Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Marcel Costoiu
C 17, 68159 Mannheim, Deutschland
E-Mail: hallo@immo-exposure.de

2. Überblick über die Verarbeitungen

EXP°SURE ist eine Klimarisiko-Karte mit kostenpflichtigen Reports und Abonnements. Personenbezogene Daten verarbeiten wir beim Besuch der Website (Server-Logs, Analyse), bei Registrierung und Login (Kundenkonto), beim Kauf (Zahlungsabwicklung über Stripe) und bei der Nutzung von Funktionen wie der Merkliste.

3. Hosting (Vercel)

Die Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Beim Aufruf der Seiten verarbeitet Vercel automatisch Server-Logdaten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, Referrer-URL, Browsertyp und Betriebssystem. Diese Daten sind für die Auslieferung der Website und die Abwehr von Angriffen technisch erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Da Vercel ein US-Unternehmen ist, kann eine Übermittlung in die USA stattfinden; sie ist durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Server-Logs werden nach kurzer Zeit automatisch gelöscht.

4. Datenbank und Kundenkonto (Supabase)

Kundenkonten und Kaufdaten speichern wir in einer Datenbank bei Supabase, betrieben in der Region eu-central-1 (Frankfurt am Main, Deutschland). Dort verarbeiten wir:

• E-Mail-Adresse des Kontos,
• Passwörter ausschließlich als kryptografischer Hash (scrypt) — im Klartext werden Passwörter zu keinem Zeitpunkt gespeichert,
• Session-Tokens in gehashter Form,
• Ansprüche und Käufe (welche Reports und Abonnements einem Konto zugeordnet sind),
• die Merkliste gemerkter Orte und Regionen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Kontodaten speichern wir für die Dauer des Vertragsverhältnisses; danach werden sie gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (insbesondere handels- und steuerrechtliche Fristen von 6 bzw. 8 Jahren für Rechnungsdaten) entgegenstehen.

5. Zahlungsabwicklung (Stripe)

Käufe und Abonnements werden über Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland, abgewickelt. Zahlungsdaten (Kartennummern, Bankverbindungen) werden ausschließlich von Stripe erhoben und verarbeitet und erreichen uns zu keinem Zeitpunkt. Wir erhalten von Stripe über Webhooks lediglich Ihre E-Mail-Adresse sowie Kauf-Metadaten (Produkt, Betrag, Zeitpunkt, Status), um Ihnen den Zugriff auf das gekaufte Produkt freizuschalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Informationen zur Datenverarbeitung durch Stripe finden Sie unter stripe.com/de/privacy.

6. E-Mail-Versand (Resend)

Anmeldelinks, Kaufbestätigungen und der bestellte Exposure Report werden über Resend (Plus Five Five, Inc., 2261 Market Street, San Francisco, CA 94114, USA) versendet. Verarbeitet werden dabei Ihre E-Mail-Adresse, Betreff und Inhalt der Nachricht sowie technische Versandprotokolle (Zeitpunkt, Zustellstatus). Beim Exposure Report gehört das erzeugte PDF mit den Klimadaten der von Ihnen gewählten Gemeinde zum Nachrichteninhalt; personenbezogene Angaben über Sie enthält es nicht.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — ohne Versand gibt es weder Anmeldung noch Auslieferung des gekauften Reports. Da Resend ein US-Unternehmen ist, kann eine Übermittlung in die USA stattfinden; sie ist über Standardvertragsklauseln abgesichert.

7. Analyse und Session Replay (Mixpanel)

Wir setzen Mixpanel (Mixpanel, Inc., San Francisco, USA) zur Produktanalyse ein. Dabei werden Nutzungsereignisse (z. B. aufgerufene Ansichten, Interaktionen mit der Karte) sowie technische Angaben zum Gerät erfasst. Zusätzlich ist Session Replay aktiviert: Sitzungen werden derzeit vollständig aufgezeichnet, das heißt Mausbewegungen, Klicks und Bildschirminhalte werden als Wiedergabe gespeichert, um Bedienprobleme zu erkennen. Eingaben in Passwortfelder werden dabei maskiert.

Rechtsgrundlage ist unser berechtigtes Interesse an Fehlererkennung und Verbesserung der Anwendung (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Analyse und der Aufzeichnung jederzeit widersprechen — eine kurze Nachricht an die oben genannte E-Mail-Adresse genügt, wir schalten die Erfassung dann für Sie ab. Für einwilligungspflichtige Analyse-Werkzeuge nach § 25 Abs. 1 TDDDG richten wir eine Einwilligungsabfrage ein. Eine Übermittlung in die USA ist durch EU-Standardvertragsklauseln abgesichert.

8. Login, Cookies und LocalStorage

• Magic-Link: Beim Login per E-Mail senden wir Ihnen einen einmaligen Anmeldelink. Der Versand läuft über Resend (siehe Abschnitt 6); verarbeitet wird dabei Ihre E-Mail-Adresse.
• Google-OAuth: Beim Login mit Google erhalten wir ausschließlich Ihre verifizierte E-Mail-Adresse; weitere Profildaten werden nicht abgerufen.
• Session-Cookie „exposure_session": ein httpOnly-Cookie mit einer Laufzeit von 90 Tagen, das Ihre Anmeldung aufrechterhält. Es ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO) und erfordert keine Einwilligung.
• LocalStorage: Merkliste und Zähler werden lokal in Ihrem Browser gespeichert. Diese Speicherung ist rein technisch-funktional und verlässt Ihr Gerät nicht, solange Sie kein Konto verknüpfen.

9. Keine Werbe-E-Mails ohne Einwilligung

Ihre E-Mail-Adresse nutzen wir für den Login, für Kaufbestätigungen und für vertragsbezogene Nachrichten. Werbliche E-Mails erhalten Sie nur, wenn Sie dafür eine separate Einwilligung erteilt haben; diese können Sie jederzeit widerrufen.

10. Speicherdauern

• Server-Logs: automatische Löschung nach kurzer Zeit.
• Kontodaten: bis zur Löschung des Kontos bzw. bis zum Ende des Vertragsverhältnisses.
• Kauf- und Rechnungsdaten: gemäß gesetzlichen Aufbewahrungsfristen (6 bzw. 8 Jahre).
• Sitzungen: das Session-Cookie läuft nach 90 Tagen ab; serverseitige Session-Tokens werden danach ungültig.
• Analyse-Daten: gemäß den Aufbewahrungseinstellungen bei Mixpanel; Session-Replay-Aufzeichnungen werden dort nach der plattformseitigen Frist automatisch gelöscht.

11. Ihre Rechte

Sie haben gegenüber uns folgende Rechte:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung genügt eine formlose E-Mail an die oben genannte Adresse. Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts.

12. Stand

Stand dieser Datenschutzerklärung: August 2026. Sie wird aktualisiert, sobald sich die beschriebenen Verarbeitungen ändern.