Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie die Hausverwaltungs-Anwendung Mietwerk unter verwaltmeine.immo nutzen oder wenn wir Daten zu Ihrem Mietverhältnis darin führen. Die Erklärung richtet sich an Benutzerinnen und Benutzer auf Vermieterseite ebenso wie an Mieterinnen und Mieter, Mitmietende, Bürginnen und Bürgen und andere Personen, deren Daten in der Anwendung vorkommen.

1. Verantwortliche und Kontakt

Verantwortlich für die Datenverarbeitung ist:

Good Society GmbH i. G., Leopoldstraße 2–8, 32051 Herford, vertreten durch den Geschäftsführer Gökhan Brandt. Telefon: 0171 3412454, E-Mail: brandt@akkamis.de.

Die Good Society GmbH i. G. betreibt Mietwerk und ist zugleich die Vermieterin der darin verwalteten Wohnungen. Sie ist deshalb sowohl für den Betrieb der Anwendung als auch für die Daten der Mietverhältnisse verantwortlich. Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte wenden Sie sich bitte an die Verantwortliche (Kontakt oben).

2. Überblick: Was Mietwerk ist und wer welche Daten eingibt

Mietwerk ist eine Web-Anwendung zur Verwaltung von Mietwohnungen: Objekte, Mietverträge, Mieten und Zahlungen, Betriebskosten- und Heizkostenabrechnungen, Zählerstände, Kautionen, Übergabeprotokolle, Schreiben, Nachrichten und Anliegen (zum Beispiel Schadensmeldungen).

Vermieterseite: Die Vermieterin und von ihr eingeladene Mitarbeitende erfassen Daten zu Objekten, Mietverhältnissen, Mieterinnen und Mietern, Bürgen, Dienstleistern und Zahlungen. Ein eigenes Konto anlegen kann nur die Betreiberin; die Registrierung ist danach geschlossen.
Mieterportal: Mieterinnen und Mieter erhalten einen Zugang nur auf Einladung der Vermieterin. Im Portal geben sie selbst Daten ein, etwa Anliegen, Nachrichten, Zählerstände, Fotos und Profilangaben.

3. Hosting, Server und Verschlüsselung

Hosting

Mietwerk läuft auf einem gemieteten virtuellen Server (VPS) des Anbieters Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Dort liegen die Datenbank und alle hochgeladenen Dateien. Hostinger ist für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig und darf die Daten nur nach unserer Weisung verarbeiten.

Zweck ist die Bereitstellung der Anwendung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Nutzung der Durchführung eines Vertrags dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren und wirtschaftlichen Betrieb).

Serverstandort und Übermittlung in Drittländer

Der Server steht in einem Rechenzentrum in Deutschland (Düsseldorf). Wir selbst übermitteln keine personenbezogenen Daten in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (Drittländer). Setzt Hostinger Unterauftragnehmer außerhalb der EU/des EWR ein, geschieht dies nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).

Verschlüsselte Verbindung

Die Verbindung zwischen Ihrem Browser und unserem Server ist per TLS (HTTPS) verschlüsselt. Aufrufe über unverschlüsseltes HTTP werden auf HTTPS umgeleitet, und der Browser wird angewiesen, die Seite ein Jahr lang nur verschlüsselt aufzurufen (HSTS). Das TLS-Zertifikat stammt von der Zertifizierungsstelle Let's Encrypt. Für die Ausstellung übermittelt unser Server nur den Hostnamen der Anwendung und eine E-Mail-Adresse der Betreiberin an Let's Encrypt; Daten von Besucherinnen und Besuchern werden dabei nicht übermittelt. Ausgestellte Zertifikate und der darin enthaltene Hostname werden von der Zertifizierungsstelle in öffentlichen Certificate-Transparency-Protokollen veröffentlicht.

Passwörter speichern wir nicht im Klartext, sondern nur als bcrypt-Hash. Sitzungskennungen, Einladungs- und Passwort-Links speichern wir auf dem Server nur als Hashwert (SHA-256).

Domain und Namensauflösung

Unsere Domain verwaltmeine.immo ist über Hostinger registriert; auch die Namensserver (DNS), die die Adresse in die IP-Adresse unseres Servers übersetzen, betreibt Hostinger. Diese Abfrage stellt in der Regel der DNS-Resolver Ihres Internetanbieters oder Ihres Netzwerks; die Namensserver erhalten dabei in der Regel nur die Anfrage dieses Resolvers, nicht Ihre IP-Adresse. Aufrufe über www.verwaltmeine.immo und über unsere frühere Adresse mietwerk.187-126-26-202.sslip.io leiten wir dauerhaft auf verwaltmeine.immo um; die frühere Adresse wird dabei über den frei nutzbaren DNS-Dienst sslip.io aufgelöst.

4. Aufruf der Website und Protokolldaten

Protokolle des vorgeschalteten Servers (Reverse Proxy)

Vor der Anwendung arbeitet ein Reverse Proxy (Traefik), der die verschlüsselte Verbindung annimmt und an die Anwendung weiterleitet. Dabei wird zwangsläufig Ihre IP-Adresse verarbeitet. Der Proxy führt kein Zugriffsprotokoll: Einzelne Seitenaufrufe, IP-Adressen oder aufgerufene Adressen werden dort nicht gespeichert. Er schreibt nur eigene Warn- und Fehlermeldungen zu seinem Betrieb (zum Beispiel zu Zertifikaten oder zur Verbindung mit der Anwendung). Einzelne dieser Meldungen können technisch bedingt eine IP-Adresse enthalten; für sie gilt die unten beschriebene Begrenzung des Umfangs.

Zum Schutz vor automatisierten Angriffen begrenzt der Proxy die Zahl der Aufrufe der Anmelde-, Registrierungs-, Passwort- und Einladungsseiten je IP-Adresse (20 Aufrufe je Minute, kurzzeitig bis zu 30). Diese Zählung führt der Proxy nur im Arbeitsspeicher; sie wird nicht dauerhaft gespeichert.

Protokolle der Anwendung

Die Anwendung selbst protokolliert keine einzelnen Seitenaufrufe, IP-Adressen oder Browserkennungen in ihren Serverprotokollen. Sie schreibt Fehler- und Betriebsmeldungen (zum Beispiel Fehlerart, Datenbank-Fehlercode, Laufzeit von Hintergrundaufgaben). Einzelne Meldungen enthalten interne Kennnummern von Konto, Benutzerkonto, Mietvertrag oder anderen Vorgängen, aber keine Namen, Beträge, Kontonummern oder Texte. Bei unerwarteten Programmfehlern kann das zugrunde liegende Framework die Fehlermeldung protokollieren; in Ausnahmefällen kann diese einzelne Eingabewerte enthalten.

Zweck, Rechtsgrundlage und Speicherdauer der Protokolle

Zweck der Protokolle von Proxy und Anwendung ist der sichere und fehlerfreie Betrieb; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden auf dem Server in ihrem Umfang begrenzt gespeichert: je Dienst höchstens drei Dateien zu je 10 MB. Ist dieser Umfang erreicht, werden die ältesten Einträge automatisch überschrieben. Wie lange ein Eintrag erhalten bleibt, hängt deshalb davon ab, wie viele Meldungen anfallen.

5. Cookies und Speicher im Browser

Cookies

Mietwerk setzt ausschließlich die folgenden Cookies. Alle sind nur für unseren Server lesbar (HttpOnly) und werden nur über verschlüsselte Verbindungen übertragen (Secure).

__Host-session – Anmeldung. Enthält eine zufällige Sitzungskennung, die Sie nach der Anmeldung erkennt. Laufzeit 30 Tage; sie verlängert sich bei Nutzung, eine Sitzung endet aber spätestens 180 Tage nach der Anmeldung. Beim Abmelden wird das Cookie gelöscht.
active_lease – nur im Mieterportal, wenn Sie mehrere Mietverträge haben: merkt sich, welchen Ihrer Verträge Sie gerade ansehen. Enthält nur die interne Nummer des Vertrags. Laufzeit 365 Tage.
flash_invite_… – nur auf Vermieterseite nach dem Erstellen einer Mieter-Einladung: enthält den Einladungslink, damit die Druckansicht den Einladungsbrief mit QR-Code erzeugen kann; nur für diese Druckseite gültig. Laufzeit höchstens 10 Minuten; es kann auf der Druckseite vorher gelöscht werden.

Speicher im Browser (localStorage)

Entwurf eines Anliegens (nur Mieterportal): Während Sie ein Anliegen erfassen, speichert Ihr Browser den Entwurf lokal auf Ihrem Gerät (Art, Kategorie, gegebenenfalls Art des Notfalls und betroffene Abrechnung, Ort, Titel, Beschreibung, Dringlichkeit, Erreichbarkeit, Telefonnummer, Kontakteinwilligung sowie die interne Nummer des Vertrags und den Speicherzeitpunkt; keine Fotos), damit nichts verloren geht. Der Entwurf wird gelöscht, wenn Sie das Anliegen absenden oder den Entwurf verwerfen. Entwürfe, die älter als 14 Tage sind, stellt die Anwendung nicht mehr wieder her; sie bleiben aber im Browser gespeichert, bis Sie den Entwurf über „Verwerfen“ löschen, ein neues Anliegen beginnen oder den Browserspeicher löschen. Der Entwurf wird erst beim Absenden an unseren Server übertragen.
Seitenleiste (nur Vermieterseite): merkt sich, ob Sie die Seitenleiste eingeklappt haben.

Rechtsgrundlage

Das Speichern dieser Informationen auf Ihrem Gerät und der Zugriff darauf sind unbedingt erforderlich, damit wir die von Ihnen ausdrücklich gewünschten Funktionen der Anwendung bereitstellen können (§ 25 Abs. 2 Nr. 2 TDDDG). Die Entwurfsspeicherung ist Teil der Erfassung eines Anliegens, die Sie selbst starten, und dient allein dazu, dass Ihre Eingaben bei einem Abbruch nicht verloren gehen. Nutzen Sie ein fremdes oder gemeinsam genutztes Gerät, verwerfen Sie den Entwurf bitte vor dem Verlassen. Eine Einwilligung ist dafür nicht erforderlich. Die anschließende Verarbeitung der Daten beruht auf Art. 6 Abs. 1 lit. b DSGVO und, soweit es um die Sicherheit der Anmeldung geht, auf Art. 6 Abs. 1 lit. f DSGVO. Wir setzen keine Cookies oder Browserspeicher zu Analyse-, Werbe- oder Trackingzwecken ein; deshalb zeigen wir kein Einwilligungsbanner.

Sie können Cookies und den Browserspeicher jederzeit in Ihrem Browser löschen. Ohne das Sitzungscookie ist keine Anmeldung möglich.

6. Benutzerkonto, Anmeldung und Schutz vor Missbrauch

Konto der Vermieterin

Das Vermieterkonto legt die Betreiberin einmalig an. Gespeichert werden Kontoname, Name, E-Mail-Adresse, Passwort (als Hash), Rolle sowie Version und Zeitpunkt der Kenntnisnahme dieser Datenschutzhinweise. Für den Briefkopf werden außerdem Anschrift, Telefon, E-Mail, Ansprechperson, Briefort, Fußzeile und gegebenenfalls ein Logo gespeichert. Bei der Registrierung wird die IP-Adresse im Aktivitätsprotokoll vermerkt. Zweck ist die Einrichtung und Verwaltung des Kontos und die Erstellung unserer Schreiben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Ansprechpersonen und Angaben in der Fußzeile des Briefkopfs sowie für die IP-Adresse bei der Registrierung Art. 6 Abs. 1 lit. f DSGVO (Kennzeichnung unserer Schreiben, Nachweis gegen Missbrauch).

Zugänge für Mitarbeitende

Mitarbeitende der Vermieterin erhalten einen Zugang nur per Einladung durch eine Person mit Inhaberrechten; dabei können auch Inhaberrechte vergeben werden. Gespeichert werden E-Mail-Adresse, Name, Rolle und Passwort (als Hash). Wird ein Zugang entfernt, wird er deaktiviert und alle Sitzungen werden beendet; der Benutzerdatensatz bleibt gespeichert, damit nachvollziehbar bleibt, wer welche Vorgänge bearbeitet hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 88 DSGVO in Verbindung mit § 26 BDSG, soweit diese Vorschrift anwendbar ist (Durchführung des Beschäftigungsverhältnisses), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit der Bearbeitung).

Anmeldung und Sitzungen

Bei der Anmeldung prüfen wir E-Mail-Adresse und Passwort. Für jede Sitzung speichern wir einen Hashwert (SHA-256) der Sitzungskennung, Ablaufzeitpunkt, Zeitpunkt der letzten Aktivität, Ihre IP-Adresse, die Kennung Ihres Browsers (User-Agent, gekürzt) und ob die Sitzung über einen von der Vermieterin erzeugten Link zum Zurücksetzen des Passworts entstand. Außerdem speichern wir den Zeitpunkt Ihrer letzten Anmeldung. Im Profil sehen Sie Ihre neuesten Sitzungen (bis zu zehn) und können sie beenden. Sitzungsdaten werden gelöscht, sobald die Sitzung beendet wird, abgelaufene Sitzungen im nächsten täglichen Verarbeitungslauf (siehe Abschnitt 12); eine Sitzung endet spätestens 180 Tage nach der Anmeldung.

Zweck ist die Bereitstellung der Anmeldung und die Erkennung missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für IP-Adresse und Browserkennung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Sie und wir können unbekannte Sitzungen erkennen und beenden).

Schutz vor Missbrauch

Um Konten vor dem Erraten von Passwörtern und Einladungslinks zu schützen, zählt die Anwendung Anmeldeversuche und andere sicherheitsrelevante Vorgänge. Dazu speichern wir je Versuch Zeitpunkt, Ergebnis und Ihre IP-Adresse sowie

bei Anmeldungen die eingegebene E-Mail-Adresse,
bei ungültigen Einladungs- oder Passwort-Links einen kurzen Teil eines Hashwerts des Links,
beim Absenden von Registrierung, „Passwort vergessen“ und Annahme einer Einladung den Zweck,
bei der erneuten Passwortabfrage im Profil Ihre Benutzerkennung,
bei bestimmten Aktionen angemeldeter Personen nur den Zweck und Ihre Benutzerkennung (ohne IP-Adresse).

Nach zu vielen Fehlversuchen derselben E-Mail-Adresse von derselben IP-Adresse oder zu vielen Fehlversuchen von einer IP-Adresse werden weitere Versuche von dort vorübergehend gesperrt; Anmeldungen zu einer E-Mail-Adresse von anderen IP-Adressen werden nur verzögert. Für Einladungs- und Passwort-Links sowie für die öffentlichen Formulare gelten eigene Grenzen je IP-Adresse. Erfolgreiche Anmeldungen nutzen wir 30 Tage lang, um bekannte IP-Adressen von Verzögerungen auszunehmen. Bei auffällig vielen Fehlversuchen erhalten Sie einen Hinweis in der Anwendung. Nach fünf falschen Passworteingaben innerhalb von 15 Minuten bei einer Änderung von E-Mail-Adresse oder Passwort im Profil werden aus Sicherheitsgründen alle Ihre Sitzungen beendet. Diese Daten werden nach 90 Tagen automatisch gelöscht (siehe Abschnitt 12).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz Ihrer Konten und der Anwendung vor unbefugten Zugriffen (vgl. Art. 32 DSGVO).

Passwort vergessen und Zurücksetzen durch die Vermieterin

Die Funktion „Passwort vergessen“ setzt einen E-Mail-Versand voraus, der derzeit nicht eingerichtet ist (siehe Abschnitt 11). Mieterinnen und Mietern, die sich seit mindestens 30 Tagen oder noch nie angemeldet haben, kann die Vermieterin auf Wunsch einen Link zum Zurücksetzen des Passworts erzeugen und übergeben; er ist 60 Minuten gültig. Sie erhalten darüber einen Hinweis in der Anwendung. Wird der Link eingelöst, vermerken wir dies mit Zeitpunkt und IP-Adresse. Aus Sicherheitsgründen ist danach für 14 Tage keine Zustimmung zu Mietanpassungen über das Portal möglich. Hashwerte abgelaufener Links werden einen Tag nach Ablauf gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Wiederherstellung des Zugangs, Nachweis gegen Missbrauch).

Profil und Einstellungen

Im Profil können Sie Name und Telefonnummer ändern, E-Mail-Adresse und Passwort (nach Eingabe Ihres aktuellen Passworts), die Art Ihrer Benachrichtigungen (sofort, als tägliche Zusammenfassung oder nur in der Anwendung) und das Farbschema. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Aktivitätsprotokoll

Wichtige Vorgänge (zum Beispiel Registrierung, Annahme einer Einladung, Passwortänderung, Erteilung oder Widerruf der Zustimmung zur digitalen Zustellung, Aktionen an Anliegen, Datenexport) werden in einem Aktivitätsprotokoll mit handelnder Person, Zeitpunkt und Art des Vorgangs vermerkt. Bei Registrierung, Annahme einer Einladung, Zurücksetzen des Passworts und Aktionen von Mieterinnen und Mietern an Anliegen wird auch die IP-Adresse vermerkt; bei Erklärungen im Portal (Zustimmung zur digitalen Zustellung und deren Widerruf, Aktionen an Anliegen) auch die verwendete Sitzung. Entscheidungen zu Mietanpassungen speichern wir gesondert mit Sitzung (Abschnitt 8). Passwörter, Links, vollständige Kontonummern und Freitexte von Mieterinnen und Mietern werden dort nicht gespeichert. Das vollständige Protokoll können nur Personen mit Inhaberrechten einsehen. Auf der Seite eines Mietvertrags sehen alle Benutzer der Vermieterseite die zugehörigen Einträge (Art, Zeitpunkt, handelnde Person). IP-Adressen werden in der Oberfläche nicht angezeigt, sind aber im Datenexport enthalten. Zweck ist die Nachvollziehbarkeit, die Sicherheit und der Nachweis von Erklärungen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: siehe Abschnitt 12.

Datenexport

Personen mit Inhaberrechten können alle Daten des Kontos einschließlich hochgeladener Dateien, Aktivitäts- und E-Mail-Protokoll (mit IP-Adressen) als ZIP-Datei herunterladen, etwa zur eigenen Ablage, zur Vorbereitung von Auskunfts- oder Übertragbarkeitsersuchen oder für einen Anbieterwechsel. Der Export umfasst die Daten aller Mietverhältnisse des Kontos; bei Auskunfts- und Übertragbarkeitsersuchen geben wir nur Ihre eigenen Daten heraus. Passwort- und Link-Hashwerte, Sitzungen und Anmeldeversuche sind nicht enthalten. Jeder Export wird im Aktivitätsprotokoll vermerkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (Erfüllung von Auskunfts- und Übertragbarkeitsersuchen) und Art. 6 Abs. 1 lit. f DSGVO (eigene Ablage, Anbieterwechsel).

7. Mieterportal und Einladung

Einen Zugang zum Mieterportal erhalten nur Vertragsparteien eines unterschriebenen Mietvertrags, und nur auf Einladung der Vermieterin. Bürginnen und Bürgen erhalten keinen Zugang. Für die Einladung speichern wir die Vertragspartei, gegebenenfalls die E-Mail-Adresse, den Übermittlungsweg (Link, Brief mit QR-Code oder E-Mail), die einladende Person, den Ablaufzeitpunkt (in der Regel 14 Tage) und einen Hashwert des Einladungslinks. Den Link selbst übergibt die Vermieterin persönlich, per Brief oder auf einem anderen von ihr gewählten Weg.

Wenn Sie die Einladung annehmen, speichern wir Ihre E-Mail-Adresse, Ihren Namen, Ihr Passwort (als Hash), die Kenntnisnahme dieser Datenschutzhinweise (Version und Zeitpunkt) und, falls Sie zustimmen, Ihre Zustimmung zur digitalen Zustellung von Dokumenten über das Portal. Ihr Benutzerkonto wird mit Ihren Kontaktdaten im Mietverhältnis verknüpft; die Annahme wird mit IP-Adresse im Aktivitätsprotokoll vermerkt, und die Vermieterseite wird über die Annahme mit Ihrem Namen benachrichtigt.

Im Portal sehen Sie Ihre Verträge, Zahlungen, Abrechnungen, für Sie freigegebene Dokumente, Nachrichten und Anliegen. Was andere Vertragsparteien Ihres Mietvertrags sehen, steht in Abschnitt 13. Die Zustimmung zur digitalen Zustellung ist eine Vereinbarung mit Ihnen über den Zustellweg; die damit verbundene Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Sie können die Zustimmung im Profil jederzeit erteilen und mit Wirkung für die Zukunft widerrufen; beides wird mit Zeitpunkt protokolliert.

Nach dem Ende Ihres Mietverhältnisses haben Sie zunächst weiter Lesezugriff. Ihr Zugang wird automatisch deaktiviert, wenn die Einwendungsfrist der letzten Betriebskostenabrechnung zuzüglich eines Monats bzw. zwölf Monate nach der Schlussabrechnung der Kaution abgelaufen sind (maßgeblich ist der spätere Zeitpunkt). Die automatische Deaktivierung setzt voraus, dass diese Ereignisse eingetreten sind. Gab es weder Vorauszahlungen auf Betriebs- oder Heizkosten noch eine Kaution, oder steht eine dieser Abrechnungen noch aus, erfolgt keine automatische Deaktivierung; in diesem Fall legt die Vermieterin den Zeitpunkt fest oder entzieht den Zugang. Die Vermieterin kann den Zeitpunkt auch sonst festlegen oder verlängern. 30 Tage vorher weist Sie eine Benachrichtigung in der Anwendung darauf hin. Bitte speichern Sie Dokumente, die Sie behalten möchten, rechtzeitig.

Die Nutzung des Mieterportals ist freiwillig. Sie können mit uns jederzeit auch per Post, Telefon oder E-Mail kommunizieren. Zweck des Portals ist die digitale Kommunikation im Mietverhältnis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Mietvertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (einfache und nachweisbare Kommunikation).

8. Verarbeitung im Rahmen des Mietverhältnisses

Welche Daten wir verarbeiten

Stammdaten der Mietparteien: Anrede, Vor- und Nachname bzw. Firma, Geburtsdatum (freiwillig, nur zur Identifizierung), Anschrift, neue Anschrift nach dem Auszug, E-Mail, Telefon, Verbrauchereigenschaft, Bankverbindung für Erstattungen; bei Mitmietenden auch Ein- und Austrittsdatum; interne Notizen der Vermieterin (für Mieterinnen und Mieter nicht sichtbar).
Bürginnen und Bürgen: Kontaktdaten und Zuordnung zum Mietvertrag bzw. zur Kaution.
Haushalt: Anzahl der Erwachsenen und Kinder und, soweit für die Wohnungsgeberbestätigung nötig, die Namen der einziehenden Personen.
Vertragsdaten: Mietgegenstand, Miete und Vorauszahlungen, Laufzeit und gegebenenfalls Befristungsgrund, Schlüsselvereinbarungen, Angaben zur Zahlung durch eine öffentliche Stelle, Vermietung an Angehörige, Kündigungen mit Grund.
Kaution: Art, Raten, Bewegungen, Treuhandkonto, Einbehalte mit Grund, Auszahlungskonto, gegebenenfalls Name der Bürgin oder des Bürgen.
Zahlungsdaten: Sollstellungen, Zahlungseingänge mit Name und IBAN der zahlenden Person, Verwendungszweck, Tilgungsbestimmungen, Ratenvereinbarungen, Mahnungen.
Abrechnungsdaten: Betriebs- und Heizkostenabrechnungen mit Verteilschlüsseln, Ergebnissen und Zugangsdatum, Zählerstände mit Ablesedatum, Quelle und gegebenenfalls Foto.
Übergabeprotokolle: Anwesende (auch Zeugen und Vertretungen), Zustand der Räume, Mängel mit Fotos, Schlüssel, Bemerkungen, Unterschriften (getippt oder gezeichnet), neue Anschrift und Erstattungskonto beim Auszug.
Kommunikation: Nachrichten, Anliegen mit Beschreibung, Ort, Fotos, Erreichbarkeit und Kommentaren, Aushänge, Benachrichtigungen.
Dokumente und Schreiben: Mietverträge, Abrechnungen, Schreiben und sonstige Dokumente sowie der Zeitpunkt, zu dem eine Mieterin oder ein Mieter ein Dokument im Portal erstmals geöffnet hat.

Besondere Kategorien personenbezogener Daten

Wir fragen keine Angaben zu Gesundheit, Religion, ethnischer Herkunft oder anderen besonderen Kategorien (Art. 9 DSGVO) ab. Bitte geben Sie in Anliegen, Nachrichten und auf Fotos nur an, was für die Bearbeitung nötig ist. Teilen Sie uns solche Angaben selbst mit, etwa um eine Härte oder einen besonderen Bedarf geltend zu machen, verarbeiten wir sie nur, soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 9 Abs. 2 lit. f DSGVO), und nur für diesen Zweck. Im Übrigen verarbeiten wir sie nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

Zwecke und Rechtsgrundlagen

Anbahnung, Abschluss, Durchführung und Beendigung des Mietverhältnisses, einschließlich Mietzahlungen, Kaution, Abrechnungen, Instandhaltung und Kommunikation: Art. 6 Abs. 1 lit. b DSGVO.
Bürgschaft: Art. 6 Abs. 1 lit. b DSGVO (Bürgschaftsvertrag mit der Bürgin bzw. dem Bürgen).
Erfüllung gesetzlicher Pflichten, etwa zur Abrechnung von Betriebs- und Heizkosten, zur Wohnungsgeberbestätigung nach § 19 Bundesmeldegesetz und zu handels- und steuerrechtlicher Buchführung und Aufbewahrung: Art. 6 Abs. 1 lit. c DSGVO.
Wahrung berechtigter Interessen, etwa Durchsetzung und Abwehr von Ansprüchen, Nachweis von Zugang und Erklärungen sowie eine ordnungsgemäße interne Organisation der Verwaltung (interne Notizen): Art. 6 Abs. 1 lit. f DSGVO.
Zahlende Dritte, Anwesende bei Übergaben (Zeugen, Vertretungen) und Kontaktpersonen: Art. 6 Abs. 1 lit. f DSGVO (Zuordnung von Zahlungen, Beweissicherung, Erreichbarkeit im Notfall).

Bankumsätze und Zuordnung von Zahlungen

Die Vermieterin kann Kontoauszüge ihrer Bank als CSV-Datei importieren. Gespeichert werden die Datei selbst und je Buchung Name, IBAN und BIC der Gegenseite, Verwendungszweck, Buchungstext, gegebenenfalls abweichender Auftraggeber, Mandatsreferenz, Gläubiger-ID und End-to-End-Referenz, der Kontostand nach der Buchung sowie die vollständige Importzeile zur Nachvollziehbarkeit; bei bestätigten Buchungen außerdem, wer sie bestätigt hat. Das betrifft auch Personen, die nicht Mieterinnen oder Mieter sind, etwa Angehörige, Behörden wie Jobcenter, Dienstleister oder Versorger. Damit Zahlungen künftig leichter zugeordnet werden können, merkt sich die Anwendung bestätigte Zahler (IBAN und Name, gegebenenfalls mit dem Vermerk „Drittzahler“) je Mietvertrag. Zweck ist die Zuordnung von Zahlungen und die Buchführung; Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, c und f DSGVO.

Mahnwesen

Mahnungen werden nur durch die Vermieterin erstellt, geprüft, freigegeben und zugestellt. Wird eine Forderung extern weiterverfolgt (zum Beispiel durch eine Rechtsanwältin, einen Rechtsanwalt oder ein gerichtliches Mahnverfahren), wird dies vermerkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

Abrechnungen und Belegeinsicht

Belege, die Angaben zu anderen Mietparteien enthalten können, stellen wir nicht von uns aus bereit, sondern geben sie nur im Einzelfall für die Belegeinsicht frei (Art. 6 Abs. 1 lit. b, c und f DSGVO).

Mietanpassungen

Stimmen Sie einer Mietanpassung über das Portal zu, lehnen Sie sie ab oder stimmen Sie teilweise zu, speichern wir Ihre Entscheidung mit Betrag, Zeitpunkt, handelnder Person und Sitzung als Nachweis (Art. 6 Abs. 1 lit. b und f DSGVO).

Anliegen und Handwerker

Anliegen, die Sie im Portal melden, sind für alle Vertragsparteien Ihres Mietvertrags und für die Vermieterseite sichtbar, einschließlich Fotos, Erreichbarkeit und einer dort angegebenen Telefonnummer. Interne Kommentare der Vermieterseite sehen Mieterinnen und Mieter nicht. Beauftragt die Vermieterin einen Handwerksbetrieb, enthält der Auftrag Ihren Namen, Ihre Telefonnummer, Ihre E-Mail-Adresse und Ihre Erreichbarkeit nur dann, wenn Sie der direkten Kontaktaufnahme durch den Handwerker zugestimmt haben, bei der Meldung oder später auf der Seite des Anliegens (Art. 6 Abs. 1 lit. a DSGVO). Ohne diese Zustimmung erhält der Betrieb nur die Angaben zum Auftrag (Vorgangsnummer, Titel, Art, Dringlichkeit, Ihre Beschreibung des Anliegens, Zahl der Fotos, Objektanschrift, Wohnung, Ort im Haus, gegebenenfalls Termin und Kostenrahmen); die Kontaktaufnahme läuft dann über die Vermieterin. Bitte geben Sie in der Beschreibung keine Kontaktdaten an, wenn Sie keine Weitergabe wünschen. Die Zustimmung zur Weitergabe Ihrer Kontaktdaten an Handwerker können Sie jederzeit mit Wirkung für die Zukunft widerrufen: auf der Seite des Anliegens im Mieterportal, solange Ihr Zugang besteht („Zustimmung widerrufen“; das kann nur die Person, die das Anliegen gemeldet hat, denn der Auftrag enthält nur ihre Kontaktdaten), oder jederzeit formlos gegenüber Ihrer Vermieterin, die den Widerruf dann im Vorgang erfasst. Der Widerruf ist auch nach dem Ende des Mietverhältnisses möglich; ist Ihr Zugang zum Portal dann nicht mehr aktiv, wenden Sie sich bitte an die Vermieterin. Solange der Vorgang offen ist und Ihr Mietverhältnis läuft, können Sie die Weitergabe im Portal erlauben bzw. wieder erlauben. Jede Änderung wird mit Zeitpunkt und Herkunft protokolliert (im Portal mit IP-Adresse, siehe Abschnitt 6), und die jeweils andere Seite wird benachrichtigt. Ab dem Widerruf enthalten neue Aufträge Ihre Kontaktdaten nicht mehr, sondern die Bitte an den Betrieb, frühere Kontaktdaten nicht mehr zu verwenden; bereits übermittelte Aufträge bleiben unverändert und können nicht zurückgeholt werden. Die Vermieterseite wird darauf hingewiesen, den Betrieb über den Widerruf zu informieren. Den Auftrag übergibt die Vermieterin selbst als Schreiben; eine automatische Übermittlung an Handwerker gibt es nicht.

Nachrichten, Aushänge und Kontaktpersonen

Nachrichten werden je Mietvertrag zwischen der Vermieterseite und allen Vertragsparteien geführt; gespeichert werden Absender, Text, Anhänge und der Lesestatus je Person. Aushänge sind für die Mieterinnen und Mieter des betreffenden Hauses sichtbar. Für Notfälle und Hausdienste zeigt das Portal Kontaktpersonen (zum Beispiel Hausmeister oder Versorger) mit Name, Telefonnummer und E-Mail an (Art. 6 Abs. 1 lit. b und f DSGVO).

Steuerliche Unterlagen

Für die Steuererklärung kann die Vermieterin eine Auswertung exportieren, die Buchungen mit Gegenpartei, IBAN und Verwendungszweck sowie Mietverhältnisse mit Namen der Mietparteien und dem Merkmal „Vermietung an Angehörige“ enthält. Diese Auswertung erhalten nur die Vermieterin und ihre steuerliche Beratung (Art. 6 Abs. 1 lit. c und f DSGVO).

Herkunft der Daten

Daten, die Sie nicht selbst eingeben, stammen in der Regel aus dem Mietvertrag und der Korrespondenz mit Ihnen, von Mitmietenden, aus Kontoauszügen der Vermieterin (Zahlungen) sowie aus Ablesungen und Übergaben. Daten von Bürginnen und Bürgen erhalten wir von ihnen selbst oder von der Mietpartei. Name und IBAN von Zahlenden stammen aus den Kontoauszügen unseres Geschäftskontos. Namen von Haushaltsangehörigen, Zeugen und Vertretungen teilt uns die Mietpartei mit, oder sie werden bei der Übergabe erfasst. Kontaktdaten von Dienstleistern und Kontaktpersonen stammen in der Regel von diesen selbst. Welche Daten wir zu diesen Personen verarbeiten, steht in der Liste oben.

9. Hochgeladene Dateien (Fotos, Belege, Dokumente)

Hochgeladene Dateien speichern wir auf unserem Server unter einem zufälligen Dateinamen, zusammen mit dem ursprünglichen Dateinamen, Dateityp, Größe, Prüfsumme, Verwendungszweck und der hochladenden Person. Sie sind nur über die Anwendung und nur für Berechtigte abrufbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Angabe der hochladenden Person beruht auf Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit).

Beim Speichern entfernt der Server aus Bilddateien in den Formaten JPEG, PNG und WebP eingebettete Metadaten wie Aufnahmeort (GPS), Kameradaten, Aufnahmezeitpunkt, Beschreibungen, Kommentare und Herkunftsnachweise (Content Credentials/C2PA); erhalten bleiben die Bilddaten und insbesondere Angaben, die für die Darstellung nötig sind (etwa Farbprofil und Bildausrichtung; die Ausrichtung als einzelne Angabe ohne weitere Metadaten) sowie einzelne technische Formatangaben ohne Aufnahmeort oder Kameradaten. Bei Fotos im Format HEIC überschreibt der Server die eingebetteten Exif- und XMP-Daten (darin stehen insbesondere Aufnahmeort, Kameradaten und Aufnahmezeitpunkt) sowie Herkunftsnachweise (C2PA) mit leeren Werten; der übrige Aufbau der Datei einschließlich der Bildausrichtung bleibt unverändert. Das gilt für alle Bild-Uploads, auch für Mietverträge und Nachweise der Vermieterseite. Ausgenommen von dieser Bereinigung sind PDF-Dateien: deren Angaben etwa zu Autor oder erstellendem Programm bleiben erhalten. Fotos werden zusätzlich meist schon im Browser verkleinert. Lässt sich eine Bilddatei wegen beschädigter oder unbekannter Struktur nicht sicher bereinigen, wird sie nicht gespeichert; Sie erhalten dann einen Hinweis, das Bild neu zu speichern bzw. in einem anderen Format oder als neues Foto hochzuladen. Bilder, die gespeichert wurden, bevor diese Bereinigung eingeführt war, haben wir mit einem einmaligen Wartungslauf nachträglich auf dieselbe Weise bereinigt; Dateien, bei denen das nicht sicher gelang, haben wir einzeln geprüft. Wenn Sie keine Standortdaten übermitteln möchten, können Sie die Standortspeicherung zusätzlich in Ihrer Kamera-App deaktivieren.

Dateien, die nach dem Hochladen keinem Vorgang zugeordnet wurden, werden nach einem Tag zur Löschung vorgemerkt und sieben Tage später endgültig gelöscht (siehe Abschnitt 12 zum täglichen Verarbeitungslauf). Im Übrigen gelten die Speicherfristen des Vorgangs, zu dem die Datei gehört. Gezeichnete Unterschriften, die bei einer Änderung oder erneuten Unterschrift eines Übergabeprotokolls ersetzt werden, bewahren wir bis zur Löschung des Kontos auf.

10. Keine Analyse-, Werbe- oder Drittanbieterdienste

Mietwerk verwendet keine Analyse-, Statistik-, Werbe- oder Trackingdienste, keine Social-Media-Plugins und keine Kartendienste. Schriften und alle übrigen Bestandteile der Seite werden von unserem eigenen Server geladen; beim Aufruf der Anwendung werden keine Inhalte von Servern Dritter (etwa Content-Delivery-Networks oder Schriftendiensten) nachgeladen. QR-Codes für Einladungsbriefe werden auf unserem Server erzeugt. Die Telemetrie des verwendeten Frameworks ist abgeschaltet.

11. E-Mail und Kontaktaufnahme

E-Mails der Anwendung

Derzeit versendet Mietwerk keine E-Mails. Einladungs- und Passwort-Links zeigt die Anwendung der Vermieterin zum Weitergeben an; Benachrichtigungen sehen Sie in der Anwendung. In einigen Fällen legt die Anwendung dennoch einen Protokolleintrag mit Empfängeradresse, Betreff (er enthält den Anlass und kann Namen enthalten), Vorlage und dem Vermerk „nicht versendet“ an:

für Benachrichtigungen, für die Ihre Einstellung „sofort“ (Voreinstellung) oder „tägliche Zusammenfassung“ lautet,
für dringende Benachrichtigungen unabhängig von Ihrer Einstellung,
für den Sicherheitshinweis an Ihre bisherige Adresse nach einer Änderung Ihrer E-Mail-Adresse.

Zweck ist der Nachweis, welche Benachrichtigung vorgesehen war; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: siehe Abschnitt 12. Wird ein E-Mail-Versand eingerichtet, ergänzen wir diese Erklärung vorher.

Kontakt per E-Mail, Telefon oder Post

Wenn Sie uns außerhalb der Anwendung per E-Mail, Telefon oder Post kontaktieren, verarbeiten wir Ihre Angaben (etwa Name, Kontaktdaten und Inhalt Ihrer Nachricht), um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihr Anliegen mit einem Mietverhältnis oder einem anderen Vertrag mit uns zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Anfragen zu beantworten). E-Mails an uns verarbeitet der Anbieter unseres E-Mail-Postfachs für uns als Auftragsverarbeiter. Wir speichern diese Angaben, solange es für die Bearbeitung erforderlich ist; betrifft Ihr Anliegen ein Mietverhältnis, gelten die Kriterien in Abschnitt 12.

12. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Einige Daten löscht die Anwendung automatisch in einem täglichen Verarbeitungslauf. Er startet unabhängig von der Nutzung der Anwendung jeden Tag ab 7:00 Uhr (spätestens gegen 7:10 Uhr, solange der Server läuft); die genannten Fristen können sich daher um bis zu einen Tag verlängern. Für die übrigen Daten richtet sich die Speicherdauer nach den unten genannten Kriterien. Im Einzelnen:

Automatische Löschung und Deaktivierung

Sitzungen: bis zum Ablauf oder Beenden, höchstens 180 Tage.
Anmeldeversuche und sonstige Sicherheitszählungen (mit E-Mail-Adresse, IP-Adresse bzw. Benutzerkennung): 90 Tage.
Links zum Zurücksetzen des Passworts: 60 Minuten gültig, Löschung einen Tag nach Ablauf.
Nicht zugeordnete Uploads: Löschung etwa acht Tage nach dem Hochladen.
IP-Adresse und Sitzungskennung im Aktivitätsprotokoll: Löschung 90 Tage nach dem Eintrag; der Eintrag selbst (Vorgang, Zeitpunkt, handelnde Person) bleibt nach den folgenden Kriterien gespeichert.
Nicht angenommene Einladungen (abgelaufen oder widerrufen): Löschung 90 Tage nach Ablauf bzw. Widerruf. Die Löschung wird ohne personenbezogene Angaben im Aktivitätsprotokoll vermerkt.
Zugang zum Mieterportal nach Vertragsende: Deaktivierung wie in Abschnitt 7 beschrieben. Mit der Deaktivierung werden alle Sitzungen beendet; die Daten des Mietverhältnisses selbst bleiben nach den folgenden Regeln gespeichert.

Speicherdauer nach Kriterien

Benutzerkonten (Name, E-Mail-Adresse, Passwort-Hash, letzte Anmeldung, Kenntnisnahme dieser Hinweise), auch deaktivierte Zugänge von Mitarbeitenden und ehemaligen Mieterinnen und Mietern: Die Anwendung löscht sie nicht automatisch; wir speichern sie bis zur Löschung des Kontos bzw. solange es zur Nachvollziehbarkeit der Bearbeitung und zum Nachweis von Erklärungen erforderlich ist.
Einladungen: Sie sind 14 Tage gültig, sofern die Vermieterin keine andere Gültigkeit festgelegt hat, und werden danach als abgelaufen markiert. Nicht angenommene Einladungen werden wie oben beschrieben nach 90 Tagen gelöscht. Angenommene Einladungen (mit dem Hashwert, nicht dem Link selbst) speichern wir bis zur Löschung des Kontos bzw. solange es zum Nachweis des Zugangs erforderlich ist.
Aktivitätsprotokoll (ohne IP-Adressen und Sitzungskennungen, die nach 90 Tagen gelöscht werden): bis zur Löschung des Kontos bzw. solange es zur Nachvollziehbarkeit, zur Missbrauchsabwehr und zum Nachweis von Erklärungen erforderlich ist.
E-Mail-Protokoll, Benachrichtigungen und Lesestatus: bis zur Löschung des Kontos bzw. solange es zum Nachweis der Kommunikation im Mietverhältnis erforderlich ist.
Daten des Mietverhältnisses, einschließlich der Nachweise des Öffnens von Dokumenten: für die Dauer des Mietverhältnisses, danach bis zu seiner vollständigen Abwicklung (insbesondere Abrechnung der Kaution und letzte Betriebskostenabrechnung) und darüber hinaus, solange Ansprüche daraus geltend gemacht werden können (insbesondere Verjährung nach §§ 195, 199 BGB und § 548 BGB) oder gesetzliche Aufbewahrungspflichten bestehen.
Buchführungsunterlagen: für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen (insbesondere § 257 HGB, § 147 AO) von bis zu zehn Jahren.
Speicher im Browser: bis Sie ihn löschen bzw. wie in Abschnitt 5 beschrieben.

Ist ein beendetes Mietverhältnis vollständig abgewickelt (Kaution abgerechnet, Mietkonto ausgeglichen und gegebenenfalls die Betriebskostenabrechnung zugestellt), erinnert uns die Anwendung im Fristenkalender zum 31.12. des dritten darauffolgenden Jahres daran, die Daten der ehemaligen Mieterinnen und Mieter zu prüfen. Da wir als GmbH buchführungspflichtig sind und dies für unser Konto hinterlegt ist, erfolgt diese Erinnerung erst zum Ende der Aufbewahrungsfrist (31.12. des zehnten Jahres nach der letzten Buchung des Vertrags). Wir prüfen die Daten dann und anonymisieren bzw. löschen sie, soweit wir sie nicht mehr benötigen.

Ist eine ehemalige Mietpartei an keinem laufenden oder künftigen Mietvertrag mehr beteiligt, können wir die Verarbeitung ihrer Daten einschränken (Art. 18 DSGVO), etwa wenn wir sie nur noch wegen Aufbewahrungspflichten oder zur Abwehr von Ansprüchen speichern. Die Daten sind dann gesperrt: Sie werden nicht mehr geändert, ein bestehender Zugang zum Mieterportal wird gesperrt und nicht wieder verlängert, die Person erhält keine Einladungen, Nachrichten oder Benachrichtigungen mehr, und sie kann keinem Vertrag mehr zugeordnet werden. Offene Einladungen werden dabei widerrufen. Neue Schreiben erstellen wir nur noch, soweit sie der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dienen (Art. 18 Abs. 2 DSGVO), nämlich Betriebskosten- und Kautionsabrechnungen, Mahnungen, Zahlungspläne und Kontoauszüge des Mietkontos; der gesperrten Person stellen wir sie per Post zu, und sie werden im Aktivitätsprotokoll vermerkt. Für andere Schreiben heben wir die Einschränkung vorher auf; auch das wird mit Grund protokolliert.

Die Personendaten einer ehemaligen Mietpartei anonymisieren wir (Art. 17 DSGVO), wenn alle ihre Mietverhältnisse abgeschlossen sind, keine Posten mehr offen sind (Mietkonto ausgeglichen, Kaution abgerechnet), kein Rechtsstreit vermerkt ist und die Prüfungsfrist abgelaufen ist (31.12. des dritten Jahres nach dem Abschluss). Da für unser Konto Buchführungspflicht hinterlegt ist, muss zusätzlich die Aufbewahrungsfrist abgelaufen sein (31.12. des zehnten Jahres nach der letzten Buchung des Vertrags). Die Anonymisierung läuft nicht automatisch: Die Anwendung erinnert im Fristenkalender, prüft die Voraussetzungen und anonymisiert auf Veranlassung der Vermieterin. Dabei werden ersetzt bzw. gelöscht: Name, Anschrift, Kontaktdaten, Geburtsdatum, Bankverbindung für Erstattungen und Notizen; die Zuordnungen für den Bankimport (Name und IBAN des Zahlenden), damit künftige Kontoumsätze der Person nicht mehr zugeordnet werden (bei Verträgen mit mehreren Mietparteien nur die Zuordnungen, die zu ihrem Namen oder ihrer Erstattungs-IBAN passen); die E-Mail-Adresse und der Name im E-Mail-Versandprotokoll sowie der Name in Benachrichtigungen der Vermieterseite, soweit er dort in vollständiger Form (Vor- und Nachname bzw. Firma) steht; Bewohnernamen für die Wohnungsgeberbestätigung und ein als Bürgin bzw. Bürge der Kaution erfasster Name. Verträge, Buchungen und Belege bleiben als Datensätze mit der neutralen Bezeichnung „Ehemalige Mietpartei“ erhalten. Ein Zugang zum Mieterportal wird mit allen Sitzungen gelöscht; hat die Person Nachrichten oder Anliegen verfasst, wird der Zugang stattdessen neutralisiert und deaktiviert, damit diese Verläufe verständlich bleiben. Nicht verändert werden: Inhalte bereits erstellter Schreiben (etwa Abrechnungen und Kautionsabrechnungen mit Auszahlungs-IBAN), Übergabeprotokolle (mit Unterschrift, neuer Anschrift und Erstattungs-IBAN), Angaben in Zahlungen und Kontoumsätzen (etwa Name und IBAN des Zahlenden), von der Vermieterin selbst angelegte Regeln zur Kategorisierung von Kontoumsätzen sowie Inhalte von Nachrichten und Anliegen. Sie bleiben Teil der Buchführungs- bzw. Vorgangsunterlagen und werden nach den oben genannten Kriterien gelöscht.

Löschung des gesamten Kontos und Einstellung des Betriebs

Die Inhaberin des Vermieterkontos kann das gesamte Konto zur Löschung vormerken. Ab diesem Zeitpunkt ist für alle Benutzerinnen und Benutzer, einschließlich der Mieterinnen und Mieter, keine Anmeldung mehr möglich, und alle Sitzungen werden beendet. Ohne hinterlegte Buchführungspflicht würde die Anwendung 30 Tage nach der Vormerkung im täglichen Verarbeitungslauf alle Daten des Kontos endgültig löschen, einschließlich der Daten aller Mietverhältnisse, des Aktivitäts- und E-Mail-Protokolls und der hochgeladenen Dateien. Für unser Konto gilt stattdessen Folgendes:

Als GmbH sind wir handels- und steuerrechtlich buchführungs- und aufbewahrungspflichtig (§ 257 HGB, § 147 AO); das ist für unser Konto hinterlegt. Die Anwendung löscht unser Konto deshalb nicht 30 Tage nach der Vormerkung, sondern erst mit Ablauf der Aufbewahrungsfrist (31.12. des zehnten Jahres nach dem jüngsten Buchungsbeleg). Bis dahin bleibt das gesamte Konto mit allen darin enthaltenen Daten (nicht nur den Buchführungsunterlagen) gesperrt: Eine Anmeldung ist nicht möglich, und die fachlichen täglichen Verarbeitungen (etwa Sollstellungen, Fristen und Erinnerungen) laufen für dieses Konto nicht mehr. Die automatischen Löschungen aus diesem Abschnitt (etwa von IP-Adressen und Sitzungskennungen nach 90 Tagen, abgelaufenen Sitzungen, Anmeldeversuchen, nicht angenommenen Einladungen und nicht zugeordneten Uploads) laufen weiter.

Stellen wir den Betrieb von Mietwerk ein, löschen wir die Daten, soweit keine gesetzlichen Aufbewahrungspflichten bestehen; Daten, die wir aufbewahren müssen, sperren wir bis zum Ende der Frist und löschen sie danach.

13. Empfänger

Empfänger bzw. Kategorien von Empfängern Ihrer Daten sind:

die Vermieterin und ihre Mitarbeitenden, soweit sie die Daten für ihre Aufgaben benötigen;
Hostinger International Ltd. (Zypern) als Auftragsverarbeiter für den Betrieb des Servers (Abschnitt 3);
die anderen Vertragsparteien Ihres Mietvertrags: Sie sehen im Portal dieselben Vertragsdaten wie Sie, insbesondere das Mietkonto mit Sollstellungen und Zahlungen, Abrechnungen, Schreiben und Dokumente zum Vertrag, Nachrichten und Anliegen einschließlich Fotos, Erreichbarkeit und einer dort angegebenen Telefonnummer, und zwar auch Einträge aus der Zeit vor ihrem Eintritt. Ausgeschiedene Mitmietende sehen Einträge nur bis zu ihrem Austrittsdatum;
Handwerksbetriebe und andere Dienstleister, wenn die Vermieterin sie beauftragt, und zwar nur mit den für den Auftrag nötigen Angaben; Ihre Kontaktdaten nur mit Ihrer Zustimmung (Abschnitt 8);
soweit wir sie beauftragen bzw. es im Einzelfall erforderlich ist: Messdienstleister für die Heiz- und Wasserkostenabrechnung, Versicherungen bei Schadensfällen, bei einer Veräußerung des Hauses die Erwerberin oder der Erwerber (§ 566 BGB) sowie öffentliche Stellen, die Leistungen für Ihre Unterkunft erbringen, soweit Sie dies veranlassen oder wir dazu verpflichtet sind;
der Anbieter unseres E-Mail-Postfachs als Auftragsverarbeiter, wenn Sie uns per E-Mail schreiben (Abschnitt 11);
Kreditinstitute, soweit dies für Kautionsanlage, Zahlungen und Erstattungen erforderlich ist;
Post- und Zustelldienste für den Versand von Schreiben;
die steuerliche Beratung der Vermieterin, soweit für Buchführung und Steuererklärung erforderlich;
Rechtsanwältinnen und Rechtsanwälte, Gerichte und Behörden, soweit dies zur Durchsetzung oder Abwehr von Ansprüchen erforderlich ist oder wir gesetzlich dazu verpflichtet sind.

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

14. Automatisierte Verarbeitungsschritte

Mahnungen, Mietanpassungen (abgesehen von der Umsetzung vereinbarter Staffelmieten) und Abrechnungen erstellt die Anwendung nicht von sich aus; sie werden immer von der Vermieterseite geprüft und freigegeben. Einige Verarbeitungsschritte laufen dagegen automatisch nach festen Regeln ab:

Zahlungseingänge werden bei einer sehr deutlichen Übereinstimmung mit genau einem Mietvertrag automatisch dem Mietkonto und offenen Forderungen zugeordnet; die Vermieterseite kann diese Zuordnung rückgängig machen. Im Übrigen schlägt die Anwendung eine Zuordnung nur vor, und die Vermieterseite bestätigt sie.
Erkennt die Anwendung beim Import von Kontoauszügen eine Rücklastschrift zu einer zugeordneten Zahlung, bucht sie diese Zahlung automatisch zurück, sodass die beglichenen Posten wieder offen sind. Sie und die Vermieterseite werden darüber benachrichtigt; bei gehäuften Rücklastschriften erhält die Vermieterseite den Hinweis, den Zahlungsweg zu ändern. Ein Entgelt der Bank für die Rücklastschrift stellt die Anwendung Ihnen dabei nicht in Rechnung. War die Erkennung falsch, erfasst die Vermieterseite die Zahlung im Mietkonto neu.
Sollstellungen werden zu den vereinbarten Terminen erzeugt, und Guthaben werden an Fälligkeitstagen verrechnet. Vereinbarte Staffelmieten sowie Mietanpassungen, die die Vermieterseite erklärt hat und deren Zugang erfasst ist, denen Sie zugestimmt haben oder die einvernehmlich vereinbart wurden, werden zum Wirksamkeitsdatum in das Mietkonto übernommen. Läuft bei einem Verlangen auf Zustimmung zu einer Mieterhöhung die Zustimmungsfrist nach erfasstem Zugang ohne Ihre Zustimmung ab, wird das Verlangen als nicht zugestimmt geführt; ob weitere Schritte folgen, entscheidet die Vermieterseite.
Bleiben Raten einer Ratenvereinbarung aus, wird die Vereinbarung als nicht eingehalten markiert, und die Vermieterseite wird darüber benachrichtigt. Haben Sie mit uns eine Verfallklausel vereinbart, endet die Stundung der erfassten Forderungen im Mietkonto automatisch, sodass der gesamte Restbetrag als fällig ausgewiesen wird; ohne Verfallklausel gilt das nur für die ausgebliebenen Raten.
Zugänge ehemaliger Mieterinnen und Mieter werden zum festgelegten bzw. berechneten Zeitpunkt deaktiviert, soweit ein solcher vorliegt (Abschnitt 7); nach zu vielen Fehlversuchen werden Anmeldungen vorübergehend gesperrt.

Mahnstufen und Warnhinweise, etwa zu höheren Mietrückständen, zeigt die Anwendung der Vermieterseite nur als Vorschlag an. Mahnungen und andere rechtliche Schritte prüft und veranlasst stets ein Mensch. Wir erstellen keine Profile über Sie.

Die Gesamtfälligkeit nach einer nicht eingehaltenen Ratenvereinbarung ist die Folge der Verfallklausel, die Sie mit uns vereinbart haben; die Anwendung bildet sie im Mietkonto ab. Soweit darin, in einer automatischen Zuordnung von Zahlungen oder in der automatischen Rückbuchung bei einer Rücklastschrift eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO liegt, ist sie für die Erfüllung des Vertrags mit Ihnen erforderlich (Art. 22 Abs. 2 lit. a DSGVO). Sie haben dann das Recht, dass eine Person auf unserer Seite die Entscheidung überprüft, Ihren eigenen Standpunkt darzulegen und die Entscheidung anzufechten (Art. 22 Abs. 3 DSGVO). Wenden Sie sich dazu an die Kontaktdaten in Abschnitt 1.

15. Ihre Rechte

Sie haben gegenüber uns die folgenden Rechte hinsichtlich Ihrer personenbezogenen Daten:

Recht auf Auskunft (Art. 15 DSGVO),
Recht auf Berichtigung (Art. 16 DSGVO),
Recht auf Löschung (Art. 17 DSGVO),
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
Recht auf Datenübertragbarkeit (Art. 20 DSGVO),
Recht auf Widerspruch (Art. 21 DSGVO, siehe unten),
Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Wie wir die Verarbeitung der Daten ehemaliger Mietparteien einschränken und sie anonymisieren, beschreibt Abschnitt 12. Eine erteilte Zustimmung zur Weitergabe Ihrer Kontaktdaten an Handwerker können Sie direkt im Mieterportal widerrufen (Abschnitt 8, „Anliegen und Handwerker“).

Um Ihre Rechte auszuüben, wenden Sie sich an die in Abschnitt 1 genannten Kontaktdaten. Mieterinnen und Mieter können ihr Anliegen auch über das Mieterportal (Anliegen oder Nachricht) an uns richten. Eine Kopie Ihrer Daten in einem gängigen, maschinenlesbaren Format können Sie über ein Anliegen im Mieterportal oder über die Kontaktdaten in Abschnitt 1 anfordern; Daten anderer Personen sind darin nicht enthalten. Name und Telefonnummer können Sie im Profil selbst ändern, E-Mail-Adresse und Passwort nach Eingabe Ihres aktuellen Passworts.

Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Den Widerspruch können Sie formlos an die in Abschnitt 1 genannten Kontaktdaten richten.

Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de

16. Pflicht zur Bereitstellung

Die Angaben, die für Abschluss und Durchführung des Mietvertrags erforderlich sind, müssen Sie uns bereitstellen; ohne sie können wir den Vertrag nicht abschließen oder durchführen. Gesetzlich vorgeschrieben sind einzelne Angaben etwa für die Wohnungsgeberbestätigung. Freiwillig sind insbesondere das Geburtsdatum, die Zustimmung zur direkten Kontaktaufnahme durch Handwerker, die Zustimmung zur digitalen Zustellung und die Nutzung des Mieterportals; die Kommunikation mit uns ist auch ohne Portal per Post, Telefon oder E-Mail möglich (Abschnitt 7). Wenn Sie das Portal nutzen möchten, benötigen wir dafür E-Mail-Adresse, Name und Passwort; ohne diese Angaben ist ein Zugang nicht möglich.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem angegebenen Stand.

Stand: 10.11.2026