Datenschutzerklärung

Stand: 9. November 2026 · Gilt für die Website kreislo.de, die Web-App und die iOS-/Android-App „Kreislo“.

1. Verantwortlicher

Manuel Gjergjaj, VALNIO Solutions (Einzelunternehmen), Werastraße 36, 88045 Friedrichshafen, Deutschland · Telefon +49 152 05711711 · E-Mail info@valnio.net.

2. Das Wichtigste in Kürze

Kreislo ist eine Plattform für Unternehmen. Wir verarbeiten Daten der Personen, die für ein Mitgliedsunternehmen handeln (Inhaber, Mitarbeitende), und die Geschäftsdaten, die Mitglieder über die Plattform austauschen (Bestellungen, Lieferscheine, Rechnungen, Nachrichten).

Für Ihr Konto, Ihr Unternehmensprofil, Ihre Nutzung und unsere Abrechnung sind wir Verantwortlicher. Für die Geschäftsdaten Ihres Unternehmens, insbesondere Daten Ihrer Kunden, Lieferanten und Mitarbeitenden in Bestellungen, Lieferscheinen und Rechnungen, sind Sie Verantwortlicher; wir verarbeiten sie in Ihrem Auftrag nach unserer Vereinbarung zur Auftragsverarbeitung.

Daten liegen auf Servern in Frankfurt am Main. Wir setzen keine Werbe- oder Tracking-Dienste ein.

3. Konto, Einladung und Unternehmensprofil

Ein Konto wird durch Registrierung oder durch Einladung eines Mitglieds angelegt (Lieferant lädt Kunden ein, Kunde lädt Lieferanten ein). Wir verarbeiten: Name, geschäftliche E-Mail-Adresse, Telefonnummer, Rolle im Unternehmen (Inhaber, Besteller, Fahrer, Buchhaltung), Anmeldedaten (Einmalcode per E-Mail, kein Passwort), sowie Unternehmensdaten (Firma, Rechtsform, Anschrift, Liefergebiet, Öffnungszeiten, Branche, USt-IdNr./Steuernummer, Handelsregister- oder Gewerbeangaben zur Verifizierung, Logo). Bei einer Einladung verarbeiten wir die vom einladenden Mitglied angegebene E-Mail-Adresse oder Telefonnummer, um die Einladung zu versenden; wird sie nicht innerhalb von 90 Tagen angenommen, löschen wir sie. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Mitglied) und, für Einladungsdaten sowie Kontaktdaten von Mitarbeitenden, Art. 6 Abs. 1 lit. f DSGVO (Betrieb der Plattform im Interesse des Mitglieds; Mitarbeitende werden vom Mitglied informiert). Verifizierungsangaben prüfen wir gegen öffentliche Register (Handelsregister, USt-IdNr.-Bestätigung beim BZSt, Art. 6 Abs. 1 lit. f: Schutz vor Missbrauch, nur Unternehmer).

4. Bestellungen, Lieferscheine, Rechnungen, Nachrichten (Auftragsverarbeitung)

Mitglieder legen Kataloge, Preise, Bestellungen, Lieferscheine (einschließlich Unterschrift des Empfängers), Rechnungen (XRechnung/ZUGFeRD), Reklamationen (einschließlich Fotos) und Nachrichten an. Diese Daten enthalten personenbezogene Daten von Ansprechpartnern, Fahrern und Empfängern. Wir speichern und übermitteln sie zwischen den beteiligten Mitgliedern und erstellen daraus auf Veranlassung des Lieferanten Rechnungen in dessen Namen (§ 14 Abs. 2 Satz 7 UStG). Verantwortlich sind die beteiligten Mitglieder; wir handeln als Auftragsverarbeiter nach Art. 28 DSGVO (Vereinbarung zur Auftragsverarbeitung). Rechnungen und Lieferscheine bewahren wir im Auftrag des Mitglieds unveränderbar auf (GoBD), solange das Mitglied es wünscht, höchstens 8 Jahre nach Ablauf des Jahres der Ausstellung (§ 147 Abs. 3 AO, § 14b Abs. 1 UStG); das Mitglied kann jederzeit exportieren und löschen, soweit keine gesetzliche Aufbewahrung entgegensteht.

5. Gastzugang für Steuerberatung

Ein Mitglied kann seiner Steuerberatung einen Gastzugang mit Leserecht auf seine Rechnungen und den DATEV-Export einräumen. Wir verarbeiten dafür Name, Kanzlei und E-Mail-Adresse der Steuerberatung sowie Zugriffsprotokolle (Zeitpunkt, abgerufene Belege). Die Weitergabe erfolgt auf Weisung des Mitglieds; die Steuerberatung verarbeitet die Daten in eigener Verantwortung als Berufsgeheimnisträger. Rechtsgrundlage für uns: Art. 6 Abs. 1 lit. b DSGVO (Funktion des Mitglieds). Der Zugang endet mit Widerruf durch das Mitglied.

6. Hosting und Server-Funktionen

Datenbank, Anmeldung, Dateispeicher und Server-Funktionen betreibt Supabase Pte. Ltd, 65 Chulia Street #38-02/03, Singapur, als Auftragsverarbeiter im Rechenzentrum Frankfurt am Main (AWS eu-central-1); für die Vertragsbeziehung nach Singapur gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Website und Web-App liefert Vercel Inc., Covina, USA, aus (Auftragsverarbeiter; EU-US Data Privacy Framework und EU-Standardvertragsklauseln). Bei jedem Aufruf fallen Verbindungsdaten an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung), die kurzfristig in Protokollen gespeichert werden (Supabase 7 Tage, Vercel höchstens 30 Tage). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

7. E-Mails und Mitteilungen

Einladungen, Anmeldecodes, Bestell- und Lieferbenachrichtigungen, Zahlungserinnerungen und Vertragsbestätigungen senden wir über Resend (Plus Five Five, Inc., San Francisco, USA; Versand über Server in Irland; EU-US Data Privacy Framework und EU-Standardvertragsklauseln) als Auftragsverarbeiter; verarbeitet werden Empfängeradresse, Betreff, Inhalt und Zustellstatus, Protokolle löscht Resend nach höchstens 30 Tagen. Push-Mitteilungen in den Apps registrieren das Gerät beim Mitteilungsdienst von Apple (APNs) bzw. Google (Firebase Cloud Messaging); das Geräte-Token speichern wir mit Ihrer Nutzerkennung; Inhalte der Mitteilungen enthalten keine Rechnungs- oder Preisdaten. Das Auslesen des Tokens erfolgt mit Ihrer Einwilligung über die Mitteilungs-Berechtigung (§ 25 Abs. 1 TDDDG), widerrufbar in den Geräteeinstellungen. Firebase-Analyse- oder Werbefunktionen nutzen wir nicht.

8. Speicherung auf Ihrem Gerät

App und Web-App speichern im lokalen Speicher Ihre Anmeldung, Einstellungen und eine Kopie Ihrer Daten für die Offline-Nutzung; das ist für den Betrieb unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Cookies oder Speicher für Werbung, Statistik oder Tracking setzen wir nicht ein.

9. Preisinformationen im Netzwerk

Lieferanten entscheiden, welche Preise sie welchen Kunden zeigen (Netzwerkpreis, Kundenpreis). Individuell vereinbarte Preise eines Lieferanten sind nur für den jeweiligen Kunden sichtbar. Vergleichs- und Hinweisfunktionen („Preiswächter“) zeigen Ihnen Ihre eigenen Einkaufspreise im Zeitverlauf und, wo angeboten, anonymisierte Durchschnittswerte, die keinem Lieferanten und keinem Kunden zugeordnet werden können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Kontakt und Support

Anfragen (Name, E-Mail, Inhalt) verarbeiten wir zur Beantwortung (Art. 6 Abs. 1 lit. b oder f DSGVO) in unserem Postfach bei Zoho Corporation B.V. (EU-Rechenzentrum, Auftragsverarbeiter) und löschen sie drei Jahre nach Abschluss, soweit keine gesetzliche Aufbewahrung gilt.

11. Empfänger

Supabase Pte. Ltd (Hosting, Frankfurt), Vercel Inc. (Web), Resend/Plus Five Five, Inc. (Transaktions-E-Mails), Zoho Corporation B.V. (Support-Postfach), Apple Inc./Google (Push, App-Vertrieb, eigene Verantwortung); andere Mitglieder, soweit Sie mit ihnen Geschäfte abwickeln; Ihre Steuerberatung auf Ihre Weisung. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

12. Speicherdauer

Konto- und Profildaten: bis zur Löschung des Kontos (Einstellungen › Konto löschen) bzw. 36 Monate nach letzter Anmeldung nach Vorankündigung. Bestellungen, Lieferscheine, Rechnungen: nach Weisung des Mitglieds, höchstens 8 Jahre (Nr. 4). Unsere eigenen Abrechnungsunterlagen (Provisions- und Abo-Rechnungen): 8 Jahre (§ 147 AO). Einladungen: 90 Tage. Protokolle: Nr. 6. Nachrichten: bis zur Löschung durch die Beteiligten, spätestens 3 Jahre nach der letzten Nachricht.

13. Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21) und Widerruf erteilter Einwilligungen (Art. 7 Abs. 3). Anfragen an info@valnio.net. Für Daten, die ein Mitglied als Verantwortlicher verarbeitet (Nr. 4), wenden Sie sich an dieses Mitglied; wir unterstützen es dabei. Beschwerderecht: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart, poststelle@lfdi.bwl.de, oder eine andere Aufsichtsbehörde.

14. Protokollierung sicherheitsrelevanter Vorgänge

Verifizierung, Preisänderungen, Stornierungen und Exporte werden mit Nutzerkennung und Zeitpunkt protokolliert (Nachweis gegenüber Mitgliedern und Behörden, Art. 6 Abs. 1 lit. c und f DSGVO; § 146 AO, GoBD) und 3 Jahre aufbewahrt.

15. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Ohne Verifizierungs- und Kontaktdaten können wir kein Konto anlegen (Art. 13 Abs. 2 lit. e). Kreislo trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung (Art. 22); Hinweise wie „ungewöhnlicher Preis“ sind Informationen, über die Sie entscheiden.

16. Änderungen

Wir passen diese Erklärung an, bevor wir neue Dienste einbinden; die jeweils aktuelle Fassung ist in der App unter „Rechtliches“ verlinkt. Erste Fassung: 9. November 2026.

Stand: 9. November 2026