Datenschutz

1. Wer ist verantwortlich?

Anbieter der Plattform ist:

Aaron Kübel, handelnd unter „imhausio“
c/o Valuedfriends Workspaces GmbH, Kolonnenstr. 8, 10827 Berlin
E-Mail: datenschutz@imhausio.de

Wer verantwortlich ist, hängt davon ab, um welche Daten es geht:

• Daten, die Ihre Hausverwaltung verwaltet (etwa als Mieter, Eigentümer, Bewohner, Beirat oder Ansprechpartner eines Dienstleisters, und Ihr Zugang zum Portal): Verantwortlich ist Ihre Hausverwaltung. Wir verarbeiten diese Daten nur in ihrem Auftrag und nach ihren Weisungen (Art. 28 DSGVO). Bitte wenden Sie sich mit Fragen und Anträgen zuerst an Ihre Hausverwaltung; ihre Kontaktangaben stehen nach der Anmeldung unter „Kontakt & Feedback“. Was uns erreicht, leiten wir an sie weiter.
• Betrieb und Sicherheit der Plattform (Anmeldung schützen, Angriffe abwehren, Fehler finden) und unser Vertrag mit den Verwaltungen: Verantwortlich sind wir.
• Ihre eigenen Abrechnungen und Mietvertragsentwürfe als Eigentümer, der selbst vermietet: Wir speichern sie nur für Sie in Ihrem Konto; die Verwaltung sieht sie nicht. Für die Daten Ihrer Mieter darin sind Sie selbst verantwortlich.

Einen Datenschutzbeauftragten haben wir nicht benannt, weil dafür keine Pflicht besteht. Fragen zum Datenschutz richten Sie an die Adresse oben.

2. Welche Daten verarbeitet werden und wozu

Ihr Zugang

Login-Adresse, Passwort (nur als Prüfwert, nie im Klartext), Name, Rolle, Ihre Einstellungen (Darstellung, Benachrichtigungen) und, wenn Sie sie einrichten, die Zwei-Faktor-Anmeldung: das verschlüsselte Geheimnis der Authenticator-App oder der öffentliche Schlüssel Ihres Passkeys, dazu die Wiederherstellungscodes als Prüfwerte. Fingerabdruck, Gesicht oder PIN prüft allein Ihr Gerät; davon erreicht uns nichts. Zweck: Sie anmelden und Ihnen die richtigen Daten zeigen.

Was die Verwaltung erfasst

Stammdaten und Kontaktdaten, Verträge, Eigentum, Zahlungen und Kontoauszüge, Abrechnungen, Zählerstände, Meldungen mit Fotos, Dokumente, Übergabeprotokolle, Beschlüsse und Unterschriften, soweit die Verwaltung sie für ihre Arbeit braucht. Was Sie im Portal oder in der App eingeben (Meldungen, Zählerstände, Fotos, Nachrichten), landet bei Ihrer Verwaltung. Rechtsgrundlage ist der Vertrag oder die gesetzliche Aufgabe Ihrer Verwaltung; wir handeln dabei nur in ihrem Auftrag.

Sicherheit

Beim Aufruf jeder Seite verarbeitet der Server technisch Ihre IP-Adresse, den Zeitpunkt und die aufgerufene Adresse, um die Seite auszuliefern. Gegen das Erraten von Passwörtern zählen wir Fehlversuche je Adresse und je IP-Adresse; diese Zähler verfallen nach 15 Minuten. Bei Konten der Verwaltungen protokollieren wir Anmeldungen mit Zeit, IP-Adresse und Browser und löschen diese Einträge nach 90 Tagen. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren Plattform (Art. 6 Abs. 1 lit. f DSGVO).

E-Mails

Die Plattform schickt Einladungen, Links zum Zurücksetzen des Passworts, Bestätigungen, Nachrichten zum Stand Ihrer Meldungen und Rundschreiben Ihrer Verwaltung. Festgehalten werden Empfänger, Art und Zeitpunkt, nicht der Inhalt; die Verwaltung löscht diese Einträge nach einem Jahr. Antworten gehen an Ihre Verwaltung. Nachrichten über Ihre Meldungen schalten Sie unter „Mein Konto“ ab.

Belege auslesen

Lädt eine Verwaltung eine Rechnung, einen Kontoauszug oder einen Scan zum Auslesen hoch, geht das Dokument an Mistral AI (Abschnitt 4) und kommt als Vorschlag zurück. Hat die Verwaltung die „Vorschläge von Mistral in der Buchhaltung“ eingeschaltet, gehen außerdem auf Knopfdruck offene Bankumsätze (Datum, Betrag, Name, Verwendungszweck, ohne IBAN) und die Namen möglicher Ziele dorthin. Hat sie die „Volltextsuche in Dokumenten“ eingeschaltet, liest Mistral auch den Text der Dokumente, die sie hochlädt; der Text bleibt bei der Verwaltung und geht mit dem Dokument. Mistral speichert nichts davon und nutzt es nicht zum Training. Ein Vorschlag wird nie von selbst übernommen; es entscheidet immer ein Mensch.

Feedback

Schreiben Mitarbeiter einer Verwaltung uns über „Kontakt & Feedback“, erhalten wir den Text mit ihrer Login-Adresse per E-Mail, um zu antworten und die Plattform zu verbessern.

3. Cookies und Speicher im Browser

Wir setzen nur, was für die Plattform nötig ist oder was Sie selbst einstellen (§ 25 Abs. 2 TDDDG); deshalb fragen wir nicht nach einer Einwilligung:

• die Anmeldung: ein Cookie, das nach 8 Stunden ohne Nutzung und spätestens nach 12 Stunden abläuft; zwischen Passwort und Zwei-Faktor-Code ein Cookie für wenige Minuten,
• Ihre Ansicht: eingeklapptes Menü und eingeklappte Überschriften, die gewählte Liegenschaft (Cookies für ein Jahr),
• im Speicher des Browsers: zuletzt geöffnete Einträge (beim Abmelden gelöscht), gewählte Spalten, Favoriten und eingeklappte Hinweise.

Die Schriften liegen auf unserem Server; beim Aufruf wird kein fremder Dienst angefragt.

4. Wer die Daten noch erhält

Für den Betrieb setzen wir diese Dienstleister ein, jeweils mit einem Vertrag zur Auftragsverarbeitung. Alle verarbeiten die Daten in der Europäischen Union:

• netcup GmbH, Emmy-Noether-Str. 10, 76131 Karlsruhe: Server für Anwendung und Datenbank (Rechenzentrum in Nürnberg).
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Speicher für Dateien wie Fotos und Dokumente (Nürnberg) und für die Sicherungen der Datenbank (Falkenstein).
• Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich: Versand der E-Mails.
• Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich: Auslesen von Belegen und Vorschläge in der Buchhaltung, ohne Speicherung beim Anbieter (Abschnitt 2).

Darüber hinaus geben wir Daten nur weiter, wenn ein Gesetz uns dazu verpflichtet. Wir verkaufen keine Daten.

5. Die App „imhaus.io“

Die App nutzt dasselbe Konto und dieselben Rechte wie das Portal. Sie speichert auf Ihrem Gerät nur einen Schlüssel für die Anmeldung (im geschützten Speicher des Geräts; er gilt 30 Tage, für Verwaltungen 12 Stunden) und Ihre Darstellung. Kamera, Fotos und Face ID oder Fingerabdruck nutzt sie nur, wenn Sie das wählen; was Sie fotografieren, geht erst beim Absenden an Ihre Verwaltung. Die App enthält keine Werbung und keine Analyse-Dienste. Für das Laden der App gelten die Bedingungen des App Store oder von Google Play.

Mitteilungen: Schalten Sie unter Konto → Benachrichtigungen „Mitteilungen auf diesem Gerät“ ein, speichern wir die Kennung, die Apple oder Google Ihrem Gerät dafür geben, an Ihrer Anmeldung auf diesem Gerät. Gibt es Neues zu Ihrer Meldung, schicken wir über den Mitteilungsdienst von Apple (Apple Push Notification Service) oder Google (Firebase Cloud Messaging) nur einen kurzen Hinweis wie „Neues zu Ihrer Meldung“, ohne Namen, Titel oder Inhalt der Meldung. Apple und Google können dabei auch Server außerhalb der Europäischen Union nutzen (Datenschutzrahmen EU-USA). Grundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie widerrufen sie mit dem Schalter oder in den Einstellungen des Geräts. Mit dem Abmelden endet jede Mitteilung an dieses Gerät.

6. Wie lange die Daten bleiben

• Daten der Verwaltung: solange die Verwaltung sie braucht und gesetzliche Aufbewahrungsfristen laufen (für Buchhaltung bis zu 10 Jahre). Die Verwaltung löscht über Papierkorb und Löschfristen; nach Ende ihres Vertrags mit uns löschen wir ihre Daten.
• Ihr Zugang: bis Sie ihn unter „Mein Konto“ löschen oder die Verwaltung ihn entfernt. Dabei verschwindet nur die Anmeldung; was die Verwaltung über Sie führt, bleibt bei ihr.
• Sicherungen der Datenbank: 30 Tage bei Hetzner, beim Server bis zu 14 Tage; danach werden sie überschrieben.
• Anmelde-Protokoll der Verwaltungen: 90 Tage; Zähler für Fehlversuche: 15 Minuten.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine Verarbeitung aus berechtigtem Interesse (Art. 21). Eine Auskunft über Ihren Zugang laden Sie selbst unter „Mein Konto“ → „Datenauskunft“ herunter. Für alles, was Ihre Verwaltung über Sie führt, wenden Sie sich an sie (Abschnitt 1).

Sie können sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

Ohne Login-Adresse und Passwort können wir keinen Zugang anlegen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht.