← Kalkhof

Datenschutzerklärung

Stand: 29.05.2026

§ 1 Verantwortlicher

André Buß
Sieversstr. 24
51103 Köln
E-Mail: kontakt@kalkhof.koeln

§ 2 Datenschutzbeauftragter

Es besteht keine Pflicht zur Bestellung eines Datenschutzbeauftragten gem. Art. 37 DSGVO. Anfragen zur Verarbeitung Deiner Daten richte bitte direkt an die oben genannte Adresse.

§ 3 Verarbeitete Daten und Zwecke

Konto und Anmeldung

Wir verarbeiten Deine E-Mail-Adresse, einen selbst gewählten Anzeigenamen, optional einen bürgerlichen Namen, optional ein Profilbild, die Zuordnung zu Deinem Treppenhaus, Deine Sprach- und Theme-Präferenz sowie technische Zeitstempel (Konto-Erstellung, letzte Aktivität). Wenn Du die persönliche Nebenkosten-Schätzung nutzt, kommen optional Deine Wohnfläche (m²), Heizfläche (m²) und Haushaltsgröße hinzu. Den bürgerlichen Namen verwenden wir nie automatisch in der E-Mail an den Vermieter oder in Exporten, die andere Mietende betreffen — er erscheint nur in Deinen eigenen PDF-Exporten und auf Teilen-Seiten, die Du selbst weitergibst.

Zweck: Bereitstellung des Accounts, Anmeldung per Einmal-Code (OTP), Anzeige Deines Anzeigenamens neben Deinen Beiträgen für andere Mietende.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Hausgemeinschaft an interner Kommunikation), Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Plattform).

Sitzungen und Anmelde-Token

Nach erfolgreicher Anmeldung wird ein Sitzungs-Cookie gesetzt und eine Sitzungs-Zeile in unserer Datenbank angelegt (Gültigkeit: 30 Tage seit Deiner letzten Aktivität). Die Anmeldung selbst läuft über sechsstellige Einmal-Codes (OTP), die wir Dir per E-Mail zuschicken und die nach 10 Minuten verfallen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Meldungen, Kommentare und Bestätigungen

Wir speichern den Titel, die Beschreibung, die Treppenhauszuordnung, Zeitstempel und Statusübergänge Deiner Meldungen. Beiträge anderer Mietender (+1, Kommentare, „Erledigt markiert") werden mit Deinem Anzeigenamen verknüpft.

Zweck: Dokumentation von Mängeln im Gebäude, Koordination zwischen Mietenden, Mitteilung an den Vermieter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Fotos

Hochgeladene JPEG-Dateien werden inklusive der ausgewählten EXIF-Felder Aufnahmezeitpunkt (DateTimeOriginal) und GPS-Koordinaten gespeichert sowie eine SHA-256-Prüfsumme zur Beweissicherung gebildet. Andere EXIF-Felder (Gerätemodell, Software, Seriennummern) werden beim Upload entfernt.

Zweck: Beweisdokumentation für Mängelmeldungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Deine Verantwortung beim Hochladen: Achte darauf, dass keine identifizierbaren dritten Personen oder fremden Kennzeichen abgebildet sind, deren Einwilligung Du nicht eingeholt hast.

Bei Löschung Deines Accounts (Art. 17 DSGVO) werden alle von Dir hochgeladenen Fotos unwiderruflich entfernt. Siehe § 5.

Vermieter-Benachrichtigung

Beim Erstellen einer Meldung fragt Dich ein Dialog, ob die GAG per E-Mail informiert werden soll. Nur wenn Du das ausdrücklich wählst, wird eine Nachricht gesendet. Es gibt keine automatischen Folge-E-Mails. Die Benachrichtigung enthält Referenznummer, Titel, Treppe und Status der Meldung — nicht den Namen der meldenden Person.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Wahrung mietrechtlicher Pflichten).

Forum, Beiträge und Reaktionen

Im Forum kannst Du Threads anlegen, antworten, Fotos anhängen und mit Emoji-Reaktionen reagieren. Wir speichern Deine Beiträge zusammen mit Deinem Anzeigenamen, Deinem Treppenhaus, Zeitstempel und ggf. angehängten Fotos. Eigene Beiträge kannst Du nachträglich bearbeiten oder löschen; nach einer Bearbeitung bleibt ein „bearbeitet"-Hinweis sichtbar.

Zweck: hausgemeinschaftliche Kommunikation jenseits konkreter Mängelmeldungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Erwähnungen (@-Suche)

Wenn Du in einem Forums-Beitrag das Zeichen @ tippst und weitertippst, fragt Dein Browser unseren Server nach passenden Anzeigenamen. Zurück kommen bis zu 8 Treffer mit Anzeigename, Treppenhaus und ggf. Profilbild. Erwähnte Personen werden in der jeweiligen Sprache informiert und dem Thread automatisch hinzugefügt. Bürgerliche Namen tauchen in dieser Suche nicht auf; gelöschte und gesperrte Konten ebenfalls nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Push-Benachrichtigungen

Du kannst Push-Benachrichtigungen für neue Antworten in beobachteten Threads und für @-Erwähnungen aktivieren. Dazu speichern wir pro Gerät eine eindeutige Endpoint-URL Deines Browser-Push-Dienstes, die zugehörigen Verschlüsselungs-Schlüssel sowie einen User-Agent-Hinweis (zum Wiedererkennen in „Profil → Benachrichtigungen“). Die Endpoint-URL ist personenbezogen — über sie kann der Push-Dienst Dein Gerät erreichen. Beim Versenden einer Benachrichtigung übermitteln wir eine verschlüsselte Nutzlast an diese Endpoint-URL; der Push-Dienst stellt sie auf Deinem Gerät zu, ohne den Inhalt lesen zu können. Die Push-Dienstanbieter sind in § 4 als Empfänger genannt.

Zweck: zeitnahe Benachrichtigung über Forums-Aktivität, der Du folgst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — die Erlaubnis im Browser ist der Einwilligungsschritt; Du kannst sie jederzeit in den Browser-Einstellungen oder unter „Profil → Benachrichtigungen“ zurücknehmen).

Server-Logs

Beim Aufruf werden technische Server-Logs erzeugt: IP-Adresse, Zeitstempel, User-Agent, aufgerufener Pfad. Aufbewahrungsdauer: 30 Tage. Zusätzlich meldet Dein Browser automatisch Content-Security-Policy-Verstöße an /api/csp-report (welche Direktive welche URL blockiert hat, plus IP und User-Agent). Diese Meldungen werden ebenfalls 30 Tage gespeichert; Zweck ist das frühzeitige Erkennen von Browser-Skript-Regressionen, keine Profilbildung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit, Fehlerdiagnose).

§ 4 Empfänger und Auftragsverarbeiter

Resend (Resend, Inc., USA) — Versand transaktionaler E-Mails (Einmal-Code für die Anmeldung, Vermieter-Benachrichtigung). Drittlandtransfer in die USA; Rechtsgrundlage: Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO. Mit Resend besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO.

Push-Dienste der Browser-Hersteller — Sobald Du Push-Benachrichtigungen im Browser erlaubst, registriert Dein Browser Dein Gerät beim jeweiligen Push-Dienst: Firebase Cloud Messaging (Google LLC, USA) für Chrome / Chromium / Android, autopush (Mozilla Foundation, USA) für Firefox, Apple Push Notification Service (Apple Inc., USA) für iOS-Safari. Wir senden verschlüsselte Nutzlasten an die uns von Deinem Browser ausgehändigte Endpoint-URL; der Push-Dienst stellt sie auf Deinem Gerät zu. Rechtsgrundlage für die Übermittlung in die USA: Art. 49 Abs. 1 lit. a DSGVO (Deine ausdrückliche Einwilligung über die Browser-Berechtigung). Auf den Inhalt der Nutzlasten haben die Push-Dienste keinen Zugriff — die Verschlüsselung erfolgt mit den Schlüsseln, die Dein Gerät bei der Anmeldung erzeugt.

Sonstige Verarbeitung erfolgt auf eigener Infrastruktur (Server in Köln). Es findet keine Übermittlung an Werbeplattformen, Analyse- oder Tracking-Anbieter statt. Live-Abfahrten der Verkehrsbetriebe (KVB-Auskunft) werden serverseitig abgerufen — übermittelt werden nur eine fest hinterlegte Haltestellen-ID und ein Server-User-Agent, keine personenbezogenen Daten unserer Mietenden.

§ 5 Speicherdauer

  • Konto-Daten: solange Dein Account besteht.
  • Sitzungen: 30 Tage seit letzter Aktivität.
  • Einmal-Codes (OTP) zur Anmeldung: 10 Minuten.
  • Push-Anmeldungen: solange das Gerät registriert ist. Du kannst einzelne Geräte unter „Profil → Benachrichtigungen“ entfernen; bei Account-Löschung (Art. 17 DSGVO) werden alle Anmeldungen mit gelöscht.
  • Aufrufe geteilter Links: pro Aufruf protokollieren wir Zeitpunkt, gekürzte IP-Adresse (nur /16-Präfix, z. B. „83.14.0.0") und User-Agent. Aufbewahrung: solange der zugehörige Teilen-Link aktiv ist; bei Widerruf des Links werden die Aufrufe mit gelöscht.
  • Administrations-Protokoll: Eingriffe mit Admin-Rechten (z. B. Foto entfernen, Konto löschen oder anonymisieren, Rolle ändern) werden unbefristet protokolliert. Zum Zeitpunkt der Aktion wird die E-Mail-Adresse der durchführenden Admin-Person als Schnappschuss gespeichert. Löscht die handelnde Admin-Person später ihr eigenes Konto gem. Art. 17 DSGVO, wird dieser E-Mail-Schnappschuss in allen vergangenen Audit-Einträgen entfernt; Aktionstyp, Ziel-Objekt, Begleitdaten und Zeitstempel bleiben erhalten, sodass die Moderations-Historie strukturell vollständig bleibt — was übrigbleibt ist „eine inzwischen gelöschte Admin-Person hat am Datum X die Aktion Y am Objekt Z durchgeführt“.
  • Meldungen und Beiträge: unbefristet zur Beweissicherung im Mietverhältnis. Bei Account-Löschung (Art. 17 DSGVO) werden Deine personenbezogenen Daten (E-Mail, Anzeigename, ggf. bürgerlicher Name) gelöscht und Deine hochgeladenen Fotos unwiderruflich entfernt. Deine Meldungen, Kommentare und Bestätigungen bleiben gem. Art. 17 Abs. 3 lit. e DSGVO als anonymisierte Beiträge („[entfernt]") erhalten — ohne sie ginge die Dokumentation gegenüber dem Vermieter, an der andere Mieterinnen und Mieter mitgewirkt haben, verloren. Sämtliche internen Verknüpfungen, die diese anonymisierten Beiträge bisher Deinem Konto zugeordnet haben (Forum, Meldungen, Auflösungs-Notizen, Erwähnungen), werden bei der Löschung mit entfernt — die verbleibenden „[entfernt]“-Beiträge sind also auch über die Datenbank-Kennung nicht mehr zu einem gemeinsamen Profil zurückverkettbar.
  • Bereits erstellte PDF-Exporte und an Dritte weitergegebene Teilen-Links enthalten den Inhaltsstand zum Zeitpunkt der Erstellung. Nachträgliche Löschanträge (Art. 17 DSGVO) wirken auf die in der App gespeicherten Daten und auf alle künftigen Aufrufe eines noch nicht widerrufenen Teilen-Links — nicht jedoch auf bereits heruntergeladene PDF-Dateien oder von Empfängern angefertigte Kopien. Aktive Teilen-Links kannst Du selbst widerrufen unter /shares.
  • Einzelne Fotos kannst Du jederzeit gezielt löschen lassen (Kontakt siehe § 9).
  • Server-Logs: 30 Tage.

§ 6 Deine Rechte

Dir stehen die folgenden Rechte zu:

  • Auskunft (Art. 15 DSGVO): Über die Profil-Seite oder als JSON-Export unter /api/me/export.
  • Berichtigung (Art. 16 DSGVO): Über die Profil-Seite (Anzeigename, optionaler bürgerlicher Name, Sprache, Theme).
  • Löschung (Art. 17 DSGVO): Im Profil unter „Konto löschen“.
  • Einschränkung (Art. 18 DSGVO): Per E-Mail an kontakt@kalkhof.koeln.
  • Datenübertragbarkeit (Art. 20 DSGVO): JSON-Export wie unter Auskunft.
  • Widerspruch (Art. 21 DSGVO): Per E-Mail an kontakt@kalkhof.koeln.

Beschwerderecht (Art. 77 DSGVO):
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2-4, 40213 Düsseldorf
E-Mail: poststelle@ldi.nrw.de

§ 7 Automatisierte Entscheidungen

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.

§ 8 Cookies und lokale Speicherung

Diese Anwendung verwendet ausschließlich technisch notwendige Cookies und lokale Speicherung:

  • Sitzungs-Cookie (Anmeldung, Better Auth)
  • Sprach-Cookie (Locale, next-intl)
  • localStorage für Theme-Präferenz (Hell/Dunkel/System, next-themes)
  • localStorage „kalkhof.pwa-install-nudge-shown" — Zeitstempel der letzten Anzeige des Hinweises „App installieren", damit dieser Hinweis nicht wiederholt erscheint
  • localStorage „kalkhof.push-banner-dismissed" — Marker, dass Du den Push-Erlauben-Banner geschlossen hast
  • localStorage „kalkhof.nebenkosten.matrix.nextYearPercent" — Deine zuletzt eingegebene Prozentangabe für die Nebenkosten-Schätzung des Folgejahres
  • localStorage „kalkhof.debugNav" — nur dann gesetzt, wenn Du den Debug-Overlay über den URL-Parameter ?debug-nav=1 aktiv eingeschaltet hast (Entwickler-Werkzeug)

Während des Onboardings legen wir Anzeigename und Treppenhaus vorübergehend im sessionStorage Deines Tabs ab; nach erfolgreichem Abschluss werden sie entfernt. Schließt Du den Tab vorher, verwirft Dein Browser den sessionStorage ohnehin.

Eine Einwilligungspflicht gem. § 25 Abs. 2 TTDSG entfällt, da diese Speicher-Operationen für den Betrieb der Anwendung unbedingt erforderlich sind. Push-Benachrichtigungen sind die einzige Ausnahme — diese werden über die Browser-Berechtigung gesondert eingewilligt (siehe § 3 „Push-Benachrichtigungen“).

§ 9 Kontakt zu dieser Datenschutzerklärung

Bei Fragen zur Verarbeitung Deiner Daten:
André Buß
E-Mail: kontakt@kalkhof.koeln