Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

Tim Kraft
Posseltstraße 5
69120 Heidelberg
Deutschland
E-Mail: info@bid-2-rent.com
Kontaktformular: bid-2-rent.com/kontakt

2. Allgemeine Hinweise

Geltungsbereich

Diese Datenschutzerklärung gilt für die Nutzung der Plattform BID2RENT, erreichbar unter bid-2-rent.com sowie zugehöriger Subdomains und Anwendungen (im Folgenden „Plattform“).

Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags oder vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung einer rechtlichen Verpflichtung
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse

3. Datenerhebung beim Besuch der Website

Bei jedem Aufruf der Plattform werden durch den Browser des Nutzers automatisch Informationen an den Server der Plattform gesendet und in sogenannten Server-Logfiles gespeichert. Folgende Daten werden dabei ohne Zutun des Nutzers erhoben und bis zur automatisierten Löschung gespeichert:

• IP-Adresse des anfragenden Geräts (anonymisiert)
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Website, von der aus der Zugriff erfolgt (Referrer-URL)
• Verwendeter Browser, ggf. Betriebssystem und Name des Zugriffsproviders

Zweck und Rechtsgrundlage:

Die Verarbeitung erfolgt zur Gewährleistung eines reibungslosen Verbindungsaufbaus, einer komfortablen Nutzung, zur Auswertung der Systemsicherheit und -stabilität sowie zu weiteren administrativen Zwecken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse folgt aus den oben aufgeführten Zwecken zur Datenerhebung.

Speicherdauer: 14 Tage, sofern nicht zur Aufklärung eines konkreten Sicherheitsvorfalls eine längere Speicherung erforderlich ist.

4. Registrierung und Nutzerkonto

Für die Nutzung bestimmter Funktionen (Inserate erstellen als Vermieter, Gebote abgeben als Mietinteressent, Suchprofile speichern) ist eine Registrierung erforderlich.

Erhobene Daten

• Vor- und Nachname
• E-Mail-Adresse
• Telefonnummer (zur SMS-Verifizierung)
• Passwort (verschlüsselt gespeichert)
• Optional: Rechnungsadresse (für Vermieter zur Inseratsgebühr-Abrechnung)
• Optional: Google-Account-Daten bei Nutzung von Google OAuth (Name, E-Mail, Profilbild)

Zweck und Rechtsgrundlage

Die Verarbeitung dient der Bereitstellung des Nutzerkontos und der Vertragsdurchführung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer

Nutzerdaten werden bis zur Löschung des Nutzerkontos gespeichert. Nach Löschung werden personenbezogene Daten unverzüglich entfernt, sofern keine gesetzlichen Aufbewahrungspflichten (insb. § 257 HGB, § 147 AO – 6 bis 10 Jahre für Geschäftsunterlagen und Rechnungen) entgegenstehen.

5. SMS-Verifizierung (Twilio)

Zur Verifizierung der angegebenen Telefonnummer wird der Dienst Twilio eingesetzt.

Anbieter

Twilio Inc., 375 Beale Street, Suite 300, San Francisco, CA 94105, USA

Verarbeitete Daten

• Telefonnummer
• Verifizierungscode
• Zeitstempel der Verifizierung

Datenübermittlung in Drittländer

Twilio ist ein US-amerikanischer Anbieter. Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Twilio ist zudem nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Spam- und Missbrauchsprävention).

6. Inserate und Bietverfahren

Daten von Vermietern (Inseratsgeber)

Bei der Erstellung eines Inserats werden folgende Daten verarbeitet:

• Objektdaten (Adresse, Wohnfläche, Zimmeranzahl, Ausstattung, Fotos)
• Wunschmiete und gewünschte Mietkonditionen
• Laufzeit der Bietphase
• Rechnungsadresse (für die Inseratsgebühr)

Daten von Mietinteressenten (Bietende)

Bei Abgabe eines Gebots werden folgende Daten erhoben und nach Ablauf der Bietphase dem Vermieter zur Verfügung gestellt:

• Name und Kontaktdaten
• Höhe des Gebots
• Zeitpunkt der Gebotsabgabe
• Ergebnis der Bonitäts-Checks (erfüllt/nicht erfüllt bzw. Stufe) sowie Eckdaten (Personenzahl, Haustiere, Beschäftigungsart, Bürgschaft) – keine Einkommensbeträge und keine Dokumente

Die Bonitäts-Checks werden aus der Selbstauskunft berechnet (Beschäftigungsstatus, Haushaltsnettoeinkommen, öffentliche Kostenübernahme sowie Angaben zu negativen SCHUFA-Einträgen, Mietrückständen, Insolvenz und Räumungstiteln). Die Selbstauskunft selbst verbleibt im Nutzerkonto und wird dem Vermieter nicht übermittelt. Ein Hochladen von Dokumenten (z. B. Ausweis, Einkommensnachweis, SCHUFA-Auskunft) ist nicht vorgesehen; Nachweise legen Mietinteressenten dem Vermieter direkt bei der Besichtigung vor.

Zweck und Rechtsgrundlage

Die Verarbeitung dient der Durchführung des Bietverfahrens und der Bereitstellung der Bewerberdaten an den Vermieter zur Auswahl eines Vertragspartners. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Datenweitergabe an Vermieter

Nach Ablauf der Angebotsfrist werden die Bieterdaten automatisch dem jeweiligen Vermieter offengelegt. Mietinteressenten werden vor Abgabe eines Gebots ausdrücklich darauf hingewiesen. Mit der Gebotsabgabe willigen Mietinteressenten in diese Offenlegung gemäß Art. 6 Abs. 1 lit. a DSGVO ein.

Speicherdauer

Gebote und zugehörige Daten werden für die Dauer von 12 Monaten nach Abschluss der Bietphase aufbewahrt, um Streitfälle und Nachfragen bearbeiten zu können. Anschließend werden personenbezogene Daten anonymisiert oder gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Zahlungsabwicklung (Stripe)

Für die Abrechnung der Inseratsgebühr wird der Zahlungsdienstleister Stripe eingesetzt.

Anbieter

Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland

Verarbeitete Daten

• Rechnungsadresse (Name, Straße, PLZ, Ort, Land)
• E-Mail-Adresse
• Zahlungsdaten (Kreditkartendaten o.ä. werden ausschließlich an Stripe übermittelt und nicht von BID2RENT gespeichert)
• Zahlungsbetrag und -zweck
• Transaktions-ID und Zeitstempel

Datenfluss

Die Eingabe der Zahlungsdaten erfolgt auf einer Stripe-gehosteten Zahlungsseite (checkout.stripe.com). BID2RENT erhält von Stripe lediglich die Bestätigung der erfolgreichen Zahlung sowie die Rechnungsadresse zur Rechnungsstellung. Die eigentlichen Kartendaten verlassen niemals die PCI-DSS-zertifizierte Infrastruktur von Stripe.

Datenübermittlung in Drittländer

Stripe Payments Europe Ltd. mit Sitz in Irland verarbeitet Daten primär innerhalb der EU. Bei konzerninterner Weitergabe an die US-amerikanische Muttergesellschaft erfolgt diese auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), Art. 6 Abs. 1 lit. c DSGVO (steuerrechtliche Aufbewahrungspflicht der Rechnungsdaten).

Speicherdauer

Zahlungs- und Rechnungsdaten werden aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten (§ 257 HGB, § 147 AO) für 10 Jahre gespeichert.

Weitere Informationen

Datenschutzerklärung von Stripe: https://stripe.com/de/privacy

8. Hosting (Base44)

Die Plattform wird auf der Infrastruktur des Anbieters Base44 gehostet.

Anbieter

Base44 Ltd., Israel

Datenübermittlung

Israel wurde durch die EU-Kommission als Land mit angemessenem Datenschutzniveau anerkannt (Angemessenheitsbeschluss vom 31.01.2011, Aktenzeichen 2011/61/EU). Eine Datenübermittlung erfolgt daher auf Grundlage von Art. 45 DSGVO.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer technisch und wirtschaftlich effizienten Bereitstellung der Plattform).

9. Authentifizierung über Google OAuth

Nutzer können sich optional über ihr Google-Konto registrieren bzw. anmelden.

Anbieter

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (für Nutzer im EWR)

Verarbeitete Daten

• Name (Vor- und Nachname)
• E-Mail-Adresse
• Google-User-ID
• Profilbild (sofern hinterlegt)

Rechtsgrundlage

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Nutzung von Google OAuth ist optional. Eine Registrierung ist auch ohne Google-Konto möglich.

Datenübermittlung in Drittländer

Bei konzerninterner Weitergabe an die US-amerikanische Muttergesellschaft Google LLC erfolgt diese auf Grundlage von EU-Standardvertragsklauseln. Google ist zudem nach dem EU-US Data Privacy Framework zertifiziert.

10. Cookies

Die Plattform verwendet Cookies in begrenztem Umfang zur technisch notwendigen Funktionsbereitstellung:

Technisch notwendige Cookies

• Session-Cookies zur Aufrechterhaltung der Login-Sitzung
• CSRF-Token zur Absicherung gegen Cross-Site-Request-Forgery
• Speicherung der Spracheinstellung

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendige Cookies erfordern keine Einwilligung), Art. 6 Abs. 1 lit. f DSGVO.

Hinweis: Es werden keine Marketing-, Analyse- oder Tracking-Cookies eingesetzt. Die Reichweitenmessung nach Abschnitt 11 arbeitet ohne Cookies und ohne Speicherung im Browser.

11. Reichweitenmessung (PostHog)

Auf der Informationsseite für Vermieter und im Inseratsprozess setzen wir das Analysewerkzeug PostHog ein, um zu messen, welche Bereiche der Seite genutzt werden und an welcher Stelle Nutzer den Inseratsprozess abbrechen. Die Messung dient ausschließlich der Verbesserung unseres Angebots.

Anbieter

PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA. Wir nutzen ausschließlich die EU-Cloud von PostHog; die Daten werden auf Servern in Frankfurt am Main (Deutschland) verarbeitet und gespeichert. Mit PostHog besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Verarbeitete Daten

• Ereignisse: Seitenaufruf, Sichtbarkeit einzelner Seitenbereiche, Klick auf Schaltflächen, Schritte im Inseratsprozess, abgeschlossene Registrierung und Zahlung
• Technische Angaben: aufgerufene Adresse (bei Aufruf über einen persönlichen SMS-Link einschließlich des darin enthaltenen Codes), Verweisquelle, Browsertyp, Betriebssystem, Bildschirmgröße, Zeitpunkt
• Eine zufällige, nur für den jeweiligen Seitenaufruf gültige Kennung; Name, Telefonnummer und E-Mail-Adresse werden nicht übermittelt

PostHog ist bei uns so eingestellt, dass keine Cookies gesetzt und keine Daten im Browser gespeichert werden. Es findet keine automatische Erfassung aller Klicks und keine Aufzeichnung von Sitzungen statt. Die IP-Adresse wird von PostHog nicht gespeichert. Eine Zusammenführung mit Ihrem Nutzerkonto erfolgt nicht.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung und Verbesserung unseres Angebots). Da keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, ist § 25 TDDDG nicht berührt. Sie können der Verarbeitung jederzeit mit Wirkung für die Zukunft widersprechen (siehe Abschnitt 12).

Datenübermittlung in Drittländer

Die Verarbeitung erfolgt in der EU. Soweit im Einzelfall ein Zugriff durch die US-amerikanische PostHog Inc. nicht ausgeschlossen werden kann, stützt sich dieser auf EU-Standardvertragsklauseln; PostHog Inc. ist zudem nach dem EU-US Data Privacy Framework zertifiziert.

12. Ihre Rechte als Betroffener

Ihnen stehen folgende Rechte zu:

Auskunft (Art. 15 DSGVO)

Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob betreffende Daten verarbeitet werden, und Auskunft über diese Daten sowie weitere Informationen zu erhalten.

Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten zu verlangen.

Löschung (Art. 17 DSGVO)

Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen.

Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

Widerspruch (Art. 21 DSGVO)

Sie haben das Recht, jederzeit gegen die Verarbeitung Ihrer Daten Widerspruch einzulegen, soweit die Verarbeitung auf einem berechtigten Interesse beruht.

Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Sofern die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Unbeschadet anderweitiger Rechtsbehelfe steht Ihnen das Recht zu, Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen. Zuständig ist u.a.:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Telefon: 0711/615541-0
E-Mail: poststelle@lfdi.bwl.de

13. Ausübung Ihrer Rechte

Zur Ausübung der genannten Rechte wenden Sie sich bitte an:

E-Mail: info@bid-2-rent.com
Kontaktformular: bid-2-rent.com/kontakt

Wir bearbeiten Anfragen zur Ausübung Ihrer Rechte unverzüglich, spätestens innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).

14. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulationen, Verlust, Zerstörung oder gegen den Zugriff unberechtigter Personen zu schützen. Insbesondere:

• Übertragung aller Daten via TLS-Verschlüsselung (HTTPS)
• Passwortspeicherung ausschließlich als Hash (bcrypt o.ä.)
• Zugriffsschutz und Berechtigungskonzepte auf Servern
• Keine Speicherung von Zahlungsdaten auf BID2RENT-Servern (PCI-DSS via Stripe)

15. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.