Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Verwaltio UG (haftungsbeschränkt)

Am Lippeglacis 2, 46483 Wesel, Deutschland

Vertreten durch: Daniel Fischer und Jan Martin Jaletzke

Registergericht: Amtsgericht Duisburg; HRB wird nach Eintragung ergänzt

E-Mail: info@verwaltio.de

Ein Datenschutzbeauftragter ist gesetzlich derzeit nicht zu benennen; Anfragen richten Sie bitte an die vorstehende Adresse.

Für die Inhalte, die unsere Kunden in Verwaltio einstellen (insbesondere Mieter-, Eigentümer- und Vertragsdaten), ist der jeweilige Kunde datenschutzrechtlich Verantwortlicher; Verwaltio verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage der Auftragsverarbeitungsvereinbarung (AVV).

Für die Daten, die wir zur Bereitstellung, Abrechnung und Sicherheit unseres Dienstes selbst verarbeiten (etwa Konto-, Vertrags-, Abrechnungs- und Protokolldaten unserer Kunden), sind wir selbst Verantwortlicher. Die nachfolgenden Abschnitte beschreiben beide Bereiche transparent.

• Konto- und Nutzerdaten (Name, E-Mail-Adresse, Passwort-Hash, Rolle, Team-Zugehörigkeit),
• Vertrags- und Abrechnungsdaten (Tarif, Einheitenzahl, Rechnungen, Zahlungsmittel),
• Immobilien- und Einheitendaten (Adressen, Flächen, Ausstattung),
• Kontakt-, Mieter- und Eigentümerdaten (Namen, Anschriften, Kontaktdaten, Verträge),
• Finanz- und Banking-Daten (Zahlungen, Ausgaben, Umsätze, IBAN/BIC, Kontostände),
• Dokumente und Belege (hochgeladene Dateien, Scans, Schriftverkehr) sowie deren per OCR/KI extrahierte Inhalte,
• Kommunikationsdaten (E-Mails, Nachrichten, Portal-Anfragen),
• Bewerberdaten im Vermietungsprozess (Selbstauskunft, ggf. Bonitäts-/Einkommensangaben), soweit der Kunde diese Funktion nutzt,
• Nutzungs-, Log- und Geräte-/Browserdaten, IP-Adressen.

Hochgeladene Dokumente können je nach Inhalt auch besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) enthalten. Für die Rechtmäßigkeit der Einstellung solcher Inhalte ist der Kunde als Verantwortlicher zuständig.

• Bereitstellung und Betrieb der SaaS-Plattform,
• Verwaltung von Immobilien, Einheiten, Kontakten und Verträgen,
• Buchhaltung, Zahlungsabgleich, Mahnwesen und Betriebs-/Heizkostenabrechnung,
• Vertragsabwicklung und Abrechnung des Abonnements,
• E-Mail- und Briefkommunikation,
• KI-gestützte Funktionen (Belegerkennung, Assistenz, Dokumentenanalyse),
• Sicherheit, Fehlerdiagnose, Missbrauchs- und Betrugsprävention,
• Bereitstellung von Support.

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Bereitstellung und Abrechnung der Software),
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Pflichten (etwa Aufbewahrungspflichten),
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen (IT-Sicherheit, Fehleranalyse, Missbrauchsprävention),
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (etwa Bankanbindung, optionale Integrationen, Marketing-Cookies),
• Art. 28 DSGVO – Auftragsverarbeitung für Kundendaten.

Wir hosten Anwendung, Datenbank und Dateispeicher bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Rechenzentren in Deutschland (Nürnberg/Falkenstein). Sämtliche Anwendungsdaten (Immobilien, Kontakte, Zahlungen, Dokumente, Konto- und Nutzungsdaten) sowie Server-Logs werden dort verarbeitet.

Rechtsgrundlage ist Art. 28 DSGVO (Auftragsverarbeitung); mit Hetzner besteht ein Auftragsverarbeitungsvertrag. Eine Übermittlung in Drittländer findet hierbei nicht statt. Weitere Informationen: hetzner.com/de/rechtliches/datenschutz.

Im Dokumentenmanagement gespeicherte Dateien (Belege, Verträge, Schriftverkehr) werden auf unserer Infrastruktur bei Hetzner in Deutschland abgelegt. Hochgeladene Dateien werden vor der Ablage automatisiert auf Schadsoftware geprüft (Virenscan). Eine Weitergabe an Dritte erfolgt nur, soweit der Kunde eine entsprechende Funktion oder Integration aktiv nutzt (siehe Abschnitt 13).

Für den Versand von System- und Geschäfts-E-Mails (Verifizierung, Benachrichtigungen, Korrespondenz mit Mietern und Eigentümern) sowie für den optionalen Abruf von Postfächern (IMAP) nutzen wir SMTP-/IMAP-Dienste. Verarbeitet werden E-Mail-Adressen, Nachrichteninhalte und Anhänge (etwa PDF-Abrechnungen und Mahnungen).

Für den Versand von System-E-Mails setzen wir Google Ireland Limited (Gmail / Google Workspace), Gordon House, Barrow Street, Dublin 4, Irland, ein; dabei kann eine Übermittlung in die USA stattfinden (EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln). Bindet der Nutzer eigene Postfächer per SMTP/IMAP an, ist der jeweilige E-Mail-Anbieter des Nutzers maßgeblich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Für KI-gestützte Funktionen, insbesondere die Belegerkennung (OCR), den Assistenten und die Dokumentenanalyse, setzen wir den KI-Dienst Mistral AI ein.

Anbieter

Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich (Europäische Union).

Verarbeitete Daten

Zur Bearbeitung übermittelte Inhalte (etwa Beleg-/Dokumenttexte, vom Nutzer gestellte Anfragen). Soweit technisch möglich, werden Inhalte vor der Übermittlung reduziert bzw. anonymisiert.

Zweck und Rechtsgrundlage

Bereitstellung der KI-Funktionen, Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die Verarbeitung erfolgt innerhalb der EU. Nach den Vertragsbedingungen von Mistral AI werden die übermittelten Inhalte nicht zum Training der KI-Modelle verwendet. Andere KI-Anbieter (etwa OpenAI oder Anthropic) werden für diese Funktionen nicht eingesetzt.

Für die optionale Bankkontoanbindung und den Zahlungsabgleich nutzen wir einen lizenzierten Open-Banking-Dienst.

Anbieter

BANKSapi Technology GmbH, Pettenkoferstr. 35, 80336 München, Deutschland. Der Anbieter ist als Kontoinformations- und Zahlungsauslösedienstleister (AISP/PISP) nach ZAG/PSD2 von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) beaufsichtigt.

Verarbeitete Daten

• Kontoumsätze (Datum, Betrag, Verwendungszweck, Gegenpartei),
• Kontostand, IBAN und BIC,
• Kontoinhaberinformationen.

Zweck und Rechtsgrundlage

Automatischer Abgleich von Zahlungen und Übersicht über Zahlungsein- und -ausgänge; auf ausdrückliche Veranlassung zusätzlich die Auslösung von Überweisungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung/Autorisierung). Die Verbindung ist freiwillig und kann jederzeit in den Einstellungen getrennt werden.

Für die Abrechnung des Abonnements nutzen wir einen externen Zahlungsdienstleister.

Stripe (SEPA-Lastschrift, Karten- und PayPal-Zahlungen)

Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland (EU). Verarbeitet werden Name, E-Mail-Adresse, Rechnungsbetrag und Zahlungsmitteldaten (etwa IBAN, Karten-Token bzw. ein Zahlungs-Identifikator). Vollständige Zahlungsmitteldaten werden bei Stripe, nicht bei uns, verarbeitet. Dabei kann eine Übermittlung in die USA (Stripe, Inc.) stattfinden; Grundlage sind das EU-US Data Privacy Framework sowie Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Für den optionalen postalischen Versand von Dokumenten (etwa Abrechnungen und Mahnungen) nutzen wir Druck- und Versanddienstleister:

• Deutsche Post AG (E-POST), Charles-de-Gaulle-Str. 20, 53113 Bonn, Deutschland,
• LetterXpress (A&O Fischer GmbH & Co. KG), Maybachstraße 9, 21423 Winsen (Luhe), Deutschland.

Verarbeitet werden Empfänger- und Absenderadressen sowie die Briefinhalte (PDF). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 28 DSGVO (Auftragsverarbeitung).

Für die Durchführung digitaler Eigentümerversammlungen mit Bild- und Tonübertragung setzen wir eine Echtzeit-Kommunikationstechnologie (LiveKit) ein. Verarbeitet werden Audio- und Videodaten der Teilnehmer während der Sitzung sowie Verbindungs- und Gerätedaten. Eine Aufzeichnung erfolgt nur, sofern dies ausdrücklich aktiviert und den Teilnehmern angezeigt wird.

Die Übertragung läuft über einen von uns selbst betriebenen Video-Server auf Infrastruktur der Hetzner Online GmbH in Deutschland. Eine Übermittlung in Drittländer findet dabei nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Folgende Integrationen sind optional und werden nur aktiv, wenn der Nutzer sie ausdrücklich verbindet. Übertragen werden jeweils nur die für die gewählte Funktion erforderlichen Daten.

• Cloud-Speicher: Google Drive (Google Ireland Limited, Irland; ggf. Drittlandtransfer in die USA), OneDrive (Microsoft Ireland Operations Limited, Irland; ggf. Drittlandtransfer in die USA), pCloud (pCloud AG, Schweiz) und luckycloud (luckycloud GmbH, Berlin, Deutschland; Server in Deutschland) zur Spiegelung von Dokumenten,
• DocuWare (DocuWare GmbH, Germering, Deutschland) und Nevi (workingbits GmbH, Beethovenallee 4, 53173 Bonn, Deutschland) zum Dokumentenaustausch,
• ImmoScout24 (Immobilien Scout GmbH, Berlin) zur Veröffentlichung von Inseraten,
• Buchhaltungs-Export (DATEV/lexoffice) auf Veranlassung des Nutzers.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. lit. b für die jeweils beauftragte Funktion.

Für Demo- und Beratungstermine nutzen wir Google Calendar und Google Meet (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Verarbeitet werden Name, E-Mail-Adresse, Termindaten sowie bei Videokonferenzen Verbindungs-/Gerätedaten. Google kann Daten in die USA übermitteln; Grundlage sind das EU-US Data Privacy Framework sowie Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung mit der Buchung). Weitere Informationen: policies.google.com/privacy.

Bei Registrierung über einen Empfehlungslink (Referral-Code im URL-Parameter) speichern wir die Zuordnung des Neukunden zum vermittelnden Partner zur Provisionsabrechnung. Hierfür setzen wir keine Cookies ein; die Zuordnung erfolgt ausschließlich über den URL-Parameter zum Zeitpunkt der Registrierung. Partner sehen keine personenbezogenen Daten der geworbenen Kunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

17.1 Meta Pixel

Auf unserer Marketing-Website setzen wir, ausschließlich nach Ihrer Einwilligung, das Meta Pixel der Meta Platforms Ireland Limited (Dublin, Irland) ein, um die Wirksamkeit unserer Werbeanzeigen zu messen. Verarbeitet werden insbesondere gekürzte IP-Adresse, Browser-/ Geräteangaben, aufgerufene URL sowie eine pseudonyme Kennung (Cookies _fbp, ggf. _fbc). Meta kann Daten in die USA übermitteln (EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln); insoweit besteht eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.

17.2 Google Ads Conversion-Messung

Ebenfalls nur nach Ihrer Einwilligung setzen wir das Google-Tag (gtag.js) der Google Ireland Limited (Dublin, Irland) ein, um zu messen, ob eine Registrierung auf eine unserer Anzeigen zurückgeht. Verarbeitet werden dabei IP-Adresse, Browser-/ Geräteangaben, aufgerufene URL, Zeitpunkt sowie die Klick-Kennung der Anzeige (Cookies _gcl_aw und verwandte, Speicherdauer in der Regel bis zu 90 Tage). Übermittelt wird ausschließlich die Information, dass eine Registrierung stattgefunden hat, ohne Ihren Namen, Ihre E-Mail-Adresse oder sonstige Eingaben aus dem Formular. Google kann Daten in die USA übermitteln (EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln).

Wir nutzen den Einwilligungsmodus von Google: Ohne Ihre Einwilligung wird kein Google-Skript geladen und es werden keine Werbe-Cookies gesetzt.

Rechtsgrundlage für beide Dienste: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen. Innerhalb der Anwendung (app.verwaltio.de) kommen diese Dienste nur auf der Registrierungsseite zum Einsatz, und auch dort nur bei erteilter Einwilligung; in den eingeloggten Bereichen findet keine Werbemessung statt.

Beim Zugriff werden automatisch Protokolldaten gespeichert (IP-Adresse, Browsertyp/-version, Betriebssystem, Zeitpunkt, aufgerufene Endpunkte).

Speicherdauer: in der Regel maximal 30 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit, Fehleranalyse).

19.1 Technisch notwendige Speicherung

• JWT-Token (localStorage) zur Authentifizierung und Aufrechterhaltung der Sitzung,
• Cookie-/Consent-Präferenz (localStorage) mit Zeitstempel,
• UI-Einstellungen (localStorage) wie Theme und Ansichten.

19.2 Einwilligungsbasierte Cookies

Optionale Marketing-Cookies (Meta Pixel und Google Ads, Abschnitt 17) werden nur nach Ihrer Einwilligung über den Cookie-Banner geladen. In der Anwendung werden sie ausschließlich auf der Registrierungsseite eingesetzt; in den eingeloggten Bereichen werden keine Marketing- oder Tracking-Cookies gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (notwendige Speicherung) bzw. Art. 6 Abs. 1 lit. a DSGVO und § 25 TDDDG (optionale Cookies).

Eine Übermittlung personenbezogener Daten erfolgt an die in dieser Erklärung genannten Dienstleister, im Überblick insbesondere:

• Hetzner Online GmbH (Hosting/Datenbank/Dateispeicher, Deutschland),
• Mistral AI SAS (KI-Funktionen, Frankreich/EU),
• BANKSapi Technology GmbH (Bankanbindung, Deutschland),
• Stripe Payments Europe, Ltd. (Zahlungsabwicklung, Irland),
• Deutsche Post AG und LetterXpress / A&O Fischer GmbH & Co. KG (Postversand, Deutschland),
• Google Ireland Limited (Versand von System-E-Mails, Irland; nach Einwilligung zusätzlich Conversion-Messung, Abschnitt 17),
• auf Veranlassung des Nutzers: Google, Microsoft, pCloud, luckycloud, DocuWare, Nevi, ImmoScout24, DATEV/lexoffice.

Keine Weitergabe zu Werbezwecken: Eine Weitergabe Ihrer Daten an Dritte zu deren eigenen Werbe- oder Marketingzwecken erfolgt nicht.

Drittlandtransfer: Die zentrale Datenverarbeitung erfolgt in Deutschland bzw. der EU. Soweit einzelne, vom Nutzer aktivierte oder einwilligungsbasierte Dienste (Google, Microsoft, ggf. Stripe, Meta) Daten in Drittländer übermitteln, erfolgt dies auf Grundlage des EU-US Data Privacy Framework und/oder Standardvertragsklauseln; pCloud (Schweiz) auf Grundlage eines Angemessenheitsbeschlusses.

• solange ein aktives Nutzerkonto besteht,
• im Papierkorb abgelegte Dokumente werden nach 30 Tagen endgültig gelöscht,
• nach Kontobeendigung Löschung der Daten innerhalb von 30 Tagen,
• solange gesetzliche Aufbewahrungspflichten bestehen (insbesondere 10 Jahre für steuer- und handelsrechtlich relevante Unterlagen gemäß § 147 AO, § 257 HGB).

Backups werden nach einem Rotationszyklus automatisch überschrieben.

Sie haben nach der DSGVO insbesondere folgende Rechte:

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17),
• Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20),
• Widerspruch (Art. 21), Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft,
• Beschwerde bei einer Aufsichtsbehörde (Art. 77).

Kontakt: info@verwaltio.de

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Betroffene Mieter und Eigentümer wenden sich für ihre Daten zunächst an den jeweiligen Verwalter/Vermieter als Verantwortlichen.

• TLS-Verschlüsselung (HTTPS) für alle Datenübertragungen,
• Passwort-Hashing und tokenbasierte Authentifizierung (JWT), optionale Zwei-Faktor-Authentifizierung,
• Zugriffs- und Berechtigungssystem (Mandantentrennung),
• automatisierter Virenscan hochgeladener Dateien,
• Firewall, Rate Limiting und Protokollierung sicherheitsrelevanter Ereignisse,
• verschlüsselte Speicherung sensibler Zugangsdaten, regelmäßige Sicherheitsupdates,
• Hosting ausschließlich in deutschen Rechenzentren.

Unsere Dienste richten sich ausschließlich an volljährige Nutzer und nicht an Personen unter 18 Jahren.

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage oder Leistungen ändern. Über wesentliche Änderungen informieren wir vorab in geeigneter Form.

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte:

Verwaltio UG (haftungsbeschränkt)

Am Lippeglacis 2, 46483 Wesel, Deutschland

E-Mail: info@verwaltio.de