Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung auf dieser Website und in der Anwendung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Bei Fragen zum Datenschutz erreichen Sie uns unter der oben genannten Adresse.

2. Wer ist wofür verantwortlich?

HausKlar wird von zwei Gruppen genutzt: von Vermieterinnen und Vermietern, die ihre Immobilien verwalten, und von Mieterinnen und Mietern, die Einblick in ihr eigenes Mietverhältnis bekommen. Datenschutzrechtlich sind das zwei verschiedene Rollen:

Für Mieterinnen und Mieter heißt das: Wenn Sie Auskunft über die zu Ihnen gespeicherten Vertrags-, Zahlungs- oder Abrechnungsdaten möchten oder deren Löschung wünschen, wenden Sie sich bitte an Ihre Vermieterin bzw. Ihren Vermieter. Wir leiten solche Anfragen weiter, dürfen die Daten aber nicht eigenmächtig herausgeben oder löschen.

Vermieterinnen und Vermieter, die HausKlar geschäftlich einsetzen, schließen mit uns einen Vertrag zur Auftragsverarbeitung. Eine Vorlage stellen wir auf Anfrage unter kontakt@hausklar.app bereit.

3. Hosting und Server-Protokolle

Anwendung, Datenbank und Dateispeicher laufen auf Servern der Contabo GmbH (München) in einem Rechenzentrum in Deutschland. Eine Übermittlung in ein Drittland findet dabei nicht statt. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf der Website und bei jeder Anfrage der Anwendung erhebt der Server automatisch Protokolldaten, die Ihr Browser bzw. die App übermittelt:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• aufgerufene Adresse und übertragene Datenmenge
• Statusmeldung des Servers (z. B. „erfolgreich" oder „nicht gefunden")
• Browsertyp, Betriebssystem und ggf. verweisende Seite

Diese Daten sind technisch nötig, um die Anwendung auszuliefern, und dienen der Sicherheit des Betriebs (Erkennung und Abwehr von Angriffen und Missbrauch). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, störungsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 30 Tagen gelöscht und nicht mit anderen Daten zusammengeführt.

4. Welche Daten wir verarbeiten

Die Anwendung erhebt keine Daten „auf Vorrat": Verarbeitet wird, was Sie selbst eingeben oder hochladen, sowie das, was für Anmeldung und Betrieb nötig ist.

Freiwillige Angaben. Viele Felder sind optional (etwa Notizen oder Ausstattungsmerkmale). Bitte tragen Sie dort keine Daten ein, die für die Verwaltung des Mietverhältnisses nicht erforderlich sind — insbesondere keine Gesundheitsdaten oder andere besonders geschützte Angaben nach Art. 9 DSGVO.

5. Rechtsgrundlagen

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Bereitstellung des Kontos und aller Funktionen, die Sie nutzen; bei Mietern die Bereitstellung des Zugangs zum eigenen Mietverhältnis.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) — Aufbewahrung von Unterlagen, soweit steuer- und handelsrechtliche Fristen dies verlangen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — sicherer Betrieb, Missbrauchsabwehr, Server-Protokolle, Auswertung von Rückmeldungen zur Verbesserung der Anwendung.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — für Funktionen, die Sie ausdrücklich zulassen, etwa Push-Benachrichtigungen auf dem Mobilgerät oder die Anmeldung über ein Konto bei Google oder Microsoft. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
• Weisung des Verantwortlichen (Art. 28 DSGVO) — für alle Inhalte, die Vermieterinnen und Vermieter über ihre Mietverhältnisse einstellen (siehe Abschnitt 2).

6. Cookies und lokale Speicherung

HausKlar setzt keine Werbe- oder Tracking-Cookies und bindet keine Analyse- oder Werbedienste ein. Es gibt daher auch kein Einwilligungsbanner. Damit die Anwendung funktioniert, speichert sie einige Angaben lokal in Ihrem Browser („Local Storage"); diese Daten verlassen Ihr Gerät nicht von selbst:

Rechtsgrundlage für diese Speicherung ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich, damit der von Ihnen gewünschte Dienst funktioniert) in Verbindung mit Art. 6 Abs. 1 lit. b und f DSGVO. Sie können die Einträge jederzeit über die Einstellungen Ihres Browsers löschen; danach müssen Sie sich neu anmelden.

Ausgenommen sind die Formulare für Registrierung, Anmeldung und Passwort-Zurücksetzen: Dort legt der eingesetzte Schutz gegen automatisierte Anfragen für die Dauer der Prüfung technisch notwendige Angaben im Browser ab (siehe Abschnitt 7, „Schutz der Anmeldeformulare"). Auch dabei geht es nicht um Werbung oder Wiedererkennung.

7. Empfänger und externe Dienste

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Eine Übermittlung findet nur statt, soweit sie für den Betrieb nötig ist:

Kartenausschnitt bei Immobilien

Auf der Detailseite einer Immobilie zeigen wir eine kleine Karte. Die Kartenbilder lädt Ihr Browser direkt bei CARTO (CARTO Inc., Kartengrundlage OpenStreetMap). Dabei erfährt dieser Anbieter Ihre IP-Adresse und welchen Kartenausschnitt Sie sehen. Grundlage ist unser berechtigtes Interesse an einer verständlichen Standortanzeige (Art. 6 Abs. 1 lit. f DSGVO). Wenn Sie das vermeiden möchten, rufen Sie die Detailseite nicht auf — die übrigen Funktionen arbeiten ohne Karte.

Adressvorschläge beim Anlegen

Tippen Sie eine Adresse ein, schlägt die Anwendung passende Treffer vor. Die Anfrage beantwortet ein von uns selbst betriebener Adressdienst auf Basis von OpenStreetMap-Daten. Ein externer Anbieter ist daran nicht beteiligt, und Ihre IP-Adresse wird nicht an Dritte weitergegeben.

E-Mail-Versand

Einladungen an Mieter, Hinweise zum Zurücksetzen des Passworts und ähnliche Nachrichten versenden wir über die dogado GmbH (Dortmund). Dabei werden E-Mail-Adresse und Inhalt der Nachricht verarbeitet.

Push-Benachrichtigungen (nur mobile App)

Wenn Sie in der App Push-Benachrichtigungen erlauben, wird über Firebase Cloud Messaging (Google Ireland Limited) eine Geräte-Kennung erzeugt und bei uns gespeichert, um Ihnen Hinweise zuzustellen. Dabei kann es zu einer Übermittlung in die USA kommen; Google stützt sich hierfür auf die Standardvertragsklauseln der EU-Kommission. Sie können Push jederzeit in der App oder in den Systemeinstellungen Ihres Geräts abschalten. Ohne Ihre Erlaubnis findet keine Registrierung statt.

Schutz der Anmeldeformulare (Cloudflare Turnstile)

Die Formulare für Registrierung, Anmeldung und das Zurücksetzen des Passworts sind durch Cloudflare Turnstile gegen automatisierte Anfragen geschützt — einen Dienst der Cloudflare Germany GmbH, Rosental 7, 80331 München, für den technisch die Cloudflare, Inc. (USA) tätig wird. Ohne diesen Schutz ließen sich Passwörter maschinell durchprobieren und über die Formulare in großer Zahl E-Mails an fremde Postfächer auslösen.

Beim Aufruf dieser drei Formulare wird ein Skript von challenges.cloudflare.com geladen. Dabei verarbeitet Cloudflare Ihre IP-Adresse sowie technische Angaben zu Browser und Gerät und wertet Merkmale Ihres Verhaltens auf der Seite aus, um menschliche von automatisierten Zugriffen zu unterscheiden. Das Ergebnis ist ein einmalig verwendbares Kennzeichen, das unser Server bei Cloudflare überprüft. In aller Regel läuft die Prüfung ohne Ihr Zutun ab; nur in Zweifelsfällen erscheint eine Rückfrage. Turnstile setzt keine Cookies zu Werbe- oder Wiedererkennungszwecken und erstellt kein Profil über Websites hinweg; für die Durchführung der Prüfung können technisch notwendige Angaben kurzzeitig im Browser abgelegt werden.

Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch und am sicheren Betrieb der Anmeldung (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung holen wir dafür nicht ein, weil die Prüfung dem Schutz des Zugangs dient und stattfinden muss, bevor überhaupt eine Anmeldung möglich ist. Auf allen übrigen Seiten der Anwendung kommt Turnstile nicht zum Einsatz.

Cloudflare verarbeitet die Daten in unserem Auftrag nach Art. 28 DSGVO. Dabei kann es zu einer Übermittlung in die USA kommen; Cloudflare stützt sich hierfür auf die Standardvertragsklauseln der EU-Kommission. Die zur Prüfung erhobenen Angaben werden nach Cloudflares Angaben nur kurz gespeichert und nicht zu anderen Zwecken genutzt. Näheres in der Datenschutzerklärung von Cloudflare unter cloudflare.com/de-de/privacypolicy.

Anmeldung über Google oder Microsoft

Optional können Sie sich mit einem bestehenden Konto bei Google oder Microsoft anmelden. Nur wenn Sie diese Schaltfläche nutzen, wird eine Verbindung zum jeweiligen Anbieter aufgebaut; wir erhalten daraufhin Ihre E-Mail-Adresse und Ihren Namen zur Erstellung bzw. Zuordnung des Kontos. Es gelten zusätzlich die Datenschutzhinweise des jeweiligen Anbieters.

App-Stores

Laden Sie die mobile App herunter, verarbeitet der jeweilige Store (Apple bzw. Google) die dafür nötigen Daten in eigener Verantwortung. Darauf haben wir keinen Einfluss.

Weitere Empfänger

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder wenn es zur Durchsetzung unserer Rechte erforderlich ist. Dienstleister, die für uns Daten verarbeiten (Hosting, E-Mail-Versand), sind vertraglich nach Art. 28 DSGVO gebunden und dürfen die Daten nur nach unserer Weisung verwenden.

8. Berechtigungen der mobilen App

Die App fragt Berechtigungen nur dann ab, wenn Sie die zugehörige Funktion nutzen — und arbeitet ohne sie normal weiter:

• Kamera und Fotos: um einen Beleg abzufotografieren oder mit dem Dokumentenscanner zu erfassen. Die Aufnahme wird als Beleg hochgeladen; wir greifen nicht auf Ihre übrige Fotomediathek zu.
• Face ID bzw. Fingerabdruck: um die App zu entsperren. Die Prüfung erledigt Ihr Gerät. Wir erhalten weder Ihr Gesicht noch Ihren Fingerabdruck, sondern nur die Rückmeldung „entsperrt" oder „nicht entsperrt"; biometrische Daten verlassen Ihr Gerät nicht.
• Mitteilungen: für Push-Hinweise (siehe Abschnitt 7). Ohne Ihre Erlaubnis wird kein Gerät registriert.

Im Browser legt die Anwendung zusätzlich einen technischen Zwischenspeicher an, damit sie schneller startet. Darin liegen ausschließlich Programmdateien der Oberfläche —keine Ihrer Daten: Anfragen an unseren Server werden bewusst nie zwischengespeichert.

9. Belegerkennung und KI-Assistent

Laden Sie einen Beleg hoch, liest die Anwendung den Text aus und schlägt Kostenart, Betrag, Zeitraum und die Zuordnung zu einer Immobilie vor. Diese Verarbeitung findet auf unseren eigenen Servern statt: Texterkennung und Auswertung laufen lokal, Ihre Dokumente werden dafür nicht an externe KI-Anbieter übermittelt und es findet keine Übermittlung in Drittländer statt.

Die Erkennung liefert ausschließlich Vorschläge. Gespeichert wird erst, wenn Sie diese bestätigen. Zu jedem Feld sehen Sie, wie sicher die Erkennung war. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet, findet nicht statt; es erfolgt kein Profiling und keine Bewertung von Personen.

Aus bestätigten Belegen lernt die Zuordnung dazu, damit Vorschläge künftig besser passen. Dafür werden Merkmale des Belegtextes und die gewählte Kostenart verwendet — keine Namen, keine Kontaktdaten.

KI-Assistent (Chat)

Die Anwendung enthält einen Assistenten, dem Sie Fragen zu Ihren eigenen Daten stellen können (Immobilien, Mietverträge, Zahlungen, Dokumente, Abrechnungen) und der auf Wunsch Inhalte hochgeladener Dokumente auswertet — etwa um einen Mietvertrag zu erfassen. Auch dieser Assistent läuft vollständig auf unseren eigenen Servern; Ihre Eingaben und Dokumente werden nicht an externe KI-Anbieter weitergegeben.

Der Assistent sieht ausschließlich Daten, die Ihrem Konto und Ihrer Rolle zugänglich sind: Vermieterinnen und Vermieter die Daten ihrer eigenen Verwaltung, Mieterinnen und Mieter nur das eigene Mietverhältnis und die für sie freigegebenen Dokumente. Bevor der Inhalt eines Dokuments ausgewertet wird, werden personenbezogene Angaben darin automatisch anonymisiert — Namen und Orte werden maschinell erkannt und durch Platzhalter ersetzt; Bankverbindungen (IBAN), Steuernummern, E-Mail-Adressen und Telefonnummern werden zusätzlich regelbasiert maskiert.

Auch der Assistent handelt nie selbstständig: Möchte er Daten anlegen oder ändern, entsteht ein Vorschlag, der erst nach Ihrer ausdrücklichen Bestätigung übernommen wird. Ihre Chat-Verläufe sind nur für Ihr eigenes Konto sichtbar und können jederzeit von Ihnen gelöscht werden; mit der Löschung Ihres Kontos werden sie entfernt. Zum Betrieb protokollieren wir technische Kennzahlen der Anfragen (z. B. Umfang und Dauer) — nicht deren Inhalt. Die Nutzung ist zum Schutz der Systeme auf eine faire tägliche Anzahl von Anfragen begrenzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Funktion der Anwendung) bzw. unser berechtigtes Interesse an einem sicheren, missbrauchsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

10. Elektronische Unterschrift

Schreiben aus dem Dokumentengenerator können elektronisch unterschrieben werden — entweder angemeldet in der App oder über einen Einladungslink. Dabei speichern wir neben dem Unterschriftsbild den angegebenen Namen, den Zeitpunkt, die IP-Adresse und einen Prüfwert (Hash) des unterschriebenen Textes.

Zweck dieser Angaben ist der Nachweis, dass ein bestimmter Text zu einem bestimmten Zeitpunkt unterschrieben und danach nicht verändert wurde. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie das berechtigte Interesse beider Seiten an einem belastbaren Nachweis (Art. 6 Abs. 1 lit. f DSGVO). Es handelt sich um eine einfache elektronische Signatur im Sinne der eIDAS-Verordnung.

11. Speicherdauer und Löschung

• Kontodaten speichern wir, solange Ihr Konto besteht.
• Löschung Ihres Kontos: Sie können Ihr Konto jederzeit selbst löschen — in der Anwendung unter „Konto". Sind Sie alleinige Eigentümerin bzw. alleiniger Eigentümer eines Vermieterbetriebs, wird dabei der gesamte Bestand entfernt: Immobilien, Einheiten, Mietverhältnisse, Zahlungen, Zählerstände, Abrechnungen, erzeugte Schreiben und Unterschriften — samt der hochgeladenen Dateien im Dateispeicher. Gibt es eine weitere verantwortliche Person, bleibt der Betrieb bestehen und nur Ihr Zugang entfällt. Frühere Rückmeldungen an uns bleiben als Betriebsdaten erhalten, verlieren aber den Bezug zu Ihrer Person.
• Belege, Abrechnungen und erzeugte Schreiben unterliegen teils gesetzlichen Aufbewahrungsfristen (regelmäßig sechs bzw. zehn Jahre nach § 147 AO und § 257 HGB). Bis zum Ablauf dieser Fristen werden die Daten für die weitere Nutzung gesperrt statt gelöscht.
• Server-Protokolle löschen wir nach 30 Tagen.
• Rückmeldungen löschen wir, sobald sie bearbeitet sind, spätestens nach 30 Tagen.
• Geräte-Kennungen für Push entfernen wir, sobald Sie Push abschalten, die App entfernen oder die Kennung ungültig wird.
• Sicherungskopien: Datenbank und Dateispeicher werden regelmäßig gesichert, damit nach einem Ausfall nichts verloren geht. Gelöschte Daten können deshalb noch bis zu 30 Tage in einer Sicherung enthalten sein; sie werden dort nicht weiterverwendet und mit der Sicherung überschrieben.

12. Ihre Rechte

Ihnen stehen gegenüber dem jeweils Verantwortlichen (siehe Abschnitt 2) zu:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für die Ausübung genügt eine Nachricht an kontakt@hausklar.app. Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

13. Datensicherheit

• Die Verbindung zwischen Ihrem Gerät und unseren Servern ist durchgehend mit TLS verschlüsselt.
• Passwörter speichern wir ausschließlich als nicht rückrechenbaren Hash. Auf Wunsch können Sie Ihr Konto zusätzlich mit einer Zwei-Faktor-Anmeldung schützen; die mobile App lässt sich per Face ID oder Fingerabdruck sperren.
• Die Daten verschiedener Vermieterbetriebe sind technisch strikt getrennt. Jede Abfrage ist auf die eigene Organisation begrenzt; Mieterinnen und Mieter sehen ausschließlich das eigene Mietverhältnis und ausdrücklich freigegebene Dokumente.
• Hochgeladene Dateien liegen in einem separaten Dateispeicher und sind nur über geprüfte, zeitlich begrenzte Zugriffe erreichbar.

14. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung; das Datum oben zeigt den aktuellen Stand. Bei wesentlichen Änderungen informieren wir angemeldete Nutzerinnen und Nutzer zusätzlich in der Anwendung.