Viktor Kyselov
Röttkenring 18, 13053 Berlin, Deutschland
E-Mail: [email protected]
Telefon: +49 176 20762524
BerlinWo ist ein Dienst, der Wohnungsangebote in Berlin und Brandenburg beobachtet — auf den Portalen von Wohnungsunternehmen und Genossenschaften — und in Ihrem Auftrag Bewerbungen einreicht, per E-Mail bestätigt (Double-Opt-in) und Besichtigungseinladungen in Ihrem Konto anzeigt.
Sie können sich per E-Mail und selbst gewähltem Passwort oder über Google Sign-In registrieren. Wir verarbeiten Ihre E-Mail-Adresse, Ihren Namen und eine Konto-ID. Passwörter werden ausschließlich als kryptografischer Hash (bcrypt; ältere Konten bis zur nächsten Anmeldung PBKDF2) gespeichert, niemals im Klartext. Zur Bestätigung Ihrer E-Mail-Adresse senden wir einen Einmalcode bzw. Bestätigungslink. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Von Ihnen selbst eingegebene Daten: Anrede, Name, Geburtsdatum, Kontaktdaten (E-Mail, Telefon), Anschrift (Straße und Hausnummer, Postleitzahl, Ort), Haushaltsgröße, Angaben zum monatlichen Einkommen und zur Einkommensart, Angaben zu Haustieren, WBS-Status und -Stufe (Berlin und Brandenburg), Ihre Suchkriterien sowie Ihre Antworten für Bewerbungsformulare. Diese Daten übermitteln wir zum Zweck Ihrer Wohnungsbewerbung an die jeweilige Wohnungsbaugesellschaft (z. B. HOWOGE, degewo, Gewobag, WBM, Stadt und Land, berlinovo). Soweit ein Formular eine Angabe verlangt, die Ihr Profil nicht abdeckt, werden diese Daten zusätzlich an den in Ziffer 3.4 genannten KI-Dienst übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Ein Zugriff auf Ihr privates Postfach ist für die Nutzung von BerlinWo nicht
erforderlich und standardmäßig ausgeschaltet. Beim Registrieren und Anmelden über Google
fragen wir ausschließlich die Berechtigungen openid email profile ab — also
Ihre E-Mail-Adresse und Ihren Namen, keinen E-Mail-Inhalt. Der Dienst arbeitet mit der
dienstinternen E-Mail-Adresse aus Ziffer 3.7. Der Lesezugriff auf Gmail lässt sich nur über
eine gesonderte, ausdrückliche Handlung im Konto („Gmail verbinden“) aktivieren und ist
zusätzlich nur für einzelne freigeschaltete Konten verfügbar.
Wenn Sie diesen Zugriff aktivieren, gilt: Mit Ihrer ausdrücklichen Einwilligung
(OAuth-Scope gmail.readonly) liest der
Dienst Ihre eingehenden E-Mails ausschließlich, um Nachrichten von Wohnungsbaugesellschaften
zu erkennen: Bestätigungslinks (Double-Opt-in), Besichtigungseinladungen und zugehörige
Mitteilungen. Ihre private Korrespondenz wird nicht zu anderen Zwecken ausgewertet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); Widerruf jederzeit unter
myaccount.google.com/permissions.
Für zwei Aufgaben setzen wir einen KI-Dienst ein. Anbieter ist Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA.
Mit Anthropic besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Nutzung Ihrer Daten zum Training generalisierter KI-Modelle findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — ohne diese Verarbeitung lassen sich die Formulare der Wohnungsbaugesellschaften nicht ausfüllen).
Auf Wunsch senden wir Statusbenachrichtigungen über Telegram. Die Verknüpfung stellen Sie selbst her; ohne Verknüpfung findet keine Übermittlung statt. Übermittelt werden dann Ihre Telegram-Chat-ID und der Inhalt der Benachrichtigung (z. B. dass eine Bewerbung abgeschickt oder eine Besichtigungseinladung eingegangen ist).
Betreiber ist Telegram FZ-LLC bzw. Telegram Messenger Inc. mit Sitz in den Vereinigten Arabischen Emiraten. Für dieses Land liegt kein Angemessenheitsbeschluss der EU-Kommission vor, und es bestehen mit Telegram keine geeigneten Garantien im Sinne des Art. 46 DSGVO. Die Übermittlung erfolgt daher ausschließlich auf Grundlage Ihrer ausdrücklichen und informierten Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO. Sie tragen dabei folgende Risiken: In den VAE besteht kein mit der DSGVO vergleichbares Datenschutzniveau, es gibt keine unabhängige Aufsichtsbehörde, an die Sie sich wenden könnten, und Ihre Rechte auf Auskunft, Berichtigung und Löschung sind gegenüber Telegram gegebenenfalls nicht durchsetzbar; ein Zugriff durch dortige Behörden lässt sich nicht ausschließen.
Die Einwilligung ist freiwillig, der Dienst funktioniert auch ohne Telegram. Sie können die Verknüpfung jederzeit in Ihrem Konto im Bereich „Verbindung“ über die Schaltfläche zum Trennen wieder aufheben; danach senden wir keine Nachrichten mehr an Telegram. Der Widerruf wirkt für die Zukunft (Art. 7 Abs. 3 DSGVO).
Beim Aufruf der Website werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent) verarbeitet, um den Betrieb und die Sicherheit des Dienstes zu gewährleisten. Zur Abwehr von Passwortrateangriffen zählen wir zusätzlich fehlgeschlagene Anmelde- und Passwortanfragen je Konto und je IP-Adresse; die IP-Adresse wird dafür nur als Hashwert gespeichert. Speicherdauer siehe Ziffer 8. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Für die Abwicklung Ihrer Bewerbungen richten wir Ihnen eine dienstinterne E-Mail-Adresse ein. An diese Adresse gerichtete Nachrichten der Wohnungsbaugesellschaften (Bestätigungslinks, Besichtigungseinladungen, Rückfragen) werden ausschließlich zum Zweck Ihrer Bewerbung verarbeitet und in Ihrem Konto angezeigt. So funktioniert der Dienst, ohne dass ein Zugriff auf Ihr privates Postfach erforderlich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Technisch läuft der Empfang über Cloudflare Email Routing (Cloudflare, Inc., USA). Cloudflare nimmt alle an die Adressen unserer Domain gerichteten Nachrichten entgegen und leitet sie vollständig — einschließlich Absender, Betreff, Nachrichtentext und Anhängen — im Original an unseren Server weiter. Cloudflare verarbeitet dabei also nicht nur Verbindungsdaten, sondern den Inhalt der Nachrichten. Auf unserem Server werden Absender, Betreff und Text in Ihrem Konto gespeichert und Ihnen unter „Nachrichten“ angezeigt. Da es sich um einen Catch-all-Empfang handelt, werden auf demselben Weg auch irrtümlich oder unerwünscht an Ihre Serviceadresse gesendete Nachrichten (z. B. Spam) verarbeitet. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework.
Kostenpflichtige Tarife werden über Stripe Payments Europe, Ltd. (Irland) bzw. Stripe, Inc. (USA) abgewickelt. Ihre Zahlungsdaten (z. B. Karten- oder Kontodaten) geben Sie direkt bei Stripe ein; wir selbst speichern keine vollständigen Zahlungsdaten, sondern erhalten von Stripe nur den Zahlungsstatus und eine Kunden-/Abo-Kennung. Mit Stripe besteht ein Auftragsverarbeitungsvertrag; eine etwaige Übermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework bzw. der EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c (gesetzliche Aufbewahrungspflichten für Rechnungen).
Haben Sie sich über einen Partner- oder Empfehlungscode registriert, speichern wir diesen Code zu Ihrem Konto, um die Empfehlung zuordnen zu können. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Abrechnung mit Empfehlungspartnern).
Wenn Sie uns über den Support-Bereich Ihres Kontos schreiben, speichern wir Ihre Nachricht im Freitext, den Zeitpunkt, den Bearbeitungsstatus und unsere Antworten. Was Sie dort schreiben, bestimmen Sie selbst — bitte teilen Sie uns dort keine Angaben mit, die für die Bearbeitung nicht nötig sind (etwa Gesundheits- oder Herkunftsdaten). Ihre Anfragen sind für den Betreiber des Dienstes einsehbar, weil sie sonst nicht beantwortet werden können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfragen zum Vertrag) bzw. Art. 6 Abs. 1 lit. f DSGVO (sonstige Anliegen).
Sie können eine Bewertung des Dienstes abgeben. Dabei gilt:
bw_rv (siehe Ziffer 6).Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung in die Veröffentlichung, die Sie mit dem Absenden erteilen) sowie Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz). Sie können die Löschung Ihrer Bewertung jederzeit formlos verlangen.
Beim Anlegen des Kontos speichern wir zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) Zeitpunkt, Fassung der akzeptierten Bedingungen und Ihre IP-Adresse. Beim Abschluss eines kostenpflichtigen Tarifs speichern wir ebenfalls die IP-Adresse der Bestellung — sie dient als Nachweis der Bestellung und dem Schutz vor missbräuchlichen Buchungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.
Zu jedem Konto führen wir ein technisches Protokoll darüber, was der Dienst getan hat
(z. B. „Bewerbung abgeschickt“, „Bestätigungslink aufgerufen“, Fehlermeldungen). Es dient
der Fehlersuche, dem Nachweis abgeschickter Bewerbungen und der Sicherheit. Vor dem
Speichern werden personenbezogene Bestandteile automatisch maskiert: von E-Mail-Adressen
bleiben nur der erste Buchstabe und die Domain, aus Links werden die Parameter (und damit
Einmal-Codes) entfernt, Passwörter, Token, Zugangsschlüssel und Bestätigungscodes werden
durch *** ersetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Sofern dieser Schutz eingeschaltet ist, setzen wir auf den Seiten Registrierung und
Passwort vergessen das Bot-Erkennungsverfahren „Turnstile“ von Cloudflare, Inc. (101 Townsend St, San Francisco,
CA 94107, USA) ein. Diese Seiten binden dazu ein Skript von
challenges.cloudflare.com nach; Ihr Browser stellt beim Aufruf also eine
Verbindung zu Cloudflare her und übermittelt dabei die dafür technisch nötigen Daten
(IP-Adresse, Browser- und Geräteangaben). Beim Absenden des Formulars übermitteln wir
zusätzlich das von Turnstile erzeugte Prüf-Token und Ihre IP-Adresse zur Auswertung an
Cloudflare. Turnstile setzt keine Werbe- oder Tracking-Cookies und erstellt keine
seitenübergreifenden Nutzerprofile für Werbezwecke.
Zweck: Abwehr automatisierter Registrierungen und massenhafter Passwort-Anfragen — ohne diesen Schutz ließe sich das Formular „Passwort vergessen“ dazu missbrauchen, fremde Postfächer mit E-Mails zu überfluten. Rechtsgrundlage für die Verarbeitung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes); für den Zugriff auf Ihr Endgerät: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich, damit dieser von Ihnen ausdrücklich gewünschte Dienst — Registrierung bzw. Passwortzurücksetzung — bereitgestellt werden kann). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework.
Haben Sie die Anmeldung begonnen und nicht zu Ende geführt, erinnern wir Sie per E-Mail daran und fragen, was nicht geklappt hat. Das betrifft genau drei Stände: Ihre E-Mail-Adresse ist noch nicht bestätigt, Ihr Bewerberprofil ist noch nicht ausgefüllt oder Sie haben noch keinen Tarif gewählt. Die Nachricht geht an die Adresse, mit der Sie sich registriert haben, ist in der von Ihnen gewählten Sprache verfasst und enthält einen Link zurück auf genau den Schritt, an dem Sie stehen geblieben sind. Weitere Leistungen bewerben wir darin nicht.
Für den Versand gelten feste Grenzen:
Verarbeitet werden dafür Ihre E-Mail-Adresse, die von Ihnen gewählte Sprache, der Schritt, an dem Sie stehen geblieben sind, der Zeitpunkt Ihres letzten Fortschritts sowie Vermerke darüber, wann und welche Erinnerung versandt wurde; hinzu kommt ein Zufallsschlüssel, der ausschließlich den Abmeldelink absichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Auf Art. 6 Abs. 1 lit. b DSGVO lässt sich der Versand nicht stützen, weil zu diesem Zeitpunkt noch kein Vertrag besteht — die Anmeldung ist ja gerade nicht abgeschlossen. Unser berechtigtes Interesse besteht darin, einen von Ihnen selbst begonnenen Vorgang zum Abschluss zu bringen und zu erfahren, woran er gescheitert ist: Ein nicht angekommener Bestätigungscode oder ein unverständliches Formularfeld bleibt uns sonst unbekannt, und Ihnen bleibt ein angefangenes, nicht nutzbares Konto. In der Abwägung mit Ihren Interessen sprechen dafür: Anlass ist ausschließlich Ihre eigene Handlung, der Inhalt bezieht sich allein auf diesen Vorgang, die Zahl der Nachrichten ist hart auf zwei begrenzt, und der Widerspruch ist mit einem Klick möglich.
Widerspruchsrecht (Art. 21 Abs. 1 DSGVO): Sie können dieser Verarbeitung jederzeit
und ohne Angabe von Gründen widersprechen. Jede dieser E-Mails enthält dafür einen
Abmeldelink, der ohne Anmeldung im Konto funktioniert; zusätzlich weisen wir den
Abmeldeweg im Kopfzeilenfeld List-Unsubscribe aus, das Ihr E-Mail-Programm als
Schaltfläche „Abbestellen“ anzeigen kann. Ein formloser Hinweis an
[email protected] genügt ebenso. Der Widerspruch wirkt
dauerhaft: Danach erhalten Sie keine Erinnerung dieser Art mehr, weder automatisch noch von
Hand. Ihr Konto bleibt davon unberührt. Den Vermerk über Ihren Widerspruch bewahren wir auf,
solange Ihr Konto besteht — ohne ihn könnten wir ihn nicht beachten (Art. 21 Abs. 3 DSGVO).
Bei der Registrierung fragen wir: „Wie haben Sie von uns erfahren?“ Haben Sie die Frage
dort übersprungen oder sich über Google angemeldet, stellen wir sie noch einmal beim
Ausfüllen des Bewerberprofils. Die Antwort ist freiwillig: Sie wählen aus einer festen
Liste (Google, ChatGPT oder andere KI, TikTok, Instagram, Freunde oder Bekannte, Anderes)
oder lassen das Feld leer. Kommen Sie über einen Link von einer anderen Website auf unsere
öffentlichen Seiten, werten wir außerdem den Referrer aus (die Herkunftsseite, die Ihr
Browser mitschickt), ebenso einen utm_source-Parameter in der Adresse, sofern er
einen KI-Assistenten nennt (etwa „chatgpt“ oder „perplexity“; andere Werte beachten wir
nicht). Wir ordnen das einer groben Quelle zu (z. B. „Google“, „ChatGPT“, „TikTok“;
sonstige Websites nur als „andere Website“, ohne deren Namen) und erhöhen einen Zähler
„Monat und Quelle“. Der Zähler enthält weder Ihre IP-Adresse noch die Herkunftsadresse noch
eine Kennung von Ihnen. Dieselbe Quelle hängen wir auf der aufgerufenen Seite den Links zur
Registrierung als Parameter src an. Legen Sie über einen solchen Link ein
neues Konto an — mit E-Mail-Adresse oder über Google —, speichern wir die Quelle zu Ihrem
Konto; bei der Anmeldung über Google läuft sie dafür im Anmeldevorgang mit (im
OAuth-Parameter state), nicht in einem Cookie.
Zweck: zu verstehen, über welche Kanäle Kundinnen und Kunden den Dienst finden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; die Antwort auf die Frage geben Sie freiwillig. Dafür setzen wir kein Cookie und speichern nichts auf Ihrem Endgerät. Speicherdauer: Antwort und Quelle zu Ihrem Konto, solange das Konto besteht; bei seiner Löschung werden sie mit den übrigen Einstellungen entfernt (Ziffer 8). Die monatlichen Zähler beziehen sich auf keine Person; eine Löschfrist ist für sie nicht festgelegt.
Soweit wir eine einmalige, kostenlose Testfahrt von 24 Stunden anbieten (§ 5a AGB) und Sie sie starten, bilden wir beim Start aus folgenden Angaben Prüfwerte, damit dieselbe Person sie nicht über mehrere Konten mehrfach nutzt:
Diese Angaben speichern wir hierfür nicht im Klartext, sondern ausschließlich als kryptografische Prüfwerte (HMAC-SHA256 mit einem geheimen Schlüssel, der nur auf unserem Server liegt) in einer eigenen Tabelle. Auch die Zuordnung zu Ihrem Konto steht dort nur als solcher Prüfwert. Ohne den Schlüssel lassen sich die Angaben daraus nicht zurückgewinnen; wir können lediglich feststellen, ob dieselbe Angabe bereits bei einer früheren Testfahrt oder bei einem Abonnement vorkam. Dieselben Prüfwerte (ohne IP-Adresse und Nachname allein) bilden wir auch, wenn Sie ein Abonnement abschließen oder wir Ihnen den Zugang unentgeltlich gewähren. Beim Start einer Testfahrt gleichen wir zudem mit den Angaben bestehender Konten ab, die ein Abonnement haben oder hatten. Ein Cookie oder eine Gerätekennung setzen wir für die Testfahrt nicht.
Zweck: Verhinderung der missbräuchlichen Mehrfachnutzung der kostenlosen Testfahrt durch dieselbe Person (etwa durch das Anlegen immer neuer Konten). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, die kostenlose Testfahrt, soweit wir sie anbieten, wirtschaftlich tragbar zu halten und ihre Umgehung zu verhindern; die Verarbeitung ist auf Prüfwerte beschränkt, Klartextdaten werden hierfür nicht zusätzlich gespeichert.
Automatisierte Entscheidung: Stimmt Ihre E-Mail-Adresse, Ihr Google-Konto, Ihr Name oder Ihre Telefonnummer mit einer früheren Testfahrt oder einem Abonnement überein, verwenden Sie eine Wegwerf-E-Mail-Adresse oder hatte Ihr Konto bereits ein Abonnement, wird die Testfahrt nicht freigeschaltet. Diese Ablehnung gilt für das Konto endgültig, auch wenn das Profil danach geändert wird. Welche Angabe übereinstimmte, nennen wir im Kundenbereich nicht, damit der Schutz nicht durch Ausprobieren umgangen werden kann. Eine gemeinsame IP-Adresse oder ein gemeinsamer Nachname allein führt nicht zur Ablehnung. Die Ablehnung betrifft nur die kostenlose Testfahrt; das Abonnement bleibt uneingeschränkt möglich. Haben Sie die Testfahrt nicht genutzt, schreiben Sie uns über den Support im Kundenbereich oder an [email protected]; ein Mensch prüft den Fall und kann die Testfahrt freischalten.
Hinweis an uns bei Häufungen: Starten innerhalb von 30 Tagen drei oder mehr Testfahrten mit demselben Nachnamen, von derselben IP-Adresse oder mit beidem zusammen, erhalten wir im Verwaltungsbereich und per E-Mail einen Hinweis — die E-Mail nennt nur die Art der Übereinstimmung und die Anzahl, keine Angaben zu Ihrer Person. Wir sehen uns die betroffenen Konten dann persönlich an. Automatisch wird dadurch nichts gesperrt; eine laufende Testfahrt können wir im Einzelfall beenden, wenn sie erkennbar von einer Person mehrfach genutzt wird (§ 5a Abs. 5 AGB).
E-Mails während der Testfahrt: Wir schreiben Ihnen beim Start, zwei Stunden vor dem Ende und am Ende der Testfahrt (die beiden letzten nur, solange kein Abonnement besteht). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: Die Prüfwerte von IP-Adresse und Nachname werden 30 Tage nach dem Start der Testfahrt automatisch gelöscht, die Vermerke zu einem Hinweis bei Häufungen 30 Tage nach der letzten betroffenen Testfahrt, alle übrigen Prüfwerte 12 Monate nach dem Start der Testfahrt bzw. nach Beginn des Abonnements oder der Freischaltung. Sie bleiben bis zum Ablauf dieser Fristen auch dann gespeichert, wenn Sie Ihr Konto vorher löschen — sonst ließe sich der Schutz durch Löschen und Neuanlegen des Kontos umgehen (Ziffer 8.2). Beginn, Ende und Zahl der Bewerbungen Ihrer Testfahrt stehen in Ihrem Konto, solange es besteht.
Ihre Rechte nach Ziffer 9 gelten auch hier. Zu einem Prüfwert können wir Ihnen nur mitteilen, ob er gespeichert ist, da wir die Angabe selbst hierfür nicht speichern.
Ihre Daten erhalten ausschließlich die folgenden Stellen:
Eine Weitergabe an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind.
Die Website wird über Cloudflare ausgeliefert (TLS-Verschlüsselung, Schutz vor Überlastungsangriffen). Cloudflare ist dabei kein Hoster der Anwendung, sondern ein vorgeschalteter Dienst für Zustellung und Sicherheit; die Anwendung und die Datenbank laufen auf dem Server des oben genannten Hosters. Cloudflare verarbeitet technische Verbindungsdaten (u. a. IP-Adresse, aufgerufene Adresse, Zeitpunkt, Browserkennung). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Die Karte zur Lage einer Wohnung lädt erst, wenn Sie in Ihrem Konto auf „Karte anzeigen“ tippen; erst dann ruft Ihr Browser Kartendaten der OpenStreetMap Foundation ab und übermittelt dabei Ihre IP-Adresse.
Der Dienst arbeitet automatisiert, und Sie sollen wissen, was das konkret heißt:
Eine automatisierte Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO treffen wir nicht: Ob Sie eine Wohnung, einen Besichtigungstermin oder eine Absage erhalten, entscheidet ausschließlich die jeweilige Wohnungsbaugesellschaft. Unsere Automatik entscheidet nur darüber, für welche Angebote in Ihrem Auftrag eine Bewerbung eingereicht wird, und — soweit wir eine kostenlose Testfahrt anbieten, bei ihrem Start — ob sie freigeschaltet wird (Ziffer 3.16); diese Entscheidung betrifft nur den kostenlosen Vorteil, und auf Ihren Wunsch prüft sie ein Mensch. Eine Bewertung Ihrer Person (Scoring, Bonitätsprüfung, Persönlichkeitsprofil) findet bei uns nicht statt.
Sie behalten die Kontrolle: Sie können die automatische Suche und Bewerbung jederzeit in Ihrem Konto mit der Schaltfläche „Stoppen“ anhalten und ebenso wieder starten, Ihre Suchkriterien jederzeit ändern und der Verarbeitung nach Art. 21 DSGVO widersprechen.
Wir setzen keine Analyse-, Werbe- oder Tracking-Cookies ein, binden keine
Zählpixel ein und geben keine Daten an Werbenetzwerke weiter. Alle nachfolgend genannten
Cookies sind unbedingt erforderlich, damit der von Ihnen gewünschte Dienst funktioniert; ein
Einwilligungsbanner ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Alle Cookies
werden httpOnly (für Skripte im Browser nicht lesbar) und mit
SameSite=Lax gesetzt, über HTTPS zusätzlich mit dem Attribut
Secure.
bb_session — hält Sie angemeldet und ordnet jede Seite Ihrem Konto zu.
Enthält Ihre Konto-ID mit einer Signatur, kein Passwort. Laufzeit: 30 Tage ab der
letzten Aktivität; beim Abmelden wird das Cookie gelöscht. Erforderlich für den
Vertrag (Art. 6 Abs. 1 lit. b DSGVO).bb_csrf — schützt Ihre Formulare davor, dass eine fremde Website sie in
Ihrem Namen absendet (CSRF). Enthält eine Zufallszeichenfolge, keine persönlichen Angaben.
Laufzeit: 30 Tage ab der letzten Aktivität. Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).bb_oauth_state — schützt die Anmeldung über Google vor Fremdeinschleusung
(CSRF). Laufzeit: 10 Minuten. Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).bb_oauth_link — merkt sich beim Verbinden eines Google-Kontos, zu welchem
Konto die Verbindung gehört. Laufzeit: 10 Minuten.bw_lang — merkt sich die von Ihnen gewählte Sprache der Oberfläche
(Deutsch, Russisch, Englisch, Ukrainisch). Laufzeit: bis zu 12 Monate (auf den
Anmeldeseiten 30 Tage).bw_rv — merkt sich, dass von diesem Gerät bereits eine Bewertung
abgegeben wurde, damit das Formular nicht erneut angeboten wird. Laufzeit: 12 Monate.Zusätzlich legt die Oberfläche zwei Einträge im sessionStorage Ihres Browsers ab:
bw_sc:<Seite> (Scrollposition) und bw_tab:<Seite>
(zuletzt geöffneter Reiter), damit Sie nach dem Speichern eines Formulars an derselben Stelle
weiterlesen. Diese Einträge verbleiben ausschließlich in Ihrem Browser, werden nicht an uns
übertragen und beim Schließen des Browser-Tabs gelöscht.
Wird das Konto als App installiert (PWA), registriert der Browser einen Service Worker. Er speichert bewusst nur unveränderliche Gestaltungsdateien zwischen — Schriften, Symbole, das Favicon und eine Offline-Hinweisseite ohne persönliche Inhalte. Seiten mit persönlichen Daten werden nicht zwischengespeichert; sie werden immer neu vom Server geladen. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO. Sie können den Service Worker in den Browsereinstellungen entfernen und Cookies dort löschen oder blockieren; ohne die Sitzungs-Cookies ist eine Anmeldung technisch nicht möglich.
Sie sind gesetzlich nicht verpflichtet, uns Daten bereitzustellen. Ohne bestimmte Angaben können wir den Vertrag jedoch nicht erfüllen:
Zugriffstoken und andere Geheimnisse speichern wir verschlüsselt. Einen Teil der Daten löscht der Dienst von sich aus, sobald die unten genannte Frist abgelaufen ist (Art. 5 Abs. 1 lit. e DSGVO — Speicherbegrenzung). Die Löschung erledigt eine Routine, die regelmäßig auf unserem Server läuft und jeden Durchlauf mit der Zahl der gelöschten Einträge im Systemprotokoll festhält (Nachweis nach Art. 5 Abs. 2 DSGVO). Im Übrigen gilt:
Von der fristgebundenen automatischen Löschung ausgenommen sind Daten, die ein Vertrags- oder Einwilligungsereignis belegen: die Bestätigung Ihrer Bestellung (§ 312f BGB), erklärte Widerrufe (§ 355 BGB) und Kündigungen (§ 312k BGB), der Beginn eines kostenpflichtigen Abonnements, Zeitpunkt, Fassung und Inhalt erteilter Einwilligungen (Art. 7 Abs. 1 DSGVO) sowie der Vermerk darüber, dass wir Ihnen Ihre Daten nach Ziffer 9.1 herausgegeben haben. Diese Nachweise müssen wir vorhalten — ohne sie stünden wir in einem Streit über Bestellung, Widerruf oder Einwilligung ohne Beleg da. Sie bleiben deshalb erhalten, solange Ihr Konto besteht, auch wenn sie älter sind als die oben genannten Fristen; nach einer Kontolöschung gilt Ziffer 8.2. Verwendet werden sie ausschließlich zu diesen Nachweiszwecken.
Von der Datenbank werden regelmäßig Sicherungskopien erstellt. Sie liegen auf unserem Server, zugriffsgeschützt, bis zu 9 Tage, und außerhalb des Servers verschlüsselt in einer Storage Box der Hetzner Online GmbH (Standort Deutschland). Die Verschlüsselung erfolgt vor dem Hochladen, der Schlüssel wird getrennt vom Speicherzugang aufbewahrt. In der Storage Box gilt folgendes Schema: tägliche Sicherungen 14 Tage, wöchentliche 8 Wochen, monatliche 6 Monate; danach werden sie gelöscht. Die jeweils letzte Sicherung wird nicht gelöscht, bis eine neuere vorliegt.
Daraus folgt eine Einschränkung, die wir offenlegen: Löschen Sie Ihr Konto, verschwinden Ihre Daten sofort aus der aktiven Datenbank, nicht aber sogleich aus bereits erstellten Sicherungskopien. Dort verbleiben sie, bis die betreffende Sicherung turnusmäßig gelöscht wird — in den monatlichen Sicherungen bis zu 6 Monate. Solange greifen wir auf diese Daten nicht zu; eine Wiederherstellung erfolgt ausschließlich, um einen technischen Datenverlust zu beheben, und dabei stellen wir gelöschte Konten nicht wieder her. Rechtsgrundlage der Sicherung: Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 32 Abs. 1 lit. c DSGVO (Wiederherstellbarkeit der Daten).
Nach der Löschung Ihres Kontos bewahren wir ausschließlich auf — ohne Profil, ohne Schriftverkehr und ohne Ihre E-Mail-Adresse im Klartext:
Zur Ausübung Ihrer Rechte genügt eine E-Mail an [email protected].
Für die Datenübertragbarkeit müssen Sie uns nicht schreiben: In Ihrem Konto finden Sie unter „Verbindung“ → „Meine Daten herunterladen“ die Schaltfläche „Daten als JSON herunterladen“. Der Dienst stellt die Datei sofort zusammen und Ihr Browser speichert sie ab. Das Format ist JSON und damit strukturiert, gängig und maschinenlesbar im Sinne des Art. 20 Abs. 1 DSGVO — lesbar für Sie und für jedes Programm, an das Sie die Datei weitergeben wollen.
Enthalten sind alle zu Ihrem Konto gespeicherten Daten: Kontoangaben (E-Mail-Adresse, Konto-ID, Google-Kennung, Bestätigungsstand, Anlagedatum), Ihre Einwilligungen, Ihr Bewerberprofil, Ihre Antworten für Bewerbungsformulare, Ihre Bewerbungen und deren Status, die zu Ihnen gespeicherten Wohnungsangebote, die Nachrichten der Wohnungsbaugesellschaften (vollständig, nicht nur die zuletzt angezeigten), Ihre Support-Anfragen und den Chatverlauf, von Ihnen verfasste Bewertungen, das Protokoll der Systemaktivitäten sowie die übrigen zu Ihrem Konto gespeicherten Einstellungen.
Nicht enthalten sind Zugangsschlüssel — Ihr Passwort (auch nicht als Hashwert), Bestätigungs- und Passwort-Zurücksetzungscodes, der Schlüssel des Abmeldelinks nach Ziffer 3.14 sowie der verschlüsselte Speicher mit Ihren Zugangsdaten zu Postfach, Telegram, Google und zu den Konten bei den Wohnungsbaugesellschaften. Das ist Absicht: Solche Schlüssel sind keine Auskunft über Sie, sondern das Mittel, sich als Sie anzumelden. Die Datei liegt nach dem Herunterladen in Ihrem Postfach, Ihrer Cloud oder Ihrem Messenger, wo wir sie nicht mehr schützen können, und dort bleibt sie jahrelang lesbar; im selben verschlüsselten Speicher liegen zudem Zugänge, die auch Rechte Dritter berühren. Art. 20 Abs. 4 DSGVO nimmt genau solche Fälle von der Übertragbarkeit aus. Welche Angaben ausgenommen wurden, ist in der Datei selbst ausdrücklich aufgeführt — wir lassen sie nicht stillschweigend weg.
Die Datei wird immer für dasjenige Konto erstellt, mit dem Sie gerade angemeldet sind; ein fremdes Konto lässt sich darüber nicht abrufen. Dass wir Ihnen Ihre Daten herausgegeben haben, halten wir im Systemprotokoll fest (Art. 5 Abs. 2 DSGVO); dieser Eintrag ist von der Fristenlöschung nach Ziffer 8 ausgenommen. Eine Auskunft nach Art. 15 DSGVO oder eine Herausgabe in anderer Form können Sie unabhängig davon jederzeit per E-Mail verlangen.
Wir verkaufen Ihre Daten nicht und geben sie nicht zu Werbezwecken weiter. Eine Weitergabe erfolgt ausschließlich an die in Ziffer 4 genannten Empfänger.