Datenschutzerklärung

RentalOne GmbH, Bildstockstraße 50, 66589 Merchweiler

E-Mail: info@rental-one.de

Datenschutzbeauftragter: Moritz Marx, erreichbar unter der vorstehenden Adresse oder per E-Mail an info@rental-one.de.

Diese Datenschutzerklärung informiert dich darüber, welche personenbezogenen Daten wir in unserer App, auf unseren Webseiten und in unseren übrigen Online-Angeboten (zusammen „Dienste“) verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage.

„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. „Verantwortlicher“ ist die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet; ein „Auftragsverarbeiter“ verarbeitet Daten weisungsgebunden in deren Auftrag.

Besucher unserer Webseiten sowie Nutzer mit einem Konto bei RentalOne – insbesondere Vermieter, Hausverwaltungen und deren Mitarbeitende.

Personen, die selbst kein Konto haben, deren Daten unsere Nutzer aber in die Dienste einstellen: Mieter, Eigentümer, Handwerksbetriebe und Dienstleister, Beiräte und Verwalter, Ansprechpartner bei Versorgern sowie Mietinteressenten.

Interessenten, die uns über Formulare, per E-Mail oder telefonisch kontaktieren.

Personen unter 18 Jahren ist die eigenständige Nutzung der Dienste nicht gestattet.

Für die Daten unserer eigenen Nutzer – Registrierung, Vertrag, Abrechnung, Support, Webseiten und Marketing – sind wir Verantwortlicher. Insoweit gilt diese Erklärung unmittelbar.

Stellt ein Nutzer Daten Dritter in die Dienste ein, etwa Mietverträge, Mieterstammdaten, Abrechnungen oder Schadensmeldungen, bleibt der Nutzer Verantwortlicher. Wir verarbeiten diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO, nutzen sie nicht für eigene Zwecke und nicht zum Training von KI-Modellen. Grundlage ist ein Vertrag über die Auftragsverarbeitung, den wir Nutzern samt Liste der Unterauftragsverarbeiter auf Anfrage bereitstellen.

Möchten Mieter oder Eigentümer ihre Rechte geltend machen, ist die Vermieterin, der Vermieter oder die Hausverwaltung die richtige Anlaufstelle. Erreichen uns solche Anfragen direkt, leiten wir sie weiter und informieren die anfragende Person darüber.

Beim reinen Besuch unserer Webseiten bleibst du anonym. Technisch erforderlich verarbeitet werden dabei IP-Adresse, Zeitpunkt des Zugriffs, abgerufene Seite, übertragene Datenmenge, Referrer sowie Browser- und Systemangaben.

Bestands- und Kontaktdaten: Name, Anschrift, Telefonnummer, Geburtsdatum, E-Mail-Adresse, bei gewerblichen Nutzern zusätzlich Firma, Rechtsform, Umsatzsteuer-ID und Ansprechpartner.

Vertrags- und Zahlungsdaten: Tarif, Anzahl der Einheiten und Nutzer, Laufzeiten, Rechnungen, Zahlungsstatus sowie – sofern erforderlich – Bankverbindung.

Verwaltungsdaten: Objekte und Einheiten, Mietverhältnisse mit Miet- und Nebenkosten, Kautionen und Laufzeiten, Zählerstände, Abrechnungen, Schadens- und Instandhaltungsvorgänge, Aufträge, Termine und Aufgaben.

Inhalts- und Kommunikationsdaten: Dokumente und Dateien, die du hochlädst oder erzeugst, Nachrichten aus dem In-App-Chat, Einladungen und Benachrichtigungen sowie E-Mails, die du über eine verbundene Mailbox in den Diensten bearbeitest.

Bank- und Transaktionsdaten: Kontoumsätze mit Zahlungsempfänger, Betrag, Verwendungszweck, IBAN und Kontostand, um Zahlungen automatisch Mietverhältnissen und Kostenpositionen zuzuordnen. Bankzugangsdaten liegen ausschließlich bei unserem Dienstleister finAPI.

Nutzungs- und Metadaten: Anmeldezeitpunkte, Aktionen im Konto, aufgerufene Bereiche, Fehlerereignisse sowie Geräte- und Browserinformationen.

Besondere Kategorien nach Art. 9 DSGVO – etwa Angaben zu Gesundheit, Religion oder Gewerkschaftszugehörigkeit – können unbeabsichtigt in Verwendungszwecken, Dokumenten oder Freitextfeldern auftreten. Wir werten sie nicht aus und geben sie nicht weiter. Für die Kontoanbindung holen wir eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO ein.

Wir verarbeiten Daten, um die Dienste bereitzustellen: Kontoverwaltung und Authentifizierung, Objekt- und Mietverwaltung, Dokumentenmanagement, Finanz- und Zahlungsabgleich, Nebenkosten- und Umsatzsteuerabrechnung, Schadens- und Auftragsabwicklung, Kommunikation der Beteiligten sowie Abrechnung und Support. Ohne die beschriebenen Daten sind einzelne Funktionen nur eingeschränkt oder nicht nutzbar.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Vertrag und Vertragsanbahnung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten wie Aufbewahrungsfristen, Art. 6 Abs. 1 lit. f DSGVO für den sicheren und wirtschaftlichen Betrieb sowie Art. 6 Abs. 1 lit. a und Art. 7 DSGVO für einwilligungsbasierte Verarbeitungen. Besondere Kategorien verarbeiten wir nur nach Art. 9 Abs. 2 lit. a DSGVO.

Für Zugriffe auf Informationen in deinem Endgerät gilt zusätzlich § 25 TDDDG: nicht technisch notwendige Zugriffe nur mit Einwilligung, technisch notwendige auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG.

E-Mail-Adressen nutzen wir für Registrierung, Vertrag, Rechnungen, sicherheitsrelevante Ereignisse und wichtige Produktänderungen. Werbliche Inhalte versenden wir nur mit Einwilligung oder in den Grenzen des § 7 Abs. 3 UWG.

Erforderliche Einwilligungen holen wir vor der jeweiligen Verarbeitung ein – etwa bei der Bankkontoanbindung, bei Analyse- und Marketing-Diensten oder beim Newsletter.

Du kannst jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Cookie-Einwilligungen widerrufst du über die Cookie-Einstellungen, alle übrigen in den Kontoeinstellungen oder per Nachricht an uns.

Für die Nutzung ist ein Konto erforderlich. Authentifizierung und Sitzungsverwaltung laufen über Firebase Authentication (Google Ireland Limited, Dublin, Irland). Verarbeitet werden E-Mail-Adresse, gehashtes Passwort, Anmeldezeitpunkte und technische Kennungen. Alternativ kannst du dich mit einem Google- oder Apple-Konto anmelden; wir erhalten dabei E-Mail-Adresse und Namensangaben, kein Passwort.

Für Anmeldung und Sitzung setzen wir technisch notwendige Cookies ein. Sie sind für den Betrieb erforderlich und nicht abwählbar.

Aktivierst du Push-Benachrichtigungen, verarbeiten wir eine Gerätekennung über Firebase Cloud Messaging, um dich über Vorgänge, Nachrichten und Fristen zu informieren. Du kannst das jederzeit in den Systemeinstellungen deines Geräts deaktivieren.

Deine Verwaltungsdaten werden in Datenbanken in Deutschland gespeichert, und die Ausführung serverseitiger Funktionen ist auf die Region Frankfurt am Main festgelegt. Ein Teil der eingesetzten Anbieter hat seinen Sitz jedoch in den USA – insoweit findet zusätzlich eine Verarbeitung in einem Drittland statt (siehe Abschnitt „Auftragsverarbeiter & Drittländer“). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO; mit allen Dienstleistern bestehen Verträge über die Auftragsverarbeitung nach Art. 28 DSGVO.

Vercel Inc., USA – Betrieb der Webanwendung und der Marketing-Seiten. Die Ausführung serverseitiger Funktionen ist auf die Region Frankfurt am Main festgelegt. Die Auslieferung statischer Inhalte läuft über das weltweite Content-Delivery-Netz von Vercel. Da Vercel ein US-Unternehmen ist, findet darüber hinaus eine Verarbeitung in den USA statt – insbesondere beim Bereitstellen neuer Programmversionen sowie bei Protokoll- und Betriebsdaten und beim administrativen Zugriff. Verarbeitet werden dabei Verbindungsdaten wie IP-Adresse, aufgerufene Seite und technische Browserangaben.

Supabase – gehostete PostgreSQL-Datenbank für den überwiegenden Teil der Verwaltungsdaten, Region Frankfurt am Main.

Google Firebase (Google Ireland Limited) – Authentifizierung, Firestore-Datenbank, Dateispeicher für Dokumente und serverseitige Funktionen. Firestore-Datenbank und Funktionen werden in der Region Frankfurt am Main (europe-west3) betrieben.

Upstash – kurzlebiger Cache für wiederkehrende Abfragen, um Antwortzeiten zu verkürzen. Zwischengespeichert werden Ergebnisse fachlicher Abfragen mit kurzer Gültigkeitsdauer.

Verarbeitet werden dabei Bestands-, Inhalts-, Vertrags-, Nutzungs- sowie Meta- und Kommunikationsdaten. Die Dienstleister handeln ausschließlich nach unserer Weisung.

Für die Anbindung deiner Bankkonten nutzen wir die finAPI GmbH, Adams-Lehmann-Straße 44, 80797 München – einen von der BaFin beaufsichtigten Kontoinformationsdienst.

Bankzugangsdaten werden ausschließlich bei finAPI gespeichert und sind für uns nicht einsehbar. An uns übermittelt werden die abgerufenen Konto- und Transaktionsdaten, damit wir Zahlungen zuordnen und die Historie darstellen können.

Der Anbindung stimmst du im Onboarding ausdrücklich zu. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a und lit. b sowie Art. 9 Abs. 2 lit. a DSGVO. Du kannst die Verbindung jederzeit in den Einstellungen trennen; bei Löschung deines Kontos wird auch der zugehörige finAPI-Nutzer gelöscht.

Zahlungen und Abonnements wickeln wir über Stripe Payments Europe Limited, Dublin, Irland ab. Verarbeitet werden Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsmittel- und Transaktionsdaten sowie der Abonnementstatus. Vollständige Zahlungsmitteldaten liegen ausschließlich bei Stripe.

Zur plattformübergreifenden Verwaltung von Abonnements nutzen wir RevenueCat, Inc., San Francisco, USA. Verarbeitet werden eine pseudonyme Nutzerkennung, Tarif, Kaufzeitpunkte und Status.

Bei Abschluss über den Apple App Store wickelt Apple die Zahlung ab; wir erhalten nur den Kaufstatus. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. b DSGVO, für Belege zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

System- und Transaktions-E-Mails – Registrierungsbestätigungen, Einladungen, Erinnerungen, Abrechnungshinweise und Statusmeldungen – versenden wir über Resend, Inc., San Francisco, USA. Verarbeitet werden Empfänger, Absender, Betreff, Inhalt und technische Versandinformationen wie Zustellstatus und Zeitstempel.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei rein werblichen Inhalten Art. 6 Abs. 1 lit. a DSGVO.

Wir setzen KI-Modelle ein, um wiederkehrende Verwaltungsaufgaben zu unterstützen. Die Modelle liefern ausschließlich Vorschläge; die Entscheidung trifft immer ein Mensch. Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Assistent „Mia“: nutzt Vertex AI der Google Ireland Limited in einer EU-Region. Zur Beantwortung deiner Fragen kann der Assistent auf Stammdaten, Daten zu Mietverhältnissen, gespeicherte Dokumente und eine interne Wissensdatenbank zugreifen und in deinem Auftrag Termine und Tickets anlegen. Der Gesprächsverlauf wird gespeichert.

Dokumenten- und Belegerkennung: Aus Dokumenten extrahierter Text wird an die Gemini-Modelle von Google übermittelt, um Buchungsvorschläge, Ablageordner und Kostenkategorien zu ermitteln. Bei dieser Schnittstelle ist eine Verarbeitung außerhalb der EU nicht ausgeschlossen.

Schadensklassifizierung: Bezeichnung und Beschreibung einer Schadensmeldung werden an dasselbe Modell übermittelt, um Priorität und Handwerkerkategorie vorzuschlagen.

Texterkennung: Für das Auslesen von Text aus PDFs und Bildern nutzen wir Google Cloud Vision. Die Datei wird nur für die Dauer der Verarbeitung temporär gespeichert, das Ergebnis maximal eine Stunde zwischengespeichert.

Deine Inhalte werden nicht zum Training von KI-Modellen genutzt – weder von uns noch von den eingesetzten Anbietern.

Als Kontoinhaber kannst du weiteren Personen – etwa Verwaltern, Buchhaltung, Hausmeistern oder Betrachtern – Zugriff auf deinen Datenraum einräumen. Verarbeitet werden die E-Mail-Adresse der eingeladenen Person, Rolle, Einzelrechte, die Beschränkung auf bestimmte Objekte oder Einheiten sowie die Zeitpunkte von Einladung, Annahme, Ablehnung und Entzug.

Einladungen versenden wir per E-Mail mit einem Einmal-Link. Der Link ist zeitlich befristet, nur einmal einlösbar und jederzeit zurückziehbar. Der Umfang der Freigabe bestimmt, welche Daten die eingeladene Person sehen kann – wir empfehlen, Zugänge auf das erforderliche Maß zu beschränken.

Über den In-App-Chat kommunizieren Vermieter, Verwalter und Mieter miteinander. Verarbeitet werden Absender, Empfänger, Zeitpunkt und Inhalt der Nachrichten. Chat-Inhalte werden verschlüsselt gespeichert; der Schlüssel ist an das jeweilige Konto gebunden.

Damit unser Support ein Problem im Kontext deines Kontos nachvollziehen kann, kannst du in den Einstellungen freiwillig einen Support-Zugang freischalten. Erst danach können Mitarbeitende von RentalOne die Anwendung mit deinen Daten einsehen.

Der Zugang ist befristet (standardmäßig 14 Tage) und jederzeit vorzeitig widerrufbar. Ohne Freischaltung greifen wir nicht auf Kontoinhalte zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.

Du kannst eigene E-Mail-Postfächer und Cloud-Speicher verbinden, um Nachrichten und Dokumente direkt in den Diensten zu bearbeiten. Die Verbindung läuft über OAuth; wir erhalten keine Passwörter, sondern Zugriffs-Token, die wir verschlüsselt speichern.

E-Mail: Microsoft Outlook über die Microsoft Graph API (Microsoft Ireland Operations Limited) und Gmail (Google Ireland Limited). Verarbeitet werden Absender, Empfänger, CC, Betreff, Datum, Inhalt und Anhänge der Nachrichten in den freigegebenen Ordnern. Ein Postfach enthält auch Nachrichten Dritter – verbinde daher möglichst ein für die Verwaltung genutztes Postfach.

Cloud-Speicher: Google Drive, Microsoft OneDrive und Dropbox (Dropbox International Unlimited Company, Dublin, Irland). Verarbeitet werden Datei- und Ordnernamen, Metadaten und die Inhalte der Dateien, die du öffnest oder ablegst.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie Art. 6 Abs. 1 lit. b DSGVO für die Nutzung der Funktion. Du kannst jede Verbindung jederzeit trennen; die Token werden dabei gelöscht.

Kontaktierst du uns über ein Formular, per E-Mail oder telefonisch, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Zur Verwaltung von Anfragen und Kundenbeziehungen nutzen wir HubSpot (HubSpot Ireland Limited, Dublin, Irland). Verarbeitet werden Kontakt- und Kommunikationsdaten, der Verlauf der Kommunikation sowie Angaben aus Formularen. Pflichtangabe ist mindestens eine gültige E-Mail-Adresse.

Auf unseren Marketing-Seiten setzen wir zusätzlich das HubSpot-Tracking ein. Dieses Skript wird ausschließlich nach deiner Einwilligung über die Cookie-Einstellungen geladen.

Wenn du keine Verarbeitung über HubSpot wünschst, erreichst du uns auch telefonisch, postalisch oder per E-Mail an support@rental-one.de.

Über unsere Formulare kannst du eine Beratung, einen Software-Vergleich oder die Vermittlung an einen Partnerbetrieb anfragen. Verarbeitet werden deine Kontaktdaten und die Angaben zu deinem Vorhaben.

Fragst du ausdrücklich eine Vermittlung an, übermitteln wir die für die Kontaktaufnahme erforderlichen Daten an den ausgewählten Partner. Dieser verarbeitet sie anschließend als eigener Verantwortlicher. Die Übermittlung erfolgt nur auf Grundlage deiner Anfrage und Einwilligung; ohne eine solche Anfrage geben wir keine Kontaktdaten an Partner weiter.

Unsere Nutzer können Mietangebote veröffentlichen und Bewerbungen über ein Formular aufnehmen. Bewirbst du dich darüber, verarbeiten wir Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Beruf, monatliches Nettoeinkommen und deine Nachricht.

Diese Angaben erhält ausschließlich die Vermieterin, der Vermieter oder die Hausverwaltung des jeweiligen Objekts. Dafür ist der jeweilige Nutzer Verantwortlicher; RentalOne stellt nur die technische Plattform und handelt als Auftragsverarbeiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Anbahnung eines Mietverhältnisses sowie deine Einwilligung für darüber hinausgehende Angaben. Die Angabe des Einkommens ist freiwillig. Daten nicht berücksichtigter Bewerbungen sind nach Abschluss des Auswahlverfahrens zu löschen; der Zeitpunkt liegt in der Verantwortung des Nutzers.

Cookies sind kleine Textdateien auf deinem Gerät. Session-Cookies werden nach dem Besuch gelöscht, permanente Cookies bleiben gespeichert. Daneben nutzen wir vergleichbare Techniken wie den lokalen Speicher deines Browsers.

Wir unterscheiden drei Kategorien: Notwendige Cookies sind für Anmeldung, Sicherheit und Kernfunktionen erforderlich und nicht abwählbar. Analyse-Cookies helfen uns, die Nutzung zu verstehen. Marketing-Cookies dienen der Ausspielung und Messung von Werbung. Analyse und Marketing setzen wir nur nach deiner Einwilligung ein.

Beim ersten Besuch fragen wir dich über ein Banner. Voreingestellt ist die Ablehnung: Ohne Einwilligung werden keine Analyse- und Marketing-Dienste geladen, und die Anbieter werden über die Consent-Schnittstellen – unter anderem Google Consent Mode v2 – auf „denied“ gesetzt. Jede Kategorie ist einzeln aktivierbar.

Deine Entscheidung samt Zeitpunkt speichern wir im lokalen Speicher deines Browsers, um sie nachweisen und beim nächsten Besuch berücksichtigen zu können. Du kannst sie jederzeit über die Schaltfläche „Cookie-Einstellungen“ ändern; bei Widerruf werden die Dienste nicht mehr geladen und die zugehörigen Cookies gelöscht.

Notwendig: Session- und Authentifizierungs-Cookies sowie der gespeicherte Einwilligungsstatus.

Analyse: „_ga“, „_gid“, „_gat“ und „_ga_*“ von Google Analytics (bis zu 2 Jahre), „_gac_*“ und „_gat_gtag_*“ von Google, „_vercel_analytics“ von Vercel sowie Kennungen von Firebase Analytics und Microsoft Clarity.

Marketing: „_fbp“, „_fbc“ und „fr“ von Meta (bis zu 3 Monate), „_gcl_*“ von Google Ads sowie „IDE“ und „test_cookie“ von Google/DoubleClick.

Die folgenden Dienste setzen wir ausschließlich nach deiner Einwilligung ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG; du kannst sie jederzeit über die Cookie-Einstellungen widerrufen.

Google Analytics 4 (Google Ireland Limited) – Auswertung von Seitenaufrufen, Verweildauer, Herkunft und Interaktionen. Die IP-Adresse wird gekürzt verarbeitet.

Microsoft Clarity (Microsoft Ireland Operations Limited) – Analyse der Nutzung durch Aufzeichnung von Mausbewegungen, Klicks, Scrollverhalten und Sitzungsverläufen sowie Auswertung als Heatmap. Dabei können Sitzungswiedergaben entstehen; Eingaben in Formularfeldern werden standardmäßig maskiert.

Vercel Analytics – Messung von Seitenaufrufen und Ladezeiten. Firebase Analytics (Google Ireland Limited) – Auswertung aufgerufener Bereiche und ausgelöster Aktionen innerhalb der Anwendung.

Google Ads inklusive Conversion-Tracking (Google Ireland Limited) – Erfolgsmessung unserer Anzeigen und Ausspielung von Werbung an Personen, die unsere Seiten besucht haben.

Meta Pixel (Meta Platforms Ireland Limited) – Messung von Seitenaufrufen und Conversions sowie Bildung von Zielgruppen für Werbung auf Facebook und Instagram. Meta kann die Daten mit einem bestehenden Meta-Konto verknüpfen.

Hinsichtlich der Verarbeitung durch Google und Meta zu eigenen Zwecken sind wir gemeinsam Verantwortliche nach Art. 26 DSGVO; die weitere Verarbeitung verantworten die Anbieter selbst. Nutzungsprofile werten wir zur Produktverbesserung zusammengefasst aus, eine namentliche Zuordnung erfolgt nicht.

Wir binden Inhalte Dritter ein, um unser Angebot bereitzustellen. Damit sie ausgeliefert werden können, ist die Übermittlung deiner IP-Adresse an den Anbieter technisch erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Google Fonts (Google Ireland Limited) – Einbindung von Schriftarten zur einheitlichen Darstellung. Google Maps Platform / Places API (Google Ireland Limited) – Adressvervollständigung bei der Eingabe von Objekt- und Kontaktadressen.

Wir unterhalten Profile bei LinkedIn, YouTube, Instagram und TikTok. Beim Aufruf gelten die Datenschutzhinweise der jeweiligen Anbieter; diese verarbeiten Nutzungsdaten zu eigenen Werbe- und Marktforschungszwecken und können Nutzungsprofile bilden. Darauf haben wir keinen Einfluss. Die Verweise auf unseren Seiten sind einfache Links – eine Verbindung zum Netzwerk entsteht erst beim Anklicken.

Interagierst du innerhalb der Netzwerke mit uns, etwa durch Kommentare oder Nachrichten, verarbeiten wir diese Angaben auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Betroffenenrechte kannst du am wirksamsten gegenüber dem jeweiligen Anbieter geltend machen.

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein: rollen- und rechtebasierte Zugriffskontrollen, Eingabe- und Protokollkontrollen, Datenminimierung, Verschlüsselung sowie Prozesse zur Wahrnehmung von Betroffenenrechten. Datenschutz wird bereits bei der Entwicklung berücksichtigt (Art. 25 DSGVO).

Die Übertragung zwischen deinem Gerät und unseren Systemen erfolgt ausschließlich über TLS. Zugangsdaten zu Drittsystemen und OAuth-Token speichern wir verschlüsselt; Einladungs- und Support-Token werden nur als Hashwert gespeichert und sind befristet.

Der Zugriff innerhalb der Dienste ist durch Rollen, Einzelrechte und Objekt- beziehungsweise Einheitenfreigaben begrenzt. Mitarbeitende von RentalOne haben nur nach ausdrücklicher Freischaltung Zugriff auf Kontoinhalte.

Eine Offenlegung gegenüber Auftragsverarbeitern oder Dritten erfolgt nur, wenn dies gesetzlich erlaubt ist, du eingewilligt hast, es zur Vertragserfüllung erforderlich ist oder wir ein berechtigtes Interesse haben. Auftragsverarbeiter verpflichten wir nach Art. 28 DSGVO; sie verarbeiten Daten ausschließlich nach unserer Weisung und werden vor dem Einsatz sowie regelmäßig geprüft. Eine Weitergabe zu Werbezwecken an Dritte findet nicht statt.

Deine Verwaltungsdaten werden in Datenbanken in Deutschland gespeichert, und die Ausführung serverseitiger Funktionen ist auf die Region Frankfurt am Main festgelegt. Damit liegt der Schwerpunkt der Verarbeitung in Deutschland – eine Verarbeitung ausschließlich in Deutschland können wir jedoch nicht zusichern.

Eine Übermittlung in die USA findet statt bei: Vercel als Betreiber unserer Anwendung – über das weltweite Content-Delivery-Netz, die Bereitstellung neuer Programmversionen, Protokoll- und Betriebsdaten sowie den administrativen Zugriff; dem E-Mail-Versand über Resend; der Abonnementverwaltung über RevenueCat; der Gemini-Schnittstelle für die Dokumenten- und Schadenserkennung; sowie den einwilligungsbasierten Analyse- und Marketing-Diensten.

Auch bei Anbietern mit europäischer Vertragsgesellschaft – etwa Google, Microsoft, Meta, HubSpot, Stripe, Supabase und Upstash – ist ein Zugriff von Konzerngesellschaften oder Unterauftragsverarbeitern außerhalb der EU nicht ausgeschlossen.

Für solche Übermittlungen stellen wir geeignete Garantien sicher: Ist der Anbieter nach dem EU-US Data Privacy Framework zertifiziert, stützt sich die Übermittlung auf Art. 45 DSGVO, andernfalls schließen wir die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO ab und ergänzen sie um Maßnahmen wie Verschlüsselung und Datenminimierung.

Wir speichern Daten nur so lange, wie es für den Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorsehen. Danach werden sie gelöscht oder anonymisiert.

Kontodaten speichern wir für die Dauer des Vertragsverhältnisses. Löschst du dein Konto, entfernen wir Konto, Objekt-, Einheiten- und Verwaltungsdaten, Dokumente und laufende Vorgänge und beenden bestehende Verbindungen zu Drittdiensten einschließlich des bei finAPI hinterlegten Nutzers. Über die Löschung informieren wir dich per E-Mail.

Rechnungen, Buchungsbelege und steuerlich relevante Unterlagen bewahren wir nach §§ 147 AO, 257 HGB zehn Jahre auf, Handelsbriefe sechs Jahre. Diese Daten sind bis zum Ablauf der Frist gesperrt.

Angaben aus Kontakt- und Interessentenanfragen löschen wir nach abschließender Bearbeitung, spätestens nach drei Jahren. Nachweise über Einwilligungen bewahren wir für die Dauer der Verjährungsfristen auf.

Für Daten, die unsere Nutzer als Verantwortliche einstellen – etwa Mieter- und Eigentümerdaten oder Bewerbungen –, bestimmt der Nutzer die Speicherdauer. Wir löschen sie auf Weisung sowie spätestens mit Beendigung des Vertragsverhältnisses.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie auf Datenübertragbarkeit (Art. 20 DSGVO).

Du kannst Einwilligungen jederzeit widerrufen (Art. 7 Abs. 3 DSGVO) und der Verarbeitung, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht, aus Gründen deiner besonderen Situation widersprechen (Art. 21 DSGVO). Gegen Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen.

Für die Wahrnehmung deiner Rechte genügt eine Nachricht an info@rental-one.de oder an unsere Postadresse. Betreffen deine Rechte Daten, die ein Nutzer als Verantwortlicher eingestellt hat, leiten wir die Anfrage weiter und informieren dich darüber.

Unabhängig davon hast du das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist das Unabhängige Datenschutzzentrum Saarland in Saarbrücken. Du kannst dich auch an die Aufsichtsbehörde deines Wohnsitzes oder Arbeitsplatzes wenden.

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage, Technik oder Funktionsumfang ändern. Über wesentliche Änderungen informieren wir dich auf geeignete Weise; ist eine Einwilligung erforderlich, holen wir diese erneut ein. Maßgeblich ist stets die aktuelle Version auf unserer Webseite.

Stand: August 2026.

Für Fragen zum Datenschutz kannst du dich jederzeit an uns wenden:

RentalOne GmbH, Bildstockstraße 50, 66589 Merchweiler

E-Mail: info@rental-one.de · Support: support@rental-one.de

Datenschutzbeauftragter: Moritz Marx, erreichbar unter der vorstehenden Adresse.