Datenschutzerklärung

Informationen nach Art. 12 ff. DSGVO · Stand: Oktober 2026

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen nach Art. 37 DSGVO, § 38 BDSG liegen nicht vor.

2. Aufruf der Website (Server-Logdateien)

Beim Aufruf dieser Website übermittelt Ihr Browser technisch notwendige Daten an unseren Hoster, der sie in Logdateien speichert:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• übertragene Datenmenge und Meldung über den Erfolg des Abrufs
• verwendeter Browser und Betriebssystem, ggf. die zuvor besuchte Seite

Hosting durch Netlify

Diese Website wird bei Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, USA gehostet. Netlify verarbeitet die oben genannten Zugriffsdaten in unserem Auftrag. Grundlage ist ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Für Übermittlungen in die USA stützt sich Netlify auf die Standardvertragsklauseln der EU-Kommission sowie auf seine Zertifizierung unter dem EU-US Data Privacy Framework.

Bei Netlify laufen außerdem unsere Serverfunktionen: das Auslesen von Unterlagen (Abschnitt 6), der Abruf der Risikokarten (Abschnitt 7) und der Versand einer Anfrage an den Makler (Abschnitt 10). Diese Funktionen laufen in einem Rechenzentrum in den USA (Virginia); die Inhalte, die sie weiterreichen, werden dort verarbeitet, aber nicht gespeichert.

3. Benutzerkonto

Um Ihre Objekte geräteübergreifend zu speichern, können Sie ein Konto anlegen. Ohne Konto bleibt, was Sie erfassen, im Speicher Ihres Browsers (Abschnitt 4).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für alles, was zum Betrieb des Kontos nötig ist. Für die angekreuzten Themen Art. 6 Abs. 1 lit. f (unser Interesse, das Portal nach Bedarf weiterzuentwickeln). Für Produktnachrichten Art. 6 Abs. 1 lit. a (Einwilligung).

Bei jeder Anmeldung speichert Supabase zur Absicherung des Kontos außerdem Zeitpunkt und IP-Adresse in einem Anmeldeprotokoll (Art. 6 Abs. 1 lit. f, Schutz vor Missbrauch).

Speicherdauer: Bis zur Löschung des Kontos. Diese können Sie jederzeit selbst im Portal auslösen; sie wirkt sofort und umfasst alle Ihre Projekte, Fotos und Dateien. Konten, die 24 Monate nicht genutzt wurden, weisen wir per E-Mail auf die bevorstehende Löschung hin und löschen sie 30 Tage später.

Datenbank und Anmeldung durch Supabase

Konten und Objektdaten liegen bei Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, 049513 Singapur, auf Servern in Frankfurt am Main. Supabase verarbeitet die Daten ausschließlich in unserem Auftrag; Grundlage ist ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Gespeichert wird ausschließlich in Frankfurt, Sicherungen eingeschlossen. Supabase hat seinen Sitz in Singapur, für das kein Angemessenheitsbeschluss der EU-Kommission besteht; ein Zugriff im Rahmen von Wartung und Support von außerhalb der EU ist möglich und über die Standardvertragsklauseln der EU-Kommission abgesichert, die Teil des Vertrags sind.

4. Speicherung in Ihrem Browser

Wir setzen keine Cookies. Damit das Portal arbeiten kann, legt es Daten im lokalen Speicher Ihres Browsers ab.

Bis zum 19.08.2026 stand hier ein dritter Eintrag: ein Merker für den Demozugang im sessionStorage. Den gibt es nicht mehr — der Demozugang ist seither ein echtes Konto mit Leserechten, und der Merker war eine Vorführschranke im Browser. Das Portal löscht ihn nur noch, falls er bei jemandem von damals noch herumliegt.

Dazu kommt Cloudflare Turnstile. Öffnen Sie die Anmeldung, kann Turnstile eigene Angaben in Ihrem Browser ablegen, um wiederholte Prüfungen zu vermeiden. Wir haben darauf keinen Zugriff; Näheres steht in Abschnitt 7. Vor der Anmeldung geschieht das nicht.

Rechtsgrundlage: Der Zugriff auf Ihre Endeinrichtung ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil er unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen. Die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO.

Beim Abmelden bleibt der Zwischenspeicher bewusst stehen, damit nichts verloren geht. Sie können ihn über das Leeren der Websitedaten Ihres Browsers jederzeit selbst entfernen.

5. Objektdaten und Fotos

Was Sie zu einem Gebäude erfassen — Adresse, Bauteile, Mietaufstellung, Fotos, hochgeladene Belege — speichern wir in Ihrem Konto, damit Sie von jedem Gerät darauf zugreifen können. Fotos werden vor der Übertragung in Ihrem Browser verkleinert.

Daten Dritter in Ihrem Projekt. Ein Exposé, eine Bauakte oder ein Grundbuchauszug nennt regelmäßig andere Menschen: Verkäufer, Makler, frühere Eigentümer, Handwerksbetriebe. Fotos können Personen, Kennzeichen oder Wohnungseinrichtungen zeigen. Nutzen Sie das Portal als Privatperson für Ihren eigenen Hauskauf, sind wir für diese Daten der Verantwortliche im Sinne der DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Ihr Interesse und unseres, eine Kaufentscheidung mit den Unterlagen des Hauses vorzubereiten. Die Daten werden nur in Ihrem Projekt gespeichert, sind nur für Sie sichtbar und werden mit dem Projekt gelöscht.

Berufliche Nutzung. Das Portal richtet sich an private Käufer. Wer es beruflich für fremde Objekte nutzen will, etwa als Makler, Hausverwaltung oder Berater, ist für die Daten selbst verantwortlich und braucht mit uns einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Bitte schreiben Sie uns vorher an die oben genannte Adresse.

Mieternamen werden bewusst nicht erhoben; die Wohneinheiten sind durchnummeriert. Mieterlisten gehören nicht in das Portal.

6. Auslesen von Exposé und Unterlagen

Das Portal kann ein Exposé, Bauakten, Baubeschreibungen und Handwerkerrechnungen auslesen und daraus Werte für die Erfassung vorschlagen. Weil das für Sie erkennbar sein muss, hier ausdrücklich:

• Es geschieht nicht von selbst. Eine ausgewählte Datei bleibt im Browser liegen, bis Sie das Auslesen starten. Erst dann verlässt sie das Gerät.
• Was übertragen wird: die Datei vollständig, so wie Sie sie hochgeladen haben. Eine Bauakte enthält typischerweise Namen, Anschriften und Angaben zu Eigentümern und Handwerksbetrieben, ein Exposé die Kontaktdaten des Anbieters. Wir schwärzen nichts, das ginge bei Scans nicht zuverlässig.
• Wie: Die Datei wird in Ihrer Dateiablage bei Supabase gespeichert. Mistral erhält einen Link, der zehn Minuten gilt, und liest die Datei darüber; der erkannte Text geht über unsere Serverfunktion bei Netlify zurück und wird Ihnen als Vorschlag angezeigt. Lässt sich eine Unterlage nicht in der Ablage speichern, geht sie direkt über die Serverfunktion an Mistral. Ein vorgeschlagener Wert trägt seine Fundstelle; eine eigene Eingabe ersetzt ihn jederzeit.
• Danach: Die Datei bleibt als Unterlage in Ihrem Projekt, bis Sie sie oder das Projekt löschen. Scheitert das Auslesen, wird sie sofort wieder gelöscht.
• Kein Training. Für unser Konto bei Mistral ist die Nutzung übermittelter Daten zum Training von Modellen abgeschaltet.

Mistral AI ist in Abschnitt 11 aufgeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für Ihre eigenen Angaben, für Daten Dritter in der Datei Art. 6 Abs. 1 lit. f (Abschnitt 5).

7. Externe Dienste

Die meisten Drittdienste werden erst kontaktiert, wenn Sie im Portal eine Funktion ausdrücklich auslösen. Eine Ausnahme ist die Kartenansicht in den Stammdaten: Sie lädt ihre Kartenkacheln, sobald Sie die Stammdaten öffnen, ohne dass Sie zusätzlich etwas tun. Übermittelt werden in allen Fällen die für die jeweilige Funktion nötigen Angaben:

In allen Fällen wird technisch bedingt auch Ihre IP-Adresse an den jeweiligen Anbieter übertragen. Es werden keine Namen, keine Kontaktdaten und keine sonstigen Angaben aus Ihrem Projekt übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Durchführung der von Ihnen angeforderten Funktion. Möchten Sie das vermeiden, nutzen Sie den Geodatenabruf und die Adressprüfung nicht und tragen die Flächen von Hand ein; das Portal ist darauf ausgelegt und weist die Herkunft jeder Angabe getrennt aus. Die Kartenansicht erscheint nur, wenn für das Objekt bereits Koordinaten vorliegen — ohne Geodatenabruf wird also auch kein Kartenausschnitt geladen.

8. Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Daten, sobald die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Ein Kontaktformular gibt es auf dieser Seite nicht.

9. Keine automatisierte Entscheidungsfindung, kein Profiling

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Die im Portal erzeugten Bewertungen sind Rechenergebnisse aus Ihren eigenen Eingaben und veröffentlichten Regelwerken; sie betreffen das Gebäude, nicht eine Person.

10. Anfrage an den Makler und Hochladelink

Aus dem Portal können Sie beim Makler oder Verkäufer die Unterlagen anfragen, die Ihnen fehlen. Dieser Abschnitt richtet sich an beide Seiten: an Sie als Käufer und an den Empfänger der Anfrage, der seine Adresse nicht selbst bei uns eingegeben hat (Art. 14 DSGVO).

Herkunft der Daten: Die Adresse des Empfängers stammt vom Käufer, der sie aus dem Exposé oder der Anzeige kennt. Zweck: ausschließlich diese eine Anfrage. Wir schreiben den Empfänger nicht von uns aus an und nutzen die Adresse nicht für Werbung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, das Interesse des Käufers, die Unterlagen zu einem angebotenen Haus zu bekommen; gegenüber dem Käufer Art. 6 Abs. 1 lit. b. Speicherdauer: bis der Käufer das Projekt oder sein Konto löscht. Hochgeladene Dateien gehören dann zu seinem Projekt (Abschnitt 5).

Als Empfänger einer Anfrage können Sie der Verarbeitung Ihrer Adresse jederzeit widersprechen (Art. 21 DSGVO) und alle Rechte aus Abschnitt 12 geltend machen; eine formlose Mail an die oben genannte Adresse genügt.

11. Auftragsverarbeiter

Wir setzen die folgenden Dienstleister ein, die personenbezogene Daten ausschließlich nach unserer Weisung verarbeiten. Mit allen besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO.

Zur Übermittlung in die USA: Netlify und der Versanddienstleister sind nach dem EU-US Data Privacy Framework zertifiziert; für zertifizierte Unternehmen besteht ein Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Ergänzend gelten die Standardvertragsklauseln der EU-Kommission.

Zur Einladung in eine geteilte Ansicht

Wenn Sie einem Dritten eine Ansicht Ihres Projekts freigeben, verarbeiten wir dessen E-Mail-Adresse — um sie in Ihrer Übersicht der Links anzuzeigen und, wenn Sie es auslösen, um die Einladung dorthin zu schicken. Wir schreiben diese Adresse zu keinem anderen Zweck an und verwenden sie nicht für Werbung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, Ihr Interesse, die Ansicht gezielt weiterzugeben. Sie entscheiden, wem Sie sie freigeben, und tragen die Adresse ein. Ziehen Sie den Link zurück oder löschen Sie das Projekt, wird die Zeile mit der Adresse gelöscht.

Beim Öffnen einer geteilten Ansicht wird gezählt, wie oft der Link aufgerufen wurde, und wann zuletzt. Wer ihn geöffnet hat, wird nicht gespeichert — keine Adresse, keine Kennung, kein Zeitpunkt je Aufruf.

Änderungen an dieser Liste geben wir hier bekannt. Bei beruflicher Nutzung mit Vertrag über die Auftragsverarbeitung (Abschnitt 5) gelten diese Dienstleister als Unterauftragsverarbeiter.

Daneben gibt es Empfänger, die nicht in unserem Auftrag handeln, sondern als eigene Verantwortliche: die Karten- und Adressdienste und die Behörden aus Abschnitt 7. Mit ihnen besteht kein Vertrag über die Auftragsverarbeitung, und es braucht auch keinen; sie erhalten nur, was dort beschrieben ist.

12. Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zwei dieser Rechte können Sie ohne Umweg über uns selbst ausüben:

• Löschung: im Portal unter Konto. Sie wirkt sofort und umfasst Konto, Projekte, Fotos und Dateien.
• Datenübertragbarkeit: im Portal unter Konto → Ihre Daten mitnehmen. Sie erhalten alle Ihre Projekte als Datei in einem gängigen, maschinenlesbaren Format.

Für alles Übrige wenden Sie sich formlos an die oben genannte Adresse.

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Zuständig ist die Behörde des Bundeslandes unseres Sitzes:

13. Änderungen dieser Erklärung

Wir passen diese Erklärung an, sobald sich die Verarbeitung ändert. Es gilt jeweils die hier abrufbare Fassung. Bei der Registrierung halten wir fest, welche Fassung Sie zur Kenntnis genommen haben.

Fassung 2026-10-04b. Berichtigt: Vertragspartner für Datenbank und Anmeldung ist die Supabase Pte. Ltd in Singapur (Abschnitte 3 und 11), nicht die Supabase, Inc. Die Serverfunktionen laufen in den USA (Virginia), gemessen (Abschnitt 2).

Fassung 2026-10-04. Berichtigungen und Ergänzungen. Neu beschrieben: die Anfrage an den Makler und der Hochladelink (Abschnitt 10), das Auslesen des Exposés (Abschnitt 6) und die Serverfunktionen bei Netlify (Abschnitt 2). Berichtigt: Für Daten Dritter im Projekt eines privaten Käufers sind wir selbst verantwortlich, nicht der Käufer (Abschnitt 5). Abschnitt 6 beschrieb noch eine Beispielauswertung ohne Upload; tatsächlich werden Unterlagen seit dem 27.08.2026 bei Mistral ausgelesen und bleiben danach im Projekt. Die Registrierung fragt nicht mehr nach Zustimmung zu dieser Erklärung, denn sie ist eine Information und keine Einwilligung. Die anonyme Frage vor der Demo gibt es nicht mehr.

Fassung 2026-10-03b. Die Anmeldung schützt jetzt Cloudflare Turnstile statt hCaptcha (Abschnitt 7). Übermittelt werden IP-Adresse und technische Angaben zu Browser und Gerät an Cloudflare, Inc. (USA, Data Privacy Framework). hCaptcha wird nicht mehr geladen.

Fassung 2026-10-03. Gegenüber der Vorfassung neu: Photon für Adressvorschläge beim Tippen (Abschnitt 7). Übermittelt wird nur der getippte Text, an einen Anbieter in Deutschland.

Fassung 2026-09-01. Zwei Berichtigungen, keine neue Verarbeitung. Der Kasten ganz oben sagte, diese Seite lade keine Skripte von fremden Servern — das stimmte seit dem 28.08.2026 nicht mehr, weil hCaptcha genau das ist; Abschnitt 7 hat es die ganze Zeit richtig beschrieben, der Kasten nicht. Und Abschnitt 4 führte einen Eintrag im sessionStorage auf, den das Portal seit dem 19.08.2026 nicht mehr anlegt. Neu benannt ist außerdem, dass hCaptcha eigene Angaben im Browser ablegt.

Fassung 2026-08-28. Gegenüber der Vorfassung neu: hCaptcha zum Schutz der Anmeldung (Abschnitt 7) — das ist die erste Übermittlung in die USA auf Grundlage eines berechtigten Interesses und deshalb eine Fassungsänderung, keine Klarstellung. Ebenfalls neu: der Versanddienstleister unserer E-Mails, der schon vorher im Einsatz war und hier gefehlt hat, sowie die geteilte Ansicht (beides Abschnitt 11).

Fassung 2026-08-15. Gegenüber der Vorfassung neu: Benutzerkonto, Datenbank bei Supabase, Auftragsverarbeiter in einer eigenen Übersicht, Hinweis auf Ihre eigene Verantwortlichkeit beim Erfassen fremder Objekte.