Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Für die Abrechnungsdaten (Daten Ihrer Mieter, Liegenschaften, Abrechnungen), die Sie in Ihrem Konto speichern, sind Sie Verantwortlicher; wir sind insoweit Auftragsverarbeiter (siehe Abschnitt 5 und Auftragsverarbeitungsvertrag).

Website und Web-App werden von einem eigenen Server bei Microsoft Azure in der Rechenzentrumsregion Deutschland (Frankfurt am Main) ausgeliefert. Beim Aufruf protokolliert der Webserver technisch notwendige Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer sowie Browsertyp und Betriebssystem. Diese Protokolle werden nach 14 Tagen automatisch gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sichere und stabile Auslieferung, Abwehr von Angriffen). Wir setzen weder Werbe-Cookies noch Tracking- oder Analysedienste ein.

Ohne Konto legt die Web-App Ihre Eingaben ausschließlich im lokalen Speicher Ihres Browsers (localStorage) ab. Sie werden nicht an uns übertragen. Das ist für die gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Weil die Daten Ihr Gerät nicht verlassen, verarbeiten wir sie nicht in Ihrem Auftrag. Der EPC-GiroCode auf der Abrechnung wird ebenfalls in Ihrem Browser erzeugt.

Welche Daten: Wenn Sie ein Konto anlegen, speichern wir Ihre E-Mail-Adresse und Ihr Passwort (nur als Argon2id-Hash, nicht im Klartext), den Zeitpunkt der E-Mail-Bestätigung und Ihre Lizenzen (Abrechnungsjahr, Stufe, Kaufzeitpunkt). Ihre Abrechnungsdaten (Liegenschaften, Einheiten, Mieter, Zählerstände, Kosten, Abrechnungen) liegen als je ein Datensatz je Datenbestand auf unserem Server, mit AES-256-GCM verschlüsselt; der Schlüssel liegt nur in der Server-Umgebung. Zusätzlich speichern wir die letzten 30 Stände je Datenbestand (Verlauf), ebenfalls verschlüsselt.

Cookies: Zur Anmeldung setzen wir zwei technisch notwendige Cookies: ein Sitzungs-Cookie (30 Tage gleitend, höchstens 90 Tage) und ein Cookie zum Schutz vor Fremdanfragen (CSRF). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b DSGVO.

Zweck und Rechtsgrundlage: Bereitstellung des Kontos und des Cloud-Speichers, Abgleich zwischen Geräten, Freischaltung der gekauften Lizenz – Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Sicherung: Die Datenbank wird täglich als vollständige Kopie lokal auf demselben Server gesichert (14 Tage aufbewahrt). Die Kopie enthält die gesamte Datenbank, also auch Kontodaten, Käufe, Protokolle und Widerrufserklärungen; die Abrechnungsdaten darin sind verschlüsselt. Eine Sicherung an einem anderen Ort (Offsite) gibt es derzeit nicht: [PLATZHALTER: Offsite-Sicherung – Ziel und Anbieter noch offen]

Weitere Daten, die technisch anfallen: (a) ein Betreiber-Protokoll über Vorgänge im Konto (z. B. Kauf, Kontolöschung); es speichert Ihre Konto-Kennung, nicht Ihre E-Mail-Adresse. (b) ein Sicherheitsprotokoll (Audit-Log) mit Art und Zeitpunkt sicherheitsrelevanter Vorgänge, einer gekürzten IP-Adresse und dem Zeitpunkt Ihrer letzten Anmeldung. (c) Kaufversuche und Kaufbelege (Abrechnungsjahr, Stufe, Betrag, Zeitpunkte, Stripe-Kennungen, Ihre Zustimmung zum sofortigen Beginn mit Zeitpunkt und Textversion). Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c und f DSGVO (Vertragsabwicklung, Nachweis, Sicherheit des Dienstes).

Speicherdauer und Löschung: Sie können Ihr Konto jederzeit in der App löschen; dabei werden Konto- und Abrechnungsdaten gelöscht (die tägliche Sicherung läuft nach 14 Tagen aus). Nicht sofort gelöscht werden: Kaufbelege (gesetzliche Aufbewahrung, Abschnitt 6), Widerrufserklärungen (Abschnitt 8) sowie das Betreiber- und das Sicherheitsprotokoll; diese werden nach festen Fristen automatisch gelöscht – Betreiber-Protokoll [PLATZHALTER: Frist], Sicherheitsprotokoll [PLATZHALTER: Frist]. Aufbewahrung der Kontodaten nach Ende der Nutzung: [PLATZHALTER: Aufbewahrungsdauer der Kontodaten nach Vertragsende – Betreiber legt fest]

Hosting: Microsoft Azure (Region Deutschland). Wir nutzen dort eine virtuelle Maschine; Microsoft stellt die Infrastruktur bereit. [PLATZHALTER: Auftragsverarbeitungsvertrag mit Microsoft und Wortlaut zum Drittlandtransfer prüfen]

Die Daten Ihrer Mieter und Liegenschaften, die Sie in Ihrem Konto speichern, verarbeiten wir nur in Ihrem Auftrag und nach Ihren Weisungen. Dafür schließen Sie mit uns einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Sie bleiben für die Rechtmäßigkeit gegenüber Ihren Mietern verantwortlich (z. B. Informationspflichten).

Ablauf: Beim Kauf leiten wir Sie zur Zahlung zu Stripe Checkout weiter. Zahlungsmitteldaten (z. B. Kartennummer) gibt Ihr Gerät direkt an Stripe; wir erhalten sie nicht, sondern nur die Bestätigung, ob und in welcher Höhe gezahlt wurde, sowie Angaben zur Rechnung. Anbieter ist für Kunden im Europäischen Wirtschaftsraum nach den Angaben von Stripe die Stripe Payments Europe, Limited, Irland (Datenschutzerklärung von Stripe).

Rolle von Stripe: Nach der Darstellung von Stripe verarbeitet Stripe personenbezogene Daten teils als eigener Verantwortlicher (zum Beispiel für Betrugsprävention und gesetzliche Pflichten) und teils in unserem Auftrag. Übermittelt bzw. verarbeitet werden unter anderem Name, E-Mail-Adresse, Zahlungsmittelangaben, Betrag, Datum sowie IP-, Geräte- und Cookie-Daten zur Betrugsabwehr. Stripe kann Daten in Drittländern verarbeiten; als Grundlage nennt Stripe unter anderem das EU-U.S. Data Privacy Framework und Standardvertragsklauseln. [PLATZHALTER: Vertragsgesellschaft und Zahlarten im Stripe-Konto des Betreibers prüfen]

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zahlungsabwicklung für den Vertrag). Wir speichern Ihre Zustimmung zum vorzeitigen Leistungsbeginn mit Zeitpunkt und Textversion (Art. 6 Abs. 1 lit. c und f DSGVO; berechtigtes Interesse: Nachweis der gesetzlichen Voraussetzungen).

Aufbewahrung: Kaufbelege (Zahlungs- und Lizenzdaten) bewahren wir wegen steuer- und handelsrechtlicher Aufbewahrungspflichten auf, solange das Gesetz es verlangt (Art. 6 Abs. 1 lit. c DSGVO); eine Löschung vor Ablauf dieser Fristen ist ausgeschlossen. Frist: [PLATZHALTER: Frist] [PLATZHALTER: Aufbewahrungsfristen mit Steuerberater bestätigen]

Wir versenden E-Mails, die für den Vertrag nötig sind: Bestätigung Ihrer E-Mail-Adresse, Zurücksetzen des Passworts, Eingangsbestätigung der Bestellung, Kaufbestätigung (mit Lizenzdaten, Zustimmungswortlaut, Bedingungen und Widerrufsbelehrung), Eingangsbestätigung eines Widerrufs. Eine Rechnung versenden wir nur, wenn wir den Rechnungsweg dafür eingerichtet haben: [PLATZHALTER: Rechnungsweg festlegen] Dazu verarbeiten wir Ihre E-Mail-Adresse und den Inhalt der jeweiligen Nachricht. Versanddienstleister: [PLATZHALTER: E-Mail-Dienstleister – noch offen] Es gibt keinen Newsletter und keine Werbe-E-Mails. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wenn Sie über „Vertrag widerrufen“ widerrufen, verarbeiten wir Ihren Namen, Ihre Angaben zur Identifizierung des Vertrags und Ihre E-Mail-Adresse, um den Widerruf zu bearbeiten und Ihnen den Eingang mit Datum und Uhrzeit zu bestätigen (§ 356a BGB). Die Erklärung wird in jedem Fall gespeichert; die Bestätigungs-E-Mail wird nur im zumutbaren Umfang versandt (Missbrauchsschutz, Begrenzung je Adresse). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Widerrufserklärungen löschen wir nach [PLATZHALTER: Frist] (soweit keine gesetzliche Aufbewahrung entgegensteht). Einen Grund für den Widerruf fragen wir nicht ab.

Die KI-Funktionen sind abgeschaltet, solange Sie keinen eigenen API-Schlüssel des Dienstes OpenRouter (OpenRouter, Inc., USA) hinterlegen. Tun Sie das, sendet Ihr Browser den Text, den Sie der KI übergeben, direkt an OpenRouter und den Anbieter des von Ihnen gewählten Sprachmodells (möglicherweise in Drittländer). Die Übertragung läuft über Ihr eigenes Konto und nicht über unsere Server; wir erhalten weder Texte noch Antworten. Der Schlüssel liegt unverschlüsselt im lokalen Speicher Ihres Browsers und wird nicht an uns übertragen. Geben Sie der KI keine Daten, die Ihr Haus nicht verlassen sollen.

• Auskunft (Art. 15 DSGVO) – in der App steht ein Datenexport Ihres Kontos bereit.
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – Sie können Ihr Konto in der App selbst löschen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage berechtigter Interessen.

Zur Ausübung genügt eine formlose E-Mail an info@karuki.de. Für Daten Ihrer Mieter wenden sich diese an Sie als Verantwortlichen; wir unterstützen Sie dabei nach dem Auftragsverarbeitungsvertrag.

Sie haben das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für Nordrhein-Westfalen ist zuständig: Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.