Datenschutzerklärung

1. Verantwortlicher

Datenschutzkontakt: mail@bestitgmbh.de

2. Konto und Anmeldung

Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse, einen ausschließlich als Hash gespeicherten Passwortnachweis sowie Sicherheits- und Sitzungsdaten. Zweck ist die Einrichtung und Absicherung deines Kontos sowie die Vertragserfüllung. Passkeys speichern serverseitig nur den öffentlichen Schlüssel, Zähler und technische Metadaten; biometrische Merkmale verlassen dein Endgerät nicht.

Meldest du dich mit Google an oder verknüpfst du dein Konto mit Google, leitet dich Mietvesta zur Anmeldeseite der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) weiter. Google übermittelt uns danach eine Kontokennung, deinen Namen, deine E-Mail-Adresse und die Angabe, ob diese bestätigt ist. Ein Profilbild sowie der Zugriff auf Mails, Kalender, Kontakte oder Dateien werden nicht angefragt, und Mietvesta speichert keine Google-Zugriffstokens. Gespeichert werden die Kontokennung, die E-Mail-Adresse des Google-Kontos sowie die Zeitpunkte der Verknüpfung und der letzten Nutzung, solange die Verknüpfung besteht. Du kannst sie in den Einstellungen trennen; bei der Kontolöschung wird sie entfernt. Für die Anmeldeseite selbst ist Google verantwortlich (Datenschutzerklärung: policies.google.com/privacy). Dabei kann eine Übermittlung an die Google LLC in den USA stattfinden, die nach dem EU-US Data Privacy Framework zertifiziert ist. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), da du diese Anmeldeart selbst wählst.

3. Objekt-, Finanz- und Abrechnungsdaten

Gespeichert werden die von dir eingegebenen Analysen, Objekte, Wohnungen, Mieterbezeichnungen, Kosten, Einnahmen, Dokumentationsnotizen und Importdaten. Diese Angaben dienen ausschließlich den von dir aufgerufenen Analyse-, Tracking-, Forecast- und Abrechnungsfunktionen. Verwende bei Testabrechnungen nach Möglichkeit keine unnötigen personenbezogenen Angaben.

4. Importe und Schnittstellen

CSV- und API-Importe werden deinem Konto beziehungsweise Projekt zugeordnet. Bei einem CSV-Import in der App werden Zeilen und mögliche Dubletten vor der Bestätigung lokal als Vorschau angezeigt. Von dir eingerichtete API-Zugänge übernehmen technisch validierte Buchungen dagegen ohne zusätzliche Vorschau direkt und idempotent in das gewählte Projekt. Eine API-Verbindung wird erst durch das bewusste Erstellen eines persönlichen Zugriffstokens möglich.

5. Marktinserate und externe Bilder

Marktdaten können Titel, Preise, Orte, Links und Bildadressen externer Immobilienplattformen enthalten. Inseratsbilder lädt dein Browser ausschließlich über den Mietvesta-Bildproxy derselben Website. Der Proxy verwendet nur die zum Inserat gespeicherte Adresse und freigegebene Bildhosts; er übermittelt weder dein Sitzungscookie noch deinen Browser-Referrer an den Bildanbieter. Der Bildanbieter sieht dabei die Serververbindung, nicht deine Browser-IP. Erst wenn du den Link zum Originalinserat öffnest, stellst du selbst eine direkte Verbindung zur Quellplattform her; dann gelten deren Datenschutzhinweise.

6. Verbindung mit HomeCrafter (Bau & Planung)

Bau- und Grundrissplanung erfolgt in der eigenständigen Anwendung HomeCrafter mit eigenem Konto. Nur wenn du die Verbindung in Mietvesta ausdrücklich startest und in HomeCrafter bestätigst, erhält Mietvesta einen widerrufbaren Zugriffsschlüssel; Passwörter werden nicht ausgetauscht. Mietvesta liest damit deine HomeCrafter-Projekte, deren Kostenkennzahlen, bezahlte Rechnungen (Betrag, Datum, Beschreibung und Kategorie, die auch Namen von Handwerkern enthalten können) und Raumflächen aus dem Grundriss und speichert die zuletzt gelesene Zusammenfassung am verknüpften Objekt sowie den Anzeigenamen deines HomeCrafter-Kontos. Übernimmst du bezahlte Rechnungen, werden sie als Ist-Buchungen deines Objekts gespeichert. Legst du aus einem Objekt ein HomeCrafter-Projekt an oder verknüpfst eines, werden Objektname, Adresse und Wohnfläche beziehungsweise eine Verknüpfungskennung des Objekts an HomeCrafter übermittelt. Der Zugriffsschlüssel liegt nur verschlüsselt vor. Du kannst die Verbindung jederzeit in den Einstellungen von Mietvesta oder HomeCrafter trennen. Bei der Löschung deines Mietvesta-Kontos werden die Verbindungsdaten gelöscht und der Zugriff bei HomeCrafter widerrufen; ist HomeCrafter dabei nicht erreichbar, trennst du die Verbindung zusätzlich in HomeCrafter unter „Verbundene Apps“. Verschlüsselte Sicherungskopien werden nach Ablauf ihrer Aufbewahrungsfrist gelöscht. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags auf deine Anforderung.

7. Serverprotokolle und Prüfpfad

Webserver-Zugriffsprotokolle können IP-Adresse, Zeitpunkt, angeforderten Pfad, Statuscode und Browserkennung enthalten. Sie werden täglich rotiert und in der aktuellen Betriebskonfiguration höchstens 14 Rotationen vorgehalten. Zusätzlich protokolliert ein kontogebundener Prüfpfad insbesondere Registrierung und Anmeldung sowie Änderungen an Projekten, Wohnungen, Ist-Buchungen, Importen, Abrechnungen und API-Zugängen. Er enthält Zeitpunkt, Aktionsart, technische Objekt- und Akteurskennungen, die IP-Adresse und begrenzte technische Details. Die Aufbewahrungsfrist beträgt 365 Tage; ältere Einträge werden beim nächsten täglichen Bereinigungslauf entfernt. Bei einer Kontolöschung werden ihre Konto-, Akteurs-, Objekt- und IP-Bezüge unmittelbar anonymisiert.

8. Testphase, Abonnement und Zahlung

Die reine 7-Tage-Testphase des Kontos verlangt keine Zahlungsdaten und löst keine Abbuchung aus. Erst wenn du nach ihrem Ablauf aktiv ein kostenpflichtiges Abo bestellst, werden deine Konto-E-Mail sowie – je nach gewählter Zahlungsart – im Stripe-Checkout Name, Rechnungsanschrift, gegebenenfalls Steuerangaben, Tarif, Gesamtpreis, Währung und Zahlungsart beziehungsweise bei PayPal die Zustimmung zum Abo für Vertrag, Zahlung und Rechnung verarbeitet. Kartenangaben oder die vollständige IBAN gibst du ausschließlich auf der von Stripe gehosteten Zahlungsseite ein; Mietvesta speichert diese Angaben nicht. Bei SEPA-Lastschrift erteilst du dort das erforderliche Mandat.

Wählst du PayPal, wirst du zu PayPal weitergeleitet, meldest dich dort an und stimmst den wiederkehrenden Zahlungen zu. Mietvesta erhält von PayPal die Abo-Kennung, den Abo-Status, Zahlungs-, Erstattungs- und Rückbuchungsreferenzen, Beträge, Zeiträume und die nächste Fälligkeit, nicht aber deine PayPal-Zugangsdaten oder die bei PayPal hinterlegte Zahlungsquelle. Die Vertragsreferenz wird PayPal als Zuordnungsmerkmal übermittelt.

Mietvesta erhält vom Zahlungsdienstleister technische Kunden-, Checkout-, Abo-, Zahlungs- und Rechnungsreferenzen sowie Status-, Betrags-, Zeitraum- und Steuerinformationen. Gespeichert werden außerdem die bestätigte AGB-Version, Vertragsreferenz, Preisstand, Zeitpunkt, IP-Adresse und Browserkennung der Bestellung. Zahlungsereignisse werden per signiertem Webhook übernommen und bei PayPal zusätzlich direkt bei PayPal abgefragt; rohe Zahlungsdaten und rohe Webhook-Inhalte werden nicht dauerhaft gespeichert. Im Stripe-Kundenportal beziehungsweise in deinem PayPal-Konto kannst du Zahlungsdaten direkt beim Zahlungsdienstleister verwalten.

Für Kündigung und Widerruf verarbeiten wir Name, E-Mail, Vertragsreferenz, Erklärungsart, Zeitpunkte und – soweit angegeben – Beendigungswunsch oder Kündigungsgrund. Diese Angaben dienen der Zuordnung, Ausführung und dauerhaften Eingangsbestätigung deiner Erklärung.

9. Rechtsgrundlagen

Kontoführung, Testphase, Aboverwaltung, Zahlung, Rechnung, Kündigung und Widerruf erfolgen zur Durchführung vorvertraglicher Maßnahmen und zur Vertragserfüllung. Gesetzlich erforderliche Vertrags-, Steuer- und Rechnungsnachweise werden zur Erfüllung rechtlicher Pflichten verarbeitet. Sicherheitsprotokolle, Missbrauchsschutz, Forderungsverwaltung und die nutzerinitiierte Darstellung von Marktinseraten beruhen auf dem berechtigten Interesse an einem stabilen, sicheren und funktionalen Dienst sowie an der Rechtsverteidigung. Optionale Integrationen oder nicht notwendige Speicherungen werden nur nach deiner Aktivierung beziehungsweise Einwilligung verwendet.

10. Hosting, E-Mail und Zahlungsdienstleister

Technische Dienstleister erhalten Daten nur soweit dies für die jeweilige Aufgabe erforderlich ist und werden nach ihrer Rolle vertraglich eingebunden. Hosting: netcup GmbH (Anwendungsserver) und Hetzner Online GmbH (vorgelagerter Webserver), Daimlerstraße 25, 76185 Karlsruhe, Deutschland bzw. Industriestr. 25, 91710 Gunzenhausen, Deutschland. E-Mail-Versand: Mailjet SAS, 13-13 bis rue de l'Aubrac, 75012 Paris, Frankreich.

Zahlungsabwicklung, wiederkehrende Karten- oder SEPA-Zahlungen, Rechnungen und Kundenportal: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Maßgeblich ist die vor dem Live-Start anhand des tatsächlichen Stripe-Kontos bestätigte Vertragsgesellschaft, nicht nur die Markenbezeichnung „Stripe“. Stripe verarbeitet Zahlungsdaten überwiegend in der EU; eine Übermittlung an Stripe, Inc. in den USA ist möglich und erfolgt auf Grundlage des EU-US Data Privacy Framework sowie der Standardvertragsklauseln der EU-Kommission. Datenschutzhinweis des Zahlungsdienstleisters.

Zahlung per PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. PayPal verarbeitet die Zahlungs- und Kontodaten als eigenständig Verantwortlicher; es gelten die Datenschutzhinweise von PayPal. Vertragspartner, Verarbeitungsorte und Garantien für mögliche Drittlandübermittlungen sind vor dem Live-Start anhand des tatsächlichen PayPal-Geschäftskontos zu bestätigen.

11. Speicherdauer und Sicherungen

Konten und Projektdaten bleiben bis zur Löschung des Kontos beziehungsweise bis zum Ablauf gesetzlicher oder vertraglicher Pflichten gespeichert. Das notwendige Sitzungscookie läuft spätestens nach 30 Tagen ab; der tägliche Bereinigungslauf entfernt zeitlich begrenzte Sicherheitsartefakte. Checkout-Idempotenzdaten werden nach höchstens 2 Tagen entfernt, technische Zahlungsereignisse nach 730 Tagen, elektronische Kündigungs- und Widerrufsnachweise nach 2.555 Tagen sowie Rechnungsmetadaten und dokumentierte Vertragsannahmen nach 3.650 Tagen. Soweit eine kürzere Speicherung geboten ist, werden Daten früher gelöscht; zwingende Aufbewahrungs- oder Rechtsverteidigungspflichten können einer sofortigen Löschung entgegenstehen. Die eigenständigen Fristen des Zahlungsdienstleisters ergeben sich aus dessen Datenschutzhinweisen.

Ein aktives Abo muss vor der Kontolöschung beendet werden. Anschließend wird ein gegebenenfalls vorhandenes Stripe-Kundenobjekt zur Löschung angewiesen; für PayPal-Abos legt Mietvesta kein eigenes Kundenobjekt an, dein PayPal-Konto verwaltest du direkt bei PayPal. Gesetzlich aufzubewahrende Vertrags- und Rechnungsnachweise können ohne Kontozuordnung fortbestehen. Im freigegebenen Produktionsbetrieb werden zugriffsgeschützte Datenbanksicherungen täglich erstellt; Sicherungen, die älter als 30 Tage sind, entfernt der tägliche Sicherungslauf automatisch. Gelöschte Daten können deshalb bis zum Ablauf dieser Rotation noch in einer Sicherung enthalten sein.

12. Deine Rechte

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und – bei entsprechender Rechtsgrundlage – Widerspruch oder Widerruf verlangen. Außerdem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde. Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden.