Datenschutzerklärung

Unsere Website und der Dienst werden bei Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA gehostet. Vercel betreibt ein globales Edge-Netzwerk; serverseitige Verarbeitung erfolgt vorrangig in der Region Frankfurt (fra1).

Beim Aufruf der Seiten verarbeitet Vercel automatisch Server-Logfiles, die Ihr Browser übermittelt:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• angeforderte URL und HTTP-Statuscode
• User-Agent (Browser, Betriebssystem)
• Referrer-URL

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung einer funktions­fähigen Website, IT-Sicherheit).

Speicherdauer: Server-Logs werden nach maximal 30 Tagen gelöscht oder zu Sicherheits­zwecken anonymisiert.

Drittlandübermittlung: Vercel ist nach dem EU-US Data Privacy Framework zertifiziert. Wir haben mit Vercel einen Auftrags­verarbeitungs­vertrag inkl. EU-Standardvertragsklauseln (SCC) geschlossen. Details: vercel.com/legal/privacy-policy.

Für die Authentifizierung und das Speichern Ihrer Account-Daten nutzen wir Supabase (Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992). Die Datenbank und der Speicher werden in der Region EU (Frankfurt) betrieben.

Verarbeitete Daten:

• E-Mail-Adresse, Name
• Passwort (gehasht) bzw. OAuth-Tokens (Google, Apple)
• Organisations- und Rollen­zugehörigkeit
• Aktivitäts­zeitpunkte (Login, Logout)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Mit Supabase besteht ein Auftrags­verarbeitungs­vertrag inkl. SCC.

Innerhalb des Dienstes verarbeiten wir die Daten, die Sie zur Erfüllung Ihrer Aufgaben anlegen (Projekte, Immobilien, Kunden, Reservierungen, Tickets, Notizen, Dateianhänge u. a.). Diese Daten sind streng nach Organisation getrennt (Row-Level-Security in der Datenbank).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit Ihnen als gewerblichem Kunden) bzw. Art. 28 DSGVO (Auftragsverarbeitung, soweit Sie eigene Kunden­daten in den Dienst einstellen — hierfür schließen wir auf Anforderung unter kontakt@deal-pipe.de einen Auftragsverarbeitungs­vertrag mit Ihnen ab).

Hochgeladene Dateien (z. B. Exposés, Verträge, Bilder) werden in Supabase Storage in der Region EU (Frankfurt) gespeichert. Der Zugriff ist auf Mitglieder der jeweiligen Organisation beschränkt und durch Row-Level-Security abgesichert.

Bestimmte Funktionen verwenden KI-Modelle zur Auswertung von Dokumenten (z. B. Exposé-Extraktion, Klassifizierung, Zusammen­fassungen, Ticket-Triage). Hierzu übermitteln wir Dokumentinhalte an folgende Anbieter:

• Google (Gemini-Modelle) über Vertex AI — Vertragspartner ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Modellinferenz erfolgt über Google Vertex AI in der Region europe-west4 (Niederlande); die Verarbeitung findet ausschließlich in der EU statt.
• Google Cloud Storage (EU) — größere Dokumente werden für die KI-Verarbeitung kurzzeitig in einem EU-Bucket zwischengespeichert und unmittelbar nach der Auswertung wieder gelöscht.

Die Eingaben werden ausschließlich zur Beantwortung Ihrer Anfrage verwendet. Wir haben vertraglich sichergestellt, dass die Anbieter die übermittelten Daten nicht zum Training ihrer Modelle nutzen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie Art. 6 Abs. 1 lit. f DSGVO (effiziente Bereitstellung des Dienstes).

Drittlandübermittlung: Die KI-Verarbeitung erfolgt vollständig in der EU (Google Vertex AI, Region Niederlande); eine Übermittlung in ein Drittland findet hierbei nicht statt.

Für Benachrichtigungen, Einladungen, Magic-Link-Logins und sonstige Transaktions-Mails nutzen wir Resend (Resend, Inc., 2261 Market Street, San Francisco, CA 94114, USA). Resend verarbeitet hierzu Ihre E-Mail-Adresse, den Inhalt der Nachricht sowie Zustellungs­metadaten (z. B. Versand-, Öffnungs- und Zustell­zeitpunkt).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) bzw. Art. 6 Abs. 1 lit. f DSGVO (verlässliche Zustellung).

Mit Resend besteht ein Auftrags­verarbeitungs­vertrag inkl. SCC.

Zur Stabilitäts- und Fehlerüberwachung nutzen wir Sentry (Functional Software, Inc. d/b/a Sentry, 132 Hawthorne Street, San Francisco, CA 94107, USA). Bei einem Anwendungs­fehler werden technische Daten an Sentry übermittelt:

• Browser, Betriebssystem, Bildschirmauflösung
• aufgerufene Seite, Zeitstempel
• Stacktrace und Fehlermeldung
• ggf. anonymisierte Nutzer-ID (zur Korrelation mehrerer Fehler eines Nutzers, ohne Klartext-Identifikation)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen Dienst, IT-Sicherheit).

Mit Sentry besteht ein Auftrags­verarbeitungs­vertrag inkl. SCC.

Für In-App- und kanalübergreifende Benachrichtigungen setzen wir Knock Labs, Inc. (228 Park Ave S, PMB 41040, New York, NY 10003, USA) ein. Verarbeitet werden Nutzer-ID, Empfänger­daten und Nachrichten­inhalt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). AV-Vertrag inkl. SCC vorhanden.

Zur Abwehr automatisierter Angriffe (Bots, Credential Stuffing) setzen wir auf der Login-Seite und ausgewählten Endpunkten Vercel BotID ein. Dabei werden technische Signale Ihres Geräts ausgewertet; eine personenbezogene Profilbildung findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit).

Für die Abwicklung kostenpflichtiger Abonnements nutzen wir Stripe. Vertragspartner für Kunden im EWR ist Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Die technische Verarbeitung erfolgt mit Unterstützung der Konzernmutter Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA.

An Stripe übermittelte Daten:

• Name und Rechnungsadresse
• E-Mail-Adresse
• USt-Identifikations­nummer (sofern angegeben)
• Zahlungsmittel-Token (Karten- bzw. SEPA-Daten werden direkt von Stripe erhoben und nicht an uns übermittelt — wir erhalten lediglich einen Token sowie die letzten 4 Stellen / Ablaufdatum zur Anzeige)
• Rechnungs- und Abonnement­metadaten (Plan, Laufzeit, Betrag)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung steuer- und handelsrechtlicher Aufbewahrungs­pflichten).

Speicherdauer: Rechnungs- und Zahlungsdaten werden entsprechend der gesetzlichen Aufbewahrungs­fristen (i. d. R. 10 Jahre nach § 147 AO) gespeichert.

Drittland­übermittlung: Stripe Inc. (USA) ist nach dem EU-US Data Privacy Framework zertifiziert. Mit Stripe besteht ein Auftrags­verarbeitungs­vertrag inkl. EU-Standardvertragsklauseln (SCC). Details: stripe.com/privacy.

Zur Darstellung von Objektstandorten binden wir Google Maps ein (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; technische Verarbeitung ggf. durch Google LLC, USA). Dabei werden die Koordinaten bzw. Adressen der angezeigten Objekte sowie technische Verbindungsdaten (u. a. Ihre IP-Adresse) an Google übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (funktionale Darstellung der Objektdaten). Drittlandübermittlung: auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.

Zur Begrenzung der Anfragerate und zur Zwischenspeicherung nutzen wir Upstash (Upstash, Inc., USA). Dabei werden kurzfristig technische Daten wie IP-Adresse bzw. Nutzer-ID als Zähler verarbeitet; diese Daten sind flüchtig und werden nach kurzer Zeit automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit, Schutz vor Missbrauch und Überlastung).

Sie können optional Ihr E-Mail-Postfach bei Google (Gmail) oder Microsoft (Outlook / Microsoft 365) verbinden, um E-Mails direkt aus dem Dienst zu senden und zu empfangen. Erst nach Ihrer ausdrücklichen Autorisierung (OAuth) greift der Dienst auf die erforderlichen Postfachfunktionen zu; die Zugriffstoken werden verschlüsselt in unserer Infrastruktur (Supabase) gespeichert.

Anbieter: Google Ireland Limited (Gmail API) bzw. Microsoft Ireland Operations Limited (Microsoft Graph). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von Ihnen gewünschten Funktion). Die Anbindung ist optional und jederzeit widerrufbar.

Um die Qualität und Zuverlässigkeit der KI-gestützten Funktionen (Abschnitt 5.4) sicherzustellen, Fehler nachvollziehen zu können und die anfallenden Kosten zu überwachen, protokollieren wir die an die KI-Modelle gesendeten Anfragen und deren Antworten mittels Langfuse.

Anbieter: Langfuse GmbH, Gethsemanestr. 4, 10437 Berlin, Deutschland. Die Verarbeitung und Speicherung erfolgt in der EU (Rechenzentrum Frankfurt).

Verarbeitete Daten:

• die an die KI-Modelle übermittelten Eingaben (u. a. Dokumentinhalte)
• die von den Modellen generierten Antworten
• technische Metadaten (verwendetes Modell, Zeitpunkt, Token- und Kostenkennzahlen, Organisations-Kennung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Qualitätssicherung, Fehleranalyse und Kostenkontrolle der KI-Funktionen).

Drittlandübermittlung: Vertragspartner ist ein deutsches Unternehmen und die Daten werden ausschließlich in der EU verarbeitet; eine Übermittlung in ein Drittland findet nicht statt. Mit Langfuse besteht ein Auftrags­verarbeitungs­vertrag nach Art. 28 DSGVO.

Wir verwenden technisch notwendige Cookies und lokale Speicher­objekte, um den Dienst funktionsfähig zu halten — insbesondere für:

• Authentifizierung und Session-Management (Login)
• Schutz vor Cross-Site-Request-Forgery (CSRF)
• Sprach- und Theme-Auswahl
• Speichern Ihrer Einstellungen innerhalb der Anwendung

Diese Cookies sind nach § 25 Abs. 2 Nr. 2 TTDSG einwilligungs­frei, da sie für den vom Nutzer ausdrücklich angeforderten Dienst unbedingt erforderlich sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen Dienst).

Zur statistischen Auswertung der Nutzung unserer Website setzen wir Vercel Web Analytics ein, einen Dienst der Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Vercel Web Analytics arbeitet ohne Cookies und ohne dauerhaftes Tracking einzelner Nutzer.

Verarbeitet werden folgende Daten:

• aufgerufene URL und Zeitstempel
• Referrer-URL
• User-Agent (Browser, Betriebssystem, Gerätekategorie)
• Bildschirmauflösung
• Herkunftsland (abgeleitet aus der IP-Adresse; die IP wird unmittelbar verworfen und nicht gespeichert)
• ein täglich rotierender, gehashter Tagessalt zur Unterscheidung wiederkehrender Besucher (kein dauerhafter Identifier)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Gestaltung der Website).

Drittland­übermittlung: Vercel Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; mit Vercel besteht ein Auftrags­verarbeitungs­vertrag inkl. EU-Standardvertragsklauseln (SCC). Details: vercel.com/docs/analytics/privacy-policy.

Zur Messung der tatsächlich beim Nutzer erreichten Ladezeiten und Web Vitals (LCP, FID/INP, CLS u. a.) setzen wir Vercel Speed Insights ein, ebenfalls von Vercel Inc. (Anschrift wie oben). Der Dienst arbeitet ohne Cookies und ohne dauerhafte Identifikation des Nutzers.

Verarbeitet werden technische Performance-Daten (Render-Zeitpunkte, Interaktions-Latenzen, Layout-Verschiebungen), aufgerufene URL, User-Agent und Verbindungsqualität — keine personenbezogenen Inhalte und keine IP-Adresse im Klartext.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Optimierung).

Details: vercel.com/docs/speed-insights/privacy-policy.

Innerhalb der Anwendung unter app.deal-pipe.de setzen wir — ausschließlich nach Ihrer Einwilligung — PostHog zur Produktanalyse ein, um zu verstehen, wie der Dienst genutzt wird, und ihn hierdurch zu verbessern.

Anbieter: PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA. Die Verarbeitung und Speicherung erfolgt in der EU-Cloud von PostHog (Rechenzentrum Frankfurt, AWS eu-central-1).

Verarbeitete Daten:

• Seitenaufrufe und Navigationspfade innerhalb der Anwendung
• technische Daten (Browser, Betriebssystem, Gerätekategorie, Ladezeiten / Web Vitals)
• Sitzungsaufzeichnungen (Session Replay): eine Aufzeichnung Ihrer Interaktionen (Mausbewegungen, Klicks, Seitenwechsel) zur Analyse der Nutzerführung. Sämtliche Eingabefelder werden dabei automatisch maskiert; Tastatureingaben und Feldinhalte werden nicht aufgezeichnet
• eine pseudonyme Nutzerkennung (interne, zufällig vergebene Kennung — keine Klartext-Identifikation wie Name oder E-Mail)

PostHog verwendet hierfür Cookies bzw. vergleichbare Speichertechniken (localStorage). Eine automatische Erfassung sämtlicher Klick-Ereignisse („Autocapture") ist deaktiviert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TTDSG (Einwilligung). Ohne Ihre Einwilligung wird PostHog nicht geladen. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen.

Speicherdauer: Sitzungsaufzeichnungen werden automatisch nach einem Monat gelöscht. Ereignis- und Nutzungsdaten werden pseudonymisiert gespeichert und nur so lange aufbewahrt, wie es für die genannten Zwecke erforderlich ist; darüber hinaus können Sie jederzeit deren Löschung verlangen (Abschnitt 10).

Drittlandübermittlung: Die Daten werden in der EU (Frankfurt) gehostet. Vertragspartner ist PostHog Inc. (USA); mit PostHog besteht ein Auftrags­verarbeitungs­vertrag inkl. EU-Standardvertragsklauseln (SCC). Details: posthog.com/privacy.

Wir setzen keine Marketing-, Werbe- oder Profiling-Cookies ein. Es findet keine kanal­übergreifende Nutzerverfolgung und keine Weitergabe von Nutzungsdaten an Werbenetzwerke statt.