Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Marcel Schlüter IT-Services
Mein-Nebenkostenrechner.de
Kollwitzstraße 76
10435 Berlin
Deutschland
E-Mail: kontakt@mein-nebenkostenrechner.de

1a. Datenschutzbeauftragter

Als Einzelunternehmer sind wir nach § 38 Abs. 1 BDSG nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Die Schwelle nach § 38 Abs. 1 S. 1 BDSG (i.V.m. Art. 37 DSGVO) greift erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen. Beides trifft auf unseren Betrieb derzeit nicht zu. Bei datenschutzrechtlichen Anliegen wende dich bitte direkt an den unter "Verantwortlicher" genannten Ansprechpartner.

2. Überblick über die Datenverarbeitung

Der Schutz deiner persönlichen Daten ist uns ein besonderes Anliegen. Unser Nebenkostenrechner verarbeitet personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Dienste erforderlich ist.

Die Kernberechnungen (Nebenkostenabrechnung, Heizkostenberechnung, Verteilerschlüssel) finden in deinem Browser statt. Der Rechner speichert deinen Entwurf im Local Storage dieses Geräts. Nach 30 Tagen ohne Speicherung wird er beim nächsten Aufruf verworfen; über „Zurücksetzen“ kannst du ihn vorher entfernen. Auf gemeinsam genutzten Geräten ist der Entwurf auch für andere Nutzer dieses Browserprofils zugänglich. Für die PDF-Vorschau werden die eingegebenen Objekt-, Mieter- und Abrechnungsdaten einschließlich eines gewählten Anschreibens an unseren Server übertragen und dort für die PDF-Erstellung verarbeitet, auch ohne Benutzerkonto. Die Vorschau-Route legt diese Daten nicht als Konto-Abrechnung oder PDF-Archiv ab. Für Konto, Bestellung und gekaufte PDFs gelten die nachfolgenden Angaben. Rechtsgrundlage der zur gewünschten Berechnung und Vorschau erforderlichen Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

E-Mail-Prüfung im Rechner: Wenn du im Rechner bei den Vermieter-Angaben eine E-Mail-Adresse einträgst, prüfen wir beim Verlassen des Feldes, ob an diese Adresse zugestellt werden kann. Zweck ist, Tippfehler in der Domain zu erkennen, damit PDF und Rechnung dich erreichen. Dazu überträgt dein Browser die eingegebene Adresse verschlüsselt (wie jeden Seitenaufruf über Cloudflare, siehe Ziffer 13) an unseren Server. Dort prüfen wir das Format und gleichen die Domain mit einer Liste von Platzhalter- und Wegwerf-Domains ab. Anschließend fragen wir per DNS nur für die Domain (den Teil nach dem „@“) ab, ob ein Mailserver-Eintrag (MX) oder ersatzweise ein Adress-Eintrag (A) besteht. Die Abfrage läuft über die DNS-Server unseres Hosting-Anbieters Hetzner Online GmbH; diese und die für die Domain zuständigen Nameserver erhalten nur den Domainnamen, nicht die vollständige Adresse. Das DNS-Ergebnis zur Domain kann in den beteiligten Resolvern für die Gültigkeitsdauer des DNS-Eintrags zwischengespeichert werden. Es wird keine E-Mail versendet und kein Mailserver kontaktiert. Die Adresse wird für diese Prüfung weder gespeichert noch protokolliert; dein Browser erhält nur das Ergebnis zurück. Zur Begrenzung von Missbrauch zählen wir die Prüfanfragen je IP-Adresse für eine Minute im Arbeitsspeicher. Rechtsgrundlage ist wie bei den übrigen Rechner-Verarbeitungen Art. 6 Abs. 1 lit. b DSGVO.

Darüber hinaus verarbeiten wir personenbezogene Daten im Zusammenhang mit:

• Registrierung und Führung von Benutzerkonten
• Zahlungsabwicklung für kostenpflichtige Leistungen
• Bereitstellung der REST-API
• PDF-Erstellung und -Archivierung
• Kontaktanfragen über unser Kontaktformular
• E-Mail-Versand
• Nachweis erteilter Einwilligungen und Erklärungen

Details zu den einzelnen Verarbeitungstätigkeiten findest du in den folgenden Abschnitten.

3. Registrierung und Benutzerkonto

Du kannst dir auf unserer Website ein Benutzerkonto erstellen, um zusätzliche Funktionen zu nutzen (z.B. Projekte speichern, Objekte und Mieter verwalten, Abrechnungen erstellen).

Verarbeitete Daten bei der Registrierung:

• E-Mail-Adresse
• Name (optional)
• Passwort (wird ausschließlich als kryptografischer Hash gespeichert; das Klartext-Passwort wird nicht gespeichert)
• Zeitpunkt der Registrierung und der Zustimmung zu den AGB

Im Benutzerkonto gespeicherte Daten:

• Gespeicherte Projekte (Berechnungsdaten als JSON)
• Objekte (Bezeichnung, Adresse, PLZ, Ort, Fläche, Anzahl Einheiten)
• Mieter (Name, Wohnung, Fläche, Personenanzahl, Ein-/Auszug, Vorauszahlung)
• Abrechnungen (Zeitraum, Berechnungsdaten, Ergebnisse)

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — die Verarbeitung ist zur Bereitstellung der von dir angefragten Kontofunktionen erforderlich.

Vermieter-Profildaten: Wenn du ein Nutzerkonto als Vermieter anlegst, speichern wir zusätzlich auf freiwilliger Basis: Firma, vollständige Anschrift, Telefonnummer, Bankverbindung (IBAN, BIC, Bank). Diese Daten werden ausschließlich zur automatischen Befüllung deiner Briefvorlagen (Anschreiben, Widerspruchsbriefe etc.) und Rechnungen verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: für die Dauer deines Nutzerkontos. Löschung: jederzeit über /konto/profil oder Account-Löschung möglich.

Speicherdauer und Kontoinaktivität: Nach dem Ende einer Testphase oder eines Abos wird dein Konto auf den kostenlosen Plan zurückgestuft. Konto und operative Inhalte bleiben bestehen, bis du dein Konto löschst oder wir es nach den folgenden Regeln löschen. Wurde ein kostenloses Konto 24 aufeinanderfolgende Monate nicht aktiv genutzt, dürfen wir es löschen; die Löschung kündigen wir vorher an die hinterlegte E-Mail-Adresse an, 30 Tage und erneut 7 Tage vorher. Eine Anmeldung oder sonstige aktive Kontonutzung hebt die vorgemerkte Löschung auf. Derzeit findet keine automatische Löschung inaktiver Konten statt; eine Löschung nimmt nur ein Administrator im Einzelfall und nach der beschriebenen Ankündigung vor. Bereits individuell dokumentierte Zusagen einer Löschung nach Abo-Ende erfüllen wir weiterhin.

30 Tage nach Ende des Produktzugangs: Endet dein bezahlter Zugang (Abo, Paketguthaben oder ein von uns gewährter Zugang), bleibt dein Konto weitere 30 Tage vollständig lesbar. In dieser Zeit kannst du deine Daten jederzeit über Mein Konto exportieren und deinen Zugang ohne Datenverlust wieder aktivieren. Beginn und Ende dieser Frist halten wir ausdrücklich fest; sie verkürzt sich nicht nachträglich. In dieser Phase löschen wir nichts. Danach greift eine Löschung nur, wenn du sie ausdrücklich gewünscht hast, oder bei kostenlosen Konten nach der oben beschriebenen Inaktivitätsfrist und Ankündigung.

Tarifwechsel-Vorschauen: Unbestätigte, abgelaufene Preisvorschauen werden im täglichen Aufräumlauf nach 30 Tagen ab ihrem Ablauf gelöscht, sofern kein zugehöriger Vorgang in Bearbeitung oder Klärung ist. Bestätigte Tarifwechsel-Erklärungen sind davon ausgenommen. Bei einer zulässigen Kontolöschung bleiben deren vereinbarte Konditionen und Bestätigungszeitpunkte als Nachweis erhalten; die direkte Konto- und Zahlungsanbieterzuordnung wird entfernt. Rechnungen und Buchhaltungsbelege werden durch diese Vorschau-Bereinigung nicht verändert.

Sobald kein laufender Vertrags- oder Zugangszeitraum mehr besteht, kannst du dein Konto selbst in den Kontoeinstellungen löschen. Ein laufendes Abo kannst du zuvor unter /konto/abo zum maßgeblichen Vertragsende beenden. Bei der anschließenden Kontolöschung entfernen wir insbesondere Profil, Projekte, Objekte, Mieter, Abrechnungsinhalte, API-Schlüssel und API-Protokolle. Gesetzlich aufzubewahrende Rechnungen, Gutschriften und die dafür erforderlichen Buchungsdaten sind davon ausgenommen und werden getrennt sowie zugriffsbeschränkt aufbewahrt; Einzelheiten stehen in Abschnitt 5.

4. Cookies und Authentifizierung

Wenn du dich in dein Benutzerkonto anmeldest, wird ein technisch notwendiger Cookie gesetzt, der deine Anmeldung aufrechterhält. Dieser Cookie:

• enthält ein signiertes JSON Web Token (JWT) zur Identifikation deiner Sitzung
• ist als HttpOnly markiert und kann nicht von JavaScript ausgelesen werden
• hat eine Gültigkeitsdauer von 7 Tagen
• wird bei der Abmeldung gelöscht

Ohne Anmeldung setzen wir selbst grundsätzlich keine technisch nicht notwendigen Cookies. Bei nachfolgend beschriebenen Funktionen können jedoch funktionale First-Party-Cookies (Empfehlungs-Links) oder Cookies des Zahlungsdienstleisters im Stripe-Checkout eingesetzt werden. Werbe-Cookies von Drittanbietern setzen wir nur mit deiner Einwilligung in die Kategorie „Marketing" ein (Google Ads, Ziffer 10c). Auf dieser Website wird keine Werbung Dritter ausgespielt. Details findest du in den jeweiligen Abschnitten.

Cookie-Einwilligung: Deine Entscheidung im Cookie-Banner speichern wir im Local Storage deines Browsers (Eintrag nk_consent: gewählte Kategorien, Zeitpunkt, Fassung dieser Erklärung), bis du sie änderst oder den Browserspeicher löschst (§ 25 Abs. 2 Nr. 2 TDDDG). Ändert sich der Umfang dessen, wofür wir um Einwilligung bitten, fragen wir erneut. Mit deiner Einwilligung setzen wir zusätzlich die in Abschnitt 10a (Sitzungs-ID), 10b (Partner-Cookie) und 10c (Google Ads) beschriebenen Speichereinträge und Cookies. Google Analytics oder andere Analysedienste Dritter setzen wir nicht ein. Zusätzlich zu diesem Eintrag in deinem Browser halten wir deine Entscheidung seit dem 10.09.2026 als Nachweis auf unserem Server fest, jede Kategorie einzeln und in beide Richtungen (Zustimmung wie Ablehnung); Einzelheiten dazu in Ziffer 20a. Dabei setzen wir keinen Cookie und vergeben keine Kennung.

Ausnahme Empfehlungs-Links: Wenn du einen persönlichen Empfehlungs-Link (/r/…) eines Bestandskunden anklickst, setzen wir einen funktionalen First-Party-Cookie nk_ref (HttpOnly, 7 Tage). Er dient ausschließlich dazu, dir beim Abschluss den Willkommensrabatt zuzuordnen, den du mit dem Klick auf den Link angefordert hast — vergleichbar mit einem Gutschein-Code. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (für die von dir gewünschte Funktion erforderlich) i. V. m. Art. 6 Abs. 1 lit. b DSGVO. Es findet darüber kein seitenübergreifendes Tracking statt.

Die Verwendung des Authentifizierungs-Cookies erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendiger Cookie).

5. Zahlungsabwicklung (Stripe)

Für die Abwicklung kostenpflichtiger Leistungen (PDF-Export, Abo-Zahlungen) nutzen wir den Zahlungsdienstleister Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe Payments Europe Ltd. ist der für EU-Kunden verantwortliche Stripe-Vertragspartner.

Wenn du eine Zahlung vornimmst, werden die eingegebenen Zahlungsdaten (z.B. Kreditkartennummer) direkt an Stripe übermittelt und von Stripe verarbeitet. Wir selbst speichern keine Kreditkartendaten.

Bei uns gespeicherte Zahlungsdaten:

• Stripe-Session-ID und Payment-Intent-ID (zur Zuordnung der Zahlung)
• Zahlungsbetrag, Währung und Produkt
• E-Mail-Adresse (aus dem Stripe-Checkout)
• Zahlungsstatus
• Grobe Herkunftsangabe (Seitenbereich) in den Zahlungs-Metadaten, nur mit Einwilligung (Kategorie „Statistik", siehe Ziffer 10a)
• Bei Abonnements: Abo-ID, Zeitraum und Kündigungsstatus

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Verarbeitung findet primär innerhalb der EU bei Stripe Payments Europe Ltd. (Irland) statt. Eine Übermittlung an Subverarbeiter in den USA (insbesondere Stripe, Inc.) ist möglich und wird durch das EU-U.S. Data Privacy Framework (DPF) sowie zusätzlich durch Standardvertragsklauseln gemäß Art. 46 DSGVO abgesichert. Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

Speicherdauer: Operative Zahlungs- und Abodaten löschen wir, sobald sie für Vertragsabwicklung, Rückabwicklung oder Rechtsverteidigung nicht mehr benötigt werden. Rechnungen, Gutschriften und die erforderlichen Buchungsdaten bewahren wir aufgrund von Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO, § 257 HGB und § 14b UStG mindestens acht Jahre ab dem Ende des Kalenderjahres ihrer Ausstellung auf. Sie liegen parallel in zugriffsbeschränkten Archiven der Anwendung und von LedgerOS. Die Kontolöschung verändert diese Buchhaltungsarchive nicht; ein automatisierter Löschlauf für Buchungsbelege ist derzeit nicht aktiviert. Nach Ablauf der gesetzlichen Frist ist regelmäßig zu prüfen, ob eine weitere zweckgebundene Aufbewahrung erforderlich ist. Ein dokumentierter Legal Hold verlängert die Frist nur für die betroffenen Daten und nur, soweit und solange dies für konkrete Rechtsansprüche oder behördliche Verfahren erforderlich ist.

6. REST-API

Registrierte Nutzer können API-Schlüssel erstellen, um die Funktionen des Nebenkostenrechners programmatisch über eine REST-API zu nutzen.

Verarbeitete Daten:

• API-Schlüssel (kryptografisch generiert), Name und Berechtigungen
• API-Nutzungsprotokolle: Endpunkt, HTTP-Methode, Statuscode, IP-Adresse und Zeitpunkt des Zugriffs
• Rate-Limit-Informationen (Anzahl der Anfragen pro Zeitfenster)

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die API-Bereitstellung sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für die IP-Protokollierung zur Missbrauchserkennung und Rate-Limiting.

Speicherdauer: API-Schlüssel und Protokolle werden gespeichert, solange dein Benutzerkonto besteht, und bei Kontolöschung vollständig entfernt.

7. PDF-Export und Archivierung

Nach dem Kauf eines PDF-Exports wird die erstellte Nebenkostenabrechnung als PDF-Datei auf unserem Server temporär gespeichert und kann dir per E-Mail zugesendet werden.

Verarbeitete Daten: E-Mail-Adresse (aus dem Stripe-Checkout), PDF-Dokument (enthält die von dir eingegebenen Abrechnungsdaten), Dateiname und Dateigröße.

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Zustellung des gekauften Produkts).

Speicherdauer: Betriebskostenabrechnungen, die du in deinem Konto erstellst, bleiben dort als PDF gespeichert, solange dein Konto besteht; mit der Kontolöschung werden sie entfernt. Ohne Konto über den Checkout gekaufte Einzelabrechnungen und übrige archivierte PDFs werden 30 Tage nach ihrer Erstellung automatisch gelöscht; bitte lade sie innerhalb dieser Frist herunter und bewahre sie selbst auf. Rechnungen sind ausgenommen (Ziffer 23).

8. Kontaktformular

Über unser Kontaktformular kannst du uns Anfragen, Feedback oder Fehlermeldungen senden.

Verarbeitete Daten:

• Name
• E-Mail-Adresse
• Betreff und Kategorie der Anfrage
• Nachrichtentext

Deine Anfrage wird als Ticket gespeichert, damit wir sie bearbeiten und dir antworten können. Die Antwort erfolgt per E-Mail an die von dir angegebene Adresse.

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Kundenanfragen).

Speicherdauer: Kontaktanfragen werden nach Abschluss der Bearbeitung und Ablauf etwaiger gesetzlicher Aufbewahrungsfristen gelöscht.

Spam-Schutz: Zum Schutz vor automatisierten Anfragen verwenden wir ein Honeypot-Verfahren (verstecktes Formularfeld) sowie eine Begrenzung der Anfragen pro IP-Adresse. IP-Adressen werden dabei nur temporär im Arbeitsspeicher gehalten und nicht dauerhaft gespeichert.

9. E-Mail-Versand

Wir versenden E-Mails in folgenden Fällen:

• Zustellung des gekauften PDF-Exports nach einer Zahlung
• Antwort auf deine Kontaktanfrage (Ticket)

Der Versand erfolgt über unseren eigenen Mailserver (mail.mschlueter.net), der in Deutschland bei Hetzner gehostet wird. Es werden keine Daten an externe E-Mail-Dienstleister übermittelt.

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

10. Web-Analytics (Umami, self-hosted)

Wir nutzen die Open-Source-Analyse-Software Umami auf eigenem Server (analytics.mschlueter.net, Hetzner DE). Es werden ausschließlich anonymisierte Daten verarbeitet (gekürzte IP-Adressen, keine Cookies, kein Cross-Site-Tracking). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenanalyse). Keine Übermittlung an Dritte. Speicherdauer: 14 Monate aggregiert.

10a. Internes Conversion- und Funnel-Tracking

Zur Optimierung unseres Angebots erfassen wir intern: aufgerufene Seiten, Verweildauer, anonymisierte IP (SHA256-Hash der auf 0 gekürzten letzten Oktett-Stelle), Browser-Klasse, Geräte-Klasse, UTM-Quellparameter, sowie freiwillige Aktionen (Rechner-Nutzung, Klicks auf CTAs, Download-Versuche, Checkout-Schritte).

Pseudonyme Funnel-Korrelation: Um zu verstehen, wie viele Besucher vom Rechner-Start bis zum Checkout gelangen, vergeben wir je Besucher eine pseudonyme, täglich rotierende Sitzungs-ID. Diese wird serverseitig aus dem IP-Hash, dem Browser-Klassifikator und einem geheimen Salt gebildet (SHA256, irreversibel). Sie wird ausschließlich zur tagesweisen Korrelation der oben genannten Aktionen verwendet und ist über den Tag hinaus weder reidentifizierbar noch zusammenführbar. Dafür werden keine Cookies und kein LocalStorage gesetzt.

Mit Einwilligung (Kategorie „Statistik"): Zusätzlich speichern wir eine zufällige, pseudonyme Kennung (nk_session_id) im Local Storage deines Browsers, damit wir deine Aktionen über mehrere Tage hinweg zusammenführen können. Sie enthält keine Angaben zu deiner Person und bleibt gespeichert, bis du die Einwilligung widerrufst oder den Browserspeicher löschst. Bei einer Registrierung oder einem Kauf ordnen wir mit dieser Kennung deinen Besuch deinem Konto beziehungsweise der Zahlung zu (Herkunftsmessung: über welchen Weg du zu uns gefunden hast). Dabei halten wir zusätzlich die grobe Themenseite fest, auf der dein Besuch begonnen hat (zum Beispiel „Ratgeber" oder „Startseite", niemals die vollständige Adresse, Suchbegriffe oder Kennungen), und geben sie zusammen mit der Sitzungskennung als Zusatzangabe an unseren Zahlungsdienstleister Stripe weiter (Ziffer 5), damit wir auswerten können, welche Seitenbereiche zu Käufen führen. Ohne deine Einwilligung wird diese Angabe nicht erfasst. Die Angabe wird in unseren Funnel-Daten nach 90 Tagen gelöscht; bei Stripe gelten dessen Aufbewahrungsfristen für Zahlungsdaten. Außerdem meldet dein Browser mit ihr in kurzen Abständen, dass du die Seite noch geöffnet hast (Anzeige aktiver Besucher). Ebenfalls nur mit dieser Einwilligung übermittelt dein Browser Ladezeit-Messwerte der aufgerufenen Seite (etwa, wann der Hauptinhalt sichtbar war und wie schnell die Seite auf Eingaben reagiert hat), zusammen mit der Seitenadresse ohne Parameter und der Geräteklasse (Handy oder Computer). Diese Messwerte speichern wir ohne IP-Adresse und ohne die Kennung nk_session_id; sie dienen allein dazu, die Geschwindigkeit der Website zu verbessern, und werden nach 90 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Rechtsgrundlage der Basis-Messung ohne Einwilligung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweiten- und Funnel-Analyse, Pseudonymisierung nach Art. 4 Nr. 5 DSGVO) sowie § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich für die anonyme Reichweitenmessung, kein Setzen von Endgeräte-Speicher). Speicherdauer: 90 Tage. Du kannst der Verarbeitung jederzeit per E-Mail an kontakt@mein-nebenkostenrechner.de widersprechen (Art. 21 DSGVO).

10b. Partner-Cookie bei Empfehlungs-Links (nur mit Einwilligung)

Erreichst du uns über den Empfehlungs-Link eines Partners, setzen wir nach deiner Einwilligung in die Kategorie „Marketing" ein First-Party-Cookie mit dem Namen partner (Laufzeit 365 Tage). Es enthält nur die Kennung des Partners und ordnet deinen späteren Kauf diesem Partner zu, damit wir eine Empfehlungsprovision abrechnen können. Ohne Einwilligung merken wir die Kennung nur bis zu deiner Entscheidung im Browser vor und verwerfen sie bei Ablehnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; Widerruf jederzeit über die Cookie-Einstellungen, dann wird das Cookie gelöscht.

10c. Google Ads: Remarketing und Conversion-Messung (nur mit Einwilligung)

Wenn du in die Kategorie „Marketing" einwilligst, laden wir das Google-Tag von Google Ads. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Daten können auch an die Google LLC (USA) übermittelt werden. Ohne deine Einwilligung laden wir kein Google-Skript und es besteht keine Verbindung zu Google.

Zwecke. (1) Remarketing: Wir bilden Zielgruppenlisten aus Besuchern der Seiten Rechner (/rechner), Vermieter-Software (/vermieter-software), Preise (/preise) und KI-Check (/ki-check beziehungsweise /fehler-checker, nicht die persönlichen Ergebnislinks), um diesen Besuchern später auf anderen Websites und in Google-Diensten Werbung für unser Angebot zu zeigen. Wer bei uns bereits bezahlt hat, kommt auf eine eigene Ausschlussliste und sieht diese Werbung nicht. (2) Conversion-Messung: Wir messen, ob eine Anzeige zu einer Registrierung oder einem Kauf geführt hat.

Daten. An Google gehen deine IP-Adresse, Browser- und Geräteangaben, der Zeitpunkt, die Adresse der aufgerufenen Seite ohne Parameter (nur Googles Klick-Kennung, wenn du über eine Anzeige zu uns kommst), die Herkunftsseite und Kennungen aus Cookies. Auf unserer Domain setzt das Google-Tag die Cookies _gcl_au, _gcl_aw, _gcl_dc und _gcl_gb; welche Cookies Google auf eigenen Domains setzt, bestimmt Google. Bei einem Kauf kommen Betrag, Währung und eine aus der Zahlung abgeleitete, verschlüsselte Bestellkennung hinzu; Name, E-Mail-Adresse und Inhalte deiner Abrechnung übermitteln wir nicht. Aus Konto, Verwaltung, Admin-Bereich und von persönlichen KI-Check-Ergebnislinks wird nichts übermittelt.

Rechtsgrundlage und Drittland. Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Die Google LLC (USA) ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln in den Datenverarbeitungsbedingungen von Google Ads. Soweit Google Daten zu eigenen Zwecken verarbeitet, gilt die Datenschutzerklärung von Google.

Dauer und Widerruf. Die Zielgruppenlisten halten einen Besucher 90 Tage (Rechner, Vermieter-Software), 60 Tage (Preise, KI-Check) beziehungsweise 540 Tage (Ausschlussliste der Kunden); bei einem erneuten Besuch beginnt die Frist neu. Du kannst jederzeit über die Cookie-Einstellungen widerrufen: Dann löschen wir die Google-Cookies auf dieser Domain und senden nichts mehr an Google. Einträge, die schon in Googles Listen stehen, laufen nach den genannten Fristen aus. Personalisierte Werbung kannst du außerdem in den Anzeigeneinstellungen deines Google-Kontos abschalten.

11. Server-Logfiles

Beim Aufruf unserer Website erhebt der Hosting-Provider automatisch Informationen in sogenannten Server-Logfiles, die dein Browser automatisch übermittelt. Dies sind:

• Browsertyp und -version
• Verwendetes Betriebssystem
• Referrer-URL (zuvor besuchte Seite)
• IP-Adresse des zugreifenden Rechners
• Uhrzeit der Serveranfrage

Diese Daten sind nicht bestimmten Personen zuordenbar. Eine Zusammenführung mit anderen Datenquellen wird nicht vorgenommen. Die Daten werden nach spätestens 7 Tagen gelöscht. Grundlage der Datenverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website).

Für Betrieb und Fehlersuche werten wir diese Daten zusätzlich auf unserem eigenen Server aus, um Störungen, Fehler und lange Ladezeiten zu erkennen. Die IP-Adresse kürzen wir dafür vor dem Speichern (bei IPv4 die letzte Stelle, bei IPv6 alles nach dem dritten Block); auch hier gilt die Frist von 7 Tagen. Ohne IP-Adresse halten wir außerdem 30 Tage lang fest, wann welche Seite ohne Parameter aufgerufen wurde, mit Statuscode und Antwortzeit. Tritt bei deiner Anfrage ein Serverfehler auf, speichern wir die Fehlermeldung, technische Angaben zum Ablauf und die aufgerufene Seite ohne Parameter für 30 Tage in einem selbst betriebenen Fehlerdienst; IP-Adresse, E-Mail-Adresse, Cookies und Formularinhalte entfernen wir vorher. Eine Weitergabe an Dritte findet nicht statt.

12. Hosting

Diese Website wird bei Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) gehostet. Der Server-Standort ist Deutschland. Hetzner verarbeitet die oben genannten Daten in unserem Auftrag. Grundlage ist ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Weitere Informationen findest du in der Datenschutzerklärung von Hetzner.

13. Content Delivery Network (Cloudflare)

Wir nutzen den Dienst Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) als Content Delivery Network (CDN) und zum Schutz vor DDoS-Angriffen. Dabei wird der Datenverkehr zwischen deinem Browser und unserem Server über die Infrastruktur von Cloudflare geleitet.

Cloudflare kann dabei folgende Daten verarbeiten: IP-Adresse, Sicherheits- und Zugangs-Logdaten, Informationen zu deinem Browser und Betriebssystem. Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einem sicheren und performanten Betrieb der Website gemäß Art. 6 Abs. 1 lit. f DSGVO.

Cloudflare ist unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert, was ein angemessenes Datenschutzniveau für die Datenübermittlung in die USA gewährleistet. Zusätzlich gelten die Standardvertragsklauseln (SCCs) der EU-Kommission. Weitere Informationen findest du in der Datenschutzerklärung von Cloudflare.

14. SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du an dem Schloss-Symbol in der Adresszeile deines Browsers sowie daran, dass die Adresszeile mit "https://" beginnt. Dadurch können die Daten, die du an uns übermittelst, nicht von Dritten mitgelesen werden.

15. Übersicht der Speicherdauern

16. Deine Rechte nach der DSGVO

Dir stehen folgende Rechte gegenüber dem Verantwortlichen zu:

• Auskunftsrecht (Art. 15 DSGVO): Du kannst Auskunft über deine verarbeiteten personenbezogenen Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Du kannst die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung deiner Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Du kannst verlangen, dass dir deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format übermittelt werden. Als registrierter Nutzer kannst du deine Daten jederzeit selbst unter Mein Konto → Profil → „Meine Daten herunterladen“ als JSON-Datei exportieren (maximal 5 Exporte pro Tag). Der Export enthält dein Profil, Objekte, Mieter, Abrechnungen, Verbrauchsdaten, Tickets, Rechnungen, Zahlungen und weitere mit deinem Konto verknüpfte Datensätze.
• Widerspruchsrecht (Art. 21 DSGVO): Du kannst der Verarbeitung deiner Daten widersprechen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO beruht.
• Art. 22 DSGVO — Du hast das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die dir gegenüber rechtliche Wirkung entfaltet. Unser KI-Check liefert ausdrücklich KEINE rechtsverbindliche Entscheidung, sondern lediglich eine technische Auswertung als Hilfestellung. Eine endgültige rechtliche Bewertung sollte stets von einem Fachanwalt oder Mieterverein erfolgen.

Kontolöschung: Als registrierter Nutzer kannst du dein Benutzerkonto jederzeit selbstständig unter Mein Konto löschen. Dabei werden die operativen Konto- und Inhaltsdaten (insbesondere Profil, Projekte, Objekte, Mieter, Abrechnungsinhalte, API-Schlüssel und API-Protokolle) gelöscht (Art. 17 DSGVO). Gesetzlich aufzubewahrende Rechnungen, Gutschriften und erforderliche Buchungsdaten bleiben getrennt und zugriffsbeschränkt mindestens bis zum Ende ihrer achtjährigen gesetzlichen Aufbewahrungsfrist erhalten. Die Kontolöschung verändert auch das LedgerOS-Buchhaltungsarchiv nicht. Für Buchungsbelege ist derzeit kein automatisierter Löschlauf aktiviert; nach Fristablauf erfolgt eine gesonderte Erforderlichkeitsprüfung.

Zur Ausübung deiner Rechte wende dich bitte per E-Mail an: kontakt@mein-nebenkostenrechner.de

17. Beschwerderecht bei einer Aufsichtsbehörde

Wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt, hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist in der Regel die Aufsichtsbehörde deines Bundeslandes.

Die für uns zuständige Aufsichtsbehörde ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, Telefon: +49 30 13889-0, E-Mail: mailbox@datenschutz-berlin.de, Web: https://www.datenschutz-berlin.de.

18. Abonnements und Testphase

Bei Abschluss eines Abonnements (Vermieter Basis, Vermieter Ultra oder WEG-Verwaltung; bei bestehenden Verträgen auch Vermieter Pro) speichern wir: Abo-Plan, Status (aktiv/Testphase/gekündigt), Abrechnungszeitraum, Stripe-Subscription-ID und Kündigungsstatus. Seit dem 23.09.2026 schließen wir neue Abos ohne kostenlose Testphase ab. Nur für vor dem 23.09.2026 abgeschlossene Abos mit Testphase gilt: Die 30-tägige kostenlose Testphase wird über Stripe verwaltet. Ohne vor dem Testende hinterlegte Zahlungsart wird der Zugang danach pausiert und es entstehen keine Kosten. Mit einer vor dem Testende hinterlegten Zahlungsart beginnt die kostenpflichtige Vertragsphase automatisch am Testende; bei ausdrücklicher vorzeitiger Aktivierung sofort. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

19. Newsletter und Lead-Erfassung

Beim Kauf einer Premium-Vorlage (je 2,00 €) erfassen wir deine E-Mail-Adresse zum Zweck der Zustellung des Download-Links und der Bestätigungs-Mail. Optional kannst du beim Kauf der Zusendung von Informationen über Neuigkeiten und neue Vorlagen zustimmen (Newsletter) — diese Zustimmung ist nicht Bedingung für den Kauf. Die Zustimmung erfolgt über eine separate Checkbox und wird per Double-Opt-In (Bestätigungsklick in der E-Mail) rechtsverbindlich verifiziert. Du kannst die Einwilligung jederzeit widerrufen — per E-Mail an kontakt@mein-nebenkostenrechner.de oder über den Abmeldelink in jeder E-Mail. Rechtsgrundlage für die Vertragsabwicklung (Vorlage-Kauf): Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Rechtsgrundlage für den Newsletter: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

20. Audit-Logging

Zur Gewährleistung der Sicherheit und Nachweisbarkeit protokollieren wir sicherheitsrelevante Aktionen in einem Audit-Log. Gespeicherte Daten: Art der Aktion (z.B. Kündigung, dokumentierte Alt-Löschzusage, Kontolöschung), Zeitpunkt, erforderlichenfalls IP-Adresse und User-ID. Die Audit-Einträge werden nicht gelöscht, sie bleiben unbegrenzt erhalten, damit jede protokollierte Handlung dauerhaft nachvollziehbar bleibt. Löschst du dein Konto, bleibt die Zeile bestehen, ihr Inhalt wird aber auf das Nötigste reduziert: Kontobezug, IP-Adresse und Detailangaben werden entfernt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Nachweisbarkeit) beziehungsweise Art. 6 Abs. 1 lit. c DSGVO bei gesetzlichen Nachweispflichten. Der gesonderte Nachweis erteilter Einwilligungen nach Ziffer 20a ist davon ausgenommen; für ihn gilt die dort genannte Speicherdauer.

Änderungsprotokoll. Wenn du angemeldet Daten anlegst, änderst oder löschst, halten wir fest, wann das war, welche Art von Daten betroffen war (zum Beispiel Objekte oder Mieter), wie viele Einträge es waren und welche Nummern neu angelegte Einträge haben. Geschieht das in einer Sitzung des Supports (Ziffer 20b), vermerken wir das. Inhalte und IP-Adresse speichern wir dabei nicht. So können wir Fehler nachvollziehen und Fragen wie „wo sind meine Daten geblieben“ beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehleranalyse und Nachvollziehbarkeit). Die Einträge löschen wir nach 90 Tagen, bei Löschung deines Kontos sofort; im Datenexport deines Kontos sind sie enthalten. Eine technische Begleitzeile mit der internen Nummer deines Kontos, ohne Namen und E-Mail-Adresse, läuft in unseren Serverprotokollen nach etwa 30 Tagen aus.

20a. Nachweis von Einwilligungen und Erklärungen

Wenn du auf mein-nebenkostenrechner.de ein Häkchen setzt, gibst du damit eine Einwilligung oder eine rechtsgeschäftliche Erklärung ab. Das betrifft die Einwilligung in die KI-gestützte Prüfung einer hochgeladenen Nebenkostenabrechnung und in die Übermittlung des ausgelesenen Textes an Anthropic (USA, EU-Standardvertragsklauseln), in der Fassung vom 28.09.2026 zusammen mit Bildern der hochgeladenen Seiten, die freiwillige Einwilligung in die einmalige Ergebnis-E-Mail, die Einwilligung beim Hochladen von Belegen im Konto, die Zustimmung beim Start des KI-Chats, die Annahme der AGB bei Registrierung und Kauf, die Erklärung nach § 356 Abs. 6 BGB zum Beginn der Vertragsausführung vor Ablauf der Widerrufsfrist (im Kaufweg wie beim Einlösen eines Guthabens aus dem Abrechnungs-Paket), die freiwilligen Einwilligungen in Werbe-E-Mails bei Registrierung und Kauf, deine Entscheidung im Cookie-Hinweis je Kategorie sowie deine Bestätigung beim Foto-Upload, alle Seiten der Abrechnung hochgeladen zu haben. Jeden dieser Vorgänge halten wir in einer eigenen Nachweistabelle fest. Auch ein bewusst nicht gesetztes freiwilliges Häkchen wird als Ablehnung festgehalten. Ebenso halten wir fest, wenn du den Support-Zugang freigibst oder die Freigabe vorzeitig beendest (Ziffer 20b).

Gespeicherte Daten: Zeitpunkt, Kennung des Zwecks, Fassungskennung und vollständiger Wortlaut des Textes, dem du zugestimmt hast, ein SHA-256-Hash dieses Wortlauts, die Rechtsgrundlage, die Kennnummer des zugehörigen Vorgangs (etwa Prüfungsnummer, Stripe-Sitzung oder Beleg-ID), bei angemeldeten Nutzern die Kontonummer, eine HMAC-Kennung deiner E-Mail-Adresse, ein Hash deiner auf /24 bzw. /48 gekürzten IP-Adresse, die Browserkennung (User-Agent), die aufrufende Route sowie technische Zusatzangaben ohne Personenbezug (etwa Produktname oder Seitenzahl des Uploads). Nicht gespeichert werden deine E-Mail-Adresse im Klartext und deine vollständige IP-Adresse.

Zweck und Rechtsgrundlage: Nach Art. 7 Abs. 1 DSGVO müssen wir nachweisen können, dass du eine Einwilligung erteilt hast. Für den Nachweis erteilter Einwilligungen ist die Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 und Art. 5 Abs. 2 DSGVO. Für den Nachweis rechtsgeschäftlicher Erklärungen (AGB-Annahme, Erklärung nach § 356 Abs. 6 BGB) ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Zustandekommen und Inhalt der Erklärung im Streitfall belegen zu können.

Speicherdauer: Die Nachweistabelle ist technisch anhängend. Datenbank-Trigger verhindern jede nachträgliche Änderung und jede Löschung von Einträgen. Eine Löschfrist gibt es nicht; die Einträge bleiben unbegrenzt erhalten, auch nach einer Kontolöschung. Danach ist eine Zuordnung nur noch über die HMAC-Kennung möglich, die Daten liegen also pseudonym vor. Dein Recht auf Löschung nach Art. 17 Abs. 1 DSGVO erstreckt sich nicht auf diese Einträge, weil ihre Aufbewahrung zur Erfüllung unserer Nachweispflicht (Art. 17 Abs. 3 lit. b DSGVO) und zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 lit. e DSGVO) erforderlich ist. Die zu deinem Konto gehörenden Nachweise sind im Datenexport unter Konto › Datenschutz enthalten, dort ohne die HMAC-Kennung.

Widerruf: Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf beendet die jeweilige Verarbeitung. Der Nachweis, dass du die Einwilligung seinerzeit erteilt hast, bleibt in der Nachweistabelle bestehen und wird durch den Widerruf nicht verändert.

20b. Support-Zugang

Auf Wunsch kannst du unserem Support in deinen Einstellungen (Konto › Profil beziehungsweise Verwaltung › Einstellungen) für 24 Stunden Zugang zu deinem Konto geben. Der Support sieht dein Konto dann so, wie du es siehst: alle Daten, auch die deiner Mieter und Eigentümer, und einzelne Dokumente. Er kann Einträge anlegen, korrigieren und archivieren, auch Mietverhältnisse anlegen und Beträge korrigieren; daraus können Sollstellungen entstehen. Fristen, die er anlegt, können später Erinnerungs-E-Mails an dich auslösen. Bei WEG-Verwaltungen sehen die Eigentümer Korrekturen an Kosten, Anteilen und Eigentümerdaten sofort in ihrer Einsicht. Ausgeschlossen sind endgültiges Löschen, Bank- und Zahlungsdaten, Exporte in Dateien (etwa CSV, DATEV, Kalender), Bekanntgaben an Mieter und Eigentümer (etwa Abrechnungen speichern oder versenden, Zahlungen buchen, Beschlüsse fassen) und Erklärungen in deinem Namen (etwa Einwilligungen, Unterschriften, Bescheinigungen, Kündigungen). Passwort, E-Mail-Adresse, Zwei-Faktor-Anmeldung, Abo, Datenexport und die Kontolöschung sind gesperrt, und der Support verschickt keine E-Mails oder Nachrichten in deinem Namen. Die Freigabe endet nach 24 Stunden von selbst, außerdem sobald du dich abmeldest oder dein Passwort änderst. Du kannst sie jederzeit vorzeitig beenden; verlängern oder erneut freigeben kannst nur du.

Protokoll: Protokolliert werden jede Freigabe, Beginn und Ende jedes Zugriffs durch den Support (mit der Kennung des Support-Mitarbeiters) und jede Anfrage, die etwas ändern soll, auch abgelehnte, zusätzlich im Audit-Log nach Ziffer 20. Einzelne Lesezugriffe protokollieren wir nicht. Das Protokoll siehst du in deinen Einstellungen; eine zusätzliche Benachrichtigung per E-Mail gibt es nicht. Das Protokoll bewahren wir dauerhaft auf. Löschst du dein Konto, entfernen wir aus dem Protokoll alle Angaben zu deiner Person und kürzen die Zeitpunkte auf den Monat; getrennt davon bewahren wir den Nachweis deiner Einwilligung auf (Ziffer 20a), über den eine Zuordnung theoretisch möglich bliebe. Im Protokoll steht dann nur noch, in welchem Monat der Support zugegriffen hat und welche Art von Änderungen er vorgenommen hat.

Rechtsgrundlage: Der Zugriff beruht auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir nach Ziffer 20a nachweisen. Das Protokoll führen wir, damit jeder Zugriff für dich und uns nachvollziehbar bleibt (Art. 6 Abs. 1 lit. f und Art. 5 Abs. 2 DSGVO). Bei Vermieter- und WEG-Konten enthält dein Konto auch Daten Dritter (Mieter, Eigentümer, Kontakte). Für diese Daten sind wir dein Auftragsverarbeiter, und deine Freigabe ist die dokumentierte Weisung nach § 4 des Auftragsverarbeitungsvertrags (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

21. Passwort-Zurücksetzen

Bei Anforderung eines Passwort-Reset-Links senden wir eine E-Mail mit einem einmalig gültigen Link (1 Stunde Gültigkeit). Gespeicherte Daten: Token, User-ID, Ablaufdatum. Nach Nutzung oder Ablauf werden die Token-Daten als verwendet markiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

22. Datensicherung (Backups)

Zur Datensicherheit erstellen wir regelmäßige Backups der Datenbank und hochgeladener Dateien. Die Backups werden auf einem separaten Speichermedium am gleichen Serverstandort (Hetzner, Deutschland) gespeichert. Echtzeit-Backups werden über Litestream erstellt und bis zu 7 Tage aufbewahrt. Stündliche Snapshots werden 48 Stunden, tägliche Backups 30 Tage aufbewahrt. Backups dienen ausschließlich der Wiederherstellung und nicht als Produktarchiv. Löschungen werden in einem minimalen Löschjournal vermerkt und nach einer Wiederherstellung erneut angewandt, damit bereits gelöschte Kontodaten nicht wieder produktiv genutzt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Datensicherheit).

23. PDF-Archivierung

Von Kunden erstellte PDF-Dokumente werden auf einem separaten Speicher archiviert. Im Konto erstellte Betriebskostenabrechnungen bleiben gespeichert, solange dein Konto besteht, denn sie sind für dich aufbewahrungspflichtige Belege (unter anderem für die Einwendungsfrist deiner Mieter nach § 556 Abs. 3 BGB). Ohne Konto über den Checkout gekaufte Einzelabrechnungen und übrige Dokumente (zum Beispiel Übergabeprotokolle und Serienbriefe) werden 30 Tage nach ihrer Erstellung automatisch gelöscht. Mit der Löschung deines Kontos werden auch die archivierten Dokumente entfernt. Die Ablage erfolgt unter zufällig vergebenen Dateischlüsseln, nicht unter deiner E-Mail-Adresse. Rechnungen und Rechnungskorrekturen werden mindestens acht Jahre ab dem Ende ihres Ausstellungsjahres (§ 147 AO, § 257 HGB, § 14b UStG) getrennt in der Anwendung und im parallelen LedgerOS-Buchhaltungsarchiv aufbewahrt; die Kontolöschung verändert diese Archive nicht. Ein automatisierter Löschlauf für Buchungsbelege ist derzeit nicht aktiviert. Nach Fristablauf wird die weitere Erforderlichkeit gesondert geprüft; ein dokumentierter Legal Hold kann die Aussonderung konkret betroffener Belege zusätzlich sperren. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für Rechnungen, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für sonstige PDFs.

24. KI-Schnellcheck — Datenverarbeitung bei der KI-gestützten Prüfung

Bei der Nutzung des KI-Schnellchecks für Nebenkostenabrechnungen verarbeiten wir personenbezogene Daten gemäß den gesetzlichen Bestimmungen der Datenschutz-Grundverordnung (DSGVO). Mieter laden ihre Nebenkostenabrechnungen (PDF, JPG, PNG) über eine verschlüsselte Upload-Funktion hoch. Die Dokumente werden auf einem in Deutschland gehosteten Server (Hetzner Rechenzentrum) verarbeitet, um den Text mittels OCR-Technologie zu extrahieren und zu prüfen, ob das Dokument sauber lesbar ist. Vor der Bestellung findet keine Prüfung durch ein Sprachmodell statt, und es werden keine Dokumentinhalte an Anthropic übermittelt. Aus dem gelesenen Text erkennen wir regelbasiert Kopfdaten (Postleitzahl, Ort, Wohnfläche, Abrechnungszeitraum, Abrechnungsergebnis, Vorauszahlungen), die du bestätigst oder ergänzt. Zusammen mit dem von dir angegebenen Zustelldatum berechnen wir daraus Vergleichswerte und Fristen; das ist keine Prüfung der Abrechnung. Für die Bestellung ist ein Benutzerkonto erforderlich. Erst nach Bestellung und Zahlung wird der extrahierte Text an die Anthropic, PBC (USA) übermittelt, wo die KI-Analyse (Claude) auf rechtliche Fehler und Unstimmigkeiten prüft; umfasst deine Einwilligung die Seitenbilder, übermitteln wir zusätzlich Bilder der hochgeladenen Seiten (Einzelheiten in Ziffer 24.1 und 24.3). Die hochgeladenen Originaldokumente werden für einen begrenzten Zeitraum (nicht bestellter Check: 72 Stunden, bezahlter Bericht: 90 Tage nach Abschluss der Analyse; vor dem 7. Oktober 2026 erzeugte kostenlose Vorschauen: 14 Tage) ausschließlich zu Support-Zwecken auf unserem Server in Deutschland aufbewahrt — etwa um bei technischen Problemen die Analyse ohne erneuten Upload wiederholen zu können — und danach automatisiert und unwiderruflich gelöscht.

Innerhalb der genannten Aufbewahrungsfristen können hochgeladene Dokumente in geringem Umfang stichprobenartig intern zur Qualitätssicherung und Verbesserung unserer KI-gestützten Auslesung verwendet werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Genauigkeit und Zuverlässigkeit der Auslesung). Diese Verarbeitung bleibt auf die in Ziffer 24.3 genannte Auftragsverarbeitung beschränkt und führt zu keiner zusätzlichen Offenlegung gegenüber weiteren Empfängern.

24.1 Kategorien verarbeiteter Daten

Im Rahmen des KI-Schnellchecks werden folgende Datenkategorien verarbeitet:

• Hochgeladene Dokumente: Nebenkostenabrechnungen als PDF, JPG oder PNG. Diese können personenbezogene Daten wie Namen, Adressen und Abrechnungsbeträge enthalten.
• OCR-Text: Der aus den Dokumenten extrahierte Textinhalt.
• Seitenbilder: Bilder der hochgeladenen Seiten für die Übermittlung an Anthropic (Ziffer 24.3). Bei Fotos (JPG, PNG) ist das eine neu erzeugte, bei Bedarf gedrehte und verkleinerte Kopie jedes Fotos im JPEG-Format ohne eingebettete Zusatzdaten wie Aufnahmeort oder Kameradaten; bei PDF-Dateien nur, soweit die Texterkennung Bilder der Seiten mitliefert. Ein Seitenbild zeigt alles, was auf der Seite sichtbar ist, bei Fotos alles, was auf dem Foto zu sehen ist, also auch Dinge neben dem Blatt, die mit aufgenommen wurden, und Angaben, die die Texterkennung nicht erfasst hat, etwa handschriftliche Notizen, Stempel oder Unterschriften. Seitenbilder speichern wir nicht zusätzlich; für das Originaldokument gelten die Löschfristen in Ziffer 24.6.
• Analyseergebnisse: Die Ergebnisse der KI-Analyse, einschließlich identifizierter Fehler, Rechtsgrundlagen und geschätzter Erstattungsbeträge.
• IP-Adresse: Die IP-Adresse des Nutzers wird in gehashter Form temporär gespeichert, um die Rate-Limitierung sicherzustellen. Ein Rückschluss auf die Person ist nicht möglich.
• E-Mail-Adresse für die Ergebnis-Benachrichtigung (freiwillig): Wer beim Hochladen ausdrücklich darum bittet, erhält eine einmalige Nachricht, sobald die Prüfung fertig ist. Die Angabe ist freiwillig; ohne sie funktioniert der KI-Schnellcheck unverändert. Die Adresse wird ausschließlich für diese eine Nachricht verwendet, nicht für Werbung genutzt, nicht in unseren Verteiler übernommen und direkt nach dem Versand der Benachrichtigung gelöscht. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst.

24.2 Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Grundlagen:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Vor dem Upload erteilt der Nutzer durch Aktivierung einer Checkbox seine ausdrückliche Einwilligung in die Verarbeitung und Übermittlung der Daten an Dritte. Diese Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist erforderlich, um den KI-Schnellcheck als vertraglich vereinbarte Leistung durchzuführen.

24.3 Übermittlung an Dritte — Drittlandtransfer

Der extrahierte OCR-Text wird zur Durchführung der KI-Analyse an die Anthropic, PBC (548 Market Street, San Francisco, CA 94104, USA) übermittelt. Umfasst deine Einwilligung (Fassung vom 28.09.2026) die Seitenbilder, übermitteln wir zusätzlich Bilder der hochgeladenen Seiten (Ziffer 24.1), damit die KI Beträge in Tabellen der richtigen Zeile zuordnen kann. Das kann auch geschehen, wenn wir die Analyse ohne erneuten Upload wiederholen. Nennt deine Einwilligung die Seitenbilder nicht (ältere Fassung), übermitteln wir weiterhin nur den Text. Die Übermittlung von Text und Seitenbildern in die USA erfolgt auf Grundlage von Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO. Anthropic ist vertraglich verpflichtet, die übermittelten Daten ausschließlich zur Durchführung der beauftragten Analyse zu verwenden und gemäß den Anforderungen der DSGVO zu schützen. Der Anbieter verarbeitet die Inhalte nur zur Beantwortung der Anfrage und hält sie nach seinen Bedingungen höchstens 30 Tage zur Missbrauchsprüfung vor; ein Training mit den Inhalten findet nicht statt.

24.4 Hinweise zu Risiken

Trotz umfassender technischer Schutzmaßnahmen weisen wir darauf hin, dass die Übermittlung von Daten in die USA mit einem Restrisiko hinsichtlich des dortigen Datenschutzniveaus verbunden ist. Hochgeladene Dokumente können personenbezogene Daten (Namen, Adressen, Mietvertragsdetails) enthalten, die im Rahmen der OCR-Extraktion verarbeitet und als Text, bei einer Einwilligung mit Seitenbildern auch als Bild der Seite, an Anthropic übermittelt werden. Ein Seitenbild enthält alles, was auf der Seite sichtbar ist, bei Fotos alles, was auf dem Foto zu sehen ist, also unter Umständen mehr als der erkannte Text. Fotografiere die Abrechnung deshalb möglichst ohne weitere Unterlagen im Bild. Angaben, die für die Prüfung nicht nötig sind (etwa deine Bankverbindung), kannst du vor dem Upload schwärzen. Die Nutzung KI-gestützter Analyse kann zudem zu unvollständigen oder fehlerhaften Ergebnissen führen. Der KI-Schnellcheck stellt ausdrücklich keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar.

24.5 Nachbesprechung des Berichts mit Lena (Kundenkonto)

Nach dem Kauf eines KI-Schnellchecks kannst du den erstellten Bericht in deinem Kundenkonto (Bereich „Nachrichten") mit unserer KI-Assistentin Lena besprechen. Damit Lena deine Fragen beantworten kann, werden bei jeder von dir gesendeten Frage der erstellte Prüfbericht sowie der aus deinem Dokument extrahierte Text (OCR) zusammen mit deiner Frage an die Anthropic, PBC (USA) übermittelt und dort für die Antwort verarbeitet (Drittlandtransfer auf Grundlage der Standardvertragsklauseln, wie in Abschnitt 24.3 beschrieben). Rechtsgrundlage der Verarbeitung ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Zuordnung zu deinem Konto erfolgt durch deine vorherige Registrierung. Der Nachrichtenverlauf wird in unserer Datenbank gespeichert, damit du ihn später erneut aufrufen kannst. Der Chatverlauf folgt einer eigenen Frist und wird spätestens 180 Tage nach seiner letzten Aktivität, bei Löschung des Anliegens durch dich oder bei Löschung deines Kontos entfernt. Die Nachbesprechung ist eine allgemeine, KI-gestützte Erläuterung und stellt keine Rechtsberatung im Sinne des RDG dar.

24.6 Löschfristen

Wir halten uns an den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Konkret gelten folgende, automatisiert durchgesetzte Aufbewahrungsfristen — tägliche automatische Prüfläufe entfernen bzw. pseudonymisieren Dateien und Datensätze nach Ablauf der jeweiligen Frist:

Anonyme Lead-Daten (z. B. abgebrochene Vorgänge ohne E-Mail-Adresse) werden spätestens nach 90 Tagen gelöscht. Nach 180 Tagen entfernen wir bei bezahlten Berichten Dateiname, OCR-Text und Analyseinhalt. Nur der davon getrennte minimale Rechnungsbezug wird grundsätzlich acht Jahre ab Ende des Ausstellungsjahres aufbewahrt; ein dokumentierter Legal Hold kann die Löschung der konkret betroffenen Daten vorübergehend sperren.

24.7 Sicherheitsmaßnahmen

• Transportverschlüsselung: Sämtliche Datenübertragungen erfolgen ausschließlich über HTTPS (TLS 1.2+).
• OCR-Verarbeitung in Deutschland: Die Texterkennung erfolgt ausschließlich auf Servern im Hetzner Rechenzentrum in Deutschland.
• Datensparsame Seitenbilder: Seitenbilder übermitteln wir nur, wenn deine Einwilligung sie umfasst, ohne eingebettete Zusatzdaten wie Aufnahmeort oder Kameradaten, und wir speichern sie bei uns nicht zusätzlich.
• Befristete Dokumentenspeicherung mit Zugriffsschutz: Hochgeladene Originaldateien werden nach der Analyse ausschließlich zu Support-Zwecken in einem zugriffsgeschützten Bereich aufbewahrt (ohne Bestellung 72 Stunden, nach Bestellung 90 Tage) und danach automatisiert gelöscht. Jeder Zugriff durch unsere Mitarbeiter wird protokolliert.
• IP-Hashing: IP-Adressen werden ausschließlich als kryptographischer Hash gespeichert (SHA-256). Ein Rückschluss auf die ursprüngliche IP-Adresse ist technisch nicht möglich.

24.8 Betroffenenrechte

Im Zusammenhang mit der Verarbeitung deiner Daten im KI-Schnellcheck stehen dir folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Du kannst jederzeit Auskunft über die zu deiner Person gespeicherten Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Du kannst die unverzügliche Löschung deiner Daten verlangen.
• Widerspruchsrecht (Art. 21 DSGVO): Du kannst der Verarbeitung deiner Daten jederzeit widersprechen.
• Widerruf der Einwilligung: Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.
• Beschwerderecht: Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. bei der für uns zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit.

Für datenschutzrechtliche Anfragen zum KI-Schnellcheck wende dich bitte an: kontakt@mein-nebenkostenrechner.de

24.9 Datenverarbeitung von Dritten (Art. 14 DSGVO)

Beim Upload von Nebenkostenabrechnungen werden gegebenenfalls auch personenbezogene Daten des Vermieters (Name, Adresse, Bankverbindung, Hausverwaltungs-Kontakte) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer Überprüfung der Abrechnung durch den Vertragspartner). Es erfolgt keine eigenständige Kontaktaufnahme mit diesen Dritten. Die Daten werden wie das übrige Dokument für die KI-Analyse und, in geringem Umfang stichprobenartig, zur Qualitätssicherung (Ziffer 24) verarbeitet. Für die Analyse gehen sie an Anthropic, PBC (USA, Standardvertragsklauseln, Ziffer 24.3), und zwar als Text und, wenn die Einwilligung die Seitenbilder umfasst, auch als Bild der Seite (etwa Stempel oder Unterschrift). An weitere Empfänger übermitteln wir sie nicht. Sie unterliegen denselben Löschfristen wie das übrige Dokument (siehe Tabelle in Ziffer 24.6 Löschfristen: Originaldokument 14 bzw. 90 Tage, extrahierter Text 30 Tage bzw. Entfernung nach 180 Tagen).

Du als Nutzer stellst sicher, dass du berechtigt bist, die Abrechnung hochzuladen (als Mieter bezüglich deiner eigenen Wohnung bzw. als bevollmächtigter Dritter). Wenn du uns Abrechnungen fremder Mietverhältnisse zur Verfügung stellst, bist du für die Rechtsgrundlage der Datenerhebung verantwortlich.

24a. NK 2.0 Verwaltungs-Features (Vermieter-Abos)

Im Rahmen der Verwaltung in den Vermieter-Abos (Vermieter Basis, Vermieter Ultra, bei bestehenden Verträgen Vermieter Pro) speichern wir, soweit die jeweilige Funktion im Tarif enthalten ist und von dir genutzt wird:

• Energieausweise: Aussteller, Ausstelldatum, Gültigkeit, Endenergie-/Primärenergiewerte, Effizienzklasse
• Verbrauchsdaten: Kategorien (Heizung, Wasser, Strom, Müll), Jahr/Monat, Verbrauch, Kosten, Zählerstände
• Mietpreisbremse-Dokumente: Auskunftsschreiben, Stichtage, Ergebnisse

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: für die Dauer deines Nutzerkontos, Löschung jederzeit über das jeweilige Modul. Keine Übermittlung an Dritte.

24b. KI-Belegauslesung im Kundenkonto (Vermieter)

Als registrierter Nutzer kannst du in deinem Kundenkonto Belege zu deiner Nebenkostenabrechnung (z. B. Grundsteuerbescheid, Versorgerrechnungen, Versicherungsrechnungen, Hausgeldabrechnungen) als PDF hochladen. Eine KI-gestützte Auslesung (Claude, Anthropic, PBC) schlägt daraus Beträge und Kostenarten vor. Die Auslesung ist ausdrücklich als KI-Funktion gekennzeichnet und liefert ausschließlich Vorschläge: Jede ausgelesene Position musst du selbst prüfen und bestätigen, bevor sie in deine Abrechnung übernommen wird. Die Berechnung der Abrechnung selbst erfolgt vollständig regelbasiert und ohne KI. Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt.

Dieselbe Auslesung steht dir in der Vermieter-Verwaltung beim Erfassen einer Ausgabe zur Verfügung (Schaltfläche „Beleg mit KI auslesen“ im Modul Ausgaben). Auch dort erfolgt die Übermittlung an Anthropic nur nach deiner ausdrücklichen Einwilligung per Checkbox, die wir serverseitig prüfen. Der Beleg wird auf diesem Weg auf unserem Server ausschließlich für die Auslesung vorübergehend verarbeitet und nicht gespeichert (zur Vorhaltefrist beim Anbieter siehe Ziffer 24b.2); gespeichert wird nur die Ausgabe, die du anschließend selbst anlegst, sowie der Beleg, den du der Ausgabe bewusst als Datei beifügst.

24b.1 Kategorien verarbeiteter Daten

• Hochgeladene Belege (PDF): Diese können personenbezogene Daten enthalten, etwa deinen Namen, deine Adresse, Objektadressen sowie Angaben von Dritten (z. B. Versorger, Handwerksbetriebe, Hausverwaltungen — Kontaktdaten, Bankverbindungen, Rechnungsbeträge).
• Auslesungsergebnisse: Die von der KI vorgeschlagenen sowie die von dir bestätigten Positionen (Bezeichnung, Betrag, Kostenart, Zeitraum).
• Technische Metadaten: Dateiname, Dateigröße, Prüfsumme (SHA-256), Zeitpunkt des Uploads sowie Umfangs- und Kostenstatistik der KI-Verarbeitung zur Missbrauchs- und Kontingentkontrolle.

24b.2 Rechtsgrundlagen und Drittlandtransfer

Die Verarbeitung erfolgt auf Grundlage deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du vor dem Upload per Checkbox erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst, sowie zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Zur Auslesung wird das hochgeladene PDF an die Anthropic, PBC (548 Market Street, San Francisco, CA 94104, USA) übermittelt. Für diesen Drittlandtransfer gelten die Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO; die Erläuterungen und Risikohinweise aus Ziffer 24.3 und 24.4 gelten entsprechend. Der Anbieter verarbeitet den Beleg nur zur Auslesung und hält ihn nach seinen Bedingungen höchstens 30 Tage zur Missbrauchsprüfung vor; ein Training mit den Inhalten findet nicht statt. Soweit deine Belege personenbezogene Daten Dritter enthalten, beruht deren Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erstellung einer korrekten Abrechnung); eine Kontaktaufnahme mit diesen Dritten oder eine Übermittlung an weitere Empfänger erfolgt nicht.

24b.3 Speicherdauer und Löschung

Hochgeladene Belege, Auslesungsergebnisse und bestätigte Positionen werden in deinem Kundenkonto gespeichert, damit du sie für deine Abrechnungen verwenden und erneut aufrufen kannst. Du kannst jeden Beleg jederzeit selbst im Konto löschen; die zugehörige Datei wird dabei ebenfalls entfernt. Mit der Löschung deines Kontos werden alle Belege samt Dateien und Auslesungsergebnissen gelöscht. Der Qualitätssicherungs-Vorbehalt aus Ziffer 24 (stichprobenartige interne Prüfung der Auslesungsqualität, Art. 6 Abs. 1 lit. f DSGVO) gilt für gespeicherte Belege entsprechend. Im Übrigen stehen dir die in Ziffer 24 beschriebenen Betroffenenrechte (Auskunft, Löschung, Widerspruch, Widerruf, Beschwerde) auch für die Belegauslesung zu.

24c. Vermieter-Verwaltung und WEG-Verwaltung

Vermieter und Verwalter, die die Vermieter-Verwaltung oder die WEG-Verwaltung nutzen, erfassen dort Daten Dritter (Mieter, Mietinteressenten, Eigentümer, Kontakte). Für diese Daten ist der jeweilige Vermieter oder Verwalter Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; wir verarbeiten sie als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich auf Weisung und innerhalb der Anwendung. Grundlage ist unser Vertrag zur Auftragsverarbeitung, der mit dem Abschluss des Abonnements einbezogen wird (§ 3c der AGB) und dessen Kenntnisnahme der Vermieter oder Verwalter beim ersten Aufruf der Verwaltung zusätzlich bestätigt. Die Speicherung erfolgt auf unserem Server in Deutschland (Hetzner); Ausnahmen sind die unten beschriebenen KI-Funktionen, die Daten nur auf ausdrückliche Auslösung des Vermieters an die Anthropic, PBC in den USA übermitteln.

Mieter und Vermietungen

Zu Vermietungen speichern wir Name, Anschrift, Kontaktdaten, Einzugs- und Auszugsdatum, Personenzahl, Miet- und Vorauszahlungsbeträge, Kautionen, Sollstellungen, Zahlungen, Mahnstufen und Zählerstände, soweit der Vermieter sie erfasst. Zweck ist die Durchführung des Mietverhältnisses und die Betriebskostenabrechnung (§ 556 BGB). Die Daten bleiben für die Dauer des Mietverhältnisses und die anschließende gesetzliche Aufbewahrung von Abrechnungen und Belegen gespeichert (§ 147 AO, § 257 HGB).

Mieterselbstauskunft und Interessenten

Über einen vom Vermieter erzeugten Link können Mietinteressenten eine Selbstauskunft ausfüllen. Der Link ist 30 Tage gültig und wird bei uns nur als Prüfsumme gespeichert. Das Formular zeigt vor der Erhebung die Informationen nach Art. 13 DSGVO (Verantwortlicher ist der Vermieter). Erhoben werden nur Angaben mit berechtigtem Interesse an der Mieterauswahl: Anrede, Vor- und Nachname, Geburtsdatum, E-Mail-Adresse, Telefonnummer, aktuelle Adresse, Beruf, Arbeitgeber, Beschäftigungsdauer, monatliches Netto-Einkommen als Spanne, Zahl der einziehenden Personen, Haustiere, Raucherstatus, Mietrückstände aus früheren Mietverhältnissen, Räumungsklage in den letzten fünf Jahren, Insolvenzverfahren oder eidesstattliche Versicherung sowie eine freiwillige Nachricht. Fragen zu Schwangerschaft, Religion, Herkunft, Gesundheit, Vorstrafen, Mitgliedschaften oder Parteizugehörigkeit werden nicht gestellt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), für die freiwillige Nachricht Art. 6 Abs. 1 lit. a DSGVO. Der Interessent kann seine Einwilligung über denselben Link widerrufen (Art. 7 Abs. 3 DSGVO); seine Angaben werden dann gelöscht (Art. 17 Abs. 1 lit. b DSGVO), solange der Vermieter sie nicht in seine Interessentenverwaltung übernommen hat. Nicht übernommene Selbstauskünfte werden 90 Tage nach Eingang automatisch und vollständig gelöscht, offene Links nach Ablauf; übernommene werden nach 90 Tagen auf die beim Interessenten gespeicherten Kontaktdaten reduziert. Interessentendaten bleiben gespeichert, bis der Vermieter sie löscht oder sein Konto gelöscht wird.

Bonitätsbewertung

Zu einem Interessenten kann der Vermieter eine Bonitätscheckliste führen (Identitätsnachweis eingesehen, Einkommensnachweise vorhanden, Mietschuldenfreiheitsbescheinigung, Fremdauskunft liegt vor, Selbstauskunft eingegangen) sowie einen Status (offen, geprüft, Bedenken) und eine Notiz. Die Anwendung fragt keine Auskunftei ab und trifft keine automatisierte Entscheidung (Art. 22 DSGVO); die Bewertung nimmt der Vermieter selbst vor. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO. Die Angaben werden mit dem Interessenten gelöscht.

Mieterportal

Der Vermieter kann je Vermietung einen Zugangslink für das Mieterportal erzeugen (Lesezugang, standardmäßig 365 Tage gültig, höchstens 400 Tage). Gespeichert wird nur eine Prüfsumme des Zugangstokens sowie der Zeitpunkt des letzten Zugriffs. Der Mieter sieht dort ausschließlich die eigenen Anschreiben, Dokumente, Dateien, Quittungen und Abrechnungen und kann Zählerstände seiner Einheit sowie Anliegen und Mängel melden, die als Aufgabe beim Vermieter erscheinen. Der Vermieter kann den Zugang jederzeit widerrufen; abgelaufene Zugänge sind sofort unwirksam und werden gelöscht, widerrufene 90 Tage nach dem Widerruf.

E-Mail-Postausgang

Anschreiben, Mahnungen, Quittungen und Abrechnungen kann der Vermieter aus der Verwaltung per E-Mail an die hinterlegten Mieteradressen senden. Dazu speichern wir je Sendung Empfänger, Betreff, Text, den PDF-Anhang, Status, Fehlermeldungen und Versandzeitpunkt. Der Versand erfolgt technisch über unseren Mailserver in Deutschland im Auftrag des Vermieters; als Absendername erscheint der Vermieter, Antworten gehen an seine E-Mail-Adresse. Die Einträge bleiben, bis der Vermieter sie löscht oder sein Konto gelöscht wird; Anhänge werden dabei mit entfernt.

Mietvertrags-Signatur

Der Vermieter kann einen erzeugten Mietvertrag in der Anwendung signieren. Gespeichert werden Name der unterzeichnenden Person, Rolle, Datum, eine Prüfsumme des Vertrags-PDF und eine fortlaufende Signaturkette, nicht das PDF selbst. Es handelt sich um eine einfache elektronische Signatur (Art. 3 Nr. 10 eIDAS-Verordnung), die die Schriftform nicht ersetzt. Die Protokolle bleiben bis zur Kontolöschung gespeichert.

Zahlungsdaten Dritter und Bankimport

Zu Kontakten des Vermieters (Handwerksbetriebe, Dienstleister, Eigentümer, Hausverwaltungen) kann er eine Bankverbindung (IBAN) hinterlegen, um Zahlungen abzuwickeln und Umsätze zuzuordnen. Beim Import von Kontoumsätzen (CSV) verarbeiten wir Buchungsdatum, Betrag, Verwendungszweck und Kontokennungen ausschließlich zur Zuordnung von Mietzahlungen. Die hochgeladene Datei wird nach der Verarbeitung nicht aufbewahrt, gespeichert bleiben nur die zugeordneten Zahlungen.

DATEV-Export

Auf Abruf erzeugt die Anwendung aus Einnahmen und Ausgaben eines Objekts und Jahres eine Datei im DATEV-Buchungsstapel-Format (CSV) zur Weitergabe an die Steuerberatung des Vermieters. Die Datei enthält Buchungsdatum, Beträge, Konten und Buchungstexte, die Namen von Mietern und Kontakten enthalten können. Es findet keine Übermittlung an DATEV oder an Dritte durch uns statt; die Datei wird nur zum Download erzeugt und nicht gespeichert.

KI-Exposé

Auf Wunsch des Vermieters erzeugt die Anwendung einen Exposétext. Dazu werden ausschließlich strukturierte Objekt- und Einheitendaten (Adresse, Lage, Fläche, Zimmer, Ausstattung, Miet- und Nebenkostenbeträge) sowie das Notizfeld zur Einheit an die Anthropic, PBC (548 Market Street, San Francisco, CA 94104, USA) übermittelt (Standardvertragsklauseln, Art. 46 Abs. 2 lit. c DSGVO); bitte keine personenbezogenen Angaben in das Notizfeld eintragen. Selbstauskünfte, Bankdaten, Mieternamen oder Ausweisdokumente werden nicht übermittelt. Der Anbieter verarbeitet die Eingaben nur zur Erzeugung des Textes und hält sie nach seinen Bedingungen höchstens 30 Tage zur Missbrauchsprüfung vor; ein Training mit den Inhalten findet nicht statt. Die KI-Belegauslesung in der Verwaltung ist in Ziffer 24b beschrieben.

WEG-Einsicht

Verwalter können Eigentümern einen widerrufbaren Einsichtslink geben. Gespeichert wird nur ein Hash des Zugangstokens. Ein Eigentümer sieht seine eigene Abrechnung, den Wirtschaftsplan, die Beschlüsse und den Vermögensbericht, keine Daten anderer Eigentümer außer Beschlussmehrheiten. Mitglieder des Verwaltungsbeirats sehen zusätzlich die Einzelabrechnungen aller Eigentümer, soweit das für die Rechnungsprüfung nach § 29 WEG erforderlich ist. Abgelaufene oder widerrufene Zugänge sind sofort unwirksam und werden nach 90 Tagen entfernt.

Löschung und Export

Der Datenexport im Konto enthält alle Verwaltungs- und WEG-Daten des Nutzers einschließlich Postausgang, Signaturprotokollen, Portalzugängen, WEG-Mahnungen, Teilungserklärung und Versammlungsunterlagen. Die Kontolöschung entfernt sie samt hochgeladener Belege, Verträge, Fotos und E-Mail-Anhänge. Archivierte Objekte bleiben bis zur endgültigen Löschung durch den Nutzer erhalten.

25. Feedback-System (Service-Bewertungen)

Wir versenden gelegentlich Feedback-Anfragen an unsere Kunden, um den Service zu verbessern. Diese E-Mails enthalten eine 5-stufige Bewertungsskala (Smileys) sowie ein optionales Notizfeld. Mit einem Klick gelangst du auf eine Landing-Page, auf der du deine Bewertung bestätigen kannst.

Erhobene Daten: Bewertung (1–5), optionale Notiz, Public-Consent (Checkbox), Kontakt-Wunsch bei niedriger Bewertung, gehashte IP zur Missbrauchs-Erkennung, User-Agent.

Anonymisierte Veröffentlichung: Wenn du das Häkchen »Mein Feedback darf anonymisiert auf der Website veröffentlicht werden« setzt, können wir nur deinen Vornamen (z. B. »Markus«), deinen Plan und deine Notiz auf der Website (z. B. /preise) anzeigen. Niemals werden E-Mail-Adresse, Nachname oder vollständige Daten veröffentlicht. Du kannst deine Zustimmung jederzeit per E-Mail an kontakt@mein-nebenkostenrechner.de widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Service-Verbesserung). Bei Public-Consent zusätzlich Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Abmeldung: Jede Feedback-E-Mail enthält einen 1-Klick-Abmelde-Link. Nach Abmeldung erhältst du keine weiteren Feedback-Anfragen mehr. Service-relevante E-Mails (Rechnungen, Sicherheits-Hinweise) sind davon nicht betroffen.

Speicherdauer: bis zur Konto-Löschung oder bis zum Widerruf der Einwilligung. Bei Konto-Löschung werden alle Feedback-Antworten unwiderruflich gelöscht.

27. Lena Chat-Assistentin (KI-Chatbot)

Auf jeder Seite unserer Website findest du unten rechts eine Chat-Sprechblase mit unserer KI-Assistentin „Lena“. Lena hilft kostenlos und ohne Anmeldung bei Fragen zur Nebenkostenabrechnung, zum Mietrecht, zur Bedienung des Rechners und zu unseren Produkten.

Verarbeitete Daten

• Deine Chat-Eingaben (von dir frei formulierter Text)
• Optional: Bilder, die du freiwillig per Büroklammer-Button hochlädst (z.B. Fotos einer Nebenkostenabrechnung). Maximal 5 MB pro Bild, nur JPG/PNG/GIF/WebP.
• Antworten der KI
• Eine Sitzungs-ID zur Zuordnung der Konversation
• Deine E-Mail-Adresse und, falls angegeben, dein Vorname (zu Beginn des Chats abgefragt, um dir zu helfen und dir per E-Mail zu antworten)
• Gehashte IP-Adresse zur Rate-Limit-Kontrolle (Schutz vor Missbrauch)
• Zeitpunkt deiner Bestätigung zu Beginn des Chats sowie die zu diesem Zeitpunkt geltende Fassung der AGB und dieser Datenschutzerklärung (Nachweis der einbezogenen AGB und der Information nach Art. 13 DSGVO, Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO)

Hinweis zu Bild-Uploads: Wenn du einen Screenshot deiner Abrechnung oder ein anderes Foto hochlädst, wird das Bild als Base64 an Anthropic, PBC übermittelt, damit Lena es analysieren kann. Bitte schwärze sensible Daten (vollständige Anschrift, IBAN, Geburts­datum) vor dem Upload. Wir empfehlen, Bilder ausschließlich mit den für die Frage notwendigen Informationen hochzuladen.

Verarbeitung durch Anthropic, PBC (USA)

Die Chat-Eingaben werden an die Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA übermittelt, wo ein Claude-Sprachmodell von Anthropic die Antwort generiert. Anthropic ist Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Anthropic ist vertraglich verpflichtet, die Daten ausschließlich zur Bearbeitung deiner Anfrage zu nutzen und nicht für eigene Zwecke (z.B. Modell-Training); der Anbieter hält die Eingaben nach seinen Bedingungen höchstens 30 Tage zur Missbrauchsprüfung vor.

Web-Recherche bei unbekannten Themen

Bei Fragen, die Lena aus ihrem statischen Wissen nicht beantworten kann (z.B. aktuelle BGH-Urteile, regionale Spezifika), kann sie eine Web-Suche über das Anthropic-Server-Tool web_search durchführen. Maximal drei Suchen pro Konversation. Der Suchbegriff wird Anthropic und dem Such-Provider (Brave Search) bekannt. Persönliche Daten werden dabei nicht weitergegeben — Lena formuliert die Suche neutral. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung „Customer Service“).

Speicherdauer

Chat-Sitzungen werden zur Qualitätssicherung und für mögliche Folge-Fragen bis zu 180 Tagen gespeichert. Auf Anfrage löschen wir deine Chat-Daten sofort und vollständig (kontakt@mein-nebenkostenrechner.de). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Service-Qualität).

E-Mail-Erfassung beim Chat-Start & E-Mail-Werbung

Bevor du mit Lena chattest, fragen wir deine E-Mail-Adresse ab und optional deinen Vornamen; die Angabe des Vornamens ist seit dem 23.09.2026 freiwillig. Du akzeptierst unsere AGB und bestätigst, die Datenschutzerklärung zur Kenntnis genommen zu haben. Diese Daten verarbeiten wir, um den Chat bereitzustellen und dir per E-Mail bei deinem Anliegen zu antworten (Art. 6 Abs. 1 lit. b DSGVO).

Da du durch die Nutzung unseres kostenlosen Chat-Dienstes in eine Kundenbeziehung zu uns trittst, nutzen wir deine E-Mail-Adresse zusätzlich, um dich gelegentlich über eigene ähnliche Angebote (insbesondere unseren Nebenkostenrechner und unsere Vermieter-Funktionen) per E-Mail zu informieren. Rechtsgrundlage ist § 7 Abs. 3 UWG (Bestandskundenwerbung / Soft-Opt-in) i.V.m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung, Erwägungsgrund 47). Eine gesonderte Einwilligung ist hierfür nach § 7 Abs. 3 UWG nicht erforderlich; wir bewerben ausschließlich eigene, dem Chat-Thema ähnliche Produkte und Dienstleistungen.

Dein Widerspruchsrecht: Du kannst dieser werblichen Nutzung deiner E-Mail-Adresse jederzeit kostenlos widersprechen — über den Abmeldelink in jeder Werbe-E-Mail oder formlos an kontakt@mein-nebenkostenrechner.de. Nach deinem Widerspruch erhältst du keine Werbe-E-Mails mehr; reine Service-Antworten auf dein Chat-Anliegen bleiben davon unberührt.

28. KI-Antwort-Vorschläge im Support-Ticketsystem

Bei Eingang eines Support-Tickets generiert unsere KI-Assistentin Lena im Hintergrund automatisch einen Antwort-Vorschlag — aber nur als Entwurf für unser Support-Team. Die finale Antwort wird IMMER von einer natürlichen Person geprüft und bewusst freigegeben oder verworfen. Es erfolgt kein automatischer Versand.

Hierbei werden der Ticket-Inhalt (Betreff, Nachricht, bisheriger Verlauf) sowie dein Name an Anthropic, PBC übermittelt (siehe §27 Auftragsverarbeitung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung Kundenbetreuung). Diese Verarbeitung findet nur bei Tickets der Kategorien „Frage“ und „Sonstiges“ statt. Bei „Bug“ und „Feedback“ ist sie deaktiviert.

29. Erinnerungs-Mails bei abgebrochener Bestellung

Wenn du auf unserer Website eine Bestellung gestartet (z.B. KI-Schnellcheck, Vermieter-Abo) aber nicht abgeschlossen hast, senden wir dir 2 bis 48 Stunden später eine einmalige Erinnerungs-E-Mail mit einem freundlichen Hinweis und einem Hilfsangebot — ausschließlich dann, wenn du zuvor ausdrücklich in den Erhalt von Produktinformationen per E-Mail eingewilligt hast (z.B. über die Marketing-Checkbox bei der Registrierung oder einen bestätigten Newsletter-Opt-in). Ohne diese Einwilligung erfolgt kein Versand. Wir nutzen diese Daten ausschließlich für diese Erinnerung — kein Werbenetzwerk, keine Weitergabe an Dritte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 7 Abs. 2 Nr. 2 UWG. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den 1-Klick-Abmeldelink in jeder dieser E-Mails oder formlos an kontakt@mein-nebenkostenrechner.de. Pro Bestellung verschicken wir maximal eine Reminder-Mail; nach 48 Stunden erfolgt kein Versand mehr.

30. Internes E-Mail-Audit-Log

Zu Audit-, Compliance- und Qualitätssicherungszwecken speichern wir alle ausgehenden E-Mails an Kunden in einer internen Datenbank (Empfänger, Betreff, Inhalt, Versanddatum, Status). Diese Tabelle ist ausschließlich für Administratoren zugänglich. Speicherdauer: 24 Monate; danach automatische Löschung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Nachweisbarkeit der Customer-Service-Kommunikation und an einem konsistenten Support-Verlauf).

Bei einer Kontolöschung entfernen wir aus den zugehörigen Einträgen Empfängeradresse, Betreff, Nachrichteninhalt, Fehlertext sowie Konto- und Zahlungsbezug. Nur nicht personenbezogene Versandmetadaten (Kategorie, Status, Zeitpunkt und gegebenenfalls technische Message-ID) bleiben bis zum Ablauf der 24-Monats-Frist erhalten. Die nach der Löschung versandte Bestätigung wird nicht erneut mit Empfänger und Volltext in diesem Audit-Log gespeichert.

31. Werbe-E-Mails nach einem Kauf (§ 7 Abs. 3 UWG)

Wenn du auf unserer Website etwas gekauft und dabei deine E-Mail-Adresse angegeben hast, dürfen wir dich gemäß § 7 Abs. 3 UWG gelegentlich auf eigene ähnliche Produkte hinweisen. Das betrifft Premium-Vorlagen (z. B. Excel-Tabelle, Widerspruchs-Muster, Checkliste), den Kauf einer einzelnen Abrechnung als PDF, den KI-Schnellcheck und unsere Vermieter-Abos. Eine zusätzliche Einwilligung ist dafür nicht erforderlich, weil mit dem Kauf zwischen dir und uns eine entgeltliche Geschäftsbeziehung entstanden ist.

Stichtag: Diese Erweiterung über den Vorlagen-Kauf hinaus gilt seit dem 08.09.2026. Wer vorher etwas anderes als eine Vorlage gekauft hat, wurde bei der Erhebung nicht auf diese Nutzung hingewiesen und erhält deshalb keine solchen E-Mails. Wir wenden den Stichtag technisch an, nicht nur als Absichtserklärung.

Was wir tun, um dich nicht zu überfordern

• Cooldown von 14 Tagen zwischen zwei Marketing-Mails an dieselbe Adresse
• Kein Bombardement: maximal eine Handvoll Mails pro Jahr und Empfänger
• Inhaltlich bewusst auf Mehrwert statt Verkaufsdruck

Dein Widerspruchsrecht (Art. 21 Abs. 3 DSGVO)

Du kannst jederzeit der weiteren Nutzung deiner E-Mail-Adresse für Marketing-Zwecke widersprechen — ohne dass dir daraus Nachteile entstehen. Folgende Wege stehen dir offen:

• 1-Klick-Abmelde-Link in jeder Marketing-E-Mail (Footer und Mail-Header List-Unsubscribe nach RFC 8058 — funktioniert auch direkt aus Gmail/Outlook über den eingeblendeten Abmelde-Button).
• Direkte Abmeldung jederzeit unter /marketing/abmelden (Du benötigst den Token aus der zuletzt erhaltenen Mail).
• Formlose E-Mail an kontakt@mein-nebenkostenrechner.de.

Nach Widerspruch wird deine Adresse in einer separaten Sperrliste markiert (marketing_unsubscribed_at), so dass du aus weiteren Kampagnen automatisch ausgeschlossen bist. Transaktionale E-Mails (Bestellbestätigungen, Konto-Hinweise) bleiben davon unberührt, da sie keine Werbung sind.

Hinweis bei Vorlagen-Download: Auf der Download-Seite weisen wir dich zusätzlich explizit darauf hin, dass nach § 7 Abs. 3 UWG Werbe-Mails an deine Adresse möglich sind und dass du jederzeit widersprechen kannst.

32. Bewertungsplattform Trustpilot

Auf unserer Website verlinken wir an mehreren Stellen (Footer, nach erfolgreicher Berechnung sowie als QR-Code im PDF-Export) auf unser Profil bei der Bewertungsplattform Trustpilot. Anbieter ist die Trustpilot A/S, Pilestræde 58, 5. Stock, 1112 Kopenhagen, Dänemark.

Beim bloßen Aufruf unserer Website werden keine Daten an Trustpilot übertragen — wir binden weder Skripte noch Widgets ein. Erst wenn du aktiv auf einen Trustpilot-Link klickst oder den QR-Code scannst, verlässt dein Browser unsere Seite und du wirst zu Trustpilot weitergeleitet. Dabei übermittelt dein Browser an Trustpilot die übliche Verbindungsinformation (IP-Adresse, User-Agent, ggf. Referrer-URL).

Bewertungseinladungen nach einem Kauf (Automatic Feedback Service): Wenn du ein kostenpflichtiges Produkt erwirbst, übermitteln wir deine im Kauf angegebene E-Mail-Adresse (und, sofern vorhanden, deinen Namen) an Trustpilot, damit Trustpilot dir eine einmalige Einladung zur Abgabe einer Bewertung zusenden kann. Die Übermittlung erfolgt technisch als Blindkopie (BCC) unserer Kaufbestätigungs-E-Mail an eine eindeutige Trustpilot-Adresse. Bei kostenlosen Vorgängen (etwa einer Testphase aus einem früheren Abo) erfolgt keine Übermittlung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kundenfeedback und einer authentischen Reputation). Du kannst der Verwendung deiner E-Mail-Adresse für Bewertungseinladungen jederzeit widersprechen — formlos an kontakt@mein-nebenkostenrechner.de; die Einladung selbst enthält zudem eine Abmeldemöglichkeit. Verantwortlich für den Versand der Einladung ist Trustpilot A/S, Dänemark (EU).

Rechtsgrundlage für die Verlinkung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer authentischen Reputation und Feedback unserer Nutzer). Trustpilot kann personenbezogene Daten auch in Drittländer außerhalb der EU übertragen; dies erfolgt nach Angaben von Trustpilot auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen findest du in der Datenschutzerklärung von Trustpilot: de.legal.trustpilot.com/end-user-privacy-terms.

33. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Es gilt die jeweils aktuelle, auf dieser Seite veröffentlichte Fassung.

Stand: 17.10.2026