Datenschutz für Partner

01Das Wichtigste zuerst

Mit einem Partnerkonto arbeiten Sie in ImmoMVP-Gruppen mit Verwaltungen zusammen. Diese Seite erklärt, welche Daten dabei anfallen und wer dafür verantwortlich ist.

Offen benannt: Gruppenname und Mitgliederliste sind nicht Ende-zu-Ende-verschlüsselt. Wir können sie lesen, weil der Server sie für den Betrieb der Gruppe braucht. Geben Sie Gruppen deshalb bitte keine Namen von Mietern.

02Ihr Konto

Für das Partnerkonto benötigen wir Ihre E-Mail-Adresse. Freiwillig können Sie einen Namen, Telefonnummern und ein Profilbild angeben. Die Anmeldung läuft über den Authentifizierungsdienst Auth0 (Okta Inc.); dort entstehen Anmeldedaten und technische Protokolldaten, die dem sicheren Betrieb des Zugangs dienen. Nutzen Sie Push-Benachrichtigungen, speichern wir zusätzlich eine Gerätekennung. Für die Verschlüsselung speichern wir die öffentlichen Schlüssel Ihrer Geräte.

Rechtsgrundlage ist der Nutzungsvertrag nach den Nutzungsbedingungen Partnerkonto (Art. 6 Abs. 1 lit. b DSGVO). Ohne E-Mail-Adresse können Sie das Konto nicht nutzen.

Nachweis der Annahme. Wenn Sie den Nutzungsbedingungen zustimmen, speichern wir zum Nachweis den Zeitpunkt, die Fassung der Nutzungsbedingungen und die Fassung des Hinweistexts (Art. 6 Abs. 1 lit. b und f DSGVO). Diesen Nachweis löschen wir mit Ihrem Konto.

Vertragsbestätigung. Nach dem Vertragsschluss schicken wir Ihnen eine Bestätigung mit den Vertragsangaben und der Widerrufsbelehrung an Ihre bestätigte E-Mail-Adresse (Art. 6 Abs. 1 lit. b und c DSGVO, § 312f Abs. 2 BGB). Der Versand läuft über Resend, Inc. (USA). Die E-Mail löschen wir 30 Tage nach dem Versand aus unserem Postausgang.

Nutzungsanalyse. Nur wenn Sie zustimmen, werten wir über PostHog aus, wie die App genutzt wird, ohne Namen, Adressen, Nachrichten oder Inhalte (Art. 6 Abs. 1 lit. a DSGVO). Ihre Einwilligung können Sie jederzeit in den Einstellungen widerrufen, ohne dass die Verarbeitung bis dahin unrechtmäßig wird, und Ihr Partnerkonto funktioniert ohne sie genauso.

Keine automatisierten Entscheidungen. Wir treffen keine Entscheidungen, die allein auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO).

03Chats und Gruppen

Was verschlüsselt ist. Nachrichten und Dateien werden Ende-zu-Ende-verschlüsselt übertragen und gespeichert. Die privaten Schlüssel bleiben auf den Geräten der Beteiligten. In Push-Mitteilungen und E-Mails stehen keine Inhalte. Eine Push-Mitteilung nennt den Namen des Absenders und den Satz „Neue Nachricht in einer Gruppe“, nie den Namen der Gruppe.

Was die Verschlüsselung nicht leistet. Die öffentlichen Schlüssel der Geräte und die Mitgliederliste einer Gruppe liefert unser Server an die Apps. Die App kann nicht selbst prüfen, ob ein Schlüssel wirklich zu der genannten Person gehört. Sicherheitsnummern, mit denen Mitglieder das untereinander vergleichen könnten, gibt es nicht. Die Verschlüsselung schützt Inhalte im laufenden Betrieb vor uns und vor jedem, der nur den Speicher einsieht. Sie schützt nicht vollständig vor jemandem, der unseren Server unbefugt verändert. Er könnte einer Gruppe ein Mitglied oder einem Mitglied ein weiteres Gerät unterschieben und danach geschriebene Nachrichten mitlesen. Das wäre für die Mitglieder nicht in jedem Fall erkennbar. Das gilt für alle Chats, auch für Chats zwischen zwei Personen.

Was wir lesen können. Für den Betrieb brauchen wir Metadaten im Klartext: den Namen der Gruppe, den Datenraum, zu dem die Gruppe gehört, wer Mitglied ist, die Rolle in der Gruppe (Administrator oder Mitglied), Beitritts- und Austrittszeit sowie Absender und Zeitpunkt einer Nachricht. Soweit unser Chat als Telekommunikationsdienst gilt, wahren wir das Fernmeldegeheimnis (§ 3 TDDDG): Von Inhalt und näheren Umständen eines Chats verschaffen wir uns nur die Kenntnis, die Betrieb und Schutz unserer Systeme erfordern.

Wer was sieht. Die Mitglieder einer Gruppe sehen Ihren Namen und Ihr Profilbild. Nachrichten und Dateien in einer Gruppe sehen die Mitglieder ab dem Zeitpunkt ihres Beitritts. Die App verschlüsselt eine Gruppennachricht je Mitglied für höchstens fünf aktive Geräte, also Geräte, die in den letzten 90 Tagen genutzt wurden. Hat ein Mitglied kein aktives Gerät, verschlüsselt sie für das zuletzt genutzte.

Links. Ein Link in einer Nachricht enthält nur Kennungen, keine Inhalte. Öffnet ein Mitglied ihn, fragt seine App bei uns an, was dieses Mitglied sehen darf, und wir erfahren dabei die Art und die Kennung des Inhalts. Was angezeigt wird, richtet sich nach den Rechten der Person, die ihn öffnet. Mit einem Partnerkonto zeigt er in der Regel nichts an.

Melden und Blockieren. Sie können im Chat eine Nachricht oder eine Person melden und eine Person blockieren; das können auch die anderen Beteiligten. Bei einer Meldung schickt die App uns die gemeldete Nachricht oder, bei der Meldung einer Person, bis zu zehn Nachrichten dieser Person aus dem Chat im Klartext und mit dem Schlüssel genau dieser Nachrichten. Andere Nachrichten des Chats können wir damit nicht entschlüsseln. Außerdem speichern wir den gewählten Grund, einen freiwilligen Kommentar, den Zeitpunkt und die Kennungen der Beteiligten und des Chats. Wir prüfen jede Meldung in der Regel innerhalb von 24 Stunden, und zwar immer ein Mensch. Löschen wir Nachrichten oder sperren wir einen Chat-Zugang, teilen wir das der betroffenen Person per E-Mail mit Begründung mit. Die meldende Person erhält per E-Mail das Ergebnis der Prüfung. Wer gemeldet hat, erfährt die gemeldete Person nicht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb des Chats (Art. 6 Abs. 1 lit. f DSGVO). Soweit die Regeln für Hostingdienste uns zu Meldewegen und Mitteilungen verpflichten (Art. 16 und 17 der Verordnung (EU) 2022/2065), ist Rechtsgrundlage auch Art. 6 Abs. 1 lit. c DSGVO. Bei Verdacht einer Straftat gegen das Leben oder die Sicherheit einer Person geben wir die nötigen Angaben an die Strafverfolgungsbehörden weiter (Art. 18 der Verordnung, Art. 6 Abs. 1 lit. c DSGVO). Einzelheiten stehen in der Datenschutzerklärung.

04Einladungen

Lädt eine Administratorin oder ein Administrator Sie in eine Gruppe ein, erhalten wir von ihr oder ihm Ihre E-Mail-Adresse. Zweck ist allein, Ihre Anmeldung dieser Einladung zuzuordnen. Wir schreiben Ihnen nicht und geben die Adresse dafür auch nicht an einen E-Mail-Dienstleister weiter. Den Link schickt Ihnen die einladende Person selbst, über einen Weg ihrer Wahl; für diese Nachricht ist sie verantwortlich (Einzelheiten in der Datenschutzerklärung). Rechtsgrundlage ist unser berechtigtes Interesse und das der einladenden Person an der Zusammenarbeit in der Gruppe (Art. 6 Abs. 1 lit. f DSGVO).

Eine Einladung gilt 14 Tage. Nennt ein Administrator die Adresse erneut, beginnt die Frist neu, höchstens bis 21 Tage nach der ersten Nennung für diese Einladung. Solange sie offen ist, sehen die Administratorinnen und Administratoren der Gruppe Ihre Adresse. Läuft sie ab oder wird sie widerrufen, löschen wir sie samt Adresse spätestens in der folgenden Nacht. Nehmen Sie sie an oder lehnen Sie sie ab, löschen wir sie 30 Tage danach.

Keine Einladungen mehr. Per E-Mail an datenschutz@immomvp.de können Sie weitere Einladungen an Ihre Adresse jederzeit stoppen. Offene Einladungen lassen sich dann nicht mehr annehmen. Damit Einladende nicht erfahren, dass Sie widersprochen haben, bleibt eine schon offene Einladung für die Administratorinnen und Administratoren der Gruppe sichtbar, bis ihre Frist abläuft. Nennt jemand Ihre Adresse danach erneut, speichern wir sie ebenso und löschen sie nach den oben genannten Fristen. Dauerhaft speichern wir nur einen Hashwert Ihrer Adresse, bis Sie uns bitten, die Sperre aufzuheben (Art. 6 Abs. 1 lit. f und c DSGVO).

05Speicherdauer und Löschung

Ihr Konto speichern wir, bis Sie es löschen. Das können Sie jederzeit im Profil tun. Dann löschen wir Ihr Profil, Ihre Gerätekennungen und den Nachweis der Annahme, und Sie scheiden aus allen Gruppen aus. Nachrichten, die Sie geschrieben haben, bleiben für die anderen Mitglieder lesbar, solange die Gruppe besteht. Eine Gruppe besteht weiter, solange sie Mitglieder hat, auch wenn die Verwaltung, die sie angelegt hat, ihr Konto löscht. Wir löschen sie, wenn das letzte Mitglied sie verlässt, oder wenn sie aufgelöst wurde und alle Mitglieder sie bei sich entfernt haben.

Meldungen und Blockierungen speichern wir so: eine Meldung bis zum Abschluss ihrer Prüfung, die gemeldeten Inhalte und den Kommentar danach noch 90 Tage, die übrigen Angaben noch zwölf Monate. Mitteilungen über das Ergebnis einer Meldung oder über eine Maßnahme speichern wir ebenfalls zwölf Monate. Eine Blockierung speichern wir, bis sie aufgehoben oder eines der beiden Konten gelöscht wird.

Sicherungskopien: Zum Schutz vor Datenverlust erstellen wir täglich eine Sicherungskopie der Datenbank und bewahren sie 35 Tage auf; gelöschte Dateien bleiben 7 Tage wiederherstellbar. Gelöschte Daten sind deshalb noch bis zu 35 Tage in Sicherungskopien enthalten. Sie werden dort nicht weiter verwendet und nach Ablauf der Frist automatisch gelöscht.

06Ihre Rechte

Ihnen stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) zu. Richten Sie diese Rechte an datenschutz@immomvp.de.

Die Angaben zu Ihren Gruppen (Mitgliedschaften, Einladungen) enthält der Export „Daten exportieren“ im Profil nicht, weil sie auch Daten anderer Personen betreffen (Art. 15 Abs. 4 DSGVO). Auskunft darüber erteilen wir auf Anfrage an datenschutz@immomvp.de.

Wer Sie gemeldet hat, teilen wir Ihnen nicht mit, soweit die Interessen der meldenden Person an ihrem Schutz überwiegen (Art. 15 Abs. 4 DSGVO, § 29 Abs. 1 Satz 2 BDSG).

Widerspruchsrecht. Verarbeiten wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), können Sie dem aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), in der Regel bei der Behörde Ihres Wohnorts oder am Sitz der verantwortlichen Stelle.

07Kontakt

ImmoMVP UG (haftungsbeschränkt), Vogesenstr. 5, 77767 Appenweier, datenschutz@immomvp.de. Welche Dienstleister wir einsetzen, steht in der Datenschutzerklärung.