Datenschutzerklärung

1. Verantwortlicher

Kristijan Varzanovic
Leebgasse 100/6/11
1100 Wien, Österreich
E-Mail: office-flowstate@varzanovic.at
Datenschutzanfragen: flowstate-datenschutz@varzanovic.at

2. Hosting und Server-Logfiles

FLOWSTATE wird bei der helloly GmbH, Rainerstraße 25, 4020 Linz, Österreich, gehostet. Beim Aufruf der Website und App verarbeitet der Hoster technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Ressource, Browser- und Betriebssysteminformationen, Referrer und Server-Statuscodes.

Server-Logfiles werden grundsätzlich höchstens 30 Tage gespeichert und danach gelöscht oder anonymisiert. Eine längere Speicherung erfolgt nur, soweit Daten zur Untersuchung, Dokumentation oder Rechtsverfolgung eines konkreten Sicherheitsvorfalls benötigt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

3. Registrierung und Account-Daten

Für die Erstellung und Nutzung eines FLOWSTATE-Accounts verarbeiten wir insbesondere:

• Benutzername
• E-Mail-Adresse
• Passwort-Hash
• Verifizierungs- und Passwort-Reset-Token
• optional Profilbild und Altersangabe
• technische Account- und Sicherheitseinstellungen

Passwörter werden nicht im Klartext gespeichert, sondern mit der PHP-Passwort-Hashing-Funktion gehasht. Der ursprüngliche Passworttext kann aus dem gespeicherten Hash nicht direkt ausgelesen werden.

Zur Bestätigung der E-Mail-Adresse und für technisch notwendige Account-Nachrichten wird die angegebene E-Mail-Adresse über den für FLOWSTATE eingerichteten Mailserver verarbeitet. Es wird kein Newsletter versendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Account-Daten werden grundsätzlich bis zur Löschung des Accounts gespeichert, soweit keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen.

4. Registrierungsbenachrichtigung über Telegram

Wenn ein neuer FLOWSTATE-Account registriert wird, senden wir über die Telegram Bot API eine automatische betriebliche Benachrichtigung an einen privaten Telegram-Chat des Betreibers. Die Nachricht enthält ausschließlich den gewählten Benutzernamen, die angegebene E-Mail-Adresse und den Registrierungszeitpunkt.

Passwörter, Verifizierungslinks, Habit-Inhalte, Aktivitätsdaten, Profilbilder oder sonstige App-Inhalte werden nicht an Telegram übermittelt. Die Benachrichtigung dient ausschließlich der unmittelbaren Information über neue Accounts, der Betriebsübersicht und der Erkennung ungewöhnlicher Registrierungen.

Empfänger der übermittelten Daten ist Telegram beziehungsweise die für die Telegram-Dienste eingesetzte Infrastruktur. Telegram wird von der Telegram Messenger Inc. betrieben. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums kann nicht ausgeschlossen werden. Weitere Informationen findest du in der Datenschutzerklärung von Telegram.

Rechtsgrundlage ist unser berechtigtes Interesse an der sicheren und nachvollziehbaren Betriebsführung gemäß Art. 6 Abs. 1 lit. f DSGVO. Die Nachricht wird nur so lange im privaten Betreiber-Chat aufbewahrt, wie sie für die betriebliche Übersicht und die Abklärung möglicher Missbrauchsfälle erforderlich ist.

5. Verschlüsselte Habit-, Aktivitäts- und Profildaten

Wenn du FLOWSTATE nutzt, speichern wir Sortierungen, tägliche Status- und Aktivitätseinträge, Fortschrittswerte, Einstellungen und gegebenenfalls hochgeladene Profilbilder. Habit-Bezeichnungen und Habit-Emojis werden dagegen bereits in deinem Browser mit AES-GCM verschlüsselt, bevor sie an den Server übertragen werden.

Der zugehörige zufällig erzeugte Datenschutz-Schlüssel wird ausschließlich im LocalStorage deines Browsers unter einer accountbezogenen Kennung gespeichert und nicht an FLOWSTATE übertragen. In der Datenbank und in serverseitigen Sicherungen liegt bei neu angelegten oder bereits migrierten Habits nur der verschlüsselte Inhalt vor. Betreiber und Administratoren können diese Habit-Inhalte ohne deinen lokalen Schlüssel nicht aus der Datenbank oder aus Backups entschlüsseln und im normalen Betrieb nicht lesen.

Vor Einführung dieser Funktion gespeicherte Habit-Inhalte werden beim nächsten Aufruf eines angemeldeten Nutzers im Browser automatisch verschlüsselt und anschließend serverseitig durch den verschlüsselten Inhalt ersetzt. Bis ein solcher Altbestand durch den jeweiligen Nutzer geöffnet und migriert wurde, kann er technisch noch im bisherigen Format vorliegen.

Du kannst deinen Schlüssel in den App-Einstellungen als Datei sichern und auf einem anderen Gerät wieder importieren. Wenn du den Browser-Speicher löschst, das Gerät wechselst oder den Schlüssel verlierst, ohne zuvor eine Sicherung erstellt zu haben, kann FLOWSTATE die verschlüsselten Habit-Inhalte nicht wiederherstellen oder für dich entschlüsseln.

Rechtsgrundlage für die funktionalen Habit-, Status- und Profildaten ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden grundsätzlich bis zur Löschung des Accounts gespeichert.

6. Cookies und lokale Speicherungen

FLOWSTATE verwendet ausschließlich technisch notwendige beziehungsweise von dir durch die Nutzung ausgelöste Speicherungen:

• PHPSESSID: dient der sicheren Sitzung und kann nach der aktuellen technischen Konfiguration bis zu einem Jahr gültig bleiben. Das Cookie wird mit Secure, HttpOnly und SameSite=Lax gesetzt.
• remember_token: ermöglicht die dauerhafte Anmeldung und wird für bis zu ein Jahr gespeichert. Das Cookie wird mit Secure, HttpOnly und SameSite=Lax gesetzt.
• theme: speichert im LocalStorage die gewählte helle oder dunkle Darstellung, bis die Einstellung geändert oder im Browser gelöscht wird.
• flowstate_cookie_notice_v3: speichert im LocalStorage für höchstens 180 Tage, dass der technische Speicherhinweis geschlossen wurde.
• flowstate_habit_key_v1_<Benutzer-ID>: enthält den ausschließlich in deinem Browser gespeicherten 256-Bit-Schlüssel zur Ver- und Entschlüsselung deiner Habit-Bezeichnungen und Habit-Emojis. Dieser Schlüssel wird nicht an den Server übertragen und bleibt gespeichert, bis du ihn, die Website-Daten im Browser oder deinen FLOWSTATE-Account löschst.
• flowstate_deleted: kann nach einer Account-Löschung kurzfristig für etwa 30 Sekunden gesetzt werden, damit die Bestätigungsseite korrekt angezeigt wird.

Es werden keine Analyse-, Werbe- oder Drittanbieter-Tracking-Cookies eingesetzt. Weitere Details stehen in der Cookie-Richtlinie.

7. Lokale Schriftarten, Tailwind-CSS und Avatare

Die auf FLOWSTATE verwendeten Schriftarten, die benötigte Tailwind-CSS-Datei und Standard-Avatare werden lokal über die eigene Domain bereitgestellt. Beim Laden dieser Ressourcen wird keine direkte Verbindung zu Google Fonts, fonts.gstatic.com, cdn.tailwindcss.com oder ui-avatars.com hergestellt.

Standard-Avatare werden direkt auf dem Server als eingebettete SVG-Daten erzeugt. Der Benutzername wird dafür nicht an einen externen Avatar-Dienst übermittelt.

8. Kein externes Tracking

FLOWSTATE verwendet kein Google Analytics, kein Facebook-Pixel und keine vergleichbaren Analyse- oder Werbedienste. Nutzungsdaten werden nicht für personalisierte Werbung, seitenübergreifende Profile oder den Verkauf an Dritte verwendet.

9. Account-Löschung und Speicherdauer

Über die App-Einstellungen kannst du die Löschung des Accounts auslösen. Dabei werden der Account und die zugehörigen produktiven Habit-, Log- und Profildaten aus der laufenden Datenbank entfernt. Gesetzliche Aufbewahrungs- und Nachweispflichten sowie technisch unvermeidbare, zeitlich begrenzte Sicherungskopien bleiben unberührt.

Reset- und Verifizierungs-Token werden nur so lange gespeichert, wie sie für den jeweiligen Vorgang erforderlich sind. Hochgeladene Profilbilder werden bei einer Account-Löschung entfernt, soweit sie eindeutig dem gelöschten Account zugeordnet sind.

10. Deine Rechte

Du hast insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, soweit eine Verarbeitung auf Einwilligung beruht.

Für Datenschutzanfragen erreichst du uns unter flowstate-datenschutz@varzanovic.at.

Beschwerderecht: Du kannst dich bei der Österreichischen Datenschutzbehörde beschweren.

11. Aktualität

Diese Datenschutzerklärung wird angepasst, wenn sich technische Funktionen oder Datenverarbeitungen ändern.

Stand: 18. Juli 2026