Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und sonstiger nationaler Datenschutzbestimmungen ist:

Thomas Alexander
Krim 1
58540 Meinerzhagen, Deutschland
E-Mail: info@aestimia.de

Für Anliegen zum Datenschutz nutzen Sie bitte die vorstehende E-Mail-Adresse.

2. Datenschutzbeauftragter

Wir haben keine Datenschutzbeauftragte und keinen Datenschutzbeauftragten benannt. Eine Benennungspflicht besteht nicht: Es sind nicht in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG), und unsere Kerntätigkeit besteht weder in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen noch in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 37 Abs. 1 lit. b, c DSGVO).

3. Allgemeines zur Datenverarbeitung

3.1 Geltungsbereich

Diese Datenschutzerklärung gilt für das gesamte Online-Angebot von Æstimia, namentlich für

• die Website www.aestimia.de (überwiegend informatorisches Marketing-Angebot ohne Anmeldung) und
• die Anwendung unter app.aestimia.de (passwortgeschützter SaaS-Dienst zur Erstellung von Wertermittlungen).

Soweit nachstehend von der „Anwendung“ die Rede ist, betrifft dies den SaaS-Dienst; Hinweise zur „Website“ betreffen das Marketing-Angebot.

3.2 Umfang und Begriffe

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung eines funktionsfähigen Online-Angebots sowie unserer Inhalte und Leistungen erforderlich ist oder eine andere Rechtsgrundlage die Verarbeitung gestattet. Es gelten die Begriffsbestimmungen des Art. 4 DSGVO.

3.3 Zwei getrennte Datenbereiche in der Anwendung

Innerhalb der Anwendung sind zwei Datenbereiche zu unterscheiden, weil wir in ihnen unterschiedliche datenschutzrechtliche Rollen einnehmen:

• Konto- und Nutzungsdaten (Bereich A): Daten, die bei Registrierung, Profilpflege und Nutzung des Kontos anfallen. Hierfür sind wir der Verantwortliche. Diese Datenschutzerklärung gilt für Bereich A unmittelbar.
• Bewertungs- und Auftragsdaten (Bereich B): Daten, die eine Nutzerin / ein Nutzer zur Erstellung eines Gutachtens über ihre/seine Auftraggeber, die Eigentümer, das Bewertungsobjekt und beteiligte Dritte eingibt oder hochlädt. Hinsichtlich dieser Daten ist die Nutzerin / der Nutzer (Gutachter) der Verantwortliche; wir verarbeiten diese Daten ausschließlich in deren/dessen Auftrag als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage einer Auftragsverarbeitungsvereinbarung (AVV). Für Bereich B gelten daher vorrangig die Datenschutzhinweise der jeweiligen Gutachterin / des jeweiligen Gutachters gegenüber den betroffenen Personen (vgl. Ziffer 12) sowie unsere AVV.

Der bloße Besuch der Website führt nicht zur Verarbeitung von Daten des Bereichs B; insoweit fallen nur Zugriffsdaten nach Ziffer 4 an.

4. Bereitstellung des Online-Angebots und Server-Logfiles

4.1 Beschreibung und Umfang

Bei jedem Aufruf der Website oder der Anwendung erfasst das jeweilige System automatisiert Daten und Informationen des aufrufenden Geräts:

• IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Seite/Ressource und übertragene Datenmenge,
• Referrer-URL, verwendeter Browsertyp und Betriebssystem.

Diese Daten werden in Logfiles des jeweiligen Hosting-Dienstleisters gespeichert. Eine Zusammenführung dieser Daten mit anderen personenbezogenen Daten der Nutzerin / des Nutzers findet nicht statt.

4.2 Rechtsgrundlage und Zweck

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der technischen Bereitstellung, Stabilität und Sicherheit des Online-Angebots (insbesondere Fehleranalyse und Abwehr von Angriffen).

4.3 Speicherdauer

Logfiles werden für 7 Tage gespeichert und anschließend gelöscht. Eine längere Speicherung erfolgt nur bei einem sicherheitsrelevanten Vorfall und nur so lange, bis dieser aufgeklärt ist (Art. 6 Abs. 1 lit. f DSGVO).

4.4 Hosting

• Anwendung (app.aestimia.de): Betrieb bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Serverstandort Deutschland). Datenbank, Authentifizierung und Datei-Speicher werden über Supabase in der EU-Region (Frankfurt am Main) betrieben (siehe Ziffern 8 und 9).
• Website (www.aestimia.de): Die Marketing-Website wird derzeit über einen externen Website-Anbieter bereitgestellt (siehe Ziffer 8); eine Migration auf das eigene Hosting bei Hetzner (Deutschland) ist vorgesehen. Auf der Website findet keine Erhebung über die in Ziffer 4.1 genannten Zugriffsdaten hinaus statt; es werden insbesondere keine Eingaben in Formulare erhoben (siehe Ziffer 5.6).

Mit den eingesetzten Hosting-Dienstleistern bestehen Auftragsverarbeitungsverträge.

5. Konto, Anmeldung und Profil (Anwendung)

5.1 Registrierung und Anmeldung (passwortlos)

Für die Nutzung der Anwendung ist ein Nutzerkonto erforderlich. Die Anmeldung erfolgt passwortlos: Sie geben Ihre E-Mail-Adresse an und erhalten einen Anmeldelink („Magic-Link“) und/oder einen einmaligen Anmeldecode per E-Mail. Verarbeitet werden Ihre E-Mail-Adresse sowie technische Anmeldeinformationen (Zeitpunkt der Anmeldung, Sitzungs-Token). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Begründung und Durchführung des Nutzungsverhältnisses).

5.2 Gutachter-/Kanzleiprofil

Im Profil können Sie freiwillig weitere Angaben hinterlegen, die in Ihre Gutachten und Exporte übernommen werden, u. a.: Name, Organisations-/Kanzleiname, Berufsbezeichnung bzw. Bestellung, Kontaktdaten, Anschrift, Rechtsform, Register-, Umsatzsteuer- und Steuernummer, Website und Logo. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Eigener KI-Schlüssel (optional, „Bring Your Own Key“)

Sie können optional einen eigenen Zugangsschlüssel (API-Key) für den KI-Dienst hinterlegen. Dieser Schlüssel wird verschlüsselt gespeichert (AES-256-GCM) und ausschließlich serverseitig verwendet, um in Ihrem Auftrag KI-Funktionen auszuführen. Der Schlüssel wird nicht an Ihren Browser und nicht an Dritte außerhalb des beauftragten KI-Anbieters übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.4 Abonnement und Zahlung

Zur Verwaltung kostenpflichtiger Leistungen verarbeiten wir abonnementbezogene Daten (Status, Tarif, Abrechnungszeitraum, Laufzeitende). Eine Zahlungsabwicklung über einen externen Zahlungsdienstleister ist derzeit nicht aktiv; sobald ein solcher Dienst eingeführt wird, werden wir diese Erklärung vor dem Einsatz um den Anbieter, die verarbeiteten Zahlungsdaten und etwaige Drittlandübermittlungen ergänzen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die handels- und steuerrechtliche Aufbewahrung von Rechnungs- und Buchungsdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 147 AO, 257 HGB.

5.5 Versand von System- und Anmelde-E-Mails

Anmelde- und systembezogene E-Mails (z. B. Magic-Link, Anmeldecode, Vertrags- und Kontomitteilungen) versenden wir über den Dienst Scaleway Transactional Email (Scaleway S.A.S., 8 rue de la Ville l’Évêque, 75008 Paris, Frankreich). Hierbei wird Ihre E-Mail-Adresse an den Dienstleister übermittelt. Es besteht ein Auftragsverarbeitungsvertrag; die Verarbeitung erfolgt innerhalb der EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (anmelde- und vertragsbezogene Kommunikation).

5.6 Kontaktaufnahme; kein Kontaktformular, kein Newsletter

Ein Kontaktformular und ein Newsletter werden nicht angeboten. Die Kontaktaufnahme erfolgt per E-Mail an info@aestimia.de. Verarbeitet werden die von Ihnen mitgeteilten Angaben zur Bearbeitung Ihres Anliegens. Für das Korrespondenz-Postfach setzen wir einen EU-Geschäfts-E-Mail-Dienst ein (siehe Ziffer 8). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (bei vertragsbezogenen Anfragen) bzw. Art. 6 Abs. 1 lit. f DSGVO (bei allgemeinen Anfragen).

5.7 Audit-Protokoll

Zur Erfüllung von Nachweis-, Sicherheits- und Transparenzpflichten protokollieren wir bestimmte sicherheitsrelevante Aktionen in der Anwendung (z. B. Gutachten-Export, KI-Aufruf, Datenexport, Löschantrag) mit Nutzer-Kennung, Aktion und Zeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Missbrauchsabwehr und Nachweisführung, auch im Hinblick auf Transparenzanforderungen beim KI-Einsatz).

6. Verarbeitung im Auftrag der Gutachterin / des Gutachters (Bereich B)

Bei der Erstellung von Gutachten geben Nutzerinnen und Nutzer Daten über ihre Auftraggeber, Eigentümer, das Bewertungsobjekt und weitere Beteiligte ein bzw. laden Dokumente, Fotos und Sprachnotizen hoch. Hierzu zählen insbesondere:

• Auftraggeberdaten und Aktenzeichen, Eigentümerangaben,
• Angaben zu Verwaltung (WEG-, Objekt-, Zwangsverwaltung) und Mietsituation,
• Teilnehmende des Ortstermins,
• Objektadressen, Flurstücks- und Gebäudedaten,
• Grundbuchauszüge (einschließlich Eigentümer- und Belastungsangaben),
• Pläne, Fotos und sonstige Dokumente (Fotos können Standort- bzw. Metadaten enthalten),
• Vor-Ort-Notizen einschließlich Sprachaufnahmen und deren Transkripte.

Für diese Daten ist die jeweilige Nutzerin / der jeweilige Nutzer selbst Verantwortliche(r). Wir verarbeiten sie ausschließlich nach deren/dessen Weisung als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage einer gesonderten Auftragsverarbeitungsvereinbarung und nicht für eigene Zwecke.

Betroffene Personen (z. B. Auftraggeber, Eigentümer, Mieter) wenden sich zur Ausübung ihrer Rechte vorrangig an die jeweilige Gutachterin / den jeweiligen Gutachter als Verantwortliche(n) (siehe Ziffer 12).

7. Einsatz künstlicher Intelligenz (KI)

7.1 Funktionen

Die Anwendung setzt KI ein für: Entwürfe beschreibender Texte (z. B. Lage- und Baubeschreibung), Extraktion von Inhalten aus hochgeladenen Dokumenten (z. B. Grundbuch per Texterkennung) sowie Transkription von Sprachnotizen.

7.2 Eingesetzter Anbieter und Datenort

Als einziger KI-Anbieter wird Mistral AI (Mistral AI S.A.S., Frankreich) eingesetzt. Die zur Verarbeitung erforderlichen Inhalte (z. B. Lage- und Bewertungsdaten, Dokumentinhalte, Sprachaufnahmen) werden hierzu an Mistral in der EU übermittelt. Eine Verwendung der übermittelten Inhalte zum Training der Modelle des Anbieters ist vertraglich nicht beauftragt; es besteht ein Auftragsverarbeitungsvertrag.

7.3 Keine automatisierte Entscheidung im Einzelfall

Die KI erzeugt ausschließlich Vorschläge und Entwürfe. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO statt. Jeder KI-generierte Inhalt ist als solcher gekennzeichnet und wird vor einer Verwendung von der Gutachterin / dem Gutachter geprüft, bearbeitet und verantwortet. Rechtsgrundlage: im Bereich A Art. 6 Abs. 1 lit. b DSGVO; im Bereich B erfolgt der KI-Einsatz als Auftragsverarbeitung im Auftrag der Gutachterin / des Gutachters.

8. Empfänger und Auftragsverarbeiter (Subprozessoren)

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen — soweit erforderlich — ein Auftragsverarbeitungsvertrag besteht:

Geodatendienste und Adress-/Umfelddienste erhalten zur Erbringung der jeweiligen Funktion in der Anwendung die Adress- bzw. Koordinatenangabe des Bewertungsobjekts; eine dauerhafte Speicherung der Anfragedaten bei diesen Diensten ist nicht beauftragt. Das Statistische Bundesamt erhält keine personenbezogenen Daten.

9. Datenübermittlung in Drittländer

Unsere Verarbeitung findet vorrangig innerhalb der EU/des EWR statt.

Der Dienstleister Supabase Inc. ist ein US-Unternehmen; die Daten werden in der EU-Region (Frankfurt) gespeichert, ein Zugriff aus einem Drittland (USA) lässt sich jedoch nicht in jedem Fall ausschließen. Eine etwaige Übermittlung in ein Drittland bzw. ein Zugriff aus einem Drittland ist auf geeignete Garantien nach Kapitel V DSGVO gestützt, insbesondere die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nebst ergänzenden Schutzmaßnahmen; soweit der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist, dient auch ein Angemessenheitsbeschluss (Art. 45 DSGVO) als Grundlage.

Soweit der derzeitige Anbieter der Marketing-Website Infrastruktur (z. B. ein Content-Delivery-Netz) außerhalb der EU einsetzt, gilt dies entsprechend; mit der geplanten Migration auf das eigene Hosting bei Hetzner (Deutschland) entfällt dieser Übermittlungsweg. Im Übrigen erfolgt die Verarbeitung bei den in Ziffer 8 genannten Dienstleistern innerhalb der EU.

10. Cookies und vergleichbare Techniken

Wir verwenden ausschließlich technisch notwendige Cookies bzw. vergleichbare Speichertechniken. Eingesetzt werden insbesondere:

• ein Authentifizierungs-/Sitzungs-Cookie zur Anmeldung an der Anwendung,
• ein Cookie zur Speicherung Ihrer Bundesland-/Regionsauswahl, damit die passenden regionalen Inhalte bereitgestellt werden,
• ein Cookie zur Absicherung des Vor-Ort-Modus, sobald Sie diesen aktivieren.

Diese Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil sie unbedingt erforderlich ist, damit wir den von Ihnen ausdrücklich gewünschten Dienst zur Verfügung stellen können. Ein Einwilligungs-Banner ist daher nicht erforderlich.

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies und keine Web-Analysedienste (z. B. Google Analytics) ein. Auf den ohne Anmeldung zugänglichen Seiten werden keine externen Ressourcen Dritter nachgeladen; Schriftarten werden lokal ausgeliefert.

11. Speicherdauer und Löschung

• Konto- und Profildaten: bis zur Löschung des Kontos durch Sie; danach unverzügliche Löschung.
• Bewertungsdaten (Bereich B): bis zur Löschung der jeweiligen Bewertung oder des Kontos durch Sie (vgl. AVV).
• Audit-Protokoll: bis zur Kontolöschung.
• Rechnungs- und Buchungsdaten: nach Maßgabe gesetzlicher Aufbewahrungsfristen, längstens bis zu zehn Jahre (§§ 147 AO, 257 HGB).
• Server-Logfiles: siehe Ziffer 4.3 (7 Tage).

Sie können Ihr Konto und Ihre Daten jederzeit selbst löschen (Einstellungen → Profil → Daten & Konto). Dabei werden auch die zugehörigen Dateien (Dokumente, Fotos, Sprachaufnahmen) aus dem Speicher entfernt.

12. Ihre Rechte als betroffene Person

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) — auch als Selbstbedienung in der Anwendung,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) — auch als Selbstbedienung (Export Ihrer Daten im JSON-Format),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen Ihrer besonderen Situation (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Wichtig zu Bereich B: Sind Sie eine betroffene Person, deren Daten eine Gutachterin / ein Gutachter im Rahmen eines Gutachtens in Æstimia verarbeitet (z. B. als Auftraggeber, Eigentümer oder Mieter), richten Sie Ihre Anfragen bitte an die jeweilige Gutachterin / den jeweiligen Gutachter als Verantwortliche(n). An uns gerichtete Anfragen leiten wir in diesen Fällen an die verantwortliche Stelle weiter bzw. unterstützen diese bei der Bearbeitung.

13. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Die für uns zuständige Behörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

14. Pflicht zur Bereitstellung von Daten

Bestimmte Daten sind für die Begründung und Durchführung des Nutzungsverhältnisses erforderlich (insbesondere die E-Mail-Adresse zur Anmeldung). Ohne diese Daten können wir die Anwendung nicht bereitstellen. Der bloße Besuch der Website ist ohne Angabe personenbezogener Daten möglich.

15. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO), um Ihre Daten zu schützen, insbesondere: durchgängige Transportverschlüsselung (TLS), Verschlüsselung des optionalen eigenen KI-Schlüssels im ruhenden Zustand, mandantengetrennte Zugriffskontrolle auf Datenbankebene (Row Level Security) sowie regelmäßige Sicherungen. Eine ausführliche Darstellung der Maßnahmen ist Bestandteil der Auftragsverarbeitungsvereinbarung (dort Anlage 2).

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der Rechtslage dies erforderlich machen. Es gilt die jeweils im Online-Angebot veröffentlichte aktuelle Fassung.

17. Hinweis für Auftraggeber und Dritte der Gutachter (Bereich B)

Werden Ihre Daten von einer Gutachterin / einem Gutachter mithilfe von Æstimia verarbeitet, erhalten Sie die nach Art. 13/14 DSGVO erforderlichen Informationen von dieser/diesem als verantwortlicher Stelle. Für die Information der betroffenen Personen stellt der Betreiber den Gutachterinnen und Gutachtern ein Muster-Informationsblatt bereit.