Datenschutzhinweise

1. Verantwortlicher und Kontakt

Datenschutzanfragen können an die genannte E-Mail-Adresse gerichtet werden.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Website und App, zur Durchführung des Nutzungsvertrags, zur Abrechnung, zur Sicherheit oder zur Erfüllung gesetzlicher Pflichten erforderlich ist. Rechtsgrundlagen sind je nach Zweck Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen), lit. c DSGVO (rechtliche Pflichten), lit. f DSGVO (berechtigte Interessen an sicherem und wirtschaftlichem Betrieb) oder – sofern ausdrücklich eingeholt – lit. a DSGVO (Einwilligung).

3. Hosting und Bereitstellung

Website und Anwendung werden über die Lovable-Infrastruktur bereitgestellt. Das Lovable Cloud Backend übernimmt Authentifizierung, Datenbankzugriffe und privaten Dateispeicher. Beim Aufruf fallen technisch erforderliche Verbindungsdaten an, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-/Geräteinformationen und Fehlerdaten. Die Verarbeitung dient der Auslieferung, Stabilität und Abwehr von Missbrauch (Art. 6 Abs. 1 lit. b und f DSGVO).

4. Registrierung, Benutzerkonto und Authentifizierung

Für ein Konto verarbeiten wir insbesondere E-Mail-Adresse, Name, Authentifizierungs- und Sitzungsdaten sowie Angaben zur Organisationszugehörigkeit. Diese Daten werden benötigt, um Konten anzulegen, Anmeldungen abzusichern und Berechtigungen durchzusetzen (Art. 6 Abs. 1 lit. b DSGVO). Sicherheitsrelevante Sitzungsinformationen werden im Browser gespeichert; Einzelheiten stehen unter „Lokale Speicherung“.

5. Organisationen, Mandanten und Objektdaten

Im Workspace verarbeiten wir Organisations-, Mitgliedschafts-, Rollen- und Einladungsdaten sowie vom Nutzer angelegte Immobilien- und Projektdaten. Dazu können Objektbezeichnungen, Adress- und Beschreibungsdaten, Ausstattungsangaben und Arbeitsstände gehören. Zugriffe werden nach Organisation und Rolle getrennt. Grundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Zugriffskontrolle und Missbrauchsprävention beruhen zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

6. Uploads, Medien und Metadaten

Der aktuelle Upload nimmt JPEG-, PNG- und WebP-Bilder entgegen. Das System kann außerdem erzeugte Bilder, Videos, Audio-, Untertitel- und Exportdateien verarbeiten. Dabei werden Dateiinhalte, Dateiname, Typ, Größe, Bildmaße und technische Metadaten verarbeitet. Bei JPEG-Dateien erkennt die Anwendung auch vorhandene EXIF-Angaben wie Kameramodell, Aufnahmezeitpunkt und das Vorhandensein von GPS-Daten. Originaldateien bleiben im privaten Speicher unverändert; Bearbeitungen werden als neue Versionen angelegt.

Nutzer sollten nur Medien hochladen, für die sie die erforderlichen Rechte besitzen, und unnötige personenbezogene Inhalte vermeiden. Die Verarbeitung erfolgt zur Ausführung der gewählten Produktfunktion (Art. 6 Abs. 1 lit. b DSGVO).

7. KI-gestützte Verarbeitung

KI-Funktionen werden nur auf eine Nutzeraktion hin ausgeführt. Je nach gewählter Funktion können Medien, Masken, Texte und technische Auftragsdaten an angebundene Dienste übertragen werden:

• fal.ai für Bildverbesserung, Retusche, virtuelle Möblierung, Visualisierungen und Bild-zu-Video-Funktionen;
• ElevenLabs für optionale Sprachsynthese; dabei wird der zu sprechende Text übertragen;
• Lovable AI Gateway für textbasierte KI-Funktionen.

Nicht verbundene Dienste werden nicht aufgerufen. Die Verarbeitung dient der angeforderten Leistung (Art. 6 Abs. 1 lit. b DSGVO). Soweit Anbieter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, gelten zusätzlich die Anforderungen der Art. 44 ff. DSGVO; die jeweils eingesetzten Garantien richten sich nach der konkreten Anbieter- und Vertragskonfiguration.

8. Video- und Render-Verarbeitung

Wird eine Render- oder Vertonungsfunktion genutzt und ist ein Render-Worker verbunden, erhält dieser die für den Auftrag benötigten Medien über zeitlich begrenzte Zugriffsadressen sowie ein technisches Render-Manifest. Er erstellt daraus Video- oder Audiodateien und stellt das Ergebnis zur Rückspeicherung bereit. Die Verarbeitung erfolgt zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Ohne verbundenen Render-Worker findet diese externe Verarbeitung nicht statt.

9. System-E-Mails über Resend

Für app-generierte Transaktionsmails, derzeit insbesondere Team-Einladungen, nutzen wir Resend. Dabei werden Empfängeradresse, Betreff, Nachrichteninhalt und technische Versandinformationen verarbeitet. Versandstatus, maskierter Empfänger, eine gehashte Zuordnung, Provider-ID und ein gekürzter Fehlerhinweis können protokolliert werden; Zugangsschlüssel und vollständige Rohdaten werden nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Sicherheits- und Zustellnachweisen zusätzlich lit. f DSGVO. E-Mails des Anmeldesystems können technisch getrennt über dessen vorhandenen Versandmechanismus laufen.

10. Zahlungsabwicklung über Stripe

Für freigeschaltete Käufe wird Stripe eingesetzt. Beim Start eines Bezahlvorgangs werden insbesondere Organisations- und Paketbezug, Betrag, Währung, Steuerangaben sowie technische Vorgangskennungen verarbeitet; Zahlungs- und Abrechnungsangaben werden im Stripe-Bezahlprozess erhoben. Stripe übermittelt Statusereignisse zu Zahlung, Erstattung oder Streitfällen an die Anwendung. Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Erfüllung handels- und steuerrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Ist der Kauf technisch nicht freigegeben, wird kein Bezahlvorgang gestartet.

11. Protokolle, Audit-Logs und Sicherheit

Zur Fehleranalyse, Nachvollziehbarkeit sicherheits- oder organisationsrelevanter Aktionen und Abwehr von Missbrauch verarbeiten wir technische Protokoll- und Auditdaten. Dazu können Nutzer- und Organisationsbezug, Aktion, Zeitpunkt, Status, technische Kennungen und gekürzte Fehlermeldungen gehören. Personenbezogene Inhalte werden nicht gezielt in unnötige Protokolle geschrieben. Grundlage sind Art. 6 Abs. 1 lit. b und f DSGVO.

12. Lokale Speicherung, notwendige Cookies und PWA

Die Anwendung speichert technisch erforderliche Sitzungsdaten und die zuletzt ausgewählte Organisation im lokalen Browserspeicher. Der Sitzungsspeicher merkt sich bei der Anmeldung kurzfristig das vorgesehene Weiterleitungsziel. Der Service Worker der installierbaren Web-App legt ausschließlich statische App-Dateien und eine Offline-Seite im Browser-Cache ab; API-Aufrufe, Authentifizierung und Medien werden nicht offline zwischengespeichert. Diese Funktionen sind für Anmeldung, Navigation und Bereitstellung erforderlich (Art. 6 Abs. 1 lit. b und f DSGVO). Die Speicher lassen sich über die Browser- beziehungsweise Geräteeinstellungen löschen; dadurch kann eine erneute Anmeldung nötig werden.

13. Google Fonts und Search Console

Zur Darstellung der Schriften „Space Grotesk“ und „DM Sans“ werden Dateien derzeit von Google Fonts über fonts.googleapis.com und fonts.gstatic.com geladen. Dabei wird technisch bedingt insbesondere die IP-Adresse des abrufenden Geräts an Google übermittelt. Die Einbindung dient einer einheitlichen, performanten Darstellung auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO).

Im Seitenkopf befindet sich außerdem ein Verifizierungs-Meta-Tag für die Google Search Console. Dieses statische Tag bestätigt lediglich die Verfügungsberechtigung über die Website; es setzt für sich allein keine Cookies und führt kein Besucherverhalten-Tracking aus.

14. Analyse und Marketing-Tracking

Im aktuellen Stand sind keine Analyse- oder Marketing-Tracking-Dienste wie Google Analytics, Meta Pixel oder Matomo in die Website eingebunden.

15. Empfänger und internationale Verarbeitung

Daten erhalten nur Stellen, die sie für Betrieb und gewählte Funktionen benötigen. Dazu gehören die oben beschriebenen Hosting-, Cloud-, KI-, E-Mail-, Zahlungs- und gegebenenfalls Render-Dienstleister sowie intern berechtigte Personen. Eine pauschale Weitergabe findet nicht statt; einzelne Übermittlungen richten sich nach der genutzten Funktion. Bei Anbietern oder Unterauftragnehmern außerhalb des Europäischen Wirtschaftsraums kann eine Drittlandverarbeitung stattfinden. Die konkrete Rechtsgrundlage und geeignete Garantie nach Art. 44 ff. DSGVO richtet sich nach dem jeweils geltenden Anbieter- und Vertragsstatus.

16. Speicherdauer

Daten werden so lange gespeichert, wie sie für das Benutzerkonto, die Organisation, laufende Aufträge und die vereinbarten Leistungen benötigt werden. Nach Löschung eines Kontos oder Wegfall des Zwecks werden Daten gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten, offenen Abrechnungsfälle, Rechtsansprüche oder Sicherheitsgründe entgegenstehen. Handels- und steuerrechtlich relevante Zahlungsunterlagen werden entsprechend den gesetzlichen Pflichten aufbewahrt. Für technische Protokolle, Audit- und Versandnachweise gelten zweckbezogene Löschfristen; im Projekt ist derzeit keine einheitliche feste Frist hinterlegt.

17. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO und
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen nach Art. 21 DSGVO.

Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren. Zur Ausübung der Rechte genügt eine Nachricht an info@vermarktbar.app.

18. Bereitstellung von Daten

Pflichtangaben für Konto, Organisation und Bezahlvorgang sind erforderlich, um die jeweilige Leistung anzubieten oder gesetzliche Pflichten zu erfüllen. Ohne diese Angaben können Konto-, Zusammenarbeits- oder Zahlungsfunktionen nicht beziehungsweise nicht vollständig genutzt werden. Optionale Inhalte und KI-Funktionen müssen nicht bereitgestellt oder genutzt werden.

19. Automatisierte Entscheidungen und Profiling

Automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung und Profiling im Sinne von Art. 22 DSGVO werden nicht eingesetzt. KI-Funktionen erzeugen oder bearbeiten Inhalte auf Nutzeranfrage; sie treffen keine solchen Entscheidungen über Personen.