Datenschutzerklärung

1Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung auf investorscout.io ist die Capiltree GmbH, Beuerbacher Landstr. 8b, 65520 Bad Camberg, Deutschland, vertreten durch den Geschäftsführer Jan Hendrik Trost. E-Mail: E-Mail-Adresse anzeigen.

Für alle Fragen zum Datenschutz, für Auskunfts-, Berichtigungs-, Lösch- und Widerspruchsverlangen erreichen Sie uns unter E-Mail-Adresse anzeigen oder postalisch unter der genannten Anschrift. Ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen; Ansprechpartner ist die Geschäftsführung.

2Worum es auf der Plattform geht

investorscout.io bringt Anbieter von Immobilien (Eigentümer, Verkäufer, Makler, Vermittler) mit Immobilieninvestoren zusammen. Investoren führen Ankaufsprofile, die beschreiben, welche Objekte sie suchen. Anbieter durchsuchen diese Profile, stellen Investoren Objekte vor (Objektvorstellungen) oder senden ihnen Kontaktanfragen. Ein Teil der Unternehmens- und Ankaufsprofile wird von uns aus öffentlich zugänglichen Quellen angelegt („redaktionelle Profile“, Abschnitt 6). Diese Erklärung beschreibt, welche personenbezogenen Daten dabei verarbeitet werden, wozu, auf welcher Rechtsgrundlage, wie lange und an wen sie gehen.

3Besuch der Website

3.1 Hosting und Server-Logfiles

Zweck:

Bereitstellung der Website, IT-Sicherheit, Fehleranalyse, Abwehr von Angriffen und automatisiertem Auslesen

Daten:

IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem, Statuscode, übertragene Datenmenge

Empfänger:

Raidboxes GmbH, Hafenstraße 32, 48153 Münster (Hosting, Serverstandort Deutschland, Auftragsverarbeiter); Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Netzwerk, DNS und Schutzdienste, Auftragsverarbeiter, siehe 3.9); IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (Domainregistrierung)

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren und stabilen Betrieb; für technisch notwendige Speicherzugriffe § 25 Abs. 2 TDDDG

Speicherdauer:

Logfiles bis zu 30 Tage, bei Sicherheitsvorfällen bis zur Aufklärung

3.2 Cookies und Einwilligungsverwaltung (CookieYes)

Zweck:

Einholung, Speicherung und Nachweis Ihrer Einwilligung in optionale Cookies und Dienste; technisch notwendige Cookies für Sitzung, Login und Einwilligungsstatus

Empfänger:

CookieYes Limited, 3 Warren Yard, Warren Park, Wolverton Mill, Milton Keynes MK12 5NW, Vereinigtes Königreich (Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich)

Rechtsgrundlage:

Notwendige Cookies: § 25 Abs. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO; Nachweis der Einwilligung: Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO

Speicherdauer:

Einwilligungsstatus bis zu zwölf Monate im Browser; Nachweis bis zu drei Jahre

Hinweis:

Optionale Dienste (Abschnitte 3.3 bis 3.5) werden erst nach Ihrer Einwilligung geladen. Sie können Ihre Auswahl jederzeit über „Cookie-Einstellungen“ am Seitenende ändern oder widerrufen.

3.3 Reichweitenmessung (Google Analytics 4)

Zweck:

Statistische Auswertung der Nutzung, Optimierung der Website

Daten:

Seitenaufrufe, Ereignisse, Geräte- und Browserinformationen, ungefährer Standort, pseudonyme Client- und Sitzungs-IDs; IP-Adressen werden von Google Analytics 4 nicht gespeichert

Empfänger:

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Übermittlungen an Google LLC (USA) auf Grundlage des EU-US Data Privacy Framework

Rechtsgrundlage:

Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; jederzeit widerrufbar über die Cookie-Einstellungen

Speicherdauer:

Ereignisdaten 14 Monate

3.4 Nutzungsanalyse und Sitzungsaufzeichnung (Microsoft Clarity)

Zweck:

Verständnis der Nutzung der Website durch Heatmaps und anonymisierte Sitzungsaufzeichnungen (Mausbewegungen, Klicks, Scrollen), Erkennung von Bedienproblemen

Daten:

Nutzungs- und Interaktionsdaten, Geräte- und Browserinformationen, pseudonyme IDs; Eingaben in Formularfelder werden von Clarity standardmäßig maskiert

Empfänger:

Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, als eigenständig Verantwortlicher (kein Auftragsverarbeiter); Übermittlungen an Microsoft Corporation (USA) auf Grundlage des EU-US Data Privacy Framework

Rechtsgrundlage:

Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; jederzeit widerrufbar über die Cookie-Einstellungen

Speicherdauer:

Sitzungsaufzeichnungen bis zu 30 Tage, aggregierte Daten bis zu 13 Monate

3.5 HubSpot-Tracking, Formulare und Chat

Zweck:

Zuordnung von Website-Besuchen zu Kontakten, die bereits mit uns in Verbindung stehen; Betrieb von Formularen und Chat-Funktionen; Auswertung unserer Kommunikation

Daten:

Pseudonyme Besucher-ID, aufgerufene Seiten, Zeitpunkt; bei Formularen oder Chat die eingegebenen Angaben

Empfänger:

HubSpot Ireland Ltd., 1 Sir John Rogerson’s Quay, Dublin 2, Irland (Rechenzentrum EU); HubSpot Inc. (USA) auf Grundlage des EU-US Data Privacy Framework

Rechtsgrundlage:

Tracking-Cookie: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; Formulare und Chat: Art. 6 Abs. 1 lit. b oder f DSGVO

Speicherdauer:

Tracking-Daten bis zu 13 Monate; Kontaktdaten nach Abschnitt 9

3.6 Schutz der Formulare (Google reCAPTCHA)

Zweck:

Unterscheidung zwischen Menschen und automatisierten Programmen auf den Formularen für Objektvorstellungen, Kontaktanfragen, Profilübernahme und Kontakt; Schutz vor Spam und Missbrauch

Daten:

IP-Adresse, Verhalten auf der Seite (Mausbewegungen, Verweildauer), Browser- und Geräteinformationen, ggf. Google-Cookies

Empfänger:

Google Ireland Limited als Auftragsverarbeiter (seit 02.04.2026); Übermittlungen an Google LLC (USA) auf Grundlage des EU-US Data Privacy Framework

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am Schutz der Formulare; soweit reCAPTCHA auf Endgeräteinformationen zugreift, Ihre Einwilligung nach § 25 Abs. 1 TDDDG über die Cookie-Einstellungen

3.7 Aufrufzähler für Ankaufsprofile (ohne Cookies)

Zweck:

Zählen, wie oft ein Ankaufsprofil aufgerufen wird, um Investoren die Reichweite ihres Profils zu zeigen und die Plattform zu verbessern

Daten:

Beim Aufruf eines Ankaufsprofils bilden wir auf unserem Server aus IP-Adresse, Browserkennung, dem Tagesdatum und einem geheimen Schlüssel einen gekürzten Prüfwert (Hash). Er dient nur dazu, mehrere Aufrufe desselben Besuchers am selben Tag einmal zu zählen. IP-Adresse und Browserkennung werden dafür nicht gespeichert und lassen sich aus dem Prüfwert nicht zurückrechnen. Gespeichert wird allein die Zahl der Aufrufe je Profil (insgesamt und je Monat). Aufrufe erkennbarer Suchmaschinen und Programme sowie eigene Aufrufe angemeldeter Profilinhaber werden nicht gezählt. Ruft ein Besucher an einem Tag mehr als 60 verschiedene Ankaufsprofile auf, zählen wir die weiteren Aufrufe nicht; dafür wird derselbe Prüfwert verwendet und ebenfalls nach 24 Stunden gelöscht.

Endgerät:

Es werden keine Cookies gesetzt und keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen.

Empfänger:

Keine; die Verarbeitung erfolgt auf unserem Server bei Raidboxes (Abschnitt 3.1)

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse, Investoren die Reichweite ihrer Ankaufsprofile nachzuweisen und die Plattform zu verbessern

Speicherdauer:

Prüfwert 24 Stunden; die Aufrufzahlen je Profil enthalten keine personenbezogenen Daten

Widerspruch:

Sie können dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO, Abschnitt 16).

3.8 Reichweiten- und Nutzungsstatistik der Plattform (ohne Cookies)

Zweck:

Statistik darüber, wie Besucher auf die Plattform kommen, welchen Weg sie über die Seiten nehmen und wie Ankaufsprofile und Unternehmen gefunden und genutzt werden – Herkunft und Einstiegsseite eines Besuchs, Seitenwechsel, Einblendungen in Trefferlisten mit Listenplatz, Klicks, Aufrufe von Profilen und Unternehmensseiten, das Öffnen der Formulare für Objektvorstellung und Kontakt sowie die genutzten Such- und Filterangaben mit der Zahl der Treffer –, um Investoren die Reichweite ihrer Profile zu zeigen und die Plattform und ihr Angebot zu verbessern. Bei angemeldeten Nutzern zusätzlich ein Protokoll der Nutzung und der Änderungen im Konto (z. B. Anmeldungen, angelegte oder geänderte Profile, Gespräche) für einen nachvollziehbaren und sicheren Betrieb sowie ein Protokoll versandter System-E-Mails und der Zahlungseingänge zu Käufen.

Daten:

Bei Besuchern ohne Anmeldung: aufgerufener Seitenpfad und Seitentyp, die vorherige Seite auf unserer Plattform oder – beim Einstieg – nur die Art der Herkunft (Suchmaschine, KI-Assistent, soziales Netzwerk, E-Mail, andere Website oder direkter Aufruf; eine in der Adresse enthaltene Kampagnenangabe wie utm_source nutzen wir nur für diese Einordnung und speichern sie nicht), Kennungen der angezeigten bzw. angeklickten Profile, Listenplatz, Such- und Filterangaben (z. B. Assetklasse, Ort, Kaufpreisspanne, Suchbegriff) mit Trefferzahl und Einstiegsseite und eine zufällige Kennung, die nur für den einzelnen Seitenaufruf erzeugt und nicht auf Ihrem Gerät gespeichert wird. Die vollständige Adresse der Herkunftsseite speichern wir nicht. Zur Begrenzung von Missbrauch, damit dieselbe Suche oder derselbe Aufruf nicht mehrfach gezählt wird und um automatisierte Abrufe auszuschließen, bilden wir auf unserem Server aus IP-Adresse, Browserkennung und Datum bzw. Uhrzeit gekürzte Prüfwerte (Hash), die höchstens 24 Stunden vorgehalten werden; die IP-Adresse selbst wird nicht gespeichert. Werden unter einem Prüfwert an einem Tag mehr als 60 verschiedene Profile oder Unternehmensseiten aufgerufen, zählen wir die weiteren Aufrufe nicht. Bei angemeldeten Nutzern werden diese Vorgänge mit der Kennung Ihres Kontos verknüpft. Zu Käufen übernehmen wir von unserem Zahlungsdienstleister Stripe Rechnungsnummer, Betrag, Steueranteil und Produkt. Im E-Mail-Protokoll: Empfängeradresse, Zeitpunkt, Art der Nachricht und Zustellstatus, nicht der Inhalt.

Endgerät:

Es werden keine Cookies gesetzt und keine Informationen auf Ihrem Endgerät gespeichert. Ein Skript übermittelt die Angaben beim Aufruf der Seite, während des Besuchs in kurzen Abständen und beim Verlassen an unseren Server. Die Angabe zur vorherigen Seite ist dieselbe, die Ihr Browser bei jedem Seitenaufruf ohnehin mitsendet.

Empfänger:

Keine; die Verarbeitung erfolgt auf unserem Server bei unserem Hoster (siehe 3.1)

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Auswertung und Darstellung der Reichweite sowie an einem sicheren, nachvollziehbaren Betrieb der Plattform; bei registrierten Nutzern, soweit für die Leistungen der Plattform erforderlich, Art. 6 Abs. 1 lit. b DSGVO

Speicherdauer:

Zusammengefasste Zahlen ohne Personenbezug unbefristet. Kontobezogene Einträge und das E-Mail-Protokoll bis zur Löschung Ihres Kontos bzw. – bei Empfängern ohne Konto – bis zu Ihrem Widerspruch; danach wird der Personenbezug entfernt, die zusammengefassten Zahlen bleiben erhalten.

Widerspruch:

Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), z. B. per E-Mail an die in Abschnitt 1 genannte Adresse.

3.9 Schutz vor Angriffen und automatisiertem Auslesen (Cloudflare, Abrufkontingent)

Zweck:

Schutz der Plattform und ihrer Datenbank vor Angriffen, Überlastung und automatisiertem Auslesen; Unterscheidung zwischen Menschen und Programmen

Daten:

Bei jedem Aufruf verarbeitet Cloudflare IP-Adresse, aufgerufene Adresse, Zeitpunkt, Browserkennung und technische Merkmale von Browser und Verbindung. Wird eine Prüfung angezeigt (Cloudflare Turnstile), kommen Signale aus dem Browser hinzu, die zur Unterscheidung zwischen Mensch und Programm dienen. Beim Öffnen eines persönlichen Gesprächslinks (Abschnitt 7.1) findet diese Prüfung immer statt. Auf unserem Server zählen wir die Aufrufe von Ankaufsprofil-, Unternehmens- und Mitarbeiterseiten je Internetanschluss und Tag bzw. Minute unter einem gekürzten Prüfwert (Hash); die IP-Adresse selbst wird dafür nicht gespeichert. Bei Überschreiten der Grenzen sowie beim Aufruf von Kontrollseiten, die Besuchern nicht angezeigt werden, speichern wir gekürzte IP-Adresse (IPv4 ohne letzte Stelle, IPv6 auf das /64-Netz gekürzt), Prüfwert, Zeitpunkt, aufgerufene Seite, Browserkennung, eine Kontrollkennung und – bei angemeldeten Nutzern – die Kennung des Kontos.

Ablauf:

Wer an einem Tag sehr viele Profile aufruft oder eine Kontrollseite aufgerufen hat, wird um eine kurze Bestätigung gebeten. Bei einer sehr hohen Zahl von Abrufen sperren wir den Zugriff vorübergehend für bis zu 24 Stunden. Angemeldete Nutzer und erkannte Suchmaschinen sind von den Grenzen ausgenommen.

Endgerät:

Nach bestandener Bestätigung setzen wir ein technisch notwendiges Cookie (iszs_kt_ok, bis zu 24 Stunden). Cloudflare kann technisch notwendige Cookies zur Erkennung automatisierter Zugriffe setzen (__cf_bm, 30 Minuten; cf_clearance nach einer Prüfung).

Empfänger:

Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Auftragsverarbeiter); Übermittlung auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren Betrieb, am Schutz unserer Datenbank vor unberechtigter Entnahme (§§ 87a ff. UrhG) und an der Durchsetzung unserer Rechte; für die Cookies § 25 Abs. 2 Nr. 2 TDDDG

Speicherdauer:

Zähler bis zu 48 Stunden; Protokoll über Grenzüberschreitungen 14 Tage; Protokoll über Aufrufe von Kontrollseiten 90 Tage, bei Verdacht auf eine Rechtsverletzung bis zur Klärung

Widerspruch:

Sie können der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO, Abschnitt 16).

4Registrierung, Nutzerkonto, Freischaltung

Zweck:

Anlage und Verwaltung Ihres Nutzerkontos, Bestätigung der E-Mail-Adresse (Double-Opt-in), Prüfung und Freischaltung nach unseren AGB, Authentifizierung, Nachweis der Zustimmung zu AGB und Datenschutzerklärung

Daten:

Name, E-Mail-Adresse, Passwort (verschlüsselt), Unternehmen, Rolle (Investor oder Anbieter), Telefonnummer und Anschrift soweit angegeben, Zeitpunkt und IP-Adresse der Registrierung und Bestätigung, akzeptierte AGB-Fassung, Login-Protokolle

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag); Prüfung und Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO; Nachweis der Zustimmung Art. 6 Abs. 1 lit. c i. V. m. Art. 7 DSGVO

Speicherdauer:

Für die Dauer des Nutzungsvertrags; nach Kontolöschung werden die Daten gelöscht, Nachweise der Zustimmung und Vertragsdaten bis zum Ablauf der gesetzlichen Verjährungsfristen (drei Jahre zum Jahresende) aufbewahrt. Registrierungen, die nicht innerhalb von sieben Tagen bestätigt werden, löschen wir automatisch.

Investoren können Mitarbeiterkonten unter ihrem Unternehmensprofil anlegen. Die Daten der Mitarbeiter (Name, Position, E-Mail, ggf. Foto) werden vom Unternehmen eingegeben; das Unternehmen ist dafür verantwortlich, dass die Mitarbeiter hierüber informiert sind.

5Ankaufs- und Unternehmensprofile registrierter Investoren

Zweck:

Darstellung des Unternehmens und seiner Ankaufskriterien gegenüber Anbietern, Such- und Filterfunktionen, Zuordnung von Objektvorstellungen und Kontaktanfragen

Daten:

Unternehmensdaten, Logo, Beschreibung, Ankaufskriterien, Ansprechpartner mit Name, Position, geschäftlichen Kontaktdaten und ggf. Foto

Sichtbarkeit:

Ankaufsprofile sind mit Kurz- und Detailansicht für alle Besucher sichtbar und für Suchmaschinen und KI-Systeme indexierbar; die Kontaktmöglichkeit über Objektvorstellungen und Kontaktanfragen sehen nur registrierte und freigeschaltete Nutzer. Das Unternehmen kann einzelne Profile in seinem Konto pausieren und damit der öffentlichen Sichtbarkeit widersprechen.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag); für die Daten genannter Ansprechpartner Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse des Unternehmens und der Anbieter an einer direkten Kontaktaufnahme

Speicherdauer:

Solange das Profil veröffentlicht ist bzw. bis zur Löschung durch den Investor oder Vertragsende

6Redaktionelle Profile aus öffentlich zugänglichen Quellen (Information nach Art. 14 DSGVO)

Wir legen Unternehmens- und Ankaufsprofile von Immobilieninvestoren auch dann an, wenn sich das Unternehmen nicht selbst registriert hat. Grundlage sind ausschließlich öffentlich zugängliche Informationen. Diese Profile sind auf der Plattform als redaktionell gekennzeichnet.

Quellen:

Unternehmenswebsites, dort veröffentlichte Ankaufsprofile und Pressemitteilungen, Fachmedien, Handelsregister, berufliche Netzwerke (LinkedIn, Xing) sowie die Firmendatenbank des Anbieters lemlist (Abschnitt 6, Empfänger), aus der wir Firmendaten und geschäftliche Ansprechpartner beziehen

Datenkategorien:

Unternehmensdaten (Name, Anschrift, Website, zentrale E-Mail-Adresse und Telefonnummer, Investorentyp, Assetklassen, Ankaufskriterien, Transaktions- und Portfoliovolumen), Quellenangaben; zu Ansprechpartnern: Name, Position, geschäftliche E-Mail-Adresse und Telefonnummer, Profil-URL bei LinkedIn oder Xing

Zwecke:

Aufbau und Betrieb der Investorendatenbank, Markttransparenz, Ermöglichung der Kontaktaufnahme durch Anbieter zu konkreten Objekten, Information des Investors über eingegangene Objektvorstellungen und Kontaktanfragen, Einladung zur Übernahme des Profils

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Betrieb einer Plattform, die Angebot und Nachfrage im gewerblichen Immobilienmarkt zusammenführt; das der Anbieter darin, passende Investoren zu finden; das der Investoren darin, Objektangebote zu erhalten. Verarbeitet werden nur geschäftliche Daten, die die Betroffenen selbst oder ihr Unternehmen öffentlich gemacht haben.

Technisches Konto:

Zur Zuordnung eines redaktionellen Profils legen wir einen Nutzerdatensatz mit der Unternehmens-E-Mail-Adresse an. Dieses Konto ist nicht aktiv; eine Anmeldung ist erst nach Übernahme des Profils und Vergabe eines eigenen Passworts durch Sie möglich.

Speicherdauer:

Solange das Profil geführt wird; wir aktualisieren redaktionelle Profile laufend und entfernen sie bei Wegfall der Quelle, bei Unrichtigkeit oder auf Ihren Widerspruch

Ihre Rechte: Sie können ein redaktionelles Profil, das Ihr Unternehmen betrifft, jederzeit kostenlos übernehmen (Formular „Profil beanspruchen“), berichtigen lassen oder seiner Führung widersprechen (Art. 21 DSGVO). Eine formlose E-Mail an E-Mail-Adresse anzeigen genügt. Wir entfernen das Profil dann unverzüglich, spätestens innerhalb von zehn Werktagen, sofern nicht zwingende schutzwürdige Gründe für die Verarbeitung überwiegen.

Anreicherung und Prüfung: Zur Vervollständigung und Prüfung von Unternehmens- und Ansprechpartnerdaten nutzen wir die Datenbank und Prüfdienste von lemlist SAS, 61 rue de Lyon, 75012 Paris, Frankreich, sowie KI-gestützte Werkzeuge (Abschnitt 11), die öffentlich zugängliche Texte – etwa veröffentlichte Ankaufsprofile – strukturieren und in unsere Datenfelder übertragen. Über automatisierte Einzelentscheidungen im Sinne des Art. 22 DSGVO wird dabei nicht entschieden; jede Veröffentlichung wird redaktionell geprüft.

7Objektvorstellungen und Kontaktanfragen

Zweck:

Bereitstellung Ihrer Objektvorstellung oder Kontaktanfrage für den ausgewählten Investor in dessen Konto, Benachrichtigung des Investors über den Eingang, Nachverfolgung des Bearbeitungsstands, Erkennung von Missbrauch, Information beider Seiten über den Stand

Daten:

Name, Unternehmen, E-Mail-Adresse, Telefonnummer, Nachrichteninhalt, bei Objektvorstellungen mit Objektangaben und gegebenenfalls Exposé, weiteren Dateien und Fotos, Zeitpunkt, ausgewähltes Ankaufs- oder Unternehmensprofil

Empfänger:

Der ausgewählte Investor. Die Benachrichtigung über den Eingang einer Objektvorstellung enthält nur die Eckdaten des Objekts; Ihre Kontaktdaten und Ihren Nachrichtentext erhält der Investor, sobald sie für ihn freigegeben sind – je nach gebuchtem Leistungsumfang sofort oder nach Freischaltung der Nachricht. Ist der Investor noch nicht registriert (redaktionelles Profil), informieren wir ihn per E-Mail oder telefonisch über die eingegangene Nachricht; mit der E-Mail erhält er einen persönlichen Gesprächslink, über den er die Nachricht ohne Registrierung lesen und beantworten kann (Abschnitt 7.1). Er sieht dabei dieselben Angaben wie in einem Konto. An andere Investoren oder sonstige Dritte geben wir Objektvorstellungen und Kontaktanfragen nicht weiter. Zur Bearbeitung nutzen wir HubSpot (Abschnitt 9) und unseren E-Mail-Dienst (Abschnitt 8).

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag und Kontaktanbahnung auf Ihren Wunsch); Missbrauchsprüfung und Statusinformationen Art. 6 Abs. 1 lit. f DSGVO

Speicherdauer:

Drei Jahre ab Eingang der Nachricht, danach Löschung; der Investor ist für die weitere Verarbeitung der ihm übermittelten Daten selbst verantwortlich

Fotos und Dateien:

Wenn Sie Fotos oder Dateien zu einem Objekt hochladen (Exposé und weitere Unterlagen, etwa Mieterlisten oder Grundrisse), verarbeiten wir sie zur Vorstellung des Objekts bei Investoren (Art. 6 Abs. 1 lit. b DSGVO). Bei Fotos entfernen wir beim Hochladen alle eingebetteten Metadaten, insbesondere Standort- (GPS) und Kameradaten, und speichern nur verkleinerte Fassungen; das Originalfoto wird nicht gespeichert. Fotos und Dateien liegen in einem geschützten Bereich unseres Servers und sind nicht öffentlich abrufbar. Sehen können sie nur Sie, unsere Verwaltung und Investoren, denen Sie das Objekt vorgestellt haben, nach der Freischaltung des Kontakts. Enthalten Fotos oder Dateien Angaben zu anderen Personen (etwa abgebildete Personen, Kfz-Kennzeichen, Klingelschilder oder Mieterdaten), sind Sie dafür verantwortlich, dass Sie diese weitergeben dürfen. Wir löschen Fotos und Dateien, wenn Sie sie entfernen oder das Objekt endgültig löschen; Fotos und Dateien, die noch keinem Objekt zugeordnet wurden, nach spätestens 2 Tagen (bei Vorstellungen, die erst per E-Mail bestätigt werden, nach spätestens 30 Tagen). Im Exposé-Check können Sie die erste Seite Ihres Exposés als Titelbild übernehmen; dafür erzeugen wir ein Bild dieser Seite.

Endgerät:

Damit eine begonnene Objektvorstellung im Exposé-Check oder im Investor-Chat Ihrem Browser zugeordnet bleibt, setzen wir ein technisch notwendiges Cookie (is_xc_b, 30 Tage). Es enthält nur eine Zufallskennung, keine Angaben zu Ihrer Person, und wird nicht zu Analyse- oder Werbezwecken genutzt (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO).

7.1 Gesprächslink (Antworten ohne Anmeldung)

Zweck:

Mit Benachrichtigungen zu einem Gespräch (etwa einer neuen Nachricht oder Objektvorstellung) erhalten Investoren und Anbieter einen persönlichen Link. Er öffnet genau dieses eine Gespräch, damit der Empfänger es ohne Anmeldung lesen, Unterlagen ansehen und antworten kann. Vor dem Öffnen prüfen wir, ob der Link gültig ist und ob ein Mensch ihn aufruft (Cloudflare Turnstile, Abschnitt 3.9). Außerdem erfassen wir, wie die Links genutzt werden, um den Dienst zu betreiben, Missbrauch zu erkennen und die Plattform zu verbessern.

Daten:

Gespräch und Konto, für das der Link gilt; eine Prüfsumme des Links und der Empfängeradresse (der Link selbst und die Adresse werden dafür nicht gespeichert); Ausstellung, Gültigkeit, Sperre; Zeitpunkte der Schritte (Link verschickt, geöffnet, geprüft, Gespräch angesehen, Datei abgerufen, Nachricht gesendet) und die Geräteklasse (Mobilgerät oder Computer) – keine vollständige IP-Adresse und keine Browserkennung. Nachrichten und Dateien, die Sie über den Link senden, verarbeiten wir wie in Abschnitt 7 beschrieben.

Cookie:

Nach der Prüfung setzen wir das technisch notwendige Cookie is_g. Es ordnet Ihren Browser für 12 Stunden dem geprüften Gespräch zu, damit Sie nicht bei jedem Schritt erneut geprüft werden; es enthält keine Angaben zu Ihrer Person (§ 25 Abs. 2 Nr. 2 TDDDG).

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Gesprächs, Kontaktanbahnung); Prüfung, Missbrauchserkennung und Nutzungserfassung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionierenden Dienst)

Speicherdauer:

Links gelten 30 Tage; ihre Einträge löschen wir 90 Tage nach Ablauf. Die Nutzungsschritte speichern wir wie die übrigen Nutzungsdaten (Abschnitt 3.8): kontobezogen bis zur Löschung des Kontos, zusammengefasste Zahlen ohne Personenbezug unbefristet.

Hinweis:

Der Link ist persönlich. Bitte leiten Sie die E-Mail nicht weiter; wer den Link nutzt, handelt für das Konto, an das die E-Mail ging. Ein Link kann jederzeit gesperrt werden – schreiben Sie uns dazu an die in Abschnitt 1 genannte Adresse.

7.1a Anmelde-Link und Einrichten des Kontos

Zweck:

Konten, die schon einmal angemeldet waren, erhalten in Benachrichtigungen einen Link, der nach einer Sicherheitsprüfung (Cloudflare Turnstile, Abschnitt 3.9) ohne Passwort anmeldet und direkt zur genannten Stelle im Konto führt. Über einen Gesprächslink (Abschnitt 7.1) kann ein Konto eingerichtet werden, indem ein Passwort festgelegt und den AGB zugestimmt wird.

Daten:

Konto und Ziel des Links; eine Prüfsumme des Links und der Empfängeradresse (der Link selbst wird nicht gespeichert); Ausstellung, Gültigkeit, Sperre und Sperrgrund; Zeitpunkte der Schritte (Link verschickt, geöffnet, angemeldet, gesperrt) und die Geräteklasse (Mobilgerät oder Computer) – keine vollständige IP-Adresse und keine Browserkennung. Beim Einrichten: das Passwort (nur verschlüsselt), Zeitpunkt und Fassung der AGB-Zustimmung und gegebenenfalls die neue Anmeldeadresse.

Cookie:

Nach der Anmeldung setzt WordPress die technisch notwendigen Anmelde-Cookies für die Sitzung (bis zum Schließen des Browsers, höchstens 2 Tage; § 25 Abs. 2 Nr. 2 TDDDG).

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Kontos); Prüfung und Missbrauchserkennung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionierenden Dienst)

Speicherdauer:

Anmelde-Links gelten 14 Tage; ihre Einträge löschen wir 90 Tage nach Ablauf. Die Nutzungsschritte speichern wir wie die übrigen Nutzungsdaten (Abschnitt 3.8).

Hinweis:

Der Link ist persönlich. Bitte leiten Sie die E-Mail nicht weiter; wer den Link nutzt, ist in Ihrem Konto angemeldet. Ein neues Passwort macht alle Anmelde-Links ungültig; sperren lassen können Sie sie auch über die in Abschnitt 1 genannte Adresse.

8E-Mail-Kommunikation

8.1 Systemnachrichten

Zweck:

Bestätigung der Registrierung, Freischaltung, Information über eingegangene Objektvorstellungen und Kontaktanfragen, neue Nachrichten im Gespräch (mit persönlichem Gesprächslink, Abschnitt 7.1) und deren Stand, Erinnerungen an unbeantwortete Objektvorstellungen, Mitteilungen zu Konto, AGB, Mitgliedschaft, Guthaben und Sicherheit

Empfänger:

Automatische Nachrichten der Website versenden wir über SendLayer, LLC (USA) als Auftragsverarbeiter; persönliche Nachrichten über Google Workspace (Gmail) der Google Ireland Limited; Kopie der Nachricht im CRM HubSpot (Abschnitt 9)

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO

8.2 Informationen zu unseren Leistungen

Zweck:

Hinweise auf neue Funktionen und kostenpflichtige Leistungen der Plattform

Rechtsgrundlage:

Ihre Einwilligung bei der Registrierung (Art. 6 Abs. 1 lit. a DSGVO) oder – wenn Sie eine Mitgliedschaft oder Guthaben erworben haben – § 7 Abs. 3 UWG i. V. m. Art. 6 Abs. 1 lit. f DSGVO für Informationen zu eigenen ähnlichen Leistungen

Widerspruch:

Jederzeit über den Abmeldelink in jeder E-Mail oder per Nachricht an E-Mail-Adresse anzeigen; es entstehen keine anderen als die Übermittlungskosten nach den Basistarifen

8.3 Erstansprache von Investoren

Zweck:

Wir sprechen Immobilieninvestoren, für die wir ein redaktionelles Profil führen, per E-Mail, über berufliche Netzwerke oder telefonisch an, um sie über die Plattform, eingegangene Objektvorstellungen und die Übernahme ihres Profils zu informieren

Daten:

Geschäftliche Kontaktdaten des Ansprechpartners (Abschnitt 6), Verlauf der Ansprache, Reaktionen

Empfänger:

lemlist SAS (Versand und Verwaltung von Kampagnen), HubSpot (Protokollierung), Google Workspace (E-Mail)

Rechtsgrundlage:

Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Ansprache gewerblicher Marktteilnehmer, die ihr Ankaufsinteresse öffentlich gemacht haben; per E-Mail nur, soweit wettbewerbsrechtlich zulässig

Widerspruch:

Sie können der Ansprache jederzeit widersprechen (Art. 21 Abs. 2 DSGVO); wir nehmen Sie dann in eine Sperrliste auf, damit keine weitere Ansprache erfolgt

9Kundenverwaltung (HubSpot CRM)

Zweck:

Verwaltung unserer Kontakte zu Investoren, Anbietern und Interessenten, Protokollierung der Kommunikation, Zuordnung von Objektvorstellungen, Kontaktanfragen und Buchungen, Vermeidung doppelter Ansprache

Daten:

Unternehmens- und Kontaktdaten, Kommunikationsverlauf (E-Mails werden in Kopie an HubSpot übermittelt), Status auf der Plattform, Buchungen

Empfänger:

HubSpot Ireland Ltd. (Auftragsverarbeiter, Rechenzentrum EU); HubSpot Inc. (USA) im Rahmen des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO für registrierte Nutzer und Kunden; Art. 6 Abs. 1 lit. f DSGVO für Interessenten und redaktionell geführte Investoren

Speicherdauer:

Für die Dauer der Geschäftsbeziehung; Kontakte ohne Reaktion und ohne Vertrag löschen wir spätestens drei Jahre nach dem letzten Kontakt

10Kostenpflichtige Leistungen und Zahlungsabwicklung (Stripe)

Kostenpflichtige Leistungen – die Top-Platzierung und, sofern angeboten, die Mitgliedschaft für Investoren sowie Guthaben und Flat für Anbieter – bieten wir selbst an; Vertragspartner ist die Capiltree GmbH. Die Zahlungsabwicklung übernimmt Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland („Stripe“). Zahlungsdaten (Kartennummer, Kontoverbindung, PayPal-Konto) geben Sie ausschließlich auf den Bezahlseiten von Stripe ein; sie erreichen uns zu keinem Zeitpunkt.

Zweck:

Abwicklung der Zahlung, Rechnungsstellung, Verwaltung von Laufzeit und Verlängerung der Verträge (Top-Platzierung, Flat, Mitgliedschaft), Bereitstellung eines Kundenportals (Rechnungen, Zahlungsart, Kündigung), Betrugsprävention

Daten:

Name, Unternehmen, E-Mail-Adresse, Rechnungsadresse, Umsatzsteuer-Identifikationsnummer, gebuchte Leistung und Betrag, Zahlungs- und Abonnementstatus, Rechnungs- und Bestellkennungen, Zeitpunkt und IP-Adresse des Bestellvorgangs; Zahlungsdaten nur bei Stripe

Empfänger:

Stripe Payments Europe, Ltd., Dublin – als Auftragsverarbeiter für die Zahlungsabwicklung und Rechnungsstellung; für die Betrugsprävention und die Einhaltung eigener gesetzlicher Pflichten (etwa Geldwäscheprävention) ist Stripe eigenständig Verantwortlicher (Datenschutzerklärung von Stripe: https://stripe.com/de/privacy). Eine Übermittlung an Stripe, Inc. (USA) erfolgt auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrung), Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention)

Speicherdauer:

Rechnungen und Buchungsbelege acht Jahre nach Ablauf des Jahres der Buchung (§ 147 AO, § 257 HGB); Zustimmungen im Bestellvorgang (AGB, Beginn der Leistung vor Ablauf der Widerrufsfrist) drei Jahre nach Vertragsende

Verbrauch und Stand des Guthabens sowie der Status von Top-Platzierung, Flat und Mitgliedschaft werden Ihrem Nutzerkonto zugeordnet und im Dashboard angezeigt. Bestell- und Zahlungsbestätigungen senden wir per E-Mail (Abschnitt 8.1).

11KI-gestützte Werkzeuge

Für die Strukturierung öffentlich zugänglicher Investorendaten, die Qualitätsprüfung von Profilen, die Bearbeitung von Objektvorstellungen und Kontaktanfragen und die Vorbereitung unserer Kommunikation setzen wir KI-gestützte Werkzeuge der Anthropic PBC (USA, „Claude“) ein. Verarbeitet werden dabei Unternehmens- und geschäftliche Kontaktdaten sowie Inhalte von Objektvorstellungen und Kontaktanfragen.

Anthropic verarbeitet die eingegebenen Daten nach eigenen Nutzungs- und Datenschutzbedingungen als eigenständig Verantwortlicher; ein Auftragsverarbeitungsvertrag besteht nicht. Einzelheiten zur Verarbeitung durch Anthropic, auch zur Nutzung von Eingaben für die Verbesserung der Modelle, finden Sie in der Datenschutzerklärung von Anthropic (https://www.anthropic.com/legal/privacy). Wir geben nur die Daten ein, die für den jeweiligen Zweck erforderlich sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (effizienter Plattformbetrieb); Entscheidungen mit rechtlicher Wirkung werden nicht automatisiert getroffen.

12Kontakt, Support, Telefon

Zweck:

Bearbeitung Ihrer Anfragen per E-Mail, Kontaktformular oder Telefon; Terminvereinbarungen

Daten:

Kontaktdaten, Inhalt der Anfrage, Zeitpunkt

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (vertragliche oder vorvertragliche Anfragen), sonst Art. 6 Abs. 1 lit. f DSGVO

Speicherdauer:

Drei Jahre ab dem Ende des Jahres, in dem die Anfrage abgeschlossen wurde (regelmäßige Verjährungsfrist; Art. 6 Abs. 1 lit. f DSGVO – Abwehr und Durchsetzung von Ansprüchen). Über das Kontaktformular gesendete Anfragen speichern wir dafür in unserer Verwaltung und löschen sie danach automatisch.

13Empfänger und Auftragsverarbeiter im Überblick

• Raidboxes GmbH, Münster – Hosting (Auftragsverarbeiter, Deutschland)
• Cloudflare, Inc., San Francisco (USA) – Netzwerk, DNS, Schutz vor Angriffen und automatisiertem Auslesen, Turnstile (Auftragsverarbeiter)
• IONOS SE, Montabaur – Domainregistrierung
• CookieYes Limited, Milton Keynes (UK) – Einwilligungsverwaltung
• Google Ireland Limited, Dublin – Google Analytics 4, reCAPTCHA, Google Workspace (E-Mail) (Auftragsverarbeiter)
• Microsoft Ireland Operations Ltd., Dublin – Microsoft Clarity (eigenständig Verantwortlicher)
• HubSpot Ireland Ltd., Dublin – CRM, Formulare, Tracking
• lemlist SAS, Paris – Firmendatenbank, Anreicherung, Kampagnenversand
• Stripe Payments Europe, Ltd., Dublin – Zahlungsabwicklung, Rechnungsstellung, Kundenportal (Auftragsverarbeiter; für Betrugsprävention eigenständig Verantwortlicher)
• SendLayer, LLC (USA) – Versand der automatischen E-Mails der Website (Auftragsverarbeiter)
• Anthropic PBC, San Francisco (USA) – KI-gestützte Werkzeuge (eigenständig Verantwortlicher)
• Steuerberatung, Rechtsberatung, IT-Dienstleister für Wartung – soweit im Einzelfall erforderlich; Behörden und Gerichte im Rahmen gesetzlicher Pflichten

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Microsoft (Clarity), Anthropic sowie Stripe für Betrugsprävention und eigene gesetzliche Pflichten verarbeiten Daten als eigenständig Verantwortliche. Registrierte Nutzer erhalten Daten anderer Nutzer nur in dem in den Abschnitten 5 und 7 beschriebenen Umfang und sind für die weitere Verarbeitung selbst verantwortlich.

14Übermittlungen in Drittländer

Bei Cloudflare, Google, Microsoft, HubSpot, Stripe, SendLayer und Anthropic kann eine Übermittlung in die USA stattfinden. Cloudflare, Google, Microsoft, HubSpot und Stripe sind nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023); ergänzend gelten die EU-Standardvertragsklauseln. Für SendLayer gelten die EU-Standardvertragsklauseln aus dem Auftragsverarbeitungsvertrag. Anthropic verarbeitet die Daten als eigenständig Verantwortlicher nach seinen eigenen Datenschutzbestimmungen. CookieYes hat seinen Sitz im Vereinigten Königreich, für das ein Angemessenheitsbeschluss besteht. Kopien der Standardvertragsklauseln stellen wir auf Anfrage bereit.

15Speicherdauern im Überblick

• Server-Logfiles: bis zu 30 Tage
• Aufrufzähler für Ankaufsprofile: Prüfwert 24 Stunden; Aufrufzahlen je Profil ohne Personenbezug
• Schutz vor automatisiertem Auslesen: Zähler bis zu 48 Stunden; Protokoll über Grenzüberschreitungen 14 Tage; Protokoll über Aufrufe von Kontrollseiten 90 Tage, bei Verdacht auf eine Rechtsverletzung bis zur Klärung
• Nutzerkonto und eigene Profile: bis zur Löschung oder zum Vertragsende; Zustimmungsnachweise und Vertragsdaten drei Jahre zum Jahresende
• Objektvorstellungen und Kontaktanfragen: drei Jahre ab Eingang
• Redaktionelle Profile: bis zur Entfernung der Quelle, Berichtigung oder Widerspruch
• CRM-Kontakte ohne Vertrag: drei Jahre nach letztem Kontakt
• Rechnungen und Buchungsbelege: acht Jahre
• Analyse- und Tracking-Daten: 13 bis 14 Monate; Clarity-Aufzeichnungen bis zu 30 Tage
• Anfragen und Supportkommunikation (Kontaktformular, E-Mail, Telefon): drei Jahre zum Jahresende nach Abschluss

16Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung genügt eine E-Mail an E-Mail-Adresse anzeigen.

Widerspruchsrecht: Verarbeitungen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen – insbesondere redaktionelle Profile (Abschnitt 6), die Erstansprache von Investoren (Abschnitt 8.3) und die Kundenverwaltung (Abschnitt 9) – können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Einer Verarbeitung zum Zweck der Direktwerbung können Sie ohne Angabe von Gründen widersprechen; wir stellen sie dann ein.

Beschwerderecht: Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), etwa beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, poststelle@datenschutz.hessen.de, www.datenschutz.hessen.de.

17Pflicht zur Bereitstellung, automatisierte Entscheidungen, Änderungen

Für Registrierung, Objektvorstellungen, Kontaktanfragen und Buchungen sind bestimmte Angaben erforderlich; ohne sie können wir die jeweilige Leistung nicht erbringen. Alle weiteren Angaben sind freiwillig. Automatisierte Entscheidungen im Sinne des Art. 22 DSGVO treffen wir nicht.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter https://investorscout.io/datenschutz/ abrufbar; der Stand ist oben angegeben.