Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung von Gemly verarbeitet werden, warum das geschieht und welche Rechte du dabei hast.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor.

2. Aufruf der Website

Diese Anwendung wird gehostet von der Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Beim Aufruf werden vom Hosting-Anbieter technische Zugriffsdaten verarbeitet: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Referrer sowie Browser- und Betriebssystemkennung. Diese Daten sind nötig, damit die Seite ausgeliefert werden kann, und dienen der Abwehr von Angriffen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem störungsfreien Betrieb).
• Speicherdauer: kurzfristig in Server-Protokollen des Hosters, längstens 30 Tage.
• Datenübermittlung in Drittländer: Vercel Inc. hat Sitz in den USA. Vercel ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO); ergänzend kommen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO zum Einsatz.

3. Konto

Für ein Konto werden eine E-Mail-Adresse und ein Passwort benötigt. Das Passwort wird ausschließlich als bcrypt-Hash gespeichert und ist im Klartext nirgends vorhanden — auch nicht für uns. Zusätzlich werden der Zeitpunkt der Anlage und der letzten Änderung gespeichert.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).
• Speicherdauer: bis zur Löschung des Kontos.

4. Anmeldung und Cookie

Nach der Anmeldung wird ein technisch notwendiges Cookie namens gemly_session gesetzt. Es enthält ein Zufallstoken, keine personenbezogenen Inhalte; in der Datenbank liegt davon nur ein Hash. Das Cookie ist httpOnly. Wie lange es gilt, entscheidest du beim Anmelden: mit dem Haken „auf diesem Gerät angemeldet bleiben“ 60 Tage ab dem letzten Besuch, ohne ihn endet es mit dem Schließen des Browsers. Es dient allein der Anmeldung — es findet keine Analyse, keine Reichweitenmessung und kein Tracking statt. Deshalb ist keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

5. Deine Eingaben in der App

Objekte, Besichtigungsbefunde, Fotos, Budgetangaben, Vertragsnotizen und Einzugsaufgaben werden deinem Konto zugeordnet auf unserem Server gespeichert, damit sie auf allen deinen Geräten verfügbar sind und ein Gerätewechsel sie nicht vernichtet. Das gilt unabhängig davon, ob du bezahlt hast.

Diese Angaben können sensible Bezüge haben — etwa zu deiner finanziellen Situation oder zur Anschrift eines besichtigten Objekts. Sie werden ausschließlich zur Bereitstellung der Funktionen verwendet, nicht ausgewertet, nicht zu Werbezwecken genutzt und nicht an Dritte weitergegeben.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: bis du die Daten oder dein Konto löschst.

6. Zahlungsabwicklung

Zahlungen werden über die Stripe Payments Europe, Ltd., 25/28 North Wall Quay, Dublin 1, Irland abgewickelt. Zahlungsdaten wie Kartennummer oder PayPal-Zugang gibst du direkt bei Stripe ein; sie erreichen unsere Server nicht. Wir erhalten von Stripe eine Kundennummer, die Angabe, ob eine Zahlung erfolgreich war, den Betrag und bei Abonnements den Status und das Laufzeitende. Diese Angaben brauchen wir, um den Zugang freizuschalten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Datenübermittlung in Drittländer: Stripe kann Daten in die USA übermitteln; die Absicherung erfolgt über Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
• Aufbewahrung: Kaufbelege werden zur Erfüllung handels- und steuerrechtlicher Pflichten bis zu zehn Jahre aufbewahrt (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO).

Die Datenschutzerklärung von Stripe: stripe.com/de/privacy

7. Kündigungen

Über den Kündigungsbutton nach § 312k BGB kannst du ohne Anmeldung kündigen. Dabei werden die von dir eingegebene E-Mail-Adresse, ein optionaler Hinweis zur Zuordnung und der Zeitpunkt gespeichert. Das ist nötig, weil die Vorschrift eine Bestätigung in Textform verlangt und der Eingang nachweisbar sein muss.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.
• Speicherdauer: bis zum Ablauf der gesetzlichen Nachweisfristen.

8. Texterstellung mit KI

Im Exposé-Werkzeug kannst du Titel, Highlights, Beschreibung und Lagetext von einer KI erstellen lassen. Das geschieht nur, wenn du die Schaltfläche dafür drückst — ohne diesen Klick wird nichts übermittelt.

• Übermittelt werden die Angaben, die du zum Objekt eingetragen hast: Bezeichnung und Adresse, Kaufpreis, Flächen, Zimmerzahl, Baujahr, Zustand, Heizungsart, Bauweise, Sanierungsjahre, Stellplätze, Denkmalschutz, Bezugstermin sowie deine freien Notizen. Fotos, Befunde, Kosten und Vertragsangaben werden nicht übermittelt.
• Empfänger ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, über die Generative Language API. Eine Verarbeitung auf Servern außerhalb der EU, insbesondere in den USA, ist dabei nicht ausgeschlossen.
• Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — die Erstellung ist Teil der von dir angeforderten Leistung.
• Die erzeugten Texte landen in deinem Objekt und sind dort bearbeitbar. Sie werden nie automatisch veröffentlicht.

Wenn du keine Daten an einen KI-Dienst geben möchtest, lass die Schaltfläche stehen und schreibe die Texte selbst — alle Felder sind auch von Hand ausfüllbar.

9. Auftragsverarbeiter

Für Betrieb, Datenbank und Versand setzen wir Dienstleister ein, mit denen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bestehen:

• Hosting: Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA (siehe Ziffer 2).
• Datenbank: Prisma Data, Inc., 224 W 35th St Ste 500 PMB 4048, New York, NY 10001, USA. Dort liegen Konto, Objekte, Befunde und Belege; die Instanz wird in der Region Frankfurt betrieben.
• Transaktionale E-Mails (Kündigungsbestätigung nach § 312k BGB, Erinnerungen): Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Übermittelt werden die Empfängeradresse und der Inhalt der jeweiligen Nachricht.
• Zahlungsabwicklung: Stripe (siehe Ziffer 6).
• KI-Texterstellung: Google (siehe Ziffer 8).

10. Keine Weitergabe zu anderen Zwecken

Es findet kein Verkauf von Daten statt, keine Profilbildung, keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO und keine Einbindung von Werbe- oder Analysediensten Dritter.

11. Deine Rechte

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)

Eine formlose Nachricht an rapp-d@web.de genügt. Deine Objektdaten kannst du außerdem jederzeit selbst exportieren und löschen.

12. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist:

13. Stand

Diese Erklärung wird angepasst, sobald sich die eingesetzten Dienste ändern.