1. Kurzfassung
Vorreiter OS ist überwiegend eine interne Anwendung zur Verwaltung des eigenen Immobilienbestands. Sie ist nur Mitarbeitern der Verantwortlichen zugänglich. Externe Nutzer (Mieter, Handwerker, Geschäftspartner) loggen sich hier nicht ein — ihre Daten werden ausschließlich zur Bearbeitung bestehender Vertragsverhältnisse verarbeitet.
Eine Ausnahme bilden geteilte Investment-Kalkulationen unter dem Pfad /k/<code> — dort können Interessenten ohne Login eine für sie erstellte Beispielrechnung einsehen und Varianten erzeugen (siehe Abschnitt 3.4).
2. Verantwortlicher
Daniel Vorreiter
Graf-von-Moltke-Straße 4, 50374 Erftstadt, Deutschland
Telefon: +49 2235 6818902
E-Mail Datenschutz: datenschutz@vorreiter-gruppe.de
3. Verarbeitungszwecke und Rechtsgrundlagen
3.1 Mitarbeiter-Authentifizierung
E-Mail, Passwort-Hash, Login-Zeitstempel und IP-Adresse werden zur Authentifizierung am System verarbeitet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 BDSG (Beschäftigungsverhältnis).
3.2 Immobilien-, Mieter- und Buchhaltungsverwaltung
Mietverträge, Bankzahlungen, Nebenkostenabrechnungen, Versicherungs- und Handwerkervorgänge werden zur Vertragserfüllung verarbeitet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Mietvertrag) und Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 257 HGB / § 147 AO (Aufbewahrungspflichten).
3.3 IT-Sicherheit
Audit-Logs (Login, Passwortänderung, Benutzerverwaltung) werden 90 Tage gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit).
3.4 Geteilte Kalkulationen (/k/<code>)
Wenn ein Mitarbeiter dir per E-Mail, WhatsApp oder Messenger einen Link zu einer Investment-Kalkulation schickt, kannst du diese ohne Login öffnen. Dabei werden folgende Daten verarbeitet:
- Zugriffs-Metadaten (IP-Adresse, Zeitstempel, User-Agent) — temporär in den Server-Logs zur Abwehr von Missbrauch (Rate-Limiting, Brute-Force-Schutz auf den 8-stelligen Share-Code). Aufbewahrung: maximal 30 Tage.
- Inhaltsdaten der Kalkulation (Kaufpreis, Miete, deine Eingaben falls du eine Variante speicherst). Diese werden in der Datenbank in Frankfurt am Main gespeichert, sind nur dem Ersteller und dir (über den Link) zugänglich und werden nicht an Dritte weitergegeben.
- Personalisierung: wenn der Mitarbeiter dich vorher als CRM-Kontakt zugeordnet hat, sieht der geteilte Link deinen Namen + ggf. Firma in der Anrede ("Hallo Max — hier ist deine Kalkulation"). E-Mail und Telefonnummer werden im geteilten Link nicht ausgespielt.
- Keine Cookies, kein Tracking: für die geteilte Kalkulation werden keine Cookies gesetzt, keine Analytics-Tools (Google Analytics, Facebook-Pixel etc.) eingebunden und es findet kein Cross-Site-Tracking statt.
- Variante speichern: wenn du eine Variante anlegst, wird deine angepasste Kalkulation als neuer (anonymer) Datensatz gespeichert und ist über einen separaten Code zugänglich. Sie bleibt 24 Monate gespeichert und wird danach automatisch gelöscht — es sei denn, du vereinbarst etwas anderes mit dem Ersteller.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an transparenter Investment-Information für Vertragsanbahnung) sowie Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen, sofern du das Investment-Angebot annehmen möchtest).
4. Auftragsverarbeiter
- Supabase Inc. — Datenbank, Authentifizierung, Datei-Storage. Anwendungsdaten werden physisch in Frankfurt am Main (AWS eu-central-1) gespeichert. Plattform-Metadaten (Account-Info, Logs) können in den USA verarbeitet werden; hierfür liegen EU-Standardvertragsklauseln vor.
- Amazon Web Services EMEA SARL — Sub-Auftragsverarbeiter von Supabase, Rechenzentrum Frankfurt am Main.
- Hostinger International Ltd. — Hosting des Reverse-Proxy und der Anwendungs-Container in Frankfurt am Main.
5. Speicherdauer
- Mietverträge und Buchhaltung: 10 Jahre nach Vertragsende (§ 257 HGB, § 147 AO)
- Geschäftsbriefe (Posteingang): 6 Jahre (§ 257 Abs. 1 Nr. 2/3 HGB)
- Mitarbeiterdaten: 10 Jahre nach Beschäftigungsende (§ 41 EStG)
- Geteilte Kalkulationen: solange aktiv geteilt; Kunden-Varianten 24 Monate
- Audit-Logs: 90 Tage
- Server-Logs (geteilte Kalkulationen): max. 30 Tage
- Backup-Dateien: 7-30 Tage rollierend
6. Cookies und lokaler Speicher
Im internen Bereich (eingeloggte Mitarbeiter) verwendet Vorreiter OS ausschließlich technisch notwendige Cookies zur Aufrechterhaltung der Login-Sitzung (sb-access-token, sb-refresh-token). Eine Einwilligung nach § 25 TDDDG ist nicht erforderlich.
Im öffentlichen Bereich (geteilte Kalkulationen unter /k/<code>) werden keine Cookies gesetzt und kein Local Storage genutzt.
7. Ihre Rechte
Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Widerruf (Art. 7 Abs. 3) DSGVO. Anfragen an datenschutz@vorreiter-gruppe.de.
8. Beschwerderecht
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 200444, 40102 Düsseldorf, ldi.nrw.de.
9. Technische Schutzmaßnahmen
TLS 1.3 für alle Verbindungen, Passwörter via bcrypt, Row-Level-Security auf Datenbankebene, tägliche Backups (Hostinger 30 Tage; Supabase Point-in-Time Recovery), HSTS, CSP, Audit-Logs.
10. Keine automatisierten Entscheidungen
Es finden keine automatisierten Einzelentscheidungen i. S. d. Art. 22 DSGVO statt.