Datenschutzerklärung
Version 2026-10-de-2.
1. Verantwortlicher
Verantwortlicher für die Verarbeitung personenbezogener Daten auf imovara.com, app.imovara.com und in den Imovara-Apps ist:
Imovara, Inhaber Jonah Kokott, Schilfweg 16, 28857 Syke E-Mail: contact@imovara.com, Kontaktformular: https://app.imovara.com/kontakt
2. Datenschutzbeauftragter
Wir sind gesetzlich nicht zur Benennung eines Datenschutzbeauftragten verpflichtet und haben keinen benannt. Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannten Kontaktdaten.
3. Rollenverteilung
(1) Wir sind Verantwortlicher für die Daten, die wir für eigene Zwecke verarbeiten, insbesondere für den Betrieb der Website, Kundenkonten, Vertragsabwicklung, Abrechnung, Support, Sicherheit und Newsletter sowie für die Konten von Mieter-Nutzern (Registrierung, Anmeldung, Sicherheit, Support).
(2) Daten, die unsere Kunden (z. B. Vermieter oder Hausverwaltungen) über Mieter, Eigentümer, Dienstleister oder sonstige Dritte in Imovara eingeben – etwa Mietverhältnisse, Dokumente, Zahlungsdaten oder Nachrichten – verarbeiten wir als Auftragsverarbeiter im Auftrag und nach Weisung des jeweiligen Kunden (Art. 28 DSGVO). Verantwortlicher ist insoweit der Kunde. Fragen zu diesen Daten und Anträge auf Ausübung Ihrer Rechte richten Sie bitte vorrangig an Ihren Vermieter bzw. Ihre Hausverwaltung; an uns gerichtete Anfragen leiten wir weiter.
4. Hosting und Infrastruktur
(1) Server und Datenbank der Anwendung betreiben wir auf Servern der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, in einem Rechenzentrum in Deutschland. IONOS stellt zudem unsere E-Mail-Postfächer bereit.
(2) Hochgeladene Dateien und Datensicherungen speichern wir verschlüsselt im Object Storage der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Rechenzentrum Falkenstein (Deutschland).
(3) Mit beiden Anbietern haben wir Auftragsverarbeitungsverträge geschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung der Vertragserfüllung dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb).
5. Server-Logfiles
Bei jedem Aufruf unserer Websites und der App verarbeiten wir automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite bzw. Schnittstelle, übertragene Datenmenge, HTTP-Statuscode, Referrer-URL sowie Browser- und Betriebssysteminformationen. Dies ist für die Auslieferung der Inhalte, die Stabilität und die Abwehr von Angriffen erforderlich (Art. 6 Abs. 1 lit. f DSGVO). Logfiles werden nach 14 Tagen gelöscht, Anwendungs- und Fehlerprotokolle nach 30 Tagen. Daten, deren Aufbewahrung zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich ist, löschen wir, sobald der Vorfall abschließend geklärt ist.
7. Registrierung und Kundenkonto
Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse, Passwort (ausschließlich als Hashwert) sowie optional weitere Profilangaben. Diese Daten sind für die Erstellung und Nutzung des Kontos erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Ohne sie ist eine Nutzung nicht möglich. Die Daten werden mit Löschung des Kontos gelöscht, soweit keine Aufbewahrungspflichten bestehen (Ziffer 19).
8. Vertragsabwicklung, Zahlung und Rechnungen
(1) Für kostenpflichtige Tarife verarbeiten wir Rechnungsanschrift, Tarif, Vertragsdaten, Zahlungsstatus und Rechnungen (Art. 6 Abs. 1 lit. b DSGVO) und bewahren steuer- und handelsrechtlich relevante Unterlagen nach § 147 AO und § 257 HGB bis zu zehn Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).
(2) Die Zahlung wickelt die Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ab. Ihre Zahlungsdaten (z. B. Kartennummer, IBAN, PayPal-Konto) geben Sie direkt bei Mollie bzw. dem gewählten Zahlungsanbieter ein; wir erhalten diese nicht vollständig, sondern nur Zahlungsstatus und Referenzen. Mollie ist als beaufsichtigtes Zahlungsinstitut für die Zahlungsabwicklung eigener Verantwortlicher; es gilt deren Datenschutzerklärung: https://www.mollie.com/de/privacy. Bei Zahlung per PayPal ist zusätzlich die PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, eigener Verantwortlicher.
9. Konten von Mieter-Nutzern
Werden Sie von Ihrem Vermieter oder Ihrer Hausverwaltung eingeladen, erhalten wir von diesem Ihren Namen und Ihre E-Mail-Adresse, um Ihnen die Einladung zu senden. Für Ihr Konto (Registrierung, Anmeldung, Sicherheit, Push-Einstellungen, Support) sind wir Verantwortlicher (Art. 6 Abs. 1 lit. b DSGVO). Sie können Ihr Konto jederzeit in der App unter Profil → Konto verwalten löschen oder die Löschung unter https://app.imovara.com/konto-loeschen anfordern. Für die Inhalte Ihres Mietverhältnisses gilt Ziffer 3 Abs. 2.
10. Transaktionale E-Mails
Systemnachrichten (z. B. Einladungen, Bestätigungen, Passwort-Zurücksetzung, Benachrichtigungen, Rechnungen) versenden wir über Resend, Inc., USA. Verarbeitet werden E-Mail-Adresse, Name und Inhalt der Nachricht. Ein Zugriff aus den USA ist nicht ausgeschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zur Drittlandübermittlung siehe Ziffer 18.
11. Push-Benachrichtigungen (Mobile-App)
Wenn Sie Push-Benachrichtigungen in den Geräteeinstellungen erlauben, verarbeiten wir ein gerätebezogenes Push-Token, App-Version, Betriebssystem und Ihre Benachrichtigungseinstellungen. Die Zustellung erfolgt über den Expo Push Service der 650 Industries, Inc. (USA) sowie – je nach Gerät – über Firebase Cloud Messaging der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, bzw. den Apple Push Notification service der Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland. Benachrichtigungen enthalten nur einen allgemeinen Hinweis, keine Nachrichteninhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG. Sie können Push jederzeit in den Geräte- oder App-Einstellungen deaktivieren; das Token wird dann gelöscht.
12. Schutz vor Missbrauch und Sicherheit
(1) Zum Schutz von Formularen (z. B. Registrierung, Login, Kontakt) vor automatisierten Angriffen nutzen wir Cloudflare Turnstile der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Dabei werden IP-Adresse sowie Browser- und Geräteinformationen an Cloudflare übermittelt und ausgewertet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz unserer Nutzer und Systeme vor Missbrauch. Weitere Informationen: https://www.cloudflare.com/privacypolicy/.
(2) Sicherheitsrelevante Ereignisse (z. B. Anmeldungen, fehlgeschlagene Anmeldeversuche, Rechteänderungen, administrative Aktionen) protokollieren wir mit Zeitpunkt, Konto und IP-Adresse und löschen diese Protokolle nach zwölf Monaten (Art. 6 Abs. 1 lit. f DSGVO).
(3) Um die Umgehung von Tarifgrenzen durch Mehrfachkonten zu verhindern, gleichen wir Kontodaten (E-Mail-Adresse) ab (Art. 6 Abs. 1 lit. f DSGVO). Eine automatisierte Entscheidung findet nicht statt; Sperrungen erfolgen erst nach menschlicher Prüfung.
13. Kontaktformular, Support und E-Mail
Wenn Sie uns über das Kontaktformular, per E-Mail oder über die Supportfunktion kontaktieren, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Inhalt der Anfrage) zur Bearbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage einen Vertrag betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Anfragen löschen wir drei Jahre nach Abschluss des Vorgangs, sofern keine längere Aufbewahrungspflicht besteht.
14. Kündigung, Widerruf, Datenschutzanfragen und Kontolöschung
Über unsere Online-Formulare („Verträge hier kündigen“, „Vertrag widerrufen“, Datenschutzanfrage, Kontolöschung) verarbeiten wir die dort angegebenen Daten (insbesondere Name, E-Mail-Adresse, Vertrags- bzw. Kontoangaben, Art und Inhalt der Erklärung, Zeitpunkt des Eingangs), um Ihre Erklärung zuzuordnen, umzusetzen und Ihnen die gesetzlich vorgeschriebene Bestätigung zu senden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 312k, 356a BGB bzw. Art. 12 ff. DSGVO. Kündigungen und Widerrufe bewahren wir als geschäftliche Korrespondenz sechs Jahre ab Ende des Jahres des Vorgangs auf (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 257 HGB, § 147 AO). Datenschutzanfragen und Kontolöschungen bewahren wir zum Nachweis bis zum Ablauf der regelmäßigen Verjährungsfrist (drei Jahre ab Ende des Jahres des Vorgangs) auf (Art. 6 Abs. 1 lit. f DSGVO).
16. Google Analytics (nur Marketingseite imovara.com)
Nur wenn Sie eingewilligt haben, nutzen wir auf imovara.com Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics setzt Cookies (z. B. „_ga“, „_ga_<ID>“, Speicherdauer bis zu zwei Jahre) und erfasst Informationen über Ihre Nutzung, etwa aufgerufene Seiten, Verweildauer, Geräte- und Browserinformationen sowie ungefähre Standortdaten. IP-Adressen werden von Google Analytics 4 nicht gespeichert. Wir nutzen die Daten zur Verbesserung unseres Angebots. Eine Übermittlung an Google LLC in den USA ist möglich (siehe Ziffer 18). Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit über „Cookie-Einstellungen“ widerrufen können. Die Daten werden nach 14 Monaten gelöscht. Weitere Informationen: https://policies.google.com/privacy.
17. Google Play Store
Die Android-App wird über Google Play bereitgestellt. Für den Download ist Google eigener Verantwortlicher; es gelten die Datenschutzbestimmungen von Google. Auf diese Datenverarbeitung haben wir keinen Einfluss.
18. Empfänger und Drittlandübermittlung
(1) Ihre Daten erhalten nur die in dieser Erklärung genannten Dienstleister, soweit dies für den jeweiligen Zweck erforderlich ist, sowie Behörden, soweit wir gesetzlich dazu verpflichtet sind. Mit Dienstleistern, die in unserem Auftrag tätig sind, haben wir Auftragsverarbeitungsverträge geschlossen.
(2) Folgende Anbieter haben ihren Sitz in den USA oder können Daten dorthin übermitteln: Cloudflare, Inc. (Turnstile), Resend, Inc. (E-Mail-Versand), 650 Industries, Inc. (Expo Push), Google (Firebase Cloud Messaging, Google Analytics) sowie künftig Apple (Push für iOS). Die USA verfügen für Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind, über einen Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Cloudflare, Resend, Google und Expo sind nach diesem Rahmen zertifiziert. Soweit keine Zertifizierung besteht, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Sie bei uns anfordern können.
19. Speicherdauer im Überblick
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Neben den oben genannten Fristen gilt:
- Kontodaten: bis zur Löschung des Kontos; nach Ende des Nutzungsvertrags (§ 17 AGB) besteht 30 Tage lang lesender Zugriff zum Export, danach werden die Daten gelöscht. Endet nur ein kostenpflichtiger Tarif, läuft das Konto im kostenlosen Tarif weiter.
- Rechnungs- und Buchungsunterlagen: bis zu zehn Jahre nach § 147 AO, § 257 HGB.
- Datensicherungen: werden turnusmäßig überschrieben; gelöschte Daten sind spätestens nach 30 Tagen auch aus den Sicherungen entfernt.
- Bei einer Kontolöschung werden der Zugang und die kontobezogenen Daten gelöscht. Daten dürfen nur weiter gespeichert werden, soweit dies wegen gesetzlicher Aufbewahrungspflichten, zur Sicherheit oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
20. Keine automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.
21. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Anfragen können Sie über https://app.imovara.com/datenschutz/anfrage oder an die oben genannten Kontaktdaten richten.
22. Widerspruchsrecht nach Art. 21 DSGVO
Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Werden Ihre Daten zur Direktwerbung verarbeitet, haben Sie das Recht, jederzeit Widerspruch hiergegen einzulegen; wir verarbeiten Ihre Daten dann nicht mehr für diesen Zweck.
Der Widerspruch kann formfrei erfolgen, z. B. über https://app.imovara.com/datenschutz/anfrage oder per E-Mail an contact@imovara.com.
23. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, www.lfd.niedersachsen.de.
24. Datensicherheit
Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen, insbesondere durch TLS-Verschlüsselung der Übertragung, Zugriff auf Dateien nur über signierte, zeitlich begrenzte Links, Passwort-Hashing, rollenbasierte Zugriffskontrollen, Mandantentrennung und Protokollierung. Einzelheiten enthält unsere Übersicht der technischen und organisatorischen Maßnahmen unter https://app.imovara.com/toms.
25. Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.