Datenschutzerklärung

1. Ansprechpartner

Verantwortlich im Sinne der DSGVO ist Markus Sulzer, Vivolo-Homebase, Dreysestraße 10, 10559 Berlin, Telefon +49 (0) 15734592828, E-Mail welcome@vivolo-homebase.de (siehe auch Impressum).

Datenschutzbeauftragte gibt es bei uns nicht, denn dazu sind wir nach § 38 BDSG nicht verpflichtet: Bei uns befassen sich nicht regelmäßig mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten. Mit allen Datenschutzfragen können Sie sich direkt an die genannte E-Mail-Adresse wenden.

2. Was wann mit Ihren Daten geschieht

Beim Aufruf der Website. Damit Seiten ausgeliefert werden können, erhalten unsere Hosting-Anbieter technisch bedingt IP-Adresse, Uhrzeit, aufgerufene Seite und Browserkennung. Das dient dem Betrieb und der Sicherheit, an denen wir ein berechtigtes Interesse haben (Art. 6 Abs. 1 lit. f DSGVO).

Mit einem Konto. Für die Registrierung brauchen wir Vor- und Nachname, E-Mail-Adresse und ein Passwort, das nur verschlüsselt gespeichert wird. Ihr Profil kann außerdem enthalten: Geburtsdatum, Wohnort, Telefonnummer, Beschäftigung und Beruf, LinkedIn-Link, Foto, Beschreibungstext und Sprachkenntnisse. In der Selbstauskunft kommen Nettoeinkommen und die Angabe hinzu, welche Nachweise Sie vorlegen könnten (etwa Schufa, Bürgschaft oder Einkommensnachweis). Dokumente laden Sie dafür nicht hoch. Suchprofile enthalten Ihre Wohnwünsche, zum Beispiel Ort und Umkreis, Budget, Einzugszeitraum, Haushaltsgröße, Kinder, Haustiere, Rauchen, WBS und ein Pendelziel. Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO), bei freiwilligen Angaben Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Wann Sie AGB und Datenschutzerklärung zugestimmt haben, halten wir als Nachweis fest (Art. 6 Abs. 1 lit. c und f DSGVO). Bei der Registrierung gleicht unser Server Ihr Passwort außerdem mit der Liste bekannter Datenlecks von „Have I Been Pwned“ ab. Dorthin gehen nur die ersten fünf Zeichen eines Hashwerts, nie das Passwort selbst. Unser Interesse daran ist die Sicherheit Ihres Kontos (Art. 6 Abs. 1 lit. f DSGVO). Über neue Registrierungen werden wir intern per E-Mail benachrichtigt.

Beim Bewerben. Die vermietende Person sieht Sie zunächst nur als „Bewerber A/B/C“, zusammen mit einer Checkliste zu ausgewählten Kriterien und der Angabe, welche Nachweise Sie vorlegen könnten. Name, vollständiges Profil und Chat werden erst sichtbar, wenn Sie eine Profilanfrage ausdrücklich freigeben. Das stützen wir auf die Vertragsanbahnung und Ihre Einwilligung (Art. 6 Abs. 1 lit. b und a DSGVO).

Beim Inserieren. Wir speichern die Angaben und Fotos Ihres Inserats und veröffentlichen sie, damit Suchende es finden können (Art. 6 Abs. 1 lit. b DSGVO). Während Sie die Adresse tippen, schlagen wir passende Straßen und Hausnummern vor. Aus Adressen von Inseraten und Suchprofilen ermitteln wir außerdem Koordinaten für die Umkreissuche. Beides ist unten in Abschnitt 4 näher beschrieben. Die Vorschläge sind freiwillig, Sie können die Adresse auch von Hand eingeben.

Beim Schreiben und Benachrichtigen. Chat-Nachrichten speichern wir, damit beide Seiten sie lesen können (Art. 6 Abs. 1 lit. b DSGVO). Wir senden Ihnen E-Mails zu Konto, Treffern und Bewerbungen und werten dabei nicht aus, ob Sie sie öffnen oder anklicken. E-Mails zu neuen Nachrichten enthalten den Nachrichtentext, damit Sie ihn ohne Anmeldung lesen können. Das können Sie in den Einstellungen unter „Benachrichtigungen“ abschalten. Push-Nachrichten erhalten Sie nur, wenn Sie sie aktivieren (Art. 6 Abs. 1 lit. a DSGVO). Dann speichern wir die Adresse und die Schlüssel, die Ihr Browser dafür erzeugt, bis Sie Push wieder abschalten.

Bei Meldungen und Anfragen. Melden Sie ein Problem oder schreiben Sie uns, verarbeiten wir Ihre Nachricht und Kontaktdaten, um uns darum zu kümmern. Rechtsgrundlagen sind der Nutzungsvertrag, bei Hinweisen auf rechtswidrige Inhalte auch unsere Pflichten aus dem Digital Services Act (Art. 6 Abs. 1 lit. b und c DSGVO) und im Übrigen unser Interesse an einem sicheren Dienst und an der Beantwortung von Anfragen (lit. f). Zur Moderation greift der Betreiber auf die dazu nötigen Daten zu; Moderationsmaßnahmen werden protokolliert.

Zum Schutz vor Missbrauch. Um massenhafte Registrierungs-, Anmelde- und Bewerbungsversuche zu bremsen, zählen wir Anfragen pro IP-Adresse und pro Konto (Art. 6 Abs. 1 lit. f DSGVO). Diese Zähler löschen wir nach etwa einem Tag.

3. Automatischer Abgleich von Suchprofilen und Inseraten

Vivolo gleicht Suchprofile automatisch mit Inseraten ab. Harte Kriterien wie Ort, Budget oder Einzugszeitraum bestimmen, welche Inserate Ihnen angezeigt werden. Aus Ihren weichen Wünschen errechnen wir einen Prozentwert, der Ihnen als Suchende:r zeigt, wie gut ein Inserat passt. Vermietende sehen zu einer Bewerbung eine Checkliste, ob ihre Kriterien erfüllt sind, aber weder diesen Wert noch eine Rangfolge der Bewerbungen. Wer eine Wohnung bekommt, entscheidet allein der Mensch, der sie vermietet. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO treffen wir nicht. Der Abgleich ist Teil der vereinbarten Leistung (Art. 6 Abs. 1 lit. b DSGVO).

4. Wer Daten erhält

Andere Nutzer:innen. Sie sehen Ihre Inserate und, nach den Regeln aus Abschnitt 2, Ihre Bewerbungsangaben und Nachrichten. Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

Dienstleister, die in unserem Auftrag arbeiten (Art. 28 DSGVO):

• Vercel Inc. (USA): betreibt die Anwendung und liefert sie aus, Serverfunktionen laufen in Irland.
• Supabase: Datenbank, Anmeldung und Dateispeicher auf Servern in Irland.
• Resend: verschickt unsere E-Mails über die EU-Region (Irland).
• Sentry (Functional Software, Inc., USA): Fehlerdiagnose über die EU-Instanz mit Rechenzentrum in Deutschland.
• PostHog Inc. (USA): Nutzungsanalyse, gehostet in der EU.

Hat ein Anbieter seinen Sitz in den USA oder ist ein Zugriff von dort möglich, zum Beispiel im Support-Fall, sichern wir die Übermittlung über die Standardvertragsklauseln der EU-Kommission ab (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie erhalten Sie auf Anfrage.

Dienste ohne Auftragsverarbeitungsvertrag. Diese Anbieter verarbeiten die Daten in eigener Verantwortung:

• MapTiler AG, Zugerstrasse 22, 6314 Unterägeri, Schweiz: Ihr Browser lädt von dort die Kartenkacheln (Kartendaten von OpenStreetMap), wenn eine Karte angezeigt wird. MapTiler erhält dabei Ihre IP-Adresse. So können Sie einschätzen, wo eine Wohnung liegt, was unser berechtigtes Interesse ist (Art. 6 Abs. 1 lit. f DSGVO). Für die Schweiz gilt ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
• Photon, komoot GmbH, Potsdam: erhält für die Adressvorschläge den eingetippten Text (Straße, Hausnummer, Stadt).
• Nominatim, OpenStreetMap Foundation, Vereinigtes Königreich: erhält die Adresse oder den Ort aus Inserat oder Suchprofil und liefert die Koordinaten zurück. Für das Vereinigte Königreich gilt ebenfalls ein Angemessenheitsbeschluss (Art. 45 DSGVO).

Die Anfragen an Photon und Nominatim stellt unser Server, Ihre IP-Adresse und Kontodaten gehen also nicht dorthin. Unser Interesse ist eine bequeme, möglichst fehlerfreie Adresseingabe und eine funktionierende Umkreissuche (Art. 6 Abs. 1 lit. f DSGVO).

Push-Dienste. Aktivierte Push-Nachrichten laufen verschlüsselt über den Dienst Ihres Browser- oder Geräteherstellers (etwa Google, Apple oder Mozilla).

5. Fehlerdiagnose und Nutzungsanalyse

Fehlerdiagnose mit Sentry. Tritt ein technischer Fehler auf, gehen die Fehlermeldung, die betroffene Seite, Angaben zu Browser und Gerät sowie bei angemeldeten Nutzer:innen die interne Konto-Kennung ohne Namen oder E-Mail-Adresse an Sentry. Bei einem Teil der Seitenaufrufe kommen Messwerte zur Ladezeit hinzu. IP-Adressen speichern wir dort nicht. Wir wollen Fehler schnell finden und beheben, das ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Nutzungsanalyse mit PostHog. Nur wenn Sie im Cookie-Hinweis zustimmen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), erfasst PostHog Seitenaufrufe, Klick-Ereignisse, Ladezeiten und eine pseudonyme Kennung, bei Anmeldung Ihre interne Konto-Kennung. Außerdem meldet unser Server dann vier Ereignisse: Registrierung, abgeschlossenes Profil, veröffentlichtes Inserat und abgeschickte Bewerbung, jeweils mit Ihrer internen Konto-Kennung und bei den letzten beiden mit der Nummer des Inserats. Sitzungen zeichnen wir nicht auf.

Ohne Ihre Zustimmung wird PostHog nicht geladen und unser Server meldet nichts dorthin. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, und zwar über „Cookie-Einstellungen“ im Seitenfuß der Website bzw. in der App unter Einstellungen → Rechtliches. Die Erfassung endet dann sofort, und die von PostHog in Ihrem Browser gespeicherten Daten werden entfernt.

6. Was auf Ihrem Gerät gespeichert wird

Die folgenden Einträge sind für den von Ihnen gewünschten Dienst nötig und brauchen daher keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG):

• Anmelde-Cookies von Supabase (sb-…): halten Sie angemeldet.
• vivolo_consent: Ihre Cookie-Auswahl, 12 Monate.
• NEXT_LOCALE: Ihre Sprache, 12 Monate.
• vivolo_anon_search und vivolo_pending_listing: merken sich Suche und ausgewähltes Inserat, wenn Sie sich noch nicht angemeldet haben, 30 Tage.
• vivolo_treffer_ansicht (lokaler Speicher): Ihre bevorzugte Trefferansicht.

Nur mit Ihrer Einwilligung legt PostHog zusätzlich eigene Einträge (ph_…) an.

7. Wie lange wir Daten aufheben

Grundsätzlich so lange, wie der jeweilige Zweck oder eine gesetzliche Aufbewahrungsfrist es verlangt. Konkret gilt:

• Solange Ihr Konto besteht, bleiben die zugehörigen Daten gespeichert. Einzelne Felder verschwinden nicht von selbst, Sie können sie aber jederzeit ändern.
• Löschen Sie Ihr Konto, entfernen wir sofort und endgültig Ihr Profil und alles, was daran hängt, also auch Inserate, Bewerbungen, Nachrichten, Suchprofile, Meldungen und hochgeladene Dateien. Handels- oder steuerrechtliche Aufbewahrungspflichten (z. B. § 257 HGB, § 147 AO) stehen dem nicht entgegen, weil wir derzeit nichts in Rechnung stellen.
• Beendete Inserate. Beim Deaktivieren oder Vergeben löschen wir die Fotos sofort. Die übrigen Angaben, etwa Adresse, Miete und Ausstattung, bewahren wir höchstens 2 Jahre als Vorlage für eine erneute Veröffentlichung auf und löschen sie dann automatisch. Selbst gelöschte Inserate verschwinden nach 24 Stunden endgültig. Bei einer erneuten Veröffentlichung entsteht ein neues Inserat und das alte wird gelöscht.
• Bewerbungen und Chats. Endet ein Inserat durch Deaktivieren, Vergeben oder Löschen, kann noch 24 Stunden geschrieben werden, danach nur noch gelesen werden. 6 Monate nach Inseratsende löschen wir Bewerbungen und Nachrichten automatisch, auch automatisch abgesagte Bewerbungen. Löschen Sie selbst eine Bewerbung oder einen Chat, verschwindet das zunächst nur bei Ihnen. Endgültig entfernt wird beides, sobald auch die andere Seite gelöscht hat.
• Server-Protokolle. Die Zugriffsprotokolle bei Vercel sowie die API- und Datenbankprotokolle bei Supabase werden nach 1 Tag automatisch gelöscht.
• Fehler- und Analysedaten liegen bei Sentry und PostHog für die dort in unserem Konto eingestellte Aufbewahrungsfrist.

8. Was Sie tun können

Ihre Angaben können Sie großteils selbst in den Einstellungen ändern, dort löschen Sie auch Ihr Konto. Darüber hinaus können Sie jederzeit per E-Mail an uns verlangen: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und eine Kopie Ihrer Daten zur Übertragung (Art. 20).

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Was bis dahin auf ihrer Grundlage geschehen ist, bleibt rechtmäßig.

Widerspruchsrecht (Art. 21 DSGVO): Stützen wir eine Verarbeitung auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir hören dann damit auf, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient Rechtsansprüchen.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

Pflicht oder freiwillig? Gesetzlich müssen Sie uns keine Daten geben. Ohne die im Formular als Pflicht gekennzeichneten Angaben können wir aber kein Konto einrichten und weder Bewerbungen noch Inserate bearbeiten. Weitere Angaben sind freiwillig, können aber Ihre Chancen und die Qualität der Treffer verbessern.

9. Änderungen

Ändert sich etwas an der Datenverarbeitung, passen wir diesen Text an. Maßgeblich ist die hier veröffentlichte Fassung.