RECHTLICHES

Datenschutz

Fassung 3.0 vom 4. September 2026

Kurz vorweg: Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein, binden keine fremden Skripte ein und hosten die Schrift selbst. Es gibt deshalb kein Einwilligungsbanner — es gäbe nichts, worin man einwilligen müsste. Und wir treffen keine automatisierten Entscheidungen über dich: unsere Bewertungen gelten Immobilien, nicht Menschen.

1. Verantwortlicher

Anshel Nohl
Einzelunternehmer
Franz-Antoni-Straße 30
68789 St. Leon Rot
Deutschland
E-Mail: support@scanthatflat.com

Ein Datenschutzbeauftragter ist nicht bestellt: die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor (keine umfangreiche Verarbeitung besonderer Kategorien, keine Kerntätigkeit der systematischen Überwachung, weniger als 20 ständig mit Verarbeitung befasste Personen).

2. Aufruf der Website

Die Website wird von Cloudflare, Inc. über deren Workers-Plattform ausgeliefert. Dabei fallen technisch erforderliche Verbindungsdaten an: IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Adresse, übertragene Datenmenge, Browsertyp und Betriebssystem. Zweck ist die sichere und stabile Auslieferung sowie die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der störungsfreie Betrieb. Cloudflare verarbeitet als Auftragsverarbeiter für uns und wählt dafür das jeweils nächstgelegene Rechenzentrum seines weltweiten Netzes. Wir selbst führen keine Protokolle über Cloudflares Netzbetrieb hinaus.

3. Lokale Speicherung im Browser

Wir setzen keine Cookies zu Analyse- oder Werbezwecken. Im lokalen Speicher deines Browsers liegen ausschließlich:

• scanthatflat-language und scanthatflat-mode — deine gewählte Sprache und der Hell-/Dunkelmodus.
• Ein Sitzungsmerkmal deines Kontos (Zugriffs- und Erneuerungstoken), sofern du angemeldet bist. Es wird von Supabase gesetzt, damit du nicht bei jedem Seitenaufruf neu anmelden musst; das Zugriffstoken wird stündlich erneuert.

Alle drei sind für die von dir gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG), eine Einwilligung ist dafür nicht nötig. Du kannst sie jederzeit über die Einstellungen deines Browsers löschen; du wirst dann abgemeldet und siehst die Standardsprache.

4. Konto und Anmeldung

Für Registrierung, Anmeldung, Sitzungsverwaltung und Passwort-Wiederherstellung setzen wir Supabase (Supabase, Inc.) ein; die Datenbank liegt in EU, Irland (AWS eu-west-1). Verarbeitet werden E-Mail-Adresse, ein Passwort-Hash (das Passwort selbst wird nicht gespeichert), Sitzungskennungen sowie Zeitpunkte von Registrierung und Anmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Alternativ kannst du dich mit einem Google-Konto anmelden. Dabei wirst du zu Google weitergeleitet; Google übermittelt uns anschließend deine E-Mail-Adresse, deinen Namen und eine Kennung. Für den Anmeldevorgang selbst ist Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) eigener Verantwortlicher; Google erfährt dadurch, dass du unseren Dienst nutzt, und verarbeitet nach seiner Datenschutzerklärung. Rechtsgrundlage auf unserer Seite ist Art. 6 Abs. 1 lit. b DSGVO; die Nutzung dieses Weges ist freiwillig — die Anmeldung per E-Mail und Passwort steht gleichwertig zur Verfügung.

5. Persönliche Annahmen

Wenn du sie im Konto speicherst, synchronisieren wir deine Rechenannahmen: Eigenkapital, Sollzinssatz, Tilgungssatz, persönlicher Steuersatz und Mietausfallwagnis. Das sind Finanzdaten. Sie dienen ausschließlich dazu, dir dieselbe Rechnung auf mehreren Geräten zu zeigen, werden nicht ausgewertet und nicht weitergegeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst sie im Konto jederzeit ändern; mit der Löschung des Kontos verschwinden sie.

6. Nutzung der Browser-Erweiterung

Die Kernrechnung — Finanzierung, Rendite, Cashflow — läuft vollständig in deinem Browser. Kaufpreis, Fläche, Zimmer und Baujahr des Inserats verlassen ihn nicht. Für die Standort- und Mikrolagebewertung sendet die Erweiterung an unser Backend: eine Kennung des Inserats, Ort, Postleitzahl, Region und Stadtteil, die im Inserat genannte Adresse sowie deren Koordinaten. Bei der Adresssuche gehen die eingetippten Suchbegriffe zur Vervollständigung an das Backend; sie werden nicht gespeichert.

Nicht übertragen werden: dein Browserverlauf, Inhalte anderer Seiten, geöffnete Tabs oder Zwischenablage. Die Erweiterung hat technisch nur Zugriff auf die im Chrome Web Store ausgewiesenen Immobilienportale (host_permissions im Manifest) — auf keiner anderen Seite wird sie aktiv.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: die Bewertung ist die Leistung, die du mit dem Aufruf anforderst.

7. Speicherung im Backend

Unser Backend läuft bei Amazon Web Services in EU, Frankfurt (AWS eu-central-1). Dort speichern wir:

• einen Tageszähler je Nutzerkennung (Anzahl der Abrufe) zur Durchsetzung der Tarifgrenzen, zwei Tage;
• je Nutzerkennung einen pseudonymen Vermerk je abgerufenem Inserat, 48 Stunden lang — damit derselbe Abruf dir nicht zweimal berechnet wird. Gespeichert wird nicht die Inseratskennung oder Adresse, sondern ein mit einem geheimen Schlüssel gebildeter Prüfwert (Blake2s); die Koordinaten werden vorher auf etwa zehn Meter gerundet. Aus dem Vermerk lässt sich nicht ablesen, welche Wohnung du angesehen hast — auch von uns nicht;
• deinen Zustimmungsnachweis zum Leistungsbeginn vor Ablauf der Widerrufsfrist, mit Zeitpunkt, Fassung der AGB und gewähltem Tarif (§ 356 Abs. 5 Nr. 2, § 357a Abs. 2 BGB), drei Jahre;
• eingegangene Kündigungen und Widerrufe mit Name, E-Mail-Adresse, Vertragsbezeichnung, Zeitpunkt des Eingangs und — bei Widerrufen — den erstatteten Beträgen, drei Jahre (§ 312k Abs. 4, § 356a Abs. 4 BGB); dazu die Einmal-Links aus den Bestätigungsmails, längstens 14 Tage.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Nachweise zusätzlich Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht zur Bestätigung und Nachweisbarkeit).

8. Tarife und Zahlung

Zahlungen wickelt Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland; Konzernmutter Stripe, Inc., USA). An Stripe gehen deine E-Mail-Adresse, der gewählte Tarif und — beim Bezahlvorgang direkt von dir an Stripe — dein Zahlungsmittel. Zurück erhalten wir nur eine Kunden- und eine Abonnementkennung, den Status des Abonnements und die Rechnungssumme; Zahlungsdaten wie Kartennummern sehen wir nie und speichern sie nicht.

Stripe hat zwei Rollen: für die Abwicklung unseres Abonnements ist Stripe Auftragsverarbeiter nach Art. 28 DSGVO; für Betrugsprävention, Geldwäscheprüfung und eigene gesetzliche Aufbewahrungspflichten ist Stripe eigener Verantwortlicher und verarbeitet nach seiner Datenschutzerklärung. Rechtsgrundlage auf unserer Seite ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung der Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO (§ 147 AO, § 257 HGB).

9. E-Mails

Wir versenden über Resend (Resend, Inc., USA; Versand aus dessen EU-Region). Verschickt werden nur Nachrichten, die zum Vertrag gehören: Bestätigung der Adresse und Passwort-Wiederherstellung (ausgelöst durch Supabase), Willkommensnachricht, Hinweis vor Ablauf des Testzugangs, Eingangsbestätigung und Ausführung einer Kündigung oder eines Widerrufs, Bestätigung der Kontolöschung. Zahlungsbezogene Nachrichten (Quittung, fehlgeschlagene Zahlung, Erinnerung vor der Verlängerung eines Jahresabos) verschickt Stripe. Werbung senden wir nicht, solange du sie nicht ausdrücklich angefordert hast. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Pflichtbestätigungen Art. 6 Abs. 1 lit. c DSGVO.

10. Speicherfristen

11. Empfänger, Auftragsverarbeiter und Drittland

Mit allen genannten Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Soweit Daten in die USA gelangen — bei Cloudflare im Netzbetrieb, bei den übrigen für Support und Betrieb durch die Muttergesellschaft —, stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO; alle genannten US-Unternehmen sind dort zertifiziert) und zusätzlich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die unabhängig vom Bestand des Angemessenheitsbeschlusses gelten. Zur Einordnung: Der Beschluss wurde vor dem Gericht der Europäischen Union angegriffen und bestätigt (T-553/23, Latombe, Urteil vom 3. September 2025); das Rechtsmittel beim Europäischen Gerichtshof ist anhängig. Wir beobachten das und passen die Grundlage an, sollte sie entfallen.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage eines berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f — hier: die Verbindungsdaten beim Aufruf der Website), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen.

Zwei Rechte kannst du ohne Umweg selbst ausüben: im Konto findest du „Meine Daten herunterladen“ (Auskunft und Übertragbarkeit in einem maschinenlesbaren Format) und „Konto löschen“. Für alles Weitere genügt eine E-Mail an support@scanthatflat.com; wir antworten binnen eines Monats (Art. 12 Abs. 3 DSGVO).

Wir treffen keine automatisierten Entscheidungen im Einzelfall und kein Profiling im Sinne von Art. 22 DSGVO. Die Bewertungen, die ScanThatFlat berechnet, beziehen sich auf Immobilien und Standorte — nicht auf dich.

Unabhängig davon kannst du dich nach Art. 77 DSGVO bei einer Datenschutz-Aufsichtsbehörde beschweren — bei der Behörde deines Aufenthaltsorts, deines Arbeitsplatzes oder unseres Sitzes. Eine Liste aller Aufsichtsbehörden führt der Bundesbeauftragte für den Datenschutz.