Datenschutzerklärung

2.1 Automatisch erfasste Daten

Bei jedem Besuch der Website werden automatisch folgende technische Daten erfasst:

• IP-Adresse (anonymisiert nach 7 Tagen)
• Zeitstempel des Zugriffs
• Browser-Informationen (User-Agent)
• Referrer-URL
• Geräteinformationen (Bildschirmauflösung, Betriebssystem)
• Aufgerufene Seitenpfade (ohne Query-Parameter) für Reichweitenmessung
• Anonyme Besucher-Kennung (zufällig generiert, lokal im Browser gespeichert)

2.2 Registrierungsdaten

• Name (Vor- und Nachname)
• E-Mail-Adresse
• Telefonnummer (optional)
• Profilbild (optional)
• Standort/Stadt

2.3 Suchdaten

• Suchprofile (Wohnungskriterien, Belohnung)
• Kontaktinformationen für Suchen
• Chat-Nachrichten zwischen Nutzern
• Bewertungen und Feedback
• Moderations- und Sicherheitsprotokolle (z. B. Meldungen, interne Notizen zum Missbrauchsschutz)

2.4 Zahlungsdaten

• Transaktionshistorie
• Belohnungshöhen
• Zahlungsmethode (über Stripe verarbeitet)
• Rechnungsinformationen

Hinweis: Vollständige Kreditkartendaten werden nicht bei Findyo gespeichert, sondern ausschließlich bei unserem Zahlungsdienstleister Stripe (PCI-DSS Level 1 zertifiziert).

2.5 Telefonverifizierung & reCAPTCHA

• Telefonnummer (internationales Format)
• SMS-Verifizierungsstatus und -Zeitstempel
• reCAPTCHA-Token, IP-Adresse, Browserinformationen

Für die SMS-Verifizierung nutzen wir Google Firebase Authentication inklusive reCAPTCHA (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei kann aus Sicherheitsgründen ein Transfer an Google LLC, USA erfolgen.

Serverstandort: Deutschland

Alle Daten werden ausschließlich in deutschen Rechenzentren gespeichert:

• Firebase/Google Cloud: Region Frankfurt am Main (europe-west3)
• Firestore-Datenbank: Region Frankfurt
• Firebase Storage: Region Frankfurt
• Vercel Hosting: EU-Region (Frankfurt)

Übermittlung in Drittländer (Art. 46 DSGVO)

Für einzelne Dienste kann eine Übermittlung in Drittländer (insbesondere USA, UK) notwendig sein. Dies betrifft vor allem Stripe (Zahlungen & Stripe Connect), Resend (E-Mail) und Google (Firebase Auth / reCAPTCHA). Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln sowie zusätzlichen Sicherheitsmaßnahmen (Verschlüsselung, rollenbasierte Zugriffe).

Wo möglich, verarbeiten wir Daten innerhalb der EU/EWR. Falls Sie die Übermittlung nicht wünschen, stehen Ihnen alternative Kommunikationswege (z. B. E-Mail ohne Telefonverifizierung) jedoch nur eingeschränkt zur Verfügung.

Nutzerkonto-Daten

• Aktive Konten: Bis zur Kontolöschung
• Nach Löschung: 30 Tage Aufbewahrung für Wiederherstellung
• Inaktive Konten: Löschung nach 3 Jahren Inaktivität

Transaktions- und Finanzdaten

• Zahlungsdaten: 10 Jahre (§ 147 AO - Steuerrecht)
• Rechnungen/Belege: 10 Jahre (§ 257 HGB)
• Stripe-Transaktionen: Gemäß Stripe-Aufbewahrungsrichtlinien

Kommunikations- und Interaktionsdaten

• Lead-Übertragungen: 3 Jahre (Gewährleistung)
• Support-Anfragen: 3 Jahre
• Chat-Nachrichten: 1 Jahr nach letzter Aktivität
• Bewertungen: Dauerhaft (öffentlicher Charakter)

Log- und Systemdaten

• Server-Logs: 30 Tage (Sicherheit/Debugging)
• Anonyme Analytics: 24 Monate
• IP-Adressen: 7 Tage vollständig, dann anonymisiert

6.1 Innerhalb der Plattform

Lead-Daten werden ausschließlich zwischen Mieter und Findern ausgetauscht, die an einer konkreten Suche beteiligt sind.

6.2 Technische Dienstleister

6.3 Keine Weitergabe an Dritte

Findyo verkauft oder vermietet Ihre Daten nicht an Dritte. Eine Weitergabe erfolgt nur:

• Mit Ihrer ausdrücklichen Einwilligung
• Zur Erfüllung vertraglicher Pflichten
• Bei gesetzlicher Verpflichtung (z.B. Strafverfolgungsbehörden)

Technisch notwendige Cookies

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen)

• Session-Management: Benutzeranmeldung und Sitzungsverwaltung
• Sicherheit: CSRF-Schutz, Bot-Erkennung
• Funktionalität: Spracheinstellungen, UI-Präferenzen
• Load Balancing: Gleichmäßige Serververteilung

Nutzungsstatistik (erste Partei)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an Reichweitenmessung)

• Interne Seitenaufruf-Statistik: Anzahl der Aufrufe, Unique Visitors pro Tag, häufigste Seiten
• Anonyme Besucher-Kennung in localStorage (keine IP-Speicherung in dieser Statistik)
• Unterscheidung Gast vs. angemeldeter Aufruf, ohne Personenbezug in den Aggregaten

Die Kennung können Sie durch Löschen der Website-Daten in Ihrem Browser entfernen.

Marketing- und Conversion-Tracking (Meta)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung und Optimierung unserer Werbemaßnahmen)

Zur Messung der Wirksamkeit von Werbeanzeigen nutzen wir Technologien der Meta Platforms Ireland Ltd. (Facebook/Instagram). Dabei können insbesondere folgende Daten verarbeitet werden:

• Meta Pixel (Browser): Cookies wie _fbp und _fbc, Seitenaufrufe und Klick-Events
• Meta Conversions API (serverseitig): Registrierung, Profil-Fortschritt und produktbezogene Aktionen (z. B. Suchprofil erstellt)
• Zur Zuordnung pseudonymisierte bzw. gehashte Angaben (z. B. E-Mail, Name, Telefonnummer, Stadt), IP-Adresse, User-Agent und Referrer/UTM-Parameter

Personenbezogene Kontaktdaten werden vor der Übermittlung an Meta serverseitig mit SHA-256 gehasht. Eine direkte Weitergabe von Klartext-Passwörtern findet nicht statt.

Informationen zum Datenschutz bei Meta: Meta-Datenschutzrichtlinie. Sie können interessenbasierte Werbung bei Meta unter facebook.com/settings/?tab=ads einschränken. Zusätzlich können Sie Cookies in Ihrem Browser löschen oder blockieren.

Verschlüsselung

• HTTPS/TLS 1.3 für alle Datenübertragungen
• End-to-End-Verschlüsselung für sensible Daten
• Verschlüsselte Datenbankfelder für besonders schützenswerte Informationen

Zugriffskontrolle

• Rollenbasierte Zugriffsrechte (RBAC)
• Multi-Faktor-Authentifizierung für kritische Funktionen
• Regelmäßige Überprüfung der Zugriffsberechtigungen

Monitoring und Auditing

• 24/7 Sicherheitsüberwachung
• Automatische Erkennung verdächtiger Aktivitäten
• Regelmäßige Sicherheitsaudits
• Penetrationstests durch externe Sicherheitsexperten

Mitarbeiterschulungen

• Regelmäßige Datenschutz- und IT-Sicherheitstrainings
• Vertraulichkeitsvereinbarungen für alle Mitarbeiter
• Dokumentierte Verfahren für Sicherheitsvorfälle

Recht auf Auskunft (Art. 15 DSGVO)

Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.

Recht auf Berichtigung (Art. 16 DSGVO)

Sie können die Berichtigung unrichtiger Daten verlangen.

Recht auf Löschung (Art. 17 DSGVO)

Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

Recht auf Einschränkung (Art. 18 DSGVO)

Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie können Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.

Widerspruchsrecht (Art. 21 DSGVO)

Sie können der Verarbeitung Ihrer Daten aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen.

Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Sie können eine erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.