Rechtliches

Datenschutzerklärung

Diese Datenschutzerklärung gilt für die Grundheld App (iOS und Android) und das Grundheld Portal unter app.grundheld.de. Beide richten sich an Kundinnen und Kunden unserer Hausverwaltung: Wohnungseigentümer, Mitglieder des Verwaltungsbeirats, Vermieter und Mieter in den von uns verwalteten Objekten. Wir verarbeiten Ihre Daten nach der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

1. Verantwortlicher

Grundheld, Inhaber Marvin Siekmann
Rathenaustr. 39, 44869 Bochum
E-Mail: app@grundheld.de

Bei allen Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter dieser Adresse.

2. Welche Daten wir verarbeiten und warum

2.1 Stammdaten aus der Verwaltung

Wir verarbeiten die Daten, die wir als Ihre Hausverwaltung ohnehin führen: Anrede, Name, E-Mail-Adresse, Telefonnummer, das Objekt und die Einheit, Ihre Rolle (z. B. Eigentümer, Mieter, Beirat, Vermieter) mit Zeitraum, bei Eigentümern das Hausgeld (Soll und Zahlungseingänge) und gegebenenfalls Bankverbindungen. In der App und im Portal zeigen wir Ihnen diese Daten an.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Verwaltungs- bzw. Mietverhältnisses, in dessen Rahmen wir tätig sind), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, etwa aus dem Wohnungseigentumsgesetz und steuer- und handelsrechtlichen Aufbewahrungspflichten) sowie Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer ordnungsgemäßen, effizienten Verwaltung).

2.2 Anmeldung und Konto

Sie melden sich ohne Passwort mit Ihrer E-Mail-Adresse und einem 6-stelligen Einmalcode an, den wir Ihnen per E-Mail senden. Der Code ist 10 Minuten gültig und wird nur als Prüfwert (Hash) gespeichert. Nach der Anmeldung speichern wir eine Sitzung mit Sitzungskennung, Zeitpunkt, IP-Adresse und Angaben zum Browser bzw. Gerät (User-Agent). Anmeldungen und fehlgeschlagene Anmeldeversuche protokollieren wir zur Sicherheit.

Ein Konto legen wir nur für Personen an, die wir verwalten; eine freie Registrierung gibt es nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Sicherheitsprotokolle Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten vor Missbrauch) in Verbindung mit Art. 32 DSGVO.

2.3 Anliegen, Nachrichten und Fotos

Wenn Sie ein Anliegen melden (z. B. einen Schaden), eine Nachricht an die Verwaltung schreiben, einen Termin bestätigen oder ablehnen oder zu einer Eigentümerversammlung zu- oder absagen, speichern wir Ihre Angaben, den Zeitpunkt und gegebenenfalls hochgeladene Fotos oder PDF-Dateien. Bitte beachten Sie, dass Fotos je nach Gerät Metadaten (z. B. Aufnahmezeit oder Standort) enthalten können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Anliegen zu Gemeinschaftsflächen (z. B. Treppenhaus, Keller) können wir für die anderen Bewohner des Hauses sichtbar machen, damit dieselbe Sache nicht mehrfach gemeldet wird. Dabei zeigen wir weder Ihren Namen noch Ihre Nachrichten oder Fotos an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

2.4 Dokumente und Mitteilungen

Wir stellen Ihnen Dokumente (z. B. Abrechnungen, Protokolle, Verträge) und Mitteilungen (Aushänge, Nachrichten) bereit. Welche Dokumente Sie sehen, hängt von Ihrer Rolle ab: Mieter sehen niemals Dokumente oder Anliegen anderer Mieter. Jeder Abruf eines Dokuments und jede Lesebestätigung werden mit Zeitpunkt gespeichert, damit wir Zugang und Kenntnisnahme nachweisen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

2.5 Digitale Zustellung per E-Mail

Wenn Sie in Ihrem Profil der digitalen Zustellung zustimmen, senden wir Ihnen Unterlagen per E-Mail statt per Post. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit im Profil oder per E-Mail mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

2.6 Push-Mitteilungen

Wenn Sie in der App Mitteilungen erlauben, speichern wir ein Push-Token Ihres Geräts, die Plattform (iOS oder Android) und optional den Gerätenamen, um Sie z. B. über neue Aushänge oder Termine zu informieren. Die Inhalte der Mitteilungen halten wir knapp und ohne sensible Details. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie über die Mitteilungs-Einstellungen Ihres Geräts jederzeit widerrufen können. Beim Abmelden wird das Token entfernt.

2.7 Berechtigungen der App

• Kamera und Fotos: nur, wenn Sie einem Anliegen oder einer Nachricht ein Foto hinzufügen.
• Mitteilungen: nur mit Ihrer Erlaubnis (siehe 2.6).
• Face ID, Touch ID oder Fingerabdruck: sofern Sie die App-Sperre nutzen. Die Prüfung erfolgt ausschließlich durch das Betriebssystem auf Ihrem Gerät; biometrische Daten erhalten wir nicht.

2.8 Datenauskunft und Löschanfrage

In der App können Sie eine Kopie Ihrer Daten abrufen und die Löschung Ihres Kontos beantragen. Beides protokollieren wir (Zeitpunkt, Vorgang), um die Bearbeitung nachweisen zu können (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 12 DSGVO).

2.9 Server-Protokolle

Beim Aufruf von App-Schnittstellen und Portal verarbeitet unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und User-Agent. Wir nutzen sie nur zur Sicherstellung des Betriebs und zur Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden nach spätestens 30 Tagen gelöscht.

3. Cookies und Tracking

Das Portal setzt nach der Anmeldung ausschließlich ein technisch notwendiges Sitzungs-Cookie, damit Sie angemeldet bleiben (§ 25 Abs. 2 Nr. 2 TDDDG). Wir verwenden keine Analyse- oder Werbe-Cookies, kein Tracking und keine Werbung. Schriften laden wir von unserem eigenen Server, nicht von Drittanbietern.

4. Empfänger und Auftragsverarbeiter

Wir geben Ihre Daten nicht an Dritte weiter. Ausgenommen sind die folgenden Dienstleister, die in unserem Auftrag und nach unseren Weisungen tätig sind (Auftragsverarbeitung nach Art. 28 DSGVO), sowie Fälle, in denen wir gesetzlich zur Herausgabe verpflichtet sind.

• Railway Corporation (San Francisco, USA): Hosting von App-Schnittstelle, Portal, Datenbank und Dateispeicher. Die Daten liegen in einem Rechenzentrum in der EU (Amsterdam, Niederlande). Da Railway ein Unternehmen mit Sitz in den USA ist, ist ein Zugriff aus den USA nicht ausgeschlossen; hierfür gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Brevo (Sendinblue SAS, Paris, Frankreich): Versand von E-Mails, insbesondere der Anmeldecodes und Benachrichtigungen. Die Verarbeitung erfolgt in der EU.
• Expo (650 Industries, Inc., USA) sowie die Push-Dienste von Apple (Apple Push Notification Service) und Google (Firebase Cloud Messaging): Zustellung von Push-Mitteilungen an Ihr Gerät, nur wenn Sie Mitteilungen erlaubt haben. Dabei werden das Push-Token und der Inhalt der Mitteilung übermittelt. Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, im Übrigen auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Für den Download der App über den App Store von Apple oder Google Play sind die jeweiligen Anbieter selbst verantwortlich; es gelten deren Datenschutzbestimmungen.

5. Speicherdauer

• Anmeldecodes: 10 Minuten, danach ungültig und gelöscht.
• Sitzungen: bis zur Abmeldung, spätestens 30 Tage nach der letzten Nutzung.
• Push-Tokens: bis zur Abmeldung auf dem Gerät oder zur Löschung des Kontos.
• Daten aus dem Verwaltungsverhältnis (Stammdaten, Anliegen, Nachrichten, Dokumente): für die Dauer des Verwaltungs- bzw. Mietverhältnisses und danach, soweit zur Abwicklung und zur Abwehr von Ansprüchen nötig, in der Regel bis zu drei Jahre (regelmäßige Verjährung, § 195 BGB).
• Abrechnungen, Belege und sonstige steuer- und handelsrechtlich relevante Unterlagen: sechs bzw. zehn Jahre (§ 147 AO, § 257 HGB). In dieser Zeit schränken wir die Verarbeitung auf die Aufbewahrung ein.
• Sicherheits- und Zugriffsprotokolle: drei Jahre.

6. Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Bankverbindungen speichern wir zusätzlich verschlüsselt (AES-256). Zugriffe sind nach Rollen beschränkt, Dokumente werden nur über kurzlebige, persönliche Links ausgeliefert, und Zugriffe auf sensible Daten werden protokolliert.

7. Ihre Rechte

Sie haben das Recht auf

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO), in der App auch als Datenexport,
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Schreiben Sie uns dazu an app@grundheld.de. Wie Sie Ihr Konto löschen, lesen Sie unter Konto löschen.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf.

8. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Die Nutzung von App und Portal ist freiwillig. Ohne sie erreichen Sie uns weiterhin per E-Mail, Telefon oder Post; das Verwaltungsverhältnis bleibt davon unberührt. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

9. Änderungen

Wenn wir App oder Portal um neue Funktionen erweitern oder sich rechtliche Vorgaben ändern, passen wir diese Erklärung an. Die jeweils aktuelle Fassung finden Sie hier und in der App.

Stand 13.10.2026