Datenschutzerklärung

Auf einen Blick

valture ist eine Software-Plattform, mit der Sachverständige Gutachten zur Restnutzungsdauer von Immobilien erstellen. Dabei verarbeiten wir personenbezogene Daten in zwei unterschiedlichen Rollen:

Beim Besuch dieser Website setzen wir technisch notwendige Cookies ohne Einwilligung ein. Zur Reichweitenmessung nutzen wir Google Analytics – ausschließlich, wenn Sie im Cookie-Dialog zustimmen (Abschnitt 5). Beim Absenden unserer Kontaktformulare wird Google reCAPTCHA zum Schutz vor automatisierten Eingaben geladen (Abschnitt 7). Schriftarten und Icons werden lokal von unseren Servern geladen; Werbe- oder Social-Media-Tracking-Dienste setzen wir nicht ein. Unsere Auftritte auf Instagram und LinkedIn sind auf dieser Website lediglich verlinkt (keine eingebetteten Plugins); beim Besuch dieser Plattformen gelten die Datenschutzhinweise der jeweiligen Anbieter.

Verantwortlicher & Kontakt

Kontaktstelle für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte ist support@valture.de. Ein Datenschutzbeauftragter ist derzeit nicht benannt; sollte eine Benennung erfolgen (Art. 37 DSGVO, § 38 BDSG), veröffentlichen wir dessen Kontaktdaten an dieser Stelle.

Ihre Rechte als betroffene Person

Ihnen stehen bei Vorliegen der gesetzlichen Voraussetzungen folgende Rechte zu:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine formlose E-Mail an support@valture.de. Datenauskunft (Art. 15, 20 DSGVO) und die Löschung Ihres Kontos können Sie außerdem jederzeit selbst in den Einstellungen der Anwendung anstoßen; die Auskunft erhalten Sie als maschinenlesbare Datei (JSON) mit Ihren Konto-, Organisations- und Auftragsdaten, hochgeladene Dateien laden Sie direkt in der Anwendung herunter. Außerdem haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), z. B. bei der für unseren Sitz zuständigen Behörde: [PLATZHALTER: zuständige Landesdatenschutzbehörde je nach Sitz der Gesellschaft].

Hosting & Infrastruktur

Server-Log-Dateien

Beim Aufruf unserer Website verarbeiten unsere Hosting-Anbieter automatisch Informationen, die Ihr Browser übermittelt (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp und -version, Betriebssystem, Referrer-URL). Die Verarbeitung erfolgt zur Sicherstellung eines störungsfreien Betriebs und zur Abwehr von Angriffen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Diese Protokolle werden von den Hosting-Anbietern nur kurzfristig vorgehalten und automatisch überschrieben; wir werten sie nicht personenbezogen aus.

Wir setzen folgende Infrastruktur-Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

Cookies & lokale Speicherung

Beim ersten Besuch zeigen wir einen Cookie-Dialog mit den Optionen „Annehmen", „Nur Notwendige" und „Einstellungen". Ihre Wahl speichern wir zusammen mit Zeitpunkt und Version des Hinweises lokal in Ihrem Browser; kommen neue Dienste hinzu, fragen wir erneut. Sie können Ihre Auswahl jederzeit über den Link Cookie-Einstellungen im Seitenfuß ändern oder widerrufen.

Technisch notwendig (ohne Einwilligung)

Die folgenden Cookies und Einträge im lokalen Speicher Ihres Browsers (localStorage) sind für die Bereitstellung des von Ihnen genutzten Dienstes unbedingt erforderlich und daher gemäß § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei:

• Sitzungs-Cookie (Supabase Auth): hält Sie nach dem Login angemeldet. Speicherdauer: bis zu 12 Monate; beim Abmelden wird das Cookie gelöscht.
• Einwilligungsentscheidung (localStorage): Ihre Auswahl im Cookie-Dialog mit Zeitstempel und Version, damit wir Sie nicht erneut fragen müssen.
• Oberflächen-Einstellungen (localStorage): Seitenleisten- und Editor-Layout, Filtereinstellungen, zuletzt geöffnete Reiter, ausgeblendete Hinweise. Keine Übermittlung an uns oder Dritte.
• Einladungs- und Verbandscodes (localStorage, temporär): technisch erforderlich, um eine Team-Einladung oder Verbandsregistrierung über den Login-Vorgang hinweg abzuschließen.

Reichweitenmessung (nur mit Einwilligung)

Drittanbieter-Speicherung beim Formularversand: Beim Absenden eines durch reCAPTCHA geschützten Formulars setzt Google auf seiner eigenen Domain (google.com) einen Eintrag _GRECAPTCHA mit einer Laufzeit von etwa sechs Monaten, der ausschließlich der Bot-Erkennung dient (Einzelheiten in Abschnitt 7). Werbe- oder Social-Media-Cookies setzen wir nicht.

Registrierung, Login & Nutzerkonto

Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und ein selbst gewähltes Passwort (gespeichert ausschließlich als kryptografischer Hash). Optional können Sie Profilangaben (Telefon, Position, Abteilung, Profilbild) sowie Organisationsdaten (Firmenname, Anschrift, USt-IdNr., Logo) hinterlegen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

E-Mail-Adresse, Name und Passwort sowie – bei Buchung eines kostenpflichtigen Pakets – Firmenname, Rechnungsanschrift und Zahlungsdaten sind für den Abschluss und die Durchführung des Vertrags erforderlich; ohne diese Angaben können wir kein Nutzerkonto anlegen bzw. keine Buchung durchführen (Art. 13 Abs. 2 lit. e DSGVO). Alle weiteren Angaben sind freiwillig.

Login-Verfahren

• E-Mail und Passwort, optional mit Zwei-Faktor-Authentifizierung (TOTP)
• Passkeys (WebAuthn) – die biometrische Prüfung verbleibt vollständig auf Ihrem Gerät
• Anmeldung über Drittanbieter (OAuth): Google und Apple. Dabei erhalten wir von dem gewählten Anbieter Ihre E-Mail-Adresse und Ihren Namen; der Anbieter erfährt, dass Sie sich bei valture anmelden. Es gelten ergänzend die Datenschutzhinweise des jeweiligen Anbieters.

Team-Einladungen: Lädt ein Konto-Administrator weitere Personen ein, verarbeiten wir deren E-Mail-Adresse zum Versand und zur Verwaltung der Einladung (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO).

Vertragsnachweis: Zeitpunkt und Fassung Ihrer Zustimmung zu AGB und Auftragsverarbeitungsvertrag bei der Registrierung speichern wir zu Ihrem Nutzerkonto (Art. 6 Abs. 1 lit. b und lit. f DSGVO – Nachweis des Vertragsschlusses).

Verbandsmitgliedschaft: Geben Sie bei der Einrichtung Ihres Büros die Mitgliedsnummer eines Partnerverbands an, prüfen wir sie gegen die vom Verband hinterlegte Mitgliederliste und binden sie an Ihre Organisation. Der Verband erfährt, dass die Nummer eingelöst wurde, damit die vereinbarten Konditionen abgerechnet werden können (Art. 6 Abs. 1 lit. b DSGVO). Die Angabe ist freiwillig.

Kontakt- & Support-Formulare

Wenn Sie eines unserer öffentlichen Formulare nutzen (Kontaktformular auf der Startseite und unter „Kontakt", Support-Anfrage, Verbandsanfrage, Antrag auf Kontolöschung), verarbeiten wir die von Ihnen angegebenen Daten (Name, Firma, E-Mail, Telefon, Betreff, Nachricht) zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO bzw. lit. f DSGVO). Die Angaben werden nicht in einer Datenbank gespeichert, sondern als E-Mail über unseren E-Mail-Dienstleister (siehe Abschnitt 10) an uns weitergeleitet. Mit dem Ankreuzfeld unter dem Formular bestätigen Sie, diese Datenschutzerklärung zur Kenntnis genommen zu haben. Zum Schutz vor Missbrauch begrenzen wir die Anzahl von Anfragen pro IP-Adresse; die IP-Adresse wird hierfür kurzzeitig technisch verarbeitet. Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten bestehen.

Kontolöschung: Ein über das öffentliche Formular gestellter Löschantrag geht uns als E-Mail zu und wird von uns manuell bearbeitet. Stellen Sie den Antrag stattdessen angemeldet in den Kontoeinstellungen, wird Ihr Konto sofort gesperrt und nach der 30-tägigen Widerrufsfrist automatisch gelöscht (Abschnitt 14).

Gutachten- & Auftragsdaten (Auftragsverarbeitung)

Sachverständige verarbeiten in der Plattform Daten ihrer Auftraggeber und der zu bewertenden Objekte. Hierzu gehören insbesondere:

• Kontakt- und Adressdaten von Auftraggebern und Ansprechpartnern
• Objekt- und Grundstücksdaten einschließlich Adresse
• Fotos vom Ortstermin
• Dokumente (z. B. Grundbuchauszug, Kaufvertrag, Energieausweis) und Sprachnotizen einschließlich automatisch erstellter Transkripte
• Gutachtentexte, Berechnungsdaten und erzeugte PDF-Dokumente

Für diese Daten ist der jeweilige Sachverständige bzw. dessen Organisation Verantwortlicher; wir verarbeiten sie ausschließlich weisungsgebunden als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO, der Bestandteil unserer AGB ist und jederzeit unter valture.de/legal/avv abrufbar ist.

Dasselbe gilt für Verbandskonten: Die Mitgliederliste, die ein Partnerverband im Verbandsbereich hinterlegt (Mitgliedsnummern, Namen, Gültigkeitsdaten), verarbeiten wir ausschließlich im Auftrag des Verbands zur Prüfung von Mitgliedschaften.

KI-Funktionen

Die Plattform bietet KI-gestützte Funktionen: Auswertung von Dokumenten und Fotos, Transkription von Sprachnotizen sowie Textvorschläge für Gutachtenabschnitte. Dabei werden die vom Nutzer ausgewählten Inhalte (Dokumente, Fotos, Audioaufnahmen, Berichtskontext) an unseren KI-Dienstleister übermittelt und dort ausschließlich zur Erbringung der Funktion verarbeitet.

Vertragliche und technische Garantien:

• Kein Training: Ihre Inhalte werden vom KI-Dienstleister nicht zum Training oder zur Verbesserung von KI-Modellen verwendet (vertraglich zugesichert).
• Keine dauerhafte Speicherung: Die übermittelten Inhalte und die erzeugten Ausgaben werden beim KI-Dienstleister nicht dauerhaft gespeichert. Zur Beschleunigung wiederkehrender Anfragen kann Google Ein- und Ausgaben für bis zu 24 Stunden in einem Zwischenspeicher im Rechenzentrum der Anfrageregion (Frankfurt) halten; diese Zwischenspeicherung schalten wir für unser Projekt ab. Eine Protokollierung von Eingaben zur Missbrauchserkennung durch Google lassen wir für unser Unternehmenskonto deaktivieren.
• Auftragsverarbeitung: Mit dem KI-Dienstleister besteht ein Auftragsverarbeitungsvertrag (Cloud Data Processing Addendum); bei Verarbeitung außerhalb der EU gelten EU-Standardvertragsklauseln (siehe Abschnitt 13).
• Kontingentierung: KI-Aufrufe sind pro Organisation mengenmäßig begrenzt und werden zu Abrechnungszwecken gezählt (ohne Inhaltsspeicherung über das erforderliche Maß hinaus).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Funktionserbringung auf aktive Anforderung des Nutzers) bzw. die Weisung des Verantwortlichen im Rahmen der Auftragsverarbeitung. KI-generierte Inhalte sind Vorschläge, werden in der Anwendung als solche gekennzeichnet und stets durch den Sachverständigen fachlich geprüft und freigegeben; eine automatisierte Entscheidungsfindung mit Rechtswirkung im Sinne des Art. 22 DSGVO findet nicht statt.

E-Mail-Versand & Gutachtenversand

Für den Versand von System-E-Mails (Einladungen, Terminerinnerungen, Kontaktanfragen, Rechnungen) nutzen wir den europäischen E-Mail-Dienstleister Mailjet (Mailjet SAS, Paris, Frankreich; Teil der Sinch-Gruppe) als Auftragsverarbeiter; die Verarbeitung erfolgt in der EU. Übermittelt werden Empfängeradresse, Betreff und Nachrichteninhalt. E-Mails zur Bestätigung Ihrer E-Mail-Adresse und zum Zurücksetzen des Passworts versendet unser Authentifizierungsdienst Supabase (Abschnitt 4).

Versendet ein Sachverständiger ein Gutachten an seinen Auftraggeber, wird das PDF nicht als Anhang verschickt, sondern über einen zugriffsbeschränkten, zeitlich begrenzten Download-Link (derzeit 3 Tage gültig) bereitgestellt.

Zahlungsabwicklung (Stripe)

Die Abrechnung kostenpflichtiger Leistungspakete erfolgt über Stripe (Stripe Payments Europe, Ltd., Dublin, Irland; ggf. unter Einbindung der Stripe Inc., USA). Übermittelt werden Firmenname, E-Mail-Adresse, Rechnungsanschrift, USt-IdNr., Zahlungsdaten sowie nutzungsbasierte Abrechnungsdaten (Anzahl erstellter Gutachten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Übermittlungen in die USA stützt sich Stripe auf das EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln. Stripe handelt für die eigentliche Zahlungsabwicklung (z. B. Betrugsprävention, gesetzliche Pflichten) teilweise als eigenständig Verantwortlicher; Einzelheiten unter stripe.com/de/privacy. Rechnungsdaten bewahren wir gemäß den gesetzlichen Aufbewahrungspflichten auf (Abschnitt 14).

Push-Benachrichtigungen & Adresssuche

Push-Benachrichtigungen (Mobile App)

Nutzer der mobilen App können Push-Benachrichtigungen erhalten (z. B. Terminerinnerungen). Dazu speichern wir ein Geräte-Token und versenden Benachrichtigungen über Firebase Cloud Messaging (Google Ireland Limited, Dublin, Irland) bzw. den Apple Push Notification Service (Apple Distribution International Ltd., Cork, Irland / Apple Inc., USA). An die Push-Dienste übermittelt werden das Geräte-Token sowie Titel und Text der Benachrichtigung; dieser kann Auftragsbezüge (z. B. eine Objektadresse) enthalten. Ungültig gewordene Geräte-Token löschen wir automatisch. Für Übermittlungen in die USA gilt bei Google das EU-U.S. Data Privacy Framework, bei Apple gelten EU-Standardvertragsklauseln (Abschnitt 13). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Push-Benachrichtigungen lassen sich in den App- und Geräteeinstellungen jederzeit deaktivieren.

Adress-Autovervollständigung

Bei der Eingabe von Adressen nutzen wir den Geocoding-Dienst Nominatim der OpenStreetMap Foundation. Die Anfrage läuft ausschließlich über unseren eigenen Server – Ihre IP-Adresse wird dabei nicht an OpenStreetMap übermittelt, wohl aber der eingegebene Adresstext. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Datenübermittlung in Drittländer

Wir speichern und verarbeiten Daten vorrangig in der Europäischen Union. Einzelne Dienstleister (bzw. deren Muttergesellschaften) haben ihren Sitz in den USA. Soweit dabei personenbezogene Daten in die USA übermittelt werden können, stützen wir dies auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (DPF) bei zertifizierten Anbietern (Art. 45 DSGVO) und/oder auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden technischen Maßnahmen (Transportverschlüsselung, Verschlüsselung im Ruhezustand, Pseudonymisierung soweit möglich). Im Einzelnen:

• Google LLC (Analytics, reCAPTCHA, Push, KI-Dienste): DPF-zertifiziert; ergänzend EU-Standardvertragsklauseln. KI-Verarbeitung findet in Frankfurt statt.
• Stripe, Inc. (Zahlungsabwicklung): DPF-zertifiziert; ergänzend EU-Standardvertragsklauseln.
• Vercel Inc. (Web-Hosting): DPF-zertifiziert; serverseitige Funktionen in Frankfurt.
• Render Services, Inc. (Applikationsserver): DPF-zertifiziert; Betrieb in Frankfurt.
• Supabase, Inc. (Datenbank, Authentifizierung, Dateispeicher): keine DPF-Zertifizierung; EU-Standardvertragsklauseln mit Transfer-Folgenabschätzung. Alle Daten liegen in Frankfurt; ein Zugriff aus den USA ist nur im Rahmen des Supports und der Plattformwartung möglich.
• Apple Inc. (Push-Benachrichtigungen der iOS-App): EU-Standardvertragsklauseln.
• Mailjet SAS (E-Mail-Versand): Sitz und Verarbeitung in der EU, kein Drittlandtransfer.

Eine Kopie der jeweils vereinbarten Garantien stellen wir Ihnen auf Anfrage an support@valture.de zur Verfügung.

Speicherdauer & Löschung

• Konto- und Organisationsdaten: für die Dauer des Vertragsverhältnisses. Die Löschung des Kontos kann jederzeit in den Einstellungen beantragt werden; das Konto wird dabei sofort gesperrt und nach einer Widerrufsfrist von 30 Tagen endgültig gelöscht. Rechnungsdaten werden aufgrund gesetzlicher Aufbewahrungspflichten in einem gesperrten Archiv aufbewahrt (Einschränkung der Verarbeitung, Art. 18 DSGVO) und nach Fristablauf gelöscht.
• Gutachten- und Auftragsdaten: Löschung gemäß Weisung des Kunden (Auftragsverarbeitung); Kunden können Aufträge, Dokumente und Fotos jederzeit selbst löschen. In den Papierkorb verschobene Aufträge werden nach 30 Tagen automatisch endgültig gelöscht.
• Rechnungs- und Buchhaltungsdaten: gesetzliche Aufbewahrungsfristen von 6 bzw. 10 Jahren (§ 147 AO, § 257 HGB, § 14b UStG); Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO.
• Technische Protokolle: Fehler-, Aktivitäts- und Benachrichtigungsprotokolle werden nach 90 Tagen, sicherheitsrelevante Änderungsprotokolle (Audit-Log) nach 12 Monaten automatisch gelöscht.
• Gutachten-Download-Links: laufen nach 3 Tagen ab (Abschnitt 10).

Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere: TLS-Verschlüsselung sämtlicher Übertragungen, Verschlüsselung gespeicherter Daten, mandantengetrennte Zugriffskontrolle auf Anwendungs- und Datenbankebene (Row Level Security), rollenbasierte Berechtigungen, Zwei-Faktor-Authentifizierung und Passkey-Unterstützung, Prüfung hochgeladener Dateien auf Typ und Größe, Begrenzung der Anfragen pro IP-Adresse bei öffentlichen Formularen sowie Schwärzungswerkzeuge für Dokumente und Fotos vor der KI-Auswertung. Gutachten-, Dokument-, Foto- und Audiodateien liegen in privaten Speicherbereichen und sind nur über zeitlich begrenzte, signierte Links erreichbar; lediglich Profilbilder werden über eine öffentliche Adresse ausgeliefert. In Fehlerprotokollen werden E-Mail-Adressen und Zugangstoken maskiert. Details sind in unserem Datenschutzkonzept dokumentiert und werden regelmäßig überprüft.