Commander Flow — Datenschutzerklärung

Version 1.7 — 17. August 2026

Dieses Dokument beschreibt, wie Commander Flow („die Software") und ihr Herausgeber Ihre personenbezogenen Daten verarbeiten. Leitprinzip: Ihre Stimme und Ihr Text bleiben auf Ihrem Gerät. Alles, was das Gerät dennoch verlässt, ist nachstehend in einfacher Sprache mit Angabe der Rechtsgrundlage aufgeführt.

Diese deutsche Fassung wird zur Bequemlichkeit bereitgestellt. Im Falle einer Abweichung haben die englische und polnische Fassung Vorrang.

1. Verantwortlicher

Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung ist:

Peter's Engineering JDG (Piotr Bahdasaran, Einzelunternehmer — przedsiębiorca jednoosobowy) NIP: 9512534689 ul. KEN 19, 02-797 Warschau, Polen Datenschutz-Kontakt: inbox@commander-flow.pro

Die Software liegt unterhalb der Schwelle, ab der Artikel 37 DSGVO einen Datenschutzbeauftragten verlangt; der Verantwortliche bearbeitet Datenschutzanfragen direkt über die obige E-Mail-Adresse.

2. Was diese Erklärung abdeckt

Diese Erklärung deckt ab: (a) Daten, die lokal auf Ihrem Gerät durch die Software verarbeitet werden; (b) Daten, die von der Software über das Netzwerk gesendet werden (Modell-Downloads, Lizenzaktivierung, anonyme Lifecycle-Telemetrie, optionale Diagnostik, Bezahlung); (c) Daten, die wir über Sie als Kunde der Pro-Stufe erhalten (Lizenzschlüssel, Rechnungs-E-Mail, Zahlungsmetadaten); und (d) Daten, die beim Besuch der Marketing- Website commander-flow.pro verarbeitet werden (Cookies, Analytics — siehe §10).

3. Welche Daten wir verarbeiten — und welche NICHT

3.1 Wir verarbeiten NICHT

Ihren diktierten Text
Ihre Audioaufnahmen
Ihr Mikrofonsignal
Den Inhalt Ihrer Zwischenablage
Den Inhalt von Dateien, die Sie öffnen oder bearbeiten
Telemetrie, die Ihre Inhalte enthält — die einzige Telemetrie sind die in §3.2 (e) beschriebenen anonymen Lifecycle-Pings; sie enthalten nichts von dem, was Sie tippen oder sagen, und Sie können sie abschalten

Die Sprache-zu-Text-Pipeline läuft vollständig auf dem Gerät. Audio wird erfasst, von lokalen Machine-Learning-Modellen verarbeitet, in Text umgewandelt und verworfen. Nichts davon verlässt Ihren Computer.

3.2 Wir verarbeiten folgende Daten — nach Zwecken

(a) Lizenzaktivierung und Pro-Service. Beim Kauf oder bei der Aktivierung einer Pro-Lizenz sendet die Software an unseren Lizenzserver (license.ptrs.ltd):

Ihren Lizenzschlüssel (von uns beim Kauf ausgestellt);
Ihre E-Mail-Adresse (zur Aktivierung der Lizenz);
Einen Hardware-Fingerabdruck (Hash stabiler Hardware-Identifikatoren Ihres Geräts — zur Bindung der Lizenz an ein Gerät und zur Erkennung von Lizenzteilung);
Die Version der Software.

Im Gegenzug stellen wir ein signiertes JWT-Vertrauensartefakt aus, das lokal auf Ihrem Gerät (mit DPAPI verschlüsselt) gespeichert und periodisch erneut validiert wird.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — erforderlich zur Bereitstellung des erworbenen Pro-Service.

(b) Zahlungen. Pro-Käufe werden von Stripe Payments Europe, Ltd. („Stripe") abgewickelt. Bei einem Kauf erfasst Stripe die für die Zahlung erforderlichen Daten (Kartendaten, Rechnungsadresse, Wohnsitzland zur Umsatzsteuerberechnung). Gemäß den von Stripe veröffentlichten Rollen agiert Stripe als eigenständiger Verantwortlicher für Betrugsprävention, AML und regulatorische Berichterstattung sowie als gemeinsamer/auftragsverarbeiterähnlicher Verantwortlicher in Bezug auf die Zahlungsanweisungen, die Sie an uns übermitteln. Der Lizenzgeber erhält nur die Zahlungsmetadaten, die zur Ausstellung Ihrer Rechnung und Lizenz erforderlich sind: E-Mail des Kunden, Wohnsitzland, gezahlten Betrag, Stripe-Kunden-ID und Rechnungs-ID. Die Datenschutzerklärung von Stripe ist unter https://stripe.com/privacy verfügbar und stellt eine ergänzende Offenlegung in Bezug auf die Verarbeitung durch Stripe dar.

Wir erhalten und speichern keine vollständigen Kartennummern.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und Erfüllung steuerlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO — polnisches VAT-OSS).

(c) Diagnoseberichte (mit Einwilligung). Bei einem Problem können Sie über das in der Anwendung verfügbare Dialogfeld „Problem melden" einen Diagnosebericht senden. Es wird nichts gesendet, bis Sie auf „Senden" drücken. Der Bericht enthält: eine generierte Bericht-ID, App-Version, .NET-Runtime-Version, Windows-Version, CPU/GPU-Modell, aktive Einstellungen, die letzten ~200 redigierten Ereignisprotokoll- Zeilen sowie Ihren optionalen Freitextkommentar. Der Bericht enthält nicht: diktierten Text, Audio, Sprachbefehle, markierten Text, Zwischenablageinhalte, Dateiinhalte, E-Mail, Login, Lizenzschlüssel oder sonstige Anmeldedaten.

Rechtsgrundlage: Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), erteilt durch Anklicken von „Senden". Sie können die Einwilligung jederzeit widerrufen, indem Sie einfach keine weiteren Berichte mehr senden.

(d) Modell-Downloads. Beim ersten Start werden ML-Modelldateien über HTTPS von commander-flow.pro (öffentlicher CDN-Endpunkt) heruntergeladen. Auf Serverebene wird nur die Anfrage selbst protokolliert (IP-Adresse, Zeitstempel, URL); keine Kontoinformationen werden mit diesen Anfragen verknüpft.

Rechtsgrundlage: berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — Auslieferung der von Ihnen installierten Software.

(e) Anonyme Lifecycle-Telemetrie. Die Software sendet eine kleine Menge von Lifecycle-Pings an unseren Lizenzserver (license.ptrs.ltd), damit wir Installationen zählen und sehen können, an welcher Stelle die Testphase Nutzer verliert:

Lifecycle-Ereignisse — ein install-Ping, ein update_applied-Ping bei Änderung der installierten Version, höchstens ein startup-Ping pro 24 Stunden sowie ein uninstall-Ping. Diese enthalten: eine zufällige Installations-Kennung (lokal auf Ihrem Gerät erzeugt — nicht aus Ihrer Hardware, E-Mail oder einem Konto abgeleitet), die Version der Software (bei Updates zusätzlich die Vorgängerversion), die Windows-Build-Nummer, die Oberflächensprache der Anwendung und — nur solange auf dem Gerät eine gültige Pro-Lizenz aktiv ist — die Seriennummer Ihres Lizenz-Tokens, damit lizenzierte Installationen von Testinstallationen unterschieden werden können (für Pro-Nutzer wird der Ping dadurch pseudonym statt vollständig anonym). Der Deinstallations-Ping enthält nur die Installations-Kennung, die Version und die Windows-Build-Nummer.
Funnel-Ereignisse — trial_started, trial_expired, nag_shown (eine Kauferinnerung wurde angezeigt; höchstens ein Ping pro 24 Stunden) und pricing_opened_from_app (Sie haben aus der Anwendung heraus eine Preis-/Kaufansicht geöffnet). Diese enthalten ausschließlich die Installations-Kennung und die Software-Version — sonst nichts.

Diese Pings enthalten kein Diktat-Audio, keinen Text, keine Chat-Inhalte und keine Dateinamen — nichts von dem, was Sie tippen oder sagen, verlässt jemals Ihr Gerät. Sie können den gesamten Kanal jederzeit über den Schalter anonyme Telemetrie in den Einstellungen der Software abschalten; solange er deaktiviert ist, werden keinerlei Ereignisse gesendet.

Rechtsgrundlage: berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — Messung von Installationen und Testphasen-Konversion, damit wir die Software pflegen, verbessern und nachhaltig bepreisen können. Sie können jederzeit widersprechen (Art. 21), indem Sie den Schalter deaktivieren — keine E-Mail erforderlich.

(f) Automatische Absturzberichte (alle Nutzer, Opt-out). Wenn die Software abstürzt oder auf einen internen fatalen Fehler trifft, übermittelt sie automatisch einen Diagnosebericht. Dies gilt für jede Installation — kostenlose wie lizenzierte gleichermaßen — und ist standardmäßig aktiviert; Sie können es jederzeit deaktivieren (siehe unten). Dieser Bericht hat die gleiche Inhaltsstruktur und die gleichen Ausschlüsse wie der einwilligungsbasierte Bericht „Problem melden" aus §3.2(c) — er enthält die Bericht-ID, App-Version, .NET-Runtime, Windows-Version, CPU/GPU-Modell, aktive Einstellungen, redigierte Ereignisprotokoll-Zeilen und den Exception-Stack-Trace. Vor der Übermittlung entfernt die Redaktionsschicht Windows- Benutzernamenpfade und bekannte Benutzerprofil-Ordnerpfade (und ersetzt sie durch neutrale Platzhalter wie %LOCALAPPDATA%), ersetzt E-Mail-Adressen durch <email> und GUIDs durch <guid> und verwirft jede Protokollzeile, die die Software als Benutzerinhalt markiert hat. Zeilen, die diktierten Text, Zwischenablage-Inhalte oder Chat-Nachrichten enthalten, werden niemals erfasst.

Ein stabiler Hash der oberen Stack-Frames wird lokal berechnet, damit der Server wiederholte Berichte zum gleichen Absturz deduplizieren kann, und die Software merkt sich, welche Signaturen sie bereits gesendet hat, sodass ein einzelner wiederkehrender Fehler nicht zweimal gemeldet wird. Die Software begrenzt automatische Berichte außerdem auf 5 pro Gerät pro Tag, um sich gegen Crash- Loop-Fluten zu schützen.

Wenn Sie eine aktive Lizenz besitzen, hängen wir deren JWT-Kennung (ein 32-stelliger opaker Wert — nicht der Lizenzschlüssel selbst) an jeden automatischen Bericht an, damit der Entwickler Cluster von Abstürzen bestimmten Versionen oder betroffenen Kunden zuordnen und zur Nachverfolgung Kontakt aufnehmen kann. Berichte von Installationen ohne Lizenz tragen keine Lizenz-Kennung und kein sonstiges Konto-Handle.

Sie können automatische Absturzberichte jederzeit über dasselbe Kontrollkästchen „Anonyme Diagnose- und Absturzberichte teilen" im Fenster „Über" deaktivieren, auf das in §3.2(e) verwiesen wird — dieses eine Bedienelement regelt auch diesen Kanal. Das Kontrollkästchen ist standardmäßig eingeschaltet, weil schnelle Rückmeldungen zu Produktionsabstürzen es einem kleinen Team ermöglichen, Fehler rasch für alle zu finden und zu beheben; das Deaktivieren versetzt Sie zurück in den manuellen „Problem melden"-Ablauf.

Wir speichern automatische Absturzberichte 30 Tage für die aktive Fehlersuche, danach wird die vollständige Nutzlast gelöscht. Aggregierte Zählungen (Anzahl, wie oft eine bestimmte Stack-Signatur aufgetreten ist, in welchen Versionen) werden 12 Monate zur Regressionsverfolgung gespeichert; die aggregierten Daten enthalten keine identifizierenden Informationen.

Rechtsgrundlage: berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — Softwarequalität, Sicherheit und Stabilität. Der Opt-out- Schalter, die strenge Redaktion, die kurze Aufbewahrung und das Fehlen von Benutzerinhalten halten die Verarbeitung zusammen innerhalb der Abwägungsprüfung des berechtigten Interesses.

4. Lokale Daten auf Ihrem Gerät

Die Software speichert auf Ihrem Gerät unter %LOCALAPPDATA%\CommanderFlowApp\ (und das Benutzerunterverzeichnis %LOCALAPPDATA%\CommanderFlow\):

settings.json — Ihre Einstellungen (UI-Sprache, Tastenkombination, Audiogerät usw.);
models/ — heruntergeladene KI-Modelle (~2 GB);
logs/ — rotierende Serilog-Protokolldateien (7-Tage-Aufbewahrung; enthalten keine Benutzerinhalte — nur diagnostische Ereignisse und Fehler);
license.dat — DPAPI-verschlüsseltes Lizenz-Vertrauensartefakt (nur bei Pro-Lizenz).

Die Deinstallation von Commander Flow entfernt die Anwendungsbinärdateien; Sie können auch die obigen Datenordner löschen, um Einstellungen, Modelle und das Lizenzartefakt zu entfernen.

5. Auftragsverarbeiter und Datenempfänger

Folgende Parteien verarbeiten personenbezogene Daten in unserem Auftrag oder im Zusammenhang mit der Software und der Marketing-Website:

Auftragsverarbeiter	Rolle	Land	Daten
Stripe Payments Europe, Ltd.	Zahlungsabwicklung & Steuern (Stripe + Stripe Tax)	Irland (EU)	Kartendaten, Rechnungsadresse, Wohnsitzland — nur bei Käufen
Time4VPS	VPS-Hosting (`license.ptrs.ltd`, `commander-flow.pro` Modell-CDN, Mailserver)	Litauen (EU)	Lizenzschlüssel, E-Mail, Hardware-Fingerabdruck, Modell-Download-Logs, Mail-Verkehr
Google Ireland Ltd. (Google Analytics 4)	Anonyme Website-Traffic-Analyse, nur mit Cookie-Einwilligung	Irland (EU) mit möglicher Weiterleitung in die USA gemäß EU-US Data Privacy Framework	Pseudonyme Client-ID, Seiten-URL, Referrer, grobe Geo-Lokalisierung, Browser-Metadaten
Google Ireland Ltd. (Google Ads)	Messung von Kauf-Konversionen („Enhanced Conversions" und serverseitige Konversionsmeldung), nur mit Marketing-Cookie-Einwilligung	Irland (EU) mit möglicher Weiterleitung in die USA gemäß EU-US Data Privacy Framework	SHA-256-gehashte Käufer-E-Mail, Anzeigen-Klick-Kennung, Bestell-ID, Betrag und Währung — nur bei Käufen mit Einwilligung
Google Ireland Ltd. (Google Fonts)	Auslieferung von Web-Fonts für die Marketing-Site	Irland (EU) mit möglicher Weiterleitung in die USA	Vom Browser übermittelte IP-Adresse (wird nicht gespeichert oder mit einem Konto verknüpft)

Aktivierungs- und sonstige transaktionale E-Mails werden von einem selbst gehosteten Mailserver in der Domain commander-flow.pro versendet, der auf demselben VPS wie das Lizenz-Backend betrieben wird. Es wird kein externer E-Mail-Marketing-Anbieter verwendet; keine dritte Partei erhält von uns Ihre E-Mail-Adresse zu diesem Zweck.

6. Speicherdauer

Lizenzdaten (Lizenzschlüssel, E-Mail, Fingerabdruck, Kaufmetadaten): während der Laufzeit Ihrer Lizenz plus 24 Monate nach Ablauf, danach gelöscht, sofern keine steuerrechtliche Aufbewahrung erforderlich ist (das polnische Steuerrecht verlangt i. d. R. eine Rechnungsaufbewahrung von 5 Jahren).
Server-Zugriffsprotokolle (Modell-CDN, Lizenzserver): 30 Tage zur Sicherheit und Fehlersuche, danach gelöscht.
Von Ihnen gesendete Diagnoseberichte: 180 Tage zur Fehlersuche, danach gelöscht.
Anonyme Diagnoseereignisse (install/startup/update/uninstall, §3.2(e)): 90 Tage.
Automatische Absturzberichte (alle Nutzer, §3.2(f)): vollständige Nutzlast 30 Tage; aggregierte Stack-Signatur-Zählungen werden 12 Monate ohne identifizierende Daten aufbewahrt.
Anwendungsprotokolle auf Ihrem Gerät: 7-Tage-Rotation, vollständig in Ihrer Kontrolle.

7. Ihre Rechte

Wenn Sie betroffene Person in der EU/EWR sind, stehen Ihnen nach DSGVO folgende Rechte zu:

Auskunftsrecht (Art. 15) — eine Kopie der über Sie gespeicherten Daten zu erhalten;
Recht auf Berichtigung (Art. 16) — unrichtige Daten korrigieren zu lassen;
Recht auf Löschung (Art. 17) — „Recht auf Vergessenwerden";
Recht auf Einschränkung der Verarbeitung (Art. 18);
Recht auf Datenübertragbarkeit (Art. 20) — Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten;
Widerspruchsrecht (Art. 21) — einschließlich Widerspruch gegen eine auf berechtigten Interessen beruhende Verarbeitung;
Recht auf Widerruf der Einwilligung (Art. 7) — für einwilligungsbasierte Diagnoseberichte;
Recht, keiner automatisierten Entscheidungsfindung unterworfen zu werden (Art. 22) — wir führen eine solche Verarbeitung nicht durch.

Zur Ausübung dieser Rechte wenden Sie sich an inbox@commander-flow.pro. Wir antworten innerhalb von 30 Tagen.

Sie haben außerdem das Recht, eine Beschwerde bei der polnischen Datenschutzaufsichtsbehörde einzureichen:

Prezes Urzędu Ochrony Danych Osobowych (UODO) ul. Stawki 2, 00-193 Warschau, Polen https://uodo.gov.pl +48 22 531 03 00

Wenn Sie in einem anderen EU/EWR-Land wohnen, können Sie die Beschwerde auch bei Ihrer örtlichen Aufsichtsbehörde einreichen.

8. Internationale Übermittlungen

Die gesamte lizenzbezogene Verarbeitung erfolgt innerhalb der EU (VPS in Litauen, Stripe in Irland); die in §3.2 (e) beschriebene anonyme Lifecycle-Telemetrie wird auf demselben litauischen VPS empfangen und gespeichert. Die Marketing-Website integriert Google Analytics 4, die Google-Ads-Konversionsmessung und Google Fonts; bei Ihrer Einwilligung in Analyse-Cookies können Ihre pseudonymen Interaktionsdaten — und, wenn Sie in Marketing-Cookies einwilligen und einen Kauf abschließen, die in §10 beschriebenen gehashten Konversionsdaten — von Google von Irland in die USA weitergeleitet werden. Diese Übermittlung stützt sich auf den am 10. Juli 2023 von der Europäischen Kommission angenommenen Angemessenheitsbeschluss EU-US Data Privacy Framework, auf dessen Grundlage Google LLC zertifiziert ist. Weitere Übermittlungen außerhalb des EWR finden nicht statt.

9. Sicherheit

Lizenzserver-Verkehr ist mit TLS verschlüsselt;
Lizenz-Vertrauensartefakte auf Ihrem Gerät sind durch Windows DPAPI geschützt, gebunden an Ihr Benutzerkonto;
Der Lizenzserver läuft auf einem gehärteten VPS mit eingeschränktem SSH-Zugang;
Stripe ist PCI-DSS-konform für die gesamte Kartendatenverarbeitung;
Diagnoseberichte werden vor der Übermittlung mit HMAC signiert, um Manipulationen während der Übertragung zu verhindern.

10. Cookies und Website-Analyse

Die Marketing-Website commander-flow.pro verwendet Cookies und den localStorage Ihres Browsers wie folgt:

Unbedingt erforderlich (immer aktiv, keine Einwilligung erforderlich, Ausnahme nach Art. 5 Abs. 3 ePrivacy-Richtlinie „strictly necessary"): Speichern Ihrer Sprachauswahl, Speichern Ihrer Cookie-Einwilligungsentscheidung, Ausblenden des Banner- Hinweises. Dritte lesen diese nicht.
Analyse — Google Analytics 4 (nur mit Ihrer Einwilligung): pseudonyme Traffic-Statistik. Standardzustand „denied" über Google Consent Mode v2; bis zu Ihrer Einwilligung erhält GA nur anonyme Pings ohne Cookies.
Marketing — Google-Ads-Konversionsmessung (nur mit Ihrer Einwilligung): wird ausschließlich für die unten beschriebene Kaufmessung genutzt. Wenn Sie nicht einwilligen, bleibt diese Kategorie deaktiviert und es werden keine Daten zu Werbezwecken an Google gesendet.

Kaufmessung („Enhanced Conversions"). Wenn auf unserer Website ein Kauf abgeschlossen wird und Sie in Marketing-Cookies eingewilligt haben, melden wir diese einzelne Konversion an Google, damit unsere Werbung gemessen werden kann:

Ihre beim Bezahlvorgang angegebene E-Mail-Adresse wird an die gtag-Nutzerdaten-Schnittstelle von Google übergeben, die sie vor dem Versand hasht (SHA-256) — Google erhält den Hash, niemals die Klartext-Adresse;
wir können den Kauf zusätzlich serverseitig an Google Ads melden: die Klick-Kennung der Anzeige, die Sie auf die Website gebracht hat, die Bestell-ID und den gezahlten Betrag (mit Währung). Diese serverseitige Meldung respektiert dieselbe Cookie-Einwilligungsentscheidung, die Sie im Banner getroffen haben.

Ohne Ihre Marketing-Einwilligung werden keinerlei Kaufdaten an Google gesendet.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), erteilt im Einwilligungsbanner und jederzeit widerrufbar über den Link „Cookie-Einstellungen" in der Fußzeile.

Sie können diese Auswahl jederzeit über den Link „Cookie- Einstellungen" in der Fußzeile der Website überprüfen und ändern, der das Einwilligungsbanner erneut öffnet. Der Widerruf der Einwilligung ist genauso einfach wie die Erteilung.

11. Kinder

Commander Flow ist ein Produktivitätswerkzeug für berufstätige Erwachsene und richtet sich nicht an Kinder. Wir erheben nicht wissentlich personenbezogene Daten von Kindern unter dem in ihrer Jurisdiktion geltenden Mindestalter für die digitale Einwilligung (DSGVO-Basislinie: 16 Jahre; einige EU/EWR-Mitgliedstaaten haben dies auf 13 Jahre abgesenkt). Sollten Sie der Auffassung sein, dass ein Kind unter diesem Alter uns personenbezogene Daten übermittelt hat, wenden Sie sich bitte an inbox@commander-flow.pro, und wir werden die Daten unverzüglich löschen.

12. Änderungen dieser Erklärung

Bei wesentlichen Änderungen dieser Datenschutzerklärung zeigt die nächste Version der Software den aktualisierten Text an und verlangt vor Ausführung Ihre Annahme. Wir geben die Version und das Datum am Anfang dieses Dokuments bei jeder Aktualisierung an.

13. Kontakt

E-Mail: inbox@commander-flow.pro
Postanschrift: Peter's Engineering JDG, ul. KEN 19, 02-797 Warschau, Polen
Website: https://commander-flow.pro