Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Marcel Schlüter IT-Services
Mein-Nebenkostenrechner.de
Kollwitzstraße 76
10435 Berlin
Deutschland
E-Mail: [email protected]

1a. Datenschutzbeauftragter

Als Einzelunternehmer sind wir nach § 38 Abs. 1 BDSG nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Die Schwelle nach § 38 Abs. 1 S. 1 BDSG (i.V.m. Art. 37 DSGVO) greift erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen. Beides trifft auf unseren Betrieb derzeit nicht zu. Bei datenschutzrechtlichen Anliegen wende dich bitte direkt an den unter "Verantwortlicher" genannten Ansprechpartner.

2. Überblick über die Datenverarbeitung

Der Schutz deiner persönlichen Daten ist uns ein besonderes Anliegen. Unser Nebenkostenrechner verarbeitet personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Dienste erforderlich ist.

Die Kernberechnungen (Nebenkostenabrechnung, Heizkostenberechnung, Verteilerschlüssel) finden ausschließlich in deinem Browser (clientseitig) statt. Die hierfür eingegebenen Daten zu Mietern, Kosten, Wohnflächen und Abrechnungszeiträumen werden bei Nutzung ohne Benutzerkonto nicht an unseren Server übertragen.

Darüber hinaus verarbeiten wir personenbezogene Daten im Zusammenhang mit:

• Registrierung und Führung von Benutzerkonten
• Zahlungsabwicklung für kostenpflichtige Leistungen
• Bereitstellung der REST-API
• PDF-Erstellung und -Archivierung
• Kontaktanfragen über unser Kontaktformular
• E-Mail-Versand

Details zu den einzelnen Verarbeitungstätigkeiten findest du in den folgenden Abschnitten.

3. Registrierung und Benutzerkonto

Du kannst dir auf unserer Website ein Benutzerkonto erstellen, um zusätzliche Funktionen zu nutzen (z.B. Projekte speichern, Objekte und Mieter verwalten, Abrechnungen erstellen).

Verarbeitete Daten bei der Registrierung:

• E-Mail-Adresse
• Name (optional)
• Passwort (wird ausschließlich als kryptografischer Hash gespeichert; das Klartext-Passwort wird nicht gespeichert)
• Zeitpunkt der Registrierung und der Zustimmung zu den AGB

Im Benutzerkonto gespeicherte Daten:

• Gespeicherte Projekte (Berechnungsdaten als JSON)
• Objekte (Bezeichnung, Adresse, PLZ, Ort, Fläche, Anzahl Einheiten)
• Mieter (Name, Wohnung, Fläche, Personenanzahl, Ein-/Auszug, Vorauszahlung)
• Abrechnungen (Zeitraum, Berechnungsdaten, Ergebnisse)

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — die Verarbeitung ist zur Bereitstellung der von dir angefragten Kontofunktionen erforderlich.

Vermieter-Profildaten: Wenn du ein Nutzerkonto als Vermieter anlegst, speichern wir zusätzlich auf freiwilliger Basis: Firma, vollständige Anschrift, Telefonnummer, Bankverbindung (IBAN, BIC, Bank). Diese Daten werden ausschließlich zur automatischen Befüllung deiner Briefvorlagen (Anschreiben, Widerspruchsbriefe etc.) und Rechnungen verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: für die Dauer deines Nutzerkontos. Löschung: jederzeit über /konto/profil oder Account-Löschung möglich.

Speicherdauer: Deine Kontodaten werden gespeichert, solange dein Benutzerkonto besteht. Du kannst dein Konto jederzeit selbstständig in den Kontoeinstellungen löschen. Bei der Kontolöschung werden sämtliche mit deinem Konto verknüpften Daten (Projekte, Objekte, Mieter, Abrechnungen, Zahlungen, API-Schlüssel, API-Protokolle) unwiderruflich gelöscht.

4. Cookies und Authentifizierung

Wenn du dich in dein Benutzerkonto anmeldest, wird ein technisch notwendiger Cookie gesetzt, der deine Anmeldung aufrechterhält. Dieser Cookie:

• enthält ein signiertes JSON Web Token (JWT) zur Identifikation deiner Sitzung
• ist als HttpOnly markiert und kann nicht von JavaScript ausgelesen werden
• hat eine Gültigkeitsdauer von 7 Tagen
• wird bei der Abmeldung gelöscht

Ohne Anmeldung werden — mit einer Ausnahme — keine Cookies gesetzt. Es werden keine Tracking-Cookies oder Cookies von Drittanbietern verwendet.

Ausnahme Empfehlungs-Links: Wenn du einen persönlichen Empfehlungs-Link (/r/…) eines Bestandskunden anklickst, setzen wir einen funktionalen First-Party-Cookie nk_ref (HttpOnly, 7 Tage). Er dient ausschließlich dazu, dir beim Abschluss den Willkommensrabatt zuzuordnen, den du mit dem Klick auf den Link angefordert hast — vergleichbar mit einem Gutschein-Code. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (für die von dir gewünschte Funktion erforderlich) i. V. m. Art. 6 Abs. 1 lit. b DSGVO. Es findet darüber kein seitenübergreifendes Tracking statt.

Die Verwendung des Authentifizierungs-Cookies erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendiger Cookie).

5. Zahlungsabwicklung (Stripe)

Für die Abwicklung kostenpflichtiger Leistungen (PDF-Export, Abo-Zahlungen) nutzen wir den Zahlungsdienstleister Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe Payments Europe Ltd. ist der für EU-Kunden verantwortliche Stripe-Vertragspartner.

Wenn du eine Zahlung vornimmst, werden die eingegebenen Zahlungsdaten (z.B. Kreditkartennummer) direkt an Stripe übermittelt und von Stripe verarbeitet. Wir selbst speichern keine Kreditkartendaten.

Bei uns gespeicherte Zahlungsdaten:

• Stripe-Session-ID und Payment-Intent-ID (zur Zuordnung der Zahlung)
• Zahlungsbetrag, Währung und Produkt
• E-Mail-Adresse (aus dem Stripe-Checkout)
• Zahlungsstatus
• Bei Abonnements: Abo-ID, Zeitraum und Kündigungsstatus

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Verarbeitung findet primär innerhalb der EU bei Stripe Payments Europe Ltd. (Irland) statt. Eine Übermittlung an Subverarbeiter in den USA (insbesondere Stripe, Inc.) ist möglich und wird durch das EU-U.S. Data Privacy Framework (DPF) sowie zusätzlich durch Standardvertragsklauseln gemäß Art. 46 DSGVO abgesichert. Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

Speicherdauer: Zahlungsdaten werden gemäß den handels- und steuerrechtlichen Aufbewahrungsfristen für bis zu 10 Jahre gespeichert (§ 147 AO, § 257 HGB). Bei Kontolöschung werden Zahlungsdaten ebenfalls gelöscht.

6. REST-API

Registrierte Nutzer können API-Schlüssel erstellen, um die Funktionen des Nebenkostenrechners programmatisch über eine REST-API zu nutzen.

Verarbeitete Daten:

• API-Schlüssel (kryptografisch generiert), Name und Berechtigungen
• API-Nutzungsprotokolle: Endpunkt, HTTP-Methode, Statuscode, IP-Adresse und Zeitpunkt des Zugriffs
• Rate-Limit-Informationen (Anzahl der Anfragen pro Zeitfenster)

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die API-Bereitstellung sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für die IP-Protokollierung zur Missbrauchserkennung und Rate-Limiting.

Speicherdauer: API-Schlüssel und Protokolle werden gespeichert, solange dein Benutzerkonto besteht, und bei Kontolöschung vollständig entfernt.

7. PDF-Export und Archivierung

Nach dem Kauf eines PDF-Exports wird die erstellte Nebenkostenabrechnung als PDF-Datei auf unserem Server temporär gespeichert und kann dir per E-Mail zugesendet werden.

Verarbeitete Daten: E-Mail-Adresse (aus dem Stripe-Checkout), PDF-Dokument (enthält die von dir eingegebenen Abrechnungsdaten), Dateiname und Dateigröße.

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Zustellung des gekauften Produkts).

Speicherdauer: Archivierte PDFs werden nach spätestens 30 Tagen automatisch gelöscht.

8. Kontaktformular

Über unser Kontaktformular kannst du uns Anfragen, Feedback oder Fehlermeldungen senden.

Verarbeitete Daten:

• Name
• E-Mail-Adresse
• Betreff und Kategorie der Anfrage
• Nachrichtentext

Deine Anfrage wird als Ticket gespeichert, damit wir sie bearbeiten und dir antworten können. Die Antwort erfolgt per E-Mail an die von dir angegebene Adresse.

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Kundenanfragen).

Speicherdauer: Kontaktanfragen werden nach Abschluss der Bearbeitung und Ablauf etwaiger gesetzlicher Aufbewahrungsfristen gelöscht.

Spam-Schutz: Zum Schutz vor automatisierten Anfragen verwenden wir ein Honeypot-Verfahren (verstecktes Formularfeld) sowie eine Begrenzung der Anfragen pro IP-Adresse. IP-Adressen werden dabei nur temporär im Arbeitsspeicher gehalten und nicht dauerhaft gespeichert.

9. E-Mail-Versand

Wir versenden E-Mails in folgenden Fällen:

• Zustellung des gekauften PDF-Exports nach einer Zahlung
• Antwort auf deine Kontaktanfrage (Ticket)

Der Versand erfolgt über unseren eigenen Mailserver (mail.mschlueter.net), der in Deutschland bei Hetzner gehostet wird. Es werden keine Daten an externe E-Mail-Dienstleister übermittelt.

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

10. Web-Analytics (Umami, self-hosted)

Wir nutzen die Open-Source-Analyse-Software Umami auf eigenem Server (analytics.mschlueter.net, Hetzner DE). Es werden ausschließlich anonymisierte Daten verarbeitet (gekürzte IP-Adressen, keine Cookies, kein Cross-Site-Tracking). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenanalyse). Keine Übermittlung an Dritte. Speicherdauer: 14 Monate aggregiert.

10a. Internes Conversion- und Funnel-Tracking

Zur Optimierung unseres Angebots erfassen wir intern: aufgerufene Seiten, Verweildauer, anonymisierte IP (SHA256-Hash der auf 0 gekürzten letzten Oktett-Stelle), Browser-Klasse, Geräte-Klasse, UTM-Quellparameter, sowie freiwillige Aktionen (Rechner-Nutzung, Klicks auf CTAs, Download-Versuche, Checkout-Schritte).

Pseudonyme Funnel-Korrelation: Um zu verstehen, wie viele Besucher vom Rechner-Start bis zum Checkout gelangen, vergeben wir je Besucher eine pseudonyme, täglich rotierende Sitzungs-ID. Diese wird serverseitig aus dem IP-Hash, dem Browser-Klassifikator und einem geheimen Salt gebildet (SHA256, irreversibel). Sie wird ausschließlich zur tagesweisen Korrelation der oben genannten Aktionen verwendet und ist über den Tag hinaus weder reidentifizierbar noch zusammenführbar. Es werden keine Cookies und kein LocalStorage gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweiten- und Funnel-Analyse, Pseudonymisierung nach Art. 4 Nr. 5 DSGVO) sowie § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich für die anonyme Reichweitenmessung, kein Setzen von Endgeräte-Speicher). Speicherdauer: 90 Tage. Du kannst der Verarbeitung jederzeit per E-Mail an [email protected] widersprechen (Art. 21 DSGVO).

11. Server-Logfiles

Beim Aufruf unserer Website erhebt der Hosting-Provider automatisch Informationen in sogenannten Server-Logfiles, die dein Browser automatisch übermittelt. Dies sind:

• Browsertyp und -version
• Verwendetes Betriebssystem
• Referrer-URL (zuvor besuchte Seite)
• IP-Adresse des zugreifenden Rechners
• Uhrzeit der Serveranfrage

Diese Daten sind nicht bestimmten Personen zuordenbar. Eine Zusammenführung mit anderen Datenquellen wird nicht vorgenommen. Die Daten werden nach spätestens 7 Tagen gelöscht. Grundlage der Datenverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website).

12. Hosting

Diese Website wird bei Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) gehostet. Der Server-Standort ist Deutschland. Hetzner verarbeitet die oben genannten Daten in unserem Auftrag. Grundlage ist ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Weitere Informationen findest du in der Datenschutzerklärung von Hetzner.

13. Content Delivery Network (Cloudflare)

Wir nutzen den Dienst Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) als Content Delivery Network (CDN) und zum Schutz vor DDoS-Angriffen. Dabei wird der Datenverkehr zwischen deinem Browser und unserem Server über die Infrastruktur von Cloudflare geleitet.

Cloudflare kann dabei folgende Daten verarbeiten: IP-Adresse, Sicherheits- und Zugangs-Logdaten, Informationen zu deinem Browser und Betriebssystem. Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einem sicheren und performanten Betrieb der Website gemäß Art. 6 Abs. 1 lit. f DSGVO.

Cloudflare ist unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert, was ein angemessenes Datenschutzniveau für die Datenübermittlung in die USA gewährleistet. Zusätzlich gelten die Standardvertragsklauseln (SCCs) der EU-Kommission. Weitere Informationen findest du in der Datenschutzerklärung von Cloudflare.

14. SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du an dem Schloss-Symbol in der Adresszeile deines Browsers sowie daran, dass die Adresszeile mit "https://" beginnt. Dadurch können die Daten, die du an uns übermittelst, nicht von Dritten mitgelesen werden.

15. Übersicht der Speicherdauern

16. Deine Rechte nach der DSGVO

Dir stehen folgende Rechte gegenüber dem Verantwortlichen zu:

• Auskunftsrecht (Art. 15 DSGVO): Du kannst Auskunft über deine verarbeiteten personenbezogenen Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Du kannst die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung deiner Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Du kannst verlangen, dass dir deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format übermittelt werden. Als registrierter Nutzer kannst du deine Daten jederzeit selbst unter Mein Konto → Profil → „Meine Daten herunterladen“ als JSON-Datei exportieren (maximal 5 Exporte pro Tag). Der Export enthält dein Profil, Objekte, Mieter, Abrechnungen, Verbrauchsdaten, Tickets, Rechnungen, Zahlungen und weitere mit deinem Konto verknüpfte Datensätze.
• Widerspruchsrecht (Art. 21 DSGVO): Du kannst der Verarbeitung deiner Daten widersprechen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO beruht.
• Art. 22 DSGVO — Du hast das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die dir gegenüber rechtliche Wirkung entfaltet. Unser KI-Check liefert ausdrücklich KEINE rechtsverbindliche Entscheidung, sondern lediglich eine technische Auswertung als Hilfestellung. Eine endgültige rechtliche Bewertung sollte stets von einem Fachanwalt oder Mieterverein erfolgen.

Kontolöschung: Als registrierter Nutzer kannst du dein Benutzerkonto jederzeit selbstständig unter Mein Konto löschen. Dabei werden sämtliche mit deinem Konto verknüpften Daten (Projekte, Objekte, Mieter, Abrechnungen, Zahlungen, API-Schlüssel, API-Protokolle) unwiderruflich und vollständig gelöscht (Art. 17 DSGVO).

Zur Ausübung deiner Rechte wende dich bitte per E-Mail an: [email protected]

17. Beschwerderecht bei einer Aufsichtsbehörde

Wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt, hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist in der Regel die Aufsichtsbehörde deines Bundeslandes.

Die für uns zuständige Aufsichtsbehörde ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, Telefon: +49 30 13889-0, E-Mail: [email protected], Web: https://www.datenschutz-berlin.de.

18. Abonnements und Testphase

Bei Abschluss eines Abonnements (Vermieter Basis oder Pro) speichern wir: Abo-Plan, Status (aktiv/trialing/gekündigt), Abrechnungszeitraum, Stripe-Subscription-ID und Kündigungsstatus. Die 30-tägige kostenlose Testphase wird über Stripe verwaltet. Nach Ablauf erfolgt die automatische Umwandlung in ein kostenpflichtiges Abo, sofern nicht vorher gekündigt wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

19. Newsletter und Lead-Erfassung

Beim Kauf einer Premium-Vorlage (je 2,00 €) erfassen wir deine E-Mail-Adresse zum Zweck der Zustellung des Download-Links und der Bestätigungs-Mail. Optional kannst du beim Kauf der Zusendung von Informationen über Neuigkeiten und neue Vorlagen zustimmen (Newsletter) — diese Zustimmung ist nicht Bedingung für den Kauf. Die Zustimmung erfolgt über eine separate Checkbox und wird per Double-Opt-In (Bestätigungsklick in der E-Mail) rechtsverbindlich verifiziert. Du kannst die Einwilligung jederzeit widerrufen — per E-Mail an [email protected] oder über den Abmeldelink in jeder E-Mail. Rechtsgrundlage für die Vertragsabwicklung (Vorlage-Kauf): Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Rechtsgrundlage für den Newsletter: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

20. Audit-Logging

Zur Gewährleistung der Sicherheit und Nachweisbarkeit protokollieren wir sicherheitsrelevante Aktionen in einem Audit-Log. Gespeicherte Daten: Art der Aktion (z.B. Kündigung, DSGVO-Bestätigung, Kontolöschung), Zeitpunkt, IP-Adresse und User-ID. Die Daten werden unbegrenzt gespeichert, soweit sie für rechtliche Nachweiszwecke erforderlich sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

21. Passwort-Zurücksetzen

Bei Anforderung eines Passwort-Reset-Links senden wir eine E-Mail mit einem einmalig gültigen Link (1 Stunde Gültigkeit). Gespeicherte Daten: Token, User-ID, Ablaufdatum. Nach Nutzung oder Ablauf werden die Token-Daten als verwendet markiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

22. Datensicherung (Backups)

Zur Datensicherheit erstellen wir regelmäßige Backups der Datenbank und hochgeladener Dateien. Die Backups werden auf einem separaten Speichermedium am gleichen Serverstandort (Hetzner, Deutschland) gespeichert. Echtzeit-Backups werden über Litestream erstellt und bis zu 7 Tage aufbewahrt. Stündliche Snapshots werden 48 Stunden, tägliche Backups 30 Tage aufbewahrt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Datensicherheit).

23. PDF-Archivierung

Von Kunden erstellte PDF-Dokumente (Abrechnungen, Übergabeprotokolle) werden für 30 Tage auf einem separaten Speicher archiviert und danach automatisch gelöscht. Die Archivierung erfolgt nach Kunden-E-Mail organisiert. Rechnungen unterliegen der gesetzlichen Aufbewahrungsfrist von 10 Jahren (§ 147 AO, § 14b UStG) und werden entsprechend länger gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für Rechnungen, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für sonstige PDFs.

24. KI-Schnellcheck — Datenverarbeitung bei der KI-gestützten Prüfung

Bei der Nutzung des KI-Schnellchecks für Nebenkostenabrechnungen verarbeiten wir personenbezogene Daten gemäß den gesetzlichen Bestimmungen der Datenschutz-Grundverordnung (DSGVO). Mieter laden ihre Nebenkostenabrechnungen (PDF, JPG, PNG) über eine verschlüsselte Upload-Funktion hoch. Die Dokumente werden auf einem in Deutschland gehosteten Server (Hetzner Rechenzentrum) verarbeitet, um den Text mittels OCR-Technologie zu extrahieren. Der extrahierte Text wird anschließend an die Anthropic LLC (USA) übermittelt, wo die KI-Analyse (Claude) auf rechtliche Fehler und Unstimmigkeiten prüft. Die hochgeladenen Originaldokumente werden nach Abschluss der Analyse für einen begrenzten Zeitraum (kostenlose Vorschau: 14 Tage, bezahlter Bericht: 90 Tage) ausschließlich zu Support-Zwecken auf unserem Server in Deutschland aufbewahrt — etwa um bei technischen Problemen die Analyse ohne erneuten Upload wiederholen zu können — und danach automatisiert und unwiderruflich gelöscht.

24.1 Kategorien verarbeiteter Daten

Im Rahmen des KI-Schnellchecks werden folgende Datenkategorien verarbeitet:

• Hochgeladene Dokumente: Nebenkostenabrechnungen als PDF, JPG oder PNG. Diese können personenbezogene Daten wie Namen, Adressen und Abrechnungsbeträge enthalten.
• OCR-Text: Der aus den Dokumenten extrahierte Textinhalt.
• Analyseergebnisse: Die Ergebnisse der KI-Analyse, einschließlich identifizierter Fehler, Rechtsgrundlagen und geschätzter Erstattungsbeträge.
• IP-Adresse: Die IP-Adresse des Nutzers wird in gehashter Form temporär gespeichert, um die Rate-Limitierung sicherzustellen. Ein Rückschluss auf die Person ist nicht möglich.

24.2 Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Grundlagen:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Vor dem Upload erteilt der Nutzer durch Aktivierung einer Checkbox seine ausdrückliche Einwilligung in die Verarbeitung und Übermittlung der Daten an Dritte. Diese Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist erforderlich, um den KI-Schnellcheck als vertraglich vereinbarte Leistung durchzuführen.

24.3 Übermittlung an Dritte — Drittlandtransfer

Der extrahierte OCR-Text wird zur Durchführung der KI-Analyse an die Anthropic LLC (548 Market Street, San Francisco, CA 94104, USA) übermittelt. Diese Übermittlung in ein Drittland erfolgt auf Grundlage von Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO. Anthropic LLC ist vertraglich verpflichtet, die übermittelten Daten ausschließlich zur Durchführung der beauftragten Analyse zu verwenden und gemäß den Anforderungen der DSGVO zu schützen. Eine Speicherung der Daten durch Anthropic über die Verarbeitung hinaus findet nicht statt.

24.4 Hinweise zu Risiken

Trotz umfassender technischer Schutzmaßnahmen weisen wir darauf hin, dass die Übermittlung von Daten in die USA mit einem Restrisiko hinsichtlich des dortigen Datenschutzniveaus verbunden ist. Hochgeladene Dokumente können personenbezogene Daten (Namen, Adressen, Mietvertragsdetails) enthalten, die im Rahmen der OCR-Extraktion verarbeitet werden. Die Nutzung KI-gestützter Analyse kann zudem zu unvollständigen oder fehlerhaften Ergebnissen führen. Der KI-Schnellcheck stellt ausdrücklich keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar.

24.5 Nachbesprechung des Berichts mit Lena (Kundenkonto)

Nach dem Kauf eines KI-Schnellchecks kannst du den erstellten Bericht in deinem Kundenkonto (Bereich „Nachrichten") mit unserer KI-Assistentin Lena besprechen. Damit Lena deine Fragen beantworten kann, werden bei jeder von dir gesendeten Frage der erstellte Prüfbericht sowie der aus deinem Dokument extrahierte Text (OCR) zusammen mit deiner Frage an die Anthropic LLC (USA) übermittelt und dort für die Antwort verarbeitet (Drittlandtransfer auf Grundlage der Standardvertragsklauseln, wie in Abschnitt 24.3 beschrieben). Rechtsgrundlage der Verarbeitung ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Zuordnung zu deinem Konto erfolgt durch deine vorherige Registrierung. Der Nachrichtenverlauf wird in unserer Datenbank gespeichert, damit du ihn später erneut aufrufen kannst. Er wird spätestens mit der Pseudonymisierung des zugehörigen Berichts (nach 180 Tagen, siehe unten), bei Löschung des Anliegens durch dich oder bei Löschung deines Kontos entfernt. Die Nachbesprechung ist eine allgemeine, KI-gestützte Erläuterung und stellt keine Rechtsberatung im Sinne des RDG dar.

24.6 Löschfristen

Wir halten uns an den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Konkret gelten folgende, automatisiert durchgesetzte Aufbewahrungsfristen — tägliche automatische Prüfläufe entfernen bzw. pseudonymisieren Dateien und Datensätze nach Ablauf der jeweiligen Frist:

Anonyme Lead-Daten (z. B. abgebrochene Vorschauen ohne E-Mail-Adresse) werden spätestens nach 90 Tagen gelöscht. Die langfristige Aufbewahrung bezahlter Datensätze über zehn Jahre ergibt sich aus der gesetzlichen Pflicht zur Rechnungsaufbewahrung (§ 147 AO); inhaltliche Daten der Abrechnung (Dateiname, OCR-Text, Analyse) sind in dieser Phase bereits pseudonymisiert.

24.6 Sicherheitsmaßnahmen

• Transportverschlüsselung: Sämtliche Datenübertragungen erfolgen ausschließlich über HTTPS (TLS 1.2+).
• OCR-Verarbeitung in Deutschland: Die Texterkennung erfolgt ausschließlich auf Servern im Hetzner Rechenzentrum in Deutschland.
• Befristete Dokumentenspeicherung mit Zugriffsschutz: Hochgeladene Originaldateien werden nach der Analyse ausschließlich zu Support-Zwecken in einem zugriffsgeschützten Bereich aufbewahrt (kostenlose Vorschau 14 Tage, bezahlter Bericht 90 Tage) und danach automatisiert gelöscht. Jeder Zugriff durch unsere Mitarbeiter wird protokolliert.
• IP-Hashing: IP-Adressen werden ausschließlich als kryptographischer Hash gespeichert (SHA-256). Ein Rückschluss auf die ursprüngliche IP-Adresse ist technisch nicht möglich.

24.7 Betroffenenrechte

Im Zusammenhang mit der Verarbeitung deiner Daten im KI-Schnellcheck stehen dir folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Du kannst jederzeit Auskunft über die zu deiner Person gespeicherten Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Du kannst die unverzügliche Löschung deiner Daten verlangen.
• Widerspruchsrecht (Art. 21 DSGVO): Du kannst der Verarbeitung deiner Daten jederzeit widersprechen.
• Widerruf der Einwilligung: Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.
• Beschwerderecht: Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. bei der für uns zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit.

Für datenschutzrechtliche Anfragen zum KI-Schnellcheck wende dich bitte an: [email protected]

24.8 Datenverarbeitung von Dritten (Art. 14 DSGVO)

Beim Upload von Nebenkostenabrechnungen werden gegebenenfalls auch personenbezogene Daten des Vermieters (Name, Adresse, Bankverbindung, Hausverwaltungs-Kontakte) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer Überprüfung der Abrechnung durch den Vertragspartner). Es erfolgt keine eigenständige Kontaktaufnahme mit diesen Dritten. Die Daten werden ausschließlich zur Analyse durch die KI verarbeitet und nicht an weitere Empfänger übermittelt. Sie unterliegen denselben Löschfristen wie das übrige Dokument (siehe Tabelle in Ziffer 24.5: Originaldokument 14 bzw. 90 Tage, extrahierter Text 30 Tage bzw. Pseudonymisierung nach 180 Tagen).

Du als Nutzer stellst sicher, dass du berechtigt bist, die Abrechnung hochzuladen (als Mieter bezüglich deiner eigenen Wohnung bzw. als bevollmächtigter Dritter). Wenn du uns Abrechnungen fremder Mietverhältnisse zur Verfügung stellst, bist du für die Rechtsgrundlage der Datenerhebung verantwortlich.

24a. NK 2.0 Verwaltungs-Features (Pro-Abo)

Im Rahmen der Pro-Abo-Verwaltung speichern wir:

• Energieausweise: Aussteller, Ausstelldatum, Gültigkeit, Endenergie-/Primärenergiewerte, Effizienzklasse
• Verbrauchsdaten: Kategorien (Heizung, Wasser, Strom, Müll), Jahr/Monat, Verbrauch, Kosten, Zählerstände
• Mietpreisbremse-Dokumente: Auskunftsschreiben, Stichtage, Ergebnisse

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: für die Dauer deines Nutzerkontos, Löschung jederzeit über das jeweilige Modul. Keine Übermittlung an Dritte.

25. Feedback-System (Service-Bewertungen)

Wir versenden gelegentlich Feedback-Anfragen an unsere Kunden, um den Service zu verbessern. Diese E-Mails enthalten eine 5-stufige Bewertungsskala (Smileys) sowie ein optionales Notizfeld. Mit einem Klick gelangst du auf eine Landing-Page, auf der du deine Bewertung bestätigen kannst.

Erhobene Daten: Bewertung (1–5), optionale Notiz, Public-Consent (Checkbox), Kontakt-Wunsch bei niedriger Bewertung, gehashte IP zur Missbrauchs-Erkennung, User-Agent.

Anonymisierte Veröffentlichung: Wenn du das Häkchen »Mein Feedback darf anonymisiert auf der Website veröffentlicht werden« setzt, können wir nur deinen Vornamen (z. B. »Markus«), deinen Plan und deine Notiz auf der Website (z. B. /preise) anzeigen. Niemals werden E-Mail-Adresse, Nachname oder vollständige Daten veröffentlicht. Du kannst deine Zustimmung jederzeit per E-Mail an [email protected] widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Service-Verbesserung). Bei Public-Consent zusätzlich Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Abmeldung: Jede Feedback-E-Mail enthält einen 1-Klick-Abmelde-Link. Nach Abmeldung erhältst du keine weiteren Feedback-Anfragen mehr. Service-relevante E-Mails (Rechnungen, Sicherheits-Hinweise) sind davon nicht betroffen.

Speicherdauer: bis zur Konto-Löschung oder bis zum Widerruf der Einwilligung. Bei Konto-Löschung werden alle Feedback-Antworten unwiderruflich gelöscht.

27. Lena Chat-Assistentin (KI-Chatbot)

Auf jeder Seite unserer Website findest du unten rechts eine Chat-Sprechblase mit unserer KI-Assistentin „Lena“. Lena hilft kostenlos und ohne Anmeldung bei Fragen zur Nebenkostenabrechnung, zum Mietrecht, zur Bedienung des Rechners und zu unseren Produkten.

Verarbeitete Daten

• Deine Chat-Eingaben (von dir frei formulierter Text)
• Optional: Bilder, die du freiwillig per Büroklammer-Button hochlädst (z.B. Fotos einer Nebenkostenabrechnung). Maximal 5 MB pro Bild, nur JPG/PNG/GIF/WebP.
• Antworten der KI
• Eine Sitzungs-ID zur Zuordnung der Konversation
• Dein Vorname und deine E-Mail-Adresse (zu Beginn des Chats abgefragt, um dir zu helfen und dir per E-Mail zu antworten)
• Gehashte IP-Adresse zur Rate-Limit-Kontrolle (Schutz vor Missbrauch)

Hinweis zu Bild-Uploads: Wenn du einen Screenshot deiner Abrechnung oder ein anderes Foto hochlädst, wird das Bild als Base64 an Anthropic LLC übermittelt, damit Lena es analysieren kann. Bitte schwärze sensible Daten (vollständige Anschrift, IBAN, Geburts­datum) vor dem Upload. Wir empfehlen, Bilder ausschließlich mit den für die Frage notwendigen Informationen hochzuladen.

Verarbeitung durch Anthropic LLC (USA)

Die Chat-Eingaben werden an die Anthropic LLC, 548 Market St, San Francisco, CA 94104, USA übermittelt, wo ein Claude-Sprachmodell von Anthropic die Antwort generiert. Anthropic ist Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Anthropic ist vertraglich verpflichtet, die Daten ausschließlich zur Bearbeitung deiner Anfrage zu nutzen und nicht für eigene Zwecke (z.B. Modell-Training).

Web-Recherche bei unbekannten Themen

Bei Fragen, die Lena aus ihrem statischen Wissen nicht beantworten kann (z.B. aktuelle BGH-Urteile, regionale Spezifika), kann sie eine Web-Suche über das Anthropic-Server-Tool web_search durchführen. Maximal drei Suchen pro Konversation. Der Suchbegriff wird Anthropic und dem Such-Provider (Brave Search) bekannt. Persönliche Daten werden dabei nicht weitergegeben — Lena formuliert die Suche neutral. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung „Customer Service“).

Speicherdauer

Chat-Sitzungen werden zur Qualitätssicherung und für mögliche Folge-Fragen bis zu 180 Tagen gespeichert. Auf Anfrage löschen wir deine Chat-Daten sofort und vollständig ([email protected]). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Service-Qualität).

E-Mail-Erfassung beim Chat-Start & E-Mail-Werbung

Bevor du mit Lena chattest, fragen wir deinen Vornamen und deine E-Mail-Adresse ab, und du akzeptierst unsere Nutzungsbedingungen. Diese Daten verarbeiten wir, um den Chat bereitzustellen und dir per E-Mail bei deinem Anliegen zu antworten (Art. 6 Abs. 1 lit. b DSGVO).

Da du durch die Nutzung unseres kostenlosen Chat-Dienstes in eine Kundenbeziehung zu uns trittst, nutzen wir deine E-Mail-Adresse zusätzlich, um dich gelegentlich über eigene ähnliche Angebote (insbesondere unseren Nebenkostenrechner und unsere Vermieter-Funktionen) per E-Mail zu informieren. Rechtsgrundlage ist § 7 Abs. 3 UWG (Bestandskundenwerbung / Soft-Opt-in) i.V.m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung, Erwägungsgrund 47). Eine gesonderte Einwilligung ist hierfür nach § 7 Abs. 3 UWG nicht erforderlich; wir bewerben ausschließlich eigene, dem Chat-Thema ähnliche Produkte und Dienstleistungen.

Dein Widerspruchsrecht: Du kannst dieser werblichen Nutzung deiner E-Mail-Adresse jederzeit kostenlos widersprechen — über den Abmeldelink in jeder Werbe-E-Mail oder formlos an [email protected]. Nach deinem Widerspruch erhältst du keine Werbe-E-Mails mehr; reine Service-Antworten auf dein Chat-Anliegen bleiben davon unberührt.

28. KI-Antwort-Vorschläge im Support-Ticketsystem

Bei Eingang eines Support-Tickets generiert unsere KI-Assistentin Lena im Hintergrund automatisch einen Antwort-Vorschlag — aber nur als Entwurf für unser Support-Team. Die finale Antwort wird IMMER von einer natürlichen Person geprüft und bewusst freigegeben oder verworfen. Es erfolgt kein automatischer Versand.

Hierbei werden der Ticket-Inhalt (Betreff, Nachricht, bisheriger Verlauf) sowie dein Name an Anthropic LLC übermittelt (siehe §27 Auftragsverarbeitung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung Kundenbetreuung). Diese Verarbeitung findet nur bei Tickets der Kategorien „Frage“ und „Sonstiges“ statt. Bei „Bug“ und „Feedback“ ist sie deaktiviert.

29. Erinnerungs-Mails bei abgebrochener Bestellung

Wenn du auf unserer Website eine Bestellung gestartet (z.B. KI-Schnellcheck, Vermieter-Abo) aber nicht abgeschlossen hast, senden wir dir 2 bis 48 Stunden später eine einmalige Erinnerungs-E-Mail mit einem freundlichen Hinweis und einem Hilfsangebot — ausschließlich dann, wenn du zuvor ausdrücklich in den Erhalt von Produktinformationen per E-Mail eingewilligt hast (z.B. über die Marketing-Checkbox bei der Registrierung oder einen bestätigten Newsletter-Opt-in). Ohne diese Einwilligung erfolgt kein Versand. Wir nutzen diese Daten ausschließlich für diese Erinnerung — kein Werbenetzwerk, keine Weitergabe an Dritte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 7 Abs. 2 Nr. 2 UWG. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den 1-Klick-Abmeldelink in jeder dieser E-Mails oder formlos an [email protected]. Pro Bestellung verschicken wir maximal eine Reminder-Mail; nach 48 Stunden erfolgt kein Versand mehr.

30. Internes E-Mail-Audit-Log

Zu Audit-, Compliance- und Qualitätssicherungszwecken speichern wir alle ausgehenden E-Mails an Kunden in einer internen Datenbank (Empfänger, Betreff, Inhalt, Versanddatum, Status). Diese Tabelle ist ausschließlich für Administratoren zugänglich. Speicherdauer: 24 Monate; danach automatische Löschung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Nachweisbarkeit der Customer-Service-Kommunikation und an einem konsistenten Support-Verlauf).

Bei einer DSGVO-Löschanfrage (Art. 17) werden auch die in dieser Tabelle gespeicherten Mails deiner Person unwiderruflich entfernt.

31. Werbe-E-Mails nach Vorlagen-Kauf (§ 7 Abs. 3 UWG)

Wenn du auf unserer Website eine Premium-Vorlage (z.B. Excel-Tabelle, Widerspruchs-Muster, Checkliste) für 2,00 € gekauft und dabei deine E-Mail-Adresse angegeben hast, dürfen wir dich gemäß § 7 Abs. 3 UWGgelegentlich auf eigene ähnliche Produkte hinweisen — namentlich auf unseren kostenlosen Online-Rechner unter /rechner und unsere Vermieter-Abos. Eine zusätzliche Einwilligung ist dafür nicht erforderlich, weil mit dem Kauf zwischen dir und uns eine entgeltliche Geschäftsbeziehung entstanden ist.

Was wir tun, um dich nicht zu überfordern

• Cooldown von 14 Tagen zwischen zwei Marketing-Mails an dieselbe Adresse
• Kein Bombardement: maximal eine Handvoll Mails pro Jahr und Empfänger
• Inhaltlich bewusst auf Mehrwert statt Verkaufsdruck

Dein Widerspruchsrecht (Art. 21 Abs. 3 DSGVO)

Du kannst jederzeit der weiteren Nutzung deiner E-Mail-Adresse für Marketing-Zwecke widersprechen — ohne dass dir daraus Nachteile entstehen. Folgende Wege stehen dir offen:

• 1-Klick-Abmelde-Link in jeder Marketing-E-Mail (Footer und Mail-Header List-Unsubscribe nach RFC 8058 — funktioniert auch direkt aus Gmail/Outlook über den eingeblendeten Abmelde-Button).
• Direkte Abmeldung jederzeit unter /marketing/abmelden (Du benötigst den Token aus der zuletzt erhaltenen Mail).
• Formlose E-Mail an [email protected].

Nach Widerspruch wird deine Adresse in einer separaten Sperrliste markiert (marketing_unsubscribed_at), so dass du aus weiteren Kampagnen automatisch ausgeschlossen bist. Transaktionale E-Mails (Bestellbestätigungen, Konto-Hinweise) bleiben davon unberührt, da sie keine Werbung sind.

Hinweis bei Vorlagen-Download: Auf der Download-Seite weisen wir dich zusätzlich explizit darauf hin, dass nach § 7 Abs. 3 UWG Werbe-Mails an deine Adresse möglich sind und dass du jederzeit widersprechen kannst.

32. Bewertungsplattform Trustpilot

Auf unserer Website verlinken wir an mehreren Stellen (Footer, nach erfolgreicher Berechnung sowie als QR-Code im PDF-Export) auf unser Profil bei der Bewertungsplattform Trustpilot. Anbieter ist die Trustpilot A/S, Pilestræde 58, 5. Stock, 1112 Kopenhagen, Dänemark.

Beim bloßen Aufruf unserer Website werden keine Daten an Trustpilot übertragen — wir binden weder Skripte noch Widgets ein. Erst wenn du aktiv auf einen Trustpilot-Link klickst oder den QR-Code scannst, verlässt dein Browser unsere Seite und du wirst zu Trustpilot weitergeleitet. Dabei übermittelt dein Browser an Trustpilot die übliche Verbindungsinformation (IP-Adresse, User-Agent, ggf. Referrer-URL).

Bewertungseinladungen nach einem Kauf (Automatic Feedback Service): Wenn du ein kostenpflichtiges Produkt erwirbst, übermitteln wir deine im Kauf angegebene E-Mail-Adresse (und, sofern vorhanden, deinen Namen) an Trustpilot, damit Trustpilot dir eine einmalige Einladung zur Abgabe einer Bewertung zusenden kann. Die Übermittlung erfolgt technisch als Blindkopie (BCC) unserer Kaufbestätigungs-E-Mail an eine eindeutige Trustpilot-Adresse. Bei kostenlosen Test-/Trial-Vorgängen erfolgt keine Übermittlung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kundenfeedback und einer authentischen Reputation). Du kannst der Verwendung deiner E-Mail-Adresse für Bewertungseinladungen jederzeit widersprechen — formlos an [email protected]; die Einladung selbst enthält zudem eine Abmeldemöglichkeit. Verantwortlich für den Versand der Einladung ist Trustpilot A/S, Dänemark (EU).

Rechtsgrundlage für die Verlinkung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer authentischen Reputation und Feedback unserer Nutzer). Trustpilot kann personenbezogene Daten auch in Drittländer außerhalb der EU übertragen; dies erfolgt nach Angaben von Trustpilot auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen findest du in der Datenschutzerklärung von Trustpilot: de.legal.trustpilot.com/end-user-privacy-terms.

33. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Es gilt die jeweils aktuelle, auf dieser Seite veröffentlichte Fassung.

Stand: 14.07.2026