Datenschutzerklärung immobuddy.com
Stand: 12.10.2026
1. Verantwortliche
Verantwortlich für die Bearbeitung personenbezogener Daten im Zusammenhang mit der Website immobuddy.com und der ImmoBuddy-SaaS-Plattform ist:
Makler Service AG, Baarerstrasse 133, 6300 Zug, Schweiz, UID CHE-491.523.825, E-Mail: [email protected]
Ein Datenschutzberater beziehungsweise Datenschutzbeauftragter ist nicht bestellt, da hierfür keine gesetzliche Pflicht besteht. Anfragen zum Datenschutz richten Sie bitte an [email protected].
2. Geltungsbereich und Begriffe
Diese Datenschutzerklärung gilt für die Website immobuddy.com, die ImmoBuddy-Plattform (Web-Anwendung) sowie die damit verbundenen Registrierungs-, Vertrags-, Abrechnungs-, Support-, Kommunikations-, Terminierungs- und Marketingprozesse.
ImmoBuddy ist ein Angebot ausschliesslich für Unternehmen (B2B). Betroffene Personen im Sinne dieser Erklärung sind Besucher der Website, Ansprechpersonen und Nutzer unserer Geschäftskunden sowie Personen, deren Daten unsere Kunden in die Plattform einbringen.
«Bearbeiten» umfasst jeden Umgang mit Personendaten, insbesondere das Erheben, Speichern, Verwenden, Übermitteln, Auswerten und Löschen. Soweit die DSGVO anwendbar ist, entspricht dies dem Begriff «Verarbeiten».
Wir bearbeiten Personendaten nach dem Schweizer Datenschutzgesetz (DSG). Soweit wir Personen in der EU beziehungsweise im EWR Leistungen anbieten oder deren Verhalten beobachten, gilt zusätzlich die Datenschutz-Grundverordnung (DSGVO).
3. Woher Ihre Daten stammen
Wir erhalten Personendaten in erster Linie direkt von Ihnen, etwa bei der Registrierung, bei Anfragen oder bei der Nutzung der Plattform.
Daten können auch von Dritten stammen: vom Unternehmen, das Sie als Nutzer in einem Team-Konto angelegt hat, von einem Kunden, der Dokumente mit Ihren Daten in die Plattform hochlädt, aus öffentlich zugänglichen Quellen (Handelsregister, Unternehmenswebsite, Impressum) zur Prüfung der Unternehmereigenschaft sowie aus angebundenen Systemen wie Google Drive.
4. Welche Daten wir bearbeiten
Je nach Nutzung bearbeiten wir folgende Datenkategorien:
| Kategorie | Beispiele |
|---|---|
| Stamm- und Kontaktdaten | Name, geschäftliche E-Mail-Adresse, Unternehmen, Funktion, Telefonnummer, Rechnungsadresse |
| Unternehmensnachweise | UID beziehungsweise USt-IdNr., Handelsregisterauszug, Gewerbeschein, Unternehmenswebsite |
| Konto- und Sicherheitsdaten | E-Mail-Verifizierungsstatus, Passwort-Hash (bcrypt, nie im Klartext), Rolle im Team-Konto, Sitzungstoken, Login-Zeitpunkte, fehlgeschlagene Anmeldeversuche, Passwort-Reset-Token, IP-Adresse |
| Vertrags- und Abrechnungsdaten | Paket, Abonnementstatus, Stripe-Kundenreferenz, Rechnungen, Zahlungsstatus, Kündigungen, Rückerstattungen |
| Plattforminhalte | Chats, Prompts, KI-Antworten, hochgeladene Dateien (PDF, Bilder, CSV, XLSX, DOCX, TXT und weitere), Wissensbasen, Suchindizes, Embeddings, Quellenhinweise |
| Nutzungs- und Produktdaten | Anzahl Anfragen, genutzte Funktionen, Nutzungsintensität, Zeitstempel |
| Technische Daten | IP-Adresse, Browser, Gerät, aufgerufene Seiten, Referrer, Fehler-, Zugriffs- und Sicherheitsprotokolle |
| Kommunikationsdaten | E-Mails, Support-Tickets, Telefonie-Metadaten, Termin- und Meetingdaten |
| Marketingdaten | Newsletter-Anmeldung, Double-Opt-in-Nachweis, Öffnungen, Klicks, Abmeldungen, Lead-Scoring-Werte |
Wir erheben nur Daten, die für den jeweiligen Zweck erforderlich sind. Kunden dürfen keine Daten in die Plattform einbringen, deren Bearbeitung unzulässig ist, und sollen besonders schützenswerte Personendaten nur hochladen, wenn dies für den Geschäftszweck zwingend ist.
5. Zwecke und Rechtsgrundlagen
| Bearbeitung | Zweck | Rechtsgrundlage (DSGVO) |
|---|---|---|
| Website, Auslieferung, IT-Sicherheit, Missbrauchsabwehr | Stabiler und sicherer Betrieb | Art. 6 Abs. 1 lit. f (berechtigtes Interesse an IT-Sicherheit) |
| Registrierung, Login, Kontoverwaltung, Plattformbetrieb | Vertragserfüllung | Art. 6 Abs. 1 lit. b |
| Prüfung der Unternehmereigenschaft | Vertragsabschluss nur mit Unternehmen, Steuerrecht | Art. 6 Abs. 1 lit. b und c |
| Abrechnung, Buchhaltung, Aufbewahrung | Vertrag und gesetzliche Pflichten | Art. 6 Abs. 1 lit. b und c |
| Support, Kundenbetreuung | Vertrag und berechtigtes Interesse an Kundenbetreuung | Art. 6 Abs. 1 lit. b und f |
| Produktanalyse mit Amplitude | Verbesserung der Plattform | Art. 6 Abs. 1 lit. a (Einwilligung) beziehungsweise lit. f, soweit keine Einwilligung nötig ist |
| Web-Analyse und Werbung (Google Analytics, Meta Pixel, HubSpot-Tracking) | Reichweitenmessung, Marketing | Art. 6 Abs. 1 lit. a (Einwilligung über Consent-Banner) |
| Newsletter, Lead-Scoring, Segmentierung | Marketing | Art. 6 Abs. 1 lit. a; bei Bestandskunden lit. f |
| Telefonie, Terminierung, Videokonferenzen | Geschäftliche Kommunikation | Art. 6 Abs. 1 lit. b und f |
| Geltendmachung und Abwehr von Rechtsansprüchen | Rechtsverteidigung | Art. 6 Abs. 1 lit. f |
Nach Schweizer Recht bearbeiten wir Personendaten nach den Grundsätzen von Art. 6 DSG (Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit) und Art. 8 DSG (Datensicherheit). Eine Einwilligung holen wir ein, wo das Gesetz dies verlangt.
6. Website: Logfiles, Netlify, Cloudflare, Cookies und Tracking
Auslieferung über Netlify und Cloudflare. Die Website und die Web-Anwendung werden über das Content Delivery Network von Netlify ausgeliefert. Der gesamte Datenverkehr läuft zudem über den Reverse-Proxy von Cloudflare, der DNS-Auflösung, TLS-Verschlüsselung und Schutz vor Angriffen bereitstellt. Cloudflare entschlüsselt den Verkehr am Netzwerkrand und kann damit alle übertragenen Inhalte technisch verarbeiten, speichert diese aber nicht dauerhaft. Bei jedem Aufruf können IP-Adresse, Zeitpunkt, aufgerufene URL, Referrer, Browser- und Geräteinformationen, Fehler- und Sicherheitsdaten sowie Cache- und Edge-Metadaten bearbeitet werden.
Server-Logfiles. Unsere eigenen Systeme protokollieren technische Zugriffsdaten zur Fehleranalyse und Sicherheit. Technische Zugriffsprotokolle werden nach 180 Tagen gelöscht.
Cookies und Consent-Management. Technisch notwendige Cookies setzen wir für Sitzungsverwaltung, Sicherheit und die Speicherung Ihrer Datenschutzeinstellungen. Alle anderen Technologien werden erst nach Ihrer Einwilligung über unser Consent-Banner geladen. Sie können Ihre Einwilligung jederzeit über die Datenschutzeinstellungen mit Wirkung für die Zukunft widerrufen.
Google Analytics. Mit Ihrer Einwilligung nutzen wir Google Analytics 4 von Google Ireland Limited zur Reichweitenmessung. Bearbeitet werden gekürzte IP-Adresse, Geräte- und Browserdaten, Seitenaufrufe, Verweildauer und Ereignisse. Daten können an Google LLC in den USA übermittelt werden.
Meta Pixel. Mit Ihrer Einwilligung nutzen wir das Meta Pixel von Meta Platforms Ireland Limited, um Werbeanzeigen zu messen und Zielgruppen zu bilden. Für die Erhebung und Übermittlung der Ereignisdaten sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Weiterverarbeitung durch Meta erfolgt in eigener Verantwortung von Meta. Daten können in die USA übermittelt werden.
HubSpot-Tracking. Mit Ihrer Einwilligung setzt HubSpot einen Tracking-Code, der Seitenaufrufe und Formulareingaben einer Kontaktperson in unserem CRM zuordnen kann.
Amplitude. Zur Produktanalyse nutzen wir Amplitude, Inc. in einer Instanz mit Datenhaltung in der EU. Wir erfassen, welche Funktionen genutzt werden und wie häufig, nicht aber Inhalte von Chats oder Uploads. Die Erfassung auf der Website erfolgt nach Einwilligung; innerhalb der Plattform stützen wir sie auf unser berechtigtes Interesse an der Produktverbesserung.
7. Registrierung, Login und Team-Konten
Für Registrierung, Login und Kontosicherheit bearbeiten wir E-Mail-Adresse, Verifizierungsstatus, Passwort-Hash, Sitzungs- und Authentifizierungsdaten (Auth.js, JWT-Sitzungen) sowie Sicherheitsinformationen wie Login-Zeitpunkte, fehlgeschlagene Anmeldeversuche und IP-Adresse. Passwörter speichern wir ausschliesslich als bcrypt-Hash. Für Verifizierung und Passwortzurücksetzung versenden wir zeitlich begrenzte Token per E-Mail über Resend.
Geschäftskunden können Team-Konten mit mehreren Nutzern anlegen. Der Organisations-Inhaber (das Konto, mit dem das Abonnement abgeschlossen wurde) und von ihm ernannte Administratoren laden Nutzer ein, verwalten sie und können sie entfernen. Für die Kontodaten dieser Nutzer sind wir Verantwortliche im Rahmen des Vertrags mit dem Kunden; für die Entscheidung, wer Zugang erhält, ist der Kunde verantwortlich.
Zum Schutz vor Missbrauch wenden wir Rate-Limiting an. Dabei werten wir IP-Adressen, Anmeldeversuche, Anfragehäufigkeit, Zeitstempel und Kontokennungen aus und können Konten vorübergehend sperren.
8. Die ImmoBuddy-Plattform und KI-Verarbeitung
Chats und Antworten. Wenn Sie ImmoBuddy eine Frage stellen, wird Ihre Eingabe in unserem eigenen RAG-Backend (Python/FastAPI) auf einem Server der Hetzner Online GmbH in Nürnberg, Deutschland, verarbeitet. Das Backend durchsucht die für Ihr Konto freigegebene Wissensbasis (Vektor- und Volltextsuche), stellt relevante Kontextauszüge zusammen und übermittelt Eingabe und Kontext an Google Vertex AI (Gemini-Modelle) zur Erstellung der Antwort. Die Antwort wird mit Quellenhinweisen versehen und zusammen mit Ihrem Chat-Verlauf in unserer PostgreSQL-Datenbank in Nürnberg gespeichert, damit Sie frühere Chats aufrufen können.
Uploads und Wissensbasen. Hochgeladene Dateien werden in Text umgewandelt, in Abschnitte zerlegt und als Suchindex und Vektor-Embeddings (erzeugt über Vertex AI) gespeichert. Suchindizes, Embeddings und Quellenhinweise sind Ihrer Kundenumgebung zugeordnet und werden nicht für andere Kunden verwendet. Wir stellen zusätzlich eine von uns gepflegte Wissensbasis bereit, die aus einem Google-Drive-Ordner der Makler Service AG stammt.
Google Drive-Synchronisation. Die von uns bereitgestellte Wissensbasis wird nächtlich automatisiert aus einem freigegebenen Google-Drive-Ordner synchronisiert. Das Dienstkonto hat ausschliesslich Leserechte. Dabei werden neben Dokumentinhalten auch Dateinamen, Ordnerstrukturen und Änderungsdaten verarbeitet.
Konnektoren zu Ihren eigenen Diensten. Ab dem Paket Pro können Sie eigene Dienste mit ImmoBuddy verbinden, etwa Google Workspace (Gmail, Kalender, Drive), Immobilien-CRM-Systeme (zum Beispiel onOffice, Propstack, FlowFact) oder per API eigene Systeme. Die Verbindung richten Sie selbst ein und erteilen dem jeweiligen Anbieter die Freigabe; die Zugangsdaten (OAuth-Token) speichern wir verschlüsselt und nur für die Dauer der Verbindung. Daten aus verbundenen Diensten rufen wir ausschliesslich ab, um Ihre Anfragen zu beantworten oder von Ihnen freigegebene Inhalte in Ihre Wissensbasis aufzunehmen; sie werden wie Uploads behandelt (Ziffer 9) und nicht für andere Zwecke verwendet. Sie können eine Verbindung jederzeit in den Einstellungen oder beim jeweiligen Anbieter trennen. Über MCP können Sie ImmoBuddy zudem aus anderen KI-Anwendungen heraus nutzen; dabei gelten die Datenschutzbestimmungen der jeweiligen Anwendung für die dort verarbeiteten Daten.
Deep Research. In den Paketen Pro und Max können Sie umfangreiche Recherche-Berichte erstellen lassen. Dabei werden Ihre Anfrage, relevante Inhalte Ihrer Wissensbasis und gegebenenfalls öffentlich zugängliche Webquellen in mehreren Schritten über Vertex AI verarbeitet; die Berichte werden wie Chats gespeichert.
Google Vertex AI. Vertex AI wird von Google Cloud EMEA Limited, Irland, bereitgestellt. Nach unserer Konfiguration werden ausschliesslich EU-Endpunkte (Region europe-west3, Frankfurt) verwendet. An Vertex AI werden Prompts, relevante Dokumentauszüge, Suchanfragen und Embedding-Eingaben übermittelt; zurück kommen Antworten, Embeddings und technische Metadaten. Nach den Vertragsbedingungen von Google Cloud werden Kundendaten nicht zum Training allgemeiner Modelle verwendet. Google kann Eingaben zur Missbrauchsprüfung bis zu 30 Tage speichern. Diese Aussagen gelten für die jeweils aktivierten Google-Dienste und Vertragsbedingungen.
Protokollierung. Zur Fehleranalyse und Missbrauchsabwehr protokollieren unsere Systeme Anfragen. Diese Protokolle können derzeit auch Prompts, Antworten und Dokumentinhalte enthalten. Protokolle sind nur Administratoren zugänglich und werden nach 180 Tagen gelöscht.
Löschen von Chats. Sie können einzelne Chats jederzeit löschen. Gelöschte Chats werden aus Ihrem Konto entfernt. Eine Kopie bewahren wir für 90 Tage mit eingeschränktem Zugriff auf, um Missbrauch nachvollziehen und Support-Anfragen bearbeiten zu können; danach wird sie endgültig gelöscht.
Zugriff unserer Mitarbeitenden. Mitarbeitende mit Administratorrolle können Chats, Uploads und Wissensbasen einsehen, wenn dies für Support auf Ihre Anfrage, zur Behebung von Störungen oder zur Abwehr von Missbrauch erforderlich ist. Zugriffe erfolgen nach dem Need-to-know-Prinzip und werden protokolliert.
KI-Hinweis. KI-Antworten sind Unterstützung, keine Rechts-, Steuer- oder Anlageberatung, und fachlich zu prüfen. ImmoBuddy trifft keine ausschliesslich automatisierten Entscheidungen mit rechtlicher Wirkung gegenüber Personen.
9. Kundendaten und Auftragsbearbeitung
Inhalte, die ein Geschäftskunde oder dessen Nutzer in ImmoBuddy einbringen (Chats, Prompts, Uploads, Wissensbasen, daraus abgeleitete Suchindizes und Embeddings), bearbeiten wir im Auftrag des Kunden. Das gilt auch für Personendaten Dritter in diesen Inhalten, etwa Eigentümerdaten in Exposés, Kundenkorrespondenz oder Kaufverträge.
Der Kunde ist Verantwortlicher für diese Daten. Er entscheidet, welche Inhalte er einbringt, ist für die Rechtmässigkeit verantwortlich, informiert die betroffenen Personen und beantwortet deren Anfragen. Wir bearbeiten diese Daten ausschliesslich nach den Weisungen des Kunden und dem Auftragsbearbeitungsvertrag, der Bestandteil des Nutzungsvertrags ist.
Kundendaten werden nicht für eigene Werbung, eigene Profilbildung oder das Training von KI-Modellen verwendet und nicht in unsere CRM-, Newsletter- oder Kommunikationssysteme übernommen.
Für Konto-, Vertrags-, Abrechnungs-, Nutzungs-, Kommunikations- und Sicherheitsdaten sind wir selbst Verantwortliche.
10. Abonnement und Zahlung
ImmoBuddy kann nur von Unternehmen gebucht werden. Bei der Bestellung erheben wir die UID beziehungsweise USt-IdNr. und können einen Nachweis der Unternehmereigenschaft verlangen (Unternehmenswebsite mit Impressum, Gewerbeschein, Handelsregisterauszug). Die UID wird auf der Rechnung ausgewiesen.
Zahlungen wickeln wir über Stripe Payments Europe Limited, Irland, ab. Kartendaten werden ausschliesslich von Stripe verarbeitet und berühren unsere Server nicht. Wir erhalten von Stripe Kundenreferenz, Produkt- und Planinformationen, Abonnementstatus, Transaktionsreferenzen, Rechnungs- und Zahlungsstatus sowie Angaben zu Kündigungen und Rückerstattungen.
11. Kommunikation, Vertrieb und Support
HubSpot. Für CRM, Vertrieb, Kontaktformulare, Support-Tickets und E-Mail-Kommunikation nutzen wir HubSpot Ireland Limited. In HubSpot speichern wir Kontaktdaten, Vertragsstatus und Kommunikationsverlauf. Aus der Plattform werden Registrierung, gebuchtes Paket und Nutzungsintensität automatisiert an HubSpot übergeben, nicht aber Inhalte von Chats oder Uploads. Auf dieser Basis bewerten wir Kontakte (Lead-Scoring) und segmentieren sie für Vertrieb und Marketing. Sie können dieser Bearbeitung jederzeit widersprechen.
Aircall. Für geschäftliche Telefonie nutzen wir Aircall SAS, Frankreich. Bearbeitet werden Rufnummern, Namen, Anrufzeiten, Dauer und Verbindungsdaten. Gespräche werden nicht aufgezeichnet.
Calendly. Für die Terminvereinbarung nutzen wir Calendly LLC, USA. Bearbeitet werden Name, E-Mail-Adresse, Terminangaben, Zeitzone und Ihre Nachrichten. Calendly greift auf unsere Google-Kalender zu und kann Zoom- oder Google-Meet-Meetings erstellen.
Zoom und Google Meet. Für Videokonferenzen nutzen wir Zoom Video Communications, Inc., USA, und Google Meet. Bearbeitet werden Name, E-Mail-Adresse, Audio, Video, Chat, Bildschirmfreigaben und Meeting-Metadaten. Meetings können aufgezeichnet werden; darauf weisen wir zu Beginn des Meetings hin. Zoom-Zusatzfunktionen: Transkription und AI Companion werden werden genutzt und angekündigt.
Google Workspace. Für E-Mail, Kalender, Dateiablage, Gruppen und Meet nutzen wir Google Workspace von Google Ireland Limited. Google Workspace enthält zunehmend KI-Funktionen (Gemini), etwa in der Suche. Nach den Workspace-Bedingungen werden Inhalte dabei nicht zum Training allgemeiner Modelle verwendet.
Slack und Notion. Für interne Kommunikation, Dokumentation und Aufgabenverwaltung nutzen wir Slack Technologies, LLC, und Notion Labs, Inc., beide USA. Dort können Supportanfragen, Aufgaben, Gesprächsnotizen und geschäftliche Kontaktdaten gespeichert werden. Kundendaten aus der Plattform übernehmen wir nur, soweit dies für einen konkreten Support- oder Betriebszweck erforderlich ist.
12. Newsletter und Direktwerbung
Newsletter versenden wir über GetResponse S.A., Polen, und HubSpot. Die Anmeldung erfolgt im Double-Opt-in-Verfahren; Zeitpunkt und IP-Adresse der Bestätigung protokollieren wir als Nachweis. Wir messen Öffnungen und Klicks, um Inhalte zu verbessern und Kontakte zu segmentieren. Bestandskunden informieren wir über ähnliche Produkte auf Grundlage unseres berechtigten Interesses.
Jeder Newsletter enthält einen Abmeldelink. Ein Widerruf ist zudem jederzeit per E-Mail an [email protected] möglich und berührt nicht die Rechtmässigkeit der bisherigen Bearbeitung.
13. Empfänger und Dienstleister
| Anbieter | Gesellschaft, Land | Zweck | Rolle | Drittlandtransfer |
|---|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Deutschland | Server für RAG-Backend, Datenbank, Backups | Auftragsbearbeiter | keiner |
| Google Cloud EMEA Limited | Dublin, Irland | Vertex AI (Gemini, Embeddings), EU-Region | Auftragsbearbeiter | Supportzugriffe möglich, SCC |
| Google Ireland Limited | Dublin, Irland | Workspace (Gmail, Drive, Kalender, Meet, Groups), Google Analytics | Auftragsbearbeiter; bei Analytics teilweise eigene Verantwortung | USA, SCC und DPF |
| Netlify, Inc. | San Francisco, USA | CDN und Auslieferung der Web-Anwendung | Auftragsbearbeiter | USA, SCC |
| Cloudflare, Inc. | San Francisco, USA | DNS, TLS, Reverse-Proxy, Backup-Speicher R2 (Jurisdiction EU, Speicherung ausschliesslich in EU-Rechenzentren) | Auftragsbearbeiter | USA, SCC und DPF |
| Stripe Payments Europe Limited | Dublin, Irland | Zahlungsabwicklung, Abonnements | Auftragsbearbeiter; für Betrugsprävention eigene Verantwortung | USA, SCC und DPF |
| Resend, Inc. | USA | Transaktions-E-Mails | Auftragsbearbeiter | USA, SCC |
| HubSpot Ireland Limited | Dublin, Irland | CRM, Support, Newsletter, Tracking | Auftragsbearbeiter | USA, SCC und DPF |
| Amplitude, Inc. | San Francisco, USA | Produktanalyse, EU-Instanz | Auftragsbearbeiter | Supportzugriffe möglich, SCC |
| Meta Platforms Ireland Limited | Dublin, Irland | Meta Pixel | Gemeinsam verantwortlich (Erhebung); eigene Verantwortung (Weiterverarbeitung) | USA, SCC und DPF |
| Aircall SAS | Paris, Frankreich | Telefonie | Auftragsbearbeiter | keiner nach Vertrag |
| Calendly LLC | Atlanta, USA | Terminierung | Auftragsbearbeiter | USA, SCC |
| Zoom Video Communications, Inc. | San José, USA | Videokonferenzen | Auftragsbearbeiter | USA, SCC und DPF |
| GetResponse S.A. | Gdańsk, Polen | Newsletter | Auftragsbearbeiter | keiner |
| Slack Technologies, LLC | San Francisco, USA | Interne Kommunikation | Auftragsbearbeiter | USA, SCC und DPF |
| Notion Labs, Inc. | San Francisco, USA | Interne Dokumentation | Auftragsbearbeiter | USA, SCC und DPF |
Weitere Empfänger können Behörden, Gerichte, Banken, Steuerberater und Rechtsanwälte sein, soweit dies gesetzlich vorgesehen oder zur Rechtsverfolgung erforderlich ist.
14. Unternehmensgruppe und Unternehmensübertragungen
Weitergabe innerhalb der Unternehmensgruppe. Die Makler Service AG ist Teil einer Unternehmensgruppe mit weiteren Marken und Gesellschaften, insbesondere der Immobilien-Makler-Akademie, der Maklersprechstunde, der inmedia Verlag GmbH und weiteren mit uns durch Beteiligung oder gemeinsame Kontrolle verbundenen Unternehmen mit Sitz in der Schweiz oder im EWR. Innerhalb dieser Gruppe können wir Konto-, Vertrags-, Abrechnungs-, Kommunikations- und Marketingdaten weitergeben, soweit dies für die Bereitstellung unserer Dienste, die interne Verwaltung (etwa gemeinsame Buchhaltung, IT-Systeme und Kundenbetreuung) oder für die Weiterentwicklung unserer Angebote erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Weitergabe der Vertragserfüllung dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Organisation der Gruppe).
Marketing über mehrere Marken. Wir nutzen ein gemeinsames CRM-System (HubSpot) für die gesamte Unternehmensgruppe. Ihre Kontaktdaten, Ihr Vertragsstatus und Ihre Interaktionen mit unseren Angeboten können deshalb auch dazu verwendet werden, Sie über Produkte und Veranstaltungen anderer Marken der Gruppe zu informieren, etwa Schulungen der Immobilien-Makler-Akademie oder Angebote der Maklersprechstunde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Direktwerbung gegenüber Geschäftskunden); für Newsletter per E-Mail holen wir Ihre Einwilligung nach Ziffer 12 ein. Sie können dieser Nutzung jederzeit widersprechen, per E-Mail an [email protected] oder über den Abmeldelink in jeder Nachricht.
Keine Weitergabe von Kundendaten. Inhalte, die Sie oder Ihr Unternehmen in die Plattform einbringen (Chats, Prompts, Uploads, Wissensbasen und daraus abgeleitete Daten), werden nicht an verbundene Unternehmen weitergegeben und nicht für gruppenweites Marketing verwendet. Für diese Daten gilt ausschliesslich Ziffer 9.
Unternehmensübertragungen. Wenn wir an einer Umstrukturierung, einer Akquisition, einer Veräusserung von Vermögenswerten, einer Fusion, einer Finanzierung, der Übertragung des Plattformbetriebs oder einzelner Dienste auf einen anderen Anbieter, einer Due-Diligence-Prüfung, einer Insolvenz oder einer Zwangsverwaltung beteiligt sind, können Personendaten im rechtlich zulässigen und erforderlichen Umfang an beteiligte Unternehmen, Erwerber, Investoren oder deren Berater übermittelt werden. Im Rahmen vorbereitender Prüfungen erfolgt die Weitergabe vorrangig in zusammengefasster, pseudonymisierter oder anderweitig minimierter Form und unter Vertraulichkeitsverpflichtung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung und Absicherung solcher Vorgänge) sowie gegebenenfalls Art. 6 Abs. 1 lit. c DSGVO. Geht der Plattformbetrieb auf einen Erwerber über, treten die mit unseren Kunden geschlossenen Auftragsbearbeitungsverträge auf diesen über. Über einen Wechsel des Verantwortlichen oder eine wesentliche Umstrukturierung informieren wir betroffene Nutzer in geeigneter Weise.
15. Übermittlung ins Ausland
Die Kerndaten der Plattform (Nutzerkonten, Chats, Uploads, Wissensbasen, Embeddings) werden in Deutschland gespeichert; KI-Verarbeitung erfolgt über EU-Endpunkte. Technische Verbindungsdaten, Backups, E-Mail-, Support- und Marketingdaten können bei den in Ziffer 13 genannten Anbietern auch in den USA bearbeitet oder von dort zugänglich sein.
Übermittlungen in Staaten ohne angemessenes Datenschutzniveau stützen wir auf die EU-Standardvertragsklauseln (SCC) mit Schweizer Ergänzung sowie, soweit der Anbieter zertifiziert ist, auf das EU-US und das Schweiz-US Data Privacy Framework (DPF). Eine aktuelle Liste der Unterauftragsbearbeiter mit Transfergrundlage können Kunden bei uns anfordern.
16. Speicherdauer
| Daten | Speicherdauer |
|---|---|
| Konto- und Vertragsdaten | Vertragsdauer, danach bis Ablauf gesetzlicher Aufbewahrungspflichten (10 Jahre für Buchhaltungsbelege nach Schweizer Recht) |
| Chats, Uploads, Wissensbasen, Embeddings | Bis zur Löschung durch den Nutzer beziehungsweise 30 Tage nach Löschung des Benutzerkontos |
| Vom Nutzer gelöschte Chats | 90 Tage, eingeschränkter Zugriff |
| Server- und Anwendungslogs | 180 Tage |
| Sicherheitsprotokolle (Login, Rate-Limiting) | 90 Tage |
| Backups | Turnusmässige Überschreibung, spätestens nach 3 Jahren |
| Support- und Kommunikationsdaten | Bis Abschluss des Vorgangs, danach 3 Jahre für Nachweiszwecke |
| Newsletter-Daten | Bis zur Abmeldung; Double-Opt-in-Nachweis 3 Jahre nach Abmeldung |
| Website-Analysedaten | Nach Anbieter-Einstellung, maximal 14 Monate |
Eine längere Aufbewahrung bleibt vorbehalten bei gesetzlichen Pflichten, laufenden Verfahren oder überwiegenden berechtigten Interessen.
17. Datensicherheit
Wir treffen angemessene technische und organisatorische Massnahmen, insbesondere: TLS-Verschlüsselung aller Verbindungen, SSL-gesicherte Datenbankverbindungen, bcrypt-Hashing von Passwörtern, E-Mail-Verifizierung, Serverzugriff nur per SSH-Schlüssel, Firewalls mit Beschränkung auf erforderliche Dienste, rollenbasierte Zugriffsrechte, geheime Service-Tokens für die interne Dienstkommunikation, Rate-Limiting, Protokollierung sicherheitsrelevanter Ereignisse, Zugriff nach dem Need-to-know-Prinzip sowie regelmässige Backups.
Backups werden verschlüsselt bei Hetzner (Deutschland), in Cloudflare R2 (Jurisdiction EU, Speicherung ausschliesslich in EU-Rechenzentren) und in Google Drive gespeichert und spätestens nach 3 Jahren überschrieben.
18. Automatisierte Entscheidungen und Profiling
Wir treffen keine ausschliesslich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO beziehungsweise Art. 21 DSG. Die Nutzung der ImmoBuddy-KI stellt keine solche Entscheidung dar.
Für Marketing und Vertrieb bilden wir in HubSpot und GetResponse Profile (Lead-Scoring, Segmentierung) auf Basis von Kontaktdaten, Nutzungsintensität, Newsletter-Interaktionen und Website-Besuchen. Diese Profile dienen ausschliesslich der Steuerung unserer Kommunikation und haben keine rechtliche Wirkung für Sie.
19. Ihre Rechte
Sie haben nach dem anwendbaren Recht das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung, Datenherausgabe beziehungsweise Datenübertragung, Widerspruch gegen Bearbeitungen aufgrund berechtigter Interessen (insbesondere gegen Direktwerbung und Profiling) sowie Widerruf einer Einwilligung mit Wirkung für die Zukunft.
Anfragen richten Sie an [email protected]. Zur Verhinderung von Missbrauch können wir einen Identitätsnachweis verlangen. Bei Daten, die wir im Auftrag eines Kunden bearbeiten, leiten wir Ihre Anfrage an den Kunden weiter oder bitten Sie, sich direkt an diesen zu wenden.
Sie können sich zudem bei einer Aufsichtsbehörde beschweren: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3005 Bern; im EU/EWR-Raum bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmasslichen Verstosses.
20. Pflicht zur Bereitstellung von Daten
Die Angaben zu Registrierung, Unternehmensnachweis, Vertragsabschluss und Abrechnung sind für die Nutzung der Plattform erforderlich. Ohne diese Daten können wir das Konto nicht eröffnen und den Vertrag nicht erfüllen. Alle weiteren Angaben sind freiwillig.
21. Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage, Dienste oder Datenbearbeitungen ändern. Es gilt die auf immobuddy.com veröffentlichte Fassung. Über wesentliche Änderungen informieren wir Kunden per E-Mail.