Datenschutzerklärung

Verantwortlicher

Ries UG (haftungsbeschränkt) & Co. KG
Hinkesforst 1
40885 Ratingen

Identisch mit den Angaben im Impressum.

Bei Fragen zum Datenschutz erreichen Sie uns unter: datenschutz@hostklar.de

Das Wichtigste in Kürze

• Keine fremden Tracker: HostKlar nutzt keine Analyse-Dienste Dritter, keine Werbenetzwerke, keine Social-Media-Einbindungen und keine externen Schriftarten oder CDN-Dienste. Alle Inhalte werden vom eigenen Server geladen. Die Reichweite messen wir selbst: in der Grundform allein über die Server-Protokolle — und nur wenn Sie es ausdrücklich erlauben, zusätzlich mit einem eigenen Statistik-Cookie. Ausgewertet werden diese Daten allein von uns.
• Höchstens drei Cookies, alle von uns: das Sitzungs-Cookie nach der Anmeldung, Ihre gespeicherte Antwort auf die Statistik-Frage — und nur bei einem Ja das Statistik-Cookie selbst. Ohne Anmeldung und ohne Antwort setzt HostKlar kein Cookie.
• Ein Server, ein Land: Ihre Daten liegen in einer SQLite-Datenbank auf unserem Server in Deutschland. Wir geben sie nicht zu fremden Zwecken weiter und verkaufen sie nicht. Die Dienstleister, die uns beim Betrieb helfen (Hosting, E-Mail, Domain), sind unten namentlich genannt und ausschließlich in unserem Auftrag tätig. Wenn Sie selbst eine Steuerberatung einladen, sieht diese Ihre Zahlen — dazu unten ein eigener Abschnitt.

Cookies

HostKlar setzt höchstens drei Cookies — alle von uns selbst, keines von Dritten, alle „HttpOnly“ (für Skripte im Browser nicht auslesbar):

• hk_session — erkennt Sie nach der Anmeldung wieder. Technisch notwendig, läuft nach spätestens 14 Tagen ab, beim Abmelden sofort gelöscht.
• hk_consent — speichert Ihre Antwort auf die Statistik-Frage (Ja oder Nein), damit wir sie nicht auf jeder Seite erneut stellen. Technisch notwendig für genau diesen Zweck; ohne Antwort wird es nicht gesetzt.
• hk_stat — das Statistik-Cookie. Wird nur gesetzt, wenn Sie in der Frage unten auf der Seite ausdrücklich einwilligen (§ 25 Abs. 1 TDDDG), und ist eine zufällige Kennung ohne Bezug zu Name oder Konto. Laufzeit höchstens 13 Monate; Details und Widerruf im Abschnitt Statistik mit Einwilligung.

Werbe-Cookies und Cookies Dritter gibt es nicht.

Statistik mit Einwilligung (Cookie)

Wenn Sie der Statistik zustimmen, setzen wir das Cookie hk_stat mit einer zufälligen Kennung. Damit erkennen wir Ihren Browser beim nächsten Besuch wieder und sehen zusätzlich zur cookielosen Zählung: ob ein Besuch der erste ist oder ein Wiederkommen, besuchte Seiten im Verlauf, Browsersprache, Bildschirmgröße sowie — falls Sie über einen Kampagnen-Link kamen — dessen Kennzeichnung (UTM-Parameter). Ihre IP-Adresse wird auch hier nicht gespeichert; die Kennung ist mit Name, E-Mail oder Konto nicht verknüpft.

Damit die Bildschirmgröße nur einmal am Tag übertragen wird, merkt sich Ihr Browser das Datum der letzten Meldung lokal (localStorage, Eintrag hk_beacon); beim Widerruf über diese Seite wird auch dieser Eintrag entfernt.

Rechtsgrundlage: Ihre Einwilligung — § 25 Abs. 1 TDDDG für das Cookie, Art. 6 Abs. 1 lit. a DSGVO für die Auswertung. Zeitpunkt, Fassung und vergebene Kennung Ihrer Antwort protokollieren wir als Nachweis (Art. 7 Abs. 1 DSGVO); dieser Nachweis bleibt auch nach einem Widerruf bestehen, verweist dann aber auf keine Zähldaten mehr.

Speicherdauer: Cookie und Einzeldaten höchstens 13 Monate; danach bleiben nur Tagessummen ohne jede Kennung.

Widerruf: jederzeit mit einem Klick — das Cookie wird sofort entfernt und alle unter der Kennung gezählten Einzeldaten werden gelöscht (Art. 7 Abs. 3 DSGVO):

Haben Sie (noch) nicht eingewilligt, tut der Knopf nichts weiter, als eine eventuell gespeicherte Antwort zurückzusetzen — die Frage erscheint danach wieder.

Welche Daten gespeichert werden

• Kontodaten: E-Mail-Adresse, Name und Ihr Passwort — Letzteres ausschließlich als kryptografischer Hash (PBKDF2), niemals im Klartext.
• Ihre Eingaben: Angaben zu Objekten, Buchungen, Belegen und Formularen, die Sie selbst in der Anwendung erfassen oder hochladen.
• Änderungsprotokoll: wichtige Aktionen (z. B. Anmeldung, Uploads, Exporte) werden mit Zeitstempel protokolliert, damit Sie gegenüber Behörden Nachweise führen können.

Alle Daten liegen in einer lokalen SQLite-Datenbank. Wir geben sie nicht zu fremden Zwecken weiter und verkaufen sie nicht. Eine Ausnahme gibt es nur, wenn Sie selbst sie schaffen: laden Sie eine Steuerberatung ein, kann diese Ihre Zahlen lesen. Was sie dabei sieht und wie Sie den Zugang wieder beenden, steht weiter unten.

Wenn Sie eine Steuerberatung einladen

Sie können eine Steuerberatung oder Buchhaltung einladen. Erst dann — und nur dann — sieht jemand außerhalb Ihres Kontos Ihre Daten. Die Einladung geht von Ihnen aus; niemand kann sich selbst Zugang verschaffen.

Was eine eingeladene Kanzlei sieht:

• Name Ihrer Vermietung sowie Namen und Adressen Ihrer Wohnungen
• Ihre Zahlen: Einnahmen, Plattform-Gebühren, Umsatzsteuer, Buchungszahl und Jahresumsatz
• das Steuerberater-Paket samt Ihrer hochgeladenen Belege im Original — dort stehen auch Namen Dritter, etwa auf Gästerechnungen

Was sie nicht kann: etwas an Ihren Wohnungen ändern, Belege löschen oder Ihr Protokoll einsehen. Jeder Zugriff wird in Ihrem Protokoll vermerkt — Sie sehen dort, wer wann hineingesehen hat.

Beenden können Sie den Zugang jederzeit unter Profil, an derselben Stelle, an der Sie ihn erteilt haben. Er endet sofort. Was die Kanzlei bis dahin gesehen hat, lässt sich naturgemäß nicht zurückholen (Art. 7 Abs. 3 DSGVO).

E-Mails, die wir Ihnen schicken

• Bestätigung und Passwort: der Link zur Bestätigung Ihrer Adresse und der Link zum Zurücksetzen des Passworts. Ohne sie funktioniert das Konto nicht.
• Fristen-Erinnerung: wenn Sie es einschalten, eine Nachricht zu Aufgaben aus Ihrer eigenen Fristenliste — mit Titel der Aufgabe, Termin und dem Namen der betroffenen Wohnung. Diese Angaben erreichen dabei unseren Mail-Dienstleister (unten genannt). Standard ist aus. Sie schalten sie unter Profil ein und dort auch wieder ab; jede Mail trägt den Weg dorthin.
• Beleg-Postfach: Antworten auf Belege, die Sie selbst an uns senden.

Werbung verschicken wir nicht. Rechtsgrundlage für die ersten beiden Punkte ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses), für die Erinnerung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO — widerruflich jederzeit über dieselbe Einstellung.

Server-Protokolle und Hosting

Beim Aufruf der Seiten protokolliert unser Server automatisch die folgenden Angaben:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse und HTTP-Methode
• Statuscode und übertragene Datenmenge
• verweisende Seite (Referer), sofern übermittelt
• Browser- und Betriebssystemkennung (User-Agent)

Wozu: Betrieb und Sicherheit der Seite (Fehlersuche, Abwehr von Missbrauch) sowie eine einfache Reichweitenmessung — wie viele Menschen die Seite aufrufen und welche Bereiche genutzt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren, funktionsfähigen Angebot und an der Kenntnis seiner Nutzung. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen; wir prüfen den Widerspruch im Einzelfall.

Wie lange: Die Protokolle werden nach spätestens 15 Tagen automatisch gelöscht.

Für die Reichweitenmessung zählt der Server Seitenaufrufe zusätzlich in einer eigenen Statistik — in der Grundform ohne Cookie und stets ohne Speicherung der IP-Adresse. Je Aufruf werden festgehalten: die aufgerufene Seite, der Zeitpunkt, die verweisende Seite, die Geräteklasse, die Browsersprache, eine etwaige Kampagnen-Kennzeichnung aus der Adresse (utm-Parameter), ob dabei eine Anmeldung vorlag (ja/nein, ohne Bezug zum Konto) sowie eine täglich wechselnde, nicht rückrechenbare Kennung. Diese Einzelangaben werden in derselben Frist gelöscht wie die Protokolle; dauerhaft bleiben nur Tagessummen ohne jede Kennung. Willigen Sie in das Statistik-Cookie ein, gilt ergänzend der Abschnitt „Statistik mit Einwilligung“.

Die Protokolle werden nicht mit Ihrem Konto zusammengeführt, nicht zu Nutzerprofilen verknüpft und nicht an Dritte zu Werbezwecken übermittelt. Eine Auswertung erfolgt nur in Summe, nicht personenbezogen.

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting der Anwendung und der Datenbank (Rechenzentrum Falkenstein, Deutschland)
• Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA — Beantworten von Fragen zur Bedienung der Software (nur auf ausdrückliche Anforderung durch die Nutzerin oder den Nutzer) (Verarbeitung in den USA auf Grundlage der EU-Standardvertragsklauseln; Eingaben werden nicht zum Training verwendet)
• Sendinblue GmbH (Brevo), Köpenicker Str. 126, 10179 Berlin, Deutschland — Versand und Empfang von E-Mails (Bestätigungen, Fristen-Erinnerungen, Beleg-Postfach) (Verarbeitung in der EU)
• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande — Abwicklung der Zahlung für den 30-Tage-Zugang (Zahlungsdaten geben Sie direkt bei Mollie ein; HostKlar sieht keine Karten- oder Kontodaten) (Verarbeitung in der EU)
• netcup GmbH, Daimlerstr. 25, 76185 Karlsruhe, Deutschland — Registrierung und DNS der Domain hostklar.de (Deutschland)

Speicherdauer und Löschung

Sitzungen laufen nach spätestens 14 Tagen ab. Konto- und Objektdaten bleiben gespeichert, solange Ihr Konto besteht.

Sie können Ihr Konto selbst löschen. Der Weg führt über Profil → Konto und Daten löschen. Zur Sicherheit tippen Sie dort Ihre E-Mail-Adresse ab; danach geschieht die Löschung sofort und ohne weitere Rückfrage. Anschließend zeigen wir Ihnen eine Übersicht, was mit welchen Daten passiert ist.

Vollständig gelöscht werden Ihr Konto (E-Mail, Name, Passwort-Hash), Ihre Objekte, Buchungen und Auszahlungen, Ihre Onboarding-Antworten und Selbstauskünfte, Fristen und Stammdaten, Ihre Zahlungen, ein hinterlegtes ELSTER-Zertifikat, eine verbundene Postfach-Berechtigung, Ihre Einladungen an eine Steuerkanzlei und alle Anmeldungen.

Erhalten bleiben aus rechtlichen Gründen Belege, buchhaltungsrelevante Dokumente und festgeschriebene Buchungszeilen, soweit für sie eine steuerliche Aufbewahrungspflicht besteht (§ 147 Abgabenordnung, je nach Unterlage sechs oder zehn Jahre). Die Datenbank sperrt ihre Veränderung technisch (GoBD-Unveränderbarkeit); Art. 17 Abs. 3 lit. b DSGVO nimmt diesen Fall von der Löschpflicht aus. Ob und wie lange eine Pflicht für Ihre Unterlagen gilt, hängt von Ihrer Einkunftsart ab — das können wir nicht für Sie entscheiden. Wenn Sie meinen, dass für ein bestimmtes Dokument keine Aufbewahrungspflicht besteht, schreiben Sie uns; wir prüfen den Einzelfall. Wir anonymisieren diese Unterlagen, soweit es geht — Dateiname und Zuordnung zu Konto und Objekt entfallen; der Inhalt bleibt.

Ebenfalls erhalten bleibt das Änderungsprotokoll (Art. 6 Abs. 1 lit. c DSGVO), das gegen Löschen gesperrt ist, weil es sonst kein Nachweis wäre; nach der Löschung verweist es auf ein Konto, das es nicht mehr gibt. Das freie Beschreibungsfeld dieser Einträge — dort konnte der Name Ihrer Wohnung und damit eine Anschrift stehen — wird geleert, sodass nur Zeitpunkt und Art der Aktion übrig bleiben. Zwei Ausnahmen: Protokollzeilen zu Buchungen, Belegen und Exporten behalten ihren Text, weil sie zu den aufbewahrten Unterlagen gehören; und Einträge in einer Vermietung mit weiteren Mitgliedern bleiben stehen, weil sie zum Nachweis dieser anderen Personen gehören. Was in Ihrem Fall passiert ist, steht einzeln aufgeführt auf der Bestätigungsseite, die Sie direkt nach der Löschung sehen.

Wenn Sie keinen Zugang mehr zu Ihrem Konto haben oder Fragen zur Löschung haben, schreiben Sie uns an datenschutz@hostklar.de.

Ein vergessenes Passwort setzen Sie selbst zurück: Passwort vergessen. Wir senden dann einen Link an Ihre Adresse, der zwei Stunden gilt; in der Datenbank steht davon nur eine Prüfsumme.

Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist für uns die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.