Stand: 8. Juli 2026

Datenschutzerklärung

1. Verantwortlicher

Datenschutzkontakt: lucablum101@gmail.com

2. Verarbeitete Daten und Zwecke

Wir verarbeiten Konto- und Kontaktdaten, Wartelistenanfragen, den Zeitpunkt der E-Mail-Bestätigung, Einladungsstatus, Mitgliedschaften und Rollen, Stammdaten von WEGs und Einheiten, Eigentümerangaben, Finanzbuchungen, Termine, Abstimmungen, Beschlüsse, Vorgänge, Kommentare sowie hochgeladene Dokumente. Die Verarbeitung dient der Registrierung, sicheren Zuordnung eingeladener Personen, Anmeldung, Bereitstellung der WEG-Funktionen, Kommunikation und technischen Absicherung des Dienstes.

Beim Aufruf verarbeitet unser Hostinganbieter außerdem technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, Zieladresse, Browserinformationen und HTTP-Status. Zur Abwehr automatisierter oder missbräuchlicher Anfragen wird die IP-Adresse außerdem für technische Anfragelimits im Arbeitsspeicher verwendet. Für Downloadquoten speichern wir Nutzerkonto, pseudonymisierte Netzwerkkennung, Downloadart, Datenumfang und Zeitpunkt in der Datenbank.

3. Rechtsgrundlagen

Die Verarbeitung erfolgt je nach Nutzung zur Vertragserfüllung und Durchführung vorvertraglicher Maßnahmen nach Art. 6 Abs. 1 lit. b DSGVO, zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO und zur sicheren, störungsfreien Bereitstellung nach Art. 6 Abs. 1 lit. f DSGVO. Optionale E-Mail-Benachrichtigungen beruhen auf deiner Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und können jederzeit in der App deaktiviert werden.

4. Verantwortlichkeit innerhalb einer WEG

Wer personenbezogene Daten anderer Eigentümer, Bewohner oder Dienstleister einstellt, muss hierzu berechtigt sein und die betroffenen Personen informieren. Je nach tatsächlicher Organisation kann die jeweilige WEG oder Verwaltung für diese Inhaltsdaten eigenständig datenschutzrechtlich verantwortlich sein.

5. Hosting und E-Mail-Versand

Die Anwendung wird bei Render Services, Inc., 525 Brannan Street, San Francisco, CA 94107, USA betrieben. Als Region ist Frankfurt, Deutschland vorgesehen. Mit Render ist vor Livebetrieb ein Auftragsverarbeitungsvertrag abzuschließen. Soweit Daten in die USA übermittelt werden, stützt Render die Übermittlung unter anderem auf EU-Standardvertragsklauseln.

Transaktions- und Erinnerungs-E-Mails werden über Brevo versendet. Empfängeradresse, Absender, Betreff und Nachrichteninhalt werden hierfür an Brevo übermittelt. Mit Brevo ist ebenfalls ein Auftragsverarbeitungsvertrag abzuschließen; mögliche Drittlandübermittlungen sind anhand der dortigen Vertragsunterlagen zu prüfen.

6. Cookies

WEG Kompass setzt technisch notwendige Cookies ein: weg_session hält die Anmeldung aufrecht, weg_csrf schützt Formulare vor fremden Anfragen und weg_preauth speichert für höchstens zehn Minuten den Zwischenstand einer Administrator-Anmeldung. Diese Cookies sind für JavaScript nicht lesbar, werden mit SameSite-Schutz und im Produktionsbetrieb nur über HTTPS übertragen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG.

Für Werbekampagnen kann optional Google Ads Conversion Tracking vorbereitet sein. Google-Marketing-Skripte werden nur geladen, wenn eine Google-Ads-ID technisch konfiguriert ist und Besucher über das Banner ausdrücklich zustimmen. In diesem Fall speichert weg_marketing_consent die Auswahl für höchstens 180 Tage. Ohne Zustimmung oder ohne aktive Google-Ads-Konfiguration werden keine Google-Marketing-Skripte geladen.

7. Empfänger, Zugriff und Speicherdauer

Daten sind nur für bestätigte und ausdrücklich eingeladene Mitglieder der jeweiligen WEG zugänglich; schreibende Aktionen werden zusätzlich anhand der zugewiesenen Rolle Verwalter, Eigentümer, Beirat oder Buchhaltung begrenzt. E-Mail-Bestätigungslinks verfallen nach 60 Minuten, WEG-Einladungen nach sieben Tagen; beide sind einmalig, an die jeweilige Adresse gebunden und werden nur gehasht gespeichert. Anmeldesitzungen werden in der Datenbank ausschließlich als Token-Hash gespeichert, nach höchstens 30 Tagen beendet und bei sieben Tagen Inaktivität nicht mehr akzeptiert. Nutzende können aktive Sitzungen einsehen und einzeln oder vollständig beenden. Administratoren können zur Kontoverwaltung Namen, E-Mail-Adressen, Bestätigungs- und Kontostatus, Wartelistenanfragen sowie Nutzungsstatistiken zu WEGs, Dokumenten und Downloadvolumen einsehen; Dokumentinhalte werden im Adminbereich nicht angezeigt. Im Rahmen von Supportanfragen können Administratoren Kontaktdaten und Dokumentmetadaten korrigieren sowie einen Passwort-Reset-Link an die registrierte E-Mail-Adresse auslösen. Passwörter sind für Administratoren weder einsehbar noch direkt festlegbar. Vor einer Kontobeendigung wird vorhandenes WEG-Eigentum übertragen. Konten mit fachlichen oder abrechnungsrelevanten Daten werden gesperrt und anonymisiert; Buchhaltungsdaten bleiben ohne unmittelbaren Personenbezug archiviert. Eine harte Löschung ist nur bei vollständig leeren Konten möglich. Support-, Übertragungs-, Anonymisierungs- und Löschaktionen werden mit ausführendem Administratorkonto, Zeitpunkt, Ziel und Anlass protokolliert. Sicherheitsereignisse und interne Fehler werden für 90 Tage ohne Passwörter, Tokens, E-Mail-Adressen oder vollständige IP-Adressen protokolliert; Netzwerkadressen werden hierfür mit einem geheimen Schlüssel pseudonymisiert. Downloadzähler werden nach höchstens 400 Tagen technisch bereinigt, Wartelistenanfragen bis zur Bearbeitung oder Löschung durch den Betreiber gespeichert. Kontodaten werden für die Dauer des Nutzerkontos gespeichert. WEG-Inhalte bleiben gespeichert, solange sie für die Gemeinschaft benötigt werden oder gesetzliche Aufbewahrungspflichten bestehen. Reset- und Bestätigungstoken werden nach Ablauf technisch bereinigt. Offsite-Sicherungen werden standardmäßig 30 Tage aufbewahrt; gesetzlich oder vertraglich erforderliche abweichende Fristen sind vom Betreiber zu konfigurieren.

8. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Einwilligungen können mit Wirkung für die Zukunft widerrufen werden. Anfragen bitte an die oben genannte Kontaktadresse richten.

Es besteht außerdem ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständig: Noch nicht konfiguriert.

9. Sicherheit und automatisierte Entscheidungen

Wir setzen angemessene technische und organisatorische Maßnahmen ein, darunter HTTPS, Zugriffskontrollen, Passwort-Hashing, CSRF-Schutz, gehashte Sitzungstokens und Sicherheitsheader. Administratoren müssen zusätzlich einen zeitbasierten Einmalcode verwenden; das TOTP-Geheimnis wird verschlüsselt und Wiederherstellungscodes werden nur gehasht gespeichert. Bei Änderungen an Passwort, Login-E-Mail, Administratorrechten und wichtigen Sitzungseinstellungen wird eine Sicherheitsmail versendet. Eine automatisierte Entscheidungsfindung oder Profiling findet nicht statt.