Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Marcel Schlüter IT-Services
Mein-Nebenkostenrechner.de
Kollwitzstraße 76
10435 Berlin
Deutschland
E-Mail: [email protected]

1a. Datenschutzbeauftragter

Als Einzelunternehmer sind wir nach § 38 Abs. 1 BDSG nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Die Schwelle nach § 38 Abs. 1 S. 1 BDSG (i.V.m. Art. 37 DSGVO) greift erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen. Beides trifft auf unseren Betrieb derzeit nicht zu. Bei datenschutzrechtlichen Anliegen wende dich bitte direkt an den unter "Verantwortlicher" genannten Ansprechpartner.

2. Überblick über die Datenverarbeitung

Der Schutz deiner persönlichen Daten ist uns ein besonderes Anliegen. Unser Nebenkostenrechner verarbeitet personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Dienste erforderlich ist.

Die Kernberechnungen (Nebenkostenabrechnung, Heizkostenberechnung, Verteilerschlüssel) finden ausschließlich in deinem Browser (clientseitig) statt. Die hierfür eingegebenen Daten zu Mietern, Kosten, Wohnflächen und Abrechnungszeiträumen werden bei Nutzung ohne Benutzerkonto nicht an unseren Server übertragen.

Darüber hinaus verarbeiten wir personenbezogene Daten im Zusammenhang mit:

• Registrierung und Führung von Benutzerkonten
• Zahlungsabwicklung für kostenpflichtige Leistungen
• Bereitstellung der REST-API
• PDF-Erstellung und -Archivierung
• Kontaktanfragen über unser Kontaktformular
• E-Mail-Versand

Details zu den einzelnen Verarbeitungstätigkeiten findest du in den folgenden Abschnitten.

3. Registrierung und Benutzerkonto

Du kannst dir auf unserer Website ein Benutzerkonto erstellen, um zusätzliche Funktionen zu nutzen (z.B. Projekte speichern, Objekte und Mieter verwalten, Abrechnungen erstellen).

Verarbeitete Daten bei der Registrierung:

• E-Mail-Adresse
• Name (optional)
• Passwort (wird ausschließlich als kryptografischer Hash gespeichert; das Klartext-Passwort wird nicht gespeichert)
• Zeitpunkt der Registrierung und der Zustimmung zu den AGB

Im Benutzerkonto gespeicherte Daten:

• Gespeicherte Projekte (Berechnungsdaten als JSON)
• Objekte (Bezeichnung, Adresse, PLZ, Ort, Fläche, Anzahl Einheiten)
• Mieter (Name, Wohnung, Fläche, Personenanzahl, Ein-/Auszug, Vorauszahlung)
• Abrechnungen (Zeitraum, Berechnungsdaten, Ergebnisse)

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — die Verarbeitung ist zur Bereitstellung der von dir angefragten Kontofunktionen erforderlich.

Vermieter-Profildaten: Wenn du ein Nutzerkonto als Vermieter anlegst, speichern wir zusätzlich auf freiwilliger Basis: Firma, vollständige Anschrift, Telefonnummer, Bankverbindung (IBAN, BIC, Bank). Diese Daten werden ausschließlich zur automatischen Befüllung deiner Briefvorlagen (Anschreiben, Widerspruchsbriefe etc.) und Rechnungen verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: für die Dauer deines Nutzerkontos. Löschung: jederzeit über /konto/profil oder Account-Löschung möglich.

Speicherdauer und Kontoinaktivität: Nach dem Ende einer Testphase oder eines Abos wird dein Konto auf den kostenlosen Plan zurückgestuft. Solange du es aktiv nutzt, bleiben Konto und operative Inhalte bestehen. Wenn ein kostenloses Konto 24 aufeinanderfolgende Monate nicht aktiv genutzt wurde, kündigen wir die Löschung an die hinterlegte E-Mail-Adresse 30 Tage und erneut 7 Tage vorher an. Eine Anmeldung oder sonstige aktive Kontonutzung hebt die vorgemerkte Löschung auf. Erfolgt keine Aktivität, löschen wir nach Fristablauf das Konto und seine operativen Inhalte. Bereits individuell dokumentierte Zusagen einer Löschung nach Abo-Ende erfüllen wir weiterhin.

30 Tage nach Ende des Produktzugangs: Endet dein bezahlter Zugang — Abo, Paketguthaben oder ein von uns gewährter Zugang —, bleibt dein Konto weitere 30 Tage vollständig lesbar. In dieser Zeit kannst du deine Daten jederzeit über Mein Konto exportieren und deinen Zugang ohne Datenverlust wieder aktivieren. Beginn und Ende dieser Frist halten wir ausdrücklich fest; sie verkürzt sich nicht nachträglich. In dieser Phase löschen wir nichts. Danach greift eine Löschung nur, wenn du sie ausdrücklich gewünscht hast, oder — bei kostenlosen Konten — die oben beschriebene Inaktivitätsfrist.

Sobald kein laufender Vertrags- oder Zugangszeitraum mehr besteht, kannst du dein Konto selbst in den Kontoeinstellungen löschen. Ein laufendes Abo kannst du zuvor unter /konto/abo zum maßgeblichen Vertragsende beenden. Bei der anschließenden Kontolöschung entfernen wir insbesondere Profil, Projekte, Objekte, Mieter, Abrechnungsinhalte, API-Schlüssel und API-Protokolle. Gesetzlich aufzubewahrende Rechnungen, Gutschriften und die dafür erforderlichen Buchungsdaten sind davon ausgenommen und werden getrennt sowie zugriffsbeschränkt aufbewahrt; Einzelheiten stehen in Abschnitt 5.

4. Cookies und Authentifizierung

Wenn du dich in dein Benutzerkonto anmeldest, wird ein technisch notwendiger Cookie gesetzt, der deine Anmeldung aufrechterhält. Dieser Cookie:

• enthält ein signiertes JSON Web Token (JWT) zur Identifikation deiner Sitzung
• ist als HttpOnly markiert und kann nicht von JavaScript ausgelesen werden
• hat eine Gültigkeitsdauer von 7 Tagen
• wird bei der Abmeldung gelöscht

Ohne Anmeldung setzen wir selbst grundsätzlich keine technisch nicht notwendigen Cookies. Bei nachfolgend beschriebenen Funktionen können jedoch funktionale First-Party-Cookies (Empfehlungs-Links), Cookies des Zahlungsdienstleisters im Stripe-Checkout oder — ausschließlich auf freigeschalteten Ratgeber- und Mietspiegel-Seiten — Technologien von Google AdSense eingesetzt werden. Werbe-Cookies, vergleichbare Kennungen und der Zugriff auf Informationen im Endgerät erfolgen dabei nur entsprechend deiner Auswahl in der Google- Einwilligungsoberfläche. Details findest du in den jeweiligen Abschnitten.

Ausnahme Empfehlungs-Links: Wenn du einen persönlichen Empfehlungs-Link (/r/…) eines Bestandskunden anklickst, setzen wir einen funktionalen First-Party-Cookie nk_ref (HttpOnly, 7 Tage). Er dient ausschließlich dazu, dir beim Abschluss den Willkommensrabatt zuzuordnen, den du mit dem Klick auf den Link angefordert hast — vergleichbar mit einem Gutschein-Code. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (für die von dir gewünschte Funktion erforderlich) i. V. m. Art. 6 Abs. 1 lit. b DSGVO. Es findet darüber kein seitenübergreifendes Tracking statt.

Die Verwendung des Authentifizierungs-Cookies erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendiger Cookie).

4a. Reichweitenmessung mit Google Analytics (nur mit Einwilligung)

Zur Auswertung der Nutzung dieser Website setzen wir Google Analytics 4 ein, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Google Analytics wird erst geladen, nachdem du in der Einwilligungsoberfläche die Kategorie „Statistik" aktiviert hast. Ohne diese Einwilligung wird das Skript nicht ausgeliefert, es werden keine Cookies gesetzt und es findet keine Verbindung zu Google statt.

Bei erteilter Einwilligung werden Cookies (_ga, _ga_*) gesetzt und folgende Daten verarbeitet: aufgerufene Seiten, Verweildauer, Referrer, ungefährer Standort auf Basis der gekürzten IP-Adresse, Geräte- und Browsertyp. Die IP-Adresse wird gekürzt übertragen (anonymize_ip), eine Zusammenführung mit anderen Google-Daten findet durch uns nicht statt.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG. Eine Übermittlung in die USA kann nicht ausgeschlossen werden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, das die Europäische Kommission mit Angemessenheitsbeschluss vom 10. Juli 2023 anerkannt hat.

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen am Seitenende widerrufen. Beim Widerruf werden weitere Messungen sofort unterbunden und die gesetzten _ga-Cookies gelöscht. Die Speicherdauer der bei Google verarbeiteten Daten beträgt maximal 14 Monate.

Davon unberührt ist unsere eigene, serverseitige Reichweitenmessung: Sie kommt ohne Übermittlung an Dritte aus und ist in den vorstehenden Abschnitten beschrieben.

5. Zahlungsabwicklung (Stripe)

Für die Abwicklung kostenpflichtiger Leistungen (PDF-Export, Abo-Zahlungen) nutzen wir den Zahlungsdienstleister Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe Payments Europe Ltd. ist der für EU-Kunden verantwortliche Stripe-Vertragspartner.

Wenn du eine Zahlung vornimmst, werden die eingegebenen Zahlungsdaten (z.B. Kreditkartennummer) direkt an Stripe übermittelt und von Stripe verarbeitet. Wir selbst speichern keine Kreditkartendaten.

Bei uns gespeicherte Zahlungsdaten:

• Stripe-Session-ID und Payment-Intent-ID (zur Zuordnung der Zahlung)
• Zahlungsbetrag, Währung und Produkt
• E-Mail-Adresse (aus dem Stripe-Checkout)
• Zahlungsstatus
• Bei Abonnements: Abo-ID, Zeitraum und Kündigungsstatus

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Verarbeitung findet primär innerhalb der EU bei Stripe Payments Europe Ltd. (Irland) statt. Eine Übermittlung an Subverarbeiter in den USA (insbesondere Stripe, Inc.) ist möglich und wird durch das EU-U.S. Data Privacy Framework (DPF) sowie zusätzlich durch Standardvertragsklauseln gemäß Art. 46 DSGVO abgesichert. Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

Speicherdauer: Operative Zahlungs- und Abodaten löschen wir, sobald sie für Vertragsabwicklung, Rückabwicklung oder Rechtsverteidigung nicht mehr benötigt werden. Rechnungen, Gutschriften und die erforderlichen Buchungsdaten bewahren wir aufgrund von Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO, § 257 HGB und § 14b UStG mindestens acht Jahre ab dem Ende des Kalenderjahres ihrer Ausstellung auf. Sie liegen parallel in zugriffsbeschränkten Archiven der Anwendung und von LedgerOS. Die Kontolöschung verändert diese Buchhaltungsarchive nicht; ein automatisierter Löschlauf für Buchungsbelege ist derzeit nicht aktiviert. Nach Ablauf der gesetzlichen Frist ist regelmäßig zu prüfen, ob eine weitere zweckgebundene Aufbewahrung erforderlich ist. Ein dokumentierter Legal Hold verlängert die Frist nur für die betroffenen Daten und nur, soweit und solange dies für konkrete Rechtsansprüche oder behördliche Verfahren erforderlich ist.

6. REST-API

Registrierte Nutzer können API-Schlüssel erstellen, um die Funktionen des Nebenkostenrechners programmatisch über eine REST-API zu nutzen.

Verarbeitete Daten:

• API-Schlüssel (kryptografisch generiert), Name und Berechtigungen
• API-Nutzungsprotokolle: Endpunkt, HTTP-Methode, Statuscode, IP-Adresse und Zeitpunkt des Zugriffs
• Rate-Limit-Informationen (Anzahl der Anfragen pro Zeitfenster)

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die API-Bereitstellung sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für die IP-Protokollierung zur Missbrauchserkennung und Rate-Limiting.

Speicherdauer: API-Schlüssel und Protokolle werden gespeichert, solange dein Benutzerkonto besteht, und bei Kontolöschung vollständig entfernt.

7. PDF-Export und Archivierung

Nach dem Kauf eines PDF-Exports wird die erstellte Nebenkostenabrechnung als PDF-Datei auf unserem Server temporär gespeichert und kann dir per E-Mail zugesendet werden.

Verarbeitete Daten: E-Mail-Adresse (aus dem Stripe-Checkout), PDF-Dokument (enthält die von dir eingegebenen Abrechnungsdaten), Dateiname und Dateigröße.

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Zustellung des gekauften Produkts).

Speicherdauer: Archivierte PDFs werden nach spätestens 30 Tagen automatisch gelöscht.

8. Kontaktformular

Über unser Kontaktformular kannst du uns Anfragen, Feedback oder Fehlermeldungen senden.

Verarbeitete Daten:

• Name
• E-Mail-Adresse
• Betreff und Kategorie der Anfrage
• Nachrichtentext

Deine Anfrage wird als Ticket gespeichert, damit wir sie bearbeiten und dir antworten können. Die Antwort erfolgt per E-Mail an die von dir angegebene Adresse.

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Kundenanfragen).

Speicherdauer: Kontaktanfragen werden nach Abschluss der Bearbeitung und Ablauf etwaiger gesetzlicher Aufbewahrungsfristen gelöscht.

Spam-Schutz: Zum Schutz vor automatisierten Anfragen verwenden wir ein Honeypot-Verfahren (verstecktes Formularfeld) sowie eine Begrenzung der Anfragen pro IP-Adresse. IP-Adressen werden dabei nur temporär im Arbeitsspeicher gehalten und nicht dauerhaft gespeichert.

9. E-Mail-Versand

Wir versenden E-Mails in folgenden Fällen:

• Zustellung des gekauften PDF-Exports nach einer Zahlung
• Antwort auf deine Kontaktanfrage (Ticket)

Der Versand erfolgt über unseren eigenen Mailserver (mail.mschlueter.net), der in Deutschland bei Hetzner gehostet wird. Es werden keine Daten an externe E-Mail-Dienstleister übermittelt.

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

10. Web-Analytics (Umami, self-hosted)

Wir nutzen die Open-Source-Analyse-Software Umami auf eigenem Server (analytics.mschlueter.net, Hetzner DE). Es werden ausschließlich anonymisierte Daten verarbeitet (gekürzte IP-Adressen, keine Cookies, kein Cross-Site-Tracking). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenanalyse). Keine Übermittlung an Dritte. Speicherdauer: 14 Monate aggregiert.

10a. Internes Conversion- und Funnel-Tracking

Zur Optimierung unseres Angebots erfassen wir intern: aufgerufene Seiten, Verweildauer, anonymisierte IP (SHA256-Hash der auf 0 gekürzten letzten Oktett-Stelle), Browser-Klasse, Geräte-Klasse, UTM-Quellparameter, sowie freiwillige Aktionen (Rechner-Nutzung, Klicks auf CTAs, Download-Versuche, Checkout-Schritte).

Pseudonyme Funnel-Korrelation: Um zu verstehen, wie viele Besucher vom Rechner-Start bis zum Checkout gelangen, vergeben wir je Besucher eine pseudonyme, täglich rotierende Sitzungs-ID. Diese wird serverseitig aus dem IP-Hash, dem Browser-Klassifikator und einem geheimen Salt gebildet (SHA256, irreversibel). Sie wird ausschließlich zur tagesweisen Korrelation der oben genannten Aktionen verwendet und ist über den Tag hinaus weder reidentifizierbar noch zusammenführbar. Es werden keine Cookies und kein LocalStorage gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweiten- und Funnel-Analyse, Pseudonymisierung nach Art. 4 Nr. 5 DSGVO) sowie § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich für die anonyme Reichweitenmessung, kein Setzen von Endgeräte-Speicher). Speicherdauer: 90 Tage. Du kannst der Verarbeitung jederzeit per E-Mail an [email protected] widersprechen (Art. 21 DSGVO).

10b. Google AdSense und Einwilligungsmanagement

Auf einzelnen, ausdrücklich freigeschalteten Seiten in den Bereichen Ratgeber und Mietspiegel können wir Werbung über Google AdSense ausspielen. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Ist AdSense in unserem Administrationsbereich ausgeschaltet oder ist eine Seite nicht freigeschaltet, werden dort keine Anzeigenblöcke oder Anzeigenauktionen gestartet. Davon ausgenommen ist nur ein von dir ausdrücklich aufgerufener CMP-Test bzw. die Seite „Google-Anzeigeneinstellungen“: Um den Einwilligungsdialog bereitzustellen, kann dort der Google-Publisher-Loader auch bei pausierter Anzeigenauslieferung geladen werden. Unser Code fordert in diesem getrennten Einwilligungspfad keine Anzeige an.

Je nach deiner Einwilligungsentscheidung und den von uns gewählten Google- Einstellungen können personalisierte, nicht personalisierte oder eingeschränkte Anzeigen erscheinen. Dabei können insbesondere IP-Adresse, aufgerufene URL, Referrer, Datum und Uhrzeit, Browser- und Geräteinformationen, ungefähre Region, Einwilligungsstatus sowie Anzeigenaufrufe und Interaktionen verarbeitet werden. Google und die in der Einwilligungsoberfläche genannten Werbepartner können hierzu Cookies oder vergleichbare Technologien einsetzen. Wir bauen keine eigenen Klick-Listener um Anzeigen und erhalten von Google ausschließlich aggregierte Leistungs- und Erlösberichte.

Für Besucher aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich und der Schweiz verwenden wir Googles zertifizierte Consent-Management-Plattform nach dem IAB Europe Transparency & Consent Framework (TCF 2.3). Zum technischen Abruf der Einwilligungsoberfläche und zur Übermittlung deiner Auswahl kann bereits eine Verbindung zu Google entstehen. Der Zugriff auf nicht notwendige Informationen in deinem Endgerät und die darauf beruhende Verarbeitung erfolgen nur mit deiner Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Eine erteilte Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft über „Google-Anzeigeneinstellungen“ im Seitenfuß widerrufen oder angepasst werden.

Eine Übermittlung an Google LLC und weitere Empfänger in Drittländern, insbesondere in den USA, ist möglich. Google stützt solche Übermittlungen nach eigenen Angaben unter anderem auf den EU-U.S. Data Privacy Framework und, soweit erforderlich, auf EU-Standardvertragsklauseln. Auf Speicherdauer und weitere Verarbeitung bei Google haben wir keinen vollständigen Einfluss. Weitere Informationen findest du in den Datenschutzhinweisen von Google, in den Informationen zu Werbetechnologien und unter Google Business Data Responsibility.

11. Server-Logfiles

Beim Aufruf unserer Website erhebt der Hosting-Provider automatisch Informationen in sogenannten Server-Logfiles, die dein Browser automatisch übermittelt. Dies sind:

• Browsertyp und -version
• Verwendetes Betriebssystem
• Referrer-URL (zuvor besuchte Seite)
• IP-Adresse des zugreifenden Rechners
• Uhrzeit der Serveranfrage

Diese Daten sind nicht bestimmten Personen zuordenbar. Eine Zusammenführung mit anderen Datenquellen wird nicht vorgenommen. Die Daten werden nach spätestens 7 Tagen gelöscht. Grundlage der Datenverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website).

12. Hosting

Diese Website wird bei Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) gehostet. Der Server-Standort ist Deutschland. Hetzner verarbeitet die oben genannten Daten in unserem Auftrag. Grundlage ist ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Weitere Informationen findest du in der Datenschutzerklärung von Hetzner.

13. Content Delivery Network (Cloudflare)

Wir nutzen den Dienst Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) als Content Delivery Network (CDN) und zum Schutz vor DDoS-Angriffen. Dabei wird der Datenverkehr zwischen deinem Browser und unserem Server über die Infrastruktur von Cloudflare geleitet.

Cloudflare kann dabei folgende Daten verarbeiten: IP-Adresse, Sicherheits- und Zugangs-Logdaten, Informationen zu deinem Browser und Betriebssystem. Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einem sicheren und performanten Betrieb der Website gemäß Art. 6 Abs. 1 lit. f DSGVO.

Cloudflare ist unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert, was ein angemessenes Datenschutzniveau für die Datenübermittlung in die USA gewährleistet. Zusätzlich gelten die Standardvertragsklauseln (SCCs) der EU-Kommission. Weitere Informationen findest du in der Datenschutzerklärung von Cloudflare.

14. SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du an dem Schloss-Symbol in der Adresszeile deines Browsers sowie daran, dass die Adresszeile mit "https://" beginnt. Dadurch können die Daten, die du an uns übermittelst, nicht von Dritten mitgelesen werden.

15. Übersicht der Speicherdauern

16. Deine Rechte nach der DSGVO

Dir stehen folgende Rechte gegenüber dem Verantwortlichen zu:

• Auskunftsrecht (Art. 15 DSGVO): Du kannst Auskunft über deine verarbeiteten personenbezogenen Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Du kannst die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung deiner Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Du kannst verlangen, dass dir deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format übermittelt werden. Als registrierter Nutzer kannst du deine Daten jederzeit selbst unter Mein Konto → Profil → „Meine Daten herunterladen“ als JSON-Datei exportieren (maximal 5 Exporte pro Tag). Der Export enthält dein Profil, Objekte, Mieter, Abrechnungen, Verbrauchsdaten, Tickets, Rechnungen, Zahlungen und weitere mit deinem Konto verknüpfte Datensätze.
• Widerspruchsrecht (Art. 21 DSGVO): Du kannst der Verarbeitung deiner Daten widersprechen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO beruht.
• Art. 22 DSGVO — Du hast das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die dir gegenüber rechtliche Wirkung entfaltet. Unser KI-Check liefert ausdrücklich KEINE rechtsverbindliche Entscheidung, sondern lediglich eine technische Auswertung als Hilfestellung. Eine endgültige rechtliche Bewertung sollte stets von einem Fachanwalt oder Mieterverein erfolgen.

Kontolöschung: Als registrierter Nutzer kannst du dein Benutzerkonto jederzeit selbstständig unter Mein Konto löschen. Dabei werden die operativen Konto- und Inhaltsdaten (insbesondere Profil, Projekte, Objekte, Mieter, Abrechnungsinhalte, API-Schlüssel und API-Protokolle) gelöscht (Art. 17 DSGVO). Gesetzlich aufzubewahrende Rechnungen, Gutschriften und erforderliche Buchungsdaten bleiben getrennt und zugriffsbeschränkt mindestens bis zum Ende ihrer achtjährigen gesetzlichen Aufbewahrungsfrist erhalten. Die Kontolöschung verändert auch das LedgerOS-Buchhaltungsarchiv nicht. Für Buchungsbelege ist derzeit kein automatisierter Löschlauf aktiviert; nach Fristablauf erfolgt eine gesonderte Erforderlichkeitsprüfung.

Zur Ausübung deiner Rechte wende dich bitte per E-Mail an: [email protected]

17. Beschwerderecht bei einer Aufsichtsbehörde

Wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt, hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist in der Regel die Aufsichtsbehörde deines Bundeslandes.

Die für uns zuständige Aufsichtsbehörde ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, Telefon: +49 30 13889-0, E-Mail: [email protected], Web: https://www.datenschutz-berlin.de.

18. Abonnements und Testphase

Bei Abschluss eines Abonnements (Vermieter Basis oder Pro) speichern wir: Abo-Plan, Status (aktiv/trialing/gekündigt), Abrechnungszeitraum, Stripe-Subscription-ID und Kündigungsstatus. Die 30-tägige kostenlose Testphase wird über Stripe verwaltet. Ohne vor dem Testende hinterlegte Zahlungsart wird der Zugang danach pausiert und es entstehen keine Kosten. Mit einer vor dem Testende hinterlegten Zahlungsart beginnt die kostenpflichtige Vertragsphase automatisch am Testende; bei ausdrücklicher vorzeitiger Aktivierung sofort. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

19. Newsletter und Lead-Erfassung

Beim Kauf einer Premium-Vorlage (je 2,00 €) erfassen wir deine E-Mail-Adresse zum Zweck der Zustellung des Download-Links und der Bestätigungs-Mail. Optional kannst du beim Kauf der Zusendung von Informationen über Neuigkeiten und neue Vorlagen zustimmen (Newsletter) — diese Zustimmung ist nicht Bedingung für den Kauf. Die Zustimmung erfolgt über eine separate Checkbox und wird per Double-Opt-In (Bestätigungsklick in der E-Mail) rechtsverbindlich verifiziert. Du kannst die Einwilligung jederzeit widerrufen — per E-Mail an [email protected] oder über den Abmeldelink in jeder E-Mail. Rechtsgrundlage für die Vertragsabwicklung (Vorlage-Kauf): Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Rechtsgrundlage für den Newsletter: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

20. Audit-Logging

Zur Gewährleistung der Sicherheit und Nachweisbarkeit protokollieren wir sicherheitsrelevante Aktionen in einem Audit-Log. Gespeicherte Daten: Art der Aktion (z.B. Kündigung, dokumentierte Alt-Löschzusage, Kontolöschung), Zeitpunkt, erforderlichenfalls IP-Adresse und User-ID. Die Audit-Einträge werden regelmäßig geprüft und grundsätzlich nach drei Jahren gelöscht; gesetzlich aufbewahrungspflichtige Geschäfts- oder Buchungsbelege unterliegen stattdessen ihrer jeweiligen Frist. Ein dokumentierter Legal Hold kann die Löschung der konkret betroffenen Einträge vorübergehend sperren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Nachweisbarkeit) beziehungsweise Art. 6 Abs. 1 lit. c DSGVO bei gesetzlichen Nachweispflichten.

21. Passwort-Zurücksetzen

Bei Anforderung eines Passwort-Reset-Links senden wir eine E-Mail mit einem einmalig gültigen Link (1 Stunde Gültigkeit). Gespeicherte Daten: Token, User-ID, Ablaufdatum. Nach Nutzung oder Ablauf werden die Token-Daten als verwendet markiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

22. Datensicherung (Backups)

Zur Datensicherheit erstellen wir regelmäßige Backups der Datenbank und hochgeladener Dateien. Die Backups werden auf einem separaten Speichermedium am gleichen Serverstandort (Hetzner, Deutschland) gespeichert. Echtzeit-Backups werden über Litestream erstellt und bis zu 7 Tage aufbewahrt. Stündliche Snapshots werden 48 Stunden, tägliche Backups 30 Tage aufbewahrt. Backups dienen ausschließlich der Wiederherstellung und nicht als Produktarchiv. Löschungen werden in einem minimalen Löschjournal vermerkt und nach einer Wiederherstellung erneut angewandt, damit bereits gelöschte Kontodaten nicht wieder produktiv genutzt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Datensicherheit).

23. PDF-Archivierung

Von Kunden erstellte PDF-Dokumente (Abrechnungen, Übergabeprotokolle) werden für 30 Tage auf einem separaten Speicher archiviert und danach automatisch gelöscht. Die Archivierung erfolgt nach Kunden-E-Mail organisiert. Rechnungen und Rechnungskorrekturen werden mindestens acht Jahre ab dem Ende ihres Ausstellungsjahres (§ 147 AO, § 257 HGB, § 14b UStG) getrennt in der Anwendung und im parallelen LedgerOS-Buchhaltungsarchiv aufbewahrt; die Kontolöschung verändert diese Archive nicht. Ein automatisierter Löschlauf für Buchungsbelege ist derzeit nicht aktiviert. Nach Fristablauf wird die weitere Erforderlichkeit gesondert geprüft; ein dokumentierter Legal Hold kann die Aussonderung konkret betroffener Belege zusätzlich sperren. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für Rechnungen, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für sonstige PDFs.

24. KI-Schnellcheck — Datenverarbeitung bei der KI-gestützten Prüfung

Bei der Nutzung des KI-Schnellchecks für Nebenkostenabrechnungen verarbeiten wir personenbezogene Daten gemäß den gesetzlichen Bestimmungen der Datenschutz-Grundverordnung (DSGVO). Mieter laden ihre Nebenkostenabrechnungen (PDF, JPG, PNG) über eine verschlüsselte Upload-Funktion hoch. Die Dokumente werden auf einem in Deutschland gehosteten Server (Hetzner Rechenzentrum) verarbeitet, um den Text mittels OCR-Technologie zu extrahieren. Der extrahierte Text wird anschließend an die Anthropic LLC (USA) übermittelt, wo die KI-Analyse (Claude) auf rechtliche Fehler und Unstimmigkeiten prüft. Die hochgeladenen Originaldokumente werden nach Abschluss der Analyse für einen begrenzten Zeitraum (kostenlose Vorschau: 14 Tage, bezahlter Bericht: 90 Tage) ausschließlich zu Support-Zwecken auf unserem Server in Deutschland aufbewahrt — etwa um bei technischen Problemen die Analyse ohne erneuten Upload wiederholen zu können — und danach automatisiert und unwiderruflich gelöscht.

Innerhalb der genannten Aufbewahrungsfristen können hochgeladene Dokumente in geringem Umfang stichprobenartig intern zur Qualitätssicherung und Verbesserung unserer KI-gestützten Auslesung verwendet werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Genauigkeit und Zuverlässigkeit der Auslesung). Diese Verarbeitung bleibt auf die in Ziffer 24.3 genannte Auftragsverarbeitung beschränkt und führt zu keiner zusätzlichen Offenlegung gegenüber weiteren Empfängern.

24.1 Kategorien verarbeiteter Daten

Im Rahmen des KI-Schnellchecks werden folgende Datenkategorien verarbeitet:

• Hochgeladene Dokumente: Nebenkostenabrechnungen als PDF, JPG oder PNG. Diese können personenbezogene Daten wie Namen, Adressen und Abrechnungsbeträge enthalten.
• OCR-Text: Der aus den Dokumenten extrahierte Textinhalt.
• Analyseergebnisse: Die Ergebnisse der KI-Analyse, einschließlich identifizierter Fehler, Rechtsgrundlagen und geschätzter Erstattungsbeträge.
• IP-Adresse: Die IP-Adresse des Nutzers wird in gehashter Form temporär gespeichert, um die Rate-Limitierung sicherzustellen. Ein Rückschluss auf die Person ist nicht möglich.

24.2 Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Grundlagen:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Vor dem Upload erteilt der Nutzer durch Aktivierung einer Checkbox seine ausdrückliche Einwilligung in die Verarbeitung und Übermittlung der Daten an Dritte. Diese Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist erforderlich, um den KI-Schnellcheck als vertraglich vereinbarte Leistung durchzuführen.

24.3 Übermittlung an Dritte — Drittlandtransfer

Der extrahierte OCR-Text wird zur Durchführung der KI-Analyse an die Anthropic LLC (548 Market Street, San Francisco, CA 94104, USA) übermittelt. Diese Übermittlung in ein Drittland erfolgt auf Grundlage von Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO. Anthropic LLC ist vertraglich verpflichtet, die übermittelten Daten ausschließlich zur Durchführung der beauftragten Analyse zu verwenden und gemäß den Anforderungen der DSGVO zu schützen. Eine Speicherung der Daten durch Anthropic über die Verarbeitung hinaus findet nicht statt.

24.4 Hinweise zu Risiken

Trotz umfassender technischer Schutzmaßnahmen weisen wir darauf hin, dass die Übermittlung von Daten in die USA mit einem Restrisiko hinsichtlich des dortigen Datenschutzniveaus verbunden ist. Hochgeladene Dokumente können personenbezogene Daten (Namen, Adressen, Mietvertragsdetails) enthalten, die im Rahmen der OCR-Extraktion verarbeitet werden. Die Nutzung KI-gestützter Analyse kann zudem zu unvollständigen oder fehlerhaften Ergebnissen führen. Der KI-Schnellcheck stellt ausdrücklich keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar.

24.5 Nachbesprechung des Berichts mit Lena (Kundenkonto)

Nach dem Kauf eines KI-Schnellchecks kannst du den erstellten Bericht in deinem Kundenkonto (Bereich „Nachrichten") mit unserer KI-Assistentin Lena besprechen. Damit Lena deine Fragen beantworten kann, werden bei jeder von dir gesendeten Frage der erstellte Prüfbericht sowie der aus deinem Dokument extrahierte Text (OCR) zusammen mit deiner Frage an die Anthropic LLC (USA) übermittelt und dort für die Antwort verarbeitet (Drittlandtransfer auf Grundlage der Standardvertragsklauseln, wie in Abschnitt 24.3 beschrieben). Rechtsgrundlage der Verarbeitung ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Zuordnung zu deinem Konto erfolgt durch deine vorherige Registrierung. Der Nachrichtenverlauf wird in unserer Datenbank gespeichert, damit du ihn später erneut aufrufen kannst. Der Chatverlauf folgt einer eigenen Frist und wird spätestens 180 Tage nach seiner letzten Aktivität, bei Löschung des Anliegens durch dich oder bei Löschung deines Kontos entfernt. Die Nachbesprechung ist eine allgemeine, KI-gestützte Erläuterung und stellt keine Rechtsberatung im Sinne des RDG dar.

24.6 Löschfristen

Wir halten uns an den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Konkret gelten folgende, automatisiert durchgesetzte Aufbewahrungsfristen — tägliche automatische Prüfläufe entfernen bzw. pseudonymisieren Dateien und Datensätze nach Ablauf der jeweiligen Frist:

Anonyme Lead-Daten (z. B. abgebrochene Vorschauen ohne E-Mail-Adresse) werden spätestens nach 90 Tagen gelöscht. Nach 180 Tagen entfernen wir bei bezahlten Berichten Dateiname, OCR-Text und Analyseinhalt. Nur der davon getrennte minimale Rechnungsbezug wird grundsätzlich acht Jahre ab Ende des Ausstellungsjahres aufbewahrt; ein dokumentierter Legal Hold kann die Löschung der konkret betroffenen Daten vorübergehend sperren.

24.6 Sicherheitsmaßnahmen

• Transportverschlüsselung: Sämtliche Datenübertragungen erfolgen ausschließlich über HTTPS (TLS 1.2+).
• OCR-Verarbeitung in Deutschland: Die Texterkennung erfolgt ausschließlich auf Servern im Hetzner Rechenzentrum in Deutschland.
• Befristete Dokumentenspeicherung mit Zugriffsschutz: Hochgeladene Originaldateien werden nach der Analyse ausschließlich zu Support-Zwecken in einem zugriffsgeschützten Bereich aufbewahrt (kostenlose Vorschau 14 Tage, bezahlter Bericht 90 Tage) und danach automatisiert gelöscht. Jeder Zugriff durch unsere Mitarbeiter wird protokolliert.
• IP-Hashing: IP-Adressen werden ausschließlich als kryptographischer Hash gespeichert (SHA-256). Ein Rückschluss auf die ursprüngliche IP-Adresse ist technisch nicht möglich.

24.7 Betroffenenrechte

Im Zusammenhang mit der Verarbeitung deiner Daten im KI-Schnellcheck stehen dir folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Du kannst jederzeit Auskunft über die zu deiner Person gespeicherten Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Du kannst die unverzügliche Löschung deiner Daten verlangen.
• Widerspruchsrecht (Art. 21 DSGVO): Du kannst der Verarbeitung deiner Daten jederzeit widersprechen.
• Widerruf der Einwilligung: Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.
• Beschwerderecht: Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. bei der für uns zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit.

Für datenschutzrechtliche Anfragen zum KI-Schnellcheck wende dich bitte an: [email protected]

24.8 Datenverarbeitung von Dritten (Art. 14 DSGVO)

Beim Upload von Nebenkostenabrechnungen werden gegebenenfalls auch personenbezogene Daten des Vermieters (Name, Adresse, Bankverbindung, Hausverwaltungs-Kontakte) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer Überprüfung der Abrechnung durch den Vertragspartner). Es erfolgt keine eigenständige Kontaktaufnahme mit diesen Dritten. Die Daten werden ausschließlich zur Analyse durch die KI verarbeitet und nicht an weitere Empfänger übermittelt. Sie unterliegen denselben Löschfristen wie das übrige Dokument (siehe Tabelle in Ziffer 24.5: Originaldokument 14 bzw. 90 Tage, extrahierter Text 30 Tage bzw. Pseudonymisierung nach 180 Tagen).

Du als Nutzer stellst sicher, dass du berechtigt bist, die Abrechnung hochzuladen (als Mieter bezüglich deiner eigenen Wohnung bzw. als bevollmächtigter Dritter). Wenn du uns Abrechnungen fremder Mietverhältnisse zur Verfügung stellst, bist du für die Rechtsgrundlage der Datenerhebung verantwortlich.

24a. NK 2.0 Verwaltungs-Features (Pro-Abo)

Im Rahmen der Pro-Abo-Verwaltung speichern wir:

• Energieausweise: Aussteller, Ausstelldatum, Gültigkeit, Endenergie-/Primärenergiewerte, Effizienzklasse
• Verbrauchsdaten: Kategorien (Heizung, Wasser, Strom, Müll), Jahr/Monat, Verbrauch, Kosten, Zählerstände
• Mietpreisbremse-Dokumente: Auskunftsschreiben, Stichtage, Ergebnisse

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: für die Dauer deines Nutzerkontos, Löschung jederzeit über das jeweilige Modul. Keine Übermittlung an Dritte.

24b. KI-Belegauslesung im Kundenkonto (Vermieter)

Als registrierter Nutzer kannst du in deinem Kundenkonto Belege zu deiner Nebenkostenabrechnung (z. B. Grundsteuerbescheid, Versorgerrechnungen, Versicherungsrechnungen, Hausgeldabrechnungen) als PDF hochladen. Eine KI-gestützte Auslesung (Claude, Anthropic LLC) schlägt daraus Beträge und Kostenarten vor. Die Auslesung ist ausdrücklich als KI-Funktion gekennzeichnet und liefert ausschließlich Vorschläge: Jede ausgelesene Position musst du selbst prüfen und bestätigen, bevor sie in deine Abrechnung übernommen wird. Die Berechnung der Abrechnung selbst erfolgt vollständig regelbasiert und ohne KI. Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt.

24b.1 Kategorien verarbeiteter Daten

• Hochgeladene Belege (PDF): Diese können personenbezogene Daten enthalten, etwa deinen Namen, deine Adresse, Objektadressen sowie Angaben von Dritten (z. B. Versorger, Handwerksbetriebe, Hausverwaltungen — Kontaktdaten, Bankverbindungen, Rechnungsbeträge).
• Auslesungsergebnisse: Die von der KI vorgeschlagenen sowie die von dir bestätigten Positionen (Bezeichnung, Betrag, Kostenart, Zeitraum).
• Technische Metadaten: Dateiname, Dateigröße, Prüfsumme (SHA-256), Zeitpunkt des Uploads sowie Umfangs- und Kostenstatistik der KI-Verarbeitung zur Missbrauchs- und Kontingentkontrolle.

24b.2 Rechtsgrundlagen und Drittlandtransfer

Die Verarbeitung erfolgt auf Grundlage deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du vor dem Upload per Checkbox erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst, sowie zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Zur Auslesung wird das hochgeladene PDF an die Anthropic LLC (548 Market Street, San Francisco, CA 94104, USA) übermittelt. Für diesen Drittlandtransfer gelten die Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO; die Erläuterungen und Risikohinweise aus Ziffer 24.3 und 24.4 gelten entsprechend. Eine Speicherung durch Anthropic über die Verarbeitung hinaus findet nicht statt. Soweit deine Belege personenbezogene Daten Dritter enthalten, beruht deren Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erstellung einer korrekten Abrechnung); eine Kontaktaufnahme mit diesen Dritten oder eine Übermittlung an weitere Empfänger erfolgt nicht.

24b.3 Speicherdauer und Löschung

Hochgeladene Belege, Auslesungsergebnisse und bestätigte Positionen werden in deinem Kundenkonto gespeichert, damit du sie für deine Abrechnungen verwenden und erneut aufrufen kannst. Du kannst jeden Beleg jederzeit selbst im Konto löschen; die zugehörige Datei wird dabei ebenfalls entfernt. Mit der Löschung deines Kontos werden alle Belege samt Dateien und Auslesungsergebnissen gelöscht. Der Qualitätssicherungs-Vorbehalt aus Ziffer 24 (stichprobenartige interne Prüfung der Auslesungsqualität, Art. 6 Abs. 1 lit. f DSGVO) gilt für gespeicherte Belege entsprechend. Im Übrigen stehen dir die in Ziffer 24 beschriebenen Betroffenenrechte (Auskunft, Löschung, Widerspruch, Widerruf, Beschwerde) auch für die Belegauslesung zu.

25. Feedback-System (Service-Bewertungen)

Wir versenden gelegentlich Feedback-Anfragen an unsere Kunden, um den Service zu verbessern. Diese E-Mails enthalten eine 5-stufige Bewertungsskala (Smileys) sowie ein optionales Notizfeld. Mit einem Klick gelangst du auf eine Landing-Page, auf der du deine Bewertung bestätigen kannst.

Erhobene Daten: Bewertung (1–5), optionale Notiz, Public-Consent (Checkbox), Kontakt-Wunsch bei niedriger Bewertung, gehashte IP zur Missbrauchs-Erkennung, User-Agent.

Anonymisierte Veröffentlichung: Wenn du das Häkchen »Mein Feedback darf anonymisiert auf der Website veröffentlicht werden« setzt, können wir nur deinen Vornamen (z. B. »Markus«), deinen Plan und deine Notiz auf der Website (z. B. /preise) anzeigen. Niemals werden E-Mail-Adresse, Nachname oder vollständige Daten veröffentlicht. Du kannst deine Zustimmung jederzeit per E-Mail an [email protected] widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Service-Verbesserung). Bei Public-Consent zusätzlich Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Abmeldung: Jede Feedback-E-Mail enthält einen 1-Klick-Abmelde-Link. Nach Abmeldung erhältst du keine weiteren Feedback-Anfragen mehr. Service-relevante E-Mails (Rechnungen, Sicherheits-Hinweise) sind davon nicht betroffen.

Speicherdauer: bis zur Konto-Löschung oder bis zum Widerruf der Einwilligung. Bei Konto-Löschung werden alle Feedback-Antworten unwiderruflich gelöscht.

27. Lena Chat-Assistentin (KI-Chatbot)

Auf jeder Seite unserer Website findest du unten rechts eine Chat-Sprechblase mit unserer KI-Assistentin „Lena“. Lena hilft kostenlos und ohne Anmeldung bei Fragen zur Nebenkostenabrechnung, zum Mietrecht, zur Bedienung des Rechners und zu unseren Produkten.

Verarbeitete Daten

• Deine Chat-Eingaben (von dir frei formulierter Text)
• Optional: Bilder, die du freiwillig per Büroklammer-Button hochlädst (z.B. Fotos einer Nebenkostenabrechnung). Maximal 5 MB pro Bild, nur JPG/PNG/GIF/WebP.
• Antworten der KI
• Eine Sitzungs-ID zur Zuordnung der Konversation
• Dein Vorname und deine E-Mail-Adresse (zu Beginn des Chats abgefragt, um dir zu helfen und dir per E-Mail zu antworten)
• Gehashte IP-Adresse zur Rate-Limit-Kontrolle (Schutz vor Missbrauch)

Hinweis zu Bild-Uploads: Wenn du einen Screenshot deiner Abrechnung oder ein anderes Foto hochlädst, wird das Bild als Base64 an Anthropic LLC übermittelt, damit Lena es analysieren kann. Bitte schwärze sensible Daten (vollständige Anschrift, IBAN, Geburts­datum) vor dem Upload. Wir empfehlen, Bilder ausschließlich mit den für die Frage notwendigen Informationen hochzuladen.

Verarbeitung durch Anthropic LLC (USA)

Die Chat-Eingaben werden an die Anthropic LLC, 548 Market St, San Francisco, CA 94104, USA übermittelt, wo ein Claude-Sprachmodell von Anthropic die Antwort generiert. Anthropic ist Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Anthropic ist vertraglich verpflichtet, die Daten ausschließlich zur Bearbeitung deiner Anfrage zu nutzen und nicht für eigene Zwecke (z.B. Modell-Training).

Web-Recherche bei unbekannten Themen

Bei Fragen, die Lena aus ihrem statischen Wissen nicht beantworten kann (z.B. aktuelle BGH-Urteile, regionale Spezifika), kann sie eine Web-Suche über das Anthropic-Server-Tool web_search durchführen. Maximal drei Suchen pro Konversation. Der Suchbegriff wird Anthropic und dem Such-Provider (Brave Search) bekannt. Persönliche Daten werden dabei nicht weitergegeben — Lena formuliert die Suche neutral. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung „Customer Service“).

Speicherdauer

Chat-Sitzungen werden zur Qualitätssicherung und für mögliche Folge-Fragen bis zu 180 Tagen gespeichert. Auf Anfrage löschen wir deine Chat-Daten sofort und vollständig ([email protected]). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Service-Qualität).

E-Mail-Erfassung beim Chat-Start & E-Mail-Werbung

Bevor du mit Lena chattest, fragen wir deinen Vornamen und deine E-Mail-Adresse ab, und du akzeptierst unsere Nutzungsbedingungen. Diese Daten verarbeiten wir, um den Chat bereitzustellen und dir per E-Mail bei deinem Anliegen zu antworten (Art. 6 Abs. 1 lit. b DSGVO).

Da du durch die Nutzung unseres kostenlosen Chat-Dienstes in eine Kundenbeziehung zu uns trittst, nutzen wir deine E-Mail-Adresse zusätzlich, um dich gelegentlich über eigene ähnliche Angebote (insbesondere unseren Nebenkostenrechner und unsere Vermieter-Funktionen) per E-Mail zu informieren. Rechtsgrundlage ist § 7 Abs. 3 UWG (Bestandskundenwerbung / Soft-Opt-in) i.V.m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung, Erwägungsgrund 47). Eine gesonderte Einwilligung ist hierfür nach § 7 Abs. 3 UWG nicht erforderlich; wir bewerben ausschließlich eigene, dem Chat-Thema ähnliche Produkte und Dienstleistungen.

Dein Widerspruchsrecht: Du kannst dieser werblichen Nutzung deiner E-Mail-Adresse jederzeit kostenlos widersprechen — über den Abmeldelink in jeder Werbe-E-Mail oder formlos an [email protected]. Nach deinem Widerspruch erhältst du keine Werbe-E-Mails mehr; reine Service-Antworten auf dein Chat-Anliegen bleiben davon unberührt.

28. KI-Antwort-Vorschläge im Support-Ticketsystem

Bei Eingang eines Support-Tickets generiert unsere KI-Assistentin Lena im Hintergrund automatisch einen Antwort-Vorschlag — aber nur als Entwurf für unser Support-Team. Die finale Antwort wird IMMER von einer natürlichen Person geprüft und bewusst freigegeben oder verworfen. Es erfolgt kein automatischer Versand.

Hierbei werden der Ticket-Inhalt (Betreff, Nachricht, bisheriger Verlauf) sowie dein Name an Anthropic LLC übermittelt (siehe §27 Auftragsverarbeitung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung Kundenbetreuung). Diese Verarbeitung findet nur bei Tickets der Kategorien „Frage“ und „Sonstiges“ statt. Bei „Bug“ und „Feedback“ ist sie deaktiviert.

29. Erinnerungs-Mails bei abgebrochener Bestellung

Wenn du auf unserer Website eine Bestellung gestartet (z.B. KI-Schnellcheck, Vermieter-Abo) aber nicht abgeschlossen hast, senden wir dir 2 bis 48 Stunden später eine einmalige Erinnerungs-E-Mail mit einem freundlichen Hinweis und einem Hilfsangebot — ausschließlich dann, wenn du zuvor ausdrücklich in den Erhalt von Produktinformationen per E-Mail eingewilligt hast (z.B. über die Marketing-Checkbox bei der Registrierung oder einen bestätigten Newsletter-Opt-in). Ohne diese Einwilligung erfolgt kein Versand. Wir nutzen diese Daten ausschließlich für diese Erinnerung — kein Werbenetzwerk, keine Weitergabe an Dritte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 7 Abs. 2 Nr. 2 UWG. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den 1-Klick-Abmeldelink in jeder dieser E-Mails oder formlos an [email protected]. Pro Bestellung verschicken wir maximal eine Reminder-Mail; nach 48 Stunden erfolgt kein Versand mehr.

30. Internes E-Mail-Audit-Log

Zu Audit-, Compliance- und Qualitätssicherungszwecken speichern wir alle ausgehenden E-Mails an Kunden in einer internen Datenbank (Empfänger, Betreff, Inhalt, Versanddatum, Status). Diese Tabelle ist ausschließlich für Administratoren zugänglich. Speicherdauer: 24 Monate; danach automatische Löschung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Nachweisbarkeit der Customer-Service-Kommunikation und an einem konsistenten Support-Verlauf).

Bei einer Kontolöschung entfernen wir aus den zugehörigen Einträgen Empfängeradresse, Betreff, Nachrichteninhalt, Fehlertext sowie Konto- und Zahlungsbezug. Nur nicht personenbezogene Versandmetadaten (Kategorie, Status, Zeitpunkt und gegebenenfalls technische Message-ID) bleiben bis zum Ablauf der 24-Monats-Frist erhalten. Die nach der Löschung versandte Bestätigung wird nicht erneut mit Empfänger und Volltext in diesem Audit-Log gespeichert.

31. Werbe-E-Mails nach Vorlagen-Kauf (§ 7 Abs. 3 UWG)

Wenn du auf unserer Website eine Premium-Vorlage (z.B. Excel-Tabelle, Widerspruchs-Muster, Checkliste) für 2,00 € gekauft und dabei deine E-Mail-Adresse angegeben hast, dürfen wir dich gemäß § 7 Abs. 3 UWGgelegentlich auf eigene ähnliche Produkte hinweisen — namentlich auf unseren kostenlosen Online-Rechner unter /rechner und unsere Vermieter-Abos. Eine zusätzliche Einwilligung ist dafür nicht erforderlich, weil mit dem Kauf zwischen dir und uns eine entgeltliche Geschäftsbeziehung entstanden ist.

Was wir tun, um dich nicht zu überfordern

• Cooldown von 14 Tagen zwischen zwei Marketing-Mails an dieselbe Adresse
• Kein Bombardement: maximal eine Handvoll Mails pro Jahr und Empfänger
• Inhaltlich bewusst auf Mehrwert statt Verkaufsdruck

Dein Widerspruchsrecht (Art. 21 Abs. 3 DSGVO)

Du kannst jederzeit der weiteren Nutzung deiner E-Mail-Adresse für Marketing-Zwecke widersprechen — ohne dass dir daraus Nachteile entstehen. Folgende Wege stehen dir offen:

• 1-Klick-Abmelde-Link in jeder Marketing-E-Mail (Footer und Mail-Header List-Unsubscribe nach RFC 8058 — funktioniert auch direkt aus Gmail/Outlook über den eingeblendeten Abmelde-Button).
• Direkte Abmeldung jederzeit unter /marketing/abmelden (Du benötigst den Token aus der zuletzt erhaltenen Mail).
• Formlose E-Mail an [email protected].

Nach Widerspruch wird deine Adresse in einer separaten Sperrliste markiert (marketing_unsubscribed_at), so dass du aus weiteren Kampagnen automatisch ausgeschlossen bist. Transaktionale E-Mails (Bestellbestätigungen, Konto-Hinweise) bleiben davon unberührt, da sie keine Werbung sind.

Hinweis bei Vorlagen-Download: Auf der Download-Seite weisen wir dich zusätzlich explizit darauf hin, dass nach § 7 Abs. 3 UWG Werbe-Mails an deine Adresse möglich sind und dass du jederzeit widersprechen kannst.

32. Bewertungsplattform Trustpilot

Auf unserer Website verlinken wir an mehreren Stellen (Footer, nach erfolgreicher Berechnung sowie als QR-Code im PDF-Export) auf unser Profil bei der Bewertungsplattform Trustpilot. Anbieter ist die Trustpilot A/S, Pilestræde 58, 5. Stock, 1112 Kopenhagen, Dänemark.

Beim bloßen Aufruf unserer Website werden keine Daten an Trustpilot übertragen — wir binden weder Skripte noch Widgets ein. Erst wenn du aktiv auf einen Trustpilot-Link klickst oder den QR-Code scannst, verlässt dein Browser unsere Seite und du wirst zu Trustpilot weitergeleitet. Dabei übermittelt dein Browser an Trustpilot die übliche Verbindungsinformation (IP-Adresse, User-Agent, ggf. Referrer-URL).

Bewertungseinladungen nach einem Kauf (Automatic Feedback Service): Wenn du ein kostenpflichtiges Produkt erwirbst, übermitteln wir deine im Kauf angegebene E-Mail-Adresse (und, sofern vorhanden, deinen Namen) an Trustpilot, damit Trustpilot dir eine einmalige Einladung zur Abgabe einer Bewertung zusenden kann. Die Übermittlung erfolgt technisch als Blindkopie (BCC) unserer Kaufbestätigungs-E-Mail an eine eindeutige Trustpilot-Adresse. Bei kostenlosen Test-/Trial-Vorgängen erfolgt keine Übermittlung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kundenfeedback und einer authentischen Reputation). Du kannst der Verwendung deiner E-Mail-Adresse für Bewertungseinladungen jederzeit widersprechen — formlos an [email protected]; die Einladung selbst enthält zudem eine Abmeldemöglichkeit. Verantwortlich für den Versand der Einladung ist Trustpilot A/S, Dänemark (EU).

Rechtsgrundlage für die Verlinkung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer authentischen Reputation und Feedback unserer Nutzer). Trustpilot kann personenbezogene Daten auch in Drittländer außerhalb der EU übertragen; dies erfolgt nach Angaben von Trustpilot auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen findest du in der Datenschutzerklärung von Trustpilot: de.legal.trustpilot.com/end-user-privacy-terms.

33. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Es gilt die jeweils aktuelle, auf dieser Seite veröffentlichte Fassung.

Stand: 07.08.2026