Datenschutzerklärung

Verantwortlicher im Sinne der DSGVO ist:
KutVention UG (haftungsbeschränkt)
vertreten durch den Geschäftsführer Mohammed Bicak
Seewenjestraße 175A
28237 Bremen, Deutschland
E-Mail: [email protected]

Einen Datenschutzbeauftragten haben wir nicht bestellt; die gesetzlichen Voraussetzungen dafür (§ 38 BDSG) liegen nicht vor. Für alle Anliegen rund um deine Daten erreichst du uns unter der oben genannten Adresse.

Das Frontend wird bei Vercel Inc. gehostet, die Analyse-Schnittstelle (Backend) bei Render. Beim Aufruf der Seiten verarbeiten diese Anbieter als Auftragsverarbeiter technisch notwendige Verbindungsdaten. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Beim Zugriff auf unsere Server werden automatisch Informationen erfasst, die dein Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, Referrer sowie Browser- und Betriebssystem-Angaben. Diese Daten dienen der Auslieferung, Sicherheit und Fehleranalyse und werden nicht mit anderen Datenquellen zusammengeführt (Art. 6 Abs. 1 lit. f DSGVO).

Wenn du einen Inserats-Link einfügst, übermitteln wir diese URL an unser Backend. Dort werden die öffentlich abrufbaren Inseratsdaten geladen und zur Auswertung an einen KI-Dienstleister (OpenRouter, Inhalt des Inserats) übergeben. Erkennbare Kontaktdaten aus dem Inserat (E-Mail-Adressen, Telefonnummern) entfernen wir vor der KI-Auswertung automatisch (Datenminimierung). Die Verarbeitung erfolgt zur Bereitstellung der von dir angeforderten Analyse (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Gib bitte keine personenbezogenen Daten Dritter in das Analysefeld ein, die über das Inserat hinausgehen.

Alternativ kannst du die Objektdaten selbst eintragen oder Bilder eines Exposés hochladen (Screenshots oder Fotos). Die Bilder werden zur Auswertung an denselben KI-Dienstleister (OpenRouter) übermittelt, dort ausgewertet und von uns nicht gespeichert – weder die Bilddateien noch Kopien davon. Gespeichert wird ausschließlich das Ergebnis der Analyse, und auch das nur, wenn du angemeldet bist.

KI-Dienstleister und Modelle: OpenRouter, Inc. (USA) vermittelt die Anfrage an den Betreiber des jeweils eingesetzten KI-Modells. Wir nutzen derzeit Modelle von OpenAI (über Microsoft Azure) und Google (über Google Cloud Vertex AI) und haben festgelegt, dass sie in Rechenzentren in der EU laufen und nur Betreiber zum Zug kommen, die die Eingaben weder speichern noch zum Training verwenden. Weil OpenRouter seinen Sitz in den USA hat, kann die Anfrage dabei auch über die USA laufen. Das Ergebnis ist eine automatisch erzeugte Einschätzung und als „KI-Bewertung" gekennzeichnet; sie ersetzt keine fachliche Prüfung und trifft keine Entscheidung über dich.

Ein wichtiger Unterschied zum Inserats-Link: Aus Texten entfernen wir erkennbare Kontaktdaten automatisch, bevor sie den KI-Dienstleister erreichen. Bei einem Bild ist das technisch nicht möglich – was auf dem Screenshot zu sehen ist, wird mit übermittelt. Schneide Name, Telefonnummer und E-Mail-Adresse des Anbieters deshalb bitte weg, bevor du ein Bild hochlädst. Rechtsgrundlage ist auch hier die Bereitstellung der von dir angeforderten Analyse (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

Adress-Suche: Im Formular zur Objekteingabe schlagen wir dir während des Tippens passende Adressen vor. Dazu wird der von dir eingegebene Suchtext an Kartendienste auf Basis von OpenStreetMap übermittelt: zunächst an Photon, betrieben von der Komoot GmbH (Deutschland), und – falls dieser Dienst nicht antwortet – an Nominatim der OpenStreetMap Foundation (Vereinigtes Königreich). Übertragen wird ausschließlich der Suchtext. Rechtsgrundlage ist unser berechtigtes Interesse an einer korrekten Adresserfassung (Art. 6 Abs. 1 lit. f DSGVO).

Die Anfrage läuft dabei über unseren Server; deine IP-Adresse wird nicht an diese Dienste weitergegeben, sondern nur die unseres Servers. Die Datenschutzhinweise der Anbieter findest du unter komoot.com/privacy und osmfoundation.org. Die Adresse lässt sich jederzeit von Hand eintragen – dann findet keine Übermittlung statt.

Die Nutzung ist ohne Konto möglich. Meldest du dich an, erfolgt dies wahlweise über Google (OAuth) – dabei erhalten wir die von dir freigegebenen Profildaten (in der Regel E-Mail-Adresse und Name) – oder passwortlos per E-Mail (Anmeldecode bzw. Login-Link), wofür wir deine E-Mail-Adresse verarbeiten – oder mit einem Passkey. Konto- und Analysedaten speichern wir bei unserem Auftragsverarbeiter Supabase, damit du gespeicherte Analysen später wieder aufrufen kannst. Gespeicherte Analysen sind privat und nur dir zugänglich. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Deine gespeicherten Analysen kannst du jederzeit in der App löschen. Unter Konto & Daten kannst du außerdem selbst deinen vollständigen Datenexport herunterladen (Art. 20 DSGVO) und dein Konto endgültig löschen (Art. 17 DSGVO) – die Löschung entfernt dein Konto und alle zugehörigen Analysen sofort und unwiderruflich. Alternativ genügt eine formlose E-Mail an [email protected].

Passkeys und Authenticator-App: Legst du einen Passkey an, speichern wir bei Supabase dessen öffentlichen Schlüssel, einen von dir vergebenen Namen sowie wann er angelegt und zuletzt genutzt wurde. Fingerabdruck, Gesichtsbild oder Geräte-PIN verlassen dein Gerät dabei nie. Schaltest du optional eine Authenticator-App als zweiten Faktor ein, speichern wir das dafür nötige Geheimnis bei Supabase, die dazu erzeugten Recovery-Codes nur als nicht umkehrbaren Hashwert. Über sicherheitsrelevante Änderungen (neuer oder entfernter Passkey, Authenticator-App ein- oder ausgeschaltet, eingelöster Recovery-Code, Anmeldung per Passkey oder Google) informieren wir dich per E-Mail. Rechtsgrundlage ist die Vertragserfüllung und unser berechtigtes Interesse an der Sicherheit deines Kontos (Art. 6 Abs. 1 lit. b und f DSGVO).

Zustimmung zu den AGB: Stimmst du unseren AGB zu, speichern wir als Nachweis, welcher Fassung (Stand-Datum und Prüfsumme des Textes) du wann zugestimmt hast – ohne IP-Adresse. Der Nachweis wird mit deinem Konto gelöscht (Art. 6 Abs. 1 lit. b und c DSGVO).

Wir protokollieren, was mit deinem Konto und deinen Daten geschieht: Anmeldungen und Abmeldungen (mit dem Anmeldeweg), gespeicherte, geänderte und gelöschte Analysen, geänderte Einstellungen, Passkeys und Authenticator-App, Exporte und Kontolöschung, außerdem technische Vorgänge wie Analyse-Läufe, Mailversand und eingehende Meldungen unseres Mail-Dienstleisters. Gespeichert werden Zeitpunkt, Aktion, Weg (App oder direkt in der Datenbank), Ergebnis und eine Vorgangsnummer – nur Kennungen, keine Namen, keine E-Mail-Adressen und keine Inhalte deiner Analysen; bei Änderungen steht nur, welches Feld sich geändert hat. Zweck ist die Nachvollziehbarkeit und Sicherheit des Dienstes, insbesondere das Erkennen unbefugter Zugriffe (Art. 6 Abs. 1 lit. f DSGVO). Deine eigenen Einträge siehst du unter Konto & Daten und kannst sie dort als CSV herunterladen. Einträge lassen sich nicht verändern und werden nach 12 Monaten automatisch gelöscht – nach einer Kontolöschung ebenfalls erst dann, weil sie nur Kennungen enthalten und gerade dann der Nachvollziehbarkeit dienen.

Damit wir Fehler schnell erkennen und beheben, melden Webapp und Backend technische Fehler an den Dienst Sentry der Functional Software, Inc. (USA), den wir als Auftragsverarbeiter mit Datenspeicherung in der EU einsetzen. Übermittelt werden Fehlermeldung und Programmstelle, Browser- und Gerätetyp, die aufgerufene Seite und eine Vorgangsnummer – keine Formularinhalte, keine Cookies und keine E-Mail-Adressen. Fehlermeldungen aus deinem Browser leiten wir über unseren eigenen Server weiter; deine IP-Adresse erreicht Sentry dabei nicht. Rechtsgrundlage ist unser berechtigtes Interesse an einem fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO); die Einträge werden nach höchstens 90 Tagen gelöscht. Soweit eine Übermittlung in die USA stattfindet, erfolgt sie auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln.

Kontaktformular, Problem-Meldung und Anmeldecode schützen wir mit Cloudflare Turnstile der Cloudflare, Inc. (USA) vor automatisierten Anfragen. Beim Aufruf dieser Formulare prüft Turnstile anhand technischer Merkmale deines Browsers und Geräts, deiner IP-Adresse und von Interaktionssignalen, ob ein Mensch das Formular nutzt; meist geschieht das unsichtbar. Wir erhalten nur das Ergebnis der Prüfung. Die Prüfung ist für den sicheren Versand bzw. die Anmeldung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert.

Wir speichern technisch notwendige Informationen lokal in deinem Browser (u. a. deine Darstellungs-Einstellung „hell/dunkel", deine Antwort auf die Werbe-Abfrage, ob du das Angebot zum Anlegen eines Passkeys ausgeblendet hast, sowie – bei Anmeldung – deine Sitzung). Rechtsgrundlage für diese Speicherung ist § 25 Abs. 2 Nr. 2 TDDDG, weil sie für den von dir gewünschten Dienst erforderlich ist. Eine Reichweitenanalyse führen wir nicht durch. Werbe-Cookies setzen wir ausschließlich nach deiner Einwilligung – siehe den folgenden Abschnitt. Zum Bot-Schutz siehe Abschnitt 8.

Diese Website finanziert sich über Werbung. Dafür setzen wir – und ausschließlich nach deiner ausdrücklichen Einwilligung – den Dienst Google AdSense ein.

Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, sowie deren Muttergesellschaft Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Zweck: Auslieferung und Darstellung von Anzeigen, Messung der Anzeigenleistung sowie Betrugs- und Missbrauchserkennung. Google kann die Anzeigen dabei auf Grundlage deines Nutzungsverhaltens auswählen.

Verarbeitete Daten: insbesondere deine IP-Adresse, Geräte- und Browserangaben, aufgerufene Seiten sowie Kennungen, die auf deinem Endgerät gespeichert und wieder ausgelesen werden (Cookies und vergleichbare Techniken).

Rechtsgrundlage: deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für das Speichern und Auslesen von Informationen auf deinem Endgerät zusätzlich § 25 Abs. 1 TDDDG. Ohne deine Einwilligung wird das AdSense-Skript gar nicht erst geladen, und es werden dafür keine Daten an Google übertragen. Die Nutzung von Immolyze ist ohne Einwilligung uneingeschränkt möglich.

Übermittlung in die USA: Die Verarbeitung findet auch in den Vereinigten Staaten statt. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission mit ihrem Angemessenheitsbeschluss vom 10. Juli 2023 ein angemessenes Schutzniveau festgestellt hat; ergänzend gelten Standardvertragsklauseln der EU-Kommission. Trotz dieser Grundlagen lässt sich nicht ausschließen, dass US-Behörden auf die Daten zugreifen und dir dagegen keine Rechtsbehelfe zur Verfügung stehen, die denen in der EU entsprechen. Deine Einwilligung erstreckt sich ausdrücklich auch auf diese Übermittlung (Art. 49 Abs. 1 lit. a DSGVO).

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft zurücknehmen: . Derselbe Weg steht unter „Werbe-Einstellungen" im Fuß jeder Seite. Danach wird die Frage erneut gestellt und ohne erneute Einwilligung kein Werbe-Skript mehr geladen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Näheres zur Datenverarbeitung durch Google findest du in der Google-Erklärung zur Datennutzung durch Partner-Websites.

Schreibst du uns über das Kontaktformular oder über „Problem melden" (das Fragezeichen unten rechts), verarbeiten wir deine Angaben – Name (nur beim Kontaktformular), E-Mail-Adresse, Anliegen und Nachricht – sowie bei einer Problem-Meldung die Seite, auf der du gemeldet hast, und die Breite deines Browserfensters. Zweck ist, deine Anfrage zu beantworten und Fehler zu beheben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit deine Anfrage dein Konto betrifft, sonst unser berechtigtes Interesse an der Beantwortung von Anfragen und einem fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Ein Bildschirmfoto wird nicht übermittelt.

Anfragen bearbeiten wir in unserem Ticketsystem VentionDesk (Server in Frankfurt am Main); von dort erhältst du auch die Eingangsbestätigung. Ist es nicht erreichbar, geht deine Nachricht stattdessen per E-Mail an uns. Für den Versand von E-Mails setzen wir den Dienstleister Resend, Inc. (USA) als Auftragsverarbeiter ein. Die Begleitdaten (Seite, Fensterbreite) löschen wir nach 90 Tagen; die Anfrage selbst, sobald sie abschließend bearbeitet ist und keine Aufbewahrungspflichten oder offenen Ansprüche entgegenstehen, spätestens mit Ablauf der regelmäßigen Verjährungsfrist (drei Jahre ab Ende des Jahres der Anfrage). Bitte schick uns über diese Wege keine Gesundheitsdaten oder andere besonders schützenswerte Daten.

Meldet Resend, dass eine E-Mail an eine Adresse nicht zustellbar war oder als Spam gemeldet wurde, setzen wir diese Adresse auf eine Sperrliste (Adresse, Grund, Zeitpunkt) und schicken ihr keine weiteren E-Mails. Das schützt dich vor unerwünschter Post und uns davor, als Spam-Absender eingestuft zu werden (Art. 6 Abs. 1 lit. f DSGVO). Der Eintrag wird nach 24 Monaten automatisch gelöscht.

Zur Bereitstellung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein: Vercel (Hosting Frontend), Render (Hosting Backend), Supabase (Konto/Datenbank), OpenRouter samt den in Abschnitt 4 genannten Modellbetreibern (KI-Auswertung), Komoot und die OpenStreetMap Foundation (Adress-Suche), VentionDesk (Bearbeitung von Anfragen), Resend (E-Mail-Versand), Sentry (Fehlerüberwachung), Cloudflare (Bot-Schutz und Namensauflösung) und Google (Anmeldung). Dabei können Daten auch in Drittländern wie den USA verarbeitet werden; Grundlage sind – soweit erforderlich – Standardvertragsklauseln der EU-Kommission.

Google AdSense steht bewusst nicht in dieser Aufzählung: Google handelt bei der Werbung nicht in unserem Auftrag, sondern über die Zwecke der Verarbeitung mit. Grundlage ist dort deine Einwilligung und kein Auftragsverarbeitungsvertrag – die Einzelheiten stehen in Abschnitt 10.

Personenbezogene Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Analysedaten speichern wir, bis du sie löschst; Kontodaten, bis du dein Konto löschst (unter „Konto & Daten" jederzeit selbst möglich). Das Aktivitätsprotokoll löschen wir nach 12 Monaten, Einträge der E-Mail-Sperrliste nach 24 Monaten, Fehlermeldungen bei Sentry nach höchstens 90 Tagen. Kontaktanfragen und Problem-Meldungen löschen wir wie in Abschnitt 11 beschrieben. Server-Logfiles werden regelmäßig gelöscht.

Dir stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung genügt eine formlose Nachricht an [email protected].

Unbeschadet anderer Rechtsbehelfe hast du das Recht, dich bei einer Datenschutz- Aufsichtsbehörde zu beschweren. Zuständig ist: Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen.

Wir passen diese Datenschutzerklärung an, sobald Änderungen an unseren Verarbeitungen dies erforderlich machen. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.