Datenschutzerklärung

1. Verantwortlicher

SH Simon Heider Immofinanz
Inhaber: Simon Heider
Bachstelzenweg 7
51588 Nümbrecht
Deutschland

Telefon: +49 151 70069054
E-Mail: info@sh-immofinanz.de

2. Bereitstellung der Website und Sicherheit

Beim Aufruf der Website verarbeitet der Webserver technisch erforderliche Verbindungsdaten. Dazu können insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, HTTP-Status, übertragene Datenmenge, Referrer sowie Browser- und Betriebssysteminformationen gehören.

Reguläre nginx-Zugriffsprotokolle sind für diese Website deaktiviert. Bei Fehlern, Sicherheitsereignissen und besonders geschützten Funktionsaufrufen können jedoch Sicherheits- und Fehlerprotokolle entstehen. Diese enthalten nur die für Erkennung, Eingrenzung und Abwehr erforderlichen Angaben. IP-Adressen und Kundenbezüge werden in den Anwendungsprotokollen nach Möglichkeit pseudonymisiert. Die Protokolle werden grundsätzlich nach 30 Tagen gelöscht; Daten zu einem konkreten Vorfall können bis zu dessen Abschluss länger, gesondert und zugriffsbeschränkt gespeichert werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind die sichere und störungsfreie Bereitstellung der Website sowie die Abwehr von Missbrauch.

Für Hosting und Speicher setzen wir die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, ein. Die eingesetzten Server- und Speicherdienste befinden sich in Nürnberg, Deutschland. Zur technischen Serververwaltung nutzen wir den Dienst Ploi der WebBuilds B.V., Amperestraat 16J, 3861 NC Nijkerk, Niederlande. Beide Anbieter unterstützen uns als Auftragsverarbeiter.

3. Cookies und Speicherung im Browser

Beim Aufruf des Kontaktformulars wird das Session-Cookie shcontact gesetzt. Es enthält eine zufällige Sitzungskennung und wird ausschließlich für den Schutz des Formulars gegen gefälschte Anfragen (CSRF-Schutz) benötigt. Das Cookie ist mit Secure, HttpOnly und SameSite=Lax geschützt und wird mit Ende der Browsersitzung gelöscht; Sitzung und Formular-Token werden serverseitig nach einer Stunde erneuert.

Die Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil sie für das ausdrücklich aufgerufene Kontaktformular erforderlich ist. Die anschließende Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses am Schutz des Formulars. Für interne, zugangsgeschützte Werkzeuge werden ebenfalls ausschließlich technisch erforderliche Sitzungscookies eingesetzt.

4. Reichweitenmessung mit Umami

Wir zählen, wie oft unsere Seiten aufgerufen werden und über welche fremden Websites Besucher zu uns kommen. Dafür setzen wir die Analysesoftware Umami ein, die wir selbst betreiben, auf demselben Server, der auch diese Website ausliefert. Gezählt wird auf dem Server: Unsere Website lädt dafür kein Skript in Ihren Browser, liest dafür nichts aus Ihrem Endgerät aus und speichert dort nichts. Cookies oder der lokale Speicher Ihres Browsers werden für die Zählung nicht verwendet.

Nachdem unser Server eine öffentliche Seite an Sie ausgeliefert hat, meldet er Umami die Adresse der Seite ohne Suchparameter (also ohne alles ab einem „?“), den Seitentitel und die Browserkennung (User-Agent), die Ihr Browser bei jedem Seitenaufruf von sich aus mitsendet. Kommen Sie über einen Link einer fremden Website, meldet er zusätzlich deren Domain, etwa „l.instagram.com“, ohne Pfad und ohne Parameter. Umami erhält keine IP-Adresse, keine Bildschirmgröße, keine Spracheinstellung, keine Kennung und keine Formularinhalte.

Umami speichert daraus die Seite, den Seitentitel, den Zeitpunkt, die fremde Domain sowie Browser, Betriebssystem und Gerätetyp, die es aus der Browserkennung ableitet; die Browserkennung selbst speichert es nicht. Ohne IP-Adresse ermittelt Umami keinen Standort. Aufrufe mit derselben Browserkennung fasst Umami innerhalb eines Kalendermonats zu einer Sitzung zusammen; bei verbreiteten Browsern sind das die Aufrufe vieler Personen zugleich. Über den Monat hinaus werden Aufrufe nicht verknüpft. Wir führen die Daten nicht mit Kontakt- oder Finanzierungsdaten zusammen.

Nicht gemeldet werden Aufrufe ohne Browserkennung, unser internes Backend, Fehlerseiten und Vorschauen noch nicht veröffentlichter Blogbeiträge. Aufrufe, die Umami an der Browserkennung als Suchmaschine oder anderes Programm erkennt, speichert es nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es zu erkennen, welche Seiten und Artikel gelesen werden und über welche Wege Besucher uns finden, um unser Angebot daran auszurichten.

Sie können der Zählung widersprechen: Ist in Ihrem Browser „Do Not Track“ oder „Global Privacy Control“ eingeschaltet, melden wir Ihre Aufrufe nicht an Umami. Daneben können Sie nach Art. 21 DSGVO jederzeit per E-Mail an info@sh-immofinanz.de widersprechen.

Die gespeicherten Einträge löschen wir monatlich, sobald sie älter als sechs Monate sind. Zugriff haben nur die hierfür berechtigten Beschäftigten; Hosting und technische Verwaltung erfolgen über die in Abschnitt 2 genannten Anbieter.

5. Kontaktaufnahme

Wenn Sie uns über das Kontaktformular, per E-Mail oder telefonisch kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Kontaktdaten und den Inhalt Ihrer Nachricht, um die Anfrage zu bearbeiten und zu beantworten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag oder vorvertragliche Maßnahmen auf Ihre Anfrage geht. Bei sonstigen Anliegen ist Art. 6 Abs. 1 lit. f DSGVO die Rechtsgrundlage; unser berechtigtes Interesse liegt in der Bearbeitung geschäftlicher Kommunikation.

Formularnachrichten werden über die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, per TLS-verschlüsselter SMTP-Verbindung an unser Postfach übertragen. STRATO verarbeitet die Daten als Auftragsverarbeiter.

Kontaktanfragen ohne anschließenden Auftrag löschen wir grundsätzlich spätestens sechs Monate nach abschließender Bearbeitung. Entsteht ein Auftrag, übernehmen wir erforderliche Inhalte in die Kundenakte. Gesetzliche Aufbewahrungspflichten und die erforderliche Sicherung oder Abwehr von Ansprüchen bleiben unberührt.

6. Digitale Selbstauskunft und Finanzierungsanfrage

Verarbeitete Angaben

Die Selbstauskunft kann insbesondere Stamm- und Kontaktdaten, Geburts- und Adressdaten, Staatsangehörigkeit, Familien- und Haushaltsangaben, Beschäftigung, Arbeitgeber, Einkommen, Ausgaben, Vermögen, Verbindlichkeiten, Bestandsimmobilien, Angaben zu Kindern sowie freiwillige Bemerkungen enthalten. Eine Steuer-Identifikationsnummer wird in diesem Onlineformular nicht erhoben.

Zwecke und Rechtsgrundlagen

Wir verarbeiten die erforderlichen Angaben, um die von Ihnen angefragte Immobilienfinanzierung vorzuprüfen, eine Unterlagen-Checkliste zu erzeugen, die Anfrage zu bearbeiten und – nach gesonderter Abstimmung – eine Finanzierung zu vermitteln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Missbrauchsschutzmaßnahmen beruhen zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

Steuer-Identifikationsnummer erst im konkreten Institutsprozess

Die Steuer-Identifikationsnummer unterliegt der besonderen Zweckbindung des § 139b Abs. 2 AO. Deshalb fragen wir sie nicht vorsorglich im Vermittlerformular ab. Benötigt ein konkret ausgewähltes Kreditinstitut die Nummer aufgrund einer ausdrücklichen gesetzlichen Befugnis, wird sie erst im zu diesem Institut gehörenden Prozess und nur für den zulässigen Zweck erhoben.

Antragsteller 2 und Kinder

Wer Angaben zu einem zweiten Antragsteller übermittelt, muss hierzu berechtigt sein und diesem die Datenschutzhinweise zugänglich machen. Angaben zu Kindern werden vom anfragenden Elternteil oder Sorgeberechtigten übermittelt und nur verarbeitet, soweit sie für Haushalts- und Finanzierungsprüfung erforderlich sind. Der Name des Kindes ist im Formular optional. Betroffene Personen können die unten genannten Rechte unmittelbar bei uns geltend machen.

Technischer Ablauf und interne Empfänger

Aus den Angaben wird ein PDF erstellt. Es enthält zusätzlich eine von Europace bereitgestellte, beim Onlineversand nicht unterschriebene Anlage mit Bank-, Auskunftei- und weiteren Prozesserklärungen. Das Beifügen ist noch keine Annahme oder Freigabe dieser Erklärungen. Das PDF wird in unserem bei Hetzner betriebenen Nextcloud-Speicher abgelegt. Die für die Vorgangsbearbeitung erforderlichen Angaben werden außerdem in unser internes Finanzierungs- und Vorgangsmanagementsystem übernommen. Dieses System wird durch dasselbe Einzelunternehmen betrieben und ist kein eigenständiger Verantwortlicher. Für kurzfristige Übertragungsfehler wird die Einreichung verschlüsselt in einem Retry-Speicher auf dem Webserver gehalten und automatisch erneut übertragen. Nach erfolgreicher Übertragung bleibt dieser verschlüsselte Inhalt noch 90 Tage gespeichert, damit wir Ihr Selbstauskunft-PDF im Fall einer Beschädigung oder eines Verlusts erneut erzeugen können, ohne Sie noch einmal um Ihre Angaben zu bitten; danach wird er automatisch gelöscht.

Regelbasierte Dokumentenzuordnung

Im weiteren Vermittlungsprozess kann der auslesbare Textinhalt eingereichter Unterlagen automatisch mit einer festgelegten Liste allgemeiner Kategoriebegriffe wie „Gehaltsabrechnung“ oder „Kontoauszug“ verglichen werden. Treffer dienen ausschließlich dazu, das Dokument einer Unterlagenkategorie zuzuordnen. Dabei kommen weder künstliche Intelligenz noch maschinelles Lernen zum Einsatz; persönliche Eigenschaften oder die Kreditwürdigkeit werden hierdurch nicht bewertet. Uneindeutige oder fehlerhafte Zuordnungen können von fachkundigen Beschäftigten geprüft und korrigiert werden. Eine externe KI-Schnittstelle wird nicht für Kundenunterlagen oder sonstige personenbezogene Daten eingesetzt. Vor einer späteren Änderung dieses Verfahrens prüfen wir Rechtsgrundlage, Risiken, Anbieter und Schutzmaßnahmen und passen diese Information erforderlichenfalls vorab an.

Übermittlung an Banken und Auskunfteien

Das Absenden der Selbstauskunft erteilt noch keine Freigabe zur Übermittlung an ein unbestimmtes Kreditinstitut, die SCHUFA, Creditreform oder eine andere Auskunftei. Vor einer Übermittlung benennen wir den konkreten Empfänger und holen die erforderliche Freigabe bzw. Erklärung ein. Das gilt auch für eine Befreiung vom Bankgeheimnis und die Nutzung eines automatisierten Grundbuchabrufverfahrens.

Speicherdauer

Kommt kein Vermittlungsauftrag zustande, löschen wir die vollständige Selbstauskunft grundsätzlich spätestens sechs Monate nach dem endgültigen Abbruch. Ein auf das Erforderliche beschränkter Nachweis kann länger aufbewahrt werden, soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Bei einem angenommenen Vermittlungsauftrag bewahren wir die nach § 14 ImmVermV erforderlichen Aufzeichnungen fünf Jahre ab dem Ende des Kalenderjahres auf, in dem der letzte aufzeichnungspflichtige Vorgang angefallen ist. Nicht von einer gesetzlichen Pflicht erfasste Detaildaten und Nachweise werden früher gelöscht, sobald sie für Vermittlung, Abrechnung oder Rechtsverteidigung nicht mehr erforderlich sind. Technische Übertragungsstatus werden spätestens nach 90 Tagen gelöscht.

7. Vermittler- und Referral-Zuordnung

Wenn Sie die Selbstauskunft über einen mit ref gekennzeichneten Vermittlerlink aufrufen, verarbeiten wir den Vermittlercode und dessen Zuordnung zur Einreichung. Das dient der Bearbeitung über den zuständigen Ansprechpartner sowie der internen Herkunfts- und Provisionszuordnung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Zuordnung zum angefragten Vermittlungsprozess gehört, ansonsten Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses an einer korrekten Partner- und Provisionsabrechnung.

8. Einwertung über einen Vermittler

Vermittler, mit denen wir zusammenarbeiten, können uns über einen persönlichen Link die Selbstauskunft eines Interessenten zur Ersteinschätzung („Einwertung“) übermitteln. In diesem Fall stammen die Angaben nicht von der betroffenen Person selbst, sondern von ihrem Vermittler; über die Verarbeitung informieren wir nach Art. 14 DSGVO mit dieser Erklärung.

Verarbeitet werden die in der übermittelten Selbstauskunft enthaltenen Angaben – insbesondere Identitäts-, Kontakt-, Haushalts-, Beschäftigungs-, Einkommens-, Vermögens- und Verbindlichkeitsdaten –, eine freiwillige Notiz des Vermittlers, sein Referenzcode und der Eingangszeitpunkt.

Wir verarbeiten diese Unterlagen ausschließlich, um die Finanzierbarkeit einzuschätzen und das Ergebnis dem Vermittler mitzuteilen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO als vorvertragliche Maßnahme auf Anfrage der betroffenen Person; Sicherheits- und Missbrauchsschutzmaßnahmen beruhen zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO. Ein Kunde und ein Vorgang entstehen erst, wenn Sie uns beauftragen.

Die Unterlagen werden verschlüsselt übertragen und in unserem internen Vorgangssystem gespeichert. Unsere Rechnung und unsere interne Anmerkung zu einer Einwertung löschen wir 90 Tage, nachdem wir dem Vermittler das Ergebnis mitgeteilt oder die Einwertung verworfen haben. Die Unterlagen selbst und die Notiz des Vermittlers löschen wir, sobald das für jede Einwertung gilt, die wir aus ihnen gemacht haben – legt ein Vermittler die Unterlagen mehrerer Personen zusammen ab, hängen sie deshalb aneinander. Haben wir eine Einwertung weder mitgeteilt noch verworfen, beginnt keine Frist, und die Unterlagen bleiben gespeichert; Sie können ihre Löschung jederzeit verlangen (Abschnitt „Ihre Rechte“).

Nach diesen Fristen bleibt eine Kurzform erhalten: der Vermittler, das Eingangsdatum, der Name, der Bearbeitungsstand und unser Ergebnis in einem Satz. Den Namen bewahren wir auf, damit wir bei einer späteren Einwertung derselben Person erkennen, dass uns dazu schon einmal Unterlagen vorlagen – auch dann, wenn sie über einen anderen Vermittler kamen.

Empfänger sind ausschließlich die dafür berechtigten Beschäftigten sowie unsere Hosting-Auftragsverarbeiter. Eine Übermittlung an Kreditinstitute oder Auskunfteien findet in diesem Schritt nicht statt; künstliche Intelligenz oder eine externe Texterkennung setzen wir dabei nicht ein.

9. Empfänger und Drittlandübermittlungen

Neben den ausdrücklich genannten Auftragsverarbeitern erhalten nur die Beschäftigten Zugriff, die ihn für ihre Aufgabe benötigen. Kreditinstitute, Auskunfteien, Versicherer, Notare oder weitere Beteiligte erhalten Daten nur, wenn dies für den von Ihnen gewünschten Vorgang erforderlich ist und die jeweilige Rechtsgrundlage bzw. Freigabe vorliegt. Behörden erhalten Daten nur bei einer gesetzlichen Verpflichtung.

Die von uns ausgewählten Hosting- und Speicherorte liegen in Deutschland; die Ploi-Plattform wird in den Niederlanden betrieben. Eine Übermittlung von Kundendaten in Drittländer ist nicht beabsichtigt. Soweit ein Unterauftragsverarbeiter ausnahmsweise Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, erfolgt dies nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie EU-Standardvertragsklauseln.

10. Keine ausschließlich automatisierte Kreditentscheidung

Wir treffen keine ausschließlich automatisierte Entscheidung über Ihre Finanzierung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie ähnlich erheblich beeinträchtigt. Die regelbasierte Dokumentenzuordnung und der mit festen internen Formeln berechnete Budgetwert sind Arbeitshilfen und keine Kreditentscheidung. Der Budgetrechner stellt keine externen Anfragen; ein fachkundiger Mitarbeiter prüft das weitere Vorgehen. Ein später eingebundenes Kreditinstitut oder eine Auskunftei kann eigene Bewertungsverfahren verwenden und informiert darüber in eigener Verantwortung.

11. Ihre Rechte

Unter den gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen (Art. 21 DSGVO).

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@sh-immofinanz.de.

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns ist regelmäßig zuständig:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
Website: www.ldi.nrw.de

13. Aktualisierung

Wir aktualisieren diese Datenschutzerklärung, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt die auf dieser Website veröffentlichte Fassung.