Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

W2 Applied Intelligence UG (haftungsbeschränkt)
Wilhelm-Leuschner-Str. 11
68163 Mannheim
Deutschland
E-Mail: hello@w2-intelligence.de

Wir betreiben diese Anwendung für Kaufmann Immobilien (Darius Kaufmann, Freiburg). Für die Daten, die dort über Kundinnen und Kunden, Interessentinnen und Interessenten, Immobilien und Termine gespeichert werden, ist Kaufmann Immobilien verantwortlich. Diese Daten verarbeiten wir in seinem Auftrag (Art. 28 DSGVO).

Diese Anwendung ist ein Produkt von W2 Applied Intelligence UG (haftungsbeschränkt). Sie wird hier zur Vorführung im Erscheinungsbild von Schwarzwald Immobilien gezeigt. Schwarzwald Immobilien ist nicht Betreiber dieser Anwendung und für sie nicht verantwortlich.

Verarbeitete Daten und Zwecke

Diese Anwendung ist ein internes B2B-Fachverfahren mit Benutzerkonten. Wir verarbeiten personenbezogene Daten ausschließlich, soweit dies für den Betrieb und die Sicherheit des Dienstes erforderlich ist:

• Stammdaten des Kontos: E-Mail-Adresse, Rolle, Passwort (ausschließlich als argon2id-Hash gespeichert, niemals im Klartext), Zeitpunkt der Registrierung und letzten Anmeldung.
• Nutzungs- und Inhaltsdaten: die von den Nutzerinnen und Nutzern im Dienst angelegten Datensätze und Notizen.
• Sitzungsdaten: ein technisch notwendiges, serverseitig gespeichertes Sitzungs-Cookie (__Host-*), das keine Tracking-Funktion hat.
• Problemberichte: Wenn Sie über „Problem melden“ eine Meldung senden, speichern wir Ihre beiden Freitexte, den Zeitpunkt, die aufgerufene Seite (ohne Kennungen), Ihren Browser (nur Name und Hauptversion), Ihre Rolle, die Version der Anwendung, Fehlercodes und bereinigte Protokollzeilen. Ihre E-Mail-Adresse und Ihre Benutzerkennung gehören nur dann zur Meldung, wenn Sie das Kästchen „Sie dürfen mich zu dieser Meldung kontaktieren“ selbst ankreuzen, sonst ist die Meldung anonym. Das Formular weist darauf hin, dass die Meldung auch mit KI (Claude von Anthropic) ausgewertet wird, und bittet, keine personenbezogenen Daten einzugeben.
• Server-Protokolle: IP-Adresse, Zeitpunkt und technische Metadaten der Anfragen, insbesondere zur Abwehr von Missbrauch (z. B. Anmelde-Ratenbegrenzung) und zur Fehlersuche.

Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses), lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Dienst) sowie, soweit einschlägig, lit. c DSGVO (rechtliche Verpflichtungen). Werden die Daten im Auftrag eines Kunden verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

Empfänger und Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Auftragsverarbeiter (Art. 28 DSGVO) ein, insbesondere für das Hosting der Infrastruktur. Die Server befinden sich in der Europäischen Union. Eine Übermittlung in Drittländer findet nur statt, wenn hierfür ein gültiger Übermittlungsmechanismus (z. B. Standardvertragsklauseln) besteht. Im Einzelnen:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Hosting des Servers in Helsinki (Finnland) und Speicherung der verschlüsselten Sicherungskopien in Falkenstein (Deutschland).
• Microsoft Ireland Operations Ltd., nur wenn ein Outlook-Kalender verbunden ist: Microsoft erhält die bestätigten Termine (Terminart und Straße der Immobilie als Titel, Ort, Zeit, Link, keine Kontaktnamen und keine Notizen) und liefert die Outlook-Termine (Titel, Zeit, Ort, ganztägig, Vertraulichkeit) an die Anwendung.
• Push-Dienste der Browserhersteller (Apple, Google, Mozilla, Microsoft), nur wenn Sie Mitteilungen einschalten: Sie erhalten eine Gerätekennung, Zeitpunkt und Größe sowie einen verschlüsselten Inhalt ohne Namen, Titel oder Adressen.
• Anthropic PBC (USA), nur wenn ein Mitglied seinen eigenen Claude-Zugang über die MCP-Schnittstelle mit der Anwendung verbindet: Was Claude dabei abruft, erreicht Anthropic in der Unterhaltung dieses Mitglieds. Dafür gelten die Bedingungen seines Claude-Zugangs.
• Have I Been Pwned (über Cloudflare): Beim Setzen eines Passworts prüft die Anwendung, ob es aus bekannten Datenlecks stammt. Dazu gehen nur die ersten fünf Zeichen eines Hashwerts des Passworts hinaus, kein Konto und keine Adresse.

Problemberichte gehen an uns und werden bei uns ausgewertet, auch mit KI (Claude von Anthropic, Anthropic PBC, USA). Die Freigabe für die Übermittlung der Inhalte ist erteilt: Neben den Metadaten (Seite, Zeit, Version, Browser, Rolle, Fehlercodes) gehen auch Ihre Freitexte und, wenn Sie das Kästchen angekreuzt haben, Ihre Kontaktangabe an uns. Vor der Auswertung mit Claude entfernen wir Ihren Namen und Ihre E-Mail-Adresse. Die Übermittlung an Anthropic in die USA erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck ihrer Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Mit der Löschung Ihres Kontos werden Ihre E-Mail-Adresse, Ihre Zugangsdaten und Ihre Sitzungen entfernt. Von Ihnen angelegte Inhalte bleiben als Daten der Organisation erhalten, mit einer Kennung, die Sie nicht mehr benennt. Im Einzelnen gilt:

• Sitzungen: enden nach einer Stunde ohne Aktivität, spätestens nach zwölf Stunden. Abgelaufene Sitzungen werden nachts gelöscht.
• Sicherheitsprotokoll (Audit-Log, enthält nur Kennungen und Ereignisarten): 12 Monate.
• Problemberichte: nach der eingestellten Frist ohne Änderung, höchstens 365 Tage, wenn der Betreiber nichts anderes festgelegt hat.
• Zugriffsprotokoll des Webservers (IP-Adresse, Pfad ohne Parameter, Browserkennung): 14 Tage. System- und SSH-Protokolle des Servers: 30 Tage. Protokolle der Anwendungsbehälter haben nur eine Größengrenze und keine feste Frist.
• Verschlüsselte Sicherungskopien der Datenbank (nächtliche Sicherung, die Sicherung vor einer Aktualisierung der Anwendung und, wenn eingeschaltet, das Archiv zur Wiederherstellung auf einen Zeitpunkt): Backups werden nach 14 Tagen im nächsten nächtlichen Löschlauf gelöscht. Backups unter einer Löschsperre bleiben bis zum Ablauf der Sperre erhalten, höchstens 30 Tage. Das Archiv zur Wiederherstellung auf einen Zeitpunkt hält höchstens 14 Tage. Sie liegen verschlüsselt, die nächtliche Sicherung und das Archiv auf Servern in der EU.

Die Daten der Anwendung (Immobilien, Projekte, Kontakte und Interessenten, Termine, Dokumente, Akquisen, Wiedervorlagen) bleiben gespeichert, bis sie in der Anwendung gelöscht werden. Gelöschte Einträge liegen 30 Tage im Papierkorb und können dort wiederhergestellt werden, danach werden sie im nächtlichen Löschlauf endgültig entfernt. Gesetzliche Aufbewahrungspflichten von Kaufmann Immobilien, etwa nach Handels- und Steuerrecht, bleiben unberührt.

Ihre Rechte

Sie haben nach der DSGVO insbesondere folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Auskunft können Sie selbst in der Anwendung wahrnehmen: Unter „Kontosicherheit“ laden Sie Ihre Daten samt Ihren Kontodaten (E-Mail-Adresse, Rolle, Anmeldungen) als Datei herunter. Dort können Sie auch Ihr Konto und Ihre personenbezogenen Daten löschen lassen. Eine Berichtigung, etwa Ihrer E-Mail-Adresse, veranlassen Sie per Nachricht an den Verantwortlichen (siehe unten).

Zur Ausübung Ihrer Rechte, auch wenn die Selbstbedienung nicht genügt, genügt eine Nachricht an hello@w2-intelligence.de.

Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart.

Datensicherheit

Der Dienst ist nach dem Stand der Technik abgesichert: Übertragung ausschließlich über TLS, Passwörter werden mit argon2id gehasht, für Konten steht eine Zwei-Faktor-Authentisierung (TOTP) bereit, und der Datenzugriff ist auf Datenbankebene je Nutzer und Rolle beschränkt (Row-Level-Security).