Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Kolibri eCommerce GbR
Bronzeweg 10
48282 Emsdetten
Deutschland
E-Mail: info@nebify.app

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt ausschließlich nach Maßgabe der DSGVO, des BDSG und des TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz).

3. Art der verarbeiteten Daten

Wir verarbeiten folgende Kategorien personenbezogener Daten:

Bestandsdaten: Name, E-Mail-Adresse (bei Registrierung)
Inhaltsdaten: Hochgeladene Dokumente (Nebenkostenabrechnungen, Mietverträge, ergänzende Unterlagen), Angaben zu Wohnungen (Adresse, Fläche, Personenzahl)
Angaben Dritter: Name und Anschrift von Vermietern oder Hausverwaltungen, soweit sie in hochgeladenen Unterlagen enthalten sind oder du sie uns für die Kommunikation mit deinem Vermieter nennst (z. B. Ansprechpartner, E-Mail, Telefon)
Kommunikationsdaten: Nachrichten über das Kontaktformular, E-Mail-Korrespondenz
Zahlungsdaten: Zahlungsinformationen werden ausschließlich durch unseren Zahlungsdienstleister Stripe verarbeitet; wir speichern keine Kreditkarten- oder Kontodaten
Nutzungsdaten: IP-Adresse, Browsertyp, Betriebssystem, besuchte Seiten, Zeitpunkt des Zugriffs
Protokolldaten: Server-Logfiles mit IP-Adresse, Datum, Uhrzeit und aufgerufener URL

4. Zweck der Datenverarbeitung

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken:

Bereitstellung und Durchführung unserer Dienstleistung zur digitalen Prüfung von Nebenkostenabrechnungen
KI-gestützte Analyse hochgeladener Dokumente zur Erkennung von Fehlern und Berechnung von Sparpotenzial
Erstellung von Prüfberichten, Widerspruchsschreiben und Vergleichsanalysen
Kommunikation mit Nutzern (Kontaktanfragen, Support)
Abwicklung von Zahlungen für entgeltliche Leistungen
Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten
Gewährleistung der Sicherheit und Stabilität unserer Systeme

5. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage folgender Rechtsgrundlagen:

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Soweit du in die Verarbeitung eingewilligt hast, z.B. beim Versand von Newslettern oder der Nutzung optionaler Cookies
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Verarbeitung zur Durchführung unserer Dienstleistung (Registrierung, Upload, Analyse, Prüfbericht, Zahlung)
Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Verarbeitung zur Erfüllung steuerlicher und handelsrechtlicher Aufbewahrungspflichten
Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Verarbeitung zur Systemsicherheit, Missbrauchsprävention und Verbesserung unseres Dienstes sowie Verarbeitung von Angaben Dritter (z. B. Vermieter), die in hochgeladenen Dokumenten enthalten sind

6. Auftragsverarbeiter und Datenübermittlung

Zur Erbringung unserer Leistungen setzen wir folgende Dienstleister ein, mit denen — soweit erforderlich — Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen wurden:

Supabase Inc. (USA, EU-Serverstandort) — Datenbank, Authentifizierung und Dateispeicherung. Daten werden auf EU-Servern gespeichert. Standardvertragsklauseln (SCCs) liegen vor.
Anthropic PBC (USA) — KI-gestützte Analyse hochgeladener Dokumente mittels Claude. Hochgeladene Dokumente werden als Bilddaten an die Anthropic-API übermittelt, dort verarbeitet und nicht von Anthropic zum Training von KI-Modellen verwendet. Standardvertragsklauseln (SCCs) liegen vor.
Vercel Inc. (USA, Edge-Netzwerk mit EU-Standorten) — Hosting und Bereitstellung der Webanwendung. Standardvertragsklauseln (SCCs) liegen vor.
Resend Inc. (USA) — Versand transaktionaler E-Mails (Bestellbestätigungen, Prüfberichte, Passwort-Reset). Es werden E-Mail-Adresse und Name des Empfängers übermittelt. Resend verarbeitet die Daten ausschließlich zum Zweck der E-Mail-Zustellung. Standardvertragsklauseln (SCCs) liegen vor.
Stripe Inc. (354 Oyster Point Blvd, South San Francisco, CA 94080, USA; EU-Niederlassung in Irland) — Zahlungsabwicklung. Zur Durchführung der Zahlung werden Sie auf die gesicherte Checkout-Seite von Stripe weitergeleitet. Stripe verarbeitet dabei Zahlungsdaten (z.B. Kreditkartennummer, Bankverbindung, Apple Pay/Google Pay Token) als eigenständiger Verantwortlicher gemäß eigener Datenschutzbestimmungen. Kreditkarten- und Kontodaten werden ausschließlich von Stripe verarbeitet und zu keinem Zeitpunkt an uns übermittelt oder auf unseren Servern gespeichert. Wir erhalten von Stripe lediglich eine Bestätigung über den Zahlungserfolg sowie eine Transaktions-ID.

Eine Übermittlung in Drittländer (insb. USA) erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und — soweit zutreffend — des EU-US Data Privacy Framework.

7. KI-gestützte Dokumentenanalyse

Kernbestandteil unserer Leistung ist die automatisierte Analyse von Nebenkostenabrechnungen und Mietverträgen mittels Künstlicher Intelligenz (Anthropic Claude). Dabei werden hochgeladene Dokumente als Bilddaten an die API von Anthropic übermittelt und dort analysiert.

Die Ergebnisse der Analyse (erkannte Kostenpositionen, Fehler, Sparpotenzial) werden in unserer Datenbank gespeichert und dir über die Webseite bereitgestellt. Anthropic speichert die übermittelten Daten nach eigenen Angaben nur vorübergehend und nutzt sie nicht zum Training von KI-Modellen.

Die KI-Analyse ist eine Vorarbeit: Jeder Prüfbericht wird vor der Freigabe von unserem Team gesichtet. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. E-Mail-Versand

Wir versenden transaktionale E-Mails über den Dienst Resend Inc. (USA). Dabei werden dein Name und deine E-Mail-Adresse an Resend übermittelt. Folgende E-Mails werden versendet:

Ergebnis des kostenlosen Vorab-Checks sowie Hinweise zu fehlenden Unterlagen
Bestellbestätigung nach Kauf einer nebify Prüfung
Benachrichtigung bei Fertigstellung des Prüfberichts
Passwort-Zurücksetzen (über Supabase Auth mit Resend SMTP)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Nach einem kostenlosen Vorab-Check oder einer Registrierung erhältst du außerdem bis zu vier Hinweis-E-Mails zu deinem Prüfergebnis und zu Fristen (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Information über die begonnene Prüfung). Diesen Hinweisen kannst du jederzeit widersprechen – über den Abmeldelink in jeder dieser E-Mails oder formlos an info@nebify.app. Darüber hinaus versenden wir keine Werbe-E-Mails und geben deine Adresse nicht an Dritte weiter.

9. Cookies und Tracking

Unsere Website verwendet technisch notwendige Cookies, die für den Betrieb der Seite erforderlich sind (insbesondere Session-Cookies für die Authentifizierung). Diese Cookies werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) gesetzt und benötigen keine Einwilligung.

Darüber hinaus setzen wir — ausschließlich mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) — Dienste zur Reichweitenmessung und Werbeerfolgsmessung ein: Google Tag Manager und Google Analytics sowie Google Ads (Google Ireland Ltd.), Meta Pixel (Meta Platforms Ireland Ltd.) und PostHog (PostHog Inc., Verarbeitung auf EU-Servern). Dabei können Daten in Drittländer, insbesondere die USA, übertragen werden.

Beim ersten Besuch fragen wir über einen Cookie-Banner nach deiner Entscheidung. Ohne Einwilligung werden diese Dienste nicht geladen. Du kannst deine Entscheidung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen — über den Link „Cookie-Einstellungen“ im Seitenfuß oder direkt hier: .

Zur Messung der Seitenleistung nutzen wir außerdem Vercel Web Analytics und Vercel Speed Insights (Vercel Inc.). Diese Dienste setzen keine Cookies und speichern keine geräteübergreifenden Kennungen. Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen und schnellen Website (Art. 6 Abs. 1 lit. f DSGVO).

Auf der Startseite binden wir ein Bewertungs-Widget von Trustpilot A/S (Kopenhagen, Dänemark) ein. Beim Laden wird deine IP-Adresse an Trustpilot übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse daran, echte Kundenbewertungen zu sammeln (Art. 6 Abs. 1 lit. f DSGVO).

Schriftarten laden wir von unseren eigenen Servern; eine Verbindung zu Google Fonts findet nicht statt.

10. Kontaktformular und Kommunikation

Wenn du uns über das Kontaktformular auf der Website kontaktierst, werden dein Name, deine E-Mail-Adresse und deine Nachricht gespeichert, um deine Anfrage zu bearbeiten. Sofern du mit einer E-Mail-Adresse schreibst, die einem registrierten Konto zugeordnet ist, wird die Nachricht automatisch mit deinem Kundenprofil verknüpft. Unser E-Mail-Postfach wird bei Google (Google Workspace, Google Ireland Ltd.) gehostet; E-Mails an uns werden dort gespeichert und verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen).

11. Speicherdauer

Personenbezogene Daten werden gelöscht oder gesperrt, sobald der Zweck der Speicherung entfällt:

Kontodaten und hochgeladene Dokumente: Werden gespeichert, solange dein Konto besteht. Bei Kontolöschung werden alle Daten einschließlich hochgeladener Dokumente unwiderruflich gelöscht.
Prüfberichte und Analyseergebnisse: Werden mit dem Konto gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
Rechnungsdaten: Werden gemäß steuerrechtlichen Aufbewahrungspflichten für 10 Jahre gespeichert (§ 147 AO, § 257 HGB).
Kontaktanfragen: Werden nach Erledigung der Anfrage gelöscht, spätestens nach 12 Monaten, sofern keine weitergehenden Aufbewahrungspflichten bestehen.
Server-Logfiles: Werden nach spätestens 30 Tagen automatisch gelöscht.

12. Deine Rechte

Du hast gemäß DSGVO folgende Rechte bezüglich deiner personenbezogenen Daten:

Auskunftsrecht (Art. 15 DSGVO): Du kannst Auskunft über deine bei uns gespeicherten Daten verlangen.
Berichtigungsrecht (Art. 16 DSGVO): Du kannst die Berichtigung unrichtiger Daten verlangen.
Löschungsrecht (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Dein Konto und alle zugehörigen Daten kannst du jederzeit in den Einstellungen selbst löschen.
Einschränkung der Verarbeitung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung deiner Daten verlangen.
Datenübertragbarkeit (Art. 20 DSGVO): Du kannst verlangen, deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
Widerspruchsrecht (Art. 21 DSGVO): Du kannst der Verarbeitung deiner Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO jederzeit widersprechen.

Zur Ausübung deiner Rechte wende dich bitte an: info@nebify.app

13. Widerruf von Einwilligungen

Soweit die Verarbeitung auf deiner Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird. Den Widerruf kannst du per E-Mail an info@nebify.app richten.

14. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
www.ldi.nrw.de

15. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um deine Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder den Zugriff unberechtigter Personen zu schützen. Unsere Sicherheitsmaßnahmen umfassen unter anderem:

Verschlüsselte Datenübertragung (TLS/SSL)
Row Level Security (RLS) in der Datenbank — Nutzer können nur auf eigene Daten zugreifen
Signierte URLs für Dokumentenzugriff mit zeitlicher Befristung
Authentifizierung und Autorisierung über Supabase Auth
Regelmäßige Überprüfung der Sicherheitsmaßnahmen

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unseres Dienstes oder der Datenverarbeitung anzupassen. Die aktuelle Fassung findest du stets unter nebify.de/datenschutz.