Datenschutzerklärung

Stand: 23. Oktober 2026

Hier informieren wir Sie nach Art. 13 und 14 DSGVO, dem BDSG und § 25 TDDDG, welche personenbezogenen Daten wir bei der Nutzung der deutschen Ausgabe der Immobilienplattform GREM verarbeiten, wozu, auf welcher Grundlage, an wen sie gehen, wie lange wir sie speichern und welche Rechte Sie haben.

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist GREM CAPITAL LIMITED, 54 Kestrel Avenue, SE24 0EB London, Vereinigtes Königreich, E-Mail: [email protected] (im Folgenden „wir“ oder „GREM“). Weitere Angaben finden Sie im Impressum. Fragen zum Datenschutz und Anträge zu Ihren Rechten richten Sie bitte an [email protected].

2. Überblick und Begriffe

2.1 Geltungsbereich

Diese Datenschutzerklärung gilt für:

die Website de.grem.capital;
das Nutzerkonto im Webbrowser unter cabinet.grem.capital einschließlich der auf dem Startbildschirm installierbaren Web-Anwendung (im Folgenden „GREM-Konto“), soweit es im deutschen Modus geführt wird; diesen Modus hat ein Konto mit dem Kontoland Deutschland, auch als Mitarbeiter einer Agentur in Deutschland, und für Eigentümer jedes Konto mit einem Objekt in Deutschland;
die mobilen GREM-Apps für Android und iOS, soweit Sie sie mit einem solchen Konto nutzen.

Für andere Angebote von GREM gilt die allgemeine Datenschutzerklärung unter grem.capital/de/privacy; zu Anfragen über Objekte außerhalb Deutschlands siehe Abschnitt 7.6. Die Vertragsbedingungen finden Sie in den AGB für Makler und den AGB für Eigentümer. Unsere Angebote richten sich an volljährige Personen.

2.2 Begriffe

Makler sind Immobilienmakler, Agenturen und deren Mitarbeiter, die die Plattform beruflich nutzen. Eigentümer sind Verkäufer und Vermieter, Interessenten Kauf- und Mietinteressenten. In Swipe Match wählen Eigentümer und Interessenten einen Makler, und Makler nehmen Anfragen an. Ein Kontakt ist die Übermittlung der Kontaktdaten eines Eigentümers oder Interessenten an den gewählten Makler. Auftragsverarbeiter verarbeiten Daten in unserem Auftrag und nach unserer Weisung (Art. 28 DSGVO).

2.3 Rechtsgrundlagen

Bei jeder Verarbeitung nennen wir die Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), Vertrag oder vorvertragliche Maßnahmen, insbesondere die AGB (lit. b), rechtliche Pflicht (lit. c) oder berechtigtes Interesse (lit. f). Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf gilt § 25 TDDDG: Es ist nur mit Ihrer Einwilligung zulässig (Abs. 1), es sei denn, es ist unbedingt erforderlich, um einen von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (Abs. 2 Nr. 2).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten, fragen wir nicht ab. Bitte geben Sie solche Daten auch nicht in Freitextfelder, Chats oder Dokumente ein.

3. Betrieb der Plattform

3.1 Server-Protokolle

Bei jedem Aufruf der Website, des GREM-Kontos oder der Schnittstellen der App verarbeiten unsere Server IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser- und Gerätetyp, Statuscode und, wenn Sie angemeldet sind, die interne Kennung Ihres Kontos. Im Anfrageprotokoll speichern wir außerdem Ausschnitte der Anfrage- und Antwortinhalte bis zu 10 KB je Vorgang; Passwörter, Codes, Zugangsschlüssel, Telefonnummern, E-Mail-Adressen und Namen in Kontaktangaben werden vorher automatisch unkenntlich gemacht.

Zweck ist ein sicherer und stabiler Betrieb, die Abwehr von Angriffen und Missbrauch sowie die Fehlersuche (Art. 6 Abs. 1 lit. f DSGVO). Das Anfrageprotokoll löschen wir nach 90 Tagen, technische Protokolldateien nach 30 Tagen.

3.2 Hosting

Unsere Server betreiben wir bei OVHcloud in Rechenzentren in Gravelines (Frankreich), Limburg (Deutschland) und Erith (Vereinigtes Königreich); die technische Überwachung läuft in Warschau (Polen). Die Datenbank wird in drei Rechenzentren gespiegelt. Hochgeladene Dateien wie Fotos und Dokumente liegen auf diesen Servern oder im Objektspeicher von OVHcloud in Deutschland. Bis zum Abschluss unseres Umzugs verbleiben ältere Sicherungskopien bei Hetzner Online in Deutschland. Die Hosting-Dienstleister sind Auftragsverarbeiter; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO. Zum Vereinigten Königreich siehe Abschnitt 14.

3.3 Cloudflare

Website, GREM-Konto und App-Schnittstellen werden über das Netzwerk von Cloudflare ausgeliefert. Cloudflare stellt unsere Domainnamen bereit, schützt vor Angriffen und Überlastung und nimmt dazu die verschlüsselte Verbindung entgegen, prüft die Anfrage und leitet sie verschlüsselt an unsere Server weiter; dabei verarbeitet Cloudflare Ihre IP-Adresse und die Inhalte der Anfragen. Außerdem sichert Cloudflare den Zugang zu unseren Servern ab, vermittelt Anrufe in der App (Abschnitt 12.3) und speichert Sicherungskopien in der EU (Abschnitt 3.6). Cloudflare ist Auftragsverarbeiter; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sichere und verfügbare Plattform).

3.4 Ungefährer Standort anhand der IP-Adresse

Aus Ihrer IP-Adresse ermitteln wir Land und Stadt, um Ihnen Objekte in Ihrer Region zu zeigen und Anmeldungen zu schützen, etwa bei einer Anmeldung aus einem neuen Land. Die dafür genutzte Datenbank liegt auf unserem eigenen Server; Ihre IP-Adresse wird dafür an niemanden übermittelt (Art. 6 Abs. 1 lit. f DSGVO). Quelle: IP Geolocation by DB-IP.

3.5 Fehlerdiagnose

Für die Fehlersuche auf unseren Servern kann der Dienst Sentry eingesetzt werden. Telefonnummern und E-Mail-Adressen werden vorher unkenntlich gemacht, Passwörter und Zugangsschlüssel entfernt; die automatische Übermittlung von Angaben wie der IP-Adresse ist abgeschaltet (Art. 6 Abs. 1 lit. f DSGVO).

3.6 Datensicherheit und Sicherungskopien

Wir übertragen Daten verschlüsselt (TLS), speichern Passwörter nur als kryptografischen Hashwert und beschränken Zugriffe unserer Mitarbeiter auf das Erforderliche. Sicherungskopien legen wir bei Cloudflare (R2) mit Speicherort in der EU ab: Die laufende Sicherung der Datenbank wird nach 14 Tagen gelöscht, nächtliche, vorher verschlüsselte Sicherungen nach 31 Tagen. Frühere Fassungen geänderter oder gelöschter Dateien bleiben in der Dateisicherung mindestens 30 Tage erhalten. Daten in Sicherungskopien werden im regulären Löschzyklus gelöscht und bis dahin nur zur Wiederherstellung verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f in Verbindung mit Art. 32 DSGVO.

4. Cookies, ähnliche Technologien und Einwilligung

4.1 Einwilligungsbanner auf de.grem.capital

Beim ersten Besuch von de.grem.capital zeigen wir ein Banner mit zwei gleichrangigen Schaltflächen: „Nur essenzielle“ und „Alle akzeptieren“. Bis Sie „Alle akzeptieren“ wählen, laden wir kein Google-Tag, setzen keine Besucherkennung und senden keine Besuchsdaten an unseren Server.

Mit „Alle akzeptieren“ willigen Sie ein in Google Analytics (Abschnitt 4.3), unsere eigene Besuchsstatistik (Abschnitt 4.4) sowie Herkunftsangaben und Empfehlungslinks (Abschnitt 4.5). Rechtsgrundlage ist § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Ihre Auswahl speichern wir im Cookie grem_consent (180 Tage) und im lokalen Speicher unter grem_cookie_consent.

Widerruf: Über „Cookie-Einstellungen“ im Fußbereich jeder Seite öffnen Sie das Banner erneut und können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Wählen Sie „Nur essenzielle“, entfernen wir die Cookies von Google Analytics und der Herkunftsangaben sowie die Sitzungskennung der Besuchsstatistik; eine bereits vorhandene Besucherkennung lesen und verwenden wir ohne Ihre Einwilligung nicht.

4.2 Unbedingt erforderliche Speicherungen

Ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO) speichern wir nur, was für von Ihnen gewünschte Funktionen nötig ist:

x-www-access (30 Tage, für die Domains von grem.capital), im GREM-Konto der lokale Eintrag user: hält Sie angemeldet; beim Wechsel von de.grem.capital ins GREM-Konto dient statt des Anmeldeschlüssels ein einmaliger, 60 Sekunden gültiger Code;
grem_consent und grem_cookie_consent (180 Tage): Ihre Auswahl im Banner;
i18next_de und i18nextLng, im GREM-Konto language und i18nextC (je bis 365 Tage): die selbst gewählte Sprache;
grem_city (180 Tage) und grem_city_confirmed (30 Tage): die gewählte Stadt;
grem_agentlock (90 Tage): nach einem persönlichen Link eines Maklers, damit Ihre Anfrage an ihn geht;
lokale Einträge für genutzte Funktionen (Anzeige, Favoriten, Vergleich, zuletzt angesehen, gespeicherte Suchen, Such-Chat, letzte Bewertung, Fortschritt in Swipe Match, gesehene Hinweise) und Einträge im Sitzungsspeicher während einer Anmeldung oder Registrierung, darunter die Angabe, dass Sie über de.grem.capital gekommen sind.

4.3 Google Analytics

Nur mit Ihrer Einwilligung setzen wir auf de.grem.capital Google Analytics 4 ein. Erfasst werden aufgerufene Seiten und Interaktionen, Angaben zu Gerät und Browser, ungefährer Standort und verweisende Seite; daraus entstehen Statistiken. Das Google-Tag wird erst nach „Alle akzeptieren“ geladen und setzt dann Cookies, deren Namen mit „_ga“ beginnen (nach den Standardeinstellungen von Google bis zu zwei Jahre). Freigegeben wird dabei nur die Speicherung für Analysezwecke; die Signale für Werbezwecke (Werbe-Cookies, Nutzerdaten und Personalisierung für Werbung) bleiben auf de.grem.capital stets gesperrt. Werbe-Tags von Google oder anderen Werbenetzwerken setzen wir nicht ein. Rechtsgrundlage ist § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO; zur Übermittlung in die USA siehe Abschnitt 14.

Im GREM-Konto im deutschen Modus laden wir Google Analytics nicht. Erkennt das GREM-Konto den deutschen Modus erst nach dem Laden Ihres Profils, etwa beim ersten Aufruf auf einem neuen Gerät ohne den Weg über de.grem.capital, schalten wir einen bereits geladenen Zähler in diesem Moment ab; für die zuvor aufgerufenen Seiten gilt die allgemeine Datenschutzerklärung. Vom Server senden wir für Konten im deutschen Modus keine Ereignisse an Google Analytics.

4.4 Eigene Besuchsstatistik

Nach Ihrer Einwilligung setzen wir auf de.grem.capital das Cookie grem_visitor_id mit einer zufälligen Besucherkennung (365 Tage, für die Domains von grem.capital) und speichern lokal eine Sitzungskennung (grem_visit_session, 30 Minuten). An unseren Server übermittelt die Seite dann Besucher- und Sitzungskennung, Einstiegsseite, Adresse der Landingpage, verweisende Seite und Kampagnenparameter aus der Adresse (utm-Parameter, Klick-Kennungen von Google und Facebook), beim Ansehen eines Objekts dessen Kennung. Melden Sie sich später im GREM-Konto an, kann die Kennung mit Ihrem Konto verknüpft werden. Zweck ist, Besuche und Objektaufrufe zu zählen und Anfragen den Kanälen zuzuordnen, über die Besucher kommen. Die Daten bleiben auf unseren Servern und gehen nicht an Werbenetzwerke. Rechtsgrundlage ist § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO.

Senden Sie ohne diese Einwilligung ein Formular ab, übermitteln wir mit der Anfrage nur die Kampagnenparameter der aktuellen Adresse und die verweisende Seite, ohne Besucherkennung und ohne etwas auf Ihrem Gerät zu speichern (Art. 6 Abs. 1 lit. f DSGVO: Zuordnung der Anfrage zu ihrem Kanal).

4.5 Herkunftsangaben und Empfehlungslinks

Nur nach „Alle akzeptieren“ speichert de.grem.capital die Cookies grem_attribution (erste Herkunft) und grem_attribution_last (letzte Herkunft), je 365 Tage, mit Kampagnenparametern, Klick-Kennungen von Google und Facebook, Landingpage, verweisender Seite und Zeitpunkt, sowie bei Empfehlungslinks die Kennung des Empfehlenden (refId, utm_short, ref_view_…, bis zu 365 Tage). Zweck ist die Zuordnung von Registrierungen und Anfragen zu Kampagnen und Empfehlungen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

4.6 Karten, Medien, Anmeldung und Schutz vor Missbrauch auf de.grem.capital

Karten: Google Maps setzen wir auf de.grem.capital nicht ein. Die Lage eines Objekts zeigen wir mit einer Karte von OpenStreetMap (Koordinaten über dessen Dienst Nominatim), Katalog und Kartenansicht mit Kartenkacheln von OpenFreeMap, Satellitenbilder von Esri. Diese Anbieter erhalten beim Laden der Karte Ihre IP-Adresse und Angaben zum Browser (Art. 6 Abs. 1 lit. f DSGVO).
Google reCAPTCHA: Zum Schutz unserer Formulare vor automatisierten Eingaben und Missbrauch laden wir den Dienst reCAPTCHA von Google erst, wenn Sie beginnen, ein Formular mit diesem Schutz auszufüllen, oder es absenden. reCAPTCHA wertet dabei Angaben zu Ihrem Gerät, Ihrem Browser und Ihrer Interaktion aus und übermittelt sie an Google. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; den damit verbundenen Zugriff auf Ihr Endgerät halten wir zum Schutz des von Ihnen genutzten Formulars für unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Anmeldung über Google, Facebook und LinkedIn: Die Programme dieser Anbieter werden erst geladen, wenn Sie das Anmeldefenster öffnen; die automatische Anmeldeaufforderung von Google (One Tap) zeigen wir auf de.grem.capital nicht (Abschnitt 5.2).
YouTube, Vimeo, Matterport und Kuula: Videos und 3D-Rundgänge werden erst geladen, wenn Sie sie in der Galerie auswählen; Vorschaubilder von YouTube werden mit der Galerie geladen. Der Anbieter erhält dabei Ihre IP-Adresse und kann eigene Cookies setzen (Art. 6 Abs. 1 lit. f DSGVO: Darstellung der vom Anbieter des Inserats eingebundenen Medien).

4.7 Weitere Dienste im GREM-Konto

Schriftarten liefern wir von unseren eigenen Servern aus; Google Fonts setzen wir nicht ein;
Google reCAPTCHA wird im GREM-Konto auf allen Seiten geladen, um Registrierung, Anmeldung und Formulare vor automatisierten Zugriffen zu schützen; es gilt das in Abschnitt 4.6 Gesagte;
Google Maps zeigt Karten und ermittelt Koordinaten zu Objektanschriften, wenn Sie Ortsangaben eingeben oder Karten öffnen (Art. 6 Abs. 1 lit. b und f DSGVO);
Stripe stellt das Zahlungsformular bereit, wenn Sie eine Zahlung beginnen (Abschnitt 11);
Firebase Cloud Messaging wird nur aktiv, wenn Sie Browser-Benachrichtigungen selbst einschalten; die Kennung dafür wird im Browser (IndexedDB) gespeichert (§ 25 Abs. 2 Nr. 2 TDDDG);
Empfehlungslinks: Rufen Sie das GREM-Konto über einen Empfehlungslink auf, speichern wir die Kennung des Empfehlenden (refId, utm_short) für 30 Tage, um Ihre Registrierung der Empfehlung zuzuordnen, die Sie mit dem Link aufgerufen haben (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO). Hat de.grem.capital mit Ihrer Einwilligung eine Besucherkennung und Herkunftsangabe gespeichert, liest das GREM-Konto sie nach der Anmeldung, um festzuhalten, über welchen Weg Sie gekommen sind.

Bei der Registrierung und beim Ändern des Passworts prüfen wir, ob das Passwort in bekannten Datenlecks vorkommt; dafür geht nur ein kurzer Anfang seines Hashwerts an den Dienst Have I Been Pwned, nie das Passwort selbst (Art. 6 Abs. 1 lit. f DSGVO).

4.8 Mobile Apps

Die App verarbeitet:

Gerätedaten: ein Token für Push-Benachrichtigungen (Firebase Cloud Messaging; auf dem iPhone für Anrufe zusätzlich der Apple Push Notification Service), eine zufällige Kennung der Installation, App-Version und Plattform – um Benachrichtigungen zuzustellen und die App zu betreiben (Art. 6 Abs. 1 lit. b DSGVO, § 25 Abs. 2 Nr. 2 TDDDG);
Absturzberichte über Firebase Crashlytics, verknüpft nur mit der internen Kennung Ihres Kontos und der App-Sprache; E-Mail-Adressen und Telefonnummern werden in den Protokollen unkenntlich gemacht (Art. 6 Abs. 1 lit. f DSGVO: Beheben von Fehlern; den Zugriff auf Ihr Gerät halten wir für einen stabilen Betrieb der App für unbedingt erforderlich, § 25 Abs. 2 Nr. 2 TDDDG);
Nutzungsstatistiken: Für Konten im deutschen Modus schaltet die App Firebase Analytics ab, sobald Ihr Profil geladen ist; die Einstellung bleibt auf dem Gerät gespeichert. Vor der ersten Anmeldung kann die App Ihr Konto noch nicht zuordnen; dann können einzelne automatische Ereignisse wie der erste Start der App an Firebase Analytics gehen, ohne Verknüpfung mit Ihrem Konto und ohne Werbe-ID (Art. 6 Abs. 1 lit. f DSGVO: Messung der Installation).

Kamera (Fotos, Panoramen), Mikrofon (Sprachnachrichten, Anrufe) und Standort (nur Abschnitt 7.5) nutzt die App nur mit Ihrer Berechtigung. Adressbuch, SMS und Anrufliste liest sie nicht. Die Android-Berechtigung für die Telefonnummer dient nur der Anzeige eingehender Anrufe auf dem Sperrbildschirm; die Nummer Ihrer SIM-Karte sendet die App nirgendwohin. Unter Android zeigt die App Karten mit Google Maps; Adresssuche und Ortsvorschläge laufen direkt vom Gerät über Google (Art. 6 Abs. 1 lit. b DSGVO).

5. Registrierung, GREM-Konto und Anmeldung

5.1 Konto

Für Ihr Konto verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als Hashwert), Kontoland, Sprache und Rolle (etwa Makler, Eigentümer oder Interessent); Makler geben zusätzlich ihr Bundesland an, weil davon Fristen und Feiertage abhängen. Freiwillig können Sie Profilfoto, Beschreibung, Sprachen und weitere Angaben ergänzen. Zum Schutz Ihres Kontos speichern wir zu jeder Anmeldesitzung IP-Adresse, Gerät und ungefähren Ort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Sicherheitsangaben lit. f.

5.2 Anmeldung

Sie melden sich mit E-Mail-Adresse und Passwort, über einen Anmeldelink per E-Mail, mit einem Passkey oder mit Ihrer per SMS-Code bestätigten Telefonnummer an, wahlweise auch über Google, Apple (in der App), Facebook oder LinkedIn. Dann erhalten wir vom Anbieter Ihren Namen, Ihre E-Mail-Adresse und Ihre Kennung bei diesem Anbieter; der Anbieter erfährt, dass Sie sich bei GREM anmelden (Art. 6 Abs. 1 lit. b DSGVO).

5.3 Telefonnummer und SMS-Code

Ihre Telefonnummer brauchen wir für die Anmeldung mit SMS-Code, damit der von Ihnen gewählte Makler Sie nach Annahme Ihrer Anfrage erreichen kann (Abschnitt 7) und damit wir Sie kontaktieren können, wenn Sie die Nummer selbst in einem Formular, im Profil oder in einer Anfrage angegeben haben. Eigentümer und Interessenten können eine Anfrage an einen Makler erst nach Bestätigung ihrer Nummer senden; eine Mobilfunknummer kann nur für ein Eigentümerkonto bestätigt werden.

Die SMS-Codes versendet in unserem Auftrag Zadarma; der Dienst erhält Telefonnummer, Code und Sprache. Ein Code ist fünf Minuten gültig. Wir speichern nicht den Code, sondern einen kryptografischen Prüfwert davon, ebenso von der IP-Adresse; der Eintrag mit Ihrer Telefonnummer wird 24 Stunden nach Ablauf des Codes gelöscht. Eine bestätigte Nummer speichern wir in Ihrem Konto (Art. 6 Abs. 1 lit. b und f DSGVO).

5.4 Löschung des Kontos und Kopie Ihrer Daten

Ihr Konto löschen Sie selbst in der App („Einstellungen“ → „Konto löschen“), im GREM-Konto („Profil“ → „Einstellungen“ → „Sicherheit“ → „Konto löschen“) oder ohne Anmeldung unter grem.capital/de/delete-account.

Danach sind Profil, Maklerkarte und Inserate für andere nicht mehr sichtbar, die Anmeldung ist auf allen Geräten beendet, Benachrichtigungen und Newsletter werden eingestellt, Ihre Marketing-Einwilligung wird entfernt und wartende Anfragen werden storniert. Die Löschung im Konto ist zunächst eine Sperre: Ihre Kontodaten bleiben gesperrt gespeichert und werden nicht mehr für andere Zwecke verwendet, damit der Support das Konto auf Ihren Wunsch wiederherstellen und Fragen zu früheren Vorgängen klären kann (Art. 6 Abs. 1 lit. f DSGVO). Eine automatische endgültige Löschung nach einer festen Frist findet derzeit nicht statt. Möchten Sie die endgültige Löschung, schreiben Sie an [email protected]: Wir löschen dann alle Daten, die wir nicht aus den in Abschnitt 15 genannten Gründen aufbewahren müssen. Für Daten, die wir im Auftrag eines Maklers verarbeiten, gelten die Fristen des Auftragsverarbeitungsvertrags in der Anlage zu den AGB für Makler.

Abschlüsse, Verträge, Rechnungen, Zahlungen, Bewertungen und das Ereignisprotokoll von Anfragen bewahren wir auch nach der Löschung auf, soweit das Gesetz oder der Nachweis gegenüber anderen Beteiligten und die Abwehr von Ansprüchen es erfordern (Art. 6 Abs. 1 lit. c und f DSGVO). Zwölf Monate nach der Löschung entfernen wir Ihre eigenen Texte aus dem Ereignisprotokoll, etwa Begründungen und Kommentare; die Einträge, was wann geschah, bleiben. Ebenfalls zwölf Monate speichern wir einen mit geheimem Schlüssel gebildeten Prüfwert Ihrer Telefonnummer, damit der Kundenschutz von Maklern und der Schutz vor Missbrauch auch bei einer erneuten Registrierung mit derselben Nummer greifen.

Eine Kopie Ihrer Daten laden Sie im GREM-Konto („Meine Daten herunterladen“) und in der App einmal täglich als Datei herunter: Profil, Kontakte, Einwilligungen, Anfragen und ihr Verlauf, Nachrichten, Bewertungen, Zahlungsvorgänge, Benachrichtigungseinstellungen und Unterhaltungen mit dem KI-Assistenten, ohne Daten anderer Personen.

6. Inserate, Fotos und Objektdaten

6.1 Inserate und Fotos

Zu einem Objekt verarbeiten wir Adresse und Lage, Art, Fläche, Zimmer, Preis, Baujahr, Angaben aus dem Energieausweis, Merkmale wie Denkmalschutz oder Erbbaurecht, Beschreibung, Fotos, Videos, Panoramen und Grundrisse. Veröffentlichte Inserate sind für Besucher sichtbar, bei Maklern zusammen mit der Maklerkarte (Abschnitt 7.4), und erscheinen in der gemeinsamen Objektdatenbank von GREM, auch für Makler im Ausland. Telefonnummern werden in Inseraten nicht angezeigt; Interessenten nehmen über eine Anfrage Kontakt auf. Richtet ein Makler einen Export oder eine Veröffentlichung ein, übermitteln wir die Objektdaten in seinem Auftrag an die gewählten Ziele, etwa als OpenImmo-Datei an Portale oder an seine verbundenen Konten in sozialen Netzwerken.

Beim Hochladen von Fotos bestätigen Eigentümer, dass sie die Rechte daran haben, und erlauben dem gewählten Makler, Fotos und Materialien aus den Paketen für dieses Objekt zu verwenden, auch auf Portalen. Bitte achten Sie darauf, dass keine Personen, Kfz-Kennzeichen oder persönlichen Unterlagen erkennbar sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6.2 Nachweise zu Denkmalschutz und Erbbaurecht

Für diese Merkmale kann ein Nachweis hochgeladen werden (PDF oder Foto). Wir prüfen, ob Art des Dokuments, ausstellende Stelle und Adresse zum Objekt passen. Den Text eines PDF lesen wir auf unserem eigenen Server aus, Scans und Fotos mit unserer eigenen Texterkennung auf unseren Servern in der EU; an externe KI-Dienste geben wir diese Nachweise nicht. Stimmen alle Merkmale überein, gilt der Nachweis vorläufig als bestätigt und wird danach von Mitarbeitern geprüft; sonst prüfen Mitarbeiter direkt. Abgelehnt wird nur durch Mitarbeiter, mit Begründung per E-Mail. Käufern und in Exporten zeigen wir ein Merkmal nur, wenn es bestätigt ist.

Die Nachweise sehen nur der Autor des Objekts, die Leitung seiner Agentur und unsere zuständigen Mitarbeiter. Wir speichern sie, solange das Objekt besteht; wird es gelöscht, löschen wir die Dateien. Bei abgelehnten oder noch nicht bestätigten Nachweisen bleibt danach zwei Jahre ein Vermerk ohne Dokument (Prüfwert der Adresse, Grund, Verfasser), damit derselbe gefälschte Nachweis nicht erneut eingereicht werden kann (Art. 6 Abs. 1 lit. b und f DSGVO).

6.3 KI-Bewertung und Bericht-Audit

Die KI-Bewertung ist eine automatisierte Schätzung aus den Angaben zum Objekt, Vergleichsdaten und statistischen Modellen, kein Gutachten. Nach ihr richtet sich auch die Kategorie eines Eigentümerkontakts, ohne KI-Bewertung nach Ihrer Preisangabe (Art. 6 Abs. 1 lit. b DSGVO). Zu den eingesetzten KI-Diensten siehe Abschnitt 10.

Beim Bericht-Audit laden Sie ein Wertgutachten eines Dritten hoch, und wir teilen Ihnen ein Prüfergebnis mit. Das Gutachten wird automatisiert ausgelesen, auch mit Unterstützung von KI; das geschieht ausschließlich in der EU und ohne Speicherung bei dem dafür eingesetzten Dienst. Personenbezogene Daten darin verwenden wir nur für die Prüfung; die Datei löschen wir 90 Tage nach Mitteilung des Prüfergebnisses. Die Wertangaben übernehmen wir ohne personenbezogene Daten in die Datengrundlage unserer KI-Bewertung und nutzen sie dort auch nach Löschung der Datei; darauf weisen wir beim Hochladen hin. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die anonymisierten Wertangaben lit. f.

6.4 Daten aus öffentlich zugänglichen Quellen

Außerdem übernehmen wir Angaben aus öffentlich zugänglichen Immobilienanzeigen anderer Portale. Wir nutzen sie für die KI-Bewertung und zeigen die Angaben zum Objekt (Art, Lage, Fläche, Zimmer, Preis, Beschreibung, Fotos) im Katalog und auf der Karte. Name, Telefonnummer und E-Mail-Adresse des Anbieters zeigen wir nicht an, geben sie nicht an Makler oder Interessenten weiter und kontaktieren den Anbieter nicht. Interessenten können zu einer solchen Anzeige einen Suchauftrag an einen geprüften Makler ihrer Wahl senden (Abschnitt 7).

Makler der Plattform können außerdem öffentliche Gesuche aus offenen Quellen sehen (soziale Netzwerke, Messenger, Foren, Kleinanzeigenportale): was die Person sucht, Stadt, Budget, einen kurzen Textauszug und einen Link zum Original. Solche Gesuche finden wir mit Suchdiensten und werten sie mit KI aus (Abschnitt 10). Kontaktdaten aus diesen Quellen geben wir nicht an Makler weiter; der Makler wendet sich dort an die Person, wo sie das Gesuch veröffentlicht hat.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: realistische Bewertungen, ein vollständiger Überblick über das Angebot und das Zusammenfinden von Suchenden und Maklern. Soll Ihre Anzeige oder Ihr Gesuch nicht angezeigt werden, widersprechen Sie bitte formlos an [email protected]; wir nehmen sie dann von der Plattform.

7. Anfragen, Swipe Match und Weitergabe von Kontaktdaten

7.1 Grundsatz: Sie wählen selbst

In der deutschen Ausgabe wählen Eigentümer und Interessenten ihren Makler selbst. GREM weist niemandem einen Makler zu, leitet Anfragen nicht automatisch an einen weiteren Makler weiter und gibt sie nicht an einen allgemeinen Kreis von Maklern. Ihre Kontaktdaten erhält nur der von Ihnen gewählte Makler, und nur mit Ihrer Einwilligung, die wir beim Absenden der Anfrage einholen, nicht schon bei der Registrierung.

7.2 Die einzelnen Fälle

Eigentümer wählt einen Makler: Ihre Daten und Ihr Objekt gehen an den gewählten Makler; es kann jeweils nur eine Anfrage offen sein.
Interessent wählt einen Makler auf der Objektseite oder in einem Suchauftrag: Ihre Daten gehen an diesen einen Makler.
Anfrage zu einem Objekt: Ihre Daten gehen an den Eigentümer oder an den vom Eigentümer gewählten Makler; wartet die Anfrage des Eigentümers noch auf einen Makler, wartet Ihre Anfrage mit und geht an den Makler, der annimmt.
Interessent über einen Partnermakler, auch aus dem Ausland: Sie bestätigen Ihre Einwilligung zusätzlich über einen Link; vorher werden Ihre Daten nicht übermittelt.
Direkte Zusammenarbeit: Hat der Eigentümer ein Paket mit direkter Zusammenarbeit gebucht, erhält er die Kontaktdaten von Interessenten und arbeitet mit ihnen über Telefonie und Chat von GREM; mit einem Interessenten eines Partnermaklers über diesen.

Bis zur Annahme sieht der Makler die Anfrage ohne Kontaktdaten: Art des Kontakts, Gebiet, Budget, Zeitrahmen und Prüfzeichen. Mit der Annahme erhält er Namen und Telefonnummer sowie E-Mail-Adresse und Kommentar, wenn Sie diese angegeben haben, bei Eigentümern auch die Angaben zum Objekt. Lehnt er ab oder läuft die Frist ab, wählen Sie selbst den nächsten Makler. Nach den AGB darf der Makler Ihre Daten nur für Ihre Anfrage verwenden und nicht an Makler anderer Unternehmen weitergeben. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und die Durchführung der gewünschten Vermittlung (lit. b).

7.3 Nachweis und Widerruf der Einwilligung

Zu jeder Einwilligung speichern wir Fassung und Prüfwert des angezeigten Textes, Sprache, Datum und Uhrzeit, IP-Adresse, Gerät und App-Version. Die Einträge werden nur ergänzt, nie verändert, und so lange aufbewahrt, wie wir die Einwilligung nachweisen müssen (Art. 7 Abs. 1 DSGVO) und Ansprüche aus der Vermittlung geltend gemacht werden können (Art. 6 Abs. 1 lit. c und f DSGVO).

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: indem Sie die Anfrage im GREM-Konto stornieren oder zurückziehen, mit „STOP“ im Chat Ihrer Anfrage oder als Antwort auf eine automatische Nachricht in WhatsApp oder Telegram, oder per E-Mail an [email protected]. Danach geben wir Ihre Kontaktdaten an keinen Makler weiter, den Sie nicht selbst gewählt haben; ein Widerspruch in einer Unterhaltung widerruft auch Ihre Einwilligung in Nachrichten per SMS, Messenger und E-Mail. Daten, die ein Makler bereits erhalten hat, verarbeitet er in eigener Verantwortung (Abschnitt 7.7). Um Ihren Widerspruch zu beachten, speichern wir nur Hashwerte Ihrer Telefonnummer und E-Mail-Adresse, bis Sie ihn aufheben lassen.

7.4 Maklerkarte, Rating und Reihenfolge

Eigentümern und Interessenten zeigen wir Maklerkarten mit Name, Foto, Unternehmen, Tätigkeitsgebiet, Kennzeichen „§34c geprüft“, Rating R, Zahl der Objekte in der Umgebung, Rezensionen, Arbeitssprachen und durchschnittlicher Antwortzeit; bei weniger als drei Bewertungen steht statt R „Neu auf GREM“. Telefon, E-Mail-Adresse, Website und Chat erscheinen erst nach Annahme; das Impressum des Maklers steht auf einer eigenen Profilseite.

Das Rating beruht auf Bewertungen von Eigentümern und Interessenten, deren Kontakt der Makler erhalten hat, auf Rückmeldungen nach beendeter Zusammenarbeit („Makler hat nicht gepasst“) und auf dem Antwortverhalten: Fristüberschreitungen mindern es, Ablehnungen nicht. Rezensionen können nur Eigentümer und Interessenten abgeben, deren Kontakt diesem Makler übermittelt wurde.

Die Reihenfolge richtet sich nach den AGB: In der Liste für Eigentümer stehen nur Makler mit Status „§34c geprüft“ und aktivem Tarif, die nächstgelegenen oben, mit Entfernung; der Eigentümer kann den Radius erweitern. Auf einer Objektseite mit mehreren Maklern stehen sie nach Rating, das beste zuerst. Im Suchauftrag zeigen wir mehrere passende Makler mit Status „§34c geprüft“. Eine bezahlte Platzierung bieten wir nicht an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Makler) und lit. f (nachvollziehbare Auswahl für Eigentümer und Interessenten).

7.5 Ereignisprotokoll und Termin vor Ort

Den Ablauf einer Anfrage halten wir in einem Ereignisprotokoll fest (Wahl des Maklers, Annahme, Kontaktaufnahme, Termine, Abschluss, Zeitpunkt und Status von Anrufen und Nachrichten über die Plattform, Gutschriften), gesichert mit einer Kette von Prüfwerten. Es dient dem Nachweis von Fristen und Abläufen gegenüber den Beteiligten, etwa ob ein Makler innerhalb von drei Tagen über die Plattform Kontakt aufgenommen hat. Wir bewahren das Ereignisprotokoll fünf Jahre auf, wie in den AGB angegeben (Art. 6 Abs. 1 lit. b und f DSGVO). Welche Maklerkarten Sie in Swipe Match angesehen, geöffnet oder übersprungen haben, speichern wir ohne Kontaktdaten 180 Tage.

Markiert ein Makler ein Treffen selbst als „vor Ort“ und stimmt er dem zu, ermittelt die App einmalig den Standort seines Telefons, nur während der Nutzung. Unser Server vergleicht ihn mit dem Kartenpunkt des Objekts und verwirft ihn sofort; gespeichert werden nur, ob der Makler höchstens 300 m entfernt war, und der Zeitpunkt. Meldet das Telefon einen simulierten Standort, prüft ein Moderator. Rechtsgrundlage für den Standort ist Art. 6 Abs. 1 lit. a DSGVO.

7.6 Objekte außerhalb Deutschlands und Partnergeschäfte

Für Anfragen zu Objekten und Suchgebieten außerhalb Deutschlands gilt die allgemeine Datenschutzerklärung; dort kann eine Anfrage mit Ihrer ausdrücklichen Einwilligung auch an einen von GREM ausgewählten Makler gehen.

Stellt ein Partnermakler, auch aus dem Ausland, einen Interessenten für ein Objekt in Deutschland vor, bleibt er für den deutschen Makler bis zur Annahme anonym; Namen sehen beide erst nach Annahme und Bezahlung des Kontakts. Eine Vereinbarung zur Teilung der Provision halten wir im Ereignisprotokoll fest und senden beiden eine Bestätigung als PDF (Art. 6 Abs. 1 lit. b DSGVO).

7.7 Makler als eigene Verantwortliche

Makler, Agenturen und Eigentümer, die Ihre Daten über die Plattform erhalten, verarbeiten sie in eigener Verantwortung nach ihren eigenen Datenschutzhinweisen. Nutzt ein Makler Werkzeuge der Plattform für seine Kundenbetreuung (CRM, Chat, Telefonie, automatische Antworten über seinen eigenen Telegram-Bot oder seine WhatsApp-Business-Nummer, KI-Werkzeuge), verarbeiten wir die Daten seiner Kunden in seinem Auftrag nach dem Auftragsverarbeitungsvertrag in der Anlage zu den AGB für Makler. Mit seinem Konto verbundene Dienste, etwa eigene Messenger- oder Social-Media-Konten, nutzt der Makler in eigener Verantwortung.

8. Prüfung von Maklern und Agenturen (§ 34c GewO)

8.1 Daten

Kontakte annehmen und Eigentümern und Interessenten angezeigt werden dürfen in Deutschland nur Makler mit dem Status „§34c geprüft“. Ihn beantragt die Agentur oder der Einzelmakler; Mitarbeiter einer Agentur übernehmen ihn. Wir verarbeiten Rechtsform, Firma, vertretungsberechtigte Person, Nummer, Behörde, Befristung und Dokument der Erlaubnis nach § 34c GewO, Steuernummer oder USt-IdNr., bei Gesellschaften Registergericht, Registernummer und einen höchstens drei Monate alten Handelsregisterauszug sowie die Angaben für das Impressum.

8.2 Prüfung

Wir lesen die Dokumente teilweise automatisiert aus und gleichen Nummer, Behörde, Name oder Firma, Befristung, Registerangaben, Geschäftsführung und Datum untereinander und mit dem Impressum der Website des Maklers ab, die wir dafür verschlüsselt aufrufen. Den Text eines PDF lesen wir auf unserem eigenen Server, Scans und Fotos ausschließlich mit unserer eigenen Texterkennung auf unseren Servern in der EU. An externe KI-Dienste übermitteln wir Prüfdokumente nicht.

Über die Freigabe entscheidet ein Mitarbeiter von GREM; die automatische Auslesung liefert ihm nur Hinweise. Eine Ablehnung wird begründet. 30 Tage vor Ablauf einer befristeten Erlaubnis informieren wir per E-Mail; mit dem Ablauf entfällt der Status bis zur Freigabe eines neuen Nachweises. Erlaubnisnummer, Steuernummer, USt-IdNr. und die IBAN des SEPA-Mandats gleichen wir außerdem ab, damit der ermäßigte Testzeitraum je Unternehmen nur einmal gewährt wird (Abschnitt 17.2).

8.3 Sichtbarkeit und Speicherdauer

Die Dokumente liegen in einem geschützten Speicher ohne öffentlichen Abruf; sie sehen nur der Antragsteller und unsere zuständigen Mitarbeiter. Öffentlich sind das Kennzeichen „§34c geprüft“ und das Impressum des Maklers. Die Dokumente speichern wir, solange der Status besteht. Endet eine Prüfung ohne bestehenden Status, etwa durch Ablehnung, Rücknahme, neuen Antrag, Ablauf, Widerruf, Löschung des Kontos oder Schließung der Agentur, löschen wir die Dateien nach 30 Tagen. Die Angaben zur Prüfung ohne Dokumente (insbesondere Erlaubnis- und Steuernummer, Ergebnis und Verlauf) bewahren wir auf, solange das nötig ist, um eine mehrfache Verwendung derselben Erlaubnis und einen wiederholten Testzeitraum zu verhindern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Makler) und lit. f: Eigentümern und Interessenten nur Makler mit gültiger Erlaubnis zu zeigen und Missbrauch zu verhindern.

9. Finanzierungs- und Kapitalnachweise von Interessenten

Laden Sie als Interessent einen Finanzierungsnachweis hoch (Finanzierungsbestätigung, Finanzierungszusage oder Kapitalnachweis; mit Wohnsitz außerhalb Deutschlands und einem Kapital ab 1 Mio. Euro einen Kapitalnachweis oder ein Bankreferenzschreiben mit Ausweisdokument), verarbeiten wir die darin enthaltenen Angaben, insbesondere Name, Bank, Betrag und Datum.

Diese Dokumente lesen wir für alle Interessenten, gleich aus welchem Land, ausschließlich mit unserer eigenen Texterkennung auf unseren Servern in der EU aus; an externe KI-Dienste übermitteln wir sie nicht. Danach prüfen unsere Mitarbeiter jedes Dokument, bevor ein Prüfzeichen vergeben wird. Der Makler erhält das Dokument nicht; er sieht nur „Finanzierung geprüft“ oder „Kapital geprüft“ und eine Spanne des Betrags.

Die Nachweise und Ausweisdokumente löschen wir 90 Tage nach der Prüfung; darauf weisen wir auch beim Hochladen hin. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); widerrufen Sie sie, entfällt das Prüfzeichen.

10. KI-Funktionen

10.1 Funktionen und Anbieter

Die Plattform bietet KI-Funktionen, etwa Assistent, Texte und Übersetzungen, Untertitel, Sprachausgabe und Transkription, Fotobearbeitung und virtuelle Möblierung, Grundrisse, Videos und Videos mit KI-Avatar, Bewertung, automatische Antworten für Makler und die Auswertung öffentlicher Gesuche (Abschnitt 6.4). Stimmen Sie in einem Kontaktformular zu, darf ein KI-Assistent von GREM Ihnen Rückfragen zu Ihrer Anfrage stellen.

Dafür übermitteln wir die Inhalte, die Sie eingeben oder hochladen (Texte, Fotos, Sprach- und Videoaufnahmen, Objektangaben einschließlich Adresse), an folgende Anbieter:

OpenAI (USA): Sprachmodelle für Assistent einschließlich Websuche, automatische Antworten, Texte, Übersetzungen, Drehbücher für Videos, Bilderkennung, Bildbearbeitung, Grundrisse, Bewertung, Sprachausgabe und Transkription;
Black Forest Labs und Replicate: Bearbeitung und Segmentierung von Fotos;
HeyGen: Videos mit KI-Avatar; für einen persönlichen Avatar werden die von Ihnen bereitgestellten Fotos an HeyGen übermittelt und dort zum Anlernen des Avatars verwendet;
ElevenLabs: Sprachausgabe und Musik für Videos;
Kling AI (Verarbeitung in Singapur): Videos aus Fotos;
DeepL: Übersetzung von Benachrichtigungen;
Tavily und Serper: Suchdienste für öffentliche Gesuche;
Google Places: Einrichtungen in der Umgebung eines Objekts anhand seiner Koordinaten.

OpenAI: Wir weisen OpenAI an, Antworten nicht zu speichern. Nach seinen Bedingungen kann OpenAI Eingaben und Ergebnisse zur Erkennung von Missbrauch bis zu 30 Tage aufbewahren. Die Verarbeitung bei OpenAI und bei den übrigen genannten Anbietern ist nicht auf die EU beschränkt (zu Drittländern siehe Abschnitt 14).

Prüfdokumente zu § 34c GewO, Nachweise zu Denkmalschutz und Erbbaurecht sowie Finanzierungs- und Kapitalnachweise lesen wir nur mit unserer eigenen Texterkennung und geben sie an keinen dieser Anbieter (Abschnitte 6.2, 8 und 9); für den Bericht-Audit gilt Abschnitt 6.3. Einfache Fotoverbesserung läuft auf unseren eigenen Servern.

10.2 Speicherung und Rechtsgrundlage

Zwischenergebnisse der KI-Dienste löschen wir auf unseren Servern nach 30 Tagen; Ergebnisse, die Sie in Ihrem Konto speichern, bleiben bis zu Ihrer Löschung oder der des Kontos. KI-Ergebnisse sind Vorschläge; bitte prüfen Sie sie vor Verwendung oder Veröffentlichung. Für einen KI-Avatar laden Sie nur eigene Bild- und Tonaufnahmen hoch oder solche mit Einwilligung der abgebildeten Person.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Rückfragen des KI-Assistenten Ihre Einwilligung (lit. a), für die Auswertung öffentlicher Gesuche lit. f.

11. Zahlungen und Rechnungen

11.1 Zahlungsabwicklung

Zahlungen wickeln wir über Stripe ab: Karte, Apple Pay, Google Pay und für Makler SEPA-Basislastschrift. Kartennummer und vollständige IBAN geben Sie bei Stripe ein; wir speichern sie nicht. Von Stripe erhalten wir Zahlungsstatus, letzte Ziffern von Karte oder IBAN, Bankkennung, Land, Mandatsnummer und -referenz sowie einen Prüfwert der IBAN. An Stripe übermitteln wir E-Mail-Adresse, interne Kontokennung und für Rechnungen Anschrift und Steuernummer. Soweit Stripe Daten zu eigenen Zwecken verarbeitet, etwa zur Betrugsprävention oder für eigene gesetzliche Pflichten, ist Stripe selbst verantwortlich.

Vor jedem SEPA-Einzug erhalten Makler die Rechnung mit Betrag und Abbuchungsdatum. Für Makler gelten Grenzen für die Zahlung auf Rechnung nach Tarif und Zahlungsverlauf; nach einer fehlgeschlagenen Lastschrift oder Rücklastschrift ist bis zum Ausgleich nur Kartenzahlung möglich. Eine Bonitätsprüfung bei Auskunfteien führen wir nicht durch. Käufe in der App können auch über den App Store und Google Play erfolgen; sie erfasst der Dienst RevenueCat mit der internen Kennung Ihres Kontos. Deutschen Maklerkonten bieten wir in den Apps aus App Store und Google Play keine Käufe an.

11.2 Rechnungen, Buchhaltung und Aufbewahrung

Rechnungen nach § 14 UStG enthalten Name oder Firma, Anschrift, Steuernummer, Leistungen, Beträge und Zahlungsart; an Makler im Format ZUGFeRD. Rechnungen, Korrekturen und Zahlungsvorgänge legen wir in einem Archiv ab, dessen Einträge nur ergänzt, aber nicht verändert oder gelöscht werden können. Unser Steuerberater erhält Rechnungsdaten als DATEV-kompatible Datei; Steuerberater, Wirtschaftsprüfer und Finanzverwaltung erhalten bei einer Prüfung Zugriff auf das Archiv, jeder Zugriff wird protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und lit. c in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten, insbesondere § 147 AO, § 14b UStG und, soweit anwendbar, § 257 HGB.

Rechnungen und Zahlungsbelege bewahren wir acht Jahre, Bücher, Aufzeichnungen und Auswertungen (Register der Zahlungsvorgänge, Abstimmungsberichte, Exporte) zehn Jahre auf, Handels- und Geschäftsbriefe sechs Jahre, jeweils ab Ende des Kalenderjahres ihrer Entstehung. Verlangen Sie vorher die Löschung, sperren wir diese Unterlagen (Art. 17 Abs. 3 lit. b, Art. 18 DSGVO): Sie stehen dann nur noch für Buchhaltung und Prüfung zur Verfügung und werden nach Fristablauf gelöscht.

12. Kommunikation

12.1 E-Mail

E-Mails zu Konto, Anfragen, Zahlungen und Benachrichtigungen versenden wir über SendPulse; dort führen wir auch Empfängerlisten mit E-Mail-Adresse, Name, Sprache, Land und Rolle. Links in unseren E-Mails auf unsere eigenen Seiten enthalten Kampagnenparameter, an denen wir erkennen, über welche Benachrichtigung Sie kommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Newsletter mit Produktneuigkeiten und Tipps erhalten Sie nur, wenn Sie bei der Registrierung, beim Abonnement oder in den E-Mail-Einstellungen eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO). Abbestellen können Sie jederzeit über den Link in jeder solchen E-Mail oder in den E-Mail-Einstellungen.

12.2 SMS und Push-Benachrichtigungen

Neben den SMS-Codes (Abschnitt 5.3) senden wir über Zadarma kurze Benachrichtigungen nach festen Vorlagen, etwa an Makler über einen neuen Kontakt. Push-Benachrichtigungen in App und Browser stellen wir über Firebase Cloud Messaging von Google zu, Anrufbenachrichtigungen auf dem iPhone über den Apple Push Notification service; Google und Apple erhalten dafür das Token Ihres Geräts und den Inhalt der Benachrichtigung. Im Browser und in der Web-Anwendung erhalten Sie Push-Benachrichtigungen nur, wenn Sie sie selbst erlauben. Arten von Benachrichtigungen und nächtliche Ruhezeiten wählen Sie in den Benachrichtigungseinstellungen. Das Token speichern wir mit Ihrer Anmeldesitzung (bis 30 Tage nach der letzten Aktivität). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Werbung lit. a.

12.3 Chat und Anrufe

Chatnachrichten, auch Sprach- und Videonachrichten, speichern wir, um sie den Beteiligten zuzustellen und anzuzeigen. Anrufe in der App sind verschlüsselte Sprachverbindungen zwischen den Geräten; den Verbindungsaufbau vermitteln Server von Cloudflare oder eigene Server, ersatzweise ein Dienst von Google, die dabei die IP-Adressen der Beteiligten erhalten. Anrufe aus dem GREM-Konto über die Telefonanlage der Plattform vermittelt Zadarma. Gespräche werden nicht aufgezeichnet; wir speichern Anrufer, Angerufenen, Zeitpunkt, Dauer, Status und technische Qualitätswerte als Nachweis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

12.4 Support und interne Benachrichtigungen

Schreiben Sie uns per E-Mail oder über das Kontaktformular, verarbeiten wir Ihre Angaben (beim Formular Name, sofern angegeben, E-Mail-Adresse und Nachricht) zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b oder f DSGVO). Das Kontaktformular lädt keine Dienste Dritter; zum Schutz vor Missbrauch prüfen wir die Ausfüllzeit, ein für Menschen unsichtbares Feld und die Zahl der Anfragen je IP-Adresse und E-Mail-Adresse (kurzzeitige Zähler, Art. 6 Abs. 1 lit. f DSGVO). Wir antworten an die angegebene E-Mail-Adresse und senden keine automatische Kopie Ihrer Nachricht. Unser Team erhält über Telegram interne Benachrichtigungen, etwa zu neuen Anfragen, Registrierungen und Anmeldungen samt Herkunft des Besuchs, Zahlungen und Support-Anliegen; sie können Ihren Namen, Ihre Kontaktdaten und Formularangaben enthalten. Zweck ist die schnelle Bearbeitung (Art. 6 Abs. 1 lit. f DSGVO).

13. Empfänger und Auftragsverarbeiter

Innerhalb unseres Unternehmens erhalten Ihre Daten nur Personen, die sie für ihre Aufgaben brauchen. Außerdem erhalten Daten:

Makler, Agenturen und Eigentümer, an die Sie eine Anfrage richten oder deren Anfrage Sie annehmen (Abschnitt 7);
Auftragsverarbeiter: GREM CAPITAL LIMITED (London), soweit sie nicht selbst Anbieter ist, für Betrieb und Weiterentwicklung der technischen Plattform; OVHcloud; Hetzner Online; Cloudflare; SendPulse; Zadarma; Google (Firebase Cloud Messaging, Google Maps Platform) und Apple (Apple Push Notification service); OpenAI, Black Forest Labs, Replicate, HeyGen, ElevenLabs und Kling AI; DeepL; Sentry, soweit eingesetzt – jeweils mit den in den Abschnitten 3 bis 12 genannten Aufgaben;
weitere Dienstleister für unsere eigenen Zwecke: Google (Google Analytics nach Einwilligung, Firebase Crashlytics und Firebase Analytics nach Abschnitt 4.8, reCAPTCHA), OpenFreeMap, OpenStreetMap, Esri, Have I Been Pwned, Tavily, Serper und Telegram;
Zahlungsdienstleister: Stripe, RevenueCat, Apple (App Store) und Google (Google Play);
Anbieter, die Sie oder ein Makler selbst wählen: Google, Apple, Meta (Facebook) und LinkedIn bei der Anmeldung, YouTube, Vimeo, Matterport und Kuula bei eingebundenen Medien, von Maklern verbundene Portale, soziale Netzwerke und Messenger;
Steuerberater, Wirtschaftsprüfer und Finanzverwaltung (Abschnitt 11.2);
Behörden, Gerichte und Rechtsberater, wenn wir dazu verpflichtet sind oder es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 6 Abs. 1 lit. c und f DSGVO);
Erwerber, wenn unser Unternehmen oder Teile davon veräußert werden, im gesetzlichen Rahmen (Art. 6 Abs. 1 lit. f DSGVO).

Auftragsverarbeiter sind nach Art. 28 DSGVO vertraglich an unsere Weisungen gebunden. Daten verkaufen wir nicht.

14. Übermittlung in Drittländer

Einige Empfänger sitzen außerhalb der EU und des EWR oder verarbeiten Daten dort:

Vereinigtes Königreich: Soweit der Verantwortliche bzw. Empfänger im Vereinigten Königreich sitzt, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission. Das gilt auch für die Server und die Datenbankkopie in Erith.
USA: Empfänger in den USA sind insbesondere Google, Apple, Meta, LinkedIn, Cloudflare, Stripe, RevenueCat und OpenAI. Soweit ein Empfänger nach dem EU-U.S. Data Privacy Framework zertifiziert ist, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023, andernfalls auf Grundlage von Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
Andere Drittländer ohne Angemessenheitsbeschluss, etwa Singapur (Kling AI): auf Grundlage von Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
Makler in Drittländern und von Ihnen verbundene Dienste: Arbeiten Sie über die Plattform mit einem Makler außerhalb des EWR zusammen oder verbinden Sie selbst ein Konto bei einem sozialen Netzwerk oder Messenger, übermitteln wir Daten, weil dies zur Durchführung der von Ihnen gewünschten Leistung erforderlich ist (Art. 49 Abs. 1 lit. b bzw. c DSGVO).

Eine Kopie der Garantien können Sie unter [email protected] anfordern.

15. Speicherdauer

Wir speichern Daten nur, solange es für den Zweck erforderlich ist oder eine gesetzliche Aufbewahrungspflicht besteht:

Konto und Profil: bis zur Löschung des Kontos, danach gesperrt bis zur endgültigen Löschung auf Ihre Anfrage (Abschnitt 5.4), soweit unten keine längere Frist gilt;
Anfrage eines SMS-Codes (Telefonnummer, Prüfwerte von Code und IP-Adresse): bis 24 Stunden nach Ablauf des Codes;
Anmeldesitzungen mit IP-Adresse, Gerät, ungefährem Ort und Token für Benachrichtigungen: 30 Tage nach der letzten Aktivität;
Server-Protokolle: Anfrageprotokoll 90 Tage, Protokolldateien 30 Tage;
Angesehene Maklerkarten in Swipe Match: 180 Tage;
Ereignisprotokoll einer Anfrage: 5 Jahre; Ihre eigenen Texte darin werden 12 Monate nach Löschung Ihres Kontos entfernt;
Prüfwert der Telefonnummer eines gelöschten Kontos: 12 Monate;
Widerspruch gegen die Weitergabe an Makler: bis zur Aufhebung (nur Hashwerte);
Nachweise von Einwilligungen: solange wir sie nachweisen müssen und Ansprüche aus der Vermittlung geltend gemacht werden können;
Unterlagen nach § 34c GewO: solange der Status besteht; Dateien abgeschlossener Prüfungen ohne Status 30 Tage; Angaben zur Prüfung ohne Dokumente, solange zur Verhinderung von Missbrauch nötig;
Nachweise zu Denkmalschutz und Erbbaurecht: solange das Objekt besteht; bei abgelehnten oder unbestätigten Nachweisen danach ein Vermerk ohne Dokument für 2 Jahre;
Finanzierungs-, Kapitalnachweise und Ausweisdokumente: 90 Tage nach der Prüfung;
Gutachten im Bericht-Audit: 90 Tage nach Mitteilung des Prüfergebnisses;
Zwischenergebnisse der KI-Dienste: 30 Tage; bei OpenAI nach dessen Bedingungen bis zu 30 Tage zur Missbrauchserkennung;
Rechnungen und Zahlungsbelege: 8 Jahre; Bücher, Aufzeichnungen und Auswertungen: 10 Jahre; Handels- und Geschäftsbriefe: 6 Jahre, jeweils ab Ende des Kalenderjahres;
Sicherungskopien: Datenbank 14 bzw. 31 Tage; frühere Fassungen von Dateien mindestens 30 Tage;
Newsletter-Einwilligung: bis zum Widerruf;
Cookies und lokale Speicherungen: wie in Abschnitt 4 angegeben.

Andere Daten speichern wir, solange sie für ihren Zweck erforderlich sind und das Gesetz es verlangt. Steht einer Löschung eine Aufbewahrungspflicht entgegen, schränken wir die Verarbeitung ein.

16. Ihre Rechte

Sie können Ihre Rechte formlos geltend machen, am einfachsten per E-Mail an [email protected]; nennen Sie bitte die E-Mail-Adresse oder Telefonnummer Ihres Kontos. Bei begründeten Zweifeln an Ihrer Identität können wir zusätzliche Angaben verlangen (Art. 12 Abs. 6 DSGVO).

Auskunft (Art. 15 DSGVO) über die zu Ihnen verarbeiteten Daten und eine Kopie davon; vieles können Sie selbst herunterladen (Abschnitt 5.4);
Berichtigung (Art. 16 DSGVO) unrichtiger und Vervollständigung unvollständiger Daten; viele Angaben ändern Sie selbst im Profil;
Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht oder ein anderer Grund nach Art. 17 Abs. 3 DSGVO entgegensteht; das gilt auch für die nach einer Kontolöschung gesperrten Daten (Abschnitt 5.4);
Einschränkung der Verarbeitung (Art. 18 DSGVO), etwa solange die Richtigkeit bestritten ist;
Datenübertragbarkeit (Art. 20 DSGVO) der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format;
Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) jederzeit mit Wirkung für die Zukunft, ohne dass die bis dahin erfolgte Verarbeitung unrechtmäßig wird (siehe die Abschnitte 4.1, 7.3, 9 und 12.1);
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes; in Deutschland ist das in der Regel die Datenschutzbehörde Ihres Bundeslandes.

16.1 Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Der Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen; wir verarbeiten Ihre Daten dann nicht mehr für diesen Zweck.

Den Widerspruch richten Sie formlos an [email protected].

17. Pflicht zur Bereitstellung und automatisierte Entscheidungen

17.1 Pflicht zur Bereitstellung

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Ohne die als Pflichtangaben gekennzeichneten Daten können wir Ihnen ein Konto oder einzelne Funktionen aber nicht anbieten: Ohne bestätigte Telefonnummer können Eigentümer und Interessenten keine Anfrage senden, ohne Einwilligung in die Übermittlung kann der gewählte Makler Sie nicht kontaktieren, und ohne die Nachweise nach Abschnitt 8 können Makler in Deutschland keine Kontakte annehmen.

17.2 Automatisierte Entscheidungen und Profiling

Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) treffen wir in folgenden Fällen:

Testzeitraum von Maklern (Art. 22 Abs. 2 lit. a DSGVO): Der ermäßigte Testzeitraum wird je Unternehmen einmal gewährt. Stimmen Erlaubnisnummer, Steuernummer, USt-IdNr. oder IBAN des SEPA-Mandats mit einem früheren Konto überein, entfällt der Rabatt ab dem folgenden Abrechnungsmonat.
Zahlung auf Rechnung (Art. 22 Abs. 2 lit. a DSGVO): Grenzen für die Zahlung auf Rechnung und der Wechsel zur Kartenzahlung nach einer fehlgeschlagenen Lastschrift oder Rücklastschrift ergeben sich nach den AGB aus Tarif und Zahlungsverlauf.
Sperre nach Beschwerden über Eigentümer (Art. 22 Abs. 2 lit. a DSGVO): Gehen Beschwerden von Maklern zweier verschiedener Unternehmen über denselben Eigentümer ein (etwa weil er nicht zur Vermarktung berechtigt ist oder das Objekt nicht existiert), wird sein Konto nach den AGB für Eigentümer gesperrt. Wir teilen Sperre und Gründe mit, ein Mitarbeiter klärt den Sachverhalt, der Eigentümer kann Stellung nehmen, und bei unbegründeten Beschwerden heben wir die Sperre auf. Eine einzelne Beschwerde wird nur vermerkt.

Daneben setzen wir automatisierte Verfahren ein, die keine solchen Entscheidungen sind:

Reihenfolge und Rating: Die Reihenfolge der Maklerkarten und das Rating R berechnen wir automatisch nach Abschnitt 7.4. Das ist Profiling (Art. 4 Nr. 4 DSGVO); die Auswahl trifft aber stets der Eigentümer oder Interessent selbst.
Prüfung von Nachweisen: Den Status „§34c geprüft“ erteilt und versagt ein Mitarbeiter. Nachweise zu Objekten können automatisch vorläufig bestätigt, aber nur von Mitarbeitern abgelehnt werden. Finanzierungsnachweise prüfen immer Mitarbeiter.
Inhalte und doppelte Objekte: Inhalte, Konten und doppelte Objekte prüfen wir teilweise automatisiert, auch mit Hilfe von KI; Zweifelsfälle prüfen Mitarbeiter.
Automatische Gutschriften an Makler, etwa wenn eine Nummer nicht existiert, wirken nur zu deren Gunsten.

Sie können sich jederzeit an [email protected] wenden, Ihren Standpunkt darlegen, eine solche Entscheidung oder Maßnahme anfechten und die Überprüfung durch einen Mitarbeiter verlangen (Art. 22 Abs. 3 DSGVO).

18. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Angebote, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die auf dieser Seite veröffentlichte Fassung mit dem oben genannten Stand. Über wesentliche Änderungen informieren wir registrierte Nutzer zusätzlich per E-Mail oder in der App. Braucht eine neue Verarbeitung Ihre Einwilligung, holen wir sie vorher ein.