Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder unsere Software-as-a-Service-Plattform PropGate nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer nachfolgend aufgeführten Datenschutzerklärung.

2. Verantwortliche Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website und in der Anwendung ist:

PropGate
Matthias Deusch
In den Grüben 139
84489 Burghausen
Telefon: +49 162 4298832
E-Mail: info@propgate.de

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet.

3. Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Widerspruchsrecht gegen Datenverarbeitung (Art. 21 DSGVO)

Sofern Ihre personenbezogenen Daten auf Grundlage von berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden, haben Sie das Recht, gemäß Art. 21 DSGVO Widerspruch gegen die Verarbeitung einzulegen. Legen Sie Widerspruch ein, werden wir Ihre betroffenen personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

4. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO folgende Rechte:

  • Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, unentgeltlich Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten zu verlangen, einschließlich der Verarbeitungszwecke, Kategorien, Empfänger und geplanten Speicherdauer.
  • Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die unverzügliche Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten zu verlangen.
  • Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen entgegenstehen.
  • Recht auf Einschränkung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen, z. B. wenn Sie die Richtigkeit der Daten bestreiten.
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen. PropGate stellt hierfür eine Export-Funktion in der Anwendung bereit, die Ihre Daten als JSON-Dateien und Ihre Dokumente in einem ZIP-Archiv liefert (Abschnitt 16).
  • Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, der Verarbeitung Ihrer Daten jederzeit zu widersprechen, sofern die Verarbeitung auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht.
  • Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@propgate.de. Wir werden Ihre Anfrage innerhalb eines Monats beantworten.

5. Hosting

Vercel

Unsere Website und Webanwendung werden bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Vercel stellt die Infrastruktur bereit, auf der unsere Dienste laufen. Die Funktionen der Anwendung laufen in einem Rechenzentrum in Frankfurt (Vercel-Region fra1). Alle Datenübertragungen erfolgen verschlüsselt über HTTPS/TLS.

Die Nutzung von Vercel erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer möglichst zuverlässigen Darstellung unserer Website. Mit Vercel wurde ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen. Vercel ist unter dem EU-US Data Privacy Framework zertifiziert.

6. Datenerfassung auf der Website

Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt. Dies sind:

  • Browsertyp und Browserversion
  • Verwendetes Betriebssystem
  • Referrer URL
  • Hostname des zugreifenden Rechners
  • Uhrzeit der Serveranfrage
  • IP-Adresse (wird von Vercel nach spätestens 30 Tagen gelöscht)

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Optimierung seiner Website.

Cookies

Unsere Website verwendet ausschließlich technisch notwendige Cookies:

  • Session-Cookie (authjs.session-token bzw. __Secure-authjs.session-token): Zur Authentifizierung in der Anwendung. Attribute: httpOnly, Secure (in Produktion), SameSite: Lax. Lebensdauer: 24 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
  • Cookie-Einwilligung (cookie-consent): Speichert Ihre Cookie-Präferenz im localStorage. Lebensdauer: 365 Tage.

Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt. Es werden keine Daten an Werbenetzwerke oder Analyse-Dienste übermittelt. Die Verwendung technisch notwendiger Cookies erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) sowie § 25 Abs. 2 Nr. 2 TDDDG.

Lokale Speicherung (localStorage)

Wir nutzen den lokalen Speicher Ihres Browsers (localStorage) für folgende technische Zwecke:

  • Theme-Präferenz: Speicherung Ihrer Darstellungspräferenz (hell/dunkel).
  • Cookie-Einwilligung: Speicherung Ihrer Auswahl im Cookie-Banner.

Diese Daten werden ausschließlich lokal in Ihrem Browser gespeichert und nicht an unsere Server übermittelt.

7. Registrierung und Nutzerkonto

Bei der Registrierung für PropGate erheben wir folgende Daten:

  • Vor- und Nachname
  • E-Mail-Adresse
  • Firmenname (optional)
  • Telefonnummer (optional)
  • Passwort (wird ausschließlich als kryptographischer Hash mittels bcrypt mit Kostenfaktor 12 gespeichert – das Klartext-Passwort wird zu keinem Zeitpunkt gespeichert)
  • Vorausgewählter Plan und Abrechnungsintervall, wenn Sie die Registrierung über die Preisseite beginnen (nur als Vorschlag für eine spätere Buchung – die Registrierung beginnt immer mit der kostenlosen Testphase)
  • Referral-Code (optional, sofern Sie durch eine Empfehlung kommen)
  • Zeitpunkt und Textstand Ihrer Zustimmung zu den AGB einschließlich des Auftragsverarbeitungsvertrags

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Pflichtangaben und automatisierte Entscheidungen

Die Angaben bei der Registrierung (Name, E-Mail-Adresse, Passwort) und beim Abschluss eines Abonnements (Zahlungsdaten) sind für den Vertragsschluss erforderlich; ohne sie können wir kein Konto anlegen bzw. kein Abonnement abschließen. Alle übrigen Angaben sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet durch uns nicht statt.

Kontosicherheit

Zum Schutz Ihres Kontos erfassen wir die Anzahl fehlgeschlagener Anmeldeversuche. Nach 5 fehlgeschlagenen Versuchen wird das Konto für 15 Minuten gesperrt. Diese Maßnahme dient dem Schutz vor unbefugtem Zugriff (Art. 6 Abs. 1 lit. f DSGVO).

Zwei-Faktor-Authentifizierung (optional)

Sie können optional eine Zwei-Faktor-Authentifizierung (2FA/TOTP) aktivieren. Dabei werden ein verschlüsseltes Geheimnis (TOTP Secret) und einmalige Recovery-Codes in der Datenbank gespeichert. Die Aktivierung und Deaktivierung erfolgt freiwillig über Ihre Kontoeinstellungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Passwort-Zurücksetzung

Bei einer Passwort-Zurücksetzung wird ein kryptographisch sicherer Token generiert und für maximal 1 Stunde in der Datenbank gespeichert. Nach Ablauf oder erfolgreicher Zurücksetzung wird der Token gelöscht.

8. Datenverarbeitung in der Anwendung PropGate

PropGate ist eine Software für Immobilienverwaltungen. Im Rahmen der Nutzung werden folgende Kategorien personenbezogener Daten verarbeitet:

  • Objektdaten: Adressen, Eigentümer, Verwalterverträge, technische Ausstattung, Bankverbindungen, Versorgerdaten
  • Mieterdaten: Namen, Kontaktdaten (Telefon, E-Mail), Anschrift, Geburtsdatum, IBAN, Notfallkontakt, Mitmieter, Ausweisdaten, Bonitätsstatus, DSGVO-Einwilligungsstatus
  • Bewerberdaten: Angaben von Mietinteressenten und Bewerbern einschließlich Selbstauskunft (Haushalt, Beruf und Einkommen), hochgeladener Unterlagen (z. B. Bonitäts- und Einkommensnachweise) und Besichtigungsterminen
  • Mietvertragsdaten: Vertragsnummern, Laufzeiten, Miethöhen, Kautionsdaten, Staffel-/Indexmiete, Sondervereinbarungen, Übergabeprotokolle, Zählerstände
  • Finanzdaten: Sollstellungen, Zahlungen, Bank-CSV-Importe (inkl. IBAN, Verwendungszweck, Betrag), Zahlungszuordnungen, Gutschriften, Mahnungen
  • Zählerstände: Ablesungswerte, Fotos, Einzugs-/Auszugsstände
  • Tickets: Schadensmeldungen, Wartungsanfragen, Kommentare, Dienstleister-Zuordnungen
  • Dokumente: Hochgeladene Dateien (Verträge, Belege, Rechnungen) mit Metadaten (Typ, Version, Schlagworte, Fristen)
  • Kreditdaten: Darlehensinformationen, Tilgungspläne, Sondertilgungen
  • Nebenkostenabrechnungen: Kostenpositionen, Umlageschlüssel, Mieterpositionen
  • Wartungspläne: Aufgaben, Intervalle, Verantwortliche
  • Zeiterfassung: Datum, Dauer, Tätigkeit, Zuordnung

Sofern der Kunde als Immobilienverwaltung personenbezogene Daten Dritter (z. B. Mieterdaten) in PropGate verarbeitet, handelt der Anbieter als Auftragsverarbeiter gemäß Art. 28 DSGVO. In diesem Fall ist der Kunde als Verantwortlicher dafür zuständig, die datenschutzrechtliche Zulässigkeit der Verarbeitung sicherzustellen und seine Mieter entsprechend zu informieren. Der vollständige Auftragsverarbeitungsvertrag (AVV) inkl. technisch-organisatorischer Maßnahmen und Subprozessoren-Liste ist öffentlich einsehbar und wird mit der Registrierung über die AGB Vertragsbestandteil.

Mandantentrennung (Multi-Tenancy)

Jeder Kunde erhält einen eigenen, isolierten Datenbereich (Mandant/Tenant). Auf Datenbankebene wird sichergestellt, dass ein Kunde ausschließlich auf seine eigenen Daten zugreifen kann. Eine Einsicht in Daten anderer Kunden ist technisch ausgeschlossen.

Audit-Protokollierung

Alle datenverändernden Aktionen (Erstellung, Änderung, Löschung) werden in einem Audit-Log mit Zeitstempel, Benutzer-ID und Änderungsdetails protokolliert. Dies dient der Nachvollziehbarkeit und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Integrität und Sicherheit der Daten).

Rollenbasierte Zugriffskontrolle

PropGate unterscheidet drei Benutzerrollen: Administrator (Vollzugriff), Sachbearbeiter (Lese- und Schreibzugriff) und Nur-Lesen (ausschließlich Lesezugriff). Die Rechtevergabe erfolgt durch den Administrator des jeweiligen Mandanten.

Technische Sicherheitsmaßnahmen

  • HTTPS/TLS-Verschlüsselung für alle Datenübertragungen
  • Strikte Mandantentrennung auf Datenbankebene
  • Passwörter werden ausschließlich als bcrypt-Hashes gespeichert
  • Vollständige Audit-Logs für alle datenverändernden Aktionen
  • Rollenbasierte Zugriffskontrolle (RBAC) mit drei Berechtigungsstufen
  • Account-Sperrung nach fehlgeschlagenen Anmeldeversuchen
  • Optionale Zwei-Faktor-Authentifizierung (TOTP)
  • Security-Header: HSTS, Content-Security-Policy, X-Content-Type-Options, Referrer-Policy, Permissions-Policy
  • Anwendung und Datenbank in Rechenzentren in Frankfurt

9. Öffentliche Ticket-Einreichung (Mieter-Intake)

PropGate bietet Immobilienverwaltungen die Möglichkeit, öffentlich zugängliche Seiten für Mieter einzurichten, über die Schadensmeldungen und Anfragen eingereicht werden können (Ticket-Intake). Hierbei werden folgende Daten erhoben:

  • Kategorie der Meldung (Schadensmeldung, Wartung, Anfrage, Beschwerde)
  • Beschreibung des Anliegens
  • Kontaktname (freiwillig)
  • Telefonnummer (freiwillig)

Der Zugang erfolgt über einen individuellen, nicht erratbaren Token-Link. Für die Einreichung ist keine Registrierung oder Anmeldung erforderlich. Die eingegebenen Daten werden im Mandantenbereich der jeweiligen Immobilienverwaltung gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Mieteranliegen).

10. Zahlungsabwicklung

Stripe

Für die Zahlungsabwicklung nutzen wir den Dienst Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland / Stripe Inc., 510 Townsend Street, San Francisco, CA 94103, USA).

Bei einer Zahlung werden folgende Daten an Stripe übermittelt:

  • E-Mail-Adresse
  • Firmen- oder Kundenname
  • Zahlungsinformationen (Kreditkarten- oder Kontodaten – diese werden ausschließlich von Stripe verarbeitet und nicht auf unseren Servern gespeichert)
  • Bestellinformationen (gewählter Plan, Abrechnungszeitraum)

PropGate speichert zu Ihrer Zahlung die Stripe-Kunden-ID und die Stripe-Abonnement-ID, den Nachweis Ihrer Zustimmungen im Bestellvorgang und – beim Empfehlungsprogramm – den Hashwert nach Abschnitt 11. Karten- und Kontodaten speichern wir nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Stripe Payments Europe ist in Irland ansässig (EU). Für Datenübermittlungen an Stripe Inc. (USA) ist Stripe unter dem EU-US Data Privacy Framework zertifiziert. Nähere Informationen finden Sie unter https://stripe.com/de/privacy.

Bezahlen Sie mit Apple Pay oder Google Pay, sind zusätzlich Apple bzw. Google nach ihren eigenen Datenschutzbestimmungen beteiligt.

PayPal

Wenn Sie mit PayPal bezahlen, werden Sie zur Freigabe der Zahlung zu PayPal weitergeleitet. Empfänger Ihrer Daten ist dann zusätzlich PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Stripe und PayPal tauschen dabei die für die Zahlung erforderlichen Daten aus, insbesondere Betrag, Währung, Bestellinformationen sowie Angaben zu Ihrem PayPal-Konto (Name, E-Mail-Adresse, Kennung des PayPal-Kontos). Ihre Zugangsdaten zu PayPal erhalten weder wir noch Stripe. Nach der ersten Zahlung hinterlegt Stripe Ihr PayPal-Konto als Zahlungsmittel für die Folgezahlungen Ihres Abonnements.

Zweck ist die Abwicklung der Zahlung und der Folgezahlungen Ihres Abonnements; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. PayPal ist für die Verarbeitung Ihrer Daten bei PayPal eigenständig verantwortlich und nicht als Auftragsverarbeiter für uns tätig; PayPal verarbeitet die Daten nach seiner eigenen Datenschutzerklärung, etwa auch zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten, und nimmt Übermittlungen in Länder außerhalb des EWR in eigener Verantwortung vor. Nähere Informationen: https://www.paypal.com/de/legalhub/paypal/privacy-full.

11. Empfehlungsprogramm (Referral)

PropGate bietet ein Empfehlungsprogramm, bei dem Kunden für erfolgreiche Weiterempfehlungen Gutschriften erhalten können. Im Rahmen dieses Programms werden folgende Daten verarbeitet:

  • Referral-Code: Ein eindeutiger Code, der Ihrem Konto bei der Registrierung zugewiesen wird.
  • Referral-Zuordnung: Speicherung, welcher Code bei der Registrierung eines neuen Kunden verwendet wurde.
  • Stand der Empfehlung: ob der geworbene Kunde ein Abonnement abgeschlossen und bezahlt und ob er es innerhalb der Widerrufsfrist widerrufen hat. Davon hängt ab, ob und wann die Gutschrift erteilt wird – erst nach Ablauf der Widerrufsfrist des geworbenen Kunden.
  • Kennung des Zahlungsmittels (gehasht): Zur Missbrauchsprävention speichern wir bei der ersten Zahlung eines geworbenen Kunden einen SHA-256-Hashwert der Stripe-Kennung des Zahlungsmittels, bei PayPal der Kennung des PayPal-Kontos. Der Hashwert ist ein Pseudonym: Wir können daraus keine Zahlungsdaten ablesen, ihn aber mit dem Hashwert späterer Zahlungen vergleichen, um zu erkennen, ob dasselbe Zahlungsmittel schon für eine Empfehlungsgutschrift verwendet wurde. Der Hashwert ist keinem Konto zugeordnet; er bleibt deshalb auch nach der Löschung Ihres Kontos bestehen und wird drei Jahre nach seiner Speicherung gelöscht.
  • Weitergabe an den Werber: Registrieren Sie sich mit einem Empfehlungscode, erfährt der empfehlende Kunde, dass sich über seinen Code ein Konto registriert hat, ob daraus ein Abonnement entstanden ist und ob er dafür eine Gutschrift erhalten hat. Ihren Namen, Ihren Plan und den weiteren Verlauf Ihres Vertrags erfährt er nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Abwicklung des Empfehlungsprogramms).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Gutschriften des empfehlenden Kunden und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwicklung des Empfehlungsprogramms und an der Missbrauchsprävention) für die Daten des geworbenen Kunden und den Hashwert des Zahlungsmittels.

12. E-Mail-Versand

Resend

Für den Versand von System-E-Mails nutzen wir den Dienst Resend (Resend Inc., USA). E-Mails werden ausschließlich transaktional versendet, d. h. nur wenn eine konkrete Aktion dies auslöst (z. B. Passwort-Zurücksetzung, Referral-Gutschrift-Benachrichtigung, automatische Mahnungen). Es werden keine Werbe-E-Mails oder Newsletter versendet.

Dabei werden an Resend übermittelt:

  • E-Mail-Adresse des Empfängers
  • E-Mail-Betreff und -Inhalt

E-Mails werden von der Adresse noreply@propgate.de versendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Resend übermittelt Daten in die USA auf Grundlage der EU-Standard- vertragsklauseln (SCC) nach Art. 46 DSGVO.

Kontaktformular auf propgate.de

Das Kontaktformular auf unserer Website „/kontakt“ öffnet bei Absenden Ihren lokal installierten E-Mail-Client (mailto:-Link). Die Nachricht wird dabei ausschließlich clientseitig erzeugt und durch Sie selbst an uns versendet – PropGate erhält keine Daten aus dem Formular, bis Ihre Nachricht bei uns eintrifft. Es findet kein Versand über Resend oder einen anderen Auftragsverarbeiter statt.

13. Dateispeicherung

Vercel Blob

Hochgeladene und von PropGate erzeugte Dokumente (z. B. Mietverträge, Rechnungen, Zählerfotos, Bewerbungsunterlagen) speichern wir privat im Dateispeicher Vercel Blob der Vercel Inc. (Anschrift in Abschnitt 5); ältere Dateien können bei Cloudflare R2 (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) liegen. Ausgeliefert werden sie nur über die Anwendung, die vorher die Berechtigung prüft (Anmeldung oder persönlicher Zugangslink, etwa im Mieterportal). Wohnungsfotos, die Sie für eine Bewerbungsseite verwenden, sind über diese Seite ohne Anmeldung abrufbar.

Erlaubte Dateitypen: PDF, Word (.docx), Excel (.xlsx), JPEG, PNG, WebP, CSV. Maximale Dateigröße: 10 MB.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Vercel und Cloudflare sind unter dem EU-US Data Privacy Framework zertifiziert.

14. Datenbank

Die Anwendungsdaten werden in einer PostgreSQL-Datenbank der Neon, LLC (Databricks-Gruppe) in Frankfurt (AWS eu-central-1) gespeichert, die über Vercel angebunden ist. Mit Neon besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum der Databricks, Inc.); soweit Neon aus den USA auf die Daten zugreift, gelten EU-Standardvertragsklauseln (Art. 46 DSGVO).

14a. Support-Anfragen und KI-gestützte Auswertung

In der Anwendung können Sie unter „Einstellungen → Hilfe & Support“ eine Support-Anfrage an uns senden (Fehler, Wunsch oder Frage). Dabei verarbeiten wir:

  • Ihre Angaben in der Anfrage (Art, Titel, Beschreibung, erwartetes Verhalten) und Dateien, die Sie anhängen (z. B. Bildschirmfotos)
  • Ihren Namen, Ihre E-Mail-Adresse und Ihren Mandanten, damit wir antworten können
  • technische Angaben zum Zeitpunkt der Anfrage: aufgerufene Seite, Browserkennung, Bildschirmgröße, Version der Anwendung und gegebenenfalls eine Fehlerkennung
  • den Verlauf der Bearbeitung und unsere Antworten

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Anfragen werden in der Datenbank der Anwendung gespeichert (siehe Abschnitte 5 und 14) und mit der Löschung Ihres Kontos gelöscht. Über eine neue Anfrage informieren wir das PropGate-Team per E-Mail (siehe Abschnitt 12).

KI-gestützte Auswertung (nur mit Ihrer Einwilligung)

Wenn Sie es bei einer Anfrage ausdrücklich auswählen, prüft ein KI-System, ob sich ein gemeldeter Fehler im Quellcode von PropGate nachvollziehen lässt. Dafür werden die Angaben dieser Anfrage einschließlich ihrer Anhänge an Anthropic, PBC (San Francisco, USA) übermittelt und dort mit dem KI-Modell Claude verarbeitet. Die Prüfung läuft automatisiert in der Entwicklungsumgebung von PropGate bei GitHub, Inc. (San Francisco, USA). Das Ergebnis der Prüfung ist ein interner Bericht an das PropGate-Team; ob und wie ein Fehler behoben wird, entscheidet ein Mensch. Die Auswahl bieten wir nur an, solange die KI-Auswertung eingerichtet ist.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Ohne Einwilligung findet keine KI-Auswertung statt; Ihre Anfrage wird dann ausschließlich von Menschen bearbeitet. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an info@propgate.de. Die Übermittlung in die USA erfolgt bei Anthropic auf Grundlage von EU-Standardvertragsklauseln (Art. 46 DSGVO), bei GitHub auf Grundlage des EU-US Data Privacy Framework. Die Übermittlung an Anthropic erfolgt ausschließlich über die Programmierschnittstelle (API) zu den kommerziellen Bedingungen von Anthropic einschließlich eines Auftragsverarbeitungsvertrags; danach verwendet Anthropic die Inhalte nicht zum Training seiner Modelle. Protokolle der automatisierten Prüfung bei GitHub werden nach spätestens 90 Tagen gelöscht.

Wir speichern, ob und wann Sie eingewilligt haben und welchen Wortlaut der Einwilligung Sie gesehen haben (Nachweis nach Art. 7 Abs. 1 DSGVO).

Bitte tragen Sie in eine Support-Anfrage keine Daten Ihrer Mieter oder Bankdaten ein, wenn sie für die Anfrage nicht nötig sind.

15. Auftragsverarbeiter

Folgende Auftragsverarbeiter können Ihre Daten im Rahmen ihrer jeweiligen Aufgabe verarbeiten:

  • Vercel Inc. (USA, DPF-zertifiziert) – Hosting, Serverless Functions (Frankfurt), Dateispeicher (Vercel Blob)
  • Neon, LLC / Databricks, Inc. (USA, SCC nach Art. 46 DSGVO) – Datenbank in Frankfurt (AWS eu-central-1), siehe Abschnitt 14
  • Stripe Payments Europe, Ltd. (Irland) / Stripe Inc. (USA, DPF-zertifiziert) – Zahlungsabwicklung, Abonnementverwaltung
  • Cloudflare, Inc. (USA, DPF-zertifiziert) – Dateispeicherung (R2) für ältere Dateien, CDN
  • Resend Inc. (USA, SCC nach Art. 46 DSGVO) – Transaktionaler E-Mail-Versand
  • Functional Software, Inc. (Sentry) (USA, SCC nach Art. 46 DSGVO; Datenregion EU) – Fehler-Monitoring, siehe Abschnitt 19a
  • Pingen GmbH (Schweiz, Angemessenheitsbeschluss der EU-Kommission) – Druck und Versand von Briefen und Einschreiben, die Sie in PropGate auslösen, über Druckpartner
  • Upstash, Inc. (USA, SCC nach Art. 46 DSGVO) – Begrenzung von Anfragen zum Schutz vor Missbrauch (IP-Adresse bzw. Nutzerkennung)
  • Anthropic, PBC (USA, SCC nach Art. 46 DSGVO) – KI-gestützte Auswertung von Support-Anfragen über die API, nur mit Einwilligung, siehe Abschnitt 14a
  • GitHub, Inc. (USA, DPF-zertifiziert) – Quellcode-Hosting und automatisierte Prüfabläufe (CI), dabei Verarbeitung von Support-Anfragen mit KI-Auswertung, siehe Abschnitt 14a

Mit allen Auftragsverarbeitern wurden entsprechende Verträge gemäß Art. 28 DSGVO geschlossen bzw. es gelten deren Standard-Auftragsverarbeitungsbedingungen. Eine Übermittlung in Drittländer (USA) erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) bzw. EU-Standardvertragsklauseln; für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an datenschutz@propgate.de.

Verbundene Dienste

Verbinden Sie Ihren Google-Kalender, überträgt PropGate die von Ihnen angelegten Termine (z. B. Besichtigungstermine mit dem Namen des Interessenten) in Ihren Kalender; Google verarbeitet sie nach Ihren Vereinbarungen mit Google. Dasselbe gilt, wenn Sie E-Mails über Ihr eigenes Gmail-Konto versenden lassen. Diese Dienste setzen Sie selbst ein; sie sind keine Auftragsverarbeiter von PropGate.

16. Datenexport und Datenübertragbarkeit

PropGate stellt Administratoren eine Export-Funktion bereit (Einstellungen → Kündigung & Datenschutz; bei gesperrtem Zugang unter „Abo abschließen“). Sie liefert sämtliche Daten Ihres Mandanten als ZIP-Archiv: jede Tabelle als eigene JSON-Datei – darunter Objekte, Einheiten, Mieter, Mietverhältnisse, Sollstellungen, Zahlungen, Mahnungen, Nebenkostenabrechnungen, Tickets mit Kommentaren, Zähler und Zählerstände, Bewerber mit Selbstauskunft, Übergabeprotokolle, Mieterhöhungen, Kautionen, Support-Anfragen und das Audit-Log – sowie alle hochgeladenen und von PropGate erzeugten Dokumente in ihrem Dateiformat.

Die Daten werden abschnittsweise geladen und in Ihrem Browser zu dem Archiv zusammengesetzt; bei vielen Dokumenten verteilt sich der Export auf mehrere ZIP-Archive von je höchstens 250 MB. Dateien, die dabei nicht geladen werden konnten, stehen mit Link in einer Liste im Archiv und können einzeln heruntergeladen werden.

Nicht enthalten sind Anmeldegeheimnisse (Passwort-Hashes, Zwei-Faktor-Schlüssel, Zugangslinks sowie Zugangsschlüssel zu verbundenen Diensten wie dem Google-Kalender), weil sie nicht in eine Datei außerhalb von PropGate gehören, ferner rein technische Hilfstabellen ohne Geschäftsdaten (etwa Anmeldesitzungen, Gerätekennungen für Push-Nachrichten und Zwischenstände von Uploads) und unsere internen Prüfvermerke zu Ihren Support-Anfragen.

Diese Funktion unterstützt Ihr Recht auf Datenübertragbarkeit (Art. 20 DSGVO) und ermöglicht Ihnen, Ihre Daten bei Vertragsende vollständig zu sichern. Für die Daten Ihrer Mieter und anderer Personen, die Sie als Verantwortlicher in PropGate verarbeiten, ist der Export zugleich die Rückgabe der Daten nach § 12 des Auftragsverarbeitungsvertrags.

17. Speicherdauer und Löschung

Ihre personenbezogenen Daten werden nur so lange gespeichert, wie es für die Erfüllung des Vertragszwecks erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:

  • Kontodaten (Name, E-Mail, Passwort-Hash): Werden 180 Tage nach dem Ende der Nutzung gelöscht – nach der Kündigung Ihres Kontos, läuft dann noch ein bezahltes Abonnement, 180 Tage nach dessen Ende (Einzelheiten unten). Auf Ihren Wunsch löschen wir früher.
  • Rechnungs- und Zahlungsdaten zu Ihrem PropGate-Abonnement: 8 Jahre ab dem Ende des Kalenderjahres (§ 147 Abs. 1 Nr. 4, Abs. 3 AO; § 14b Abs. 1 UStG); die Rechnungen liegen bei Stripe.
  • Vertragsnachweise (Bestellung mit Ihren Zustimmungen, Kündigungen, Widerrufe): 6 Jahre ab dem Ende des Kalenderjahres, auch über die Löschung Ihres Kontos hinaus (Art. 6 Abs. 1 lit. c und f, Art. 17 Abs. 3 lit. b und e DSGVO).
  • Audit-Logs: Werden mit den übrigen Daten Ihres Kontos gelöscht (siehe unten).
  • Server-Logs (Vercel): Werden nach spätestens 30 Tagen gelöscht.
  • Passwort-Reset-Token: Werden nach 1 Stunde oder erfolgreicher Zurücksetzung gelöscht.
  • Fehlgeschlagene Login-Versuche: Der Zähler wird nach erfolgreicher Anmeldung auf Null zurückgesetzt; die Einzeleinträge selbst werden nach spätestens 24 Stunden automatisch gelöscht.

Konto-Kündigung und 180 Tage bis zur Löschung

Wenn Sie Ihr PropGate-Konto kündigen, bleiben Ihre Daten zunächst für 180 Tage auf unseren Systemen erhalten. Läuft zum Zeitpunkt der Kündigung noch ein bezahltes Abonnement, nutzen Sie PropGate bis zu dessen Ende wie gewohnt; die 180 Tage beginnen dann erst mit dem Ende des Abonnements. In dieser Zeit können Sie die Kündigung zurücknehmen und sämtliche Daten Ihres Mandanten einschließlich aller Dokumente als ZIP-Archiv herunterladen (Einzelheiten in Abschnitt 16). 30, 7 und 1 Tag vor der Löschung erinnern wir Sie per E-Mail. Auf Ihren Wunsch (E-Mail an datenschutz@propgate.de) löschen wir früher.

Konten ohne gebuchten Plan

Ist 180 Tage nach dem Ende Ihrer Testphase oder Ihres Abonnements kein Plan gebucht, kündigen wir Ihr Konto mit einer Frist von 30 Tagen; wir erinnern Sie 30, 7 und 1 Tag vor dem Ende der Frist per E-Mail. Buchen Sie bis dahin einen Plan, entfällt die Kündigung. Danach gelten dieselben Regeln wie bei einer Kündigung durch Sie: Ihre Daten bleiben 180 Tage erhalten und werden dann gelöscht.

Nach Ablauf der 180 Tage werden sämtliche Daten Ihres Mandanten einschließlich Dokumenten unwiderruflich aus unseren Systemen (Datenbank und Dateispeicher) gelöscht; ausgenommen sind nur unsere Vertragsnachweise und Rechnungsdaten nach der Liste oben sowie der Hashwert nach Abschnitt 11. Soweit für Sie gesetzliche Aufbewahrungspflichten gelten (etwa für Rechnungen nach § 14b UStG oder nach § 147 AO), sind Sie für die Aufbewahrung Ihrer Unterlagen selbst verantwortlich. Bitte führen Sie den Daten-Export deshalb vor der Löschung durch und bewahren Sie Export und Dokumente gemäß Ihren gesetzlichen Pflichten auf.

18. SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt und an dem Schloss-Symbol in Ihrer Browserzeile. Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

19. Keine Analyse- und Tracking-Dienste

PropGate setzt keine Analyse- oder Tracking-Dienste ein. Es werden keine Dienste wie Google Analytics, Matomo, Hotjar, Facebook Pixel oder vergleichbare Tools verwendet. Wir erfassen keine Nutzungsprofile und geben keine personenbezogenen Daten an Werbenetzwerke weiter.

19a. Fehleraufzeichnung (Sentry)

Zur technischen Stabilisierung unserer Anwendung setzen wir die Dienstleistung Sentry (Functional Software, Inc., 45 Fremont Street, San Francisco, CA 94105, USA) ein. Sentry erfasst ausschließlich automatische Fehlermeldungen unserer Server (Stack-Traces, Request-URL ohne Query-Parameter, User-ID in gehashter Form) — keine Inhalte Ihrer Dokumente oder Formularfelder. Vor dem Versand durchläuft jeder Eintrag einen Redaction-Filter, der sensible Felder wie Passwort, Token, Cookie, IBAN oder Geburtsdatum unkenntlich macht. Die Trace-Sampling-Rate ist auf 10 % in Produktion bzw. 5 % in der Entwicklung beschränkt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einem stabilen und sicheren Betrieb der Plattform. Mit Sentry besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; der Datentransfer in die USA erfolgt auf Grundlage von Standardvertragsklauseln (SCC) nach Art. 46 DSGVO; gespeichert werden die Fehlerdaten in der EU-Datenregion von Sentry. Fehlerdaten werden nach spätestens 90 Tagen automatisch gelöscht.

20. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Wesentliche Änderungen werden den registrierten Nutzern per E-Mail mitgeteilt. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.

Stand: 5. Oktober 2026