Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
Dein Immo Tresor GmbH
vertreten durch den Geschäftsführer Marvin Marcel Michael Himmelsbach
Q7 24, 68161 Mannheim
Telefon: +49 621 49084770
E-Mail: info@deinimmotresor.de
(nachfolgend „Anbieter“)

Anfragen zum Datenschutz: datenschutz@deinimmotresor.de. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG nicht zu benennen.

2. Verarbeitungen, Zwecke und Rechtsgrundlagen

Die Anwendung dient Nutzern zur Verwaltung und Auswertung von Immobilien, Mietverhältnissen und Finanzierungen. Die folgenden Abschnitte nennen je Vorgang die verarbeiteten Daten, den Zweck und die Rechtsgrundlage.

a) Besuch der Website

Beim Aufruf einer Seite übermittelt der Browser Verbindungsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Zugriffsstatus, übertragene Datenmenge, Referrer, Browser und Betriebssystem). Sie werden zur Auslieferung der Seite, zur Erkennung von Störungen und zur Abwehr von Angriffen verarbeitet (Art. 6 Abs. 1 lit. f DSGVO: sicherer und stabiler Betrieb) und beim Hoster (Abschnitt 3a) kurzzeitig gespeichert. Schriftarten werden von den Servern des Anbieters ausgeliefert; eine Verbindung zu Google Fonts oder anderen Schriftanbietern entsteht nicht.

b) Konto

Für ein Konto sind E-Mail-Adresse, Vorname, Nachname und ein Passwort erforderlich; das Passwort wird ausschließlich als Hash gespeichert. Der Anbieter vergibt einen Benutzernamen, der in den Einstellungen geändert werden kann und nur bei einem Inserat im Marktplatz öffentlich wird (Abschnitt 2g). Bei einem kostenpflichtigen Abonnement kommt die Rechnungsanschrift hinzu. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zum Schutz des Kontos verarbeitet der Anbieter die aktiven Sitzungen (Gerät, Browser, Zeitpunkt der letzten Aktivität, IP-Adresse; in den Einstellungen einsehbar und beendbar), die bekannten Geräte (Browser und Betriebssystem) für die Warnung per E-Mail bei einer Anmeldung von einem unbekannten Gerät sowie bei aktiviertem Zwei-Faktor-Login das Geheimnis der Authenticator-App. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Kontos), Art. 32 DSGVO.

Führt ein Link mit Kampagnenangaben auf die Website (etwa aus einer Anzeige, unter einem Video oder über den QR-Code eines Flyers) und wird danach ein Konto angelegt, speichert der Anbieter zum Konto Quelle, Medium, Kampagne und Inhalt dieses Links sowie die Seite der Registrierung. Kennungen einzelner Anzeigenklicks werden nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Erfolgsmessung der eigenen Werbung). Die Angabe wird mit dem Konto gelöscht; wie lange der Browser sie vorhält, regelt Abschnitt 4.

c) Inhalte des Nutzers

Objekte, Kaufpreise, Darlehen, Mieten, Mieter, Kontakte, Versicherungen, Zählerstände, Dokumente und hochgeladene Dateien werden ausschließlich zur Bereitstellung der Anwendung verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Sie sind auf Datenbankebene an das Konto gebunden (Row-Level Security) und für Dritte nur sichtbar, soweit der Nutzer sie freigibt.

Für personenbezogene Daten Dritter, die der Nutzer einträgt (etwa Mieter, Hausverwaltungen, Handwerker), ist der Nutzer Verantwortlicher; der Anbieter verarbeitet sie als Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag.

Der Nutzer kann eine Zusammenfassung seines Portfolios oder eines Objekts über einen Link freigeben, auf Wunsch mit Passwort; der Link zeigt nur die freigegebenen Angaben und kann jederzeit zurückgezogen werden. Bei einer Einladung in das Team werden die E-Mail-Adresse der eingeladenen Person und der erteilte Zugriffsumfang verarbeitet. Der Kalender-Abruf nutzt eine Adresse mit geheimem Schlüssel, der unter „Termine“ jederzeit erneuert werden kann.

d) E-Mails aus der Anwendung

Der Anbieter versendet vertragsbezogene E-Mails (Bestätigungen, Rechnungen, Sicherheitshinweise, Hinweise zum Ende der Testphase und vor einer Kontolöschung, Erinnerungen an ablaufende Inserate) sowie, nur bei aktivierter Einstellung, einen monatlichen Portfolio-Bericht und Hinweise zu Fristen (Zinsbindung, Mietanpassung, Nebenkostenabrechnung, Energieausweis, Kaution, Grundsteuer). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Berichte und Hinweise lassen sich mit einem Klick in jeder E-Mail oder in den Einstellungen abbestellen; welche Hinweise bereits versandt wurden, wird vermerkt, um Doppelungen zu vermeiden.

e) Nutzung des Versicherungs-Formulars

Mit dem Absenden des Versicherungs-Formulars werden die E-Mail-Adresse und die eingegebenen Objektdaten an den im Formular genannten Versicherungspartner übermittelt, damit dieser ein Angebot erstellen kann. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wortlaut der Einwilligung, Zeitpunkt, IP-Adresse und Browser werden als Nachweis protokolliert (lead_consents, Art. 7 Abs. 1 DSGVO). Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerruflich.

f) Finanzierungs-Weiterleitung und Partner-Links

Für Finanzierungen und Gutachten gibt es kein Formular; der Anbieter übermittelt keine personenbezogenen Daten an diese Partner. Die Schaltfläche öffnet die Website des Partners in einem neuen Tab; Angaben macht der Nutzer dort, und es gilt die Datenschutzerklärung des Partners. Die Selbsteinschätzung im Hinweisfenster (Eigenkapital, Einkommen, Schufa) wird weder gespeichert noch übertragen; eine Bonitätsprüfung oder automatisierte Entscheidung (Art. 22 DSGVO) findet nicht statt.

Protokolliert wird nur, dass eine Weiterleitung stattgefunden hat (Zeitpunkt, Anlass, ausgehende Seite), zur Abrechnung mit dem Partner (Art. 6 Abs. 1 lit. f DSGVO). Bei angemeldeten Nutzern wird die Weiterleitung dem Konto zugeordnet; bei nicht angemeldeten Besuchern (öffentlicher Rechner, eingebetteter Rechner) werden weder IP-Adresse noch Browser gespeichert.

g) Marktplatz

Inserieren. Mit der Veröffentlichung eines Inserats werden die eingegebenen Objekt- und Inseratsdaten samt Bildern öffentlich, dazu eine Anbieter-Seite mit Benutzername, Profilbild (sofern gesetzt) und aktiven Inseraten; die Angabe, ob privat oder gewerblich angeboten wird, steht am Inserat. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Inserate können jederzeit zurückgezogen oder gelöscht werden.

Kontaktdaten des Inserenten. Eine freiwillig angegebene E-Mail-Adresse oder Telefonnummer wird nur angemeldeten Nutzern angezeigt, nicht anonymen Besuchern oder Suchmaschinen. Rechtsgrundlage: Einwilligung durch die Angabe (Art. 6 Abs. 1 lit. a DSGVO); die Angaben können jederzeit im Inserat entfernt werden.

Anfragen. Nachricht, Name, E-Mail-Adresse und Telefonnummer des Anfragenden werden dem Inserenten in dessen Postfach und per E-Mail zugestellt (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahme); der Bearbeitungsstatus gehört zur Anfrage. Beim Inserenten entsteht daraus ein Kontakt mit Notiz, für den er eigenständig verantwortlich ist. Freiwillige Angaben zu Finanzierung, Kaufzeitpunkt und Erfahrung sieht nur dieser Inserent; eine Weitergabe an Dritte findet nicht statt. Die Löschung einer Anfrage kann beim Inserenten oder beim Anbieter verlangt werden.

Merkliste und Suchagent. Angemeldete Nutzer können Inserate merken und Suchkriterien speichern; für einen Suchagenten prüft der Anbieter täglich auf passende Inserate und benachrichtigt per E-Mail (Art. 6 Abs. 1 lit. b DSGVO). Beides löscht der Nutzer selbst.

Meldung eines Inserats. Grund, Nachricht und IP-Adresse des Meldenden werden zur Prüfung der Meldung und zur Erkennung von Missbrauch verarbeitet (Art. 6 Abs. 1 lit. f DSGVO); der Inserent erfährt nicht, wer gemeldet hat. Bei einer Sperre erhält der Inserent eine Nachricht mit der Begründung und kann widersprechen; Meldung, Entscheidung und Begründung werden als Nachweis aufbewahrt (Art. 17 Digital Services Act).

h) Feedback-Formular

Verarbeitet werden Nachricht, Kategorie, aufrufende Seite und, sofern angegeben, die E-Mail-Adresse für Rückfragen; zur Abwehr von Missbrauch zusätzlich IP-Adresse und User-Agent. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verbesserung des Angebots, Bearbeitung der Meldung), für die freiwillige E-Mail-Adresse Art. 6 Abs. 1 lit. a DSGVO. Eine Weitergabe an Dritte findet nicht statt. IP-Adresse und User-Agent werden nach 7 Tagen gelöscht, die übrigen Angaben nach 12 Monaten.

i) Community-Benchmark

Mit Einwilligung in den Einstellungen (Opt-in, jederzeit widerruflich; Zeitpunkt von Einwilligung und Widerruf werden als Nachweis gespeichert, Art. 7 DSGVO) fließen ausgewählte Kennzahlen des Portfolios (etwa Brutto- und Nettomietrendite, Eigenkapitalrendite, Beleihungsauslauf, Cashflow-Kennzahlen) in einen anonymen, aggregierten Vergleich ein (Art. 6 Abs. 1 lit. a DSGVO). Die Auswertung läuft nächtlich; eine Gruppe wird erst ab 30 teilnehmenden Konten ausgewertet (k-Anonymität), berechnet werden Mittelwert und Quartile, keine Einzelwerte, Adressen, Namen oder Objektkennungen. Nach der Anonymisierung liegen keine personenbezogenen Daten mehr vor. Zweck ist der Vergleich mit dem Durchschnitt in der Anwendung und die Erstellung anonymer Marktberichte; eine Weitergabe an Dritte findet derzeit nicht statt.

j) Newsletter

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Erst mit dem Klick auf den Bestätigungslink gilt die Einwilligung als erteilt. Verarbeitet werden E-Mail-Adresse und Anmeldezeitpunkt sowie als Nachweis IP-Adresse und User-Agent (Art. 7 Abs. 1 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG. Die Bestätigungs-E-Mail wird über Resend (Abschnitt 3d) versandt; erst nach der Bestätigung wird die E-Mail-Adresse an Brevo (Abschnitt 3h) übermittelt. Der Widerruf ist jederzeit über den Abmeldelink in jeder Ausgabe oder per E-Mail an info@deinimmotresor.de möglich; danach wird die Adresse aus der Versandliste entfernt, der Nachweis nach Abschnitt 5 aufbewahrt.

Wird das Ergebnis des öffentlichen Rechners per E-Mail angefordert, werden die eingegebenen Zahlen allein für die sofortige Zusendung des Reports als PDF verarbeitet und nicht gespeichert (Art. 6 Abs. 1 lit. b DSGVO). Mit der Anforderung wird zugleich die Anmeldung zum Newsletter eingeleitet; darauf weist ein Satz vor dem Absenden hin. Dafür wird die E-Mail-Adresse wie oben gespeichert; der Newsletter wird erst versandt, nachdem der Bestätigungslink in einer zweiten E-Mail angeklickt wurde.

Kunden mit kostenpflichtigem Abonnement erhalten den Newsletter zu neuen Funktionen und Fristen auch ohne gesonderte Anmeldung an die E-Mail-Adresse des Kontos. Rechtsgrundlage: berechtigtes Interesse an der Information eigener Kunden über ähnliche Leistungen (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG). Der Nutzer kann dem jederzeit widersprechen, mit einem Klick in jeder E-Mail oder in den Einstellungen, ohne andere Kosten als die Übermittlungskosten nach den Basistarifen; darauf wird vor dem Abschluss und in jeder Ausgabe hingewiesen.

k) Objektbewertung per E-Mail

Das Ergebnis der Werteinschätzung ist ohne Angabe von Kontaktdaten im Browser sichtbar. Die Zusendung per E-Mail ist freiwillig und erfolgt im Double-Opt-in-Verfahren (Bestätigungslink und Klick auf „Bestätigen“). Verarbeitet werden E-Mail-Adresse, auf Wunsch Name und Telefonnummer, die eingegebenen Objektangaben sowie als Nachweis der Wortlaut der Einwilligung, Zeitpunkt, IP-Adresse und User-Agent (Art. 7 Abs. 1 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Zweck ist allein die Zusendung der Werteinschätzung als E-Mail mit der Herleitung als PDF-Anhang; eine Weitergabe an Dritte findet nicht statt. Der Widerruf ist jederzeit per E-Mail möglich; danach werden die Kontaktdaten gelöscht. Nicht bestätigte Anfragen werden nach 30 Tagen gelöscht, bei bestätigten Anfragen Kontaktdaten und Objektangaben nach 12 Monaten; der Einwilligungsnachweis wird nach Abschnitt 5 aufbewahrt.

l) Kündigung und Widerruf über die Schaltflächen

Über „Verträge kündigen“ und „Vertrag widerrufen“ in der Fußzeile kann die Kündigung oder der Widerruf online erklärt werden, auch ohne Anmeldung (§ 312k, § 356a BGB). Verarbeitet werden Name, die E-Mail-Adresse des Vertrags, bei der Kündigung die Postleitzahl der Rechnungsanschrift sowie Art, Grund und gewünschter Zeitpunkt, beim Widerruf auf Wunsch Bestelldatum und Bemerkung, außerdem der Zeitpunkt des Zugangs und die IP-Adresse.

Name, E-Mail-Adresse und Postleitzahl werden mit den Angaben am Vertrag abgeglichen, um die Erklärung zuzuordnen; die IP-Adresse dient der Erkennung von Erklärungen im Namen Dritter. Erklärung und Zugangszeitpunkt werden am Vertrag beim Zahlungsdienstleister (Abschnitt 3c) vermerkt, die Bestätigung wird per E-Mail versandt. Angemeldete Nutzer werden über ihr Konto zugeordnet und geben weder Postleitzahl noch E-Mail-Adresse an.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Vertrags) und lit. c DSGVO (gesetzliche Pflicht zur Bestätigung des Zugangs), für die Erkennung von Missbrauch Art. 6 Abs. 1 lit. f DSGVO. Erklärung und Bestätigung gehören zu den Vertragsunterlagen (Abschnitt 5).

m) Anfragen per E-Mail oder Telefon

Angaben aus Anfragen werden zu deren Bearbeitung verarbeitet (Art. 6 Abs. 1 lit. b DSGVO, ohne Vertragsverhältnis Art. 6 Abs. 1 lit. f DSGVO). Vor Eingriffen in ein Konto verlangt der Anbieter eine Nachricht von der E-Mail-Adresse des Kontos sowie die Postleitzahl der Rechnungsanschrift oder eine Rechnungsnummer. Die Nachrichten werden nach Erledigung des Anliegens, spätestens nach drei Jahren gelöscht.

n) Eingebetteter Rechner und eingebettete Wertermittlung auf fremden Websites

Beim Aufruf einer Website, die den Ankaufsrechner oder die Wertermittlung einbettet, fließen keine Daten an den Anbieter, bis der Besucher dort „Rechner starten“ klickt; dann lädt der Browser das Werkzeug vom Server des Anbieters (Verbindungsdaten wie in Abschnitt 2a). In der eingebetteten Wertermittlung werden keine Kontaktdaten erhoben; im eingebetteten Ankaufsrechner kann das Ergebnis wie in Abschnitt 2 j per E-Mail angefordert werden. Marketing-Werkzeuge laufen in beiden nicht. Für die einbettende Website ist deren Betreiber verantwortlich.

3. Hosting, Auftragsverarbeiter und weitere Empfänger

Mit jedem Dienstleister, der Daten im Auftrag des Anbieters verarbeitet, besteht ein Vertrag nach Art. 28 DSGVO. Übermittlungen in Drittländer sind, soweit nachfolgend genannt, durch die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und bei zertifizierten Anbietern zusätzlich durch das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023) abgesichert. Weitere Empfänger gibt es nur, soweit diese Erklärung sie nennt oder eine gesetzliche Pflicht besteht.

a) Vercel — Hosting

Betrieb der Anwendung; Verarbeitung von IP-Adresse und Verbindungsdaten zur Auslieferung und zum Schutz vor Angriffen. Serverseitige Verarbeitung in der EU-Region Frankfurt; nur zwischengespeicherte statische Inhalte werden über das weltweite Netz ausgeliefert. Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA; EU-Standardvertragsklauseln und EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

b) Supabase — Datenbank, Anmeldung und Dateispeicher

Speicherung aller Inhaltsdaten, Konten und hochgeladenen Dateien sowie die Anmeldung (Passwort-Hashes, Zwei-Faktor-Geheimnisse) in der EU-Region Frankfurt. Supabase Inc., 970 Toa Payoh North #07-04, Singapur; EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

c) Stripe — Zahlungsabwicklung

Zahlungsdaten (Kartennummer, SEPA-Mandat) gibt der Nutzer direkt bei Stripe ein; sie erreichen den Server des Anbieters nicht. Der Anbieter speichert Kunden- und Abonnement-Kennung, den Status des Abonnements und die Rechnungsanschrift; Rechnungen erstellt und verwahrt Stripe. Stripe ist für die Zahlungsabwicklung eigenständig verantwortlich. Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

d) Resend — Versand der E-Mails aus der Anwendung

Versand aller E-Mails der Anwendung (Anmeldung, Passwort zurücksetzen, Bestätigungen, Berichte, Hinweise, Sicherheitswarnungen); verarbeitet werden E-Mail-Adresse und Inhalt der jeweiligen E-Mail. Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA; EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

e) Sentry — Fehlerberichte

Bei einem Fehler in der Anwendung werden technische Diagnosedaten (Fehlermeldung, betroffene Stelle im Programm, Browser- und Geräteangaben, IP-Adresse) übermittelt; keine Sitzungsaufzeichnung, kein Leistungs-Tracking, Verarbeitung in der EU-Region. Functional Software, Inc. (Sentry), 45 Fremont Street, San Francisco, CA 94105, USA; EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

f) Meta-Pixel — Reichweitenmessung, nur mit Einwilligung

Ausschließlich auf den öffentlichen Seiten und nur nach Einwilligung über den Cookie-Hinweis setzt der Anbieter das Meta-Pixel der Meta Platforms Ireland Limited ein, um die Wirkung von Werbung auf Instagram und Facebook zu messen, Besucher ohne Vertrag erneut anzusprechen und ähnliche Zielgruppen zu bilden. Dabei können Nutzungsdaten (IP-Adresse, Browser- und Geräteangaben, besuchte Seiten, Pixel- und Cookie-Kennungen) an Meta übermittelt und teilweise in den USA verarbeitet werden (EU-Standardvertragsklauseln). Für Erhebung und Übermittlung sind der Anbieter und Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung stellt Meta bereit. In der angemeldeten Anwendung und im eingebetteten Rechner läuft das Pixel nie; Objekt-, Finanz- und Mieterdaten werden nicht an Meta übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG; Widerruf jederzeit über „Cookie-Einstellungen“ in der Fußzeile. Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.

g) Umami — Reichweitenmessung ohne Cookies

Auf den öffentlichen Seiten (nicht in der angemeldeten Anwendung) erfasst Umami aufgerufene Seiten samt den Kampagnenangaben des aufgerufenen Links, einzelne Handlungen auf diesen Seiten (etwa die Nutzung des Rechners oder den Klick auf eine Schaltfläche zur Registrierung), Referrer, Land, Browser- und Gerätetyp ohne Cookies und ohne geräteübergreifende Profile; die IP-Adresse wird nur flüchtig verarbeitet und nicht gespeichert, eine Identifizierung einzelner Besucher ist nicht möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verbesserung des Angebots). Umami legt nichts im Speicher des Endgeräts ab und liest dort allein einen Schalter, mit dem sich die Messung abschalten lässt (§ 25 Abs. 2 Nr. 2 TDDDG). Umami Software, Inc., 28 Geary St, Suite 650 #243, San Francisco, CA, USA; EU-Standardvertragsklauseln.

h) Brevo — Versand des Newsletters

Versand und Verwaltung des Newsletters; übermittelt werden ausschließlich die E-Mail-Adressen bestätigter Abonnenten (Abschnitt 2j) sowie die zum Versand und zur Erfolgsmessung anfallenden technischen Daten (Zustellung, Öffnungen, Klicks). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Vertragspartnerin und Auftragsverarbeiterin ist die Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, eingetragen im Handelsregister des Amtsgerichts Charlottenburg (Berlin) unter HRB 133191 B, eine Tochtergesellschaft der Sendinblue SAS, 17 rue de Salneuve, 75017 Paris, Frankreich. Eine Übermittlung in ein Drittland findet für diesen Dienst nicht statt.

i) ALL-INKL.COM — E-Mail-Postfächer

Die E-Mail-Adressen des Anbieters unter deinimmotresor.de betreibt die ALL-INKL.COM - Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf. Nachrichten an den Anbieter liegen in diesen Postfächern bis zur Erledigung des Anliegens (Abschnitt 2m). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

j) YouTube — Videos auf den öffentlichen Seiten

Auf einigen öffentlichen Seiten sind Videos eingebunden, die bei YouTube liegen. Beim Aufruf der Seite wird nur ein Vorschaubild vom Server des Anbieters geladen; eine Verbindung zu YouTube entsteht erst, wenn der Besucher das Video anklickt. Es wird dann im erweiterten Datenschutzmodus (youtube-nocookie.com) geladen; Google erhält IP-Adresse sowie technische Angaben zu Browser und Gerät, kann Informationen im Browser ablegen und den Abruf einem bestehenden Google-Konto zuordnen. Rechtsgrundlage ist die Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); sie gilt für diesen einen Abruf. Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Verarbeitung in den USA ist durch das EU-US Data Privacy Framework abgesichert. In der angemeldeten Anwendung gibt es keine eingebetteten Videos.

4. Cookies und Speicher im Browser

Technisch notwendige Cookies und der Speicher des Browsers (localStorage, sessionStorage) dienen der Anmeldung, dem Merken der Cookie-Auswahl, dem Zwischenspeichern von Eingaben des öffentlichen Rechners und Einstellungen der Oberfläche. Der Hoster setzt zusätzlich ein technisch notwendiges Cookie (__vdpl), das nur festhält, welche Fassung der Seite der Browser geladen hat. Diese Zugriffe sind einwilligungsfrei (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO).

Marketing-Cookies, konkret das Meta-Pixel (Abschnitt 3f), werden nur auf den öffentlichen Seiten und nur mit Einwilligung gesetzt (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die über den Cookie-Hinweis erteilt und jederzeit über „Cookie-Einstellungen“ in der Fußzeile geändert oder widerrufen werden kann. Mit derselben Einwilligung hält der Browser für 30 Tage die Kampagnenangaben des Links fest, über den der Besuch kam (Abschnitt 2b); ohne Einwilligung bleiben sie für die Dauer des Besuchs im Arbeitsspeicher der Seite und werden nicht auf dem Endgerät abgelegt, mit dem Widerruf wird der Eintrag gelöscht. Die Wahl wird mit Zeitpunkt und Fassung des Hinweises im Browser des Besuchers gespeichert, nicht beim Anbieter. In der angemeldeten Anwendung findet kein Marketing-Tracking und kein Profiling statt.

5. Speicherdauer

Inhaltsdaten werden gespeichert, solange das Konto besteht. Konten, deren Abonnement seit mehr als 12 Monaten ununterbrochen beendet ist, werden nach vorheriger Ankündigung per E-Mail automatisch mit allen Inhaltsdaten und Dateien gelöscht (Art. 5 Abs. 1 lit. e DSGVO). Kündigungs- und Widerrufserklärungen samt Bestätigung werden wie die übrigen Vertragsunterlagen aufbewahrt. Rechnungen und steuerlich relevante Unterlagen werden für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen, bis zu 10 Jahre, aufbewahrt (§ 147 AO, § 257 HGB); sie liegen beim Zahlungsdienstleister.

Einwilligungsnachweise (lead_consents) werden 3 Jahre aufbewahrt. Newsletter-Adressen werden bis zur Abmeldung gespeichert; der Nachweis über Anmeldung, Bestätigung und Widerruf (E-Mail-Adresse, Zeitstempel, IP-Adresse) wird danach 3 Jahre aufbewahrt (Art. 7 Abs. 1 DSGVO). Angeforderte Objektbewertungen (bewertungs_leads) werden ohne Bestätigung nach 30 Tagen gelöscht; mit Bestätigung werden Kontaktdaten und Objektangaben nach 12 Monaten oder sofort nach dem Widerruf gelöscht, der Einwilligungsnachweis wird bis 3 Jahre nach der Bestätigung aufbewahrt. Eine nicht bestätigte Newsletter-Anmeldung wird nach 30 Tagen gelöscht.

Gelöschte Objekte bleiben 30 Tage im Papierkorb und werden dann samt ihren Dateien endgültig gelöscht. Gelöschte Mieter werden nach derselben Frist endgültig gelöscht; der Name bleibt in den gebuchten Mietzahlungen und den vermerkten Mahnschreiben, die zu den Unterlagen des Nutzers gehören. Zum Schutz vor Missbrauch und als Nachweis des Betriebs werden außerdem gespeichert: die Schlüssel der Anfragen-Begrenzung (IP- oder E-Mail-Adresse) für einen Tag; die IP-Adresse zu einer Meldung über ein Inserat für 7 Tage, die Meldung und die Entscheidung dazu für 3 Jahre; das Protokoll kontobezogener Ereignisse (zum Beispiel Weiterleitungen zu Partnern, eine geänderte E-Mail-Adresse, die Löschung eines Kontos) für 3 Jahre; Browser und Betriebssystem der bekannten Geräte bis 12 Monate nach der letzten Anmeldung mit dem Gerät.

Sicherungskopien

Der Datenbank-Anbieter erstellt automatisch Sicherungskopien der Datenbank (rollierende Aufbewahrung bis zu 7 Tage), die allein der Wiederherstellung nach einem Ausfall dienen (Art. 32 DSGVO). Gelöschte Daten verschwinden innerhalb dieses Zeitraums auch aus allen Sicherungen; eine punktuelle Löschung einzelner Einträge aus bestehenden Sicherungen ist technisch nicht möglich.

6. Rechte der betroffenen Person

Betroffene Personen haben gegenüber dem Anbieter das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20); Nutzer können eine Kopie ihrer Daten in maschinenlesbarer Form jederzeit selbst in den Einstellungen herunterladen. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht: Gegen eine Verarbeitung auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) kann aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, jederzeit Widerspruch eingelegt werden (Art. 21 Abs. 1 DSGVO). Gegen Werbung per E-Mail an Kunden kann jederzeit und ohne Angabe von Gründen Widerspruch eingelegt werden (Art. 21 Abs. 2 DSGVO).

Anfragen dazu an datenschutz@deinimmotresor.de oder an die Anschrift in Abschnitt 1. Daneben besteht das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), etwa beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

7. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Angaben bei der Registrierung und bei einer Bestellung sind für den Abschluss und die Erfüllung des Vertrags erforderlich; ohne sie kann das Konto nicht genutzt werden. Alle übrigen Angaben sind freiwillig. Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt; Berechnungen in der Anwendung sind Auswertungen der Eingaben des Nutzers.

8. Löschung des Kontos

Der Nutzer kann sein Konto mit allen Inhalten jederzeit in den Einstellungen löschen. Dabei werden zunächst alle hochgeladenen Dateien, dann alle Einträge unwiderruflich entfernt, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Abschnitt 5). Ein laufendes Abonnement ist zuvor in den Einstellungen zu kündigen; danach kann das Konto sofort gelöscht werden.

9. Änderungen

Der Anbieter passt diese Erklärung an, wenn eine Verarbeitung hinzukommt oder sich ein Dienstleister ändert; das Datum am Seitenende nennt die aktuelle Fassung. Über Änderungen, die ein laufendes Konto wesentlich betreffen, werden Nutzer per E-Mail informiert.