Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Rosenbaum Finanzberatung, Oliver Rosenbaum
Formegey 8, 53947 Nettersheim
Telefon: +49 1577 1772230
E-Mail: info@rosenbaum-finanzberatung.de

Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten haben wir nicht benannt. Nach einer schriftlich dokumentierten Schwellwertanalyse vom 20. Oktober 2026 unterliegt keine unserer Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO; eine Benennungspflicht nach Art. 37 Abs. 1 DSGVO oder § 38 BDSG besteht danach nicht. Die Analyse wird bei Änderungen des Umfangs oder der Verarbeitungen fortgeschrieben.

2. Übersicht der Verarbeitungen

Dieses Tool ist eine passwortgeschützte Webanwendung zur Bewertung und Verwaltung von Immobilien-Investments. Es verarbeitet Daten in folgenden Zusammenhängen:

• Nutzerkonto, Anmeldung und Sitzungsverwaltung (Abschnitte 4, 5, 6)
• die von Ihnen erfassten Objekt-, Bewertungs- und Verwaltungsdaten (Abschnitt 7)
• Daten Dritter, die Sie erfassen — insbesondere Mieterdaten (Abschnitt 8)
• hochgeladene Unterlagen und Fotos sowie deren maschinelle Auswertung (Abschnitte 9, 10)
• Abrechnung des Abonnements über einen Zahlungsdienstleister (Abschnitt 11)
• Schutz der Registrierung vor automatisierten Anmeldungen (Abschnitt 12)
• Speicherung auf Ihrem Endgerät (Abschnitt 13)
• Versand von E-Mails (Abschnitt 14)
• Adressvorschläge beim Anlegen eines Objekts (Abschnitt 15)
• Kündigungs- und Widerrufserklärungen (Abschnitt 16)
• Ihre Inhalte nach dem Ende des Vertrags (Abschnitt 17)

Wir setzen keine Analyse-, Tracking- oder Werbedienste ein, laden keine Schriftarten oder Skripte von fremden Netzen (die Ausnahme, Cloudflare Turnstile, ist in Abschnitt 12 beschrieben) und erstellen keine Nutzungsprofile.

3. Hosting und Datenbank

Diese Anwendung wird bei Vercel Inc. (440 N Barranca Avenue #4133, Covina, CA 91723, USA) gehostet. Die Datenbank läuft bei Neon (Neon, LLC, ein Unternehmen der Databricks, Inc., 160 Spear Street, Suite 1300, San Francisco, CA 94105, USA) in einem Rechenzentrum in der EU (Region Frankfurt, eu-central-1). Bei der Nutzung von Vercel kann es zu einer Verarbeitung von Daten (u. a. Server-Logs, IP-Adresse) außerhalb der EU und des EWR kommen (Drittlandtransfer, insbesondere USA). Ob für diese Übermittlung ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 Abs. 3 DSGVO eingreift, ist derzeit nicht abschließend geklärt; die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework wird geprüft. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen, sicheren technischen Bereitstellung).

4. Registrierung und Nutzerkonto

Bei der Registrierung erheben wir Ihre E-Mail-Adresse, optional Ihren Namen sowie ein Passwort (das nur als kryptografischer Hash gespeichert wird, niemals im Klartext). Die Verarbeitung erfolgt zur Bereitstellung des Nutzerkontos und des Login-Schutzes (Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung/vorvertragliche Maßnahme). Nach der Registrierung senden wir Ihnen eine Bestätigungs-E-Mail mit einem einmaligen Verifizierungslink, bevor das Konto nutzbar wird.

5. Anmeldung über Google oder Apple

Sie können sich alternativ über Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) oder Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland) anmelden. Dabei werden Sie zum jeweiligen Anbieter weitergeleitet; die Anmeldung selbst findet dort statt, und der Anbieter erfährt, dass Sie sich bei diesem Dienst anmelden. Von dort erhalten wir eine unveränderliche Kennung Ihres Kontos, Ihre E-Mail-Adresse und — soweit freigegeben — Ihren Namen. Wir speichern die Kennung und die E-Mail-Adresse zum Zeitpunkt der Verknüpfung; ein Passwort entsteht dabei nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Sitzung

Nach der Anmeldung setzen wir ein Sitzungs-Cookie (session), das Sie angemeldet hält. Es ist „HttpOnly“ (per JavaScript nicht auslesbar), enthält keine Werbe- oder Tracking-Funktion und wird mit Ablauf der Sitzung oder beim Abmelden ungültig. Bei einem Passwortwechsel werden bestehende Sitzungen entwertet. Siehe zur rechtlichen Einordnung Abschnitt 13.

7. Objekt-, Bewertungs- und Verwaltungsdaten

Die von Ihnen im Tool erfassten Daten (Immobilienadressen, Kaufpreise, Mieteinnahmen, Finanzierungs- und Bewertungsannahmen, Mietverhältnisse, Zahlungseingänge, Betriebskosten, Wartungsvorgänge, Sanierungsplanungen und dazu abgegebene Rückmeldungen) werden gespeichert, um Ihnen die Nutzung der Anwendung zu ermöglichen (Art. 6 Abs. 1 lit. b DSGVO). Diese Daten sind nur für Sie, für von Ihnen ausdrücklich freigegebene Mitnutzer sowie für den technischen Betreiber zugänglich.

8. Daten Dritter, insbesondere Mieterdaten

Mit den Verwaltungsfunktionen können Sie Daten von Personen erfassen, die nicht Sie selbst sind — insbesondere Namen, Anschriften, Kontaktdaten und Zahlungsverhalten von Mietparteien sowie Angaben zu Handwerkern und Dienstleistern.

Für diese Daten sind Sie der Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO: Sie bestimmen, welche Daten Sie erfassen und zu welchem Zweck. Wir verarbeiten sie ausschließlich in Ihrem Auftrag und nach Ihren Weisungen und sind insoweit Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Für dieses Verhältnis ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO erforderlich; wenden Sie sich dafür an die in Abschnitt 1 genannte Kontaktadresse.

Wir nutzen diese Daten nicht für eigene Zwecke: keine Auswertung über Kunden hinweg, keine aggregierten Statistiken, kein Training von Modellen. Die Informationspflichten gegenüber den betroffenen Personen (Art. 13, 14 DSGVO) treffen Sie als Verantwortlichen, nicht uns — wir haben zu diesen Personen keinen Kontakt. Automatische E-Mails dieser Anwendung gehen ausschließlich an angemeldete Nutzerkonten, niemals an von Ihnen erfasste Dritte.

9. Hochgeladene Unterlagen und Fotos

Sie können Dateien hochladen (z. B. Exposés, Energieausweise, Rechnungen, Fotos von Bauteilen). Diese werden im Dateispeicher Vercel Blob (Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA) abgelegt — ausschließlich mit privatem Zugriff und zufälligem Pfadanteil, also nicht über eine erratbare Adresse erreichbar. Ausgeliefert wird eine Datei nur über eine zugriffsgeprüfte Download-Route dieser Anwendung. Der Upload erfolgt technisch direkt von Ihrem Browser zum Dateispeicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; zum Drittlandtransfer gilt das in Abschnitt 3 Gesagte.

Bitte beachten Sie: Unterlagen zu Immobilien enthalten häufig personenbezogene Daten Dritter — Voreigentümer, Mieter, Nachbarn. Für das, was Sie hochladen, gilt Abschnitt 8.

10. Maschinelle Auswertung hochgeladener Unterlagen

Wenn Sie es ausdrücklich auslösen, wird eine hochgeladene Datei zur Auswertung an Anthropic Ireland, Limited (6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland; Mutterunternehmen Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA) übermittelt, um daraus Angaben für die Eingabemasken vorzuschlagen (etwa Fläche, Baujahr, Energiekennwert, Rechnungsdaten oder Befunde zum Bauzustand eines Bauteils). Übermittelt wird dabei der Inhalt der Datei einschließlich etwaiger darin enthaltener personenbezogener Daten.

Die Auswertung geschieht nur auf Ihre Veranlassung, nicht automatisch beim Upload. Die Ergebnisse sind Vorschläge: Sie prüfen und übernehmen sie. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Die Geschäftsbedingungen für die Programmierschnittstelle sehen vor, dass der Anbieter seine Modelle nicht mit den übermittelten Inhalten trainiert. Eine Nutzung zu Trainingszwecken käme nach den Angaben des Anbieters nur in Betracht, wenn wir Inhalte aktiv als Rückmeldung einreichen oder eine solche Nutzung ausdrücklich freigeben würden; beides tun wir nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von Ihnen angeforderten Funktion). Der Vertragspartner sitzt im EWR, die Verarbeitung findet gleichwohl auch in den USA statt; zum Drittlandtransfer gilt daher das in Abschnitt 3 Gesagte. Wollen Sie diese Übermittlung vermeiden, erfassen Sie die Angaben von Hand — alle Masken sind ohne die Auswertung vollständig bedienbar.

11. Abrechnung des Abonnements

Die Abrechnung läuft über Stripe (Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland). Beim Abschluss eines kostenpflichtigen Plans werden Sie auf eine von Stripe betriebene Bezahlseite weitergeleitet; Ihre Zahlungsdaten (Kartennummer, Kontodaten) geben Sie dort ein und werden nicht an uns übermittelt. An Stripe übermitteln wir Ihre E-Mail-Adresse, Ihren Namen (soweit hinterlegt) und eine interne Kontokennung; Stripe erhebt für die Rechnungsstellung zusätzlich Ihre Anschrift und, falls Sie sie angeben, Ihre Umsatzsteuer-Identifikationsnummer. Von Stripe erhalten wir zurück: Kundennummer, Abonnementnummer, Zustand und Beginn des Abonnements sowie Ende der bezahlten Periode.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung der Rechnungsdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 14b UStG sowie § 257 HGB, soweit anwendbar). Weitere Informationen: Datenschutzerklärung von Stripe.

12. Schutz der Registrierung (Cloudflare Turnstile)

Das Registrierungsformular ist durch Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) gegen automatisierte Anmeldungen geschützt. Dabei lädt Ihr Browser ein Prüfmodul von challenges.cloudflare.com, und Cloudflare verarbeitet dazu Ihre IP-Adresse sowie technische Merkmale Ihres Browsers. Turnstile arbeitet ohne Cookies und ohne Bilderrätsel. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, die Registrierung nicht automatisiert missbrauchen zu lassen). Das Modul wird nur auf der Registrierungsseite geladen, nicht im übrigen Tool.

13. Speicherung auf Ihrem Endgerät

Auf Ihrem Endgerät speichern wir zwei Dinge: das Sitzungs-Cookie aus Abschnitt 6 und — im lokalen Speicher Ihres Browsers — Ihre Wahl zwischen hellem und dunklem Erscheinungsbild.

Beides ist einwilligungsfrei nach § 25 Abs. 2 Nr. 2 TDDDG: Die Einwilligung ist nicht erforderlich, wenn die Speicherung oder der Zugriff „unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann“. Ohne das Sitzungs-Cookie gibt es keinen angemeldeten Zugang; die gespeicherte Darstellungswahl ist genau die Einstellung, die Sie selbst vorgenommen haben. Für die anschließende Verarbeitung ist Rechtsgrundlage Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Ein Einwilligungsbanner gibt es hier deshalb nicht — nicht, weil darauf verzichtet würde, sondern weil keine einwilligungsbedürftige Speicherung stattfindet: Es gibt keine Analyse-, Reichweiten- oder Werbemessung.

14. E-Mail-Versand

Für den Versand von E-Mails nutzen wir Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Verschickt werden: Bestätigung der Registrierung, Zurücksetzen des Passworts, Bestätigung einer neuen E-Mail-Adresse, die Eingangsbestätigung zu einer Kündigung oder einem Widerruf (Abschnitt 16) sowie — nur wenn Sie sie im Profil ausdrücklich einschalten — die wöchentliche Wartungserinnerung. Dabei wird Ihre E-Mail-Adresse samt Inhalt der Nachricht an Resend übermittelt. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für die Wartungserinnerung Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, im Profil jederzeit widerrufbar) und für die Eingangsbestätigungen Art. 6 Abs. 1 lit. c DSGVO (§ 312k Abs. 4, § 356a Abs. 4 BGB). Zum Drittlandtransfer gilt das in Abschnitt 3 Gesagte.

15. Adressvorschläge (OpenStreetMap)

Beim Anlegen eines Objekts können Sie eine Adresssuche nutzen. Ihre Eingabe wird dabei von unserem Server an den Geocoding-Dienst Nominatim der OpenStreetMap Foundation weitergeleitet — nicht von Ihrem Browser. Übermittelt werden die Adressbestandteile, die Sie eingeben; Ihre IP-Adresse wird dabei nicht übermittelt, OpenStreetMap sieht die Adresse unseres Servers. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer komfortablen, fehlerarmen Adresseingabe). Weitere Informationen: Datenschutzerklärung der OpenStreetMap Foundation. Dasselbe gilt für die Abfrage amtlicher Bodenrichtwerte: Auch sie läuft über unseren Server.

16. Kündigungs- und Widerrufserklärungen

Geben Sie über „Verträge hier kündigen“ oder „Vertrag widerrufen“ eine Erklärung ab, speichern wir deren Inhalt, Ihren Namen, Ihre E-Mail-Adresse, die Bezeichnung des Vertrags, Ihre freiwilligen Angaben sowie Datum und Uhrzeit des Eingangs. Das ist gesetzlich vorgeschrieben: § 312k Abs. 3 und 4 BGB und § 356a Abs. 4 BGB verlangen, dass Sie Inhalt und Zeitpunkt Ihrer Erklärung auf einem dauerhaften Datenträger erhalten und dass wir Ihnen den Eingang bestätigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, für die Nachweisbarkeit zusätzlich Art. 6 Abs. 1 lit. f DSGVO. In der Erklärung selbst speichern wir keine IP-Adresse. Um die beiden Formulare gegen massenhafte Aufrufe zu schützen, zählen wir getrennt davon die Aufrufe je IP-Adresse und speichern sie dafür eine Stunde lang (Art. 6 Abs. 1 lit. f DSGVO); danach wird der Eintrag gelöscht, sobald wieder eines dieser Formulare benutzt wird. Diese Erklärungen bleiben auch dann erhalten, wenn Sie Ihr Konto später löschen — sie sind der Nachweis einer von uns erfüllten Pflicht; der Bezug zu Ihrem Konto wird in diesem Fall entfernt.

17. Ihre Inhalte nach dem Ende des Vertrags

Endet Ihr Abonnement — durch Kündigung oder Widerruf —, nutzen wir die von Ihnen erfassten Inhalte nicht weiter. Das gilt unabhängig davon, aus welchem Grund der Vertrag endet, und ist für Inhalte, die keine personenbezogenen Daten sind, auch gesetzlich angeordnet (§ 327p Abs. 2 Satz 1 BGB, über § 357 Abs. 8 BGB beim Widerruf).

Gelöscht wird dabei nichts. Ihr Konto wechselt in den kostenlosen Plan, Ihre Daten bleiben erhalten und für Sie zugänglich. Erst wenn Sie Ihr Konto löschen, werden sie gelöscht (siehe Abschnitt 18).

Auf Ihr Verlangen stellen wir Ihnen Ihre Inhalte unentgeltlich, in angemessener Frist und in einem gängigen, maschinenlesbaren Format bereit (§ 327p Abs. 3 BGB; für personenbezogene Daten zusätzlich Art. 20 DSGVO). Schreiben Sie dafür an die in Abschnitt 1 genannte Adresse — eine besondere Form ist nicht nötig, und eine Gebühr fällt nicht an.

18. Speicherdauer

Wir speichern personenbezogene Daten, solange Ihr Nutzerkonto besteht bzw. solange dies zur Erfüllung der genannten Zwecke erforderlich ist. Nach Löschung Ihres Kontos werden die zugehörigen Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen — insbesondere die handels- und steuerrechtlichen Pflichten für Rechnungen und Belege (§ 147 AO, § 14b UStG sowie § 257 HGB, soweit anwendbar) und die Nachweise aus Abschnitt 16. Daten, die Sie als Verantwortlicher erfasst haben (Abschnitt 8), löschen wir nach Ihrer Weisung oder mit dem Ende des Auftragsverhältnisses.

19. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen die Verarbeitung (Art. 21) Ihrer personenbezogenen Daten. Eine erteilte Einwilligung können Sie jederzeit widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Wenden Sie sich hierzu an die in Abschnitt 1 genannte Kontaktadresse.

Zudem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Sie können sich dafür an jede Aufsichtsbehörde wenden, insbesondere an die Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2-4, 40213 Düsseldorf (Postfach 20 04 44, 40102 Düsseldorf).

20. Datensicherheit

Passwörter werden ausschließlich als Hash (bcrypt) gespeichert, die Verbindung zu dieser Anwendung ist TLS-verschlüsselt (HTTPS). Der Zugriff auf Objekt-, Bewertungs- und Verwaltungsdaten ist über ein Rechte- und Freigabesystem geregelt; hochgeladene Dateien liegen im privaten Zugriff und werden nur über zugriffsgeprüfte Routen ausgeliefert. Formulare, die ohne Anmeldung erreichbar sind, sind in ihrer Aufrufzahl begrenzt; dafür wird je Formular gezählt, wie oft es von einer IP-Adresse und für eine E-Mail-Adresse aufgerufen wurde. Diese Zähleinträge tragen eine Ablaufzeit und werden nach deren Ablauf gelöscht.