Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Geltungsbereich und Rollen

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten auf unserer Website, in der Plattform ImmoVision (Dashboard und Handy-App) sowie auf den mit der Plattform bereitgestellten Exposés, Microsites und virtuellen Rundgängen.

Wir sind Verantwortlicher für die Verarbeitung auf unserer eigenen Website, für die Nutzerkonten unserer Kunden, für Vertrag, Abrechnung, Support sowie für die Sicherheit unserer Systeme.

Immobilienbüros (unsere Kunden) nutzen die Plattform für ihre eigene Geschäftstätigkeit: für ihre Interessenten, Kunden, Eigentümer, Exposés und Microsites. Für diese Daten ist das jeweilige Büro Verantwortlicher; wir verarbeiten sie als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage unseres Auftragsverarbeitungsvertrags (AVV). Wenn Sie als Interessent ein Exposé oder eine Microsite eines Büros nutzen, wenden Sie sich mit Anfragen zu Ihren Daten bitte vorrangig an dieses Büro; die Kontaktdaten stehen im Impressum der jeweiligen Seite. Die folgenden Abschnitte beschreiben die dort eingesetzte Technik, damit Sie auch diese Verarbeitung nachvollziehen können.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a, b, c und f DSGVO; die Rechtsgrundlage ist je Verarbeitung angegeben.

Welche Funktionen künstliche Intelligenz (KI) nutzen, mit welchem Anbieter und wo, beschreibt zusätzlich unsere Seite „KI-Transparenz". Für Betroffene in der Türkei gilt ergänzend unsere „KVKK-Information".

3. Hosting und technische Bereitstellung

Website und Plattform werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in Rechenzentren in Deutschland betrieben. Dort liegen auch Datenbank, hochgeladene Dateien, erzeugte Medien und Sicherungen.

Im Rahmen des Hostings werden technisch erforderliche Daten verarbeitet, insbesondere:

• IP-Adresse,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Seiten und Dateien,
• Browsertyp, Betriebssystem und Referrer-URL, soweit vom Browser übermittelt,
• Status- und Fehlerdaten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sichere, stabile Bereitstellung). Hetzner verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO.

4. Server-Logs, Sicherheitsprotokolle und Missbrauchsabwehr

Wir protokollieren sicherheitsrelevante Vorgänge (z. B. Anmeldungen, fehlgeschlagene Anmeldeversuche, Rechteänderungen, Exporte, Löschungen), um Angriffe und Missbrauch zu erkennen, Fehler zu analysieren und Vorgänge nachweisen zu können. Das Prüfprotokoll ist gegen nachträgliche Veränderung gesichert (verkettete Prüfsummen).

Verarbeitet werden insbesondere Benutzerkennung, Zeitpunkt, Art des Vorgangs, betroffener Datensatz und technische Angaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, für gesetzliche Nachweise Art. 6 Abs. 1 lit. c DSGVO.

Aufbewahrung: Sicherheits- und Anmeldeprotokolle 2 Jahre, Protokolle zu Lead- und Kontaktvorgängen 3 Jahre, Protokolle zu KI- und Medienvorgängen 1 Jahr; Abrechnungs- und Einwilligungsnachweise solange gesetzliche Aufbewahrungs- und Nachweispflichten bestehen.

5. Cookies, Local Storage und vergleichbare Technologien

Wir setzen nur Cookies und Speichereinträge ein, die für die von Ihnen gewünschte Funktion erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Analyse-, Tracking-, Werbe- oder Remarketing-Cookies und -Pixel setzen wir nicht ein.

Nach der Anmeldung im Dashboard setzen wir ein Sitzungs-Cookie (14 Tage) und ein Geräte-Cookie (bis 400 Tage), mit dem Sie in Ihrem Konto sehen und abmelden können, auf welchen Geräten Sie angemeldet sind. Auf öffentlichen Exposés und Microsites setzt der Server keine Cookies.

Im lokalen Speicher Ihres Browsers können Einstellungen abgelegt werden, z. B. Sprache, der Hinweis zu Cookies, eine zufällige Besucherkennung für den KI-Assistenten (damit ein Gespräch fortgesetzt und eine Einwilligung zugeordnet werden kann) sowie – nur wenn Sie es wählen – die Einstellung „Karte auf diesem Gerät merken". Die vollständige Liste mit Namen und Dauer finden Sie auf unserer Seite „Cookies & Speichertechnologien".

Die weitere Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktion) beziehungsweise Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).

6. Hinweis zu Zahlungen über Stripe

Sofern Sie einen Zahlungsvorgang, ein Guthaben-Top-up, einen Checkout oder eingebettete Zahlungselemente von Stripe aufrufen, kann Stripe im Zusammenhang mit seinen Diensten eigene Cookies und vergleichbare Technologien verwenden, soweit dies für Zahlungsabwicklung, Authentifizierung, Betrugsprävention, Sicherheit und die Bereitstellung der Stripe-Dienste erforderlich ist. Stripe beschreibt dies in seiner Cookie Policy und seiner Privacy Policy.

Diese Verarbeitungen betreffen den konkret aufgerufenen Zahlungsprozess. Auf unserer allgemeinen Website setzen wir darüber hinaus derzeit keine Marketing- oder Analyse-Cookies ein.

7. Spracheinstellungen / Internationalisierung

Wenn unsere Website oder Plattform mehrere Sprachen unterstützt, können wir die von Ihnen gewählte Sprache oder regionale Darstellung speichern, um die gewünschte Anzeige bei einem erneuten Besuch wiederherzustellen.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 6 Abs. 1 lit. f DSGVO. Soweit hierfür ein technisch notwendiger Zugriff auf Ihr Endgerät oder eine technisch notwendige Speicherung erforderlich ist, erfolgt dies im Rahmen des § 25 Abs. 2 TDDDG.

8. Schriftarten und Bibliotheken aus eigener Quelle

Schriftarten und Programmbibliotheken (z. B. für die Kartenanzeige) liefern wir von unseren eigenen Servern aus. Beim Seitenaufruf wird daher keine Verbindung zu Font- oder CDN-Diensten Dritter aufgebaut.

9. Eigene Medieninhalte und selbst gehostete Videos

Auf unseren Seiten können eigene Bilder, Grafiken, MP4-Dateien und sonstige Medieninhalte eingebunden sein, die wir selbst hosten oder über unsere eigene Infrastruktur ausliefern.

Beim Abruf solcher Inhalte werden technisch notwendige Verbindungs- und Auslieferungsdaten verarbeitet. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

10. Kontaktaufnahme allgemein

Wenn Sie uns per Kontaktformular, E-Mail, Telefon oder auf anderem Wege kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten zur Bearbeitung Ihrer Anfrage und zur Kontaktaufnahme.

Dabei können insbesondere verarbeitet werden:

• Name,
• E-Mail-Adresse,
• Telefonnummer,
• Unternehmensname,
• Inhalt Ihrer Nachricht,
• Objekt- oder Leistungsbezug,
• technische Metadaten im Zusammenhang mit der Übermittlung.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss eines Vertrags oder auf vorvertragliche Maßnahmen gerichtet ist. In anderen Fällen erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Ihre Daten werden gelöscht, sobald Ihre Anfrage abschließend bearbeitet wurde und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisinteressen entgegenstehen.

11. Website-Kontaktformular

Wenn Sie unser Website-Kontaktformular nutzen, verarbeiten wir die von Ihnen eingegebenen Daten, um Ihre Anfrage zu bearbeiten, Rückfragen zu beantworten und mit Ihnen in Kontakt zu treten.

Pflichtangaben in Formularen sind als solche gekennzeichnet. Ohne diese Angaben kann Ihre Anfrage gegebenenfalls nicht bearbeitet werden.

12. Anfragen über Exposés, Microsites und virtuelle Rundgänge

Auf Exposés und Microsites eines Büros können Sie Objektanfragen, Besichtigungs- oder Terminwünsche, Suchaufträge, Eigentümeranfragen oder Bewertungsanfragen senden. Verantwortlicher ist das jeweilige Büro; wir verarbeiten die Daten in dessen Auftrag.

Verarbeitet werden die von Ihnen eingegebenen Angaben (z. B. Name, E-Mail, Telefon, Nachricht, Suchkriterien, Terminwunsch) sowie die Zuordnung zum Objekt und zur zuständigen Ansprechperson. Ihre Einwilligung beziehungsweise Bestätigung wird mit Textfassung und Zeitpunkt als Nachweis gespeichert; Ihre IP-Adresse und Ihr Browser werden dabei nicht gespeichert.

Für Seitenstatistiken der Microsites (z. B. Aufrufe, Klicks) speichern wir keine IP-Adresse und keinen Browser, sondern nur einen täglich wechselnden, nicht rückrechenbaren Prüfwert; diese Statistikdaten werden nach 90 Tagen gelöscht. Suchaufträge werden 180 Tage nach der letzten Aktivität gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anfrage, Vertragsanbahnung), für die Statistik Art. 6 Abs. 1 lit. f DSGVO, für einwilligungsbasierte Funktionen Art. 6 Abs. 1 lit. a DSGVO.

13. Terminbuchung / Kalenderfunktionen

Wenn Sie über unsere Website, Exposés, Microsites oder das System Termine anfragen oder buchen, verarbeiten wir Ihre Daten zur Terminvereinbarung, Terminbestätigung, Terminverschiebung und Terminorganisation.

Dabei können insbesondere folgende Daten verarbeitet werden:

• Name,
• E-Mail-Adresse,
• Telefonnummer,
• gewünschter Termin,
• Objekt- oder Vorgangsbezug,
• Notizen oder Angaben zum Anliegen,
• Statusdaten zur Terminverwaltung.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

14. Nutzerkonten, Anmeldung und Sicherheit

Für Nutzer der Plattform verarbeiten wir die zur Einrichtung und Nutzung des Kontos erforderlichen Daten:

• Name, E-Mail-Adresse, Telefonnummer (optional), Profilbild (optional),
• Rolle, Rechte, Büro- und Teamzuordnung,
• Passwort ausschließlich als Hash,
• Zwei-Faktor-Anmeldung (Code per E-Mail oder Authenticator-App; das Geheimnis wird verschlüsselt gespeichert),
• angemeldete Geräte (Gerätebezeichnung, letzte Nutzung) und Sitzungsdaten,
• persönliche Einstellungen (Sprache, Ansicht, Benachrichtigungen, KI-Funktionen an/aus).

Sitzungen enden nach 14 Tagen; Geräte, die 90 Tage nicht genutzt wurden, werden automatisch abgemeldet. Wird ein Konto gesperrt oder werden Rechte geändert, enden bestehende Sitzungen sofort.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Sicherheitsmaßnahmen Art. 6 Abs. 1 lit. f DSGVO.

15. CRM, Leadmanagement und interne Fallbearbeitung

Im Rahmen der Nutzung unserer Plattform verarbeiten wir personenbezogene Daten zur Verwaltung, Strukturierung und Bearbeitung von Leads, Kundenanfragen, Vorgängen, Aufgaben und Kommunikationsverläufen.

Hierzu können insbesondere gehören:

• Stammdaten und Kontaktdaten,
• Objektbezug und Interessensdaten,
• Kommunikationshistorien,
• interne Bearbeitungsvermerke,
• Zuständigkeiten, Status und Aufgaben,
• Notizen, Terminbezug und Prozessdaten.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit dies zur Vertragsanbahnung oder Vertragsdurchführung erforderlich ist, sowie ergänzend auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO für interne Organisations- und Verwaltungszwecke.

Persönliche Notizen von Maklern sind nur für die jeweilige Person sichtbar (auch nicht für die Büroleitung). Gelöschte Notizen werden nach 30 Tagen im Papierkorb endgültig gelöscht.

16. Interne Leadstatistiken und systeminterne Auswertungen

Soweit wir interne Reichweiten-, Anfrage-, Lead-, Nutzungs- oder Prozessstatistiken erstellen, erfolgt dies grundsätzlich zur internen Steuerung, Qualitätssicherung, Kapazitätsplanung, Missbrauchsprävention, Abrechnungsnachvollziehbarkeit und Optimierung unserer Prozesse.

Soweit dies rein serverseitig, intern und ohne einwilligungspflichtige Tracking-Technologien der öffentlichen Website erfolgt, stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der wirtschaftlichen, technischen und organisatorischen Steuerung unseres Angebots.

Es erfolgt derzeit nach unserem Systemkonzept keine öffentliche Website-Webanalyse zu Marketing-, Remarketing- oder profilbasierten Werbezwecken.

Zur Verbesserung der Bedienoberfläche zählen wir je Büro und Tag lediglich, wie oft bestimmte Ansichten genutzt werden — ohne Personenbezug und ohne Inhalte; diese Zähler werden nach 400 Tagen gelöscht.

17. KI-Funktionen

ImmoVision nutzt KI für Texte und Übersetzungen, Bildbearbeitung und virtuelles Staging, Videos, Diktat und Sprachbefehle, Transkription und Zusammenfassung von Gesprächen, Marktanalysen sowie für Assistenten auf Exposés, Microsites und im Dashboard. Eine Übersicht je Funktion enthält die Seite „KI-Transparenz".

Hauptanbieter ist Google Cloud (Vertex AI, Gemini- und Veo-Modelle), Vertragspartner Google Cloud EMEA Limited, Irland. Die Verarbeitung erfolgt in Rechenzentren der Europäischen Union (EU-Region, Frankfurt, Niederlande). Ergänzend kann Microsoft Azure OpenAI (Microsoft Ireland Operations Limited) in einer EU-Region eingesetzt werden. Beide Anbieter handeln als Auftragsverarbeiter.

An den KI-Anbieter übermittelt werden nur die für die jeweilige Funktion erforderlichen Inhalte, z. B. Texteingaben, Objektangaben, Bilder, Audioaufnahmen oder Gesprächsinhalte. Im WhatsApp-Assistenten werden E-Mail-Adressen, Telefonnummern und Kontonummern vor der Übermittlung durch Platzhalter ersetzt.

Nach den Vertragsbedingungen der eingesetzten Anbieter werden Ihre Daten nicht zum Training ihrer KI-Modelle verwendet. Auch wir trainieren keine KI-Modelle mit Kundendaten. Die Anbieter können Eingaben nach ihren Bedingungen kurzzeitig zwischenspeichern oder zur Missbrauchserkennung prüfen.

Diktate, Sprachbefehle und Live-Gespräche mit dem persönlichen Assistenten werden nicht als Audio gespeichert; gespeichert wird nur das Ergebnis, das Sie übernehmen. Ergebnisse von KI-Funktionen werden vor der Verwendung von einem Menschen geprüft; KI-erzeugte oder KI-veränderte Bilder und Videos werden gekennzeichnet (siehe „KI-Transparenz"). Der persönliche Assistent („Sintrii") liest zum Antworten Daten aus ImmoVision nur im Rahmen der Sichtrechte der jeweiligen Person, auch Kontaktdaten von Leads; die Verarbeitung erfolgt bei Google in der EU als Auftragsverarbeiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (angeforderte Funktion) und ergänzend Art. 6 Abs. 1 lit. f DSGVO. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sollen über KI-Funktionen nicht verarbeitet werden.

18. Video-Erstellung

Für Objekt- und Social-Media-Videos erzeugt Google Veo (Vertex AI, EU-Region) Videoclips aus Objektfotos. Zusammengesetzt werden die Videos auf unseren eigenen Servern oder über den Rendering-Dienst Shotstack (Shotstack Pty Ltd, Australien). An Shotstack werden die für das Video ausgewählten Bilder, Clips und Texte übermittelt — in der Regel keine Daten von Interessenten. Australien ist ein Drittland; die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Fertige Videos werden im Konto des Büros gespeichert, solange das Objekt besteht oder bis das Büro sie löscht. Videos enthalten einen sichtbaren Hinweis auf KI-Erzeugung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

19. Bildbearbeitung, virtuelles Staging und KI-Bildnachweis

Bilder können mit KI bearbeitet werden (z. B. virtuelles Einrichten, Renovierungsvorschau, Bildverbesserung). Verarbeitet werden das Ausgangsbild, Ihre Vorgaben und das Ergebnis über Google Vertex AI (EU-Region).

Erkennbare Gesichter werden vor der Verarbeitung unkenntlich gemacht, soweit die Funktion dies vorsieht. KI-veränderte Bilder werden sichtbar und in den Bilddaten (Metadaten) gekennzeichnet. Wird ein KI-Bild in ein Inserat übernommen, speichern wir zum Nachweis das Originalbild, das KI-Bild, Werkzeug und Anweisung, die Bestätigung der verantwortlichen Person sowie die Veröffentlichungskanäle; Original und KI-Bild werden nicht automatisch gelöscht, solange dieser Nachweis besteht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für den Nachweis Art. 6 Abs. 1 lit. c und f DSGVO (Kennzeichnungs- und Lauterkeitspflichten).

20. Gesprächsaufzeichnung, Transkription und Sprachnotizen

Büros können Telefongespräche über die Telefonieanbieter Twilio (Twilio Ireland Limited) oder Voximplant aufzeichnen und mit KI auswerten lassen. Eine Aufzeichnung beginnt erst, nachdem der Gesprächspartner nach einer Ansage ausdrücklich zugestimmt hat; ohne Zustimmung wird nicht aufgezeichnet. Die Zustimmung wird mit Zeitpunkt gespeichert.

Aufzeichnungen werden über Google Vertex AI (EU-Region) transkribiert und zusammengefasst. Das Büro legt die Aufbewahrung der Aufnahmen fest (30, 90, 180 oder 365 Tage oder ohne Frist; Voreinstellung 30 Tage); nach Ablauf werden sie gelöscht.

Sprachnotizen und Diktate werden ebenfalls über Google Vertex AI ausgewertet; bei Kundengesprächen nur mit Einwilligung der Gesprächspartner. Audio wird nach der Auswertung nicht gespeichert.

Verantwortlich für die Zulässigkeit einer Aufzeichnung ist das Büro. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) beziehungsweise für Sprachnotizen des Maklers Art. 6 Abs. 1 lit. b DSGVO.

20.1 KI-Assistent auf Exposés und Microsites (Chat und Sprache)

Büros können auf Exposés und Microsites einen KI-Assistenten anbieten, der Fragen zum Objekt beantwortet und Termine vorschlagen kann. Er weist ausdrücklich darauf hin, dass Sie mit einer KI sprechen. Ein Gespräch beginnt erst nach Ihrer Einwilligung; Textfassung und Zeitpunkt werden als Nachweis gespeichert.

Verarbeitet werden Ihre Nachrichten beziehungsweise Ihre Sprache, die Antworten, eine zufällige Besucherkennung und – wenn Sie sie angeben – Ihre Kontaktdaten für eine Anfrage oder einen Termin. Sprache wird in Echtzeit über Google Vertex AI (Gemini Live, Region Niederlande) verarbeitet und nicht als Audio gespeichert. Gesprächsverläufe werden nach 90 Tagen gelöscht.

Sie können Ihre Einwilligung jederzeit im Assistenten widerrufen; dann werden Gesprächsverlauf und Zusammenfassungen gelöscht. Bereits gestellte Anfragen bleiben beim Büro erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO, für Anfragen und Termine Art. 6 Abs. 1 lit. b DSGVO.

20.2 WhatsApp, Instagram und Messenger

Büros können WhatsApp Business, Instagram- und Facebook-Messenger-Konten sowie Meta-Lead-Formulare anbinden. Nachrichten werden über die Schnittstellen von Meta Platforms Ireland Limited (bei WhatsApp auch über Twilio) übertragen. Meta verarbeitet dabei Daten auch in eigener Verantwortung nach seinen Bedingungen.

Ein KI-Assistent kann WhatsApp-Nachrichten beantworten; er beginnt seine erste Antwort mit dem Hinweis, dass es sich um eine KI handelt, und pausiert, sobald ein Mitarbeiter antwortet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 6 Abs. 1 lit. f DSGVO.

20.3 E-Mail-Versand, Postfach- und Kalenderanbindung

System-E-Mails (z. B. Bestätigungen, Benachrichtigungen) versenden wir über unseren eigenen Mailserver. E-Mails von Maklern an ihre Kunden werden, wenn der Makler sein Microsoft-365- oder Google-Postfach verbunden hat, über dieses Postfach versandt; ebenso können Kalender abgeglichen werden. Schaltet der Makler „Kontakte aus Outlook" ein, liest ImmoVision sein Microsoft-Adressbuch ausschließlich lesend (Name, Telefon, E-Mail, Firma; keine Notizen oder Geburtstage); übernommen werden nur die Kontakte, die der Makler selbst auswählt, sie sind nur für ihn sichtbar und werden danach in eine Richtung aktualisiert. ImmoVision schreibt nie in das Adressbuch. Die Verarbeitung beim Postfach- oder Kalenderanbieter erfolgt auf Grundlage des Vertrags zwischen Büro und diesem Anbieter. Hat der Makler zusätzlich das Lesen seines Posteingangs eingeschaltet, ordnet ImmoVision eingehende E-Mails ein: Anfragen von Immobilienportalen und E-Mails bestehender Kunden werden beim jeweiligen Lead gespeichert; bei unbekannten Absendern wird nur ein kurzer Auszug (höchstens 400 Zeichen) als Vorschlag angezeigt und nach 48 Stunden gelöscht. Newsletter, Werbung, Benachrichtigungen und automatische Antworten werden nicht gelesen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

20.4 Push-Benachrichtigungen

Auf Exposés und Microsites können Sie Benachrichtigungen (z. B. neue passende Objekte) abonnieren; Nutzer der Plattform können Mitteilungen auf ihre Geräte erhalten. Dafür speichern wir die vom Browser erzeugte Abonnement-Adresse und Ihre Einwilligung (Textfassung, Zeitpunkt). Die Zustellung erfolgt verschlüsselt über den Push-Dienst Ihres Browserherstellers (z. B. Google, Mozilla, Apple, Microsoft).

Sie können Benachrichtigungen jederzeit in der Seite oder in Ihrem Browser abbestellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.

20.5 Karten

Im Exposé wird eine Google-Karte (Google Ireland Limited) erst angezeigt, wenn Sie dies ausdrücklich anklicken. Erst dann wird eine Verbindung zu Google aufgebaut und Ihre IP-Adresse übertragen. Ihre Entscheidung wird mit einer zufälligen Kennung als Nachweis gespeichert (ohne IP-Adresse); auf Wunsch merkt sich Ihr Browser die Freigabe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Beim Öffnen der Kartenauswahl (z. B. in der Immobilienbewertung auf Microsites oder bei der Objekterfassung) werden Kartenkacheln und die Adresssuche von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich) geladen; dabei wird Ihre IP-Adresse an OpenStreetMap übertragen. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (von Ihnen angeforderte Kartenfunktion).

Für Lageanalysen fragen wir öffentliche Kartendaten (Overpass-API von OpenStreetMap) ausschließlich mit Koordinaten des Objekts ab, nicht mit personenbezogenen Daten.

20.6 Integrationen auf Veranlassung des Büros

Büros können weitere Dienste anbinden, z. B. CRM- und Maklerprogramme (HubSpot, Propstack, onOffice), Immobilienportale, das türkische Register für kommerzielle Mitteilungen (İYS), Anbieter für elektronische Rechnungen sowie Webhooks. Daten werden an diese Dienste nur übermittelt, wenn das Büro die Anbindung einrichtet; die Verarbeitung beim jeweiligen Dienst richtet sich nach dem Vertrag zwischen Büro und Dienst.

Ein 360°-Rundgang kann von einem externen Anbieter eingebettet sein, den das Büro gewählt hat; beim Aufruf gelten dessen Datenschutzhinweise.

21. Zahlungsabwicklung, Guthaben, Billing und Online-Zahlungen

Wenn Sie ein Abonnement abschließen, Guthaben aufladen oder sonstige kostenpflichtige Leistungen nutzen, verarbeiten wir Ihre Daten zur Vertragsdurchführung, Zahlungsabwicklung, Buchhaltung, Guthabenverwaltung und zur Nachvollziehbarkeit der Nutzung.

Hierbei können insbesondere folgende Daten verarbeitet werden:

• Name,
• Rechnungsanschrift,
• E-Mail-Adresse,
• Vertrags- und Leistungsinformationen,
• Guthabenstand,
• Aufladungen,
• Zahlungsstatus,
• Billing-Events,
• Wallet-Bewegungen,
• Transaktions- und Rechnungsdaten,
• steuerlich relevante Angaben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungs- und Nachweispflichten bestehen.

21.1 Einsatz von Stripe

Für die Zahlungsabwicklung können wir Stripe einsetzen. Im Rahmen der Zahlungsabwicklung kann Stripe insbesondere Zahlungs-, Transaktions-, Identifikations-, Betrugspräventions- und technische Gerätedaten verarbeiten. Stripe weist zudem darauf hin, dass im Zusammenhang mit seinen Services Cookies und ähnliche Technologien eingesetzt werden können und dass personenbezogene Daten zur Durchführung von Transaktionen, Betrugsprävention, Authentifizierung und Leistungsanalyse der Stripe-Dienste verarbeitet werden können.

Stripe kann personenbezogene Daten teils als Auftragsverarbeiter und teils als eigener Verantwortlicher verarbeiten, insbesondere zur Betrugsprävention, zur Vermeidung finanzieller Verluste, für Sicherheitszwecke und zur Bereitstellung der Stripe-Dienste.

22. Empfänger / Kategorien von Empfängern

Personenbezogene Daten geben wir nur weiter, soweit dies für die genannten Zwecke erforderlich ist oder eine gesetzliche Pflicht besteht. Empfänger sind:

• Hetzner Online GmbH (Hosting, Deutschland),
• Google Cloud EMEA Limited (KI-Funktionen über Vertex AI, EU-Regionen),
• Microsoft Ireland Operations Limited (Azure OpenAI, EU-Region), soweit eingesetzt,
• Shotstack Pty Ltd (Video-Rendering, Australien),
• Twilio Ireland Limited und Voximplant (Telefonie, Aufzeichnung, WhatsApp-Übertragung), soweit vom Büro eingerichtet,
• Meta Platforms Ireland Limited (WhatsApp, Instagram, Messenger, Lead-Formulare), soweit vom Büro eingerichtet,
• Stripe Payments Europe Limited (Zahlungsabwicklung),
• Push-Dienste der Browserhersteller, Google (Karte nach Ihrer Freigabe), OpenStreetMap Foundation (Kartenauswahl),
• vom Büro angebundene Dienste (Postfach, Kalender, CRM, Portale, İYS, E-Rechnung),
• Steuerberatung, Behörden und Gerichte, soweit gesetzlich erforderlich.

Die vollständige Liste der Unterauftragsverarbeiter mit Zweck und Ort steht auf der Seite „Unterauftragsverarbeiter".

23. Übermittlung in Drittländer

KI, Hosting und Speicherung erfolgen in der EU. Eine Übermittlung in Länder außerhalb der EU/des EWR findet nur statt, soweit eine Grundlage nach Art. 44 ff. DSGVO besteht:

• USA (z. B. Google LLC, Microsoft Corporation, Meta Platforms Inc., Twilio Inc., Stripe Inc. als Konzernunternehmen beziehungsweise Unterauftragsverarbeiter): Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework für zertifizierte Unternehmen, ergänzend EU-Standardvertragsklauseln,
• Australien (Shotstack): EU-Standardvertragsklauseln,
• Vereinigtes Königreich (OpenStreetMap Foundation): Angemessenheitsbeschluss.

Für Betroffene in der Türkei ist die Verarbeitung in der EU eine Übermittlung ins Ausland nach Art. 9 KVKK; Einzelheiten enthält unsere KVKK-Information.

24. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen:

• Sitzungen 14 Tage; ungenutzte Geräte werden nach 90 Tagen abgemeldet,
• Microsite-Statistik 90 Tage; Suchaufträge 180 Tage nach der letzten Aktivität,
• Gesprächsverläufe des KI-Assistenten 90 Tage,
• Anrufaufnahmen nach Vorgabe des Büros (Voreinstellung 30 Tage),
• Notizen im Papierkorb 30 Tage,
• Bürodaten-Exporte 24 Stunden,
• Sicherheitsprotokolle 2 Jahre, Lead- und Kontaktprotokolle 3 Jahre, KI- und Medienprotokolle 1 Jahr,
• Leads, Kontakte, Objekte, Medien und Dokumente eines Büros bis zur Löschung durch das Büro oder bis zum Vertragsende (Rückgabe/Löschung nach AVV),
• KI-Bildnachweise (Original, KI-Bild, Bestätigung, Veröffentlichungen) bis zur Festlegung einer Frist für den Nachweis; sie werden nicht automatisch gelöscht,
• Handels- und Steuerunterlagen (z. B. Rechnungen, Buchungsbelege) 6, 8 bzw. 10 Jahre nach § 257 HGB und § 147 AO,
• Einwilligungsnachweise solange die Einwilligung genutzt wird und Ansprüche aus ihr geltend gemacht werden können.

25. Rechtsgrundlagen der Verarbeitung

Soweit in dieser Datenschutzerklärung nicht anders angegeben, verarbeiten wir personenbezogene Daten auf Grundlage folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung,
• Art. 6 Abs. 1 lit. b DSGVO – Vertrag / vorvertragliche Maßnahmen,
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung,
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen.

Für technisch erforderliche Zugriffe auf Endgeräte gilt § 25 Abs. 2 Nr. 2 TDDDG, für einwilligungsbasierte Zugriffe (z. B. Google-Karte merken) § 25 Abs. 1 TDDDG.

26. Automatisierte Entscheidungen / Profiling

Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie ähnlich erheblich beeinträchtigt, findet nicht statt.

KI-Funktionen und der Objektabgleich (Matching) erzeugen Vorschläge, Zusammenfassungen und Rangfolgen, die Makler bei ihrer Arbeit unterstützen. Über Angebote, Termine und Verträge entscheiden Menschen.

27. Ihre Rechte

Sie haben nach der DSGVO insbesondere folgende Rechte:

• Recht auf Auskunft,
• Recht auf Berichtigung,
• Recht auf Löschung,
• Recht auf Einschränkung der Verarbeitung,
• Recht auf Datenübertragbarkeit,
• Recht auf Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO,
• Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen,
• Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde.

28. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für Verantwortliche mit Sitz in Schleswig-Holstein ist regelmäßig das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein zuständig.

Betroffene in der Türkei können sich zudem an die türkische Datenschutzbehörde (Kişisel Verileri Koruma Kurumu) wenden.

29. Pflicht zur Bereitstellung von Daten

Die Bereitstellung personenbezogener Daten ist weder gesetzlich noch vertraglich pauschal vorgeschrieben. Für bestimmte Funktionen ist die Bereitstellung der erforderlichen Daten jedoch notwendig, damit wir Ihre Anfrage bearbeiten, einen Termin organisieren, einen Vertrag durchführen, ein Nutzerkonto bereitstellen, Guthaben verwalten oder eine gewünschte Funktion erbringen können.

Ohne die jeweils erforderlichen Angaben können bestimmte Leistungen unter Umständen nicht erbracht oder Verträge nicht abgeschlossen werden.

30. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

• verschlüsselte Übertragung (TLS) und verschlüsselte Ablage von Zugangsdaten und Schlüsseln Dritter,
• Zwei-Faktor-Anmeldung, Gerätekontrolle und sofortiges Sitzungsende bei Sperrung,
• Mandantentrennung und rollenbasierte Sichtbarkeit (z. B. sehen Makler nur ihre eigenen Leads, wenn das Büro dies so einstellt),
• zeitlich begrenzte, signierte Links für private Dateien,
• Prüfprotokoll mit verketteten Prüfsummen,
• Quarantäne statt sofortiger Löschung von Dateien und regelmäßige Datensicherungen,
• Ein- und Ausschalter für KI-Funktionen je Büro und je Person.

31. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche Anforderungen, technische Prozesse oder unsere Leistungen ändern. Es gilt jeweils die auf dieser Website veröffentlichte aktuelle Fassung.