Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und in der Software immoflow ist:

Bei Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter der oben genannten Adresse oder per E-Mail an info@immoflow.io.

2. Überblick: Wann wir verantwortlich sind und wann Ihr Vermieter

Wir verarbeiten personenbezogene Daten in zwei Rollen:

• Als Verantwortlicher für Besucher dieser Website, für Interessenten, die uns kontaktieren, und für unsere Kunden, also die Inhaber eines immoflow-Kontos (z. B. Kontodaten, Vertrags- und Abrechnungsdaten, Nutzung der Software). Dafür gilt diese Datenschutzerklärung.
• Als Auftragsverarbeiter für die Daten, die unsere Kunden in der Software über Dritte speichern, etwa über Mieter, Eigentümer, Handwerker und andere Kontakte. Verantwortlich ist dann der jeweilige Kunde, zum Beispiel Ihr Vermieter oder Ihre Hausverwaltung. Wenn Sie als Mieter Fragen zu Ihren Daten haben, wenden Sie sich bitte an diesen. Wir unterstützen unsere Kunden bei der Beantwortung.

3. Bereitstellung der Website und Server-Logfiles

Beim Aufruf unserer Website und der Software werden durch den Browser automatisch Informationen an die Server übermittelt, über die wir die Seiten ausliefern. Das sind insbesondere:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse (URL) und Referrer-URL
• Browsertyp und -version, Betriebssystem
• übertragene Datenmenge und Statuscode

Diese Daten sind technisch erforderlich, um die Seiten auszuliefern und die Sicherheit und Stabilität der Systeme zu gewährleisten, etwa zur Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sicheren und fehlerfreien Bereitstellung. Die Daten werden nicht mit anderen Datenquellen zusammengeführt und nur so lange gespeichert, wie es für diese Zwecke erforderlich ist.

Die Website und die Anwendung werden über die Entwicklungs- und Hosting-Plattform Lovable bereitgestellt. Die Auslieferung erfolgt über das Netzwerk der Cloudflare, Inc. (USA), das Anfragen über Rechenzentren in der Nähe des Nutzers bearbeitet. Mit den Anbietern bestehen Verträge zur Auftragsverarbeitung. Zu Übermittlungen in die USA siehe Abschnitt 14.

Die Verbindung zu unserer Website und zur Software ist per TLS verschlüsselt. Sie erkennen das an „https://" und dem Schloss-Symbol in der Adresszeile Ihres Browsers.

4. Cookies und lokale Speicherung im Browser

Wir speichern Informationen in Ihrem Browser (Cookies, Local Storage) oder greifen auf solche Informationen zu. Rechtsgrundlage dafür ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG).

Technisch notwendige Speicherung erfolgt ohne Einwilligung, weil sie für den von Ihnen gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Dazu gehören:

• die Anmeldesitzung in der Software (Zugangstoken im Local Storage), solange Sie angemeldet sind,
• Ihre Auswahl im Cookie-Banner,
• Einstellungen wie Sprache, Ansichten, Dashboard-Konfiguration und Erinnerungseinstellungen,
• ein Zwischenspeicher (Service Worker), damit die Anwendung schneller lädt und bei Verbindungsabbrüchen eine Hinweisseite zeigt.

Diese Einträge bleiben gespeichert, bis Sie sich abmelden, sie in Ihrem Browser löschen oder sie durch die Anwendung ersetzt werden.

Speicherung zu Analyse- und Werbezwecken erfolgt nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), siehe Abschnitt 5.

5. Einwilligung, Google Tag Manager, Google Analytics und Google Ads

Auf unserer Website setzen wir mit Ihrer Einwilligung den Google Tag Manager ein. Darüber werden Google Analytics 4 (Reichweitenmessung und Nutzungsanalyse) und das Google-Ads-Tag (Messung, ob Besucher über eine Google-Anzeige zu uns gekommen sind und sich anschließend registriert haben) eingebunden. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google").

Was ohne Einwilligung passiert

Solange Sie nicht eingewilligt haben, wird der Google Tag Manager nicht geladen. Es werden dann keine Daten an Google übermittelt und keine Analyse- oder Werbe-Cookies gesetzt. Zusätzlich verwenden wir den Google Consent Mode v2, der Google über Ihre Auswahl informiert, sobald der Tag Manager nach einer Einwilligung geladen wurde.

Was mit Einwilligung passiert

Wenn Sie im Cookie-Banner zustimmen, setzt Google Cookies (z. B. „_ga", Speicherdauer bis zu 2 Jahre) und erhält Nutzungsdaten wie aufgerufene Seiten, Verweildauer, ungefähren Standort, Geräteinformationen und Registrierungen über die Website. Diese Daten nutzen wir, um die Website zu verbessern und den Erfolg unserer Werbeanzeigen bei Google zu messen. Mit Ihrer Einwilligung können die Daten auch für personalisierte Werbung und zur Bildung von Zielgruppen bei Google genutzt werden. Google Analytics speichert die Daten höchstens 14 Monate. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

PostHog (Produktanalyse, Sitzungsaufzeichnung und Fehlerprotokolle)

Ebenfalls nur mit Ihrer Einwilligung setzen wir PostHog ein. Anbieter ist die PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA; die Verarbeitung der Nutzungsdaten erfolgt auf Servern in der Europäischen Union (Frankfurt am Main). PostHog verarbeitet dabei:

• aufgerufene Seiten, Klicks, Eingaben in Schaltflächen und Verweildauer,
• Sitzungsaufzeichnungen (Bildschirmabläufe), in denen Eingabefelder grundsätzlich unkenntlich gemacht werden,
• technische Protokolle der Anwendung (z. B. Fehlermeldungen, Ladezeiten und Konsolenmeldungen) zur Fehlerbehebung,
• Geräte- und Browserinformationen, Ihre IP-Adresse sowie Ihren ungefähren Standort (abgeleitet aus der IP-Adresse).

Sind Sie angemeldet, ordnen wir diese Daten Ihrer internen Kontonummer zu; Ihre E-Mail-Adresse wird nicht an PostHog übermittelt. Wir nutzen die Daten, um die Software zu verbessern, Fehler zu finden und zu verstehen, an welchen Stellen Nutzer den Registrierungs- oder Einrichtungsprozess abbrechen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit über „Cookie-Einstellungen" widerrufen können; nach einem Widerruf werden keine weiteren Daten an PostHog gesendet. Mit PostHog besteht ein Vertrag zur Auftragsverarbeitung. Da die PostHog Inc. ihren Sitz in den USA hat, kann ein Zugriff aus den USA nicht vollständig ausgeschlossen werden; zu den Garantien für solche Übermittlungen siehe Abschnitt 14. Weitere Informationen: posthog.com/privacy.

Mit Google besteht ein Vertrag zur Auftragsverarbeitung. Google kann Daten an die Google LLC in den USA übermitteln; siehe Abschnitt 14. Weitere Informationen: policies.google.com/privacy.

Einwilligung ändern oder widerrufen

Ihre Einwilligung ist freiwillig. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen oder neu erteilen, hier oder über den Link „Cookie-Einstellungen" im Fußbereich jeder Seite:

6. Anonyme Produktanalyse und Fehlerprotokollierung

Zur Verbesserung der Stabilität und Benutzerfreundlichkeit erfassen wir auf unserer eigenen Backend-Infrastruktur in der EU anonyme Nutzungs- und Fehlerdaten (z. B. aufgerufene Bereiche der Anwendung und technische Fehlermeldungen). Dabei gilt:

• Es wird nur eine zufällig erzeugte Sitzungskennung verwendet, die beim Schließen des Browser-Tabs verworfen wird.
• Es werden dafür keine Cookies gesetzt und keine Geräte-Fingerprints erstellt.
• IP-Adressen, E-Mail-Adressen oder Nutzerkonten werden nicht mit den Analysedaten gespeichert oder verknüpft.
• Seitenpfade werden automatisch von IDs und Abfrageparametern bereinigt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlerbehebung und Produktverbesserung). Die Daten werden nach spätestens drei Jahren automatisch gelöscht.

7. Kontaktformular und Anfragen per E-Mail

Wenn Sie uns über ein Kontaktformular oder per E-Mail schreiben, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, gegebenenfalls Telefonnummer, Ihr Anliegen, Ihre Nachricht und gegebenenfalls einen Dateianhang), um Ihre Anfrage zu bearbeiten. Anfragen aus dem Formular speichern wir in unserer Datenbank und leiten sie über den E-Mail-Dienst Resend an unser Postfach weiter (siehe Abschnitt 11).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage mit einem Vertrag zusammenhängt oder dessen Abschluss dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen die Daten, sobald Ihre Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Kündigungen über die Schaltfläche „Verträge hier kündigen" verarbeiten wir ebenso (Name, E-Mail-Adresse, gekündigter Vertrag, Art und Zeitpunkt der Kündigung, gegebenenfalls Kündigungsgrund sowie Eingangszeitpunkt). Wir senden Ihnen über Resend eine Eingangsbestätigung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO (Vertragsabwicklung und gesetzliche Bestätigungspflicht nach § 312k BGB). Wir bewahren die Kündigung als Nachweis bis zum Ablauf der Verjährungsfristen auf.

8. Immobilienangebote (onOffice)

Auf der Seite „Immobilienkauf" zeigen wir aktuelle Immobilienangebote über ein eingebettetes Fenster der onOffice GmbH, Charlottenburger Allee 5, 52068 Aachen, an. Beim Aufruf dieser Seite lädt Ihr Browser Inhalte und Skripte von Servern von onOffice; dabei werden Ihre IP-Adresse und Browserinformationen an onOffice übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer aktuellen Darstellung unserer Angebote). Wenn Sie über das Fenster eine Anfrage zu einem Objekt stellen, wird diese über onOffice an uns übermittelt.

9. Registrierung und Nutzung der Software

Für die Nutzung von immoflow legen Sie ein Konto an. Dabei und bei der Nutzung verarbeiten wir:

• Kontodaten: Name, E-Mail-Adresse, Passwort (nur verschlüsselt als Hash gespeichert), gegebenenfalls Firma und Telefonnummer,
• Sicherheitsdaten: Anmeldezeitpunkte, Einstellungen und Geheimnisse für die Zwei-Faktor-Authentifizierung (verschlüsselt), Protokolle sicherheitsrelevanter Vorgänge,
• Vertrags- und Abrechnungsdaten: gewählter Tarif, Anzahl der Einheiten, Rechnungen und Zahlungen,
• Benachrichtigungseinstellungen und Kommunikationsverläufe mit unserem Support.

Zweck ist die Bereitstellung der Software, die Absicherung Ihres Kontos und die Vertragsabwicklung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Rechnungs- und Buchhaltungsdaten außerdem Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten.

Datenbank, Anmeldung und Dateispeicher betreiben wir über den Dienst Supabase (Supabase, Inc.) in einem Rechenzentrum in der Europäischen Union. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung.

Sie können Ihr Konto jederzeit in den Kontoeinstellungen löschen. Dabei werden Ihre Kontodaten und die von Ihnen angelegten Inhalte gelöscht. Daten, die wir aus gesetzlichen Gründen aufbewahren müssen (z. B. Rechnungen), werden bis zum Ablauf der Frist gesperrt und danach gelöscht.

10. Inhalte in der Software und KI-Import

In der Software speichern unsere Kunden Daten zu Objekten, Einheiten, Mietverhältnissen, Kontakten, Zahlungen, Bankumsätzen (z. B. über den Import von Kontoauszügen im CAMT-Format) und Dokumenten. Diese Daten verarbeiten wir als Auftragsverarbeiter nach Weisung des Kunden auf Grundlage einer Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO). Wir nutzen sie nicht für eigene Zwecke.

KI-Import

Mit der Funktion KI-Import können Nutzer Dokumente wie Mietverträge, Rechnungen oder Listen hochladen und Daten daraus automatisch auslesen lassen. Dafür wird der Inhalt des Dokuments an den Lovable AI Gateway übermittelt und dort mit einem Sprachmodell von Google (Gemini) verarbeitet. Das Ergebnis wird dem Nutzer als Vorschlag angezeigt und erst nach seiner Bestätigung übernommen. Die Übermittlung erfolgt nur, wenn die Funktion aktiv genutzt wird. Dabei kann es zu einer Verarbeitung in den USA kommen; siehe Abschnitt 14.

11. E-Mail-Versand, Benachrichtigungen und SMS

Wir versenden E-Mails, die für die Nutzung erforderlich sind, etwa zur Bestätigung der E-Mail-Adresse, zum Zurücksetzen des Passworts, Sicherheitshinweise, Erinnerungen und Benachrichtigungen aus der Software sowie Dokumente, die Nutzer aus der Software an Dritte versenden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wöchentliche Zusammenfassungen und andere optionale Benachrichtigungen können Sie in den Einstellungen oder über den Abmeldelink in der E-Mail abbestellen. Wir protokollieren den Versand (Empfänger, Zeitpunkt, Zustellstatus), um Zustellprobleme zu erkennen und Abmeldungen zu beachten.

Für den Versand nutzen wir:

• den Mailserver unseres Hosters ALL-INKL.COM – Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, für Registrierungs-, Passwort- und Benachrichtigungs-E-Mails,
• Resend (Resend, Inc., USA) für die Weiterleitung von Kontaktanfragen, bestimmte Sicherheitshinweise und den Empfang von E-Mails, die Nutzer an ihre persönliche immoflow-Eingangsadresse senden, um Dokumente in die Software zu übernehmen.

Wenn Nutzer in der Software Erinnerungen per SMS aktivieren, wird die hinterlegte Mobilfunknummer zusammen mit dem Erinnerungstext an den SMS-Dienst Twilio (Twilio Inc., USA) übermittelt. Mit allen genannten Anbietern bestehen Verträge zur Auftragsverarbeitung.

12. Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (z. B. Google Analytics und Google Ads),
• Art. 6 Abs. 1 lit. b DSGVO: Vertrag und vorvertragliche Maßnahmen (z. B. Konto, Software, Support),
• Art. 6 Abs. 1 lit. c DSGVO: rechtliche Pflichten (z. B. Aufbewahrung von Rechnungen),
• Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen (z. B. Sicherheit, Server-Logfiles, anonyme Fehleranalyse),
• § 25 TDDDG: Speicherung von und Zugriff auf Informationen in Ihrem Endgerät.

13. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Kontodaten speichern wir für die Dauer des Vertrags. Nach Vertragsende oder Löschung des Kontos löschen wir die Daten, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Buchungsbelege und Rechnungen bewahren wir acht Jahre, Handels- und Geschäftsbriefe sechs Jahre auf (§ 257 HGB, § 147 AO). Abweichende Fristen sind in den einzelnen Abschnitten genannt.

14. Empfänger und Übermittlung in Drittländer

Wir geben personenbezogene Daten nur weiter, wenn dies für die genannten Zwecke erforderlich ist, eine Rechtsgrundlage besteht oder Sie eingewilligt haben. Empfänger sind vor allem unsere Dienstleister, die als Auftragsverarbeiter weisungsgebunden für uns tätig sind. Wir verkaufen keine personenbezogenen Daten.

Einige Dienstleister haben ihren Sitz in den USA oder können Daten dorthin übermitteln (Google, Cloudflare, Resend, Twilio und die Anbieter des KI-Imports). Für die USA hat die EU-Kommission einen Angemessenheitsbeschluss (EU-US Data Privacy Framework) erlassen; er gilt für Unternehmen, die nach diesem Rahmen zertifiziert sind. Soweit ein Anbieter nicht zertifiziert ist, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Eingesetzte Dienste im Überblick

Die folgende Übersicht wird automatisiert mit dem Anwendungscode abgeglichen, damit Dokumentation und tatsächlich eingesetzte Dienste nicht auseinanderlaufen:

• Anwendungs-Backend (Datenbank, Authentifizierung, Dateispeicher) – Betrieb der Anwendung und Speicherung der Nutzerdaten als Auftragsverarbeiter. Verarbeitungsort: Europäische Union.
• Anonyme Produktanalyse und Fehlerprotokollierung (eigene Infrastruktur) – Stabilitäts- und Nutzbarkeitsverbesserung anhand anonymer Nutzungs- und Fehlerdaten (zufällige Sitzungskennung, keine IP, keine Cookies, kein Fingerprint). Verarbeitungsort: Europäische Union (eigene Backend-Infrastruktur).
• PostHog (Produktanalyse und Sitzungsaufzeichnung) – Nutzungsanalyse, Klickpfade und Sitzungsaufzeichnungen mit maskierten Eingabefeldern zur Verbesserung der Software; wird erst nach Einwilligung über das Cookie-Banner geladen. Verarbeitungsort: PostHog Inc., Server in der Europäischen Union (Frankfurt).
• Google Analytics 4 (mit Google Consent Mode v2) – Reichweitenmessung, Nutzungsanalyse und Messung des Werbeerfolgs (Google Analytics 4 und Google Ads über den Google Tag Manager); der Tag Manager wird erst nach Einwilligung über das Cookie-Banner geladen. Verarbeitungsort: Google Ireland Limited (Irland); Übermittlung an Google LLC (USA) möglich.
• Resend (E-Mail-Dienst) – Weiterleitung von Kontaktanfragen an uns, Sicherheitshinweise zum Konto und Empfang von E-Mails, die Kunden an ihre immoflow-Eingangsadresse senden. Verarbeitungsort: Resend, Inc. (USA).
• KI-Import (Lovable AI Gateway mit Google Gemini) – Auslesen von Daten aus Dokumenten, die Nutzer für den KI-Import hochladen; nur wenn die Funktion aktiv genutzt wird. Verarbeitungsort: Lovable und Google (EU/USA).
• onOffice (Immobilienangebote) – Anzeige aktueller Immobilienangebote auf der Seite „Immobilienkauf" über ein eingebettetes Fenster. Verarbeitungsort: onOffice GmbH (Deutschland).

15. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@immoflow.io.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

16. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Bereitstellung Ihrer Daten ist gesetzlich nicht vorgeschrieben. Ohne die bei der Registrierung abgefragten Pflichtangaben können wir Ihnen jedoch kein Konto bereitstellen. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.