Datenschutzerklärung

1. Verantwortliche Stelle

2. Kurzübersicht

ImmoCRM ist eine mandantenfähige Software für Makler-Büros. Die öffentlich erreichbaren Seiten (Anmeldung, Einladungs- und Passwort-Reset-Links) verarbeiten nur die Daten, die für den jeweiligen Vorgang zwingend nötig sind. Innerhalb des angemeldeten Bereichs verarbeitet ImmoCRM zusätzlich Objekt-, Interessenten- und Zugangsdaten im Auftrag der Makler-Büros (siehe Abschnitt 6) sowie hinterlegte Objektunterlagen, die personenbezogene Daten Dritter enthalten können (siehe Abschnitt 7). Es werden keine Werbe-Cookies, keine Analytics-Dienste und keine Social-Media-Plugins eingesetzt.

3. Hosting, Auslieferung & Server-Log-Dateien

Anwendung und Datenbank werden auf einem Server der

Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen
Deutschland

in Deutschland betrieben. Bei jedem Aufruf erfasst der Server automatisch Zugriffsdaten (Server-Logfiles):

• IP-Adresse des zugreifenden Rechners
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und übertragene Datenmenge
• Referrer-URL und verwendeter Browser

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Logfiles werden nach spätestens 7 Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Content Delivery Network und Mediendateien (Cloudflare)

Der Zugriff auf ImmoCRM wird über das Content Delivery Network der

Cloudflare, Inc.
101 Townsend St.
San Francisco, CA 94107
USA

geleitet (in der EU vertreten durch die Cloudflare Germany GmbH, Rosental 7, 80331 München). Cloudflare arbeitet dabei als vorgelagerter Reverse-Proxy: Der gesamte Datenverkehr zwischen Ihrem Browser und ImmoCRM läuft über die Server von Cloudflare, die die TLS-Verschlüsselung terminieren und Zugriffsdaten (insbesondere IP-Adresse, Zeitpunkt, aufgerufene URL, Browserkennung) zur Abwehr von Angriffen und zur Beschleunigung der Auslieferung verarbeiten.

Mediendateien (Objektfotos, Büro-Logos) werden im Objektspeicher Cloudflare R2 abgelegt. Der Speicherbereich ist mit der Jurisdiktions-Beschränkung „Europäische Union" angelegt: Die Dateien werden ausschließlich in Rechenzentren innerhalb der Europäischen Union dauerhaft gespeichert. Beim Abruf über das Content Delivery Network können jedoch zwischengespeicherte Kopien auch in Rechenzentren außerhalb der EU vorgehalten werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, angriffsresistenten und performanten Betrieb). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Da es sich um ein US-amerikanisches Unternehmen handelt und eine Verarbeitung in den USA nicht ausgeschlossen ist, stützen wir die Übermittlung auf Standardvertragsklauseln bzw. auf das EU-U.S. Data Privacy Framework, soweit einschlägig.

4. Cookies und lokale Speicherung

ImmoCRM selbst setzt einen einzigen Cookie: immocrm_session, ein technisch notwendiges, signiertes Sitzungs-Token (httpOnly, 7 Tage Gültigkeit), das den angemeldeten Zustand hält. Es wird kein Tracking-, Analyse- oder Marketing-Cookie gesetzt.

Zusätzlich kann das vorgelagerte Content Delivery Network (Cloudflare, siehe Abschnitt 3) eigene, technisch notwendige Cookies zur Angriffs- und Bot-Abwehr setzen — insbesondere __cf_bm (kurze Laufzeit, Unterscheidung menschlicher Zugriffe von automatisierten) und cf_clearance (nach bestandener Sicherheitsprüfung). Diese Cookies dienen ausschließlich der Sicherheit des Dienstes und werden nicht zu Werbe- oder Analysezwecken ausgewertet.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (unbedingt erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst — die Anmeldung sowie deren sicheren Betrieb — bereitzustellen) sowie Art. 6 Abs. 1 lit. b und lit. f DSGVO. Eine Einwilligung ist für diese Cookies nicht erforderlich.

5. Registrierung und Nutzerkonten

Nutzerkonten entstehen ausschließlich durch Einladung eines Makler-Büros (Einmal-Link) oder durch Anlage eines Kontos beim Onboarding. Dabei verarbeiten wir Name, E-Mail-Adresse, Rolle und Passwort. Passwörter werden ausschließlich als Hash gespeichert, niemals im Klartext. Einladungs- und Passwort-Reset-Links sind einmalig gültig und verfallen nach Nutzung bzw. nach Ablauf.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des SaaS-Nutzungsverhältnisses mit dem jeweiligen Makler-Büro).

6. Objekt-, Interessenten- und Kundendaten der Makler-Büros

Makler-Büros pflegen in ImmoCRM eigene Immobilien-Inserate sowie Kontaktdaten von Kaufinteressent:innen und Mietinteressent:innen ("Anfragen"/Leads). Bezogen auf diese Daten handeln wir als Auftragsverarbeiter gemäß Art. 28 DSGVO; verantwortliche Stelle für Ihre Daten als Interessent:in bleibt das jeweilige Makler-Büro, mit dem Sie in Kontakt standen. Auskunfts-, Berichtigungs- und Löschanfragen zu diesen Daten richten Sie bitte direkt an das betreffende Makler-Büro. Für die Bereitstellung der Verarbeitungsinfrastruktur ist minhth.ai verantwortlich; ein Auftragsverarbeitungsvertrag mit jedem Makler-Büro ist Voraussetzung der Nutzung.

Exposé-Anfragen und Widerrufsbelehrung

Fordern Sie bei einem Makler-Büro ein Exposé an, kommt ein Maklervertrag im Fernabsatz zustande. Das Büro ist gesetzlich verpflichtet, Sie zuvor über Ihr Widerrufsrecht zu belehren (§ 312d BGB, Art. 246a EGBGB). ImmoCRM setzt diesen Ablauf technisch um und speichert dafür: Ihren Namen und Ihre E-Mail-Adresse, den Zeitpunkt des Versands der Belehrung, den Wortlaut der Belehrung und des Provisionshinweises, die von Ihnen angekreuzten Erklärungen nach § 356 Abs. 4 BGB samt Zeitpunkt, Ihre IP-Adresse und Browserkennung sowie jeden Abruf des Exposé-Dokuments.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags), lit. c (gesetzliche Belehrungspflicht) sowie lit. f (berechtigtes Interesse des Büros an einem belastbaren Nachweis seines Provisionsanspruchs). Die IP-Adresse wird ausschließlich zu diesem Nachweiszweck gespeichert und nach Ablauf der regelmäßigen Verjährungsfrist automatisch gelöscht; der übrige Vorgang bleibt als Nachweis erhalten. Das Exposé selbst wird nicht als Anhang versendet, sondern über einen persönlichen Link ausgeliefert, der nach einer eingestellten Frist und Anzahl von Abrufen verfällt.

Ihren Widerruf können Sie jederzeit formlos gegenüber dem Makler-Büro erklären oder über den Link ausüben, den Sie mit der Belehrung erhalten haben. Verantwortlich für Inhalt und Richtigkeit der Belehrung ist das jeweilige Makler-Büro.

7. Dokumentenablage zu Objekten

Makler-Büros können zu jedem Objekt Unterlagen hinterlegen — etwa Grundbuchauszug, Energieausweis, Grundriss, Teilungserklärung, Protokolle der Eigentümerversammlung, Nebenkostenabrechnungen sowie Kauf- und Mietverträge. Diese Unterlagen können personenbezogene Daten Dritter enthalten, insbesondere von Eigentümer:innen, Mieter:innen sowie Käufer:innen und Verkäufer:innen. Auch hier handeln wir als Auftragsverarbeiter nach Art. 28 DSGVO; verantwortliche Stelle ist das jeweilige Makler-Büro, das die Unterlage hochlädt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Makler- bzw. Kaufvertragsverhältnisses), ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer vollständigen Objektakte) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit handels- und steuerrechtliche Aufbewahrungspflichten bestehen.

Schutzmaßnahmen (Art. 32 DSGVO): Dokumente werden getrennt von den Objektfotos in einem eigenen, nicht öffentlich erreichbaren Speicherbereich bei Cloudflare R2 mit Jurisdiktions-Beschränkung „Europäische Union" abgelegt. Anders als Fotos besitzen sie keine öffentliche Adresse und werden nicht über ein Content Delivery Network ausgeliefert: Ein Abruf ist ausschließlich über den angemeldeten Zugang des Makler-Büros möglich, wird serverseitig gegen den Mandanten und die Rolle geprüft und niemals im Browser-Zwischenspeicher abgelegt. Als vertraulich markierte Unterlagen sind zusätzlich nur der Inhaber:in des Büros und der dem Objekt zugewiesenen Makler:in zugänglich.

Protokollierung: Jeder Upload, Abruf, jede Änderung und jede Löschung eines Dokuments wird mit Zeitpunkt, handelnder Person und Dateiname protokolliert (Nachweispflicht nach Art. 5 Abs. 2 DSGVO, Grundlage für Meldungen nach Art. 33 DSGVO). IP-Adressen werden dabei nicht gespeichert. Das Protokoll selbst wird nach zwölf Monaten automatisch gelöscht.

Speicherdauer: Zu jeder Unterlage wird eine Aufbewahrungsfrist hinterlegt, die sich nach der Dokumentart richtet — zehn Jahre für Verträge, Abrechnungen und Buchungsbelege (§ 147 AO, § 257 HGB), kürzer oder gar nicht für Unterlagen ohne gesetzliche Aufbewahrungspflicht. Nach Ablauf wird die Unterlage dem Makler-Büro zur Löschung vorgelegt. Wird ein Objekt gelöscht, werden die zugehörigen Dokumente im selben Vorgang unwiderruflich aus dem Speicher entfernt.

8. E-Mail-Versand und -Empfang

Für den Versand und den Empfang von E-Mails setzen wir den Dienstleister Brevo (Sendinblue GmbH, Köln, für die Brevo SAS, Paris, Frankreich) ein. Die Verarbeitung findet auf Servern innerhalb der Europäischen Union statt; eine Übermittlung in ein Drittland ist damit nicht verbunden.

Eingang: ImmoScout24 und Kleinanzeigen liefern Interessenten-Anfragen ausschließlich per E-Mail aus. Diese Mails werden als Webhook an ImmoCRM weitergeleitet, dort dem passenden Makler-Büro zugeordnet, geparst und als Anfrage gespeichert.

Ausgang: Versendet werden ausschließlich anlassbezogene Nachrichten: Terminbestätigungen, Absagen und Terminerinnerungen an Interessent:innen sowie Einladungs- und Passwort-Links an Mitarbeitende der Makler-Büros. Ein Newsletter oder sonstiger Werbeversand findet nicht statt. Verarbeitet werden dabei Name und E-Mail-Adresse der empfangenden Person sowie die Angaben zum jeweiligen Termin.

Zu jeder versendeten Nachricht speichern wir Empfängeradresse, Betreff, Zeitpunkt und Zustellstatus (zugestellt, unzustellbar, als Spam gemeldet). Dieses Protokoll dient dem Nachweis der Zustellung und der Fehlersuche; es enthält nicht den Nachrichtentext und wird nach zwölf Monaten automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Nachrichten im Rahmen der Anbahnung oder Durchführung eines Besichtigungs- bzw. Maklervertrags, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Makler-Büros an der Bearbeitung eingehender Anfragen und am Betrieb ihrer Nutzerkonten). Mit Brevo besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

9. Anbindung von Immobilienportalen (ImmoScout24, Kleinanzeigen)

Zur Veröffentlichung von Exposés hinterlegen Nutzer:innen ihre eigenen Portal-Zugangsdaten (API-Schlüssel bzw. OAuth-Token, FTP-Zugangsdaten) in den Einstellungen. Diese werden AES-256-GCM -verschlüsselt in der Datenbank abgelegt und ausschließlich zur Veröffentlichung der eigenen Inserate des jeweiligen Büros auf dessen eigenem Portal-Konto verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des SaaS-Nutzungsverhältnisses auf ausdrücklichen Wunsch der Nutzer:innen).

10. KI-gestützte Exposé-Analyse (optional)

Makler-Büros können optional eine automatische Datenextraktion aus hochgeladenen Exposés aktivieren. Ist dieses Feature aktiviert, werden die hochgeladenen Dokumente an die Google Gemini API (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Verarbeitung ggf. auch durch Google LLC, USA) übermittelt. Die Dokumente können personenbezogene Daten enthalten. Ohne Aktivierung durch das jeweilige Büro findet keine Übermittlung an Google statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Dateneingabe). Da eine Verarbeitung in den USA nicht ausgeschlossen ist, wird vor Produktivnutzung ein Auftragsverarbeitungsvertrag mit Google abgeschlossen bzw. auf Standardvertragsklauseln gestützt.

11. Speicherdauer

Nutzerkonten und die damit verbundenen Daten werden für die Dauer des Nutzungsverhältnisses des jeweiligen Makler-Büros gespeichert und nach dessen Beendigung gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Objekt- und Anfragedaten werden nach den Löschentscheidungen des jeweiligen Makler-Büros verarbeitet. Für Objektdokumente gelten die in Abschnitt 7 genannten Fristen. Zugriffsprotokolle zu Dokumenten werden nach zwölf Monaten gelöscht, Server-Logfiles nach 7 Tagen.

12. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: [email protected]. Betrifft Ihre Anfrage Daten, die ein Makler-Büro über Sie als Interessent:in verarbeitet (Abschnitt 6), wenden Sie sich bitte direkt an dieses Büro.

13. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163
65021 Wiesbaden
https://datenschutz.hessen.de/

14. SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am „https://" in der Adresszeile Ihres Browsers.

15. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt die dann aktuelle Datenschutzerklärung.