Datenschutzerklärung

Wir freuen uns über Ihr Interesse an Valurix. Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Diese Datenschutzerklärung informiert Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche Daten wir verarbeiten, wenn Sie

• unsere Webseite besuchen,
• die Web-App bzw. die mobilen Apps von Valurix nutzen (im Folgenden „App“) und
• ein mit Valurix geteiltes Exposé aufrufen.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Webseite und in der App, soweit nicht in Abschnitt 11 anders beschrieben, ist:

Jelto Ubben
Lister Kirchweg 102
30177 Hannover
Deutschland

E-Mail: info@valurix.de
Telefon: 01602260708

Vertreten durch:

2. Datenschutzbeauftragter

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Bei Fragen zum Datenschutz erreichen Sie uns jederzeit unter info@valurix.de.

3. Überblick: Wer ist wofür verantwortlich?

Valurix ist eine Software für Immobilienkäufer, Makler und Investoren. Dabei gibt es zwei verschiedene Rollen:

• Wir als Verantwortlicher: für den Besuch unserer Webseite, Kontaktanfragen an uns, die Registrierung und Verwaltung von Kundenkonten, die Abrechnung sowie den sicheren Betrieb der Plattform.
• Wir als Auftragsverarbeiter: für Daten, die unsere Kunden (Unternehmen, die Valurix nutzen) in der App über Dritte speichern, zum Beispiel Kontakte, Interessenten-Anfragen aus geteilten Exposés, Mieter oder Haushaltsdaten von Finanzierungskunden. Verantwortlich ist dann allein das jeweilige Unternehmen. Wir verarbeiten diese Daten nur nach dessen Weisung auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO (siehe Abschnitt 11).

4. Hosting und Server-Logdateien

Webseite und App werden auf Servern von IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, betrieben. Die Server stehen in Deutschland. Mit dem Hoster haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Bei jedem Aufruf der Webseite, der App oder eines geteilten Exposés verarbeitet unser Server automatisch folgende Daten, die Ihr Browser übermittelt:

• IP-Adresse (nur gekürzt gespeichert, siehe unten),
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Adresse (URL) und HTTP-Methode,
• HTTP-Statuscode und übertragene Datenmenge,
• Referrer-URL (die zuvor besuchte Seite), sofern übermittelt,
• Browsertyp und -version, Betriebssystem (User-Agent).

Diese Daten sind technisch erforderlich, um die Inhalte auszuliefern, und dienen der Stabilität und Sicherheit des Systems (z. B. Abwehr von Angriffen und Missbrauch, Fehlersuche). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Angebot. Ihre IP-Adresse wird vor dem Speichern gekürzt (bei IPv4 ohne das letzte Byte, bei IPv6 nur die ersten 48 Bit) und lässt sich danach Ihnen nicht mehr zuordnen; vollständig nutzen wir sie nur kurzzeitig im Arbeitsspeicher, um Missbrauch zu begrenzen (siehe unten). Die Logdaten werden nach spätestens 7 Tagen gelöscht, es sei denn, ein konkreter Sicherheitsvorfall erfordert eine längere Aufbewahrung zur Aufklärung; dann löschen wir sie, sobald der Vorfall geklärt ist. Eine Zusammenführung mit anderen Daten findet nicht statt.

Die gesamte Kommunikation erfolgt verschlüsselt über HTTPS (TLS).

5. Cookies, lokale Speicherung und Analyse

Webseite: Unsere Webseite setzt keine Cookies, verwendet keine Tracking- oder Analyse-Werkzeuge von Drittanbietern und bindet keine Inhalte von Drittanbietern ein (keine externen Schriftarten, Videos, Karten oder Social-Media-Plugins). Alle Schriften und Bilder werden von unserem eigenen Server geladen.

Besucherzählung ohne Cookies: Um zu sehen, wie viele Menschen die Webseite besuchen und über welche Wege sie zu uns finden, zählt unser eigener Server die Seitenaufrufe. Dazu nutzt er nur Angaben, die Ihr Browser ohnehin bei jedem Aufruf übermittelt (Abschnitt 4), und speichert davon ausschließlich Tagessummen: die aufgerufene Seite, eine Herkunftskennung aus dem Link (?ref=… oder utm_source=…), die Domain der zuvor besuchten Seite (z. B. „google“, ohne die genaue Adresse) und die Geräteklasse (Handy, Tablet oder Computer, aus dem Browsertyp abgeleitet). Ihre IP-Adresse wird dafür nicht gespeichert; sie dient nur kurzzeitig im Arbeitsspeicher dazu, massenhafte automatisierte Aufrufe nicht mitzuzählen. Es wird nichts auf Ihrem Gerät gespeichert oder ausgelesen – kein Cookie, kein Skript, keine Kennung –, und die Tagessummen lassen sich keiner Person zuordnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, unser Angebot und unsere Werbung auszurichten.

App: Nach der Anmeldung speichert die App ein Anmelde-Token im lokalen Speicher Ihres Browsers bzw. im geschützten Speicher Ihres Geräts, damit Sie angemeldet bleiben. Außerdem speichert die App Einstellungen (z. B. zuletzt geöffnete Bereiche) und – im Besichtigungsprotokoll – Daten und Fotos zwischen, bis sie bei bestehender Internetverbindung mit unserem Server abgeglichen sind. Diese Speicherung ist unbedingt erforderlich, um die von Ihnen ausdrücklich gewünschte App bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Die anschließende Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Das Token gilt 30 Tage und wird erneuert, solange Sie die App nutzen; nach 30 Tagen ohne Nutzung verfällt es. Eine Anmeldung gilt höchstens 90 Tage, danach melden Sie sich neu an. Beim Abmelden wird das Anmelde-Token gelöscht und die Anmeldung auch auf unserem Server beendet; dazu speichern wir eine zufällige Kennung dieser Anmeldung, bis sie ohnehin abgelaufen wäre; die übrigen Daten können Sie über die Einstellungen Ihres Browsers bzw. durch Deinstallation der App entfernen.

Wir verwenden weder in der App noch in geteilten Exposés Tracking- oder Werbe-Cookies. Auch App und geteilte Exposés laden Programmteile und Schriften ausschließlich von unserem eigenen Server, nicht von Servern Dritter.

6. Kontakt per E-Mail oder Kontaktformular

Wenn Sie uns per E-Mail oder über das Kontaktformular schreiben, verarbeiten wir die von Ihnen angegebenen Daten (Name, E-Mail-Adresse, ggf. Firma, Zielgruppe und Ihre Nachricht), um Ihre Anfrage zu beantworten. Das Kontaktformular leitet Ihre Angaben per E-Mail an uns weiter und sendet Ihnen eine Eingangsbestätigung; in unserer Datenbank wird die Anfrage nicht gespeichert. Um Missbrauch zu verhindern, wird Ihre IP-Adresse kurzzeitig im Arbeitsspeicher zur Begrenzung der Anfragen je Zeitraum genutzt und nicht dauerhaft gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertragsschluss oder ein bestehendes Vertragsverhältnis zielt, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen Ihre Anfrage, wenn sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten bestehen (z. B. bei Geschäftsbriefen sechs Jahre nach § 257 HGB), spätestens jedoch nach 12 Monaten ohne weiteren Kontakt.

7. Registrierung und Kundenkonto

Für die Nutzung der App ist ein Konto erforderlich. Bei der Registrierung verarbeiten wir:

• Name und E-Mail-Adresse,
• Passwort (wir speichern ausschließlich einen kryptografischen Hash mit bcrypt, nie das Passwort selbst),
• Name des Unternehmens bzw. bei privaten Konten den von Ihnen gewählten Kontonamen, Ihre Zielgruppe (Privat, Makler oder Investor), die eingeschalteten Funktionen und Ihre Rolle im Team (Administrator, Betrachter),
• Zeitpunkt der Registrierung, der Zustimmung zu den AGB und der letzten Aktivität.
• freiwillig Ihre Antwort auf „Wie haben Sie von uns erfahren?“ (z. B. Suchmaschine, Forum, Empfehlung) und – falls Sie über einen Link mit Herkunftskennung (?ref=…, z. B. aus einem Forenbeitrag oder Video) zu uns gekommen sind – diese Kennung. Sie bezeichnet nur die Quelle, nicht Sie; Webseite und App reichen sie lediglich in den Links weiter und speichern sie nicht in Ihrem Browser. Wir werten beides nur zusammengefasst aus, um zu sehen, welche Wege zu Valurix führen (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der Ausrichtung unserer Werbung),

Nach der Registrierung bitten wir Sie per E-Mail, Ihre Adresse über einen Link zu bestätigen (sieben Tage gültig); wir speichern, ob und wann das geschehen ist. Bestätigen Sie die Adresse nicht und legen Sie in dieser Woche auch nichts Eigenes an (nur die Beispieldaten), löschen wir das Konto sieben Tage nach der Registrierung automatisch. Ändern Sie Ihre E-Mail-Adresse, gilt die neue erst, wenn Sie den Link an diese Adresse öffnen (24 Stunden gültig); die bisherige Adresse erhält eine Information mit der Möglichkeit, die Änderung abzubrechen. Von diesen Links speichern wir nur einen kryptografischen Hash, die Gültigkeit und bei einer Änderung die neue Adresse; einen Tag nach Ablauf löschen wir sie.

Haben Sie Ihr Passwort vergessen, schicken wir Ihnen auf Anfrage einen Link zum Festlegen eines neuen Passworts an die hinterlegte E-Mail-Adresse. Dafür speichern wir nur einen kryptografischen Hash des Links, seine Gültigkeit (eine Stunde) und ob er benutzt wurde; einen Tag nach Ablauf löschen wir den Eintrag. Wird Ihr Passwort zurückgesetzt oder geändert, beenden wir alle anderen Anmeldungen und informieren Sie per E-Mail. Ob zu einer Adresse ein Konto besteht, verraten wir bei dieser Anfrage nicht.

Wenn ein Administrator weitere Personen in sein Team einlädt, verarbeiten wir die angegebene E-Mail-Adresse und die vorgesehene Rolle, um die Einladung per E-Mail zu versenden. Einladungen verfallen nach Ablauf ihrer Gültigkeit.

Wir verwenden Ihre E-Mail-Adresse außerdem für systembezogene Nachrichten, etwa Einladungen, Hinweise zu Zeitpass und Abonnement sowie – sofern aktiviert – die tägliche Übersicht „Heute fällig“ zu Ihren Wiedervorlagen. Die tägliche Übersicht können Sie in den Einstellungen jederzeit abschalten. Werbe-Newsletter versenden wir nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen). Soweit Sie die App als Mitarbeiter eines Kunden nutzen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, unseren Kunden und ihren Teams die vertraglich vereinbarte Nutzung zu ermöglichen.

Wir speichern die Kontodaten, solange das Konto besteht. Löschen Sie Ihr Konto, löschen wir die Daten sofort; läuft noch ein bezahlter Zeitpass oder ein Abonnement, mit dessen Ende – bis dahin können Sie das Konto weiter nutzen. Nach Ende des Vertrags ohne Löschung löschen wir die Daten innerhalb von 30 Tagen. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungsdaten) bleiben unberührt.

8. Nutzung der App

8.1 Inhalte, die Sie in Valurix anlegen

Objekte, Kosten, Finanzierungen, Grundrisse, Fotos, Unterlagen (z. B. Exposés als PDF) und weitere Inhalte speichern wir, um Ihnen die Funktionen der App bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Hochgeladene Dateien liegen auf unseren Servern beim in Abschnitt 4 genannten Hoster. Enthalten diese Inhalte personenbezogene Daten Dritter, gilt Abschnitt 11.

Für Fotos im Besichtigungsprotokoll und für Objektbilder greift die App nur dann auf Kamera bzw. Fotomediathek Ihres Geräts zu, wenn Sie dies auslösen und in den Einstellungen Ihres Geräts erlaubt haben.

8.2 KI-Funktionen

Valurix bietet Funktionen, die mithilfe künstlicher Intelligenz Unterlagen auswerten, etwa Stammdaten aus einem Exposé auslesen, Sanierungsbedarf erkennen oder Grundrisse digitalisieren. Wenn Sie eine solche Funktion nutzen, übermitteln wir die dafür nötigen Inhalte (extrahierter Text, Bilder oder Seiten der Unterlagen sowie Ihre Eingaben) an:

Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland

Der Anbieter verarbeitet diese Daten als unser Auftragsverarbeiter nur, um das Ergebnis zu erzeugen. Nach den mit dem Anbieter vereinbarten Bedingungen werden über die API übermittelte Daten nicht zum Training von KI-Modellen verwendet und nur für einen begrenzten Zeitraum zur Missbrauchserkennung gespeichert (bis zu 30 Tage). Die Verarbeitung kann in den USA stattfinden; zur Absicherung siehe Abschnitt 13.

Bitte laden Sie in KI-Funktionen nur Unterlagen hoch, die Sie dafür verwenden dürfen, und schwärzen Sie nicht benötigte personenbezogene Daten Dritter, wenn möglich. Die KI-Ergebnisse sind Vorschläge; Sie prüfen und übernehmen sie selbst. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Für jeden KI-Aufruf protokollieren wir Zeitpunkt, Unternehmen, Nutzer, Funktion, verwendetes Modell, Umfang (Tokens), Dauer und Erfolg, um Kontingente abzurechnen, Kosten zu kontrollieren und Fehler zu beheben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO. Diese Protokolle löschen wir nach 13 Monaten.

8.3 Eigene Haushaltsrechnung (private Konten)

Wenn Sie Valurix als Privatperson nutzen, können Sie Angaben zu Ihrem Haushalt erfassen: Anzahl der Erwachsenen und Kinder, Nettoeinkommen, sonstige Einkünfte, Fixkosten, Raten bestehender Kredite und Eigenkapital. Daraus berechnet Valurix, ob ein Objekt zu Ihrem Haushalt passt, und – nur auf Ihren Wunsch – eine Seite im Bank-Pitch. Diese Angaben sehen nur Sie und die Person, die Sie in Ihr Konto einladen; sie werden nicht an KI-Anbieter übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir speichern die Angaben, bis Sie sie ändern oder Ihr Konto gelöscht wird.

8.4 Sicherheit und Plattformverwaltung

Änderungen durch Plattform-Administratoren (z. B. Freischaltungen, Kontingente, globale Vorgaben) protokollieren wir mit Zeitpunkt, handelnder Person und Änderung, um Missbrauch zu erkennen und Änderungen nachvollziehen zu können (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle löschen wir nach 24 Monaten.

Zum Schutz vor dem Durchprobieren von Passwörtern zählen wir fehlgeschlagene Anmeldungen je E-Mail-Adresse und je IP-Adresse. Nach zehn Fehlversuchen für eine Adresse (bzw. 50 von einer IP-Adresse) innerhalb von 15 Minuten nehmen wir für eine Viertelstunde keine Anmeldung an. Diese Zähler liegen nur im Arbeitsspeicher des Servers und verfallen nach 15 Minuten; eine erfolgreiche Anmeldung setzt den Zähler Ihrer Adresse zurück (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der Sicherheit der Konten).

8.5 Demo ohne Anmeldung

Starten Sie die Demo („Demo öffnen“), legen wir ein vorübergehendes Konto mit Beispieldaten an, ohne Namen oder E-Mail-Adresse von Ihnen. Ihr Browser erhält dafür eine Anmeldung wie bei einem normalen Konto (siehe Abschnitt 5). Ihre IP-Adresse nutzen wir nur kurzzeitig im Arbeitsspeicher, um zu verhindern, dass massenhaft Demos angelegt werden (höchstens einige je Stunde); gespeichert wird sie dafür nicht. Das Demo-Konto mit allem, was Sie darin eingeben oder hochladen, löschen wir nach 24 Stunden automatisch. KI-Funktionen, Teilen und Einladungen sind in der Demo abgeschaltet. Bitte geben Sie in der Demo keine echten personenbezogenen Daten ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Interessenten die Software ohne Registrierung zu zeigen und Missbrauch zu begrenzen.

8.6 Karte, Adresssuche und Wegzeiten

Valurix zeigt die Lage von Objekten auf einer Karte, findet Orte in der Nähe (z. B. Kitas, Schulen, Haltestellen) und berechnet Wege – auch zu Zielen, die Sie selbst eintragen (z. B. Ihren Arbeitsort). Dafür wandeln wir die Adresse des Objekts und Ihrer Ziele in Koordinaten um und berechnen die Wege. Kartenmaterial, Adresssuche und Routenberechnung betreiben wir auf unseren eigenen Servern; Adressen und Ziele werden dabei an keinen Kartendienst eines Dritten übermittelt. Die Kartendaten stammen von OpenStreetMap (© OpenStreetMap-Mitwirkende, Open Database License); Ihr Browser lädt die Karte ausschließlich von unserem Server.

Ihre Ziele (Name, Adresse, Verkehrsmittel, Fahrten pro Woche) und die Lage der Objekte speichern wir in Ihrem Konto, bis Sie sie ändern oder löschen oder Ihr Konto gelöscht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen genutzten Funktionen).

8.7 Persönliche Unterlagen im Tresor

Jede Person kann in Valurix persönliche Unterlagen ablegen, etwa Ausweis, Gehaltsnachweise, Kontoauszüge, Steuerbescheid oder Selbstauskunft, um sie z. B. einer Finanzierungsanfrage beizulegen. Diese Unterlagen speichern wir nur verschlüsselt: Jeder Tresor hat einen eigenen Schlüssel, der seinerseits mit einem Schlüssel aus Ihrem Tresor-Passwort verschlüsselt ist (Argon2id, AES-256-GCM). Das Tresor-Passwort speichern wir nicht; ohne es können weder wir noch Dritte die Unterlagen und ihre Dateinamen lesen. Vergessen Sie das Passwort, lassen sich die Unterlagen nicht wiederherstellen; Sie können den Tresor dann nur leeren und mit einem neuen Passwort neu einrichten. Dabei löschen wir alle Unterlagen darin endgültig und bestätigen Ihnen das per E-Mail.

Solange Sie den Tresor geöffnet haben, liegt der Schlüssel im Arbeitsspeicher unseres Servers, damit Sie Unterlagen hochladen und öffnen können; nach 30 Minuten ohne Nutzung, beim Sperren und bei einem Neustart des Servers wird er verworfen. Die Unterlagen im Tresor werden nicht an KI-Anbieter übermittelt, sind nicht im Datenexport enthalten und für andere Personen Ihres Kontos nicht einsehbar. Nur wenn Sie es bei geöffnetem Tresor auswählen, legen wir einzelne Unterlagen einem von Ihnen erstellten Dokument bei (z. B. der Bankmappe als PDF).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit die Unterlagen besondere Kategorien personenbezogener Daten enthalten (z. B. die Religionszugehörigkeit auf Gehaltsnachweisen), verarbeiten wir sie nur, weil Sie sie selbst hochladen und dort ablegen (Art. 9 Abs. 2 lit. a DSGVO). Wir speichern die Unterlagen, bis Sie sie oder den Tresor löschen oder Ihr Konto gelöscht wird.

9. Zeitpass, Abonnement und Zahlungsabwicklung (Stripe)

Kostenpflichtige Abonnements wickeln wir über den Zahlungsdienstleister Stripe ab: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“). Wenn Sie ein Abonnement abschließen, werden Sie auf eine Bezahlseite von Stripe weitergeleitet. Dort geben Sie Ihre Zahlungsdaten (z. B. Kreditkarten- oder Kontodaten) direkt bei Stripe ein; wir erhalten diese Daten nicht.

Wir übermitteln an Stripe bzw. erhalten von Stripe: Name des Unternehmens, E-Mail-Adresse, Rechnungsanschrift und ggf. USt-ID, gewählten Tarif, Status des Abonnements und der Zahlungen sowie die Kunden- und Abonnement-Kennung bei Stripe.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, z. B. steuerrechtliche Aufbewahrung). Rechnungs- und Buchungsbelege bewahren wir nach § 147 AO und § 257 HGB bis zu zehn Jahre auf.

Schließen Sie als Verbraucher ein Abonnement ab, speichern wir den Zeitpunkt, zu dem Sie die Kenntnisnahme der Widerrufsbelehrung und Ihren Wunsch nach Leistungsbeginn vor Ablauf der Widerrufsfrist bestätigt haben, sowie die Fassung der AGB. Damit weisen wir nach, dass die gesetzlichen Voraussetzungen erfüllt sind (Art. 6 Abs. 1 lit. b und c DSGVO); wir löschen diese Angaben mit den übrigen Vertragsdaten.

Kündigung über die Webseite

Wenn Sie über „Verträge hier kündigen“ kündigen, verarbeiten wir Ihren Namen, die angegebene E-Mail-Adresse, die Art der Kündigung, ggf. Grund, gewünschten Zeitpunkt und Vertragsangabe sowie Datum und Uhrzeit des Eingangs. Wir ordnen die Kündigung über die E-Mail-Adresse Ihrem Konto zu, beenden ein laufendes Abonnement bei Stripe zum Ende des Abrechnungszeitraums und senden Ihnen eine Eingangsbestätigung. Kann die Kündigung nicht automatisch zugeordnet werden, erhalten wir sie zur Bearbeitung per E-Mail. Zum Schutz vor Missbrauch wird Ihre IP-Adresse kurzzeitig im Arbeitsspeicher zur Begrenzung der Anfragen genutzt und nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k BGB sowie Art. 6 Abs. 1 lit. b DSGVO. Den Nachweis über die Kündigung bewahren wir drei Jahre auf (regelmäßige Verjährungsfrist) und löschen ihn danach automatisch.

Stripe verarbeitet bestimmte Daten auch als eigener Verantwortlicher, etwa zur Erfüllung gesetzlicher Pflichten (Geldwäscheprävention) und zur Betrugserkennung. Dabei kann eine Übermittlung an die Stripe, Inc. in den USA stattfinden; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert und setzt zusätzlich Standardvertragsklauseln ein. Weitere Informationen: https://stripe.com/de/privacy.

10. Geteilte Exposés

Unsere Kunden können Objekte über einen Link als Exposé freigeben. Beim Aufruf eines geteilten Exposés gilt:

• Es werden die in Abschnitt 4 beschriebenen Server-Logdaten verarbeitet.
• Wir zählen die Aufrufe je Link und Tag als reine Zahl, ohne Bezug zu Ihrer Person, damit der Anbieter des Exposés sehen kann, wie oft es aufgerufen wurde.
• Bei gestalteten Exposés misst die Seite, welche Abschnitte wie lange auf dem Bildschirm waren, und sendet beim Verlassen nur diese Lesezeiten an unseren Server. Es werden keine Cookies gesetzt, nichts auf Ihrem Gerät gespeichert und keine Kennung vergeben; gespeichert werden nur Summen je Link und Abschnitt. Hat der Anbieter Ihnen einen persönlichen Link geschickt (erkennbar am Hinweis unten auf der Seite), sieht er diese Summen für Ihren Link und damit, welche Abschnitte Sie wie lange gelesen haben.
• Den Finanzierungsrechner berechnet unser Server; Ihre Eingaben (z. B. Eigenkapital, Zins, Nettoeinkommen) werden nur für die Berechnung verwendet und nicht gespeichert, es sei denn, Sie senden sie mit einer Anfrage mit.
• Zeigt das Exposé die Lage, lädt Ihr Browser Karte, Schriften und Programmcode der Karte von unserem Server, nicht von Dritten. Ohne freigegebene Adresse zeigt die Karte nur einen ungefähren Bereich.
• Enthält das Exposé ein Video oder einen 360°-Rundgang (YouTube, Vimeo, Matterport), wird der Player erst geladen, wenn Sie auf „laden“ klicken; vorher werden keine Daten an diese Dienste übertragen. Nach dem Klick überträgt Ihr Browser Daten wie Ihre IP-Adresse an den jeweiligen Anbieter, der dafür selbst verantwortlich ist (YouTube im erweiterten Datenschutzmodus, Vimeo mit „Do Not Track“). Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Links zu anderen Rundgang-Anbietern öffnen sich in einem neuen Fenster.
• Geben Sie bei „Wie weit ist es zu Ihnen?“ eine Adresse ein, sucht unser Server sie und berechnet die Wege zum Objekt. Die Adresse wird nur dafür verwendet, nicht gespeichert und nicht an den Anbieter des Exposés übermittelt.
• Zum Schutz vor Missbrauch nutzen wir Ihre IP-Adresse kurzzeitig im Arbeitsspeicher, um die Zahl der Berechnungen, Wegberechnungen und Anfragen je Zeitraum zu begrenzen. Sie wird dafür nicht dauerhaft gespeichert.

Rechtsgrundlage für diese Verarbeitungen ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der sicheren Bereitstellung der Exposés.

Finanzierungscheck: Unsere Kunden können Interessenten einen Link zu einem Finanzierungscheck schicken. Ihre Angaben zum Haushalt (z. B. Einkommen, Ausgaben, Eigenkapital) berechnet unser Server und speichert sie nicht. Senden Sie das Ergebnis an den Anbieter, erhält er nur Ihren Namen, Ihre Kontaktdaten, die Ampel und den finanzierbaren Betrag – verantwortlich ist dann dieses Unternehmen wie bei einer Anfrage (siehe unten). Wählen Sie „Mit Valurix weiterrechnen“, speichern wir Ihre Haushaltsangaben höchstens 24 Stunden, um sie bei Ihrer Registrierung in Ihr Konto zu übernehmen; danach werden sie gelöscht (Art. 6 Abs. 1 lit. b DSGVO).

Anfragen über das Exposé: Wenn Sie über das Formular eine Anfrage an den Anbieter des Exposés senden (z. B. einen Makler), ist dieses Unternehmen für die Verarbeitung Ihrer Angaben verantwortlich. Seine Kontaktdaten, sein Impressum und seine Datenschutzerklärung sind im Exposé verlinkt. Wir verarbeiten Ihre Anfrage nur als Auftragsverarbeiter für dieses Unternehmen (siehe Abschnitt 11). Geteilte Exposés werden nicht von Suchmaschinen indexiert.

Unterlagen aus dem Datenraum: Fordern Sie mit Ihrer Anfrage Unterlagen an oder gibt Ihnen der Anbieter Unterlagen frei, erhalten Sie per E-Mail einen persönlichen, befristeten Link. Beim Abruf versehen wir jedes Dokument mit Ihrem Namen und dem Datum als Wasserzeichen und protokollieren, wann Sie die Seite geöffnet und welche Unterlage Sie heruntergeladen haben (Zeitpunkt und Dateiname, ohne Cookies und ohne Ihre IP-Adresse zu speichern). Der Anbieter sieht dieses Protokoll; er kann den Zugang jederzeit widerrufen. Verantwortlich ist auch hier der Anbieter des Exposés, wir handeln als sein Auftragsverarbeiter (Abschnitt 11).

11. Daten, die unsere Kunden in Valurix verarbeiten (Auftragsverarbeitung)

Unsere Kunden speichern in Valurix auch Daten anderer Personen, zum Beispiel:

• Kontakte (Interessenten, Käufer, Verkäufer, Finanzierungskunden, Banken, Handwerker, Hausverwaltungen) mit Name, Firma, E-Mail, Telefon, Notizen und Einwilligungen,
• Anfragen aus geteilten Exposés,
• Aktivitäten, Wiedervorlagen und Pipeline-Informationen,
• Haushaltsdaten von Finanzierungskunden (z. B. Einkommen, Ausgaben, Kinder, Kredite, Eigenkapital),
• Mieter, Mietverträge und Mieteingänge im Bestand,
• Unterlagen, Fotos und Besichtigungsprotokolle.

Diese Funktionen stehen nur Unternehmenskonten zur Verfügung. Für diese Daten ist das jeweilige Unternehmen Verantwortlicher im Sinne der DSGVO; wir verarbeiten sie ausschließlich in dessen Auftrag und nach dessen Weisung (Art. 28 DSGVO). Wenn Sie als betroffene Person Fragen haben oder Ihre Rechte geltend machen möchten (z. B. Auskunft oder Löschung), wenden Sie sich bitte direkt an das Unternehmen, das Ihre Daten in Valurix erfasst hat. Erreicht uns eine solche Anfrage, leiten wir sie an das betreffende Unternehmen weiter, soweit wir es ermitteln können.

12. Empfänger und Auftragsverarbeiter

Wir geben Ihre Daten nur weiter, wenn dies für die genannten Zwecke erforderlich ist, eine Rechtsgrundlage besteht oder Sie eingewilligt haben. Wir verkaufen keine Daten. Folgende Dienstleister setzen wir ein:

Mit allen Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen. Darüber hinaus übermitteln wir Daten an Behörden nur, wenn wir gesetzlich dazu verpflichtet sind, sowie an Steuerberater im Rahmen der gesetzlichen Pflichten.

13. Übermittlung in Drittländer

Einige Dienstleister (insbesondere Anthropic Ireland, Limited und Stripe) können Daten in den USA verarbeiten. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, also auf Grundlage

• des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, oder
• der von der EU-Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Maßnahmen.

Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage unter info@valurix.de.

14. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist; die konkreten Fristen finden Sie in den einzelnen Abschnitten. Entfällt der Zweck, löschen wir die Daten oder schränken ihre Verarbeitung ein, sofern gesetzliche Aufbewahrungspflichten (insbesondere nach HGB und AO: sechs bzw. zehn Jahre) eine Löschung noch nicht zulassen. Sicherungskopien (Backups) werden nach 30 Tagen überschrieben.

15. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft über die von uns verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@valurix.de.

Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
https://www.lfd.niedersachsen.de

16. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die bei der Registrierung abgefragten Daten können wir jedoch kein Konto anlegen und ohne die Angaben im Kontaktformular Ihre Anfrage nicht beantworten. Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

17. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten zu schützen, unter anderem: verschlüsselte Übertragung (TLS), Speicherung von Passwörtern ausschließlich als bcrypt-Hash, verschlüsselte Ablage von Zugangsschlüsseln (AES-256-GCM), strikte Trennung der Daten verschiedener Kunden, rollenbasierte Zugriffsrechte, nicht erratbare und widerrufbare Links für geteilte Exposés sowie Protokollierung administrativer Änderungen.

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: 11. Oktober 2026