Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer unter diesem Text aufgeführten Datenschutzerklärung.

Datenerfassung auf dieser Website

2. Hosting

Wir hosten die Inhalte unserer Website bei folgendem Anbieter:

Externes Hosting

Diese Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Registergericht Ansbach, HRB 6089), gehostet (nachfolgend „Hoster“). Die personenbezogenen Daten, die auf dieser Website erfasst werden, werden auf den Servern des Hosters gespeichert. Hierbei kann es sich v. a. um IP-Adressen, Kontaktanfragen, Meta- und Kommunikationsdaten, Vertragsdaten, Kontaktdaten, Namen, Websitezugriffe und sonstige Daten, die über eine Website generiert werden, handeln.

Das externe Hosting erfolgt zum Zwecke der Vertragserfüllung gegenüber unseren potenziellen und bestehenden Kunden (Art. 6 Abs. 1 lit. b DSGVO) und im Interesse einer sicheren, schnellen und effizienten Bereitstellung unseres Online-Angebots durch einen professionellen Anbieter (Art. 6 Abs. 1 lit. f DSGVO). Mit dem Hoster haben wir einen Vertrag über Auftragsverarbeitung (AVV) nach Art. 28 DSGVO geschlossen; die Verarbeitung erfolgt in Rechenzentren innerhalb der Europäischen Union.

3. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Wenn Sie diese Website benutzen, werden verschiedene personenbezogene Daten erhoben. Personenbezogene Daten sind Daten, mit denen Sie persönlich identifiziert werden können. Die vorliegende Datenschutzerklärung erläutert, welche Daten wir erheben und wofür wir sie nutzen. Sie erläutert auch, wie und zu welchem Zweck das geschieht.

Wir weisen darauf hin, dass die Datenübertragung im Internet (z. B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Boomerent GmbH
vertreten durch die Geschäftsführer Stephan Thiel und Dr. Ron van de Sand
c/o Reaktor Wildau
Schmiedestraße 2A
15745 Wildau
Deutschland

Handelsregister: HRB 19766, Amtsgericht Cottbus
Telefon: +49 174 4411117
E-Mail: [email protected]

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet. Eine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten nach Art. 37 DSGVO, § 38 BDSG besteht angesichts der aktuellen Unternehmensgröße von Boomerent nach unserer Prüfung derzeit nicht; wir überprüfen dies regelmäßig und passen diese Angabe bei Bedarf an.

Speicherdauer

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung zur Datenverarbeitung widerrufen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung Ihrer personenbezogenen Daten haben (z. B. steuer- oder handelsrechtliche Aufbewahrungsfristen); im letztgenannten Fall erfolgt die Löschung nach Fortfall dieser Gründe. Konkret gelten insbesondere folgende Speicherfristen: Nutzerkonten und die darin enthaltenen personenbezogenen Daten werden bis zur Löschung des Kontos durch Sie bzw. spätestens 30 Tage nach einer entsprechenden Aufforderung gelöscht; hochgeladene Mietverträge, Nebenkostenabrechnungen und Belege werden gelöscht, sobald sie für die Nutzung der jeweiligen Funktion nicht mehr benötigt werden, spätestens jedoch mit Löschung des zugehörigen Nutzerkontos; Sicherungskopien (Backups) werden im Rahmen unserer Backup-Rotation gelöscht bzw. überschrieben; sofern Rechnungen erstellt werden, gelten die handels- und steuerrechtlichen Aufbewahrungsfristen nach § 257 HGB bzw. § 147 AO (in der Regel sechs bzw. zehn Jahre). Anonymisierte Daten, bei denen nach dem Stand der Technik eine Re-Identifizierung ausgeschlossen ist und die daher keinen Rückschluss mehr auf Ihre Person zulassen, unterliegen nicht den vorstehend genannten Löschfristen; solche Daten können wir zeitlich unbegrenzt für interne Analyse- und Benchmarking-Zwecke verwenden, auch über das Ende des jeweiligen Vertragsverhältnisses hinaus, da es sich hierbei nicht mehr um personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO handelt.

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Widerspruchsrecht gegen die Datenerhebung in besonderen Fällen (Art. 21 DSGVO)

Wenn die Datenverarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, haben Sie jederzeit das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen. Die jeweilige Rechtsgrundlage, auf der eine Verarbeitung beruht, entnehmen Sie dieser Datenschutzerklärung. Wenn Sie Widerspruch einlegen, werden wir Ihre betroffenen personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Widerspruch nach Art. 21 Abs. 1 DSGVO).

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

Die zuständige Aufsichtsbehörde ist:
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
www.lda.brandenburg.de

Recht auf Datenübertragbarkeit

Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

Auskunft, Berichtigung und Löschung

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit an uns wenden.

Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Hierzu können Sie sich jederzeit an uns wenden. Das Recht auf Einschränkung der Verarbeitung besteht in folgenden Fällen: Wenn Sie die Richtigkeit Ihrer bei uns gespeicherten personenbezogenen Daten bestreiten, wenn die Verarbeitung Ihrer personenbezogenen Daten unrechtmäßig geschah oder geschieht, wenn wir Ihre personenbezogenen Daten nicht mehr benötigen, Sie sie jedoch zur Ausübung, Verteidigung oder Geltendmachung von Rechtsansprüchen benötigen, oder wenn Sie Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt haben.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte, wie zum Beispiel Bestellungen oder Anfragen, die Sie an uns als Seitenbetreiber senden, eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt und an dem Schloss-Symbol in Ihrer Browserzeile. Über die Transportverschlüsselung hinaus setzen wir folgende technische und organisatorische Maßnahmen (Art. 32 DSGVO) ein: Verschlüsselung der gespeicherten Daten bei unseren Hosting-Partnern, ein rollenbasiertes Zugriffsberechtigungskonzept, das den Zugriff auf personenbezogene Daten auf das erforderliche Maß beschränkt, sowie eine regelmäßige Überprüfung der eingesetzten Auftragsverarbeiter.

4. Datenerfassung auf dieser Website

Anfrage per E-Mail

Wenn Sie uns per E-Mail kontaktieren, wird Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (Name, Anfrage) zum Zwecke der Bearbeitung Ihres Anliegens bei uns gespeichert und verarbeitet. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf unserem berechtigten Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO) oder auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sofern diese abgefragt wurde.

Registrierung auf dieser Website

Sie können sich auf dieser Website registrieren, um zusätzliche Funktionen auf der Seite zu nutzen. Die dazu eingegebenen Daten verwenden wir nur zum Zwecke der Nutzung des jeweiligen Angebotes oder Dienstes, für den Sie sich registriert haben. Die bei der Registrierung abgefragten Pflichtangaben müssen vollständig angegeben werden. Anderenfalls werden wir die Registrierung ablehnen.

Für wichtige Änderungen etwa beim Angebotsumfang oder bei technisch notwendigen Änderungen nutzen wir die bei der Registrierung angegebene E-Mail-Adresse, um Sie auf diesem Wege zu informieren.

Die Verarbeitung der bei der Registrierung eingegebenen Daten erfolgt zum Zwecke der Durchführung des durch die Registrierung begründeten Nutzungsverhältnisses und ggf. zur Anbahnung weiterer Verträge (Art. 6 Abs. 1 lit. b DSGVO).

Die bei der Registrierung erfassten Daten werden von uns gespeichert, solange Sie auf dieser Website registriert sind und werden anschließend gelöscht. Gesetzliche Aufbewahrungsfristen bleiben unberührt.

Verarbeitung hochgeladener Dokumente (Auftragsverarbeitung)

Soweit Sie als Kunde Dokumente (z. B. Mietverträge, Nebenkostenabrechnungen) hochladen, die personenbezogene Daten Dritter enthalten, verarbeiten wir diese ausschließlich in Ihrem Auftrag und nach Ihren Weisungen. Datenschutzrechtlich verantwortlich für diese Inhalte bleiben Sie; Boomerent ist insoweit Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Auf Wunsch schließen wir mit Ihnen einen Auftragsverarbeitungsvertrag (AVV).

Checklisten-Anforderung (Lead-Magnet)

Wenn Sie unsere kostenlose Nebenkosten-Checkliste anfordern, verarbeiten wir Ihre E-Mail-Adresse, um Ihnen die Checkliste zuzusenden. Zusätzlich erhalten wir als Anbieter eine interne Kopie Ihrer Anforderung (per BCC an die Gründer), damit wir sehen, wer Interesse an unserem Angebot hat. Ein automatischer Newsletter-Versand erfolgt nicht.

Die Zusendung der Checkliste erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Die interne Erfassung, wer die Checkliste angefordert hat, beruht auf unserem berechtigten Interesse an der Ansprache und Bewertung von Interessenten (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung jederzeit widersprechen und die Löschung Ihrer Daten verlangen (Art. 21 DSGVO) — formlos an [email protected]. Der Versand erfolgt über den Dienstleister Resend (siehe Abschnitt 6 d).

5. Cookies und lokale Speicherung

Diese Website verwendet ohne Ihre Einwilligung keine Tracking-Cookies oder Cookies zu Werbezwecken; das nachfolgend beschriebene, einwilligungsbasierte Website-Tracking (Google Analytics) bleibt hiervon unberührt. Wir nutzen ausschließlich technisch notwendige Speichermechanismen (localStorage), um Ihre Spracheinstellungen und Cookie-Consent-Präferenzen zu speichern. Diese Daten werden ausschließlich lokal in Ihrem Browser gespeichert und nicht an Dritte übermittelt.

Folgende Daten werden lokal gespeichert:

• Sprachpräferenz (Deutsch/Englisch)
• Ihre Cookie-Einwilligung (Cookie „br_consent“)
• Authentifizierungs-Token (nach Login, für die Dauer der Sitzung)

Die Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technisch fehlerfreien Bereitstellung der Website).

Website-Tracking (nur mit Einwilligung)

Wenn Sie in unserem Cookie-Banner „Alle akzeptieren“ wählen, wird Google Analytics 4 geladen, ein Webanalysedienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Google Analytics 4 verwendet Cookies (u. a. „_ga“), um Ihre Nutzung dieser Website zu analysieren. Das Analyse-Skript wird erst geladen, nachdem Sie im Cookie-Banner Ihre Einwilligung erteilt haben; ohne Ihre Einwilligung findet keine Übertragung an Google statt (Google Consent Mode v2). Erfasst werden dabei insbesondere die besuchten Seiten, die Verweildauer, ein ungefährer Standort auf Basis der gekürzten IP-Adresse, das verwendete Gerät und der verwendete Browser sowie Referrer-Informationen. Die IP-Adresse wird von Google gekürzt und nicht mit anderen Daten von Google zusammengeführt; die Auswertung erfolgt pseudonymisiert und dient ausschließlich der statistischen Analyse und der Verbesserung unseres Online-Angebots.

Rechtsgrundlage für den Einsatz von Google Analytics ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie im Cookie-Banner „Ablehnen“ wählen oder den Consent-Cookie „br_consent“ löschen. Im Rahmen der Nutzung von Google Analytics kann es zu einer Übermittlung personenbezogener Daten an die Google LLC in den USA kommen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; wir stützen die Übermittlung in die USA vorrangig auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), ergänzend liegen Standardvertragsklauseln vor (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen finden Sie in der Datenschutzerklärung von Google unter policies.google.com/privacy.

6. Hosting und technische Infrastruktur

Für den Betrieb dieser Plattform arbeiten wir mit mehreren spezialisierten Dienstleistern zusammen. Im Folgenden informieren wir Sie transparent über alle beteiligten Unternehmen, deren Rolle und den Standort der Datenverarbeitung.

a) Domain-Registrar: INWX

Die Domain boomerent.de wird über INWX (InterNetworX Ltd., Berlin, Deutschland) registriert und verwaltet. INWX ist ein deutscher Domain-Registrar. Es werden keine personenbezogenen Daten an INWX übermittelt, die über die DNS-Auflösung hinausgehen.

b) Frontend (Eigenentwicklung), Hosting über Hetzner

Das Frontend (die Benutzeroberfläche) dieser Anwendung ist eine Eigenentwicklung und wird über die Hetzner Online GmbH (vgl. Abschnitt 2) in Rechenzentren innerhalb der Europäischen Union gehostet und ausgeliefert. Beim Aufruf der Website werden die üblichen Verbindungsdaten (IP-Adresse, Browsertyp, Zeitstempel) verarbeitet. In einzelnen Bereichen setzen wir ergänzend Dienste von Lovable (Lovable Technologies Ltd., lovable.dev) ein; die KI-Verarbeitung über das Lovable AI Gateway ist gesondert in Abschnitt 8 beschrieben.

c) Backend, Datenbank & Dateispeicher: Supabase

Die Datenbank (PostgreSQL), die Benutzerauthentifizierung, die Dateispeicherung (hochgeladene Mietverträge, Nebenkostenabrechnungen, Belege) und serverlose Backend-Funktionen (Edge Functions) werden über Supabase (Supabase Inc., supabase.com) betrieben. Die Daten werden in EU-Rechenzentren (AWS Frankfurt, eu-central-1) gespeichert und verarbeitet. Die Datenübertragung erfolgt ausschließlich verschlüsselt (TLS). Supabase setzt hierfür Amazon Web Services (AWS EMEA SARL bzw. Amazon Web Services, Inc.) als Sub-Auftragsverarbeiter für die physische Serverinfrastruktur ein; der mit Supabase bestehende Auftragsverarbeitungsvertrag erfasst auch den Einsatz von AWS als Sub-Auftragsverarbeiter.

d) E-Mail-Versand: Resend

Für den Versand von transaktionalen E-Mails (z. B. Widerspruchsschreiben an Vermieter, Erinnerungen an Dienstleister) nutzen wir Resend (Resend Inc., resend.com). Dabei werden die E-Mail-Adresse des Empfängers, der Betreff und der Nachrichteninhalt übermittelt. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Resend Inc. hat seinen Sitz in den USA; die Übermittlung stützen wir vorrangig auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), da Resend nach dem hierfür vorgesehenen Verfahren zertifiziert ist, ergänzend auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

e) Zahlungsabwicklung & Rechnungsstellung: Lexware

Die Zahlungsabwicklung erfolgt über unser eigenes System, ohne Einschaltung eines externen Zahlungsdienstleisters. Für die Rechnungsstellung nutzen wir die Software Lexware (Haufe-Lexware GmbH & Co. KG, Freiburg, Deutschland). In Lexware werden die für die Rechnungsstellung erforderlichen personenbezogenen Daten (u. a. Name, Anschrift, Rechnungsdaten) verarbeitet und gespeichert. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten). Mit Haufe-Lexware besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

f) Kundenverwaltung (CRM): HubSpot

Zur Verwaltung von Kunden- und Nutzerdaten setzen wir HubSpot (HubSpot Inc., USA, bzw. HubSpot Ireland Ltd.) als CRM-System ein. In HubSpot werden personenbezogene Daten unserer Nutzer und Kunden (u. a. Name, Kontaktdaten, Kommunikationsverlauf) verwaltet. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kundenverwaltung). HubSpot ist nach dem EU-US Data Privacy Framework zertifiziert; wir stützen die Übermittlung in die USA vorrangig auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), ergänzend liegen Standardvertragsklauseln vor (Art. 46 Abs. 2 lit. c DSGVO). Mit HubSpot besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

g) Geschäftliche E-Mail: Google Workspace

Für unsere geschäftliche E-Mail-Kommunikation ([email protected]) nutzen wir Google Workspace (Google Ireland Limited). Mit Google besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit dabei personenbezogene Daten in die USA übermittelt werden, erfolgt dies auf Grundlage des EU-U.S. Data Privacy Framework (Art. 45 DSGVO) bzw. der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen: policies.google.com/privacy.

Wir haben Verträge über Auftragsverarbeitung (AVV) mit unseren Hosting- und Cloud-Dienstleistern geschlossen. Damit wird sichergestellt, dass diese die personenbezogenen Daten unserer Websitebesucher nur nach unseren Weisungen und unter Einhaltung der DSGVO verarbeiten.

7. Authentifizierung über Drittanbieter

Wir bieten die Möglichkeit, sich über Google OAuth (Google LLC, USA) bei unserer Plattform anzumelden. Bei der Nutzung dieser Funktion werden folgende Daten von Google an uns übermittelt:

• E-Mail-Adresse
• Name (sofern im Google-Profil hinterlegt)
• Profilbild-URL (sofern vorhanden)

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; wir stützen die Übermittlung in die USA daher vorrangig auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), ergänzend liegen Standardvertragsklauseln vor (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen zum Datenschutz bei Google finden Sie unter policies.google.com/privacy.

Registrierung und Anmeldung (Supabase, künftig Clerk)

Für die Registrierung und Anmeldung in unserer Anwendung nutzen wir derzeit die Authentifizierung von Supabase (siehe Abschnitt 6 c)). Dabei verarbeiten wir insbesondere Ihre E-Mail-Adresse, Ihren Namen (sofern angegeben) sowie ein verschlüsseltes Passwort bzw. Login-Token. Diese Daten werden in EU-Rechenzentren (Frankfurt) verarbeitet.

Wir planen, die Authentifizierung künftig über den Dienst Clerk (Clerk, Inc., USA) abzuwickeln. Sobald dieser Dienst produktiv ist, aktualisieren wir diese Datenschutzerklärung; eine Datenübermittlung in die USA erfolgt dann auf Grundlage des EU-U.S. Data Privacy Framework (Art. 45 DSGVO) bzw. der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen: clerk.com/legal/privacy.

8. Einsatz von KI-gestützten Funktionen

Unsere Plattform nutzt KI-gestützte Dienste zur Analyse und Verarbeitung Ihrer Dokumente. Die KI-Verarbeitung erfolgt über das Lovable AI Gateway, das Anfragen an den KI-Anbieter Google (Google LLC, USA) weiterleitet. Die eingesetzten Modelle sind Google Gemini 2.5 Flash sowie – für bestimmte Funktionen – Anthropic Claude (Anthropic Ireland Ltd. bzw. Anthropic PBC, USA). OpenAI (OpenAI Ireland Ltd. bzw. OpenAI L.L.C., USA) wird derzeit nicht produktiv genutzt; das Lovable AI Gateway ist technisch jedoch so ausgelegt, dass Anfragen auch an OpenAI weitergeleitet werden könnten. Sofern und sobald ein anderer oder zusätzlicher Modellanbieter produktiv eingesetzt wird, aktualisieren wir diesen Abschnitt entsprechend.

Ergänzend verlagern wir die KI-Verarbeitung schrittweise auf Microsoft Azure (Microsoft Ireland Operations Limited); die Verarbeitung erfolgt dabei in Rechenzentren innerhalb der EU. Zum Einsatz kommen Azure AI Document Intelligence (Texterkennung/OCR), Azure AI Content Understanding sowie über Microsoft Azure bereitgestellte KI-Modelle von Anthropic (Claude). Auch bei dieser Verarbeitung werden Ihre Inhalte nicht zum Training von KI-Modellen verwendet und nicht dauerhaft gespeichert.

Folgende Funktionen nutzen KI-Verarbeitung:

• Extraktion von Mietvertragsdaten aus hochgeladenen PDFs (OCR)
• Analyse von Nebenkostenabrechnungen
• Berechnung und Analyse von VPI-basierten Mietanpassungen
• Analyse von Mietrechnungen und Mieterhöhungsschreiben
• Erkennung von Mieterpflichten aus Verträgen
• Generierung von Mieter-Schreiben (Widersprüche, Erinnerungen)

Bei der Nutzung dieser Funktionen werden die von Ihnen hochgeladenen Dokumente über das Lovable AI Gateway an Google Gemini bzw. Anthropic Claude übermittelt, dort verarbeitet und die Ergebnisse an Sie zurückgegeben. Die Daten werden von Google bzw. Anthropic nicht zum Training von KI-Modellen verwendet und nicht dauerhaft gespeichert. Lovable selbst kann KI-Anfrage- und Antwortinhalte für einen Zeitraum von bis zu 90 Tagen zu Debugging- und Überwachungszwecken vorhalten, sofern die entsprechende Aktivitätsprotokoll-Funktion aktiviert ist.

Bei den eingesetzten Sprachmodellen handelt es sich um KI-Systeme im Sinne des Art. 3 Nr. 1 der Verordnung (EU) 2024/1689 (KI-VO). Boomerent setzt diese Systeme als Betreiber (Deployer) im Sinne des Art. 3 Nr. 4 KI-VO ein. Die eingesetzten Funktionen fallen nach unserer Prüfung nicht unter die verbotenen Praktiken des Art. 5 KI-VO. Eine Einstufung als Hochrisiko-KI-System nach Art. 6 i. V. m. Anhang III KI-VO ist nach derzeitigem Stand nicht einschlägig, da die Systeme keine Kreditwürdigkeitsprüfung und keine Zugangsentscheidung zu wesentlichen privaten Diensten treffen, sondern der Unterstützung von Mieterinnen und Mietern bei der Prüfung eigener Vertragsunterlagen dienen; wir überprüfen diese Einschätzung regelmäßig. Gemäß Art. 50 KI-VO kennzeichnen wir automatisch generierte Textentwürfe (z. B. Widerspruchsschreiben) als solche, bevor sie durch Sie versendet werden. Im Rahmen des Art. 4 KI-VO stellen wir sicher, dass mit dem Betrieb dieser Systeme befasste Mitarbeitende über die erforderliche KI-Kompetenz verfügen.

Die KI-gestützten Analysen (z. B. Analyse von Mieterhöhungen, VPI-Berechnungen) dienen der Unterstützung Ihrer eigenen Entscheidung. Von der Plattform generierte Schreiben (z. B. Widersprüche) werden Ihnen als Entwurf zur eigenen Prüfung angezeigt und nicht ohne Ihre aktive Bestätigung versendet. Es findet daher keine ausschließlich automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt, die Ihnen gegenüber eine rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Soweit die Verarbeitung durch Google erfolgt, stützen wir die Übermittlung in die USA vorrangig auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), da Google LLC nach dem hierfür vorgesehenen Verfahren zertifiziert ist; ergänzend haben wir Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO). Für die Verarbeitung durch Anthropic stützen wir die Übermittlung in die USA auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), da Anthropic nach unserer Kenntnis nicht durchgehend im Rahmen des Data Privacy Framework zertifiziert ist. Sofern künftig Anfragen an OpenAI weitergeleitet werden, stützen wir die Übermittlung in die USA ebenfalls auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Verarbeitung über Microsoft Azure erfolgt innerhalb der EU (Microsoft Ireland Operations Limited); eine Drittlandübermittlung findet insoweit nicht statt.

9. E-Mail-Kommunikation

Für den Versand von E-Mails (z. B. Widerspruchsschreiben, Dienstleister-Erinnerungen) nutzen wir den Dienst Resend (Resend Inc., USA). Dabei werden die E-Mail-Adresse des Empfängers sowie der Nachrichteninhalt an Resend übermittelt. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: resend.com/legal/privacy-policy.

Einzelheiten zur Rechtsgrundlage der Übermittlung in die USA finden Sie in Abschnitt 6 d) dieser Datenschutzerklärung.

10. Externe Inhalte und Medien

Kartendarstellung (OpenStreetMap)

Zur Darstellung unseres Standorts binden wir Kartenkacheln von OpenStreetMap ein (OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich). Beim Laden der Karte wird Ihre IP-Adresse an die Server von OpenStreetMap übertragen; dies ist technisch erforderlich, damit die Kacheln an Ihren Browser ausgeliefert werden. Es werden keine Cookies gesetzt. Rechtsgrundlage ist unser berechtigtes Interesse an einer ansprechenden Standortdarstellung (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen: openstreetmap.org/copyright.

Bilder (Unsplash)

Einzelne Bilder werden über das Content-Delivery-Netzwerk von Unsplash ausgeliefert (Unsplash Inc., Kanada). Dabei wird Ihre IP-Adresse an Unsplash übertragen. Rechtsgrundlage ist unser berechtigtes Interesse an einer schnellen und zuverlässigen Bildauslieferung (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen: unsplash.com/privacy.

11. Übersicht der Datenstandorte

Die folgende Tabelle gibt einen Überblick über die Speicherorte Ihrer Daten:

12. Ihre Rechte im Überblick

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)