Datenschutzerklärung – Entwurf

1. Verantwortliche

Julia Fröhlich, handelnd unter JF Immobilien Leopoldstraße 27 80802 München Deutschland E-Mail: info@nestivio.de

2. Stand dieser Information

Die Beschreibung berücksichtigt den derzeitigen Funktionsumfang sowie die eingesetzten Dienste Vercel, Supabase, Resend und IONOS. Die Supabase-Projektregion ist Frankfurt (eu-central-1). Einzelne Zugriffsregeln, Löschfristen und die vertraglichen Grundlagen der Dienstleister sind noch abschließend zu prüfen und zu dokumentieren. Deshalb bleibt diese Fassung ein Entwurf für die Vorbereitung des öffentlichen Pilotbetriebs.

3. Konten und Profile

Für Konten und die Plattformnutzung werden unter anderem E-Mail-Adresse, Anmeldung, Rolle und Profildaten verarbeitet. Mieterprofile können Namen, Kontaktangaben, Suchort, Budget, Wohnform, Einzugswunsch, Haushaltsgröße sowie Angaben zu Beschäftigung, Einkommen, Haustieren und weiteren Suchkriterien enthalten. Vermieterprofile enthalten Kontakt- und gegebenenfalls Unternehmensangaben.

Als Rechtsgrundlage für die zur gewünschten Nutzung erforderliche Verarbeitung kommt Art. 6 Abs. 1 Buchst. b DSGVO in Betracht. Nicht jedes angebotene Profilfeld ist automatisch erforderlich. Pflichtangaben, optionale Angaben und die Erforderlichkeit insbesondere von Geschlecht und Geburtsdatum sind vor dem Pilot gesondert zu prüfen.

4. Dokumente und Vertragsdaten

Die Plattform unterstützt das Hochladen von Nachweisen, beispielsweise Einkommens- und Bonitätsunterlagen, sowie das Vorbereiten von Vertragsunterlagen. Dabei können zusätzliche private Daten, Anschriften und Vertragsangaben verarbeitet werden.

Für die Erstellung von Mietvertragsentwürfen werden die eingegebenen Vertragsdaten in der Datenbank gespeichert. Das Vertrags-PDF wird beim Aufruf erzeugt und direkt an den Browser ausgegeben. Die hierfür geprüfte PDF-Funktion speichert keine zusätzliche fertige PDF-Datei. Nutzer können das ausgegebene PDF auf ihrem eigenen Gerät speichern.

Die geprüften Uploadfunktionen nehmen Nachweise entgegen, die Nutzer selbst hochladen; sie führen keine eigene SCHUFA-Abfrage durch. Der Dokumentzugriff für Vermieter ist in Abschnitt 6 beschrieben. Vor dem Pilot sind der erforderliche Umfang der Nachweise und die Löschfristen abschließend festzulegen. Ausweisunterlagen und nicht erforderliche Angaben sind besonders auf ihre Erforderlichkeit zu prüfen.

5. Matching und Profiling

Suchprofile und Angebotsdaten werden automatisiert verglichen, auf Eignung geprüft und sortiert. Dabei können etwa Budget, Ort, Fläche, Wohnform, Mietbeginn und weitere im Matching verwendete Profilangaben einfließen. Die Auswahl ist begrenzt; automatisierte Filter und Nachrückschritte beeinflussen, welche Angebote oder Bewerber angezeigt werden.

Eine Vermietung erfolgt nicht automatisch durch einen Fit Score. Allerdings kann auch ein automatisierter Ausschluss vom Zugang zu Angeboten erheblich sein. Die Einordnung nach Art. 22 DSGVO, die konkrete Logik und deren Bedeutung sowie erforderliche Überprüfungsmöglichkeiten sind vor Veröffentlichung abschließend zu bewerten. Eine pauschale Einwilligung bei der Registrierung ersetzt diese Prüfung nicht.

Fragen zu einem Vorschlag oder einer Ablehnung können an info@nestivio.de gerichtet werden.

6. Empfänger und Zugriff

Mieterdokumente werden dem jeweiligen Vermieter erst ab einem gegenseitigen Match zugänglich gemacht. Der Zugriff ist auch während der weiteren Bearbeitung mit den Status Besichtigung vereinbart, besichtigt oder angenommen möglich. Voraussetzung ist ein entsprechender Match zwischen dem Mieter und einer Wohnung beziehungsweise einem WG-Zimmer dieses Vermieters. Abgelehnte Matches allein berechtigen nicht zum Dokumentzugriff. Matches mit abgeschlossenem oder storniertem Vertragsstatus begründen ebenfalls keinen weiteren Zugriff. Besteht ein anderer berechtigender Match mit demselben Vermieter, kann darüber weiterhin Zugriff bestehen. Zum Öffnen werden zeitlich begrenzte Dateilinks mit einer Gültigkeit von fünf Minuten erstellt. Bereits heruntergeladene Kopien werden durch das Ende des Plattformzugriffs nicht automatisch gelöscht.

Für den technischen Betrieb nutzen wir folgende Dienste: Vercel: Hosting und Auslieferung der Website sowie Ausführung serverseitiger Funktionen. Supabase (Supabase Pte. Ltd., Singapur): Anmeldung, Datenbank und Speicherung hochgeladener Dateien. Die eingestellte Projektregion ist Central EU (Frankfurt), eu-central-1. Die Auftragsverarbeitungsvereinbarung (Data Processing Addendum) ist Bestandteil des Supabase-Vertrags. Die Projektregion Frankfurt schließt mögliche Verarbeitung oder Zugriffe außerhalb der EU durch den Anbieter oder seine Unterauftragnehmer nicht aus. Die hierfür geltenden Übermittlungsgrundlagen sind vor Veröffentlichung abschließend zu dokumentieren. Resend (Plus Five Five, Inc., USA): Versand automatisierter E-Mails, einschließlich der Nachrichten aus dem Kontakt- und Feedbackformular. Dabei werden die für den Versand erforderlichen E-Mail-Adressen und Nachrichteninhalte verarbeitet. Resend speichert Kundendaten einschließlich Nachrichteninhalten und Versandprotokollen in den USA. Es besteht eine Auftragsverarbeitungsvereinbarung (Data Processing Addendum), die EU-Standardvertragsklauseln für Drittlandübermittlungen enthält. IONOS: Verwaltung der Domain nestivio.de und Betrieb unserer E-Mail-Postfächer. Bei der Kommunikation per E-Mail werden Absender- und Empfängerangaben sowie Nachrichteninhalte verarbeitet. Die Vereinbarung zur Auftragsverarbeitung ist Bestandteil unseres neu abgeschlossenen IONOS-Vertrags. Die konkreten Vertragspartner, Auftragsverarbeitungsvereinbarungen, Unterauftragnehmer, Speicherfristen und gegebenenfalls erforderlichen Garantien für Drittlandübermittlungen müssen vor Veröffentlichung abschließend dokumentiert werden. Die Supabase-Projektregion Frankfurt bedeutet nicht, dass sämtliche Verarbeitung durch alle beteiligten Dienste ausschließlich in Deutschland erfolgt.

7. Kontakt und Feedback

Bei Anfragen und Feedback werden die übermittelten Inhalte, Rückfrageadresse sowie gegebenenfalls Konto, Rolle und aktuelle Seite zur Bearbeitung verarbeitet. Für eine vertragsbezogene Anfrage ist Art. 6 Abs. 1 Buchst. b DSGVO relevant, für sonstige Anfragen und die Fehlerbehebung kommt Art. 6 Abs. 1 Buchst. f DSGVO in Betracht. Das Interesse liegt in der Beantwortung und Verbesserung eines funktionsfähigen Dienstes.

Das öffentliche Kontaktformular ist ohne Anmeldung nutzbar. Dabei werden Name, E-Mail-Adresse und Nachricht verarbeitet und über Resend an unser Kontaktpostfach übermittelt. Die geprüfte Kontaktfunktion legt hierfür keinen zusätzlichen Eintrag in der Plattformdatenbank an. Nachrichten können jedoch beim Maildienst und im empfangenden Postfach gespeichert werden. Beim angemeldeten Hilfe- und Feedbackformular wird die Meldung zusätzlich in unserer Datenbank gespeichert.

8. Technischer Betrieb und Endgerätespeicherung

Für die Anmeldung und Sitzungsverwaltung verwendet unsere Supabase-Konfiguration den lokalen Browserspeicher (Local Storage). Dort werden Sitzungsinformationen einschließlich Zugriffs- und Erneuerungstokens gespeichert, damit die Anmeldung über Seitenaufrufe hinweg erhalten bleibt. Sitzungstokens werden automatisch erneuert. Diese Speicherung dient der Nutzung des angemeldeten Kontos. Sicherheits- und Betriebsprotokolle der eingesetzten Dienste sowie deren Speicherfristen sind noch abschließend zu dokumentieren.

Nach aktuellem Plan werden keine Analyse- oder Marketingtools eingesetzt. Das bedeutet nicht, dass keinerlei technische Daten verarbeitet werden. Vor Veröffentlichung ist zu prüfen, ob alle Browserzugriffe ausschließlich erforderlich sind oder eine Einwilligung nach § 25 TDDDG benötigen. Ein Cookiebanner ersetzt diese technische Prüfung nicht.

Die verwendete Schrift wird über next/font eingebunden. Im endgültigen Betrieb ist zu prüfen, dass sie lokal ausgeliefert wird und dadurch keine zusätzliche Browserverbindung zu Google entsteht.

9. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck erforderlich sind oder ein anderer rechtlich zulässiger Aufbewahrungsgrund besteht. Die Dauer richtet sich insbesondere nach der Nutzung des Kontos, laufenden Bewerbungen und Vertragsprozessen sowie gegebenenfalls bestehenden gesetzlichen Pflichten oder konkreten Rechtsansprüchen.

Die Deaktivierung einer Suche oder Wohnung pausiert die Nutzung. Sie löscht weder das Konto noch automatisch die gespeicherten Daten. Eine Pause rechtfertigt jedoch keine unbegrenzte Aufbewahrung. Insbesondere hochgeladene Einkommens-, Bonitäts- und andere Nachweise sind zu löschen, sobald sie für ihren jeweiligen Zweck nicht mehr erforderlich sind und kein anderer Aufbewahrungsgrund besteht.

Eine Kontolöschung oder die Löschung einzelner personenbezogener Daten kann unter info@nestivio.de oder über das öffentliche Kontaktformular angefragt werden. Falls erforderlich, wird die Kontoinhaberschaft mit angemessenen Mitteln geprüft. Dabei werden auch zugehörige Dateien und Datenverknüpfungen berücksichtigt. Vertragsunterlagen und Daten, die andere Beteiligte betreffen, werden gesondert geprüft. Ein laufender Vertragsprozess schließt die Löschung anderer, nicht mehr benötigter Daten nicht pauschal aus.

Für den Pilot ist vorgesehen, personenbezogene Inhalte erledigter Kontaktanfragen und Feedbackmeldungen spätestens 90 Tage nach abschließender Bearbeitung zu löschen. Dies umfasst die Einträge in der Plattformdatenbank und die von uns verwalteten E-Mail-Kopien. Entfällt der Zweck früher, erfolgt die Löschung früher. Eine längere Speicherung setzt einen konkreten rechtlich zulässigen Grund voraus. Erkenntnisse über technische Fehler können ohne Personenbezug weiter genutzt werden.

Stand der Vorbereitung: Die regelmäßige Bereinigung erledigter Anfragen und Feedbackmeldungen ist noch einzurichten. Die Löschung eines Test-Mieterkontos einschließlich Profil, Kontaktdaten, Dokumenteinträgen, gespeicherten Dateien, unverbindlichem Match und Zustimmungseintrag wurde erfolgreich geprüft. Ein vollständiger Löschablauf für Vermieterkonten und komplexe Vertrags- oder Besichtigungsfälle ist damit noch nicht nachgewiesen.

Vor dem öffentlichen Pilotbetrieb sind die Aufbewahrungs- und Löschregeln für abgeschlossene oder abgelehnte Matches, Besichtigungen, Vertragsdaten und Registrierungsnachweise abschließend festzulegen. Ebenso müssen die tatsächlichen Speicherfristen für Anbieterprotokolle und Sicherungskopien sowie der Umgang mit Löschungen nach einer Wiederherstellung dokumentiert werden. Diese Angaben bleiben bis dahin offene Punkte dieses Entwurfs.

10. Ihre Rechte

Nach den jeweiligen gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Eine erteilte Einwilligung kann mit Wirkung für die Zukunft widerrufen werden.

Widerspruch: Soweit die Verarbeitung auf berechtigten Interessen beruht, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Bei ausschließlich automatisierten erheblichen Entscheidungen können die Rechte aus Art. 22 DSGVO hinzukommen.

Anfragen richten Sie an info@nestivio.de. Außerdem besteht das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde. Für private Unternehmen in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, www.lda.bayern.de, zuständig.