto (optional)

Für das Verwalten geteilter Links können Sie freiwillig ein Konto anlegen. Dabei verarbeiten wir Ihre E-Mail-Adresse und Ihr Passwort; das Passwort wird ausschließlich als kryptografischer Hash (Argon2) gespeichert. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Sie können Ihr Konto jederzeit selbst löschen: in der App unter „Konto“ (app.drillflow.de/account) im Bereich „Gefahrenzone“. Dabei werden Ihr Konto und alle von Ihnen erstellten Teilen-Links sowie alle Dokumente in Ihrer Konto-Bibliothek (Abschnitt 7) unwiderruflich entfernt; Dokumente, die nur lokal in Ihrem Browser liegen, bleiben davon unberührt. Alternativ löschen wir das Konto und die damit verknüpften Daten auf Anfrage an support@drillflow.de. Nach dem Löschen schicken wir eine einzige Bestätigung an die bisherige E-Mail-Adresse und speichern sie danach nicht mehr.

Anmeldung mit Google (optional). Statt mit Passwort können Sie sich mit Ihrem Google-Konto anmelden. Dann leiten wir Sie zu Google weiter (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), und Google übermittelt uns nach Ihrer Zustimmung Ihre E-Mail-Adresse, die Bestätigung, dass Google diese Adresse geprüft hat, und eine Kennung Ihres Google-Kontos. Wir speichern nur die E-Mail-Adresse und diese Kennung — keinen Namen, kein Profilbild, keine weiteren Daten. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Google kann Daten in die USA übermitteln; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Für die Verarbeitung durch Google gilt dessen Datenschutzerklärung (policies.google.com/privacy). Sie können die Verbindung zu Google in der App unter „Konto → Sicherheit“ trennen, solange Ihnen danach noch ein Weg zur Anmeldung bleibt (ein Passwort oder eine weitere verbundene Anmeldung).

Anmeldung mit GitHub (optional). Ebenso können Sie sich mit Ihrem GitHub-Konto anmelden. Dann leiten wir Sie zu GitHub weiter (GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA), und GitHub übermittelt uns nach Ihrer Zustimmung Ihre numerische GitHub-Kennung und die Liste Ihrer bei GitHub hinterlegten E-Mail-Adressen mit der Angabe, welche davon bestätigt ist. Wir speichern nur Ihre bestätigte Haupt-Adresse und die Kennung — keinen Benutzernamen, kein Profilbild, keinen Zugriff auf Repositories; das Zugangs-Token von GitHub verwerfen wir sofort nach der Anmeldung. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden in die USA übermittelt; GitHub ist als Tochterunternehmen der Microsoft Corporation unter dem EU-US Data Privacy Framework zertifiziert. Für die Verarbeitung durch GitHub gilt dessen Datenschutzerklärung (docs.github.com/site-policy/privacy-policies). Trennen können Sie die Verbindung wie bei Google unter „Konto → Sicherheit“.

5. Transaktionale E-Mails (Brevo)

Für Bestätigungs- und Passwort-Zurücksetzen-E-Mails nutzen wir den Dienst Brevo (Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland); die Verarbeitung erfolgt in der EU auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Es werden keine Newsletter oder Werbe-E-Mails versendet.

Wenn Sie uns an support@drillflow.de schreiben oder das In-App-Support-Formular nutzen, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Das Support-Formular übermittelt Ihre Nachricht und die optional angegebene E-Mail-Adresse über Brevo an dieses Postfach. Das Postfach wird bei der Hetzner Online GmbH in Deutschland betrieben (siehe Abschnitt 3). Ihre Anfrage bleibt gespeichert, bis sie erledigt ist oder Sie die Löschung verlangen; gesetzliche Aufbewahrungspflichten bleiben unberührt.

6. Geteilte Diagramme

Wenn Sie die Teilen-Funktion nutzen, wird ein schreibgeschützter Schnappschuss Ihres Dokuments (max. 2 MB) auf unsere Server in Deutschland hochgeladen und ist für jede Person abrufbar, die den Link kennt. Laden Sie daher keine personenbezogenen Daten Dritter hoch, für deren Weitergabe Sie keine Grundlage haben. Geteilte Diagramme können Sie mit einem Konto jederzeit selbst widerrufen oder per E-Mail an support@drillflow.de löschen lassen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer: Ohne Anmeldung erstellte Links laufen 72 Stunden nach der Erstellung ab (vor dem 14. Oktober 2026 erstellte: 90 Tage) und werden anschließend automatisch gelöscht. Links, die Sie angemeldet erstellen, bleiben bestehen, bis Sie sie widerrufen oder Ihr Konto löschen (dabei werden auch alle zugehörigen Links entfernt).

7. Dokumente in Ihrem Konto (Bibliothek)

Mit einem kostenpflichtigen Plan können Sie einzelne Dokumente in Ihrem Konto behalten, um an ihnen auf mehreren Geräten zu arbeiten. Das geschieht nur für Dokumente, die Sie einzeln dafür auswählen; alle übrigen bleiben ausschließlich lokal in Ihrem Browser. Gespeichert werden der Inhalt des Dokuments, sein Titel und Änderungszeitpunkte auf unseren Servern in Deutschland (Abschnitt 3). Anders als bei geteilten Links sind diese Dokumente nicht öffentlich abrufbar — sie sind nur über Ihr angemeldetes Konto zugänglich. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Laden Sie auch hier keine personenbezogenen Daten Dritter hoch, für deren Verarbeitung Sie keine Grundlage haben.

Speicherdauer: Ein Dokument bleibt gespeichert, bis Sie es aus Ihrem Konto entfernen oder Ihr Konto löschen. Entfernte Dokumente werden zunächst als gelöscht markiert (damit ein zeitweise offline gewesenes Gerät die Löschung noch erfährt) und spätestens nach 30 Tagen endgültig entfernt. Beim Löschen des Kontos werden alle Dokumente Ihrer Bibliothek unwiderruflich gelöscht.

7a. Zahlungen (Stripe)

Wenn Sie DrillFlow Pro abonnieren, wickeln wir die Zahlung über Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Die Eingabe der Zahlungsdaten geschieht auf einer Seite von Stripe; Karten- und Kontodaten erreichen uns nicht. Stripe verarbeitet dafür Ihre E-Mail-Adresse, Ihren Namen, Ihre Rechnungsanschrift und die Zahlungsdaten; wir erhalten von Stripe eine Kundennummer, den Status Ihres Abos und die Rechnungen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Rechnungen bewahren wir bzw. Stripe so lange auf, wie das Steuer- und Handelsrecht es verlangt (Art. 6 Abs. 1 lit. c DSGVO, bis zu zehn Jahre). Stripe kann Daten in die USA übermitteln; Stripe, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Für die Verarbeitung durch Stripe gilt dessen Datenschutzerklärung (stripe.com/de/privacy).

8. Cookies

Wir setzen ausschließlich ein technisch notwendiges Session-Cookie (df_session, HttpOnly), wenn Sie sich in der App anmelden. Es dient allein der Anmeldung und enthält keine Tracking-Merkmale (§ 25 Abs. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO). Bei der Anmeldung mit Google oder GitHub kommt für höchstens zehn Minuten ein zweites, ebenso notwendiges Cookie hinzu (df_oauth, HttpOnly), das die Weiterleitung zum Anbieter und zurück absichert; es wird nach der Rückkehr gelöscht. Da keine einwilligungspflichtigen Cookies eingesetzt werden, zeigen wir kein Cookie-Banner.

9. Keine Analyse- und Werbedienste

Wir setzen keine Analytics-, Tracking-, Fingerprinting- oder Werbedienste ein — weder auf dieser Website noch in der App. Beim Aufruf werden auch keine Inhalte von Drittanbietern geladen: Schriftarten, Bilder und Skripte liefern wir von unseren eigenen Servern aus.

10. Lokale Speicherung im Browser

Der Editor speichert Ihre Dokumente und Einstellungen lokal in Ihrem Browser (IndexedDB und localStorage). Auf diese Daten haben wir keinen Zugriff; sie verbleiben auf Ihrem Gerät, bis Sie sie oder Ihre Browserdaten löschen.

11. Rechtsgrundlagen, Empfänger und Speicherdauer

Rechtsgrundlagen. Sind Ihre Daten zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, verarbeiten wir sie auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO; zur Erfüllung einer rechtlichen Verpflichtung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO; im Übrigen auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO. Welche Grundlage im Einzelfall gilt, steht in den Abschnitten oben. Verarbeitungen, die Ihre Einwilligung erfordern (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), führen wir derzeit nicht durch.

Empfänger. Personenbezogene Daten geben wir an andere Stellen nur weiter, wenn dies zur Vertragserfüllung erforderlich ist, wir gesetzlich dazu verpflichtet sind (z. B. gegenüber Steuerbehörden), wir ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO daran haben oder eine sonstige Rechtsgrundlage es erlaubt. Auftragsverarbeiter — Hetzner (Abschnitt 3) und Brevo (Abschnitt 5) — setzen wir nur auf Grundlage eines Vertrags über Auftragsverarbeitung ein. Wer bei einer Anmeldung mit Google oder GitHub beteiligt ist, steht in Abschnitt 4.

Speicherdauer. Soweit in dieser Erklärung keine speziellere Speicherdauer genannt ist, bleiben Ihre Daten gespeichert, bis der Zweck der Verarbeitung entfällt. Verlangen Sie berechtigt die Löschung, löschen wir Ihre Daten, sofern keine anderen rechtlich zulässigen Gründe für die Speicherung bestehen (z. B. steuer- oder handelsrechtliche Aufbewahrungsfristen); in diesem Fall löschen wir sie, sobald diese Gründe entfallen.

12. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

  • Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO) — in der App unter „Konto → Profil → Meine Daten herunterladen“ als ZIP mit allen Teilen-Links, Cloud-Dokumenten und Einstellungen
  • Widerspruch (Art. 21 DSGVO) — siehe den folgenden Absatz

Diese Rechte können Sie jederzeit unentgeltlich per E-Mail an support@drillflow.de geltend machen.

Widerspruchsrecht nach Art. 21 DSGVO

Wenn eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, haben Sie jederzeit das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Die jeweilige Rechtsgrundlage, auf der eine Verarbeitung beruht, entnehmen Sie dieser Datenschutzerklärung. Wenn Sie Widerspruch einlegen, werden wir Ihre betroffenen personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Widerspruch nach Art. 21 Abs. 1 DSGVO).

Werden Ihre personenbezogenen Daten verarbeitet, um Direktwerbung zu betreiben, haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung Sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Wenn Sie widersprechen, werden Ihre personenbezogenen Daten anschließend nicht mehr zum Zwecke der Direktwerbung verwendet (Widerspruch nach Art. 21 Abs. 2 DSGVO). Wir betreiben derzeit keine Direktwerbung.

Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), z. B. bei der für uns zuständigen Behörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

13. Datensicherheit

Alle Verbindungen zu unseren Diensten sind per TLS verschlüsselt. Eine verschlüsselte Verbindung erkennen Sie an „https://“ und dem Schloss-Symbol in der Adresszeile Ihres Browsers; die Daten, die Sie an uns übermitteln, können dann nicht von Dritten mitgelesen werden. Ein lückenloser Schutz von Daten bei der Übertragung im Internet, etwa per E-Mail, ist dennoch nicht möglich.

14. Widerspruch gegen Werbe-E-Mails

Der Nutzung der im Rahmen der Impressumspflicht veröffentlichten Kontaktdaten zur Übersendung von nicht ausdrücklich angeforderter Werbung und Informationsmaterialien wird hiermit widersprochen. Wir behalten uns ausdrücklich rechtliche Schritte im Falle der unverlangten Zusendung von Werbeinformationen, etwa durch Spam-E-Mails, vor.

15. Stand und Änderungen

Stand: 4. November 2026. Wir passen diese Erklärung an, wenn sich unsere Dienste oder die Rechtslage ändern; es gilt die jeweils hier veröffentlichte Fassung.