Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung („DSGVO“) ist:

K2 Labs UG (haftungsbeschränkt) i.G.
Kreuzstraße 7
30159 Hannover
vertreten durch den Geschäftsführer Simon Spannig
E-Mail: admin@hiddenkeys.de

Datenschutzkontakt: admin@hiddenkeys.de. Sofern künftig ein Datenschutzbeauftragter bestellt wird, werden dessen Kontaktdaten an dieser Stelle ergänzt.

2. Worum es bei Hidden Keys geht

Hidden Keys unterstützt Nutzer bei der Wohnungssuche. Der Dienst kann Wohnungsinserate aus verschiedenen Quellen zusammenführen, anhand eines persönlichen Suchprofils zuordnen und eine vom Nutzer bearbeitete Anschreibenvorlage speichern. Hidden Keys übermittelt keine Bewerbungen oder Unterlagen an Anbieter.

Welche Daten tatsächlich verarbeitet werden, hängt davon ab, welche Funktionen der Nutzer verwendet und welche Angaben er freiwillig bereitstellt.

3. Aufruf der Website und technischer Betrieb

Beim Aufruf der Website verarbeiten wir technisch erforderliche Verbindungsdaten. Dazu können IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, HTTP-Status, übertragene Datenmenge, Browser, Betriebssystem, Geräteinformationen sowie Sicherheits- und Fehlerdaten gehören.

Die Verarbeitung dient der Auslieferung der Website, der Stabilität, Fehleranalyse, Missbrauchsabwehr und IT-Sicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung eines angeforderten Dienstes erforderlich ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb des Angebots.

Die Webanwendung wird über Vercel bereitgestellt; die Anwendungsdaten werden in einer PostgreSQL-Datenbank bei Google Cloud SQL verarbeitet. Informationen zu Unterauftragsverarbeitern und den Garantien für Drittlandübermittlungen können unter admin@hiddenkeys.de angefordert werden.

4. Registrierung, Anmeldung und Nutzerkonto

Für Registrierung und Anmeldung verarbeiten wir insbesondere:

• Name und E-Mail-Adresse;
• Account-ID, Verifizierungsstatus und Erstellungs- bzw. Änderungszeitpunkte;
• Einmalcodes zur Anmeldung und deren Ablaufzeit;
• Session-Token, Sitzungsablauf, IP-Adresse und User-Agent;
• gegebenenfalls eine Stripe-Kundennummer sowie im Nutzerkonto gespeicherte Profil- und Benachrichtigungseinstellungen.

Wir verwenden Better Auth als technische Authentifizierungsbibliothek. Einmalcodes werden per E-Mail versandt und sind zehn Minuten gültig. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Konto- und Vertragsbereitstellung sowie Art. 6 Abs. 1 lit. f DSGVO für die Absicherung gegen unbefugte Zugriffe.

Der Versand der Anmelde-E-Mails erfolgt über Resend. Dabei werden insbesondere E-Mail-Adresse, Einmalcode, Versandzeitpunkt und technische Zustellinformationen verarbeitet. Resend erhält nur die für den Versand erforderlichen Daten.

Bei freiwilliger Anmeldung mit Google werden zur Kontoerstellung Name, E-Mail-Adresse und eine technische Kennung des Google-Kontos übermittelt. Für die Authentifizierung findet eine Weiterleitung zu Google statt; dabei verarbeitet Google selbst Verbindungsdaten nach seinen Datenschutzbestimmungen. Die Anmeldung per E-Mail bleibt als Alternative möglich. Rechtsgrundlage für die Einrichtung des Nutzerkontos ist Art. 6 Abs. 1 lit. b DSGVO.

5. Profil, Suchaufträge und Matching

Im Profil und in gespeicherten Suchen verarbeiten wir je nach Nutzung insbesondere:

• Vor- und Nachname, Beruf, monatliches Nettoeinkommen und Haushaltsgröße;
• Name und Aktivierungsstatus eines Suchauftrags;
• Stadt, Ortsteile oder Postleitzahlen, Preisobergrenze, Mindestgröße und Zimmerzahl;
• weitere freiwillige Wohnungswünsche und Prioritäten;
• zugeordnete Inserate sowie Zeitpunkte von Erstellung und Änderung.

Wir verarbeiten diese Daten, um das Nutzerkonto einzurichten, passende Inserate auszuwählen und die gebuchten Funktionen bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Freiwillige Angaben können jederzeit geändert werden, soweit sie für einen aktiven Suchauftrag nicht technisch erforderlich sind.

6. Inserate und Kontaktdaten aus Drittquellen

Für die Wohnungssuche verarbeiten wir Daten aus den jeweils unterstützten Inseratsquellen. Dazu können Objektadresse und Lage, Preis- und Ausstattungsdaten, Beschreibung, Bilder und Links, Veröffentlichungs- und Aktualisierungszeitpunkte sowie Name und geschäftliche Kontaktdaten von Vermietern, Maklern oder Verwaltungen gehören. Quelle ist das jeweilige öffentlich oder aufgrund einer Berechtigung zugängliche Inserat.

Zweck ist das Auffinden, Anzeigen, Aktualisieren und Zuordnen von Inseraten. Eine Kontaktaufnahme erfolgt allein durch den Nutzer über das Originalportal. Rechtsgrundlage ist für nutzerbezogene Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Soweit wir geschäftliche Kontaktdaten der Inserierenden in eigener Verantwortung indexieren, stützen wir dies auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Bereitstellung einer aktuellen Wohnungssuche. Betroffene Inserierende können aus Gründen, die sich aus ihrer besonderen Situation ergeben, widersprechen.

7. Anschreibenvorlagen

Wenn der Nutzer den Anschreiben-Baukasten verwendet, verarbeiten wir insbesondere:

• die vom Nutzer gewählte oder bearbeitete Anschreibenvorlage;
• Profilangaben, die der Nutzer für die lokale Vorschau bereitstellt;
• Beispieldaten eines Inserats für die Vorschau.

Zweck ist das Speichern und Anzeigen der persönlichen Vorlage. Hidden Keys versendet die Vorlage nicht und verarbeitet keine Antworten oder Kommunikation mit Anbietern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Keine Bewerbungsunterlagen

Der derzeit freigeschaltete Dienst bietet keinen Upload und keine Übermittlung von SCHUFA-Auskünften, Einkommensnachweisen, Ausweisdokumenten oder sonstigen Bewerbungsunterlagen. Solche Daten sollen nicht bei Hidden Keys eingegeben werden.

9. Zahlung und Abonnement

Für den Checkout und die Vertragsverwaltung verarbeiten wir Name, E-Mail-Adresse, gewählten Tarif, Betrag, Währung, Zahlungsstatus, Stripe-Kunden-, Zahlungs- und Abonnementkennungen, Rechnungsinformationen und Zeitstempel. Zur Dokumentation der aktiven Annahme unserer AGB speichern wir zusätzlich die Nutzerkennung, E-Mail-Adresse, IP-Adresse, gegebenenfalls den User-Agent, den Zeitpunkt und die Fassung der AGB sowie die Kennung des jeweiligen Checkout-Vorgangs. Die AGB-Annahme ist keine Einwilligung in sonstige Datenverarbeitungen. Vollständige Karten- oder Kontodaten werden über das Stripe Payment Element unmittelbar von Stripe verarbeitet und von Hidden Keys nicht gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für Vertragsschluss und Zahlungsabwicklung, Art. 6 Abs. 1 lit. c DSGVO für handels- und steuerrechtliche Pflichten sowie Art. 6 Abs. 1 lit. f DSGVO für Betrugs- und Missbrauchsprävention. Empfänger ist Stripe. Stripe kann für einzelne Verarbeitungen als Auftragsverarbeiter oder eigener Verantwortlicher handeln; dies ist anhand der finalen Vertrags- und Produkteinstellungen zu konkretisieren. Die Dokumentation der AGB-Annahme dient dem Nachweis des Vertragsschlusses und gegebenenfalls der Verteidigung rechtlicher Ansprüche (Art. 6 Abs. 1 lit. b und f DSGVO).

10. Vertrags-, Service- und Support-E-Mails

Wir verwenden die E-Mail-Adresse für Einmalcodes, Vertrags- und Zahlungsbestätigungen, sicherheitsrelevante Hinweise sowie Nachrichten, die zur Erbringung gebuchter Funktionen erforderlich sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Sicherheitswarnungen zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

Bei Kontaktaufnahme mit dem Support verarbeiten wir Absender, Kontaktdaten, Inhalt, Anhänge und Verlauf der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die sachgerechte Bearbeitung und Dokumentation von Anfragen.

Werbung per E-Mail erfolgt nur auf einer gesondert geprüften Rechtsgrundlage. Transaktions-E-Mails enthalten kein verstecktes Öffnungs- oder Klicktracking, sofern dies nicht in dieser Erklärung ausdrücklich ergänzt wird.

11. Cookies, Local Storage und externe Inhalte

Wir setzen derzeit folgende eigene Speichertechniken ein:

• hidden-keys-language: ausgewählte Sprache, Laufzeit ein Jahr; die Auswahl wird zusätzlich lokal im Browser gespeichert;
• Session- und Sicherheits-Cookies von Better Auth: Anmeldung, Sitzungsverwaltung und Schutz vor Missbrauch; sie enden mit Ablauf oder Beendigung der jeweiligen Sitzung;
• lokale Tourzustände zur Anzeige bereits gesehener Produkthinweise; sie bleiben bis zum Zurücksetzen oder Löschen der Browserdaten gespeichert.
• vorübergehende Auswahl im Onboarding (Stadt, Suchgebiet, Suchkriterien und Tarif) im Session Storage, damit sie nach einer Google-Anmeldung erhalten bleibt; sie wird nach der Rückkehr oder beim Schließen des Tabs entfernt.

Technisch unbedingt erforderliche Speicherungen erfolgen nach § 25 Abs. 2 Nr. 2 TDDDG. Nicht erforderliche Technologien werden nur nach Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO geladen. Eine erteilte Einwilligung kann jederzeit über die Datenschutzeinstellungen mit Wirkung für die Zukunft widerrufen werden.

Für Zahlungen wird Stripe.js mit dem Payment Element geladen. Für Kartenansichten kommen je nach Produktbereich Mapbox oder eingebettete Inhalte von OpenStreetMap zum Einsatz. Dabei können IP-Adresse, Geräte- und Browserinformationen sowie die aufgerufene Seite an den jeweiligen Anbieter übertragen werden. Karten werden erst geladen, wenn Nutzer die konkrete kartenabhängige Funktion, etwa die Gebietsauswahl oder Kartenansicht eines Inserats, aufrufen. Ihre Bereitstellung ist dann für die ausdrücklich angeforderte Funktion erforderlich; eine Nutzung zu Marketingzwecken erfolgt dadurch nicht.

12. Empfänger und Dienstleister

Abhängig von der Nutzung können personenbezogene Daten an folgende Kategorien von Empfängern gelangen:

• Vercel für Hosting, Auslieferung und technische Protokolle;
• Google Cloud für die PostgreSQL-Datenbank einschließlich Backups und Wiederherstellung;
• Stripe für Zahlungsabwicklung, Abonnements, Betrugsprävention und Rechnungsinformationen;
• Resend für Anmelde-, Vertrags- und Service-E-Mails;
• Mapbox und OpenStreetMap, soweit Karten oder externe Kartenlinks verwendet werden;
• technische Infrastruktur-, Proxy- und Sicherheitsdienste, soweit sie für den Betrieb unterstützter Portale erforderlich sind;
• Steuerberatung, Buchhaltung, Rechtsberatung, Behörden und Gerichte, soweit dies erforderlich oder gesetzlich vorgeschrieben ist.

Mit Dienstleistern, die Daten in unserem Auftrag verarbeiten, schließen wir die erforderlichen Verträge nach Art. 28 DSGVO. Dienstleister erhalten nur die für ihren jeweiligen Zweck erforderlichen Daten.

13. Übermittlungen in Drittländer

Mehrere eingesetzte Anbieter haben Konzern- oder Supportstrukturen außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA. Auch bei einem europäischen Speicherort kann deshalb ein Drittlandzugriff möglich sein. Übermittlungen erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, etwa auf Grundlage eines Angemessenheitsbeschlusses für einen konkret zertifizierten Empfänger oder auf Grundlage von Standardvertragsklauseln mit erforderlichen zusätzlichen Schutzmaßnahmen.

Auskunft über die für einen konkreten Empfänger verwendete Garantie und eine Möglichkeit, eine Kopie zu erhalten, erteilen wir unter admin@hiddenkeys.de.

14. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• Einmalcodes verlieren nach zehn Minuten ihre Gültigkeit; abgelaufene Prüfdatensätze werden anschließend routinemäßig gelöscht.
• Vor der Abschaltung des früheren anonymen Quiz-Funnels gesetzte Browser-Cookies laufen nach 30 Tagen ab; zugehörige historische Datensätze werden automatisiert gelöscht, sobald seit der letzten Aktivität 30 Tage vergangen sind.
• Die Sprachpräferenz im Cookie läuft nach einem Jahr ab und wird bei einer neuen Auswahl erneuert.
• Konto-, Profil- und Suchdaten werden für die Dauer des Nutzerkontos gespeichert und nach dessen Löschung entfernt, soweit keine vorrangigen rechtlichen Gründe bestehen.
• Gespeicherte Anschreibenvorlagen werden mit dem Nutzerkonto gelöscht, soweit keine vorrangigen rechtlichen Gründe bestehen.
• Support- und Vertragsdaten können bis zum Ablauf einschlägiger Verjährungsfristen aufbewahrt werden.
• Der Nachweis der AGB-Annahme einschließlich IP-Adresse wird nur solange aufbewahrt, wie er für den Nachweis des Vertragsschlusses oder zur Verteidigung rechtlicher Ansprüche erforderlich ist.
• Rechnungs- und Buchungsunterlagen werden für die jeweils geltenden handels- und steuerrechtlichen Aufbewahrungsfristen gespeichert.
• Sicherheits-, Hosting- und Fehlerprotokolle werden gelöscht, sobald sie für Betrieb, Sicherheit oder die Aufklärung eines konkreten Vorfalls nicht mehr benötigt werden.

Nach einer Vertragskündigung werden aktive Suchen gestoppt. Kündigung und Kontolöschung sind getrennte Vorgänge. Bei einem berechtigten Löschverlangen sperren oder löschen wir Daten, soweit keine gesetzlichen Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen.

15. Sicherheit

Wir treffen risikogerechte technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören je nach System insbesondere verschlüsselte Übertragung, Zugriffsbeschränkungen, Protokollierung administrativer Zugriffe, getrennte Produktions- und Testumgebungen, Datensicherungen und Verfahren zur Behandlung von Sicherheitsvorfällen.

Kein Online-Dienst kann absolute Sicherheit garantieren. Nutzer sollen verdächtige Vorgänge unverzüglich an admin@hiddenkeys.de melden.

16. Matching, Profiling und automatisierte Entscheidungen

Hidden Keys gleicht Inseratsmerkmale automatisiert mit den vom Nutzer festgelegten Kriterien ab. Dabei können Inserate priorisiert oder ausgeschlossen werden. Das Matching dient ausschließlich der persönlichen Wohnungssuche des Nutzers und stellt keine Bewertung seiner Bonität oder Eignung durch Hidden Keys dar.

Hidden Keys trifft keine ausschließlich automatisierte Entscheidung über den Nutzer, die ihm gegenüber rechtliche Wirkung entfaltet oder ihn ähnlich erheblich beeinträchtigt.

17. Pflicht zur Bereitstellung von Daten

Name, E-Mail-Adresse, ein grundlegendes Suchprofil und bei einem kostenpflichtigen Vertrag die erforderlichen Zahlungsinformationen werden für Konto, Vertrag und Dienstleistung benötigt. Ohne diese Daten können wir die entsprechenden Funktionen nicht bereitstellen. Weitere Profilangaben sind grundsätzlich freiwillig; fehlen sie, können Zuordnung und Vorschau eingeschränkt oder weniger aussagekräftig sein.

18. Daten anderer Personen

Werden Angaben zu Mitmietern, Partnern, Kindern, Bürgen oder sonstigen Dritten gemacht, muss der Nutzer zur Weitergabe berechtigt sein und die betroffene Person über die Verarbeitung informieren. Daten Dritter dürfen nur übermittelt werden, soweit sie für die konkrete Wohnungssuche erforderlich sind. Auf Anfrage stellen wir die Informationen nach Art. 14 DSGVO auch unmittelbar bereit, soweit keine gesetzliche Ausnahme greift.

19. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft über ihre verarbeiteten Daten nach Art. 15 DSGVO;
• Berichtigung unrichtiger Daten nach Art. 16 DSGVO;
• Löschung nach Art. 17 DSGVO;
• Einschränkung der Verarbeitung nach Art. 18 DSGVO;
• Datenübertragbarkeit nach Art. 20 DSGVO;
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO nach Art. 21 DSGVO;
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Zur Ausübung der Rechte genügt eine Nachricht an admin@hiddenkeys.de. Wir können zusätzliche Angaben verlangen, wenn dies erforderlich ist, um die Identität der anfragenden Person zu überprüfen. Ein Widerruf berührt die Rechtmäßigkeit der vorherigen Verarbeitung nicht.

20. Widerspruch bei berechtigten Interessen

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kann die betroffene Person aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

21. Beschwerderecht

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständig für Hidden Keys ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59 bis 61, 10555 Berlin, www.datenschutz-berlin.de.

22. Minderjährige

Hidden Keys richtet sich an volljährige Wohnungssuchende. Minderjährige dürfen kein eigenes kostenpflichtiges Nutzerkonto eröffnen. Angaben über minderjährige Haushaltsmitglieder sollen auf das für die Wohnungssuche Erforderliche beschränkt werden.

23. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Funktionen, Dienstleister oder Rechtslage ändern. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar. Über wesentliche Änderungen, die ein bestehendes Vertragsverhältnis oder eine Einwilligung betreffen, informieren wir zusätzlich in geeigneter Form.

Vertragsbedingungen zur Nutzung von Hidden Keys enthält unsere AGB.