Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist die MOMI Beteiligungs- und Beratungs GmbH, Gustav-Kirchhoff-Straße 13, 67098 Bad Dürkheim (Marke „SanierHero“), vertreten durch die Geschäftsführung (Nathalie Acker). E-Mail: info@sanierhero.de.

Einen Datenschutzbeauftragten haben wir nicht benannt, da keine gesetzliche Pflicht besteht (Art. 37 DSGVO, § 38 BDSG: weniger als 20 Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt). Bei Fragen zum Datenschutz erreichst du uns unter info@sanierhero.de.

2. Überblick

Wir verarbeiten personenbezogene Daten, um dir einen Festpreis für ein Gerüst zu berechnen, deine Buchung auszuführen und abzurechnen, Gerüstbauer zu prüfen und zu beauftragen sowie die Plattform sicher zu betreiben. Wir verkaufen keine Daten und setzen keine Werbe-Tracker ein. Für eine cookie-freie Reichweitenmessung nutzen wir Plausible Analytics (Abschnitt 12).

Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, z. B. Aufbewahrung nach Handels- und Steuerrecht) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, z. B. sicherer Betrieb, Nachweis von Zustimmungen).

3. Hosting und Server-Protokolle

Die Website und die Server-Funktionen laufen bei Vercel Inc. (USA) als Auftragsverarbeiter. Beim Aufruf verarbeitet Vercel technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser- und Geräteangaben sowie Fehlerprotokolle. Zweck ist die Auslieferung und Absicherung der Seite (Art. 6 Abs. 1 lit. f DSGVO). Protokolle werden nach kurzer Frist, spätestens nach 30 Tagen gelöscht.

Vercel ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln der EU-Kommission aus dem Auftragsverarbeitungsvertrag (DPA) von Vercel. Die Seite wird über das weltweite Netz von Vercel ausgeliefert; Server-Funktionen können in Rechenzentren in den USA laufen.

4. Datenbank, Konten und Dateien

Konten, Aufträge, Belege und hochgeladene Dateien speichern wir bei Supabase (Supabase Inc.) als Auftragsverarbeiter in einem Rechenzentrum in Frankfurt am Main (EU). Dazu gehören hochgeladene Pläne, Nachweise von Gerüstbauern (z. B. Handwerksrolle, Versicherung, SOKA/BG), Fotos und Unterschriften aus Prüfprotokollen. Der Zugriff ist über Zeilen-Rechte (Row Level Security) auf die jeweils berechtigten Personen beschränkt. Bankverbindungen von Gerüstbauern liegen verschlüsselt vor.

Soweit Supabase für Support oder Betrieb Zugriff aus Drittländern (insbesondere USA) benötigt, gelten die Standardvertragsklauseln der EU-Kommission aus dem Auftragsverarbeitungsvertrag (DPA) von Supabase.

5. Anmeldung und E-Mails

Du meldest dich mit deiner E-Mail-Adresse und einem Einmal-Code an; Büro-Zugänge von Gerüstbauern zusätzlich mit Passwort und zweitem Faktor. Die Anmeldung verwaltet Supabase Auth. Die Codes und Systemnachrichten versenden wir über Microsoft 365 (Microsoft Ireland Operations Ltd., Dublin) als Auftragsverarbeiter mit dem Absender app@sanierhero.de. Verarbeitet werden E-Mail-Adresse, Zeitpunkt und Zustellstatus (Art. 6 Abs. 1 lit. b DSGVO). Microsoft verarbeitet die Daten in der EU (EU Data Boundary); für mögliche Zugriffe aus den USA gelten das EU-US Data Privacy Framework bzw. die Standardvertragsklauseln aus dem Microsoft Products and Services Data Protection Addendum (DPA).

6. Festpreis-Konfigurator

Adressvorschläge: Während du die Adresse tippst, schickt unser Server den eingegebenen Text an Google Places bzw. Google Geocoding (Google Ireland Limited, Irland; Übermittlung in die USA möglich, EU-US Data Privacy Framework). Ist kein Google-Zugang eingerichtet, nutzen wir Photon der komoot GmbH (Deutschland). Dein Browser verbindet sich dabei nicht selbst mit diesen Diensten; deine IP-Adresse wird nicht weitergegeben.

Gebäudedaten: Zur Berechnung von Flächen und Höhen fragt unser Server zur Adresse bzw. zu den Koordinaten 3D-Gebäudedaten beim Anbieter SYTE als Auftragsverarbeiter ab. Übermittelt werden nur Adresse bzw. Koordinaten, keine Namen oder Kontaktdaten.

Luftbilder: Für die 3D-Ansicht lädt unser Server einen Luftbildausschnitt (digitale Orthophotos) beim Geodatendienst des jeweiligen Bundeslands. Übermittelt werden nur Koordinaten, nicht deine IP-Adresse.

Pläne hochladen: Bei einem Neubau kannst du Pläne hochladen. Wir speichern sie bei Supabase (Abschnitt 4). Wenn du die automatische Auswertung nutzt, übermittelt unser Server die Planseiten an die API von Anthropic (Claude; Vertragspartner Anthropic Ireland, Limited, Dublin; Verarbeitung auch durch Anthropic PBC, USA), um die Hauptmaße auszulesen. Pläne können Namen und Anschriften enthalten – lade bitte nur Pläne hoch, die du dafür verwenden darfst. Nach den API-Bedingungen von Anthropic werden die Inhalte nicht zum Training verwendet und beim Anbieter spätestens nach 30 Tagen gelöscht. Für die Übermittlung in die USA gelten die Standardvertragsklauseln aus dem Auftragsverarbeitungsvertrag (DPA) von Anthropic.

Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. b DSGVO (Berechnung des Angebots auf deine Anfrage).

7. Buchung, Anfrage und Kundenkonto

Für Buchung oder Anfrage verarbeiten wir Name, ggf. Firma, E-Mail, Telefon, Baustellenadresse, gewählte Leistung, Wunschtermin und deine Hinweise. Wir speichern außerdem die Version der akzeptierten AGB mit Zeitpunkt sowie – bei Privatkunden – deine Erklärung zum vorzeitigen Beginn vor Ablauf der Widerrufsfrist. Zweck ist die Ausführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und der Nachweis der Zustimmungen (Art. 6 Abs. 1 lit. c und f DSGVO).

Buchst du ohne Konto, legen wir mit deiner E-Mail-Adresse ein Kundenkonto an, das du nach der ersten Anmeldung übernimmst. Bei Firmenkonten verarbeiten wir zusätzlich Rechnungsdaten, USt-IdNr., Projekte, Kostenstellen und die eingeladenen Nutzer.

8. Weitergabe an den Gerüstbauer

Wir lassen dein Gerüst durch einen geprüften Gerüstbauer als unseren Nachunternehmer ausführen. Vor der Vergabe sehen Gerüstbauer nur Postleitzahl, grobe Lage und Umfang, keine Kontaktdaten. Nach der Zuteilung erhält der beauftragte Gerüstbauer Baustellenadresse, Ansprechpartner, Telefon und deine Hinweise, damit er Termine abstimmen und das Gerüst stellen kann (Art. 6 Abs. 1 lit. b DSGVO).

9. Prüfprotokolle

Beim Aufbau, bei der Freigabe und beim Abbau dokumentiert der Gerüstbauer das Gerüst mit Fotos, Prüfpunkten und Unterschrift in unserer Monteur-App. Die Fotos zeigen das Gerüst und die Fassade; Personen sollen nicht abgebildet werden. Zweck sind Arbeitssicherheit, die Dokumentation nach Betriebssicherheitsverordnung und TRBS 2121 sowie Beweissicherung (Art. 6 Abs. 1 lit. b, c und f DSGVO).

10. Rechnungen, Gutschriften und Zahlungen

Für Rechnungen, Gutschriften und Auszahlungen verarbeiten wir Rechnungsdaten und – bei Gerüstbauern – die Bankverbindung. Zahlungsdateien (SEPA) übergeben wir an unsere Bank, Buchungsdaten (DATEV-Export) an unsere Steuerberatung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

Online-Zahlung: Bezahlst du eine Rechnung online oder richtest du eine SEPA-Lastschrift für ein Abo ein, übermitteln wir an Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland) deinen Namen bzw. Firmennamen, deine E-Mail-Adresse, Rechnungsnummer und Betrag. Deine Zahldaten (Karte, IBAN, PayPal- oder Klarna-Konto) gibst du direkt auf der Bezahlseite von Stripe ein; wir erhalten davon nur die Zahlart, die letzten vier Stellen, die Mandatsreferenz und den Zahlungsstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags) und Art. 6 Abs. 1 lit. c DSGVO (Aufbewahrung, Geldwäsche- und Zahlungsdiensterecht).

Stripe verarbeitet die Zahldaten als eigener Verantwortlicher, soweit es gesetzliche Pflichten als Zahlungsinstitut erfüllt (z. B. Betrugsprävention, Geldwäscheprüfung), und im Übrigen in unserem Auftrag. Bei PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) und Klarna (Klarna Bank AB, Stockholm) werden deine Daten zusätzlich an diese Anbieter übermittelt, wenn du die Zahlart wählst. Stripe kann Daten in die USA übermitteln (Stripe, Inc.); Grundlage sind das EU-US Data Privacy Framework und Standardvertragsklauseln. Datenschutzhinweise von Stripe: stripe.com/de/privacy.

11. Registrierung als Gerüstbauer

Für die Prüfung und Freischaltung verarbeiten wir Firmen- und Kontaktdaten, USt-IdNr., Nachweise (Handwerksrolle, Betriebshaftpflicht, SOKA/BG), Angaben zur Kleinunternehmerregelung, Bankverbindung und die Zustimmung zum Gutschriftverfahren mit Version und Zeitpunkt. Für Monteure verarbeiten wir Name, Kolonne, Einsatzplanung und die von ihnen erstellten Protokolle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b, c und f DSGVO.

12. Cookies und Speicher im Browser

Wir verwenden nur technisch notwendige Cookies und Browser-Speicher (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht erforderlich:

• Anmelde-Cookies von Supabase Auth, damit du angemeldet bleibst
• für Mitarbeitende des Backoffice: Cookies für die Funktion „Ansehen als“ (Support)
• sessionStorage: Bestätigungsdaten deiner letzten Buchung, nur in diesem Browser-Tab
• localStorage: Einstellungen (z. B. Ansicht im Partner-ERP) und im Demo-Modus die Beispieldaten

Reichweitenmessung mit Plausible Analytics: Um zu verstehen, wie unsere öffentlichen Seiten genutzt werden (z. B. welche Seite aufgerufen und welche Schaltfläche geklickt wurde, ob ein Preis angezeigt oder eine Buchung abgeschlossen wurde), nutzen wir Plausible Analytics der Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland, als Auftragsverarbeiter. Plausible setzt keine Cookies und greift nicht auf Informationen in deinem Endgerät zu. Verarbeitet werden die aufgerufene Seite, die verweisende Seite, Browser, Betriebssystem, Gerätetyp und das Land; aus IP-Adresse und Browserkennung wird ein täglich wechselnder, nicht umkehrbarer Zählwert gebildet, die IP-Adresse selbst wird nicht gespeichert. Die Daten werden auf Servern in der EU verarbeitet und nur zusammengefasst ausgewertet; ein Rückschluss auf dich ist uns nicht möglich. Kundenkonto, Firmenkonto, Partnerbereich und Backoffice sind von der Messung ausgenommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Auswertung und Verbesserung unseres Angebots). Datenschutzhinweise von Plausible: plausible.io/privacy. Andere Analyse- oder Marketing-Dienste (z. B. Google Tag Manager, Google Analytics) setzen wir nicht ein.

Schriftarten werden von unserem eigenen Server geladen; es besteht keine Verbindung zu Google Fonts.

13. Kontakt

Schreibst du uns eine E-Mail oder eine Nachricht im Kundenkonto, verarbeiten wir deine Angaben zur Bearbeitung (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

Kontaktformular (sanierhero.de/kontakt): Wir verarbeiten Name, E-Mail-Adresse und Nachricht, um deine Anfrage zu beantworten. Die Nachricht wird über Microsoft 365 (Abschnitt 5) an unser Postfach zugestellt; für den Schutz vor Missbrauch verarbeitet unser Server kurzzeitig deine IP-Adresse im Arbeitsspeicher (Begrenzung der Anfragen, keine Speicherung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anfrage zu einem Vertrag) bzw. lit. f DSGVO (Beantwortung allgemeiner Anfragen). Wir löschen die Nachricht 6 Monate nach Abschluss der Anfrage, sofern daraus kein Auftrag entsteht und keine Aufbewahrungspflicht besteht.

14. Empfänger und Drittländer

Empfänger sind die genannten Auftragsverarbeiter (Vercel, Supabase, Microsoft, Google, SYTE, Anthropic, Stripe, Plausible, Geodatendienste der Länder), der beauftragte Gerüstbauer, unsere Bank und unsere Steuerberatung sowie Behörden, wenn wir gesetzlich dazu verpflichtet sind.

Übermittlungen in die USA stützen wir auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, sonst auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

15. Speicherdauer

Wir löschen Daten, sobald sie für den Zweck nicht mehr erforderlich sind und keine Aufbewahrungspflicht besteht:

• Rechnungen, Gutschriften und andere Buchungsbelege: 8 Jahre (§ 147 AO, § 257 HGB)
• Handelsbücher, Jahresabschlüsse, Inventare und Verfahrensdokumentation: 10 Jahre
• Handels- und Geschäftsbriefe (z. B. Auftragsbestätigungen): 6 Jahre
• Auftragsdaten und Prüfprotokolle: bis zum Ablauf der Verjährungsfristen, in der Regel 3 Jahre nach Ende des Jahres der Auftragserledigung (3 Jahre, Regelverjährung § 195 BGB), bei laufenden Ansprüchen bis zu deren Erledigung
• hochgeladene Pläne: spätestens 12 Monate nach Abschluss oder Ablehnung der Anfrage
• Nachweise von Gerüstbauern: für die Dauer der Zusammenarbeit und 3 Jahre danach
• Nachrichten über das Kontaktformular: 6 Monate nach Abschluss der Anfrage, sofern daraus kein Auftrag entsteht
• Zustimmungen (AGB-Version, vorzeitiger Beginn, Gutschriftverfahren): so lange wie der zugehörige Vertrag nachweisbar sein muss

Die Fristen beginnen mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist.

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Schreib uns dazu an info@sanierhero.de.

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

17. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

18. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Ohne die für die Buchung nötigen Angaben (Name, Kontakt, Baustellenadresse) können wir keinen Vertrag schließen. Den Preis berechnet die Software automatisch aus Gebäudedaten; dabei werden keine Entscheidungen über dich als Person im Sinne von Art. 22 DSGVO getroffen. Aufträge an Gerüstbauer vergibt die Software nach festen Kriterien (Preis, Termin, Bewertung, Qualifikation, Kapazität); Gerüstbauer können jederzeit verlangen, dass eine Mitarbeiterin oder ein Mitarbeiter von SanierHero eine Vergabe überprüft.

19. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Datenverarbeitung ändert. Es gilt die hier veröffentlichte Fassung.