Datenschutzerklärung

Stand: 09.06.2026

1. Allgemeine Hinweise

Diese Datenschutzerklärung informiert darüber, wie personenbezogene Daten bei Nutzung der Website und der Webanwendung ImmoCrab verarbeitet werden.

ImmoCrab ist eine SaaS-Webanwendung für Vermieter, Immobilienverwalter und sonstige Personen oder Unternehmen, die Immobilien verwalten. Die Plattform unterstützt insbesondere bei Objektverwaltung, Mieter- und Kontaktdaten, Mietverträgen, Betriebskostenabrechnungen, Rechnungs- und Dokumentenverwaltung, Zählerständen, Zahlungen, Zahlungszuordnung, optionaler Online-Banking-Anbindung, KI-gestützten Funktionen sowie Datenexport und Kontolöschung.

2. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung, soweit ImmoCrab personenbezogene Daten als eigener Verantwortlicher verarbeitet, ist:

Immocrab – Inhaber: Cihan Ildizli Rohrstücke 18 24568 Kattendorf Deutschland

E-Mail: info@immocrab.de

3. Rollenverteilung nach DSGVO

Für Daten, die zur Bereitstellung der Website, zur Registrierung, zur Nutzerkontenverwaltung, zur Vertragsdurchführung, zur Kommunikation, zur Sicherheit und zum Betrieb von ImmoCrab verarbeitet werden, ist Immocrab – Inhaber: Cihan Ildizli grundsätzlich eigener Verantwortlicher.

Soweit Nutzer innerhalb von ImmoCrab personenbezogene Daten Dritter speichern oder verarbeiten, insbesondere Daten von Mietern, Eigentümern, Verwaltern, Dienstleistern, Kontakten oder sonstigen betroffenen Personen, ist grundsätzlich der jeweilige Nutzer Verantwortlicher im Sinne der DSGVO. ImmoCrab verarbeitet diese Daten regelmäßig als Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

Hierfür wird ein Auftragsverarbeitungsvertrag als Anlage zu den AGB bereitgestellt. Die Annahme des AVV soll zusammen mit der Annahme der AGB und der Kenntnisnahme der Datenschutzerklärung bei der Registrierung dokumentiert werden.

Nutzer sind selbst dafür verantwortlich, ihre eigenen Betroffenen, insbesondere Mieter, Eigentümer, Verwalter und sonstige Kontakte, über die Verarbeitung ihrer Daten mit ImmoCrab zu informieren und eine geeignete Rechtsgrundlage für die Verarbeitung sicherzustellen.

4. Hosting und technische Bereitstellung

Die Website und Webanwendung werden über technische Infrastruktur betrieben. Nach aktuellem Projektstand werden insbesondere folgende Dienste eingesetzt oder vorgesehen:

Vercel Inc. für Hosting, Serverless-Funktionen, CDN und technische Bereitstellung
Vercel Postgres für Datenbankhosting
INWX für Domain und E-Mail-Infrastruktur
Resend für Transaktions-E-Mails

Bei Aufruf der Website oder Nutzung der Anwendung können technische Zugriffsdaten verarbeitet werden, insbesondere:

IP-Adresse
Datum und Uhrzeit des Zugriffs
aufgerufene URL
Request-Metadaten
Browsertyp und Browserversion
Betriebssystem
Referrer-URL, soweit übermittelt
technische Fehler- und Zugriffsdaten

Die Verarbeitung erfolgt zur Bereitstellung der Website und Anwendung, zur Sicherstellung der technischen Stabilität, zur Fehleranalyse, zur Sicherheit und zur Missbrauchserkennung.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung vertraglicher oder vorvertraglicher Leistungen erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO aufgrund des berechtigten Interesses an einem sicheren, stabilen und funktionsfähigen Betrieb der Website und Anwendung.

Mit Dienstleistern, die personenbezogene Daten im Auftrag verarbeiten, werden vor öffentlicher kommerzieller Nutzung soweit erforderlich Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen oder geprüft.

5. Registrierung und Nutzerkonto

Für die Registrierung und Verwaltung von Nutzerkonten verarbeitet ImmoCrab insbesondere folgende Daten:

Benutzername
E-Mail-Adresse
Passwort-Hash
Rolle, zum Beispiel Admin oder Nutzer
Mandanten-ID
Gebäude-Berechtigungen
E-Mail-Verifizierungsstatus
Passwort-Reset-Tokens
letzter Login
Registrierungsdatum
Trial-Status
Abo- oder Vertragsstatus, soweit vorhanden
technische Protokolldaten

Passwörter werden nicht im Klartext gespeichert, sondern nach aktuellem Projektstand mit bcrypt gehasht.

Die E-Mail-Adresse muss bestätigt werden. Hierzu versendet ImmoCrab eine E-Mail zur Verifizierung. Außerdem können Transaktions-E-Mails versendet werden, etwa für Passwort-Reset, Sicherheitsmeldungen oder systembezogene Benachrichtigungen.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Registrierung, Nutzerkonto und Vertragsdurchführung sowie Art. 6 Abs. 1 lit. f DSGVO für Sicherheits- und Missbrauchsschutzmaßnahmen.

6. Kostenlose Testphase und Vertragsstatus

ImmoCrab kann eine kostenlose Testphase von 7 Tagen bereitstellen. Nach aktuellem Konzept beginnt diese nach Bestätigung der E-Mail-Adresse.

Zur Verwaltung der Testphase und eines späteren Abos werden Daten zum Trial-Status, Registrierungsdatum, Ablaufdatum, Vertragsstatus und gegebenenfalls Zahlungsstatus verarbeitet.

Nach Ablauf der Testphase können Schreib-, Bearbeitungs- und KI-Funktionen gesperrt werden. Lesefunktionen, Datenexport und Kontolöschung sollen weiterhin möglich bleiben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Immobilienverwaltungsdaten / Kundendaten

Nutzer können in ImmoCrab personenbezogene Daten Dritter speichern und verarbeiten. Dazu können insbesondere gehören:

Mieter- und Kontaktdaten

Name
Anrede
E-Mail-Adresse
Telefonnummer
Adresse
Geburtsdatum
Personenzahl
Mietvertragsdaten

Vermieter- und Eigentümerdaten

Name
Adresse
Bankdaten
IBAN und BIC
gegebenenfalls Steuer-ID
Kautionskonto

Verwalterdaten

Kontaktdaten
gegebenenfalls Bankdaten
Rollen und Berechtigungen

Objektdaten

Gebäudeadressen
Wohnungen
Wohnflächen
Zimmeranzahl
Zählernummern
Zählerstände
Ausstattungsmerkmale
Eigentums- und Verwaltungsdaten

Vertragsdaten

Mietbeginn
Mietende
Miete
Nebenkosten
Kaution
Laufzeiten
Zusatzvereinbarungen
Vertragsänderungen
Historie

Zahlungs- und Abrechnungsdaten

Soll-Mieten
Ist-Zahlungen
Zahlungsstatus
Zuordnung von Zahlungseingängen
Bank-Match-Status
Betriebskosten
Umlageschlüssel
Rechnungsdaten
Lieferantendaten
Abrechnungszeiträume
Kostenpositionen
Mieteranteile
Guthaben und Nachzahlungen

Wartungs- und Aufgabendaten

Meldungen
Aufgaben
Zuweisungen
Notizen
Statusinformationen

Für diese Kundendaten ist regelmäßig der jeweilige Nutzer Verantwortlicher. ImmoCrab verarbeitet diese Daten als Auftragsverarbeiter nach Maßgabe des AVV.

8. Cookies und Endgerätezugriffe

ImmoCrab verwendet nach aktuellem Projektstand ausschließlich technisch erforderliche Cookies und Speichermechanismen.

Insbesondere wird ein technisch notwendiges Session-Cookie verwendet:

Name: `session`
Eigenschaften: `httpOnly`
Laufzeit: 24 Stunden
`sameSite: lax`

Dieses Cookie ist erforderlich, um Login, Sitzung und Sicherheit der Anwendung bereitzustellen.

Außerdem kann localStorage ausschließlich für technische Migrations-Flags verwendet werden. Tracking findet dabei nicht statt.

Rechtsgrundlage für technisch notwendige Cookies und Endgerätezugriffe ist § 25 Abs. 2 TDDDG. Soweit hierbei personenbezogene Daten verarbeitet werden, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO.

Ein Cookie-Banner ist nach aktuellem Konzept nicht erforderlich, solange ausschließlich technisch notwendige Cookies und Speichermechanismen verwendet werden. Wenn künftig Tracking, Analytics, Marketing-Cookies, externe Medien, Newsletter-Tools oder vergleichbare Dienste eingesetzt werden, muss diese Datenschutzerklärung angepasst und gegebenenfalls ein Einwilligungsmechanismus eingerichtet werden.

9. Tracking, Analytics, Newsletter und Kontaktformulare

Nach aktuellem Projektstand werden keine Tracking- oder Analytics-Dienste eingesetzt, insbesondere kein Google Analytics, kein Matomo, kein Meta Pixel, kein Hotjar und kein vergleichbares Tracking.

Es gibt derzeit kein Kontaktformular, keinen Newsletter und keine Warteliste.

Sollten solche Funktionen künftig eingeführt werden, wird diese Datenschutzerklärung entsprechend ergänzt.

10. Schriftarten

ImmoCrab verwendet nach aktuellem Projektstand die Schrift Nunito lokal über die technische Umsetzung mit `next/font/google`. Dabei soll kein externer Abruf von Google-Fonts im Browser erfolgen. Sofern dies technisch korrekt umgesetzt ist, findet insoweit keine Datenübermittlung an Google Fonts beim Seitenaufruf statt.

11. Audit-Logs und Sicherheitsprotokolle

Zur Sicherheit, Nachvollziehbarkeit, Missbrauchserkennung und Fehleranalyse verarbeitet ImmoCrab Audit-Logs. Diese können insbesondere enthalten:

User-ID
Aktion
IP-Adresse
User-Agent
Zeitstempel

Audit-Logs werden nach aktuellem Projektstand für 6 Monate gespeichert. Bei Sicherheitsvorfällen können sie länger gespeichert werden, soweit dies zur vollständigen Klärung, Durchsetzung oder Verteidigung von Rechtsansprüchen oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Sicherheit, Integrität, Nachvollziehbarkeit und Missbrauchsprävention der Anwendung.

12. Datenexport und Kontolöschung

Nutzer können ihre Daten exportieren. Nach aktuellem Projektstand erfolgt der Export über:

/api/data/export

Der Export erfolgt im JSON-Format.

Die Löschung des eigenen Nutzerkontos ist nach aktuellem Projektstand über folgende Funktion implementiert:

/api/users/delete-own-data

Nach Kündigung ist eine 30-tägige Reaktivierungs- und Exportfrist vorgesehen. Während dieser Frist können Daten exportiert werden. Danach werden produktive Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen entgegenstehen.

Daten können in Backups noch bis zur automatischen Überschreibung enthalten sein. Die Backup-Aufbewahrung wird mit maximal 30 Tagen angesetzt, soweit dies technisch mit Vercel Postgres beziehungsweise dem gewählten Tarif vereinbar und steuerbar ist.

13. KI-Funktionen und OpenAI

ImmoCrab kann optionale KI-Funktionen bereitstellen, zum Beispiel:

Referenzmiete-Schätzung
automatische Rechnungserfassung oder PDF-Auslesung
KI-gestütztes Zahlungs-Matching
Vertragstext-Formulierung
Unterstützung bei Betriebskostenabrechnungen
allgemeine KI-Hilfen oder Chat-Funktionen
weitere zukünftige KI-Funktionen

Nach aktuellem Konzept wird hierfür voraussichtlich die API von OpenAI genutzt:

OpenAI, L.L.C. 3180 18th Street San Francisco, CA 94110 USA

Die KI-Funktionen sind optional. Ohne aktivierte KI-Funktionalität bleibt ImmoCrab grundsätzlich nutzbar, jedoch ohne KI-gestützte Funktionen.

Je nach Funktion können an OpenAI oder einen vergleichbaren KI-Dienstleister die vom Nutzer eingegebenen, hochgeladenen oder ausgewählten Inhalte übermittelt werden.

Bei der Referenzmiete-Schätzung können insbesondere übermittelt werden:

Gebäudeadresse, zum Beispiel Straße, PLZ und Ort
Wohnfläche
Baujahr
Zimmeranzahl
Etage
aktuelle Mietbeträge

Nach aktuellem Konzept werden hierbei keine Mieterdaten übermittelt.

Bei der automatischen Rechnungserfassung oder PDF-Auslesung kann der extrahierte Textinhalt hochgeladener PDF-Dateien übermittelt werden. Dieser kann personenbezogene Daten des Rechnungsstellers, des Rechnungsempfängers, Bankverbindungen, Steuernummern und sonstige Dokumentinhalte enthalten.

Beim KI-gestützten Zahlungs-Matching können Beträge, Buchungsdaten offener Mietzahlungen und Bankumsätze übermittelt werden. Nach aktuellem Konzept erfolgt dies ohne Namen und ohne Kontoinformationen; ein Namensabgleich erfolgt ausschließlich auf ImmoCrab-Servern.

Bei der Vertragstext-Formulierung kann vom Nutzer eingegebener Freitext für Zusatzvereinbarungen im Mietvertrag verarbeitet werden.

Die Verarbeitung erfolgt auf Veranlassung des Nutzers zur Bereitstellung der jeweiligen KI-Funktion. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der Funktion erforderlich ist. Soweit ImmoCrab Kundendaten im Auftrag verarbeitet, erfolgt die Verarbeitung zudem nach Maßgabe des AVV.

Eine besondere Zero-Data-Retention-Konfiguration oder eine bestimmte Speicher- und Trainingskonfiguration bei OpenAI wird nicht behauptet, solange diese nicht vertraglich bestätigt und dokumentiert ist.

Vor öffentlicher kommerzieller Nutzung sind die vertraglichen Datenschutzbedingungen von OpenAI, insbesondere ein Data Processing Addendum, mögliche Standardvertragsklauseln, Drittlandtransfermechanismen und Speicher-/Trainingsbedingungen, final zu prüfen.

Da OpenAI ein Anbieter mit Sitz in den USA ist, kann eine Datenübermittlung in ein Drittland stattfinden. Hierfür sind geeignete Garantien nach Art. 44 ff. DSGVO sicherzustellen.

14. Optionale Online-Banking-Funktionen

ImmoCrab kann optionale Online-Banking-Funktionen bereitstellen. Nach aktuellem Konzept ist zunächst eine interne beziehungsweise optionale comdirect-Banking-Integration vorgesehen, bei der der Nutzer eigene Zugangsdaten einbringt.

Wenn diese Funktion aktiviert wird, können insbesondere verarbeitet werden:

Online-Banking-Zugangsnummer
PIN
OAuth-Credentials der comdirect Developer-App
Kontoumsätze
Buchungsdaten
Zahlungsbeträge
Verwendungszwecke
Zuordnungen zu Mietzahlungen

Nach aktuellem Projektstand werden Zugangsdaten und OAuth-Credentials verschlüsselt auf dem Server der ImmoCrab-Installation gespeichert. Die Nutzung erfolgt ausschließlich auf ausdrückliche Veranlassung des Nutzers zum automatisierten Abruf von Kontoauszügen. Der Nutzer kann gespeicherte Zugangsdaten löschen.

Die Banking-Funktion ist optional. Nutzer sind selbst dafür verantwortlich, zu prüfen, ob die Nutzung ihrer Zugangsdaten und die jeweilige Form des Abrufs mit den Bedingungen ihrer Bank vereinbar ist.

ImmoCrab bietet keine Finanzberatung und trifft keine Bankentscheidungen.

Vor öffentlicher Nutzung der Banking-Funktion ist besonders zu prüfen, ob statt der direkten Speicherung und Nutzung von Bankzugangsdaten ein regulärer Open-Banking- oder Kontoinformationsdienst eingesetzt werden sollte.

15. Zahlungsabwicklung

Konkrete Zahlungsanbieter sind nach aktuellem Stand noch nicht aktiv eingebunden.

PayPal und Stripe sind derzeit nur als mögliche beziehungsweise geplante Zahlungsanbieter vorgesehen. Sie werden in dieser Datenschutzerklärung erst dann konkret als aktive Empfänger personenbezogener Daten aufgenommen, wenn sie tatsächlich technisch eingebunden und produktiv genutzt werden.

Bei Zahlung per Überweisung oder Rechnung können Zahlungsdaten über die beteiligten Banken verarbeitet werden.

Rechtsgrundlage für zahlungsbezogene Verarbeitungen ist Art. 6 Abs. 1 lit. b DSGVO.

16. Empfänger und Unterauftragsverarbeiter

Je nach Nutzung und technischer Umsetzung können personenbezogene Daten an folgende Empfänger oder Dienstleister übermittelt werden:

Vercel Inc. für Hosting, Serverless-Funktionen, CDN und technische Bereitstellung
Vercel Postgres für Datenbankhosting
Resend für Transaktions-E-Mails
OpenAI für optionale KI-Funktionen
INWX für Domain und E-Mail-Infrastruktur
comdirect bei optionaler/interner Banking-Funktion, soweit technisch erforderlich
Banken bei Zahlung per Überweisung oder Rechnung

PayPal und Stripe werden erst dann als aktive Empfänger aufgenommen, wenn sie tatsächlich produktiv eingebunden sind.

17. Drittlandübermittlungen

Einige eingesetzte oder geplante Dienstleister können ihren Sitz außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums haben, insbesondere in den USA. Eine Übermittlung personenbezogener Daten in Drittländer erfolgt nur, soweit hierfür die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch Angemessenheitsbeschluss, Standardvertragsklauseln, Data Processing Addendum oder andere geeignete Garantien.

Die konkrete Rechts- und Vertragslage ist vor öffentlicher kommerzieller Nutzung final zu prüfen und zu dokumentieren.

18. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

Für Nutzerkonten und Vertragsdaten erfolgt die Speicherung grundsätzlich für die Dauer des Nutzungsvertrags. Nach Kündigung ist eine 30-tägige Reaktivierungs- und Exportfrist vorgesehen. Danach werden produktive Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen entgegenstehen.

Audit-Logs werden grundsätzlich für 6 Monate gespeichert. Bei Sicherheitsvorfällen kann eine längere Speicherung erfolgen.

Backups werden mit maximal 30 Tagen angesetzt, soweit dies technisch mit Vercel Postgres beziehungsweise dem gewählten Tarif vereinbar und steuerbar ist.

19. Sicherheit

ImmoCrab setzt technische und organisatorische Maßnahmen ein, um personenbezogene Daten zu schützen. Dazu gehören nach aktuellem Projektstand insbesondere:

HTTPS
Passwort-Hashing
Mandantentrennung
Rollen- und Berechtigungskonzept
Audit-Logs
Export- und Löschfunktionen
verschlüsselte Speicherung sensibler Zugangsdaten, soweit vorgesehen

20. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

Recht auf Auskunft gemäß Art. 15 DSGVO
Recht auf Berichtigung gemäß Art. 16 DSGVO
Recht auf Löschung gemäß Art. 17 DSGVO
Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO
Recht auf Widerspruch gemäß Art. 21 DSGVO
Recht auf Widerruf erteilter Einwilligungen gemäß Art. 7 Abs. 3 DSGVO
Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde gemäß Art. 77 DSGVO

Anfragen können gerichtet werden an:

info@immocrab.de

Anfragen werden im gesetzlichen Rahmen beantwortet, regelmäßig innerhalb eines Monats.

21. Zuständige Datenschutzaufsichtsbehörde

Für den Anbieter mit Sitz in Schleswig-Holstein ist insbesondere folgende Aufsichtsbehörde zuständig:

ULD – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Postfach 71 16 24171 Kiel

Telefon: 0431 988-1200 Fax: 0431 988-1223 E-Mail: mail@datenschutzzentrum.de

22. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann angepasst werden, wenn sich ImmoCrab, eingesetzte Dienste, technische Abläufe oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung ist auf der Website abrufbar.