Datenschutzerklärung

Diese Datenschutzerklärung gilt für die Marketing-Website unter vermietpilot.de einschließlich ihrer Kontakt-, Wartelisten- und Marketingfunktionen sowie für die Web-Anwendung unter app.vermietpilot.de einschließlich Registrierung, Login, Vertragsverwaltung, Zahlungsabwicklung sowie der Nutzung der Vermietungsfunktionen.

Soweit einzelne Dienste ausschließlich auf der Marketing-Website eingesetzt werden, wird dies im jeweiligen Abschnitt kenntlich gemacht. In der Web-App werden nach den derzeitigen technischen Angaben keine Analyse- oder Werbetracking-Dienste eingesetzt.

VermietPilot entscheidet selbst über Zwecke und Mittel der Verarbeitung, soweit Daten zur Bereitstellung und Absicherung der Website und Web-App, zur Registrierung und Kontoführung, zur Durchführung des Nutzungsvertrags, zur Abrechnung, zur Kommunikation, zur Bearbeitung von Feedback sowie zur Erfüllung gesetzlicher Pflichten verarbeitet werden. Für diese Verarbeitung ist VermietPilot datenschutzrechtlich Verantwortlicher.

Nutzer können in VermietPilot personenbezogene Daten ihrer Mieter, Mietinteressenten, Mitmieter, Ansprechpartner oder sonstiger Dritter speichern und verarbeiten. Über Zweck, Rechtsgrundlage, Umfang und Dauer dieser Verarbeitung entscheidet der jeweilige Nutzer als Vermieter bzw. dessen Organisation. VermietPilot verarbeitet diese Daten grundsätzlich nur zur technischen Bereitstellung der vereinbarten Funktionen und nach dokumentierter Weisung des Nutzers. VermietPilot ist insoweit Auftragsverarbeiter, der Nutzer ist Verantwortlicher.

Zwischen VermietPilot und dem Nutzer ist vor der Verarbeitung solcher Drittdaten ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen. Der Nutzer bleibt insbesondere verantwortlich für die Rechtmäßigkeit der Datenerhebung, die Erfüllung der Informationspflichten gegenüber Mietern und anderen betroffenen Personen, die Beachtung von Löschfristen und die Bearbeitung von Betroffenenrechten. VermietPilot unterstützt den Nutzer im Rahmen des Auftragsverarbeitungsvertrags.

Die Anwendung ist nicht darauf ausgerichtet, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO zu verarbeiten. Solche Daten sollen nur eingegeben oder hochgeladen werden, wenn dies für einen rechtmäßigen Zweck zwingend erforderlich ist und der Nutzer die besonderen gesetzlichen Voraussetzungen erfüllt.

• Nutzungs- und Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Ressource, Browser- und Geräteinformationen sowie technische Fehler- und Sicherheitsdaten;
• Kontodaten des Vermieters, insbesondere Name, E-Mail-Adresse, Passwort-Hash, Registrierungs-, Zustimmungs- und Login-Zeitstempel;
• freiwillige Profil- und Vorlagendaten, insbesondere Anschrift, IBAN, BIC und Kontoinhaber;
• Vertrags- und Abrechnungsdaten, insbesondere Tarif, Stripe-Kunden-ID, Abonnementstatus und Abrechnungszeitraum;
• Objekt-, Einheiten-, Miet-, Finanz-, Nebenkosten-, Dokument- und Freitextdaten, die Nutzer in die Anwendung eingeben;
• Kommunikations-, Support-, Wartelisten-, Newsletter- und Feedbackdaten.

Die Bereitstellung von Name, E-Mail-Adresse und Zugangsdaten ist für die Registrierung und Durchführung des Nutzungsvertrags erforderlich. Ohne diese Daten kann kein Benutzerkonto bereitgestellt werden. Zahlungsdaten sind erst erforderlich, wenn ein kostenpflichtiges Abonnement abgeschlossen oder fortgeführt wird; Karten- sonstige Zahlungsmitteldaten werden unmittelbar durch Stripe erhoben und nicht von VermietPilot gespeichert.

Zusätzliche Profil-, Bank-, Objekt-, Mieter-, Finanz-, Nebenkosten- und Dokumentdaten werden grundsätzlich freiwillig und abhängig von den genutzten Funktionen bereitgestellt. Ohne die jeweils erforderlichen Angaben kann die betreffende Funktion, etwa die Erstellung einer Mahnung oder eines Vertragsdokuments, nicht oder nicht vollständig genutzt werden.

Personenbezogene Daten werden nur verarbeitet, soweit eine Rechtsgrundlage besteht, die Verarbeitung für den jeweiligen Zweck erforderlich ist und die gesetzlichen Grundsätze insbesondere der Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit beachtet werden.

Die Website und Web-App werden über eine verschlüsselte TLS-/SSL-Verbindung bereitgestellt. Die Anwendung wird auf einem selbst verwalteten Server in Deutschland betrieben. Datenbank und Dateispeicher befinden sich auf demselben Hetzner-Server in getrennten technischen Komponenten. Passwörter werden nicht im Klartext gespeichert, sondern mit bcrypt gehasht. Zugriffe werden über Authentifizierung, rollen- und kontobezogene Berechtigungen sowie technische Sicherheits- und Protokollierungsmaßnahmen geschützt. Die konkreten Maßnahmen werden risikoorientiert überprüft und weiterentwickelt.

Trotz angemessener Schutzmaßnahmen kann bei internetbasierten Übertragungen kein absoluter Schutz garantiert werden. Nutzer sollten sichere, einzigartige Passwörter verwenden und Zugangsdaten nicht an Dritte weitergeben.

Die Website, die Web-App, die PostgreSQL-Datenbank und der lokale Dateispeicher werden auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, mit Serverstandort Deutschland betrieben. Der technische Betrieb erfolgt durch VermietPilot über Docker und Nginx. Hetzner stellt die Rechenzentrums- und Serverinfrastruktur bereit und verarbeitet personenbezogene Daten als Auftragsverarbeiter.

Zweck der Verarbeitung ist die sichere, stabile und leistungsfähige Bereitstellung der digitalen Dienste. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der vertraglich geschuldeten Web-App erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO aufgrund des berechtigten Interesses an einem sicheren und zuverlässigen Online-Angebot. Mit Hetzner ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen bzw. aufrechtzuerhalten.

Bei jedem Zugriff können der Browser bzw. das Endgerät technisch erforderliche Informationen an die Server übermitteln. Hierzu können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Seite oder Ressource, HTTP-Methode und Statuscode, übertragene Datenmenge, Referrer-URL, Browsertyp, Betriebssystem und technische Fehlerdaten gehören.

Die Verarbeitung erfolgt zur Auslieferung der Inhalte, zur Gewährleistung von Stabilität und Sicherheit, zur Fehleranalyse sowie zur Abwehr missbräuchlicher oder rechtswidriger Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb der Dienste. Protokolldaten werden nur so lange gespeichert, wie dies für Betrieb, Fehleranalyse und Sicherheitszwecke erforderlich ist. Eine längere Speicherung erfolgt nur, soweit Daten zur Aufklärung oder Verfolgung eines konkreten Sicherheitsvorfalls oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.

Bei einer Kontaktaufnahme werden die mitgeteilten Daten, insbesondere Name, E-Mail-Adresse, Inhalt der Nachricht und gegebenenfalls weitere freiwillige Angaben, zur Bearbeitung und Beantwortung der Anfrage verarbeitet. Dient die Anfrage der Anbahnung oder Durchführung eines Vertrags, ist Art. 6 Abs. 1 lit. b DSGVO Rechtsgrundlage. In sonstigen Fällen erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht in der sachgerechten Bearbeitung der Anfrage. Soweit eine Einwilligung erteilt wurde, ist zusätzlich Art. 6 Abs. 1 lit. a DSGVO einschlägig.

Anfragedaten werden gelöscht, wenn der Vorgang abschließend erledigt ist und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe für eine weitere Speicherung bestehen.

Sofern sich Interessenten für die Warteliste, Produktinformationen oder einen Newsletter anmelden, werden insbesondere Name, E-Mail-Adresse, Anmeldezeitpunkt, Einwilligungsnachweis und gegebenenfalls technische Nachweisdaten verarbeitet. Zweck ist die Übersendung der ausdrücklich gewünschten Informationen über VermietPilot. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft über einen Abmeldelink oder durch Nachricht an info@vermietpilot.de widerrufen werden.

Nach Widerruf oder Abmeldung werden die Daten aus dem aktiven Verteiler entfernt. Die E-Mail-Adresse kann in einer Sperrliste gespeichert werden, soweit dies erforderlich ist, um weitere Werbesendungen zu verhindern und den Widerruf zu dokumentieren. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO. Für werbliche Anmeldungen sollte ein Double-Opt-in-Verfahren eingesetzt und dokumentiert werden.

Auf der Marketing-Website können Cookies oder vergleichbare Technologien eingesetzt werden. Technisch notwendige Technologien dürfen verwendet werden, soweit sie für die Übertragung einer Nachricht oder für die Bereitstellung eines ausdrücklich gewünschten digitalen Dienstes unbedingt erforderlich sind. Die Speicherung oder der Zugriff auf Informationen im Endgerät erfolgt in diesem Fall auf Grundlage von § 25 Abs. 2 TDDDG; eine daran anschließende Verarbeitung personenbezogener Daten beruht regelmäßig auf Art. 6 Abs. 1 lit. f DSGVO oder Art. 6 Abs. 1 lit. b DSGVO.

Nicht notwendige Analyse-, Marketing- oder Tracking-Technologien werden nur nach vorheriger Einwilligung eingesetzt. Rechtsgrundlage für den Zugriff auf das Endgerät ist § 25 Abs. 1 TDDDG und für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO. Eine erteilte Einwilligung kann jederzeit über die Einwilligungseinstellungen mit Wirkung für die Zukunft widerrufen werden.

Soweit auf der Marketing-Website das Consent-Tool „Shopify Privacy & Compliance" eingesetzt wird, dient es der Einholung, Verwaltung und Dokumentation von Einwilligungen in den Einsatz nicht notwendiger Technologien. Anbieter ist Shopify International Limited, Dublin, Irland, als verbundenes Unternehmen der Shopify-Unternehmensgruppe. Dabei können insbesondere Einwilligungsstatus, Zeitpunkt, Geräte- und Browserinformationen sowie IP-Adresse verarbeitet werden.

Die Verarbeitung zur Einholung und Dokumentation gesetzlich erforderlicher Einwilligungen erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Soweit Informationen im Endgerät gespeichert oder ausgelesen werden, ist § 25 Abs. 2 TDDDG einschlägig, soweit dies für die Einwilligungsverwaltung unbedingt erforderlich ist. Shopify kann weitere Unternehmen der Gruppe und Unterauftragsverarbeiter einsetzen. Drittlandübermittlungen werden nach Maßgabe der in Abschnitt 7 beschriebenen Garantien abgesichert.

Soweit der Google Tag Manager eingesetzt wird, dient er der technischen Verwaltung und Auslösung von Tags, insbesondere für Einwilligungs-, Analyse- und Marketingdienste. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Der Tag Manager soll selbst keine eigenständigen Nutzungsprofile erstellen; er kann jedoch technische Verbindungsdaten verarbeiten und andere Dienste auslösen.

Tags, die nicht notwendige Technologien einsetzen oder personenbezogene Daten zu Analyse- oder Marketingzwecken verarbeiten, werden erst nach entsprechender Einwilligung ausgelöst. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Drittlandübermittlungen können insbesondere an Google-Unternehmen und Dienstleister in den USA erfolgen und werden nach Abschnitt 7 abgesichert.

Soweit nach Einwilligung das Meta Pixel eingesetzt wird, werden Daten über Websiteaufrufe und Handlungen verarbeitet, um die Wirksamkeit von Werbeanzeigen zu messen, Zielgruppen zu bilden und interessenbezogene Werbung auf Facebook und Instagram auszuspielen. Anbieter ist Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Verarbeitet werden können insbesondere IP-Adresse, Geräte- und Browserdaten, Zeitpunkte, besuchte Seiten, Referrer, Ereignis- und Conversion-Daten sowie pseudonyme Kennungen.

Soweit Meta und VermietPilot die Erhebung und Übermittlung gemeinsam bestimmen, besteht eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO nach Maßgabe der von Meta bereitgestellten Vereinbarung. Für die anschließende Verarbeitung durch Meta ist Meta verantwortlich. Die Verarbeitung erfolgt nur nach Einwilligung auf Grundlage von § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Einwilligungen können jederzeit widerrufen werden. Drittlandübermittlungen werden nach Abschnitt 7 abgesichert.

Soweit Google Ads Conversion-Tracking nach Einwilligung eingesetzt wird, wird gemessen, ob Nutzer nach dem Klick auf eine Anzeige bestimmte Handlungen auf der Website vornehmen. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Verarbeitet werden können Cookie- oder Gerätekennungen, IP-Adresse, Browser- und Gerätedaten, Anzeigen- und Klickinformationen, besuchte Seiten sowie Conversion-Ereignisse. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Einwilligungen können jederzeit widerrufen werden. Google kann Daten mit anderen Informationen verknüpfen, soweit dies nach den Google-Einstellungen und rechtlichen Vorgaben zulässig ist. Drittlandübermittlungen werden nach Abschnitt 7 abgesichert.

Soweit das TikTok Pixel nach Einwilligung eingesetzt wird, werden Websitezugriffe und Conversion-Ereignisse analysiert, um die Wirksamkeit von TikTok-Werbung zu messen und Zielgruppen anzusprechen. Anbieter im Europäischen Wirtschaftsraum ist TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland; weitere TikTok-Gesellschaften können beteiligt sein. Verarbeitet werden können IP-Adresse, Geräte- und Browserdaten, Zeitpunkte, Seitenaufrufe, Referrer, Ereignisse und pseudonyme Kennungen. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Einwilligungen können jederzeit widerrufen werden. Drittlandübermittlungen werden nach Abschnitt 7 abgesichert.

Bei der Registrierung werden Name, E-Mail-Adresse, Passwort, Registrierungszeitpunkt, gegebenenfalls Einladungs- oder Tarifinformationen sowie technische Nachweisdaten verarbeitet. Das Passwort wird ausschließlich als bcrypt-Hash gespeichert. Zweck ist die Einrichtung, Verwaltung und Absicherung des Benutzerkontos sowie die Bereitstellung der Web-App.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Missbrauchsschutzmaßnahmen können zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Das berechtigte Interesse besteht im Schutz der Konten, Systeme und Daten vor unbefugter Nutzung. Die zur Registrierung erforderlichen Daten sind vertraglich erforderlich; ohne sie kann kein Benutzerkonto bereitgestellt werden.

Die Authentifizierung erfolgt selbst gehostet über Auth.js (NextAuth) mit E-Mail-Adresse und Passwort. Nach erfolgreichem Login wird eine Sitzung über ein technisch notwendiges JWT-/Session-Cookie verwaltet. Das Cookie ermöglicht, den angemeldeten Nutzer bei Seitenwechseln zu erkennen, den Zugriff auf das richtige Konto zuzuordnen und unbefugte Zugriffe zu verhindern.

Die Speicherung bzw. der Zugriff im Endgerät erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG, da das Cookie für den vom Nutzer ausdrücklich gewünschten Login- und App-Dienst unbedingt erforderlich ist. Die Verarbeitung personenbezogener Daten beruht auf Art. 6 Abs. 1 lit. b DSGVO und, für Sicherheitszwecke, Art. 6 Abs. 1 lit. f DSGVO. Das Session-Cookie wird spätestens mit dem Ablauf der technisch festgelegten Sitzung ungültig; ein Logout beendet die aktive Sitzung nach Maßgabe der technischen Konfiguration.

Nutzer können optional Anschrift, IBAN, BIC und Kontoinhaber hinterlegen. Diese Angaben werden verwendet, um Vorlagen und Dokumente, etwa Mahnungen oder sonstige Schreiben, mit den vom Nutzer gewünschten Absender- und Zahlungsinformationen zu erstellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Nutzung der gewählten Funktion erforderlich ist. Die Eingabe ist freiwillig; ohne diese Daten müssen entsprechende Angaben gegebenenfalls bei jeder Dokumenterstellung erneut eingegeben werden oder die Vorlage bleibt unvollständig.

Zur Nutzung der Verwaltungsfunktionen können Nutzer insbesondere folgende Daten eingeben: Objektname, Objektadresse und Notizen; Bezeichnung, Wohnfläche, Umlageschlüssel und Notizen zu Einheiten; Namen, Anschriften, Telefon- und E-Mail-Daten von Mietern; Ein- und Auszugsdaten; Sollmiete, Mieteingänge und Freitextnotizen.

Soweit diese Daten den Nutzer selbst betreffen, erfolgt die Verarbeitung zur Vertragserfüllung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit die Daten Mieter oder andere Dritte betreffen, erfolgt die Verarbeitung durch VermietPilot im Auftrag des Nutzers nach Art. 28 DSGVO; die Rechtsgrundlage für die Verarbeitung beim Nutzer richtet sich nach dessen konkretem Miet- oder Verwaltungsverhältnis.

Nutzer können Einnahmen und Ausgaben mit Betrag, Datum, Kategorie und Beschreibung, Mieteingänge, Sollstellungen sowie Informationen zur Berechnung und Verteilung von Nebenkosten verarbeiten. Die Web-App nutzt die eingegebenen Daten zur Darstellung, Zuordnung, Berechnung und Vorbereitung von Übersichten und Dokumenten.

Für eigene Vertrags- und Kontodaten des Nutzers ist Art. 6 Abs. 1 lit. b DSGVO Rechtsgrundlage. Personenbezogene Daten von Mietern und sonstigen Dritten werden durch VermietPilot im Auftrag des Nutzers verarbeitet. VermietPilot trifft keine eigenständige Entscheidung über die miet-, steuer- oder abrechnungsrechtliche Zulässigkeit der eingegebenen Daten oder Berechnungen.

Nutzer können Dokumente einzelnen Einheiten oder Vorgängen zuordnen und auf den Server hochladen. Verarbeitet werden die Datei selbst sowie technische Metadaten wie Dateiname, Dateityp, Dateigröße, Zuordnung und Upload-Zeitpunkt. Die Dateien werden im lokalen Dateisystem des Hetzner-Servers im Bereich „uploads" gespeichert; es wird kein externer Cloud- oder S3-Speicher eingesetzt.

Zweck ist die vom Nutzer gewünschte digitale Ablage und Zuordnung innerhalb seines Kontos. Soweit Dateien personenbezogene Daten Dritter enthalten, verarbeitet VermietPilot sie im Auftrag des Nutzers. Der Nutzer ist verantwortlich, nur rechtmäßig erhobene und für den Zweck erforderliche Dokumente hochzuladen sowie nicht mehr benötigte Dokumente zu löschen.

VermietPilot kann aus den eingegebenen Daten Dokumente und PDFs erzeugen, insbesondere Mahnungen, Kündigungen, Mietverträge, Mieterhöhungen und Übergabeprotokolle. Hierfür werden die vom Nutzer ausgewählten Konto-, Objekt-, Einheiten-, Mieter-, Miet-, Zahlungs- und Freitextdaten in das jeweilige Dokument übernommen. Erzeugte Dokumente können im Nutzerkonto gespeichert oder heruntergeladen werden.

Die Verarbeitung erfolgt zur Bereitstellung der vom Nutzer gewählten Funktion. Soweit Drittdaten enthalten sind, erfolgt sie als Auftragsverarbeitung. Nutzer müssen Inhalte und rechtliche Eignung der erzeugten Dokumente vor Verwendung eigenverantwortlich prüfen.

Bei freiwilligem Feedback oder Supportanfragen werden die Nachricht, Kontaktdaten, gegebenenfalls Konto- und technische Informationen sowie die zur Bearbeitung erforderliche Korrespondenz verarbeitet. Dient die Anfrage der Durchführung eines Nutzungsvertrags, ist Art. 6 Abs. 1 lit. b DSGVO Rechtsgrundlage. Im Übrigen erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht in der Verbesserung des Dienstes und der Bearbeitung von Nutzeranliegen. Freiwillig erteilte Einwilligungen beruhen auf Art. 6 Abs. 1 lit. a DSGVO.

Für Registrierungs- und Bestätigungsmails, Passwort-Reset-Nachrichten, Systeminformationen und Erinnerungsmails wird Brevo per SMTP eingesetzt. Anbieter ist Brevo SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich. Verarbeitet werden insbesondere E-Mail-Adresse, Name, Nachrichteninhalt, Versandzeitpunkt, Zustell- und Fehlerdaten sowie technische Protokolldaten.

Die Verarbeitung erfolgt, soweit die Nachricht für Konto, Sicherheit oder Vertragsdurchführung erforderlich ist, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Zustellprotokolle können auf Art. 6 Abs. 1 lit. f DSGVO beruhen; das berechtigte Interesse besteht in der zuverlässigen Zustellung und Fehleranalyse. Brevo verarbeitet die Daten als Auftragsverarbeiter; ein Vertrag zur Auftragsverarbeitung ist abzuschließen bzw. aufrechtzuerhalten. Werbliche Newsletter werden hiervon getrennt und nur auf Grundlage einer Einwilligung versandt.

Für Checkout, Kundenportal, Abonnements und Webhooks wird Stripe eingesetzt. Für Nutzer im Europäischen Wirtschaftsraum ist Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, zusammen mit weiteren Stripe-Gesellschaften für einzelne regulierte Zahlungsleistungen und technische Funktionen beteiligt.

Bei Einleitung einer Zahlung werden Nutzer zu einer von Stripe bereitgestellten Zahlungsoberfläche weitergeleitet oder diese wird eingebunden. Stripe verarbeitet insbesondere Name, E-Mail-Adresse, Rechnungs- und Zahlungsdaten, Zahlungsmittel- und Transaktionsdaten, IP-Adresse, Geräteinformationen, Betrugs- und Risikosignale sowie gesetzlich erforderliche Identitäts- und Nachweisdaten. Karten- und vollständige Zahlungsmitteldaten werden ausschließlich von Stripe verarbeitet und nicht auf den VermietPilot-Servern gespeichert.

VermietPilot speichert zur Vertrags- und Abonnementverwaltung insbesondere die Stripe-Kunden-ID, den Abonnementstatus und den Abrechnungszeitraum. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit Daten zur Erfüllung steuer- oder handelsrechtlicher Pflichten verarbeitet werden, gilt Art. 6 Abs. 1 lit. c DSGVO. Für Betrugsprävention, IT-Sicherheit und die Durchsetzung von Ansprüchen kann Art. 6 Abs. 1 lit. f DSGVO einschlägig sein.

Stripe handelt abhängig vom Verarbeitungsvorgang teils als Auftragsverarbeiter und teils als eigenständig Verantwortlicher, insbesondere bei Zahlungsabwicklung, Betrugsprävention, regulatorischen Prüfungen und der Erfüllung gesetzlicher Pflichten. Stripe stellt hierfür eigene Datenschutzinformationen und ein Data Processing Agreement bereit. Stripe kann Daten an verbundene Unternehmen und Dienstleister außerhalb des Europäischen Wirtschaftsraums übermitteln; die Absicherung erfolgt nach Abschnitt 7.

Nach dem derzeitigen technischen Stand werden in der Web-App keine Analyse-, Reichweitenmessungs- oder Werbetracking-Dienste wie Google Analytics, Meta Pixel, TikTok Pixel oder vergleichbare Tools eingesetzt. Es werden nur technisch notwendige Cookies und technische Protokolldaten für Login, Sicherheit und Betrieb verarbeitet.

Personenbezogene Daten können – jeweils nur soweit erforderlich – an folgende Kategorien von Empfängern übermittelt werden:

• Hosting- und Infrastrukturprovider, insbesondere Hetzner;
• E-Mail- und Kommunikationsdienstleister, insbesondere Brevo;
• Zahlungsdienstleister, insbesondere Stripe;
• auf der Marketing-Website nach Einwilligung eingesetzte Consent-, Tag-Management-, Analyse- und Werbedienstleister, insbesondere Shopify, Google, Meta und TikTok;
• Steuerberater, Rechtsberater, Zahlungs- und Finanzinstitute sowie Behörden, soweit dies gesetzlich vorgeschrieben oder zur Rechtsdurchsetzung erforderlich ist;
• technische Dienstleister und eingesetzte Unterauftragsverarbeiter im Rahmen vertraglich geregelter und erforderlicher Leistungen.

Auftragsverarbeiter werden auf Grundlage von Art. 28 DSGVO vertraglich gebunden. Sie dürfen Daten grundsätzlich nur nach dokumentierter Weisung und für die vereinbarten Zwecke verarbeiten. Soweit ein Empfänger eigenständig über Zwecke und Mittel entscheidet, verarbeitet er Daten als eigener Verantwortlicher und stellt eigene Datenschutzinformationen bereit.

Die Kerninfrastruktur von VermietPilot, einschließlich Web-App, PostgreSQL-Datenbank und lokalem Dateispeicher, befindet sich auf einem Hetzner-Server in Deutschland. Brevo und Stripe werden über europäische Vertragspartner eingesetzt; ihre Unternehmensgruppen und Unterauftragsverarbeiter können jedoch auch in Drittländern tätig sein.

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums erfolgt nur, wenn die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Je nach Empfänger kann die Übermittlung auf einem Angemessenheitsbeschluss der Europäischen Kommission, einer gültigen Zertifizierung nach dem EU-U.S. Data Privacy Framework, den Standardvertragsklauseln der Europäischen Kommission, zusätzlichen Schutzmaßnahmen oder einer gesetzlichen Ausnahme beruhen.

Insbesondere Stripe weist darauf hin, dass Daten zur Bereitstellung der Dienste an Stripe-Unternehmen und Unterauftragsverarbeiter in den USA und weiteren Ländern übermittelt werden können. Stripes Data Processing Agreement und Data Transfers Addendum sehen hierfür geeignete Transfermechanismen vor. Auch bei auf der Marketing-Website eingesetzten Diensten von Shopify, Google, Meta und TikTok können Drittlandübermittlungen stattfinden. Einzelheiten ergeben sich aus den Datenschutzinformationen und Vertragsunterlagen der jeweiligen Anbieter sowie den im Consent-Tool verfügbaren Informationen.

Trotz vertraglicher und technischer Garantien kann in Drittländern ein von der EU abweichendes Datenschutzniveau bestehen. Insbesondere können staatliche Stellen nach lokalem Recht Zugriffsmöglichkeiten haben. Nicht notwendige Marketing- und Trackingdienste werden daher nur nach Einwilligung aktiviert.

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für nicht-öffentliche Stellen mit Sitz in Bayern ist insbesondere folgende Behörde zuständig:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach, Deutschland
Telefon: +49 (0) 981 180093-0
Telefax: +49 (0) 981 180093-800
E-Mail: poststelle@lda.bayern.de

Unbeschadet dessen kann eine Beschwerde auch bei einer anderen nach Art. 77 DSGVO zuständigen Aufsichtsbehörde eingereicht werden.

Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Widerrufe können über die Einwilligungseinstellungen, einen Abmeldelink oder per E-Mail an info@vermietpilot.de erklärt werden.

Eine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet durch VermietPilot nicht statt. Die Web-App kann Berechnungen, Übersichten und Dokumententwürfe auf Grundlage der Nutzereingaben erzeugen; die fachliche und rechtliche Entscheidung sowie die Verwendung der Ergebnisse verbleiben beim Nutzer.

Diese Datenschutzerklärung kann angepasst werden, wenn sich Funktionen, eingesetzte Dienstleister, rechtliche Anforderungen oder Verarbeitungsvorgänge ändern. Die jeweils aktuelle Fassung wird auf der Website und in der Web-App bereitgestellt. Bei wesentlichen Änderungen können registrierte Nutzer zusätzlich informiert werden.

Stand dieser Datenschutzerklärung: 3. August 2026.