Datenschutzerklärung

Wir freuen uns über Ihr Interesse an unseren Leistungen und unserer Website. Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. Im Folgenden informieren wir Sie ausführlich darüber, welche Daten wir erheben, zu welchen Zwecken wir sie verarbeiten und welche Rechte Ihnen zustehen.

Diese Datenschutzerklärung gilt einheitlich für unsere Website (openmind-immobilien.de und zugehörige Seiten) sowie für unser kundenbeziehungsverwaltendes System (CRM), über das wir unsere Maklertätigkeit organisieren. Wo sich die Verarbeitung je nach Berührungspunkt unterscheidet, weisen wir gesondert darauf hin.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Marco Hamacher
Open Mind Immobilien
Flotowstraße 16, 12203 Berlin

E-Mail: info@openmind-immobilien.de
Telefon: +49 172 3039764

Einen Datenschutzbeauftragten haben wir nicht bestellt, da gesetzlich nicht verpflichtend (§ 38 Abs. 1 BDSG; weniger als 20 Personen ständig mit automatisierter Verarbeitung beschäftigt).

Für alle Fragen rund um den Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter der oben genannten Adresse oder per E-Mail an: datenschutz@openmind-immobilien.de.

2. Allgemeines zur Datenverarbeitung

2.1 Umfang

Wir verarbeiten personenbezogene Daten grundsätzlich nur, soweit dies zur Bereitstellung unserer Leistungen sowie zur Erfüllung gesetzlicher Pflichten erforderlich ist oder Sie eingewilligt haben.

2.2 Rechtsgrundlagen

Je nach Verarbeitung stützen wir uns auf folgende Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Ihre Einwilligung (z. B. Newsletter, nicht zwingend erforderliche Dienste).
• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags oder vorvertragliche Maßnahmen (z. B. Maklervertrag, Anfragebearbeitung).
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Pflichten (z. B. Geldwäschegesetz, Handels- und Steuerrecht).
• Art. 6 Abs. 1 lit. f DSGVO – Wahrung berechtigter Interessen (z. B. Sicherheit, Missbrauchsschutz, Reichweitenmessung, Qualitätssicherung von Exposé-Anfragen).
• § 26 BDSG – Verarbeitung im Beschäftigungsverhältnis.
• Für besondere Kategorien personenbezogener Daten (z. B. Gesundheitsdaten von Beschäftigten): Art. 9 Abs. 2 lit. b und h DSGVO.

2.3 Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Die konkreten Fristen finden Sie in Abschnitt 12.

3. Nutzung unserer Website

3.1 Server-Logfiles

Bei jedem Aufruf unserer Website werden durch den Browser automatisch Informationen an den Server übermittelt und vorübergehend in sogenannten Logfiles gespeichert. Erfasst werden:

• IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Seite/Datei sowie Referrer-URL,
• verwendeter Browser und Betriebssystem (User-Agent).

Diese Daten dienen der technischen Bereitstellung, der Stabilität und der Sicherheit unserer Website (Erkennung und Abwehr von Missbrauch). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Internetauftritt). Speicherdauer: Die Webserver-Zugriffslogs werden durch automatische Log-Rotation nach 14 Tagen gelöscht (Apache: tägliche Rotation, 14 Aufbewahrungszyklen; nginx: globale Standardkonfiguration, bis zu 28 Tagen). Anschließend ist eine Rückverfolgung von Zugriffen nicht mehr möglich.

3.2 Hosting

Unsere Website und unsere Systeme werden bei einem Dienstleister in Deutschland gehostet: Server4You GmbH, Hessen-Homburg-Platz 1, 63452 Hanau. Der Hoster verarbeitet die im Rahmen des Betriebs anfallenden Daten in unserem Auftrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO wird derzeit abgeschlossen.

Datensicherung (Offsite-Backups)

Zur Absicherung gegen Datenverlust erstellen wir regelmäßige verschlüsselte Backups Ihrer Daten an zwei getrennten Standorten:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen — Speicherort: Rechenzentrum Falkenstein (Sachsen, Deutschland). Wir nutzen eine Hetzner Storage Box für täglich verschlüsselte Backups (AES-256, client-seitig via restic). Aufbewahrung: 7 tägliche, 4 wöchentliche, 6 monatliche Sicherungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Datensicherheit und Geschäftskontinuität); ein AVV nach Art. 28 DSGVO wird derzeit abgeschlossen.
• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg — Speicherort: EU-Region. Wir nutzen AWS S3 mit aktivierter Versionierung für zusätzliche Infrastruktur-Backups. Die Daten verlassen den europäischen Wirtschaftsraum nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; ein AVV (AWS GDPR Data Processing Addendum) wird derzeit abgeschlossen. AWS ist zusätzlich unter dem EU-US Data Privacy Framework (DPF) zertifiziert.

In beiden Fällen werden die gesicherten Daten ausschließlich zur Wiederherstellung im Notfall verwendet und nach den oben genannten Fristen automatisch gelöscht.

3.3 Reichweitenmessung mit Matomo

Wir verwenden auf unserer Website das Open-Source-Analysewerkzeug Matomo, das wir auf eigenen Servern (selbstgehostet) betreiben. Eine Übermittlung der Daten an Dritte findet dabei nicht statt.

Matomo arbeitet bei uns cookielos und ohne Einwilligungspflicht, weil wir folgende datenschonende Einstellungen aktiviert haben:

• Ihre IP-Adresse wird vor der Speicherung gekürzt/anonymisiert (Entfernung der letzten Stellen),
• es werden keine Cookies gesetzt,
• die Daten werden ausschließlich auf unseren eigenen Servern verarbeitet.

Wir werten damit aus, wie unsere Website genutzt wird (z. B. besuchte Seiten, abgesendete Formulare), um sie zu verbessern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung unserer Website).

3.4 Reichweitenmessung mit Google Analytics 4

Wir nutzen auf unserer Website Google Analytics 4 (GA4), einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Datenverarbeitung kann dabei auch durch die Muttergesellschaft Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, erfolgen.

GA4 hilft uns, die Nutzung unserer Website auszuwerten (z. B. besuchte Seiten, Verweildauer, Herkunft der Besucher, Conversions), um unser Angebot zu verbessern. Dabei werden unter anderem Ihre (gekürzte) IP-Adresse, Geräte- und Browserinformationen sowie Ihr Nutzungsverhalten verarbeitet. GA4 setzt zu diesem Zweck Cookies (u. a. _ga, _gid) auf Ihrem Endgerät.

Wichtig: GA4 wird erst geladen, nachdem Sie im Cookie-Banner aktiv eingewilligt haben („Akzeptieren"). Vor Ihrer Einwilligung wird der Dienst nicht ausgeführt und es werden keine GA4-Cookies gesetzt. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen" im Seitenfuß widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); für das Setzen der Cookies § 25 Abs. 1 TDDDG.

Drittlandübermittlung: Bei der Nutzung von GA4 werden Daten in die USA übermittelt. Die USA gelten als Drittland ohne generell gleichwertiges Schutzniveau. Google LLC ist jedoch unter dem EU-US Data Privacy Framework (DPF) zertifiziert; auf dieser Grundlage (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) ist die Übermittlung zulässig. Ergänzend stützt sich die Übermittlung auf Ihre ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO).

Hinweis zur Rechtslage: Die Wirksamkeit des Data Privacy Framework ist Gegenstand laufender rechtlicher Auseinandersetzungen auf EU-Ebene. Sollte sich die Rechtsgrundlage ändern, passen wir den Einsatz von GA4 und diese Datenschutzerklärung entsprechend an.

Speicherdauer: Die Aufbewahrungsdauer für nutzerbezogene Daten (einschließlich Conversions) ist auf 14 Monate eingestellt. Nach Ablauf werden die Daten automatisch gelöscht. Aggregierte Berichte (ohne Personenbezug) bleiben erhalten. Weitere Informationen finden Sie in der Datenschutzerklärung von Google: https://policies.google.com/privacy

3.5 Google Tag Manager

Zur Verwaltung der auf unserer Website eingesetzten Tags (z. B. Analyse- und Marketing-Dienste) verwenden wir den Google Tag Manager der Google Ireland Limited. Der Tag Manager selbst erhebt keine personenbezogenen Daten, sondern steuert das Ausspielen anderer Dienste. Tags, die eine Einwilligung erfordern (z. B. Google Analytics 4, Meta Pixel, LinkedIn Insight Tag), werden über den Tag Manager erst nach Ihrer Zustimmung ausgelöst. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG; für die zugrunde liegende Drittlandübermittlung gilt das in Abschnitt 9 Genannte.

3.6 Meta Pixel (Facebook/Instagram)

Wir verwenden das Meta Pixel der Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland (Mutterkonzern: Meta Platforms Inc., USA). Das Pixel hilft uns, die Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram zu messen, Zielgruppen zu bilden und Werbung passgenauer auszuspielen. Dabei werden Cookies gesetzt und Nutzungsdaten (u. a. besuchte Seiten, ausgelöste Aktionen, gekürzte IP-Adresse, Geräteinformationen) an Meta übermittelt.

Das Meta Pixel wird erst nach Ihrer ausdrücklichen Einwilligung über die Kategorie „Marketing" im Consent-Banner geladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Drittland: Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Meta ist zertifiziert) und Ihrer Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Weitere Informationen: https://www.facebook.com/privacy/policy

3.7 LinkedIn Insight Tag

Für die Ansprache und Erfolgsmessung im Bereich Recruiting und Partnergewinnung (insbesondere auf den Seiten /karriere/makler und /partner-werden) nutzen wir das LinkedIn Insight Tag der LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland (Teil der Microsoft-Unternehmensgruppe, USA). Das Tag setzt Cookies und ermöglicht die Auswertung von Kampagnen sowie die Bildung von Zielgruppen für berufsbezogene Anzeigen.

Das LinkedIn Insight Tag wird erst nach Ihrer ausdrücklichen Einwilligung über die Kategorie „Marketing" im Consent-Banner geladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Drittland: Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und Ihrer Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Weitere Informationen: https://www.linkedin.com/legal/privacy-policy

3.8 Kartendienst CARTO

Auf unseren Immobilien- und Objektdetailseiten binden wir zur Darstellung von Karten den Dienst CARTO (CartoDB Inc., USA) ein. Dabei kann es zu einer Übermittlung von Daten (insbesondere Ihrer IP-Adresse) in die USA kommen.

Die Karte wird erst nach Ihrer ausdrücklichen Einwilligung geladen; bis dahin wird sie blockiert (Consent-Gate). Die USA gelten datenschutzrechtlich als Drittland ohne generell gleichwertiges Schutzniveau. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); für die Drittlandübermittlung Art. 49 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung). [PLATZHALTER – prüfen, ob CartoDB Inc. unter dem DPF zertifiziert ist; falls ja, als zusätzliche Transfergrundlage ergänzen.] Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen" im Seitenfuß widerrufen (siehe Abschnitt 4).

3.9 Schriftarten

Schriftarten werden von unseren eigenen Servern ausgeliefert (lokal gehostet). Eine Verbindung zu Drittanbietern (z. B. Google Fonts) findet nicht statt.

4. Cookies, lokaler Speicher und Einwilligungsverwaltung

Beim Aufruf unserer Website informiert Sie ein Consent-Banner über die eingesetzten Dienste und holt Ihre Einwilligung für nicht zwingend erforderliche Cookies und Dienste ein. Der Banner unterscheidet folgende Kategorien: Notwendig (immer aktiv), Statistik/Analyse, Marketing und Karten. Einwilligungspflichtige Dienste werden erst nach Ihrer aktiven Zustimmung zur jeweiligen Kategorie geladen. Ihre Entscheidung können Sie jederzeit über den Link „Cookie-Einstellungen" im Seitenfuß ändern oder widerrufen.

Technisch notwendige Speicherungen (keine Einwilligung erforderlich):

• Einwilligungsspeicher (om-consent-v1, localStorage): speichert Ihre Entscheidungen aus dem Consent-Banner, damit Sie nicht bei jedem Besuch erneut gefragt werden. Es handelt sich nicht um ein Tracking-Cookie.
• Session-Mechanismus für Exposé-Abrufe: token-basierter, technisch notwendiger Zugriffsmechanismus beim Aufruf freigegebener Exposés (siehe Abschnitt 9).
• CRM-Sitzungs-Cookie (nur für eingeloggte Nutzer/Makler): ein technisch notwendiges Sitzungs-Cookie (HttpOnly, Secure, SameSite=Lax) mit einer Gültigkeit von 4 Stunden.

Einwilligungspflichtige Cookies und Dienste (erst nach aktiver Zustimmung):

• Kategorie Statistik/Analyse – Google Analytics 4: setzt Cookies (u. a. _ga, _gid) zur Reichweitenmessung; Details und Drittlandhinweis in Abschnitt 3.4.
• Kategorie Marketing – Meta Pixel (Facebook/Instagram): Werbeerfolgsmessung und Zielgruppenbildung; Details in Abschnitt 3.6.
• Kategorie Marketing – LinkedIn Insight Tag: Recruiting-/Partner-Kampagnen; Details in Abschnitt 3.7.
• Steuerung – Google Tag Manager: löst die vorstehenden Tags abhängig von Ihrer Einwilligung aus; Details in Abschnitt 3.5.
• Kategorie Karten – CARTO: Einbindung von Kartenmaterial auf Immobilienseiten; Details in Abschnitt 3.8.

Rechtsgrundlage: für technisch notwendige Speicherungen § 25 Abs. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO; für einwilligungsbedürftige Cookies und Dienste § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.

5. Kontaktaufnahme und Formulare auf der Website

Auf unserer Website bieten wir verschiedene Formulare an. Alle Formulare enthalten eine Einwilligungs-Checkbox und einen Hinweis auf diese Datenschutzerklärung. Die über Formulare erhobenen Daten werden zur Bearbeitung Ihres Anliegens an unser CRM übergeben und dort weiterverarbeitet (siehe Abschnitt 7 ff.).

5.1 Kontaktformular

Erhoben werden: Vorname, Nachname, E-Mail-Adresse, Telefonnummer und Ihre Nachricht. Zweck: Bearbeitung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich/vertraglich) bzw. Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung allgemeiner Anfragen).

5.2 Immobilienbewertung

In einem mehrstufigen Formular erfassen wir zunächst Angaben zur Immobilie (Objekttyp, Lage, Größe, Zustand) und anschließend Ihre Kontaktdaten (Name, E-Mail, Telefon). Zweck: Erstellung einer Wertindikation und Kontaktaufnahme. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Standortbezogene Anfrageformulare

Auf unseren Standortseiten erfassen wir: Vorname, Nachname, E-Mail, Telefon, Straße, Postleitzahl, Ort sowie Objektangaben (Objekttyp, Wohnfläche). Hinweis: Hierbei kann Ihre vollständige Wohnanschrift verarbeitet werden. Diese Angaben benötigen wir zur ortsbezogenen Einschätzung und Vermittlung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.4 Partner-/Kooperationsanfragen

Erhoben werden: Vorname, Nachname, E-Mail, Telefon, Nachricht. Zweck: Bearbeitung Ihrer Kooperationsanfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

5.5 Bewerbung / Karriere (mit Lebenslauf-Upload)

Im Karrierebereich erheben wir: Vorname, Nachname, E-Mail, Telefon, Berufsjahre, frühestes Verfügbarkeitsdatum, Nachricht sowie einen Lebenslauf-Upload. Hochgeladene Dateien werden automatisiert auf Schadsoftware geprüft (Virenscan, ClamAV) und in einem zugriffsbeschränkten Objektspeicher abgelegt. Zweck: Durchführung des Bewerbungsverfahrens. Rechtsgrundlage: § 26 BDSG, Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Beschäftigungsverhältnisses). Speicherdauer: Bei Ablehnung werden Bewerberdaten nach 6 Monaten gelöscht (Nachweiszeitraum nach dem AGG), sofern Sie keiner längeren Speicherung zugestimmt haben.

5.6 Online-Terminvereinbarung

Über unser Buchungstool können Sie Termine vereinbaren. Erhoben werden Name, E-Mail, Telefon und Termindetails. Aus Sicherheitsgründen speichern wir zusätzlich eine gekürzte/verschlüsselte (gehashte) IP-Adresse sowie Angaben zu Ihrem Browser (User-Agent) und kryptografische Tokens für Stornierung/Verschiebung. Die Terminbestätigung versenden wir per E-Mail über unseren Dienstleister Brevo (siehe Abschnitt 8). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Terminabwicklung), Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz).

5.7 Schutz vor Missbrauch

Zum Schutz vor automatisierten Eingaben und Missbrauch setzen wir technische Maßnahmen wie Spam-Schutzfelder (Honeypot), Zugriffsbegrenzungen (Rate-Limiting) und die Protokollierung einer gekürzten/gehashten IP-Adresse ein. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

5.8 Terminbuchung

Über unsere Buchungsseiten (z. B. über Visitenkarten-QR-Codes oder Website-Links erreichbar) können Sie direkt Termine mit unseren Maklern vereinbaren. Dabei verarbeiten wir: Name, E-Mail-Adresse, Telefonnummer (optional), gewünschten Termin sowie eine optionale Nachricht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage der betroffenen Person — Anbahnung einer Immobilienberatung).

Speicherdauer: Termindaten werden bis zu 36 Monate gespeichert. Hintergrund: Immobilienkaufentscheidungen reifen erfahrungsgemäß über mehrere Jahre; ein berechtigtes Interesse an der Weiterführung des Kontakts besteht für diesen Zeitraum (Art. 6 Abs. 1 lit. f DSGVO). Sie können der weiteren Verarbeitung jederzeit widersprechen (→ Abschnitt 15).

Marketingkommunikation: Soweit Sie bei der Buchung in die Zusendung von Immobilienangeboten und Marktinformationen per E-Mail eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO), speichern wir Ihre Daten bis zum Widerruf Ihrer Einwilligung; der Widerruf ist jederzeit möglich (Abmeldelink in jeder E-Mail oder E-Mail an datenschutz@openmind-immobilien.de). Ohne eine solche Einwilligung erhalten Sie keine Marketingmails.

Die Buchungsplattform wird auf eigener Server-Infrastruktur betrieben (Server4You GmbH, Hanau; AVV liegt vor). Keine Weitergabe an Dritte.

6. Übersicht: Datenkategorien im CRM

Unser CRM ist das zentrale System, in dem wir unsere Maklertätigkeit abwickeln. Wir verarbeiten dort – je nach Ihrer Rolle (Interessent, Eigentümer, Käufer, Verkäufer, Mietinteressent, Bewerber, Beschäftigter) – insbesondere folgende Datenkategorien:

• Stammdaten: Anrede, Titel, Vor- und Nachname, Firma/Position, Anschrift, E-Mail- und Telefonnummern.
• Biografische Daten: Geburtsdatum, Geburtsort, Staatsangehörigkeit.
• Identitäts- und Steuerdaten: Ausweisnummer, Gültigkeit und ausstellende Behörde, Steuer-Identifikationsnummer (im Rahmen von GwG/Notarvorgängen).
• Vertrags- und Vertriebsdaten: Anfrage- und Akquisequelle, Suchprofile, Kommunikationsverlauf, Notizen, Aktivitäten.
• Bonitäts- und Einkommensdaten (bei Mietinteressenten, siehe 7.4).
• GwG-/Identifizierungsdaten (siehe 7.3).
• Beschäftigten- und Bewerberdaten (siehe 7.5 und 5.5; ausführliche Beschäftigteninformation gesondert, siehe Hinweis in 7.5).
• Nutzungs-/Tracking-Daten (siehe Abschnitt 11).

7. Verarbeitungszwecke im CRM im Einzelnen

7.1 Maklervermittlung und Vertragsabwicklung

Wir verarbeiten Ihre Daten, um Immobilien zu vermitteln, Exposés bereitzustellen, Besichtigungen zu organisieren, Verträge anzubahnen und abzuwickeln (z. B. Maklerauftrag, Vollmacht, Kaufabsichtserklärung, Übergabeprotokoll, Notardatenblatt, Objektnachweis). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7.2 Daten von Mit-Eigentümern und Dritten

Bei der Erfassung von Objekten können – soweit von Ihnen oder einem berechtigten Dritten angegeben – auch Daten weiterer Mit-Eigentümer verarbeitet werden. Wir kennzeichnen, ob eine Bestätigung der betroffenen Person vorliegt. Sofern uns Daten Dritter übermittelt werden, setzen wir voraus, dass die übermittelnde Person hierzu berechtigt ist; wir informieren betroffene Dritte gemäß Art. 14 DSGVO, soweit erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

7.3 Identitätsprüfung und Geldwäscheprävention (GwG)

Als Immobilienmakler unterliegen wir dem Geldwäschegesetz (GwG). Wir sind daher verpflichtet, Vertragspartner zu identifizieren und bestimmte Daten zu erfassen und aufzubewahren:

• Art und Daten des Ausweisdokuments (u. a. Ausweisnummer, ausstellende Behörde, Gültigkeit), Geburtsort, Steuer-Identifikationsnummer,
• Angaben zu wirtschaftlich Berechtigten,
• Feststellung, ob es sich um eine politisch exponierte Person (PEP) handelt,
• ggf. Verdachtsmeldungen an die zuständige Behörde.

Im gesetzlich vorgesehenen Fall einer Verdachtsmeldung beachten wir das Verbot der Informationsweitergabe an den Betroffenen („Tipping-off-Verbot", § 47 GwG). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. den Vorschriften des GwG. Speicherdauer: 5 Jahre (§ 8 GwG).

7.4 Bonitäts-/Selbstauskunft bei Mietinteressenten

Im Rahmen der Vermietung verarbeiten wir Angaben aus der Mieter-Selbstauskunft, insbesondere Nettoeinkommen, Arbeitgeber/Beschäftigungsstatus, Angaben zu Insolvenz oder Pfändung, Bonitätsnachweise (z. B. SCHUFA) sowie Angaben zu Haushaltsmitgliedern. Diese Daten benötigen wir, um im Auftrag der Vermieterseite geeignete Mietinteressenten auszuwählen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung des Mietverhältnisses) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Mieterauswahl). Die Verarbeitung erfolgt nur im erforderlichen Umfang und unter Beachtung der mietrechtlichen Grenzen zulässiger Fragen.

7.5 Beschäftigtendaten

Im Rahmen von Beschäftigungsverhältnissen verarbeiten wir die hierfür erforderlichen Daten, u. a. Privatanschrift, Notfallkontakt, Vertrags- und Arbeitszeitdaten, Bankverbindung, Steuerklasse, Sozialversicherungsnummer, Berufserlaubnisse (§ 34c GewO), Berufshaftpflicht sowie Abwesenheiten. Soweit Abwesenheiten krankheitsbedingt sind, handelt es sich um Gesundheitsdaten (besondere Kategorie nach Art. 9 DSGVO). Rechtsgrundlage: § 26 BDSG, Art. 6 Abs. 1 lit. b und c DSGVO; für Gesundheitsdaten Art. 9 Abs. 2 lit. b und h DSGVO. Hinweis: Beschäftigte erhalten eine gesonderte Datenschutzinformation nach Art. 13 DSGVO [PLATZHALTER – separate Beschäftigteninformation erstellen; dieser Abschnitt dient nur der Transparenz nach außen].

7.6 Kommunikation

Wir verarbeiten den E-Mail-Verkehr unserer geschäftlichen Postfächer (über eigene Mailserver), interne Chat-Nachrichten sowie Termin-/Kalendereinträge, soweit dies zur Bearbeitung Ihres Anliegens und zur Organisation unserer Tätigkeit erforderlich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

7.7 Kommunikation über WhatsApp

Auf Wunsch kommunizieren unsere Makler mit Eigentümern, Kauf- und Mietinteressenten auch über WhatsApp (Anbieter: Meta Platforms Ireland Limited, Mutterkonzern Meta Platforms Inc., USA). Wenn Sie diesen Weg nutzen, werden Ihre Telefonnummer, Nachrichteninhalte sowie technische Verbindungs- und Metadaten durch den Anbieter verarbeitet; dabei findet eine Übermittlung in die USA statt.

Wir setzen WhatsApp in folgenden Konstellationen ein:

• Sie kontaktieren uns zuerst über WhatsApp: In diesem Fall führen wir die Kommunikation auf dem von Ihnen gewählten Kanal fort. Rechtsgrundlage ist die Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO).
• Sie erteilen uns eine Einwilligung, Sie aktiv per WhatsApp zu kontaktieren: Diese Einwilligung können Sie über eine entsprechende Auswahl in unseren Formularen oder im Rahmen eines Telefonats erteilen. Bei einer telefonisch erteilten Zusage senden wir Ihnen eine erste WhatsApp-Nachricht mit einem Bestätigungslink; mit Ihrer Bestätigung dokumentieren wir Ihre Einwilligung (Verfahren des doppelten Bestätigens). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Zum Nachweis Ihrer Einwilligung speichern wir den Zeitpunkt, das verwendete Verfahren (Formular, telefonische Zusage mit Link-Bestätigung oder von Ihnen selbst eröffnete Kommunikation), die jeweils gültige Fassung des Einwilligungstextes sowie – bei der Bestätigung über den Link – die zum Zeitpunkt des Klicks verwendete IP-Adresse.

Ihre Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Für den Widerruf genügt eine kurze Mitteilung an uns oder die Nachricht „STOPP" über WhatsApp; danach erfolgt keine weitere WhatsApp-Kontaktaufnahme. Wenn Sie WhatsApp nicht nutzen möchten, stehen Ihnen Telefon und E-Mail als gleichwertige Alternativen zur Verfügung; die Bearbeitung Ihrer Anfrage hängt nicht von einer WhatsApp-Einwilligung ab.

Zweck: Kundenkommunikation, Anbahnung und Abwicklung der Maklerleistung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vom Kunden eröffnete Kommunikation), Art. 6 Abs. 1 lit. a DSGVO (proaktive Kontaktaufnahme nach Einwilligung). Drittland: Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Meta ist zertifiziert) und – bei proaktiver Ansprache – ergänzend Ihrer Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Weitere Informationen: https://www.whatsapp.com/legal/privacy-policy-eea

7.8 Finanz- und Provisionsdaten

Zur Abrechnung verarbeiten wir provisions- und zahlungsbezogene Daten (z. B. Rechnungsnummern, Beträge, Zahlungseingänge). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (handels- und steuerrechtliche Pflichten).

7.9 Daten von Miteigentümern (Art. 14 DSGVO)

Wenn Sie uns eine Immobilie zur Vermarktung melden und dabei Daten eines weiteren Eigentümers (z. B. Ehe-/Lebenspartner, Erbengemeinschaft, GbR-Gesellschafter) angeben, verarbeiten wir auch diese Daten (Name, Kontaktdaten, Eigentumsanteil) zur Durchführung des Maklerauftrags.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Maklervertrags, der alle Eigentümer betrifft) in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO (Identifikationspflichten nach GwG, soweit anwendbar).

Information des Miteigentümers: Da wir die Daten des Miteigentümers nicht direkt von ihm erhalten, informieren wir ihn innerhalb eines Monats nach Erfassung über die Verarbeitung (Art. 14 DSGVO). Wir bitten Sie, uns mitzuteilen, wenn der Miteigentümer bereits informiert wurde.

Speicherdauer: Entsprechend der für das jeweilige Objekt geltenden Aufbewahrungsfrist (5 Jahre GwG-Pflichten, bis zu 10 Jahre Vertragsdaten nach HGB).

8. Empfänger und Auftragsverarbeiter

Wir geben Ihre Daten nur weiter, wenn dies zur Vertragserfüllung erforderlich ist, eine gesetzliche Pflicht oder Ihre Einwilligung vorliegt oder ein berechtigtes Interesse besteht. Mit Dienstleistern, die Daten in unserem Auftrag verarbeiten, schließen wir Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

Dienstleister	Zweck	Ort	Status
Server4You GmbH, Hessen-Homburg-Platz 1, 63452 Hanau	Hosting der Systeme	Deutschland	aktiv
Eigene Mailserver (Plesk, IMAP/SMTP)	E-Mail-Kommunikation, transaktionaler Mailversand (Buchungsbestätigungen, Systembenachrichtigungen), Newsletter- und Marketingversand (Einwilligung vorausgesetzt)	Deutschland (selbstgehostet)	aktiv
Objektspeicher (MinIO/S3)	Speicherung von Dokumenten, Uploads, Medien	selbstgehostet	aktiv
Nextcloud	Dokumenten-/Aktenablage	selbstgehostet	aktiv
Matomo	Reichweitenmessung (selbstgehostet, cookielos)	selbstgehostet (EU)	aktiv
Google Analytics 4 (Google Ireland Ltd. / Google LLC)	Reichweitenmessung	EU / USA	aktiv (nur nach Einwilligung)
Google Tag Manager (Google Ireland Ltd.)	Steuerung von Tags	EU / USA	aktiv
Meta Pixel (Meta Platforms Ireland Ltd.)	Werbeerfolgsmessung Facebook/Instagram	EU / USA	aktiv (nur nach Einwilligung)
LinkedIn Insight Tag (LinkedIn Ireland / Microsoft)	Recruiting-/Partner-Kampagnen	EU / USA	aktiv (nur nach Einwilligung)
WhatsApp (Meta Platforms Ireland Ltd.)	Kundenkommunikation der Makler	EU / USA	aktiv
Nominatim / OpenStreetMap	Geokodierung von Objektadressen (serverseitig im CRM)	EU/UK	aktiv
Behördliche Geodienste (ALKIS/BORIS)	Abruf von Geo-/Objektdaten (nur Koordinaten/PLZ, keine personenbezogenen Daten)	Deutschland	aktiv
CARTO (CartoDB Inc.)	Kartendarstellung auf Immobilienseiten	USA	aktiv (nur nach Einwilligung)
Hetzner Online GmbH	Offsite-Backup / Datensicherung (siehe Abschnitt 3.2)	Deutschland (Falkenstein)	aktiv
AWS (Amazon Web Services EMEA SARL)	KI-Verarbeitung (siehe Abschnitt 10); Offsite-Backup / Datensicherung (siehe Abschnitt 3.2)	EU (Frankfurt / Luxemburg)	aktiv
Anthropic	KI-Verarbeitung ohne Personenbezug (siehe Abschnitt 10)	USA	aktiv (ohne Personenbezug)
DeepL SE, Maarweg 165, 50825 Köln (DE)	Automatische Übersetzung von Website-Inhalten (Objektbeschreibungen, allgemeine Texte) über die DeepL-API; im Regelfall keine Personendaten enthalten; AVV abgeschlossen (Pro-Konto)	Deutschland	aktiv

Status der Auftragsverarbeitungsverträge: Die AVV mit Server4you, Hetzner, Google (GA4/Tag Manager), Meta (Pixel/WhatsApp), LinkedIn, CARTO und AWS werden derzeit abgeschlossen. Selbstgehostete Komponenten (Matomo, MinIO, Nextcloud, Mailserver) betreiben wir in eigener Verantwortung; eine Übermittlung an externe Dritte findet dabei nicht statt.

9. Drittlandübermittlung

Eine Übermittlung personenbezogener Daten in Länder außerhalb der EU/des EWR findet nur in den nachstehenden Fällen und auf folgenden Grundlagen statt:

• Vereinigtes Königreich (OpenStreetMap, serverseitige Geokodierung): Es besteht ein Angemessenheitsbeschluss der EU-Kommission.
• USA (Google Analytics 4 und Google Tag Manager): Die USA gelten als Drittland ohne generell gleichwertiges Schutzniveau. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss vom 10.07.2023); ergänzend erfolgt die Übermittlung auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Die Dienste werden erst nach Ihrer Zustimmung geladen.
• USA (Meta Pixel und WhatsApp): Meta Platforms ist unter dem EU-US Data Privacy Framework zertifiziert. Das Meta Pixel wird nur nach Ihrer Einwilligung geladen; die WhatsApp-Kommunikation erfolgt nur, wenn Sie diesen Kanal nutzen (Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 49 Abs. 1 lit. a DSGVO).
• USA (LinkedIn Insight Tag): LinkedIn/Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert. Der Dienst wird nur nach Ihrer Einwilligung geladen (Art. 49 Abs. 1 lit. a DSGVO).
• USA (CARTO): Die USA gelten als Drittland ohne generell gleichwertiges Schutzniveau. Der Dienst wird nur nach Ihrer ausdrücklichen Einwilligung geladen (Art. 49 Abs. 1 lit. a DSGVO). [PLATZHALTER – prüfen, ob CartoDB Inc. unter dem DPF zertifiziert ist; falls ja, als zusätzliche Transfergrundlage ergänzen.]
• USA (Anthropic, KI): Eine Übermittlung in die USA erfolgt ausschließlich für Inhalte ohne Personenbezug. Daten mit Personenbezug werden niemals in die USA übermittelt; dies ist technisch fest abgesichert. [PLATZHALTER – konkrete Anthropic-Transfergrundlage (DPF-Zertifizierung bzw. Standardvertragsklauseln) mit Anwalt bestätigen.]

Hinweis: Die Wirksamkeit des EU-US Data Privacy Framework ist Gegenstand laufender rechtlicher Prüfungen auf EU-Ebene. Bei einer Änderung der Rechtslage passen wir die betroffenen Verarbeitungen und diese Erklärung an.

10. Künstliche Intelligenz (KI) im CRM

Wir setzen KI-gestützte Werkzeuge zur Aufbereitung und Organisation von Informationen ein (z. B. Textvorschläge, Zusammenfassungen). Die KI-Verarbeitung ist dreistufig aufgebaut:

1. Lokale Verarbeitung: Für einen Teil der Aufgaben läuft die KI auf unseren eigenen Servern. Es findet dabei keine Übermittlung an externe Anbieter statt.
2. EU-Cloud (AWS Bedrock): Für besonders rechenintensive Aufgaben nutzen wir AWS Bedrock in der Region EU (Frankfurt). Die Verarbeitung findet innerhalb der EU statt.
3. Externe KI ohne Personenbezug (Anthropic, USA): Für Inhalte ohne jeden Personenbezug nutzen wir den Anbieter Anthropic (USA). Personenbezogene Daten werden hierbei technisch zuverlässig ausgeschlossen und gelangen nicht in die USA.

Zu jedem KI-Vorgang protokollieren wir lediglich Metadaten (z. B. auslösende Person, Bezug, Modell, Verarbeitungsaufwand) – nicht die Inhalte der Anfragen oder Antworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (effiziente Bearbeitung); für die EU-Cloud-Verarbeitung mit Personenbezug besteht eine Auftragsverarbeitung mit AWS. Die Übermittlung an Anthropic (USA) erfolgt ausschließlich personenunbezogen; soweit dabei dennoch ein Drittlandbezug entsteht, stützt sie sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln [PLATZHALTER – konkrete Anthropic-Transfergrundlage mit Anwalt bestätigen].

11. Tracking, Erfolgsmessung und Token-Links

11.1 E-Mail- und Exposé-Tracking

Beim Versand von E-Mails und Exposés (u. a. über eigene Mailserver und Exposé-Links) können wir messen, ob und wann eine E-Mail zugestellt, geöffnet oder angeklickt wurde, welche Links angeklickt wurden sowie ob ein Exposé geöffnet oder heruntergeladen wurde. Dies dient der Erfolgsmessung und der bedarfsgerechten Betreuung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; bei werblichen Newslettern Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können dem Tracking jederzeit widersprechen bzw. Ihre Einwilligung widerrufen.

11.2 Kampagnen- und QR-Code-Scans

Bei der Auswertung von Werbemaßnahmen (z. B. QR-Codes auf Flyern, Landingpages) erfassen wir technische Zugriffsdaten. Ihre IP-Adresse wird dabei nicht im Klartext gespeichert, sondern verschlüsselt/gekürzt (gehasht). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

11.3 Token-basierte Exposé- und Kalenderlinks

Freigegebene Exposés und Kalenderfeeds rufen Sie über individuelle, token-basierte Links auf. Wir protokollieren Zugriffe (z. B. Öffnungszeitpunkt) zum Nachweis und zur Missbrauchsabwehr. Bei der Bestätigung gesetzlich vorgeschriebener Hinweise (z. B. Widerrufsbelehrung) kann eine IP-Adresse zu Nachweiszwecken gespeichert werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Bei der Freischaltung eines personalisierten Exposé-Links bitten wir Sie zusätzlich um Bestätigung bzw. Korrektur Ihres Namens, Ihrer Telefonnummer sowie Ihrer Anschrift (Straße, Postleitzahl, Ort). Name, E-Mail und Telefonnummer benötigen wir zur Erfüllung des in diesem Moment zustande kommenden Maklervertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Anschrift erheben wir zusätzlich in unserem berechtigten Interesse an einer zügigen, persönlichen Bearbeitung Ihrer Anfrage und einer zuverlässigen Planung von Besichtigungsterminen (Art. 6 Abs. 1 lit. f DSGVO). Falls Sie diese Angaben nicht über das Formular machen möchten, kontaktieren Sie uns bitte direkt unter +49 172 3039764 oder info@openmind-immobilien.de – wir bearbeiten Ihre Anfrage dann auf diesem Weg weiter.

12. Speicherdauer

Wir löschen oder anonymisieren personenbezogene Daten, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Maßgeblich sind insbesondere:

Datenkategorie	Aufbewahrung	Grundlage
Interessenten / allgemeine Anfragen	5 Jahre ab letzter Aktivität	berechtigtes Interesse / Verjährungsfristen
Käufer / Verkäufer / Vertragsdaten	10 Jahre	§ 257 HGB, § 147 AO
GwG-/Identifizierungsdaten	5 Jahre	§ 8 GwG
Abgelehnte Bewerbungen	6 Monate	Nachweis nach AGG
Beschäftigtendaten	für die Dauer des Beschäftigungsverhältnisses und gesetzliche Nachlauffristen	§ 26 BDSG, steuer-/sozialrechtliche Fristen
Server-Logfiles	14 Tage (Apache-Webserver); nginx-Logs max. 28 Tage (globale logrotate-Konfiguration)	Art. 6 Abs. 1 lit. f DSGVO
Tracking-/Protokolldaten (gehasht)	13 Monate (Matomo-Standard, cookieloses Tracking mit gekürzter IP)	Art. 6 Abs. 1 lit. f DSGVO

Die Löschung erfolgt fristgerecht; wo eine Löschung aus rechtlichen Gründen (noch) nicht möglich ist, schränken wir die Verarbeitung ein bzw. anonymisieren die Daten.

13. Datensicherheit (technische und organisatorische Maßnahmen)

Wir treffen geeignete technische und organisatorische Maßnahmen, um Ihre Daten zu schützen, u. a.:

• Verschlüsselung von Zugangs-/Schlüsseldaten sowie der Datenübertragung,
• sichere Passwortspeicherung (bcrypt) und Schutz vor automatisierten Anmeldeversuchen,
• automatische Abmeldung nach Sitzungsende sowie zeitlich begrenzte Sitzungen,
• rollen- und mandantenbezogene Zugriffsbeschränkungen (Zugriff nur für berechtigte Personen),
• Prüfung von Datei-Uploads auf Schadsoftware,
• Verschleierung/Kürzung von IP-Adressen bei der Reichweiten- und Kampagnenmessung,
• Protokollierung sicherheitsrelevanter Zugriffe.

Wir entwickeln unsere Schutzmaßnahmen fortlaufend weiter, um sie an den Stand der Technik anzupassen.

14. Newsletter und Werbung

Soweit Sie sich für einen Newsletter anmelden oder einer werblichen Ansprache zustimmen, verarbeiten wir Ihre Kontaktdaten zum Versand. Den Versand wickeln wir ausschließlich über eigene CRM-Infrastruktur und eigene Mailserver ab (kein externer Dienstleister für E-Mail-Versand). Sie können sich jederzeit abmelden; ein Abmeldelink ist in jeder werblichen E-Mail enthalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); ggf. § 7 Abs. 3 UWG für Bestandskunden.

15. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten,
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die in Abschnitt 1 genannten Kontaktdaten. Zur Wahrung Ihrer Rechte und zum Schutz vor unberechtigtem Zugriff prüfen wir vor Auskunft, Löschung oder Berichtigung Ihre Identität.

16. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61, 10555 Berlin
Tel.: +49 30 13889-0 · E-Mail: mailbox@datenschutz-berlin.de · www.datenschutz-berlin.de

17. Aktualität und Änderungen

Diese Datenschutzerklärung hat den Stand 18.07.2026. Durch die Weiterentwicklung unserer Website und unserer Systeme oder aufgrund geänderter rechtlicher Vorgaben kann es notwendig werden, diese Erklärung anzupassen. Die jeweils aktuelle Fassung kann jederzeit auf unserer Website abgerufen werden.