Datenschutzerklärung

Verantwortlicher im Sinne der DSGVO ist:

Ansprechpartner für Datenschutzfragen ist Marc André Reins, erreichbar unter der oben genannten Anschrift. Für Anfragen zum Datenschutz nutzen Sie bitte die Kontaktdaten aus Abschnitt 1.

Beim Betrieb von immoportalplus verarbeiten wir insbesondere folgende Daten:

• Mängelmeldungen von Mietern: Name, Kontaktdaten (E-Mail, ggf. Telefon), Anschrift/Wohnungsnummer, Beschreibung des Mangels, Priorität, hochgeladene Fotos, Zeitstempel.
• Statusabfragen: Aufruf des Tracking-Links (Token) durch den Meldenden.
• Admin-/Hausverwaltungs-Konten: E-Mail-Adresse, verschlüsseltes Passwort, Rollen, Zuordnung zu Objekten/Firmen, Aktivitätsprotokolle (z.B. Statusänderungen).
• Server-Logdaten: IP-Adresse, User-Agent, Zeitstempel und aufgerufene URL zur Bereitstellung und Absicherung des Dienstes.
• Nutzungsdaten: pseudonyme Seitenaufrufe zur Verbesserung der Bedienbarkeit (ohne externes Tracking).

• Bearbeitung der Mängelmeldung durch die Hausverwaltung — Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertragliche Maßnahmen) bzw. lit. f (berechtigtes Interesse an der Instandhaltung des Mietobjekts).
• Bereitstellung des Admin-Bereichs für Kunden (Hausverwaltungen) — Art. 6 Abs. 1 lit. b DSGVO.
• Sicherheit, Missbrauchsvermeidung, Log-Analyse — Art. 6 Abs. 1 lit. f DSGVO.
• Erfüllung gesetzlicher Pflichten (z.B. Aufbewahrungsfristen) — Art. 6 Abs. 1 lit. c DSGVO.

Personenbezogene Daten aus Mängelmeldungen werden an die jeweils zuständige Hausverwaltung übermittelt, die den Kunden-Account bei immoportalplus nutzt. Zur technischen Bereitstellung setzen wir sorgfältig ausgewählte Auftragsverarbeiter ein, mit denen Verträge nach Art. 28 DSGVO bestehen:

• Hosting/Edge-Netzwerk: Auslieferung der Web-Anwendung über ein CDN/Edge-Netzwerk (Cloudflare Workers) innerhalb der EU. Dabei werden zur Bereitstellung und Absicherung technisch notwendige Verbindungsdaten (IP-Adresse, User-Agent, Zeitstempel) verarbeitet — Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.
• E-Mail-Versand: Transaktionale Benachrichtigungen (z. B. neue Meldung, Statusänderung) werden über einen E-Mail-Dienstleister versendet. Der konkrete Anbieter wird auf Anfrage benannt.

Sofern zusätzliche Dienste (z. B. Analyse-Tools, Zahlungsanbieter) eingesetzt werden, wird diese Erklärung entsprechend ergänzt.

Beim Erstellen einer Mängelmeldung können Meldende ein oder mehrere Fotos hochladen, um den Mangel zu dokumentieren. Für diese Uploads gilt Folgendes:

• Zweck: Nachweis und Bearbeitung des gemeldeten Mangels durch die Hausverwaltung sowie ggf. beauftragte Handwerker oder Versicherer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung (vor-)vertraglicher Maßnahmen aus dem Mietverhältnis) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Instandhaltung und Dokumentation).
• Speicherort: Die Fotos werden im nicht-öffentlichen Supabase-Storage-Bucket ticket-photos abgelegt. Der Zugriff erfolgt ausschließlich über signierte, zeitlich begrenzte URLs für berechtigte Nutzer (Hausverwaltung, zugewiesene Handwerker) sowie über einen personalisierten Tracking-Link für den Meldenden selbst.
• Bildinhalte und Metadaten: Fotos können personenbeziehbare Informationen enthalten (z. B. Räume, Einrichtung, ggf. abgebildete Personen). Die Anwendung liest zur Plausibilisierung serverseitig Bild-Metadaten (u. a. Aufnahmedatum/EXIF-Timestamp) aus. Standortinformationen (GPS-EXIF) werden nicht ausgewertet und im Rahmen der Bildverarbeitung entfernt bzw. nicht gespeichert, soweit dies technisch möglich ist.
• Übertragung und Verschlüsselung: Der Upload erfolgt ausschließlich über eine TLS-verschlüsselte Verbindung (HTTPS). Die Ablage im Objekt-Storage erfolgt verschlüsselt „at rest" durch den Anbieter.
• Zugriffsschutz: Der Bucket ticket-photos ist privat; öffentliche Bucket-URLs existieren nicht. Der Zugriff wird über Supabase-Storage-Policies sowie die auf dem zugehörigen Ticket geltende Row-Level-Security der Datenbank abgesichert.
• Speicherdauer der Fotos: Fotos werden 30 Tage nach Status „erledigt" automatisch aus dem Storage-Bucket ticket-photos entfernt und das Feld foto_url im Ticketdatensatz auf NULL gesetzt. Wird ein Ticket in den Papierkorb verschoben, werden Ticket und Foto 90 Tage nach Löschung endgültig entfernt (Hard-Delete). Beide Fristen werden durch einen automatischen pg_cron-Job (/api/public/cron/cleanup-deleted-tickets, täglich) verlässlich durchgesetzt.
• Freiwilligkeit: Die Bereitstellung von Fotos ist freiwillig. Ohne Fotos bleibt eine Meldung möglich; die Bearbeitung kann sich dadurch aber verzögern oder die Beurteilung erschweren.
• Öffentliche Assets (Branding): Getrennt davon existiert der öffentliche Bucket branding für Logos/Farben der jeweiligen Hausverwaltung. Hier werden ausschließlich vom Kunden bewusst bereitgestellte Firmen-Assets, keine personenbezogenen Meldungsinhalte, gespeichert.

Soweit Hausverwaltungen immoportalplus zur Verarbeitung von Daten ihrer Mieter einsetzen, handeln wir insoweit als Auftragsverarbeiter gemäß Art. 28 DSGVO. Grundlage ist ein Auftragsverarbeitungsvertrag (AVV) zwischen der Hausverwaltung als Verantwortlichem und uns als Auftragsverarbeiter. Der AVV regelt insbesondere:

• Gegenstand, Art und Zweck der Verarbeitung sowie Kategorien betroffener Personen.
• Technische und organisatorische Maßnahmen (TOM).
• Einsatz und Kontrolle von Unterauftragsverarbeitern (insb. Supabase).
• Unterstützung bei Betroffenenrechten und Meldepflichten.
• Rückgabe/Löschung der Daten nach Vertragsende.

Hausverwaltungen können den AVV über die oben genannte Kontaktadresse anfordern.

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies verlangen (Art. 5 Abs. 1 lit. e DSGVO – „Speicherbegrenzung"). Für die zentralen Datenkategorien gelten folgende konkrete Fristen und Löschmechanismen:

8.1 Tickets / Mängelmeldungen (Tabelle tickets)

• Aktive Tickets: Speicherung bis zum Statuswechsel auf erledigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO (Vertragsdurchführung / berechtigtes Interesse an der Mängelbeseitigung).
• Erledigte Tickets: Der Datensatz bleibt zu Nachweis- und SLA-Zwecken sowie zur Reklamationsbearbeitung erhalten. Fotos werden jedoch bereits 30 Tage nach Erledigung automatisch aus dem Storage entfernt (siehe 8.3).
• Soft-Delete (Papierkorb): Beim Löschen durch die Hausverwaltung wird das Ticket zunächst mit einem Zeitstempel deleted_at markiert und in den Papierkorb verschoben – so ist eine Wiederherstellung möglich.
• Hard-Delete: 90 Tage nach Verschieben in den Papierkorb wird der Ticket-Eintrag unwiderruflich aus der Datenbank (Tabellen tickets, ticket_audit, ticket_communications) und das zugehörige Foto aus dem Storage entfernt.
• Handelsrechtliche Aufbewahrung: Sofern Tickets in Buchhaltungs-/Rechnungsprozesse einfließen, kann die verantwortliche Hausverwaltung darauf gestützte Auszüge bis zu 10 Jahre aufbewahren (§ 147 AO, § 257 HGB). Der betroffene Datensatz ist während dieser Zeit zugriffsbeschränkt.

8.2 Auditlog und Kommunikation

• ticket_audit: Status- und Prioritätsänderungen werden zu Beweiszwecken protokolliert und mit dem Ticket zusammen gelöscht (Hard-Delete nach 90 Tagen im Papierkorb, kaskadierend).
• ticket_communications: E-Mail-Benachrichtigungen an Mieter (Statusupdates, Tracking-Links) werden analog zusammen mit dem Ticket gelöscht.
• page_visits: Anonymisierte Reichweitendaten werden nach 90 Tagen automatisch aggregiert bzw. gelöscht.

8.3 Foto-Uploads im Storage-Bucket ticket-photos

• Aktive Meldung: Foto bleibt gespeichert, solange das Ticket bearbeitet wird.
• Nach Erledigung: 30 Tage nach Status „erledigt" wird die Datei aus dem privaten Bucket ticket-photos entfernt und die Referenz foto_url im Ticket auf NULL gesetzt. Der Ticketdatensatz selbst bleibt erhalten.
• Nach Soft-Delete: Beim endgültigen Löschen (90 Tage nach Papierkorb) wird das Foto zusammen mit dem Ticket aus dem Storage entfernt.
• Signierte URLs: Zugriffslinks (Signed URLs) sind auf maximal 1 Stunde begrenzt; nach Ablauf verlieren sie ihre Gültigkeit vollständig.

8.4 Konto- und Zugangsdaten (Supabase Auth)

• Admin-/Verwalter-Accounts (auth.users, profiles, user_roles) bleiben für die Dauer des Vertragsverhältnisses gespeichert und werden auf Anforderung bzw. innerhalb von 30 Tagen nach Vertragsende gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Passwörter werden ausschließlich als bcrypt-Hash gespeichert; Session-/Refresh-Tokens werden bei Logout bzw. mit Ablauf automatisch invalidiert.

8.5 Löschmechanismen im Überblick

• Manuelle Löschung: Über den Admin-Bereich können Hausverwaltungen Tickets jederzeit in den Papierkorb verschieben. Betroffene können nach Art. 17 DSGVO die Löschung ihrer Daten verlangen (siehe Abschnitt 10).
• Automatischer pg_cron-Job: Der Endpunkt /api/public/cron/cleanup-deleted-tickets läuft täglich und führt zuverlässig beide Bereinigungen durch: (1) Foto-Purge für erledigte Tickets nach 30 Tagen und (2) Hard-Delete inkl. Foto für Papierkorb-Tickets nach 90 Tagen. Die Ausführung ist server-seitig durch ein Cron-Secret abgesichert.
• Datenbank-Kaskaden: Beim Hard-Delete eines Tickets werden über ON DELETE CASCADE-Beziehungen zugehörige Audit- und Kommunikationsdatensätze automatisch mitgelöscht.
• Backups: Aus technischen Backups des Cloud-Anbieters (Point-in-Time-Recovery) werden Daten spätestens nach 30 Tagen überschrieben; auf Anforderung können Backups im Rahmen gesetzlicher Fristen selektiv gelöscht werden.

Abweichende, kürzere Löschfristen kann die jeweilige Hausverwaltung als Verantwortlicher konfigurieren; die oben genannten Werte stellen die Standardfristen der Plattform dar.

immoportalplus setzt ausschließlich technisch notwendige Cookies bzw. vergleichbare Speichermechanismen im Sinne des § 25 Abs. 2 Nr. 2 TDDDG (früher TTDSG) ein. Für diese ist nach dem Gesetz keine Einwilligung erforderlich, da sie zwingend nötig sind, um die von Ihnen ausdrücklich gewünschten Funktionen (Ticket-Meldung, Login, Statusabfrage) bereitzustellen. Es kommen keine Cookies oder Technologien zu Marketing-, Werbe- oder Profiling-Zwecken zum Einsatz. Wir setzen weder Google Analytics, Google Tag Manager, Meta-/Facebook-Pixel, TikTok-Pixel noch vergleichbare Tracker Dritter ein. Ein Cookie-Banner ist deshalb nicht erforderlich.

9.1 Eingesetzte Speichertechniken im Detail

• Supabase Auth – Session-Token (localStorage): Beim Login im Admin-/Verwalter-Bereich speichert unsere Auth-Bibliothek einen Schlüssel der Form sb-<projekt>-auth-token im localStorage Ihres Browsers. Er enthält Ihr JWT-Access-Token und einen Refresh-Token und ist zwingend erforderlich, um Sie über Seitenaufrufe hinweg angemeldet zu halten (Art. 6 Abs. 1 lit. b DSGVO, § 25 Abs. 2 Nr. 2 TDDDG). Speicherdauer: bis zum Logout bzw. bis zum Ablauf des Refresh-Tokens.
• Supabase Storage – signierte URLs: Signierte, zeitlich begrenzte URLs für Foto-Uploads werden nur im flüchtigen Arbeitsspeicher des Browsers gehalten und nicht dauerhaft gespeichert.
• Design-/UI-Einstellungen (localStorage): Nutzerpräferenzen wie das Farbschema (Hell/Dunkel) und Anzeigeoptionen werden lokal in Ihrem Browser gespeichert. Diese Daten verlassen Ihr Gerät nicht.
• CSRF- und Sicherheits-Cookies: Session-basierte Cookies unseres Hosters/Backends dienen ausschließlich der Absicherung von Formularen und der API-Kommunikation (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer sicheren Bereitstellung).
• Reichweitenmessung (Seitenaufrufe): Zur internen Auswertung der Nutzung erfassen wir anonymisierte Aufrufe (Pfad, ggf. UTM-Parameter, Referrer-Domain, Zeitstempel) in der Tabelle page_visits. Es werden keine Cookies gesetzt, keine IP-Adressen im Klartext gespeichert und keine geräteübergreifenden Profile gebildet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung). Ein Widerspruch ist jederzeit möglich (siehe 9.3).

9.2 Keine Drittanbieter-Tracker und kein Cross-Site-Tracking

Wir binden keine externen Skripte zu Werbe- oder Analysezwecken ein. Es finden keine Datenübermittlungen an Google, Meta, Microsoft, TikTok, X (Twitter) oder vergleichbare Werbenetzwerke statt. Eingebettete Ressourcen (z. B. Icons, Schriftarten) werden – soweit möglich – lokal ausgeliefert, um Verbindungen zu Dritten zu vermeiden.

9.3 Opt-out und Widerspruchsmöglichkeiten

Für die eingesetzten technisch notwendigen Cookies ist eine Einwilligung nicht erforderlich; ein „Ablehnen“ dieser Cookies würde den Betrieb der Anwendung (insb. Login und Ticket-Funktionen) unmöglich machen. Sie haben dennoch folgende Kontroll- und Widerspruchsmöglichkeiten:

• Browser-Einstellungen: Sie können Cookies und localStorage in Ihrem Browser jederzeit einsehen, einzeln oder vollständig löschen und deren Speicherung generell oder pro Website blockieren. Anleitungen dazu bieten u. a. Chrome, Firefox, Safari und Edge. Über den „Privaten Modus“ / „Inkognito-Fenster“ werden Speicherinhalte am Ende der Sitzung automatisch verworfen.
• Abmelden (Logout): Ein Klick auf „Abmelden“ im Admin-Bereich entfernt das Supabase-Session-Token unmittelbar aus dem localStorage.
• Do-Not-Track / Global Privacy Control: Wir werten diese Header derzeit nicht aktiv aus, weil wir ohnehin keine Werbe- oder Cross-Site-Tracker einsetzen. Eine Aktivierung schadet also nicht.
• Widerspruch gegen die Reichweitenmessung (Art. 21 DSGVO): Gegen die unter 9.1 beschriebene anonymisierte Reichweitenmessung können Sie jederzeit formlos widersprechen – per E-Mail an datenschutz@immoportalplus.de. Wir stellen dann sicher, dass Ihre Aufrufe nicht weiter erfasst werden.

Sie haben gegenüber dem Verantwortlichen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten. Sie können diese Rechte jederzeit unentgeltlich ausüben:

• Auskunft (Art. 15 DSGVO): Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob wir Sie betreffende personenbezogene Daten verarbeiten. Sofern dies der Fall ist, können Sie Auskunft über diese Daten sowie über die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger oder Kategorien von Empfängern und die geplante Speicherdauer verlangen.
• Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die unverzügliche Berichtigung Sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung haben Sie auch das Recht, die Vervollständigung unvollständiger Daten zu verlangen.
• Löschung (Art. 17 DSGVO): Sie haben das Recht, die unverzügliche Löschung Sie betreffender personenbezogener Daten zu verlangen, soweit keine gesetzlichen Aufbewahrungspflichten oder andere Rechtfertigungen nach Art. 17 Abs. 3 DSGVO entgegenstehen (z. B. laufende Vertrags- oder Abrechnungsvorgänge).
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, wenn eine der in Art. 18 DSGVO genannten Voraussetzungen vorliegt (z. B. wenn Sie die Richtigkeit der Daten bestreiten).
• Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen ohne Behinderung zu übermitteln, sofern die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und die Verarbeitung mit automatisierten Mitteln erfolgt.
• Widerspruch (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Sofern die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung.

Unabhängig von einem anderen Rechtsbehelf steht Ihnen ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für unseren Sitz in Köln ist die zuständige Aufsichtsbehörde:

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen unbefugten Zugriff, Verlust und Manipulation zu schützen. Dazu gehören insbesondere:

• Verschlüsselte Übertragung sämtlicher Verbindungen (HTTPS/TLS).
• Verschlüsselte Speicherung („at rest") in Datenbank und Objekt-Storage bei Supabase.
• Zugriffskontrolle durch Supabase Auth (E-Mail/Passwort, gehashte Passwörter, Session-Tokens, Rollen- und Rechte­system einschließlich zeitlich begrenzter Admin-Passwörter).
• Feingranulare Zugriffsregeln auf Datenbankebene mittels Row Level Security(RLS) sowie Storage-Policies für den Foto-Bucket; standardmäßig kein anonymer Lese- oder Schreibzugriff auf Ticket-Daten.
• Nutzung von signierten, zeitlich begrenzten URLs für den Zugriff auf hochgeladene Fotos statt öffentlicher Direktlinks.
• Protokollierung sicherheitsrelevanter Vorgänge (Audit-Log, Kommunikationsprotokolle).
• Regelmäßige Aktualisierungen der eingesetzten Systeme und Abhängigkeiten.

Die produktive Datenverarbeitung — insbesondere Datenbank und Foto-Speicher bei Supabase — findet innerhalb der Europäischen Union statt (Region Paris, Frankreich). Eine Übermittlung personenbezogener Daten in Länder außerhalb der EU/des EWR findet im Regelbetrieb nicht statt. Soweit im Einzelfall (z. B. Support durch den Infrastrukturanbieter) ein Zugriff aus einem Drittland erforderlich sein kann, erfolgt dieser nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere der EU-Standard­vertragsklauseln (SCC).

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung ändert oder rechtliche Vorgaben dies erfordern. Die jeweils aktuelle Fassung finden Sie stets unter /datenschutz.