Datenschutzerklärung

Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten bei Nutzung des BixBuz-Immobilienmarktplatzes (Konto, Anzeigen, Nachrichten, Abrechnung, Support).

Konto- und Authentifizierungsdaten: E-Mail, Auth-IDs, optionale Profilfelder, Kontotyp/Rollen.

Marktplatzdaten: Anzeigeninhalte, Bilder, Geokodierungseingaben, Favoriten, Nachrichten.

Abrechnungsdaten: Rechnungsprofil, Stripe-IDs, Invoice-Snapshots, Zahlungsstatus.

Technische/Sicherheitsdaten: Rate-Limit-Schlüssel, Hosting-Logs, essenzielle Cookies/Local Storage.

Analyse-/Messdaten (nur nach Einwilligung): Plausible, Google Analytics (GA4), A/B-Cookies.

Bereitstellung und Absicherung des Dienstes inkl. Google OAuth über Supabase Auth.

Marktplatzfunktionen: Speicherung, LLM-Übersetzungsservice, ExchangeRate API, OpenStreetMap Nominatim.

Zahlungen über Stripe und ggf. Számlázz.hu-Adapter.

Moderation und Sicherheit inkl. Soft-Delete.

Nutzungsmessung nur mit Analyse-Einwilligung.

Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Konto, Anzeigen, Nachrichten, bezahlte Funktionen.

Rechtliche Verpflichtung (lit. c): Aufbewahrung von Buchhaltungsunterlagen für die gesetzliche Frist.

Einwilligung (lit. a): nicht notwendige Analyse/Messung; Widerruf jederzeit in Cookie-Einstellungen.

Berechtigte Interessen (lit. f): Sicherheit, Missbrauchsprävention, Rate Limiting.

Hosting: Vercel. Datenbank/Auth/Storage: Supabase (eu-west-1 laut Projektdoku; Buckets listing-images, profile-avatars).

Zahlungen: Stripe. E-Mail: Resend. Identity: Google OAuth via Supabase.

Analyse (einwilligungsgebunden): Plausible, GA4. Weitere: ExchangeRate API, Nominatim, konfigurierbarer LLM-Endpunkt.

Rechnungsadapter: Számlázz.hu bei Ausführung außerhalb von dry-run.

Anbieteradressen werden hier nicht erfunden.

Die folgende Liste ergänzt die obige Zusammenfassung im Einzelnen (Anbieter - Zweck - Datenkategorien - Rolle - Speicherort):

Supabase Inc. - Datenbank (PostgreSQL), Authentifizierung (Auth) und Dateispeicher (Storage-Buckets listing-images und profile-avatars) - Konto- und Authentifizierungsdaten, Anzeigeninhalte, Nachrichten, Favoriten, gespeicherte Suchen, Rechnungsprofil - Auftragsverarbeiter - EU-Region: eu-west-1.

Vercel Inc. - Anwendungs- und Edge-Hosting, serverlose Funktionen, geplante Jobs - Anfrage-Metadaten und IP-Adresse in Server-Logs - Auftragsverarbeiter - Vercel-Region: dub1 (Europa).

Stripe (Stripe Inc. / Stripe Payments Europe) - Zahlungen, Checkout, Abonnements, Webhooks und Kundenportal - E-Mail-Adresse, Stripe-Kunden-/Abonnement-/Checkout-IDs, Betrag und Währung; Kartendaten verarbeitet ausschließlich Stripe - Auftragsverarbeiter - auf der Infrastruktur von Stripe.

Resend, Inc. - Transaktions-E-Mails (Registrierung, Anzeigenablauf, Kredite, Bestätigungen) - E-Mail-Adresse und Inhalt der Nachricht - Auftragsverarbeiter - auf der Infrastruktur von Resend.

Google Ireland Ltd. - Google-Anmeldung (OAuth) als Anbieter für Supabase Auth - E-Mail-Adresse, Google-Profilkennung, Name und Avatar - Auftragsverarbeiter - auf der Infrastruktur von Google.

Hostinger - Postfach-Hosting für support@bixbuz.eu und Nameserver - Inhalt und Empfänger der Support-Korrespondenz - Auftragsverarbeiter - auf der Infrastruktur von Hostinger.

Chatwoot (selbst gehosteter Live-Chat unter chat.bixbuz.co.uk) - Live-Chat und Kundensupport - Kennung, Name und E-Mail-Adresse des angemeldeten Nutzers sowie ein daraus abgeleiteter HMAC-Hash; für Gäste eine anonyme Kennung - eigenes, selbst betriebenes System von BixBuz - auf von BixBuz betriebener Infrastruktur; das Widget lädt erst nach Analyse-Einwilligung.

Számlázz.hu (KBOSS.hu Kft.) - Rechnungsstellung - Rechnungsprofil (Name, Anschrift, Steuernummer) und Kaufdaten - Auftragsverarbeiter - auf der Infrastruktur von Számlázz.hu.

Europäische Kommission - VIES-Prüfung der USt-IdNr. - USt-IdNr. des Käufers und VIES-Antwort (Gültigkeit, Name, Anschrift), die im Rechnungsprofil gespeichert wird - Auftragsverarbeiter - im System der Kommission.

OpenStreetMap - Nominatim-Geokodierung und Tile-Server - der in einer Anzeige angegebene Adress-/Ortsname und beim Laden der Karte die IP-Adresse des Besuchers - Auftragsverarbeiter - auf der Infrastruktur der OpenStreetMap Foundation.

ExchangeRate-API - Abfrage von Wechselkursen - Währungspaare (keine personenbezogenen Daten) - Auftragsverarbeiter - auf der Infrastruktur des Anbieters.

LLM-Übersetzungsdienst - Übersetzung von Anzeigen- und Nachrichtentexten - der zur Übersetzung übermittelte Text - Auftragsverarbeiter - auf der Infrastruktur des Anbieters.

Plausible Insights OU - Webanalyse - Seitenaufrufe und Ereignisse auf Domainebene; Plausible ist standardmäßig cookie-frei - Auftragsverarbeiter - auf der Infrastruktur von Plausible; lädt erst nach Analyse-Einwilligung.

Google Ireland Ltd. - Google Analytics 4 Messung und Conversion-Tracking - Ereignisse (Registrierung, Kauf, Funnel), Domain und GA-Cookies - Auftragsverarbeiter - auf der Infrastruktur von Google; lädt erst nach Analyse-Einwilligung.

Internationale Übermittlungen: laut Projektdokumentation speichern Supabase (eu-west-1) und Vercel (dub1) Daten innerhalb des EWR. Bei Anbietern außerhalb des EWR (insbesondere Stripe, Resend und einzelne Google-Dienste) stützt sich die Übermittlung auf die von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCC, Beschluss 2021/914) und/oder das EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist.

Die genauen Anschriften der Anbieter und die geltenden Auftragsverarbeitungsverträge nennen wir auf Anfrage unter support@bixbuz.eu.

Kontolöschung als Soft Delete (soft_deleted_at, Anonymisierung der Auth-E-Mail, Zugangssperre).

Anzeigenbilder/Marktplatzdaten können für Integrität/Moderation/Ansprüche verbleiben.

Sicherheits-/Moderationsdaten so lange wie nötig.

Buchhaltungsdaten für die gesetzliche Frist.

Bei Ablehnung der Analyse werden entsprechende Skripte nicht geladen und bx_ab_*-Cookies gelöscht.

Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität, Widerspruch und Widerruf der Analyse-Einwilligung nach DSGVO.

Konto löschen in den Einstellungen oder per support@bixbuz.eu.

Beschwerde bei einer Aufsichtsbehörde; für den in Ungarn niedergelassenen Verantwortlichen primär NAIH (Kontaktdaten veröffentlicht NAIH).

Einreichung eines Antrags: per E-Mail an support@bixbuz.eu oder über die Kontoeinstellungen für Berichtigung bzw. Kontolöschung.

Antwortfrist: unverzüglich, spätestens jedoch innerhalb von 1 Monat nach Eingang des Antrags. Bei komplexen oder mehreren Anträgen kann die Frist um weitere 2 Monate verlängert werden; darüber informieren wir innerhalb von 1 Monat nach Eingang.

Ihren Antrag beantwortet im Namen des Verantwortlichen die Datenschutz-Kontaktstelle unter support@bixbuz.eu.

Identitätsprüfung: vor der Bearbeitung prüfen wir, ob der Antrag von der im Konto registrierten E-Mail-Adresse stammt; ist das nicht feststellbar, fordern wir eine zusätzliche Bestätigung an und setzen die Bearbeitung bis dahin aus.

Anträge sind kostenlos. Bei wiederholten oder offensichtlich unbegründeten Anträgen können wir nach Art. 12 Abs. 5 DSGVO ein angemessenes Entgelt verlangen oder den Antrag begründet ablehnen.

Portabilität: auf Antrag stellen wir die Sie betreffenden Daten in einem maschinenlesbaren Format (zum Beispiel JSON oder CSV) bereit. Derzeit erfolgt das manuell per E-Mail an support@bixbuz.eu.

Datenschutzverletzung: führt die Verarbeitung zu einer Verletzung Ihrer Rechte, melden wir diese innerhalb von 72 Stunden nach Kenntnisnahme der Aufsichtsbehörde und informieren Sie unverzüglich, wenn ein hohes Risiko wahrscheinlich ist.

Aufsichtsbehörde: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), 1055 Budapest, Falk Miksa utca 9-11., Ungarn; E-Mail: ugyfelszolgalat@naih.hu; Web: naih.hu.

Bei der Registrierung, bei der Google-Anmeldung, beim Versenden von Nachrichten und beim Aufgabe einer Anzeige erfassen wir die IP-Adresse auf Grundlage unseres berechtigten Interesses, um Missbrauch und Betrug zu verhindern und behördliche Auskunftsersuchen zu erfüllen, und speichern sie höchstens 90 Tage. Für Nachrichten von Konten, die jünger als 72 Stunden sind, speichern wir zusätzlich einen schlüsselbasierten, unumkehrbaren HMAC-Hash der IP-Adresse für die langfristige Missbrauchserkennung; daraus lässt sich die rohe IP nicht rekonstruieren.

Bei einem Auskunftsersuchen einer Behörde oder der Polizei geben wir die Daten gesetzlich vorgeschrieben bekannt und löschen die betroffenen Datensätze bis zur Beantwortung nicht.