Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist der Betreiber dieser Plattform; die Anbieterangaben stehen im Impressum. Bei Fragen zum Datenschutz erreichen Sie uns unter datenschutz@propertis.app.

2. Erhobene Daten

Wir verarbeiten folgende personenbezogene Daten:

• Kontodaten: Name, E-Mail-Adresse, Passwort (verschlüsselt)
• Objektdaten: Adressen, Mietobjekte, Einheiten, Räume
• Mieterdaten: Namen, E-Mail-Adressen, Vertragsdaten (nur mit expliziter Zuordnung)
• Finanzdaten: Mietzahlungen, Ausgaben, NK-Abrechnungen
• Kommunikation: Nachrichten zwischen Vermieter und Mieter innerhalb der Plattform
• Dokumente: Von Ihnen hochgeladene Dateien (Verträge, Rechnungen, Fotos)
• Nutzungsdaten: Log-Daten und Browser-Informationen. Diese sind in der Regel anonymisiert; bei Kündigungserklärungen über den Kündigungsbutton speichern wir IP-Adresse und Browser-Kennung jedoch im Klartext, um Missbrauch nachweisen zu können (Einzelheiten in Abschnitt 9)
• Kündigungserklärungen: Name, E-Mail-Adresse, Vertragsangabe, Art, Zeitpunkt und Grund der Kündigung, Eingangszeitpunkt sowie IP-Adresse und Browser-Kennung — erhoben über das Formular „Verträge hier kündigen", auch ohne Nutzerkonto

3. Zweck der Verarbeitung

• Bereitstellung der Plattformfunktionen (Immobilienverwaltung, Kommunikation, Abrechnung)
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
• Berechtigtes Interesse an der sicheren und effizienten Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO)
• Einhaltung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO)
• Entgegennahme, Bestätigung und Nachweis von Kündigungen sowie Schutz vor missbräuchlich in fremdem Namen abgegebenen Erklärungen (§ 312k BGB; Art. 6 Abs. 1 lit. b, c und f DSGVO)

4. Datenspeicherung & Hosting

Die Datenbank mit allen Objekt-, Vertrags- und Nutzerdaten läuft auf PostgreSQL (Neon) im Rechenzentrum Frankfurt am Main (AWS eu-central-1). Die Anwendung selbst wird von Vercel in der Region Frankfurt (fra1) ausgeführt.

Dateiuploads werden über Vercel Blob Storage verwaltet. Dieser Speicher liegt derzeit noch in den USA (Region Washington, D.C.); die Verlagerung in die EU ist in Vorbereitung. Bis dahin stützt sich die Übermittlung auf Standardvertragsklauseln nach Art. 46 DSGVO.

Mit allen eingesetzten Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Ein Teil dieser Dienstleister sind US-Unternehmen, die Daten in EU-Rechenzentren oder auf Grundlage von Standardvertragsklauseln verarbeiten. Welcher Dienst wo verarbeitet, steht einzeln aufgeschlüsselt auf der Seite Sub-Processor.

5. Weitergabe an Dritte

Eine Weitergabe personenbezogener Daten an Dritte erfolgt nur:

• Zur Vertragserfüllung notwendige Dienste (E-Mail-Versand über Resend, Zahlungsabwicklung über Stripe)
• Auf ausdrückliche Anweisung des Nutzers (z. B. Handwerker-Zuweisung, Teilen-Funktion)
• Bei gesetzlicher Verpflichtung

Stripe verarbeitet Zahlungsdaten nach PCI-DSS-Standard. Resend verarbeitet E-Mail-Metadaten zur Zustellung.

6. Cookies & Tracking

Technisch notwendige Cookies (Session-Cookie für die Authentifizierung, CSRF-Schutz) setzen wir ohne Einwilligung — sie sind für den Betrieb der Plattform erforderlich (Art. 6 Abs. 1 lit. f DSGVO, §25 Abs. 2 Nr. 2 TTDSG).

Produkt-Analytik (PostHog): Mit Ihrer Einwilligung über den Cookie-Banner setzen wir Analyse-Cookies von PostHog (EU-Region: eu.posthog.com). PostHog identifiziert nach Login eingeloggte Nutzer (person_profiles: "identified_only") und erstellt User-Profile zur Produktverbesserung — kein Werbe-Tracking, keine Weitergabe an Drittwerber.

• Zweck: Funnel-Analyse, Feature-Adoption, Drop-off-Identifikation
• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, §25 Abs. 1 TTDSG)
• Speicherort: EU (PostHog EU-Cloud)
• Speicherdauer: 12 Monate, danach Aggregation
• Auftragsverarbeitung: AVV mit PostHog Inc. abgeschlossen
• Widerruf: jederzeit über Cookie-Banner (Schaltfläche „Ablehnen") oder Einstellungen

Es werden keine Daten an Werbenetzwerke übermittelt. PostHog läuft komplett auf EU-Servern; kein Daten-Transfer in die USA.

7. Mieter-Datenschutz (besonderer Hinweis)

Vermieter, die Mieterdaten in Propertis eingeben, sind selbst datenschutzrechtlich Verantwortliche gegenüber ihren Mietern. Propertis ist Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Vermieter sind verpflichtet, ihre Mieter über die Verarbeitung zu informieren (Art. 13/14 DSGVO) und dürfen nur Daten eingeben, für die eine Rechtsgrundlage besteht.

Zahlungsvereinbarungen (Stundung, Stillhalten, Erlass): Vereinbart ein Vermieter mit seinen Mietern einen Aufschub oder Erlass offener Mieten, ist der in der Vereinbarung genannte Gläubiger für diese Verarbeitung Verantwortlicher. Das gilt nicht für Liegenschaften, die eine Hausverwaltung über Propertis verwaltet; dort richtet sich die Verantwortlichkeit nach dem Absatz „Datenschutzrolle der Verwaltung“. Gespeichert werden die Parteien, die betroffenen Mieten und Beträge, Fristen, die Zustimmung je Partei und der versandte Vertragstext; der Vertragstext enthält einen Datenschutzhinweis des Vermieters. Den Anlass erfasst der Vermieter als Auswahl; eine optionale Notiz dazu speichern wir verschlüsselt, nur der Vermieter selbst kann sie lesen — sie erscheint weder im Vertragstext noch in Mails, Auswertungen oder Exporten für andere, nur in der eigenen Datenauskunft des Vermieters. In die Notiz gehören keine Gesundheits-, Sozial- oder Familiendaten. Mieter erhalten mit ihrer Datenauskunft, was ihnen zugegangen ist: Vertragstext, Art, Stand, Beträge, Fristen und ihre eigene Zustimmung. Auskunftsanfragen von Mietern zu weiteren Angaben des Vermieters leiten wir an den Vermieter weiter (Art. 28 Abs. 3 lit. e DSGVO).

7a. Unsere Sub-Processor (Auftragsverarbeiter)

Propertis nutzt für Hosting, Datenbank, E-Mail-Versand, Zahlungsabwicklung und KI-Analyse externe Dienstleister, die als Sub-Processor im Sinne von Art. 28 DSGVO gelten. Eine öffentliche Liste aller aktuellen Sub-Processor (inkl. Standort, Datentypen und AVV-Status) findest du auf der Seite Sub-Processor. Bei Sub-Processor-Wechsel informieren wir B2B-Kunden (PROFESSIONAL-Plan) mindestens 30 Tage vorher per E-Mail.

Bei Nutzung des KI-Assistenten werden die für die jeweilige Anfrage nötigen Objekt-, Vertrags- und Kontaktdaten an Anthropic PBC (Claude API, USA) übermittelt. Diese können Klarnamen von Mietern, Eigentümern und Bewohnern enthalten und sind nicht anonymisiert. Grundlage sind Standardvertragsklauseln (Art. 46 DSGVO); ein Training auf Kundendaten ist vertraglich ausgeschlossen.

8. Ihre Rechte (Art. 15–22 DSGVO)

• Auskunft über gespeicherte Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung Ihrer Daten (Art. 17) – jederzeit über Einstellungen → Konto löschen
• Einschränkung der Verarbeitung (Art. 18)
• Datenportabilität – Export über DATEV- und CSV-Export-Funktionen (Art. 20)
• Widerspruch gegen Verarbeitung (Art. 21)
• Beschwerde bei der zuständigen Datenschutzbehörde

9. Löschung & Aufbewahrungsfristen

Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Bei Kontolöschung wird Ihr Konto unverzüglich gesperrt und Ihre personenbezogenen Kontodaten (Name, E-Mail, Telefonnummer, Zugangsdaten, 2FA-Geheimnisse, Profil- und Betriebsangaben) werden anonymisiert; hochgeladene Dateien werden gelöscht. Objekt-, Vertrags- und Buchhaltungsdaten bleiben gespeichert, soweit gesetzliche Aufbewahrungsfristen (§ 147 AO, § 257 HGB) bestehen, und werden nach deren Ablauf gelöscht. Steuerrelevante Daten können gemäß § 147 AO bis zu 10 Jahre aufbewahrt werden.

Erklärungen, die über das Formular „Verträge hier kündigen" abgegeben werden, speichern wir zum Nachweis von Inhalt und Zugangszeitpunkt, solange Ansprüche aus dem Vertragsverhältnis geltend gemacht werden können oder gesetzliche Aufbewahrungspflichten bestehen. IP-Adresse und Browser-Kennung speichern wir dabei nur zum Schutz vor Missbrauch und längstens so lange wie die Erklärung selbst. Diese Nachweise bleiben auch nach einer Kontolöschung erhalten, weil sie der Verteidigung von Rechtsansprüchen dienen (Art. 17 Abs. 3 lit. e DSGVO). Gehört die angegebene E-Mail-Adresse zu einem Propertis-Konto, vermerken wir den Kontobezug — das schützt davor, dass jemand in fremdem Namen kündigt (Art. 6 Abs. 1 lit. f DSGVO). Spätestens drei Jahre nach Ablauf des Jahres, in dem die Erklärung einging, löschen wir sie.

Versendete Mahnungen speichern wir als Nachweis von Inhalt, Empfänger und Versandzeitpunkt drei Jahre ab Ablauf des Jahres des Versands (bei Mahnungen eines Handwerksbetriebs an Kunden sechs Jahre, § 257 HGB bzw. § 147 AO). Nicht versendete Mahnentwürfe löschen wir im nächsten monatlichen Löschlauf, nachdem seit ihrer Erledigung 90 Tage vergangen sind. Einen vom Gläubiger verworfenen Entwurf bewahren wir auf, solange die zugrunde liegende Forderung unverändert offen ist, bei Mietforderungen längstens bis 90 Tage nach ihrer Fälligkeit oder — falls später — nach dem letzten Datum einer Zahlungsvereinbarung zu dieser Forderung, damit dieselbe Mahnung nicht erneut vorgeschlagen wird; danach gilt dieselbe Frist. Diese Nachweise bleiben auch nach einer Kontolöschung erhalten, weil sie der Geltendmachung und Verteidigung von Rechtsansprüchen sowie – bei Betrieben – gesetzlichen Aufbewahrungspflichten dienen (Art. 17 Abs. 3 lit. e bzw. lit. b DSGVO).

Zahlungsvereinbarungen (Stundung, Stillhalten, Erlass) bewahren wir bis zum Ende des dritten Kalenderjahres nach ihrem Ende auf und löschen sie danach; darüber hinaus, solange die betroffene Mietforderung noch offen ist, denn die Vereinbarung bestimmt, ab wann und in welcher Höhe Verzug und Zinsen zu rechnen sind; einen vollzogenen Erlass, solange die Forderung im System geführt wird, denn nur die Vereinbarung belegt, dass sie erloschen ist. Ein nicht angenommenes Erlass-Angebot löschen wir ein Jahr nach seiner Erstellung, ein zurückgenommenes ein Jahr nach der Rücknahme. Die optionale Notiz des Vermieters zum Anlass löschen wir ein Jahr nach dem Ende der Vereinbarung, spätestens drei Jahre nach ihrem Abschluss, und sofort, wenn der Vermieter sein Konto löscht. Vereinbarung, Parteien und Vertragstext bleiben auch nach einer Kontolöschung bis zum Ablauf dieser Fristen erhalten, weil sie der Geltendmachung und Verteidigung von Rechtsansprüchen dienen (Art. 17 Abs. 3 lit. e DSGVO).

10. Änderungen dieser Erklärung

Diese Datenschutzerklärung kann bei wesentlichen Änderungen aktualisiert werden. Nutzer werden per E-Mail informiert.